62022CJ0017
HOTĂRÂREA CURȚII (Camera a patra)
12 septembrie 2024 (
*1
)
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 6 alineatul (1) primul paragraf literele (b), (c) și (f) – Legalitatea prelucrării – Necesitatea prelucrării în scopul executării unui contract la care persoana vizată este parte – Necesitatea prelucrării în scopul îndeplinirii unei obligații legale impuse operatorului – Necesitatea prelucrării în scopul intereselor legitime urmărite de operator sau de un terț – Fond de investiții constituit sub forma unei societăți în comandită cu subscriere publică – Cerere a unui asociat pentru a obține datele de contact ale celorlalți asociați care dețin participații indirecte la un fond de investiții prin intermediul unei societăți fiduciare”
În cauzele conexate C‑17/22 și C‑18/22,
având ca obiect cereri de decizie preliminară formulate în temeiul articolului 267 TFUE de Amtsgericht München (Tribunalul Districtual din München, Germania), prin deciziile din 21 decembrie 2021, primite de Curte la 7 ianuarie 2022, în procedurile
HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG
împotriva
Müller Rechtsanwaltsgesellschaft mbH (C‑17/22),
și
Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG
împotriva
WealthCap Photovoltaik 1 GmbH Co. KG,
WealthCap PEIA Komplementär GmbH,
WealthCap Investorenbetreuung GmbH (C‑18/22),
CURTEA (Camera a patra),
compusă din domnul C. Lycourgos, președinte de cameră, doamna O. Spineanu‑Matei, domnii J.‑C. Bonichot și S. Rodin și doamna L. S. Rossi (raportoare), judecători,
avocat general: domnul J. Richard de la Tour,
grefier: domnul I. Illéssy, administrator,
având în vedere procedura scrisă și în urma ședinței din 29 februarie 2024,
luând în considerare observațiile prezentate:
–
pentru HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, de M. Handlos și R. Veil, Rechtsanwälte;
–
pentru Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, de U. Brinkmöller, Rechtsanwalt;
–
pentru WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH și WealthCap Investorenbetreuung GmbH, de N. Bartmann, U. Baumgartner și A. Höder, Rechtsanwälte;
–
pentru Comisia Europeană, de A. Bouchagiar, M. Heller și H. Kranenborg, în calitate de agenți,
având în vedere decizia de judecare a cauzei fără concluzii, luată după ascultarea avocatului general,
pronunță prezenta
Hotărâre
1
Cererile de decizie preliminară privesc interpretarea articolului 6 alineatul (1) primul paragraf literele (b) și (f) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).
2
Aceste cereri au fost formulate în cadrul unor litigii între HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (denumită în continuare „HTB”), pe de o parte, și Müller Rechtsanwaltsgesellschaft mbH, pe de altă parte (cauza C‑17/22), și Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (denumită în continuare „Ökorenta”), pe de o parte, și WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH și WealthCap Investorenbetreuung GmbH, pe de altă parte (cauza C‑18/22).
Cadrul juridic
Dreptul Uniunii
3
Considerentele (1), (10), (39) (41), (47) și (48) ale RGPD au următorul cuprins:
„(1)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal este un drept fundamental. Articolul 8 alineatul (1) din Carta drepturilor fundamentale a Uniunii Europene («carta») și articolul 16 alineatul (1) [TFUE] prevăd dreptul oricărei persoane la protecția datelor cu caracter personal care o privesc.
[…]
(10)
Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii [Europene], nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune [Europeană]. […]
[…]
(39)
Orice prelucrare de date cu caracter personal ar trebui să fie legală și echitabilă. Ar trebui să fie transparent pentru persoanele fizice că sunt colectate, utilizate, consultate sau prelucrate în alt mod datele cu caracter personal care le privesc și în ce măsură datele cu caracter personal sunt sau vor fi prelucrate. […]
[…]
(41)
Ori de câte ori prezentul regulament face trimitere la un temei juridic sau la o măsură legislativă, aceasta nu necesită neapărat un act legislativ adoptat de către un parlament, fără a aduce atingere cerințelor care decurg din ordinea constituțională a statului membru în cauză. Cu toate acestea, un astfel de temei juridic sau o astfel de măsură legislativă ar trebui să fie clară și precisă, iar aplicarea acesteia ar trebui să fie previzibilă pentru persoanele vizate de aceasta, în conformitate cu jurisprudența Curții de Justiție a Uniunii Europene […] și a Curții Europene a Drepturilor Omului.
[…]
(47)
Interesele legitime ale unui operator, inclusiv cele ale unui operator căruia îi pot fi divulgate datele cu caracter personal sau ale unei terțe părți, pot constitui un temei juridic pentru prelucrare, cu condiția să nu prevaleze interesele sau drepturile și libertățile fundamentale ale persoanei vizate, luând în considerare așteptările rezonabile ale persoanelor vizate bazate pe relația acestora cu operatorul. Acest interes legitim ar putea exista, de exemplu, atunci când există o relație relevantă și adecvată între persoana vizată și operator, cum ar fi cazul în care persoana vizată este un client al operatorului sau se află în serviciul acestuia. În orice caz, existența unui interes legitim ar necesita o evaluare atentă, care să stabilească inclusiv dacă o persoană vizată poate preconiza în mod rezonabil, în momentul și în contextul colectării datelor cu caracter personal, posibilitatea prelucrării în acest scop. Interesele și drepturile fundamentale ale persoanei vizate ar putea prevala în special în raport cu interesul operatorului de date atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu preconizează în mod rezonabil o prelucrare ulterioară. […] Prelucrarea de date cu caracter personal care are drept scop marketingul direct poate fi considerată ca fiind desfășurată pentru un interes legitim.
(48)
Operatorii care fac parte dintr‑un grup de întreprinderi sau instituții afiliate unui organism central pot avea un interes legitim de a transmite date cu caracter personal în cadrul grupului de întreprinderi în scopuri administrative interne, inclusiv în scopul prelucrării datelor cu caracter personal ale clienților sau angajaților. Principiile generale ale transferului de date cu caracter personal, în cadrul unui grup de întreprinderi, către o întreprindere situată într‑o țară terță rămân neschimbate.”
4
Articolul 1 din acest regulament, intitulat „Obiect și obiective”, prevede la alineatul (2):
„Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal.”
5
Articolul 4 din regulamentul menționat prevede:
„În sensul prezentului regulament:
1.
«date cu caracter personal» înseamnă orice informații privind o persoană fizică identificată sau identificabilă («persoana vizată»); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale;
2.
«prelucrare» înseamnă orice operațiune sau set de operațiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fără utilizarea de mijloace automatizate, cum ar fi colectarea, înregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispoziție în orice alt mod, alinierea sau combinarea, restricționarea, ștergerea sau distrugerea;
[…]
7.
«operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern;
[…]
11.
«consimțământ» al persoanei vizate înseamnă orice manifestare de voință liberă, specifică, informată și lipsită de ambiguitate a persoanei vizate prin care aceasta acceptă, printr‑o declarație sau printr‑o acțiune fără echivoc, ca datele cu caracter personal care o privesc să fie prelucrate;
[…]”
6
Articolul 5 din același regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:
„(1)   Datele cu caracter personal sunt:
(a)
prelucrate în mod legal, echitabil și transparent față de persoana vizată («legalitate, echitate și transparență»);
(b)
colectate în scopuri determinate, explicite și legitime și nu sunt prelucrate ulterior într‑un mod incompatibil cu aceste scopuri; […]
(c)
adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate («reducerea la minimum a datelor»);
[…]
(2)   Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”
7
Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, are următorul conținut:
„(1)   Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:
(a)
persoana vizată și‑a dat consimțământul pentru prelucrarea datelor sale cu caracter personal pentru unul sau mai multe scopuri specifice;
(b)
prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract;
(c)
prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului;
[…]
(f)
prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil.
Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.
(2)   Statele membre pot menține sau introduce dispoziții mai specifice de adaptare a aplicării normelor prezentului regulament în ceea ce privește prelucrarea în vederea respectării alineatului (1) literele (c) și (e) prin definirea unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile, inclusiv pentru alte situații concrete de prelucrare, astfel cum este prevăzut în capitolul IX.
(3)   Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:
(a)
dreptul Uniunii; sau
(b)
dreptul intern care se aplică operatorului.
[…] Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.”
8
Articolul 13 alineatul (1) din acest regulament prevede:
„În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:
[…]
(c)
scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării;
(d)
în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță;
[…]”
Dreptul german
9
Articolul 161 du Handelsgesetzbuch (Codul comercial), în versiunea aplicabilă în litigiile principale, prevede:
„(1)   O societate care are ca obiect de activitate desfășurarea unei activități comerciale sub o denumire comună este o societate în comandită simplă dacă răspunderea unuia sau a unora dintre asociați față de creditorii societății este limitată la valoarea unui anumit aport de capital (asociați comanditari), în timp ce răspunderea celorlalți asociați nu este limitată (asociați comanditați).
(2)   Cu excepția unor dispoziții contrare în prezenta secțiune, societăților în comandită simplă li se aplică dispozițiile aplicabile societăților în nume colectiv.”
10
Articolul 162 alineatul 1 din acest cod are următorul cuprins:
„Înregistrarea societății trebuie să conțină, pe lângă mențiunile prevăzute la articolul 106 alineatul 2 [care includ numele, prenumele, data nașterii și domiciliul fiecărui asociat], desemnarea comanditarilor și valoarea aportului fiecăruia dintre aceștia. […]”
11
Articolul 127a alineatele 1 și 3 din Aktiengesetz (Legea privind societățile pe acțiuni), în versiunea aplicabilă în litigiile principale, prevede:
„(1)   Acționarii sau asociațiile de acționari pot solicita altor acționari, pe forumul acționarilor de pe site‑ul Bundesanzeiger (Monitorul Oficial Federal), să depună împreună sau prin reprezentant o moțiune sau o cerere în temeiul prezentei legi sau să exercite dreptul de vot în cadrul unei adunări generale.
[…]
(3)   Solicitarea poate conține informații referitoare la pagina de internet a acționarului care face solicitarea și la adresa electronică a acestuia. […]”
12
Articolul 33 alineatul 1 prima teză din Wertpapierhandelsgesetz (Legea privind tranzacțiile cu valori mobiliare), în versiunea aplicabilă în litigiile principale, prevede:
„Orice persoană care, prin achiziție, cesiune sau în alt mod, atinge, depășește sau pierde 3 %, 5 %, 10 %, 15 %, 20 %, 25 %, 30 %, 50 % sau 75 % din drepturile de vot aferente acțiunilor pe care le deține la un emitent al cărui stat de origine este Republica Federală Germania (persoana supusă obligației de notificare) este obligată să comunice acest lucru fără întârziere emitentului și, în același timp, Autorității federale de supraveghere în termen de maximum patru zile lucrătoare, în conformitate cu articolul 34 alineatele 1 și 2. […]”
Litigiile principale și întrebările preliminare
13
Din deciziile de trimitere reiese că HTB și Ökorenta sunt societăți de investiții care dețin fiecare o participație indirectă, prin intermediul unei societăți fiduciare, în fonduri de investiții. Aceste fonduri de investiții sunt organizate sub forma unei societăți în comandită, și anume o societate de persoane cu subscriere publică. Participarea la capitalul acestor societăți în comandită este concepută ca un plasament financiar. Atunci când această participație este indirectă, asociații își exercită drepturile prin intermediul societăților fiduciare.
14
Reclamantele din litigiile principale solicită pârâtelor, care sunt societăți fiduciare de administrare, divulgarea numelor și a adreselor tuturor asociaților lor care dețin participații indirecte, prin intermediul unor societăți fiduciare, în fondurile de investiții în cauză.
15
Pârâtele din litigiile principale se opun unei astfel de divulgări întrucât consideră că datele solicitate sunt destinate să servească interesele economice proprii ale reclamantelor din litigiile principale, care constau în a‑și face publicitate produselor de investiții, în a crea îngrijorare în rândul investitorilor sau în a‑și cumpăra părțile la un preț sub valoarea lor și în a realiza profit prin revânzarea acestora. Or, contractele de investiții și de fiducie în temeiul cărora asociații pârâtelor din litigiile principale au achiziționat participații indirecte în fondurile de investiții în cauză ar conține clauze care interzic comunicarea datelor respective către alți deținători de participații.
16
Reclamantele din litigiul principal neagă faptul că ar avea astfel de intenții și invocă dreptul lor de a‑i contacta pe ceilalți comanditari care dețin participații la fondurile de investiții în cauză, în special pentru a negocia răscumpărarea părților lor.
17
Instanța de trimitere subliniază în esență că, în conformitate cu jurisprudența Bundesgerichtshof (Curtea Federală de Justiție, Germania) și a Oberlandesgericht München (Tribunalul Regional Superior din München, Germania), divulgarea datelor cu caracter personal solicitate de reclamantele din litigiile principale s‑ar putea dovedi obligatorie. Totuși, aceasta arată că, întrucât jurisprudența menționată este parțial anterioară intrării în vigoare a RGPD, ea ar putea fi apreciată diferit în speță, ținând seama de articolul 6 alineatul (1) primul paragraf literele (b) și (f) din acest regulament, a cărui interpretare ar fi determinantă pentru soluționarea litigiilor principale.
18
Mai precis, instanța de trimitere arată că din Ordonanța Bundesgerichtshof (Curtea Federală de Justiție) din 19 noiembrie 2019 (II ZR 263/18), rezultă că într‑o societate de persoane, cum este o societate în comandită, dreptul unui asociat de a cunoaște numele și adresa celorlalți asociați face parte dintr‑un „set fundamental de drepturi ale asociaților”. Acest drept ar exista și în raport cu comanditarii care dețin numai participații indirecte. Într‑adevăr, cunoașterea tuturor celorlalți asociați, inclusiv a celor care dețin indirect participații, ar fi necesară pentru exercitarea efectivă a drepturilor deținute de fiecare asociat al unei societăți de persoane cu subscriere publică. Divulgarea acestor date cu caracter personal către ceilalți asociați ar fi astfel conformă cu obligațiile ce revin societății în temeiul contractului care stă la baza constituirii sale. Singura excepție în dreptul german de la dreptul de a obține astfel de date o constituie interzicerea abuzului de drept, care nu permite ca acest drept la informare să fie exercitat în mod ilicit sau cu intenția de a crea un prejudiciu.
19
În temeiul jurisprudenței Bundesgerichtshof (Curtea Federală de Justiție), abuzul de drept ar fi oricum exclus atunci când un investitor încearcă să intre în contact cu alți investitori pentru a discuta cu aceștia aspecte care privesc societatea și eventual pentru a organiza o comunitate de interese între investitori. În plus, nu ar fi necesar să se refuze furnizarea de informații referitoare la un asociat pentru motivul că ar exista un simplu risc abstract de utilizare abuzivă a acestor date personale. Pe de altă parte, un asociat ar trebui să poată avea acces direct la datele celorlalți asociați ai societății, fără a depinde de organele de conducere ale acesteia.
20
Din această jurisprudență ar mai reieși că un astfel de drept la informare nu poate fi înlăturat prin clauze contractuale deoarece există riscul de a elimina în fapt un drept esențial al asociaților, și anume acela de a convoca o adunare extraordinară a asociaților, întrucât cvorumurile necesare în acest scop nu pot fi obținute de un asociat care deține o participație redusă decât împreună cu alți asociați, ceea ce presupune obligatoriu ca acesta să le cunoască numele și adresele [Ordonanța Bundesgerichtshof (Curtea Federală de Justiție) din 21 septembrie 2009 (II ZR 264/08)]. Potrivit jurisprudenței menționate, considerentul (48) al RGPD ar justifica de asemenea ca, în cadrul unui grup de întreprinderi, datele cu caracter personal ale tuturor asociaților să poată fi transmise unuia dintre aceștia în scopuri administrative interne.
21
Potrivit instanței de trimitere, jurisprudența Bundesgerichtshof (Curtea Federală de Justiție) consacră astfel existența, în principiu, a unui drept la informare al asociaților care nu este restrâns decât în caz de abuz de drept.
22
Instanța de trimitere face referire și la Hotărârea din 16 ianuarie 2019 a Oberlandesgericht München (Tribunalul Regional Superior din München) (7 U 342/18), potrivit căreia obiectul principal al contractului de societate este exercitarea drepturilor asociaților, inclusiv a celui de a‑și consolida poziția în cadrul societății. Achiziționarea de părți sociale constituie astfel o exercitare licită a acestor drepturi, iar divulgarea în acest scop a informațiilor referitoare la ceilalți asociați corespunde unui interes rezonabil. Or, nu ar trebui să se refuze o asemenea divulgare decât dacă ea nu ar urmări satisfacerea niciunui interes rezonabil.
