62023CJ0200_RES
Zadeva C-200/23
Agentsia po vpisvaniyata
proti
OL
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Varhoven administrativen sad)
Sodba Sodišča (prvi senat) z dne 4. oktobra 2024
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Objava družbene pogodbe, ki vsebuje osebne podatke, v poslovnem registru – Direktiva (EU) 2017/1132 – Neobvezni osebni podatki – Neobstoj privolitve posameznika, na katerega se nanašajo osebni podatki – Pravica do izbrisa – Nepremoženjska škoda“
Svoboda ustanavljanja – Družbe – Direktiva 2017/1132 – Obveznost države članice, da v poslovnem registru dovoli objavo družbene pogodbe, ki vsebuje osebne podatke – Objava podatkov, ki jih nacionalno pravo ne zahteva – Neobstoj obveznosti
(Direktiva Evropskega parlamenta in Sveta 2017/1132, člen 21(2))
(Glej točke 54, 55 in 60 ter točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pojem upravljavca – Pojem uporabnika podatkov – Organ, odgovoren za poslovni register države članice, ki objavlja osebne podatke iz družbene pogodbe – Vključitev – Pogodba, ki vsebuje osebne podatke, ki jih ne zahtevata niti Direktiva 2017/1132 niti nacionalna zakonodaja – Neobstoj vpliva –
(Uredba 2016/679 Evropskega parlamenta in Sveta, člen 4, točki 7 in 9; Direktiva Evropskega parlamenta in Sveta 2017/1132)
(Glej točke 66, od 72 do 76 in 83 ter točko 2 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pogoji za zakonitost obdelave osebnih podatkov – Obdelava, potrebna za izpolnitev zakonske obveznosti upravljavca – Objava osebnih podatkov iz družbene pogodbe – Osebni podatki, ki jih ne zahtevata niti Direktiva 2017/1132 niti nacionalna zakonodaja – Izključitev – Opredelitev te objave kot obdelave, ki je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti – Pogoji – Nujnost obdelave
(Uredba 2016/679 Evropskega parlamenta in Sveta, člen 6(1), prvi pododstavek, (c) in (e); Direktiva Evropskega parlamenta in Sveta 2017/1132)
(Glej točke od 94 do 96, od 105 do 112 in od 114 do 116.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do izbrisa – Obseg – Nezakonita obdelava osebnih podatkov – Vključitev – Zakonita obdelava osebnih podatkov – Obdelava, potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti – Izključitev – Izjema – Obstoj nujnih legitimnih razlogov za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki – Dokazno breme, ki ga nosi upravljavec
(Uredba 2016/679 Evropskega parlamenta in Sveta, členi 6(1), prvi pododstavek, (e), 17(1)(c) in (d) ter 21(1))
(Glej točke od 118 do 120.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do izbrisa – Obveznost nacionalnega organa, pristojnega za sodni register države članice, da zavrne vsako zahtevo za izbris podatkov, ki niso prikriti – Osebni podatki, ki jih ne zahtevata niti Direktiva 2017/1132 niti nacionalna zakonodaja – Nedopustnost
(Uredba Evropskega parlamenta in Sveta št. 2016/679, člen 17; Direktiva Evropskega parlamenta in Sveta 2017/1132, člen 16)
(Glej točko 127 in točko 3 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pojem osebnih podatkov – Lastnoročni podpis fizične osebe – Vključitev
(Uredba Evropskega parlamenta in Sveta 2016/679, člen 4, točka 1)
(Glej točke 131 in od 133 do 136 ter točko 4 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do odškodnine in odgovornost – Pravica do odškodnine za nastalo škodo – Nepremoženjska škoda – Pojem – Izguba nadzora nad osebnimi podatki – Vključitev – Pogoji – Dokazno breme glede nepremoženjske škode, ki ga nosi posameznik, na katerega se nanašajo osebni podatki – Obveznost dokazati obstoj dodatnih oprijemljivih negativnih posledic – Neobstoj
(Uredba 2016/679 Evropskega parlamenta in Sveta, člen 82(1))
(Glej točke od 140 do 146 in 156 ter točko 5 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do odškodnine in odgovornost – Odgovornost upravljavca in obveznost povrnitve škode, ki jo je utrpel posameznik, na katerega se nanašajo osebni podatki – Oprostitev – Obseg – Izdaja svetovalnega mnenja nadzornega organa o vprašanjih v zvezi z varstvom podatkov, ki se zagotovi upravljavcu – Neuporaba oprostitve odgovornosti nacionalnega organa, ki je upravljavec
(Uredba 2016/679 Evropskega parlamenta in Sveta, členi 4, točka 7, 58(3)(b) in 82, od (1) do (3))
(Glej točke 171, 172, 174 in 176 ter točko 6 izreka.)
