–

pentru Agentsia po vpisvaniyata, de I. D. Ivanov și D. S. Miteva, asistați de Z. N. Mandazhieva, advokat;

–

pentru OL, de ea însăși, asistată de I. Stoynev și T. Tsonev, advokati;

–

pentru guvernul bulgar, de T. Mitova și R. Stoyanov, în calitate de agenți;

–

pentru guvernul german, de J. Möller și P.‑L. Krüger, în calitate de agenți;

–

pentru Irlanda, de M. Browne, Chief State Solicitor, A. Joyce, M. Lane și M. Tierney, în calitate de agenți, asistați de I. Boyle Harper, BL;

–

pentru guvernul italian, de G. Palmieri, în calitate de agent, asistată de G. Natale, avvocato dello Stato;

–

pentru guvernul polonez, de B. Majczyna, în calitate de agent;

–

pentru guvernul finlandez, de A. Laine, în calitate de agent;

–

pentru Comisia Europeană, de A. Bouchagiar, C. Georgieva, H. Kranenborg și L. Malferrari, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea articolelor 3 și 4 din Directiva 2009/101/CE a Parlamentului European și a Consiliului din 16 septembrie 2009 de coordonare, în vederea echivalării, a garanțiilor impuse societăților în statele membre, în înțelesul articolului 48 al doilea paragraf [CE], pentru protejarea intereselor asociaților sau terților (JO 2009, L 258, p. 11), precum și a articolelor 4, 6 17, 58 și 82 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

2

Această cerere a fost formulată în cadrul unui litigiu între Agentsia po vpisvaniyata (Agenția pentru Înregistrări, Bulgaria, denumită în continuare „agenția”), pe de o parte, și OL, pe de altă parte, în legătură cu refuzul acestei agenții de a radia anumite date cu caracter personal referitoare la OL care figurează într‑un contract de societate publicat în registrul comerțului.

3

Directiva (UE) 2017/1132 a Parlamentului European și a Consiliului din 14 iunie 2017 privind anumite aspecte ale dreptului societăților comerciale (JO 2017, L 169, p. 46) a abrogat și a înlocuit Directiva 2009/101 de la data intrării sale în vigoare la 20 iulie 2017.

4

Considerentele (1), (7), (8) și (12) ale Directivei 2017/1132 au următorul cuprins:

[…]

[…]

5

Figurând în secțiunea 1 din capitolul II al titlului I din Directiva 2017/1132, intitulată „Constituirea unei societăți comerciale pe acțiuni”, articolul 4 din această directivă, intitulat „Informații obligatorii prevăzute în statut sau în actul constitutiv sau într‑un document separat”, prevede:

„În statut, în actul constitutiv sau într‑un document separat publicat în conformitate cu procedura prevăzută de fiecare stat membru în conformitate cu articolul 16, trebuie menționate cel puțin următoarele informații:

[…]

[…]”

6

Secțiunea 1 din capitolul III al titlului I din directiva menționată, intitulată „Dispoziții generale”, cuprinde articolele 13-28 din aceasta.

7

Potrivit articolului 13 din aceeași directivă, intitulat „Domeniul de aplicare”:

„Măsurile de coordonare prevăzute de prezenta secțiune se aplică actelor cu putere de lege, regulamentelor și actelor administrative ale statelor membre cu privire la formele de societăți comerciale enumerate în anexa II.”

8

Articolul 14 din Directiva 2017/1132, intitulat „Publicitatea actelor și informațiilor de către societăți comerciale”, prevede:

„Statele membre adoptă măsurile necesare pentru ca publicitatea obligatorie privind societățile comerciale să vizeze cel puțin următoarele acte și informații:

[…]”

9

Articolul 15 alineatul (1) din această directivă, intitulat „Modificarea actelor și informațiilor”, prevede:

„Statele membre iau măsurile necesare pentru a garanta că orice modificare survenită în documentele și informațiile menționate la articolul 14 este înregistrată în registrul competent menționat la articolul 16 alineatul (1) primul paragraf și se face publică, în conformitate cu articolul 16 alineatele (3) și (5), în mod normal în termen de 21 de zile de la primirea documentației complete privind aceste modificări, inclusiv, dacă este cazul, controlul legalității, conform dreptului intern pentru transcrierea în dosar.”

10

Potrivit articolului 16 din directiva menționată, intitulat „Publicarea în registru”:

„(1)   În fiecare stat membru, fie la registrul central, fie la registrul comercial sau al societăților comerciale (denumit în continuare «registru»), se deschide un dosar pentru fiecare dintre societățile comerciale înregistrate în registrul în cauză.

[…]

(3)   Toate actele și informațiile care trebuie publicate în temeiul articolului 14 trebuie păstrate în dosar sau înregistrate în registru; obiectul transcrierilor în registru trebuie să apară în orice caz în dosar.

Statele membre se asigură că va fi posibilă depunerea pe cale electronică, de către societăți comerciale, precum și de alte persoane și organisme care trebuie să notifice sau să participe la notificare, a tuturor actelor și informațiilor care trebuie publicate în temeiul articolului 14. În plus, statele membre pot obliga toate societățile sau anumite categorii de societăți să depună toate actele și informațiile respective sau o parte dintre acestea pe cale electronică.

Toate actele și informațiile prevăzute la articolul 14, care sunt depuse, indiferent dacă sunt pe suport de hârtie sau pe cale electronică, se păstrează în dosar sau se transcriu în registru, în format electronic. În acest scop, statele membre se asigură că toate actele și informațiile respective care sunt depuse pe suport de hârtie sunt transformate de registru în format electronic.

[…]

(4)   Trebuie să fie posibilă obținerea unei copii a tuturor sau a unei părți a actelor și informațiilor prevăzute la articolul 14, la cerere. Cererile se pot depune la registru, pe suport de hârtie sau pe cale electronică, la alegerea solicitantului.

[…]

(5)   Publicitatea actelor și a informațiilor prevăzute la alineatul (3) se asigură prin publicarea, integrală, parțială sau sub forma unei mențiuni care semnalează depunerea documentului la dosar sau transcrierea lui în registru, în buletinul național desemnat de statul membru în acest sens. Buletinul național desemnat de statul membru în acest sens poate fi în format electronic.

Statele membre pot să decidă înlocuirea acestei publicări în buletinul național printr‑o măsură cu efect echivalent, care implică cel puțin folosirea unui sistem în care informațiile publicate să poată fi consultate, în ordine cronologică, prin intermediul unei platforme electronice centrale.

(6)   Actele și informațiile sunt opozabile terților față de către societatea comercială numai după publicitatea prevăzută la alineatul (5), cu excepția cazului în care societatea comercială poate dovedi că terții aveau cunoștință de acestea.

[…]

(7)   Statele membre iau măsurile necesare pentru a evita apariția unor neconcordanțe între cele publicate în aplicarea alineatului (5) și conținutul dosarului sau al registrului.

Cu toate acestea, în cazul unei neconcordanțe, textul care a făcut obiectul unei publicări în conformitate cu alineatul (5) nu poate fi opus terților; terții se pot totuși prevala de textul în cauză, cu excepția cazului în care societatea comercială dovedește că ei au avut cunoștință de textul depus la dosar sau transcris în registru.

[…]”

11

Articolul 21 din Directiva 2017/1132, intitulat „Reguli lingvistice de publicitate și de traducere pentru actele și informațiile publicate”, prevede:

„(1)   Actele și informațiile care urmează să fie publicate în conformitate cu articolul 14 sunt întocmite și depuse în una dintre limbile autorizate de normele lingvistice aplicabile în acest domeniu în statul membru în care se deschide dosarul prevăzut la articolul 16 alineatul (1).

(2)   În afara publicității obligatorii prevăzute la articolul 16, statele membre autorizează publicitatea voluntară a traducerilor actelor și a informațiilor prevăzute la articolul 14, în conformitate cu dispozițiile articolului 16, în orice limbă oficială a Uniunii [Europene].

Statele membre pot impune ca traducerea acestor acte și informații să fie certificată.

Statele membre iau măsurile necesare pentru a facilita accesul terților la traducerile care au făcut obiectul unei publicități voluntare.

(3)   În afara publicității obligatorii prevăzute la articolul 16 și a publicității voluntare prevăzute la alineatul (2) din prezentul articol, statele membre pot permite ca publicitatea actelor și a informațiilor în cauză să se asigure, în conformitate cu dispozițiile articolului 16, în orice altă limbă.

[…]

(4)   În caz de neconcordanță între actele și informațiile publicate în limbile oficiale ale registrului și traducerea publicată voluntar, aceasta din urmă nu este opozabilă terților; […]”

12

Potrivit articolului 161 din această directivă, intitulat „Protecția datelor”:

„Prelucrarea datelor personale efectuată în contextul prezentei directive face obiectul Directivei 95/46/CE [a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10)].”

13

Articolul 166 din directiva menționată, intitulat „Abrogare”, prevede:

„Directivele [2009/101 și 2012/30] se abrogă […]

Trimiterile la directivele abrogate se interpretează ca trimiteri la prezenta directivă și se citesc în conformitate cu tabelul de corespondență din anexa IV.”

14

Anexa II la Directiva 2017/1132 enumeră formele de societăți comerciale menționate la articolul 7 alineatul (1), la articolul 13, la articolul 29 alineatul (1), la articolul 36 alineatul (1), la articolul 67 alineatul (1) și la articolul 119 alineatul (1) litera (a) din această directivă, printre care, pentru Bulgaria, figurează OOD.

15

În conformitate cu tabelul de corespondență din anexa IV la Directiva 2017/1132, pe de o parte, articolele 2, 2a, 3, 4 și 7a din Directiva 2009/101 corespund articolelor 14, 15, 16, 21 și, respectiv, articolului 161 din Directiva 2017/1132. Pe de altă parte, articolul 3 din Directiva 2012/30 corespunde articolului 4 din Directiva 2017/1132.

16

Directiva 2017/1132 a fost modificată în special prin Directiva (UE) 2019/1151 a Parlamentului European și a Consiliului din 20 iunie 2019 de modificare a Directivei (UE) 2017/1132 în ceea ce privește utilizarea instrumentelor și a proceselor digitale în contextul dreptului societăților comerciale (JO 2019, L 186, p. 80), care a intrat în vigoare la 31 iulie 2019 și care prevede la articolul 1, intitulat „Modificarea Directivei [2017/1132]”:

„Directiva [2017/1132] se modifică după cum urmează:

[…]

(6) Articolul 16 se înlocuiește cu următorul text:

«Articolul 16

Publicarea în registru

(1)   Pentru fiecare societate comercială înregistrată într‑un stat membru se deschide un dosar într‑un registru central, un registru comercial sau un registru al societăților comerciale (denumit în continuare «registrul»).

[…]

(2)   Toate documentele și informațiile care trebuie publicate în temeiul articolului 14 se păstrează în dosarul menționat la alineatul (1) din prezentul articol sau se înregistrează direct în registru, iar obiectul transcrierilor în registru este înregistrat în dosar.

Toate documentele și informațiile menționate la articolul 14, indiferent prin ce mijloace sunt depuse, se păstrează în dosarul din registru sau se încarcă în dosar direct în format electronic. Statele membre se asigură că toate documentele și informațiile depuse pe suport de hârtie sunt convertite de registru în format electronic cât mai rapid posibil.

[…]

(3)   Statele membre se asigură că publicarea documentelor și a informațiilor menționate la articolul 14 se realizează prin punerea acestora la dispoziția publicului în registru. În plus, statele membre pot impune ca unele sau toate documentele și informațiile respective să fie publicate într‑un buletin național desemnat pentru acest scop sau prin mijloace la fel de eficiente. […]

(4)   Statele membre iau măsurile necesare pentru a evita orice neconcordanțe între informațiile publicate în registru și cele existente în dosar.

Statele membre care solicită publicarea documentelor și a informațiilor într‑un buletin național sau pe o platformă electronică centrală adoptă măsurile necesare pentru a evita orice neconcordanță între ceea ce este prezentat în conformitate cu alineatul (3) și ceea ce este publicat în buletin sau pe platformă.

În cazul în care se constată orice neconcordanțe în temeiul prezentului articol, documentele și informațiile puse la dispoziție în registru prevalează.

(5)   Documentele și informațiile menționate la alineatul (4) sunt opozabile terților de către societatea comercială numai după publicarea prevăzută la alineatul (3) din prezentul articol, cu excepția cazului în care societatea comercială poate dovedi că terții aveau cunoștință de acestea.

[…]

(6)   Statele membre se asigură că toate documentele și informațiile transmise ca parte a constituirii unei societăți comerciale, al înregistrării unei sucursale sau al depunerii de către o societate comercială sau o sucursală sunt păstrate [în] registre într‑un format care permite citirea și căutarea pe calculator sau sub formă de date structurate.»

(7) Se introduce următorul articol:

«Articolul 16a

Accesul la informațiile publicate

(1)   Statele membre se asigură că se pot obține la cerere copii ale tuturor sau ale oricărei părți a documentelor și informațiilor menționate la articolul 14 […]

[…]»

(19) Articolul 161 se înlocuiește cu următorul text:

«Articolul 161

Protecția datelor

Orice prelucrare de date cu caracter personal în contextul prezentei directive se efectuează în conformitate cu [RGPD].»”

17

Potrivit articolului 2 din Directiva 2019/1151, intitulat „Transpunere”:

„(1)   Statele membre asigură intrarea în vigoare a actelor cu putere de lege și a actelor administrative necesare pentru a se conforma prezentei directive până la 1 august 2021. […]

(2)   Fără a aduce atingere alineatului (1) al prezentului articol, statele membre asigură intrarea în vigoare a actelor cu putere de lege și a actelor administrative necesare pentru a se conforma […] articolului 1 punctul 6 din prezenta directivă, în ceea ce privește articolul 16 alineatul (6) din Directiva [2017/1132], până la 1 august 2023.

(3)   Prin derogare de la alineatul (1), statele membre care se confruntă cu dificultăți deosebite în transpunerea prezentei directive pot beneficia de o prelungire de cel mult un an a perioadei prevăzute la alineatul (1). […]

[…]”

18

Considerentele (26), (32), (40), (42), (43), (50), (85), (143) și (146) ale RGPD au următorul cuprins:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

19

Articolul 4 din RGPD, intitulat „Definiții”, prevede:

„În sensul prezentului regulament:

[…]

[…]

[…]

[…]”

20

Articolul 5 din RGPD, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:

„(1)   Datele cu caracter personal sunt:

[…]

[…]

(2)   Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

21

Potrivit articolului 6 din RGPD, intitulat „Legalitatea prelucrării”:

„(1)   Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

[…]

[…]

(3)   Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:

Scopul prelucrării este stabilit pe baza respectivului temei juridic sau, în ceea ce privește prelucrarea menționată la alineatul (1) litera (e), este necesar pentru îndeplinirea unei sarcini efectuate în interes public sau în cadrul exercitării unei funcții publice atribuite operatorului. Respectivul temei juridic poate conține dispoziții specifice privind adaptarea aplicării normelor prezentului regulament, printre altele: condițiile generale care reglementează legalitatea prelucrării de către operator; tipurile de date care fac obiectul prelucrării; persoanele vizate; entitățile cărora le pot fi divulgate datele și scopul pentru care respectivele date cu caracter personal pot fi divulgate; limitările legate de scop; perioadele de stocare; și operațiunile și procedurile de prelucrare, inclusiv măsurile de asigurare a unei prelucrări legale și echitabile cum sunt cele pentru alte situații concrete de prelucrare astfel cum sunt prevăzute în capitolul IX. Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.

[…]”

22

Articolul 17 din RGPD, intitulat „Dreptul la ștergerea datelor («dreptul de a fi uitat»)”, prevede:

„(1)   Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:

[…]

(3)   Alineatele (1) și (2) nu se aplică în măsura în care prelucrarea este necesară:

[…]

[…]”

23

Articolul 21 alineatul (1) din RGPD are următorul cuprins:

„În orice moment, persoana vizată are dreptul să se opună, din motive legate de situația particulară în care se află, prelucrării în temeiul articolului 6 alineatul (1) litera (e) sau (f) a datelor cu caracter personal care o privesc, inclusiv creării de profiluri pe baza respectivelor dispoziții. Operatorul nu mai prelucrează datele cu caracter personal, cu excepția cazului în care operatorul demonstrează că are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate sau că scopul este constatarea, exercitarea sau apărarea unui drept în instanță.”

24

Articolul 58 din RGPD prevede:

„(1)   Fiecare autoritate de supraveghere are toate următoarele competențe de investigare:

[…]

(2)   Fiecare autoritate de supraveghere are toate următoarele competențe corective:

[…]

(3)   Fiecare autoritate de supraveghere are toate următoarele competențe de autorizare și de consiliere:

[…]

[…]

(4)   Exercitarea competențelor conferite autorității de supraveghere în temeiul prezentului articol face obiectul unor garanții adecvate, inclusiv căi de atac judiciare eficiente și procese echitabile, prevăzute în dreptul Uniunii și în dreptul intern în conformitate cu [Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare «carta»)].

(5)   Fiecare stat membru prevede, pe cale legislativă, faptul că autoritatea sa de supraveghere are competența de a aduce în fața autorităților judiciare cazurile de încălcare a prezentului regulament și, după caz, de a iniția sau de a se implica într‑un alt mod în proceduri judiciare, în scopul de a asigura aplicarea dispozițiilor prezentului regulament.

(6)   Fiecare stat membru poate să prevadă în dreptul său faptul că autoritatea sa de supraveghere are competențe suplimentare, în afara celor menționate la alineatele (1), (2) și (3). Exercitarea acestor competențe nu afectează modul de operare eficientă a capitolului VII.”

25

Potrivit articolului 82 din RGPD, intitulat „Dreptul la despăgubiri și răspunderea”:

„(1)   Orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a prezentului regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit.

(2)   Orice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă prezentul regulament. Persoana împuternicită de operator este răspunzătoare pentru prejudiciul cauzat de prelucrare numai în cazul în care nu a respectat obligațiile din prezentul regulament care revin în mod specific persoanelor împuternicite de operator sau a acționat în afara sau în contradicție cu instrucțiunile legale ale operatorului.

(3)   Operatorul sau persoana împuternicită de operator este exonerat(ă) de răspundere în temeiul alineatului (2) dacă dovedește că nu este răspunzător (răspunzătoare) în niciun fel pentru evenimentul care a cauzat prejudiciul.

[…]”

26

Articolul 94 din RGPD prevede:

„(1)   [Directiva] [95/46] se abrogă cu efect de la 25 mai 2018.

(2)   Trimiterile la directiva abrogată se interpretează ca trimiteri la prezentul regulament. […]”

27

Articolul 2 din Zakon za targovskia registar i registara na yuridicheskite litsa s nestopanska tsel (Legea privind registrul comerțului și registrul persoanelor juridice fără scop lucrativ) (DV no 34 din 25 aprilie 2006), în versiunea aplicabilă litigiului principal (denumită în continuare „Legea privind registrele”), prevede:

„(1)   Registrul comerțului și registrul persoanelor juridice fără scop lucrativ constituie o bază de date electronică comună care conține circumstanțele înregistrate în temeiul unei legi, precum și actele puse la dispoziția publicului în temeiul unei legi, care privesc comercianții și sucursalele comercianților străini, persoanele juridice fără scop lucrativ și sucursalele persoanelor juridice străine fără scop lucrativ.

(2)   Circumstanțele și actele menționate la alineatul (1) sunt puse la dispoziția publicului fără informații care constituie date cu caracter personal în sensul articolului 4 punctul 1 din [RGPD], cu excepția informațiilor care trebuie puse la dispoziția publicului în temeiul legii.”

28

Articolul 3 din această lege prevede:

„Registrul comerțului și registrul persoanelor juridice fără scop lucrativ sunt ținute de [agenție], atașată la Ministar na pravosadieto [ministrul justiției, Bulgaria].”

29

Potrivit articolului 6 alineatul (1) din legea menționată:

„Orice comerciant și orice persoană juridică fără scop lucrativ trebuie să solicite înscrierea în registrul comerțului și, respectiv, în registrul persoanelor juridice fără scop lucrativ, declarând împrejurările a căror înscriere este necesară și prezentând actele care trebuie puse la dispoziția publicului.”

30

Articolul 11 din aceeași lege are următorul cuprins:

„(1)   Registrul comerțului și registrul persoanelor juridice fără scop lucrativ sunt publice. Oricine are dreptul de a avea acces în mod liber și gratuit la baza de date pe care o constituie registrele.

(2)   [Agenția] asigură accesul înregistrat la dosarul comerciantului sau al persoanei juridice fără scop lucrativ.”

31

Articolul 13 alineatele (1), (2), (6) și (9) din legea menționată prevede:

„(1)   Înregistrarea, radierea și punerea la dispoziția publicului se efectuează pe baza unei cereri tip.

(2)   Cererea trebuie să conțină următoarele date:

1. datele de contact ale solicitantului;

[…]

3. circumstanța supusă înregistrării, înregistrarea a cărei radiere se solicită sau actul care trebuie pus la dispoziția publicului;

[…]

(6)   [C]ererea este însoțită de documente sau, după caz, de actul care trebuie pus la dispoziția publicului, în conformitate cu cerințele legii. Documentele sunt depuse sub forma unui original, a unei copii certificate pentru conformitate cu originalul de către solicitant sau a unei copii legalizate de notar. Solicitantul depune la registrul comerțului și copii certificate pentru conformitate cu originalul ale actelor care trebuie puse la dispoziția publicului, în care să fie ocultate datele cu caracter personal, cu excepția celor impuse de lege.

[…]

(9)   În cazul în care cererea sau documentele anexate la aceasta menționează date cu caracter personal care nu sunt impuse de lege, se consideră că persoanele care le‑au furnizat și‑au dat consimțământul pentru prelucrarea lor de către [agenție] și pentru punerea lor la dispoziția publicului.

[…]”

32

Articolul 101 punctul 3 din Targovski zakon (Codul comercial) (DV nr. 48 din 18 iunie 1991), în versiunea aplicabilă în litigiul principal (denumit în continuare „Codul comercial”), prevede că contractul de societate trebuie să cuprindă „numele, denumirea socială și codul unic de identificare al asociaților”.

33

Potrivit articolului 119 din Codul comercial:

„(1)   Înscrierea societății în registrul comerțului necesită:

1. prezentarea contractului de societate care este pus la dispoziția publicului;

[…]

(2)   Datele menționate la punctul 1 […] se înscriu în registru […]

[…]

(4)   Pentru a modifica sau a completa contractul de societate în registrul comerțului, se depune o copie a contractului menționat, cu toate modificările și completările, certificată pentru conformitate cu originalul de organul care reprezintă societatea, în vederea punerii la dispoziția publicului.”

34

Articolul 6 din Naredba no 1 za vodene, sahranyavane i dostap do targovskia registar i do registara na yuridicheskite litsa s nestopanska tsel (Decretul nr. 1 privind ținerea, păstrarea și accesul la registrul comerțului și la registrul persoanelor juridice fără scop lucrativ) din 14 februarie 2007 (DV nr. 18 din 27 februarie 2007), adoptat de Ministar na pravosadieto (ministrul justiției), în versiunea aplicabilă litigiului principal, prevede:

„Înscrierea și radierea în registrul comerțului și în registrul persoanelor juridice fără scop lucrativ se efectuează pe baza unui formular de cerere în conformitate cu anexele [care conțin formulare specifice]. Publicitatea actelor în registrul comerțului și în registrul persoanelor juridice fără scop lucrativ se efectuează pe baza unui formular de cerere în conformitate cu anexele [care conțin formulare specifice].”

35

OL este asociată a „Praven Shtit Konsulting” OOD, societate cu răspundere limitată de drept bulgar care a fost înregistrată la 14 ianuarie 2021 în registrul comerțului ca urmare a prezentării unui contract de societate, datat din 30 decembrie 2020 și semnat de asociații acestei societăți (denumit în continuare „contractul de societate în cauză”).

36

Acest contract, care conține numele, prenumele, numărul de identificare, numărul cărții de identitate, data și locul emiterii acestei cărți, precum și adresa lui OL și semnătura sa, a fost pus la dispoziția publicului de către agenție astfel cum fusese prezentat.

37

La 8 iulie 2021, OL a solicitat agenției să radieze datele cu caracter personal care o privesc cuprinse în respectivul contract de societate precizând că, în cazul în care prelucrarea acestor date se baza pe consimțământul său, îl retrăgea.

38

În lipsa unui răspuns din partea agenției, OL a sesizat Administrativen sad Dobrich (Tribunalul Administrativ din Dobrich, Bulgaria), care, printr‑o hotărâre din 8 decembrie 2021, a anulat refuzul implicit al agenției de a radia respectivele date și i‑a retrimis acesteia cauza pentru ca ea să adopte o nouă decizie.

39

În cadrul executării acestei hotărâri și a unei hotărâri similare cu privire la celălalt asociat care a efectuat același demers, agenția a precizat printr‑o scrisoare din 26 ianuarie 2022 că, pentru a se putea da curs cererii de radiere a datelor cu caracter personal depusă de OL, trebuia să i se transmită o copie certificată pentru conformitate cu originalul a contractului de societate în cauză în care să fie ocultate datele cu caracter personal ale asociaților, cu excepția celor impuse de lege.

40

La 31 ianuarie 2022, OL a sesizat din nou Administrativen sad Dobrich (Tribunalul Administrativ din Dobrich) cu o acțiune pentru a obține anularea acestei scrisori și obligarea agenției la plata unei despăgubiri pentru prejudiciul moral pe care i l‑ar fi cauzat scrisoarea menționată care aduce atingere drepturilor conferite de RGPD.

41

La 1 februarie 2022, înainte de a i se notifica această acțiune, agenția a radiat din oficiu numărul de identificare, datele referitoare la cartea de identitate și adresa lui OL, dar nu și numele, prenumele și semnătura sa.

42

Printr‑o hotărâre din 5 mai 2022, Administrativen sad Dobrich (Tribunalul Administrativ din Dobrich) a anulat scrisoarea din 26 ianuarie 2022 și a obligat agenția să îi plătească lui OL, în temeiul articolului 82 din RGPD, despăgubiri în cuantum de 500 de leve bulgărești (BGN) (aproximativ 255 de euro), plus dobânzile legale, pentru prejudiciul moral. Potrivit acestei hotărâri, pe de o parte, acest prejudiciu consta în experiențe psihologice și emoționale negative ale lui OL, și anume teama și neliniștea față de eventuale abuzuri, precum și neputința și dezamăgirea în ceea ce privește imposibilitatea de a‑și proteja datele cu caracter personal. Pe de altă parte, prejudiciul respectiv ar rezulta din scrisoarea menționată, care ar fi dus la o încălcare a dreptului la ștergerea datelor consacrat la articolul 17 alineatul (1) din RGPD, precum și la o prelucrare ilegală a datelor sale cu caracter personal conținute în contractul de societate în cauză pus la dispoziția publicului.

43

Instanța de trimitere, Varhoven administrativen sad (Curtea Administrativă Supremă, Bulgaria), este sesizată cu recursul formulat de agenție împotriva acestei hotărâri.

44

Potrivit acestei instanțe, agenția arată că este nu numai operator, ci și destinatar al datelor cu caracter personal transmise în cadrul procedurii de înscriere a „Praven Shtit Konsulting”. În plus, agenția nu ar fi primit nicio copie a contractului de societate în cauză în care să fie ocultate datele cu caracter personal ale OL care nu trebuiau puse la dispoziția publicului, deși făcuse o cerere în acest sens anterior înscrierii acestei societăți în registrul comerțului. Or, lipsa unei astfel de copii nu ar putea împiedica, în sine, înscrierea unei societăți comerciale în acest registru. Aceasta ar rezulta din Avizul nr. 01-116(20)/01.02.2021 al autorității naționale de supraveghere, Komisia za zashtita na lichnite danni (Comisia pentru Protecția Datelor cu caracter personal, Bulgaria), prezentat în temeiul articolului 58 alineatul (3) litera (b) din RGPD, la care se referă agenția. Instanța respectivă arată că, potrivit lui OL, în calitate de operator, agenția nu poate impune altor persoane obligațiile sale de radiere a datelor cu caracter personal, din moment ce, potrivit unei jurisprudențe naționale, acest aviz nu ar fi conform cu dispozițiile RGPD.

45

Instanța de trimitere adaugă că, ținând seama de această jurisprudență națională majoritară, este necesară o clarificare a cerințelor care rezultă din acest regulament. În special, această instanță ridică problema concilierii care trebuie efectuată între, pe de o parte, dreptul la protecția datelor cu caracter personal și, pe de altă parte, reglementarea care garantează publicitatea, precum și accesul la anumite acte ale societăților, precizând printre altele că Hotărârea din 9 martie 2017, Manni (C‑398/15, EU:C:2017:197), nu permite rezolvarea dificultăților de interpretare pe care le ridică situația în discuție în litigiul principal.

46

În aceste condiții, Varhoven administrativen sad (Curtea Administrativă Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

47

Cu titlu introductiv, trebuie arătat că întrebările adresate privesc interpretarea atât a RGPD, cât și a Directivei 2009/101, care a fost codificată și înlocuită prin Directiva 2017/1132, care este aplicabilă ratione temporis faptelor în discuție în litigiul principal. În consecință, cererea de decizie preliminară trebuie interpretată în sensul că urmărește interpretarea Directivei 2017/1132.

48

În plus, astfel cum a arătat doamna avocată generală la punctul 15 din concluzii, întrucât o parte din aceste fapte s‑au desfășurat după 1 august 2021, data expirării termenului de transpunere a Directivei 2019/1151, care figurează la articolul 2 alineatul (1) din această din urmă directivă, revine instanței de trimitere sarcina de a verifica dacă faptele menționate intră în domeniul de aplicare ratione temporis al Directivei 2017/1132 sau al Directivei 2017/1132, astfel cum a fost modificată prin Directiva 2019/1151.

49

În aceste condiții, trebuie arătat că modificările modului de redactare a articolelor 16 și 161 din Directiva 2017/1132 și adăugarea unui articolul 16a la această directivă care rezultă din Directiva 2019/1151 nu au niciun efect asupra analizei pe care Curtea este chemată să o efectueze în prezenta cauză, astfel încât răspunsurile care vor fi date în prezenta hotărâre vor fi, în orice caz, pertinente.

50

Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 21 alineatul (2) din Directiva 2017/1132 trebuie interpretat în sensul că impune unui stat membru o obligație de a autoriza publicitatea, în registrul comerțului, a unui contract de societate supus publicității obligatorii prevăzute de această directivă care conține alte date cu caracter personal decât datele minime cu caracter personal impuse, a căror publicare nu este obligatorie potrivit dreptului acestui stat membru.

51

În particular, această instanță ridică problema domeniului de aplicare al publicității voluntare menționate la această dispoziție și urmărește să stabilească dacă dispoziția menționată impune statelor membre să autorizeze publicitatea informațiilor care figurează în actele societăților, precum datele cu caracter personal, pe care nu le‑au impus în temeiul publicității obligatorii prevăzute de această directivă.

52

Potrivit articolului 21 alineatul (2) primul paragraf din Directiva 2017/1132, „[î]n afara publicității obligatorii prevăzute la articolul 16 [din această directivă], statele membre autorizează publicitatea voluntară a traducerilor actelor și a informațiilor prevăzute la articolul 14 [din directiva menționată], în conformitate cu dispozițiile articolului 16 [din aceasta], în orice limbă oficială a Uniunii”. Al doilea paragraf al acestui articol 21 alineatul (2) autorizează statele membre să prevadă ca „traducerea acestor acte și informații” să fie certificată. În sfârșit, al treilea paragraf al respectivului articol 21 alineatul (2) privește măsurile necesare pentru a facilita accesul terților la „traducerile” care au făcut obiectul unei publicități voluntare.

53

Articolul 14 din Directiva 2017/1132 enumeră, la rândul său, actele și informațiile care trebuie cel puțin să fie publicate în mod obligatoriu de societățile în cauză. Aceste acte și informații trebuie, în conformitate cu articolul 16 alineatele (3)-(5) din directiva menționată, să fie păstrate în dosar sau transcrise în registru, să fie accesibile prin obținerea unei copii integrale sau parțiale la cerere și să facă obiectul unei publicități asigurate prin publicare, fie integrală sau în extras, fie sub forma unei mențiuni, în buletinul național, sau printr‑o măsură cu efect echivalent.

54

În această privință, ținând seama în special de utilizarea repetată a termenului „traduceri” la articolul 21 alineatul (2) din Directiva 2017/1132, din modul de redactare a acestei dispoziții reiese că aceasta privește publicitatea voluntară a traducerilor actelor și a informațiilor prevăzute la articolul 14 din această directivă într‑o limbă oficială a Uniunii și, prin urmare, numai limba de publicare a acestor acte și informații. În schimb, dispoziția menționată nu se referă la conținutul actelor și al informațiilor menționate.

55

Prin urmare, acest mod de redactare tinde să indice că acest articol 21 alineatul (2) nu ar putea fi interpretat ca impunând statelor membre vreo obligație privind publicitatea datelor cu caracter personal a căror publicitate nu este impusă nici de alte dispoziții ale dreptului Uniunii, nici de dreptul statului membru în cauză, dar care figurează într‑un act supus publicității obligatorii prevăzute de respectiva directivă.

56

Or, din moment ce sensul unei dispoziții de drept al Uniunii reiese fără ambiguitate chiar din modul de redactare a acesteia, Curtea nu se poate abate de la această interpretare (Hotărârea din 25 ianuarie 2022, VYSOČINA WIND, C‑181/20, EU:C:2022:51, punctul 39).

57

În orice caz, în ceea ce privește contextul articolului 21 alineatul (2) din Directiva 2017/1132, titlul acestui articol, care se referă la „[r]eguli lingvistice de publicitate și de traducere pentru actele și informațiile publicate”, precum și celelalte alineate ale acestui articol confirmă interpretarea reținută la punctul 55 din prezenta hotărâre.

58

Astfel, articolul 21 alineatul (1) din Directiva 2017/1132 prevede că „[a]ctele și informațiile care urmează să fie publicate în conformitate cu articolul 14 [din această directivă] sunt întocmite și depuse în una dintre limbile autorizate” de normele naționale aplicabile în materie. Acest articol 21 alineatul (3) prevede că, în afara publicității obligatorii prevăzute la articolul 16 din directiva menționată și a publicității voluntare prevăzute la alineatul (2) al respectivului articol 21, statele membre pot permite publicitatea actelor și a informațiilor în cauză „în orice altă limbă”. În ceea ce privește articolul 21 alineatul (4), acesta se referă la „traducerea publicată voluntar”.

59

În sfârșit, interpretarea reținută la punctul 55 din prezenta hotărâre este confirmată de considerentul (12) al aceleiași directive, potrivit căruia este necesară facilitarea accesului transfrontalier la informații privind societățile comerciale, permițându‑se, pe lângă publicitatea obligatorie efectuată în una dintre limbile autorizate ale statelor membre ale societăților comerciale respective, înregistrarea voluntară, în alte limbi, a actelor și informațiilor solicitate.

60

Având în vedere ceea ce precedă, trebuie să se răspundă la prima întrebare că articolul 21 alineatul (2) din Directiva 2017/1132 trebuie interpretat în sensul că nu impune unui stat membru o obligație de a autoriza publicitatea, în registrul comerțului, a unui contract de societate supus publicității obligatorii prevăzute de această directivă și care conține alte date cu caracter personal decât datele minime cu caracter personal impuse, a căror publicare nu este obligatorie potrivit dreptului acestui stat membru.

61

Ținând seama de răspunsul dat la prima întrebare, nu este necesar să se răspundă la a doua și a treia întrebare, care au fost adresate doar în ipoteza unui răspuns afirmativ la această primă întrebare.

62

Prin intermediul celei de a cincea întrebări, care trebuie analizată înainte de a patra întrebare, instanța de trimitere solicită în esență să se stabilească dacă RGPD, în special articolul 4 punctele 7 și 9 din acesta, trebuie interpretat în sensul că autoritatea însărcinată cu ținerea registrului comerțului dintr‑un stat membru care publică în acest registru datele cu caracter personal care figurează într‑un contract de societate, supus publicității obligatorii prevăzute de Directiva 2017/1132, care i‑a fost transmis în cadrul unei cereri de înregistrare a societății în cauză în registrul menționat, este atât „destinatar” al acestor date, cât și „operator” al datelor menționate, în sensul acestei dispoziții.

63

De la bun început trebuie amintit că, în conformitate cu articolul 161 din Directiva 2017/1132, prelucrarea datelor cu caracter personal efectuată în cadrul acestei directive este reglementată de Directiva 95/46 și, prin urmare, de RGPD, al cărui articol 94 alineatul (2) precizează că trimiterile la această din urmă directivă se interpretează ca trimiteri la acest regulament.

64

În această privință, trebuie mai întâi să se arate că, potrivit articolului 14 literele (a), (b) și (d) din Directiva 2017/1132, statele membre trebuie să adopte măsurile necesare pentru ca publicitatea obligatorie privind societățile să vizeze cel puțin actul constitutiv al societății în cauză, modificările acestuia, numirea, încetarea funcției, precum și identitatea persoanelor care, în calitate de organ constituit în temeiul legii sau ca membri ai unui astfel de organ, au competența de a angaja această societate față de terți și de a o reprezenta în justiție sau participă la administrarea, supravegherea și controlul respectivei societăți. În plus, în temeiul articolului 4 litera (i) din această directivă, informațiile obligatorii care trebuie furnizate în actul constitutiv care face obiectul publicității includ identitatea persoanelor fizice sau juridice sau a societăților care au semnat sau în numele cărora a fost semnat acest act.

65

În temeiul articolului 16 alineatele (3)-(5) din directiva menționată, astfel cum se indică la punctul 53 din prezenta hotărâre, aceste acte și informații trebuie să fie păstrate în dosar sau transcrise în registru, să fie accesibile prin obținerea unei copii integrale sau parțiale la cerere și să facă obiectul unei publicități asigurate prin publicare, fie integrală sau în extras, fie sub forma unei mențiuni, în buletinul național, sau printr‑o măsură cu efect echivalent.

66

Astfel cum a arătat doamna avocată generală la punctul 26 din concluzii, revine astfel statelor membre sarcina de a stabili printre altele ce categorii de informații referitoare la identitatea persoanelor vizate la articolul 4 litera (i) și la articolul 14 litera (d) din Directiva 2017/1132, în special ce tipuri de date cu caracter personal fac obiectul unei publicități obligatorii, cu respectarea dreptului Uniunii.

67

Or, indicațiile referitoare la identitatea acestor persoane constituie, în calitate de informații privind persoane fizice identificate sau identificabile, „date cu caracter personal” în sensul articolului 4 punctul 1 din RGPD (a se vedea în acest sens Hotărârea din 9 martie 2017, Manni, C‑398/15, EU:C:2017:197, punctul 34).

68

Același lucru este valabil și pentru informațiile suplimentare referitoare la identitatea acestor persoane sau a altor categorii de persoane pe care statele membre decid să le supună obligației de publicitate sau care, ca în speță, sunt conținute în documente supuse unei astfel de publicități fără ca punerea la dispoziție a acestor date să fie impusă de Directiva 2017/1132 sau de dreptul național de punere în aplicare a acestei directive.

69

În continuare, în ceea ce privește noțiunea de „destinatar” în sensul articolului 4 punctul 9 din RGPD, aceasta desemnează „persoana fizică sau juridică, autoritatea publică, agenția sau alt organism căreia (căruia) îi sunt divulgate datele cu caracter personal, indiferent dacă este sau nu o parte terță”, această dispoziție precizând că sunt excluse din această definiție autoritățile publice care primesc datele respective în cadrul unei anumite anchete în conformitate cu dreptul Uniunii sau cu dreptul intern.

70

Or, prin primirea, în cadrul cererii de înscriere a unei societăți în registrul comerțului al unui stat membru, a actelor supuse publicității obligatorii prevăzute la articolul 14 din Directiva 2017/1132 care conțin date cu caracter personal, indiferent dacă acestea sunt sau nu impuse de această directivă sau de dreptul național, autoritatea însărcinată cu ținerea acestui registru are calitatea de „destinatar” al acestor date în sensul articolului 4 punctul 9 din RGPD.

71

În sfârșit, în temeiul articolului 4 punctul 7 din RGPD, noțiunea de „operator” include persoanele fizice sau juridice, autoritățile publice, agențiile sau alte organisme care, singur sau împreună cu altele, stabilesc scopurile și mijloacele prelucrării. Această dispoziție enunță de asemenea că, atunci când scopurile și mijloacele prelucrării sunt stabilite prin dreptul Uniunii sau dreptul intern, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi prevăzute în dreptul Uniunii sau în dreptul intern.

72

În această privință, trebuie amintit că, potrivit jurisprudenței Curții, respectiva dispoziție urmărește să asigure, printr‑o definiție largă a noțiunii „operator”, o protecție eficientă și completă a persoanelor vizate [Hotărârea din 11 ianuarie 2024, État belge (Date prelucrate de un jurnal oficial), C‑231/22, EU:C:2024:7, punctul 28 și jurisprudența citată].

73

Ținând seama de modul de redactare a articolului 4 punctul 7 din RGPD, interpretat în lumina acestui obiectiv, rezultă că, pentru a stabili dacă se impune ca o persoană sau o entitate să fie considerată „operator” în sensul acestei dispoziții trebuie să se verifice dacă această persoană sau această entitate stabilește, singură sau împreună cu altele, scopurile și mijloacele prelucrării sau dacă acestea sunt stabilite de dreptul Uniunii sau de dreptul intern. Atunci când o asemenea stabilire este efectuată de dreptul intern, trebuie să se verifice dacă acest drept desemnează operatorul sau prevede criteriile specifice pentru desemnarea acestuia [a se vedea în acest sens Hotărârea din 11 ianuarie 2024, État belge (Date prelucrate de un jurnal oficial), C‑231/22, EU:C:2024:7, punctul 29].

74

Trebuie de asemenea precizat că, având în vedere definiția largă a noțiunii de „operator” în sensul articolului 4 punctul 7 din RGPD, stabilirea scopurilor și a mijloacelor prelucrării și, dacă este cazul, desemnarea acestui operator prin dreptul intern pot fi nu doar explicite, ci și implicite. În acest din urmă caz, este totuși necesar ca această stabilire să rezulte în mod suficient de cert din rolul, din misiunea și din atribuțiile conferite persoanei sau entității în cauză [Hotărârea din 11 ianuarie 2024, État belge (Date prelucrate de un jurnal oficial), C‑231/22, EU:C:2024:7, punctul 30].

75

În plus, prin transcrierea și stocarea datelor cu caracter personal primite în cadrul unei cereri de înscriere a unei societăți în registrul comerțului al unui stat membru, prin comunicarea acestora, dacă este cazul, la cerere unor terți și prin publicarea lor în buletinul național sau printr‑o măsură cu efect echivalent, autoritatea însărcinată cu ținerea acestui registru efectuează prelucrarea datelor cu caracter personal pentru care este „operator” în sensul articolului 4 punctele 2 și 7 din RGPD (a se vedea în acest sens Hotărârea din 9 martie 2017, Manni, C‑398/15, EU:C:2017:197, punctul 35).

76

Astfel, aceste prelucrări ale datelor cu caracter personal sunt distincte și ulterioare comunicării datelor cu caracter personal efectuate de solicitantul acestei înscrieri și primite de această autoritate. În plus, aceasta din urmă efectuează singură respectivele prelucrări, în conformitate cu scopurile și cu modalitățile stabilite de Directiva 2017/1132 și de legislația statului membru în cauză de punere în aplicare a acestei directive.

77

În această privință, trebuie precizat că reiese din considerentele (7) și (8) ale directivei menționate că publicitatea prevăzută de aceasta urmărește să protejeze în special interesele terților în raport cu societățile pe acțiuni și cu societățile cu răspundere limitată, din moment ce oferă ca garanție terților numai patrimoniul lor social. În acest scop, această publicitate trebuie să permită terților cunoașterea actelor esențiale ale societății în cauză și alte informații care o privesc, în special identitatea persoanelor care au competența să angajeze societatea.

78

În plus, scopul aceleiași directive este de a asigura securitatea juridică în raporturile dintre societăți și terți în perspectiva unei intensificări a fluxurilor de afaceri între statele membre ca urmare a creării pieței interne. Din această perspectivă, este important ca orice persoană care dorește să stabilească și să continue raporturi de afaceri cu societăți situate în alte state membre să poată cunoaște cu ușurință datele esențiale referitoare la constituirea societăților comerciale și la atribuțiile persoanelor însărcinate să le reprezinte, ceea ce necesită ca toate datele pertinente să figureze în mod explicit în registru (a se vedea în acest sens Hotărârea din 9 martie 2017, Manni, C‑398/15, EU:C:2017:197, punctul 50).

79

Or, astfel cum a observat doamna avocată generală la punctul 39 din concluzii, prin transmiterea către autoritatea însărcinată cu ținerea registrului comerțului al unui stat membru a actelor și informațiilor supuse publicității obligatorii prevăzute de Directiva 2017/1132 și prin prelucrarea astfel a datelor cu caracter personal pe care le conțin aceste acte, solicitantul înscrierii unei societăți în acest registru nu exercită nicio influență asupra stabilirii scopurilor și a prelucrărilor ulterioare efectuate de această autoritate. În plus, acesta urmărește finalități diferite și care îi sunt proprii, și anume îndeplinirea formalităților necesare acestei înscrieri.

80

În speță, astfel cum a arătat doamna avocată generală la punctele 31 și 32 din aceste concluzii, din cererea de decizie preliminară reiese că punerea la dispoziția publicului a datelor cu caracter personal ale lui OL a avut loc în exercitarea atribuțiilor conferite agenției în calitate de autoritate însărcinată cu ținerea registrului comerțului, scopurile și mijloacele de prelucrare a acestor date fiind stabilite atât de dreptul Uniunii, cât și de legislația națională în discuție în litigiul principal, în special de articolul 13 alineatul (9) din Legea privind registrele. Astfel, faptul că o copie certificată pentru conformitate a contractului de societate în cauză care ocultează datele cu caracter personal neimpuse de această legislație nu a fost transmisă, contrar modalităților procedurale prevăzute de legislația menționată, nu are efecte asupra calificării agenției drept „operator”.

81

Această calificare nu este repusă în discuție nici de faptul că agenția nu controlează, în temeiul aceleiași legislații, înainte de publicarea lor online, datele cu caracter personal conținute în imaginile electronice sau în originalele documentelor care îi sunt transmise în vederea înscrierii unei societăți. În această privință, Curtea a statuat deja că ar fi contrar obiectivului articolului 4 punctul 7 din RGPD, menționat la punctul 72 din prezenta hotărâre, să se excludă din noțiunea de „operator” Jurnalul Oficial al unui stat membru pentru motivul că acesta din urmă nu exercită controlul asupra datelor cu caracter personal care figurează în publicațiile sale [Hotărârea din 11 ianuarie 2024, État belge (Date prelucrate de un jurnal oficial), C‑231/22, EU:C:2024:7, punctul 38].

