OPINIA RZECZNIKA GENERALNEGO

GIOVANNIEGO PITRUZZELLI

przedstawiona w dniu 20 stycznia 2022 r. ( 1 )

Sprawy połączone C‑37/20 i C‑601/20

WM (C‑37/20),

Sovim SA (C‑601/20)

przeciwko

Luxembourg Business Registers

[wnioski o wydanie orzeczenia w trybie prejudycjalnym złożone przez tribunal d’arrondissement de Luxembourg (sąd okręgowy w Luksemburgu, Luksemburg)]

Odesłanie prejudycjalne – Zapobieganie wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu – Dyrektywa (UE) 2015/849 – Artykuł 30 ust. 5 i 9 – Rejestr beneficjentów rzeczywistych – Dyrektywa (UE) 2018/843 – Artykuł 1 ust. 15 lit. c) i g) – Publiczny dostęp do informacji o beneficjentach rzeczywistych – Ważność – Karta praw podstawowych Unii Europejskiej – Artykuły 7 i 8 – Zasada przejrzystości – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 5 ust. 1 lit. a) – c) i f) – Wyłączenia dostępu do rejestru beneficjentów rzeczywistych – Przesłanki – Pojęcia „wyjątkowych okoliczności”, „ryzyka” i „niewspółmiernego ryzyka” – Dowód

1. Na czym polega należyta równowaga między wymogiem przejrzystości odnoszącym się do beneficjentów rzeczywistych i struktur kontroli nad spółkami, który to wymóg odgrywa kluczową rolę w zapobieganiu praniu pieniędzy i finansowaniu terroryzmu, z jednej strony, a poszanowaniem praw podstawowych zainteresowanych osób, czyli beneficjentów rzeczywistych, w szczególności ich praw do poszanowania życia prywatnego oraz do ochrony danych osobowych, z drugiej strony?

2. Takie jest w istocie podstawowe zagadnienie, przed którym stoi Trybunał w obydwu sprawach stanowiących przedmiot niniejszej opinii, w związku z dwoma wnioskami o wydanie orzeczenia w trybie prejudycjalnym złożonymi przez tribunal d’arrondissement de Luxembourg (sąd okręgowy w Luksemburgu, Luksemburg).

3. Te dwa wnioski dotyczą ważności i wykładni art. 30 ust. 5 i 9 dyrektywy (UE) 2015/849 ( 2 ), zmienionej dyrektywą (UE) 2018/843 ( 3 ), (zwanej dalej „dyrektywą 2015/849”). Dyrektywa ta ustanowiła system publicznego dostępu do rejestrów beneficjentów rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych utworzonych na terytorium państw członkowskich, który to system umożliwia co do zasady każdemu dostęp do niektórych spośród zawartych w tych rejestrach informacji o beneficjentach rzeczywistych, bez potrzeby wykazywania przez osoby wnioskujące o dostęp jakiegokolwiek interesu.

4. Sąd odsyłający zastanawia się nad zgodnością tego systemu z prawami podstawowymi, jakimi są prawo do poszanowania życia prywatnego i rodzinnego oraz prawo do ochrony danych osobowych chronione odpowiednio na mocy art. 7 i 8 Karty praw podstawowych Unii Europejskiej (zwanej dalej „kartą”). Sąd ten zastanawia się również nad zgodnością z prawem oraz nad zakresem ustanowionego w tej dyrektywie systemu wyłączeń ze wspomnianego publicznego dostępu.

5. W tym kontekście do Trybunału zwrócono się również o zajęcie stanowiska co do wzajemnej relacji między wspomnianym systemem publicznego dostępu a szeregiem przepisów rozporządzenia (UE) 2016/679 ( 4 ).

I. Ramy prawne

A. Prawo Unii

1. Dyrektywy 2015/849 i 2018/843

6. W myśl motywu 2 dyrektywy 2015/849 „[d]ziałania przestępców i ich wspólników podejmowane w celu ukrycia pochodzenia dochodów z przestępstwa lub przeznaczenia pieniędzy pochodzących z legalnych lub nielegalnych źródeł na cele terrorystyczne mogą stanowić poważne zagrożenie dla solidności, integralności i stabilności instytucji kredytowych i finansowych oraz dla zaufania do całego systemu finansowego”. Zgodnie z motywem 12 tej dyrektywy istnieje zatem potrzeba „identyfikacji każdej osoby fizycznej będącej właścicielem podmiotu prawnego lub sprawującej nad nim kontrolę”.

7. W myśl motywu 14 dyrektywy 2015/849 „[k]onieczność posiadania dokładnych i aktualnych danych dotyczących beneficjenta rzeczywistego jest kluczowym czynnikiem śledzenia przestępców, którzy w przeciwnym razie mogliby ukryć swoją tożsamość w strukturze korporacyjnej. Państwa członkowskie powinny zatem zapewnić, by podmioty zarejestrowane na ich terytorium na podstawie prawa krajowego otrzymały i posiadały odpowiednie, dokładne i aktualne informacje o ich beneficjentach rzeczywistych, oprócz podstawowych informacji, takich jak nazwa przedsiębiorstwa, adres oraz potwierdzenie rejestracji i własności prawnej. Z myślą o większej przejrzystości, po to by zwalczać niewłaściwe wykorzystywanie podmiotów prawnych, państwa członkowskie powinny zapewnić przechowywanie informacji na temat beneficjentów rzeczywistych w rejestrze centralnym, zlokalizowanym poza siedzibą przedsiębiorstwa, przy pełnym poszanowaniu prawa unijnego. […]”.

8. W tym kontekście art. 3 pkt 6 dyrektywy 2015/849 definiuje „beneficjenta rzeczywistego” jako „osobę fizyczną lub osoby fizyczne będące ostatecznymi właścicielami klienta lub sprawujące kontrolę nad tym klientem lub osobę fizyczną lub osoby fizyczne, w imieniu których przeprowadzana jest transakcja lub działalność i obejmuje co najmniej: a) w przypadku podmiotów o charakterze korporacyjnym: i) osobę fizyczną lub osoby fizyczne, które ostatecznie są właścicielami podmiotu prawnego lub go kontrolują, bezpośrednio lub pośrednio posiadając wystarczający odsetek udziałów lub praw głosu lub udziałów własnościowych w danym podmiocie […]” ( 5 ).

9. Zgodnie z art. 30 dyrektywy 2015/849 ( 6 ): „1. Państwa członkowskie zapewniają, aby podmioty o charakterze korporacyjnym i inne podmioty prawne utworzone na ich terytorium były zobowiązane do uzyskiwania i posiadania odpowiednich, dokładnych i aktualnych informacji o ich beneficjentach rzeczywistych, łącznie ze szczegółowymi informacjami o posiadanej własności lub charakterze sprawowanej kontroli. Państwa członkowskie zapewniają, aby naruszenia niniejszego artykułu podlegały skutecznym, proporcjonalnym i odstraszającym środkom lub karom. […] 3. Państwa członkowskie zapewniają przechowywanie informacji, o których mowa w ust. 1, w centralnym rejestrze w każdym państwie członkowskim […]. 4. Państwa członkowskie wymagają, aby informacje przechowywane w centralnym rejestrze, o którym mowa w ust. 3, były odpowiednie, dokładne i aktualne oraz wprowadzają w tym celu odpowiednie mechanizmy […]. 5. Państwa członkowskie zapewniają, aby informacje o beneficjentach rzeczywistych były we wszystkich przypadkach udostępniane: a) właściwym organom i jednostkom analityki finansowej, bez żadnych ograniczeń; b) podmiotom zobowiązanym, w ramach stosowania zasad należytej staranności wobec klienta zgodnie z rozdziałem II; c) każdej osobie. Osoby, o których mowa w lit. c), muszą mieć dostęp co najmniej do informacji obejmujących: imię i nazwisko, miesiąc i rok urodzenia oraz państwo zamieszkania i obywatelstwo beneficjenta rzeczywistego, jak również informacji o posiadanej własności lub charakterze sprawowanej kontroli. Państwa członkowskie mogą, na warunkach określonych w prawie krajowym, przewidzieć dostęp do dodatkowych informacji pozwalających na ustalenie tożsamości beneficjenta rzeczywistego. Te dodatkowe informacje obejmują co najmniej datę urodzenia lub dane kontaktowe, zgodnie z przepisami o ochronie danych. 5a. Państwa członkowskie mogą zadecydować o umożliwieniu dostępu do informacji przechowywanych w rejestrach krajowych, o których mowa w ust. 3, pod warunkiem rejestracji online i uiszczenia opłaty, która nie może przekraczać kosztów administracyjnych udostępnienia informacji, w tym kosztów utrzymania i rozwoju rejestru. […] 9. W wyjątkowych okolicznościach określonych w prawie krajowym, gdy dostęp, o którym mowa w ust. 5 akapit pierwszy lit. b) i c), narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, bądź jeżeli beneficjent rzeczywisty jest osobą małoletnią lub z innych względów nieposiadającą pełnej zdolności do czynności prawnych, państwa członkowskie mogą w indywidualnych przypadkach przewidzieć wyłączenie takiego dostępu w odniesieniu do całości lub części informacji o beneficjentach rzeczywistych. Państwa członkowskie zapewniają, by takie wyłączenia były przyznawane po przeprowadzeniu szczegółowej oceny wyjątkowego charakteru okoliczności. Zagwarantowane musi być prawo do kontroli administracyjnej decyzji o przyznaniu wyłączenia oraz do skutecznego środka zaskarżenia. Państwo członkowskie, które przyznało wyłączenia, publikuje roczne dane statystyczne dotyczące liczby udzielonych wyłączeń wraz z uzasadnieniem oraz przekazuje te dane Komisji [Europejskiej]. Wyłączenia przyznane na mocy akapitu pierwszego niniejszego ustępu nie mają zastosowania do instytucji kredytowych i finansowych, ani do podmiotów zobowiązanych, o których mowa w art. 2 ust. 1 pkt 3 lit. b), które są urzędnikami publicznymi. […]”.

10. Zgodnie z art. 41 ust. 1 dyrektywy 2015/849 ( 7 )„[d]o przetwarzania danych osobowych na podstawie niniejszej dyrektywy stosuje się [RODO]”.

11. W myśl art. 43 ust. 1 dyrektywy 2015/849 „[p]rzetwarzanie danych osobowych na podstawie niniejszej dyrektywy do celów zapobiegania praniu pieniędzy i finansowaniu terroryzmu, zgodnie z art. 1, uznaje się za działanie leżące w interesie publicznym zgodnie z [RODO]”.

2. RODO

12. Artykuł 5 RODO, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, w ust. 1 stanowi: „Dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; […] (»ograniczenie celu«); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«); […] f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych (»integralność i poufność«)”.

13. Artykuł 25 tego rozporządzenia, zatytułowany „Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych”, w ust. 2 stanowi: „Administrator wdraża odpowiednie środki techniczne i organizacyjne, aby domyślnie przetwarzane były wyłącznie te dane osobowe, które są niezbędne dla osiągnięcia każdego konkretnego celu przetwarzania. Obowiązek ten odnosi się do ilości zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dostępności. W szczególności środki te zapewniają, by domyślnie dane osobowe nie były udostępniane bez interwencji danej osoby nieokreślonej liczbie osób fizycznych”.

14. W rozdziale V RODO zatytułowanym „Przekazywanie danych osobowych do państw trzecich lub organizacji międzynarodowych”, znajdują się art. 44–50 tego rozporządzenia. Artykuł 44, zatytułowany „Ogólna zasada przekazywania”, stanowi: „Przekazanie danych osobowych, które są przetwarzane lub mają być przetwarzane po przekazaniu do państwa trzeciego lub organizacji międzynarodowej, następuje tylko, gdy – z zastrzeżeniem innych przepisów niniejszego rozporządzenia – administrator i podmiot przetwarzający spełnią warunki określone w niniejszym rozdziale, w tym warunki dalszego przekazania danych z państwa trzeciego lub przez organizację międzynarodową do innego państwa trzeciego lub innej organizacji międzynarodowej. Wszystkie przepisy niniejszego rozdziału należy stosować z myślą o zapewnieniu, by nie został naruszony stopień ochrony osób fizycznych zagwarantowany w niniejszym rozporządzeniu”.

15. Artykuł 49 tego rozporządzenia, zatytułowany „Wyjątki w szczególnych sytuacjach”, stanowi: „1. W razie braku decyzji stwierdzającej odpowiedni stopień ochrony określonej w art. 45 ust. 3 lub braku odpowiednich zabezpieczeń określonych w art. 46, w tym wiążących reguł korporacyjnych, jednorazowe lub wielokrotne przekazanie danych osobowych do państwa trzeciego lub organizacji międzynarodowej mogą nastąpić wyłącznie pod warunkiem, że: […] g) przekazanie następuje z rejestru, który zgodnie z prawem Unii lub prawem państwa członkowskiego ma służyć za źródło informacji dla ogółu obywateli i który jest dostępny dla ogółu obywateli lub dla każdej osoby mogącej wykazać prawnie uzasadniony interes – ale wyłącznie w zakresie, w jakim w danym przypadku spełnione zostały warunki takiego dostępu określone w prawie Unii lub w prawie państwa członkowskiego. […]”.

B. Prawo luksemburskie

16. Loi du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs (ustawa z dnia 13 stycznia 2019 r. ustanawiająca Rejestr beneficjentów rzeczywistych) (Mémorial A 15, zwana dalej „ustawą z dnia 13 stycznia 2019 r.”) w art. 3 stanowi, że pewne informacje o beneficjentach rzeczywistych podmiotów zarejestrowanych podlegają wpisowi i są przechowywane w Rejestrze beneficjentów rzeczywistych. Informacje te obejmują nazwisko, imię (imiona), obywatelstwo(-a), dzień, miesiąc i rok urodzenia, miejsce urodzenia, państwo zamieszkania i dokładny adres prywatny lub dokładny adres do celów działalności zawodowej.

