CELEX: 62020CJ0037
Odesłanie prejudycjalne
Zapobieganie wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu
Dyrektywa (UE) 2018/843 zmieniająca dyrektywę (UE) 2015/849
Zmiana wprowadzona do art. 30 ust. 5 akapit pierwszy lit. c) tej ostatniej dyrektywy
Dostęp każdej osoby do informacji dotyczących beneficjentów rzeczywistych
Ważność
Artykuły 7 i 8 Karty praw podstawowych Unii Europejskiej
Poszanowanie życia prywatnego i rodzinnego
Ochrona danych osobowych

Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą zasadniczo ważności art. 1 pkt 15 lit. c) dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/843 z dnia 30 maja 2018 r. zmieniającej dyrektywę (UE) 2015/849 w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu oraz zmieniającej dyrektywy 2009/138/WE i 2013/36/UE (
Dz.U. 2018, L 156, s. 43
), w zakresie, w jakim przepis ten zmienił art. 30 ust. 5 akapit pierwszy lit. c) dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/849 z dnia 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, zmieniającej rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 i uchylającej dyrektywę Parlamentu Europejskiego i Rady 2005/60/WE oraz dyrektywę Komisji 2006/70/WE (
Dz.U. 2015, L 141, s. 73
), a także wykładni, po pierwsze, art. 30 ust. 9 dyrektywy 2015/849, zmienionej dyrektywą 2018/843 (zwanej dalej „zmienioną dyrektywą 2015/849”), a po drugie, art. 5 ust. 1 lit. a)–c) i f), art. 25 ust. 2, a także art. 44–50 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (
Dz.U. 2016, L 119, s. 1
, zwanego dalej „RODO”).
Wnioski te zostały złożone w ramach dwóch sporów pomiędzy, w pierwszym WM (sprawa C‑37/20), w drugim Sovim SA (sprawa C‑601/20) a Luxembourg Business Registers (zwanym dalej „LBR”) w przedmiocie odmowy przez ten ostatni podmiot uniemożliwienia publicznego dostępu do informacji dotyczących, po pierwsze, statusu WM jako beneficjenta rzeczywistego spółki cywilnej prowadzącej działalność w sektorze nieruchomości, a po drugie, beneficjenta rzeczywistego Sovim.
Ramy prawne
Prawo Unii
Dyrektywy 2015/849, 2018/843 i zmieniona dyrektywa 2015/849
Zgodnie z motywami 4, 30, 31, 34, 36 i 38 dyrektywy 2018/843:
„(4)
[…] istnieje […] potrzeba dalszego zwiększania ogólnej przejrzystości otoczenia gospodarczego i finansowego Unii. Zapobieganie praniu pieniędzy oraz finansowaniu terroryzmu nie może być skuteczne, jeżeli otoczenie sprzyja przestępcom poszukującym schronienia dla swoich finansów za pomocą nieprzejrzystych struktur. Integralność unijnego systemu finansowego zależy od przejrzystości podmiotów o charakterze korporacyjnym oraz innych podmiotów prawnych, trustów i podobnych porozumień prawnych. Niniejsza dyrektywa ma na celu nie tylko wykrywanie przypadków prania pieniędzy i prowadzenie dochodzeń w ich sprawie, ale także zapobieganie ich wystąpieniu. Zwiększanie przejrzystości mogłoby być skutecznym środkiem odstraszającym.
[…]
(30)
Publiczny dostęp do informacji o beneficjentach rzeczywistych pozwala na większą kontrolę informacji przez społeczeństwo obywatelskie, w tym przez prasę lub organizacje społeczeństwa obywatelskiego, oraz przyczynia się do utrzymania zaufania do uczciwości transakcji finansowych oraz do systemu finansowego. Może przyczynić się do zwalczania nadużywania podmiotów o charakterze korporacyjnym i innych podmiotów prawnych oraz porozumień prawnych do celów prania pieniędzy i finansowania terroryzmu, z jednej strony poprzez pomoc w dochodzeniach, a z drugiej strony poprzez budowanie reputacji tych podmiotów, ponieważ każda osoba, która mogłaby zawierać transakcje, będzie znać tożsamość beneficjentów rzeczywistych. Ułatwia to także terminowy i skuteczny dostęp do informacji przez instytucje finansowe oraz organy, w tym organy państw trzecich, zaangażowane w zwalczanie takich przestępstw. Dostęp do tych informacji pomógłby również w dochodzeniach w sprawie prania pieniędzy, powiązanych przestępstw źródłowych i finansowania terroryzmu.
(31)
Zaufanie inwestorów i opinii publicznej do rynków finansowych zależy w dużej mierze od istnienia rzetelnego systemu ujawniania danych, który zapewnia przejrzystość beneficjentów rzeczywistych oraz struktur sprawujących kontrolę nad spółkami. […] Potencjalny wzrost zaufania do rynków finansowych należy uznać za pozytywny skutek uboczny, a nie za cel zwiększenia przejrzystości, którym jest stworzenie środowiska, w którym prawdopodobieństwo wykorzystania go do prania pieniędzy i finansowania terroryzmu jest niższe.
[…]
(34)
W każdym przypadku, zarówno w odniesieniu do podmiotów o charakterze korporacyjnym i innych podmiotów prawnych, jak i trustów i podobnych porozumień prawnych, należy starać się zapewnić należytą równowagę, w szczególności pomiędzy ogólnym interesem publicznym w zakresie zapobiegania praniu pieniędzy i finansowaniu terroryzmu a prawami podstawowymi osób, których dotyczą dane. Publicznie dostępny zestaw danych powinien mieć ograniczony zakres, być wyraźnie i wyczerpująco zdefiniowany oraz mieć charakter ogólny, aby zminimalizować potencjalny uszczerbek dla beneficjentów rzeczywistych. Jednocześnie publicznie dostępne informacje nie powinny znacząco różnić się od obecnie gromadzonych danych. Aby ograniczyć ingerencję w ogólne prawo do poszanowania życia prywatnego, a zwłaszcza w prawo do ochrony danych osobowych, informacje te powinny dotyczyć wyłącznie statusu beneficjentów rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych oraz trustów i podobnych porozumień prawnych oraz obejmować tylko sferę działalności gospodarczej beneficjenta rzeczywistego. […]
[…]
(36)
Ponadto, dążąc do celu polegającego na zapewnieniu proporcjonalnego i zrównoważonego podejścia oraz w celu zagwarantowania prawa do życia prywatnego i ochrony danych osobowych, państwa członkowskie powinny móc przewidzieć wyłączenia z obowiązku ujawniania w rejestrach informacji o beneficjentach rzeczywistych oraz udzielania dostępu do takich informacji, w wyjątkowych przypadkach, gdy informacje te narażałyby beneficjenta rzeczywistego na niewspółmierne ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia. Państwa członkowskie powinny również mieć możliwość wprowadzenia wymogu rejestracji internetowej w celu ustalenia tożsamości każdej osoby, która wnioskuje o udostępnienie informacji zawartych w rejestrze, a także uiszczenia opłaty za dostęp do informacji zawartych w rejestrze.
[…]
(38)
Do przetwarzania danych osobowych w ramach niniejszej dyrektywy stosuje się [RODO]. W związku z tym osoby fizyczne, których dane osobowe przechowywane są w krajowych rejestrach w związku z ich statusem beneficjenta rzeczywistego, powinny być o tym odpowiednio informowane. Ponadto udostępniać należy wyłącznie dane osobowe, które są aktualne i odnoszą się do osób faktycznie będących beneficjentami rzeczywistymi, a beneficjenci ci powinni zostać poinformowani o prawach przysługujących im na podstawie obecnych unijnych ram prawnych w zakresie ochrony danych, […] oraz o procedurach mających zastosowanie do wykonywania tych praw. Dodatkowo, w celu zapobiegania nadużywaniu informacji zawartych w rejestrach oraz w celu zrównoważenia praw beneficjentów rzeczywistych, państwa członkowskie mogłyby uznać za stosowne rozważenie udostępniania beneficjentom rzeczywistym informacji dotyczących wnioskodawcy wraz z podstawą prawną wniosku”.
Artykuł 1 ust. 1 zmienionej dyrektywy 2015/849 stanowi:
„Celem niniejszej dyrektywy jest zapobieganie wykorzystywaniu unijnego systemu finansowego do prania pieniędzy i finansowania terroryzmu”.
Artykuł 3 zmienionej dyrektywy 2015/849 ma następujące brzmienie:
„Na użytek niniejszej dyrektywy stosuje się następujące definicje:
[…]
6)
»beneficjent rzeczywisty« oznacza osobę fizyczną lub osoby fizyczne będące ostatecznymi właścicielami klienta lub sprawujące kontrolę nad tym klientem lub osobę fizyczną lub osoby fizyczne, w imieniu których przeprowadzana jest transakcja lub działalność i obejmuje co najmniej:
a)
w przypadku podmiotów o charakterze korporacyjnym:
(i)
osobę fizyczną lub osoby fizyczne, które ostatecznie są właścicielami podmiotu prawnego lub go kontrolują, bezpośrednio lub pośrednio posiadając wystarczający odsetek udziałów lub praw głosu lub udziałów własnościowych w danym podmiocie […]
[…]
(ii)
jeżeli – po wyczerpaniu wszystkich możliwych sposobów i pod warunkiem że nie ma podstaw do podejrzeń – nie określono żadnej osoby zgodnie z ppkt (i) lub jeżeli są jakiekolwiek wątpliwości, czy określona osoba lub określone osoby są beneficjentem rzeczywistym lub beneficjentami rzeczywistymi – osobę fizyczną lub osoby fizyczne, które zajmują wyższe stanowisko kierownicze, […]
[…]”.
Artykuł 30 ust. 1 i 3 zmienionej dyrektywy 2015/849 przewiduje:
„1.   Państwa członkowskie zapewniają, aby podmioty o charakterze korporacyjnym i inne podmioty prawne utworzone na ich terytorium były zobowiązane do uzyskiwania i posiadania odpowiednich, dokładnych i aktualnych informacji o ich beneficjentach rzeczywistych, łącznie ze szczegółowymi informacjami o posiadanej własności lub charakterze sprawowanej kontroli. […]
[…]
3.   Państwa członkowskie zapewniają przechowywanie informacji, o których mowa w ust. 1, w centralnym rejestrze w każdym państwie członkowskim […].
[…]”.
W brzmieniu obowiązującym przed wejściem w życie dyrektywy 2018/843 art. 30 ust. 5 i 9 dyrektywy 2015/849 miał następujące brzmienie:
„5.   Państwa członkowskie zapewniają, by informacje o beneficjentach rzeczywistych były we wszystkich przypadkach udostępniane:
a)
właściwym organom i jednostkom analityki finansowej, bez żadnych ograniczeń;
b)
podmiotom zobowiązanym, w ramach stosowania zasad należytej staranności wobec klienta zgodnie z rozdziałem II;
c)
wszelkim osobom lub organizacjom, które mogą wykazać uzasadniony interes.
Osoby lub organizacje, o których mowa w lit. c), mają dostęp co najmniej do informacji obejmujących: imię i nazwisko, miesiąc i rok urodzenia, obywatelstwo, oraz państwo zamieszkania beneficjenta rzeczywistego, jak również informacji o charakterze i skali posiadanego udziału.
[…]
9.   Państwa członkowskie mogą w indywidualnych przypadkach i w wyjątkowych okolicznościach przewidzieć wyłączenie co do dostępu, o którym mowa w ust. 5 lit. b) i c), do całości lub części informacji o beneficjentach rzeczywistych, jeżeli taki dostęp narażałby beneficjenta rzeczywistego na ryzyko nadużycia finansowego, porwania, szantażu, przemocy lub zastraszenia, bądź jeżeli beneficjent rzeczywisty jest osobą małoletnią lub z innych względów niezdolną do działania. […]”.
Artykuł 1 pkt 15 lit. c), d) i g) dyrektywy 2018/843 zmienił, odpowiednio, ust. 5, dodał ust. 5a i zmienił ust. 9 zawarte w artykule 30 dyrektywy 2015/849. Artykuł 30 ust. 5, 5a i 9 zmienionej dyrektywy 2015/849 stanowi zatem:
„5.   Państwa członkowskie zapewniają, by informacje o beneficjentach rzeczywistych były we wszystkich przypadkach udostępniane:
a)
właściwym organom i jednostkom analityki finansowej, bez żadnych ograniczeń;
b)
podmiotom zobowiązanym, w ramach stosowania zasad należytej staranności wobec klienta zgodnie z rozdziałem II;
c)
każdej osobie.
Osoby, o których mowa w lit. c), muszą mieć dostęp co najmniej do informacji obejmujących: imię i nazwisko, miesiąc i rok urodzenia oraz państwo zamieszkania i obywatelstwo beneficjenta rzeczywistego, jak również informacji o posiadanej własności lub charakterze sprawowanej kontroli.
Państwa członkowskie mogą, na warunkach określonych w prawie krajowym, przewidzieć dostęp do dodatkowych informacji pozwalających na ustalenie tożsamości beneficjenta rzeczywistego. Te dodatkowe informacje obejmują co najmniej datę urodzenia lub dane kontaktowe, zgodnie z przepisami o ochronie danych.
5a.   Państwa członkowskie mogą zadecydować o umożliwieniu dostępu do informacji przechowywanych w rejestrach krajowych, o których mowa w ust. 3, pod warunkiem rejestracji online i uiszczenia opłaty, która nie może przekraczać kosztów administracyjnych udostępnienia informacji, w tym kosztów utrzymania i rozwoju rejestru.
[…]
9.   W wyjątkowych okolicznościach określonych w prawie krajowym, gdy dostęp, o którym mowa w ust. 5 akapit pierwszy lit. b) i c), narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, bądź jeżeli beneficjent rzeczywisty jest osobą małoletnią lub z innych względów nieposiadającą pełnej zdolności do czynności prawnych, państwa członkowskie mogą w indywidualnych przypadkach przewidzieć wyłączenie takiego dostępu w odniesieniu do całości lub części informacji o beneficjentach rzeczywistych. Państwa członkowskie zapewniają, by takie wyłączenia były przyznawane po przeprowadzeniu szczegółowej oceny wyjątkowego charakteru okoliczności. Zagwarantowane musi być prawo do kontroli administracyjnej decyzji o przyznaniu wyłączenia oraz do skutecznego środka zaskarżenia. Państwo członkowskie, które przyznało wyłączenia, publikuje roczne dane statystyczne dotyczące liczby udzielonych wyłączeń wraz z uzasadnieniem oraz przekazuje te dane Komisji.
[…]”.
Artykuł 41 ust. 1 zmienionej dyrektywy 2015/849 stanowi:
„Do przetwarzania danych osobowych na podstawie niniejszej dyrektywy stosuje się dyrektywę 95/46/WE [Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (
Dz.U. 1995, L 281, s. 31
– wyd. spec. w jęz. polskim, rozdz. 13, t. 15, s. 355)], transponowaną do prawa krajowego. […]”.
RODO
Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, w ust. 1 stanowi:
„Dane osobowe muszą być:
a)
przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);
b)
zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; […] (»ograniczenie celu«);
c)
adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);
[…]
f)
przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (»integralność i poufność«)”.
Artykuł 25 tego rozporządzenia, zatytułowany „Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych”, w ust. 2 stanowi:
„Administrator wdraża odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Obowiązek ten odnosi się do ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W szczególności środki te zapewniają, by domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych”.
Artykuł 44 tego rozporządzenia, zatytułowany „Ogólna zasada przekazywania”, stanowi:
„Przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko [wtedy], gdy – z zastrzeżeniem innych przepisów niniejszego rozporządzenia – administrator i podmiot przetwarzający spełnią warunki określone w niniejszym rozdziale, w tym warunki dalszego przekazania danych z państwa trzeciego lub przez organizację międzynarodową do innego państwa trzeciego lub innej organizacji międzynarodowej. Wszystkie przepisy niniejszego rozdziału należy stosować z myślą o zapewnieniu, by nie został naruszony stopień ochrony osób fizycznych zagwarantowany w niniejszym rozporządzeniu”.
Artykuł 49 RODO, zatytułowany „Wyjątki w szczególnych sytuacjach”, przewiduje:
„1.   W razie braku decyzji stwierdzającej odpowiedni stopień ochrony określonej w art. 45 ust. 3 lub braku odpowiednich zabezpieczeń określonych w art. 46, w tym wiążących reguł korporacyjnych, jednorazowe lub wielokrotne przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej mogą nastąpić wyłącznie pod warunkiem, że:
[…]
g)
przekazanie następuje z rejestru, który zgodnie z prawem Unii lub prawem państwa członkowskiego ma służyć za źródło informacji dla ogółu obywateli i który jest dostępny dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes – ale wyłącznie w zakresie, w jakim w danym przypadku spełnione zostały warunki takiego dostępu określone w prawie Unii lub w prawie państwa członkowskiego.
[…]”.
Zgodnie z art. 94 tego rozporządzenia:
„1.   Dyrektywa 95/46/WE zostaje uchylona ze skutkiem od dnia 25 maja 2018 r.
2.   Odesłania do uchylonej dyrektywy należy traktować jako odesłania do niniejszego rozporządzenia. […]”.
Prawo luksemburskie
Artykuł 2 loi du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs (ustawy z dnia 13 stycznia 2019 r. ustanawiającej rejestr beneficjentów rzeczywistych) (
Mémorial
A 2019, nr 15, zwanej dalej „ustawą z dnia 13 stycznia 2019 r.”) ma następujące brzmienie:
„Z upoważnienia ministra właściwego do spraw sprawiedliwości tworzy się rejestr zwany »Registre des bénéficiaires effectifs« [»rejestrem beneficjentów rzeczywistych«], w skrócie »RBE«, którego celem jest prowadzenie i udostępnianie informacji o beneficjentach rzeczywistych zarejestrowanych podmiotów”.
Artykuł 3 ust. 1 tej ustawy stanowi:
„W rejestrze beneficjentów rzeczywistych zapisuje i przechowuje się następujące informacje o beneficjentach rzeczywistych zarejestrowanych podmiotów:
1)
nazwisko,
2)
imię (imiona),
3)
obywatelstwo(-a),
4)
dzień urodzenia,
5)
miesiąc urodzenia,
6)
rok urodzenia,
7)
miejsce urodzenia,
8)
państwo zamieszkania,
9)
dokładny adres prywatny lub dokładny adres do celów działalności zawodowej […]
[…]
10)
w przypadku osób niebędących rezydentami, które nie są wpisane do Registre national des personnes physiques [krajowego rejestru osób fizycznych]: […] numer identyfikacyjny;
11)
w przypadku osób niebędących rezydentami, które nie są wpisane do krajowego rejestru osób fizycznych: zagraniczny numer identyfikacyjny,
12)
informacje o posiadanej własności,
13)
charakter sprawowanej kontroli”.
