–

Agentsia po vpisvaniyata, edustajinaan I. D. Ivanov ja D. S. Miteva, avustajanaan Z. N. Mandazhieva, advokat,

–

OL itse, avustajinaan I. Stoynev ja T. Tsonev, advokati,

–

Bulgarian hallitus, asiamiehinään T. Mitova ja R. Stoyanov,

–

Saksan hallitus, asiamiehinään J. Möller ja P.-L. Krüger,

–

Irlanti, asiamiehinään M. Browne, Chief State Solicitor, A. Joyce, M. Lane ja M. Tierney, avustajanaan I. Boyle Harper, BL,

–

Italian hallitus, asiamiehenään G. Palmieri, avustajanaan G. Natale, avvocato dello Stato,

–

Puolan hallitus, asiamiehenään B. Majczyna,

–

Suomen hallitus, asiamiehenään A. Laine,

–

Euroopan komissio, asiamiehinään A. Bouchagiar, C. Georgieva, H. Kranenborg ja L. Malferrari,

1

Ennakkoratkaisupyyntö koskee niiden takeiden yhteensovittamisesta samanveroisiksi, joita jäsenvaltioissa vaaditaan [EY] 48 artiklan toisessa kohdassa tarkoitetuilta yhtiöiltä niiden jäsenten sekä ulkopuolisten etujen suojaamiseksi, 16.9.2009 annetun Euroopan parlamentin ja neuvoston direktiivin 2009/101/EY (EUVL 2009, L 258, s. 11) 3 ja 4 artiklan sekä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 4, 6, 17, 58 ja 82 artiklan tulkintaa.

2

Tämä pyyntö on esitetty asiassa, jossa vastakkain ovat Agentsia po vpisvaniyata (rekisterimerkinnöistä vastaava virasto, Bulgaria, jäljempänä virasto) ja OL ja jossa on kyse siitä, että tämä virasto kieltäytyi poistamasta tiettyjä OL:ää koskevia henkilötietoja, jotka sisältyvät kaupparekisterissä julkistettuun yhtiösopimukseen.

3

Tietyistä yhtiöoikeuden osa-alueista 14.6.2017 annetulla Euroopan parlamentin ja neuvoston direktiivillä (EU) 2017/1132 (EUVL 2017, L 169, s. 46) kumottiin ja korvattiin direktiivi 2009/101 sen voimaantulopäivästä eli 20.7.2017 alkaen.

4

Direktiivin 2017/1132 johdanto-osan 1, 7, 8 ja 12 perustelukappaleessa todetaan seuraavaa:

– –

– –

5

Direktiivin 2017/1132 I osaston II luvun 1 jaksoon, jonka otsikko on ”Julkisen osakeyhtiön perustaminen”, sisältyy kyseisen direktiivin 4 artikla, jonka otsikko on ”Pakolliset tiedot yhtiöjärjestyksissä, perustamiskirjoissa tai erillisissä asiakirjoissa” ja jossa säädetään seuraavaa:

”Joko yhtiöjärjestyksestä, perustamiskirjasta tai erillisestä asiakirjasta, joka julkaistaan noudattaen jäsenvaltion lainsäädännössä säädettyä 16 artiklan mukaista menettelyä, on käytävä ilmi ainakin seuraavat tiedot:

– –

– –”

6

Direktiivin I osaston III luvun 1 jakso, jonka otsikko on ”Yleiset säännökset”, sisältää direktiivin 13–28 artiklan.

7

Direktiivin 13 artiklan, jonka otsikko on ”Soveltamisala”, sanamuoto on seuraava:

”Tässä jaksossa säädettyjä yhteensovittamistoimenpiteitä sovelletaan liitteessä II lueteltuja yhtiömuotoja koskeviin jäsenvaltioiden lakeihin, asetuksiin ja hallinnollisiin määräyksiin, jotka koskevat liitteessä II lueteltua muotoa olevia yhtiötyyppejä.”

8

Direktiivin 2017/1132 14 artiklassa, jonka otsikko on ”Yhtiöiden toimesta julkistettavat asiakirjat ja tiedot”, säädetään seuraavaa:

”Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että yhtiöiden on julkistettava ainakin seuraavat asiakirjat ja tiedot:

– –”

9

Direktiivin 15 artiklan, jonka otsikko on ”Asiakirjojen ja tietojen muutokset”, 1 kohdassa säädetään seuraavaa:

”Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että 14 artiklassa tarkoitettuihin asiakirjoihin ja tietoihin tehtävät muutokset merkitään 16 artiklan 1 kohdan ensimmäisessä alakohdassa tarkoitettuun asianomaiseen rekisteriin ja julkistetaan 16 artiklan 3 ja 5 kohdan mukaisesti yleensä 21 päivän kuluessa siitä, kun kyseisiä muutoksia koskevat kaikki asiakirjat sekä tarvittaessa kansallisen lainsäädännön vaatima oikeudellinen tarkastus asiakirjavihkoon merkitsemistä varten on saatu.”

10

Direktiivin 16 artiklassa, jonka otsikko on ”Julkistaminen rekisterissä”, säädetään seuraavaa:

”1.   Jokaisessa jäsenvaltiossa on oltava kullekin siellä rekisteröidylle yhtiölle joko keskus-, kauppa- tai yhtiörekisterissä, jäljempänä ’rekisteri’, oma asiakirjavihkonsa.

– –

3.   Kaikki asiakirjat ja tiedot, jotka on 14 artiklan mukaan julkistettava, on otettava asiakirjavihkoon tai merkittävä rekisteriin; rekisterimerkintöjen perusteiden on aina ilmettävä asiakirjavihkosta.

Jäsenvaltioiden on varmistettava, että yhtiöt ja muut ilmoitus- tai myötävaikuttamisvelvolliset henkilöt tai elimet voivat toimittaa sähköisessä muodossa kaikki asiakirjat ja tiedot, jotka on 14 artiklan mukaan julkistettava. Lisäksi jäsenvaltiot voivat vaatia kaikilta yhtiöiltä tai tietyn tyyppisiltä yhtiöiltä, että ne toimittavat kaikki nämä asiakirjat ja tiedot tai osan niistä sähköisessä muodossa.

Kaikki 14 artiklassa tarkoitetut joko paperilla tai sähköisessä muodossa toimitetut asiakirjat ja tiedot on otettava asiakirjavihkoon tai merkittävä rekisteriin sähköisessä muodossa. Tätä varten jäsenvaltioiden on varmistettava, että rekisteri muuntaa sähköiseen muotoon kaikki paperilla toimitetut asiakirjat ja tiedot.

– –

4.   Kaikista 14 artiklassa tarkoitetuista asiakirjoista ja tiedoista tai niiden osasta on pyynnöstä annettava jäljennös. Pyynnön voi esittää rekisterille jäljennöstä pyytäneen valinnan mukaan joko paperilla tai sähköisessä muodossa.

– –

5.   Edellä 3 kohdassa tarkoitetut asiakirjat ja tiedot on julkistettava julkaisemalla ne asianomaisen jäsenvaltion siihen tarkoitukseen nimeämässä kansallisessa virallisessa julkaisussa joko kokonaisuudessaan tai osittain taikka viittauksina asiakirjavihkoon otettuun tai rekisteriin merkittyyn asiakirjaan. Jäsenvaltion tähän tarkoitukseen nimeämä virallinen julkaisu voi olla sähköisessä muodossa.

Jäsenvaltiot voivat päättää korvata virallisessa julkaisussa julkaisemisen toisella yhtä tehokkaalla tavalla, joka edellyttää ainakin sellaisen järjestelmän käyttöä, jossa julkistettuihin tietoihin voidaan tutustua aikajärjestyksessä sähköisen keskusjärjestelmän kautta.

6.   Yhtiö ei voi vedota asiakirjoihin ja tietoihin ulkopuolista kohtaan ennen 5 kohdassa tarkoitettua julkistamista, jollei yhtiö näytä, että ulkopuolinen tiesi niistä.

– –

7.   Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet 5 kohdan mukaisesti julkistettujen ja rekisterissä tai asiakirjavihkossa olevien tietojen välisten ristiriitaisuuksien välttämiseksi.

Jos ristiriitaisuuksia kuitenkin ilmenee, 5 kohdan mukaisesti julkistettuun sanamuotoon ei voi vedota ulkopuolista kohtaan; ulkopuolinen voi kuitenkin vedota siihen, jollei yhtiö osoita, että ulkopuolinen tiesi asiakirjavihkossa olevasta tai rekisteriin merkitystä sanamuodosta.

– –”

11

Direktiivin 2017/1132 21 artiklassa, jonka otsikko on ”Julkistettavien asiakirjojen ja tietojen julkistamiskieli ja kääntäminen”, säädetään seuraavaa:

”1.   Asiakirjat ja tiedot, jotka on 14 artiklan mukaan julkistettava, on laadittava ja toimitettava jollakin sellaisella kielellä, joka on sallittu siinä jäsenvaltiossa sovellettavan kielilainsäädännön mukaisesti, jossa 16 artiklan 1 kohdassa tarkoitettu asiakirjavihko on.

2.   Edellä 16 artiklassa tarkoitetun pakollisen julkistamisen lisäksi jäsenvaltioiden on sallittava, että 14 artiklassa tarkoitettujen asiakirjojen ja tietojen käännökset julkistetaan vapaaehtoisesti 16 artiklan mukaisesti millä tahansa [Euroopan] unionin virallisella kielellä tai virallisilla kielillä.

Jäsenvaltiot voivat säätää, että asiakirjojen ja tietojen käännökset on todistettava oikeiksi.

Jäsenvaltioiden on toteutettava tarpeelliset toimenpiteet helpottaakseen vapaaehtoisesti julkistettujen käännösten saattamista ulkopuolisten henkilöiden saataville.

3.   Edellä 16 artiklassa tarkoitetun pakollisen julkistamisen ja tämän artiklan 2 kohdassa edellytetyn vapaaehtoisen julkistamisen lisäksi jäsenvaltiot voivat sallia asianomaisten asiakirjojen ja tietojen julkistamisen 16 artiklan mukaisesti millä tahansa muulla kielellä tai muilla kielillä.

– –

4.   Jos rekisterin virallisilla kielillä julkistettujen asiakirjojen ja tietojen ja vapaaehtoisesti julkistettujen käännösten välillä ilmenee ristiriitaisuuksia, julkistettuun käännökseen ei voi vedota ulkopuolista henkilöä kohtaan; – –”

12

Direktiivin 161 artiklassa, jonka otsikko on ”Tietosuoja”, säädetään seuraavaa:

”Tämän direktiivin mukaiseen henkilötietojen käsittelyyn sovelletaan [yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annettua Euroopan parlamentin ja neuvoston] direktiiviä 95/46/EY [(EYVL 1995, L 281, s. 31)].”

13

Direktiivin 166 artiklassa, jonka otsikko on ”Kumoaminen”, säädetään seuraavaa:

”Kumotaan direktiivit [2009/101 ja 2012/30] – –

Viittauksia kumottuihin direktiiveihin pidetään viittauksina tähän direktiiviin liitteessä IV olevan vastaavuustaulukon mukaisesti.”

14

Direktiivin 2017/1132 liitteessä II luetellaan kyseisen direktiivin 7 artiklan 1 kohdassa ja 13 artiklassa, 29 artiklan 1 kohdassa, 36 artiklan 1 kohdassa ja 67 artiklan 1 kohdassa sekä 119 artiklan 1 kohdan a alakohdassa tarkoitetut yhtiömuodot, joihin kuuluu OOD Bulgariassa.

15

Direktiivin 2017/1132 liitteessä IV olevan vastaavuustaulukon mukaan yhtäältä direktiivin 2009/101 2 artikla vastaa direktiivin 2017/1132 14 artiklaa, direktiivin 2009/101 2 a artikla vastaa direktiivin 2017/1132 15 artiklaa, direktiivin 2009/101 3 artikla vastaa direktiivin 2017/1132 16 artiklaa, direktiivin 2009/101 4 artikla vastaa direktiivin 2017/1132 21 artiklaa ja direktiivin 2009/101 7 a artikla vastaa direktiivin 2017/1132 161 artiklaa. Toisaalta direktiivin 2012/30 3 artikla vastaa direktiivin 2017/1132 4 artiklaa.

16

Direktiiviä 2017/1132 on muutettu muun muassa direktiivin (EU) 2017/1132 muuttamisesta siltä osin kuin on kyse digitaalisten välineiden ja prosessien käytöstä yhtiöoikeuden alalla 20.6.2019 annetulla Euroopan parlamentin ja neuvoston direktiivillä (EU) 2019/1151 (EUVL 2019, L 186, s. 80), joka tuli voimaan 31.7.2019 ja jonka 1 artiklassa, jonka otsikko on ”Direktiivin [2017/1132] muuttaminen”, säädetään seuraavaa:

”Muutetaan direktiivi [2017/1132] seuraavasti:

– –

6) Korvataan 16 artikla seuraavasti:

’16 artikla

Julkistaminen rekisterissä

1.   Jokaisessa jäsenvaltiossa on oltava kullekin siellä rekisteröidylle yhtiölle joko keskus-, kauppa- tai yhtiörekisterissä, jäljempänä ’rekisteri’, oma asiakirjavihkonsa.

– –

2.   Kaikki asiakirjat ja tiedot, jotka on julkistettava 14 artiklan mukaan, on sisällytettävä tämän artiklan 1 kohdassa tarkoitettuun asiakirjavihkoon tai kirjattava suoraan rekisteriin, ja rekisteriin tehtyjen merkintöjen sisältö on kirjattava asiakirjavihkoon.

Kaikki 14 artiklassa tarkoitetut asiakirjat ja tiedot, riippumatta tavasta, jolla ne on toimitettu, on säilytettävä rekisterin asiakirjavihkossa tai kirjattava suoraan rekisteriin sähköisessä muodossa. Jäsenvaltioiden on varmistettava, että rekisteri muuntaa sähköiseen muotoon kaikki paperilla toimitetut asiakirjat ja tiedot niin nopeasti kuin mahdollista.

– –

3.   Jäsenvaltioiden on varmistettava, että 14 artiklassa tarkoitettujen asiakirjojen ja tietojen julkistaminen tapahtuu asettamalla ne julkisesti saataville rekisterissä. Lisäksi jäsenvaltiot voivat myös vaatia, että jotkin tai kaikki asiakirjat ja tiedot julkaistaan siihen tarkoitukseen nimetyssä kansallisessa virallisessa julkaisussa tai toisella yhtä tehokkaalla tavalla. – –

4.   Jäsenvaltioiden on toteutettava tarvittavat toimenpiteet rekisterissä tai asiakirjavihkossa olevien tietojen välisten ristiriitaisuuksien välttämiseksi.

