62022CJ0231_RES
Sag C-231/22
État belge
mod
Autorité de protection des données
(anmodning om præjudiciel afgørelse indgivet af Cour d’appel de Bruxelles)
Domstolens dom (Tredje Afdeling) af 11. januar 2024
»Præjudiciel forelæggelse – tilnærmelse af lovgivningerne – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse) – forordning (EU) 2016/679 – artikel 4, nr. 7) – begrebet »dataansvarlig« – en medlemsstats statstidende – pligt til at offentliggøre selskabsdokumenter som sådanne, der er udarbejdet af disse selskaber eller deres retlige repræsentanter – artikel 5, stk. 2 – flere forskellige personers eller enheders successive behandling af de personoplysninger, der er indeholdt i sådanne dokumenter – fastlæggelse af ansvar«
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – begrebet dataansvarlig – en medlemsstats statstidende, som sikrer offentliggørelse af retsakter og dokumenter udarbejdet af tredjemand, og som ikke har nogen kontrolbeføjelse i forhold til indholdet heraf – omfattet – betingelse – fastlæggelse i national ret af formålene med og hjælpemidlerne til den behandling af personoplysninger, der foretages af denne statstidende – betingelser – den manglende status som juridisk person har ingen betydning
[Europa-Parlamentets og Rådets forordning 2016/679, art. 4, nr. 7)]
(jf. præmis 28, 30 og 34-39 samt domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – principper for behandlingen – fastlæggelse af de ansvarlige for overholdelsen af disse principper i tilfælde af successiv behandling af de samme oplysninger – ansvaret påhviler en medlemsstats statstidende, som sikrer offentliggørelse af retsakter og dokumenter udarbejdet af tredjemand, og som har status som dataansvarlig – rækkevidde – individuelt ansvar for statstidenden – fælles ansvar med andre enheder – betingelse – fastlæggelse i national ret af de formål og hjælpemidler, der forener de forskellige behandlingsaktiviteter, samt af de fælles dataansvarliges respektive forpligtelser – betingelser
[Europa-Parlamentets og Rådets forordning 2016/679, art. 4, nr. 7), art. 5, stk. 1 og 2, og art. 26, stk. 1]
(jf. præmis 42-45, 49, 50 og 52 samt domskonkl. 2)
Resumé
Efter at være blevet forelagt en anmodning om præjudiciel afgørelse fra cour d’appel de Bruxelles (appeldomstolen i Bruxelles, Belgien) præciserede Domstolen dels konturerne af begrebet »dataansvarlig«, dels grænserne for en dataansvarligs forpligtelser, når behandlinger vedrørende de samme personoplysninger foretages af successive enheder.
Moniteur belge – som i Belgien sikrer fremstilling og formidling af en bred vifte af officielle og offentlige publikationer i papirform og elektronisk form – offentliggjorde den 12. februar 2019 et uddrag af en beslutning truffet af et selskab om en nedsættelse af sin kapital. Dette uddrag, der var udarbejdet af notaren for en selskabsdeltager i dette selskab og blev oversendt til den kompetente ret, som videresendte det til direktoratet for denne statstidende med henblik på offentliggørelse, indeholdt personoplysninger om denne selskabsdeltager.
Efter at den registrerede have konstateret, at passagen med oplysningerne om vedkommende var blevet inkluderet i uddraget som følge af en fejl fra notarens side, anmodede den pågældende om at få fjernet denne passage i henhold til sin ret til sletning (
1
). Vedkommendes anmodning blev imidlertid afslået af Service public fédéral Justice (den føderale offentlige justitsmyndighed i Belgien, herefter »SPF Justice«), som direktoratet for Moniteur belge er tilknyttet. Efter dette afslag indgav denne person en klage over SPF Justice til Autorité de protection des données (databeskyttelsesmyndigheden, Belgien, herefter »den belgiske databeskyttelsesmyndighed«). Ved afgørelse af 23. marts 2021 pålagde den belgiske databeskyttelsesmyndighed SPF Justice at efterkomme anmodningen om sletning uden unødig forsinkelse. Den belgiske stat anlagde herefter sag ved cour d’appel de Bruxelles med påstand om annullation af den belgiske databeskyttelsesmyndigheds afgørelse.
Cour d’appel de Bruxelles anmodede i denne forbindelse Domstolen om at oplyse, om Moniteur belge kan kvalificeres som »dataansvarlig« (
2
), og om denne statstidende skal holdes eneansvarlig for overholdelsen af principperne om behandling af oplysninger (
3
), eller om dette ansvar også kumulativt påhviler de enheder, som forudgående har behandlet de oplysninger, der er indeholdt i den omhandlede passage.
Domstolens bemærkninger
I første omgang og hvad angik spørgsmålet om, hvorvidt den institution eller det organ, der er ansvarlig for en medlemsstats statstidende, såsom Moniteur belge, kan kvalificeres som »dataansvarlig« som omhandlet i databeskyttelsesforordningen, præciserede Domstolen, at henset til den brede definition af dette begreb, kan fastlæggelsen af formålene med og hjælpemidlerne til behandlingen, og i givet fald udpegelsen af den ansvarlige for behandlingen i henhold til national ret, ikke blot være eksplicit, men også implicit. I sidstnævnte tilfælde kræves det ikke desto mindre, at denne fastlæggelse følger tilstrækkeligt klart af den rolle, den opgave og de beføjelser, som er tillagt den pågældende institution eller det pågældende organ.
Domstolen fastslog, at belgisk ret i det foreliggende tilfælde i det mindste implicit har fastlagt formålene med og hjælpemidlerne til den behandling af personoplysninger, der foretages af Moniteur belge. Det fulgte heraf, at Moniteur belge kan anses for at være »dataansvarlig«.
Domstolen understregede, at denne konklusion hverken ændres af den omstændighed, at Moniteur belge ikke har status som juridisk person, eller af det forhold, at Moniteur belge i henhold til national ret ikke forud for offentliggørelsen kontrollerer de personoplysninger, der fremgår af de retsakter og dokumenter, som denne statstidende modtager.
Selv om det er rigtigt, at dette organ skal offentliggøre det pågældende dokument som sådant, er det nemlig alene denne statstidende, der varetager denne opgave og derefter udsender den pågældende retsakt eller det pågældende dokument. For det første er offentliggørelsen af sådanne retsakter og dokumenter uden mulighed for kontrol eller ændring af deres indhold uløseligt forbundet med de formål med og hjælpemidler til behandlingen, der er fastlagt i national ret. Rollen for denne statstidende begrænser sig nemlig til at informere offentligheden om eksistensen af sådanne retsakter og dokumenter, således som de oversendes til denne enhed i kopiform i overensstemmelse med gældende national ret, således at de kan gøres gældende over for tredjemand. For det andet ville det være i strid med formålet med databeskyttelsesforordningens artikel 4, nr. 7), at udelukke en medlemsstats statstidende fra begrebet »dataansvarlig« med den begrundelse, at denne enhed ikke har kontrol over de personoplysninger, der er indeholdt i dens offentliggørelser.
I anden omgang og hvad angik spørgsmålet om, hvorvidt et organ som Moniteur belge skal holdes eneansvarligt for overholdelsen af de principper om behandling af personoplysninger, der er omhandlet i databeskyttelsesforordningen (
4
), bemærkede Domstolen, at den behandling, som er blevet betroet Moniteur belge, både ligger efter den behandling, som notaren og justitskontoret ved den kompetente ret foretager, og teknisk set adskiller sig fra den behandling, der foretages af disse to enheder, for så vidt som den føjer sig hertil. De aktiviteter, der udføres af Moniteur belge, er nemlig betroet denne enhed i henhold til national lovgivning og indebærer bl.a. en digital omdannelse af de oplysninger, der er indeholdt i de retsakter eller uddrag af retsakter, som denne statstidende får fremsendt, en offentliggørelse af disse oplysninger, en tilrådighedsstillelse heraf for den brede offentlighed samt opbevaring af oplysningerne. Moniteur belge skal derfor anses for at være ansvarlig for overholdelsen af alle de forpligtelser, som databeskyttelsesforordningen pålægger den dataansvarlige.
Domstolen påpegede endvidere, at databeskyttelsesforordningens artikel 4, nr. 7), ikke blot fastsætter, at formålene med og hjælpemidlerne til en behandling af personoplysninger kan fastlægges i fællesskab af flere personer som dataansvarlige, men ligeledes, at den nationale lovgivning kan fastlægge disse formål og hjælpemidler og udpege den dataansvarlige eller de specifikke kriterier for udpegelsen af denne. Inden for rammerne af en kæde af behandlinger, der foretages af forskellige personer eller enheder, og som vedrører de samme personoplysninger, kan national ret således fastlægge formålene med og hjælpemidlerne til samtlige de behandlinger, der foretages successivt af disse forskellige personer eller enheder, således at disse i fællesskab kan holdes ansvarlige for behandlingen.
Domstolen fremhævede, at der i henhold til databeskyttelsesforordningen (
5
) kan opstilles et fælles ansvar i national ret for flere aktører i en kæde af behandlinger vedrørende de samme personoplysninger, forudsat at de forskellige behandlingsaktiviteter forenes af formål og hjælpemidler, der er fastlagt i denne nationale ret, og forudsat at denne nationale ret fastsætter de respektive forpligtelser for hver af de fælles dataansvarlige. En sådan fastlæggelse af de formål og hjælpemidler, der forener de forskellige behandlinger, som foretages af flere aktører i en kæde, såvel som en fastlæggelse af disse aktørers respektive forpligtelser kan foretages ikke blot direkte, men ligeledes indirekte i national ret, forudsat at denne fastlæggelse i dette sidstnævnte tilfælde kan udledes tilstrækkeligt eksplicit af de lovbestemmelser, der finder anvendelse på de berørte personer eller enheder og på den behandling af personoplysninger, som de foretager inden for rammerne af den behandlingskæde, der er foreskrevet i denne ret.
Domstolen konkluderede således, at den institution eller det organ, der er ansvarlig for en medlemsstats statstidende, og som er kvalificeret som »dataansvarlig«, er eneansvarlig for overholdelsen af de principper, der er angivet i databeskyttelsesforordningen, for så vidt angår de behandlingsaktiviteter vedrørende personoplysninger, som institutionen eller organet er forpligtet til at foretage i henhold til national ret, medmindre et fælles ansvar med andre enheder for disse operationer følger af denne ret.
(
1
) – Fastsat i artikel 17 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
2
) – Som omhandlet i databeskyttelsesforordningens artikel 4, nr. 7).
(
3
) – I henhold til databeskyttelsesforordningens artikel 5, stk. 2.
(
4
) – Principper fastsat i form af forpligtelser i databeskyttelsesforordningens artikel 5, stk. 1.
(
5
) – I henhold til databeskyttelsesforordningens artikel 26, stk. 1, sammenholdt med denne forordnings artikel 4, nr. 7).