Ideiglenes változat

LAILA MEDINA

FŐTANÁCSNOK INDÍTVÁNYA

Az ismertetés napja: 2024. május 30.(1)

C‑200/23. sz. ügy

Agentsia po vpisvaniyata

kontra

OL;

a Varhovna administrativna prokuratura

részvételével

(a Varhoven administrativen sad [legfelsőbb közigazgatási bíróság, Bulgária] által benyújtott előzetes döntéshozatal iránti kérelem)

„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – A személyes adatokat tartalmazó társasági szerződés cégnyilvántartásban való közzététele – (EU) 2017/1132 irányelv – Adatkezelő – A személyes adatok törléséhez való jog”

I.      Bevezetés

1.        A Varhoven administrativen sad (legfelsőbb közigazgatási bíróság, Bulgária) előzetes döntéshozatal iránti kérelmében több kérdést tesz fel a Bíróságnak, amelyek lényegében a társasági okiratok közzétételére vonatkozó, uniós szinten összehangolt rendelkezések(2) és az (EU) 2016/679 rendelet(3) közötti kapcsolatra vonatkoznak.

2.        A jelen keresetet az Agentsia po vpisvaniyata (nyilvántartó hatóság, Bulgária, a továbbiakban: nyilvántartó hatóság) és OL közötti jogvita keretében nyújtották be, amelynek tárgya az volt, hogy a hatóság megtagadta az OL‑re vonatkozó, a cégnyilvántartásban közzétett okiratban szereplő bizonyos személyes adatok törlését.

II.    Jogi háttér

A.      Az uniós jog

3.        A jelen indítvány szempontjából a 2009/101 irányelv helyébe lépő 2017/1132 irányelv 14. és 16. cikkét, valamint az általános adatvédelmi rendelet 4–6. és 17. cikkét kell figyelembe venni. A könnyebb áttekinthetőség kedvéért az elemzés során az említett cikkek releváns rendelkezéseinek szövegére hivatkozunk.

B.      A bolgár jog

4.        A Zakon za targovskia registar i registara na yuridicheskite litsa s nestopanska tsel (a cégnyilvántartásról és a nonprofit jogi személyek nyilvántartásáról szóló törvény)(4) alapügyben felmerült jogvitára alkalmazandó változatának (a továbbiakban: nyilvántartásokról szóló törvény) 2. cikke az az alábbiak szerint rendelkezik:

„(1)      A cégnyilvántartás és a nonprofit jogi személyek nyilvántartása [a továbbiakban: nyilvántartások] egy közös elektronikus adatbázis, amely tartalmazza a törvény alapján nyilvántartásba vett adatokat, valamint a jogszabály alapján közzétett okiratokat, amelyek gazdálkodó szervezetekre és külföldi gazdálkodó szervezetek fióktelepeire, nonprofit jogi személyekre és külföldi nonprofit jogi személyek fióktelepeire vonatkoznak.

(2)      Az (1) bekezdésben említett adatokat és okiratokat az [általános adatvédelmi rendelet] 4. cikkének (1) bekezdése értelmében vett személyes adatnak minősülő információktól mentesen kell közzétenni, kivéve azokat az információkat, amelyeket jogszabály alapján közzé kell tenni.”

5.        A nyilvántartásokról szóló törvény 6. cikkének (1) bekezdése értelmében minden gazdálkodó szervezet és minden nonprofit jogi személy köteles kérelmezni a nyilvántartásba vételét, úgy, hogy bejelenti a bejegyzés alapjául szolgáló adatokat, és benyújtja a közzéteendő okiratokat.

6.        A törvény 11. cikke a következőképpen szól:

„(1)      [A nyilvántartások] nyilvánosak. Bárkinek joga van a nyilvántartást képező adatbázishoz való szabad és ingyenes hozzáféréshez.

(2)      A [nyilvántartó hatóság] nyilvántartásba vett hozzáférést biztosít a gazdálkodó szervezet vagy a nonprofit jogi személy aktájához.”

7.        Az említett törvény 13. cikkének (1), (2), (6) és (9) bekezdése a következőképpen rendelkezik:

„(1)      A bejegyzés, a törlés és a közzététel formanyomtatványon előterjesztett kérelem alapján történik.

(2)      A kérelem a következőket tartalmazza:

1.      a kérelemző adatai;

[…]

3.      a bejegyzés tárgyát képező körülmény, az a bejegyzés, amelynek törlését kérik, vagy az az okirat, amelyet közzé kell tenni;

[…]

(6)      [A] kérelemhez a jogszabályi előírásoknak megfelelően csatolni kell a dokumentumokat, illetve adott esetben a közzéteendő okiratot. A dokumentumokat eredeti példányban, a kérelmező által hitelesített vagy közjegyző által hitelesített másolatban kell benyújtani. A felperes benyújtja továbbá a cégnyilvántartásban közzéteendő dokumentumok hitelesített másolatait, amelyekben a törvényben előírtakon kívüli személyes adatokat kitakarták.

[…]

(9)      Amennyiben a kérelem vagy az ahhoz csatolt dokumentumok olyan személyes adatokat tartalmaznak, amelyeket nem ír elő törvény, úgy kell tekinteni, hogy az azokat megadó személyek hozzájárultak ahhoz, hogy a [nyilvántartó hatóság] azokat kezelje, és közzétegye.”

8.        A Targovski zakon (kereskedelmi törvény(5)) 101. cikkének (3) bekezdése az alapügyben alkalmazandó változatában (a továbbiakban: kereskedelemről szóló törvény) előírja, hogy a társasági szerződésnek tartalmaznia kell „a tagok nevét, cégnevét és egyedi azonosító jelét”.

9.        A kereskedelmi törvény 119. cikkének (1) bekezdése szerint a társaságnak a cégnyilvántartásba való bejegyzéséhez többek között a társasági szerződés benyújtása szükséges, amelyet közzétesznek. E cikk (4) bekezdése szerint „a cégnyilvántartásban szereplő társasági szerződés módosítása vagy kiegészítése céljából a társasági szerződésnek a társaságot képviselő szerv által hitelesített, valamennyi módosítást és kiegészítést tartalmazó másolatát közzététel céljából be kell nyújtani”.

III. Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések

10.      OL egy „OOD”, a bolgár jog szerinti korlátolt felelősségű társaság egyik tagja, amelyet 2021. január 14‑én jegyeztek be a cégnyilvántartásba. A cégbejegyzés iránti kérelemhez csatolták a 2020. december 30‑án kelt, a tagok által aláírt társasági szerződést (a továbbiakban: 2020. évi társasági szerződés). Ezt a szerződést – amely tartalmazta OL családi nevét és utónevét, személyazonosító számát, személyazonosító igazolványának számát, a kiállítás időpontját és helyét, valamint a lakcímét – a benyújtott formában jegyezték be és tették közzé. 2021. július 8‑án OL arra kérte a nyilvántartó hatóságot, hogy törölje a 2020. évi társasági szerződésben szereplő személyes adatait, és kijelentette, hogy amennyiben az adatkezelés a hozzájárulásán alapul, visszavonja azt. A nyilvántartó hatóság válaszának hiányában OL az Administrativen sad Dobrichhoz (dobrichi közigazgatási bíróság, Bulgária) fordult, amely hatályon kívül helyezte OL kérelmének a nyilvántartó hatóság részéről történő hallgatólagos elutasítását, és az ügyet új határozat meghozatala céljából visszautalta a nyilvántartó hatósághoz. E határozat, valamint egy másik, ugyanilyen eljárást indító társasági tagra vonatkozó hasonló határozat végrehajtása során a nyilvántartó hatóság 2022. január 26‑án kelt levelében jelezte, hogy a törlés iránti kérelem teljesítéséhez be kell nyújtani a 2020. évi társasági szerződés hitelesített másolatát, amelyben a tagok személyes adatait – a törvény által előírtak kivételével – ki kell takarni (a továbbiakban: 2022. január 26‑i levél). 2022. január 31‑én OL ismét keresettel fordult az Administrativen sad Dobrich‑hez (dobrichi közigazgatási bíróság) a 2022. január 26‑i levél megsemmisítése és az nyilvántartó hatóság arra való kötelezése iránt, hogy térítse meg számára azt a nem vagyoni kárt, amelyet e levél – az általános adatvédelmi rendelet szerinti jogokat sértő módon – állítólag okozott neki. A nyilvántartó hatóság 2022. február 1‑jén, a keresetről szóló értesítés kézhezvételét megelőzően hivatalból törölte OL azonosító számát, személyazonosító igazolványának adatait és címét, de nem törölte családi nevét, utónevét és aláírását. 2022. május 5‑i ítéletével az Administrativen sad Dobrich (dobrichi közigazgatási bíróság) megsemmisítette a 2022. január 26‑i levelet, és kötelezte a nyilvántartó hatóságot, hogy az általános adatvédelmi rendelet 82. cikke alapján a törvényes kamatokon felül 500 bolgár leva (BGN) (körülbelül 255 euró) összegű kártérítést fizessen OL részére az elszenvedett nem vagyoni kárért. Ezen ítélet szerint a kár az említett levélből eredő negatív érzelmekből és tapasztalatokból állt, amely levél az általános adatvédelmi rendelet 17. cikkének (1) bekezdésében biztosított törléshez való jog megsértését, valamint a közzétett szerződésben szereplő adatainak jogellenes kezelését eredményezte. A nyilvántartó hatóság felülvizsgálati kérelmet nyújtott be ezen ítélet ellen a kérdést előterjesztő bírósághoz. A nyilvántartó hatóság különösen azzal érvel, hogy a nyilvántartásba vételi eljárás keretében benyújtott adatoknak nemcsak kezelője, de egyben a címzettje is, és hogy – bár a nyilvántartásba vételt megelőzően már kérte azon társaságtól, amelyben OL tag volt – nem kapott olyan másolatot a társaság szerződéséről, amelyben kitakarták volna azokat az adatokat, amelyeket nem kell közzétenni. Márpedig egy gazdasági társaság bejegyzése nem tagadható meg kizárólag ezen az alapon. A nyilvántartó hatóság a nemzeti felügyeleti hatóság, a Komisia za zashtita na lichnite danni (adatvédelmi bizottság, Bulgária) által az általános adatvédelmi rendelet 58. cikke (3) bekezdésének b) pontja alapján kiadott 2021. évi véleményre (a továbbiakban: 2021. évi vélemény)(6) hivatkozik, amelyben az adatvédelmi bizottság rögzíti, hogy a nyilvántartó hatóság nem jogosult módosítani a nyilvántartásba való bejegyzés céljából hozzá beérkező okiratok tartalmát. OL a maga részéről azt állítja, hogy a nyilvántartó hatóság mint adatkezelő nem háríthatja másokra a saját törlési kötelezettségét. A nemzeti ítélkezési gyakorlatra hivatkozik, amely szerint a 2021. évi vélemény nem felel meg az általános adatvédelmi rendelet rendelkezéseinek.

11.      E körülmények között a Varhoven administrativen sad (legfelsőbb közigazgatási bíróság, Bulgária) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

„1)      Értelmezhető‑e úgy a [2009/101] irányelv 4. cikkének (2) bekezdése, hogy az arra kötelezi a tagállamot, hogy engedélyezze [a kereskedelemről szóló törvény] 119. cikke alapján bejegyzendő társasági szerződés közzétételét, ha a társasági szerződés a társasági tagoknak [a nyilvántartásokról szóló törvény] 2. cikkének (2) bekezdése alapján kötelezően közzéteendő neve mellett egyéb személyes adatokat is tartalmaz? E kérdés megválaszolásakor figyelembe kell venni, hogy a nyilvántartó hivatal olyan közigazgatási intézmény, amellyel szemben a Bíróság állandó ítélkezési gyakorlata szerint az irányelv közvetlen hatályú rendelkezései alkalmazhatók (2006. szeptember 7‑i Vassallo ítélet, C‑180/04, EU:C:2006:518, 26. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

2)      Az első kérdésre adandó igenlő válasz esetén feltételezhető‑e, hogy az alapeljárásban felmerült jogvita alapjául szolgáló körülmények között a személyes adatoknak a nyilvántartó hatóság általi kezelése az [általános adatvédelmi] rendelet 6. cikke (1) bekezdésének e) pontja értelmében vett közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges?