17. Artykuł 15 ustawy z dnia 13 stycznia 2019 r. stanowi: „(1) zarejestrowany podmiot lub beneficjent rzeczywisty może wystąpić, w indywidualnych przypadkach i w wyjątkowych okolicznościach opisanych poniżej, w drodze należycie uzasadnionego wniosku skierowanego do podmiotu zarządzającego, o ograniczenie dostępu do informacji, o których mowa w art. 3, tak by dostęp ten miały wyłącznie organy krajowe, instytucje kredytowe i instytucje finansowe oraz komornicy sądowi i notariusze działający w charakterze funkcjonariuszy publicznych, jeżeli dostęp bez takiego ograniczenia narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, bądź jeżeli beneficjent rzeczywisty jest osobą małoletnią lub z innych względów nieposiadającą pełnej zdolności do czynności prawnych. (2) Podmiot zarządzający, od chwili otrzymania wniosku do chwili doręczenia wydanej przezeń decyzji, a w przypadku nieuwzględnienia wniosku na dodatkowy okres 15 dni, tymczasowo ogranicza dostęp do informacji wskazanych w ust. 3, tak by miały go wyłącznie organy krajowe. W przypadku odwołania od decyzji odmownej, ograniczenie dostępu do informacji jest utrzymywane do czasu wyczerpania środków zaskarżenia od decyzji odmownej. […]”.

II. Okoliczności powstania sporów, postępowania główne i pytania prejudycjalne

A. Sprawa C‑37/20

18. WM jest beneficjentem rzeczywistym trzydziestu pięciu spółek handlowych oraz société civile immobilière (spółki cywilnej prowadzącej działalność w sektorze nieruchomości) YO. Każda z tych spółek złożyła do Luxembourg Business Registers (zwanego dalej „LBR”), będącego podmiotem zarządzającym Rejestrem beneficjentów rzeczywistych w Luksemburgu, wniosek na podstawie art. 15 ust. 1 ustawy z dnia 13 stycznia 2019 r., mający na celu ograniczenie dostępu do informacji dotyczących WM jako beneficjenta rzeczywistego tych spółek, tak aby dostęp ten miały tylko podmioty i organy wskazane w tym przepisie, z wyłączeniem innych osób. W swoich wnioskach WM wskazał, że ujawnienie informacji, o których mowa w art. 3 ustawy z dnia 13 stycznia 2019 r. naraziłoby WM i jego rodzinę na poważne, rzeczywiste i aktualne niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia.

19. LBR oddalił wszystkie te wnioski. W szczególności wniosek dotyczący société civile immobilière YO został oddalony decyzją z dnia 20 listopada 2019 r.

20. WM zaskarżył tę decyzję do sądu odsyłającego ( 8 ). WM twierdzi, że z pełnieniem przez niego funkcji przedstawiciela spółek, których dotyczy wniosek o ograniczenie dostępu do informacji, wiążą się obowiązki częstych wyjazdów do państw o niestabilnych systemach politycznych, w których występuje wysoki wskaźnik przestępczości. Wiąże się z tym poważne ryzyko porwania, bezprawnego pozbawienia wolności, przemocy, a nawet pozbawienia życia. Ryzyko to zwiększyłoby się, gdyby osoby żywiące złe zamiary mogły dowiedzieć się, że jest on beneficjentem rzeczywistym tej czy innej osoby prawnej, której dotyczy wniosek, ponieważ ten status powodowałby powstanie domniemania, iż jest on właścicielem tych podmiotów.

21. LBR twierdzi z kolei, że sytuacja, w jakiej znajduje się WM, nie spełnia wymogów ustawy z dnia 13 stycznia 2019 r., które uzasadniałyby ograniczenie dostępu do informacji dotyczących posiadania przez niego statusu beneficjenta rzeczywistego badanych spółek. LBR podnosi w szczególności, że zaangażowanie WM w działalność tych spółek jest faktem powszechnie znanym, ponieważ wielokrotnie informowała o tym prasa, oraz faktem, który można z łatwością wykryć przy pomocy zwykłej wyszukiwarki internetowej.

22. Sąd odsyłający ma za zadanie rozstrzygnąć, czy WM spełnia przesłanki ustanowione w art. 15 ust. 1 ustawy z dnia 13 stycznia 2019 r., umożliwiające ograniczenie dostępu do informacji dotyczących posiadania przez niego statusu beneficjenta rzeczywistego société civile immobilière YO. Sąd odsyłający zwraca uwagę, że przepis ten stanowi transpozycję art. 30 ust. 9 dyrektywy 2015/849 do prawa luksemburskiego, przy czym ma on wątpliwości dotyczące wykładni tego przepisu wspomnianej dyrektywy.

23. Wątpliwości te dotyczą występujących w art. 30 ust. 9 dyrektywy 2015/849 pojęć „wyjątkowych okoliczności” i „ryzyka”. Sąd odsyłający zastanawia się również nad kryterium „niewspółmierności” ryzyka uzasadniającej ograniczenie dostępu do informacji.

24. W tym kontekście tribunal d’arrondissement de Luxembourg (sąd okręgowy w Luksemburgu) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi: „1) Pojęcie »wyjątkowych okoliczności« a) Czy art. 30 ust. 9 [dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »wyjątkowych okoliczności określonych w prawie krajowym«, można interpretować w ten sposób, że zezwala on na zdefiniowanie w prawie krajowym pojęcia »wyjątkowych okoliczności« wyłącznie jako równoznacznego z »niewspółmiernym ryzykiem, ryzykiem nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia«, które to pojęcia stanowią już przesłankę zastosowania ograniczenia dostępu w myśl brzmienia [tego przepisu]? b) W przypadku udzielenia odpowiedzi przeczącej na pytanie [pierwsze] [lit.] a) oraz w sytuacji gdy prawo krajowe transponujące dyrektywę definiuje pojęcie »wyjątkowych okoliczności« wyłącznie poprzez odesłanie do nieużytecznych pojęć »niewspółmiernego ryzyka, ryzyka nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia«, czy […] art. 30 ust. 9 [dyrektywy 2015/849] należy interpretować w ten sposób, że umożliwia on sądowi krajowemu pominięcie przesłanki »wyjątkowych okoliczności«, czy też sąd ten powinien zaradzić bezczynności ustawodawcy krajowego, określając w drodze orzecznictwa zakres pojęcia »wyjątkowych okoliczności«? W tej drugiej sytuacji, skoro zgodnie z brzmieniem […] art. 30 ust. 9 [tej dyrektywy] chodzi o przesłankę, której treść jest określana przez prawo krajowe, czy jest możliwe, aby Trybunał […] udzielił sądowi krajowemu wskazówek co do wykonania tego zadania? W przypadku udzielenia odpowiedzi twierdzącej na to ostatnie pytanie, jakimi wytycznymi powinien kierować się sąd krajowy, określając treść pojęcia »wyjątkowych okoliczności«? 2) Pojęcie »ryzyka« a) Czy art. 30 ust. 9 [dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »niewspółmiernego ryzyka, ryzyka nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia«, należy interpretować w ten sposób, że odsyła on do wszystkich ośmiu przypadków, z których pierwszy odnosi się do ogólnego ryzyka objętego przesłanką niewspółmierności, a siedem kolejnych odnosi się do konkretnych rodzajów ryzyka nieobjętych przesłanką niewspółmierności, czy też, że odsyła on do wszystkich siedmiu przypadków, z których każdy odnosi się do konkretnego ryzyka objętego przesłanką niewspółmierności? b) Czy art. 30 ust. 9 [dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »ryzyka«, należy interpretować w ten sposób, że ogranicza on ocenę istnienia i rozmiarów tego ryzyka wyłącznie do więzi, jakie łączą beneficjenta [rzeczywistego] z konkretną osobą prawną, w odniesieniu do której zwraca się on o ograniczenie dostępu do informacji o posiadanym przezeń statusie beneficjenta [rzeczywistego], czy też w ten sposób, że wymaga on uwzględnienia więzi, jakie łączą tego beneficjenta [rzeczywistego] z innymi osobami prawnymi? Jeżeli należy brać pod uwagę więzi łączące go z innymi osobami prawnymi – czy w przypadku innych osób prawnych należy brać pod uwagę wyłącznie status beneficjenta [rzeczywistego], czy też należy brać pod uwagę jakiekolwiek więzi łączące go z innymi osobami prawnymi? Jeżeli należy brać pod uwagę jakiekolwiek więzi łączące go z innymi osobami prawnymi, czy charakter tych więzi ma wpływ na ocenę istnienia i rozmiarów ryzyka? c) Czy art. 30 ust. 9 [dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjentów [rzeczywistych] od »ryzyka«, należy interpretować w ten sposób, że wyklucza on przyznanie ochrony wynikającej z ograniczenia dostępu, w sytuacji gdy informacje te, podobnie jak inne dane przedstawione przez beneficjenta [rzeczywistego] w celu uzasadnienia istnienia i rozmiarów ponoszonego »ryzyka«, mogą być z łatwością uzyskane przez osoby trzecie z innych źródeł? 3) Pojęcie »niewspółmiernego ryzyka« Jakie rozbieżne interesy należy brać pod uwagę w ramach stosowania art. 30 ust. 9 [dyrektywy 2015/849], który uzależnia ograniczenie dostępu do informacji dotyczących beneficjenta [rzeczywistego] od »niewspółmiernego« ryzyka?”.

B. Sprawa C‑601/20

25. Sovim SA jest spółką akcyjną z siedzibą w Luksemburgu.

26. W dniu 12 sierpnia 2019 r. Sovim złożyła do LBR wniosek na podstawie art. 15 ustawy z dnia 13 stycznia 2019 r. w celu ograniczenia dostępu do zapisanych w tym rejestrze informacji odnoszących się do beneficjenta rzeczywistego tej spółki.

27. W dniu 6 lutego 2020 r. LBR odmówił uwzględnienia tego wniosku.

28. W związku z tym Sovim w dniu 24 lutego 2020 r. wniosła skargę do tribunal d’arrondissement de Luxembourg (sądu okręgowego w Luksemburgu), w której domaga się ona tytułem żądania głównego odstąpienia od stosowania art. 12 ustawy z dnia 13 stycznia 2019 r., zgodnie z którym pewne informacje wpisane do rejestru beneficjentów rzeczywistych są dostępne dla każdego, lub art. 15 tej ustawy, oraz uniemożliwienia publicznego dostępu do informacji przekazanych przez nią na podstawie art. 3 wspomnianej ustawy.

29. Sovim podnosi w pierwszej kolejności, że udzielenie publicznego dostępu do tożsamości i danych osobowych beneficjenta rzeczywistego naruszyłoby prawo do ochrony życia prywatnego i rodzinnego oraz prawo do ochrony danych osobowych, które to prawa zostały ustanowione odpowiednio w art. 7 i 8 karty. Zdaniem tej spółki dyrektywa 2015/849, na podstawie której do prawodawstwa luksemburskiego została wprowadzona ustawa z dnia 13 stycznia 2019 r., ma bowiem na celu identyfikowanie beneficjentów rzeczywistych spółek wykorzystywanych do prania pieniędzy lub finansowania terroryzmu, jak również zapewnienie bezpieczeństwa relacji handlowych i zaufania do rynków. Tymczasem nie określono, w jaki sposób publiczny dostęp bez jakiejkolwiek kontroli nad udostępnianiem danych zawartych w rejestrze beneficjentów rzeczywistych miałby umożliwić osiągnięcie tych celów. W drugiej kolejności Sovim podnosi, że publiczny dostęp do danych osobowych zawartych w rejestrze beneficjentów rzeczywistych stanowi naruszenie szeregu przepisów RODO.

30. Tytułem żądania ewentualnego Sovim wnosi do sądu odsyłającego o stwierdzenie, że w niniejszej sprawie istnieje niewspółmierne ryzyko w rozumieniu art. 15 akapit pierwszy z dnia 13 stycznia 2019 r., a w konsekwencji o nakazanie LBR ograniczenia dostępu do informacji, o których mowa w art. 3 tej ustawy. Spółka ta podnosi w tym względzie, że jej beneficjent rzeczywisty jest narażony na niewspółmierne, rzeczywiste i aktualne ryzyko, ponieważ beneficjentowi rzeczywistemu i jego rodzinie grozi ryzyko porwania w trakcie podróży lub pobytu na kontynencie afrykańskim.

31. W tym kontekście, zdaniem sądu odsyłającego, powstaje pytanie, czy publiczny dostęp do niektórych danych zawartych w rejestrze beneficjentów rzeczywistych jest zgodny z kartą, jak również z RODO.