Povzetek
Sodišče, ki je odločalo o predlogu za sprejetje predhodne odločbe, ki ga je predložilo Varhoven administrativen sad (vrhovno upravno sodišče, Bolgarija), se je izreklo o vrsti vprašanj, ki se v bistvu nanašajo na povezavo med določbami prava Evropske unije na področju razkritja aktov družb (
1
) in SUVP (
2
).
OL je družbenica družbe „praven Shtit Konsulting“ OOD, družbe z omejeno odgovornostjo bolgarskega prava, ki je bila vpisana v sodni register po predložitvi družbene pogodbe. Ta pogodba, ki jo je Agentsia po vpisvaniyata (agencija za vpise v registre, Bolgarija) (v nadaljevanju: agencija) objavila, kot je bila vložena, vsebuje več osebnih podatkov družbenikov, vključno z njihovimi priimki, imeni, številkami osebne izkaznice, naslovi in podpisi.
OL je leta 2021 pri agenciji zahtevala izbris svojih osebnih podatkov v tej pogodbi. Zavrnitev te agencije, da ugodi tej zahtevi, je bila predmet dveh tožb, ki ju je OL vložila pri Administrativen sad Dobrich (upravno sodišče v Dobriču, Bolgarija). Navedeno sodišče je s sodbo z dne 5. maja 2022 agenciji naložilo, naj OL plača odškodnino za nepremoženjsko škodo na podlagi SUVP. (
3
) Ker agencija s to sodbo ni bila zadovoljna, je pri predložitvenem sodišču vložila kasacijsko pritožbo.
Predložitveno sodišče, ki se je spraševalo o uskladitvi, ki jo je treba opraviti med ureditvijo pravice do varstva osebnih podatkov in ureditvijo, ki zagotavlja razkritje in dostopnost nekaterih aktov družb, je Sodišču predložilo vprašanja za predhodno odločanje.
Presoja Sodišča
Na prvem mestu, kar zadeva obseg prostovoljnega razkritja podatkov, vključno z osebnimi podatki v aktih družb, je Sodišče navedlo, da se določba Direktive 2017/1132, ki se nanaša na prostovoljno razkritje aktov in podatkov v zvezi z družbo, (
4
) nanaša le na njihove prevode, ne da bi bilo v njih napoteno na njihovo vsebino. Zato je ni mogoče razlagati tako, da nalaga kakršno koli obveznost v zvezi z razkritjem podatkov, katerih razkritje se ne zahteva ne v drugih določbah prava Unije ne v pravu zadevne države članice, so pa navedeni v aktu, za katerega ta direktiva (
5
) določa obvezno razkritje. Ta določba tako državi članici ne nalaga obveznosti, da dovoli, da se v poslovnem registru objavi družbena pogodba, za katero velja obvezno razkritje iz te direktive in ki vsebuje osebne podatke, ki niso zahtevani minimalni osebni podatki in katerih razkritje se ne zahteva v pravu te države članice.
