–

pour l’Autorité de protection des données, par Mes F. Biebuyck, P.Van Muylder, avocates, et Me E. Kairis, advocaat,

–

pour le gouvernement belge, par MM. P. Cottin, J.-C. Halleux et Mme C. Pochet, en qualité d’agents, assistés de Mes S. Kaisergruber et P. Schaffner, avocats,

–

pour le gouvernement hongrois, par Mme Zs. Biró-Tóth et M. M. Z. Fehér, en qualité d’agents,

–

pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et Mme A.-C. Simon, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation de l’article 4, point 7, et de l’article 5, paragraphe 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2

Cette demande a été présentée dans le cadre d’un litige opposant l’État belge à l’Autorité de protection des données (Belgique) (ci-après l’« APD »), qui est l’autorité de contrôle instituée en Belgique en vertu de l’article 51 du RGPD, au sujet d’une décision par laquelle cette autorité a enjoint à l’autorité gérant le Moniteur belge, le Journal officiel qui assure, dans cet État membre, la production et la diffusion d’un large éventail de publications officielles et publiques sur papier et par voie électronique, de donner suite à l’exercice, par une personne physique, de son droit à l’effacement concernant plusieurs données à caractère personnel figurant dans un acte publié dans ce Journal officiel.

3

L’article 4, points 2 et 7, du RGPD dispose :

« Aux fins du présent règlement, on entend par :

[…]

[…]

[…] »

4

L’article 5 du RGPD énonce :

« 1. Les données à caractère personnel doivent être :

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

5

L’article 17 du RGPD est rédigé de la manière suivante :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :

[…]

3. Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire :

[…]

[…]

[…] »

6

Aux termes de l’article 26 du RGPD :

« 1. Lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du présent règlement, notamment en ce qui concerne l’exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d’accord entre eux, sauf si, et dans la mesure où, leurs obligations respectives sont définies par le droit de l’Union ou par le droit de l’État membre auquel les responsables du traitement sont soumis. Un point de contact pour les personnes concernées peut être désigné dans l’accord.

2. L’accord visé au paragraphe 1 reflète dûment les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées. Les grandes lignes de l’accord sont mises à la disposition de la personne concernée.

3. Indépendamment des termes de l’accord visé au paragraphe 1, la personne concernée peut exercer les droits que lui confère le présent règlement à l’égard de et contre chacun des responsables du traitement. »

7

L’article 51 du RGPD dispose notamment que les États membres doivent prévoir une ou plusieurs autorités publiques indépendantes chargées de surveiller l’application de ce règlement.

8

L’article 472 de la loi-programme du 24 décembre 2002 (Moniteur belge du 31 décembre 2002, p. 58686) dispose :

« Le Moniteur belge est une publication officielle éditée par la Direction du Moniteur belge, qui rassemble tous les textes pour lesque[ls] la publication au Moniteur belge est ordonnée. »

9

L’article 474 de cette loi-programme indique :

« La publication au Moniteur belge par la Direction du Moniteur belge se fait en quatre exemplaires imprimés sur papier.

[…]

Un exemplaire est conservé électroniquement. Le Roi détermine les modalités de la conservation électronique […] »

10

L’article 475 de ladite loi-programme est rédigée de la manière suivante :

« Toute autre mise à disposition du public est réalisée par l’intermédiaire du site [I]nternet de la Direction du Moniteur belge.

Les publications mises à disposition sur ce site [I]nternet sont les reproductions exactes dans un format électronique des exemplaires sur papier prévus à l’article 474. »

11

Aux termes de l’article 475 bis de la même loi-programme :

« Tout citoyen peut obtenir à prix coûtant auprès des services du Moniteur belge, par le biais d’un service d’aide téléphonique gratuit, une copie des actes et documents publiés au Moniteur belge. Ce service est également chargé de fournir aux citoyens un service d’aide à la recherche de documents. »

12

L’article 475 ter de la loi-programme du 24 décembre 2002 prévoit :

« D’autres mesures d’accompagnement sont prises par arrêté royal délibéré en Conseil des Ministres afin d’assurer la diffusion et l’accès les plus larges possibles aux informations contenues dans le Moniteur belge. »

13

En Belgique, une personne physique détenait la majorité des parts d’une société privée à responsabilité limitée. Les associés de cette société ayant décidé d’opérer une réduction du capital de celle-ci, les statuts de ladite société ont été modifiés par une décision de l’assemblée extraordinaire de celle-ci du 23 janvier 2019.

14

Conformément au code des sociétés, dans sa version issue de la loi du 7 mai 1999 (Moniteur belge du 6 août 1999, p. 29440), un extrait de cette décision a été préparé par le notaire de cette personne physique avant d’être transmis par celui-ci au greffe du tribunal compétent, à savoir le tribunal de l’entreprise dans le ressort territorial duquel cette société a son siège. En vertu des dispositions légales pertinentes, le tribunal a communiqué cet extrait pour publication à la direction du Moniteur belge.

15

Le 12 février 2019, ledit extrait a été publié tel quel, c’est-à-dire sans contrôle de son contenu, dans les annexes du Moniteur belge conformément aux dispositions légales applicables.

16

Le même extrait contient la décision de réduire le capital de ladite société, le montant initial de ce capital, le montant de la réduction concernée ainsi que le nouveau montant du capital social et le nouveau texte des statuts de la même société. Il contient également un passage dans lequel sont indiqués le nom des deux associés de cette dernière, dont celui de la personne physique mentionnée au point 13 du présent arrêt, les montants qui leur ont été remboursés ainsi que leurs numéros de compte bancaire (ci-après le « passage en cause au principal »).

17

Ayant constaté que son notaire avait commis une erreur en incluant dans l’extrait mentionné au point 14 du présent arrêt le passage en cause au principal alors que cela n’était pas requis par la loi, cette personne physique a, par l’intermédiaire de ce notaire et du délégué à la protection des données de ce dernier, entamé des démarches visant à obtenir la suppression de ce passage, conformément à son droit à l’effacement prévu à l’article 17 du RGPD.

18

Le service public fédéral Justice (ci-après le « SPF Justice »), auquel la direction du Moniteur belge est rattachée, a, notamment par une décision du 10 avril 2019, refusé de donner suite à une telle demande d’effacement.

19

Le 21 janvier 2020, ladite personne physique a déposé plainte contre le SPF Justice auprès de l’APD pour faire constater que cette demande d’effacement était fondée et que les conditions d’exercice du droit à l’effacement prévues à l’article 17, paragraphe 1, du RGPD étaient réunies.

20

Par une décision du 23 mars 2021, l’APD a adressé une « réprimande » au SPF Justice tout en enjoignant à ce dernier de donner suite à ladite demande d’effacement dans les meilleurs délais, au plus tard dans les 30 jours suivant la notification de cette décision.

21

Le 22 avril 2021, l’État belge a saisi la cour d’appel de Bruxelles (Belgique), qui est la juridiction de renvoi, en vue d’obtenir l’annulation de ladite décision.

22

Cette juridiction relève que les parties s’opposent sur la question de savoir de quelle manière il convient d’interpréter, dans l’affaire au principal, la notion de « responsable du traitement » figurant à l’article 4, point 7, du RGPD, dès lors que les données à caractère personnel figurant dans le passage en cause au principal, dont la publication n’était pas requise par la loi, ont fait l’objet d’un traitement par plusieurs responsables de traitement « successifs » potentiels. Ceux-ci sont, premièrement, le notaire qui a rédigé l’extrait comprenant le passage en cause au principal en y insérant par erreur ces données, deuxièmement, le greffe du tribunal où cet extrait a par la suite été déposé avant d’être transmis au Moniteur belge pour publication et, troisièmement, le Moniteur belge qui, conformément aux dispositions légales régissant son statut et ses missions, l’a publié tel quel, c’est-à-dire sans pouvoir de contrôle et de modification, après réception de la part de ce tribunal.

23

Dans ce cadre, la juridiction de renvoi se demande si le Moniteur belge peut être qualifié de « responsable du traitement », au sens de l’article 4, point 7, du RGPD. Dans l’affirmative et tout en relevant que les parties au principal n’invoquent pas la responsabilité conjointe prévue à l’article 26 du RGPD, cette juridiction cherche également à savoir si le Moniteur belge doit être tenu pour seul responsable, en vertu de l’article 5, paragraphe 2, de ce règlement, du respect des principes édictés à l’article 5, paragraphe 1, dudit règlement, ou bien si cette responsabilité incombe aussi cumulativement aux instances publiques qui ont traité en amont les données figurant dans le passage en cause au principal, à savoir le notaire qui a rédigé l’extrait comprenant ce passage et le tribunal de l’entreprise dans le ressort territorial duquel la société privée à responsabilité limitée concernée a son siège social.

24

Dans ces conditions, la cour d’appel de Bruxelles a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

25

Par sa première question, la juridiction de renvoi demande, en substance, si l’article 4, point 7, du RGPD doit être interprété en ce sens que le service ou l’organisme chargé du Journal officiel d’un État membre, qui est notamment tenu, en vertu de la législation de cet État, de publier tels quels des actes et des documents officiels préparés par des tiers sous leur propre responsabilité dans le respect des règles applicables, puis déposés auprès d’une autorité judiciaire qui les lui adresse pour publication, peut être qualifié de « responsable du traitement » des données à caractère personnel figurant dans ces actes et ces documents, au sens de cette disposition.

26

À titre liminaire, il y a lieu de préciser que la notion de « responsable du traitement », visée à l’article 4, point 7, du RGPD, présuppose l’existence d’un « traitement » de données à caractère personnel, au sens de l’article 4, point 2, de ce règlement. En l’occurrence, il ressort de la décision de renvoi que les données à caractère personnel figurant dans le passage en cause au principal ont fait l’objet d’un traitement par le Moniteur belge. Même si la juridiction de renvoi n’expose pas en détail ce traitement, il ressort des observations écrites concordantes de l’APD et du gouvernement belge que ces données ont été à tout le moins collectées, enregistrées, conservées, communiquées par transmission et diffusées par le Moniteur belge, de telles opérations constituant un « traitement » au sens de l’article 4, point 2, dudit règlement.

27

Sous le bénéfice de cette précision liminaire, il convient de rappeler que, en vertu de l’article 4, point 7, du RGPD, la notion de « responsable du traitement » couvre les personnes physiques ou morales, les autorités publiques, les services ou les autres organismes qui, seuls ou conjointement avec d’autres, déterminent les finalités et les moyens du traitement. Cette disposition énonce également que, lorsque les finalités et les moyens de ce traitement sont déterminés notamment par le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par ce droit.

28

À cet égard, il convient de rappeler que, selon la jurisprudence de la Cour, cette disposition vise à assurer, par une définition large de la notion de « responsable du traitement », une protection efficace et complète des personnes concernées (voir, en ce sens, arrêts du 5 décembre 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, point 29, et du 5 décembre 2023, Deutsche Wohnen, C-807/21, EU:C:2023: 95 0, point 40 ainsi que jurisprudence citée).

29

Compte tenu du libellé de l’article 4, point 7, du RGPD, lu à la lumière de cet objectif, il apparaît que, pour déterminer si une personne ou une entité doit être qualifiée de « responsable du traitement », au sens de cette disposition, il convient de rechercher si cette personne ou cette entité détermine, seule ou conjointement avec d’autres, les finalités et les moyens du traitement ou bien si ceux-ci sont déterminés par le droit national. Lorsqu’une telle détermination est effectuée par le droit national, il convient alors de vérifier si ce droit désigne le responsable du traitement ou prévoit les critères spécifiques applicables à sa désignation.

30

À cet égard, il importe de préciser que, eu égard à la définition large de la notion de « responsable du traitement », au sens de l’article 4, point 7, du RGPD, la détermination des finalités et des moyens du traitement et, le cas échéant, la désignation de ce responsable par le droit national peuvent être non seulement explicites, mais également implicites. Dans ce dernier cas de figure, il est néanmoins requis que cette détermination découle de manière suffisamment certaine du rôle, de la mission et des attributions dévolus à la personne ou à l’entité concernée. En effet, ce serait amoindrir la protection de ces personnes si l’article 4, point 7, du RGPD était interprété de manière restrictive pour ne couvrir que les cas de figure dans lesquels les finalités et les moyens d’un traitement de données opéré par une personne, une autorité publique, un service ou un organisme sont déterminés expressément par le droit national, alors même que ces finalités et ces moyens ressortiraient, en substance, des dispositions légales régissant l’activité de l’entité concernée.

31

En l’occurrence, premièrement, la juridiction de renvoi précise que, dans l’affaire au principal, le Moniteur belge ne semble pas être investi par le droit national du pouvoir de déterminer les finalités et les moyens des traitements de données qu’il effectue, la première question préjudicielle étant posée en partant de cette prémisse. Par ailleurs, il ressort des explications concordantes de l’APD et du gouvernement belge lors de l’audience que l’autorité publique gérant le Moniteur belge, à savoir le SPF Justice, ne semble pas non plus être investie par le droit national d’un tel pouvoir.

32

Deuxièmement, il ressort des éléments du dossier dont dispose la Cour que les données à caractère personnel figurant dans les actes et les documents transmis au Moniteur belge pour publication sont essentiellement collectées, enregistrées, conservées et publiées telles quelles en vue d’informer officiellement le public de l’existence de ces actes et de ces documents et de rendre ceux-ci opposables aux tiers.

33

En outre, il ressort des explications fournies par la juridiction de renvoi que le traitement s’effectue essentiellement à l’aide de moyens automatisés : notamment, les données concernées sont reproduites sur des exemplaires imprimés sur papier dont l’un est conservé électroniquement, les exemplaires papier sont reproduits en format électronique pour le site Internet du Moniteur belge et une copie peut être obtenue par l’intermédiaire d’un service d’aide téléphonique chargé en outre de fournir aux citoyens un service d’aide à la recherche de documents.

34

Il découle ainsi des éléments du dossier dont dispose la Cour que le droit belge a déterminé, à tout le moins implicitement, les finalités et les moyens du traitement des données à caractère personnel effectué par le Moniteur belge.

35

Dans ces circonstances, il convient de relever que le Moniteur belge peut être considéré comme étant, en tant que service ou organisme chargé de traiter les données à caractère personnel figurant dans ses publications conformément aux finalités et aux moyens de traitement prescrits par la législation belge, le « responsable du traitement », au sens de l’article 4, point 7, du RGPD.

36

Cette conclusion n’est pas remise en cause par la circonstance que le Moniteur belge, en tant que subdivision du SPF Justice, n’est pas doté de la personnalité juridique. En effet, il ressort du libellé clair de cette disposition qu’un responsable du traitement peut être non seulement une personne physique ou morale, mais aussi une autorité publique, un service ou un organisme, de telles entités n’étant pas nécessairement dotées de la personnalité juridique en fonction du droit national.

37

De même, le fait que, en vertu du droit national, le Moniteur belge ne contrôle pas, avant leur publication dans ce Journal officiel, les données à caractère personnel figurant dans les actes et les documents reçus par ledit Journal officiel ne saurait avoir une incidence sur le point de savoir si le Moniteur belge peut être qualifié de responsable du traitement.

38

En effet, s’il est vrai que le Moniteur belge doit publier le document concerné tel quel, c’est lui seul qui assume cette tâche et diffuse ensuite l’acte ou le document concerné. D’une part, la publication de tels actes et de tels documents sans possibilité de contrôle ni de modification de leur contenu est intrinsèquement liée aux finalités et aux moyens du traitement déterminés par le droit national, en ce que le rôle d’un Journal officiel tel que le Moniteur belge se limite à informer le public de l’existence de ces actes et de ces documents, tels qu’ils sont transmis à ce Journal officiel sous la forme de copie conformément au droit national applicable, de manière à les rendre opposables aux tiers. D’autre part, il serait contraire à l’objectif de l’article 4, point 7, du RGPD, visé au point 28 du présent arrêt, d’exclure de la notion de « responsable du traitement » le Journal officiel d’un État membre au motif que ce dernier n’exerce pas de contrôle sur les données à caractère personnel figurant dans ses publications (voir, par analogie, arrêt du 13 mai 2014, Google Spain et Google, C-131/12, EU:C:2014:317, point 34).

39

Eu égard aux motifs qui précèdent, il y a lieu de répondre à la première question que l’article 4, point 7, du RGPD doit être interprété en ce sens que le service ou l’organisme chargé du Journal officiel d’un État membre, qui est notamment tenu, en vertu de la législation de cet État, de publier tels quels des actes et des documents officiels préparés par des tiers sous leur propre responsabilité dans le respect des règles applicables, puis déposés auprès d’une autorité judiciaire qui les lui adresse pour publication, peut, nonobstant son défaut de personnalité juridique, être qualifié de « responsable du traitement » des données à caractère personnel figurant dans ces actes et ces documents, lorsque le droit national concerné détermine les finalités et les moyens du traitement des données à caractère personnel effectué par ce Journal officiel.

40

Par sa seconde question, la juridiction de renvoi demande, en substance, si l’article 5, paragraphe 2, du RGPD doit être interprété en ce sens que le service ou l’organisme chargé du Journal officiel d’un État membre, qualifié de « responsable du traitement », au sens de l’article 4, point 7, du RGPD, doit être tenu pour seul responsable du respect des principes visés à l’article 5, paragraphe 1, du RGPD ou bien si ce respect incombe de manière cumulative à ce service ou à cet organisme et aux entités publiques tierces qui ont traité préalablement les données à caractère personnel figurant dans les actes et les documents publiés par ce Journal officiel.

41

Tout d’abord, il y a lieu de rappeler que, en vertu de l’article 5, paragraphe 2, du RGPD, le responsable du traitement est responsable du respect des principes prévus sous la forme d’obligations au paragraphe 1 de cet article et doit être en mesure de démontrer que ces principes sont respectés.

42

En l’occurrence, il ressort du dossier dont dispose la Cour que le traitement des données à caractère personnel en cause au principal qui a été confié au Moniteur belge est à la fois postérieur au traitement effectué par le notaire et par le greffe du tribunal compétent et techniquement différent du traitement effectué par ces deux entités en ce qu’il vient s’y ajouter. En effet, les opérations effectuées par le Moniteur belge lui sont confiées par la législation nationale et impliquent notamment la transformation numérique des données figurant dans les actes ou les extraits d’actes qui lui sont soumis, la publication de celles-ci, leur mise à disposition à un large public ainsi que leur conservation.

43

Dès lors, le Moniteur belge doit être considéré comme étant, en vertu de l’article 5, paragraphe 2, du RGPD, responsable du respect des principes visés au paragraphe 1 de cet article, en ce qui concerne les traitements qu’il est tenu d’effectuer en vertu du droit national, et, partant, de l’ensemble des obligations imposées au responsable du traitement par le RGPD.

44

Ensuite, compte tenu des interrogations de la juridiction de renvoi en ce qui concerne le point de savoir si un tel Journal officiel est seul responsable de ces traitements, il convient de rappeler que, ainsi qu’il résulte du libellé de l’article 4, point 7, du RGPD, cette disposition prévoit non seulement que les finalités et les moyens d’un traitement de données à caractère personnel peuvent être déterminés conjointement par plusieurs personnes en tant que responsables du traitement, mais également que le droit national peut déterminer lui-même ces finalités et ces moyens et désigner le responsable du traitement ou les critères spécifiques applicables à sa désignation.

45

Ainsi, dans le cadre d’une chaîne de traitements opérés par différentes personnes ou entités et portant sur les mêmes données à caractère personnel, le droit national peut déterminer les finalités et les moyens de l’ensemble des traitements opérés successivement par ces différentes personnes ou entités de manière à ce que celles-ci soient conjointement tenues pour responsables du traitement.

46

Par ailleurs, il y a lieu de rappeler que l’article 26, paragraphe 1, du RGPD prévoit une responsabilité conjointe lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens d’un traitement de données à caractère personnel. Cette disposition énonce également que les responsables conjoints du traitement doivent définir de manière transparente, par voie d’accord entre eux, leurs obligations respectives aux fins d’assurer le respect des exigences de ce règlement, sauf si et dans la mesure où leurs obligations respectives sont définies par le droit de l’Union ou par le droit de l’État membre auquel ils sont soumis.

47

Il ressort ainsi de ladite disposition que les obligations respectives des responsables conjoints d’un traitement de données à caractère personnel ne dépendent pas nécessairement de l’existence d’un accord entre les différents responsables (voir, en ce sens, arrêt du 5 décembre 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, points 44 et 45), mais peuvent découler du droit national.

48

En outre, la Cour a jugé, d’une part, qu’il suffit qu’une personne influe, à des fins qui lui sont propres, sur le traitement de données à caractère personnel et participe de ce fait à la détermination des finalités et des moyens de ce traitement pour pouvoir être conjointement tenue pour responsable du traitement et, d’autre part, que la responsabilité conjointe de plusieurs acteurs pour un même traitement ne présuppose pas que chacun d’eux ait accès aux données à caractère personnel concernées (voir, en ce sens, arrêt du 5 décembre 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, points 40 à 43 et jurisprudence citée).

49

Il résulte des points 44 à 48 du présent arrêt que, en vertu des dispositions combinées de l’article 26, paragraphe 1, et de l’article 4, point 7, du RGPD, la responsabilité conjointe de plusieurs acteurs d’une chaîne de traitements portant sur les mêmes données à caractère personnel peut être établie par le droit national pour autant que les différentes opérations de traitement soient unies par des finalités et des moyens déterminés par ce droit et que celui-ci définisse les obligations respectives de chacun des responsables conjoints du traitement.

50

Il convient de préciser qu’une telle détermination des finalités et des moyens unissant les différents traitements opérés par plusieurs acteurs d’une chaîne ainsi que des obligations respectives de ceux-ci peut être effectuée non seulement de manière directe, mais également de manière indirecte par le droit national, à condition, dans ce dernier cas de figure, qu’elle puisse se déduire de manière suffisamment explicite des dispositions légales régissant les personnes ou les entités concernées ainsi que le traitement des données à caractère personnel qu’elles opèrent dans le cadre de la chaîne de traitements imposée par ce droit.

51

Enfin et à toutes fins utiles, il y a lieu de préciser que, dans le cas où la juridiction de renvoi en viendrait à la conclusion que le service ou l’organisme chargé du Moniteur belge est non pas seul, mais conjointement avec d’autres responsable du respect des principes visés à l’article 5, paragraphe 1, du RGPD en ce qui concerne les données figurant dans le passage en cause au principal, une telle conclusion ne préjugerait en rien de la question de savoir si, au regard notamment des exceptions visées à l’article 17, paragraphe 3, sous b) et d), du RGPD, il convient de faire droit à la demande d’effacement présentée par la personne physique mentionnée au point 13 du présent arrêt.

52

Eu égard aux motifs qui précèdent, il y a lieu de répondre à la seconde question que l’article 5, paragraphe 2, du RGPD, lu en combinaison avec l’article 4, point 7, et l’article 26, paragraphe 1, de celui-ci, doit être interprété en ce sens que le service ou l’organisme chargé du Journal officiel d’un État membre, qualifié de « responsable du traitement », au sens de l’article 4, point 7, de ce règlement, est seul responsable du respect des principes visés à l’article 5, paragraphe 1, de celui-ci en ce qui concerne les opérations de traitement des données à caractère personnel qu’il est tenu d’effectuer en vertu du droit national, à moins qu’une responsabilité conjointe avec d’autres entités au regard de ces opérations ne découle de ce droit.

53

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (troisième chambre) dit pour droit :

Signatures