null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
RIMVYDASE NORKUSE
přednesené dne 18. prosince 2025(1)
Věc C-798/24 [Jautiva(i)]
A a další
vedlejší účastníci:
Latvijas Republikas Saeima
[žádost o rozhodnutí o předběžné otázce, kterou podal Latvijas Republikas Satversmes tiesa (Ústavní soud, Lotyšsko)]
„ Řízení o předběžné otázce – Směrnice (EU) 2017/1132 – Právo obchodních společností – Článek 14 písm. d) bod ii) – Výklad výrazu ‚účastní [se] správy, dozoru nebo kontroly společnosti‘ – Povinnost zpřístupnit konkrétní informace o každém akcionáři akciové společnosti stanovená vnitrostátním právem – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Články 7 a 8 Listiny základních práv Evropské unie – Nařízení (EU) 2016/679 – Článek 5 – Zásady zpracování osobních údajů – Článek 6 – Zákonnost zpracování – Zásada proporcionality“
I. Úvod
1. Tato žádost o rozhodnutí o předběžné otázce podaná Latvijas Republikas Satversmes tiesa (Ústavní soud, Lotyšsko)(2) se týká povinnosti stanovené lotyšským právem zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích(3) akciových společností(4) založených podle lotyšského práva. Dotčené informace si na internetových stránkách podnikového rejstříku mohou vyhledat „neidentifikovaní uživatelé“(5). Osoby z řad veřejnosti tedy nejsou povinny prokazovat oprávněný zájem na získání takových informací.
2. Předkládající soud se snaží zjistit, zda je povinnost zpřístupnit dotčené informace uložena unijním právem. Žádá proto Soudní dvůr o odpověď na otázku, zda pojem „osoby, které se účastní správy, dozoru nebo kontroly společnosti“ uvedený v čl. 14 písm. d) bodě ii) směrnice Evropského parlamentu a Rady (EU) 2017/1132 ze dne 14. června 2017 o některých aspektech práva obchodních společností(6) odkazuje na každého akcionáře akciové společnosti a zda je členský stát povinen zpřístupnit veřejnosti konkrétní informace o každém akcionáři takové společnosti v souladu s čl. 16 odst. 3 uvedené směrnice. Pro případ, že takové informace musí být zpřístupněny veřejnosti podle směrnice 2017/1132, si předkládající soud klade otázku, zda je čl. 14 písm. d) bod ii) této směrnice platný s ohledem na právo na respektování soukromého a rodinného života zaručené článkem 7 Listiny základních práv Evropské unie (dále jen „Listina“) a právo na ochranu osobních údajů zaručené článkem 8 Listiny.
3. Latvijas Republikas Satversmes tiesa (Ústavní soud) se rovněž táže, zda musí být čl. 5 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)(7) (dále jen „GDPR“) vykládán v tom smyslu, že umožňuje zpřístupnění takových informací veřejnosti, aniž by byla stanovena povinnost prokázat oprávněný zájem na jejich získání, aby byly zabezpečeny určité účely, a sice: i) zajistit transparentní podnikatelské prostředí a ochranu zájmů třetích osob; ii) předcházet praní peněz a financování terorismu a šíření jaderných zbraní(8); a iii) poskytovat informace nezbytné pro provádění národních, mezinárodních a unijních sankcí. V tomto ohledu si předkládající soud klade otázku, zda lze těchto cílů rozumně dosáhnout stejně účinným způsobem v souladu s postupem stanoveným lotyšskou právní úpravou pro podání žádosti o přístup k informacím s omezeným přístupem(9).
4. Předkládající soud se dále táže, zda lze odůvodnění rozsudku ve věci Luxembourg Business Registers(10) – v němž Soudní dvůr konstatoval, že požadavek vyplývající z unijního práva, podle něhož členské státy zajistí, aby informace o skutečných majitelích společností a jiných právnických osob zapsaných v rejstříku na jejich území byly vždy k dispozici jakékoli osobě z široké veřejnosti, je neplatný – vztáhnout i na zveřejňování informací týkajících se všech akcionářů akciové společnosti, a to i přesto, že objem informací a účel jejich zveřejnění se v obou situacích liší.
II. Právní rámec
A. Unijní právo
5. V projednávané věci jsou obzvláště relevantní články 7, 8 a čl. 52 odst. 1 Listiny, dále body 3, 7 a 8 odůvodnění směrnice 2017/1132 a články 14 a 16 uvedené směrnice, jakož i články 5 a 6 GDPR.
B. Lotyšské právo
6. Článek 8 Komerclikums (obchodní zákoník)(11) je nadepsán „Obsah zápisů v obchodním rejstříku“. Článek 8 odst. 3 body 3 a 4 uvedeného zákona stanoví:
„3. Do obchodního rejstříku se o kapitálové společnosti zapisují tyto skutečnosti:
[…]
3) jméno, příjmení, osobní identifikační číslo (pokud osoba nemá přiděleno osobní identifikační číslo, datum narození, číslo a datum vydání dokladu totožnosti, zemi a orgán, který jej vydal) a funkce zastávané členy představenstva kapitálové společnosti a členy dozorčí rady (v případě, že kapitálová společnost takovou radu má);
4) oprávnění členů představenstva zavazovat společnost jednotlivě nebo společně;
[…]“
7. Článek 12 obchodního zákoníku, nadepsaný „Zveřejnění v obchodním rejstříku“, stanoví:
„1. Zápisy v obchodním rejstříku jsou účinné vůči třetím osobám od okamžiku jejich zveřejnění. […]
[…]“
8. Článek 235 obchodního zákoníku, nadepsaný „Skutečnosti zapisované do rejstříku akcionářů“, stanoví:
„1. Každý zápis v rejstříku akcionářů musí obsahovat název společnosti, číslo zápisu, sídlo a případně informaci o tom, zda společnost vstoupila do likvidace nebo bylo zahájeno insolvenční řízení, jakož i název listiny ‚Zápis do rejstříku akcionářů‘ a musí obsahovat následující skutečnosti:
1) referenční číslo a datum zápisu;
2) referenční číslo zápisu, přičemž se používá průběžné číslování od prvního zápisu v rejstříku akcionářů;
3) referenční čísla akcií;
4) údaje o akcionářích:
a) v případě fyzických osob jméno, příjmení, osobní identifikační číslo (pokud osoba nemá přiděleno osobní identifikační číslo, datum narození, číslo a datum vydání dokladu totožnosti, zemi a orgán, který jej vydal) a adresu, na které je lze kontaktovat,
b) v případě právnických osob a osobních společností název, číslo zápisu a sídlo;
5) e-mailovou adresu akcionáře, pokud akcionář požádal, aby společnost používala tuto adresu pro komunikaci s ním;
6) kategorii, počet a jmenovitou hodnotu akcií každého akcionáře a počet hlasů s nimi spojených;
7) status spojený se splacením akcií;
8) společného zástupce akcionářů jmenovaného v souladu s postupem stanoveným v článku 157 tohoto zákoníku, s uvedením údajů obsažených v odstavci 1 bodech 4 a 5 tohoto článku;
9) údaj o vlastních akciích nabytých společností s uvedením důvodů jejich nabytí.
[…]“
9. Článek 4.10 pátý pododstavec, čl. 4.11 první pododstavec bod 2, čl. 4.15 první pododstavec bod 2 písm. b), čl. 4.15 první pododstavec bod 3 písm. a) a čl. 4.15 druhý, třetí a čtvrtý pododstavec likums „Par Latvijas Republikas Uzņēmumu reģistru“ (zákon o podnikovém rejstříku Lotyšské republiky)(12) (dále jen „zákon o podnikovém rejstříku“) stanoví:
„Článek 4.10 Právo na přístup k informacím v podnikovém rejstříku
Podnikový rejstřík poskytuje údaje a listiny obsažené ve veřejné části rejstříkového spisu (čl. 4.15 první pododstavec) bezplatně prostřednictvím on-line přenosu dat (včetně hromadného stahování).
[…]
Článek 4.11 Informace zveřejňované na internetových stránkách podnikového rejstříku
Podnikový rejstřík zajistí, aby neidentifikovaný uživatel měl na internetových stránkách rejstříku veřejný přístup k následujícím nejnovějším (aktuálním) informacím týkajícím se právnických osob a právních skutečností zapsaných v rejstřících vedených podnikovým rejstříkem:
[…]
2) jiné údaje zaznamenané v rejstříku.
[…]
Článek 4.15 Veřejné a neveřejné části rejstříkového spisu
Veřejná část rejstříkového spisu obsahuje:
[…]
2) jiné údaje zapsané v rejstříku.
[…]
b) údaje ze zápisu v rejstříku akcionářů (společníků) kapitálové společnosti týkající se akcionářů (společníků) této společnosti […],
3) následující listiny, které jsou součástí rejstříkového spisu:
a) v obchodním rejstříku – […] zápis v rejstříku akcionářů (společníků), […]
[…]
Listiny a údaje, které jsou součástí rejstříkového spisu a nejsou uvedeny v prvním pododstavci tohoto článku, jsou součástí neveřejné části rejstříkového spisu.
Pokud má zápis v rejstříku nebo zapsaný údaj status informace s omezeným přístupem nebo pokud byla jeho dostupnost pro veřejnost omezena právními předpisy, je součástí neveřejné části rejstříkového spisu.
Údaje a listiny obsažené v neveřejné části rejstříkového spisu (pododstavce 2 a 3 tohoto článku) jsou informacemi s omezeným přístupem a mohou být získány donucovacími orgány za účelem plnění úkolů stanovených v právních předpisech, a dále, bez omezení, Finanšu izlūkošanas dienests [(Finanční zpravodajská služba, Lotyšsko)] a orgány dohledu a kontroly v oblasti předcházení praní peněz a financování terorismu a šíření jaderných zbraní; ostatní orgány musí předložit odůvodněnou žádost. Jednotlivci musí požádat o přístup k údajům a listinám obsaženým v neveřejné části rejstříkového spisu v souladu s postupem pro podání žádosti o informace s omezeným přístupem stanoveným v Informācijas atklātības likums [(zákon o svobodném přístupu k informacím)].“
III. Spor v původním řízení a předběžné otázky
10. Navrhovateli v řízení před Latvijas Republikas Satversmes tiesa (Ústavní soud) je 17 menšinových akcionářů akciové společnosti. Mají za to, že bod 2 písm. b) prvního pododstavce čl. 4.15 zákona o podnikovém rejstříku (dále jen „napadené ustanovení“) je v rozporu s čl. 96 Latvijas Republikas Satversme (Ústava Lotyšské republiky, dále jen „lotyšská ústava“), který stanoví, že „každý má právo na nedotknutelnost svého soukromého života, obydlí a korespondence“.
