Ochrona danych osobowych członków zarządu

TS orzekł, że art. 6 ust. 1 lit. e), art. 12 lit. b) i art. 14 ak. 1 lit. a) dyrektywy 95/46 w zw. z art. 3 dyrektywy 68/151 w kontekście danych osobowych członków zarządu. Sprawa dotyczyła dostępu osób trzecich do danych osobowych po likwidacji spółki. Sąd odsyłający dąży do ustalenia możliwości ograniczenia dostępu do danych dotyczących konkretnych osób po określonym czasie od likwidacji spółki.

Tematyka: ochrona danych osobowych, TS, członkowie zarządu, dostęp do danych, likwidacja spółki, prawo gospodarcze, eksperci prawa

TS orzekł, że art. 6 ust. 1 lit. e), art. 12 lit. b) i art. 14 ak. 1 lit. a) dyrektywy 95/46 w zw. z art. 3 dyrektywy
68/151 należy interpretować w ten sposób, że w aktualnym stanie unijnego prawa do państw członkowskich
należy ustalenie, czy osoby fizyczne, o których mowa w art. 2 ust. 1 lit. d) i j) dyrektyw 68/151, mogą domagać
się od organu odpowiedzialnego za prowadzenie rejestru zbadania, w oparciu o ocenę konkretnego
przypadku, czy w razie zaistnienia przeważających i uzasadnionych względów dotyczących ich szczególnej
sytuacji, wyjątkowo uzasadnione jest ograniczenie, po upływie wystarczająco długiego okresu od dnia
likwidacji danej spółki, dostępu do wpisanych w rejestrze i dotyczących tych osób danych osobowych do
osób trzecich, które wykażą, że mają konkretny interes w uzyskaniu dostępu do tych danych.
S. Manni jest jednoosobowym członkiem zarządu Italiana Costruzioni Srl (dalej jako: IC), której zostało udzielone
zamówienie na budowę kompleksu turystycznego. W 2007 r. S. Manni pozwał do sądu izbę handlową w Lecce,
podnosząc, że IC nie jest w stanie sprzedać budynków z tego kompleksu, ponieważ z rejestru spółek wynika, że był
on jednoosobowym członkiem zarządu i likwidatorem spółki Immobiliare e Finanziaria Salentina Srl (dalej jako: IFS),
której upadłość została ogłoszona w 1992 r. IFS została wykreślona z rejestru spółek w lipcu 2005 r. po
przeprowadzeniu postępowania likwidacyjnego. W ramach wniesionego powództwa S. Manni podniósł, że te dane
osobowe zawarte w rejestrze spółek były przetwarzane przez spółkę wyspecjalizowaną w gromadzeniu
i przetwarzaniu informacji gospodarczych i w ocenie ryzyka (tzw. ratingu), oraz że mimo złożonego w tym względzie
wniosku izba handlowa w Lecce nie dokonała ich usunięcia. Wobec powyższego S. Manni wniósł o nakazanie izbie
handlowej w Lecce wykreślenia, anonimizacji lub zablokowania danych łączących jego nazwisko z upadłością IFS,
oraz o zasądzenie od tej izby handlowej zapłaty odszkodowania za wyrządzoną szkodę wizerunkową. Sąd
uwzględnił to żądanie, nakazując izbie handlowej w Lecce anonimizację danych łączących S. Manniego z upadłością
IFS oraz nakazując stronie pozwanej zapłatę odszkodowania za poniesioną przez niego szkodę, oszacowaną na
2000 EUR, wraz z odsetkami oraz kosztami postępowania. Sąd uznał, że „wpisy łączące nazwisko osoby fizycznej
z okresem nieprawidłowości w działaniu spółki (jak upadłość) nie mogą być wieczne w przypadku braku specjalnego
interesu ogólnego w ich przechowywaniu i rozpowszechnianiu”. Wobec braku maksymalnego okresu dla wpisu
przewidzianego we włoskim KC sąd ten uznał, że „po upływie odpowiedniego okresu od orzeczenia upadłości i po
wykreśleniu spółki z rejestru znika konieczność i celowość (…) wskazywania nazwiska byłego jednoosobowego
zarządcy w okresie upadłości, ponieważ interes publiczny związany z pamięcią historyczną o istnieniu spółki
i doświadczanych przez nią trudnościach (…) można w istotnej mierze zrealizować również wykorzystując dane
anonimowe”.
