Förslag till avgörande av generaladvokat Medina – Mål C‑231/22 État belge (personuppgifter som behandlats av en officiell tidning)

1. Acta diurna var romerska dagliga officiella notiser som ristades in i sten eller i metall och som sattes upp på offentliga platser såsom Forum Romanum i Rom. I den digitala eran kan de nationella myndigheterna ställas inför frågan huruvida de uppgifter som publiceras i ett visst lands officiella tidning också är inristade i sten, bildligt talat, eller huruvida de kan raderas eller ändras.

2. Det som ligger till grund för nationella målet är publicering av uppgifter i Belgiens officiella tidning, Moniteur belge, som offentliggör officiella handlingar i pappersform och elektroniskt.

3. Det nationella målet rör en tvist mellan État belge (belgiska staten) och Autorité de protection des données (Dataskyddsmyndigheten, Belgien). Efter att ha konstaterat att ett textavsnitt i ett bolagsbeslut som hade bestyrkts av en notarie vilket, utöver de uppgifter som krävs enligt belgisk rätt, innehöll personuppgifter om en fysisk person hade publicerats av misstag, begärde notariens dataskyddsombud att Moniteur belge skulle radera de uppgifterna. Service Public Fédéral Justice (den statliga rättsliga myndigheten) (nedan kallad SPF Justice), som är den ansvariga myndigheten för Moniteur belge, avslog dock denna begäran.

4. Mot denna bakgrund har de frågor som Cour d'appel de Bruxelles (Appellationsdomstolen i Bryssel, Belgien) har ställt i sin begäran om förhandsavgörande en ganska snäv räckvidd. Den hänskjutande domstolen vill, i huvudsak, få klarhet i huruvida Moniteur belge eller SPF Justice ska anses vara ”personuppgiftsansvarig” i den mening som avses i artikel 4.7 i förordning (EU) 2016/679 (nedan kallad dataskyddsförordningen). Om den frågan besvaras jakande vill den hänskjutande domstolen även få klarhet i var gränserna går för en personuppgiftsansvarigs skyldigheter när behandlingen utförs av på varandra följande enheter.

I. Tillämpliga bestämmelser

A. Unionsrätt

5. I kapitel I i dataskyddsförordningen, med rubriken ”Allmänna bestämmelser”, definieras i artikel 4 bland annat följande begrepp: personuppgifter, behandling, personuppgiftsansvarig och personuppgiftsbiträde.

6. Artiklarna 5, 6, 17 och 26 i dataskyddsförordningen är också relevanta i förevarande mål.

B. Nationell rätt

1. Bolagslagen

7. I artikel 67.1 och 67.2 i Loi du 7 mai 1999 contenant le Code des sociétés (bolagslagen av den 7 maj 1999) (nedan kallad bolagslagen) föreskrevs följande:

”1. Certifierade kopior av officiella handlingar, kopior eller original av egenhändigt undertecknade handlingar och utdrag, även i elektronisk form, vilka måste inges eller offentliggöras enligt följande artiklar, ska inges till kansliet vid den domstol inom vars domkrets bolaget har sitt säte.

…

2. De ingivna handlingarna ska förvaras i respektive bolags akt som förs vid det kansliet, och bolagen i fråga ska föras in i handelsregistret, det vill säga Banque-Carrefour des Entreprises (centralt organ för företagsregistrering).”

8. I artikel 71 i lagen angavs följande:

”Utdrag ur bolagshandlingar ska, som officiella handlingar, undertecknas av notarier och, som egenhändigt undertecknade handlingar, av alla partner solidariskt eller av en av dem, som av de övriga har fått ett särskilt mandat för detta.”

9. I artikel 73 i den lagen föreskrevs följande:

”Offentliggörande ska ske i bilagorna till Moniteur belge inom 15 dagar från ingivandet. I annat fall ska de tjänstemän som kan tillskrivas försummelsen eller dröjsmålet vara skadeståndsskyldiga.

…”

10. I artikel 74.1.1 i den lagen anges följande:

”Följande ska inges och offentliggöras i enlighet med föregående artiklar:

1. Rättsakter om ändring av de bestämmelser som ska offentliggöras enligt denna lag.

…”

2. Kunglig förordning av den 30 januari 2001

11. I artikel 1 i Arrêté royal du 30 janvier 2001 portant exécution du Code des sociétés (Kunglig förordning om genomförande av bolagslagen) föreskrevs följande:

”… Domstolshandläggarna vid [företags]domstolarna ska ta emot alla handlingar, utdrag ur handlingar, protokoll och dokument som ska offentliggöras enligt bolagslagen.”

12. I artikel 11 i den kungliga förordningen föreskrevs följande:

”1. Handlingar, utdrag ur handlingar och dokument som ska offentliggöras enligt bilagorna till Moniteur belge ska, förutom om de inges elektroniskt, inges till kansliet tillsammans med en kopia. …

2. Alla pappersdokument som inges måste uppfylla följande krav:

…

6°) vara undertecknade, beroende på vad som är lämpligt, av tjänstgörande notarie eller de personer som är behöriga att företräda den juridiska personen gentemot tredje part,

…

3. De kopior, handlingar, utdrag ur handlingar och dokument som avses i artiklarna 67, 68 och 74 … i bolagslagen … och som är avsedda för Moniteur belge ska inges utan att korrigeras eller redigeras.

…”

13. Artikel 14.1 i den kungliga förordningen har följande lydelse:

”Registratorn ska, senast den andra arbetsdagen efter dagen för ingivandet, till redaktionsledningen för Moniteur belge skicka kopior av de handlingar, utdrag ur handlingar och dokument … som registratorn har erhållit och som ska offentliggöras i bilagorna till Moniteur belge.

…”

14. I artikel 16 i den kungliga förordningen angavs följande:

”Om offentliggörande är nödvändigt ska det ske i bilagorna till Moniteur belge inom de tidsfrister som anges i lag.”

3. Ramlagen I av den 24 december 2002

15. I artikel 472 i Loi-programme du 24 décembre 2002 (Ramlagen av den 24 december 2002) föreskrivs följande:

”Moniteur belge är en officiell tidning som ges ut av redaktionsledningen för Moniteur belge, vilken ska sammanställa alla de texter som ska offentliggöras i Moniteur belge.”

16. I artikel 474 i ramlagen anges följande:

”Moniteur belge ska publiceras av Moniteur belges redaktionsledning i tre tryckta exemplar.

…

Ett exemplar ska lagras elektroniskt. Kungen ska fastställa arrangemangen för elektronisk lagring …”

17. Artikel 475 i ramlagen har följande lydelse:

”Tidningen ska i övrigt vara tillgänglig för allmänheten på webbplatsen för Moniteur belges redaktionsledning.

Utgåvorna på webbplatsen ska vara exakta elektroniska kopior av de pappersexemplar som föreskrivs i artikel 474.”

18. I artikel 475a i ramlagen av den 24 december 2002 anges följande:

”Varje medborgare kan till självkostnadspris av Moniteur belge erhålla en kopia av de handlingar och dokument som offentliggörs i Moniteur belge genom en gratis telefontjänst. Denna tjänst ansvarar också för att ge medborgarna hjälp med att söka efter dokument.”

19. I artikel 475b i ramlagen anges följande:

”Andra kompletterande åtgärder ska vidtas genom en kunglig förordning som antas i ministerrådet för att säkerställa största möjliga spridning och tillgång till den information som finns i Moniteur belge.”

II. Bakgrund, förfarandet och tolkningsfrågorna

20. LM är majoritetsaktieägare i Bureau LM, som är ett belgiskt privat aktiebolag.

21. Den 23 januari 2019 höll bolaget en bolagsstämma vid vilket det beslutades att minska bolagets kapital. Bolagets bolagsordning ändrades i enlighet därmed genom beslut av bolagsstämman.

22. En notarie iordningsställde ett utdrag i enlighet med lagbestämmelserna om offentliggörande. Den 12 februari 2019 ingav notarien utdraget vid tribunal de l’entreprise néerlandophone de Bruxelles (Nederländskspråkiga företagsdomstolen i Bryssel, Belgien) för offentliggörande i Moniteur belge.

