DOMSTOLENS DOM (Første Afdeling)
3. september 2026 (*)
» Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 5 – principper for behandling af personoplysninger – artikel 6 – lovlig behandling – selskabsret – direktiv (EU) 2017/1132 – artikel 14 – dokumenter og oplysninger, der skal offentliggøres – begrebet »personer, der deltager i ledelsen af, i tilsynet med eller i kontrollen med et selskab« – tilgængeliggørelse for offentligheden af personoplysninger om aktionærer – mindretalsaktionærer «
I sag C-798/24 [Jautiva] (i),
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Satversmes tiesa (forfatningsdomstol, Letland) ved afgørelse af 14. november 2024, indgået til Domstolen den 19. november 2024, i sagen
A m.fl.,
procesdeltager:
Latvijas Republikas Saeima,
har
DOMSTOLEN (Første Afdeling),
sammensat af afdelingsformanden, F. Biltgen, Domstolens vicepræsident, T. von Danwitz (refererende dommer), og dommerne A. Kumin, S. Gervasoni og M. Bošnjak,
generaladvokat: R. Norkus
justitssekretær: A. Calot Escobar,
på grundlag af den skriftlige forhandling,
efter at der er afgivet indlæg af:
– A m.fl. ved advokāts L. Liepa,
– den lettiske regering ved J. Davidoviča og K. Pommere, som befuldmægtigede,
– den polske regering ved B. Majczyna, som befuldmægtiget,
– den finske regering ved A. Laine, som befuldmægtiget,
– den svenske regering ved C. Meyer-Seitz, som befuldmægtiget,
– den norske regering ved K.E.M. Skjelland og B. Stankovic, som befuldmægtigede,
– Europa-Parlamentet ved G. Corstens, M. Migliorati og L. Ruppeka-Rupeika, som befuldmægtigede,
– Rådet for Den Europæiske Union ved L. Bergere, N. Coghlan og A.-L. Meyer, som befuldmægtigede,
– Europa-Kommissionen ved A. Bouchagiar, H. Kranenborg, I. Naglis og M. Noll-Ehlers, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 18. december 2025,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører dels fortolkningen af artikel 14, litra d), nr. ii), i Europa-Parlamentets og Rådets direktiv (EU) 2017/1132 af 14. juni 2017 om visse aspekter af selskabsretten (EUT 2017, L 169, s. 46), som ændret ved Europa-Parlamentets og Rådets direktiv (EU) 2019/1151 af 20. juni 2019 (EUT 2019, L 186, s. 80) (herefter »direktiv 2017/1132«), og gyldigheden af denne bestemmelse i lyset af artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«), dels fortolkningen af artikel 5, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
2 Anmodningen er blevet indgivet i forbindelse med et forfatningsretligt søgsmål anlagt af nogle fysiske personer, der anfægter foreneligheden med Latvijas Republikas Satversme (Republikken Letlands forfatning) af en national lovgivning, som kræver, at personoplysninger om aktionærer gøres tilgængelige for offentligheden.
Retsforskrifter
EU-retten
Chartret
3 Chartrets artikel 7 med overskriften »Respekt for privatliv og familieliv« bestemmer:
»Enhver har ret til respekt for sit privatliv og familieliv, sit hjem og sin kommunikation.«
4 Chartrets artikel 8 med overskriften »Beskyttelse af personoplysninger« fastsætter:
»1. Enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.
2. Disse oplysninger skal behandles rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag. Enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende, og til berigtigelse heraf.
3. Overholdelsen af disse regler er underlagt en uafhængig myndigheds kontrol.«
5 Chartrets artikel 52 med overskriften »Rækkevidde og fortolkning af rettigheder og principper« bestemmer i stk. 1:
»Enhver begrænsning i udøvelsen af de rettigheder og friheder, der anerkendes ved dette charter, skal være fastlagt i lovgivningen og skal respektere disse rettigheders og friheders væsentligste indhold. Under iagttagelse af proportionalitetsprincippet kan der kun indføres begrænsninger, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af [Den Europæiske Union], eller et behov for beskyttelse af andres rettigheder og friheder.«
Databeskyttelsesforordningen
6 I første og tiende betragtning til databeskyttelsesforordningen hedder det:
»(1) Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger er en grundlæggende rettighed. I artikel 8, stk. 1, i [chartret] og i artikel 16, stk. 1, [TEUF] fastsættes det, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende.
[...]
(10) For at sikre et ensartet og højt niveau for beskyttelse af fysiske personer og for at fjerne hindringerne for udveksling af personoplysninger inden for Unionen bør beskyttelsesniveauet for fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af sådanne oplysninger være ensartet i alle medlemsstater. Det bør sikres, at reglerne for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger anvendes konsekvent og ensartet overalt i Unionen. [...]«
7 I henhold til databeskyttelsesforordningens artikel 1, stk. 2, beskytter forordningen fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger.
8 I henhold til databeskyttelsesforordningens artikel 2, stk. 1, finder forordningen anvendelse på behandling af personoplysninger, der helt eller delvis foretages ved hjælp af automatisk databehandling, og på anden ikkeautomatisk behandling af personoplysninger, der er eller vil blive indeholdt i et register.
9 Databeskyttelsesforordningens artikel 4 med overskriften »Definitioner« bestemmer:
»I denne forordning forstås ved:
1) »personoplysninger«: enhver form for information om en identificeret eller identificerbar fysisk person [...]; ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet
2) »behandling«: enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse
[...]«
10 I databeskyttelsesforordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« hedder det i stk. 1:
»Personoplysninger skal:
a) behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)
b) indsamles til udtrykkeligt angivne og legitime formål og må ikke viderebehandles på en måde, der er uforenelig med disse formål; viderebehandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål i overensstemmelse med artikel 89, stk. 1, skal ikke anses for at være uforenelig med de oprindelige formål (»formålsbegrænsning«)
c) være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)
[...]«
11 Databeskyttelsesforordningens artikel 6 med overskriften »Lovlig behandling« fastsætter i stk. 1 og 3:
»1. Behandling er kun lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
a) Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
[...]
c) Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
[...]
3. Grundlaget for behandling i henhold til stk. 1, litra c) og e), skal fremgå af:
a) EU-retten, eller
b) medlemsstaternes nationale ret, som den dataansvarlige er underlagt.
Formålet med behandlingen skal være fastlagt i dette retsgrundlag eller for så vidt angår den behandling, der er omhandlet i stk. 1, litra e), være nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Dette retsgrundlag kan indeholde specifikke bestemmelser med henblik på at tilpasse anvendelsen af bestemmelserne i denne forordning, bl.a. de generelle betingelser for lovlighed af den dataansvarliges behandling, hvilke typer oplysninger der skal behandles, berørte registrerede, hvilke enheder personoplysninger må videregives til, og formålet hermed, formålsbegrænsninger, opbevaringsperioder og behandlingsaktiviteter samt behandlingsprocedurer, herunder foranstaltninger til sikring af lovlig og rimelig behandling såsom i andre specifikke databehandlingssituationer som omhandlet i kapitel IX. EU-retten eller medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges.«
Direktiv 2017/1132
12 I syvende og ottende betragtning til direktiv 2017/1132 hedder det:
»(7) Samordningen af medlemsstaternes bestemmelser om offentlighed, om gyldigheden af forpligtelserne for aktieselskaber og selskaber med begrænset ansvar og om selskabernes ugyldighed er af særlig betydning, navnlig for at beskytte tredjemand.
(8) Offentlighed bør gøre det muligt for tredjemand at gøre sig bekendt med de væsentlige dokumenter vedrørende et selskab samt at få visse oplysninger om dette, navnlig om identitet for de personer, som har ret til at forpligte selskabet.«
13 Direktivets artikel 1 med overskriften »Genstand« lyder således:
»Dette direktiv fastsætter foranstaltninger vedrørende følgende:
– samordning af de garantier, der kræves i medlemsstaterne af de i artikel 54, stk. 2, i traktaten om Den Europæiske Unions funktionsmåde nævnte selskaber, til beskyttelse af såvel selskabsdeltagernes som tredjemands interesser for så vidt angår stiftelsen af aktieselskabet samt bevarelse af og ændringer i dets kapital med det formål at gøre disse garantier lige byrdefulde
– samordning af de garantier, som kræves i medlemsstaterne af de i traktatens artikel 54, stk. 2, nævnte selskaber for så vidt angår offentlighed, gyldigheden af aktieselskaber og selskaber med begrænset ansvars forpligtelser og selskabernes ugyldighed, med det formål at gøre disse garantier lige byrdefulde
[...]«
14 Direktivets artikel 4 med overskriften »De obligatoriske oplysninger, som skal fremgå af vedtægterne eller stiftelsesoverenskomsten eller særskilte dokumenter« bestemmer:
»I det mindste følgende oplysninger skal fremgå enten af vedtægterne, af stiftelsesoverenskomsten eller af et særskilt dokument, som offentliggøres efter den fremgangsmåde, der er fastsat i hver medlemsstats lovgivning i overensstemmelse med artikel 16:
[...]
i) identiteten af de fysiske eller juridiske personer eller de selskaber, af hvem eller i hvis navn vedtægterne eller stiftelsesoverenskomsten er underskrevet eller, såfremt stiftelsen af selskabet ikke sker samtidig, identiteten af de fysiske eller juridiske personer eller de selskaber, af hvem eller i hvis navn udkastet til vedtægterne eller stiftelsesoverenskomsten er underskrevet
[...]«
15 Direktivets artikel 13 med overskriften »Anvendelsesområde« fastsætter:
»De i denne afdeling og i afdeling 1A foreskrevne samordningsforanstaltninger finder anvendelse på medlemsstaternes administrativt eller ved lov fastsatte bestemmelser vedrørende selskabsformer, der er opført på listen i bilag II, og, hvis det er angivet, vedrørende selskabsformer, der er opført på listen i bilag I og IIA.«
16 Bilag II til direktiv 2017/1132, som opregner de selskabsformer, der sigtes til i bl.a. direktivets artikel 13, henviser for Letlands vedkommende til »akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība«, dvs. aktieselskaber, anpartsselskaber og kommanditaktieselskaber.
17 Direktivets artikel 14 med overskriften »Dokumenter og oplysninger, som selskaber skal offentliggøre« bestemmer:
»Medlemsstaterne træffer de nødvendige foranstaltninger for, at den obligatoriske offentlighed vedrørende selskaber i det mindste omfatter følgende dokumenter og oplysninger:
a) stiftelsesoverenskomsten samt vedtægterne, såfremt disse foreligger som et særskilt dokument
[...]
d) udnævnelse, udtræden samt identitet for de personer, der i deres egenskab af lovbestemt selskabsorgan eller som medlemmer af et sådant organ
i) er beføjede til at forpligte selskabet over for tredjemand og til at repræsentere det ved rettergang; det skal gennem offentliggørelsesforanstaltningerne præciseres, om de personer, som er beføjede til at forpligte selskabet, skal gøre dette hver for sig eller i forening med andre
ii) deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet
[...]«
18 Direktivets artikel 16, stk. 3, fastsætter:
»Medlemsstaterne sikrer, at offentliggørelse af de i artikel 14 omhandlede dokumenter og oplysninger foretages ved at gøre dem offentligt tilgængelige i [det centrale register, handelsregistret eller selskabsregistret]. [...]«
19 Direktivets artikel 64, stk. 3, og artikel 95, stk. 2, vedrører selskabers bestyrelses eller direktions forpligtelser over for generalforsamlingen med hensyn til henholdsvis selskabers finansielle bistand til tredjemands erhvervelse af dets aktier og fusion ved overtagelse.
Direktiv 2015/849
20 Artikel 11 og 13 i Europa-Parlamentets og Rådets direktiv af 20. maj 2015 om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvask af penge eller finansiering af terrorisme, om ændring af Europa-Parlamentets og Rådets forordning (EU) nr. 648/2012 og om ophævelse af Europa-Parlamentets og Rådets direktiv 2005/60/EF samt Kommissionens direktiv 2006/70/EF (EUT 2015, L 141, s. 73), som ændret ved Europa-Parlamentets og Rådets direktiv (EU) 2018/1640 af 31. maj 2024 (EUT L, 2024/1640) (herefter »direktiv 2015/849«), præciserer de kundekendskabsprocedurer, som forpligtede enheder skal gennemføre.
21 Artikel 30, stk. 5, i direktiv 2015/849 bestemmer:
»Medlemsstaterne sikrer, at oplysningerne om reelt ejerskab i alle tilfælde er tilgængelige for:
[...]
c) enhver person eller organisation, der kan godtgøre at have en legitim interesse.
De personer eller organisationer, der er omhandlet i første afsnits litra c), har som minimum adgang til den reelle ejers navn, fødselsmåned og ‑år, bopælsland og statsborgerskab samt art og omfang af den reelle ejers rettigheder.«
Lettisk ret
Republikken Letlands forfatning
22 Artikel 96 i Republikken Letlands forfatning fastsætter bl.a. retten til respekt for privatlivet. Ifølge retspraksis fra Satversmes tiesa (forfatningsdomstol, Letland) omfatter denne artikels anvendelsesområde også beskyttelse af personoplysninger.
Handelsloven
23 Artikel 8 i Komerclikums (handelsloven) med overskriften »Indholdet af indførelser i handelsregistret« fastsætter i stk. 3, nr. 3 og 4:
»(3) Oplysninger om et kapitalselskab, der skal registreres i handelsregistret, er anført nedenfor:
[...]
3) fornavn, efternavn, personnummer (hvis der ikke findes et personnummer, fødselsdato, identifikationsdokumentets nummer og udstedelsesdato, det land og den myndighed, der har udstedt dette dokument) og den stilling, som varetages af kapitalselskabets bestyrelsesmedlemmer og medlemmerne af tilsynsrådet (hvis kapitalselskabet har et sådant råd)
4) bestyrelsesmedlemmernes beføjelse til at forpligte selskabet individuelt eller i fællesskab
[...]«
24 Lovens artikel 12 med overskriften »Offentliggørelse i handelsregistret« har følgende ordlyd:
»(1) Indførelser i handelsregistret har virkning over for tredjemand, så snart de er offentliggjort. [...]
[...]«
25 Lovens artikel 235 med overskriften »Oplysninger, der skal indføres i aktionærregistret« bestemmer:
»(1) Hver registrering i aktionærregistret skal omfatte selskabets navn, registreringsnummer, officielle adresse og, hvis det er relevant, oplysninger om, hvorvidt selskabet er under likvidation eller insolvensbehandling, samt titlen på dokumentet »Indførelse i aktionærregistret« og skal indeholde følgende oplysninger:
1) referencenummer og indførelsesdato
2) registreringens referencenummer under brug af fortløbende nummerering fra den første indførelse i aktionærregistret
3) de referencenumre, der er knyttet til aktierne
4) oplysninger om aktionærerne
a) for fysiske personer fornavn, efternavn, personnummer (i fraværet af et personnummer da fødselsdato, nummeret og datoen for udstedelsen af identitetsdokumentet, det land og den myndighed, som har udstedt dette dokument) og den adresse, hvor personen kan kontaktes
b) for juridiske personer og partnerskaber navn, registreringsnummer og forretningsadresse
5) aktionærens e-mailadresse, hvis aktionæren har anmodet om, at den anvendes af selskabet til at kommunikere med vedkommende
6) klasse, antal og pålydende værdi af hver aktionærs aktier samt det hertil knyttede antal stemmer
7) status vedrørende betalingen af aktier
8) den fælles repræsentant for aktionærerne, der er udpeget efter proceduren i artikel 157 i denne lov, med angivelse af de oplysninger, der er omhandlet i nærværende artikels stk. 1, nr. 4 og 5
9) oplysninger om de aktier, som selskabet selv har erhvervet, med angivelse af årsagerne til deres erhvervelse.
[...]«
26 Lovens artikel 268 med overskriften »Generalforsamlingens kompetence« lyder således:
»(1) Kun generalforsamlingen har ret til at træffe beslutninger om:
1) selskabets årsregnskab
2) anvendelsen af overskuddet fra det foregående år
3) valg og afskedigelse af medlemmer af tilsynsrådet, revisorer og likvidatorer
4) anlæggelse af søgsmål mod medlemmer af direktionen og tilsynsrådet samt mod revisoren eller afkald på at anlægge et sådant søgsmål og udpegelse af en repræsentant for selskabet til at forfølge søgsmål mod medlemmerne af tilsynsrådet
[...]
6) ændring af selskabets vedtægter
7) forhøjelse eller nedsættelse af selskabskapitalen
8) udstedelse og konvertering af selskabets værdipapirer samt den værdipapircentral, hvori selskabets papirløse aktier registreres
9) fastsættelse af aflønningen af medlemmerne af tilsynsrådet og revisoren
10) indstilling, videreførelse, suspension eller fornyelse af selskabets aktiviteter eller omstrukturering af selskabet
11) generelle principper, typer og kriterier for fastsættelse af aflønningen af medlemmerne af direktionen og tilsynsrådet
12) tildeling af aktier i selskabet til medarbejderne og medlemmerne af direktionen og tilsynsrådet.
(2) Generalforsamlingen træffer kun beslutninger om andre spørgsmål, hvis det er fastsat ved lov.«
Loven om selskabsregistret
27 Artikel 4.10 i likums »Par Latvijas Republikas Uzņēmumu reģistru« (lov om Republikken Letlands selskabsregister, herefter »loven om selskabsregistret«) med overskriften »Ret til adgang til oplysninger i selskabsregistret« har følgende ordlyd i stk. 5:
»Selskabsregistret stiller gratis oplysninger og dokumenter i den offentlige del af registeraktmappen til rådighed (artikel 4.15, stk. 1) ved online dataoverførsel (herunder massedownload).«
28 Lovens artikel 4.11 med overskriften »Oplysninger, der skal offentliggøres på selskabsregistrets websted« fastsætter i stk. 1, nr. 2:
»Selskabsregistret sikrer, at en uidentificeret bruger har offentlig adgang til følgende aktuelle (ajourførte) oplysninger på dets websted om juridiske personer og retlige forhold, der er registreret i de registre, som vedligeholdes af selskabsregistret:
[...]
2) andre oplysninger, der er registreret i registret.«
29 Lovens artikel 4.15 med overskriften »Offentlige og ikke-offentlige dele af registeraktmappen« bestemmer:
»Den offentlige del af registeraktmappen omfatter:
[...]
2) andre oplysninger, der er indført i registret:
[...]
b) oplysninger fra indførelsen i aktionærregistret (selskabsdeltagere) i et kapitalselskab vedrørende aktionærerne (selskabsdeltagerne) i dette selskab [...]
3) følgende dokumenter, der indgår i registeraktmappen:
a) i handelsregistret – [...] indførelsen i aktionærregistret (selskabsdeltagere), [...]
De dokumenter og oplysninger, som indgår i registeraktmappen, og som der ikke er henvist til i denne artikels første stykke, medtages i den ikke-offentlige del af registeraktmappen.
Hvis en indførelse i registret eller registrerede oplysninger har fået status af at være oplysninger, som er underlagt begrænsninger, eller offentlighedens adgang til dem er blevet begrænset ved lov, medtages de i den ikke-offentlige del af registeraktmappen.
Oplysningerne og dokumenterne i den ikke-offentlige del af registeraktmappen (denne artikels stk. 2 og 3) er oplysninger, som er underlagt begrænsninger, og retshåndhævende myndigheder kan få adgang til disse med henblik på udførelsen af de opgaver, der er fastsat i love og administrative bestemmelser, samt uden begrænsninger [Finanšu izlūkošanas dienests (den finansielle efterretningstjeneste] og tilsyns- og kontrolmyndigheder inden for forebyggelse af hvidvask og finansiering af terrorisme og spredning, mens andre myndigheder skal indgive en begrundet anmodning. Enkeltpersoner skal anmode om adgang til oplysningerne og dokumenterne i den ikke-offentlige del af registeraktmappen i overensstemmelse med den procedure for anmodning om adgang til oplysninger, som er underlagt begrænsninger, der er fastsat i [Informācijas atklātības likums (lov om informationsfrihed)].«
Loven om forebyggelse af hvidvask af penge
30 I artikel 5.1 i Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (lov om forebyggelse af hvidvask af penge og finansiering af terrorisme og spredning, herefter »loven om forebyggelse af hvidvask af penge«) med overskriften »Adgang til oplysninger, der er nødvendige for at overholde lovens krav, og som hidrører fra Republikken Letlands informationssystemer« hedder det i stk. 1:
»Forpligtede enheder og tilsyns- og kontrolmyndigheder har med henblik på at opfylde deres forpligtelser i henhold til denne lov ret til online at anmode om og modtage datablade og oplysninger om medlemmerne og de reelle ejere i de registre, der føres af Republikken Letlands selskabsregister, til at opbevare og på anden måde behandle disse oplysninger med henblik på at vurdere dataene om kunden og dennes forretningspartnere og behovet for at indberette en mistænkelig transaktion til den finansielle efterretningstjeneste eller undlade at foretage en sådan transaktion samt til at afgøre, om kunden er under insolvensbehandling af juridiske personer eller har været under retslig rekonstruktion.«
Loven om internationale og nationale sanktioner
31 Artikel 5 i Starptautisko un Latvijas Republikas nacionālo sankciju likums (Republikken Letlands lov om internationale og nationale sanktioner, herefter »loven om internationale og nationale sanktioner«) med overskriften »Finansielle restriktioner« fastsætter:
»Når de nationale sanktioner pålægger den berørte person finansielle restriktioner, skal alle personer inden for rammerne af deres kompetence straks og uden forudgående underretning:
1) indefryse alle pengemidler og økonomiske ressourcer, der direkte eller indirekte helt eller delvis tilhører den berørte person, og som ejes, besiddes eller kontrolleres af denne, herunder af tredjeparter, der handler på vegne af eller efter instruks fra denne
2) undlade direkte eller indirekte at stille pengemidler og økonomiske ressourcer til rådighed for den berørte person, herunder tredjeparter, der handler på vegne af, efter instruks fra eller til fordel for denne
3) undlade at levere finansielle tjenesteydelser som omhandlet i de nationale sanktioner til den berørte person, herunder til tredjeparter, der handler på vegne af, efter instruks fra eller til fordel for denne.«
Tvisten i hovedsagen og de præjudicielle spørgsmål
32 17 fysiske personer har anlagt sag ved Satversmes tiesa (forfatningsdomstol), som er den forelæggende ret, med henblik på at anfægte foreneligheden med artikel 96 i Republikken Letlands forfatning, som sikrer retten til respekt for privatliv og beskyttelse af personoplysninger, af en national lovgivning, nemlig artikel 4.15, stk. 1, nr. 2, litra b), i loven om selskabsregistret, sammenholdt med denne lovs artikel 4.10, stk. 5, og handelslovens artikel 235, stk. 1.
33 I henhold til den pågældende lovgivning bliver visse oplysninger om aktieselskabers aktionærer gjort tilgængelige for offentligheden. Hvis en sådan aktionær er en fysisk person, omfatter disse oplysninger fornavn, efternavn, personnummer eller, i fraværet af et sådant nummer, fødselsdato, nummeret og datoen for udstedelsen af et identitetsdokument, det land og den myndighed, som har udstedt det, og den adresse, hvor aktionæren kan kontaktes. Desuden, og uafhængigt af, om aktionæren er en fysisk person, omfatter de nævnte oplysninger også aktionærens e-mailadresse, når aktionæren har anmodet om, at den anvendes af det selskab, som vedkommende har aktier i, til at kommunikere med vedkommende, klasse, antal og pålydende værdi af vedkommendes aktier samt det hertil knyttede antal stemmer. De samme oplysninger er tilgængelige online og kan massedownloades, bl.a. af enhver uidentificeret bruger, som fastsat i artikel 4.11, stk. 1, nr. 2, i loven om selskabsregistret.
34 Sagsøgerne i hovedsagen er mindretalsaktionærer i et aktieselskab. De har gjort gældende, at den lettiske lovgiver hverken har undersøgt eller begrundet nødvendigheden af at videregive de pågældende oplysninger til offentligheden, idet det præciseres, at det efter offentliggørelsen ikke er muligt at begrænse deres videre anvendelse, og at der er en høj risiko for, at de vil blive anvendt til uhæderlige formål. Under alle omstændigheder er udbredelsen af oplysningerne, henset til dom af 22. november 2022, Luxembourg Business Registers (C-37/20 og C-601/20, EU:C:2022:912, herefter »dommen i sagen Luxembourg Business Registers«), uberettiget og uforholdsmæssig, i betragtning af at sagsøgerne i hovedsagen hverken er de reelle ejere af det pågældende selskab eller medlemmer af dets ledelsesorganer, og at de hverken har ret til eller mulighed for at udøve kontrol med selskabet.
35 I denne henseende ønsker den forelæggende ret på den ene side oplyst, om offentliggørelse af de i sagen omhandlede personoplysninger er påkrævet i henhold til direktiv 2017/1132 og navnlig dets artikel 14, litra d), nr. ii), som omhandler dokumenter eller oplysninger vedrørende de personer, der deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet. Hvis dette måtte være tilfældet, finder den forelæggende ret, at det er nødvendigt at efterprøve gyldigheden af en sådan offentliggørelsesforpligtelse under hensyn til chartrets artikel 7 og 8.
36 På den anden side ønsker den forelæggende ret oplyst, om en medlemsstat uden at tilsidesætte bestemmelserne i databeskyttelsesforordningen, navnlig dens artikel 5, stk. 1, og i chartret kan fastsætte en sådan forpligtelse til offentliggørelse i sin nationale ret med henblik på at nå mål som dem, der er angivet af Latvijas Republikas Saeima (det lettiske parlament), nemlig for det første at sikre et gennemsigtigt erhvervsklima og beskytte tredjemands interesser, for det andet at forebygge hvidvask af penge og finansiering af terrorisme og spredning af masseødelæggelsesvåben og for det tredje at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner. I denne sammenhæng har den forelæggende ret anført, at adgangen til de omhandlede oplysninger ikke er underlagt nogen betingelser, f.eks. om påvisning af en legitim interesse.
37 På denne baggrund har Satversmes tiesa (forfatningsdomstol) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Skal begrebet personer, der »deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet« som omhandlet i artikel 14, litra d), i direktiv 2017/1132, fortolkes således, at det henviser til enhver aktionær i et aktieselskab, således at en medlemsstat er forpligtet til at offentliggøre oplysningerne om alle aktionærer og gøre dem offentligt tilgængelige i registret i overensstemmelse med artikel 16, stk. 3, i direktiv 2017/1132?
2) Såfremt det første spørgsmål besvares bekræftende, er artikel 14, litra d), nr. ii), i direktiv 2017/1132, for så vidt som denne bestemmelse fastsætter, at oplysninger om alle aktionærer i et aktieselskab skal offentliggøres, da gyldig i lyset af retten til respekt for privatliv og familieliv som sikret ved chartrets artikel 7 og retten til beskyttelse og personoplysninger som sikret ved chartrets artikel 8?
3) Skal [databeskyttelsesforordningens] artikel 5, stk. 1, litra b), [...] fortolkes således, at behandlingen af personoplysninger om aktionærerne i et aktieselskab kan have til formål for det første at sikre et gennemsigtigt erhvervsklima og beskytte tredjemands interesser, for det andet at forebygge hvidvask og finansiering af terrorisme og spredning og for det tredje at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner?
4) Giver de principper, der er fastsat i [databeskyttelsesforordningens] artikel 5, stk. 1, [...] mulighed for med henblik på ovennævnte formål at vedtage en national lovgivning, hvorefter enhver kan få adgang til personoplysninger om enhver aktionær i et aktieselskab uden at være forpligtet til at godtgøre en legitim interesse i at få adgang til disse oplysninger?«
Om de præjudicielle spørgsmål
Det første spørgsmål
38 Med det første spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 14, litra d), i direktiv 2017/1132 skal fortolkes således, at bestemmelsen kræver offentliggørelse af oplysninger om alle aktionærerne i de selskaber, der er omfattet af bestemmelsen, herunder mindretalsaktionærerne i sådanne selskaber.
39 I henhold til den nævnte bestemmelse, som finder anvendelse på de selskabsformer, der er omhandlet i artikel 13 i direktiv 2017/1132, dvs. dem, der bl.a. er opregnet i bilag II til direktivet, skal medlemsstaterne træffe de nødvendige foranstaltninger for, at den obligatoriske offentlighed vedrørende selskaber i det mindste omfatter udnævnelse, udtræden samt identitet for de personer, der i deres egenskab af lovbestemt selskabsorgan eller som medlemmer af et sådant organ er beføjede til at forpligte selskabet over for tredjemand og til at repræsentere det ved rettergang, eller som deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet.
40 I denne henseende bemærkes, at det fremgår af fast retspraksis, at en EU-retlig bestemmelse, som efter sin ordlyd ikke indeholder nogen udtrykkelig henvisning til medlemsstaternes ret med henblik på at fastlægge dens betydning og rækkevidde, normalt skal undergives en selvstændig og ensartet fortolkning i hele Unionen, som skal søges under hensyntagen til ikke alene denne bestemmelses ordlyd, men også til den sammenhæng, hvori den indgår, og de mål, der forfølges med den ordning, som den udgør en del af (jf. i denne retning dom af 18.1.1984, Ekro, 327/82, EU:C:1984:11, præmis 11, og af 18.12.2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge, C-417/23, EU:C:2025:1017, præmis 76).
41 Hvad angår ordlyden af artikel 14, litra d), i direktiv 2017/1132 bemærkes, at bestemmelsen ikke udtrykkeligt sigter til aktionærerne eller generalforsamlingen. Desuden tales der i bestemmelsen om »udnævnelse«, »udtræden« og »identitet« for de personer, der i deres egenskab af lovbestemt selskabsorgan eller som medlemmer af et sådant organ er beføjede til at forpligte selskabet over for tredjemand og til at repræsentere det ved rettergang, og/eller som deltager i ledelsen af, i tilsynet med eller i kontrollen med selskabet. Som den lettiske og den polske regering, Europa-Parlamentet, Rådet for Den Europæiske Union og Europa-Kommissionen har anført i deres skriftlige indlæg, bliver et selskabs aktionærer imidlertid hverken udnævnt eller afskediget. Deres status følger nemlig alene af deres andel i et selskabs kapital, dvs. deres ejendomsret til aktier udstedt af selskabet, og den adskiller sig i denne henseende fra den, som haves af de personer, der er udpeget til at sidde i selskabets administrations- og ledelsesorganer og til at repræsentere selskabet i forhold til tredjemand.
42 Hvad angår den sammenhæng, hvori bestemmelsen indgår, skal det fastslås, at flere bestemmelser i direktiv 2017/1132, såsom direktivets artikel 64, stk. 3, og artikel 95, stk. 2, afspejler den terminologiske sondring, som EU-lovgiver har foretaget mellem administrations- og ledelsesorganerne på den ene side og generalforsamlingen på den anden side. Selv om generalforsamlingen har visse beslutningsbeføjelser, er disse således ikke af samme art som de beføjelser, der udøves af selskabets administrations- og ledelsesorganer, hvorfor hverken generalforsamlingens handlinger eller dens medlemmers handlinger gennem generalforsamlingen kan kvalificeres som »deltagelse« som omhandlet i direktivets artikel 14, litra d), nr. ii).
43 Selv om artikel 14, litra a), i direktiv 2017/1132, som skal sammenholdes med direktivets artikel 4, litra i), kræver offentliggørelse af et aktieselskabs stiftelsesoverenskomst og vedtægter, idet disse dokumenter skal angive identiteten af de personer, der har underskrevet dem, herunder eventuelt selskabets oprindelige aktionærer, er der desuden ingen bestemmelser i direktivet, der udtrykkeligt kræver offentliggørelse i tilfælde af en senere ændring af sammensætningen af et sådant selskabs aktionærkreds.
44 Hvad angår de mål, der forfølges med direktiv 2017/1132, fremgår det af syvende og ottende betragtning til direktivet og dets artikel 1, at den offentlighed, som direktivet foreskriver, tilsigter at beskytte bl.a. tredjemands interesser i forhold til aktieselskaber og selskaber med begrænset ansvar, eftersom disse kun giver tredjemand selskabsformuen at holde sig til som sikkerhed for fyldestgørelse. I denne henseende skal denne offentlighed gøre det muligt for tredjemand at gøre sig bekendt med de væsentlige dokumenter vedrørende det pågældende selskab samt at få visse oplysninger om dette, navnlig om identiteten af de personer, som har ret til at forpligte selskabet (jf. i denne retning dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 77).
45 Formålet med direktivet er desuden at skabe retssikkerhed i forholdet mellem selskaber og tredjemand ved en forøgelse af samhandelen mellem medlemsstaterne som følge af det indre markeds oprettelse. På denne baggrund er det vigtigt, at enhver, der ønsker at indgå og opretholde forretningsforbindelser med selskaber, der har sæde i andre medlemsstater, uhindret kan skaffe sig de væsentligste oplysninger om handelsselskabernes sammensætning og om de beføjelser, der tilkommer de på selskabernes vegne optrædende personer, hvilket kræver, at alle relevante oplysninger udtrykkeligt fremgår af det i direktivets artikel 16, stk. 3, omhandlede register (jf. i denne retning dom af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 78 og den deri nævnte retspraksis).
46 I det foreliggende tilfælde synes offentliggørelsen af oplysninger vedrørende alle aktionærerne i aktieselskaber og navnlig mindretalsaktionærerne heri imidlertid ikke at være nyttig i forhold til målet om at beskytte tredjemands interesser og retssikkerheden, og den kan derfor ikke begrundes med dette mål. Da mindretalsaktionærerne principielt hverken har beføjelse til at repræsentere et aktieselskab eller til at forpligte det over for tredjemand eller til at udøve ledelses- og tilsynsfunktioner, i modsætning til medlemmerne af et sådant selskabs administrations- og ledelsesorganer, synes oplysningerne om alle disse aktionærer nemlig at være irrelevante for tredjemand.
47 Følgelig skal det første spørgsmål besvares med, at artikel 14, litra d), i direktiv 2017/1132 skal fortolkes således, at bestemmelsen ikke kræver offentliggørelse af oplysninger om alle aktionærerne i de selskaber, der er omfattet af bestemmelsen, herunder mindretalsaktionærerne i sådanne selskaber.
Det andet spørgsmål
48 Henset til besvarelsen af det første spørgsmål er det ufornødent at besvare det andet spørgsmål.
Det tredje og fjerde spørgsmål
49 Med disse spørgsmål, som skal behandles samlet, ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 5 og 6, sammenholdt med chartrets artikel 7 og 8, skal fortolkes således, at de er til hinder for en national lovgivning, som kræver, at personoplysninger om alle aktionærerne, herunder mindretalsaktionærerne, i aktieselskaber, som vedrører identiteten af hver af disse aktionærer, deres kontaktoplysninger, klasse, antal og pålydende værdi af deres aktier samt det hertil knyttede antal stemmer, gøres tilgængelige for offentligheden, med henblik på at sikre et gennemsigtigt erhvervsklima for at beskytte tredjemands interesser, at forebygge hvidvask af penge og finansiering af terrorisme og spredning af masseødelæggelsesvåben og at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner, når adgangen til disse oplysninger ikke er underlagt nogen betingelser, f.eks. om påvisning af en legitim interesse.
50 Indledningsvis bemærkes, at i overensstemmelse med det formål, der forfølges med databeskyttelsesforordningen, hvilket, som det fremgår af forordningens artikel 1 samt første og tiende betragtning til forordningen, bl.a. består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til privatliv i forbindelse med behandlingen af personoplysninger, som er fastsat i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF, skal enhver behandling af personoplysninger bl.a. overholde de principper vedrørende behandling af sådanne oplysninger, der er fastsat i databeskyttelsesforordningens artikel 5, og opfylde de betingelser for lovlighed, der er anført i forordningens artikel 6 (jf. i denne retning dom af 9.1.2025, Mousse, C-394/23, EU:C:2025:2, præmis 21 og 22, og af 3.4.2025, Ministerstvo zdravotnictví (Oplysninger om repræsentanten for en juridisk person), C-710/23, EU:C:2025:231, præmis 29 og 33).
51 I denne henseende bemærkes, at databeskyttelsesforordningens artikel 5, stk. 1, litra a), bestemmer, at personoplysninger skal behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede.
52 Desuden hedder det i databeskyttelsesforordningens artikel 5, stk. 1, litra b), som fastsætter princippet om begrænsning af formålene med behandling af personoplysninger, at sådanne oplysninger dels skal indsamles til udtrykkeligt angivne og legitime formål, dels ikke må viderebehandles på en måde, der er uforenelig med disse formål. Ifølge Domstolens praksis indebærer dette princip bl.a. indledningsvis, at formålene med behandlingen skal identificeres senest ved indsamlingen af personoplysninger, dernæst skal formålene med denne behandling være udtrykkelige, og endelig skal formålene med den nævnte behandling bl.a. sikre lovligheden af behandlingen af disse oplysninger, som omhandlet i databeskyttelsesforordningens artikel 6, stk. 1 (jf. i denne retning dom af 20.10.2022, Digi, C-77/21, EU:C:2022:805, præmis 27 og den deri nævnte retspraksis).
53 Endelig skal disse oplysninger i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra c), der fastsætter princippet om dataminimering, være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles. Dette princip er et udtryk af proportionalitetsprincippet (jf. i denne retning dom af 9.1.2025, Mousse, C-394/23, EU:C:2025:2, præmis 24 og den deri nævnte retspraksis).
54 Hvad angår betingelserne for lovlig behandling fastsætter databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, en udtømmende og fuldstændig liste over de tilfælde, hvor behandling af personoplysninger kan anses for at være lovlig. For at kunne anses for at være lovlig skal behandlingen således være omfattet af et af de tilfælde, som er omhandlet i denne bestemmelse (jf. i denne retning dom af 9.1.2025, Mousse, C-394/23, EU:C:2025:2, præmis 25 og den deri nævnte retspraksis).
55 I medfør af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra a), er behandling af personoplysninger lovlig, såfremt og i det omfang, den registrerede har givet samtykke til et eller flere specifikke formål. Når der ikke foreligger et sådant samtykke, eller når samtykket ikke er blevet givet frivilligt, specifikt, informeret og utvetydigt som omhandlet i databeskyttelsesforordningens artikel 4, nr. 11), kan en sådan behandling alligevel være begrundet, hvis den opfylder et af de krav om nødvendighed, der er omtalt i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b)-f). I denne henseende skal de begrundelser, der er fastsat i sidstnævnte bestemmelse, fortolkes indskrænkende, for så vidt som de giver mulighed for at gøre en behandling af personoplysninger, som foretages uden den registreredes samtykke, lovlig (dom af 9.1.2025, Mousse, C-394/23, EU:C:2025:2, præmis 26 og 27 og den deri nævnte retspraksis).
56 Det fremgår desuden af Domstolens praksis, at når det kan fastslås, at en behandling af personoplysninger er nødvendig i lyset af en af de begrundelser, der er fastsat i databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra b)-f), er det ikke nødvendigt at afgøre, om denne behandling ligeledes henhører under en anden af disse begrundelser (dom af 9.1.2025, Mousse, C-394/23, EU:C:2025:2, præmis 28 og den deri nævnte retspraksis).
57 I det foreliggende tilfælde er det ubestridt, at de i hovedsagen omhandlede oplysninger vedrører identificerede eller identificerbare fysiske personer, og at de derfor skal kvalificeres som personoplysninger som omhandlet i databeskyttelsesforordningens artikel 4, nr. 1). Det er ligeledes ubestridt, at de pågældende oplysninger bliver gjort til genstand for behandling som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2), for så vidt som de bliver gjort tilgængelige for offentligheden, og at denne behandling, der er af automatisk karakter, falder ind under databeskyttelsesforordningens materielle anvendelsesområde i medfør af forordningens artikel 2, stk. 1.
58 Som generaladvokaten i det væsentlige har anført i punkt 43 i forslaget til afgørelse, er den i hovedsagen omhandlede behandling af oplysninger desuden påkrævet i henhold til national lovgivning og skal derfor undersøges i lyset af databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra c), hvorefter en behandling er lovlig, hvis og i det omfang, den er »nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige«.
59 Databeskyttelsesforordningens artikel 6, stk. 3, præciserer bl.a., at behandlingen i dette tilfælde skal ske på grundlag af EU-retten eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og at formålene med behandlingen skal være fastlagt i dette retsgrundlag. Dette skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, der forfølges. Da disse krav er et udtryk for de krav, der følger af chartrets artikel 52, stk. 1, skal de fortolkes i lyset af denne sidstnævnte bestemmelse (jf. i denne retning dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 69, og af 4.10.2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, præmis 104).
60 Det skal herved bemærkes, at de grundlæggende rettigheder til respekt for privatlivet og til beskyttelse af personoplysninger, der er fastsat i chartrets artikel 7 og 8, ikke er absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet og afvejes i forhold til andre grundlæggende rettigheder. Der kan således indføres begrænsninger, forudsat at de i overensstemmelse med chartrets artikel 52, stk. 1, er fastlagt i lovgivningen og respekterer de grundlæggende rettigheders væsentligste indhold samt proportionalitetsprincippet (dom af 22.6.2021, Latvijas Republikas Saeima (Strafpoint), C-439/19, EU:C:2021:504, præmis 105, af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 70, og af 4.10.2024, Bezirkshauptmannschaft Landeck (Forsøg på adgang til personoplysninger lagret på en mobiltelefon), C-548/21, EU:C:2024:830, præmis 85 og den deri nævnte retspraksis).
61 Det skal i denne sammenhæng bemærkes, at kravet om, at foranstaltninger, der indebærer et indgreb i de rettigheder, der er sikret ved chartrets artikel 7 og 8, skal være forholdsmæssige, ifølge fast retspraksis indebærer overholdelse af kravene om egnethed og nødvendighed samt af det krav, der vedrører disse foranstaltningers forholdsmæssighed i forhold til det forfulgte formål (dommen i sagen Luxembourg Business Registers, præmis 63 og den deri nævnte retspraksis).
62 Mere specifikt skal undtagelser fra og begrænsninger i beskyttelsen af personoplysninger begrænses til det strengt nødvendige, hvorved det forudsættes, at såfremt det er muligt at vælge mellem flere egnede foranstaltninger i forhold til de tilsigtede legitime mål, skal den mindst bebyrdende foranstaltning vælges. Desuden kan et mål af almen interesse ikke forfølges uden hensyntagen til den omstændighed, at målet skal forenes med de grundlæggende rettigheder, der er berørt af foranstaltningen, ved at foretage en rimelig afvejning mellem på den ene side målet af almen interesse og på den anden side de pågældende rettigheder med henblik på at sikre, at ulemperne ved denne foranstaltning ikke er uforholdsmæssige i forhold til de tilsigtede mål. Muligheden for at begrunde en begrænsning af de rettigheder, der er sikret ved chartrets artikel 7 og 8, skal således vurderes ved at bedømme alvoren af det indgreb, som en sådan begrænsning indebærer, og ved at kontrollere, at betydningen af det mål af almen interesse, der forfølges med denne begrænsning, står i forhold til denne alvor (dommen i sagen Luxembourg Business Registers, præmis 64 og den deri nævnte retspraksis).
63 Desuden skal den pågældende lovgivning, der medfører indgrebet, for at opfylde kravet om forholdsmæssighed også fastsætte klare og præcise regler, der regulerer rækkevidden og anvendelsen af de foranstaltninger, som lovgivningen fastsætter, og opstille en række mindstekrav, således at de registrerede råder over tilstrækkelige garantier, der gør det muligt effektivt at beskytte deres personoplysninger mod risikoen for misbrug. Lovgivningen skal navnlig angive, under hvilke omstændigheder og på hvilke betingelser der kan vedtages en foranstaltning om behandling af sådanne oplysninger, hvorved det sikres, at indgrebet begrænses til det strengt nødvendige (jf. i denne retning dommen i sagen Luxembourg Business Registers, præmis 65 og den deri nævnte retspraksis).
64 I det foreliggende tilfælde påhviler det den forelæggende ret for det første at efterprøve, om den i hovedsagen omhandlede nationale lovgivning opfylder princippet om formålsbegrænsning, der er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra b), i lyset af den i nærværende doms præmis 52 nævnte retspraksis, og om formålene med behandlingen er fastlagt i det relevante retsgrundlag som omhandlet i databeskyttelsesforordningens artikel 6, stk. 3. Som generaladvokaten har anført i punkt 45 i forslaget til afgørelse, er det i sidstnævnte henseende vigtigt, at det eller de omhandlede formål kan fastlægges med tilstrækkelig sikkerhed ud fra den pågældende lovgivnings ordlyd eller den lovgivningsmæssige sammenhæng.
65 For det andet skal det efterprøves, om det nævnte retsgrundlag opfylder de øvrige krav, der følger af databeskyttelsesforordningens artikel 6, stk. 3, og chartrets artikel 52, stk. 1, i lyset af den faste retspraksis, der er nævnt i nærværende doms præmis 59-63, og under hensyntagen til alvoren af det indgreb i de rettigheder, der er sikret ved chartrets artikel 7 og 8, som følger af det nævnte retsgrundlag.
66 Selv om det i sidste ende tilkommer den forelæggende ret at efterprøve, om disse andre krav er opfyldt, påhviler det Domstolen, når den træffer afgørelse i en præjudiciel sag, at oplyse retten om alle de momenter angående fortolkningen af EU-retten, som kan være til nytte ved afgørelsen af den sag, som verserer for den, og i givet fald at give nærmere oplysninger med henblik på at vejlede retten i dens undersøgelse (jf. i denne retning dom af 27.6.2017, Congregación de Escuelas Pías Provincia Betania, C-74/16, EU:C:2017:496, præmis 36 og den deri nævnte retspraksis, og af 9.1.2025, Mousse, C-394/23, EU:C:2025:2, præmis 51).
67 Herved bemærkes, således som det fremgår af Domstolens faste praksis, at videregivelse af personoplysninger til tredjemænd, herunder tilgængeliggørelse af sådanne oplysninger, udgør et indgreb i de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, uanset hvad de videregivne oplysninger efterfølgende bruges til. I denne henseende er det uden betydning, om de pågældende oplysninger vedrørende privatlivet er følsomme oplysninger, eller om indgrebet har medført eventuelle ubehageligheder for de berørte (jf. i denne retning dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 96, og dommen i sagen Luxembourg Business Registers, præmis 39).
68 Selv om den i hovedsagen omhandlede nationale lovgivning nøje opregner de personoplysninger, der skal gøres tilgængelige for offentligheden, hvorfor det heraf følgende indgreb er fastlagt i lovgivningen, skal der i det foreliggende tilfælde på den ene side foretages en vurdering af grovheden af indgrebet, og det skal på den anden side undersøges, om betydningen af de mål af almen interesse, der angiveligt forfølges, står i rimeligt forhold til denne grovhed (jf. i denne retning dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 98).
69 Hvad på den ene side angår grovheden af et sådant indgreb skal der bl.a. tages hensyn til karakteren af de omhandlede personoplysninger, herunder navnlig om der er tale om eventuelt følsomme oplysninger, og til karakteren af og de konkrete omstændigheder i forbindelse med behandlingen af de pågældende oplysninger, herunder navnlig antallet af personer, som har adgang til disse oplysninger, og måderne, hvorpå adgang kan opnås (dom af 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, præmis 99 og den deri nævnte retspraksis).
70 I det foreliggende tilfælde skal det bemærkes, at for så vidt som de oplysninger, der gøres tilgængelige for offentligheden, bl.a. vedrører identiteten af hver aktionær, dennes kontaktoplysninger, klasse, antal og pålydende værdi af vedkommendes aktier samt det antal stemmer, der er knyttet til disse aktier, kan sådanne oplysninger gøre det muligt at tegne en profil vedrørende bl.a. den pågældendes økonomiske situation samt de økonomiske sektorer og virksomheder, som den pågældende har investeret i (jf. i denne retning dommen i sagen Luxembourg Business Registers, præmis 41).
71 Hertil kommer den omstændighed, at det er uløseligt forbundet med en sådan tilrådighedsstillelse, at oplysningerne er tilgængelige for et potentielt ubegrænset antal personer, således at en behandling af dem ligeledes kan gøre det muligt for personer, der af andre hensyn end det mål, der forfølges med denne tilrådighedsstillelse, ønsker at få oplysninger om bl.a. en sådan aktionærs materielle og økonomiske situation, frit at få adgang til de nævnte oplysninger. Denne mulighed er så meget desto lettere, når sådanne oplysninger kan tilgås på internettet (jf. i denne retning dommen i sagen Luxembourg Business Registers, præmis 42 og den deri nævnte retspraksis).
72 Endvidere forværres de potentielle konsekvenser for de registrerede, der følger af et eventuelt misbrug af deres oplysninger, af det forhold, at disse oplysninger, når de først er gjort tilgængelige for offentligheden, ikke blot kan tilgås frit, men også lagres og spredes, og at det i tilfælde af en sådan successiv behandling bliver endnu vanskeligere eller endog illusorisk for de pågældende personer at forsvare sig effektivt mod misbrug (jf. i denne retning dommen i sagen Luxembourg Business Registers, præmis 43).
73 Det må derfor konstateres, at selv om tilgængeliggørelsen for offentligheden af de i hovedsagen omhandlede oplysninger ikke skader det væsentligste indhold af de rettigheder, der er sikret ved chartrets artikel 7 og 8, udgør den imidlertid og under alle omstændigheder et alvorligt indgreb i disse rettigheder (jf. i denne retning dommen i sagen Luxembourg Business Registers, præmis 44 og 54).
74 På den anden side skal det, som generaladvokaten har anført i punkt 50-52 i forslaget til afgørelse, fastslås, at de mål, som det lettiske parlament har angivet over for den forelæggende ret med henblik på at begrunde den foranstaltning, der er fastsat i den i hovedsagen omhandlede nationale lovgivning, og som er nævnt i nærværende doms præmis 49, kan kvalificeres som mål af almen interesse, der er anerkendt af Unionen. Det skal imidlertid undersøges, om en national lovgivning som den i hovedsagen omhandlede overholder kravene om egnethed og nødvendighed og det krav, der vedrører den pågældende foranstaltnings forholdsmæssighed i forhold til de forfulgte mål, som omhandlet i denne doms præmis 61.
75 Hvad angår det mål af almen interesse, der består i at sikre et gennemsigtigt erhvervsklima for at beskytte tredjemands interesser, bemærkes, at dette i det væsentlige synes at svare til det mål, der forfølges med den samordning af de nationale bestemmelser, der er foretaget i artikel 14, litra d), i direktiv 2017/1132, sammenholdt med syvende og ottende betragtning hertil.
76 Som det fremgår af denne doms præmis 46, synes offentliggørelsen af oplysninger vedrørende alle aktionærerne i et aktieselskab og navnlig mindretalsaktionærerne heri imidlertid ikke at være nyttig i forhold til dette mål. En national lovgivning som den i hovedsagen omhandlede synes følgelig hverken at være egnet til eller nødvendig for at nå det nævnte mål og kan derfor ikke begrunde det alvorlige indgreb i de rettigheder, der er sikret ved chartrets artikel 7 og 8, som er omhandlet i denne doms præmis 73.
77 Hvad angår det mål af almen interesse, der består i at forebygge hvidvask af penge og finansiering af terrorisme og spredning af masseødelæggelsesvåben, skal det fastslås, at offentlighedens adgang til de pågældende oplysninger er egnet til at bidrage til virkeliggørelsen heraf, eftersom den offentlige karakter af denne adgang og den øgede gennemsigtighed, der følger heraf, bidrager til at skabe et miljø, der i mindre grad kan anvendes til sådanne formål (jf. i denne retning dommen i sagen Luxembourg Business Registers, præmis 67).
78 En sådan adgang kan imidlertid ikke anses for at være strengt nødvendig, når dette mål med rimelighed kan nås lige så godt på en anden måde, som er mindre indgribende i de rettigheder, der er sikret ved chartrets artikel 7 og 8 (jf. i denne retning dom af 4.10.2024, Bezirkshauptmannschaft Landeck (Forsøg på adgang til personoplysninger lagret på en mobiltelefon), C-548/21, EU:C:2024:830, præmis 87).
79 Bekæmpelsen af hvidvask af penge og finansiering af terrorisme og spredning af masseødelæggelsesvåben påhviler nemlig først og fremmest offentlige myndigheder samt enheder, såsom kreditinstitutter eller finansieringsinstitutter, der på grund af deres aktiviteter er underlagt særlige forpligtelser på dette område (dommen i sagen Luxembourg Business Registers, præmis 83), såsom dem, der følger af bl.a. artikel 11 og 13 i direktiv 2015/849.
80 Det skal i denne sammenhæng bemærkes, at artikel 30, stk. 5, i direktiv 2015/849, hvis affattelse hidrører fra artikel 74, nr. 1), i direktiv 2024/1640, fastsætter, at medlemsstaterne skal sikre, at oplysningerne om reelt ejerskab som omhandlet i denne bestemmelse i alle tilfælde er tilgængelige for bl.a. »enhver person eller organisation, der kan godtgøre at have en legitim interesse«, og ikke for offentligheden som helhed.
81 I denne henseende skal det ligeledes præciseres, at det fremgår af Domstolens praksis, at en lovgivning, der for at forfølge det i denne doms præmis 77 omhandlede mål tillader, at der gives adgang til oplysninger til medlemmer af offentligheden, som kan godtgøre en legitim interesse, principielt kan begrænse indgrebet i de rettigheder, der er sikret ved chartrets artikel 7 og 8, til det strengt nødvendige (jf. i denne retning dom af 21.5.2026, Across Fiduciaria m.fl., C-684/24 og C-685/24, EU:C:2026:410, præmis 106).
82 I det foreliggende tilfælde forekommer det derfor og så meget desto mere hvad angår mindretalsaktionærer, der ikke har status som reelle ejere af det selskab, hvori de besidder en del af kapitalen, ikke strengt nødvendigt, at personoplysninger som de i tvisten i hovedsagen omhandlede er tilgængelige for alle, uden at de skal godtgøre at have en legitim interesse.
83 I en sådan sammenhæng skal det bemærkes, at selv om den forelæggende ret har anført, at det nationale selskabsregister, som er den dataansvarlige, muligvis ikke er i stand til at efterprøve, om hver enkelt person, der anmoder om oplysninger, faktisk har en legitim interesse i at få adgang til de pågældende personoplysninger, kan eventuelle praktiske vanskeligheder i forbindelse med kontrollen af, om der foreligger en legitim interesse, ikke godtgøre, at et indgreb i de grundlæggende rettigheder, der er sikret ved chartret, er strengt nødvendigt (jf. analogt dom af 26.9.2000, Kommissionen mod Østrig, C-205/98, EU:C:2000:493, præmis 78 og den deri nævnte retspraksis, og af 27.11.2008, Papillon, C-418/07, EU:C:2008:659, præmis 54 og den deri nævnte retspraksis).
84 Hvad angår den rimelige afvejning mellem på den ene side det forfulgte mål af almen interesse og på den anden side de omhandlede grundlæggende rettigheder skal det tilføjes, at selv om bekæmpelsen af hvidvask af penge og finansiering af terrorisme og spredning af masseødelæggelsesvåben generelt kan begrunde et endog alvorligt indgreb i disse rettigheder (jf. i denne retning dommen i sagen Luxembourg Business Registers, præmis 58 og 59), kan dette mål i det foreliggende tilfælde ikke have forrang for de nævnte rettigheder, henset til karakteren og alvoren af det indgreb, der er konstateret i nærværende doms præmis 73.
85 Det skal i denne sammenhæng i øvrigt bemærkes, at en national lovgivning som den i hovedsagen omhandlede ikke indeholder tilstrækkelige garantier, der gør det muligt effektivt at beskytte de berørte personer mod risikoen for misbrug som omhandlet i den retspraksis, der er nævnt i denne doms præmis 63. Deres personoplysninger er nemlig tilgængelige på internettet og kan massedownloades, bl.a. af enhver uidentificeret bruger, hvilket øger den nævnte risiko.
86 Følgelig synes en national lovgivning som den i hovedsagen omhandlede hverken at være nødvendig eller forholdsmæssig i forhold til det pågældende mål som omhandlet i denne doms præmis 61.
87 Hvad endelig angår det mål af almen interesse, der består i at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner, bemærkes, at en national lovgivning som den i hovedsagen omhandlede ligeledes er egnet til at bidrage til virkeliggørelsen heraf. Det må nemlig konstateres, at den øgede gennemsigtighed, der følger af denne lovgivning, kan lette den nævnte fuldbyrdelse.
88 Som generaladvokaten i det væsentlige har anført i punkt 60 og 61 i forslaget til afgørelse, synes offentlighedens adgang til de i hovedsagen omhandlede oplysninger imidlertid ikke at være strengt nødvendig med henblik herpå, eftersom der synes at være midler, som er mindre indgribende i de rettigheder, der er sikret ved chartrets artikel 7 og 8, til rådighed.
89 Som Kommissionen har anført i sit skriftlige indlæg, kunne et sådant mindre indgribende middel bl.a. bestå i at begrænse forpligtelsen til offentliggørelse til kun at omfatte oplysninger om de personer, der er opført på sanktionslisterne, og kun at tillade, at der gives adgang til oplysninger om aktionærer, der ikke er opført på disse lister, til personer, der godtgør en legitim interesse i denne henseende.
90 Af de samme grunde som dem, der er nævnt i denne doms præmis 84 og 85, kan det forfulgte mål af almen interesse desuden i det foreliggende tilfælde ikke have forrang for de omhandlede grundlæggende rettigheder, og en national lovgivning som den i hovedsagen omhandlede indeholder ikke tilstrækkelige garantier, der gør det muligt effektivt at beskytte de berørte personer mod risikoen for misbrug.
91 En sådan lovgivning synes således hverken at være nødvendig eller forholdsmæssig i forhold til det pågældende mål som omhandlet i denne doms præmis 61.
92 Henset til ovenstående betragtninger skal det tredje og det fjerde spørgsmål følgelig besvares med, at databeskyttelsesforordningens artikel 5 og 6, sammenholdt med chartrets artikel 7 og 8, skal fortolkes således, at de er til hinder for en national lovgivning, som kræver, at personoplysninger om alle aktionærerne, herunder mindretalsaktionærerne, i aktieselskaber, som vedrører identiteten af hver af disse aktionærer, deres kontaktoplysninger, klasse, antal og pålydende værdi af deres aktier samt det hertil knyttede antal stemmer, gøres tilgængelige for offentligheden, med henblik på at sikre et gennemsigtigt erhvervsklima for at beskytte tredjemands interesser, at forebygge hvidvask af penge og finansiering af terrorisme og spredning af masseødelæggelsesvåben og at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner, når adgangen til disse oplysninger ikke er underlagt nogen betingelser, f.eks. om påvisning af en legitim interesse.
Sagsomkostninger
93 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret:
1) Artikel 14, litra d), i Europa-Parlamentets og Rådets direktiv (EU) 2017/1132 af 14. juni 2017 om visse aspekter af selskabsretten, som ændret ved Europa-Parlamentets og Rådets direktiv (EU) 2019/1151 af 20. juni 2019, skal fortolkes således, at bestemmelsen ikke kræver offentliggørelse af oplysninger om alle aktionærerne i de selskaber, der er omfattet af bestemmelsen, herunder mindretalsaktionærerne i sådanne selskaber.
2) Artikel 5 og 6 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), sammenholdt med artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, skal fortolkes således, at de er til hinder for en national lovgivning, som kræver, at personoplysninger om alle aktionærerne, herunder mindretalsaktionærerne, i aktieselskaber, som vedrører identiteten af hver af disse aktionærer, deres kontaktoplysninger, klasse, antal og pålydende værdi af deres aktier samt det hertil knyttede antal stemmer, gøres tilgængelige for offentligheden, med henblik på at sikre et gennemsigtigt erhvervsklima for at beskytte tredjemands interesser, at forebygge hvidvask af penge og finansiering af terrorisme og spredning af masseødelæggelsesvåben og at tilvejebringe den information, der er nødvendig for fuldbyrdelsen af nationale og internationale sanktioner samt EU-sanktioner, når adgangen til disse oplysninger ikke er underlagt nogen betingelser, f.eks. om påvisning af en legitim interesse.
Underskrifter
* Processprog: lettisk.
i Den foreliggende sags navn er et vedtaget navn. Det svarer ikke til et navn på en part i sagen.