Acórdão do Tribunal de Justiça da União Europeia
Processo C-200/23

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Primeira Secção)

4 de outubro de 2024 (*)

« Reenvio prejudicial — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento (UE) 2016/679 — Publicação, no registo comercial, de um contrato de sociedade com dados pessoais — Diretiva (UE) 2017/1132 — Dados pessoais não obrigatórios — Falta de consentimento do titular dos dados — Direito ao apagamento — Dano imaterial »

No processo C‑200/23,

que tem por objeto um pedido de decisão prejudicial apresentado, nos termos do artigo 267.° TFUE, pelo Varhoven administrativen sad (Supremo Tribunal Administrativo, Bulgária), por Decisão de 21 de março de 2023, que deu entrada no Tribunal de Justiça em 28 de março de 2023, no processo

Agentsia po vpisvaniyata

contra

OL,

sendo interveniente:

Varhovna administrativna prokuratura,

O TRIBUNAL DE JUSTIÇA (Primeira Secção),

composto por: A. Arabadjiev, presidente de secção, T. von Danwitz (relator), P. G. Xuereb, A. Kumin e I. Ziemele, juízes,

advogado‑geral: L. Medina,

secretário: R. Stefanova‑Kamisheva, administradora,

vistos os autos e após a audiência de 7 de março de 2024,

vistas as observações apresentadas:

– em representação da Agentsia po vpisvaniyata, por I. D. Ivanov e D. S. Miteva, assistidos por Z. N. Mandazhieva, advokat,

– em representação de OL, por si própria, assistida por I. Stoynev e T. Tsonev, advokati,

– em representação do Governo Búlgaro, por T. Mitova e R. Stoyanov, na qualidade de agentes,

– em representação do Governo Alemão, por J. Möller e P.‑L. Krüger, na qualidade de agentes,

– em representação da Irlanda, por M. Browne, Chief State Solicitor, A. Joyce, M. lane e M. Tierney, na qualidade de agentes, assistidos por I. Boyle Harper, BL,

– em representação do Governo Italiano, por G. Palmieri, na qualidade de agente, assistida por G. Natale, avvocato dello Stato,

– em representação do Governo Polaco, por B. Majczyna, na qualidade de agente,

– em representação do Governo Finlandês, por A. Laine, na qualidade de agente,

– em representação da Comissão Europeia, por A. Bouchagiar, C. Georgieva, H. Kranenborg e L. Malferrari, na qualidade de agentes,

ouvidas as conclusões da advogada‑geral na audiência de 30 de maio de 2024,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação dos artigos 3.° e 4.° da Diretiva 2009/101/CE do Parlamento Europeu e do Conselho, de 16 de setembro de 2009, tendente a coordenar as garantias que, para proteção dos interesses dos sócios e de terceiros, são exigidas nos Estados‑Membros às sociedades, na aceção do segundo parágrafo do artigo 48. [CE], a fim de tornar equivalentes essas garantias em toda a Comunidade (JO 2009, L 258, p. 11), bem como dos artigos 4.°, 6.°, 17.°, 58.° e 82.° do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um litígio que opõe a Agentsia po vpisvaniyata (Agência de Registos, Bulgária) (a seguir «Agência») a OL, a propósito da recusa desta Agência de eliminar determinados dados pessoais relativos a OL que figuram num contrato de sociedade publicado no registo comercial.

Quadro jurídico

Direito da União

Diretiva (UE) 2017/1132

3 A Diretiva (UE) 2017/1132 do Parlamento Europeu e do Conselho, de 14 de junho de 2017, relativa a determinados aspetos do direito das sociedades (JO 2017, L 69, p. 46), revogou e substituiu a Diretiva 2009/101, a partir da data da sua entrada em vigor, a saber, 20 de julho de 2017.

4 Os considerandos 1, 7, 8 e 12 da Diretiva 2017/1132 enunciam:

«(1) As Diretivas [2009/101] e 2012/30/UE [do Parlamento Europeu e do Conselho, de 25 de outubro de 2012, tendente a coordenar as garantias que, para proteção dos interesses dos sócios e de terceiros, são exigidas nos Estados‑Membros às sociedades, na aceção do segundo parágrafo do artigo 54.° TFUE, no que respeita à constituição da sociedade anónima, bem como à conservação e às modificações do seu capital social, a fim de tornar equivalentes essas garantias em toda a Comunidade (JO 2012, L 315, p. 74)] foram várias vezes alteradas de modo substancial. [...] Por motivos de clareza e lógica, deverá proceder‑se à codificação das referidas diretivas.

[...]

(7) A coordenação das disposições nacionais respeitantes à publicidade, à validade das obrigações contraídas por sociedades por ações e por sociedades de responsabilidade limitada e à invalidade destas reveste particular importância, nomeadamente para assegurar a proteção dos interesses de terceiros.

(8) A publicidade deverá permitir que os terceiros conheçam os atos essenciais de uma sociedade e certas indicações a ela respeitantes, nomeadamente a identidade das pessoas que têm o poder de a vincular.

[...]

(12) O acesso transfronteiriço às informações sobre as sociedades deverá ser facilitado, permitindo, para além da publicidade obrigatória numa das línguas autorizadas no Estado‑Membro das sociedades em causa, o registo voluntário noutras línguas dos documentos e indicações obrigatórios. Os terceiros de boa‑fé deverão poder invocar essas traduções.»

5 Incluído na secção 1 do capítulo II do título I da Diretiva 2017/1132, sob a epígrafe «Constituição da sociedade anónima», o artigo 4.° desta diretiva, sob a epígrafe «Informação obrigatória a fornecer nos estatutos, nos atos constitutivos ou em documentos separados», dispõe:

«Pelo menos as indicações seguintes devem figurar nos estatutos, no ato constitutivo ou num documento separado, que deve ser objeto de publicidade efetuada segundo os procedimentos previstos pela legislação de cada Estado‑Membro, nos termos do artigo 16.°:

[...]

i) A identidade das pessoas singulares ou coletivas ou das sociedades que subscreveram ou em nome das quais foram subscritos os estatutos ou o ato constitutivo, ou, quando a constituição da sociedade não é simultânea, a identidade das pessoas singulares ou coletivas ou das sociedades que subscreveram ou em nome das quais foi subscrito o projeto de estatutos ou de ato constitutivo;

[...]»

6 A secção 1, do capítulo III do título I da referida diretiva, sob a epígrafe «Disposições gerais», inclui os artigos 13.° a 28.°

7 Nos termos do artigo 13.° da mesma diretiva, sob a epígrafe «Âmbito de aplicação»:

«As medidas de coordenação prescritas pela presente secção são aplicáveis no que respeita às disposições legislativas, regulamentares e administrativas dos Estados‑Membros relativas aos tipos de sociedades constantes do anexo II.»

8 O artigo 14.° da Diretiva 2017/1132, sob a epígrafe «Documentos e indicações sujeitos a publicação pelas sociedades», dispõe:

«Os Estados‑Membros tomam as medidas necessárias para que a publicidade obrigatória das sociedades abranja, pelo menos, os seguintes atos e indicações:

a) O ato constitutivo e os estatutos, se estes forem objeto de um ato separado;

b) As alterações dos atos a que se refere a alínea a), incluindo a prorrogação da sociedade;

c) Depois de cada alteração do ato constitutivo ou dos estatutos, o texto integral do ato alterado, na sua redação atualizada;

d) A nomeação e a cessação de funções, assim como a identidade das pessoas que, na qualidade de órgão legalmente previsto ou de membros de tal órgão:

i) têm o poder de vincular a sociedade para com terceiros e de a representar em juízo; as medidas de publicidade devem precisar se as pessoas que têm o poder de vincular a sociedade podem fazê‑lo sozinhas ou devem fazê‑lo conjuntamente,

ii) participam na administração, na vigilância ou na fiscalização da sociedade;

[...]»

9 O artigo 15.°, n.° 1, desta diretiva, sob a epígrafe «Alterações dos documentos e das indicações», prevê:

«Os Estados‑Membros tomam as medidas necessárias para garantir que qualquer alteração dos documentos e indicações referidos no artigo 14.° é transcrita no registo competente a que se refere o artigo 16.°, n.° 1, primeiro parágrafo, e divulgada, nos termos do artigo 16.°, n.os 3 e 5, normalmente no prazo de vinte e um dias após receção de toda a documentação relativa a essas alterações, incluindo, quando aplicável, o controlo da legalidade, conforme previsto na legislação nacional para as transcrições no registo.»

10 Nos termos do artigo 16.° da referida diretiva, sob a epígrafe «Publicidade no registo»:

«1. Em cada Estado‑Membro é aberto um processo junto de um registo central, comercial ou das sociedades (a seguir designado por “registo”), para cada uma das sociedades que aí estiverem inscritas.

[...]

3. Todos os documentos e indicações que estão sujeitos a publicidade, por força do artigo 14.°, são arquivados no processo ou transcritos no registo. O objeto das transcrições no registo deve, em qualquer caso, constar do processo.

Os Estados‑Membros asseguram que o arquivo no processo, por parte das sociedades e das restantes pessoas e órgãos obrigados a efetuar o arquivo ou a nele colaborar, de todos os documentos e indicações sujeitos a publicidade por força do artigo 14.° possa ser efetuado por via eletrónica. Além disso, os Estados‑Membros podem impor a todas ou a certas categorias de sociedades o arquivo no processo por via eletrónica de todos ou de certos tipos desses documentos e indicações.

Todos os documentos e indicações referidos no artigo 14.° que forem arquivados no processo, quer em suporte de papel quer por via eletrónica, são arquivados no processo ou transcritos no registo em formato eletrónico. Para este efeito, os Estados‑Membros asseguram que todos os documentos e indicações que forem arquivados em suporte de papel sejam transcritos no registo em formato eletrónico.

[...]

4. Deve poder ser obtida, mediante pedido, cópia integral ou parcial dos documentos ou indicações mencionados no artigo 14.° Os pedidos podem ser apresentados ao registo em suporte de papel ou por via eletrónica, à escolha do requerente.

[...]

5. Os documentos e as indicações referidos no n.° 3 são objeto de publicação integral ou por extrato, sob a forma de uma menção que assinale o arquivamento do documento no processo ou pela sua transcrição no registo, no jornal oficial nacional designado pelo Estado‑Membro. O jornal oficial nacional designado para esse efeito pode ser arquivado sob forma eletrónica.

Os Estados‑Membros podem decidir substituir a publicação no jornal oficial nacional por meios igualmente eficazes, que exijam pelo menos a utilização de um sistema mediante o qual a informação objeto de publicidade possa ser acedida por ordem cronológica através de uma plataforma eletrónica central.

6. Os documentos e as indicações não são oponíveis a terceiros pela sociedade antes de publicados de acordo com o n.° 5, exceto se a sociedade provar que esses terceiros tinham conhecimento deles.

[...]

7. Os Estados‑Membros tomam as medidas necessárias para evitar qualquer discordância entre o conteúdo da publicidade nos termos do n.° 5 e o conteúdo do registo ou do processo.

Todavia, em caso de discordância, o texto publicado em conformidade com o n.° 5 não é oponível a terceiros. Estes podem, no entanto, prevalecer‑se do texto publicado, salvo se a sociedade provar que eles tiveram conhecimento do texto arquivado no processo ou transcrito no registo.

[...]»

11 O artigo 21.° da Diretiva 2017/1132, sob a epígrafe «Língua da publicidade e tradução dos documentos e indicações a publicar», prevê:

« 1. Os documentos e indicações a publicar nos termos do artigo 14.° são elaborados e arquivados numa das línguas autorizadas pelo regime linguístico aplicável no Estado‑Membro em que se abra o processo referido no artigo 16.°, n.° 1.

2. Para além da publicidade obrigatória a que se refere o artigo 16.°, os Estados‑Membros autorizam que as traduções dos documentos e indicações referidos no artigo 14.° sejam publicadas nos termos do artigo 16.° em qualquer das línguas oficiais da União [Europeia].

Os Estados‑Membros podem exigir a autenticação da tradução de tais documentos e indicações.

Os Estados‑Membros tomam as medidas necessárias para facilitar o acesso de terceiros às traduções voluntariamente publicadas.

3. Para além da publicidade obrigatória a que se refere o artigo 16.° e da publicidade voluntária prevista no n.° 2 do presente artigo, os Estados‑Membros podem autorizar que os documentos e indicações em questão sejam publicados em conformidade com o artigo 16.° em qualquer outra língua.

[...]

4. Em caso de discordância entre os documentos e indicações publicados nas línguas oficiais do registo e a tradução voluntariamente publicada, esta não é oponível a terceiros. Alteração -[...]»

12 Nos termos do artigo 161.° desta diretiva, sob a epígrafe «Proteção de dados»:

«O tratamento de dados pessoais no âmbito da presente diretiva fica sujeito ao disposto na Diretiva 95/46/CE [do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (JO 1995, L 281, p. 31)].»

13 O artigo 166.° da referida diretiva, sob a epígrafe «Revogação», dispõe:

«As Diretivas [2009/101 e 2012/30] são revogadas [...].

As referências às diretivas revogadas devem entender‑se como referências à presente diretiva e ser lidas de acordo com o quadro de correspondência que consta do anexo IV.»

14 O anexo II da Diretiva 2017/1132 enumera os tipos de sociedades referidos no artigo 7.°, n.° 1, no artigo 13.°, no artigo 29.°, n.° 1, no artigo 36.°, n.° 1, no artigo 67.°, n.° 1, e no artigo 119.°, n.° 1, alínea a), desta diretiva, incluindo, para a Bulgária, o ODS.

15 Em conformidade com o quadro de correspondência constante do anexo IV da Diretiva 2017/1132, por um lado, os artigos 2.°, 2.°‑A, 3.°, 4.° e 7.°‑A da Diretiva 2009/101 correspondem, respetivamente, aos artigos 14.°, 15.°, 16.°, 21.° e 161.° da Diretiva 2017/1132. Por outro lado, o artigo 3.° da Diretiva 2012/30 corresponde ao artigo 4.° da Diretiva 2017/1132.

