62023CJ0200_RES
Lieta C‑200/23
Agentsia po vpisvaniyata
pret
OL
(Varhoven administrativen sad lūgums sniegt prejudiciālu nolēmumu)
Tiesas (pirmā palāta) 2024. gada 4. oktobra spriedums
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – Tāda sabiedrības dibināšanas līguma publicēšana komercreģistrā, kurā ietverti personas dati – Direktīva (ES) 2017/1132 – Neobligāti personas dati – Datu subjekta piekrišanas neesamība – Tiesības uz dzēšanu – Nemateriālais kaitējums
Brīvība veikt uzņēmējdarbību – Sabiedrības – Direktīva 2017/1132 – Dalībvalsts pienākums atļaut tāda sabiedrības dibināšanas līguma publicēšanu komercreģistrā, kurā ietverti personas dati – Valsts tiesībās neparedzētu datu publicēšana – Pienākuma neesamība
(Eiropas Parlamenta un Padomes Direktīvas 2017/1132 21. panta 2. punkts)
(skat. 54., 55., 60. punktu un rezolutīvās daļas 1. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Pārziņa jēdziens – Datu saņēmēja jēdziens – Par dalībvalsts komercreģistru atbildīgā iestāde, kas publicē sabiedrības dibināšanas līgumā ietvertos personas datus – Iekļaušana – Līgums, kurā ietverti personas dati, kas nav prasīti ne Direktīvā 2017/1132, ne valsts tiesībās – Ietekmes neesamība
(Eiropas Parlamenta un Padomes Regulas 2016/679 4. panta 7. un 9. punkts; Eiropas Parlamenta un Padomes Direktīva 2017/1132)
(skat. 66., 72.–76. un 83. punktu un rezolutīvās daļas 2. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu apstrādes likumības nosacījumi – Apstrāde, kas nepieciešama, lai izpildītu pārziņa juridisku pienākumu – Sabiedrības dibināšanas līgumā ietverto personas datu publicēšana – Personas dati, kas nav prasīti ne Direktīvā 2017/1132, ne valsts tiesībās – Izslēgšana – Šīs publikācijas kvalificēšana par apstrādi, kas nepieciešama, lai izpildītu uzdevumu, kuru veic sabiedrības interesēs vai īstenojot piešķirtās oficiālas pilnvaras – Nosacījumi – Apstrādes likumīgums
(Eiropas Parlamenta un Padomes Regulas 2016/679 6. panta 1. punkta pirmā ievilkuma c) un e) punkts; Eiropas Parlamenta un Padomes Direktīva 2017/1132)
(skat. 94.–96., 105.–112., 114.–116. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz dzēšanu – Apjoms – Personas datu nelikumīga apstrāde – Iekļaušana – Personas datu apstrāde – Apstrāde, kas vajadzīga, lai izpildītu uzdevumu, kuru veic sabiedrības interesēs vai īstenojot piešķirtās oficiālās pilnvaras – Izslēgšana – Izņēmums – Tādu svarīgāku apstrādes leģitīmu pamatu pastāvēšana, kas balstās uz datu subjekta interesēm, tiesībām un brīvībām – Pārziņa pierādīšanas pienākums
(Eiropas Parlamenta un Padomes Regulas 2016/679 6. panta 1. punkta e) apakšpunkts, 17. panta 1. punkta c) un d) apakšpunkts un 21. panta 1. punkts)
(skat. 118.–120. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz dzēšanu – Dalībvalsts komercreģistru atbildīgās valsts iestādes pienākums noraidīt ikvienu lūgumu dzēst neaizklātos datus – Personas dati, kas nav prasīti ne Direktīvā 2017/1132, ne valsts tiesībās – Nepieļaujamība
(Eiropas Parlamenta un Padomes Regulas 2016/679 17. pants; Eiropas Parlamenta un Padomes Direktīvas 2017/1132 16. pants)
(skat. 127. punktu un rezolutīvās daļas 3. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu jēdziens – Fiziskas personas pašrocīgs paraksts – Iekļaušana
(Eiropas Parlamenta un Padomes Direktīvas 2016/679 4. panta 1. punkts)
(sal. ar 131., 133.–136. punktu un rezolutīvās daļas 4. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz kompensāciju un atbildība – Tiesības uz nodarītā kaitējuma atlīdzinājumu – Nemateriālais kaitējums – Jēdziens – Kontroles zaudēšana pār personas datiem – Iekļaušana – Nosacījumi – Datu subjekta pienākums pierādīt nemateriālo kaitējumu – Pienākums pierādīt papildu uzskatāmu negatīvu seku esamību – Neesamība
(Eiropas Parlamenta un Padomes Regulas 2016/679 82. panta 1. punkts)
(skat. 140.–146., 156. punktu un rezolutīvās daļas 5. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz kompensāciju un atbildība – Pārziņa atbildība un pienākums atlīdzināt datu subjektam nodarīto kaitējumu – Atbrīvojums – Apjoms – Uzraudzības iestādes konsultatīvs atzinums par datu aizsardzības jautājumiem, ko sniedz pārzinim – Valsts iestādes, kas ir pārzinis, atbrīvojuma no atbildības nepiemērošana
(Eiropas Parlamenta un Padomes Regulas 2016/679 4. panta 7. punkts, 58. panta 3. punkta b) apakšpunkts un 82. panta 1.–3. punkts)
(skat. 171., 172., 174. un 176. punktu un rezolutīvās daļas 6. punktu)
Rezumējums
Izskatot Varhoven administrativen sad (Augstākā administratīvā tiesa, Bulgārija) lūgumu sniegt prejudiciālu nolēmumu, Tiesa lemj par virkni jautājumu, kuri būtībā attiecas uz saikni starp Eiropas Savienības tiesību normām par sabiedrību dokumentu nodošanu atklātībā (
1
) un VDAR (
2
).
OL ir dalībniece saskaņā ar Bulgārijas tiesībām dibinātā sabiedrībā ar ierobežotu atbildību “Praven Shtit Konsulting” OOD, kas reģistrēta komercreģistrā pēc sabiedrības dibināšanas līguma iesniegšanas. Šajā līgumā, kuru Agentsia po vpisvaniyata (Reģistrācijas aģentūra, Bulgārija; turpmāk tekstā – “Aģentūra”) bija publiskojusi tādu, kādu tas tika iesniegts, ietverti vairāki dalībnieku personas dati, tostarp viņu uzvārdi, vārdi, personas apliecības numuri, adreses un paraksti.
2021. gadā OL lūdza Aģentūru dzēst šajā līgumā ietvertos ar viņu saistītos personas datus. Par šīs aģentūras atteikumu apmierināt šo lūgumu tika celtas divas prasības Administrativen sad Dobrich (Dobričas Administratīvā tiesa, Bulgārija). Ar 2022. gada 5. maija spriedumu pēdējā minētā tiesa piesprieda Aģentūrai atlīdzināt OL nemateriālo kaitējumu saskaņā ar VDAR (
3
). Nebūdama apmierināta ar šo spriedumu, Aģentūra iesniedza kasācijas sūdzību iesniedzējtiesā.
Šauboties par to, kā saskaņot tiesisko regulējumu par tiesībām uz personas datu aizsardzību un tiesisko regulējumu, kas garantē sabiedrību noteiktu dokumentu nodošanu atklātībā un piekļuvi tiem, iesniedzējtiesa vērsās Tiesā ar lūgumu sniegt prejudiciālu nolēmumu.
Tiesas vērtējums
Pirmām kārtām, attiecībā uz informācijas, tostarp personas datu, kas ietverti sabiedrību dokumentos, brīvprātīgās nodošanas atklātībā apjomu Tiesa norāda, ka Direktīvas 2017/1132 norma, kas attiecas uz sabiedrību dokumentu un ziņu nodošanu atklātībā (
4
), attiecas tikai uz to tulkojumiem, tomēr neatsaucoties uz to saturu. Līdz ar to šī tiesību norma nevar tikt interpretēta tādējādi, ka ar to būtu noteikts pienākums nodot atklātībā tādus personas datus, kurus nav prasīts nodot atklātībā ne citās Savienības tiesību normās, ne attiecīgās dalībvalsts tiesībās, bet kuri ietverti aktā, kas obligāti jānodod atklātībā saskaņā ar minēto direktīvu (
5
). Tādējādi ar šo tiesību normu dalībvalstij nav noteikts pienākums atļaut nodot atklātībā komercreģistrā sabiedrības dibināšanas līgumu, uz kuru attiecas šajā direktīvā paredzētā obligātā nodošana atklātībā un kurā papildus minimālajiem prasītajiem personas datiem ir ietverti arī personas dati, kuru publicēšana šīs dalībvalsts tiesībās nav prasīta.
Otrām kārtām, Tiesa norāda, ka iestāde, kas atbildīga par dalībvalsts komercreģistra uzturēšanu un kas šajā reģistrā publicē datus, kuri ietverti atbilstoši Direktīvai 2017/1132 obligāti atklātībā nododamā sabiedrības dibināšanas līgumā, un šie dati tai tikuši nosūtīti saistībā ar attiecīgās sabiedrības pieteikumu par ierakstīšanu minētajā reģistrā, ir gan šo datu “saņēmēja”, gan – tā kā tā tos publisko – šo datu “pārzine” šīs tiesību normas izpratnē (
6
), pat ja šajā līgumā ir ietverti personas dati, kas nav prasīti ar šo direktīvu vai šīs dalībvalsts tiesību aktiem.
Šajā kontekstā Tiesa norāda, ka saskaņā ar Direktīvu 2017/1132 dalībvalstīm tostarp jānosaka, kādas informācijas kategorijas attiecībā uz ar sabiedrībām saistīto personu identitāti un it īpaši kāda veida personas dati obligāti jānodod atklātībā, ievērojot Savienības tiesības.
Tiesa arī norāda, ka, reģistrējot un saglabājot personas datus, kas saņemti saistībā ar pieteikumu par sabiedrības reģistrāciju dalībvalsts komercreģistrā, attiecīgā gadījumā pēc pieprasījuma darot tos zināmus trešām personām un publicējot valsts oficiālajā vēstnesī vai izmantojot pasākumu ar līdzvērtīgu iedarbību, šī iestāde, kas uztur šo reģistru, veic personas datu apstrādi, attiecībā uz kuru tā ir “pārzinis” VDAR 4. panta 2. un 7. punkta nozīmē. Proti, šī personas datu apstrāde ir atsevišķa un tiek veikta pēc tam, kad šīs reģistrācijas pieteikuma iesniedzējs ir paziņojis personas datus un minētā iestāde tos ir saņēmusi. Turklāt tikai pēdējā minētā veic šo apstrādi saskaņā ar Direktīvā 2017/1132 un attiecīgās dalībvalsts tiesību aktos, ar kuriem īsteno šo direktīvu, noteiktajiem mērķiem un kārtību.
Trešām kārtām, attiecībā uz datu subjekta iespējamajām tiesībām uz dzēšanu (
7
) Tiesa vispirms izvērtē likumības pamatojumus, kas var attiekties uz tā personas datu apstrādi.
Pirmkārt, attiecībā uz jautājumu, vai šī apstrāde ir nepieciešama, lai izpildītu juridisku pienākumu, kas izriet no Savienības tiesībām vai pārzinim piemērojamajām valsts tiesībām (
8
), Tiesa norāda, ka Direktīvā 2017/1132 nav noteikts, ka sistemātiski jāapstrādā visi personas dati, kas ietverti aktā, kurš obligāti jānodod atklātībā saskaņā ar šo direktīvu. Gluži pretēji – jebkurai personas datu apstrādei, kas veikta saistībā ar šo direktīvu, pilnībā jāatbilst no VDAR izrietošajām prasībām. Tādējādi dalībvalstīm jānodrošina, lai Direktīvā 2017/1132 izvirzītie tiesiskās drošības un trešo personu interešu aizsardzības mērķi tiktu saskaņoti ar VDAR nostiprinātajām tiesībām.
Līdz ar to nevar uzskatīt, ka Direktīvā 2017/1132 vai pamatlietā aplūkotajā valsts tiesiskajā regulējumā neparedzētu personas datu, kas ietverti sabiedrības līgumā, kurš atbilstoši šai direktīvai obligāti jānodod atklātībā, un kas nosūtīti Aģentūrai, nodošana atklātībā tiešsaistē komercreģistrā ir pamatota ar prasību nodrošināt šajā direktīvā minēto dokumentu nodošanu atklātībā un tādējādi izriet no Savienības tiesībās paredzēta juridiska pienākuma. Turklāt nešķiet, ka attiecīgās apstrādes likumība – ar nosacījumu, ka to pārbauda iesniedzējtiesa, – ir pamatota arī ar valsts tiesībās paredzētu juridisku pienākumu.
Otrkārt, saistībā ar attiecīgās apstrādes nepieciešamību, lai izpildītu uzdevumu sabiedrības interesēs (
9
), Tiesa norāda, ka šī apstrāde, protams, šķiet veikta saistībā ar šādu uzdevumu. Tomēr šķiet, ka tas pārsniedz to, kas nepieciešams izvirzīto vispārējo interešu mērķu sasniegšanai.
Šajā ziņā Tiesa norāda, ka Direktīvā 2017/1132 paredzētā prasība saglabāt sabiedrību, uz kurām attiecas obligātā nodošana atklātībā, dokumentu integritāti un uzticamību, kas liktu nodot atklātībā šos dokumentus, kuri nosūtīti iestādēm, kas ir atbildīgas par komercreģistra uzturēšanu, nevar sistemātiski būt svarīgāki par tiesībām uz personas datu aizsardzību, jo pretējā gadījumā to aizsardzība tiktu padarīta iluzora. It īpaši šī prasība nevar likt šajā reģistrā saglabāt publiski pieejamus personas datus, kas nav prasīti Direktīvā vai valsts tiesībās, lai gan Aģentūra pati var izgatavot šajās tiesībās paredzētā attiecīgās sabiedrības dibināšanas dokumenta kopiju, kurā nevajadzīgie personas dati ir dzēsti, lai to darītu pieejamu.
Turpinājumā Tiesa uzsver, ka gadījumā, ja iesniedzējtiesa sava vērtējuma beigās secinātu, ka attiecīgā apstrāde ir nelikumīga, Aģentūrai kā pārzinim būtu pēc iespējas ātrāk jādzēš attiecīgie dati.
Tomēr, ja šī tiesa secinātu, ka šī apstrāde patiešām ir nepieciešama, lai izpildītu uzdevumu sabiedrības interesēs, it īpaši tiktāl, cik Direktīvā 2017/1132 vai valsts tiesību aktos prasīto datu publiskošana tiešsaistē komercreģistrā bija nepieciešama, lai novērstu attiecīgās sabiedrības reģistrācijas aizkavēšanu trešo personu aizsardzības interesēs, būtu jāpārbauda, vai pastāv svarīgāki leģitīmi pamati, kas varētu būt svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, un, ja tādi pamati ir, būtu jāiebilst pret dzēšanas lūgumu (
10
).
Tātad Tiesa konstatē, ka Direktīva 2017/1132 un VDAR jāinterpretē tādējādi, ka tiem neatbilst tāds dalībvalsts tiesiskais regulējums vai prakse, saskaņā ar kuru iestādei, kas atbild par šīs dalībvalsts komercreģistra uzturēšanu, jānoraida ikviens lūgums dzēst šajā reģistrā publicētā sabiedrības dibināšanas līgumā ietvertus personas datus, kas nav prasīti ar šo direktīvu vai šīs dalībvalsts tiesību aktiem, ja, pretēji šajā tiesiskajā regulējumā paredzētajiem procesuālajiem noteikumiem, šai iestādei nav iesniegta minētā līguma kopija, kurā šie dati ir aizklāti.
Visbeidzot – lemjot par atbildības režīmu saskaņā ar VDAR un, konkrētāk, par dalībvalsts uzraudzības iestādes atzinuma ietekmi šajā ziņā, Tiesa uzsver, ka atbilstoši VDAR (
11
) šāda atzinuma sniegšana ietilpst konsultatīvajās pilnvarās, nevis uzraudzības iestādes pilnvarās. Turklāt izmantotie termini norāda, ka šis atzinums saskaņā ar Savienības tiesībām nav juridiski saistošs. Tādējādi attiecīgais atzinums pats par sevi nevar pierādīt ne pārziņa vainojamību par zaudējumiem, ne arī būt pietiekams, lai to atbrīvotu no atbildības saskaņā ar VDAR. Līdz ar to šāds paziņojums nav pietiekams, lai no atbildības atbrīvotu iestādi, kas ir atbildīga par dalībvalsts komercreģistra uzturēšanu un kas ir pārzinis.
(
1
)	Eiropas Parlamenta un Padomes Direktīva (ES) 2017/1132 (2017. gada 14. jūnijs) attiecībā uz sabiedrību tiesību dažiem aspektiem (OV 2017, L 169, 46. lpp.).
(
2
)	Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp., turpmāk tekstā – “VDAR”).
(
3
)	Atbilstoši VDAR 82. pantam.
(
4
)	Direktīvas 2017/1132 21. panta 2. punkts.
(
5
)	Saskaņā ar Direktīvas 2017/1132 14. pantu.
(
6
)	Attiecīgi VDAR 4. panta 7. punkta un 4. panta 9. punkta izpratnē.
(
7
)	Atbilstoši VDAR 17. pantam.
(
8
)	VDAR 6. panta 1. punkta pirmās daļas c) apakšpunktā ietvertais likumības pamatojums.
(
9
)	VDAR 6. panta 1. punkta pirmās daļas e) apakšpunktā paredzētais likumības pamatojums.
(
10
)	VDAR 17. panta 1. punkta c) apakšpunkts, lasot to kopsakarā ar 21. panta 1. punktu.
(
11
)	VDAR 58. panta 3. punkta b) apakšpunkts.