Jäsenvaltioiden, jotka vaativat, että asiakirjat ja tiedot julkaistaan kansallisessa virallisessa julkaisussa tai sähköisessä keskusjärjestelmässä, on toteutettava tarvittavat toimenpiteet 3 kohdan mukaisesti julkistettujen ja virallisessa lehdessä tai keskusjärjestelmässä julkaistujen asiakirjojen ja tietojen välisten ristiriitaisuuksien välttämiseksi.

Jos asiakirjoissa ja tiedoissa on tässä artiklassa tarkoitettuja ristiriitaisuuksia, rekisterissä saataville asetetut asiakirjat ja tiedot ovat ensisijaisia.

5.   Yhtiö ei voi vedota 14 artiklassa tarkoitettuihin asiakirjoihin ja tietoihin ulkopuolista kohtaan ennen tämän artiklan 3 kohdassa tarkoitettua julkistamista, jollei yhtiö osoita, että ulkopuolinen tiesi niistä.

– –

6.   Jäsenvaltioiden on varmistettava, että rekisterit tallentavat [rekistereihin tallennetaan] kaikki yhtiön perustamisen tai sivuliikkeen rekisteröinnin tai niiden tekemien ilmoitusten yhteydessä toimitetut asiakirjat ja tiedot koneellisesti luettavassa ja haut mahdollistavassa muodossa tai jäsenneltynä datana.”

7) Lisätään artikla seuraavasti:

’16 a artikla

Pääsy julkistettuihin tietoihin

1.   Jäsenvaltioiden on varmistettava, että jäljennökset kaikista tai osasta 14 artiklassa tarkoitetuista asiakirjoista ja tiedoista on mahdollista saada rekisteristä pyynnöstä – –

– –’

19) Korvataan 161 artikla seuraavasti:

’161 artikla

Tietosuoja

Tämän direktiivin mukaiseen henkilötietojen käsittelyyn sovelletaan [yleistä tietosuoja-asetusta].’”

17

Direktiivin 2019/1151 2 artiklassa, jonka otsikko on ”Saattaminen osaksi kansallista lainsäädäntöä”, säädetään seuraavaa:

”1.   Jäsenvaltioiden on saatettava tämän direktiivin noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset voimaan viimeistään 1 päivänä elokuuta 2021. – –

2.   Sen estämättä, mitä tämän artiklan 1 kohdassa säädetään, jäsenvaltioiden on saatettava – – tämän direktiivin 1 artiklan 6 alakohdan, siltä osin kuin se koskee direktiivin [2017/1132] 16 artiklan 6 kohtaa, noudattamisen edellyttämät lait, asetukset ja hallinnolliset määräykset voimaan viimeistään 1 päivänä elokuuta 2023.

3.   Edellä olevasta 1 kohdasta poiketen jäsenvaltiot, joilla on erityisiä vaikeuksia tämän direktiivin saattamisessa osaksi kansallista lainsäädäntöä, voivat pidentää 1 kohdassa säädettyä määräaikaa direktiivin saattamiselle osaksi kansallista lainsäädäntöä enintään yhdellä vuodella. – –

– –”

18

Yleisen tietosuoja-asetuksen johdanto-osan 26, 32, 40, 42, 43, 50, 85, 143 ja 146 perustelukappaleessa todetaan seuraavaa:

– –

– –

– –

– –

– –

– –

– –

19

Yleisen tietosuoja-asetuksen 4 artiklassa, jonka otsikko on ”Määritelmät”, säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

– –

– –

– –”

20

Yleisen tietosuoja-asetuksen 5 artiklassa, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, säädetään seuraavaa:

”1.   Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

– –

– –

2.   Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

21

Yleisen tietosuoja-asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:

”1.   Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

– –

– –

– –

3.   Edellä olevan 1 kohdan c ja e alakohdassa tarkoitetun käsittelyn perustasta on säädettävä joko

Käsittelyn tarkoitus määritellään kyseisessä käsittelyn oikeusperusteessa tai, 1 kohdan e alakohdassa tarkoitetussa käsittelyssä, sen on oltava tarpeen yleistä etua koskevan tehtävän suorittamiseksi tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseksi. Kyseinen käsittelyn oikeusperuste voi sisältää erityisiä säännöksiä, joilla mukautetaan tämän asetuksen sääntöjen soveltamista, muun muassa: yleisiä edellytyksiä, jotka koskevat rekisterinpitäjän suorittaman tietojenkäsittelyn lainmukaisuutta; käsiteltävien tietojen tyyppiä; asianomaisia rekisteröityjä, yhteisöjä joille ja tarkoituksia joihin henkilötietoja voidaan luovuttaa; käyttötarkoitussidonnaisuutta; säilytysaikoja; sekä käsittelytoimia ja -menettelyjä, mukaan lukien laillisen ja asianmukaisen tietojenkäsittelyn varmistamiseen tarkoitetut toimenpiteet, kuten toimenpiteet muita IX luvussa esitettyjä erityisiä tietojenkäsittelytilanteita varten. Unionin oikeuden tai jäsenvaltion lainsäädännön on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.

– –”

22

Yleisen tietosuoja-asetuksen 17 artiklassa, jonka otsikko on ”Oikeus tietojen poistamiseen (’oikeus tulla unohdetuksi’)”, säädetään seuraavaa:

”1.   Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:

– –

3.   Edellä olevaa 1 ja 2 kohtaa ei sovelleta siltä osin kuin käsittely on tarpeen

– –

– –”

23

Yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan sanamuoto on seuraava:

”Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan, kuten näihin säännöksiin perustuvaa profilointia. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.”

24

Yleisen tietosuoja-asetuksen 58 artiklassa säädetään seuraavaa:

”1.   Jokaisella valvontaviranomaisella on kaikki seuraavat tutkintavaltuudet:

– –

2.   Jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet:

– –

3.   Jokaisella valvontaviranomaisella on kaikki seuraavat hyväksymis- ja neuvontavaltuudet:

– –

– –

4.   Valvontaviranomaiselle tämän artiklan nojalla annettujen valtuuksien käyttöön sovelletaan asianmukaisia suojatoimia, muun muassa tehokkaita oikeussuojakeinoja ja oikeudenmukaista menettelyä, joista säädetään unionin oikeudessa ja jäsenvaltion lainsäädännössä [Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja)] mukaisesti.

5.   Kunkin jäsenvaltion on säädettävä laissa siitä, että sen valvontaviranomaisella on valtuudet saattaa tämän asetuksen rikkomiset lainkäyttöviranomaisten tietoon ja tarvittaessa panna vireille tai käynnistää muulla tavoin oikeustoimet tämän asetuksen säännösten täytäntöönpanemiseksi.

6.   Kukin jäsenvaltio voi säätää laissa, että sen valvontaviranomaisella on 1, 2 ja 3 kohdassa tarkoitettujen valtuuksien lisäksi muita valtuuksia. Näiden valtuuksien käyttäminen ei saa haitata VII luvun tehokasta toimivuutta.”

25

Yleisen tietosuoja-asetuksen 82 artiklan, jonka otsikko on ”Vastuu ja oikeus korvauksen saamiseen”, sanamuoto on seuraava:

”1.   Jos henkilölle aiheutuu tämän asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.

2.   Kukin tietojenkäsittelyyn osallistunut rekisterinpitäjä on vastuussa vahingosta, joka on aiheutunut käsittelystä, jolla on rikottu tätä asetusta. Henkilötietojen käsittelijä on vastuussa käsittelystä aiheutuneesta vahingosta vain, jos se ei ole noudattanut nimenomaisesti henkilötietojen käsittelijöille osoitettuja tämän asetuksen velvoitteita tai jos se on toiminut rekisterinpitäjän lainmukaisen ohjeistuksen ulkopuolella tai sen vastaisesti.

3.   Rekisterinpitäjä tai henkilötietojen käsittelijä on vapautettava vastuusta 2 kohdan nojalla, jos se osoittaa, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta.

– –”

26

Yleisen tietosuoja-asetuksen 94 artiklassa säädetään seuraavaa:

”1.   Kumotaan direktiivi [95/46] 25 päivästä toukokuuta 2018.

2.   Viittauksia kumottuun direktiiviin pidetään viittauksina tähän asetukseen. – –”

27

Kaupparekisteristä ja voittoa tavoittelemattomien oikeushenkilöiden rekisteristä annetun lain (Zakon za targovskia registar i registara na yuridicheskite litsa s nestopanska tsel; DV nro 34, 25.4.2006), sellaisena kuin sitä sovelletaan pääasiassa (jäljempänä rekisterilaki), 2 §:ssä säädetään seuraavaa:

”(1)   Kaupparekisteri ja voittoa tavoittelemattomien oikeushenkilöiden rekisteri muodostavat yhteisen sähköisen tietokannan, joka sisältää lain nojalla rekisteriin merkityt tiedot sekä lain nojalla julkisesti saataville asetetut asiakirjat, jotka koskevat elinkeinonharjoittajia ja ulkomaisten elinkeinonharjoittajien sivuliikkeitä, voittoa tavoittelemattomia oikeushenkilöitä ja voittoa tavoittelemattomien ulkomaisten oikeushenkilöiden sivuliikkeitä.

(2)   Edellä 1 momentissa tarkoitetut tiedot ja asiakirjat asetetaan julkisesti saataville ilman [yleisen tietosuoja-asetuksen] 4 artiklan 1 alakohdassa tarkoitettuja henkilötietoja, lukuun ottamatta tietoja, jotka on lain nojalla asetettava julkisesti saataville.”

28

Lain 3 §:ssä säädetään seuraavaa:

”Ministar na pravosadieton [oikeusministeri, Bulgaria] alainen [virasto] vastaa kaupparekisterin ja voittoa tavoittelemattomien oikeushenkilöiden rekisterin pitämisestä.”

29

Lain 6 §:n 1 momentissa säädetään seuraavaa:

”Jokaisen elinkeinonharjoittajan on haettava kaupparekisteriin ja jokaisen voittoa tavoittelemattoman oikeushenkilön on haettava voittoa tavoittelemattomien oikeushenkilöiden rekisteriin merkitsemistä, ilmoitettava rekisteriin merkittävät tiedot ja toimitettava julkisesti saataville asetettavat asiakirjat.”

30

Lain 11 §:n sanamuoto on seuraava:

”(1)   Kaupparekisteri ja voittoa tavoittelemattomien oikeushenkilöiden rekisteri ovat julkisia. Jokaisella on oikeus tutustua vapaasti ja maksutta rekisterit muodostavaan tietokantaan.

(2)   [Viraston] on tarjottava rekisteröity pääsy elinkeinonharjoittajan tai voittoa tavoittelemattoman oikeushenkilön asiakirjavihkoon.”

31

Rekisterilain 13 §:n 1, 2, 6 ja 9 momentissa säädetään seuraavaa:

”(1)   Rekisteriin merkitseminen, rekisteristä poistaminen ja julkisesti saataville asettaminen suoritetaan hakemuslomakkeen perusteella.

(2)   Hakemuksessa on mainittava:

1. hakijan yhteystiedot

– –

3. rekisteriin merkittävä tieto, poistettavaksi pyydetty rekisterimerkintä tai julkisesti saataville asetettava asiakirja

– –

(6)   Hakemukseen on liitettävä asiakirjat tai tapauksen mukaan julkisesti saataville asetettava asiakirja lain vaatimusten mukaisesti. Asiakirjat on toimitettava alkuperäisinä, hakijan oikeaksi todistamina jäljennöksinä tai notaarin oikeaksi todistamina jäljennöksinä. Hakijan on toimitettava myös oikeaksi todistetut jäljennökset kaupparekisterissä julkisesti saataville asetettavista asiakirjoista, joista on poistettu muut kuin laissa edellytetyt henkilötiedot.

– –

(9)   Jos hakemuksessa tai siihen liitetyissä asiakirjoissa mainitaan henkilötietoja, joita ei edellytetä laissa, ne toimittaneiden henkilöiden katsotaan antaneen suostumuksensa siihen, että [virasto] käsittelee ne ja että ne asetetaan julkisesti saataville.

– –”

32

Kauppalain (Targovski zakon; DV nro 48, 18.6.1991), sellaisena kuin sitä sovelletaan pääasiassa, 101 §:n 3 momentissa säädetään, että yhtiösopimuksessa on mainittava ”kunkin osakkaan nimi, toiminimi ja yksilöllinen tunnistuskoodi”.

33

Kauppalain 119 §:ssä säädetään seuraavaa:

”(1)   Yhtiön merkitseminen kaupparekisteriin edellyttää:

1. julkisesti saataville asetettavan yhtiösopimuksen toimittamista

– –

(2)   Rekisteriin merkitään edellä 1 – – momentissa tarkoitetut tiedot

– –

(4)   Kaupparekisteriin toimitetun yhtiösopimuksen muuttamiseksi tai täydentämiseksi on toimitettava julkisesti saataville asetettava yhtiötä edustavan elimen oikeaksi todistama jäljennös sopimuksesta, joka sisältää kaikki muutokset ja lisäykset.”

34

Kaupparekisterin ja voittoa tavoittelemattomien oikeushenkilöiden rekisterin pitämisestä, säilyttämisestä ja käytöstä 27.2.2007 annetun asetuksen N:o 1 (Naredba no 1 za vodene, sahranyavane i dostap do targovskia registar i do registara na yuridicheskite litsa s nestopanska tsel; DV nro 18, 27.2.2007), jonka Ministar na pravosadieto (oikeusministeri) antoi, sellaisena kuin sitä sovelletaan pääasiassa, 6 §:ssä säädetään seuraavaa:

”Kaupparekisteriin ja voittoa tavoittelemattomien oikeushenkilöiden rekisteriin merkitseminen ja näistä rekistereistä poistaminen suoritetaan [erityisiä lomakkeita sisältävien] liitteiden mukaisen hakemuslomakkeen perusteella. Asiakirjojen julkisesti saataville asettaminen kaupparekisterissä ja voittoa tavoittelemattomien oikeushenkilöiden rekisterissä suoritetaan [erityisiä lomakkeita sisältävien] liitteiden mukaisen hakemuslomakkeen perusteella.”