32. W tych okolicznościach tribunal d’arrondissement de Luxembourg (sąd okręgowy w Luksemburgu) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi: „1) Czy art. 1 ust. 15 lit. c) [dyrektywy 2018/843], w zakresie, w jakim przepis ten nakłada na państwa członkowskie wymóg publicznego udostępniania w każdym przypadku każdej osobie informacji o beneficjentach rzeczywistych bez konieczności wykazania interesu prawnego przez tę osobę, jest ważny a) w świetle prawa do poszanowania życia prywatnego i rodzinnego zagwarantowanego w art. 7 [karty] interpretowanym zgodnie z art. 8 [europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie dnia 4 listopada 1950 r. (zwanej dalej »EKPC«)], przy uwzględnieniu celów określonych, między innymi, w motywach 30 i 31 dyrektywy 2018/843, dotyczących w szczególności zwalczania prania pieniędzy i finansowania terroryzmu; oraz b) w świetle prawa do ochrony danych osobowych zagwarantowanego w art. 8 karty w zakresie, w jakim ma ono na celu, między innymi, zapewnienie zgodnego z prawem, rzetelnego i przejrzystego przetwarzania danych osobowych w odniesieniu do podmiotu danych, ograniczenia celów gromadzenia i przetwarzania oraz minimalizacji danych? 2) a) Czy art. 1 ust. 15 lit. g) dyrektywy 2018/843 należy interpretować w ten sposób, że istnienie wskazanych w tym przepisie wyjątkowych okoliczności, w których państwa członkowskie mogą przewidzieć wyłączenie dostępu w odniesieniu do całości lub części informacji o beneficjentach rzeczywistych, jeśli dostęp publiczny narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, można stwierdzić tylko w przypadku przeprowadzenia dowodu na istnienie niewspółmiernego ryzyka nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, które ma charakter wyjątkowy, zachodzi rzeczywiście w odniesieniu do konkretnej osoby będącej beneficjentem rzeczywistym oraz ma charakter rzeczywisty i aktualny? b) W przypadku odpowiedzi twierdzącej czy interpretowany w ten sposób art. 1 ust. 15 lit. g) dyrektywy 2018/843 jest ważny w świetle prawa do poszanowania życia prywatnego i rodzinnego zagwarantowanego w art. 7 karty i prawa do ochrony danych osobowych zagwarantowanego w art. 8 karty? 3) a) Czy art. 5 ust. 1 lit. a) [RODO], wymagający przetwarzania danych zgodnie z prawem, rzetelnie i w sposób przejrzysty w odniesieniu do podmiotu danych, należy interpretować w ten sposób, że nie stoi on na przeszkodzie temu, że – dane osobowe beneficjenta rzeczywistego wpisane do rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 dyrektywy 2015/849 są publicznie dostępne bez jakiejkolwiek kontroli ani wymogu uzasadnienia przez każdą osobę występującą o dostęp, i bez możliwości uzyskania przez podmiot danych (beneficjenta rzeczywistego) informacji o tym, kto miał dostęp do jego danych osobowych, – administrator takiego rejestru beneficjentów rzeczywistych zapewnia dostęp do danych osobowych beneficjentów rzeczywistych nieograniczonej i niemożliwej do zidentyfikowania liczbie osób? b) Czy art. 5 ust. 1 lit. b) [RODO], wymagający ograniczenia celów należy interpretować w ten sposób, że nie stoi on na przeszkodzie temu, by dostęp do danych osobowych beneficjenta rzeczywistego wpisanych do rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 dyrektywy 2015/849 przysługiwał każdej osobie w sytuacji, gdy administrator tych danych nie jest w stanie zagwarantować, że dane te są wykorzystywane wyłącznie w celu, w jakim zostały zebrane, a mianowicie w celu walki z praniem pieniędzy i finansowaniem terroryzmu, w sytuacji gdy każda z tych osób nie jest organem odpowiedzialnym za realizację tych celów? c) Czy art. 5 ust. 1 lit. c) [RODO], wymagający minimalizacji danych należy interpretować w ten sposób, że nie stoi on na przeszkodzie publicznemu dostępowi za pośrednictwem rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 dyrektywy 2015/849 do danych obejmujących – oprócz imienia i nazwiska, miesiąca i roku urodzenia, obywatelstwa i państwa zamieszkania beneficjenta rzeczywistego oraz posiadanej własności i charakteru sprawowanej kontroli – również jego datę urodzenia i miejsce urodzenia? d) Czy art. 5 ust. 1 lit. f) [RODO], który wymaga przetwarzania danych w taki sposób, aby zapewnić odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed nieuprawnionym lub niezgodnym z prawem przetwarzaniem, zapewniając tym samym integralność i poufność takich danych, nie stoi na przeszkodzie nieograniczonemu i bezwarunkowemu dostępowi, bez zobowiązania do zachowania poufności, do danych osobowych beneficjentów rzeczywistych, które to dane są dostępne w rejestrze beneficjentów rzeczywistych utworzonym zgodnie z art. 30 dyrektywy 2015/849? e) Czy art. 25 ust. 2 [RODO], który gwarantuje domyślną ochronę danych, zgodnie z którą, między innymi, domyślnie dane osobowe nie mogą być udostępniane nieokreślonej liczbie osób fizycznych bez interwencji danej osoby fizycznej, należy interpretować w ten sposób, że nie stoi on na przeszkodzie temu, że – rejestr beneficjentów rzeczywistych utworzony zgodnie z art. 30 dyrektywy 2015/849 nie wymaga rejestracji w witrynie rzeczonego rejestru każdej z osób przeglądających w ramach publicznego dostępu dane osobowe beneficjenta rzeczywistego, – beneficjent rzeczywisty nie otrzymuje żadnych informacji na temat przeglądania danych osobowych beneficjenta rzeczywistego zapisanych w takim rejestrze, – w świetle celu przetwarzania rozpatrywanych danych osobowych nie ma zastosowania żadne ograniczenie co do zakresu i dostępności tych danych osobowych? f) Czy art. 44–50 [RODO], które uzależniają przekazanie danych osobowych do państwa trzeciego od spełnienia ściśle określonych warunków, należy interpretować w ten sposób, że nie stoją one na przeszkodzie temu, by takie dane beneficjenta rzeczywistego, wpisane do rejestru beneficjentów rzeczywistych utworzonego zgodnie z art. 30 dyrektywy 2015/849, były w każdym przypadku dostępne każdej osobie korzystającej z publicznego dostępu, bez wykazania interesu prawnego i bez ograniczeń co do miejsca, w którym osoba ta się znajduje?”.

III. Analiza

33. Sześć pytań przedłożonych przez sąd odsyłający w ramach jego dwóch wniosków o wydanie orzeczenia w trybie prejudycjalnym można zasadniczo podzielić na trzy grupy.

34. Pierwsza grupa pytań [a mianowicie pytanie pierwsze i pytanie drugie lit. b) przedłożone w sprawie C‑601/20] ma na celu weryfikację ważności – w świetle ustanowionych w art. 7 i 8 karty praw do poszanowania życia prywatnego i do ochrony danych osobowych – zasad publicznego dostępu do informacji o beneficjentach rzeczywistych oraz systemu wyłączeń wdrożonego na mocy art. 30 ust. 5 lit. c) i ust. 9 dyrektywy 2015/849.

35. Druga grupa pytań (a mianowicie pytanie trzecie przedłożone w sprawie C‑601/20) ma na celu weryfikację zgodności wspomnianego systemu publicznego dostępu do informacji o beneficjentach rzeczywistych z szeregiem przepisów RODO.

36. Trzecia grupa pytań [a mianowicie wszystkie pytania przedłożone w sprawie C‑37/20 oraz pytanie drugie lit. a) w sprawie C‑601/20] dotyczy wykładni art. 30 ust. 9 dyrektywy 2015/849, odnoszącego się do systemu wyłączeń ze wspomnianego systemu publicznego dostępu do informacji o beneficjentach rzeczywistych.

37. Uważam, że przed udzieleniem odpowiedzi na te pytania należy poczynić kilka uwag wstępnych. Po pierwsze, sformułuję ogólne uwagi dotyczące zasady przejrzystości w prawie Unii, która odgrywa kluczową rolę w niniejszych sprawach. Po drugie, przedstawię główne cechy charakterystyczne ustanowionego na mocy dyrektywy 2015/849 systemu publicznego dostępu do informacji dotyczących beneficjentów rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych. Po trzecie, sformułuję kilka uwag dotyczących relacji, jaka zachodzi między dyrektywą 2015/849 a RODO.

A. Uwagi wstępne

1. W przedmiocie zasady przejrzystości

38. Demokracja to „sprawowanie władzy publicznej w sposób jawny”. Ta definicja demokracji sformułowana przez uznanego filozofa polityki Norberta Bobbio ( 9 ) kładzie nacisk na relację wzajemnego przenikania się demokracji i przejrzystości. W konstytucyjnych tradycjach państw członkowskich stopniowo torowała sobie drogę idea, zgodnie z którą działania władz publicznych powinny rządzić się zasadą przejrzystości, a ograniczenia tej zasady powinny być czymś absolutnie wyjątkowym (władza jako „dom ze szkła”).

39. Przeciwieństwem przejrzystości władzy publicznej jest tajemnica sfery prywatnej chroniona przez uznanie prawa podstawowego, którego przedmiotem jest tajemnica życia prywatnego, gwarantowanego obecnie na mocy art. 7 karty. Prawo to, głównie w związku z pojawieniem się technologii cyfrowych, zostało rozszerzone na prawo do ochrony danych osobowych, które jest również gwarantowane przez kartę na mocy jej art. 8. Dychotomii pojęciowej pomiędzy tym, co publiczne a tym, co prywatne, odpowiada dychotomia pomiędzy przejrzystością sfery publicznej a poufnością życia prywatnego.

40. Jednakże w dzisiejszej złożonej sytuacji społecznej linia demarkacyjna między sferą publiczną a sferą prywatną nie zawsze jest wyraźna. Coraz częściej dochodzi bowiem do interferencji i nakładania się na siebie tych sfer. W szczególności pewne zachowania w sferze prywatnej mogą ze względu na ich charakter mieć poważne reperkusje w wymiarze publicznym lub, z uwagi na publiczną funkcję pełnioną przez autora tych zachowań, mogą być istotne dla ogółu społeczeństwa demokratycznego i jego elementów składowych (media, partie polityczne, organizacje społeczeństwa obywatelskiego), pełniących w szerokim zakresie kontrolę władz publicznych.

41. Zatem z powodów obiektywnych lub subiektywnych w ogólnym interesie może leżeć poznanie niektórych aspektów należących do sfery prywatnej danej jednostki. W konsekwencji, ponieważ mnożą się przypadki konfliktu między poufnością życia prywatnego i ochroną danych osobowych, z jednej strony, a potrzebą przejrzystości, z drugiej strony, zachodzi potrzeba przeprowadzenia delikatnych operacji zbilansowanego wyważenia.

42. Należy w tym kontekście zauważyć, że zasada przejrzystości odgrywa coraz ważniejszą rolę w prawie Unii i jest obecnie podniesiona do rangi prawa pierwotnego, gdyż została zapisana w art. 1 i 10 TUE oraz w art. 15 TFUE ( 10 ). W prawie Unii zasada ta konkretyzuje się przede wszystkim w wymogach przejrzystości instytucjonalnej i proceduralnej, które to wymogi dotyczą działalności o charakterze publicznym takiej jak działalność prawodawcza lub administracyjna. W tej perspektywie przejrzystość przyczynia się do umocnienia zasad demokracji i poszanowania praw podstawowych zdefiniowanych w art. 6 TUE i w karcie ( 11 ). Sam Trybunał uznał związek między przejrzystością a demokracją, wskazując w swoim orzecznictwie, że celem zasady przejrzystości jest umożliwienie obywatelom możliwie najszerszego dostępu do informacji w celu wzmocnienia demokratycznego charakteru instytucji i administracji ( 12 ).

43. Jednakże poszerzenie zakresu stosowania zasady przejrzystości, w szczególności w następstwie wejścia w życie traktatu z Lizbony ( 13 ), zwiększyło jej znaczenie w dziedzinach takich jak regulowanie rynków finansowych, w których zasada ta przyczynia się do zwalczania zjawisk korupcji i terroryzmu, które poprzez niszczenie demokracji mogą zagrozić tej podstawowej wartości Unii potwierdzonej w art. 2 TUE.

44. Ponadto orzecznictwo Trybunału dostarcza wielu przykładów sytuacji, w których dochodzi do interferencji między dwiema wspomnianymi dychotomiami, sferą publiczną/sferą prywatną oraz wymogami przejrzystości/poufności życia prywatnego.

45. I tak, w wyroku z dnia 9 listopada 2010 r., Volker und Markus Schecke i Eifert (sprawy połączone C‑92/09 i C‑93/09, EU:C:2010:662), Trybunał orzekł, że publikacja poprzez Internet danych imiennych dotyczących beneficjentów dopłat rolnych i dokładnych otrzymanych przez nich kwot może powodować zwiększenie przejrzystości w odniesieniu do wykorzystania takich dopłat. Trybunał wskazał, że udostępnienie takich informacji obywatelom wzmacnia publiczną kontrolę wykorzystania danych kwot i przyczynia się do optymalnego wykorzystania funduszy publicznych ( 14 ).

46. Inny wyrok, wydany ostatnio przez wielką izbę Trybunału ( 15 ), dotyczył węgierskiej ustawy, która między innymi nakładała na określone kategorie organizacji społeczeństwa obywatelskiego korzystających ze wsparcia zagranicznego obowiązki podawania do publicznej wiadomości informacji na temat osób udzielających wsparcia z zagranicy oraz na temat tej pomocy finansowej. W wyroku tym Trybunał orzekł, że rozpatrywana ustawa wprowadza dyskryminujące i nieuzasadnione ograniczenia oraz narusza art. 63 TFUE i art. 7, 8 i 12 karty.

47. W tym kontekście Trybunał przyznał jednoznacznie, że skoro niektóre organizacje społeczeństwa obywatelskiego mogą, ze względu na cele, do których dążą i dostępne im środki, mieć znaczący wpływ na życie publiczne i debatę publiczną, to cel zwiększenia przejrzystości wsparcia finansowego udzielanego takim organizacjom może również należeć do nadrzędnych względów interesu ogólnego ( 16 ).

48. Jak pokazują przytoczone przykłady, przejrzystość, typowa dla sektora publicznego, może w pewnych warunkach dotyczyć niektórych rodzajów działalności – i odnośnych danych – podmiotów prywatnych, które z różnych powodów są zaangażowane w podstawowe interesy społeczności. Ta ewolucja nie jest zaskakująca, jeżeli weźmie się pod uwagę to, że przejrzystość jest „środkiem” stosowanym poza sferą władzy publicznej, dla osiągnięcia celów interesu ogólnego. Powstałe w niniejszych sprawach zagadnienie o charakterze konstytucyjnym dotyczy możliwego sposobu pogodzenia wymogów przejrzystości z ochroną praw podstawowych, a szczególnie praw do ochrony życia prywatnego i ochrony danych osobowych.

2. W przedmiocie ustanowionego w dyrektywie 2015/849 systemu publicznego dostępu do informacji dotyczących beneficjentów rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych

49. Należy skrótowo przedstawić główne elementy systemu publicznego dostępu do informacji dotyczących beneficjentów rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów prawnych, który to system jest przedmiotem pytań prejudycjalnych w niniejszych sprawach.

50. Jak wynika z jej art. 1 i motywu 5, dyrektywa 2015/849 ma na celu zapobieganie zagrożeniom, które mogłyby negatywnie wpływać na integralność, należyte funkcjonowanie, wiarygodność i stabilność systemu finansowego w wyniku wykorzystywania tego systemu do prania pieniędzy i finansowania terroryzmu ( 17 ). Ustanawia ona w tym celu skuteczne i kompleksowe ramy prawne dotyczące problemu gromadzenia środków pieniężnych lub mienia na cele terrorystyczne poprzez nałożenie na państwa członkowskie obowiązku identyfikacji, zrozumienia i ograniczenia ryzyka związanego z praniem pieniędzy i finansowaniem terroryzmu ( 18 ).

51. W tym kontekście potrzeba dokładnych i aktualnych informacji dotyczących beneficjenta rzeczywistego podmiotów o charakterze korporacyjnym i innych podmiotów prawnych tworzonych na terytorium państw członkowskich – zdefiniowanego w art. 3 pkt 6 dyrektywy 2015/849 – ma kluczowe znaczenie dla śledzenia przestępców, którzy w przeciwnym razie mogliby ukrywać swoją tożsamość za strukturą przedsiębiorstwa ( 19 ).

52. Zgodnie z art. 3 pkt 6 dyrektywy 2015/849 beneficjentem rzeczywistym jest osoba fizyczna lub osoby fizyczne będące ostatecznymi właścicielami klienta lub sprawujące kontrolę nad tym klientem lub osoba fizyczna lub osoby fizyczne, w imieniu których przeprowadzana jest transakcja lub działalność.

53. Dlatego właśnie art. 30 ust. 1 i 3 dyrektywy 2015/849 nakłada na państwa członkowskie obowiązek zapewnienia odpowiednio, po pierwsze, aby podmioty o charakterze korporacyjnym i inne podmioty prawne utworzone na ich terytorium ( 20 ) były zobowiązane do uzyskiwania i posiadania odpowiednich, dokładnych i aktualnych informacji o ich beneficjentach, a po drugie, aby informacje te były przechowywane w centralnym rejestrze w każdym państwie członkowskim. Przepisy te nie określają dokładnie, jakie informacje dotyczące beneficjenta rzeczywistego powinny zostać zgłoszone do wspomnianego rejestru centralnego, i pozostawiają każdemu państwu członkowskiemu możliwość określenia tych informacji.

54. Jeśli chodzi o dostęp do tych informacji, art. 30 ust. 5 dyrektywy 2015/849 w jego pierwotnej wersji stanowił, że państwa członkowskie zapewniają, by informacje o beneficjentach rzeczywistych były we wszystkich przypadkach udostępniane właściwym organom i jednostkom analityki finansowej bez żadnych ograniczeń [lit. a)], podmiotom zobowiązanym, w ramach stosowania zasad należytej staranności wobec klienta [lit. b)] oraz wszelkim osobom lub organizacjom, które mogą wykazać uzasadniony interes [lit. c)].

55. Z motywu 2 dyrektywy 2018/843 wynika, że w związku z „pojawiając[ymi] się now[ymi] tendencj[ami], w szczególności w zakresie finansowania i prowadzenia operacji przez grupy terrorystyczne”, uznano, że należy podjąć „dodatkowe środki w celu zapewnienia większej przejrzystości transakcji finansowych, podmiotów o charakterze korporacyjnym i innych podmiotów prawnych”. Jak wynika z motywu 5 dyrektywy 2018/843, te dodatkowe środki zmieniające dyrektywę 2015/849 powinny jednak „być wprowadzane z należytym uwzględnieniem prawa podstawowego do ochrony danych osobowych, a także z poszanowaniem i zastosowaniem zasady proporcjonalności”.

56. I tak, w perspektywie zapewnienia większego stopnia przejrzystości, jeśli chodzi o beneficjentów rzeczywistych, wersja pierwotna art. 30 ust. 5 lit. c) dyrektywy 2015/849 została zmieniona dyrektywą 2018/843 w taki sposób, że możliwość dostępu do informacji o beneficjentach rzeczywistych ma obecnie „każda osoba”, bez konieczności wykazywania jakiegokolwiek interesu.

57. Ściślej rzecz ujmując, na mocy art. 30 ust. 5 akapit drugi dyrektywy 2015/849 każda osoba musi „mieć dostęp co najmniej do informacji obejmujących: imię i nazwisko, miesiąc i rok urodzenia oraz państwo zamieszkania i obywatelstwo beneficjenta rzeczywistego, jak również informacji o posiadanej własności lub charakterze sprawowanej kontroli”. Ponadto, zgodnie z art. 30 ust. 5 akapit trzeci państwa członkowskie mogą przewidzieć dostęp „do dodatkowych informacji pozwalających na ustalenie tożsamości beneficjenta rzeczywistego”, przy czym te dodatkowe informacje obejmują „co najmniej datę urodzenia lub dane kontaktowe, zgodnie z przepisami o ochronie danych”.

58. Jeśli chodzi o zasady dostępu do tych danych, dyrektywa 2018/843 wprowadziła do art. 30 dyrektywy 2015/849 ust. 5a, który daje państwom członkowskim możliwość uzależnienia dostępu do informacji przechowywanych w rejestrach krajowych od rejestracji online i uiszczenia opłaty, która nie może przekraczać kosztów administracyjnych udostępnienia informacji.

59. Publiczny dostęp do informacji dotyczących beneficjentów rzeczywistych nie jest jednakże nieograniczony. Dyrektywa 2015/849 w art. 30 ust. 9 umożliwia bowiem państwom członkowskim ustanowienie wyłączeń z dostępu do informacji dotyczących beneficjentów rzeczywistych. Wspomniany ust. 9 tego artykułu w wersji zmienionej dyrektywą 2018/843 stanowi, że państwa członkowskie, w wyjątkowych okolicznościach określonych w prawie krajowym, mogą przewidzieć wyłączenia dostępu podmiotów zobowiązanych oraz publicznego dostępu do tych informacji, jeżeli dostęp taki narażałby beneficjenta rzeczywistego na niewspółmierne ryzyko, ryzyko nadużycia finansowego, porwania, szantażu, wymuszenia, nękania, przemocy lub zastraszenia, bądź jeżeli beneficjent rzeczywisty jest osobą małoletnią lub z innych względów nieposiadającą pełnej zdolności do czynności prawnych.

60. Jak wynika z motywów 30 ( 21 ), 31 ( 22 ), 32 ( 23 ) i 33 ( 24 ) dyrektywy 2018/843, wprowadzone przez tę dyrektywę zmiany do art. 30 dyrektywy 2015/849 – a w szczególności umożliwienie każdej osobie dostępu do informacji o beneficjentach rzeczywistych bez konieczności wykazywania jakiegokolwiek interesu – zmierzały do osiągnięcia większego stopnia przejrzystości, jeśli chodzi o beneficjentów rzeczywistych i struktury kontroli przedsiębiorstw w celu stworzenia środowiska, w którym prawdopodobieństwo wykorzystania go do prania pieniędzy i finansowania terroryzmu jest niższe ( 25 ). Pozytywnym skutkiem ubocznym wprowadzenia większej przejrzystości ma być również wzrost zaufania do rynków finansowych ( 26 ).

61. O ile głównym celem zmian dyrektywy 2015/849 wprowadzonych dyrektywą 2018/843 było osiągnięcie większego stopnia przejrzystości, o tyle w motywie 34 ( 27 ) tej ostatniej dyrektywy wskazano wprost, że należy starać się osiągnąć należytą równowagę pomiędzy ogólnym interesem publicznym w zakresie zapobiegania praniu pieniędzy i finansowaniu terroryzmu, z jednej strony, a prawami podstawowymi osób, których dotyczą dane, z drugiej strony.

62. W związku z tym, jak wynika z motywu 36 ( 28 ) dyrektywy 2018/843, w celu zapewnienia proporcjonalnego i zrównoważonego podejścia oraz w celu zagwarantowania prawa do życia prywatnego i ochrony danych osobowych, w dyrektywie 2015/849 przewidziano wyłączenia z obowiązku ujawniania w rejestrach informacji o beneficjentach rzeczywistych oraz udzielania publicznego dostępu do takich informacji, na wskazanych wyżej zasadach określonych w art. 30 ust. 9 tej dyrektywy.

3. W przedmiocie relacji pomiędzy dyrektywami 2015/849 i 2018/843 a RODO

63. Pytania należące do drugiej grupy wskazanej w pkt 35 niniejszej opinii, czyli te przedłożone w ramach trzeciego pytania prejudycjalnego w sprawie C‑601/20, zostały sformułowane tak, aby skłonić Trybunał do dokonania oceny ważności ustanowionego na mocy dyrektywy 2015/849 systemu publicznego dostępu do informacji o beneficjentach rzeczywistych w świetle szeregu przepisów RODO.

64. W tych okolicznościach należy poczynić na wstępie kilka uwag dotyczących relacji, jaka zachodzi między tymi aktami prawa Unii, to jest między dyrektywami 2015/849 i 2018/843, z jednej strony, a RODO, z drugiej strony.

65. Jeśli chodzi o tę kwestię, należy przede wszystkim zauważyć, że mamy do czynienia z aktami prawa wtórnego zajmującymi równorzędne miejsca w hierarchii źródeł prawa Unii.

66. Z orzecznictwa wynika, że w sytuacji, gdy dwa akty prawa wtórnego mające tę samą rangę nie zawierają przepisów wskazujących wprost na pierwszeństwo jednego z nich przed drugim, należy zapewnić takie stosowanie każdego z tych aktów, które jest zgodne ze stosowaniem drugiego z nich, i umożliwić w ten sposób spójne stosowanie ( 29 ).

67. W niniejszym przypadku istnieją wyraźnie związki między rozpatrywanymi aktami prawnymi. Najbardziej bezpośredni związek wynika z art. 41 ust. 1 dyrektywy 2015/849, zgodnie z którym (w jego wersji zmienionej dyrektywą 2019/2177) „[d]o przetwarzania danych osobowych na podstawie niniejszej dyrektywy stosuje się [RODO]”. W motywie 38 dyrektywy 2018/843 wskazano również, że „do przetwarzania danych osobowych w ramach niniejszej dyrektywy stosuje się [RODO]” oraz że „beneficjenci […] powinni zostać poinformowani o prawach przysługujących im na podstawie obecnych unijnych ram prawnych w zakresie ochrony danych, ustanowionych w [RODO]”. Odniesienie do RODO znajduje się również w art. 43 dyrektywy 2015/849.

68. Mimo zastosowania we wspomnianym art. 41 ust. 1 zwrotu „stosuje się” ( 30 ), moim zdaniem związki te nie polegają na ustanowieniu pierwszeństwa RODO przed dyrektywami 2015/849 i 2018/843 ( 31 ), tak by RODO samo w sobie miało stanowić miernik zgodności z prawem przy ocenianiu ważności przepisów tych dyrektyw.

69. Związki te są natomiast wyrazem konieczności skoordynowania, z jednej strony, przetwarzania danych osobowych wynikającego ze stosowania wspomnianych dyrektyw, a z drugiej strony ustanowionych na mocy RODO ogólnych ram prawa Unii odnoszących się do ochrony danych.

70. Poza tym te ogólne ramy prawne stworzone przez RODO wprowadzają w życie – między innymi (lecz nie tylko) poprzez art. 5 i 6 tego rozporządzenia – wymogi wynikające z prawa podstawowego do ochrony danych osobowych chronionego na mocy art. 8 karty, a w szczególności wymogi wskazane wprost w ust. 2 tego artykułu ( 32 ).

71. W związku z tym, aby zasady przetwarzania danych osobowych beneficjentów rzeczywistych ustanowione dyrektywą 2015/849 były zgodne z wymogami wynikającymi z art. 8 karty, należy je interpretować w sposób spójny z przepisami RODO, co wynika wprost z treści art. 41 ust. 1 tej dyrektywy.

72. Zresztą wymogi wynikające z przepisów RODO powinny być uwzględniane również przez organy państw członkowskich, szczególnie przez krajowego ustawodawcę, gdy organy te regulują i stosują wprowadzony przez wspomniane dyrektywy system zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, a w szczególności system przetwarzania danych dotyczących beneficjentów rzeczywistych przewidziany w tych dwóch dyrektywach.

73. To właśnie w świetle tych zasad należy analizować pytania prejudycjalne przedłożone przez sąd odsyłający.

B. W przedmiocie ważności art. 30 ust. 5 lit. c) i ust. 9 dyrektywy 2015/849 [pytanie pierwsze i pytanie drugie lit. b) w sprawie C‑601/20]

74. Poprzez pytanie pierwsze przedstawione w sprawie C‑601/20 sąd odsyłający zmierza do ustalenia, czy art. 30 ust. 5 lit. c) dyrektywy 2015/849 w zakresie, w jakim nakazuje państwom członkowskim, aby udostępniały publicznie informacje o beneficjentach rzeczywistych, bez konieczności wykazywania przez zainteresowane osoby uzasadnionego interesu, jest ważny w świetle prawa do poszanowania życia prywatnego i rodzinnego oraz prawa do ochrony danych osobowych, które to prawa są gwarantowane odpowiednio na mocy art. 7 i 8 karty.

75. Poprzez pytanie drugie lit. b) przedstawione w tej samej sprawie sąd odsyłający zmierza do ustalenia, czy art. 30 ust. 9 dyrektywy 2015/849, który daje państwom członkowskim możliwość ustanowienia przepisów wyłączających dostęp, w tym dostęp publiczny, do informacji o beneficjentach rzeczywistych, jest ważny w świetle wymienionych wyżej praw podstawowych ustanowionych w karcie.

76. Moim zdaniem obydwa te pytania, które dotyczą ważności dwóch ustępów tego samego artykułu dyrektywy 2015/849, należy przeanalizować łącznie. Obydwa te pytania dotyczą bowiem dwóch aspektów tego samego systemu publicznego dostępu do informacji o beneficjentach rzeczywistych ustanowionego w tej dyrektywie, którego ważność należy według mnie oceniać całościowo. Uważam bowiem, że udzielając odpowiedzi na pytanie pierwsze przedstawione w sprawie C‑601/20, dotyczące publicznego udostępnienia tych informacji bez wykazywania przez zainteresowane osoby uzasadnionego interesu, nie można pominąć systemu wyłączeń przewidzianego w art. 30 ust. 9 tej dyrektywy. Obydwa pytania są zatem powiązane.

77. Na wstępie pragnę jeszcze zauważyć, że z postanowienia odsyłającego wynika, iż celem pytania pierwszego w sprawie C‑601/20 nie jest kwestionowanie zasadności przekazywania i przechowywania w centralnym rejestrze danych dotyczących beneficjentów rzeczywistych, ani samego systemu dostępu do tych informacji ustanowionego w art. 30 ust. 5 dyrektywy 2015/849. Pytanie to dotyczy jedynie zmiany art. 30 ust. 5 lit. c) dyrektywy 2015/849 wynikającej z dyrektywy 2018/843. Dotyczy ono zatem wyłącznie zniesienia wymogu przewidzianego w pierwotnej wersji tego przepisu, zgodnie z którym wszelkie osoby lub organizacje powinny wykazać „uzasadniony interes”, aby uzyskać dostęp do wspomnianych danych dotyczących beneficjentów rzeczywistych, a zatem dotyczy wprowadzenia możliwości uzyskania dostępu do takich informacji przez „każdą osobę” bez konieczności wykazywania jakiegokolwiek interesu.

1. Prawa chronione na mocy art. 7 i 8 karty i przesłanki dopuszczalności ingerencji w te prawa

78. Jeśli chodzi o prawa podstawowe, o których mowa w dwóch powyższych pytaniach dotyczących oceny ważności, należy przypomnieć, że art. 7 karty gwarantuje każdemu prawo do poszanowania życia prywatnego i rodzinnego, domu i komunikowania się. Z kolei art. 8 ust. 1 karty uznaje wyraźnie prawo każdej osoby do ochrony danych osobowych, które jej dotyczą. Zgodnie z utrwalonym orzecznictwem prawa te, odnoszące się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, są ściśle powiązane, ponieważ dostęp do danych osobowych osoby fizycznej w celu ich zatrzymywania lub wykorzystywania narusza przysługujące tej osobie prawo podstawowe do poszanowania życia prywatnego ( 33 ).

79. Niemniej praw zagwarantowanych w art. 7 i 8 karty nie sposób uznać za prerogatywy o charakterze absolutnym, lecz należy je oceniać w świetle ich funkcji społecznej ( 34 ). Artykuł 8 ust. 2 karty zezwala zatem na przetwarzanie danych osobowych, o ile spełnione są pewne przesłanki. Postanowienie to przewiduje, że dane osobowe muszą być przetwarzane „rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą”.

80. Poza tym wszelkie ograniczenia prawa do ochrony danych osobowych oraz prawa do poszanowania życia prywatnego powinny spełniać wymóg ustanowiony w art. 52 ust. 1 karty. Ograniczenia takie muszą być zatem przewidziane ustawą, muszą szanować istotę tych praw i rzeczywiście odpowiadać celom interesu ogólnego uznawanym przez Unię lub potrzebom ochrony praw i wolności innych osób, a także być zgodne z zasadą proporcjonalności.

81. Ocena środka ograniczającego te prawa wymaga uwzględnienia również znaczenia praw ustanowionych w art. 3, 4, 6 i 7 karty oraz znaczenia, jakie mają cele ochrony bezpieczeństwa narodowego i walki z poważną przestępczością poprzez ich wkład w ochronę praw i wolności innych osób ( 35 ).

82. Poza tym art. 52 ust. 3 karty ma na celu zapewnienie niezbędnej spójności między prawami zawartymi w karcie a odpowiadającymi im prawami zagwarantowanymi w EKPC, które należy uwzględnić jako próg minimalnej ochrony ( 36 ). Prawo do poszanowania życia prywatnego i rodzinnego, zapisane w art. 7 karty, odpowiada prawu zagwarantowanemu w art. 8 EKPC, a w związku z tym należy nadawać mu takie samo znaczenie i zakres ( 37 ).

83. Obydwa wspomniane pytania dotyczące oceny ważności należy analizować w świetle tych zasad.

2. W przedmiocie istnienia ingerencji w prawa ustanowione w art. 7 i 8 karty oraz ich wagi

84. Aby ocenić ważność przepisów dyrektywy 2015/849, które wzbudziły wątpliwości sądu odsyłającego, należy przede wszystkim zweryfikować, czy operacje takie jak te przewidziane w tych przepisach mogą naruszać prawa podstawowe gwarantowane przez art. 7 i 8 karty i stanowić ingerencje w te prawa. Jeżeli tak jest, należy również określić wagę tych ingerencji ( 38 ).

85. Jeśli chodzi przede wszystkim o istnienie ingerencji, należy po pierwsze zauważyć, że poszanowanie prawa do życia prywatnego w związku z przetwarzaniem danych osobowych zapisane w art. 7 i 8 karty odnosi się do wszelkich informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej ( 39 ), co ma miejsce w niniejszym przypadku, ponieważ beneficjentami rzeczywistymi podmiotów o charakterze korporacyjnym i innych podmiotów prawnych zdefiniowanych w art. 3 pkt 6 dyrektywy 2015/849 są możliwe do zidentyfikowania osoby fizyczne.

86. Po drugie, należy również zauważyć, że dostępne publicznie informacje o beneficjentach rzeczywistych wyszczególnione w art. 30 ust. 5 akapit drugi dyrektywy 2015/849, przytoczone w pkt 57 niniejszej opinii, stanowią dane osobowe ( 40 ). Z orzecznictwa wynika w tym względzie, że okoliczność, iż informacje te wpisują się w ramy działalności zawodowej, nie może odebrać im miana zbioru danych osobowych ( 41 ).

87. Ponadto z orzecznictwa wynika, że w celu ustalenia, czy dane osobowe muszą być objęte ochroną przewidzianą w prawie Unii, bez znaczenia jest to, czy określone informacje mają charakter danych wrażliwych czy też nie. Co więcej, Trybunał orzekł już, że do celów stwierdzenia ingerencji w prawo podstawowe gwarantowane na mocy art. 7 karty, bez znaczenia jest to, czy rozpatrywane informacje dotyczące życia prywatnego są danymi szczególnie chronionymi czy nie, ani czy osoby, których dane dotyczą, ucierpiały z powodu ewentualnych niedogodności wynikających z tej ingerencji ( 42 ).

88. Po trzecie, jak zauważyli wszyscy uczestnicy postępowania, którzy przedłożyli Trybunałowi uwagi, operacje takie jak te przewidziane w art. 30 ust. 5 lit. c) dyrektywy 2015/849 – czyli udostępnienie i publiczne ujawnienie przez podmiot odpowiedzialny za prowadzenie rejestru, danych osobowych dotyczących beneficjentów rzeczywistych takich jak dane wskazane w pkt 57 niniejszej opinii – są operacjami, które mogą naruszać prawa podstawowe gwarantowane na mocy art. 7 i 8 karty. Operacje te są zatem ingerencjami w prawa zagwarantowane w art. 7 karty ( 43 ). Ingerują one również w prawo do ochrony danych osobowych gwarantowane na mocy art. 8 karty, ponieważ stanowią przetwarzanie danych osobowych ( 44 ) podlegające art. 8 ust. 2 ( 45 ), dla których podmiot ten jest administratorem ( 46 ).

89. Poza tym w niniejszym przypadku dane te po ich udostępnieniu mogą być przeglądane przez każdego, kto uzyskał dostęp do zawartych w rejestrze i udostępnionych informacji i w danym wypadku są przechowywane lub rozpowszechniane przez te osoby ( 47 ). Ten dostęp stanowi dodatkową ingerencję w prawa podstawowe gwarantowane na mocy art. 7 i 8 karty ( 48 ). Od chwili uzyskania dostępu do danych zawartych w rejestrze każdy może również zostać uznany za administratora odpowiedzialnego za ich przetwarzanie oraz za ewentualne dalsze ich przetwarzanie ( 49 ).

90. Należy zatem stwierdzić, że operacje takie jak te wynikające ze stosowania art. 30 ust. 5 lit. c) dyrektywy 2015/849 są ingerencjami w prawa podstawowe gwarantowane przez art. 7 i 8 karty.

91. Następnie, jeśli chodzi o wagę tych ingerencji, należy w pierwszej kolejności zauważyć, że grupa osób, których mogą dotyczyć te ingerencje nie jest nieograniczona, nieokreślona i niezróżnicowana, lecz przeciwnie, jest wyodrębniona ( 50 ). Osoby fizyczne możliwe do zidentyfikowania jako beneficjenci rzeczywiści podmiotów o charakterze korporacyjnym lub innych podmiotów prawnych w rozumieniu definicji wskazanej w pkt 85 niniejszej opinii stanowią bowiem grupę konkretnych osób. Osoby te są wyodrębnione ze względu na ich funkcję w podmiotach o charakterze korporacyjnym i innych podmiotach prawnych, a mianowicie ze względu na ich status beneficjentów rzeczywistych tych podmiotów. Poza tym wyodrębnienie to dokonywane jest zgodnie z celami, jakim służy ( 51 ) obowiązek zgłoszenia rozpatrywanych danych do rejestru beneficjentów rzeczywistych. Istnieje zatem związek między zainteresowanymi osobami (czyli beneficjentami rzeczywistymi) a celem przetwarzania.

92. Niemniej w drugiej kolejności należy również zauważyć, że sposób przetwarzania rozpatrywanych danych, który prowadzi do wspomnianych ingerencji, a mianowicie publiczne udostępnianie tych danych co do zasady bez żadnych ograniczeń dostępu, może potencjalnie umożliwić rozpowszechnianie tych danych na dużą skalę.

93. Przepisy art. 30 dyrektywy 2015/849 pozostawiają krajowemu ustawodawcy pewien zakres swobody co do określania zasad publicznego dostępu do danych o beneficjentach rzeczywistych oraz stosowanych w tym celu procedur. W tym kontekście zakres wpływu na prawa podstawowe może być zróżnicowany w zależności od tego, w jaki sposób udzielany jest publiczny dostęp.

94. I tak, w niektórych państwach członkowskich, przykładowo w Luksemburgu, czyli w państwie, którego dotyczą niniejsze sprawy, dostęp ten jest możliwy z wykorzystaniem zautomatyzowanych procedur, ponieważ dane o beneficjentach rzeczywistych podmiotów o charakterze korporacyjnym i innych podmiotów pranych są dostępne w Internecie. Jest oczywiste, że taki sposób udostępnienia, jakim jest umożliwienie swobodnego dostępu za pośrednictwem Internetu, może skutkować maksymalnym rozpowszechnieniem tych danych. Taki sposób przetwarzania danych może zatem umożliwić ich rozpowszechnienie na dużą skalę ( 52 ).

95. W trzeciej kolejności, jeśli chodzi o dane, których dotyczą ingerencje, z orzecznictwa Trybunału wynika, że im większa liczba kategorii danych, których dotyczy dostęp, tym większe prawdopodobieństwo uznania ingerencji za „poważną” ( 53 ).

96. W tym przypadku z art. 30 ust. 5 akapit drugi dyrektywy 2015/849 wynika, że – z zastrzeżeniem kwestii pozostawionego państwom członkowskim zakresu swobody, która zostanie omówiona w pkt 105–107 poniżej – dane te mieszczą się w dwóch kategoriach: po pierwsze, szereg danych dotyczących tożsamości beneficjentów rzeczywistych (imię, nazwisko, miesiąc i rok urodzenia oraz obywatelstwo) oraz ich państwa zamieszkania, bez innych szczegółów; po drugie, dane dotyczące posiadanej własności lub charakteru sprawowanej kontroli. Pozostałe informacje zawarte w rejestrze beneficjentów rzeczywistych nie mają związku ze wskazanymi w pkt 88 i 89 niniejszej opinii operacjami stanowiącymi ingerencje, których dotyczą pytania prejudycjalne w niniejszej sprawie.

97. Co się tyczy pierwszej kategorii danych, chodzi o ograniczony zbiór danych, które z pewnością umożliwiają zindywidualizowanie danej osoby lecz które można określić jako „kontaktowe” ( 54 ) i identyfikujące, a nie tak zwane dane „kwalifikowane”, odnoszące się głównie do życia prywatnego i osobistego lub umożliwiające sporządzenie wiernego, dokładnego i wyczerpującego profilu prywatnej tożsamości danej osoby ( 55 ). O ile dane te umożliwiają zidentyfikowanie danej osoby, a mianowicie beneficjenta rzeczywistego, z pewną dozą precyzji, o tyle moim zdaniem nie pozwalają one na wyciągnięcie konkretnych wniosków dotyczących prywatnego życia osób, o których dane chodzi ( 56 ).

98. Co się tyczy drugiej kategorii danych, są to dane natury gospodarczej, ujawniające charakter sprawowanej kontroli w podmiocie o charakterze korporacyjnym lub innym podmiocie – przykładowo posiadanie udziałów lub akcji – oraz zakres tej kontroli, który może być wyrażony na przykład procentem udziału w danym podmiocie. O ile takie dane umożliwiają z pewnością ustalenie zakresu kontroli beneficjenta rzeczywistego nad podmiotem o charakterze korporacyjnym lub innym rozpatrywanym podmiotem, a tym samym mają pewne znaczenie gospodarcze, o tyle jednak nie umożliwiają one, moim zdaniem, w przeciwieństwie do pierwszej kategorii danych, wyciągnięcia konkretnych wniosków dotyczących prywatnego życia osób, o których dane chodzi ( 57 ).

99. Dostępne publicznie dane o beneficjentach rzeczywistych wydają się zatem mieć charakter mniej wrażliwy niż niektóre inne kategorie danych osobowych ( 58 ).

100. Jednakże Sovim wskazała w swoich uwagach, że swobodny, publiczny dostęp do danych, o których mowa w art. 30 ust. 5 akapit drugi dyrektywy 2015/849, umożliwi ustalenie majątku zainteresowanej osoby i jej preferencji, jeśli chodzi o charakter i wielkość dokonywanych przez nią inwestycji. Podczas rozprawy Sovim wskazała również, że dostęp do tych danych umożliwi prowadzenie operacji wywiadu gospodarczego do celów profilowania.

101. Należy w tym względzie zauważyć, że o ile dostęp do danych dotyczących charakteru i zakresu kontroli sprawowanej nad podmiotem korporacyjnym umożliwia wprawdzie pozyskanie pewnych informacji na temat majątku danej osoby, o tyle istotne są jednak dwie kwestie. Po pierwsze, inwestycje w podmioty o charakterze korporacyjnym stanowią zazwyczaj jedynie część majątku danej osoby, gdyż majątek ten jest zwykle złożony z szeregu zdywersyfikowanych inwestycji obejmujących inne rodzaje inwestycji takie jak lokowanie środków w instrumenty finansowe lub inwestycje w nieruchomości. Zatem dostęp wyłącznie do danych dotyczących inwestycji w podmioty korporacyjne pozwala zwykle na pozyskanie ograniczonego oglądu majątku danej osoby. Po drugie, z zastrzeżeniem przypadków, gdy charakter i zakres sprawowanej kontroli podlegającej ujawnieniu dotyczą podmiotów o charakterze korporacyjnym, których wartość i tak jest publicznie znana, określenie dokładnej wartości podmiotu o charakterze korporacyjnym lub inwestycji nabycia udziałów w tym podmiocie, bez innych informacji, w żadnym wypadku nie wydaje się oczywiste. Wynika z tego, że nawet mając dostęp do wspomnianych informacji, można uzyskać ograniczony ogląd majątku danej osoby, który zazwyczaj nie pozwala na wyciągnięcie precyzyjnych wniosków, jeśli chodzi o określenie wielkości tego majątku.

102. Moim zdaniem analogiczne względy są istotne, jeśli chodzi o ryzyko, że dostęp do tych informacji umożliwi sporządzenie profilu gospodarczego danej osoby. O ile dostęp do danych wskazanych w pkt 98 niniejszej opinii istotnie umożliwia zidentyfikowanie obszarów (lub przynajmniej niektórych z tych obszarów), w których dana osoba dokonuje inwestycji, o tyle jednak dostęp ten niekoniecznie pozwala na wyciągnięcie konkretnych wniosków odnośnie do profilu dokonywanych przez tę osobę inwestycji. Jeśli chodzi o tę kwestię pragnę ponadto zauważyć, że konkretne zasady, zgodnie z którymi udzielany jest publiczny dostęp do rejestru, są w tym względzie istotne i mogą w znacznym stopniu umożliwić ograniczenie tego ryzyka. W związku z tym należy zauważyć, że w Luksemburgu wyszukiwanie rozpatrywanych danych w Internecie może się odbywać wyłącznie poprzez odniesienie do podmiotu prawnego, a nie do osoby beneficjenta rzeczywistego. Brak możliwości wyszukiwania w rejestrze pod kątem osoby pozwala w znacznym stopniu ograniczyć ewentualne ryzyko profilowania gospodarczego danej osoby.

103. Niemniej pragnę również zauważyć, że szczegółowe dane dotyczące charakteru i zakresu sprawowanej kontroli nad podmiotem o charakterze korporacyjnym lub innym podmiotem prawnym mogą mieć niezależne znaczenie gospodarcze i handlowe, ponieważ w pewnych przypadkach mogą one umożliwić zrozumienie rzeczywistej struktury kontroli nad pewnymi podmiotami o charakterze korporacyjnym, która nie musi jasno wynikać z informacji pochodzących z innych źródeł.

104. Podsumowując, z powyższych rozważań wynika, że udostępnienie i publiczne ujawnienie przez podmiot odpowiedzialny za prowadzenie rejestru, danych osobowych dotyczących beneficjentów rzeczywistych takich jak dane wskazane w pkt 57 niniejszej opinii, oraz dostęp społeczeństwa do tych danych, stanowią z pewnością ingerencje w prawa podstawowe gwarantowane na mocy art. 7 i 8 karty. Uważam jednak, iż mimo że nie można wykluczyć, że w związku z pozostawionym państwom członkowskim przez dyrektywę 2015/849 zakresem swobody co do zasad przetwarzania rozpatrywanych danych osobowych dojdzie do rozpowszechnienia tych danych na dużą skalę, z uwagi na raczej ograniczony zakres danych osobowych, których dotyczą ingerencje oraz na fakt, że nie są to dane o szczególnie wrażliwym charakterze, potencjalnie szkodliwe skutki dla osób, których dotyczą rozpatrywane ingerencje, można uznać za umiarkowane. Wspomniane ingerencje w prawa podstawowe gwarantowane przez art. 7 i 8 karty, spowodowane operacjami wskazanymi w pkt 88 i 89 niniejszej opinii, nie mają zatem w mojej ocenie szczególnie poważnego charakteru, ponieważ dane tego rodzaju i o takim zakresie same w sobie nie umożliwiają uzyskania dokładnych informacji o osobach, których dane dotyczą, a tym samym nie naruszają bezpośrednio i w znacznym stopniu ich prywatności.

105. Niemniej należy jeszcze zauważyć, że art. 30 ust. 5 akapity drugi i trzeci dyrektywy 2015/849 pozostawiają państwom członkowskim zakres swobody, jeśli chodzi o dane, które mogą być udostępniane publicznie. Po pierwsze, wspomniany akapit drugi stanowi bowiem, że każdy powinien mieć dostęp „co najmniej” do informacji wskazanych w tym akapicie, co należy rozumieć w ten sposób, że państwa członkowskie mogą udostępnić dodatkowe informacje. Po drugie, wspomniany akapit trzeci stanowi, że państwa członkowskie mogą, na warunkach określonych w prawie krajowym, przewidzieć dostęp do „dodatkowych informacji” pozwalających na ustalenie tożsamości beneficjenta rzeczywistego, które to informacje obejmują co najmniej datę urodzenia lub dane kontaktowe, zgodnie z przepisami o ochronie danych.

106. Prawodawca Unii pozostawił zatem państwom członkowskim zakres swobody, aby mogły zwiększyć liczbę dostępnych publicznie informacji o beneficjentach rzeczywistych, wykraczając poza informacje wyszczególnione w wykazie przewidzianym w art. 30 ust. 5 akapit drugi dyrektywy 2015/849 i przytoczone w pkt 96 niniejszej opinii.

107. Jest oczywiste, że ta możliwość zwiększenia liczby dostępnych publicznie informacji o beneficjentach rzeczywistych może potencjalnie skutkować zwiększeniem ingerencji w prawa podstawowe gwarantowane tym osobom na mocy art. 7 i 8 karty. Oprócz kwestii niedookreślonego charakteru dodatkowych informacji, o które państwa członkowskie mogą uzupełnić wykaz udostępnianych publicznie informacji zawarty we wspomnianym akapicie drugim i przedstawiony w pkt 96 niniejszej opinii ( 59 ), zwracam uwagę, że publiczny dostęp do dokładnych danych kontaktowych osoby (rozumianych jako adres miejsca pobytu lub zamieszkania), o którym jest mowa w art. 30 ust. 5 akapit trzeci dyrektywy 2015/849, może według mnie, inaczej niż stwierdziłem w pkt 104 niniejszej opinii, stanowić poważną ingerencję w prawo do życia prywatnego danej osoby. Zatem przysługująca państwom członkowskim możliwość udostępnienia dodatkowych informacji powinna być przedmiotem odrębnej analizy.

3. W przedmiocie uzasadnienia ingerencji

108. Ponieważ ustanowiony w dyrektywie 2015/849 system publicznego dostępu powoduje ingerencje w prawa podstawowe gwarantowane na mocy art. 7 i 8 karty, należy zweryfikować, czy ograniczenia tych praw mogą mieć uzasadnienie zgodnie z przepisami i zasadami wskazanymi w pkt 79 i 80 niniejszej opinii.

a) W przedmiocie przestrzegania wymogu, zgodnie z którym ograniczenia w korzystaniu z praw ustanowionych w art. 7 i 8 karty muszą być przewidziane ustawą

109. Pierwsza przesłanka, jaką muszą spełniać ograniczenia w korzystaniu z praw zapisanych w art. 7 i 8 karty, wskazana zarówno w jej art. 8 ust. 2, jak i w sposób ogólny w jej art. 52 ust. 1, wymaga, aby ograniczenia takie były „przewidziane ustawą”.

110. Zgodnie z utrwalonym orzecznictwem Trybunału ( 60 ), inspirowanym orzecznictwem Europejskiego Trybunału Praw Człowieka ( 61 ) wymóg, zgodnie z którym jakiekolwiek ograniczenie w korzystaniu z prawa podstawowego musi być „przewidziane ustawą” nie dotyczy wyłącznie „ustawowego” pochodzenia ingerencji, lecz także nakazuje, aby sama podstawa prawna umożliwiająca tę ingerencję określała w sposób jasny i precyzyjny zakres ingerencji. Ten drugi aspekt wyrażenia „przewidziane ustawą” zarówno w rozumieniu art. 52 ust. 1 karty, jak i jej art. 8 ust. 2 oraz art. 8 EKPC, wiążący się z „jakością prawa”, a zatem z dostępnością i przewidywalnością rozpatrywanego środka, nie służy wyłącznie zapewnieniu przestrzegania zasady legalności i odpowiedniej ochrony przed arbitralnością ( 62 ), lecz odpowiada również wymogowi bezpieczeństwa prawnego.

111. W niniejszym przypadku, pragnę zauważyć, po pierwsze, że spoczywający na podmiocie, który prowadzi rejestr beneficjentów rzeczywistych, obowiązek publicznego udostępnienia niektórych informacji o beneficjentach rzeczywistych, które podmiot ten zgromadził i przechowuje, oraz umożliwienie każdej osobie swobodnego dostępu do tych informacji, opiera się na art. 30 ust. 5 lit. c) dyrektywy 2015/849 oraz na przepisie prawa krajowego transponującym tę normę.

112. Po drugie, zarówno rozpatrywane dyrektywy, a mianowicie dyrektywy 2015/849 i 2018/843, jak i krajowa ustawa transponująca, zostały opublikowane w dostępnych dla każdego dziennikach urzędowych. W tych okolicznościach wymogi przejrzystości podstawy prawnej uzasadniającej omawiane ograniczenia można uznać za spełnione ( 63 ).

113. Po trzecie, stwierdzam, że w art. 30 ust. 5 akapit drugi dyrektywy 2015/849 ustanowiono w sposób jasny i precyzyjny wykaz gromadzonych i przechowywanych danych, które podmiot odpowiedzialny za prowadzenie rejestru musi udostępnić publicznie do wglądu.

114. Wniosek ten należy jednakże opatrzyć zastrzeżeniem dotyczącym pozostawionej państwom członkowskim możliwości publicznego udostępnienia dodatkowych informacji, wynikającej z zastosowania wyrażenia „co najmniej” zarówno w akapicie drugim, jak i w akapicie trzecim art. 30 ust. 5 dyrektywy 2015/849. O ile bowiem prawdą jest, że publiczny dostęp do „dodatkowych informacji”, o którym państwa członkowskie mogą postanowić zgodnie z przepisem wspomnianego akapitu trzeciego, powinien także być uregulowany w prawie krajowym, powinien być zgodny z przepisami o ochronie danych oraz powinien mieć na celu wyłącznie umożliwienie identyfikacji beneficjenta rzeczywistego, o tyle jednak przepis ten jest porównywalny z przepisem określanym jako „przepis blankietowy” ( 64 ), którego celem jest włączenie, oprócz informacji wyszczególnionych w wykazie zawartym we wspomnianym akapicie drugim, szeregu dodatkowych informacji, które nie zostały ściśle zdefiniowane, ani nie są możliwe do określenia.

115. Tymczasem w sytuacji, gdy ingerencje w prawa podstawowe ustanowione w karcie mają swe źródło w akcie prawnym Unii, obowiązkiem prawodawcy Unii jest określenie dokładnego zakresu tych ingerencji, w poszanowaniu kryteriów jasności i precyzyjności, o których mowa w orzecznictwie przytoczonym w pkt 110 niniejszej opinii ( 65 ). Wynika z tego według mnie, że w sytuacji, gdy wybranym przez tego prawodawcę instrumentem jest dyrektywa, nie można delegować na państwa członkowskie transponujące ją do prawa krajowego określania istotnych elementów definiujących zakres ingerencji takich jak, w przypadku ograniczeń praw podstawowych zapisanych w art. 7 i 8 karty, charakter i zakres danych osobowych poddanych przetwarzaniu.

116. W niniejszych przypadku prawodawca Unii przyjmując dyrektywy 2015/849 i 2018/843 sam wprowadził ograniczenie praw ustanowionych w art. 7 i 8 karty. Mimo zakresu uznania, jakim państwa członkowskie dysponują w momencie transpozycji do prawa krajowego, nie można zatem uznać, że ingerencje, na jakie zezwalają te dyrektywy, są konsekwencją dokonanego przez te państwa wyboru ( 66 ), gdyż ingerencje mają podstawę prawną w samych dyrektywach. W tych okolicznościach, zgodnie z orzecznictwem przytoczonym w pkt 110 niniejszej opinii oraz zgodnie z wysokimi standardami ochrony praw podstawowych zawartymi między innymi w karcie, obowiązkiem prawodawcy Unii było określenie w sposób jasny i precyzyjny zakresu i charakteru danych osobowych, które będą poddane przetwarzaniu. Określenie tych elementów stanowi bowiem podstawową czynność, jaka powinna zostać obligatoryjnie przeprowadzona w sposób tak jasny i precyzyjny jak to możliwe, w przypadku każdej podstawy prawnej wprowadzającej środek, który ogranicza korzystanie z praw podstawowych zapisanych w art. 7 i 8 karty ( 67 ).

117. W konsekwencji należy stwierdzić, że w niniejszym przypadku sama podstawa prawna, która umożliwia ingerencje, mianowicie dyrektywa 2015/849, definiuje w sposób jasny i precyzyjny zakres ograniczenia rozpatrywanych praw podstawowych wyłącznie jeśli chodzi o publicznie dostępne informacje, które zostały dokładnie określone w wykazie zawartym w art. 30 ust. 5 akapit drugi dyrektywy 2015/849. Natomiast przewidziana we wspomnianym ust. 5 akapit drugi oraz w akapicie trzecim możliwość publicznego udostępnienia przez państwa członkowskie dodatkowych informacji, które nie zostały dokładnie określone, nie spełnia tego warunku.

118. Z powyższego wynika, że rozpatrywane ograniczenia w korzystaniu z praw ustanowionych w art. 7 i 8 karty można uznać za przewidziane ustawą w myśl art. 52 karty, wyłącznie w odniesieniu do wykazu informacji zawartego w art. 30 ust. 5 akapit drugi dyrektywy 2015/849.

119. Jeśli chodzi w szczególności o wymogi przewidziane w art. 8 ust. 2 karty, w pkt 70 niniejszej opinii wskazano, że są one skonkretyzowane między innymi w art. 5 i 6 RODO.

120. Wymóg odnoszący się do zgodności z prawem przetwarzania, czyli wymóg, zgodnie z którym przetwarzanie rozpatrywanych danych powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem ( 68 ), jest ustanowiony w art. 5 ust. 1 lit. a) RODO ( 69 ), a jego konkretyzację stanowi art. 6 tego rozporządzenia, który zawiera wyczerpujący i zamknięty katalog przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. Aby zatem można było uznać przetwarzanie za zgodne z prawem, powinno ono mieścić się w jednym z przypadków przewidzianych we wspomnianym art. 6 ( 70 ).

121. W tym względzie istotne są moim zdaniem dwie kwestie.

122. W pierwszej kolejności należy stwierdzić, że przetwarzanie danych osobowych przez podmiot odpowiedzialny za prowadzenie rejestru beneficjentów rzeczywistych w wykonaniu art. 30 ust. 5 lit. c) dyrektywy 2015/849 odpowiada szeregowi kryteriów legalności przewidzianych w art. 6 RODO ( 71 ).

123. Przetwarzanie to odpowiada bowiem, po pierwsze, podstawie przewidzianej w art. 6 lit. c) RODO, który dotyczy przestrzegania obowiązku prawnego, ponieważ, jak wskazałem w pkt 111 niniejszej opinii, na podmiocie tym ciąży obowiązek przetwarzania wynikający z ustawy.

124. Po drugie, przetwarzanie to odpowiada podstawie przewidzianej w art. 6 lit. e) RODO, który dotyczy wykonania zadania realizowanego w interesie publicznym powierzonego temu podmiotowi ( 72 ). Prowadząc rejestr beneficjentów rzeczywistych i wykonując zadania dotyczące tego rejestru przewidziane w art. 30 dyrektywy 2015/849, podmiot ten przyczynia się bowiem do realizacji celu tej dyrektywy, jakim jest zwalczanie prania pieniędzy i finansowania terroryzmu oraz zapobieganie im ( 73 ). Ponadto z art. 43 ust. 1 dyrektywy 2015/849 wynika wprost, że przetwarzanie danych osobowych na podstawie tej dyrektywy w realizowanym przez nią celu zapobiegania praniu pieniędzy i finansowaniu terroryzmu, uznaje się za działanie leżące w interesie publicznym zgodnie z RODO.

125. Po trzecie, przetwarzanie to odpowiada podstawie przewidzianej w art. 6 lit. f) RODO, który odnosi się do realizacji prawnie uzasadnionych interesów przez administratora lub przez osoby trzecie, mające dostęp do tych danych. Udostępniając te dane wspomniany podmiot umożliwia bowiem osobom trzecim realizację wskazanego wyżej celu.

126. W drugiej kolejności, należy zauważyć, że z orzecznictwa Trybunału wynika, iż ani art. 5, ani art. 6 RODO nie sprzeciwia się w sposób ogólny i bezwzględny temu, by na mocy ustawodawstwa krajowego uprawnić, a nawet zobowiązać organ publiczny lub podmiot ustawowo obowiązany do prowadzenia rejestru takiego jak rejestr beneficjentów rzeczywistych, do publicznego ujawnienia danych osobowych, jeśli ujawnienie to jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej ( 74 ).

127. Wynika z tego, że art. 5 i 6 RODO same w sobie nie sprzeciwiają się prowadzeniu dostępnego publicznie, a więc dla nieograniczonej i nieokreślonej liczby osób, rejestru zawierającego dane osobowe, bez kontroli i uzasadnienia oraz bez możliwości uzyskania przez daną osobę wiedzy o tym, kto ma dostęp do tych danych. Powstałe pytanie dotyczy raczej proporcjonalności takiego podejścia w świetle zamierzonego celu interesu ogólnego oraz przy uwzględnieniu wagi ingerencji w prawa podstawowe zainteresowanych osób.

128. Z powyższego wynika, że przetwarzanie wynikające z art. 30 ust. 5 lit. c) dyrektywy 2015/849 jest zgodne z prawem w świetle art. 8 ust. 2 karty, jak również art. 5 ust. 1 lit. a) i ust. 6 RODO.

b) W przedmiocie poszanowania istoty praw zapisanych w art. 7 i 8 karty

129. Jakiekolwiek ograniczenie w korzystaniu z praw podstawowych musi być nie tylko oparte na dostatecznie precyzyjnej podstawie prawnej, lecz także musi respektować istotę tych praw. Wyrażony w art. 52 ust. 1 karty wymóg, zgodnie z którym wszelkie ograniczenia w korzystaniu z praw i wolności uznanych w karcie muszą respektować istotę tych praw oznacza, że w przypadku, gdy ingerencja stanowi naruszenie tej istoty, żaden uprawniony cel nie może być dla niej uzasadnieniem. Ingerencja jest wtedy uważana za niezgodną z kartą bez konieczności badania tego, czy jest ona odpowiednia i konieczna do realizacji celu, jakiemu służy ustanowione ograniczenie ( 75 ).

130. Jeśli chodzi o tę kwestię, zarówno z brzmienia art. 52 ust. 1 karty, jak i z orzecznictwa Trybunału wynika, że ocena dotycząca istnienia ingerencji w istotę danego prawa podstawowego powinna być przeprowadzona przed analizą proporcjonalności rozpatrywanego środka i niezależnie od niej oraz że w związku z tym stanowi ona test posiadający własną autonomię ( 76 ).

131. Niemniej w niniejszym przypadku moim zdaniem ograniczenia w korzystaniu z praw podstawowych ustanowionych w rozpatrywanych art. 7 i 8 karty, wynikające z przetwarzania danych wskazanych w wykazie zawartym w art. 30 ust. 5 akapit drugi dyrektywy 2015/849, nie skutkują naruszeniem istoty tych praw.

132. Jeśli bowiem chodzi o prawo do poszanowania życia prywatnego i rodzinnego, jak wynika z pkt 96–104 niniejszej opinii, ingerencje wynikające z przetwarzania, o którym mowa w poprzedzającym punkcie, nie umożliwiają uzyskania dokładnych informacji o danych osobach, a tym samym nie naruszają bezpośrednio i w znacznym stopniu ich prywatności. Wynika z tego, że ograniczenia tego prawa wynikające z systemu publicznego dostępu do informacji o beneficjentach rzeczywistych wprowadzonego dyrektywą 2015/849 nie mogą być uznane za naruszające istotę prawa podstawowego ustanowionego w art. 7 karty ( 77 ).

133. Jeśli chodzi o prawo do ochrony danych osobowych gwarantowane na mocy art. 8 karty, Trybunał w swoim orzecznictwie stoi na stanowisku, że istota tego prawa jest zachowana w sytuacji, gdy cele przetwarzania są ograniczone i gdy przetwarzaniu towarzyszą normy służące zapewnieniu w szczególności bezpieczeństwa, poufności i integralności tych danych, a także ochrony przed niezgodnymi z prawem wypadkami dostępu do nich i ich przetwarzania ( 78 ).

134. Przede wszystkim należy w tym względzie zauważyć, że cele uzasadniające przetwarzanie danych osobowych beneficjentów rzeczywistych podmiotów o charakterze korporacyjnym w ramach systemu ustanowionego w art. 30 dyrektywy 2015/849 są ograniczone. Przetwarzanie tych danych jest bowiem uzasadnione wyłącznie realizacją celów interesu ogólnego wskazanych w tej dyrektywie, a jeśli chodzi o publiczny dostęp do tych danych, omówiony w pkt 138 i następnych poniżej – jego uzasadnieniem są cele zwalczania i zapobiegania praniu pieniędzy i finansowaniu terroryzmu.

135. Następnie, jak wynika z art. 41 dyrektywy 2015/849 i z motywu 38 dyrektywy 2018/843, do przetwarzania danych osobowych dokonywanego w ramach systemu publicznego dostępu do informacji o beneficjentach rzeczywistych ustanowionego na mocy tych dwóch dyrektyw, ma zastosowanie RODO. Jak wskazałem w pkt 65 i 72 niniejszej opinii, dyrektywy te należy interpretować w sposób spójny z RODO. RODO zawiera bowiem przepisy służące zapewnieniu między innymi bezpieczeństwa, poufności i integralności danych i ochronie tych danych przed niezgodnym z prawem dostępem i przetwarzaniem.

136. W tych okolicznościach można uznać, że ograniczenia gwarantowanego na mocy art. 8 karty prawa do ochrony danych osobowych wynikające z systemu publicznego dostępu do informacji o beneficjentach rzeczywistych ustanowionego w dyrektywie 2015/849, także nie naruszają istoty tego prawa podstawowego.

137. Z kolei jeśli chodzi o „dodatkowe informacje”, o których mowa w pkt 105–107 i pkt 114 -116 niniejszej opinii, ponieważ nie są one dokładnie zdefiniowane, nie ma możliwości ustalenia, czy ograniczenia rozpatrywanych praw podstawowych wynikające z systemu publicznego dostępu do tych danych mogą naruszać istotę praw ustanowionych w art. 7 i 8 karty.

c) W przedmiocie celów interesu ogólnego realizowanych przez system publicznego dostępu do informacji o beneficjentach rzeczywistych

138. Aby ograniczenia praw podstawowych gwarantowanych przez art. 7 i 8 karty mogły być uzasadnione zgodnie z art. 52 ust. 1 karty, powinny one odpowiadać celom interesu ogólnego.

139. Pragnę w tym względzie zauważyć, że dyrektywa 2018/843 zawiera w motywach 4 oraz 30–38 ( 79 ) dość szczegółowe wyjaśnienie powodów, które skłoniły prawodawcę Unii do zmiany pierwotnie ustanowionego w dyrektywie 2015/849 system publicznego dostępu do informacji o beneficjentach rzeczywistych.

140. Jak już wspomniałem w pkt 50 i 60 niniejszej opinii, z motywów tych wynika, że ów system wpisuje się w główny cel dyrektywy 2015/849, ustanowiony w jej art. 1 ust. 1, a mianowicie zapobieganie wykorzystywaniu unijnego systemu finansowego do prania pieniędzy i finansowania terroryzmu. W tym kontekście zmiany wprowadzone dyrektywą 2018/843 służyły wspieraniu wyższego standardu przejrzystości, jeśli chodzi o beneficjentów rzeczywistych i struktury kontroli nad spółkami, przy czym głównym celem było stworzenie środowiska, w którym prawdopodobieństwo wykorzystania go do prania pieniędzy i finansowania terroryzmu byłoby niższe ( 80 ). W tych okolicznościach, skoro dyrektywa 2018/843 ma na celu nie tylko wykrywanie przypadków prania pieniędzy i prowadzenie dochodzeń w ich sprawie, ale także zapobieganie ich wystąpieniu, zwiększenie przejrzystości może być skutecznym środkiem odstraszającym ( 81 ).

141. W tych ramach w motywie 30 dyrektywy 2018/843 wskazano szereg szczególnych celów, jakim służy system publicznego dostępu do informacji o beneficjentach rzeczywistych. Dostęp taki służy zatem, po pierwsze, umożliwieniu większej kontroli informacji przez społeczeństwo obywatelskie, w tym przez prasę lub organizacje społeczeństwa obywatelskiego. Po drugie, przyczynia się on do utrzymania zaufania do uczciwości transakcji finansowych oraz do systemu finansowego. Po trzecie, pomaga on zwalczać nadużywanie podmiotów o charakterze korporacyjnym i innych podmiotów prawnych oraz porozumień prawnych do celów prania pieniędzy i finansowania terroryzmu, z jednej strony poprzez pomoc w dochodzeniach, a z drugiej strony poprzez budowanie reputacji tych podmiotów, ponieważ każda osoba, która mogłaby zawierać transakcje, będzie znać tożsamość beneficjentów rzeczywistych. Po czwarte, ma on na celu ułatwianie terminowego i skutecznego dostępu do informacji przez instytucje finansowe oraz organy, w tym organy państw trzecich, zaangażowane w zwalczanie takich przestępstw. Po piąte, dostęp ten ma być użyteczny w dochodzeniach w sprawie prania pieniędzy, powiązanych przestępstw źródłowych i finansowania terroryzmu.

142. Konkretnym podstawowym celem rozpatrywanego środka – a mianowicie zmiany art. 30 ust. 5 lit. c) dyrektywy 2015/849 wynikającej z dyrektywy 2018/843, która zniosła wymóg wykazywania „uzasadnionego interesu” przez każdą osobę lub organizację chcącą uzyskać dostęp do informacji o beneficjentach rzeczywistych – jest zatem zwiększenie przejrzystości, aby wspierać zapobieganie praniu pieniędzy i finansowaniu terroryzmu.

143. Jeśli chodzi o tę kwestię, pragnę w pierwszej kolejności zauważyć, że z orzecznictwa Trybunału wynika, iż zapobieganie wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu stanowi prawnie uzasadniony cel, do którego realizacji państwa członkowskie przystąpiły zarówno na poziomie międzynarodowym ( 82 ), jak i na poziomie Unii oraz który może uzasadniać ograniczenie praw chronionych w porządku prawnym Unii ( 83 ).

144. W drugiej kolejności, cel środka, o którym mowa w pkt 142 powyżej jest związany z zasadą przejrzystości, która, jak wskazałem w pkt 38–48 niniejszej opinii, została podniesiona do rangi prawa pierwotnego.

145. W trzeciej kolejności Trybunał przyznał w swoim orzecznictwie, że cel, jakim jest zwalczanie prania pieniędzy i finansowania terroryzmu łączy się z celem polegającym na ochronie porządku publicznego ( 84 ). W sposób spójny z tym orzecznictwem należy uznać, że rozpatrywany środek służy celom, jakim jest zapobieganie poważnym przestępstwom (praniu pieniędzy) oraz zapobieganie poważnym zagrożeniom bezpieczeństwa publicznego (terroryzm), które to cele, zgodnie z orzecznictwem, są uzasadnieniem dla ingerencji, nawet poważnych, w prawa podstawowe ustanowione w art. 7 i 8 karty ( 85 ).

d) W przedmiocie przestrzegania zasady proporcjonalności

146. W myśl art. 52 ust. 1 zdanie drugie karty ograniczenia w korzystaniu z przewidzianych w niej praw mogą być wprowadzone wyłącznie wtedy, gdy są zgodne z zasadą proporcjonalności.

147. Należy w tym względzie przypomnieć, że zgodnie z utrwalonym orzecznictwem Trybunału, zasada proporcjonalności wymaga, by akty prawne instytucji Unii były odpowiednie do realizacji uzasadnionych celów, którym akty te służą, i nie wykraczały poza to, co jest konieczne do ich osiągnięcia ( 86 ).

1) W przedmiocie odpowiedniości środka do realizacji zamierzonego celu

148. Na wstępie powstaje pytanie, czy rozpatrywany środek opisany w pkt 142 powyżej jest odpowiedni do realizacji zamierzonych celów wskazanych w pkt 140–142 niniejszej opinii.

149. Jeśli chodzi o tę kwestię, nie wydaje się sporne, że poszerzony dostęp do informacji o beneficjentach rzeczywistych, taki jak ten ustanowiony przy pomocy wspomnianego środka, może w większym stopniu eksponować ewentualne nadużywanie podmiotów o charakterze korporacyjnym i innych podmiotów prawnych do celów prania pieniędzy lub finansowania terroryzmu, oraz że taki dostęp stanowi odpowiedni środek do celów stworzenia środowiska mniej podatnego na wykorzystanie do takich działań.

150. Wynika z tego, że wspomniany poszerzony dostęp stanowi dodatkowy środek zniechęcający do takich zachowań, który jest odpowiedni, aby przyczyniać się do zapobiegania praniu pieniędzy i finansowaniu terroryzmu ( 87 ).

2) W przedmiocie ściśle koniecznego charakteru ingerencji

151. Zgodnie z utrwalonym orzecznictwem Trybunału ochrona prawa podstawowego do poszanowania życia prywatnego na poziomie Unii wymaga, aby odstępstwa od ochrony danych osobowych i jej ograniczenia mieściły się w ramach tego, co ściśle konieczne ( 88 ).

152. Ten wymóg konieczności nie jest spełniony, jeżeli zamierzony cel interesu ogólnego można racjonalnie osiągnąć w sposób równie skuteczny za pomocą innych środków, w mniejszym stopniu naruszających prawa podstawowe osób, których dane dotyczą, w szczególności prawa do poszanowania życia prywatnego i do ochrony danych osobowych zagwarantowane w art. 7 i 8 karty, ponieważ odstępstwa i ograniczenia zasady ochrony takich danych powinny być stosowane w granicach tego, co jest ściśle konieczne ( 89 ).

153. Ponadto nie można dążyć do celu interesu ogólnego bez uwzględnienia okoliczności, że należy pogodzić go z prawami podstawowymi, których dotyczy środek, dokonując zbilansowanego wyważenia między celem interesu ogólnego z jednej strony a rozpatrywanymi prawami z drugiej strony ( 90 ).

154. Konkretniej rzecz ujmując, proporcjonalność ograniczenia praw i obowiązków przewidzianych w art. 7 i 8 karty należy oceniać badając wagę ingerencji, jaką stanowi takie ograniczenie, oraz sprawdzając, czy znaczenie celu interesu ogólnego, do którego zmierza to ograniczenie, pozostaje w relacji do tej wagi ( 91 ).

155. By zadośćuczynić wymogowi proporcjonalności, dane uregulowanie musi zawierać jasne i precyzyjne przepisy regulujące zakres i sposób stosowania rozpatrywanego środka oraz ustanawiające minimalne wymogi służące temu, aby osoby, o których dane osobowe chodzi, miały dostateczne zabezpieczenia pozwalające na skuteczną ochronę tych danych przed ryzykiem nadużyć. Powinno ono w szczególności wskazywać, w jakich okolicznościach i pod jakimi warunkami może zostać przyjęty środek przewidujący przetwarzanie takich danych, gwarantując w ten sposób, że ingerencja będzie ograniczona do tego, co ściśle konieczne. Konieczność posiadania takich gwarancji jest jeszcze bardziej istotna, gdy dane osobowe są przetwarzane w sposób zautomatyzowany, w szczególności kiedy występuje znaczne ryzyko nieuprawnionego dostępu do tych danych ( 92 ).

156. To w świetle tych zasad należy weryfikować, czy rozpatrywane ingerencje mają ściśle konieczny charakter.

i) W przedmiocie zakresu ujawnianych informacji

157. W pierwszej kolejności powstaje kwestia ściśle koniecznego charakteru rozpatrywanego przetwarzania – dla osiągnięcia zamierzonych celów interesu ogólnego – z punktu widzenia rodzaju danych podlegających ujawnieniu i publicznie dostępnych. Wśród czynników, które Trybunał bierze pod uwagę oceniając proporcjonalny charakter środka skutkującego ingerencjami w prawa ustanowione w art. 7 i 8 karty, znajduje się bowiem adekwatny, istotny i nienadmierny charakter przetwarzanych danych osobowych ( 93 ).

158. Poza tym przesłankę, aby przetwarzanie było konieczne, należy badać łącznie z zasadą tzw. minimalizacji danych, ustanowioną w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe muszą być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane” ( 94 ). Sąd odsyłający wyraźnie wskazuje na ten przepis RODO w pytaniu trzecim lit. c) w sprawie C‑601/20.

159. Jak już zauważyłem, jedynie część danych osobowych przekazywanych przez podmioty o charakterze korporacyjnym i inne podmioty prawne do rejestru beneficjentów rzeczywistych na podstawie art. 30 ust. 1 i 3 dyrektywy 2015/849 jest dostępna publicznie. Z zastrzeżeniem „dodatkowych informacji”, o których mowa w pkt 105–107 oraz pkt 114–116 niniejszej opinii, chodzi o dane wskazane w wykazie znajdującym się w akapicie drugim wspomnianego art. 30 ust. 5, przytoczone w pkt 57 niniejszej opinii. Inne dane, które mogą być przechowywane w tym rejestrze i do których mają dostęp organy odpowiedzialne za zwalczanie prania pieniędzy i finansowania terroryzmu, przykładowo w Luksemburgu krajowy numer identyfikacyjny i dokładny adres, nie są publicznie dostępne. Z wyłączeniem wspomnianych „dodatkowych informacji”, dane podlegające przetwarzaniu są zatem określone w sposób jasny i precyzyjny, zgodnie z wymogami ustalonymi w orzecznictwie ( 95 ).

160. Należy się jednak zastanowić, czy można uznać, że dane te nie są nadmierne biorąc pod uwagę cele, jakim służy system publicznego dostępu ustanowiony dyrektywą 2015/849.

161. Jeśli chodzi o tę kwestię, należy zauważyć, że motyw 34 dyrektywy 2018/843 odnosi się wprost do poszanowania wymogu minimalizacji danych, ponieważ zgodnie z jego treścią „[p]ublicznie dostępny zestaw danych powinien mieć ograniczony zakres, być wyraźnie i wyczerpująco zdefiniowany oraz mieć charakter ogólny, aby zminimalizować potencjalny uszczerbek dla beneficjentów rzeczywistych. Jednocześnie publicznie dostępne informacje nie powinny znacząco różnić się od obecnie gromadzonych danych. Aby ograniczyć ingerencję w ogólne prawo do poszanowania życia prywatnego, a zwłaszcza w prawo do ochrony danych osobowych, informacje te powinny dotyczyć wyłącznie statusu beneficjentów rzeczywistych […] oraz obejmować tylko sferę działalności gospodarczej beneficjenta rzeczywistego”.

162. Jak zauważyłem w pkt 96–98 niniejszej opinii, publicznie dostępne dane mieszczą się w dwóch kategoriach dotyczących odpowiednio tożsamości beneficjenta rzeczywistego oraz posiadanej przez niego własności lub charakteru sprawowanej kontroli.

163. Jeśli chodzi o pierwszą kategorię danych uważam, że informacje o imieniu, nazwisku, miesiącu i roku urodzenia można uznać za minimalny i wystarczający zbiór danych umożliwiających dokładną identyfikację osoby beneficjenta rzeczywistego. Co się tyczy obywatelstwa ( 96 ) i państwa zamieszkania, dane te umożliwiają, po pierwsze, dokonanie tej identyfikacji, a po drugie, uzyskanie wyjaśnień, czy inwestycja lub prawa udziałowe mają charakter lokalny, czy też nie, co jawi się jako istotna i konieczna informacja do celów określenia ewentualnych ryzyk prania pieniędzy lub finansowania terroryzmu.

164. Jeśli chodzi o drugą kategorię danych, również wydaje mi się, że informacja o posiadanej własności lub charakterze sprawowanej kontroli stanowi minimalny i wystarczający zbór danych umożliwiający zidentyfikowanie rozmiarów inwestycji lub praw udziałowych, co jest także istotne do celów oceny ryzyka nadużywaniu podmiotów o charakterze korporacyjnym i innych podmiotów prawnych do celów prania pieniędzy i finansowania terroryzmu.

165. Co się tyczy „dodatkowych informacji”, które państwa członkowskie mogą udostępniać publicznie korzystając z zakresu swobody, jaki pozostawia im art. 30 ust. 5 akapity drugi i trzeci dyrektywy 2015/849, przede wszystkim, jak wskazałem w pkt 114–116 niniejszej opinii, informacje te nie zostały określone w sposób jasny i precyzyjny. Jak wynika z orzecznictwa przytoczonego w pkt 155 niniejszej opinii, nie spełniają one zatem wymogu proporcjonalności. Poza tym nie wydaje się także, aby były one konieczne do celów identyfikacji beneficjentów rzeczywistych. Osobę beneficjenta rzeczywistego można bowiem zidentyfikować, zgodnie z zasadą minimalizacji danych, na podstawie informacji wskazanych w wykazie zawartym we wspomnianym akapicie drugim ( 97 ).

ii) W przedmiocie kręgu osób mających dostęp do danych o beneficjentach rzeczywistych oraz w przedmiocie systemu dostępu do tych danych

166. Powstaje następnie pytanie, czy umożliwienie każdemu, czyli nieograniczonej i niemożliwej do zidentyfikowania liczbie osób, dostępu do rozpatrywanych danych, jest ściśle konieczne do osiągnięcia zamierzonych celów interesu ogólnego. Z pytaniem tym łączy się pytanie o to, czy umożliwienie dostępu do tych danych bez jakiejkolwiek kontroli ani wymogu uzasadnienia, spełnia przesłankę ścisłej konieczności. To drugie pytanie, dotyczące przesłanek dostępu osób trzecich, wynika bezpośrednio ze zniesienia przez dyrektywę 2018/843 konieczności wykazywania uzasadnionego interesu w celu uzyskania dostępu, co wcześniej przewidywała pierwotna wersja art. 30 ust. 5 lit. c) dyrektywy 2015/849. Sąd odsyłający porusza wszystkie te zagadnienia w ramach swojego pytania trzeciego lit. a) w sprawie C‑601/20.

167. Jeśli chodzi o kwestię dostępu nieograniczonej i niemożliwej do zidentyfikowania liczby osób do rozpatrywanych danych, pragnę zauważyć, że jest to nieodłączna konsekwencja decyzji o ustanowieniu systemu publicznego dostępu do rejestru. Każdy publiczny rejestr jest bowiem potencjalnie dostępny dla nieograniczonej i niemożliwej do zidentyfikowania liczby osób. Z pkt 126 i 127 niniejszej opinii wynika w tym względzie, że zgodnie z orzecznictwem prawo Unii samo w sobie nie sprzeciwia się prowadzeniu publicznego rejestru zawierającego dane osobowe.

168. Otóż jak zauważyłem w pkt 77 niniejszej opinii, pytanie pierwsze w sprawie C‑601/20 nie zmierza do zakwestionowania decyzji prawodawcy Unii o ustanowieniu publicznego rejestru beneficjentów rzeczywistych, czyli rejestru dostępnego dla osób trzecich, nie tylko dla organów publicznych. Pytanie to dotyczy wyłącznie przesłanek dostępu osób trzecich do tego rejestru, w szczególności zniesienia przez dyrektywę 2018/843 konieczności wykazywania uzasadnionego interesu w celu uzyskania wspomnianego dostępu.

169. Niemniej Sovim w swoich uwagach wyra