62023CJ0200_RES
Mål C‑200/23
Agentsia po vpisvaniyata
mot
OL
(begäran om förhandsavgörande från Varhoven administrativen sad)
Domstolens dom (första avdelningen) av den 4 oktober 2024
”Begäran om förhandsavgörande – Skyddet för fysiska personer vid behandling av personuppgifter – Förordning (EU) 2016/679 – Offentliggörande i handelsregistret av ett bolagsavtal som innehåller personuppgifter – Direktiv (EU) 2017/1132 – Icke-obligatoriska personuppgifter – Inget samtycke från den registrerade – Rätt till radering – Immateriell skada”
Etableringsfrihet – Bolag – Direktiv 2017/1132 – En medlemsstats skyldighet att tillåta offentliggörande i handelsregistret av ett bolagsavtal som innehåller personuppgifter – Offentliggörande av uppgifter som inte krävs enligt nationell rätt – Skyldighet föreligger inte
(Europaparlamentets och rådets direktiv 2017/1132, artikel 21.2)
(se punkterna 54, 55 och 60 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Begreppet personuppgiftsansvarig – Begreppet mottagare av uppgifter – Myndighet som ansvarar för handelsregistret i en medlemsstat och som offentliggör personuppgifter som ingår i ett bolagsavtal – Omfattas – Avtal som innehåller personuppgifter som inte krävs vare sig enligt direktiv 2017/1132 eller enligt nationell rätt – Saknar betydelse
(Europaparlamentets och rådets förordning 2016/679, artikel 4 leden 7 och 9; Europaparlamentets och rådets direktiv 2017/1132)
(se punkterna 66, 72–76 och 83 samt punkt 2 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Villkor för att en behandling av personuppgifter ska vara laglig – Behandling som behövs för att fullgöra en lagstadgad skyldighet som åvilar den personuppgiftsansvarige – Offentliggörande av personuppgifter som återfinns i ett bolagsavtal – Personuppgifter som inte krävs vare sig enligt direktiv 2017/1132 eller enligt nationell rätt – Omfattas inte – Kvalificering av offentliggörandet som en behandling är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning – Villkor – Huruvida behandlingen är nödvändig
(Europaparlamentets och rådets förordning 2016/679, artikel 6.1 första stycket c och e; Europaparlamentets och rådets direktiv 2017/1132)
(se punkterna 94–96, 105–112 och 114–116)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till radering – Omfattning – Olaglig behandling av personuppgifter – Omfattas – Laglig behandling av personuppgifter – Behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning – Omfattas inte – Undantag – Huruvida det föreligger berättigade och tvingande skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter – Bevisbörda som åvilar den personuppgiftsansvarige
(Europaparlamentets och rådets förordning 2016/679, artikel 6.1 e, artikel 17.1 c och d samt artikel 21.1)
(se punkterna 118–120)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till radering – Skyldighet för en nationell myndighet som ansvarar för en medlemsstats handelsregister att avslå en begäran om radering av icke maskerade uppgifter – Personuppgifter som inte krävs vare sig enligt direktiv 2017/1132 eller enligt nationell rätt – Otillåtlighet
(Europaparlamentets och rådets förordning 2016/679, artikel 17; Europaparlamentets och rådets direktiv 2017/1132, artikel 16)
(se punkt 127 samt punkt 3 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Begreppet personuppgifter – En fysisk persons egenhändiga namnteckning – Omfattas
(Europaparlamentets och rådets förordning 2016/679, artikel 4 led 1)
(se punkterna 131 och 133–136 samt punkt 4 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till ersättning och skadeståndsansvar – Rätt till ersättning för den uppkomna skadan – Immateriell skada – Begrepp – Förlust av kontrollen över personuppgifter – Omfattas – Villkor – Den registrerade personens bevisbörda för immateriell skada – Skyldighet att påvisa att det föreligger ytterligare konkreta negativa konsekvenser – Föreligger inte
(Europaparlamentets och rådets förordning 2016/679, artikel 82.1)
(se punkterna 140–146 och 156 samt punkt 5 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till ersättning och skadeståndsansvar – Den personuppgiftsansvariges ansvar och skyldighet att ersätta den skada som en registrerad har lidit – Befrielse – Tillämpningsområde – En tillsynsmyndighets utfärdande av ett rådgivande yttrande beträffande frågor som rör skydd av personuppgifter vilket tillställts den personuppgiftsansvarige – Ej tillämpning av ansvarsfrihetsgrund för en nationell myndighet som är personuppgiftsansvarig
(Europaparlamentets och rådets förordning 2016/679, artikel 4 led 7, artiklarna 58.3 b och 82.1–82.3)
(se punkterna 171, 172, 174 och 176 samt punkt 6 i domslutet)
Resumé
Efter en begäran om förhandsavgörande från Varhoven administrativen sad (Högsta förvaltningsdomstolen, Bulgarien), uttalar sig EU-domstolen om en rad frågor som i huvudsak rör förhållandet mellan de unionsrättsliga bestämmelserna om offentliggörande av bolagshandlingar (
1
) och dataskyddsförordningen (
2
).
OL är delägare i ”Praven Shtit Konsulting” OOD, ett bolag med begränsat ansvar bildat enligt bulgarisk rätt som efter uppvisande av ett bolagsavtal skrevs i handelsregistret. Detta avtal, som offentliggjorts av Agentsia po vpisvaniyata (byrå med ansvar för inskrivning i register, Bulgarien) (nedan kallad byrån) utan några modifieringar, innehåller flera personuppgifter om bolagsmännen, däribland deras efternamn, förnamn, identitetskortsnummer, adresser och underskrifter.
År 2021 begärde OL att byrån skulle radera de personuppgifter angående OL som förekom i avtalet. OL inkom med två överklaganden av byråns avslagsbeslut till Administrativen sad Dobrich (Förvaltningsdomstolen i Dobrich, Bulgarien). Genom dom av den 5 maj 2022 förpliktade förvaltningsdomstolen registreringsbyrån att ersätta OL för immateriell skada enligt dataskyddsförordningen. (
3
) Då byrån inte lät sig nöjas med utgången i målet överklagande den domen till den hänskjutande domstolen.
Den hänskjutande domstolen fann att osäkerhet råder om vilken avvägning som ska göras mellan den lagstiftning som skyddar personuppgifter och den lagstiftning som säkerställer offentliggörande och tillgång till vissa bolagshandlingar, och den beslutade därför att hänskjuta en begäran om förhandsavgörande till EU-domstolen.
EU-domstolens bedömning
Vad för det första gäller räckvidden av den frivilliga publiceringen av uppgifter, inbegripet personuppgifter som förekommer i bolagshandlingarna, påpekar EU-domstolen att den bestämmelse i direktiv 2017/1132 som handlar om frivillig publicering av handlingar och upplysningar avseende bolaget (
4
) endast avser översättningar av dessa handlingar och upplysningar, och inte deras innehåll. Således kan bestämmelsen inte tolkas så, att den medför någon som helst skyldighet att offentliggöra uppgifter som inte måste offentliggöras enligt andra bestämmelser i unionsrätten eller i den berörda medlemsstatens nationella rätt, men som förekommer i en handling som omfattas av det obligatoriska offentliggörande som föreskrivs i direktivet (
5
). Bestämmelsen innebär därmed inte att en medlemsstat är skyldig att tillåta ett offentliggörande i handelsregistret av ett bolagsavtal som omfattas av det obligatoriska offentliggörande som föreskrivs i detta direktiv och som utöver de uppgifter som måste finnas med även innehåller andra personuppgifter som inte behöver offentliggöras enligt denna medlemsstats nationella rätt.
För det andra noterar domstolen att den myndighet med ansvar för handelsregistret i en medlemsstat som där offentliggör personuppgifter som finns med i ett bolagsavtal, vilket omfattas av det obligatoriska offentliggörande som föreskrivs i direktiv 2017/1132 och vilket lämnats in till myndigheten vid en ansökan om inskrivning av bolaget i nämnda register, är såväl ”mottagare” av uppgifterna som – bland annat genom att göra uppgifterna tillgängliga för allmänheten – ”personuppgiftsansvarig” för dessa uppgifter (
6
), även om avtalet innehåller uppgifter som inte krävs enligt direktivet eller den medlemsstatens nationella rätt.
Domstolen påpekar i detta sammanhang att det enligt direktiv 2017/1132 ankommer på medlemsstaterna att fastställa bland annat vilka kategorier av uppgifter om identiteten hos de personer som är knutna till bolagen, och i synnerhet vilka typer av personuppgifter, som ska offentliggöras, med iakttagande av unionsrätten.
Domstolen noterar även att den registeransvariga myndigheten dessutom utför behandling av personuppgifter för vilken den är ”personuppgiftsansvarig” i den mening som avses i artikel 4 leden 2 och 7 i dataskyddsförordningen när den för in och lagrar personuppgifter i samband med en ansökan om registrering av ett bolag i handelsregistret i en medlemsstat, när den – i förekommande fall på begäran av tredje man – lämnar ut dem, och när den offentliggör dem i den nationella officiella tidningen eller med hjälp av någon annan lika effektiv metod. Denna behandling av personuppgifter är nämligen klart åtskild från, samt infaller efter, den överföring till myndigheten av de personuppgifter som den som ansöker om inskrivning i handelsregistret gör. Myndigheten utför dessutom ensam nämnda behandling i enlighet med de ändamål och krav som fastställts i direktiv 2017/1132 och i lagstiftningen i den medlemsstat som genomför direktivet.
Vad för det tredje gäller den registrerades eventuella rätt till radering, (
7
) prövar domstolen först de laglighetsgrunder som behandlingen av vederbörandes personuppgifter kan omfattas av.
Vad gäller frågan huruvida denna behandling är nödvändig för fullgörandet av en rättslig förpliktelse som följer av unionsrätten eller den nationella rätt i en medlemsstat som den personuppgiftsansvarige omfattas av, (
8
) framhåller EU-domstolen att direktiv 2017/1132 inte ställer några krav på en systematisk behandling av alla personuppgifter i en handling som omfattas av det obligatoriska offentliggörandet enligt direktivet. Tvärtom måste all behandling av personuppgifter som utförs inom ramen för detta direktiv fullt ut uppfylla de krav som följer av dataskyddsförordningen. Det ankommer således på medlemsstaterna att se till att förena de mål om rättssäkerhet och skydd för tredje mans intressen som eftersträvas med direktiv 2017/1132 med de rättigheter som slås fast i dataskyddsförordningen.
Det kan således inte anses att behovet av att säkerställa att de handlingar som avses i direktivet är offentliga motiverar att personuppgifter, som förekommer i ett till byrån inlämnat bolagsavtal som omfattas av det obligatoriska offentliggörandet enligt detta direktiv, offentliggörs i handelsregistret, via internet, när dessa inte krävs enligt direktiv 2017/1132 eller enligt den nationella lagstiftning som är aktuell i det nationella målet, och det kan således inte anses att detta offentliggörande följer av en rättslig förpliktelse som föreskrivs i unionsrätten. Den aktuella behandlingen kan inte heller, med förbehåll för den hänskjutande domstolens prövning, anses vara laglig på grundval av någon rättslig förpliktelse enligt den nationella rätten.
Vad vidare gäller frågan huruvida den aktuella behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, (
9
) påpekar domstolen att det visserligen framgår att denna behandling har utförts i samband med en sådan uppgift. Den förefaller emellertid gå utöver vad som är nödvändigt för att uppnå de mål av allmänintresse som eftersträvas.
Domstolen påpekar i detta avseende att behovet av att bevara integriteten och tillförlitligheten hos de bolagshandlingar som omfattas av det obligatoriska offentliggörandet enligt direktiv 2017/1132 – som enligt vad som påståtts kräver att dessa handlingar offentliggörs i den form i vilken de har överlämnats till de myndigheter som ansvarar för handelsregistret – inte systematiskt har företräde framför rätten till skydd för personuppgifter. Det skulle göra skyddet för personuppgifter illusoriskt. I synnerhet kan detta behov inte innebära att personuppgifter som inte krävs enligt detta direktiv eller nationell rätt måste fortsätta hållas tillgängliga för allmänheten, via internet, i detta register, trots att byrån själv hade kunnat upprätta en sådan kopia av bolagets handling med de icke nödvändiga personuppgifterna borttagna som föreskrivs i nationell rätt och offentliggöra den.
Därefter understryker domstolen att det, för det fall den hänskjutande domstolen efter sin bedömning skulle komma fram till att den berörda behandlingen är olaglig, ankommer på byrån att, i egenskap av personuppgiftsansvarig, radera de berörda uppgifterna utan onödigt dröjsmål.
Om den hänskjutande domstolen däremot kommer fram till att behandlingen faktiskt behövdes för att utföra en uppgift av allmänt intresse, bland annat eftersom det behövdes ett offentliggörande i handelsregistret, via internet, av personuppgifter som inte krävs enligt direktiv 2017/1132 eller enligt den nationella lagstiftningen, för att till skydd för tredje mans intressen undvika att försena registreringen av bolaget, behöver det emellertid prövas huruvida det föreligger avgörande berättigade skäl som kan väga tyngre än den registrerades intressen, rättigheter och friheter, samt utgöra hinder för att efterkomma begäran om radering. (
10
)
Domstolen konstaterar således att direktiv 2017/1132 och dataskyddsförordningen ska tolkas så, att de utgör hinder för en medlemsstats lagstiftning eller praxis som föranleder myndigheten med ansvar för handelsregistret i denna medlemsstat att avslå en begäran om radering av personuppgifter som inte krävs enligt direktivet eller den medlemsstatens nationella rätt och som finns med i ett bolagsavtal som offentliggjorts i registret, när det inte lämnats in någon kopia av avtalet där dessa uppgifter har maskerats, vilket strider mot förfarandereglerna i denna lagstiftning.
Slutligen framhåller domstolen, när den uttalar sig om ansvarssystemet enligt dataskyddsförordningen och, mer konkret, om vilken inverkan ett yttrande från en tillsynsmyndighet i en medlemsstat har i detta sammanhang, att utfärdandet av ett sådant yttrande enligt dataskyddsförordningen (
11
) omfattas av tillsynsmyndighetens befogenheter att ge råd och inte av tillsynsmyndighetens befogenheter att utfärda tillstånd. Dessutom tyder de uttryck som används på att detta yttrande inte är rättsligt bindande enligt unionsrätten. Det berörda yttrandet kan således inte i sig visa att den personuppgiftsansvarige inte är ansvarig för skadan och följaktligen inte heller räcka för att befria den personuppgiftsansvarige från ansvar enligt dataskyddsförordningen. Det räcker sålunda inte med ett sådant yttrande för att en personuppgiftsansvarig myndighet med ansvar för handelsregistret i en medlemsstat ska befrias från ansvar.
(
1
)	Europaparlamentets och rådets direktiv (EU) 2017/1132 av den 14 juni 2017 om vissa aspekter av bolagsrätt (EUT L 169, 2017, s. 46).
(
2
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
(
3
)	Med stöd av artikel 82 i dataskyddsförordningen.
(
4
)	Artikel 21.2 i direktiv 2017/1132.
(
5
)	Enligt artikel 14 i direktiv 2017/1132.
(
6
)	I den mening som avses i artikel 4 led 7 respektive artikel 4 led 9 i dataskyddsförordningen.
(
7
)	Med stöd av artikel 17 i dataskyddsförordningen.
(
8
)	Laglighetsgrunden i artikel 6.1 första stycket c i dataskyddsförordningen.
(
9
)	Laglighetsgrunden i artikel 6.1 första stycket e i dataskyddsförordningen.
(
10
)	Enligt artikel 17.1 c jämförd med artikel 21.1 i dataskyddsförordningen.
(
11
)	Artikel 58.3 b i dataskyddsförordningen.