62022CJ0231_RES
C‑231/22. sz. ügy
État belge
kontra
Autorité de protection des données
(a Cour d’appel de Bruxelles [Belgium] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (harmadik tanács), 2024. január 11.
„Előzetes döntéshozatal – Jogszabályok közelítése – A természetes személyeknek a személyes adatok kezelése tekintetében történő védelme és ezen adatok szabad áramlása (általános adatvédelmi rendelet) – (EU) 2016/679 rendelet – A 4. cikk 7. pontja – Az »adatkezelő« fogalma – Tagállami hivatalos lap – A társaságok vagy jogi képviselőik által készített társasági jogi okiratok változatlan formában történő közzétételére vonatkozó kötelezettség – Az 5. cikk (2) bekezdése – Az ilyen okiratokban szereplő személyes adatok egymást követő, több különböző személy vagy szervezet általi kezelése – A felelősségek meghatározása”
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelme – 2016/679 rendelet – Az adatkezelő fogalma – Harmadik személyek által készített hivatalos okiratok és dokumentumok közzétételét ellenőrzési jogkör nélkül biztosító tagállami hivatalos lap – Bennfoglaltság – Feltétel – Az e hivatalos lap által végzett személyesadat‑kezelés céljainak és eszközeinek a nemzeti jogban történő meghatározása – Szabályok – A jogi személyiség hiányából eredő hatás hiánya
(2016/679 európai parlamenti és tanácsi rendelet, 4. cikk, 7. pont)
(lásd: 28., 30., 34-39. pont és a rendelkező rész 1. pontja)
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelme – 2016/679 rendelet – Az adatkezelésre vonatkozó elvek – Az ezen elveknek való megfelelésért felelős személyeknek ugyanezen adatok egymást követő kezelése esetén történő meghatározása – Harmadik személyek által készített hivatalos okiratok és dokumentumok közzétételét biztosító, adatkezelőnek minősülő tagállami hivatalos lap felelőssége – Hatály – A hivatalos lap önálló felelőssége – Más szervezetekkel közös felelősség – Feltétel – A különböző adatkezelési műveletek céljainak és eszközeinek, valamint a közös adatkezelők kötelezettségeinek a nemzeti jogban történő meghatározása – Szabályok
(2016/679 európai parlamenti és tanácsi rendelet, 4. cikk, 7. pont, 5. cikk, (1) és (2) bekezdés, és 26. cikk, (1) bekezdés)
(lásd: 42‑45., 49., 50., 52. pont és a rendelkező rész 2. pontja)
Összefoglalás
A cour d’appel de Bruxelles (brüsszeli fellebbviteli bíróság, Belgium) előzetes döntéshozatal iránti kérelme alapján a Bíróság pontosítja egyrészt az „adatkezelő” fogalmának körvonalait, másrészt pedig az adatkezelő kötelezettségeinek korlátait, amennyiben ugyanazon személyes adatokat egymást követő szervezetek kezelik.
2019. február 12‑én a Moniteur belge ‑ a Belgiumban a hivatalos és nyilvános kiadványok széles körének papíron és elektronikus úton történő előállítását és terjesztését biztosító hivatalos lap ‑ közzétett egy tőkeleszállításra vonatkozó társasági határozatról szóló kivonatot. E kivonat ‑ amelyet a társaság egyik tagjának közjegyzője készített és továbbított a hatáskörrel rendelkező bíróságnak, amely azt közzététel céljából megküldte e hivatalos lap igazgatóságának ‑, e tag személyes adatait tartalmazta.
Az érintett személy, miután észlelte, hogy az adatait tartalmazó szövegrész a közjegyző hibájából bekerült a kivonatba, a törléshez való joga alapján kérte annak törlését (
1
). A service public fédéral Justice (szövetségi igazságügyi hatóság, Belgium, a továbbiakban: SPF Justice), amelyhez a Moniteur belge igazgatósága tartozik, azonban elutasította e kérelmet. Ezen elutasítást követően e személy panaszt nyújtott be az SPF Justice‑szel szemben az Autorité de protection des données‑hoz (adatvédelmi hatóság, Belgium, a továbbiakban: APD). 2021. március 23‑i határozatával az APD felszólította az SPF Justice‑t, hogy a lehető leghamarabb tegyen eleget a törlési kérelemnek. A belga állam ezt követően a cour d’appel de Bruxelles‑hez (brüsszeli fellebbviteli bíróság, Belgium) fordult az APD határozatának megsemmisítése érdekében.
Ebben az összefüggésben a cour d’appel de Bruxelles (brüsszeli fellebbviteli bíróság) azt kérdezte a Bíróságtól, hogy a Moniteur belge„adatkezelőnek” (
2
) minősíthető‑e, és önállóan felel‑e az adatkezelési elveknek való megfelelésért (
3
), vagy pedig e felelősség együttesen terheli azokat a szervezeteket is, amelyek előzetesen kezelték az érintett szövegrészben szereplő adatokat.
A Bíróság álláspontja
Először is azon kérdést illetően, hogy valamely tagállam Moniteur belge‑hez hasonló hivatalos lapjáért felelős ügynökség vagy szerv az általános adatvédelmi rendelet értelmében vett „adatkezelőnek” minősíthető‑e, a Bíróság pontosítja, hogy e fogalom tág meghatározására tekintettel az adatkezelés céljainak és eszközeinek meghatározása – valamint adott esetben ezen adatkezelő nemzeti jog általi kijelölése – nem csupán kifejezett, hanem hallgatólagos is lehet. Ez utóbbi esetben azonban szükséges, hogy e meghatározás kellő bizonyossággal következzen az érintett ügynökség vagy szervezet szerepéből, feladataiból és hatásköreiből.
