62023CJ0200_RES
Kohtuasi C‑200/23
Agentsia po vpisvaniyata
versus
OL
(eelotsusetaotlus, mille on esitanud Varhoven administrativen sad)
Euroopa Kohtu (esimene koda) 4. oktoobri 2024. aasta otsus
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Isikuandmeid sisaldava põhikirja avaldamine äriregistris – Direktiiv (EL) 2017/1132 – Mittekohustuslikud isikuandmed – Andmesubjekti nõusoleku puudumine – Õigus andmete kustutamisele – Mittevaraline kahju
Asutamisvabadus – Äriühingud – Direktiiv 2017/1132 – Liikmesriigi kohustus lubada isikuandmeid sisaldava põhikirja avaldamist äriregistris – Andmete avaldamine, mida riigisisene õigus ei nõua – Kohustuse puudumine
(Euroopa Parlamendi ja nõukogu direktiiv 2017/1132, artikli 21 lõige 2)
(vt punktid 54, 55 ja 60 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Mõiste „vastutav töötleja“ – Mõiste andmete „vastuvõtja“ – Liikmesriigi äriregistrit pidav asutus, kes avaldab põhikirjas sisalduvad isikuandmed – Hõlmamine – Põhikiri, mis sisaldab isikuandmeid, mida ei nõua ei direktiiv 2017/1132 ega riigisisene õigus – Mõju puudumine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 4 punktid 7 ja 9; Euroopa Parlamendi ja nõukogu direktiiv 2017/1132)
(vt punktid 66, 72–76 ja 83 ning resolutsiooni punkt 2)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Tingimused, mille korral isikuandmete töötlemine on seaduslik – Töötlemine, mis on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks – Põhikirjas sisalduvate isikuandmete avaldamine – Isikuandmed, mida ei nõua ei direktiiv 2017/1132 ega riigisisene õigus – Väljajätmine – Sellise avaldamise kvalifitseerimine töötlemiseks, mis on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks – Tingimused – Töötlemise vajalikkus
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 6 lõike 1 esimese lõigu punktid c ja e; Euroopa Parlamendi ja nõukogu direktiiv 2017/1132)
(vt punktid 94–96, 105–112 ja 114–116)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õigus andmete kustutamisele – Ulatus – Isikuandmete ebaseaduslik töötlemine – Hõlmamine – Isikuandmete seaduslik töötlemine – Töötlemine, mis on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks – Väljajätmine – Erand – Andmesubjekti huvidest ning õigustest ja vabadustest olulisemate õiguspäraste ja ülekaalukate põhjuste olemasolu – Vastutaval töötajal lasuv tõendamiskoormis
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 6 lõike 1 punkt e, artikli 17 lõike 1 punktid c ja d ning artikli 21 lõige 1)
(vt punktid 118-120)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õigus andmete kustutamisele – Liikmesriigi äriregistrit pidava asutuse kohustus jätta rahuldamata kõik eemaldamata andmete kustutamise taotlused – Isikuandmed, mida ei nõua ei direktiiv 2017/1132 ega riigisisene õigus – Lubamatus
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikkel 17; Euroopa Parlamendi ja nõukogu direktiiv 2017/1132, artikkel 16)
(vt punkt 127 ja resolutsiooni punkt 3)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Mõiste „isikuandmed“ – Füüsilise isiku omakäeline allkiri – Hõlmamine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 4 punkt 1)
(vt punktid 131 ja 133–136 ning resolutsiooni punkt 4)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õigus hüvitisele ja vastutus – Õigus saada tekitatud kahju eest hüvitist – Mittevaraline kahju – Mõiste – Kontrolli kaotamine isikuandmete üle – Hõlmamine – Tingimused – Asjaomase isiku tõendamiskoormis mittevaralise kahju tõendamisel – Kohustus tõendada täiendavate tajutavate negatiivsete tagajärgede olemasolu – Puudumine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 82 lõige 1)
(vt punktid 140–146 ja 156 ning resolutsiooni punkt 5)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õigus hüvitisele ja vastutus – Vastutava töötleja vastutus ja kohustus hüvitada andmesubjektile tekitatud kahju – Vabastus – Ulatus – Järelevalveasutuse poolt vastutavale töötlejale nõuandva arvamuse andmine andmekaitsega seotud küsimustes – Vastutavast töötlejast liikmesriigi asutuse vastutusest vabastuse kohaldamata jätmine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 4 punkt 7, artikli 58 lõike 3 punkt b ja artikli 82 lõiked 1–3)
(vt punktid 171, 172, 174 ja 176 ning resolutsiooni punkt 6)
Kokkuvõte
Euroopa Kohus, kellele Varhoven administrativen sad (Bulgaaria kõrgeim halduskohus) esitas eelotsusetaotluse, tegi otsuse rea küsimuste kohta, mis puudutavad sisuliselt äriühingute aktide avalikustamist käsitlevate Euroopa Liidu õigusnormide (
1
) ja isikuandmete kaitse üldmääruse (
2
)vahelist suhet.
