Privremena verzija

MIŠLJENJE NEZAVISNE ODVJETNICE

LAILE MEDINE

od 30. svibnja 2024.(1)

Predmet C-200/23

Agencija po vpisvanijata

protiv

OL,

uz sudjelovanje:

Vrhovne administrativne prokurature

(zahtjev za prethodnu odluku koji je uputio Vrhoven administrativen sad (Vrhovni upravni sud, Bugarska))

„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Objavljivanje društvenog ugovora koji sadržava osobne podatke u trgovačkom registru – Direktiva (EU) 2017/1132 – Voditelj obrade – Pravo na brisanje osobnih podataka”

I.      Uvod

1.        U svojem zahtjevu za prethodnu odluku Vrhoven administrativen sad (Vrhovni upravni sud, Bugarska) Sudu postavlja niz pitanja koja se odnose, u biti, na odnos između odredbi u području objavljivanja dokumenata društava, koje su usklađene na razini Unije(2), i Uredbe (EU) 2016/679(3).

2.        Taj je zahtjev upućen u okviru spora između Agencije po vpisvanijata (Agencija za upise u registre, Bugarska; u daljnjem tekstu: Agencija) i osobe OL u pogledu odbijanja te agencije da izbriše određene osobne podatke koji se odnose na osobu OL u dokumentu koji je učinjen dostupnim javnosti u trgovačkom registru.

II.    Pravni okvir

A.      Pravo Unije

3.        Za potrebe ovog mišljenja relevantni su osobito članci 14. i 16. Direktive 2017/1132, koja je zamijenila Direktivu 2009/101, te članci 4. do 6. i članak 17. OUZP-a. Radi veće preglednosti na tekst relevantnih odredbi tih članaka upućivat će se u okviru ove analize.

B.      Bugarsko pravo

4.        U članku 2. Zakona za trgovskija registar i registara na juridičeskite lica s nestopanska cel (Zakon o trgovačkom registru i registru neprofitnih pravnih osoba(4)), u verziji koja se primjenjuje na glavni postupak (u daljnjem tekstu: Zakon o registrima), određuje se:

„(1)      Trgovački registar i registar neprofitnih pravnih osoba [u daljnjem tekstu: registri] opća su elektronička baza podataka koja sadržava podatke za koje je upis propisan zakonom i dokumente koji se moraju učiniti dostupnima javnosti na temelju zakona, koji se odnose na trgovce i podružnice stranih trgovaca, neprofitne pravne osobe i podružnice stranih neprofitnih pravnih osoba.

(2)      Činjenice i dokumenti iz stavka 1. čine se dostupnima javnosti bez informacija koje čine osobne podatke u smislu članka 4. točke 1. [OUZP-a], uz iznimku informacija koje se moraju učiniti dostupnima javnosti na temelju zakona.”

5.        U skladu s člankom 6. stavkom 1. Zakona o registrima, svi su trgovci i neprofitne pravne osobe dužni zatražiti upis u registre i pritom dostaviti činjenice za koje je upis propisan i podnijeti dokumente koji se moraju učiniti dostupnima javnosti.

6.        Članak 11. tog zakona glasi:

„(1)      [Registri] su javni. Svatko ima pravo na slobodan i besplatan pristup bazi podataka koja čini registre.  

(2)      [Agencija] osigurava pristup koji se bilježi spisu trgovca ili neprofitne pravne osobe.”

7.        U članku 13. stavcima 1., 2., 6. i 9. navedenog zakona određuje se:

„(1)      Upis, brisanje i objava izvršavaju se na temelju obrasca zahtjeva.

(2)      Zahtjev sadržava:

1.       podatke za kontakt podnositelja zahtjeva;

[…]

3.       činjenicu za koju je propisan upis, upis čije se brisanje traži ili akt koji se mora učiniti dostupnim javnosti;

(6)      [U]z zahtjev se dostavljaju dokumenti ili, ovisno o slučaju, akt koji se mora učiniti dostupnim javnosti, u skladu sa zakonskim zahtjevima. Dokumenti se dostavljaju u izvorniku, kao primjerak koji je ovjerio podnositelj zahtjeva ili primjerak s javnobilježničkom ovjerom. Podnositelj zahtjeva također dostavlja ovjerene primjerke akata koji se moraju učiniti dostupnima javnosti u trgovačkom registru, u kojima su skriveni svi osobni podaci osim onih propisanih zakonom.

[…]

(9)      Ako se u zahtjevu ili dokumentima koji su mu priloženi navode osobni podaci koji nisu propisani zakonom, smatra se da su osobe koje su ih pružile dale privolu za to da ih [Agencija] obrađuje i da se učine dostupnima javnosti.”

8.        U članku 101. točki 3. Trgovskog zakona (Zakon o trgovini(5)), u verziji koja se primjenjuje na glavni postupak (u daljnjem tekstu: Zakon o trgovini), određuje se da društveni ugovor mora sadržavati „ime, tvrtku i jedinstveni identifikacijski broj članova”.

9.        U skladu s člankom 119. stavkom 1. Zakona o trgovini, za upis društva u trgovački registar potrebno je, među ostalim, podnijeti društveni ugovor, koji se čini dostupnim javnosti. U skladu sa stavkom 4. tog članka, „za izmjenu ili dopunu društvenog ugovora u trgovačkom registru podnosi se primjerak navedenog ugovora sa svim izmjenama i svim dodacima koji je ovjerilo tijelo koje zastupa društvo, kako bi ga se učinilo dostupnim javnosti.”

III. Glavni postupak i prethodna pitanja

10.      Osoba OL član je „OOD-a”, društva s ograničenom odgovornošću osnovanog u skladu s bugarskim pravom, koje je 14. siječnja 2021. upisano u trgovački registar. Uz zahtjev za upis dostavljen je društveni ugovor od 30. prosinca 2020., koji su potpisali članovi društva (u daljnjem tekstu: društveni ugovor iz 2020.). Taj ugovor, u kojem su navedeni ime i prezime osobe OL, njezin identifikacijski broj, broj njezine osobne iskaznice, datum i mjesto izdavanja osobne iskaznice te njezina adresa, upisan je i učinjen dostupnim javnosti u obliku u kojem je dostavljen. Osoba OL je 8. srpnja 2021. zatražila od Agencije da izbriše njezine osobne podatke u društvenom ugovoru iz 2020. te je navela da povlači svoju privolu ako se obrada njezinih podataka temelji na njoj. Budući da Agencija nije odgovorila na njezin zahtjev, osoba OL je pokrenula postupak pred Administrativenim sadom Dobrič (Upravni sud u Dobriču, Bugarska), koji je poništio prešutno odbijanje Agencije da ispuni zahtjev osobe OL te je predmet vratio Agenciji na ponovno odlučivanje. U okviru izvršenja te presude i presude sličnog sadržaja u vezi s drugim članom društva koji je podnio isti zahtjev, Agencija je u dopisu od 26. siječnja 2022. navela da joj, da bi se mogao ispuniti zahtjev za brisanje, treba dostaviti ovjereni primjerak društvenog ugovora iz 2020. u kojem su skriveni osobni podaci članova, uz iznimku onih koji su propisani zakonom (u daljnjem tekstu: dopis od 26. siječnja 2022.). Osoba OL je 31. siječnja 2022. ponovno podnijela tužbu Administrativenom sadu Dobrič (Upravni sud u Dobriču) kojom je tražila da se poništi dopis od 26. siječnja 2022. i Agenciji naloži da joj naknadi nematerijalnu štetu koja joj je nastala zbog tog dopisa, kojim se povređuju njezina prava na temelju OUZP-a. Prije nego što joj je dostavljena ta tužba, Agencija je 1. veljače 2022. po službenoj dužnosti obrisala identifikacijski broj, podatke u vezi s osobnom iskaznicom i adresu osobe OL, ali ne i njezino ime, prezime i potpis. Presudom od 5. svibnja 2022. Administrativen sad Dobrič (Upravni sud u Dobriču) poništio je dopis od 26. siječnja 2022. te je Agenciji naložio da osobi OL isplati naknadu štete u iznosu od 500 bugarskih leva (BGN) (oko 255 eura), ne uključujući zakonske kamate, za pretrpljenu nematerijalnu štetu na temelju članka 82. OUZP-a. Prema toj je presudi ta šteta nastala u obliku negativnih osjećaja i iskustava prouzročenih tim dopisom koji je doveo do povrede prava na brisanje utvrđenog u članku 17. stavku 1. OUZP-a i nezakonite obrade podataka te osobe sadržanih u ugovoru koji je učinjen dostupnim javnosti. Agencija je protiv te presude podnijela žalbu u kasacijskom postupku sudu koji je uputio zahtjev. Ona tvrdi, među ostalim, da nije samo voditelj obrade, nego i primatelj podataka dostavljenih u okviru postupka upisa u registar, te da joj, iako je to zatražila prije upisa društva čiji je osoba OL član, nije dostavljen nijedan primjerak ugovora tog društva sa skrivenim podacima koji se nisu morali učiniti dostupnima javnosti. Doista, upis trgovačkog društva ne može se odbiti samo zbog tog razloga. Ona se poziva na mišljenje nacionalnog nadzornog tijela, Komisije za zaštita na ličnite danni (Komisija za zaštitu osobnih podataka, Bugarska) iz 2021., izdano na temelju članka 58. stavka 3. točke (b) OUZP-a (u daljnjem tekstu: mišljenje iz 2021.)(6), u kojem je potvrđeno da ona nije ovlaštena mijenjati sadržaj dokumenata koji joj se dostave radi njihova upisa u registar. Osoba OL tvrdi pak da Agencija, kao voditelj obrade, ne može naložiti drugim osobama da ispune njezinu obvezu brisanja. Poziva se na nacionalnu sudsku praksu prema kojoj mišljenje iz 2021. nije u skladu s odredbama OUZP-a.

11.      U tim je okolnostima Vrhoven administrativen sad (Vrhovni upravni sud) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

„1.      Može li se članak 4. stavak 2. Direktive [2009/101] tumačiti na način da se njime propisuje obveza države članice da dopusti objavu društvenog ugovora za koji se u skladu s člankom 119. [Zakona o trgovini] zahtijeva upis ako taj ugovor osim imena članova društva, čija je objava obvezna u skladu s člankom 2. stavkom 2. [Zakona o registrima], sadržava i druge osobne podatke? Prilikom odgovora na to pitanje treba uzeti u obzir da je [Agencija] subjekt javnog sektora protiv kojeg se, prema ustaljenoj sudskoj praksi Suda, može pozvati na odredbe Direktive koje proizvode izravan učinak (presuda od 7. rujna 2006., Vassallo, С-180/04, ECLI:EU:C:2006:518, t. 26. i navedena sudska praksa).

2.      Može li se, u slučaju potvrdnog odgovora na prvo pitanje, pretpostaviti da je u okolnostima koje su dovele do spora u glavnom postupku obrada osobnih podataka koju provodi [Agencija] nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade u smislu članka 6. stavka 1. točke (e) [OUZP-a]?

3.      Može li se, u slučaju potvrdnog odgovora na prva dva pitanja, nacionalna odredba poput odredbe članka 13. stavka 9. [Zakona o registrima], u skladu s kojom, kad se u nekom zahtjevu ili dokumentima koji se odnose na taj zahtjev navode osobni podaci koji se ne zahtijevaju zakonom, valja pretpostaviti da su osobe koje su stavile na raspolaganje taj zahtjev ili dokumente dale privolu za to da Agencija obrađuje te podatke te da im se omogući javni pristup, neovisno o uvodnim izjavama 32., 40., 42., 43. i 50. [OUZP-a], smatrati dopuštenom kao razjašnjenje mogućnosti ‚dobrovoljne objave’ u smislu članka 4. stavka 2. Direktive [2009/101] koja se odnosi i na osobne podatke?

4.      Jesu li u svrhu ispunjenja obveze iz članka 3. stavka 7. Direktive [2009/101], u skladu s kojom države članice trebaju poduzeti potrebne mjere kako bi izbjegle bilo kakvu nedosljednost između onog što je objavljeno u skladu sa stavkom 5. i onog što se navodi u registru ili spisu te kako bi uzele u obzir interese trećih strana u pogledu toga da provjere sadržaje osnovnih dokumenata i druge informacije koje se odnose na trgovačko društvo koji se navode u uvodnoj izjavi 3. te direktive, dopušteni nacionalni propisi kojima se predviđa postupovna odredba (obrasci zahtjeva, dostava preslika dokumenata u kojima su skriveni osobni podaci) za provedbu prava pojedinca u skladu s člankom 17. [OUZP-a] da od voditelja obrade ishodi da se bez odgađanja obrišu osobni podaci koji se odnose na njega ako su osobni podaci čije se brisanje nastoji ishoditi dio javno objavljenih dokumenata koje je voditelju obrade na temelju slične postupovne odredbe stavila na raspolaganje druga osoba, koja je tom radnjom odredila i svrhu obrade koju je zatražila?

5.      Djeluje li [Agencija] u situaciji kao što je ona na kojoj se temelji glavni postupak samo kao voditelj obrade osobnih podataka ili je i primatelj tih podataka ako je svrhu njihove obrade kao dio dokumenata dostavljenih u svrhu objave odredio neki drugi voditelj obrade?

6.      Predstavlja li vlastoručni potpis pojedinca podatak koji se odnosi na pojedinca čiji je identitet utvrđen, odnosno je li obuhvaćen pojmom ‚osobni podaci’ u smislu članka 4. točke 1. [OUZP-a]?

7.      Treba li pojam ‚nematerijalna šteta’ iz članka 82. stavka 1. [OUZP-a] tumačiti na način da pretpostavka postojanja nematerijalne štete zahtijeva osjetno oštećenje i objektivno razumljivu povredu osobnih interesa ispitanika ili je za to dovoljan puki kratkotrajni gubitak suvereniteta ispitanika nad njegovim podacima zbog objave osobnih podatka u trgovačkom registru, koji ispitaniku nije prouzročio nikakve osjetne ili štetne posljedice?

8.      Može li mišljenje [2021.] koje je u skladu s člankom 58. stavkom 3. točkom (b) [OUZP-a] izdalo nacionalno nadzorno tijelo [Komisija za zaštitu osobnih podataka], u skladu s kojim [Agencija] nema nikakvu pravnu mogućnost ni ovlast da po službenoj dužnosti ili na zahtjev ispitanika ograniči obradu već objavljenih podataka, poslužiti kao prihvatljiv dokaz u smislu članka 82. stavka 3. [OUZP-a] za to da [Agencija] ni na koji način nije odgovorna za događaj koji je pojedincu navodno prouzročio štetu?”

IV.    Postupak pred Sudom

12.      Stranke glavnog postupka, bugarska, njemačka, irska, talijanska, poljska i finska vlada i Komisija podnijele su pisana očitovanja, na temelju članka 23. Statuta Suda Europske unije, u pogledu svih ili dijela prethodnih pitanja. Na raspravi održanoj 7. ožujka 2024. saslušana su također izlaganja stranaka glavnog postupka, bugarske i irske vlade i Komisije.

A.      Analiza

13.      Ovo će mišljenje, na zahtjev Suda, biti usredotočeno na četvrto i peto prethodno pitanje, za koja predlažem da se razmatraju zajedno. Smatram da, prije nego što započnem analizu, treba iznijeti nekoliko uvodnih napomena koje se odnose na zahtjev za prethodnu odluku u cjelini.

1.      Uvodne napomene

14.      Najprije valja istaknuti – kao što su to učinile stranke glavnog postupka, Komisija i većina država članica koje su podnijele očitovanja Sudu – da se u obrazloženju odluke kojom se upućuje zahtjev za prethodnu odluku, kao i u tekstu prethodnih pitanja, uključujući osobito četvrto pitanje, upućuje na odredbe Direktive 2009/101. Međutim, ona je stavljena izvan snage i zamijenjena, s učinkom od 20. srpnja 2017., Direktivom 2017/1132, koja se primjenjuje ratione temporis na činjenice u glavnom postupku. Stoga ću u nastavku svoje analize upućivati isključivo na potonju direktivu.

15.      Zatim valja podsjetiti na to da je Direktiva 2017/1132, konkretno njezini članci 16. i 161., u dijelu u kojem su oni relevantni za ispitivanje zahtjeva za prethodnu odluku o kojem je riječ, izmijenjena Direktivom (EU) 2019/1151(7), koja je stupila na snagu 31. srpnja 2019. Doista, iako je točno, kao što to naglašava Komisija, da je društveni ugovor iz 2020. koji sadržava osobne podatke osobe OL upisan u trgovački registar prije 1. kolovoza 2021., datuma isteka roka za prenošenje Direktive 2019/1151(8), dio se činjenica dogodio nakon tog datuma, uključujući slanje dopisa Agencije od 26. siječnja 2022., brisanje nekih od tih podataka koje je izvršila po službenoj dužnosti te njihovo ponovno objavljivanje u registru, što navodi druga stranka iz glavnog postupka u svojim pisanim očitovanjima. Prema tome, nije isključeno da se verzija Direktive 2017/1132 kako je izmijenjena Direktivom 2019/1151 primjenjuje ratione temporis u okviru glavnog postupka, što je na sudu koji je uputio zahtjev da provjeri. Zbog toga ću u nastavku svoje analize upućivati na tu verziju.

16.      Međutim, već sada pojašnjavam da izmjene uvedene Direktivom 2019/1151 imaju, kao takve, samo malen utjecaj na pitanje u skladu s kojim uvjetima tijelo države članice odgovorno za vođenje registra trgovačkih društava treba osigurati zaštitu osobnih podataka u obavljanju svojih dužnosti. Nasuprot tomu, važno je pak općenitije naglasiti da se tom direktivom želi ojačati i ustaliti upotreba digitalnih alata i postupaka u prikupljanju tokova informacija o društvima i upravljanju tim tokovima, što podrazumijeva povećani pristup osobnim podacima sadržanima u njima te povećava rizik od povreda prava na zaštitu takvih podataka i štetnost tih povreda(9). Naime, takav postupak digitalizacije(10), zajedno sa sve većom prekograničnom dostupnošću navedenih informacija, koju zakonodavac Unije također želi postići(11), zahtijeva posebnu pozornost kada se odvaguju, s jedne strane, ciljevi pravne sigurnosti i zaštite prava trećih osoba na kojima se, kao što će se vidjeti u nastavku, temelje pravila u području objavljivanja podataka o društvima te, s druge strane, temeljna prava na poštovanje privatnog života i zaštitu osobnih podataka(12).

17.      Također uvodno ističem da se glavni postupak odnosi na brisanje iz trgovačkog registra države članice osobnih podataka za koje ni Direktivom 2017/1132 ni pravom države članice o kojoj je riječ nije propisano da ih se mora učiniti dostupnima javnosti te na odgovornost nacionalnog tijela zaduženog za vođenje tog registra za nematerijalnu štetu prouzročenu odbijanjem neposrednog i bezuvjetnog ispunjenja zahtjeva za brisanje takvih podataka. Međutim, glavni se postupak ne odnosi izravno na pitanje koje obveze takvo tijelo ima u pogledu zaštite osobnih podataka prilikom upisa u trgovački registar akata o osnivanju društva koji sadržavaju podatke čija objava nije obvezna. To pitanje ostaje ipak u pozadini, kao što to proizlazi iz činjenice da je veći broj država članica intervenijenata tomu posvetio velik dio svojih očitovanja, predlažući značajno preoblikovanje prvih četiriju prethodnih pitanja ili nekih od njih. U nastavku svoje analize razmotrit ću određene aspekte tog pitanja, ali pritom ću se zadržati u granicama zadanima predmetom glavnog postupka i prethodnim pitanjima na koja je ovo mišljenje usredotočeno.

2.      Četvrto i peto prethodno pitanje

18.      Svojim četvrtim prethodnim pitanjem, čiju dopuštenost osporava bugarska vlada, sud koji je uputio zahtjev u biti pita treba li Direktivu 2017/1132 tumačiti na način da se njome dopušta primjenjivanje posebnih postupovnih uvjeta na pravo pojedinaca, u ovom slučaju članova društva s ograničenom odgovornošću navedenog u toj direktivi(13), na brisanje iz trgovačkog registra osobnih podataka koji se odnose na njih, koji se, iako nisu jedne od informacija koje se moraju objaviti na temelju nacionalnog prava, nalaze u aktu o osnivanju tog društva koji je učinjen dostupnim javnosti u okviru upisa tog društva u navedeni registar. Svojim petim prethodnim pitanjem sud koji je uputio zahtjev traži pak od Suda da pojasni, kad je riječ o takvim podacima, djeluje li tijelo zaduženo za vođenje trgovačkog registra u svojstvu „voditelja obrade” na temelju članka 4. točke 7. OUZP-a ili je ono i „primatelj” podataka koje obrađuje, u smislu članka 4. točke 9. te uredbe, s obzirom na to da je svrhu njihove obrade prethodno odredila treća strana.

