62023CJ0200_RES
Sprawa C‑200/23
Agentsia po vpisvaniyata
przeciwko
OL
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Varhoven administrativen sad)
Wyrok Trybunału (pierwsza izba) z dnia 4 października 2024 r.
Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Publikacja w rejestrze handlowym umowy spółki zawierającej dane osobowe – Dyrektywa (UE) 2017/1132 – Nieobowiązkowe dane osobowe – Brak zgody osoby, której dane dotyczą – Prawo do usunięcia danych – Szkoda niemajątkowa
Swoboda przedsiębiorczości – Spółki – Dyrektywa 2017/1132 – Obowiązek zezwolenia przez państwo członkowskie na ujawnienie w rejestrze handlowym umowy spółki zawierającej dane osobowe – Publikacja danych niewymagana przez prawo krajowe – Brak obowiązku
(dyrektywa Parlamentu Europejskiego i Rady 2017/1132, art. 21 ust. 2]
(zob. pkt 54, 55, 60; pkt 1 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Pojęcie administratora – Pojęcie odbiorcy danych – Organ odpowiedzialny za rejestr handlowy państwa członkowskiego, publikujący dane osobowe zawarte w umowie spółki – Włączenie – Umowa zawierająca dane osobowe, które nie są wymagane ani przez dyrektywę 2017/1132, ani przez prawo krajowe – Brak wpływu
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 4 pkt 7, 9; dyrektywa Parlamentu Europejskiego i Rady 2017/1132)
(zob. pkt 66, 72–76, 83; pkt 2 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Warunki legalności przetwarzania danych osobowych – Przetwarzanie niezbędne w świetle przewidzianego prawem obowiązku nałożonego na administratora danych – Publikacja danych osobowych zawartych w umowie spółki – Dane osobowe, które nie są wymagane ani przez dyrektywę 2017/1132, ani przez prawo krajowe – Wyłączenie – Kwalifikacja tej publikacji jako przetwarzania koniecznego dla realizacji zadania wykonywanego w interesie publicznym lub do wykonywania władzy publicznej – Przesłanki – Konieczność przetwarzania
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 6 ust. 1 akapit pierwszy lit. c), e); dyrektywa Parlamentu Europejskiego i Rady 2017/1132]
(zob. pkt 94–96, 105–112, 114–116)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Prawo do usunięcia danych – Zakres – Niezgodne z prawem przetwarzanie danych osobowych – Włączenie – Zgodne z prawem przetwarzanie danych osobowych – Przetwarzanie konieczne dla realizacji zadania wykonywanego w interesie publicznym lub do wykonywania władzy publicznej – Wyłączenie – Wyjątek – Występowanie nadrzędnych prawnie uzasadnionych podstaw przetwarzania, które mają pierwszeństwo przed interesami oraz prawami i wolnościami osoby, której dane dotyczą – Ciężar dowodu spoczywający na administratorze
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 6 ust. 1 lit. e), art. 17 ust. 1 lit. c), d), art. 21 ust. 1]
(zob. pkt 118–120)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Prawo do usunięcia danych – Spoczywający na krajowym organie odpowiedzialnym za rejestr handlowy państwa członkowskiego obowiązek oddalenia każdego wniosku o usunięcie nieutajnionych danych – Dane osobowe, które nie są wymagane ani przez dyrektywę 2017/1132, ani przez prawo krajowe – Niedopuszczalność
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 17; dyrektywa Parlamentu Europejskiego i Rady 2017/1132, art. 16)
(zob. pkt 127; pkt 3 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Pojęcie danych osobowych – Odręczny podpis osoby fizycznej – Włączenie
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 4 pkt 1)
(zob. pkt 131, 133–136; pkt 4 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Prawo do odszkodowania i odpowiedzialność – Prawo do odszkodowania za szkodę – Szkoda niemajątkowa – Pojęcie – Utrata kontroli nad danymi osobowymi – Włączenie – Przesłanki – Ciężar dowodu zaistnienia szkody niemajątkowej spoczywający na osobie, której dane dotyczą – Obowiązek wykazania istnienia dodatkowych wymiernych negatywnych konsekwencji – Brak
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 82 ust. 1)
(zob. pkt 140–146, 156; pkt 5 sentencji)
Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2016/679 – Prawo do odszkodowania i odpowiedzialność – Odpowiedzialność administratora i obowiązek naprawienia szkody poniesionej przez osobę, której dane dotyczą – Zwolnienie – Zakres – Wydawanie przez organ nadzorczy opinii doradczych w kwestiach związanych z ochroną danych, przekazywanych administratorowi – Brak zastosowania zwolnienia z odpowiedzialności organu krajowego mającego status administratora
[rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 4 pkt 7, art. 58 ust. 3 lit. b), art. 82 ust. 1–3]
(zob. pkt 171, 172, 174, 176; pkt 6 sentencji)
Streszczenie
Trybunał, do którego zwrócił się w trybie prejudycjalnym Varhoven administrativen sad (najwyższy sąd administracyjny, Bułgaria), wypowiedział się w przedmiocie szeregu pytań dotyczących zasadniczo związku między przepisami prawa Unii Europejskiej w dziedzinie jawności aktów spółek (
1
) a RODO (
2
).
OL jest wspólniczką spółki „Praven Shtit Konsulting” OOD, spółki z ograniczoną odpowiedzialnością prawa bułgarskiego wpisanej do rejestru handlowego w następstwie przedstawienia umowy spółki. Umowa ta, podana do wiadomości publicznej przez Agentsia po vpisvaniyata (agencję ds. wpisów do rejestrów, Bułgaria) (zwaną dalej „agencją”) w postaci, w której została przedłożona, zawiera szereg danych osobowych wspólników, w tym ich nazwiska, imiona, numery dowodów tożsamości, adresy i podpisy.
W 2021 r. OL zwróciła się do agencji o usunięcie dotyczących jej danych osobowych zawartych w tej umowie. Odmowa uwzględnienia tego wniosku przez agencję była przedmiotem dwóch skarg wniesionych przez OL do Administrativen sad Dobrich (sądu administracyjnego w mieście Dobricz, Bułgaria). Wyrokiem z dnia 5 maja 2022 r. sąd ten zasądził od agencji na podstawie RODO (
3
) na rzecz OL odszkodowanie za szkodę niemajątkową. Uznawszy ten wyrok za niesatysfakcjonujący, agencja wniosła skargę kasacyjną do sądu odsyłającego.
Zastanawiając się nad tym, jak należy pogodzić przepisy dotyczące prawa do ochrony danych osobowych z przepisami gwarantującymi jawność i dostęp do niektórych aktów spółek, sąd odsyłający zwrócił się do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym.
Ocena Trybunału
W pierwszej kolejności, w odniesieniu do zakresu dobrowolnego ujawnienia informacji, w tym danych osobowych zawartych w dokumentach spółek, Trybunał zauważył, że przepis dyrektywy 2017/1132, który dotyczy dobrowolnego ujawnienia dokumentów i informacji dotyczących spółki (
4
), dotyczy jedynie ich tłumaczeń, nie odnosząc się jednak do ich treści. W związku z tym nie można go interpretować jako nakładający jakikolwiek obowiązek dotyczący ujawnienia danych, których ujawnienie nie jest wymagane ani przez inne przepisy prawa Unii, ani przez prawo danego państwa członkowskiego, lecz zawartych w dokumencie podlegającym obowiązkowemu ujawnieniu przewidzianemu w tej dyrektywie (
5
). A zatem przepis ten nie nakłada na państwo członkowskie obowiązku zezwolenia na ujawnienie w rejestrze handlowym umowy spółki podlegającej obowiązkowemu ujawnieniu przewidzianemu w tej dyrektywie i zawierającej – inne niż minimalnie wymagane dane osobowe – dane osobowe, których publikacja nie jest wymagana przez prawo tego państwa członkowskiego.
W drugiej kolejności Trybunał wskazał, że organ odpowiedzialny za prowadzenie rejestru handlowego państwa członkowskiego, który publikuje w tym rejestrze dane osobowe zawarte w umowie spółki podlegającej obowiązkowemu ujawnieniu przewidzianemu w dyrektywie 2017/1132, która została mu przekazana w ramach wniosku o wpis tej spółki do tego rejestru, jest zarówno „odbiorcą” tych danych – w szczególności w zakresie, w jakim udostępnia je publicznie – jak i „administratorem” wspomnianych danych (
6
), nawet jeśli umowa ta zawiera dane niewymagane przez tę dyrektywę lub prawo tego państwa członkowskiego.
W tym kontekście Trybunał zauważył, że zgodnie z dyrektywą 2017/1132 do państw członkowskich należy w szczególności określenie, jakie kategorie informacji dotyczących tożsamości osób powiązanych ze spółkami, a w szczególności jakie rodzaje danych osobowych są obowiązkowo ujawniane, z poszanowaniem prawa Unii.
Trybunał wskazał również, że organ odpowiedzialny za prowadzenie tego rejestru, rejestrując i przechowując dane osobowe otrzymane w związku z wnioskiem o wpis spółki do rejestru handlowego danego państwa członkowskiego, ujawniając je w razie potrzeby osobom trzecim na ich żądanie i publikując je w biuletynie krajowym lub w drodze środka o skutku równoważnym, przetwarza dane osobowe, w odniesieniu do których jest on „administratorem”. Takie przetwarzanie danych osobowych jest bowiem odrębne i późniejsze od przekazania danych osobowych przez osobę ubiegającą się o ten wpis i otrzymanych przez ten organ. Co więcej, organ ten samodzielnie dokonuje tego przetwarzania, zgodnie z celami i zasadami określonymi w dyrektywie 2017/1132 i w ustawodawstwie państwa członkowskiego wdrażającym tę dyrektywę.
W trzeciej kolejności, co się tyczy ewentualnego prawa do usunięcia danych przysługującego osobie, której dane dotyczą (
7
), Trybunał przeprowadził najpierw badanie podstaw zgodności z prawem, którym może podlegać przetwarzanie danych osobowych tej osoby.
Po pierwsze, co się tyczy kwestii, czy przetwarzanie to jest konieczne do wypełnienia obowiązku prawnego wynikającego z prawa Unii lub z prawa państwa członkowskiego, któremu podlega administrator danych (
8
), Trybunał zauważył, że dyrektywa 2017/1132 nie wymaga systematycznego przetwarzania wszelkich danych osobowych zawartych w dokumencie podlegającym obowiązkowemu ujawnieniu przewidzianemu w tej dyrektywie. Przeciwnie, każde przetwarzanie danych osobowych dokonywane w ramach tej dyrektywy musi w pełni spełniać wymogi wynikające z RODO. Do państw członkowskich należy zatem czuwanie nad pogodzeniem celów pewności prawa i ochrony interesów osób trzecich, do których dąży dyrektywa 2017/1132, z prawami ustanowionymi w RODO.
W związku z tym nie można uznać, że publiczne udostępnienie online w rejestrze handlowym danych osobowych niewymaganych przez dyrektywę 2017/1132 lub rozpatrywane w postępowaniu głównym przepisy krajowe, zawartych w umowie spółki podlegającej obowiązkowemu ujawnieniu przewidzianemu w tej dyrektywie i przekazanej agencji, jest uzasadnione wymogiem zapewnienia ujawnienia dokumentów, o których mowa we wspomnianej dyrektywie, i że w konsekwencji wynika ono z obowiązku prawnego przewidzianego w prawie Unii. Ponadto nie wydaje się również, aby zgodność z prawem rozpatrywanego przetwarzania opierała się, z zastrzeżeniem weryfikacji przez sąd odsyłający, na obowiązku prawnym przewidzianym w prawie krajowym.
Po drugie, co się tyczy konieczności danego przetwarzania w celu wykonania zadania realizowanego w interesie publicznym (
9
), Trybunał wskazał, że przetwarzanie to wydaje się być, oczywiście, dokonywane przy okazji wykonywania takiego zadania. Wydaje się jednak, że wykracza ono poza to, co jest konieczne do realizacji zamierzonych celów interesu ogólnego.
W tym względzie Trybunał zauważył, że wymóg zachowania integralności i wiarygodności dokumentów spółek podlegających obowiązkowemu ujawnieniu przewidzianemu w dyrektywie 2017/1132, która wymaga publikacji tych dokumentów w postaci, w jakiej zostały one przekazane organom prowadzącym rejestr handlowy, nie może mieć za każdym razem pierwszeństwa nad prawem do ochrony danych osobowych, gdyż w przeciwnym razie ochrona ta stałaby się iluzoryczna. W szczególności wymóg ten nie może nakładać obowiązku udostępnienia publicznie online w tym rejestrze danych osobowych, które nie są wymagane przez tę dyrektywę lub prawo krajowe, podczas gdy agencja mogłaby sama sporządzić odpis – niezawierający danych, które nie są wymagane – aktu rozpatrywanej spółki, przewidziany w tym prawie, w celu tego udostępnienia.
W dalszej kolejności Trybunał podkreślił, że w przypadku gdyby sąd odsyłający, po przeprowadzeniu oceny, stwierdził niezgodność z prawem danego przetwarzania, do agencji, jako administratora, należałoby usunięcie rozpatrywanych danych w najkrótszym możliwym terminie.
Jednakże gdyby sąd ten stwierdził, że przetwarzanie to jest faktycznie niezbędne do wykonania zadania realizowanego w interesie publicznym, w szczególności w zakresie, w jakim publiczne udostępnienie online w rejestrze handlowym danych niewymaganych przez dyrektywę 2017/1132 lub przepisy krajowe jest konieczne do uniknięcia opóźnienia wpisu danej spółki w interesie ochrony osób trzecich, należałoby zbadać, czy istnieją nadrzędne prawnie uzasadnione powody mogące mieć pierwszeństwo przed interesami, prawami i wolnościami osoby, której dane dotyczą, oraz czy mogą one sprzeciwić się wnioskowi o usunięcie danych (
10
).
A zatem Trybunał stwierdził, że dyrektywę 2017/1132 i RODO należy interpretować w ten sposób, że stoją one na przeszkodzie uregulowaniu lub praktyce państwa członkowskiego, które prowadzą do odmowy przez organ odpowiedzialny za prowadzenie rejestru handlowego tego państwa członkowskiego uwzględnienia każdego wniosku o usunięcie danych osobowych, których nie wymaga ta dyrektywa lub prawo wspomnianego państwa członkowskiego, zawartych w umowie spółki opublikowanej w tym rejestrze, jeżeli odpis tej umowy, utajniający te dane, nie został przekazany temu organowi, wbrew zasadom proceduralnym przewidzianym w tym uregulowaniu.
Wreszcie, wypowiadając się w przedmiocie systemu odpowiedzialności na podstawie RODO, a konkretniej w przedmiocie wpływu, w tych ramach, opinii wydanej przez organ nadzorczy państwa członkowskiego, Trybunał podkreślił, że zgodnie z RODO (
11
) wydanie takiej opinii wchodzi w zakres uprawnień doradczych, a nie uprawnień do wydawania zezwoleń, organu nadzorczego. Ponadto użyte sformułowania wskazują, że opinia ta nie jest prawnie wiążąca na mocy prawa Unii. W związku z tym rozpatrywana opinia nie może, sama w sobie, wykazać braku możliwości przypisania odpowiedzialności za szkodę administratorowi, ani tym samym wystarczyć do zwolnienia go z odpowiedzialności na podstawie RODO. W konsekwencji taka opinia nie wystarcza do zwolnienia z odpowiedzialności organu odpowiedzialnego za prowadzenie rejestru handlowego państwa członkowskiego mającego status administratora danych.
(
1
)	Dyrektywa Parlamentu Europejskiego i Rady (UE) 2017/1132 z dnia 14 czerwca 2017 r. w sprawie niektórych aspektów prawa spółek (Dz.U. 2017, L 169, s. 46).
(
2
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwane dalej „RODO”).
(
3
)	Na podstawie art. 82 RODO.
(
4
)	Artykuł 21 ust. 2 dyrektywy 2017/1132.
(
5
)	Na podstawie art. 14 dyrektywy 2017/1132.
(
6
)	Odpowiednio, w rozumieniu art. 4 pkt 7 i art. 4 pkt 9 RODO.
(
7
)	Na podstawie art. 17 RODO.
(
8
)	Podstawa zgodności z prawem zawarta w art. 6 ust. 1 akapit pierwszy lit. c) RODO.
(
9
)	Podstawa zgodności z prawem przewidziana w art. 6 ust. 1 akapit pierwszy lit. e) RODO.
(
10
)	Na podstawie art. 17 ust. 1 lit. c) w związku z art. 21 ust. 1 RODO.
(
11
)	Artykuł 58 ust. 3 lit. b) RODO.