Artykuł 11 ust. 1 omawianej ustawy stanowi:
„Przy wykonywaniu swoich zadań organy krajowe mają dostęp do informacji, o których mowa w art. 3”.
Artykuł 12 tej samej ustawy przewiduje:
„Dostęp do informacji, o których mowa w art. 3 ust. 1 pkt 1–8, 12 i 13, jest otwarty dla każdej osoby”.
Artykuł 15 ust. 1 i 2 ustawy z dnia 13 stycznia 2019 r. stanowi:
„1.   Zarejestrowany podmiot lub beneficjent rzeczywisty może wystąpić, w indywidualnych przypadkach i w wyjątkowych okolicznościach opisanych poniżej, w drodze należycie uzasadnionego wniosku skierowanego do podmiotu zarządzającego, o ograniczenie dostępu do informacji, o których mowa w art. 3, tak by dostęp ten miały wyłącznie organy krajowe, instytucje kredytowe i instytucje finansowe oraz komornicy sądowi i notariusze działający w charakterze funkcjonariuszy publicznych, jeżeli dostęp bez takiego ograniczenia narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, bądź jeżeli beneficjent rzeczywisty jest osobą małoletnią lub z innych względów nieposiadającą pełnej zdolności do czynności prawnych.
2.   Podmiot zarządzający, od chwili otrzymania wniosku do chwili doręczenia wydanej przezeń decyzji, a w przypadku nieuwzględnienia wniosku na dodatkowy okres 15 dni, tymczasowo ogranicza dostęp do informacji wskazanych w art. 3, tak by miały go wyłącznie organy krajowe. Jeżeli od decyzji odmownej wniesiono odwołanie, ograniczenie dostępu do informacji zostaje utrzymane do czasu wyczerpania środków odwoławczych od decyzji odmownej”.
Postępowania główne i pytania prejudycjalne
Sprawa C‑37/20
YO, spółka cywilna prowadząca działalność w sektorze nieruchomości, złożyła do LBR wniosek na podstawie art. 15 ustawy z dnia 13 stycznia 2019 r. mający na celu ograniczenie dostępu do informacji dotyczących WM, jej beneficjenta rzeczywistego, tak aby dostęp ten miały tylko podmioty wskazane w tym przepisie, ze względu na to, że publiczny dostęp do tych informacji naraziłby jego i jego rodzinę na poważne, rzeczywiste i aktualne niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia. Wniosek ten został oddalony decyzją z dnia 20 listopada 2019 r.
W dniu 5 grudnia 2019 r. WM wniósł skargę do tribunal d’arrondissement de Luxembourg (sądu okręgowego w Luksemburgu, Luksemburg), sądu odsyłającego, podnosząc, że z jego statusem osoby zarządzającej i beneficjenta rzeczywistego YO oraz pewnej liczby spółek handlowych wiąże się obowiązek częstego przemieszczania się do państw o niestabilnych systemach politycznych, w których występuje wysoki wskaźnik przestępczości, które mogą stwarzać po jego stronie poważne ryzyko porwania, bezprawnego pozbawienia wolności, przemocy, a nawet pozbawienia życia.
LBR kwestionuje tę argumentację i uważa, że sytuacja WM nie spełnia wymogów art. 15 ustawy z dnia 13 stycznia 2019 r., ponieważ nie może on powoływać się ani na „wyjątkowe okoliczności”, ani na żadne z ryzyk, o których mowa w tym artykule.
W tym względzie sąd odsyłający zastanawia się nad wykładnią, jaką należy nadać pojęciom „wyjątkowych okoliczności”, „ryzyka” i „niewspółmiernego” ryzyka w rozumieniu art. 30 ust. 9 zmienionej dyrektywy 2015/849.
W tych okolicznościach tribunal d’arrondissement de Luxembourg (sąd okręgowy w Luksemburgu) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)
Pojęcie »wyjątkowych okoliczności«
a)
Czy art. 30 ust. 9 [zmienionej dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »wyjątkowych okoliczności określonych w prawie krajowym«, można interpretować w ten sposób, że zezwala on na zdefiniowanie w prawie krajowym pojęcia »wyjątkowych okoliczności« wyłącznie jako równoznacznego z »niewspółmiernym ryzykiem, ryzykiem nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia«, które to pojęcia stanowią już przesłankę zastosowania ograniczenia dostępu w myśl brzmienia art. 30 ust. 9 [zmienionej dyrektywy 2015/849]?
b)
W przypadku udzielenia odpowiedzi przeczącej na pytanie [pierwsze] [lit.] a) oraz w sytuacji gdy prawo krajowe transponujące dyrektywę definiuje pojęcie »wyjątkowych okoliczności« wyłącznie poprzez odesłanie do nieużytecznych pojęć »niewspółmiernego ryzyka, ryzyka nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia«, czy […] art. 30 ust. 9 [zmienionej dyrektywy 2015/849] należy interpretować w ten sposób, że umożliwia on sądowi krajowemu pominięcie przesłanki »wyjątkowych okoliczności«, czy też sąd ten powinien zaradzić bezczynności ustawodawcy krajowego, określając w drodze orzecznictwa zakres pojęcia »wyjątkowych okoliczności«? W tej drugiej sytuacji, skoro zgodnie z brzmieniem […] art. 30 ust. 9 [zmienionej dyrektywy 2015/849] chodzi o przesłankę, której treść jest określana przez prawo krajowe, czy jest możliwe, aby Trybunał […] udzielił sądowi krajowemu wskazówek co do wykonania tego zadania? W przypadku udzielenia odpowiedzi twierdzącej na to ostatnie pytanie, jakimi wytycznymi powinien kierować się sąd krajowy, określając treść pojęcia »wyjątkowych okoliczności«?
2)
Pojęcie »ryzyka«
a)
Czy art. 30 ust. 9 [zmienionej dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »niewspółmiernego ryzyka, ryzyka nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia«, należy interpretować w ten sposób, że odsyła on do wszystkich ośmiu przypadków, z których pierwszy odnosi się do ogólnego ryzyka objętego przesłanką niewspółmierności, a siedem kolejnych odnosi się do konkretnych rodzajów ryzyka nieobjętych przesłanką niewspółmierności, czy też, że odsyła on do wszystkich siedmiu przypadków, z których każdy odnosi się do konkretnego ryzyka objętego przesłanką niewspółmierności?
b)
Czy art. 30 ust. 9 [zmienionej dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »ryzyka«, należy interpretować w ten sposób, że ogranicza on ocenę istnienia i rozmiarów tego ryzyka wyłącznie do więzi, jakie łączą beneficjenta [rzeczywistego] z konkretną osobą prawną, w odniesieniu do której zwraca się on o ograniczenie dostępu do informacji o posiadanym przezeń statusie beneficjenta [rzeczywistego], czy też w ten sposób, że wymaga on uwzględnienia więzi, jakie łączą tego beneficjenta [rzeczywistego] z innymi osobami prawnymi? Jeżeli należy brać pod uwagę więzi łączące go z innymi osobami prawnymi – czy w przypadku innych osób prawnych należy brać pod uwagę wyłącznie status beneficjenta [rzeczywistego], czy też należy brać pod uwagę jakiekolwiek więzi łączące go z innymi osobami prawnymi? Jeżeli należy brać pod uwagę jakiekolwiek więzi łączące go z innymi osobami prawnymi, czy charakter tych więzi ma wpływ na ocenę istnienia i rozmiarów ryzyka?
c)
Czy art. 30 ust. 9 [zmienionej dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »ryzyka«, należy interpretować w ten sposób, że wyklucza on przyznanie ochrony wynikającej z ograniczenia dostępu, w sytuacji gdy informacje te, podobnie jak inne dane przedstawione przez beneficjenta [rzeczywistego] w celu uzasadnienia istnienia i rozmiarów ponoszonego »ryzyka«, mogą być z łatwością uzyskane przez osoby trzecie z innych źródeł?
3)
Pojęcie »niewspółmiernego ryzyka«
Jakie rozbieżne interesy należy brać pod uwagę w ramach stosowania art. 30 ust. 9 [zmienionej dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjenta [rzeczywistego] od »niewspółmiernego« ryzyka?”.
Sprawa C‑601/20
Sovim złożyła do LBR wniosek na podstawie art. 15 ustawy z dnia 13 stycznia 2019 r. w celu ograniczenia dostępu do informacji zawartych w RBE dotyczących jej beneficjenta rzeczywistego wyłącznie do podmiotów, o których mowa w tym przepisie. Wniosek ten został oddalony decyzją z dnia 6 lutego 2020 r.
W dniu 24 lutego 2020 r. Sovim wniosła skargę do sądu odsyłającego.
Tytułem żądania głównego spółka ta domaga się odstąpienia od stosowania art. 12 ustawy z dnia 13 stycznia 2019 r., zgodnie z którym pewne informacje wpisane do RBE są dostępne dla „każdej osoby”, lub art. 15 tej ustawy, oraz uniemożliwienia publicznego dostępu do informacji przekazanych przez nią na podstawie art. 3 wspomnianej ustawy.
W tym względzie Sovim podnosi w pierwszej kolejności, że udzielenie publicznego dostępu do tożsamości i danych osobowych beneficjenta rzeczywistego narusza prawo do ochrony życia prywatnego i rodzinnego oraz prawo do ochrony danych osobowych, które to prawa zostały ustanowione odpowiednio w art. 7 i 8 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”).
