ROZSUDOK SÚDNEHO DVORA (prvá komora)
z 3. septembra 2026(*)
„ Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 5 – Zásady spracúvania osobných údajov – Článok 6 – Zákonnosť spracúvania – Právo obchodných spoločností – Smernica (EÚ) 2017/1132 – Článok 14 – Zverejňované dokumenty a údaje – Pojem ‚osoby, ktoré sa zúčastňujú na správe spoločnosti, dohľade alebo kontrole nad ňou‘ – Sprístupnenie osobných údajov týkajúcich sa akcionárov akciových spoločností verejnosti – Menšinoví akcionári “
Vo veci C‑798/24 [Jautiva](i),
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Satversmes tiesa (Ústavný súd, Lotyšsko) zo 14. novembra 2024 a doručený Súdnemu dvoru 19. novembra 2024, ktorý súvisí s konaním:
A a i.,
za účasti:
Latvijas Republikas Saeima,
SÚDNY DVOR (prvá komora),
v zložení: predseda prvej komory F. Biltgen, podpredseda Súdneho dvora T. von Danwitz (spravodajca), sudcovia A. Kumin, S. Gervasoni a M. Bošnjak,
generálny advokát: R. Norkus,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
– A a i., v zastúpení: L. Liepa, advokāts,
– lotyšská vláda, v zastúpení: J. Davidoviča a K. Pommere, splnomocnené zástupkyne,
– poľská vláda, v zastúpení: B. Majczyna, splnomocnený zástupca,
– fínska vláda, v zastúpení: A. Laine, splnomocnená zástupkyňa,
– švédska vláda, v zastúpení: C. Meyer‑Seitz, splnomocnená zástupkyňa,
– nórska vláda, v zastúpení: K. E. M. Skjelland a B. Stankovic, splnomocnení zástupcovia,
– Európsky parlament, v zastúpení: G. Corstens, M. Migliorati a L. Ruppeka‑Rupeika, splnomocnení zástupcovia,
– Rada Európskej únie, v zastúpení: L. Bergere, N. Coghlan a A.‑L. Meyer, splnomocnení zástupcovia,
– Európska komisia, v zastúpení: A. Bouchagiar, H. Kranenborg, I. Naglis a M. Noll‑Ehlers, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta na pojednávaní 18. decembra 2025,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa na jednej strane týka výkladu článku 14 písm. d) bodu ii) smernice Európskeho parlamentu a Rady (EÚ) 2017/1132 zo 14. júna 2017 týkajúc[ej] sa niektorých aspektov práva obchodných spoločností (Ú. v. EÚ L 169, 2017, s. 46), zmenenej smernicou Európskeho parlamentu a Rady (EÚ) 2019/1151 z 20. júna 2019 (Ú. v. EÚ L 186, 2019, s. 80) (ďalej len „smernica 2017/1132“), ako aj o platnosti tohto ustanovenia vzhľadom na články 7 a 8 Charty základných práv Európskej únie (ďalej len „Charta“), a na druhej strane výkladu článku 5 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
2 Tento návrh bol podaný v rámci ústavnej sťažnosti podanej fyzickými osobami, ktoré spochybňujú súlad vnútroštátnej právnej úpravy, ktorá ukladá povinnosť sprístupniť osobné údaje týkajúce sa akcionárov akciových spoločností verejnosti, s Latvijas Republikas Satversme (Ústava Lotyšskej republiky).
Právny rámec
Právo Únie
Charta
3 Článok 7 Charty, nazvaný „Rešpektovanie súkromného a rodinného života“, stanovuje:
„Každý má právo na rešpektovanie svojho súkromného a rodinného života, obydlia a komunikácie.“
4 Podľa článku 8 Charty s názvom „Ochrana osobných údajov“:
„1. Každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
2. Tieto údaje musia byť riadne spracované na určené účely na základe súhlasu dotknutej osoby alebo na inom oprávnenom základe ustanovenom zákonom. Každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu.
3. Dodržiavanie týchto pravidiel podlieha kontrole nezávislého orgánu.“
5 Článok 52 Charty, nazvaný „Rozsah a výklad práv a zásad“ v odseku 1 uvádza:
„Akékoľvek obmedzenie výkonu práv a slobôd uznaných v tejto charte musí byť ustanovené zákonom a rešpektovať podstatu týchto práv a slobôd. Za predpokladu dodržiavania zásady proporcionality možno tieto práva a slobody obmedziť len vtedy, ak je to nevyhnutné a skutočne to zodpovedá cieľom všeobecného záujmu, ktoré sú uznané [Európskou ú]niou, alebo ak je to potrebné na ochranu práv a slobôd iných.“
GDPR
6 Odôvodnenia 1 a 10 GDPR stanovujú:
„(1) Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 [Charty] a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
…
(10) S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci Únie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. …“
7 Článkom 1 ods. 2 GDPR sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.
8 Článok 2 ods. 1 GDPR sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.
9 Článok 4 GDPR s názvom „Vymedzenie pojmov“ stanovuje:
„Na účely tohto nariadenia:
1. ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby…; identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
2. ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…“
10 Článok 5 GDPR, nazvaný „Zásady spracúvania osobných údajov“, v odseku 1 uvádza:
„Osobné údaje musia byť:
a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
b) získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi; ďalšie spracúvanie na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či štatistické účely sa v súlade s článkom 89 ods. 1 nepovažuje za nezlučiteľné s pôvodnými účelmi (‚obmedzenie účelu‘);
c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
…“
11 Článok 6 GDPR, nazvaný „Zákonnosť spracúvania“, v odsekoch 1 a 3 stanovuje:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…
c) spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
…
3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:
a) v práve Únie alebo
b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účely, na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.“
Smernica 2017/1132
12 Odôvodnenia 7 a 8 smernice 2017/1132 uvádzajú:
„(7) Koordinácia vnútroštátnych predpisov týkajúcich sa zverejňovania, platnosti záväzkov prijatých akciovými spoločnosťami alebo spoločnosťami s ručením obmedzeným a neplatnosti týchto spoločností je osobitne dôležitá najmä s cieľom ochrany záujmov tretích osôb.
(8) Zverejnenie podstatných dokumentov spoločnosti by malo tretím osobám umožniť oboznámiť sa s ich obsahom a s inými informáciami týkajúcimi sa spoločnosti, najmä údajmi o osobách, ktoré sú oprávnené ju zaväzovať.“
13 Podľa článku 1 tejto smernice s názvom „Predmet úpravy“:
„Táto smernica stanovuje opatrenia týkajúce sa:
– koordinácie ochranných opatrení, ktoré členské štáty vyžadujú na ochranu záujmov spoločníkov a tretích osôb od obchodných spoločností v zmysle článku 54 druhého odseku zmluvy, pokiaľ ide o zakladanie akciových spoločností a udržiavanie a zmenu ich základného imania, s cieľom dosiahnuť rovnocennosť týchto opatrení;
– koordinácie záruk, ktoré členské štáty vyžadujú na ochranu záujmov spoločníkov a tretích osôb od obchodných spoločností v zmysle článku 54 druhého odseku zmluvy, pokiaľ ide o sprístupnenie údajov, platnosť záväzkov akciových spoločností alebo spoločností s ručením obmedzeným a neplatnosť takýchto spoločností s cieľom dosiahnuť rovnocennosť týchto záruk;
…“
14 Článok 4 uvedenej smernice s názvom „Povinné údaje uvádzané v stanovách alebo v aktoch o založení spoločnosti alebo v oddelených dokumentoch“ uvádza:
„V stanovách alebo akte o založení spoločnosti alebo v oddelenom dokumente, ktoré musia byť zverejnené spôsobom stanoveným právnymi predpismi každého členského štátu v súlade s článkom 16, musia byť obsiahnuté aspoň tieto údaje:
…
i) totožnosť fyzických alebo právnických osôb alebo spoločností, ktoré podpísali alebo v mene ktorých boli podpísané stanovy alebo akt o založení spoločnosti, alebo pokiaľ založenie spoločnosti nebolo okamžité, totožnosť fyzických alebo právnických osôb alebo spoločností, ktoré podpísali alebo v mene ktorých boli podpísané návrhy uvedených dokumentov,
…“
15 V článku 13 tejto smernice, nazvanom „Rozsah pôsobnosti“, sa uvádza:
„Koordinačné opatrenia stanovené v tomto oddiele a v oddiele 1A sa vzťahujú na zákony, iné právne predpisy a správne opatrenia členských štátov týkajúce sa právnych foriem spoločností uvedených v prílohe II, a ak je to špecifikované, na právne formy spoločností uvedené v prílohách I a IIA.“
16 Príloha II k smernici 2017/1132, ktorá vymenúva formy spoločností uvedené najmä v článku 13 tejto smernice, odkazuje v prípade Lotyšska na „akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība“, teda na akciové spoločnosti, spoločnosti s ručením obmedzeným a komanditné spoločnosti na akcie.
