Prawo do usunięcia danych wspólnika spółki

Stan faktyczny

OL jest wspólniczką P. spółki z o.o. bułgarskiego prawa, która w styczniu 2021 r. została wpisana do rejestru handlowego w następstwie przedstawienia umowy spółki. Umowa ta, zawierająca nazwisko, imię, numer identyfikacyjny, numer dowodu tożsamości, datę i miejsce wydania tego dowodu, a także adres OL i jej podpis, została podana do publicznej wiadomości przez bułgarską Agencją rejestrową (dalej: Agencja). Następnie OL złożyła do Agencji wniosek o usunięcie jej danych osobowych z umowy spółki. Agencja wykreśliła z urzędu części danych, ale nie wykreśliła jej nazwiska, imienia i podpisu.

Bułgarski sąd zawarł we wniosku prejudycjalnym szereg pytań dotyczących zasadniczo relacji między przepisami w zakresie jawności dokumentów spółek zawartymi w dyrektywie 2009/101/WE Parlamentu Europejskiego i Rady z 16.9.2009 r. w sprawie koordynacji gwarancji, jakie są wymagane w państwach członkowskich od spółek w rozumieniu art. 48 akapit drugi Traktatu, w celu uzyskania ich równoważności, dla zapewnienia ochrony interesów zarówno wspólników, jak i osób trzecich (wersja ujednolicona) (Dz.Urz. UE L z 2009 r. Nr 258, s. 11), a rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1).

Stanowisko TS

Obowiązek zezwolenia na ujawnienie

Zgodnie z art. 21 ust. 2 ak. 1 dyrektywy Parlamentu Europejskiego i Rady (UE) 2017/1132 w sprawie niektórych aspektów prawa spółek (tekst jednolity) (Dz.Urz. UE L 2017 Nr 169, str. 46) oprócz obowiązkowego ujawnienia, o którym mowa w art. 16 dyrektywy 2017/1132, państwa członkowskie dopuszczają dobrowolne ujawnianie tłumaczeń dokumentów i informacji, o których mowa w art. 14 dyrektywy 2017/1132 , w dowolnym języku lub językach urzędowych Unii. Akapit drugi art. 21 ust. 2 dyrektywy 2017/1132 upoważnia państwa członkowskie do wymagania, aby „tłumaczenia takich dokumentów i informacji” były poświadczone. Natomiast art. 21 ust. 2 ak. 3 dyrektywy 2017/1132 dotyczy środków niezbędnych do ułatwienia osobom trzecim dostępu do „tłumaczeń”, które były przedmiotem dobrowolnego ujawnienia.

Trybunał orzekł, iż art. 21 ust. 2 dyrektywy 2017/1132 należy interpretować w ten sposób, iż nie nakłada on na państwo członkowskie obowiązku zezwolenia na ujawnienie w rejestrze handlowym umowy spółki podlegającej obowiązkowemu ujawnieniu przewidzianemu w tej dyrektywie i zawierającej – inne niż minimalnie wymagane dane osobowe – danych osobowych, których publikacja nie jest wymagana przez prawo tego państwa.

Organ rejestrowy

Trybunał orzekł, iż rozporządzenie 2016/679, w szczególności art. 4 pkt 7 2016/679 i art. 4 pkt 9 2016/679, należy interpretować w ten sposób, iż organ odpowiedzialny za prowadzenie rejestru handlowego państwa członkowskiego, który publikuje w tym rejestrze dane osobowe zawarte w umowie spółki, podlegającej obowiązkowemu ujawnieniu przewidzianemu w dyrektywie 2017/1132, która została mu przekazana w ramach wniosku o wpis tej spółki do tego rejestru, jest zarówno „odbiorcą” tych danych – w szczególności w zakresie, w jakim udostępnia je publicznie – jak i „administratorem” owych danych w rozumieniu tego przepisu, choćby jeżeli ta umowa zawiera dane osobowe niewymagane przez tę dyrektywę lub prawo tego państwa członkowskiego.

Odmowa usunięcia danych

Trybunał stwierdził, iż aby przetwarzanie można było uznać za zgodne z prawem, musi ono wchodzić w zakres jednego z przypadków przewidzianych w art. 6 ust. 1 rozporządzenia 2016/679 (ak. 1) (wyrok TS z 22.6.2021 r., Latvijas Republikas Saeima (Punkty karne), C-439/19 , Legalis, pkt 99). W przypadku braku zgody osoby, której dane dotyczą, na przetwarzanie jej danych osobowych na podstawie tego art. 6 ust. 1 rozporządzenia 2016/679 (ak. 1 lit. a)), lub gdy ta zgoda nie została udzielona dobrowolnie, konkretnie, świadomie i jednoznacznie w rozumieniu art. 4 pkt 11 rozporządzenia 2016/679, takie przetwarzanie może jednak być uzasadnione, o ile spełnia jeden z wymagań konieczności, o których mowa w art. 6 ust. 1 rozporządzenia 2016/679 (ak. 1 lit. b)–f)).

Trybunał stwierdził, iż wymóg zachowania integralności i wiarygodności dokumentów spółek podlegających obowiązkowemu ujawnieniu przewidzianemu w dyrektywie 2017/1132, która wymaga publikacji tych dokumentów w postaci, w jakiej zostały one przekazane organom odpowiedzialnym za prowadzenie rejestru handlowego, nie może systematycznie przeważać nad tym prawem do ochrony danych osobowych, gdyż w przeciwnym razie wynikająca z niego ochrona stałaby się iluzoryczna.

Zdaniem TS w niniejszej sprawie rozpatrywane przetwarzanie danych osobowych wydaje się, wykraczać poza to, co jest konieczne do wykonania zadania realizowanego w interesie publicznym, które zostało powierzone Agencji na mocy bułgarskich przepisów.

W konsekwencji, z zastrzeżeniem weryfikacji, których powinien dokonać sąd odsyłający, TS uznał, iż takie przetwarzanie nie wydaje się również spełniać warunków zgodności z prawem przewidzianych w art. 6 ust. 1 rozporządzenia 2016/679 (ak. 1 lit. c) i e)) w związku z art. 6 ust. 3 rozporządzenia 2016/679.

Trybunał stwierdził, iż w przypadku gdyby sąd odsyłający stwierdził – po przeprowadzeniu oceny zgodności z prawem tego przetwarzania – iż to przetwarzanie nie jest zgodne z prawem, do Agencji (jako administratora danych), należy zgodnie z art. 17 ust. 1 lit. d) rozporządzenia 2016/679, usunięcie odnośnych danych w najkrótszym możliwym terminie. Ponadto, zdaniem TS w rozpatrywanej sprawie nie wydaje się, aby istniała nadrzędna prawnie uzasadniona podstawa, która mogłaby stać na przeszkodzie takiemu wnioskowi o usunięcie.

Trybunał orzekł, iż dyrektywę 2017/1132, w szczególności jej art. 16, a także art. 17 rozporządzenia 2016/679 należy interpretować w ten sposób, iż stoją one na przeszkodzie uregulowaniu lub praktyce państwa członkowskiego, które prowadzą do odmowy przez organ odpowiedzialny za prowadzenie rejestru handlowego tego państwa członkowskiego uwzględnienia każdego wniosku o usunięcie danych osobowych, których nie wymaga ta dyrektywa lub prawo tego państwa, zawartych w umowie spółki opublikowanej w tym rejestrze, o ile odpis tej umowy, utajniający te dane, nie został przekazany temu organowi, wbrew zasadom proceduralnym przewidzianym w tym uregulowaniu.

Szkoda

W niniejszej sprawie, sąd stwierdził istnienie szkody niemajątkowej polegającej na negatywnym doświadczeniu psychicznym i emocjonalnym OL, a mianowicie strachu i niepokoju wobec ewentualnych nadużyć, a także braku możliwości działania i rozczarowaniu co do niemożności ochrony danych osobowych tej osoby. Orzeczono również, iż ta szkoda niemajątkowa wynika z pisma Agencji, które spowodowało naruszenie prawa do usunięcia danych ustanowionego w art. 17 ust. 1 rozporządzenia 2016/679, a także niezgodne z prawem przetwarzanie jej danych osobowych zawartych w rozpatrywanej umowie P. podanej do publicznej wiadomości.

Trybunał orzekł, iż art. 82 ust. 1 rozporządzenia 2016/679 należy interpretować w ten sposób, iż ograniczona w czasie utrata przez osobę, której dane dotyczą, kontroli nad jej danymi osobowymi z powodu publicznego udostępnienia tych danych online w rejestrze handlowym państwa członkowskiego może wystarczyć do spowodowania „szkody niemajątkowej”, pod warunkiem iż osoba ta wykaże, iż faktycznie poniosła taką szkodę, choćby jeżeli jest ona nieznaczna, przy czym to pojęcie „szkody niemajątkowej” nie wymaga wykazania istnienia dodatkowych wymiernych negatywnych konsekwencji.

Komentarz