11. Navrhovatelé tvrdí, že lotyšský zákonodárce neposoudil a neodůvodnil nutnost zveřejnit informace o akcionářích a zacházet s nimi jako s obecně přístupnými informacemi. Jakmile jsou informace zpřístupněny veřejnosti, neexistují žádná omezení ohledně jejich následného použití. Je zde tedy vysoké riziko, že dotčené informace budou použity k nepoctivým účelům, jako je podvod nebo vydírání. Podle navrhovatelů musí být ústavnost napadeného ustanovení posouzena s ohledem na rozsudek ve věci Luxembourg Business Registers, který se týkal zpřístupnění informací o skutečných majitelích společností široké veřejnosti. Vzhledem k tomu, že Soudní dvůr dospěl v této věci k závěru, že podobné údaje o skutečných majitelích by neměly být zveřejňovány, je zpřístupnění osobních údajů akcionářů široké veřejnosti ještě více neodůvodněné a nepřiměřené. Navrhovatelé jakožto menšinoví akcionáři nejsou ani skutečnými majiteli akciové společnosti, ani osobami odpovědnými za činnost jejího výkonného orgánu nebo řídícího orgánu. Nemají právo ani možnost vykonávat kontrolu nad touto společností.
12. Saeima (lotyšský parlament) tvrdí, že napadené ustanovení je v souladu s článkem 96 lotyšské ústavy. Má za to, že omezení základních práv je legitimní za účelem zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob, boje proti praní peněz a financování terorismu a šíření jaderných zbraní a umožnění každému splnit povinnosti, které pro něj vyplývají z Starptautisko un Latvijas Republikas nacionālo sankciju likums (zákon o mezinárodních sankcích a národních sankcích Lotyšské republiky). K dosažení těchto cílů je nezbytné, aby byly dotčené informace bezodkladně zpřístupněny každému, aniž by byla uložena povinnost prokázat oprávněný zájem v rámci žádosti o tyto informace. Odůvodnění rozsudku ve věci Luxembourg Business Registers, která se týkala pouze jednoho legitimního cíle – a sice předcházení praní peněz a financování terorismu – nelze vztáhnout na projednávanou věc, protože dotčená lotyšská právní úprava slouží několika různým legitimním cílům, které odůvodňují omezení základních práv.
13. Datu valsts inspekcija (Úřad pro ochranu údajů, Lotyšsko), který do řízení před předkládajícím soudem vstoupil jako amicus curiae, se domnívá, že zákon o podnikovém rejstříku nestanoví v rozporu se zásadou transparentnosti zakotvenou v GDPR konkrétní účel, pro který je zpracování osobních údajů akcionářů akciové společnosti nezbytné. Objem zpracovávaných údajů a otázka, zda účelu zpracování údajů nelze dosáhnout méně rozsáhlým zpracováním údajů, musí být posouzeny s ohledem na zásadu minimalizace údajů. Není-li účel konkrétně stanoven, není možné posoudit, zda je rozsah zpracování osobních údajů přiměřený. Zásady účelového omezení a minimalizace údajů proto nejsou dodrženy.
14. Finanční zpravodajská služba, která rovněž vstoupila do původního řízení jako amicus curiae, má za to, že třetí osoby musí mít přístup k dotčeným informacím, aby mohly určit, zda se na obchodního partnera vztahují mezinárodní nebo národní sankce.
15. Předkládající soud usiluje o objasnění otázky, zda jsou akcionáři akciových společností osobami, které se účastní správy, dozoru nebo kontroly společnosti ve smyslu čl. 14 písm. d) bodu ii) směrnice 2017/1132, a tudíž zda tato směrnice vyžaduje zveřejnění informací týkajících se akcionářů takových obchodních společností. Pro případ, že by Soudní dvůr shledal, že takoví akcionáři spadají do působnosti čl. 14 písm. d) bodu ii) směrnice 2017/1132 a že informace, které se jich týkají, musí být zveřejněny a zpřístupněny veřejnosti podle čl. 16 odst. 3 této směrnice, se předkládající soud mimo jiné táže, zda je prvně uvedené ustanovení platné s ohledem na články 7 a 8 Listiny.
16. Předkládající soud se rovněž zamýšlí nad tím, zda je zpracování osobních údajů akcionářů akciových společností v souladu se zásadami stanovenými v čl. 5 odst. 1 GDPR, zejména se zásadou „minimalizace údajů“, která odráží zásadu proporcionality. Tato zásada nebrání zpřístupnění osobních údajů veřejnosti, je-li to nezbytné pro splnění právní povinnosti, která se na správce vztahuje, podle čl. 6 odst. 1 prvního pododstavce písm. c) GDPR. Podle čl. 52 odst. 1 Listiny však omezení základních práv na respektování soukromého života a ochranu osobních údajů musí být stanovena zákonem, respektovat podstatu základních práv a dodržovat zásadu proporcionality.
17. Předkládající soud si zejména klade otázku, zda je s ohledem mimo jiné na rozsudky ve věcech Luxembourg Business Registers a Manni(13) třeba článek 5 odst. 1 písm. b) GDPR vykládat v tom smyslu, že zpracování osobních údajů akcionářů akciové společnosti může být prováděno za účelem ochrany zájmů třetích osob. Také se táže, zda zásady stanovené v čl. 5 odst. 1 GDPR umožňují členskému státu, aby za účelem dosažení tohoto cíle přijal právní úpravu, podle které může kterákoliv osoba získat osobní údaje kteréhokoli akcionáře akciové společnosti, aniž je povinna prokázat oprávněný zájem na získání těchto údajů. Kromě toho se uvedený soud zamýšlí nad tím, zda musí být čl. 5 odst. 1 písm. b) GDPR vykládán v tom smyslu, že zpracování osobních údajů akcionářů akciové společnosti může být prováděno za účelem předcházení praní peněz a financování terorismu a šíření jaderných zbraní. V tomto ohledu je podle lotyšského zákonodárce účelem zpřístupnění dotčených údajů široké veřejnosti umožnit každému, aby v co největší míře přispěl k takovému předcházení předmětným činnostem.
18. Konečně se předkládající soud táže, zda musí být čl. 5 odst. 1 písm. b) GDPR vykládán v tom smyslu, že zpracování osobních údajů akcionářů akciové společnosti může být prováděno za účelem poskytování informací nezbytných pro provádění národních, mezinárodních a unijních sankcí.
19. Předkládající soud má za to, že by zpřístupnění osobních údajů akcionářů akciových společností veřejnosti mohlo být vhodné, nezbytné a přiměřené k dosažení výše uvedených legitimních cílů. Pokud jsou však osobní údaje zpřístupňovány veřejnosti on-line, není možné zajistit, aby tyto údaje byly zpracovávány zákonným způsobem a aby nebyly dále zpracovávány způsobem, který je neslučitelný s výše uvedenými účely, jak požaduje čl. 5 odst. 1 písm. a) a b) GDPR. Uvedený soud má tedy pochybnosti zaprvé o tom, zda dotčené zveřejnění spočívá na vyváženém poměření sledovaných cílů obecného zájmu a dotčených základních práv, a zadruhé, zda existují dostatečné záruky proti riziku zneužití takových osobních údajů.
20. Podle lotyšské právní úpravy musí být přístup k informacím s omezeným přístupem požadován písemně a osoba, která žádost podává, musí svou žádost odůvodnit a uvést účel, pro který mají být informace použity. V případě poskytnutí informací s omezeným přístupem se příjemce těchto informací zavazuje, že je použije pouze pro účely, pro které byly vyžádány(14). Poskytnutí těchto informací může trvat několik dní. Pokud žádost o informace splňuje požadavky zákona a informace je požadována pouze v elektronické podobě a nevyžaduje další zpracování, informace se poskytne do 10 dnů. Předkládající soud si proto klade otázku, zda lze postup pro podání žádosti o informace s omezeným přístupem považovat za jiný prostředek, kterým by bylo možné rozumně dosáhnout výše uvedených cílů stejně účinným způsobem.
21. Latvijas Republikas Satversmes tiesa (Ústavní soud) se tak rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„(1) Musí být pojem ‚osoby, které se účastní správy, dozoru nebo kontroly společnosti‘ uvedený v čl. 14 písm. d) směrnice 2017/1132 vykládán v tom smyslu, že odkazuje na každého akcionáře akciové společnosti, takže členský stát je povinen zveřejnit informace týkající se každého akcionáře akciové společnosti a zpřístupnit je veřejnosti v rejstříku v souladu s čl. 16 odst. 3 směrnice 2017/1132?
(2) V případě kladné odpovědi na první otázku, je čl. 14 písm. d) bod ii) směrnice 2017/1132 platný s ohledem na právo na respektování soukromého a rodinného života zaručené článkem 7 Listiny a právo na ochranu osobních údajů zaručené článkem 8 Listiny v rozsahu, v němž stanoví zveřejnění údajů týkajících se každého akcionáře akciové společnosti?
3) Musí být čl. 5 odst. 1 písm. b) [GDPR] vykládán v tom smyslu, že zpracování osobních údajů akcionářů akciové společnosti může být prováděno za účelem zaprvé zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob, zadruhé předcházení praní peněz a [financování terorismu a šíření jaderných zbraní] a zatřetí poskytování informací nezbytných pro provádění národních, mezinárodních a unijních sankcí?
4) Umožňují zásady stanovené v čl. 5 odst. 1 [GDPR] pro výše uvedené účely stanovit vnitrostátní právní úpravu, podle které může kterákoliv osoba získat osobní údaje kteréhokoli akcionáře akciové společnosti, aniž je povinna prokázat oprávněný zájem na získání těchto údajů?“
IV. Řízení před Soudním dvorem
22. Písemná vyjádření předložili navrhovatelé A a další, finská lotyšská, norská, polská a švédská vláda, Rada Evropské unie a Evropská komise.
23. Vyjádření předložená švédskou vládou(15), Parlamentem a Radou se týkají pouze první a druhé otázky předkládajícího soudu.
V. Analýza
A. K první a druhé otázce
24. Podstatou první otázky Latvijas Republikas Satversmes tiesa (Ústavní soud) je, zda musí být čl. 14 písm. d) bod ii) směrnice 2017/1132, jenž odkazuje na osoby, které „se účastní správy, dozoru nebo kontroly společnosti“, vykládán v tom smyslu, že odkazuje na každého akcionáře akciové společnosti(16), takže členský stát je povinen zveřejnit informace týkající se každého akcionáře takové společnosti a zpřístupnit je veřejnosti v rejstříku v souladu s čl. 16 odst. 3 směrnice 2017/1132.
25. Podle čl. 14 písm. d) směrnice 2017/1132 musí členské státy přijmout nezbytná opatření k zajištění toho, aby společnosti povinně zveřejnily údaje týkající se jmenování, ukončení funkce a totožnosti osob, které jsou jako zákonem stanovený orgán společnosti nebo členové tohoto orgánu oprávněny zastupovat společnost vůči třetím osobám a v soudních řízeních, nebo se účastní správy, dozoru nebo kontroly této společnosti. Všichni účastníci řízení a zúčastnění, kteří předložili vyjádření, mají za to, že čl. 14 písm. d) bod ii) směrnice 2017/1132 nelze vykládat tak, že se vztahuje na každého akcionáře akciové společnosti.
26. Je třeba zdůraznit, že původní řízení vedené před předkládajícím soudem se týká žaloby podané 17 menšinovými akcionáři. Své posouzení tedy omezím na tuto situaci. Podle ustálené judikatury je pro výklad ustanovení unijního práva třeba vzít v úvahu nejen jeho znění, ale i kontext, ve kterém se nachází, a cíle sledované právní úpravou, jejíž je součástí(17).
27. Článek 14 písm. d) směrnice 2017/1132 neodkazuje na akcionáře ani na valnou hromadu akcionářů(18). Výraz „účastní [se] správy, dozoru nebo kontroly společnosti“ uvedený v čl. 14 písm. d) bodě ii) směrnice 2017/1132 navíc není v této směrnici definován(19) a Soudní dvůr toto ustanovení nevyložil. I přes neexistenci takové definice nebo definic je mimo jiné z článků 60 a 64 směrnice 2017/1132 zřejmé, že pro účely této směrnice se rozlišuje mezi správním nebo řídícím orgánem společnosti a valnou hromadou jejích akcionářů. Toto rozlišení se podle mého názoru tím spíše uplatní v případě jednotlivých akcionářů.
28. Kromě toho platí, že pojmy „jmenování“ a „ukončení funkce“ uvedené v čl. 14 písm. d) směrnice 2017/1132 jsou neslučitelné se samotným postavením akcionářů akciové společnosti. Ačkoliv někteří akcionáři mohou být jmenováni do orgánů společnosti a vykonávat funkce uvedené v čl. 14 písm. d) směrnice 2017/1132, povinné zveřejnění mimo jiné totožnosti a osobních údajů akcionáře v této souvislosti je neoddělitelně spjato s jeho jmenováním do dotčeného orgánu nebo s ukončením jeho funkce a s pravomocí vykonávat určité funkce, a nikoli s jeho postavením akcionáře(20). Akcionáři naopak mají toto postavení nebo z něj těží, jakož i práva a povinnosti, které jsou s ním spojeny, včetně práva účastnit se valné hromady společnosti a hlasovat na ní, pouze na základě toho, že vlastní akcie společnosti, a nikoli z důvodu „jmenování“ do „orgánu“ společnosti. Pojmy „jmenování“ a „ukončení funkce“, které předpokládají určité zmocnění nebo funkci spojené s odpovědností(21) v rámci společnosti, jsou tedy neslučitelné s postavením akcionáře jako takovým a s právy a povinnostmi spjatými s tímto postavením v kontextu čl. 14 písm. d) směrnice 2017/1132.
29. Ze znění čl. 14 písm. d) bodu ii) směrnice 2017/1132 a kontextu, do něhož je zasazen v rámci uvedené směrnice, tedy vyplývá, že se nevztahuje na akcionáře jako takové.
30. Pokud jde o cíle směrnice 2017/1132, ve druhé odrážce jejího článku 1 se uvádí, že tato směrnice stanoví opatření týkající se „koordinace ochranných opatření, která jsou na ochranu zájmů společníků a třetích osob vyžadována v členských státech od společností ve smyslu čl. 54 druhého pododstavce [SFEU], co se týče zveřejnění, platnosti přijatých závazků a neplatnosti akciové společnosti nebo společnosti s ručením omezeným, za účelem dosažení rovnocennosti těchto opatření“(22). Článek 14 směrnice 2017/1132 podává minimální(23) výčet listin a údajů, které dotčené společnosti musí povinně zveřejnit. Tyto listiny a údaje musí být v souladu s čl. 16 odst. 3 až 5 této směrnice vedeny ve spise nebo zapsány do rejstříku, na žádost musí být možné získat kopii každé listiny nebo její části a musí být zveřejněny ve vnitrostátním věstníku buď v plném nebo zkráceném znění, nebo prostřednictvím odkazu, nebo jiným stejně účinným způsobem(24).
31. Vzhledem k tomu, že účelem směrnice 2017/1132, a zejména jejího čl. 14 písm. d), je chránit zájmy akcionářů společnosti a třetích osob tím, že se vyžaduje zveřejnění údajů týkajících se určitých konkrétních osob, jejichž funkce nebo pravomoci mohou být vykonávány na úkor těchto zájmů(25), není mi jasné, jak by zvýšená transparentnost ohledně totožnosti každého akcionáře, zejména menšinových akcionářů, kteří nemají ve společnosti žádnou zvláštní funkci ani pravomoc(26), mohla k dosažení tohoto účelu přispět.
32. V tomto ohledu Soudní dvůr v rozsudku ve věci Manni(27) zdůraznil, že údaje zveřejňované mimo jiné podle čl. 2 odst. 1 písm. d) směrnice 68/151 – který odpovídá čl. 14 písm. d) směrnice 2017/1132 – mají omezenou povahu(28). Výklad čl. 14 písm. d) směrnice 2017/1132, který by zahrnoval údaje o každém jednotlivém akcionáři, zjevně takové povahy není(29). Z bodů 3, 7 a 8 odůvodnění směrnice 2017/1132 je zřejmé, že tato směrnice zajišťuje pouze minimální harmonizaci nebo koordinaci „některých aspektů“(30) práva obchodních společností za účelem ochrany akcionářů, věřitelů a jiných třetích osob. Členské státy jsou tak oprávněny k přijetí nebo ponechání v platnosti přísnějších či dalších ustanovení v oblasti práva obchodních společností v mezích unijního práva(31), a to zejména GDPR(32) a zásady proporcionality.
33. Mám tedy za to, že pojem „osoby, které se účastní správy, dozoru nebo kontroly společnosti“ uvedený v čl. 14 písm. d) směrnice 2017/1132 nemůže být vykládán v tom smyslu, že odkazuje na každého akcionáře akciové společnosti. Členský stát není povinen zveřejnit informace týkající se každého akcionáře akciové společnosti a zpřístupnit je veřejnosti v rejstříku v souladu s čl. 16 odst. 3 směrnice 2017/1132.
34. Vzhledem k tomu, že druhá otázka předkládajícího soudu závisí na kladné odpovědi na jeho první otázku, jsem toho názoru, že druhá otázka týkající se platnosti čl. 14 písm. d) bodu ii) směrnice 2017/1132 s ohledem na články 7 a 8 Listiny je bezpředmětná.
B. Ke třetí a čtvrté otázce
35. Podstatou třetí a čtvrté otázky(33) předkládajícího soudu je, zda čl. 5 odst. 1 GDPR musí být vykládán v tom smyslu, že povoluje zpracování určitých osobních údajů akcionářů akciové společnosti tím, že je zpřístupňuje kterékoliv osobě, aniž je tato osoba povinna prokázat oprávněný zájem na získání těchto údajů, za účelem: i) zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob; ii) předcházení praní peněz a financování terorismu a šíření jaderných zbraní; a iii) poskytování informací nezbytných pro provádění národních, mezinárodních a unijních sankcí. V tomto ohledu si Latvijas Republikas Satversmes tiesa (Ústavní soud) klade otázku, zda jsou zásady „účelového omezení“ a „minimalizace údajů“ uvedené v čl. 5 odst. 1 písm. b) a c) GDPR(34) dodržovány(35).
36. Ze spisu předloženého Soudnímu dvoru vyplývá, že povinnost stanovená lotyšským právem zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích akciových společností založených podle lotyšského práva spadá do věcné působnosti GDPR. Článek 2 odst. 1 GDPR stanoví, že toto nařízení se vztahuje na „zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny“, aniž rozlišuje podle totožnosti autora dotyčného zpracování. Z toho vyplývá, že s výhradou případů uvedených v jeho čl. 2 odst. 2 a 3 se GDPR použije na operace zpracování prováděné jak soukromými osobami, tak orgány veřejné moci(36).
37. Ačkoli je zpracování osobních údajů členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU týkající se společné zahraniční a bezpečnostní politiky, vyloučeno z věcné působnosti GDPR, mám za to, že se toto nařízení vztahuje na zpracování osobních údajů prováděné při výkonu činností, které spadají do oblasti působnosti článku 215 SFEU(37). Je však třeba zdůraznit, že některá práva subjektu údajů vyplývající z GDPR mohou být omezena v souladu s článkem 23 tohoto nařízení. Například čl. 23 odst. 1 písm. a) GDPR stanoví, že za určitých okolností lze uložit omezení s cílem zajistit národní bezpečnost.
38. V projednávané věci je nesporné, že právní povinnost stanovená lotyšským právem(38), a sice zpřístupnit široké veřejnosti informace o akcionářích akciových společností založených podle lotyšského práva – kteří jsou fyzickými osobami – včetně jejich jména, příjmení, osobního identifikačního čísla, kontaktní adresy nebo e-mailové adresy, počtu a jmenovité hodnoty jejich akcií, a počtu hlasů spojených s těmito akciemi, představuje zpracování osobních údajů ve smyslu čl. 4 bodů 1 a 2 GDPR(39).
