62022CJ0231_RES
Vec C‑231/22
État belge
proti
Autorité de protection des données
(návrh na začatie prejudiciálneho konania, ktorý podal Cour d’appel de Bruxelles)
Rozsudok Súdneho dvora (tretia komora) z 11. januára 2024
„Návrh na začatie prejudiciálneho konania – Aproximácia právnych predpisov – Ochrana fyzických osôb pri spracúvaní osobných údajov a voľný pohyb takýchto údajov (všeobecné nariadenie o ochrane údajov) – Nariadenie (EÚ) 2016/679 – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Úradný vestník členského štátu – Povinnosť uverejniť v nezmenenej podobe listiny spoločností, ktoré vyhotovili tieto spoločnosti alebo ich právni zástupcovia – Článok 5 ods. 2 – Postupné spracúvanie osobných údajov uvedených v takýchto listinách viacerými rôznymi osobami alebo subjektmi – Určenie zodpovednosti“
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Pojem prevádzkovateľ – Úradný vestník členského štátu zabezpečujúci uverejnenie úradných listín a dokumentov vyhotovených tretími osobami, ktoré nemajú právomoc kontrolovať ich obsah – Začlenenie – Podmienka – Určenie účelov a prostriedkov spracúvania osobných údajov týmto úradným vestníkom vo vnútroštátnom práve – Podmienky – Neexistencia vplyvu nedostatku právnej subjektivity
(Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 bod 7)
(pozri body 28, 30, 34 – 39, bod 1 výroku)
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Zásady spracúvania – Určenie osôb zodpovedných za dodržiavanie týchto zásad v prípade postupného spracúvania tých istých údajov – Zodpovednosť úradného vestníka členského štátu, ktorý zabezpečuje uverejnenie úradných listín a dokumentov vyhotovených tretími osobami, ktoré majú postavenie prevádzkovateľa – Rozsah – Individuálna zodpovednosť úradného vestníka – Spoločná zodpovednosť s inými subjektmi – Podmienka – Určenie účelov a prostriedkov spájajúcich rôzne spracovateľské operácie, ako aj príslušných povinností spoločných prevádzkovateľov vo vnútroštátnom práve – Podmienky
(Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 bod 7, článok 5 ods. 1 a 2 a článok 26 ods. 1)
(pozri body 42 – 45, 49, 50, 52, bod 2 výroku)
Zhrnutie
Súdny dvor, na ktorý Cour d’appel de Bruxelles (Odvolací súd Brusel, Belgicko) podal návrh na začatie prejudiciálneho konania, spresnil jednak hranice pojmu „prevádzkovateľ“ a jednak obmedzenia povinností prevádzkovateľa, ak spracúvanie tých istých osobných údajov vykonávajú po sebe nasledujúce subjekty.
Dňa 12. februára 2019Moniteur belge, ktorý v Belgicku zabezpečuje výrobu a šírenie širokej škály úradných a verejných publikácií v papierovej a elektronickej podobe, uverejnil krátke zhrnutie rozhodnutia spoločnosti o znížení jej základného imania. Toto krátke zhrnutie, ktoré bolo vypracované notárom spoločníka spoločnosti a predložené príslušnému súdu, ktorý ho zase zaslal na uverejnenie riaditeľstvu tohto úradného vestníka, obsahovalo osobné údaje tohto spoločníka.
Po tom, čo dotknutá osoba konštatovala, že pasáž, v ktorej boli uvedené jej údaje, bola začlenená do krátkeho zhrnutia v dôsledku chyby, ktorej sa dopustil notár, požiadala o jej vymazanie na základe svojho práva na vymazanie. (
1
) Service public fédéral Justice (Federálne ministerstvo spravodlivosti; ďalej len „SPF Justice“), ku ktorému patrí riaditeľstvo Moniteur belge, však jej žiadosť zamietlo. V nadväznosti na toto zamietnutie podala táto osoba sťažnosť proti SPF Justice na Autorité de protection des données (Úrad na ochranu osobných údajov, Belgicko) (ďalej len „APD“). Rozhodnutím z 23. marca 2021 APD nariadil SPF Justice, aby čo najskôr vyhovelo žiadosti o vymazanie. État belge (Belgicko) sa teda obrátilo na Cour d’appel de Bruxelles (Odvolací súd Brusel) s cieľom dosiahnuť zrušenie rozhodnutia APD.
V tomto kontexte Cour d’appel de Bruxelles (Odvolací súd Brusel) položil Súdnemu dvoru otázky, či Moniteur belge možno považovať za „prevádzkovateľa“ (
2
) a či ho treba považovať za jediného zodpovedného za dodržiavanie zásad týkajúcich sa spracovania údajov, (
3
) alebo či táto zodpovednosť prináleží kumulatívne aj subjektom, ktoré predtým spracúvali údaje uvedené v dotknutej pasáži.
Posúdenie Súdnym dvorom
V prvom rade, pokiaľ ide o otázku, či agentúru alebo subjekt poverený úradným vestníkom členského štátu, akým je Moniteur belge, možno považovať za „prevádzkovateľa“ v zmysle GDPR, Súdny dvor spresnil, že vzhľadom na širokú definíciu tohto pojmu môže byť určenie účelov a prostriedkov spracúvania, a prípadne určenie prevádzkovateľa vnútroštátnym právom, nielen explicitné, ale aj implicitné. V poslednom uvedenom prípade sa však vyžaduje, aby toto určenie vyplývalo s dostatočnou istotou z úlohy, poslania a právomocí zverených dotknutej agentúre alebo subjektu.
Súdny dvor konštatoval, že v prejednávanej veci belgické právo prinajmenšom implicitne určilo účely a prostriedky spracúvania osobných údajov, ktoré vykonával Moniteur belge. Z toho vyplýva, že Moniteur belge možno považovať za „prevádzkovateľa“.
Súdny dvor zdôraznil, že tento záver nie je spochybnený ani okolnosťou, že Moniteur belge nemá právnu subjektivitu, ani skutočnosťou, že podľa vnútroštátneho práva nekontroluje osobné údaje obsiahnuté v listinách a dokumentoch, ktoré dostal, pred ich uverejnením.
Hoci je pravda, že tento subjekt musí uverejniť dotknutý dokument v nezmenenej podobe, túto úlohu však plní len on sám a následne šíri dotknutú listinu alebo dokument. Na jednej strane uverejnenie takýchto listín a dokumentov bez možnosti kontroly alebo zmeny ich obsahu je neoddeliteľne spojené s účelmi a prostriedkami spracúvania určenými vnútroštátnym právom. Úloha tohto úradného vestníka sa obmedzuje na informovanie verejnosti o existencii týchto listín a dokumentov, tak ako sú mu zaslané vo forme kópie v súlade s uplatniteľným vnútroštátnym právom, spôsobom, aby sa stali uplatniteľnými voči tretím osobám. Na druhej strane by bolo v rozpore s cieľom článku 4 bodom 7 GDPR vylúčiť z pojmu „prevádzkovateľ“ úradný vestník členského štátu z dôvodu, že nevykonáva kontrolu nad osobnými údajmi uvedenými vo svojich publikáciách.
V druhom rade, pokiaľ ide o otázku, či subjekt, akým je Moniteur belge, musí byť považovaný za jediného zodpovedného za dodržiavanie zásad týkajúcich sa spracúvania osobných údajov uvedených v nariadení GDPR, (
4
) Súdny dvor poznamenal, že spracúvanie zverené Moniteur belge nasleduje po spracúvaní vykonanom notárom a zároveň kanceláriou príslušného súdu a tiež sa technicky líši od spracúvania vykonávaného týmito dvoma subjektmi, keďže ho dopĺňa. Operácie, ktoré vykonáva Moniteur belge, sú mu totiž zverené vnútroštátnou právnou úpravou a zahŕňajú najmä digitálnu transformáciu údajov uvedených v listinách alebo vo výpisoch z listín, ktoré mu boli predložené, ich uverejňovanie, sprístupňovanie širokej verejnosti, ako aj ich uchovávanie. Preto ho treba považovať za zodpovedného za dodržiavanie všetkých povinností, ktoré prevádzkovateľovi ukladá GDPR.
Súdny dvor ďalej pripomenul, že článok 4 bod 7 GDPR stanovuje nielen to, že účely a prostriedky spracúvania osobných údajov môžu určiť spoločne viaceré osoby ako prevádzkovateľov, ale aj to, že vnútroštátne právo môže určiť tieto účely a prostriedky a určiť prevádzkovateľa alebo konkrétne kritériá uplatniteľné na jeho určenie. V rámci reťazca spracúvaní vykonávaných rôznymi osobami alebo subjektmi, ktoré sa týkajú tých istých osobných údajov, tak vnútroštátne právo môže určovať účely a prostriedky všetkých spracovateľských operácií vykonávaných postupne za sebou týmito rôznymi osobami alebo subjektmi tak, aby boli spoločne považované za prevádzkovateľov.
Súdny dvor zdôraznil, že podľa GDPR (
5
) môže byť spoločná zodpovednosť viacerých subjektov v postupe spracúvania, ktorý sa týka tých istých osobných údajov, stanovená vnútroštátnym právom, pokiaľ sú rôzne spracovateľské operácie spojené účelmi a prostriedkami určenými týmto právom a toto právo vymedzuje príslušné povinnosti každého zo spoločných prevádzkovateľov. Takéto určenie účelov a prostriedkov, ktoré spája rôzne spracovateľské operácie vykonávané viacerými subjektmi v reťazci, ako aj ich príslušných povinností, možno vykonať nielen priamo, ale aj nepriamo vnútroštátnym právom pod podmienkou, že v tomto poslednom uvedenom prípade sa toto určenie dá dostatočne explicitne vyvodiť z ustanovení právnych predpisov upravujúcich dotknuté osoby alebo subjekty, ako aj spracúvanie osobných údajov, ktoré tieto dotknuté osoby alebo subjekty vykonávajú v rámci reťazca spracúvaní stanoveného týmto právom.
Súdny dvor tak dospel k záveru, že agentúra alebo subjekt poverený vedením úradného vestníka členského štátu, označený za „prevádzkovateľa“, je jediný zodpovedný za dodržiavanie zásad uvedených v GDPR, pokiaľ ide o spracovateľské operácie osobných údajov, ktoré je povinný vykonať podľa vnútroštátneho práva, pokiaľ z tohto práva nevyplýva v súvislosti s týmito operáciami spoločná zodpovednosť s inými subjektmi.
(
1
)	Upravené v článku 17 nariadenia Európskeho parlamentu a Rady EÚ 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
(
2
)	V zmysle článku 4 bodu 7 GDPR.
(
3
)	Podľa článku 5 ods. 2 GDPR.
(
4
)	Zásady stanovené vo forme povinností v článku 5 ods. 1 GDPR.
(
5
)	Podľa znenia článku 26 ods. 1 GDPR v spojení s článkom 4 bodom 7 GDPR.