A Bíróság megállapítja, hogy a jelen ügyben a belga jog – legalábbis hallgatólagosan – meghatározta a személyes adatok Moniteur belge általi kezelésének céljait és eszközeit. Ebből következik, hogy ez utóbbi „adatkezelőnek” tekinthető.
A Bíróság hangsúlyozza, hogy e megállapítást nem kérdőjelezi meg sem az a körülmény, hogy a Moniteur belge nem rendelkezik jogi személyiséggel, sem pedig az a tény, hogy a nemzeti jog értelmében a közzétételük előtt e hivatalos lap nem ellenőrzi az általa kapott okiratokban és dokumentumokban szereplő személyes adatokat.
Noha igaz, hogy a Moniteur belge‑nek az érintett dokumentumot változatlan formában kell közzétennie, kizárólag az ő feladata a közzététel, majd ezt követően az érintett okirat vagy dokumentum terjesztése. Egyrészt az ilyen okiratoknak és dokumentumoknak az ellenőrzés vagy a tartalmuk módosításának lehetősége nélküli közzététele elválaszthatatlanul kapcsolódik az adatkezelés nemzeti jog által meghatározott céljaihoz és eszközeihez. E hivatalos lap szerepe ugyanis arra korlátozódik, hogy tájékoztassa a nyilvánosságot ezen okiratok és dokumentumok létezéséről, abban a formában, ahogyan azokat az alkalmazandó nemzeti jognak megfelelően másolat formájában e laphoz továbbították, oly módon, hogy azokra harmadik személyekkel szemben hivatkozni lehessen. Másrészt ellentétes lenne az általános adatvédelmi rendelet 4. cikke 7. pontjának céljával valamely tagállam hivatalos lapjának az „adatkezelő” fogalma alól abból az okból történő kizárása, hogy ez utóbbi nem gyakorol ellenőrzést a kiadványaiban szereplő személyes adatok fölött.
Másodszor azon kérdést illetően, hogy a Moniteur belge‑hez hasonló szervet önálló felelősnek kell‑e tekinteni az általános adatvédelmi rendeletben említett elveknek (
4
) való megfelelésért, a Bíróság megállapítja, hogy a Moniteur belge‑re bízott adatkezelés későbbi is, mint a közjegyző és a bíróság hivatala által végzett adatkezelés, és technikailag is eltér az e két szerv által végzett adatkezeléstől, amennyiben azokat kiegészíti. A Moniteur belge által végzett műveleteket ugyanis a nemzeti jogszabály írja elő a számára, és azok magukban foglalják többek között a hozzá benyújtott okiratokban vagy azok kivonataiban szereplő adatok digitális átalakítását, azok közzétételét, széles nyilvánosság számára történő hozzáférhetővé tételét, valamint tárolását. Ennélfogva úgy kell tekinteni, hogy felelős az általános adatvédelmi rendelet által az adatkezelővel szemben előírt valamennyi kötelezettségnek való megfelelésért.
A Bíróság ezenkívül emlékeztet arra, hogy az általános adatvédelmi rendelet 4. cikkének 7. pontja nemcsak azt írja elő, hogy a személyes adatok kezelésének céljait és eszközeit adatkezelőként több személy együttesen is meghatározhatja, hanem azt is, hogy a nemzeti jog is meghatározhatja e célokat és eszközöket, és kijelölheti az adatkezelőt vagy a kijelölésére vonatkozó különös szempontokat. Így a különböző személyek vagy szervezetek által végzett, ugyanazon személyes adatokra vonatkozó adatkezelési lánc keretében a nemzeti jog meghatározhatja az e különböző személyek vagy szervezetek által egymást követően végzett adatkezelések összességének céljait és eszközeit oly módon, hogy azok együttesen adatkezelőnek minősüljenek.
A Bíróság hangsúlyozza, hogy az általános adatvédelmi rendelet (
5
) értelmében a nemzeti jog megállapíthatja az ugyanazon személyes adatokra vonatkozó adatkezelési lánc több szereplőjének közös felelősségét, amennyiben a különböző adatkezelési műveleteket az e jog által meghatározott célok és eszközök kötik össze, és e jog meghatározza a közös adatkezelők mindegyikének kötelezettségeit. A láncolat több szereplője által végzett különböző adatkezeléseket összekötő célokat és eszközöket, valamint e szereplők kötelezettségeit a nemzeti jog nemcsak közvetlenül, hanem közvetetten is meghatározhatja, feltéve ez utóbbi esetben, hogy az kellően egyértelműen levezethető az érintett személyekre vagy szervezetekre, valamint az e jog által előírt adatkezelési lánc keretében általuk végzett személyesadat‑kezelésre vonatkozó jogszabályi rendelkezésekből.
Így a Bíróság megállapítja, hogy a valamely tagállam hivatalos lapjáért felelős, „adatkezelőnek” minősülő ügynökség vagy szerv önállóan felelős az általános adatvédelmi rendeletben említett elveknek való megfelelésért a személyes adatok azon kezelésére vonatkozóan, amelyet a nemzeti jog értelmében köteles elvégezni, kivéve ha e jogból e műveletek tekintetében más szervezetekkel közös felelősség következik.
(
1
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; a továbbiakban: általános adatvédelmi rendelet) 17. cikke írja elő.
(
2
)	Az általános adatvédelmi rendelet 4. cikkének 7. pontja értelmében.
(
3
)	Az általános adatvédelmi rendelet 5. cikkének (2) bekezdése alapján.
(
4
)	Az általános adatvédelmi rendelet 5. cikkének (1) bekezdésében kötelezettségek formájában meghatározott elvek.
(
5
)	Az általános adatvédelmi rendelet 26. cikke (1) bekezdésének és 4. cikke 7. pontjának együttes értelmezése szerint.