ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ

L. MEDINA

представено на 30 май 2024 година(1)

Дело C‑200/23

Агенция по вписванията

срещу

OL,

при участието на

Върховна административна прокуратура

(Преюдициално запитване от Върховен административен съд, България)

„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Публикуване на съдържащ лични данни дружествен договор в търговския регистър — Директива (ЕС) 2017/1132 — Администратор на данните — Право на изтриване на личните данни“

I.      Въведение

1.        С преюдициалното си запитване Върховният административен съд (България) поставя на Съда поредица от въпроси, които по същество се отнасят до връзката между координираните на равнището на Съюза разпоредби за публикуването на актовете на дружествата(2) и разпоредбите на Регламент (ЕС) 2016/679(3).

2.        Запитването е отправено в рамките на спор между Агенцията по вписванията (България) (наричана по-нататък „агенцията“) и OL по повод на отказа на агенцията да заличи някои лични данни на OL, съдържащи се в акт, обявен в търговския регистър.

II.    Правна уредба

А.      Правото на Съюза

3.        За целите на настоящото заключение са от значение по-специално членове 14 и 16 от Директива 2017/1132, която заменя Директива 2009/101, както и членове 4—6 и 17 от ОРЗД. За прегледност текстът на съответните разпоредби на тези членове ще бъде посочен по-нататък в този анализ.

Б.      Българското право

4.        Член 2 от Закона за търговския регистър и регистъра на юридическите лица с нестопанска цел(4), в приложимата му в главното производство редакция (наричан по-нататък „ЗТРРЮЛНЦ“), гласи:

„(1)      Търговският регистър и регистърът на юридическите лица с нестопанска цел [наричани по-нататък „регистрите“] е обща електронна база данни, съдържаща обстоятелствата, вписани по силата на закон, и актовете, обявени по силата на закон, за търговците и клоновете на чуждестранни търговци, юридическите лица с нестопанска цел и клоновете на чуждестранни юридически лица с нестопанска цел.

(2)      Обстоятелствата и актовете по ал. 1 се обявяват без информацията, представляваща лични данни по смисъла на чл. 4, т. 1 от [ОРЗД], с изключение на информацията, за която със закон се изисква да бъде обявена“.

5.        Съгласно член 6, алинея 1 от ЗТРРЮЛНЦ всеки търговец и всяко юридическо лице с нестопанска цел са длъжни да поискат да бъдат вписани в регистрите, като заявят подлежащите на вписване обстоятелства и представят подлежащите на обявяване актове.

6.        Член 11 от този закон гласи следното:

„(1)      [Регистрите] са публични. Всеки има право на свободен и безплатен достъп до базата данни, съставляваща регистрите.

(2)      [Агенцията] осигурява регистриран достъп до делото на търговеца или на юридическото лице с нестопанска цел“.

7.        Член 13, алинеи 1, 2, 6 и 9 от посочения закон гласи:

„(1)      Вписване, заличаване и обявяване се извършват въз основа на заявление по образец.

(2)       Заявлението съдържа:

1.      данни за заявителя;

[…]

3.      подлежащото на вписване обстоятелство, вписването, чието заличаване се иска, или подлежащия на обявяване акт;

[…]

(6)      Към заявлението се прилагат документите, съответно подлежащият на обявяване акт, съгласно изискванията на закона. Документите се представят в оригинал, заверен от заявителя препис или нотариално заверен препис. Заявителят представя и заверени преписи от актовете, подлежащи на обявяване в търговския регистър, в които личните данни, освен тези, които се изискват по закон, са заличени.

[…]

(9)      Когато в заявлението или в приложените към него документи са посочени лични данни, които не се изискват по закон, се смята, че предоставилите ги лица са дали съгласието си за тяхното обработване от агенцията и за предоставянето на публичен достъп до тях“.

8.        Член 101, точка 3 от Търговския закон(5), в приложимата му в главното производство редакция (наричан по-нататък „ТЗ“), предвижда, че дружественият договор трябва да съдържа „името, съответно фирмата и единния идентификационен код на съдружниците“.

9.        Съгласно член 119, алинея 1 от този закон за вписването на дружеството в търговския регистър е необходимо в частност да се представи дружественият договор, който се обявява. Съгласно алинея 4 от този член „[п]ри изменение или допълнение на дружествения договор в търговския регистър се представя за обявяване препис от него, който съдържа всички изменения и допълнения, заверен от органа, представляващ дружеството“.

III. Спорът в главното производство и преюдициалните въпроси

10.      OL е съдружник в дружество с ограничена отговорност съгласно българското право (ООД), което е вписано в търговския регистър на 14 януари 2021 г. При заявяване на вписването е представен подписан от съдружниците дружествен договор от 30 декември 2020 г. (наричан по-нататък „дружественият договор от 2020 г.“). Този договор, съдържащ имената на OL, нейния ЕГН, номер на лична карта, дата и място на издаване и постоянен адрес, е вписан и обявен във вида, в който е представен. На 8 юли 2021 г. OL поисква от агенцията да бъдат заличени личните ѝ данни в дружествения договор от 2020 г., като уточнява, че ако обработването е въз основа на нейно съгласие, да се счита, че го оттегля. Поради липсата на произнасяне на агенцията OL се обръща към Административен съд Добрич (България), който отменя мълчаливия отказ на агенцията по искането на OL и връща преписката на агенцията за ново произнасяне. В изпълнение на това съдебно решение и на аналогично решение, отнасящо се до другия съдружник, който предприема същите действия, с писмо от 26 януари 2022 г. агенцията посочва, че за да бъде уважено искането за заличаване на личните данни, трябва да се представи заверен препис на дружествения договор от 2020 г., в който личните данни на съдружниците, освен тези, които се изискват по закон, да бъдат заличени (наричано по-нататък „писмото от 26 януари 2022 г.“). На 31 януари 2022 г. OL отново сезира Административен съд Добрич — с жалба срещу писмото от 26 януари 2022 г. и с искане агенцията да бъде осъдена да заплати обезщетение за причинените неимуществени вреди вследствие на това писмо, с което са нарушени правата ѝ по ОРЗД. На 1 февруари 2022 г., преди да ѝ бъде връчена жалбата, агенцията заличава служебно ЕГН, данните за личната карта и адреса на OL, но не и имената и подписа ѝ. С решение от 5 май 2022 г. Административен съд Добрич прогласява нищожността на писмото от 26 януари 2022 г. и осъжда агенцията да заплати на OL обезщетение за неимуществени вреди по член 82 от ОРЗД в размер на 500 български лева (BGN) (около 255 евро), ведно със законната лихва. Съгласно това съдебно решение вредите се изразяват в негативни емоции и преживявания вследствие на това писмо, с което са извършени нарушение на правото на изтриване по член 17, параграф 1 от ОРЗД и незаконосъобразно обработване на нейните данни, съдържащи се в публикувания дружествен договор. Агенцията подава касационна жалба срещу това решение до запитващата юрисдикция. Тя по-специално изтъква, че освен администратор на лични данни е и получател на предоставяните в регистърното производство данни и че макар да е поискала това преди регистрирането на дружеството, в което OL е съдружник, не е получила препис от дружествения договор със заличаване на личните данни, които не е задължително да се обявяват. Не можело обаче само на това основание да се откаже вписването на търговското дружество. Агенцията се позовава на становище от 2021 г. на националния надзорен орган, Комисията за защита на личните данни (България), предоставено на основание член 58, параграф 3, буква б) от ОРЗД (наричано по-нататък „становището от 2021 г.“)(6), в което се приема, че тя не е овластена да променя съдържанието на актовете, които получава за вписване в регистъра. От своя страна OL поддържа, че в качеството си на администратор на лични данни агенцията не може да възлага на други лица собствените си задължения за заличаване. OL се позовава на национална съдебна практика, съгласно която становището от 2021 г. не е в съответствие с разпоредбите на ОРЗД.

11.      При тези обстоятелства Върховният административен съд решава да спре производството и да постави на Съда следните преюдициални въпроси:

„1)      Възможно ли е член 4, параграф 2 от Директива [2009/101] да се разглежда като създаващ задължение за държавата членка да допусне оповестяване на дружествен договор, подлежащ на вписване на основание чл. 119 от Търговския закон, в който освен имената на съдружниците, които задължително подлежат на обявяване на основание чл. 2, ал. 2 от Закона за търговския регистър и регистъра на юридическите лица с нестопанска цел, съдържа и други техни лични данни? При отговора на този въпрос е важно да се има предвид, че Агенцията по вписванията е публична институция, спрямо която, според константната практика на Съда, могат да бъдат противопоставени разпоредбите на директива с непосредствено действие (Решение от 7 септември 2006 г. по дело Vassallo, С‑180/04, ECLI:EU:C:2006:518, Rec, стр. I‑7251, точка 26 и цитираната съдебна практика).

2)      При положителен отговор на предходния въпрос възможно ли е да се приеме, че в ситуацията, породила спора в главното производство, обработването на личните данни, осъществявано от Агенцията по вписванията е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора по смисъла на член 6, т. 1, б. „д“ от [ОРЗД]?

