1.

Mediante su petición de decisión prejudicial, el Varhoven Administrativen sad (Tribunal Supremo de lo Contencioso-Administrativo, Bulgaria) plantea al Tribunal de Justicia una serie de cuestiones relativas, en esencia, a la relación entre las disposiciones sobre publicidad de los documentos de las sociedades, coordinadas en el plano de la Unión, ( 2 ) y el Reglamento (UE) 2016/679. ( 3 )

2.

Esta petición se ha presentado en el contexto de un litigio entre la Agentsia po vpisvaniyata (Agencia Responsable de las Inscripciones en el Registro, Bulgaria; en lo sucesivo, «Agencia») y OL, en relación con la negativa de la Agencia a suprimir determinados datos personales relativos a OL que figuran en un documento puesto a disposición del público en el Registro Mercantil.

3.

A efectos de las presentes conclusiones, han de tenerse en cuenta, en particular, los artículos 14 y 16 de la Directiva 2017/1132, que sustituyó a la Directiva 2009/101, y los artículos 4 a 6 y 17 del RGPD. Para una mejor comprensión, se hará referencia al texto de las disposiciones pertinentes de estos artículos a lo largo del análisis.

4.

El artículo 2 de la Zakon za targovskia registar i registara na yuridicheskite litsa s nestopanska tsel (Ley del Registro Mercantil y del Registro de Personas Jurídicas sin Ánimo de Lucro), ( 4 ) en la versión aplicable al litigio principal (en lo sucesivo, «Ley de Registros»), dispone:

«(1)   El Registro Mercantil y el Registro de Personas Jurídicas sin Ánimo de Lucro [(en lo sucesivo, “Registros”)] son una base de datos electrónica común que contiene las circunstancias registradas en virtud de una ley, así como los documentos puestos a disposición del público en virtud de una ley, que conciernen a los comerciantes y a las sucursales de comerciantes extranjeros, a las personas jurídicas sin ánimo de lucro y a las sucursales de personas jurídicas extranjeras sin ánimo de lucro.

(2)   Las circunstancias y los actos mencionados en el apartado 1 se pondrán a disposición del público sin información que constituya datos personales en el sentido del artículo 4, punto 1, del [RGPD], a excepción de la información que por ley deba ponerse a disposición del público.»

5.

Según el artículo 6, apartado 1, de la Ley de Registros, todos los comerciantes y personas jurídicas sin ánimo de lucro deben solicitar su inscripción en los Registros, indicando las circunstancias por las que se requiere la inscripción y presentando los documentos que se pondrán a disposición del público.

6.

El artículo 11 de esta Ley dispone:

«(1)   Los [Registros] serán públicos. Cualquier persona tendrá derecho a acceder libremente a la base de datos de los Registros.

(2)   La [Agencia] dará acceso registrado al expediente del comerciante o de la persona jurídica sin ánimo de lucro.»

7.

El artículo 13, apartados 1, 2, 6 y 9, de la citada Ley establece lo siguiente:

«(1)   El registro, la supresión y la puesta a disposición del público se efectuarán mediante un formulario de solicitud.

(2)   La solicitud deberá incluir:

[…]

[…]

(6)   La solicitud irá acompañada de los documentos o, en su caso, del acta que deba ponerse a disposición del público, de conformidad con los requisitos de la Ley. Los documentos se presentarán en forma de original, copia certificada conforme por el solicitante o copia autenticada por un notario. El solicitante también deberá presentar copias certificadas de los documentos que se pondrán a disposición del público en el Registro Mercantil, en los que se hayan ocultado los datos personales que no sean los exigidos por la Ley.

[…]

(9)   Cuando la solicitud o los documentos adjuntos mencionen datos personales no exigidos por la ley, se considerará que las personas que los hayan facilitado han dado su consentimiento para que sean tratados por la [Agencia] y puestos a disposición del público.»

8.

El artículo 101, apartado 3, de la Targovski zakon (Código de Comercio ( 5 )), en la versión aplicable al litigio principal (en lo sucesivo, «Código de Comercio»), establece que el contrato de sociedad debe incluir «el nombre, la razón social y el código de identificación único de los socios».

9.

De conformidad con el artículo 119, apartado 1, del Código de Comercio, la inscripción de una sociedad en el Registro Mercantil requiere, entre otras cosas, la presentación del contrato de sociedad que se pone a disposición del público. De conformidad con el apartado 4 de dicho artículo, «para modificar o completar el contrato de sociedad inscrito en el Registro Mercantil, se presentará una copia de dicho contrato que contenga todas las modificaciones y adiciones, certificada conforme por el órgano que represente a la sociedad».

10.

OL es socia de «OOD», sociedad de responsabilidad limitada de Derecho búlgaro, inscrita el 14 de enero de 2021 en el Registro Mercantil. La solicitud de registro iba acompañada del contrato de sociedad de fecha 30 de diciembre de 2020, firmado por los socios (en lo sucesivo, «contrato de sociedad de 2020»). Este contrato, en el que figuraban el nombre y apellidos de OL, su número de identificación, el número de su documento de identidad, la fecha y el lugar de expedición y su dirección permanente, fue registrado y puesto a disposición del público tal y como se presentó. El 8 de julio de 2021, OL pidió a la Agencia que suprimiera sus datos personales del contrato de sociedad de 2020, declarando que, si el tratamiento de sus datos se basaba en su consentimiento, se tomara constancia de que lo revocaba. Ante el silencio de la Agencia, OL recurrió ante el Administrativen sad Dobrich (Tribunal de lo Contencioso-Administrativo de Dobrich, Bulgaria), que anuló la resolución denegatoria presunta de la Agencia a acceder a la solicitud de OL y devolvió las actuaciones a la Agencia para que adoptara una nueva resolución. En ejecución de esa sentencia, y de una sentencia similar relativa al otro socio que había dado el mismo paso, mediante escrito de 26 de enero de 2022, la Agencia indicó que debía enviársele una copia certificada del contrato de sociedad de 2020 que ocultara los datos personales de los socios, a excepción de los exigidos por la ley, para que se accediera a la solicitud de baja (en lo sucesivo, «escrito de 26 de enero de 2022»). El 31 de enero de 2022, OL solicitó de nuevo al Administrativen sad Dobrich (Tribunal de lo Contencioso-Administrativo de Dobrich) la anulación del escrito de 26 de enero de 2022 y que condenara a la Agencia a indemnizarla por el daño moral que le había causado el escrito, que vulneraba los derechos reconocidos por el RGPD. El 1 de febrero de 2022, antes de que se le diera traslado de este recurso, la Agencia suprimió automáticamente el número de identificación, los datos del documento de identidad y la dirección de OL, pero no sus apellidos, su nombre y su firma. Mediante sentencia de 5 de mayo de 2022, el Administrativen sad Dobrich (Tribunal de lo Contencioso-Administrativo de Dobrich) anuló el escrito de 26 de enero de 2022 y condenó a la Agencia a indemnizar a OL con 500 levas búlgaras (BGN) (aproximadamente 255 euros), más los intereses legales, por daños morales, de conformidad con el artículo 82 del RGPD. Según la sentencia, este daño consistía en emociones y experiencias negativas derivadas del escrito, que dieron lugar a una vulneración del derecho de supresión reconocido en el artículo 17, apartado 1, del RGPD, así como al tratamiento ilícito de sus datos que figuran en el contrato puesto a disposición del público. La Agencia recurrió la sentencia ante el órgano jurisdiccional remitente. Alegaba, en particular, que era responsable del tratamiento, pero también destinataria de los datos transmitidos en el procedimiento de registro y que, aunque había solicitado antes de la inscripción de la sociedad de la que OL era socia una copia del contrato de sociedad que ocultara los datos que no debían ponerse a disposición del público, no la había recibido. Ahora bien, no podía denegarse por esa sola razón el registro de una sociedad mercantil. Citaba un dictamen de 2021 de la autoridad nacional de control, la Komisia za zashtita na lichnite danni (Comisión de Protección de Datos Personales, Bulgaria), emitido en virtud del artículo 58, apartado 3, letra b), del RGPD (en lo sucesivo, «Dictamen de 2021»), ( 6 ) en el que se afirma que no está autorizada a modificar el contenido de los documentos que se le transmiten para su inscripción en el Registro. Por su parte, OL alegaba que, como responsable del tratamiento, la Agencia no puede imponer a terceros sus propias obligaciones de cancelación en el Registro. Se basaba en la jurisprudencia nacional para afirmar que el Dictamen de 2021 no se ajustaba a las disposiciones del RGPD.

11.

En tales circunstancias, el Varhoven administrativen sad (Tribunal Supremo de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

12.

Las partes en el litigio principal, los Gobiernos búlgaro, alemán, irlandés, italiano, polaco y finlandés y la Comisión Europea presentaron observaciones escritas, con arreglo al artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea, sobre todas o algunas de las cuestiones prejudiciales. Las partes en el litigio principal, los Gobiernos búlgaro e irlandés y la Comisión también formularon sus informes orales en la vista celebrada el 7 de marzo de 2024.

13.

Por indicación del Tribunal de Justicia, las presentes conclusiones se centrarán en las cuestiones prejudiciales cuarta y quinta, que propongo tratar conjuntamente. Antes de proceder a mi análisis, considero necesario hacer algunas observaciones preliminares sobre la petición de decisión prejudicial en su conjunto.

14.

En primer lugar, procede señalar —como han hecho las partes del litigio principal, la Comisión y la mayoría de los Estados miembros que han presentado observaciones ante el Tribunal de Justicia— que la fundamentación de la resolución de remisión y la formulación de las cuestiones prejudiciales —incluida, en particular, la cuarta cuestión— se refieren a las disposiciones de la Directiva 2009/101. Sin embargo, esta fue derogada y sustituida, a partir del 20 de julio de 2017, por la Directiva 2017/1132, aplicable ratione temporis a los hechos del litigio principal. Por lo tanto, en el resto de mi análisis, me referiré únicamente a esta última Directiva.

15.

A continuación, procede recordar que la Directiva 2017/1132 y, en particular, sus artículos 16 y 161, en la medida en que son pertinentes para examinar la presente petición de decisión prejudicial, fueron modificados por la Directiva (UE) 2019/1151, ( 7 ) que entró en vigor el 31 de julio de 2019. Ahora bien, aunque, como señala la Comisión, la inscripción en el Registro Mercantil del contrato de sociedad de 2020 en el que figuraban los datos personales de OL tuvo lugar antes del 1 de agosto de 2021, fecha en la que expiraba el plazo para la transposición de la Directiva 2019/1151, ( 8 ) algunos de los hechos se produjeron después de esa fecha, entre ellos el envío por la Agencia del escrito de 26 de enero de 2022, la supresión automática por esta de algunos de esos datos y su nueva puesta a disposición del público en el Registro, a lo que se refiere la demandada en el litigio principal en sus observaciones escritas. No cabe, pues, descartar que sea la Directiva 2017/1132, en su versión modificada por la Directiva 2019/1151, la aplicableratione temporis en el litigio principal, extremo que corresponde determinar al órgano jurisdiccional remitente. Por lo tanto, me referiré a esa versión en el resto de las presentes conclusiones.

16.

Sin embargo, he de señalar que las modificaciones introducidas por la Directiva 2019/1151 tienen, en sí mismas, un impacto limitado en la cuestión de cómo la autoridad de un Estado miembro responsable del Registro de Sociedades debe garantizar la protección de los datos personales en el desempeño de sus funciones. Por otro lado, he de subrayar, en un plano más general, que esta Directiva pretende reforzar y consolidar el uso de herramientas y procesos digitales en la recogida y gestión de los flujos de información relativos a las sociedades, lo que conlleva un mayor acceso a los datos personales que contienen y aumenta el riesgo de que se vulnere el derecho a la protección de dichos datos y el carácter perjudicial de tales vulneraciones. ( 9 ) El proceso de digitalización, ( 10 ) unido a un aumento del acceso transfronterizo a dicha información, que es también el objetivo del legislador de la Unión, ( 11 ) requiere una atención especial a la hora de equilibrar, por un lado, los objetivos de seguridad jurídica y protección de los derechos de terceros que subyacen, como veremos, en las normas en materia de publicidad de las sociedades y, por otro, los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales. ( 12 )

17.

También con carácter preliminar, he de señalar que el litigio principal versa sobre la supresión en el Registro Mercantil de un Estado miembro de datos personales cuya puesta a disposición del público no exigen ni la Directiva 2017/1132 ni el Derecho del Estado miembro de que se trata y sobre la responsabilidad de la autoridad nacional encargada de dicho Registro por el daño moral causado a raíz de la negativa a atender de forma inmediata e incondicional la solicitud de supresión de tales datos. Por otra parte, el litigio principal no se refiere directamente a la cuestión de qué obligaciones incumben a la autoridad en materia de protección de datos de carácter personal cuando inscribe en el Registro Mercantil las escrituras de constitución de una sociedad en las que figuran datos cuya publicación no es obligatoria. No obstante, esta cuestión sigue presente entre líneas, como atestigua el hecho de que muchos de los Estados miembros que han presentado observaciones le han dedicado gran parte de estas, proponiendo una reformulación radical de las cuatro primeras cuestiones prejudiciales o de algunas de ellas. En las presentes conclusiones, abordaré algunos aspectos de esta cuestión, manteniéndome dentro de los límites fijados por el objeto del litigio principal y por las cuestiones prejudiciales en las que se basan estas conclusiones.

18.

Mediante su cuarta cuestión prejudicial, cuya admisibilidad discute el Gobierno búlgaro, el órgano jurisdiccional remitente pretende esencialmente que se dilucide si la Directiva 2017/1132 debe interpretarse en el sentido de que permite supeditar a determinados requisitos de procedimiento el derecho de una persona física, en este caso los socios de una sociedad de responsabilidad limitada a la que se aplica esta Directiva, ( 13 ) a obtener la supresión del Registro Mercantil de los datos personales que le conciernen y que, aunque no forman parte de la información sujeta a publicidad obligatoria con arreglo al Derecho nacional, figuran en la escritura de constitución de dicha sociedad puesta a disposición del público a través de su inscripción en ese Registro. Mediante su quinta cuestión prejudicial, el órgano jurisdiccional remitente solicita al Tribunal de Justicia que aclare si, en lo que respecta a tales datos, la autoridad encargada del Registro Mercantil actúa como «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD o si es también «destinataria» de los datos que trata, en el sentido del artículo 4, punto 9, de dicho Reglamento, cuando la finalidad del tratamiento ha sido ya determinada por un tercero.

19.

Como he mencionado antes, creo que estas dos cuestiones deben abordarse conjuntamente. Para ello, trataré los diversos aspectos que suscitan en el siguiente orden. Tras un breve repaso del alcance de las obligaciones en materia de publicidad de sociedades de los tipos enumerados en el anexo II de la Directiva 2017/1132, examinaré, en primer lugar, quién es el responsable del tratamiento de los datos personales que figuran en los documentos sujetos a publicidad mediante la inscripción de una sociedad en el Registro Mercantil de un Estado miembro cuando, como en el presente caso, ni el Derecho armonizado de la Unión ni la legislación del Estado miembro exigen la publicidad de los datos. En segundo lugar, indagaré cuál es la base jurídica para el tratamiento de dichos datos en este caso. En tercer lugar, estudiaré si, una vez publicado el documento en el que figuran los datos, las personas afectadas tienen derecho a la supresión de estos de conformidad con el artículo 17 del RGPD. Por último, en cuarto lugar, abordaré la cuestión de si tal derecho puede estar sujeto a disposiciones de procedimiento como las mencionadas por el órgano jurisdiccional remitente.

20.

Antes de dar comienzo a este análisis, es necesario responder a las objeciones formuladas por el Gobierno de Bulgaria contra la admisibilidad de la cuarta cuestión prejudicial. Dicho Gobierno considera que la cuarta cuestión prejudicial se refiere esencialmente a la compatibilidad con el artículo 16, apartado 7, de la Directiva 2017/1132 —en su versión anterior a las modificaciones introducidas por la Directiva 2019/1151— de una normativa nacional que aún no ha sido adoptada. A su juicio, la cuestión es, por tanto, hipotética. A este respecto, el órgano jurisdiccional remitente debe pronunciarse, sin que quepa recurso contra su resolución, sobre la legalidad de la negativa de la Agencia a suprimir determinados datos personales de la demandada que figuran en un documento puesto a disposición del público tras su inscripción en el Registro Mercantil y sobre las consecuencias de dicha negativa. Para ello, el órgano jurisdiccional remitente debe apreciar, a la luz de las disposiciones de la Directiva 2017/1132 y del RGPD, si tal negativa puede estar justificada, en particular, por el hecho de que la copia certificada de dicho documento, expurgada de los datos personales controvertidos, no haya sido incorporada al expediente. Por consiguiente, la petición de decisión prejudicial es necesaria para que el órgano jurisdiccional remitente pueda dictar sentencia en el asunto de que conoce. Además, a pesar de la redacción ambigua de la cuarta cuestión prejudicial, la resolución de remisión muestra claramente que no tiene por objeto que el Tribunal de Justicia se pronuncie sobre la compatibilidad con el Derecho de la Unión de una normativa nacional que aún no ha sido adoptada, sino que en ella se solicitan al Tribunal de Justicia elementos de información sobre la interpretación del Derecho de la Unión que necesita para resolver el litigio del que conoce. Por consiguiente, la cuarta cuestión prejudicial es, a mi juicio, admisible.

21.

El artículo 14 de la Directiva 2017/1132 establece que, para los tipos de sociedades enumerados en el anexo II de dicha Directiva, los Estados miembros deben publicar «al menos» los documentos e indicaciones enumerados en él. Entre los documentos sujetos a publicación obligatoria, el artículo 14 de dicha Directiva menciona, en las letras a), b) y c), «la escritura de constitución y los estatutos[ de la sociedad], si fueran objeto de un acto separado», así como sus modificaciones. De conformidad con el artículo 4, letra i), de la misma Directiva, la información obligatoria que ha de incluirse en los estatutos, en la escritura de constitución o en un documento separado que sea objeto de publicidad incluye la identidad de las personas físicas o jurídicas o de las sociedades que hayan firmado o en nombre de quienes se hayan firmado los estatutos o la escritura de constitución. Entre las indicaciones que deben publicarse, dicho artículo 14 menciona, en la letra d), «el nombramiento, el cese de funciones, así como la identidad de las personas que, como órgano legalmente previsto, o como miembros de tal órgano[,] tengan el poder de obligar a la sociedad con respecto a terceros y representarla en juicio» o «participen en la administración, la vigilancia o el control de la sociedad». Con arreglo al artículo 16, apartado 2, de la Directiva 2017/1132, en su versión modificada por la Directiva 2019/1151, todos los documentos e información que deban publicarse en virtud del artículo 14 se conservarán en el expediente a que se refiere el apartado 1 de dicho artículo, abierto en un Registro Mercantil o de Sociedades central, o se inscribirán directamente en el Registro. ( 14 ) De conformidad con artículo 16, apartados 3 y 4, de esta Directiva, en su versión modificada por la Directiva 2019/1151, los Estados miembros deben asegurarse de que se da publicidad a los documentos e información mencionados en el artículo 14, poniéndolos a disposición del público en el Registro. Los Estados miembros también pueden exigir que algunos o todos los documentos e información se publiquen en el boletín nacional designado a tal efecto, o por medios igualmente efectivos. Los Estados miembros han de adoptar las medidas necesarias para evitar cualquier discrepancia entre lo que figura en el Registro y en el expediente.

22.

Se pueden hacer las siguientes observaciones con respecto a las disposiciones de la Directiva 2017/1132 que he mencionado.

23.

En primer lugar, la Directiva 2017/1132 dispone la publicación obligatoria y la accesibilidad a través del Registro del texto íntegro de la escritura de constitución de la sociedad, así como de sus modificaciones. ( 15 )

24.

En segundo lugar, por lo que respecta a las sociedades contempladas en el anexo II de la Directiva, esta solo exige la publicidad y accesibilidad a través del Registro de la información relativa a determinadas categorías de personas, a saber, en particular, aquellas que tienen poder para obligar a la sociedad o que participan en su administración, vigilancia o control. De conformidad con el artículo 4, letra i), de la Directiva, también debe ser objeto de publicidad la identidad de las personas físicas que hayan firmado la escritura de constitución.

25.

En tercer lugar, esta información, que se refiere a personas físicas identificadas o identificables, forma parte de los «datos personales» en el sentido del artículo 4, punto 1, del RGPD. ( 16 )

26.

En cuarto lugar, las disposiciones mencionadas de la Directiva 2017/1132 solo establecen normas mínimas en lo que respecta a la publicidad de documentos e información relativa a las sociedades. Por lo tanto, corresponde a los Estados miembros determinar, en particular, qué categorías de información relativa a la identidad de las personas a las que se refieren los artículos 4, letra i), y 14, la letra d), de esta Directiva están sujetas a publicidad obligatoria. Los Estados miembros también son libres de someter a dicha publicidad otros documentos o datos relativos, en su caso, a otras categorías de personas. Huelga decir que, al hacerlo, deben respetar todas las disposiciones del Derecho de la Unión y, en particular, los principios reconocidos en los artículos 8 y 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta») y las disposiciones del RGPD.

27.

El artículo 4, punto 7, del RGPD define de manera amplia el concepto de «responsable del tratamiento» como la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o junto con otros, «determine los fines y medios del tratamiento» de datos personales. El objetivo de esta definición amplia consiste, de conformidad con dicho Reglamento, en garantizar una protección eficaz de las libertades y de los derechos fundamentales de las personas físicas y, en particular, un elevado nivel de protección del derecho de toda persona a la protección de los datos personales que le conciernan. ( 17 ) El concepto de «tratamiento» también se define con un criterio amplio. ( 18 ) Según el artículo 4, apartado 2, del RGPD, se entiende por «tratamiento»«cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción».

28.

De la sentencia Manni se desprende que, al inscribir y conservar en el Registro Mercantil la información sobre la identidad de las personas mencionadas en el artículo 14, letra d), de la Directiva 2017/1132, y al comunicar dicha información, la autoridad encargada de dicho Registro realiza un «tratamiento de datos personales» y es la «responsable del tratamiento», en el sentido de las definiciones establecidas en el artículo 4, puntos 2 y 7, del RGPD. Evidentemente, lo mismo sucede si la finalidad de la inscripción en ese Registro, la conservación y la comunicación es el tratamiento de datos personales distintos de los mencionados expresamente en esta Directiva, cuando la legislación de un Estado miembro exige la publicidad de tales datos.

29.

Sin embargo, lo determinante en el caso de autos es si dicha autoridad, en este caso la Agencia, es responsable de poner a disposición del público datos personales cuya publicidad no exigen ni la Directiva 2017/1132 ni el Derecho del Estado miembro, en este caso el Derecho búlgaro, pero que figuran en un documento cuya inscripción y publicidad son obligatorias.

30.

