null
ROZSUDEK SOUDNÍHO DVORA (prvního senátu)
3. září 2026(*)
„ Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 5 – Zásady zpracování osobních údajů – Článek 6 – Zákonnost zpracování – Právo obchodních společností – Směrnice (EU) 2017/1132 – Článek 14 – Listiny a údaje zveřejňované společnostmi – Pojem ‚osoby účastnící se správy, dozoru nebo kontroly společnosti‘ – Zpřístupnění osobních údajů týkajících se akcionářů akciových společností veřejnosti – Menšinoví akcionáři“
Ve věci C‑798/24 [Jautiva](i),
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Satversmes tiesa (Ústavní soud, Lotyšsko) ze dne 14. listopadu 2024, došlým Soudnímu dvoru dne 19. listopadu 2024, v řízení
A a další,
za účasti:
Latvijas Republikas Saeima,
SOUDNÍ DVŮR (první senát),
ve složení: F. Biltgen, předseda senátu, T. von Danwitz (zpravodaj), místopředseda Soudního dvora, A. Kumin, S. Gervasoni a M. Bošnjak, soudci,
generální advokát: R. Norkus,
za soudní kancelář: A. Calot Escobar, vedoucí,
s přihlédnutím k písemné části řízení,
s ohledem na vyjádření, která předložili:
– za A a další: L. Liepa, advokāts,
– za lotyšskou vládu: J. Davidoviča a K. Pommere, jako zmocněnkyně,
– za polskou vládu: B. Majczyna, jako zmocněnec,
– za finskou vládu: A. Laine, jako zmocněnkyně,
– za švédskou vládu: C. Meyer-Seitz, jako zmocněnkyně,
– za norskou vládu: K. E. M. Skjelland a B. Stankovic, jako zmocněnci,
– za Evropský parlament: G. Corstens, M. Migliorati a L. Ruppeka-Rupeika, jako zmocněnci,
– za Radu Evropské unie: L. Bergere, N. Coghlan a A.-L. Meyer, jako zmocněnci,
– za Evropskou komisi: A. Bouchagiar, H. Kranenborg, I. Naglis a M. Noll-Ehlers, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 18. prosince 2025,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká zaprvé výkladu čl. 14 písm. d) bodu ii) směrnice Evropského parlamentu a Rady (EU) 2017/1132 ze dne 14. června 2017 o některých aspektech práva obchodních společností (Úř. věst. 2017, L 169, s. 46) ve znění směrnice Evropského parlamentu a Rady (EU) 2019/1151 ze dne 20. června 2019 (Úř. věst. 2019, L 186, s. 80) (dále jen „směrnice 2017/1132“) a platnosti tohoto ustanovení z hlediska článků 7 a 8 Listiny základních práv Evropské unie (dále jen „Listina“) a zadruhé výkladu čl. 5 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „nařízení GDPR“).
2 Tato žádost byla předložena v rámci řízení o ústavní stížnosti podané fyzickými osobami, které zpochybňují soulad vnitrostátní právní úpravy, jež ukládá povinnost zpřístupnit veřejnosti osobní údaje týkající se akcionářů akciových společností, s Latvijas Republikas Satversme (Ústava Lotyšské republiky).
Právní rámec
Unijní právo
Listina
3 Článek 7 Listiny, nadepsaný „Respektování soukromého a rodinného života“, stanoví:
„Každý má právo na respektování svého soukromého a rodinného života, obydlí a komunikace.“
4 Článek 8 Listiny, nadepsaný „Ochrana osobních údajů“, stanoví:
„1. Každý má právo na ochranu osobních údajů, které se ho týkají.
2. Tyto údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. Každý má právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu.
3. Na dodržování těchto pravidel dohlíží nezávislý orgán.“
5 Článek 52 Listiny, nadepsaný „Rozsah a výklad práv a zásad“, v odstavci 1 stanoví:
„Každé omezení výkonu práv a svobod uznaných touto listinou musí být stanoveno zákonem a respektovat podstatu těchto práv a svobod. Při dodržení zásady proporcionality mohou být omezení zavedena pouze tehdy, pokud jsou nezbytná a pokud skutečně odpovídají cílům obecného zájmu, které uznává [Evropská u]nie, nebo potřebě ochrany práv a svobod druhého.“
Nařízení GDPR
6 Body 1 a 10 odůvodnění nařízení GDPR uvádějí:
„(1) Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 [Listiny] a čl. 16 odst. 1 [SFEU] přiznávají každému právo na ochranu osobních údajů, které se jej týkají.
[...]
(10) S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. [...]“
7 Nařízení GDPR podle svého čl. 1 odst. 2 chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.
8 Nařízení GDPR se podle svého čl. 2 odst. 1 vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.
9 Článek 4 nařízení GDPR, nadepsaný „Definice“, stanoví:
„Pro účely tohoto nařízení se rozumí:
1) ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě [...]; identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;
2) ‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[...]“
10 Článek 5 nařízení GDPR, nadepsaný „Zásady zpracování osobních údajů“, v odstavci 1 uvádí:
„Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 nepovažuje za neslučitelné s původními účely (‚účelové omezení‘);
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
[...]“
11 Článek 6 nařízení GDPR, nadepsaný „Zákonnost zpracování“, v odstavcích 1 a 3 stanoví:
„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
[...]
c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
[...]
3. Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a) právem Unie nebo
b) právem členského státu, které se na správce vztahuje.
Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví [jak stanoví] kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.“
Směrnice 2017/1132
12 Body 7 a 8 odůvodnění směrnice 2017/1132 uvádějí:
„(7) Koordinace vnitrostátních předpisů týkajících se zveřejnění, platnosti závazků akciových společností a společností s ručením omezeným a neplatnosti těchto společností nabývá zvláštního významu, zejména za účelem zajištění ochrany zájmů třetích osob.
(8) Zveřejňování by mělo umožnit třetím osobám seznámit se se základními listinami společnosti a s některými údaji, které se jí týkají, zejména s údaji o osobách, které jsou oprávněny společnost zavazovat.“
13 Článek 1 této směrnice, nadepsaný „Předmět“, stanoví:
„Tato směrnice stanoví opatření týkající se:
– koordinace ochranných opatření, která jsou na ochranu zájmů společníků a třetích osob vyžadována v členských státech od společností ve smyslu čl. 54 druhého pododstavce Smlouvy, co se týče zakládání akciových společností a udržování a změny jejich základního kapitálu, za účelem dosažení rovnocennosti těchto opatření,
– koordinace ochranných opatření, která jsou na ochranu zájmů společníků a třetích osob vyžadována v členských státech od společností ve smyslu čl. 54 druhého pododstavce Smlouvy, co se týče zveřejnění, platnosti přijatých závazků a neplatnosti akciové společnosti nebo společnosti s ručením omezeným, za účelem dosažení rovnocennosti těchto opatření,
[...]“
14 Článek 4 uvedené směrnice, nadepsaný „Údaje, které musí být uvedeny ve stanovách nebo v zakladatelském právním jednání nebo v samostatném právním jednání“, stanoví:
„Ve stanovách nebo v zakladatelském právním jednání nebo v samostatném právním jednání, které je zveřejněno způsobem stanoveným právními předpisy každého členského státu v souladu s článkem 16, musí být obsaženy alespoň tyto údaje:
[...]
i) totožnost fyzických nebo právnických osob nebo společností, které podepsaly nebo jejichž jménem byly podepsány stanovy nebo zakladatelské právní jednání, nebo pokud založení společnosti nebylo okamžité, totožnost fyzických nebo právnických osob nebo společností, které podepsaly nebo jejichž jménem byly podepsány návrhy stanov nebo zakladatelského právního jednání;
[...]“.
