62023CJ0200_RES
Asunto C‑200/23
Agentsia po vpisvaniyata
contra
OL
(Petición de decisión prejudicial planteada por el Varhoven administrativen sad)
Sentencia del Tribunal de Justicia (Sala Primera) de 4 de octubre de 2024
«Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Publicación, en el Registro Mercantil, de un contrato de sociedad que contiene datos personales — Directiva (UE) 2017/1132 — Datos personales no obligatorios — Falta de consentimiento del interesado — Derecho de supresión — Daños y perjuicios inmateriales»
Libertad de establecimiento — Sociedades — Directiva (UE) 2017/1132 — Obligación de un Estado miembro de autorizar la publicación, en el Registro Mercantil, de un contrato de sociedad que contiene datos personales — Publicación de datos no exigida por el Derecho nacional — Inexistencia de obligación
[Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, art. 21, ap. 2]
(véanse los apartados 54, 55, 60 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Concepto de responsable del tratamiento — Concepto de destinatario de los datos — Autoridad responsable del Registro Mercantil de un Estado miembro que publica datos personales que figuran en un contrato de sociedad — Inclusión — Contrato que contiene datos personales no exigidos por la Directiva (UE) 2017/1132 ni por el Derecho nacional — Irrelevancia
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 4, puntos 7 y 9; Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo]
(véanse los apartados 66, 72 a 76, 83 y el punto 2 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Requisitos para la licitud de un tratamiento de datos personales — Tratamiento necesario para el cumplimiento de una obligación legal del responsable del tratamiento — Publicación de los datos personales incluidos en un contrato de sociedad — Datos personales no exigidos por la Directiva (UE) 2017/1132 ni por el Derecho nacional — Exclusión — Calificación de dicha publicación de tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos — Requisitos — Carácter necesario del tratamiento
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 6, ap. 1, párr. 1, letras c) y e); Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo]
(véanse los apartados 94 a 96, 105 a 112 y 114 a 116)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho de supresión — Alcance — Tratamiento ilícito de datos personales — Inclusión — Tratamiento lícito de datos personales — Tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos — Exclusión — Excepción — Existencia de motivos legítimos e imperiosos para el tratamiento que prevalecen sobre los intereses y los derechos y libertades del interesado — Carga de la prueba que incumbe al responsable del tratamiento
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 6, ap. 1, letra e), 17, ap. 1, letras c) y d), y 21, ap. 1]
(véanse los apartados 118 a 120)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho de supresión — Obligación de una autoridad nacional responsable del Registro Mercantil de un Estado miembro de denegar toda solicitud de supresión de los datos no ocultados — Datos personales no exigidos por la Directiva (UE) 2017/1132 ni por el Derecho nacional — Improcedencia
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 17; Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, art. 16]
(véanse los apartados 127 y el punto 3 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Concepto de datos personales — Firma manuscrita de una persona física — Inclusión
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 4, punto 1]
(véanse los apartados 131, 133 a 136 y el punto 4 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho a indemnización y responsabilidad — Derecho a indemnización por los daños y perjuicios sufridos — Daños y perjuicios inmateriales — Concepto — Pérdida de control sobre los datos personales — Inclusión — Requisitos — Carga de la prueba de los daños y perjuicios inmateriales que incumbe al interesado — Obligación de demostrar la existencia de consecuencias negativas tangibles adicionales — Inexistencia
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 82, ap. 1]
(véanse los apartados 140 a 146, 156 y el punto 5 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Derecho a indemnización y responsabilidad — Responsabilidad del responsable del tratamiento y obligación de reparar los daños y perjuicios sufridos por el interesado — Exención — Alcance — Emisión, por parte de una autoridad de control, de un dictamen consultivo sobre cuestiones relativas a la protección de datos facilitado al responsable del tratamiento — No aplicación de la exención de responsabilidad de una autoridad nacional que tiene la condición de responsable del tratamiento
[Reglamento(UE) 2016/679 del Parlamento Europeo y del Consejo, arts. 4, punto 7, 58, ap. 3, letra b), y 82, aps. 1 a 3]
(véanse los apartados 171, 172, 174 y 176 y el punto 6 del fallo)
Resumen
El Tribunal de Justicia, que conoce de una petición de decisión prejudicial planteada por el Varhoven administrativen sad (Tribunal Supremo de lo Contencioso-Administrativo, Bulgaria), se pronuncia sobre una serie de cuestiones relativas, en esencia, a la articulación entre las disposiciones del Derecho de la Unión Europea en materia de publicidad de los actos de las sociedades (
1
) y del RGPD. (
2
)
OL es socia de «Praven Shtit Konsulting» OOD, sociedad de responsabilidad limitada de Derecho búlgaro inscrita en el Registro Mercantil tras la presentación de un contrato de sociedad. Este contrato, hecho público por la Agentsia po vpisvaniyata (Agencia responsable de las inscripciones en los Registros, Bulgaria) (en lo sucesivo, «Agencia») tal como había sido presentado, contiene varios datos personales de los socios, incluidos sus nombres y apellidos, números de documento de identidad, direcciones y firmas.
En 2021, OL solicitó a la Agencia que suprimiera los datos personales que se referían a ella contenidos en dicho contrato. La negativa de la Agencia a acceder a su solicitud fue objeto de dos recursos interpuestos por OL ante el Administrativen sad Dobrich (Tribunal de lo Contencioso-Administrativo de Dobrich, Bulgaria). Mediante sentencia de 5 de mayo de 2022, este último condenó a la Agencia a indemnizar a OL por los daños y perjuicios inmateriales que había sufrido en virtud del RGPD. (
3
) Al no considerar satisfactoria esta sentencia, la Agencia interpuso recurso de casación ante el órgano jurisdiccional remitente.
Al albergar dudas sobre la conciliación que debe efectuarse entre la normativa relativa al derecho a la protección de los datos personales y la que garantiza la publicidad y el acceso a determinados actos de las sociedades, el órgano jurisdiccional remitente ha planteado una petición de decisión prejudicial al Tribunal de Justicia.
Apreciación del Tribunal de Justicia
En primer lugar, por lo que respecta al alcance de la publicación voluntaria de las indicaciones, incluidos los datos personales, que figuran en los actos de las sociedades, el Tribunal de Justicia señala que la disposición de la Directiva 2017/1132 relativa a la publicación voluntaria de los actos e indicaciones relativos a la sociedad (
4
) solo se refiere a las traducciones de estos, pero no a su contenido. Por consiguiente, dicha disposición no puede interpretarse en el sentido de que impone una obligación en lo que concierne a la publicidad de datos cuya publicidad no viene impuesta por otras disposiciones del Derecho de la Unión ni por el Derecho del Estado miembro de que se trate, pero que figuran en un acto que debe publicarse obligatoriamente con arreglo a dicha Directiva. (
5
) Así pues, esta disposición no impone a un Estado miembro la obligación de permitir la publicidad, en el Registro Mercantil, de un contrato de sociedad sujeto a la publicidad obligatoria prevista en dicha Directiva y que contenga datos personales distintos de los datos personales mínimos exigidos, cuya publicación no venga impuesta por el Derecho de dicho Estado miembro.
En segundo lugar, el Tribunal de Justicia señala que la autoridad encargada de llevar el Registro Mercantil de un Estado miembro que publica en dicho Registro los datos personales que figuran en un contrato de sociedad sujeto a la publicidad obligatoria prevista en la Directiva 2017/1132 y que se le han transmitido en el marco de una solicitud de inscripción de la sociedad en dicho Registro, es tanto «destinataria» de esos datos como, en particular, en la medida en que los pone a disposición del público, «responsable del tratamiento» de dichos datos, (
6
) aun cuando dicho contrato contenga datos no exigidos por la citada Directiva o por el Derecho de ese Estado miembro.
