Conclusie A-G HvJ EU: Staatsblad is verantwoordelijke in gegevensverwerking

Conclusie A-G Hof van Justitie EU 8 juni 2023, IT 4298; ECLI:EU:C:2023:468 (Belgische Staat/LM) LM is aandeelhouder van Bureau LM. In het kader van een wijziging van de statuten wordt een akte opgenomen die in het Belgische Staatsblad wordt gepubliceerd. Daarin staan, naast de wettelijk vereiste gegevens, ook de namen van twee vennoten en hun bankrekeningnummers. De notaris vraagt het Belgisch Ministerie van Justitie (hierna: FOD Justitie) om deze passage uit het register te schrappen en te vervangen door een tekst waarin deze gegevens niet voortkomen. Dat verzoek wordt afgewezen. LM heeft hierop een klacht ingediend tegen het Belgisch Staatsblad bij de GBA (Gegevensbeschermingsautoriteit). De GBA heeft de klacht toegewezen en het Staatsblad gevorderd de wijziging door te voeren. De Belgische Staat heeft hoger beroep ingesteld tegen dat besluit, waarin LM intervenieert. De vragen waar de A-G over opinieert zijn: of een staatsblad als verwerkingsverantwoordelijke kan worden gezien en, als de eerste vraag bevestigend wordt beantwoord, of het dan zo is dat de AVG eist dat elke overheidsinstantie die in contact komt met officiële akten en documenten een meldingsplicht van de verwerking heeft of dat deze informatieplichten cumulatief bij de eindverantwoordelijke belanden.

A-G Medina begint met op te merken dat begrippen als 'verwerken' en 'persoonsgegevens' in het Unierecht breed worden uitgelegd. De notaris die de akte verleed wordt bijvoorbeeld gezien als een verwerkende partij. Dat iemand persoonsgegevens verwerkt, maakt hen nog niet tot verwerkingsverantwoordelijke. Daarvoor moet worden onderzocht of het Belgisch Staatsblad 'het doel en de middelen voor de verwerking van persoonsgegevens vaststelt'. Die verantwoordelijkheid kan impliciet uit de feiten voortvloeien, of bij wet (impliciet) worden vastgelegd. Hoewel het Belgisch Staatsblad geen expliciete verantwoordelijkheid heeft gekregen, moet worden aangenomen dat zij deze wel impliciet heeft omdat vennootschappen wettelijk verplicht zijn bepaalde handelingen te publiceren. Daarmee is het Belgisch Staatsblad een verwerkingsverantwoordelijke. De vervolgvraag is of iemand anders, bijvoorbeeld de notaris, een meer eigenlijke verantwoordelijke is. Die vraag maakt uit voor de grondrechten die ten aanzien van een betrokkene moeten worden gewaarborgd. De A-G komt tot de conclusie dat het Belgisch Staatsblad als verwerkingsverantwoordelijke móet worden gezien, om de effectieve bescherming van betrokkenen zeker te stellen. Indien deze verantwoordelijkheid namelijk te verspreid raakt is er geen centraal aanspreekpunt voor rechtszoekenden om hun persoonsgegevens in te zien of te doen vernietigen. Dat het Belgische Staatsblad gebonden is aan de beslissingen van het FOD Justitie doet daar niet aan af. Het Staatsblad is de enige verwerkingsverantwoordelijke en dus gebonden aan de verplichtingen uit de Algemene Verordening Gegevensbescherming (hierna: de AVG).

Met het beantwoorden van die eerste vraag kan de A-G onderzoeken of het Belgisch Staatsblad als enige verantwoordelijk is voor de verplichtingen die uit de AVG voortvloeien. De A-G komt vrij snel tot haar antwoord. Het feit dat meerdere verwerkers in dezelfde keten zitten - en zich over dezelfde gegevens buigen - betekent niet per se dat zij een gedeelde verantwoordelijkheid hebben. In casu was het belangrijkste punt dat de verschillende instanties niet dezelfde middelen toepassen voor de verwerking van de persoonsgegevens. Bovendien zou het niet praktisch zijn om de verantwoordelijkheid te dun over de keten van verwerkers te spreiden, omdat een betrokkene die zijn gegevens wil laten verwijderen dan bij meerdere schakels in de keten langs moet gaan. De A-G geeft het hof in overweging dat het Belgisch Staatsblad als enige verwerkingsverantwoordelijke moet worden gezien, die de rechten en plichten van de AVG heeft na te leven en als centraalpunt van gegevensverzameling moet worden gezien. 

65 Aangezien de wetgever bij de invoering van wetten echter zelf niet optreedt als verwerkingsverantwoordelijke en geen andere entiteit invloed heeft op de vaststelling van het doel van en de middelen voor de betrokken verwerking, te weten de digitale omzetting en de digitale verspreiding van de betrokken documenten, moet, om een leemte in de aanwijzing te voorkomen, het Belgisch Staatsblad als verwerkingsverantwoordelijke worden aangewezen. De notaris en de griffie van de ondernemingsrechtbank ontberen eenvoudigweg de bevoegdheid om in dat stadium te interveniëren. Het ontbreken van beslissingsbevoegdheid van het Belgisch Staatsblad kan dus niet dienen als excuus voor het niet doeltreffend beschermen van de betrokkenen. Bijgevolg moet worden geoordeeld dat het Belgisch Staatsblad – ook al is het, zoals de nationale wetgeving vereist, impliciet aangewezen – bij de verwerking van persoonsgegevens in het kader van de publicatie van documenten, een verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, AVG is.

84 Het feit dat meerdere actoren een rol spelen in dezelfde verwerkingsketen, betekent echter niet dat zij noodzakelijkerwijs als gezamenlijke verwerkingsverantwoordelijken optreden.Bovendien heeft het Hof geoordeeld dat een natuurlijke of rechtspersoon niet kan worden geacht verantwoordelijk te zijn voor bewerkingen die vroeger of later in de verwerkingsketen plaatsvinden en waarvan respectievelijk waarvoor hij niet het doel en de middelen vaststelt. In casu blijkt dus niet dat het nationale recht gezamenlijke verwerkingsverantwoordelijken heeft aangewezen, aangezien de notaris geen enkele controle uitoefent op de door het Belgisch Staatsblad uitgevoerde bewerkingen.

85 Bijgevolg ben ik van mening dat in casu de gezamenlijke verantwoordelijkheid van de drie entiteiten niet wordt vastgesteld door het nationale recht en evenmin kan worden vastgesteld aan de hand van de door de verwijzende rechter uiteengezette feiten. Wat de feiten van het hoofdgeding betreft, merk ik met name op dat de drie entiteiten in de verwerkingsketen niet dezelfde middelen voor de verwerking toepassen, aangezien het Belgisch Staatsblad de documenten in kwestie digitaal omzet, publiceert en verspreidt. Bovendien zou, gelet op de feiten van het hoofdgeding, de betrokken natuurlijke persoon die gebruik wenst te maken van zijn recht op gegevenswissing overeenkomstig artikel 17 AVG, zijn rechten uit hoofde van de AVG moeten uitoefenen ten aanzien van en jegens elk van de gezamenlijke verwerkingsverantwoordelijken. Vanuit dit oogpunt is elk van de actoren dus op onderscheiden wijze verantwoordelijk voor de naleving van de in artikel 5, lid 1, AVG bedoelde beginselen.

89.      Gelet op een en ander geef ik het Hof in overweging om de door de cour d’appel de Bruxelles gestelde vragen te beantwoorden als volgt:

„Artikel 4, punt 7, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

moet aldus worden uitgelegd dat een staatsblad van een lidstaat, zoals het Belgisch Staatsblad, waaraan krachtens de toepasselijke nationale wetgeving de bekendmaking en archivering van akten en officiële documenten is opgedragen, met het oog op een doeltreffende en volledige bescherming van de betrokkenen, als verwerkingsverantwoordelijke in de zin van artikel 4, punt 7, van verordening 2016/679 kan worden beschouwd in omstandigheden waarin de publicatie van deze documenten, als zodanig, is bevolen door derde entiteiten, aangezien de nationale wetgever dit staatsblad de bevoegdheid heeft verleend om de middelen voor de digitale omzetting, bekendmaking, verspreiding en bewaring van de documenten in kwestie vast te stellen en brede doelen voor de publicatie en verspreiding van die documenten heeft geformuleerd. Aangaande het verzuim om voor het verwijderen of wissen van gegevens een verwerkingsverantwoordelijke aan te wijzen, staat het evenwel aan de nationale rechter om de entiteit aan te wijzen die de uit verordening 2016/679 voortvloeiende verplichtingen moet naleven, aangezien de gegevens in kwestie voor het publiek toegankelijk blijven.

Artikel 5, lid 2, van verordening 2016/679 moet aldus worden uitgelegd dat het staatsblad in kwestie de verantwoordelijkheden moet naleven die krachtens deze bepaling op de verwerkingsverantwoordelijke rusten voor de door hem verrichte handelingen. De betrokken verwerking leidt niet tot een gezamenlijke verantwoordelijkheid en het Belgisch Staatsblad is als enige verantwoordelijk voor de verwerkingshandelingen die door het nationale recht aan dit staatsblad worden opgelegd.”