3)      Ha az első két kérdésre igenlő válasz adandó, akkor elfogadhatónak tekinthető‑e egy olyan nemzeti szabályozás, mint a [nyilvántartásokról szóló törvény] 13. cikkének (9) bekezdése, amely szerint abban az esetben, ha egy kérelemben vagy a kérelemhez kapcsolódó dokumentumokban jogszabály által meg nem követelt személyes adatokat adnak meg, azt kell vélelmezni, hogy az adatokat közlő személy hozzájárult ezen adatoknak a hatóság általi kezeléséhez és az azokhoz való nyilvános hozzáférés biztosításához, az [általános adatvédelmi] rendelet (32), (40), (42), (43) és (50) preambulumbekezdése ellenére a [2009/101] irányelv 4. cikkének (2) bekezdése értelmében vett »önkéntes adatközlés« lehetőségével kapcsolatos pontosításként akár a személyes adatokra vonatkozóan is?

4)      Elfogadhatók‑e a [2009/101] irányelv 3. cikkének (7) bekezdéséből eredő kötelezettségek – miszerint a tagállamok megteszik a szükséges intézkedéseket az (5) bekezdéssel összhangban közölt, illetve a nyilvántartásban vagy aktában megjelenő adatok közötti eltérések elkerülésére és harmadik személyek azon érdekeinek figyelembevételére, hogy a társaság lényeges okiratairól, valamint az ezen irányelv (3) preambulumbekezdésében említett, őket érintő adatokról tájékozódjanak – átültetésére olyan nemzeti jogszabályok, amelyek a természetes személyeknek az [általános adatvédelmi] rendelet 17. cikke szerinti jogainak gyakorlása érdekében olyan eljárási szabályt (formanyomtatványok a kérelmekhez, dokumentumok másolatainak oly módon történő benyújtása, hogy azokban kitakarták a személyes adatokat) írnak elő, amelyek megkövetelik az adatkezelőtől, hogy haladéktalanul törölje a vonatkozó személyes adatokat, amelyek törlését kérték, és amelyek a nyilvánosan közzétett (nyilvánosságra hozott) dokumentumok részét képezik, amelyeket egy hasonló eljárási szabály alapján egy másik személy bocsátott az adatkezelő rendelkezésére, aki ezzel a cselekménnyel az általa végzett adatkezelés célját is meghatározta?

5)      Az alapeljárás alapjául szolgáló helyzetben a nyilvántartó hatóság csak adatkezelőként jár‑e el a személyes adatok tekintetében, vagy címzettként is, ha az adatkezelés céljait egy másik adatkezelő határozta meg a nyilvánosságra hozatalra benyújtott dokumentumok részeként?

6)      Azonosított természetes személyre vonatkozó információnak minősül-e, illetve az [általános adatvédelmi] rendelet 4. cikkének 1. pontja szerinti »személyes adat« fogalma alá tartozik-e valamely természetes személy kézzel írt aláírása?

7)      Úgy kell‑e értelmezni az [általános adatvédelmi] rendelet 82. cikkének (1) bekezdésében foglalt »nem vagyoni kár« fogalmát, hogy a nem vagyoni kár megállapításához érzékelhető hátrány és a személyes érdekek objektív módon érzékelhető megsértése szükséges, vagy elegendő e tekintetben, hogy az érintett a személyes adatoknak a cégjegyzékben történő – az érintettre nézve érzékelhető, illetve hátrányos következményekkel nem járó – közzététele miatt az adatai feletti rendelkezést csak rövid ideig veszíti el?

8)      Minősülhet‑e a nemzeti felügyeleti hatóság […] [az adatvédelmi bizottság] az [általános adatvédelmi] rendelet 58. cikke (3) bekezdésének b) pontja alapján kiadott [2021. évi] véleménye – miszerint a nyilvántartó hatóságnak nincs semmilyen jogi lehetősége vagy hatásköre a már közzétett adatok kezelését hivatalból vagy az érintett kérelmére korlátozni – az [általános adatvédelmi] rendelet 82. cikkének (3) bekezdése szerinti bizonyítéknak arra vonatkozóan, hogy a nyilvántartó hatóság semmilyen tekintetben nem felelős a természetes személynek kárt okozó körülményért?”

IV.    A Bíróság előtti eljárás

12.      Az alapeljárás felei, a bolgár, a német, az ír, az olasz, a lengyel és a finn kormány, valamint a Bizottság az Európai Unió Bírósága alapokmányának 23. cikke alapján írásbeli észrevételeket nyújtottak be az összes vagy néhány előzetes döntéshozatalra előterjesztett kérdésre vonatkozóan. Az alapeljárás felei, a bolgár és az ír kormány, valamint a Bizottság szóbeli észrevételeiket a 2024. március 7‑i tárgyaláson adták elő.

A.      Elemzés

13.      A Bíróság kérésére a jelen indítvány az előzetes döntéshozatalra előterjesztett negyedik és ötödik kérdésre összpontosít, amelyeket együttesen javaslok vizsgálni. Mielőtt rátérnék az elemzésre, szükségesnek tartok néhány előzetes észrevételt tenni az előzetes döntéshozatal iránti kérelem egészére vonatkozóan.

1.      Előzetes észrevételek

14.      Először is meg kell jegyezni – amint azt az alapügy felei, a Bizottság és a Bírósághoz észrevételeket benyújtó tagállamok többsége is megtette –, hogy az előzetes döntéshozatal iránti kérelem indokolása és az előzetes döntéshozatalra előterjesztett kérdések megfogalmazása – ideértve különösen a negyedik kérdést – a 2009/101 irányelv rendelkezéseire utal. Ezt az irányelvet azonban 2017. július 20‑i hatállyal hatályon kívül helyezték, és helyébe a 2017/1132 irányelv lépett, amely az alapügy tényállására időbeli hatálya okán alkalmazandó. Elemzésem további részében ezért csak az utóbbi irányelvre hivatkozom.

15.      Ezt követően – amennyiben ez az előzetes döntéshozatal iránti kérelem elbírálása szempontjából releváns – emlékeztetni kell arra, hogy a 2017/1132 irányelvet és különösen annak 16. és 161. cikkét a 2019. július 31‑én hatályba lépett (EU) 2019/1151 irányelv(7) módosította. Bár igaz – ahogyan a Bizottság rámutat –, hogy az OL személyes adatait tartalmazó 2020. évi társasági szerződés cégnyilvántartásba történő bejegyzésére 2021. augusztus 1‑je, azaz a 2019/1151 irányelv(8) átültetésére előírt határidő lejártának időpontja előtt került sor, a tényállás egy része ezen időpontot követően valósult meg, ideértve a 2022. január 26‑i levélnek a nyilvántartó hatóság általi elküldését, az említett adatok egy részének hivatalból történő törlését, valamint újbóli közzétételét, amely körülményekre az alapeljárás alperese az írásbeli észrevételeiben hivatkozott. Nem zárható ki tehát, hogy az alapügyben a 2019/1151 irányelvvel módosított 2017/1132 irányelv időbeli szempontból hatályos változatát kell alkalmazni, ennek az ellenőrzése a kérdést előterjesztő bíróság feladata. Ezért elemzésem további részében erre a változatra fogok hivatkozni.

16.      Mindazonáltal előrebocsátom, hogy a 2019/1151 irányelv által bevezetett módosítások önmagukban csak korlátozottan befolyásolják azt a kérdést, hogy a tagállamnak a cégnyilvántartás vezetéséért felelős hatósága a feladatai ellátása során hogyan köteles biztosítani a személyes adatok védelmét. Másrészt, általánosabb szinten fontos hangsúlyozni, hogy ezen irányelv célja a digitális eszközök és folyamatok használatának megerősítése és elmélyítése a társaságokra vonatkozó információk gyűjtése és kezelése során, ami az azokban szereplő személyes adatokhoz való fokozott hozzáféréssel jár, és növeli az ilyen adatok védelméhez való jog megsértésének kockázatát, valamint az ilyen jogsértések káros jellegét.(9) Márpedig az ilyen digitalizációs folyamat(10) – amely az ezen információkhoz való határokon átnyúló hozzáférés növekedésével párosul, ami szintén célja az uniós jogalkotónak(11) – különös figyelmet igényel egyrészt a jogbiztonságra és a harmadik személyek jogainak védelmére vonatkozó célkitűzések – amelyek, mint látni fogjuk, a társaságokra vonatkozó közzétételi szabályok alapját képezik –, másrészt a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő alapvető jogok közötti egyensúly megteremtése során.(12)

17.      Szintén még elöljáróban megjegyzem, hogy az alapeljárás olyan személyes adatok valamely tagállam cégnyilvántartásából való törlésére vonatkozik, amelyek közzétételét sem a 2017/1132 irányelv, sem az érintett tagállam joga nem írja elő, valamint az e nyilvántartás vezetéséért felelős nemzeti hatóságnak az ilyen adatok törlésére irányuló kérelem azonnali és feltétel nélküli teljesítésének megtagadásából eredő nem vagyoni kárért való felelősségére. Másrészt az alapeljárás nem érinti közvetlenül azt a kérdést, hogy milyen kötelezettségek terhelik az ilyen hatóságot a személyes adatok védelmével kapcsolatban, amikor a cégnyilvántartásba valamely társaság olyan létesítő okiratát jegyzi be, amely nem kötelezően közzéteendő adatokat is tartalmaz. Ugyanakkor ez a kérdés meghúzódik a háttérben, amint az abból a tényből is látszik, hogy a beavatkozó tagállamok közül többen észrevételeik jelentős részét ennek szentelték, és az első négy előzetes döntéshozatalra előterjesztett kérdés egy részének vagy mindegyikének radikális újrafogalmazását javasolták. Elemzésem további részében foglalkozom e kérdés bizonyos aspektusaival, az alapügy tárgya és a jelen indítvány tárgyát képező előzetes döntéshozatalra előterjesztett kérdések által meghatározott keretek között.

2.      Az előzetes döntéshozatalra előterjesztett negyedik és ötödik kérdésről

18.      Előzetes döntéshozatalra előterjesztett negyedik kérdésével, amelynek elfogadhatóságát a bolgár kormány vitatja, a kérdést előterjesztő bíróság lényegében azt szeretné megtudni, hogy a 2017/1132 irányelvet úgy kell‑e értelmezni, hogy az lehetővé teszi, hogy meghatározott eljárási feltételekhez kössék valamely természetes személynek, jelen esetben az említett irányelv(13) hatálya alá tartozó korlátolt felelősségű társaság tagjainak azon jogát, hogy a rájuk vonatkozó olyan személyes adatoknak a cégnyilvántartásból való törlését kérjék, amelyek – bár a nemzeti jog szerint nem tartoznak a kötelezően közlendő adatok közé – szerepelnek a társaság azon alapító okiratában, amelyet a társaság cégnyilvántartásba való bejegyzésével összefüggésben közzétettek. Előzetes döntéshozatalra előterjesztett ötödik kérdésével a kérdést előterjesztő bíróság annak tisztázását kéri a Bíróságtól, hogy az ilyen adatok tekintetében a cégnyilvántartás vezetéséért felelős hatóság az általános adatvédelmi rendelet 4. cikkének 7. pontja értelmében vett „adatkezelőként” jár‑e el, vagy pedig egyúttal az általa kezelt adatoknak az említett rendelet 4. cikkének 9. pontja értelmében vett „címzettje” is, mivel az adatok kezelésének célját egy harmadik fél előzetesen meghatározta.

19.      Amint korábban említettem, véleményem szerint helyénvaló a két kérdést együtt kezelni. E célból a felvetett különböző kérdésekkel a következő sorrendben foglalkozom. A 2017/1132 irányelv II. mellékletében szereplő társaságokra vonatkozó közlési kötelezettségek hatályának rövid áttekintését követően először azt a kérdést vizsgálom meg, hogy ki az adatkezelője a kötelezően közlendő okiratokban szereplő személyes adatoknak egy társaságnak valamely tagállam cégnyilvántartásába történő bejegyzésével összefüggésben, ha – mint a jelen ügyben – az érintett adatok nyilvánosságra hozatalát sem a harmonizált uniós jog, sem az érintett tagállam joga nem írja elő. Másodszor, azzal a kérdéssel foglalkozom, hogy a jelen esetben mi a jogalapja az ilyen adatok kezelésének. Harmadszor, megvizsgálom, hogy – miután az adatokat tartalmazó okirat közzétételének eredményeképpen az adatokat nyilvánosságra hozták – az érintett személyeknek az általános adatvédelmi rendelet 17. cikkének megfelelően joguk van‑e a törlésre. Végül negyedszer, azzal a kérdéssel foglalkozom, hogy az ilyen jog függhet‑e azon eljárási szabályoktól, amelyeket a kérdést előterjesztő bíróság említett.

20.      Mielőtt ezen elemzésre rátérnék, meg kell válaszolni a bolgár kormány által az előzetes döntéshozatalra előterjesztett negyedik kérdés elfogadhatóságával kapcsolatban előterjesztett kifogásokat. E kormány előadja, hogy az előzetes döntéshozatalra előterjesztett negyedik kérdés lényegében a még el nem fogadott nemzeti szabályozásnak a 2017/1132 irányelv 16. cikkének (7) bekezdésével – annak is a 2019/1151 irányelv általi módosítását megelőző változatával – való összeegyeztethetőségére vonatkozik. A kérdés tehát hipotetikus jellegű. E tekintetben megjegyzem, hogy a kérdést előterjesztő bíróságnak végső fokon arról kell határoznia, hogy jogszerű volt‑e a nyilvántartó hatóság azon határozata, amelyben elutasította az alperes cégnyilvántartásba való bejegyzése következtében közzétett okiratban szereplő bizonyos személyes adatainak törlésére vonatkozó kérelmet, valamint ezen elutasítás következményeiről. Ennek érdekében a kérdést előterjesztő bíróságnak a 2017/1132 irányelv és az általános adatvédelmi rendelet rendelkezéseire tekintettel különösen azt kell értékelnie, hogy az ilyen elutasítás indokolható‑e többek között azzal, hogy az említett okiratnak a szóban forgó személyes adatokat nem tartalmazó hitelesített másolatát nem csatolták az aktához. Az előzetes döntéshozatal iránti kérelemre tehát azért van szükség, hogy a kérdést előterjesztő bíróság az előtte folyamatban lévő jogvitában ítéletet hozhasson. Ezenfelül az előzetes döntéshozatalra előterjesztett negyedik kérdés félreérthető megfogalmazása ellenére az előzetes döntéshozatalra utaló határozatból egyértelműen kitűnik, hogy e kérdés nem arra irányul, hogy a kérdést előterjesztő bíróság a még el nem fogadott nemzeti szabályozás uniós joggal való összeegyeztethetőségéről kapjon véleményt, hanem arra, hogy a Bíróságtól az ezen jog értelmezésére vonatkozó olyan tájékoztatást kérjen, amelyre az általa eldöntendő jogvita rendezéséhez szüksége van. Az előzetes döntéshozatalra előterjesztett negyedik kérdés tehát véleményem szerint elfogadható.

3.      A 2017/1132 irányelv II. mellékletében említett társaságokra vonatkozó okiratok és adatok közlésére vonatkozó kötelezettségek körének rövid áttekintése

21.      A 2017/1132 irányelv 14. cikke előírja, hogy a tagállamoknak az ezen irányelv II. mellékletében felsorolt társasági formák tekintetében „legalább” az említett cikkben felsorolt okiratokat és adatokat kell közölniük. A kötelezően közlendő okiratok között az irányelv 14. cikkének a)–c) pontja említi a társaság „alapító okirat[át] és alapszabály[át], ha ezt külön okirat tartalmazza”, valamint azok módosításait. Ugyanezen irányelv 4. cikkének i) pontja szerint az alapszabályban, alapító okiratban vagy a közlés tárgyát képező külön okiratban megadandó kötelező információk közé tartozik azon természetes vagy jogi személyek, illetve társaságok megjelölése, akik vagy amelyek aláírták, illetve amelyek képviseletében aláírták az alapszabályt vagy az alapító okiratot. A 14. cikk d) pontja szerint a kötelezően közlendő adatok között szerepel „azon személyek kijelölése, megbízásuk megszűnése és személyes adatai, akik a jogszabályok értelmében létrehozott szervként, illetve bármely ilyen szerv tagjaiként[…] jogosultak a társaság képviseletére harmadik személyekkel szemben és peres eljárásokban” és/vagy „részt vesznek a társaság ügyvitelében, felügyeletében, illetve ellenőrzésében”. A 2019/1151 irányelvvel módosított 2017/1132 irányelv 16. cikkének (2) bekezdése értelmében a 14. cikk szerint közzéteendő valamennyi okiratot és adatot az e cikk (1) bekezdésében említett, a központi nyilvántartásban, kereskedelmi nyilvántartásban vagy cégjegyzékben megnyitott aktában kell tárolni, vagy közvetlenül a nyilvántartásban kell rögzíteni.(14) A 2019/1151 irányelvvel módosított fenti irányelv 16. cikkének (3) és (4) bekezdése értelmében a tagállamok biztosítják, hogy az irányelv 14. cikkében említett okiratok és adatok közlése azáltal valósul meg, hogy azokat a nyilvántartásban nyilvánosan elérhetővé teszik. Ezenkívül a tagállamok előírhatják ezen okiratok és adatok egy részének vagy egészének az e célra kijelölt nemzeti közlönyben vagy egy ugyanolyan hatékony módon történő közzétételét. A tagállamok megteszik a szükséges intézkedéseket a nyilvántartásban, illetve az aktában szereplő, valamint nyilvántartásban közölt, illetve a közlönyben közzétett adatok közötti eltérések elkerülésére.

22.      A 2017/1132 irányelv fent említett követelményeivel kapcsolatban a következő észrevételek tehetők.

23.      Először is, a 2017/1132 irányelv előírja a társaság teljes alapító okiratának, valamint módosításainak kötelező közlését és a nyilvántartáson keresztül történő hozzáférhetőségét.(15)

24.      Másodszor, a II. mellékletében említett társaságok tekintetében az említett irányelv csak a személyek bizonyos kategóriáira vonatkozó adatok közlését és a nyilvántartáson keresztül történő hozzáférhetőségét írja elő, azaz különösen az azon személyekre vonatkozó adatokét, akik a társaságot képviselhetik, vagy akik részt vesznek a társaság ügyvitelében, felügyeletében vagy ellenőrzésében. Az irányelv 4. cikkének i) pontja szerint a társaság alapító okiratát aláíró természetes személyek megjelölését is közölni kell.

25.      Harmadszor, ezek az adatok, amelyek azonosított vagy azonosítható természetes személyekre vonatkoznak, az általános adatvédelmi rendelet 4. cikkének 1. pontja értelmében vett „személyes adatnak” minősülnek.(16)

26.      Negyedszer, a 2017/1132 irányelv fent említett rendelkezései csak minimumkövetelményeket tartalmaznak a társaságokra vonatkozó okiratok és adatok közlésére vonatkozóan. A tagállamok feladata tehát különösen annak meghatározása, hogy az említett irányelv 4. cikkének i) pontjában és 14. cikkének d) pontjában említett személyek megjelölésére vonatkozó adatok mely kategóriái tartoznak a kötelező közlés hatálya alá. A tagállamoknak jogukban áll továbbá, hogy adott esetben más személyi kategóriákra vonatkozó egyéb okiratok vagy egyéb adatok esetében is ilyen közlést írjanak elő. Magától értetődik, hogy ennek során tiszteletben kell tartaniuk az uniós jog valamennyi rendelkezését, különösen az Európai Unió Alapjogi Chartájának (a továbbiakban: Charta) 8. cikkében és 52. cikkének (1) bekezdésében foglalt elveket, valamint az általános adatvédelmi rendelet rendelkezéseit.

4.      Az adatkezelőről

27.      Az általános adatvédelmi rendelet 4. cikkének 7. pontja tágan határozza meg az „adatkezelő” fogalmát, így az kiterjed azon természetes vagy jogi személyre, közhatalmi szervre, ügynökségre vagy bármely egyéb szervre, amely a személyes adatok „kezelésének céljait és eszközeit” önállóan vagy másokkal együtt „meghatározza”. E tág meghatározás célja – a rendelet céljával összhangban – a természetes személyek alapvető jogai és szabadságai hatékony védelmének, valamint többek között a bármely személyt megillető, a rá vonatkozó személyes adatok védelméhez való jog magas szintű védelmének biztosítása.(17) Az „adatkezelés” fogalmát is tágan határozzák meg.(18) A rendelet 4. cikkének 2. pontja értelmében az „adatkezelés” „a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés”.

28.      A Manni ítéletből következik, hogy a 2017/1132 irányelv 14. cikkének d) pontjában említett személyek megjelölésére vonatkozó adatoknak a cégnyilvántartásban történő rögzítésével és ott tárolásával, valamint ezen adatok közlésével az e nyilvántartás vezetéséért felelős hatóság „személyes adatok kezelését” végzi, amelynek tekintetében az általános adatvédelmi rendelet 4. cikkének 2. és 7. pontjában foglalt fogalommeghatározások értelmében „adatkezelő”. Ugyanez nyilvánvalóan igaz abban az esetben is, ha az említett nyilvántartásban való rögzítés, a tárolás és a közlés az említett irányelvben kifejezetten említettektől eltérő személyes adatokra vonatkozik, amennyiben ezen adatok közlését valamely tagállam joga előírja.

29.      A jelen ügyben azonban az a kérdés, hogy egy ilyen hatóság – jelen esetben a nyilvántartó hatóság – felelős‑e olyan személyes adatok közzétételéért, amelyek közlését sem a 2017/1132 irányelv, sem az érintett tagállam – jelen esetben Bulgária – joga nem írja elő, de amelyek olyan okiratban szerepelnek, amelynek rögzítése és nyilvánosságra hozatala kötelező.

30.      Véleményem szerint erre a kérdésre igenlő választ kell adni.

31.      OL cégnyilvántartásban szereplő személyes adatainak közzététele ugyanis a nyilvántartó hatóságra mint e nyilvántartás vezetéséért felelős hatóságra ruházott hatáskör gyakorlásával történt. Amint már említettem, a bolgár jog előírja, hogy a cégjegyzékbe való bejegyzés iránti kérelemhez csatolni kell a közlendő okiratok eredeti példányát vagy hitelesített másolatát, beleértve a társasági szerződést, amelyet a nyilvántartó hatóság köteles közzétenni. A személyes adatoknak a nyilvántartó hatóság által a feladatai ellátása során végzett kezelésének céljait és eszközeit a bolgár jog és az uniós jog is meghatározza, amely, mint láttuk, közelítette a tagállamok cégnyilvánosságra vonatkozó jogszabályait. A nyilvántartó hatóságot mint a cégnyilvántartásban rögzített okiratokban szereplő személyes adatoknak a bolgár és az uniós jog által meghatározott céloknak és eszközöknek megfelelő kezeléséért felelős hatóságot ezért az általános adatvédelmi rendelet 4. cikkének 7. pontja értelmében vett „adatkezelőnek” kell tekinteni. Megjegyzem, hogy a Bíróság a közelmúltban hasonló következtetésre jutott a valamely tagállam hivatalos lapjáért jogszabály alapján felelős nemzeti szerv tekintetében a 2024. január 11‑i État belge (Hivatalos lap által kezelt adatok) ítéletben.(19)

32.      Ezt a következtetést nem kérdőjelezi meg az a körülmény, hogy a jelen ügyben a 2020. évi társasági szerződésben szereplő adatok nem tartoznak azon adatok közé, amelyeket a bolgár jog szerint közzé kell tenni. Egyrészt azt a tényt, hogy e körülmény nem befolyásolja az adatkezelő megjelölését, a Bíróság hallgatólagosan elfogadta az État belge ítéletben. Az említett ítélet alapjául szolgáló ügyben ugyanis, csakúgy, mint a jelen előzetes döntéshozatal iránti kérelem alapjául szolgáló ügyben, a jogvita olyan adatokra vonatkozott, amelyeket az érintett tagállam joga szerint nem kellett volna közzétenni. Másrészt a nyilvántartásokról szóló törvény 13. cikkének (9) bekezdése kifejezetten előírja, hogy amennyiben a kérelmező a közlendő dokumentumról nem nyújt be olyan hiteles másolatot, amelyben az elő nem írt személyes adatokat kitakarják, a nyilvántartó hatóság az adatokat kezeli és a hallgatólagos vélelmezett hozzájárulás alapján közzéteszi. A bolgár jog tehát még ilyen körülmények között is kifejezetten a nyilvántartó hatóságot jelöli ki adatkezelőnek.

33.      Ilyen körülmények között nem tudok egyetérteni a nyilvántartó hatóság írásbeli észrevételeiben kifejtett álláspontjával, amely szerint, ha a kérelmező nem takarja ki a bejegyzés céljából megküldött okiratokban szereplő, jogszabályban elő nem írt adatokat, akkor maga válik felelőssé az adatoknak a nyilvántartásba való online felvételéből álló kezelésért. Valójában ugyanis – függetlenül attól, hogy a nyilvántartásokról szóló törvény 13. cikkének (9) bekezdésében előírt vélelemre hivatkozva lehet‑e érvényesen hozzájárulást adni ezen adatok közzétételéhez – az ilyen hozzájárulás megléte nem az adatkezelő meghatározását, hanem csak az adatkezelés jogszerűségét befolyásolja.

34.      Hasonlóan irreleváns az a körülmény, amelyet a nyilvántartó hatóság is kiemel, hogy a cégnyilvántartásba való bejegyzés iránti kérelem keretében benyújtott dokumentumok nem strukturált vagy géppel olvasható adatok, ellentétben az említett nyilvántartás digitális mezőivel, amelyeket a bejegyzést végző tisztviselő tölt ki, és amelyek megfelelnek a „nyilvántartás” bolgár jog szerinti jogi meghatározásának. Valójában a nyilvántartó hatóság a bolgár jog szerint a cégnyilvántartás vezetésével megbízott hatóság, és ezért a nyilvántartásban közzétett személyes adatok bármilyen kezeléséért felelős, függetlenül attól, hogy az ilyen adatokat a kérelemhez csatolt dokumentum tartalmazza, vagy azokat a nyilvántartó hatóság tisztviselője vezette be. Így, ha a nyilvántartó hatóság maga nem alakítja át digitálisan a hozzá beérkező dokumentumokat, akkor is felelős azért, hogy ezeket a dokumentumokat és az azokban szereplő adatokat a nyilvántartáson keresztül nyilvánosságra hozza. Általánosabb értelemben, közérdekű feladatának részeként a nyilvántartó hatóság a hozzá beérkező valamennyi adatot, okiratot és dokumentumot egy strukturált adatbázisban gyűjti, rögzíti, tárolja, rendszerezi és rendezi, amelyet megbízható és hiteles információforrásként ismernek el.

35.      Végezetül, a nyilvántartó hatóságnak az általános adatvédelmi rendelet 4. cikkének 7. pontja szerinti „adatkezelői” státuszát nem kérdőjelezi meg az a körülmény, hogy a nyilvántartó hatóság nem ellenőrzi a bejegyzés céljából benyújtott dokumentumok elektronikus képmásolataiban vagy papíralapú eredeti példányaiban szereplő személyes adatokat, mielőtt azokat online elérhetővé tenné, sem pedig az, hogy nem tudja módosítani vagy helyesbíteni ezeket az adatokat. E tekintetben emlékeztetnék arra, hogy a Bíróságnak már volt alkalma elutasítani egy hasonló tartalmú érvelést az État belge ítéletben, amely valamely tagállam hivatalos lapjában harmadik személyek által készített, majd valamely igazságügyi hatósághoz benyújtott és az e lapért felelős szervnek nyilvánosságra hozatal céljából továbbított okiratok és dokumentumok közzétételére vonatkozott. Az ítélet 38. pontjában a Bíróság egyrészt megállapította, hogy az említett okiratoknak és dokumentumoknak az ellenőrzés vagy a tartalmuk módosításának lehetősége nélküli közzététele elválaszthatatlanul kapcsolódik a hivatalos lap szerepéhez, amely arra korlátozódik, hogy az alkalmazandó nemzeti jognak megfelelően tájékoztassa a nyilvánosságot azok létezéséről, oly módon, hogy azokra harmadik személyekkel szemben hivatkozni lehessen. Másrészt megállapította, hogy ellentétes lenne az általános adatvédelmi rendelet 4. cikke 7. pontjának céljával, amely a természetes személyek hatékony és átfogó védelmének biztosítására irányul a személyes adataik kezelése tekintetében, ha valamely tagállam hivatalos lapját az „adatkezelő” fogalma alól kizárnánk abból az okból, hogy ez utóbbi nem gyakorol ellenőrzést az ilyen adatok felett. Hasonló megfontolások értelemszerűen vonatkoznak az okiratoknak és dokumentumoknak a tagállamok cégjegyzékében való közzétételére is. Valójában, ahogyan a fent említett ítéletben a Moniteur belge esetében is történt, noha igaz, hogy a nyilvántartó hatóságnak az érintett okiratot változatlan formában kell közzétennie, kizárólag az ő feladata a közzététel, és ő végzi a terjesztést.(20)

36.      Ebben a szakaszban felmerül a kérdés, hogy a szóban forgó adatok kezelése, és így az általános adatvédelmi rendelet 5. cikkének (1) bekezdésében foglalt elvek betartása tekintetében kizárólag a nyilvántartó hatóságot kell‑e felelősnek tekinteni, vagy pedig az megosztja ezt a felelősséget a társaság nevében eljáró kérelmezővel, mivel ez utóbbi nem nyújtotta be a nyilvántartó hatóságnak a 2020. évi társasági szerződés azon példányát, amelyben az említett adatokat kitakarták.

37.      E tekintetben elöljáróban emlékeztetnék arra, hogy az általános adatvédelmi rendelet 26. cikkének (1) bekezdése előírja, hogy két vagy több személy közösen is vállalhat felelősséget az adatkezelésért, és hogy a vonatkozó kötelezettségeiket a közöttük létrejött megállapodásban, illetve a rájuk alkalmazandó uniós vagy tagállami jogban lehet meghatározni.(21) E tekintetben a Bíróság megállapította, hogy a „közös adatkezelők” minősítés abból ered, hogy több jogalany vett részt az adatkezelés céljainak és eszközeinek meghatározásában.(22) Ilyen részvétel hiányában viszont az adatkezelésért való közös felelősség kizárt, és a különböző szereplőket független és egymást követő adatkezelőknek kell tekinteni. Amint azt az európai adatvédelmi biztos jelezte, ugyanazon adatok vagy adatállományok két jogalany közötti cseréjét anélkül, hogy közösen határoznák meg az adatkezelés céljait vagy eszközeit, külön adatkezelők közötti adatközlésnek kell tekinteni.(23)

38.      Így pusztán az a tény, hogy a nyilvántartó hatóság egyszerre „adatkezelő” az általános adatvédelmi rendelet 4. cikkének 7. pontja értelmében és „címzett” az említett cikk 9. pontja szerint azon az alapon, hogy a cégnyilvántartásba való bejegyzés iránti kérelemhez csatolt okiratokban és dokumentumokban szereplő személyes adatokat közlik vele, nem zárja ki, hogy egyedül ő legyen a felelős ezen adatok közzétételéért. A közzététel, valamint a benyújtott iratokban szereplő adatok digitális átalakítása, amennyiben erre sor kerül, és azok tárolása olyan adatkezelésnek minősül, amely elkülönül az adatoknak a kérelmező által, a társaság bejegyzése céljából történő benyújtásától, és ez utóbbit követően történik. A nyilvántartó hatóság egyedül végzi ezt az adatkezelést, a rábízott közérdekű feladatokkal összefüggésben és a bolgár jogszabályokban meghatározott céloknak és eljárásoknak megfelelően.(24)

39.      Igaz, hogy egyrészt a Bíróság az État belge ítéletben(25) kimondta, hogy az adatkezelésért való közös felelősséghez elegendő, ha egy személy befolyásolja a személyes adatok saját céljaira történő kezelését, és ezáltal részt vesz ezen adatkezelés céljainak és eszközeinek meghatározásában.(26) A jelen ügyben azonban a Bíróság előtt lévő ügyiratból egyértelműen kitűnik, hogy a cégnyilvántartásban közzéteendő dokumentumokban szereplő adatok kezelésének céljait és eszközeit kizárólag a törvény határozza meg. Azoknak a személyeknek, akik a társaság nevében a törvény szerint közzéteendő dokumentumokat és adatokat a nyilvántartás adatbázisába feltöltik,(27) nincs befolyásuk erre a döntésre, és ezért – a társasághoz hasonlóan – nem vonhatók felelősségre az általuk a hatósággal közölt adatok későbbi kezeléséért, beleértve ezen adatoknak a nyilvántartás elektronikus adatbázisán keresztül történő nyilvánosságra hozatalát is. Ezen túlmenően azáltal, hogy ezek a személyek a közlendő okiratokat a nyilvántartó hatósághoz benyújtják, és az azokban foglalt adatokat kezelik, saját céljaikat követik, nevezetesen a társaság bejegyzéséhez szükséges formai követelményeknek tesznek eleget, amely célok eltérnek a nyilvántartás számára előírt és a nyilvántartó hatóság által oly módon megvalósított közcéloktól, hogy a hatóság gondoskodik az ilyen okiratok közzétételéről.(28)

40.      Másrészt az État belge ítéletben a Bíróság elismerte, hogy a különböző személyek vagy szervezetek által végzett, ugyanazon személyes adatokra vonatkozó adatkezelési lánc keretében a nemzeti jog meghatározhatja az e különböző személyek vagy szervezetek által egymást követően végzett adatkezelések összességének céljait és eszközeit oly módon, hogy azok közös adatkezelőnek minősüljenek.(29) Így az általános adatvédelmi rendelet 26. cikke (1) bekezdésének és 4. cikke 7. pontjának együttesen értelmezett rendelkezései értelmében a nemzeti jog megállapíthatja az ugyanazon személyes adatokra vonatkozó adatkezelési lánc több szereplőjének közös felelősségét, amennyiben a különböző adatkezelési műveleteket az e jog által meghatározott célok és eszközök kötik össze, és e jog – közvetlenül vagy közvetve – meghatározza a közös adatkezelők mindegyikének kötelezettségeit.(30) Véleményem szerint azonban nem ez a helyzet a nyilvántartásokról szóló törvény 13. cikkének (6) és (9) bekezdésével, mivel a törvény csupán azokat a feltételeket határozza meg, amelyek alapján a bolgár jog szerint a nem közlendő személyes adatok cégnyilvántartásban való közzétételéhez való hozzájárulást az érintett személy érvényesen megadta. E rendelkezés célja nem az, hogy a kérelmezőnek az említett adatok későbbi kezeléséért való közös felelősségét megállapítsa, hanem az, hogy a nyilvántartó hatóság által végzett adatkezelés jogszerűségének alapját meghatározza. Ezenfelül, amint már rámutattam, a társaság által követett magánjellegű célok különböznek a nyilvántartó hatóság által követett közcéloktól, így az État belge ítéletben megkövetelt azon feltételek, hogy „az ugyanazon személyes adatokra vonatkozó adatkezelési lánc” szereplőiként való közös felelősségük a bolgár jog szerint fennálljon, véleményem szerint nem teljesülnek.

41.      Mindezek alapján úgy vélem, hogy az általános adatvédelmi rendelet 4. cikkének 7. pontját és 26. cikkének (1) bekezdését úgy kell értelmezni, hogy a valamely tagállam cégnyilvántartásának vezetéséért felelős azon hatóság, amely az adott tagállam jogszabályai szerint köteles gondoskodni egy társaságnak az e nyilvántartásba való bejegyzésére irányuló kérelmével összefüggésben hozzá benyújtott okiratok közzétételéről, kizárólagosan felelős az ezen okiratokban szereplő személyes adatok közzétételéért, még akkor is, ha a szóban forgó adatokat nem kell közzétenni, és azokat az említett jogszabályoknak megfelelően a hatósághoz történő benyújtás előtt az okiratokban ki kellett volna takarni.

5.      Az adatkezelés jogszerűségének alapjáról

42.      A személyes adatok bármely kezelésének meg kell felelnie az általános adatvédelmi rendelet 5. cikkének (1) bekezdésében foglalt, az adatkezelésre vonatkozó elveknek, és teljesítenie az említett rendelet 6. cikkében meghatározott feltételeket,(31) amely azon esetek kimerítő és korlátozó jellegű felsorolását tartalmazza, amelyekben az ilyen kezelés jogszerűnek minősíthető.(32) Az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének a) pontja értelmében a személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez. Ilyen hozzájárulás hiányában, vagy ha e hozzájárulást nem önkéntesen, konkrétan, megfelelő tájékoztatás alapján és egyértelműen, nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján adták meg az általános adatvédelmi rendelet 4. cikkének 11. pontja értelmében, az ilyen adatkezelés mindazonáltal akkor is indokolt, ha megfelel az e rendelet 6. cikke (1) bekezdése első albekezdésének b)–f) pontjában említett, megszorítóan értelmezendő szükségességi követelmények valamelyikének.(33)

43.      A jelen esetben a nyilvántartásokról szóló törvény 13. cikkének (9) bekezdése által felállított hozzájárulási vélelem nyilvánvalóan nem felel meg az általános adatvédelmi rendelet – 4. cikkének 11. pontjával összefüggésben értelmezett – 6. cikke (1) bekezdése első albekezdésének a) pontjában előírt feltételeknek.(34) Ezért meg kell vizsgálni, hogy az alapeljárásban szereplőhöz hasonló adatkezelés megfelel‑e az említett rendelet 6. cikke (1) bekezdésének első albekezdésében meghatározott egyéb jogalapok valamelyikének.

44.      A Manni ítéletből kitűnik, hogy a személyes adatoknak – a társasági okiratok közzétételére vonatkozó nemzeti rendelkezéseket összehangoló uniós jogi aktusoknak a végrehajtása során – a nyilvántartás vezetéséért felelős hatóság által végzett kezelése megfelel többek között az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének c) és e) pontjaiban meghatározott jogszerűségi indokoknak, amelyek egyrészt az adatkezelőre vonatkozó jogi kötelezettség teljesítésére, másrészt közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtására vonatkoznak. Ezért elemzésemet erre a két okra összpontosítom.

45.      Ami először is az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének c) pontjában foglalt indokot illeti, először is azt kell megvizsgálni, hogy az alapügyben szóban forgó személyes adatoknak – amelyek nem tartoznak a 2017/1132 irányelv vagy a bolgár jog szerinti közlendő adatok közé – a cégnyilvántartásban való közzétételét indokolta‑e az említett irányelv 14. cikkében említett okiratok közlésének biztosítására vonatkozó követelmény, és ezért az szükséges volt‑e az uniós jogból eredő jogi kötelezettség teljesítéséhez.

46.      Az említett irányelv 16. cikkének (3) bekezdése szerint a tagállamok biztosítják, hogy az említett okiratok az e cikk (1) bekezdésének első albekezdésében említett nyilvántartásban nyilvánosan elérhetővé váljanak. A német, az ír és a lengyel kormány lényegében úgy véli, hogy a 14. cikkel összefüggésben értelmezett fenti cikk értelmében a nyilvántartás vezetésére jogosult hatóságok az említett okiratokat a kézhezvételt követően kötelesek közzétenni. A hatóságok tehát kötelesek kezelni az okiratokban lévő valamennyi személyes adatot, beleértve az uniós jog vagy alkalmazandó nemzeti jog által elő nem írt adatokat is.

47.      Nem értek egyet ezzel az értelmezéssel. A 2017/1132 irányelv valóban előírja, hogy bizonyos alapvető fontosságú társasági okiratokat kötelező közölni, és hogy ez a közlés a nyilvántartáson keresztül történik, de nem írja elő az ezen okiratokban szereplő valamennyi személyes adat automatikus kezelését, különösen, ha az ilyen adatkezelés ellentétes lenne az általános adatvédelmi rendelet rendelkezéseivel. Ezzel szemben, amint arra fentebb emlékeztetettem, a 2019/1151 irányelvvel módosított fenti irányelv 161. cikke úgy rendelkezik, hogy bármely személyes adatnak az említett irányelvvel összefüggésben végzett kezelésére az általános adatvédelmi rendelet alkalmazandó. A tagállamok feladata tehát, hogy megfelelő egyensúlyt teremtsenek a jogbiztonság és a harmadik felek érdekeinek védelme – amelyek, mint azt rövidesen látni fogjuk, alátámasztják a társasági okiratok közzétételére vonatkozó szabályokat –, valamint a személyes adatok tiszteletben tartásához való alapvető jog között.

48.      Ezt követően meg kell vizsgálni, hogy az alapügyben szóban forgó adatoknak a cégnyilvántartásban való közzététele szükséges volt‑e a bolgár jog szerinti jogi kötelezettség teljesítéséhez. E tekintetben emlékeztetnék arra, hogy a nyilvántartásokról szóló törvény 2. cikkének (2) bekezdése előírja, hogy a cégnyilvántartásba felveendő okiratokat „az [általános adatvédelmi rendelet] 4. cikkének 1. pontja értelmében vett személyes adatnak minősülő információktól mentesen kell közzétenni, kivéve azokat az információkat, amelyeket jogszabály alapján közzé kell tenni”. Az alapügyben szóban forgó adatkezelés jogszerűsége ezért nem tűnik úgy, hogy az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének c) pontja értelmében vett olyan „jogi kötelezettségen” alapulna, amely a bolgár jog szerint a nyilvántartó hatóságra alkalmazandó lenne, amit ráadásul a nyilvántartásokról szóló törvény 13. cikkének (9) bekezdése által felállított hozzájárulási vélelem is megerősíteni látszik. E kérdésben azonban a kérdést előterjesztő bíróságnak kell döntenie, amely egyedül rendelkezik hatáskörrel a nemzeti jog értelmezésére. Itt csupán arra a megállapításra szorítkozom, hogy az a nyilvántartó hatóság által hivatkozott tény, hogy a törvény által elő nem írt személyes adatokat kitakaró másolat hiányában az okiratot abban a formában kell közzétennie, ahogyan azt megküldték neki, véleményem szerint nem elegendő ahhoz, hogy az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének c) pontja értelmében vett „jogi kötelezettségnek” minősüljön, tekintettel arra, hogy az ilyen közzétételt a törvény eleve kizárja, és hogy azt a nyilvántartó hatóság csak vélelmezett hozzájárulás alapján végzi.(35) E tekintetben fontos hangsúlyozni, hogy az adatkezelőnek meg kell győződnie az általa végzett adatkezelés „jogszerű” jellegéről a rendelet 6. cikke (1) bekezdése első albekezdésének a)–f) pontjában meghatározott feltételek tekintetében.(36)

49.      Másodszor, ami az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének e) pontjában foglalt indokot illeti, amelyre mind a kérdést előterjesztő bíróság, mind a jelen eljárásban észrevételeket benyújtó tagállamok többsége hivatkozik, emlékeztetnék arra, hogy a Bíróságnak már volt alkalma megállapítani, hogy az adott hatóság azon tevékenysége, amely a társaságok által törvényi bejelentési kötelezettség alapján bejelentett adatok adatbázisban tárolásában és az érdekeltek kérésére térítés ellenében betekintés biztosításában és kivonat készítésében nyilvánul meg, a közhatalmi jogosítványok gyakorlásának körébe tartozik,(37) és az említett rendelkezés értelmében közérdekben elvégzendő feladatnak minősül.(38) Amint azt Bot főtanácsnok a Manni ítélet alapjául szolgáló ügyre vonatkozó indítványában kifejtette, a társaságokra vonatkozó lényeges információknak a kereskedelmi nyilvántartásban és a cégjegyzékben történő rögzítése, illetve közzététele egy megbízható információforrás kialakítására, ily módon pedig a harmadik személyek, többek között a hitelezők érdekeinek védelméhez, a kereskedelmi ügyletek tisztességességéhez, és ennélfogva a piac megfelelő működéséhez szükséges jogbiztonság biztosítására irányul.(39) Továbbá, amint azt a Bíróság hangsúlyozta, az összes vonatkozó adatnak ezekben a nyilvántartásokban való tárolása és harmadik felek általi hozzáférhetősége elősegíti a tagállamok közötti kereskedelmet, a belső piac fejlesztése céljából is.(40)

50.      A jelen ügyben az a kérdés merül fel, hogy az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének e) pontjában előírt célokra és jogszerűségi indokra lehet‑e hivatkozni az alapügyben szóban forgó olyan személyes adatoknak a nyilvántartó hatóság általi közzétételével kapcsolatban, amelyek nem tartoznak az uniós jog vagy a bolgár jog szerint kötelezően közlendő adatok közé.

51.      E tekintetben emlékeztetnék arra, hogy az általános adatvédelmi rendelet – (45) preambulumbekezdésével összefüggésben értelmezett – 6. cikkének (3) bekezdése, különösen az e cikk (1) bekezdése első albekezdésének e) pontjában említett jogszerűségi feltétel tekintetében előírja, hogy az adatkezelésnek az uniós jogon vagy azon tagállam jogán kell alapulnia, amelynek hatálya alá az adatkezelő tartozik, és hogy e jogalapnak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.(41) Márpedig e követelmények – amelyekről a Bíróság egyértelművé tette, hogy a Charta 52. cikkének (1) bekezdéséből eredő követelmények kifejeződései(42) – egyike sem látszik teljesülni a jelen ügyben, amely személyes adatok olyan kezelésére vonatkozik, amely – bár az általános adatvédelmi rendelet 6. cikkének (1) bekezdése első albekezdésének e) pontja értelmében vett közérdekű feladat gyakorlása során végezték – nem tekinthető az alkalmazandó nemzeti jogszabályok értelmében a priori szükségesnek e feladat elvégzéséhez, sem pedig a cégnyilvántartás számára előírt célok megvalósításához, és amelyet csak az érintett vélelmezett hozzájárulása alapján engedélyeztek.

52.      Általánosságban hangsúlyozni kell, hogy a személyes adatok közzététele – amikor az az uniós jog vagy az érintett tagállam joga nem írja elő – nem szolgálja a jelen indítvány 49. pontjában meghatározott célok egyikét sem,(43) amelyek egyedül indokolják az érintetteknek a magánélet tiszteletben tartásához és a személyes adatok védelméhez fűződő, a Charta 7. és 8. cikkében biztosított jogaiba való beavatkozást.(44) Ezen túlmenően, amint azt a Bíróság a Manni ítéletben hangsúlyozta, az ilyen beavatkozás különösen azért nem tekinthető aránytalannak, mert a közzététel elvben csak korlátozott számú személyes adatra vonatkozik, nevezetesen a társaság képviseletére feljogosított személyek személyi adataira és az általuk betöltött tisztségekre, amelyek tehát harmadik személyek érdekeinek védelme érdekében szükségesek.(45)

53.      A bolgár kormány és a nyilvántartó hatóság lényegében azt állítja, hogy az alapügyben szóban forgó adatkezelés a bolgár jog szerint azon a követelményen alapul, hogy biztosítani kell a társaságok alapvető okiratainak nyilvánosságát, meg kell őrizni azok sértetlenségét és megbízhatóságát, és nem szabad akadályozni a nyilvántartó hatóságot közérdekű feladatának ellátásában. Amennyiben a kérdést előterjesztő bíróság ugyanerre a következtetésre jutna, akkor is biztosítania kellene az arányosság elvének tiszteletben tartását. Ezen elv értelmében a személyes adatok tiszteletben tartásához való alapvető jog korlátozásának a feltétlenül szükséges mérték határain belül kell maradnia,(46) ami nem áll fenn akkor, ha az elérni kívánt közérdekű cél észszerűen ugyanolyan hatékonyan elérhető más, e jogot kevésbé sértő eszközökkel.(47) Emlékeztetni kell arra is, hogy az általános adatvédelmi rendelet 5. cikke (1) bekezdésének c) pontja előírja, hogy a személyes adatoknak az adatkezelés céljai szempontjából megfelelőnek és relevánsnak kell lenniük, és a szükségesre kell korlátozódniuk, és megköveteli, hogy a tagállamok tiszteletben tartsák az „adattakarékosság” elvét, amely az arányosság elvét fejezi ki.(48)

54.      Márpedig úgy tűnik számomra, hogy a társaságok alapvető okiratainak közzétételére irányuló célkitűzés észszerűen elérhető olyan eljárások alkalmazásával, amelyek lehetővé teszik, hogy azokat a személyes adatokat, amelyek nyilvánosságra hozatala nincs előírva, a közzététel előtt kitakarják. Ezek az eljárások magukban foglalhatják különösen a nyilvántartó hatóság azon kötelezettségét, hogy a társaság bejegyzésére irányuló eljárást felfüggessze annak érdekében, hogy lehetővé tegye az ilyen adatokat tartalmazó okiratok módosítását, vagy adott esetben hivatalból eljárjon az ilyen adatok törlése érdekében.

55.      A jelen eljárás során észrevételeket benyújtó számos tagállam által felhozott érvek, amelyek szerint az ilyen eljárások alkalmazása alkalmas arra, hogy késleltesse a cégjegyzékbe való bejegyzés iránti kérelmek elbírálását, ami különösen a tagok érdekeit sérti, vagy túlzottan megterhelő feladatokat ró a nemzeti hatóságokra, nem tűnnek számomra megalapozottnak. Ezek az eljárások ugyanis egyrészt szükségesek ahhoz, hogy a társasági okiratok közzététele által érvényesített érdekeket össze lehessen egyeztetni a személyes adatok tiszteletben tartásához való alapvető joggal, különösen akkor, ha – amint a jelen indítvány 16. pontjában rámutattam – a szóban forgó személyes adatokat a digitalizált környezetben korlátlanul hozzáférhetővé kívánják tenni a nyilvánosság számára. Másrészt ezen eljárások során igénybe vehetnek olyan adatkeresési és azonosítási eszközöket, amelyek megkönnyítik a hatóságok feladatát, és úgy alakíthatják ki az eljárásokat, hogy először a kérelmezőkre háruljon a nyilvánosságra nem hozható személyes adatok kitakarásának kötelezettsége, ahogyan azt a bolgár jog is előírja.

56.      Ami a kötelezően közlendő és a cégjegyzékbe való bejegyzés céljából benyújtott társasági okiratok sértetlenségének és megbízhatóságának megőrzésére vonatkozó követelményt illeti – amelyet a bolgár kormány és a nyilvántartó hatóság, valamint a jelen eljárásban észrevételeket benyújtó tagállamok többsége is említett –, amely megköveteli ezen okiratok közzétételét abban a formában, ahogyan azokat a nyilvántartás vezetéséért felelős hatóságoknak benyújtották, e követelmény véleményem szerint nem élvezhet automatikus elsőbbséget a személyes adatok védelméhez fűződő alapvető joggal szemben, mert így ez a védelem csak látszólagos lesz.

57.      Hajlok arra a véleményre, hogy e követelmény az ilyen okiratokban szereplő, nem kötelezően közlendő személyes adatoknak legfeljebb a tárolását indokolhatja, a nyilvánosság számára hozzáférhető nyilvántartási adatbázisban történő korlátozás nélküli közzétételüket azonban nem. Konkrétan úgy vélem, hogy az okiratok azon másolatának a közzététele, amelyekben az elő nem írt személyes adatokat kitakarták és az eredeti példánynak az aktában való tárolása megfelelő egyensúlyt teremtene e követelmény és az érintett személyek adatainak védelme között. Az eredeti okirathoz és az abban szereplő valamennyi adathoz való hozzáférés ezután csak eseti alapon, az azt igazoló jogos érdek – ideértve a dokumentum hitelességének ellenőrzését is – fennállása esetén és az általános adatvédelmi rendelet rendelkezéseinek megfelelően lenne megengedett.

58.      E tekintetben – többek között az ír kormány állításával ellentétben – úgy vélem, hogy a 2019/1151 irányelvvel módosított 2017/1132 irányelv 16a. cikke, amely szerint „[a] tagállamok biztosítják, hogy a 14. cikkben említett okiratok […] egészének vagy azok bármely részének másolatai […] beszerezhetőek legyenek a nyilvántartástól”, nem jelenti azt, hogy a tagállamok kötelesek korlátlan hozzáférést biztosítani valamennyi ilyen okirathoz. Másrészt, amint azt már megjegyeztem, a 2019/1151 irányelvvel módosított 2017/1132 irányelv 161. cikke előírja a tagállamok számára, hogy eljárásokat vezessenek be annak biztosítására, hogy a cégnyilvántartás vezetéséért felelős hatóságok a rájuk bízott közérdekű feladat ellátása során betartsák az általános adatvédelmi rendelet valamennyi rendelkezését.

59.      Mindezek alapján úgy vélem, hogy az alapeljárás tárgyát képező adatkezelés nem tekinthető az alapeljárás alperesének hozzájárulásán alapuló adatkezelésnek az általános adatvédelmi rendelet – 4. cikkének 11. pontjával összefüggésben értelmezett – 6. cikke (1) bekezdése első albekezdésének a) pontja értelmében. A kérdést előterjesztő bíróság által elvégzendő ellenőrzések függvényében úgy tűnik, hogy ez az adatkezelés nem felel meg sem az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének c) pontjában, sem az e) pontjában előírt, az említett rendelet 6. cikkének (3) bekezdésével összefüggésben értelmezett jogszerűségi feltételeknek. A teljesség kedvéért hozzátenném, hogy az említett adatkezelés valószínűleg nem tartozik az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdése f) pontjának hatálya alá sem, amely személyes adatok olyan kezelésére vonatkozik, amely az adatkezelő jogos érdekeinek érvényesítéséhez szükséges. Amint ugyanis azt a Bíróság világossá tette, az általános adatvédelmi rendelet 6. cikke (1) bekezdése második albekezdésének szövegéből egyértelműen kitűnik, hogy a személyes adatoknak a közhatalmi szervek által feladataik ellátása során végzett kezelése nem tartozhat az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdése f) pontjának a hatálya alá, így e rendelkezésnek és az említett rendelet 6. cikke (1) bekezdése első albekezdése e) pontjának az alkalmazása kölcsönösen kizárja egymást.(49) Márpedig a jelen esetben az alapügyben szóban forgó személyes adatok kezelését a nyilvántartó hatóság a rábízott közérdekű feladat gyakorlása során végzi, ami eleve kizárja az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdése f) pontjának alkalmazását, függetlenül attól, hogy az adatkezelés megfelel‑e a rendelet 6. cikke (3) bekezdésében foglalt feltételeknek.

60.      Nem zárható ki tehát, hogy a kérdést előterjesztő bíróság arra a következtetésre jut, hogy az alapügyben szóban forgó adatkezelés jogellenes volt, mivel az általános adatvédelmi rendelet 6. cikkének (1) bekezdésében foglalt indokok egyikének sem felelt meg.

6.      A törléshez való jog

61.      Az általános adatvédelmi rendelet 17. cikke megállapítja az érintettnek a rá vonatkozó személyes adatok törléséhez való jogát, amennyiben az említett cikk (1) bekezdésében felsorolt indokok valamelyike fennáll, és ezzel összefüggésben kötelezi az adatkezelőt, hogy a törlést indokolatlan késedelem nélkül végezze el.

62.      Az általános adatvédelmi rendelet 17. cikkének (3) bekezdése azonban kimondja, hogy e cikk (1) bekezdése nem alkalmazandó, amennyiben a szóban forgó adatkezelés az előbbi rendelkezésben felsorolt indokok valamelyike miatt szükséges. A rendelet 17. cikke (3) bekezdésének b) pontja szerint ezen indokok közé tartozik a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása.

63.      Amennyiben a törléshez való jog alóli ezen kivételek az adatkezelésnek indokoltságára vonatkozó, az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének c) és e) pontjában foglalt okokat tükrözik, az alapügyhöz hasonló körülmények között való hivatkozhatóságukat illetően a jelen indítvány 45–58. pontjaiban foglalt elemzésre utalok.(50)

64.      Amennyiben tehát a kérdést előterjesztő bíróság úgy ítéli meg, hogy az alapügyben szóban forgó személyes adatoknak a cégnyilvántartásban való közzététele a bolgár jog szerint nem tartozik az általános adatvédelmi rendelet 6. cikkének (3) bekezdésével összefüggésben értelmezett 6. cikke (1) bekezdése első albekezdése c) vagy e) pontjának hatálya alá, és következésképpen az általános adatvédelmi rendelet 17. cikke (3) bekezdése b) pontjának hatálya alá sem, az alapeljárás alperesének joga van a törléshez, amely az ilyen közzététel megszüntetéséből áll, és a nyilvántartó hatóság mint adatkezelő köteles ennek eleget tenni. Az általános adatvédelmi rendelet 17. cikke (1) bekezdésének d) pontja ugyanis abszolút jogot biztosít az érintettnek a személyes adatai törlésére, ha azokat jogellenesen kezelték.(51)

65.      Ha viszont a kérdést előterjesztő bíróság azt állapítaná meg, hogy az alapügyben szóban forgó adatkezelés megfelel az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdése c) vagy e) pontjának, akkor a rendelet 17. cikke (3) bekezdésének b) pontja a priori alkalmazandó lenne. Két pontosításra van azonban szükség.

66.      Egyrészt, ha a kérdést előterjesztő bíróság arra a következtetésre jutna, hogy az alapügyben szóban forgó személyes adatok közzététele szükséges volt a nyilvántartó hatóságra bízott közérdekű feladat ellátásához annak érdekében, hogy ne késlekedjen a társaságnak a cégnyilvántartásba történő bejegyzése, álláspontom szerint ez az ok önmagában nem indokolhatja ezen adatoknak a cégbejegyzést követően a nyilvántartásban való tárolását, és következésképpen az alapeljárás alperese törléshez való jogának az általános adatvédelmi rendelet 17. cikke (3) bekezdésének b) pontja alapján történő kizárását. A törléshez való jogot az említett rendelet 17. cikke (1) bekezdésének c) pontja biztosítja, amely akkor alkalmazandó, ha az érintett a rendelet 21. cikkének (1) bekezdése alapján, a saját helyzetével kapcsolatos okokra hivatkozva tiltakozik személyes adatainak többek között az említett rendelet 6. cikke (1) bekezdése első albekezdésének e) pontján alapuló kezelése ellen, és nincs „elsőbbséget élvező jogszerű ok az adatkezelésre”, amelyet az adatkezelőnek kell bizonyítania.(52) Márpedig a jelen indítvány 56. pontjában már kifejtett okokból úgy vélem, hogy a társaság cégjegyzékbe való bejegyzésének alapjául szolgáló okiratok sértetlenségének és megbízhatóságának megőrzésére vonatkozó követelmény nem képezhet ilyen elsőbbséget élvező jogszerű okot. Valójában, amint azt már megjegyeztem, e követelménynek más, a személyes adatok tiszteletben tartásához való alapvető jogot kevésbé sértő eszközökkel is eleget lehet tenni.

67.      Másrészt a Manni ítéletből következik, hogy a hozzáférésnek olyan harmadik személyekre való korlátozása, akik bizonyítani tudják konkrét érdeküket, eseti alapon, az érintettek sajátos helyzetével kapcsolatos lényeges jogos érdekből indokolt lehet, még a 2017/1132 irányelv alapján kötelezően közlendő személyes adatok esetében is, tehát még akkor is, ha a közzététel az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének c) pontja értelmében vett jogi kötelezettségből fakad. Márpedig az ilyen korlátozást még inkább el kell fogadni az olyan személyes adatok esetében, amelyeket nem kell közölni sem az uniós jog, sem a nemzeti jog alapján. Ezen túlmenően ilyen esetben az a feltétel, amelyhez a Bíróság a Manni ügyben a társaság felszámolójának személyi adataihoz való hozzáférés korlátozását kötötte, nevezetesen, hogy a társaság megszűnését követően kellően hosszú időnek kell eltelnie, a jelen esetben nem lenne alkalmazható, ezért az ilyen adatokhoz való hozzáférés korlátozását a lehető leghamarabb alkalmazni kell.

7.      A törléshez való jog gyakorlásának különleges eljárási szabályokhoz való kötöttségéről

68.      Az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a nyilvántartó hatóság OL azon rá vonatkozó személyes adatok törlésére irányuló kérelmét, amely adatok közzétételét a bolgár jog nem írja elő, különleges eljárási szabályok betartásától tette függővé, amelyek előírják az említett adatokat tartalmazó okirat olyan másolatának benyújtását, amelyben ezen adatokat kitakarták. Ilyen másolat hiányában a kérelmet elutasították vagy bizonytalan időre elhalasztották. A nyilvántartó hatóság által adott magyarázat szerint ezen eljárási szabályok betartására azért van szükség, mert a hatóság nem rendelkezik hatáskörrel a szóban forgó okirat módosítására, mivel ez a módosítás kizárólag a társaság irányító szerveinek hatáskörébe tartozik.

69.      Emlékeztetnék arra, hogy az általános adatvédelmi rendelet 23. cikkének (1) bekezdése szerint az uniós vagy a nemzeti jog „jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben […] foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az [ott felsorolt célok valamelyikének] védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban”. Mivel ezek az eljárási szabályok a törléshez való jog és az általános adatvédelmi rendelet 21. cikkében előírt tiltakozáshoz való jog gyakorlásának korlátozását, vagy akár kizárását eredményezik, amennyiben az érintettnek nem sikerül elérnie, hogy a társaságtól a szóban forgó okirat szükséges módosításait megkapja, a nyilvántartó hatóság által alkalmazott eljárási szabályok valószínűleg az általános adatvédelmi rendelet 23. cikke (1) bekezdésének hatálya alá tartoznak.(53) Ezért meg kell vizsgálni, hogy a jelen ügyben teljesülnek‑e az e rendelkezés által előírt feltételek, még akkor is, ha a kérdést előterjesztő bíróság nem kéri kifejezetten a Bíróságtól e kérdés eldöntését.

70.      E tekintetben mindenekelőtt megállapítom, hogy ezen eljárási szabályok a nyilvántartó hatóság egyszerű belső gyakorlatának tűnnek.(54) Ezért – a kérdést előterjesztő bíróság által elvégzendő ellenőrzések függvényében – úgy tűnik, hogy ezek a szabályok már csak ezért sem felelnek meg az általános adatvédelmi rendelet 23. cikke (1) bekezdésének, amely előírja, hogy az e rendelkezésben felsorolt jogok korlátozásának „jogalkotási intézkedések” tárgyát kell képeznie.

71.      Ezek az eljárási szabályok az arányosság elvének tiszteletben tartásával kapcsolatos kérdéseket is felvetnek.

72.      Bár a cégnyilvántartásba bejegyzett okiratok megbízhatóságának és hitelességének, valamint általánosabban az átláthatóságnak és a jogbiztonságnak a cégnyilvántartásra bízott feladat ellátása során történő biztosítására vonatkozó követelmény úgy tűnik számomra, hogy az általános adatvédelmi rendelet 23. cikke (1) bekezdésének e) pontja értelmében „az Unió vagy valamely tagállam […] fontos, általános közérdekű célkitűzés[ének]” felel meg, véleményem szerint az alapügyhöz hasonló körülmények között ez nem indokolja a törléshez való jog vagy a tiltakozáshoz való jog korlátozását vagy akár kizárását, mivel más, a személyes adatok tiszteletben tartásához való alapvető jogot kevésbé sértő eszközök is alkalmazhatók.

73.      Ebben az összefüggésben a Bizottság, bár indokoltnak tartja megvárni, hogy a társaság a törölni kért adatok kitakarásával módosítsa az okiratot, azt javasolja, hogy a nyilvántartó hatóság észszerű idő elteltével maga intézkedjen ezen adatok kitakarásáról, amennyiben kiderül, hogy az érintett nem tudja elérni, hogy a társaság ilyen módosítást hajtson végre.

74.      Nem vagyok meggyőződve arról, hogy egy ilyen megoldás biztosítaná a különböző érintett jogok és érdekek közötti méltányos egyensúlyt, mivel azt eredményezné, hogy a nyilvánosságra nem szánt adatokat a digitalizált környezetben határozatlan ideig a nyilvánosság számára hozzáférhetővé tennék. Véleményem szerint ilyen egyensúlyt úgy lehet biztosítani, hogy a nyilvántartó hatóságot felhatalmazzák arra, hogy a törlési kérelem kézhezvételét követően a lehető legrövidebb időn belül maga takarja ki a kérdéses adatokat a közzétett okirat másolatában, miközben az okirat eredeti példányát tárolja az aktában, és felszólítja a társaságot, hogy nyújtson be olyan módosítást, amelyben az említett adatok kitakarásra kerülnek, és amelyet szintén közzétesznek a nyilvántartásban.

75.      Igaz, a 2017/1132 irányelv 16. cikke (4) bekezdésének első és második albekezdése előírja, hogy a tagállamok megteszik a szükséges intézkedéseket a nyilvántartásban, illetve az aktában szereplő, valamint a nyilvántartásban közölt és a nemzeti közlönyben közzétett adatok közötti eltérések elkerülésére. A nyilvántartás különböző részei és a nemzeti közlöny közötti megfelelőség fenntartásának szükségessége, valamint az e követelményt alátámasztó jogbiztonság célkitűzése azonban véleményem szerint nem indokolhatja, hogy a nyilvántartásban közzétett okiratokban korlátozások és időbeli korlátok nélkül a nyilvánosság számára hozzáférhetővé tegyék azokat a személyes adatokat, amelyeket nem kell nyilvánosságra hozni, amennyiben az érintett azok törlését kéri. Először is, az ezen adatok kitakarásához szükséges módosítások azonosíthatóak és nyomon követhetőek lennének, és átlátható módon történnének. Másodszor, e módosítások az ilyen okiratok azon elemeire vonatkoznának, amelyek közzététele nem szükséges a nyilvántartásra bízott közérdekű feladat ellátásához. Harmadszor, ezen okiratok sértetlenségét és megbízhatóságát meg lehetne őrizni azáltal, hogy az eredeti dokumentumot az aktában tartanák, amelyhez a jogos érdekkel rendelkező harmadik felek szabályozott hozzáféréssel rendelkeznének.

76.      Mindezek alapján úgy vélem, hogy azok az eljárási szabályok, amelyeket a jelen esetben a nyilvántartó hatóság alkalmazott, nem felelnek meg az általános adatvédelmi rendelet 23. cikke (1) bekezdésének.

V.      Végkövetkeztetés

77.      A fentiekre tekintettel javaslom, hogy a Bíróság a Varhoven administrativen sad (legfelsőbb közigazgatási bíróság, Bulgária) által előzetes döntéshozatalra előterjesztett negyedik és ötödik kérdésre a következőképpen válaszoljon:

1)      A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 4. cikkének 7. pontját és 26. cikkének (1) bekezdését

a következőképpen kell értelmezni:

valamely tagállam cégnyilvántartásának vezetéséért felelős azon hatóság, amely az adott tagállam jogszabályai szerint köteles gondoskodni egy társaságnak az e nyilvántartásba való bejegyzésére irányuló kérelmével összefüggésben hozzá benyújtott okiratok közzétételéről, kizárólagosan felelős az ezen okiratokban szereplő személyes adatok közzétételéért, még akkor is, ha a szóban forgó adatokat nem kell közzétenni, és azokat az említett jogszabályoknak megfelelően a hatósághoz történő benyújtás előtt az okiratokban ki kellett volna takarni.

2)      A 2016/679 rendeletet, különösen annak 17. cikkét és 23. cikkének (1) bekezdését

a következőképpen kell értelmezni:

e rendelkezésekkel ellentétes az olyan nemzeti szabályozás vagy gyakorlat, amely a természetes személy azon jogát, hogy valamely tagállam cégnyilvántartásának vezetéséért felelős hatóságtól kérje az e nyilvántartásban közzétett okiratokban szereplő, rá vonatkozó személyes adatok törlését, olyan eljárási szabályoktól teszi függővé, amelyek megkövetelik a szóban forgó okirat olyan másolatának benyújtását, amelyben ezen adatokat kitakarták. Adatkezelői minőségében e hatóság nem mentesülhet a törlésre irányuló kérelem haladéktalan teljesítésének kötelezettsége alól kizárólag azon az alapon, hogy nem kapott ilyen másolatot.

3)      A 2019. június 20‑i (EU) 2019/1151 európai parlamenti és tanácsi irányelvvel módosított, a társasági jog egyes vonatkozásairól szóló, 2017. június 14‑i (EU) 2017/1132 európai parlamenti és tanácsi irányelv, és különösen ezen irányelv (8) preambulumbekezdésével összefüggésben értelmezett 16. cikkének (2)–(4) bekezdése

nem értelmezhető úgy, hogy

az irányelv lehetővé teszi az ilyen eljárási szabályok elfogadását. Az említett irányelvvel nem ellentétes, ha valamely tagállam cégnyilvántartásának vezetéséért felelős hatóság úgy tesz eleget az e nyilvántartásban közzétett okiratban szereplő, az e tagállam jogszabályai által elő nem írt személyes adatok törlésére irányuló kérelemnek, hogy maga takarja ki ezeket az adatokat az említett okiratban, és a kitakarás nélküli változat egy példányát az említett irányelv 16. cikkének (1) bekezdésében említett aktában tartja.

---

1      Eredeti nyelv: francia.

---

2      Az előzetes döntéshozatal iránti kérelem konkrétan az egész Közösségre kiterjedő egységes biztosítékok kialakítása érdekében a tagállamok által a társasági tagok és harmadik személyek érdekei védelmében a Szerződés 48. cikkének második bekezdése szerinti társaságoknak előírt biztosítékok összehangolásáról szóló, 2009. szeptember 16‑i 2009/101/EK európai parlamenti és tanácsi irányelv (HL 2009. L 258., 11. o.) rendelkezéseit érinti. Amint azonban az alábbiakban látni fogjuk, a társasági jog egyes vonatkozásairól szóló, 2017. június 14‑i (EU) 2017/1132 európai parlamenti és tanácsi irányelv (HL 2017. L 169., 46. o.) az a jogszabály, amely időbeli hatálya alapján alkalmazandó az alapügy tényállására.

---

3      A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o., helyesbítések: HL 2021. L 74., 35. o.; HL 2018. L 127, 2. o.; HL 2016. L 314., 72. o., a továbbiakban: általános adatvédelmi rendelet).

---

4      A 2006. április 25‑i 34. sz. DV.

---

5      Az 1991. június 18‑i 48. sz. DV.

---

6      A 01‑116(20)/01.02.2021. számú véleményről van szó.

---

7      A 2017/1132 irányelv módosításáról szóló, 2019. június 20‑i európai parlamenti és tanácsi irányelv (HL 2019. L 186., 80. o.).

---

8      Lásd a 2019/1151 irányelv 2. cikkének (1) bekezdését. Az utóbbi irányelv 1. cikkének (6) bekezdése által a 2017/1132 irányelv 16. cikkének (6) bekezdésére vonatkozóan előírt módosítások tekintetében az átültetés határideje 2023. augusztus 1‑je volt.

---

9      Lásd ebben az értelemben: az État belge (Hivatalos lap által kezelt adatok) ügyre vonatkozó indítványomat (C‑231/22, EU:C:2023:468, 80. pont).

---

10      Megjegyzem, hogy a Bizottság 2023. március 29‑én elfogadta a 2009/102/EK és az (EU) 2017/1132 irányelvnek a társasági jog területén igénybe vehető digitális eszközök és folyamatok használatának további kiterjesztése és korszerűsítése tekintetében történő módosításáról szóló európai parlamenti és tanácsi irányelvre irányuló javaslatot (COM/2023/177 final).

---

11      Lásd a cégnyilvántartások összekapcsolásának rendszerét, amelyet 2017. június 8‑án vezetett be a 89/666/EGK tanácsi irányelvnek, valamint a 2005/56/EK és a 2009/101/EK európai parlamenti és tanácsi irányelvnek a központi nyilvántartások, a kereskedelmi nyilvántartások és a cégjegyzékek összekapcsolása tekintetében történő módosításáról szóló, 2012. június 13‑i 2012/17/EU európai parlamenti és tanácsi irányelv (HL 2012. L 156., 1. o.), és amelyet jelenleg a 2017/1132 irányelv szabályoz. E rendszer összekapcsolja a nemzeti szakmai nyilvántartásokat egy központi európai platformmal, és az európai e‑igazságügyi portál révén egyetlen hozzáférési pontot biztosít, amelyen keresztül a polgárok, a vállalkozások és a közigazgatási szervek információt kaphatnak a más tagállamokban létrehozott vállalkozásokról és fióktelepeikről.

---

12      A 2017/1132 irányelv módosítására irányuló javaslatról szóló véleményében az európai adatvédelmi biztos felhívta a figyelmet arra, hogy „tisztában kell lenni az olyan személyes adatok hozzáférhetőségéből eredő kockázatokkal, amelyek széles körben az interneten, digitális formában, több nyelven is hozzáférhetővé válnak egy könnyen elérhető európai platformon/hozzáférési ponton keresztül” (2018. július 26‑i vélemény, elérhető a https://edps.europa.eu/data‑protection/our‑work/publications/opinions/digital‑tools‑and‑processed‑company‑law_fr oldalon).

---

13      Az OOD a 2017/1132 irányelv II. mellékletének, valamint a 2019/1151 irányelvvel módosított ezen irányelv IIa. mellékletének hatálya alá tartozik.

---

14      A jelen esetben a nyilvántartásban tett bejegyzések tárgyát rögzíteni kell az aktában; lásd a 2017/1132 irányelv 16. cikkének (2) bekezdését.

---

15      Lásd a 2017/1132 irányelv 16. cikkének (3) bekezdését, amely előírja, hogy az irányelv 14. cikkében említett okiratok kivonatosan kizárólag az érintett tagállam hivatalos lapjában tehetők közzé.

---

16      Az egész Közösségre kiterjedő egységes biztosítékok kialakítása érdekében a tagállamok által a társasági tagok és harmadik személyek érdekei védelmében a Szerződés 58. cikkének (2) bekezdése szerinti társaságoknak előírt biztosítékok összehangolásáról szóló, 1968. március 9‑i 68/151/EGK első tanácsi irányelvet (HL 1968. L 65., 8. o.; magyar nyelvű különkiadás 17. fejezet, 1. kötet, 3. o.) illetően lásd: 2017. március 9‑i Manni ítélet (C‑398/15, a továbbiakban: Manni ítélet, EU:C:2017:197, 34. pont).

---

17      2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet (C‑683/21, EU:C:2023:949, 28. és 29. pont).

---

18      Lásd ebben az értelemben: 2023. október 5‑i Ministerstvo zdravotnictví (Covid‑19‑mobilalkalmazás) ítélet (C‑659/22, EU:C:2023:745, 28. pont).

---

19      C‑231/22, a továbbiakban: État belge ítélet, EU:C:2024:7, 35. pont Lásd szintén: az említett ítélet alapjául szolgáló ügyre vonatkozó indítványom(C‑231/22, EU:C:2023:468, 34–75. pont).

---

20      Lásd ebben az értelemben: État belge ítélet, 38. pont.

---

21      Lásd ebben az értelemben: État belge ítélet, 46. és 47. pont.

---

22      Lásd ebben az értelemben: 2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet (C‑683/21, EU:C:2023:949, 44. és 45. pont).

---

23      Lásd ebben az értelemben az európai adatvédelmi biztos által 2021. július 7‑én elfogadott, „Az adatkezelő és az adatfeldolgozó általános adatvédelmi rendelet szerinti fogalmáról szóló, 07/2020. sz. iránymutatás” 2.0 változatát (francia nyelven elérhető a https://edpb.europa.eu/system/files/2022‑02/eppb_guidelines_202007_controllerprocessor_final_fr.pdf címen), 70. és 72. pont. Lásd szintén: az État belge (Hivatalos lap által kezelt adatok) ügyre vonatkozó indítványom (C‑231/22, EU:C:2023:468, 48. pont és 55. lábjegyzet).

---

24      Lásd ebben az értelemben: État belge ítélet, 42. pont.

---

25      Lásd: État belge ítélet, 48. pont.

---

26      Ugyanakkor emlékeztetnék arra, hogy az État belge ítélet alapjául szolgáló ügy dokumentumoknak egy tagállam hivatalos lapjában való közzétételre vonatkozott, amely egy több hatóságot érintő adatkezelési folyamat utolsó szakaszát jelentette. Az említett ítélet alapjául szolgáló tényállás tehát különbözött a jelen ügyben szóban forgó tényállástól.

---

27      Észrevételeiben a nyilvántartó hatóság kifejti, hogy online kérelem esetén a kérelmező a bejegyzéshez szükséges papíralapú, aláírt dokumentumok elektronikus képét tölti fel a cégnyilvántartás rendszerébe.

---

28      E célokat e jelen indítvány 49. pontja ismerteti.

---

29      Lásd: État belge ítélet, 45. pont.

---

30      Lásd: État belge ítélet, 49. és 50. pont.

---

31      Lásd: 2023. december 21‑i Krankenversicherung Nordrhein ítélet (C‑667/21, EU:C:2023:1022, 76. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

---

32      Lásd: 2023. december 7‑i SCHUFA Holding (A fennálló tartozás elengedése) ítélet (C‑26/22 és C‑64/22, EU:C:2023:958, 72. és 73. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

---

33      Lásd: 2023. július 4‑i Meta Platforms és társai (Közösségi hálózat általános felhasználási feltételei) ítélet (C‑252/21, EU:C:2023:537, 91–93. pont).

---

34      Felhívom a figyelmet arra, hogy a kérdést előterjesztő bíróság az előzetes döntéshozatalra előterjesztett harmadik kérdés keretében vizsgálja ezt a megfelelést.

---

35      Amint arra a 29. cikk alapján létrehozott munkacsoport a 6/2014. sz. véleményében rámutat, az általános adatvédelmi rendelet 6. cikke (1) bekezdésének c) pontja „szigorúan behatárolt”. E rendelkezés alkalmazásához a jogi kötelezettségnek kellően egyértelműnek és az alkalmazandó adatvédelmi joggal összhangban állónak kell lennie. Úgy tűnik, hogy ez nem áll fenn egy olyan jogszabály esetében, amely egyrészt kizárja a szóban forgó adatok kezelését, másrészt pedig vélelmezett hozzájárulás alapján engedélyezi, sőt megköveteli azt.

---

36      Lásd: 2023. május 4‑i Bundesrepublik Deutschland (Elektronikus igazságügyi fiók) ítélet (C‑60/22, EU:C:2023:373, 54. és 55. pont).

---

37      Lásd: 2012. július 12‑i Compass‑Datenbank ítélet (C‑138/11, EU:C:2012:449, 40. és 41. pont); Manni ítélet, 43. pont.

---

38      Lásd: Manni ítélet, 43. pont.

---

39      C‑398/15, EU:C:2016:652, 54. pont.

---

40      Lásd ebben az értelemben: 1974. november 12‑i Haaga ítélet (32/74, EU:C:1974:116, 6. pont); Manni ítélet, 50. pont.

---

41      Lásd ebben az értelemben: 2023. március 2‑i Norra Stockholm Bygg ítélet (C‑268/21, EU:C:2023:145, 31. pont).

---

42      Lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet (C‑184/20, EU:C:2022:601, 69. pont).

---

43      Különösen a társaság képviselőjének vagy a tagoknak a lakóhelye nem képezi az illető személyi adatainak részét, és ennek ismerete – amint arra Szpunar főtanácsnok az All in One Star ügyre (C‑469/19, EU:C:2020:822, 51. pont) vonatkozó indítványában rámutatott – nem szolgálja a harmadik személyek védelmét.

---

44      Lásd: Manni ítélet, 57. pont.

---

45      Lásd: Manni ítélet, 58. pont.

---

46      Lásd: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet (C‑184/20, EU:C:2022:601, 70. pont).

---

47      Lásd ebben az értelemben: 2022. november 22‑i Luxembourg Business Registers ítélet (C‑37/20 és C‑601/20, EU:C:2022:912, 66. pont).

---

48      Lásd analógia útján: 2024. január 30‑i Direktor na Glavna direktsia „Natsionalna politsia” pri MVR – Sofia ítélet (C‑118/22, EU:C:2024:97, 41. pont).

---

49      Lásd: 2022. december 8‑i Inspektor v Inspektorata kam Visshia sadeben savet (A személyes adatok kezelésének céljai – Nyomozás) ítélet (C‑180/21, EU:C:2022:967, 85. pont).

---

50      Az État belge ítélet 51. pontjában a Bíróság mellékesen ugyan utalt arra a lehetőségre, hogy az általános adatvédelmi rendelet 17. cikke (3) bekezdésének b) és d) pontjában említett kivételek alkalmazhatók az érintett tagállam hivatalos lapjában közzétett személyes adatok törlésére irányuló kérelemre, azonban nem határozott e kérdésről, amelyet a kérdést előterjesztő bíróság az említett ítélet alapjául szolgáló ügyben nem vetett fel.

---

51      Lásd ebben az értelemben: 2023. december 7‑i SCHUFA Holding (A fennálló tartozás elengedése) ítélet (C‑26/22 és C‑64/22, EU:C:2023:958, 108. pont); lásd még: Pikamäe főtanácsnoknak az említett ügyre vonatkozó indítványa (C‑26/22 és C‑64/22, EU:C:2023:222, 91. pont).

---

52      Lásd ebben az értelemben: 2023. december 7‑i SCHUFA Holding (A fennálló tartozás elengedése) ítélet (C‑26/22 és C‑64/22, EU:C:2023:958, 111. és 112. pont).

---

53      Lásd ebben az értelemben: 2023. október 26‑i FT (Az egészségügyi dokumentáció másolatai) ítélet (C‑307/22, EU:C:2023:811, 53–69. pont). Lásd még: Emiliou főtanácsnok ezen ügyre vonatkozó indítványa (C‑307/22, EU:C:2023:315, 37. pont).

---

54      Bár ez az eljárás a nyilvántartásokról szóló törvény 13. cikkének (6) bekezdésében előírt eljárást tükrözi, úgy tűnik, hogy ez utóbbi rendelkezés nem szabályozza az érintettek törléshez való jogát vagy tiltakozáshoz való jogát.