35

OL on 14.1.2021 kaupparekisteriin merkityn, Bulgarian oikeuden mukaan perustetun rajavastuuyhtiö ”Praven Shtit Konsulting” OOD:n osakas; rekisteriin merkitsemistä edelsi 30.12.2020 päivätyn ja osakkaiden allekirjoittaman yhtiösopimuksen (jäljempänä kyseessä oleva yhtiösopimus) toimittaminen.

36

Virasto asetti sopimuksen, joka sisälsi OL:n etunimen, sukunimen, henkilötunnuksen, henkilökortin numeron ja myöntämispäivän ja ‑paikan, osoitteen sekä allekirjoituksen, julkisesti saataville siinä muodossa kuin se oli toimitettu.

37

OL pyysi 8.7.2021 virastoa poistamaan häntä koskevat henkilötiedot mainitusta yhtiösopimuksesta ja ilmoitti, että jos näiden tietojen käsittely perustuu hänen suostumukseensa, hän peruuttaa sen.

38

Koska virasto ei vastannut pyyntöön, OL nosti kanteen Administrativen sad Dobrichissa (Dobrichin hallintotuomioistuin, Bulgaria), joka kumosi 8.12.2021 antamallaan tuomiolla viraston implisiittisen päätöksen olla poistamatta kyseisiä tietoja ja palautti asian virastolle uutta päätöstä varten.

39

Kyseisen tuomion ja toisen vastaavan sisältöisen, samoihin toimenpiteisiin ryhtynyttä toista osakasta koskevan tuomion täytäntöönpanemiseksi virasto ilmoitti 26.1.2022 päivätyllä kirjeellä, että henkilötietojen poistamista koskevan OL:n esittämän pyynnön hyväksymiseksi sille on toimitettava oikeaksi todistettu jäljennös kyseessä olevasta yhtiösopimuksesta, josta on poistettu osakkaiden henkilötiedot, laissa edellytettyjä tietoja lukuun ottamatta.

40

OL nosti 31.1.2022 Administrativen sad Dobrichissa uuden kanteen, jossa hän vaati kyseisen kirjeen kumoamista ja viraston velvoittamista korvaamaan aineeton vahinko, jonka hän väittää hänelle aiheutuneen tästä kirjeestä, jolla väitetysti loukattiin hänen yleisen tietosuoja-asetuksen mukaisia oikeuksiaan.

41

Ennen kyseisen kanteen tiedoksiantoa virasto poisti 1.2.2022 viran puolesta rekisteristä OL:n henkilötunnuksen, henkilökorttia koskevat tiedot ja osoitteen mutta ei hänen etu- ja sukunimeään ja allekirjoitustaan.

42

Administrativen sad Dobrich kumosi 26.1.2022 päivätyn kirjeen 5.5.2022 antamallaan tuomiolla ja velvoitti yleisen tietosuoja-asetuksen 82 artiklan nojalla viraston maksamaan OL:lle korvauksena aineettomasta vahingosta 500 Bulgarian levaa (BGN) (noin 255 euroa) laillisine korkoineen. Tuomion mukaan tämä vahinko koostui yhtäältä OL:lle aiheutuneista negatiivisista psykologisista ja emotionaalisista kokemuksista eli mahdollisia väärinkäytöksiä koskevasta pelosta ja huolestuneisuudesta sekä voimattomuuden ja pettymyksen tunteesta sen johdosta, ettei hän pystynyt suojaamaan henkilötietojaan. Kyseisen tuomion mukaan tämä vahinko johtui toisaalta tästä kirjeestä, jolla loukattiin yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan mukaista oikeutta tietojen poistamiseen ja joka johti julkisesti saataville asetettuun kyseessä olevaan yhtiösopimukseen sisältyvien OL:n henkilötietojen lainvastaiseen käsittelyyn.

43

Virasto teki mainitusta tuomiosta kassaatiovalituksen Varhoven administrativen sadiin (ylin hallintotuomioistuin, Bulgaria), joka on ennakkoratkaisua pyytänyt tuomioistuin.

44

Kyseisen tuomioistuimen mukaan virasto vetoaa siihen, että se ei ole ainoastaan rekisterinpitäjä vaan myös Praven Shtit Konsulting -yhtiön rekisteriin merkitsemistä koskevan menettelyn yhteydessä toimitettujen henkilötietojen vastaanottaja. Virasto vetoaa lisäksi siihen, ettei se ollut saanut ainoatakaan jäljennöstä kyseessä olevasta yhtiösopimuksesta, josta olisi poistettu OL:n henkilötiedot, joita ei ollut asetettava julkisesti saataville, vaikka se oli esittänyt tätä koskevan pyynnön ennen kyseisen yhtiön kaupparekisteriin merkitsemistä. Virasto väittää, ettei kaupallisen yhtiön merkitsemistä kyseiseen rekisteriin kuitenkaan voida evätä pelkästään tällaisen jäljennöksen toimittamatta jättämisen vuoksi. Viraston mukaan tämä ilmenee kansallisen valvontaviranomaisen Komisia za zashtita na lichnite danni (henkilötietojen suojelusta vastaava lautakunta, Bulgaria) yleisen tietosuoja-asetuksen 58 artiklan 3 kohdan b alakohdan nojalla antamasta lausunnosta nro 01-116(20)/01.02.2021, johon virasto viittaa. Mainittu tuomioistuin toteaa, että OL:n mukaan virasto ei voi rekisterinpitäjänä määrätä muiden henkilöiden noudatettaviksi itselleen kuuluvia henkilötietojen poistamiseen liittyviä velvoitteita, koska kansallisen oikeuskäytännön mukaan mainittu lausunto ei ole yleisen tietosuoja-asetuksen säännösten mukainen.

45

Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että tästä asetuksesta johtuvien vaatimusten selventäminen on tarpeen, kun otetaan huomioon vallitseva kansallinen oikeuskäytäntö. Kyseinen tuomioistuin pohtii erityisesti, kuinka yhtäältä henkilötietojen suojaa koskeva oikeus ja toisaalta säännöstö, jossa taataan julkistaminen ja pääsy tiettyihin yhtiöiden asiakirjoihin, on sovitettava yhteen, ja täsmentää muun muassa, ettei 9.3.2017 annetun tuomion Manni (C-398/15, EU:C:2017:197) perusteella voida ratkaista pääasiassa esiin nousseita tulkintavaikeuksia.

46

Varhoven administrativen sad on tässä tilanteessa päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

47

Aluksi on todettava, että esitetyt kysymykset koskevat sekä yleisen tietosuoja-asetuksen että direktiivin 2009/101, joka on kodifioitu ja korvattu pääasian tosiseikkoihin ajallisesti sovellettavalla direktiivillä 2017/1132, tulkintaa. Tämän johdosta ennakkoratkaisupyyntöä on tulkittava siten, että se koskee direktiivin 2017/1132 tulkintaa.

48

Kuten julkisasiamies on lisäksi ratkaisuehdotuksensa 15 kohdassa todennut, koska osa näistä tosiseikoista tapahtui direktiivin 2019/1151 2 artiklan 1 kohdassa kyseisen direktiivin saattamiselle osaksi kansallista lainsäädäntöä asetetun määräajanpäättymispäivän eli 1.8.2021 jälkeen, ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, kuuluvatko nämä tosiseikat direktiivin 2017/1132 vai direktiivin 2017/1132, sellaisena kuin se on muutettuna direktiivillä 2019/1151, ajalliseen soveltamisalaan.

49

On kuitenkin todettava, että direktiivillä 2019/1151 tehdyillä muutoksilla direktiivin 2017/1132 16 ja 161 artiklan sanamuotoon ja sillä toteutetulla 16 a artiklan lisäyksellä direktiiviin 2017/1132 ei ole vaikutusta unionin tuomioistuimelta nyt käsiteltävässä asiassa pyydettyyn analyysiin, joten tässä tuomiossa annettavat vastaukset ovat joka tapauksessa merkityksellisiä.

50

Ennakkoratkaisua pyytänyt tuomioistuin kysyy ensimmäisellä kysymyksellään pääasiallisesti, onko direktiivin 2017/1132 21 artiklan 2 kohtaa tulkittava siten, että sen mukaan jäsenvaltiolla on velvollisuus sallia se, että kaupparekisterissä julkistetaan yhtiösopimus, jonka julkistaminen on pakollista mainitun direktiivin nojalla ja joka sisältää vaadittujen vähimmäishenkilötietojen lisäksi myös muita henkilötietoja, joiden julkaisemista ei edellytetä kyseisen jäsenvaltion kansallisessa lainsäädännössä.

51

Kyseinen tuomioistuin pohtii erityisesti tässä säännöksessä mainitun vapaaehtoisen julkistamisen käsitteen ulottuvuutta ja pyrkii selvittämään, onko kyseisen säännöksen mukaan jäsenvaltioiden sallittava yhtiöiden asiakirjoihin sisältyvien tietojen, kuten henkilötietojen, joita ne eivät ole vaatineet mainitussa direktiivissä säädetyn pakollisen julkistamisen vuoksi, julkistaminen.

52

Direktiivin 2017/1132 21 artiklan 2 kohdan ensimmäisen alakohdan mukaan ”edellä [tämän direktiivin] 16 artiklassa tarkoitetun pakollisen julkistamisen lisäksi jäsenvaltioiden on sallittava, että [tämän direktiivin] 14 artiklassa tarkoitettujen asiakirjojen ja tietojen käännökset julkistetaan vapaaehtoisesti [tämän direktiivin] 16 artiklan mukaisesti millä tahansa unionin virallisella kielellä tai virallisilla kielillä.” Tämän 21 artiklan 2 kohdan toisen alakohdan mukaan jäsenvaltiot voivat säätää, että asiakirjojen ja tietojen käännökset on todistettava oikeiksi. Lopuksi mainitun 21 artiklan 2 kohdan kolmas alakohta koskee tarpeellisia toimenpiteitä vapaaehtoisesti julkistettujen käännösten kolmansille osapuolille saattamisen helpottamiseksi.

53

Direktiivin 2017/1132 14 artiklassa luetellaan puolestaan ne asiakirjat ja tiedot, jotka kyseessä olevien yhtiöiden on ainakin julkistettava. Nämä asiakirjat ja tiedot on mainitun direktiivin 16 artiklan 3–5 kohdan mukaisesti sisällytettävä asiakirjavihkoon tai kirjattava rekisteriin, jäljennökset asiakirjoista ja tiedoista tai niiden osista on oltava pyynnöstä saatavilla ja kyseiset asiakirjat ja tiedot on julkistettava julkaisemalla ne joko kokonaisuudessaan tai osittain taikka viittauksina kansallisessa virallisessa julkaisussa tai toisella yhtä tehokkaalla tavalla.

54

Direktiivin 2017/1132 21 artiklan 2 kohdan sanamuodosta ilmenee, että – kun tältä osin otetaan huomioon erityisesti se, että kyseisessä säännöksessä käytetään toistuvasti käsitettä ”käännökset” – kyseinen säännös koskee kyseisen direktiivin 14 artiklassa tarkoitettujen asiakirjojen ja tietojen käännösten vapaaehtoista julkistamista unionin virallisella kielellä ja näin ollen ainoastaan näiden asiakirjojen ja tietojen julkaisukieltä. Mainitussa säännöksessä ei sitä vastoin viitata näiden asiakirjojen ja tietojen sisältöön.

55

Tällä sanamuodolla pyritään näin ollen ilmaisemaan, ettei tätä 21 artiklan 2 kohtaa voida tulkita siten, että siinä asetettaisiin jäsenvaltioille jonkinlainen velvollisuus julkistaa henkilötietoja, joiden julkistamista ei edellytetä unionin oikeuden muissa säännöksissä eikä asianomaisen jäsenvaltion kansallisen oikeuden säännöksissä mutta jotka sisältyvät asiakirjaan, jonka julkistaminen on mainitun direktiivin nojalla pakollista.

56

Jos unionin oikeuden säännöksen merkitys ilmenee yksiselitteisesti itse säännöksen sanamuodosta, unionin tuomioistuin ei voi poiketa tästä tulkinnasta (tuomio 25.1.2022, VYSOČINA WIND, C-181/20, EU:C:2022:51, 39 kohta).

57

Direktiivin 2017/1132 21 artiklan 2 kohdan asiayhteyden osalta on joka tapauksessa niin, että mainitun 21 artiklan otsikko, jossa viitataan julkistettavien asiakirjojen ja tietojen julkistamiskieleen ja kääntämiseen, sekä kyseisen artiklan muut kohdat tukevat tämän tuomion 55 kohdassa omaksuttua tulkintaa.

58

Direktiivin 2017/1132 21 artiklan 1 kohdassa säädetään näet, että asiakirjat ja tiedot, jotka on kyseisen direktiivin 14 artiklan mukaan julkistettava, on laadittava ja toimitettava jollakin sellaisella kielellä, joka on sallittu sovellettavan kielilainsäädännön mukaisesti. Tämän 21 artiklan 3 kohdassa säädetään, että kyseisen direktiivin 16 artiklassa tarkoitetun pakollisen julkistamisen ja kyseisen 21 artiklan 2 kohdassa edellytetyn vapaaehtoisen julkistamisen lisäksi jäsenvaltiot voivat sallia asianomaisten asiakirjojen ja tietojen julkistamisen millä tahansa muulla kielellä tai muilla kielillä. Mainitun 21 artiklan 4 kohdassa viitataan puolestaan vapaaehtoisesti julkistettuihin käännöksiin.

59

Tämän tuomion 55 kohdassa omaksutun tulkinnan vahvistaa vielä mainitun direktiivin johdanto-osan 12 perustelukappale, jonka mukaan yritystietojen saatavuutta toisesta maasta olisi helpotettava antamalla mahdollisuus rekisteröidä vaaditut asiakirjat ja tiedot vapaaehtoisesti muillakin kielillä pakollisen, yhdellä yrityksen jäsenvaltiossa sallitulla kielellä tapahtuvan julkistamisen lisäksi.

60

Edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että direktiivin 2017/1132 21 artiklan 2 kohtaa on tulkittava siten, että sen mukaan jäsenvaltiolla ei ole velvollisuutta sallia sitä, että kaupparekisterissä julkistetaan yhtiösopimus, jonka julkistaminen on pakollista mainitun direktiivin nojalla ja joka sisältää vaadittujen vähimmäishenkilötietojen lisäksi myös muita henkilötietoja, joiden julkaisemista ei edellytetä kyseisen jäsenvaltion kansallisessa lainsäädännössä.

61

Ensimmäiseen kysymykseen annetun vastauksen vuoksi toiseen ja kolmanteen kysymykseen, jotka on esitetty vain siinä tapauksessa, että ensimmäiseen kysymykseen vastataan myöntävästi, ei ole tarpeen vastata.

62

Ennakkoratkaisua pyytänyt tuomioistuin kysyy viidennellä kysymyksellään, joka on käsiteltävä ennen neljättä kysymystä, pääasiallisesti, onko yleistä tietosuoja-asetusta ja erityisesti sen 4 artiklan 7 ja 9 alakohtaa tulkittava siten, että viranomainen, joka vastaa jäsenvaltion kaupparekisterin pitämisestä ja joka julkistaa tässä rekisterissä henkilötietoja, jotka sisältyvät yhtiösopimukseen, jonka julkistaminen on direktiivin 2017/1132 nojalla pakollista ja joka toimitettiin viranomaiselle asianomaisen yrityksen mainittuun rekisteriin kirjaamista koskevan hakemuksen yhteydessä, on sekä mainitussa 9 alakohdassa tarkoitettu näiden henkilötietojen vastaanottaja että mainitussa 7 alakohdassa tarkoitettu rekisterinpitäjä.

63

Aluksi on muistutettava, että direktiivin 2017/1132 161 artiklan mukaan kyseisen direktiivin mukaiseen henkilötietojen käsittelyyn sovelletaan direktiiviä 95/46 ja näin ollen yleistä tietosuoja-asetusta, jonka 94 artiklan 2 kohdassa todetaan, että viittauksia direktiiviin 95/46 pidetään viittauksina kyseiseen asetukseen.

64

Tältä osin on aluksi todettava, että direktiivin 2017/1132 14 artiklan a, b ja d alakohdan mukaan jäsenvaltioiden on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että yhtiöitä koskeva pakollinen julkistaminen kattaa ainakin asianomaisen yhtiön perustamiskirjan ja sen muutokset sekä sellaisten henkilöiden asettamisen, tehtävän päättymisen ja henkilötiedot, jotka joko lakisääteisenä toimielimenä tai sellaisen jäseninä ovat kelpoisia edustamaan yhtiötä suhteessa kolmansiin osapuoliin ja käyttämään sen puhevaltaa oikeudenkäynnissä tai osallistuvat yhtiön hallintoon, johtoon tai valvontaan. Tämän direktiivin 4 artiklan i alakohdan nojalla on lisäksi niin, että pakolliset tiedot perustamiskirjassa, jota tällainen julkistaminen koskee, käsittävät sellaisten luonnollisten henkilöiden ja oikeushenkilöiden tai yhtiöiden henkilöllisyyden, jotka ovat allekirjoittaneet perustamiskirjan.

65

Direktiivin 16 artiklan 3–5 kohdan nojalla on niin, että – kuten tämän tuomion 53 kohdassa on todettu – nämä asiakirjat ja tiedot on sisällytettävä asiakirjavihkoon tai kirjattava rekisteriin, jäljennökset asiakirjoista ja tiedoista tai niiden osista on oltava pyynnöstä saatavilla ja ne on julkistettava julkaisemalla ne joko kokonaisuudessaan tai osittain taikka viittauksina kansallisessa virallisessa julkaisussa tai toisella yhtä tehokkaalla tavalla.

66

Kuten julkisasiamies on ratkaisuehdotuksensa 26 kohdassa todennut, jäsenvaltioiden on siis määritettävä unionin oikeutta noudattaen muun muassa, mitkä direktiivin 2017/1132 4 artiklan i alakohdassa ja 14 artiklan d alakohdassa tarkoitettujen henkilöiden henkilöllisyyttä koskevien tietojen ryhmät – ja erityisesti, minkälaiset henkilötiedot – kuuluvat pakollisen julkistamisen piiriin.

67

On kuitenkin niin, että näiden henkilöiden henkilöllisyyttä koskevat tiedot ovat tunnistettuja tai tunnistettavissa olevia luonnollisia henkilöitä koskevia tietoja, joten ne ovat yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettuja henkilötietoja (ks. vastaavasti tuomio 9.3.2017, Manni, C-398/15, EU:C:2017:197, 34 kohta).

68

Sama koskee myös näiden henkilöiden ja muiden henkilöryhmien henkilöllisyyttä koskevia lisätietoja, joiden pakollista julkistamista jäsenvaltiot päättävät edellyttää tai jotka – kuten tässä tapauksessa – ilmenevät asiakirjoista, joita tällainen pakollinen julkistaminen koskee, vaikka näiden tietojen saataville asettamista ei edellytetä direktiivissä 2017/1132 eikä tämän direktiivin täytäntöönpanemiseksi annetussa kansallisessa lainsäädännössä.

69

Seuraavaksi yleisen tietosuoja-asetuksen 4 artiklan 9 alakohdassa tarkoitetusta vastaanottajan käsitteestä on todettava, että sillä tarkoitetaan ”luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, jolle luovutetaan henkilötietoja, oli kyseessä kolmas osapuoli tai ei”, ja kyseisessä säännöksessä täsmennetään, että käsitteen alaan eivät kuulu viranomaiset, jotka saavat näitä tietoja tietyn tiedustelun puitteissa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti.

70

Saadessaan yhtiön jäsenvaltion kaupparekisteriin kirjaamista koskevan hakemuksen yhteydessä asiakirjoja, jotka kuuluvat direktiivin 2017/1132 14 artiklassa tarkoitetun pakollisen julkistamisen piiriin ja jotka sisältävät henkilötietoja, riippumatta siitä, edellytetäänkö tässä direktiivissä tai kansallisessa lainsäädännössä näiden henkilötietojen toimittamista, kaupparekisteriä pitävä viranomainen on kuitenkin yleisen tietosuoja-asetuksen 4 artiklan 9 alakohdassa tarkoitettu näiden tietojen vastaanottaja.

71

Lopuksi on niin, että yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan mukaan rekisterinpitäjän käsitteellä tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot. Kyseisessä säännöksessä todetaan myös, että jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin tai jäsenvaltion lainsäädännössä.

72

Tältä osin on muistutettava, että unionin tuomioistuimen oikeuskäytännön mukaan kyseisen säännöksen tavoitteena on varmistaa rekisterinpitäjän käsitteen laajan määritelmän avulla rekisteröityjen tehokas ja kattava suoja (tuomio 11.1.2024, Belgian valtio (Virallisessa julkaisussa käsitellyt tiedot), C-231/22, EU:C:2024:7, 28 kohta oikeuskäytäntöviittauksineen).

73

Kun otetaan huomioon yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan sanamuoto tämän tavoitteen valossa luettuna, näyttää siltä, että sen määrittämiseksi, onko henkilöä tai yksikköä pidettävä tässä säännöksessä tarkoitettuna rekisterinpitäjänä, on selvitettävä, määrittääkö tämä henkilö tai yksikkö yksin tai yhdessä toisten kanssa käsittelyn tarkoitukset ja keinot vai määritetäänkö ne unionin oikeudessa tai kansallisessa lainsäädännössä. Kun tällainen määrittäminen tehdään kansallisessa lainsäädännössä, on tarkistettava, nimitetäänkö kyseisessä lainsäädännössä rekisterinpitäjä tai vahvistetaanko siinä tämän nimittämistä koskevat erityiset kriteerit (ks. vastaavasti tuomio 11.1.2024, Belgian valtio (Virallisessa julkaisussa käsitellyt tiedot), C-231/22, EU:C:2024:7, 29 kohta).

74

On myös täsmennettävä, että kun otetaan huomioon yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa tarkoitetun rekisterinpitäjän käsitteen laaja määritelmä, käsittelyn tarkoitusten ja keinojen määrittäminen ja tarvittaessa rekisterinpitäjän nimittäminen kansallisessa lainsäädännössä voidaan tehdä paitsi nimenomaisesti myös implisiittisesti. Viimeksi mainitussa tapauksessa edellytetään kuitenkin, että määrittäminen ilmenee riittävän varmasti asianomaiselle henkilölle tai yksikölle annetusta asemasta, tehtävästä ja toimivaltuuksista (tuomio 11.1.2024, Belgian valtio (Virallisessa julkaisussa käsitellyt tiedot), C-231/22, EU:C:2024:7, 30 kohta).

75

Lisäksi on niin, että merkitessään yhtiön jäsenvaltion kaupparekisteriin kirjaamista koskevan hakemuksen yhteydessä saamansa henkilötiedot rekisteriin ja säilyttäessään niitä siellä sekä luovuttaessaan niitä mahdollisesti kolmansien osapuolten pyynnöstä ja julkistaessaan niitä kansallisessa virallisessa julkaisussa tai yhtä tehokkaalla tavalla kyseistä rekisteriä pitävä viranomainen suorittaa yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa tarkoitettua henkilötietojen käsittelyä, jonka osalta se on kyseisen asetuksen 7 alakohdassa tarkoitettu rekisterinpitäjä (ks. vastaavasti tuomio 9.3.2017, Manni, C-398/15, EU:C:2017:197, 35 kohta).

76

Tällainen henkilötietojen käsittely on näet irrallaan siitä, että rekisteriin kirjaamista hakeva luovuttaa henkilötietoja ja että mainittu viranomainen saa ne, ja seuraa sitä. Lisäksi on niin, että kyseinen viranomainen toteuttaa yksin tällaisen käsittelyn direktiivissä 2017/1132 ja kyseessä olevan jäsenvaltion kansallisessa lainsäädännössä, jolla mainittu direktiivi pannaan täytäntöön, vahvistettujen tarkoitusten ja menettelysääntöjen mukaisesti.

77

Tältä osin on täsmennettävä, että mainitun direktiivin johdanto-osan seitsemännestä ja kahdeksannesta perustelukappaleesta ilmenee, että direktiivissä säädetyllä julkistamisella pyritään suojaamaan erityisesti kolmansien osapuolten etuja suhteessa osakeyhtiöihin ja rajavastuuyhtiöihin, koska tällaisten yhtiöiden sitoumusten täyttämisen takeena kolmansille osapuolille on ainoastaan niiden yhtiövarallisuus. Tärkeimmät yhtiötä koskevat asiakirjat olisi julkistettava tätä tarkoitusta varten, jotta kolmannet osapuolet voivat tutustua niihin ja saada tietoja yhtiöstä ja erityisesti siitä, keillä on oikeus edustaa yhtiötä.

78

Lisäksi on niin, että direktiivin tarkoituksena on turvata oikeusvarmuus yhtiön ja kolmansien osapuolten välisissä suhteissa jäsenvaltioiden välisten liiketoimien lisääntyessä sisämarkkinoiden perustamisen myötä. Tämän vuoksi on tärkeää, että jokainen, joka haluaa luoda ja pitää yllä liikesuhteita toisissa jäsenvaltioissa sijaitsevien yhtiöiden kanssa, voi helposti tutustua tärkeimpiin kaupallisten yhtiöiden perustamistietoihin ja niitä edustamaan oikeutettujen henkilöiden toimivaltuuksiin; tästä syystä on tärkeää, että kaikki merkitykselliset tiedot ilmenevät nimenomaisesti rekisteristä (ks. vastaavasti tuomio 9.3.2017, Manni, C-398/15, EU:C:2017:197, 50 kohta).

79

On kuitenkin niin, että – kuten julkisasiamies on ratkaisuehdotuksensa 39 kohdassa todennut – toimittaessaan jäsenvaltion kaupparekisterin pitämisestä vastaavalle viranomaiselle asiakirjoja ja tietoja, joiden julkistaminen on direktiivin 2017/1132 nojalla pakollista, ja käsittelemällä siten näiden asiakirjojen sisältämiä henkilötietoja yhtiön tähän rekisteriin kirjaamista hakeva ei millään tavoin vaikuta käsittelyn tarkoituksen määrittämiseen tai mainitun viranomaisen suorittamaan myöhempään henkilötietojen käsittelyyn. Kirjaamista hakeva toteuttaa lisäksi omia tarkoituksiaan, jotka poikkeavat viranomaisen tarkoituksista ja jotka koostuvat yhtiön rekisteriin merkitsemiseksi tarvittavien muotovaatimusten täyttämisestä.

80

Kuten julkisasiamies on ratkaisuehdotuksensa 31 ja 32 kohdassa todennut, ennakkoratkaisupyynnöstä ilmenee nyt käsiteltävässä asiassa, että OL:n henkilötiedot on asetettu julkisesti saataville viraston käyttäessä toimivaltuuksiaan kaupparekisterin pitämisestä vastaavana viranomaisena ja että näiden henkilötietojen käsittelyn tarkoitukset ja keinot on määritetty sekä unionin oikeudessa että pääasiassa kyseessä olevassa kansallisessa lainsäädännössä, muun muassa rekisterilain 13 §:n 9 momentissa. Siten sillä seikalla, että oikeaksi todistettua jäljennöstä kyseessä olevasta yhtiösopimuksesta, josta on poistettu osakkaiden henkilötiedot, joita ei edellytetä mainitussa kansallisessa lainsäädännössä, ei ole toimitettu tässä lainsäädännössä säädettyjen menettelysääntöjen vastaisesti, ei ole vaikutusta viraston luonnehtimiseksi rekisterinpitäjäksi tämän käsittelyn osalta.

81

Tätä luonnehdintaa ei voida myöskään kyseenalaistaa sillä seikalla, ettei virasto mainitun lainsäädännön nojalla tarkasta sille yhtiön rekisteriin merkitsemistä varten toimitettujen asiakirjojen sähköisiin kuviin tai alkuperäiskappaleisiin sisältyviä henkilötietoja ennen niiden julkaisemista internetissä. Unionin tuomioistuin on tältä osin jo todennut, että olisi yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdan tavoitteen, joka mainitaan tämän tuomion 72 kohdassa, vastaista sulkea rekisterinpitäjän käsitteen ulkopuolelle jäsenvaltion virallinen lehti sillä perusteella, että sillä ei ole määräysvaltaa julkaisuihinsa sisältyvien henkilötietojen osalta (tuomio 11.1.2024, Belgian valtio (Virallisessa julkaisussa käsitellyt tiedot), C-231/22, EU:C:2024:7, 38 kohta).

