–

za Agenciju po vpisvanijata, I. D. Ivanov i D. S. Miteva, uz asistenciju Z. N. Mandazhieva, advokat,

–

osoba OL, osobno, uz asistenciju I. Stoynev i T. Tsonev, advokati,

–

za bugarsku vladu, T. Mitova i R. Stoyanov, u svojstvu agenata,

–

za njemačku vladu, J. Möller i P.-L. Krüger, u svojstvu agenata,

–

za Irsku, M. Browne, Chief State Solicitor, A. Joyce, M. Lane i M. Tierney, u svojstvu agenata, uz asistenciju I. Boylea Harpera, BL,

–

za talijansku vladu, G. Palmieri, u svojstvu agenta, uz asistenciju G. Natale, avvocato dello Stato,

–

za poljsku vladu, B. Majczyna, u svojstvu agenta,

–

za finsku vladu, A. Laine, u svojstvu agenta,

–

za Europsku komisiju, A. Bouchagiar, C. Georgieva, H. Kranenborg i L. Malferrari, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članaka 3. i 4. Direktive 2009/101/EZ Europskog parlamenta i Vijeća od 16. rujna 2009. o usklađivanju zaštitnih mjera koje, radi zaštite interesa članova i trećih strana, države članice zahtijevaju za trgovačka društva u smislu članka 48. stavka 2. [UEZ‑a], s ciljem izjednačavanja takvih zaštitnih mjera (SL 2009., L 258, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 17., svezak 1., str. 275.) te članaka 4., 6., 17., 58. i 82. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).

2

Zahtjev je upućen u okviru spora između Agencije po vpisvanijata (Agencija za upise u registre, Bugarska) (u daljnjem tekstu: Agencija) i osobe OL u pogledu odbijanja te agencije da izbriše određene osobne podatke koji se odnose na osobu OL u društvenom ugovoru koji je objavljen u trgovačkom registru.

3

Direktivom (EU) 2017/1132 Europskog parlamenta i Vijeća od 14. lipnja 2017. o određenim aspektima prava društava (SL 2017., L 169, str. 46.) stavljena je izvan snage i zamijenjena Direktiva 2009/101, i to od dana njezina stupanja na snagu, odnosno 20. srpnja 2017.

4

U uvodnim izjavama 1., 7., 8. i 12. Direktive 2017/1132 navodi se:

[…]

[…]

5

U odjeljku 1. poglavlja II. glave I. Direktive 2017/1132, naslovljenom „Osnivanje dioničkog društva”, člankom 4. te direktive, naslovljenim „Obvezne informacije koje se moraju navesti u statutu ili aktu o osnivanju ili u zasebnim dokumentima”, određuje se:

„U statutu ili u aktu o osnivanju ili u zasebnom dokumentu koji je objavljen u skladu s postupkom utvrđenim u zakonodavstvu svake države članice u skladu s člankom 16. navode se barem sljedeće informacije:

[…]

[…]”

6

Odjeljak 1. poglavlja III. glave I. navedene direktive, naslovljen „Opće odredbe”, sadržava članke 13. do 28.

7

U skladu s člankom 13. iste direktive, naslovljenim „Područje primjene”:

„Mjere koordiniranja propisane ovim odjeljkom primjenjuju se na zakone i druge propise država članica koji se odnose na vrste društava navedene u Prilogu II.”

8

U članku 14. Direktive 2017/1132, naslovljenom „Dokumenti i podaci koje trgovačka društva moraju objavljivati”, određuje se:

„Države članice poduzimaju mjere potrebne za osiguranje obveznog objavljivanja barem sljedećih dokumenata i podataka od strane trgovačkih društava:

[…]”

9

Člankom 15. stavkom 1. te direktive, naslovljenim „Promjene u dokumentima i podacima”, predviđa se:

„Države članice poduzimaju potrebne mjere kako bi osigurale da se sve promjene u dokumentima i podacima iz članka 14. unesu u odgovarajući registar iz članka 16. stavka 1. prvog podstavka te da se u skladu s člankom 16. stavcima 3. i 5. objave uobičajeno u roku od 21 dana od primitka potpune dokumentacije o tim promjenama, uključujući, prema potrebi, provjeru zakonitosti koja je prema nacionalnom pravu predviđena za upis u spis.”

10

U skladu s člankom 16. navedene direktive, naslovljenim „Objavljivanje u registru”:

„1.   U svakoj državi članici otvara se spis u središnjem registru, trgovačkom registru ili registru trgovačkih društava (‚registar’) za svako trgovačko društvo koje se u njoj registrira.

[…]

3.   Svi dokumenti i podaci koji se moraju objaviti na temelju članka 14. čuvaju se u spisu ili se unose u registar; predmet unosâ u registar mora u svakom slučaju biti vidljiv u spisu.

Države članice osiguravaju da trgovačka društva i druge osobe i tijela od kojih se zahtijeva da objavljuju ili pomažu u objavljivanju svih dokumenata i podataka koji se moraju objaviti na temelju članka 14., te dokumente i podatke mogu predati elektroničkim putem. Osim toga, države članice mogu zahtijevati od svih ili od određenih kategorija trgovačkih društava da sve ili određene vrste takvih dokumenata i podataka predaju elektroničkim putem.

Svi dokumenti i podaci iz članka 14. koji su predani, bilo u papirnatom obliku ili elektroničkim putem, čuvaju se u spisu ili se unose u registar u elektroničkom obliku. U tu svrhu države članice osiguravaju da sve takve dokumente i podatke koji su predani u papirnatom obliku registar pretvori u elektronički oblik.

[…]

4.   Preslika cjelovitih dokumenata ili podataka iz članka 14. ili njihovih dijelova dostupna je na zahtjev. Zahtjevi se mogu podnijeti registru u papirnatom obliku ili elektroničkim putem, kako podnositelj zahtjeva odabere.

[…]

5.   Objavljivanje dokumenata i podataka iz stavka 3. izvršava se objavom u nacionalnom službenom listu određenom za tu svrhu od strane države članice, bilo kao cjelovitog teksta ili kao djelomičnog teksta, ili putem upućivanja na dokument koji je pohranjen u spis ili upisan u registar. Nacionalni službeni list određen za tu svrhu može se voditi u elektroničkom obliku.

Države članice mogu odlučiti zamijeniti objavu u nacionalnom službenom listu jednako učinkovitim sredstvima, što pretpostavlja barem uporabu sustava u kojem se objavljenim informacijama može pristupiti kronološkim redom preko središnje elektroničke platforme.

6.   Trgovačko društvo može se pozivati na dokumente i podatke protiv treće osobe tek nakon što su objavljeni u skladu sa stavkom 5., osim ako trgovačko društvo dokaže da su treće osobe znale za njih.

[…]

7.   Države članice poduzimaju potrebne mjere kako bi izbjegle bilo kakvu nedosljednost između onog što je objavljeno u skladu sa stavkom 5. i onog što je navedeno u registru ili spisu.

Međutim, u slučaju nedosljednosti, na tekst objavljen u skladu sa stavkom 5. ne može se pozivati protiv trećih osoba; takve treće osobe mogu se, međutim, pozivati na objavljeni tekst, osim ako trgovačko društvo dokaže da su znale za tekstove pohranjene u spis ili upisane u registar.

[…]”

11

Člankom 21. Direktive 2017/1132, naslovljenim „Jezik [objavljivanja i prijevod] dokumenata i podataka koji se moraju objaviti”, predviđa se:

„1.   Dokumenti i podaci koji se moraju objaviti na temelju članka 14. sastavljaju se i predaju na jednom od jezika koji je dopušten prema jezičnim pravilima koja se primjenjuju u državi članici u kojoj je spis iz članka 16. stavka 1. otvoren.

2.   Osim obvezne objave iz članka 16. države članice dopuštaju da se prijevodi dokumenata i podataka iz članka 14. koji se moraju objaviti objave dobrovoljno u skladu s člankom 16. na bilo kojem(-im) službenom(-im) jeziku(-cima) [Europske unije].

Države članice mogu propisati da prijevod tih dokumenata i pojedinosti treba biti ovjeren.

Države članice poduzimaju potrebne mjere kako bi trećim osobama olakšale pristup dobrovoljno objavljenim prijevodima.

3.   Osim obvezne objave iz članka 16. i dobrovoljne objave predviđene prema stavku 2. ovog članka, države članice mogu dopustiti da se dotični dokumenti i podaci koji se moraju objaviti objave u skladu s člankom 16. na bilo kojem(-im) drugom(-im) jeziku(-cima).

[…]

4.   U slučajevima nedosljednosti između dokumenata i podataka objavljenih na službenim jezicima registra i dobrovoljno objavljenih prijevoda, na potonje se ne može pozivati protiv trećih osoba; […]”

12

U skladu s člankom 161. te direktive, naslovljenim „Zaštita podataka”:

„Obrada osobnih podataka koja se provodi u okviru ove Direktive podliježe odredbama Direktive 95/46/EZ [Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13. svezak 7., str. 88.).”

13

Člankom 166. navedene direktive, naslovljenim „Stavljanje izvan snage”, određuje se:

„Direktive [2009/101 i 2012/30] stavljaju se izvan snage […].

Upućivanja na direktive stavljene izvan snage smatraju se upućivanjima na ovu Direktivu i čitaju se u skladu s korelacijskom tablicom iz Priloga IV.”

14

U Prilogu II. Direktivi 2017/1132 navode se vrste trgovačkih društava iz članka 7. stavka 1., članka 13., članka 29. stavka 1., članka 36. stavka 1., članka 67. stavka 1. i članka 119. stavka 1. točke (a) te direktive, među kojima, za Bugarsku, društvo s ograničenom odgovornošću.

15

U skladu s korelacijskom tablicom iz Priloga IV. Direktivi 2017/1132, s jedne strane, članci 2., 2.a, 3., 4. i 7.a Direktive 2009/101 odgovaraju člancima 14., 15., 16., 21. i 161. Direktive 2017/1132. S druge strane, članak 3. Direktive 2012/30 odgovara članku 4. Direktive 2017/1132.

16

Direktiva 2017/1132 izmijenjena je, među ostalim, Direktivom (EU) 2019/1151 Europskog parlamenta i Vijeća od 20. lipnja 2019. o izmjeni Direktive (EU) 2017/1132 u pogledu upotrebe digitalnih alata i postupaka u pravu društava (SL 2019., L 186, str. 80.), koja je stupila na snagu 31. srpnja 2019. i kojom se u njezinu članku 1., naslovljenom „Izmjene Direktive [2017/1132]” određuje:

„Direktiva [2017/1132] mijenja se kako slijedi:

[…]

6. članak 16. zamjenjuje se sljedećim:

‚Članak 16.

Objavljivanje u registru

1.   U svakoj državi članici otvara se spis u središnjem registru, trgovačkom registru ili registru trgovačkih društava (‚registar’) za svako trgovačko društvo koje se u njoj registrira.

[…]

2.   Svi dokumenti i informacije koji se moraju objaviti na temelju članka 14. čuvaju se u spisu iz stavka 1. ovog članka ili se unose izravno u registar, a predmet unosâ u registar mora biti vidljiv u spisu.

Svi dokumenti i informacije iz članka 14. koji su predani, bez obzira na način na koji su podneseni, čuvaju se u spisu u registru ili se unose izravno u registar u elektroničkom obliku. Države članice osiguravaju da sve takve dokumente i informacije koji su podneseni u papirnatom obliku registar što brže pretvori u elektronički oblik.

[…]

3.   Države članice osiguravaju da se objavljivanje dokumenata i informacija iz članka 14. provodi tako što ih se čini javno dostupnim u registru. Osim toga, države članice mogu zahtijevati da neki ili svi ti dokumenti i informacije budu objavljeni u za to namijenjenom nacionalnom službenom listu ili na jednako djelotvoran način. […]

4.   Države članice poduzimaju potrebne mjere kako bi se izbjeglo bilo kakvo odstupanje između onoga što je upisano u registar i onoga što se nalazi u spisu.

Države članice koje zahtijevaju objavljivanje dokumenata i informacija u nacionalnom službenom listu ili na središnjoj elektroničkoj platformi poduzimaju potrebne mjere kako bi se izbjeglo bilo kakvo odstupanje između onoga što je objavljeno u skladu sa stavkom 3. i onoga što je objavljeno u službenom listu ili na platformi.

U slučaju bilo kakvih odstupanja navedenih u ovom članku, prednost treba dati dokumentima i informacijama koji su dostupni u registru.

5.   Trgovačko društvo se može pozivati na dokumente i informacije iz članka 14. protiv treće osobe tek nakon što su objavljeni u skladu sa stavkom 3. ovog članka, osim ako trgovačko društvo dokaže da su treće osobe znale za njih.

[…]

6.   Države članice osiguravaju da sve dokumente i informacije podnesene u okviru osnivanja trgovačkog društva, upisa podružnice u registar ili podnošenja dokumenata i informacija od strane trgovačkog društva ili podružnice registri pohrane u strojno čitljivom formatu koji se može pretraživati ili kao strukturirane podatke.’

7.   umeće se sljedeći članak:

‚Članak 16.a

Pristup objavljenim informacijama

1.   Države članice osiguravaju da se preslike svih dokumenata i informacija iz članka 14. ili njihovih dijelova mogu dobiti iz registra na zahtjev […]

[…]’

19.   članak 161. zamjenjuje se sljedećim:

‚Članak 161.

Zaštita podataka

Obrada svih osobnih podataka koja se provodi u okviru ove Direktive podliježe [OUZP‑u].’”

17

U skladu s člankom 2. Direktive 2019/1151, naslovljenim „Prenošenje”:

„1.   Države članice [donose] zakone i druge propise koji su potrebni radi usklađivanja s ovom Direktivom do 1. kolovoza 2021. […]

2.   Neovisno o stavku 1. ovog članka, države članice [donose] zakone i druge propise koji su potrebni radi usklađivanja s […] člankom 1. točkom 6. ove Direktive, s obzirom na članak 16. stavak 6. Direktive [2017/1132], do 1. kolovoza 2023.

3.   Odstupajući od stavka 1., države članice koje se suočavaju s posebnim poteškoćama u prenošenju ove Direktive imaju pravo produljenja razdoblja predviđenog u stavku 1. za najviše godinu dana. […]

[…]”

18

Uvodne izjave 26., 32., 40., 42., 43., 50., 85., 143. i 146. OUZP‑a glase:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

19

Člankom 4. OUZP‑a, naslovljenim „Definicije”, određuje se:

„Za potrebe ove Uredbe:

[…]

[…]

[…]

[…]”

20

U članku 5. OUZP‑a, naslovljenom „Načela obrade osobnih podataka”, navodi se:

„1.   Osobni podaci moraju biti:

[…]

[…]

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

21

U skladu s člankom 6. OUZP‑a, naslovljenim „Zakonitost obrade”:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

[…]

3.   Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:

Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. Ta pravna osnova može sadržavati posebne odredbe kako bi se prilagodila primjena pravila ove Uredbe, među ostalim opće uvjete kojima se uređuje zakonitost obrade od strane voditelja obrade, vrste podataka koji su predmet obrade, dotične ispitanike, subjekte kojima se osobni podaci mogu otkriti i svrhe u koje se podaci mogu otkriti, ograničavanje svrhe, razdoblje pohrane te aktivnosti obrade i postupke obrade, uključujući mjere za osiguravanje zakonite i poštene obrade, kao i za druge posebne situacije obrade kako je navedeno u poglavlju IX. Pravom Unije ili pravom države članice mora se ostvariti cilj od javnog interesa te ono mora biti razmjerno zakonitom cilju koji se želi postići.

[…]”

22

Člankom 17. OUZP‑a, naslovljenim „Pravo na brisanje (‚pravo na zaborav’)”, predviđa se:

„1.   Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:

[…]

3.   Stavci 1. i 2. ne primjenjuju se u mjeri u kojoj je obrada nužna:

[…]

[…]”

23

Članak 21. stavak 1. OUZP‑a glasi kako slijedi:

„Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.”

24

Člankom 58. OUZP‑a određuje se:

„1.   Svako nadzorno tijelo ima sve sljedeće istražne ovlasti:

[…]

2.   Svako nadzorno tijelo ima sve sljedeće korektivne ovlasti:

[…]

3.   Svako nadzorno tijelo ima sve sljedeće ovlasti u vezi s odobravanjem te savjetodavne ovlasti:

[…]

[…]

4.   Izvršavanje ovlasti dodijeljenih nadzornom tijelu u skladu s ovim člankom podliježe odgovarajućim zaštitnim mjerama, među ostalim učinkovitom sudskom pravnom lijeku i odgovarajućem postupku, utvrđenim u pravu Unije i pravu države članice u skladu s [Poveljom Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja)].

5.   Svaka država članica zakonom propisuje da njezino nadzorno tijelo ima ovlasti obavijestiti pravosudna tijela o povredama ove Uredbe i, prema potrebi, pokrenuti pravne postupke ili u njima na drugi način sudjelovati kako bi se provele odredbe ove Uredbe.

6.   Svaka država članica zakonom može predvidjeti da nadzorno tijelo uz ovlasti iz stavaka 1., 2. i 3. ima dodatne ovlasti. Izvršavanje tih ovlasti ne smije narušavati učinkovito djelovanje odredaba poglavlja VII.”

25

U skladu s člankom 82. OUZP‑a, naslovljenim „Pravo na naknadu štete i odgovornost”:

„1.   Svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja ove Uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu.

2.   Svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ova Uredba. Izvršitelj obrade je odgovoran za štetu prouzročenu obradom samo ako nije poštovao obveze iz ove Uredbe koje su posebno namijenjene izvršiteljima obrade ili je djelovao izvan zakonitih uputa voditelja obrade ili protivno njima.

3.   Voditelj obrade ili izvršitelj obrade izuzet je od odgovornosti na temelju stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.

[…]”

26

Člankom 94. OUZP‑a predviđa se:

„1.   Direktiva [95/46] stavlja se izvan snage s učinkom od 25. svibnja 2018.

2.   Upućivanja na direktivu koja je stavljena izvan snage tumače se kao upućivanja na ovu Uredbu. […]”

27

U članku 2. Zakona za trgovskija registar i registara na juridičeskite lica s nestopanska cel (Zakon o trgovačkom registru i registru neprofitnih pravnih osoba) (DV br. 34 od 25. travnja 2006.), u verziji koja se primjenjuje na glavni postupak (u daljnjem tekstu: Zakon o registrima), određuje se:

„(1)   Trgovački registar i registar neprofitnih pravnih osoba opća su elektronička baza podataka koja sadržava podatke za koje je upis propisan zakonom i dokumente koji se moraju učiniti dostupnima javnosti na temelju zakona, koji se odnose na trgovce i podružnice stranih trgovaca, neprofitne pravne osobe i podružnice stranih neprofitnih pravnih osoba.

(2)   Činjenice i dokumenti iz stavka 1. čine se dostupnima javnosti bez informacija koje čine osobne podatke u smislu članka 4. točke 1. [OUZP‑a], uz iznimku informacija koje se moraju učiniti dostupnima javnosti na temelju zakona.”

28

Člankom 3. tog zakona predviđa se:

„Trgovački registar i registar neprofitnih pravnih osoba vodi [Agencija] koja odgovara Ministru na pravosadieto [ministar pravosuđa, Bugarska].”

29

U skladu s člankom 6. stavkom 1. navedenog zakona:

„Svaki trgovac i svaka neprofitna pravna osoba dužni su zatražiti upis u trgovački registar i registar neprofitnih pravnih osoba i pritom dostaviti činjenice za koje je upisan propisan i podnijeti dokumente koji se moraju učiniti dostupnima javnosti.”

30

Članak 11. istog zakona glasi kako slijedi:

„(1)   Trgovački registar i registar neprofitnih pravnih osoba su javni. Svatko ima pravo na slobodan i besplatan pristup bazi podataka koja čini registre.

(2)   [Agencija] osigurava pristup koji se bilježi spisu trgovca ili neprofitne pravne osobe.”

31

Člankom 13. stavcima 1., 2., 6. i 9. Zakona o registrima određuje se:

„(1)   Upis, brisanje i objava izvršavaju se na temelju obrasca zahtjeva.

(2)   Zahtjev sadržava:

1. podatke za kontakt podnositelja zahtjeva;

[…]

3. činjenicu za koju je propisan upis, upis čije se brisanje traži ili dokument koji se mora učiniti dostupnim javnosti;

[…]

(6)   [U]z zahtjev se dostavljaju dokumenti ili, ovisno o slučaju, akt koji se mora učiniti dostupnim javnosti, u skladu sa zakonskim zahtjevima. Dokumenti se dostavljaju u izvorniku, kao primjerak koji je ovjerio podnositelj zahtjeva ili primjerak s javnobilježničkom ovjerom. Podnositelj zahtjeva također dostavlja ovjerene primjerke akata koji se moraju učiniti dostupnima javnosti u trgovačkom registru, u kojima su skriveni svi osobni podaci osim onih propisanih zakonom.

[…]

(9)   Ako se u zahtjevu ili dokumentima koji su mu priloženi navode osobni podaci koji nisu propisani zakonom, smatra se da su osobe koje su ih pružile dale privolu za to da ih [Agencija] obrađuje i da se učine dostupnima javnosti.

[…]”

32

U članku 101. točki 3. Targovskog zakona (Zakon o trgovini) (DV br. 48 od 18. lipnja 1991.), u verziji koja se primjenjuje na glavni postupak (u daljnjem tekstu: Zakon o trgovini), određuje se da društveni ugovor mora sadržavati „ime, tvrtku i jedinstveni identifikacijski broj članova”.

33

U skladu s člankom 119. Zakona o trgovini:

„(1)   Za upis društva u trgovački registar zahtijeva se:

1. dostava društvenog ugovora koji se čini dostupnim javnosti;

[…]

(2)   Podaci iz točke 1. […] upisuju se u registar […]

[…]

(4)   Za izmjenu ili dopunu društvenog ugovora u trgovačkom registru podnosi se primjerak navedenog ugovora sa svim izmjenama i svim dodacima koji je ovjerilo tijelo koje zastupa društvo, kako bi ga se učinilo dostupnim javnosti.”

34

Člankom 6. Naredbe no 1 za vodene, sahranjavane i dostap do targovskija registar i do registara na juridičeskite lica s nestopanska cel (Uredba br. 1 o vođenju, čuvanju i uvidu u trgovački registar i registar neprofitnih pravnih osoba), od 14. veljače 2007. (DV br. 18 od 27. veljače 2007.), koju je donio Ministar na pravosadieto (ministar pravosuđa), u verziji koja se primjenjuje na glavni postupak, predviđa se:

„Upisivanje u trgovački registar i registar neprofitnih pravnih osoba i brisanje iz tih registara provodi se na temelju obrasca zahtjeva u skladu s prilozima [koji sadržavaju posebne obrasce]. Dokumenti se čine dostupnima javnosti u trgovačkom registru i registru neprofitnih pravnih osoba na temelju obrasca zahtjeva u skladu s prilozima [koji sadržavaju posebne obrasce].”

