62022CC0231
CONCLUZIILE AVOCATEI GENERALE
DOAMNA LAILA MEDINA
prezentate la 8 iunie 2023 (
1
)
Cauza C‑231/22
État belge
împotriva
Autorité de protection des données,
intervenient:
LM
[cerere de decizie preliminară formulată de cour d’appel de Bruxelles (Curtea de Apel din Bruxelles, Belgia)]
„Trimitere preliminară – Regulamentul (UE) 2016/679 – Articolul 4 punctele 7 și 8 – Prelucrarea datelor cu caracter personal – Noțiunile de «operator» și «persoană împuternicită de către operator» – Stabilirea scopului și a mijloacelor de prelucrare a datelor – Obligația de desemnare prin dreptul intern – Jurnal oficial – Publicarea unui act de drept al societăților întocmit de un notar – Cerere de retragere – Marjă de apreciere – Irevocabilitate – Articolul 5 alineatul (2) – Operatori succesivi – Obligații distincte ale unor entități distincte”
1.
Acta Diurna erau anunțuri romane oficiale zilnice gravate în piatră sau metal și afișate în locuri publice precum Forumul din Roma. În era digitală, problema cu care se pot confrunta autoritățile naționale este dacă datele publicate în jurnalul oficial al unei anumite țări sunt de asemenea gravate în piatră, metaforic vorbind, sau dacă acestea pot fi șterse sau modificate.
2.
La originea litigiului principal se află publicarea de date de către Moniteur belge (Monitorul belgian), care publică documente oficiale pe hârtie și în format electronic.
3.
Litigiul principal opune État belge (statul belgian) și Autorité de protection des données (Autoritatea pentru Protecția Datelor, Belgia, denumită în continuare „APD”). După ce a constatat că a fost publicat din eroare un pasaj dintr‑o decizie a unei societăți care a fost autentificată de un notar și care conținea, pe lângă datele impuse de dreptul belgian, date cu caracter personal ale unei persoane fizice, responsabilul cu protecția datelor (denumit în continuare „RPD”) al notarului a solicitat Moniteur belge să șteargă acele date. Service Public Fédéral Justice (Ministerul Federal al Justiției), care este autoritatea de gestionare a Moniteur belge, a respins însă această solicitare.
4.
În acest context, întrebările adresate de cour d’appel de Bruxelles (Curtea de Apel din Bruxelles, Belgia) în cererea de decizie preliminară au o aplicabilitate restrânsă. Instanța de trimitere solicită în esență să se stabilească dacă Moniteur belge sau Ministerul Federal al Justiției trebuie considerat „operator” în sensul articolului 4 punctul 7 din Regulamentul (UE) 2016/679 (denumit în continuare „RGPD”) (
2
). În cazul în care răspunsul la această întrebare este afirmativ, instanța de trimitere solicită să se stabilească de asemenea limitele obligațiilor unui operator atunci când prelucrarea este efectuată de entități succesive.
I. Cadrul normativ
A.
Dreptul Uniunii
5.
În capitolul I din RGPD, intitulat „Dispoziții generale”, articolul 4 definește în special următorii termeni: „date cu caracter personal”, „prelucrare”, „operator” și „persoană împuternicită de operator”.
6.
Articolele 5, 6, 17 și 26 din RGPD sunt de asemenea relevante în prezenta cauză.
B.
Dreptul național
1. Codul societăților
7.
Articolul 67 alineatele (1) și (2) din Loi du 7 mai 1999 contenant le Code des sociétés (
3
) (Legea din 7 mai 1999 privind Codul societăților, denumită în continuare „Codul societăților”) prevedea următoarele:
„(1)   Documentele autentice, duplicatele sau originalele înscrisurilor sub semnătură privată și extrasele, în format electronic sau nu, pentru care articolele următoare impun depunerea sau publicarea lor, se depun la grefa tribunalului comercial în a cărui circumscripție teritorială se află sediul social al societății.
[…]
(2)   Documentele depuse se păstrează la dosarul ținut la această grefă pentru fiecare societate în parte, iar societățile în cauză se înscriu în registrul persoanelor juridice, repertoriul Banque‑Carrefour des Entreprises [Oficiul Central de înregistrare a societăților.”
8.
Articolul 71 din codul amintit prevedea:
„Extrasul din actele societăților se semnează, în cazul documentelor autentice, de notar, iar în cazul înscrisurilor sub semnătură privată, de toți asociații în solidar sau de unul dintre aceștia împuternicit de ceilalți cu un mandat special în acest scop.”
9.
Articolul 73 din codul menționat avea următorul cuprins:
„Publicarea se efectuează în anexele la Moniteur belge în termen de 15 zile de la data depunerii, sub sancțiunea tragerii la răspundere a funcționarilor cărora le pot fi imputate omisiunea sau întârzierea.
[…]”
10.
Potrivit articolului 74 alineatul (1) din acest cod:
„În conformitate cu articolele precedente, se depun și se publică următoarele:
(1) actele de modificare a dispozițiilor a căror publicare este prevăzută de prezentul cod;”
2. Decretul regal din 30 ianuarie 2001
11.
Articolul 1 din Arrêté royal du 30 janvier 2001 portant exécution du Code des sociétés (Decretul regal din 30 ianuarie 2001 de punere în aplicare a Codului societăților) (
4
) prevedea:
„[…] grefierii de la tribunalele comerciale primesc spre păstrare toate actele, extrasele din acte, procesele‑verbale și documentele a căror publicare este impusă de Codul societăților […]”
12.
Articolul 11 din acest Decret regal prevedea:
„(1)   Actele, extrasele din acte și documentele pentru care este necesară publicarea în anexele la Moniteur belge se depun la grefă însoțite de o copie. […]
(2)   Toate documentele pe suport de hârtie trebuie să îndeplinească următoarele condiții:
[…]
6
să fie semnate, după caz, de notarul însărcinat sau de persoanele autorizate să reprezinte persoana juridică în raport cu terții, cu precizarea numelor și a calității semnatarilor;
[…]
(3)   Copiile destinate Moniteur belge, actele, extrasele din acte și documentele menționate la articolele 67, 68 și 74 […] din Codul societăților […] se depun fără rectificări sau ștersături. […]
[…]”
13.
Articolul 14 din Decretul regal prevede următoarele:
„Grefierul transmite Direcției Moniteur belge, cel târziu a doua zi lucrătoare după ziua depunerii, copiile actelor, ale extraselor din documente și ale documentelor […] pe care le‑a primit și care trebuie publicate în anexele la Moniteur belge.
[…]”
14.
Articolul 16 din Decretul regal menționat prevedea:
„În cazul în care publicarea este necesară, aceasta se face în anexele la Moniteur belge în termenele prevăzute de lege.”
3. Legea‑program I din 24 decembrie 2002
15.
Articolul 472 din Loi‑programme du 24 décembre 2002 [Legea‑program din 24 decembrie 2002] (
5
) prevede:
„Moniteur belge este o publicație oficială editată de Direction du Moniteur belge, care reunește toate textele pentru care publicarea în Moniteur belge este obligatorie.”
16.
Articolul 474 din legea‑program menționată prevede:
„Publicarea în Moniteur belge de către Direction du Moniteur belge se realizează în trei exemplare tipărite pe hârtie.
[…]
Un exemplar este păstrat în format electronic. Regele stabilește modalitățile de stocare electronică […]”
17.
Articolul 475 din aceeași lege‑program are următorul cuprins:
„Orice alte informații sunt puse la dispoziția publicului prin intermediul site‑ului internet al Direction du Moniteur belge.
Publicațiile puse la dispoziție pe acest site internet sunt reproducerile exacte în format electronic ale exemplarelor pe hârtie menționate la articolul 474.”
18.
Potrivit articolului 475 bis din Legea‑program din 24 decembrie 2002:
„Orice cetățean poate obține contra cost de la Moniteur belge, prin serviciul de asistență telefonică gratuită, o copie a documentelor și a actelor publicate în Moniteur belge. Acest serviciu are de asemenea sarcina de a furniza cetățenilor asistență pentru căutarea de documente.”
19.
Articolul 475 ter din această lege‑program prevede:
„Prin decret regal adoptat în Consiliul de Miniștri, se pot stabili alte măsuri de asistență pentru a asigura difuzarea și accesul cât mai largi posibile la informațiile cuprinse în Moniteur belge.”