3)      При положителен отговор на предходните въпроси възможно ли е да се приеме за допустима национална правна уредба като тази в член 13, алинея 9 от Закон за търговския регистър и регистъра на юридическите лица с нестопанска цел, която предвижда, че когато в заявлението или в приложените към него документи са посочени лични данни, които не се изискват по закон, се смята, че предоставилите ги лица са дали съгласието си за тяхното обработване от агенцията и за предоставянето на публичен достъп до тях, като внасяща яснота относно възможността за „доброволно оповестяване“ по смисъла на член 4, параграф 2 от Директива [2009/101] и на лични данни независимо от съображения 32, 40, 42, 43 и 50 от [ОРЗД]?

4)      Допустимо ли е в изпълнение на задължението, предвидено в член 3, параграф 7 от Директива [2009/101], държавите членки да предприемат необходимите мерки, за да избегнат всякакви различия между оповестеното в съответствие с параграф 5 и съдържанието на регистъра или на делото и за отчитане интересите на третите лица да се запознаят с основните актове на дружеството и други свързани с него данни, посочени в съображение 3 на същата директива, приемането на национално законодателство, което предвижда процесуален ред (образци на заявление, представяне на копия от документи със заличени лични данни), по който да бъде упражнено правото на физическото лице по член 17 от [ОРЗД] да иска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, когато лични данни, чието заличаване се иска, са част от публично оповестени (обявени) документи, предоставени на администратора по сходен процесуален ред от друго лице, което с това действие е определило и целта на обработването, което е инициирало?

5)      В ситуацията, породила спора в главното производство Агенцията по вписванията само като администратор на лични данни ли действа или е и техен получател, когато целта на обработване им като част от представени за обявяване документи е определена от друг администратор?

6)      Ръкописният подпис на физическо лице представлява ли информация, свързана с идентифицирано физическо лице, респективно включва ли се в понятието „лични данни“ по смисъла на член 4, параграф 1 от [ОРЗД]?

7)      Трябва ли понятието „нематериални вреди“ в член 82, параграф 1 от [ОРЗД] да се тълкува в смисъл, че за да се приеме, че са налице нематериални вреди, е необходимо да има забележими неблагоприятни последици и обективно установимо засягане на лични интереси, или за тази цел е достатъчна само краткотрайна загуба на суверенното право на субекта на данни да се разпорежда с личните си данни поради публикуването на такива данни в Търговския регистър, без това да е довело до забележими или неблагоприятни последици за субекта на данните?

8)      Становището [от 2021 г.] на националния надзорен орган Комисията за защита на личните данни, дадено на основание член 58, параграф 3, буква Б от [ОРЗД], според което Агенцията по вписванията не разполага с правна възможност или правомощия, служебно или по искане на субекта на данни, да ограничава обработването на вече оповестени данни, възможно ли е да се разглежда като доказателство по смисъла на член 82, параграф 3 от [ОРЗД] за това, че Агенцията по вписванията по никакъв начин не е отговорна за събитието, от което се твърди, че са настъпили вреди на физическото лице?“.

IV.    Производството пред Съда

12.      Страните в главното производство, българското, германското, ирландското, италианското, полското и финландското правителство, както и Комисията представят писмени становища по реда на член 23 от Статута на Съда на Европейския съюз по всички или по част от преюдициалните въпроси. Устните становища на страните в главното производство, на българското и ирландското правителство и на Комисията са изслушани в съдебното заседание от 7 март 2024 г.

А.      Анализ

13.      По искане на Съда настоящото заключение ще е съсредоточено върху четвъртия и петия преюдициален въпрос, които предлагам да бъдат разгледани заедно. Преди да пристъпя към анализа си, считам за необходимо да направя няколко предварителни бележки, които се отнасят до преюдициалното запитване в неговата цялост.

1.      Предварителни бележки

14.      Най-напред следва да се отбележи — както правят страните в главното производство, Комисията и повечето държави членки, представили становища пред Съда — че в мотивите на акта за преюдициално запитване, както и в текста на преюдициалните въпроси, включително в четвъртия въпрос, са посочени разпоредбите на Директива 2009/101. Считано от 20 юли 2017 г. обаче, тя е отменена и заменена с Директива 2017/1132, която е приложима ratione temporis към фактите по случая в главното производство. По-нататък в анализа си ще се позовавам единствено на последната директива.

15.      По-нататък следва да се припомни, че Директива 2017/1132, и по-специално членове 16 и 161, доколкото те са от значение за анализа на това преюдициално запитване, е изменена с Директива (ЕС) 2019/1151(7), която влиза в сила на 31 юли 2019 г. Наистина, както подчертава Комисията, съдържащият личните данни на OL дружествен договор от 2020 г. е вписан в търговския регистър преди 1 август 2021 г. — датата, на която изтича срокът за транспониране на Директива 2019/1151(8), но все пак някои от фактите настъпват след тази дата, включително изпращането от агенцията на писмото от 26 януари 2022 г., служебното заличаване от нейна страна на някои от тези данни, както и повторното им обявяване в регистъра, за което споменава в писменото си становище ответницата в главното производство. При това положение не е изключено в главното производство да е приложима ratione temporis редакцията на Директива 2017/1132 съгласно изменението с Директива 2019/1151, което запитващата юрисдикция следва да провери. Ето защо по-нататък в анализа си ще се позовавам на тази редакция.

16.      В самото начало обаче ще уточня, че въведените с Директива 2019/1151 изменения сами по себе си се отразяват съвсем малко на въпроса по какъв начин органът на държавата членка, който отговаря за воденето на дружествения регистър, следва да гарантира защитата на личните данни при изпълнението на своите функции. За сметка на това е важно да се подчертае в по-общ план, че тази директива има за цел да засили и консолидира използването на цифрови инструменти и процеси при събирането на информация за дружествата и управлението на тези информационни потоци, което предполага по-голям достъп до включените в тази информация лични данни и увеличава риска от нарушаване на правото на защита на тези данни и вредоносния характер на тези нарушения(9). Такъв процес на дигитализация(10), съчетан с увеличаването на трансграничния достъп до посочената информация, което също е цел на законодателя на Съюза(11), изисква особено внимание при претеглянето на целите за правна сигурност и защита на правата на третите лица, които, както ще покажа, са в основата на правилата за оповестяване на данни за дружествата, от една страна, и основните права на зачитане на личния живот и защита на личните данни, от друга(12).

17.      Също в предварителен порядък ще посоча, че спорът в главното производство се отнася до заличаването от търговския регистър на държава членка на лични данни, чието обявяване не се изисква нито от Директива 2017/1132, нито от правото на съответната държава членка, както и до отговорността на националния орган, на който е възложено воденето на този регистър, за неимуществените вреди, причинени от отказа да се предприемат незабавно и безусловно действия по искането за изтриване на такива данни. За сметка на това спорът в главното производство не се отнася пряко до въпроса какви са задълженията на такъв орган във връзка със защитата на личните данни при вписването в търговския регистър на учредителните актове на дадено дружество, когато в тях са включени данни, чието публикуване не е задължително. Този въпрос обаче се подразбира, както личи от факта, че много от встъпилите държави членки му посвещават голяма част от становищата си, като предлагат радикално преформулиране на първите четири преюдициални въпроса или на някои от тях. По-нататък в анализа си ще разгледам някои аспекти на този въпрос, но като се придържам в границите, очертани от предмета на делото в главното производство и от онези от преюдициалните въпроси, върху които е съсредоточено настоящото заключение.

2.      По четвъртия и петия преюдициален въпрос

18.      С четвъртия си преюдициален въпрос, чиято допустимост българското правителство оспорва, запитващата юрисдикция по същество иска да се установи дали Директива 2017/1132 трябва да се тълкува в смисъл, че допуска да се предвиждат специфични процесуални условия във връзка с правото на физическите лица, в случая — на съдружниците в дружество с ограничена отговорност, което е сред посочените в тази директива видове дружества(13), да поискат изтриване от търговския регистър на свързаните с тях лични данни, които, макар да не са част от информацията, която подлежи на задължително оповестяване съгласно националното право, се съдържат в учредителния акт на това дружество, обявяван при вписването на дружеството в този регистър. С петия си преюдициален въпрос пък запитващата юрисдикция иска от Съда да уточни дали по отношение на такива данни органът, на който е възложено воденето на търговския регистър, действа като „администратор“ по смисъла на член 4, точка 7 от ОРЗД, или е и „получател“ на обработваните от него данни по смисъла на член 4, точка 9 от този регламент, тъй като целта на обработването им е била определена предварително от трето лице.

19.      Както посочих по-горе, според мен тези два въпроса следва да се разгледат заедно. За тази цел ще разгледам различните поставени с тях питания в следния ред. След кратък преглед на обхвата на изискванията за оповестяване по отношение на посочените в приложение II към Директива 2017/1132 дружества ще разгледам, на първо място, въпроса кой е администраторът на личните данни, които се съдържат в актове, подлежащи на задължително оповестяване в контекста на вписването на дружество в търговския регистър на държава членка, когато, както в случая, разкриването на съответните данни не се изисква нито от хармонизираното право на Съюза, нито от правото на съответната държава членка. На второ място, ще разгледам въпроса кое в случая е правното основание за обработването на такива данни. На трето място, ще се спра на въпроса дали, след като посочените данни вече са били разкрити вследствие на обявяването на акта, в който се съдържат, заинтересованите лица разполагат с право на изтриване в съответствие с член 17 от ОРЗД. На четвърто и последно място, ще разгледам въпроса дали във връзка с това право може да се предвижда процесуален ред като споменатия от запитващата юрисдикция.