35

Osoba OL član je društva „Praven Štit Konsulting” OOD, društva s ograničenom odgovornošću osnovanog u skladu s bugarskim pravom, koje je 14. siječnja 2021. upisano u trgovački registar nakon što je dostavljen društveni ugovor od 30. prosinca 2020. koji su potpisali članovi tog društva (u daljnjem tekstu: predmetni društveni ugovor).

36

Agencija je taj ugovor, u kojem su navedeni ime, prezime, identifikacijski broj, broj osobne iskaznice, datum i mjesto izdavanja osobne iskaznice, adresa osobe OL te njezin potpis, učinila dostupnim javnosti u obliku u kojem je dostavljen.

37

Osoba OL je 8. srpnja 2021. zatražila od Agencije da izbriše njezine osobne podatke u navedenom društvenom ugovoru te je navela da povlači svoju privolu ako se obrada tih podataka temelji na njoj.

38

Budući da Agencija nije odgovorila na njezin zahtjev, osoba OL je pokrenula postupak pred Administrativenim sadom Dobrič (Upravni sud u Dobriču, Bugarska), koji je presudom od 8. prosinca 2021. poništio prešutno odbijanje Agencije da izbriše navedene podatke i vratio joj je predmet na ponovno odlučivanje.

39

U okviru izvršenja te presude i presude sličnog sadržaja u vezi s drugim članom društva koji je podnio isti zahtjev, Agencija je u dopisu od 26. siječnja 2022. navela da joj, da bi se mogao ispuniti zahtjev za brisanje osobnih podataka koji je podnijela osoba OL, treba dostaviti ovjereni primjerak predmetnog društvenog ugovora u kojem su skriveni osobni podaci članova, uz iznimku onih koji su propisani zakonom.

40

Osoba OL je 31. siječnja 2022. ponovno podnijela tužbu Administrativenom sadu Dobrič (Upravni sud u Dobriču) kojom je zatražila da se taj dopis poništi i Agenciji naloži da joj naknadi nematerijalnu štetu koja joj je nastala zbog navedenog dopisa kojim su povrijeđena njezina prava iz OUZP‑a.

41

Prije nego što joj je dostavljena ta tužba, Agencija je 1. veljače 2022. po službenoj dužnosti obrisala identifikacijski broj, podatke u vezi s osobnom iskaznicom i adresu osobe OL, ali ne i njezino ime, prezime i potpis.

42

Presudom od 5. svibnja 2022. Administrativen sad Dobrič (Upravni sud u Dobriču) poništio je dopis od 26. siječnja 2022. te je Agenciji naložio da osobi OL isplati naknadu štete u iznosu od 500 bugarskih leva (BGN) (oko 255 eura), uz zakonske kamate, za pretrpljenu nematerijalnu štetu na temelju članka 82. OUZP‑a. Prema toj presudi, s jedne strane, ta je šteta nastala u obliku negativnih psiholoških i emocionalnih iskustava osobe OL, odnosno straha i zabrinutosti u pogledu mogućih zlouporaba, kao i nemoći i razočaranja u pogledu nemogućnosti zaštite svojih osobnih podataka. S druge strane, navedena šteta prouzročena je tim dopisom, koji je doveo do povrede prava na brisanje iz članka 17. stavka 1. OUZP‑a i nezakonite obrade njezinih osobnih podataka navedenih u predmetnom društvenom ugovoru koji je javnosti stavljen na raspolaganje.

43

Agencija je protiv navedene presude podnijela žalbu u kasacijskom postupku sudu koji je uputio zahtjev, Vrhoven administrativen sadu (Vrhovni upravni sud, Bugarska).

44

Prema navodima tog suda, Agencija tvrdi da ona nije samo voditelj obrade, nego i primatelj osobnih podataka dostavljenih u okviru postupka upisa društva Praven Štit Konsultinga. Usto, Agenciji, iako je to zatražila prije upisa tog društva u trgovački registar, nije dostavljen nijedan primjerak predmetnog društvenog ugovora sa skrivenim osobnim podacima osobe OL‑a koji se ne moraju staviti na raspolaganje javnosti. Doista, nepostojanje takvog primjerka ne može samo po sebi biti prepreka upisu trgovačkog društva u taj registar. To proizlazi iz Mišljenja br. 01‑116(20)/01.02.2021 nacionalnog nadzornog tijela, Komisije za zaštita na ličnite danni (Komisija za zaštitu osobnih podataka, Bugarska), izdanog na temelju članka 58. stavka 3. točke (b) OUZP‑a, na koji se Agencija poziva. Navedeni sud ističe da prema mišljenju osobe OL Agencija, kao voditelj obrade, ne može naložiti drugim osobama da ispune njezinu obvezu brisanja osobnih podataka s obzirom na to da prema nacionalnoj sudskoj praksi to mišljenje nije u skladu s odredbama OUZP‑a.

45

Sud koji je uputio zahtjev dodaje da je, s obzirom na tu prevladavajuću nacionalnu sudsku praksu, potrebno pojasniti zahtjeve koji proizlaze iz te uredbe. Konkretno, taj se sud pita na koji način treba li provesti usklađivanje, s jedne strane, prava na zaštitu osobnih podataka i, s druge strane, propisa kojim se jamči objavljivanje određenih dokumenata društava i uvid u njih, pri čemu pojašnjava, među ostalim, da se poteškoće u tumačenju koje proizlaze iz situacije o kojoj je riječ u glavnom postupku ne mogu razriješiti na temelju presude od 9. ožujka 2017., Manni (C‑398/15, EU:C:2017:197).

46

U tim je okolnostima Varhoven administrativen sad (Vrhovni upravni sud) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

47

Uvodno valja istaknuti da se postavljena pitanja odnose na tumačenje i OUZP‑a i Direktive 2009/101, koja je kodificirana i zamijenjena Direktivom 2017/1132, koja se pak primjenjuje ratione temporis na činjenice o kojima je riječ u glavnom postupku. Slijedom toga, zahtjev za prethodnu odluku treba tumačiti kao da se njime traži tumačenje Direktive 2017/1132.

48

Usto, kao što je to nezavisna odvjetnica istaknula u točki 15. svojeg mišljenja, s obzirom na to da se dio tih činjenica dogodio nakon 1. kolovoza 2021., datuma isteka roka za prenošenje Direktive 2019/1151 iz članka 2. stavka 1. te direktive, na sudu koji je uputio zahtjev je da provjeri ulaze li navedene činjenice u područje primjene ratione temporis Direktive 2017/1132 ili Direktive 2017/1132, kako je izmijenjena Direktivom 2019/1151.

49

S tim u vezi valja istaknuti da izmjene teksta članaka 16. i 161. Direktive 2017/1132 i dodavanje članka 16.a toj direktivi, koji proizlaze iz Direktive 2019/1151, ne utječu na analizu koju Sud treba provesti u ovom predmetu, tako da će odgovori koji će se dati u ovoj presudi u svakom slučaju biti relevantni.

50

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 21. stavak 2. Direktive 2017/1132 tumačiti na način da se njime državi članici nalaže obveza da u trgovačkom registru dopusti objavu društvenog ugovora koji se prema toj direktivi mora objaviti, a koji sadržava osobne podatke koji nisu minimalno potrebni osobni podaci i čije se objavljivanje ne zahtijeva pravom te države članice.

51

Konkretno, taj se sud pita o dosegu dobrovoljne objave navedene u toj odredbi i nastoji utvrditi nalaže li se navedenom odredbom državama članicama da dopuste objavu podataka koji se nalaze u aktima društava, kao što su osobni podaci, a koji se prema navedenoj direktivi ne moraju objaviti.

52

U skladu s člankom 21. stavkom 2. prvim podstavkom Direktive 2017/1132, „[o]sim obvezne objave iz članka 16. [te direktive] države članice dopuštaju da se prijevodi dokumenata i podataka iz članka 14. [navedene direktive] koji se moraju objaviti objave dobrovoljno u skladu s [njezinim] člankom 16. na bilo kojem(-im) službenom(-im) jeziku(-cima) Unije”. Drugi podstavak tog članka 21. stavka 2. ovlašćuje države članice da propišu da se „prijevod tih dokumenata i podataka” mora ovjeriti. Naposljetku, treći podstavak navedenog članka 21. stavka 2. odnosi se na mjere koje su potrebne kako bi se trećim stranama olakšao pristup dobrovoljno objavljenim „prijevodima”.

53

U članku 14. Direktive 2017/1132 navedeni su pak dokumenti i podaci koje dotična društva, u najmanju ruku, moraju objaviti. Ti se dokumenti i podaci trebaju, u skladu s člankom 16. stavcima 3. do 5. te direktive, čuvati u spisu ili unijeti u registar, trebaju biti dostupni dobivanjem cjelovite ili djelomične preslike na zahtjev i objavljeni, kao cjeloviti ili djelomični tekst ili pak upućivanjem na njih, u nacionalnom službenom listu, ili na jednako djelotvoran način.

54

U tom pogledu, uzimajući u obzir, među ostalim, ponavljanje izraza „prijevodi” u članku 21. stavku 2. Direktive 2017/1132, iz teksta te odredbe proizlazi da se ona odnosi na dobrovoljno objavljivanje prijevoda dokumenata i podataka iz članka 14. te direktive na službeni jezik Unije i stoga samo na jezik na kojem su ti dokumenti i podaci objavljeni. Nasuprot tomu, u navedenoj se odredbi ne upućuje na sadržaj navedenih dokumenata i podataka.

55

Prema tome, tekstom tog članka 21. stavka 2. želi se reći da se ta odredba ne može tumačiti na način da državama članicama nameće bilo kakvu obvezu u pogledu objavljivanja osobnih podataka čije se objavljivanje ne zahtijeva ni drugim odredbama prava Unije ni pravom dotične države članice, nego se nalaze u dokumentu koji se prema navedenoj direktivi mora objaviti.

56

Budući da smisao odredbe prava Unije nedvosmisleno proizlazi iz njezina samog teksta, Sud ne može odstupiti od tog tumačenja (presuda od 25. siječnja 2022., VYSOČINA WIND, C‑181/20, EU:C:2022:51, t. 39.).

57

U svakom slučaju, kad je riječ o kontekstu članka 21. stavka 2. Direktive 2017/1132, naslov tog članka, koji se odnosi na „[j]ezik objavljivanja i prijevod dokumenata i podataka koji se moraju objaviti”, kao i drugi stavci tog članka, potvrđuju tumačenje navedeno u točki 55. ove presude.

58

Naime, člankom 21. stavkom 1. Direktive 2017/1132 određuje se da se „dokumenti i podaci koji se moraju objaviti u skladu s člankom 14. [te direktive] sastavljaju […] i predaju na jednom od jezika koji je dopušten” prema primjenjivim nacionalnim pravilima. Tim člankom 21. stavkom 3. predviđa se da, osim obvezne objave iz članka 16. navedene direktive i dobrovoljne objave predviđene navedenim člankom 21. stavkom 2., države članice mogu dopustiti objavljivanje tih dokumenata i podataka „na bilo kojem(-im) drugom(-im) jeziku(-cima)”. Kad je riječ o istom članku 21. stavku 4., on se odnosi na „dobrovoljno objavljen[e] prijevod[e]”.

59

Naposljetku, tumačenje iz točke 55. ove presude potvrđuje i uvodna izjava 12. iste direktive prema kojoj bi trebalo olakšati prekogranični pristup informacijama o trgovačkim društvima omogućavajući, uz obvezujuće objavljivanje na jednom od jezika dozvoljenih u državi članici društva, dobrovoljan upis u registar zahtijevanih dokumenata i podataka na dodatnim jezicima.

60

S obzirom na prethodno navedeno, na prvo pitanje valja odgovoriti tako da članak 21. stavak 2. Direktive 2017/1132 treba tumačiti na način da se njime državi članici ne nalaže obveza da u trgovačkom registru dopusti objavu društvenog ugovora koji se prema toj direktivi mora objaviti, a koji sadržava osobne podatke koji nisu minimalno potrebni osobni podaci i čije se objavljivanje ne zahtijeva pravom te države članice.

61

S obzirom na odgovor na prvo pitanje, nije potrebno odgovoriti na drugo i treće pitanje, koja su postavljena samo u slučaju potvrdnog odgovora na to prvo pitanje.

62

Svojim petim pitanjem, koje valja razmotriti prije četvrtog, sud koji je uputio zahtjev u biti pita treba li OUZP, osobito njegov članak 4. točke 7. i 9., tumačiti na način da je tijelo nadležno za vođenje trgovačkog registra države članice koje u tom registru objavljuje osobne podatke iz društvenog ugovora koji se prema Direktivi 2017/1132 mora objaviti i koji mu je dostavljen u okviru zahtjeva za upis predmetnog društva u navedeni registar i „primatelj” tih podataka i „voditelj obrade” navedenih podataka u smislu te odredbe.

63

Uvodno valja podsjetiti na to da, u skladu s člankom 161. Direktive 2017/1132, obrada osobnih podataka koja se provodi u okviru te direktive podliježe odredbama Direktive 95/46 i stoga OUZP‑a, u čijem se članku 94. stavku 2. pojašnjava da se upućivanja na tu direktivu tumače kao upućivanja na tu uredbu.

64

S tim u vezi najprije treba istaknuti da na temelju članka 14. točaka (a) i (b) te članka 14. točke (d) Direktive 2017/1132 države članice poduzimaju mjere potrebne za osiguranje obveznog objavljivanja od strane trgovačkih društava barem akta o osnivanju predmetnog društva i njegovih izmjena, imenovanja, prestanka obavljanja funkcije i podataka o osobama koje su kao tijelo osnovano u skladu sa zakonom, ili kao članovi takvog tijela, ovlaštene zastupati to trgovačko društvo u poslovanju s trećim osobama te u pravnim postupcima ili sudjeluju u upravljanju navedenim društvom, nadzoru nad njime ili kontroli tog društva. Usto, na temelju članka 4. točke (i) te direktive, obvezni podaci koji se moraju navesti u aktu o osnivanju koji se tako objavljuje uključuju identitet fizičkih ili pravnih osoba, društava ili poduzeća koji su potpisali ili u čije ime je potpisan taj akt.

65

U skladu s člankom 16. stavcima 3. do 5. navedene direktive, kao što je to navedeno u točki 53. ove presude, ti se dokumenti i podaci trebaju čuvati u spisu ili unijeti u registar, trebaju biti dostupni dobivanjem cjelovite ili djelomične preslike na zahtjev i objavljeni, kao cjeloviti ili djelomični tekst ili pak upućivanjem na njih, u nacionalnom službenom listu, ili na jednako djelotvoran način.

66

Kao što je to nezavisna odvjetnica istaknula u točki 26. svojeg mišljenja, na državama članicama je stoga da odrede, među ostalim, koje se kategorije informacija o identitetu osoba navedenih u članku 4. točki (i) i članku 14. točki (d) Direktive 2017/1132, točnije, koje se vrste osobnih podataka, obvezno objavljuju u skladu s pravom Unije.

67

Međutim, podaci o identitetu tih osoba, kao podaci koji se odnose na utvrđenu fizičku osobu ili fizičku osobu koju se može utvrditi, predstavljaju „osobne podatke” u smislu članka 4. točke 1. OUZP‑a (vidjeti u tom smislu presudu od 9. ožujka 2017., Manni, C‑398/15, EU:C:2017:197, t. 34.).

68

Isto vrijedi i za dodatne podatke koji se odnose na identitet navedenih osoba ili drugih kategorija osoba za koje države članice propišu da se moraju objaviti ili koji se, kao u ovom slučaju, nalaze u aktima koji se moraju objaviti iako se stavljanje na raspolaganje tih podataka ne zahtijeva Direktivom 2017/1132 ili nacionalnim pravom kojim se provodi ta direktiva.

69

Nadalje, kad je riječ o pojmu „primatelj” u smislu članka 4. točke 9. OUZP‑a, on znači „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana”, pri čemu se u toj odredbi pojašnjava da su iz te definicije isključena tijela javne vlasti koja mogu primiti te podatke u okviru određene istrage u skladu s pravom Unije i države članice.

70

Time što tijelo nadležno za vođenje trgovačkog registra države članice u okviru zahtjeva za upis društva u taj registar zaprima dokumente koji sadržavaju osobne podatke, a koji se prema članku 14. Direktive 2017/1132 moraju objaviti, bez obzira zahtijeva li se to tom direktivom ili nacionalnim pravom, ono ima svojstvo „primatelja” tih podataka u smislu članka 4. točke 9. OUZP‑a.

71

Naposljetku, na temelju članka 4. točke 7. OUZP‑a pojam „voditelj obrade” obuhvaća fizičke ili pravne osobe, tijela javne vlasti, agencije ili druga tijela koja sama ili zajedno s drugima određuju svrhe i sredstva obrade. U toj se odredbi također navodi da, kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice.

72

U tom pogledu valja podsjetiti na to da je, prema sudskoj praksi Suda, cilj navedene odredbe osigurati, širokom definicijom pojma „voditelj obrade”, učinkovitu i potpunu zaštitu ispitanika (presuda od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 28. i navedena sudska praksa).

73

S obzirom na tekst članka 4. točke 7. OUZP‑a, u vezi s tim ciljem, očito je da, kako bi se utvrdilo treba li osobu ili subjekt kvalificirati kao „voditelja obrade” u smislu te odredbe, valja ispitati određuje li ta osoba ili taj subjekt, sam ili zajedno s drugima, svrhe i sredstva obrade ili su oni određeni pravom Unije ili nacionalnim pravom. Ako se takvo određivanje provodi u skladu s nacionalnim pravom, valja provjeriti je li tim pravom voditelj obrade imenovan ili se njime predviđaju posebni kriteriji za njegovo imenovanje (vidjeti u tom smislu presudu od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 29.).

74

U tom pogledu valja pojasniti da, s obzirom na široku definiciju pojma „voditelj obrade”, u smislu članka 4. točke 7. OUZP‑a, utvrđivanje svrhe i sredstava obrade i, prema potrebi, imenovanje tog voditelja u nacionalnom pravu može biti ne samo izričito nego i prešutno. U potonjem slučaju ipak se zahtijeva da to određivanje s dovoljnom sigurnošću proizlazi iz uloge, zadaće i ovlasti koje su dodijeljene dotičnoj osobi ili subjektu (presuda od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 30.).

75

Usto, upisivanjem i čuvanjem u trgovačkom registru države članice osobnih podataka zaprimljenih u okviru zahtjeva za upis društva i njihovim priopćavanjem, prema potrebi, na zahtjev trećih te objavom tih podataka u nacionalnom službenom listu ili mjerom s istovrsnim učinkom, tijelo nadležno za vođenje tog registra provodi obradu osobnih podataka kao „voditelj obrade” u smislu članka 4. točaka 2. i 7. OUZP‑a (vidjeti u tom smislu presudu od 9. ožujka 2017., Manni, C‑398/15, EU:C:2017:197, t. 35.).

76

Naime, ta je obrada osobnih podataka odvojena i slijedi nakon što je podnositelj zahtjeva za taj upis priopćio osobne podatke i nakon što ih je to tijelo zaprimilo. Štoviše, navedeno tijelo samo provodi tu obradu u skladu sa svrhama i načinima utvrđenima u Direktivi 2017/1132 i u zakonodavstvu dotične države članice kojim se provodi ta direktiva.

77

U tom pogledu treba navesti da iz uvodnih izjava 7. i 8. navedene direktive proizlazi da je svrha objavljivanja koje je njome propisano zaštititi, osobito, interese trećih u odnosu na dionička društva i društva s ograničenom odgovornošću jer kao jamstvo trećima služi samo njihova imovina. U tu bi svrhu osnovni dokumenti trgovačkog društva trebali biti objavljeni kako bi treće strane mogle provjeriti njihove sadržaje i druge informacije koje se odnose na trgovačko društvo, posebno pojedinosti o osobama koje su ovlaštene obvezati trgovačko društvo.

78

Usto, cilj je iste direktive zajamčiti pravnu sigurnost u odnosima između društava i trećih s obzirom na jačanje trgovine između država članica nakon stvaranja unutarnjeg tržišta. U tom je smislu bitno da svatko tko želi uspostaviti i održavati poslovne odnose s društvima sa sjedištem u drugim državama članicama može na jednostavan način saznati osnovne podatke o strukturi trgovačkih društava i ovlastima osoba koje su ih ovlaštene zastupati, što nalaže da svi relevantni podaci budu izričito navedeni u registru (vidjeti u tom smislu presudu od 9. ožujka 2017., Manni, C‑398/15, EU:C:2017:197, t. 50.).

79

Međutim, kao što je to nezavisna odvjetnica primijetila u točki 39. svojeg mišljenja, dostavljanjem tijelu nadležnom za vođenje trgovačkog registra države članice dokumenata i podataka koji se prema Direktivi 2017/1132 moraju objaviti te prema tome, obradom osobnih podataka sadržanih u tim dokumentima, podnositelj zahtjeva za upis društva u taj registar nema nikakav utjecaj na određivanje svrhe i naknadnih obrada koje provodi to tijelo. Usto, on djeluje u različite sebi svojstvene svrhe, odnosno ispunjavanje formalnosti potrebnih za taj upis.

80

U ovom slučaju, kao što je to nezavisna odvjetnica istaknula u točkama 31. i 32. tog mišljenja, iz zahtjeva za prethodnu odluku proizlazi da su osobni podaci osobe OL stavljeni na raspolaganje javnosti u okviru izvršavanja ovlasti dodijeljenih Agenciji kao tijelu zaduženom za vođenje trgovačkog registra, pri čemu su svrha i sredstva obrade tih podataka utvrđeni i pravom Unije i nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku, a osobito člankom 13. stavkom 9. Zakona o registrima. Dakle, činjenica da nije dostavljen ovjereni primjerak predmetnog društvenog ugovora u kojem su skriveni osobni podaci koji se ne zahtijevaju tim zakonodavstvom, protivno postupovnim pravilima predviđenima navedenim zakonodavstvom, ne utječe na kvalifikaciju Agencije kao „voditelja te obrade”.

81

Tu kvalifikaciju ne dovodi u pitanje ni činjenica da, prema tom zakonodavstvu, Agencija prije objavljivanja na internetu ne provjerava osobne podatke sadržane u elektroničkim preslikama ili izvornicima dokumenata koji su joj dostavljeni u svrhu upisa društva. U tom pogledu, Sud je već presudio da bi bilo protivno cilju članka 4. točke 7. OUZP‑a, navedenom u točki 72. ove presude, isključiti iz pojma „voditelj obrade” službeni list države članice zbog toga što taj list ne provodi nadzor nad osobnim podacima iz svojih publikacija (presuda od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list), C‑231/22, EU:C:2024:7, t. 38.).

82

U tim je okolnostima jasno da je u situaciji poput one o kojoj je riječ u glavnom postupku Agencija voditelj obrade osobnih podataka osobe OL, koja se sastoji od stavljanja tih podataka na raspolaganje javnosti, objavljivanjem na internetu, čak i ako joj se na temelju tog zakonodavstva treba dostaviti primjerak predmetnog društvenog ugovora u kojem su skriveni osobni podaci koji se ne zahtijevaju nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku, a što treba provjeriti sud koji je uputio zahtjev. Stoga je Agencija, na temelju članka 5. stavka 2. OUZP‑a, odgovorna i za poštovanje stavka 1. tog članka.

83

S obzirom na prethodno navedeno, na peto pitanje valja odgovoriti tako da OUZP, osobito njegov članak 4. točke 7. i 9., treba tumačiti na način da je tijelo nadležno za vođenje trgovačkog registra države članice koje u tom registru objavljuje osobne podatke iz društvenog ugovora koji se prema Direktivi 2017/1132 mora objaviti, a koji mu je dostavljen u okviru zahtjeva za upis predmetnog društva u navedeni registar, i „primatelj” tih podataka i – osobito zato što ih stavlja na raspolaganje javnosti – „voditelj obrade” navedenih podataka u smislu te odredbe, čak i ako taj ugovor sadržava osobne podatke koji se ne zahtijevaju tom direktivom ili pravom te države članice.

84

Bugarska vlada tvrdi da četvrto pitanje nije dopušteno jer se njime ističe hipotetski problem. Naime, prema mišljenju te vlade, to se pitanje odnosi na usklađenost s člankom 16. Direktive 2017/1132 nacionalnog zakonodavstva o postupovnim pravilima za ostvarivanje prava iz članka 17. OUZP‑a, koje još nije doneseno.

85

U skladu s ustaljenom sudskom praksom, prethodnim postupkom, koji je predviđen u članku 267. UFEU‑a, uspostavlja se bliska suradnja između nacionalnih sudova i Suda, utemeljena na podjeli ovlasti zahvaljujući kojoj Sud nacionalnim sudovima daje elemente za tumačenje prava Unije koji su im potrebni za rješavanje sporova koji se pred njima vode. U okviru te suradnje isključivo je na nacionalnom sudu pred kojim se vodi postupak i koji mora preuzeti odgovornost za sudsku odluku koja će biti donesena da, uvažavajući posebnosti predmeta, ocijeni nužnost prethodne odluke za donošenje svoje presude i relevantnost pitanja koja postavlja Sudu. Posljedično, kad se postavljena pitanja odnose na tumačenje prava Unije, Sud je u pravilu dužan odgovoriti na njih (presuda od 23. studenoga 2021., IS (Nezakonitost rješenja o upućivanju zahtjeva), C‑564/19, EU:C:2021:949, t. 59. i 60. te navedena sudska praksa).

86

Iz navedenog proizlazi da pitanja koja se odnose na pravo Unije uživaju pretpostavku relevantnosti. Sud može odbiti odgovoriti na prethodno pitanje nacionalnog suda samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom glavnog postupka, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi mogao dati koristan odgovor na postavljena pitanja (presuda od 24. studenoga 2020., Openbaar Ministerie (Krivotvorenje isprava), C‑510/19, EU:C:2020:953, t. 26. i navedena sudska praksa).

87

U ovom slučaju, iz zahtjeva za prethodnu odluku proizlazi da sud koji je uputio zahtjev treba odlučiti, u zadnjem stupnju, o tome je li Agencija zakonito odbila zahtjev za brisanje osobnih podataka o kojima je riječ u glavnom postupku zbog toga što joj, protivno postupovnim pravilima predviđenima tim zakonodavstvom, nije dostavljen primjerak predmetnog društvenog ugovora u kojem su skriveni osobni podaci koji se ne zahtijevaju bugarskim zakonodavstvom. Usto, iz tog zahtjeva proizlazi da takvo odbijanje odgovara praksi Agencije. Naposljetku, taj je sud pojasnio da je odgovor Suda na četvrto pitanje nužan za rješavanje spora u glavnom postupku, i to u kontekstu u kojem nacionalna sudska praksa nije ujednačena.

88

Iz toga slijedi da je, suprotno tvrdnjama bugarske vlade, četvrto pitanje dopušteno.

89

Uzimajući u obzir navode iz zahtjeva za prethodnu odluku, kako su navedeni u točki 87. ove presude, valja smatrati da svojim četvrtim pitanjem sud koji je uputio zahtjev u biti pita treba li Direktivu 2017/1132, osobito njezin članak 16., i članak 17. OUZP‑a tumačiti na način da im se protivi propis ili praksa države članice zbog kojih tijelo nadležno za vođenje trgovačkog registra te države članice odbija svaki zahtjev za brisanje osobnih podataka koji se ne zahtijevaju tom direktivom ili pravom države članice, ali koji su navedeni u društvenom ugovoru objavljenom u tom registru, kada tom tijelu, protivno postupovnim pravilima predviđenima tim propisom, nije dostavljen primjerak tog ugovora u kojem su ti podaci skriveni.

90

U skladu s člankom 17. stavkom 1. OUZP‑a, ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja, a voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od uvjeta navedenih u toj odredbi.

91

Prema tom članku 17. stavku 1. točki (c), to je slučaj kada ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. te uredbe i kada ne postoje „jači legitimni razlozi za obradu” ili, u skladu s navedenim člankom 17. stavkom 1. točkom (d), kada su predmetni podaci „nezakonito […] obrađeni”.

92

Iz članka 17. stavka 3. točke (b) OUZP‑a također proizlazi da se taj članak 17. stavak 1. ne primjenjuje u mjeri u kojoj je obrada nužna radi poštovanja pravne obveze kojom se zahtijeva obrada u pravu Unije ili pravu države članice kojem podliježe voditelj obrade ili za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade.

93

Stoga, kako bi se utvrdilo ima li ispitanik, u situaciji kao što je ona o kojoj je riječ u glavnom postupku, pravo na brisanje prema članku 17. OUZP‑a, najprije treba razmotriti osnovu ili osnove zakonitosti na temelju kojih se obrada njegovih osobnih podataka može provesti.

94

U tom pogledu, valja podsjetiti na to da članak 6. stavak 1. prvi podstavak OUZP‑a predviđa iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom. Dakle, da bi se mogla smatrati zakonitom, obrada mora biti obuhvaćena jednim od slučajeva predviđenih tom odredbom (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 99. i navedena sudska praksa).

95

Ako ispitanik nije dao privolu za obradu svojih osobnih podataka na temelju tog članka 6. stavka 1. prvog podstavka točke (a) ili kada ta privola nije dana dobrovoljno, posebno, informirano i nedvosmisleno, u smislu članka 4. točke 11. OUZP‑a, takva je obrada ipak opravdana ako ispunjava jedan od zahtjeva nužnosti sadržanih u navedenom članku 6. stavku 1. prvom podstavku točkama (b) do (f) te uredbe (vidjeti u tom smislu presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 92.).

96

U tom kontekstu, opravdanja sadržana u potonjoj odredbi, u dijelu u kojem ona omogućuju ozakonjenje obrade osobnih podataka izvršene bez ispitanikove privole, moraju se tumačiti usko (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 93. i navedena sudska praksa).

97

Valja također pojasniti da je, u skladu s člankom 5. OUZP‑a, na voditelju obrade teret dokazivanja da su ti podaci osobito prikupljeni u posebne, izričite i zakonite svrhe, da su primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju te da su zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (vidjeti u tom smislu presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 95.).

98

Iako je zadaća suda koji je uputio zahtjev da odredi jesu li različiti elementi obrade kao što je ona o kojoj je riječ u glavnom postupku opravdani nekom od nužnosti predviđenih člankom 6. stavkom 1. prvim podstavkom točkama (a) do (f) OUZP‑a, Sud mu ipak može dati korisne upute kako bi mu omogućio da riješi spor koji se pred njime vodi (vidjeti u tom smislu presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže), C‑252/21, EU:C:2023:537, t. 96.).

99

U ovom slučaju, prije svega, kao što je to nezavisna odvjetnica istaknula u točki 43. svojeg mišljenja, pretpostavka postojanja privole utvrđena u članku 13. stavku 9. Zakona o registrima očigledno ne ispunjava uvjete propisane člankom 6. stavkom 1. prvim podstavkom točkom (a) OUZP‑a, u vezi s člankom 4. točkom 11. te uredbe.

100

Naime, kao što to proizlazi iz uvodnih izjava 32., 42. i 43. navedene uredbe, privola se treba dati jasnom potvrdnom radnjom, primjerice pisanom izjavom ili usmenom izjavom, a ne smatra se da je dana dobrovoljno ako ispitanik nema istinski ili slobodan izbor ili ako nije u mogućnosti odbiti ili povući privolu bez posljedica. Osim toga, privola ne bi smjela predstavljati valjanu pravnu osnovu u određenom slučaju kada postoji jasna neravnoteža između ispitanika i voditelja obrade, posebno ako je voditelj obrade tijelo javne vlasti.

101

Stoga se pretpostavka kao što je ona predviđena u članku 13. stavku 9. Zakon o registrima ne može smatrati utvrđenjem dobrovoljne, posebne, informirane i nedvosmislene privole za obradu osobnih podataka koju provodi javno tijelo kao što je Agencija.

102

Nadalje, osnove zakonitosti predviđene u članku 6. stavku 1. prvom podstavku točkama (b) i (d) koje se odnose na obradu osobnih podataka koja je nužna za izvršavanje ugovora odnosno zaštitu ključnih interesa ispitanika nisu relevantne za obradu osobnih podataka o kojoj je riječ u glavnom postupku. Isto vrijedi za osnovu zakonitosti iz tog članka 6. stavka 1. prvog podstavka točke (f) koja se odnosi na obradu osobnih podataka koja je nužna za potrebe legitimnih interesa voditelja obrade jer iz teksta navedenog članka 6. stavka 1. drugog podstavka jasno proizlazi da obrada osobnih podataka koju obavlja javno tijelo u okviru izvršavanja svojih zadaća ne može biti obuhvaćena područjem primjene te osnove (vidjeti u tom smislu presudu od 8. prosinca 2022., Inspektor v Inspektorata kam Visshia sadeben savet (Svrhe obrade osobnih podataka – Kaznena istraga), C‑180/21, EU:C:2022:967, t. 85.).

103

Naposljetku, kad je riječ o osnovama zakonitosti iz članka 6. stavka 1. prvog podstavka točaka (c) i (e) OUZP‑a, valja podsjetiti na to da je, na temelju tog članka 6. stavka 1. prvog podstavka točke (c), obrada osobnih podataka zakonita ako je nužna radi poštovanja pravne obveze voditelja obrade. Usto, prema navedenom članku 6. stavku 1. prvom podstavku točki (e), zakonita je i ona obrada koja je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade.

104

Člankom 6. stavkom 3. OUZP‑a pobliže je određeno, osobito u pogledu tih dviju pretpostavki zakonitosti, da obrada mora imati osnovu u pravu Unije ili pravu države članice kojem voditelj obrade podliježe i da se tom pravnom osnovom mora ostvariti cilj od javnog interesa te ona mora biti razmjerna zakonitom cilju koji se želi postići.

105

Kad je riječ, kao prvo, o pitanju je li obrada o kojoj je riječ u glavnom postupku nužna za ispunjenje pravne obveze koja proizlazi iz prava Unije ili prava države članice kojem voditelj obrade podliježe u smislu članka 6. stavka 1. prvog podstavka točke (c) OUZP‑a, valja istaknuti, kao što je to učinila nezavisna odvjetnica u točkama 45. i 47. svojeg mišljenja, da se Direktivom 2017/1132 ne nalaže sustavna obrada svih osobnih podataka sadržanih u dokumentu koji se prema toj direktivi mora objaviti. Naprotiv, iz članka 161. navedene direktive proizlazi da obrada osobnih podataka koja se provodi u okviru Direktive 2017/1132, a osobito svako prikupljanje, pohrana, stavljanje na raspolaganje trećim stranama i objavljivanje informacija na temelju te direktive mora u potpunosti ispunjavati zahtjeve koji proizlaze iz OUZP‑a.

106

Stoga je na državama članicama da u okviru provedbe obveza propisanih navedenom direktivom osiguraju usklađenost, s jedne strane, ciljeva pravne sigurnosti i zaštite interesa trećih strana, koji se nastoje postići istom direktivom, a koji su navedeni u točki 77. ove presude te, s druge strane, prava utvrđenih OUZP‑om i temeljnog prava na zaštitu osobnih podataka, i to pravilnim odvagivanjem tih ciljeva i tih prava (vidjeti u tom smislu presudu od 1. kolovoza 2022., Vyriausioji tarnybinės iikos komisija, C‑184/20, EU:C:2022:601, t. 98.).

107

Stoga se ne može smatrati da je stavljanje na raspolaganje javnosti na internetu, objavljivanjem u trgovačkom registru, osobnih podataka koji se ne zahtijevaju Direktivom 2017/1132 ili nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku, a koji se nalaze u društvenom ugovoru koji se prema toj direktivi mora objaviti i koji je dostavljen Agenciji, opravdano zahtjevom da se osigura objava dokumenata iz članka 14. navedene direktive u skladu s njezinim člankom 16. i da, prema tome, proizlazi iz pravne obveze predviđene pravom Unije.

108

Zakonitost obrade o kojoj je riječ u glavnom postupku, pod uvjetom da to provjeri sud koji je uputio zahtjev, ne temelji se ni na pravnoj obvezi predviđenoj pravom države članice kojem podliježe voditelj obrade u smislu članka 6. stavka 1. prvog podstavka točke (c) OUZP‑a, u ovom slučaju bugarsko pravo, s obzirom na to da, s jedne strane, iz spisa kojim Sud raspolaže proizlazi da se člankom 2. stavkom 2. Zakona o registrima predviđa da se dokumenti koji trebaju biti objavljeni u trgovačkom registru čine dostupnima javnosti bez informacija koje čine osobne podatke, „uz iznimku informacija koje se moraju učiniti dostupnima javnosti na temelju zakona” i da se, s druge strane, člankom 13. stavkom 9. tog zakona uvodi pretpostavka postojanja privole koja, kao što to proizlazi iz točke 99. ove presude, ne ispunjava OUZP‑ove zahtjeve.

109

Kad je riječ, kao drugo, o pitanju je li obrada o kojoj je riječ u glavnom postupku nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti dodijeljene voditelju obrade u smislu članka 6. stavka 1. prvog podstavka točke (e) OUZP‑a, na koji se osobito pozivaju sud koji je uputio zahtjev te bugarska vlada i Agencija, Sud je već presudio da je djelatnost javnog tijela koja se sastoji od pohranjivanja, u bazi podataka, podataka koje su društva dužna dostaviti na temelju zakonskih obveza i omogućavanja zainteresiranim osobama da u njih izvrše uvid te izrađivanja tim osobama njihovih preslika, predstavlja zadaću od javnog interesa u smislu te odredbe (vidjeti u tom smislu presudu od 9. ožujka 2017., Manni, C‑398/15, EU:C:2017:197, t. 43.).

110

Iz toga slijedi da je točno da se obrada o kojoj je riječ u glavnom postupku provodi pri obavljanju zadaće od javnog interesa u smislu navedene odredbe. Međutim, da bi se ispunili uvjeti propisani tom istom odredbom, potrebno je da ta obrada stvarno odgovara zadanim ciljevima od općeg interesa, ne prekoračujući ono što je nužno za postizanje tih ciljeva (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 109.).

111

Taj zahtjev nužnosti nije ispunjen kad se odnosni cilj od općeg interesa može razumno na jednako učinkovit način postići drugim sredstvima kojima se manje zadire u temeljna prava ispitanika, posebno prava na poštovanje privatnosti i na zaštitu osobnih podataka zajamčena člancima 7. i 8. Povelje, s obzirom na to da odstupanja od načela zaštite takvih podataka i njegova ograničenja treba predvidjeti u granicama onog što je nužno (vidjeti u tom smislu presudu od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi), C‑439/19, EU:C:2021:504, t. 110. i navedenu sudsku praksu).

112

Međutim, kao što je to nezavisna odvjetnica istaknula u točki 51. svojeg mišljenja, stavljanje na raspolaganje javnosti na internetu osobnih podataka koji se ne zahtijevaju ni Direktivom 2017/1132 ni nacionalnim pravom ne može se, samo po sebi, smatrati nužnim za ostvarivanje ciljeva koji se nastoje postići tom direktivom.

113

Konkretno, kad je riječ o sredstvima kojima se manje zadire u ta temeljna prava dotičnih osoba, valja istaknuti da se nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku predviđa da je podnositelj zahtjeva za upis društva u trgovački registar dužan dostaviti primjerak dokumenta tog društva u kojem su osobni podaci koji se ne zahtijevaju ispušteni i koji će se objaviti u tom registru te tako biti dostupan trećim osobama, ali koji u ovom slučaju nikad nije dostavljen Agenciji, čak ni nakon njezina zahtjeva. Međutim, bugarska vlada i Agencija potvrdile su da, čak i kada ispitanik nakon proteka razumnog roka ne može dobiti takav primjerak od predmetnog društva ili njegovih zastupnika, tim se zakonodavstvom ne predviđa mogućnost da Agencija sama izradi taj primjerak, što bi pak predstavljalo sredstvo kojim bi se na jednako učinkovit način mogli postići ciljevi osiguranja objavljivanja dokumenata trgovačkih društava, pravne sigurnosti i zaštite interesa trećih strana, a kojim se manje zadire u pravo na zaštitu osobnih podataka.

114

Valja još istaknuti, kao što je to učinila nezavisna odvjetnica u točki 56. svojeg mišljenja, da, suprotno onomu što je nekoliko država članica tvrdilo u svojim očitovanjima pred Sudom, zahtjev očuvanja cjelovitosti i vjerodostojnosti dokumenata društava koji podliježu obvezi objavljivanja predviđenoj Direktivom 2017/1132 kojim bi se nalagala objava tih dokumenata u obliku u kojem su dostavljeni tijelima zaduženima za vođenje trgovačkog registra, ne može sustavno prevagivati nad tim pravom jer bi time ta zaštita mogla postati samo iluzorna.

115

Konkretno, tim se zahtjevom ne može nametnuti da na internetu, u tom registru, i dalje budu dostupni javnosti osobni podaci koji se ne zahtijevaju Direktivom 2017/1132 ili nacionalnim pravom, s obzirom na to da bi Agencija, kao što to proizlazi iz točke 113. ove presude, mogla sama izraditi primjerak dokumenta predmetnog društva, koji se tim pravom predviđa, u svrhu njegova stavljanja na raspolaganje javnosti.

116

Iz toga slijedi da se čini da obrada osobnih podataka o kojoj je riječ u glavnom postupku u svakom slučaju prekoračuje ono što je nužno za izvršavanje zadaće od javnog interesa koja je Agenciji povjerena na temelju navedenog nacionalnog zakonodavstva.

117

Slijedom toga, kao što je to nezavisna odvjetnica navela u točki 59. svojeg mišljenja, pod uvjetom da to provjeri sud koji je uputio zahtjev, čini se da takva obrada ne ispunjava ni uvjete zakonitosti iz članka 6. stavka 1. prvog podstavka točaka (c) i (e), u vezi s člankom 6. stavkom 3. OUZP‑a.

118

Nadalje, kad je riječ o zahtjevu za brisanje na temelju članka 17. OUZP‑a o kojem je riječ u glavnom postupku, valja istaknuti da je na Agenciji da, u slučaju da sud koji je uputio zahtjev po okončanju svoje ocjene zakonitosti te obrade zaključi da navedena obrada nije zakonita, izbriše predmetne podatke bez nepotrebnog odgađanja, kao što to proizlazi iz točaka 82. i 83. ove presude, a prema jasnom tekstu članka 17. stavka 1. točke (d) OUZP‑a (vidjeti u tom smislu presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 108.).

119

Nasuprot tomu, valja istaknuti da bi se članak 17. stavak 1. točka (c) OUZP‑a primjenjivao ako bi taj sud zaključio da je ta obrada stvarno u skladu s osnovom zakonitosti iz članka 6. stavka 1. točke (e) OUZP‑a, osobito s obzirom na to da je stavljanje na raspolaganje javnosti na internetu, objavljivanjem u trgovačkom registru, podataka koji se ne zahtijevaju Direktivom 2017/1132 ili nacionalnim zakonodavstvom o kojem je riječ u glavnom postupku bilo potrebno kako bi se izbjeglo odgađanje upisa predmetnog društva u interesu zaštite trećih osoba.

120

Iz te odredbe, u vezi s člankom 21. stavkom 1. OUZP‑a, proizlazi da ispitanik ima pravo na ulaganje prigovora na obradu i pravo na brisanje, osim ako postoje jači legitimni razlozi koji prevladavaju nad interesima te pravima i slobodama te osobe u smislu tog članka 21. stavka 1., a što je na voditelju da dokaže (vidjeti u tom smislu presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 111.).

121

Međutim, čini se da u situaciji poput one o kojoj je riječ u glavnom postupku ne postoje jači legitimni razlozi, u smislu te odredbe, koji bi se mogli protiviti takvom zahtjevu za brisanje.

122

Naime, s jedne strane, iz odluke kojom se upućuje prethodno pitanje proizlazi da je društvo u kojem je osoba OL član već upisano u trgovački registar.

123

S druge strane, kao što je to istaknuto u točki 115. ove presude, zahtjevom očuvanja cjelovitosti i vjerodostojnosti dokumenata društava koji se prema Direktivi 2017/1132 moraju objaviti ne može se nalagati da se osobni podaci koji se ne zahtijevaju Direktivom 2017/1132 ili nacionalnim pravom stave na raspolaganje javnosti na internetu, objavljivanjem u tom registru.

124

Naposljetku, pod pretpostavkom da sud koji je uputio zahtjev zaključi da je obrada osobnih podataka o kojoj je riječ u glavnom postupku stvarno u skladu s osnovom zakonitosti iz članka 6. stavka 1. točke (c) OUZP‑a, valja istaknuti da se OUZP‑om, a osobito njegovim člankom 17. stavkom 3. točkom (b), izričito postavlja zahtjev odvagivanja, s jedne strane, temeljnih prava na privatnost i na zaštitu osobnih podataka, utvrđenih u člancima 7. i 8. Povelje i, s druge strane, ciljeva koji se legitimno žele ostvariti pravom Unije ili pravom država članica na kojima se temelji pravna obveza za čije je poštovanje obrada nužna (vidjeti po analogiji presudu od 8. prosinca 2022., Google (Uklanjanje poveznica koje vode do navodno netočnog sadržaja), C‑460/20, EU:C:2022:962, t. 58. i navedenu sudsku praksu).

125

Kao što je to Sud već presudio, ograničavanje pristupa osobnim podacima koji se prema pravu Unije moraju objaviti samo trećim osobama koje imaju konkretan interes može, u pojedinim slučajevima, biti opravdano jakim i zakonitim razlozima u vezi s posebnom situacijom ispitanika (vidjeti u tom smislu presudu od 9. ožujka 2017., Manni, C‑398/15, EU:C:2017:197, t. 60.).

126

Kao što je to nezavisna odvjetnica istaknula u točki 67. svojeg mišljenja, isto treba a fortiori vrijediti i kada se, kao u ovom slučaju, osobni podaci o kojima je riječ ne zahtijevaju ni Direktivom 2017/1132 ni nacionalnim pravom.

127

S obzirom na te elemente, na četvrto pitanje valja odgovoriti tako da Direktivu 2017/1132, osobito njezin članak 16., i članak 17. OUZP‑a treba tumačiti na način da im se protivi propis ili praksa države članice zbog kojih tijelo nadležno za vođenje trgovačkog registra te države članice odbija svaki zahtjev za brisanje osobnih podataka koji se ne zahtijevaju tom direktivom ili pravom navedene države članice, a koji su sadržani u društvenom ugovoru objavljenom u tom registru, kada primjerak tog ugovora u kojem su ti podaci skriveni nije dostavljen tom tijelu suprotno postupovnim pravilima predviđenima tim propisom.

128

Svojim šestim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 4. točku 1. OUZP‑a tumačiti na način da je vlastoručni potpis pojedinca obuhvaćen pojmom „osobni podatak” u smislu te odredbe.

129

Navedenom se odredbom predviđa da su osobni podaci „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” te se pojašnjava da je „pojedinac čiji se identitet može utvrditi […] osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet tog pojedinca”.

130

U tom pogledu, Sud je već presudio da upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” u istoj odredbi odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu (presuda 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 23.).

131

Informacija se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (presuda od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 24.).

132

Kad je riječ o tome može li se „utvrditi identitet” pojedinca, uvodnom izjavom 26. OUZP‑a pojašnjava se da bi „trebalo […] uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca”.

133

Iz toga proizlazi da široka definicija pojma „osobni podaci” ne obuhvaća samo podatke koje prikuplja i pohranjuje voditelj obrade, nego također uključuje sve informacije koje proizlaze iz obrade osobnih podataka koji se odnose na osobu čiji je identitet utvrđen ili se može utvrditi (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 26.).

134

Iz sudske prakse Suda također proizlazi da rukopis pojedinca sadržava informaciju o toj osobi (vidjeti u tom smislu presudu od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 37.).

135

Naposljetku, valja istaknuti da se vlastoručni potpis pojedinca općenito koristi za utvrđivanje njegova identiteta, za davanje dokazne vrijednosti potpisanim dokumentima u pogledu njihove točnosti i istinitosti ili za preuzimanje odgovornosti za te dokumente. Osim toga, očito je da se na predmetnom društvenom ugovoru potpis članova nalazi uz njihova imena.

136

S obzirom na prethodno navedeno, na šesto pitanje valja odgovoriti tako da članak 4. točku 1. OUZP‑a treba tumačiti na način da je vlastoručni potpis pojedinca obuhvaćen pojmom „osobni podaci” u smislu te odredbe.

137

Svojim sedmim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 1. OUZP‑a tumačiti na način da to što je ispitanik na određeno vrijeme izgubio nadzor nad svojim osobnim podacima zbog stavljanja tih podataka na raspolaganje javnosti na internetu, objavljivanjem u trgovačkom registru države članice, može biti dovoljno za nastanak „nematerijalne štete” ili se tim pojmom „nematerijalna šteta” zahtijeva dokazivanje postojanja dodatnih opipljivih negativnih posljedica.

138

Uvodno treba podsjetiti na to da se u toj odredbi navodi da „[s]vaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja [OUZP‑a] ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu”.

139

U tom pogledu, budući da OUZP ne upućuje na pravo država članica u pogledu smisla i dosega izraza iz navedene odredbe, osobito kad je riječ o pojmovima „materijalna ili nematerijalna šteta” i „naknada za pretrpljenu štetu”, u svrhu primjene te uredbe te izraze treba smatrati autonomnim pojmovima prava Unije koje treba tumačiti ujednačeno u svim državama članicama (vidjeti u tom smislu presudu od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 30.).

140

U tu svrhu, članak 82. stavak 1. OUZP‑a treba tumačiti na način da obična povreda te uredbe nije dovoljna za dodjelu prava na naknadu štete, s obzirom na to da je postojanje „štete”, materijalne ili nematerijalne, ili „pretrpljene štete” jedan od uvjeta prava na naknadu štete predviđenog u tom članku 82. stavku 1., kao i postojanje povrede navedene uredbe i uzročne veze između te štete i te povrede, pri čemu su ta tri uvjeta kumulativna (presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 32. i od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 34.).

141

Stoga osoba koja zahtijeva naknadu materijalne ili nematerijalne štete na temelju te odredbe mora dokazati ne samo povredu odredbi iste uredbe nego i to da joj je ta povreda prouzročila takvu materijalnu ili nematerijalnu štetu. Takva materijalna ili nematerijalna šteta ne može se jednostavno presumirati zbog nastanka navedene povrede (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 42. i 50. te od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 35.).

142

Konkretno, ispitanik u odnosu na kojeg je došlo do povrede OUZP‑a, koja mu je prouzročila štetne posljedice, dužan je dokazati da te posljedice predstavljaju nematerijalnu štetu u smislu članka 82. te uredbe jer puka povreda njezinih odredbi nije dovoljna za dodjelu prava na naknadu štete (presuda od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 60. i navedena sudska praksa).

143

Prema tome, kada osoba koja zahtijeva naknadu po osnovi tog članka 82. stavka 1. navede bojazan od zlouporabe njezinih osobnih podataka u budućnosti zbog postojanja takve povrede, nacionalni sud pred kojim se vodi postupak mora provjeriti može li se ta bojazan smatrati osnovanom u posebnim okolnostima o kojima je riječ i s obzirom na ispitanika (presuda od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 85.).

144

Međutim, Sud je već presudio da proizlazi ne samo iz teksta navedenog članka 82. stavka 1. OUZP‑a, u vezi s uvodnim izjavama 85. i 146. te uredbe u kojima se poziva na široko shvaćanje pojma „nematerijalna šteta” u smislu te prve odredbe, nego i iz cilja osiguranja visoke razine zaštite pojedinaca u pogledu obrade osobnih podataka, koji se nastoji postići navedenom uredbom, da bojazan da će treća osoba zloupotrebljavati osobne podatke ispitanika koju on proživljava uslijed povrede te uredbe može sama po sebi predstavljati „nematerijalnu štetu” u smislu istog članka 82. stavka 1. (presuda od 20. lipnja 2024., PS (Pogrešna adresa), C‑590/22, EU:C:2024:536, t. 32. i navedena sudska praksa).

145

Konkretno, iz oglednog popisa primjera „šteta” koje ispitanici mogu pretrpjeti, a koji se nalazi u prvoj rečenici uvodne izjave 85. OUZP‑a, proizlazi da je zakonodavac Unije namjeravao uključiti
u pojam „štete” koje ispitanici mogu pretrpjeti, osobito puki, „gubitak nadzora” nad vlastitim osobnim podacima, kao posljedica povrede te uredbe, iako nije došlo do konkretne zlouporabe podataka o kojima je riječ (vidjeti u tom smislu presudu od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 82.).

146

Usto, tumačenje članak 82. stavka 1. OUZP‑a u skladu s kojim pojam „nematerijalna šteta”, u smislu te odredbe ne bi uključivao situacije u kojima se ispitanik jedino poziva na svoju bojazan da će njegove osobne podatke u budućnosti zlouporabiti treća strana, nije usklađeno s jamstvom visoke razine zaštite pojedinaca u vezi s obradom osobnih podataka unutar Unije, na koji se odnosi ta uredba (vidjeti u tom smislu presudu od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 83.).

147

Isto tako, taj se pojam ne može ograničiti samo na štetu određenog stupnja ozbiljnosti, osobito kad je riječ o duljini razdoblja tijekom kojeg su ispitanici trpjeli štetne posljedice povrede navedene uredbe (vidjeti u tom smislu presudu od 14. prosinca 2023., Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, t. 16. i 19. te navedenu sudsku praksu.

148

Stoga se ne može smatrati da se trima uvjetima navedenima u točki 140. ove presude može dodati još uvjeta za nastanak odgovornosti predviđene člankom 82. stavkom 1. OUZP‑a, poput opipljivosti štete ili objektivnosti povrede (presuda od 14. prosinca 2023., Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, t. 17.).

149

Tom se odredbom ne zahtijeva ni da, nakon utvrđene povrede odredaba te uredbe, „nematerijalna šteta” koju navodi ispitanik mora doseći „najniži prag” kako bi se mogla naknaditi (presuda od 14. prosinca 2023., Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, t. 18.).

150

Slijedom toga, iako se ništa ne protivi tomu da objava osobnih podataka na internetu i posljedičan kratkoročan gubitak nadzora nad njima mogu ispitanicima uzrokovati „nematerijalnu štetu”, u smislu članka 82. stavka 1. OUZP‑a, na temelju kojih nastaje pravo na naknadu štete, usto je potrebno da te osobe dokažu da su stvarno pretrpjele takvu štetu, koliko god ona mala bila (vidjeti u tom smislu presude od 14. prosinca 2023., Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, t. 22. i od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 42.).

151

Naposljetku, treba pojasniti da, prilikom određivanja iznosa naknade štete koja se duguje na temelju prava na naknadu nematerijalne štete, nematerijalna šteta uzrokovana povredom osobnih podataka po svojoj prirodi nije manje važna od štete zbog tjelesne ozljede (presuda od 20. lipnja 2024., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, t. 39.).

152

Usto, kada određena osoba uspije dokazati da joj je zbog povrede OUZP‑a nastala šteta, u smislu članka 82. te uredbe, kriteriji za procjenu naknade štete koja se duguje u kontekstu pravnih sredstava za zaštitu prava koja pojedinci imaju na temelju tog članka moraju biti utvrđeni u okviru pravnog poretka svake države članice, pod uvjetom da je takva naknada štete potpuna i učinkovita (vidjeti u tom smislu presudu od 20. lipnja 2024., Scalable Capital, C‑182/22 i C‑189/22, EU:C:2024:531, t. 43.).

153

U tom pogledu, pravo na naknadu štete predviđeno tim člankom 82. stavkom 1., osobito u slučaju neimovinske štete, ispunjava isključivo kompenzacijsku funkciju jer novčana naknada koja se temelji na toj odredbi mora omogućiti da se u potpunosti nadoknadi šteta koja je konkretno pretrpljena zbog povrede navedene uredbe, a ne odvraćajuću ili kaznenu funkciju (vidjeti u tom smislu presude od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 57. i 58. te od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 61.).

154

Osim toga, s jedne strane, utvrđivanje odgovornosti voditelja obrade na temelju članka 82. OUZP‑a uvjetovano je postojanjem njegove krivnje koja se presumira, osim ako on ne dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu, i, s druge strane, tim se člankom 82. ne zahtijeva da se stupanj ozbiljnosti te krivnje uzme u obzir prilikom određivanja iznosa naknade nematerijalne štete dodijeljene na temelju navedenog članka (presude od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 103. i od 25. siječnja 2024., MediaMarktSaturn, C‑687/21, EU:C:2024:72, t. 52.).

155

U ovom slučaju, kao što je to istaknuto u točki 42. ove presude, sud koji je uputio zahtjev pojasnio je da je Administrativen sad Dobrich (Upravni sud u Dobriču) utvrdio da je nematerijalna šteta nastala u obliku negativnih psiholoških i emocionalnih iskustava osobe OL, odnosno straha i zabrinutosti u pogledu mogućih zlouporaba, kao i nemoći i razočaranja u pogledu nemogućnosti zaštite svojih osobnih podataka. Također je presudio da je ta šteta posljedica dopisa Agencije od 26. siječnja 2022. koji je doveo do povrede prava na brisanje utvrđenog u članku 17. stavku 1. OUZP‑a i nezakonite obrade osobnih podataka te osobe sadržanih u predmetnom društvenom ugovoru koji je stavljen na raspolaganje javnosti.

156

S obzirom na prethodna razmatranja, na sedmo pitanje valja odgovoriti tako da članak 82. stavak 1. OUZP‑a treba tumačiti na način da to što je ispitanik na određeno vrijeme izgubio nadzor nad svojim osobnim podacima zbog stavljanja tih podataka na raspolaganje javnosti na internetu, objavljivanjem u trgovačkom registru države članice, može biti dovoljno za nastanak „nematerijalne štete” ako ta osoba dokaže da je stvarno pretrpjela takvu štetu, koliko god ona mala bila, pri čemu se tim pojmom „nematerijalna šteta” ne zahtijeva dokazivanje postojanja dodatnih opipljivih negativnih posljedica.

157

Svojim osmim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 82. stavak 3. OUZP‑a tumačiti na način da je mišljenje koje je nadzorno tijelo države članice donijelo na temelju članka 58. stavka 3. točke (b) te uredbe dovoljno da se tijelo nadležno za vođenje trgovačkog registra te države članice, koje ima svojstvo „voditelja obrade” u smislu članka 4. točke 7. navedene uredbe, oslobodi od odgovornosti iz članka 82. stavka 2. te iste uredbe.

158

Kao prvo, kad je riječ o sustavu odgovornosti iz članka 82. OUZP‑a, valja podsjetiti na to da se u stavku 1. tog članka predviđa da svaka osoba koja je pretrpjela materijalnu ili nematerijalnu štetu zbog kršenja te uredbe ima pravo na naknadu od voditelja obrade ili izvršitelja obrade za pretrpljenu štetu. Kao što to proizlazi iz točke 140. ove presude, to pravo na naknadu štete uvjetovano je ispunjenjem triju kumulativnih uvjeta.

159

U skladu s člankom 82. stavkom 2. prvom rečenicom navedene uredbe svaki voditelj obrade koji je uključen u obradu odgovoran je za štetu prouzročenu obradom kojom se krši ista uredba. U toj odredbi, u kojoj je pojašnjen sustav odgovornosti čije je načelo utvrđeno u stavku 1. tog članka, navedena su tri uvjeta potrebna za nastanak prava na naknadu štete, i to obrada osobnih podataka kojom se krše odredbe OUZP‑a, šteta koju je pretrpio ispitanik te uzročna veza između te nezakonite obrade i te štete (presuda od 4. svibnja 2023., Österreichische Post (Nematerijalna šteta u vezi s obradom osobnih podataka), C‑300/21, EU:C:2023:370, t. 36.).

160

U članku 82. stavku 3. OUZP‑a navodi se pak da je voditelj obrade ili izvršitelj obrade izuzet od odgovornosti na temelju tog stavka 2. ako dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.

161

Kao što je to Sud već presudio, iz zajedničke analize stavaka 1. do 3. članka 82. OUZP‑a, konteksta tog članka i ciljeva koje zakonodavac Unije nastoji postići tom uredbom proizlazi da se navedenim člankom predviđa sustav subjektivne odgovornosti u kojem je teret dokazivanja na voditelju obrade, a ne na osobi koja je pretrpjela štetu (vidjeti u tom smislu presudu od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 94. i 95.).

162

Konkretno, ne bi bilo u skladu s ciljem osiguranja visoke razine zaštite pojedinaca u vezi s obradom osobnih podataka odlučiti se za tumačenje prema kojem bi, u okviru tužbe za naknadu štete utemeljene na članku 82. OUZP‑a, na ispitanicima koji su pretrpjeli štetu zbog povrede te uredbe bio teret dokazivanja ne samo postojanja te povrede i štete koja je zbog te povrede njima nastala, nego i postojanje krivnje voditelja obrade, točnije da je povredu počinio namjerno ili nepažnjom, odnosno stupanj te krivnje, iako taj članak 82. ne propisuje takve zahtjeve (vidjeti u tom smislu presudu od 21. prosinca 2023., Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, t. 99.).

163

U skladu sa sudskom praksom navedenom u točki 154. ove presude, utvrđivanje odgovornosti voditelja obrade na temelju navedenog članka 82. stoga je uvjetovano postojanjem njegove krivnje, koja se presumira, osim ako on dokaže da nije ni na koji način odgovoran za događaj koji je prouzročio štetu.

164

U tom pogledu, kao što to pokazuje izričito dodavanje izraza „ni na koji način” tijekom zakonodavnog postupka, okolnosti u kojima voditelj obrade može navesti da je oslobođen od građanskopravne odgovornosti koju snosi na temelju članka 82. OUZP‑a moraju biti strogo ograničene na one u kojima taj voditelj može dokazati da nije odgovoran za štetu (presuda od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 70.).

165

Sud je također presudio da, u slučaju povrede osobnih podataka koju je počinila treća strana, kao što je kiberkriminalac, ili osoba koja djeluje pod vodstvom voditelja obrade, potonji može biti oslobođen od svoje odgovornosti, na temelju članka 82. stavka 3. OUZP‑a, samo ako dokaže da ne postoji nikakva uzročna veza između moguće povrede obveze zaštite podataka koju ima na temelju te uredbe i štete koju je ispitanik pretrpio (vidjeti u tom smislu presude od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 72. i od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 51.).

166

Stoga, kako bi se taj voditelj mogao osloboditi od odgovornosti na temelju tog članka 82. stavka 3., nije dovoljno da dokaže da je dao upute osobama koje djeluju pod njegovim vodstvom, u smislu članka 29. navedene uredbe, i da je jedna od tih osoba povrijedila svoju obvezu da slijedi te upute, tako da je pridonijela nastanku predmetne štete (vidjeti u tom smislu presudu od 11. travnja 2024., juris, C‑741/21, EU:C:2024:288, t. 52.).

167

Kao drugo, kad je riječ o pravilima koja se odnose na dokazna sredstva, treba podsjetiti na to da OUZP ne sadržava pravila koja se odnose na prihvaćanje i dokaznu vrijednost dokaznog sredstva, a koja nacionalni sudovi koji odlučuju o tužbi za naknadu štete na temelju članka 82. te uredbe moraju primijeniti. Prema tome, u nedostatku pravnih pravila Unije u tom području, na nacionalnom je pravnom poretku svake države članice da utvrdi detaljna pravila kojima se uređuju pravna sredstva za zaštitu prava koja pojedinci imaju na temelju tog članka 82. i, osobito, pravila koja se odnose na dokazna sredstva, pod uvjetom poštovanja načela ekvivalentnosti i djelotvornosti (vidjeti u tom smislu presudu od 14. prosinca 2023., Nacionalna agencija za prihodite, C‑340/21, EU:C:2023:986, t. 60. i navedenu sudsku praksu).

168

Kao treće, kad je riječ o mišljenju izdanom na temelju članka 58. stavka 3. točke (b) OUZP‑a, treba podsjetiti na to da se tim člankom utvrđuju ovlasti nadzornih tijela.

169

Tako se člankom 58. stavkom 1. OUZP‑a tim tijelima dodjeljuju istražne ovlasti, njegovim stavkom 2. korektivne ovlasti, njegovim stavkom 3. u njemu navedene ovlasti u vezi s odobravanjem te savjetodavne ovlasti, a njegovim stavkom 5. ovlast obavještavanja pravosudnih tijela o povredama te uredbe i, prema potrebi, pokretanja pravnih postupaka kako bi se provele odredbe navedene uredbe.

170

Doista, među ovlastima navedenima u članku 58. stavku 3. OUZP‑a u tom članku 58. stavku 3. točki (b) nalazi se i ovlast „na vlastitu inicijativu ili na zahtjev, izdati nacionalnom parlamentu, vladi države članice ili, u skladu s pravom države članice, drugim institucijama i tijelima, te javnosti, mišljenje o svakom pitanju u vezi sa zaštitom osobnih podataka”.

171

Iz teksta te odredbe, osobito iz izraza „mišljenje”, jasno proizlazi da je izdavanje takvog mišljenja dio savjetodavnih ovlasti, a ne ovlasti nadzornog tijela u vezi s odobravanjem.

172

Upotreba izraza „mišljenje” i „savjetodavne ovlasti” također upućuje na to da mišljenje doneseno na temelju članka 58. stavka 3. točke (b), OUZP‑a prema pravu Unije, nije pravno obvezujuće.

173

Uvodna izjava 143. OUZP‑a potvrđuje to tumačenje. Naime, u toj se uvodnoj izjavi navodi da bi „svaka fizička ili pravna osoba trebala […] imati učinkovit pravni lijek pred nadležnim nacionalnim sudom protiv odluke nadzornog tijela koja proizvodi pravne učinke prema toj osobi. Takva odluka posebno se odnosi na provedbu istražnih, korektivnih i autorizacijskih ovlasti nadzornog tijela ili odbacivanje ili odbijanje pritužbi. Pravo na učinkovit sudski pravni lijek međutim ne obuhvaća mjere nadzornih tijela koje nisu pravno obvezujuće poput mišljenja ili savjeta koje je dalo nadzorno tijelo”.

174

Međutim, budući da mišljenje dano voditelju obrade nije pravno obvezujuće, njime se, samim po sebi, ne može dokazati da taj voditelj nije odgovoran za štetu, u smislu sudske prakse navedene u točki 164. ove presude, niti je, prema tome, dovoljno da se navedeni voditelj oslobodi od odgovornosti na temelju članka 82. stavka 3. OUZP‑a.

175

Takvo tumačenje tog članka 82. stavka 3. u skladu je i s ciljevima koji se nastoje postići OUZP‑om, a to su osigurati visoku razinu zaštite pojedinaca u vezi s obradom njihovih osobnih podataka i jamčiti učinkovitu naknadu štete koju oni mogu pretrpjeti zbog obrade tih podataka koja je provedena protivno toj uredbi. Naime, ako bi voditelju obrade bilo dovoljno da se pozove na mišljenje koje nije pravno obvezujuće kako bi izbjegao svaku odgovornost, a time i svaku obvezu naknade štete, on ne bi bio motiviran da učini sve što je u njegovoj moći da osigura tu visoku razinu zaštite i poštuje obveze propisane navedenom uredbom.

176

S obzirom na prethodno navedeno, na osmo pitanje valja odgovoriti tako da članak 82. stavak 3. OUZP‑a treba tumačiti na način da mišljenje koje je nadzorno tijelo države članice donijelo na temelju članka 58. stavka 3. točke (b) te uredbe nije dovoljno da se tijelo nadležno za vođenje trgovačkog registra te države članice, koje ima svojstvo „voditelja obrade” u smislu članka 4. točke 7. navedene uredbe, oslobodi od odgovornosti iz članka 82. stavka 2. iste uredbe.

177

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (prvo vijeće) odlučuje: