SODBA SODIŠČA (drugi senat)
z dne 9. marca 2017(*)
„Predhodno odločanje – Osebni podatki – Varstvo posameznikov pri obdelavi teh podatkov – Direktiva 95/46/ES – Člen 6(1)(e) – Podatki, ki se objavijo v registru družb – Prva direktiva 68/151/EGS – Člen 3 – Prenehanje zadevne družbe – Omejitev dostopa tretjih oseb do teh podatkov“
V zadevi C‑398/15,
katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Corte suprema di cassazione (kasacijsko sodišče, Italija) z odločbo z dne 21. maja 2015, ki je na Sodišče prispela 23. julija 2015, v postopku
Camera di Commercio,Industria, Artigianato e Agricoltura di Lecce
proti
Salvatoreju Manniju,
SODIŠČE (drugi senat),
v sestavi M. Ilešič (poročevalec), predsednik senata, A. Prechal, sodnica, A. Rosas, sodnik, C. Toader, sodnica, in E. Jarašiūnas, sodnik,
generalni pravobranilec: Y. Bot,
sodni tajnik: I. Illéssy, administrator,
na podlagi pisnega postopka in obravnave z dne 15. junija 2016,
ob upoštevanju stališč, ki so jih predložili:
– za Camera di Commercio Industria, Artigianato e Agricoltura di Lecce L. Caprioli, odvetnik,
– za italijansko vlado G. Palmieri, agentka, skupaj z E. De Bonisom in P. Grassom, avvocati dello Stato,
– za češko vlado M. Smolek in J. Vláčil, agenta,
– za nemško vlado T. Henze in J. Möller, agenta,
– za Irsko E. Creedon, J. Quaney in A. Joyce, agenti, skupaj z A. Carroll, barrister,
– za poljsko vlado B. Majczyna, agent,
– za portugalsko vlado L. Inez Fernandes, M. Figueiredo in C. Vieira Guerra, agenti,
– za Evropsko komisijo P. Costa de Oliveira, D. Nardi in H. Støvlbæk, agenti,
po predstavitvi sklepnih predlogov generalnega pravobranilca na obravnavi 8. septembra 2016
izreka naslednjo
Sodbo
1 Predlog za sprejetje predhodne odločbe se nanaša na razlago člena 3 Prve direktive Sveta 68/151/EGS z dne 9. marca 1968 o uskladitvi zaščitnih ukrepov za varovanje interesov družbenikov in tretjih oseb, ki jih države članice zahtevajo od gospodarskih družb v skladu z drugim odstavkom člena 58 Pogodbe, zato da se oblikujejo zaščitni ukrepi z enakim učinkom v vsej Skupnosti (UL, posebna izdaja v slovenščini, poglavje 17, zvezek 1, str. 3), kakor je bila spremenjena z Direktivo 2003/58/ES Evropskega parlamenta in Sveta z dne 15. julija 2003 (UL, posebna izdaja v slovenščini, poglavje 17, zvezek 1, str. 304) (v nadaljevanju: Direktiva 68/151), in člena 6(1)(e) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355).
2 Ta predlog za sprejetje predhodne odločbe je bil vložen v okviru spora med Camera di Commercio, Industria, Artigianato e Agricoltura di Lecce (gospodarska, industrijska, obrtna in kmetijska zbornica v Lecceju, Italija, v nadaljevanju: gospodarska zbornica v Lecceju) in Salvatorejem Mannijem, ki je nastal, ker je navedena zbornica zavrnila izbris nekaterih osebnih podatkov v zvezi s S. Mannijem iz registra družb.
Pravni okvir
Pravo Unije
Direktiva 68/151
3 Kot je navedeno v uvodni izjavi 3 Direktive 2003/58, je bila ta namenjena zlasti posodobitvi Direktive 68/151 zaradi „lažje in hitrejše dostopnosti informacij o družbah zainteresiranim strankam, ampak tudi močn[e] poenostavit[ve] formalnosti v zvezi z objavo, ki veljajo za družbe“.
4 V uvodnih izjavah Direktive 68/151 je navedeno:
„ker je usklajevanje, predvideno v členu 54(3)(g) [Pogodbe EGS] in v Splošnem programu za odpravo omejitev svobode ustanavljanja podjetij, nujna zadeva, zlasti v zvezi z delniškimi družbami in drugimi družbami z omejeno odgovornostjo, ker dejavnost takih družb pogosto presega meje nacionalnega ozemlja;
ker je uskladitev nacionalnih določb v zvezi z objavo, veljavnostjo sprejetih obveznosti in ničnostjo takih družb še posebej pomembna, zlasti glede varstva interesov tretjih oseb;
ker morajo biti zato določbe Skupnosti v zvezi s temi družbami sprejete sočasno, saj je njihovo edino jamstvo nasproti tretjim osebam njihovo premoženje;
ker morajo biti osnovni dokumenti družbe objavljeni, zato da se lahko tretje osebe seznanijo z njihovo vsebino in drugimi informacijami v zvezi z družbo, zlasti s podatki o osebah, ki so pooblaščene za zastopanje in sprejemanje obveznosti v imenu družbe;
ker mora biti varstvo tretjih oseb zagotovljeno z določbami, ki kar najbolj omejujejo vzroke, zaradi katerih niso veljavne obveznosti, sklenjene v imenu družbe;
ker je zaradi zagotovitve pravne varnosti glede odnosov med družbo in tretjimi osebami, pa tudi med družbeniki, treba omejiti možne primere ničnosti in povratni učinki ugotovljene ničnosti, in določiti kratek rok, v katerem lahko tretje osebe nasprotujejo vsaki takšni ugotovitvi.“
5 V skladu s členom 1 Direktive 68/151 se usklajevalni ukrepi, predpisani s to direktivo, uporabljajo za zakone in druge predpise držav članic v zvezi s tipi družb, ki so našteti v tej določbi, med katerimi je za Italijansko republiko navedena società a responsabilità limitata (družba z omejeno odgovornostjo).