20.      Преди да пристъпя към този анализ, следва да отговоря на повдигнатите от българското правителство възражения относно допустимостта на четвъртия преюдициален въпрос. Това правителство счита, че четвъртият преюдициален въпрос по същество се отнася до съвместимостта на все още неприето национално законодателство с член 16, параграф 7 от Директива 2017/1132 в редакцията му отпреди изменението с Директива 2019/1151. Следователно въпросът бил хипотетичен. В това отношение ще отбележа, че запитващата юрисдикция трябва да се произнесе като последна инстанция по законосъобразността на отказа на агенцията да изтрие някои лични данни на ответницата, съдържащи се в акт, който е обявен вследствие на вписването ѝ в търговския регистър, както и по последиците от този отказ. За тази цел запитващата юрисдикция трябва по-специално да прецени с оглед на разпоредбите на Директива 2017/1132 и на ОРЗД дали подобен отказ може да бъде обоснован, наред с другото, с факта, че в делото не е включен заверен препис от този акт, от който да са заличени съответните лични данни. Следователно поисканото с това преюдициално запитване решение е необходимо, за да може запитващата юрисдикция да постанови решението си по спора, с който е сезирана. Освен това въпреки двусмисления текст на четвъртия преюдициален въпрос от акта за преюдициално запитване ясно личи, че целта на този въпрос не е да се получи становище относно съвместимостта на все още неприето национално законодателство с правото на Съюза, а да се поискат от Съда насоки за тълкуването на това право, които са необходими за решаването на спора, по който тя трябва да се произнесе. Затова според мен четвъртият преюдициален въпрос е допустим.

3.      Кратък преглед на обхвата на изискванията за оповестяване на актовете и данните за дружествата, посочени в приложение II към Директива 2017/1132

21.      Член 14 от Директива 2017/1132 предвижда, че за видовете дружества, посочени в приложение II към тази директива, държавите членки задължително оповестяват „най-малко“ изброените в този член актове и данни. В член 14, букви а)—в) от Директивата като подлежащи на задължително оповестяване актове са посочени „учредителния[т] акт и устав[ът] [на дружеството], ако последният се съдържа в отделен документ“, както и всички техни изменения. Съгласно член 4, буква и) от тази директива задължителната информация, която се предоставя в публикувания устав, учредителен акт или отделен документ, включва самоличността на физическите или юридическите лица, дружества или предприятия, от които или от името на които са подписани уставът или учредителният акт. Като данни, които трябва да се оповестяват, член 14, буква г) споменава „назначаването, прекратяването на правомощията и данни за лицата, които в качеството си на орган, предвиден от закона, или като членове на такъв орган[,] са упълномощени да представляват дружеството по отношение на трети лица и в съдебни производства“ и/или „участват в управлението, надзора или контрола на дружеството“. Съгласно член 16, параграф 2 от Директива 2017/1132, изменена с Директива 2019/1151, всички документи и информация, които подлежат на оповестяване в съответствие с член 14, се съхраняват в посоченото в параграф 1 от същия член дело в съответния централен търговски или дружествен регистър или се вписват директно в регистъра(14). Съгласно член 16, параграфи 3 и 4 от Директива 2017/1132, изменена с Директива 2019/1151, държавите членки гарантират, че оповестяването на документите и информацията, посочени в член 14 от нея, се извършва чрез осигуряване на публичен достъп до тях в регистъра. Наред с това държавите членки могат да изискват някои или всички документи и информация да се публикуват в определен за тази цел официален вестник или чрез също толкова ефективни средства. Държавите членки предприемат необходимите мерки, за да се избегнат несъответствия между съдържанието на регистъра и на делото, както и между оповестеното в регистъра и публикуваното в официалния вестник.

22.      Във връзка с посочените по-горе предписания на Директива 2017/1132 могат да се направят следните бележки.

23.      Първо, Директива 2017/1132 предвижда задължителното оповестяване и наличието на достъп чрез регистъра до целия учредителен акт на дружеството и всичките му изменения(15).

24.      Второ, що се отнася до дружествата, посочени в приложение II към нея, тази директива предписва оповестяването и наличието на достъп чрез регистъра само до информация относно определени категории лица, а именно тези, които са упълномощени да представляват дружеството или които участват в управлението, надзора или контрола на дружеството. Съгласно член 4, буква и) от тази директива самоличността на физическите лица, подписали учредителния акт на дружеството, също подлежи на оповестяване.

25.      Трето, тази информация — доколкото е свързана с физически лица, които са идентифицирани или могат да бъдат идентифицирани — представлява „лични данни“ по смисъла на член 4, точка 1 от ОРЗД(16).

26.      Четвърто, посочените по-горе разпоредби от Директива 2017/1132 съдържат само минимални изисквания относно оповестяването на актовете и информацията за дружествата. Следователно е от компетентността на държавите членки да определят по-специално кои категории информация относно самоличността на лицата, посочени в член 4, буква и) и член 14, буква г) от Директивата, подлежат на задължително оповестяване. Освен това държавите членки са свободни да предвидят, че на такова оповестяване подлежат и други актове или други данни, отнасящи се евентуално до други категории лица. От само себе си се разбира, че когато упражняват тази възможност, те са длъжни да спазват всички разпоредби на правото на Съюза, и по-специално принципите, закрепени в член 8 и член 52, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“), а също и разпоредбите на ОРЗД.

4.      Администраторът

27.      В член 4, точка 7 от ОРЗД понятието „администратор“ е дефинирано в широк смисъл като физическо или юридическо лице, публичен орган, агенция или всякаква друга структура, която сама или съвместно с други „определя целите и средствата за обработването“ на лични данни. Целта на това широко определение е в съответствие с целта на ОРЗД да се осигури ефективна защита на основните права и свободи на физическите лица, и в частност да се гарантира високо равнище на защита на правото на всяко лице на защита на личните данни(17). Понятието „обработване“ също е широко дефинирано(18). Съгласно член 4, точка 2 от ОРЗД „обработване“ означава „всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване“.

28.      От решение Manni следва, че като вписва и съхранява в търговския регистър информация за самоличността на лицата, посочени в член 14, буква г) от Директива 2017/1132, и като съобщава тази информация, органът, на който е възложено воденето на този регистър, извършва „обработване на лични данни“, за което е „администратор“ по смисъла на определенията, съдържащи се в член 4, точки 2 и 7 от ОРЗД. Очевидно същото важи и когато в регистъра се вписват, съхраняват се и се съобщават лични данни, различни от изрично посочените в тази директива, когато оповестяването на тези данни се изисква от правото на държавата членка.

29.      Въпросът, който се поставя по настоящото дело обаче, е дали такъв орган, в случая агенцията, се явява администратор във връзка с обявяването на лични данни, чието оповестяване не се изисква нито от Директива 2017/1132, нито от правото на съответната държава членка, в случая българското право, но които се съдържат в акт, чието вписване и разкриване са задължителни.

30.      Според мен на този въпрос трябва да се отговори утвърдително.

31.      Всъщност обявяването на личните данни на OL в търговския регистър е извършено при упражняването на правомощията, предоставени на агенцията в качеството ѝ на орган, на който е възложено воденето на този регистър. Както бе споменато по-горе, българското законодателство предвижда, че към заявлението за вписване на дружество в този регистър се прилагат оригиналът или заверен препис от подлежащите на оповестяване актове, сред които е дружественият договор, който агенцията е длъжна да обяви. В този смисъл целите и средствата за обработването на личните данни от агенцията при изпълнението на нейните правомощия са определени както от българското право, така и от разпоредбите на правото на Съюза, с които е извършено, както показах, сближаване на законодателствата на държавите членки в областта на оповестяването на данни за дружествата. Ето защо като орган, на който е възложено да обработва личните данни, съдържащи се във вписваните в търговския регистър актове, в съответствие с целите и средствата, определени в българското законодателство и в законодателството на Съюза, агенцията трябва да се счита за „администратор“ по смисъла на член 4, точка 7 от ОРЗД. Ще отбележа, че неотдавна, в решение от 11 януари 2024 г., État belge (Данни, обработени от държавен вестник)(19), Съдът стигна до аналогичен извод по отношение на националния орган, на който по закон е възложено воденето на държавния вестник на държава членка.

32.      Този извод не намира опровержение в обстоятелството, че в случая съдържащите се в дружествения договор от 2020 г. данни не са сред тези, които трябва да се обявяват съгласно българското право. От една страна, ирелевантността на подобно обстоятелство за идентифицирането на администратора е имплицитно констатирана от Съда в решение État belge. Всъщност в случая по делото, по което е постановено въпросното решение, точно както е и в случая по делото, по което е отправено разглежданото тук преюдициално запитване, спорът се е отнасял до данни, чието обявяване не се изисква от закона на съответната държава членка. От друга страна, член 13, алинея 9 от ЗТРРЮЛНЦ изрично предвижда, че ако заявителят не представи заверен препис от подлежащия на оповестяване акт, от който са заличени личните данни, които не се изискват, агенцията ги обработва и предоставя публичен достъп до тях въз основа на презумпция за мълчаливо съгласие. Следователно дори при подобни обстоятелства българското законодателство изрично посочва агенцията за администратор на тези данни.