19.      Kao što sam to prethodno navela, prema mojem mišljenju ta dva pitanja valja razmatrati zajedno. Radi toga ću različite dvojbe koje proizlaze iz tih pitanja obraditi sljedećim redoslijedom. Najprije ću iznijeti kratak pregled opsega obveza u području objavljivanja podataka društava navedenih u Prilogu II. Direktive 2017/1132, nakon čega ću ispitati, kao prvo, tko je voditelj obrade osobnih podataka sadržanih u dokumentima koji se moraju objaviti u okviru upisa društva u trgovački registar države članice kada, kao u ovom slučaju, otkrivanje predmetnih podataka nije propisano ni usklađenim pravom Unije ni pravom države članice o kojoj je riječ. Kao drugo, razmotrit ću pitanje o tome koja je u ovom slučaju pravna osnova za obradu takvih podataka. Kao treće, osvrnut ću se na pitanje imaju li zainteresirane osobe, kada se navedeni podaci otkriju nakon što je dokument u kojem su bili sadržani učinjen dostupnim javnosti, pravo na brisanje u skladu s člankom 17. OUZP-a. Naposljetku, kao četvrto, razmotrit ću pitanje mogu li se na takvo pravo primjenjivati postupovna pravila kao što su ona koja navodi sud koji je uputio zahtjev.

20.      Prije nego što započnem tu analizu, valja odgovoriti na osporavanja bugarske vlade kad je riječ o dopuštenosti četvrtog prethodnog pitanja. Ta vlada smatra da se četvrto prethodno pitanje u biti odnosi na usklađenost s člankom 16. stavkom 7. Direktive 2017/1132 – u verziji prije izmjena uvedenih Direktivom 2019/1151 – nacionalnog zakonodavstva koje još nije doneseno. Stoga je to pitanje hipotetsko. U tom pogledu, ističem da sud koji je uputio zahtjev treba odlučiti, u zadnjem stupnju, o zakonitosti odbijanja Agencije da izbriše određene osobne podatke druge stranke u postupku sadržane u dokumentu koji je učinjen dostupnim javnosti slijedom njezina upisa u trgovački registar, kao i o posljedicama tog odbijanja. Da bi to učinio, sud koji je uputio zahtjev konkretno treba ocijeniti, s obzirom na odredbe Direktive 2017/1132 i OUZP-a, može li se takvo odbijanje opravdati, među ostalim, činjenicom da u spis nije uložen ovjereni primjerak tog dokumenta s ispuštenim osobnim podacima o kojima je riječ. Stoga je tražena prethodna odluka nužna da bi sud koji je uputio zahtjev mogao donijeti presudu u sporu koji se pred njim vodi. Usto, unatoč nejasnom tekstu četvrtog prethodnog pitanja, iz odluke kojom se upućuje zahtjev za prethodnu odluku jasno proizlazi da cilj tog pitanja nije dobiti mišljenje o usklađenosti s pravom Unije nacionalnog zakonodavstva koje još nije doneseno, nego zatražiti od Suda elemente tumačenja tog prava koji su sudu koji je uputio zahtjev potrebni za rješavanje spora koji se pred njim vodi. Četvrto je prethodno pitanje stoga, prema mojem mišljenju, dopušteno.

3.      Kratak pregled opsega obveza u području objavljivanja dokumenata i podataka u vezi s društvima navedenima u Prilogu II. Direktivi 2017/1132

21.      U članku 14. Direktive 2017/1132 propisuje se da države članice, za vrste društava iz Priloga II. toj direktivi, obvezno objavljuju „barem” dokumente i podatke navedene u tom članku. Među dokumentima koji se moraju objaviti, u članku 14., u točkama (a) do (c) navedene direktive, navode se „[akt] o osnivanju te, ako je sadržan u zasebnom aktu, [statut društva]” te njihove izmjene. U skladu s člankom 4. točkom (i) iste direktive, obvezne informacije koje se moraju navesti u statutu, u aktu o osnivanju ili u zasebnom dokumentu koji se objavljuje uključuju identitet fizičkih ili pravnih osoba, društava ili poduzeća koji su potpisali ili u čije ime je potpisan statut ili akt o osnivanju. Među podacima čiju objavu treba osigurati, taj članak 14. u točki (d) navodi „imenovanj[e], prestan[ak] obavljanja funkcije i poda[ci] o osobama koje [su] kao tijelo osnovano u skladu sa zakonom, ili kao članovi takvog tijela[,] ovlaštene zastupati trgovačko društvo u poslovanju s trećim osobama te u pravnim postupcima” i/ili „sudjeluju u upravljanju trgovačkim društvom, nadzoru nad njime ili kontroli trgovačkog društva”. U skladu s člankom 16. stavkom 2. Direktive 2017/1132, kako je izmijenjena Direktivom 2019/1151, svi dokumenti i informacije koji se moraju objaviti na temelju članka 14. čuvaju se u spisu iz stavka 1. tog članka, koji je otvoren u središnjem registru, trgovačkom registru ili registru trgovačkih društava, ili se unose izravno u registar(14). U skladu s člankom 16. stavcima 3. i 4. te direktive, kako je izmijenjena Direktivom 2019/1151, države članice osiguravaju da se objavljivanje dokumenata i informacija iz njezina članka 14. provodi tako što ih se čini javno dostupnima u registru. Osim toga, države članice mogu zahtijevati da neki ili svi ti dokumenti i informacije budu objavljeni u za to namijenjenom nacionalnom službenom listu ili na jednako djelotvoran način. Države članice poduzimaju sve potrebne mjere kako bi se izbjeglo bilo kakvo odstupanje između onoga što je upisano u registar i onoga što se nalazi u spisu te između onoga što je objavljeno u registru i onoga što je objavljeno u službenom listu.

22.      U pogledu prethodno navedenih zahtjeva iz Direktive 2017/1132 mogu se iznijeti sljedeće napomene.

23.      Kao prvo, Direktiva 2017/1132 propisuje obvezno objavljivanje i dostupnost u registru cijelog teksta akta o osnivanju društva i njegovih izmjena(15).

24.      Kao drugo, kad je riječ o društvima iz njezina priloga II., ta direktiva propisuje objavljivanje i dostupnost u registru samo za informacije koje se odnose na određene kategorije osoba, odnosno, među ostalima, osobe koje su ovlaštene zastupati trgovačko društvo ili sudjeluju u upravljanju trgovačkim društvom, nadzoru nad njime ili njegovoj kontroli. U skladu s člankom 4. točkom (i) navedene direktive, objavljuju se i podaci o identitetu fizičkih osoba koje su potpisale akt o osnivanju društva.

25.      Kao treće, te su informacije, s obzirom na to da se odnose na pojedince čiji je identitet utvrđen ili se može utvrditi, „osobni podaci” u smislu članka 4. točke 1. OUZP-a(16).

26.      Kao četvrto, prethodno navedene odredbe Direktive 2017/1132 sadržavaju samo minimalne zahtjeve u pogledu objavljivanja dokumenata i informacija u vezi s društvima. Stoga je na državama članicama da odrede, među ostalim, koje se kategorije informacija o identitetu osoba navedenih u članku 4. točki (i) i članku 14. točki (d) te direktive obvezno objavljuju. Države članice su osim toga slobodne odrediti obvezu takvog objavljivanja za druge dokumente ili podatke, koji se po potrebi odnose na druge kategorije osoba. Podrazumijeva se da su pritom dužne poštovati sve odredbe prava Unije i, osobito, načela iz članka 8. i članka 52. stavka 1. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) i odredbe OUZP-a.

4.      Voditelj obrade

27.      U članku 4. točki 7. OUZP-a pojam „voditelj obrade” definira se široko kao fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima „određuje svrhe i sredstva obrade” osobnih podataka. Cilj je te široke definicije, u skladu s ciljem te uredbe, osigurati učinkovitu zaštitu sloboda i temeljnih prava fizičkih osoba, a posebno visoku razinu zaštite prava svake osobe na zaštitu osobnih podataka koji se na nju odnose(17). I pojam „obrada” definira se široko(18). U skladu s člankom 4. točkom 2. OUZP-a, „obrada” znači „svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje”.

28.      Iz presude Manni proizlazi da, upisivanjem i čuvanjem u trgovačkom registru informacija o identitetu osoba navedenih u članku 14. točki (d) Direktive 2017/1132 te njihovim otkrivanjem, tijelo zaduženo za vođenje tog registra provodi „obradu osobnih podataka”, čiji je on „voditelj”, u smislu definicija iz članka 4. točaka 2. i 7. OUZP-a. To očigledno vrijedi i kada su predmet upisa u taj registar te se čuvaju i otkrivaju oni osobni podaci koji nisu izričito navedeni u toj direktivi, ako je objavljivanje tih podataka propisano pravom države članice.

29.      Međutim, u ovom se predmetu postavlja pitanje je li takvo tijelo, u ovom slučaju Agencija, odgovorno za stavljanje na raspolaganje javnosti osobnih podataka čije objavljivanje nije propisano ni Direktivom 2017/1132 ni pravom države članice o kojoj je riječ, u ovom slučaju bugarskim pravom, ali koji su sadržani u dokumentu za koji su upis i otkrivanje obvezni.

30.      Smatram da na to pitanje treba odgovoriti potvrdno.

31.      Osobni podaci osobe OL učinjeni su dostupnima javnosti u trgovačkom registru, naime, u okviru izvršavanja ovlasti dodijeljenih Agenciji kao tijelu zaduženom za vođenje tog registra. Kao što je to prethodno navedeno, bugarsko zakonodavstvo propisuje da se uz zahtjev za upis društva u taj registar dostavlja izvornik ili ovjereni primjerak dokumenata koji se moraju objaviti, među kojima je društveni ugovor, koje je Agencija dužna učiniti dostupnima javnosti. Svrhe i sredstva obrade osobnih podataka koju Agencija provodi u okviru izvršavanja svoje zadaće također su određeni bugarskim pravom, kao i pravom Unije, koja je, kao što je prethodno rečeno, provela usklađivanje zakonodavstava država članica u području objavljivanja podataka društava. Stoga Agenciju, kao tijelo zaduženo za obradu osobnih podataka iz dokumenata upisanih u trgovački registar u skladu sa svrhama i sredstvima određenima bugarskim pravom i pravom Unije, treba smatrati „voditeljem obrade” u smislu članka 4. točke 7. OUZP-a. Ističem da je Sud nedavno došao do sličnog zaključka, kad je bila riječ o nacionalnom tijelu koje je na temelju zakona zaduženo za vođenje službenog lista države članice, u presudi od 11. siječnja 2024., État belge (Podaci koje obrađuje službeni list)(19).

32.      Taj zaključak ne dovodi u pitanje okolnost da, u ovom slučaju, podaci sadržani u društvenom ugovoru iz 2020. nisu jedni od onih koji se na temelju bugarskog prava moraju učiniti dostupnima javnosti. S jedne strane, Sud je u presudi État belge implicitno priznao da takva okolnost ne utječe na određivanje voditelja obrade. Naime, u predmetu koji je doveo do donošenja te presude, kao i u predmetu u kojem je podnesen zahtjev za prethodnu odluku o kojem je ovdje riječ, spor se odnosio na podatke za koje pravom države članice o kojoj je riječ nije bilo propisano da se čine dostupnima javnosti. S druge strane, člankom 13. stavkom 9. Zakona o registrima izričito je propisano da, u slučaju da podnositelj zahtjeva ne podnese ovjereni primjerak dokumenta koji se mora objaviti u kojem su ispušteni osobni podaci koji nisu propisani, Agencija obrađuje te podatke i čini ih dostupnima javnosti na osnovi pretpostavljene prešutne suglasnosti. Prema tome, čak i u takvim okolnostima, bugarskim se zakonodavstvom Agencija izričito određuje kao voditelj obrade.

33.      U tim se okolnostima ne mogu složiti s argumentom koji je Agencija iznijela u svojim pisanim očitovanjima, prema kojem, ako podnositelj zahtjeva ne prikrije informacije sadržane u dokumentima koje dostavlja u svrhu upisa u registar koje nisu propisane zakonom, sam postaje voditelj obrade koju čini njihovo objavljivanje na internetu u tom registru. Naime, neovisno o tome može li privola za objavu tih informacija biti valjano dana primjenom pretpostavke predviđene u članku 13. stavku 9. Zakona o registrima, postojanje takve privole ne može utjecati na određivanje voditelja obrade, nego samo na njezinu zakonitost.

34.      Isto tako, nije relevantna okolnost, koju je Agencija također istaknula, da dokumenti dostavljeni u okviru zahtjeva za upis u trgovački registar nisu strukturirani ili strojno čitljivi podaci, za razliku od digitalnih polja tog registra, koje ispunjava službenik koji izvršava upis i koji odgovaraju pravnoj definiciji „registra” u bugarskom pravu. Naime, Agencija je tijelo zaduženo za vođenje trgovačkog registra na temelju bugarskog prava te je stoga odgovorna za svaku obradu osobnih podataka koji se u njemu objavljuju, neovisno o okolnosti jesu li ti podaci sadržani u dokumentu koji je dostavljen uz zahtjev ili je li ih unosio službenik Agencije. Prema tome, iako sama ne digitalizira dokumente koji joj se dostavljaju, ipak je odgovorna za otkrivanje tih dokumenata, i podataka koje oni sadržavaju, u okviru registra. Općenitije govoreći, ona u okviru svoje zadaće od javnog interesa prikuplja, bilježi, pohranjuje, organizira i uređuje skup podataka, akata i dokumenata koji su joj dostavljeni, u strukturiranoj bazi podataka, koja je priznata kao pouzdan i vjerodostojan izvor informacija.

35.      Naposljetku, kvalifikaciju Agencije kao „voditelja obrade” u smislu članka 4. točke 7. OUZP-a ne dovodi u pitanje činjenica da ona ne provjerava, prije njihova objavljivanja na internetu, osobne podatke u elektroničkim preslikama dokumenata ili njihovim izvornicima u papirnatom obliku koji su dostavljeni u svrhu upisa, niti činjenica da ona ne može mijenjati ili ispravljati te podatke. U tom pogledu, podsjećam na to da je Sud već imao priliku odbiti sličnu argumentaciju u presudi État belge, kada je bila riječ o objavljivanju u službenom listu države članice akata i dokumenata koje su pripremile treće osobe, koji se potom pohranjuju kod pravosudnog tijela i šalju tijelu nadležnom za taj list radi njihove objave. Sud je u točki 38. te presude, s jedne strane, napomenuo da je objava tih akata i dokumenata bez mogućnosti nadzora ili izmjene njihova sadržaja neodvojivo povezana s ulogom službenog lista, koja se ograničava na informiranje javnosti o njihovu postojanju u skladu s mjerodavnim nacionalnim pravom, na način da imaju učinak prema trećim osobama. S druge je strane pojasnio da bi bilo protivno cilju članka 4. točke 7. OUZP‑a, odnosno cilju osiguravanja učinkovite i potpune zaštite pojedinaca u vezi s obradom njihovih osobnih podataka, isključiti iz pojma „voditelj obrade” službeni list države članice zbog toga što taj list ne provodi nadzor nad takvim podacima. Slična se razmatranja primjenjuju mutatis mutandis na objavljivanje akata i dokumenata u registrima trgovačkih društava država članica. Naime, kao što je to bio slučaj s listom Moniteur belge u prethodno navedenoj presudi, iako je točno da Agencija mora objaviti dokument o kojem je riječ onakav kakav on jest, ona je isključivo odgovorna za taj zadatak i za širenje tog dokumenta(20).

36.      Sada se postavlja pitanje treba li Agenciju smatrati jedinim voditeljem obrade spornih podataka i, stoga, jedinom odgovornom za poštovanje načelâ iz članka 5. stavka 1. OUZP-a ili ona tu odgovornost dijeli s podnositeljem zahtjeva, koji djeluje za račun društva, zbog toga što on Agenciji nije poslao primjerak društvenog ugovora iz 2020. u kojem su ispušteni navedeni podaci.

37.      U tom pogledu, najprije podsjećam na to da se člankom 26. stavkom 1. OUZP-a predviđa da dvije osobe ili više njih mogu zajednički voditi obradu i da odgovornosti svake od njih mogu biti određene njihovim međusobnim dogovorom ili utvrđene pravom Unije ili pravom države koje se primjenjuje na njih(21). U tom je pogledu Sud pojasnio da kvalifikacija subjekata kao „zajedničkih voditelja obrade” proizlazi iz činjenice da je više subjekata sudjelovalo u određivanju svrha i sredstava obrade(22). Ako nije bilo takvog sudjelovanja, zajedničko se vođenje obrade pak isključuje i različite sudionike treba smatrati neovisnim i uzastopnim voditeljima obrade. Kao što je to naveo EDPB, razmjenu istih podataka ili skupova podataka između dvaju subjekata, a da oni nisu zajednički odredili svrhe i sredstva obrade trebalo bi smatrati prijenosom podataka između zasebnih voditelja obrade(23).

38.      Prema tome, sama činjenica da je Agencija istodobno „voditelj obrade”, na temelju članka 4. točke 7. OUZP-a, i „primatelj”, u smislu točke 9. tog članka, zbog toga što joj se otkrivaju osobni podaci sadržani u aktima i dokumentima koji se dostavljaju uz zahtjev za upis u trgovački registar, ne isključuje to da je Agencija jedina odgovorna za činjenje dostupnima javnosti tih podataka. Naime, takvo stavljanje na raspolaganje javnosti, kao i, ako se provodi, digitalizacija podataka iz dokumenata koji su joj podneseni te njihova pohrana, čini zasebnu i naknadnu obradu podataka u odnosu na prijenos podataka koji je, u svrhu upisa društva, izvršio podnositelj zahtjeva. Agencija pak sama provodi sve te obrade u okviru svoje javne zadaće te u skladu sa svrhama i uvjetima koji su utvrđeni bugarskim zakonodavstvom(24).

39.      Točno je, s jedne strane, da je Sud u presudi État belge(25) pojasnio da je dovoljno da osoba utječe, u vlastite svrhe, na obradu osobnih podataka i time sudjeluje u utvrđivanju svrha i sredstava te obrade kako bi je se moglo smatrati zajedničkim voditeljem obrade(26). Međutim, u ovom slučaju, iz spisa kojim raspolaže Sud proizlazi da su svrhe i sredstva obrade podataka sadržanih u dokumentima koji se moraju učiniti dostupnima javnosti u okviru trgovačkog registra određeni isključivo zakonom. Subjekti koji dokumente i informacije za koje je objava propisana zakonom učitavaju, za račun društva, u bazu podataka tog registra(27) nemaju nikakav utjecaj na to određenje te se stoga ne mogu smatrati – ne više nego društvo samo – voditeljima naknadnih obrada podataka koje dostavljaju Agenciji, uključujući otkrivanje tih podataka u okviru elektroničke baze podataka registra. Usto, dostavljanjem Agenciji dokumenata koji se moraju objaviti te obradom podataka sadržanih u njima, ti subjekti djeluju u vlastite svrhe, a to je ispunjavanje formalnosti potrebnih za upis društva, koje se razlikuju od javnih svrha koje ima registar, koje Agencija nastoji ostvariti kada osigurava da se takvi dokumenti učine dostupnima javnosti(28).

40.      S druge strane, Sud je u presudi État belge priznao da se, u okviru niza postupaka obrade koje provode različite osobe ili subjekti i koji se odnose na iste osobne podatke, nacionalnim pravom mogu odrediti svrhe i sredstva svih postupaka obrade koje uzastopno provode te različite osobe ili subjekti na način da se oni smatraju zajedničkim voditeljima obrade(29). Tako se, na temelju primjene odredbi članka 26. stavka 1., u vezi sa člankom 4. točkom 7. OUZP-a, zajedničko vođenje obrade podataka više sudionika u lancu obrada koje se odnose na iste osobne podatke može utvrditi nacionalnim pravom pod uvjetom da su različiti postupci obrade ujedinjeni svrhama i sredstvima utvrđenima tim pravom i da se njime, izravno ili neizravno, utvrđuju obveze svakog od zajedničkih voditelja obrade(30). Međutim, to prema mojem mišljenju nije slučaj s člankom 13. stavcima 6. i 9. Zakona o registrima, u kojem se samo utvrđuje pod kojim je uvjetima, u skladu s bugarskim zakonodavstvom, ispitanik valjano dao privolu za to da osobni podaci za koje objava nije propisana budu objavljeni u trgovačkom registru. Naime, cilj te odredbe nije bio utvrditi da podnositelj zahtjeva dijeli odgovornost za naknadnu obradu tih podataka, nego u prvom redu pobliže odrediti osnovu zakonitosti obrade koju provodi Agencija. Osim toga, kao što sam to već naglasila, privatne svrhe koje nastoji ostvariti društvo razlikuju se od javnih svrha koje nastoji ostvariti Agencija, tako da, prema mojem mišljenju, nisu ispunjeni uvjeti koji prema presudi État belge trebaju biti ispunjeni da bi se moglo smatrati da je njihovo zajedničko vođenje obrade, kao sudionika u „lancu obrada koje se odnose na iste osobne podatke”, utvrđeno bugarskim pravom.

41.      Na temelju svih prethodnih razmatranja smatram da članak 4. točku 7. i članak 26. stavak 1. OUZP-a treba tumačiti na način da je tijelo zaduženo za vođenje trgovačkog registra države članice, koje na temelju zakonodavstva te države mora osigurati objavu dokumenata koji su mu dostavljeni u okviru zahtjeva za upis društva u taj registar, jedino odgovorno za stavljanje na raspolaganje javnosti osobnih podataka sadržanih u tim dokumentima, čak i kad je riječ o podacima za koje nije propisana objava, i koji su, u skladu s tim zakonodavstvom, trebali biti ispušteni prije nego što su ti dokumenti dostavljeni navedenom tijelu.

5.      Osnova zakonitosti obrade

42.      Svaka obrada osobnih podataka mora biti u skladu s načelima koja se odnose na obradu podataka navedenima u članku 5. stavku 1. OUZP-a i ispunjavati uvjete navedene u članku 6. te uredbe(31), u kojem se predviđa iscrpan i taksativan popis slučajeva u kojima se takva obrada može smatrati zakonitom(32). U skladu s člankom 6. stavkom 1. prvim podstavkom točkom (a) OUZP-a, obrada osobnih podataka zakonita je samo ako i u onoj mjeri u kojoj je ispitanik dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha. Ako takva privola nije dana uopće ili nije dana dobrovoljno, posebno, informirano i nedvosmisleno, izjavom ili jasnom potvrdnom radnjom, u smislu članka 4. točke 11. OUZP‑a, takva je obrada ipak opravdana ako ispunjava jedan od zahtjeva nužnosti sadržanih u članku 6. stavku 1. prvom podstavku točkama (b) do (f) te uredbe, koji se moraju usko tumačiti(33).

43.      U ovom slučaju, pretpostavka postojanja privole utvrđena u članku 13. stavku 9. Zakona o registrima očigledno ne ispunjava uvjete propisane člankom 6. stavkom 1. prvim podstavkom točkom (a) OUZP-a, u vezi s člankom 4. točkom 11. te uredbe(34). Stoga valja provjeriti je li obrada podataka kao što je ona o kojoj je riječ u glavnom postupku opravdana nekim od ostalih razloga navedenih u članku 6. stavku 1. prvom podstavku navedene uredbe.

44.      Iz presude Manni proizlazi da je obrada osobnih podataka koju provodi tijelo zaduženo za vođenje registra u okviru provedbe akata Unije kojima se koordiniraju nacionalne odredbe u području objavljivanja dokumenata društava opravdana, među ostalim, osnovama zakonitosti predviđenima u članku 6. stavku 1. prvom podstavku točkama (c) i (e) OUZP-a, od kojih se prva odnosi na poštovanje pravnih obveza voditelja obrade, a druga na izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade. Stoga ću analizu provesti u odnosu na te dvije osnove.

45.      Kao prvo, kad je riječ o osnovi predviđenoj člankom 6. stavkom 1. prvim podstavkom točkom (c) OUZP-a, valja najprije ispitati je li to što su osobni podaci o kojima je riječ u glavnom postupku, koji nisu jedne od informacija koje se moraju objaviti na temelju Direktive 2017/1132 ili bugarskog prava, učinjeni dostupnima javnosti u trgovačkom registru bilo opravdano zahtjevom da se osigura objava dokumenata iz članka 14. te direktive te je stoga bilo nužno radi poštovanja pravne obveze koja proizlazi iz prava Unije.

46.      U skladu s člankom 16. stavkom 3. navedene direktive, države članice osiguravaju da ti dokumenti budu javno dostupni u registru navedenom u stavku 1. prvom podstavku tog članka. Njemačka, irska i poljska vlada smatraju, u biti, da na temelju tog članka, u vezi s prethodno navedenim člankom 14., tijela zadužena za vođenje registra navedene dokumente moraju objaviti u obliku u kojem su im oni dostavljeni. Ona su stoga obvezna obrađivati sve osobne podatke sadržane u tim dokumentima, uključujući one koji nisu propisani pravom Unije ili mjerodavnim nacionalnim pravom.

47.      Ne slažem se s tim tumačenjem. Direktivom 2017/1132 predviđa se, naime, da se određeni osnovni dokumenti društva moraju objaviti i da se oni objavljuju u okviru registra, ali njome se ne nalaže sustavna obrada svih osobnih podataka sadržanih u navedenim dokumentima, čak ni ako bi ta obrada bila protivna odredbama OUZP-a. Suprotno tomu, kao što sam na to prethodno podsjetila, člankom 161. te direktive, kako je izmijenjena Direktivom 2019/1151 predviđa se da obrada svih osobnih podataka u okviru nje podliježe navedenoj uredbi. Stoga je na državama članicama da pronađu pravednu ravnotežu između ciljeva pravne sigurnosti i zaštite interesa trećih osoba, na kojima se, kao što ćemo vidjeti u nastavku, temelje pravila u području objavljivanja dokumenata društava, te temeljnog prava na poštovanje osobnih podataka.

48.      Zatim valja provjeriti je li objava u trgovačkom registru osobnih podataka o kojima je riječ u glavnom postupku bila nužna radi poštovanja pravne obveze predviđene bugarskim pravom. U tom pogledu, podsjećam na to da se člankom 2. stavkom 2. Zakona o registrima predviđa da se dokumenti koji trebaju biti objavljeni u trgovačkom registru „čine dostupnima javnosti bez informacija koje čine osobne podatke u smislu članka 4. stavka 1. [OUZP-a], uz iznimku informacija koje se moraju učiniti dostupnima javnosti na temelju zakona”. Stoga proizlazi da se zakonitost obrade podataka o kojima je riječ u glavnom postupku ne može temeljiti na „pravnim obvezama” u smislu članka 6. stavka 1. prvog podstavka točke (c) OUZP-a, koje bi se primjenjivale na Agenciju na temelju bugarskog prava, a čini se, uostalom, da pretpostavka postojanja privole uvedena člankom 13. stavkom 9. Zakona o registrima to potvrđuje. Međutim, o tome treba odlučiti sud koji je uputio zahtjev, koji je jedini nadležan za tumačenje nacionalnog prava. Ovdje ću samo pojasniti da činjenica, na koju se Agencija poziva, da ona, ako ne dobije primjerak u kojem su prikriveni osobni podaci koji nisu propisani zakonom, dokument treba objaviti u obliku u kojem joj je dostavljen, prema mojem mišljenju sama nije dovoljna da kvalificira „pravne obveze” u smislu članka 6. stavka 1. prvog podstavka točke (c) OUZP-a, s obzirom na to da je takva objava a priori isključena zakonom i da je Agencija provodi samo na osnovi pretpostavljene privole(35). U tom je pogledu važno naglasiti da je na voditelju obrade da osigura „zakonitost” obrade podataka koju provodi u odnosu na uvjete navedene u članku 6. stavku 1. prvom podstavku točkama (a) do (f) te uredbe(36).

49.      Kad je riječ o, kao drugo, osnovi iz članka 6. stavka 1. prvog podstavka točke (e) OUZP-a, na koju upućuje i sud koji je uputio zahtjev i većina država članica koje su podnijele očitovanja u ovom postupku, podsjećam na to da je Sud već imao priliku presuditi da djelatnost tijela javne vlasti koja se sastoji od pohranjivanja, u bazi podataka, podataka koje su društva dužna dostaviti na temelju zakonskih obveza i omogućavanja zainteresiranim osobama da u njih izvrše uvid te izrađivanja tim osobama njihovih preslika potpada pod izvršavanje javnih ovlasti(37) i predstavlja zadaću od javnog interesa u smislu te odredbe(38). Kao što je to u svojem mišljenju u predmetu u kojem je donesena presuda Manni potvrdio nezavisni odvjetnik Y. Bot, cilj je upisa i objavljivanja osnovnih podataka o društvima u trgovačkim registrima i registrima trgovačkih društava stvoriti pouzdan izvor informacija te tako osigurati pravnu sigurnost koja je nužna za zaštitu interesa trećih strana, osobito vjerovnika, za pošteno poslovanje i, stoga, za dobro funkcioniranje tržišta(39). Osim toga, kao što je to naglasio Sud, pohranjivanje svih relevantnih podataka u tim registrima i dostupnost tih podataka trećim osobama pridonose promicanju trgovine među državama članicama, među ostalim s ciljem razvoja unutarnjeg tržišta(40).

50.      U ovom se slučaju postavlja pitanje može li se na te ciljeve i osnovu zakonitosti predviđenu u članku 6. stavku 1. prvom podstavku točki (e) OUZP-a pozvati u pogledu toga što Agencija čini dostupnima javnosti osobne podatke o kojima je riječ u glavnom postupku, koji nisu jedni od podataka koji se na temelju prava Unije ili bugarskog prava moraju objaviti.

51.      U tom pogledu, podsjećam na to da se člankom 6. stavkom 3. OUZP-a, u vezi s njegovom uvodnom izjavom 45., pobliže određuje, kad je riječ o pretpostavci zakonitosti navedenoj u stavku 1. prvom podstavku točki (e) tog članka, da obrada mora imati osnovu u pravu Unije ili pravu države članice kojem podliježe voditelj obrade i da se tom pravnom osnovom mora ostvarivati cilj od javnog interesa te ona mora biti proporcionalna zakonitom cilju koji se želi postići(41). Međutim, proizlazi da nijedan od tih zahtjeva – za koje je Sud pojasnio da čine odraz zahtjeva koji proizlaze iz članka 52. stavka 1. Povelje(42) – nije ispunjen u okviru ovog predmeta, koji se odnosi na obradu osobnih podataka koja se, iako se provodi pri izvršavanju zadaće od javnog interesa u smislu članka 6. stavka 1. prvog podstavka točke (e) OUZP-a, ne smatra a priori nužnom za izvršenje te obveze na temelju mjerodavnog nacionalnog prava, niti za ostvarivanje svrha predviđenih za trgovački registar, i koja je dopuštena samo na osnovi pretpostavljene privole ispitanika.

52.      Općenitije valja naglasiti da objavljivanje osobnih podataka koji nisu propisani pravom Unije ili pravom države članice o kojoj je riječ ne služi ostvarivanju nijednog od ciljeva navedenih u točki 49. ovog mišljenja(43), koji jedini opravdavaju zadiranje u prava ispitanika na poštovanje privatnog života i na zaštitu osobnih podataka, koja su zajamčena člancima 7. i 8. Povelje(44). Osim toga, kao što je to Sud naglasio u presudi Manni, među ostalim zbog činjenice da je, načelno, propisano objavljivanje samo ograničenog broja osobnih podataka – odnosno podataka o identitetu i dužnostima osoba koje su ovlaštene zastupati trgovačko društvo, koji su stoga nužni za zaštitu interesa trećih osoba – takvo se zadiranje ne smatra nerazmjernim(45).

53.      Bugarska vlada i Agencija tvrde, u biti, da je, u bugarskom pravu, osnova za obradu o kojoj je riječ u glavnom postupku zahtjev da se osigura objava osnovnih dokumenata društava, da se očuva njihova cjelovitost i vjerodostojnost i Agenciji ne stvori prepreke u izvršavanju zadaće od javnog interesa. Pod pretpostavkom da sud koji je uputio zahtjev dođe do istog zaključka, trebat će se uvjeriti i da se poštuje načelo proporcionalnosti. Na temelju tog načela, ograničenja temeljnog prava na poštovanje osobnih podataka moraju biti u granicama onog što je strogo nužno(46), što nije tako ako se predviđeni cilj u općem interesu može razumno ostvariti na jednako učinkovit način drugim sredstvima koja manje ugrožavaju to pravo(47). Također valja podsjetiti na to da se člankom 5. stavkom 1. točkom (c) OUZP-a propisuje da osobni podaci moraju biti primjereni i relevantni i da ne smiju biti pretjerani u odnosu na svrhe u koje se obrađuju te se od država članica zahtijeva da poštuju načelo „smanjenja količine podataka”, koje je izraz načela proporcionalnosti(48).

54.      Međutim, čini mi se da se cilj osiguravanja objave osnovnih dokumenata društava može razumno ostvariti uvođenjem postupaka koji bi omogućili da se, prije nego što oni budu objavljeni, prikriju osobni podaci za koje nije propisano da budu dostupni javnosti. Ti postupci mogu uključivati, među ostalim, obvezu Agencije da odgodi upis društva kako bi omogućila izmjenu dokumenata koji sadržavaju takve podatke ili da, ako je to potrebno po službenoj dužnosti, obriše te podatke.

55.      Čini mi se da se ne mogu prihvatiti argumenti većeg broja država članica koje su podnijele očitovanja u ovom postupku prema kojima bi uvođenje takvih postupaka moglo odgoditi obradu zahtjeva za upis u registar trgovačkih društava, osobito na štetu interesa članova, ili nacionalnim tijelima staviti na teret pretjerano teške zadaće. Naime, s jedne strane, ti su postupci potrebni kako bi se pomirilo interese koji se žele ostvariti objavljivanjem dokumenata društava i temeljno pravo na poštovanje osobnih podataka, osobito kada, kao što sam to naglasio u točki 16. ovog mišljenja, osobni podaci o kojima je riječ trebaju biti učinjeni dostupnima javnosti bez ograničenja u digitaliziranom okruženju. S druge strane, mogli bi se koristiti alatima za pretraživanje i utvrđivanje podataka koji bi mogli olakšati zadaću tih tijela te bi mogli biti osmišljeni na način da zadaća skrivanja osobnih podataka koji ne moraju biti otkriveni, kao što se to uostalom predviđa bugarskim pravom, bude u prvom redu na podnositeljima zahtjeva.

56.      Kad je riječ o zahtjevu da se očuva cjelovitost i vjerodostojnost dokumenata društava koji podliježu obvezi objavljivanja, koji se dostavljaju radi upisa u registar trgovačkih društava – koji su ujedno navele bugarska vlada i Agencija te većina država članica koje su podnijele očitovanja u ovom postupku – koji bi nalagao objavu tih dokumenata u obliku u kojem su dostavljeni tijelima zaduženima za vođenje registra, taj zahtjev, prema mojem mišljenju, ne može sustavno prevagivati nad temeljnim pravom na zaštitu osobnih podataka jer bi time ta zaštita mogla postati samo iluzorna.

57.      Naime, zapravo smatram da taj zahtjev u najbolju ruku može opravdati pohranu osobnih podataka koji su sadržani u takvim dokumentima a koji ne podliježu obvezi objavljivanja, ali ne i njihovu objavu, bez ikakvog ograničenja, u javnoj bazi podataka registra. Konkretnije, smatram da bi činjenje dostupnima javnosti primjeraka tih dokumenata u kojima su ispušteni osobni podaci koji nisu propisani te pohrana izvornika u spisu omogućili uspostavljanje pravedne ravnoteže između tog zahtjeva i zaštite podataka ispitanika. Tada bi se eventualni pristup dokumentu i svim podacima sadržanima u njemu mogao dopustiti samo u svakom slučaju zasebno, ako to opravdava legitiman interes – uključujući taj da se provjeri autentičnost dokumenta – i uz poštovanje odredbi OUZP-a.

58.      U tom pogledu, suprotno onomu što tvrdi, među ostalima, irska vlada, smatram da članak 16.a Direktive 2017/1132, kako je izmijenjena Direktivom 2019/1151, u dijelu u kojem se njime propisuje da „[d]ržave članice osiguravaju da se preslike svih dokumenata […] iz članka 14. ili njihovih dijelova mogu dobiti iz registra” ne podrazumijeva da su države članice obvezne omogućiti neograničeni pristup cjelovitom tekstu tih dokumenata. Suprotno tomu, kao što sam to već napomenula, člankom 161. Direktive 2017/1132, kako je izmijenjena Direktivom 2019/1151, države članice obvezuje se da uvedu postupke kojima se može zajamčiti da tijela zadužena za vođenje registra trgovačkih društava pri izvršavanju zadaće od javnog interesa koja im je povjerena poštuju sve odredbe OUZP-a.

59.      Na temelju svih prethodnih razmatranja, smatram da se ne može smatrati da se obrada podataka o kojima je riječ u glavnom postupku temelji na privoli druge stranke iz glavnog postupka, u smislu članka 6. stavka 1. prvog podstavka točke (a) OUZP-a, u vezi s člankom 4. točkom 11. te uredbe. Podložno provjerama koje treba provesti sud koji je uputio zahtjev, čini se da ta obrada ne ispunjava ni uvjete zakonitosti predviđene člankom 6. stavkom 1. prvim podstavkom točkom (c) OUZP-a, niti one navedene u njegovoj točki (e), u vezi s člankom 6. stavkom 3. te uredbe. Radi sveobuhvatnosti dodat ću da navedena obrada ne može biti obuhvaćena ni područjem primjene članka 6. stavka 1. prvog podstavka točke (f) OUZP-a, koji se odnosi na obradu osobnih podataka koja je nužna za potrebe legitimnih interesa voditelja obrade. Naime, kao što je to Sud pojasnio, iz teksta članka 6. stavka 1. drugog podstavka OUZP-a jasno proizlazi da obrada osobnih podataka koju provodi tijelo javne vlasti u okviru izvršavanja svojih zadaća ne može biti obuhvaćena područjem primjene članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a, tako da se primjena te odredbe i članka 6. stavka 1. prvog podstavka točke (e) te uredbe međusobno isključuju(49). Doista, u ovom slučaju obradu osobnih podataka o kojima je riječ u glavnom postupku provodi Agencija pri izvršavanju zadaće od javnog interesa koja joj je povjerena, što automatski isključuje primjenu članka 6. stavka 1. prvog podstavka točke (f) OUZP-a, neovisno o tome ispunjava li ona uvjete predviđene člankom 6. stavkom 3. OUZP-a.

60.      Stoga nije isključeno da će sud koji je uputio zahtjev trebati zaključiti da je obrada podataka o kojima je riječ u glavnom postupku bila nezakonita, s obzirom na to da nije opravdana nekim od razloga predviđenih člankom 6. stavkom 1. OUZP-a.

6.      Pravo na brisanje

61.      Člankom 17. OUZP-a utvrđuje se pravo ispitanika na brisanje osobnih podataka koji se na njega odnose ako se primjenjuje jedan od razloga navedenih u stavku 1. tog članka te se, u skladu s time, voditelju nalaže da bez nepotrebnog odgađanja obriše takve podatke.

62.      U članku 17. stavku 3. OUZP-a pojašnjava se, međutim, da se stavak 1. tog članka ne primjenjuje u mjeri u kojoj je obrada nužna zbog nekog od razloga navedenih u toj prvoj odredbi. Među tim se razlozima, u članku 17. stavku 3. točki (b) te uredbe, navode poštovanje pravne obveze kojom se zahtijeva obrada u pravu Unije ili pravu države članice kojem podliježe voditelj obrade ili izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade.

63.      Budući da te iznimke od prava na brisanje odražavaju razloge koji opravdavaju obradu navedene u članku 6. stavku 1. prvom podstavku točkama (c) i (e) OUZP-a, u pogledu mogućnosti pozivanja na njih u okolnostima kao što su one u glavnom postupku upućujem na analizu provedenu u točkama 45. do 58. ovog mišljenja(50).

64.      Prema tome, u slučaju da sud koji je uputio zahtjev ocijeni da činjenje dostupnima javnosti u trgovačkom registru osobnih podataka o kojima je riječ u glavnom postupku nije, u bugarskom pravu, obuhvaćeno područjem primjene članka 6. stavka 1. prvog podstavka točke (c) ili (e) OUZP-a, u vezi s člankom 6. stavkom 3. te uredbe i, stoga, područjem primjene članka 17. stavka 3. točke (b) OUZP-a, druga stranka iz glavnog postupka imala bi pravo na brisanje, koje se očituje u okončanju takve dostupnosti javnosti, a Agencija bi, kao voditelj obrade, bila dužna to ispuniti. Naime, člankom 17. stavkom 1. točkom (d) OUZP-a predviđa se apsolutno pravo ispitanika na to da se njegovi osobni podaci izbrišu ako su nezakonito obrađeni(51).

65.      U slučaju da sud koji je uputio zahtjev zaključi pak da je obrada podataka o kojima je riječ u glavnom postupku bila u skladu s člankom 6. stavkom 1. prvim podstavkom točkom (c) ili (e) te uredbe, a priori bi se primjenjivao članak 17. stavak 3. točka (b). Međutim, potrebno je dati dva pojašnjenja.

66.      S jedne strane, u slučaju da sud koji je uputio zahtjev dođe do zaključka da je stavljanje na raspolaganje javnosti osobnih podataka o kojima je riječ u glavnom postupku bilo nužno za izvršavanje zadaće od javnog interesa povjerene Agenciji kako se ne bi odgodio upis društva u trgovački registar, smatram da se pozivanjem samo na taj razlog ne može opravdati zadržavanje tih podataka u registru nakon što se društvo upiše i, stoga, na temelju članka 17. stavka 3. točke (b) OUZP-a isključiti pravo druge stranke iz glavnog postupka na brisanje podataka. To bi pravo tada bilo osigurano člankom 17. stavkom 1. točkom (c) navedene uredbe, koji se primjenjuje u slučaju u kojem ispitanik, na temelju članka 21. stavka 1. te uredbe, na temelju svoje posebne situacije ulaže prigovor na obradu svojih osobnih podataka koja se provodi u skladu s, među ostalim, člankom 6. stavkom 1. prvim podstavkom točkom (e) iste uredbe, te ne postoje „jači legitimni razlozi za obradu”, što je na voditelju obrade da dokaže(52). Međutim, zbog istih razloga koje sam već navela u točki 56. ovog mišljenja smatram da zahtjev da se očuva cjelovitost i vjerodostojnost dokumenata na kojima se temelji upis društva u registar ne može biti takav jači legitimni razlog. Naime, kao što sam to istaknula, taj se zahtjev može ispuniti s pomoću drugih sredstava koja manje ugrožavaju temeljno pravo na poštovanje osobnih podataka.

67.      S druge strane, iz presude Manni proizlazi da ograničenje pristupa na isključivo treće osobe koje imaju konkretan interes može, u pojedinačnim slučajevima, biti opravdano jakim i zakonitim razlozima u vezi s posebnom situacijom ispitanika, čak i kad je riječ o osobnim podacima koji se u skladu s Direktivom 2017/1132 moraju objaviti te stoga čak i u slučaju u kojem njihova dostupnost javnosti proizlazi iz pravnih obveza u smislu članka 6. stavka 1. prvog podstavka točke (c) OUZP-a. Doista, takvo bi ograničenje trebalo a fortiori priznati kad je riječ o osobnim podacima koji se ne moraju objaviti ni na temelju prava Unije ni na temelju nacionalnog prava. Osim toga, u takvom slučaju, uvjet koji je Sud u presudi Manni postavio za ograničenje pristupa informacijama o identitetu likvidatora društva, odnosno istek dovoljno dugog roka od prestanka društva, ne bi bio primjenjiv u ovom predmetu te bi stoga ograničenje pristupa takvim podacima trebalo uvesti u što kraćem roku.

7.      Primjena posebnih postupovnih pravila na izvršavanje prava na brisanje

68.      Iz odluke kojom se upućuje zahtjev za prethodnu odluku proizlazi da je Agencija ispunjenje zahtjeva osobe OL za brisanje osobnih podataka koji se odnose na nju, a za koje bugarskim pravom nije propisana objava, uvjetovala poštovanjem posebnih postupovnih pravila, zahtijevajući podnošenje preslike dokumenta koji sadržava navedene podatke u kojoj su ti podaci prikriveni. Budući da takva preslika nije podnesena, taj je zahtjev odbijen ili odgođen sine die. Prema objašnjenjima Agencije, poštovanje tih postupovnih pravila nužno je jer ona nema ovlast mijenjati predmetni dokument, za što su ovlaštena isključivo tijela društva.

69.      Podsjećam na to da se, u skladu s člankom 23. stavkom 1. OUZP-a, na temelju prava Unije ili nacionalnog prava „zakonskom mjerom može […] ograničiti opseg obveza i prava iz članaka od 12. do 22. […] ako se takvim ograničenjem poštuje bit temeljnih prava i sloboda te ono predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu” nekog od ciljeva koji se u njemu navode. S obzirom na to da dovode do ograničenja ostvarivanja prava na brisanje, kao i ostvarivanja prava na prigovor predviđenog člankom 21. OUZP-a, ili čak njihova isključenja, u slučaju u kojem ispitanik ne uspije ishoditi od društva potrebne izmjene dokumenta o kojem je riječ, postupovna pravila koja primjenjuje Agencija mogu biti obuhvaćena člankom 23. stavkom 1. OUZP-a(53). Stoga valja provjeriti jesu li u ovom slučaju ispunjeni uvjeti predviđeni tom odredbom, i to bez obzira na to što sud koji je uputio zahtjev od Suda izričito ne traži da odluči o tome.

70.      U tom pogledu, u prvom redu napominjem da se čini da su ta postupovna pravila samo interna praksa Agencije(54). Stoga se, podložno provjerama koje treba provesti sud koji je uputio zahtjev, već zbog tog razloga ne čini da su ta pravila u skladu s člankom 23. stavkom 1. OUZP-a, kojim se propisuje da ograničenja prava navedenih u toj odredbi moraju biti utvrđena „zakonskom mjerom”.

71.      Ta postupovna pravila zatim izazivaju dvojbe u pogledu poštovanja načela proporcionalnosti.

72.      Naime, iako mi se čini da zahtjev da se zajamči vjerodostojnost i autentičnost dokumenata upisanih u trgovački registar i, općenitije, transparentnost i pravna sigurnost u izvršavanju zadaće koju taj registar ima, može služiti postizanju „važnog cilja od općeg javnog interesa Unije ili države članice” u smislu članka 23. stavka 1. točke (e) OUZP-a, on prema mojem mišljenju ne opravdava ograničenje, ili čak isključenje, prava na brisanje ili prava na prigovor u okolnostima kao što su one u glavnom postupku, s obzirom na to da se mogu upotrijebiti druga sredstva kojima se manje ugrožava temeljno pravo na poštovanje osobnih podataka.

73.      U tom kontekstu, iako smatra opravdanim čekati da društvo izmijeni dokument ispuštanjem podataka čije se brisanje traži, Komisija predlaže da Agencija nakon razumno dugog razdoblja sama prikrije te podatke ako se pokaže da ispitanik ne može ishoditi takvu izmjenu od društva.

74.      Nisam sigurna da bi se takvim rješenjem osigurala pravedna ravnoteža između različitih prava i interesa o kojima je riječ s obzirom na to da bi to dovelo do toga da podaci koji nisu trebali biti otkriveni ostaju, na neodređeno vrijeme, dostupni javnosti u digitaliziranom okruženju. Prema mojem mišljenju, takva bi se ravnoteža pak mogla zajamčiti na način da se Agenciji prizna ovlast da, u što kraćem roku nakon primitka zahtjeva za brisanje, sama prikrije podatke o kojima je riječ u primjerku dokumenta koji je učinjen dostupnim javnosti, a da pritom izvornik tog dokumenta pohranjuje u spisu i od društva zahtijeva da podnese njegovu izmjenu u kojoj bi navedeni podaci bili ispušteni, koja bi također bila objavljena u registru.

75.      Točno je da se člankom 16. stavkom 4. prvim i drugim podstavkom Direktive 2017/1132 predviđa da države članice poduzimaju potrebne mjere kako bi se izbjeglo bilo kakvo odstupanje između onoga što je upisano u registar i onoga što se nalazi u spisu te između onoga što je objavljeno u registru i onoga što je objavljeno u službenom listu. Međutim, zahtjev da se zadrži dosljednost među različitim dijelovima registra te između registra i službenog lista te cilj pravne sigurnosti na kojem se takav zahtjev temelji ne mogu, prema mojem mišljenju, opravdati to da podaci čije otkrivanje nije obvezno ostaju dostupnima javnosti, bez ograničenja i roka, u dokumentima koji su objavljeni u registru ako ispitanik zahtijeva njihovo brisanje. Naime, kao prvo, izmjene tih dokumenata koje se pokažu potrebnima da bi se ti podaci skrili mogle bi se utvrditi i pratiti te bi bile unesene transparentno. Kao drugo, te bi se izmjene odnosile na elemente tih dokumenata čija objava nije nužna za izvršavanje zadaće od javnog interesa koja je dodijeljena registru. Kao treće, cjelovitost i autentičnost navedenih dokumenata mogle bi se očuvati pohranom njihovih izvornika u spisu, s reguliranim pristupom omogućenim trećim osobama koje imaju legitiman interes.

76.      Na temelju svega prethodno navedenog, smatram da postupovna pravila kao što su ona koja u ovom slučaju primjenjuje Agencija nisu u skladu s člankom 23. stavkom 1. OUZP-a.

V.      Zaključak

77.      S obzirom na sva prethodna razmatranja, predlažem Sudu da na četvrto i peto prethodno pitanje koje je uputio Vrhoven administrativen sad (Vrhovni upravni sud, Bugarska) odgovori na sljedeći način:

1. Članak 4. točku 7. i članak 26. stavak 1. Uredbe (EU) 2016/679 Europskog Parlamenta i Vijeća od 27. travnja o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) treba tumačiti na način da:

tijelo zaduženo za vođenje trgovačkog registra države članice, koje na temelju zakonodavstva te države mora osigurati objavu dokumenata koji su mu dostavljeni u okviru zahtjeva za upis društva u taj registar, jedino je odgovorno za stavljanje na raspolaganje javnosti osobnih podataka sadržanih u navedenim dokumentima, čak i kad je riječ o podacima za koje nije propisana objava, koji su, u skladu s tim zakonodavstvom, trebali biti ispušteni prije nego što su ti dokumenti dostavljeni navedenom tijelu.

2. Uredbu 2016/679, konkretno njezin članak 17. i članak 23. stavak 1., treba tumačiti na način da se:

toj uredbi protivi nacionalno zakonodavstvo ili nacionalna praksa kojima se na pravo pojedinca da od tijela zaduženog za vođenje trgovačkog registra države članice ishodi brisanje osobnih podataka koji se na njega odnose, sadržanih u dokumentima koji su učinjeni dostupnima javnosti u tom registru, primjenjuju postupovna pravila kojima se zahtijeva podnošenje primjerka dokumenta o kojem je riječ u kojem su navedeni podaci ispušteni. To tijelo, u svojstvu voditelja obrade, ne može biti oslobođeno obveze da bez nepotrebnog odgađanja ispuni takav zahtjev za brisanje samo zbog toga što mu nije dostavljen takav primjerak.

3. Direktiva (EU) 2017/1132 Europskog parlamenta i Vijeća od 14. lipnja 2017. o određenim aspektima prava društava, kako je izmijenjena Direktivom (EU) 2019/1151 Europskog parlamenta i Vijeća od 20. lipnja 2109., konkretno njezin članak 16. stavci 2. do 4., u vezi s uvodnom izjavom 8. te direktive,

ne može se tumačiti na način da:

dopušta donošenje takvih postupovnih pravila. Toj se direktivi ne protivi to da tijelo zaduženo za vođenje trgovačkog registra države članice ispuni zahtjev za brisanje osobnih podataka koji se ne zahtijevaju zakonodavstvom te države članice, a koji su sadržani u dokumentu koji je učinjen dostupnim javnosti u tom registru, tako da samo to tijelo navedene podatke ispusti iz tog dokumenta, a presliku njegove neredigirane verzije pohrani u spisu iz članka 16. stavka 1. navedene direktive.

1      Izvorni jezik: francuski

2      Konkretnije, zahtjev za prethodnu odluku odnosi se na odredbe Direktive 2009/101/EZ Europskog parlamenta i Vijeća od 16. rujna 2009. o usklađivanju zaštitnih mjera koje, radi zaštite interesa članova i trećih strana, države članice zahtijevaju za trgovačka društva u smislu članka 48. stavka 2. Ugovora, s ciljem izjednačavanja takvih zaštitnih mjera (SL 2009., L 258, str. 11.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 17., svezak 1., str. 275.). Međutim, kao što će se vidjeti u nastavku teksta, na činjenice u glavnom postupku primjenjuje se ratione temporis Direktiva (EU) 2017/1132 Europskog parlamenta i Vijeća od 14. lipnja 2017. o određenim aspektima prava društava (SL 2017., L 169, str. 46.).

3      Uredba Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.) (u daljnjem tekstu: OUZP).

4      DV br. 34 od 25. travnja 2006.

5      DV br. 48 od 18. lipnja 1991.

6      Riječ je o mišljenju br. 01-116(20)/01.02.2021.

7      Direktiva Europskog parlamenta i Vijeća od 20. lipnja 2019. o izmjeni Direktive 2017/1132 (SL 2019., L 186, str. 80.)

8      Vidjeti članak 2. stavak 1. Direktive 2019/1151. Kad je riječ o izmjenama unesenima člankom 1. točkom 6. te direktive u pogledu članka 16. stavka 6. Direktive 2017/1132, rok za prenošenje bio je 1. kolovoza 2023.

9      Vidjeti u tom smislu moje mišljenje u predmetu État belge (Podaci koje obrađuje službeni list) (C-231/22, EU:C:2023:468, t. 80.).

10      Ističem da je Komisija, 29. ožujka 2023., donijela Prijedlog direktive Europskog parlamenta i Vijeća o izmjeni direktiva 2009/102/EZ i (EU) 2017/1132 u pogledu daljnjeg širenja i unapređenja upotrebe digitalnih alata i postupaka u pravu društava (COM/2023/177 final).

11      Vidjeti sustav povezivanja poslovnih registara (BRIS), uspostavljen 8. lipnja 2017. Direktivom 2012/17/EU Europskog parlamenta i Vijeća od 13. lipnja 2012. o izmjeni Direktive Vijeća 89/666/EEZ te direktiva 2005/56/EZ i 2009/101/EZ Europskog parlamenta i Vijeća u vezi s povezivanjem središnjih registara, trgovačkih registara i registara trgovačkih društava (SL 2012., L 156, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 17., svezak 2., str. 244.), koji sada uređuje Direktiva 2017/1132. Taj sustav povezuje nacionalne poslovne registre sa središnjom europskom platformom i osigurava jedinstvenu pristupnu točku na europskom portalu e-pravosuđe, preko kojeg građani, poduzetnici i javne uprave mogu pretraživati informacije o poduzetnicima i njihovim podružnicama otvorenim u drugim državama članicama.

12      U svojem mišljenju o prijedlogu izmjene Direktive 2017/1132 Europski nadzornik za zaštitu podataka (EDPS) skrenuo je pozornost na potrebu da se „osvijeste rizici koji proizlaze iz pristupačnosti osobnih podataka koji će biti široko dostupni na internetu u digitalnom obliku na više jezika putem lako dostupne pristupne točke/europske platforme” (mišljenje od 26. srpnja 2018., dostupno na adresi https://www.edps.europa.eu/data-protection/our-work/publications/opinions/digital-tools-and-processed-company-law_en).

13      OOD se navodi u Prilogu II. Direktivi 2017/1132, kao i u Prilogu II.a toj direktivi, kako je izmijenjena Direktivom 2019/1151.

14      U tom slučaju predmet unosâ u registar mora biti vidljiv u spisu, vidjeti članak 16. stavak 2. Direktive 2017/1132.

15      Vidjeti članak 16. stavak 3. Direktive 2017/1132, kojim se mogućnost djelomične objave dokumenata navedenih u njezinu članku 14. predviđa samo za službeni list države članice o kojoj je riječ.

16      Vidjeti, kad je riječ o Prvoj direktivi Vijeća 68/151/EEZ od 9. ožujka 1968. o usklađivanju zaštitnih mjera koje su radi zaštite interesa njihovih članova i drugih osoba predviđene u državama članicama za društva u smislu članka 58. drugog stavka Ugovora (SL 1968., L 65, str. 8.), presudu od 9. ožujka 2017., Manni (C-398/15, EU:C:2017:197, t. 34., u daljnjem tekstu: presuda Manni).

17      Presuda od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:949, t. 28. i 29.)

18      Vidjeti u tom smislu presudu od 5. listopada 2023., Ministerstvo zdravotnictví (Mobilna aplikacija Covid-19) (C-659/22, EU:C:2023:745, t. 28.).

19      C-231/22, u daljnjem tekstu: presuda État belge, EU:C:2024:7, t. 35. Vidjeti i moje mišljenje u predmetu u kojem je donesena ta presuda (C-231/22, EU:C:2023:468, t. 34. do 75.).

20      Vidjeti u tom smislu presudu État belge, t. 38.

21      Vidjeti u tom smislu presudu État belge, t. 46. i 47.

22      Vidjeti u tom smislu presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:949, t. 44. i 45.).

23      Vidjeti u tom smislu „Smjernice 07/2020 o pojmovima voditelja i izvršitelja obrade u Općoj uredbi o zaštiti podataka” EDPB-a, verziju 2.0, donesenu 7. srpnja 2021., dostupne na engleskom jeziku na internetskoj adresi https://www.edpb.europa.eu/system/files/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf, t. 70. i 72. Vidjeti i moje mišljenje u predmetu État belge (Podaci koje obrađuje službeni list) (C‑231/22, EU:C:2023:468, t. 48. i bilješka 55).

24      Vidjeti u tom smislu presudu État belge, t. 42.

25      Vidjeti presudu État belge, t. 48.

26      Podsjećam, međutim, na to da je u predmetu u kojem je donesena presuda État belge bila riječ o objavljivanju dokumenata u službenom listu države članice, koje je činilo posljednju fazu postupka obrade koji je uključivao razna tijela javne vlasti. Stoga se činjenična situacija na temelju koje je donesena ta presuda razlikovala od činjenične situacije u ovom predmetu.

27      U svojim je očitovanjima Agencija objasnila da u slučaju zahtjeva koji se podnosi na internetu podnositelj zahtjeva u sustav trgovačkog registra učitava elektroničke preslike dokumenata potpisanih u papirnatom obliku koji su potrebni za upis.

28      Te su svrhe navedene u točki 49. ovog mišljenja.

29      Vidjeti presudu État belge, t. 45.

30      Vidjeti presudu État belge, t. 49. i 50.

31      Vidjeti presudu od 21. prosinca 2023., Krankenversicherung Nordrhein (C-667/21, EU:C:2023:1022, t. 76. i navedenu sudsku praksu).

32      Vidjeti presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 72. i 73. i navedenu sudsku praksu).

33      Vidjeti presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže) (C-252/21, EU:C:2023:537, t. 91. do 93.).

34      Podsjećam na to da sud koji je uputio zahtjev postavlja pitanje o takvoj usklađenosti u okviru svojeg trećeg prethodnog pitanja.

35      Kao što to u svojem mišljenju 6/2014 naglašava Radna skupina iz članka 29., područje primjene članka 6. stavka 1. prvog podstavka točke (c) „strogo [je] ograničeno”. Da bi se ta odredba mogla primjenjivati, pravna obveza mora biti dovoljno jasna i u skladu s mjerodavnim pravom u području zaštite podataka. Čini mi se da to nije slučaj sa zakonom kojim se, s jedne strane, isključuje obrada podataka o kojima je riječ, a s druge strane ta obrada dopušta, pa čak i nalaže, na temelju pretpostavljene privole.

36      Vidjeti presudu od 4. svibnja 2023., Bundesrepublik Deutschland (Elektronički sudski poštanski pretinac) (C-60/22, EU:C:2023:373, t. 54. i 55.).

37      Vidjeti presudu od 12. srpnja 2012., Compass-Datenbank (C-138/11, EU:C:2012:449, t. 40. i 41.) i presudu Manni, t. 43.

38      Vidjeti presudu Manni, t. 43.

39      C-398/15, EU:C:2016:652, t. 54.

40      Vidjeti u tom smislu presudu od 12. studenoga 1974., Haaga (32/74, EU:C:1974:116, t. 6.) i presudu Manni, t. 50.

41      Vidjeti u tom smislu presudu od 2. ožujka 2023., Norra Stockholm Bygg (C-268/21, EU:C:2023:145, t. 31.).

42      Vidjeti u tom smislu presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, t. 69.).

43      Konkretno, domicil zastupnika ili člana trgovačkog društva nije dio njegova identiteta i poznavanje tog domicila, kao što je to naglasio nezavisni odvjetnik M. Szpunar u svojem mišljenju u predmetu All in One Star (C-469/19, EU:C:2020:822, t. 51.), nije korisno za zaštitu trećih osoba.

44      Vidjeti presudu Manni, t. 57.

45      Vidjeti presudu Manni, t. 58.

46      Vidjeti presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, t. 70.).

47      Vidjeti u tom smislu presudu od 22. studenoga 2022., Luxembourg Business Registers (C-37/20 i C-601/20, EU:C:2022:912, t. 66.).

48      Vidjeti po analogiji presudu od 30. siječnja 2024., Direktor na Glavna direkcija „Nacionalna policija” pri MVR – Sofija (C-118/22, EU:C:2024:97, t. 41.).

49      Vidjeti presudu od 8. prosinca 2022., Inspektor v Inspektorata kam Visšia sadeben savet (Svrhe obrade osobnih podataka – kaznena istraga) (C-180/21, EU:C:2022:967, t. 85.).

50      Iako je Sud u obiter dictumu u točki 51. presude État belge spomenuo mogućnost da se iznimke iz članka 17. stavka 3. točaka (b) i (d) OUZP-a primjenjuju na zahtjev za brisanje osobnih podataka objavljenih u službenom listu države članice o kojoj je bila riječ, nije se međutim izjasnio o tom pitanju, koje sud koji je uputio zahtjev nije postavio u predmetu u kojem je donesena ta presuda.

51      Vidjeti u tom smislu presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 108.); vidjeti i mišljenje nezavisnog odvjetnika P. Pikamäea u tom predmetu (C‑26/22 i C‑64/22, EU:C:2023:222,, t. 91.).

52      Vidjeti u tom smislu presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova) (C-26/22 i C-64/22, EU:C:2023:958, t. 111. i 112.).

53      Vidjeti u tom smislu presudu od 26. listopada 2023., FT (Kopija medicinske dokumentacije) (C-307/22, EU:C:2023:811, t. 53. do 69.). Vidjeti i mišljenje nezavisnog odvjetnika N. Emilioua u tom predmetu (C-307/22, EU:C:2023:315, t. 37.).

54      Iako se navedenim postupkom odražava postupak predviđen u članku 13. stavku 6. Zakona o registrima, ne proizlazi da se potonjom odredbom uređuje pravo ispitanika na brisanje ili prigovor.