Zdaniem tej spółki zmieniona dyrektywa 2015/849, na podstawie której do prawodawstwa luksemburskiego została wprowadzona ustawa z dnia 13 stycznia 2019 r., ma bowiem na celu identyfikowanie beneficjentów rzeczywistych spółek wykorzystywanych do prania pieniędzy lub finansowania terroryzmu, jak również zapewnienie bezpieczeństwa relacji handlowych i zaufania do rynków. Tymczasem nie określono, w jaki sposób publiczny dostęp bez jakiejkolwiek kontroli nad udostępnianiem danych zawartych w RBE umożliwia osiągnięcie tych celów.
W drugiej kolejności Sovim podnosi, że publiczny dostęp do danych osobowych zawartych w RBE stanowi naruszenie szeregu przepisów RODO, w szczególności niektórych zasad podstawowych ustanowionych w jego art. 5 ust. 1.
Tytułem żądania ewentualnego Sovim wnosi do sądu odsyłającego o stwierdzenie, że w niniejszej sprawie istnieje niewspółmierne ryzyko w rozumieniu art. 15 ust. 1 ustawy z dnia 13 stycznia 2019 r., a w konsekwencji o nakazanie LBR ograniczenia dostępu do informacji, o których mowa w art. 3 tej ustawy.
W tym względzie sąd odsyłający zauważa, że art. 15 ust. 1 ustawy z dnia 13 stycznia 2019 r. przewiduje, iż LBR powinien przeprowadzić analizę w każdym konkretnym przypadku istnienia wyjątkowych okoliczności uzasadniających ograniczenie dostępu do RBE. O ile w kontekście tej ustawy Trybunałowi przedstawiono już kilka pytań w sprawie C‑37/20, dotyczących wykładni pojęć „wyjątkowych okoliczności”, „ryzyka” i „niewspółmiernego” ryzyka, o tyle niniejsze postępowanie dotyczy również innych zagadnień, w szczególności kwestii, czy publiczny dostęp do niektórych danych zawartych w RBE jest zgodny z kartą oraz z RODO.
W tych okolicznościach tribunal d’arrondissement de Luxembourg (sąd okręgowy w Luksemburgu) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1)
Czy art. 1 pkt 15 lit. c) [dyrektywy 2018/843], zmieniający art. 30 ust. 5 akapit pierwszy [dyrektywy 2015/849] w ten sposób, że nakłada on na państwa członkowskie obowiązek udostępnienia informacji na temat beneficjentów rzeczywistych we wszystkich przypadkach bez wykazania uzasadnionego interesu publicznego, jest ważny:
–
w świetle prawa do poszanowania życia prywatnego i rodzinnego zagwarantowanego w art. 7 [karty], interpretowanego zgodnie z art. 8 europejskiej [Konwencji o ochronie praw człowieka i podstawowych wolności], przy uwzględnieniu celów określonych, między innymi, w motywach 30 i 31 dyrektywy 2018/843, dotyczących w szczególności zwalczania prania pieniędzy i finansowania terroryzmu; oraz
–
w świetle prawa do ochrony danych osobowych zagwarantowanego w art. 8 karty w zakresie, w jakim ma ono na celu, między innymi, zapewnienie zgodnego z prawem, rzetelnego i przejrzystego przetwarzania danych osobowych w odniesieniu do podmiotu danych, ograniczenia celów gromadzenia i przetwarzania oraz minimalizacji danych?
2)
a)
Czy art. 1 pkt 15 lit. g) dyrektywy 2018/843 należy interpretować w ten sposób, że istnienie wskazanych w tym przepisie wyjątkowych okoliczności, w których państwa członkowskie mogą przewidzieć wyłączenie dostępu w odniesieniu do całości lub części informacji o beneficjentach rzeczywistych, jeśli dostęp publiczny narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, można stwierdzić tylko w przypadku przeprowadzenia dowodu na istnienie niewspółmiernego ryzyka nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, które ma charakter wyjątkowy, zachodzi rzeczywiście w odniesieniu do konkretnej osoby będącej beneficjentem rzeczywistym oraz ma charakter rzeczywisty i aktualny?
b)
W przypadku odpowiedzi twierdzącej, czy interpretowany w ten sposób art. 1 pkt 15 lit. g) dyrektywy 2018/843 jest ważny w świetle prawa do poszanowania życia prywatnego i rodzinnego zagwarantowanego w art. 7 karty i prawa do ochrony danych osobowych zagwarantowanego w art. 8 karty?
3)
a)
Czy art. 5 ust. 1 lit. a) [RODO], wymagający przetwarzania danych zgodnie z prawem, rzetelnie i w sposób przejrzysty w odniesieniu do podmiotu danych, należy interpretować w ten sposób, że nie stoi on na przeszkodzie temu, że:
–
dane osobowe beneficjenta rzeczywistego wpisane do rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 dyrektywy 2015/849, zmienionym art. 1 pkt 15 dyrektywy 2018/843, są publicznie dostępne bez jakiejkolwiek kontroli ani wymogu uzasadnienia przez każdą osobę występującą o dostęp, i bez możliwości uzyskania przez podmiot danych (beneficjenta rzeczywistego) informacji o tym, kto miał dostęp do jego danych osobowych,
–
administrator takiego rejestru beneficjentów rzeczywistych zapewnia dostęp do danych osobowych beneficjentów rzeczywistych nieograniczonej i niemożliwej do zidentyfikowania liczbie osób?
b)
Czy art. 5 ust. 1 lit. b) [RODO], wymagający ograniczenia celów należy interpretować w ten sposób, że nie stoi on na przeszkodzie temu, by dostęp do danych osobowych beneficjenta rzeczywistego wpisanych do rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 [zmienionej dyrektywy 2015/849] przysługiwał każdej osobie, w sytuacji gdy administrator tych danych nie jest w stanie zagwarantować, że dane te są wykorzystywane wyłącznie w celu, w jakim zostały zebrane, a mianowicie, w istocie, w celu walki z praniem pieniędzy i finansowaniem terroryzmu, w sytuacji gdy każda z tych osób nie jest organem odpowiedzialnym za realizację tych celów?
c)
Czy art. 5 ust. 1 lit. c) [RODO], wymagający minimalizacji danych należy interpretować w ten sposób, że nie stoi on na przeszkodzie publicznemu dostępowi za pośrednictwem rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 [zmienionej dyrektywy 2015/849] do danych obejmujących – oprócz imienia i nazwiska, miesiąca i roku urodzenia, obywatelstwa i państwa zamieszkania beneficjenta rzeczywistego oraz posiadanej własności i charakteru sprawowanej kontroli – również jego datę urodzenia i miejsce urodzenia?
d)
Czy art. 5 ust. 1 lit. f) [RODO], który wymaga przetwarzania danych w taki sposób, aby zapewnić odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem, zapewniając tym samym integralność i poufność takich danych, nie stoi na przeszkodzie nieograniczonemu i bezwarunkowemu dostępowi, bez zobowiązania do zachowania poufności, do danych osobowych beneficjentów rzeczywistych, które to dane są dostępne w rejestrze beneficjentów rzeczywistych utworzonym zgodnie z art. 30 [zmienionej dyrektywy 2015/849]?
e)
Czy art. 25 ust. 2 [RODO], który gwarantuje domyślną ochronę danych, zgodnie z którą, między innymi, domyślnie dane osobowe nie mogą być udostępniane nieokreślonej liczbie osób fizycznych bez interwencji danej osoby fizycznej, należy interpretować w ten sposób, że nie stoi on na przeszkodzie temu, że:
–
rejestr beneficjentów rzeczywistych utworzony zgodnie z art. 30 [zmienionej dyrektywy 2015/849] nie wymaga rejestracji w witrynie rzeczonego rejestru każdej z osób przeglądających w ramach publicznego dostępu dane osobowe beneficjenta rzeczywistego,
–
beneficjent rzeczywisty nie otrzymuje żadnych informacji na temat przeglądania danych osobowych beneficjenta rzeczywistego zapisanych w takim rejestrze,
–
w świetle celu przetwarzania rozpatrywanych danych osobowych nie ma zastosowania żadne ograniczenie co do zakresu i dostępności tych danych osobowych?
f)
Czy art. 44–50 [RODO], które uzależniają przekazanie danych osobowych do państwa trzeciego od spełnienia ściśle określonych warunków, należy interpretować w ten sposób, że nie stoją one na przeszkodzie temu, by takie dane beneficjenta rzeczywistego, wpisane do rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 [zmienionej dyrektywy 2015/849], były w każdym przypadku dostępne każdej osobie korzystającej z publicznego dostępu, bez wykazania interesu prawnego i bez ograniczeń co do miejsca, w którym osoba ta się znajduje?”.
W przedmiocie pytań prejudycjalnych
W przedmiocie pytania pierwszego przedstawionego w sprawie C‑601/20
W pierwszym pytaniu zadanym w sprawie C‑601/20 sąd odsyłający zastanawia się w istocie nad ważnością, w świetle art. 7 i 8 karty, art. 1 pkt 15 lit. c) dyrektywy 2018/843 w zakresie, w jakim przepis ten zmienił art. 30 ust. 5 akapit pierwszy lit. c) dyrektywy 2015/849, który w tak zmienionym brzmieniu stanowi, że państwa członkowskie powinny zapewnić, aby informacje o beneficjentach rzeczywistych spółek i innych podmiotów prawnych utworzonych na ich terytorium były we wszystkich przypadkach udostępnione każdej osobie.
W przedmiocie ingerencji wynikającej z publicznego dostępu do informacji dotyczących beneficjentów rzeczywistych w prawa podstawowe zagwarantowane w art. 7 i 8 karty
Artykuł 7 karty gwarantuje każdej osobie prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się, zaś art. 8 ust. 1 karty wyraźnie przyznaje każdej osobie prawo do ochrony danych osobowych jej dotyczących.
Jak wynika z art. 30 ust. 1 i 3 zmienionej dyrektywy 2015/849, państwa członkowskie powinny zapewnić, aby podmioty o charakterze korporacyjnym i inne podmioty prawne utworzone na ich terytorium były zobowiązane do uzyskiwania i posiadania odpowiednich, dokładnych i aktualnych informacji o ich beneficjentach, oraz aby informacje te były przechowywane w centralnym rejestrze w każdym państwie członkowskim. Zgodnie z art. 3 pkt 6 tej dyrektywy beneficjentem rzeczywistym jest osoba fizyczna lub osoby fizyczne będące ostatecznymi właścicielami klienta lub sprawujące kontrolę nad tym klientem lub osoba fizyczna lub osoby fizyczne, w imieniu których przeprowadzana jest transakcja lub działalność.
Artykuł 30 ust. 5 akapit pierwszy lit. c) zmienionej dyrektywy 2015/849 nakłada na państwa członkowskie obowiązek zapewnienia, aby informacje o beneficjentach rzeczywistych były we wszystkich przypadkach udostępniane „każdej osobie”, podczas gdy jego akapit drugi stanowi, że osoby w ten sposób określone muszą „mieć dostęp co najmniej do informacji obejmujących: imię i nazwisko, miesiąc i rok urodzenia oraz państwo zamieszkania i obywatelstwo beneficjenta rzeczywistego, jak również informacji o posiadanej własności lub charakterze sprawowanej kontroli”. Tenże art. 30 ust. 5 dodaje w akapicie trzecim, że „[p]aństwa członkowskie mogą, na warunkach określonych w prawie krajowym, przewidzieć dostęp do dodatkowych informacji pozwalających na ustalenie tożsamości beneficjenta rzeczywistego”, które to informacje „obejmują co najmniej datę urodzenia lub dane kontaktowe, zgodnie z przepisami o ochronie danych”.
W tym względzie należy zauważyć, że skoro dane, o których mowa w art. 30 ust. 5, zawierają informacje o konkretnych osobach fizycznych, a mianowicie o beneficjentach rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych utworzonych na terytorium państw członkowskich, dostęp do nich każdej osoby ma wpływ na podstawowe prawo do poszanowania życia prywatnego zagwarantowane w art. 7 karty (zob. analogicznie wyrok z dnia 21 czerwca 2022 r., Ligue des droits humains,
C‑817/19
,
EU:C:2022:491
, pkt
i przytoczone tam orzecznictwo), przy czym nie jest istotne w tym kontekście, że dane, o których mowa, mogą mieć związek z działalnością zawodową (zob. analogicznie wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert,
C‑92/09 i C‑93/09
,
EU:C:2010:662
, pkt
). Ponadto to publiczne udostępnienie rzeczonych danych stanowi przetwarzanie danych osobowych objęte zakresem art. 8 karty (zob. analogicznie wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert,
C‑92/09 i C‑93/09
,
EU:C:2010:662
, pkt
,
).
Należy również zauważyć, że jak wynika z utrwalonego orzecznictwa Trybunału, udostępnianie danych osobowych osobom trzecim stanowi ingerencję w prawa podstawowe ustanowione w art. 7 i 8 karty, niezależnie od tego, w jaki sposób te dane zostaną później wykorzystane. W tym względzie nie ma znaczenia, czy rozpatrywane informacje dotyczące życia prywatnego są danymi szczególnie chronionymi, czy nie, ani czy osoby, których dane dotyczą, ucierpiały z powodu ewentualnych niedogodności wynikających z tej ingerencji (wyrok z dnia 21 czerwca 2022 r., Ligue des droits humains,
C‑817/19
,
EU:C:2022:491
, pkt
i przytoczone tam orzecznictwo).
W związku z tym publiczny dostęp do informacji dotyczących beneficjentów rzeczywistych, przewidziany w art. 30 ust. 5 zmienionej dyrektywy 2015/849, stanowi ingerencję w prawa zagwarantowane w art. 7 i 8 karty.
Co się tyczy wagi tej ingerencji, należy zauważyć, że w zakresie, w jakim informacje udostępniane publicznie dotyczą tożsamości beneficjenta rzeczywistego, jak również posiadanej własności lub charakteru sprawowanej kontroli w podmiotach o charakterze korporacyjnym lub innych podmiotach prawnych, mogą one pozwolić na określenie profilu dotyczącego niektórych danych osobowych o charakterze identyfikacyjnym w mniejszym lub większym stopniu, w zależności od konfiguracji prawa krajowego, stanu majątkowego danej osoby, jak również konkretnych sektorów gospodarczych, krajów i przedsiębiorstw, w które zainwestowała.
Do tego dochodzi fakt, że nieodłącznym elementem takiego publicznego udostępnienia tych informacji jest to, że informacje te są wówczas dostępne dla potencjalnie nieograniczonej liczby osób, tak że takie przetwarzanie danych osobowych może umożliwić swobodny dostęp do tych informacji również osobom, które ze względów niezwiązanych z celem realizowanym przez ten środek dążą do uzyskania informacji na temat sytuacji w szczególności materialnej i finansowej beneficjenta rzeczywistego (zob. analogicznie wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija,
C‑184/20
,
EU:C:2022:601
, pkt
,
). Wydaje się to łatwe, tym bardziej gdy – tak jak w przypadku Luksemburga – dane te można przeglądać w Internecie.
Ponadto potencjalne konsekwencje dla zainteresowanych osób wynikające z ewentualnego niewłaściwego wykorzystania ich danych osobowych pogłębia fakt, że po ich publicznym udostępnieniu dane te mogą być nie tylko swobodnie przeglądane, ale także przechowywane i rozpowszechniane, a w przypadku takiego kolejnego przetwarzania trudniejsza, a nawet iluzoryczna staje się dla tych osób skuteczna obrona przed niewłaściwym wykorzystaniem.
W związku z tym publiczny dostęp do informacji o beneficjentach rzeczywistych przewidziany w art. 30 ust. 5 akapit pierwszy lit. c) zmienionej dyrektywy 2015/849 stanowi poważną ingerencję w prawa podstawowe zapisane w art. 7 i 8 karty (zob. analogicznie wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija,
C‑184/20
,
EU:C:2022:601
, pkt
).
W przedmiocie uzasadnienia ingerencji wynikającej z publicznego dostępu do informacji o beneficjentach rzeczywistych
Prawa podstawowe zagwarantowane w art. 7 i 8 karty nie stanowią prerogatyw o charakterze absolutnym, lecz należy je rozważać z uwzględnieniem ich funkcji społecznej (wyrok z dnia 21 czerwca 2022 r., Ligue des droits humains,
C‑817/19
,
EU:C:2022:491
, pkt
i przytoczone tam orzecznictwo).
Zgodnie z art. 52 ust. 1 zdanie pierwsze karty wszelkie ograniczenia w korzystaniu z praw i wolności uznanych w karcie muszą być przewidziane ustawą i szanować istotę tych praw i wolności. Zgodnie z art. 52 ust. 1 zdanie drugie karty, z zastrzeżeniem zasady proporcjonalności, ograniczenia mogą być wprowadzone wyłącznie wtedy, gdy są konieczne i rzeczywiście odpowiadają celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób. W tym względzie art. 8 ust. 2 karty uściśla, że dane osobowe w szczególności muszą być przetwarzane „rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą”.
–
W przedmiocie przestrzegania zasady legalności
Jeśli chodzi o wymóg, zgodnie z którym wszelkie ograniczenia korzystania z praw podstawowych muszą być przewidziane ustawą, oznacza to, że podstawa prawna, która pozwala na ingerencję w te prawa, musi sama określać zakres ograniczenia wykonywania danego prawa, przy czym, z jednej strony, wymaganie to nie wyklucza, by to ograniczenie było sformułowane w sposób wystarczająco otwarty, tak aby można je było dostosować do różnych przypadków, jak i do zmieniających się sytuacji, a z drugiej strony Trybunał może, w stosownym przypadku, doprecyzować poprzez wykładnię konkretny zakres ograniczenia, z punktu widzenia zarówno samego brzmienia rozpatrywanych przepisów Unii, jak i ich ogólnej systematyki oraz celów, którym służą, zinterpretowanych w świetle praw podstawowych gwarantowanych w karcie (wyrok z dnia 21 czerwca 2022 r., Ligue des droits humains,
C‑817/19
,
EU:C:2022:491
, pkt
i przytoczone tam orzecznictwo).
W tym względzie należy zauważyć, że ograniczenie korzystania z praw podstawowych gwarantowanych w art. 7 i 8 karty, wynikające z publicznego dostępu do informacji dotyczących beneficjentów rzeczywistych, jest przewidziane w akcie prawodawczym Unii, a mianowicie w zmienionej dyrektywie 2015/849. Ponadto art. 30 ust. 1 i 5 tej dyrektywy przewiduje, po pierwsze, publiczny dostęp do danych dotyczących ustalenia tożsamości beneficjentów rzeczywistych oraz posiadanej przez nich własności, precyzując, że dane te muszą być odpowiednie, dokładne i aktualne, oraz wyraźnie wymieniając niektóre z tych danych, do których każda osoba powinna mieć prawo dostępu. Po drugie, ów art. 30 w ust. 9 określa warunki, na jakich państwa członkowskie mogą przewidzieć odstępstwa od takiego dostępu.
W tych okolicznościach należy uznać, że zasada legalności jest spełniona.
–
W przedmiocie poszanowania istoty praw podstawowych zagwarantowanych w art. 7 i 8 karty
Co się tyczy poszanowania istoty praw podstawowych ustanowionych w art. 7 i 8 karty, należy zauważyć, że informacje, o których wyraźnie mowa w art. 30 ust. 5 akapit drugi zmienionej dyrektywy 2015/849, mogą zostać zaklasyfikowane do dwóch odrębnych kategorii danych: pierwsza obejmuje dane dotyczące tożsamości beneficjenta rzeczywistego (imię i nazwisko, miesiąc i rok urodzenia oraz obywatelstwo), a druga dane o charakterze ekonomicznym (posiadana własność lub charakter sprawowanej kontroli).
Ponadto, o ile prawdą jest, że art. 30 ust. 5 akapit drugi zmienionej dyrektywy 2015/849 nie zawiera – jak wynika z użycia wyrażenia „co najmniej” – wyczerpującego wykazu danych, do których każda osoba powinna mieć dostęp, oraz że art. 30 ust. 5 w akapicie trzecim dodaje, iż państwa członkowskie są uprawnione do udzielenia dostępu do dodatkowych informacji, o tyle zgodnie ze wspomnianym art. 30 ust. 1 jedynie „odpowiednie” informacje dotyczące beneficjentów rzeczywistych i informacje o posiadanej własności lub charakterze sprawowanej kontroli mogą zostać uzyskane, posiadane, a w związku z tym potencjalnie udostępnione publicznie, co w szczególności wyklucza informacje, które nie są odpowiednio związane z celami tej dyrektywy.
Tymczasem nie wydaje się, by udostępnienie każdej osobie informacji mających taki związek w jakikolwiek sposób naruszało istotę praw podstawowych zagwarantowanych w art. 7 i 8 karty.
W tym kontekście należy również zauważyć, że art. 41 ust. 1 zmienionej dyrektywy 2015/849 przewiduje wyraźnie, iż do przetwarzania danych osobowych na jej podstawie stosuje się dyrektywę 95/46, a tym samym RODO, którego art. 94 ust. 2 stanowi, że odniesienia do tej ostatniej dyrektywy należy rozumieć jako odniesienia do tego rozporządzenia. Bezsporne jest zatem, że każde gromadzenie, posiadanie i udostępnianie informacji na podstawie zmienionej dyrektywy 2015/849 musi całkowicie spełniać wymogi wynikające z RODO.
W tych okolicznościach ingerencja, jaką pociąga za sobą publiczny dostęp każdej osoby do informacji dotyczących beneficjentów rzeczywistych, o którym mowa w art. 30 ust. 5 akapit pierwszy lit. c) zmienionej dyrektywy 2015/849, nie narusza istoty praw podstawowych ustanowionych w art. 7 i 8 karty.
–
W przedmiocie celu interesu ogólnego, uznanego przez Unię
Zmieniona dyrektywa 2015/849 ma na celu, zgodnie z samym brzmieniem jej art. 1 ust. 1, zapobieganie wykorzystywaniu unijnego systemu finansowego do prania pieniędzy i finansowania terroryzmu. W tym względzie motyw 4 dyrektywy 2018/843 uściśla, że dążenie do tego celu nie może być skuteczne, jeżeli otoczenie sprzyja przestępcom poszukującym schronienia dla swoich finansów i że zwiększanie ogólnej przejrzystości otoczenia gospodarczego i finansowego Unii może być skutecznym środkiem odstraszającym.
Jeśli chodzi konkretnie o realizowany przez szeroki krąg odbiorców cel dostępu do informacji na temat beneficjentów rzeczywistych, wprowadzony przez art. 1 pkt 15 lit. c) dyrektywy 2018/843, motyw 30 tej dyrektywy stanowi, że taki dostęp przede wszystkim „pozwala na większą kontrolę informacji przez społeczeństwo obywatelskie, w tym przez prasę lub organizacje społeczeństwa obywatelskiego, oraz przyczynia się do utrzymania zaufania do uczciwości transakcji finansowych oraz do systemu finansowego”. Następnie dostęp, o którym mowa, „[m]oże przyczynić się do zwalczania nadużywania podmiotów o charakterze korporacyjnym i innych podmiotów prawnych oraz porozumień prawnych do celów prania pieniędzy i finansowania terroryzmu, z jednej strony poprzez pomoc w dochodzeniach, a z drugiej strony poprzez budowanie reputacji tych podmiotów, ponieważ każda osoba, która mogłaby zawierać transakcje, będzie znać tożsamość beneficjentów rzeczywistych”. Wreszcie ów dostęp „ułatwia […] także terminowy i skuteczny dostęp do informacji przez instytucje finansowe oraz organy, w tym organy państw trzecich, zaangażowane w zwalczanie takich przestępstw” oraz „pomógłby również w dochodzeniach w sprawie prania pieniędzy, powiązanych przestępstw źródłowych i finansowania terroryzmu”.
Ponadto motyw 31 dyrektywy 2018/843 wyjaśnia, że „[p]otencjalny wzrost zaufania do rynków finansowych należy uznać za pozytywny skutek uboczny, a nie za cel zwiększenia przejrzystości, którym jest stworzenie środowiska, w którym prawdopodobieństwo wykorzystania go do prania pieniędzy i finansowania terroryzmu jest niższe”.
Wynika z tego, że przewidując publiczny dostęp do informacji o beneficjentach rzeczywistych, prawodawca Unii ma na celu zapobieganie praniu pieniędzy i finansowaniu terroryzmu poprzez stworzenie, za pomocą zwiększonej przejrzystości, środowiska, w którym prawdopodobieństwo wykorzystania go do tych celów jest mniejsze.
Stanowi to cel leżący w interesie ogólnym, który może uzasadniać ingerencje, nawet poważne, w prawa podstawowe ustanowione w art. 7 i 8 karty (zob. podobnie wyrok z dnia 21 czerwca 2022 r., Ligue des droits humains,
C‑817/19
,
EU:C:2022:491
, pkt
i przytoczone tam orzecznictwo).
W zakresie, w jakim Rada Unii Europejskiej odwołuje się ponadto w tym kontekście wyraźnie do zasady przejrzystości wynikającej z art. 1 i 10 TUE oraz z art. 15 TFUE, należy zauważyć, że zasada ta, jak podkreśla sama ta instytucja, pozwala obywatelom na bliższe uczestnictwo w procesie podejmowania decyzji i gwarantuje, że administracja cieszy się większą prawowitością, jest bardziej skuteczna i odpowiedzialna względem obywateli w systemie demokratycznym (wyrok z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert,
C‑92/09 i C‑93/09
,
EU:C:2010:662
, pkt
i przytoczone tam orzecznictwo).
Tymczasem, o ile w tym zakresie wspomniana zasada konkretyzuje się przede wszystkim poprzez wymogi przejrzystości instytucjonalnej i proceduralnej dotyczące działań o charakterze publicznym, w tym wykorzystania funduszy publicznych, o tyle brak jest takiego związku z instytucjami publicznymi, gdy – jak w niniejszej sprawie – rozpatrywany środek ma na celu publiczne udostępnienie danych dotyczących tożsamości prywatnych beneficjentów rzeczywistych, jak również informacji o posiadanej własności lub charakterze sprawowanej kontroli w podmiotach o charakterze korporacyjnym lub w innych podmiotach prawnych.
Tym samym zasady przejrzystości, wynikającej z art. 1 i 10 TUE oraz z art. 15 TFUE, nie można uznać jako takiej za cel leżący w interesie ogólnym, który może uzasadniać ingerencję w prawa podstawowe zagwarantowane w art. 7 i 8 karty, wynikającą z publicznego dostępu do informacji o beneficjentach rzeczywistych.
–
W przedmiocie odpowiedniego, koniecznego i proporcjonalnego charakteru rozpatrywanej ingerencji
Zgodnie z utrwalonym orzecznictwem proporcjonalność środków, z której wynika ingerencja w prawa zagwarantowane w art. 7 i 8 karty, wymaga spełnienia nie tylko wymogów zdatności i konieczności, ale także wymogu odnoszącego się do proporcjonalnego charakteru tych środków w stosunku do zamierzonego celu (zob. podobnie wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in.,
C‑140/20
,
EU:C:2022:258
, pkt
).
W szczególności odstępstwa od ochrony danych osobowych i jej ograniczenia są dokonywane w granicach tego, co bezwzględnie konieczne, przy czym tam, gdzie istnieje możliwość wyboru spośród większej liczby odpowiednich środków do realizacji uzasadnionych celów, należy stosować najmniej dotkliwe. Ponadto nie można dążyć do celu interesu ogólnego bez uwzględnienia okoliczności, że należy pogodzić go z prawami podstawowymi, których dotyczy środek, dokonując wyważenia między celem interesu ogólnego z jednej strony a rozpatrywanymi prawami z drugiej strony w celu zapewnienia, by niedogodności spowodowane przez ten środek nie były nadmierne w stosunku do zamierzonych celów. Tym samym możliwość uzasadnienia ograniczenia praw i obowiązków przewidzianych w art. 7 i 8 karty należy oceniać poprzez przeprowadzenie badania wagi ingerencji, jaką stanowi takie ograniczenie, oraz sprawdzenie, czy znaczenie celu interesu ogólnego, któremu służy to ograniczenie, pozostaje w relacji do tej wagi (zob. podobnie wyroki: z dnia 26 kwietnia 2022 r., Polska/Parlament i Rada,
C‑401/19
,
EU:C:2022:297
, pkt
; z dnia 21 czerwca 2022 r., Ligue des droits humains,
C‑817/19
,
EU:C:2022:491
, pkt
,
i przytoczone tam orzecznictwo).
Ponadto, by zadośćuczynić wymogowi proporcjonalności, dane uregulowanie zawierające ingerencję musi również zawierać jasne i precyzyjne reguły dotyczące zakresu i sposobu stosowania rozpatrywanych środków, a także ustanawiać minimalne wymogi służące temu, aby osoby, których dane zostały przekazane, miały wystarczające gwarancje rzeczywistej ochrony swoich danych osobowych przed ryzykiem niewłaściwego wykorzystania. Powinno ono w szczególności wskazywać, w jakich okolicznościach i pod jakimi warunkami może zostać przyjęty środek przewidujący przetwarzanie takich danych, gwarantując w ten sposób, że ingerencja będzie ograniczona do tego, co bezwzględnie konieczne. Konieczność posiadania takich gwarancji jest istotna, tym bardziej że dane osobowe są udostępniane publicznie, a więc potencjalnie nieograniczonej liczbie osób, i mogą ujawniać szczególnie chronione informacje o osobach, których dotyczą (zob. podobnie wyrok z dnia 21 czerwca 2022 r., Ligue des droits humains,
C‑817/19
,
EU:C:2022:491
, pkt
i przytoczone tam orzecznictwo).
Zgodnie z tym orzecznictwem należy zbadać, po pierwsze, czy publiczny dostęp do informacji o beneficjentach rzeczywistych jest odpowiedni do realizacji zamierzonego celu leżącego w interesie ogólnym, po drugie, czy wynikająca z takiego dostępu ingerencja w prawa zagwarantowane w art. 7 i 8 karty jest ograniczona do tego, co bezwzględnie konieczne, w tym znaczeniu, że cel ten nie mógłby zostać racjonalnie osiągnięty w sposób równie skuteczny za pomocą innych środków w mniejszym stopniu naruszających te prawa podstawowe zainteresowanych osób, a po trzecie, czy ingerencja ta nie jest nieproporcjonalna w stosunku do tego celu, co oznacza między innymi wyważenie znaczenia celu i wagi tej ingerencji.
Po pierwsze, należy stwierdzić, że publiczny dostęp do informacji o beneficjentach rzeczywistych może przyczynić się do realizacji wskazanego w pkt 58 niniejszego wyroku celu leżącego w interesie ogólnym, polegającego na zapobieganiu praniu pieniędzy i finansowaniu terroryzmu, ze względu na to, że publiczny charakter tego dostępu i wynikająca z niego zwiększona przejrzystość przyczyniają się do stworzenia środowiska, które w mniejszym stopniu może być wykorzystywane do takich celów.
Po drugie, w celu wykazania bezwzględnej konieczności ingerencji wynikającej z publicznego dostępu do informacji o beneficjentach rzeczywistych Rada i Komisja odwołują się do oceny skutków dołączonej do wniosku dotyczącego dyrektywy Parlamentu Europejskiego i Rady zmieniającej dyrektywę (UE) 2015/849 w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu i zmieniającej dyrektywę 2009/101/WE (COM/2016/0450 final), która legła u podstaw dyrektywy 2018/843. Zdaniem tych instytucji, podczas gdy art. 30 ust. 5 akapit pierwszy lit. c) dyrektywy 2015/849 w brzmieniu sprzed zmiany wprowadzonej dyrektywą 2018/843 uzależniał dostęp każdej osoby do informacji o beneficjentach rzeczywistych od warunku, by była ona w stanie wykazać „uzasadniony interes”, we wspomnianej ocenie skutków stwierdzono, że brak jednolitej definicji tego pojęcia „uzasadnionego interesu” sprawił trudności praktyczne, w związku z czym uznano, że właściwym rozwiązaniem jest usunięcie tego warunku.
Ponadto w swoich uwagach na piśmie Parlament, Rada i Komisja podkreślają, powołując się w szczególności na motyw 30 dyrektywy 2018/843, że publiczny dostęp do informacji o beneficjentach rzeczywistych, przewidziany w zmienionej dyrektywie 2015/849, ma skutek odstraszający, pozwala na większą kontrolę i ułatwia prowadzenie dochodzeń, także tych prowadzonych przez władze państw trzecich, oraz że skutków tych nie można osiągnąć w inny sposób.
Na rozprawie Komisja została zapytana, czy w celu zmniejszenia ryzyka, że obowiązek wykazania przez każdą osobę lub organizację „uzasadnionego interesu”, przewidziany pierwotnie w dyrektywie 2015/849, prowadzi, ze względu na rozbieżności w definicji tego pojęcia w państwach członkowskich, do nadmiernych ograniczeń dostępu do informacji o beneficjentach rzeczywistych, rozważyła możliwość zaproponowania jednolitej definicji tego pojęcia.
W odpowiedzi na to pytanie Komisja zauważyła, że kryterium „uzasadnionego interesu” jest pojęciem, które nie poddaje się łatwo definicji prawnej, i że chociaż rozważała możliwość zaproponowania jednolitej definicji tego kryterium, ostatecznie z niej zrezygnowała, ponieważ kryterium to, nawet jeśli zostanie zdefiniowane, będzie nadal trudne do wdrożenia, a jego stosowanie może prowadzić do arbitralnych decyzji.
W tym względzie należy uznać, że ewentualne istnienie trudności w dokładnym określeniu przesłanek i warunków, na jakich każda osoba może uzyskać dostęp do informacji o beneficjentach rzeczywistych, nie może uzasadniać tego, że prawodawca Unii przewiduje publiczny dostęp do tych informacji (zob. analogicznie wyrok z dnia 5 kwietnia 2022 r., Commissioner of An Garda Síochána i in.,
C‑140/20
,
EU:C:2022:258
, pkt
).
Ponadto przywołane skutki i odesłanie w tym kontekście do wyjaśnień zawartych w motywie 30 dyrektywy 2018/843 również nie dowodzą absolutnej konieczności ingerencji, o której mowa.
W zakresie bowiem, w jakim motyw ten stanowi, że publiczny dostęp do informacji o beneficjentach rzeczywistych umożliwia zwiększoną kontrolę informacji przez społeczeństwo obywatelskie i wyraźnie wymienia prasę i organizacje społeczeństwa obywatelskiego, należy zauważyć, że zarówno prasa, jak i organizacje społeczeństwa obywatelskiego mające związek z zapobieganiem praniu pieniędzy i finansowaniu terroryzmu i ich zwalczaniem mają uzasadniony interes w dostępie do informacji o beneficjentach rzeczywistych. To samo dotyczy osób, również wymienionych w tym motywie, które chcą znać tożsamość beneficjentów rzeczywistych podmiotu o charakterze korporacyjnym lub innego podmiotu prawnego ze względu na to, że mogą one zawierać transakcje z nimi, a także instytucji finansowych i władz zaangażowanych w zwalczanie przestępstw prania pieniędzy lub finansowania terroryzmu w zakresie, w jakim te ostatnie podmioty nie mają już dostępu do omawianych informacji na podstawie art. 30 ust. 5 akapit pierwszy lit. a) i b) zmienionej dyrektywy 2015/849.
Ponadto, chociaż w tym samym motywie wyjaśniono, że publiczny dostęp do informacji o beneficjentach rzeczywistych „może przyczynić się” do zwalczania nadużywania podmiotów o charakterze korporacyjnym i innych podmiotów prawnych oraz „pomógłby również” w dochodzeniach karnych, należy stwierdzić, że względy te również nie pozwalają wykazać, że środek ten jest bezwzględnie konieczny do zapobiegania praniu pieniędzy i finansowaniu terroryzmu.
W świetle powyższego nie można uznać, że ingerencja w prawa zagwarantowane w art. 7 i 8 karty, wynikająca z publicznego dostępu do informacji dotyczących beneficjentów rzeczywistych, jest ograniczona do tego, co bezwzględnie konieczne.
Po trzecie, co się tyczy argumentów przedstawionych w celu wykazania proporcjonalnego charakteru rozpatrywanej ingerencji, w szczególności ze względu na to, że przewidziany w art. 30 ust. 5 zmienionej dyrektywy 2015/849 publiczny dostęp do informacji dotyczących beneficjentów rzeczywistych jest oparty na wyważeniu pomiędzy realizowanym celem interesu ogólnego a danymi prawami podstawowymi oraz że istnieją wystarczające gwarancje przeciwko ryzyku nadużyć, należy dodać, co następuje:
Przede wszystkim Komisja podnosi, że jak wynika z motywu 34 dyrektywy 2018/843, prawodawca Unii zadbał o wyjaśnienie, że upubliczniany zbiór danych powinien mieć ograniczony zakres, być jednoznacznie i wyczerpująco zdefiniowany oraz mieć charakter ogólny, by zminimalizować potencjalny uszczerbek dla beneficjentów rzeczywistych. To w tym kontekście, na podstawie art. 30 ust. 5 zmienionej dyrektywy 2015/849, każdej osobie udostępniane są jedynie dane bezwzględnie konieczne do określenia beneficjentów rzeczywistych, jak również informacje o posiadanej własności lub charakterze sprawowanej kontroli.