33.      При тези обстоятелства не мога да се съглася с тезата, изложена от агенцията в писменото ѝ становище, че ако заявителят не заличи информацията, която не се изисква по закон и която се съдържа в актовете, които той предоставя за целите на вписването в регистъра, самият той става администратор във връзка с обработването, изразяващо се в оповестяването им онлайн в този регистър. Всъщност, независимо дали съгласието за публикуване на тази информация може да е действително, когато е следствие от прилагането на презумпцията по член 13, алинея 9 от ЗТРРЮЛНЦ, наличието на такова съгласие не може да има значение за определянето на администратора — то е от значение само за законосъобразността на обработването.

34.      Също ирелевантно е и другото изтъкнато от агенцията обстоятелство — че документите, подавани със заявлението за вписване в търговския регистър, не са структурирани, нито машинно четими данни, за разлика от цифровите полета на регистъра, които се попълват от служителя, извършващ вписването, и които съответстват на нормативната дефиниция за „регистър“ в българското право. Всъщност агенцията е органът, на който българският закон възлага воденето на търговския регистър, и следователно тя е администраторът за всяко обработване на публикуваните в него лични данни, независимо дали тези данни се съдържат в приложен към заявлението документ, или са въведени от служител на агенцията. В този смисъл, дори когато самата тя не трансформира цифрово документите, които получава, агенцията все пак се явява администратор във връзка с разкриването на тези документи и на съдържащите се в тях данни чрез регистъра. По-общо, в рамките на своята задача от обществен интерес тя събира, записва, съхранява, организира и подрежда всички данни, актове и документи, които получава, в структурирана база данни, която е призната като надежден и автентичен източник на информация.

35.      Накрая, за квалифицирането на агенцията като „администратор“ по смисъла на член 4, точка 7 от ОРЗД не е пречка обстоятелството, че преди публикуването им онлайн тя не проверява личните данни, съдържащи се в електронните образи или в хартиените оригинали на предоставените за вписване документи, нито обстоятелството, че тя не може да променя или поправя тези данни. В това отношение ще припомня, че в решение État belge Съдът вече е имал повод да отхвърли доводи с аналогично съдържание, що се отнася до обнародването в държавния вестник на държава членка на документи, които са изготвени от трети лица и след това са подадени до съдебен орган и изпратени на отговарящата за този вестник структура, за да бъдат оповестени. В точка 38 от онова решение, от една страна, Съдът отбелязва, че обнародването на тези документи без възможност за контрол и изменение на съдържанието им е тясно свързано с ролята на всеки държавен вестник, която е само да информира обществеността за тяхното съществуване в съответствие с приложимото национално право, така че да могат да бъдат противопоставени на трети лица. От друга страна, Съдът уточнява, че би било в противоречие с целта на член 4, точка 7 от ОРЗД, а именно да се осигури ефективна и пълна защита на физическите лица при обработването на техните лични данни, ако от обхвата на понятието „администратор“ се изключи държавният вестник на държава членка с мотива, че той не упражнява контрол върху тези данни. Аналогични съображения се прилагат съответно и по отношение на публикуването на актове и документи в дружествените регистри на държавите членки. Всъщност, точно както е констатирано в посоченото по-горе съдебно решение по отношение на Moniteur belge (белгийския държавен вестник), макар да е вярно, че агенцията трябва да оповести съответния акт във вида, в който ѝ е представен, тя сама изпълнява тази задача и разпространява акта(20).

36.      На този етап се поставя въпросът дали агенцията трябва да се счита за единствен администратор на спорните данни и следователно за единствено отговорна за спазването на принципите по член 5, параграф 1 от ОРЗД, или тя споделя тази администраторска отговорност със заявителя, който е действал от името на дружеството, тъй като той не е изпратил на агенцията препис от дружествения договор от 2020 г. със заличени лични данни.

37.      В това отношение най-напред ще припомня, че член 26, параграф 1 от ОРЗД предвижда, че две или повече лица могат да са съвместно администратори на данните и че съответните им отговорности могат да бъдат определени чрез договореност помежду им, а могат и да са определени от правото на Съюза или от приложимото спрямо тях право на дадена държава(21). В това отношение Съдът уточнява, че квалификацията „съвместни администратори“ се основава на факта, че при определянето на целите и средствата на обработването на данните са участвали няколко субекта(22). Обратно, при липса на такова участие в определянето на целите и средствата съвместното администриране е изключено и различните субекти трябва да се разглеждат като независими и последователни администратори. Както посочва ЕНОЗД, обменът на едни и същи данни или множество от данни между два правни субекта без съвместно определени цели или съвместно определени средства за обработването следва да се счита за предаване на данни между отделни администратори(23).

38.      Затова, дори агенцията да е едновременно „администратор“ по член 4, точка 7 от ОРЗД и „получател“ по смисъла на точка 9 от този член, тъй като пред нея се разкриват личните данни, съдържащи се в актовете и документите, прилагани към заявлението за вписване в търговския регистър, сам по себе си този факт не позволява да се изключи изводът, че единствено тя се явява администратор във връзка с обявяването на тези данни. Всъщност публичното им обявяване, точно както цифровата трансформация на данните в представяните ѝ актове, когато такава се извършва, и точно както съхраняването им, представлява операция по обработване, която е отделна от и последваща спрямо предоставянето на данните от страна на заявителя за целите на регистрацията на дружеството. Агенцията обаче сама извършва всички тези операции по обработване в рамките на възложената ѝ задача от обществен интерес и съобразно целите и реда, определени в българското законодателство(24).

39.      Наистина, от една страна, в решение État belge(25) Съдът пояснява, че е достатъчно дадено лице да влияе за собствени цели върху обработването на лични данни и по този начин да участва в определянето на целите и средствата на това обработване, за да може да се счита за съвместен администратор(26). В случая обаче от преписката, с която разполага Съдът, е видно, че целите и средствата за обработването на данните, съдържащи се в документите, които трябва да се обявяват чрез търговския регистър, се определят единствено от закона. Субектите, които от името на дружеството подават в базата данни на този регистър(27) документите и информацията, чието оповестяване се изисква по закон, нямат никакво влияние върху определянето на тези цели и следователно не могат да носят администраторска отговорност — както не може и самото дружество — за по-нататъшното обработване на данните, които предоставят на агенцията, включително за разкриването на тези данни чрез електронната база данни на регистъра. Освен това, като предоставят на агенцията подлежащите на оповестяване актове и обработват съдържащите се в тях данни, тези субекти се ръководят от свои собствени цели, а именно да изпълнят необходимите за регистрацията на дружеството формалности, и те се различават от публичните цели, за които е създаден регистърът и от които се ръководи агенцията, когато обявява такива актове(28).

40.      От друга страна, в решение État belge Съдът приема, че в рамките на верига на обработвания, извършвани от различни лица или субекти и засягащи едни и същи лични данни, националното право може да определи целите и средствата на всички обработвания, извършвани последователно от тези различни лица или субекти, така че същите да носят съвместна администраторска отговорност за обработването(29). Така съгласно член 26, параграф 1 във връзка с член 4, точка 7 от ОРЗД съвместната администраторска отговорност на няколко субекта по веригата на обработване на едни и същи лични данни може да бъде установена в националното право, стига различните операции по обработване да са обединени от определени от това право цели и средства и това право да определя пряко или непряко съответните задължения на всеки от съвместните администратори(30). По мое мнение обаче това условие не е изпълнено за член 13, алинеи 6 и 9 от ЗТРРЮЛНЦ, тъй като той само определя условията, при които съгласно българското право е налице действително съгласие за публикуването на неподлежащи на оповестяване лични данни в търговския регистър. Целта на тази разпоредба не е да се установи съвместна администраторска отговорност на заявителя за по-нататъшното обработване на тези данни, а по-скоро да се определи основанието за законосъобразност на обработването на данните от агенцията. Освен това, както вече подчертах, частните цели, от които се ръководи дружеството, се различават от публичните цели, от които се ръководи агенцията, така че според мен не са изпълнени условията, които се изискват съгласно решение État belge, за да се счита, че българското право установява тяхна съвместна администраторска отговорност като участници във „верига на обработвания, засягащи едни и същи лични данни“.

41.      По всички изложени по-горе съображения считам, че член 4, точка 7 и член 26, параграф 1 от ОРЗД трябва да се тълкуват в смисъл, че органът, на който е възложено воденето на търговския регистър на държавата членка и който съгласно законодателството на тази държава трябва да осигурява оповестяването на актовете, които са му предоставени със заявлението за вписване на дружество в този регистър, единствен се явява администратор във връзка с обявяването на съдържащите се в тези актове лични данни, включително когато те са данни, чието публикуване не се изисква и които съгласно това законодателство е трябвало да бъдат заличени от актовете, преди същите да бъдат предоставени на посочения орган.