82

În aceste împrejurări, rezultă că, într‑o situație precum cea în discuție în litigiul principal, agenția este responsabilă de prelucrarea datelor cu caracter personal ale lui OL care constă în punerea la dispoziția publicului online a acestor date, chiar dacă o copie a contractului de societate în cauză care ocultează datele cu caracter personal neimpuse de legislația națională în discuție în litigiul principal ar fi trebuit să îi fie transmisă, în temeiul acestei legislații, aspect a cărui verificare este de competența instanței de trimitere. Prin urmare, agenția este de asemenea responsabilă, în temeiul articolului 5 alineatul (2) din RGPD, de respectarea alineatului (1) al acestui articol.

83

Având în vedere ceea ce precedă, trebuie să se răspundă la a cincea întrebare că RGPD, în special articolul 4 punctele 7 și 9 din acesta, trebuie interpretat în sensul că autoritatea însărcinată cu ținerea registrului comerțului unui stat membru care publică în acest registru datele cu caracter personal care figurează într‑un contract de societate în cauză supus publicității obligatorii prevăzute de Directiva 2017/1132, care i‑a fost transmis în cadrul unei cereri de înscriere a societății în cauză în registrul menționat, este atât „destinatar” al acestor date, cât și, în special prin faptul că le pune la dispoziția publicului, „operator” al datelor menționate, în sensul acestei dispoziții, chiar și atunci când acest contract conține date cu caracter personal neimpuse de această directivă sau de dreptul statului membru respectiv.

84

Guvernul bulgar susține că a patra întrebare este inadmisibilă întrucât ridică o problemă de natură ipotetică. Astfel, potrivit acestui guvern, întrebarea respectivă ar privi compatibilitatea cu articolul 16 din Directiva 2017/1132 a unei legislații naționale privind modalitățile procedurale de exercitare a dreptului prevăzut la articolul 17 din RGPD, care nu a fost încă adoptată.

85

Potrivit unei jurisprudențe constante, procedura trimiterii preliminare prevăzută la articolul 267 TFUE stabilește o cooperare strânsă între instanțele naționale și Curte, întemeiată pe repartizarea funcțiilor între acestea, și constituie un instrument cu ajutorul căruia Curtea furnizează instanțelor naționale elementele de interpretare a dreptului Uniunii care le sunt necesare pentru soluționarea litigiilor asupra cărora urmează să se pronunțe. În cadrul acestei cooperări, numai instanța națională care este sesizată cu soluționarea litigiului și care trebuie să își asume răspunderea pentru hotărârea judecătorească ce urmează a fi pronunțată are competența să aprecieze, luând în considerare particularitățile cauzei, atât necesitatea unei decizii preliminare pentru a fi în măsură să pronunțe propria hotărâre, cât și pertinența întrebărilor pe care le adresează Curții. În consecință, în cazul în care întrebările adresate privesc interpretarea dreptului Uniunii, Curtea este, în principiu, obligată să se pronunțe [Hotărârea din 23 noiembrie 2021, IS (Nelegalitatea ordonanței de trimitere), C‑564/19, EU:C:2021:949, punctele 59 și 60, precum și jurisprudența citată].

86

Rezultă că întrebările privind dreptul Uniunii beneficiază de o prezumție de pertinență. Curtea poate refuza să se pronunțe asupra unei întrebări preliminare adresate de o instanță națională numai dacă este evident că interpretarea solicitată a dreptului Uniunii nu are nicio legătură cu realitatea sau cu obiectul litigiului principal, atunci când problema este de natură ipotetică sau atunci când Curtea nu dispune de elementele de fapt și de drept necesare pentru a răspunde în mod util la întrebările care i‑au fost adresate [Hotărârea din 24 noiembrie 2020, Openbaar Ministerie (Fals în înscrisuri), C‑510/19, EU:C:2020:953, punctul 26 și jurisprudența citată].

87

În speță, din cererea de decizie preliminară reiese că instanța de trimitere este chemată să se pronunțe, în ultimă instanță, cu privire la legalitatea refuzului agenției opus cererii de ștergere a datelor cu caracter personal în discuție în litigiul principal, pentru motivul că nu fusese furnizată agenției o copie a contractului de societate în cauză care ocultează datele cu caracter personal neimpuse de legislația bulgară, contrar modalităților procedurale prevăzute de această legislație. În plus, din această cerere rezultă că un astfel de refuz corespunde practicii agenției. În sfârșit, această instanță a precizat că un răspuns al Curții la a patra întrebare era necesar pentru soluționarea litigiului principal, într‑un context în care jurisprudența națională nu este uniformă.

88

În consecință, contrar celor susținute de guvernul bulgar, a patra întrebare este admisibilă.

89

Ținând seama de indicațiile care figurează în cererea de decizie preliminară, astfel cum sunt expuse la punctul 87 din prezenta hotărâre, trebuie să se considere că, prin intermediul celei de a patra întrebări, instanța de trimitere solicită în esență să se stabilească dacă Directiva 2017/1132, în special articolul 16 din aceasta, precum și articolul 17 din RGPD trebuie interpretate în sensul că se opun unei reglementări sau unei practici a unui stat membru care conduce autoritatea însărcinată cu ținerea registrului comerțului din acest stat membru să refuze orice cerere de ștergere a datelor cu caracter personal, neimpuse de această directivă sau de dreptul respectivului stat membru, care figurează într‑un contract de societate publicat în acest registru, atunci când o copie a acestui contract care ocultează datele respective nu a fost furnizată acestei autorități, contrar modalităților procedurale prevăzute de această reglementare.

90

În temeiul articolului 17 alineatul (1) din RGPD, persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre motivele enunțate în această dispoziție.

91

Aceasta este situația, potrivit acestui articol 17 alineatul (1) litera (c), atunci când persoana vizată se opune prelucrării în temeiul articolului 21 alineatul (1) din acest regulament și nu există un „motiv legitim care să prevaleze în ceea ce privește prelucrarea” sau, în conformitate cu respectivul articol 17 alineatul (1) litera (d), atunci când datele în cauză au fost „prelucrate ilegal”.

92

Rezultă de asemenea din articolul 17 alineatul (3) litera (b) din RGPD că acest articol 17 alineatul (1) nu se aplică în măsura în care această prelucrare este necesară pentru respectarea unei obligații legale care impune prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării autorității oficiale cu care este învestit operatorul.

93

În consecință, pentru a stabili dacă, într‑o situație precum cea în discuție în litigiul principal, persoana vizată dispune de un drept la ștergerea datelor în temeiul articolului 17 din RGPD, trebuie, într‑o primă etapă, să se examineze motivul sau motivele legalității de care poate ține prelucrarea datelor sale cu caracter personal.

94

În această privință, trebuie amintit că articolul 6 alineatul (1) primul paragraf din RGPD prevede o listă exhaustivă și limitativă de cazuri în care prelucrarea de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, prelucrarea trebuie să se încadreze în unul din aceste cazuri prevăzute de această dispoziție [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 99 și jurisprudența citată].

95

În lipsa consimțământului persoanei vizate pentru prelucrarea datelor sale cu caracter personal în temeiul acestui articol 6 alineatul 1) primul paragraf litera (a) sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, în sensul articolului 4 punctul 11 din RGPD, o astfel de prelucrare poate fi totuși justificată atunci când îndeplinește una dintre cerințele de necesitate menționate la respectivul articol 6 alineatul (1) primul paragraf literele (b)-(f) din acest regulament [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 92].

96

În acest context, justificările prevăzute la această din urmă dispoziție, în măsura în care permit ca prelucrarea datelor cu caracter personal efectuată în lipsa consimțământului persoanei vizate să fie legală, trebuie să facă obiectul unei interpretări restrictive [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 93 și jurisprudența citată].

97

De asemenea, trebuie să se precizeze că, în conformitate cu articolul 5 din RGPD, operatorului îi revine sarcina de a dovedi că aceste date sunt colectate, printre altele, în scopuri determinate, explicite și legitime, că sunt adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate și că sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 95].

98

Deși revine instanței de trimitere sarcina de a stabili dacă diferitele elemente ale unei prelucrări precum cea în discuție în litigiul principal sunt justificate de una sau de alta dintre necesitățile prevăzute la articolul 6 alineatul (1) primul paragraf literele (a)-(f) din RGPD, Curtea poate totuși să îi furnizeze indicații utile pentru a‑i permite să soluționeze litigiul cu care este sesizată [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 96].

99

În speță, mai întâi, astfel cum a arătat doamna avocată generală la punctul 43 din concluzii, prezumția de consimțământ instituită la articolul 13 alineatul (9) din Legea privind registrele nu pare să îndeplinească condițiile impuse de articolul 6 alineatul (1) primul paragraf litera (a) din RGPD coroborat cu articolul 4 punctul 11 din acest regulament.

100

Astfel, după cum reiese din considerentele (32), (42) și (43) ale regulamentului menționat, consimțământul ar trebui acordat printr‑o acțiune fără echivoc, de exemplu printr‑o declarație scrisă sau printr‑o declarație orală, fără a se considera că a fost acordat în mod liber dacă persoana vizată nu dispune de o libertate reală de alegere sau nu este în măsură să refuze sau să își retragă consimțământul fără a suferi un prejudiciu. Pe de altă parte, consimțământul nu ar trebui să constituie un temei juridic valabil într‑un caz particular atunci când există un dezechilibru clar între persoana vizată și operator, în special atunci când acesta din urmă este o autoritate publică.

101

Prin urmare, o prezumție precum cea prevăzută la articolul 13 alineatul (9) din Legea privind registrele nu poate fi considerată ca stabilind un consimțământ dat în mod liber, specific, informat și lipsit de ambiguitate pentru prelucrarea unor date cu caracter efectuată de o autoritate publică precum agenția.

102

În continuare, motivele de legalitate prevăzute la articolul 6 alineatul (1) primul paragraf literele (b) și (d), referitoare la prelucrarea datelor cu caracter personal necesară la executarea unui contract și, respectiv, la protejarea intereselor vitale ale unei persoane fizice, nu par să fie pertinente în raport cu prelucrarea datelor cu caracter personal în discuție în litigiul principal. Situația este aceeași în ceea ce privește motivul de legalitate prevăzut la acest articol 6 alineatul (1) primul paragraf litera (f), referitor la prelucrarea datelor cu caracter personal necesară în scopul intereselor legitime urmărite de operator, din moment ce reiese cu claritate din modul de redactare a respectivului articol 6 alineatul (1) al doilea paragraf că prelucrarea datelor cu caracter personal efectuată de o autoritate publică în cadrul îndeplinirii sarcinilor sale nu poate intra în domeniul de aplicare al acestui din urmă motiv [a se vedea în acest sens Hotărârea din 8 decembrie 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Scopurile prelucrării datelor cu caracter personal – Anchetă penală), C‑180/21, EU:C:2022:967, punctul 85].

103

În ce privește, în ultimul rând, motivele de legalitate prevăzute la articolul 6 alineatul (1) primul paragraf literele (c) și (e) din RGPD, trebuie amintit că, în temeiul acestui articol 6 alineatul (1) primul paragraf litera (c), prelucrarea datelor cu caracter personal este legală dacă este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului. În plus, potrivit respectivului articol 6 alineatul (1) primul paragraf litera (e), este legală și prelucrarea care este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul.

104

Articolul 6 alineatul (3) din RGPD precizează printre altele, în ceea ce privește aceste două ipoteze de legalitate, că prelucrarea trebuie să se bazeze pe dreptul Uniunii sau pe dreptul intern care se aplică operatorului și că acest temei juridic trebuie să urmărească un obiectiv de interes public și să fie proporțional cu obiectivul legitim urmărit.

105

În ceea ce privește, în primul rând, aspectul dacă prelucrarea în discuție în litigiul principal este necesară pentru îndeplinirea unei obligații legale care decurge din dreptul Uniunii sau din dreptul statului membru care îi revine operatorului, în sensul articolului 6 alineatul (1) primul paragraf litera (c) din RGPD, trebuie arătat, asemenea doamnei avocate generale la punctele 45 și 47 din concluzii, că Directiva 2017/1132 nu impune prelucrarea sistematică a oricăror date cu caracter personal cuprinse într‑un act care face obiectul publicității obligatorii prevăzute de această directivă. Dimpotrivă, din articolul 161 din directiva menționată rezultă că prelucrarea datelor cu caracter personal efectuată în cadrul Directivei 2017/1132, și în special orice colectare, stocare, punere la dispoziția terților și publicare de informații în temeiul acestei directive, trebuie să îndeplinească pe deplin cerințele care decurg din RGPD.

106

Revine astfel statelor membre, în cadrul punerii în aplicare a obligațiilor impuse de această directivă, sarcina de a asigura concilierea, pe de o parte, a obiectivelor de securitate juridică și de protecție a intereselor terților, urmărite de aceeași directivă și amintite la punctul 77 din prezenta hotărâre, și, pe de altă parte, a drepturilor consacrate de RGPD și de dreptul fundamental la protecția datelor cu caracter personal, prin realizarea unei ponderări echilibrate între aceste obiective și aceste drepturi (a se vedea în acest sens Hotărârea din 1 august 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punctul 98).

107

Prin urmare, nu se poate considera că punerea la dispoziția publicului online, în registrul comerțului, a unor date cu caracter personal neimpuse de Directiva 2017/1132 sau de legislația națională în discuție în litigiul principal, care figurează într‑un contract de societate supus publicității obligatorii prevăzute de această directivă și transmis agenției, este justificată de cerința de a asigura publicitatea actelor prevăzute la articolul 14 din directiva menționată în conformitate cu articolul 16 din aceasta și că, prin urmare, aceasta rezultă dintr‑o obligație legală prevăzută de dreptul Uniunii.

108

Legalitatea prelucrării în discuție în litigiul principal nu pare să se întemeieze, sub rezerva verificării de către instanța de trimitere, nici pe o obligație legală prevăzută de dreptul statului membru care îi revine operatorului, în sensul articolului 6 alineatul (1) primul paragraf litera (c) din RGPD, în speță dreptul bulgar, în măsura în care, pe de o parte, din dosarul de care dispune Curtea reiese că articolul 2 alineatul (2) din Legea privind registrele prevede că actele care trebuie să figureze în registrul comerțului sunt puse la dispoziția publicului fără informațiile care constituie date cu caracter personal, „cu excepția informațiilor care trebuie puse la dispoziția publicului în temeiul legii”, și, pe de altă parte, articolul 13 alineatul (9) din această lege instituie o prezumție de consimțământ care, astfel cum reiese din cuprinsul punctului 99 din prezenta hotărâre, nu îndeplinește cerințele RGPD.

109

În ceea ce privește, în al doilea rând, aspectul dacă prelucrarea în discuție în litigiul principal este necesară pentru îndeplinirea unei sarcini care servește unui interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul, în sensul articolului 6 alineatul (1) primul paragraf litera (e) din RGPD, la care se referă printre altele atât instanța de trimitere, cât și guvernul bulgar și agenția, Curtea a statuat deja că activitatea unei autorități publice care constă în a păstra date pe care societățile sunt ținute să le comunice în temeiul unor obligații legale, într‑o bază de date, în a permite persoanelor interesate să consulte aceste date și în a le furniza copii ale acestora ține de exercitarea unor prerogative de putere publică și constituie o sarcină care servește unui interes public în sensul acestei dispoziții (a se vedea în acest sens Hotărârea din 9 martie 2017, Manni, C‑398/15, EU:C:2017:197, punctul 43).

110

Rezultă că prelucrarea în discuție în litigiul principal pare, desigur, realizată cu ocazia îndeplinirii unei sarcini care servește unui interes public în sensul dispoziției menționate. Cu toate acestea, pentru a îndeplini condițiile prevăzute de această din urmă dispoziție, este necesar ca prelucrarea să răspundă efectiv obiectivelor de interes general urmărite, fără a depăși ceea ce este necesar pentru realizarea acestor obiective [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 109].

111

Această cerință a necesității nu este îndeplinită atunci când obiectivul de interes general vizat poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate la articolele 7 și 8 din cartă, derogările și restricțiile de la principiul protecției unor asemenea date trebuind să fie efectuate în limitele strictului necesar [a se vedea în acest sens Hotărârea din 22 iunie 2021, Latvijas Republikas Saeima (Puncte de penalizare), C‑439/19, EU:C:2021:504, punctul 110 și jurisprudența citată].

112

Or, astfel cum a arătat doamna avocată generală la punctul 51 din concluzii, punerea la dispoziția publicului online a unor date cu caracter personal care nu sunt impuse nici de Directiva 2017/1132, nici de dreptul național nu poate fi considerată în sine ca fiind necesară pentru realizarea obiectivelor urmărite de această directivă.

113

În special, în ceea ce privește existența unor mijloace care să afecteze mai puțin drepturile fundamentale ale persoanelor vizate, trebuie arătat că legislația națională în discuție în litigiul principal prevede că solicitantul înregistrării unei societăți în registrul comerțului este obligat să furnizeze o copie a actului acestei societăți epurată de datele cu caracter personal neimpuse, destinată publicării în acest registru și accesibilă terților, care, în speță, nu a fost furnizată niciodată agenției, nici chiar după o cerere din partea sa. Cu toate acestea, guvernul bulgar și agenția au confirmat că, chiar după un termen rezonabil și atunci când persoana vizată nu este în măsură să obțină de la societatea în cauză sau de la reprezentanții săi o astfel de copie, această legislație nu prevede că agenția poate întocmi ea însăși această copie, ceea ce ar constitui totuși un mijloc care permite să se atingă la fel de eficient obiectivele de a asigura publicitatea actelor societăților, securitatea juridică și protecția intereselor terților, afectând totodată mai puțin dreptul la protecția datelor cu caracter personal.

114

Mai trebuie arătat, astfel cum a făcut doamna avocată generală la punctul 56 din concluzii, că, contrar celor susținute de mai multe state membre în observațiile lor în fața Curții, cerința de a menține integritatea și fiabilitatea actelor societăților supuse publicității obligatorii prevăzută de Directiva 2017/1132, care ar impune publicarea acestor acte astfel cum au fost transmise autorităților însărcinate cu ținerea registrului comerțului, nu poate prevala în mod sistematic asupra acestui drept, în caz contrar protecția sa devenind iluzorie.

115

În special, această cerință nu poate impune menținerea la dispoziția publicului online, în acest registru, a unor date cu caracter personal neimpuse de Directiva 2017/1132 sau de dreptul național, în condițiile în care, astfel cum reiese din cuprinsul punctului 113 din prezenta hotărâre, agenția ar putea întocmi ea însăși copia actului societății în cauză, prevăzută de acest drept, în vederea acestei puneri la dispoziție.

116

Rezultă că prelucrarea datelor cu caracter personal în discuție în litigiul principal pare, în orice caz, să depășească ceea ce este necesar pentru îndeplinirea sarcinii de interes public cu care este învestită agenția în temeiul legislației naționale menționate.

117

În consecință, astfel cum a observat doamna avocată generală la punctul 59 din concluzii, sub rezerva verificărilor pe care trebuie să le efectueze instanța de trimitere, o astfel de prelucrare nu pare să îndeplinească nici condițiile de legalitate prevăzute la articolul 6 alineatul (1) primul paragraf literele (c) și (e) coroborat cu articolul 6 alineatul (3) din RGPD.

118

Într‑o a doua etapă, în ceea ce privește cererea de ștergere în temeiul articolului 17 din RGPD în discuție în litigiul principal, trebuie arătat că, în ipoteza în care instanța de trimitere ar concluziona, în urma aprecierii sale cu privire la legalitatea acestei prelucrări, că prelucrarea menționată nu este legală, ar reveni agenției, în calitate de operator, astfel cum reiese din cuprinsul punctelor 82 și 83 din prezenta hotărâre, potrivit modului clar de redactare a articolului 17 alineatul (1) litera (d) din RGPD, sarcina de a șterge datele în cauză fără întârzieri nejustificate [a se vedea în acest sens Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 108].

119

În schimb, în cazul în care această instanță ar concluziona că prelucrarea respectivă răspunde efectiv motivului de legalitate prevăzut la articolul 6 alineatul (1) litera (e) din RGPD, în special în măsura în care punerea la dispoziția publicului online, în registrul comerțului, a unor date neimpuse de Directiva 2017/1132 sau de legislația națională în discuție în litigiul principal era necesară pentru a evita întârzierea înscrierii societății respective, în interesul protecției terților, trebuie arătat că s‑ar aplica articolul 17 alineatul (1) litera (c) din RGPD.

120

Rezultă din această din urmă dispoziție coroborată cu articolul 21 alineatul (1) din RGPD că persoana vizată dispune de un drept de a se opune prelucrării și de un drept la ștergerea datelor, cu excepția cazului în care există motive legitime imperioase care prevalează asupra intereselor, precum și a drepturilor și libertăților acestei persoane, în sensul respectivului articol 21 alineatul (1), pe care operatorul trebuie să le demonstreze [a se vedea în acest sens Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 111].

121

Or, într‑o situație precum cea în discuție în litigiul principal, nu pare să existe un motiv legitim imperios, în sensul acestei dispoziții, susceptibil să se opună unei astfel de cereri de ștergere a datelor.

122

Astfel, pe de o parte, din decizia de trimitere reiese că societatea în care este asociată OL este deja înscrisă în registrul comerțului.

123

Pe de altă parte, astfel cum s‑a arătat la punctul 115 din prezenta hotărâre, cerința de a menține integritatea și fiabilitatea actelor societăților supuse publicității obligatorii, prevăzută de Directiva 2017/1132, nu poate impune menținerea la dispoziția publicului online, în acest registru, a unor date cu caracter personal neimpuse de Directiva 2017/1132 sau de dreptul național.

124

În sfârșit, presupunând că instanța de trimitere ajunge la concluzia că prelucrarea datelor cu caracter personal în cauză în litigiul principal răspunde efectiv motivului de legalitate prevăzut la articolul 6 alineatul (1) litera (c) din RGPD, trebuie arătat că RGPD și în special articolul 17 alineatul (3) litera (b) din acesta consacră în mod explicit cerința unei evaluări comparative între, pe de o parte, drepturile fundamentale la respectarea vieții private și la protecția datelor cu caracter personal, consacrate la articolele 7 și 8 din cartă, și, pe de altă parte, obiectivele urmărite în mod legitim de dreptul Uniunii sau de dreptul statelor membre care stau la baza obligației legale pentru a cărei respectare este necesară prelucrarea [a se vedea prin analogie Hotărârea din 8 decembrie 2022, Google (Dezindexarea unui conținut pretins inexact), C‑460/20, EU:C:2022:962, punctul 58 și jurisprudența citată].

125

Astfel cum Curtea a statuat deja, o limitare a accesului la datele cu caracter personal pe care dreptul Uniunii le supune publicității obligatorii doar la terții care justifică un interes special poate fi justificată, de la caz la caz, pentru motive preponderente și legitime referitoare la situația particulară a persoanelor vizate (a se vedea în acest sens Hotărârea din 9 martie 2017, Manni, C‑398/15, EU:C:2017:197, punctul 60).

126

Astfel cum a arătat doamna avocată generală la punctul 67 din concluzii, situația trebuie a fortiori să fie aceeași în cazul în care, precum în speță, datele cu caracter personal în cauză nu sunt impuse nici de Directiva 2017/1132, nici de dreptul național.

127

Ținând seama de aceste elemente, trebuie să se răspundă la a patra întrebare că Directiva 2017/1132, în special articolul 16 din aceasta, precum și articolul 17 din RGPD trebuie interpretate în sensul că se opun unei reglementări sau unei practici a unui stat membru care conduce autoritatea însărcinată cu ținerea registrului comerțului din acest stat membru să refuze orice cerere de ștergere a datelor cu caracter personal neimpuse de această directivă sau de dreptul acelui stat membru, care figurează într‑un contract de societate publicat în acest registru, atunci când o copie a acestui contract care ocultează datele respective nu a fost furnizată acestei autorități, contrar modalităților procedurale prevăzute de această reglementare.

128

Prin intermediul celei de a șasea întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 4 punctul 1 din RGPD trebuie interpretat în sensul că semnătura olografă a unei persoane fizice intră sub incidența noțiunii „date cu caracter personal” în sensul acestei dispoziții.

129

Dispoziția menționată prevede că reprezintă o dată cu caracter personal „orice informații privind o persoană fizică identificată sau identificabilă” și precizează că „o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un element de identificare, cum ar fi un nume, un număr de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale”.

130

În această privință, Curtea a statuat deja că utilizarea expresiei „orice informații” în definiția noțiunii de „date cu caracter personal”, care se regăsește în aceeași dispoziție, reflectă obiectivul legiuitorului Uniunii de a atribui un sens larg acestei noțiuni, care înglobează potențial orice tip de informații, atât obiective, cât și subiective, sub formă de opinii sau de aprecieri, cu condiția ca acestea „să privească” persoana vizată (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 23).

131

O informație privește o persoană fizică identificată sau identificabilă atunci când, ca urmare a conținutului, a scopului sau a efectului său, informația este legată de o persoană identificabilă (Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 24).

132

În ceea ce privește caracterul „identificabil” al unei persoane fizice, considerentul (26) al RGPD precizează că ar trebui să se ia în considerare „toate mijloacele, cum ar fi individualizarea, pe care este probabil, în mod rezonabil, să le utilizeze fie operatorul, fie o altă persoană, în scopul identificării, în mod direct sau indirect, a persoanei fizice respective”.

133

Rezultă că definiția largă a noțiunii de „date cu caracter personal” nu acoperă numai datele colectate și păstrate de operator, ci include și toate informațiile care rezultă dintr‑o prelucrare a datelor cu caracter personal care privesc o persoană identificată sau identificabilă (a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Datenschutzbehörde și CRIF, C‑487/21, EU:C:2023:369, punctul 26).

134

Rezultă de asemenea din jurisprudența Curții că scrierea olografă a unei persoane fizice oferă o informație cu privire la această persoană (a se vedea Hotărârea din 20 decembrie 2017, Nowak, C‑434/16, EU:C:2017:994, punctul 37).

135

În sfârșit, trebuie arătat că semnătura olografă a unei persoane fizice este, în general, utilizată pentru a identifica această persoană, pentru a conferi o valoare probatorie, în ceea ce privește exactitatea și sinceritatea lor, documentelor pe care este aplicată sau pentru a‑și asuma răspunderea pentru acestea. Pe de altă parte, rezultă că, în contractul de societate în discuție, semnătura asociaților însoțește numele acestora din urmă.

136

Având în vedere ceea ce precedă, trebuie să se răspundă la a șasea întrebare că articolul 4 punctul 1 din RGPD trebuie interpretat în sensul că semnătura olografă a unei persoane fizice intră sub incidența noțiunii „date cu caracter personal” în sensul acestei dispoziții.

137

Prin intermediul celei de a șaptea întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că o pierdere a controlului pe o durată limitată de către persoana vizată asupra datelor sale cu caracter personal, ca urmare a punerii la dispoziția publicului a acestor date online în registrul comerțului al unui stat membru, poate fi suficientă pentru a cauza un „prejudiciu moral” sau dacă această noțiune de „prejudiciu moral” impune demonstrarea existenței unor consecințe negative concrete suplimentare.

138

În această privință, trebuie amintit că această dispoziție prevede că „[o]rice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a [RGPD] are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit”.

139

În această privință, din moment ce RGPD nu face trimitere la dreptul statelor membre în ceea ce privește sensul și domeniul de aplicare al termenilor care figurează în dispoziția menționată, în special în ceea ce privește noțiunile „prejudiciu material sau moral” și „despăgubiri pentru prejudiciul suferit”, trebuie să se considere, în vederea aplicării acestui regulament, că acești termeni constituie noțiuni autonome ale dreptului Uniunii, care trebuie interpretate în mod uniform în toate statele membre [a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctul 30].

140

Articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că simpla încălcare a acestui regulament nu este suficientă pentru a conferi un drept la despăgubiri, din moment ce existența unui „prejudiciu”, material sau moral, sau a unei „daune” care a fost „suferit/ă” constituie una dintre condițiile dreptului la despăgubiri prevăzut la acest articol 82 alineatul (1), la fel ca existența unei încălcări a acestui regulament și a unei legături de cauzalitate între acest prejudiciu și această încălcare, cele trei condiții fiind cumulative [Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctul 32, și Hotărârea din 11 aprilie 2024, juris, C‑741/21, EU:C:2024:288, punctul 34].

141

Astfel, persoana care solicită repararea unei daune sau a unui prejudiciu moral în temeiul acestei dispoziții este obligată să dovedească nu numai încălcarea dispozițiilor aceluiași regulament, ci și că această încălcare i‑a cauzat o asemenea daună sau un asemenea prejudiciu. O asemenea daună sau un asemenea prejudiciu nu poate fi, așadar, prezumat numai ca urmare a producerii încălcării menționate [a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctele 42 și 50, precum și Hotărârea din 11 aprilie 2024, iuris, C‑741/21, EU:C:2024:288, punctul 35].

142

În particular, o persoană vizată de o încălcare a RGPD care a avut consecințe negative împotriva sa este obligată să demonstreze că aceste consecințe constituie un prejudiciu moral, în sensul articolului 82 din acest regulament, întrucât simpla încălcare a dispozițiilor acestuia nu este suficientă pentru a conferi un drept la despăgubiri (Hotărârea din 25 ianuarie 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punctul 60 și jurisprudența citată).

143

Prin urmare, atunci când o persoană care solicită despăgubiri în temeiul acestui articol 82 alineatul (1) invocă temerea că o utilizare abuzivă a datelor sale cu caracter personal va surveni în viitor ca urmare a existenței unei astfel de încălcări, instanța națională sesizată trebuie să verifice dacă această temere poate fi considerată fondată, în împrejurările specifice în cauză și în raport cu persoana vizată (Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 85).

144

Cu toate acestea, Curtea a statuat deja că nu numai din modul de redactare a respectivului articol 82 alineatul (1) din RGPD, interpretat în lumina considerentelor (85) și (146) ale acestui regulament, care invită la reținerea unei concepții largi a noțiunii de „prejudiciu moral” în sensul acestei prime dispoziții, ci și din obiectivul ce constă în asigurarea unui nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal, care este vizat de regulamentul menționat, reiese că temerea față de o potențială utilizare abuzivă a datelor sale cu caracter personal de către terți pe care o resimte o persoană vizată în urma unei încălcări a aceluiași regulament poate constitui, în sine, un „prejudiciu moral”, în sensul aceluiași articol 82 alineatul (1) [Hotărârea din 20 iunie 2024, PS (Adresă eronată), C‑590/22, EU:C:2024:536, punctul 32 și jurisprudența citată].

145

În particular, din lista ilustrativă a „daunelor” sau a „prejudiciilor” care pot fi suferite de persoanele vizate care figurează în prima teză a considerentului (85) al RGPD reiese că legiuitorul Uniunii a intenționat să includă în noțiunile de „daună” și „prejudiciu” care pot fi suferite de persoanele vizate, printre altele, simpla „pierdere a controlului” asupra propriilor date cu caracter personal, ca urmare a unei încălcări a acestui regulament, chiar dacă nu s‑ar fi produs în mod concret o utilizare abuzivă a datelor în cauză (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 82).

146

În plus, o interpretare a articolului 82 alineatul (1) din RGPD potrivit căreia noțiunea de „prejudiciu moral”, în sensul acestei dispoziții, nu ar include situațiile în care o persoană vizată se prevalează numai de temerea că datele sale cu caracter personal ar putea să facă, în viitor, obiectul unei utilizări abuzive de către terți nu ar fi conformă cu garantarea unui nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii, urmărită de acest regulament (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 83).

147

De asemenea, această noțiune nu poate fi limitată numai la daunele sau numai la prejudiciile de o anumită gravitate, în special în ceea ce privește durata perioadei în care consecințele negative ale încălcării regulamentului menționat au fost suportate de persoanele în cauză (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punctele 16 și 19, precum și jurisprudența citată).

148

Astfel, nu se poate considera că, în plus față de cele trei condiții enunțate la punctul 140 din prezenta hotărâre, pot fi adăugate alte condiții de angajare a răspunderii prevăzute la articolul 82 alineatul (1) din RGPD, precum caracterul concret al prejudiciului sau caracterul obiectiv al atingerii aduse (Hotărârea din 14 decembrie 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punctul 17).

149

Această dispoziție nu impune nici ca, în urma unei încălcări dovedite a dispozițiilor acestui regulament, „prejudiciul moral” invocat de persoana în cauză să trebuiască să atingă un „prag de minimis” pentru ca acest prejudiciu să poată fi reparat (Hotărârea din 14 decembrie 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punctul 18).

150

Prin urmare, deși nimic nu se opune ca publicarea pe internet a unor date cu caracter personal și pierderea consecutivă a controlului asupra acestora pe o perioadă scurtă să poată cauza persoanelor vizate un „prejudiciu moral”, în sensul articolului 82 alineatul (1) din RGPD, care dă dreptul la despăgubiri, mai este necesar ca aceste persoane să demonstreze că au suferit efectiv un asemenea prejudiciu, oricât de nesemnificativ ar fi el (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punctul 22, și Hotărârea din 11 aprilie 2024, juris, C‑741/21, EU:C:2024:288, punctul 42).

151

În sfârșit, este necesar să se precizeze că, în cadrul stabilirii cuantumului daunelor interese datorate în temeiul dreptului la repararea unui prejudiciu moral, un prejudiciu moral cauzat printr‑o încălcare a securității datelor cu caracter personal nu este, prin natura sa, mai puțin important decât un prejudiciu corporal (Hotărârea din 20 iunie 2024, Scalable Capital, C‑182/22 și C‑189/22, EU:C:2024:531, punctul 39).

152

În plus, atunci când o persoană reușește să demonstreze că încălcarea RGPD i‑a cauzat un prejudiciu sau o daună, în sensul articolului 82 din acest regulament, criteriile de evaluare a despăgubirii datorate în cadrul acțiunilor destinate să asigure protecția drepturilor conferite justițiabililor de acest articol trebuie să fie stabilite în cadrul ordinii juridice a fiecărui stat membru, cu condiția ca o astfel de despăgubire să fie integrală și eficace (a se vedea în acest sens Hotărârea din 20 iunie 2024, Scalable Capital, C‑182/22 și C‑189/22, EU:C:2024:531, punctul 43).

153

În această privință, dreptul la despăgubiri prevăzut de acest articol 82 alineatul (1), în special în cazul prejudiciului moral, îndeplinește o funcție exclusiv compensatorie, întrucât o despăgubire pecuniară întemeiată pe această dispoziție trebuie să permită compensarea integrală a prejudiciului concret suferit ca urmare a încălcării acestui regulament, iar nu o funcție disuasivă sau punitivă [a se vedea în acest sens Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctele 57 și 58, precum și Hotărârea din 11 aprilie 2024, juris, C‑741/21, EU:C:2024:288, punctul 61].

154

De altfel, pe de o parte, angajarea răspunderii operatorului în temeiul articolului 82 din RGPD este condiționată de existența unei culpe a acestuia care este prezumată, cu excepția cazului în care acesta din urmă dovedește că evenimentul care a provocat prejudiciul nu îi este nicidecum imputabil și, pe de altă parte, acest articol 82 nu impune ca gradul de gravitate al acestei culpe să fie luat în considerare la stabilirea cuantumului daunelor interese acordate ca despăgubiri pentru un prejudiciu moral în temeiul acestui articol (Hotărârea din 21 decembrie 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punctul 103, și Hotărârea din 25 ianuarie 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punctul 52).

155

În speță, astfel cum s‑a arătat la punctul 42 din prezenta hotărâre, instanța de trimitere a precizat că Administrativen sad Dobrich (Tribunalul Administrativ din Dobrich) a constatat existența unui prejudiciu moral constând în experiențe psihologice și emoționale negative ale lui OL, și anume teama și neliniștea față de eventuale abuzuri, precum și neputința și dezamăgirea în ceea ce privește imposibilitatea de a‑și proteja datele cu caracter personal. Acesta a statuat de asemenea că prejudiciul respectiv rezultă din scrisoarea agenției din 26 ianuarie 2022, care ar fi dus la o încălcare a dreptului la ștergerea datelor consacrat la articolul 17 alineatul (1) din RGPD, precum și la o prelucrare ilegală a datelor sale cu caracter personal conținute în contractul de societate în cauză pus la dispoziția publicului.

156

Având în vedere considerațiile care precedă, este necesar să se răspundă la a șaptea întrebare că articolul 82 alineatul (1) din RGPD trebuie interpretat în sensul că o pierdere a controlului pe o durată limitată de către persoana vizată asupra datelor sale cu caracter personal, ca urmare a punerii la dispoziția publicului a acestor date online în registrul comerțului al unui stat membru, poate fi suficientă pentru a cauza un „prejudiciu moral”, în măsura în care această persoană demonstrează că a suferit efectiv un astfel de prejudiciu, oricât de nesemnificativ ar fi el, fără ca această noțiune de „prejudiciu moral” să impună demonstrarea existenței unor consecințe negative concrete suplimentare.

157

Prin intermediul celei de a opta întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 82 alineatul (3) din RGPD trebuie interpretat în sensul că un aviz al autorității de supraveghere a unui stat membru, emis în temeiul articolului 58 alineatul (3) litera (b) din acest regulament, este suficient pentru a exonera de răspundere, în temeiul articolului 82 alineatul (2) din regulamentul menționat, autoritatea însărcinată cu ținerea registrului comerțului al acestui stat membru care are calitatea de „operator” în sensul articolului 4 punctul 7 din același regulament.

158

În primul rând, în ceea ce privește regimul de răspundere prevăzut la articolul 82 din RGPD, trebuie amintit că acest articol prevede la alineatul (1) că orice persoană care a suferit un prejudiciu material sau moral ca urmare a unei încălcări a acestui regulament are dreptul să obțină despăgubiri de la operator sau de la persoana împuternicită de operator pentru prejudiciul suferit. Astfel cum reiese din cuprinsul punctului 140 din prezenta hotărâre, acest drept la despăgubiri este supus îndeplinirii a trei condiții cumulative.

159

Conform articolului 82 alineatul (2) prima teză din regulamentul menționat, orice operator implicat în operațiunile de prelucrare este răspunzător pentru prejudiciul cauzat de operațiunile sale de prelucrare care încalcă același regulament. Această dispoziție, care precizează regimul de răspundere al cărui principiu este stabilit la alineatul (1) al acestui articol, reia cele trei condiții necesare pentru a da naștere dreptului la despăgubiri, și anume o prelucrare a datelor cu caracter personal efectuată cu încălcarea dispozițiilor RGPD, o daună sau un prejudiciu suferit de persoana vizată și o legătură de cauzalitate între această prelucrare ilicită și acest prejudiciu [Hotărârea din 4 mai 2023, Österreichische Post (Prejudiciu moral legat de prelucrarea datelor cu caracter personal), C‑300/21, EU:C:2023:370, punctul 36].

160

Articolul 82 alineatul (3) din RGPD precizează, la rândul său, că un operator este exonerat de răspundere în temeiul alineatului (2) dacă dovedește că nu este răspunzător în niciun fel pentru evenimentul care a cauzat prejudiciul.

161

Astfel cum Curtea a statuat deja, reiese dintr‑o analiză coroborată a alineatelor (1)-(3) ale articolului 82 din RGPD, din contextul în care se înscrie acest articol și din obiectivele urmărite de legiuitorul Uniunii prin intermediul acestui regulament că articolul menționat prevede un regim de răspundere pentru culpă în care sarcina probei nu revine persoanei care a suferit un prejudiciu, ci operatorului (a se vedea în acest sens Hotărârea din 21 decembrie 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punctele 94 și 95).

162

În particular, nu ar fi conform cu obiectivul de a garanta un nivel ridicat de protecție a persoanelor fizice referitor la prelucrarea datelor cu caracter personal să se opteze pentru o interpretare potrivit căreia persoanele vizate care au suferit un prejudiciu ca urmare a unei încălcări a RGPD ar trebui, în cadrul unei acțiuni în despăgubire întemeiate pe articolul 82 din acesta, să suporte nu numai sarcina probei existenței acestei încălcări și a prejudiciului care a rezultat pentru ele, ci și existența unei fapte culpabile săvârșite de operator în mod intenționat sau din neglijență sau chiar gradul de gravitate a acestei culpe, chiar dacă acest articol 82 nu prevede astfel de cerințe (a se vedea în acest sens Hotărârea din 21 decembrie 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punctul 99).

163

Conform jurisprudenței citate la punctul 154 din prezenta hotărâre, angajarea răspunderii operatorului în temeiul respectivului articol 82 este astfel condiționată de existența unei culpe săvârșite de acesta, care este prezumată, cu excepția cazului în care acesta din urmă dovedește că nu este în niciun fel răspunzător de faptul care a provocat prejudiciul.

164

În această privință, după cum arată adăugarea expresă a locuțiunii adverbiale „în niciun fel” în cursul procedurii legislative, împrejurările în care operatorul poate pretinde să fie exonerat de răspunderea civilă ce îi revine în temeiul articolului 82 din RGPD trebuie să fie strict limitate la cele în care acest operator este în măsură să demonstreze că prejudiciul nu îi este imputabil (Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 70).

165

Curtea a statuat de asemenea că, în cazul unei încălcări a securității datelor cu caracter personal săvârșite de un terț, precum un infractor cibernetic, sau de o persoană care acționează sub autoritatea operatorului, acesta din urmă poate fi exonerat de răspundere, în temeiul articolului 82 alineatul (3) din RGPD, doar dovedind faptul că nu există nicio legătură de cauzalitate între eventuala încălcare a obligației de protecție a datelor care îi revine în temeiul acestui regulament și prejudiciul suferit de persoana fizică în cauză (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 72, și Hotărârea din 11 aprilie 2024, juris, C‑741/21, EU:C:2024:288, punctul 51).

166

Prin urmare, pentru ca acest operator să poată fi exonerat de răspundere în temeiul articolului 82 alineatul (3), nu poate fi suficient să demonstreze că a dat instrucțiuni persoanelor care acționează sub autoritatea sa în sensul regulamentului menționat și că una dintre aceste persoane nu și‑a îndeplinit obligația de a urma respectivele instrucțiuni, astfel încât aceasta a contribuit la producerea prejudiciului în cauză (a se vedea în acest sens Hotărârea din 11 aprilie 2024, juris, C‑741/21, EU:C:2024:288, punctul 52).

167

În al doilea rând, în ceea ce privește normele aferente mijloacelor de probă, trebuie amintit că RGPD nu prevede norme referitoare la admiterea și la valoarea probantă a unui mijloc de probă care trebuie să fie aplicate de instanțele naționale sesizate cu o acțiune în despăgubire întemeiată pe articolul 82 din acest regulament. Prin urmare, în lipsa unor norme de drept al Uniunii în materie, revine ordinii juridice interne a fiecărui stat membru atribuția de a stabili modalitățile acțiunilor destinate să asigure protecția drepturilor conferite justițiabililor de acest articol 82 și în special normele aferente mijloacelor de probă, sub rezerva respectării principiilor echivalenței și efectivității (a se vedea în acest sens Hotărârea din 14 decembrie 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punctul 60 și jurisprudența citată).

168

În al treilea rând, în ceea ce privește un aviz emis în temeiul articolului 58 alineatul (3) litera (b) din RGPD, trebuie amintit că acest articol stabilește competențele autorităților de supraveghere.

169

Astfel, articolul 58 din RGPD conferă acestor autorități, la alineatul (1), competențe de investigare, la alineatul (2), competența de a adopta măsuri corective, la alineatul (3), competențele de autorizare și competențele de consiliere enumerate în acesta, precum și, la alineatul (5), competența de a aduce în atenția autorităților judiciare cazurile de încălcare a acestui regulament, precum și, dacă este cazul, de a iniția proceduri judiciare în vederea asigurării aplicării dispozițiilor regulamentului menționat.

170

Or, printre competențele enumerate la articolul 58 alineatul (3) din RGPD figurează, la acest articol 58 alineatul (3) litera (b), aceea „de a emite avize, din proprie inițiativă sau la cerere, parlamentului național, guvernului statului membru sau, în conformitate cu dreptul intern, altor instituții și organisme, precum și publicului, cu privire la orice aspect legat de protecția datelor cu caracter personal”.

171

Reiese cu claritate din modul de redactare a acestei din urmă dispoziții, în special din termenul „aviz”, că emiterea unui astfel de aviz ține de competențele de consiliere, iar nu de competențele de autorizare ale autorității de supraveghere.

172

Utilizarea termenilor „aviz” și „competențe de consiliere” indică de asemenea că un aviz emis în temeiul articolului 58 alineatul (3) litera (b) din RGPD nu este, în temeiul dreptului Uniunii, obligatoriu din punct de vedere juridic.

173

Considerentul (143) al RGPD confirmă această interpretare. Astfel, acesta enunță că „orice persoană fizică sau juridică ar trebui să aibă dreptul la o cale de atac judiciară eficientă în fața instanței naționale competente împotriva unei decizii a unei autorități de supraveghere care produce efecte juridice privind respectiva persoană. O astfel de decizie se referă în special la exercitarea competențelor de investigare, corective și de autorizare de către autoritatea de supraveghere sau la refuzul sau respingerea plângerilor. Cu toate acestea, dreptul la o cale de atac judiciară eficientă nu include măsuri ale autorităților de supraveghere care nu sunt obligatorii din punct de vedere juridic, cum ar fi avizele emise de autoritatea de supraveghere sau consiliere furnizată de aceasta”.

174

Or, din moment ce un aviz furnizat operatorului nu este obligatoriu din punct de vedere juridic, acest aviz nu poate demonstra, în sine, o lipsă a imputabilității prejudiciului chiar în sarcina acestui operator, în sensul jurisprudenței citate la punctul 164 din prezenta hotărâre, și nici nu poate fi, prin urmare, suficient pentru a exonera respectivul operator de răspundere în temeiul articolului 82 alineatul (3) din RGPD.

175

O astfel de interpretare a acestui articol 82 alineatul (3) este de asemenea conformă cu obiectivele urmărite de RGPD de a asigura un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal și de a garanta repararea efectivă a prejudiciilor pe care acestea le pot suferi ca urmare a prelucrărilor acestor date efectuate cu încălcarea acestui regulament. Astfel, dacă ar fi suficient ca operatorul să invoce un aviz care nu este obligatoriu din punct de vedere juridic pentru a evita orice răspundere și, în mod corelativ, orice obligație de despăgubire, acesta nu ar fi stimulat să facă tot ce îi stă în putere pentru a asigura acest nivel ridicat de protecție și pentru a respecta obligațiile impuse de regulamentul menționat.

176

Având în vedere ceea ce precedă, trebuie să se răspundă la a opta întrebare că articolul 82 alineatul (3) din RGPD trebuie interpretat în sensul că un aviz al autorității de supraveghere a unui stat membru, emis în temeiul articolului 58 alineatul (3) litera (b) din acest regulament, nu este suficient pentru a exonera de răspundere, în temeiul articolului 82 alineatul (2) din regulamentul menționat, autoritatea însărcinată cu ținerea registrului comerțului al acestui stat membru care are calitatea de „operator” în sensul articolului 4 punctul 7 din același regulament.

177

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera întâi) declară: