Förslag till avgörande av generaladvokat Laila Medina föredraget den 8 juni 2023

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1).

3 Moniteur belge, den 6 augusti 1999, s. 29440.

4 Moniteur belge, 6 februari 2001, s. 3008.

5 Moniteur belge, den 31 december 2022, s. 58686.

6 SPF Justice åberopade det undantag som föreskrivs i artikel 17.3 och artikel 86 i dataskyddsförordningen.

7 Enligt artikel 4.2 i dataskyddsförordningen avses med behandling en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring.

8 Se dom av den 13 maj 2014, Google Spain och Google, C‑131/12, EU:C:2014:317 (nedan kallad domen i målet Google Spain), och Lynskey, O., Control over Personal Data in a Digital Age: Google Spain v AEPD and Mario Costeja Gonzalez, The Modern Law Review, Volym 78, Nr 3, s. 522–534.

9 Se även förslag till avgörande av generaladvokaten Ćapeta i målet Norra Stockholm Bygg ( C‑268/21, EU:C:2022:755, punkt 17). Se även dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 68), och Bygrave, L.A. och Tossoni, L., Article 4(7). Controller i Kuner, C., Bygrave, L.A., Docksey, C. och Drechsler, L. och Tosoni, L (utg.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press, Oxford, 2021, s. 146–150.

10 Se, för ett liknande resonemang, dom av den 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punkt 35.

11 Ibidem, punkt 34, och dom av den 24 februari 2022, Valsts ieņēmumu dienests (Behandling av personuppgifter för skatteändamål) ( C‑175/20, EU:C:2022:124, punkt 35).

12 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

13 Domen i målet Google Spain, punkt 41. Se även dom av den 8 december 2022, Google (Borttagande av påstått felaktigt innehåll) ( C‑460/20, EU:C:2022:962, punkt 49).

14 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 72).

15 Artikel 4.7 i dataskyddsförordningen.

16 Artikel 4.8 i dataskyddsförordningen. I fråga om en sökmotors ansvar, har domstolen exempelvis slagit fast att den behandling av personuppgifter som sker vid användning av en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, bestående i att lägga ut uppgifterna på en sida på internet, och betonade att sökmotorleverantören är den person som beslutar om ändamålen och medlen för den verksamhet som den sökmotorn utför (dom av den 8 december 2022, Google (Borttagande av påstått felaktigt innehåll), C‑460/20, EU:C:2022:962, punkt 44).

17 Se, för ett liknande resonemang, domen i målet Google Spain, punkt 34, och dom av den 5 juni 2018, Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2018:388, punkt 28).

18 Se riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 12.

19 Förslag till avgörande av generaladvokaten Bot i målet Wirtschaftsakademie Schleswig-Holstein ( C‑210/16, EU:C:2017:796, punkt 46).

20 Yttrande 1/2010 om registeransvarig och registerförare, WP 169, s. 11, från artikel 29 – arbetsgruppen som är ett rådgivande organ som inrättades genom artikel 29 i direktiv 95/46 och som numera har ersatts av Europeiska dataskyddsstyrelsen (nedan kallad EDPD), som inrättades genom artikel 68 i dataskyddsförordningen.

21 Van Alsenoy, B., Chapter 4. Allocation of Responsibility i Data Protection Law in the EU: Roles, Responsibilities and Liability, 1:a upplagan, Bryssel, Intersentia, 2019, s. 43–53.

22 Se artikel 2 i den kungliga förordningen av den 25 juni 2020 om fastställande av metoden för offentliggörande i Moniteur belge som det hänvisas till i artikel 1250 i rättegångsbalken. Jag vill påpeka att SPF Justice, i egenskap av personuppgiftsansvarig i den mening som avses i artikel 4.7 i dataskyddsförordningen, inte bara måste svara för den operativa förvaltningen av offentliggörandet och tillhandahålla de tekniska hjälpmedlen för behandlingen, utan även fullgöra de skyldigheter som fastställs i den förordningen i fråga om behandling (se artiklarna 5 och 6 i dataskyddsförordningen).

23 Europeiska dataskyddsstyrelsens riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 20.

24 Ibidem.

25 Den skyldighet som fastställs i artikel 4.7 i dataskyddsförordningen, jämförd med artikel 5.1 b i denna, att ändamålen måste vara fastställda och uttryckliga kräver således åtminstone att varje indirekt fastställande av ändamålen för behandlingen måste framgå av de rättsliga bestämmelser som ligger till grund för den berörda myndighetens verksamhet.

26 Se dom av den 9 mars 2017, Manni ( C‑398/15, EU:C:2017:197, punkt 35).

27 Se artiklarna 71 och 73.1 i bolagslagen.

28 Den belgiska regeringen hävdade vid förhandlingen att notarien underförstått hade utsetts till personuppgiftsansvarig i lagen, medan Dataskyddsmyndigheten påstod att det var Moniteur belge som hade fått denna ställning.