23. Den 22 februari 2019 offentliggjordes utdraget i bilagorna till Moniteur belge. Det innehöll bland annat beslutet att minska bolagets kapital, storleken på det ursprungliga kapitalet och på minskningen, det nya aktiekapitalbeloppet och den nya texten till bolagsordningen. Utöver den information som offentliggjordes enligt ett lagstadgat krav innehöll det aktuella utdraget uppgifter om namnen på de två delägarna, vilka belopp som hade återbetalats till dem samt deras bankkontonummer (nedan kallat det omtvistade avsnittet), vilka inte behövde offentliggöras enligt lag.

24. Efter att ha konstaterat att notarien felaktigt hade inkluderat det omtvistade avsnittet i det publicerade utdraget begärde notariens dataskyddsombud, med hänvisning till artikel 17 i dataskyddsförordningen, att SPF Justice skulle radera det omtvistade avsnittet och publicera utdraget igen, denna gång utan det avsnittet.

25. SPF Justice avslog denna begäran den 10 april 2019 och erbjöd sig att publicera ett nytt utdrag, utan det omtvistade avsnittet, samtidigt som den ursprungliga publikationen av den 22 februari 2019 inte skulle ändras.

26. Den 21 januari 2020 ingav LM, en av de två delägarna i det berörda bolaget, ett klagomål till Dataskyddsmyndigheten mot Moniteur belge (SPF Justice) och åberopade åsidosättande av artikel 5 (i synnerhet principen om uppgiftsminimering), artikel 6 (behandling av personuppgifter) och artikel 17 (rätt till radering) i dataskyddsförordningen.

27. Dataskyddsmyndigheten biföll klagomålet genom beslut av den 23 mars 2021 och beslutade, i huvudsak, att det omtvistade avsnittet skulle raderas.

28. Belgiska staten överklagade den 22 april 2021 detta beslut till Cour d'appel de Bruxelles (Appellationsdomstolen i Bryssel, Belgien), den hänskjutande domstolen, och yrkade att beslutet skulle upphävas. LM har intervenerat i målet.

29. Den hänskjutande domstolen påpekar att parterna är oense om hur begreppet personuppgiftsansvarig i artikel 4.7 i dataskyddsförordningen ska tolkas. Den hänskjutande domstolen konstaterar att Moniteur belge, efter att ha erhållit utdraget från Tribunal de l'entreprise néerlandophone de Bruxelles (Nederländskspråkiga företagsdomstolen i Bryssel), publicerade den texten i oförändrat skick i enlighet med de lagbestämmelser som reglerar dess ställning och uppdrag, det vill säga utan några som helst gransknings- eller ändringsbefogenheter. Den hänskjutande domstolen vill bland annat få klarhet i huruvida var och en av de eventuella på varandra följande enheterna eller endast en av dem ska kvalificeras om ”personuppgiftsansvarig” i den mening som avses i den artikeln, och därmed, i enlighet med artikel 5.2 i dataskyddsförordningen, är ansvarig för att de principer som fastställs i artikel 5.1 i den förordningen följs.

30. I detta avseende frågar sig den hänskjutande domstolen huruvida ett sådant begrepp som på varandra följande eller senare ansvar finns inskrivet i den förordningen. Om Moniteur belge ska anses vara mottagare av uppgifterna i den mening som avses i artikel 4.9 i dataskyddsförordningen, vill den hänskjutande domstolen få klarhet i huruvida Moniteur belge i sin tur har agerat i egenskap av ”senare” personuppgiftsansvarig för behandlingen. Detta tycks emellertid inte vara fallet eftersom Moniteur belge, enligt tillämplig belgisk rätt, inte kan bestämma medlen och ändamålen för sin egen behandling i den mening som avses i artikel 4.7 i dataskyddsförordningen.

31. Det är mot denna bakgrund som Cour d'appel de Bruxelles (Appellationsdomstolen i Bryssel, Belgien) har ställt följande frågor till EU-domstolen för förhandsavgörande:

”1) Ska artikel 4.7 i [dataskyddsförordningen] tolkas så, att en officiell tidning i en medlemsstat – vilken har ett allmännyttigt uppdrag att offentliggöra och arkivera officiella handlingar och vilken enligt tillämplig nationell lagstiftning ska offentliggöra rättsakter och officiella handlingar som andra offentliga instanser har begärt att tidningen ska offentliggöra, i den form de överlämnas av dessa instanser efter det att de själva har behandlat personuppgifterna i dessa rättsakter och handlingar, utan att den nationella lagstiftaren har gett [den officiella] tidningen något utrymme för skönsmässig bedömning i fråga om innehållet i de handlingar som ska offentliggöras och i fråga om ändamålet och medlen för offentliggörandet – är personuppgiftsansvarig?

2) Ska artikel 5.2 i [dataskyddsförordningen] tolkas så – för det fall den första frågan besvaras jakande – att den officiella tidningen i fråga ska vara ensamt skyldig att iaktta de förpliktelser som åligger den personuppgiftsansvarige enligt denna bestämmelse, med undantag av de andra offentliga instanser som först har behandlat uppgifterna i de rättsakter och officiella handlingar som de har begärt att tidningen ska offentliggöra, eller åligger dessa förpliktelser kumulativt var och en av de på varandra följande personuppgiftsansvariga?”

32. Dataskyddsmyndigheten, den belgiska och den ungerska regeringen samt Europeiska kommissionen har inkommit med skriftliga yttranden.

33. Dataskyddsmyndigheten, den belgiska regeringen och kommissionen deltog vid förhandlingen som hölls den 23 mars 2023.

III. Bedömning

A. Den första tolkningsfrågan

34. Genom sin första fråga vill den hänskjutande domstolen, i huvudsak, få klarhet i huruvida artikel 4.7 i dataskyddsförordningen ska tolkas så, att en medlemsstats officiella tidning har ställning som personuppgiftsansvarig. Jag vill inledningsvis göra två anmärkningar som rör formuleringen av den frågan.

35. För det första framgår det av beslutet från den hänskjutande domstolen att bolagslagen föreskriver att bolag har en rättslig skyldighet att offentliggöra olika handlingar och beslut i bilagorna till Moniteur belge. Den hänskjutande domstolen har även påpekat att Moniteur belge lyder under SPF Justice, utan att närmare gå in på detta. Eftersom maktfördelningen mellan en medlemsstats nationella myndigheter regleras av nationell rätt kommer jag i förevarande förslag till avgörande därför enbart att hänvisa till Moniteur belge.

36. För det andra vill jag påpeka att den hänskjutande domstolen i sin fråga har infogat ett stycke mellan tankstreck som verkar vara en förklaring av de befogenheter som den belgiska lagstiftaren har tilldelat Moniteur belge.

37. Den frågan kan följaktligen omformuleras så att den, i huvudsak, handlar om huruvida en medlemsstats officiella tidning, såsom Moniteur belge, som enligt tillämplig nationell lagstiftning har ett uppdrag att offentliggöra och arkivera officiella handlingar, kan anses vara personuppgiftsansvarig, i den mening som avses i artikel 4.7 i dataskyddsförordningen, i situationer där andra enheter begär att de handlingarna ska offentliggöras utan ändring, där de enheterna själva har behandlat personuppgifterna i de handlingarna och där den officiella tidningen inte har något utrymme för skönsmässig bedömning i fråga om innehållet i de handlingar som ska offentliggöras och i fråga om ändamålet och medlen för offentliggörandet.

38. För att besvara den frågan vill jag redan från början påpeka att begreppet personuppgiftsansvarig definieras i artikel 4.7 i dataskyddsförordningen som ”en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt”. Det framgår tydligt av den bestämmelsen, jämförd med artikel 5.1 i dataskyddsförordningen, där principerna för behandling av personuppgifter fastställs, att det måste finnas en personuppgiftsansvarig i varje skede av uppgiftsbehandlingen. När personuppgifter behandlas bör det således alltid finnas en personuppgiftsansvarig som är den ”viktigaste aktören i genomförandet i dataskyddslagstiftningen”, varmed det är viktigt att i varje skede av behandlingen fastställa vem som är personuppgiftsansvarig. Begreppet personuppgiftsansvarig omfattar både fysiska och juridiska personer samt offentliga myndigheter, byråer eller andra organ. Det är emellertid uppenbart att det inte innebär några svårigheter att kvalificera typen av enhet i förevarande fall.