5.      Основанието за законосъобразност на обработването

42.      Всяко обработване на лични данни трябва да е в съответствие със закрепените в член 5, параграф 1 от ОРЗД принципи във връзка с обработването на данните и да отговаря на условията, изброени в член 6 от този регламент(31), който предвижда изчерпателен списък на случаите, в които обработването на такива данни може да се счита за законосъобразно(32). Съгласно член 6, параграф 1, първа алинея, буква а) от ОРЗД обработването на лични данни е законосъобразно, ако и доколкото субектът на данните е дал съгласието си за това за една или повече конкретни цели. Когато липсва такова съгласие или когато съгласието не е свободно изразено, конкретно, информирано и недвусмислено, посредством изявление или ясно потвърждаващо действие по смисъла на член 4, точка 11 от ОРЗД, подобно обработване все пак е обосновано, ако отговаря на някое от изискванията за необходимост, упоменати в член 6, параграф 1, първа алинея, букви б)—е) от този регламент, които трябва да се тълкуват стриктно(33).

43.      В случая презумпцията за съгласие, установена с член 13, алинея 9 от ЗТРРЮЛНЦ, очевидно не отговаря на условията по член 6, параграф 1, първа алинея, буква а) от ОРЗД във връзка с член 4, точка 11 от този регламент(34). При това положение следва да се провери дали обработване на данни като разглежданото в главното производство попада в обхвата на някое от другите основания, посочени в член 6, параграф 1, първа алинея от Регламента.

44.      От решение Manni следва, че обработването на лични данни от органа, на който е възложено воденето на регистъра в изпълнение на актовете на Съюза, които координират националните разпоредби в областта на оповестяването на актовете на дружествата, попада по-специално в обхвата на основанията за законосъобразност, предвидени в член 6, параграф 1, първа алинея, букви в) и д) от ОРЗД, от които първото е свързано със спазването на законово задължение, което се прилага спрямо администратора, а второто — с изпълнението на задача от обществен интерес или упражняването на официални правомощия, които са предоставени на администратора. Именно към тези две основания ще насоча анализа си.

45.      На първо място, що се отнася до основанието по член 6, параграф 1, първа алинея, буква в) от ОРЗД, следва най-напред да се провери дали обявяването в търговския регистър на разглежданите в главното производство лични данни, които не са подлежаща на оповестяване информация съгласно Директива 2017/1132 или съгласно българското право, е обосновано от изискването да се осигури оповестяването на актовете, посочени в член 14 от тази директива, и следователно е необходимо за спазването на законово задължение, произтичащо от правото на Съюза.

46.      Съгласно член 16, параграф 3 от посочената директива държавите членки гарантират осигуряването на публичен достъп до тези актове в регистъра, посочен в параграф 1, първа алинея от този член. Германското, ирландското и полското правителство по същество считат, че съгласно този член във връзка с посочения по-горе член 14 органите, на които е възложено воденето на регистъра, трябва да публикуват тези актове във вида, в който ги получат. Поради това те имали задължение да обработват всички съдържащи се в тях лични данни, включително тези, които не се изискват по силата на правото на Съюза или приложимото национално право.

47.      Аз не споделям това тълкуване. Всъщност Директива 2017/1132 предвижда, че някои основни актове на дружествата задължително подлежат на оповестяване и то се извършва чрез регистъра, но не изисква систематично обработване на всички съдържащи се в тези актове лични данни дори когато обработването им би било в противоречие с разпоредбите на ОРЗД. Напротив, както припомних по-горе, член 161 от Директива 2017/1132, изменена с Директива 2019/1151, предвижда, че обработването на всички лични данни в контекста на тази директива се извършва в съответствие с посочения регламент. Следователно е задача на държавите членки да намерят справедливия баланс между целите за правна сигурност и защита на интересите на третите лица, които са в основата на правилата за оповестяване на актовете на дружествата, както ще покажа след малко, и основното право на зачитане на личните данни.

48.      По-нататък следва да се провери дали публикуването на разглежданите в главното производство данни в търговския регистър е било необходимо за спазването на предвидено в българското право законово задължение. В това отношение ще припомня, че член 2, алинея 2 от ЗТРРЮЛНЦ предвижда, че актовете, които трябва да се намират в търговския регистър, „се обявяват без информацията, представляваща лични данни по смисъла на чл. 4, т. 1 от [ОРЗД], с изключение на информацията, за която със закон се изисква да бъде обявена“. Ето защо законосъобразността на разглежданото в главното производство обработване на данни видимо не може да е основана на „законово задължение“ по смисъла на член 6, параграф 1, първа алинея, буква в) от ОРЗД, което да се прилага спрямо агенцията съгласно българското право, което впрочем като че ли се потвърждава и от презумпцията за съгласие, въведена с член 13, алинея 9 от ЗТРРЮЛНЦ. По този въпрос обаче следва да се произнесе запитващата юрисдикция, която единствена е компетентна да тълкува националното право. Тук само ще уточня, че сам по себе си изтъкнатият от агенцията факт, че при липсата на препис, в който да са заличени личните данни, които не се изискват по закон, тя трябва да публикува акта във вида, в който ѝ е предоставен, според мен не е достатъчен, за да се установи наличието на „законово задължение“ по смисъла на член 6, параграф 1, първа алинея, буква в) от ОРЗД, тъй като такова публикуване поначало е изключено по закон и се извършва от агенцията само въз основа на презумирано съгласие(35). В това отношение е важно да се подчертае, че е задължение на администратора да се увери, че извършваното от него обработване на данни е „законосъобразно“ с оглед на условията, посочени в член 6, параграф 1, първа алинея, букви а)—е) от този регламент(36).

49.      На второ място, що се отнася до основанието по член 6, параграф 1, първа алинея, буква д) от ОРЗД, на което се позовават както запитващата юрисдикция, така и повечето държави членки, представили становища по настоящото дело, ще припомня, че Съдът вече е имал възможност да постанови, че дейността на орган на публична власт, изразяваща се в съхраняване в база данни на данните, които дружествата трябва да съобщават въз основа на законовите си задължения, в предоставяне на достъп до тях на заинтересованите лица и в изготвяне на копия от тях за последните, е свързана с упражняването на властнически правомощия(37) и представлява задача от обществен интерес по смисъла на тази разпоредба(38). Както посочва генерален адвокат Bot в заключението си по делото, по което е постановено решение Manni, с вписването и публикуването в тези регистри на основни данни относно дружествата се цели създаване на надежден източник на информация и съответно гарантиране на правната сигурност, необходима за защитата на интересите на третите лица, и по-специално тези на кредиторите, както и гарантиране на добросъвестността на търговските сделки и следователно на доброто функциониране на пазара(39). Освен това, както подчертава Съдът, съхраняването на всички релевантни данни в тези регистри и достъпът до тях за трети лица допринасят за насърчаване на търговията между държавите членки, включително с оглед на развитието на вътрешния пазар(40).

50.      В случая се поставя въпросът дали тези цели и основанието за законосъобразност по член 6, параграф 1, първа алинея, буква д) от ОРЗД могат да се изтъкват по отношение на обявяването от страна на агенцията на разглежданите в главното производство лични данни, които не са сред данните, подлежащи на задължително оповестяване съгласно правото на Съюза или съгласно българското право.

51.      В това отношение искам да припомня, че член 6, параграф 3 от ОРЗД във връзка със съображение 45 от него уточнява, по-специално що се отнася до хипотезата на законосъобразност по параграф 1, първа алинея, буква д) от този член, че обработването трябва да се основава на правото на Съюза или на правото на държава членка, което се прилага спрямо администратора, и че това правно основание трябва да отговаря на цел от обществен интерес и да е пропорционално на преследваната легитимна цел(41). Нито едно от тези изисквания обаче — за които Съдът е уточнил, че са израз на изискванията, произтичащи от член 52, параграф 1 от Хартата(42) — видимо не е изпълнено в случая по настоящото дело, което се отнася до обработване на лични данни, което наистина се извършва по повод на изпълнението на задача от обществен интерес по смисъла на член 6, параграф 1, първа алинея, буква д) от ОРЗД, но не се счита за поначало необходимо за изпълнението на тази задача съгласно приложимото национално законодателство, нито за осъществяването на целите, за които е създаден търговският регистър, и което е разрешено само въз основа на презумирано съгласие на субекта на данните.

52.      В по-общ план следва да се подчертае, че публикуването на лични данни, които не се изискват от правото на Съюза или от правото на съответната държава членка, не служи за нито една от целите, посочени в точка 49 от настоящото заключение(43), а само те обосновават намесата по отношение на правата на субектите на данни на зачитане на личния живот и на защита на личните данни, гарантирани с членове 7 и 8 от Хартата(44). Освен това, както подчертава Съдът в решение Manni, такава намеса не се счита за непропорционална именно поради факта, че по принцип оповестяването е предвидено само за ограничен брой лични данни, а именно данните, които се отнасят до самоличността и съответните функции на лицата, упълномощени да представляват дружеството, и които следователно са необходими за защитата на интересите на трети лица(45).

53.      Българското правителство и агенцията по същество поддържат, че съгласно българското право разглежданото в главното производство обработване на данни се основава на изискването да се осигури оповестяването на основните актове на дружествата, да се опазят целостта и надеждността им и да не се възпрепятства работата на агенцията по изпълнението на задачата ѝ от обществен интерес. В случай че стигне до същия извод, запитващата юрисдикция трябва да се увери и че е спазен принципът на пропорционалност. Съгласно този принцип ограничения на основното право на защита на личните данни трябва да се въвеждат в границите на строго необходимото(46), а това не е изпълнено, когато следваната цел от обществен интерес може разумно да се постигне също толкова ефикасно с други средства, които засягат в по-малка степен това право(47). Следва също да се припомни, че член 5, параграф 1, буква в) от ОРЗД предвижда, че личните данни трябва да са подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, и изисква държавите членки да спазват принципа на „свеждане на данните до минимум“, който дава израз на принципа на пропорционалност(48).

54.      Струва ми се обаче, че целта да се осигури оповестяването на основните актове на дружествата, може разумно да бъде постигната чрез въвеждането на процедури, позволяващи преди публикуването им да се заличават личните данни, чието обявяване не се изисква. Тези процедури могат да включват по-специално задължение за агенцията да спре производството по вписване на дружеството, за да даде възможност за внасянето на промяна в съдържащите такива данни актове, или да пристъпи към заличаването на съответните данни, ако е необходимо — и служебно.

55.      Не намирам за убедителни доводите на голям брой от държавите членки, представили становища в настоящото производство, че въвеждането на такива процедури би създало опасност да се забави обработката на заявленията за вписване в дружествения регистър, което би увредило в частност интересите на съдружниците, или пък прекомерно да се утежнят задачите на националните органи. Всъщност, от една страна, тези процедури са необходими, за да се съвместят интересите, от които се ръководи оповестяването на актовете на дружествата, с основното право на зачитане на личните данни, особено когато, както подчертах в точка 16 от настоящото заключение, съответните лични данни са предназначени да бъдат обявени без ограничения в цифровизирана среда. От друга страна, процедурите биха могли да включват инструменти за търсене и идентифициране на данните, позволяващи да се улесни задачата на тези органи, и да бъдат организирани така, че първо заявителите да са длъжни да заличават личните данни, които не трябва да бъдат разкривани, както впрочем и предвижда българското право.

56.      Що се отнася до изискването за опазване на целостта и надеждността на подлежащите на задължително оповестяване актове на дружествата, предоставяни за целите на вписването в дружествения регистър — споменато и от българското правителство и агенцията, както и от повечето държави членки, представили становища в настоящото производство — изискване, което налагало тези актове да се публикуват във вида, в който са предоставени на органите, на които е възложено воденето на регистъра, според мен то не може систематично да има предимство пред основното право на защита на личните данни, тъй като в противен случай тази защита би станала чисто илюзорна.

57.      Всъщност съм склонна да мисля, че това изискване може да обоснове най-много съхраняването на съдържащите се в такива актове лични данни, които не подлежат на задължително оповестяване, но не и тяхното публикуване без никакво ограничение или изключение в публично достъпната база данни на регистъра. По-конкретно считам, че обявяването на преписи от тези актове със заличаване на неизискваните лични данни и съхраняването на оригинала в делото биха позволили да се постигне справедлив баланс между това изискване и защитата на данните на субектите на данни. В такъв случай евентуалният достъп до оригинала на акта и до всички съдържащи се в него данни би бил допускан само в зависимост от отделния случай — при наличието на законен интерес, който да обосновава това, какъвто е включително интересът да бъде проверена автентичността на акта, и при спазване на разпоредбите на ОРЗД.

58.      В това отношение, противно на поддържаното по-специално от ирландското правителство, считам, че член 16а от Директива 2017/1132, изменена с Директива 2019/1151, който предвижда, че „[д]ържавите членки гарантират, че […] могат да бъдат получени копия от всички или част от документите и информацията, посочени в член 14“, не означава, че държавите членки са длъжни да допускат неограничен достъп до всички тези актове. Обратно, както вече отбелязах, член 161 от Директива 2017/1132, изменена с Директива 2019/1151, задължава държавите членки да въведат процедури, които да гарантират, че при изпълнението на поверената им задача от обществен интерес органите, на които е възложено воденето на дружествения регистър, ще спазват всички разпоредби на ОРЗД.

59.      По всички изложени по-горе съображения смятам, че разглежданото в главното производство обработване на данни не може да се счита за извършено въз основа на съгласието на ответницата в главното производство по смисъла на член 6, параграф 1, първа алинея, буква а) от ОРЗД във връзка с член 4, точка 11 от този регламент. Освен ако запитващата юрисдикция не установи друго, това обработване видимо не отговаря и на условията за законосъобразност, предвидени в член 6, параграф 1, първа алинея, буква в) от ОРЗД, нито на условията по буква д) от този член във връзка с член 6, параграф 3 от посочения регламент. От съображения за изчерпателност ще добавя, че посоченото обработване не може и да попадне в приложното поле на член 6, параграф 1, първа алинея, буква е) от ОРЗД, който се отнася до обработването на лични данни, необходимо за целите на легитимните интереси на администратора. Всъщност, както е уточнявал Съдът, от текста на член 6, параграф 1, втора алинея от ОРЗД ясно следва, че обработването на лични данни, извършвано от публичен орган при изпълнението на неговите задачи, не може да попадне в приложното поле на член 6, параграф 1, първа алинея, буква е) от ОРЗД, така че прилагането на тази разпоредба и на член 6, параграф 1, първа алинея, буква д) от този регламент се изключват взаимно(49). В случая обаче разглежданото в главното производство обработване на лични данни се извършва от агенцията по повод на изпълнението на поверената ѝ задача от обществен интерес, което изначално изключва прилагането на член 6, параграф 1, първа алинея, буква е) от ОРЗД, независимо дали отговаря на условията, предвидени в член 6, параграф 3 от ОРЗД.

60.      При това положение не е изключено да се наложи запитващата юрисдикция да приеме, че разглежданото в главното производство обработване на данни е незаконосъобразно, тъй като не се опира на някое от основанията по член 6, параграф 1 от ОРЗД.

6.      Правото на изтриване

61.      Член 17 от ОРЗД въвежда право за субекта на данни да иска изтриване на свързаните с него лични данни, когато е приложимо някое от изброените в параграф 1 от този член основания, и предвижда съответно задължение за администратора да изтрие без ненужно забавяне съответните данни.

62.      В член 17, параграф 3 от ОРЗД обаче се уточнява, че параграф 1 не се прилага, доколкото обработването е необходимо по някоя от изброените в параграф 3 причини. Като такива причини в член 17, параграф 3, буква б) са посочени спазването на правно задължение, което изисква обработване, предвидено в правото на Съюза или правото на държавата членка, което се прилага спрямо администратора, и изпълнението на задача от обществен интерес или упражняването на официални правомощия, които са предоставени на администратора.

63.      Доколкото тези изключения от правото на изтриване отразяват основанията за обработване, посочени в член 6, параграф 1, първа алинея, букви в) и д) от ОРЗД, по отношение на възможността за изтъкването им при обстоятелства като обсъжданите в главното производство препращам към анализа в точки 45—58 от настоящото заключение(50).

64.      Затова, ако запитващата юрисдикция приеме, че обявяването на обсъжданите в главното производство лични данни в търговския регистър не попада съгласно българското право в приложното поле на член 6, параграф 1, първа алинея, буква в) или д) от ОРЗД във връзка с член 6, параграф 3 от ОРЗД, а следователно и на член 17, параграф 3, буква б) от ОРЗД, ответницата в главното производство ще има право на изтриване, изразяващо се в преустановяване на публичния достъп до тези данни, а агенцията в качеството си на администратор на тези данни ще е длъжна да го уважи. Всъщност член 17, параграф 1, буква г) от ОРЗД предвижда абсолютно право на субекта на данните личните му данни да бъдат изтрити, когато са били обработвани незаконосъобразно(51).

65.      Ако обаче запитващата юрисдикция стигне до извода, че разглежданото в главното производство обработване на данни е в съответствие с член 6, параграф 1, първа алинея, буква в) или д) от ОРЗД, по принцип ще е приложим член 17, параграф 3, буква б). Необходими са обаче две уточнения.

66.      От една страна, ако запитващата юрисдикция стигне до извода, че обявяването на разглежданите в главното производство лични данни е било необходимо за изпълнението на поверената на агенцията задача от обществен интерес, за да не се забави вписването на дружеството в търговския регистър, според мен сама по себе си тази причина не може да се изтъква, за да се обоснове запазването на тези данни в регистъра след вписването на дружеството и следователно за да се изключи на основание член 17, параграф 3, буква б) от ОРЗД правото на ответницата в главното производство да иска изтриване. Тогава това право ще ѝ е гарантирано от член 17, параграф 1, буква в) от Регламента, който се прилага, когато на основания, свързани с неговата конкретна ситуация, субектът на данните възразява съгласно член 21, параграф 1 от същия регламент срещу обработването на личните му данни, основано по-специално на член 6, параграф 1, първа алинея, буква д) от Регламента, и няма „законни основания за обработването, които имат преимущество“, доказването на каквито е в тежест на администратора(52). Поради същите причини, които вече изложих в точка 56 от настоящото заключение обаче, считам, че изискването за опазване на целостта и надеждността на актовете, на които се основава вписването на дружеството в регистъра, не може да представлява такова имащо преимущество законно основание. Всъщност, както отбелязах, това изискване може да се изпълни и с други средства, които засягат в по-малка степен основното право на зачитане на личните данни.

67.      От друга страна, от решение Manni е видно, че ограничаване на достъпа, така че да е възможен само за третите лица, които могат да докажат особен интерес, може в зависимост от отделния случай да има императивно законно основание, свързано с конкретното положение на субектите на данни, дори когато става въпрос за лични данни, чието оповестяване е задължително съгласно Директива 2017/1132, и следователно дори когато обявяването им произтича от законово задължение по смисъла на член 6, параграф 1, първа алинея, буква в) от ОРЗД. На още по-голямо основание обаче би трябвало да бъде признато подобно ограничение, когато става дума за лични данни, които не подлежат на оповестяване нито съгласно правото на Съюза, нито по силата на националното право. Освен това в такъв случай няма да е приложимо изведеното от Съда в решение Manni условие за ограничаването на достъпа до информацията за самоличността на ликвидатора на дружеството, а именно да е изтекъл достатъчно дълъг срок от прекратяването на дружеството, и поради това ограничаването на достъпа до такива данни ще трябва да се осъществи без ненужно забавяне.

7.      Въвеждането на специфичен процесуален ред за упражняването на правото на изтриване

68.      От акта за преюдициално запитване е видно, че по отношение на искането на OL за изтриване на свързаните с нея лични данни, чието публикуване не се изисква от българското право, агенцията е приложила специфичен процесуален ред, който предполага да се представи препис от съдържащия тези данни акт със заличаване на съответните данни. Когато такъв препис не е представен, искането се отхвърля или се оставя без разглеждане. Според дадените от агенцията обяснения спазването на този процесуален ред било необходимо, тъй като тя нямала правомощие да променя съответния акт, а овластени да го променят били единствено органите на дружеството.

69.      Ще припомня, че съгласно член 23, параграф 1 от ОРЗД в правото на Съюза или в националното право „чрез законодателна мярка може да се ограничи обхватът на задълженията и правата, предвидени в членове 12—22 […], когато подобно ограничение е съобразено със същността на основните права и свободи и представлява необходима и пропорционална мярка в едно демократично общество с цел да се гарантира“ някоя от изброените в тази разпоредба цели. Доколкото те водят до ограничаване на правото на изтриване, както и на правото на възражение, предвидено в член 21 от ОРЗД, и дори до тяхното изключване, в случай че субектът на данни не успее да издейства от дружеството необходимите промени в разглеждания акт, прилаганият от агенцията процесуален ред би могъл да попада в обхвата на член 23, параграф 1 от ОРЗД(53). Ето защо следва да се провери дали в случая са изпълнени предвидените в тази разпоредба условия, макар и запитващата юрисдикция да не е поискала изрично от Съда да се произнесе по този въпрос.

70.      В това отношение най-напред ще отбележа, че този процесуален ред видимо е просто вътрешна практика на агенцията(54). Ето защо, освен ако не се установи друго при проверките, които са от компетентността на запитващата юрисдикция, още поради тази причина изглежда, че въпросният процесуален ред не е в съответствие с член 23, параграф 1 от ОРЗД, който предвижда, че ограниченията на изброените в тази разпоредба права трябва да са въведени със „законодателна мярка“.

71.      Освен това възникват въпроси дали този процесуален ред е съобразен с принципа на пропорционалност.

72.      Всъщност изискването да се гарантират надеждността и автентичността на вписаните в търговския регистър актове и по-общо прозрачността и правната сигурност при изпълнението на поверената задача, би могло, струва ми се, да съответства на „важна цел от широк обществен интерес за Съюза или за държава членка“ по смисъла на член 23, параграф 1, буква д) от ОРЗД, но според мен то не обосновава ограничаването и даже изключването на правото на изтриване или на правото на възражение при обстоятелства като обсъжданите в главното производство, доколкото е възможно да се използват други средства, засягащи в по-малка степен основното право на зачитане на личните данни.

73.      В този контекст Комисията намира за оправдано да се изчака дружеството да промени акта, като заличи данните, чието изтриване се иска, но и предлага самата агенция да заличава тези данни след разумен период от време, ако се окаже, че субектът на данните не успява да издейства от дружеството такава промяна.

74.      Не съм убедена, че подобен подход би осигурил справедлив баланс между различните засегнати права и интереси, тъй като вследствие от него би се запазвал за неопределено време публичният достъп в цифровизирана среда до данни, които не е следвало да се разкриват. Обратно, според мен такъв баланс би могъл да се гарантира, като на агенцията се признае правомощието сама да заличава съответните данни в публично обявяваното копие от акта без ненужно забавяне след получаването на искането за изтриване, а същевременно да запазва в делото оригинала на този акт и да изисква от дружеството да представи променено копие от акта, в което посочените данни са заличени и което също ще се публикува в регистъра.

75.      Несъмнено член 16, параграф 4, първа и втора алинея от Директива 2017/1132 предвижда, че държавите членки предприемат необходимите мерки, за да се избегнат несъответствия между съдържанието на регистъра и на делото и между оповестеното в регистъра и публикуваното в официалния вестник. Изискването за запазване на съгласуваността между различните части на регистъра и между него и официалния вестник, както и стоящата в основата на това изискване цел за правна сигурност обаче според мен не могат да обосноват запазване на публичния достъп до неподлежащи на задължително разкриване лични данни в публикуваните в регистъра актове без ограничения и без времеви граници, когато субектът на данните иска те да бъдат изтрити. Всъщност, първо, промените в тези актове, които се окажат необходими за заличаването на тези данни, биха били разпознаваеми и проследими и биха били внасяни по прозрачен начин. Второ, тези промени биха се отнасяли до части на актовете, чието оповестяване не е необходимо за изпълнението на поверената на регистъра задача от обществен интерес. Трето, целостта и автентичността на посочените актове биха могли да бъдат опазени чрез съхраняване в делото на оригинала на актовете, до който да се дава регулиран достъп на третите лица, които имат законен интерес.

76.      Въз основа на всичко изложено по-горе считам, че процесуален ред като прилагания в случая от агенцията не е в съответствие с член 23, параграф 1 от ОРЗД.

V.      Заключение

77.      По всички изложени съображения предлагам на Съда да отговори на четвъртия и петия от преюдициалните въпроси на Върховния административен съд (България), както следва:

„1)      Член 4, точка 7 и член 26, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)

трябва да се тълкуват в смисъл, че

органът, на който е възложено воденето на търговския регистър на държавата членка и който съгласно законодателството на тази държава трябва да осигурява оповестяването на актовете, които са му предоставени със заявлението за вписване на дружество в този регистър, единствен се явява администратор във връзка с обявяването на съдържащите се в тези актове лични данни, включително когато те са данни, чието публикуване не се изисква и които съгласно това законодателство е трябвало да бъдат заличени от актовете, преди същите да бъдат предоставени на посочения орган.

2)      Регламент 2016/679, и по-специално член 17 и член 23, параграф 1 от него,

трябва да се тълкува в смисъл, че

не допуска национална законодателна уредба или практика, съгласно която правото на физическото лице да поиска от органа, на който е възложено воденето на търговския регистър на държавата членка, да изтрие свързаните с него лични данни, съдържащи се в обявявани в регистъра актове, е обвързано със спазването на процесуален ред, който предполага да се представи препис от съответния акт със заличаване на тези данни. В качеството си на администратор посоченият орган не може да се освободи от задължението си да уважи без ненужно забавяне съответното искане за изтриване, само защото не е получил такъв препис.

3)      Директива (ЕС) 2017/1132 на Европейския парламент и на Съвета от 14 юни 2017 година относно някои аспекти на дружественото право, изменена с Директива (ЕС) 2019/1151 на Европейския парламент и на Съвета от 20 юни 2019 г., и по-специално член 16, параграфи 2—4 във връзка със съображение 8 от нея,

не може да се тълкува в смисъл, че

допуска да се предвиди такъв процесуален ред. Тази директива допуска органът, на който е възложено воденето на търговския регистър на държавата членка, да уважи искането за изтриване на личните данни, които не се изискват от законодателството на тази държава членка и се съдържат в обявяван в регистъра акт, като сам заличи посочените данни от този акт, а в делото по член 16, параграф 1 от Директивата запази препис от него без заличаване на данните“.

1      Език на оригиналния текст: френски.

2      По-конкретно, преюдициалното запитване се отнася до разпоредбите на Директива 2009/101/ЕО на Европейския парламент и Съвета от 16 септември 2009 година за координиране на гаранциите, които държавите членки изискват от дружествата по смисъла на член 48, втора алинея от Договора, за защита на интересите на членовете и на трети лица с цел тези гаранции да станат равностойни (ОВ L 258, 2009 г., стр. 11). Както обаче ще покажа по-нататък, към фактите по главното производство ratione temporis се прилага Директива (ЕС) 2017/1132 на Европейския парламент и на Съвета от 14 юни 2017 година относно някои аспекти на дружественото право (ОВ L 169, 2017 г., стр. 46).

3      Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

4      ДВ, бр. 34 от 25 април 2006 г.

5      ДВ, бр. 48 от 18 юни 1991 г.

6      Става въпрос за становище № 01‑116(20)/01.02.2021 г.

7      Директива на Европейския парламент и на Съвета от 20 юни 2019 година за изменение на Директива 2017/1132 (ОВ L 186, 2019 г., стр. 80).

8      Вж. член 2, параграф 1 от Директива 2019/1151. Що се отнася до измененията, направени с член 1, точка 6 от тази директива по отношение на член 16, параграф 6 от Директива 2017/1132, крайният срок за транспониране е 1 август 2023 г.

9      Вж. в този смисъл заключението ми по дело État belge (Данни, обработени от държавен вестник) (C‑231/22, EU:C:2023:468, т. 80).

10      Ще отбележа, че на 29 март 2023 г. Комисията приема предложение за директива на Европейския парламент и на Съвета за изменение на директиви 2009/102/ЕО и (ЕС) 2017/1132 по отношение на по-нататъшното разширяване и актуализиране на използването на цифрови инструменти и процеси в областта на дружественото право (COM/2023/177 final).

11      Вж. системата за взаимно свързване на професионалните регистри, която съществува от 8 юни 2017 г. съгласно Директива 2012/17/ЕС на Европейския парламент и на Съвета от 13 юни 2012 година за изменение на Директива 89/666/ЕИО на Съвета и директиви 2005/56/ЕО и 2009/101/ЕО на Европейския парламент и на Съвета по отношение на взаимното свързване на централните, търговските и дружествените регистри (ОВ L 156, 2012, стр. 1) и която понастоящем се урежда от Директива 2017/1132. Тази система свързва националните професионални регистри с европейска централна платформа и осигурява единна точка за достъп чрез европейския портал за електронно правосъдие, чрез който гражданите, предприятията и публичните администрации могат да търсят информация за предприятията и техните клонове, открити в други държави членки.

12      В становището си относно предложението за изменение на Директива 2017/1132 Европейският надзорен орган по защита на данните (ЕНОЗД) обръща внимание на необходимостта от „осведоменос[т] за рисковете, произтичащи от достъпността на лични данни, които могат да станат широко достояние в интернет, в цифров вид и на множество езици, посредством леснодостъпна европейска платформа или точка за достъп“ (становище от 26 юли 2018 г., публикувано на адрес https://edps.europa.eu/data-protection/our-work/publications/opinions/digital-tools-and-processed-company-law_en).

13      Дружеството с ограничена отговорност (ООД) е посочено в приложение II към Директива 2017/1132, а също и в приложение IIА към тази директива, изменена с Директива 2019/1151.

14      В този случай предметът на вписванията в регистъра се отбелязва в делото: вж. член 16, параграф 2 от Директива 2017/1132.

15      Вж. член 16, параграф 3 от Директива 2017/1132, съгласно който възможността за частично публикуване на посочените в член 14 актове е налице само при публикуването им в държавния вестник на съответната държава членка.

16      Вж. решение от 9 март 2017 г., Manni (C‑398/15, наричано по-нататък „решение Manni“, EU:C:2017:197, т. 34), което се отнася до Първа директива 68/151/ЕИО на Съвета от 9 март 1968 година за съгласуване на гаранциите, които държавите членки изискват от дружествата по смисъла на член 58, втора алинея от Договора, за защита на интересите на съдружниците и на трети лица, с цел тези гаранции да станат равностойни на цялата територия на Общността (ОB L 65, 1968 г., стр. 8; Специално издание на български език, 2007 г., глава 17, том 1, стр. 3).

17      Решение от 5 декември 2023 г., Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, т. 28 и 29).

18      Вж. в този смисъл решение от 5 октомври 2023 г., Ministerstvo zdravotnictví (Мобилно приложение COVID‑19) (C‑659/22, EU:C:2023:745, т. 28).

19      C‑231/22, наричано по-нататък „решение État belge“ (EU:C:2024:7, т. 35). Вж. също заключението ми по това дело (C‑231/22, EU:C:2023:468, т. 34—75).

20      Вж. в този смисъл решение État belge, точка 38.

21      Вж. в този смисъл решение État belge, точки 46 и 47.

22      Вж. в този смисъл решение от 5 декември 2023 г., Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, т. 44 и 45).

23      Вж. в този смисъл точки 70 и 72 от Насоки 07/2020 на ЕНОЗД относно понятията „администратор“ и „обработващ лични данни“ в ОРЗД, версия 2.0, приети на 7 юли 2021 г. и публикувани на български език в интернет на адрес https://www.edpb.europa.eu/system/files/202310/edpb_guidelines_202007_controllerprocessor_final_bg.pdf. Вж. също заключението ми по дело État belge (Данни, обработени от държавен вестник) (C‑231/22, EU:C:2023:468, т. 48 и бележка под линия 55).

24      Вж. в този смисъл решение État belge, точка 42.

25      Вж. решение État belge, точка 48.

26      Ще припомня обаче, че по делото, по което е постановено решение État belge, е ставало въпрос за обнародването на документи в държавния вестник на държава членка, което е последният етап от процес на обработване, в който участват различни публични органи. Следователно фактическата обстановка, обсъдена в онова решение, е различна от разглежданата по настоящото дело.

27      В становището си агенцията обяснява, че когато подава заявлението си онлайн, заявителят качва в системата на търговския регистър електронни образи на подписаните на хартия документи, необходими за вписването.

28      Тези цели са посочени в точка 49 от настоящото заключение.

29      Вж. решение État belge, точка 45.

30      Вж. решение État belge, точки 49 и 50.

31      Вж. решение от 21 декември 2023 г., Krankenversicherung Nordrhein (C‑667/21, EU:C:2023:1022, т. 76 и цитираната съдебна практика).

32      Вж. решение от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:958, т. 72 и 73 и цитираната съдебна практика).

33      Вж. решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа) (C‑252/21, EU:C:2023:537, т. 91—93).

34      Припомням, че с третия си преюдициален въпрос запитващата юрисдикция иска да се установи именно дали е налице такава съвместимост.

35      Както подчертава работната група по член 29 в становище 6/2014, приложното поле на член 6, параграф 1, първа алинея, буква в) от ОРЗД е „строго ограничено“. За да е приложима тази разпоредба, законовото задължение трябва да е достатъчно ясно и да е в съответствие с приложимото право за защита на данните. Не мисля, че това е така, когато законът, от една страна, изключва разглежданото обработване на данни, а от друга страна, го разрешава и дори изисква въз основа на презумирано съгласие.

36      Вж. решение от 4 май 2023 г., Bundesrepublik Deutschland (Електронна пощенска кутия на съда) (C‑60/22, EU:C:2023:373, т. 54 и 55).

37      Вж. решение от 12 юли 2012 г., Compass-Datenbank (C‑138/11, EU:C:2012:449, т. 40 и 41), и решение Manni, точка 43.

38      Вж. решение Manni, точка 43.

39      C‑398/15, EU:C:2016:652, точка 54.

40      Вж. в този смисъл решение от 12 ноември 1974 г., Haaga (32/74, EU:C:1974:116, т. 6), и решение Manni, точка 50.

41      Вж. в този смисъл решение от 2 март 2023 г., Norra Stockholm Bygg (C‑268/21, EU:C:2023:145, т. 31).

42      Вж. в този смисъл решение от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, т. 69).

43      По-специално местожителството на представителя на дружеството или на съдружниците не е част от данните за самоличността и както подчертава генерален адвокат Szpunar в заключението си по дело All in One Star (C‑469/19, EU:C:2020:822, т. 51), узнаването му не обслужва защитата на третите лица.

44      Вж. решение Manni, точка 57.

45      Вж. решение Manni, точка 58.

46      Вж. решение от 1 август 2022 г., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, т. 70).

47      Вж. в този смисъл решение от 22 ноември 2022 г., Luxembourg Business Registers (C‑37/20 и C‑601/20, EU:C:2022:912, т. 66).

48      Вж. по аналогия решение от 30 януари 2024 г., Директор на Главна дирекция „Национална полиция“ при МВР — София (C‑118/22, EU:C:2024:97, т. 41).

49      Вж. решение от 8 декември 2022 г., Инспектор в Инспектората към Висшия съдебен съвет (Цели на обработването на лични данни — Разследване на престъпление) (C‑180/21, EU:C:2022:967, т. 85).

50      В изложеното си за изчерпателност съображение в точка 51 от решение État belge Съдът споменава възможността изключенията по член 17, параграф 3, букви б) и г) от ОРЗД да се прилагат по отношение на искането за изтриване на лични данни, публикувани в държавния вестник на съответната държава членка, но всъщност не се произнася по този въпрос, тъй като той не е бил повдигнат от запитващата юрисдикция по делото, по което е постановено онова решение.

51      Вж. в този смисъл решение от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:958, т. 108); вж. също заключението на генерален адвокат Pikamäe по това дело (C‑26/22 и C‑64/22, EU:C:2023:222, т. 91).

52      Вж. в този смисъл решение от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатъка по задълженията) (C‑26/22 и C‑64/22, EU:C:2023:958, т. 111 и 112).

53      Вж. в този смисъл решение от 26 октомври 2023 г., FT (Копия от медицинското досие) (C‑307/22, EU:C:2023:811, т. 53—69). Вж. също заключението на генерален адвокат Emiliou по това дело (C‑307/22, EU:C:2023:315, т. 37).

54      Прилаганият ред отразява реда по член 13, алинея 6 от ЗТРРЮЛНЦ, но тази разпоредба видимо не се отнася до правото на изтриване или правото на възражение на субектите на данни.