62022CJ0231_RES
Věc C‑231/22
État belge
v.
Autorité de protection des données
(žádost o rozhodnutí o předběžné otázce, kterou podal Cour d’appel de Bruxelles)
Rozsudek Soudního dvora (třetího senátu) ze dne 11. ledna 2024
„Řízení o předběžné otázce – Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů a volný pohyb těchto údajů (obecné nařízení o ochraně osobních údajů) – Nařízení (EU) 2016/679 – Článek 4 bod 7 – Pojem ‚správce‘ – Úřední věstník členského státu – Povinnost zveřejnit v nezměněné podobě akty společností, které byly vyhotoveny těmito společnostmi nebo jejich právními zástupci – Článek 5 odst. 2 – Postupné zpracování osobních údajů uvedených v takovýchto aktech několika různými osobami nebo subjekty – Určení odpovědnosti“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Pojem „správce“ – Úřední věstník členského státu, který zajišťuje zveřejňování úředních aktů a dokumentů vyhotovených třetími osobami a nemá pravomoc kontrolovat jejich obsah – Zahrnutí – Podmínka – Určení účelů a prostředků zpracování osobních údajů tímto úředním věstníkem ve vnitrostátním právu – Způsoby – Neexistence vlivu nedostatku právní subjektivity
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 bod 7]
(viz body 28, 30, 34–39, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Zásady zpracování – Určení osob odpovědných za dodržování těchto zásad v případě postupného zpracování týchž údajů – Odpovědnost úředního věstníku členského státu, který zajišťuje zveřejňování úředních aktů a dokumentů vyhotovených třetími osobami a má postavení správce – Rozsah – Individuální odpovědnost úředního věstníku – Společná odpovědnost s dalšími subjekty – Podmínka – Určení účelů a prostředků spojujících různé operace zpracování, jakož i příslušných povinností společných správců ve vnitrostátním právu – Způsoby
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 bod 7, čl. 5 odst. 1 a 2 a čl. 26 odst. 1)
(viz body 42–45, 49, 50, 52, výrok 2)
Shrnutí
Soudní dvůr, kterému Cour d’appel de Bruxelles (Odvolací soud v Bruselu, Belgie) předložil žádost o rozhodnutí o předběžné otázce, upřesnil jednak rozsah pojmu „správce“ a jednak meze povinností správce, pokud zpracování týchž osobních údajů provádí po sobě následující subjekty.
Dne 12. února 2019 zveřejnil Moniteur belge, který v Belgii zajišťuje výrobu a šíření široké škály úředních a veřejných publikací v papírové a elektronické podobě, výňatek z rozhodnutí společnosti o snížení jejího kapitálu. Tento výňatek, který byl sepsán notářem společníka společnosti a předložen příslušnému soudu, jenž jej následně zaslal ke zveřejnění ředitelství tohoto úředního věstníku, obsahoval osobní údaje tohoto společníka.
Poté, co subjekt údajů zjistil, že pasáž, v níž byly uvedeny jeho údaje, byla v důsledku chyby, které se dopustil notář, začleněna do výňatku, požádal o její vymazání na základě svého práva na výmaz (
1
) . Service public fédéral Justice (Federální ministerstvo spravedlnosti, Belgie) (dále jen „SPF Justice“), kterému ředitelství Moniteur belge podléhá, však jeho žádost zamítlo. Po tomto zamítnutí podal subjekt údajů stížnost na SPF Justice k Autorité de protection des données (Úřad pro ochranu osobních údajů, Belgie) (dále jen „APD“). Rozhodnutím ze dne 23. března 2021 APD nařídil SPF Justice, aby žádosti o výmaz co nejdříve vyhovělo. État belge (belgický stát) se tedy obrátil na Cour d’appel de Bruxelles (Odvolací soud v Bruselu) s cílem dosáhnout zrušení rozhodnutí APD.
V tomto kontextu Cour d’appel de Bruxelles (Odvolací soud v Bruselu) předložil Soudnímu dvoru otázky, zda Moniteur belge může být považován za „správce“ (
2
) a zda musí být považován za jediného odpovědného za dodržování zásad týkajících se zpracování údajů (
3
) nebo tuto odpovědnost nesou kumulativně i subjekty, které předtím zpracovávaly údaje uvedené v dotyčné pasáži.
Závěry Soudního dvora
Pokud jde zaprvé o otázku, zda lze agenturu nebo subjekt pověřený vedením úředního věstníku členského státu, jako je Moniteur belge, kvalifikovat jako „správce“ ve smyslu GDPR, upřesnil Soudní dvůr, že s ohledem na širokou definici tohoto pojmu může být určení účelu a prostředků zpracování, jakož i případně určení správce vnitrostátním právem nejen explicitní, ale i implicitní. V posledně uvedeném případě je však vyžadováno, aby toto určení dostatečně jasně vyplývalo z úlohy, poslání a pravomocí svěřených dotyčné agentuře nebo dotyčnému subjektu.
Soudní dvůr konstatoval, že v projednávaném případě belgické právo přinejmenším implicitně určilo účely a prostředky zpracování osobních údajů prováděného Moniteur belge. Z toho vyplývá, že Moniteur belge může být považován za „správce“.
Soudní dvůr zdůraznil, že tento závěr není zpochybněn ani okolností, že Moniteur belge nemá právní subjektivitu, ani skutečností, že podle vnitrostátního práva osobní údaje obsažené v aktech a v dokumentech, které obdržel, nekontroluje před jejich zveřejněním.
I když je pravda, že tento subjekt musí dotčený dokument zveřejnit v nezměněné podobě, tento úkol však plní pouze on sám a dotčený akt nebo dokument následně šíří. Zveřejnění takovýchto aktů a dokumentů bez možnosti kontroly či změny jejich obsahu je neoddělitelně spojeno s účely a prostředky zpracování stanovenými vnitrostátním právem. Úloha tohoto úředního věstníku se totiž omezuje na informování veřejnosti o existenci těchto aktů a těchto dokumentů, tak jak mu byly zaslány ve formě kopie v souladu s použitelným vnitrostátním právem, aby se staly použitelné vůči třetím osobám. Dále by bylo v rozporu s cílem čl. 4 bodu 7 GDPR vyloučit z pojmu „správce“ úřední věstník členského státu z důvodu, že tento stát nevykonává kontrolu nad osobními údaji uvedenými v jeho publikacích.
Zadruhé, pokud jde o otázku, zda takový subjekt, jako je Moniteur belge, musí být považován za jediného odpovědného za dodržování zásad týkajících se zpracování osobních údajů uvedených v GDPR (
4
), poznamenal Soudní dvůr, že zpracování, které bylo svěřeno Moniteur belge, následuje po zpracování, jež provedl notář a soudní kancelář příslušného soudu, a technicky se liší od zpracování, které bylo provedeno těmito dvěma subjekty, neboť jej doplňuje. Činnosti, které provádí Moniteur belge, jsou mu totiž svěřeny vnitrostátní právní úpravou a zahrnují zejména digitální zpracování údajů uvedených v aktech nebo ve výňatcích z aktů, které mu byly předloženy, jejich zveřejnění, jejich zpřístupnění široké veřejnosti, jakož i jejich uchovávání. Proto musí být považován za subjekt, jenž je odpovědný za dodržování všech povinností, které GDPR ukládá správci.
Soudní dvůr kromě toho připomněl, že čl. 4 bod 7 GDPR stanoví nejen, že účely a prostředky zpracování osobních údajů mohou být určeny společně několika osobami jakožto správci, ale vnitrostátní právo může určit tyto účely a prostředky a určit správce nebo zvláštní kritéria pro jeho určení. V rámci řetězce zpracování prováděného různými osobami nebo subjekty a týkajícího se týchž osobních údajů může vnitrostátní právo určit účely a prostředky všech zpracování prováděných postupně těmito různými osobami nebo subjekty tak, aby byly společně považovány za správce.
Soudní dvůr zdůraznil, že podle GDPR (
5
) může být společná odpovědnost několika subjektů v řetězci zpracování, který se týká týchž osobních údajů, stanovena vnitrostátním právem, pokud jsou jednotlivé operace zpracování spojeny účely a prostředky určenými tímto právem a toto právo vymezuje příslušné povinnosti každého ze společných správců. Takovéto určení účelů a prostředků, které spojují různá zpracování, jež jsou prováděna několika subjekty jednoho řetězce, jakož i jejich příslušných povinností, může být provedeno nejen přímo, ale i nepřímo vnitrostátním právem za podmínky, že v tomto posledně uvedeném případě může být toto určení dostatečně explicitně vyvozeno z ustanovení právních předpisů, které se vztahují na dotčené osoby nebo subjekty, jakož i na zpracování osobních údajů, které tyto osoby nebo subjekty provádějí v rámci řetězce zpracování stanoveného tímto právem.
Soudní dvůr tak dospěl k závěru, že agentura nebo subjekt pověřený vedením úředního věstníku členského státu, který je považován za „správce“, je jediným odpovědným za dodržování zásad uvedených v GDPR, pokud jde o operace zpracování osobních údajů, které je povinen provádět podle vnitrostátního práva, a pokud z tohoto práva nevyplývá v souvislosti s těmito operacemi společná odpovědnost s těmito subjekty.
(
1
) – Upraveno v článku 17 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
(
2
) – Ve smyslu čl. 4 bodu 7 GDPR.
(
3
) – Podle čl. 5 odst. 2 GDPR.
(
4
) – Zásady stanovené formou povinností v čl. 5 odst. 1 GDPR.
(
5
) – Podle ustanovení čl. 26 odst. 1 ve spojení s čl. 4 bodem 7 GDPR.