39. Vzhledem k tomu, že dotčená vnitrostátní ustanovení zahrnují zpracování osobních údajů spadající do působnosti GDPR, je Lotyšská republika povinna mimo jiné uplatnit uvedené nařízení. Z toho vyplývá, že přístup jakékoli osoby z široké veřejnosti k uvedeným údajům se dotýká základního práva dotčených osob na respektování jejich soukromého života zaručeného v článku 7 Listiny. Zpřístupnění takových údajů široké veřejnosti mimoto představuje zpracování osobních údajů, na které se vztahuje článek 8 Listiny. Nadto je zpřístupnění těchto osobních údajů třetím osobám zásahem do základních práv zakotvených v článcích 7 a 8 Listiny bez ohledu na následné využití sdělených informací. Soudní dvůr však uvedl, že pokud jsou splněny podmínky zákonného zpracování osobních údajů podle GDPR, má se v zásadě za to, že toto zpracování splňuje rovněž požadavky stanovené v článcích 7 a 8 Listiny(40).
40. Z článku 1 odst. 2 GDPR ve spojení s body 4 a 10 jeho odůvodnění vyplývá, že cílem tohoto nařízení je zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů(41).
41. GDPR zajišťuje v celé Unii soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním jejich osobních údajů. Každé zpracování osobních údajů – s výhradou výjimek, které připouští článek 23 GDPR(42) – musí být v souladu se zásadami, jimiž se řídí zpracování osobních údajů, jakož i s právy subjektu údajů uvedenými v kapitolách II a III tohoto nařízení. Každé zpracování osobních údajů musí být konkrétně jednak v souladu se zásadami stanovenými v článku 5 GDPR, a jednak odpovídat podmínkám zákonnosti zpracování, které jsou vyjmenovány v článku 6 GDPR(43). Kromě toho musí být dodržována práva subjektu údajů uvedená v článcích 12 až 22 GDPR(44).
42. Podle čl. 5 odst. 1 GDPR musí být osobní údaje zpracovávány v souladu s řadou stanovených zásad. Osobní údaje tak musí být mimo jiné zpracovávány ve vztahu k subjektu údajů korektně a zákonným a transparentním způsobem(45); shromažďovány pro určité, výslovně vyjádřené a legitimní účely(46); přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k těmto účelům(47); přesné a v případě potřeby aktualizované(48); uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány(49); a zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů(50). Tyto zásady zpracování osobních údajů se uplatňují kumulativně(51).
43. Článek 6 odst. 1 GDPR první pododstavec obsahuje taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné(52). Aby tudíž bylo zpracování zákonné, musí spadat pod jeden z případů stanovených v prvním pododstavci čl. 6 odst. 1 GDPR(53). Ačkoli Latvijas Republikas Satversmes tiesa (Ústavní soud) výslovně neuvádí, že je zpracování osobních údajů dotčené v projednávaných věcech založeno na čl. 6 odst. 1 prvním pododstavci písm. c) GDPR, jedná se o jediný případ uvedený v čl. 6 odst. 1 prvním pododstavci GDPR, na který tento soud ve své žádosti o rozhodnutí o předběžné otázce odkazuje(54). Vzhledem k tomu, že je dotčené zpracování konkrétně založeno na vnitrostátní právní úpravě a je jí vyžadováno(55), než že by bylo „nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce“(56), mám za to, že toto zpracování je založeno na čl. 6 odst. 1 prvním pododstavci písm. c) GDPR, protože je nezbytné pro splnění právní povinnosti stanovené právem členského státu – v tomto případě lotyšským právem – která se na správce vztahuje(57). Orgán pověřený vedením obchodního rejstříku členského státu, který v tomto rejstříku zveřejňuje osobní údaje podléhající povinnému zveřejnění podle směrnice 2017/1132, je „správcem“ uvedených údajů, zejména tím, že je zveřejňuje(58).
44. Článek 6 odst. 3 GDPR mimo jiné upřesňuje, pokud jde o situace, v nichž je zpracování zákonné podle čl. 6 odst. 1 prvního pododstavce písm. c)(59), že účel zpracování musí „vycházet z tohoto právního základu“(60) a že tento právní základ musí splňovat cíl veřejného zájmu a být přiměřený sledovanému legitimnímu cíli(61).
45. Ze spisu předloženého Soudnímu dvoru nelze zjistit, zda byl v projednávané věci dodržen požadavek, že účel nebo účely zpracování musí „vycházet z tohoto právního základu“. Úřad pro ochranu údajů ve svém vyjádření předloženém předkládajícímu soudu uvedl, že zákon o podnikovém rejstříku nestanoví účel nebo účely, pro které je zpracování osobních údajů akcionářů akciové společnosti nezbytné. Je tedy na předkládajícím soudu, aby ověřil, zda je tento požadavek stanovený v čl. 6 odst. 3 GDPR dodržen, pokud jde o tři dotčené účely. Nedodržení dotčeného požadavku bude mít za následek, že zpracování osobních údajů bude v rozporu s čl. 6 odst. 3 GDPR(62). Vzhledem k různorodosti legislativních technik v 27 členských státech mám za to, že je dostačující, aby dotčený účel nebo účely mohly být zjištěny „dostatečně jasně“ ze znění právních předpisů nebo z jejich legislativního kontextu(63).
46. Požadavky vyplývající z čl. 6 odst. 3 GDPR, podle nichž zpracování musí splňovat cíl veřejného zájmu a být přiměřené sledovanému legitimnímu cíli, jsou vyjádřením požadavků vyplývajících z čl. 52 odst. 1 Listiny a musí být vykládány ve světle posledně uvedeného ustanovení. V tomto ohledu Soudní dvůr uvedl, že základní práva na respektování soukromého života a na ochranu osobních údajů zakotvená v článcích 7 a 8 Listiny nejsou absolutními výsadami, ale musí být nahlížena v souvislosti s jejich funkcí ve společnosti a musí být v rovnováze s ostatními základními právy. Základní práva lze omezit, pokud je omezení v souladu s čl. 52 odst. 1 Listiny stanoveno zákonem a respektuje podstatu těchto práv a zásadu proporcionality. Podle ustálené judikatury vyžaduje přiměřenost opatření, která vedou k zásahu do práv zaručených v článcích 7 a 8 Listiny, dodržení požadavků vhodnosti a nezbytnosti(64) i požadavku přiměřenosti těchto opatření stricto sensu ve vztahu ke sledovanému cíli(65). Je tedy nutné posoudit, zda dotčená vnitrostátní právní úprava usiluje o dosažení náležité rovnováhy mezi zájmem nebo zájmy sledovanými členským státem a zájmem nebo zájmy osob, které jsou jí nepříznivě zasaženy(66). V důsledku toho je třeba posoudit závažnost zásahu do základních práv na respektování soukromého života a ochranu osobních údajů a ověřit, zda je význam sledovaného cíle obecného zájmu úměrný závažnosti zásahu(67).
47. Za účelem posouzení závažnosti tohoto zásahu je třeba zohlednit zejména povahu dotčených osobních údajů, a konkrétně pak případně citlivou povahu těchto údajů, jakož i povahu a konkrétní způsoby zpracování dotčených údajů, konkrétně počet osob, které mají přístup k těmto údajům, a podmínky pro přístup k těmto údajům(68).
48. Je nesporné, že informace zpřístupněné široké veřejnosti o akcionáři, který je fyzickou osobou, zahrnují jeho jméno, příjmení, osobní identifikační číslo, adresu, na které jej lze kontaktovat, jeho e-mailovou adresu(69), druh, počet a jmenovitou hodnotu akcií držených akcionářem, a počet hlasů s nimi spojených(70). Tyto informace by mohly umožnit sestavení profilu, pokud jde zaprvé o některé identifikační osobní údaje a zadruhé, alespoň do určité míry, o stav majetku dotyčné osoby v Lotyšsku a o hospodářská odvětví a podniky, v nichž tato osoba v Lotyšsku investovala. Dotčené údaje jsou snadno přístupné potenciálně neomezenému počtu osob, zejména proto, že je lze vyhledat na internetových stránkách podnikového rejstříku. Je možné k nim získat volný přístup z důvodů, které nesouvisejí s účely sledovanými dotčenou vnitrostátní právní úpravou(71), a mohou být uchovávány, šířeny a dále zpracovávány. Snadný přístup široké veřejnosti k dotčeným informacím vystavuje subjekty údajů případnému zneužití jejich osobních údajů, což jim ztěžuje, či dokonce znemožňuje, aby se účinně hájily proti takovému zneužívání. Dotčený přístup tudíž představuje závažný zásah do základních práv zakotvených v článcích 7 a 8 Listiny(72).
1. K existenci cíle obecného zájmu uznaného Unií
49. Tři účely dotčené vnitrostátní úpravy, které uvedl předkládající soud(73), jsou v zásadě ve veřejném zájmu Unie, a potažmo legitimní(74). Lze jimi odůvodnit i závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny, pokud jsou v souladu se zásadou proporcionality(75).
50. Pokud jde o účel zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob, mám za to, že samotné zajištění transparentního podnikatelského prostředí představuje poměrně vágní a nekonkrétní cíl, a proto sám o sobě neobstojí jako legitimní účel. Aby se předešlo pochybnostem, jsem tedy toho názoru, s výhradou ověření předkládajícím soudem, že relevantním účelem lotyšské právní úpravy je zajištění transparentního obchodního prostředí s cílem ochránit zájmy třetích osob. S ohledem na čl. 50 odst. 2 písm. g) SFEU(76), který se v podstatě týká ochrany akcionářů a třetích osob(77), se domnívám, že dotčený účel představuje cíl obecného zájmu uznaný Unií.
51. V rozsudku ve věci Luxembourg Business Registers(78) Soudní dvůr uvedl, že předcházení praní peněz a financování terorismu stanovením přístupu široké veřejnosti k informacím o skutečných majitelích představuje cíl obecného zájmu, jímž lze odůvodnit i závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny(79). Mám za to, že logiku, z níž vychází uvedený rozsudek, lze rovněž uplatnit i v projednávané věci.
52. Pokud jde o zveřejnění informací nezbytných pro provádění sankcí, Soudní dvůr uvedl, že lze uložit omezující opatření týkající se práva na svobodný výkon podnikatelské a jiné výdělečné činnosti a výkonu vlastnického práva. Tato opatření musí odpovídat cílům obecného zájmu – jako jsou cíle vnější činnosti Unie uvedené v článku 21 SEU – a vzhledem ke sledovanému cíli nesmí představovat nepřiměřený a neúnosný zásah do samotné podstaty takto zaručených práv(80). Domnívám se navíc, že provádění takových omezujících opatření, včetně přijetí opatření umožňujících přístup k informacím, které jsou nezbytné k zajištění provádění předmětných opatření, představuje cíl obecného zájmu uznávaný Unií.
2. K vhodnosti, nezbytnosti a přiměřenosti dotčeného zásahu stricto sensu
a) Účel spočívající v zajištění transparentního podnikatelského prostředí s cílem ochránit zájmy třetích osob
53. Z důvodů, které jsem uvedl v bodě 31 tohoto stanoviska, se nedomnívám, že povinnost stanovená dotčenou lotyšskou právní úpravou, která se vztahuje na každého akcionáře akciové společnosti bez ohledu na to, zda má v rámci společnosti nějakou zvláštní funkci nebo pravomoc, podporuje nebo napomáhá účelu zajistit transparentní podnikatelské prostředí s cílem ochránit zájmy třetích osob. Kromě toho, ačkoli si směrnice 2017/1132 neklade za cíl být vyčerpávající a pouze harmonizuje a koordinuje některé aspekty práva obchodních společností, ze spisu předloženého Soudnímu dvoru nikterak nevyplývá, že by se tato směrnice(81) ukázala jako nedostatečná z hlediska účelu zajistit transparentní podnikatelské prostředí s cílem ochránit zájmy třetích osob, což by si vyžadovalo přijetí dotčené vnitrostátní právní úpravy(82). Proto mám za to, že zásah je nevhodný a není nezbytný. Jsem rovněž toho názoru, že tato právní úprava je nepřiměřená stricto sensu, neboť neusiluje o dosažení náležité rovnováhy mezi zájmy sledovanými lotyšským zákonodárcem a zájmy akcionářů.
b) Účely spočívající ve vytvoření prostředí podporujícího předcházení praní peněz, financování terorismu a šíření jaderných zbraní, jakož i dostupnost informací nezbytných pro provádění národních, mezinárodních a unijních sankcí
54. Povinnost stanovená lotyšským právem, a sice zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích akciových společností založených podle lotyšského práva a s tím související neexistence jakékoliv povinnosti prokázat oprávněný zájem na získání takových údajů, je podle mého názoru vhodná k dosažení cílů obecného zájmu spočívajících ve vytvoření prostředí, které podporuje a napomáhá předcházení praní peněz, financování terorismu a šíření jaderných zbraní, jakož i dostupnosti informací nezbytných k provedení národních, mezinárodních a unijních sankcí. Obdobně jak je stanoveno v rozsudku ve věci Luxembourg Business Registers jsem toho názoru, že veřejná povaha dotčeného přístupu a z něj vyplývající zvýšená transparentnost, které umožňují, aby vlastnictví akciových společností bylo ve větší míře zkoumáno ze strany veřejnosti, přispívají k dosažení těchto cílů obecného zájmu(83).
55. Je tedy třeba posoudit, zda by bylo možné rozumně dosáhnout těchto dvou účelů stejně účinně jinými opatřeními, která by méně zasahovala do práv akcionářů dotčených akciových společností(84), a zda je dotčený zásah ve vztahu k těmto cílům nepřiměřený stricto sensu, což mimo jiné vyžaduje poměření významu těchto cílů a závažnosti tohoto zásahu.
56. Pokud jde o účel spočívající ve vytvoření prostředí, které podporuje a napomáhá předcházení praní peněz a financování terorismu a šíření jaderných zbraní, předkládající soud má za to, že „oprávněný zájem na provedení kontroly klienta z vlastního podnětu mohou mít“ i jiné osoby než povinné osoby uvedené v článku 2 směrnice 2015/849(85). Kromě toho, podle článku 3.1 Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (zákon o předcházení praní peněz a financování terorismu a šíření jaderných zbraní) mají povinnost oznámit jakoukoliv podezřelou transakci také jiné osoby, než jsou zejména povinné osoby.
57. Pokud jde o provádění sankcí, podle předkládajícího soudu přijímá Rada nařízení, která často zahrnují finanční omezující opatření sestávající ze: i) zmrazení finančních prostředků a hospodářských zdrojů označených osob a subjektů; a ii) zákazu zpřístupnění finančních prostředků a hospodářských zdrojů takovým osobám a subjektům(86). Přístup k informacím o všech akcionářích akciové společnosti může být navíc nezbytný, protože podle čl. 2 odst. 2 zákona o mezinárodních sankcích a národních sankcích Lotyšské republiky(87) je každá osoba povinna dodržovat a provádět mezinárodní a národní sankce.
58. Je užitečné uvést, že Soudní dvůr v rozsudku ve věci Luxembourg Business Registers(88) připomněl, že boj proti praní peněz a financování terorismu přísluší přednostně veřejným orgánům a subjektům, jako jsou úvěrové či finanční instituce, kterým jsou v důsledku jejich aktivit ukládány konkrétní povinnosti v dané oblasti. V každém případě čl. 30 odst. 5 směrnice 2015/849 zajišťuje, že nejen příslušné orgány, finanční zpravodajské jednotky EU(89) a povinné osoby, ale také jakékoliv osoby nebo organizace, které mohou prokázat oprávněný zájem, mají přístup k informacím o skutečných majitelích(90) mimo jiné společností(91).
59. Pokud jde o omezující opatření, jak jsem uvedl ve svém stanovisku ve věci Čiekuri-Shishki(92), nařízení o těchto opatřeních provádějí především státní orgány s konkrétní specializovanou pravomocí v oblasti finančního dohledu. Tyto orgány disponují nezbytnými prostředky, a jsou proto oprávněny uplatňovat stanovené finanční sankce, jako je zmrazení majetku, zákaz poskytování úvěrů nebo plateb určitým osobám nebo orgánům. Přísluší jim, aby nařídily konkrétní opatření vůči osobám a orgánům uvedeným na seznamech uvedených v nařízení.
60. Nicméně, jak je připomenuto v osvědčených postupech(93), „[v]šechny osoby a subjekty, které spadají do soudní pravomoci Unie, jsou povinny sdělit příslušným orgánům jakékoli jim dostupné informace, které by usnadnily použití finančních omezujících opatření.“(94) Kromě toho, nařízení, která zavádějí omezující opatření, zakazují přímé či nepřímé zpřístupnění finančních prostředků nebo hospodářských zdrojů určeným osobám nebo subjektům(95). Mám za to, že tuto povinnost lze splnit jinými prostředky než neomezeným přístupem k osobním údajům všech akcionářů, například tím, že by v každém jednotlivém případě byla podávána žádost o přístup k informacím o akcionářích(96). Zejména má-li osoba důvodné podezření, že může přímo či nepřímo zpřístupnit finanční prostředky nebo hospodářské zdroje určeným osobám nebo subjektům, má zjevný oprávněný zájem požádat o informace, kterými v tomto ohledu disponuje podnikový rejstřík. Je třeba rovněž zdůraznit, že v případě neexistence oprávněného zájmu by bylo příliš zatěžující a nepřiměřené požadovat po všech osobách, aby průběžně ověřovaly totožnost každého jednotlivého akcionáře všech svých obchodních partnerů(97). To je o to zjevnější, že akcionáři akciové společnosti se mohou často měnit.
61. Z toho vyplývá, že ačkoli neomezený přístup široké veřejnosti k informacím o akcionářích akciových společností v souladu s dotčenou lotyšskou právní úpravou může v určité omezené míře přispívat k boji proti praní peněz, financování terorismu a šíření jaderných zbraní, jakož i k provádění národních, mezinárodních a unijních sankcí, jsem toho názoru, obdobně jako je uvedeno v rozsudku ve věci Luxembourg Business Registers(98), že pro tyto účely není nezbytně nutný. Kromě toho případné výhody plynoucí z takového zpracování nekompenzují závažný zásah do základních práv zaručených články 7 a 8 Listiny(99).
62. Rovněž zdůrazňuji, že jelikož podle čl. 3 bodu 6 směrnice 2015/849 je skutečným majitelem společnosti fyzická osoba nebo osoby, které vlastní nebo kontrolují mimo jiné akciový podíl 25 % plus jednu akcii, platí úvahy Soudního dvora uvedené v rozsudku ve věci Luxembourg Business Registersa fortiori i pro lotyšskou právní úpravu dotčenou v projednávané věci, která vyžaduje zveřejnění informací o každém akcionáři akciové společnosti bez ohledu na to, zda má kontrolní podíl či nikoli.
63. Předkládající soud si rovněž klade otázku, zda lze postup pro podání žádosti o informace s omezeným přístupem upravený zákonem o svobodném přístupu k informacím považovat za jiný prostředek, který umožňuje dosáhnout dotčených cílů stejně účinným způsobem. Jeví se(100), že v souladu s čl. 11 odst. 4 a čl. 14 odst. 1 bodem 1.1 zákona o svobodném přístupu k informacím může mít osoba přístup k informacím o akcionářích(101), pokud podá písemnou žádost, odůvodní ji a uvede účel, pro který budou informace použity. Příjemce těchto poskytnutých informací se zavazuje, že je použije pouze pro účely, pro které byly vyžádány. Pokud žádost o informace splňuje požadavky zákona a informace je požadována pouze v elektronické podobě a nevyžaduje další zpracování, informace se poskytne do 10 dnů. Předkládající soud uvedl, že „podnikový rejstřík, jako správce osobních údajů a odesílatel informací, není schopen ověřit, zda má osoba žádající o informace skutečně oprávněný zájem na získání požadovaných informací. V takové situaci musí být požadavek na uvedení oprávněného zájmu považován za formální překážku získání informací.“(102)
64. Postačí konstatovat, že zpracování osobních údajů podle zákona o svobodném přístupu k informacím za účelem boje proti praní peněz a financování terorismu a šíření jaderných zbraní(103), jakož i za účelem provádění sankcí musí být v souladu s unijním právem, zejména s GDPR a zásadou proporcionality. Vzhledem ke skutečnosti, že čl. 30 odst. 5 směrnice 2015/849 vyžaduje, aby informace o skutečných majitelích byly k dispozici nejen mimo jiné příslušným orgánům a povinným osobám, ale také jakékoli osobě nebo organizaci, které mohou prokázat oprávněný zájem, je tvrzení předkládajícího soudu, že podnikový rejstřík nemusí být schopen ověřit, zda má osoba takový zájem(104), poněkud matoucí s ohledem na povinnost, která pro členské státy vyplývá z uvedeného ustanovení(105).
65. V každém případě se postup pro přístup k informacím o akcionářích podle čl. 11 odst. 4 a čl. 14 odst. 1 bodu 1.1 zákona o svobodném přístupu k informacím(106) popsaný v bodech 20 a 63 tohoto stanoviska nejeví jako nadměrně zatěžující nebo zdlouhavý a jeho cílem je konkrétní sladění různých dotčených zájmů. Jeví se tudíž(107), že dotčený vnitrostátní postup je prostředkem, který umožňuje dosáhnout předmětných cílů stejně účinným způsobem.
66. Mám tedy za to(108), že povinnost stanovená lotyšským právem, a sice zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích akciových společností založených podle lotyšského práva a s tím související neexistence jakékoliv povinnosti prokázat oprávněný zájem na získání takových údajů, za účelem vytvoření prostředí, které podporuje a napomáhá předcházení praní peněz, financování terorismu a šíření jaderných zbraní, jakož i dostupnosti informací nezbytných k provedení národních, mezinárodních a unijních sankcí, je stricto sensu nepřiměřená.
VI. Závěry
67. S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Latvijas Republikas Satversmes tiesa (Ústavní soud, Lotyšsko) následovně:
1) Článek 14 písm. d) a čl. 16 odst. 3 směrnice Evropského parlamentu a Rady (EU) 2017/1132 ze dne 14. června 2017 o některých aspektech práva obchodních společností
musí být vykládány v tom smyslu, že pojem ‚osoby, které se účastní správy, dozoru nebo kontroly společnosti‘ uvedený v čl. 14 písm. d) směrnice 2017/1132 nelze vykládat tak, že odkazuje na každého akcionáře akciové společnosti. Členský stát není povinen zveřejnit informace týkající se každého akcionáře akciové společnosti a zpřístupnit je veřejnosti v rejstříku v souladu s čl. 16 odst. 3 směrnice 2017/1132.
2) Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), zejména články 5 a 6 tohoto nařízení,
musí být vykládáno v tom smyslu, že brání vnitrostátní právní úpravě, která stanoví, že zpracování určitých osobních údajů akcionářů akciové společnosti tím, že jsou zpřístupněny jakékoliv osobě, aniž je povinna prokázat oprávněný zájem na získání těchto údajů, může být prováděno za účelem zajištění transparentního podnikatelského prostředí s cílem ochránit zájmy třetích osob, předcházení praní peněz a financování terorismu a šíření jaderných zbraní a poskytování informací nezbytných pro provádění národních, mezinárodních a unijních sankcí.
1 Původní jazyk: angličtina.
i Název projednávané věci je fiktivní. Neodpovídá skutečnému jménu žádné ze zúčastněných stran.
2 Jež došla kanceláři Soudního dvora dne 19. listopadu 2024.
3 Těchto 17 dotčených akcionářů jsou fyzické osoby.
4 Pro český překlad není relevantní.
5 Viz lotyšské právní předpisy uvedené v bodě 9 tohoto stanoviska.
6 Úř. věst. 2017, L 169, s. 46.
7 Úř. věst. 2016, L 119, s. 1.
8 To se týká financování šíření zbraní hromadného ničení.
9 Pokud jde o podrobnosti týkající se tohoto postupu, viz bod 20 tohoto stanoviska. Viz také body 63 až 65 tohoto stanoviska.
10 Rozsudek ze dne 22. listopadu 2022, Luxembourg Business Registers (C-37/20 a C-601/20, dále jen „rozsudek ve věci Luxembourg Business Registers“, EU:C:2022:912).
11 Ze dne 13. dubna 2000 (Latvijas Vēstnesis, 2000, č. 158/160).
12 Ze dne 20. listopadu 1990 (Latvijas Republikas Augstākās Padomes un Valdības Ziņotājs, 1990, č. 49).
13 Rozsudek ze dne 9. března 2017 (C-398/15, dále jen „rozsudek ve věci Manni“, EU:C:2017:197).
14 Viz čl. 11 odst. 4 zákona o svobodném přístupu k informacím.
15 Švédská vláda formálně předložila vyjádření k první otázce předkládajícího soudu. Dospěla však také k názoru, že čl. 14 písm. d) bod ii) směrnice 2017/1132 je platný s ohledem na články 7 a 8 Listiny, a tudíž se ve svém vyjádření zabývala i druhou otázkou předkládajícího soudu.
16 Z článku 13 směrnice 2017/1132 a přílohy II této směrnice – která v případě Lotyšska odkazuje na pojmy „akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība“ – vyplývá, že se čl. 14 písm. d) bod ii) a čl. 16 odst. 3 uvedené směrnice vztahují mimo jiné na akciové společnosti založené podle lotyšského práva. Pro čistě ilustrativní účely v anglickém jazyce je třeba uvést, že příloha II uvedené směrnice odkazuje na pojem „companies incorporated with limited liability“, pokud jde o Irsko.
17 V tomto smyslu viz rozsudek ze dne 21. prosince 2023, DOBELES AUTOBUSU PARKS a další (C-421/22, EU:C:2023:1028, bod 40).
18 Pro čistě ilustrativní účely viz článek 72 směrnice 2017/1132, v němž jsou uvedeny výrazy „akcionáři“, „valná hromada“ a „správní nebo řídící orgán společnosti“. Je zřejmé, že se jedná o tři různé právní pojmy stanovené pro účely směrnice 2017/1132.
19 Viz také čl. 3 písm. e) směrnice 2017/1132, který stanoví, že „[s]tanovy nebo zakladatelské právní jednání společnosti musí obsahovat alespoň tyto údaje: […] pravidla, která určují počet a způsob jmenování členů orgánů pověřených zastupováním společnosti vůči třetím osobám nebo správou, řízením, dozorem či kontrolou společnosti, a rozdělení pravomocí mezi tyto orgány, nevyplývají-li tato pravidla z právních předpisů“.
20 Viz naproti tomu článek 1 směrnice Evropského parlamentu a Rady (EU) 2025/25 ze dne 19. prosince 2024, kterou se mění směrnice 2009/102/ES a (EU) 2017/1132, pokud jde o další rozšíření a modernizaci využívání digitálních nástrojů a postupů v právu obchodních společností (Úř. věst. L, 2025/25), který nahradil znění článku 3 směrnice 2009/102 novým zněním a stanoví, že „[p]okud se společnost stane společností jedné osoby v důsledku soustředění všech podílů v jediných rukou, musí být tato skutečnost a totožnost jediného společníka vloženy do spisu nebo zapsány do rejstříku, jak je uvedeno v čl. 16 odst. 1 a 2 [směrnice 2017/1132], a zveřejněny prostřednictvím systému propojení rejstříků uvedeného v čl. 16 odst. 1 uvedené směrnice.“ Z toho vyplývá, že pokud unijní normotvůrce vyžaduje zveřejnění údajů o jednotlivých akcionářích společnosti v rejstříku v souladu mimo jiné s článkem 16 směrnice 2017/1132, stanoví tuto povinnost výslovně.
21 Viz články 106 a 152 směrnice 2017/1132 o občanskoprávní odpovědnosti členů správního nebo řídícího orgánu společnosti v určitých případech.
22 Soudní dvůr uvedl, že z bodů 7 a 8 odůvodnění směrnice 2017/1132 vyplývá, že zveřejňování upravené touto směrnicí směřuje zejména k ochraně zájmů třetích osob ve vztahu k akciovým společnostem a ke společnostem s ručením omezeným, neboť ty poskytují třetím osobám jako záruku pouze své obchodní jmění. Za tímto účelem by takové zveřejňování mělo třetím osobám umožnit, aby se seznámily se základními listinami dotyčné společnosti a s některými údaji, které se jí týkají, zejména s údaji o osobách, které jsou oprávněny společnost zavazovat (rozsudek ze dne 4. října 2024, Agentsia po vpisvaniyata, C-200/23, dále jen „rozsudek ve věci Agentsia po vpisvaniyata“, EU:C:2024:827, bod 77).
23 To je zřejmé z užití výrazu „alespoň“ v článku 14 směrnice 2017/1132. Viz rovněž odkaz na „základní listiny“ v bodě 8 odůvodnění této směrnice.
24 Viz rozsudek ve věci Agentsia po vpisvaniyata, bod 53.
25 Viz body 3, 7 a 8 odůvodnění směrnice 2017/1132. Bod 3 odůvodnění směrnice 2017/1132 odkazuje na ochranu věřitelů, zatímco body 7 a 8 odůvodnění, jakož i čl. 14 písm. d) bod i) uvedené směrnice se týkají třetích osob. Domnívám se, že i když tyto výrazy nejsou synonyma, třetí osoby, které s největší pravděpodobností potřebují ochranu podle směrnice 2017/1132, jsou věřiteli společnosti. Samotné znění čl. 50 odst. 2 písm. g) SFEU, který je jedním z právních základů uvedené směrnice, však obecně zmiňuje cíl ochrany zájmů třetích osob, aniž by rozlišovalo mezi různými kategoriemi nebo vylučovalo některé kategorie, takže pojem třetích osob uvedených v tomto ustanovení zejména nelze omezit pouze na věřitele dotyčné společnosti. Obdobně viz rozsudek ve věci Manni, bod 51.
26 Výrazy „jsou oprávněny zastupovat společnost vůči třetím osobám a v soudních řízeních“ a „účastní [se] správy, dozoru nebo kontroly společnosti“ uvedené v čl. 14 písm. d) směrnice 2017/1132 lze považovat za noscitur a sociis. Unijní normotvůrce tak měl v úmyslu, aby byly používány podobným způsobem. Pouhé postavení menšinového akcionáře v akciové společnosti samo o sobě neopravňuje akcionáře zastupovat společnost vůči třetím osobám a v soudních řízeních.
27 Rozsudek ve věci Manni se týkal výkladu první směrnice Rady 68/151/EHS ze dne 9. března 1968 o koordinaci ochranných opatření, která jsou na ochranu zájmů společníků a třetích osob vyžadována v členských státech od společností ve smyslu čl. 58 druhého pododstavce Smlouvy, za účelem dosažení rovnocennosti těchto opatření (Úř. věst. 1968, L 65, s. 8; Zvl. vyd. 17/01, s. 3), ve znění posledních změn, a směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355). Směrnice 68/151 byla zrušena a nahrazena směrnicí Evropského parlamentu a Rady 2009/101/ES ze dne 16. září 2009 o koordinaci ochranných opatření, která jsou na ochranu zájmů společníků a třetích osob vyžadována v členských státech od společností ve smyslu čl. 48 druhého pododstavce Smlouvy, za účelem dosažení rovnocennosti těchto opatření (Úř. věst. 2009, L 258, s. 11), která byla následně změněna směrnicí Evropského parlamentu a Rady 2012/17/EU ze dne 13. června 2012 (Úř. věst. 2012, L 156, s. 1). Směrnice 95/46 byla zrušena a nahrazena GDPR.
28 Viz bod 58. Tato věc se týkala nejen zveřejňování totožnosti a příslušných funkcí osob, které byly oprávněny zastupovat dotčenou společnost vůči třetím osobám a v soudních řízeních či se účastnit správy, dozoru nebo kontroly této společnosti, ale také zveřejnění informací týkajících se jmenování likvidátorů a jejich pravomocí. Viz naproti tomu body 63 až 88 rozsudku ve věci Luxembourg Business Registers, v nichž Soudní dvůr v podstatě uvedl, že povinnost členských států zajistit, aby informace týkající se totožnosti skutečného majitele, jakož i povahy a rozsahu skutečné držené účasti ve společnostech nebo jiných právnických osobách byly vždy k dispozici široké veřejnosti, porušovala zásadu proporcionality, neboť zásah do práv zaručených v článcích 7 a 8 Listiny se neomezoval na to, co bylo nezbytně nutné k předcházení využívání finančního systému k praní peněz nebo financování terorismu, a byl stricto sensu nepřiměřený.
29 Mám rovněž za to, že takové rozsáhlé zveřejňování informací je poněkud v rozporu s pojmem „akciová společnost“. To je patrně více zřejmé z významu výrazů „sociedad anónima“, „société anonoyme“ a „sociedade anónima de responsabilidade limitada“ uvedených ve španělském, francouzském a portugalském jazyce, které jsou použity v příloze II směrnice 2017/1132.
30 Viz samotný název směrnice 2017/1132.
31 Obdobně viz rozsudek ze dne 18. dubna 2024, Citadeles nekustamie īpašumi (C-22/23, EU:C:2024:327, bod 48).
32 V souladu s článkem 161 směrnice 2017/1132, ve znění směrnice Evropského parlamentu a Rady (EU) 2019/1151 ze dne 20. června 2019, kterou se mění směrnice (EU) 2017/1132, pokud jde o využívání digitálních nástrojů a postupů v právu obchodních společností (Úř. věst. 2019, L 186, s. 80), se zpracování osobních údajů prováděné v rámci prvně uvedené směrnice řídí GDPR.
33 Mám za to, že je vhodné odpovědět na tyto dvě otázky společně.
34 Pro účely zodpovězení otázek předkládajícího soudu považuji za nezbytné zkoumat i jiná ustanovení GDPR, zejména jeho článek 6.
35 Je třeba připomenout, že systém spolupráce zavedený článkem 267 SFEU je založen na jasné dělbě funkcí mezi vnitrostátními soudy a Soudním dvorem. V rámci řízení zahajovaného na základě tohoto článku přísluší výklad vnitrostátních ustanovení soudům členských států, a nikoli Soudnímu dvoru, takže Soudnímu dvoru nepřísluší, aby se vyjadřoval ke slučitelnosti norem vnitrostátního práva s ustanoveními práva unijního. Naproti tomu má Soudní dvůr pravomoc poskytnout vnitrostátnímu soudu veškeré prvky výkladu unijního práva, které tomuto soudu umožní posoudit slučitelnost těchto norem vnitrostátního práva s unijní právní úpravou (rozsudek ze dne 11. září 2025, Cairo Network a další, C-764/23 až C-766/23, EU:C:2025:691, bod 43).
36 Rozsudek ze dne 2. března 2023, Norra Stockholm Bygg (C-268/21, EU:C:2023:145, bod 26 a citovaná judikatura). Soudní dvůr uvedl, že vymezení oblasti věcné působnosti GDPR, jak je uvedeno v jeho čl. 2 odst. 1, je velmi široké a že výjimky z této oblasti působnosti stanovené v jeho čl. 2 odst. 2 musí být vykládány restriktivně (rozsudek ze dne 30. března 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C-34/21, EU:C:2023:270, bod 33 a citovaná judikatura).
37 Obdobně viz rozsudek ze dne 6. října 2020, Bank Refah Kargaran v. Rada (C-134/19 P, EU:C:2020:793, body 29, 30 a 37). Pro vysvětlení vztahu mezi kapitolou 2 hlavy V Smlouvy o EU a článku 215 SFEU, viz mé stanovisko ve věci Čiekuri-Shishki (C-480/24, EU:C:2025:672, body 27, 28, 32 a 33).
38 Viz čl. 235 odst. 1 obchodního zákoníku a čl. 410 pátý pododstavec, čl. 411 první pododstavec bod 2 a čl. 415 první pododstavec bod 2 písm. b) a bod 3 písm. a) zákona o podnikovém rejstříku.
39 Obdobně viz rozsudky ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely) (C-175/20, EU:C:2022:124, body 30 až 38), a ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, bod 65). Viz také rozsudek ze dne 3. dubna 2025, Ministerstvo zdravotnictví (Údaje týkající se zástupce právnické osoby) (C-710/23, EU:C:2025:231, body 22 až 31 a citovaná judikatura).
40 Obdobně viz rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců) (C-204/21, EU:C:2023:442, body 327 až 329 a 332 a citovaná judikatura).
41 Rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců) (C-204/21, EU:C:2023:442, bod 332).
42 Viz také bod 73 odůvodnění GDPR.
43 Rozsudky ze dne 6. října 2020, La Quadrature du Net a další (C-511/18, C-512/18 a C-520/18, EU:C:2020:791, body 207 a 208 a citovaná judikatura), a ze dne 3. dubna 2025, Ministerstvo zdravotnictví (Údaje týkající se zástupce právnické osoby) (C-710/23, EU:C:2025:231, bod 33).
44 Rozsudek ze dne 11. července 2024, Meta Platforms Ireland (Zástupná žaloba) (C-757/22, EU:C:2024:598, bod 49 a citovaná judikatura). Viz však článek 23 GDPR.
45 Viz čl. 5 odst. 1 písm. a) GDPR.
46 Viz čl. 5 odst. 1 písm. b) GDPR. Toto ustanovení zakotvuje zásadu účelového omezení. Viz rovněž čl. 8 odst. 2 Listiny, který vyžaduje, aby osobní údaje byly zpracovány korektně, k přesně stanoveným účelům.
47 Viz čl. 5 odst. 1 písm. c) GDPR. Toto ustanovení zakotvuje zásadu minimalizace údajů, která je vyjádřením zásady proporcionality. V tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse (C-394/23, EU:C:2025:2, bod 24 a citovaná judikatura). S ohledem na zásadu minimalizace údajů je správce povinen mimo jiné omezit dobu shromažďování dotčených osobních údajů na to, co je nezbytně nutné s ohledem na účel zamýšleného zpracování. Kromě toho správce nemůže shromažďovat osobní údaje plošně a nerozlišujícím způsobem a nesmí shromažďovat údaje, které nejsou naprosto nezbytné pro účely zpracování [rozsudek ze dne 4. října 2024, Schrems (Sdělení údajů široké veřejnosti), C-446/21, EU:C:2024:834, body 52 a 59 a citovaná judikatura].
48 Viz čl. 5 odst. 1 písm. d) GDPR.
49 Viz čl. 5 odst. 1 písm. e) GDPR.
50 Viz čl. 5 odst. 1 písm. f) GDPR.
51 Rozsudek ze dne 20. října 2022, Digi (C‑77/21, EU:C:2022:805, bod 47). Kromě toho podle čl. 5 odst. 2 GDPR nese správce důkazní břemeno, že tyto údaje jsou shromažďovány v souladu s čl. 5 odst. 1 uvedeného nařízení. To je označováno jako „zásada odpovědnosti“ (rozsudek ze dne 14. března 2024, Újpesti Polgármesteri Hivatal , C‑46/23, EU:C:2024:239, bod 32 a citovaná judikatura).
52 Rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body) (C-439/19, EU:C:2021:504, bod 99 a citovaná judikatura).
53 Článek 6 odst. 1 první pododstavec GDPR se tak překrývá se zásadou zákonného zpracování stanovenou v čl. 5 odst. 1 písm. a) uvedeného nařízení a rozvíjí ji. V tomto smyslu viz rozsudek ze dne 20. října 2022, Digi (C-77/21, EU:C:2022:805, body 49 a 56 až 59 a citovaná judikatura).
54 Komise má za to, že z žádosti o rozhodnutí o předběžné otázce vyplývá, že zpracování dotčené v projednávané věci je založeno na čl. 6 odst. 1 prvním pododstavci písm. c) GDPR. Norská vláda tvrdí, že vnitrostátní ustanovení, na nichž je založena čtvrtá otázka, představují „právní povinnost“ zpracovávat dotčené údaje podle čl. 6 odst. 1 prvního pododstavce písm. c) GDPR. Polská a finská vláda však odkazují také na čl. 6 odst. 1 první pododstavec písm. e) GDPR.
55 Viz zejména čl. 410 pátý pododstavec, čl. 411 první pododstavec bod 2 a čl. 415 první pododstavec bod 2 písm. b) a bod 3 písm. a) zákona o podnikovém rejstříku.
56 Viz písm. e) prvního pododstavce čl. 6 odst. 1 GDPR. Toto ustanovení se do jisté míry podobá doložce flexibility obsažené v článku 352 SFEU, která za určitých podmínek umožňuje přijetí opatření nezbytných k dosažení legitimního cíle, i když jejich přijetí není výslovně stanoveno.
57 Obdobně viz rozsudky ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců) (C-204/21, EU:C:2023:442, bod 339 a citovaná judikatura), a ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, bod 71). Viz naproti tomu rozsudek ve věci Agentsia po vpisvaniyata, body 107 až 110, v nichž Soudní dvůr dospěl k závěru, že zpracování osobních údajů nebylo založeno na zákonné povinnosti stanovené unijním právem nebo právem členského státu, ale podle všeho k němu docházelo při plnění úkolu prováděného ve veřejném zájmu ve smyslu čl. 6 odst. 1 prvního pododstavce písm. e) GDPR.
58 Viz rozsudek ve věci Agentsia po vpisvaniyata, bod 83. Obdobně viz také rozsudek ze dne 11. ledna 2024, État belge (Údaje zpracované v úředním věstníku) (C‑231/22, EU:C:2024:7, body 35 až 38).
59 Takové zpracování je třeba považovat za zpracování stanovené zákonem ve smyslu čl. 52 odst. 1 Listiny (rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, bod 72).
60 Ve svém stanovisku ve věci I. (Prodej databáze) (C-693/22, EU:C:2024:162, bod 68) dospěl generální advokát P. Pikamäe k závěru, že toto předpokládá zvláště existenci právních ustanovení, která výslovně uvádějí povahu a předmět zpracování.
61 Rozsudek ve věci Agentsia po vpisvaniyata, bod 104. Viz rovněž čl. 5 odst. 1 písm. b) GDPR, který zakotvuje zásadu účelového omezení a uvádí, že osobní údaje musí být shromažďovány pro „určité, výslovně vyjádřené a legitimní účely“. Podle bodu 39 odůvodnění GDPR „je zapotřebí, aby konkrétní účely, pro které jsou osobní údaje zpracovávány, byly jednoznačné a legitimní a aby byly stanoveny v okamžiku shromažďování osobních údajů [...]“.
62 Viz také čl. 5 odst. 1 písm. b) GDPR.
63 Obdobně viz rozsudek ze dne 11. ledna 2024, État belge (Údaje zpracované v úředním věstníku) (C-231/22, EU:C:2024:7, bod 30).
64 Je tudíž třeba ověřit, zda je zásah do práv zaručených v článcích 7 a 8 Listiny, který vyplývá z přístupu široké veřejnosti k informacím o každém akcionáři, omezen na to, co je nezbytně nutné, a to v tom smyslu, že by tohoto cíle nebylo možné rozumně dosáhnout stejně účinným způsobem jinými prostředky, které méně zasahují do těchto základních práv subjektů údajů. Obdobně viz rozsudek ve věci Luxembourg Business Registers, bod 66.
65 Obdobně viz rozsudek ve věci Luxembourg Business Registers, bod 63 a citovaná judikatura.
66 Rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, body 69 a 70 a citovaná judikatura), a rozsudek ve věci Luxembourg Business Registers, body 59 až 66 a citovaná judikatura. Viz také bod 4 odůvodnění GDPR.
67 Rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, bod 98).
68 Rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, body 98 a 99 a citovaná judikatura). Viz také rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě) (C-252/21, EU:C:2023:537, bod 134), k významu rozsahu dotčeného zpracování údajů.
69 Pokud požádal, aby ji společnost používala pro komunikaci s ním.
70 Viz čl. 235 odst. 1 obchodního zákoníku.
71 Jak uvedl předkládající soud.
72 Obdobně viz rozsudek ve věci Luxembourg Business Registers, body 41 až 44 a citovaná judikatura.
73 Ve stanovisku ve věci Digi Távközlési és Szolgáltató (C-77/21, EU:C:2022:248, bod 40) generální advokát P. Pikamäe uvedl, že si samozřejmě lze v praxi představit, že osobní údaje mohou být shromažďovány a dále zpracovávány pro několik účelů, což GDPR jasně předpokládá a připouští, o čemž svědčí znění čl. 5 odst. 1 písm. b) a čl. 6 odst. 1 písm. a), jakož i body 32 a 50 odůvodnění tohoto nařízení.
74 Obdobně viz rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců) (C-204/21, EU:C:2023:442, bod 353).
75 Obdobně viz rozsudek ve věci Luxembourg Business Registers, bod 59 a citovaná judikatura.
76 Jedná se o jeden z právních základů směrnice 2017/1132.
77 Viz také rozsudek ve věci Manni, body 49 až 51, který spojuje i) přístup k zásadním údajům týkajícím se založení obchodních společností a pravomocí osob, které jsou pověřeny jejich zastupováním; s ii) ochranou zájmů třetích osob obecně.
78 Viz body 58 a 59 a citovaná judikatura, jakož i stanovisko generálního advokáta G. Pitruzzelly ve spojených věcech Luxembourg Business Registers (C-37/20 a C-601/20, EU:C:2022:43, body 143 až 145 a citovaná judikatura). Obdobně viz rozsudek ze dne 2. března 2023, PrivatBank a další (C-78/21, EU:C:2023:137, bod 61).
79 Viz také směrnice Evropského parlamentu a Rady (EU) 2015/849 ze dne 20. května 2015 o předcházení využívání finančního systému k praní peněz nebo financování terorismu, o změně nařízení Evropského parlamentu a Rady (EU) č. 648/2012 a o zrušení směrnice Evropského parlamentu a Rady 2005/60/ES a směrnice Komise 2006/70/ES (Úř. věst. 2015, L 141, s. 73), a směrnice Evropského parlamentu a Rady (EU) 2024/1640 ze dne 31. května 2024 o mechanismech, které mají členské státy zavést za účelem předcházení využívání finančního systému k praní peněz nebo financování terorismu (Úř. věst. L, 2024/1640). Zdůrazňuji, že článek 43 směrnice 2015/849 stanoví, že „[z]pracování osobních údajů na základě této směrnice pro účely předcházení praní peněz a financování terorismu uvedeného v článku 1 se považuje za otázku veřejného zájmu podle [GDPR].“
80 V tomto smyslu viz rozsudek ze dne 28. března 2017, Rosneft (C-72/15, EU:C:2017:236, body 148 až 150).
81 A vnitrostátní právní úprava, která ji provádí.
82 Přísluší předkládajícímu soudu, aby tuto okolnost ověřil.
83 Viz rozsudek ve věci Luxembourg Business Registers, bod 67. Obdobně viz také rozsudky ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, bod 83), a ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců) (C-204/21, EU:C:2023:442, bod 367).
84 Na respektování jejich soukromého života a na ochranu jejich osobních údajů.
85 Povinné osoby mají přístup v rámci hloubkové kontroly klienta. Viz zejména kapitola II uvedené směrnice.
86 V tomto smyslu viz bod 30 dokumentu Generálního sekretariátu Rady Evropské unie č. 11623/24 s názvem „Omezující opatření (sankce) – aktualizace osvědčených postupů EU pro účinné provádění omezujících opatření“ ze dne 3. července 2024, dostupném na https://data.consilium.europa.eu/doc/document/ST-11623-2024-INIT/cs/pdf (dále jen „osvědčené postupy“).
87 Viz písemné vyjádření lotyšské vlády, bod 40. Viz také článek 5 zákona o mezinárodních sankcích a národních sankcích Lotyšské republiky.
88 Viz bod 83.
89 Dotčené informace mají vždy k dispozici, a to bez omezení.
90 Jak jsou definováni v čl. 3 bodě 6 směrnice 2015/849.
91 Tyto musí být propojeny s dalšími veřejně dostupnými informacemi o společnostech, jako jsou informace stanovené ve směrnici 2017/1132.
92 C-480/24, EU:C:2025:672, bod 34.
93 Viz bod 41.
94 Kurzivou zvýraznil autor stanoviska.
95 Viz pro ilustrativní účely čl. 2 odst. 2 nařízení Rady (EU) č. 269/2014 ze dne 17. března 2014 o omezujících opatřeních vzhledem k činnostem narušujícím nebo ohrožujícím územní celistvost, svrchovanost a nezávislost Ukrajiny (Úř. věst. 2014, L 78, s. 6), ve znění prováděcího nařízení Rady (EU) 2022/1985 ze dne 20. října 2022 (Úř. věst. 2022, L 272I, s. 1). Obdobně viz rozsudek ze dne 17. ledna 2019, SH (C-168/17, EU:C:2019:36, body 51 a 53 a citovaná judikatura).
96 Viz například postup pro podání žádosti o informace s omezeným přístupem podle zákona o svobodném přístupu k informacím a jeho meze nastíněné v bodech 20 a 63 až 65 tohoto stanoviska.
97 Kteří jsou akciovými společnostmi.
98 Viz bod 76 tohoto rozsudku.
99 Obdobně viz rozsudek ve věci Luxembourg Business Registers, bod 85.
100 S výhradou ověření předkládajícím soudem.
101 Předkládající soud v předkládacím rozhodnutí odkazuje na pojem „informace s omezeným přístupem“.
102 Kurzivou zvýraznil autor stanoviska.
103 Směrnice 2015/849 stanoví pouze minimální harmonizaci, neboť její článek 5 opravňuje členské státy k přijetí nebo ponechání v platnosti přísnějších ustanovení, pokud tato ustanovení mají za cíl posílení boje proti praní peněz a financování terorismu v mezích unijního práva (rozsudek ze dne 2. března 2023, PrivatBank a další, C-78/21, EU:C:2023:137, bod 64).
104 Byť se to týká akcionářů obecně.
105 Viz rozsudek ve věci Luxembourg Business Registers, bod 72. Viz také čl. 30 odst. 3 směrnice 2015/849.
106 Ze spisu předloženého Soudnímu dvoru není zřejmé, jaký vztah případně existuje mezi těmito ustanoveními.
107 S výhradou ověření předkládajícím soudem.
108 S výhradou ověření, která přísluší provést předkládajícímu soudu.