39. Innan jag övergår till frågans kärna, det vill säga fastställandet av begreppet personuppgiftsansvarig i den mening som avses i artikel 4.7 i dataskyddsförordningen, anser jag det viktigt att klargöra huruvida de aktuella åtgärderna i förevarande mål utgör ”behandling” av personuppgifter i den mening som avses i artikel 4.2 respektive 4.1 i dataskyddsförordningen.

1. ”Behandling” av ”personuppgifter”

40. För det första ska det erinras om att med ”personuppgifter” i den mening som avses i artikel 4.1 i dataskyddsförordningen avses ”varje upplysning som avser en identifierad eller identifierbar fysisk person”, vilket enligt fast rättspraxis tolkas så, att den definitionen är tillämplig när den aktuella upplysningen på grund av sitt innehåll, syfte eller verkan är knuten till en bestämd person. I förevarande fall är det ostridigt mellan parterna att de uppgifter som finns med i det omtvistade avsnittet, såsom namnen på de två delägarna och deras bankkontonummer, utgör personuppgifter. Jag anser inte att de belopp som har återbetalats till dem nödvändigtvis utgör personuppgifter i sig, men att de ska betraktas som personuppgifter när de ges tillsammans med namnen på de personer som har erhållit dem.

41. För det andra definieras begreppet behandling i artikel 4.2 i dataskyddsförordningen som ”en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej”, såsom bland annat ”läsning”, ”användning”, ”utlämning genom överföring”, ”spridning” eller ”tillhandahållande på annat sätt” av personuppgifter. Dessa definitioner avspeglar unionslagstiftarens avsikt att ge dessa båda begrepp en vidsträckt innebörd.

42. I sin dom i målet Google Spain fann domstolen exempelvis att en sökmotors verksamhet – som består i att lokalisera information som har publicerats eller lagts ut på internet av tredje män, indexera den på automatisk väg, lagra den tillfälligt och slutligen ställa den till förfogande för internetanvändare enligt en viss prioriteringsordning – ska anses utgöra ”behandling av personuppgifter” i den mening som avses i artikel 2 b i direktiv 95/46/EG –, som i stort sett motsvarar artikel 4.2 i dataskyddsförordningen – när informationen innehåller ”personuppgifter”. I domen i målet Fashion ID konstaterade domstolen dessutom att behandling av personuppgifter kan bestå av en eller flera åtgärder, som i var och en av de olika leden kan innehålla en behandling av personuppgifter.

43. Jag anser att det i det här aktuella fallet har skett tre på varandra följande behandlingar av personuppgifter. Den första behandlingen gäller den notarie som upprättade den handling som skulle offentliggöras i Moniteur belge (och i samband därmed gjorde misstaget att ta med de aktuella personuppgifterna) och ingav den till företagsdomstolens kansli. Den andra behandlingen gäller detta kansli, som lade till den handlingen till bolagsakten och skickade den till Moniteur belge för offentliggörande. Den tredje behandlingen gäller Moniteur belge, som inte bara omvandlade pappersdokumentet till ett elektroniskt dokument, utan även samlade in, registrerade, lagrade, lämnade ut och spred det. Enligt min mening råder det inget tvivel om att alla de tre fallen och framför allt de åtgärder som Moniteur belge vidtog utgör ”behandling” i den mening som avses i artikel 4.2 i dataskyddsförordningen.

44. Det faktum att behandling ägde rum i dessa tre fall innebär dock inte nödvändigtvis att Moniteur belge agerade som personuppgiftsansvarig. Detta beror på att det i artikel 4.7 och 4.8 i dataskyddsförordningen görs åtskillnad mellan personuppgiftsansvariga å ena sidan och personuppgiftsbiträden å andra sidan. Den personuppgiftsansvarige bestämmer ändamålen och medlen för behandlingen, medan personuppgiftsbiträdet behandlar personuppgifter för den personuppgiftsansvariges räkning. Även om det är uppenbart att de tre fallen utgör ”behandling”, i den mening som avses i artikel 4.2 i dataskyddsförordningen, går det således inte att utifrån det konstaterandet fastställa huruvida Moniteur belge – eller någon annan enhet som var involverad i dessa tre skeden – har ställning som personuppgiftsansvarig i förevarande fall.

2. Fastställande av ändamålen och medlen för behandlingen av personuppgifter

45. För att utröna huruvida Moniteur belge agerade som en ”personuppgiftsansvarig” ska det enligt min mening undersökas huruvida tidningen ”bestämmer ändamålen och medlen för behandlingen av personuppgifter”, i den mening som avses i artikel 4.7 i dataskyddsförordningen.

46. Inledningsvis vill jag påpeka att enligt domstolens relevanta rättspraxis ska begreppet personuppgiftsansvarig definieras brett. Domstolen har nämligen tidigare konstaterat att syftet med artikel 4.7 i dataskyddsförordningen är att, genom en vid definition av begreppet ansvarig, säkerställa ett effektivt och komplett skydd för de berörda personerna. Dessutom är ”[b]egreppe[n] personuppgiftsansvarig [och personuppgiftsbiträde] … funktionell[a] begrepp som är avsett att lägga ansvaret där det faktiska inflytandet ligger”. Med andra ord är ”ansvarig för behandlingen … den som beslutar varför och hur dessa uppgifter ska behandlas”. Fastställandet av den personuppgiftsansvariges ansvar ”bygger alltså på en faktabaserad snarare än en formell analys”.

47. För det andra medges det i artikel 4.7 i dataskyddsförordningen, genom angivandet av ”ensamt eller tillsammans med andra”, att ”ändamålen och medlen” för uppgiftsbehandlingen kan bestämmas av mer än en enhet. Den utsträckning i vilken två eller fler aktörer utövar gemensam kontroll kan dock se olika ut, vilket jag kommer att behandla i min analys av den andra frågan.

48. För det tredje vill jag påpeka att Konungariket Belgien, genom antagandet av den kungliga förordningen av den 25 juni 2020, utser SPF Justice till personuppgiftsansvarig i den mening som avses i artikel 4.7 i dataskyddsförordningen. Händelserna i det nationella målet ägde emellertid rum innan den förordningen trädde i kraft. Den är därför inte tidsmässig tillämplig (ratione temporis) på förevarande mål. Det följer därför att domstolen måste undersöka befogenhets- och ansvarsfördelningen mellan de nationella enheterna före det att den förordningen trädde i kraft.

49. Efter att ha gjort dessa inledande anmärkningar kommer jag nu att undersöka de villkor som fastställs i artikel 4.7 i dataskyddsförordningen, det vill säga vilken av de aktuella enheterna som ”bestämmer ändamålen och medlen för behandlingen” av personuppgifterna i fråga.

a) Underförstått utnämnande av den personuppgiftsansvarige enligt nationell rätt

50. Personuppgiftsansvaret kan grunda sig på relevant lag eller följa av en analys av de faktiska omständigheterna eller förhållandena i fallet. I artikel 4.7 i dataskyddsförordningen anges att om ändamålen och medlen för behandlingen särskilt bestäms av medlemsstatens nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i den rätten. Av detta följer att om det särskilt anges i lag vem som ska vara personuppgiftsansvarig, är denna utnämning avgörande. I förevarande fall finns dock ingen specifik bestämmelse där det uttryckligen anges vem som ska vara personuppgiftsansvarig.

51. Det är också möjligt att det i lag, om än underförstått, anges vem som ska vara personuppgiftsansvarig. När den nationella lagstiftningen till exempel ålägger den berörda enheten en skyldighet att behålla eller tillhandahålla vissa uppgifter, skulle den enheten anses vara personuppgiftsansvarig i fråga om den behandling som krävs för att uppfylla den skyldigheten. Ett sådant underförstått utnämnande i den nationella lagstiftningen sker när det framgår av den roll, de uppgifter och de befogenheter som den myndigheten tilldelats att den bestämmer ändamålen och medlen för behandlingen i fråga. I domen i målet Manni grundade sig domstolen på en bedömning av de faktiska omständigheterna och konstaterade att ”[g]enom att föra in och förvara dessa uppgifter i registret, och i förekommande fall, på begäran av tredje man lämna ut dessa” genomför myndigheten med juridiskt ansvar för registret en ”behandling av personuppgifter” för vilken denne är ”registeransvarig” i den mening som avses i artikel 2 b och d i direktiv 95/46.

52. I det aktuella fallet har det inte uttryckligen angetts i den nationella lagstiftningen vem som är personuppgiftsansvarig, men det föreskrivs att företag har en rättslig skyldighet att offentliggöra vissa handlingar i Moniteur belge. Den har således skapat en rättslig skyldighet att behandla uppgifter, vilket måste ombesörjas av en personuppgiftsansvarig. Den nationella lagstiftaren har skapat ett system där det finns tre enheter som behandlar uppgifterna efter varandra. Parterna är dock oense om vilken av dessa enheter som faktiskt är den personuppgiftsansvarige. Det måste därför fastställas vilka specifika befogenheter som de enheterna har tilldelats för att kunna avgöra vilken av dem som lagstiftaren underförstått har utsett till personuppgiftsansvarig för det tredje skedet i behandlingen, det vill säga de åtgärder som Moniteur belge genomför.

b) Ett effektivt och fullständigt skydd för de registrerade

53. Artikel 4.7 i dataskyddsförordningen innebär, i och med användningen av verbet ”bestämma”, att en personuppgiftsansvarig måste påverka behandlingen genom utövande av beslutanderätt. Målet om Facebooks gilla-knapp handlade till exempel om huruvida Fashion ID, ett företag som säljer modekläder på nätet och som hade integrerat det sociala insticksprogrammet ”Gilla” från det sociala nätverket Facebook, tillsammans med Facebook bestämde medlen för insamlingen och utlämnande genom översändande av Fashion ID:s webbplatsbesökares personuppgifter. I det målet angav domstolen uttryckligen att genom att integrera ett sådant socialt insticksprogram på sin webbplats har Fashion ID ett väsentligt inflytande på insamlingen och översändandet av webbplatsbesökarnas personuppgifter till förmån för tjänsteleverantören av insticksprogrammet, det vill säga Facebook Ireland, som utan att insticksprogrammet integreras inte skulle vara möjlig. Härav följer att ett väsentligt inflytande på behandlingen av personuppgifter innebär att den enhet som utövar det inflytandet är en personuppgiftsansvarig. Att inte ha ett väsentligt inflytande är dock inte tillräckligt för att utesluta att en enhet ändå kan ha ställning som personuppgiftsansvarig.

54. Spridningen av uppgifter på internet ökar exponentiellt riskerna för en kränkning av de grundläggande rättigheterna till respekt för privatlivet och skydd av personuppgifter på grund av de sätt på vilka information framställs och sprids på nätet. Väl medveten om denna risk har domstolen antagit en bred definition av begreppet personuppgiftsansvarig för att dataskyddsförordningen ska kunna garantera ett effektivt och fullständigt skydd för de registrerade, bland annat när det gäller deras rätt till respekt för privatlivet. I domen i målet Google Spain konstaterade domstolen därför att det skulle strida mot både den klara lydelsen av artikel 2 d i direktiv 95/46, som i stort sett motsvarar artikel 4.7 i dataskyddsförordningen, och dess syfte att utesluta sökmotorleverantörer från bestämmelsens tillämpningsområde med hänvisning till att denne inte utövar någon kontroll över de personuppgifter som publiceras på webbsidor tillhörande tredje man. Genom att anta en så pass bred definition är det uppenbart att domstolen har valt en ändamålsenlig tolkning av den bestämmelsen: Definitionen av ”personuppgiftsansvarig” måste garantera ett effektivt och fullständigt skydd för de registrerade. Dessutom vill jag påpeka att en sådan tolkning inte kan annat än stödjas av datasskyddsförordningen, som antogs på grundval av artikel 16.1 FEUF där unionslagstiftaren ges befogenhet att säkerställa den grundläggande rätt till skydd av personuppgifter som föreskrivs i artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan).

55. I förevarande fall är det uppenbart att den nationella lagstiftaren har utformat ett system med tre olika behandlingsskeden, en kedja som börjar med att notarien upprättar och undertecknar handlingarna i fråga, varpå företagsdomstolens kansli lägger till dokumentet till bolagsakten och lagrar det, varefter Moniteur belge digitaliserar och offentliggör de handlingarna. Även om det är riktigt att Moniteur belge måste offentliggöra handlingen i fråga utan ändringar, kvarstår det faktum att det vare sig är notarien eller företagsdomstolens kansli som omvandlar handlingen till ett elektroniskt dokument för att det ska kunna offentliggöras. Det är enbart Moniteur belge som genomför denna omvandling och som därefter sprider handlingen i fråga på internet.

56. Jag vill särskilt påpeka att den nationella lagstiftaren gav vissa befogenheter till Moniteur belge genom antagandet av artiklarna 474‑475b i ramlagen av den 24 december 2002. Det följer av de bestämmelserna att Moniteur belge inte bara ska offentliggöra pappersversionen av handlingarna i fråga, utan även ska göra dem tillgängliga i elektroniskt format via webbplatsen, lagra dem elektroniskt, ställa dem till medborgarnas förfogande genom tillhandahållande av en hjälplinje och en tjänst för hjälp med dokumentsökning och slutligen säkerställa största möjliga spridning och tillgång till den information som finns i Moniteur belge. Enligt min mening följer det således av de bestämmelserna att den nationella lagstiftaren, genom att ha gett Moniteur belge befogenheter när det gäller digital omvandling, publicering, spridning och lagring av de aktuella handlingarna, har gett den tidningen befogenheter som ingår i begreppet personuppgiftsansvarig i den mening som avses i artikel 4.7 i dataskyddsförordningen.

57. Genom att genomföra ovannämnda åtgärder som lagstiftaren har anförtrott Moniteur belge, det vill säga digital omvandling, publicering och spridning, ökar Moniteur belge exponentiellt risken för en kränkning av den berörda personens grundläggande rättigheter (jämfört med om handlingen endast skulle offentliggöras i pappersversion). Det är denna officiella tidnings behandling som faktiskt utgör ett hot mot det effektiva och fullständiga skyddet för den registrerade. Jag kan därför inte annat än att anse att Moniteur belge, med anledning av målet att garantera ett effektivt och fullständigt skydd för de registrerade och på grund av den potentiella skada som den digitala omvandlingen och spridningen kan medföra för de registrerade, inte kan uteslutas från definitionen av ”personuppgiftsansvarig” i den mening som avses i artikel 4.7 i dataskyddsförordningen.

58. Vad slutligen gäller tillämpligheten av rättspraxis om privata sökmotorer på offentliga enheter, såsom Moniteur belge, ska det noteras att domstolen i en nyligen avkunnad dom tillämpade denna rättspraxis för att bekräfta att åklagarmyndigheten ska anses som ”personuppgiftsansvarig”. Jag anser att det bakomliggande skälet till en sådan tillämpning understöds av den breda tolkningen av begreppet personuppgiftsansvarig, i den mening som avses i artikel 4.7 i dataskyddsförordningen, för att säkerställa ett effektivt och fullständigt skydd för de registrerades grundläggande rättigheter och friheter som är inskrivna i primärrätten, oberoende av om den personuppgiftsansvarige är en offentlig eller en privat enhet. För att säkerställa ett sådant effektivt och fullständigt skydd är de principer om dataskydd som privata sökmotorer måste iaktta relevanta för såväl privata som offentliga enheter som alla omfattas av samma övergripande principer avseende uppgifter och skyldigheter enligt dataskyddsförordningen, vilka utgör ett konkret uttryck för primärrätten.

c) Huruvida en annan enhet är personuppgiftsansvarig

59. Den belgiska regeringen hävdade under förhandlingen att notarien bör betraktas som personuppgiftsansvarig, eftersom det är notarien som bestämmer medlen och ändamålen för uppgiftsbehandlingen.

