62023CJ0200_RES
Cauza C‑200/23
Agentsia po vpisvaniyata
împotriva
OL
(cerere de decizie preliminară formulată de Varhoven administrativen sad)
Hotărârea Curții (Camera întâi) din 4 octombrie 2024
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Publicarea în registrul comerțului a unui contract de societate care conține date cu caracter personal – Directiva (UE) 2017/1132 – Date cu caracter personal neobligatorii – Lipsa consimțământului persoanei vizate – Dreptul la ștergerea datelor – Prejudiciu moral”
Libertatea de stabilire – Societăți – Directiva 2017/1132 – Obligația unui stat membru de a autoriza publicitatea, în registrul comerțului, a unui contract de societate care conține date cu caracter personal – Publicare a datelor neimpusă de dreptul național – Lipsa obligației
[Directiva 2017/1132 a Parlamentului European și a Consiliului, art. 21 alin. (2)]
(a se vedea punctele 54, 55 și 60 și dispozitiv 1)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Noțiunea de operator – Noțiunea de destinatar al datelor – Autoritate responsabilă de registrul comerțului dintr‑un stat membru care efectuează publicarea datelor cu caracter personal cuprinse într‑un contract de societate – Includere – Contract ce conține date cu caracter personal neimpuse nici de Directiva 2017/1132, nici de dreptul național – Lipsa incidenței
(Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 4 pct. 7 și 9; Directiva 2017/1132 a Parlamentului European și a Consiliului)
(a se vedea punctele 66, 72-76 și 83 și dispozitiv 2)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Condiții de legalitate a unei prelucrări de date cu caracter personal – Prelucrare necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului – Publicarea datelor cu caracter personal cuprinse într‑un contract de societate – Date cu caracter personal neimpuse nici de Directiva 2017/1132, nici de dreptul național – Excludere – Calificarea acestei publicări drept prelucrare necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice – Condiții – Caracterul necesar al prelucrării
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 6 alin. (1) primul paragraf lit. (c) și (e); Directiva 2017/1132 a Parlamentului European și a Consiliului]
(a se vedea punctele 94-96, 105-112 și 114-116)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la ștergerea datelor – Domeniu de aplicare – Prelucrare ilegală a datelor cu caracter personal – Includere – Prelucrare legală a datelor cu caracter personal – Prelucrare necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice – Excludere – Excepție – Existența unor motive legitime și imperioase care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate – Sarcina probei care revine operatorului
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 6 alin. (1) lit. (e), art. 17 alin. (1) lit. (c) și (d) și art. 21 alin. (1)]
(a se vedea punctele 118-120)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la ștergerea datelor – Obligația unei autorități naționale responsabile de registrul comerțului dintr‑un stat membru de a refuza orice cerere de ștergere a datelor neocultate – Date cu caracter personal neimpuse nici de Directiva 2017/1132, nici de dreptul național – Inadmisibilitate
(Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 17; Directiva 2017/1132 a Parlamentului European și a Consiliului, art. 16)
(a se vedea punctul 127 și dispozitiv 3)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Noțiunea de date cu caracter personal – Semnătura olografă a unei persoane fizice – Includere
(Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 4 pct. 1)
(a se vedea punctele 131 și 133-136 și dispozitiv 4)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la despăgubiri și răspunderea – Dreptul la despăgubiri pentru prejudiciul suferit – Prejudiciu moral – Noțiune – Pierderea controlului asupra datelor cu caracter personal – Includere – Condiții – Sarcina probei prejudiciului moral care revine persoanei vizate – Obligația de a demonstra existența unor consecințe negative concrete suplimentare – Inexistență
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 82 alin. (1)]
(a se vedea punctele 140-146 și 156 și dispozitiv 5)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la despăgubiri și răspunderea – Răspunderea operatorului și obligația de a repara prejudiciul suferit de o persoană vizată – Exonerare – Domeniu de aplicare – Emiterea, de către o autoritate de supraveghere, a unui aviz consultativ privind aspecte referitoare la protecția datelor, furnizat operatorului – Neaplicarea exonerării de răspundere a unei autorități naționale care are calitatea de operator
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 4 pct.7, art. 58 alin. (3) lit. (b) și art. 83 alin. (1)-(3)]
(a se vedea punctele 171, 172, 174 și 176 și dispozitiv 6)
Rezumat
Sesizată cu titlu preliminar de Varhoven administrativen sad (Curtea Administrativă Supremă, Bulgaria), Curtea se pronunță cu privire la o serie de întrebări privind în esență legătura dintre dispozițiile dreptului Uniunii Europene în materie de publicitate a actelor societăților (
1
) și RGPD (
2
).
OL este asociată a „Praven Shtit Konsulting” OOD, o societate cu răspundere limitată de drept bulgar înregistrată în registrul comerțului ca urmare a prezentării unui contract de societate. Acest contract, făcut public de Agentsia po vpisvaniyata (Agenția pentru Înregistrări, Bulgaria) (denumită în continuare „agenția”), astfel cum fusese prezentat, conține mai multe date cu caracter personal ale asociaților, inclusiv numele, prenumele, numerele cărților de identitate, adresele și semnăturile.
În anul 2021, OL a solicitat agenției să radieze datele personale care o privesc cuprinse în acest contract. Refuzul acestei agenții de a da curs cererii a făcut obiectul a două acțiuni introduse de OL la Administrativen sad Dobrich (Tribunalul Administrativ din Dobrich, Bulgaria). Prin hotărârea din 5 mai 2022, această din urmă instanță a obligat agenția să îi plătească lui OL o despăgubire pentru prejudiciu moral în temeiul RGPD (
3
). Nefiind mulțumită de această hotărâre, agenția a formulat recurs la instanța de trimitere.
Ridicând problema concilierii care trebuie efectuată între reglementarea privind dreptul la protecția datelor cu caracter personal și cea care garantează publicitatea și accesul la anumite acte ale societăților, instanța de trimitere a sesizat Curtea cu titlu preliminar.
Aprecierea Curții
În primul rând, în ceea ce privește domeniul de aplicare al publicității voluntare a informațiilor, inclusiv a datelor cu caracter personal care figurează în actele societăților, Curtea arată că dispoziția din Directiva 2017/1132 care vizează publicitatea voluntară a actelor și a informațiilor referitoare la societate (
4
) nu privește decât traducerile acestora, fără a se referi însă la conținutul lor. Prin urmare, aceasta nu ar putea fi interpretată ca impunând vreo obligație privind publicitatea datelor cu caracter personal a căror publicitate nu este impusă nici de alte dispoziții ale dreptului Uniunii, nici de dreptul statului membru în cauză, dar care figurează într‑un act supus publicității obligatorii prevăzute de respectiva directivă (
5
). Astfel, această dispoziție nu impune unui stat membru o obligație de a autoriza publicitatea, în registrul comerțului, a unui contract de societate supus publicității obligatorii prevăzute de această directivă și care conține alte date cu caracter personal decât datele minime cu caracter personal impuse, a căror publicare nu este obligatorie potrivit dreptului acestui stat membru.
În al doilea rând, Curtea precizează că autoritatea însărcinată cu ținerea registrului comerțului unui stat membru care publică în acesta datele cu caracter personal care figurează într‑un contract de societate supus publicității obligatorii prevăzute de Directiva 2017/1132 și transmis în cadrul unei cereri de înscriere a societății în acest registru este atât „destinatar” al acestor date, cât și, în special prin faptul că le pune la dispoziția publicului, „operator” al datelor menționate (
6
), chiar și atunci când acest contract conține date cu caracter personal neimpuse de această directivă sau de dreptul statului membru respectiv.
În acest context, Curtea observă că, în temeiul Directivei 2017/1132, revine statelor membre sarcina de a stabili printre altele ce categorii de informații referitoare la identitatea persoanelor legate de societăți și în special ce tipuri de date cu caracter personal fac obiectul unei publicități obligatorii, cu respectarea dreptului Uniunii.
Curtea precizează de asemenea că, prin transcrierea și stocarea datelor cu caracter personal primite în cadrul unei cereri de înscriere a unei societăți în registrul comerțului al unui stat membru, prin comunicarea acestora, dacă este cazul, la cererea unor terți și prin publicarea lor în buletinul național sau printr‑o măsură cu efect echivalent, autoritatea însărcinată cu ținerea acestui registru efectuează prelucrarea datelor cu caracter personal pentru care este „operator”. Astfel, aceste prelucrări ale datelor cu caracter personal sunt distincte și ulterioare comunicării datelor cu caracter personal efectuate de solicitantul acestei înscrieri și primite de această autoritate. În plus, aceasta din urmă efectuează singură respectivele prelucrări, în conformitate cu scopurile și cu modalitățile stabilite de Directiva 2017/1132 și de legislația statului membru de punere în aplicare a acestei directive.
În al treilea rând, în ceea ce privește eventualul drept la ștergerea datelor de care ar dispune persoana vizată (
7
), Curtea examinează, într‑o primă etapă, motivele legalității de care poate ține prelucrarea datelor sale cu caracter personal.
Pe de o parte, în ceea ce privește aspectul dacă această prelucrare este necesară pentru îndeplinirea unei obligații legale care decurge din dreptul Uniunii sau din dreptul statului membru care îi revine operatorului (
8
), Curtea arată că Directiva 2017/1132 nu impune prelucrarea sistematică a oricăror date cu caracter personal cuprinse într‑un act care face obiectul publicității obligatorii prevăzute de această directivă. Dimpotrivă, orice prelucrare a datelor cu caracter personal efectuată în cadrul acestei directive trebuie să îndeplinească pe deplin cerințele care decurg din RGPD. Astfel, revine statelor membre sarcina de a asigura concilierea obiectivelor de securitate juridică și de protecție a intereselor terților, urmărite de Directiva 2017/1132, și a drepturilor consacrate de RGPD.
Prin urmare, nu se poate considera că punerea la dispoziția publicului online, în registrul comerțului, a unor date cu caracter personal neimpuse de Directiva 2017/1132 sau de legislația națională în discuție în litigiul principal, care figurează într‑un contract de societate supus publicității obligatorii prevăzute de această directivă și transmis agenției, este justificată de cerința de a asigura publicitatea actelor prevăzute de directiva menționată și că, prin urmare, aceasta rezultă dintr‑o obligație legală prevăzută de dreptul Uniunii. În plus, legalitatea prelucrării în cauză nu pare să se întemeieze, sub rezerva verificării de către instanța de trimitere, nici pe o obligație legală prevăzută de dreptul național.
Pe de altă parte, în ceea ce privește necesitatea prelucrării în cauză pentru îndeplinirea unei sarcini care servește unui interes public (
9
), Curtea observă că această prelucrare pare, desigur, realizată cu ocazia îndeplinirii unei asemenea sarcini. Totuși, aceasta pare să depășească ceea ce este necesar pentru realizarea obiectivelor de interes general urmărite.
În această privință, Curtea arată că cerința de a menține integritatea și fiabilitatea actelor societăților supuse publicității obligatorii prevăzute de Directiva 2017/1132, care ar impune publicarea acestor acte astfel cum au fost transmise autorităților însărcinate cu ținerea registrului comerțului, nu poate prevala în mod sistematic asupra dreptului la protecția datelor cu caracter personal, în caz contrar protecția sa devenind iluzorie. În special, această cerință nu poate impune menținerea la dispoziția publicului online, în acest registru, a unor date cu caracter personal neimpuse de directiva menționată sau de dreptul național, în condițiile în care agenția ar putea întocmi ea însăși o copie epurată de datele neimpuse a actului societății în cauză, prevăzută de acest drept, în vederea acestei puneri la dispoziție.
Într‑o a doua etapă, Curtea subliniază că, în ipoteza în care instanța de trimitere ar constata, în urma aprecierii sale, caracterul ilegal al prelucrării în cauză, ar reveni agenției, în calitate de operator, sarcina de a șterge datele în cauză fără întârzieri nejustificate.
Totuși, în cazul în care această instanță ar concluziona că prelucrarea respectivă este efectiv necesară pentru îndeplinirea unei sarcini care servește unui interes public, în special în măsura în care punerea la dispoziția publicului online, în registrul comerțului, a unor date neimpuse de Directiva 2017/1132 sau de legislația națională era necesară pentru a evita întârzierea înscrierii societății respective, în interesul protecției terților, ar trebui să se examineze existența unor motive legitime imperioase susceptibile să prevaleze asupra intereselor, drepturilor și libertăților persoanei vizate și să se opună cererii de ștergere (
10
).
Astfel, Curtea constată că Directiva 2017/1132 și RGPD trebuie interpretate în sensul că se opun unei reglementări sau unei practici a unui stat membru care conduce autoritatea însărcinată cu ținerea registrului comerțului din acest stat membru să refuze orice cerere de ștergere a datelor cu caracter personal neimpuse de această directivă sau de dreptul acelui stat membru, care figurează într‑un contract de societate publicat în acest registru, atunci când o copie a acestui contract care ocultează datele respective nu a fost furnizată acestei autorități, contrar modalităților procedurale prevăzute de această reglementare.
În ultimul rând, pronunțându‑se cu privire la regimul de răspundere în temeiul RGPD și, mai concret, cu privire la impactul, în acest cadru, al unui aviz emis de autoritatea de supraveghere a unui stat membru, Curtea subliniază că, în temeiul RGPD (
11
), emiterea unui astfel de aviz ține de competențele de consiliere, iar nu de competențele de autorizare ale autorității de supraveghere. În plus, termenii utilizați indică faptul că acest aviz nu este, în temeiul dreptului Uniunii, obligatoriu din punct de vedere juridic. Astfel, avizul în cauză nu poate demonstra, în sine, o lipsă a imputabilității prejudiciului chiar în sarcina operatorului și nici nu poate fi, prin urmare, suficient pentru a‑l exonera de răspundere în temeiul RGPD. În consecință, un astfel de aviz nu este suficient pentru a exonera de răspundere autoritatea însărcinată cu ținerea registrului comerțului dintr‑un stat membru care are calitatea de operator.
(
1
)	Directiva (UE) 2017/1132 a Parlamentului European și a Consiliului din 14 iunie 2017 privind anumite aspecte ale dreptului societăților comerciale (JO 2017, L 169, p. 46).
(
2
)	Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).
(
3
)	În temeiul articolului 82 din RGPD.
(
4
)	Articolul 21 alineatul (2) din Directiva 2017/1132.
(
5
)	În temeiul articolului 14 din Directiva 2017/1132.
(
6
)	În sensul articolului 4 punctul 7 și, respectiv, al articolului 4 punctul 9 din RGPD.
(
7
)	În temeiul articolului 17 din RGPD.
(
8
)	Motiv de legalitate care figurează la articolul 6 alineatul (1) primul paragraf litera (c) din RGPD.
(
9
)	Motiv de legalitate prevăzut la articolul 6 alineatul (1) primul paragraf litera (e) din RGPD.
(
10
)	În temeiul articolului 17 alineatul (1) litera (c) coroborat cu articolul 21 alineatul (1) din RGPD.
(
11
)	Articolul 58 alineatul (3) litera (b) din RGPD.