Na drugem mestu, Sodišče je navedlo, da je organ, pristojen za vodenje poslovnega registra države članice, ki v njem objavlja osebne podatke, vsebovane v družbeni pogodbi, za katero velja obvezno razkritje iz Direktive 2017/1132 in ki se vloži v okviru predloga za vpis družbe v poslovni register, tako „uporabnik“ teh podatkov kot tudi, zlasti ker jih objavi, „upravljavec“ navedenih podatkov, (
6
) tudi kadar ta pogodba vsebuje podatke, ki se ne zahtevajo s to direktivo ali pravom te države članice.
V tem okviru je Sodišče ugotovilo, da morajo v skladu z Direktivo 2017/1132 države članice določiti med drugim, katere kategorije informacij v zvezi z identiteto oseb, povezanih z družbami, in zlasti katere vrste osebnih podatkov se obvezno razkrijejo ob upoštevanju prava Unije.
Sodišče je tudi navedlo, da organ, pristojen za vodenje poslovnega registra, s tem, da osebne podatke, prejete v okviru predloga za vpis družbe v poslovni register države članice, vpiše v ta register in jih hrani, ter da jih po potrebi na zahtevo posreduje tretjim osebam in jih objavi v uradnem listu, izvaja obdelave osebnih podatkov, zaradi česar je „upravljavec“. Te obdelave osebnih podatkov so namreč ločene in poznejše od razkritja osebnih podatkov, ki ga opravi predlagatelj tega vpisa in prejme ta organ. Dalje, ta organ te obdelave opravi sam v skladu s cilji in podrobnimi pravili, določenimi v Direktivi 2017/1132 in zakonodaji države članice, s katero se izvaja ta direktiva.
Na tretjem mestu, kar zadeva morebitno pravico do izbrisa, ki naj bi jo imel posameznik, na katerega se nanašajo osebni podatki, (
7
) je Sodišče najprej preučilo razloge za zakonitost, ki lahko veljajo za obdelavo teh osebnih podatkov.
Na eni strani je Sodišče v zvezi z vprašanjem, ali je ta obdelava potrebna za izpolnitev zakonske obveznosti, ki izhaja iz prava Unije ali prava države članice, ki velja za upravljavca, (
8
) navedlo, da Direktiva 2017/1132 ne zahteva sistematične obdelave vsakega osebnega podatka, vsebovanega v aktu, za katerega velja obvezno razkritje iz te direktive. Nasprotno, vsaka obdelava osebnih podatkov, ki se izvede v okviru te direktive, mora v celoti izpolnjevati zahteve, ki izhajajo iz SUVP. Tako morajo države članice zagotoviti usklajenost ciljev pravne varnosti in zaščite interesov tretjih oseb, ki jima sledi Direktiva 2017/1132, ter pravic, določenih v SUVP.
Zato ni mogoče šteti, da je to, da so v poslovnem registru na spletu javno dostopni osebni podatki, ki niso zahtevani z Direktivo 2017/1132 ali nacionalno zakonodajo, obravnavano v postopku v glavni stvari, in ki so vsebovani v družbeni pogodbi, za katero velja obvezno razkritje iz te direktive in ki je predložena agenciji, utemeljeno z zahtevo, da se zagotovi razkritje aktov, na katere se nanaša navedena direktiva, in da posledično ta javna dostopnost izhaja iz zakonske obveznosti, določene v pravu Unije. Poleg tega se zdi, da zakonitost zadevne obdelave ne temelji – kar mora preveriti predložitveno sodišče – niti na zakonski obveznosti, določeni v nacionalnem pravu.
Na drugi strani je Sodišče v zvezi z nujnostjo zadevne obdelave za opravljanje naloge v javnem interesu (
9
) ugotovilo, da je očitno res, da se ta obdelava izvede pri opravljanju take naloge. Vendar se zdi, da presega to, kar je potrebno za uresničitev zastavljenih ciljev v splošnem interesu.
