I.

Introdução

1.

O presente pedido de decisão prejudicial apresentado pelo Latvijas Republikas Satversmes tiesa (Tribunal Constitucional, Letónia)  ( 2 ) diz respeito à obrigação prevista na lei letã de disponibilizar ao público em geral determinadas informações específicas sobre os acionistas  ( 3 ) das sociedades anónimas de responsabilidade limitada  ( 4 ) de direito letão. As informações em causa podem ser consultadas no sítio Internet do Registo Comercial por «utilizadores não identificados»  ( 5 ). Consequentemente, o público não tem de demonstrar um interesse legítimo na obtenção destas informações.

2.

O órgão jurisdicional de reenvio procura determinar se a obrigação de disponibilizar as informações em causa é imposta pelo direito da União. Pergunta, assim, ao Tribunal de Justiça se o conceito de «pessoas que participam na administração, na vigilância ou na fiscalização da sociedade», que figura no artigo 14.o, alínea d), ii), da Diretiva (UE) 2017/1132 do Parlamento Europeu e do Conselho, de 14 de junho de 2017, relativa a determinados aspetos do direito das sociedades  ( 6 ), se refere a qualquer acionista de uma sociedade anónima e se os Estados‑Membros são obrigados a disponibilizar ao público informações específicas relativas a cada um dos acionistas dessa sociedade em conformidade com o artigo 16.o, n.o 3, desta diretiva. No caso de essas informações deverem ser disponibilizadas ao público por força da Diretiva 2017/1132, o órgão jurisdicional de reenvio questiona se o artigo 14.o, alínea d), ii), desta diretiva é válido à luz do direito ao respeito pela vida privada e familiar garantido pelo artigo 7.o da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta») e do direito à proteção de dados pessoais garantido pelo artigo 8.o da Carta.

3.

O Latvijas Republikas Satversmes tiesa (Tribunal Constitucional) procura ainda determinar se o artigo 5.o, n.o 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados, a seguir «RGPD»)  ( 7 ), deve ser interpretado no sentido de que autoriza a disponibilização ao público dessas informações sem que seja necessário demonstrar um interesse legítimo na sua obtenção, a fim de garantir determinadas finalidades, a saber: i) garantir um ambiente empresarial transparente e proteger os interesses de terceiros; ii) prevenir o branqueamento de capitais e o financiamento do terrorismo e da proliferação nuclear  ( 8 ) e iii) disponibilizar a informação necessária à execução de sanções nacionais, internacionais e da União Europeia. A este respeito, o órgão jurisdicional de reenvio pergunta se estes objetivos poderiam ser razoavelmente alcançados de uma maneira igualmente eficaz, em conformidade com o procedimento para solicitar o acesso a informação restrita previsto no direito letão  ( 9 ).

4.

Além disso, o órgão jurisdicional de reenvio questiona se a fundamentação do Acórdão Luxembourg Business Registers  ( 10 ) — no qual o Tribunal de Justiça considerou inválida a exigência do direito da União de que os Estados‑Membros assegurem que as informações sobre os beneficiários efetivos de entidades societárias e outras pessoas coletivas constituídas no seu território sejam acessíveis em todos os casos a qualquer membro do público em geral — pode ser transposta para a publicação de informações relativas a todos os acionistas de uma sociedade anónima, não obstante o facto de o volume de informações e a finalidade da publicação serem diferentes nas duas situações.

II.

Quadro jurídico

A.

Direito da União Europeia

5.

Os artigos 7.o, 8.o e 52.o, n.o 1, da Carta, os considerandos 3, 7 e 8, bem como os artigos 14.o e 16.o da Diretiva 2017/1132 e os artigos 5.o e 6.o do RGPD são particularmente relevantes no presente processo.

B.

Direito letão

6.

O artigo 8.o do Komerclikums (Código Comercial)  ( 11 ) tem como epígrafe «Conteúdo das inscrições no registo comercial». O artigo 8.o, n.o 3, pontos 3 e 4, deste código, prevê:

7.

O artigo 12.o do Código Comercial, sob a epígrafe «Publicação no registo comercial», dispõe:

8.

O artigo 235.o do Código Comercial, sob a epígrafe «Informações a inscrever no registo de acionistas», dispõe:

9.

O artigo 4.10, n.o 2, quinto parágrafo, o artigo 4.11, primeiro parágrafo, ponto 2, o artigo 4.15, primeiro parágrafo, ponto 3, alínea a), e o artigo 4.15, primeiro parágrafo, segundo, terceiro e quarto parágrafos, do likums «Par Latvijas Republikas Uzņēmumu reģistru’» (Código do Registo Comercial da República da Letónia; a seguir «Código do Registo Comercial»)  ( 12 ) dispõem:

III.

Litígio no processo principal e questões prejudiciais

10.

Os recorrentes no processo no Latvijas Republikas Satversmes tiesa (Tribunal Constitucional) são 17 acionistas minoritários de uma sociedade anónima. Consideram que o artigo 4.15, primeiro parágrafo, ponto 2, alínea b), do Código do Registo Comercial (a seguir «disposição impugnada») é incompatível com o artigo 96.o da Latvijas Republikas Satversme (Constituição da República da Letónia, a seguir «Constituição letã»), que prevê que «todas as pessoas têm direito à inviolabilidade da sua vida privada, do seu domicílio e da sua correspondência».

11.

Os recorrentes alegam que o legislador letão não apreciou nem justificou a necessidade de divulgar ao público as informações relativas aos acionistas e de as tratar como informações de acesso geral. Uma vez colocadas à disposição do público, não há restrições à utilização posterior destas informações. Existe, assim, um elevado risco de as informações em causa serem utilizadas para fins desonestos, como fraude, extorsão ou chantagem. Segundo os recorrentes, a constitucionalidade da disposição controvertida deve ser apreciada à luz do Acórdão Luxembourg Business Registers, que diz respeito à disponibilização ao público em geral de informações sobre os beneficiários efetivos das sociedades. Visto que o Tribunal de Justiça considerou nesse processo que dados com uma extensão similar relativos aos beneficiários efetivos não devem ser tornados públicos, a disponibilização ao público em geral dos dados pessoais dos acionistas é ainda mais injustificada e desproporcionada. Os recorrentes, na sua qualidade de acionistas minoritários, não são os beneficiários efetivos da sociedade anónima nem as pessoas responsáveis pelo seu órgão executivo ou pelo seu órgão de direção. Não têm nem o direito nem a possibilidade de exercer controlo sobre essa sociedade.

