62023CJ0200_RES
Дело C‑200/23
Агенция по вписванията
срещу
OL
(Преюдициално запитване, отправено от Върховния административен съд)
Решение на Съда (първи състав) от 4 октомври 2024 година
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Публикуване на съдържащ лични данни дружествен договор в търговския регистър — Директива (ЕС) 2017/1132 — Незадължителни лични данни — Липса на съгласие на субекта на данните — Право на изтриване — Неимуществена вреда“
Свобода на установяване — Дружества — Директива 2017/1132 — Задължение на държавата членка да разреши оповестяването на съдържащ лични данни дружествен договор в търговския регистър — Оповестяване на данните, които не се изискват съгласно националното право — Липса на задължение
(член 21, параграф 2 от Директива 2017/1132 на Европейския парламент и на Съвета)
(вж. т. 54, 55 и 60; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Понятие за администратор — Понятие за получател на данните — Орган, който отговаря за търговския регистър на държавата членка и публикува лични данни, съдържащи се в дружествен договор — Включване — Договор, който съдържа лични данни, които не се изискват нито от Директива 2017/1132, нито от националното право — Липса на последици
(член 4, точки 7 и 9 от Регламент 2016/679 на Европейския парламент и на Съвета; Директива 2017/1132 на Европейския парламент и на Съвета)
(вж. т. 66, 72—76 и 83; т. 2 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Условия за законосъобразно обработване на лични данни — Обработване, което е необходимо за спазването на законово задължение, носено от администратора — Публикуване на личните данни, съдържащи се в дружествен договор — Лични данни, които не се изискват нито от Директива 2017/1132, нито от националното право — Изключване — Окачествяване на публикуването им като обработване, което е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия — Условия — Необходимост от обработването
(член 6, параграф 1, първа алинея, букви в) и д) от Регламент 2016/679 на Европейския парламент и на Съвета; Директива 2017/1132 на Европейския парламент и на Съвета)
(вж. т. 94—96, 105—112 и 114—116)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на изтриване — Обхват — Незаконосъобразно обработване на лични данни — Включване — Законосъобразно обработване на лични данни — Обработване, необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия — Изключване — Изключение — Наличието на убедителни законни основания за обработването, които имат предимство пред интересите, както и пред правата и свободите на субекта на данните — Доказване в тежест на администратора
(член 6, параграф 1, буква д), член 17, параграф 1, букви в) и г) и член 21, параграф 1 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 118—120)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на изтриване — Задължение на националния орган, който отговаря за търговския регистър на държавата членка, да отхвърля всяко искане за изтриване на незаличените данни — Лични данни, които не се изискват нито от Директива 2017/1132, нито от националното право — Недопустимост
(член 17 от Регламент 2016/679 на Европейския парламент и на Съвета; член 16 от Директива 2017/1132 на Европейския парламент и на Съвета)
(вж. т. 127; т. 3 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Понятие „лични данни“ — Саморъчен подпис на физическо лице — Включване
(член 4, точка 1 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 131 и 133—136; т. 4 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на обезщетение и отговорност за причинени вреди — Право на обезщетение за претърпените вреди — Неимуществена вреда — Понятие — Загуба на контрол върху личните данни — Включване — Условия — Тежест на доказване на неимуществените вреди, която се носи от субекта на данните — Задължение за доказване на наличието на допълнителни осезаеми отрицателни последици — Липса
(член 82, параграф 1 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 140—146 и 156; т. 5 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на обезщетение и отговорност за причинени вреди — Отговорност на администратора на данните и задължение за поправяне на вредите, претърпени от субекта на данните — Освобождаване — Обхват — Издаване на консултативно становище от надзорния орган, което се отнася до въпроси на защитата на данните и е предоставено на администратора на данните — Неприлагане на освобождаването от отговорност по отношение на национален орган, който има качеството администратор
(член 4, точка 7, член 58, параграф 3, буква б) и член 82, параграфи 1—3 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 171, 172, 174 и 176; т. 6 от диспозитива)
Резюме
Сезиран с преюдициално запитване от Върховния административен съд (България), Съдът се произнася по редица въпроси, които по същество се отнасят до връзката между разпоредбите на правото на Европейския съюз относно оповестяването на дружествените актове (
1
) и ОРЗД (
2
).
OL е съдружничка в „Правен Щит Консултинг“ ООД, дружество с ограничена отговорност съгласно българското право, което е вписано в търговския регистър след представянето на дружествения договор. Този договор, обявен от Агенцията по вписванията (България) (наричана по-нататък „агенцията“) във вида, в който е представен, съдържа множество лични данни на съдружниците, включително имената им, номерата на личните им карти, адресите и подписите им.
През 2021 г. OL поисква от агенцията да бъдат заличени личните ѝ данни в дружествения договор. OL води две дела пред Административен съд Добрич (България) против отказа на агенцията да уважи искането ѝ. С решение от 5 май 2022 г. посоченият съд осъжда агенцията да заплати на OL обезщетение за неимуществени вреди по ОРЗД (
3
). Несъгласна с това решение, агенцията подава касационна жалба до запитващата юрисдикция.
Тази юрисдикция отправя преюдициално запитване до Съда във връзка със съмненията си как следва да се съвмести уредбата на правото на защита на личните данни с уредбата, която гарантира оповестяването и достъпа до определени дружествени актове.
Съображения на Съда
На първо място, що се отнася до доброволното оповестяване на данните, включително личните данни в дружествените актове, Съдът отбелязва, че разпоредбата на Директива 2017/1132 относно доброволното оповестяване на актовете и данните на дружествата (
4
) се отнася само до преводите им, а не до съдържанието им. Следователно тя не може да се тълкува като създаваща някакво задължение за оповестяването на данни, чието оповестяване не се изисква нито от други разпоредби на правото на Съюза, нито от правото на съответната държава членка, но които се съдържат в акт, който подлежи на задължителното оповестяване по тази директива (
5
). В този смисъл тази разпоредба не създава задължение за държавата членка да допусне оповестяване в търговския регистър на дружествен договор, който подлежи на задължителното оповестяване по тази директива и който освен минимално изискваните лични данни съдържа и други лични данни, чието публикуване не се изисква от правото на тази държава членка.
На второ място, Съдът отбелязва, че органът, на който е възложено воденето на търговския регистър на държава членка и който публикува в този регистър личните данни, съдържащи се в дружествен договор, който подлежи на задължителното оповестяване по Директива 2017/1132 и му е предоставен във връзка със заявление за вписване на съответното дружество в регистъра, е както „получател“ на тези данни, така и — в частност доколкото ги обявява — техен „администратор“ (
6
), включително когато договорът съдържа данни, които не се изискват от Директивата или от правото на тази държава членка.
В този контекст Съдът посочва, че съгласно Директива 2017/1132 е от компетентността на държавите членки в частност да определят — при спазване на правото на Съюза — кои категории информация за самоличността на свързаните с дружествата лица, и по-конкретно кои видове лични данни, подлежат на задължително оповестяване.
Съдът също така отбелязва, че когато вписва и съхранява лични данни, получени във връзка със заявление за вписване на дружество в търговския регистър на държава членка, когато в съответните случаи съобщава тези данни на трети лица при поискване и когато ги публикува в държавния вестник или чрез друго равностойно средство, органът, на който е възложено воденето на този регистър, извършва действия по обработване на лични данни, във връзка с които се явява „администратор“. Всъщност тези действия по обработване на лични данни са различни и последващи спрямо съобщаването на личните данни от заявителя на вписването и получаването им от органа. Също така органът извършва сам посочените действия по обработване, в съответствие с целите и правилата, определени от Директива 2017/1132 и от законодателството на съответната държава членка, с което се прилага тази директива.
На трето място, що се отнася до евентуалното право на изтриване, с което би разполагал субектът на данните (
7
), Съдът на първо време проверява на кои от основанията за законосъобразност би могло да отговаря обработването на личните данни на субекта.
От една страна, що се отнася до въпроса дали обработването на тези данни е необходимо за спазването на законово задължение, произтичащо от правото на Съюза или правото на държавата членка, което се прилага спрямо администратора (
8
), Съдът посочва, че Директива 2017/1132 не изисква систематично обработване на всички лични данни, съдържащи се в актовете, които подлежат на задължителното оповестяване по тази директива. Напротив, всяко обработване на лични данни в рамките на тази директива трябва изцяло да отговаря на изискванията на ОРЗД. Съответно държавите членки имат задачата да следят да съвместяват целите на Директива 2017/1132 за гарантиране на правна сигурност и защита на интересите на третите лица със закрепените в ОРЗД права.
Ето защо не може да се приеме, че обявяването онлайн в търговския регистър на лични данни, които не се изискват от Директива 2017/1132 или от приложимото в главното производство национално законодателство и се съдържат в предоставен на агенцията дружествен договор, подлежащ на задължителното оповестяване по тази директива, е обосновано от изискването да се гарантира оповестяването на актовете съгласно тази директива, и че затова произтича от законово задължение, предвидено от правото на Съюза. Наред с това, освен ако проверката на запитващата юрисдикция не покаже друго, също така не изглежда и обработването да е законосъобразно поради наличието на законово задължение, предвидено от националното право.
От друга страна, що се отнася до това дали обработването на данните е необходимо за изпълнението на задача от обществен интерес (
9
), Съдът посочва, че това обработване определено изглежда да се осъществява по повод на такава задача. То обаче видимо надхвърля границите на необходимото за осъществяването на преследваните цели от общ интерес.
В това отношение Съдът отбелязва, че изискването за опазване на целостта и надеждността на дружествените актове, подлежащи на задължителното оповестяване по Директива 2017/1132 — изискване, което налагало тези актове да се публикуват във вида, в който са предоставени на органите, на които е възложено воденето на търговския регистър — не би могло систематично да има предимство пред правото на защита на личните данни, тъй като в противен случай защитата на същото би станала чисто илюзорна. По-конкретно, това изискване не може да налага да остават обявени онлайн в регистъра лични данни, които не се изискват от Директива 2017/1132 или от националното право, при положение че за целите на обявяването им агенцията би могла сама да изготви предвидения от националното право препис на акта на съответното дружество, в който да са заличени неизискваните лични данни.
На второ време, Съдът подчертава, че ако въз основа на преценката си относно законосъобразността на обработването запитващата юрисдикция стигне до извода, че то не е законосъобразно, ще е налице задължение за агенцията — в качеството ѝ на администратор — да изтрие съответните данни без ненужно забавяне.
Ако обаче тази юрисдикция стигне до извода, че обработването действително е необходимо за изпълнението на задача от обществен интерес, например доколкото обявяването онлайн в търговския регистър на данни, които не се изискват от Директива 2017/1132 или от националното законодателство, е било необходимо, за да се избегне забавяне на вписването на съответното дружество, в интерес на защитата на третите лица, ще трябва да се прецени дали са налице убедителни законни основания, които да имат предимство пред интересите, правата и свободите на субекта на данните и да могат да се противопоставят на искането за изтриване (
10
).
Затова Съдът констатира, че Директива 2017/1132 и ОРЗД трябва да се тълкуват в смисъл, че не допускат правна уредба или практика на държава членка, която предполага органът, на който е възложено воденето на търговския регистър на тази държава членка, да отхвърля всяко искане за изтриване на неизисквани от Директивата или правото на държавата членка лични данни, съдържащи се в публикуван в регистъра дружествен договор, когато в противоречие с предвидените в тази уредба процесуални правила не му е предоставен препис от договора със заличаване на тези данни.
На последно място, по въпроса за режима на отговорността по ОРЗД, и по-конкретно за значението в този контекст на издаваните от надзорния орган на държавата членка становища, Съдът подчертава, че съгласно ОРЗД (
11
) издаването на такива становища е част от правомощията на надзорния орган за даване на становище, а не от правомощията му за даване на разрешение. Също така, използваните термини сочат, че тези становища не са правно задължителни по силата на правото на Съюза. Затова съответното становище не би могло само по себе си да доказва липса на възможност вредите да бъдат вменени в отговорност лично на администратора, нито съответно да е достатъчно, за да се освободи администраторът от отговорност съгласно ОРЗД. Следователно подобно становище не е достатъчно, за да освободи от отговорност органа, на който е възложено воденето на търговския регистър на държавата членка и който има качеството „администратор“.
(
1
)	Директива (ЕС) 2017/1132 на Европейския парламент и на Съвета от 14 юни 2017 година относно някои аспекти на дружественото право (OB L 169, 2017 г., стр. 46).
(
2
)	Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
3
)	На основание член 82 от ОРЗД.
(
4
)	Член 21, параграф 2 от Директива 2017/1132.
(
5
)	Съгласно член 14 от Директива 2017/1132.
(
6
)	Съответно по смисъла на член 4, точка 7 и член 4, точка 9 от ОРЗД.
(
7
)	На основание член 17 от ОРЗД.
(
8
)	Основание за законосъобразност по член 6, параграф 1, първа алинея, буква в) от ОРЗД.
(
9
)	Основание за законосъобразност по член 6, параграф 1, първа алинея, буква д) от ОРЗД.
(
10
)	Съгласно член 17, параграф 1, буква в) във връзка с член 21, параграф 1 от ОРЗД.
(
11
)	Член 58, параграф 3, буква б) от ОРЗД.