23
Instanța de trimitere are îndoieli cu privire la compatibilitatea jurisprudenței Bundesgerichtshof (Curtea Federală de Justiție) și a Oberlandesgericht München (Tribunalul Regional Superior din München) cu dreptul Uniunii având în vedere că ea permite o divulgare extinsă a datelor cu caracter personal ale asociaților care dețin participații indirecte într‑un fond de investiții pe baza unei alegații pur formale că ceilalți asociați au un interes să obțină astfel de date, de exemplu în vederea dobândirii de participații.
24
Aceasta consideră de fapt că, în temeiul dreptului Uniunii, protecția datelor cu caracter personal constituie regula, astfel încât excepția de la acest principiu, prevăzută în special la articolul 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD, care permite autorizarea divulgării acestor date, trebuie să se întemeieze pe o „justificare suficientă”. Această instanță afirmă totodată că nu există în dreptul german nicio obligație legală de a publica date referitoare la persoanele care dețin participații într‑o societate fiduciară. Așadar, instanța de trimitere ridică problema dacă un drept de acces la datele asociaților nu ar trebui să fie condiționat, pe de o parte, de existența unui anumit prag de participare, prin analogie cu ceea ce este prevăzut în dreptul german în ceea ce privește societățile pe acțiuni cotate la bursă, și, pe de altă parte, de un motiv concret și precis legat de societatea ai cărei asociați sunt vizați de solicitarea de informații de acest fel.
25
În aceste condiții, Amtsgericht München (Tribunalul Districtual din München, Germania) a hotărât să suspende judecarea celor două cauze principale și să adreseze Curții următoarele întrebări preliminare identice:
„1)
a)
Din interpretarea articolului 6 alineatul (1) [primul paragraf] literele (b) și (f) din [RGPD] reiese că, în cazul unei societăți de persoane cu subscriere publică, participarea la societate în calitate de asociat fără răspundere personală, având numai un nivel redus de răspundere și fără a fi administrator asociat, este suficientă pentru a constata existența unui «interes legitim» în ceea ce privește informațiile referitoare la toți asociații care dețin participații indirecte, prin intermediul unui administrator fiduciar, la datele de contact ale acestora și la participarea acestora la capitalul societății de persoane și pentru a deduce din contractul de societate o obligație contractuală corespunzătoare
b)
sau, în asemenea condiții, interesul legitim se limitează la obținerea de informații de la societate cu privire la acei deținători de participații indirecte care nu au un nivel scăzut de răspundere, ci dețin o cotă‑parte minimă care le permite să exercite cel puțin o influență asupra viitorului societății?
2)
a)
În cazul unui astfel de drept nelimitat [prima întrebare litera a)], pentru a nu depăși limita, inerentă acestuia, a abuzului de drept sau pentru a deroga de la restrângerea unui drept de acces limitat [prima întrebare litera b)], este suficient să existe intenția de a stabili un contact în scopul cunoașterii reciproce, al unui schimb de opinii sau al unor negocieri cu privire la cumpărarea de părți sociale
b)
sau interesul de a obține informații este considerat relevant numai în cazul în care comunicarea lor este solicitată cu intenția expresă de a contacta alți asociați pentru a le solicita coordonarea în scopurile indicate în mod concret pentru care este necesară formarea unei voințe în cadrul unor decizii ale asociaților?”
Cu privire la procedura în fața Curții
26
Prin decizia din 23 septembrie 2022, președintele Curții a suspendat prezenta procedură în așteptarea pronunțării hotărârii în cauza C‑252/21.
27
În conformitate cu decizia președintelui Curții din 7 iulie 2023, grefa a notificat instanței de trimitere Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C‑252/21, EU:C:2023:537), invitând‑o să indice dacă, ținând seama de acea hotărâre, intenționa să își mențină, în tot sau în parte, cererile de decizie preliminară.
28
Prin scrisoarea din 4 august 2023, depusă la grefa Curții în aceeași zi, instanța menționată a arătat că își menține cererile de decizie preliminară.
Cu privire la întrebările preliminare
29
Prin intermediul întrebărilor preliminare, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD trebuie interpretat în sensul că o prelucrare de date cu caracter personal care constă în a divulga, la cererea unui asociat al unui fond de investiții constituit sub forma unei societăți de persoane cu subscriere publică, informații cu privire la toți asociații care dețin, prin intermediul unor societăți fiduciare, participații indirecte la acest fond, indiferent de importanța participației lor la capitalul fondului menționat, pentru a‑i contacta și pentru a negocia cu aceștia răscumpărarea părților lor sociale sau chiar pentru a se coordona cu aceștia în vederea formării unei voințe comune în cadrul deciziilor asociaților poate fi considerată necesară pentru executarea unui contract la care persoanele vizate sunt părți, în sensul acestei litere (b), sau în scopul intereselor legitime urmărite de operator sau de o parte terță, în sensul acestei litere (f).
30
Întrucât cererile de decizie preliminară arată că instanța de trimitere ridică problema conformității cu RGPD a obligației de divulgare a unor astfel de date, care în dreptul german rezultă din jurisprudența instanțelor naționale, este necesar să se reformuleze întrebările adresate ca vizând și interpretarea articolului 6 alineatul (1) primul paragraf litera (c) din acest regulament și să se considere că, prin intermediul întrebărilor formulate, instanța de trimitere ridică de asemenea problema dacă se poate considera că o astfel de divulgare derivă dintr‑o obligație legală care îi revine operatorului.
31
Pentru a răspunde la aceste întrebări, trebuie amintit, cu titlu introductiv, că obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, constă printre altele în asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE [Hotărârea din 7 martie 2024, IAB Europe, C‑604/22, EU:C:2024:214, punctul 53 și jurisprudența citată].
32
În conformitate cu acest obiectiv, orice prelucrare a datelor cu caracter personal trebuie, printre altele, să fie conformă cu principiile referitoare la prelucrarea unor astfel de date prevăzute la articolul 5 din acest regulament și să îndeplinească condițiile de legalitate enumerate la articolul 6 din același regulament [a se vedea în acest sens Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții, C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 208, precum și Hotărârea din 11 iulie 2024, Meta Platforms Ireland (Acțiune în reprezentare), C‑757/22, EU:C:2024:598, punctul 49].
33
În această privință, trebuie subliniat că, în temeiul articolului 5 alineatul (1) litera (a) din RGPD, datele cu caracter personal trebuie să fie prelucrate în mod legal, echitabil și transparent față de persoana vizată.
34
În particular, în ceea ce privește condițiile de legalitate a prelucrării, după cum a statuat Curtea, articolul 6 alineatul (1) primul paragraf din RGPD prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, o prelucrare trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 90].
35
Ținând seama de particularitățile litigiilor principale, trebuie arătat în plus că acest articol 6 alineatul (1) primul paragraf nu prevede în sine o obligație, ci se limitează să exprime o posibilitate de a efectua o prelucrare a datelor cu caracter personal în cazurile pe care le enumeră (a se vedea prin analogie Hotărârea din 4 mai 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, punctul 26).
36
Potrivit articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, prelucrarea datelor cu caracter personal este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru unul sau mai multe scopuri specifice. În lipsa unui astfel de consimțământ sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, conform articolului 4 punctul 11 din acest regulament, o astfel de prelucrare este totuși justificată atunci când îndeplinește una dintre cerințele de necesitate menționate la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din același regulament.
37
În acest context, justificările prevăzute de această din urmă dispoziție, în măsura în care permit ca prelucrarea datelor cu caracter personal efectuată în lipsa consimțământului persoanei vizate să fie legală, trebuie să facă obiectul unei interpretări restrictive [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 93 și jurisprudența citată].
38
În plus, astfel cum a statuat Curtea, atunci când este posibil să se constate că prelucrarea de date cu caracter personal este necesară în raport cu una dintre justificările prevăzute la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din RGPD, nu este necesar să se stabilească dacă această prelucrare intră de asemenea sub incidența unei alte justificări [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 94 și jurisprudența citată].
39
Curtea a mai statuat că, în conformitate cu articolul 5 din RGPD, operatorului îi revine sarcina de a dovedi că aceste date sunt colectate în special în scopuri determinate, explicite și legitime și că sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată. În plus, conform articolului 13 alineatul (1) litera (c) din acest regulament, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, revine operatorului sarcina de a o informa cu privire la scopurile în care sunt prelucrate datele respective, precum și cu privire la temeiul juridic al prelucrării respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 95].
40
În speță, rezultă din dosarul de care dispune Curtea că asociații care dețin, prin intermediul unor societăți fiduciare, participații indirecte în fondurile de investiții în cauză nu au consimțit, în sensul articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, ca pârâtele din litigiile principale să divulge datele cu caracter personal care îi privesc unor terți, în special HTB și Ökorenta.
41
În aceste condiții, pentru a răspunde la întrebările adresate, trebuie să se verifice dacă dispozițiile articolului 6 alineatul (1) primul paragraf literele (b) și (f) din acest regulament, avute în mod specific în vedere de cererile de decizie preliminară, pot fi invocate pentru a justifica eventuala divulgare a unor astfel de date către acești terți.
42
În ceea ce privește, în primul rând, articolul 6 alineatul (1) primul paragraf litera (b) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă este „necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract”.
43
În această privință, Curtea a statuat deja că, pentru ca prelucrarea de date cu caracter personal să fie considerată necesară pentru executarea unui contract, în sensul acestei dispoziții, ea trebuie să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată persoanei vizate. Operatorul trebuie astfel să fie în măsură să demonstreze în ce mod obiectul principal al contractului nu ar putea fi realizat în lipsa prelucrării în cauză [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 98].
44
Astfel, după cum a mai statuat Curtea, elementul determinant pentru aplicarea justificării prevăzute la articolul 6 alineatul (1) primul paragraf litera (b) din RGPD este ca prelucrarea datelor cu caracter personal efectuată de operator să fie esențială pentru a permite executarea corectă a contractului încheiat între acesta și persoana vizată și, prin urmare, să nu existe alte soluții posibile și mai puțin intruzive [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 99].
45
În speță, din deciziile de trimitere reiese că contractele de investiții și de fiducie în discuție în litigiile principale, în temeiul cărora au fost achiziționate participații indirecte la fondurile de investiții în cauză, prevăd în mod expres interdicția de a li se comunica altor deținători de participații datele referitoare la investitorii indirecți.
46
În această privință, trebuie arătat că aspectul esențial al achiziționării, prin intermediul unei societăți fiduciare, a unei participații indirecte la fond de investiții cu subscriere publică este tocmai anonimatul asociaților, inclusiv în relațiile dintre asociații înșiși. Cu alte cuvinte, persoanele optează pentru un plasament financiar într‑un astfel de fond sub forma unei participații deținute prin intermediul unei societăți fiduciare tocmai având în vedere tratamentul confidențial al datelor lor aplicat de fondul de investiții.
47
Prin urmare, și sub rezerva verificării de către instanța de trimitere, o prelucrare a datelor cu caracter personal care constă în divulgarea de informații referitoare la asociații care dețin, prin intermediul unei societăți fiduciare, participații indirecte la un fond de investiții cu subscriere publică nu poate fi considerată „necesară pentru executarea unui contract”, în sensul articolului 6 alineatul (1) primul paragraf litera (b) din RGPD, în cazul în care contractul care stă la baza dobândirii unei astfel de participații exclude în mod expres divulgarea acestor date către alți deținători de participații.
48
În ceea ce privește, în al doilea rând, articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate care impun protejarea acestor date cu caracter personal.
49
Astfel, pentru ca o prelucrare de date cu caracter personal să fie legală, dispoziția menționată prevede trei condiții cumulative, și anume, primo, urmărirea unui interes legitim de către operator sau de către o parte terță, secundo, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, tertio, să nu prevaleze interesele sau libertățile și drepturile fundamentale ale persoanei vizate [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 106 și jurisprudența citată].
50
În ceea ce privește, primo, condiția referitoare la urmărirea unui „interes legitim”, trebuie subliniat că, în lipsa unei definiții a acestei noțiuni în RGPD, astfel cum a statuat deja Curtea, o gamă largă de interese poate fi considerată în principiu legitimă [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 76].
51
În ceea ce privește, secundo, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, aceasta impune instanței de trimitere să verifice dacă interesul legitim urmărit al prelucrării datelor nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate prin articolele 7 și 8 din cartă [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 77 și jurisprudența citată].
52
În acest context, trebuie amintit de asemenea că această condiție privind necesitatea prelucrării trebuie examinată împreună cu principiul „reducerii la minimum a datelor” consacrat la articolul 5 alineatul (1) litera (c) din RGPD, potrivit căruia datele cu caracter personal trebuie să fie „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate” [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 109 și jurisprudența citată].
53
În sfârșit, în ceea ce privește, tertio, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze asupra interesului legitim al operatorului sau al unui terț, Curtea a statuat deja că aceasta implică o evaluare comparativă a drepturilor și a intereselor opuse în cauză, care depinde, în principiu, de împrejurările concrete ale cazului particular, și că revine, în consecință, instanței de trimitere sarcina de a efectua această evaluare comparativă ținând seama de aceste împrejurări specifice [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 110 și jurisprudența citată].
54
În plus, considerentul (47) al RGPD indică faptul că interesele și drepturile fundamentale ale persoanei vizate pot în mod special să prevaleze în raport cu interesul operatorului atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu se așteaptă în mod rezonabil la o astfel de prelucrare [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 112].
55
Deși, în definitiv, revine instanței de trimitere sarcina de a aprecia dacă, în ceea ce privește prelucrarea datelor cu caracter personal în discuție în litigiile principale, sunt îndeplinite cele trei condiții amintite la punctul 49 din prezenta hotărâre, Curtea poate, atunci când se pronunță asupra trimiterii preliminare, să ofere precizări destinate să orienteze instanța respectivă pentru a face această constatare [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 96, și Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 81, precum și jurisprudența citată].
56
În speță, în ceea ce privește, primo, condiția referitoare la urmărirea unui interes legitim de către operator sau de către un terț, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, instanța de trimitere face referire la interesul unui terț, și anume interesul unui asociat care deține o participație indirectă într‑un fond de investiții constituit sub forma unei societăți în comandită cu subscriere publică de a obține datele cu caracter personal referitoare la ceilalți asociați indirecți ai acestei societăți pentru a‑i contacta sau pentru a negocia cu aceștia răscumpărarea de părți sociale sau chiar pentru a se coordona cu aceștia în vederea formării unei voințe comune în cadrul deciziilor luate de ansamblul asociaților.
57
Este necesar să se constate că un astfel de interes poate în principiu să constituie un interes legitim pentru divulgarea datelor cu caracter personal în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, ținând seama în special de statutul unei astfel de societăți, astfel cum rezultă din dreptul național al statului membru în cauză, și indiferent de importanța valorii participației și a competențelor deținute în societate de asociatul aflat la originea cererii de divulgare. Revine însă instanței de trimitere sarcina de a aprecia de la caz la caz existența unui astfel de interes având în vedere cadrul juridic aplicabil și ansamblul împrejurărilor cauzei.
58
În ipoteza în care s‑ar constata existența unui astfel de interes legitim, ar mai trebui, pentru ca urmărirea acestui interes să poată permite o prelucrare de date cu caracter personal în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, ca operatorul să respecte toate celelalte obligații care îi revin conform acestui regulament.
59
Secundo, în ceea ce privește condiția referitoare la necesitatea acestei prelucrări pentru realizarea interesului respectiv și în mod deosebit existența altor mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, dar la fel de adecvate, trebuie să se constate că ar fi mai ales posibil ca asociatul la un fond de investiții care vrea să obțină informații cu privire la un alt asociat care deține o participație indirectă la acest fond prin intermediul unei societăți fiduciare să solicite în mod direct fondului respectiv sau acestei societăți să îi fie transmisă cererea sa asociatului vizat în vederea cunoașterii lui sau a efectuării unor schimburi. Acesta din urmă ar putea apoi decide liber dacă dorește să intre în contact cu asociatul care a făcut cererea sau dacă preferă să nu dea curs unei asemenea cereri și să își păstreze anonimatul. O astfel de soluție s‑ar putea aplica și în cazul în care asociatul solicitant dorește să inițieze cu un alt asociat negocieri pentru achiziționarea de părți deținute de acesta din urmă sau să se coordoneze cu el în scopul formării unei voințe comune în cadrul deciziilor luate de ansamblul asociaților.
60
Această soluție ar permite, pe de altă parte, asociatului vizat de cererea de informații, conform principiului reducerii la minimum a datelor evocat la punctul 52 din prezenta hotărâre, să păstreze controlul asupra prelucrării datelor sale cu caracter personal și să limiteze astfel divulgarea lor către un alt asociat doar la ceea ce este efectiv necesar și pertinent în raport cu scopurile pentru care datele respective sunt solicitate și prelucrate.
61
Prin urmare, nu se poate exclude posibilitatea ca o procedură precum cea descrisă la punctul anterior din prezenta hotărâre să fie considerată o măsură care implică o ingerință mai redusă în dreptul la protecția confidențialității datelor cu caracter personal ale persoanei vizate, dar care permite în același timp operatorului să urmărească, la fel de eficient, interesul legitim al terțului vizat, aspect a cărui verificare este însă de competența instanței de trimitere.
62
Tertio, în ceea ce privește evaluarea comparativă a intereselor pe care instanța de trimitere este chemată să o efectueze având în vedere împrejurările specifice ale speței, această instanță trebuie să țină seama în special de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării în cauză și de impactul acesteia asupra persoanei respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 116].
63
Rezultă că, în cadrul unei astfel de evaluări comparative, nu se poate de principiu exclude posibilitatea ca divulgarea unor date cu caracter personal ale asociaților, fie ei și indirecți, ai unei societăți de persoane către alți asociați să servească eventual intereselor economice ale fiecăruia dintre aceștia și, prin urmare, și intereselor asociaților indirecți cu privire la datele cu caracter personal la care ceilalți asociați doresc să aibă acces.
64
Pe de altă parte, nu se poate exclude nici posibilitatea ca interesul pe care îl au asociații care dețin o participație indirectă la un fond de investiții ca datele lor să rămână confidențiale să prevaleze asupra interesului celorlalți asociați care doresc să obțină datele lor de contact. Din această perspectivă, trebuie să se acorde o importanță deosebită faptului că, având în vedere în special prevederile contractuale menționate la punctul 45 din prezenta hotărâre, este probabil ca asociații indirecți la un astfel de fond de investiții să nu se poată aștepta în mod rezonabil, în momentul colectării datelor lor cu caracter personal, ca acestea să fie divulgate unor terți, în speță altor asociați indirecți ai acestui fond de investiții.
65
Din ansamblul considerațiilor care precedă, și sub rezerva aprecierii finale ce trebuie efectuată de instanța de trimitere, reiese că este îndoielnic faptul că o prelucrare de date cu caracter personal precum divulgarea informațiilor solicitate de reclamantele din litigiile principale poate fi justificată în virtutea unui interes legitim în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.
66
În ceea ce privește, în al treilea rând, articolul 6 alineatul (1) primul paragraf litera (c) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului.
67
Articolul 6 alineatul (3) din RGPD precizează mai ales în această privință că prelucrarea trebuie să se bazeze pe dreptul Uniunii sau pe dreptul intern care se aplică operatorului și că acest temei juridic trebuie să urmărească un obiectiv de interes public și să fie proporțional cu obiectivul legitim urmărit [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 128].
68
În plus, astfel cum se indică în considerentul (41) al acestui regulament, ori de câte ori acesta face trimitere la un temei juridic sau la o măsură legislativă, aceasta nu necesită neapărat un act legislativ adoptat de un parlament, fără a aduce atingere cerințelor care decurg din ordinea constituțională a statului membru în cauză. Totuși, acest temei juridic sau această măsură legislativă ar trebui să fie clară și precisă, iar aplicarea ei să fie previzibilă pentru justițiabili, în conformitate cu jurisprudența Curții și a Curții Europene a Drepturilor Omului.
69
În speță, pe de o parte, dreptul Uniunii nu prevede nicio obligație a fondurilor de investiții sau a societăților fiduciare, cum sunt cele din cauzele principale, de a divulga datele cu caracter personal ale asociaților care dețin participații indirecte la aceste fonduri.
70
Pe de altă parte, din cererile de decizie preliminară rezultă că o astfel de obligație ar putea fi totuși dedusă, sub rezerva verificărilor care trebuie efectuate de instanța de trimitere în această privință, din jurisprudența Bundesgerichtshof (Curtea Federală de Justiție) și a Oberlandesgericht München (Tribunalul Regional Superior din München), în virtutea căreia clauzele contractuale care garantează confidențialitatea coordonatelor asociaților indirecți ai unei societăți de persoane cu subscriere publică, precum cele în discuție în litigiile principale, ar trebui considerate nule, astfel încât ar fi necesar să se divulge datele cu caracter personal ale asociaților care dețin participații indirecte la un fond de investiții constituit sub forma unei societăți în comandită cu subscriere publică.
71
În această privință, trebuie arătat că, în conformitate cu cele menționate la punctul 68 din prezenta hotărâre, nu se poate exclude că „dreptul intern care se aplică operatorului”, în sensul articolului 6 alineatul (3) litera (b) din RGPD, include și jurisprudența națională.
72
Cu toate acestea, așa cum reiese din considerentul (41) al acestui regulament, este necesar ca o astfel de jurisprudență să fie clară și precisă, iar aplicarea ei să fie previzibilă pentru justițiabili, în conformitate cu jurisprudența Curții.
73
În plus, conform jurisprudenței amintite la punctul 67 din prezenta hotărâre, este necesar totodată ca această jurisprudență să constituie un temei juridic care să răspundă unui obiectiv de interes public, să fie proporțională cu el, iar prelucrarea în cauză să fie efectuată în limitele strictului necesar, aspect care trebuie verificat de instanța de trimitere [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C‑252/21, EU:C:2023:537, punctele 134 și 138).
74
Va reveni, așadar, acestei instanțe sarcina de a stabili, printre altele, dacă nu există măsuri care ar afecta mai puțin protecția datelor cu caracter personal confidențiale ale asociaților indirecți ai societăților în comandită cu subscriere publică, dar care ar permite asigurarea transparenței între asociații societăților de persoane, astfel cum pare să decurgă din dreptul german conform celor arătate la punctele 18-22 din prezenta hotărâre, decât obligația de a divulga aceste date către orice alt asociat care ar solicita acest lucru.
75
Având în vedere cele ce precedă, este necesar să se răspundă la întrebările adresate că articolul 6 alineatul (1) primul paragraf litera (b) din RGPD trebuie interpretat în sensul că o prelucrare de date cu caracter personal care constă în a divulga, la cererea unui asociat la un fond de investiții constituit sub forma unei societăți de persoane cu subscriere publică, informații cu privire la toți asociații care dețin, prin intermediul unor societăți fiduciare, participații indirecte la acest fond, indiferent de importanța participației lor la capitalul fondului menționat, pentru a‑i contacta și pentru a negocia cu aceștia răscumpărarea părților lor sociale sau chiar pentru a se coordona cu aceștia în vederea formării unei voințe comune în cadrul deciziilor asociaților nu poate fi considerată necesară, în sensul acestei dispoziții, pentru executarea contractului în temeiul căruia acești asociați au dobândit asemenea participații decât dacă acest tratament este în mod obiectiv indispensabil pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată acelorași asociați, astfel încât obiectul principal al contractului nu ar putea fi realizat în lipsa acestei prelucrări. Situația ar fi diferită dacă acest contract exclude în mod expres divulgarea acestor date cu caracter personal către alți deținători de participații.
76
Articolul 6 alineatul (1) primul paragraf litera (f) din RGPD trebuie interpretat în sensul că o asemenea prelucrare nu poate fi considerată necesară în scopul intereselor legitime urmărite de o parte terță în sensul acestei dispoziții decât dacă această prelucrare este strict necesară pentru realizarea unui astfel de interes legitim și dacă, raportat la ansamblul împrejurărilor relevante, interesele sau libertățile și drepturile fundamentale ale asociaților respectivi nu prevalează asupra acestui interes legitim.
77
Articolul 6 alineatul (1) primul paragraf litera (c) din RGPD trebuie interpretat în sensul că prelucrarea datelor cu caracter personal menționată este justificată în temeiul acestei dispoziții atunci când este necesară în vederea respectării unei obligații legale care îi revine operatorului în temeiul dreptului intern, astfel cum este identificat în jurisprudența acestui stat membru, cu condiția ca această jurisprudență să fie clară și precisă, aplicarea sa să fie previzibilă pentru justițiabili și să răspundă unui obiectiv de interes public și să fie proporțională cu acesta.
Cu privire la cheltuielile de judecată
78
Întrucât, în privința părților din litigiile principale, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.
Pentru aceste motive, Curtea (Camera a patra) declară:
1)
Articolul 6 alineatul (1) primul paragraf litera (b) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretat în sensul că
o prelucrare de date cu caracter personal care constă în a divulga, la cererea unui asociat la un fond de investiții constituit sub forma unei societăți de persoane cu subscriere publică, informații cu privire la toți asociații care dețin, prin intermediul unor societăți fiduciare, participații indirecte la acest fond, indiferent de importanța participației lor la capitalul fondului menționat, pentru a‑i contacta și pentru a negocia cu aceștia răscumpărarea părților lor sociale sau chiar pentru a se coordona cu aceștia în vederea formării unei voințe comune în cadrul deciziilor asociaților nu poate fi considerată necesară, în sensul acestei dispoziții, pentru executarea contractului în temeiul căruia acești asociați au dobândit asemenea participații decât dacă acest tratament este în mod obiectiv indispensabil pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată acelorași asociați, astfel încât obiectul principal al contractului nu ar putea fi realizat în lipsa acestei prelucrări. Situația ar fi diferită dacă acest contract exclude în mod expres divulgarea acestor date cu caracter personal către alți deținători de participații.
2)
Articolul 6 alineatul (1) primul paragraf litera (f) din Regulamentul 2016/679
trebuie interpretat în sensul că
o asemenea prelucrare nu poate fi considerată necesară în scopul intereselor legitime urmărite de o parte terță în sensul acestei dispoziții decât dacă această prelucrare este strict necesară pentru realizarea unui astfel de interes legitim și dacă, raportat la ansamblul împrejurărilor relevante, interesele sau libertățile și drepturile fundamentale ale asociaților respectivi nu prevalează asupra acestui interes legitim.
3)
Articolul 6 alineatul (1) primul paragraf litera (c) din Regulamentul 2016/679
trebuie interpretat în sensul că
prelucrarea datelor cu caracter personal menționată este justificată în temeiul acestei dispoziții atunci când este necesară în vederea respectării unei obligații legale care îi revine operatorului, în temeiul dreptului intern, astfel cum este identificat în jurisprudența acestui stat membru, cu condiția ca această jurisprudență să fie clară și precisă, aplicarea sa să fie previzibilă pentru justițiabili și să răspundă unui obiectiv de interes public și să fie proporțională cu acesta.
Semnături
(
*1
)	Limba de procedură: germana.