60. Jag anser att om notarien ska betraktas som ensam personuppgiftsansvarig skulle detta i praktiken innebära att ingen skulle vara personuppgiftsansvarig i det tredje skedet i behandlingen, det vill säga under de åtgärder som vidtas av Moniteur belge, eftersom lagstiftaren – såsom framgår av omständigheterna i förevarande mål – inte har gett notarien befogenhet att väsentligt påverka detta tredje behandlingsskede. De tre enheterna i fråga kan dock vara involverade i olika skeden av behandlingen och i olika utsträckning, så att var och en av dem kan betraktas som personuppgiftsansvarig, även om det ansvar som följer därav kan ha olika omfattning och nivå. Jag vill dessutom påpeka att, såsom kommissionen anförde vid förhandlingen, skulle Moniteur belge teoretiskt sett kunna vara personuppgiftsbiträde enligt lag, förutsatt att den nationella lagstiftningen har ålagt flera enheter en skyldighet att upprätta, lagra och digitalt sprida handlingen i fråga. För att Moniteur belge ska kunna kvalificeras som personuppgiftsbiträde bör dock villkoren i artikel 28 i dataskyddsförordningen vara uppfyllda, vilket uppenbarligen inte är fallet under de omständigheter som har lagts fram för domstolen, eftersom varje berörd enhet är ansvarig för sin egen del av behandlingen. Moniteur belge kan därför inte betraktas som personuppgiftsbiträde i den mening som avses i den bestämmelsen.

61. Den belgiska regeringen har vidare hävdat att den nationella lagstiftaren själv agerar som personuppgiftsansvarig eller fastställer en enhet med personuppgiftsansvar, medan Moniteur belge endast utövade sina tilldelade befogenheter. Enligt regeringen kan rättspraxis om privata sökmotorer inte tillämpas på offentliga enheter, eftersom Moniteur belge, i egenskap av en offentlig myndighet som har inrättats av lagstiftaren, inte själv kan bestämma sina egna uppdrag och uppgifter.

62. Såsom jag redan har påpekat har den nationella lagstiftaren i förevarande fall underförstått utsett Moniteur belge till personuppgiftsansvarig genom att tilldela tidningen befogenheten att utföra ett visst antal specifika uppgifter.

63. Hursomhelst anser jag att om domstolen skulle komma fram till att den nationella lagstiftaren har ställning som personuppgiftsansvarig varje gång som den utövar sin befogenhet att bestämma ändamålen och medlen för en viss behandlingsåtgärd, skulle ett sådant synsätt leda till att fysiska personer inte längre ges ett effektivt skydd, varvid begreppet personuppgiftsansvarig skulle förlora sin ändamålsenliga verkan. Det effektiva skyddet för de registrerade kan nämligen inte garanteras om alla de uppgifter som den personuppgiftsansvarige ansvarar för, i fråga om varje behandling av personuppgifter som föreskrivs i en medlemsstats lagstiftning, genomförs av lagstiftaren själv. Jag anser således att när en offentlig myndighet har fått befogenheter att behandla personuppgifter är det inte lagstiftaren som är personuppgiftsansvarig, utan den myndighet som utför de offentliga uppgifterna som är den enhet som kontrollerar ändamålen och medlen för den behandlingen. Det framgår tydligt av omständigheterna i detta fall att den aktuella behandlingen, såsom förklaras i punkt 43 i förevarande förslag till avgörande, sker som ett genomförande av nationell lagstiftning, vilket utesluter antagandet att det – vid antagandet av lagar – är lagstiftaren själv som är personuppgiftsansvarig.

d) Avsaknad av utrymme för skönsmässig bedömning

64. I förevarande fall framgår det av den nationella lagstiftning som har presenterats för domstolen att Moniteur belge inte har någon beslutanderätt i fråga om de texter som tidningen är skyldig att publicera. Såsom den belgiska regeringen betonade i sina skriftliga yttranden och vid förhandlingen hade Moniteur belge nämligen 15 dagar på sig att publicera handlingen, som måste vara en exakt kopia av den handling som notarien har upprättat. Vid ett uteblivet eller försenat offentliggörande riskerar tjänstemannen vid Moniteur belge skadeståndsansvar. För att undvika att en sådan situation uppstår kontrollerar den myndigheten inte att de uppgifter som den ska offentliggöra är fullständiga, giltiga eller korrekta. Såsom den belgiska regeringen har hävdat tycks Moniteur belge därför sakna befogenhet att granska innehållet i de handlingarna, inbegripet de personuppgifter som de kan innehålla.

65. Eftersom lagstiftaren själv inte agerar som personuppgiftsansvarig vid antagandet av lagar och eftersom ingen annan enhet i själva verket har någon påverkan på fastställandet av ändamålen och medlen för behandlingen i fråga – det vill säga den digitala omvandlingen och den digitala spridningen av handlingarna i fråga – måste Moniteur belge utses till personuppgiftsansvarig, för att en lucka inte ska uppstå i detta hänseende. Notarien och företagsdomstolens kansli saknar helt enkelt befogenhet att ingripa i det skedet. Det faktum att Moniteur belge saknar utrymme för skönsmässig bedömning kan därför inte användas som skäl för att göra undantag från det effektiva skyddet för de registrerade. Moniteur belge måste därför anses vara personuppgiftsansvarig i den mening som avses i artikel 4.7 i dataskyddsförordningen, om än en underförstått utsedd sådan, för behandlingen av personuppgifter i samband med att tidningen publicerar dokument, såsom krävs enligt den nationella lagstiftningen.

e) Raderingen av personuppgifter

66. Det framgår av omständigheterna i förevarande fall att notariens dataskyddsombud begärde att SPF Justice (på uppdrag av Moniteur belge) skulle radera det omtvistade avsnittet – och ta bort detta från internet – samt publicera utdraget utan det avsnittet. SPF Justice avslog den begäran och erbjöd sig att publicera utdraget på nytt. Under dessa omständigheter tycks notarien i fråga inte ha någon befogenhet att begära ändring eller återkallande av det omtvistade avsnittet. Jag vill dock betona att ingen annan enhet heller verkar ha denna befogenhet.

67. Den belgiska regeringen har anfört att det var den nationella lagstiftningens avsikt att de handlingar som publiceras i Moniteur belge ska vara oåterkalleliga över tid för arkiveringsändamål och att den elektroniska versionen av publikationerna alltid ska vara och förbli en exakt kopia av pappersversionen, vilket utesluter varje retroaktiv ändring. Regeringen har dessutom angett att för att korrigera en handling från en juridisk person som har offentliggjorts i Moniteur belge måste notarien inge en ändringsakt till företagsdomstolens kansli, som sedan måste begära att Moniteur belges ledning offentliggör den ändringsakten. Däremot är det inte möjligt enligt belgisk rätt att radera den ursprungliga handlingen helt och hållet. I annat fall skulle principen om Moniteur belges oåterkallelighet åsidosättas.

68. Jag anser att den offentliga myndighetens vägran att radera avsnittet med personuppgifterna i fråga och publiceringen av den aktuella handlingen utan det avsnittet medför att de uppgifterna fortfarande är tillgängliga för allmänheten. Detta innebär enligt min mening att den myndigheten, när den tillämpar nationella lagar, agerar som ”personuppgiftsansvarig” i den mening som avses i artikel 4.7 i dataskyddsförordningen, eftersom den bestämmer ändamålen och medlen för behandlingen av personuppgifterna genom att inte återkalla det omtvistade avsnittet och låta det vara fortsatt offentligt. Om Moniteur belge inte anses vara personuppgiftsansvarig, tycks ingen myndighet ha denna ställning.