82

Näissä olosuhteissa vaikuttaa siltä, että pääasiassa kyseessä olevan kaltaisessa tilanteessa virasto on vastuussa OL:n henkilötietojen käsittelystä, joka muodostuu näiden tietojen asettamisesta julkisesti saataville internetiin, vaikka virastolle olisi pitänyt pääasiassa kyseessä olevan kansallisen lainsäädännön nojalla toimittaa jäljennös kyseessä olevasta yhtiösopimuksesta, josta on poistettu henkilötiedot, joita ei edellytetä mainitussa lainsäädännössä, mikä ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä. Virasto vastaa siten yleisen tietosuoja-asetuksen 5 artiklan 2 kohdan nojalla myös siitä, että kyseisen artiklan 1 kohtaa noudatetaan.

83

Edellä esitetyn perusteella viidenteen kysymykseen on vastattava, että yleistä tietosuoja-asetusta ja erityisesti sen 4 artiklan 7 ja 9 alakohtaa on tulkittava siten, että viranomainen, joka vastaa jäsenvaltion kaupparekisterin pitämisestä ja joka julkaisee tässä rekisterissä henkilötietoja, jotka sisältyvät yhtiösopimukseen, jonka julkistaminen on direktiivin 2017/1132 nojalla pakollista ja joka toimitettiin viranomaiselle asianomaisen yrityksen mainittuun rekisteriin kirjaamista koskevan hakemuksen yhteydessä, on näiden tietojen osalta sekä mainitussa 9 alakohdassa tarkoitettu vastaanottaja että – muun muassa siltä osin kuin se asettaa kyseiset tiedot julkisesti saataville – mainitussa 7 alakohdassa tarkoitettu rekisterinpitäjä, vaikka kyseinen sopimus sisältäisi henkilötietoja, joita ei edellytetä tässä direktiivissä tai kyseisen jäsenvaltion kansallisessa lainsäädännössä.

84

Bulgarian hallitus väittää, että neljäs kysymys on jätettävä tutkimatta, koska siinä nostetaan esiin luonteeltaan hypoteettinen ongelma. Kyseinen hallituksen mukaan on näet niin, että kysymys koskee sitä, onko yleisen tietosuoja-asetuksen 17 artiklassa tarkoitetun oikeuden käyttämistä koskeviin menettelysääntöihin liittyvä kansallinen lainsäädäntö, jota ei vielä ole annettu, direktiivin 2017/1132 16 artiklan mukainen.

85

Vakiintuneen oikeuskäytännön mukaan SEUT 267 artiklassa tarkoitetulla ennakkoratkaisumenettelyllä otetaan käyttöön kansallisten tuomioistuinten ja unionin tuomioistuimen välinen läheinen yhteistyö, joka perustuu tehtävien jakoon niiden välillä, ja tämä menettely muodostaa välineen, jonka avulla unionin tuomioistuin esittää kansallisille tuomioistuimille ne unionin oikeuden tulkintaan liittyvät seikat, joita ne tarvitsevat ratkaistakseen niiden käsiteltäviksi saatetut asiat. Tässä yhteistyössä yksinomaan kansallisen tuomioistuimen, jossa asia on vireillä ja joka vastaa annettavasta ratkaisusta, tehtävänä on asian erityispiirteiden perusteella harkita, onko ennakkoratkaisu tarpeen asian ratkaisemiseksi ja onko sen unionin tuomioistuimelle esittämillä kysymyksillä merkitystä asian kannalta. Jos siis esitetyt kysymykset koskevat unionin oikeuden tulkintaa, unionin tuomioistuimella on lähtökohtaisesti velvollisuus vastata niihin (tuomio 23.11.2021, IS (Välipäätöksen lainvastaisuus), C-564/19, EU:C:2021:949, 59 ja 60 kohta oikeuskäytäntöviittauksineen).

86

Tästä seuraa, että unionin oikeutta koskevilla kysymyksillä oletetaan olevan merkitystä asian ratkaisemisen kannalta. Unionin tuomioistuin voi kieltäytyä vastaamasta kansallisen tuomioistuimen esittämään ennakkoratkaisukysymykseen vain, jos on ilmeistä, että unionin oikeuden tulkitsemisella, jota kansallinen tuomioistuin on pyytänyt, ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen tai jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (tuomio 24.11.2020, Openbaar Ministerie (Asiakirjaväärennökset), C‑510/19, EU:C:2020:953, 26 kohta oikeuskäytäntöviittauksineen).

87

Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että ennakkoratkaisua pyytäneen tuomioistuimen on viimeisenä oikeusasteena annettava ratkaisu viraston antaman sellaisen päätöksen lainmukaisuudesta, jolla virasto hylkäsi pääasiassa kyseessä olevien henkilötietojen poistamista koskevan pyynnön sillä perusteella, että sille ei ollut toimitettu – Bulgarian lainsäädännössä säädettyjen menettelysääntöjen vastaisesti – jäljennöstä kyseessä olevasta yhtiösopimuksesta, josta on poistettu henkilötiedot, joita ei edellytetä mainitussa lainsäädännössä. Mainitusta pyynnöstä ilmenee lisäksi, että tällainen hylkääminen on viraston noudattaman käytännön mukainen. Kyseinen tuomioistuin totesi lopuksi, että unionin tuomioistuimen vastaus neljänteen kysymykseen on tarpeen pääasian oikeusriidan ratkaisemiseksi asiayhteydessä, jossa kansallinen oikeuskäytäntö ei ole yhtenäistä.

88

Tästä seuraa, että – toisin kuin Bulgarian hallitus väittää – neljäs kysymys on otettava tutkivaksi.

89

Kun otetaan huomioon ennakkoratkaisupyyntöön sisältyvät tiedot, sellaisina kuin ne esitetään tämän tuomion 87 kohdassa, on katsottava, että ennakkoratkaisua pyytänyt tuomioistuin kysyy neljännellä kysymyksellään pääasiallisesti, onko direktiiviä 2017/1132 ja erityisesti sen 16 artiklaa ja yleisen tietosuoja-asetuksen 17 artiklaa tulkittava siten, että ne ovat esteenä jäsenvaltion säännöstölle tai käytännölle, jonka seurauksena kyseisen jäsenvaltion kaupparekisterin pitämisestä vastaava viranomainen hylkää kaikki sellaisten henkilötietojen poistamista koskevat pyynnöt, joita ei edellytetä tässä direktiivissä tai mainitun jäsenvaltion kansallisessa lainsäädännössä ja jotka sisältyvät mainitussa rekisterissä julkistettuun yhtiösopimukseen, kun tälle viranomaiselle ei ole toimitettu – mainitussa säännöstössä säädettyjen menettelysääntöjen vastaisesti – jäljennöstä tästä sopimuksesta, josta on poistettu nämä tiedot.

90

Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan nojalla rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin tässä säännöksessä säädetyistä perusteista täyttyy.

91

Näin on tämän 17 artiklan 1 kohdan c alakohdan mukaan silloin, kun rekisteröity vastustaa käsittelyä 21 artiklan 1 kohdan nojalla eikä käsittelylle ole olemassa ensisijaista perusteltua syytä, tai 17 artiklan 1 kohdan d alakohdan mukaan silloin, kun henkilötietoja on käsitelty lainvastaisesti.

92

Yleisen tietosuoja-asetuksen 17 artiklan 3 kohdan b alakohdasta ilmenee niin ikään, ettei 17 artiklan 1 kohtaa sovelleta siltä osin kuin käsittely on tarpeen rekisterinpitäjään sovellettavaan unionin oikeuteen tai jäsenvaltion lainsäädäntöön perustuvan, käsittelyä edellyttävän lakisääteisen velvoitteen noudattamiseksi tai jos käsittely tapahtuu yleistä etua koskevan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen kuuluvan tehtävän suorittamiseksi.

93

Jotta pääasiassa kyseessä olevan kaltaisessa tilanteessa voidaan näin ollen määrittää, onko rekisteröidyllä yleisen tietosuoja-asetuksen 17 artiklan mukainen oikeus tietojen poistamiseen, on aluksi tutkittava yhtä tai useampaa perustetta, joiden nojalla rekisteröidyn henkilötietojen käsittely saattaa olla lainmukaista.

94

Tältä osin on muistutettava, että yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisessä alakohdassa vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista. Jotta käsittelyn voidaan siis katsoa olevan oikeutettua, sen on kuuluttava johonkin tässä säännöksessä säädetyistä tapauksista (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C-439/19, EU:C:2021:504, 99 kohta oikeuskäytäntöviittauksineen).

95

Jos rekisteröity ei ole antanut tämän 6 artiklan 1 kohdan ensimmäisen alakohdan a alakohdassa tarkoitettua suostumusta henkilötietojensa käsittelyyn tai jos sitä ei ole annettu yleisen tietosuoja-asetuksen 4 artiklan 11 alakohdan mukaisesti vapaaehtoisesti, yksilöidysti, tietoisesti ja yksiselitteisesti, tällainen käsittely voi kuitenkin olla oikeutettua, jos sen osalta täyttyy jokin tämän asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b–f alakohdassa mainituista edellytyksistä (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C-252/21, EU:C:2023:537, 92 kohta).

96

Tässä yhteydessä yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan b–f alakohdassa olevia oikeuttamisperusteita on tulkittava suppeasti, koska niiden perusteella ilman rekisteröidyn suostumusta suoritettavasta henkilötietojen käsittelystä tulee lainmukaista (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C-252/21, EU:C:2023:537, 93 kohta oikeuskäytäntöviittauksineen).

97

On myös täsmennettävä, että yleisen tietosuoja-asetuksen 5 artiklan mukaan juuri rekisterinpitäjällä on todistustaakka siitä, että nämä tiedot muun muassa kerätään tiettyä, nimenomaista ja laillista tarkoitusta varten, että ne ovat asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään, ja että niitä käsitellään lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C-252/21, EU:C:2023:537, 95 kohta).

98

Ennakkoratkaisua pyytäneen tuomioistuimen on määritettävä, ovatko pääasiassa kyseessä olevan kaltaisen käsittelyn eri elementit oikeutettuja sillä perusteella, että ne ovat tarpeen jotakin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a–f alakohdassa mainittua tarkoitusta varten, mutta unionin tuomioistuin voi kuitenkin antaa sille hyödyllisiä tietoja, joiden perusteella se voi ratkaista käsiteltävänään olevan asian (ks. vastaavasti tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C-252/21, EU:C:2023:537, 96 kohta).

99

Nyt käsiteltävässä asiassa on ensinnäkin niin, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 43 kohdassa – rekisterilain 13 §:n 9 momentissa säädetty suostumusta koskeva olettama ei näytä täyttävän yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan a alakohdassa, luettuna yhdessä kyseisen asetuksen 4 artiklan 11 alakohdan kanssa, asetettuja edellytyksiä.

100

Kuten mainitun asetuksen 32, 42 ja 43 perustelukappaleesta nimittäin ilmenee, suostumus olisi annettava selkeästi suostumusta ilmaisevalla toimella, kuten kirjallisella tai suullisella lausumalla, eikä suostumusta voida pitää vapaaehtoisesti annettuna, jos rekisteröidyllä ei ole todellista vapaan valinnan mahdollisuutta ja jos hän ei voi kieltäytyä suostumuksen antamisesta tai peruuttaa sitä ilman, että siitä aiheutuu hänelle haittaa. Lisäksi on niin, ettei suostumuksen pitäisi olla pätevä oikeudellinen peruste sellaisessa erityistilanteessa, jossa rekisteröidyn ja rekisterinpitäjän välillä on selkeä epäsuhta; näin on erityisesti silloin, kun rekisterinpitäjä on viranomainen.

101

Rekisterilain 13 §:n 9 momentissa säädetyn kaltaisen olettaman ei näin ollen voida katsoa osoittavan toteen sellaista suostumusta, joka olisi annettu vapaaehtoisesti, yksilöidysti, tietoisesti ja yksiselitteisesti viraston kaltaisen viranomaisen suorittamaan henkilötietojen käsittelyyn.

102

Seuraavaksi on todettava, että lainmukaisuutta koskevat perusteet, joista säädetään 6 artiklan 1 kohdan ensimmäisen alakohdan b ja d alakohdassa ja jotka koskevat henkilötietojen käsittelyä, joka on tarpeen sopimuksen täyttämiseksi (b alakohta) ja luonnollisen henkilön elintärkeiden etujen suojaamiseksi (d alakohta), eivät vaikuta merkityksellisiltä pääasiassa kyseessä olevan henkilötietojen käsittelyn osalta. Sama koskee kyseisen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa säädettyä lainmukaisuutta koskevaa perustetta, joka koskee henkilötietojen käsittelyä, joka on tarpeen rekisterinpitäjän oikeutettujen etujen toteuttamiseksi, koska mainitun 6 artiklan 1 kohdan toisen alakohdan sanamuodosta ilmenee selvästi, ettei henkilötietojen käsittely, jota viranomainen suorittaa tehtäviensä yhteydessä, voi kuulua tämän viimeksi mainitun perusteen soveltamisalaan (ks. vastaavasti tuomio 8.12.2022, Inspektor v Inspektorata kam Visshia sadeben savet (Henkilötietojen käsittelyn tarkoitus – Rikostutkinta), C-180/21, EU:C:2022:967, 85 kohta).

103

Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c ja e alakohdassa tarkoitetuista lainmukaisuutta koskevista perusteista on lopuksi todettava, että kyseisen 6 artiklan 1 kohdan ensimmäisen alakohdan c alakohdan mukaan henkilötietojen käsittely on lainmukaista, jos se on tarpeen rekisterinpitäjän lakisääteisen velvoitteen noudattamiseksi. Lisäksi mainitun 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdan mukaan myös sellainen käsittely on lainmukaista, joka on tarpeen yleistä etua koskevan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen kuuluvan tehtävän suorittamiseksi.

104

Yleisen tietosuoja-asetuksen 6 artiklan 3 kohdassa täsmennetään muun muassa näiden kahden lainmukaisuustilanteen osalta, että käsittelyn on perustuttava unionin oikeuteen tai rekisterinpitäjään sovellettavaan jäsenvaltion lainsäädäntöön ja että tämän oikeusperustan on täytettävä yleisen edun mukainen tavoite ja oltava oikeasuhteinen sillä tavoiteltuun oikeutettuun päämäärään nähden.

