I.

Úvod

1.

Tato žádost o rozhodnutí o předběžné otázce podaná Latvijas Republikas Satversmes tiesa (Ústavní soud, Lotyšsko) ( 2 ) se týká povinnosti stanovené lotyšským právem zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích ( 3 ) akciových společností ( 4 ) založených podle lotyšského práva. Dotčené informace si na internetových stránkách podnikového rejstříku mohou vyhledat „neidentifikovaní uživatelé“ ( 5 ). Osoby z řad veřejnosti tedy nejsou povinny prokazovat oprávněný zájem na získání takových informací.

2.

Předkládající soud se snaží zjistit, zda je povinnost zpřístupnit dotčené informace uložena unijním právem. Žádá proto Soudní dvůr o odpověď na otázku, zda pojem „osoby, které se účastní správy, dozoru nebo kontroly společnosti“ uvedený v čl. 14 písm. d) bodě ii) směrnice Evropského parlamentu a Rady (EU) 2017/1132 ze dne 14. června 2017 o některých aspektech práva obchodních společností ( 6 ) odkazuje na každého akcionáře akciové společnosti a zda je členský stát povinen zpřístupnit veřejnosti konkrétní informace o každém akcionáři takové společnosti v souladu s čl. 16 odst. 3 uvedené směrnice. Pro případ, že takové informace musí být zpřístupněny veřejnosti podle směrnice 2017/1132, si předkládající soud klade otázku, zda je čl. 14 písm. d) bod ii) této směrnice platný s ohledem na právo na respektování soukromého a rodinného života zaručené článkem 7 Listiny základních práv Evropské unie (dále jen „Listina“) a právo na ochranu osobních údajů zaručené článkem 8 Listiny.

3.

Latvijas Republikas Satversmes tiesa (Ústavní soud) se rovněž táže, zda musí být čl. 5 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) ( 7 ) (dále jen „GDPR“) vykládán v tom smyslu, že umožňuje zpřístupnění takových informací veřejnosti, aniž by byla stanovena povinnost prokázat oprávněný zájem na jejich získání, aby byly zabezpečeny určité účely, a sice i) zajistit transparentní podnikatelské prostředí a ochranu zájmů třetích osob, ii) předcházet praní peněz a financování terorismu a šíření jaderných zbraní ( 8 ) a iii) poskytovat informace nezbytné pro provádění národních, mezinárodních a unijních sankcí. V tomto ohledu si předkládající soud klade otázku, zda lze těchto cílů rozumně dosáhnout stejně účinným způsobem v souladu s postupem stanoveným lotyšskou právní úpravou pro podání žádosti o přístup k informacím s omezeným přístupem ( 9 ).

4.

Předkládající soud se dále táže, zda lze odůvodnění rozsudku ve věci Luxembourg Business Registers ( 10 ), v němž Soudní dvůr konstatoval, že požadavek vyplývající z unijního práva, podle něhož členské státy zajistí, aby informace o skutečných majitelích společností a jiných právnických osob zapsaných v rejstříku na jejich území byly vždy k dispozici jakékoli osobě z široké veřejnosti, je neplatný, vztáhnout i na zveřejňování informací týkajících se všech akcionářů akciové společnosti, a to i přesto, že objem informací a účel jejich zveřejnění se v obou situacích liší.

II.

Právní rámec

A.

Unijní právo

5.

V projednávané věci jsou obzvláště relevantní články 7, 8 a čl. 52 odst. 1 Listiny, dále body 3, 7 a 8 odůvodnění směrnice 2017/1132 a články 14 a 16 uvedené směrnice, jakož i články 5 a 6 GDPR.

B.

Lotyšské právo

6.

Článek 8 Komerclikums (obchodní zákoník) ( 11 ) je nadepsán „Obsah zápisů v obchodním rejstříku“. Článek 8 odst. 3 body 3 a 4 uvedeného zákona stanoví:

7.

Článek 12 obchodního zákoníku, nadepsaný „Zveřejnění v obchodním rejstříku“, stanoví:

8.

Článek 235 obchodního zákoníku, nadepsaný „Skutečnosti zapisované do rejstříku akcionářů“, stanoví:

9.

Článek 4.10 pátý pododstavec, čl. 4.11 první pododstavec bod 2, čl. 4.15 první pododstavec bod 2 písm. b), čl. 4.15 první pododstavec bod 3 písm. a) a čl. 4.15 druhý, třetí a čtvrtý pododstavec likums „Par Latvijas Republikas Uzņēmumu reģistru“ (zákon o podnikovém rejstříku Lotyšské republiky) ( 12 ) (dále jen „zákon o podnikovém rejstříku“) stanoví:

III.

Spor v původním řízení a předběžné otázky

10.

Navrhovateli v řízení před Latvijas Republikas Satversmes tiesa (Ústavní soud) je 17 menšinových akcionářů akciové společnosti. Mají za to, že bod 2 písm. b) prvního pododstavce čl. 4.15 zákona o podnikovém rejstříku (dále jen „napadené ustanovení“) je v rozporu s čl. 96 Latvijas Republikas Satversme (Ústava Lotyšské republiky, dále jen „lotyšská ústava“), který stanoví, že „každý má právo na nedotknutelnost svého soukromého života, obydlí a korespondence“.

11.

Navrhovatelé tvrdí, že lotyšský zákonodárce neposoudil a neodůvodnil nutnost zveřejnit informace o akcionářích a zacházet s nimi jako s obecně přístupnými informacemi. Jakmile jsou informace zpřístupněny veřejnosti, neexistují žádná omezení jejich následného použití. Je zde tedy vysoké riziko, že dotčené informace budou použity k nepoctivým účelům, jako je podvod nebo vydírání. Podle navrhovatelů musí být ústavnost napadeného ustanovení posouzena s ohledem na rozsudek ve věci Luxembourg Business Registers, který se týkal zpřístupnění informací o skutečných majitelích společností široké veřejnosti. Vzhledem k tomu, že Soudní dvůr dospěl v této věci k závěru, že podobné údaje o skutečných majitelích by neměly být zveřejňovány, je zpřístupnění osobních údajů akcionářů široké veřejnosti ještě více neodůvodněné a nepřiměřené. Navrhovatelé jakožto menšinoví akcionáři nejsou ani skutečnými majiteli akciové společnosti, ani osobami odpovědnými za činnost jejího výkonného orgánu nebo řídícího orgánu. Nemají právo ani možnost vykonávat kontrolu nad touto společností.