6 Člen 2 te direktive v oddelku I te direktive, naslovljenem „Objava“, določa:
„1. Države članice sprejmejo potrebne ukrepe za zagotovitev obveznosti družb, da objavijo najmanj naslednje dokumente in podatke:
[…]
(d) imenovanje, odpoklic in podatke o osebah, ki so ali kot v zakonu predvideni organ ali kot članice takega organa:
(i) pooblaščene, da zastopajo družbo v poslih s tretjimi osebami in v sodnih postopkih;
(ii) udeležene pri upravljanju, nadzoru ali obvladovanju družbe.
[…]
(h) prenehanje družbe;
[…]
(j) imenovanje likvidacijskih upraviteljev, podrobne podatke o njih in njihova pooblastila, razen če ta pooblastila izhajajo izrecno in izključno iz zakona ali statuta družbe;
(k) ustavitev postopka likvidacije in v državah članicah, kjer ima izbris družbe iz registra pravne posledice, podatke o vsakem takem izbrisu.“
7 Člen 3 navedene direktive, ki spada v isti oddelek, določa:
„1. V vsaki državi članici se v centralnem registru, trgovinskem registru ali registru podjetij odpre spis za vsako registrirano družbo.
2. Vsi dokumenti in podatki, ki se morajo objaviti v skladu s členom 2, se shranijo v spisu ali vpišejo v register; vsebina vpisa v register mora biti v vsakem primeru razvidna iz spisa.
[…]
3. Prepis celote ali katerega koli dela dokumentov ali podatkov iz člena 2 mora biti dostopen na zahtevo. Najpozneje od 1. januarja 2007 se lahko vloge registru predložijo v papirni ali elektronski obliki, kakor se odloči vlagatelj.
Od datuma, ki ga določi vsaka država članica, ki pa ne sme biti poznejši od 1. januarja 2007, morajo biti prepisi iz prvega pododstavka na voljo iz registra v papirni ali elektronski obliki, kakor se odloči vlagatelj. To velja za vse dokumente in podatke, ne glede na to, ali so bili vpisani pred določenim datumom ali po njem. Vendar pa lahko države članice odločijo, da vsi dokumenti in podatki ali nekatere vrste dokumentov in podatkov, vpisanih v papirni obliki na dan ali pred datumom, ki ne sme biti poznejši od 31. decembra 2006, iz registra niso dostopni v elektronski obliki, če je med datumom vpisa in datumom vloge registru preteklo določeno časovno obdobje. Tako določeno obdobje ne sme biti krajše od 10 let.
[…]“
8 Direktiva 68/151 je bila razveljavljena in nadomeščena z Direktivo 2009/101/ES Evropskega parlamenta in Sveta z dne 16. septembra 2009 o uskladitvi zaščitnih ukrepov za varovanje interesov družbenikov in tretjih oseb, ki jih države članice zahtevajo od gospodarskih družb v skladu z drugim pododstavkom člena 48 Pogodbe, zato da se oblikujejo zaščitni ukrepi z enakim učinkom v vsej Skupnosti (UL 2009, L 258, str. 11), ki je bila pozneje spremenjena z Direktivo 2012/17/EU Evropskega parlamenta in Sveta z dne 13. junija 2012 (UL 2012, L 156, str. 1).
9 Z Direktivo 2012/17 je bil med drugim v Direktivo 2009/101 vnesen člen 7a, ki določa:
„Za obdelavo osebnih podatkov, ki se opravlja v okviru te direktive, se uporablja Direktiva 95/46[…].“
10 Vendar se glede na čas dejanskega stanja za spor o glavni stvari uporablja Direktiva 68/151.
Direktiva 95/46
11 V Direktivi 95/46, katere člen 1 določa, da je njen namen varstvo temeljnih pravic in svoboščin fizičnih oseb in predvsem njihove pravice do zasebnosti pri obdelavi osebnih podatkov ter odstranjevanje ovir za prosti prenos teh podatkov, je v uvodnih izjavah 10 in 25 navedeno:
„(10) ker je namen nacionalne zakonodaje o obdelavi osebnih podatkov varovati temeljne pravice in svoboščine, predvsem pravico do zasebnosti, ki jo priznava člen 8 Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin[, podpisane 4. novembra 1950 v Rimu], pa tudi splošna načela zakonodaje Skupnosti; ker zato približevanje teh zakonodaj ne sme povzročiti zmanjšanja varstva, ki ga zagotavljajo, ampak mora imeti za cilj zagotovitev visoke ravni varstva v Skupnosti;
[…]
(25) ker se morajo načela varstva po eni strani izražati v obveznostih, ki so naložene osebam, […] odgovornim za obdelavo, predvsem glede kakovosti podatkov, tehnične varnosti, uradnega obvestila nadzornemu organu in okoliščin, v katerih se lahko izvaja obdelava, ter po drugi strani v pravici, podeljeni posameznikom, katerih podatki so predmet obdelave, da so obveščeni o potekajoči obdelavi, da imajo vpogled v podatke, da zahtevajo popravke in da v nekaterih okoliščinah celo ugovarjajo obdelavi“.
12 Člen 2 Direktive 95/46 določa:
„V tej direktivi:
(a) ‚osebni podatek‘ pomeni katero koli informacijo, ki se nanaša na določeno ali določljivo fizično osebo (‚posameznik, na katerega se nanašajo osebni podatki‘); določljiva oseba je tista, ki se lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali socialno identiteto;
(b) ‚obdelava osebnih podatkov‘ (‚obdelava‘) pomeni kakršen koli postopek ali niz postopkov, ki se izvajajo v zvezi z osebnimi podatki z avtomatskimi sredstvi ali brez njih, kakršno je zbiranje, beleženje, urejanje, shranjevanje, prilagajanje ali predelava, iskanje, posvetovanje, uporaba, posredovanje s prenosom, širjenje ali drugo razpolaganje [dajanje na voljo], prilagajanje ali kombiniranje, blokiranje, izbris ali uničenje;
[…]
(d) ‚upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali kateri koli drug organ, ki sam ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov; kadar namene in sredstva obdelave določa nacionalna zakonodaja ali zakonodaja Skupnosti, lahko upravljavca ali posebna merila za njegovo imenovanje določi nacionalna zakonodaja ali zakonodaja Skupnosti;
[…]“
13 Člen 3 navedene direktive, naslovljen „Področje uporabe“, v odstavku 1 določa:
„Ta direktiva se uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatskimi sredstvi in za drugačno obdelavo kakor z avtomatskimi sredstvi za osebne podatke, ki sestavljajo del zbirke ali so namenjeni sestavljanju dela zbirke.“
14 Člen 6 Direktive 95/46 v oddelku I, naslovljenem „Načela v zvezi s kakovostjo podatkov“, ki je v poglavju II, določa:
„1. Države članice določijo, da morajo biti osebni podatki:
(a) pošteno in zakonito obdelani;
(b) zbrani za določene, izrecne ter zakonite namene in se ne smejo naprej obdelovati na način, ki je nezdružljiv s temi nameni. Nadaljnja obdelava podatkov v zgodovinske, statistične ali znanstvene namene se ne šteje za nezdružljivo, če države članice zagotovijo ustrezne zaščitne ukrepe;
(c) primerni, ustrezni in ne pretirani glede na namene, za katere se zbirajo in/ali naprej obdelujejo;
(d) točni in po potrebi ažurirani; uporabiti je treba vse primerne ukrepe za zagotovitev, da se podatki, ki so netočni ali nepopolni, zbrišejo ali popravijo, ob upoštevanju namenov, za katere so bili zbrani ali za katere se naprej obdelujejo;
(e) shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili podatki zbrani ali za katere se naprej obdelujejo. Države članice določijo ustrezne zaščitne ukrepe za osebne podatke, shranjene za daljša obdobja za zgodovinsko, statistično ali znanstveno uporabo.
2. Upravljavec mora zagotoviti, da se ravna v skladu z odstavkom 1.“
15 Člen 7 Direktive 95/46 v oddelku II, naslovljenem „Merila za zakonitost obdelave podatkov“, ki je v poglavju II, določa:
„Države članice določijo, da se lahko osebni podatki obdelujejo samo, če:
[…]
(c) je obdelava potrebna za skladnost z zakonsko obveznostjo, ki velja za upravljavca; ali
[…]
(e) je obdelava potrebna za izvajanje naloge, ki se opravlja v javnem interesu ali pri izvrševanju javne oblasti, dodeljene upravljavcu ali tretji stranki, ki so ji posredovani podatki; ali
(f) je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja stranka ali stranke, ki so jim osebni podatki posredovani, razen kadar nad takimi interesi prevladajo temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo, ki se varujejo na podlagi člena 1(1).“
16 Člen 12 iste direktive, naslovljen „Pravica do dostopa“, določa:
„Države članice jamčijo vsakemu posamezniku, na katerega se osebni podatki nanašajo, pravico, da pridobi od upravljavca:
[…]
(b) po potrebi popravke, izbris ali blokiranje podatkov, katerih obdelava ni v skladu z določbami te direktive, predvsem zaradi nepopolnih ali netočnih podatkov;
[…]“
17 Člen 14 Direktive 95/46, naslovljen „Pravica posameznika, na katerega se nanašajo osebni podatki, do ugovora“, določa:
„Države članice priznavajo posamezniku, na katerega se osebni podatki nanašajo, pravico:
(a) da vsaj v primerih iz člena 7(e) in (f) na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem kadar koli ugovarja obdelavi podatkov, ki se nanašajo nanj, razen kjer nacionalna zakonodaja določa drugače. Kadar obstaja utemeljen ugovor, obdelava, ki jo uvede upravljavec, ne sme več vključevati teh podatkov;
[…]“
18 Člen 28 Direktive 95/46 določa, da države članice določijo nadzorne organe, ki so odgovorni za spremljanje uporabe predpisov, sprejetih v skladu s to direktivo.
Italijansko pravo
19 Člen 2188 Codice civile (civilni zakonik) določa:
„Ustanovi se register družb za vpise, ki jih določa zakon.
Register vodi urad registra družb pod nadzorom sodnika, ki ga imenuje predsednik sodišča.
Register je javen.“
20 Člen 8(1) in (2) legge n. 580 – Riordinamento delle camere di commercio, industria, artigianato e agricoltura (zakon št. 580 o reorganizaciji gospodarskih, industrijskih, obrtnih in kmetijskih zbornic) z dne 29. decembra 1993 (redni dodatek h GURI št. 7 z dne 11. januarja 1994) določa, da register družb vodijo gospodarske, industrijske, obrtne in kmetijske zbornice.
21 Decreto del Presidente della Repubblica n. 581 – Regolamento di attuazione dell’articolo 8 della legge 29 dicembre 1993, n. 580, in materia di istituzione del registro delle imprese di cui all’articolo 2188 del codice civile (dekret predsednika republike št. 581 o uredbi za izvajanje člena 8 zakona št. 580 z dne 29. decembra 1993 v zvezi z ustanovitvijo registra družb iz člena 2188 civilnega zakonika) z dne 7. decembra 1995 (GURI št. 28 z dne 3. februarja 1996) ureja nekatera vprašanja v zvezi z registrom družb.
22 Direktiva 95/46 je v italijansko pravo prenesena z decreto legislativo n. 196 – Codice in materia di protezione dei dati personali (zakonska uredba št. 196 o zakoniku o varstvu osebnih podatkov) z dne 30. junija 2003 (redni dodatek h GURI št. 174 z dne 29. julija 2003).
Spor o glavni stvari in vprašanji za predhodno odločanje
23 S. Manni je edini poslovodja gradbenega podjetja Italiana Costruzioni Srl, ki mu je bilo oddano naročilo za gradnjo turističnega kompleksa.
24 S. Manni je 12. decembra 2007 vložil tožbo proti gospodarski zbornici v Lecceju, v kateri je zatrjeval, da se nepremičnine v tem kompleksu ne prodajajo, ker je iz registra družb razvidno, da je bil edini poslovodja in upravitelj družbe Immobiliare e Finanziaria Salentina Srl (v nadaljevanju: Immobiliare Salentina), katere stečaj je bil razglašen leta 1992 in ki je bila 7. julija 2005 po koncu stečajnega postopka izbrisana iz registra družb.
25 S. Manni je v okviru te tožbe trdil, da je osebne podatke iz registra družb, ki se nanašajo nanj, obdelovala družba, ki je specializirana za zbiranje in obdelavo tržnih informacij ter oceno tveganj (rating) in da jih gospodarska zbornica v Lecceju ni izbrisala kljub zahtevi, naj to stori.
26 S. Manni je torej predlagal, prvič, naj se gospodarski zbornici v Lecceju odredi, naj izbriše, anonimizira ali blokira podatke, ki ga povezujejo s stečajem družbe Immobiliare Salentina, in drugič, naj se tej gospodarski zbornici naloži povračilo škode, ki jo je utrpel zaradi okrnitve ugleda.
27 Tribunale di Lecce (sodišče v Lecceju, Italija) je s sodbo z dne 1. avgusta 2011 temu predlogu ugodilo in gospodarski zbornici v Lecceju odredilo, naj anonimizira podatke, ki S. Mannija povezujejo s stečajem družbe Immobiliare Salentina, ter toženi stranki naložilo povračilo škode v znesku 2.000 EUR s pripadajočimi obrestmi in stroški.
28 Tribunale di Lecce (sodišče v Lecceju) je namreč menilo, da „vpisi, ki ime fizične osebe povezujejo s kritično fazo poslovanja podjetja (kot je stečaj), ne morejo biti trajni, če ne obstaja poseben splošni interes za njihovo hranjenje in razkritje“. Ker v civilnem zakoniku ni določeno najdaljše trajanje vpisa, je menilo, da „po ustreznem časovnem obdobju“ od konca stečaja zadevne družbe in od njenega izbrisa iz registra družb ni več potrebe in interesa za navedbo imena edinega poslovodje te družbe ob stečaju v smislu zakonske uredbe št. 196, saj je javnemu interesu za ,zgodovinski spomin‘ o obstoju družbe in težavah, s katerimi se je srečevala, povsem mogoče zadostiti tudi z anonimnimi podatki.“
29 Corte suprema di cassazione (kasacijsko sodišče, Italija), pri katerem je gospodarska zbornica v Lecceju vložila pritožbo zoper navedeno sodbo, je prekinilo odločanje in Sodišču v predhodno odločanje predložilo ti vprašanji:
„1. Ali mora prevladati načelo takega hranjenja osebnih podatkov, ki ne dopušča identifikacije posameznikov, na katere se nanašajo, dlje, kot je potrebno za namene, za katere so bili zbrani ali za katere so se nadalje obdelovali, kot to določa člen 6(1)(e) Direktive 95/46, ki je bila prenesena z zakonsko uredbo št. 196 z dne 30. junija 2003, kar torej nasprotuje sistemu javne dostopnosti, uvedenem z registrom družb, ki ga določata Direktiva 68/151 ter nacionalna zakonodaja v členu 2188 civilnega zakonika in členu 8 zakona št. 580 z dne 29. decembra 1993, v skladu s katerim lahko katera koli oseba brez časovnih omejitev pridobi podatke o fizičnih osebah, ki jih vsebuje register?
2. Ali torej člen 3 Direktive 68/151 omogoča, da ne glede na določbe o časovno neomejenem dostopu do podatkov iz registra družb za vse naslovnike podatki niso več ‚javni‘ v tovrstnem dvojnem pomenu, temveč so dostopni le za omejen čas ali le določenim naslovnikom na podlagi presoje posameznega primera, ki jo opravi upravljavec podatkov?“
Vprašanji za predhodno odločanje
30 Predložitveno sodišče z vprašanjema, ki ju je treba obravnavati skupaj, v bistvu sprašuje, ali je treba člen 3 Direktive 68/151 in člen 6(1)(e) Direktive 95/46 razlagati tako, da države članice lahko ali celo morajo posameznikom iz člena 2(1)(d) in (j) Direktive 68/151 omogočati, da od organa, ki je odgovoren za vodenje registra družb, zahtevajo, da po poteku določenega časa od prenehanja zadevne družbe na podlagi presoje posameznega primera omeji dostop do osebnih podatkov, ki se nanašajo nanje in ki so vpisani v register.
31 Najprej je treba navesti, da se postopek v glavni stvari in vprašanji za predhodno odločanje, ki sta tako postavljeni Sodišču, ne nanašajo na nadaljnjo obdelavo spornih podatkov, ki jo je v obravnavanem primeru opravila družba, specializirana za rating, in ki je navedena v točki 25 te sodbe, temveč na možnost dostopa tretjih oseb do takih podatkov, ki so v registru družb.
32 V zvezi s tem je treba najprej navesti, da morajo države članice v skladu s členom 2(1)(d) Direktive 68/151 sprejeti potrebne ukrepe za zagotovitev obveznosti družb, da objavijo vsaj podatke o imenovanju, odpoklicu in identiteti oseb, ki so ali kot v zakonu predvideni organ ali kot članice takega organa pooblaščene, da zastopajo družbo v poslih s tretjimi osebami in v sodnih postopkih, ali so udeležene pri upravljanju, nadzoru ali obvladovanju te družbe. Poleg tega mora biti v skladu s točko (j) tega člena 2(1) prav tako objavljeno imenovanje upraviteljev, podatki o njihovi identiteti in načeloma tudi njihova pooblastila.
33 Na podlagi člena 3, od (1) do (3), Direktive 68/151 je treba te podatke v vsaki državi članici vpisati v centralni register, trgovinski register ali register družb (v nadaljevanju skupaj: register), prepis celote ali dela teh podatkov pa mora biti dostopen na pisno zahtevo.
34 Ugotoviti pa je treba, da so podatki v zvezi z identiteto oseb iz člena 2(1)(d) in (j) Direktive 68/151 – glede na to, da gre za informacije o fizičnih osebah, ki so identificirane ali ki jih je mogoče identificirati – „osebni podatki“ v smislu člena 2(a) Direktive 95/46. Iz sodne prakse Sodišča je razvidno, da okoliščina, da te informacije spadajo v okvir poklicne dejavnosti, ni taka, da bi jim bila zaradi tega odvzeta opredelitev kot osebni podatki (glej sodbo z dne 16. julija 2015, ClientEarth in PAN Europe/EFSA, C‑615/13 P, EU:C:2015:489, točka 30 in navedena sodna praksa).
35 Poleg tega organ, ki je odgovoren za vodenje registra, s tem, da navedene informacije vpiše v register in jih hrani ter po potrebi posreduje tretjim, izvaja „obdelavo osebnih podatkov“, zaradi česar je „upravljavec“ v smislu člena 2(b) in (d) Direktive 95/46.
36 Za obdelavo osebnih podatkov, do katere tako pride pri izvajanju člena 2(1)(d) in (j) in člena 3 Direktive 68/151, se v skladu s členoma 1 in 3 Direktive 95/46 uporablja ta direktiva. To je sicer zdaj izrecno določeno v členu 7a Direktive 2009/101, kakor je bila spremenjena z Direktivo 2012/17, ki pa ima v zvezi s tem le deklaratorno vrednost. Kot je Evropska komisija poudarila na obravnavi, je zakonodajalec Evropske unije namreč presodil, da je koristno na to okoliščino opozoriti v okviru sprememb zakonodaje, ki so bile uvedene z Direktivo 2012/17 in ki so bile namenjene zagotavljanju interoperabilnosti registrov držav članic, saj je bilo mogoče na podlagi teh sprememb predvidevati bolj intenzivno obdelavo osebnih podatkov.
37 Na prvem mestu je treba poudariti, da je namen Direktive 95/46, kot je razvidno iz njenega člena 1 in njene uvodne izjave 10, zagotoviti visoko stopnjo varstva temeljnih pravic in svoboščin fizičnih oseb ter predvsem pravice do zasebnosti pri obdelavi osebnih podatkov (glej sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 66 in navedena sodna praksa).
38 V uvodni izjavi 25 Direktive 95/46 je navedeno, da se morajo načela varstva, ki jih ta direktiva določa, po eni strani izražati v obveznostih, ki so naložene osebam, odgovornim za obdelavo, predvsem glede kakovosti podatkov, tehnične varnosti, uradnega obvestila nadzornemu organu in okoliščin, v katerih se lahko izvaja obdelava, ter po drugi strani v pravicah, podeljenih posameznikom, katerih podatki so predmet obdelave, da so obveščeni o potekajoči obdelavi, da imajo vpogled v podatke, da zahtevajo popravke in da v nekaterih okoliščinah obdelavi celo ugovarjajo.
39 Sodišče je že razsodilo, da je treba določbe Direktive 95/46, ki urejajo obdelavo osebnih podatkov, ki lahko ogroža temeljne svoboščine in zlasti pravico do spoštovanja zasebnega življenja, nujno razlagati ob upoštevanju temeljnih pravic, ki jih zagotavlja Listina Evropske unije o temeljnih pravicah (v nadaljevanju: Listina) (glej sodbo z dne 6. oktobra 2015, Schrems, C‑362/14, EU:C:2015:650, točka 38 in navedena sodna praksa).
40 Člen 7 Listine tako zagotavlja pravico do spoštovanja zasebnega življenja, člen 8 Listine pa izrecno določa pravico do varstva osebnih podatkov. V odstavkih 2 in 3 zadnjenavedenega člena je določeno, da je treba te podatke obdelovati pošteno, za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom, da ima vsakdo pravico dostopa do podatkov, zbranih o njem, in pravico zahtevati, da se ti podatki popravijo, ter da spoštovanje teh pravil nadzira neodvisen organ. Te zahteve se med drugim izvajajo s členi 6, 7, 12, 14 in 28 Direktive 95/46.
41 Kar zadeva, natančneje, splošna pravila o zakonitosti obdelave osebnih podatkov, določena z Direktivo 95/46, je treba opozoriti, da mora biti – ob upoštevanju dovoljenih odstopanj na podlagi njenega člena 13 – vsaka obdelava osebnih podatkov v skladu z načeli v zvezi s kakovostjo podatkov, ki so navedena v členu 6 te direktive, in merili za zakonitost obdelave podatkov, ki so našteta v členu 7 navedene direktive (glej med drugim sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 71 in navedena sodna praksa).
42 V zvezi s tem je treba ugotoviti, kot je generalni pravobranilec poudaril v točki 52 sklepnih predlogov, da obdelava osebnih podatkov, ki jo organ, odgovoren za vodenje registra, opravi pri izvajanju člena 2(1)(d) in (j) in člena 3 Direktive 68/151, ustreza več razlogom za zakonitost iz člena 7 Direktive 95/46, in sicer tistim, ki so navedeni v točki (c) tega člena, v zvezi z zakonsko obveznostjo, tistim, ki so navedeni v točki (e) tega člena, v zvezi z izvajanjem javne oblasti ali naloge, ki se opravlja v javnem interesu, in tistim, ki so navedeni v točki (f) tega člena, v zvezi z zakonitim interesom, za katerega si prizadeva upravljavec ali tretje osebe, ki so jim osebni podatki posredovani.
43 Zlasti glede razloga za zakonitost iz točke (e) člena 7 Direktive 95/46 je treba opozoriti, da je Sodišče že razsodilo, da dejavnost javnega organa, ki v podatkovni zbirki shranjuje podatke, ki jih morajo družbe sporočati na podlagi zakonskih obveznosti, zainteresiranim osebam omogoča dostop do teh podatkov in jim izdaja prepis teh podatkov, spada na področje izvajanja prerogativ javne oblasti (glej sodbo z dne 12. julija 2012, Compass-Datenbank, C‑138/11, EU:C:2012:449, točki 40 in 41). Poleg tega taka dejavnost pomeni tudi nalogo, ki se izvaja v javnem interesu, v smislu iste določbe.
44 V obravnavani zadevi je med strankama v postopku v glavni stvari sporno, ali mora organ, ki je odgovoren za vodenje registra, po poteku določenega časa od prenehanja dejavnosti družbe in na zahtevo zadevne osebe izbrisati ali anonimizirati te osebne podatke ali pa njihovo objavo omejiti. Predložitveno sodišče se v okviru tega zlasti sprašuje, ali taka obveznost izhaja iz člena 6(1)(e) Direktive 95/46.
45 V skladu s členom 6(1)(e) Direktive 95/46 države članice določijo, da morajo biti osebni podatki shranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se ti osebni podatki nanašajo, le toliko časa, kolikor je potrebno za namene, za katere so bili ti podatki zbrani ali za katere se nadalje obdelujejo. Če se ti podatki shranjujejo dlje kot za navedeno obdobje za zgodovinsko, statistično ali znanstveno uporabo, države članice določijo ustrezne zaščitne ukrepe. V skladu z odstavkom 2 istega člena mora upravljavec zagotoviti, da se ta načela spoštujejo.
46 Če se zahteva iz člena 6(1)(e) Direktive 95/46 ne spoštuje, države članice na podlagi člena 12(b) te direktive posamezniku, na katerega se osebni podatki nanašajo, jamčijo pravico, da pri upravljavcu po potrebi doseže izbris ali blokiranje zadevnih podatkov (glej v tem smislu sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 70).
47 Poleg tega države članice v skladu s točko (a) prvega odstavka člena 14 Direktive 95/46 priznavajo posamezniku, na katerega se osebni podatki nanašajo, med drugim v primerih iz člena 7(e) in (f) te direktive pravico, da na podlagi zakonitih in nujnih razlogov, povezanih z njegovim posebnim položajem, kadar koli ugovarja obdelavi podatkov, ki se nanašajo nanj, razen če nacionalna zakonodaja določa drugače. Pri tehtanju, ki se mora opraviti v okviru navedene točke (a) prvega odstavka člena 14, se tako lahko natančneje upoštevajo vse okoliščine konkretnega primera zadevne osebe. Kadar obstaja utemeljen ugovor, obdelava, ki jo uvede upravljavec, ne sme več vključevati teh podatkov (glej sodbo z dne 13. maja 2014, Google Spain in Google, C‑131/12, EU:C:2014:317, točka 76).
48 Da bi se ugotovilo, ali morajo države članice na podlagi člena 6(1)(e) in člena 12(b) ali člena 14, prvi odstavek, točka (a), Direktive 95/46 za posameznike iz člena 2(1)(d) in (j) Direktive 68/151 določiti pravico, da od organa, odgovornega za vodenje registra, zahtevajo, da po določenem času izbriše ali blokira osebne podatke, vpisane v ta register, ali omeji dostop do njih, je treba najprej proučiti, kaj je namen tega vpisa.
49 V zvezi s tem je iz uvodnih izjav in naslova Direktive 68/151 razvidno, da je objava, ki jo ta določa, namenjena med drugim varovanju interesov tretjih oseb v razmerju do delniških družb in družb z omejeno odgovornostjo, saj je edino jamstvo, ki ga zagotavljajo tretjim osebam, njihovo premoženje. Zato mora objava tretjim osebam omogočati, da se seznanijo z osnovnimi dokumenti zadevne družbe in drugimi informacijami v zvezi z družbo, zlasti s podatki o osebah, ki so pooblaščene za zastopanje in sprejemanje obveznosti v imenu družbe.
50 Sodišče je poleg tega že ugotovilo, da je cilj Direktive 68/151 zagotoviti pravno varnost v razmerjih med družbami in tretjimi osebami, da se po vzpostavitvi notranjega trga okrepijo poslovni tokovi med državami članicami, in da je s tega vidika potrebno, da se lahko vsaka oseba, ki želi vzpostaviti in vzdrževati poslovne odnose z družbami v drugih državah članicah, brez težav seznani z bistvenimi podatki o sestavi gospodarskih družb in pooblastilih oseb, ki so pooblaščene za njihovo zastopanje, zaradi česar morajo biti vsi upoštevni podatki izrecno navedeni v registru (glej v tem smislu sodbo z dne 12. novembra 1974, Haaga, 32/74, EU:C:1974:116, točka 6).
51 Poleg tega je iz sodne prakse Sodišča razvidno, da je namen objave, določene v členu 3 Direktive 68/151, omogočiti obveščenost vseh zainteresiranih tretjih oseb, ne da bi te morale izkazati pravico ali interes, ki ga je treba varovati. V zvezi s tem je ugotovilo, da je že v besedilu člena 54(3)(g) Pogodbe EGS, na katerem temelji ta direktiva, omenjen cilj varstva interesov tretjih oseb na splošno, brez razlikovanja in brez izključitve nekaterih kategorij teh oseb, zaradi česar pojma tretjih oseb iz te določbe ni mogoče omejiti zgolj na upnike zadevne družbe (glej sodbo z dne 4. decembra 1997, Daihatsu Deutschland, C‑97/96, EU:C:1997:581, točke 19, 20 in 22, in sklep z dne 23. septembra 2004, Springer, C‑435/02 in C‑103/03, EU:C:2004:552, točki 29 in 33).
52 Dalje, glede vprašanja, ali je za doseganje namena iz člena 3 Direktive 68/151 načeloma potrebno, da osebni podatki posameznikov, omenjenih v členu 2(1)(d) in (j) te direktive, ostanejo vpisani v register in/ali so dostopni na zahtevo tretjih oseb tudi po prenehanju dejavnosti in prenehanju zadevne družbe, je treba ugotoviti, da navedena direktiva ne vsebuje nobenega pojasnila v zvezi s tem.
53 Vendar kot je tudi generalni pravobranilec ugotovil v točkah 73 in 74 sklepnih predlogov, ni sporno, da se lahko pravice in pravna razmerja v zvezi z družbo ohranijo tudi po prenehanju te družbe. Tako se lahko v primeru spora podatki iz člena 2(1)(d) in (j) Direktive 68/151 izkažejo za potrebne, da se med drugim preveri zakonitost dejanja, ki je bilo opravljeno v imenu te družbe, ko je ta delovala, ali pa da lahko tretje osebe začnejo postopek zoper člane organov ali zoper stečajne upravitelje te družbe.
54 Poleg tega se lahko med drugim glede na zastaralne roke, ki veljajo v različnih državah članicah, še več let po prenehanju družbe pojavijo vprašanja, za odgovor na katera je treba razpolagati s temi podatki.
55 Glede na številne možne scenarije, ki lahko vključujejo akterje v več državah članicah, in na veliko raznolikost zastaralnih rokov, ki jih določajo različna nacionalna prava na različnih pravnih področjih, ki jo je izpostavila Komisija, je razvidno, da je trenutno nemogoče ugotoviti enoten rok, ki bi tekel od prenehanja družbe, ob poteku katerega vpis navedenih podatkov v register in njihova objava ne bi bila več potrebna.
56 V teh okoliščinah državam članicam ni treba na podlagi člena 6(1)(e) in člena 12(b) Direktive 95/46 posameznikom iz člena 2(1)(d) in (j) Direktive 68/151 jamčiti pravice, da se po določenem času od prenehanja zadevne družbe načeloma doseže izbris osebnih podatkov, ki se nanašajo nanje in ki so bili vpisani v register na podlagi zadnjenavedene določbe, ali blokada navedenih podatkov za javnost.
57 Ta razlaga člena 6(1)(e) in člena 12(b) Direktive 95/46 sicer ne povzroči nesorazmernega posega v temeljne pravice zadevnih oseb ter zlasti v njihovo pravico do spoštovanja zasebnega življenja in v pravico do varstva osebnih podatkov, ki sta zagotovljeni s členoma 7 in 8 Listine.
58 Namreč, po eni strani je s členom 2(1)(d) in (j) ter členom 3 Direktive 68/151 naložena objava samo za omejeno število osebnih podatkov, in sicer za tiste, ki se nanašajo na identiteto in funkcije oseb, ki zastopajo družbo v poslih s tretjimi osebami in v sodnih postopkih ali so udeležene pri upravljanju, nadzoru ali obvladovanju te družbe oziroma so bile imenovane za upravitelja te družbe.
59 Po drugi strani pa, kot je bilo navedeno v točki 49 te sodbe, Direktiva 68/151 določa objavo podatkov iz člena 2(1)(d) in (j) zlasti zato, ker delniške družbe in družbe z omejeno odgovornostjo tretjim osebam kot edino jamstvo ponujajo svoje premoženje, kar za te osebe pomeni večje ekonomsko tveganje. Glede na to tveganje je očitno utemeljeno, da so posamezniki, ki se odločijo, da bodo pri gospodarski izmenjavi sodelovali prek take družbe, zavezani objaviti podatke v zvezi s svojo identiteto in funkcijami v tej družbi, sploh ker se te obveznosti zavedajo, ko se odločijo za tako dejavnost.
60 Nazadnje, glede člena 14, prvi odstavek, točka (a), Direktive 95/46 je treba ugotoviti, da tudi če iz zgoraj navedenega izhaja, da mora pri tehtanju, ki ga je treba opraviti v okviru te določbe, načeloma prevladati potreba po zaščiti interesov tretjih oseb v razmerju do delniških družb in družb z omejeno odgovornostjo ter po zagotovitvi pravne varnosti, poštenih poslovnih transakcij in dobrega delovanja notranjega trga, kljub vsemu ni mogoče izključiti, da lahko pride do posebnih položajev, v katerih je iz zakonitih in nujnih razlogov, povezanih s konkretnim primerom zadevne osebe, izjemoma upravičeno, da je dostop do osebnih podatkov, ki se nanašajo nanjo in so vpisani v register, ko preteče dovolj časa od prenehanja zadevne družbe, omejen na tretje osebe, ki izkažejo poseben interes za vpogled v te podatke.
61 V zvezi s tem pa je treba pojasniti, da je glede na to, da je uporaba člena 14, prvi odstavek, točka (a), Direktive 95/46 vezana na pridržek, da nacionalno pravo ne vsebuje drugačnih določb, končna odločitev o vprašanju, ali lahko posamezniki iz člena 2(1)(d) in (j) Direktive 68/151 od organa, odgovornega za vodenje registra, zahtevajo tako omejitev dostopa do osebnih podatkov, ki se nanašajo nanje, na podlagi presoje posameznega primera v pristojnosti nacionalnih zakonodajalcev.
62 Predložitveno sodišče mora preveriti, kakšno je stanje nacionalnega prava na tem področju.
63 Če bi se po takem preverjanju izkazalo, da nacionalno pravo take zahteve dopušča, bo moralo predložitveno sodišče na podlagi vseh upoštevnih okoliščin in ob upoštevanju časa, ki je potekel od prenehanja zadevne družbe, presoditi, ali morda obstajajo zakoniti in nujni razlogi, ki bi lahko upravičevali, da se izjemoma omeji dostop tretjih oseb do osebnih podatkov v registru družb, ki se nanašajo na S. Mannija, iz katerih je razvidno, da je bil ta edini poslovodja in upravitelj družbe Immobiliare Salentina. V zvezi s tem je treba navesti, da samo okoliščina, da se objekti v turističnem kompleksu, ki ga je zgradila družba Italiana Costruzioni, katere edini poslovodja je S. Manni, domnevno ne prodajajo, ker imajo potencialni kupci teh objektov dostop do teh podatkov v registru družb, ni dovolj, da bi bil podan tak razlog, ob upoštevanju zlasti legitimnega interesa teh oseb, da razpolagajo s temi informacijami.
64 Ob upoštevanju navedenega je treba na postavljeni vprašanji odgovoriti, da je treba člen 6(1)(e), člen 12(b) in člen 14, prvi odstavek, točka (a), Direktive 95/46 v povezavi s členom 3 Direktive 68/151 razlagati tako, da morajo v sedanjem stanju prava Unije države članice določiti, ali lahko posamezniki iz člena 2(1)(d) in (j) zadnjenavedene direktive od organa, odgovornega za vodenje registra, zahtevajo, da na podlagi presoje posameznega primera preveri, ali je izjemoma upravičeno, da se po tem, ko je minilo dovolj časa od prenehanja zadevne družbe, dostop do osebnih podatkov, ki se nanašajo nanje in so vpisani v ta register, iz zakonitih in nujnih razlogov, povezanih z njihovim posebnim položajem, omeji na tretje osebe, ki izkažejo poseben interes za vpogled v te podatke.
Stroški
65 Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.
Iz teh razlogov je Sodišče (drugi senat) razsodilo:
Člen 6(1)(e), člen 12(b) in člen 14, prvi odstavek, točka (a), Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov v povezavi s členom 3 Prve direktive Sveta 68/151/EGS z dne 9. marca 1968 o uskladitvi zaščitnih ukrepov za varovanje interesov družbenikov in tretjih oseb, ki jih države članice zahtevajo od gospodarskih družb v skladu z drugim odstavkom člena 58 Pogodbe, zato da se oblikujejo zaščitni ukrepi z enakim učinkom v vsej Skupnosti, kakor je bila spremenjena z Direktivo 2003/58/ES Evropskega parlamenta in Sveta z dne 15. julija 2003, je treba razlagati tako, da morajo v sedanjem stanju prava Unije države članice določiti, ali lahko posamezniki iz člena 2(1)(d) in (j) zadnjenavedene direktive od organa, odgovornega za vodenje centralnega registra, trgovinskega registra ali registra družb, zahtevajo, da na podlagi presoje posameznega primera preveri, ali je izjemoma upravičeno, da se po tem, ko je minilo dovolj časa od prenehanja zadevne družbe, dostop do osebnih podatkov, ki se nanašajo nanje in so vpisani v ta register, iz zakonitih in nujnih razlogov, povezanih z njihovim posebnim položajem, omeji na tretje osebe, ki izkažejo poseben interes za vpogled v te podatke.
Podpisi