II. Situația de fapt, procedura și întrebările preliminare
20.
LM este acționarul majoritar al Bureau LM, o societate privată belgiană cu răspundere limitată.
21.
La 23 ianuarie 2019, societatea a organizat o adunare în cadrul căreia a decis să își reducă capitalul, modificând în acest sens articolele din statut.
22.
În conformitate cu normele legale privind publicitatea, un notar a pregătit un extras. La 12 februarie 2019, notarul l‑a depus la grefa tribunal de l’entreprise néerlandophone de Bruxelles (Tribunalul Comercial neerlandofon din Bruxelles, Belgia) în vederea publicării oficiale în Moniteur belge.
23.
La 22 februarie 2019, acest extras a fost publicat în anexele la Moniteur belge. În special, acesta conținea decizia de reducere a capitalului societății, valoarea inițială a capitalului, cuantumul reducerii, noua valoare a capitalului social și articolele din statut cu noul lor text. Pe lângă informațiile publicate în temeiul unei obligații legale, extrasul în cauză conținea numele celor doi asociați ai societății vizate, sumele care le‑au fost rambursate și numerele de cont bancar ale acestora (denumit în continuare „pasajul în litigiu”), pasaj a cărui publicare nu era impusă prin lege.
24.
După ce a constatat că notarul a comis o eroare prin includerea pasajului în extrasul publicat, RPD‑ul notarului a solicitat Ministerului Justiției, făcând trimitere la articolul 17 din RGPD, să elimine pasajul în cauză și să publice din nou extrasul, dar fără acest pasaj.
25.
La 10 aprilie 2019, Ministerul Justiției a refuzat să aprobe această cerere (
6
) și a propus publicarea unui nou extras, fără pasajul în cauză, lăsând în același timp intactă publicarea inițială din 22 februarie 2019.
26.
La 21 ianuarie 2020, LM, unul dintre cei doi asociați ai societății vizate, a depus la APD o plângere împotriva Moniteur belge (Ministerul Justiției), invocând încălcarea articolului 5 (mai exact principiul reducerii la minimum a datelor), a articolului 6 (prelucrarea datelor cu caracter personal) și a articolului 17 (dreptul la ștergerea datelor) din RGPD.
27.
Prin decizia din 23 martie 2021, APD a admis plângerea și a dispus în esență ștergerea pasajului în cauză.
28.
La 22 aprilie 2021, État belge (statul belgian) a apelat decizia menționată la cour d’appel de Bruxelles (Curtea de Apel din Bruxelles, Belgia), care este instanța de trimitere, solicitând anularea ei. LM a formulat cerere de intervenție în litigiu.
29.
Instanța de trimitere subliniază că părțile sunt în dezacord în ceea ce privește modul în care trebuie interpretată noțiunea de „operator” care figurează la articolul 4 punctul 7 din RGPD. Aceasta arată că, după ce a primit extrasul de la tribunal de l’entreprise néerlandophone de Bruxelles (Tribunalul Comercial neerlandofon din Bruxelles), Moniteur belge, în conformitate cu dispozițiile legale care îi reglementează statutul și misiunea, a publicat acest text ca atare, cu alte cuvinte fără nicio competență de revizuire sau de modificare. În special, instanța de trimitere solicită să se stabilească dacă fiecare dintre potențialele entități succesive sau doar una dintre acestea trebuie calificată drept „operator” în sensul articolului menționat și dacă, prin urmare, este, în temeiul articolului 5 alineatul (2) din RGPD, responsabilă de respectarea principiilor enunțate la articolul 5 alineatul (1) din acest regulament.
30.
În această privință, instanța de trimitere ridică problema dacă o astfel de noțiune de responsabilitate succesivă sau ulterioară este consacrată în regulamentul menționat. În ipoteza în care apreciază că Moniteur belge este destinatarul datelor în sensul articolului 4 punctul 9 din RGPD, instanța de trimitere ridică problema dacă, la rândul său, această publicație a acționat în calitate de operator „ulterior” al prelucrării. Situația nu pare să fie însă aceasta, întrucât, potrivit dreptului belgian aplicabil, Moniteur belge nu este în măsură să stabilească mijloacele și scopurile propriei prelucrări în sensul articolului 4 punctul 7 din RGPD.
31.
În acest context, cour d’appel de Bruxelles (Curtea de Apel din Bruxelles, Belgia) a adresat Curții de Justiție următoarele întrebări:
„1)
Articolul 4 punctul 7 din [RGPD] trebuie interpretat în sensul că un jurnal oficial al unui stat membru – învestit cu o misiune de serviciu public de publicare și de arhivare a unor documente oficiale care, în temeiul legislației naționale aplicabile, are obligația de a publica actele și documentele oficiale a căror publicare îi este impusă de entități publice terțe, astfel cum sunt comunicate de aceste entități după ce au prelucrat ele însele datele cu caracter personal conținute în actele și în documentele respective, fără a fi învestit de legiuitorul național cu o putere de apreciere în ceea ce privește conținutul documentelor care trebuie publicate, precum și în ceea ce privește scopul și mijloacele de publicare – are calitatea de operator de date?
2)
În cazul unui răspuns afirmativ la prima întrebare, articolul 5 alineatul (2) din [RGPD] trebuie interpretat în sensul că numai Jurnalul Oficial în discuție trebuie să respecte obligațiile ce revin operatorului potrivit acestei dispoziții, cu excluderea entităților publice terțe care au prelucrat în prealabil datele cuprinse în actele și în documentele oficiale a căror publicare o solicită, sau aceste obligații revin în mod cumulativ fiecăruia dintre operatorii succesivi?”
32.
APD, guvernele belgian și maghiar, precum și Comisia Europeană au depus observații scrise.
33.
La ședința care a avut loc la 23 martie 2023, au participat APD, guvernul belgian și Comisia.
III. Apreciere
A.
Cu privire la prima întrebare preliminară
34.
Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 4 punctul 7 din RGPD trebuie interpretat în sensul că Jurnalul Oficial al unui stat membru are calitatea de operator de date. Pentru început, trebuie să facem două observații care se referă la formularea acestei întrebări.
35.
În primul rând, din decizia instanței de trimitere reiese că societățile au, în temeiul Codului societăților, obligația legală de a publica diverse documente și decizii în anexele la Moniteur belge. Instanța de trimitere arată de asemenea că Moniteur belge ține de Ministerul Justiției, fără ca acest aspect să fie explicat suplimentar. Din moment ce partajarea competențelor ce revin autorităților naționale ale unui stat membru este reglementată prin norme interne, în prezentele concluzii, ne vom referi numai la Moniteur belge.
36.
În al doilea rând, trebuie să observăm că, în întrebarea sa, instanța de trimitere inserează un pasaj între liniuțe care pare a fi o explicație a competențelor conferite Moniteur belge de către legiuitorul belgian.
37.
Prin urmare, întrebarea menționată ar putea fi reformulată în sensul că se solicită în esență să se stabilească dacă Jurnalul Oficial al unui stat membru precum Moniteur belge, care are, în temeiul legislației naționale aplicabile, sarcina de a publica și a arhiva documentele oficiale, poate fi considerat operator, în sensul articolului 4 punctul 7 din RGPD, în condițiile în care publicarea acestor documente ca atare îi este impusă de entități terțe, atunci când aceste entități au prelucrat ele însele datele cu caracter personal conținute în aceste documente, iar Jurnalul Oficial în cauză nu dispune de nicio marjă de apreciere în ceea ce privește conținutul documentelor care urmează să fie publicate sau scopul și mijloacele acestei publicări.
38.
Pentru a răspunde la această întrebare, trebuie să precizăm de la bun început că termenul „operator” este definit la articolul 4 punctul 7 din RGPD ca fiind „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern”. Din această dispoziție coroborată cu articolul 5 alineatul (1) din RGPD, care stabilește principiile privind prelucrarea datelor cu caracter personal, reiese clar că fiecare etapă a prelucrării datelor necesită existența unui operator (
7
). Astfel, atunci când sunt prelucrate date cu caracter personal, ar trebui să existe întotdeauna un operator care să fie principalul actor în punerea în aplicare a legislației privind protecția datelor (
8
), ceea ce face importantă identificarea operatorului respectiv în fiecare etapă a prelucrării (
9
). Noțiunea de „operator” include atât persoanele fizice și juridice, cât și autoritățile publice, agențiile sau alte organisme. Cu toate acestea, este evident că, în speță, calificarea tipului de entitate nu ridică nicio dificultate.
39.
Înainte de a trece la esența chestiunii, și anume determinarea noțiunii de „operator” în sensul articolului 4 punctul 7 din RGPD, apreciem că este important să se clarifice dacă operațiunile în discuție în prezenta cauză constituie o „prelucrare” de „date cu caracter personal” în sensul articolului 4 punctul 2 și, respectiv, punctul 1 din RGPD.
1. „Prelucrarea” de „date cu caracter personal”
40.
Mai întâi, trebuie amintit că constituie „date cu caracter personal”, în sensul articolului 4 punctul 1 din RGPD, „orice informații privind o persoană fizică identificată sau identificabilă”, dat fiind că, potrivit jurisprudenței, această definiție este aplicabilă atunci când, prin conținutul, scopul sau efectul său, informația este legată de o persoană anume (
10
). În speță, părțile nu contestă că datele din pasajul în cauză, mai precis numele celor doi asociați ai societății și numerele lor de cont bancar, constituie date cu caracter personal. În opinia noastră, sumele care au fost rambursate acestor asociați nu constituie neapărat date cu caracter personal de sine stătătoare. Cu toate acestea, atunci când sunt corelate cu numele persoanelor care le‑au primit, aceste sume trebuie considerate într‑adevăr ca fiind date cu caracter personal.
41.
În al doilea rând, potrivit articolului 4 punctul 2 din RGPD, noțiunea de „prelucrare” este definită ca fiind „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate”, cum ar fi printre altele „consultarea, utilizarea, dezvăluirea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod” a unor date cu caracter personal. Aceste definiții reflectă obiectivul legiuitorului Uniunii de a atribui un sens larg acestor două noțiuni (
11
).
42.
De exemplu, în Hotărârea Google Spain, Curtea a statuat că activitatea unui motor de căutare care constă în găsirea informațiilor publicate sau postate pe internet de terți, indexarea acestora în mod automat, stocarea lor temporară și, în cele din urmă, punerea lor la dispoziția utilizatorilor de internet în funcție de o anumită ordine de preferință trebuie calificată drept „prelucrare a datelor cu caracter personal” în sensul articolului 2 litera (b) din Directiva 95/46/CE (
12
) – care corespunde în esență articolului 4 punctul 2 din RGPD –, atunci când informațiile respective conțin „date cu caracter personal” (
13
). În plus, în Hotărârea Fashion ID (
14
), Curtea a statuat că o prelucrare de date cu caracter personal poate fi constituită din una sau mai multe operațiuni, fiecare dintre acestea având legătură cu una dintre diversele etape pe care le poate implica o prelucrare de date cu caracter personal.
43.
În opinia noastră, în speță, au avut loc trei stadii succesive de prelucrare a datelor cu caracter personal. Prima prelucrare se referă la notarul care a redactat documentul ce urma să fie publicat în Moniteur belge (și care, procedând astfel, a săvârșit eroarea de a include datele cu caracter personal în discuție) și l‑a depus la grefa Tribunalului Comercial. A doua prelucrare se referă la grefă, care a adăugat documentul respectiv la dosarul societății și l‑a trimis spre publicare către Moniteur belge. A treia prelucrare a implicat Moniteur belge, care nu doar că a transformat documentul tipărit de hârtie într‑un document electronic, dar a și colectat, înregistrat, stocat, dezvăluit și diseminat acest document. În opinia noastră, nu există nicio îndoială că toate cele trei stadii și în special operațiunile efectuate de Moniteur belge constituie o „prelucrare” în sensul articolului 4 punctul 2 din RGPD.
44.
Cu toate acestea, faptul că în aceste trei stadii a avut loc o prelucrare nu înseamnă în mod necesar că Moniteur belge a acționat în calitate de operator de date. Astfel, RGPD face o distincție, prevăzută la articolul 4 punctele 7 și 8 din RGPD, între, pe de o parte, operatorii de date și, pe de altă parte, persoanele împuternicite de operatorii de date. În timp ce operatorul definește scopul și mijloacele de prelucrare (
15
), persoana împuternicită de operator prelucrează datele cu caracter personal în numele operatorului (
16
). Prin urmare, deși este clar că cele trei stadii constituie o „prelucrare” în sensul articolului 4 punctul 2 din RGPD, această constatare nu stabilește dacă în speță Moniteur belge – sau o altă entitate implicată în această succesiune de trei etape – are calitatea de operator.
2. Stabilirea scopurilor și a mijloacelor de prelucrare a datelor cu caracter personal
45.
În opinia noastră, a stabili dacă Moniteur belge a acționat în calitate de „operator” echivalează cu a examina dacă acesta „stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal” în sensul articolului 4 punctul 7 din RGPD.
46.
De la bun început, ar trebui amintit că, în conformitate cu jurisprudența relevantă a Curții, noțiunea de „operator” trebuie definită în sens larg. Într‑adevăr, Curtea a statuat deja că obiectivul articolului 4 punctul 7 din RGPD este asigurarea unei protecții eficiente și complete, printr‑o definiție largă a noțiunii de „operator”, a persoanelor în cauză (
17
). În plus, noțiunile de operator și de persoană împuternicită de operator sunt concepte funcționale: acestea sunt menite să repartizeze responsabilități în conformitate cu rolul efectiv al părților (
18
). Altfel spus, „responsabilul de prelucrarea datelor cu caracter personal este persoana care decide de ce și cum vor fi prelucrate aceste date” (
19
). Prin urmare, stabilirea responsabilităților operatorului se „bazează pe o analiză mai degrabă factuală decât formală” (
20
).
47.
În al doilea rând, prin precizarea „singur sau împreună” cu alte persoane, articolul 4 punctul 7 din RGPD recunoaște că „scopurile și mijloacele” de prelucrare a datelor pot fi stabilite de mai multe entități. Cu toate acestea, măsura în care doi sau mai mulți actori exercită împreună controlul poate lua forme diferite (
21
), care vor fi discutate în cadrul analizei celei de a doua întrebări.
48.
În al treilea rând, trebuie menționat că, prin adoptarea Decretului regal din 25 iunie 2020, Regatul Belgiei desemnează Ministerul Justiției drept operator în sensul articolului 4 punctul 7 din RGPD (
22
). Cu toate acestea, evenimentele din litigiul principal au avut loc înainte de intrarea în vigoare a acestui decret. Prin urmare, acesta nu este aplicabil ratione temporis în speță. Rezultă că Curtea trebuie să examineze repartizarea competențelor și a responsabilităților între entitățile naționale înainte de intrarea în vigoare a acestui decret.
49.
Odată făcute aceste precizări introductive, vom examina în continuare condițiile prevăzute la articolul 4 punctul 7 din RGPD, și anume care dintre entitățile în cauză „stabilește scopurile și mijloacele de prelucrare” a datelor cu caracter personal în cauză.
a) Desemnarea implicită a operatorului prin dreptul intern
50.
Această calitate de operator se poate întemeia pe legea aplicabilă sau poate reieși dintr‑o analiză a elementelor factuale sau a circumstanțelor cazului (
23
). Articolul 4 punctul 7 din RGPD prevede că, atunci când scopurile și mijloacele unei astfel de prelucrări sunt stabilite în special prin legislația unui stat membru, operatorul sau criteriile specifice aplicabile pentru desemnarea acestuia pot fi prevăzute în dreptul intern. Rezultă că, atunci când o entitate a fost identificată în mod specific prin legislație drept operator, această desemnare este determinantă (
24
). Cu toate acestea, în speță, nu există nicio dispoziție specifică ce poate să desemneze în mod explicit un operator de date.
51.
Este posibil de asemenea ca legea să desemneze o entitate drept operator, chiar dacă în mod implicit (
25
). De exemplu, atunci când legislația națională impune entității în cauză obligația de a reține sau de a furniza anumite date, o astfel de entitate ar fi considerată operator în ceea ce privește prelucrarea necesară pentru îndeplinirea acestei obligații. O astfel de desemnare implicită prin legislația națională există atunci când din rolul, sarcinile și competențele conferite autorității respective reiese că aceasta stabilește scopurile și mijloacele prelucrării în cauză. În Hotărârea Manni, Curtea s‑a întemeiat pe aprecierea faptelor, statuând că, „întrucât transcrie și stochează informațiile menționate în registru și le comunică, după caz, la cerere unor terți”, autoritatea responsabilă din punct de vedere legal cu ținerea unui registru al societăților efectuează o „prelucrare a datelor cu caracter personal” pentru care are calitatea de „operator”, conform definițiilor furnizate la articolul 2 literele (b) și (d) din Directiva 95/46 (
26
).
52.
În speță, deși nu a desemnat în mod explicit un operator de date, legislația națională prevede că societățile au obligația legală de a publica anumite documente în Moniteur belge (
27
). Astfel, a creat o obligație legală de prelucrare a datelor, care trebuie gestionată de un operator. Legiuitorul național a conceput un sistem în care există trei entități care prelucrează succesiv datele; totuși, părțile au opinii divergente cu privire la care dintre aceste trei entități reprezintă de fapt operatorul (
28
). Prin urmare, trebuie stabilite competențele specifice atribuite acestor entități pentru a determina pe care dintre acestea legiuitorul a desemnat‑o în mod implicit drept operator pentru a treia etapă a prelucrării, și anume operațiunile efectuate de Moniteur belge.
b) Protecția efectivă și completă a persoanelor în cauză
53.
Articolul 4 punctul 7 din RGPD, prin utilizarea verbului „a stabili”, impune ca operatorul să aibă o influență asupra prelucrării în virtutea exercitării unei puteri de decizie (
29
). De exemplu, în cazul plugin‑ului „Îmi place” al Facebook (
30
), problema era dacă Fashion ID, o întreprindere care comercializează online articole de îmbrăcăminte, care a inserat pe site‑ul său internet plugin‑ul „Îmi place” al rețelei sociale Facebook, a stabilit sau nu împreună cu Facebook mijloacele de colectare și de dezvăluire prin transmitere a datelor cu caracter personal ale vizitatorilor site‑ului internet al Fashion ID. În acea cauză, Curtea a statuat în mod explicit că, prin inserarea unui astfel de plugin social pe site‑ul său internet, Fashion ID are o influență decisivă în colectarea și în transmiterea datelor cu caracter personal ale vizitatorilor site‑ului menționat către furnizorul respectivului modul, și anume Facebook Ireland, care nu ar fi existat dacă nu ar fi fost inserat modulul menționat (
31
). Rezultă că exercitarea unei influențe decisive asupra prelucrării datelor cu caracter personal conferă statutul de operator entității care are această influență. Cu toate acestea, lipsa unei influențe decisive nu este suficientă pentru a exclude posibilitatea ca o entitate să beneficieze totuși de statutul de operator.
54.
Din cauza modului în care sunt produse și distribuite informațiile în format electronic, diseminarea datelor pe internet crește exponențial riscurile de încălcare a drepturilor fundamentale la respectarea vieții private și la protecția datelor cu caracter personal (
32
). Conștientă de acest risc, Curtea a adoptat o definiție largă a noțiunii de „operator” (
33
), astfel încât RGPD să garanteze o protecție efectivă și completă a persoanelor vizate, în special a dreptului lor la respectarea vieții private (
34
). În acest sens, în Hotărârea Google Spain, Curtea a statuat că ar fi contrar nu numai modului clar de redactare a articolului 2 litera (d) din Directiva 95/46, care corespunde în esență articolului 4 punctul 7 din RGPD, dar și obiectivului lui o excludere din această definiție a operatorului unui motor de căutare pentru motivul că nu exercită un control asupra datelor cu caracter personal publicate pe paginile web ale unor terți (
35
). Prin adoptarea unei definiții atât de cuprinzătoare, este clară opțiunea Curții în sensul unei interpretări teleologice a acestei dispoziții: definiția „operatorului” trebuie să garanteze protecția efectivă și completă a persoanelor vizate. În plus, trebuie să precizăm că o astfel de interpretare nu poate fi decât consolidată de RGPD, adoptat în temeiul articolului 16 alineatul (1) TFUE, care a împuternicit legiuitorul Uniunii cu salvgardarea dreptului fundamental la protecția datelor cu caracter personal, prevăzut la articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”) (
36
).
55.
În speță, este clar că legiuitorul național a conceput un sistem cu trei stadii diferite de prelucrare: o succesiune, care începe cu redactarea și semnarea de către notar a documentelor în cauză, este urmată de adăugarea documentului la dosarul societății și de păstrarea acestuia de către grefa Tribunalului Comercial și se încheie cu transformarea și publicarea digitale ale acestor documente de către Moniteur belge. Deși este adevărat că Moniteur belge trebuie să publice documentul în cauză ca atare, nu este mai puțin adevărat că, în scopul publicării sale, nici notarul, nici grefa Tribunalului Comercial nu îl transformă într‑un document în format electronic: numai Moniteur belge efectuează o astfel de transformare și apoi difuzează documentul în cauză pe internet.
56.
În special, subliniem că, prin adoptarea articolelor 474-475 ter din Legea‑program din 24 decembrie 2002, legiuitorul național a conferit anumite competențe Moniteur belge. Din aceste dispoziții rezultă că Moniteur belge nu se limitează la publicarea versiunii tipărite pe hârtie a documentelor în cauză, ci le și pune la dispoziție în format electronic prin propriul site internet, le stochează în format electronic, le pune la dispoziția cetățenilor prin furnizarea unui serviciu de asistență telefonică și a unui serviciu de asistență pentru căutări și, în sfârșit, asigură o difuzare și un acces cât mai largi posibil la informațiile cuprinse în Moniteur belge. În consecință, în opinia noastră, din aceste dispoziții rezultă că legiuitorul național, prin faptul că a încredințat Moniteur belge competențe în materie de transformare digitală, de publicare, de difuzare și de stocare a documentelor în cauză, i‑a conferit acestui jurnal [oficial] competențe care se încadrează în noțiunea de „operator” în sensul articolului 4 punctul 7 din RGPD (
37
).
57.
Prin efectuarea operațiunilor sus‑menționate conferite de legiuitor, și anume transformarea digitală, publicarea și difuzarea, Moniteur belge crește exponențial riscul de încălcare a drepturilor fundamentale ale persoanei în cauză (în comparație cu simpla publicare a documentului în versiunea sa tipărită pe hârtie). Prelucrarea efectuată de acest jurnal oficial este cea care amenință de fapt protecția efectivă și completă a persoanei vizate în discuție. În consecință, nu vedem altă alternativă decât să considerăm că, ținând cont de obiectivul de garantare a protecției efective și complete a persoanelor vizate și din cauza eventualelor prejudicii pe care transformarea și difuzarea digitale le pot produce acestor persoane, Moniteur belge nu poate fi exclus din definiția „operatorului” de date în sensul articolului 4 punctul 7 din RGPD.
58.
În cele din urmă, în ceea ce privește aplicabilitatea jurisprudenței privind motoarele de căutare private în cazul unor entități publice precum Moniteur belge, trebuie arătat că, într‑o hotărâre recentă, Curtea a aplicat această jurisprudență cu scopul de a confirma că parchetul trebuie considerat un „operator” (
38
). În opinia noastră, justificarea unei astfel de aplicări este susținută de interpretarea largă dată noțiunii de „operator” în sensul articolului 4 punctul 7 din RGPD, în vederea asigurării protecției efective și complete a drepturilor și libertăților fundamentale ale persoanelor vizate, consacrate în dreptul primar (
39
), indiferent dacă operatorul este o entitate publică sau privată (
40
). Pentru a asigura o astfel de protecție efectivă și completă, principiile privind protecția datelor impuse motoarelor de căutare private sunt relevante atât pentru entitățile private, cât și pentru entitățile publice, care sunt deopotrivă supuse acelorași principii fundamentale privind datele, dar și obligațiilor întemeiate pe RGPD, care constituie o expresie concretă a dreptului primar.
c) Cu privire la calitatea de operator a unei alte entități
59.
În ședință, guvernul belgian a susținut că notarul ar trebui să fie considerat un operator de date, întrucât acesta stabilește mijloacele și scopurile prelucrării datelor.
60.
În opinia noastră, dacă notarul ar trebui să fie considerat unicul operator, în practică, aceasta ar însemna că nimeni nu ar fi operator în a treia etapă de prelucrare, și anume în operațiunile efectuate de Moniteur belge, din moment ce legiuitorul nu a abilitat notarul – astfel cum o ilustrează situația de fapt din speță – să aibă o influență decisivă în această a treia etapă de prelucrare. Totuși, cele trei entități în cauză pot fi implicate în prelucrarea datelor personale în diferite stadii și în diferite grade, astfel încât fiecare dintre ele poate fi considerată operator, însă într‑o măsură și cu un nivel al răspunderii diferite, care decurg din această calitate (
41
). Pe de altă parte, amintim că, astfel cum a arătat Comisia în ședință, legea ar putea, teoretic, să desemneze Moniteur belge ca persoană împuternicită de operator, cu condiția ca legislația națională să fi impus mai multor entități o obligație de redactare, stocare și difuzare digitală a documentului în cauză. Cu toate acestea, pentru ca Moniteur belge să poată fi considerat persoană împuternicită de operator, ar trebui să fie îndeplinite condițiile prevăzute la articolul 28 din RGPD, ceea ce, în mod evident, nu este cazul în împrejurările prezentate Curții, întrucât fiecare entitate în discuție este responsabilă pentru propria porțiune din prelucrare (
42
). Prin urmare, Moniteur belge nu poate fi considerat ca fiind o „persoană împuternicită de operator” în sensul acestei dispoziții.
61.
În plus, guvernul belgian a susținut că legiuitorul național acționează el însuși în calitate de operator sau definește o entitate însărcinată cu controlul, în timp ce Moniteur belge exercită doar competențele care îi sunt conferite. Potrivit guvernului menționat, jurisprudența referitoare la motoarele de căutare private nu se poate aplica entităților publice, întrucât Moniteur belge, în calitate de autoritate publică înființată de legiuitor, nu își poate stabili singur misiunea și sarcinile.
62.
Astfel cum am arătat deja (
43
), în speță, legiuitorul național a desemnat în mod implicit Moniteur belge drept operator de date, conferindu‑i competența de a efectua un anumit număr de sarcini specifice.
63.
În orice caz, considerăm că, în cazul în care Curtea ar constata că legiuitorul național are calitatea de operator ori de câte ori își exercită competența de a stabili scopurile și mijloacele unei anumite operațiuni de prelucrare, o astfel de abordare ar avea drept consecință faptul că persoanele fizice nu ar mai beneficia de o protecție efectivă, astfel încât noțiunea de operator ar fi lipsită de efectul său util. Într‑adevăr, protecția efectivă a persoanelor vizate nu poate fi asigurată dacă numeroasele responsabilități ale operatorului ar fi îndeplinite, în raport cu fiecare prelucrare de date cu caracter personal prevăzută de legislația unui stat membru, chiar de legiuitor. De aceea, în opinia noastră, atunci când o autoritate publică este învestită cu competențe de prelucrare a datelor cu caracter personal, nu legiuitorul este operatorul, ci autoritatea care îndeplinește sarcinile publice este entitatea care controlează scopurile și mijloacele acestei prelucrări (
44
). Din circumstanțele speței reiese în mod clar că prelucrarea în cauză, astfel cum am explicat la punctul 43 din prezentele concluzii, se desfășoară ca o punere în aplicare a legislației naționale, ceea ce exclude ipoteza potrivit căreia legiuitorul însuși – la momentul adoptării legilor – este operatorul prelucrării datelor cu caracter personal.
d) Cu privire la lipsa unei marje de apreciere
64.
În speță, din legislația națională prezentată Curții reiese că Moniteur belge nu are nicio putere de decizie în ceea ce privește textele pe care este obligat să le publice (
45
). Într‑adevăr, după cum a subliniat guvernul belgian în observațiile scrise și în ședință, Moniteur belge a avut la dispoziție 15 zile (
46
) pentru a publica documentul care trebuie să fie o copie exactă a documentului redactat de notar. În caz de omisiune sau de întârziere, funcționarul public din cadrul Moniteur belge riscă să fie acționat în instanță pentru daune (
47
). Pentru a evita o asemenea situație, această autoritate nu verifică dacă informațiile pe care este obligată să le publice sunt complete, valide sau exacte. Prin urmare, astfel cum susține guvernul belgian, rezultă că Moniteur belge nu are competența de a controla conținutul acestor documente, inclusiv datele cu caracter personal pe care acestea le‑ar putea conține.
65.
Cu toate acestea, având în vedere că legiuitorul însuși nu acționează, la momentul adoptării legilor, în calitate de operator și că nicio altă entitate nu are vreo influență asupra stabilirii scopurilor și a mijloacelor prelucrării în cauză – și anume transformarea digitală și difuzarea digitală a documentelor în discuție –, pentru a evita o lacună în ceea ce privește desemnarea, Moniteur belge trebuie să fie desemnat ca operator. Notarul și grefa Tribunalului Comercial nu au pur și simplu competența de a interveni în etapa respectivă. În aceste condiții, faptul că Moniteur belge nu are o marjă de apreciere nu poate servi ca o exceptare de la protecția efectivă a persoanelor vizate. Prin urmare, trebuie să se constate că Moniteur belge este un operator în sensul articolului 4 punctul 7 din RGPD, chiar dacă unul desemnat în mod implicit, pentru prelucrarea datelor cu caracter personal în cazul publicării de documente, astfel cum impune legislația națională.
e) Ștergerea datelor cu caracter personal
66.
Din situația de fapt din speță reiese că RPD al notarului a solicitat Ministerului Justiției (în numele Moniteur belge) să șteargă – să elimine de pe internet – pasajul în litigiu și să publice extrasul fără acest pasaj. Ministerul Justiției a refuzat să dea curs acestei solicitări și a propus publicarea unui nou extras. În aceste condiții, rezultă că notarul în cauză nu are abilitarea de a dispune modificarea sau retragerea pasajului în litigiu. Cu toate acestea, trebuie să subliniem că nu rezultă nici că o altă entitate ar dispune de această abilitare.
67.
Guvernul belgian arată că intenția legiuitorului național a fost ca documentele publicate în Moniteur belge să fie păstrate în timp în formă definitivă în scopul arhivării și ca versiunea electronică a publicațiilor să rămână pentru totdeauna o copie exactă a versiunii tipărite pe hârtie, ceea ce exclude orice modificare retroactivă. Guvernul belgian adaugă că, pentru a corecta un document al unei persoane juridice publicat în Moniteur belge, notarul trebuie să depună un act de modificare la grefa Tribunalului Comercial, care trebuie să solicite apoi Direcției Moniteur belge să publice acest act de modificare. Pe de altă parte, în dreptul belgian, nu este posibilă ștergerea completă a actului original, în caz contrar, putându‑se încălca principiul irevocabilității Moniteur belge.
68.
În opinia noastră, refuzul autorității publice de a șterge pasajul care conține datele cu caracter personal în discuție și de a publica documentul în cauză fără acest pasaj are ca efect menținerea acestor date la dispoziția publicului. Aceasta înseamnă, în opinia noastră, că autoritatea menționată, atunci când aplică legislația națională, acționează ca „operator” în sensul articolului 4 punctul 7 din RGPD, din moment ce stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal prin faptul că nu retrage pasajul în litigiu și îl menține public. Dacă Moniteur belge nu ar fi recunoscut ca operator, ar rezulta că nicio autoritate nu ar avea acest statut (
48
).
69.
În opinia noastră, calitatea de „operator” nu poate depinde de faptul că o autoritate precum Moniteur belge nu poate, în temeiul dreptului intern, să dea curs unei solicitări de ștergere a datelor. Prin urmare, atunci când există o lacună în legislația națională, revine autorităților naționale și, în această etapă, instanței naționale sarcina de a desemna, prin aplicarea RGPD, entitatea care trebuie să respecte obligațiile care decurg din acest regulament. În speță, întrucât datele sunt prelucrate, ele rămân accesibile publicului, însă dreptul intern nu a desemnat o autoritate responsabilă ca operator pentru această porțiune din prelucrare.
70.
Într‑o astfel de ipoteză, dat fiind că legiuitorul național a lăsat o lacună prin nedesemnarea unui operator, Curtea ar trebui să indice că revine instanței de trimitere sarcina de a desemna ca operator, pe baza împrejurărilor descrise Curții, Moniteur belge (sau Ministerul Justiției, potrivit aprecierii acestei instanțe). Numai o astfel de interpretare ar fi conformă, în opinia noastră, cu obiectivul articolului 4 punctul 7 din RGPD de a asigura, printr‑o definiție cuprinzătoare dată noțiunii de „operator”, o protecție efectivă și completă a persoanelor vizate (
49
). Astfel s‑ar evita de asemenea breșele și s‑ar preveni o posibilă eludare a normelor RGPD.
71.
În ceea ce privește argumentele practice întemeiate pe principiul irevocabilității informațiilor difuzate de Moniteur belge, revine legiuitorului național, în lumina obligațiilor care decurg, printre altele, din articolele 5 și 17 din GDPR, sarcina să adopte un cadru legislativ care să țină seama de protecția persoanelor vizate și de acest principiu. Deoarece publicarea datelor cu caracter personal crește exponențial riscul de prejudicii la adresa persoanelor vizate, sunt necesare soluții inovatoare care să fie prevăzute de dreptul intern (
50
).
72.
În concluzie, în speță, propunem Curții să statueze că Moniteur belge acționează ca „operator” în sensul articolului 4 punctul 7 din RGPD atunci când decide să refuze retragerea pasajului în litigiu din spațiul public, adică atunci când menține acest pasaj la dispoziția publicului.
3. Concluzie provizorie
73.
În speță, legislația națională a creat o obligație de a desemna un operator de date pentru a respecta obligațiile care decurg din RGPD. În primul rând, în ceea ce privește transformarea, publicarea și difuzarea digitale ale datelor în cauză, Moniteur belge trebuie să fie identificat ca „operator” de date în sensul articolului 4 punctul 7 din RGPD în scopul garantării drepturilor fundamentale ale persoanei vizate. În al doilea rând, în ceea ce privește neretragerea datelor în cauză, există o lacună în legislația națională, în măsura în care niciuna dintre entitățile în cauză nu este autorizată să retragă aceste date. Într‑un astfel de caz, revine instanței naționale, care aplică RGPD pentru a asigura protecția drepturilor fundamentale ale persoanelor vizate, să desemneze un operator care, în cazul de față, pare a fi Moniteur belge.
74.
Prin urmare, propunem să se răspundă la prima întrebare că articolul 4 punctul 7 din RGPD trebuie interpretat în sensul că un jurnal oficial al unui stat membru precum Moniteur belge, care are, în temeiul legislației naționale aplicabile, sarcina de a publica și de a arhiva documente oficiale în scopul asigurării unei protecții efective și complete a persoanelor vizate, poate fi considerat operator în sensul articolului 4 punctul 7 din RGPD, în situații când publicarea acestor documente ca atare îi este impusă de entități terțe, întrucât legiuitorul național a conferit acestui jurnal [oficial] competența de a stabili mijloacele de transformare, publicare, difuzare și stocare digitale ale documentelor în cauză și a definit scopuri largi de publicare și de difuzare. Cu toate acestea, în ceea ce privește lipsa desemnării operatorului în raport cu retragerea sau ștergerea datelor și întrucât datele în cauză rămân la dispoziția publicului, revine instanței naționale sarcina de a desemna entitatea care trebuie să se conformeze obligațiilor ce decurg din RGPD.
75.
Doar în cazul în care Curtea adoptă acest răspuns la prima întrebare, ar trebui să răspundă apoi la a doua întrebare, și anume dacă Moniteur belge sau autoritatea care îl administrează trebuie să fie singura responsabilă de respectarea obligațiilor impuse de RGPD operatorului de date.
B.
Cu privire la a doua întrebare preliminară
76.
Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 5 alineatul (2) din RGPD trebuie interpretat în sensul că numai Jurnalul Oficial în discuție este chemat să respecte obligațiile ce revin operatorului de date în temeiul acestei dispoziții, cu excluderea entităților terțe care au prelucrat anterior datele cuprinse în documentele oficiale pentru care aceștia solicită publicarea, sau dacă aceste obligații revin în mod cumulativ fiecăruia dintre operatorii succesivi.
77.
Potrivit articolului 5 alineatul (2) din RGPD, operatorul este responsabil de respectarea principiilor enunțate la alineatul (1) al acestui articol, cum sunt principiile reducerii la minimum a datelor și exactității (
51
), și trebuie să fie în măsură să demonstreze că aceste principii au fost respectate. Întrucât o persoană fizică urmărește să obțină ștergerea datelor cu caracter personal pentru care legislația națională nu impune publicarea, instanța de trimitere explică faptul că este chemată să decidă dacă Moniteur belge sau autoritatea care îl administrează trebuie să fie singura responsabilă de respectarea principiilor reducerii la minimum a datelor și exactității sau dacă celelalte două entități sunt de asemenea responsabile de respectarea acestor principii.
78.
În special, instanța de trimitere, în timp ce arată că părțile din litigiul principal nu invocă existența unor operatori asociați, cum prevede articolul 26 din RGPD, ridică problema dacă fiecare dintre potențialii operatori succesivi sau doar unul dintre aceștia trebuie să fie calificat drept „operator” în sensul articolului 4 punctul 7 din acest regulament și, prin urmare, să fie considerat responsabil, în temeiul articolului 5 alineatul (2) din regulamentul menționat, de respectarea principiilor menționate anterior.
1. Operațiuni care se succed în timp
79.
Astfel cum am arătat deja (
52
), datele cu caracter personal în cauză, inserate în pasajul în litigiu publicat în Moniteur belge, au fost prelucrate succesiv de mai multe entități, și anume de notarul care a redactat extrasul, de grefa tribunal de l’entreprise néerlandophone de Bruxelles (Tribunalul Comercial neerlandofon din Bruxelles) care l‑a adăugat la dosarul societății și, în sfârșit, de Moniteur belge care l‑a publicat ca atare.
80.
În ceea ce privește acest lanț de evenimente, trebuie observat că prelucrarea datelor cu caracter personal în cauză, încredințată Moniteur belge, nu numai că este ulterioară prelucrării efectuate de notar și de grefa Tribunalului Comercial, însă este și diferită din punct de vedere tehnic de și suplimentară față de prelucrarea efectuată de aceste două entități. Este important de subliniat că, în măsura în care operațiunile efectuate de Moniteur belge implică în special transformarea digitală a datelor conținute în extrasele documentelor care îi sunt prezentate, publicarea, punerea la dispoziția publicului larg și stocarea acestor date, operațiunile încredințate în mod legal Moniteur belge au – în comparație cu prelucrările efectuate anterior de celelalte două entități – un efect semnificativ și adițional și prezintă un risc pentru drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal (
53
).
81.
Prin urmare, revine Moniteur belge sarcina de a respecta toate obligațiile impuse operatorului prin RGPD în ceea ce privește operațiunile de prelucrare care îi sunt impuse de dreptul intern.
2. Excluderea unei răspunderi comune
82.
Articolul 4 punctul 7 din RGPD recunoaște că „scopurile și mijloacele de prelucrare” pot fi stabilite de mai mulți actori. Acesta precizează că noțiunea de „operator” se referă la organismul care, „singur sau împreună cu altele”, stabilește scopurile și mijloacele de prelucrare. Această situație este prevăzută la articolul 26 din RGPD, potrivit căruia mai multe entități diferite pot acționa în calitate de operatori în cadrul aceleiași prelucrări, fiecare dintre ei fiind în acest caz supus dispozițiilor aplicabile în materie de protecție a datelor (
54
).
83.
Amintim că articolul 26 alineatul (1) din RGPD prevede că, în cazul în care doi sau mai mulți operatori stabilesc în comun scopurile și mijloacele de prelucrare, aceștia sunt operatori asociați. Același alineat adaugă că operatorii asociați trebuie să își definească responsabilitățile fiecăruia în scopul asigurării îndeplinirii tuturor cerințelor din RGPD într‑un mod transparent, cu excepția cazului și în măsura în care obligațiile respective sunt stabilite, printre altele, în dreptul intern care se aplică acestor operatori. Prin urmare, răspunderea comună a mai multor operatori nu depinde neapărat de existența unui acord între diferiți operatori și nici de intenția lor, ci poate decurge din dreptul intern, cu condiția ca desemnarea mai multor operatori și obligațiile fiecăruia dintre aceștia în raport cu cerințele RGPD să poată fi deduse din dreptul intern respectiv.
84.
Totuși, faptul că mai mulți actori sunt implicați în același lanț de prelucrare nu înseamnă că ei acționează în mod necesar ca operatori asociați (
55
). De altfel, Curtea a statuat că o persoană fizică sau juridică nu poate fi considerată răspunzătoare pentru stadiile anterioare sau ulterioare ale lanțului de prelucrare pentru care nu stabilește nici scopurile, nici mijloacele (
56
). Astfel, în speță, nu rezultă că dreptul intern a desemnat operatori asociați, întrucât notarul nu exercită niciun control asupra operațiunilor efectuate de Moniteur belge.
85.
Prin urmare, considerăm că, în speță, răspunderea comună a celor trei entități nu este instituită în dreptul național și nici nu poate fi stabilită pe baza situației de fapt, astfel cum a fost prezentată de instanța de trimitere. În ceea ce privește situația de fapt din litigiul principal, subliniem în special că cele trei entități din acest lanț nu sunt supuse acelorași mijloace de prelucrare, întrucât Moniteur belge realizează transformarea, publicarea și difuzarea digitale ale documentelor în cauză. Mai mult, având în vedere faptele din litigiul principal, persoana fizică în cauză care dorește să facă uz de dreptul său la ștergerea datelor în temeiul articolului 17 din RGPD ar trebui să își exercite drepturile prevăzute de RGPD în privința și împotriva fiecăruia dintre operatorii asociați. Din acest punct de vedere, fiecare dintre actori ar fi, așadar, în mod separat răspunzător de respectarea principiilor prevăzute la articolul 5 alineatul (1) din RGPD (
57
).
86.
Rezultă că, în opinia noastră, nu se poate stabili o răspundere „cumulativă” a diferiților operatori în temeiul articolului 5 alineatul (2) din RGPD. Într‑adevăr, fiecare dintre actorii implicați în lanțul de prelucrare nu poate fi responsabil decât în mod individual pentru respectarea principiilor prevăzute la articolul 5 alineatul (1) din același regulament prin raportare la operațiunile de prelucrare pe care le‑a efectuat în conformitate cu scopurile și cu mijloacele de prelucrare a datelor. În speță, din moment ce datele au fost publicate eronat nu de notar, ci de Moniteur belge, considerăm că această autoritate, deși nu a inclus ea însăși datele în pasajul în litigiu, trebuie să fie de asemenea considerată răspunzătoare în mod individual de respectarea principiilor prevăzute la articolul 5 alineatul (1) din RGPD.
87.
În cele din urmă, am dori să subliniem că revine instanței de trimitere sarcina de a verifica compatibilitatea cu RGPD a legislației naționale care prevede posibilitatea de rectificare, dar nu și de ștergere a datelor publicate în Moniteur belge. Într‑adevăr, legislația națională nu pare să permită Moniteur belge să șteargă retroactiv date deja publicate (inclusiv în format electronic). În acest context, este adevărată că drepturile la rectificare și la ștergere a datelor, prevăzute la articolele 16 și, respectiv, 17 din RGPD, pot să fie limitate în temeiul dreptului național, astfel cum se menționează la articolul 23 din RGPD. Cu toate acestea, o astfel de limitare trebuie, în conformitate cu articolul 52 alineatul (1) din cartă, să fie prevăzută de lege, să respecte substanța drepturilor fundamentale ale persoanelor fizice și să respecte principiul proporționalității (
58
).
3. Concluzie provizorie
88.
Prin urmare, propunem să se răspundă la a doua întrebare că articolul 5 alineatul (2) din RGPD trebuie interpretat în sensul că Jurnalul Oficial în discuție trebuie să respecte obligațiile ce revin operatorului de date potrivit acestei dispoziții în legătură cu operațiunile pe care le‑a efectuat. Prelucrarea în cauză nu conduce la exercitarea unui control în comun, iar Moniteur belge este singurul responsabil în ceea ce privește operațiunile de prelucrare care îi sunt impuse prin dreptul intern.
IV. Concluzie
89.
Având în vedere considerațiile care precedă, propunem Curții să răspundă la întrebarea preliminară adresată de cour d’appel de Bruxelles (Curtea de Apel din Bruxelles, Belgia) după cum urmează:
Articolul 4 punctul 7 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că un jurnal oficial al unui stat membru precum Moniteur belge, care are, în temeiul legislației naționale aplicabile, sarcina de a publica și de a arhiva documente oficiale în scopul asigurării unei protecții efective și complete a persoanelor vizate, poate fi considerat operator în sensul articolului 4 punctul 7 din Regulamentul 2016/679, în situații când publicarea acestor documente ca atare îi este impusă de entități terțe, întrucât legiuitorul național a conferit acestui jurnal [oficial] competența de a stabili mijloacele de transformare, publicare, difuzare și stocare digitale ale documentelor în cauză și a definit scopuri largi de publicare și de difuzare. Cu toate acestea, în ceea ce privește lipsa desemnării operatorului în raport cu retragerea sau ștergerea datelor și întrucât datele în cauză rămân la dispoziția publicului, revine instanței naționale sarcina de a desemna entitatea care trebuie să se conformeze obligațiilor ce decurg din Regulamentul 2016/679.
Articolul 5 alineatul (2) din Regulamentul 2016/679 trebuie interpretat în sensul că Jurnalul Oficial în discuție trebuie să respecte obligațiile ce revin operatorului de date potrivit acestei dispoziții în legătură cu operațiunile pe care le‑a efectuat. Prelucrarea în cauză nu conduce la exercitarea unui control în comun, iar Moniteur belge este singurul responsabil în ceea ce privește operațiunile de prelucrare care îi sunt impuse prin dreptul intern.
(
1
)	Limba originală: engleza.
(
2
)	Regulamentul Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119 p. 1).
(
3
)	Moniteur belge, 6 august 1999, p. 29440.
(
4
)	Moniteur belge, 6 februarie 2001, p. 3008.
(
5
)	Moniteur belge, 31 decembrie 2002, p. 58686.
(
6
)	Acesta a invocat excepția prevăzută la articolul 17 alineatul (3) și la articolul 86 din RGPD.
(
7
)	Potrivit articolului 4 punctul 2 din RGPD, „prelucrare” înseamnă „orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea”.
(
8
)	A se vedea Hotărârea din 13 mai 2014, Google Spain și Google (C‑131/12, EU:C:2014:317, denumită în continuare „Hotărârea Google Spain”), și Lynskey, O., „Control over Personal Data in a Digital Age: Google Spain v AEPD and Mario Costeja Gonzalez”, în The Modern Law Review, vol. 78, nr. 3, 2015, p. 522-534.
(
9
)	A se vedea Concluziile avocatului general Ćapeta prezentate în cauza Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, punctul 17). A se vedea de asemenea Hotărârea din 10 iulie 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punctul 68), și Bygrave, L. A., și Tossoni, L., „Article 4(7). Controller” în Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L., și Tosoni, L. (editori), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press, Oxford, 2021, p. 146-150.
(
10
)	A se vedea în acest sens Hotărârea din 20 decembrie 2017, Nowak (C‑434/16, EU:C:2017:994, punctul 35).
(
11
)	Ibidem, punctul 34, precum și Hotărârea din 24 februarie 2022, Valsts ieņēmumu dienests (Prelucrarea datelor personale în scopuri fiscale) (C‑175/20, EU:C:2022:124, punctul 35).
(
12
)	Directiva Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10).
(
13
)	Hotărârea Google Spain, punctul 41. A se vedea de asemenea Hotărârea din 8 decembrie 2022, Google (Dezindexarea unui conținut pretins inexact) (C‑460/20, EU:C:2022:962, punctul 49).
(
14
)	Hotărârea din 29 iulie 2019 (C‑40/17, EU:C:2019:629, punctul 72).
(
15
)	Articolul 4 punctul 7 din RGPD.
(
16
)	Articolul 4 punctul 8 din RGPD. De exemplu, în ceea ce privește răspunderea unui motor de căutare, Curtea a statuat că prelucrarea datelor cu caracter personal efectuată în cadrul activității unui motor de căutare este diferită de și se adaugă la cea efectuată de editorii de site‑uri internet, care constă în a încărca aceste date pe o pagină de internet, subliniind că operatorul motorului de căutare este persoana care stabilește scopurile și mijloacele activității desfășurate de acest motor de căutare [Hotărârea din 8 decembrie 2022, Google (Dezindexarea unui conținut pretins inexact) (C‑460/20, EU:C:2022:962, punctul 44)].
(
17
)	A se vedea în acest sens Hotărârea Google Spain, punctul 34, și Hotărârea din 5 iunie 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, punctul 28).
(
18
)	A se vedea Avizul 07/2020 referitor la noțiunile de „operator” și de „persoană împuternicită de operator” din RGPD, CEPD, punctul 12.
(
19
)	Concluziile avocatului general Bot prezentate în cauza Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2017:796, punctul 46).
(
20
)	Avizul 1/2010 referitor la noțiunile de „operator” și de „persoană împuternicită de operator”, WP 169, p. 11, al Grupului de lucru „Articolul 29” privind protecția datelor, care este un organism consultativ instituit în temeiul articolului 29 din Directiva 95/46, înlocuit în prezent de Comitetul european pentru protecția datelor (denumit în continuare „CEPD”), instituit în temeiul articolului 68 din RGPD.
(
21
)	Van Alsenoy, B., „Chapter 4. Allocation of Responsibility” în Data Protection Law in the EU: Roles, Responsibilities and Liability, ediția I, Bruxelles, Intersentia, Mortsel, 2019, p. 43-53.
(
22
)	A se vedea articolul 2 din Decretul regal din 25 iunie 2020 de instituire a unui model pentru publicarea în Moniteur belge la care face referire articolul 1250 din Codul judiciar. Trebuie subliniat că, în calitate de operator de date în sensul articolului 4 punctul 7 din RGPD, Ministerul Justiției trebuie nu doar să asigure „gestionarea operațională a publicației și furnizarea mijloacelor tehnice pentru prelucrare”, ci și să respecte obligațiile prevăzute în regulamentul menționat în ceea ce privește prelucrarea (a se vedea în special articolele 5 și 6 din RGPD).
(
23
)	Orientările 07/2020 privind noțiunile de operator și de persoană împuternicită de operator din RGPD, CEPD, punctul 20.
(
24
)	Ibidem.
(
25
)	Cu toate acestea, obligația, prevăzută la articolul 4 punctul 7 din RGPD coroborat cu articolul 5 alineatul (1) litera (b) din acesta, ca scopurile să fie determinate și explicite impune cel puțin ca orice stabilire indirectă a scopurilor prelucrării să reiasă din dispozițiile legale care stau la baza activității autorității vizate.
(
26
)	A se vedea Hotărârea din 9 martie 2017, Manni (C‑398/15, EU:C:2017:197, punctul 35).
(
27
)	A se vedea articolele 71 și 73 din Codul societăților.
(
28
)	În ședință, guvernul belgian a susținut că legea a desemnat în mod implicit notarul drept operatorul de date, în timp ce APD a susținut că legea a desemnat mai curând Moniteur belge în această calitate.
(
29
)	Hotărârea din 10 iulie 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punctul 68).
(
30
)	Hotărârea din 29 iulie 2019, Fashion ID (C‑40/17, EU:C:2019:629).
(
31
)	Ibidem, punctele 78 și 79.
(
32
)	Astfel cum a arătat avocatul general Pitruzzella în Concluziile prezentate în cauza Google (Dezindexarea unui conținut pretins inexact) (C‑460/20, EU:C:2022:271, punctul 15), datorită acestui aspect, Curtea a statuat în Hotărârea Google Spain că prelucrarea datelor cu caracter personal efectuată în cadrul activității unui motor de căutare este diferită de și se adaugă la cea efectuată de editorii de site‑uri web, care constă în a încărca aceste date pe o pagină de internet.
(
33
)	Hotărârea din 29 iulie 2019, Fashion ID (C‑40/17, EU:C:2019:629, punctul 70).
(
34
)	A se vedea în acest sens Hotărârea din 24 septembrie 2019, GC și alții (Dezindexarea unor date sensibile) (C‑136/17, EU:C:2019:773, punctul 37).
(
35
)	Hotărârea Google Spain, punctul 34.
(
36
)	A se vedea considerentul (1) al RGPD.
(
37
)	A se vedea punctul 68 de mai jos.
(
38
)	Hotărârea din 8 decembrie 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Scopurile prelucrării datelor cu caracter personal – Anchetă penală) (C‑180/21, EU:C:2022:967, punctul 80).
(
39
)	A se vedea punctul 54 de mai sus.
(
40
)	A se vedea în special considerentele (1) și (4) ale RGPD și articolul 1 alineatul (2) din acesta.
(
41
)	A se vedea în acest sens Hotărârea din 10 iulie 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, punctul 66).
(
42
)	Potrivit articolelor 28 și 29 din RGPD, prelucrarea de către o persoană împuternicită de un operator trebuie să fie reglementată printr‑un contract sau un act juridic în temeiul dreptului Uniunii sau al dreptului intern, care are caracter obligatoriu pentru persoana împuternicită de operator în raport cu operatorul și care conține precizări referitoare la prelucrare. Legiuitorul național ar fi trebuit să stabilească norme privind prelucrarea pentru ca Moniteur belge să poată fi considerat operator.
(
43
)	A se vedea punctele 55-57 din prezentele concluzii.
(
44
)	În plus, acest argument prezentat de guvernul belgian contrazice propriul argument prezentat în ședință, prin care a susținut că Moniteur belge nu aplică legea, ci dă mai curând curs cererii notarului.
(
45
)	Articolele 474-476 din Legea‑program din 24 decembrie 2002.
(
46
)	Termenul a devenit de 10 zile în temeiul noilor norme.
(
47
)	A se vedea în special articolele 73 și 76 din Codul societăților.
(
48
)	Problema care se ridică în acest caz este dacă legiuitorul belgian nu a limitat competențele operatorului într‑un mod care este contrar RGPD. S‑ar putea susține că o astfel de limitare este problematică nu numai în lumina articolului 17 din RGPD, ci și a articolului 16 alineatul (1) TFUE și a articolului 8 alineatul (1) din cartă, și poate eventual submina efectul util al protecției acordate de RGPD. Cu toate acestea, deși instanța de trimitere va trebui să examineze aceste chestiuni, întrucât cererea persoanei vizate se întemeiază pe articolul 17 din RGPD, ele nu fac în mod evident obiectul prezentei cereri de decizie preliminară formulate de această instanță.
(
49
)	A se vedea punctul 54 de mai sus.
(
50
)	În ședință, Comisia a explicat că, de exemplu, Jurnalul Oficial al Uniunii Europene poate fi modificat și că există astfel de soluții.
(
51
)	A se vedea articolul 5 alineatul (1) literele (c) și (d) din RGPD.
(
52
)	A se vedea punctul 55 de mai sus.
(
53
)	Astfel cum a arătat avocatul general Pitruzzella în Concluziile prezentate în cauza Google (Dezindexarea unui conținut pretins inexact) (C‑460/20, EU:C:2022:271, punctul 15), din cauza acestui aspect, Curtea a statuat în Hotărârea Google Spain că prelucrarea datelor cu caracter personal efectuată în cadrul activității unui motor de căutare poate fi diferențiată de și se adaugă la cea efectuată de editorii de site‑uri web, care constă în a încărca aceste date pe o pagină de internet.
(
54
)	Hotărârea din 29 iulie 2019, Fashion ID (C‑40/17, EU:C:2019:629, punctul 67). A se vedea de asemenea Orientările 07/2020 privind noțiunile de operator și persoană împuternicită de operator din RGPD, CEPD, punctul 29.
(
55
)	A se vedea Orientările 07/2020 privind noțiunile de operator și persoană împuternicită de operator din RGPD, CEPD, punctul 67. Astfel cum a indicat Comisia, nu toate tipurile de parteneriat, cooperare sau colaborare presupun ca entitățile să fie controlori asociați, deoarece această calitate necesită o analiză de la caz la caz a fiecărei prelucrări și a rolului exact pe care fiecare entitate îl joacă în cadrul fiecărei prelucrări. Susținem că răspunderea comună ar trebui luată în considerare atunci când două entități efectuează operațiuni de prelucrare care nu pot fi distinse ca etape separate ale prelucrării.
(
56
)	A se vedea în acest sens Hotărârea din 29 iulie 2019, Fashion ID (C‑40/17, EU:C:2019:629, punctul 74).
(
57
)	De exemplu, numai grefa tribunal de l’entreprise néerlandophone de Bruxelles (Tribunalul Comercial neerlandofon din Bruxelles) are competența de a adăuga pasajul în cauză la dosarul societății.
(
58
)	A se vedea în acest sens Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559, punctele 172-176).