Diretiva (UE) 2019/1151

16 A Diretiva 2017/1132 foi alterada, nomeadamente, pela Diretiva (UE) 2019/1151 do Parlamento Europeu e do Conselho, de 20 de junho de 2019, que altera a Diretiva (UE) 2017/1132 no respeitante à utilização de ferramentas e procedimentos digitais no domínio do direito das sociedades (JO 2019, L 186, p. 80), que entrou em vigor em 31 de julho de 2019 e que dispõe, no seu artigo 1.°, sob a epígrafe «Alteração da Diretiva [2017/1132]»:

«A Diretiva [2017/1132] é alterada do seguinte modo:

[...]

6) O artigo 16.° passa a ter a seguinte redação:

“Artigo 16.°

Publicidade do registo

1. Em cada Estado‑Membro é aberto um processo num registo central, comercial ou das sociedades (a seguir designado por “registo”), para cada uma das sociedades que aí esteja inscrita.

[...]

2. Todos os documentos e as informações sujeitos a publicação, por força do artigo 14.°, são conservados no processo a que se refere o n.° 1 do presente artigo ou são diretamente inscritos no registo, devendo o objeto das inscrições neste último ficar registado no processo.

Todos os documentos e informações a que se refere o artigo 14.°, independentemente do meio através do qual são arquivados, devem constar do processo no registo ou ser inscritos diretamente neste último em formato eletrónico. Os Estados‑Membros devem assegurar que todos esses documentos e informações arquivados em suporte papel sejam convertidos, logo que possível, em formato eletrónico pelo registo.

[...]

3. Os Estados‑Membros devem assegurar a publicidade dos documentos e informações a que se refere o artigo 14.° através da sua disponibilização ao público no registo. Além disso, os Estados‑Membros podem igualmente exigir que alguns ou todos os documentos e informações sejam publicados num jornal oficial nacional designado para esse efeito ou através de meios igualmente eficazes. [...]

4. Os Estados‑Membros devem tomar as medidas necessárias para evitar qualquer discrepância entre o que consta do registo e do ficheiro.

Os Estados‑Membros que exijam a publicação de documentos e informações num jornal oficial nacional ou numa plataforma eletrónica central devem tomar as medidas necessárias para evitar qualquer discrepância entre o que é publicado nos termos do n.° 3 e o que é publicado no jornal oficial ou na plataforma.

Em caso de discrepâncias ao abrigo do presente artigo, prevalecem os documentos e as informações disponibilizados no registo.

5. Os documentos e as informações a que se refere o artigo 14.°, só podem ser oponíveis a terceiros pela sociedade depois de terem sido publicados nos termos do n.° 3, do presente artigo, salvo se a sociedade provar que os terceiros em causa deles tinham conhecimento.

[...]

6. Os Estados‑Membros devem assegurar que todos os documentos e informações submetidos no âmbito da constituição de uma sociedade, do registo de uma sucursal ou da apresentação de documentos e informações por uma sociedade ou sucursal sejam conservados pelos registos num formato de leitura ótica, que permita a pesquisa, ou sob a forma de dados estruturados.

7) É inserido o seguinte artigo:

“Artigo 16.°‑A

Acesso a informações publicadas

1. Os Estados‑Membros devem assegurar que possam ser obtidas junto do registo cópias integrais ou parciais dos documentos e informações a que se refere o artigo 14.D, mediante pedido [...]

[...]”

19) O artigo 161.° passa a ter a seguinte redação:

“Artigo 161.°

Proteção de dados

O tratamento de dados pessoais no âmbito da presente diretiva fica sujeito ao disposto no [RGPD].”»

17 Nos termos do artigo 2.° da Diretiva 2019/1151, sob a epígrafe «Transposição»:

«1. Os Estados‑Membros devem pôr em vigor as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento à presente diretiva até 1 de agosto de 2021. [...]

2. Não obstante o disposto no n.° 1 do presente artigo, os Estados‑Membros devem pôr em vigor as disposições legislativas, regulamentares e administrativas necessárias para dar cumprimento ao [...] artigo 1.°, n.° 6, da presente diretiva, no que diz respeito ao artigo 16.°, n.° 6, da Diretiva [2017/1132], até 1 de agosto de 2023.

3. Em derrogação do n.° 1, os Estados‑Membros que tenham particular dificuldade na transposição da presente diretiva podem beneficiar de uma prorrogação máxima de um ano do prazo previsto no n.° 1. [...]

[...]»

RGPD

18 Os considerandos 26, 32, 40, 42, 43, 50, 85, 143 e 146 do RGPD enunciam:

«(26) Os princípios da proteção de dados deverão aplicar‑se a qualquer informação relativa a uma pessoa singular identificada ou identificável [...]. Para determinar se uma pessoa singular é identificável, importa considerar todos os meios suscetíveis de ser razoavelmente utilizados, tais como a seleção, quer pelo responsável pelo tratamento quer por outra pessoa, para identificar direta ou indiretamente a pessoa singular [...]

[...]

(32) O consentimento do titular dos dados deverá ser dado mediante um ato positivo claro que indique uma manifestação de vontade livre, específica, informada e inequívoca de que o titular de dados consente no tratamento dos dados que lhe digam respeito, como por exemplo mediante uma declaração escrita, inclusive em formato eletrónico, ou uma declaração oral. [...] O consentimento deverá abranger todas as atividades de tratamento realizadas com a mesma finalidade. Nos casos em que o tratamento sirva fins múltiplos, deverá ser dado um consentimento para todos esses fins. [...]

[...]

(40) Para que o tratamento seja lícito, os dados pessoais deverão ser tratados com base no consentimento da titular dos dados em causa ou noutro fundamento legítimo, previsto por lei, quer no presente regulamento quer noutro ato de direito da União ou de um Estado‑Membro referido no presente regulamento, incluindo a necessidade de serem cumpridas as obrigações legais a que o responsável pelo tratamento se encontre sujeito ou a necessidade de serem executados contratos em que o titular dos dados seja parte ou a fim de serem efetuadas as diligências pré‑contratuais que o titular dos dados solicitar.

[...]

(42) Sempre que o tratamento for realizado com base no consentimento do titular dos dados, o responsável pelo tratamento deverá poder demonstrar que o titular deu o seu consentimento à operação de tratamento dos dados. [...] Não se deverá considerar que o consentimento foi dado de livre vontade se o titular dos dados não dispuser de uma escolha verdadeira ou livre ou não puder recusar nem retirar o consentimento sem ser prejudicado.

A fim de assegurar que o consentimento é dado de livre vontade, este não deverá constituir fundamento jurídico válido para o tratamento de dados pessoais em casos específicos em que exista um desequilíbrio manifesto entre o titular dos dados e o responsável pelo seu tratamento, nomeadamente quando o responsável pelo tratamento é uma autoridade pública pelo que é improvável que o consentimento tenha sido dado de livre vontade em todas as circunstâncias associadas à situação específica em causa. Presume‑se que o consentimento não é dado de livre vontade se não for possível dar consentimento separadamente para diferentes operações de tratamento de dados pessoais, ainda que seja adequado no caso específico [...]

[...]

(50) O tratamento de dados pessoais para outros fins que não aqueles para os quais os dados pessoais tenham sido inicialmente recolhidos apenas deverá ser autorizado se for compatível com as finalidades para as quais os dados pessoais tenham sido inicialmente recolhidos. Nesse caso, não é necessário um fundamento jurídico distinto do que permitiu a recolha dos dados pessoais. [...]

[...]

(85) Se não forem adotadas medidas adequadas e oportunas, a violação de dados pessoais pode causar danos físicos, materiais ou imateriais às pessoas singulares, como a perda de controlo sobre os seus dados pessoais, a limitação dos seus direitos, a discriminação, o roubo ou usurpação da identidade, perdas financeiras, a inversão não autorizada da pseudonimização, danos para a reputação, a perda de confidencialidade de dados pessoais protegidos por sigilo profissional ou qualquer outra desvantagem económica ou social significativa das pessoas singulares. [...]

[...]

(143) [...] todas as pessoas, singulares ou coletivas, deverão ter direito a interpor junto dos tribunais nacionais competentes recurso efetivo das decisões das autoridades de controlo que produzam efeitos jurídicos em relação a essas pessoas. Tais decisões dizem respeito, em especial, ao exercício de poderes de investigação, correção e autorização pelas autoridades de controlo ou à recusa ou rejeição de reclamações. Porém, o direito a um recurso judicial efetivo não abrange medidas tomadas pelas autoridades de controlo que não sejam juridicamente vinculativas, como os pareceres emitidos ou o aconselhamento prestado pela autoridade de controlo. [...]

[...]

(146) [...] O responsável pelo tratamento ou o subcontratante pode ser exonerado da responsabilidade se provar que o facto que causou o dano não lhe é de modo algum imputável. O conceito de dano deverá ser interpretado em sentido lato à luz da jurisprudência do Tribunal de Justiça, de uma forma que reflita plenamente os objetivos do presente regulamento. [...] Os titulares dos dados deverão ser integral e efetivamente indemnizados pelos danos que tenham sofrido. [...]»

19 O artigo 4.° do RGPD, sob a epígrafe «Definições», prevê:

«Para efeitos do presente regulamento, entende‑se por:

1) “Dados pessoais”, informação relativa a uma pessoa singular identificada ou identificável (“titular dos dados”); é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular;

2) “Tratamento”, uma operação ou um conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não automatizados, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição;

[...]

7) “Responsável pelo tratamento”, a pessoa singular ou coletiva, a autoridade pública, a agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais; sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou de um Estado‑Membro;

[...]

9) “Destinatário”, uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro. Contudo, as autoridades públicas que possam receber dados pessoais no âmbito de inquéritos específicos nos termos do direito da União ou dos Estados‑Membros não são consideradas destinatários; o tratamento desses dados por essas autoridades públicas deve cumprir as regras de proteção de dados aplicáveis em função das finalidades do tratamento;

[...]

11) “Consentimento” do titular dos dados, uma manifestação de vontade, livre, específica, informada e inequívoca, pela qual o titular dos dados aceita, mediante declaração ou ato positivo inequívoco, que os dados pessoais que lhe dizem respeito sejam objeto de tratamento;

[...]»

20 O artigo 5.° do RGPD, sob a epígrafe «Princípios relativos ao tratamento de dados pessoais», dispõe:

«1. Os dados pessoais são:

[...]

b) Recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades [...] (“limitação das finalidades”);

c) Adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados (“minimização dos dados”);

[...]

2. O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.° 1 e tem de poder comprová‑lo (“responsabilidade”).»

21 Nos termos do artigo 6.° do RGPD, sob a epígrafe «Licitude do tratamento»:

«1. O tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:

a) O titular dos dados tiver dado o seu consentimento para o tratamento dos seus dados pessoais para uma ou mais finalidades específicas;

[...]

c) O tratamento for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito;

[...]

e) O tratamento for necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento;

[...]

3. O fundamento jurídico para o tratamento referido no n.° 1, alíneas c) e e), é definido:

a) Pelo direito da União; ou

b) Pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito.

A finalidade do tratamento é determinada com esse fundamento jurídico ou, no que respeita ao tratamento referido no n.° 1, alínea e), deve ser necessária ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento. Esse fundamento jurídico pode prever disposições específicas para adaptar a aplicação das regras do presente regulamento, nomeadamente: as condições gerais de licitude do tratamento pelo responsável pelo seu tratamento; os tipos de dados objeto de tratamento; os titulares dos dados em questão; as entidades a que os dados pessoais poderão ser comunicados e para que efeitos; os limites a que as finalidades do tratamento devem obedecer; os prazos de conservação; e as operações e procedimentos de tratamento, incluindo as medidas destinadas a garantir a legalidade e lealdade do tratamento, como as medidas relativas a outras situações específicas de tratamento em conformidade com o capítulo IX. O direito da União ou do Estado‑Membro deve responder a um objetivo de interesse público e ser proporcional ao objetivo legítimo prosseguido.

[...]»

22 O artigo 17.° do RGPD, sob a epígrafe «Direito ao apagamento dos dados (“direito a ser esquecido”)», prevê:

«1. O titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos seguintes motivos:

a) Os dados pessoais deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento;

b) O titular retira o consentimento em que se baseia o tratamento dos dados nos termos do artigo 6.°, n.° 1, alínea a), ou do artigo 9.°, n.° 2, alínea a) e se não existir outro fundamento jurídico para o referido tratamento;

c) O titular opõe‑se ao tratamento nos termos do artigo 21.°, n.° 1, e não existem interesses legítimos prevalecentes que justifiquem o tratamento, ou o titular opõe‑se ao tratamento nos termos do artigo 21.°, n.° 2;

d) Os dados pessoais foram tratados ilicitamente;

[...]

3. Os n.os 1 e 2 não se aplicam na medida em que o tratamento se revele necessário:

[...]

b) Ao cumprimento de uma obrigação legal que exija o tratamento prevista pelo direito da União ou de um Estado‑Membro a que o responsável esteja sujeito, ao exercício de funções de interesse público ou ao exercício da autoridade pública de que esteja investido o responsável pelo tratamento;

[...]»

23 O artigo 21.°, n.° 1, do RGPD tem a seguinte redação:

«O titular dos dados tem o direito de se opor a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento dos dados pessoais que lhe digam respeito com base no artigo 6.°, n.° 1, alínea e) ou f), ou no artigo 6.°, n.° 4, incluindo a definição de perfis com base nessas disposições. O responsável pelo tratamento cessa o tratamento dos dados pessoais, a não ser que apresente razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, direitos e liberdades do titular dos dados, ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial.»

24 O artigo 58.° do RGPD dispõe:

«1. Cada autoridade de controlo dispõe dos seguintes poderes de investigação:

[...]

2. Cada autoridade de controlo dispõe dos seguintes poderes de correção:

[...]

3. Cada autoridade de controlo dispõe dos seguintes poderes consultivos e de autorização:

[...]

b) Emitir, por iniciativa própria ou se lhe for solicitado, pareceres dirigidos ao Parlamento nacional, ao Governo do Estado‑Membro ou, nos termos do direito do Estado‑Membro, a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais;

[...]

