62022CJ0231_RES
Дело C‑231/22
État belge
срещу
Autorité de protection des données
(Преюдициално запитване, отправено от Cour d’appel de Bruxelles (Апелативен съд Брюксел)
Решение на Съда (трети състав) от 11 януари 2024 година
„Преюдициално запитване — Сближаване на законодателствата — Защита на физическите лица във връзка с обработването на лични данни и свободно движение на такива данни (Общ регламент относно защитата на данните) — Регламент (ЕС) 2016/679 — Член 4, точка 7 — Понятие „администратор“ — Държавен вестник на държава членка — Задължение за публикуване във вида, в който са представени, на документи на дружество, изготвени от последното или от законните му представители — Член 5, параграф 2 — Последователно обработване от няколко отделни лица или субекти на личните данни, съдържащи се в такива документи — Определяне на отговорностите“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Понятие за администратор — Държавен вестник на държава членка, осигуряващ обнародването на официални документи, изготвени от трети лица, без възможност за контрол на тяхното съдържание — Включване — Условие — Определяне в националното право на целите и средствата на обработването на личните данни от този държавен вестник — Правила — Липса на последици от липсата на правосубектност
(член 4, точка 7 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 28, 30 и 34—39; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Принципи, свързани с обработването — Определяне на субектите, отговорни за спазването на тези принципи в случай на последователно обработване на едни и същи данни — Отговорност на държавния вестник на държава членка, осигуряващ обнародването на официални документи, изготвени от трети лица, и имащ качеството на администратор — Обхват — Самостоятелна отговорност на държавния вестник — Съвместна отговорност с други субекти — Условие — Определяне в националното право на целите и средствата, обединяващи различните операции по обработване, както и на съответните задължения на съвместните администратори — Правила
(член 4, точка 7, член 5, параграфи 1 и 2 и член 26, параграф 1 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 42—45, 49, 50 и 52; т. 2 от диспозитива)
Резюме
Сезиран с преюдициално запитване от Cour d’appel de Bruxelles (Апелативен съд Брюксел, Белгия), Съдът уточнява, от една страна, пределите на понятието „администратор“, а от друга страна, границите на задълженията на администратора, когато обработването на едни и същи лични данни се извършва последователно от различни субекти.
На 12 февруари 2019 г. Moniteur belge, който осигурява в Белгия създаването и разпространението на широк кръг от официални и обществено достъпни публикации на хартия и в електронен формат, обнародва извлечение от решение на дружество за намаляване на капитала му. Това извлечение, подготвено от нотариуса на съдружник в дружеството и предадено на компетентния съд, който от своя страна го е изпратил до ръководството на този държавен вестник за обнародване, съдържа лични данни на въпросния съдружник.
След като установява, че текстът с неговите данни е бил включен в извлечението поради допусната от нотариуса грешка, субектът на данните иска заличаването на този текст въз основа на правото си на изтриване (
1
). Искането обаче е отхвърлено от Service Public Fédéral Justice (Федерална публична служба „Правосъдие“, Белгия, наричана по-нататък „ФПС „Правосъдие“), на подчинение на която е ръководството на Moniteur belge. Вследствие на това субектът на данните подава жалба срещу ФПС „Правосъдие“ пред Autorité de protection des données (Орган за защита на данните, Белгия, наричан по-нататък „ОЗД“). С решение от 23 март 2021 г. ОЗД разпорежда на ФПС Правосъдие да удовлетвори искането за изтриване без ненужно забавяне. При това положение État belge (белгийската държава) сезира Cour d’appel de Bruxelles (Апелативен съд Брюксел) с искане за отмяна на решението на ОЗД.
В този контекст Cour d’appel de Bruxelles (Апелативен съд Брюксел) поставя на Съда въпросите дали Moniteur belge може да се квалифицира като „администратор“ (
2
) и дали само Moniteur belge трябва се счита за отговорен за спазването на принципите, свързани с обработването на данните (
3
), или тази отговорност се носи кумулативно и от субектите, които преди това са обработили данните, съдържащи се в разглеждания текст.
Съображения на Съда
На първо място, що се отнася до въпроса дали агенцията или структурата, която отговаря за държавния вестник на държава членка (какъвто е Moniteur belge), може да се квалифицира като „администратор“ по смисъла на ОРЗД, Съдът уточнява, че предвид широкото определение на това понятие определянето на целите и средствата на обработването, както и евентуално определянето на администратора в националното право, могат да бъдат извършени не само изрично, но и имплицитно. В последния случай обаче е необходимо определянето да произтича по достатъчно сигурен начин от ролята, задачите и правомощията, предоставени на съответната агенция или структура.