12.

O Saeima (Parlamento letão) sustenta que a disposição impugnada é conforme com o artigo 96.o da Constituição letã. Considera que a restrição dos direitos fundamentais é legítima para garantir um ambiente empresarial transparente e proteger os interesses de terceiros, combater o branqueamento de capitais e o financiamento do terrorismo e da proliferação nuclear e permitir que todas as pessoas cumpram as obrigações que lhes incumbem por força da Starptautisko un Latvijas Republikas nacionālo sankciju likums (Lei sobre Sanções Internacionais e Nacionais da República da Letónia). Para alcançar estes objetivos, é necessário disponibilizar as informações em causa a todas as pessoas, sem demora e sem impor a obrigação de demonstrar um interesse legítimo para solicitar essas informações. A fundamentação do Acórdão Luxembourg Business Registers, que dizia respeito apenas a um objetivo legítimo, a saber, a prevenção do branqueamento de capitais e do financiamento do terrorismo, não é transponível para o presente processo, uma vez que a legislação letã em causa prossegue vários objetivos legítimos diferentes que justificam a restrição dos direitos fundamentais.

13.

A Datu valsts inspekcija (Agência Nacional de Proteção de Dados, Letónia), que interveio no processo no órgão jurisdicional de reenvio na qualidade de amicus curiae, considera que, contrariamente ao princípio da transparência consagrado no RGPD, o Código do Registo Comercial não identifica uma finalidade específica para a qual o tratamento dos dados pessoais dos acionistas de uma sociedade anónima seja necessário. O volume dos dados que são objeto de tratamento e a questão de saber se a finalidade do tratamento de dados pode ser alcançada mediante um tratamento de dados menos amplo devem ser apreciados à luz do princípio da minimização dos dados. Sem uma finalidade especificamente identificada, não é possível avaliar a proporcionalidade do alcance do tratamento de dados pessoais. Por conseguinte, os princípios da limitação das finalidades e da minimização dos dados não são respeitados.

14.

O Serviço de Informação Financeira, que também interveio no processo principal como amicus curiae, considera que os terceiros devem ter acesso às informações em causa a fim de apurar se um parceiro comercial foi sujeito a sanções internacionais ou nacionais.

15.

O órgão jurisdicional de reenvio procura determinar se os acionistas das sociedades anónimas são pessoas que participam na administração, na vigilância ou na fiscalização da sociedade, na aceção do artigo 14.o, alínea d), ii), da Diretiva 2017/1132, e se, como tal, esta diretiva exige a publicação das informações relativas aos acionistas dessas sociedades. Caso o Tribunal de Justiça considere que esses acionistas estão abrangidos pelo âmbito de aplicação do artigo 14.o, alínea d), ii), da Diretiva 2017/1132 e que as informações que lhes dizem respeito devem ser publicadas e disponibilizadas ao público por força do artigo 16.o, n.o 3, da referida diretiva, o órgão jurisdicional de reenvio pergunta, nomeadamente, se a primeira disposição é válida à luz dos artigos 7.o e 8.o da Carta.

16.

O órgão jurisdicional de reenvio questiona igualmente se o tratamento dos dados pessoais dos acionistas de sociedades anónimas é conforme com os princípios enunciados no artigo 5.o, n.o 1, do RGPD, nomeadamente com o princípio da «minimização dos dados», que é um reflexo do princípio da proporcionalidade. Este princípio não se opõe à divulgação de dados pessoais ao público, quando isso for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito, por força do artigo 6.o, n.o 1, alínea c), do RGPD. Contudo, em conformidade com o artigo 52.o, n.o 1, da Carta, as restrições dos direitos fundamentais ao respeito pela vida privada e à proteção de dados pessoais devem ser previstas por lei e respeitar o conteúdo essencial dos direitos fundamentais e o princípio da proporcionalidade.

17.

O órgão jurisdicional de reenvio pergunta, em particular, se, à luz, nomeadamente, dos Acórdãos Luxembourg Business Registers e Manni  ( 13 ), o artigo 5.o, n.o 1, alínea b), do RGPD deve ser interpretado no sentido de que o tratamento de dados pessoais dos acionistas de uma sociedade anónima pode ter como finalidade proteger os interesses de terceiros. Pergunta ainda se os princípios enunciados no artigo 5.o, n.o 1, do RGPD permitem a um Estado‑Membro, na prossecução desse objetivo, a adoção de legislação por força da qual qualquer pessoa pode obter os dados pessoais de qualquer acionista de uma sociedade anónima, sem estar obrigada a demonstrar um interesse legítimo na obtenção desses dados. Além disso, este órgão jurisdicional questiona se o artigo 5.o, n.o 1, alínea b), do RGPD deve ser interpretado no sentido de que o tratamento de dados pessoais dos acionistas de uma sociedade anónima pode ter como finalidade prevenir o branqueamento de capitais e o financiamento do terrorismo e da proliferação nuclear. A este respeito, segundo o legislador letão, a disponibilização dos dados em causa ao público em geral tem por finalidade permitir a todas as pessoas, na medida do possível, contribuir tanto quanto possível para essa prevenção.

18.

Por último, o órgão jurisdicional de reenvio questiona se o artigo 5.o, n.o 1, alínea b), do RGPD deve ser interpretado no sentido de que o tratamento de dados pessoais dos acionistas de uma sociedade anónima pode ter como finalidade disponibilizar a informação necessária à execução de sanções nacionais, internacionais e da União.

19.

