Predmet C-200/23
Agencija po vpisvanijata
protiv
OL
(zahtjev za prethodnu odluku koji je uputio Vrhoven administrativen sad)
Presuda Suda (prvo vijeće) od 4. listopada 2024.
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Objavljivanje društvenog ugovora koji sadržava osobne podatke u trgovačkom registru – Direktiva (EU) 2017/1132 – Neobavezni osobni podaci – Nepostojanje privole ispitanika – Pravo na brisanje – Nematerijalna šteta”
1.        Sloboda poslovnog nastana – Trgovačka društva – Direktiva 2017/1132 – Obveza države članice da u sudskom registru dopusti objavljivanje društvenog ugovora koji sadržava osobne podatke – Objava podataka koji se ne zahtijevaju nacionalnim pravom – Nepostojanje obveze
(Direktiva Europskog parlamenta i Vijeća 2017/1132, čl. 21. st. 2.)
(t. 54., 55., 60. i t. 1. izreke)
2.        Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Pojam voditelj obrade – Pojam primatelj podataka – Tijelo zaduženo za vođenje trgovačkog registra države članice koje objavljuje osobne podatke sadržane u društvenom ugovoru – Uključenost – Ugovor koji sadržava osobne podatke koji se ne zahtijevaju ni Direktivom 2017/1132 ni nacionalnim pravom – Nepostojanje utjecaja
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 4. t. 7. i 9.; Direktiva Europskog parlamenta i Vijeća 2017/1132 )
(t. 66., 72.-76., 83. i t. 2. izreke)
3.        Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Uvjeti za zakonitost obrade osobnih podataka – Obrada nužna radi poštovanja zakonske obveze voditelja obrade – Objava osobnih podataka koji se nalaze u društvenom ugovoru – Osobni podaci koji se ne zahtijevaju ni Direktivom 2017/1132 ni nacionalnim pravom – Isključenost – Kvalifikacija te objave kao obrade nužne radi izvršavanja zadaće od javnog interesa ili koja je dio izvršavanja službene ovlasti – Pretpostavke – Nužnost obrade
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 6. st. 1. podst. 1. t. (c) i (e); Direktiva Europskog parlamenta i Vijeća 2017/1132)
(t. 94.-96., 105.-112., 114.-116.)
4.        Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Pravo na brisanje – Opseg – Nezakonita obrada osobnih podataka – Uključenost – Zakonita obrada osobnih podataka – Obrada nužna radi izvršavanja zadaće od javnog interesa ili koja je dio izvršavanja službene ovlasti – Isključenost – Iznimka – Postojanje jačih legitimnih razloga za obradu koji nadilaze interese, prava i slobode ispitanika – Teret dokazivanja koji je na voditelju obrade
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 6. st. 1. t. (e), čl. 17. st. 1. t. (c) i (d), čl. 21. st. 1.)
(t. 118.-120.)
5.        Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Pravo na brisanje – Obveza nacionalnog tijela zaduženog za vođenje trgovačkog registra države članice da odbije svaki zahtjev za brisanje podataka koji nisu skriveni – Osobni podaci koji se ne zahtijevaju ni Direktivom 2017/1132 ni nacionalnim pravom – Nedopuštenost
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 17.; Direktiva 2017/1132 Europskog parlamenta i Vijeća, čl. 16.)
(t. 127. i t. 3. izreke)
6.        Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Pojam osobnih podataka – Vlastoručni potpis pojedinca – Uključenost
(Uredba Europskog parlamenta i Vijeća 2016/679, čl. 4. t. 1.)
(t. 131., 133.-136. i t. 4. izreke)
7.        Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Pravo na naknadu i odgovornost – Pravo na naknadu pretrpljene štete – Nematerijalna šteta – Pojam – Gubitak nadzora nad osobnim podacima – Uključenost – Pretpostavke – Teret dokazivanja neimovinske štete koji je na osobi o kojoj je riječ – Obveza dokazivanja postojanja dodatnih opipljivih negativnih posljedica – Nepostojanje
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 82. st. 1.)
(t. 140.-146., 156. i t. 5. izreke)
8.        Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba 2016/679 – Pravo na naknadu i odgovornost – Odgovornost voditelja obrade i obveza naknade štete koju je pretrpjela osoba čiji se podaci obrađuju – Oslobođenje – Doseg – Savjetodavno mišljenje koje je voditelju obrade izdalo nadzorno tijelo o pitanjima u vezi sa zaštitom podataka – Neprimjena oslobođenja odgovornosti na nacionalno tijelo koje ima svojstvo voditelja obrade
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 4. t. 7., čl. 58. st. 3. t. (b) i čl. 82. st. 1. do 3.)
(t. 171., 172., 174., 176. i t. 6. izreke)
Kratak prikaz
Nakon što mu je Vrhoven administrativen sad (Vrhovni upravni sud, Bugarska) uputio zahtjev za prethodnu odluku, Sud je odlučio o nizu pitanja koja se u biti odnose na odnos između odredbi prava Europske unije u području objavljivanja dokumenata društava(1) i OUZP-a(2).
Osoba OL član je društva „Praven Štit Konsulting” OOD, društva s ograničenom odgovornošću osnovanog u skladu s bugarskim pravom, koje je upisano u trgovački registar nakon što je dostavljen društveni ugovor. Agencija po vpisvanijata (Agencija za upis u registre, Bugarska) (u daljnjem tekstu: Agencija) taj je ugovor, u kojem su navedena imena, prezimena, brojevi osobne iskaznice, adrese i potpisi članova tog društva, učinila dostupnim javnosti u obliku u kojem je dostavljen.
Osoba OL je 2021. zatražila od Agencije da izbriše njezine osobne podatke koji se nalaze u tom ugovoru. Budući da Agencija nije prihvatila njezin zahtjev, osoba OL podnijela je dvije tužbe Administrativen sadu Dobriču (Upravni sud u Dobriču, Bugarska). Presudom od 5. svibnja 2022. potonji sud naložio je Agenciji da osobi OL naknadi nematerijalnu štetu na temelju OUZP-a(3). Budući da se nije slagala s tom presudom Agencija je protiv nje podnijela žalbu u kasacijskom postupku sudu koji je uputio zahtjev.
Pitajući se na koji način treba provesti usklađivanje propisa koji se odnose na prava na zaštitu osobnih podataka i propisa kojim se jamči objavljivanje određenih dokumenata društava i uvid u njih, navedeni sud uputio je Sudu zahtjev za prethodnu odluku.
Ocjena Suda
Kao prvo, kad je riječ o dosegu dobrovoljne objave podataka, uključujući osobne podatke koji se nalaze u dokumentima društava, Sud ističe da se odredba Direktive 2017/1132 koja se odnosi na dobrovoljnu objavu dokumenata i podataka koji se odnose na društvo(4), odnosi samo na prijevode tih dokumenata i podataka, a da se pritom ipak ne upućuje na njihov sadržaj. Stoga, ta se odredba ne može tumačiti na način da se njome nalaže bilo kakva obveza koja se odnosi na objavu podataka čija se objava ne zahtijeva ni drugim odredbama prava Unije ni pravom države članice o kojoj je riječ, a koji se nalaze u aktu koji se prema toj direktivi mora objaviti(5). Stoga, tom se odredbom državi članici ne nalaže obveza da u trgovačkom registru dopusti objavu društvenog ugovora koji se prema toj direktivi mora objaviti, a koji sadržava osobne podatke koji nisu minimalno potrebni osobni podaci i čije se objavljivanje ne zahtijeva pravom te države članice.
Kao drugo, Sud ističe da je tijelo nadležno za vođenje trgovačkog registra države članice koje u tom registru objavljuje osobne podatke iz društvenog ugovora koji se prema Direktivi 2017/1132 mora objaviti i koji mu je dostavljen u okviru zahtjeva za upis predmetnog društva u navedeni registar i „primatelj” tih podataka, osobito zato što ih stavlja na raspolaganje javnosti, i „voditelj obrade” navedenih podataka(6), čak i ako taj ugovor sadržava podatke koji se ne zahtijevaju tom direktivom ili pravom te države članice.
U tom kontekstu Sud ističe da je na temelju Direktive 2017/1132 na državama članicama da odrede, među ostalim, koje se kategorije informacija o identitetu osoba povezanih s društvima i, konkretno, koje se vrste osobnih podataka obvezno objavljuju u skladu s pravom Unije.
Sud također napominje da upisivanjem i čuvanjem u trgovačkom registru države članice osobnih podataka zaprimljenih u okviru zahtjeva za upis društva i njihovim priopćavanjem, prema potrebi, na zahtjev trećih te objavom tih podataka u nacionalnom službenom listu ili mjerom s istovrsnim učinkom, tijelo nadležno za vođenje tog registra provodi obradu osobnih podataka kao „voditelj obrade”. Naime, ta je obrada osobnih podataka odvojena i slijedi nakon što je podnositelj zahtjeva za taj upis priopćio osobne podatke i nakon što ih je to tijelo zaprimilo. Štoviše, navedeno tijelo samo provodi tu obradu u skladu sa svrhama i načinima utvrđenima u Direktivi 2017/1132 i u zakonodavstvu dotične države članice kojim se provodi ta direktiva.
Kao treće, kad je riječ o mogućem pravu na brisanje kojim raspolaže ispitanik(7), Sud najprije razmatra osnove zakonitosti na temelju kojih se obrada njegovih osobnih podataka može provesti.
S jedne strane, kad je riječ o pitanju je li ta obrada nužna radi poštovanja pravne obveze koja proizlazi iz prava Unije ili prava države članice kojem podliježe voditelj obrade(8), Sud ističe da Direktiva 2017/1132 ne nalaže sustavnu obradu svih osobnih podataka sadržanih u aktu koji se prema toj direktivi mora objaviti. Naprotiv, svakom obradom osobnih podataka koja se provodi u okviru te direktive moraju se u potpunosti ispuniti zahtjevi koji proizlaze iz OUZP-a. Stoga je na državama članicama da osiguraju usklađenost ciljeva pravne sigurnosti i zaštite interesa trećih strana, koji se nastoje postići Direktivom 2017/1131 i prava utvrđenih OUZP-om.
Stoga se ne može smatrati da je stavljanje na raspolaganje javnosti na internetu, objavljivanjem u trgovačkom registru, osobnih podataka koji se ne zahtijevaju Direktivom 2017/1132 ili nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku, a koji se nalaze u društvenom ugovoru koji se prema toj direktivi mora objaviti i koji je dostavljen Agenciji, opravdano zahtjevom da se osigura objava dokumenata iz navedene direktive i da, prema tome, proizlazi iz pravne obveze predviđene pravom Unije. Nadalje, zakonitost obrade o kojoj je riječ u glavnom postupku, pod uvjetom da to provjeri sud koji je uputio zahtjev, ne temelji se ni na pravnoj obvezi predviđenoj nacionalnim pravom.
S druge strane, kad je riječ o nužnosti predmetne obrade radi izvršavanja zadaće od javnog interesa(9), Sud ističe da je točno da se ta obrada provodi pri obavljanju takve zadaće. Međutim, čini se da se njome prekoračuje ono što je nužno za ostvarivanje ciljeva od općeg interesa.
U tom pogledu Sud ističe da zahtjev očuvanja cjelovitosti i vjerodostojnosti dokumenata društava koji podliježu obvezi objavljivanja predviđenoj Direktivom 2017/1132 kojim bi se nalagala objava tih dokumenata u obliku u kojem su dostavljeni tijelima zaduženima za vođenje trgovačkog registra, ne može sustavno prevagivati nad tim pravom jer bi time ta zaštita mogla postati samo iluzorna. Konkretno, tim se zahtjevom ne može nametnuti da na internetu, u tom registru, i dalje budu dostupni javnosti osobni podaci koji se ne zahtijevaju tom direktivom ili nacionalnim pravom, s obzirom na to da bi Agencija mogla sama izraditi primjerak dokumenta predmetnog društva u kojem su ispušteni osobni podaci, koji se tim pravom predviđa, u svrhu njegova stavljanja na raspolaganje javnosti.
Kao drugo, Sud naglašava da je na Agenciji da, u slučaju da sud koji je uputio zahtjev po okončanju svoje ocjene zakonitosti te obrade zaključi da navedena obrada nije zakonita, izbriše predmetne podatke bez nepotrebnog odgađanja.
Međutim, ako taj sud zaključi da je ta obrada doista nužna za izvršavanje zadaće od javnog interesa, osobito ako je stavljanje na raspolaganje javnosti na internetu, objavljivanjem u trgovačkom registru, podataka koji se ne zahtijevaju Direktivom 2017/1132 ili nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku bilo potrebno kako bi se izbjeglo odgađanje upisa predmetnog društva u interesu zaštite trećih osoba, valja razmotriti postoje li jači legitimni razlozi koji prevladavaju nad interesima te pravima i slobodama te osobe i koji se protive tom zahtjevu za brisanje(10).
Stoga Sud utvrđuje da Direktivu 2017/1132 i OUZP treba tumačiti na način da im se protivi propis ili praksa države članice zbog kojih tijelo nadležno za vođenje trgovačkog registra te države članice odbija svaki zahtjev za brisanje osobnih podataka koji se ne zahtijevaju tom direktivom ili pravom navedene države članice, a koji su sadržani u društvenom ugovoru objavljenom u tom registru, kada primjerak tog ugovora u kojem su ti podaci skriveni nije dostavljen tom tijelu suprotno postupovnim pravilima predviđenima tim propisom.
Naposljetku, odlučujući o sustavu odgovornosti na temelju OUZP-a i, konkretnije, u tom okviru, o utjecaju mišljenja koje je izdalo nadzorno tijelo države članice, Sud naglašava da je, na temelju OUZP-a(11), izdavanje takvog mišljenja dio savjetodavnih ovlasti, a ne ovlasti nadzornog tijela u vezi s odobravanjem. Usto, upotrijebljeni izrazi upućuju na to da to mišljenje, prema pravu Unije, nije pravno obvezujuće. Stoga se tim mišljenjem, samim po sebi, ne može dokazati da taj voditelj nije odgovoran za štetu, niti je, prema tome, dovoljno da se navedeni voditelj oslobodi od odgovornosti na temelju OUZP-a. Slijedom toga, takvo mišljenje nije dovoljno da se tijelo nadležno za vođenje trgovačkog registra države članice koje ima svojstvo voditelja obrade oslobodi od odgovornosti.
1      Direktiva (EU) 2017/1132 Europskog parlamenta i Vijeća od 14. lipnja 2017. o određenim aspektima prava društava (SL 2017., L 169, str. 46.)
2      Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP)
3      Na temelju članka 82. OUZP-a
4      Članak 21. stavak. 2. Direktive 2017/1132
5      Na temelju članka 14. Direktive 2017/1132
6       U smislu članka 4. točke 7. i članka 4. točke 9. OUZP-a
7       U skladu s člankom 17. OUZP-a
8       Osnova zakonitosti iz članka 6. stavka 1. prvog podstavka točke (c) OUZP-a
9      Osnova zakonitosti predviđena člankom 6. stavkom 1. prvim podstavkom točkom (e) OUZP-a
10      Na temelju članka 17. stavka 1. točke (c) u vezi s člankom 21. stavkom 1. OUZP-a
11      Članak 58. stavak 3. točka (b) OUZP-a