Następnie Parlament, Rada i Komisja podkreślają, że można odstąpić od zasady publicznego dostępu do informacji o beneficjentach rzeczywistych, ponieważ art. 30 ust. 9 zmienionej dyrektywy 2015/849 stanowi, że „w wyjątkowych okolicznościach”„państwa członkowskie mogą w indywidualnych przypadkach przewidzieć wyłączenie takiego dostępu w odniesieniu do całości lub części informacji o beneficjentach rzeczywistych”, jeżeli publiczny dostęp do tych informacji „narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, bądź jeżeli beneficjent rzeczywisty jest osobą małoletnią lub z innych względów nieposiadającą pełnej zdolności do czynności prawnych”.
Wreszcie zarówno Parlament, jak i Komisja zauważają, że jak wynika z art. 30 ust. 5a zmienionej dyrektywy 2015/849 w związku z motywem 36 dyrektywy 2018/843, państwa członkowskie mogą uzależnić udostępnienie informacji o beneficjentach rzeczywistych od rejestracji online, aby móc poznać tożsamość osoby występującej z wnioskiem o udostępnienie tych informacji. Ponadto, zgodnie z motywem 38 tej ostatniej dyrektywy, w celu zapobiegania nadużywaniu informacji dotyczących beneficjentów rzeczywistych, państwa członkowskie mogą udostępnić tym ostatnim informacje dotyczące wnioskodawcy wraz z podstawą prawną wniosku.
W tym względzie należy zauważyć, że jak przypomniano w pkt 51 niniejszego wyroku, art. 30 ust. 5 zmienionej dyrektywy 2015/849 przewiduje w akapicie drugim, że każda osoba jest uprawniona do dostępu „co najmniej” do danych, o których mowa w tym przepisie, i w akapicie trzecim dodaje, że państwa członkowskie mogą przewidzieć dostęp do „dodatkowych informacji pozwalających na ustalenie tożsamości beneficjenta rzeczywistego”, które obejmują „co najmniej” datę urodzenia lub dane kontaktowe danego beneficjenta rzeczywistego.
Tymczasem z użycia wyrażenia „co najmniej” wynika, że przepisy te zezwalają na publiczne udostępnianie danych, które nie są wystarczająco zdefiniowane ani możliwe do zidentyfikowania. Zatem przepisy materialne regulujące ingerencję w prawa zagwarantowane w art. 7 i 8 karty nie spełniają wymogu jasności i precyzji, o którym mowa w pkt 65 niniejszego wyroku [zob. analogicznie opinia 1/15 (Umowa UE–Kanada o danych PNR) z dnia 26 lipca 2017 r.,
EU:C:2017:592
, pkt
].
Ponadto, co się tyczy wyważenia wagi tej ingerencji, o którym mowa w pkt 41–44 niniejszego wyroku, ze znaczeniem celu leżącego w interesie ogólnym polegającego na zapobieganiu praniu pieniędzy i finansowaniu terroryzmu, należy stwierdzić, że o ile, ze względu na swoje znaczenie, cel ten, jak stwierdzono w pkt 59 niniejszego wyroku, może uzasadniać ingerencje, nawet poważne, w prawa podstawowe ustanowione w art. 7 i 8 karty, o tyle nie zmienia to faktu, że z jednej strony zwalczanie prania pieniędzy i finansowania terroryzmu należy przede wszystkim do kompetencji władz publicznych oraz podmiotów takich jak instytucje kredytowe lub finansowe, które ze względu na swoją działalność podlegają szczególnym obowiązkom w tym zakresie.
To zresztą z tego powodu art. 30 ust. 5 akapit pierwszy lit. a) i b) zmienionej dyrektywy 2015/849 przewiduje, że informacje o beneficjentach rzeczywistych powinny być dostępne we wszystkich przypadkach właściwym organom i jednostkom analityki finansowej bez żadnych ograniczeń, a także podmiotom zobowiązanym, w kontekście należytej staranności wobec klienta.
Z drugiej strony, w porównaniu z systemem takim jak system przewidziany w art. 30 ust. 5 dyrektywy 2015/849 w brzmieniu obowiązującym przed wejściem w życie dyrektywy 2018/843, który przewidywał, poza dostępem właściwych organów i niektórych podmiotów, dostęp każdej osoby lub organizacji, które mogą wykazać uzasadniony interes, system wprowadzony przez tę ostatnią dyrektywę, przewidujący publiczny dostęp do informacji o beneficjentach rzeczywistych, stanowi znacznie poważniejsze naruszenie praw podstawowych zagwarantowanych w art. 7 i 8 karty, które nie może zostać zrekompensowane ewentualnymi korzyściami, jakie mogłyby wyniknąć z tego ostatniego systemu w porównaniu z pierwszym, w zakresie zwalczania prania pieniędzy i finansowania terroryzmu (zob. analogicznie wyrok z dnia 1 sierpnia 2022 r., Vyriausioji tarnybinės etikos komisija,
C‑184/20
,
EU:C:2022:601
, pkt
).
W tych okolicznościach fakultatywne przepisy art. 30 ust. 5a i 9 zmienionej dyrektywy 2015/849, które umożliwiają państwom członkowskim, odpowiednio, uzależnienie udostępnienia informacji o beneficjentach rzeczywistych od rejestracji online oraz wprowadzenie w wyjątkowych okolicznościach odstępstw od publicznego dostępu do tych informacji, nie pozwalają same w sobie na wykazanie ani wyważenia między realizowanym celem związanym z interesem ogólnym a prawami podstawowymi zapisanymi w art. 7 i 8 karty, ani istnienia wystarczających gwarancji umożliwiających osobom, których dane dotyczą, skuteczną ochronę ich danych osobowych przed ryzykiem nadużyć.
Ponadto w tym kontekście bez znaczenia jest powołanie się przez Komisję na wyrok z dnia 9 marca 2017 r., Manni (
C‑398/15
,
EU:C:2017:197
), dotyczący obowiązkowej jawności dotyczącej spółek, w tym ich przedstawicieli ustawowych, przewidzianej w pierwszej dyrektywie Rady 68/151/EWG z dnia 9 marca 1968 r. w sprawie koordynacji gwarancji, jakie są wymagane w państwach członkowskich od spółek w rozumieniu art. 58 akapit drugi traktatu, w celu uzyskania ich równoważności, dla ochrony interesów zarówno wspólników, jak i osób trzecich (
Dz.U. 1968, L 65, s. 8
), zmienionej dyrektywą 2003/58/WE Parlamentu Europejskiego i Rady z dnia 15 lipca 2003 r. (
Dz.U. 2003, L 221, s. 13
). Obowiązkowa jawność przewidziana w tej dyrektywie z jednej strony i publiczny dostęp do informacji o beneficjentach rzeczywistych przewidziany w zmienionej dyrektywie 2015/849 z drugiej strony różnią się zarówno pod względem celów, jak i zakresu objętych nimi danych osobowych.
Biorąc pod uwagę całość powyższych rozważań, na pytanie pierwsze zadane w sprawie C‑601/20 należy odpowiedzieć, że art. 1 pkt 15 lit. c) dyrektywy 2018/843 jest nieważny w zakresie, w jakim zmienił art. 30 ust. 5 akapit pierwszy lit. c) dyrektywy 2015/849 w taki sposób, że przepis ten w zmienionym brzmieniu przewiduje, iż państwa członkowskie zapewniają, aby informacje o beneficjentach rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych utworzonych na ich terytorium były we wszystkich przypadkach udostępniane każdej osobie.
W przedmiocie pytań drugiego i trzeciego w sprawie C‑601/20 oraz w przedmiocie pytań przedstawionych w sprawie C‑37/20
Jeśli chodzi o pytanie drugie w sprawie C‑601/20 oraz pytania przedstawione w sprawie C‑37/20, to opierają się one na przesłance ważności art. 30 ust. 5 zmienionej dyrektywy 2015/849 w zakresie, w jakim przewiduje on publiczny dostęp do informacji o beneficjentach rzeczywistych.
Mając na uwadze odpowiedź udzieloną na pytanie pierwsze w sprawie C‑601/20, nie ma potrzeby badania tych pytań.
Ponadto w świetle tej samej odpowiedzi nie ma potrzeby wypowiadania się w przedmiocie pytania trzeciego przedstawionego w sprawie C‑601/20.
W przedmiocie kosztów
Dla stron w postępowaniach głównych niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniach głównych, nie podlegają zwrotowi.

Z powyższych względów Trybunał (wielka izba) orzeka, co następuje:

Artykuł art. 1 pkt 15 lit. c) dyrektywy Parlamentu Europejskiego i Rady (UE) 2018/843 z dnia 30 maja 2018 r. zmieniającej dyrektywę (UE) 2015/849 w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu oraz zmieniającej dyrektywy 2009/138/WE i 2013/36/UE jest nieważny w zakresie, w jakim przepis ten zmienił art. 30 ust. 5 akapit pierwszy lit. c) dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/849 z dnia 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, zmieniającej rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 i uchylającej dyrektywę 2005/60/WE Parlamentu Europejskiego i Rady oraz dyrektywę Komisji 2006/70/WE, w taki sposób, że ów art. 30 ust. 5 akapit pierwszy lit. c) w zmienionej wersji przewiduje, że państwa członkowskie zapewniają, aby informacje o beneficjentach rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych utworzonych na ich terytorium były we wszystkich przypadkach udostępniane każdej osobie.

Podpisy
(
*1
)	Język postępowania: francuski.