Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
R. NORKUS
fremsat den 18. december 2025 (1)
Sag C-798/24 [Jautiva] (i)
A m.fl.
procesdeltager:
Latvijas Republikas Saeima
(anmodning om præjudiciel afgørelse indgivet af Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol))
» Præjudiciel forelæggelse – direktiv (EU) 2017/1132 – selskabsret – artikel
14, litra d), nr. ii) – fortolkning af begrebet »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet« – forpligtelse i henhold til national ret til at stille specifikke oplysninger om alle aktionærer i et aktieselskab
til rådighed – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – artikel
7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder – forordning (EU) 2016/679 – artikel
5 – principper for behandling af personoplysninger – artikel
6 – lovlig behandling – proportionalitetsprincippet «
I.      Indledning
1.        Den foreliggende anmodning om præjudiciel afgørelse indgivet af Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) (2) vedrører forpligtelsen i henhold til lettisk ret til at stille visse specifikke oplysninger om aktionærerne (3) i aktieselskaber (4) stiftet i henhold til lettisk ret til rådighed for offentligheden. De omhandlede oplysninger kan tilgås på selskabsregistrets websted af »uidentificerede brugere« (5). Der er således ikke noget krav om, at den enkelte borger skal kunne påvise en legitim interesse i at få adgang til sådanne oplysninger.
2.        Den forelæggende ret ønsker oplyst, om forpligtelsen til at stille de omhandlede oplysninger til rådighed er påkrævet i henhold til EU-retten. Den forelæggende ret ønsker således oplyst, om begrebet personer, der »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet« i artikel
14, litra
d), nr. ii), i Europa-Parlamentets og Rådets direktiv (EU) 2017/1132 af 14. juni 2017 om visse aspekter af selskabsretten (6) omfatter enhver aktionær i et aktieselskab, og om en medlemsstat er forpligtet til at stille specifikke oplysninger om alle aktionærer i et sådant selskab til rådighed for offentligheden i henhold til dette direktivs artikel
16, stk. 3. Såfremt sådanne oplysninger skal offentliggøres i henhold til direktiv 2017/1132, ønsker den forelæggende ret oplyst, om dette direktivs artikel
14, litra
d), nr. ii), er gyldig, henset til retten til respekt for privatliv og familieliv, der er sikret ved artikel
7 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«), og retten til beskyttelse af personoplysninger, der er sikret ved chartrets artikel
8.
3.        Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) ønsker ligeledes oplyst, om artikel
5, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (7) (herefter »databeskyttelsesforordningen«) skal fortolkes således, at denne bestemmelse tillader, at sådanne oplysninger gøres tilgængelige for offentligheden, uden at det kræves, at der godtgøres en legitim interesse i at få adgang til disse oplysninger, med henblik på at sikre visse formål, nemlig: i) at sikre et gennemsigtigt erhvervsklima og beskytte tredjemands interesser, ii) at forebygge hvidvask og finansiering af terrorisme og spredning (8) og iii) at tilvejebringe de oplysninger, der er nødvendige for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner. I denne henseende ønsker den forelæggende ret oplyst, om disse formål med rimelighed kan nås lige så effektivt i overensstemmelse med den procedure, der er fastsat i lettisk ret, for anmodning om oplysninger, som er underlagt begrænsninger (9).
4.        Den forelæggende ret ønsker endvidere oplyst, om ræsonnementet i dommen i sagen Luxembourg Business Registers (10) – hvori Domstolen fastslog, at det EU-retlige krav om, at medlemsstaterne sikrer, at oplysninger om de reelle ejere af selskaber og andre juridiske enheder, der er etableret på deres område, i alle tilfælde er tilgængelige for ethvert medlem af offentligheden, er ulovlig – kan overføres til offentliggørelse af oplysninger om alle aktionærerne i et aktieselskab, uanset det faktum at omfanget af oplysninger og formålet med offentliggørelsen adskiller sig i de to situationer.
II.    Retsforskrifter
A.      EU-retten
5.        Chartrets artikel 7, artikel 8 og artikel 52, stk. 1, tredje, syvende og ottende betragtning til samt artikel 14 og 16 i direktiv 2017/1132 og databeskyttelsesforordningens artikel 5 og 6 er særligt relevante i den foreliggende sag.
B.      Lettisk ret
6.        Artikel
8 i Komerclikums (handelsloven) (11) har overskriften »Indholdet af indførelser i handelsregistret«. Artikel 8, stk. 3, nr. 3 og 4, bestemmer:
»Stk. 3.      Oplysninger om et kapitalselskab, der skal registreres i handelsregistret, er anført nedenfor:
[…]
3)      fornavn, efternavn, personnummer (hvis der ikke findes et personnummer, fødselsdato, identifikationsdokumentets nummer og udstedelsesdato, det land og den myndighed, der har udstedt dette dokument) og den stilling, som varetages af kapitalselskabets bestyrelsesmedlemmer og medlemmerne af styrelseskomitéen (hvis kapitalselskabet har en sådan komité)
4)      bestyrelsesmedlemmernes beføjelse til at forpligte selskabet individuelt eller i fællesskab
[…]«
7.        Handelslovens artikel
12 med overskriften »Offentliggørelse i handelsregistret« fastsætter følgende:
»1)      Indførelser i handelsregistret har virkning over for tredjemand, så snart de er offentliggjort. […]
[…]«
8.        Handelslovens artikel
235 med overskriften »Oplysninger, der skal indføres i aktionærregistret« fastslår følgende:
»1)      Hver registrering i aktionærregistret skal omfatte selskabets navn, registreringsnummer, officielle adresse og, hvis det er relevant, oplysninger om, hvorvidt selskabet er under likvidation eller insolvensbehandling, samt titlen på dokumentet »Indførelse i aktionærregistret« og skal indeholde følgende oplysninger:
1)      referencenummer og indførelsesdato
2)      registreringens referencenummer under brug af fortløbende nummerering fra den første indførelse i aktionærregistret
3)      de referencenumre, der er knyttet til aktierne
4)      oplysninger om aktionærerne
a)      for fysiske personer fornavn, efternavn, personnummer (i fraværet af et personnummer da fødselsdato, nummeret og datoen for udstedelsen af identitetsdokumentet, det land og den myndighed, som har udstedt dette dokument) og den adresse, hvor personen kan kontaktes
b)      for juridiske personer og partnerskaber navn, registreringsnummer og forretningsadresse
5)      aktionærens e-mailadresse, hvis aktionæren har anmodet om, at den anvendes af selskabet til at kommunikere med vedkommende
6)      klasse, antal og pålydende værdi af hver aktionærs aktier samt det hertil knyttede antal stemmer
7)      status vedrørende betalingen af aktier
8)      den fælles repræsentant for aktionærerne, der er udpeget efter proceduren i artikel 157 i denne lov, med angivelse af de oplysninger, der er omhandlet i nærværende artikels stk. 1, nr. 4 og 5
9)      oplysninger om de aktier, som selskabet selv har erhvervet, med angivelse af årsagerne til deres erhvervelse.
[…]«
9.        Artikel 4.10, stk. 5, artikel 4.11, stk. 1, nr. 2, artikel 4.15, stk. 1, nr. 2, litra b), og artikel 4.15, stk. 1, nr. 3, litra a), samt artikel 4.15, stk. 2-4, i likums »Par Latvijas Republikas Uzņēmumu reģistru« (lov om Republikken Letlands selskabsregister) (12) (herefter »lov om selskabsregistret«) bestemmer:
»Artikel 4.10      Ret til adgang til oplysninger i selskabsregistret
Selskabsregistret stiller gratis oplysninger og dokumenter i den offentlige del af registeraktmappen til rådighed (artikel
4.15, stk. 1) ved online dataoverførsel (herunder massedownload).
[…]
Artikel 4.11      Oplysninger, der skal offentliggøres på selskabsregistrets
websted
Selskabsregistret sikrer, at en uidentificeret bruger har offentlig adgang til følgende aktuelle (ajourførte) oplysninger på dets websted om juridiske personer og retlige forhold, der er registreret i de registre, som vedligeholdes af selskabsregistret:
[…]
2)      andre oplysninger, der er registreret i registret.
[…]
Artikel 4.15      Offentlige og ikke-offentlige dele af registeraktmappen
Den offentlige del af registeraktmappen omfatter:
[…]
2)      andre oplysninger, der er indført i registret:
[…]
b)      oplysninger fra indførelsen i aktionærregistret (selskabsdeltagere) i et kapitalselskab vedrørende aktionærerne (selskabsdeltagerne) i dette selskab [...]
[...]
3)      følgende dokumenter, der indgår i registeraktmappen:
a)      i selskabsregistret – [...] indførelsen i aktionærregistret (selskabsdeltagere), [...]
[...]
De dokumenter og oplysninger, som indgår i registeraktmappen, og som der ikke er henvist til i denne artikels første stykke, medtages i den ikke-offentlige del af registeraktmappen.
Hvis en indførelse i registret eller registrerede oplysninger har fået status af at være oplysninger, som er underlagt begrænsninger, eller offentlighedens adgang til dem er blevet begrænset ved lov, medtages de i den ikke-offentlige del af registeraktmappen.
Oplysningerne og dokumenterne i den ikke-offentlige del af registeraktmappen (denne artikels stk. 2 og 3) er oplysninger, som er underlagt begrænsninger, og retshåndhævende myndigheder kan få adgang til disse med henblik på udførelsen de opgaver, der er fastsat i love og administrative bestemmelser, samt uden begrænsninger Finanšu izlūkošanas dienests [(den finansielle efterretningstjeneste, Letland)] og tilsyns- og kontrolmyndigheder inden for forebyggelse af hvidvask og finansiering af terrorisme og nuklear spredning, mens andre myndigheder skal indgive en begrundet anmodning. Enkeltpersoner skal anmode om adgang til oplysningerne og dokumenterne i den ikke-offentlige del af registeraktmappen i overensstemmelse med den procedure for anmodning om adgang til oplysninger, som er underlagt begrænsninger, der er fastsat i Informācijas atklātības likums [(lov om informationsfrihed)].«
III. Tvisten i hovedsagen og de præjudicielle spørgsmål
10.      Sagsøgerne i sagen ved Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) er 17 mindretalsaktionærer i et aktieselskab. De er af den opfattelse, at artikel
4.15, stk. 1, nr. 2, litra b), i lov om selskabsregistret (herefter »den omtvistede bestemmelse«) er uforenelig med artikel
96 i Latvijas Republikas Satversme (Republikken Letlands forfatning, herefter »den lettiske forfatning«), som bestemmer, at »enhver har ret til ukrænkelighed af sit privatliv, sit hjem og sin korrespondance«.