Poprzez pytania prejudycjalne sąd odsyłający zasadniczo dąży do ustalenia, czy art. 3 dyrektywy Rady 68/151/EWG
z 9.3.1968 r. w sprawie koordynacji gwarancji, jakie są wymagane w państwach członkowskich od spółek,
w rozumieniu art. 58 ak. 2 Traktatu, w celu uzyskania ich równoważności w całej Wspólnocie, dla zapewnienia
ochrony interesów zarówno wspólników, jak i osób trzecich (obecnie art. 3 dyrektywy 2009/101/WE) i art. 6 ust. 1 lit.
e) dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995 r. w sprawie ochrony osób fizycznych
w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, należy interpretować w ten
sposób, że państwa członkowskie mogą, względnie powinny, zezwalać osobom fizycznym, o których mowa w art. 2
ust. 1 lit. d) i j) dyrektywy 68/151, na domaganie się od organu odpowiedzialnego za prowadzenie rejestru spółek
ograniczenia – po upływie pewnego okresu od dnia likwidacji danej spółki i na podstawie oceny każdego konkretnego
przypadku – dostępu do dotyczących ich danych osobowych, wpisanych w tym rejestrze?
Zgodnie z art. 2 ust. 1 lit. d) dyrektywy 68/151, państwa członkowskie powinny podjąć niezbędne środki w celu
zapewnienia obowiązkowej jawności w odniesieniu do spółek co najmniej w stosunku do powołania, zakończenia
sprawowania funkcji, jak też danych osób, które jako organ przewidziany w prawie albo członkowie takiego organu są
upoważnione do reprezentowania spółki wobec osób trzecich oraz do reprezentowania jej w postępowaniu sądowym
lub uczestniczą w zarządzaniu spółką, jej nadzorowaniu lub kontrolowaniu. Ujawnieniu podlegają również, na
podstawie art. 2 ust. 1 lit. j) tej dyrektywy, informacje na temat powołania likwidatorów, danych ich dotyczących oraz,
co do zasady, ich odpowiednich uprawnień. Zgodnie z art. 3 ust. 1–3 dyrektywy 68/151 w każdym państwie
członkowskim te informacje powinny zostać wpisane do rejestru centralnego, rejestru handlowego lub rejestru spółek
(dalej jako: rejestr), a pełne lub częściowe kopie tych informacji muszą być udostępnione na wniosek. Informacje
dotyczące tożsamości osób, o których mowa w art. 2 ust. 1 lit. d) i j) dyrektywy 68/151, stanowią – jako informacje,
które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej – „dane osobowe” w rozumieniu art.
2 lit. a) dyrektywy 95/46. Z orzecznictwa TS wynika, że okoliczność, iż te informacje wpisują się w ramy działalności
zawodowej, nie odbiera im przymiotu danych osobowych (wyrok ClientEarth i PAN Europe/EFSA, C-615/13 P, pkt
30). Ponadto, poprzez wpisywanie i przechowywanie tych informacji w rejestrze, a także ujawnianie ich na wniosek
osób trzecich, organ odpowiedzialny za prowadzenie tego rejestru „przetwarza dane osobowe”, w odniesieniu do

których jest „administratorem” w rozumieniu definicji przedstawionych w art. 2 lit. b) i d) dyrektywy 95/46.
Przetwarzanie danych osobowych następuje w celu stosowania art. 2 ust. 1 lit. d) i j) oraz art. 3 dyrektywy 68/151
i podlega przepisom dyrektywy 95/46, w myśl art. 1 i 3 drugiej z wymienionych dyrektyw.
Z art. 1 i z motywu 10 dyrektywy 95/46 wynika, że jej celem jest zapewnienie wysokiego poziomu ochrony
podstawowych praw i wolności osób fizycznych, a szczególnie prawa do prywatności w zakresie przetwarzania
danych osobowych (wyrok Google Spain i Google, C-131/12, pkt 66). Zgodnie z motywem 25 dyrektywy 95/46, ta
ochrona powinna mieć odzwierciedlenie, z jednej strony, w obowiązkach nałożonych na podmioty przetwarzające
dane, zwłaszcza w zakresie dotyczącym jakości tych danych, bezpieczeństwa technicznego, zawiadamiania organu
nadzorczego oraz okoliczności, w jakich może odbywać się przetwarzanie danych, jak również, z drugiej strony,
w prawach przyznanych osobom, których dane są przedmiotem przetwarzania, do uzyskania informacji, że takie
przetwarzanie danych ma miejsce, uzyskiwania wglądu do danych, żądania poprawek lub nawet, w niektórych
przypadkach, możliwości zgłoszenia sprzeciwu wobec przetwarzania danych.
Z orzecznictwa TS wynika, że przepisy dyrektywy 95/46 regulujące przetwarzanie danych osobowych, które mogą
naruszyć podstawowe wolności, a w szczególności prawo do poszanowania życia prywatnego, muszą być
bezwzględnie interpretowane z punktu widzenia praw podstawowych gwarantowanych w Karcie praw podstawowych
Unii Europejskiej (dalej jako: Karta) (wyrok Schrems, C-362/14, pkt 38). W art. 7 Karty gwarantuje się prawo do
poszanowania życia prywatnego. Ponadto, art. 8 Karty przewiduje prawo do ochrony danych osobowych, co
oznacza, że te dane muszą być przetwarzane rzetelnie, w określonych celach i za zgodą osoby zainteresowanej lub
na innej uzasadnionej podstawie przewidzianej ustawą, oraz że każdy ma prawo dostępu do zebranych danych,
które go dotyczą, i prawo do dokonania ich sprostowania, a przestrzeganie tych zasad podlega kontroli niezależnego
organu. Wymogi te zostały uregulowane szczególnie zwłaszcza w art. 6, 7, 12, 14 i 28 dyrektywy 95/46.
Trybunał wskazał, że z zastrzeżeniem dozwolonych na mocy art. 13 dyrektywy 95/46 odstępstw każda operacja
przetwarzania danych osobowych musi być zgodna, z jednej strony, z wyrażonymi w art. 6 zasadami odnoszącymi
się do charakteru danych, a z drugiej strony – z jednym z kryteriów legalności przetwarzania danych wymienionych
w art. 7 tej dyrektywy (wyrok Google Spain i Google, pkt 71). Rzecznik generalny wskazał, że przetwarzanie danych
osobowych dokonywane przez organ odpowiedzialny za prowadzenie rejestru w wykonaniu art. 2 ust. 1 lit. d) i j) oraz
art. 3 dyrektywy 68/151 odpowiada kryteriom legalności przewidzianym w art. 7 dyrektywy 95/46, tj. dotyczącym:
zrealizowania zobowiązania prawnego, wykonywania władzy publicznej lub zadania wykonywanego w interesie
publicznym oraz potrzeb wynikających z uzasadnionych interesów administratora danych lub osób trzecich, którym
dane są ujawniane (pkt 52 opinii).
Z orzecznictwa TS wynika, że działalność organu publicznego polegająca na przechowywaniu w bazie danych
przekazanych przez przedsiębiorstwa na podstawie ustawowych obowiązków, udzielaniu zainteresowanym osobom
wglądu do tych danych i na wydawaniu im kopii tych danych należy do wykonywania prerogatyw władzy publicznej
(wyrok Compass Datenbank, C-138/11, pkt 40, 41). Ponadto, działalność tego rodzaju wykonywana jest w interesie
publicznym. Zgodnie z art. 6 ust. 1 lit. e) dyrektywy 95/46 państwa członkowskie zapewniają, aby dane osobowe były
przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to
konieczne do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane. W sytuacji gdy te
dane są przechowywane po upływie tego okresu dla potrzeb historycznych, statystycznych lub naukowych, państwa
członkowskie muszą zapewnić odpowiednie środki zabezpieczające. Jak stanowi ust. 2 tego artykułu, zapewnienie
przestrzegania tych zasad jest zadaniem administratora danych. W przypadku niespełnienia wymogu określonego
w art. 6 ust. 1 lit. e) dyrektywy 95/46 państwa członkowskie zapewniają każdej osobie, której dane dotyczą, na
podstawie art. 12 lit. b) tej dyrektywy, prawo do uzyskania od administratora danych, odpowiednio do przypadku,
sprostowania, usunięcia lub zablokowania spornych danych (wyrok Google Spain i Google, pkt 70). Ponadto w myśl
art. 14 ak. 1 lit. a) dyrektywy 95/46 państwa członkowskie przyznają osobie, której dane dotyczą, w szczególności
w przypadkach, o których mowa w art. 7 lit. e) i f) dyrektywy, w dowolnym czasie, z ważnych i uzasadnionych
przyczyn wynikających z jej konkretnej sytuacji, prawo sprzeciwu wobec przetwarzania dotyczących jej danych,
z zastrzeżeniem odmiennych postanowień ustawodawstwa krajowego. Trybunał stwierdził, że wyważenie praw
i interesów, którego należy dokonać w ramach zastosowania art. 14 ak. 1 lit. a), umożliwia więc uwzględnienie
wszystkich okoliczności konkretnej sytuacji osoby, której dane dotyczą. W przypadku uzasadnionego sprzeciwu
przetwarzanie danych przez ich administratora nie może już obejmować tych danych (wyrok Google Spain i Google,
pkt 76).
Z motywów i tytułu dyrektywy 68/151 wynika, że ta dyrektywa ma na celu w szczególności ochronę interesów osób
trzecich w stosunkach ze spółkami kapitałowymi, ponieważ zabezpieczeniem dla osób trzecich jest majątek spółki.
Dlatego podstawowe dokumenty spółki powinny być jawne, aby umożliwić osobom trzecim zapoznanie się z ich
treścią oraz innymi informacjami dotyczącymi danej spółki, w szczególności z danymi osób, które są uprawnione do
jej reprezentowania. Ponadto, celem dyrektywy 68/151 jest zapewnienie pewności prawa w stosunkach między
spółką a osobami trzecimi w przypadku wymiany handlowej między państwami członkowskimi w ramach rynku
wewnętrznego. Z tego punktu widzenia ważne jest, aby wszystkie osoby zamierzające nawiązać i kontynuować
stosunki gospodarcze ze spółkami mającymi siedzibę w innych państwach członkowskich mogły łatwo zapoznać się

z podstawowymi danymi dotyczącymi spółek oraz uprawnień osób upoważnionych do ich reprezentowania, co
wymaga, aby wszystkie istotne informacje zostały wyraźnie wymienione w rejestrze (wyrok Haaga, 32/74, pkt 6). Co
więcej, jawność przewidziana w art. 3 dyrektywy 68/151 służy umożliwieniu dostępu do informacji wszystkim
zainteresowanym osobom trzecim, bez potrzeby wykazania prawa lub interesu zasługującego na ochronę. Trybunał
stwierdził, że sama treść art. 54 ust. 3 lit. g) TEWG, na którym jest oparta ta dyrektywa, wymienia w sposób ogólny
cel polegający na ochronie interesów osób trzecich, bez dokonywania rozróżnienia lub wykluczenia pewnych
kategorii podmiotów, wobec czego pojęcia „osoba trzecia” wskazanego w tym postanowieniu nie należy zawężać
tylko do wierzycieli danej spółki (wyrok Daihatsu Deutschland, C-97/96, pkt 19, 20, 22, postanowienie Springer, C-
435/02 i C-103/03, pkt 29, 33).
Trybunał stwierdził, że w dyrektywie 68/151 nie uregulowano kwestii, czy dla zrealizowania celu, o którym mowa
w art. 3 dyrektywy, aby dane osobowe osób fizycznych, o których mowa w art. 2 ust. 1 lit. d) i j) tej dyrektywy, były
wpisane w rejestrze lub były dostępne dla osób trzecich, na ich wniosek, także po rozwiązaniu spółki. Rzecznik
generalny wskazał, że nawet po rozwiązaniu spółki dotyczące jej stosunki prawne mogą nadal trwać (pkt 73 i 74
opinii). Dlatego w przypadku powstania sporu dane, o których mowa w art. 2 ust. 1 lit. d) i j) dyrektywy 68/151, mogą
okazać się niezbędne w szczególności do zbadania zgodności z prawem czynności dokonanej w czasie, gdy spółka
jeszcze istniała, lub do umożliwienia osobom trzecim wszczęcia postępowania wobec członków organów lub
przeciwko likwidatorom spółki. Ponadto, w zależności od terminów przedawnienia obowiązujących w poszczególnych
państwach członkowskich, kwestie wymagające posłużenia się tymi danymi mogą pojawiać się jeszcze wiele lat po
rozwiązaniu spółki.
Trybunał uznał, że w obecnym stanie prawa nie jest możliwe ustalenie jednolitego terminu, biegnącego od dnia
rozwiązania spółki, po upływie którego wpis ww. danych w rejestrze i ich jawność nie byłyby już konieczne. Trybunał
stwierdził, że w tych okolicznościach państwa członkowskie nie mogą – na podstawie art. 6 ust. 1 lit. e) i art. 12 lit. b)
dyrektywy 95/46 – zagwarantować osobom fizycznym, o których mowa w art. 2 ust. 1 lit. d) i j) dyrektywy 68/151,
prawa do tego, aby po upływie określonego terminu od dnia likwidacji danej spółki dotyczące ich dane osobowe,
które zostały wpisane do rejestru na podstawie tego ostatniego przepisu, były z zasady wykreślane, lub aby ich
jawność była blokowana. W ocenie TS taka wykładnia art. 6 ust. 1 lit. e) i art. 12 lit. b) dyrektywy 95/46 nie prowadzi
do nieproporcjonalnej ingerencji w prawa podstawowe osób, których te dane dotyczą, w szczególności zaś w prawo
do ochrony życia prywatnego czy też prawo do ochrony danych osobowych, które zostały zagwarantowane w art. 7
i 8 Karty. Z jednej strony, art. 2 ust. 1 lit. d) i j) i art. 3 dyrektywy 68/151 wymagają jawności jedynie w odniesieniu do
ograniczonej liczby danych osobowych, tj. dotyczących tożsamości i funkcji poszczególnych osób upoważnionych do
reprezentowania danej spółki wobec osób trzecich oraz do reprezentowania jej w postępowaniach sądowych bądź
osób uczestniczących w zarządzaniu spółką, nadzorowaniu lub kontrolowaniu jej oraz osób, które zostały powołane
do pełnienia funkcji likwidatora. Z drugiej strony, dyrektywa 68/151 przewiduje jawność danych, o których mowa w jej
art. 2 ust. 1 lit. d) i j), w szczególności ze względu na okoliczność, że jedynie majątek spółki kapitałowej jest
zabezpieczeniem dla osób trzecich, co oznacza, że te osoby są narażone na podwyższone ryzyko. W świetle tego
ryzyka wydaje się zasadne, aby osoby fizyczne reprezentujące spółkę kapitałową, były zobowiązane do
upublicznienia danych dotyczących ich tożsamości i funkcji, jakie sprawują w spółce, zwłaszcza że te osoby mają
świadomość istnienia takiego obowiązku w chwili objęcia tych funkcji.
Trybunał stwierdził, że z powyższych rozważań wynika, co do zasady, pierwszeństwo ochrony interesów osób
trzecich względem spółek kapitałowych oraz zapewnienie pewności prawa, uczciwości transakcji handlowych, a więc
i sprawnego funkcjonowania rynku wewnętrznego. Jednak nie można wykluczyć ewentualności zaistnienia sytuacji
szczególnych, w których przeważające i uzasadnione względy dotyczące konkretnego przypadku osoby, której
dotyczą dane, uzasadniają wyjątkowo, aby dostęp do wpisanych w rejestrze danych osobowych dotyczących tej
osoby został ograniczony, po upływie wystarczająco długiego okresu od daty likwidacji danej spółki, do kręgu osób
trzecich mających konkretny, uzasadniony interes w uzyskaniu wglądu do tych danych. Trybunał uściślił, że ze
względu na to, iż stosowanie art. 14 ak. 1 lit. a) dyrektywy 95/46 jest obwarowane zastrzeżeniem braku odmiennych
postanowień ustawodawstwa krajowego, ostateczna decyzja w kwestii, czy osoby fizyczne, o których mowa w art. 2
ust. 1 lit. d) i j) dyrektywy 68/151, mogą domagać się od organu odpowiedzialnego za prowadzenie rejestru takiego
ograniczenia dostępu do dotyczących ich danych osobowych na podstawie oceny konkretnego przypadku, należy do
ustawodawców krajowych. Trybunał wskazał, że sąd odsyłający powinien ustalić, jaki jest krajowy stan prawny w tej
dziedzinie. Jeśli po dokonaniu takiej weryfikacji okaże się, że prawo krajowe zezwala na tego rodzaju żądania, do
sądu odsyłającego należy ustalenie, w świetle wszystkich istotnych okoliczności i przy uwzględnieniu okresu, jaki
upłynął od dnia likwidacji spółki, czy istnieją ewentualnie przeważające i uzasadnione względy, które w stosownym
przypadku mogłyby wyjątkowo usprawiedliwić ograniczenie dostępu osób trzecich do dotyczących S. Manniego
danych wpisanych w rejestrze spółek, z których wynika, że był on jednoosobowym członkiem zarządu i likwidatorem
Immobiliare Salentina. Trybunał zaznaczył, że wyłącznie okoliczność, iż IC, której S. Manni jest obecnie
jednoosobowym członkiem zarządu, nie jest w stanie, jak twierdzi, sprzedać nieruchomości wybudowanego przez nią
kompleksu turystycznego, ponieważ potencjalni nabywcy tych nieruchomości mają dostęp do tych danych w rejestrze
spółek, nie może stanowić takiego uzasadnienia, zważywszy na umotywowany interes, jaki ci nabywcy mają
w uzyskaniu tych informacji.

Reasumując TS orzekł, że art. 6 ust. 1 lit. e), art. 12 lit. b) i art. 14 ak. 1 lit. a) dyrektywy 95/46 w zw. z art. 3
dyrektywy 68/151 należy interpretować w ten sposób, że w aktualnym stanie unijnego prawa do państw
członkowskich należy ustalenie, czy osoby fizyczne, o których mowa w art. 2 ust. 1 lit. d) i j) dyrektyw 68/151, mogą
domagać się od organu odpowiedzialnego za prowadzenie rejestru zbadania, w oparciu o ocenę konkretnego
przypadku, czy w razie zaistnienia przeważających i uzasadnionych względów dotyczących ich szczególnej sytuacji,
wyjątkowo uzasadnione jest ograniczenie, po upływie wystarczająco długiego okresu od dnia likwidacji danej spółki,
dostępu do wpisanych w rejestrze i dotyczących tych osób danych osobowych do osób trzecich, które wykażą, że
mają konkretny interes w uzyskaniu dostępu do tych danych.
Autorka jest doktorem nauk prawnych, ekspertem ds. prawa gospodarczego, WPiA UKSW w Warszawie
Wyrok TS z 9.3.2017 r., Manni, C-398/15

TS stwierdził, że decyzja o ograniczeniu dostępu do danych osobowych członków zarządu po likwidacji spółki należy do państw członkowskich. Rozważenia dotyczyły konieczności zachowania jawności danych dla osób trzecich oraz ochrony interesów zarówno spółek, jak i jednostek. Autorka publikacji jest ekspertem ds. prawa gospodarczego.