62023CJ0200_RES
Υπόθεση C‑200/23
Agentsia po vpisvaniyata
κατά
OL
(αίτηση του Varhoven administrativen sad για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (πρώτο τμήμα) της 4ης Οκτωβρίου 2024
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Δημοσίευση, στο εμπορικό μητρώο, εταιρικής σύμβασης που περιέχει δεδομένα προσωπικού χαρακτήρα – Οδηγία (ΕΕ) 2017/1132 – Μη υποχρεωτικώς απαιτούμενα δεδομένα προσωπικού χαρακτήρα – Έλλειψη συγκατάθεσης του υποκειμένου των δεδομένων – Δικαίωμα διαγραφής – Μη υλική ζημία»
Ελευθερία εγκατάστασης – Εταιρίες – Οδηγία 2017/1132 – Υποχρέωση κράτους μέλους να επιτρέπει τη δημοσιοποίηση, στο εμπορικό μητρώο, εταιρικής σύμβασης που περιέχει δεδομένα προσωπικού χαρακτήρα – Μη απαιτούμενη από το εθνικό δίκαιο δημοσίευση των δεδομένων – Δεν υφίσταται υποχρέωση
(Οδηγία 2017/1132 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 21 § 2)
(βλ. σκέψεις 54, 55, 60 και διατακτ. 1)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Έννοια του όρου «υπεύθυνος επεξεργασίας» – Έννοια του όρου «αποδέκτης των δεδομένων» – Αρχή η οποία είναι υπεύθυνη για το εμπορικό μητρώο κράτους μέλους και προβαίνει στη δημοσίευση δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται σε εταιρική σύμβαση – Εμπίπτει – Σύμβαση που περιέχει δεδομένα προσωπικού χαρακτήρα τα οποία δεν είναι απαιτούμενα ούτε από την οδηγία 2017/1132 ούτε από το εθνικό δίκαιο – Δεν ασκεί επιρροή
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 4, σημεία 7 και 9· οδηγία 2017/1132 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου)
(βλ. σκέψεις 66, 72-76, 83 και διατακτ. 2)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Προϋποθέσεις υπό τις οποίες είναι σύννομη η επεξεργασία δεδομένων προσωπικού χαρακτήρα – Επεξεργασία απαραίτητη για τη συμμόρφωση του υπευθύνου επεξεργασίας με έννομη υποχρέωση – Δημοσίευση δεδομένων προσωπικού χαρακτήρα που περιλαμβάνονται σε εταιρική σύμβαση – Δεδομένα προσωπικού χαρακτήρα τα οποία δεν είναι απαιτούμενα ούτε από την οδηγία 2017/1132 ούτε από το εθνικό δίκαιο – Δεν επιτρέπεται – Χαρακτηρισμός της δημοσίευσης αυτής ως επεξεργασίας απαραίτητης για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας – Προϋποθέσεις – Αναγκαιότητα της επεξεργασίας
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 6 § 1, εδ. 1, στοιχεία γʹ και εʹ· οδηγία 2017/1132 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου)
(βλ. σκέψεις 94-96, 105-112, 114-116)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα διαγραφής – Έκταση – Παράνομη επεξεργασία δεδομένων προσωπικού χαρακτήρα – Εμπίπτει – Σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα – Επεξεργασία απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας – Δεν εμπίπτει – Εξαίρεση – Ύπαρξη νόμιμων και επιτακτικών λόγων που δικαιολογούν την επεξεργασία και υπερισχύουν των συμφερόντων και των δικαιωμάτων και ελευθεριών του υποκειμένου των δεδομένων – Ο υπεύθυνος επεξεργασίας φέρει το βάρος αποδείξεως
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 6 § 1, στοιχείο εʹ, 17 § 1, στοιχεία γʹ και δʹ, και 21 § 1)
(βλ. σκέψεις 118-120)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα διαγραφής – Υποχρέωση της εθνικής αρχής που είναι υπεύθυνη για το εμπορικό μητρώο κράτους μέλους να απορρίπτει κάθε αίτηση διαγραφής δεδομένων που δεν έχουν απαλειφθεί – Δεδομένα προσωπικά χαρακτήρα τα οποία δεν είναι απαιτούμενα ούτε από την οδηγία 2017/1132 ούτε από το εθνικό δίκαιο – Δεν επιτρέπεται
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 17· οδηγία 2017/1132 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 16)
(βλ. σκέψη 127 και διατακτ. 3)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Έννοια του όρου «δεδομένα προσωπικού χαρακτήρα» – Ιδιόχειρη υπογραφή φυσικού προσώπου – Εμπίπτει
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 4, σημείο 1)
(βλ. σκέψεις 131, 133-136 και διατακτ. 4)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα αποζημίωσης και ευθύνη – Δικαίωμα αποκατάστασης της προκληθείσας ζημίας – Μη υλική ζημία – Έννοια – Απώλεια ελέγχου επί των δεδομένων προσωπικού χαρακτήρα – Εμπίπτει – Προϋποθέσεις – Το υποκείμενο των δεδομένων φέρει το βάρος αποδείξεως της μη υλικής ζημίας – Υποχρέωση απόδειξης της ύπαρξης πρόσθετων απτών επιπτώσεων – Δεν υφίσταται
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 82 § 1)
(βλ. σκέψεις 140-146, 156 και διατακτ. 5)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα αποζημίωσης και ευθύνη – Ευθύνη του υπευθύνου επεξεργασίας και υποχρέωση αποκατάστασης της ζημίας την οποία υπέστη το υποκείμενο των δεδομένων – Απαλλαγή – Περιεχόμενο – Συμβουλευτική γνώμη την οποία εκδίδει και παρέχει στον υπεύθυνο επεξεργασίας εποπτική αρχή, με αντικείμενο ζητήματα σχετικά με την προστασία των δεδομένων – Μη εφαρμογή της απαλλαγής από την ευθύνη σε περίπτωση εθνικής αρχής που έχει την ιδιότητα του υπευθύνου επεξεργασίας
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 4, σημείο 7, 58 § 3, στοιχείο βʹ, και 82 §§ 1 έως 3)
(βλ. σκέψεις 171, 172, 174, 176 και διατακτ. 6)
Σύνοψη
Κατόπιν προδικαστικής παραπομπής από το Varhoven administrativen sad (Ανώτατο Διοικητικό Δικαστήριο, Βουλγαρία), το Δικαστήριο αποφαίνεται επί σειράς ζητημάτων που αφορούν, κατ’ ουσίαν, τη σχέση μεταξύ, αφενός, των διατάξεων της Ευρωπαϊκής Ένωσης οι οποίες διέπουν τη δημοσιότητα των πράξεων των εταιριών (
1
) και, αφετέρου, του ΓΚΠΔ (
2
).
Η OL είναι εταίρος της εταιρίας περιορισμένης ευθύνης «Praven Shtit Konsulting» OOD, η οποία έχει συσταθεί κατά το βουλγαρικό δίκαιο και καταχωρίστηκε στο εμπορικό μητρώο κατόπιν προσκόμισης εταιρικής σύμβασης. Η σύμβαση αυτή, η οποία κατέστη προσβάσιμη στο κοινό από την Agentsia po vpisvaniyata (υπηρεσία καταχωρίσεων στα μητρώα, Βουλγαρία) (στο εξής: Υπηρεσία) υπό τη μορφή που είχε προσκομιστεί, περιέχει διάφορα προσωπικά δεδομένα των εταίρων, περιλαμβανομένων του ονοματεπώνυμου, του αριθμού ταυτότητας, της διεύθυνσης και της υπογραφής τους.
Το 2021 η OL ζήτησε από την Υπηρεσία να διαγράψει τα προσωπικά της δεδομένα τα οποία περιλαμβάνονταν στην εταιρική σύμβαση. Η Υπηρεσία απέρριψε την αίτηση και η OL άσκησε ενώπιον του Administrativen sad Dobrich (διοικητικού πρωτοδικείου Dobrich, Βουλγαρία) δύο προσφυγές κατά της σχετικής απορριπτικής αποφάσεως. Το δικαστήριο αυτό, με απόφαση της 5ης Μαΐου 2022, υποχρέωσε την Υπηρεσία να καταβάλει στην OL ένα χρηματικό ποσό προς αποκατάσταση μη υλικής ζημίας δυνάμει του ΓΚΠΔ (
3
). Η Υπηρεσία προσέβαλε την εις βάρος της πρωτόδικη απόφαση, ασκώντας αναίρεση ενώπιον του αιτούντος δικαστηρίου.
Το αιτούν δικαστήριο υπέβαλε στο Δικαστήριο αίτηση προδικαστικής αποφάσεως ζητώντας διευκρινίσεις, καθώς καλείται να συμβιβάσει τη νομοθεσία για το δικαίωμα προστασίας των δεδομένων προσωπικού χαρακτήρα με τη νομοθεσία για τη δημοσιότητα και την πρόσβαση σε ορισμένες πράξεις των εταιριών.
Εκτίμηση του Δικαστηρίου
Πρώτον, ως προς το τι καλύπτει η οικειοθελής δημοσιοποίηση στοιχείων, συμπεριλαμβανομένων των δεδομένων προσωπικού χαρακτήρα που περιέχονται στις καταστατικές πράξεις των εταιριών, το Δικαστήριο διαπιστώνει ότι η διάταξη της οδηγίας 2017/1132 η οποία έχει ως αντικείμενο την οικειοθελή δημοσιοποίηση πράξεων και στοιχείων των εταιριών (
4
) αφορά μόνον τις μεταφράσεις τους, χωρίς ωστόσο να αναφέρεται στο περιεχόμενό τους. Ως εκ τούτου, δεν είναι δυνατόν να ερμηνευθεί υπό την έννοια ότι επιβάλλει οποιαδήποτε υποχρέωση δημοσιότητας δεδομένων προσωπικού χαρακτήρα τα οποία δεν απαιτείται να δημοσιεύονται ούτε βάσει άλλων διατάξεων του δικαίου της Ένωσης ούτε βάσει του δικαίου του οικείου κράτους μέλους, αλλά περιλαμβάνονται σε πράξη υποκείμενη στην υποχρεωτική δημοσιότητα που προβλέπεται από την ως άνω οδηγία (
5
). Συνεπώς, η συγκεκριμένη διάταξη δεν συνεπάγεται υποχρέωση κράτους μέλους να επιτρέπει τη δημοσιοποίηση στο εμπορικό μητρώο εταιρικής σύμβασης που υπόκειται στην προβλεπόμενη από την οδηγία υποχρεωτική δημοσιότητα και περιέχει, πέραν των ελάχιστων απαιτούμενων δεδομένων προσωπικού χαρακτήρα, άλλα προσωπικά δεδομένα των οποίων η δημοσίευση δεν επιβάλλεται από το δίκαιο του κράτους μέλους αυτού.
Δεύτερον, το Δικαστήριο τονίζει ότι η αρχή που είναι αρμόδια για την τήρηση του εμπορικού μητρώου κράτους μέλους και δημοσιεύει στο μητρώο τα δεδομένα προσωπικού χαρακτήρα τα οποία περιλαμβάνονται σε εταιρική σύμβαση που υπόκειται στην προβλεπόμενη από την οδηγία 2017/1132 υποχρεωτική δημοσιότητα και έχει κοινοποιηθεί στην αρμόδια αρχή στο πλαίσιο αιτήσεως καταχώρισης της εταιρίας στο μητρώο είναι τόσο «αποδέκτης» των δεδομένων αυτών όσο και, στον βαθμό που τα καθιστά προσβάσιμα στο κοινό, «υπεύθυνος επεξεργασίας» τους (
6
), ακόμη και αν η εταιρική σύμβαση περιέχει δεδομένα προσωπικού χαρακτήρα τα οποία δεν είναι μεταξύ των απαιτούμενων από την οδηγία 2017/1132 ή από το δίκαιο του οικείου κράτους μέλους.
Στο πλαίσιο αυτό, το Δικαστήριο παρατηρεί ότι, βάσει της οδηγίας 2017/1132, εναπόκειται στα κράτη μέλη να ορίσουν, μεταξύ άλλων, ποιες κατηγορίες πληροφοριών σχετικών με την ταυτότητα των προσώπων που συνδέονται με εταιρίες και, ειδικότερα, ποια είδη δεδομένων προσωπικού χαρακτήρα υπόκεινται σε υποχρεωτική δημοσιότητα, τηρουμένου του δικαίου της Ένωσης.
Το Δικαστήριο επισημαίνει ακόμη ότι η αρχή που είναι αρμόδια για την τήρηση του εμπορικού μητρώου κράτους μέλους, καταχωρίζοντας και φυλάσσοντας τα δεδομένα προσωπικού χαρακτήρα τα οποία λαμβάνει στο πλαίσιο αιτήσεως καταχώρισης εταιρίας στο μητρώο, γνωστοποιώντας τα, ενδεχομένως, σε τρίτους κατόπιν αιτήσεως και δημοσιεύοντάς τα στο εθνικό δελτίο, ή εξασφαλίζοντας τη δημοσιοποίησή τους με κάποιο μέτρο ισοδυνάμου αποτελέσματος, προβαίνει σε πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα σε σχέση με τις οποίες είναι «υπεύθυνος επεξεργασίας». Πράγματι, αυτές οι πράξεις επεξεργασίας δεδομένων προσωπικού χαρακτήρα είναι διακριτές και μεταγενέστερες της κοινοποίησης των δεδομένων από τον αιτούντα την καταχώριση στο εμπορικό μητρώο και της παραλαβής τους από την αρμόδια αρχή. Επιπλέον, η τελευταία προβαίνει μόνη της στις επίδικες πράξεις επεξεργασίας, σύμφωνα με τους σκοπούς και τους λεπτομερείς κανόνες που καθορίζονται στην οδηγία 2017/1132 και στη νομοθεσία του οικείου κράτους μέλους με την οποία η οδηγία μεταφέρεται στο εσωτερικό του δίκαιο.
Κατά τρίτον, όσον αφορά το δικαίωμα διαγραφής το οποίο ενδέχεται να διαθέτει το υποκείμενο των δεδομένων (
7
), το Δικαστήριο εξετάζει, σε πρώτο στάδιο, τους λόγους νομιμότητας στους οποίους μπορεί να εμπίπτει η επεξεργασία των προσωπικών του δεδομένων.
Κατ’ αρχάς, ως προς το ζήτημα αν η επεξεργασία αυτή είναι αναγκαία για την τήρηση έννομης υποχρέωσης που απορρέει από το δίκαιο της Ένωσης ή από το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας (
8
), το Δικαστήριο κρίνει ότι η οδηγία 2017/1132 δεν επιβάλλει τη συστηματική επεξεργασία κάθε προσωπικού δεδομένου που περιέχεται σε πράξη υποκείμενη στην υποχρεωτική δημοσιότητα την οποία προβλέπει η εν λόγω οδηγία. Αντιθέτως, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα η οποία διενεργείται στο πλαίσιο της οδηγίας πρέπει να ανταποκρίνεται πλήρως στις απαιτήσεις του ΓΚΠΔ. Συνακόλουθα, τα κράτη μέλη οφείλουν να μεριμνούν ώστε να επιτυγχάνεται ένας συμβιβασμός μεταξύ, αφενός, των επιδιωκόμενων από την οδηγία 2017/1132 σκοπών της ασφάλειας δικαίου και της προστασίας των συμφερόντων των τρίτων και, αφετέρου, των δικαιωμάτων που κατοχυρώνονται στον ΓΚΠΔ.
Επομένως, δεν μπορεί να γίνει δεκτό ότι η παροχή στο κοινό διαδικτυακής πρόσβασης, μέσω του εμπορικού μητρώου, σε δεδομένα προσωπικού χαρακτήρα τα οποία δεν είναι μεταξύ των απαιτούμενων από την οδηγία 2017/1132 ή από την επίμαχη στην υπόθεση της κύριας δίκης εθνική νομοθεσία, αλλά περιλαμβάνονται σε εταιρική σύμβαση υποκείμενη στην υποχρεωτική δημοσιότητα που προβλέπεται από την οδηγία και κοινοποιούμενη στην Υπηρεσία, δικαιολογείται από την απαίτηση δημοσιότητας των πράξεων στις οποίες αναφέρεται η οδηγία και ότι απορρέει, ως εκ τούτου, από έννομη υποχρέωση προβλεπόμενη από το δίκαιο της Ένωσης. Επιπλέον, υπό την επιφύλαξη σχετικού ελέγχου από το αιτούν δικαστήριο, δεν προκύπτει να θεμελιώνεται η νομιμότητα της επίδικης επεξεργασίας ούτε σε έννομη υποχρέωση προβλεπόμενη από το εθνικό δίκαιο.
Εν συνεχεία, ως προς την αναγκαιότητα της επίδικης επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον (
9
), το Δικαστήριο παρατηρεί ότι προκύπτει όντως, εν προκειμένω, ότι η επεξεργασία αυτή πραγματοποιείται στο πλαίσιο τέτοιου καθήκοντος. Παρά ταύτα, φαίνεται να βαίνει πέραν του αναγκαίου μέτρου για την επίτευξη των επιδιωκόμενων σκοπών γενικού συμφέροντος.
Το Δικαστήριο επισημαίνει συναφώς ότι η απαίτηση διαφύλαξης της ακεραιότητας και της αξιοπιστίας των πράξεων που υπόκεινται στην προβλεπόμενη από την οδηγία 2017/1132 υποχρεωτική δημοσιότητα, η οποία επιτάσσει τη δημοσίευση των πράξεων αυτών όπως κοινοποιούνται στις αρμόδιες για την τήρηση του εμπορικού μητρώου αρχές, δεν μπορεί να υπερισχύει συστηματικά του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, διότι άλλως η προστασία του δικαιώματος θα καθίστατο φενάκη. Ειδικότερα, δεν είναι δυνατόν να επιβάλλεται, κατ’ επίκληση της προαναφερθείσας απαιτήσεως, η διατήρηση της διαδικτυακής πρόσβασης του κοινού, μέσω του εμπορικού μητρώου, σε δεδομένα προσωπικού χαρακτήρα τα οποία δεν είναι μεταξύ των απαιτούμενων από την οδηγία 2017/1132 ή από το εθνικό δίκαιο, τη στιγμή που η Υπηρεσία θα μπορούσε να καταρτίσει η ίδια το προβλεπόμενο από την εθνική νομοθεσία αντίγραφο της πράξεως της εταιρίας, από το οποίο έχουν απαλειφθεί τα μη απαιτούμενα δεδομένα, προκειμένου να το καταστήσει προσβάσιμο στο κοινό.
Σε δεύτερο στάδιο, το Δικαστήριο υπογραμμίζει ότι, σε περίπτωση που το αιτούν δικαστήριο καταλήξει, κατόπιν της σχετικής εκτιμήσεώς του, στο συμπέρασμα ότι η επίδικη επεξεργασία είναι παράνομη, εναπόκειται στην Υπηρεσία, ως υπεύθυνη της επεξεργασίας, να διαγράψει τα οικεία δεδομένα το συντομότερο δυνατόν.
Εντούτοις, αν το αιτούν δικαστήριο καταλήξει στο συμπέρασμα ότι η επεξεργασία αυτή είναι πράγματι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον, ιδίως εφόσον κριθεί ότι η παροχή στο κοινό διαδικτυακής πρόσβασης, μέσω του εμπορικού μητρώου, σε δεδομένα προσωπικού χαρακτήρα τα οποία δεν είναι μεταξύ των απαιτούμενων από την οδηγία 2017/1132 ή από την επίμαχη εθνική νομοθεσία ήταν αναγκαία προκειμένου να αποφευχθεί η καθυστέρηση της καταχώρισης της εταιρίας, προς το συμφέρον της προστασίας των τρίτων, θα πρέπει να εξεταστεί κατά πόσον υφίστανται επιτακτικοί και νόμιμοι λόγοι που θα μπορούσαν να υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων και να αντιτίθενται στην ευδοκίμηση της αιτήσεως διαγραφής (
10
).
Συνεπώς, το Δικαστήριο διαπιστώνει ότι η οδηγία 2017/1132 και ο ΓΚΠΔ έχουν την έννοια ότι δεν επιτρέπουν νομοθεσία ή πρακτική κράτους μέλους κατ’ εφαρμογήν της οποίας η αρχή που είναι αρμόδια για την τήρηση του εμπορικού μητρώου του κράτους μέλους αυτού απορρίπτει κάθε αίτηση διαγραφής δεδομένων προσωπικού χαρακτήρα τα οποία δεν είναι μεταξύ των απαιτούμενων από την ως άνω οδηγία ή από το δίκαιο του εν λόγω κράτους μέλους αλλά περιλαμβάνονται σε εταιρική σύμβαση δημοσιευόμενη στο μητρώο, εφόσον δεν έχει παρασχεθεί στην αρμόδια αρχή, αντιθέτως προς τους διαδικαστικούς κανόνες που προβλέπονται από την εθνική νομοθεσία, αντίγραφο της σύμβασης από το οποίο να έχουν απαλειφθεί τα προαναφερθέντα δεδομένα.
Τέλος, αποφαινόμενο επί του καθεστώτος ευθύνης δυνάμει του ΓΚΠΔ και, πιο συγκεκριμένα, επί των συνεπειών που έχει, στο πλαίσιο αυτό, γνώμη η οποία εκδίδεται από την εποπτική αρχή κράτους μέλους, το Δικαστήριο υπογραμμίζει ότι, βάσει του ΓΚΠΔ (
11
), η έκδοση τέτοιας γνώμης εμπίπτει στις συμβουλευτικές και όχι στις αδειοδοτικές εξουσίες της εποπτικής αρχής. Επιπλέον, οι όροι που χρησιμοποιούνται στην κρίσιμη διάταξη του ΓΚΠΔ υποδηλώνουν ότι η γνώμη αυτή δεν είναι, κατά το δίκαιο της Ένωσης, νομικά δεσμευτική. Επομένως, αυτή και μόνον η ύπαρξη τέτοιας γνώμης δεν αποδεικνύει ότι είναι αδύνατον να καταλογιστεί η ευθύνη για τη ζημία στον υπεύθυνο επεξεργασίας, ούτε αρκεί, ως εκ τούτου, για να τον απαλλάξει από την ευθύνη του δυνάμει του ΓΚΠΔ. Κατά συνέπεια, η γνώμη της εποπτικής αρχής δεν αρκεί για να απαλλαγεί από την ευθύνη η αρχή που είναι αρμόδια για την τήρηση του εμπορικού μητρώου κράτους μέλους και έχει την ιδιότητα του υπευθύνου της επεξεργασίας.
(
1
)	Οδηγία (EE) 2017/1132 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 14ης Ιουνίου 2017, σχετικά με ορισμένες πτυχές του εταιρικού δίκαιου (ΕΕ 2017, L 169, σ. 46).
(
2
)	Κανονισμός (EE) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
(
3
)	Δυνάμει του άρθρου 82 του ΓΚΠΔ.
(
4
)	Άρθρο 21, παράγραφος 2, της οδηγίας 2017/1132.
(
5
)	Δυνάμει του άρθρου 14 της οδηγίας 2017/1132.
(
6
)	Κατά την έννοια του άρθρου 4, σημείο 7, και του άρθρου 4, σημείο 9, του ΓΚΠΔ αντιστοίχως.
(
7
)	Δυνάμει του άρθρου 17 του ΓΚΠΔ.
(
8
)	Λόγος νομιμότητας ο οποίος διαλαμβάνεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο γʹ, του ΓΚΠΔ.
(
9
)	Λόγος νομιμότητας ο οποίος διαλαμβάνεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο εʹ, του ΓΚΠΔ.
(
10
)	Δυνάμει του άρθρου 17, παράγραφος 1, στοιχείο γʹ, σε συνδυασμό με το άρθρο 21, παράγραφος 1, του ΓΚΠΔ.
(
11
)	Άρθρο 58, παράγραφος 3, στοιχείο βʹ, του ΓΚΠΔ.