62022CJ0231_RES
Lieta C‑231/22
État belge
pret
Autorité de protection des données
(Cour d’appel de Bruxelles lūgums sniegt prejudiciālu nolēmumu)
Tiesas (trešā palāta) 2024. gada 11. janvāra spriedums
Lūgums sniegt prejudiciālu nolēmumu – Tiesību aktu tuvināšana – Fizisku personu aizsardzība attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (Vispārīgā datu aizsardzības regula) – Regula (ES) 2016/679 – 4. panta 7. punkts – Jēdziens “pārzinis” – Dalībvalsts oficiālais laikraksts – Pienākums publicēt sabiedrību dokumentus, kādus tos sagatavojušas šīs sabiedrības vai to likumiskie pārstāvji – 5. panta 2. punkts – Šādos dokumentos ietverto personas datu secīga apstrāde, ko veic vairākas atsevišķas personas vai struktūras – Atbildības noteikšana
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Jēdziens “pārzinis” – Dalībvalsts oficiālais laikraksts, kas nodrošina trešo personu sagatavotu aktu un oficiālu dokumentu publicēšanu un kam nav pilnvaru kontrolēt to saturu – Ietveršana – Nosacījums – Šī oficiālā laikraksta veiktās personas datu apstrādes nolūku un līdzekļu noteikšana valsts tiesiskajā regulējumā – Noteikumi – Juridiskas personas statusa neesamības nebūtiskums
(Eiropas Parlamenta un Padomes Regulas 2016/679 4. panta 7. punkts)
(skat. 28., 30., 34.–39. punktu un rezolutīvās daļas 1. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Apstrādes principi – Par šo principu ievērošanu atbildīgo personu noteikšana datu secīgas apstrādes gadījumā – Dalībvalsts oficiālā laikraksta, kas nodrošina trešo personu sagatavotu aktu un oficiālu dokumentu publicēšanu un kam ir pārziņa statuss, atbildība – Tvērums – Oficiālā laikraksta individuālā atbildība – Kopīgā atbildība ar citām struktūrām – Nosacījums – Mērķu un līdzekļu, apvienojot vairākas apstrādes darbības, kā arī kopīgo pārziņu attiecīgos pienākumus, noteikšana valsts tiesiskajā regulējumā – Kārtība
(Eiropas Parlamenta un Padomes Regulas 2016/679 4. panta 7. punkts, 5. panta 1. un 2. punkts un 26. panta 1. pants)
(skat. 42.–45., 49., 50. un 52. punktu un rezolutīvās daļas 2. punktu)
Rezumējums
Tiesa, kurai cour d’appel de Bruxelles (Briseles Apelācijas tiesa, Beļģija) ir iesniegusi lūgumu sniegt prejudiciālu nolēmumu, precizē, pirmkārt, jēdziena “pārzinis” aprises un, otrkārt, pārziņa pienākumu robežas, ja apstrādi, kas attiecas uz vieniem un tiem pašiem personas datiem, dažādas struktūras veic secīgi.
2019. gada 12. februārī Moniteur belge, kas Beļģijā nodrošina plašu oficiālo un publisko publikāciju spektru papīra un elektroniskā formātā sagatavošanu un izplatīšanu, publicēja izrakstu no kādas sabiedrības lēmuma par tās kapitāla samazināšanu. Šajā izrakstā, ko ir sagatavojis sabiedrības dalībnieka notārs un kas ir nosūtīts kompetentajai tiesai, kura savukārt to ir nosūtījusi publicēšanai šī oficiālā laikraksta vadībai, bija ietverti šī dalībnieka personas dati.
Datu subjekts, konstatējis, ka notāra kļūdas dēļ izrakstā bija ietverts fragments ar viņa personas datiem, pieprasīja to dzēst, balstoties uz savām tiesībām uz dzēšanu (
1
). Taču service public fédéral Justice (Federālais valsts tieslietu dienests, turpmāk tekstā – “SPF Justice”), pie kā pieder Moniteur belge, viņa pieteikumu noraidīja. Pēc šī noraidījuma šī persona par SPF Justice iesniedza sūdzību Autorité de protection des données (Datu aizsardzības iestāde, Beļģija; turpmāk tekstā – “DAI”). Ar 2021. gada 23. marta lēmumu DAI uzdeva SPF Justice pēc iespējas ātrāk apmierināt dzēšanas pieprasījumu. Beļģijas valsts vērsās cour d’appel de Bruxelles, lai panāktu DAI lēmuma atcelšanu.
Šajā kontekstā cour d’appel de Bruxelles uzdeva Tiesai jautājumu par to, vai Moniteur belge var kvalificēt kā “pārzini” (
2
) un vai tas ir jāuzskata par vienīgo atbildīgo par datu apstrādes principu ievērošanu (
3
), vai arī šī atbildība kopīgi gulstas arī uz struktūrām, kuras iepriekš ir apstrādājušas attiecīgajā fragmentā ietvertos datus.
Tiesas vērtējums
Pirmkārt, attiecībā uz jautājumu, vai tāda par dalībvalsts oficiālo laikrakstu atbildīgā aģentūra vai struktūra kā Moniteur belge var tikt kvalificēta kā “pārzinis” VDAR izpratnē, Tiesa precizē, ka, ņemot vērā šī jēdziena plašo definīciju, apstrādes nolūki un līdzekļi un attiecīgā gadījumā šis pārzinis valsts tiesībās var būt noteikts ne tikai tieši, bet arī netieši. Pēdējā minētajā gadījumā tomēr tiek prasīts, lai tas pietiekami skaidri izrietētu no attiecīgajam dienestam vai struktūrai piešķirtās lomas, uzdevuma un pilnvarām.
Tiesa konstatē, ka šajā gadījumā Beļģijas tiesībās vismaz netieši ir noteikti Moniteur belge veiktās personas datu apstrādes mērķi un līdzekļi. No tā izriet, ka to var uzskatīt par “pārzini”.
Tiesa uzsver, ka šo secinājumu neatspēko nedz apstāklis, ka Moniteur belge nav juridiskas personas statusa, nedz tas, ka saskaņā ar valsts tiesībām tas pirms publicēšanas nepārbauda saņemtajos aktos un dokumentos ietvertos personas datus.
Lai gan šai struktūrai tik tiešām ir jāpublicē attiecīgais dokuments, kāds tas ir iesniegts, tomēr tikai šis laikraksts veic minēto uzdevumu un pēc tam izplata attiecīgo aktu vai dokumentu. Pirmām kārtām, šādu aktu un šādu dokumentu publicēšana bez iespējas pārbaudīt vai grozīt to saturu ir cieši saistīta ar valsts tiesībās noteiktajiem apstrādes mērķiem un līdzekļiem. Proti, šī oficiālā laikraksta uzdevums ir vienīgi informēt sabiedrību par šo aktu un dokumentu esamību, kas tam ir nosūtīti kopiju veidā saskaņā ar piemērojamajām valsts tiesībām, lai uz tiem varētu atsaukties attiecībā pret trešajām personām. Otrām kārtām, VDAR 4. panta 7. punkta mērķim būtu pretrunā izslēgt no “pārziņa” jēdziena dalībvalsts oficiālo laikrakstu, pamatojoties uz to, ka šis laikraksts neīsteno kontroli pār tā publikācijās ietvertajiem personas datiem.
Otrkārt, attiecībā uz jautājumu par to, vai tāda struktūra kā Moniteur belge ir jāuzskata par vienīgo atbildīgo par VDAR paredzēto personas datu apstrādes principu (
4
) ievērošanu, Tiesa norāda, ka Moniteur belge uzticētā apstrāde notiek gan pēc notāra un kompetentās tiesas kancelejas veiktās apstrādes, gan tehniski atšķiras no šo abu subjektu veiktās apstrādes, jo tā ir papildinoša. Darbības, ko veic Moniteur belge, ir tam uzticētas ar valsts tiesību aktiem un jo īpaši ietver tam iesniegtajos dokumentos vai dokumentu izrakstos iekļauto datu digitalizāciju, to publicēšanu, padarīšanu par pieejamiem sabiedrībai, kā arī to glabāšanu. Līdz ar to tas ir jāuzskata par atbildīgu par visu to pienākumu izpildi, kas pārzinim ir noteikti VDAR.
Tiesa turklāt atgādina, ka VDAR 4. panta 7. punktā ir paredzēts ne tikai tas, ka personas datu apstrādes nolūkus un līdzekļus var kopīgi noteikt vairākas personas kā pārziņi, bet arī tas, ka šos nolūkus un līdzekļus un pārzini vai īpašus kritērijus, kas piemērojami viņa iecelšanai, var noteikt valsts tiesību aktos. Tādējādi apstrādes ķēdē, kurā iesaistītas dažādas personas vai struktūras un kura attiecas uz vieniem un tiem pašiem personas datiem, valsts tiesībās var noteikt visas apstrādes, ko secīgi veic šīs dažādās personas vai struktūras, nolūkus un līdzekļus tādējādi, lai tās varētu uzskatīt par kopīgi atbildīgām par apstrādi.
Tiesa uzsver, ka saskaņā ar VDAR (
5
) vairāku subjektu kopīga atbildība par vienu un to pašu personas datu apstrādi var tikt noteikta valsts tiesībās, ja vien dažādās apstrādes darbības vieno šajās tiesībās noteikti mērķi un līdzekļi un valsts tiesībās ir paredzēti katra kopīgā pārziņa attiecīgie pienākumi. Šādus nolūkus un līdzekļus, kas vieno dažādas apstrādes, kuras veic vairāki ķēdes dalībnieki, kā arī to attiecīgos pienākumus var noteikt ne tikai tieši, bet arī netieši, ja vien pēdējā minētajā gadījumā to pietiekami skaidri var izsecināt no tiesību normām, kas piemērojamas attiecīgajām personām vai struktūrām, kā arī personas datu apstrādei, ko tās veic šajās tiesībās noteiktās apstrādes ķēdes ietvaros.
Tādējādi Tiesa secina, ka aģentūra vai struktūra, kas atbild par dalībvalsts oficiālo laikrakstu un kas ir kvalificēta kā “pārzinis”, ir vienīgā atbildīgā par VDAR minēto principu ievērošanu attiecībā uz personas datu apstrādes darbībām, kas tai ir jāveic saskaņā ar valsts tiesībām, ja vien no šīm tiesībām neizriet ar citām struktūrām kopīga atbildība par šīm darbībām.
(
1
)	Paredzētas Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”), 17. pantā.
(
2
)	VDAR 4. panta 7. punkta izpratnē.
(
3
)	Atbilstoši VDAR 5. panta 2. punktam.
(
4
)	Principi, kas paredzēti pienākumu veidā atbilstoši VDAR 5. panta 1. punktam.
(
5
)	Lasot kopā VDAR 26. panta 1. punktu un 4. panta 7. punktu.