69. Jag anser att ställningen som ”personuppgiftsansvarig” inte kan vara beroende av att en myndighet som Moniteur belge enligt nationell rätt inte kan efterkomma en begäran om radering av uppgifter. När en lucka finns i den nationella lagstiftningen ankommer det således på de nationella myndigheterna och, i detta skede, på den nationella domstolen att, genom tillämpning av dataskyddsförordningen, utse den enhet som måste fullgöra de skyldigheter som följer av den förordningen. Eftersom uppgifterna behandlas i förevarande fall, är de fortfarande tillgängliga för allmänheten, men i nationell rätt har ingen ansvarig myndighet utsetts till personuppgiftsansvarig för den delen av behandlingen.

70. Eftersom den nationella lagstiftaren har lämnat en lucka genom att inte utse en personuppgiftsansvarig bör EU-domstolen, i ett sådant scenario, ange att det ankommer på den hänskjutande domstolen att, mot bakgrund av de omständigheter som har beskrivits för EU‑domstolen, utse Monitor belge (eller SPF Justice, beroende på den hänskjutande domstolens bedömning) till personuppgiftsansvarig. Endast en sådan tolkning skulle, enligt min mening, vara förenlig med målet i artikel 4.7 i dataskyddsförordningen att, genom en bred definition av begreppet personuppgiftsansvarig, säkerställa ett effektivt och fullständigt skydd för de registrerade. På så sätt skulle kryphål också kunna undvikas samt ett förhindrande göras av eventuella kringgåenden av dataskyddsförordningens bestämmelser.

71. När det gäller de praktiska argument som grundar sig på principen om oåterkallelighet av den information som sprids av Moniteur belge, ankommer det på den nationella lagstiftaren, mot bakgrund av de skyldigheter som bland annat följer av artiklarna 5 och 17 i dataskyddsförordningen, att anta en lagstiftningsram, som beaktar skyddet för registrerade och nämnda princip. Eftersom offentliggörande av personuppgifter exponentiellt ökar risken för skada för de registrerade, behöver innovativa lösningar föreskrivas i nationell rätt.

72. Sammanfattningsvis föreslår jag att domstolen, i förevarande mål, slår fast att Moniteur belge agerar i egenskap av ”personuppgiftsansvarig” i den mening som avses i artikel 4.7 i dataskyddsförordningen när tidningen beslutar att inte dra tillbaka det omtvistade avsnittet från vad som är allmänt tillgängligt, det vill säga när den håller det avsnittet fortsatt tillgängligt för allmänheten.

3. Slutsats i denna del

73. I förevarande fall har den nationella lagstiftningen skapat en förpliktelse att utse en personuppgiftsansvarig för att fullgöra de skyldigheter som följer av dataskyddsförordningen. För det första måste Moniteur belge, när det gäller den digitala omvandlingen, publiceringen och spridningen av de aktuella uppgifterna, identifieras som en ”personuppgiftsansvarig” i den mening som avses i artikel 4.7 i dataskyddsförordningen, för att säkerställa den berörda personens grundläggande rättigheter. För det andra finns, vad gäller det uteblivna återkallandet av uppgifterna i fråga, en lucka i den nationella lagstiftningen, eftersom ingen av de berörda enheterna har rätt att återkalla de uppgifterna. I ett sådant fall ankommer det på den nationella domstolen att, med tillämpning av dataskyddsförordningen för att säkerställa skyddet av de berörda personernas grundläggande rättigheter, utse en personuppgiftsansvarig, som i detta fall tycks vara Moniteur belge.

74. Följaktligen föreslår jag att svaret på den första frågan är att artikel 4.7 i dataskyddsförordningen ska tolkas så, att en officiell tidning i en medlemsstat, som Moniteur belge, vilken enligt tillämplig nationell lagstiftning har ett uppdrag att offentliggöra och arkivera officiella handlingar, för att säkerställa ett effektivt och komplett skydd för de registrerade, kan anses vara personuppgiftsansvarig, i den mening som avses i artikel 4.7 i dataskyddsförordningen, i situationer där offentliggörandet av de handlingarna, utan ändring, begärs av andra enheter, eftersom den nationella lagstiftaren har gett den tidningen befogenhet att bestämma medlen för den digitala omvandlingen, offentliggörandet, spridningen och lagringen av handlingarna i fråga och har fastställt breda publicerings- och spridningsändamål. När det gäller avsaknaden av en personuppgiftsansvarig i fråga om återkallande eller radering av uppgifter, ankommer det dock på den nationella domstolen att utse den enhet som måste iaktta de förpliktelser som följer av dataskyddsförordningen, eftersom de aktuella uppgifterna är fortsatt allmänt tillgängliga.

75. Det är bara om EU-domstolen tillämpar det svaret på den första frågan som den bör besvara den andra frågan, det vill säga huruvida Moniteur belge eller den ansvariga myndigheten för den ska vara ensamt skyldig att iaktta de förpliktelser som åligger den personuppgiftsansvarige enligt dataskyddsförordningen.

B. Den andra tolkningsfrågan

76. Genom sin andra fråga vill den hänskjutande domstolen få klarhet i huruvida artikel 5.2 i dataskyddsförordningen ska tolkas så, att endast den officiella tidningen i fråga ska vara skyldig att iaktta de förpliktelser som åligger den personuppgiftsansvarige enligt den bestämmelsen, med undantag av de andra enheter som först har behandlat uppgifterna i de rättsakter och officiella handlingar som de har begärt att tidningen ska offentliggöra, eller huruvida dessa förpliktelser kumulativt åligger var och en av de på varandra följande personuppgiftsansvariga.

77. Enligt artikel 5.2 i dataskyddsförordningen ska den personuppgiftsansvarige ansvara för att principerna i punkt 1 i den artikeln efterlevs, till exempel principen om uppgiftsminimering och principen om korrekthet, och måste kunna visa att de principerna har iakttagits. Den hänskjutande domstolen har förklarat att eftersom en fysisk person begär att få de personuppgifter som enligt den nationella lagstiftningen inte måste offentliggöras raderade, måste den avgöra huruvida Moniteur belge eller den ansvariga myndigheten för den ska vara ensamt skyldig att iaktta principerna om uppgiftsminimering och korrekthet eller huruvida de två andra enheterna också är skyldiga att iaktta dessa principer.

78. Den hänskjutande domstolen har visserligen konstaterat att parterna i det nationella målet inte har baserat sin bedömning på att det finns gemensamt personuppgiftsansvariga såsom föreskrivs i artikel 26 i dataskyddsförordningen, men vill få klarhet i huruvida var och en av de potentiella på varandra följande personuppgiftsansvariga eller endast en av dem ska kvalificeras som ”personuppgiftsansvarig” i den mening som avses i artikel 4.7 i den förordningen och således, enligt artikel 5.2 i förordningen, ska ansvara för att ovannämnda principer efterlevs.

1. På varandra följande åtgärder

79. Såsom jag redan har påpekat har de aktuella personuppgifterna i det omtvistade avsnitt som publicerades i Moniteur belge behandlats av flera på varandra följande enheter, nämligen av den notarie som upprättade utdraget, av kansliet vid tribunal de l'entreprise néerlandophone de Bruxelles (Nederländskspråkiga företagsdomstolen i Bryssel) som lade till det till bolagets akt och, slutligen, av Moniteur belge som offentliggjorde det utan ändring.

80. Vad denna händelsekedja beträffar ska det noteras att den behandling av de aktuella personuppgifterna som Moniteur belge anförtrotts inte bara sker efter den behandling som notarien och företagsdomstolens kansli utför, utan att den även tekniskt sett skiljer sig från och utgör ett tillägg till den behandling som dessa båda enheter genomför. Det är viktigt att påpeka att eftersom de åtgärder som Moniteur belge genomför i synnerhet innebär en digital omvandling av de uppgifter som finns med i utdragen ur handlingar som ingetts till tidningen, offentliggörande, tillhandahållande av de uppgifterna för allmänheten och lagring av uppgifterna, medför de åtgärder som Moniteur belge har anförtrotts enligt lag – jämfört med den behandling som de två andra enheterna tidigare utfört – en betydande och ytterligare effekt och risk för de grundläggande rättigheterna till respekt för privatlivet och skydd av personuppgifter.

81. Det ankommer därför på Moniteur belge att fullgöra alla de skyldigheter som den personuppgiftsansvarige åläggs genom dataskyddsförordningen med avseende på de behandlingsåtgärder som denne ska genomföra enligt nationell rätt.

2. Uteslutande av gemensamt ansvar

82. I artikel 4.7 i dataskyddsförordningen medges att ”ändamålen och medlen för behandlingen” kan bestämmas av mer än en aktör. Det anges att med begreppet personuppgiftsansvarig avses ett organ som ”ensamt eller tillsammans med andra” bestämmer ändamålen och medlen för behandlingen. Den situationen avses i artikel 26 i dataskyddsförordningen, enligt vilken flera olika enheter kan agera som personuppgiftsansvariga i samma behandling, där var och en av dem omfattas av bestämmelserna om skydd av personuppgifter.

83. Jag vill erinra om att det i artikel 26.1 i dataskyddsförordningen föreskrivs att om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen är de gemensamt personuppgiftsansvariga. I samma punkt anges dessutom att gemensamt personuppgiftsansvariga på ett öppet sätt ska fastställa sitt respektive ansvar för att uppfylla samtliga krav i dataskyddsförordningen, såvida inte deras respektive skyldigheter fastställs bland annat genom medlemsstatens nationella rätt som de personuppgiftsansvariga omfattas av. Det gemensamma ansvar som innehas av flera personuppgiftsansvariga är därför inte nödvändigtvis beroende av att det finns en överenskommelse mellan de olika personuppgiftsansvariga eller ens av deras avsikt, utan kan härröra från nationell rätt förutsatt att utnämningen av flera personuppgiftsansvariga och de respektive skyldigheterna för var och en av dem mot bakgrund av kraven i dataskyddsförordningen kan härledas från denna rätt.

84. Den omständigheten att flera aktörer är involverade i samma behandlingskedja innebär dock inte att de nödvändigtvis agerar som gemensamt personuppgiftsansvariga. Domstolen har dessutom slagit fast att en fysisk eller juridisk person inte kan anses vara ansvarig för de tidigare eller senare åtgärderna i behandlingskedjan, som denna varken fastställer ändamålen eller medlen för. I det aktuella fallet förefaller det således inte som om gemensamt personuppgiftsansvariga har utsetts i den nationella rätten, eftersom notarien inte har någon kontroll över de åtgärder som Moniteur belge genomför.

85. Jag anser därför att de tre enheternas gemensamma ansvar inte är fastställt i nationell rätt i förevarande fall och att det inte heller kan fastställas utifrån de faktiska omständigheterna, såsom dessa har beskrivits av den hänskjutande domstolen. När det gäller de faktiska omständigheterna i det nationella målet vill jag särskilt påpeka att de tre enheterna i kedjan inte tillämpar samma medel för behandlingen, eftersom Moniteur belge står för den digitala omvandlingen, offentliggörandet och spridningen av handlingarna i fråga. Mot bakgrund av de faktiska omständigheterna i det nationella målet måste den fysiska person som vill utnyttja sin rätt till radering enligt artikel 17 i dataskyddsförordningen utöva sina rättigheter enligt den förordningen med avseende på och emot var och en av de gemensamt personuppgiftsansvariga. Ur det perspektivet skulle därför var och en av aktörerna vara separat ansvariga för att följa de principer som avses i artikel 5.1 i dataskyddsförordningen.

86. Av detta följer, enligt min mening, att det inte går att fastställa något ”kumulativt” ansvar för de olika personuppgiftsansvariga enligt artikel 5.2 i dataskyddsförordningen. Var och en av de aktörer som är involverade i behandlingskedjan kan nämligen endast vara individuellt ansvariga för efterlevnaden av de principer som avses i artikel 5.1 i den förordningen med avseende på de behandlingsåtgärder som de har genomfört i enlighet med ändamålen och medlen för uppgiftsbehandlingen. Eftersom uppgifterna inte offentliggjordes felaktigt av notarien utan av Moniteur belge i förevarande fall, anser jag att den myndigheten, trots att den inte själv tog med uppgifterna i det omtvistade avsnittet, också måste hållas individuellt ansvarig för efterlevnaden av de principer som avses i artikel 5.1 i dataskyddsförordningen.

87. Avslutningsvis vill jag påpeka att det ankommer på den hänskjutande domstolen att kontrollera huruvida den nationella rätt som ger möjlighet till rättelse, men inte radering, av de uppgifter som offentliggörs i Moniteur belge är förenlig med dataskyddsförordningen. Den nationella lagstiftningen tycks nämligen inte tillåta att Moniteur belge retroaktivt raderar uppgifter som redan har offentliggjorts (inbegripet i elektronisk form). I detta sammanhang är det visserligen möjligt att begränsa rätten till rättelse och radering, som föreskrivs i artikel 16 respektive 17 i dataskyddsförordningen, genom nationell rätt, såsom anges i artikel 23 i dataskyddsförordningen. En sådan begränsning ska dock, i enlighet med artikel 52.1 i stadgan, vara föreskriven i lag, vara förenlig med det väsentliga innehållet i fysiska personers grundläggande rättigheter och iaktta proportionalitetsprincipen.

3. Slutsats i denna del

88. Jag föreslår således att svaret på den andra frågan är att artikel 5.2 i dataskyddsförordningen ska tolkas så, att den officiella tidningen i fråga är skyldig att iaktta de förpliktelser som åligger den personuppgiftsansvarige enligt den bestämmelsen för de åtgärder som den har genomfört. Den aktuella behandlingen ger inte upphov till något gemensamt personuppgiftsansvar och Moniteur belge är ensamt ansvarig för de behandlingsåtgärder som den ska genomföra enligt nationell rätt.

IV. Förslag till avgörande

89. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen besvarar frågan från Cour d'appel de Bruxelles (Appellationsdomstolen i Bryssel, Belgien) på följande sätt: Artikel 4.7 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att en medlemsstats officiella tidning, såsom Moniteur belge, vilken enligt tillämplig nationell lagstiftning har ett uppdrag att offentliggöra och arkivera officiella handlingar, för att säkerställa ett effektivt och komplett skydd för de registrerade, kan anses vara personuppgiftsansvarig, i den mening som avses i artikel 4.7 i förordning 2016/679, i situationer där offentliggörandet av de handlingarna, utan ändring, begärs av andra enheter, eftersom den nationella lagstiftaren har gett den tidningen befogenheter att bestämma medlen för den digitala omvandlingen, offentliggörandet, spridningen och lagringen av handlingarna i fråga och har fastställt breda publicerings- och spridningsändamål. När det gäller avsaknaden av en utsedd personuppgiftsansvarig i fråga om återkallande eller radering av uppgifter, ankommer det dock på den nationella domstolen att utse den enhet som måste iaktta de förpliktelser som följer av förordning 2016/679, eftersom de aktuella uppgifterna är fortsatt allmänt tillgängliga. Artikel 5.2 i förordning 2016/679 ska tolkas så, att den officiella tidningen i fråga är skyldig att iaktta de förpliktelser som åligger den personuppgiftsansvarige enligt den bestämmelsen för de åtgärder som den har genomfört. Den aktuella behandlingen ger inte upphov till något gemensamt personuppgiftsansvar och Moniteur belge är ensamt ansvarig för de behandlingsåtgärder som den ska genomföra enligt nationell rätt.

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

3 Moniteur belge, den 6 augusti 1999, s. 29440.

4 Moniteur belge, 6 februari 2001, s. 3008.

5 Moniteur belge, den 31 december 2022, s. 58686.

6 SPF Justice åberopade det undantag som föreskrivs i artikel 17.3 och artikel 86 i dataskyddsförordningen.

7 Enligt artikel 4.2 i dataskyddsförordningen avses med ”behandling” ”en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring”.

8 Se dom av den 13 maj 2014, Google Spain och Google, C‑131/12, EU:C:2014:317 (nedan kallad domen i målet Google Spain), och Lynskey, O., Control over Personal Data in a Digital Age: Google Spain v AEPD and Mario Costeja Gonzalez, The Modern Law Review, Volym 78, Nr 3, s. 522–534.

9 Se även förslag till avgörande av generaladvokaten Ćapeta i målet Norra Stockholm Bygg ( C‑268/21, EU:C:2022:755, punkt 17). Se även dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 68), och Bygrave, L.A. och Tossoni, L., Article 4(7). Controller i Kuner, C., Bygrave, L.A., Docksey, C. och Drechsler, L. och Tosoni, L (utg.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press, Oxford, 2021, s. 146–150.

10 Se, för ett liknande resonemang, dom av den 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punkt 35.

11 Ibidem, punkt 34, och dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) ( C‑175/20, EU:C:2022:124, punkt 35).

12 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

13 Domen i målet Google Spain, punkt 41. Se även dom av den 8 december 2022, Google (Borttagande av påstått felaktigt innehåll) ( C‑460/20, EU:C:2022:962, punkt 49).

14 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 72).

15 Artikel 4.7 i dataskyddsförordningen.

16 Artikel 4.8 i dataskyddsförordningen. I fråga om en sökmotors ansvar, har domstolen exempelvis slagit fast att den behandling av personuppgifter som sker vid användning av en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, bestående i att lägga ut uppgifterna på en sida på internet, och betonade att sökmotorleverantören är den person som beslutar om ändamålen och medlen för den verksamhet som den sökmotorn utför (dom av den 8 december 2022, Google (Borttagande av påstått felaktigt innehåll), C‑460/20, EU:C:2022:962, punkt 44).

17 Se, för ett liknande resonemang, domen i målet Google Spain, punkt 34, och dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 28).

18 Se riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 12.

19 Förslag till avgörande av generaladvokaten Bot i målet Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2017:796, punkt 46).

20 Yttrande 1/2010 om registeransvarig och registerförare, WP 169, s. 11, från artikel 29 – arbetsgruppen som är ett rådgivande organ som inrättades genom artikel 29 i direktiv 95/46 och som numera har ersatts av Europeiska dataskyddsstyrelsen (nedan kallad EDPD), som inrättades genom artikel 68 i dataskyddsförordningen.

21 Van Alsenoy, B., Chapter 4. Allocation of Responsibility i Data Protection Law in the EU: Roles, Responsibilities and Liability, 1:a upplagan, Bryssel, Intersentia, 2019, s. 43–53.

22 Se artikel 2 i den kungliga förordningen av den 25 juni 2020 om fastställande av metoden för offentliggörande i Moniteur belge som det hänvisas till i artikel 1250 i rättegångsbalken. Jag vill påpeka att SPF Justice, i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4.7 i dataskyddsförordningen, inte bara måste svara för den ”operativa förvaltningen av offentliggörandet och tillhandahålla de tekniska hjälpmedlen för behandlingen”, utan även fullgöra de skyldigheter som fastställs i den förordningen i fråga om behandling (se artiklarna 5 och 6 i dataskyddsförordningen).

23 Europeiska dataskyddsstyrelsens riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 20.

24 Ibidem.

25 Den skyldighet som fastställs i artikel 4.7 i dataskyddsförordningen, jämförd med artikel 5.1 b i denna, att ändamålen måste vara fastställda och uttryckliga kräver således åtminstone att varje indirekt fastställande av ändamålen för behandlingen måste framgå av de rättsliga bestämmelser som ligger till grund för den berörda myndighetens verksamhet.

26 Se dom av den 9 mars 2017, Manni ( C‑398/15, EU:C:2017:197, punkt 35).

27 Se artiklarna 71 och 73.1 i bolagslagen.

28 Den belgiska regeringen hävdade vid förhandlingen att notarien underförstått hade utsetts till personuppgiftsansvarig i lagen, medan Dataskyddsmyndigheten påstod att det var Moniteur belge som hade fått denna ställning.

29 Dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 68).

30 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629).

31 Ibidem, punkterna 78 och 79.

32 Såsom generaladvokat Pitruzzella påpekade i sitt förslag till avgörande i målet Google (Borttagande av påstått falsk information) ( C‑460/20, EU:C:2022:271, punkt 15), påpekade domstolen i domen i målet Google Spain, på grundval av den aspekten, att behandling av personuppgifter som sker inom ramen för en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, vilken innebär att lägga ut uppgifterna på en sida på internet.

33 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 70.

34 Se, för ett liknande resonemang, dom av den 24 september 2019, GC m.fl. (Borttagande av påstått falsk information) ( C‑136/17, EU:C:2019:773, punkt 37).

35 Domen i målet Google Spain, punkt 34.

36 Se skäl 1 i dataskyddsförordningen.

37 Se punkt 68 nedan.

38 Dom av den 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning) ( C‑180/21, EU:C:2022:967, punkt 80).

39 Se punkt 54 ovan.

40 Se artikel 1.2 samt skälen 1 och 4 i dataskyddsförordningen.

41 Se, för ett liknande resonemang, dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 66).

42 I artiklarna 28 och 29 i dataskyddsförordningen anges att när uppgifter behandlas av ett personuppgiftsbiträde ska hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som specificerar behandlingen. Den nationella lagstiftaren borde ha fastställt regler för behandling för att Moniteur belge ska kunna kvalificeras som personuppgiftsbiträde.

43 Se punkterna 55–57 ovan.

44 Det argumentet från den belgiska regeringen motsäger dessutom det argument som regeringen själv lade fram vid förhandlingen, och varmed den hävdade att Moniteur belge inte genomför lagen utan snarare verkställer notariens begäran.

45 Artiklarna 474–476 i ramlagen av den 24 december 2002.

46 Det är numera 10 dagar enligt nya regler.

47 Se artiklarna 73 och 76 i 1999 års bolagslag.

48 Den fråga som uppkommer här är huruvida den belgiska lagstiftaren inte har begränsat den personuppgiftsansvariges befogenheter på ett sätt som strider mot dataskyddsförordningen. Det kan hävdas att en sådan begränsning är problematisk, inte bara mot bakgrund av artikel 17 i dataskyddsförordningen utan även mot bakgrund av artikel 16.1 FEUF och artikel 8.1 i stadgan, och att den eventuellt kan undergräva den ändamålsenliga verkan hos det skydd som dataskyddsförordningen ger. Samtidigt som den hänskjutande domstolen måste pröva dessa frågor, eftersom den registrerades begäran grundar sig på artikel 17 i dataskyddsförordningen, är det tydligt att de inte ingår i förevarande begäran om förhandsavgörande som har framställts av den domstolen.

49 Se punkt 54 ovan.

50 Vid förhandlingen förklarade kommissionen att till exempel Europeiska unionens officiella tidning kan ändras och att sådana lösningar finns.

51 Se artikel 5.1 c och d i dataskyddsförordningen.

52 Se punkt 55 ovan.

53 Såsom generaladvokat Pitruzzella påpekade i sitt förslag till avgörande i målet Google (Borttagande av påstått falsk information) ( C‑460/20, EU:C:2022:271, punkt 15), påpekade domstolen i domen i målet Google Spain, på grundval av den aspekten, att behandling av personuppgifter som sker inom ramen för en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, vilken innebär att lägga ut uppgifterna på en sida på internet.

54 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 67). Se även Europeiska dataskyddsstyrelsens riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 29.

55 Se Europeiska dataskyddsstyrelsens riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 67. Såsom kommissionen har förklarat innebär inte alla typer av partnerskap, samarbeten eller samverkan att enheterna är gemensamt personuppgiftsansvariga, eftersom denna egenskap kräver en analys i varje enskilt fall av varje behandling och den exakta roll som varje enhet spelar i respektive behandling. Jag vill hävda att gemensamt ansvar bör övervägas när två enheter genomför behandlingsåtgärder som inte kan särskiljas som separata steg i behandlingen.

56 Se, för ett liknande resonemang, dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 74).

57 Det är till exempel endast företagsdomstolens kansli som kan lägga till det omtvistade avsnittet i bolagets akt.

58 Se, för ett liknande resonemang, dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkterna 172–176).