12.

Saeima (lotyšský parlament) tvrdí, že napadené ustanovení je v souladu s článkem 96 lotyšské ústavy. Má za to, že omezení základních práv je legitimní za účelem zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob, boje proti praní peněz a financování terorismu a šíření jaderných zbraní a umožnění každému splnit povinnosti, které pro něj vyplývají ze Starptautisko un Latvijas Republikas nacionālo sankciju likums (zákon o mezinárodních sankcích a národních sankcích Lotyšské republiky). K dosažení těchto cílů je nezbytné, aby byly dotčené informace bezodkladně zpřístupněny každému, aniž by byla uložena povinnost prokázat oprávněný zájem v rámci žádosti o tyto informace. Odůvodnění rozsudku ve věci Luxembourg Business Registers, která se týkala pouze jednoho legitimního cíle – a sice předcházení praní peněz a financování terorismu – nelze vztáhnout na projednávanou věc, protože dotčená lotyšská právní úprava slouží několika různým legitimním cílům, které odůvodňují omezení základních práv.

13.

Datu valsts inspekcija (Úřad pro ochranu údajů, Lotyšsko), který do řízení před předkládajícím soudem vstoupil jako amicus curiae, se domnívá, že zákon o podnikovém rejstříku nestanoví v rozporu se zásadou transparentnosti zakotvenou v GDPR konkrétní účel, pro který je zpracování osobních údajů akcionářů akciové společnosti nezbytné. Objem zpracovávaných údajů a otázka, zda účelu zpracování údajů nelze dosáhnout méně rozsáhlým zpracováním údajů, musí být posouzeny s ohledem na zásadu minimalizace údajů. Není-li účel konkrétně stanoven, není možné posoudit, zda je rozsah zpracování osobních údajů přiměřený. Zásady účelového omezení a minimalizace údajů proto nejsou dodrženy.

14.

Finanční zpravodajská služba, která rovněž vstoupila do původního řízení jako amicus curiae, má za to, že třetí osoby musí mít přístup k dotčeným informacím, aby mohly určit, zda se na obchodního partnera vztahují mezinárodní nebo národní sankce.

15.

Předkládající soud usiluje o objasnění otázky, zda jsou akcionáři akciových společností osobami, které se účastní správy, dozoru nebo kontroly společnosti ve smyslu čl. 14 písm. d) bodu ii) směrnice 2017/1132, a tudíž zda tato směrnice vyžaduje zveřejnění informací týkajících se akcionářů takových obchodních společností. Pro případ, že by Soudní dvůr shledal, že takoví akcionáři spadají do působnosti čl. 14 písm. d) bodu ii) směrnice 2017/1132 a informace, které se jich týkají, musí být zveřejněny a zpřístupněny veřejnosti podle čl. 16 odst. 3 této směrnice, se předkládající soud mimo jiné táže, zda je prvně uvedené ustanovení platné s ohledem na články 7 a 8 Listiny.

16.

Předkládající soud se rovněž zamýšlí nad tím, zda je zpracování osobních údajů akcionářů akciových společností v souladu se zásadami stanovenými v čl. 5 odst. 1 GDPR, zejména se zásadou „minimalizace údajů“, která odráží zásadu proporcionality. Tato zásada nebrání zpřístupnění osobních údajů veřejnosti, je-li to nezbytné pro splnění právní povinnosti, která se na správce vztahuje, podle čl. 6 odst. 1 prvního pododstavce písm. c) GDPR. Podle čl. 52 odst. 1 Listiny však omezení základních práv na respektování soukromého života a ochranu osobních údajů musí být stanovena zákonem, respektovat podstatu základních práv a dodržovat zásadu proporcionality.

17.

Předkládající soud si zejména klade otázku, zda je s ohledem mimo jiné na rozsudky ve věcech Luxembourg Business Registers a Manni ( 13 ) třeba článek 5 odst. 1 písm. b) GDPR vykládat v tom smyslu, že zpracování osobních údajů akcionářů akciové společnosti může být prováděno za účelem ochrany zájmů třetích osob. Také se táže, zda zásady stanovené v čl. 5 odst. 1 GDPR umožňují členskému státu, aby za účelem dosažení tohoto cíle přijal právní úpravu, podle které může kterákoliv osoba získat osobní údaje kteréhokoli akcionáře akciové společnosti, aniž je povinna prokázat oprávněný zájem na získání těchto údajů. Kromě toho se uvedený soud zamýšlí nad tím, zda musí být čl. 5 odst. 1 písm. b) GDPR vykládán v tom smyslu, že zpracování osobních údajů akcionářů akciové společnosti může být prováděno za účelem předcházení praní peněz a financování terorismu a šíření jaderných zbraní. V tomto ohledu je podle lotyšského zákonodárce účelem zpřístupnění dotčených údajů široké veřejnosti umožnit každému, aby v co největší míře přispěl k takovému předcházení předmětným činnostem.

18.

Konečně se předkládající soud táže, zda musí být čl. 5 odst. 1 písm. b) GDPR vykládán v tom smyslu, že zpracování osobních údajů akcionářů akciové společnosti může být prováděno za účelem poskytování informací nezbytných pro provádění národních, mezinárodních a unijních sankcí.

19.

