62023CJ0200_RES
Byla C‑200/23
Agentsia po vpisvaniyata
prieš
OL
(Varhoven administrativen sad prašymas priimti prejudicinį sprendimą)
2024 m. spalio 4 d. Teisingumo Teismo (pirmoji kolegija) sprendimas
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – Bendrovės steigimo sutarties, kurioje yra asmens duomenų, paskelbimas įmonių registre – Direktyva (ES) 2017/1132 – Neprivalomi asmens duomenys – Duomenų subjekto sutikimo nebuvimas – Teisė reikalauti ištrinti duomenis – Neturtinė žala“
Įsisteigimo laisvė – Bendrovės – Direktyva 2017/1132 – Valstybės narės pareiga leisti įmonių registre paskelbti bendrovės steigimo sutartį, kurioje yra asmens duomenų – Duomenų, kurių nereikalaujama pagal nacionalinę teisę, paskelbimas – Pareigos nebuvimas
(Europos Parlamento ir Tarybos direktyvos 2017/1132 21 straipsnio 2 dalis)
(žr. 54, 55, 60 punktus ir rezoliucinės dalies 1 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Sąvoka „duomenų valdytojas“ – Sąvoka „duomenų gavėjas“ – Už valstybės narės įmonių registro tvarkymą atsakinga institucija, kuri skelbia bendrovės steigimo sutartyje esančius asmens duomenis – Įtraukimas – Sutartis, kurioje yra asmens duomenų, nereikalaujamų nei pagal Direktyvą 2017/1132, nei pagal nacionalinę teisę – Poveikio nebuvimas
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 7 ir 9 punktai; Europos Parlamento ir Tarybos direktyva 2017/1132)
(žr. 66, 72–76, 83 punktus ir rezoliucinės dalies 2 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų tvarkymo teisėtumo sąlygos – Duomenų tvarkymas, būtinas siekiant įvykdyti duomenų valdytojui taikomą teisinę prievolę – Bendrovės steigimo sutartyje esančių asmens duomenų skelbimas – Asmens duomenys, kurių nereikalaujama nei pagal Direktyvą 2017/1132, nei pagal nacionalinę teisę – Neįtraukimas – Tokio skelbimo kvalifikavimas kaip duomenų tvarkymo, būtino vykdant užduotis visuomenės labui arba valstybės institucijai vykdant veiklą – Sąlygos – Duomenų tvarkymo būtinumas
(Europos Parlamento ir Tarybos reglamento 2016/679 6 straipsnio 1 dalies pirmos pastraipos c ir e punktai; Europos Parlamento ir Tarybos direktyva 2017/1132)
(žr. 94–96, 105–112, 114–116 punktus)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė reikalauti ištrinti duomenis – Apimtis – Neteisėtas asmens duomenų tvarkymas – Įtraukimas – Teisėtas asmens duomenų tvarkymas – Tvarkymas, būtinas vykdant užduotis visuomenės labui arba valstybės institucijai vykdant veiklą – Neįtraukimas – Išimtis – Įtikinamų ir teisėtų duomenų tvarkymo priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, buvimas – Duomenų valdytojui tenkanti įrodinėjimo našta
(Europos Parlamento ir Tarybos reglamento 2016/679 6 straipsnio 1 dalies e punktas, 17 straipsnio 1 dalies c punktas ir 21 straipsnio 1 dalis)
(žr. 118–120 punktus)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė reikalauti ištrinti duomenis – Už valstybės narės įmonių registro tvarkymą atsakingos institucijos pareiga atmesti bet kokį prašymą ištrinti nepašalintus asmens duomenis – Asmens duomenys, kurių nereikalaujama nei pagal Direktyvą 2017/1132, nei pagal nacionalinę teisę – Neleistinumas
(Europos Parlamento ir Tarybos reglamento 2016/679 17 straipsnis; Europos Parlamento ir Tarybos direktyvos 2017/1132 16 straipsnis)
(žr. 127 punktą ir rezoliucinės dalies 3 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų sąvoka – Fizinio asmens parašas ranka – Įtraukimas
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 1 punktas)
(žr. 131, 133–136 punktus ir rezoliucinės dalies 4 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė į kompensaciją ir atsakomybė – Kompensacija už patirtą žalą – Neturtinė žala – Sąvoka – Asmens duomenų kontrolės praradimas – Įtraukimas – Sąlygos – Duomenų subjektui tenkanti pareiga įrodyti neturtinę žalą – Pareiga įrodyti papildomų apčiuopiamų neigiamų pasekmių atsiradimo faktą – Nebuvimas
(Europos Parlamento ir Tarybos reglamento 2016/679 82 straipsnio 1 dalis)
(žr. 140–146, 156 punktus ir rezoliucinės dalies 5 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė į kompensaciją ir atsakomybė – Duomenų valdytojo atsakomybė ir pareiga atlyginti duomenų subjekto patirtą žalą – Atleidimas – Apimtis – Duomenų valdytojui pateiktos priežiūros institucijos patariamosios nuomonės asmens duomenų klausimais priėmimas – Nacionalinės institucijos, turinčios duomenų valdytojos statusą, neatleidimas nuo atsakomybės
(Europos Parlamento ir Tarybos reglamento 2016/679 4 straipsnio 7 punktas, 58 straipsnio 3 dalies b punktas ir 82 straipsnio 1–3 dalys)
(žr. 171, 172, 174, 176 punktus ir rezoliucinės dalies 6 punktą)
Santrauka
Išnagrinėjęs Varhoven administrativen sad (Aukščiausiasis administracinis teismas, Bulgarija) prašymą priimti prejudicinį sprendimą, Teisingumo Teismas pareiškė nuomonę dėl kelių klausimų, iš esmės susijusių su Europos Sąjungos teisės nuostatų dėl bendrovių dokumentų skelbimo (
1
) ir BDAR (
2
) tarpusavio ryšiu.
OL yra pagal Bulgarijos teisę įsteigtos ribotos atsakomybės bendrovės „Praven Shtit Konsulting“ OOD narė; ši bendrovė buvo įregistruota įmonių registre pateikus bendrovės steigimo sutartį. Šią sutartį, kurioje buvo nurodyti įvairūs narių asmens duomenys, įskaitant jų vardus ir pavardes, asmens tapatybės kortelės numerius, adresus ir parašus, Agentsia po vpisvaniyata (registrų įrašus tvarkanti agentūra, Bulgarija, toliau – agentūra) paskelbė viešai tokią, kokia buvo pateikta.
2021 m. OL paprašė agentūros išbraukti toje sutartyje nurodytus jos asmens duomenis. Agentūrai atsisakius tenkinti šį prašymą, OL pareiškė du skundus Administrativen sad Dobrich (Dobričiaus administracinis teismas, Bulgarija). 2022 m. gegužės 5 d. sprendimu tas teismas priteisė iš agentūros sumokėti OL neturtinę žalą pagal BDAR (
3
). Nesutikusi su šiuo sprendimu, agentūra pateikė kasacinį skundą prašymą priimti prejudicinį sprendimą pateikusiam teismui.
Abejodamas, kaip reikia suderinti teisės nuostatas, numatančias teisę į asmens duomenų apsaugą, ir nuostatas, užtikrinančias tam tikrų bendrovių dokumentų viešumą ir prieigą prie jų, nacionalinis teismas kreipėsi į Teisingumo Teismą su prašymu priimti prejudicinį sprendimą.
Teisingumo Teismo vertinimas
Pirma, dėl savanoriško informacijos, įskaitant bendrovių dokumentuose esančius asmens duomenis, atskleidimo apimties Teisingumo Teismas pažymėjo, kad Direktyvos 2017/1132 nuostata, kurioje numatytas savanoriškas dokumentų ir informacijos apie bendrovę atskleidimas (
4
), yra susijusi tik su jų vertimais, bet ne su jų turiniu. Todėl ši nuostata negali būti aiškinama kaip nustatanti kokią nors pareigą atskleisti asmens duomenis, kurių atskleisti nereikalaujama nei pagal kitas Sąjungos teisės nuostatas, nei pagal atitinkamos valstybės narės teisę, bet kurie nurodyti dokumente, kurį privaloma atskleisti, kaip numatyta minėtoje direktyvoje (
5
). Taigi pagal šią nuostatą valstybė narė neįpareigojama leisti įmonių registre atskleisti bendrovės steigimo sutartį, kurią privaloma atskleisti, kaip numatyta šioje direktyvoje, ir kurioje yra kitų asmens duomenų, nei minimalūs reikalaujami asmens duomenys, kurių skelbti nereikalaujama pagal šios valstybės narės teisę.
Antra, Teisingumo Teismas pažymėjo, kad už valstybės narės įmonių registro tvarkymą atsakinga institucija, kuri šiame registre skelbia bendrovės steigimo sutartyje, kurią privaloma atskleisti, kaip numatyta Direktyvoje 2017/1132, esančius asmens duomenis, jai pateiktus prašant įregistruoti atitinkamą bendrovę minėtame registre, yra ir tų duomenų „gavėja“, ir – visų pirma tiek, kiek juos viešai skelbia – „duomenų valdytoja“ (
6
), net jeigu toje sutartyje yra asmens duomenų, kurių nereikalaujama nei pagal šią direktyvą, nei pagal valstybės narės teisę.
Šiomis aplinkybėmis Teisingumo Teismas nurodė, kad pagal Direktyvą 2017/1132 valstybės narės, laikydamosi Sąjungos teisės, turi, be kita ko, nustatyti, kokių kategorijų informacija apie su bendrovėmis susijusių asmenų tapatybę, o ypač kokių rūšių asmens duomenys turi būti privalomai skelbiami.
Teisingumo Teismas taip pat pažymėjo, kad įtraukdama į registrą ir saugodama asmens duomenis, gautus pateikus prašymą įregistruoti bendrovę valstybės narės įmonių registre, prireikus pagal prašymą juos pateikdama tretiesiems asmenims ir paskelbdama nacionaliniame leidinyje arba ne mažiau veiksmingais būdais, už šio registro tvarkymą atsakinga institucija tvarko asmens duomenis ir yra šių duomenų „valdytoja“. Tokios asmens duomenų tvarkymo operacijos yra atskiros ir atliekamos po to, kai įregistruoti bendrovę prašantis asmuo pateikia asmens duomenis, o minėta institucija juos gauna. Be to, tik ji viena atlieka tokias operacijas, laikydamasi Direktyvoje 2017/1132 ir šią direktyvą įgyvendinančios valstybės narės teisės aktuose nustatytų tikslų ir tvarkos.
Trečia, kiek tai susiję su galima duomenų subjekto teise reikalauti ištrinti duomenis (
7
), Teisingumo Teismas pirmiausia išnagrinėjo teisėtumo pagrindus, kuriais gali būti grindžiamas jo asmens duomenų tvarkymas.
Dėl klausimo, ar toks duomenų tvarkymas yra būtinas siekiant įvykdyti iš Sąjungos teisės ar duomenų valdytojui taikomos nacionalinės teisės kylančią teisinę prievolę (
8
), Teisingumo Teismas nurodė, kad pagal Direktyvą 2017/1132 nereikalaujama sistemingai tvarkyti visų asmens duomenų, esančių dokumente, kurį privaloma atskleisti, kaip numatyta šioje direktyvoje. Priešingai, bet koks asmens duomenų tvarkymas pagal šią direktyvą turi visiškai atitikti iš BDAR kylančius reikalavimus. Taigi valstybės narės turi užtikrinti, kad būtų derinami teisinio saugumo ir trečiųjų asmenų interesų apsaugos tikslai, kurių siekiama Direktyva 2017/1132, su BDAR įtvirtintomis teisėmis.
Taigi nelaikytina, kad asmens duomenų, kurių nereikalaujama pagal Direktyvą 2017/1132 arba pagal pagrindinėje byloje nagrinėjamus nacionalinės teisės aktus, esančių bendrovės steigimo sutartyje, kurią privaloma atskleisti, kaip numatyta šioje direktyvoje, ir pateiktų agentūrai, paskelbimą internete įmonių registre pateisina reikalavimas užtikrinti šioje direktyvoje nurodytų dokumentų atskleidimą ir kad tai kyla iš Sąjungos teisėje numatytos teisinės prievolės. Be to, atitinkamo duomenų tvarkymo teisėtumas negrindžiamas ir nacionalinėje teisėje numatyta teisine prievole, tačiau tai turi patikrinti prašymą priimti prejudicinį sprendimą pateikęs teismas.
Dėl atitinkamo duomenų tvarkymo būtinumo siekiant atlikti užduotį, vykdomą viešojo intereso labui (
9
), Teisingumo Teismas pažymėjo, kad duomenys tikrai tvarkomi atliekant tokią užduotį. Tačiau atrodo, kad duomenų tvarkymas viršija tai, kas būtina bendrojo intereso tikslams pasiekti.
Šiuo klausimu Teisingumo Teismas pažymėjo, kad reikalavimas išsaugoti bendrovių dokumentų, kuriuos privaloma atskleisti, kaip numatyta Direktyvoje 2017/1132, reikalaujančioje skelbti tuos dokumentus tokius, kokie jie buvo pateikti už įmonių registro tvarkymą atsakingoms institucijoms, vientisumą ir patikimumą negali būti visada viršesnis už teisę į asmens duomenų apsaugą, nes priešingu atveju jos apsauga taptų iliuzinė. Konkrečiai kalbant, šiuo reikalavimu negali būti įpareigojama registre saugoti internete viešai paskelbtus asmens duomenis, kurių nereikalaujama pagal Direktyvą 2017/1132 arba nacionalinę teisę, o agentūra savo ruožtu galėtų pati parengti šioje teisėje numatytą atitinkamos bendrovės steigimo dokumento kopiją be nereikalaujamų asmens duomenų, siekdama pateikti jį susipažinti.
Teisingumo Teismas taip pat pabrėžė, kad tuo atveju, jeigu prašymą priimti prejudicinį sprendimą pateikęs teismas, atlikęs vertinimą, turėtų prieiti prie išvados, kad atitinkamas duomenų tvarkymas neteisėtas, agentūra, kaip duomenų valdytoja, turėtų kuo greičiau ištrinti atitinkamus duomenis.
Vis dėlto, jeigu tas teismas nuspręstų, kad toks tvarkymas faktiškai būtinas siekiant atlikti užduotį viešojo intereso labui, be kita ko, dėl to, kad viešai paskelbti internete įmonių registre duomenis, kurių nereikalaujama pagal Direktyvą 2017/1132 arba pagal pagrindinėje byloje nagrinėjamus nacionalinės teisės aktus, buvo būtina siekiant trečiųjų asmenų apsaugos tikslais nevėluoti įregistruoti atitinkamą bendrovę, reikėtų patikrinti, ar esama įtikinamų teisėtų priežasčių, kurios yra viršesnės už duomenų subjekto interesus, teises ir laisves, ir ar galima netenkinti prašymo ištrinti duomenis (
10
).
Taigi, Teisingumo Teismas konstatavo, kad Direktyva 2017/1132 ir BDAR turi būti aiškinami kaip draudžiantys valstybės narės teisės aktus ar praktiką, pagal kuriuos už šios valstybės narės įmonių registro tvarkymą atsakinga institucija turi atmesti bet kokį prašymą ištrinti asmens duomenis, kurių nereikalaujama pagal šią direktyvą arba pagal minėtos valstybės teisę, esančius šiame registre paskelbtoje bendrovės steigimo sutartyje, jeigu, pažeidžiant šiuose teisės aktuose numatytą procedūrinę tvarką, jai nebuvo pateikta šios sutarties kopija su pašalintais duomenimis.
Galiausiai, pareikšdamas nuomonę apie atsakomybės sistemą pagal BDAR ir konkrečiai apie valstybės narės priežiūros institucijos nuomonės poveikį šioje srityje, Teisingumo Teismas pabrėžė, kad pagal BDAR (
11
) tokios nuomonės teikimas priskiriamas prie priežiūros institucijos patariamųjų įgaliojimų, o ne prie jos įgaliojimų išduoti leidimą. Be to, vartojami terminai rodo, kad pagal Sąjungos teisę tokia nuomonė yra teisiškai neprivaloma. Taigi ji pati savaime negali įrodyti, kad žala nepriskirtina pačiam duomenų valdytojui, todėl jos nepakanka, kad duomenų valdytojas būtų atleistas nuo atsakomybės pagal BDAR. Tad tokios nuomonės nepakanka, kad nuo atsakomybės būtų atleista už įmonių registro tvarkymą atsakinga valstybės narės institucija, turinti „duomenų valdytojo“ statusą.
(
1
)	2017 m. birželio 14 d. Europos Parlamento ir Tarybos direktyva (ES) 2017/1132 dėl tam tikrų bendrovių teisės aspektų (OL L 169, 2017, p. 46).
(
2
)	2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR).
(
3
)	Pagal BDAR 82 straipsnį.
(
4
)	Reglamento 2017/1132 21 straipsnio 2 dalis.
(
5
)	Pagal Direktyvos 2017/1132/EB 14 straipsnį.
(
6
)	Kaip tai suprantama atitinkamai pagal BDAR 4 straipsnio 7 punktą ir 4 straipsnio 9 punktą.
(
7
)	Pagal BDAR 17 straipsnį.
(
8
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos c punkte nurodytas teisėtumo pagrindas.
(
9
)	BDAR 6 straipsnio 1 dalies pirmos pastraipos e punkte nurodytas teisėtumo pagrindas.
(
10
)	Pagal BDAR 17 straipsnio 1 dalies c punktą, siejamą su jo 21 straipsnio 1 dalimi.
(
11
)	BDAR 58 straipsnio 3 dalies b punktas.