OL on Bulgaaria õiguse alusel asutatud osaühingu Praven Shtit Konsulting OOD osanik; see osaühing kanti äriregistrisse pärast põhikirja esitamist. Põhikiri, mille Agentsia po vpisvaniyata (Bulgaaria registrite amet; edaspidi „amet“) avalikustas esitatud kujul, sisaldab mõningaid osanike isikuandmeid, sealhulgas nende nimesid, eesnimesid, isikutunnistuse numbreid, aadresse ja allkirju.
2021. aastal palus OL ametil kustutada põhikirjas sisalduvad teda puudutavad isikuandmed. Amet keeldus seda taotlust rahuldamast ja OL esitas keeldumise peale kaks kaebust Administrativen sad Dobrichile (Dobrichi halduskohus, Bulgaaria). See kohus mõistis 5. mai 2022. aasta kohtuotsusega ametilt isikuandmete kaitse üldmääruse (
3
) alusel OLi kasuks välja mittevaralise kahju hüvitise. Ametit see lahend ei rahuldanud ja ta esitas selle peale kassatsioonkaebuse eelotsusetaotluse esitanud kohtule.
Kuna eelotsusetaotluse esitanud kohtul tekkis küsimus, kuidas ühitada õigust isikuandmete kaitsele käsitlevad õigusnormid õigusnormidega, mis tagavad äriühingute teatavate dokumentide avalikustamise ja nendega tutvumise, esitas ta Euroopa Kohtule eelotsusetaotluse.
Euroopa Kohtu hinnang
Esiteks, mis puudutab andmete, sealhulgas äriühingute dokumentides sisalduvate isikuandmete vabatahtliku avalikustamise ulatust, siis märkis Euroopa Kohus, et direktiivi 2017/1132 säte, mis käsitleb äriühingut puudutavate dokumentide ja andmete vabatahtlikku avalikustamist, (
4
) puudutab üksnes nende tõlkeid, viitamata seejuures nende sisule. Seega ei saa seda tõlgendada nii, et see paneb mingisuguse kohustuse seoses selliste andmete avalikustamisega, mille avalikustamist ei ole nõutud ei muude liidu õigusnormide ega asjaomase liikmesriigi õigusnormidega, kuid mis sisalduvad dokumendis, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega (
5
). Seega ei pane see säte liikmesriigile kohustust lubada avalikustada äriregistris põhikiri, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega ja mis sisaldab muid isikuandmeid kui nõutavad minimaalsed isikuandmed, mille avaldamist selle liikmesriigi õigusnormid ei nõua.
Teiseks märkis Euroopa Kohus, et liikmesriigi äriregistrit pidav asutus, kes avaldab selles registris isikuandmed, mis sisalduvad põhikirjas, mis on hõlmatud direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega ja mis esitati talle asjaomase äriühingu sellesse registrisse kandmise taotluse käigus, on nii nende andmete „vastuvõtja“ kui ka – eelkõige siis, kui ta teeb need üldsusele kättesaadavaks – nende andmete „vastutav töötleja“ (
6
), isegi kui põhikiri sisaldab andmeid, mida ei ole direktiivis ega asjaomase liikmesriigi õiguses nõutud.
Euroopa Kohus märkis selles kontekstis, et direktiivi 2017/1132 alusel peavad liikmesriigid kooskõlas liidu õigusega eelkõige kindlaks määrama, millised äriühingutega seotud isikute isikusamasust käsitlevate andmete kategooriad ja eeskätt, millist tüüpi isikuandmed tuleb kohustuslikult avalikustada.
Euroopa Kohus täheldas lisaks, et kui seda registrit pidav asutus teeb äriühingu liikmesriigi äriregistrisse kandmise taotluse raames saadud isikuandmete kohta kande ja säilitab need, edastades need vajaduse korral kolmandatele isikutele taotluse alusel ja avaldades need ametlikus väljaandes või võrdselt tõhusa meetme abil, töötleb ta isikuandmeid, mille puhul ta on „vastutav töötleja“. Nimelt on selline isikuandmete töötlemine eraldiseisev ja hilisem kui isikuandmete esitamine äriregistrisse kandmise taotleja poolt ja nende saamine asutuse poolt. Lisaks teeb registrit pidav asutus seda üksinda vastavalt eesmärkidele ja korrale, mis on kindlaks määratud direktiivis 2017/1132 ja seda direktiivi rakendavas liikmesriigi õiguses.
Kolmandaks, mis puudutab andmesubjekti võimalikku õigust andmete kustutamisele (
7
), siis analüüsis Euroopa Kohus kõigepealt seaduslikkuse aluseid, mille alusel võib tema isikuandmete töötlemine toimuda.
Ühelt poolt, mis puudutab küsimust, kas see töötlemine on vajalik liidu õigusest või vastutava töötleja suhtes kohaldatavast liikmesriigi õigusest tuleneva juriidilise kohustuse täitmiseks (
8
), siis märkis Euroopa Kohus, et direktiiv 2017/1132 ei kohusta süstemaatiliselt töötlema kõiki isikuandmeid, mis sisalduvad dokumendis, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega. Vastupidi, igasugune isikuandmete töötlemine selle direktiivi raames peab täielikult vastama isikuandmete kaitse üldmäärusest tulenevatele nõuetele. Seega peavad liikmesriigid tagama, et omavahel sobitatakse õiguskindluse ja kolmandate isikute huvide kaitse eesmärk, mida direktiiviga 2017/1132 taotletakse, ja isikuandmete kaitse üldmääruses sätestatud õigused.
Seega ei saa asuda seisukohale, et selliste isikuandmete veebis äriregistris kättesaadavaks tegemine, mida ei ole nõutud direktiivis 2017/1132 ega põhikohtuasjas kõne all olevates riigisisestes õigusnormides ja mis sisalduvad põhikirjas, mis on hõlmatud direktiivis ette nähtud kohustusliku avalikustamisega ning mis on esitatud ametile, on põhjendatud nõudega tagada selles direktiivis nimetatud dokumentide avalikustamine ning seega tuleneb see liidu õiguses ette nähtud juriidilisest kohustusest. Lisaks ei põhine kõnealuse töötlemise õiguspärasus ka riigisisesest õigusest tuleneval juriidilisel kohustusel, kui eelotsusetaotluse esitanud kohtu kontrolli tulemusel ei ilmne vastupidist.
Teiselt poolt, mis puudutab asjaomase töötlemise vajalikkust avalikes huvides oleva ülesande täitmiseks (
9
), siis märkis Euroopa Kohus, et töötlemine toimus selgelt sellise ülesande käigus. Siiski näib, et see läheb kaugemale sellest, mis on vajalik taotletavate üldise huvi eesmärkide saavutamiseks.
Euroopa Kohus märkis sellega seoses, et nõue säilitada nende äriühingute dokumentide terviklikkus ja usaldusväärsus, mis on hõlmatud direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega, mis nõuab nende dokumentide avaldamist sellisel kujul, nagu need esitati äriregistrit pidavatele asutustele, ei saa olla süstemaatiliselt tähtsam õigusest isikuandmete kaitsele, sest vastasel juhul muutuks selle õiguse kaitse illusoorseks. Eelkõige ei saa sellest nõudest tuleneda kohustust hoida veebis selles registris kättesaadavatena isikuandmeid, mida ei ole nõutud selles direktiivis ega riigisiseses õiguses, samas kui amet võiks kättesaadavaks tegemiseks ise koostada õigusnormides ette nähtud ärakirja asjaomasest äriühingu dokumendist, millest on eemaldatud andmed, mida ei ole nõutud.
Seejärel rõhutas Euroopa Kohus, et juhul kui eelotsusetaotluse esitanud kohus peaks oma hinnangu tulemusena jõudma järeldusele, et asjaomane töötlemine on ebaseaduslik, peab amet kui vastutav töötleja asjaomased andmed võimalikult kiiresti kustutama.
Ent kui see kohus peaks jõudma järeldusele, et töötlemine on tõepoolest vajalik avalikes huvides oleva ülesande täitmiseks, eelkõige seetõttu, et nende andmete, mida direktiivis 2017/1132 ega riigisiseses õiguses ei ole nõutud, veebis äriregistris kättesaadavaks tegemine oli vajalik selleks, et vältida kolmandate isikute kaitse huvides asjaomase äriühingu registreerimisega viivitamist, siis tuleb analüüsida, kas esinevad ülekaalukad õiguslikud põhjused, mis võivad olla andmesubjekti huvidest, õigustest ja vabadustest tähtsamad, ning jätta kustutamistaotlus rahuldamata (
10
).
Nii tuvastas Euroopa Kohus, et direktiivi 2017/1132 ja isikuandmete kaitse üldmäärust tuleb tõlgendada nii, et nendega on vastuolus liikmesriigi õigusnormid või praktika, millest tulenevalt selle liikmesriigi äriregistrit pidav asutus jätab rahuldamata kõik selliste isikuandmete kustutamise taotlused, mida ei ole direktiivis ega asjaomase liikmesriigi õiguses nõutud ja mis sisalduvad selles registris avalikustatud põhikirjas, kui sellele asutusele ei ole liikmesriigi menetlusnorme rikkudes esitatud põhikirja ärakirja, kust need andmed oleksid eemaldatud.
Viimaseks rõhutas Euroopa Kohus isikuandmete kaitse üldmääruse kohase vastutuse korra ja konkreetsemalt liikmesriigi järelevalveasutuse antud arvamuse mõju kohta selles raamistikus, et isikuandmete kaitse üldmääruse kohaselt (
11
) kuulub sellise arvamuse andmine järelevalveasutuse nõuandvate, mitte lubavate volituste alla. Lisaks näitavad kasutatud sõnad, et see arvamus ei ole liidu õiguse kohaselt õiguslikult siduv. Seega ei saa asjaomane arvamus iseenesest tõendada, et vastutav töötleja ei ole kahju eest vastutav, ning see ei ole seega piisav, et vabastada vastutav töötleja vastutusest isikuandmete kaitse üldmääruse alusel. Järelikult ei piisa sellisest arvamusest, et vabastada vastutusest liikmesriigi äriregistrit pidav asutus, kes on vastutav töötleja.
(
1
)	Euroopa Parlamendi ja nõukogu 14. juuni 2017. aasta direktiiv (EL) 2017/1132 äriühinguõiguse teatavate aspektide kohta (ELT 2017, L 169, lk 46).
(
2
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“).
(
3
)	Isikuandmete kaitse üldmääruse artikli 82 alusel.
(
4
)	Direktiivi 2017/1132 artikli 21 lõige 2.
(
5
)	Direktiivi 2017/1132 artikli 14 alusel.
(
6
)	Vastavalt isikuandmete kaitse üldmääruse artikli 4 punkti 7 ja artikli 4 punkti 9 tähenduses.
(
7
)	Isikuandmete kaitse üldmääruse artikli 17 alusel.
(
8
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktis c sätestatud seaduslikkuse alus.
(
9
)	Isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktis e ette nähtud seaduslikkuse alus.
(
10
)	Isikuandmete kaitse üldmääruse artikli 17 lõike 1 punkti c alusel koostoimes selle määruse artikli 21 lõikega 1.
(
11
)	Isikuandmete kaitse üldmääruse artikli 58 lõike 3 punkt b.