O órgão jurisdicional de reenvio considera que a disponibilização ao público dos dados pessoais dos acionistas de uma sociedade anónima pode ser adequada, necessária e proporcionada para alcançar os objetivos legítimos referidos. No entanto, quando os dados pessoais são disponibilizados ao público, em linha, não é possível garantir que estes dados sejam objeto de um tratamento leal e que não serão tratados posteriormente de uma forma incompatível com as finalidades supramencionadas, conforme exigido pelo artigo 5.o, n.o 1, alíneas a) e b), do RGPD. Este órgão jurisdicional tem, assim, dúvidas, primeiro, sobre se a publicação em causa tem por base uma ponderação equilibrada entre, por um lado, os objetivos de interesse geral prosseguidos e, por outro, os direitos fundamentais em causa e, segundo, se existem garantias suficientes contra o risco de utilização abusiva desses dados pessoais.

20.

Por força da lei letã, o acesso a informação restrita deve ser requerido por escrito e o requerente deve justificar o seu pedido, indicando para que finalidade a informação será utilizada. Quando é divulgada informação restrita, o destinatário dessa informação compromete‑se a utilizá‑la unicamente para as finalidades para as quais foi requerida  ( 14 ). A comunicação desta informação pode demorar vários dias. Se o pedido de informação preencher os requisitos previstos na lei e a informação só for requerida em formato eletrónico e não exigir tratamento posterior, a informação é disponibilizada no prazo de 10 dias. Por conseguinte, o órgão jurisdicional de reenvio questiona se o procedimento para solicitar informação restrita pode ser considerado outro meio através do qual os objetivos referidos poderiam ser razoavelmente alcançados de maneira igualmente eficaz.

21.

Por conseguinte, o Latvijas Republikas Satversmes tiesa (Tribunal Constitucional) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

IV.

Tramitação processual no Tribunal de Justiça

22.

Foram apresentadas observações escritas pelos recorrentes A e o., pelos Governos Finlandês, Letão, Norueguês, Polaco e Sueco, pelo Parlamento Europeu, pelo Conselho da União Europeia e pela Comissão Europeia.

23.

As observações apresentadas pelo Governo Sueco  ( 15 ), pelo Parlamento Europeu e pelo Conselho da União Europeia dizem respeito apenas à primeira e à segunda questões do órgão jurisdicional de reenvio.

V.

Apreciação

A.

Quanto à primeira e segunda questões

24.

Com a sua primeira questão, o Latvijas Republikas Satversmes tiesa (Tribunal Constitucional) procura determinar se o artigo 14.o, alínea d), ii), da Diretiva 2017/1132, que se refere às pessoas que «participam na administração, na vigilância ou na fiscalização da sociedade», deve ser interpretado no sentido de que se refere a qualquer acionista de uma sociedade anónima  ( 16 ), de modo que os Estados‑Membros são obrigados a publicar as informações relativas a cada um dos acionistas dessa sociedade e a disponibilizá‑las ao público no registo, em conformidade com o artigo 16.o, n.o 3, da Diretiva 2017/1132.

25.

Em conformidade com o artigo 14.o, alínea d), da Diretiva 2017/1132, os Estados‑Membros tomam as medidas necessárias para assegurar a publicidade obrigatória pelas sociedades da nomeação e da cessação de funções, assim como da identidade das pessoas que, na qualidade de órgão legalmente previsto ou de membros de tal órgão, têm o poder de vincular a sociedade para com terceiros e de a representar em juízo ou de participar na administração, na vigilância ou na fiscalização dessa sociedade. Todas as partes e interessados que apresentaram observações consideram que o artigo 14.o, alínea d), ii), da Diretiva 2017/1132 não pode ser interpretado no sentido de que se refere a qualquer acionista de uma sociedade anónima.

26.

Há que sublinhar que o litígio no processo principal submetido ao órgão jurisdicional de reenvio diz respeito a um recurso interposto por dezassete acionistas minoritários. Por conseguinte, limitarei a minha apreciação a esta situação. É jurisprudência constante que, para a interpretação de uma disposição de direito da União, há que ter em conta não só os seus termos, mas também os objetivos prosseguidos pela regulamentação de que faz parte  ( 17 ).

27.

O artigo 14.o, alínea d), da Diretiva 2017/1132 não faz referência aos acionistas nem à assembleia geral de acionistas  ( 18 ). Além disso, a expressão «participam na administração, na vigilância ou na fiscalização da sociedade», que figura no artigo 14.o, alínea d), ii), da Diretiva 2017/1132, não está definida nesta diretiva  ( 19 ) e o Tribunal de Justiça não interpretou esta disposição. Apesar da inexistência dessas definições, resulta, nomeadamente, dos artigos 60.o e 64.o da Diretiva 2017/1132 que, para efeitos desta diretiva, existe uma distinção entre o órgão de administração ou de direção de uma sociedade e a assembleia geral dos seus acionistas. Esta distinção aplica‑se, na minha opinião, a fortiori, aos acionistas individuais.

28.

Além disso, os conceitos de «nomeação» e de «cessação de funções», que figuram no artigo 14.o, alínea d), da Diretiva 2017/1132 são incompatíveis com a qualidade dos acionistas de uma sociedade anónima per se. Embora certos acionistas possam ser nomeados para os órgãos e exercer as funções referidas no artigo 14.o, alínea d), da Diretiva 2017/1132, a publicação obrigatória, nomeadamente, da identidade e dos dados pessoais de um acionista neste contexto baseia‑se indissociavelmente na sua nomeação para um órgão em causa ou na cessação de funções e no poder de exercer determinadas funções, e não na sua qualidade de acionista  ( 20 ). Em contrapartida, os acionistas gozam ou beneficiam dessa qualidade e dos respetivos direitos e obrigações, incluindo o direito de participar e votar na assembleia geral de uma sociedade, apenas por serem titulares de ações da sociedade e não pela sua «nomeação» para um «órgão» da sociedade. Os conceitos de «nomeação» e de «cessação de funções», que implicam um mandato ou uma função específica de responsabilidade  ( 21 ) numa sociedade, são, como tal, incompatíveis com a qualidade de acionista per se e com os direitos e obrigações inerentes a essa qualidade no âmbito do artigo 14.o, alínea d), da Diretiva 2017/1132.

29.

Resulta, por conseguinte, da sua redação e do contexto em que se insere na Diretiva 2017/1132 que o artigo 14.o, alínea d), ii), da mesma não se aplica aos acionistas per se.

30.

No que diz respeito aos objetivos da Diretiva 2017/1132, o artigo 1.o, segundo travessão, da mesma dispõe que esta diretiva estabelece medidas relativas à «coordenação das garantias que, para proteção dos interesses dos sócios e de terceiros, são exigidas nos Estados‑Membros às sociedades, na aceção do artigo 54.o, segundo parágrafo, [TFUE], no que respeita à publicidade, à validade das obrigações contraídas por sociedades por ações e sociedades de responsabilidade limitada e à nulidade destas, a fim de tornar equivalentes essas garantias»  ( 22 ). O artigo 14.o da Diretiva 2017/1132 enumera os documentos e indicações mínimos que as sociedades em causa devem publicar  ( 23 ). Estes documentos e indicações devem, em conformidade com o artigo 16.o, n.os 3 a 5, da referida diretiva, constar do processo ou ser inscritos no registo, ser disponibilizados mediante a obtenção de uma cópia integral ou parcial mediante pedido e ser publicitados através de publicação integral ou por extrato, ou através de uma menção, no jornal oficial nacional, ou por meios igualmente eficazes  ( 24 ).

31.

Uma vez que o objetivo da Diretiva 2017/1132, e, nomeadamente, do seu artigo 14.o, alínea d), é proteger os interesses dos acionistas de uma sociedade e de terceiros, exigindo a publicação de informações relativas a determinadas pessoas cujas funções ou poderes podem ser exercidos em detrimento desses interesses  ( 25 ), não vejo de que modo uma maior transparência quanto à identidade de cada acionista, nomeadamente dos acionistas minoritários, que não têm funções ou poderes específicos numa sociedade  ( 26 ), prossegue esse objetivo.

32.

A este respeito, o Tribunal de Justiça sublinhou no Acórdão Manni  ( 27 ) que os dados comunicados por força, nomeadamente, do artigo 2.o, n.o 1, alínea d), da Diretiva 68/151 — que corresponde ao artigo 14.o, alínea d), da Diretiva 2017/1132 — têm uma natureza limitada  ( 28 ). Uma interpretação do artigo 14.o, alínea d), da Diretiva 2017/1132 que inclua informações relativas a cada um dos acionistas não reveste manifestamente esta natureza  ( 29 ). Resulta dos considerandos 3, 7 e 8 da Diretiva 2017/1132 que esta apenas assegura uma harmonização ou coordenação mínima de «certos aspetos»  ( 30 ) do direito das sociedades, a fim de proteger os acionistas, os credores e outros terceiros. Assim, os Estados‑Membros podem adotar ou manter em vigor disposições mais rigorosas ou adicionais no domínio do direito das sociedades, dentro dos limites do direito da União  ( 31 ), nomeadamente do RGPD  ( 32 ) e do princípio da proporcionalidade.

33.

Considero, por conseguinte, que o conceito de pessoas que «participam na administração, na vigilância ou na fiscalização da sociedade», que figura no artigo 14.o, alínea d), da Diretiva 2017/1132, não pode ser interpretado no sentido de que se refere a qualquer acionista de uma sociedade anónima. Os Estados‑Membros não são obrigados a publicar as informações relativas a cada um dos acionistas de uma sociedade anónima e a disponibilizá‑las ao público no registo, em conformidade com o artigo 16.o, n.o 3, da Diretiva 2017/1132.

34.

Uma vez que a segunda questão do órgão jurisdicional de reenvio depende de uma resposta afirmativa à sua primeira questão, considero que a segunda questão relativa à validade do artigo 14.o, alínea d), ii), da Diretiva 2017/1132 à luz dos artigos 7.o e 8.o da Carta fica sem utilidade.

B.

Quanto à terceira e quarta questões

35.

Com as suas terceira e quarta questões  ( 33 ), o órgão jurisdicional de reenvio procura determinar se o artigo 5.o, n.o 1, do RGPD deve ser interpretado no sentido de que autoriza o tratamento de determinados dados pessoais dos acionistas de uma sociedade anónima, colocando‑os à disposição de qualquer pessoa sem ser obrigada a demonstrar um interesse legítimo na obtenção desses dados, com as finalidades de: i) garantir um ambiente empresarial transparente e proteger os interesses de terceiros; ii) prevenir o branqueamento de capitais e o financiamento do terrorismo e da proliferação nuclear; iii) disponibilizar a informação necessária à execução de sanções nacionais, internacionais e da União Europeia. A este respeito, o Latvijas Republikas Satversmes tiesa (Tribunal Constitucional) questiona se os princípios da «limitação das finalidades» e da «minimização dos dados», que figuram no artigo 5.o, n.o 1, alíneas b) e c), do RGPD  ( 34 ), são respeitados  ( 35 ).

36.

Resulta claramente dos autos do processo no Tribunal de Justiça que a exigência prevista na lei letã de disponibilizar ao público em geral determinadas informações específicas sobre os acionistas de sociedades anónimas de direito letão está abrangida pelo âmbito de aplicação material do RGPD. O artigo 2.o, n.o 1, do RGPD prevê que este regulamento se aplica a qualquer «tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados», sem estabelecer uma distinção em função da identidade do autor do tratamento em causa. Resulta do que precede que, sem prejuízo dos casos mencionados no seu artigo 2.o, n.os 2 e 3, o RGPD é aplicável às operações de tratamento efetuadas tanto por entidades privadas como pelas autoridades públicas  ( 36 ).

37.

Embora o tratamento de dados pessoais pelos Estados‑Membros efetuado no exercício de atividades abrangidas pelo âmbito de aplicação do título V, capítulo 2 do Tratado UE relativo à política externa e de segurança comum esteja excluído do âmbito de aplicação material do RGPD, considero que este regulamento se aplica ao tratamento de dados pessoais efetuado no exercício de atividades abrangidas pelo âmbito de aplicação do artigo 215.o TFUE  ( 37 ). Todavia, importa sublinhar que certos direitos do titular dos dados ao abrigo do RGPD podem ser limitados em conformidade com o artigo 23.o deste regulamento. Por exemplo, o artigo 23.o, n.o 1, alínea a), do RGPD prevê que podem ser impostas limitações em determinadas circunstâncias para assegurar a segurança do Estado.

38.

No presente processo, é pacífico que a obrigação jurídica ao abrigo da lei letã  ( 38 ) de disponibilizar ao público em geral informações relativas aos acionistas de sociedades anónimas de direito letão, que sejam pessoas singulares, incluindo o seu nome, apelido, número de identificação pessoal, morada de contacto ou endereço de correio eletrónico, o número e o valor nominal das suas ações, bem como o número de votos inerentes a essas ações, constitui um tratamento de dados pessoais na aceção do artigo 4.o, pontos 1 e 2, do RGPD  ( 39 ).

39.

Uma vez que as disposições nacionais em causa implicam o tratamento de dados pessoais abrangido pelo âmbito de aplicação do RGPD, a República da Letónia está obrigada, nomeadamente, a aplicar o RGPD. Resulta do que precede que o acesso de qualquer membro do público em geral a esses dados afeta o direito fundamental das pessoas em causa ao respeito pela sua vida privada, garantido no artigo 7.o da Carta. Além disso, a disponibilização desses dados ao público em geral constitui um tratamento de dados pessoais abrangido pelo artigo 8.o da Carta. Acresce que a disponibilização desses dados pessoais a terceiros constitui uma ingerência nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta, independentemente da utilização posterior das informações comunicadas. Todavia, o Tribunal de Justiça declarou que, desde que estejam cumpridos os requisitos do tratamento legal de dados pessoais ao abrigo do RGPD, considera‑se que esse tratamento preenche igualmente os requisitos fixados nos artigos 7.o e 8.o da Carta  ( 40 ).

40.

Resulta do artigo 1.o, n.o 2, do RGPD, conjugado com os seus considerandos 4 e 10, que este regulamento tem por objeto, nomeadamente, garantir um nível elevado de proteção das liberdades e dos direitos fundamentais das pessoas singulares no que diz respeito ao tratamento de dados pessoais  ( 41 ).

41.

O RGPD assegura em toda a União a aplicação coerente e homogénea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais. Qualquer tratamento de dados pessoais deve, sem prejuízo das derrogações admitidas no artigo 23.o do RGPD  ( 42 ), respeitar os princípios que regulam os tratamentos de dados pessoais, assim como os direitos do titular dos dados enunciados, respetivamente, nos capítulos II e III deste regulamento. Especialmente, qualquer tratamento de dados pessoais deve, por um lado, respeitar os princípios enunciados no artigo 5.o do RGPD e, por outro, preencher os requisitos de licitude enumerados no artigo 6.o do referido regulamento  ( 43 ). Além disso, os direitos do titular dos dados que figuram nos artigos 12.o a 22.o do RGPD devem ser respeitados  ( 44 ).

42.

Em conformidade com o artigo 5.o, n.o 1, do RGPD, os dados pessoais devem ser tratados em conformidade com um determinado conjunto de princípios. Assim, os dados pessoais devem ser, nomeadamente, objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados  ( 45 ); recolhidos para finalidades determinadas, explícitas e legítimas  ( 46 ); ser adequados, pertinentes e limitados ao que é necessário relativamente a essas finalidades  ( 47 ); ser exatos e atualizados sempre que necessário  ( 48 ); ser conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados  ( 49 ) e ser tratados de uma forma que garanta a sua segurança  ( 50 ). Estes princípios relativos ao tratamento de dados pessoais aplicam‑se cumulativamente  ( 51 ).

43.

O artigo 6.o, n.o 1, primeiro parágrafo, do RGPD prevê uma lista exaustiva e taxativa dos casos em que o tratamento de dados pessoais pode ser considerado lícito  ( 52 ). Assim, o tratamento deve estar abrangido por um dos casos previstos no artigo 6.o, n.o 1, primeiro parágrafo, do RGPD para ser lícito  ( 53 ). Embora o Latvijas Republikas Satversmes tiesa (Tribunal Constitucional) não indique expressamente que o tratamento dos dados pessoais em causa no presente processo se baseia no artigo 6.o, n.o 1, primeiro parágrafo, alínea c), do RGPD, este é o único caso previsto no artigo 6.o, n.o 1, primeiro parágrafo, do RGPD ao qual este órgão jurisdicional faz referência no seu pedido de decisão prejudicial  ( 54 ). Uma vez que o tratamento em causa é especificamente baseado e exigido pela legislação nacional  ( 55 ) em vez de ser «necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento»  ( 56 ), considero que esse tratamento se baseia no artigo 6.o, n.o 1, primeiro parágrafo, alínea c), do RGPD, uma vez que é necessário para o cumprimento de uma obrigação jurídica prevista pelo direito do Estado‑Membro — neste caso, o direito letão — à qual o responsável pelo tratamento está sujeito  ( 57 ). A autoridade encarregada da manutenção do registo comercial de um Estado‑Membro que publica, nesse registo, dados pessoais sujeitos à publicidade obrigatória prevista na Diretiva 2017/1132 é «responsável pelo tratamento» desses dados, nomeadamente porque os disponibiliza ao público  ( 58 ).

44.

O artigo 6.o, n.o 3, do RGPD especifica, nomeadamente, no que respeita às situações em que o tratamento é lícito por força do artigo 6.o, n.o 1, primeiro parágrafo, alínea c)  ( 59 ), que a finalidade do tratamento deve ser «determinada com esse fundamento jurídico»  ( 60 ) e que esse fundamento jurídico deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido  ( 61 ).

45.

Os autos do processo no Tribunal de Justiça não permitem saber se a exigência de que a(s) finalidade(s) do tratamento sejam «determinada[s] com esse fundamento jurídico» foi cumprida no caso em apreço. Nas suas observações apresentadas ao órgão jurisdicional de reenvio, a Agência Nacional de Proteção de Dados declarou que o Código do Registo Comercial não identifica a finalidade ou as finalidades para as quais é necessário o tratamento dos dados pessoais dos acionistas de uma sociedade anónima. Incumbe, assim, ao órgão jurisdicional de reenvio verificar se esta exigência prevista no artigo 6.o, n.o 3, do RGPD foi respeitada relativamente às três finalidades em causa. O incumprimento da exigência em causa torna o tratamento de dados pessoais contrário ao artigo 6.o, n.o 3, do RGPD  ( 62 ). Tendo em conta a diversidade das técnicas de redação legislativa nos 27 Estados‑Membros, considero adequado que a(s) finalidade(s) em causa possa(m) ser determinada(s) «de maneira suficientemente certa» a partir do texto da legislação ou do seu contexto legislativo  ( 63 ).

46.

As exigências por força do artigo 6.o, n.o 3, do RGPD segundo as quais o tratamento responde a um objetivo de interesse público e é proporcional ao objetivo legítimo prosseguido, constituem uma expressão das exigências decorrentes do artigo 52.o, n.o 1, da Carta e devem ser interpretadas à luz desta última disposição. A este respeito, o Tribunal de Justiça declarou que os direitos fundamentais ao respeito da vida privada e à proteção dos dados pessoais, garantidos nos artigos 7.o e 8.o da Carta, não são prerrogativas absolutas, mas devem ser tomados em consideração em relação à sua função na sociedade e ser ponderados juntamente com outros direitos fundamentais. Podem, assim, ser introduzidas restrições, desde que, em conformidade com o artigo 52.o, n.o 1, da Carta, sejam previstas por lei e respeitem o conteúdo essencial dos direitos fundamentais e o princípio da proporcionalidade. Segundo jurisprudência constante, a proporcionalidade de medidas das quais resulte uma ingerência nos direitos garantidos nos artigos 7.o e 8.o da Carta exige que sejam respeitados os requisitos de adequação e de necessidade  ( 64 ), bem como o requisito relativo ao caráter proporcional stricto sensu destas medidas face ao objetivo prosseguido  ( 65 ). Por conseguinte, há que apreciar se a legislação nacional em causa respeitou uma ponderação equilibrada entre o interesse ou os interesses prosseguidos pelo Estado‑Membro e os das pessoas lesadas  ( 66 ). Consequentemente, importa avaliar a gravidade da ingerência nos direitos fundamentais ao respeito da vida privada e à proteção dos dados pessoais e verificar se a importância do objetivo de interesse geral prosseguido é proporcional a essa gravidade  ( 67 ).

47.

Para avaliar a gravidade dessa ingerência, deve, nomeadamente, ser tida em conta a natureza dos dados pessoais em causa, em particular a natureza potencialmente sensível desses dados, bem como a natureza e as modalidades concretas do tratamento dos dados em questão, sobretudo o número de pessoas que têm acesso a esses dados e as modalidades de acesso aos mesmos  ( 68 ).

48.

É pacífico que as informações disponibilizadas ao público em geral sobre um acionista que seja pessoa singular incluem o seu nome, o seu apelido e o seu número de identificação pessoal, a morada na qual pode ser contactado, o seu endereço de correio eletrónico  ( 69 ), a categoria, o número e o valor nominal das ações detidas pelo acionista e o número de votos inerentes às mesmas  ( 70 ). Estas informações são suscetíveis de permitir a definição de um perfil relativo, por um lado, a certos dados pessoais de identificação e, por outro, pelo menos em certa medida, ao estado do património da pessoa na Letónia, bem como aos setores económicos e às empresas específicas em que investiu na Letónia. As informações em causa são facilmente acessíveis a um número potencialmente ilimitado de pessoas devido, nomeadamente, ao facto de poderem ser consultadas no sítio Internet do Registo Comercial. Podem ser acedidas livremente por motivos não relacionados com as finalidades prosseguidas pela legislação nacional  ( 71 ) em causa e podem ser conservadas, divulgadas e sujeitas a tratamento posterior. Um acesso fácil por parte do público em geral às informações em causa expõe os titulares dos dados a um eventual abuso dos seus dados pessoais, o que dificulta, ou mesmo impossibilita, que se defendam eficazmente contra tal abuso. O acesso em causa constitui, assim, uma ingerência grave nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta  ( 72 ).

1.

Quanto à existência de um objetivo de interesse geral reconhecido pela União Europeia

49.

As três finalidades da legislação nacional em causa indicadas pelo órgão jurisdicional de reenvio  ( 73 ) são, em princípio, do interesse público da União e, consequentemente, legítimas  ( 74 ). São suscetíveis de justificar ingerências, inclusivamente graves, nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta, desde que respeitem o princípio da proporcionalidade  ( 75 ).

50.

No que diz respeito à finalidade de garantir um ambiente empresarial transparente e proteger os interesses de terceiros, considero que garantir um ambiente empresarial transparente constitui, por si só, uma aspiração bastante vaga e amorfa, pelo que pode não ser uma finalidade legítima em si mesma. Para evitar dúvidas, considero, por conseguinte, sob reserva de verificação pelo órgão jurisdicional de reenvio, que a finalidade relevante da legislação letã é garantir um ambiente empresarial transparente a fim de proteger os interesses de terceiros. À luz do artigo 50.o, n.o 2, alínea g), TFUE  ( 76 ), que se refere, em substância, à proteção dos sócios e de terceiros  ( 77 ), considero que a finalidade em causa constitui um objetivo de interesse geral reconhecido pela União Europeia.

51.

No Acórdão Luxembourg Business Registers  ( 78 ), o Tribunal de Justiça declarou que a prevenção do branqueamento de capitais e do financiamento do terrorismo, ao prever o acesso do público em geral a informações sobre os beneficiários efetivos, constitui um objetivo de interesse geral suscetível de justificar ingerências, inclusivamente graves, nos direitos fundamentais consagrados nos artigos 7.o e 8.o da Carta  ( 79 ). Considero que a lógica subjacente a este acórdão também pode ser aplicada no caso em apreço.

52.

No que respeita à divulgação das informações necessárias à execução de sanções, o Tribunal de Justiça declarou que podem ser impostas medidas restritivas ao exercício do direito ao livre exercício das atividades profissionais e ao exercício do direito de propriedade. Estas medidas devem corresponder a objetivos de interesse geral, como os objetivos da ação externa da União enunciados no artigo 21.o TUE, e não podem constituir, à luz da finalidade prosseguida, uma intervenção desmedida e intolerável que atente contra a própria substância dos direitos assim garantidos  ( 80 ). Considero, consequentemente, que a execução de tais medidas restritivas, incluindo a adoção de medidas que preveem o acesso às informações necessárias para assegurar essa execução, constitui um objetivo de interesse geral reconhecido pela União Europeia.

2.

Quanto ao caráter adequado, necessário e proporcionado stricto sensu da ingerência em causa

a)

Quanto à finalidade de garantir um ambiente empresarial transparente para proteger os interesses de terceiros

53.

Pelas razões que indiquei no n.o 31 das presentes conclusões, não considero que a obrigação prevista na lei letã em causa, que visa cada um dos acionistas de uma sociedade anónima, independentemente de terem uma função ou um poder específicos na sociedade, promova ou favoreça a finalidade de garantir um ambiente empresarial transparente a fim de proteger os interesses de terceiros. Além disso, embora a Diretiva 2017/1132 não pretenda ter um caráter exaustivo e se limite a harmonizar e coordenar certos aspetos do direito das sociedades, não resulta dos autos do processo submetido ao Tribunal de Justiça que esta diretiva  ( 81 ) se tenha revelado insuficiente para garantir um ambiente empresarial transparente a fim de proteger os interesses de terceiros, tornando necessária a adoção da legislação nacional em causa  ( 82 ). Por conseguinte, considero que a ingerência é desadequada e desnecessária. Considero igualmente que esta legislação é desproporcionada stricto sensu, uma vez que não consegue respeitar uma ponderação equilibrada entre os interesses prosseguidos pelo legislador letão e os interesses dos acionistas.

b)

Quanto às finalidades de criação de um ambiente para promover a prevenção do branqueamento de capitais e do financiamento do terrorismo e da proliferação nuclear, bem como a disponibilidade das informações necessárias à execução de sanções nacionais, internacionais e da União

54.

A obrigação prevista na lei letã de disponibilizar ao público em geral determinadas informações específicas sobre os acionistas das sociedades anónimas de direito letão, sem que seja necessário demonstrar um interesse legítimo na obtenção dessas informações, é, na minha opinião, adequada para alcançar os objetivos de interesse geral de criação de um ambiente que promova e favoreça a prevenção do branqueamento de capitais, do financiamento do terrorismo e da proliferação nuclear, bem como a disponibilidade das informações necessárias para a execução de sanções nacionais, internacionais e da União. Considero, por analogia com o Acórdão Luxembourg Business Registers, que o caráter público do acesso em causa e a maior transparência que daí resulta, que permite um maior escrutínio público da propriedade das sociedades anónimas, contribuem para a realização dos referidos objetivos de interesse geral  ( 83 ).

55.

Há, assim, que verificar se estas duas finalidades podiam ser razoavelmente alcançadas de maneira igualmente eficaz através de outras medidas menos atentatórias dos direitos dos acionistas das sociedades anónimas em causa  ( 84 ) e se a ingerência em questão é desproporcionada stricto sensu relativamente a esses objetivos, o que implica, nomeadamente, uma ponderação da importância dos referidos objetivos e da gravidade dessa ingerência.

56.

Quanto à finalidade de criar um ambiente que promova e favoreça a prevenção do branqueamento de capitais, do financiamento do terrorismo e da proliferação nuclear, o órgão jurisdicional de reenvio considera que é possível que outras pessoas, diferentes das entidades obrigadas, enumeradas no artigo 2.o da Diretiva 2015/849  ( 85 ), «também tenham um interesse legítimo em efetuar um exame do cliente por iniciativa própria». Além disso, por força do artigo 3.1 da Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un indulācijas finansēšanas novēršanas likums (Lei sobre a Prevenção do Branqueamento de Capitais e do Financiamento do Terrorismo e da Proliferação Nuclear), a obrigação de comunicar qualquer operação suspeita incumbe a pessoas diferentes, nomeadamente, das entidades obrigadas.

57.

No que respeita à execução de sanções, segundo o órgão jurisdicional de reenvio, o Conselho adota regulamentos que, frequentemente, incluem medidas restritivas financeiras que consistem: i) no congelamento de fundos e recursos económicos de pessoas e entidades designadas; e ii) na proibição da disponibilização de fundos e recursos económicos a essas mesmas pessoas e entidades  ( 86 ). Além disso, o acesso às informações relativas a todos os acionistas de uma sociedade anónima pode ser necessário, uma vez que, em conformidade com o artigo 2.o, n.o 2, da Lei sobre Sanções Internacionais e Nacionais da República da Letónia  ( 87 ), qualquer pessoa é obrigada a respeitar e a implementar sanções internacionais e nacionais.

58.

É útil observar que o Tribunal de Justiça recordou, no Acórdão Luxembourg Business Registers  ( 88 ), que a luta contra o branqueamento de capitais e o financiamento do terrorismo é principalmente da responsabilidade das autoridades públicas, bem como de entidades, como as instituições de crédito ou financeiras, que, devido às suas atividades, têm obrigações específicas nessa matéria. Em todo o caso, o artigo 30.o, n.o 5, da Diretiva 2015/849 assegura que não só as autoridades competentes, as Unidades de Informação Financeira da União  ( 89 ) e as entidades obrigadas, mas também quaisquer pessoas ou organizações que possam provar um interesse legítimo, tenham acesso às informações sobre os beneficiários efetivos  ( 90 ), nomeadamente, das entidades societárias  ( 91 ).

59.

No que diz respeito às medidas restritivas, como referi nas minhas conclusões no processo Čiekuri‑Shishki  ( 92 ), um regulamento que prevê medidas restritivas é aplicado principalmente por órgãos de Estado com competências especializadas específicas em matéria de supervisão financeira. Estes órgãos dispõem dos meios necessários e estão, por conseguinte, habilitados a executar as sanções financeiras previstas, tais como o congelamento de ativos, a proibição de conceder créditos ou de efetuar pagamentos a determinadas pessoas ou organismos. Compete‑lhes ordenar as medidas concretas contra as pessoas e organismos que constam das listas referidas pelo regulamento.

60.

No entanto, como recordado nas Melhores Práticas  ( 93 ), «todas as pessoas e entidades sujeitas à jurisdição da União têm a obrigação de comunicar às autoridades competentes quaisquer informações de que disponham e possam facilitar a aplicação das medidas restritivas financeiras»  ( 94 ). Além disso, os regulamentos que estabelecem medidas restritivas proíbem a disponibilização direta ou indireta de fundos ou recursos económicos a pessoas ou entidades designadas  ( 95 ). Considero que a execução desta obrigação pode ser concretizada por meios diferentes do acesso ilimitado aos dados pessoais de todos os acionistas, como, por exemplo, solicitando o acesso às informações relativas aos acionistas caso a caso  ( 96 ). Em particular, sempre que uma pessoa tenha uma suspeita razoável de que pode disponibilizar, direta ou indiretamente, fundos ou recursos económicos a pessoas ou entidades designadas, tem um interesse legítimo evidente em solicitar informações detidas pelo registo comercial a esse respeito. Importa igualmente sublinhar que, na falta de um interesse legítimo, seria demasiado oneroso e desproporcionado exigir a todas as pessoas que verifiquem de forma contínua a identidade de cada um dos acionistas de todos os seus parceiros comerciais  ( 97 ). Isto é ainda mais evidente tendo em conta que os acionistas de uma sociedade anónima podem mudar frequentemente.

61.

Resulta do exposto que, embora o acesso ilimitado do público em geral às informações relativas aos acionistas de sociedades anónimas em conformidade com a legislação letã em causa possa contribuir em certa medida para combater o branqueamento de capitais, o financiamento do terrorismo e da proliferação nuclear, bem como para executar sanções nacionais, internacionais e da União, considero, por analogia com o Acórdão Luxembourg Business Registers  ( 98 ), que não é estritamente necessário para estas finalidades. Além disso, os potenciais benefícios decorrentes desse tratamento não compensam a grave interferência nos direitos fundamentais garantidos pelos artigos 7.o e 8.o da Carta  ( 99 ).

62.

Saliento também que, dado que, em conformidade com o artigo 3.o, n.o 6, da Diretiva 2015/849, o beneficiário efetivo de uma entidade societária é a pessoa ou pessoas singulares que detêm ou controlam, nomeadamente, uma percentagem de 25 % de ações mais uma do capital, a fundamentação do Tribunal de Justiça no Acórdão Luxembourg Business Registers aplica‑se a fortiori à legislação letã em causa no presente processo, que exige a divulgação de informações sobre cada acionista de uma sociedade anónima, independentemente de ser ou não titular de uma participação maioritária.

63.

O órgão jurisdicional de reenvio pergunta ainda se o procedimento para solicitar informação restrita previsto na Lei da Liberdade de Informação pode ser considerado um outro meio que permite alcançar os objetivos em causa de uma maneira igualmente eficaz. Parece que  ( 100 ), em conformidade com o artigo 11.o, n.o 4, e o artigo 14.o, n.o 1, ponto 1.1, da Lei da Liberdade de Informação, uma pessoa pode ter acesso às informações relativas aos acionistas  ( 101 ), desde que apresente um pedido por escrito, justifique o seu pedido e indique a finalidade para a qual a informação será utilizada. O destinatário da informação comunicada compromete‑se a utilizá‑la unicamente para as finalidades para as quais foi requerida. Se o pedido de informação preencher os requisitos previstos na lei e a informação só for requerida em formato eletrónico e não exigir tratamento posterior, a informação é disponibilizada no prazo de 10 dias. No entanto, o órgão jurisdicional de reenvio declarou que «o Registo Comercial, como responsável pelo tratamento dos dados pessoais e emissor da informação, não está em condições de verificar se a pessoa que solicita a informação tem, efetivamente, um interesse legítimo na obtenção da informação solicitada. Nessa situação, a exigência da indicação de um interesse legítimo deve ser considerada um obstáculo formal à obtenção da informação»  ( 102 ).

64.

Basta observar que o tratamento de dados pessoais ao abrigo da Lei da Liberdade de Informação para combater o branqueamento de capitais e o financiamento do terrorismo e da proliferação nuclear  ( 103 ), bem como para a execução de sanções, deve respeitar o direito da União, em particular o RGPD e o princípio da proporcionalidade. Uma vez que o artigo 30.o, n.o 5, da Diretiva 2015/849 exige que as informações sobre os beneficiários efetivos estejam acessíveis não só, nomeadamente, às autoridades competentes e às entidades obrigadas, mas também a quaisquer pessoas ou organizações que possam demonstrar um interesse legítimo, a afirmação do órgão jurisdicional de reenvio segundo a qual o registo comercial pode não estar em condições de verificar se uma pessoa tem esse interesse  ( 104 ) é de certa forma desconcertante à luz da obrigação que incumbe aos Estados‑Membros por força desta disposição  ( 105 ).

65.

Em todo o caso, o procedimento de acesso às informações relativas aos acionistas, em conformidade com o artigo 11.o, n.o 4, e com o artigo 14.o, n.o 1, ponto 1.1, da Lei da Liberdade de Informação  ( 106 ), referido nos n.os 20 e 63 das presentes conclusões, não se afigura demasiado oneroso ou prolongado e visa conciliar in concreto os diferentes interesses em causa. Parece, assim  ( 107 ), que o procedimento nacional em questão é um meio que permite alcançar os objetivos em causa de maneira igualmente eficaz.

66.

Por conseguinte, considero  ( 108 ) que a obrigação ao abrigo da lei letã de disponibilizar ao público em geral determinadas informações específicas sobre os acionistas das sociedades anónimas de direito letão, sem que seja necessário demonstrar um interesse legítimo na obtenção dessas informações, a fim de criar um ambiente que promova e favoreça a prevenção do branqueamento de capitais, do financiamento do terrorismo e da proliferação nuclear, bem como a disponibilidade das informações necessárias para a execução de sanções nacionais, internacionais e da União, é desproporcionada stricto sensu.

VI.

Conclusão

67.

Tendo em conta todas as considerações que precedem, proponho ao Tribunal de Justiça que responda às questões prejudiciais submetidas pelo Latvijas Republikas Satversmes tiesa (Tribunal Constitucional, Letónia) do seguinte modo: