62023CJ0200_RES
Zaak C‑200/23
Agentsia po vpisvaniyata
tegen
OL
(verzoek om een prejudiciële beslissing, ingediend door de Varhoven administrativen sad)
Arrest van het Hof (Eerste kamer) van 4 oktober 2024
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Openbaarmaking in het handelsregister van een vennootschapsovereenkomst die persoonsgegevens bevat – Richtlijn (EU) 2017/1132 – Niet-verplichte persoonsgegevens – Geen toestemming van de betrokkene – Recht op gegevenswissing – Immateriële schade”
Vrijheid van vestiging – Vennootschappen – Richtlijn 2017/1132 – Verplichting van een lidstaat om openbaarmaking in het handelsregister toe te staan van een vennootschapsovereenkomst die persoonsgegevens bevat – Openbaarmaking van gegevens die door het nationale recht niet worden vereist – Geen verplichting
(Richtlijn 2017/1132 van het Europees Parlement en de Raad, art. 21, lid 2)
(zie punten 54, 55, 60 en dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 2016/679 – Begrip verwerkingsverantwoordelijke – Begrip ontvanger van de gegevens – Autoriteit die verantwoordelijk is voor het bijhouden van het handelsregister van een lidstaat die in dat register de persoonsgegevens openbaar maakt die zijn opgenomen in een vennootschapsovereenkomst – Daaronder begrepen – Overeenkomst met persoonsgegevens die noch door richtlijn 2017/1132 noch door het nationale recht worden vereist – Geen invloed
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punten 7 en 9; richtlijn 2017/1132 van het Europees Parlement en de Raad)
(zie punten 66, 72‑76, 83 en dictum 2)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 2016/679 – Voorwaarden voor de rechtmatigheid van verwerking van persoonsgegevens – Verwerking die noodzakelijk is om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust – Openbaarmaking van de persoonsgegevens in een vennootschapsovereenkomst – Persoonsgegevens die noch door richtlijn 2017/1132 noch door het nationale recht worden vereist – Daarvan uitgesloten – Kwalificatie van deze openbaarmaking als verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag – Voorwaarden – Noodzakelijkheid van de verwerking
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 6, lid 1, eerste alinea, c) en e); richtlijn 2017/1132 van het Europees Parlement en de Raad]
(zie punten 94‑96, 105‑112, 114‑116)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 2016/679 – Recht op gegevenswissing – Omvang – Onrechtmatige verwerking van persoonsgegevens – Daaronder begrepen – Rechtmatige verwerking van persoonsgegevens – Verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of die deel uitmaakt van de uitoefening van het openbaar gezag – Daarvan uitgesloten – Uitzondering – Dwingende gerechtvaardigde gronden voor de verwerking die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene – Bewijslast rustend op de verwerkingsverantwoordelijke
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 6, lid 1, e), art. 17, lid 1, c) en d), en art. 21, lid 1]
(zie punten 118‑120)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 2016/679 – Recht op gegevenswissing – Verplichting van een voor het handelsregister van een lidstaat verantwoordelijke autoriteit om elk verzoek om wissing van niet onleesbaar gemaakte persoonsgegevens af te wijzen – Persoonsgegevens die noch door richtlijn 2017/1132 noch door het nationale recht worden vereist – Ontoelaatbaarheid
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 17; richtlijn 2017/1132 van het Europees Parlement en de Raad, art. 16)
(zie punt 127 en dictum 3)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 2016/679 – Begrip „persoonsgegevens” – Met de hand gezette handtekening van een natuurlijke persoon – Daaronder begrepen
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 1)
(zie punten 131, 133‑136 en dictum 4)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 2016/679 – Recht op schadevergoeding en aansprakelijkheid – Recht op vergoeding van de geleden schade – Immateriële schade – Begrip – Verlies van controle over persoonsgegevens – Daaronder begrepen – Voorwaarden – Bewijslast van immateriële schade rustend op de betrokkene – Verplichting om aan te tonen dat ook tastbare negatieve gevolgen zijn ontstaan – Geen
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 82, lid 1)
(zie punten 140‑146, 156 en dictum 5)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Richtlijn 2016/679 – Recht op schadevergoeding en aansprakelijkheid – Aansprakelijkheid van de verwerkingsverantwoordelijke en verplichting om de door een betrokkene geleden schade te vergoeden – Vrijstelling – Omvang – Verstrekking door een toezichthoudende autoriteit aan de verwerkingsverantwoordelijke van een advies over kwesties in verband met de bescherming van gegevens – Niet-toepassing van de vrijwaring van aansprakelijkheid van een nationale autoriteit met de hoedanigheid van verwerkingsverantwoordelijke
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 7, art. 58, lid 3, b), en art. 82, leden 1 tot en met 3]
(zie punten 171, 172, 174, 176 en dictum 6)
Samenvatting
Naar aanleiding van een verzoek om een prejudiciële beslissing van de Varhoven administrativen sad (hoogste bestuursrechter, Bulgarije) spreekt het Hof zich uit over een serie vragen die in wezen gaan over de verhouding tussen de bepalingen van het recht van de Europese Unie op het gebied van de openbaarmaking van de akten van vennootschappen (
1
) en de AVG (
2
).
OL is vennoot van „Praven Shtit Konsulting” OOD, een vennootschap met beperkte aansprakelijkheid naar Bulgaars recht, die na overlegging van een vennootschapsovereenkomst in het handelsregister is ingeschreven. Die overeenkomst, die openbaar was gemaakt door de Agentsia po vpisvaniyata (agentschap voor registraties, Bulgarije; hierna: „agentschap”) in de vorm waarin zij was overgelegd, bevat meerdere persoonsgegevens van de vennoten, waaronder hun voor- en achternaam, het nummer van hun identiteitskaart, hun adres en hun handtekening.
In 2021 heeft OL het agentschap verzocht om haar persoonsgegevens in die vennootschapsovereenkomst te schrappen. Naar aanleiding van de weigering van dat agentschap om dat verzoek in te willigen heeft OL twee beroepen ingesteld bij de Administrativen sad Dobrich (bestuursrechter in eerste aanleg Dobrich, Bulgarije). Bij vonnis van 5 mei 2022 heeft de Administrativen sad Dobrich het agentschap veroordeeld om OL uit hoofde van de AVG (
3
) een vergoeding te betaling voor immateriële schade. Het agentschap was het niet eens met dat vonnis en heeft cassatieberoep ingesteld bij de verwijzende rechter.
De verwijzende rechter vroeg zich af hoe het recht op bescherming van persoonsgegevens, enerzijds, moet worden verzoend met de regeling die de openbaarmaking van en de toegang tot bepaalde akten van vennootschappen waarborgt, anderzijds, en heeft het Hof verzocht om een prejudiciële beslissing.
Beoordeling door het Hof
In de eerste plaats merkt het Hof in verband met de reikwijdte van de vrijwillige openbaarmaking van gegevens, waaronder persoonsgegevens in de akten van vennootschappen, op dat de bepaling van richtlijn 2017/1132 die ziet op vrijwillige openbaarmaking van akten van en gegevens over vennootschappen (
4
) enkel ziet op de vertalingen ervan en niet op hun inhoud. Bijgevolg kan zij niet aldus worden uitgelegd dat zij enige verplichting oplegt om gegevens openbaar te maken waarvan de openbaarmaking noch door andere bepalingen van het Unierecht noch door het recht van de betrokken lidstaat wordt vereist, maar die zijn opgenomen in een akte die op grond van die richtlijn (
5
) verplicht openbaar moet worden gemaakt. Op grond van die bepaling is een lidstaat niet verplicht om toe te staan dat een vennootschapsovereenkomst waarvoor de verplichte openbaarmaking van deze richtlijn geldt, in een handelsregister openbaar wordt gemaakt indien deze overeenkomst naast de minimaal verplichte gegevens ook andere persoonsgegevens bevat waarvan de openbaarmaking naar het recht van die lidstaat niet vereist is.
In de tweede plaats merkt het Hof op dat de autoriteit die belast is met het bijhouden van het handelsregister van een lidstaat die in dat register de persoonsgegevens openbaar maakt die zijn opgenomen in een vennootschapsovereenkomst waarvoor de verplichte openbaarmaking van richtlijn 2017/1132 geldt en die haar is voorgelegd in het kader van een verzoek om inschrijving van de betrokken vennootschap in dat register, zowel de „ontvanger” als de „verwerkingsverantwoordelijke” van die gegevens is (
6
) – met name in zoverre als zij ze openbaar maakt –, zelfs indien die overeenkomst gegevens bevat die niet vereist zijn door deze richtlijn of door het recht van die lidstaat.
In die context merkt het Hof op dat het uit hoofde van richtlijn 2017/1132 aan de lidstaten is om met name te bepalen voor welke categorieën informatie betreffende de identiteit van met vennootschappen verbonden personen, en inzonderheid voor welke soorten persoonsgegevens, een verplichting tot openbaarmaking geldt, met inachtneming van het recht van de Unie.
Het Hof wijst er ook op dat de met het bijhouden van het handelsregister van een lidstaat belaste autoriteit bij het inschrijven en bewaren van de persoonsgegevens die zij ontvangt in het kader van een verzoek om inschrijving van een vennootschap in dat register, indien zij deze gegevens in voorkomend geval op aanvraag aan derden verstrekt en in het nationale publicatieblad of door een ander, even doeltreffend instrument openbaar maakt, een verwerking van persoonsgegevens verricht waarvoor zij de „verwerkingsverantwoordelijke” is. Die verwerkingen van persoonsgegevens staan namelijk los van en volgen op de mededeling van de persoonsgegevens die de aanvrager van die inschrijving heeft gedaan en die deze autoriteit heeft ontvangen. Bovendien verricht deze autoriteit die verwerkingen als enige, overeenkomstig de doelstellingen en de modaliteiten die zijn neergelegd in richtlijn 2017/1132 en in de wetgeving van de lidstaat waardoor deze richtlijn ten uitvoer is gelegd.
In de derde plaats onderzoekt het Hof in verband met het eventuele recht op wissing van de betrokkene (
7
) eerst onder welke grond of gronden voor de rechtmatigheid ervan de verwerking van zijn persoonsgegevens kan vallen.
Wat betreft, ten eerste, de vraag of de verwerking die in het hoofdgeding aan de orde is, noodzakelijk is om te voldoen aan een wettelijke verplichting die voortvloeit uit het Unierecht of het recht van de lidstaat dat op de verwerkingsverantwoordelijke van toepassing is (
8
), overweegt het Hof dat richtlijn 2017/1132 niet vereist dat alle persoonsgegevens in een akte waarvoor de in deze richtlijn vastgestelde verplichte openbaarmaking geldt, systematisch worden verwerkt. Integendeel, de verwerking van persoonsgegevens in het kader van deze richtlijn moet volledig voldoen aan de uit de AVG voortvloeiende vereisten. Het is dus aan de lidstaten om ervoor te zorgen dat de doelstellingen van richtlijn 2017/1132, namelijk rechtszekerheid en bescherming van de belangen van derden, enerzijds, en de in de AVG neergelegde rechten, anderzijds, met elkaar in overeenstemming worden gebracht.
Bijgevolg kan niet worden geoordeeld dat het online, in het handelsregister, ter beschikking stellen van het publiek van persoonsgegevens die niet vereist zijn door richtlijn 2017/1132 of door de nationale wettelijke regeling die in het hoofdgeding aan de orde is, en die zijn opgenomen in een aan het agentschap toegezonden vennootschapsovereenkomst waarvoor de door die richtlijn opgelegde verplichte openbaarmaking geldt, wordt gerechtvaardigd door het vereiste om de openbaarmaking van de in deze richtlijn bedoelde akten te verzekeren, en dus voortvloeit uit een verplichting die door het Unierecht is opgelegd. Bovendien berust de rechtmatigheid van de betrokken verwerking – onder voorbehoud van verificatie door de verwijzende rechter – evenmin op een wettelijke verplichting naar nationaal recht.
Wat betreft, ten tweede, de vraag of de betrokken verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang (
9
), merkt het Hof op dat deze verwerking inderdaad is verricht ter gelegenheid van de vervulling van een dergelijke taak. Niettemin heeft het er alle schijn van dat de verwerking verder gaat dan noodzakelijk is om deze doelstellingen te verwezenlijken.
Het Hof overweegt dat het vereiste van handhaving van de integriteit en de betrouwbaarheid van vennootschapsakten waarvoor de verplichte openbaarmaking van richtlijn 2017/1132 geldt, op grond waarvan deze akten openbaar moeten worden gemaakt zoals zij zijn overgelegd aan de met het bijhouden van het handelsregister belaste autoriteiten, niet systematisch kan prevaleren boven het recht op bescherming van persoonsgegevens, omdat die bescherming anders illusoir wordt. In het bijzonder mag dit vereiste er niet toe leiden dat persoonsgegevens die niet door die richtlijn of het nationale recht worden vereist, online ter beschikking blijven van het publiek in dat register, terwijl het agentschap zelf het in dat recht bedoelde afschrift van de akte van de betrokken vennootschap zonder de niet-vereiste gegevens met het oog op die terbeschikkingstelling ervan zou kunnen opstellen.
Voorts onderstreept het Hof dat het, indien de verwijzende rechter na zijn beoordeling van de rechtmatigheid van die verwerking tot de slotsom komt dat de betrokken verwerking onrechtmatig is, aan het agentschap – als verwerkingsverantwoordelijke – staat om de betrokken gegevens zonder onredelijke vertraging te wissen.
Indien deze rechter daarentegen tot de slotsom komt dat deze verwerking daadwerkelijk noodzakelijk is voor de vervulling van een taak van algemeen belang, met name voor zover het, in het belang van de bescherming van derden, noodzakelijk was om gegevens die niet vereist zijn op grond van richtlijn 2017/1132 of de nationale wetgeving online, in het handelsregister, ter beschikking te stellen om te voorkomen dat de inschrijving van de betrokken vennootschap zou worden vertraagd, moet worden onderzocht of er dwingende gerechtvaardigde gronden zijn voor de verwerking die mogelijk zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene en die zich verzetten tegen het verzoek om wissing (
10
).
Het Hof stelt dus vast dat richtlijn 2017/1132 en de AVG aldus moeten worden uitgelegd dat zij zich verzetten tegen een regeling of praktijk van een lidstaat die ertoe leidt dat de met het bijhouden van het handelsregister van die lidstaat belaste autoriteit elk verzoek om wissing van persoonsgegevens in een in dat register openbaar gemaakte vennootschapsovereenkomst die door die richtlijn of het nationale recht van deze lidstaat niet worden vereist, afwijst indien – in strijd met de procedurevoorschriften in die regeling – aan die autoriteit geen afschrift van die overeenkomst is verstrekt waarin die gegevens onleesbaar zijn gemaakt.
Tot slot onderstreept het Hof in verband met de aansprakelijkheidsregeling van het AVG en, meer bepaald, de impact van een advies van een toezichthoudende autoriteit van een lidstaat, dat de verstrekking van een dergelijk advies uit hoofde van de AVG (
11
) onder de adviesbevoegdheden en niet onder de autorisatiebevoegdheden van de toezichthoudende autoriteit valt. Bovendien wijzen de gebruikte termen erop dat dat advies uit hoofde van het Unierecht niet juridisch bindend is. Het betrokken advies vormt op zich dus geen bewijs dat de schade niet aan de verwerkingsverantwoordelijke kan worden toegerekend en volstaat dus niet om hem te vrijwaren van aansprakelijkheid uit hoofde van de AVG. Een dergelijk advies volstaat dus niet om de autoriteit die belast is met het bijhouden van het handelsregister van een lidstaat en die de hoedanigheid van verwerkingsverantwoordelijke heeft, te vrijwaren van aansprakelijkheid.
(
1
)	Richtlijn (EU) 2017/1132 van het Europees Parlement en de Raad van 14 juni 2017 aangaande bepaalde aspecten van het vennootschapsrecht (PB 2017, L 169, blz. 46).
(
2
)	Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”).
(
3
)	Uit hoofde van artikel 82 AVG.
(
4
)	Artikel 21, lid 2, van richtlijn 2017/1132.
(
5
)	Uit hoofde van artikel 14 van richtlijn 2017/1132.
(
6
)	Respectievelijk in de zin van artikel 4, punt 7, en artikel 4, punt 9, AVG.
(
7
)	Uit hoofde van artikel 17 AVG.
(
8
)	Rechtmatigheidsgrond van artikel 6, lid 1, eerste alinea, onder c), AVG.
(
9
)	Rechtmatigheidsgrond van artikel 6, lid 1, eerste alinea, onder e), AVG.
(
10
)	Uit hoofde van artikel 17, lid 1, onder c), gelezen in samenhang met artikel 21, lid 1, AVG.
(
11
)	Artikel 58, lid 3, onder b), AVG.