En este contexto, el Tribunal de Justicia observa que, en virtud de la Directiva 2017/1132, corresponde a los Estados miembros determinar, entre otros elementos, qué categorías de información relativa a la identidad de las personas vinculadas a las sociedades y, en particular, qué tipos de datos personales, son objeto de publicidad obligatoria, de conformidad con el Derecho de la Unión.
El Tribunal de Justicia señala asimismo que, al transcribir y conservar datos personales recibidos en el marco de una solicitud de inscripción de una sociedad en el Registro Mercantil de un Estado miembro, comunicándolos, en su caso, previa solicitud, a terceros y publicándolos en el diario oficial nacional, o mediante una medida de efecto equivalente, la autoridad encargada de llevar ese Registro lleva a cabo tratamientos de datos personales respecto de los cuales tiene la consideración de «responsable del tratamiento». En efecto, estos tratamientos de datos personales son distintos y posteriores a la comunicación de los datos personales efectuada por el solicitante de dicha inscripción y recibida por esa autoridad. Además, esta última lleva a cabo por sí sola dichos tratamientos, de conformidad con los fines y procedimientos establecidos en la Directiva 2017/1132 y en la legislación del Estado miembro mediante la que se aplica dicha Directiva.
En tercer lugar, por lo que respecta al eventual derecho de supresión de que dispone el interesado, (
7
) el Tribunal de Justicia procede, en un primer momento, al examen de los motivos de licitud que pueden justificar el tratamiento de sus datos personales.
Por una parte, por lo que respecta a la cuestión de si dicho tratamiento es necesario para el cumplimiento de una obligación legal derivada del Derecho de la Unión o del Derecho del Estado miembro aplicable al responsable del tratamiento, (
8
) el Tribunal de Justicia señala que la Directiva 2017/1132 no impone el tratamiento sistemático de cualquier dato personal contenido en un acto sujeto a la publicidad obligatoria prevista en dicha Directiva. Por el contrario, todo tratamiento de datos personales efectuado en el marco de esta Directiva debe cumplir plenamente las exigencias derivadas del RGPD. Así pues, incumbe a los Estados miembros velar por conciliar los objetivos de seguridad jurídica y de protección de los intereses de terceros, perseguidos por la Directiva 2017/1132, y los derechos consagrados por el RGPD.
Por consiguiente, no puede considerarse que la puesta a disposición del público, en línea, en el Registro Mercantil, de datos personales no exigidos por la Directiva 2017/1132 o por la legislación nacional controvertida en el litigio principal que figuren en un contrato de sociedad sujeto a la publicidad obligatoria prevista en dicha Directiva y transmitido a la Agencia esté justificada por la exigencia de garantizar la publicidad de los actos a que se refiere dicha Directiva y que, por tanto, resulte de una obligación legal establecida en el Derecho de la Unión. Además, la licitud del tratamiento de que se trata tampoco parece basarse, sin perjuicio de la comprobación que realice el órgano jurisdiccional remitente, en una obligación legal establecida por el Derecho nacional.
Por otra parte, en cuanto a la necesidad del tratamiento en cuestión para el cumplimiento de una misión realizada en interés público, (
9
) el Tribunal de Justicia observa que parece ciertamente que dicho tratamiento se realiza con ocasión de tal misión. Sin embargo, parece ir más allá de lo necesario para alcanzar los objetivos de interés general perseguidos.
A este respecto, el Tribunal de Justicia señala que la exigencia de preservar la integridad y la fiabilidad de los actos de las sociedades sujetos a la publicidad obligatoria prevista en la Directiva 2017/1132, que exige la publicación de dichos actos tal como han sido transmitidos a las autoridades encargadas de llevar el Registro Mercantil, no puede prevalecer sistemáticamente sobre el derecho a la protección de los datos personales, so pena de hacer ilusoria su protección. En particular, esta exigencia no puede obligar a mantener a disposición del público, en línea, en ese Registro, datos personales no exigidos por esa Directiva o por el Derecho nacional, cuando la propia Agencia podría elaborar una copia expurgada de los datos no exigidos del acto de la sociedad de que se trate, previsto por ese Derecho, para esa puesta a disposición.
En un segundo momento, el Tribunal de Justicia subraya que, en el supuesto de que el órgano jurisdiccional remitente debiera concluir, al término de su apreciación, que el tratamiento en cuestión es ilícito, incumbiría a la Agencia, como responsable del tratamiento, suprimir los datos de que se trata sin dilación.
No obstante, si dicho órgano jurisdiccional hubiera de concluir que dicho tratamiento es efectivamente necesario para el cumplimiento de una misión de interés público, en particular en la medida en que la puesta a disposición del público en línea, en el Registro Mercantil, de datos no exigidos por la Directiva 2017/1132 o por la legislación nacional era necesaria para no retrasar la inscripción de la sociedad en cuestión, en interés de la protección de terceros, debería examinarse si existen motivos legítimos imperiosos que puedan prevalecer sobre los intereses, los derechos y las libertades del interesado y oponerse a la solicitud de supresión. (
10
)
Así pues, el Tribunal de Justicia declara que la Directiva 2017/1132 y el RGPD deben interpretarse en el sentido de que se oponen a una normativa o a una práctica de un Estado miembro que lleve a la autoridad encargada de llevar el Registro Mercantil de ese Estado miembro a denegar toda solicitud de supresión de los datos personales, no exigidos por esta Directiva ni por el Derecho de ese Estado miembro, que figuren en un contrato de sociedad publicado en ese Registro, cuando no se haya facilitado a dicha autoridad una copia de ese contrato en la que se oculten los referidos datos, contrariamente a las normas de procedimiento establecidas en dicha normativa.
En último lugar, pronunciándose sobre el régimen de responsabilidad en virtud del RGPD y, más concretamente, sobre el impacto, en este contexto, de un dictamen emitido por la autoridad de control de un Estado miembro, el Tribunal de Justicia subraya que, en virtud del RGPD, (
11
) la emisión de tal dictamen forma parte de los poderes consultivos y no de los poderes de autorización de la autoridad de control. Además, los términos empleados indican que este dictamen no es jurídicamente vinculante en virtud del Derecho de la Unión. Así pues, el dictamen de que se trata no puede demostrar, en sí mismo, que los daños y perjuicios no son imputables al responsable del tratamiento ni basta, por tanto, para eximir a este de responsabilidad en virtud del RGPD. Por consiguiente, tal dictamen no basta para eximir de responsabilidad a la autoridad encargada de llevar el Registro Mercantil de un Estado miembro que tenga la condición de responsable del tratamiento.
(
1
)	Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, de 14 de junio de 2017, sobre determinados aspectos del Derecho de sociedades (DO 2017, L 169, p. 46).
(
2
)	Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo «RGPD»)
(
3
)	En virtud del artículo 82 del RGPD.
(
4
)	Artículo 21, apartado 2, de la Directiva 2017/1132.
(
5
)	En virtud del artículo 14 de la Directiva 2017/1132.
(
6
)	Respectivamente, en el sentido del artículo 4, punto 7, y del artículo 4, punto 9, del RGPD.
(
7
)	En virtud del artículo 17 del RGPD.
(
8
)	Motivo de licitud que figura en el artículo 6, apartado 1, párrafo primero, letra c), del RGPD.
(
9
)	Motivo de licitud que figura en el artículo 6, apartado 1, párrafo primero, letra e), del RGPD.
(
10
)	En virtud del artículo 17, apartado 1, letra c), del RGPD en relación con el artículo 21, apartado 1, de dicho Reglamento.
(
11
)	Artículo 58, apartado 3, letra b), del RGPD.