Съдът установява, че в настоящия случай белгийското право е определило — поне имплицитно — целите и средствата на извършеното от Moniteur belge обработване на личните данни. От това следва, че последният може да се счита за „администратор“.
Съдът подчертава, че този извод не се поставя под съмнение нито от обстоятелството, че Moniteur belge няма самостоятелна правосубектност, нито от факта, че според националното право той не осъществява контрол преди обнародването спрямо личните данни, съдържащи се в получените от него документи.
Макар да е вярно, че тази структура трябва да обнародва съответния документ във вида, в който ѝ е представен, все пак тя сама изпълнява тази задача и след това разпространява съответния документ. От една страна, обнародването на такива документи без възможност за контрол и изменение на съдържанието им е тясно свързано с определените в националното право цели и средства на обработването. Всъщност ролята на този държавен вестник е само да информира обществеността за съществуването на тези документи във вида, в който са му изпратени под формата на копие в съответствие с приложимото национално право, така че да могат да бъдат противопоставени на трети лица. От друга страна, изключването от обхвата на понятието „администратор“ на държавния вестник на държава членка с мотива, че той не упражнява контрол върху личните данни, съдържащи се в публикациите му, би противоречало на целта на член 4, точка 7 от ОРЗД.
На второ място, по въпроса дали структура като Moniteur belge трябва да се счита за единствено отговорна за спазването на принципите по ОРЗД (
4
), свързани с обработването на личните данни, Съдът отбелязва, че обработването, поверено на Moniteur belge, не само е последващо спрямо обработването, извършено от нотариуса и от деловодството на компетентния съд, но е и технически различно и допълващо спрямо обработването, извършено от тези два субекта. Всъщност операциите, извършвани от Moniteur belge, са му възложени с националното законодателство и включват по-специално цифровото преобразуване на данните, съдържащи се в представените му документи или извлечения от документи, обнародването, предоставянето на широк достъп на обществеността и съхраняването на тези данни. Следователно той трябва да се счита за отговорен за спазването на всички задължения, наложени на администратора с ОРЗД.
В допълнение, Съдът припомня, че член 4, точка 7 от ОРЗД предвижда не само че целите и средствата на обработването на лични данни могат да се определят съвместно от няколко лица в качеството им на администратори, но и че националното право може да определи тези цели и средства и да определи администратора или специалните критерии за неговото определяне. Така в рамките на верига на обработвания, извършвани от различни лица или субекти и засягащи едни и същи лични данни, националното право може да определи целите и средствата на всички обработвания, извършвани последователно от тези различни лица или субекти, така че същите да носят съвместна отговорност за обработването.
Съдът подчертава, че съгласно ОРЗД (
5
) съвместната отговорност на няколко субекта по веригата на обработване на едни и същи лични данни може да бъде установена в националното право, стига различните операции по обработване да са обединени от определени от това право цели и средства и това право да определя съответните задължения на всеки от съвместните администратори. Подобно определяне на целите и средствата, обединяващи различните видове обработване, извършвано от няколко субекта по веригата, както и на съответните задължения на тези субекти, може да се извърши не само пряко, но и непряко от националното право, при условие че в последния случай то може да бъде изведено достатъчно ясно от правните разпоредби, уреждащи съответните лица или субекти и обработването на лични данни, което те извършват в рамките на предвидената в това право верига от операции по обработване.
Така Съдът достига до извода, че само агенцията или структурата, която отговаря за държавния вестник на държава членка и която е квалифицирана като „администратор“, е отговорна за спазването на принципите, посочени в ОРЗД, що се отнася до операциите по обработване на лични данни, които тя е длъжна да извършва по силата на националното право, освен ако от това право произтича съвместна отговорност с други субекти по отношение на въпросните операции.
(
1
)	Предвидено в член 17 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (OB L 119, 2016 г., стр. 1).
(
2
)	По смисъла на член 4, точка 7 ОРЗД.
(
3
)	Съгласно член 5, параграф 2 ОРЗД.
(
4
)	Принципи, предвидени под формата на задължения в член 5, параграф 1 от ОРЗД.
(
5
)	Съгласно разпоредбите на член 26, параграф 1 във връзка с член 4, точка 7 от ОРЗД.