11.      Sagsøgerne har gjort gældende, at den lettiske lovgiver har forsømt at vurdere og begrunde nødvendigheden af at offentliggøre oplysninger om aktionærer og behandle dem som almindeligt tilgængelige oplysninger. Når oplysningerne er gjort tilgængelige for offentligheden, er der ingen begrænsninger for deres videre anvendelse. Der er derfor en høj risiko for, at de pågældende oplysninger vil blive anvendt til uhæderlige formål såsom pengeafpresning eller andre former for afpresning. Ifølge sagsøgerne skal spørgsmålet om, hvorvidt den omtvistede bestemmelse er i overensstemmelse med forfatningen, vurderes i lyset af dommen i sagen Luxembourg Business Registers, som vedrørte tilrådighedsstillelse for offentligheden af oplysninger om de reelle ejere af selskaber. Eftersom Domstolen i denne sag fandt, at lignende oplysninger om reelt ejerskab ikke burde offentliggøres, er det endnu mere uberettiget og uforholdsmæssigt at stille personoplysninger om aktionærer til rådighed for offentligheden. Sagsøgerne er som mindretalsaktionærer hverken de reelle ejere af aktieselskabet eller de personer, der er ansvarlige for dets udøvende organ eller ledelsesorgan. De har hverken ret til eller mulighed for at udøve kontrol med dette selskab.
12.      Saeima (det lettiske parlament) har gjort gældende, at den omtvistede bestemmelse er i overensstemmelse med den lettiske forfatnings artikel 96. Det er af den opfattelse, at begrænsningen af de grundlæggende rettigheder er legitim med henblik på at sikre et gennemsigtigt erhvervsklima og beskytte tredjemands interesser, bekæmpe hvidvask og finansiering af terrorisme og nuklear spredning og gøre det muligt for alle at opfylde deres forpligtelser i henhold til Starptautisko un Latvijas Republikas nacionālo sankciju likums (Republikken Letlands lov om internationale og nationale sanktioner). For at opfylde disse formål er det nødvendigt at stille de pågældende oplysninger til rådighed for alle uden forsinkelse og uden at pålægge en forpligtelse til at godtgøre en legitim interesse i at anmode om sådanne oplysninger. Begrundelsen i dommen i sagen Luxembourg Business Registers, som kun vedrørte ét legitimt formål, nemlig forebyggelse af hvidvask og finansiering af terrorisme, kan ikke overføres på den foreliggende sag, eftersom den omhandlede lettiske lovgivning tager sigte på at opfylde en række legitime formål, som begrunder en begrænsning af de grundlæggende rettigheder.
13.      Datu valsts inspekcija (det nationale agentur for databeskyttelse, Letland), som har interveneret som amicus curiae i hovedsagen, er af den opfattelse, at lov om selskabsregistret, i strid med det gennemsigtighedsprincip, der er fastsat i databeskyttelsesforordningen, ikke identificerer et specifikt formål, hvortil behandlingen af personoplysninger om aktionærerne i et aktieselskab er nødvendig. Omfanget af de behandlede oplysninger og spørgsmålet om, hvorvidt formålet med behandlingen af oplysninger ikke kan nås med en mindre omfattende behandling af oplysninger, skal vurderes i lyset af princippet om dataminimering. Uden et specifikt angivet formål er det ikke muligt at vurdere, om omfanget af behandlingen af personoplysninger er forholdsmæssigt. Princippet om formålsbegrænsning og princippet om dataminimering kan derfor ikke anses for overholdt.
14.      Den finansielle efterretningstjeneste, som også har interveneret som amicus curiae i hovedsagen, er af den opfattelse, at det er nødvendigt, at tredjemand har adgang til de pågældende oplysninger for at kunne afgøre, om en handelspartner er genstand for internationale eller nationale sanktioner.
15.      Den forelæggende ret ønsker oplyst, om aktionærerne i aktieselskaber kan anses for at være personer, der deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet som omhandlet i artikel 14, litra d), nr. ii), i direktiv 2017/1132, og dermed om dette direktiv kræver offentliggørelse af oplysninger om aktionærerne i sådanne selskaber. Såfremt Domstolen måtte fastslå, at sådanne aktionærer er omfattet af anvendelsesområdet for artikel
14, litra
d), nr. ii), i direktiv 2017/1132, og at oplysningerne om dem skal offentliggøres i henhold til dette direktivs artikel
16, stk. 3, ønsker den forelæggende ret bl.a. oplyst, om denne førstnævnte bestemmelse er gyldig, henset til chartrets artikel 7 og 8.
16.      Den forelæggende ret ønsker desuden oplyst, om behandlingen af personoplysninger om aktionærer i aktieselskaber er forenelig med de principper, der er fastsat i databeskyttelsesforordningens artikel
5, stk. 1, navnlig princippet om »dataminimering«, som afspejler proportionalitetsprincippet. Dette princip er ikke til hinder for, at personoplysninger stilles til rådighed for offentligheden, når dette er nødvendigt med henblik på at overholde en retlig forpligtelse, som påhviler den dataansvarlige i henhold til databeskyttelsesforordningens artikel
6, stk. 1, første afsnit, litra c). I henhold til chartrets artikel 52, stk. 1, skal begrænsningerne af de grundlæggende rettigheder til respekt for privatliv og beskyttelse af personoplysninger dog være fastlagt i lovgivningen og respektere de grundlæggende rettigheders væsentligste indhold samt proportionalitetsprincippet.
17.      Den forelæggende ret ønsker navnlig oplyst, om databeskyttelsesforordningens artikel
5, stk. 1, litra
b), i lyset af bl.a. dommen i sagen Luxembourg Business Registers og Manni-dommen (13) skal fortolkes således, at behandling af personoplysninger om aktionærer i et aktieselskab kan tjene til at beskytte tredjemands interesser. Den ønsker ligeledes oplyst, om de principper, der fremgår af databeskyttelsesforordningens artikel 5, stk. 1, giver en medlemsstat mulighed for med henblik på ovennævnte formål at vedtage lovgivning, hvorefter enhver kan få adgang til personoplysninger om enhver aktionær i et aktieselskab uden at skulle godtgøre en legitim interesse i at få adgang til disse oplysninger. Endvidere ønsker den forelæggende ret oplyst, om databeskyttelsesforordningens artikel
5, stk. 1, litra
b), skal fortolkes således, at behandling af personoplysninger om aktionærer i et aktieselskab kan have til formål at forebygge hvidvask og finansiering af terrorisme og spredning. I denne henseende har tilrådighedsstillelsen for offentligheden af de omhandlede oplysninger ifølge den lettiske lovgiver til formål at gøre det muligt for alle i videst muligt omfang at bidrage til en sådan forebyggelse.
18.      Endelig ønsker den forelæggende ret oplyst, om databeskyttelsesforordningens artikel
5, stk. 1, litra
b), skal fortolkes således, at behandling af personoplysninger om aktionærer i et aktieselskab kan have til formål at tilvejebringe den information, der er nødvendig for at fuldbyrde nationale og internationale sanktioner samt EU-sanktioner.
19.      Efter den forelæggende rets opfattelse er offentliggørelsen af personoplysninger om aktionærerne i et aktieselskab muligvis egnet, nødvendig og hensigtsmæssig med henblik på opfyldelsen af disse legitime formål. I tilfælde af, at personoplysninger stilles til rådighed online, er det imidlertid ikke muligt at sikre, at disse oplysninger behandles rimeligt og ikke viderebehandles på en måde, der er uforenelig med disse formål, således som det kræves i databeskyttelsesforordningens artikel 5, stk. 1, litra a) og b). Den forelæggende ret er således for det første i tvivl om, hvorvidt den omhandlede offentliggørelse er udtryk for en korrekt afvejning af de mål af almen interesse, der forfølges, og de omhandlede grundlæggende rettigheder, dels om, hvorvidt der findes passende garantier mod risikoen for misbrug af sådanne personoplysninger.
20.      I henhold til lettisk lovgivning skal anmodninger om adgang til oplysninger, som er underlagt begrænsninger, fremsættes skriftligt, og den person, der anmoder om dem, skal begrunde sin anmodning og angive det formål, hvortil oplysningerne skal anvendes. Når oplysninger, der er underlagt begrænsninger, videregives, forpligter modtageren af disse oplysninger sig til udelukkende at anvende dem til de formål, med henblik på hvilke der blev anmodet om dem (14). Videregivelsen af disse oplysninger kan tage nogle dage. Hvis anmodningen om oplysningerne opfylder lovens krav, og der udelukkende anmodes om oplysningerne i elektronisk form, og disse ikke kræver en efterfølgende behandling, stilles oplysningerne til rådighed inden for ti dage. Den forelæggende ret ønsker således oplyst, hvorvidt proceduren for anmodning om oplysninger, som er underlagt begrænsninger, kan anses for at være en anden foranstaltning, hvormed de førnævnte formål med rimelighed kan nås lige så effektivt.
21.      På denne baggrund har Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1)      Skal begrebet personer, der »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet« som omhandlet i artikel 14, litra d), i direktiv 2017/1132, fortolkes således, at det henviser til enhver aktionær i et aktieselskab, således at en medlemsstat er forpligtet til at offentliggøre oplysningerne om alle aktionærer og gøre dem offentligt tilgængelige i registret i overensstemmelse med artikel 16, stk. 3, i direktiv 2017/1132?
2)      Såfremt det første spørgsmål besvares bekræftende, er artikel 14, litra d), nr. ii), i direktiv 2017/1132, for så vidt som denne bestemmelse fastsætter, at oplysninger om alle aktionærer i et aktieselskab skal offentliggøres, da gyldig i lyset af retten til respekt for privatliv og familieliv som sikret ved chartrets artikel 7 og retten til beskyttelse og personoplysninger som sikret ved chartrets artikel 8?
3)      Skal [databeskyttelsesforordningens] artikel 5, stk. 1, litra b), […] fortolkes således, at behandlingen af personoplysninger om aktionærerne i et aktieselskab kan have til formål for det første at sikre et gennemsigtigt erhvervsklima og beskytte tredjemands interesser, for det andet at forebygge hvidvask og finansiering af terrorisme og spredning og for det tredje at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner?
4)      Giver de principper, der er fastsat i [databeskyttelsesforordningens] artikel 5, stk. 1, […] mulighed for med henblik på ovennævnte formål at vedtage en national lovgivning, hvorefter enhver kan få adgang til personoplysninger om enhver aktionær i et aktieselskab uden at være forpligtet til at godtgøre en legitim interesse i at få adgang til disse oplysninger?«
IV.    Retsforhandlingerne for Domstolen
22.      Sagsøgerne A m.fl., den finske, den lettiske, den norske, den polske og den svenske regering, Europa-Parlamentet, Rådet for Den Europæiske Union og Europa-Kommissionen har indgivet skriftlige indlæg.
23.      Indlæggene indgivet af den svenske regering (15), Parlamentet og Rådet
vedrører alene den forelæggende rets første og andet spørgsmål.
V.      Bedømmelse
A.      Det første og det andet spørgsmål
24.      Med det første spørgsmål ønsker Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) oplyst, om artikel
14, litra
d), nr. ii), i direktiv 2017/1132, som omhandler personer, der »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet«, skal fortolkes således, at denne bestemmelse omfatter enhver aktionær i et aktieselskab (16), hvorved medlemsstaterne forpligtes til at offentliggøre oplysninger om alle aktionærer i et sådant selskab og at gøre dem offentligt tilgængelige i registret i overensstemmelse med artikel
16, stk. 3, i direktiv 2017/1132.
25.      I overensstemmelse med artikel 14, litra d), i direktiv 2017/1132 skal medlemsstaterne træffe de nødvendige foranstaltninger for, at den obligatoriske offentlighed vedrørende selskaber i det mindste omfatter udnævnelse, udtræden samt identitet for de personer, der i deres egenskab af lovbestemt selskabsorgan eller som medlemmer af et sådant organ er beføjede til at forpligte selskabet over for tredjemand og til at repræsentere det ved rettergang, eller deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet. Alle de parter og procesdeltagere, der har afgivet indlæg, er af den opfattelse, at artikel
14, litra
d), nr. ii), i direktiv 2017/1132 ikke kan fortolkes således, at denne bestemmelse
omfatter enhver aktionær i et aktieselskab.
26.      Det skal fremhæves, at tvisten i hovedsagen, som er indbragt for den forelæggende ret, vedrører et søgsmål anlagt af 17 mindretalsaktionærer. Jeg vil derfor begrænse min bedømmelse til denne situation. I henhold til Domstolens faste praksis skal der ved fortolkningen af en EU-retlig bestemmelse ikke blot tages hensyn til ordlyden, men også til den sammenhæng, hvori bestemmelsen indgår, og til de mål, der forfølges med den ordning, som den udgør en del af (17).
27.      Artikel
14, litra
d), i direktiv 2017/1132 henviser hverken til aktionærer eller til generalforsamlingen (18). Desuden er begrebet »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet« i artikel
14, litra
d), nr. ii), i direktiv 2017/1132 ikke defineret i dette direktiv (19), og Domstolen har ikke fortolket denne bestemmelse. På trods af fraværet af en sådan eller sådanne definitioner fremgår det bl.a. af artikel 60 og 64 i direktiv 2017/1132, at der med henblik på dette direktiv er en sondring mellem et selskabs direktion eller bestyrelse og selskabets generalforsamling. Denne sondring finder efter min opfattelse a fortiori anvendelse på individuelle aktionærer.
28.      Desuden er begreberne »udnævnelse« og »udtræden« i artikel
14, litra
d), i direktiv 2017/1132 uforenelige med aktionærers status som sådan i et aktieselskab. Selv om visse aktionærer kan udnævnes til organerne og udøve de funktioner, der henvises til i artikel
14, litra
d), i direktiv 2017/1132, er forpligtelsen til at offentliggøre bl.a. en aktionærs identitet og personoplysninger i denne sammenhæng nemlig uadskilleligt baseret på vedkommendes udnævnelse til et sådant organ eller på udtræden heraf og beføjelsen til at udøve visse funktioner snarere end på vedkommendes egenskab af aktionær (20). I modsætning hertil nyder eller drager aktionærer fordel af denne status og de dertil knyttede rettigheder og forpligtelser, herunder retten til at deltage i og stemme på et selskabs generalforsamling, alene i kraft af deres besiddelse af aktier i selskabet fremfor ved »udnævnelse« til et »organ« i selskabet. Begreberne »udnævnelse« og »udtræden«, som indebærer et særligt mandat eller en specifik ansvarsfunktion (21) i et selskab, er derfor uforenelige med en aktionærs status som sådan og med de rettigheder og forpligtelser, der er knyttet til denne status i henhold til artikel
14, litra
d), i direktiv 2017/1132.
29.      Det følger således af bestemmelsens ordlyd og den sammenhæng, hvori den indgår i direktiv 2017/1132, at direktivets artikel
14, litra
d), nr. ii), ikke finder anvendelse på aktionærer som sådanne.
30.      For så vidt angår målene med direktiv 2017/1132 fremgår det af direktivets artikel 1, andet led, at dette direktiv fastsætter foranstaltninger vedrørende »samordning af de garantier, som kræves i medlemsstaterne af de i […] artikel 54, stk. 2, [TEUF] nævnte selskaber for så vidt angår offentlighed, gyldigheden af aktieselskaber og selskaber med begrænset ansvars forpligtelser og selskabernes ugyldighed, med det formål at gøre disse garantier lige byrdefulde« (22). Artikel 14 i direktiv 2017/1132 opregner de dokumenter og oplysninger, som de omhandlede selskaber som minimum (23) skal offentliggøre. Disse dokumenter og oplysninger skal i henhold til dette direktivs artikel 16, stk. 3-5, henlægges i aktmappen eller indføres i registret, være tilgængelige i form af en fuldstændig eller delvis genpart efter anmodning og skal offentliggøres ved offentliggørelse i form af en fuldstændig gengivelse eller gengivelse i uddrag eller i form af en henvisning i den nationale offentlige tidende eller ved tilsvarende effektive bekendtgørelsesmåder (24).
31.      Eftersom formålet med direktiv 2017/1132, og navnlig direktivets artikel
14, litra
d), er at beskytte aktionærernes og tredjemands interesser ved at kræve offentliggørelse af oplysninger om bestemte personer, hvis funktioner eller beføjelser kan udøves til skade for disse interesser (25), kan jeg ikke se, hvordan øget gennemsigtighed med hensyn til identiteten af hver aktionær, navnlig mindretalsaktionærer, som ikke har nogen særlig funktion eller beføjelse i et selskab (26), skulle kunne fremme dette formål.
32.      I denne henseende har Domstolen i Manni-dommen (27) fremhævet, at de oplysninger, der offentliggøres i henhold til bl.a. artikel
2, stk. 1, litra
d), i direktiv 68/151 – som svarer til artikel
14, litra
d), i direktiv 2017/1132 – er af begrænset omfang (28). En fortolkning af artikel
14, litra
d), i direktiv 2017/1132, som ville omfatte oplysninger om alle aktionærer, er åbenbart ikke af et sådant omfang (29). Det fremgår tydeligt af tredje, syvende og ottende betragtning til direktiv 2017/1132, at direktivet kun sikrer en minimumsharmonisering eller samordning af »visse aspekter« (30) af selskabsretten for at beskytte aktionærer, kreditorer og andre tredjemænd. Medlemsstaterne kan således vedtage eller opretholde strengere eller supplerende bestemmelser på det selskabsretlige område inden for rammerne af EU-retten (31), navnlig databeskyttelsesforordningen (32) og proportionalitetsprincippet.
33.      Jeg er derfor af den opfattelse, at begrebet
personer, »der deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet«, som anvendes i artikel
14, litra
d), i direktiv 2017/1132, ikke kan fortolkes således, at det omfatter enhver aktionær i et aktieselskab. En medlemsstat er ikke forpligtet til at offentliggøre oplysningerne om alle aktionærer og gøre dem offentligt tilgængelige i registret i overensstemmelse med artikel
16, stk. 3, i direktiv 2017/1132.
34.      Eftersom den forelæggende rets andet spørgsmål afhænger af, om det første spørgsmål besvares bekræftende, er det min opfattelse, at det andet spørgsmål om gyldigheden af artikel
14, litra
d), nr. ii), i direktiv 2017/1132 i lyset af chartrets artikel 7 og 8 er irrelevant.
B.      Det tredje og det fjerde spørgsmål
35.      Med det tredje og det fjerde spørgsmål (33) ønsker den forelæggende ret oplyst, om databeskyttelsesforordningens artikel
5, stk. 1, skal fortolkes således, at denne bestemmelse tillader behandling af visse personoplysninger om aktionærerne i et aktieselskab ved at stille dem til rådighed for enhver, uden at denne skal
godtgøre en legitim interesse i at få adgang til disse oplysninger, med følgende formål: i) at sikre et gennemsigtigt erhvervsklima og beskytte tredjemands interesser, ii) at forebygge hvidvask og finansiering af terrorisme og spredning og iii) at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner. I denne henseende ønsker Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) oplyst, om princippet om »formålsbegrænsning« og princippet om »dataminimering« i databeskyttelsesforordningens artikel
5, stk. 1, litra b) og c) (34), er overholdt (35).
36.      Det fremgår af de sagsakter, som Domstolen råder over, at forpligtelsen i lettisk ret til at stille visse specifikke oplysninger om aktionærerne i aktieselskaber, stiftet i henhold til lettisk ret, til rådighed for offentligheden er omfattet af databeskyttelsesforordningens materielle anvendelsesområde. Databeskyttelsesforordningens artikel 2, stk. 1, fastsætter, at denne forordning finder anvendelse på enhver »behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register«, uden at sondre i forhold til, hvem der foretager behandlingen. Det følger heraf, at databeskyttelsesforordningen, med forbehold af de tilfælde, der er nævnt i forordningens artikel
2, stk. 2 og 3, finder anvendelse på behandlinger, der foretages af såvel privatpersoner som offentlige myndigheder (36).
37.      Selv om medlemsstaternes behandling af personoplysninger under udøvelse af aktiviteter, der er omfattet af anvendelsesområdet for kapitel 2 i EU-traktatens afsnit V om den fælles udenrigs- og sikkerhedspolitik, er undtaget fra databeskyttelsesforordningens materielle anvendelsesområde, er det min opfattelse, at denne forordning finder anvendelse på behandling af personoplysninger, der foretages under udøvelse af aktiviteter, der er omfattet af anvendelsesområdet for artikel
215 TEUF (37). Det skal imidlertid understreges, at visse af den registreredes rettigheder i henhold til databeskyttelsesforordningen kan begrænses i henhold til denne forordnings artikel
23. Databeskyttelsesforordningens artikel
23, stk. 1, litra
a), fastsætter f.eks., at der under visse omstændigheder kan pålægges begrænsninger af hensyn til statens sikkerhed.
38.      I den foreliggende sag er det ubestridt, at den retlige forpligtelse i henhold til lettisk ret (38), til at stille oplysninger om aktionærer – der er fysiske personer – i aktieselskaber stiftet i henhold til lettisk ret, til rådighed for offentligheden, herunder deres fornavn, efternavn, personnummer, kontaktadresse eller e-mailadresse, deres aktiers antal og pålydende værdi samt det antal stemmer, der er knyttet til disse aktier, udgør en behandling af personoplysninger som omhandlet i databeskyttelsesforordningens artikel
4, nr. 1) og 2) (39).
39.      Eftersom de omhandlede nationale bestemmelser indebærer behandling af personoplysninger, der er omfattet af databeskyttelsesforordningens anvendelsesområde, er Republikken Letland bl.a. forpligtet til at gennemføre databeskyttelsesforordningen. Det følger heraf, at tilgængeligheden af de nævnte oplysninger for ethvert medlem af offentligheden berører de omhandlede personers grundlæggende ret til respekt for privatlivet, der er sikret ved chartrets artikel 7. Oplysningernes tilrådighedsstillelse for offentligheden udgør desuden en behandling af personoplysninger i henhold til chartrets artikel 8. Tilrådighedsstillelsen for tredjemand af disse personoplysninger udgør i øvrigt et indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, uanset hvad de videregivne oplysninger efterfølgende bruges til. Domstolen har imidlertid præciseret, at denne behandling, for så vidt som betingelserne for en lovlig behandling af personoplysninger i medfør af databeskyttelsesforordningen er opfyldt, ligeledes opfylder kravene fastsat i chartrets artikel 7 og 8 (40).
40.      Det fremgår af databeskyttelsesforordningens artikel 1, stk. 2, sammenholdt med fjerde og tiende betragtning hertil, at denne forordning bl.a. har til formål at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandlingen af personoplysninger (41).
41.      Databeskyttelsesforordningen sikrer, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af deres personoplysninger anvendes konsekvent og ensartet overalt i Unionen.
Enhver behandling af personoplysninger skal, med forbehold af de undtagelser, der er tilladte i henhold til artikel 23 i databeskyttelsesforordningen (42), overholde de principper, der gælder for behandling af personoplysninger, og de rettigheder, der tilkommer den berørte person, og som er fastsat i henholdsvis denne forordnings kapitel II og III. Navnlig skal enhver behandling af personoplysninger være i overensstemmelse med de principper, der er fastsat i databeskyttelsesforordningens artikel 5, og desuden opfylde de betingelser for lovlighed, der er anført i databeskyttelsesforordningens artikel 6 (43). Desuden skal den registreredes rettigheder i henhold til databeskyttelsesforordningens artikel 12-22 respekteres (44).
42.      I henhold til databeskyttelsesforordningens artikel
5, stk. 1, skal personoplysninger behandles i overensstemmelse med en række fastlagte principper. Personoplysninger skal således bl.a. behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (45), indsamles til udtrykkeligt angivne og legitime formål (46), være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til disse formål (47), være korrekte og om nødvendigt ajourførte (48), opbevares på en sådan måde, at det ikke er muligt at identificere de registrerede i et længere tidsrum end det, der er nødvendigt til de formål, hvortil de pågældende personoplysninger behandles (49), og behandles på en måde, der sikrer tilstrækkelig sikkerhed for personoplysningerne (50). Disse principper for behandling af personoplysninger finder anvendelse kumulativt (51).
43.      Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, fastsætter en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig (52). En behandling skal således være omfattet af et af de tilfælde, som er omhandlet i databeskyttelsesforordningens artikel
6, stk. 1, første afsnit, for at være lovlig (53). Selv om Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) ikke udtrykkeligt har anført, at den i de foreliggende sager omhandlede behandling af personoplysninger er baseret på databeskyttelsesforordningens artikel
6, stk. 1, første afsnit, litra c), er dette det eneste litra i databeskyttelsesforordningens artikel
6, stk. 1, første afsnit, som denne ret har henvist til i sin anmodning om præjudiciel afgørelse (54). Eftersom den omhandlede behandling specifikt er baseret på og krævet i henhold til national lovgivning (55) uden at være »nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt« (56), er jeg af den opfattelse, at denne behandling er baseret på databeskyttelsesforordningens artikel
6, stk. 1, første afsnit, litra c), idet den er nødvendig for at overholde en retlig forpligtelse, som fremgår af medlemsstatens nationale ret – i det foreliggende tilfælde lettisk ret – som den dataansvarlige er underlagt (57). Den myndighed, der er ansvarlig for at føre handelsregistret i en medlemsstat, og som i dette register offentliggør personoplysninger, der er omfattet af obligatorisk offentliggørelse i henhold til direktiv 2017/1132, er en »dataansvarlig« for disse oplysninger, navnlig for så vidt som den gør dem tilgængelige for offentligheden (58).
44.      Databeskyttelsesforordningens artikel
6, stk. 3, præciserer bl.a. for så vidt angår situationer, hvor behandling er lovlig i henhold til artikel
6, stk. 1, første afsnit, litra c) (59), at formålet med behandlingen skal være »fastlagt i dette retsgrundlag« (60), og at dette retsgrundlag skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges (61).
45.      Det fremgår ikke klart af de sagsakter, som Domstolen råder over, om kravet om, at formålet eller formålene med behandlingen skal være »fastlagt i dette retsgrundlag«, er blevet overholdt i den foreliggende sag. Den nationale databeskyttelsesmyndighed har i sit indlæg for den forelæggende ret anført, at loven om selskabsregistret
ikke identificerer det eller de formål, hvortil behandlingen af personoplysninger om aktionærerne i et aktieselskab er nødvendig. Det påhviler således den forelæggende ret at efterprøve, om dette krav i databeskyttelsesforordningens artikel
6, stk. 3, er opfyldt for så vidt angår de tre omhandlede formål. Manglende overholdelse af det omhandlede krav vil medføre, at behandlingen af personoplysninger er i strid med databeskyttelsesforordningens artikel
6, stk. 3 (62). I betragtning af de forskellige lovgivningsteknikker i de 27 medlemsstater er jeg af den opfattelse, at det er tilstrækkeligt, at det eller de pågældende formål kan fastlægges med »tilstrækkelig sikkerhed« ud fra lovgivningens ordlyd eller den lovgivningsmæssige sammenhæng (63).
46.      De krav, der følger af databeskyttelsesforordningens artikel
6, stk. 3, hvorefter behandlingen skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges, er et udtryk for de krav, der følger af chartrets artikel
52, stk. 1, og skal fortolkes i lyset af sidstnævnte bestemmelse. I denne sammenhæng har Domstolen præciseret, at de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 7 og 8, ikke er absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder. Der kan således indføres begrænsninger, forudsat at de, i overensstemmelse med chartrets artikel 52, stk. 1, er fastlagt i lovgivningen og respekterer de grundlæggende rettigheders væsentligste indhold samt proportionalitetsprincippet. Kravet om, at foranstaltninger, der indebærer et indgreb i de rettigheder, der er sikret ved chartrets artikel 7 og 8, skal være forholdsmæssige, indebærer ifølge fast retspraksis overholdelse af kravene om egnethed og nødvendighed (64) samt af det stricto sensu krav, der vedrører disse foranstaltningers forholdsmæssighed i forhold til det forfulgte formål (65). Det skal således vurderes, om den omhandlede nationale lovgivning skaber en rimelig balance mellem de interesser, som medlemsstaten forfølger, og interesserne hos dem, der påvirkes negativt (66). Følgelig skal grovheden af indgrebet i de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger vurderes, og det skal undersøges, om betydningen af det mål af almen interesse, der forfølges, står i rimeligt forhold til denne grovhed (67).
47.      Med henblik på at vurdere grovheden af dette indgreb skal der bl.a. tages hensyn til karakteren af de omhandlede personoplysninger, herunder navnlig om der er tale om eventuelt følsomme oplysninger, og til karakteren af og de konkrete omstændigheder i forbindelse med behandlingen af de pågældende oplysninger, herunder navnlig antallet af personer, som har adgang til disse oplysninger, og måderne, hvorpå adgang kan opnås (68).
48.      Det er ubestridt, at de oplysninger, der stilles til rådighed for offentligheden om en aktionær, hvor denne er en fysisk person, omfatter vedkommendes fornavn, efternavn og personnummer, kontaktadresse, e-mailadresse (69), klasse, nummer og pålydende værdi af aktionærens aktier samt det hertil knyttede antal stemmer (70). Disse oplysninger kan gøre det muligt at udarbejde en profil vedrørende dels visse personlige identifikationsoplysninger, dels i det mindste i et vist omfang den pågældendes formuesituation i Letland samt de økonomiske sektorer og specifikke virksomheder, som den pågældende har investeret i i Letland. De pågældende oplysninger er let tilgængelige for et potentielt ubegrænset antal personer, navnlig fordi de kan findes på selskabsregistrets websted. De kan frit tilgås af grunde, der ikke har noget at gøre med de formål, der forfølges med den pågældende nationale lovgivning (71), og de kan opbevares, udbredes og viderebehandles. Let offentlig adgang til de pågældende oplysninger udsætter de registrerede for et muligt misbrug af deres personoplysninger, samtidig med at det bliver vanskeligt eller endog umuligt for dem at forsvare sig effektivt mod et sådant misbrug. En sådan adgang indebærer således et indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 (72).
1.      Om eksistensen af et mål af almen interesse, der er anerkendt af Unionen
49.      De tre formål med den omhandlede nationale lovgivning, som den forelæggende ret har henvist til (73), udgør i princippet almene EU-interesser og er dermed legitime (74). De kan begrunde endog alvorlige indgreb i de grundlæggende rettigheder, som er sikret ved chartrets artikel 7 og 8, forudsat at proportionalitetsprincippet overholdes (75).
50.      For så vidt angår formålet om at sikre et gennemsigtigt erhvervsklima og beskytte tredjemands interesser er det min opfattelse, at sikring af et gennemsigtigt erhvervsklima i sig selv er et forholdsvis vagt og ukonkret mål og derfor måske ikke kan anses for et legitimt formål som sådan. For at undgå enhver tvivl er jeg således af den opfattelse, med forbehold af den forelæggende rets efterprøvelse, at det relevante formål med den lettiske lovgivning er at sikre et gennemsigtigt erhvervsklima med henblik på at beskytte tredjemands interesser. I lyset af artikel
50, stk. 2, litra
g), TEUF (76), der i det væsentlige henviser til beskyttelsen af aktionærer og tredjemand (77), er det min opfattelse, at det omhandlede formål udgør et mål af almen interesse, der er anerkendt af Unionen.
51.      I dommen i sagen Luxembourg Business Registers (78) præciserede Domstolen, at forebyggelse af hvidvask af penge og finansiering af terrorisme ved at give offentligheden adgang til oplysninger om de reelle ejere udgør et mål af almen interesse, der kan begrunde endog alvorlige indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 (79). Den logik, der ligger til grund for denne dom, kan efter min opfattelse også anvendes i den foreliggende sag.
52.      Hvad angår offentliggørelsen af de oplysninger, der er nødvendige for at fuldbyrde sanktionerne, har Domstolen præciseret, at der kan pålægges restriktive foranstaltninger for udøvelsen af retten til fri erhvervsudøvelse og for udøvelsen af ejendomsretten. Disse foranstaltninger skal opfylde mål af almen interesse, såsom målene for Unionens optræden udadtil, der er nævnt i artikel
21 TEU, og må ikke, når henses til det formål, som de forfølger, indebære et uforholdsmæssigt og uantageligt indgreb i det centrale indhold af de beskyttede rettigheder (80). Jeg er i forlængelse heraf af den opfattelse, at fuldbyrdelsen af sådanne restriktive foranstaltninger, herunder vedtagelsen af foranstaltninger, der giver adgang til de oplysninger, der er nødvendige for at sikre denne fuldbyrdelse, udgør et mål af almen interesse, der er anerkendt af Unionen.
2.      Det omhandlede indgrebs egnethed, nødvendighed og forholdsmæssighed stricto sensu
a)      Formålet om at sikre et gennemsigtigt erhvervsklima med henblik på at beskytte tredjemands interesser
53.      Af de grunde, som jeg har anført i punkt 31 i dette forslag til afgørelse, er jeg ikke af den opfattelse, at den forpligtelse, der er fastsat i lettisk ret, og som omfatter alle aktionærer i et aktieselskab, uanset om de har en særlig funktion eller beføjelse i selskabet, fremmer eller understøtter formålet om at sikre et gennemsigtigt erhvervsklima med henblik på at beskytte tredjemands interesser. Selv om direktiv 2017/1132 ikke hævder at være udtømmende og begrænser sig til at harmonisere og samordne visse aspekter af selskabsretten, fremgår det i øvrigt ikke af de sagsakter, som Domstolen råder over, at dette direktiv (81) har vist sig at være utilstrækkeligt til at opfylde formålet om at sikre et gennemsigtigt erhvervsklima med henblik på at beskytte tredjemands interesser, som kunne nødvendiggøre vedtagelsen af den omhandlede nationale lovgivning (82). Jeg anser derfor indgrebet for at være såvel uhensigtsmæssigt som unødvendigt. Jeg er ligeledes af den opfattelse, at denne lovgivning er uforholdsmæssig stricto sensu, eftersom den ikke skaber en rimelig balance mellem de interesser, som den lettiske lovgiver forfølger, og aktionærernes interesser.
b)      Formålene om at skabe et miljø til fremme af forebyggelse af hvidvask af penge og finansiering af terrorisme og spredning samt tilgængeligheden af de oplysninger, der er nødvendige for at håndhæve nationale og internationale sanktioner samt EU-sanktioner
54.      Forpligtelsen i lettisk ret til at stille visse specifikke oplysninger om aktionærerne i aktieselskaber stiftet i henhold til lettisk ret til rådighed for offentligheden og det pågældende fravær af ethvert krav om at godtgøre en legitim interesse i at få adgang til sådanne oplysninger er efter min opfattelse egnet til at nå de mål af almen interesse, der består i at skabe et miljø, der fremmer og understøtter forebyggelsen af hvidvask, finansiering af terrorisme og nuklear spredning samt tilgængeligheden af de oplysninger, der er nødvendige for at fuldbyrde nationale og internationale sanktioner samt EU-sanktioner. Analogt med dommen i sagen Luxembourg Business Registers er jeg af den opfattelse, at den offentlige karakter af den omhandlede adgang og den deraf følgende øgede gennemsigtighed, som muliggør en øget offentlig kontrol med aktieselskabers ejerforhold, bidrager til virkeliggørelsen af disse mål af almen interesse (83).
55.      Det skal således efterprøves, om disse to formål med rimelighed kunne nås lige så effektivt ved andre foranstaltninger, der er mindre indgribende i de pågældende aktieselskabers aktionærers rettigheder (84), og om det pågældende indgreb er uforholdsmæssigt stricto sensu i forhold til disse mål, hvilket bl.a. indebærer en afvejning af betydningen af disse formål og alvoren af dette indgreb.
56.      For så vidt angår formålet om at skabe et miljø, der fremmer og understøtter forebyggelsen af hvidvask af penge og finansiering af terrorisme og nuklear spredning, er den forelæggende ret af den opfattelse, at personer, som er forskellige fra de forpligtede enheder, der er opregnet i artikel
2 i direktiv 2015/849 (85), »også har en legitim interesse i på eget initiativ at foretage en undersøgelse af kunden«. I henhold til artikel
3.1 i Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un indulācijas finansēšanas novēršanas likums (lov om forebyggelse af hvidvask og finansiering af terrorisme og nuklear spredning) påhviler pligten til at indberette mistænkelige transaktioner desuden andre personer end bl.a. de forpligtede enheder.
57.      For så vidt angår fuldbyrdelsen af sanktioner vedtager Rådet ifølge den forelæggende ret forordninger, som ofte omfatter finansielle restriktive foranstaltninger, der består i: i) indefrysning af udpegede personers og enheders pengemidler og økonomiske ressourcer og ii) et forbud mod at stille pengemidler og økonomiske ressourcer til rådighed for disse personer og enheder (86). Desuden kan det være nødvendigt at have adgang til oplysninger om alle aktionærerne i et aktieselskab, da enhver person i henhold til artikel
2, stk. 2, i Republikken Letlands lov om internationale og nationale sanktioner (87) er forpligtet til at overholde og gennemføre internationale og nationale sanktioner.
58.      Det er nyttigt at påpege, at Domstolen i dommen i sagen Luxembourg Business Registers (88) mindede om, at bekæmpelsen af hvidvask af penge og finansiering af terrorisme først og fremmest påhviler offentlige myndigheder samt enheder, såsom kreditinstitutter eller finansieringsinstitutter, der på grund af deres aktiviteter er underlagt særlige forpligtelser på dette område. Under alle omstændigheder sikrer artikel
30, stk. 5, i direktiv 2015/849, at ikke alene de kompetente myndigheder, EU’s finansielle efterretningsenheder (89) og forpligtede enheder, men også enhver person eller organisation, der kan påvise en legitim interesse, har adgang til oplysninger om reelt ejerskab (90) af bl.a. selskaber (91).
59.      For så vidt angår restriktive foranstaltninger gennemføres en forordning, der fastsætter sådanne foranstaltninger, som jeg anførte i mit forslag til afgørelse i Čiekuri-Shishki-sagen (92), hovedsageligt af statslige organer, der har en særlig kompetence på området for finansielt tilsyn. Disse organer råder over de nødvendige midler og er dermed i stand til at gennemføre de fastsatte økonomiske sanktioner, såsom indefrysning af aktiver og forbud mod at yde lån eller foretage betalinger til visse personer eller organer. Det påhviler dem at pålægge de konkrete foranstaltninger over for personer og organer, der er opført på de i forordningen omhandlede lister.
60.      Ikke desto mindre fremgår det af bedste praksis (93), at »[a]lle personer og enheder, der henhører under Unionens jurisdiktion, har pligt til at meddele de kompetente myndigheder alle de oplysninger, som de ligger inde med, og som vil gøre det lettere at anvende finansielle restriktive foranstaltninger« (94). Desuden forbyder forordninger, der fastsætter restriktive foranstaltninger direkte eller indirekte at stille pengemidler eller økonomiske ressourcer til rådighed for udpegede personer eller enheder (95). Efter min opfattelse kan opfyldelsen af denne forpligtelse opnås ved hjælp af andre midler end uhindret adgang til alle aktionærers personoplysninger, f.eks. ved at der anmodes om adgang til oplysninger om aktionærerne fra sag til sag (96). Navnlig når en person har en begrundet mistanke om, at vedkommende måske direkte eller indirekte stiller pengemidler eller økonomiske ressourcer til rådighed for udpegede personer eller enheder, har vedkommende en klar legitim interesse i at anmode om oplysninger i selskabsregistreti denne henseende. Det skal også understreges, at det i mangel af en legitim interesse ville være for byrdefuldt og uforholdsmæssigt at kræve, at enhver person løbende skulle kontrollere identiteten på samtlige aktionærer hos alle vedkommendes forretningspartnere (97). Dette er så meget desto mere indlysende, som aktionærerne i et aktieselskab ofte kan skifte.
61.      Selv om offentlighedens uhindrede adgang til oplysninger om aktionærer i aktieselskaber i henhold til den omhandlede lettiske lovgivning i et vist begrænset omfang kan bidrage til bekæmpelse af hvidvask, finansiering af terrorisme og nuklear spredning samt fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner, er den således efter min opfattelse, analogt med dommen i sagen Luxembourg Business Registers (98), ikke strengt nødvendig med henblik på disse formål. Desuden opvejer de potentielle fordele ved en sådan behandling ikke det alvorlige indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel
7 og 8 (99).
62.      Jeg vil ligeledes fremhæve, at eftersom den reelle ejer af et selskab i henhold til artikel
3, stk. 6, i direktiv 2015/849 bl.a. er den eller de fysiske personer, der i sidste ende ejer eller kontrollerer 25% plus én aktie af aktiekapitalen, finder Domstolens ræsonnement i dommen i sagen Luxembourg Business Registers a fortiori anvendelse på den omhandlede lettiske lovgivning i den foreliggende sag, som kræver offentliggørelse af oplysninger om hver aktionær i et aktieselskab, uanset om den pågældende ejer en kontrollerende andel eller ej.
63.      Den forelæggende ret ønsker ligeledes oplyst, om den procedure for anmodning om adgang til oplysninger, som er underlagt begrænsninger, der er fastsat i lov om informationsfrihed, kan anses for et andet middel, der gør det muligt at nå de omhandlede mål lige så effektivt. Det synes at forholde sig således (100), at en person i henhold til artikel
11, stk. 4, og artikel
14, stk. 1, nr. 1.1, i lov om informationsfrihed kan få adgang til oplysninger om aktionærerne (101), forudsat at vedkommende skriftligt anmoder herom, begrunder sin anmodning og angiver det formål, hvortil oplysningerne skal anvendes. Modtageren af disse oplysninger forpligter sig til kun at anvende dem til det formål, hvortil de blev anmodet om. Hvis anmodningen om oplysningerne opfylder lovens krav, og der udelukkende anmodes om oplysningerne i elektronisk form, og disse ikke kræver en efterfølgende behandling, stilles oplysningerne til rådighed inden for ti dage. Den forelæggende ret har imidlertid oplyst, at »[s]elskabsregistret [...] som ansvarlig for behandling af personoplysningerne og som den, der videregiver oplysningerne, ikke [er] i stand til at efterprøve, om den person, der anmoder om oplysningerne, faktisk har en legitim interesse i at få adgang til de oplysninger, hvorom der anmodes. Under disse omstændigheder må kravet om angivelse af en legitim interesse anses for at udgøre en formel hindring for at få adgang til oplysningerne« (102).
64.      Det er tilstrækkeligt at konstatere, at behandlingen af personoplysninger i henhold til lov om informationsfrihed med henblik på at bekæmpe hvidvask og finansiering af terrorisme og nuklear spredning (103) samt fuldbyrdelse af sanktioner skal overholde EU-retten, navnlig databeskyttelsesforordningen og proportionalitetsprincippet. Eftersom artikel
30, stk. 5, i direktiv 2015/849 kræver, at oplysninger om reelt ejerskab ikke alene skal være tilgængelig for bl.a. kompetente myndigheder og forpligtede enheder, men også for enhver person eller organisation, der kan godtgøre en legitim interesse, er den forelæggende rets udsagn om, at selskabsregistret
muligvis ikke er i stand til at kontrollere, om en person har en sådan interesse (104), noget overraskende i lyset af den forpligtelse, der påhviler medlemsstaterne i henhold til denne bestemmelse (105).
65.      Under alle omstændigheder synes den procedure for adgang til oplysninger om aktionærer i henhold til artikel
11, stk. 4, og artikel
14, stk. 1, nr. 1.1, i lov om informationsfrihed (106), der er nævnt i punkt 20 og 63 i dette forslag til afgørelse, ikke at være unødigt byrdefuld eller langvarig, og den har til formål in concreto at forene de forskellige interesser, der er involveret. Den omhandlede nationale procedure synes således (107) at være et middel til at nå de pågældende mål lige så effektivt.
66.      Jeg er derfor af den opfattelse (108), at forpligtelsen i lettisk ret til at stille visse specifikke oplysninger om aktionærerne i aktieselskaber stiftet i henhold til lettisk ret til rådighed for offentligheden, og det pågældende fravær af ethvert krav om at godtgøre en legitim interesse i at få adgang til sådanne oplysninger, med henblik på at nå de mål af almen interesse, der består i at skabe et miljø, der fremmer og understøtter forebyggelsen af hvidvask, finansiering af terrorisme og nuklear spredning samt tilgængeligheden af de oplysninger, der er nødvendige for at fuldbyrde nationale og internationale sanktioner samt EU-sanktioner, er uforholdsmæssig stricto sensu.
VI.    Forslag til afgørelse
67.      På baggrund af samtlige ovenstående betragtninger foreslår jeg, at Domstolen besvarer de af Latvijas Republikas Satversmes tiesa (Republikken Letlands forfatningsdomstol) forelagte spørgsmål som følger:
»1)      Artikel 14, litra d), og artikel 16, stk. 3, i Europa-Parlamentets og Rådets direktiv (EU) 2017/1132 af 14. juni 2017 om visse aspekter af selskabsretten
skal fortolkes således, at begrebet personer, der »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet« som omhandlet i artikel
14, litra
d), i direktiv 2017/1132,
ikke kan fortolkes således, at det henviser til enhver aktionær i et aktieselskab. En medlemsstat er ikke forpligtet til at offentliggøre oplysningerne om alle aktionærer og gøre dem offentligt tilgængelige i registret i overensstemmelse med artikel
16, stk. 3, i direktiv 2017/1132.
2)       Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), navnlig dens artikel 5 og 6,
skal fortolkes således, at den er til hinder for en national lovgivning, der foreskriver behandling af visse personoplysninger om aktionærerne i et aktieselskab ved at stille dem til rådighed for enhver, uden at denne
skal
godtgøre en legitim interesse i at få adgang til sådanne oplysninger, med det formål at sikre et gennemsigtigt erhvervsklima for at beskytte tredjemands interesser, at forebygge hvidvask af penge og finansiering af terrorisme og spredning og at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner.«
1 –      Originalsprog: engelsk.
i      Den foreliggende sags navn er et vedtaget navn. Det svarer ikke til et navn på en part i sagen.
2 –      Som blev indgivet til Domstolens Justitskontor den 19.11.2024.
3 –      De 17 omhandlede aktionærer er fysiske personer.
4 –      Jeg vil for nemheds skyld henvise til disse selskaber som aktieselskaber.
5 –      Jf. den lettiske lovgivning som omtalt i punkt 9 i dette forslag til afgørelse.
6 –      EUT 2017, L 169, s. 46.
7 –      EUT 2016, L 119, s. 1.
8 –      Dette vedrører finansieringen af spredning af masseødelæggelsesvåben.
9 –      For så vidt angår detaljerne i denne procedure henvises til punkt 20 i dette forslag til afgørelse. Jf. ligeledes punkt 63-65 heri.
10 –      Dom af 22.11.2022, Luxembourg Business Registers (C-37/20 og C-601/20, herefter »dommen i sagen Luxembourg Business Registers«, EU:C:2022:912).
11 –      Af 13.4.2000 (Latvijas Vēstnesis, 2000, nr. 158/160).
12 –      Af 20.11.1990 (Latvijas Republikas Augstākās Padomes un Valdības Ziņotājs, 1990, nr. 49).
13 –      Dom af 9.3.2017 (C-398/15, herefter »Manni-dommen«, EU:C:2017:197).
14 –      Jf. artikel 11, stk. 4, i lov om informationsfrihed.
15 –      Den svenske regering har formelt indgivet indlæg vedrørende den forelæggende rets første spørgsmål. Den fandt imidlertid også, at artikel 14, litra d), nr. ii), i direktiv 2017/1132 er gyldig, henset til chartrets artikel 7 og 8, og behandlede dermed i sit indlæg også den forelæggende rets andet spørgsmål.
16 –      Det fremgår af artikel 13 i direktiv 2017/1132 og bilag II til dette direktiv – hvoraf sidstnævnte for så vidt angår Letland henviser til »akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība« – at direktivets artikel 14, litra d), nr. ii), og artikel 16, stk. 3, bl.a. finder anvendelse på aktieselskaber stiftet i henhold til lettisk ret. Rent illustrativt skal det påpeges, at bilag II til dette direktiv for Irlands vedkommende på engelsk henviser til »companies incorporated with limited liability« (selskaber stiftet med begrænset ansvar).
17 –      Jf. i denne retning dom af 21.12.2023, DOBELES AUTOBUSU PARKS m.fl. (C-421/22, EU:C:2023:1028, præmis 40).
18 –      Jf. alene til illustration artikel 72 i direktiv 2017/1132, der henviser til »aktionærer«, »generalforsamlingen« og »direktion eller bestyrelse«. Det er tydeligt, at der er tale om tre forskellige juridiske begreber i henhold til direktiv 2017/1132.
19 –      Jf. ligeledes artikel 3, litra e), i direktiv 2017/1132, som bestemmer, at »[s]elskabers vedtægter eller stiftelsesoverenskomst […] i det mindste [skal] indeholde oplysninger om følgende«: […] »de bestemmelser, medmindre sådanne følger af loven, som fastsætter antallet af og fremgangsmåden ved udpegelse af medlemmer til de organer, der har til opgave at repræsentere selskabet over for tredjemand, administrere, lede, samt føre tilsyn eller kontrol med selskabet, og som fastsætter fordelingen af beføjelserne mellem disse organer«.
20 –      Jf. derimod artikel 1 i Europa-Parlamentets og Rådets direktiv (EU) 2025/25 af 19.12.2024 om ændring af direktiv 2009/102/EF og (EU) 2017/1132 for så vidt angår yderligere udvidelse og opgradering af anvendelsen af digitale værktøjer og processer inden for selskabsret (EUT L, 2025/25), som erstattede artikel 3 i direktiv 2009/102 og som bestemmer, at »[n]år selskabet bliver et enkeltmandsselskab derved, at alle anparterne forenes på én hånd, indføres oplysning herom samt om den eneste selskabsdeltagers identitet i selskabets aktmappe eller indføres i det register, der er omhandlet i artikel 16, stk. 1, og 2 i [direktiv 2017/1132], og gøres offentligt tilgængelig via det registersammenkoblingssystem, der er omhandlet i nævnte direktivs artikel 16, stk. 1«. Det følger heraf, at når EU-lovgiver kræver offentliggørelse af oplysninger om de enkelte aktionærer i et selskab i registret i overensstemmelse med bl.a. artikel 16 i direktiv 2017/1132, fastsætter den dette krav udtrykkeligt.
21 –      Jf. artikel 106 og 152 i direktiv 2017/1132 om det privatretlige ansvar for medlemmer af et selskabs administrations- eller ledelsesorganer i visse tilfælde.
22 –      Domstolen har præciseret, at det fremgår af syvende og ottende betragtning til direktiv 2017/1132, at formålet med den offentlighed, som direktivet foreskriver, navnlig er at beskytte tredjemands interesser i forhold til aktieselskaber og selskaber med begrænset ansvar, eftersom disse kun giver tredjemand selskabsformuen at holde sig til som sikkerhed for fyldestgørelse. I denne henseende skal denne offentlighed gøre det muligt for tredjemand at gøre sig bekendt med de væsentlige dokumenter vedrørende det pågældende selskab samt at få visse oplysninger om dette, navnlig om identiteten af de personer, som har ret til at forpligte selskabet (dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, herefter »dommen i sagen Agentsia po vpisvaniyata«, EU:C:2024:827, præmis 77).
23 –      Dette fremgår tydeligt af anvendelsen af udtrykket »i det mindste« i artikel 14 i direktiv 2017/1132. Jf. ligeledes henvisningen til »de væsentlige dokumenter« i ottende betragtning til dette direktiv.
24 –      Jf. dommen i sagen Agentsia po vpisvaniyata, præmis 53.
25 –      Jf. tredje, syvende og ottende betragtning til direktiv 2017/1132. Tredje betragtning henviser til kreditorbeskyttelse, mens syvende og ottende betragtning til samt artikel 14, litra d), nr. i), i direktiv 2017/1132 henviser til tredjemand. Selv om disse begreber ikke er synonyme, er det min opfattelse, at den tredjemand, der højst sandsynligt har behov for beskyttelse i henhold til direktiv 2017/1132, er et selskabs kreditorer. Selve ordlyden af artikel 50, stk. 2, litra g), TEUF, som er et af dette direktivs retsgrundlag, henviser imidlertid til behovet for generelt at beskytte tredjemands interesser uden at sondre mellem eller udelukke kategorier, der er omfattet af dette begreb, således at den tredjemand, der henvises til i denne artikel, ikke kan begrænses til alene det pågældende selskabs kreditorer. Jf. analogt Manni-dommen, præmis 51.
26 –      Begreberne »er beføjede til at forpligte selskabet over for tredjemand og til at repræsentere det ved rettergang« og »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet« i artikel 14, litra d), i direktiv 2017/1132 kan betegnes som noscitur a sociis. EU-lovgiver har således haft til hensigt at behandle dem på samme måde. Den blotte status af mindretalsaktionær i et aktieselskab gør det nemlig ikke muligt for en aktionær at repræsentere selskabet over for tredjemand og ved domstolene.
27 –      Manni-dommen vedrørte fortolkningen af Rådets første direktiv 68/151/EØF af 9.3.1968 om samordning af de garantier, som kræves i medlemsstaterne af de i traktatens artikel 58, stk. 2, nævnte selskaber til beskyttelse af såvel selskabsdeltagernes som tredjemands interesser, med det formål at gøre disse garantier lige byrdefulde (EFT 1968 I, s. 41), med senere ændringer, og Europa-Parlamentets og Rådets direktiv 95/46/EF af 24.10.1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31). Direktiv 68/151 blev ophævet og erstattet af Europa-Parlamentets og Rådets direktiv 2009/101/EF af 16.9.2009 om samordning af de garantier, som kræves i medlemsstaterne af de i traktatens artikel 48, stk. 2, nævnte selskaber til beskyttelse af såvel selskabsdeltagernes som tredjemands interesser, med det formål at gøre disse garantier lige byrdefulde (EUT 2009, L 258, s. 11), som ændret ved Europa-Parlamentets og Rådets direktiv 2012/17/EU af 13.6.2012 (EUT 2012, L 156, s. 1). Direktiv 95/46 er blevet ophævet og erstattet af databeskyttelsesforordningen.
28 –      Jf. præmis 58. Denne sag vedrørte ikke alene offentliggørelsen af identiteten og de respektive funktioner for de personer, der havde beføjelse til at forpligte det pågældende selskab og til at repræsentere det eller deltage i ledelsen af, i tilsynet med eller i kontrollen med dette selskab, men også offentliggørelsen af oplysninger vedrørende udpegelsen af likvidatorer og deres beføjelser. Jf. derimod dommen i sagen Luxembourg Business Registers, præmis 63-88, hvori Domstolen i det væsentlige udtalte, at en forpligtelse for medlemsstaterne til at sikre, at oplysninger om den reelle ejers identitet samt om arten og omfanget af den reelle ejers rettigheder i selskaber eller andre juridiske enheder i alle tilfælde er tilgængelige for offentligheden, tilsidesætter proportionalitetsprincippet, idet indgrebet i de rettigheder, der er sikret ved chartrets artikel 7 og 8, ikke var begrænset til det strengt nødvendige med henblik på at forhindre, at det finansielle system anvendes til hvidvask af penge eller finansiering af terrorisme, og var uforholdsmæssigt stricto sensu.
29 –      Jeg er også af den opfattelse, at en så udbredt offentliggørelse stemmer dårligt overens med begrebet aktieselskab. Dette fremgår måske tydeligere af betydningen af udtrykkene »sociedad anónima«, »société anonoyme« og »sociedade anónima de responsabilidade limitada«, som anvendes på henholdsvis spansk, fransk og portugisisk i bilag II til direktiv 2017/1132.
30 –      Jf. selve titlen på direktiv 2017/1132.
31 –      Jf. analogt dom af 18.4.2024, Citadeles nekustamie īpašumi (C-22/23, EU:C:2024:327, præmis 48).
32 –      I henhold til artikel 161 i direktiv 2017/1132, som ændret ved Europa-Parlamentets og Rådets direktiv (EU) 2019/1151 af 20.6.2019 om ændring af direktiv (EU) 2017/1132 for så vidt angår brugen af digitale værktøjer og processer inden for selskabsret (EUT 2019, L 186, s. 80), foretages behandling af personoplysninger i henhold til dette direktiv i overensstemmelse med databeskyttelsesforordningen.
33 –      Efter min opfattelse bør disse to spørgsmål besvares samlet.
34 –      For at besvare den forelæggende rets spørgsmål er det efter min opfattelse nødvendigt at undersøge andre bestemmelser i databeskyttelsesforordningen, navnlig artikel 6 heri.
35 –      Det skal erindres, at den samarbejdsordning, som er indført ved artikel 267 TEUF, er baseret på en klar adskillelse mellem de nationale retters og Domstolens funktioner. Under en sag anlagt i henhold til denne artikel tilkommer det retterne i medlemsstaterne og ikke Domstolen at fortolke nationale bestemmelser, og det tilkommer ikke Domstolen at tage stilling til, om nationale bestemmelser er forenelige med EU-retten. Domstolen har derimod kompetence til at forsyne den nationale domstol med alle de EU-retlige fortolkningselementer, som kan sætte denne i stand til at bedømme, om nationale bestemmelser er forenelige med EU-retten (dom af 11.9.2025, Cairo Network m.fl., C-764/23 – C-766/23, EU:C:2025:691, præmis 43).
36 –      Dom af 2.3.2023, Norra Stockholm Bygg (C-268/21, EU:C:2023:145, præmis 26 og den deri nævnte retspraksis). Domstolen har præciseret, at definitionen af databeskyttelsesforordningens materielle anvendelsesområde som fastsat i forordningens artikel 2, stk. 1, er meget vid, og at undtagelserne til dette anvendelsesområde, der er fastsat i denne forordnings artikel 2, stk. 2, skal fortolkes indskrænkende (dom af 30.3.2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C-34/21, EU:C:2023:270, præmis 33 og den deri nævnte retspraksis).
37 –      Jf. analogt dom af 6.10.2020, Bank Refah Kargaran mod Rådet (C-134/19 P, EU:C:2020:793, præmis 29, 30 og 37). For en forklaring af forholdet mellem kapitel 2 i afsnit V TEU og artikel 215 TEUF henvises til mit forslag til afgørelse Čiekuri-Shishki
(C-480/24, EU:C:2025:672, punkt 27, 28, 32 og 33).
38 –      Jf. handelslovens artikel 235, stk. 1, og artikel 4.10, stk. 5, artikel 4.11, stk. 1, nr. 2, og artikel 4.15, stk. 1, nr. 2, litra b), og
artikel 4.15, stk. 1, nr. 3, litra a), i lov om selskabsregistret.
39 –      Jf. analogt dom af 24.2.2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål) (C-175/20, EU:C:2022:124, præmis 30-38), og af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 65). Jf. ligeledes dom af 3.4.2025, Ministerstvo zdravotnictví (Oplysninger om repræsentanten for en juridisk person) (C-710/23, EU:C:2025:231, præmis 22-31 og den deri nævnte retspraksis).
40 –      Jf. analogt dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv) (C-204/21, EU:C:2023:442, præmis 327-329 og 332 og den deri nævnte retspraksis).
41 –      Dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv) (C-204/21, EU:C:2023:442, præmis 332).
42 –      Jf. også 73. betragtning til databeskyttelsesforordningen.
43 –      Dom af 6.10.2020, La Quadrature du Net m.fl. (C-511/18, C-512/18 og C-520/18, EU:C:2020:791, præmis 207 og 208 og den deri nævnte retspraksis), og af 3.4.2025, Ministerstvo zdravotnictví (Oplysninger om repræsentanten for en juridisk person) (C-710/23, EU:C:2025:231, præmis 33).
44 –      Dom af 11.7.2024, Meta Platforms Irland (Gruppesøgsmål) (C-757/22, EU:C:2024:598, præmis 49 og den deri nævnte retspraksis). Jf. dog databeskyttelsesforordningens artikel 23.
45 –      Jf. databeskyttelsesforordningens artikel 5, stk. 1, litra a).
46 –      Jf. databeskyttelsesforordningens artikel 5, stk. 1, litra b). Denne bestemmelse fastslår princippet om formålsbegrænsning. Jf. ligeledes chartrets artikel 8, stk. 2, som kræver, at personoplysninger skal behandles rimeligt til udtrykkeligt angivne formål.
47 –      Jf. databeskyttelsesforordningens artikel 5, stk. 1, litra c). Denne bestemmelse fastsætter princippet om dataminimering, som konkretiserer proportionalitetsprincippet. Jf. i denne retning dom af 9.1.2025, Mousse (C-394/23, EU:C:2025:2, præmis 24 og den deri nævnte retspraksis). Princippet om dataminimering pålægger bl.a. den dataansvarlige at begrænse varigheden af indsamlingen af de omhandlede personoplysninger til, hvad der er strengt nødvendigt for formålet med den påtænkte behandling. Desuden må den dataansvarlige ikke foretage en generel og udifferentieret indsamling af personoplysninger og skal afholde sig fra at indsamle oplysninger, der ikke er strengt nødvendige af hensyn til formålet med behandlingen (dom af 4.10.2024, Schrems (Videregivelse af oplysninger til offentligheden), C-446/21, EU:C:2024:834, præmis 52 og 59 og den deri nævnte retspraksis).
48 –      Jf. databeskyttelsesforordningens artikel 5, stk. 1, litra d).
49 –      Jf. databeskyttelsesforordningens artikel 5, stk. 1, litra e).
50 –      Jf. databeskyttelsesforordningens artikel 5, stk. 1, litra f).
51–      Dom af 20.10.2022, Digi (C‑77/21, EU:C:2022:805, præmis 47). I henhold til databeskyttelsesforordningens artikel 5, stk. 2, påhviler det desuden den dataansvarlige at bevise, at disse oplysninger er indsamlet i overensstemmelse med bestemmelsens stk. 1. Dette betegnes som »ansvarlighedsprincippet« (dom af 14.3.2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, præmis 32 og den deri nævnte retspraksis).
52 –      Dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint) (C-439/19, EU:C:2021:504, præmis 99 og den deri nævnte retspraksis).
53 –      Databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, overlapper og udvider således det princip om behandlingens lovlighed, som er fastsat i denne forordnings artikel 5, stk. 1, litra a). Jf. i denne retning dom af 20.10.2022, Digi (C-77/21, EU:C:2022:805, præmis 49 og 56-59 og den deri nævnte retspraksis).
54 –      Kommissionen er af den opfattelse, at det fremgår af anmodningen om præjudiciel afgørelse, at behandlingen i den foreliggende sag er baseret på databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c). Den norske regering har gjort gældende, at de nationale bestemmelser, som det fjerde præjudicielle spørgsmål er baseret på, udgør en »retlig forpligtelse« til at behandle de omhandlede oplysninger i henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c). Den polske og den finske regering henviser imidlertid også til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra e).
55 –      Jf. navnlig artikel 4.10, stk. 5, artikel 4.11, stk. 1, nr. 2, og artikel 4.15, stk. 1, nr. 2, litra b), og artikel 4.15, stk. 1, nr. 3, litra a), i lov om lov om selskabsregistret.
56 –      Jf. databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra e). Denne bestemmelse har en vis lighed med fleksibilitetsklausulen i artikel 352 TEUF, som under visse betingelser gør det muligt at vedtage foranstaltninger, der er nødvendige for at nå et legitimt mål, selv om deres vedtagelse ikke er specifikt foreskrevet.
57 –      Jf. analogt dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv) (C-204/21, EU:C:2023:442, præmis 339 og den deri nævnte retspraksis), og af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 71). Jf. derimod dommen i sagen Agentsia po vpisvaniyata, præmis 107-110, hvori Domstolen fastslog, at behandlingen af personoplysninger ikke var baseret på en retlig forpligtelse i henhold til EU-retten eller medlemsstaternes nationale ret, men syntes at være foretaget i forbindelse med en opgave i samfundets interesse som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra e).
58 –      Jf. dommen i sagen Agentsia po vpisvaniyata, præmis 83. Jf. ligeledes analogt dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende) (C‑231/22, EU:C:2024:7, præmis 35-38).
59 –      En sådan behandling skal anses for at være fastlagt i lovgivningen som omhandlet i chartrets artikel 52, stk. 1 (dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 72).
60 –      I sit forslag til afgørelse I. (Salg af en database) (C-693/22, EU:C:2024:162, punkt 68) fandt generaladvokat Pikamäe, at dette navnlig indebærer, at der findes retsforskrifter, der udtrykkeligt nævner behandlingens karakter og formål.
61 –      Dommen i sagen Agentsia po vpisvaniyata, præmis 104. Jf. ligeledes databeskyttelsesforordningens artikel 5, stk. 1, litra b), som fastsætter princippet om formålsbegrænsning og præciserer, at personoplysninger skal indsamles til »udtrykkeligt angivne og legitime formål«. I henhold til 39. betragtning til databeskyttelsesforordningen »[bør især] de specifikke formål med behandlingen af personoplysninger være udtrykkelige og legitime og fastlagt, når personoplysningerne indsamles [...]«.
62 –      Jf. ligeledes databeskyttelsesforordningens artikel 5, stk. 1, litra b).
63 –      Jf. analogt dom af 11.1.2024, État belge (Oplysninger behandlet af en statstidende) (C-231/22, EU:C:2024:7, præmis 30).
64 –      Det skal således efterprøves, om det indgreb i de rettigheder, der er sikret ved chartrets artikel 7 og 8, som følger af offentlighedens adgang til oplysninger om hver aktionær, er begrænset til det strengt nødvendige i den forstand, at målet ikke med rimelighed kan nås lige så effektivt med andre midler, der er mindre indgribende i de berørte personers grundlæggende rettigheder. Jf. analogt dommen i sagen Luxembourg Business Registers, præmis 66.
65 –      Jf. analogt dommen i sagen Luxembourg Business Registers, præmis 63 og den deri nævnte retspraksis.
66 –      Dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 69 og 70 og den deri nævnte retspraksis), og dommen i sagen Luxembourg Business Registers, præmis 59-66 og den deri nævnte retspraksis. Jf. også fjerde betragtning til databeskyttelsesforordningen.
67 –      Dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 98).
68 –      Jf. dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 98 og 99 og den deri nævnte retspraksis). Jf. endvidere dom af 4.7.2023, Meta Platforms m.fl. (Almindelige betingelser for anvendelse af et socialt netværk) (C-252/21, EU:C:2023:537, præmis 134) vedrørende betydningen af omfanget af den pågældende behandling.
69 –      Hvis vedkommende har anmodet om, at det anvendes af virksomheden til at kommunikere med denne.
70 –      Jf. handelslovens artikel 235, stk. 1.
71 –      Som den forelæggende ret har anført.
72 –      Jf. analogt dommen i sagen Luxembourg Business Registers, præmis 41-44 og den deri nævnte retspraksis.
73 –      Generaladvokat Pikamäe anførte i sit forslag til afgørelse Digi (C-77/21, EU:C:2022:248, punkt 40), at det i praksis er absolut tænkeligt, at personoplysninger kan indsamles eller viderebehandles med flere forskellige formål. Databeskyttelsesforordningen tager højde for og tillader tydeligt dette, således som det fremgår af ordlyden af denne forordnings artikel 5, stk. 1, litra b), og artikel 6, stk. 1, litra a), samt 32. og 50. betragtning hertil.
74 –      Jf. analogt dom af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv) (C-204/21, EU:C:2023:442, præmis 353).
75 –      Jf. analogt dommen i sagen Luxembourg Business Registers, præmis 59 og den deri nævnte retspraksis.
76 –      Dette er et af retsgrundlagene for direktiv 2017/1132.
77 –      Jf. også Manni-dommen, præmis 49-51, der kobler i) adgangen til væsentlige oplysninger om handelsselskabers sammensætning og om de beføjelser, der tilkommer de på selskabernes vegne optrædende personer, med ii) beskyttelsen af tredjemands interesser generelt.
78 –      Jf. punkt 58 og 59 og den deri nævnte retspraksis samt generaladvokat Pitruzzellas forslag til afgørelse Luxembourg Business Registers (C-37/20 og C-601/20, EU:C:2022:43, punkt 143-145 og den deri nævnte retspraksis). Jf. analogt dom af 2.3.2023, PrivatBank m.fl (C-78/21, EU:C:2023:137, præmis 61).
79 –      Jf. også Europa-Parlamentets og Rådets direktiv (EU) 2015/849 af 20.5.2015 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (EUT 2015, L 141, s. 73), og Europa-Parlamentets og Rådets direktiv (EU) 2024/1640 af 31.5.2024 om de mekanismer som medlemsstaterne skal indføre for at forebygge anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme (EUT L, 2024/1640). Jeg skal understrege, at artikel 43 i direktiv 2015/849 fastslår, at »[b]ehandling af personoplysninger på grundlag af dette direktiv med henblik på forebyggelse af hvidvask af penge og finansiering af terrorisme, jf. artikel 1, betragtes som værende i samfundets interesse i henhold til [databeskyttelsesforordningen]«.
80 –      Jf. i denne retning dom af 28.3.2017, Rosneft (C-72/15, EU:C:2017:236, præmis 148-150).
81 –      Og den nationale lovgivning til gennemførelse heraf.
82 –      Det tilkommer den forelæggende ret at afgøre dette.
83 –      Jf. dommen i sagen Luxembourg Business Registers, præmis 67. Jf. ligeledes analogt dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, præmis 83), og af 5.6.2023, Kommissionen mod Polen (Dommeres uafhængighed og privatliv) (C-204/21, EU:C:2023:442, præmis 367).
84 –      Respekt for deres privatliv og beskyttelse af deres personoplysninger.
85 –      Forpligtede enheder har adgang inden for rammerne af kundekendskabsprocedurer. Jf. navnlig dette direktivs kapitel II.
86 –      Jf. i denne retning, punkt 30 i Generalsekretariatet for Rådet »Restriktive foranstaltninger (sanktioner) – Ajourføring af EU’s bedste praksis for effektiv gennemførelse af restriktive foranstaltninger« af 3.7.2024, der er tilgængelig på: https://data.consilium.europa.eu/doc/document/ST-11623-2024-INIT/da/pdf (herefter »bedste praksis«).
87 –      Jf. den lettiske regerings skriftlige indlæg punkt 40. Jf. ligeledes artikel 5 i Republikken Letlands lov om internationale og nationale sanktioner.
88 –      Jf. præmis 83.
89 –      De har i alle sager ubegrænset adgang til de pågældende oplysninger.
90 –      Som defineret i artikel 3, stk. 6, i direktiv 2015/849
91 –      Dette skal sammenholdes med andre offentligt tilgængelige oplysninger om selskaber, såsom dem, der er fastsat i direktiv 2017/1132.
92 –      C-480/24, EU:C:2025:672, punkt 34.
93 –      Jf. punkt 41.
94 –      Min fremhævelse.
95 –      Jf. ligeledes til illustration artikel 2, stk. 2, i Rådets forordning (EU) nr. 269/2014 af 17.3.2014 om restriktive foranstaltninger over for tiltag, der underminerer eller truer Ukraines territoriale integritet, suverænitet og uafhængighed (EUT 2014, L 78, s. 6), som ændret ved Rådets gennemførelsesforordning (EU) 2022/1985 af 20.10.2022 (EUT 2022, L 272 I, s. 1), jf. analogt dom af 17.1.2019, SH (C-168/17, EU:C:2019:36, præmis 51 og 53 og den deri nævnte retspraksis).
96 –      Jf. f.eks. proceduren for anmodning om oplysninger, som er underlagt begrænsninger i henhold til lov om informationsfrihed, og de begrænsninger heri, der fremgår af punkt 20 og 63-65 i dette forslag til afgørelse.
97 –      Som er aktieselskaber.
98 –      Jf. dommens præmis 76.
99 –      Jf. analogt dommen i sagen Luxembourg Business Registers, præmis 85.
100 –      Med forbehold af den forelæggende rets efterprøvelse.
101 –      Den forelæggende ret har i sin anmodning om præjudiciel afgørelse henvist til »oplysninger, som er underlagt begrænsninger«.
102 –      Min fremhævelse.
103 –      Direktiv 2015/849 foretager kun en minimumsharmonisering, eftersom dets artikel 5 bemyndiger medlemsstaterne til under overholdelse af EU-retten at vedtage eller opretholde strengere bestemmelser, når disse bestemmelser har til formål at styrke bekæmpelsen af hvidvask af penge og finansiering af terrorisme (dom af 2.3.2023, PrivatBank m.fl., C-78/21, EU:C:2023:137, præmis 64).
104 –      Selvom det er i forhold til aktionærer generelt.
105 –      Jf. dommen i sagen Luxembourg Business Registers, præmis 72. Jf. også artikel 30, stk. 3, i direktiv 2015/849.
106 –      Det fremgår ikke klart af de sagsakter, som Domstolen råder over, hvilken forbindelse der i givet fald er mellem disse bestemmelser.
107 –      Med forbehold af den forelæggende rets efterprøvelse.
108 –      Med forbehold af den efterprøvelse, som det tilkommer den forelæggende ret at foretage.