A mi juicio, la respuesta a esta pregunta debe ser afirmativa.

31.

El hecho de que los datos personales de OL se pusieran a disposición del público en el Registro Mercantil se produjo, en efecto, en ejercicio de las competencias conferidas a la Agencia como autoridad encargada de este Registro. Como ya he mencionado, la legislación búlgara establece que la solicitud de inscripción de una sociedad en dicho Registro debe ir acompañada del original o de una copia certificada conforme de los documentos sujetos a publicación, incluido el contrato de sociedad, que la Agencia está obligada a poner a disposición del público. Los fines y los medios del tratamiento de los datos personales efectuado por la Agencia en el ejercicio de sus funciones también están determinados por la legislación búlgara y por el Derecho de la Unión que, como se ha visto, ha aproximado las legislaciones de los Estados miembros en materia de publicidad de las sociedades. Como autoridad responsable del tratamiento de los datos personales que figuran en los documentos inscritos en el Registro Mercantil de conformidad con los fines y medios determinados por la legislación búlgara y la legislación de la Unión, debe considerarse a la Agencia, por tanto, «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD. El Tribunal de Justicia ha llegado recientemente a una conclusión similar, en relación con el organismo nacional encargado por ley del boletín oficial de un Estado miembro, en la sentencia de 11 de enero de 2024, État belge (Datos tratados por una publicación oficial). ( 19 )

32.

No obsta a esta conclusión el hecho de que, en el presente caso, los datos que figuran en el contrato de sociedad de 2020 no estén entre los que deben ponerse a disposición del público en virtud del Derecho búlgaro. Por una parte, el Tribunal de Justicia ha aceptado implícitamente en la sentencia État belge que tal circunstancia no afecta a la identificación del responsable del tratamiento. En el litigio principal que dio lugar a dicha sentencia, al igual que en el asunto que ha dado pie a la presente petición de decisión prejudicial, el litigio se refería a datos que la legislación del Estado miembro en cuestión no exigía que se pusieran a disposición del público. Por otra parte, el artículo 13, apartado 9, de la Ley de Registros establece expresamente que, en caso de que el solicitante no presente una copia conforme del documento sujeto a publicidad, del que se hayan eliminado los datos personales no exigidos, la Agencia tratará dichos datos y los pondrá a disposición del público sobre la base del consentimiento implícito. Por lo tanto, incluso en tales circunstancias, la legislación búlgara designa expresamente a la Agencia responsable del tratamiento de los datos.

33.

En tales circunstancias, no puedo estar de acuerdo con la opinión expuesta por la Agencia en sus observaciones escritas de que, si el solicitante no elimina la información no exigida por la ley que figura en los documentos que presenta para su inscripción en el Registro, él mismo se convierte en responsable del tratamiento consistente en ponerlos en línea en dicho Registro. En efecto —independientemente de si el consentimiento a la publicación de dicha información puede considerarse válidamente otorgado en virtud de la presunción establecida en el artículo 13, apartado 9, de la Ley de Registros—, la existencia de dicho consentimiento no puede afectar a la determinación de quién es responsable del tratamiento, sino únicamente a la licitud de este.

34.

Del mismo modo, carece de pertinencia el hecho, también destacado por la Agencia, de que los documentos presentados con una solicitud de inscripción en el Registro Mercantil no sean datos estructurados o susceptibles de lectura automatizada, a diferencia de los campos numéricos de dicho Registro, que son cumplimentados por el funcionario que efectúa la inscripción y responden a la definición legal de «inscripción registral» en el Derecho búlgaro. En efecto, la Agencia es la autoridad competente, en virtud de la legislación búlgara, para llevar el Registro Mercantil y, por lo tanto, es responsable de cualquier tratamiento de los datos personales publicados en él, independientemente de que dichos datos figuren en un documento que acompaña a la solicitud o sean codificados por un funcionario de la Agencia. De este modo, aunque ella misma no lleve a cabo una transformación digital de los documentos que recibe, la Agencia es responsable de la publicidad registral de estos documentos y de los datos que contienen. De forma más general, en el marco de sus funciones de interés público, recoge, registra, conserva, organiza y ordena todos los datos, actos y documentos que recibe en una base de datos estructurada, reconocida como fuente de información fiable y auténtica.

35.

Por último, no se opone a la calificación de la Agencia como «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD el hecho de que no compruebe, antes de ponerlos en línea, los datos personales que figuran en las imágenes electrónicas o en los originales en papel de los documentos que le son transmitidos para su inscripción, ni el hecho de que no pueda modificar o rectificar dichos datos. A este respecto, el Tribunal de Justicia ya ha tenido ocasión de rechazar un argumento similar en la sentencia État belge, relativa a la publicación en el diario oficial de un Estado miembro de actos y documentos elaborados por terceros, presentados posteriormente ante una autoridad judicial y transmitidos al organismo encargado del diario oficial con vistas a su publicidad. En el apartado 38 de la sentencia, el Tribunal de Justicia observó, por una parte, que la publicación de dichos actos y documentos sin posibilidad de revisar o modificar su contenido estaba intrínsecamente vinculada a la función de un diario oficial, que se limita a informar al público de su existencia de conformidad con el Derecho nacional aplicable, de modo que puedan oponerse a terceros. Por otra parte, declaró que excluir del concepto de «responsable del tratamiento» al diario oficial de un Estado miembro debido a que no ejerce control alguno sobre los datos personales que figuran en sus publicaciones sería contrario al objetivo del artículo 4, punto 7, del RGPD, que consiste en garantizar una protección eficaz y completa de las personas físicas en lo que respecta al tratamiento de sus datos personales. Consideraciones similares se aplican mutatis mutandis a la publicación de actos y documentos en los Registros Mercantiles de los Estados miembros. Al igual que en el caso del Moniteur belge en la sentencia antes citada, si bien es cierto que la Agencia debe publicar el acto en cuestión tal cual, es la única que se encarga de esta tarea y lo difunde. ( 20 )

36.

Llegados a este punto, es necesario examina si debe considerarse que la Agencia es la única responsable del tratamiento de los datos controvertidos y, por tanto, de garantizar que se cumplen los principios establecidos en el artículo 5, apartado 1, del RGPD, o si comparte esta responsabilidad con el solicitante, que actúa en nombre de la sociedad, debido a que esta no envió a la Agencia una copia del contrato de sociedad de 2020 con dichos datos expurgados.

37.

A este respecto, señalo, en primer lugar, que el artículo 26, apartado 1, del RGPD establece que dos o más personas pueden asumir la corresponsabilidad del tratamiento y que sus obligaciones respectivas pueden determinarse mediante acuerdo entre ellas o pueden establecerse en virtud del Derecho de la Unión o del Estado miembro que les sea aplicable. ( 21 ) A este respecto, el Tribunal de Justicia ha precisado que la calificación de «corresponsables del tratamiento» se deriva del mero hecho de que varias entidades hayan participado en la determinación de los fines y medios del tratamiento. ( 22 ) En cambio, cuando no exista tal participación conjunta, deberá excluirse la corresponsabilidad del tratamiento y los distintos participantes deberán considerarse responsables independientes sucesivos. Como ha indicado el SEPD, el intercambio de los mismos datos o del mismo conjunto de datos entre dos entidades sin unos fines o unos medios de tratamiento determinados conjuntamente debe considerarse una transferencia de datos entre responsables del tratamiento independientes. ( 23 )

38.

