62022CJ0231_RES
Υπόθεση C‑231/22
État belge
κατά
Autorité de protection des données
(αίτηση του Cour d’appel de Bruxelles για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (τρίτο τμήμα) της 11ης Ιανουαρίου 2024
«Προδικαστική παραπομπή – Προσέγγιση των νομοθεσιών – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και ελεύθερη κυκλοφορία των δεδομένων αυτών (Γενικός Κανονισμός για την Προστασία Δεδομένων) – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 4, σημείο 7 – Έννοια του “υπευθύνου επεξεργασίας” – Επίσημη εφημερίδα κράτους μέλους – Υποχρέωση δημοσίευσης των εταιρικών πράξεων όπως αυτές έχουν καταρτιστεί από τις εταιρίες ή τους νομίμους εκπροσώπους τους – Άρθρο 5, παράγραφος 2 – Διαδοχική επεξεργασία, από περισσότερα πρόσωπα ή περισσότερες χωριστές οντότητες, δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται στις πράξεις αυτές – Προσδιορισμός της ευθύνης»
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Έννοια του υπευθύνου επεξεργασίας – Επίσημη εφημερίδα κράτους μέλους η οποία δημοσιεύει, χωρίς να έχει εξουσία ελέγχου του περιεχομένου τους, επίσημες πράξεις και επίσημα έγγραφα που καταρτίζονται από τρίτους – Εμπίπτει – Προϋπόθεση – Καθορισμός στο εθνικό δίκαιο των σκοπών και του τρόπου της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα από την εν λόγω επίσημη εφημερίδα – Σχετικές λεπτομέρειες – Δεν ασκεί επιρροή η έλλειψη νομικής προσωπικότητας
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 4, σημείο 7)
(βλ. σκέψεις 28, 30, 34-39, διατακτ. 1)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Αρχές που διέπουν την επεξεργασία – Προσδιορισμός των υπευθύνων για την τήρηση των αρχών αυτών σε περίπτωση διαδοχικής επεξεργασίας των ίδιων δεδομένων – Ευθύνη της επίσημης εφημερίδας κράτους μέλους η οποία δημοσιεύει, χωρίς να έχει εξουσία ελέγχου του περιεχομένου τους, επίσημες πράξεις και επίσημα έγγραφα που καταρτίζονται από τρίτους και η οποία έχει την ιδιότητα του υπευθύνου επεξεργασίας – Περιεχόμενο – Ατομική ευθύνη της επίσημης εφημερίδας – Από κοινού ευθύνη με άλλες οντότητες – Προϋπόθεση – Καθορισμός στο εθνικό δίκαιο των σκοπών και των μέσων που συνδέουν τις διάφορες πράξεις επεξεργασίας, καθώς και των αντίστοιχων καθηκόντων καθενός από τους από κοινού υπευθύνους επεξεργασίας – Σχετικές λεπτομέρειες
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 4, σημείο 7, 5 §§ 1 και 2 και 26 § 1)
(βλ. σκέψεις 42-45, 49, 50, 52, διατακτ. 2)
Σύνοψη
Κατόπιν αιτήσεως προδικαστικής αποφάσεως που υπέβαλε το cour d’appel de Bruxelles (εφετείο Βρυξελλών, Βέλγιο), το Δικαστήριο αποσαφηνίζει, αφενός, το περιεχόμενο της έννοιας του «υπευθύνου επεξεργασίας» και, αφετέρου, τα όρια των υποχρεώσεων του υπευθύνου επεξεργασίας, όταν περισσότερες από μία οντότητες πραγματοποιούν διαδοχικώς πράξεις επεξεργασίας που αφορούν τα ίδια δεδομένα προσωπικού χαρακτήρα.
Στις 12 Φεβρουαρίου 2019, η Moniteur belge, η οποία εκδίδει και δημοσιεύει στο Βέλγιο ευρύ φάσμα επίσημων και δημόσιων εγγράφων, σε χαρτί ή ηλεκτρονικά, δημοσίευσε απόσπασμα της απόφασης μιας εταιρίας σχετικά με τη μείωση του εταιρικού της κεφαλαίου. Το εν λόγω απόσπασμα που είχε συνταχθεί από τον συμβολαιογράφο ενός από τους εταίρους της εν λόγω εταιρίας και είχε κατατεθεί στο αρμόδιο δικαστήριο το οποίο, εν συνεχεία, το απέστειλε προς δημοσίευση στη Διεύθυνση της επίσημης εφημερίδας περιείχε δεδομένα προσωπικού χαρακτήρα του εν λόγω εταίρου.
Το υποκείμενο των δεδομένων, αφού διαπίστωσε ότι ο συμβολαιογράφος είχε περιλάβει εκ παραδρομής στο απόσπασμα της απόφασης το χωρίο που περιείχε τα δεδομένα προσωπικού χαρακτήρα που το αφορούσαν, ζήτησε την απάλειψή του, κατ’ εφαρμογήν του δικαιώματος διαγραφής (
1
). Εντούτοις, το αίτημά του απορρίφθηκε από τη service public fédéral Justice (ομοσπονδιακή δημόσια υπηρεσία δικαιοσύνης, στο εξής: SPF Justice), στην οποία υπάγεται η Διεύθυνση της Moniteur belge. Κατόπιν της απόρριψης του αιτήματός του, το υποκείμενο των δεδομένων κατέθεσε καταγγελία κατά της SPF Justice στην Autorité de protection des données (Αρχή Προστασίας Δεδομένων, Βέλγιο) (στο εξής: APD). Με απόφαση της 23ης Μαρτίου 2021, η APD υποχρέωσε την SPF Justice να συμμορφωθεί προς το αίτημα διαγραφής το συντομότερο δυνατόν. Κατόπιν τούτου, το État belge (Βελγικό Δημόσιο) προσέφυγε ενώπιον του cour d’appel de Bruxelles (εφετείου Βρυξελλών), ζητώντας την ακύρωση της ως άνω απόφασης.
Στο ως άνω πλαίσιο, το cour d’appel de Bruxelles (εφετείο Βρυξελλών) ζήτησε από το Δικαστήριο να διευκρινίσει, αφενός, αν η Moniteur belge μπορεί να χαρακτηριστεί ως «υπεύθυνος επεξεργασίας» (
2
) και, αφετέρου, αν μπορεί να θεωρηθεί ως μοναδική υπεύθυνη για την τήρηση των αρχών που διέπουν την επεξεργασία των δεδομένων (
3
) ή αν η ευθύνη αυτή βαρύνει σωρευτικώς και τις οντότητες που επεξεργάστηκαν προηγουμένως τα δεδομένα που περιλαμβάνονται στο επίμαχο χωρίο.
Εκτίμηση του Δικαστηρίου
Πρώτον, όσον αφορά το ζήτημα αν η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους, όπως η Moniteur belge, μπορεί να θεωρηθεί ως «υπεύθυνος επεξεργασίας» κατά την έννοια του ΓΚΠΔ, το Δικαστήριο διευκρινίζει ότι, λαμβανομένου υπόψη του ευρέος ορισμού της έννοιας αυτής, ο καθορισμός των σκοπών και του τρόπου της επεξεργασίας και, ενδεχομένως, ο ορισμός του υπευθύνου της επεξεργασίας από το εθνικό δίκαιο μπορούν να γίνονται όχι μόνο ρητώς, αλλά επίσης και εμμέσως. Στην τελευταία αυτή περίπτωση, απαιτείται εντούτοις ο ορισμός του υπευθύνου της επεξεργασίας να συνάγεται με επαρκή βεβαιότητα από τον ρόλο, την αποστολή και τα καθήκοντα που ανατίθενται στη συγκεκριμένη υπηρεσία ή στον συγκεκριμένο φορέα.
Το Δικαστήριο διαπιστώνει ότι, εν προκειμένω, το βελγικό δίκαιο καθόρισε, τουλάχιστον εμμέσως, τους σκοπούς και τον τρόπο της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα την οποία πραγματοποιεί η Moniteur belge. Επομένως, η Moniteur belge μπορεί να θεωρηθεί ως «υπεύθυνος επεξεργασίας».
Το Δικαστήριο τονίζει ότι το συμπέρασμα αυτό δεν αναιρείται από το γεγονός ότι η Moniteur belge δεν διαθέτει νομική προσωπικότητα ούτε από το γεγονός ότι, δυνάμει του εθνικού δικαίου, δεν ελέγχει, πριν από τη δημοσίευση, τα δεδομένα προσωπικού χαρακτήρα τα οποία περιέχουν οι πράξεις και τα έγγραφα που παραλαμβάνει.
Μολονότι ο φορέας αυτός πρέπει να δημοσιεύει το κάθε έγγραφο ως έχει, εντούτοις μόνος αυτός αναλαμβάνει το συγκεκριμένο καθήκον και προβαίνει, εν συνεχεία, στη διάδοση της συγκεκριμένης πράξης ή του συγκεκριμένου εγγράφου. Αφενός, η δημοσίευση τέτοιων πράξεων και εγγράφων χωρίς δυνατότητα ελέγχου ή τροποποίησης του περιεχομένου τους συνδέεται άρρηκτα με τους σκοπούς και τον τρόπο επεξεργασίας που καθορίστηκαν από το εθνικό δίκαιο. Πράγματι, ο ρόλος της επίσημης αυτής εφημερίδας περιορίζεται στην ενημέρωση του κοινού για την ύπαρξη των πράξεων και των εγγράφων αυτών, όπως διαβιβάστηκαν σε αυτήν υπό τη μορφή αντιγράφου σύμφωνα με το εφαρμοστέο εθνικό δίκαιο, ώστε να καταστούν αντιτάξιμα έναντι τρίτων. Αφετέρου, ο αποκλεισμός της επίσημης εφημερίδας κράτους μέλους από την έννοια του «υπευθύνου επεξεργασίας», για τον λόγο ότι δεν ασκεί έλεγχο επί των δεδομένων προσωπικού χαρακτήρα που περιέχουν οι δημοσιεύσεις της, θα ήταν αντίθετος προς τον σκοπό του άρθρου 4, σημείο 7, του ΓΚΠΔ.
Δεύτερον, όσον αφορά το ζήτημα αν ένας φορέας, όπως η Moniteur belge, πρέπει να θεωρηθεί ως μόνος υπεύθυνος για την τήρηση των προβλεπόμενων από τον ΓΚΠΔ αρχών που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα (
4
), το Δικαστήριο παρατηρεί ότι η επεξεργασία που ανατέθηκε στη Moniteur belge είναι μεταγενέστερη της επεξεργασίας τόσο εκ μέρους του συμβολαιογράφου όσο και εκ μέρους της γραμματείας του αρμόδιου δικαστηρίου και, συγχρόνως, είναι τεχνικά διαφορετική από την επεξεργασία που πραγματοποίησαν οι δύο αυτές οντότητες, καθόσον προστίθεται σε αυτήν. Πράγματι, οι πράξεις επεξεργασίας που πραγματοποιεί η Moniteur belge τής ανατίθενται από την εθνική νομοθεσία και συνεπάγονται, μεταξύ άλλων, την ψηφιοποίηση των δεδομένων που περιέχουν οι πράξεις και τα αποσπάσματα πράξεων που της υποβάλλονται, τη δημοσίευσή τους, τη διάθεσή τους σε ένα ευρύ κοινό, καθώς και την αποθήκευσή τους. Ως εκ τούτου, η Moniteur belge πρέπει να θεωρηθεί ως υπεύθυνη για την τήρηση του συνόλου των υποχρεώσεων τις οποίες επιβάλλει ο ΓΚΠΔ στον υπεύθυνο επεξεργασίας.
Επιπλέον, το Δικαστήριο υπενθυμίζει ότι το άρθρο 4, σημείο 7, του ΓΚΠΔ προβλέπει όχι μόνον ότι τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα μπορούν να τους καθορίζουν από κοινού περισσότερα πρόσωπα ως υπεύθυνοι της επεξεργασίας, αλλά επίσης και ότι το εθνικό δίκαιο μπορεί να καθορίζει το ίδιο τους σκοπούς και τον τρόπο της επεξεργασίας και να ορίζει τον υπεύθυνο της επεξεργασίας ή τα ειδικά κριτήρια για τον ορισμό του. Συνεπώς, στο πλαίσιο αλυσίδας πράξεων επεξεργασίας, εκ μέρους διαφορετικών προσώπων ή οντοτήτων, των ίδιων δεδομένων προσωπικού χαρακτήρα, το εθνικό δίκαιο μπορεί να καθορίσει τους σκοπούς και τον τρόπο όλων των πράξεων επεξεργασίας τις οποίες πραγματοποιούν διαδοχικά τα διαφορετικά αυτά πρόσωπα ή οντότητες, κατά τέτοιο τρόπο ώστε αυτά να θεωρούνται ως από κοινού υπεύθυνα για την επεξεργασία.
Το Δικαστήριο επισημαίνει ότι, δυνάμει του ΓΚΠΔ (
5
), η από κοινού ευθύνη περισσότερων συμμετεχόντων σε αλυσίδα πράξεων επεξεργασίας των ίδιων δεδομένων προσωπικού χαρακτήρα μπορεί να προβλέπεται από το εθνικό δίκαιο, εφόσον, αφενός, τις διάφορες πράξεις επεξεργασίας συνδέουν σκοποί και τρόπος επεξεργασίας που έχουν καθοριστεί από το εθνικό δίκαιο και, αφετέρου, το εθνικό δίκαιο ορίζει τα αντίστοιχα καθήκοντα καθενός από τους από κοινού υπευθύνους επεξεργασίας. Ο ως άνω καθορισμός των σκοπών και του τρόπου της επεξεργασίας οι οποίοι συνδέουν διάφορες πράξεις επεξεργασίας που πραγματοποιούν οι συμμετέχοντες στην εν λόγω αλυσίδα, καθώς και των αντίστοιχων καθηκόντων των τελευταίων, μπορεί να γίνει από το εθνικό δίκαιο όχι μόνο άμεσα, αλλά επίσης και εμμέσως, υπό τον όρο, στην τελευταία αυτή περίπτωση, να είναι δυνατόν να συναχθεί κατά τρόπο αρκούντως σαφή από τις διατάξεις του νόμου που διέπουν τα εμπλεκόμενα πρόσωπα και οντότητες, καθώς και την επεξεργασία των δεδομένων προσωπικού χαρακτήρα που αυτά πραγματοποιούν στο πλαίσιο της επιβαλλόμενης από το εθνικό δίκαιο αλυσίδας πράξεων επεξεργασίας.
Συνεπώς, το Δικαστήριο καταλήγει στο συμπέρασμα ότι η υπηρεσία ή ο φορέας που έχει την ευθύνη της επίσημης εφημερίδας κράτους μέλους και χαρακτηρίζεται ως «υπεύθυνος επεξεργασίας» πρέπει να θεωρείται ως μόνος υπεύθυνος για την τήρηση των αρχών που προβλέπονται στον ΓΚΠΔ, όσον αφορά τις πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα τις οποίες υποχρεούται να εκτελέσει δυνάμει του εθνικού δικαίου, εκτός αν από το εθνικό δίκαιο προκύπτει από κοινού ευθύνη του με άλλες οντότητες σε σχέση με τις πράξεις αυτές.
(
1
)	Δικαίωμα που προβλέπεται στο άρθρο 17 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
(
2
)	Κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ.
(
3
)	Δυνάμει του άρθρου 5, παράγραφος 2, του ΓΚΠΔ.
(
4
)	Αρχές τις οποίες προβλέπει υπό τη μορφή υποχρεώσεων το άρθρο 5, παράγραφος 1, του ΓΚΠΔ.
(
5
)	Κατά τη συνδυασμένη ερμηνεία του άρθρου 26, παράγραφος 1, και του άρθρου 4, σημείο 7, του ΓΚΠΔ.