4. O exercício dos poderes conferidos à autoridade de controlo nos termos do presente artigo está sujeito a garantias adequadas, que incluem o direito à ação judicial efetiva e a um processo equitativo, previstas no direito da União e dos Estados‑Membros, em conformidade com a [Carta dos Direitos Fundamentais da União Europeia, a seguir “Carta”].

5. Os Estados‑Membros estabelecem por lei que as suas autoridades de controlo estão habilitadas a levar as violações do presente regulamento ao conhecimento das autoridades judiciais e, se necessário, a intentar ou de outro modo intervir em processos judiciais, a fim de fazer aplicar as disposições do presente regulamento.

6. Os Estados‑Membros podem estabelecer por lei que as suas autoridades de controlo terão outros poderes para além dos previstos nos n.os 1, 2 e 3. O exercício desses poderes não deve prejudicar o efetivo funcionamento do capítulo VII.»

25 Nos termos do artigo 82.° do RGPD, sob a epígrafe «Direito de indemnização e responsabilidade»:

«1. Qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do presente regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos.

2. Qualquer responsável pelo tratamento que esteja envolvido no tratamento é responsável pelos danos causados por um tratamento que viole o presente regulamento. O subcontratante é responsável pelos danos causados pelo tratamento apenas se não tiver cumprido as obrigações decorrentes do presente regulamento dirigidas especificamente aos subcontratantes ou se não tiver seguido as instruções lícitas do responsável pelo tratamento.

3. O responsável pelo tratamento ou o subcontratante fica isento de responsabilidade nos termos do n.° 2, se provar que não é de modo algum responsável pelo evento que deu origem aos danos.

[...]»

26 O artigo 94.° do RGPD prevê:

«1. A Diretiva [95/46] é revogada com efeitos a partir de 25 de maio de 2018.

2. As remissões para a diretiva revogada são consideradas remissões para [o] presente regulamento. [...]»

Direito búlgaro

Lei relativa aos Registos

27 O artigo 2.° da Zakon za targovskia registar i registara na yuridicheskite litsa s nestopanska tsel (Lei relativa ao Registo Comercial e ao Registo das Pessoas Coletivas sem Fins Lucrativos) (DV n.° 34, de 25 de abril de 2006), na sua versão aplicável ao litígio no processo principal (a seguir «Lei relativa aos Registos»), dispõe:

«(1) O registo comercial e o registo das pessoas coletivas sem fins lucrativos são uma base de dados eletrónica comum que contém as circunstâncias inscritas por força de uma lei, bem como os atos disponibilizados ao público ao abrigo de uma lei, que dizem respeito aos comerciantes e sucursais de comerciantes estrangeiros, às pessoas coletivas sem fins lucrativos e às sucursais de pessoas coletivas estrangeiras sem fins lucrativos.

(2) As circunstâncias e os atos referidos no n.° 1 são disponibilizados ao público sem as informações que constituam dados pessoais na aceção do artigo 4.°, ponto 1, do [RGPD], com exceção das informações que devam ser disponibilizadas ao público por força da lei.»

28 O artigo 3.° desta lei prevê:

«O registo comercial e o registo das pessoas coletivas sem fins lucrativos são mantidos pela [agência], que está dependente do Ministar na pravosadieto [ministro da Justiça, Bulgária].»

29 Nos termos do artigo 6.°, n.° 1, da referida lei:

«Todos os comerciantes e todas as pessoas coletivas sem fins lucrativos são obrigados a requerer a inscrição no registo comercial e no registo das pessoas coletivas sem fins lucrativos, declarando as circunstâncias cuja inscrição é exigida e apresentando os atos a disponibilizar ao público.»

30 O artigo 11.° da mesma lei tem a seguinte redação:

«(1) O registo comercial e o registo das pessoas coletivas sem fins lucrativos são públicos. Todas as pessoas têm o direito de aceder livre e gratuitamente à base de dados que constitui os registos.

(2) A [Agência] assegura o acesso registado ao processo do comerciante ou da pessoa coletiva sem fins lucrativos.»

31 O artigo 13.°, n.os 1, 2, 6 e 9, da Lei relativa aos Registos dispõe:

«(1) A inscrição, a eliminação e a disponibilização ao público são efetuados com base num formulário de pedido.

(2) O pedido incluirá:

1. as informações de contacto do requerente;

[…]

3. a circunstância sujeita a inscrição, a inscrição cuja eliminação é pedida, ou o ato a disponibilizar ao público;

[…]

(6) [O] pedido é acompanhado dos documentos ou, consoante o caso, do ato a disponibilizar ao público, em conformidade com as exigências da lei. Os documentos devem ser apresentados sob a forma de um original, de uma cópia certificada pelo requerente ou de uma cópia autenticada por via notarial. O requerente deve igualmente apresentar cópias autenticadas dos atos a disponibilizar ao público no registo comercial, em que tenham sido ocultados os dados pessoais que não sejam exigidos por lei.

[...]

(9) Sempre que o pedido ou os documentos juntos mencionarem dados pessoais que não sejam exigidos pela lei, considera‑se que as pessoas que os forneceram deram o seu consentimento para o seu tratamento pela [Agência] e para a sua disponibilização ao público.

[...]»

Código Comercial

32 O artigo 101.°, ponto 3, do Targovski zakon (Código Comercial, DV n.° 48, de 18 e junho de 1991), na sua versão aplicável ao litígio no processo principal (a seguir «Código Comercial»), dispõe que o contrato de sociedade deve incluir «o nome, a denominação social e o código de identificação único dos sócios».

33 Nos termos do artigo 119.° do Código Comercial:

«(1) A inscrição da sociedade no registo comercial exige:

1. a apresentação do contrato de sociedade que é disponibilizado ao público;

[…]

(2) Os dados referidos no ponto 1 [...] estão inscritos no registo [...]

[...]

(4) A fim de alterar ou completar o contrato de sociedade no registo comercial, deve ser apresentada uma cópia do referido contrato que inclua todas as alterações e aditamentos, certificada pelo órgão de representação da sociedade, tendo em vista a sua disponibilização ao público.»

Decreto n.° 1 relativo à Manutenção, Conservação e Acesso ao Registo Comercial e ao Registo das Pessoas Coletivas sem Fins Lucrativos

34 O artigo 6.° do Naredba n.° 1 za vodene, sahranyavane i dostap do targovskia registar i do registara na yuridicheskite litsa s nestopanska tsel (Decreto n.° 1 relativo à Manutenção, Conservação e Acesso ao Registo Comercial e ao Registo das Pessoas Coletivas sem Fins Lucrativos), de 14 de fevereiro de 2007 (DV n.° 18, de 27 de fevereiro de 2007), adotado pelo Ministar na pravosadieto (ministro da Justiça), na sua versão aplicável ao litígio no processo principal, prevê:

«A inscrição e a eliminação do registo comercial e do registo das pessoas coletivas sem fins lucrativos são efetuadas com base num formulário de pedido em conformidade com os anexos [que contêm formulários específicos]. A disponibilização ao público dos atos no registo comercial e no registo das pessoas coletivas sem fins lucrativos é efetuada com base num formulário de pedido em conformidade com os anexos [que contêm formulários específicos].»

Litígio no processo principal e questões prejudiciais

35 OL é sócia da «Praven Shtit Konsulting» OOD, sociedade de responsabilidade limitada de direito búlgaro, que foi inscrita em 14 de janeiro de 2021 no registo comercial na sequência da apresentação de um contrato de sociedade, datado de 30 de dezembro de 2020 e assinado pelos sócios dessa sociedade (a seguir «contrato de sociedade em questão»).

36 Este contrato, contendo o apelido, o nome próprio, o número de identificação, o número do seu bilhete de identidade, a data e o local da emissão desse bilhete, bem como o endereço permanente e a assinatura de OL, foi disponibilizado ao público pela Agência tal como tinha sido apresentado.

37 Em 8 de julho de 2021, OL pediu à Agência que eliminasse os dados pessoais que lhe diziam respeito constantes do referido contrato de sociedade, especificando que, embora o tratamento desses dados se baseasse no seu consentimento, retirava esse consentimento.

38 Na falta de resposta da Agência, OL interpôs recurso no Administrativen sad Dobrich (Tribunal Administrativo de Dobrich, Bulgária), o qual, por Sentença de 8 de dezembro de 2021, anulou o indeferimento tácito da Agência e lhe remeteu o processo para que adotasse uma nova decisão.

39 Em execução dessa sentença, e de uma sentença análoga relativa ao outro sócio que efetuou a mesma diligência, a Agência indicou, por carta de 26 de janeiro de 2022, que lhe devia ser enviada uma cópia autenticada do contrato de sociedade em questão que ocultasse os dados pessoais dos sócios, com exceção dos exigidos por lei, para que pudesse ser deferido o pedido de eliminação de dados pessoais apresentado por OL.

40 Em 31 de janeiro de 2022, OL intentou uma nova ação no Administrativen sad Dobrich (Tribunal Administrativo de Dobrich), pedindo a anulação dessa carta e a condenação da Agência no pagamento de uma indemnização pelos danos imateriais que a referida carta lhe causou, violando os direitos conferidos pelo RGPD.

41 Em 1 de fevereiro de 2022, antes de receber a notificação desse recurso, a Agência eliminou oficiosamente o número de identificação, os dados relativos ao bilhete de identidade e o endereço de OL, mas não o seu apelido, nome próprio e assinatura.

42 Por Sentença de 5 de maio de 2022, o Administrativen sad Dobrich (Tribunal Administrativo de Dobrich) anulou a carta de 26 de janeiro de 2022 e condenou a Agência a indemnizar OL no montante de 500 levs búlgaros (BGN) (cerca de 255 euros), acrescidos de juros legais, a título de danos imateriais, nos termos do artigo 82.° do RGPD. De acordo com essa sentença, por um lado, esse dano consistia em experiências psicológicas e emocionais negativas de OL, a saber, o medo e a inquietação face a eventuais abusos, bem como a impotência e a deceção quanto à impossibilidade de proteger os seus dados pessoais. Por outro lado, o referido dano resultou dessa carta, conduzindo a uma violação do direito ao apagamento consagrado no artigo 17.°, n.° 1, do RGPD, bem como a um tratamento ilícito dos seus dados pessoais contidos no contrato de sociedade em questão disponibilizado ao público.

43 O órgão jurisdicional de reenvio, o Varhoven administrativen sad (Supremo Tribunal Administrativo, Bulgária), é chamado a pronunciar‑se sobre o recurso de cassação da referida sentença interposto pela Agência.

44 Segundo esse órgão jurisdicional, a Agência alega que é não só responsável pelo tratamento mas também destinatária dos dados pessoais transmitidos no âmbito do processo de inscrição da Praven Shtit Konsulting. Além disso, a Agência não recebeu nenhuma cópia do contrato de sociedade em questão que ocultasse os dados pessoais de OL que não deviam ser disponibilizados ao público, apesar de o ter solicitado antes da inscrição dessa sociedade no registo comercial. Ora, a falta dessa cópia não pode obstar, por si só, à inscrição de uma sociedade comercial nesse registo. Tal resulta do Parecer n.° 01‑116 (20)/01.02.2021 da autoridade nacional de controlo, a Komisia za zashtita na lichnite danni (Comissão para a Proteção de Dados Pessoais, Bulgária), apresentado nos termos do artigo 58.°, n.° 3, alínea b), do RGPD, ao qual a Agência se refere. O referido órgão jurisdicional salienta que, segundo OL, a Agência, enquanto responsável pelo tratamento, não pode impor as suas obrigações de eliminação de dados pessoais a outras pessoas, uma vez que, segundo a jurisprudência nacional, esse aviso não está em conformidade com as disposições do RGPD.

45 O órgão jurisdicional de reenvio acrescenta que, tendo em conta esta jurisprudência nacional maioritária, se afigura necessária uma clarificação das exigências deste regulamento. Em especial, esse órgão jurisdicional interroga‑se sobre a conciliação que deve ser efetuada entre, por um lado, o direito à proteção de dados pessoais e, por outro, a regulamentação que garante a publicidade e o acesso a determinados atos das sociedades, especificando, nomeadamente, que o Acórdão de 9 de março de 2017, Manni (C‑398/15, EU:C:2017:197), não permite resolver as dificuldades de interpretação suscitadas pela situação em causa no processo principal.

46 Nestas condições, o Varhoven administrativen sad (Supremo Tribunal Administrativo) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Pode o artigo 4.°, n.° 2, da Diretiva [2009/101] ser interpretado no sentido de que impõe ao Estado‑Membro a obrigação de permitir a divulgação de um contrato de sociedade sujeito a registo nos termos do artigo 119.° do Código Comercial, quando o mesmo contém outros dados pessoais, além dos nomes dos sócios sujeitos a divulgação obrigatória nos termos do artigo 2.°, n.° 2, da Lei relativa aos Registos? Para responder a esta questão, há que ter em conta que a Agência de Registos constitui uma instituição do setor público contra a qual podem ser invocadas, segundo jurisprudência assente do Tribunal de Justiça, as disposições da diretiva que têm efeito direto (Acórdão de 7 de setembro de 2006, Vassallo, C‑180/04, EU:C:2006:518, n.° 26 e jurisprudência referida).

2) Em caso de resposta afirmativa à primeira questão, pode considerar‑se que, nas circunstâncias que deram origem ao litígio no processo principal, o tratamento de dados pessoais pela [Agência] é necessário, na aceção do artigo 6.°, n.° 1, alínea e), do [RGPD], ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento?

3) Em caso de resposta afirmativa às duas primeiras questões, pode uma disposição nacional, como a constante do artigo 13.°, n.° 9, [da Lei relativa aos Registos], segundo a qual, se forem fornecidos dados pessoais não exigidos por lei num pedido ou nos documentos relativos a esse pedido, deve considerar‑se que as pessoas que os forneceram deram o seu consentimento para o tratamento desses dados pela [Agência] e para a divulgação dos mesmos ao público, não obstante os considerandos 32, 40, 42, 43 e 50 do [RGPD], ser considerada admissível como clarificação sobre a possibilidade de uma “publicidade voluntária”, na aceção do artigo 4.°, n.° 2, da Diretiva [2009/101], também de dados pessoais?