Así pues, el mero hecho de que la Agencia sea a la vez «responsable del tratamiento» en el sentido del artículo 4, punto 7, del RGPD y «destinatario» en el sentido del artículo 4, punto 9, del mismo Reglamento por ser quien recibe la comunicación de los datos personales que figuran en los documentos que acompañan a la solicitud de inscripción en el Registro Mercantil no excluye que sea la única responsable de la puesta a disposición del público de dichos datos. En efecto, la puesta a disposición del público de dichos datos, así como la transformación digital, cuando tiene lugar, de los datos que figuran en los documentos que se le presentan, así como su conservación, constituyen un tratamiento distinto y posterior a la transmisión de los datos efectuada por el solicitante en orden al registro de la sociedad. No obstante, la Agencia lleva a cabo por sí sola todos estos tratamientos, en el contexto de la función de orden público que le ha sido encomendada y de conformidad con los fines y procedimientos establecidos por la legislación búlgara. ( 24 )

39.

Por un lado, el Tribunal de Justicia precisó en la sentencia État belge ( 25 ) que basta con que una persona influya, para sus propios fines, en el tratamiento de datos personales y participe por ello en la determinación de los fines y medios de dicho tratamiento para poder ser considerada corresponsable del tratamiento. ( 26 ) Sin embargo, en el presente caso, se desprende claramente de los autos que obran en poder del Tribunal de Justicia que los fines y los medios del tratamiento de los datos que figuran en los documentos que han de ponerse a disposición del público a través del Registro Mercantil están determinados únicamente por la ley. Quienes, en nombre de la sociedad, introducen los documentos y la información cuya publicación en la base de datos de ese Registro exige la ley ( 27 ) no tienen ninguna influencia en esa determinación y, por lo tanto, no pueden ser considerados responsables —no más que la propia sociedad— del tratamiento posterior de los datos que comunican a la Agencia, incluida la publicidad de esos datos a través de la base de datos electrónica del Registro. Además, al transmitir a la Agencia los documentos sujetos a publicidad y al tratar los datos que figuran en ellos, estos interesados persiguen sus propios fines, en concreto el cumplimiento de las formalidades necesarias para el registro de la sociedad, que difieren de los fines públicos asignados al Registro y perseguidos por la Agencia cuando pone dichos documentos a disposición del público. ( 28 )

40.

Por otra parte, en la sentencia État belge, el Tribunal de Justica reconoció que, en el marco de una cadena de tratamientos efectuados por distintas personas o entidades y relativos a los mismos datos personales, el Derecho nacional puede determinar los fines y medios del conjunto de los tratamientos llevados a cabo sucesivamente por esas diferentes personas o entidades, de forma que estas sean consideradas corresponsables del tratamiento. ( 29 ) Así pues, en virtud del artículo 26, apartado 1, en relación con el artículo 4, punto 7, del RGPD, la corresponsabilidad de varios agentes de una cadena de tratamiento relativa a los mismos datos personales puede establecerse por el Derecho nacional siempre que las diferentes operaciones de tratamiento estén unidas por fines y medios determinados por ese Derecho y que este fije las obligaciones respectivas de cada uno de los corresponsables del tratamiento. ( 30 ) En mi opinión, sin embargo, este no es el caso del artículo 13, apartados 6 y 9, de la Ley de Registros, que se limita a definir los requisitos para que, con arreglo la legislación búlgara, el consentimiento para la publicación en el Registro Mercantil de datos personales no sujetos a publicidad se considere válidamente otorgado por el interesado. El objetivo de esta disposición no es establecer la corresponsabilidad del solicitante por el tratamiento posterior de estos datos, sino precisar el fundamento de la licitud del tratamiento efectuado por la Agencia. Además, como ya he señalado, los fines privados de la sociedad difieren de los fines públicos encomendados a la Agencia, por lo que, a mi juicio, no se cumplen los requisitos exigidos por la sentencia État belge para que su corresponsabilidad como partícipes en una «cadena de tratamientos relativos a los mismos datos personales», se considere establecida por el Derecho búlgaro.

41.

En virtud de todas las consideraciones anteriores, soy de la opinión de que los artículos 4, punto 7, y 26, apartado 1, del RGPD deben interpretarse en el sentido de que la autoridad encargada del Registro Mercantil de un Estado miembro que, en virtud de la legislación de este, tiene la obligación de publicar los documentos que se le transmiten en relación con una solicitud de inscripción de una sociedad en ese Registro es la única responsable de poner a disposición del público los datos personales que figuran en esos documentos, aun en el caso de datos cuya publicación no es obligatoria y que, de conformidad con dicha legislación, deberían haber sido expurgados antes de serle transmitidos.

42.

Todo tratamiento de datos personales debe ser conforme con los principios relativos al tratamiento de datos enunciados en el artículo 5, apartado 1, del RGPD y debe cumplir los requisitos de licitud del tratamiento enumeradas en el artículo 6 de dicho Reglamento, ( 31 ) que establece una lista taxativa de los casos en los que el tratamiento puede considerarse lícito. ( 32 ) A tenor del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, el tratamiento de datos personales solo es lícito si el interesado dio su consentimiento para uno o varios fines específicos. A falta de tal consentimiento, o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, del RGPD, tal tratamiento está, no obstante, justificado cuando cumple alguno de las exigencias de necesidad mencionadas en el artículo 6, apartado 1, párrafo primero, letras b) a f), del citado Reglamento, que debe ser objeto de una interpretación restrictiva. ( 33 )

43.

En el caso de autos, es evidente que la presunción de consentimiento establecida por el artículo 13, apartado 9, de la Ley de Registros no cumple los requisitos exigidos por el artículo 6, apartado 1, párrafo primero, letra a), del RGPD, en relación con el artículo 4, punto 11, de dicho Reglamento. ( 34 ) Por consiguiente, es necesario comprobar si un tratamiento de datos como el controvertido en el litigio principal responde a alguna de las demás justificaciones establecidas en el artículo 6, apartado 1, párrafo primero, de dicho Reglamento.

44.

Según la sentencia Manni, el tratamiento de datos personales que lleva a cabo la autoridad responsable del Registro en aplicación de los actos de la Unión que coordinan las disposiciones nacionales relativas a la publicidad de los documentos de la sociedad responde, en particular, a las causas de justificación previstas en el artículo 6, apartado 1, párrafo primero, letras c) y e), del RGPD, relativas, la primera, al respeto de una obligación legal a la que está sujeto el responsable del tratamiento y, la segunda, a la ejecución de una misión de interés público relativa al ejercicio de la autoridad pública de la que está investido el responsable del tratamiento. Por lo tanto, centraré mi análisis en estas dos causas de justificación.

45.

Por lo que respecta, en primer lugar, a la causa de justificación prevista en el artículo 6, apartado 1, párrafo primero, letra c), del RGPD, procede examinar, en primer lugar, si la puesta a disposición del público en el Registro Mercantil de los datos personales controvertidos en el litigio principal, que no figuran entre la información sujeta a publicidad en virtud de la Directiva 2017/1132 ni del Derecho búlgaro, estaba justificada por la exigencia de garantizar la publicidad de los actos a que se refiere el artículo 14 de dicha Directiva y era, por tanto, necesaria para dar cumplimiento a una obligación jurídica derivada del Derecho de la Unión.

46.

De conformidad con el artículo 16, apartado 3, de esa Directiva, los Estados miembros velarán por que dichos documentos sean puestos a disposición del público en el Registro mencionado en el apartado 1, párrafo primero, de dicho artículo. Los Gobiernos alemán, irlandés y polaco consideran, en esencia, que, en virtud de dicho artículo, en relación con el artículo 14 antes citado, las autoridades encargadas del Registro deben publicar esos documentos tal como los reciben. Por lo tanto, estarían obligadas a tratar todos los datos personales que figuren en ellos, incluidos aquellos cuya publicación no es obligatoria en el Derecho de la Unión ni en el Derecho nacional aplicable.

47.

No comparto esta interpretación. La Directiva 2017/1132 establece que es obligado dar publicidad a determinados documentos esenciales de la sociedad y que debe hacerse a través del Registro, pero no exige el tratamiento sistemático de todos los datos personales que figuran en dichos documentos, ni siquiera si el tratamiento resulta contrario a las disposiciones del RGPD. Por el contrario, como ya he señalado, el artículo 161 de esta Directiva, en su versión modificada por la Directiva 2019/1151, establece que el tratamiento de cualquier dato personal que se efectúe en su marco estará sujeto al mencionado Reglamento. Por lo tanto, corresponde a los Estados miembros encontrar un equilibrio adecuado entre los objetivos de seguridad jurídica y de protección de los intereses de terceros, que, como se verá en breve, inspiran las normas en materia de publicidad de los documentos de las sociedades, y el derecho fundamental al respeto de los datos personales.

48.

A continuación, procede comprobar si la publicación en el Registro Mercantil de los datos controvertidos en el litigio principal era necesaria para cumplir una obligación legal derivada del Derecho búlgaro. A este respecto, el artículo 2, apartado 2, de la Ley de Registros establece que los documentos que deben inscribirse en el Registro Mercantil «se pondrán a disposición del público suprimidas aquellas informaciones que constituyan datos personales en el sentido del artículo 4, punto 1, del [RGPD], a excepción de la información que por ley deba ponerse a disposición del público». Por tanto, la licitud del tratamiento de datos controvertido en el litigio principal no puede basarse en una «obligación legal» en el sentido del artículo 6, apartado 1, párrafo primero, letra c), del RGPD, a la que la Agencia hubiera estado sujeta en virtud del Derecho búlgaro, lo que, por lo demás, parece quedar confirmado por la presunción de consentimiento establecida por el artículo 13, apartado 9, de la Ley de Registros. No obstante, corresponde al órgano jurisdiccional remitente, único competente para interpretar el Derecho nacional, pronunciarse sobre este punto. Me limitaré aquí a señalar que el mero hecho, invocado por la Agencia, de que, salvo que se presente una copia que oculte los datos personales no exigidos por la ley, debe publicar el documento en la forma en que le fue remitido no es suficiente, en mi opinión, para constituir una «obligación legal» en el sentido del artículo 6, apartado 1, párrafo primero, letra c), del RGPD, dado que dicha publicación está excluida a priori por la ley y que la Agencia solo la lleva a cabo sobre la base de un consentimiento presunto. ( 35 ) A este respecto, hay que subrayar que el responsable del tratamiento debe cerciorarse del carácter «lícito» del tratamiento de datos que efectúa y de que cumple los requisitos establecidos en el artículo 6, apartado 1, párrafo primero, letras a) a f), de ese Reglamento. ( 36 )

49.

Por lo que respecta, en segundo lugar, a la causa de justificación prevista en el artículo 6, apartado 1, párrafo primero, letra e), del RGPD, al que se refieren tanto el órgano jurisdiccional remitente como la mayoría de los Estados miembros que han presentado observaciones en el presente procedimiento, debe recordarse que el Tribunal de Justicia ya ha tenido ocasión de declarar que la actividad de una autoridad pública consistente en almacenar, en una base de datos, datos que las empresas han de comunicar en virtud de una obligación legal, en permitir a las personas interesadas consultar dichos datos o en facilitarles impresiones de estos en papel está incluida en el ejercicio de prerrogativas del poder público ( 37 ) y constituye una misión de interés público en el sentido de dicha disposición. ( 38 ) Como señaló el Abogado General Bot en sus conclusiones presentadas en el asunto que dio lugar a la sentencia Manni, la inscripción y la publicación en estos Registros Mercantiles y de Sociedades de información esencial relativa a las sociedades está dirigida a crear una fuente de información fiable y, de este modo, a garantizar la seguridad jurídica necesaria para la protección de los intereses de terceros, en particular de los acreedores, la lealtad en las operaciones comerciales y, por tanto, el buen funcionamiento del mercado. ( 39 ) Por lo demás, como subraya el Tribunal de Justicia, la conservación en estos Registros de todos los datos pertinentes y su accesibilidad por terceros favorecen los intercambios comerciales entre Estados miembros, también con vistas al desarrollo del mercado interior. ( 40 )

50.

En el presente asunto, se plantea la cuestión de si esos fines y la causa de justificación establecida en el artículo 6, apartado 1, letra e), del RGPD pueden invocarse en relación con la puesta a disposición del público, por parte de la Agencia, de los datos personales controvertidos en el litigio principal, que no figuran entre los que, en virtud del Derecho de la Unión o del Derecho búlgaro, están sujetos a publicidad obligatoria.

51.

A este respecto, el artículo 6, apartado 3, del RGPD, en relación con el considerando 45 de la exposición de motivos, precisa, en particular en lo que atañe al supuesto de licitud contemplado en la letra e) del párrafo primero del apartado 1 de dicho artículo, que el tratamiento debe basarse en el Derecho de la Unión o el Derecho del Estado miembro que se aplique al responsable del tratamiento y que dicha base jurídica debe responder a un objetivo de interés público y ser proporcionada al fin legítimo perseguido. ( 41 ) Sin embargo, ninguno de estos requisitos —que el Tribunal de Justicia ha considerado expresión de los que se derivan del artículo 52, apartado 1, de la Carta ( 42 )— parece cumplirse en el presente caso, que se refiere al tratamiento de datos personales que, aunque se lleva a cabo con ocasión del ejercicio de una misión realizada en interés público a los efectos del artículo 6, apartado 1, párrafo primero, letra e), del RGPD, no se considera a priori necesario para el cumplimiento de dicha misión en virtud de la legislación nacional aplicable ni para la consecución de los fines asignados al Registro Mercantil, y que solo se autoriza sobre la base del consentimiento presunto del interesado.

52.

En términos más generales, ha de subrayarse que la publicación de datos personales no exigida por el Derecho de la Unión ni por el Derecho del Estado miembro de que se trate no responde a ninguna de las finalidades a las que se refiere el punto 49 de las presentes conclusiones, ( 43 ) que son las únicas que justifican la injerencia en los derechos de los interesados al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta. ( 44 ) Además, como subrayó el Tribunal de Justicia en la sentencia Manni, el hecho de que, en principio, la publicidad es obligatoria únicamente en un número limitado de datos personales, —a saber, los relativos a la identidad y las funciones respectivas de las personas que tienen poder para obligar a la sociedad y que, por tanto, son necesarios para proteger los intereses de terceros— no permite considerar desproporcionada tal injerencia. ( 45 )

53.

El Gobierno búlgaro y la Agencia alegan, en esencia, que el tratamiento controvertido en el litigio principal se basa, con arreglo al Derecho búlgaro, en la necesidad de garantizar la publicidad de los actos esenciales de las sociedades, de preservar su integridad y fiabilidad y de no obstaculizar el ejercicio por la Agencia de su misión de interés público. Suponiendo que el órgano jurisdiccional remitente llegue a la misma conclusión, aún tendría que cerciorarse de que se respeta el principio de proporcionalidad. Según este principio, las restricciones del derecho fundamental al respeto de los datos personales deben ser las estrictamente necesarias, ( 46 ) lo que no ocurre cuando el objetivo de interés general puede alcanzarse razonablemente con la misma eficacia por otros medios menos lesivos de ese derecho. ( 47 ) También hay que recordar que el artículo 5, apartado 1, letra c), del RGPD establece que los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados y exige a los Estados miembros que cumplan el principio de «minimización de datos», que es expresión del principio de proporcionalidad. ( 48 )

54.

Pues bien, considero que el objetivo de dar publicidad a los documentos esenciales de las sociedades puede alcanzarse razonablemente estableciendo procedimientos que permitan suprimir, antes de su publicación, los datos personales que no deban ponerse a disposición del público. Tales procedimientos pueden incluir la obligación de la Agencia de suspender la inscripción de la sociedad en el Registro para permitir la modificación de los documentos en los que figuren tales datos o de proceder, en su caso por iniciativa propia, a su supresión.

55.

No me parece que puedan prosperar los argumentos expuestos por gran parte de los Estados miembros que han presentado observaciones en el presente procedimiento, según los cuales la aplicación de tales procedimientos entraña el riesgo de retrasar la tramitación de las solicitudes de inscripción en el Registro de Sociedades, en perjuicio, en particular, de los intereses de los socios, o de imponer tareas excesivamente gravosas a las autoridades nacionales. Por una parte, tales procedimientos son necesarios para conciliar los intereses cuya protección debe asegurar la publicidad de los documentos de la sociedad con el derecho fundamental al respeto de los datos personales, en particular cuando, como he puesto de relieve en el punto 16 de las presentes conclusiones, los datos personales en cuestión están destinados a ponerse a disposición del público sin restricciones en un entorno digitalizado. Por otra parte, dichos procedimientos pueden valerse de herramientas de búsqueda e identificación de datos para facilitar la tarea de las autoridades y estar concebidos de tal forma que la carga de ocultar datos personales que no deben divulgarse recaiga inicialmente en los solicitantes, como establece la legislación búlgara.

56.

En cuanto a la exigencia de preservar la integridad y la fiabilidad de los documentos de las sociedades sujetos a publicidad obligatoria y transmitidos para su inscripción en el Registro de Sociedades —también mencionada por el Gobierno búlgaro y por la Agencia y por la mayoría de los Estados miembros que han presentado observaciones—, que exigiría la publicación de dichos documentos en la forma en que han sido transmitidos a las autoridades encargadas del Registro, no puede, en mi opinión, prevalecer sistemáticamente sobre el derecho fundamental a la protección de los datos de carácter personal, so pena de hacer puramente ilusoria dicha protección.

57.

En efecto, me inclino más bien a pensar que este requisito solo puede justificar, a lo sumo, la conservación de los datos personales que figuren en los documentos que no estén sujetos a publicidad obligatoria, pero no su publicación, sin limitaciones ni restricciones, en la base de datos del Registro abierta al público. Más concretamente, considero que poner a disposición del público una copia de estos documentos expurgada de los datos personales no obligatorios y conservar el original en el expediente permitiría lograr el equilibrio adecuado entre esta exigencia y la protección de los datos de los interesados. De ser así, el acceso al documento original y a todos los datos que en él figuran solo se permitiría caso por caso, cuando estuviera justificado por un interés legítimo —incluido el de verificar la autenticidad del documento— y en cumplimiento de las disposiciones del RGPD.

58.

A este respecto, contrariamente a lo que sostiene, entre otros, el Gobierno irlandés, opino que el artículo 16 bis de la Directiva 2017/1132, en su versión modificada por la Directiva 2019/1151, cuando dispone que «los Estados miembros velarán por que puedan obtenerse del registro copias de la totalidad o de parte de los documentos […] a que se refiere el artículo 14», no implica que los Estados miembros estén obligados a facilitar un acceso sin restricciones a todos esos documentos. Por otra parte, como ya he señalado, el artículo 161 de la Directiva 2017/1132, modificada por la Directiva 2019/1151, exige a los Estados miembros que establezcan procedimientos para garantizar que, en el desempeño de la misión de interés público que tienen encomendada, las autoridades encargadas de llevar el Registro de Sociedades cumplan todas las disposiciones del RGPD.

59.

Conforme a todo lo expuesto, opino que el tratamiento de datos controvertido en el litigio principal no puede considerarse basado en el consentimiento de la demandada en el litigio principal, en el sentido del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, en relación con el artículo 4, punto 11, de dicho Reglamento. Sin perjuicio de las comprobaciones que deberá efectuar el órgano jurisdiccional remitente, dicho tratamiento no parece cumplir ni los requisitos de licitud establecidos en el artículo 6, apartado 1, párrafo primero, letra c), del RGPD ni los establecidos en la letra e) de dicho artículo, en relación con el artículo 6, apartado 3, del mismo Reglamento. En aras de la exhaustividad, añadiré que tampoco es probable que dicho tratamiento esté comprendido en el ámbito de aplicación del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, relativo al tratamiento de datos personales necesario para atender a los intereses legítimos del responsable del tratamiento. En efecto, como ha precisado el Tribunal de Justicia, del texto del artículo 6, apartado 1, párrafo segundo, del RGPD se desprende claramente que el tratamiento de datos personales efectuado por una autoridad pública en el ejercicio de sus funciones no está comprendido en el ámbito de aplicación del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, de modo que la aplicación de dicha disposición y la del artículo 6, apartado 1, párrafo primero, letra e), de este Reglamento se excluyen mutuamente. ( 49 ) Sin embargo, en el caso de autos, la Agencia lleva a cabo el tratamiento de datos personales controvertido en el litigio principal en ejercicio de la misión de interés público que tiene encomendada, lo que excluye de entrada la aplicación del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, con independencia de que cumpla los requisitos establecidos en el artículo 6, apartado 3, del RGPD.

60.

Por tanto, no cabe excluir que el órgano jurisdiccional remitente llegue a la conclusión de que el tratamiento de datos controvertido en el litigio principal era ilícito, por no concurrir ninguna de las justificaciones previstas en el artículo 6, apartado 1, del RGPD.

61.

El artículo 17 del RGPD establece el derecho del interesado a que se supriman sus datos personales cuando concurra una de las razones enumeradas en el apartado 1 de ese artículo e impone al responsable del tratamiento la correspondiente obligación de llevar a cabo dicha supresión sin dilación indebida.

62.

Sin embargo, el artículo 17, apartado 3, del RGPD especifica que el apartado 1 de este artículo no se aplicará cuando el tratamiento en cuestión sea necesario por una de las razones que enumera el propio apartado 3. Entre estas razones se encuentra, en el artículo 17, apartado 3, letra b), de dicho Reglamento, el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento o el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.

63.

En la medida en que esas excepciones al derecho de supresión reflejan las causas de justificación del tratamiento establecidas en el artículo 6, apartado 1, párrafo primero, letras c) y e), del RGPD, me remito, en lo que respecta a su invocabilidad en circunstancias como las del litigio principal, al análisis efectuado en los puntos 45 a 58 de las presentes conclusiones. ( 50 )

64.

Así pues, si el órgano jurisdiccional remitente estimara que la puesta a disposición del público en el Registro Mercantil de los datos personales controvertidos en el litigio principal no está comprendida, con arreglo al Derecho búlgaro, en el ámbito de aplicación del artículo 6, apartado 1, párrafo primero, letras c) o e), del RGPD, en relación con el artículo 6, apartado 3, de dicho Reglamento y, en consecuencia, con el artículo 17, apartado 3, letra b), del RGPD, la demandada en el litigio principal tendría derecho a la supresión, consistente en que se ponga fin a la puesta a disposición del público, y la Agencia, en su condición de responsable del tratamiento, estaría obligada a acceder a la supresión En efecto, el artículo 17, apartado 1, letra d), del RGPD establece un derecho absoluto del interesado a que se supriman sus datos personales cuando han sido tratados ilícitamente. ( 51 )

65.

Si, por el contrario, el órgano jurisdiccional nacional llegara a la conclusión de que el tratamiento de datos controvertido en el litigio principal es conforme con el artículo 6, apartado 1, párrafo primero, letras c) o e), del RGPD, sería aplicable a priori el artículo 17, apartado 3, letra b), de ese Reglamento. No obstante, son necesarias dos aclaraciones.

66.

En primer lugar, en el supuesto de que el órgano jurisdiccional remitente concluyera que la puesta a disposición del público de los datos personales controvertidos en el litigio principal era necesaria para que la Agencia cumpliera la misión de interés general que tiene encomendada con el fin de no retrasar la inscripción de la sociedad en el Registro Mercantil, esta sola razón no puede, a mi juicio, invocarse para justificar que dichos datos se mantengan en el Registro una vez inscrita la sociedad y, en consecuencia, para excluir, en virtud del artículo 17, apartado 3, letra b), del RGPD, el derecho de supresión de la demandada en el litigio principal. Este derecho estaría garantizado, en tal caso, por el artículo 17, apartado 1, letra c), de dicho Reglamento, que se aplica cuando el interesado se opone, con arreglo al artículo 21, apartado 1, del mismo Reglamento, por motivos relacionados con su situación particular, a un tratamiento de sus datos personales basado en el artículo 6, apartado 1, primer párrafo, letra e), de ese Reglamento y no existen «motivos legítimos imperiosos», extremo que corresponde demostrar al responsable del tratamiento. ( 52 ) Sin embargo, por las mismas razones ya expuestas en el punto 56 de las presentes conclusiones, considero que la exigencia de preservar la integridad y la fiabilidad de los documentos en los que se basa la inscripción de la sociedad en el Registro no puede constituir un motivo legítimo imperioso. En efecto, como he señalado, esa exigencia puede satisfacerse recurriendo a otros medios menos lesivos del derecho fundamental al respeto de los datos personales.

67.

Por otra parte, de la sentencia Manni se desprende que limitar el acceso únicamente a los terceros que demuestren un interés específico puede estar justificado, sobre la base de una apreciación caso por caso, por motivos legítimos imperiosos relacionados con la situación particular de los interesados, incluso en lo que respecta a datos personales que la Directiva 2017/1132 somete a publicidad obligatoria y, por tanto, también en los casos en que la puesta a disposición del público se derive de una obligación legal en el sentido del artículo 6, apartado 1, párrafo primero, letra c), del RGPD. Ahora bien, tal limitación debería reconocerse a fortiori en el caso de datos personales que no están sujetos a publicidad ni en virtud del Derecho de la Unión ni en virtud del Derecho nacional. Por otra parte, en tal caso, el requisito al que el Tribunal Justicia supeditó en la sentencia Manni el acceso a la información relativa a la identidad del liquidador de la sociedad, consistente en que haya transcurrido un plazo suficientemente largo tras la disolución de la sociedad, no sería aplicable en el presente caso, por lo que la limitación del acceso a tales datos debería aplicarse lo antes posible.

68.

De la resolución de remisión se desprende que la Agencia supeditó la solicitud de OL de que se suprimieran los datos personales que le concernían, cuya publicación no exige la legislación búlgara, al cumplimiento de normas de procedimiento específicas, que exigían la presentación de una copia del documento en el que figuraban dichos datos en la que estos se hubieran suprimido. De no presentarse dicha copia, la solicitud era desestimada o suspendida indefinidamente. Según las explicaciones dadas por la Agencia, el cumplimiento de estas normas de procedimiento es necesario porque no está facultada para modificar el documento en cuestión, sino que la modificación es competencia exclusiva de los órganos de la sociedad.

69.

Recuérdese que, de conformidad con el artículo 23, apartado 1, del RGPD, el Derecho de la Unión o del Estado miembro «podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 […], cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar» uno de los objetivos enumerados en dicha disposición. En la medida en que dan lugar a una restricción del ejercicio del derecho de supresión y del ejercicio del derecho de oposición reconocido en el artículo 21 del RGPD, o incluso a su exclusión, en caso de que el interesado no consiga obtener de la sociedad las modificaciones requeridas del documento en cuestión, las modalidades de procedimiento aplicadas por la Agencia pueden estar comprendidas en el ámbito de aplicación del artículo 23, apartado 1, del RGPD. ( 53 ) Por lo tanto, debe comprobarse si los requisitos establecidos por dicha disposición se cumplen en el presente caso, aun cuando el órgano jurisdiccional remitente no ha solicitado expresamente al Tribunal de Justicia que se pronuncie sobre este extremo.

70.

A este respecto, he de señalar, en primer lugar, que esas disposiciones de procedimiento parecen ser una mera práctica interna de la Agencia. ( 54 ) Por lo tanto, sin perjuicio de las comprobaciones que corresponde realizar al órgano jurisdiccional remitente, no parecen, ya por esta razón, conformes con el artículo 23, apartado 1, del RGPD, que establece que las restricciones de los derechos enumerados en dicha disposición deben ser objeto de «medidas legislativas».

71.

Estas disposiciones de procedimiento también plantean dudas sobre el cumplimiento del principio de proporcionalidad.

72.

En efecto, si bien la exigencia de garantizar la fiabilidad y la autenticidad de los documentos inscritos en el Registro Mercantil y, más en general, la transparencia y la seguridad jurídica en el cumplimiento de la misión que tiene encomendada puede responder, a mi juicio, a «objetivos importantes de interés público general de la Unión o de un Estado miembro», en el sentido del artículo 23, apartado 1, letra e), del RGPD, no justifica, a mi juicio, la restricción, ni aún menos la exclusión, del derecho de supresión o del derecho de oposición en circunstancias como las del litigio principal, ya que pueden utilizarse otros medios menos lesivos para el derecho fundamental al respeto de los datos personales.

73.

En este contexto, si bien la Comisión considera que está justificado esperar a que la sociedad modifique el documento suprimiendo los datos cuya supresión se solicita, propone que sea la propia Agencia la que los suprima al cabo de un plazo razonable, si el interesado no consigue que la sociedad realice dicha modificación.

74.

No estoy convencida de que tal solución garantice un justo equilibrio entre los distintos derechos e intereses en juego, ya que daría lugar a que datos que no estaban destinados a ser divulgados se mantuvieran a disposición del público durante un período indefinido en un entorno digitalizado. A mi juicio, dicho equilibrio podría, por el contrario, garantizarse otorgando a la Agencia la facultad de proceder por sí misma, lo antes posible tras la recepción de la solicitud de supresión, a ocultar los datos en cuestión en la copia del documento puesta a disposición del público, si bien conservando el original del documento en el expediente y exigiendo a la sociedad que presente una modificación del documento en la que se oculten dichos datos, modificación que también se publicaría en el Registro.

75.

Es cierto que el artículo 16, apartado 4, párrafos primero y segundo, de la Directiva 2017/1132 establece que los Estados miembros adoptarán las medidas necesarias para evitar cualquier discrepancia entre lo que consta en el Registro y en el expediente y entre lo que se publica en el Registro y lo que se publica en el boletín nacional. Sin embargo, la exigencia de mantener la coherencia entre las distintas partes del Registro y con el boletín nacional, así como el objetivo de seguridad jurídica que inspira dicha exigencia, no pueden justificar, a mi modo de ver, que los datos personales sigan estando a disposición del público, sin restricciones y sin límites temporales, en los documentos publicados en el Registro, cuando su publicidad no sea obligatoria y el interesado solicite su supresión. En primer lugar, cualquier modificación de estos documentos que fuera necesaria para suprimir tales datos sería identificable y rastreable y se llevaría a cabo de forma transparente. En segundo lugar, los cambios se referirían a elementos de dichos documentos cuya publicación no es necesaria para el ejercicio de la función de interés público encomendada al Registro. En tercer lugar, la integridad y autenticidad de estos documentos podría preservarse conservando el original en el expediente, al que tendrían acceso regulado los terceros que acreditaran un interés legítimo.

76.

Sobre la base de todo lo anterior, opino que disposiciones de procedimiento como las aplicadas en este caso por la Agencia no son conformes con el artículo 23, apartado 1, del RGPD.

77.

En virtud de todas las consideraciones anteriores, propongo al Tribunal de Justicia que responda del siguiente modo a las cuestiones prejudiciales cuarta y quinta planteadas por el Varhoven administrativen sad (Tribunal Supremo de lo Contencioso-Administrativo, Bulgaria):