105

Ensinnäkin siitä kysymyksestä, onko pääasiassa kyseessä oleva käsittely tarpeen, jotta rekisterinpitäjä voi noudattaa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c alakohdassa tarkoitettua lakisääteistä velvoitettaan, joka perustuu unionin oikeuteen tai rekisterinpitäjään sovellettavaan jäsenvaltion lainsäädäntöön, on todettava – kuten julkisasiamies on todennut ratkaisuehdotuksensa 45 ja 47 kohdassa –, ettei direktiivissä 2017/1132 edellytetä kaikkien sellaisen asiakirjan sisältämien henkilötietojen, jonka julkistaminen on pakollista tämän direktiivin nojalla, systemaattista käsittelyä. Direktiivin 2017/1132 161 artiklasta ilmenee sitä vastoin, että kyseisen direktiivin mukaisen henkilötietojen käsittelyn ja erityisesti tietojen keräämisen, säilyttämisen, kolmansien osapuolten saataville asettamisen ja julkaisemisen tämän direktiivin mukaisesti on täytettävä kaikki yleisestä tietosuoja-asetuksesta johtuvat vaatimukset.

106

Jäsenvaltioiden on näin ollen mainitussa direktiivissä säädettyjä velvoitteita täytäntöönpannessaan varmistettava yhtäältä oikeusvarmuutta ja kolmansien osapuolten etujen suojaamista koskevien tavoitteiden, joita tällä direktiivissä tavoitellaan ja jotka on palautettu mieleen tämän tuomion 77 kohdassa, sekä toisaalta yleisessä tietosuoja-asetuksessa taattujen oikeuksien ja henkilötietojen suojaa koskevan perusoikeuden yhteen sovittaminen saattamalla nämä tavoitteet ja nämä oikeudet keskenään harmoniseen tasapainoon (ks. vastaavasti tuomio 1.8.2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, 98 kohta).

107

Näin ollen ei voida katsoa, että sellaisten henkilötietojen asettaminen internetissä julkisesti saataville kaupparekisterissä, joita ei edellytetä direktiivissä 2017/1132 tai pääasiassa kyseessä olevassa kansallisessa lainsäädännössä ja jotka sisältyvät yhtiösopimukseen, jonka julkistaminen on pakollista kyseisen direktiivin nojalla ja joka toimitetaan virastolle, olisi oikeutettua sen vuoksi, että on tarpeen varmistaa mainitun direktiivin 14 artiklassa tarkoitettujen asiakirjojen julkistaminen tämän direktiivin 16 artiklan mukaisesti, ja että tällaisten henkilötietojen julkisesti saataville asettaminen perustuisi näin ollen unionin oikeudessa säädettyyn lakisääteiseen velvoitteeseen.

108

Pääasiassa kyseessä olevan käsittelyn lainmukaisuus ei vaikuta myöskään – ellei ennakkoratkaisua pyytäneen tuomioistuimen suorittamista selvityksistä muuta johdu – perustuvan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c alakohdassa tarkoitettuun lakisääteiseen velvoitteeseen, josta säädetään rekisterinpitäjään sovellettavassa jäsenvaltion eli nyt käsiteltävässä asiassa Bulgarian lainsäädännössä, koska yhtäältä unionin tuomioistuimen käytettävissä olevasta asiakirja-aineistosta ilmenee, että rekisterilain 2 §:n 2 momentissa säädetään, että kaupparekisteriin merkittävät asiakirjat asetetaan julkisesti saataville ilman henkilötietoja, ”lukuun ottamatta tietoja, jotka on lain nojalla asetettava julkisesti saataville”, ja koska toisaalta mainitun lain 13 §:n 9 momentissa säädetään suostumusta koskevasta olettamasta, joka, kuten tämän tuomion 99 kohdasta ilmenee, ei täytä yleisen tietosuoja-asetuksen vaatimuksia.

109

Toiseksi siitä kysymyksestä, onko pääasiassa kyseessä oleva käsittely tarpeen yleistä etua koskevan tehtävän tai rekisterinpitäjälle kuuluvan julkisen vallan käyttämiseen kuuluvan tehtävän suorittamiseksi yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e alakohdassa, johon viittaavat muun muassa sekä ennakkoratkaisua pyytänyt tuomioistuin että Bulgarian hallitus ja virasto, tarkoitetussa merkityksessä, on todettava, että unionin tuomioistuin on jo katsonut, että viranomaisen toiminta, jossa sellaiset tiedot, jotka yhtiöiden on ilmoitettava lakisääteisten velvoitteiden perusteella, tallennetaan tietokantaan, asianomaisille henkilöille annetaan mahdollisuus tutustua näihin tietoihin ja heille annetaan niistä jäljennöksiä, kuuluu julkisen vallan valtaoikeuksien käyttöön ja on kyseisessä säännöksessä tarkoitettu yleistä etua koskeva tehtävä (ks. vastaavasti tuomio 9.3.2017, Manni, C-398/15, EU:C:2017:197, 43 kohta).

110

Tämän johdosta vaikuttaa tosiaan siltä, että pääasiassa kyseessä oleva käsittely on suoritettu kyseisessä säännöksessä tarkoitetun yleistä etua koskevan tehtävän suorittamisen yhteydessä. Säännöksessä asetettujen edellytysten täyttämiseksi on kuitenkin tarpeen, että tämä käsittely tosiasiallisesti vastaa tavoiteltuihin yleisen edun mukaisiin tavoitteisiin ylittämättä sitä, mikä on tarpeen näiden tavoitteiden saavuttamiseksi (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C-439/19, EU:C:2021:504, 109 kohta).

111

Tämä välttämättömyyden vaatimus ei täyty, jos tavoiteltu yleisen edun mukainen tavoite voidaan kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen perusoikeuksia, erityisesti perusoikeuskirjan 7 ja 8 artiklassa taattuja yksityiselämän kunnioitusta ja henkilötietojen suojaa koskevia oikeuksia, vähemmän rajoittavilla keinoilla, sillä henkilötietojen suojan periaatetta koskevat poikkeukset ja rajoitukset on toteutettava täysin välttämättömän rajoissa (ks. vastaavasti tuomio 22.6.2021, Latvijas Republikas Saeima (Liikennerikkomuspisteet), C-439/19, EU:C:2021:504, 110 kohta oikeuskäytäntöviittauksineen).

112

On kuitenkin niin, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 51 kohdassa – sellaisten henkilötietojen julkisesti saataville asettamista internetiin, joita ei edellytetä direktiivissä 2017/1132 tai kansallisessa lainsäädännössä, ei sellaisenaan voida pitää tarpeellisena tällä direktiivillä tavoiteltujen tavoitteiden toteuttamiseksi.

113

Muiden rekisteröityjen perusoikeuksia vähemmän rajoittavien keinojen olemassaolosta on erityisesti todettava, että pääasiassa kyseessä olevassa kansallisessa lainsäädännössä säädetään, että yhtiön kaupparekisteriin kirjaamista hakevan on toimitettava kyseisen yhtiön yhtiöjärjestystä koskeva jäljennös, josta on poistettu henkilötiedot, joita ei edellytetä, ja joka on tarkoitettu julkistettavaksi tässä rekisterissä siten, että se on kolmansien osapuolten saatavilla; kyseistä jäljennöstä ei nyt käsiteltävässä asiassa koskaan toimitettu virastolle, vaikka se oli pyytänyt sen toimittamista. Bulgarian hallitus ja virasto totesivat kuitenkin, että siinäkään tapauksessa, että kohtuullinen aika on kulunut tai että rekisteröity ei pysty hankkimaan kyseistä kopiota asianomaiselta yhtiöltä tai sen edustajilta, kyseisessä lainsäädännössä ei säädetä siitä, että virasto voisi itse laatia mainitun jäljennöksen, mikä kuitenkin olisi keino, jolla voitaisiin saavuttaa yhtä tehokkaasti yhtiöiden asiakirjojen julkistamisen, oikeusvarmuuden ja kolmansien osapuolten etujen suojaamisen varmistamista koskevat tavoitteet ja joka kuitenkin rajoittaisi vähemmän henkilötietojen suojaa koskevaa oikeutta.

114

On vielä todettava, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 56 kohdassa – toisin kuin useat jäsenvaltiot ovat unionin tuomioistuimelle esittämissään huomautuksissaan väittäneet, vaatimukselle säilyttää yhtiöiden asiakirjojen, joiden julkistaminen on pakollista direktiivin 2017/1132 nojalla, eheys ja luotettavuus, mikä edellyttäisi näiden asiakirjojen julkaisemista sellaisina kuin ne on toimitettu kaupparekisterin pitämisestä vastaavalle viranomaiselle, ei voida antaa systemaattisesti etusijaa henkilötietojen suojaa koskevaan oikeuteen nähden, sillä muutoin tämä suoja jäisi pelkästään näennäiseksi.

115

On erityisesti niin, ettei tämän vaatimuksen nojalla voida edellyttää sitä, että henkilötietoja, joita ei edellytetä direktiivissä 2017/1132 tai kansallisessa lainsäädännössä, säilytetään julkisesti saatavilla internetissä kaupparekisterissä, vaikka virasto olisi voinut – kuten tämän tuomion 113 kohdasta ilmenee – laatia itse asianomaisen yhtiön asiakirjasta jäljennöksen, josta säädetään tässä kansallisessa lainsäädännössä, asettaakseen sen julkisesti saataville.

116

Tästä seuraa, että pääasiassa kyseessä oleva henkilötietojen käsittely näyttää joka tapauksessa ylittävän sen, mikä on tarpeen virastolle mainitussa kansallisessa lainsäädännössä annetun yleistä etua koskevan tehtävän suorittamiseksi.

117

Näin ollen on niin, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 59 kohdassa ja jollei ennakkoratkaisua pyytäneen tuomioistuimen tehtävänä olevista selvityksistä muuta johdu – tällainen käsittely ei vaikuta täyttävän myöskään yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan c ja e alakohdassa, luettuina yhdessä sen 6 artiklan 3 kohdan kanssa, säädettyjä lainmukaisuuden edellytyksiä.

118

Toiseksi pääasiassa kyseessä olevasta yleisen tietosuoja-asetuksen 17 artiklan mukaisesta henkilötietojen poistamista koskevasta pyynnöstä on todettava, että siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin katsoo henkilötietojen käsittelyn lainmukaisuutta koskevan arviointinsa päätteeksi, että kyseinen käsittely ei ole lainmukaista, viraston on rekisterinpitäjän ominaisuudessa, joka ilmenee tämän tuomion 82 ja 83 kohdasta, poistettava yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohdan yksiselitteisen sanamuodon mukaisesti asianomaiset tiedot ilman aiheetonta viivytystä (ks. vastaavasti tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C-26/22 ja C-64/22, EU:C:2023:958, 108 kohta).

119

Vaikka kyseinen tuomioistuin katsoisi sitä vastoin, että käsittely vastaa tosiasiallisesti yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan e alakohdassa säädettyä lainmukaisuutta koskevaa perustetta muun muassa sen johdosta, että henkilötietojen, joita ei edellytetä direktiivissä 2017/1132 tai pääasiassa kyseessä olevassa kansallisessa lainsäädännössä, asettaminen julkisesti saataville internetissä kaupparekisterissä oli tarpeen, jotta voidaan välttää – kolmansien osapuolten intressien suojaamiseksi – viivästymiset asianomaisen yhtiön rekisteriin kirjaamisessa, on todettava, että yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c alakohtaa on sovellettava.

120

Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c alakohdasta, luettuna yhdessä sen 21 artiklan 1 kohdan kanssa, seuraa, että rekisteröidyllä on oikeus vastustaa käsittelyä ja oikeus tietojen poistamiseen, ellei ole olemassa tässä 21 artiklan 1 kohdassa tarkoitettuja ensisijaisia perusteltuja syitä, jotka syrjäyttävät tämän henkilön edut, oikeudet ja vapaudet, mikä rekisterinpitäjän on näytettävä toteen (ks. vastaavasti tuomio 7.12.2023, SCHUFA Holding (Jäännösveloista vapauttaminen), C-26/22 ja C-64/22, EU:C:2023:958, 111 kohta).

121

Pääasiassa kyseessä olevan kaltaisessa tilanteessa ei kuitenkaan vaikuta olevan tämän säännöksen mukaista ensisijaista perusteltua syytä, joka voisi olla esteenä tällaiselle henkilötietojen poistamista koskevalle pyynnölle.

122

Ennakkoratkaisupyynnöstä ilmenee näet yhtäältä, että yhtiö, jonka osakas OL on, on jo kirjattu kaupparekisteriin.

123

Toisaalta on niin, että – kuten tämän tuomion 115 kohdassa on todettu – yhtiöiden asiakirjojen, joiden julkistaminen on pakollista direktiivin 2017/1132 nojalla, eheyden ja luotettavuuden säilyttämistä koskevan vaatimuksen nojalla ei voida edellyttää sitä, että henkilötiedot, joita ei edellytetä direktiivissä 2017/1132 tai kansallisessa lainsäädännössä, säilytetään julkisesti saatavilla internetissä kyseisessä rekisterissä.

124

Lopuksi on niin, että vaikka ennakkoratkaisua pyytänyt tuomioistuin päättelisikin, että pääasiassa kyseessä oleva henkilötietojen käsittely vastaa tosiasiallisesti yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan c alakohdassa säädettyä lainmukaisuutta koskevaa perustetta, on korostettava, että yleisessä tietosuoja-asetuksessa ja etenkin sen 17 artiklan 3 kohdan b alakohdassa vahvistetaan nimenomaisesti vaatimus, jonka mukaan on punnittava keskenään yhtäältä perusoikeuskirjan 7 ja 8 artiklassa vahvistettuja yksityiselämän kunnioittamista ja henkilötietojen suojaa koskevia perusoikeuksia ja toisaalta oikeutettuja päämääriä, joita tavoitellaan unionin oikeudella tai jäsenvaltioiden lainsäädännöllä, joihin perustuu lakisääteinen velvoite, jonka noudattamiseksi henkilötietojen käsittely on tarpeen (ks. analogisesti tuomio 8.12.2022, Google (Väitetysti virheellisen sisällön poistaminen hakutulosten luettelosta), C-460/20, EU:C:2022:962, 58 kohta oikeuskäytäntöviittauksineen).

125

Kuten unionin tuomioistuin on jo todennut, pääsyn antaminen henkilötietoihin, joiden julkistaminen on pakollista unionin oikeuden nojalla, ainoastaan sellaisille kolmansille osapuolille, joilla on erityinen intressi, voi tapauskohtaisesti olla oikeutettua rekisteröityjen tilanteeseen liittyvien huomattavan tärkeiden ja perusteltujen syiden vuoksi (ks. vastaavasti tuomio 9.3.2017, Manni, C-398/15, EU:C:2017:197, 60 kohta).

126

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 67 kohdassa, näin on oltava entistäkin suuremmalla syyllä silloin kun – kuten nyt käsiteltävässä asiassa – kyseisiä henkilötietoja ei edellytetä direktiivissä 2017/1132 eikä kansallisessa lainsäädännössä.

127

Näiden seikkojen perusteella neljänteen kysymykseen on vastattava, että direktiiviä 2017/1132 ja erityisesti sen 16 artiklaa ja yleisen tietosuoja-asetuksen 17 artiklaa on tulkittava siten, että ne ovat esteenä jäsenvaltion säännöstölle tai käytännölle, jonka seurauksena kyseisen jäsenvaltion kaupparekisterin pitämisestä vastaava viranomainen hylkää kaikki sellaisten henkilötietojen poistamista koskevat pyynnöt, joita ei edellytetä tässä direktiivissä tai mainitun jäsenvaltion kansallisessa lainsäädännössä ja jotka sisältyvät mainitussa rekisterissä julkaistuun yhtiösopimukseen, kun tälle viranomaiselle ei ole toimitettu – mainitussa säännöstössä säädettyjen menettelysääntöjen vastaisesti – jäljennöstä tästä sopimuksesta, josta on poistettu nämä tiedot.

128

Ennakkoratkaisua pyytänyt tuomioistuin kysyy kuudennella kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 4 artiklan 1 alakohtaa tulkittava siten, että luonnollisen henkilön omakätinen allekirjoitus kuuluu kyseisessä säännöksessä tarkoitetun henkilötietojen käsitteen alaan.

129

Mainitussa säännöksessä säädetään, että henkilötiedoilla tarkoitetaan ”kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja”, ja täsmennetään, että ”tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa erityisesti tunnistetietojen, kuten nimen, henkilötunnuksen, sijaintitiedon, verkkotunnistetietojen taikka yhden tai useamman hänelle tunnusomaisen fyysisen, fysiologisen, geneettisen, psyykkisen, taloudellisen, kulttuurillisen tai sosiaalisen tekijän perusteella”.

130

Unionin tuomioistuin on tältä osin jo katsonut, että ilmaisun ”kaikki tiedot” käyttäminen kyseiseen säännökseen sisältyvässä henkilötietojen määritelmässä heijastaa unionin lainsäätäjän pyrkimystä antaa laaja merkitys tälle käsitteelle, joka voi kattaa kaikenlaiset tiedot, sekä objektiiviset että subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, edellyttäen, että ne ”koskevat” kyseessä olevaa henkilöä (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 23 kohta).

131

Tieto koskee tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, kun tieto liittyy tunnistettavissa olevaan henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 24 kohta).

132

Luonnollisen henkilön tunnistettavuuden osalta yleisen tietosuoja-asetuksen johdanto-osan 26 perustelukappaleessa täsmennetään, että on otettava huomioon ”kaikki keinot, joita joko rekisterinpitäjä tai muu henkilö voi kohtuullisen todennäköisesti käyttää mainitun luonnollisen henkilön tunnistamiseen suoraan tai välillisesti, kuten kyseisen henkilön erottaminen muista”.

133

Tästä seuraa, että henkilötietojen käsitteen laaja määritelmä kattaa paitsi rekisterinpitäjän keräämät ja säilyttämät tiedot myös kaikki henkilötietojen käsittelystä saadut tiedot, jotka koskevat tunnistettua tai tunnistettavissa olevaa henkilöä (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C-487/21, EU:C:2023:369, 26 kohta).

134

Unionin tuomioistuimen oikeuskäytännöstä seuraa myös, että luonnollisen henkilön käsiala on kyseistä henkilöä koskeva tieto (ks. vastaavasti tuomio 20.12.2017, Nowak, C-434/16, EU:C:2017:994, 37 kohta).

135

Lopuksi on todettava, että luonnollisen henkilön omakätistä allekirjoitusta käytetään yleisesti kyseisen henkilön tunnistamiseen, todistusvoiman antamiseen allekirjoitetuille asiakirjoille niiden täsmällisyyden ja todenmukaisuuden osalta tai tällaisista asiakirjoista vastuun ottamiseen. Vaikuttaa lisäksi siltä, että kyseessä olevaan yhtiösopimukseen merkittyjen osakkaiden allekirjoitusten yhteyteen on merkitty myös heidän nimensä.

136

Edellä esitetyn perusteella kuudenteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 4 artiklan 1 alakohtaa on tulkittava siten, että luonnollisen henkilön omakätinen allekirjoitus kuuluu kyseisessä säännöksessä tarkoitetun henkilötietojen käsitteen alaan.

137

Ennakkoratkaisua pyytänyt tuomioistuin kysyy seitsemännellä kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa tulkittava siten, että se, että rekisteröity menettää henkilötietojensa hallitsemiskyvyn rajoitetuksi ajaksi sen johdosta, että nämä henkilötiedot on asetettu julkisesti saataville internetissä jäsenvaltion kaupparekisterissä, voi riittää aiheuttamaan aineetonta vahinkoa, vai edellyttääkö tämä aineettoman vahingon käsite sitä, että osoitetaan merkittävien kielteisten lisäseurausten aiheutuminen.

138

Aluksi on muistutettava, että kyseisessä säännöksessä säädetään, että ”jos henkilölle aiheutuu [yleisen tietosuoja-asetuksen] rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta.”

139

Tältä osin on niin, että koska yleisessä tietosuoja-asetuksessa ei viitata jäsenvaltioiden oikeuteen kyseisessä säännöksessä olevien ilmaisujen, kuten käsitteet ”aineellinen tai aineeton vahinko” ja ”korvaus aiheutuneesta vahingosta”, merkityksen ja ulottuvuuden osalta, näitä ilmaisuja on mainittua asetusta sovellettaessa pidettävä unionin oikeuden itsenäisinä käsitteinä, joita on tulkittava yhtenäisesti kaikissa jäsenvaltioissa (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C-300/21, EU:C:2023:370, 30 kohta).

140

Yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa on tätä varten tulkittava siten, että pelkkä kyseisen asetuksen rikkominen ei riitä antamaan oikeutta korvauksen saamiseen, koska aiheutuneen aineellisen tai aineettoman vahingon olemassaolo on yksi tämän 82 artiklan 1 kohdassa säädetyn korvauksen saamista koskevan oikeuden kolmesta kumulatiivisesta edellytyksestä samoin kuin ne, että kyseistä asetusta on rikottu ja että vahingon ja rikkomisen välillä on syy-yhteys (tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C-300/21, EU:C:2023:370, 32 kohta ja tuomio 11.4.2024, juris, C-741/21, EU:C:2024:288, 34 kohta).

141

Näin ollen henkilön, joka vaatii korvausta aineettomasta vahingosta tämän säännöksen perusteella, on näytettävä toteen paitsi kyseisen asetuksen säännösten rikkominen myös se, että tästä rikkomisesta on aiheutunut hänelle tällaista vahinkoa. Tällaista vahinkoa ei siis voida olettaa pelkästään siitä syystä, että näitä säännöksiä on rikottu (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C-300/21, EU:C:2023:370, 42 ja 50 kohta ja tuomio 11.4.2024, juris, C-741/21, EU:C:2024:288, 35 kohta).

142

On erityisesti niin, että henkilöllä, jota yleisen tietosuoja-asetuksen sellainen rikkominen koskee, jolla on ollut hänen kannaltaan kielteisiä seurauksia, on velvollisuus osoittaa, että nämä seuraukset muodostavat kyseisen asetuksen 82 artiklassa tarkoitetun aineettoman vahingon, koska pelkkä kyseisen asetuksen säännösten rikkominen ei riitä antamaan oikeutta korvauksen saamiseen (tuomio 25.1.2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, 60 kohta oikeuskäytäntöviittauksineen).

143

Näin ollen silloin, kun henkilö, joka vaatii korvausta tämän 82 artiklan 1 kohdan perusteella, vetoaa pelkoonsa siitä, että hänen henkilötietojaan käytetään tulevaisuudessa väärin tällaisen rikkomisen tähden, asiaa käsittelevän kansallisen tuomioistuimen on selvitettävä, että tämä pelko voidaan asiaan liittyvissä erityisissä olosuhteissa ja rekisteröidyn kannalta katsoa perustelluksi (tuomio 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, 85 kohta).

144

Unionin tuomioistuin on kuitenkin jo katsonut, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan sanamuodosta, luettuna yhdessä tämän asetuksen johdanto-osan 85 ja 146 perustelukappaleen kanssa, joiden mukaan tässä artiklassa tarkoitettua aineettoman vahingon käsitettä olisi tulkittava laajasti, mutta myös asetuksella tavoitellusta luonnollisten henkilöiden korkeatasoisen suojelun tavoitteesta henkilötietojen käsittelyssä seuraa, että rekisteröidylle kyseisen asetuksen rikkomisesta aiheutuva pelko siitä, että kolmannet osapuolet käyttävät mahdollisesti väärin hänen henkilötietojaan, voi sellaisenaan olla tässä 82 artiklan 1 kohdassa tarkoitettua aineetonta vahinkoa (tuomio 20.6.2024, PS (Väärä osoite), C-590/22, EU:C:2024:536, 32 kohta oikeuskäytäntöviittauksineen).

145

On erityisesti niin, että yleisen tietosuoja-asetuksen johdanto-osan 85 perustelukappaleen ensimmäisessä virkkeessä olevasta havainnollistavasta luettelosta, joka koskee vahinkoja, jotka voivat aiheutua rekisteröidyille, ilmenee, että unionin lainsäätäjä on tarkoittanut sisällyttää käsitteeseen ”vahinko”, joka voi aiheutua rekisteröidyille, muun muassa jo pelkän heidän omien henkilötietojen hallitsemiskyvyn menettämisen tämän asetuksen rikkomisen seurauksena, vaikka kyseessä olevia henkilötietoja ei olisikaan konkreettisesti käytetty väärin (ks. vastaavasti tuomio 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, 82 kohta).

146

Lisäksi sellainen yleisen tietosuoja-asetuksen 82 artiklan 1 kohdan tulkinta, jonka mukaan kyseisessä säännöksessä tarkoitettu aineettoman vahingon käsite ei kata tilanteita, joissa rekisteröity vetoaa pelkästään pelkoonsa siitä, että kolmannet osapuolet käyttävät tulevaisuudessa väärin hänen henkilötietojaan, ei olisi korkeatasoista luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä unionissa koskevan takuun, jota tässä säännöksessä tavoitellaan, mukainen (ks. vastaavasti tuomio 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, 83 kohta).

147

Tätä käsitettä ei myöskään voida rajata koskemaan ainoastaan vakavuudeltaan tietynasteisia vahinkoja, erityisesti sen ajanjakson pituuden osalta, jona rekisteröidyt ovat kärsineet kyseisen asetuksen rikkomisen kielteisistä seurauksista (ks. vastaavasti tuomio 14.12.2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, 16 ja 19 kohta oikeuskäytäntöviittauksineen).

148

Näin ollen ei voida katsoa, että tämän tuomion 140 kohdassa mainitun kolmen edellytyksen lisäksi voitaisiin ottaa huomioon muita edellytyksiä yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa säädetyn vastuun syntymiselle, kuten vahingon konkreettisuus tai haitan objektiivisuus (tuomio 14.12.2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, 17 kohta oikeuskäytäntöviittauksineen).

149

Tässä säännöksessä ei edellytetä myöskään, että tämän asetuksen säännösten toteen näytetyn rikkomisen johdosta aiheutuneen aineettoman vahingon, johon rekisteröity vetoaa, on ylitettävä tietty vähimmäismäärä, jotta vahinko voidaan korvata (ks. vastaavasti tuomio 14.12.2003, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, 18 kohta).

150

Näin ollen on niin, että vaikka mikään ei estä sitä, että henkilötietojen julkaiseminen internetissä ja tästä seurannut niitä koskevan hallitsemiskyvyn menettäminen lyhytaikaisesti voi aiheuttaa rekisteröidyille yleisen tietosuoja-asetuksen 82 artiklan 1 kohdassa tarkoitetun aineettoman vahingon, johon liittyy oikeus saada korvaus, näiden rekisteröityjen on lisäksi osoitettava, että heille on tosiasiallisesti aiheutunut tällainen vahinko, vaikka se olisikin vähäinen (ks. vastaavasti tuomio 14.12.2003, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, 22 kohta ja tuomio 11.4.2024, juris, C-741/21, EU:C:2024:288, 42 kohta).

151

Lopuksi on täsmennettävä, että korvauksen saamista aineettomasta vahingosta koskevan oikeuden nojalla maksettavan vahingonkorvauksen määrää määritettäessä henkilötietojen tietoturvaloukkauksesta aiheutuva aineeton vahinko ei ole luonteeltaan vähemmän tärkeä kuin ruumiinvamma (tuomio 20.6.2024, Scalable Capital, C-182/22 ja C-189/22, EU:C:2024:531, 39 kohta).

152

Lisäksi on niin, että kun henkilö onnistuu näyttämään, että yleisen tietosuoja-asetuksen rikkominen on aiheuttanut hänelle kyseisen asetuksen 82 artiklassa tarkoitettua vahinkoa, vahingonkorvauksen, joka määrätään maksettavaksi sellaisten kanteiden yhteydessä, joilla pyritään turvaamaan yksityisten kyseiseen artiklaan perustuvat oikeudet, arviointiperusteet on vahvistettava jokaisen jäsenvaltion sisäisessä oikeusjärjestyksessä siten, että tällaisen vahingonkorvauksen on oltava täysi ja tosiasiallinen (ks. vastaavasti tuomio 20.6.2024, Scalable Capital, C-182/22 ja C-189/22, EU:C:2024:531, 43 kohta).

153

Tältä osin on todettava, että kyseisen 82 artiklan 1 kohdan mukaisella oikeudella korvauksen saamiseen on etenkin aineettoman vahingon tapauksessa yksinomaan vahingonkorvaustehtävä siltä osin kuin tähän säännökseen perustuvalla rahamääräisellä korvauksella on voitava korvata kyseisen asetuksen rikkomisesta konkreettisesti aiheutunut vahinko täysimääräisesti, eikä sillä ole varoittavaa tai rankaisevaa tehtävää (ks. vastaavasti tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C-300/21, EU:C:2023:370, 57 ja 58 kohta sekä tuomio 11.4.2024, juris, C-741/21, EU:C:2024:288, 61 kohta).