15 Článek 13 téže směrnice, nadepsaný „Oblast působnosti“, stanoví:
„Koordinační opatření stanovená tímto oddílem a oddílem 1A se použijí na právní a správní předpisy členských států, které se vztahují na formy společností uvedené v příloze II a tam, kde je to uvedeno, na formy společností uvedené v přílohách I a IIA.“
16 Příloha II směrnice 2017/1132, která vyjmenovává formy společností podle mimo jiné článku 13 této směrnice, odkazuje v případě Lotyšska na „akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība“, tedy akciové společnosti, společnosti s ručením omezeným a komanditní společnosti na akcie.
17 Článek 14 této směrnice, nadepsaný „Listiny a údaje zveřejňované společnostmi“, stanoví:
„Členské státy přijmou nezbytná opatření k zajištění toho, aby společnosti povinně zveřejnily alespoň následující listiny a údaje:
a) zakladatelské právní jednání a stanovy, pokud jsou obsaženy v samostatném právním jednání;
[...]
d) jmenování, ukončení funkce a totožnost osob, které jako zákonem stanovený orgán společnosti nebo členové tohoto orgánu:
i) jsou oprávněny zastupovat společnost vůči třetím osobám a v soudních řízeních; při zveřejnění musí být uvedeno, zda osoby, které jsou oprávněny zastupovat společnost, tak mohou činit samostatně nebo tak musí činit společně,
ii) se účastní správy, dozoru nebo kontroly společnosti;
[...]“
18 Článek 16 odst. 3 uvedené směrnice stanoví:
„Členské státy zajistí, aby se zveřejňování listin a údajů podle článku 14 uskutečňovalo jejich zpřístupněním veřejnosti prostřednictvím [ústředního, obchodního či podnikového rejstříku]. [...]“
19 Článek 64 odst. 3 a čl. 95 odst. 2 téže směrnice se týkají povinností správního nebo řídícího orgánu společnosti vůči valné hromadě v oblasti finanční podpory poskytnuté společností za účelem nabytí jejích vlastních akcií třetí osobou, resp. v oblasti fúze sloučením.
Směrnice 2015/849
20 Články 11 a 13 směrnice Evropského parlamentu a Rady (EU) 2015/849 ze dne 20. května 2015 o předcházení využívání finančního systému k praní peněz nebo financování terorismu, o změně nařízení Evropského parlamentu a Rady (EU) č. 648/2012 a o zrušení směrnice Evropského parlamentu a Rady 2005/60/ES a směrnice Komise 2006/70/ES (Úř. věst. 2015, L 141, s. 73) ve znění směrnice Evropského parlamentu a Rady (EU) 2024/1640 ze dne 31. května 2024 (Úř. věst. L, 2024/1640) (dále jen „směrnice 2015/849“) uvádějí opatření hloubkové kontroly, která musí povinné osoby uplatnit na své klienty.
21 Článek 30 odst. 5 směrnice 2015/849 stanoví:
„Členské státy zajistí, aby informace o skutečných majitelích byly vždy k dispozici:
[...]
c) jakékoli osobě nebo organizaci, které mohou prokázat oprávněný zájem.
Osoby nebo organizace uvedené v prvním pododstavci písm. c) musí mít povolený přístup alespoň k informacím o jméně, měsíci a roce narození, zemi bydliště a státní příslušnosti skutečného majitele, jakož i o povaze a rozsahu účasti skutečného majitele.“
Lotyšské právo
Ústava Lotyšské republiky
22 Článek 96 Ústavy Lotyšské republiky zakotvuje mimo jiné právo na respektování soukromého života. Podle judikatury Satversmes tiesa (Ústavní soud, Lotyšsko) spadá do působnosti tohoto článku i ochrana osobních údajů.
Obchodní zákoník
23 Článek 8 Komerclikums (obchodní zákoník), nadepsaný „Obsah zápisů v obchodním rejstříku“, v odst. 3 bodech 3 a 4 stanoví:
„(3) Do obchodního rejstříku se o kapitálové společnosti zapisují tyto údaje:
[...]
3) jméno, příjmení a osobní identifikační číslo (pokud osoba nemá přiděleno osobní identifikační číslo, zapíše se datum narození, číslo a datum vydání dokladu totožnosti, země a orgán, který jej vydal) členů statutárního orgánu kapitálové společnosti a členů dozorčí rady (pokud kapitálová společnost takovou radu má) a funkce zastávané těmito členy;
4) oprávnění členů statutárního orgánu zastupovat kapitálovou společnost samostatně nebo společně;
[...]“
24 Článek 12 tohoto zákoníku, nadepsaný „Zveřejnění v obchodním rejstříku“, zní:
„(1) Zápisy v obchodním rejstříku jsou účinné vůči třetím osobám od okamžiku jejich zveřejnění. [...]
[...]“
25 Článek 235 uvedeného zákoníku, nadepsaný „Údaje zapisované do rejstříku akcionářů“, stanoví:
„(1) V každém oddílu rejstříku akcionářů se uvede obchodní firma společnosti, její registrační číslo, sídlo a případně informace o tom, že je společnost v likvidaci nebo v insolvenčním řízení, jakož i název listiny ‚Oddíl rejstříku akcionářů‘, a zapíší se následující údaje:
1) pořadové číslo oddílu a datum;
2) pořadové číslo zápisu za použití průběžného číslování od prvního oddílu rejstříku akcionářů;
3) pořadová čísla akcií;
4) údaje o akcionářích:
a) u fyzické osoby jméno, příjmení, osobní identifikační číslo (pokud osoba nemá přiděleno osobní identifikační číslo, zapíše se datum narození, číslo a datum vydání dokladu totožnosti, země a orgán, který jej vydal) a adresa, na které ji lze kontaktovat;
b) u právnické osoby a osobní obchodní společnosti název, registrační číslo a sídlo;
5) e-mailová adresa akcionáře, pokud akcionář požádal, aby ji společnost používala pro komunikaci s ním;
6) druh, počet a jmenovitá hodnota akcií každého akcionáře a počet hlasů s nimi spojených;
7) údaj o splácení akcií;
8) společný zástupce akcionářů, který byl jmenován postupem podle článku 157 tohoto zákoníku, s uvedením informací podle odstavce 1 bodů 4 a 5 tohoto článku;
9) údaj o akciích, které společnost sama nabyla, s uvedením důvodů jejich nabytí.
[...]“
26 Článek 268 téhož zákoníku, nadepsaný „Pravomoci valné hromady akcionářů“, stanoví:
„(1) Pouze valná hromada akcionářů je oprávněna rozhodovat:
1) o ročních účetních závěrkách společnosti;
2) o rozdělení zisku z předchozího účetního období;
3) o volbě a odvolání členů dozorčí rady, auditorů a likvidátorů;
4) o podání žaloby proti členům statutárního orgánu a dozorčí rady, jakož i proti auditorovi, nebo o upuštění od podání takové žaloby a o jmenování zástupce společnosti pro vedení řízení proti členům dozorčí rady;
[...]
6) o změně stanov společnosti;
7) o zvýšení nebo snížení základního kapitálu;
8) o emisi a konverzi cenných papírů společnosti, jakož i o centrálním depozitáři cenných papírů, v němž jsou evidovány zaknihované akcie společnosti;
9) o stanovení odměn členů dozorčí rady a auditora;
10) o ukončení, pokračování, pozastavení nebo obnovení činnosti společnosti nebo také o reorganizaci společnosti;
11) o obecných zásadách, druzích a kritériích pro stanovení odměn členů statutárního orgánu a dozorčí rady;
12) o přidělování akcií společnosti zaměstnancům a členům statutárního orgánu a dozorčí rady.
(2) Valná hromada akcionářů rozhoduje o jiných otázkách pouze tehdy, stanoví-li tak zákon.“
Zákon o podnikovém rejstříku
27 Článek 4.10 likums „Par Latvijas Republikas Uzņēmumu reģistru“ (zákon o podnikovém rejstříku Lotyšské republiky, dále jen „zákon o podnikovém rejstříku“), nadepsaný „Právo na přístup k informacím v podnikovém rejstříku“, v pátém pododstavci stanoví:
„Podnikový rejstřík poskytuje bezplatně prostřednictvím on-line přenosu dat (včetně hromadného stahování) údaje a listiny obsažené ve veřejné části rejstříkového spisu (čl. 4.15 první pododstavec).“
28 Článek 4.11 tohoto zákona, nadepsaný „Informace, které mají být zveřejněny na internetových stránkách podnikového rejstříku“, v prvním pododstavci bodě 2 stanoví:
„Podnikový rejstřík zajišťuje, aby byly na jeho internetových stránkách neidentifikovanému uživateli veřejně přístupné následující nejnovější (aktuální) informace o právnických osobách a právních skutečnostech zapsaných v rejstřících vedených podnikovým rejstříkem:
[...]
2) další zapsané údaje.“
29 Článek 4.15 uvedeného zákona, nadepsaný „Veřejná a neveřejná část rejstříkového spisu“, stanoví:
„Veřejná část rejstříkového spisu obsahuje:
[...]
2) další zapsané údaje.
[...]
b) údaje z oddílu rejstříku společníků (akcionářů) kapitálové společnosti týkající se společníků (akcionářů) této společnosti [...]
3) následující listiny obsažené v rejstříkovém spisu:
a) v obchodním rejstříku – [...] oddíl rejstříku (společníků) akcionářů [...]
Listiny a údaje, které jsou součástí rejstříkového spisu a nejsou uvedeny v prvním pododstavci tohoto článku, se zařazují do neveřejné části rejstříkového spisu.
Je-li zápisu v rejstříku nebo zapsaným údajům přiznán status informace s omezeným přístupem, nebo je-li jejich zveřejnění omezeno právním předpisem, zařazují se do neveřejné části rejstříkového spisu.
Údaje a listiny zařazené do neveřejné části rejstříkového spisu (druhého a třetího pododstavce tohoto článku) jsou informacemi s omezeným přístupem a neomezený přístup k nim mají orgány činné v trestním řízení za účelem plnění úkolů stanovených v právních předpisech, jakož i [Finanšu izlūkošanas dienests (Finanční zpravodajská služba)] a orgány dohledu a kontroly v oblasti předcházení praní peněz a financování terorismu a šíření zbraní, zatímco ostatní orgány musí předložit odůvodněnou žádost. Jednotlivci žádají o údaje a listiny obsažené v neveřejné části rejstříkového spisu postupem stanoveným v Informācijas atklātības likums [(zákon o svobodném přístupu k informacím)] pro podání žádosti o informace s omezeným přístupem.“
Zákon o předcházení praní peněz
30 Článek 5.1 Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (zákon o předcházení praní peněz a financování terorismu a šíření zbraní hromadného ničení, dále jen „zákon o předcházení praní peněz“), nadepsaný „Dostupnost informací pocházejících z informačních systémů Lotyšské republiky a nezbytných ke splnění zákonných požadavků“, v odstavci 1 uvádí:
„Povinné osoby a orgány dohledu a kontroly jsou za účelem splnění povinností stanovených tímto zákonem oprávněny požadovat a získávat z rejstříků vedených podnikovým rejstříkem Lotyšské republiky v on-line podobě záznamy a informace o společnících a skutečných majitelích, uchovávat a jinak zpracovávat tyto informace za účelem posouzení údajů o klientovi a jeho obchodních partnerech a nutnosti oznámit Finanční zpravodajské službě podezřelou transakci nebo upustit od jejího provedení, a dále zjistit, zda vůči klientovi nebylo zahájeno insolvenční řízení právnických osob nebo zda se nenachází v úpadku.“
Zákon o mezinárodních a vnitrostátních sankcích
31 Článek 5 Starptautisko un Latvijas Republikas nacionālo sankciju likums (zákon o mezinárodních a vnitrostátních sankcích Lotyšské republiky, dále jen „zákon o mezinárodních a vnitrostátních sankcích“), nadepsaný „Finanční omezení“, stanoví:
„Pokud vnitrostátní sankce ukládají sankcionované osobě finanční omezení, jsou všechny osoby v rámci své pravomoci povinny neprodleně a bez předchozího oznámení:
1) zmrazit veškeré finanční prostředky a hospodářské zdroje, které jsou přímo nebo nepřímo, zcela nebo zčásti vlastněny, drženy, spravovány nebo kontrolovány sankcionovanou osobou, včetně třetích osob jednajících jejím jménem nebo podle jejích pokynů;
2) přímo ani nepřímo nezpřístupňovat finanční prostředky a hospodářské zdroje sankcionované osobě, včetně třetích osob jednajících jejím jménem, na její pokyn nebo v její prospěch;
3) neposkytovat finanční služby, na něž se vztahují vnitrostátní sankce, sankcionované osobě, včetně třetích osob jednajících jejím jménem, na její pokyn nebo v její prospěch.“
Spor v původním řízení a předběžné otázky
32 Sedmnáct fyzických osob podalo k Satversmes tiesa (Ústavní soud), který je předkládajícím soudem, stížnost, jejímž cílem je zpochybnit, že je vnitrostátní právní úprava, tedy čl. 4.15 první pododstavec bod 2 písm. b) zákona o obchodním rejstříku ve spojení s čl. 4.10 pátým pododstavcem tohoto zákona a čl. 235 odst. 1 obchodního zákoníku, v souladu s článkem 96 Ústavy Lotyšské republiky, který zaručuje právo na respektování soukromého života a na ochranu osobních údajů.
33 Podle této právní úpravy jsou určité údaje týkající se akcionářů akciových společností zpřístupňovány veřejnosti. Je-li takovým akcionářem fyzická osoba, jsou těmito údaji příjmení, jméno, osobní identifikační číslo, nebo – pokud takové číslo neexistuje – datum narození, číslo dokladu totožnosti a datum jeho vydání, země a vydávající orgán, jakož i adresa, na které je akcionář k zastižení. Bez ohledu na to, zda je akcionář fyzická osoba, patří mimoto mezi uvedené údaje také e-mailová adresa akcionáře, pokud tento akcionář požádal, aby ji společnost, jejíž akcie drží, používala ke komunikaci s ním, druh, počet a jmenovitá hodnota jeho akcií, jakož i počet hlasů, které jsou s těmito akciemi spojeny. Tytéž údaje jsou dostupné on-line a mohou být hromadně stahovány, a to zejména jakýmkoli neidentifikovaným uživatelem, jak stanoví čl. 4.11 první pododstavec bod 2 zákona o podnikovém rejstříku.
34 Žalobci v původním řízení jsou menšinovými akcionáři jedné akciové společnosti. Tvrdí, že lotyšský zákonodárce neposoudil ani neodůvodnil nezbytnost zpřístupnit dotčené údaje veřejnosti, přičemž je třeba upřesnit, že po jejich zveřejnění již není možné omezit jejich další použití a existuje vysoké riziko, že budou použity k nekalým účelům. Každopádně s ohledem na rozsudek ze dne 22. listopadu 2022, Luxembourg Business Registers (C‑37/20 a C‑601/20, EU:C:2022:912, dále jen „rozsudek Luxembourg Business Registers“), jsou žalobci v původním řízení toho názoru, že zpřístupnění těchto údajů je neodůvodněné a nepřiměřené vzhledem k tomu, že žalobci v původním řízení nejsou skutečnými majiteli dotčené společnosti ani členy jejích řídících orgánů a nemají právo ani možnost vykonávat nad touto společností kontrolu.
35 V této souvislosti si předkládající soud klade otázku, zda je zveřejnění osobních údajů dotčených v řízení, jež před ním probíhá, vyžadováno na základě směrnice 2017/1132, a zejména jejího čl. 14 písm. d) bodu ii), který se týká listin nebo údajů týkajících se osob, které se účastní správy, dozoru nebo kontroly společnosti. Pokud by tomu tak bylo, má uvedený soud za to, že by bylo nezbytné ověřit platnost takové povinnosti zveřejnění s ohledem na články 7 a 8 Listiny.
36 Předkládající soud si dále klade otázku, zda členský stát může, aniž by porušil ustanovení nařízení GDPR, zejména jeho čl. 5 odst. 1, a ustanovení Listiny, stanovit ve svém vnitrostátním právu takovou povinnost zveřejnění za účelem dosažení takových cílů, jaké uvedl Latvijas Republikas Saeima (lotyšský parlament), a sice zaprvé zajistit transparentní podnikatelské prostředí a chránit zájmy třetích osob, zadruhé předcházet praní peněz a financování terorismu a šíření zbraní hromadného ničení a zatřetí poskytnout informace nezbytné k uplatňování vnitrostátních, mezinárodních a unijních sankcí. V této souvislosti předkládající soud uvádí, že přístup k dotčeným údajům nepodléhá žádné podmínce, jako je zejména prokázání oprávněného zájmu.
37 Za těchto podmínek se Satversmes tiesa (Ústavní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Musí být pojem ‚osoby, které se účastní správy, dozoru nebo kontroly společnosti‘, uvedený v čl. 14 písm. d) [směrnice 2017/1132], vykládán v tom smyslu, že se vztahuje na každého akcionáře akciové společnosti, takže členský stát je povinen zveřejnit údaje týkající se každého akcionáře akciové společnosti jejich zpřístupněním veřejnosti prostřednictvím rejstříku v souladu s čl. 16 odst. 3 směrnice 2017/1132?
2) Je-li odpověď na první otázku kladná, je čl. 14 písm. d) bod ii) směrnice 2017/1132 v rozsahu, v němž stanoví zveřejnění údajů týkajících se každého akcionáře akciové společnosti, platný s ohledem na právo na respektování soukromého a rodinného života zaručené článkem 7 Listiny a právo na ochranu osobních údajů zaručené článkem 8 Listiny?
3) Musí být čl. 5 odst. 1 písm. b) [nařízení GDPR] vykládán v tom smyslu, že osobní údaje týkající se akcionářů akciové společnosti mohou být zpracovávány zaprvé za účelem zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob, zadruhé za účelem předcházení praní peněz a financování terorismu a šíření zbraní hromadného ničení a zatřetí za účelem poskytování informací nezbytných pro provádění národních, mezinárodních a unijních sankcí?
4) Umožňují zásady stanovené v čl. 5 odst. 1 [nařízení GDPR], aby členský stát pro výše uvedené účely stanovil právní rámce, na základě kterého může kdokoli získat přístup k osobním údajům každého akcionáře akciové společnosti, aniž je povinen prokázat oprávněný zájem na získání těchto údajů?“
K předběžným otázkám
K první otázce
38 Podstatou první otázky předkládajícího soudu je, zda musí být čl. 14 písm. d) směrnice 2017/1132 vykládán v tom smyslu, že vyžaduje zveřejnění údajů týkajících se všech akcionářů společností uvedených v tomto ustanovení, včetně menšinových akcionářů takových společností.
39 Podle uvedeného ustanovení, které se vztahuje na formy společností uvedené v článku 13 směrnice 2017/1132, tedy na formy společností vyjmenované zejména v příloze II této směrnice, musí členské státy přijmout nezbytná opatření k zajištění toho, aby tyto společnosti povinně zveřejnily alespoň listiny a údaje týkající se jmenování, ukončení funkce a totožnosti osob, které jsou jako zákonem stanovený orgán společnosti nebo členové tohoto orgánu oprávněny zastupovat společnost vůči třetím osobám a v soudních řízeních nebo které se účastní správy, dozoru nebo kontroly společnosti.
40 V této souvislosti je třeba připomenout, že podle ustálené judikatury musí být znění ustanovení unijního práva, které za účelem vymezení svého smyslu a rozsahu výslovně neodkazuje na právo členských států, zpravidla vykládáno autonomním a jednotným způsobem v celé Unii, přičemž tento výklad je třeba nalézt nejen s ohledem na znění tohoto ustanovení, ale i s přihlédnutím k jeho kontextu a k cílům sledovaným právní úpravou, jejíž je součástí (v tomto smyslu viz rozsudek ze dne 18. ledna 1984, Ekro, 327/82, EU:C:1984:11, bod 11, a rozsudek ze dne 18. prosince 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge, C‑417/23, EU:C:2025:1017, bod 76).
41 Pokud jde o znění čl. 14 písm. d) směrnice 2017/1132, je třeba uvést, že toto ustanovení se výslovně nevztahuje na akcionáře ani na valnou hromadu akcionářů. Uvedené ustanovení mimoto odkazuje na „jmenování“, „ukončení funkce“ a „totožnost“ osob, které jsou jako zákonem stanovený orgán společnosti nebo členové tohoto orgánu oprávněny zastupovat společnost vůči třetím osobám a v soudních řízeních nebo které se účastní správy, dozoru nebo kontroly společnosti. Jak přitom uvedly lotyšská a polská vláda, Evropský parlament, Rada Evropské unie a Evropská komise ve svých písemných vyjádřeních, akcionáři společnosti nejsou jmenováni ani odvoláváni z funkce. Jejich postavení totiž vyplývá pouze z jejich podílu na základním kapitálu společnosti, tedy z jejich vlastnického práva k akciím vydaným touto společností, a liší se v tomto ohledu od postavení osob, které mají zasedat ve správních a řídících orgánech uvedené společnosti a zastupovat ji ve vztazích s třetími osobami.
42 Pokud jde o kontext téhož ustanovení, je třeba konstatovat, že několik ustanovení směrnice 2017/1132, jako jsou čl. 64 odst. 3 a čl. 95 odst. 2 této směrnice, odráží terminologické rozlišení, které unijní normotvůrce činí mezi správními a řídícími orgány na jedné straně a valnou hromadou akcionářů na straně druhé. Ačkoli má tato valná hromada určité rozhodovací pravomoci, nemají stejnou povahu jako pravomoci vykonávané správními a řídícími orgány společnosti, takže jednání uvedené valné hromady ani jednání jejích členů činěné jejím prostřednictvím nelze kvalifikovat jako „účast“ ve smyslu čl. 14 písm. d) bodu ii) uvedené směrnice.
43 Mimoto je třeba uvést, že čl. 14 písm. a) směrnice 2017/1132, který musí být vykládán ve spojení s jejím čl. 4 písm. i), sice vyžaduje zveřejnění zakladatelského právního jednání a stanov akciové společnosti, přičemž tyto dokumenty musí uvádět totožnost jejich signatářů, mezi nimiž mohou být i původní akcionáři této společnosti, avšak žádné ustanovení této směrnice výslovně nevyžaduje zveřejnění v případě pozdější změny složení akcionářů takové společnosti.
44 Pokud jde o cíle sledované směrnicí 2017/1132, z bodů 7 a 8 odůvodnění a z článku 1 této směrnice vyplývá, že cílem zveřejnění stanoveného touto směrnicí je mimo jiné chránit zájmy třetích osob ve vztahu k akciovým společnostem a společnostem s ručením omezeným, jelikož tyto poskytují třetím osobám jako záruku pouze své obchodní jmění. Za tímto účelem musí takové zveřejňování třetím osobám umožnit, aby se seznámily se základními listinami dotyčné společnosti a s některými údaji, které se jí týkají, zejména s totožností osob, které jsou oprávněny společnost zastupovat (v tomto smyslu viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 77).
45 Cílem uvedené směrnice je mimoto zajistit právní jistotu ve vztazích mezi společnostmi a třetími osobami v zájmu zintenzivnění obchodních toků mezi členskými státy v návaznosti na vytvoření vnitřního trhu. Z tohoto hlediska je důležité, aby každá osoba, která si přeje navázat hospodářské vztahy se společnostmi se sídlem v jiných členských státech či v nich pokračovat, mohla snadno zjistit zásadní údaje týkající se založení obchodních společností a pravomocí osob, které jsou oprávněny k jejich zastupování, což vyžaduje, aby byly všechny příslušné údaje výslovně uvedeny v rejstříku uvedeném v čl. 16 odst. 3 téže směrnice (v tomto smyslu viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 78 a citovaná judikatura).
46 V projednávaném případě se přitom nejeví, že by zveřejnění údajů týkajících se všech akcionářů akciových společností a zejména jejich menšinových akcionářů bylo užitečné s ohledem na cíl ochrany zájmů třetích osob a právní jistoty, a nemůže být tedy tímto cílem odůvodněno. Vzhledem k tomu, že menšinoví akcionáři nejsou na rozdíl od členů správních a řídících orgánů akciové společnosti v zásadě oprávněni takovou společnost zastupovat, zavazovat ji vůči třetím osobám ani vykonávat řídící a kontrolní funkce, údaje týkající se všech těchto akcionářů jsou patrně pro tyto třetí osoby irelevantní.
47 Na první otázku je proto třeba odpovědět, že čl. 14 písm. d) směrnice 2017/1132 musí být vykládán v tom smyslu, že nevyžaduje zveřejnění údajů týkajících se všech akcionářů společností uvedených v tomto ustanovení, včetně menšinových akcionářů takových společností.
K druhé otázce
48 S ohledem na odpověď poskytnutou na první otázku není namístě odpovídat na druhou otázku.
K třetí a čtvrté otázce
49 Podstatou těchto otázek předkládajícího soudu, které je třeba zkoumat společně, je, zda musí být články 5 a 6 nařízení GDPR ve spojení s články 7 a 8 Listiny vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která ukládá povinnost zpřístupnit veřejnosti osobní údaje všech akcionářů akciových společností, včetně menšinových akcionářů, týkající se totožnosti každého z těchto akcionářů, jeho kontaktních údajů, druhu, počtu a jmenovité hodnoty akcií, které drží, jakož i počtu hlasů spojených s těmito akciemi, a to za účelem zajištění transparentního podnikatelského prostředí s cílem chránit zájmy třetích osob, za účelem předcházení praní peněz, financování terorismu a šíření zbraní hromadného ničení, jakož i za účelem poskytování informací nezbytných pro uplatňování vnitrostátních, mezinárodních a unijních sankcí, pokud přístup k těmto údajům nepodléhá žádné podmínce, jako je prokázání oprávněného zájmu.
50 Úvodem je třeba připomenout, že v souladu s cílem sledovaným nařízením GDPR, jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, kterým je zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU, musí být každé zpracování osobních údajů zejména v souladu se zásadami zpracování takových údajů uvedenými v článku 5 nařízení GDPR a musí splňovat podmínky zákonnosti zpracování vyjmenované v jeho článku 6 [v tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, body 21 a 22, a rozsudek ze dne 3. dubna 2025, Ministerstvo zdravotnictví (Údaje týkající se zástupce právnické osoby), C‑710/23, EU:C:2025:231, body 29 a 33].
51 V tomto ohledu je třeba uvést, že čl. 5 odst. 1 písm. a) nařízení GDPR stanoví, že osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem.
52 Mimoto podle čl. 5 odst. 1 písm. b) nařízení GDPR, který uvádí zásadu účelového omezení zpracování osobních údajů, musí být takové údaje zaprvé shromažďovány pro určité, výslovně vyjádřené a legitimní účely a zadruhé nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný. Podle judikatury Soudního dvora tato zásada mimo jiné především vyžaduje, aby byly účely zpracování identifikovány nejpozději v okamžiku shromažďování osobních údajů, dále aby byly účely tohoto zpracování jasně uvedeny a konečně aby účely uvedeného zpracování zaručovaly zejména zákonnost zpracování těchto údajů ve smyslu čl. 6 odst. 1 nařízení GDPR (v tomto smyslu viz rozsudek ze dne 20. října 2022, Digi, C‑77/21, EU:C:2022:805, bod 27 a citovaná judikatura).
53 Konečně podle čl. 5 odst. 1 písm. c) nařízení GDPR, který zakotvuje zásadu minimalizace údajů, musí být tyto údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány. Tato zásada je vyjádřením zásady proporcionality (v tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 24 a 42 a citovaná judikatura).
54 Pokud jde o podmínky zákonnosti zpracování, čl. 6 odst. 1 první pododstavec nařízení GDPR uvádí taxativní a vyčerpávající výčet případů, kdy lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí tedy jít o některý z případů uvedených v tomto ustanovení (v tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 25 a citovaná judikatura).
55 Podle čl. 6 odst. 1 prvního pododstavce písm. a) nařízení GDPR je zpracování osobních údajů zákonné, pokud k tomu subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu. Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 nařízení GDPR, může být takové zpracování přesto odůvodněné, pokud splňuje jeden z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) nařízení GDPR. V této souvislosti musí být odůvodnění stanovená v posledně uvedeném ustanovení – jelikož mohou vést k tomu, že zpracování osobních údajů bude zákonné i bez souhlasu subjektu údajů – vykládána restriktivně (rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, body 26 a 27 a citovaná judikatura).
56 Mimoto podle judikatury Soudního dvora platí, že je-li možné konstatovat, že zpracování osobních údajů je nezbytné s ohledem na některý z důvodů stanovených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) GDPR, není třeba zjišťovat, zda se na toto zpracování vztahuje i nějaký další z těchto důvodů (rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 28 a citovaná judikatura).
57 V projednávaném případě je nesporné, že se údaje dotčené ve sporu v původním řízení týkají identifikovaných nebo identifikovatelných fyzických osob, a tedy musí být kvalifikovány jako osobní údaje ve smyslu čl. 4 bodu 1 nařízení GDPR. Je rovněž nesporné, že tyto údaje jsou zpracovávány ve smyslu čl. 4 bodu 2 nařízení GDPR, pokud jsou zpřístupněny veřejnosti, a toto zpracování, které má automatizovanou povahu, spadá do věcné působnosti nařízení GDPR na základě jeho čl. 2 odst. 1.
58 Jak v podstatě uvedl generální advokát v bodě 43 svého stanoviska, zpracování údajů dotčené ve sporu v původním řízení je uloženo vnitrostátní právní úpravou, a musí být tedy zkoumáno ve světle čl. 6 odst. 1 prvního pododstavce písm. c) nařízení GDPR, podle kterého je zpracování zákonné, pouze pokud je „nezbytné pro splnění právní povinnosti, která se na správce vztahuje“, a pouze v odpovídajícím rozsahu.
59 Článek 6 odst. 3 nařízení GDPR mimo jiné upřesňuje, že v tomto případě musí být zpracování založeno na unijním právu nebo na právu členského státu, které se na správce vztahuje, a účely zpracování musí vycházet z tohoto právního základu. Tento právní základ musí splňovat cíl veřejného zájmu a musí být přiměřený sledovanému legitimnímu cíli. Vzhledem k tomu, že tyto požadavky odráží požadavky vyplývající z čl. 52 odst. 1 Listiny, musí být vykládány ve světle posledně uvedeného ustanovení (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 69, a rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 104).
60 V této souvislosti je třeba uvést, že základní práva na respektování soukromého života a na ochranu osobních údajů zaručená v článcích 7 a 8 Listiny nejsou absolutními výsadami, ale musí být nahlížena v souvislosti s jejich funkcí ve společnosti a musí být v rovnováze s ostatními základními právy. Základní práva lze omezit, pokud je omezení v souladu s čl. 52 odst. 1 Listiny stanoveno zákonem a respektuje podstatu těchto práv a zásadu proporcionality [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 105; rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 70, a rozsudek ze dne 4. října 2024, Bezirkshauptmannschaft Landeck (Pokus o přístup k osobním údajům uloženým v mobilním telefonu), C‑548/21, EU:C:2024:830, bod 85 a citovaná judikatura].
61 V tomto kontextu je třeba připomenout, že podle ustálené judikatury vyžaduje přiměřenost opatření, která vedou k zásahu do práv zaručených v článcích 7 a 8 Listiny, dodržení požadavků vhodnosti a nezbytnosti i požadavku přiměřenosti těchto opatření ve vztahu ke sledovanému cíli (rozsudek Luxembourg Business Registers, bod 63 a citovaná judikatura).
62 Konkrétně výjimky z ochrany osobních údajů a její omezení jsou činěny v mezích toho, co je nezbytně nutné, přičemž se rozumí, že pokud se nabízí volba mezi více opatřeními vhodnými k dosažení sledovaných legitimních cílů, je třeba zvolit nejméně omezující opatření. Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými zvoleným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy, aby se zajistilo, že nepříznivé následky způsobené tímto opatřením nebudou nepřiměřené vzhledem ke sledovaným cílům. Možnost odůvodnit omezení práv zaručených v článcích 7 a 8 Listiny tak musí být posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný závažnosti zásahu (rozsudek Luxembourg Business Registers, bod 64 a citovaná judikatura).
63 Mimoto za účelem splnění požadavku proporcionality musí předmětná právní úprava, která s sebou přináší zásah, stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a stanovit minimální požadavky, tak aby subjekty údajů měly dostatečné záruky umožňující účinně chránit jejich osobní údaje proti riziku zneužití. Taková právní úprava musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů, čímž zaručí, že se zásah omezí na to, co je nezbytně nutné (v tomto smyslu viz rozsudek Luxembourg Business Registers, bod 65 a citovaná judikatura).
64 V projednávaném případě je na předkládajícím soudu, aby na prvním místě ověřil, zda vnitrostátní právní úprava dotčená v původním řízení splňuje zásadu účelového omezení uvedenou v čl. 5 odst. 1 písm. b) nařízení GDPR ve světle judikatury připomenuté v bodě 52 tohoto rozsudku a zda účely zpracování vycházejí z příslušného právního základu ve smyslu čl. 6 odst. 3 nařízení GDPR. Jak uvedl generální advokát v bodě 45 svého stanoviska, je v tomto ohledu důležité, aby bylo možné daný účel či účely dostatečně jasně zjistit s ohledem na znění dotyčné právní úpravy nebo normativní kontext, do něhož tato právní úprava spadá.
65 Na druhém místě je třeba ověřit, zda tento právní základ splňuje ostatní požadavky vyplývající z čl. 6 odst. 3 nařízení GDPR a čl. 52 odst. 1 Listiny, a to ve světle ustálené judikatury připomenuté v bodech 59 až 63 tohoto rozsudku a s přihlédnutím k závažnosti zásahu do práv zaručených články 7 a 8 Listiny, který vyplývá z uvedeného právního základu.
66 I když v konečném důsledku přísluší předkládajícímu soudu, aby ověřil, zda jsou tyto ostatní požadavky splněny, je na Soudním dvoru, aby při rozhodování o předběžné otázce poskytl uvedenému soudu všechny prvky výkladu unijního práva, které mohou být užitečné pro rozhodnutí ve věci, která mu byla předložena, a případně podal upřesnění, aby uvedenému soudu poskytl vodítko při jeho přezkumu (v tomto smyslu viz rozsudek ze dne 27. června 2017, Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, bod 36 a citovaná judikatura, a rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 51).
67 Jak v této souvislosti vyplývá z ustálené judikatury Soudního dvora, sdělování osobních údajů třetí straně, včetně zpřístupnění takových údajů, je zásahem do základních práv zakotvených v článcích 7 a 8 Listiny, bez ohledu na následné využití sdělených informací. V tomto ohledu není důležité, zda dotyčné informace o soukromém životě představují citlivé údaje nebo zda dotyčné osoby utrpěly z důvodu tohoto zásahu případné nepříznivé následky (v tomto smyslu viz rozsudek ze dne 21. června 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, bod 96, a rozsudek Luxembourg Business Registers, bod 39).
68 Ačkoli v projednávaném případě vnitrostátní právní úprava dotčená v původním řízení přesně vyjmenovává osobní údaje, které musí být zpřístupněny veřejnosti, takže z toho vyplývající zásah je stanoven zákonem, je ještě třeba posoudit závažnost tohoto zásahu a dále posoudit, zda je význam údajně sledovaných cílů obecného zájmu úměrný závažnosti zásahu (v tomto smyslu viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 98).
69 Pokud jde zaprvé o závažnost takového zásahu, je třeba zohlednit zejména povahu dotčených osobních údajů, konkrétně pak případně citlivou povahu těchto údajů, jakož i povahu a konkrétní způsoby zpracování dotčených údajů, konkrétně počet osob, které mají přístup k těmto údajům, a podmínky pro přístup k těmto údajům (rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 99 a citovaná judikatura).
70 V projednávaném případě je třeba uvést, že jelikož se údaje zpřístupněné veřejnosti týkají zejména totožnosti každého akcionáře, jeho kontaktních údajů, druhu, počtu a jmenovité hodnoty akcií, které drží, jakož i počtu hlasů spojených s těmito akciemi, mohou takové údaje umožnit sestavení profilu, pokud jde mimo jiné o stav majetku dotyčné osoby a o hospodářská odvětví a podniky, v nichž tato osoba investovala (v tomto smyslu viz rozsudek Luxembourg Business Registers, bod 41).
71 K tomu přistupuje skutečnost, že s takovým zpřístupněním těchto údajů je neodmyslitelně spojeno zajištění jejich přístupu potenciálně neomezenému počtu osob, takže jejich zpracování může umožnit získat volný přístup k uvedeným informacím i osobám, které se snaží z důvodů nesouvisejících s cílem sledovaným tímto zpřístupněním získat informace zejména o faktické a finanční situaci takového akcionáře. Tato možnost se jeví o to snadnější, mohou-li být takové údaje vyhledávány na internetu (v tomto smyslu viz rozsudek Luxembourg Business Registers, bod 42 a citovaná judikatura).
72 Kromě toho jsou potenciální důsledky pro subjekty údajů plynoucí z případného zneužití jejich údajů zhoršeny skutečností, že jakmile jsou tyto údaje zpřístupněny veřejnosti, mohou být nejen volně vyhledávány, ale rovněž uchovávány a šířeny, a v případě takového následného zpracování se stává pro tyto osoby o to obtížnější, ne-li iluzorní, aby se účinně hájily proti zneužívání (v tomto smyslu viz rozsudek Luxembourg Business Registers, bod 43).
73 I když tedy zpřístupnění údajů dotčených ve sporu v původním řízení veřejnosti nenarušuje podstatu práv zaručených články 7 a 8 Listiny, představuje v každém případě závažný zásah do těchto práv (v tomto smyslu viz rozsudek Luxembourg Business Registers, body 44 a 54).
74 Zadruhé, jak uvedl generální advokát v bodech 50 až 52 svého stanoviska, je třeba konstatovat, že cíle, které lotyšský parlament uvedl před předkládajícím soudem k odůvodnění opatření stanoveného vnitrostátní právní úpravou dotčenou v původním řízení a jsou připomenuty v bodě 49 tohoto rozsudku, lze kvalifikovat jako cíle obecného zájmu, které uznává Unie. Je však třeba zkoumat, zda taková vnitrostátní právní úprava, jako je právní úprava dotčená v původním řízení, splňuje nejen požadavky vhodnosti a nezbytnosti, ale také požadavek týkající se přiměřenosti tohoto opatření ve vztahu ke sledovaným cílům ve smyslu bodu 61 tohoto rozsudku.
75 Pokud jde o cíl obecného zájmu spočívající v zajištění transparentního podnikatelského prostředí za účelem ochrany zájmů třetích osob, je třeba uvést, že tento cíl podle všeho v podstatě odpovídá cíli sledovanému koordinací vnitrostátních ustanovení uskutečněnou v čl. 14 písm. d) směrnice 2017/1132 ve spojení s body 7 a 8 jejího odůvodnění.
76 Jak ovšem vyplývá z bodu 46 tohoto rozsudku, zveřejnění údajů týkajících se všech akcionářů akciové společnosti, a zejména jejích menšinových akcionářů, se s ohledem na tento cíl nejeví jako užitečné. Taková vnitrostátní právní úprava, jako je právní úprava dotčená v původním řízení, se proto nejeví být vhodná ani nezbytná k dosažení uvedeného cíle, a nemůže tedy odůvodnit závažný zásah do práv zaručených články 7 a 8 Listiny, uvedený v bodě 73 tohoto rozsudku.
77 Pokud jde o cíl obecného zájmu spočívající v předcházení praní peněz a financování terorismu a šíření zbraní hromadného ničení, je třeba konstatovat, že přístup veřejnosti k dotyčným údajům je vhodný k tomu, aby přispěl k dosažení tohoto cíle, a to z důvodu, že veřejná povaha tohoto přístupu a zvýšená transparentnost, jež z něj vyplývá, přispívají k vytvoření prostředí méně náchylného ke zneužití k těmto účelům (v tomto smyslu viz rozsudek Luxembourg Business Registers, bod 67).
78 Takový přístup však nelze považovat za nezbytně nutný, pokud lze tohoto cíle rozumně dosáhnout stejně účinným způsobem jinými prostředky, které méně zasahují do práv zaručených články 7 a 8 Listiny [v tomto smyslu viz rozsudek ze dne 4. října 2024, Bezirkshauptmannschaft Landeck (Pokus o přístup k osobním údajům uloženým v mobilním telefonu), C‑548/21, EU:C:2024:830, bod 87].
79 Boj proti praní peněz a financování terorismu a šíření zbraní hromadného ničení přísluší přednostně veřejným orgánům a subjektům, jako jsou úvěrové či finanční instituce, kterým jsou v důsledku jejich aktivit ukládány konkrétní povinnosti v dané oblasti (rozsudek Luxembourg Business Registers, bod 83), jako jsou povinnosti vyplývající zejména z článků 11 a 13 směrnice 2015/849.
80 V této souvislosti je třeba poznamenat, že čl. 30 odst. 5 směrnice 2015/849, jehož znění vychází z čl. 74 bodu 1 směrnice 2024/1640, stanoví, že členské státy musí zajistit, aby informace o skutečných majitelích ve smyslu tohoto ustanovení byly vždy k dispozici zejména „jakékoli osobě nebo organizaci, které mohou prokázat oprávněný zájem“, a nikoli veřejnosti jako celku.
81 V této souvislosti je rovněž třeba upřesnit, že podle judikatury Soudního dvora právní úprava, která za účelem dosažení cíle uvedeného v bodě 77 tohoto rozsudku umožňuje přístup k osobním údajům osobám z řad veřejnosti, které mohou odůvodnit oprávněný zájem, v zásadě může omezit zásah do práv zaručených v článcích 7 a 8 Listiny na nezbytné minimum (v tomto smyslu viz rozsudek ze dne 21. května 2026, Across Fiduciaria a další, C‑684/24 a C‑685/24, EU:C:2026:410, bod 106).
82 Pokud jde přitom v projednávaném případě o menšinové akcionáře, kteří nejsou skutečnými majiteli společnosti, v níž mají podíl na základním kapitálu, nejeví se tedy a fortiori jako nezbytně nutné, aby takové osobní údaje, o jaké se jedná ve sporu v původním řízení, byly přístupné každé osobě, aniž by tato osoba musela prokázat oprávněný zájem.
83 Ačkoli předkládající soud uvádí, že vnitrostátní podnikový rejstřík, který je správcem, by nemusel být schopen ověřit, zda má každý žadatel o informace skutečně oprávněný zájem na přístupu k dotyčným osobním údajům, je třeba v takovém kontextu připomenout, že případné praktické obtíže spojené s ověřením existence oprávněného zájmu nemohou prokázat nezbytně nutnou povahu zásahu do základních práv zaručených Listinou (obdobně viz rozsudek ze dne 26. září 2000, Komise v. Rakousko, C‑205/98, EU:C:2000:493, bod 78 a citovaná judikatura, a rozsudek ze dne 27. listopadu 2008, Papillon, C‑418/07, EU:C:2008:659, bod 54 a citovaná judikatura).
84 Pokud jde o vyvážené poměření sledovaného cíle obecného zájmu a dotčených základních práv, je třeba dodat, že i když boj proti praní peněz a financování terorismu a šíření zbraní hromadného ničení by mohl obecně odůvodnit i závažný zásah do těchto práv (v tomto smyslu viz rozsudek Luxembourg Business Registers, body 58 a 59), nemůže tento cíl v projednávaném případě převážit nad uvedenými právy, a to s ohledem na povahu a závažnost zásahu konstatovaného v bodě 73 tohoto rozsudku.
85 V této souvislosti je mimoto třeba uvést, že taková vnitrostátní právní úprava, jako je právní úprava dotčená v původním řízení, není doplněna dostatečnými zárukami, které by umožnily účinně chránit subjekty údajů před rizikem zneužití ve smyslu judikatury uvedené v bodě 63 tohoto rozsudku. Jejich osobní údaje jsou totiž přístupné na internetu a mohou být předmětem hromadného stahování zejména jakýmkoli neidentifikovaným uživatelem, což zvyšuje taková rizika.
86 Taková vnitrostátní právní úprava, jako je právní úprava dotčená v původním řízení, se proto nejeví jako nezbytná ani přiměřená ve vztahu k dotčenému cíli ve smyslu bodu 61 tohoto rozsudku.
87 Konečně pokud jde o cíl obecného zájmu spočívající v poskytnutí informací nezbytných k uplatnění vnitrostátních, mezinárodních a unijních sankcí, taková vnitrostátní právní úprava, jako je právní úprava dotčená v původním řízení, je rovněž vhodná k tomu, aby přispěla k jeho dosažení. Je totiž třeba konstatovat, že zvýšená transparentnost, která vyplývá z této právní úpravy, může toto uplatnění usnadnit.
88 Nicméně jak v podstatě uvedl generální advokát v bodech 60 a 61 svého stanoviska, přístup veřejnosti k údajům dotčeným ve sporu v původním řízení se nejeví být k tomuto účelu nezbytně nutný, jelikož jsou podle všeho k dispozici prostředky, které méně zasahují do práv zaručených články 7 a 8 Listiny.
89 Jak uvedla Komise v písemném vyjádření, takový prostředek, který by méně zasahoval do práv, by mohl spočívat zejména v omezení povinnosti zveřejnění pouze na údaje týkající se osob uvedených na sankčních seznamech a v umožnění přístupu k údajům týkajícím se akcionářů, kteří nejsou na těchto seznamech uvedeni, pouze osobám, které v tomto ohledu prokáží oprávněný zájem.
90 Mimoto ze stejných důvodů, jako jsou důvody uvedené v bodech 84 a 85 tohoto rozsudku, nemůže sledovaný cíl obecného zájmu v projednávaném případě převážit nad dotčenými základními právy a taková vnitrostátní právní úprava, jako je právní úprava dotčená v původním řízení, neobsahuje dostatečné záruky, které by umožnily účinně chránit subjekty údajů před rizikem zneužití.
91 Taková právní úprava se tedy nejeví být nezbytná ani přiměřená ve vztahu k dotčenému cíli ve smyslu bodu 61 tohoto rozsudku.
92 S ohledem na výše uvedené je proto třeba na třetí a čtvrtou otázku odpovědět, že články 5 a 6 nařízení GDPR ve spojení s články 7 a 8 Listiny musí být vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která ukládá povinnost zpřístupnit veřejnosti osobní údaje všech akcionářů akciových společností, včetně menšinových akcionářů, týkající se totožnosti každého z těchto akcionářů, jeho kontaktních údajů, druhu, počtu a jmenovité hodnoty akcií, které drží, jakož i počtu hlasů spojených s těmito akciemi, a to za účelem zajištění transparentního podnikatelského prostředí s cílem chránit zájmy třetích osob, za účelem předcházení praní peněz, financování terorismu a šíření zbraní hromadného ničení, jakož i za účelem poskytování informací nezbytných pro uplatňování vnitrostátních, mezinárodních a unijních sankcí, pokud přístup k těmto údajům nepodléhá žádné podmínce, jako je prokázání oprávněného zájmu.
K nákladům řízení
93 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:
1) Článek 14 písm. d) směrnice Evropského parlamentu a Rady (EU) 2017/1132 ze dne 14. června 2017 o některých aspektech práva obchodních společností ve znění směrnice Evropského parlamentu a Rady (EU) 2019/1151 ze dne 20. června 2019 musí být vykládán v tom smyslu, že nevyžaduje zveřejnění údajů týkajících se všech akcionářů společností uvedených v tomto ustanovení, včetně menšinových akcionářů takových společností.
2) Články 5 a 6 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES ve spojení s články 7 a 8 Listiny základních práv Evropské unie musí být vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která ukládá povinnost zpřístupnit veřejnosti osobní údaje všech akcionářů akciových společností, včetně menšinových akcionářů, týkající se totožnosti každého z těchto akcionářů, jeho kontaktních údajů, druhu, počtu a jmenovité hodnoty akcií, které drží, jakož i počtu hlasů spojených s těmito akciemi, a to za účelem zajištění transparentního podnikatelského prostředí s cílem chránit zájmy třetích osob, za účelem předcházení praní peněz, financování terorismu a šíření zbraní hromadného ničení, jakož i za účelem poskytování informací nezbytných pro uplatňování vnitrostátních, mezinárodních a unijních sankcí, pokud přístup k těmto údajům nepodléhá žádné podmínce, jako je prokázání oprávněného zájmu.
Podpisy
* Jednací jazyk: lotyština.
i Název projednávané věci je fiktivní. Neodpovídá skutečnému jménu žádné ze zúčastněných stran.