29 Dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 68).

30 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629).

31 Ibidem, punkterna 78 och 79.

32 Såsom generaladvokat Pitruzzella påpekade i sitt förslag till avgörande i målet Google (Borttagande av påstått falsk information) ( C‑460/20, EU:C:2022:271, punkt 15), påpekade domstolen i domen i målet Google Spain, på grundval av den aspekten, att behandling av personuppgifter som sker inom ramen för en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, vilken innebär att lägga ut uppgifterna på en sida på internet.

33 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 70.

34 Se, för ett liknande resonemang, dom av den 24 september 2019, GC m.fl. (Borttagande av påstått falsk information) ( C‑136/17, EU:C:2019:773, punkt 37).

35 Domen i målet Google Spain, punkt 34.

36 Se skäl 1 i dataskyddsförordningen.

37 Se punkt 68 nedan.

38 Dom av den 8 december 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Ändamålen med behandlingen av personuppgifter – Brottsutredning) ( C‑180/21, EU:C:2022:967, punkt 80).

39 Se punkt 54 ovan.

40 Se artikel 1.2 samt skälen 1 och 4 i dataskyddsförordningen.

41 Se, för ett liknande resonemang, dom av den 10 juli 2018, Jehovan todistajat ( C‑25/17, EU:C:2018:551, punkt 66).

42 I artiklarna 28 och 29 i dataskyddsförordningen anges att när uppgifter behandlas av ett personuppgiftsbiträde ska hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och som specificerar behandlingen. Den nationella lagstiftaren borde ha fastställt regler för behandling för att Moniteur belge ska kunna kvalificeras som personuppgiftsbiträde.

43 Se punkterna 55–57 ovan.

44 Det argumentet från den belgiska regeringen motsäger dessutom det argument som regeringen själv lade fram vid förhandlingen, och varmed den hävdade att Moniteur belge inte genomför lagen utan snarare verkställer notariens begäran.

45 Artiklarna 474–476 i ramlagen av den 24 december 2002.

46 Det är numera 10 dagar enligt nya regler.

47 Se artiklarna 73 och 76 i 1999 års bolagslag.

48 Den fråga som uppkommer här är huruvida den belgiska lagstiftaren inte har begränsat den personuppgiftsansvariges befogenheter på ett sätt som strider mot dataskyddsförordningen. Det kan hävdas att en sådan begränsning är problematisk, inte bara mot bakgrund av artikel 17 i dataskyddsförordningen utan även mot bakgrund av artikel 16.1 FEUF och artikel 8.1 i stadgan, och att den eventuellt kan undergräva den ändamålsenliga verkan hos det skydd som dataskyddsförordningen ger. Samtidigt som den hänskjutande domstolen måste pröva dessa frågor, eftersom den registrerades begäran grundar sig på artikel 17 i dataskyddsförordningen, är det tydligt att de inte ingår i förevarande begäran om förhandsavgörande som har framställts av den domstolen.

49 Se punkt 54 ovan.

50 Vid förhandlingen förklarade kommissionen att till exempel Europeiska unionens officiella tidning kan ändras och att sådana lösningar finns.

51 Se artikel 5.1 c och d i dataskyddsförordningen.

52 Se punkt 55 ovan.

53 Såsom generaladvokat Pitruzzella påpekade i sitt förslag till avgörande i målet Google (Borttagande av påstått falsk information) ( C‑460/20, EU:C:2022:271, punkt 15), påpekade domstolen i domen i målet Google Spain, på grundval av den aspekten, att behandling av personuppgifter som sker inom ramen för en sökmotor skiljer sig från och utgör ett tillägg till den behandling som görs av webbplatsutgivarna, vilken innebär att lägga ut uppgifterna på en sida på internet.

54 Dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 67). Se även Europeiska dataskyddsstyrelsens riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 29.

55 Se Europeiska dataskyddsstyrelsens riktlinjer 07/2020 angående begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR, punkt 67. Såsom kommissionen har förklarat innebär inte alla typer av partnerskap, samarbeten eller samverkan att enheterna är gemensamt personuppgiftsansvariga, eftersom denna egenskap kräver en analys i varje enskilt fall av varje behandling och den exakta roll som varje enhet spelar i respektive behandling. Jag vill hävda att gemensamt ansvar bör övervägas när två enheter genomför behandlingsåtgärder som inte kan särskiljas som separata steg i behandlingen.

56 Se, för ett liknande resonemang, dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 74).

57 Det är till exempel endast företagsdomstolens kansli som kan lägga till det omtvistade avsnittet i bolagets akt.

58 Se, för ett liknande resonemang, dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkterna 172–176).