17 Článok 14 tejto smernice s názvom „Dokumenty a údaje zverejňované spoločnosťami“ stanovuje:
„Členské štáty prijmú opatrenia potrebné na zabezpečenie, aby spoločnosti povinne zverejňovali prinajmenšom tieto dokumenty a údaje:
a) akt o založení spoločnosti a stanovy, ak predstavujú osobitný dokument;
…
d) vymenovanie, skončenie funkcie a údaje o osobách, ktoré buď ako zákonom stanovený orgán, alebo ako členovia takéhoto orgánu:
i) sú oprávnené zastupovať spoločnosť v konaniach s tretími osobami a v konaniach pred súdom; zo zverejnených údajov musí byť jasné, či osoby oprávnené zastupovať spoločnosť môžu tak robiť samostatne, alebo musia konať spoločne;
ii) sa zúčastňujú na správe spoločnosti, dohľade alebo kontrole nad ňou;
…“
18 Článok 16 ods. 3 uvedenej smernice uvádza:
„Členské štáty zabezpečia, aby sa zverejnenie dokumentov a údajov uvedených v článku 14 vykonalo tak, že sa sprístupnia verejnosti v registri [centrálnom registri, obchodnom registri alebo v registri spoločností]. …“
19 Článok 64 ods. 3 a článok 95 ods. 2 tejto smernice sa týkajú povinností správneho alebo riadiaceho orgánu spoločnosti voči valnému zhromaždeniu v oblasti finančnej pomoci poskytnutej spoločnosťou na nadobudnutie jej vlastných akcií treťou osobou, ako aj v oblasti zlúčenia.
Smernica 2015/849
20 Články 11 a 13 smernice Európskeho parlamentu a Rady (EÚ) 2015/849 z 20. mája 2015 o predchádzaní využívaniu finančného systému na účely prania špinavých peňazí alebo financovania terorizmu, ktorou sa mení nariadenie Európskeho parlamentu a Rady (EÚ) č. 648/2012 a zrušuje smernica Európskeho parlamentu a Rady 2005/60/ES a smernica Komisie 2006/70/ES (Ú. v. EÚ L 141, 2015, s. 73), zmenenej smernicou Európskeho parlamentu a Rady (EÚ) 2024/1640 z 31. mája 2024 (Ú. v. EÚ L, 2024/1640) (ďalej len „smernica 2015/849“), spresňujú opatrenia povinnej starostlivosti, ktoré musia povinné subjekty uplatňovať vo vzťahu ku svojim klientom.
21 Článok 30 ods. 5 smernice 2015/849 stanovuje:
„Členské štáty zabezpečia, aby boli informácie o konečnom užívateľovi výhod prístupné v každom prípade:
…
c) každej osobe alebo organizácii, ktorá môže preukázať legitímny záujem.
Osoby alebo organizácie uvedené v písmene c) prvého pododseku majú povolený prístup aspoň k menu, mesiacu a roku narodenia, krajine pobytu a štátnej príslušnosti konečného užívateľa výhod, ako aj k povahe a rozsahu držaného podielu konečného užívateľa výhod.“
Lotyšské právo
Ústava Lotyšskej republiky
22 Článok 96 Ústavy Lotyšskej republiky zakotvuje najmä právo na rešpektovanie súkromného života. Podľa judikatúry Satversmes tiesa (Ústavný súd, Lotyšsko) sa pôsobnosť tohto článku vzťahuje na ochranu osobných údajov.
Obchodný zákonník
23 Ustanovenie §8 Komerclikums (Obchodný zákonník) s názvom „Obsah zápisov v obchodnom registri“ stanovuje v ods. 3 bodoch 3 a 4:
„3. Nižšie sa uvádzajú informácie o kapitálovej spoločnosti, ktoré sa majú zapísať do obchodného registra:
…
(3) meno, priezvisko, osobné identifikačné číslo (ak osoba nemá osobné identifikačné číslo, dátum narodenia, číslo a dátum vydania dokladu totožnosti, krajina a orgán, ktoré tento doklad vydali) a pozícia členov predstavenstva kapitálovej spoločnosti a členov dozornej rady (ak kapitálová spoločnosť má takúto radu),
(4) právomoc členov predstavenstva zaväzovať spoločnosť samostatne alebo spoločne,
…“
24 Ustanovenie §12 tohto zákonníka s názvom „Uverejnenie v obchodnom registri“ stanovuje:
„1. Na zápisy v obchodnom registri sa možno vo vzťahu k tretím osobám odvolávať od okamihu ich zverejnenia. …
…“
25 Ustanovenie §235 Obchodného zákonníka s názvom „Informácie, ktoré sa zapisujú do registra akcionárov“ stanovuje:
„1. Každý zápis v registri akcionárov uvádza názov spoločnosti, registračné číslo, adresu sídla a prípadne informácie o tom, či sa proti tejto spoločnosti vedie likvidačné alebo insolvenčné konanie, ako aj názov dokumentu ‚Zápis v registri akcionárov‘ a zahŕňa tieto informácie:
(1) referenčné číslo a dátum zápisu,
(2) referenčné číslo registrácie, pričom sa čísluje postupne od prvého zápisu v registri akcionárov,
(3) referenčné čísla týkajúce sa akcií,
(4) údaje týkajúce sa akcionárov:
a) v prípade fyzickej osoby meno, priezvisko, osobné identifikačné číslo (ak osoba nemá osobné identifikačné číslo, dátum narodenia, číslo a dátum vydania dokladu totožnosti, krajina a orgán, ktoré tento doklad vydali) a adresa, na ktorej je zastihnuteľná;
b) v prípade právnických osôb a partnerstiev názov, registračné číslo a adresa sídla;
(5) e‑mailová adresa akcionára, ak akcionár požiadal, aby ju spoločnosť používala na komunikáciu s ním,
(6) kategória, počet a menovitá hodnota akcií každého akcionára a počet hlasov, ktorý je s nimi spojený,
(7) stav splatenia akcií,
(8) spoločný zástupca akcionárov určený v súlade s postupom stanoveným v článku 157 tohto zákonníka, pričom sa uvedú informácie stanovené v odseku 1 bodoch 4 a 5 tohto článku,
(9) informácie o akciách nadobudnutých samotnou spoločnosťou a dôvody ich nadobudnutia.
…“
26 Podľa § 268 toho istého zákonníka s názvom „Pôsobnosť valného zhromaždenia akcionárov“:
„1. Iba valné zhromaždenie akcionárov má právo prijímať rozhodnutia o:
(1) účtovnej závierke spoločnosti,
(2) použití zisku z predchádzajúceho účtovného obdobia,
(3) voľbe a odvolaní členov dozornej rady, audítorov a likvidátorov,
(4) podaní žaloby proti členom predstavenstva a dozornej rady, ako aj proti audítorovi alebo upustení od takéhoto konania, a vymenovaní zástupcu spoločnosti na vedenie konaní proti členom dozornej rady,
…
(6) zmene stanov spoločnosti,
(7) zvýšení alebo znížení základného imania,
(8) vydávaní a konverzii cenných papierov spoločnosti, ako aj určení centrálneho depozitára cenných papierov, v ktorom sú evidované zaknihované akcie spoločnosti,
(9) stanovení odmeňovania členov dozornej rady a audítora,
(10) ukončení, pokračovaní, pozastavení alebo obnovení činnosti spoločnosti alebo reorganizácii spoločnosti,
(11) všeobecných zásadách, druhoch a kritériách určovania odmeňovania členov predstavenstva a dozornej rady,
(12) prideľovaní akcií spoločnosti zamestnancom a členom predstavenstva a dozornej rady.
2. Valné zhromaždenie akcionárov prijíma rozhodnutia o iných záležitostiach iba v prípadoch, ak tak stanovuje zákon.“
Zákon o obchodnom registri
27 Ustanovenie § 4.10 likums „Par Latvijas Republikas Uzņēmumu reģistru“ (zákon o obchodnom registri Lotyšskej republiky, ďalej len „zákon o obchodnom registri“), nazvaný „Právo na prístup k informáciám v obchodnom registri“, v piatom odseku znie takto:
„Obchodný register poskytuje informácie a dokumenty obsiahnuté vo verejnej časti registračného spisu (§4.15 prvý odsek) bezplatne prostredníctvom online prenosu údajov (vrátane hromadného sťahovania).“
28 Ustanovenie § 4.11 tohto zákona s názvom „Informácie, ktoré sa uverejňujú na webovom sídle obchodného registra“, v prvom odseku bode 2 stanovuje:
„Obchodný register zabezpečí, aby mal anonymný používateľ na jeho webovom sídle verejný prístup k týmto najnovším (aktuálnym) informáciám o právnických osobách a právnych skutočnostiach zaznamenaným v registroch vedených obchodným registrom:
…
(2) iné informácie zaznamenané v registri.“
29 Ustanovenie § 4.15 uvedeného zákona, nazvané „Verejná a neverejná časť registračného spisu“, stanovuje:
„Verejná časť registračného spisu zahŕňa:
…
2. iné informácie zapísané v registri:
…
b) informácie zo zápisu v registri akcionárov (spoločníkov) kapitálovej spoločnosti týkajúce sa akcionárov (spoločníkov) tejto spoločnosti…
3. tieto dokumenty sú súčasťou registračného spisu:
a) v obchodnom registri – … zápis v registri akcionárov (spoločníkov),…
Dokumenty a informácie, ktoré sú súčasťou registračného spisu, a nie sú uvedené v prvom odseku tohto článku, sú zahrnuté v neverejnej časti registračného spisu.
Ak sa zápisu v registri alebo zapísaným informáciám prizná status dôverných informácií, alebo je ich dostupnosť pre verejnosť obmedzená právnymi predpismi, sú súčasťou neverejnej časti registračného spisu.
Informácie a dokumenty zahrnuté v neverejnej časti registračného spisu ([druhý a tretí odsek] tohto článku) predstavujú dôverné informácie a môžu ich získať orgány presadzovania práva na účely plnenia úloh vymedzených v zákonoch a iných právnych predpisoch a tiež bez obmedzenia [Finanšu izlūkošanas dienests (Finančná spravodajská jednotka)] a orgány dohľadu a kontrolné orgány v oblasti predchádzania praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní, zatiaľ čo iné orgány musia podať odôvodnenú žiadosť. Jednotlivci žiadajú o prístup k informáciám a dokumentom obsiahnutým v neverejnej časti registračného spisu v súlade s postupom vyžiadania dôverných informácií stanoveným v [Informācijas atklātības likums (zákon o slobode informácií)].“
Zákon o predchádzaní praniu špinavých peňazí
30 Ustanovenie § 5.1 Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (zákon o predchádzaní praniu špinavých peňazí, financovaniu terorizmu a šíreniu zbraní hromadného ničenia, ďalej len „zákon o predchádzaní praniu špinavých peňazí“), nazvaný „Dostupnosť informácií potrebných na splnenie zákonných požiadaviek, získaných z informačných systémov Lotyšskej republiky“, v odseku 1 stanovuje:
„Na účely splnenia povinností, ktoré im vyplývajú z tohto zákona, majú povinné osoby a orgány dohľadu a kontroly právo elektronicky vyžadovať a získať online záznamy a informácie o členoch a konečných užívateľoch výhod obsiahnuté v registroch vedených v obchodnom registri Lotyšskej republiky, uchovávať a ďalej spracúvať tieto informácie s cieľom posúdiť údaje o klientovi a jeho obchodných partneroch a potrebu nahlásiť podozrivú transakciu finančnej spravodajskej jednotke alebo zdržať sa vykonania takejto transakcie, ako aj určiť, či je voči klientovi vedené konkurzné konanie právnickej osoby alebo sa na neho vzťahuje reštrukturalizácia.“
Zákon o medzinárodných a vnútroštátnych sankciách
31 Ustanovenie § 5 Starptautisko un Latvijas Republikas nacionālo sankciju likums (zákon o medzinárodných a vnútroštátnych sankciách Lotyšskej republiky, ďalej len „zákon o medzinárodných a vnútroštátnych sankciách“), nazvaný „Finančné obmedzenia“, stanovuje:
„Ak vnútroštátne sankcie ukladajú sankcionovanej osobe finančné obmedzenia, všetky osoby sú v rámci svojej právomoci povinné bezodkladne a bez predchádzajúceho oznámenia:
1. zmraziť všetky finančné prostriedky a hospodárske zdroje, ktoré sú priamo alebo nepriamo, úplne alebo čiastočne vo vlastníctve, držbe alebo pod kontrolou sankcionovanej osoby vrátane tretích osôb konajúcich v jej mene alebo podľa jej pokynov,
2. nesprístupniť finančné prostriedky a hospodárske zdroje, či už priamo alebo nepriamo, osobe, ktorej bola uložená sankcia vrátane tretích strán konajúcich v jej mene, podľa jej pokynov alebo v jej prospech,
3. neposkytnúť finančné služby, na ktoré sa vzťahujú vnútroštátne sankcie, osobe, ktorej bola uložená sankcia vrátane tretích strán konajúcich v jej mene, podľa jej pokynov alebo v jej prospech.“
Spor vo veci samej a prejudiciálne otázky
32 Sedemnásť fyzických osôb podalo na Satversmes tiesa (Ústavný súd), ktorý je vnútroštátnym súdom predkladajúcim návrh na začatie prejudiciálneho konania, ústavnú sťažnosť spochybňujúcu súlad vnútroštátnej právnej úpravy, konkrétne § 4.15 prvého odseku bodu 2 písm. b) zákona o obchodnom registri v spojení s § 4.10 piatym odsekom tohto zákona a § 235 ods. 1 Obchodného zákonníka, s článkom 96 Ústavy Lotyšskej republiky, ktorý zaručuje právo na rešpektovanie súkromného života a ochranu osobných údajov.
33 Podľa tejto právnej úpravy sa verejnosti sprístupňujú určité informácie o akcionároch akciových spoločností. Ak je takýmto akcionárom fyzická osoba, tieto informácie zahŕňajú meno, priezvisko, osobné identifikačné číslo alebo, ak osoba nemá osobné identifikačné číslo, dátum narodenia, číslo a dátum vydania dokladu totožnosti, krajinu a orgán, ktorý tento doklad vydal, ako aj adresu, na ktorej je akcionár zastihnuteľný. Navyše, bez ohľadu na to, či je akcionár fyzickou osobou, uvedené informácie zahŕňajú aj e‑mailovú adresu akcionára, ak tento akcionár požiadal, aby ju spoločnosť, v ktorej vlastní akcie, použila na komunikáciu s ním, kategóriu, počet a menovitú hodnotu jeho akcií, ako aj počet hlasov spojených s týmito akciami. Tie isté informácie sú prístupné online a môžu byť predmetom hromadných sťahovaní, najmä zo strany ktoréhokoľvek anonymného používateľa, ako sa stanovuje v § 4.11 prvom odseku bode 2 zákona o obchodnom registri.