154

Lisäksi on todettava yhtäältä, että yleisen tietosuoja-asetuksen 82 artiklaan perustuvan rekisterinpitäjän korvausvastuun syntymisen edellytyksenä on sen tuottamus, joka on olettamana, ellei rekisterinpitäjä osoita, etteise ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta, ja toisaalta, että kyseisessä 82 artiklassa ei edellytetä, että tämän tuottamuksen vakavuusaste otetaan huomioon määritettäessä tämän artiklan perusteella aineettomasta vahingosta maksettavan korvauksen määrää (tuomio 21.12.2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, 103 kohta ja tuomio 25.1.2024, MediaMarktSaturn, C-687/21, EU:C:2024:72, 52 kohta).

155

Nyt käsiteltävässä asiassa ennakkoratkaisua pyytänyt tuomioistuin täsmensi Administrativen sad Dobrichin todenneen – kuten tämän tuomion 42 kohdassa on tuotu esille – aineettoman vahingon olemassaolon; tämä vahinko koostui OL:lle aiheutuneista negatiivisista psykologisista ja emotionaalisista kokemuksista eli mahdollisia väärinkäytöksiä koskevasta pelosta ja huolestuneisuudesta sekä voimattomuuden ja pettymyksen tunteesta sen johdosta, ettei hän pystynyt suojaamaan henkilötietojaan. Administrativen sad Dobrich katsoi myös tämän vahingon johtuneen viraston 26.1.2022 lähettämästä kirjeestä, jolla kyseisen tuomioistuimen mukaan loukattiin yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan mukaista oikeutta tietojen poistamiseen ja joka sen mukaan johti julkisesti saataville asetettuun kyseessä olevaan yhtiösopimukseen sisältyvien OL:n henkilötietojen lainvastaiseen käsittelyyn.

156

Edellä esitetyn perusteella seitsemänteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 82 artiklan 1 kohtaa on tulkittava siten, että se, että rekisteröity menettää henkilötietojensa hallitsemiskyvyn rajoitetuksi ajaksi sen johdosta, että nämä henkilötiedot on asetettu julkisesti saataville internetissä jäsenvaltion kaupparekisterissä, voi riittää aiheuttamaan aineetonta vahinkoa, kunhan mainittu rekisteröity osoittaa, että hänelle on tosiasiallisesti aiheutunut tällainen vahinko, vaikka se olisikin vähäinen, eikä aineettoman vahingon käsite edellytä sitä, että osoitetaan merkittävien kielteisten lisäseurausten aiheutuminen.

157

Ennakkoratkaisua pyytänyt tuomioistuin kysyy kahdeksannella kysymyksellään pääasiallisesti, onko yleisen tietosuoja-asetuksen 82 artiklan 3 kohtaa tulkittava siten, että jäsenvaltion valvontaviranomaisen kyseisen asetuksen 58 artiklan 3 kohdan b alakohdan nojalla antama lausunto riittää vapauttamaan kyseisen jäsenvaltion kaupparekisterin pitämisestä vastaavan viranomaisen, joka on mainitun asetuksen 4 artiklan 7 alakohdassa tarkoitettu rekisterinpitäjä, tämän asetuksen 82 artiklan 2 kohdan mukaisesta vastuustaan.

158

Ensinnäkin yleisen tietosuoja-asetuksen 82 artiklassa säädetystä vastuujärjestelmästä on muistutettava, että kyseisen artiklan 1 kohdassa säädetään, että jos henkilölle aiheutuu kyseisen asetuksen rikkomisesta aineellista tai aineetonta vahinkoa, hänellä on oikeus saada rekisterinpitäjältä tai henkilötietojen käsittelijältä korvaus aiheutuneesta vahingosta. Kuten tämän tuomion 140 kohdasta ilmenee, tämä oikeus korvaukseen edellyttää kolmen kumulatiivisen edellytyksen täyttymistä.

159

Kyseisen asetuksen 82 artiklan 2 kohdan ensimmäisen virkkeen mukaan kukin tietojenkäsittelyyn osallistunut rekisterinpitäjä on vastuussa vahingosta, joka on aiheutunut käsittelystä, jolla on rikottu tätä asetusta. Tässä säännöksessä, jossa täsmennetään vastuuta, josta säädetään periaatteellisesti kyseisen artiklan 1 kohdassa, koskevaa järjestelmää, toistetaan korvauksen saamista koskevan oikeuden syntymisen kolme välttämätöntä edellytystä eli henkilötietojen käsittely yleisen tietosuoja-asetuksen säännösten vastaisesti, rekisteröidylle aiheutunut vahinko sekä syy-yhteys lainvastaisen käsittelyn ja vahingon välillä (tuomio 4.5.2023, Österreichische Post (Henkilötietojen käsittelyyn liittyvä aineeton vahinko), C-300/21, EU:C:2023:370, 36 kohta).

160

Yleisen tietosuoja-asetuksen 82 artiklan 3 kohdassa puolestaan todetaan, että rekisterinpitäjä on vapautettava vastuusta mainitun 2 kohdan nojalla, jos se osoittaa, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta.

161

Kuten unionin tuomioistuin on jo katsonut, yleisen tietosuoja-asetuksen 82 artiklan 1–3 kohdan tarkastelusta yhdessä, kyseisen artiklan asiayhteydestä ja unionin lainsäätäjän tällä asetuksella tavoittelemista päämääristä ilmenee, että tässä artiklassa säädetään tuottamukseen perustuvan vastuun järjestelmästä, jossa todistustaakka ei ole vahingon kärsineellä henkilöllä vaan rekisterinpitäjällä (ks. vastaavasti tuomio 21.12.2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, 94 ja 95 kohta).

162

On erityisesti niin, ettei olisi sen tavoitteen mukaista, että taataan korkeatasoinen luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä, hyväksyä tulkintaa, jonka mukaan rekisteröityjen, joille on aiheutunut vahinkoa yleisen tietosuoja-asetuksen rikkomisesta, olisi tämän asetuksen 82 artiklaan perustuvan korvauskanteen yhteydessä kannettava todistustaakka paitsi tämän rikkomisen olemassaolosta ja siitä heille aiheutuneesta vahingosta myös rekisterinpitäjän tahalliseen tai huolimattomaan toimintaan perustuvasta tuottamuksesta tai jopa tämän tuottamuksen vakavuudesta, vaikka tässä 82 artiklassa ei esitetä tällaisia vaatimuksia (ks. vastaavasti tuomio 21.12.2023, Krankenversicherung Nordrhein, C-667/21, EU:C:2023:1022, 99 kohta).

163

Tämän tuomion 154 kohdassa mainitun oikeuskäytännön mukaisesti kyseiseen 82 artiklaan perustuvan rekisterinpitäjän korvausvastuun syntymisen edellytyksenä on täten sen tuottamus, joka on olettamana, ellei rekisterinpitäjä osoita, ettei se ole millään tavoin vastuussa vahingon aiheuttaneesta tapahtumasta.

164

Tältä osin on todettava, että kuten adverbin ”millään tavoin” nimenomainen lisääminen lainsäädäntömenettelyn aikana osoittaa, olosuhteet, joissa rekisterinpitäjä voi vaatia vapauttamistaan siihen yleisen tietosuoja-asetuksen 82 artiklan nojalla kohdistuvasta siviilioikeudellisesta vastuusta, on rajoitettava yksinomaan olosuhteisiin, joissa mainittu rekisterinpitäjä voi osoittaa, että se ei ole vastuussa vahingosta (tuomio 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, 70 kohta).

165

Unionin tuomioistuin on myös katsonut, että kun henkilötietojen tietoturvaloukkauksen on tehnyt kolmas osapuoli – kuten verkkorikollinen – tai rekisterinpitäjän alaisuudessa toimiva henkilö, rekisterinpitäjä voi yleisen tietosuoja-asetuksen 82 artiklan 3 kohdan nojalla vapautua vastuustaan ainoastaan osoittamalla, ettei sillä kyseisen asetuksen nojalla olevan henkilötietojen suojeluvelvollisuuden mahdollisen loukkauksen ja kyseisen luonnollisen henkilön kärsimän vahingon välillä ole minkäänlaista syy-yhteyttä (ks. vastaavasti tuomio 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, 72 kohta ja tuomio 11.4.2024, juris, C-741/21, EU:C:2024:288, 51 kohta).

166

Jotta rekisterinpitäjä voisi vapautua vastuusta tämän 82 artiklan 3 kohdan nojalla, ei siis riitä, että se osoittaa antaneensa kyseisessä asetuksessa tarkoitetuille alaisuudessaan toimiville henkilöille ohjeita ja että yksi näistä henkilöistä on laiminlyönyt velvollisuutensa noudattaa näitä ohjeita siten, että hän on myötävaikuttanut kyseessä olevan vahingon syntymiseen (ks. vastaavasti tuomio 11.4.2024, juris, C-741/21, EU:C:2024:288, 52 kohta).

167

Todistuskeinoja koskevista säännöistä on toiseksi muistutettava, ettei yleisessä tietosuoja-asetuksessa säädetä todistuskeinon hyväksymistä ja todistusarvoa koskevista säännöistä, joita sellaisten kansallisten tuomioistuinten on sovellettava, joissa on nostettu vahingonkorvauskanne kyseisen asetuksen 82 artiklan nojalla. Asiaa koskevien unionin sääntöjen puuttuessa jokaisen jäsenvaltion sisäisessä oikeusjärjestyksessä on siten vahvistettava kanteita, joilla pyritään turvaamaan yksityisten kyseiseen 82 artiklaan perustuvat oikeudet, koskevat yksityiskohtaiset säännöt ja erityisesti todistuskeinoja koskevat säännöt sillä edellytyksellä, että vastaavuus- ja tehokkuusperiaatteita noudatetaan (ks. vastaavasti tuomio 14.12.2023, Natsionalna agentsia za prihodite, C-340/21, EU:C:2023:986, 60 kohta oikeuskäytäntöviittauksineen).

168

Yleisen tietosuoja-asetuksen 58 artiklan 3 kohdan b alakohdan nojalla annetusta lausunnosta on kolmanneksi todettava, että kyseisessä artiklassa vahvistetaan valvontaviranomaisen valtuudet.

169

Näille viranomaisille annetaan siten yleisen tietosuoja-asetuksen 58 artiklan 1 kohdassa tutkintavaltuudet, sen 2 kohdassa korjaavat toimivaltuudet, sen 3 kohdassa siinä luetteloidut hyväksymis- ja neuvontavaltuudet ja sen 5 kohdassa valtuudet saattaa kyseisen asetuksen rikkomiset lainkäyttöviranomaisten tietoon ja tarvittaessa panna vireille oikeustoimet kyseisen asetuksen säännösten täytäntöönpanemiseksi.

170

Yleisen tietosuoja-asetuksen 58 artiklan 3 kohdassa luetteloitujen valtuuksien joukossa on kyseisen 58 artiklan 3 kohdan b alakohtaan sisältyvä valtuus ”antaa omasta aloitteestaan tai pyynnöstä lausuntoja kansalliselle parlamentille, jäsenvaltion hallitukselle tai jäsenvaltion lainsäädännön mukaisesti muille toimielimille ja elimille sekä yleisölle kaikista henkilötietojen suojaan liittyvistä kysymyksistä”.

171

Kyseisen asetuksen 58 artiklan 3 kohdan b alakohdan sanamuodosta ja erityisesti ilmaisusta ”lausunto” ilmenee selvästi, että tällaisen lausunnon antaminen kuuluu valvontaviranomaisen neuvontavaltuuksien eikä sen hyväksymisvaltuuksien piiriin.

172

Ilmaisujen ”lausunto” ja ”neuvontavaltuudet” käyttäminen osoittaa myös sen, että yleisen tietosuoja-asetuksen 58 artiklan 3 kohdan b alakohdan nojalla annettu lausunto ei ole unionin oikeuden mukaan oikeudellisesti sitova.

173

Yleisen tietosuoja-asetuksen johdanto-osan 143 perustelukappale vahvistaa tämän tulkinnan. Siinä näet todetaan, että ”jokaisella luonnollisella henkilöllä tai oikeushenkilöllä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia – –. Tällaiset päätökset koskevat etenkin valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai valitusten käsittelemättä jättämistä tai hylkäämistä. Tämä oikeus tehokkaisiin oikeussuojakeinoihin ei kuitenkaan koske valvontaviranomaisten toimenpiteitä, jotka eivät ole oikeudellisesti sitovia, kuten valvontaviranomaisen antamia lausuntoja tai neuvoja.”

174

Koska rekisterinpitäjälle annettu lausunto ei ole oikeudellisesti sitova, tällä lausunnolla sellaisenaan ei voida osoittaa tämän tuomion 164 kohdan mukaisesti, että rekisterinpitäjä ei ole vastuussa vahingosta, eikä tällainen lausunto näin ollen riitä vapauttamaan mainittua rekisterinpitäjää yleisen tietosuoja-asetuksen 82 artiklan 3 kohdan mukaisesta vastuustaan.

175

Tällainen kyseisen 82 artiklan 3 kohdan tulkinta on niin ikään yleisellä tietosuoja-asetuksella tavoiteltujen tavoitteiden – eli korkeatasoisen luonnollisten henkilöiden suojelun varmistaminen heidän henkilötietojensa käsittelyssä ja tosiasiallisen korvauksen takaaminen vahingoista, joita luonnollisille henkilöille voi aiheutua näiden tietojen käsittelystä, jossa on rikottu tätä asetusta – mukainen. On näet niin, että jos rekisterinpitäjälle riittäisi vastuun ja vastaavasti korvausvelvollisuuden välttämiseksi sellaiseen lausuntoon vetoaminen, joka ei ole oikeudellisesti sitova, sillä ei olisi minkäänlaista kannustinta tehdä kaikkensa mainitun korkeatasoisen suojelun varmistamiseksi ja kyseisessä asetuksessa asetettujen velvoitteiden noudattamiseksi.

176

Edellä esitetyn perusteella kahdeksanteen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 82 artiklan 3 kohtaa on tulkittava siten, että jäsenvaltion valvontaviranomaisen kyseisen asetuksen 58 artiklan 3 kohdan b alakohdan nojalla antama lausunto ei riitä vapauttamaan kyseisen jäsenvaltion kaupparekisterin pitämisestä vastaavaa viranomaista, joka on mainitun asetuksen 4 artiklan 7 alakohdassa tarkoitettu rekisterinpitäjä, tämän asetuksen 82 artiklan 2 kohdan mukaisesta vastuustaan.

177

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti: