РЕШЕНИЕ НА СЪДА (четвърти състав)

12 септември 2024 година ( *1 )

„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 6, параграф 1, първа алинея, букви б), в) и е) — Законосъобразност на обработването — Необходимост от обработване за изпълнението на договор, по който субектът на данните е страна — Необходимост от обработване за спазването на законово задължение, което се прилага спрямо администратора на данни — Необходимост от обработване за целите на легитимните интереси на администратора или на трета страна — Инвестиционен фонд, учреден под формата на командитно дружество, което набира капитал чрез публична подписка — Искане на съдружник да получи данните за контакт на другите съдружници, които притежават непряко дялово участие в инвестиционен фонд посредством дружество за доверително управление“

По съединени дела C‑17/22 и C‑18/22

с предмет преюдициални запитвания, отправени на основание член 267 ДФЕС от Amtsgericht München (Районен съд Мюнхен, Германия) с актове от 21 декември 2021 г., постъпили в Съда на 7 януари 2022 г., в рамките на производства по дела

HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG

срещу

Müller Rechtsanwaltsgesellschaft mbH (C‑17/22),

и Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG

срещу

WealthCap Photovoltaik 1 GmbH Co.KG,

WealthCap PEIA Komplementär GmbH,

WealthCap Investorenbetreuung GmbH (C‑18/22),

СЪДЪТ (четвърти състав),

състоящ се от: C. Lycourgos, председател на състава, O. Spineanu-Matei, J.‑C. Bonichot, S. Rodin и L.S. Rossi (докладчик), съдии,

генерален адвокат: J. Richard de la Tour,

секретар: I. Illéssy, администратор,

предвид изложеното в писмената фаза на производството и в съдебното заседание от 29 февруари 2024 г.,

като има предвид становищата, представени:

– за HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, от M. Handlos и R. Veil, Rechtsanwälte,

– за Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, от U. Brinkmöller, Rechtsanwalt,

– за WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH и WealthCap Investorenbetreuung GmbH, от N. Bartmann, U. Baumgartner и A. Höder, Rechtsanwälte,

– за Европейската комисия, от A. Bouchagiar, M. Heller и H. Kranenborg, в качеството на представители,

предвид решението, взето след изслушване на генералния адвокат, делото да бъде разгледано без представяне на заключение,

постанови настоящото

Решение

1 Преюдициалните запитвания се отнасят до тълкуването на член 6, параграф 1, първа алинея, букви б) и е) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1; наричан по-нататък „ОРЗД“).

2 Запитванията са отправени в рамките на спорове, от една страна, между HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (наричано по-нататък „HTB“) и Müller Rechtsanwaltsgesellschaft mbH (дело C‑17/22) и от друга страна, Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (наричано по-нататък „Ökorenta“) и WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH и WealthCap Investorenbetreuung GmbH (дело C‑18/22).

Правна уредба

Правото на Съюза

3 Съображения 1, 10, 39, 41, 47 и 48 от ОРЗД имат следния текст:

„(1)

Защитата на физическите лица във връзка с обработването на лични данни е основно право. Член 8, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“) и член 16, параграф 1 [ДФЕС] предвиждат, че всеки има право на защита на личните му данни.

[…] (10)

За да се гарантира последователно и високо ниво на защита на физическите лица, както и за да се премахнат препятствията пред движението на лични данни в [Европейския съюз], нивото на защита на правата и свободите на физическите лица във връзка с обработването на такива данни следва да бъде равностойно във всички държави членки. Следва да се гарантира последователно и еднородно прилагане в рамките на [Европейския съюз] на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни. […]

[…] (39)

Всяко обработване на лични данни следва да бъде законосъобразно и добросъвестно. За физическите лица следва да е прозрачно по какъв начин отнасящи се до тях лични данни се събират, използват, консултират или обработват по друг начин, както и в какъв обхват се извършва или ще се извършва обработването на данните. […]

[…] (41)

Когато в настоящия регламент се прави позоваване на правно основание или законодателна мярка, това не налага непременно приемането на законодателен акт от парламент, без с това да се засягат изискванията съгласно конституционния ред на съответната държава членка. Такова правно основание или законодателна мярка обаче следва да бъдат ясни и точни и прилагането им следва да бъде предвидимо за лицата, за които се прилагат, в съответствие с практиката на Съда на Европейския съюз и на Европейския съд по правата на човека.

[…] (47)

Законните интереси на даден администратор, включително на администратор, пред когото може да бъдат разкрити лични данни, или на трета страна могат да предоставят правно основание за обработването, при условие че интересите или основните права и свободи на съответния субект на данни нямат преимущество, като се вземат предвид основателните очаквания на субектите на данни въз основа на техните взаимоотношения с администратора. Такъв законен интерес може да е налице, когато например между субекта на данни и администратора на лични данни съществува съответното определено взаимоотношение, например когато субектът на данни е клиент или подчинен на администратора на лични данни. При всички случаи, за установяването на законен интерес би била необходима внимателна преценка, включително дали субектът на данни може по времето и в контекста на събирането на данни основателно да очаква, че може да се осъществи обработване на личните данни за тази цел. Интересите и основните права на субекта на данни биха могли по-конкретно да имат преимущество пред интереса на администратора, когато личните данни се обработват при обстоятелства, при които субектите на данни основателно не очакват по-нататъшна обработка. […] Обработването на лични данни за целите на директния маркетинг може да се разглежда като осъществявано поради законен интерес.

(48)

Администратори, които представляват част от група предприятия или институции, свързана с централен орган, могат да имат законен интерес да предадат личните данни в рамките на групата предприятия за вътрешни административни цели, включващи обработването на лични данни на клиенти или служители. Общите принципи на предаването на лични данни на предприятие, разположено в трета държава, в рамките на група предприятия, остават непроменени“.

4 Член 1, параграф 2 от този регламент, озаглавен „Предмет и цели“, гласи:

„С настоящия регламент се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни“.

5 Член 4 от посочения регламент предвижда:

„За целите на настоящия регламент:

1) „лични данни“ означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице;

2) „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

[…] 7) „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;

[…] 11) „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени;

[…]“.

6 Член 5 („Принципи, свързани с обработването на лични данни“) от същия регламент гласи:

„1.Личните данни са:

a) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);

б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; […]

в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);

[…] 2.Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.

7 Член 6 от ОРЗД е озаглавен „Законосъобразност на обработването“ и предвижда:

„1.Обработването е законосъобразно, само ако и доколкото е [изпълнено] поне едно от следните условия:

a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;

б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;

в) обработването е необходимо за спазването на законово задължение, което се прилага спрямо администратора;

[…] е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.

Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.

2.Държавите членки могат да запазят или въведат по-конкретни разпоредби, за да адаптират прилагането на правилата на настоящия регламент по отношение на обработването, необходимо за спазването на параграф 1, букви в) и д), като установят по-конкретно специални изисквания за обработването и други мерки, за да се гарантира законосъобразно и добросъвестно обработване, включително за други особени случаи на обработване на данни, предвидени в глава IX.

3.Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:

a) правото на Съюза или

б) правото на държавата членка, което се прилага спрямо администратора.

[…] Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел“.

8 Член 13, параграф 1 от този регламент гласи:

„Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:

[…] в) целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;

г) когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;

[…]“.

Германското право

9 Член 161 от Handelsgesetzbuch (Търговски кодекс), в редакцията си, приложима към споровете по главните производства, предвижда:

„(1)Дружество, чийто предмет на дейност е извършването на търговска дейност под обща фирма, е командитно дружество, ако отговорността на един или няколко от съдружниците спрямо кредиторите на дружеството е ограничена до размера на определена капиталова вноска (командитисти), докато при другата част от съдружниците отговорността не е ограничена (неограничено отговорни съдружници).

(2)Освен ако в настоящия раздел не е предвидено друго, разпоредбите за събирателните дружества намират приложение и за командитните дружества“.

10 Член 162, параграф 1 от този кодекс има следния текст:

„Заявлението за вписване на дружеството трябва да съдържа, освен предвидените в член 106, параграф 2 данни [(а именно фамилното и собственото име, датата на раждане и местоживеенето на всеки съдружник)], и имената на командитистите и размера на вноската на всеки от тях. […]“.

11 Член 127a, параграфи 1 и 3 от Aktiengesetz (Закон за акционерните дружества), в редакцията си, приложима към споровете по главните производства, гласи:

„(1)Акционери или сдружения на акционери могат да приканват други акционери във форума на акционерите в Bundesanzeiger [(германския Федерален официален вестник)] да внесат заедно или чрез пълномощник молба или искане по този закон или да упражнят правото си на глас на общо събрание.

[…] (3)Поканата може да препраща към изложение на мотивите на уебсайта на лицето, отправило поканата, и към неговия електронен адрес. […]“.

12 Член 33, параграф 1, първо изречение от Wertpapierhandelsgesetz (Закон за търговията с ценни книжа), в редакцията си, приложима към споровете по главните производства, предвижда:

„Всяко лице, което чрез придобиване, разпореждане или по друг начин достигне, надхвърли или падне под 3, 5, 10, 15, 20, 25, 30, 50 или 75 процента от правата на глас, свързани с принадлежащите му акции в емитент, за който Федерална република Германия е държава по произход (задължено да направи уведомлението лице), трябва да уведоми незабавно емитента и едновременно с това германския федерален орган най-късно в срок от четири работни дни и при спазване на член 34, параграфи 1 и 2. […]“.

Споровете в главните производства и преюдициалните въпроси

13 От актовете за преюдициално запитване е видно, че HTB и Ökorenta са инвестиционни дружества, всяко от които чрез дружество за доверително управление притежава непряко участие в инвестиционни фондове. Тези инвестиционни фондове са организирани под формата на командитно дружество, а именно персонално дружество, което набира капитал чрез публична подписка. Участието в капитала на тези командитни дружества е структурирано като финансова инвестиция. Когато това участие е непряко, съдружниците упражняват правата си посредством дружества за дялово участие — доверителни собственици.

14 Ищците по главните производства искат от ответниците по тях, които са дружества за дялово участие — доверителни собственици, разкриването на имената и адресите на всички техни съдружници, които притежават непряко участие в съответните инвестиционни фондове посредством дружества за доверително управление.

15 Ответниците по главните производства се противопоставят на такова разкриване, защото считат, че поисканите данни са предназначени да служат за собствените икономически интереси на ищците по главните производства, изразяващи се в рекламиране на собствените им инвестиционни продукти, или за да притесняват инвеститорите, или за да изкупят дяловете им на занижена спрямо стойността им цена и чрез последваща препродажба да реализират печалба. Договорите за дялово участие и за доверително управление обаче, по силата на които съдружниците на ответниците по главните производства са придобили непреки дялови участия в съответните инвестиционни фондове, съдържали клаузи, забраняващи съобщаването на посочените данни на други притежатели на дялови участия.

16 Ищците по главните производства отричат да имат такива намерения, и изтъкват правото си да се свържат с другите командитисти, притежаващи дялове в съответните инвестиционни фондове, по-конкретно за да договарят изкупуване на дяловете им.

17 Запитващата юрисдикция подчертава по същество, че в съответствие с практиката на Bundesgerichtshof (Федерален върховен съд, Германия) и на Oberlandesgericht München (Висш областен съд Мюнхен, Германия) разкриването на поисканите от ищците по главните производства лични данни би могло да се окаже задължително. Същевременно посочената юрисдикция отбелязва, че тъй като тази съдебна практика е отчасти предхождаща влизането в сила на ОРЗД, може да се наложи тя да бъде преценена по различен начин в случая, като се вземе предвид член 6, параграф 1, първа алинея, букви б) и е) от този регламент, чието тълкуване е определящо за решаването на споровете по главните производства.

18 По-конкретно, запитващата юрисдикция изтъква, че от определението на Bundesgerichtshof (Федерален върховен съд) от 19 ноември 2019 г. (II ZR 263/18) следва, че в персонално дружество, каквото е командитното, правото на всеки съдружник да научи името и адреса на другите съдружници, е част от „неотменимото основно ядро на правата на съдружниците“. Това право важало и за командитистите, които притежават само непреки дялови участия. Всъщност познаването на всички останали съдружници, включително тези, които притежават непреки дялови участия, било необходимо за ефективното упражняване на правата, притежавани от всеки съдружник в персонално дружество, което набира капитал чрез публична подписка. Следователно разкриването на тези данни на останалите съдружници било в съответствие със задълженията на дружеството по силата на дружествения договор, с който е учредено. Единственото изключение от правото да се получат такива данни, в германското право било забраната на злоупотребата с право, според която това право на информация не може да се упражнява неправомерно или с вредоносно намерение.

19 По силата на практиката на Bundesgerichtshof (Федерален върховен съд) при всички случаи се изключвала злоупотребата с право, когато инвеститор търси контакт с други инвеститори, за да обсъди с тях засягащи дружеството въпроси и при необходимост — да организира общност от инвеститори с общи интереси. Освен това не следвало да се отказва предоставянето на информация относно съдружник с мотива, че съществува само абстрактен риск от злоупотреба с тези лични данни. Впрочем всеки съдружник трябвало да има пряк достъп до данните на другите съдружници в дружеството, без да зависи от ръководните органи на същото.

20 От тази съдебна практика следвало също, че такова право на информация не може да бъде изключено с договорни разпоредби, тъй като в противен случай на практика би било отнето съществено право на съдружниците, а именно да се свиква извънредно събрание на съдружниците, тъй като необходимите за тази цел кворуми могат да бъдат постигнати от съдружник, който притежава неголямо дялово участие, само ако се присъедини към други съдружници, което задължително предполага той да знае имената и адресите им (определение на Bundesgerichtshof (Федерален върховен съд) от 21 септември 2009 г. (II ZR 264/08). Според цитираната съдебна практика съображение 48 от ОРЗД обосновава също така в рамките на група предприятия личните данни на всички съдружници да могат да се предадат на един от тях за вътрешни административни цели.

21 Според запитващата юрисдикция практиката на Bundesgerichtshof (Федерален върховен съд) по този начин закрепва съществуването по принцип на право на информация на съдружниците, което се ограничава единствено от злоупотребата с право.

22 Запитващата юрисдикция се позовава и на решение от 16 януари 2019 г. на Oberlandesgericht München (Висш областен съд Мюнхен, Германия) (7 U 342/18), според което основният предмет на дружествения договор е упражняването на правата на съдружниците, включително това да се укрепи тяхното положение в рамките на дружеството. Така закупуването на дружествени дялове представлява законно упражняване на тези права и разкриването на информация за тази цел относно останалите съдружници съответства на разумен интерес. Такова разкриване обаче трябва да бъде отказвано само ако не цели удовлетворяването на никакъв разумен интерес.

23 Запитващата юрисдикция изпитва съмнения относно съвместимостта на практиката на Bundesgerichtshof (Федерален върховен съд) и Oberlandesgericht (Висш областен съд Мюнхен) с правото на Съюза, доколкото тя позволява широко разкриване на личните данни на съдружниците, които притежават непреки дялови участия в инвестиционен фонд, въз основа на чисто формалното твърдение за интерес на останалите съдружници да получат такива данни, например с оглед на придобиване на дялови участия.

24 Всъщност тя счита, че по силата на правото на Съюза защитата на личните данни е правилото, така че изключението от този принцип, предвидено по-специално в член 6, параграф 1, първа алинея, букви б) и е) от ОРЗД, което позволява да се разреши разкриването на тези данни, трябва да се основава на „достатъчна обосновка“. Тази юрисдикция твърди по-нататък, че в германското право не съществува никакво правно задължение за публикуване на данни за лицата, които притежават дялови участия в дружество за доверително управление. Така запитващата юрисдикция иска да се установи дали правото на достъп до данните на съдружниците не трябва да е обусловено, от една страна, от наличието на определен праг на дялово участие по аналогия с предвиденото в германското право по отношение на акционерните дружества, котирани на фондовата борса, и от друга страна, от конкретна и точна причина, свързана с дружеството, за чиито съдружници се иска такава информация.

25 При това положение Amtsgericht München (Районен съд Мюнхен, Германия) решава да спре производствата по двете дела и да постави на Съда следните идентични преюдициални въпроси:

„1) a) Трябва ли член 6, параграф 1, [първа алинея], букви б) и е) от [ОРЗД] да се тълкува в смисъл, че по отношение на персонално дружество[, което набира капитал чрез публична подписка,] е достатъчно само участието в капитала на дружеството в качеството на съдружник, който не е лично, а само ограничено отговорен и не е управител, за да се признае наличието на „законен интерес“ да получи информация за всички съдружници с непряко, опосредствано от доверителен собственик участие в дружеството, за техните данни за контакт и тяхното участие в капитала на персоналното дружество и за да се изведе съответно договорно задължение от дружествения договор,

б) или при тези обстоятелства законният интерес се ограничава до получаване на информация от дружеството за онези съдружници с непряко участие, които са отговорни само до размера, който не е малък, и притежават минимален дял, който най-малкото им дава възможност да оказват влияние върху развитието на дружеството?

2) a) Достатъчно ли е, в хипотезата на такова неограничено право [въпрос 1) а)], за да не се наруши вътрешноприсъщата на последното забрана за злоупотреба с право, или за да се направи изключение от ограничаването на ограничено право на информация [въпрос 1) б)], наличието на намерение за установяване на контакт с цел запознаване, обмен на мнения или преговори за [из]купуване на дружествени дялове,

б) или интерес от получаване на данни може да се приеме за релевантен само когато се иска съобщаване на такива с изричното намерение за осъществяване на контакт с други съдружници, за да се търси координация с тях с оглед на конкретно назовани цели, които правят необходимо общо волеизявление в рамките на решения на съдружниците?“.

Производството пред Съда

26 С решение от 23 септември 2022 г. председателят на Съда спира настоящото производство до постановяването на решение, с което се слага край на производството по дело C‑252/21.

27 В съответствие с решението на председателя на Съда от 7 юли 2023 г. секретарят на Съда изпраща на запитващата юрисдикция решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа) (C‑252/21, EU:C:2023:537), като я приканва да посочи, предвид това решение, дали поддържа изцяло или отчасти своите преюдициални запитвания.

28 С писмо от 4 август 2023 г., постъпило в секретариата на Съда същия ден, тази юрисдикция заявява, че поддържа преюдициалните си запитвания.

По преюдициалните въпроси

29 С въпросите си, които следва да се разгледат заедно, запитващата юрисдикция по същество иска да се установи дали член 6, параграф 1, първа алинея, букви б) и е) от ОРЗД трябва да се тълкува в смисъл, че обработване на лични данни, състоящо се в разкриване по искане на съдружник в инвестиционен фонд, учреден под формата на персонално дружество, което набира капитал чрез публична подписка, на информация за всички съдружници, които притежават непреки дялови участия в този фонд посредством дружества за доверително управление, независимо от размера на дяловото им участие в капитала на посочения фонд, с цел да установи контакт и да преговаря с тях за изкупуване на дружествените им дялове или още да се координира с тях с цел формиране на общо волеизявление при вземане на решения от съдружниците, може да се счита за необходимо за изпълнението на договор, по който субектите на данни са страни по смисъла на тази буква б), или за целите на легитимните интереси на администратора или на трета страна по смисъла на тази буква е).

30 Тъй като от актовете за преюдициално запитване е видно, че запитващата юрисдикция иска да се установи дали е съвместимо с ОРЗД задължението за разкриване на такива данни, произтичащо в германското право от практиката на националните съдилища, поставените въпроси следва да се преформулират като обхващащи тълкуването на член 6, параграф 1, първа алинея, буква в) от този регламент и да се приеме, че с въпросите си запитващата юрисдикция иска също да се установи дали такова разкриване може да се разглежда като произтичащо от законово задължение, което се прилага спрямо администратора.

31 За да се отговори на тези въпроси, е важно в самото начало да се припомни, че преследваната с ОРЗД цел, която произтича от член 1 и от съображения 1 и 10 от него, е в частност да се гарантира висока степен на защита на основните права и свободи на физическите лица, и по-специално на правото им на личен живот при обработването на лични данни, закрепено в член 8, параграф 1 от Хартата и в член 16, параграф 1 ДФЕС (решение от 7 март 2024 г., IAB Europe, C‑604/22, EU:C:2024:214, т. 53 и цитираната съдебна практика).

32 В съответствие с тази цел всяко обработване на лични данни трябва да е в съответствие по-конкретно с принципите за обработване на тези данни, прогласени в член 5 от този регламент, и да отговаря на изискванията за законосъобразност, изброени в член 6 от същия регламент (вж. в този смисъл решения от 6 октомври 2020 г., La Quadrature du Net и др., C‑511/18, C‑512/18 и C‑520/18, EU:C:2020:791, т. 208, и от 11 юли 2024 г., Meta Platforms Ireland (Представителен иск),C‑757/22, EU:C:2024:598, т. 49).

33 В това отношение трябва да се подчертае, че по силата на член 5, параграф 1, буква а) от ОРЗД личните данни са обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните.

34 По-конкретно, що се отнася до условията за законосъобразност на обработването, както е постановил Съдът, член 6, параграф 1, първа алинея от ОРЗД съдържа изчерпателен списък на случаите, в които обработването на лични данни може да се счита за законосъобразно. Така, за да се счита за законосъобразно, обработването трябва да попада в някой от случаите, предвидени в тази разпоредба (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 90).

35 С оглед на особеностите на споровете по главните производства е важно да се отбележи, че сам по себе си този член 6, параграф 1, първа алинея не предписва задължение, а дава възможност да се извърши обработка на лични данни в случаите, изброени в него (вж. по аналогия решение от 4 май 2017 г., Rīgas satiksme, C‑13/16, EU:C:2017:336, т. 26).

36 Съгласно член 6, параграф 1, първа алинея, буква а) от ОРЗД обработването на лични данни е законосъобразно, ако и доколкото субектът на данните е дал съгласие за това за една или повече конкретни цели. Когато липсва такова съгласие или когато съгласието не е свободно изразено, конкретно, информирано и недвусмислено по смисъла на член 4, точка 11 от този регламент, подобно обработване все пак е обосновано, ако отговаря на някое от изискванията за необходимост, упоменати в член 6, параграф 1, първа алинея, букви б)—е) от посочения регламент.

37 В този контекст, доколкото могат да доведат до законосъобразност на обработването на лични данни, извършено без съгласието на субекта на данни, предвидените в последната разпоредба основания трябва да са предмет на стриктно тълкуване (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 93 и цитираната съдебна практика).

38 По-нататък, както е постановил Съдът, когато е възможно да се констатира, че дадено обработване на лични данни е необходимо от гледна точка на едно от основанията, предвидени в член 6, параграф 1, първа алинея, букви б)—е) от ОРЗД, не се налага да се проверява дали това обработване попада в обхвата и на друго от тези основания (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 94 и цитираната съдебна практика).

39 Съдът е постановил също, че съгласно член 5 от ОРЗД администраторът носи тежестта да докаже, че тези данни се събират по-специално за конкретни, изрично указани и легитимни цели и се обработват законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните. Освен това съгласно член 13, параграф 1, буква в) от този регламент, когато лични данни се събират от субекта на данните, администраторът трябва да го информира за целите на обработването, за което личните данни са предназначени, както и за правното основание за обработването (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 95).

40 В конкретния случай от предадената на Съда преписка е видно, че съдружниците, които притежават непреки дялови участия в съответните инвестиционни фондове посредством дружества за доверително управление, не са дали съгласието си по смисъла на член 6, параграф 1, първа алинея, буква а) от ОРЗД за това ответниците по главните производства да разкриват техните лични данни на трети лица, по-конкретно на HTB и Ökorenta.

41 При тези условия, за да се отговори на поставените въпроси, е важно да се провери дали може да се направи позоваване на разпоредбите на член 6, параграф 1, първа алинея, букви б) и е) от този регламент, изрично посочени в преюдициалните запитвания, за да се обоснове евентуалното разкриване на такива данни на тези трети лица.

42 Що се отнася, на първо място, до член 6, параграф 1, първа алинея, буква б) от ОРЗД, той предвижда, че обработването на лични данни е законосъобразно, ако е „необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор“.

43 В това отношение Съдът вече е постановил, че за да се счита за необходимо за изпълнението на договор по смисъла на тази разпоредба, обработването на лични данни трябва да е обективно необходимо за постигането на цел, която е неразделна част от предназначената за субекта на данни договорна престация. Ето защо администраторът трябва да може да докаже доколко основната цел на договора не би могла да бъде постигната без разглежданото обработване (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 98).

44 Всъщност, както Съдът също така е постановил, определящо за прилагането на основанието по член 6, параграф 1, първа алинея, буква б) от ОРЗД е, че обработването на лични данни от администратора е основополагащо за точното изпълнение на договора, сключен между него и субекта на данни, и че следователно не съществуват възможни алтернативни варианти, при които намесата е по-слаба (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 99).

45 В конкретния случай от актовете за преюдициално запитване е видно, че разглежданите по главното производство договори за дялово участие и за доверително управление, по силата на които в съответните инвестиционни фондове са придобити непреки дялови участия, изрично предвиждат забрана за съобщаване на данните на непреките инвеститори на други притежатели на дялови участия.

46 В това отношение трябва да се отбележи, че същностната характеристика на придобиването посредством дружество за доверително управление на непряко дялово участие в инвестиционен фонд, който набира капитал чрез публична подписка, е точно анонимността на съдружниците, включително в отношенията между самите съдружници. С други думи, лицата избират да направят финансова инвестиция в инвестиционен фонд под формата на дялово участие, притежавано посредством дружество за дялово участие — доверителен собственик, именно като имат предвид, че такъв фонд третира техните данни като поверителни.

47 Вследствие на това и при условие запитващата юрисдикция да направи необходимите проверки, обработването на лични данни, което се изразява в разкриването на данните на съдружниците, притежаващи посредством дружество за доверително управление непряко дялово участие в инвестиционен фонд, който набира капитал чрез публична подписка, не може да се счита за „необходимо за изпълнението на договор“ по смисъла на член 6, параграф 1, първа алинея, буква б) от ОРЗД, когато договорът в основата на придобиването на такова участие изрично изключва съобщаването на тези данни на други притежатели на дялово участие.

48 На второ място, колкото до член 6, параграф 1, първа алинея, буква е) от ОРЗД, той предвижда, че обработването на лични данни е законосъобразно, ако е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на тези лични данни.

49 Както Съдът вече е постановил, тази разпоредба предвижда три кумулативни условия, за да бъде обработването на лични данни законосъобразно, а именно, първо, администраторът или третото лице да преследва легитимни интереси, второ, обработването на личните данни да е необходимо за целите на преследваните легитимни интереси и трето, основните интереси, свободи или права на лицето, ползващо се от защитата на данните, да нямат преимущество (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 106 и цитираната съдебна практика).

50 Що се отнася, първо, до условието за преследване на „легитимни интереси“, при липсата на определение на това понятие в ОРЗД следва да се подчертае, както Съдът вече е постановил, че широк кръг от интереси по принцип могат да се считат за легитимни (решение от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатък по задължение),C‑26/22 и C‑64/22, EU:C:2023:958, т. 76).

51 Второ, що се отнася до условието обработването на лични данни да е необходимо за целите на преследваните легитимни интереси, то изисква запитващата юрисдикция да провери дали легитимният интерес от обработването на данните не може разумно да се постигне също толкова ефикасно с други средства, които засягат в по-малка степен основните права и свободи на субектите на данни, и по-специално правата на зачитане на личния живот и на защита на личните данни, гарантирани с членове 7 и 8 от Хартата (решение от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатък по задължение),C‑26/22 и C‑64/22, EU:C:2023:958, т. 77 и цитираната съдебна практика).

52 В този контекст следва да се припомни също, че условието обработването да е необходимо, трябва да се разглежда заедно с принципа за т.нар. „свеждане на данните до минимум“, прогласен в член 5, параграф 1, буква в) от ОРЗД, според който личните данни трябва да бъдат „подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват“ (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 109 и цитираната съдебна практика).

53 Накрая, трето, що се отнася до условието интересите или основните права и свободи на лицето, ползващо се от защитата на данните, да нямат преимущество пред легитимния интерес на администратора или на трета страна, Съдът вече е постановил, че това условие предполага претегляне на съответните противоположни права и интереси, което по принцип зависи от конкретните обстоятелства в отделния случай, и че следователно запитващата юрисдикция следва да направи това претегляне, като отчете тези специфични обстоятелства (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 110 и цитираната съдебна практика).

54 Освен това, както следва от съображение 47 от ОРЗД, интересите и основните права на субекта на данни могат по-конкретно да имат преимущество пред интереса на администратора, когато личните данни се обработват при обстоятелства, при които субектите на данни основателно не очакват такова обработване (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 112).

55 Ето защо, въпреки че в последна сметка запитващата юрисдикция трябва да прецени дали по отношение на разглежданото в главните производства обработване на лични данни са изпълнени трите условия, припомнени в точка 49 от настоящото решение, когато се произнася по преюдициално запитване, Съдът може в решението си да даде пояснения с цел да насочи тази юрисдикция при произнасянето ѝ (решения от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 96, и от 7 декември 2023 г., SCHUFA Holding (Освобождаване от остатък по задължение),C‑26/22 и C‑64/22, EU:C:2023:958, т. 81 и цитираната съдебна практика).

56 В случая, що се отнася, първо, до условието, свързано с преследването на легитимен интерес на администратора или на трета страна по смисъла на член 6, параграф 1, първа алинея, буква е) от ОРЗД, запитващата юрисдикция изтъква интереса на трета страна, а именно интерес на съдружник, притежаващ непряко дялово участие в инвестиционен фонд, учреден под формата на командитно дружество, което набира капитал чрез публична подписка, от получаването на личните данни на останалите непреки съдружници в това дружество с цел да установи контакт с последните или да преговаря с тях за изкупуване на дружествените им дялове, или още да се координира с тях с цел формиране на общо волеизявление при вземането на решения от всички съдружници.

57 Следва да се констатира, че такъв интерес по принцип би могъл да представлява легитимен интерес по смисъла на член 6, параграф 1, първа алинея, буква е) от ОРЗД за целите на разкриването на лични данни, в частност предвид статута на това дружество, произтичащ от националното право на съответната държава членка, и независимо от размера на дяловото участие и правомощията, с които съдружникът, направил искането за разкриване на данни, разполага в дружеството. Запитващата юрисдикция обаче трябва да прецени във всеки отделен случай наличието на такъв интерес, като вземе предвид приложимата правна уредба и всички обстоятелства по делото.

58 В хипотезата, при която е налице такъв легитимен интерес, за да може преследването на този интерес да позволи обработване на лични данни на основание член 6, параграф 1, първа алинея, буква е) от ОРЗД, следва също така администраторът да спазва всички останали задължения, които има по силата на този регламент.

59 Второ, относно условието, свързано с необходимостта от това обработване за постигането на посочения интерес и по-конкретно, от наличието на средства, които засягат в по-малка степен основните права и свободи на субектите на данни, но са също толкова подходящи, следва да се констатира, че в частност ще бъде възможно за съдружника в инвестиционен фонд, който желае да получи данни за друг съдружник с непряко дялово участие в този фонд посредством дружество за доверително управление, да поиска направо от посочения фонд или от това дружество да предаде искането му на съответния съдружник с цел да се запознае или да обмени мнения с него. Последният може след това свободно да реши дали желае да се свърже с отправилия искането съдружник, или предпочита да не предприема действия в отговор на такова искане и да запази анонимността си. Такова решение би могло да се приложи и в случай че направилият искането съдружник желае да започне преговори с друг съдружник за изкупуване на дяловете му или да се координира с него за формиране на общо волеизявление при вземането на решения от всички съдружници.

60 Това решение би позволило впрочем на съдружника, за когото се отнася искането за разкриване на данни, в съответствие с принципа на свеждане на данните до минимум, посочен в точка 52 от настоящото решение, да запази контрола върху обработването на личните си данни и по този начин да ограничи разкриването им на друг съдружник до това, което е действително необходимо и релевантно с оглед на целите, за които тези данни се искат и обработват.

61 При това положение не може да се изключи възможността процедура като описаната в предходната точка да се счита за мярка, която засяга в по-малка степен правото на защита на поверителността на личните данни на субекта на данни, като същевременно позволява на администратора да преследва по също толкова ефикасен начин законния интерес на съответното трето лице, което обаче запитващата юрисдикция следва да провери.

62 Трето, що се отнася до претеглянето на интереси, което запитващата юрисдикция следва да извърши, като отчете специфичните обстоятелства по конкретния случай, тази юрисдикция трябва да отчете по-конкретно основателните очаквания на субекта на данни, както и обхвата на съответното обработване и отражението му върху този субект (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 116).

63 От това следва, че при такова претегляне, от една страна, по принцип не може да се изключи възможността разкриването на лични данни за съдружници, макар и непреки, в персонално дружество, на други съдружници да служи съответно на икономическите интереси на всеки един от тях, а следователно и на интересите на непреките съдружници, до личните данни на които тези други съдружници искат да получат достъп.

64 От друга страна, не може да се изключи и възможността интересът на съдружниците, които имат непряко дялово участие в инвестиционен фонд, от това личните им данни да останат поверителни, да има преимущество пред този на останалите съдружници, които искат да получат техните данни за контакт. От тази гледна точка следва да се придаде особено значение на факта, че с оглед по-специално на договорните разпоредби, споменати в точка 45 от настоящото решение, е вероятно непреките съдружници в такъв инвестиционен фонд да не са могли разумно да очакват, към момента на събирането на личните им данни, същите да бъдат разкрити пред трети лица, в случая — пред други непреки съдружници в този инвестиционен фонд.

65 От всички гореизложени съображения и без да се засяга окончателната преценка, която запитващата юрисдикция трябва да направи в това отношение, произтича, че изглежда съмнително обработване на лични данни като разкриването на поисканите от ищците по главните производства данни да може да бъде обосновано като легитимен интерес по смисъла на член 6, параграф 1, първа алинея, буква е) от ОРЗД.

66 Що се отнася, на трето място, до член 6, параграф 1, първа алинея, буква в) от ОРЗД, той предвижда, че обработването на лични данни е законосъобразно, ако е необходимо за спазването на законово задължение, което се прилага спрямо администратора.

67 Член 6, параграф 3 от ОРЗД уточнява в това отношение, че обработването трябва да се основава на правото на Съюза или на правото на държавата членка, което се прилага спрямо администратора, и че това правно основание трябва да е съобразено с обществения интерес и да е пропорционално на преследваната легитимна цел (решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа), C‑252/21, EU:C:2023:537, т. 128).

68 По-нататък, както гласи съображение 41 от този регламент, когато в него се прави позоваване на правно основание или законодателна мярка, това не налага непременно приемането на законодателен акт от парламент, без да се засягат изискванията съгласно конституционния ред на съответната държава членка. Правното основание или законодателната мярка обаче следва да бъдат ясни и точни и прилагането им да бъде предвидимо за правните субекти, както изисква съдебната практика на Съда и на Европейския съд по правата на човека.

69 В настоящия случай, от една страна, правото на Съюза не предвижда никакво задължение за инвестиционни фондове или за дружества за дялово участие — доверителни собственици, като тези по делата в главните производства да разкриват личните данни на съдружниците, притежаващи непреки дялови участия в тези фондове.

70 От друга страна, от актовете за преюдициално запитване е видно, че подобно задължение все пак би могло да бъде изведено — без да се засягат проверките, които запитващата юрисдикция трябва да извърши в това отношение — от практиката на Bundesgerichtshof (Федерален върховен съд) и Oberlandesgericht München (Висш областен съд Мюнхен), по силата на която договорните клаузи, гарантиращи поверителността на данните за контакт на непреките съдружници в персонално дружество, което набира капитал чрез публична подписка, като разглежданите по главните производства трябва да се считат за нищожни, така че подлежат на разкриване личните данни на съдружниците, притежаващи непреки дялови участия в инвестиционен фонд, учреден под формата на командитно дружество, което набира капитал чрез публична подписка.

71 В това отношение е важно да се отбележи, че в съответствие с изложеното в точка 68 от настоящото решение не може да се изключи, че „правото на държавата членка, което се прилага спрямо администратора“ по смисъла на член 6, параграф 3, буква б) от ОРЗД, обхваща и националната съдебна практика.

72 Същевременно, както е видно от съображение 41 от този регламент, в съответствие с практиката на Съда се изисква такава съдебна практика да е ясна и точна, а прилагането ѝ да е предвидимо за правните субекти.

73 По-нататък, съгласно съдебната практика, припомнена в точка 67 от настоящото решение, тази съдебна практика трябва освен това да представлява правно основание, което да отговаря на цел от обществен интерес, да е пропорционална и съответното обработване да се извършва в границите на стриктно необходимото, което запитващата юрисдикция следва да провери (вж. в този смисъл решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа) (C‑252/21, EU:C:2023:537, т. 134 и 138).

74 Така тази юрисдикция следва да определи по-специално дали не съществуват мерки, които, като позволяват да се гарантира прозрачност между съдружниците в персонални дружества, както, изглежда, произтича от германското право, както бе изложено в точки 18—22 от настоящото решение, биха засегнали защитата на поверителните лични данни на непреките съдружници в командитни дружества, които набират капитал чрез публична подписка, в по-малка степен, отколкото задължението за разкриване на тези данни на всеки друг съдружник, който поиска това.

75 С оглед на всичко гореизложено на поставените въпроси следва да се отговори, че член 6, параграф 1, първа алинея, буква б) от ОРЗД трябва да се тълкува в смисъл, че обработване на лични данни, състоящо се в разкриване по искане на съдружник в инвестиционен фонд, учреден под формата на персонално дружество, което набира капитал чрез публична подписка, на данни за всички съдружници, които притежават непреки дялови участия в този фонд посредством дружества за доверително управление, независимо от размера на дяловото им участие в капитала на посочения фонд, за да се свърже и договори с тях изкупуването на техните дружествени дялове, или още да се координира с тях, за да формират общо волеизявление при вземането на решения от всички съдружници, може да се счита за необходимо, по смисъла на тази разпоредба, за изпълнението на договор, по силата на който тези съдружници са придобили такива дялови участия, само при условие че това обработване е обективно необходимо за постигането на цел, която е неразделна част от предназначената за същите съдружници договорна престация, така че основният предмет на договора не би могъл да бъде постигнат без това обработване. Случаят не е такъв, ако този договор изрично изключва предоставянето на тези лични данни на други притежатели на дялови участия.

76 Член 6, параграф 1, първа алинея, буква е) от ОРЗД трябва да се тълкува в смисъл, че такова обработване може да се счита за необходимо за целите на легитимните интереси, преследвани от трето лице по смисъла на тази разпоредба, само при условие че обработването е стриктно необходимо за реализирането на такъв легитимен интерес и че с оглед на всички релевантни обстоятелства интересите или основните права и свободи на посочените съдружници нямат преимущество пред този легитимен интерес.

77 Член 6, параграф 1, първа алинея, буква в) от ОРЗД трябва да се тълкува в смисъл, че посоченото обработване на лични данни е обосновано съгласно тази разпоредба, когато е необходимо за спазването на законово задължение, което се прилага спрямо администратора съгласно правото на съответната държава членка, както е уточнено в съдебната практика на тази държава членка, при условие че тази съдебна практика е ясна и точна, прилагането ѝ е предвидимо за правните субекти и тя отговаря на цел от обществен интерес и е пропорционална на същата.

По съдебните разноски

78 С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

Поради изложените съображения Съдът (четвърти състав) реши:

1) Член 6, параграф 1, първа алинея, буква б) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)

трябва да се тълкува в смисъл, че

обработване на лични данни, състоящо се в разкриване по искане на съдружник в инвестиционен фонд, учреден под формата на персонално дружество, което набира капитал чрез публична подписка, на данни за всички съдружници, които притежават непреки дялови участия в този фонд посредством дружества за доверително управление, независимо от размера на дяловото им участие в капитала на посочения фонд, за да се свърже и договори с тях изкупуването на техните дружествени дялове, или още да се координира с тях, за да формират общо волеизявление при вземането на решения от всички съдружници, може да се счита за необходимо, по смисъла на тази разпоредба, за изпълнението на договор, по силата на който тези съдружници са придобили такива дялови участия, само при условие че това обработване е обективно необходимо за постигането на цел, която е неразделна част от предназначената за същите съдружници договорна престация, така че основният предмет на договора не би могъл да бъде постигнат без това обработване. Случаят не е такъв, ако този договор изрично изключва предоставянето на тези лични данни на други притежатели на дялови участия.

2) Член 6, параграф 1, първа алинея, буква е) от Регламент 2016/679

трябва да се тълкува в смисъл, че

такова обработване може да се счита за необходимо за целите на легитимните интереси, преследвани от трето лице по смисъла на тази разпоредба, само при условие че обработването е стриктно необходимо за реализирането на такъв легитимен интерес и че с оглед на всички релевантни обстоятелства интересите или основните права и свободи на посочените съдружници нямат преимущество пред този легитимен интерес.

3) Член 6, параграф 1, първа алинея, буква в) от Регламент 2016/679

трябва да се тълкува в смисъл, че

посоченото обработване на лични данни е обосновано съгласно тази разпоредба, когато е необходимо за спазването на законово задължение, което се прилага спрямо администратора съгласно правото на съответната държава членка, както е уточнено в съдебната практика на тази държава членка, при условие че тази съдебна практика е ясна и точна, прилагането ѝ е предвидимо за правните субекти и тя отговаря на цел от обществен интерес и е пропорционална на същата.

Подписи

( *1 ) Език на производството: немски.