V zvezi s tem je Sodišče navedlo, da zahteva po ohranitvi celovitosti in zanesljivosti aktov družb, ki jih je treba obvezno razkriti v skladu z Direktivo 2017/1132, ki naj bi narekovala objavo teh aktov takšnih, kot so bili predloženi organom, odgovornim za vodenje poslovnega registra, ne more sistematično prevladati nad pravico do varstva osebnih podatkov, če naj to varstvo ne postane navidezno. Natančneje, s to zahtevo ni mogoče naložiti, da osebni podatki, ki niso zahtevani s to direktivo ali z nacionalnim pravom, ostanejo javno dostopni na spletu v tem registru, čeprav bi agencija lahko za to objavo sama pripravila v tem pravu določeno kopijo akta zadevne družbe brez nezahtevanih podatkov.
Sodišče je nato poudarilo, da če bi predložitveno sodišče po opravljeni presoji ugotovilo nezakonitost zadevne obdelave, bi morala agencija kot upravljavec zadevne podatke čim prej izbrisati.
Če pa bi to sodišče ugotovilo, da je ta obdelava dejansko potrebna za opravljanje naloge v javnem interesu, zlasti ker je javna dostopnost podatkov, ki niso zahtevani z Direktivo 2017/1132 ali z nacionalnim pravom, na spletu v poslovnem registru potrebna za preprečitev zamude pri vpisu zadevne družbe v interesu varstva tretjih oseb, bi bilo treba preučiti obstoj prevladujočih zakonitih razlogov, ki bi lahko prevladali nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, in nasprotovati zahtevi za izbris. (
10
)
Sodišče je tako ugotovilo, da je treba Direktivo 2017/1132 in SUVP razlagati tako, da nasprotujeta ureditvi ali praksi države članice, zaradi katere organ, pristojen za vodenje poslovnega registra te države članice, zavrne vsako zahtevo za izbris osebnih podatkov, ki niso zahtevani s to direktivo ali pravom navedene države članice in so vsebovani v družbeni pogodbi, objavljeni v tem registru, kadar temu organu v nasprotju s postopkovnimi pravili iz te ureditve ni bila predložena kopija te pogodbe, v kateri so ti podatki prikriti.
Nazadnje, Sodišče je pri odločanju o pravilih o odgovornosti na podlagi SUVP in konkretneje o vplivu mnenja nadzornega organa države članice v tem okviru poudarilo, da spada v skladu s SUVP (
11
) izdaja takega mnenja med svetovalne pristojnosti, in ne med pooblastila nadzornega organa v zvezi z dovoljenji. Poleg tega uporabljeni izrazi kažejo, da to mnenje v skladu s pravom Unije ni pravno zavezujoče. Zadevno mnenje torej samo po sebi ne more dokazovati, da za škodo ni odgovoren upravljavec, in posledično zadostovati, da je upravljavec izvzet iz odgovornosti na podlagi SUVP. Zato tako mnenje ne zadostuje za to, da je organ, pristojen za vodenje poslovnega registra države članice, ki ima status upravljavca, izvzet iz odgovornosti.
(
1
)	Direktiva (EU) 2017/1132 Evropskega parlamenta in Sveta z dne 14. junija 2017 o določenih vidikih prava družb (UL 2017, L 169, str. 46).
(
2
)	Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, v nadaljevanju: SUVP).
(
3
)	V skladu s členom 82 SUVP.
(
4
)	Člen 21(2) Direktive 2017/1132.
(
5
)	V skladu s členom 14 Direktive 2017/1132.
(
6
)	V smislu člena 4, točka 7, oziroma člena 4, točka 9, SUVP.
(
7
)	V skladu s členom 17 SUVP.
(
8
)	Razlog za zakonitost iz člena 6(1), prvi pododstavek, točka (c), SUVP.
(
9
)	Razlog za zakonitost iz člena 6(1), prvi pododstavek, točka (e), SUVP.
(
10
)	V skladu s členom 17(1)(c) v povezavi s členom 21(1) SUVP.
(
11
)	Člen 58(3)(b) SUVP.