4) Para dar cumprimento à obrigação prevista no artigo 3.°, n.° 7, da Diretiva [2009/101], por força do qual os Estados‑Membros devem tomar as medidas necessárias para evitar qualquer discordância entre o conteúdo da publicidade em conformidade com [esse artigo 3.°, n.° 5,] e o conteúdo do registo ou do processo e ter em conta os interesses de terceiros em conhecer os atos essenciais da sociedade e certas indicações a ela respeitantes, referidos no considerando 3 desta diretiva, é permitida legislação nacional que preveja um regime processual (formulário de pedido, apresentação de cópias de documentos com dados pessoais anonimizados) para o exercício do direito da pessoa singular, previsto no artigo 17.° do [RGPD], de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, quando os dados pessoais cujo apagamento é solicitado fazem parte de documentos divulgados publicamente (publicados) que tenham sido disponibilizados ao responsável pelo tratamento, ao abrigo de um regime processual semelhante, por outra pessoa que, através desse ato, também determinou a finalidade do seu tratamento?

5) Na situação que deu origem ao litígio no processo principal, a [Agência] atua apenas como responsável pelo tratamento dos dados pessoais ou é também destinatária dos mesmos, quando as finalidades do seu tratamento foram determinadas por outro responsável, como parte dos documentos apresentados para divulgação?

6) A assinatura manuscrita de uma pessoa singular constitui uma informação relativa a uma pessoa singular identificada, no sentido de que está abrangida pelo conceito de “dados pessoais” na aceção do artigo 4.°, n.° 1, do [RGPD]?

7) Deve o conceito de “danos imateriais”, na aceção do artigo 82.°, n.° 1, do [RGPD], ser interpretado no sentido de que a declaração da existência de danos imateriais exige um dano significativo e um prejuízo objetivamente apreciável dos interesses pessoais, ou é suficiente, para esse efeito, a simples perda, a curto prazo, do poder de disposição do titular dos dados sobre estes, devido à publicação de dados pessoais no registo comercial, que não teve consequências significativas ou prejudiciais para o interessado?

8) Pode ser admitido como prova de que a [agência] não é de modo algum responsável pelo evento que deu origem aos danos causados à pessoa singular, na aceção do artigo 82.°, n.° 3, do [RGPD], o parecer da autoridade nacional de controlo, a [Comissão para a Proteção de Dados Pessoais], n.° 01 116 (20)/01.02.2021, adotado em conformidade com o artigo 58.°, n.° 3, alínea b), do [RGPD], segundo o qual a [Agência] não tem a faculdade legal nem o poder, oficiosamente ou a pedido do titular dos dados, de limitar o tratamento dos dados já divulgados?»

Quanto às questões prejudiciais

Considerações preliminares

47 A título preliminar, importa salientar que as questões submetidas têm por objeto a interpretação tanto do RGPD como da Diretiva 2009/101, que foi codificada e substituída pela Diretiva 2017/1132, que é aplicável ratione temporis aos factos em causa no processo principal. Por conseguinte, há que interpretar o pedido de decisão prejudicial no sentido de que visa a interpretação da Diretiva 2017/1132.

48 Além disso, como salientou a advogada‑geral no n.° 15 das suas conclusões, uma vez que uma parte desses factos é posterior a 1 de agosto de 2021, data do termo do prazo de transposição da Diretiva 2019/1151, que figura no artigo 2.°, n.° 1, desta última diretiva, cabe ao órgão jurisdicional de reenvio verificar se os referidos factos estão abrangidos pelo âmbito de aplicação ratione temporis da Diretiva 2017/1132 ou da Diretiva 2017/1132, conforme alterada pela Diretiva 2019/1151.

49 Não obstante, há que salientar que as alterações da redação dos artigos 16.° e 161.° da Diretiva 2017/1132 e o aditamento de um artigo 16.°‑A a esta diretiva, resultante da Diretiva 2019/1151, não têm incidência na análise que o Tribunal de Justiça é chamado a efetuar no presente processo, pelo que as respostas que serão dadas no presente acórdão serão, em todo o caso, pertinentes.

Quanto à primeira questão

50 Com a sua primeira questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 21.°, n.° 2, da Diretiva 2017/1132 deve ser interpretado no sentido de que impõe a um Estado‑Membro uma obrigação de permitir a publicidade, no registo comercial, de um contrato de sociedade sujeito à publicidade obrigatória prevista nesta diretiva e que contém outros dados pessoais diferentes dos dados pessoais mínimos exigidos, cuja publicidade não é exigida pelo direito desse Estado‑Membro.

51 Em especial, esse órgão jurisdicional interroga‑se sobre o alcance da publicidade voluntária mencionada nessa disposição e procura determinar se a referida disposição impõe aos Estados‑Membros que permitam a publicidade de indicações que figuram nos atos das sociedades, como os dados pessoais, que não exigiram a título da publicidade obrigatória prevista na referida diretiva.

52 Nos termos do artigo 21.°, n.° 2, primeiro parágrafo, da Diretiva 2017/1132, «[p]ara além da publicidade obrigatória a que se refere o artigo 16.° [desta diretiva], os Estados‑Membros autorizam que as traduções dos documentos e indicações referidos no artigo 14.° [da referida diretiva] sejam publicadas nos termos do [seu] artigo 16.° em qualquer das línguas oficiais da União». O segundo parágrafo deste artigo 21.°, n.° 2, autoriza os Estados‑Membros a exigir a autenticação «da tradução de tais documentos e indicações». Por último, o terceiro parágrafo do referido artigo 21.°, n.° 2, diz respeito às medidas necessárias para facilitar o acesso de terceiros às «traduções» voluntariamente publicadas.

53 O artigo 14.° da Diretiva 2017/1132 enumera, por sua vez, os documentos e indicações que devem ser, pelo menos, obrigatoriamente publicados pelas sociedades em questão. Estes documentos e indicações devem, em conformidade com o artigo 16.°, n.os 3 a 5, dessa diretiva, constar do processo ou ser inscritos no registo, ser disponibilizados mediante a obtenção de uma cópia integral ou parcial mediante pedido e ser objeto de publicidade assegurada pela publicação, integral ou por extrato, quer sob a forma de uma menção, no boletim nacional, quer por medida de efeito equivalente.

54 A este respeito, atendendo, nomeadamente, à utilização repetida do termo «traduções» no artigo 21.°, n.° 2, da Diretiva 2017/1132, resulta da redação desta disposição que esta diz respeito à publicidade voluntária das traduções dos documentos e indicações referidos no artigo 14.° desta diretiva numa língua oficial da União e, por conseguinte, apenas à língua de publicação desses documentos e indicações. Em contrapartida, a referida disposição não se refere ao conteúdo dos referidos documentos e indicações.

55 Por conseguinte, esta redação tende a indicar que este artigo 21.°, n.° 2, da Diretiva 2017/1132 não pode ser interpretada no sentido de que impõe aos Estados‑Membros qualquer obrigação relativa à publicidade de dados pessoais cuja publicidade não é exigida por outras disposições do direito da União nem pelo direito do Estado‑Membro em causa, mas que figuram num ato sujeito à publicidade obrigatória prevista na referida diretiva.

56 Ora, quando o sentido de uma disposição do direito da União resulta inequivocamente da sua própria redação, o Tribunal de Justiça não se pode afastar desta interpretação (Acórdão de 25 de janeiro de 2022, VYSOČINA WIND, C‑181/20, EU:C:2022:51, n.° 39).

57 Em todo o caso, no que respeita ao contexto do artigo 21.°, n.° 2, da Diretiva 2017/1132, a epígrafe deste artigo, que se refere à «[l]íngua da publicidade e tradução dos documentos e indicações a publicar», tal como os outros números deste artigo, corroboram a interpretação adotada no n.° 55 do presente acórdão.

58 Com efeito, o artigo 21.°, n.° 1, da Diretiva 2017/1132 dispõe que «[o]s documentos e indicações a publicar nos termos do artigo 14.° [desta diretiva] são elaborados e arquivados numa das línguas autorizadas» pelo regime nacional aplicável na matéria. Este artigo 21.°, n.° 3, desta diretiva prevê que, para além da publicidade obrigatória a que se refere o artigo 16.° da referida diretiva e da publicidade voluntária prevista no referido artigo 21.°, n.° 2, os Estados‑Membros podem autorizar que os documentos e indicações em questão sejam publicados «em qualquer outra língua». No que se refere ao artigo 21.°, n.° 4, este refere‑se à «tradução voluntariamente publicada».

59 Por último, a interpretação adotada no n.° 55 do presente acórdão é confirmada pelo considerando 12 da mesma diretiva, segundo o qual o acesso transfronteiriço às informações sobre as sociedades deverá ser facilitado, permitindo, para além da publicidade obrigatória numa das línguas autorizadas dos Estados‑Membros das sociedades em causa, o registo voluntário noutras línguas dos documentos e indicações obrigatórios.

60 Atendendo ao que precede, há que responder à primeira questão que o artigo 21.°, n.° 2, da Diretiva 2017/1132 deve ser interpretado no sentido de que não impõe a um Estado‑Membro uma obrigação de permitir a publicidade, no registo comercial, de um contrato de sociedade sujeito à publicidade obrigatória prevista nesta diretiva e que contém outros dados pessoais diferentes dos dados pessoais mínimos exigidos, cuja publicidade não é exigida pelo direito desse Estado‑Membro.

Quanto às questões segunda e terceira

61 Tendo em conta a resposta dada à primeira questão, não há que responder às questões segunda e terceira, que só foram submetidas caso fosse dada uma resposta afirmativa a esta primeira questão.

Quanto à quinta questão

62 Com a sua quinta questão, que importa tratar antes da quarta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o RGPD, nomeadamente o seu artigo 4.°, pontos 7 e 9, deve ser interpretado no sentido de que a autoridade encarregada da manutenção do registo comercial de um Estado‑Membro que publica, nesse registo, os dados pessoais constantes de um contrato de sociedade sujeito à publicidade obrigatória prevista na Diretiva 2017/1132, que lhe foi transmitido no âmbito de um pedido de inscrição da sociedade em questão no referido registo, é tanto «destinatária» desses dados como «responsável pelo tratamento» dos referidos dados, na aceção desta disposição.

63 Antes de mais, há que recordar que, em conformidade com o artigo 161.° da Diretiva 2017/1132, o tratamento de dados pessoais efetuado no âmbito desta diretiva fica sujeito à Diretiva 95/46 e, por conseguinte, ao RGPD, cujo artigo 94.°, n.° 2, especifica que as remissões para esta última diretiva são consideradas remissões para este regulamento.

64 A este respeito, antes de mais, há que realçar que, por força do artigo 14.°, alíneas a), b), e d), da Diretiva 2017/1132, os Estados‑Membros tomarão as medidas necessárias para que a publicidade obrigatória relativa às sociedades abranja, pelo menos, o ato constitutivo da sociedade em questão, as suas alterações e a nomeação, a cessação de funções, assim como a identidade das pessoas que, na qualidade de órgão legalmente previsto ou de membros de tal órgão, têm o poder de vincular essa sociedade perante terceiros e de a representar em juízo ou participam na administração, na supervisão ou na fiscalização da referida sociedade. Além disso, nos termos do artigo 4.°, alínea i), dessa diretiva, as indicações obrigatórias a fornecer no ato constitutivo que deve ser objeto de publicidade incluem a identidade das pessoas singulares ou coletivas ou das sociedades que subscreveram ou em nome das quais foi subscrito esse ato.

65 Em aplicação do artigo 16.°, n.os 3 a 5, da referida diretiva, como indicado no n.° 53 do presente acórdão, esses documentos e indicações devem constar do processo ou ser inscritos no registo, ser disponibilizados mediante a obtenção de uma cópia integral ou parcial mediante pedido e ser objeto de publicidade assegurada pela publicação, integral ou por extrato, quer sob a forma de menção, no boletim nacional, quer por medida de efeito equivalente.

66 Como salientou a advogada‑geral no n.° 26 das suas conclusões, compete, assim, aos Estados‑Membros determinar, nomeadamente, que categorias de informações relativas à identidade das pessoas referidas no artigo 4.°, alínea i), e no artigo 14.°, alínea d), da Diretiva 2017/1132, em especial, que tipos de dados pessoais são objeto de publicidade obrigatória, no respeito do direito da União.

67 Ora, as indicações relativas à identidade dessas pessoas constituem, enquanto informações sobre pessoas singulares identificadas ou identificáveis, «dados pessoais» na aceção do artigo 4.°, ponto 1, do RGPD (v., neste sentido, Acórdão de 9 de março de 2017, Manni, C‑398/15, EU:C:2017:197, n.° 34).

68 O mesmo se aplica às indicações suplementares relativas à identidade das referidas pessoas ou de outras categorias de pessoas que os Estados‑Membros decidem submeter à publicidade obrigatória, ou que, como no caso em apreço, figuram nos atos sujeitos a tal publicidade sem que a disponibilização desses dados seja exigida pela Diretiva 2017/1132 ou pelo direito nacional que transpõe esta diretiva.

69 Em seguida, quanto ao conceito de «destinatário» na aceção do artigo 4.°, ponto 9, do RGPD, este designa «uma pessoa singular ou coletiva, a autoridade pública, agência ou outro organismo que recebem comunicações de dados pessoais, independentemente de se tratar ou não de um terceiro», especificando que estão excluídas desta definição as autoridades públicas que recebem a comunicação desses dados no âmbito de inquéritos específicos nos termos do direito da União ou dos Estados‑Membros.

70 Ora, ao receber, no âmbito do pedido de inscrição de uma sociedade no registo comercial de um Estado‑Membro, a comunicação de atos sujeitos a publicidade obrigatória referidos no artigo 14.° da Diretiva 2017/1132 que contenham dados pessoais, exigidos ou não por esta diretiva ou pelo direito nacional, a autoridade encarregada da manutenção deste registo tem a qualidade de «destinatário» desses dados na aceção do artigo 4.°, ponto 9, do RGPD.

