62022CJ0231_RES
Mål C‑231/22
État belge
mot
Autorité de protection des données
(begäran om förhandsavgörande från Cour d’appel de Bruxelles)
Domstolens dom (tredje avdelningen) av den 11 januari 2024
”Begäran om förhandsavgörande – Tillnärmning av lagstiftning – Skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän dataskyddsförordning) – Förordning (EU) 2016/679 – Artikel 4 led 7 – Begreppet personuppgiftsansvarig – En medlemsstats officiella tidning – Skyldighet att, i oförändrat skick, offentliggöra bolagshandlingar som upprättats av bolagen eller deras rättsliga företrädare – Artikel 5.2 – Behandling i flera på varandra följande led, ombesörjd genom flera olika personers eller enheters försorg, av personuppgifter som finns i sådana bolagshandlingar – Fastställande av vars och ens ansvar”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Begreppet personuppgiftsansvarig – En medlemsstats officiella tidning som ansvarar för publicering av handlingar och officiella rättsakter som utarbetats av tredje man och där den officiella tidningen inte har befogenhet att kontrollera deras innehåll – Omfattas – Villkor – Fastställande i nationell rätt av ändamålen och medlen för den behandling av personuppgifter som utförs av den officiella tidningen – Metoder – Att tidningen inte är ett rättssubjekt påverkar inte
(Europaparlamentets och rådets förordning 2016/679, artikel 4 led 7)
(se punkterna 28, 30, 34–39 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Principer som reglerar behandlingen – Fastställande av vem som är ansvarig för efterlevnaden av dessa principer när behandling av samma personuppgifter skett i på varandra följande led – Ansvar som åligger en medlemsstats officiella tidning med uppgift att publicera handlingar och officiella rättsakter utarbetade av tredje man där tidningen betecknas som personuppgiftsansvarig – Räckvidd – Den officiella tidningens individuella ansvar – Ansvar som innehas gemensamt med andra enheter – Villkor – Fastställande av de ändamål och medel som förenar de olika behandlingarna av personuppgifter när flera aktörer är gemensamt ansvariga för behandlingen samt av vars och ens respektive skyldigheter enligt nationell rätt – Metoder
(Europaparlamentets och rådets förordning 2016/679, artiklarna 4 led 7, 5.1, 5.2 och 26.1)
(se punkterna 42–45, 49, 50 och 52 samt punkt 2 i domslutet)
Resumé
Efter en begäran om förhandsavgörande från Cour d’appel de Bruxelles (Appellationsdomstolen i Bryssel, Belgien) preciserar domstolen dels gränserna för begreppet personuppgiftsansvarig, dels gränserna för en personuppgiftsansvarigs skyldigheter när behandling av samma personuppgifter har utförts av olika enheter i flera på varandra följande led.
Den 12 februari 2019 offentliggjorde Moniteur belge, som i Belgien säkerställer framställning och spridning av ett brett urval av officiella och offentliga publikationer i pappersform och på elektronisk väg, ett utdrag ur ett bolagsbeslut om nedsättning av bolagskapitalet. Utdraget hade upprättats av en notarie på uppdrag av en av delägarna och översändes till behörig domstol, vilken i sin tur vidarebefordrade det till den officiella tidningen för offentliggörande. Den nämnda utdraget innehöll delägarens personuppgifter.
Efter att ha konstaterat att det avsnitt som innehåller dessa personuppgifter av misstag hade medtagits i det aktuella utdraget av notarien, begärde den berörda personen att åtgärder skulle vidtas för att få avsnittet raderat med stöd av rätten till radering. (
1
) Service public fédéral Justice (federala justitiemyndigheten, nedan kallad SPF Justice), som Moniteur belges redaktionsledning är knuten till, avslog emellertid begäran. Med anledning av detta avslagsbeslut lämnade den nämnda personen in ett klagomål mot SPF Justice till Autorité de protection des données (dataskyddsmyndigheten, Belgien). Genom beslut av den 23 mars 2021 anmodade dataskyddsmyndigheten SPF Justice att bifalla begäran om radering så snart som möjligt. Belgiska staten väckte då talan vid cour d’appel de Bruxelles (Appellationsdomstolen i Bryssel) och yrkade att dataskyddsmyndighetens beslut skulle upphävas.
Cour d’appel de Bruxelles (Appellationsdomstolen i Bryssel) har i detta sammanhang bett EU-domstolen att klargöra huruvida Moniteur belge kan anses som personuppgiftsansvarig (
2
) och även huruvida Moniteur belge ska anses ensam ansvarig för iakttagandet av de principer som gäller för behandling av personuppgifter (
3
) eller om detta ansvar ska anses kumulativt åligga de offentliga organ som i ett tidigare led har behandlat personuppgifterna i det omtvistade avsnittet.
Domstolens bedömning
Vad för det första gäller frågan huruvida den institution eller det organ som ansvarar för en medlemsstats officiella tidning, såsom Moniteur belge, kan kvalificeras som personuppgiftsansvarig i den mening som avses i dataskyddsförordningen, preciserar domstolen att med hänsyn till detta begrepps vida definition kan bestämmandet av ändamålen och medlen för behandlingen och, i förekommande fall, fastställandet av den ansvarige för denna behandling enligt nationell rätt inte bara vara uttryckligt utan även underförstått. I det senare fallet krävs det emellertid att detta bestämmande på ett tillräckligt säkert sätt följer av den roll, det uppdrag och de befogenheter som tilldelats den berörda institutionen eller organet.
Domstolen konstaterar att belgisk rätt, åtminstone underförstått, har bestämt ändamålen med och medlen för den behandling av personuppgifter som utförs av Moniteur belge, varför den kan anses vara personuppgiftsansvarig.
Domstolen understryker att bedömningen inte påverkas av att Moniteur belge inte är ett rättssubjekt eller av den omständigheten att Moniteur belge enligt nationell rätt inte kontrollerar de personuppgifter som förekommer i de rättsakter och handlingar som nämnda officiella tidning har mottagit innan de offentliggörs.
Det är visserligen riktigt att Moniteur belge ska offentliggöra den berörda handlingen i oförändrat skick. Samtidigt är detta organ ensamt ansvarig för denna uppgift och därefter för spridningen av den berörda rättsakten eller handlingen. Offentliggörande av sådana rättsakter och handlingar utan möjlighet till kontroll eller ändring av deras innehåll har ett nära samband med de ändamål och medel för behandling som bestäms av nationell rätt. Denna officiella tidnings uppgift är nämligen endast att informera allmänheten om förekomsten av dessa rättsakter och handlingar, såsom de översänts till denna officiella tidning i form av kopior i enlighet med tillämplig nationell rätt, för att de ska kunna göras gällande mot tredje man. Vidare skulle det strida mot syftet med artikel 4 led 7 i dataskyddsförordningen att utesluta en medlemsstats officiella tidning från definitionen av ”personuppgiftsansvarig” med motiveringen att den inte utövar kontroll över de personuppgifter som finns i dess publikationer.
Vad för det andra gäller frågan huruvida ett sådant organ som Moniteur belge ska anses ensamt ansvarigt för efterlevnaden av de principer gällande behandling av personuppgifter som avses i dataskyddsförordningen, (
4
) påpekar domstolen att den behandling av personuppgifter som anförtrotts Moniteur belge äger rum efter den behandling som utförs av notarien och av kansliet vid den behöriga domstolen. Samtidigt skiljer den sig tekniskt sett från den behandling som utförs av dessa båda organ i så måtto att den tillkommer härutöver. De åtgärder som Moniteur belge vidtar har nämligen anförtrotts tidningen enligt den nationella lagstiftningen och innebär bland annat en digital omvandling av de personuppgifter som finns i de handlingar eller utdrag ur handlingar som tillställts Moniteur belge. Åtgärderna innebär vidare offentliggörande av dessa personuppgifter, tillgängliggörande för en bred publik samt lagring av desamma. Moniteur belge ska därför anses ansvarig för efterlevnaden av samtliga skyldigheter som åligger den personuppgiftsansvarige enligt dataskyddsförordningen.
Domstolen erinrar om att det i artikel 4 led 7 i dataskyddsförordningen inte bara föreskrivs att ändamålen och medlen för en behandling av personuppgifter får bestämmas tillsammans av flera personer i deras egenskap av personuppgiftsansvariga, utan även att dessa ändamål och medel får bestämmas av nationell rätt som också får föreskriva vem som ska vara personuppgiftsansvarig eller de särskilda kriterierna för hur denne ska utses. Vid en kedja av behandlingar som utförs av olika personer eller enheter och som rör samma personuppgifter, får ändamålen och medlen för all behandling som dessa olika personer eller enheter i tur och ordning utför således bestämmas av nationell rätt, så att dessa ska anses gemensamt personuppgiftsansvariga.
EU-domstolen understryker att det följer av dataskyddsförordningen (
5
) att ett gemensamt ansvar för flera aktörer i en kedja av behandlingar avseende samma personuppgifter får fastställas i nationell rätt, under förutsättning att de olika behandlingsåtgärderna förenas av ändamål och medel som fastställs i nationell rätt och att de skyldigheter som åligger var och en av de gemensamt personuppgiftsansvariga fastställs i nationell rätt. Ett sådant fastställande av de ändamål och medel som förenar de olika behandlingar som utförs av flera aktörer i en kedja liksom fastställande av deras respektive skyldigheter kan inte bara ske direkt, utan även indirekt enligt nationell rätt. I det sistnämnda fallet krävs då att fastställandet kan utläsas på ett tillräckligt tydligt sätt av de rättsliga bestämmelser som reglerar de berörda personerna eller enheterna och den behandling av personuppgifter som de utför inom ramen för den kedja av behandlingar som föreskrivs i nationell rätt.
Domstolen drar således slutsatsen att den institution eller det organ som ansvarar för en medlemsstats officiella tidning och som betecknas som personuppgiftsansvarig, är ensam ansvarig för att de principer som avses i dataskyddsförordningen iakttas såvitt gäller den behandling av personuppgifter som denna institution eller detta organ har en skyldighet att utföra enligt nationell rätt; detta gäller såvida inte ett med andra enheter gemensamt ansvar för behandlingen följer av nationell rätt.
(
1
)	Se artikel 17 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, nedan kallad dataskyddsförordningen).
(
2
)	I den mening som avses i artikel 4.7 i dataskyddsförordningen.
(
3
)	Enligt artikel 5.2 i dataskyddsförordningen.
(
4
)	Principer i form av de skyldigheter som anges i artikel 5.1 i dataskyddsförordningen.
(
5
)	Enligt artikel 26.1 jämförd med artikel 4 led 7 i dataskyddsförordningen.