Předkládající soud má za to, že by zpřístupnění osobních údajů akcionářů akciových společností veřejnosti mohlo být vhodné, nezbytné a přiměřené k dosažení výše uvedených legitimních cílů. Pokud jsou však osobní údaje zpřístupňovány veřejnosti on-line, není možné zajistit, aby tyto údaje byly zpracovávány zákonným způsobem a aby nebyly dále zpracovávány způsobem, který je neslučitelný s výše uvedenými účely, jak požaduje čl. 5 odst. 1 písm. a) a b) GDPR. Uvedený soud má tedy pochybnosti zaprvé o tom, zda dotčené zveřejnění spočívá na vyváženém poměření sledovaných cílů obecného zájmu a dotčených základních práv, a zadruhé, zda existují dostatečné záruky proti riziku zneužití takových osobních údajů.

20.

Podle lotyšské právní úpravy musí být přístup k informacím s omezeným přístupem požadován písemně a osoba, která žádost podává, musí svou žádost odůvodnit a uvést účel, pro který mají být informace použity. V případě poskytnutí informací s omezeným přístupem se příjemce těchto informací zavazuje, že je použije pouze pro účely, pro které byly vyžádány ( 14 ). Poskytnutí těchto informací může trvat několik dní. Pokud žádost o informace splňuje požadavky zákona a informace je požadována pouze v elektronické podobě a nevyžaduje další zpracování, informace se poskytne do 10 dnů. Předkládající soud si proto klade otázku, zda lze postup pro podání žádosti o informace s omezeným přístupem považovat za jiný prostředek, kterým by bylo možné rozumně dosáhnout výše uvedených cílů stejně účinným způsobem.

21.

Latvijas Republikas Satversmes tiesa (Ústavní soud) se rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

IV.

Řízení před Soudním dvorem

22.

Písemná vyjádření předložili navrhovatelé A a další, finská lotyšská, norská, polská a švédská vláda, Rada Evropské unie a Evropská komise.

23.

Vyjádření předložená švédskou vládou ( 15 ), Parlamentem a Radou se týkají pouze první a druhé otázky předkládajícího soudu.

V.

Analýza

A.

K první a druhé otázce

24.

Podstatou první otázky Latvijas Republikas Satversmes tiesa (Ústavní soud) je, zda musí být čl. 14 písm. d) bod ii) směrnice 2017/1132, jenž odkazuje na osoby, které „se účastní správy, dozoru nebo kontroly společnosti“, vykládán v tom smyslu, že odkazuje na každého akcionáře akciové společnosti ( 16 ), takže členský stát je povinen zveřejnit informace týkající se každého akcionáře takové společnosti a zpřístupnit je veřejnosti v rejstříku v souladu s čl. 16 odst. 3 směrnice 2017/1132.

25.

Podle čl. 14 písm. d) směrnice 2017/1132 musí členské státy přijmout nezbytná opatření k zajištění toho, aby společnosti povinně zveřejnily údaje týkající se jmenování, ukončení funkce a totožnosti osob, které jsou jako zákonem stanovený orgán společnosti nebo členové tohoto orgánu oprávněny zastupovat společnost vůči třetím osobám a v soudních řízeních, nebo se účastní správy, dozoru nebo kontroly této společnosti. Všichni účastníci řízení a zúčastnění, kteří předložili vyjádření, mají za to, že čl. 14 písm. d) bod ii) směrnice 2017/1132 nelze vykládat tak, že se vztahuje na každého akcionáře akciové společnosti.

26.

Je třeba zdůraznit, že původní řízení vedené před předkládajícím soudem se týká žaloby podané 17 menšinovými akcionáři. Své posouzení tedy omezím na tuto situaci. Podle ustálené judikatury je pro výklad ustanovení unijního práva třeba vzít v úvahu nejen jeho znění, ale i kontext, ve kterém se nachází, a cíle sledované právní úpravou, jejíž je součástí ( 17 ).

27.

Článek 14 písm. d) směrnice 2017/1132 neodkazuje na akcionáře ani na valnou hromadu akcionářů ( 18 ). Výraz „účastní [se] správy, dozoru nebo kontroly společnosti“ uvedený v čl. 14 písm. d) bodě ii) směrnice 2017/1132 navíc není v této směrnici definován ( 19 ) a Soudní dvůr toto ustanovení nevyložil. I přes neexistenci takové definice nebo definic je mimo jiné z článků 60 a 64 směrnice 2017/1132 zřejmé, že pro účely této směrnice se rozlišuje mezi správním nebo řídícím orgánem společnosti a valnou hromadou jejích akcionářů. Toto rozlišení se podle mého názoru tím spíše uplatní v případě jednotlivých akcionářů.

28.

Kromě toho platí, že pojmy „jmenování“ a „ukončení funkce“ uvedené v čl. 14 písm. d) směrnice 2017/1132 jsou neslučitelné se samotným postavením akcionářů akciové společnosti. Ačkoliv někteří akcionáři mohou být jmenováni do orgánů společnosti a vykonávat funkce uvedené v čl. 14 písm. d) směrnice 2017/1132, povinné zveřejnění mimo jiné totožnosti a osobních údajů akcionáře v této souvislosti je neoddělitelně spjato se jmenováním do dotčeného orgánu nebo s ukončením funkce a s pravomocí vykonávat určité funkce, a nikoli s jeho postavením akcionáře ( 20 ). Akcionáři naopak mají toto postavení nebo z něj těží, jakož i práva a povinnosti, které jsou s ním spojeny, včetně práva účastnit se valné hromady společnosti a hlasovat na ní, pouze na základě toho, že vlastní akcie společnosti, a nikoli z důvodu „jmenování“ do „orgánu“ společnosti. Pojmy „jmenování“ a „ukončení funkce“, které předpokládají určité zmocnění nebo funkci spojené s odpovědností ( 21 ) v rámci společnosti, jsou tedy neslučitelné s postavením akcionáře jako takovým a s právy a povinnostmi spjatými s tímto postavením v kontextu čl. 14 písm. d) směrnice 2017/1132.

29.

Ze znění čl. 14 písm. d) bodu ii) směrnice 2017/1132 a kontextu, do něhož je zasazen v rámci uvedené směrnice, tedy vyplývá, že se nevztahuje na akcionáře jako takové.