71 Por último, nos termos do artigo 4.°, ponto 7, do RGPD, o conceito de «responsável pelo tratamento» abrange as pessoas singulares ou coletivas, as autoridades públicas, as agências ou outros organismos que, isoladamente ou em conjunto com outrem, determinam as finalidades e os meios de tratamento. Esta disposição prevê também que, sempre que as finalidades e os meios desse tratamento sejam determinados pelo direito da União ou de um Estado‑Membro, o responsável pelo tratamento ou os critérios específicos aplicáveis à sua nomeação podem ser previstos pelo direito da União ou pelo direito de um Estado‑Membro.

72 A este respeito, importa recordar que, segundo a jurisprudência do Tribunal de Justiça, a referida disposição visa assegurar, através de uma definição ampla do conceito de «responsável pelo tratamento», uma proteção eficaz e completa das pessoas em causa [Acórdão de 11 de janeiro de 2024, Estado belga (Dados tratados por um jornal oficial), C‑231/22, EU:C:2024:7, n.° 28 e jurisprudência referida].

73 Tendo em conta a redação do artigo 4.°, ponto 7, do RGPD, lido à luz deste objetivo, afigura‑se que, para determinar se uma pessoa ou uma entidade deve ser qualificada de «responsável pelo tratamento», na aceção desta disposição, há que averiguar se essa pessoa ou essa entidade determina, individualmente ou em conjunto com outras, as finalidades e os meios do tratamento ou se estes são determinados pelo direito da União ou pelo direito nacional. Quando tal determinação é efetuada pelo direito nacional, importa então verificar se esse direito designa o responsável pelo tratamento ou prevê os critérios específicos aplicáveis à sua designação [v., neste sentido, Acórdão de 11 de janeiro de 2024, Estado belga (Dados tratados por um jornal oficial), C‑231/22, EU:C:2024:7, n.° 29].

74 Importa também precisar que, tendo em conta a definição ampla do conceito de «responsável pelo tratamento», na aceção do artigo 4.°, ponto 7, do RGPD, a determinação das finalidades e dos meios do tratamento e, se for caso disso, a designação desse responsável pelo direito nacional podem ser não só explícitas mas também implícitas. Neste último caso, exige‑se, no entanto, que esta determinação decorra de maneira suficientemente certa do papel, da missão e das atribuições conferidas à pessoa ou à entidade em causa [Acórdão de 11 de janeiro de 2024, Estado belga (Dados tratados por um jornal oficial), C‑231/22, EU:C:2024:7 n.° 30].

75 Além disso, ao transcrever e ao conservar dados pessoais recebidos no âmbito de um pedido de inscrição de uma sociedade no registo comercial de um Estado‑Membro, comunicando‑os, se for caso disso, mediante pedido a terceiros e publicando‑os no boletim nacional, ou por uma medida de efeito equivalente, a autoridade encarregada da manutenção deste registo efetua tratamentos de dados pessoais relativamente aos quais é o «responsável pelo tratamento» na aceção do artigo 4.°, pontos 2 e 7, do RGPD (v., neste sentido, Acórdão de 9 de março de 2017, Manni, C‑398/15, EU:C:2017:197, n.° 35).

76 Com efeito, esses tratamentos de dados pessoais são distintos e posteriores à comunicação dos dados pessoais efetuada pelo requerente dessa inscrição e recebida por essa autoridade. Além disso, esta última procede sozinha aos referidos tratamentos, em conformidade com as finalidades e as modalidades fixadas pela Diretiva 2017/1132 e pela legislação do Estado‑Membro em causa que transpõe esta diretiva.

77 A este respeito, importa especificar que resulta dos considerandos 7 e 8 da referida diretiva que a publicidade nela prevista visa proteger, designadamente, os interesses de terceiros relativamente às sociedades por ações e às sociedades por quotas, uma vez que apenas oferecem como garantia em relação a terceiros o seu património social. Para este efeito, essa publicidade deve permitir que os terceiros conheçam os atos essenciais da sociedade em questão e certas indicações a ela respeitantes, nomeadamente a identidade das pessoas que têm o poder de a vincular.

78 Além disso, o objetivo da mesma diretiva é garantir a segurança jurídica nas relações entre as sociedades e os terceiros na perspetiva de uma intensificação dos negócios entre os Estados‑Membros na sequência da criação do mercado interno. Nesta perspetiva, importa que qualquer pessoa que queira estabelecer ou manter relações de negócios com sociedades de outros Estados‑Membros possa facilmente tomar conhecimento dos dados essenciais relativos à constituição das sociedades comerciais e aos poderes das pessoas com capacidade para as representar, o que exige que todos os dados pertinentes figurem expressamente no registo (v., neste sentido, Acórdão de 9 de março de 2017, Manni, C‑398/15, EU:C:2017:197, n.° 50).

79 Ora, como observou a advogada‑geral no n.° 39 das suas conclusões, ao transmitir à autoridade encarregada da manutenção do registo comercial de um Estado‑Membro os documentos e indicações sujeitos à publicidade obrigatória prevista pela Diretiva 2017/1132 e ao tratar, assim, os dados pessoais que esses documentos contêm, o requerente da inscrição de uma sociedade nesse registo comercial não exerce nenhuma influência na determinação das finalidades e dos tratamentos posteriores efetuados por essa autoridade. Além disso, prossegue finalidades diferentes e que lhe são próprias, a saber, cumprir as formalidades necessárias a essa inscrição.

80 No caso em apreço, como salientou a advogada‑geral nos n.os 31 e 32 dessas conclusões, resulta do pedido de decisão prejudicial que a disponibilização ao público dos dados pessoais de OL ocorreu no exercício das atribuições conferidas à Agência enquanto autoridade encarregada da manutenção do registo comercial, sendo as finalidades e os meios de tratamento desses dados determinados tanto pelo direito da União como pela legislação nacional em causa no processo principal, nomeadamente pelo artigo 13.°, n.° 9, da Lei Relativa aos Registos. Assim, o facto de uma cópia autenticada do contrato de sociedade em questão que oculta os dados pessoais não exigidos por essa legislação não ter sido transmitida, contrariamente às modalidades processuais previstas pela referida legislação, não tem incidência na qualificação da Agência como «responsável por esse tratamento».

81 Esta qualificação também não é posta em causa pelo facto de a Agência não controlar, ao abrigo da mesma legislação, antes da sua colocação em linha, os dados pessoais contidos nas imagens eletrónicas ou nos originais dos documentos que lhe são transmitidos para efeitos da inscrição de uma sociedade. A este respeito, o Tribunal de Justiça já declarou que seria contrário ao objetivo do artigo 4.°, ponto 7, do RGPD, referido no n.° 72 do presente acórdão, excluir do conceito de «responsável pelo tratamento» o jornal oficial de um Estado‑Membro pelo facto de este último não exercer controlo sobre os dados pessoais que figuram nas suas publicações [Acórdão de 11 de janeiro de 2024, Estado belga (Dados tratados por um jornal oficial), C‑231/22, EU:C:2024:7, n.° 38].

82 Nestas circunstâncias, afigura‑se que, numa situação como a que está em causa no processo principal, a Agência é responsável pelo tratamento dos dados pessoais de OL que consiste na disponibilização ao público, em linha, desses dados, mesmo que lhe devesse ter sido transmitida uma cópia do contrato de sociedade em questão que oculta os dados pessoais não exigidos pela legislação nacional em causa no processo principal, por força dessa legislação, o que cabe ao órgão jurisdicional de reenvio verificar. Por conseguinte, a Agência é igualmente responsável, por força do artigo 5.°, n.° 2, do RGPD, pelo cumprimento do n.° 1 deste artigo.

83 Atendendo ao que precede, há que responder à quinta questão que o RGPD, nomeadamente o seu artigo 4.°, n.os 7 e 9, deve ser interpretado no sentido de que a autoridade encarregada da manutenção do registo comercial de um Estado‑Membro que publica, nesse registo, os dados pessoais constantes de um contrato de sociedade sujeito à publicidade obrigatória prevista na Diretiva 2017/1132, que lhe foi transmitido no âmbito de um pedido de inscrição da sociedade em questão no referido registo, é tanto «destinatária» desses dados como, nomeadamente na medida em que os disponibiliza ao público, «responsável pelo tratamento» dos referidos dados, na aceção desta disposição, mesmo que esse contrato contenha dados pessoais não exigidos por esta diretiva ou pelo direito desse Estado‑Membro.

Quanto à quarta questão

Quanto à admissibilidade

84 O Governo Búlgaro sustenta que a quarta questão é inadmissível, uma vez que suscita um problema hipotético. Com efeito, segundo este Governo, esta questão tem por objeto, com efeito, a compatibilidade com o artigo 16.° da Diretiva 2017/1132 de uma legislação nacional relativa às modalidades processuais para o exercício do direito previsto no artigo 17.° do RGPD, que ainda não foi adotada.

85 Segundo jurisprudência constante, o processo de decisão prejudicial previsto no artigo 267.° TFUE estabelece uma cooperação estreita entre os órgãos jurisdicionais nacionais e o Tribunal de Justiça, assente numa repartição de funções entre eles, e constitui um instrumento graças ao qual o Tribunal de Justiça fornece aos tribunais nacionais os elementos de interpretação do direito da União necessários para a resolução dos litígios que lhes são submetidos No âmbito desta cooperação, o juiz nacional, a quem foi submetido o litígio e que deve assumir a responsabilidade pela decisão judicial a tomar, tem competência exclusiva para apreciar, tendo em conta as especificidades do processo, tanto a necessidade de uma decisão prejudicial para poder proferir a sua decisão como a pertinência das questões que submete ao Tribunal. Consequentemente, desde que as questões submetidas sejam relativas à interpretação do direito da União, o Tribunal de Justiça é, em princípio, obrigado a pronunciar‑se [Acórdão de 23 de novembro de 2021, IS (Ilegalidade do despacho de reenvio), C‑564/19, EU:C:2021:949, n.os 59 e 60 e jurisprudência referida].

86 Daqui se conclui que as questões relativas ao direito da União gozam de uma presunção de pertinência. O Tribunal de Justiça só pode recusar pronunciar‑se sobre uma questão prejudicial apresentada por um órgão jurisdicional nacional se for manifesto que a interpretação do direito da União solicitada não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, quando o problema for hipotético ou ainda quando o Tribunal não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas [Acórdão de 24 de novembro de 2020, Openbaar Ministerie (Falsificação de documento), C‑510/19, EU:C:2020:953, n.° 26 e jurisprudência referida].

87 No caso em apreço, resulta do pedido de decisão prejudicial que o órgão jurisdicional de reenvio é chamado a pronunciar‑se, em última instância, sobre a legalidade da recusa da Agência ao pedido de apagamento de dados pessoais em causa no processo principal, pelo facto de não ter sido fornecida à Agência uma cópia do contrato de sociedade em questão que oculta os dados pessoais não exigidos pela legislação búlgara, contrariamente às modalidades processuais previstas nessa legislação. Além disso, decorre desse pedido que essa recusa corresponde à prática da Agência. Por último, esse órgão jurisdicional especificou que era necessária uma resposta do Tribunal de Justiça à quarta questão para a resolução do litígio no processo principal, num contexto em que a jurisprudência nacional não é uniforme.

88 Daqui resulta que, contrariamente ao que sustenta o Governo Búlgaro, a quarta questão é admissível.

Quanto ao mérito

89 Tendo em conta as indicações que figuram no pedido de decisão prejudicial, conforme expostas no n.° 87 do presente acórdão, há que considerar que, com a sua quarta questão, o órgão jurisdicional de reenvio pergunta, em substância, se a Diretiva 2017/1132, em especial o seu artigo 16.°, e o artigo 17.° do RGPD devem ser interpretados no sentido de que se opõem a uma regulamentação ou a uma prática de um Estado‑Membro que leva a autoridade encarregada da manutenção do registo comercial desse Estado‑Membro a recusar qualquer pedido de apagamento dos dados pessoais, não exigidos por esta diretiva ou pelo direito do referido Estado‑Membro, que figura num contrato de sociedade publicado nesse registo, quando uma cópia desse contrato que oculta esses dados não tiver sido fornecida a essa autoridade contrariamente às modalidades processuais previstas por essa regulamentação.

90 Em conformidade com o artigo 17.°, n.° 1, do RGPD, o titular tem o direito de obter do responsável pelo tratamento o apagamento dos seus dados pessoais, sem demora injustificada, e este tem a obrigação de apagar os dados pessoais, sem demora injustificada, quando se aplique um dos motivos enunciados nesta disposição.

91 É esse o caso, segundo esse artigo 17.°, n.° 1, alínea c), quando o titular dos dados se opõe ao tratamento nos termos do artigo 21.°, n.° 1, deste regulamento e não existem «interesses legítimos prevalecentes que justifiquem o tratamento» ou, nos termos do referido artigo 17.°, n.° 1, alínea d), quando os dados em causa foram «tratados ilicitamente».

92 Decorre também do artigo 17.°, n.° 3, alínea b), do RGPD, que esse artigo 17.°, n.° 1, não se aplica na medida em que esse tratamento é necessário ao cumprimento de uma obrigação jurídica que exija o tratamento previsto pelo direito da União ou de um Estado‑Membro a que o responsável pelo tratamento esteja sujeito, ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento.

93 Por conseguinte, para determinar se, numa situação como a que está em causa no processo principal, o titular dos dados dispõe de um direito ao apagamento nos termos do artigo 17.° do RGPD, importa, num primeiro momento, examinar o ou os motivos de licitude que podem ser abrangidos pelo tratamento dos seus dados pessoais.

94 A este respeito, importa recordar que o artigo 6.°, n.° 1, primeiro parágrafo, do RGPD prevê uma lista exaustiva e taxativa dos casos em que o tratamento de dados pessoais pode ser considerado lícito. Assim, para ser considerado legítimo, um tratamento deve ser abrangido por um dos casos previstos nesta disposição [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.° 99 e jurisprudência referida].

95 Na falta de consentimento do titular dos dados para o tratamento dos seus dados pessoais nos termos desse artigo 6.°, n.° 1, primeiro parágrafo, alínea a), ou quando esse consentimento não tenha sido dado de forma livre, específica, informada e inequívoca na aceção do artigo 4.°, ponto 11, do RGPD, esse tratamento pode, não obstante, ser justificado quando cumpre um dos requisitos de necessidade mencionados no referido artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) a f), deste regulamento [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 92].

96 Neste contexto, as justificações previstas nesta última disposição, na medida em que permitem tornar lícito um tratamento de dados pessoais efetuado sem o consentimento do titular dos dados, devem ser objeto de uma interpretação restritiva [Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 93 e jurisprudência referida].

97 Importa também precisar que, nos termos do artigo 5.° do RGPD, é sobre o responsável pelo tratamento que recai o ónus de provar que esses dados são recolhidos, nomeadamente, para finalidades determinadas, explícitas e legítimas, que são adequados, pertinentes e limitados ao necessário para as finalidades para que são tratados e que são objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), EU:C:2023:537, n.° 95].

98 Embora caiba ao órgão jurisdicional de reenvio determinar se os diferentes elementos de um tratamento como o que está em causa no processo principal são justificados por uma ou outra das necessidades referidas no artigo 6.°, n.° 1, primeiro parágrafo, alíneas a) a f), do RGPD, o Tribunal de Justiça pode, no entanto, fornecer‑lhe indicações úteis para lhe permitir decidir o litígio que lhe foi submetido [v., neste sentido, Acórdão de 4 de julho de 2023, Meta Platforms e o. (Condições gerais de utilização de uma rede social), C‑252/21, EU:C:2023:537, n.° 96].

99 No caso em apreço, antes de mais, como salientou a advogada‑geral no n.° 43 das suas conclusões, a presunção de consentimento estabelecida no artigo 13.°, n.° 9, da Lei relativa aos Registos não parece cumprir as situações exigidas no artigo 6.°, n.° 1, primeiro parágrafo, alínea a), do RGPD, conjugado com o artigo 4.°, ponto 11, deste regulamento.

100 Com efeito, como resulta dos considerandos 32, 42 e 43 do referido regulamento, o consentimento deverá ser dado mediante um ato positivo claro, por exemplo, mediante uma declaração escrita ou uma declaração oral, sem ser considerado como tendo sido dado de livre vontade se o titular dos dados não dispuser de uma escolha verdadeira ou livre ou não puder recusar nem retirar o consentimento sem ser prejudicado. Por outro lado, o consentimento não deverá constituir um fundamento jurídico válido em casos específicos em que exista um desequilíbrio manifesto entre o titular dos dados e o responsável pelo seu tratamento, nomeadamente quando este último é uma autoridade pública.

101 Por conseguinte, não se pode considerar que uma presunção como a prevista no artigo 13.°, n.° 9, da Lei relativa aos Registos demonstra um consentimento dado de livre vontade, específico, informado e inequívoco para o tratamento de dados pessoais efetuado por uma autoridade pública como a Agência.

102 Em seguida, os motivos de licitude previstos no artigo 6.°, n.° 1, primeiro parágrafo, alíneas b) e d), relativos a um tratamento de dados pessoais necessário, respetivamente, para a execução de um contrato e para a defesa de interesses vitais de uma pessoa singular, não se afiguram pertinentes à luz do tratamento de dados pessoais em causa no processo principal. O mesmo se aplica ao motivo de licitude previsto neste artigo 6.°, n.° 1, primeiro parágrafo, alínea f), relativo a um tratamento de dados pessoais necessário para efeitos dos interesses legítimos prosseguidos pelo responsável pelo tratamento, uma vez que resulta claramente da redação do referido artigo 6.°, n.° 1, segundo parágrafo, que um tratamento de dados pessoais efetuado por uma autoridade pública na prossecução das suas atribuições não pode estar abrangido pelo âmbito de aplicação deste último motivo [v., neste sentido, Acórdão de 8 de dezembro de 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalidades do tratamento de dados pessoais — Inquérito penal), C‑180/21, EU:C:2022:967, n.° 85].

103 Por último, no que respeita aos motivos de licitude que figuram no artigo 6.°, n.° 1, primeiro parágrafo, alíneas c) e e), do RGPD, há que recordar que, nos termos deste artigo 6.°, n.° 1, primeiro parágrafo, alínea c), um tratamento de dados pessoais é lícito se for necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito. Além disso, segundo o referido artigo 6.°, n.° 1, primeiro parágrafo, alínea e), é igualmente lícito o tratamento necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento.

104 O artigo 6.°, n.° 3, do RGPD especifica, nomeadamente, a respeito destas duas hipóteses de licitude, que o tratamento deve ser baseado no direito da União ou no direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito, que essa base jurídica deve corresponder a um objetivo de interesse público e que deve ser proporcionada ao objetivo legítimo prosseguido.

105 No que respeita, em primeiro lugar, à questão de saber se o tratamento em causa no processo principal é necessário para o cumprimento de uma obrigação legal decorrente do direito da União ou do direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito, na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, importa salientar, à semelhança da advogada‑geral nos n.os 45 e 47 das suas conclusões, que a Diretiva 2017/1132 não impõe o tratamento sistemático de dados pessoais contidos num ato sujeito à publicidade obrigatória previsto nesta diretiva. Pelo contrário, decorre do artigo 161.° da referida diretiva que o tratamento de dados pessoais no âmbito da Diretiva 2017/1132 e, em especial, qualquer recolha, conservação, disponibilização a terceiros e publicação de informações ao abrigo desta diretiva deve cumprir plenamente as exigências decorrentes do RGPD.

106 Incumbe, assim, aos Estados‑Membros, no âmbito da execução das obrigações impostas pela referida diretiva, assegurar a conciliação, por um lado, dos objetivos de segurança jurídica e de proteção dos interesses de terceiros, prosseguidos pela mesma diretiva e recordados no n.° 77 do presente acórdão, e, por outro, dos direitos consagrados pelo RGPD e pelo direito fundamental à proteção dos dados pessoais, efetuando uma ponderação equilibrada entre esses objetivos e esses direitos (v., neste sentido, Acórdão de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, n.° 98).

107 Por conseguinte, não se pode considerar que a disponibilização ao público, em linha, no registo comercial, de dados pessoais não exigidos pela Diretiva 2017/1132 ou pela legislação nacional em causa no processo principal, que figura num contrato de sociedade sujeito à publicidade obrigatória prevista por esta diretiva e transmitidos à Agência, se justifique pela exigência de assegurar a publicidade dos atos referidos no artigo 14.° da referida diretiva em conformidade com o seu artigo 16.°, e que, por isso, resulte de uma obrigação legal prevista pelo direito da União.

108 A licitude do tratamento em causa no processo principal também não parece basear‑se, sob reserva de verificação pelo órgão jurisdicional de reenvio, numa obrigação jurídica prevista pelo direito do Estado‑Membro ao qual o responsável pelo tratamento está sujeito na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea c), do RGPD, neste caso o direito búlgaro, na medida em que, por um lado, resulta dos autos de que dispõe o Tribunal de Justiça que o artigo 2.°, n.° 2, da Lei relativa aos Registos prevê que os atos que devem constar do registo comercial são disponibilizados ao público isentos das informações que constituem dados pessoais, «com exceção das informações que devam ser disponibilizadas ao público por força da lei» e em que, por outro, o artigo 13.°, n.° 9, desta lei institui uma presunção de consentimento que, como resulta do n.° 99 do presente acórdão, não responde às exigências do RGPD.

109 No que respeita, em segundo lugar, à questão de saber se o tratamento em causa no processo principal é necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública de que está investido o responsável pelo tratamento, na aceção do artigo 6.°, n.° 1, primeiro parágrafo, alínea e), do RGPD, a que se referem, nomeadamente, tanto o órgão jurisdicional de reenvio como o Governo Búlgaro e a Agência, o Tribunal de Justiça já declarou que a atividade de uma autoridade pública que consiste em salvaguardar, numa base de dados, dados que as sociedades são obrigadas a comunicar com base em obrigações legais, em permitir aos interessados a consulta desses dados e em lhes fornecer cópias destes enquadra‑se no exercício de funções de interesse público (v., neste sentido, Acórdão de 9 de março de 2017, Manni, C‑398/15, EU:C:2017:197, n.° 43).

110 Daqui resulta que o tratamento em causa no processo principal se afigura, é certo, realizado no âmbito de funções de interesse público na aceção da referida disposição. Todavia, para preencher os requisitos impostos pela mesma disposição, é necessário que esse tratamento responda efetivamente aos objetivos de interesse geral prosseguidos, sem ir além do que é necessário para realizar esses objetivos [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.° 109].

111 Este requisito da necessidade não está preenchido quando o objetivo de interesse geral visado possa ser razoavelmente alcançado de modo igualmente eficaz através de outros meios menos atentatórios dos direitos fundamentais dos titulares dos dados, em especial os direitos ao respeito pela vida privada e à proteção dos dados pessoais garantidos nos artigos 7.° e 8.° da Carta, devendo as derrogações e as restrições ao princípio da proteção desses dados ocorrer nos limites do estritamente necessário [v., neste sentido, Acórdão de 22 de junho de 2021, Latvijas Republikas Saeima (Pontos de penalização), C‑439/19, EU:C:2021:504, n.° 110 e jurisprudência referida].

112 Ora, como salientou a advogada‑geral no n.° 51 das suas conclusões, a disponibilização ao público, em linha, de dados pessoais que não são exigidos pela Diretiva 2017/1132 nem pelo direito nacional não pode ser considerada, em si mesma, necessária à realização dos objetivos prosseguidos por esta diretiva.

113 Em especial, quanto à existência de meios menos atentatórios dos direitos fundamentais dos titulares dos dados, importa salientar que a legislação nacional em causa no processo principal prevê que o requerente da inscrição de uma sociedade no registo comercial deve fornecer uma cópia do ato dessa sociedade expurgada dos dados pessoais não exigidos destinada a ser publicada nesse registo e acessível a terceiros, a qual, no caso em apreço, nunca foi fornecida à Agência, mesmo após um pedido da sua parte. No entanto, o Governo Búlgaro e a Agência confirmaram que, mesmo após um prazo razoável e quando o titular dos dados não esteja em condições de obter da sociedade em questão ou dos seus representantes essa cópia, essa legislação não prevê que a Agência possa fazer ela própria essa cópia, o que constitui, contudo, um meio que permite alcançar de forma igualmente eficaz os objetivos de assegurar a publicidade dos atos das sociedades, a segurança jurídica e a proteção dos interesses de terceiros, sendo menos atentatório do direito à proteção dos dados pessoais.

114 Importa ainda salientar, à semelhança da advogada‑geral no n.° 56 das suas conclusões, que, contrariamente ao que alegam vários Estados‑Membros nas suas observações no Tribunal de Justiça, a exigência de preservar a integridade e a fiabilidade dos atos das sociedades sujeitos à publicidade obrigatória prevista na Diretiva 2017/1132, que impõe a publicação desses atos tal como foram transmitidos às autoridades responsáveis pela manutenção do registo comercial, não pode sistematicamente prevalecer sobre esse direito, sob pena de tornar a sua proteção ilusória.

115 Em especial, esta exigência não pode impor a manutenção da disponibilização ao público, em linha, nesse registo, de dados pessoais não exigidos pela Diretiva 2017/1132 ou pelo direito nacional, quando, como resulta do n.° 113 do presente acórdão, a Agência pode fazer ela própria a cópia do ato da sociedade em questão, prevista por esse direito, com vista a essa disponibilização.

116 Daqui resulta que o tratamento de dados pessoais em causa no processo principal parece, em todo o caso, ir além do que é necessário para o exercício de funções de interesse público de que a Agência está investida por força da referida legislação nacional.

117 Por conseguinte, como observou a advogada‑geral no n.° 59 das suas conclusões, sob reserva das verificações que cabe a esse órgão jurisdicional de reenvio efetuar, esse tratamento também não parece preencher os requisitos de licitude previstos no artigo 6.°, n.° 1, primeiro parágrafo, alíneas c), e e), em conjugação com o artigo 6.°, n.° 3, do RGPD.

118 Num segundo momento, no que respeita ao pedido de apagamento nos termos do artigo 17.° do RGPD em causa no processo principal, importa salientar que, na hipótese de o órgão jurisdicional de reenvio concluir, no termo da sua apreciação sobre a licitude desse tratamento, que o referido tratamento não é lícito, incumbe à Agência, enquanto responsável pelo tratamento, como resulta dos n.os 82 e 83 do presente acórdão, segundo a redação clara do artigo 17.°, n.° 1, alínea d), do RGPD, apagar os dados em questão sem demora injustificada [v., neste sentido, Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 108].

119 Se esse órgão jurisdicional concluir, em contrapartida, que esse tratamento responde efetivamente ao motivo de licitude previsto no artigo 6.°, n.° 1, alínea e), do RGPD, nomeadamente na medida em que a disponibilização ao público, em linha, no registo comercial, de dados não exigidos pela Diretiva 2017/1132 ou pela legislação nacional em causa no processo principal, era necessária para evitar atrasar a inscrição da sociedade em questão, no interesse da proteção de terceiros, há que salientar que o artigo 17.°, n.° 1, alínea c), do RGPD seria aplicável.

120 Resulta desta última disposição, em conjugação com o artigo 21.°, n.° 1, do RGPD, que o titular dos dados dispõe de um direito de se opor ao tratamento e de um direito ao apagamento, a menos que existam razões imperiosas e legítimas para esse tratamento que prevaleçam sobre os interesses, bem como sobre os direitos e as liberdades desta pessoa, na aceção desse artigo 21.°, n.° 1, cabendo ao responsável pelo tratamento demonstrá‑lo [v., neste sentido, Acórdão de 7 dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.° 111].

121 Ora, numa situação como a que está em causa no processo principal, não parece existir um motivo legítimo imperioso, na aceção desta disposição, suscetível de se opor a tal pedido de apagamento.

122 Com efeito, por um lado, resulta da decisão de reenvio que a sociedade da qual OL é sócia já está inscrita no registo comercial.

123 Por outro lado, como foi salientado no n.° 115 do presente acórdão, a exigência de preservar a integridade e a fiabilidade dos atos das sociedades sujeitas a publicidade obrigatória prevista pela Diretiva 2017/1132 não pode impor a manutenção da disponibilização ao público, em linha, nesse registo, de dados pessoais não exigidos pela Diretiva 2017/1132 ou pelo direito nacional.

124 Por último, admitindo que o órgão jurisdicional de reenvio conclui que o referido tratamento de dados pessoais em causa no processo principal responde efetivamente ao motivo de licitude previsto no artigo 6.°, n.° 1, alínea c), do RGPD, importa salientar que o RGPD, e nomeadamente o seu artigo 17.°, n.° 3, alínea b), consagra expressamente a exigência de uma ponderação entre, por um lado, os direitos fundamentais ao respeito pela vida privada e à proteção dos dados pessoais, consagrados nos artigos 7.° e 8.° da Carta, e, por outro, os objetivos legitimamente prosseguidos pelo direito da União ou pelo direito dos Estados‑Membros que estão na base da obrigação jurídica cujo tratamento é necessário para o seu cumprimento [v., por analogia, Acórdão de 8 de dezembro de 2022, Google (Supressão de um conteúdo pretensamente inexato), C‑460/20, EU:C:2022:962, n.° 58 e jurisprudência referida].

125 Como o Tribunal de Justiça já declarou, uma limitação do acesso aos dados pessoais que o direito da União submete a uma publicidade obrigatória apenas a terceiros que justifiquem um interesse específico pode, caso a caso, ser justificada, por razões preponderantes e legítimas relacionadas com a situação específica dos titulares (v., neste sentido, Acórdão de 9 de março de 2017, Manni C‑398/15, EU:C:2017:197, n.° 60).

126 Como salientou a advogada‑geral no n.° 67 das suas conclusões, o mesmo deve valer, a fortiori, quando, como no caso em apreço, os dados pessoais em causa não são exigidos pela Diretiva 2017/1132 nem pelo direito nacional.

127 Tendo em conta estes elementos, há que responder à quarta questão que a Diretiva 2017/1132, em especial o seu artigo 16.°, e o artigo 17.° do RGPD devem ser interpretados no sentido de que se opõem a uma regulamentação ou a uma prática de um Estado‑Membro que leva a autoridade encarregada da manutenção do registo comercial desse Estado‑Membro a recusar qualquer pedido de apagamento dos dados pessoais, não exigidos por esta diretiva ou pelo direito do referido Estado‑Membro, que figura num contrato de sociedade publicado nesse registo, quando uma cópia desse contrato que oculta esses dados não tiver sido fornecida a essa autoridade contrariamente às modalidades processuais previstas por essa regulamentação.

Quanto à sexta questão

128 Com a sua sexta questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 4.°, ponto 1, do RGPD deve ser interpretado no sentido de que a assinatura manuscrita de uma pessoa singular está abrangida pelo conceito de «dado pessoal» na aceção desta disposição.

129 A referida disposição prevê que constitui um dado pessoal a «informação relativa a uma pessoa singular identificada ou identificável» e especifica que «é considerada identificável uma pessoa singular que possa ser identificada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular».

130 A este respeito, o Tribunal de Justiça já declarou que a utilização do termo «informação» na definição do conceito de «dados pessoais», que figura na mesma disposição, reflete o objetivo do legislador da União de atribuir um sentido amplo a este conceito, o qual abrange potencialmente qualquer tipo de informações, tanto objetivas como subjetivas sob a forma de opiniões ou de apreciações, na condição de «dizerem respeito» à pessoa em causa (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.° 23).

131 Uma informação diz respeito a uma pessoa singular identificada ou identificável quando, devido ao seu conteúdo, à sua finalidade ou ao seu efeito, está relacionada com uma pessoa identificável (Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.° 24).

132 Quanto ao caráter «identificável» de uma pessoa singular, o considerando 26 do RGPD precisa que importa ter em conta «todos os meios suscetíveis de ser razoavelmente utilizados, tais como a seleção, quer pelo responsável pelo tratamento quer por outra pessoa, para identificar direta ou indiretamente a pessoa singular».

133 Daqui resulta que a definição ampla do conceito de «dados pessoais» não abrange apenas os dados recolhidos e conservados pelo responsável pelo tratamento mas inclui igualmente todas as informações resultantes de um tratamento de dados pessoais que digam respeito a uma pessoa identificada ou identificável (v., neste sentido, Acórdão de 4 de maio de 2023, Österreichische Datenschutzbehörde e CRIF, C‑487/21, EU:C:2023:369, n.° 26).

134 Resulta igualmente da jurisprudência do Tribunal de Justiça que a caligrafia de uma pessoa singular dá uma informação relativa a essa pessoa (v., neste sentido, Acórdão de 20 de dezembro de 2017, Nowak, C‑434/16, EU:C:2017:994, n.° 37).

135 Por último, há que salientar que a assinatura manuscrita de uma pessoa singular é, de um modo geral, utilizada para identificar essa pessoa, para conferir valor probatório, relativamente à sua exatidão e à sua sinceridade, aos documentos nos quais está aposta ou para assumir a sua responsabilidade. Por outro lado, verifica‑se que, no contrato de sociedade em questão, a assinatura dos sócios acompanha o nome destes últimos.

136 Atendendo ao que precede, há que responder à sexta questão que o artigo 4.°, n.° 1, do RGPD deve ser interpretado no sentido de que a assinatura manuscrita de uma pessoa singular está abrangida pelo conceito de «dados pessoais» na aceção desta disposição.

Quanto à sétima questão

137 Com a sua sétima questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que uma perda de controlo de duração limitada, pelo titular dos dados, sobre os seus dados pessoais devido à disponibilização ao público desses dados, em linha, no registo comercial de uma Estado‑membro pode ser suficiente para causar um «dan[o] imateria[l]» ou se este conceito de «danos imateriais» exige a demonstração da existência de consequências negativas tangíveis adicionais.

138 A título preliminar, há que recordar que esta disposição estabelece que «[q]ualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação do [RGPD] tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos».

139 A este respeito, uma vez que o RGPD não remete para o direito dos Estados‑Membros no que se refere ao sentido e ao alcance dos termos que figuram na referida disposição, em especial no que respeita aos conceitos de «danos materiais ou imateriais» e de «indemnização [...] pelos danos sofridos», estes termos devem ser considerados, para efeitos da aplicação deste regulamento, conceitos autónomos do direito da União, que devem ser interpretados de maneira uniforme em todos os Estados‑Membros [v., neste sentido, Acórdão de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.° 30].

140 Com efeito, o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que a simples violação deste regulamento não basta para conferir um direito a indemnização, uma vez que a existência de «danos», materiais ou imateriais, ou de «danos sofridos» constitui um dos requisitos do direito de indemnização previsto nesse artigo 82.°, n.° 1, bem como a existência de uma violação deste regulamento e de um nexo de causalidade entre esses danos e essa violação, uma vez que estes três requisitos são cumulativos [Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.° 32, e de 11 de abril de 2024, juris, C‑741/21, EU:C:2024:288, n.° 34].

141 Assim, a pessoa que pede uma indemnização por danos imateriais ao abrigo desta disposição é obrigada a demonstrar não só a violação de disposições do mesmo regulamento mas também que essa violação lhe causou tais danos. Por conseguinte, tal dano não pode ser presumido apenas devido à ocorrência da referida violação [v., neste sentido, Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.os 42 e 50, e de 11 de abril de 2024, juris, C‑741/21, EU:C:2024:288, n.° 35].

142 Em particular, a pessoa afetada por uma violação do RGPD que tenha tido consequências negativas a seu respeito está obrigada a demonstrar que estas consequências constituem danos imateriais, na aceção do artigo 82.° deste regulamento, dado que a simples violação das disposições deste não é suficiente para conferir o direito de indemnização (Acórdão de 25 de janeiro de 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, n.° 60 e jurisprudência referida).

143 Por conseguinte, quando uma pessoa que pede uma indemnização com fundamento nesse artigo 82.°, n.° 1, invoca o receio de uma utilização abusiva dos seus dados pessoais no futuro devido à existência dessa violação, o tribunal nacional da causa deve verificar se esse receio pode ser considerado fundado, nas circunstâncias específicas em causa e em relação à pessoa em questão (Acórdão de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.° 85)

144 Não obstante, o Tribunal de Justiça já declarou que resulta não só da redação do referido artigo 82.°, n.° 1, do RGPD, lido à luz dos considerandos 85 e 146 deste regulamento, que convidam a adotar uma conceção ampla do conceito de «danos imateriais» na aceção desta primeira disposição, mas também do objetivo que consiste em garantir um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais, visado pelo referido regulamento, que o receio de uma potencial utilização abusiva dos seus dados pessoais por terceiros que um titular dos dados tenha na sequência de uma violação do mesmo regulamento é suscetível, por si só, de constituir «danos imateriais», na aceção do mesmo artigo 82.°, n.° 1 [Acórdão de 20 de junho de 2024, PS (Endereço errado), C‑590/22, EU:C:2024:536, n.° 32 e jurisprudência referida].

145 Em especial, resulta da lista ilustrativa dos «danos» suscetíveis de ser sofridos pelos titulares dos dados que figura no considerando 85, primeiro período, do RGPD que o legislador da União pretendeu incluir no conceito de «dano» que pode ser sofrido pelos titulares dos dados, nomeadamente, a simples «perda de controlo» sobre os seus próprios dados pessoais, na sequência de uma violação deste regulamento, ainda que não tenha havido uma utilização efetivamente abusiva dos dados em causa (v., neste sentido, Acórdão de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.° 82).

146 Além disso, uma interpretação do artigo 82.°, n.° 1, do RGPD segundo a qual o conceito de «danos imateriais», na aceção desta disposição, não inclui as situações em que um titular dos dados invoca unicamente o seu receio de que os seus dados pessoais sejam objeto de uma utilização abusiva por terceiros, no futuro, não é conforme com a garantia de um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais na União, que é visada por esse regulamento (v., neste sentido, Acórdão de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.° 83).

147 Do mesmo modo, este conceito não pode estar apenas circunscrito aos danos de uma certa gravidade, em especial quanto à duração do período durante o qual os titulares dos dados sofreram as consequências negativas da violação do referido regulamento (v., neste sentido, Acórdão de 14 de dezembro de 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, n.os 16 e 19 e jurisprudência referida).

148 Assim, não se pode considerar que, além dos três requisitos enunciados no n.° 140 do presente acórdão, podem ser acrescentados outros requisitos para desencadear a responsabilidade prevista no artigo 82.°, n.° 1, do RGPD, como o caráter tangível do dano ou o caráter objetivo da lesão (Acórdão de 14 de dezembro de 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, n.° 17).

149 Esta disposição não exige que, na sequência da violação comprovada de disposições deste regulamento, o «dano imaterial» alegado pelo titular dos dados deva atingir um «limiar mínimo» para que esse dano possa ser reparado (Acórdão de 14 de dezembro de 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, n.° 18).

150 Por conseguinte, embora nada se oponha a que a publicação na Internet de dados pessoais e a perda consecutiva de controlo sobre estes durante um curto período de tempo possam causar aos titulares dos dados um «dan[o] imateria[l]», na aceção do artigo 82.°, n.° 1, do RGPD, que dê direito a indemnização, é ainda necessário que esses titulares demonstrem que sofreram efetivamente esse dano, ainda que mínimo (v., neste sentido, Acórdãos de 14 de dezembro de 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, n.° 22, e de 11 de abril de 2024, juris, C‑741/21, EU:C:2024:288, n.° 42).

151 Por último, importa especificar que, no âmbito da fixação do montante das indemnizações devidas ao abrigo do direito de indemnização por danos imateriais, um dano imaterial causado por uma violação de dados pessoais não é, por natureza, menos importante do que um dano corporal (Acórdão de 20 de junho de 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, n.° 39).

152 Além disso, quando uma pessoa consegue demonstrar que a violação do RGPD lhe causou danos, na aceção do artigo 82.° deste regulamento, os critérios de avaliação da indemnização devida no âmbito das ações destinadas a garantir a salvaguarda dos direitos conferidos aos litigantes por esse artigo devem ser fixados no âmbito da ordem jurídica de cada Estado‑Membro, desde que essa indemnização seja integral e efetiva (v., neste sentido, Acórdão de 20 de junho de 2024, Scalable Capital, C‑182/22 e C‑189/22, EU:C:2024:531, n.° 43).

153 A este respeito, o direito de indemnização previsto neste artigo 82.°, n.° 1, nomeadamente em caso de danos imateriais, desempenha uma função exclusivamente compensatória, uma vez que a reparação pecuniária baseada nesta disposição deve permitir compensar integralmente o dano concretamente sofrido pela violação do referido regulamento, e não uma função dissuasiva ou punitiva [v., neste sentido, Acórdãos de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.os 57 e 58, e de 11 de abril de 2024, juris, C‑741/21, EU:C:2024:288, n.° 61].

154 Além disso, por um lado, a responsabilidade do responsável pelo tratamento a título do artigo 82.° do RGPD está subordinada à existência de culpa deste, a qual se presume a menos que este último prove que o facto que provocou o dano não lhe é de modo nenhum imputável, e, por outro, este artigo 82.° não exige que a gravidade dessa culpa seja tida em conta quando da fixação do montante da indemnização concedida a título de reparação de um dano imaterial ao abrigo do referido artigo (Acórdãos de 21 de dezembro de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, n.° 103, e de 25 de janeiro de 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, n.° 52).

155 No caso em apreço, como foi salientado no n.° 42 do presente acórdão, o órgão jurisdicional de reenvio especificou que o Administrativen sad Dobrich (Tribunal Administrativo de Dobrich) tinha constatado a existência de um dano imaterial que consistia em experiências psicológicas e emocionais negativas de OL, a saber, o medo e a inquietação face a eventuais abusos, bem como a impotência e a deceção quanto à impossibilidade de proteger os seus dados pessoais. Declarou também que esse dano resulta da carta da Agência de 26 de janeiro de 2022, que conduziu a uma violação do direito ao apagamento consagrado no artigo 17.°, n.° 1, do RGPD e a um tratamento ilícito dos seus dados pessoais contidos no contrato de sociedade em questão disponibilizado ao público.

156 Atendendo às considerações precedentes, há que responder à sétima questão que o artigo 82.°, n.° 1, do RGPD deve ser interpretado no sentido de que uma perda de controlo de duração limitada, pelo titular dos dados, sobre os seus dados pessoais devido à disponibilização ao público desses dados, em linha, no registo comercial de um Estado‑Membro pode ser suficiente para causar um «dano imaterial», desde que esse titular demonstre que sofreu efetivamente esse dano, por mínimo que seja, sem que este conceito de «dano imaterial» exija a demonstração da existência de consequências negativas tangíveis adicionais.

Quanto à oitava questão

157 Com a sua oitava questão, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 82.°, n.° 3, do RGPD deve ser interpretado no sentido de que um parecer da autoridade nacional de controlo de um Estado‑Membro, adotado em conformidade com o artigo 58.°, n.° 3, alínea b), deste regulamento, é suficiente para isentar de responsabilidade, nos termos do artigo 82.°, n.° 2, do referido regulamento, a autoridade responsável pela manutenção do registo comercial desse Estado‑Membro com a qualidade de «responsável pelo tratamento» na aceção do artigo 4.°, ponto 7, do mesmo regulamento.

158 Em primeiro lugar, no que respeita ao regime de responsabilidade previsto no artigo 82.° do RGPD, importa recordar que este artigo prevê, no seu n.° 1, que qualquer pessoa que tenha sofrido danos materiais ou imateriais devido a uma violação deste regulamento tem direito a receber uma indemnização do responsável pelo tratamento ou do subcontratante pelos danos sofridos. Como resulta do n.° 140 do presente acórdão, este direito a indemnização está sujeito ao preenchimento de três requisitos cumulativos.

159 Em conformidade com o artigo 82.°, n.° 2, primeiro período, do referido regulamento, qualquer responsável pelo tratamento que esteja envolvido no tratamento é responsável pelos danos causados por um tratamento que viole o mesmo regulamento. Esta disposição, que especifica o regime de responsabilidade cujo princípio está estabelecido no n.° 1 deste artigo, retoma as três condições necessárias para fazer surgir o direito de indemnização, a saber, um tratamento de dados pessoais efetuado em violação das disposições do RGPD, um dano sofrido pelo titular dos dados, e um nexo de causalidade entre esse tratamento ilícito e esse dano [Acórdão de 4 de maio de 2023, Österreichische Post (Dano imaterial relacionado com o tratamento de dados pessoais), C‑300/21, EU:C:2023:370, n.° 36].

160 Por seu turno, o artigo 82.°, n.° 3, do RGPD, estabelece que um responsável pelo tratamento fica isento de responsabilidade nos termos deste n.° 2, se provar que não é de modo algum responsável pelo evento que deu origem aos danos.

161 Como o Tribunal de Justiça já declarou, resulta de uma análise conjugada dos n.os 1 a 3 do artigo 82.° do RGPD, do contexto em que se insere e dos objetivos prosseguidos pelo legislador da União através deste regulamento que o referido artigo prevê um regime de responsabilidade por culpa no qual o ónus da prova não recai sobre a pessoa que sofreu um dano, mas sobre o responsável pelo tratamento (v., neste sentido, Acórdão de 21 de dezembro de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, n.os 94 e 95).

162 Em particular, não é conforme com o objetivo de garantir um nível de proteção elevado das pessoas singulares no que diz respeito ao tratamento de dados pessoais optar por uma interpretação segundo a qual os titulares dos dados que tenham sofrido um dano devido a uma violação do RGPD devem, no âmbito de uma ação de indemnização baseada no artigo 82.° deste, suportar o ónus de provar não só a existência dessa violação e do dano que para eles resultou mas também a existência de culpa do responsável pelo tratamento deliberadamente ou por negligência, ou mesmo a gravidade dessa culpa, mesmo que este artigo 82.° não formule tais exigências (v., neste sentido, Acórdão de 21 de dezembro de 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, n.° 99).

163 Em conformidade com a jurisprudência referida no n.° 154 do presente acórdão, a responsabilidade do responsável pelo tratamento nos termos do referido artigo 82.° está, assim, subordinada à existência de culpa deste, a qual se presume, a menos que este último prove que o facto que provocou o dano não lhe é de modo nenhum imputável.

164 A este respeito, como revela o aditamento expresso do advérbio «não» durante o processo legislativo, as circunstâncias em que o responsável pelo tratamento pode invocar o direito a ficar isento da responsabilidade civil em que incorre nos termos do artigo 82.° do RGPD devem ser estritamente limitadas àquelas em que esse responsável pode comprovar a inexistência de imputabilidade do dano por sua própria iniciativa (Acórdão de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.° 70).

165 O Tribunal de Justiça declarou igualmente que, no caso de uma violação de dados pessoais cometida por um terceiro, como um cibercriminoso, ou por uma pessoa que atue sob a autoridade do responsável pelo tratamento, este último só é suscetível de ficar isento de responsabilidade, com base no artigo 82.°, n.° 3, do RGPD, se provar que não existe um nexo de causalidade entre uma eventual violação da obrigação de proteção de dados que lhe incumbe por força deste regulamento e o dano sofrido pela pessoal singular em causa (v., neste sentido, Acórdãos de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.° 72, e de 11 de abril de 2024, juris, C‑741/21, EU:C:2024:288, n.° 51).

166 Por conseguinte, para que esse responsável possa ficar isento da sua responsabilidade, nos termos deste artigo 82.°, n.° 3, não é suficiente que este último demonstre que tenha dado instruções às pessoas que atuam sob a sua autoridade na aceção do referido regulamento, e que uma dessas pessoas não tenha cumprido a sua obrigação de seguir essas instruções, contribuindo assim para a ocorrência do dano em causa (v., neste sentido, Acórdão de 11 de abril de 2024, juris, C‑741/21, EU:C:2024:288, n.° 52).

167 Em segundo lugar, no que respeita às regras relativas aos meios de prova, importa recordar que o RGPD não enuncia regras relativas à admissão e ao valor probatório de um meio de prova que devem ser aplicadas pelos juízes nacionais chamados a pronunciar‑se sobre uma ação de indemnização baseada no artigo 82.° deste regulamento. Por conseguinte, na falta de regras do direito da União na matéria, cabe ao ordenamento jurídico interno de cada Estado‑Membro fixar as modalidades das ações destinadas a garantir a salvaguarda dos direitos conferidos aos sujeitos de direito por esse artigo 82.°, em especial, os critérios relativos aos meios de prova, sob reserva do respeito dos princípios da equivalência e da efetividade (v., neste sentido, Acórdão de 14 de dezembro de 2023, Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, n.° 60 e jurisprudência referida).

168 Em terceiro lugar, no que respeita a um parecer emitido nos termos do artigo 58.°, n.° 3, alínea b), do RGPD, importa recordar que este artigo fixa os poderes das autoridades de controlo.

169 Assim, o artigo 58.° do RGPD confere a essas autoridades, no seu n.° 1, poderes de investigação, no seu n.° 2, poderes de correção, no seu n.° 3, os poderes consultivos e de autorização nele enumerados e, no seu n.° 5, o poder de levar as violações deste regulamento ao conhecimento das autoridades judiciais e, se necessário, a intentar processos judiciais, a fim de fazer aplicar as disposições do referido regulamento.

170 Ora, entre os poderes enumerados no artigo 58.°, n.° 3, do RGPD figura, nesse artigo 58.°, n.° 3, alínea b), o de «emitir, por iniciativa própria ou se lhe for solicitado, pareceres dirigidos ao Parlamento nacional, ao Governo do Estado‑Membro ou, nos termos do direito do Estado‑Membro, a outras instituições e organismos, bem como ao público, sobre qualquer assunto relacionado com a proteção de dados pessoais».

171 Resulta claramente da redação desta última disposição, em especial do termo «pareceres», que a emissão de tal parecer faz parte dos poderes consultivos e não dos poderes de autorização da autoridade de controlo.

172 A utilização dos termos «pareceres» e «poderes consultivos» indica também que um parecer emitido com base no artigo 58.°, n.° 3, alínea b), do RGPD não é, ao abrigo do direito da União, juridicamente vinculativo.

173 O considerando 143 do RGPD confirma esta interpretação. Com efeito, este estabelece que «todas as pessoas, singulares ou coletivas, deverão ter direito a interpor junto dos tribunais nacionais competentes recurso efetivo das decisões das autoridades de controlo que produzam efeitos jurídicos em relação a essas pessoas. Tais decisões dizem respeito, em especial, ao exercício de poderes de investigação, correção e autorização pelas autoridades de controlo ou à recusa ou rejeição de reclamações. Porém, o direito a um recurso judicial efetivo não abrange medidas tomadas pelas autoridades de controlo que não sejam juridicamente vinculativas, como os pareceres emitidos ou o aconselhamento prestado pela autoridade de controlo».

174 Ora, uma vez que um parecer dado ao responsável pelo tratamento não é juridicamente vinculativo, não pode, por si só, comprovar a inexistência de imputabilidade do dano a esse responsável, na aceção da jurisprudência referida no n.° 164 do presente acórdão, nem, por isso, ser suficiente para isentar o referido responsável da responsabilidade prevista no artigo 82.°, n.° 3, do RGPD.

175 Tal interpretação deste artigo 82.°, n.° 3, é também conforme com os objetivos prosseguidos pelo RGPD de assegurar um elevado nível de proteção das pessoas singulares no que diz respeito ao tratamento dos seus dados pessoais e de garantir a reparação efetiva dos danos que podem sofrer devido a tratamentos desses dados efetuados em violação deste regulamento. Com efeito, se o responsável pelo tratamento de dados pudesse simplesmente invocar um parecer juridicamente não vinculativo para evitar qualquer responsabilidade e, correlativamente, qualquer obrigação de indemnização, este não teria nenhum incentivo para fazer tudo o que estivesse ao seu alcance para assegurar esse elevado nível de proteção e cumprir as obrigações impostas pelo referido regulamento.

176 Atendendo ao que precede, há que responder à oitava questão que o artigo 82.°, n.° 3, do RGPD deve ser interpretado no sentido de que um parecer da autoridade de controlo de um Estado‑Membro, adotado em conformidade com o artigo 58.°, n.° 3, alínea b), deste regulamento, não é suficiente para isentar de responsabilidade, nos termos do artigo 82.°, n.° 2, do referido regulamento, a autoridade responsável pela manutenção do registo comercial desse Estado‑Membro com a qualidade de «responsável pelo tratamento» na aceção do artigo 4.°, ponto 7, do mesmo regulamento.

Quanto às despesas

177 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:

1) O artigo 21.°, n.° 2, da Diretiva (UE) 2017/1132 do Parlamento Europeu e do Conselho, de 14 de junho de 2017, relativa a determinados aspetos do direito das sociedades,

deve ser interpretado no sentido de que:

não impõe a um Estado‑Membro uma obrigação de permitir a publicidade, no registo comercial, de um contrato de sociedade sujeito à publicidade obrigatória prevista nesta diretiva e que contém outros dados pessoais diferentes dos dados pessoais mínimos exigidos, cuja publicidade não é exigida pelo direito desse Estado‑Membro.

2) O Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), nomeadamente o seu artigo 4.°, pontos 7 e 9,

deve ser interpretado no sentido de que:

a autoridade encarregada da manutenção do registo comercial de um Estado‑Membro que publica, nesse registo, os dados pessoais constantes de um contrato de sociedade sujeito à publicidade obrigatória prevista na Diretiva 2017/1132, que lhe foi transmitido no âmbito de um pedido de inscrição da sociedade em questão no referido registo, é tanto «destinatária» desses dados como, nomeadamente na medida em que os disponibiliza ao público, «responsável pelo tratamento» dos referidos dados, na aceção desta disposição, mesmo que esse contrato contenha dados pessoais não exigidos por esta diretiva ou pelo direito desse Estado‑Membro.

3) A Diretiva 2017/1132, em particular o seu artigo 16.°, e o artigo 17.° do Regulamento 2016/679

devem ser interpretados no sentido de que:

se opõem a uma regulamentação ou a uma prática de um Estado‑Membro que leva a autoridade encarregada da manutenção do registo comercial desse Estado‑Membro a recusar qualquer pedido de apagamento dos dados pessoais, não exigidos por esta diretiva ou pelo direito do referido Estado‑Membro, que figura num contrato de sociedade publicado nesse registo, quando uma cópia desse contrato que oculta esses dados não tiver sido fornecida a essa autoridade contrariamente às modalidades processuais previstas por essa regulamentação.

4) O artigo 4.°, n.° 1, do Regulamento 2016/679

deve ser interpretado no sentido de que:

a assinatura manuscrita de uma pessoa singular está abrangida pelo conceito de «dados pessoais» na aceção desta disposição.

5) O artigo 82.°, n.° 1, do Regulamento 2016/679

deve ser interpretado no sentido de que:

uma perda de controlo de duração limitada, pelo titular dos dados, sobre os seus dados pessoais devido à disponibilização ao público desses dados, em linha, no registo comercial de um Estado‑Membro pode ser suficiente para causar um «dano imaterial», desde que esse titular demonstre que sofreu efetivamente esse dano, por mínimo que seja, sem que este conceito de «dano imaterial» exija a demonstração da existência de consequências negativas tangíveis adicionais.

6) O artigo 82.°, n.° 3, do Regulamento 2016/679

deve ser interpretado no sentido de que:

um parecer da autoridade de controlo de um Estado‑Membro, adotado em conformidade com o artigo 58.°, n.° 3, alínea b), deste regulamento, não é suficiente para isentar de responsabilidade, nos termos do artigo 82.°, n.° 2, do referido regulamento, a autoridade responsável pela manutenção do registo comercial desse Estado‑Membro com a qualidade de «responsável pelo tratamento» na aceção do artigo 4.°, ponto 7, do mesmo regulamento.

Assinaturas

* Língua do processo: búlgaro.