34 Sťažovatelia vo veci samej sú menšinovými akcionármi akciovej spoločnosti. Tvrdia, že lotyšský zákonodarca nepreskúmal ani neodôvodnil potrebu sprístupniť dotknuté informácie verejnosti, keďže po ich zverejnení nie je možné žiadne obmedzenie ich ďalšieho použitia, a že existuje vysoké riziko, že budú použité na nekalé účely.
V každom prípade vzhľadom na rozsudok z 22. novembra 2022, Luxembourg Business Registers (C‑37/20 a C‑601/20, EU:C:2022:912, ďalej len „rozsudok Luxembourg Business Registers“), je zverejnenie týchto informácií neodôvodnené a neprimerané vzhľadom na skutočnosť, že sťažovatelia vo veci samej nie sú ani konečnými užívateľmi výhod dotknutej spoločnosti, ani členmi jej riadiacich orgánov a nemajú právo ani možnosť vykonávať kontrolu nad touto spoločnosťou.
35 V tejto súvislosti sa predkladajúci vnútroštátny súd na jednej strane pýta, či sa zverejnenie osobných údajov, o ktoré ide v konaní pred ním, vyžaduje na základe smernice 2017/1132, a najmä jej článku 14 písm. d) bodu ii), ktorý sa vzťahuje na dokumenty alebo údaje týkajúce sa osôb, ktoré sa zúčastňujú na správe spoločnosti, dohľade alebo kontrole nad ňou. Ak by to tak bolo, tento súd zastáva názor, že by bolo potrebné overiť platnosť takejto povinnosti uverejnenia vzhľadom na články 7 a 8 Charty.
36 Na druhej strane sa tento súd pýta, či členský štát môže bez toho, aby porušil ustanovenia GDPR, najmä jeho článok 5 ods. 1, ako aj ustanovenia Charty, stanoviť vo svojom vnútroštátnom práve takúto povinnosť uverejnenia na účely dosiahnutia cieľov, aké uvádza Latvijas Republikas Saeima (Parlament Lotyšskej republiky), a to po prvé zabezpečiť transparentné podnikateľské prostredie a chrániť záujmy tretích osôb, po druhé predchádzať praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní hromadného ničenia, ako aj po tretie poskytnúť informácie potrebné na presadzovanie vnútroštátnych a medzinárodných sankcií a sankcií Únie. V tejto súvislosti predkladajúci vnútroštátny súd uvádza, že prístup k predmetným údajom nepodlieha žiadnej podmienke, akou je najmä preukázanie legitímneho záujmu.
37 Za týchto podmienok Satversmes tiesa (Ústavný súd) teda rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Má sa pojem týkajúci sa osôb, ktoré ‚sa zúčastňujú na správe spoločnosti, dohľade alebo kontrole nad ňou‘, ktorý je uvedený v článku 14 písm. d) [smernice 2017/1132], vykladať v tom zmysle, že sa vzťahuje na každého akcionára verejnej akciovej spoločnosti, v dôsledku čoho členský štát je povinný zverejniť informácie týkajúce sa každého akcionára akciovej spoločnosti a sprístupniť ich verejnosti v registri podľa článku 16 ods. 3 tejto smernice?
2. V prípade kladnej odpovede na prvú otázku, je článok 14 písm. d) bod ii) smernice 2017/1132 platný vzhľadom na právo na rešpektovanie súkromného a rodinného života zaručené článkom 7 Charty a na právo na ochranu osobných údajov zaručené článkom 8 Charty v rozsahu, v akom stanovuje zverejnenie údajov týkajúcich sa každého akcionára verejnej akciovej spoločnosti?
3. Má sa článok 5 ods. 1 písm. b) [GDPR] vykladať v tom zmysle, že cieľom spracúvania osobných údajov akcionárov verejnej akciovej spoločnosti môže byť v prvom rade zabezpečenie transparentného podnikateľského prostredia a ochrany záujmov tretích osôb, v druhom rade predchádzanie praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní a v treťom rade poskytovanie informácií potrebných na presadzovanie vnútroštátnych a medzinárodných sankcií a sankcií Únie?
4. Umožňujú zásady stanovené v článku 5 ods. 1 [GDPR] na vyššie uvedené účely stanoviť vnútroštátnu právnu úpravu, na základe ktorej môže akákoľvek osoba získať osobné údaje akéhokoľvek akcionára verejnej akciovej spoločnosti bez toho, aby bola povinná preukázať legitímny záujem na získaní týchto údajov?“
O prejudiciálnych otázkach
O prvej otázke
38 Svojou prvou otázkou sa predkladajúci vnútroštátny súd v podstate pýta, či sa má článok 14 písm. d) smernice 2017/1132 vykladať v tom zmysle, že vyžaduje zverejnenie informácií týkajúcich sa všetkých akcionárov spoločností, na ktoré sa vzťahuje toto ustanovenie, vrátane menšinových akcionárov takýchto spoločností.
39 Podľa uvedeného ustanovenia, ktoré sa uplatňuje na formy spoločností podľa článku 13 smernice 2017/1132, teda tie, ktoré sú vymenované najmä v prílohe II k tejto smernici, sú členské štáty povinné prijať opatrenia potrebné na zabezpečenie, aby spoločnosti povinne zverejňovali prinajmenšom dokumenty a údaje týkajúce sa vymenovania, skončenia funkcie a údaje o osobách, ktoré buď ako zákonom stanovený orgán, alebo ako členovia takéhoto orgánu, sú oprávnené zastupovať spoločnosť v konaniach s tretími osobami a v konaniach pred súdom, alebo ktoré sa zúčastňujú na správe spoločnosti, dohľade alebo kontrole nad ňou.
40 V tejto súvislosti je potrebné pripomenúť, že podľa ustálenej judikatúry znenie ustanovenia práva Únie, ktoré neobsahuje žiadny výslovný odkaz na právo členských štátov s cieľom určiť jeho zmysel a rozsah pôsobnosti, si v zásade vyžaduje autonómny a jednotný výklad v celej Únii, ktorý musí zohľadňovať nielen znenie tohto ustanovenia, ale aj jeho kontext a ciele sledované príslušnou právnou úpravou (pozri v tomto zmysle rozsudky z 18. januára 1984, Ekro, 327/82, EU:C:1984:11, bod 11, a z 18. decembra 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge, C‑417/23, EU:C:2025:1017, bod 76).
41 Pokiaľ ide o znenie článku 14 písm. d) smernice 2017/1132, treba uviesť, že toto ustanovenie sa výslovne netýka ani akcionárov, ani valného zhromaždenia akcionárov. Okrem toho uvedené ustanovenie odkazuje na „vymenovanie“, „skončenie funkcie“ a „údaje“ o osobách, ktoré buď ako zákonom stanovený orgán, alebo ako členovia takéhoto orgánu, sú oprávnené zastupovať spoločnosť v konaniach s tretími osobami a v konaniach pred súdom a/alebo sa zúčastňujú na správe spoločnosti, dohľade alebo kontrole nad ňou. Ako však uviedli lotyšská a poľská vláda, Európsky parlament, Rada Európskej únie a Európska komisia vo svojich písomných pripomienkach, akcionári spoločnosti nie sú vymenovaní ani odvolaní z funkcie. Ich postavenie totiž vyplýva len z ich účasti na základnom imaní spoločnosti, a to z ich vlastníckeho práva k akciám vydaným touto spoločnosťou, a z tohto hľadiska sa ich postavenie odlišuje od postavenia osôb určených na to, aby zasadali v správnych a riadiacich orgánoch uvedenej spoločnosti a zastupovali túto spoločnosť v jej vzťahoch s tretími osobami.
42 Pokiaľ ide o kontext, do ktorého patrí toto ustanovenie, treba konštatovať, že viaceré ustanovenia smernice 2017/1132, ako sú článok 64 ods. 3 a článok 95 ods. 2 tejto smernice, odrážajú terminologické rozlišovanie vykonané normotvorcom Únie medzi správnymi a riadiacimi orgánmi na jednej strane a valným zhromaždením akcionárov na strane druhej. Hoci má toto valné zhromaždenie určité rozhodovacie právomoci, tieto právomoci nemajú rovnakú povahu ako právomoci vykonávané správnymi a riadiacimi orgánmi spoločnosti, v dôsledku čoho ani akty uvedeného valného zhromaždenia, ani – prostredníctvom neho – akty jeho členov nemožno kvalifikovať ako „zúčastňovanie sa“ v zmysle článku 14 písm. d) bodu ii) uvedenej smernice.
43 Okrem toho, hoci článok 14 písm. a) smernice 2017/1132, ktorý treba vykladať v spojení s jej článkom 4 písm. i), vyžaduje zverejnenie aktu o založení spoločnosti, ako aj stanov akciovej spoločnosti, pričom tieto dokumenty musia uvádzať totožnosť ich signatárov, ktorí môžu zahŕňať pôvodných akcionárov tejto spoločnosti, žiadne ustanovenie tejto smernice výslovne nevyžaduje zverejnenie neskoršej zmeny v zložení akcionárov takejto spoločnosti.
44 Pokiaľ ide o ciele sledované smernicou 2017/1132, z odôvodnení 7 a 8 ako aj z článku 1 tejto smernice vyplýva, že zverejnenie, ktoré stanovuje, má najmä chrániť záujmy tretích osôb vo vzťahu k akciovým spoločnostiam a spoločnostiam s ručením obmedzeným, pretože tieto spoločnosti ručia vo vzťahu k tretím osobám iba svojím majetkom. Na tento účel má toto zverejnenie umožniť tretím osobám oboznámiť sa s podstatnými dokumentmi dotknutej spoločnosti a s niektorými údajmi, ktoré sa jej týkajú, najmä s totožnosťou osôb, ktoré sú oprávnené ju zaväzovať (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Agencija po vpisvanijata, C‑200/23, EU:C:2024:827, bod 77).
45 Okrem toho je účelom uvedenej smernice zabezpečiť právnu istotu vo vzťahoch medzi spoločnosťou a tretími osobami v kontexte zintenzívnenia obchodu medzi členskými štátmi v dôsledku vytvorenia spoločného trhu. Z tohto hľadiska je dôležité, aby sa každá osoba, ktorá chce založiť a rozvíjať obchodné vzťahy so spoločnosťami nachádzajúcimi sa v iných členských štátoch, mohla ľahko oboznámiť s podstatnými údajmi týkajúcimi sa založenia obchodných spoločností a právomocí osôb, ktoré sú oprávnené konať v ich mene, čo si vyžaduje, aby všetky relevantné údaje boli výslovne uvedené v registri uvedenom v článku 16 ods. 3 tejto smernice (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Agencija po vpisvanijata, C‑200/23, EU:C:2024:827, bod 78 a citovanú judikatúru).
46 V prejednávanej veci sa nezdá, že by zverejnenie údajov týkajúcich sa všetkých akcionárov akciových spoločností, a najmä ich menšinových akcionárov, bolo užitočné vzhľadom na cieľ ochrany záujmov tretích osôb a právnej istoty, a teda nemôže byť odôvodnené týmto cieľom. Keďže menšinoví akcionári v zásade nie sú oprávnení zastupovať akciovú spoločnosť, ani ju zaväzovať voči tretím osobám, ani vykonávať riadiace a dozorné funkcie, na rozdiel od členov správnych a riadiacich orgánov takejto spoločnosti, údaje týkajúce sa všetkých týchto akcionárov sa zdajú byť pre tieto tretie osoby irelevantné.
47 V dôsledku toho treba na prvú otázku odpovedať tak, že článok 14 písm. d) smernice 2017/1132 sa má vykladať v tom zmysle, že nevyžaduje zverejnenie informácií týkajúcich sa všetkých akcionárov spoločností, na ktoré sa vzťahuje toto ustanovenie, vrátane menšinových akcionárov takýchto spoločností.
O druhej otázke
48 S prihliadnutím na odpoveď poskytnutú na prvú otázku nie je potrebné odpovedať na druhú otázku.
O tretej a štvrtej otázke
49 Týmito otázkami, ktoré treba preskúmať spoločne, sa predkladajúci vnútroštátny súd v podstate pýta, či sa články 5 a 6 GDPR v spojení s článkami 7 a 8 Charty majú vykladať v tom zmysle, že bránia vnútroštátnej právnej úprave, ktorá ukladá povinnosť sprístupniť verejnosti osobné údaje týkajúce sa všetkých akcionárov akciových spoločností vrátane menšinových akcionárov, pokiaľ ide o totožnosť každého z týchto akcionárov, jeho kontaktné údaje, kategóriu, počet a menovitú hodnotu akcií, ktoré vlastní, ako aj počet hlasov spojených s týmito akciami, s cieľom zabezpečiť transparentné podnikateľské prostredie na ochranu záujmov tretích osôb, predchádzať praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní hromadného ničenia, ako aj poskytnúť informácie potrebné na presadzovanie vnútroštátnych a medzinárodných sankcií a sankcií Únie, ak prístup k týmto údajom nepodlieha žiadnej podmienke, akou je preukázanie legitímneho záujmu.
50 Na úvod je potrebné pripomenúť, že v súlade s cieľom sledovaným GDPR, ako vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, ktorý spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ, každé spracúvanie osobných údajov musí byť najmä v súlade so zásadami spracúvania takýchto údajov uvedenými v článku 5 GDPR a musí spĺňať podmienky zákonnosti vymenované v jeho článku 6 [pozri v tomto zmysle rozsudky z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, body 21 a 22, ako aj z 3. apríla 2025, Ministerstvo zdravotnictví (Údaje týkajúce sa zástupcu právnickej osoby), C‑710/23, EU:C:2025:231, body 29 a 33].
51 V tejto súvislosti treba uviesť, že článok 5 ods. 1 písm. a) GDPR vyžaduje, aby boli osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe.
52 Okrem toho, podľa článku 5 ods. 1 písm. b) GDPR, ktorý stanovuje zásadu obmedzenia účelu spracúvania osobných údajov, musia byť takéto údaje jednak získavané na konkrétne určené, výslovne uvedené a legitímne účely a jednak sa nesmú ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi. Podľa judikatúry Súdneho dvora táto zásada predovšetkým vyžaduje, aby účely spracúvania boli identifikované najneskôr pri získavaní osobných údajov, aby boli následne účely tohto spracúvania jasne uvedené, a napokon, aby účely uvedeného spracúvania zaručovali najmä zákonnosť spracúvania týchto údajov v zmysle článku 6 ods. 1 nariadenia GDPR (pozri v tomto zmysle rozsudok z 20. októbra 2022, Digi, C‑77/21, EU:C:2022:805, bod 27 a citovanú judikatúru).
53 Napokon podľa článku 5 ods. 1 písm. c) GDPR, ktorý zakotvuje zásadu minimalizácie údajov, tieto údaje musia byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú. Táto zásada je vyjadrením zásady proporcionality (pozri v tomto zmysle rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 24 a citovanú judikatúru).
54 Pokiaľ ide o podmienky zákonnosti spracúvania, článok 6 ods. 1 prvý pododsek GDPR stanovuje taxatívny a obmedzujúci zoznam prípadov, v ktorých možno spracúvanie osobných údajov považovať za zákonné. Aby sa teda spracúvanie mohlo považovať za legitímne, musí sa naň vzťahovať jeden z prípadov stanovených v tomto ustanovení (pozri v tomto zmysle rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 25 a citovanú judikatúru).
55 Podľa článku 6 ods. 1 prvého pododseku písm. a) GDPR je spracúvanie osobných údajov zákonné iba vtedy a iba v tom rozsahu, v akom s ním dotknutá osoba vyjadrila súhlas na jeden alebo viaceré konkrétne účely. V prípade neexistencie takéhoto súhlasu alebo v prípade, že tento súhlas nebol daný slobodne, konkrétne, informovane a jednoznačne v zmysle článku 4 bodu 11 GDPR, môže byť takéto spracúvanie napriek tomu odôvodnené, ak spĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) GDPR. V tomto kontexte dôvodov stanovených v tomto poslednom uvedenom ustanovení, pokiaľ umožňujú zákonnosť spracúvania osobných údajov vykonávaného bez súhlasu dotknutej osoby, sa majú vykladať reštriktívne (rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, body 26 a 27, ako aj citovaná judikatúra).
56 Okrem toho podľa judikatúry Súdneho dvora, ak možno konštatovať, že spracúvanie osobných údajov je nevyhnutné vzhľadom na niektorý z dôvodov stanovených v článku 6 ods. 1 prvom pododseku písm. b) až f) GDPR, nie je potrebné určiť, či sa na toto spracúvanie vzťahuje aj iný z týchto dôvodov (rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 28 a citovaná judikatúra).
57 V prejednávanej veci je nesporné, že informácie, o ktoré ide v spore vo veci samej, sa týkajú identifikovaných alebo identifikovateľných fyzických osôb, a preto ich treba kvalifikovať ako osobné údaje v zmysle článku 4 bodu 1 GDPR. Je tiež nesporné, že tieto informácie sú predmetom spracúvania v zmysle článku 4 bodu 2 GDPR v rozsahu, v akom sú sprístupnené verejnosti, a že toto spracúvanie, ktoré má automatizovanú povahu, patrí podľa článku 2 ods. 1 do vecnej pôsobnosti GDPR.
58 Okrem toho, ako uviedol v podstate generálny advokát v bode 43 svojich návrhov, spracúvanie údajov, o ktoré ide v spore vo veci samej, je uložené vnútroštátnou právnou úpravou, a teda musí byť preskúmané z hľadiska článku 6 ods. 1 prvého pododseku písm. c) GDPR, podľa ktorého je spracúvanie zákonné, ak je „nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa“.
59 Článok 6 ods. 3 GDPR najmä spresňuje, že v tomto prípade spracúvanie musí mať základ v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa a že účel spracúvania sa musí stanoviť v tomto právnom základe. Tento právny základ musí spĺňať cieľ verejného záujmu a byť primeraný sledovanému legitímnemu cieľu. Keďže tieto požiadavky sú výrazom požiadaviek vyplývajúcich z článku 52 ods. 1 Charty, majú sa vykladať s prihliadnutím na toto ustanovenie (pozri v tomto zmysle rozsudky z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 69, a zo 4. októbra 2024, Agencija po vpisvanijata, C‑200/23, EU:C:2024:827, bod 104).
60 V tejto súvislosti treba uviesť, že základné práva na rešpektovanie súkromného života a na ochranu osobných údajov zaručené v článkoch 7 a 8 Charty nie sú absolútnymi výsadami, ale musia sa posudzovať vo vzťahu k ich funkcii v spoločnosti a musia byť vyvážené s inými základnými právami. Obmedzenia tak možno zaviesť, pokiaľ sú v súlade s článkom 52 ods. 1 Charty ustanovené zákonom a rešpektujú podstatu základných práv, ako aj zásadu proporcionality [rozsudky z 22. júna 2021, Latvijas Republikas Saeima (Pokutové body), C‑439/19, EU:C:2021:504, bod 105, z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 70, ako aj zo 4. októbra 2024, Bezirkshauptmannschaft Landeck (Pokus o prístup k osobným údajom uloženým v mobilnom telefóne), C‑548/21, EU:C:2024:830, bod 85 a citovaná judikatúra].
61 V tomto kontexte treba pripomenúť, že podľa ustálenej judikatúry primeranosť opatrení, z ktorých vyplýva zásah do práv zaručených v článkoch 7 a 8 Charty, vyžaduje dodržiavanie požiadaviek spôsobilosti a nevyhnutnosti, ako aj požiadavky, ktorá sa týka primeranosti týchto opatrení vo vzťahu k sledovanému cieľu (rozsudok Luxembourg Business Registers, bod 63 a citovaná judikatúra).
62 Konkrétnejšie, výnimky z ochrany osobných údajov a jej obmedzenia sa uskutočňujú v medziach toho, čo je striktne nevyhnutné, pričom ak sa ponúka výber medzi viacerými opatreniami vhodnými na dosiahnutie sledovaných legitímnych cieľov, je potrebné prikloniť sa k najmenej obmedzujúcemu opatreniu. Okrem toho cieľ všeobecného záujmu nemožno sledovať bez zohľadnenia skutočnosti, že ho treba zosúladiť so základnými právami, ktorých sa dotklo zvolené opatrenie, a to náležitým vyvážením cieľa všeobecného záujmu a dotknutých práv, aby sa zabezpečilo, že nepríjemnosti spôsobené týmto opatrením nebudú neprimerané vo vzťahu k sledovaným cieľom. Možnosť odôvodniť obmedzenie práv zaručených v článkoch 7 a 8 Charty sa teda musí posúdiť tak, že sa zistí miera závažnosti zásahu, ktorý má za následok takéto obmedzenie, a overí, či je dôležitosť cieľa všeobecného záujmu sledovaného týmto obmedzením úmerná tejto závažnosti (rozsudok Luxembourg Business Registers, bod 64 a citovaná judikatúra).
63 Okrem toho na splnenie požiadavky proporcionality musí dotknutá právna úprava obsahujúca zásah stanoviť jasné a presné pravidlá upravujúce rozsah a uplatnenie opatrení, ktoré stanovuje, a ukladajúce minimálne požiadavky tak, aby dotknuté osoby mali dostatočné záruky umožňujúce účinne chrániť ich osobné údaje pred rizikami zneužitia. Táto právna úprava musí najmä vymedziť okolnosti a podmienky, za akých možno prijať opatrenie upravujúce spracúvanie takýchto údajov, čím zaručí, aby zásah nešiel nad rámec toho, čo je striktne nevyhnutné (pozri v tomto zmysle rozsudok Luxembourg Business Registers, bod 65 a citovanú judikatúru).
64 V prejednávanej veci prináleží predkladajúcemu vnútroštátnemu súdu, aby v prvom rade overil, či vnútroštátna právna úprava, o ktorú ide vo veci samej, spĺňa zásadu obmedzenia účelu uvedenú v článku 5 ods. 1 písm. b) GDPR vzhľadom na judikatúru pripomenutú v bode 52 tohto rozsudku a či je účel spracúvania stanovený v príslušnom právnom základe v zmysle článku 6 ods. 3 GDPR. Ako uviedol generálny advokát v bode 45 svojich návrhov, v tejto súvislosti je dôležité, aby dotknutý účel alebo účely mohli byť vymedzené dostatočne určito vzhľadom na znenie dotknutej právnej úpravy alebo normatívny kontext, do ktorého táto právna úprava patrí.
65 V druhom rade treba overiť, či tento právny základ spĺňa ostatné požiadavky vyplývajúce z článku 6 ods. 3 GDPR a článku 52 ods. 1 Charty vzhľadom na ustálenú judikatúru pripomenutú v bodoch 59 až 63 tohto rozsudku a s prihliadnutím na závažnosť zásahu do práv zaručených článkami 7 a 8 Charty, ktorý vyplýva z uvedeného právneho základu.
66 Hoci v konečnom dôsledku prináleží predkladajúcemu vnútroštátnemu súdu, aby posúdil, či sú tieto ostatné požiadavky splnené, Súdnemu dvoru, ktorý rozhoduje o návrhu na začatie prejudiciálneho konania, prináleží, aby tomuto súdu poskytol všetky prvky výkladu práva Únie, ktoré môžu byť užitočné na rozhodnutie veci, ktorú prejednáva, a prípadne poskytol spresnenia s cieľom usmerniť uvedený súd pri jeho preskúmaní (pozri v tomto zmysle rozsudky z 27. júna 2017, Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, bod 36 a citovanú judikatúru, ako aj z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 51).
67 V tejto súvislosti, ako vyplýva z ustálenej judikatúry Súdneho dvora, poskytnutie osobných údajov tretím osobám vrátane sprístupnenia takýchto údajov predstavuje zásah do základných práv zakotvených v článkoch 7 a 8 Charty, a to bez ohľadu na ďalšie použitie poskytnutých informácií. V tejto súvislosti nie je dôležité, či predmetné informácie týkajúce sa súkromného života majú alebo nemajú citlivú povahu alebo či pre dotknuté osoby z dôvodu tohto zásahu vyplynuli alebo nevyplynuli prípadné nepriaznivé následky (pozri v tomto zmysle rozsudok z 21. júna 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, bod 96, a rozsudok Luxembourg Business Registers, bod 39).
68 Hoci v tomto prípade vnútroštátna právna úprava, o ktorú ide vo veci samej, presne vymenúva osobné údaje, ktoré musia byť sprístupnené verejnosti, v dôsledku čoho zásah, ktorý z tohto vyplýva, je stanovený zákonom, je ešte potrebné na jednej strane posúdiť závažnosť tohto zásahu a na druhej strane preskúmať, či dôležitosť údajne sledovaných cieľov všeobecného záujmu je úmerná tejto závažnosti (pozri v tomto zmysle rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 98).
69 Pokiaľ ide na jednej strane o závažnosť tohto zásahu, treba vziať do úvahy najmä povahu dotknutých osobných údajov, predovšetkým prípadne citlivú povahu týchto údajov, ako aj povahu a konkrétne spôsoby spracúvania dotknutých údajov, najmä počet osôb, ktoré majú prístup k týmto údajom, a podmienky prístupu k nim (rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, bod 99 a citovaná judikatúra).
70 V prejednávanej veci treba uviesť, že v rozsahu, v akom sa údaje sprístupnené verejnosti týkajú najmä identity každého akcionára, jeho kontaktných údajov, počtu a menovitej hodnoty akcií, ktoré vlastní, ako aj počet hlasov spojených s týmito akciami, tieto údaje môžu umožniť vytvoriť profil týkajúci sa okrem iného stavu majetku dotknutej osoby, ako aj konkrétnych hospodárskych odvetví a podnikov, do ktorých táto osoba investovala (pozri v tomto zmysle rozsudok Luxembourg Business Registers, bod 41).
71 K uvedenému treba dodať, že pre takéto sprístupnenie je charakteristické, že tieto údaje sa následne stanú prístupnými pre potenciálne neobmedzený počet osôb, v dôsledku čoho ich spracúvanie môže tiež umožniť, aby osoby, ktoré sa z dôvodov nesúvisiacich s cieľom sledovaným týmto sprístupnením usilujú získať informácie najmä o majetkovej a finančnej situácii takéhoto akcionára, mali voľný prístup k uvedeným údajom. Táto možnosť sa zdá o to jednoduchšia, ak takéto údaje možno vyhľadať na internete (pozri v tomto zmysle rozsudok Luxembourg Business Registers, bod 42 a citovanú judikatúru).
72 Okrem toho potenciálne dôsledky pre dotknuté osoby vyplývajúce z prípadného zneužitia ich údajov zhoršuje skutočnosť, že po sprístupnení verejnosti tieto údaje môžu byť nielen voľne prístupné, ale aj uchovávané a šírené a že v prípade takéhoto ďalšieho spracúvania sa stáva pre tieto osoby ešte ťažšie, ba dokonca iluzórne účinne sa brániť proti zneužitiu (pozri v tomto zmysle rozsudok Luxembourg Business Registers, bod 43).
73 Hoci teda sprístupnenie údajov, o ktoré ide v spore vo veci samej, neohrozuje podstatu práv zaručených článkami 7 a 8 Charty, predstavuje v každom prípade závažný zásah do týchto práv (pozri v tomto zmysle rozsudok Luxembourg Business Registers, body 44 a 54).
74 Na druhej strane, ako uviedol generálny advokát v bodoch 50 až 52 svojich návrhov, treba konštatovať, že ciele, ktoré uviedol Parlament Lotyšskej republiky pred predkladajúcim vnútroštátnym súdom na odôvodnenie opatrenia stanoveného vnútroštátnou právnou úpravou dotknutou vo veci samej a pripomenuté v bode 49 tohto rozsudku, možno kvalifikovať ako ciele všeobecného záujmu uznané Úniou. Treba však preskúmať, či vnútroštátna právna úprava, o akú ide vo veci samej, spĺňa požiadavky spôsobilosti a nevyhnutnosti, ako aj požiadavku, ktorá sa týka primeranosti tohto opatrenia vo vzťahu k sledovaným cieľom v zmysle bodu 61 tohto rozsudku.
75 Pokiaľ ide o cieľ všeobecného záujmu spočívajúci v zabezpečení transparentného podnikateľského prostredia na ochranu záujmov tretích osôb, treba uviesť, že tento cieľ sa v podstate javí ako zhodný s cieľom sledovaným koordináciou vnútroštátnych ustanovení uskutočnenou v článku 14 písm. d) smernice 2017/1132 v spojení s jej odôvodneniami 7 a 8.
76 Ako však vyplýva z bodu 46 tohto rozsudku, zverejnenie údajov týkajúcich sa všetkých akcionárov akciovej spoločnosti, a najmä jej menšinových akcionárov, sa nezdá byť užitočné z hľadiska tohto cieľa. V dôsledku toho sa vnútroštátna právna úprava, o akú ide vo veci samej, nezdá byť ani vhodná, ani nevyhnutná na dosiahnutie uvedeného cieľa, a preto nemôže odôvodniť závažný zásah do práv zaručených článkami 7 a 8 Charty, ako je uvedený v bode 73 tohto rozsudku.
77 Pokiaľ ide o cieľ všeobecného záujmu spočívajúci v predchádzaní praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní hromadného ničenia, treba konštatovať, že prístup verejnosti k dotknutým údajom môže prispieť k jeho uskutočneniu z dôvodu, že verejná povaha tohto prístupu a z toho vyplývajúca zvýšená transparentnosť sa podieľajú na vytvorení prostredia, pri ktorom bude menej pravdepodobné, že sa využije na tieto účely (pozri v tomto zmysle rozsudok Luxembourg Business Registers, bod 67).
78 Takýto prístup však nemožno považovať za striktne nevyhnutný, ak tento cieľ možno primeraným spôsobom rovnako účinne dosiahnuť inými prostriedkami, ktoré menej zasahujú do práv zaručených článkami 7 a 8 Charty [pozri v tomto zmysle rozsudok zo 4. októbra 2024, Bezirkshauptmannschaft Landeck (Pokus o prístup k osobným údajom uloženým v mobilnom telefóne), C‑548/21, EU:C:2024:830, bod 87].
79 Boj proti praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní hromadného ničenia je totiž predovšetkým záležitosťou orgánov verejnej moci, ako aj takých subjektov, akými sú úverové alebo finančné inštitúcie, ktoré z dôvodu svojej činnosti podliehajú osobitným povinnostiam v tejto oblasti (rozsudok Luxembourg Business Registers, bod 83), akými sú povinnosti vyplývajúce najmä z článkov 11 a 13 smernice 2015/849.
80 V tejto súvislosti treba poznamenať, že článok 30 ods. 5 smernice 2015/849, ktorého znenie vychádza z článku 74 bodu 1 smernice 2024/1640, stanovuje, že členské štáty musia zabezpečiť, aby boli informácie o konečných užívateľoch výhod, v zmysle tohto ustanovenia, prístupné v každom prípade najmä pre „každú osobu alebo organizáciu, ktorá môže preukázať legitímny záujem“, a nie pre verejnosť ako celok.
81 V tejto súvislosti treba tiež spresniť, že podľa judikatúry Súdneho dvora právna úprava, ktorá na účely sledovania cieľa uvedeného v bode 77 tohto rozsudku umožňuje prístup k osobným údajom osobám z radov verejnosti, ktoré môžu preukázať legitímny záujem, môže v zásade obmedziť zásah do práv zaručených v článkoch 7 a 8 Charty na to, čo je striktne nevyhnutné (pozri v tomto zmysle rozsudok z 21. mája 2026, Across Fiduciaria a i., C‑684/24 a C‑685/24, EU:C:2026:410, bod 106).
82 V prejednávanej veci, pokiaľ ide o menšinových akcionárov, ktorí nemajú postavenie konečných užívateľov výhod spoločnosti, v ktorej vlastnia časť základného imania, sa teda nezdá, a už vôbec nie ako striktne nevyhnutné, aby osobné údaje, o aké ide v spore vo veci samej, boli prístupné každej osobe bez toho, aby táto osoba musela preukázať legitímny záujem.
83 V tomto kontexte, hoci predkladajúci vnútroštátny súd uvádza, že vnútroštátny obchodný register, ktorý je prevádzkovateľom, by nemusel byť schopný overiť, či každý žiadateľ o informácie má skutočne legitímny záujem na prístupe k dotknutým osobným údajom, treba pripomenúť, že prípadné praktické ťažkosti spojené s overením existencie legitímneho záujmu nie sú spôsobilé preukázať striktne nevyhnutnú povahu zásahu do základných práv zaručených Chartou (pozri analogicky rozsudky z 26. septembra 2000, Komisia/Rakúsko, C‑205/98, EU:C:2000:493, bod 78 a citovanú judikatúru, ako aj z 27. novembra 2008, Papillon, C‑418/07, EU:C:2008:659, bod 54 a citovanú judikatúru).
84 Pokiaľ ide o náležité vyváženie sledovaného cieľa všeobecného záujmu na jednej strane a dotknutých základných práv na druhej strane, treba dodať, že hoci boj proti praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní hromadného ničenia môže vo všeobecnosti odôvodniť zásah, hoci aj závažný, do týchto práv (pozri v tomto zmysle rozsudok Luxembourg Business Registers, body 58 a 59), tento cieľ nemôže v prejednávanej veci prevážiť nad uvedenými právami vzhľadom na povahu a závažnosť zásahu konštatovaného v bode 73 tohto rozsudku.
85 V tomto kontexte treba okrem toho uviesť, že vnútroštátna právna úprava, o akú ide vo veci samej, nie je sprevádzaná dostatočnými zárukami, ktoré by umožnili účinne chrániť dotknuté osoby pred rizikami zneužitia v zmysle judikatúry uvedenej v bode 63 tohto rozsudku. Ich osobné údaje sú totiž prístupné na internete a môžu byť predmetom hromadných sťahovaní najmä zo strany akéhokoľvek anonymného používateľa, čo zvyšuje takéto riziká.
86 V dôsledku toho sa taká vnútroštátna právna úprava, o akú ide vo veci samej, nezdá byť ani nevyhnutná, ani primeraná vo vzťahu k dotknutému cieľu v zmysle bodu 61 tohto rozsudku.
87 Napokon, pokiaľ ide o cieľ všeobecného záujmu spočívajúci v poskytnutí informácií potrebných na presadzovanie vnútroštátnych a medzinárodných sankcií a sankcií Únie, taká vnútroštátna právna úprava, o akú ide vo veci samej, tiež môže prispieť k jeho uskutočneniu. Treba totiž konštatovať, že zvýšená transparentnosť, ktorá vyplýva z tejto právnej úpravy, môže uľahčiť toto presadzovanie.
88 Ako však v podstate uviedol generálny advokát v bodoch 60 a 61 svojich návrhov, prístup verejnosti k údajom, o ktoré ide v spore vo veci samej, sa nezdá byť na tento účel striktne nevyhnutný, keďže sa zdá, že sú k dispozícii prostriedky, ktoré menej zasahujú do práv zaručených článkami 7 a 8 Charty.
89 Ako uviedla Komisia vo svojich písomných pripomienkach, takýto menej zasahujúci prostriedok by mohol spočívať najmä v obmedzení povinnosti zverejnenia len na údaje týkajúce sa osôb uvedených na sankčných zoznamoch a v tom, že prístup k údajom týkajúcim sa akcionárov, ktorí nie sú uvedení na týchto zoznamoch, by sa umožnil len osobám, ktoré v tejto súvislosti preukážu legitímny záujem.
90 Okrem toho z rovnakých dôvodov, ako sú dôvody uvedené v bodoch 84 a 85 tohto rozsudku, sledovaný cieľ všeobecného záujmu nemôže v prejednávanej veci prevážiť nad dotknutými základnými právami a vnútroštátna právna úprava, o akú ide vo veci samej, neobsahuje dostatočné záruky, ktoré by umožnili účinne chrániť dotknuté osoby pred rizikami zneužitia.
91 Takáto právna úprava sa teda nezdá byť ani nevyhnutná, ani primeraná vo vzťahu k dotknutému cieľu v zmysle bodu 61 tohto rozsudku.
92 V dôsledku toho vzhľadom na vyššie uvedené úvahy treba na tretiu a štvrtú otázku odpovedať tak, že články 5 a 6 GDPR v spojení s článkami 7 a 8 Charty sa majú vykladať v tom zmysle, že bránia vnútroštátnej právnej úprave, ktorá ukladá povinnosť sprístupniť verejnosti osobné údaje týkajúce sa všetkých akcionárov akciových spoločností vrátane menšinových akcionárov, pokiaľ ide o totožnosť každého z týchto akcionárov, jeho kontaktné údaje, kategóriu, počet a menovitú hodnotu akcií, ktoré vlastní, ako aj počet hlasov spojených s týmito akciami, s cieľom zabezpečiť transparentné podnikateľské prostredie na ochranu záujmov tretích osôb, predchádzať praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní hromadného ničenia, ako aj poskytnúť informácie potrebné na presadzovanie vnútroštátnych a medzinárodných sankcií a sankcií Únie, ak prístup k týmto údajom nepodlieha žiadnej podmienke, akou je preukázanie legitímneho záujmu.
O trovách
93 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred predkladajúcim vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (prvá komora) rozhodol takto:
1. Článok 14 písm. d) smernice Európskeho parlamentu a Rady (EÚ) 2017/1132 zo 14. júna 2017 týkajúc[ej] sa niektorých aspektov práva obchodných spoločností, zmenenej smernicou Európskeho parlamentu a Rady (EÚ) 2019/1151 z 20. júna 2019, sa má vykladať v tom zmysle, že nevyžaduje zverejnenie informácií týkajúcich sa všetkých akcionárov spoločností, na ktoré sa vzťahuje toto ustanovenie, vrátane menšinových akcionárov takýchto spoločností.
2. Články 5 a 6 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), v spojení s článkami 7 a 8 Charty základných práv Európskej únie sa majú vykladať v tom zmysle, že bránia vnútroštátnej právnej úprave, ktorá ukladá povinnosť sprístupniť verejnosti osobné údaje týkajúce sa všetkých akcionárov akciových spoločností vrátane menšinových akcionárov, pokiaľ ide o totožnosť každého z týchto akcionárov, jeho kontaktné údaje, kategóriu, počet a menovitú hodnotu akcií, ktoré vlastní, ako aj počet hlasov spojených s týmito akciami, s cieľom zabezpečiť transparentné podnikateľské prostredie na ochranu záujmov tretích osôb, predchádzať praniu špinavých peňazí a financovaniu terorizmu a šíreniu zbraní hromadného ničenia, ako aj poskytnúť informácie potrebné na presadzovanie vnútroštátnych a medzinárodných sankcií a sankcií Európskej únie, ak prístup k týmto údajom nepodlieha žiadnej podmienke, akou je preukázanie legitímneho záujmu.
Podpisy
* Jazyk konania: lotyština.
i Názov tejto veci je fiktívny. Nezodpovedá skutočnému menu ani názvu žiadneho z účastníkov konania.