30.

Pokud jde o cíle směrnice 2017/1132, ve druhé odrážce jejího článku 1 se uvádí, že tato směrnice stanoví opatření týkající se „koordinace ochranných opatření, která jsou na ochranu zájmů společníků a třetích osob vyžadována v členských státech od společností ve smyslu čl. 54 druhého pododstavce [SFEU], co se týče zveřejnění, platnosti přijatých závazků a neplatnosti akciové společnosti nebo společnosti s ručením omezeným, za účelem dosažení rovnocennosti těchto opatření“ ( 22 ). Článek 14 směrnice 2017/1132 podává minimální ( 23 ) výčet listin a údajů, které dotčené společnosti musí povinně zveřejnit. Tyto listiny a údaje musí být v souladu s čl. 16 odst. 3 až 5 této směrnice vedeny ve spise nebo zapsány do rejstříku, na žádost musí být možné získat kopii každé listiny nebo její části a musí být zveřejněny ve vnitrostátním věstníku buď v plném nebo zkráceném znění, nebo prostřednictvím odkazu, nebo jiným stejně účinným způsobem ( 24 ).

31.

Vzhledem k tomu, že účelem směrnice 2017/1132, a zejména jejího čl. 14 písm. d), je chránit zájmy akcionářů společnosti a třetích osob tím, že se vyžaduje zveřejnění údajů týkajících se určitých konkrétních osob, jejichž funkce nebo pravomoci mohou být vykonávány na úkor těchto zájmů ( 25 ), není mi jasné, jak by zvýšená transparentnost ohledně totožnosti každého akcionáře, zejména menšinových akcionářů, kteří nemají ve společnosti žádnou zvláštní funkci ani pravomoc ( 26 ), mohla k dosažení tohoto účelu přispět.

32.

V tomto ohledu Soudní dvůr v rozsudku ve věci Manni ( 27 ) zdůraznil, že údaje zveřejňované mimo jiné podle čl. 2 odst. 1 písm. d) směrnice 68/151, který odpovídá čl. 14 písm. d) směrnice 2017/1132, mají omezenou povahu ( 28 ). Výklad čl. 14 písm. d) směrnice 2017/1132, který by zahrnoval údaje o každém jednotlivém akcionáři, zjevně takové povahy není ( 29 ). Z bodů 3, 7 a 8 odůvodnění směrnice 2017/1132 je zřejmé, že tato směrnice zajišťuje pouze minimální harmonizaci nebo koordinaci „některých aspektů“ ( 30 ) práva obchodních společností za účelem ochrany akcionářů, věřitelů a jiných třetích osob. Členské státy jsou tedy oprávněny k přijetí nebo ponechání v platnosti přísnějších či dalších ustanovení v oblasti práva obchodních společností v mezích unijního práva ( 31 ), a to zejména GDPR ( 32 ) a zásady proporcionality.

33.

Mám tedy za to, že pojem „osoby, které se účastní správy, dozoru nebo kontroly společnosti“ uvedený v čl. 14 písm. d) směrnice 2017/1132 nemůže být vykládán v tom smyslu, že odkazuje na každého akcionáře akciové společnosti. Členský stát není povinen zveřejnit informace týkající se každého akcionáře akciové společnosti a zpřístupnit je veřejnosti v rejstříku v souladu s čl. 16 odst. 3 směrnice 2017/1132.

34.

Vzhledem k tomu, že druhá otázka předkládajícího soudu závisí na kladné odpovědi na jeho první otázku, jsem toho názoru, že druhá otázka týkající se platnosti čl. 14 písm. d) bodu ii) směrnice 2017/1132 s ohledem na články 7 a 8 Listiny je bezpředmětná.

B.

Ke třetí a čtvrté otázce

35.

Podstatou třetí a čtvrté otázky ( 33 ) předkládajícího soudu je, zda čl. 5 odst. 1 GDPR musí být vykládán v tom smyslu, že povoluje zpracování určitých osobních údajů akcionářů akciové společnosti tím, že je zpřístupňuje kterékoliv osobě, aniž je tato osoba povinna prokázat oprávněný zájem na získání těchto údajů, za účelem: i) zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob, ii) předcházení praní peněz a financování terorismu a šíření jaderných zbraní a iii) poskytování informací nezbytných pro provádění národních, mezinárodních a unijních sankcí. V tomto ohledu si Latvijas Republikas Satversmes tiesa (Ústavní soud) klade otázku, zda jsou zásady „účelového omezení“ a „minimalizace údajů“ uvedené v čl. 5 odst. 1 písm. b) a c) GDPR ( 34 ) dodržovány ( 35 ).

36.

Ze spisu předloženého Soudnímu dvoru vyplývá, že povinnost stanovená lotyšským právem zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích akciových společností založených podle lotyšského práva spadá do věcné působnosti GDPR. Článek 2 odst. 1 GDPR stanoví, že toto nařízení se vztahuje na „zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny“, aniž rozlišuje podle totožnosti autora dotyčného zpracování. Z toho vyplývá, že s výhradou případů uvedených v jeho čl. 2 odst. 2 a 3 se GDPR použije na operace zpracování prováděné jak soukromými osobami, tak orgány veřejné moci ( 36 ).

37.

Ačkoli je zpracování osobních údajů členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU týkající se společné zahraniční a bezpečnostní politiky, vyloučeno z věcné působnosti GDPR, mám za to, že se toto nařízení vztahuje na zpracování osobních údajů prováděné při výkonu činností, které spadají do oblasti působnosti článku 215 SFEU ( 37 ). Je však třeba zdůraznit, že některá práva subjektu údajů vyplývající z GDPR mohou být omezena v souladu s článkem 23 tohoto nařízení. Například čl. 23 odst. 1 písm. a) GDPR stanoví, že za určitých okolností lze uložit omezení s cílem zajistit národní bezpečnost.

38.

V projednávané věci je nesporné, že právní povinnost stanovená lotyšským právem ( 38 ), a sice zpřístupnit široké veřejnosti informace o akcionářích, kteří jsou fyzickými osobami, akciových společností založených podle lotyšského práva včetně jejich jména, příjmení, osobního identifikačního čísla, kontaktní adresy nebo e-mailové adresy, počtu a jmenovité hodnoty jejich akcií, a počtu hlasů spojených s těmito akciemi, představuje zpracování osobních údajů ve smyslu čl. 4 bodů 1 a 2 GDPR ( 39 ).

39.

Vzhledem k tomu, že dotčená vnitrostátní ustanovení zahrnují zpracování osobních údajů spadající do působnosti GDPR, je Lotyšská republika povinna mimo jiné uplatnit uvedené nařízení. Z toho vyplývá, že přístup jakékoli osoby z široké veřejnosti k uvedeným údajům se dotýká základního práva dotčených osob na respektování jejich soukromého života zaručeného v článku 7 Listiny. Zpřístupnění takových údajů široké veřejnosti mimoto představuje zpracování osobních údajů, na které se vztahuje článek 8 Listiny. Nadto je zpřístupnění těchto osobních údajů třetím osobám zásahem do základních práv zakotvených v článcích 7 a 8 Listiny bez ohledu na následné využití sdělených informací. Soudní dvůr však uvedl, že pokud jsou splněny podmínky zákonného zpracování osobních údajů podle GDPR, má se v zásadě za to, že toto zpracování splňuje rovněž požadavky stanovené v článcích 7 a 8 Listiny ( 40 ).

40.

Z článku 1 odst. 2 GDPR ve spojení s body 4 a 10 jeho odůvodnění vyplývá, že cílem tohoto nařízení je zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů ( 41 ).

41.

GDPR zajišťuje v celé Unii soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním jejich osobních údajů. Každé zpracování osobních údajů – s výhradou výjimek, které připouští článek 23 GDPR ( 42 ) – musí být v souladu se zásadami, jimiž se řídí zpracování osobních údajů, jakož i s právy subjektu údajů uvedenými v kapitolách II a III tohoto nařízení. Každé zpracování osobních údajů musí být konkrétně jednak v souladu se zásadami stanovenými v článku 5 GDPR a jednak odpovídat podmínkám zákonnosti zpracování, které jsou vyjmenovány v článku 6 GDPR ( 43 ). Kromě toho musí být dodržována práva subjektu údajů uvedená v článcích 12 až 22 GDPR ( 44 ).

42.

Podle čl. 5 odst. 1 GDPR musí být osobní údaje zpracovávány v souladu s řadou stanovených zásad. Osobní údaje musí být mimo jiné zpracovávány ve vztahu k subjektu údajů korektně a zákonným a transparentním způsobem ( 45 ), shromažďovány pro určité, výslovně vyjádřené a legitimní účely ( 46 ), přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k těmto účelům ( 47 ), přesné a v případě potřeby aktualizované ( 48 ), uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány ( 49 ), a zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů ( 50 ). Tyto zásady zpracování osobních údajů se uplatňují kumulativně ( 51 ).

43.

Článek 6 odst. 1 GDPR první pododstavec obsahuje taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné ( 52 ). Aby tudíž bylo zpracování zákonné, musí spadat pod jeden z případů stanovených v prvním pododstavci čl. 6 odst. 1 GDPR ( 53 ). Ačkoli Latvijas Republikas Satversmes tiesa (Ústavní soud) výslovně neuvádí, že je zpracování osobních údajů dotčené v projednávaných věcech založeno na čl. 6 odst. 1 prvním pododstavci písm. c) GDPR, jedná se o jediný případ uvedený v čl. 6 odst. 1 prvním pododstavci GDPR, na který tento soud v žádosti o rozhodnutí o předběžné otázce odkazuje ( 54 ). Vzhledem k tomu, že je dotčené zpracování konkrétně založeno na vnitrostátní právní úpravě a je jí vyžadováno ( 55 ), než že by bylo „nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce“ ( 56 ), mám za to, že toto zpracování je založeno na čl. 6 odst. 1 prvním pododstavci písm. c) GDPR, protože je nezbytné pro splnění právní povinnosti stanovené právem členského státu – v tomto případě lotyšským právem – která se na správce vztahuje ( 57 ). Orgán pověřený vedením obchodního rejstříku členského státu, který v tomto rejstříku zveřejňuje osobní údaje podléhající povinnému zveřejnění podle směrnice 2017/1132, je „správcem“ uvedených údajů, zejména tím, že je zveřejňuje ( 58 ).

44.

Článek 6 odst. 3 GDPR mimo jiné upřesňuje, pokud jde o situace, v nichž je zpracování zákonné podle čl. 6 odst. 1 prvního pododstavce písm. c) ( 59 ), že účel zpracování musí „vycházet z tohoto právního základu“ ( 60 ) a tento právní základ musí splňovat cíl veřejného zájmu a být přiměřený sledovanému legitimnímu cíli ( 61 ).

45.

Ze spisu předloženého Soudnímu dvoru nelze zjistit, zda byl v projednávané věci dodržen požadavek, že účel nebo účely zpracování musí „vycházet z tohoto právního základu“. Úřad pro ochranu údajů ve vyjádření předloženém předkládajícímu soudu uvedl, že zákon o podnikovém rejstříku nestanoví účel nebo účely, pro které je zpracování osobních údajů akcionářů akciové společnosti nezbytné. Je tedy na předkládajícím soudu, aby ověřil, zda je tento požadavek stanovený v čl. 6 odst. 3 GDPR dodržen, pokud jde o tři dotčené účely. Nedodržení dotčeného požadavku bude mít za následek, že zpracování osobních údajů bude v rozporu s čl. 6 odst. 3 GDPR ( 62 ). Vzhledem k různorodosti legislativních technik v 27 členských státech mám za to, že je dostačující, aby dotčený účel nebo účely mohly být zjištěny „dostatečně jasně“ ze znění právních předpisů nebo z jejich legislativního kontextu ( 63 ).

46.

Požadavky vyplývající z čl. 6 odst. 3 GDPR, podle nichž zpracování musí splňovat cíl veřejného zájmu a být přiměřené sledovanému legitimnímu cíli, jsou vyjádřením požadavků vyplývajících z čl. 52 odst. 1 Listiny a musí být vykládány ve světle posledně uvedeného ustanovení. V tomto ohledu Soudní dvůr uvedl, že základní práva na respektování soukromého života a na ochranu osobních údajů zakotvená v článcích 7 a 8 Listiny nejsou absolutními výsadami, ale musí být nahlížena v souvislosti se svou funkcí ve společnosti a musí být v rovnováze s ostatními základními právy. Základní práva lze omezit, pokud je omezení v souladu s čl. 52 odst. 1 Listiny stanoveno zákonem a respektuje podstatu těchto práv a zásadu proporcionality. Podle ustálené judikatury vyžaduje přiměřenost opatření, která vedou k zásahu do práv zaručených v článcích 7 a 8 Listiny, dodržení požadavků vhodnosti a nezbytnosti ( 64 ) i požadavku přiměřenosti těchto opatření stricto sensu ve vztahu ke sledovanému cíli ( 65 ). Je tedy nutné posoudit, zda dotčená vnitrostátní právní úprava usiluje o dosažení náležité rovnováhy mezi zájmem nebo zájmy sledovanými členským státem a zájmem nebo zájmy osob, které jsou jí nepříznivě zasaženy ( 66 ). V důsledku toho je třeba posoudit závažnost zásahu do základních práv na respektování soukromého života a ochranu osobních údajů a ověřit, zda je význam sledovaného cíle obecného zájmu úměrný závažnosti zásahu ( 67 ).

47.

Za účelem posouzení závažnosti tohoto zásahu je třeba zohlednit zejména povahu dotčených osobních údajů, a konkrétně pak případně citlivou povahu těchto údajů, jakož i povahu a konkrétní způsoby zpracování dotčených údajů, konkrétně počet osob, které mají přístup k těmto údajům, a podmínky pro přístup k těmto údajům ( 68 ).

48.

Je nesporné, že informace zpřístupněné široké veřejnosti o akcionáři, který je fyzickou osobou, zahrnují jeho jméno, příjmení, osobní identifikační číslo, adresu, na které jej lze kontaktovat, jeho e-mailovou adresu ( 69 ), druh, počet a jmenovitou hodnotu akcií držených akcionářem, a počet hlasů s nimi spojených ( 70 ). Tyto informace by mohly umožnit sestavení profilu, pokud jde zaprvé o některé identifikační osobní údaje a zadruhé, alespoň do určité míry, o stav majetku dotyčné osoby v Lotyšsku a o hospodářská odvětví a podniky, v nichž tato osoba v Lotyšsku investovala. Dotčené údaje jsou snadno přístupné potenciálně neomezenému počtu osob, zejména proto, že je lze vyhledat na internetových stránkách podnikového rejstříku. Je možné k nim získat volný přístup z důvodů, které nesouvisejí s účely sledovanými dotčenou vnitrostátní právní úpravou ( 71 ), a mohou být uchovávány, šířeny a dále zpracovávány. Snadný přístup široké veřejnosti k dotčeným informacím vystavuje subjekty údajů případnému zneužití jejich osobních údajů, což jim ztěžuje, či dokonce znemožňuje, aby se účinně hájily proti takovému zneužívání. Dotčený přístup tudíž představuje závažný zásah do základních práv zakotvených v článcích 7 a 8 Listiny ( 72 ).

1.

K existenci cíle obecného zájmu uznaného Evropskou unií

49.

Tři účely dotčené vnitrostátní úpravy, které uvedl předkládající soud ( 73 ), jsou v zásadě ve veřejném zájmu Unie, a potažmo legitimní ( 74 ). Lze jimi odůvodnit i závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny, pokud jsou v souladu se zásadou proporcionality ( 75 ).

50.

Pokud jde o účel zajištění transparentního podnikatelského prostředí a ochrany zájmů třetích osob, mám za to, že samotné zajištění transparentního podnikatelského prostředí představuje poměrně vágní a nekonkrétní cíl, a proto sám o sobě neobstojí jako legitimní účel. Aby se předešlo pochybnostem, jsem tedy toho názoru, s výhradou ověření předkládajícím soudem, že relevantním účelem lotyšské právní úpravy je zajištění transparentního obchodního prostředí s cílem ochránit zájmy třetích osob. S ohledem na čl. 50 odst. 2 písm. g) SFEU ( 76 ), který se v podstatě týká ochrany akcionářů a třetích osob ( 77 ), se domnívám, že dotčený účel představuje cíl obecného zájmu uznaný Unií.

51.

V rozsudku ve věci Luxembourg Business Registers ( 78 ) Soudní dvůr uvedl, že předcházení praní peněz a financování terorismu stanovením přístupu široké veřejnosti k informacím o skutečných majitelích představuje cíl obecného zájmu, jímž lze odůvodnit i závažné zásahy do základních práv zakotvených v článcích 7 a 8 Listiny ( 79 ). Mám za to, že logiku, z níž vychází uvedený rozsudek, lze rovněž uplatnit i v projednávané věci.

52.

Pokud jde o zveřejnění informací nezbytných pro provádění sankcí, Soudní dvůr uvedl, že lze uložit omezující opatření týkající se práva na svobodný výkon podnikatelské a jiné výdělečné činnosti a výkonu vlastnického práva. Tato opatření musí odpovídat cílům obecného zájmu, jako jsou cíle vnější činnosti Unie uvedené v článku 21 SEU, a vzhledem ke sledovanému cíli nesmí představovat nepřiměřený a neúnosný zásah do samotné podstaty takto zaručených práv ( 80 ). Domnívám se navíc, že provádění takových omezujících opatření, včetně přijetí opatření umožňujících přístup k informacím, které jsou nezbytné k zajištění provádění předmětných opatření, představuje cíl obecného zájmu uznávaný Unií.

2.

K vhodnosti, nezbytnosti a přiměřenosti dotčeného zásahu stricto sensu

a)

Účel spočívající v zajištění transparentního podnikatelského prostředí s cílem ochránit zájmy třetích osob

53.

Z důvodů, které jsem uvedl v bodě 31 tohoto stanoviska, se nedomnívám, že povinnost stanovená dotčenou lotyšskou právní úpravou, která se vztahuje na každého akcionáře akciové společnosti bez ohledu na to, zda má v rámci společnosti nějakou zvláštní funkci nebo pravomoc, podporuje nebo napomáhá účelu zajistit transparentní podnikatelské prostředí s cílem ochránit zájmy třetích osob. Kromě toho, ačkoli si směrnice 2017/1132 neklade za cíl být vyčerpávající a pouze harmonizuje a koordinuje některé aspekty práva obchodních společností, ze spisu předloženého Soudnímu dvoru nikterak nevyplývá, že by se tato směrnice ( 81 ) ukázala jako nedostatečná z hlediska účelu zajistit transparentní podnikatelské prostředí s cílem ochránit zájmy třetích osob, což by si vyžadovalo přijetí dotčené vnitrostátní právní úpravy ( 82 ). Proto mám za to, že zásah je nevhodný a není nezbytný. Jsem rovněž toho názoru, že tato právní úprava je nepřiměřená stricto sensu, neboť neusiluje o dosažení náležité rovnováhy mezi zájmy sledovanými lotyšským zákonodárcem a zájmy akcionářů.

b)

Účely spočívající ve vytvoření prostředí podporujícího předcházení praní peněz, financování terorismu a šíření jaderných zbraní, jakož i dostupnost informací nezbytných pro provádění národních, mezinárodních a unijních sankcí

54.

Povinnost stanovená lotyšským právem, a sice zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích akciových společností založených podle lotyšského práva a s tím související neexistence jakékoliv povinnosti prokázat oprávněný zájem na získání takových údajů, je podle mého názoru vhodná k dosažení cílů obecného zájmu spočívajících ve vytvoření prostředí, které podporuje a napomáhá předcházení praní peněz, financování terorismu a šíření jaderných zbraní, jakož i dostupnosti informací nezbytných k provedení národních, mezinárodních a unijních sankcí. Obdobně jak je stanoveno v rozsudku ve věci Luxembourg Business Registers jsem toho názoru, že veřejná povaha dotčeného přístupu a z něj vyplývající zvýšená transparentnost, které umožňují, aby vlastnictví akciových společností bylo ve větší míře zkoumáno ze strany veřejnosti, přispívají k dosažení těchto cílů obecného zájmu ( 83 ).

55.

Je tedy třeba posoudit, zda by bylo možné rozumně dosáhnout těchto dvou účelů stejně účinně jinými opatřeními, která by méně zasahovala do práv akcionářů dotčených akciových společností ( 84 ), a zda je dotčený zásah ve vztahu k těmto cílům nepřiměřený stricto sensu, což mimo jiné vyžaduje poměření významu těchto cílů a závažnosti tohoto zásahu.

56.

Pokud jde o účel spočívající ve vytvoření prostředí, které podporuje a napomáhá předcházení praní peněz a financování terorismu a šíření jaderných zbraní, předkládající soud má za to, že „oprávněný zájem na provedení kontroly klienta z vlastního podnětu mohou mít“ i jiné osoby než povinné osoby uvedené v článku 2 směrnice 2015/849 ( 85 ). Kromě toho podle článku 3.1 Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (zákon o předcházení praní peněz a financování terorismu a šíření jaderných zbraní) mají povinnost oznámit jakoukoliv podezřelou transakci také jiné osoby, než jsou zejména povinné osoby.

57.

Pokud jde o provádění sankcí, podle předkládajícího soudu přijímá Rada nařízení, která často zahrnují finanční omezující opatření sestávající ze: i) zmrazení finančních prostředků a hospodářských zdrojů označených osob a subjektů a ii) zákazu zpřístupnění finančních prostředků a hospodářských zdrojů takovým osobám a subjektům ( 86 ). Přístup k informacím o všech akcionářích akciové společnosti může být navíc nezbytný, protože podle čl. 2 odst. 2 zákona o mezinárodních sankcích a národních sankcích Lotyšské republiky ( 87 ) je každá osoba povinna dodržovat a provádět mezinárodní a národní sankce.

58.

Je užitečné uvést, že Soudní dvůr v rozsudku ve věci Luxembourg Business Registers ( 88 ) připomněl, že boj proti praní peněz a financování terorismu přísluší přednostně veřejným orgánům a subjektům, jako jsou úvěrové či finanční instituce, kterým jsou v důsledku jejich aktivit ukládány konkrétní povinnosti v dané oblasti. V každém případě čl. 30 odst. 5 směrnice 2015/849 zajišťuje, že přístup k informacím o skutečných majitelích ( 89 ) mimo jiné společností ( 90 ) mají nejen příslušné orgány, finanční zpravodajské jednotky EU ( 91 ) a povinné osoby, ale také jakékoliv osoby nebo organizace, které mohou prokázat oprávněný zájem.

59.

Pokud jde o omezující opatření, jak jsem uvedl ve svém stanovisku ve věci Čiekuri-Shishki ( 92 ), nařízení o těchto opatřeních provádějí především státní orgány s konkrétní specializovanou pravomocí v oblasti finančního dohledu. Tyto orgány disponují nezbytnými prostředky, a jsou proto oprávněny uplatňovat stanovené finanční sankce, jako je zmrazení majetku, zákaz poskytování úvěrů nebo plateb určitým osobám nebo orgánům. Přísluší jim, aby nařídily konkrétní opatření vůči osobám a orgánům uvedeným na seznamech uvedených v nařízení.

60.

Nicméně, jak je připomenuto v osvědčených postupech ( 93 ), „[v]šechny osoby a subjekty, které spadají do soudní pravomoci Unie, jsou povinny sdělit příslušným orgánům jakékoli jim dostupné informace, které by usnadnily použití finančních omezujících opatření“ ( 94 ). Kromě toho nařízení, která zavádějí omezující opatření, zakazují přímé či nepřímé zpřístupnění finančních prostředků nebo hospodářských zdrojů určeným osobám nebo subjektům ( 95 ). Mám za to, že tuto povinnost lze splnit jinými prostředky než neomezeným přístupem k osobním údajům všech akcionářů, například tím, že by v každém jednotlivém případě byla podávána žádost o přístup k informacím o akcionářích ( 96 ). Zejména má-li osoba důvodné podezření, že může přímo či nepřímo zpřístupnit finanční prostředky nebo hospodářské zdroje určeným osobám nebo subjektům, má zjevný oprávněný zájem požádat o informace, kterými v tomto ohledu disponuje podnikový rejstřík. Je třeba rovněž zdůraznit, že v případě neexistence oprávněného zájmu by bylo příliš zatěžující a nepřiměřené požadovat po všech osobách, aby průběžně ověřovaly totožnost každého jednotlivého akcionáře všech svých obchodních partnerů ( 97 ). To je o to zjevnější, že akcionáři akciové společnosti se mohou často měnit.

61.

Z toho vyplývá, že ačkoli neomezený přístup široké veřejnosti k informacím o akcionářích akciových společností v souladu s dotčenou lotyšskou právní úpravou může v určité omezené míře přispívat k boji proti praní peněz, financování terorismu a šíření jaderných zbraní, jakož i k provádění národních, mezinárodních a unijních sankcí, jsem toho názoru, obdobně jako je uvedeno v rozsudku ve věci Luxembourg Business Registers ( 98 ), že pro tyto účely není nezbytně nutný. Kromě toho případné výhody plynoucí z takového zpracování nekompenzují závažný zásah do základních práv zaručených články 7 a 8 Listiny ( 99 ).

62.

Rovněž zdůrazňuji, že jelikož podle čl. 3 bodu 6 směrnice 2015/849 je skutečným majitelem společnosti fyzická osoba nebo osoby, které vlastní nebo kontrolují mimo jiné akciový podíl 25 % plus jednu akcii, platí úvahy Soudního dvora uvedené v rozsudku ve věci Luxembourg Business Registers a fortiori i pro lotyšskou právní úpravu dotčenou v projednávané věci, která vyžaduje zveřejnění informací o každém akcionáři akciové společnosti bez ohledu na to, zda má kontrolní podíl či nikoli.

63.

Předkládající soud si rovněž klade otázku, zda lze postup pro podání žádosti o informace s omezeným přístupem upravený zákonem o svobodném přístupu k informacím považovat za jiný prostředek, který umožňuje dosáhnout dotčených cílů stejně účinným způsobem. Jeví se ( 100 ), že v souladu s čl. 11 odst. 4 a čl. 14 odst. 1 bodem 1.1 zákona o svobodném přístupu k informacím může mít osoba přístup k informacím o akcionářích ( 101 ), pokud podá písemnou žádost, odůvodní ji a uvede účel, pro který budou informace použity. Příjemce těchto poskytnutých informací se zavazuje, že je použije pouze pro účely, pro které byly vyžádány. Pokud žádost o informace splňuje požadavky zákona a informace je požadována pouze v elektronické podobě a nevyžaduje další zpracování, informace se poskytne do 10 dnů. Předkládající soud uvedl, že „podnikový rejstřík, jako správce osobních údajů a odesílatel informací, není schopen ověřit, zda má osoba žádající o informace skutečně oprávněný zájem na získání požadovaných informací. V takové situaci musí být požadavek na uvedení oprávněného zájmu považován za formální překážku získání informací“ ( 102 ).

64.

Postačí konstatovat, že zpracování osobních údajů podle zákona o svobodném přístupu k informacím za účelem boje proti praní peněz a financování terorismu a šíření jaderných zbraní ( 103 ), jakož i za účelem provádění sankcí musí být v souladu s unijním právem, zejména s GDPR a zásadou proporcionality. Vzhledem ke skutečnosti, že čl. 30 odst. 5 směrnice 2015/849 vyžaduje, aby informace o skutečných majitelích byly k dispozici nejen mimo jiné příslušným orgánům a povinným osobám, ale také jakékoli osobě nebo organizaci, které mohou prokázat oprávněný zájem, je tvrzení předkládajícího soudu, že podnikový rejstřík nemusí být schopen ověřit, zda má osoba takový zájem ( 104 ), poněkud matoucí s ohledem na povinnost, která pro členské státy vyplývá z uvedeného ustanovení ( 105 ).

65.

V každém případě se postup pro přístup k informacím o akcionářích podle čl. 11 odst. 4 a čl. 14 odst. 1 bodu 1.1 zákona o svobodném přístupu k informacím ( 106 ) popsaný v bodech 20 a 63 tohoto stanoviska nejeví jako nadměrně zatěžující nebo zdlouhavý a jeho cílem je konkrétní sladění různých dotčených zájmů. Jeví se tudíž ( 107 ), že dotčený vnitrostátní postup je prostředkem, který umožňuje dosáhnout předmětných cílů stejně účinným způsobem.

66.

Mám tedy za to ( 108 ), že povinnost stanovená lotyšským právem, a sice zpřístupnit široké veřejnosti určité konkrétní informace o akcionářích akciových společností založených podle lotyšského práva a s tím související neexistence jakékoliv povinnosti prokázat oprávněný zájem na získání takových údajů, za účelem vytvoření prostředí, které podporuje a napomáhá předcházení praní peněz, financování terorismu a šíření jaderných zbraní, jakož i dostupnosti informací nezbytných k provedení národních, mezinárodních a unijních sankcí, je stricto sensu nepřiměřená.

VI.

Závěry

67.

S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Latvijas Republikas Satversmes tiesa (Ústavní soud, Lotyšsko) následovně: