На 30 май публикуваха заключението й по дело C–200/23, спорът се е отнася до „данни, чието обявяване не се изисква“ от закона
Чл. 13, ал. 9 от ЗТРРЮЛНЦ изрично предвижда, че ако заявителят не представи заверен препис от подлежащия на оповестяване акт, от който са заличени личните данни, които не се изискват, агенцията ги обработва и предоставя публичен достъп до тях въз основа на презумпция за мълчаливо съгласие. Следователно дори при подобни обстоятелства българското законодателство изрично посочва агенцията за администратор на тези данни. Това пише в анализа на Генерален адвокат Лейла Медина, публикуван на 30 май.
С преюдициалното си запитване Върховният административен съд (България) поставя на Съда поредица от въпроси, които по същество се отнасят до връзката между координираните на равнището на Съюза разпоредби за публикуването на актовете на дружествата и разпоредбите на Регламент (ЕС) 2016/679(GDPR).
Запитването е отправено в рамките на спор между Агенцията по вписванията (България) (наричана по-нататък „агенцията“) и OL по повод на отказа на агенцията да заличи някои лични данни на OL, съдържащи се в акт, обявен в търговския регистър.
OL е съдружник в дружество с ограничена отговорност съгласно българското право (ООД), което е вписано в търговския регистър на 14 януари 2021 г. При заявяване на вписването е представен подписан от съдружниците дружествен договор от 30 декември 2020 г. (наричан по-нататък „дружественият договор от 2020 г.“). Този договор, съдържащ имената на OL, нейния ЕГН, номер на лична карта, дата и място на издаване и постоянен адрес, е вписан и обявен във вида, в който е представен. На 8 юли 2021 г. OL поисква от агенцията да бъдат заличени личните ѝ данни в дружествения договор от 2020 г., като уточнява, че ако обработването е въз основа на нейно съгласие, да се счита, че го оттегля. Поради липсата на произнасяне на агенцията OL се обръща към Административен съд Добрич (България), който отменя мълчаливия отказ на агенцията по искането на OL и връща преписката на агенцията за ново произнасяне. В изпълнение на това съдебно решение и на аналогично решение, отнасящо се до другия съдружник, който предприема същите действия, с писмо от 26 януари 2022 г. агенцията посочва, че за да бъде уважено искането за заличаване на личните данни, трябва да се представи заверен препис на дружествения договор от 2020 г., в който личните данни на съдружниците, освен тези, които се изискват по закон, да бъдат заличени (наричано по-нататък „писмото от 26 януари 2022 г.“). На 31 януари 2022 г. OL отново сезира Административен съд Добрич – с жалба срещу писмото от 26 януари 2022 г. и с искане агенцията да бъде осъдена да заплати обезщетение за причинените неимуществени вреди вследствие на това писмо, с което са нарушени правата ѝ по ОРЗД. На 1 февруари 2022 г., преди да ѝ бъде връчена жалбата, агенцията заличава служебно ЕГН, данните за личната карта и адреса на OL, но не и имената и подписа ѝ. С решение от 5 май 2022 г. Административен съд Добрич прогласява нищожността на писмото от 26 януари 2022 г. и осъжда агенцията да заплати на OL обезщетение за неимуществени вреди по чл. 82 от ОРЗД в размер на 500 български лева (BGN) (около 255 евро), ведно със законната лихва. Съгласно това съдебно решение вредите се изразяват в негативни емоции и преживявания вследствие на това писмо, с което са извършени нарушение на правото на изтриване по чл. 17, пар. 1 от ОРЗД и незаконосъобразно обработване на нейните данни, съдържащи се в публикувания дружествен договор. Агенцията подава касационна жалба срещу това решение до запитващата юрисдикция. Тя по-специално изтъква, че освен администратор на лични данни е и получател на предоставяните в регистърното производство данни и че макар да е поискала това преди регистрирането на дружеството, в което OL е съдружник, не е получила препис от дружествения договор със заличаване на личните данни, които не е задължително да се обявяват. Не можело обаче само на това основание да се откаже вписването на търговското дружество. Агенцията се позовава на становище от 2021 г. на националния надзорен орган, Комисията за защита на личните данни (България), предоставено на основание чл.58, пар. 3, буква б) от ОРЗД (наричано по-нататък „становището от 2021 г.“), в което се приема, че тя не е овластена да променя съдържанието на актовете, които получава за вписване в регистъра. От своя страна OL поддържа, че в качеството си на администратор на лични данни агенцията не може да възлага на други лица собствените си задължения за заличаване. OL се позовава на национална съдебна практика, съгласно която становището от 2021 г. не е в съответствие с разпоредбите на ОРЗД.
При тези обстоятелства Върховният административен съд решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1) Възможно ли е чл. 4, пар. 2 от Директива [2009/101] да се разглежда като създаващ задължение за държавата членка да допусне оповестяване на дружествен договор, подлежащ на вписване на основание чл. 119 от Търговския закон, в който освен имената на съдружниците, които задължително подлежат на обявяване на основание чл. 2, ал. 2 от Закона за търговския регистър и регистъра на юридическите лица с нестопанска цел, съдържа и други техни лични данни? При отговора на този въпрос е важно да се има предвид, че Агенцията по вписванията е публична институция, спрямо която, според константната практика на Съда, могат да бъдат противопоставени разпоредбите на директива с непосредствено действие (Решение от 7 септември 2006 г. по дело Vassallo, С‑180/04, ECLI:EU:C:2006:518, Rec, стр. I – 7251, точка 26 и цитираната съдебна практика).
2) При положителен отговор на предходния въпрос възможно ли е да се приеме, че в ситуацията, породила спора в главното производство, обработването на личните данни, осъществявано от Агенцията по вписванията е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора по смисъла на член 6, т. 1, б. „д“ от [ОРЗД]?
3) При положителен отговор на предходните въпроси възможно ли е да се приеме за допустима национална правна уредба като тази в чл. 13, ал. 9 от Закон за търговския регистър и регистъра на юридическите лица с нестопанска цел, която предвижда, че когато в заявлението или в приложените към него документи са посочени лични данни, които не се изискват по закон, се смята, че предоставилите ги лица са дали съгласието си за тяхното обработване от агенцията и за предоставянето на публичен достъп до тях, като внасяща яснота относно възможността за „доброволно оповестяване“ по смисъла на чл. 4, пар. 2 от Директива [2009/101] и на лични данни независимо от съображения 32, 40, 42, 43 и 50 от [ОРЗД]?
4) Допустимо ли е в изпълнение на задължението, предвидено в чл. 3, пар. 7 от Директива [2009/101], държавите членки да предприемат необходимите мерки, за да избегнат всякакви различия между оповестеното в съответствие с пар. 5 и съдържанието на регистъра или на делото и за отчитане интересите на третите лица да се запознаят с основните актове на дружеството и други свързани с него данни, посочени в съображение 3 на същата директива, приемането на национално законодателство, което предвижда процесуален ред (образци на заявление, представяне на копия от документи със заличени лични данни), по който да бъде упражнено правото на физическото лице по член 17 от [ОРЗД] да иска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, когато лични данни, чието заличаване се иска, са част от публично оповестени (обявени) документи, предоставени на администратора по сходен процесуален ред от друго лице, което с това действие е определило и целта на обработването, което е инициирало?
5) В ситуацията, породила спора в главното производство Агенцията по вписванията само като администратор на лични данни ли действа или е и техен получател, когато целта на обработване им като част от представени за обявяване документи е определена от друг администратор?
6) Ръкописният подпис на физическо лице представлява ли информация, свързана с идентифицирано физическо лице, респективно включва ли се в понятието „лични данни“ по смисъла на чл. 4, пар. 1 от [ОРЗД]?
7) Трябва ли понятието „нематериални вреди“ в чл. 82, пар. 1 от [ОРЗД] да се тълкува в смисъл, че за да се приеме, че са налице нематериални вреди, е необходимо да има забележими неблагоприятни последици и обективно установимо засягане на лични интереси, или за тази цел е достатъчна само краткотрайна загуба на суверенното право на субекта на данни да се разпорежда с личните си данни поради публикуването на такива данни в Търговския регистър, без това да е довело до забележими или неблагоприятни последици за субекта на данните?
8) Становището [от 2021 г.] на националния надзорен орган Комисията за защита на личните данни, дадено на основание чл. 58, пар. 3, буква Б от [ОРЗД], според което Агенцията по вписванията не разполага с правна възможност или правомощия, служебно или по искане на субекта на данни, да ограничава обработването на вече оповестени данни, възможно ли е да се разглежда като доказателство по смисъла на член 82, параграф 3 от [ОРЗД] за това, че Агенцията по вписванията по никакъв начин не е отговорна за събитието, от което се твърди, че са настъпили вреди на физическото лице?“.
Адвокат Медина по-нататък пише:
По искане на Съда настоящото заключение ще е съсредоточено върху четвъртия и петия преюдициален въпрос, които предлагам да бъдат разгледани заедно. Преди да пристъпя към анализа си, считам за необходимо да направя няколко предварителни бележки, които се отнасят до преюдициалното запитване в неговата цялост.
Предварителни бележки
Най-напред следва да се отбележи – както правят страните в главното производство, Комисията и повечето държави членки, представили становища пред Съда – че в мотивите на акта за преюдициално запитване, както и в текста на преюдициалните въпроси, включително в четвъртия въпрос, са посочени разпоредбите на Директива 2009/101. Считано от 20 юли 2017 г. обаче, тя е отменена и заменена с Директива 2017/1132, която е приложима ratione temporis към фактите по случая в главното производство. По-нататък в анализа си ще се позовавам единствено на последната директива.
По-нататък следва да се припомни, че Директива 2017/1132, и по-специално членове 16 и 161, доколкото те са от значение за анализа на това преюдициално запитване, е изменена с Директива (ЕС) 2019/1151, която влиза в сила на 31 юли 2019 г. Наистина, както подчертава Комисията, съдържащият личните данни на OL дружествен договор от 2020 г. е вписан в търговския регистър преди 1 август 2021 г. – датата, на която изтича срокът за транспониране на Директива 2019/1151, но все пак някои от фактите настъпват след тази дата, включително изпращането от агенцията на писмото от 26 януари 2022 г., служебното заличаване от нейна страна на някои от тези данни, както и повторното им обявяване в регистъра, за което споменава в писменото си становище ответницата в главното производство. При това положение не е изключено в главното производство да е приложима ratione temporis редакцията на Директива 2017/1132 съгласно изменението с Директива 2019/1151, което запитващата юрисдикция следва да провери. Ето защо по-нататък в анализа си ще се позовавам на тази редакция.
В самото начало обаче ще уточня, че въведените с Директива 2019/1151 изменения сами по себе си се отразяват съвсем малко на въпроса по какъв начин органът на държавата членка, който отговаря за воденето на дружествения регистър, следва да гарантира защитата на личните данни при изпълнението на своите функции. За сметка на това е важно да се подчертае в по-общ план, че тази директива има за цел да засили и консолидира използването на цифрови инструменти и процеси при събирането на информация за дружествата и управлението на тези информационни потоци, което предполага по-голям достъп до включените в тази информация лични данни и увеличава риска от нарушаване на правото на защита на тези данни и вредоносния характер на тези нарушения. Такъв процес на дигитализация, съчетан с увеличаването на трансграничния достъп до посочената информация, което също е цел на законодателя на Съюза, изисква особено внимание при претеглянето на целите за правна сигурност и защита на правата на третите лица, които, както ще покажа, са в основата на правилата за оповестяване на данни за дружествата, от една страна, и основните права на зачитане на личния живот и защита на личните данни, от друга.
Също в предварителен порядък ще посоча, че спорът в главното производство се отнася до заличаването от търговския регистър на държава членка на лични данни, чието обявяване не се изисква нито от Директива 2017/1132, нито от правото на съответната държава членка, както и до отговорността на националния орган, на който е възложено воденето на този регистър, за неимуществените вреди, причинени от отказа да се предприемат незабавно и безусловно действия по искането за изтриване на такива данни. За сметка на това спорът в главното производство не се отнася пряко до въпроса какви са задълженията на такъв орган във връзка със защитата на личните данни при вписването в търговския регистър на учредителните актове на дадено дружество, когато в тях са включени данни, чието публикуване не е задължително. Този въпрос обаче се подразбира, както личи от факта, че много от встъпилите държави членки му посвещават голяма част от становищата си, като предлагат радикално преформулиране на първите четири преюдициални въпроса или на някои от тях. По-нататък в анализа си ще разгледам някои аспекти на този въпрос, но като се придържам в границите, очертани от предмета на делото в главното производство и от онези от преюдициалните въпроси, върху които е съсредоточено настоящото заключение.
Следват изключително интерес анализ и Заключение:
По всички изложени съображения предлагам на Съда да отговори на четвъртия и петия от преюдициалните въпроси на Върховния административен съд (България), както следва:
„1) Член 4, точка 7 и член 26, параграф 1 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) трябва да се тълкуват в смисъл, че органът, на който е възложено воденето на търговския регистър на държавата членка и който съгласно законодателството на тази държава трябва да осигурява оповестяването на актовете, които са му предоставени със заявлението за вписване на дружество в този регистър, единствен се явява администратор във връзка с обявяването на съдържащите се в тези актове лични данни, включително когато те са данни, чието публикуване не се изисква и които съгласно това законодателство е трябвало да бъдат заличени от актовете, преди същите да бъдат предоставени на посочения орган.
2) Регламент 2016/679, и по-специално член 17 и член 23, параграф 1 от него, трябва да се тълкува в смисъл, че не допуска национална законодателна уредба или практика, съгласно която правото на физическото лице да поиска от органа, на който е възложено воденето на търговския регистър на държавата членка, да изтрие свързаните с него лични данни, съдържащи се в обявявани в регистъра актове, е обвързано със спазването на процесуален ред, който предполага да се представи препис от съответния акт със заличаване на тези данни. В качеството си на администратор посоченият орган не може да се освободи от задължението си да уважи без ненужно забавяне съответното искане за изтриване, само защото не е получил такъв препис.
3) Директива (ЕС) 2017/1132 на Европейския парламент и на Съвета от 14 юни 2017 година относно някои аспекти на дружественото право, изменена с Директива (ЕС) 2019/1151 на Европейския парламент и на Съвета от 20 юни 2019 г., и по-специално член 16, параграфи 2 – 4 във връзка със съображение 8 от нея, не може да се тълкува в смисъл, че допуска да се предвиди такъв процесуален ред. Тази директива допуска органът, на който е възложено воденето на търговския регистър на държавата членка, да уважи искането за изтриване на личните данни, които не се изискват от законодателството на тази държава членка и се съдържат в обявяван в регистъра акт, като сам заличи посочените данни от този акт, а в делото по член 16, параграф 1 от Директивата запази препис от него без заличаване на данните“.