–

pentru HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, de M. Handlos și R. Veil, Rechtsanwälte;

–

pentru Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, de U. Brinkmöller, Rechtsanwalt;

–

pentru WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH și WealthCap Investorenbetreuung GmbH, de N. Bartmann, U. Baumgartner și A. Höder, Rechtsanwälte;

–

pentru Comisia Europeană, de A. Bouchagiar, M. Heller și H. Kranenborg, în calitate de agenți,

1

Cererile de decizie preliminară privesc interpretarea articolului 6 alineatul (1) primul paragraf literele (b) și (f) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

2

Aceste cereri au fost formulate în cadrul unor litigii între HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (denumită în continuare „HTB”), pe de o parte, și Müller Rechtsanwaltsgesellschaft mbH, pe de altă parte (cauza C‑17/22), și Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (denumită în continuare „Ökorenta”), pe de o parte, și WealthCap Photovoltaik 1 GmbH Co. KG, WealthCap PEIA Komplementär GmbH și WealthCap Investorenbetreuung GmbH, pe de altă parte (cauza C‑18/22).

3

Considerentele (1), (10), (39) (41), (47) și (48) ale RGPD au următorul cuprins:

[…]

[…]

[…]

[…]

4

Articolul 1 din acest regulament, intitulat „Obiect și obiective”, prevede la alineatul (2):

„Prezentul regulament asigură protecția drepturilor și libertăților fundamentale ale persoanelor fizice și în special a dreptului acestora la protecția datelor cu caracter personal.”

5

Articolul 4 din regulamentul menționat prevede:

„În sensul prezentului regulament:

[…]

[…]

[…]”

6

Articolul 5 din același regulament, intitulat „Principii legate de prelucrarea datelor cu caracter personal”, prevede:

„(1)   Datele cu caracter personal sunt:

[…]

(2)   Operatorul este responsabil de respectarea alineatului (1) și poate demonstra această respectare («responsabilitate»).”

7

Articolul 6 din RGPD, intitulat „Legalitatea prelucrării”, are următorul conținut:

„(1)   Prelucrarea este legală numai dacă și în măsura în care se aplică cel puțin una dintre următoarele condiții:

[…]

Litera (f) din primul paragraf nu se aplică în cazul prelucrării efectuate de autorități publice în îndeplinirea atribuțiilor lor.

(2)   Statele membre pot menține sau introduce dispoziții mai specifice de adaptare a aplicării normelor prezentului regulament în ceea ce privește prelucrarea în vederea respectării alineatului (1) literele (c) și (e) prin definirea unor cerințe specifice mai precise cu privire la prelucrare și a altor măsuri de asigurare a unei prelucrări legale și echitabile, inclusiv pentru alte situații concrete de prelucrare, astfel cum este prevăzut în capitolul IX.

(3)   Temeiul pentru prelucrarea menționată la alineatul (1) literele (c) și (e) trebuie să fie prevăzut în:

[…] Dreptul Uniunii sau dreptul intern urmărește un obiectiv de interes public și este proporțional cu obiectivul legitim urmărit.”

8

Articolul 13 alineatul (1) din acest regulament prevede:

„În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare:

[…]

[…]”

9

Articolul 161 du Handelsgesetzbuch (Codul comercial), în versiunea aplicabilă în litigiile principale, prevede:

„(1)   O societate care are ca obiect de activitate desfășurarea unei activități comerciale sub o denumire comună este o societate în comandită simplă dacă răspunderea unuia sau a unora dintre asociați față de creditorii societății este limitată la valoarea unui anumit aport de capital (asociați comanditari), în timp ce răspunderea celorlalți asociați nu este limitată (asociați comanditați).

(2)   Cu excepția unor dispoziții contrare în prezenta secțiune, societăților în comandită simplă li se aplică dispozițiile aplicabile societăților în nume colectiv.”

10

Articolul 162 alineatul 1 din acest cod are următorul cuprins:

„Înregistrarea societății trebuie să conțină, pe lângă mențiunile prevăzute la articolul 106 alineatul 2 [care includ numele, prenumele, data nașterii și domiciliul fiecărui asociat], desemnarea comanditarilor și valoarea aportului fiecăruia dintre aceștia. […]”

11

Articolul 127a alineatele 1 și 3 din Aktiengesetz (Legea privind societățile pe acțiuni), în versiunea aplicabilă în litigiile principale, prevede:

„(1)   Acționarii sau asociațiile de acționari pot solicita altor acționari, pe forumul acționarilor de pe site‑ul Bundesanzeiger (Monitorul Oficial Federal), să depună împreună sau prin reprezentant o moțiune sau o cerere în temeiul prezentei legi sau să exercite dreptul de vot în cadrul unei adunări generale.

[…]

(3)   Solicitarea poate conține informații referitoare la pagina de internet a acționarului care face solicitarea și la adresa electronică a acestuia. […]”

12

Articolul 33 alineatul 1 prima teză din Wertpapierhandelsgesetz (Legea privind tranzacțiile cu valori mobiliare), în versiunea aplicabilă în litigiile principale, prevede:

„Orice persoană care, prin achiziție, cesiune sau în alt mod, atinge, depășește sau pierde 3 %, 5 %, 10 %, 15 %, 20 %, 25 %, 30 %, 50 % sau 75 % din drepturile de vot aferente acțiunilor pe care le deține la un emitent al cărui stat de origine este Republica Federală Germania (persoana supusă obligației de notificare) este obligată să comunice acest lucru fără întârziere emitentului și, în același timp, Autorității federale de supraveghere în termen de maximum patru zile lucrătoare, în conformitate cu articolul 34 alineatele 1 și 2. […]”

13

Din deciziile de trimitere reiese că HTB și Ökorenta sunt societăți de investiții care dețin fiecare o participație indirectă, prin intermediul unei societăți fiduciare, în fonduri de investiții. Aceste fonduri de investiții sunt organizate sub forma unei societăți în comandită, și anume o societate de persoane cu subscriere publică. Participarea la capitalul acestor societăți în comandită este concepută ca un plasament financiar. Atunci când această participație este indirectă, asociații își exercită drepturile prin intermediul societăților fiduciare.

14

Reclamantele din litigiile principale solicită pârâtelor, care sunt societăți fiduciare de administrare, divulgarea numelor și a adreselor tuturor asociaților lor care dețin participații indirecte, prin intermediul unor societăți fiduciare, în fondurile de investiții în cauză.

15

Pârâtele din litigiile principale se opun unei astfel de divulgări întrucât consideră că datele solicitate sunt destinate să servească interesele economice proprii ale reclamantelor din litigiile principale, care constau în a‑și face publicitate produselor de investiții, în a crea îngrijorare în rândul investitorilor sau în a‑și cumpăra părțile la un preț sub valoarea lor și în a realiza profit prin revânzarea acestora. Or, contractele de investiții și de fiducie în temeiul cărora asociații pârâtelor din litigiile principale au achiziționat participații indirecte în fondurile de investiții în cauză ar conține clauze care interzic comunicarea datelor respective către alți deținători de participații.

16

Reclamantele din litigiul principal neagă faptul că ar avea astfel de intenții și invocă dreptul lor de a‑i contacta pe ceilalți comanditari care dețin participații la fondurile de investiții în cauză, în special pentru a negocia răscumpărarea părților lor.

17

Instanța de trimitere subliniază în esență că, în conformitate cu jurisprudența Bundesgerichtshof (Curtea Federală de Justiție, Germania) și a Oberlandesgericht München (Tribunalul Regional Superior din München, Germania), divulgarea datelor cu caracter personal solicitate de reclamantele din litigiile principale s‑ar putea dovedi obligatorie. Totuși, aceasta arată că, întrucât jurisprudența menționată este parțial anterioară intrării în vigoare a RGPD, ea ar putea fi apreciată diferit în speță, ținând seama de articolul 6 alineatul (1) primul paragraf literele (b) și (f) din acest regulament, a cărui interpretare ar fi determinantă pentru soluționarea litigiilor principale.

18

Mai precis, instanța de trimitere arată că din Ordonanța Bundesgerichtshof (Curtea Federală de Justiție) din 19 noiembrie 2019 (II ZR 263/18), rezultă că într‑o societate de persoane, cum este o societate în comandită, dreptul unui asociat de a cunoaște numele și adresa celorlalți asociați face parte dintr‑un „set fundamental de drepturi ale asociaților”. Acest drept ar exista și în raport cu comanditarii care dețin numai participații indirecte. Într‑adevăr, cunoașterea tuturor celorlalți asociați, inclusiv a celor care dețin indirect participații, ar fi necesară pentru exercitarea efectivă a drepturilor deținute de fiecare asociat al unei societăți de persoane cu subscriere publică. Divulgarea acestor date cu caracter personal către ceilalți asociați ar fi astfel conformă cu obligațiile ce revin societății în temeiul contractului care stă la baza constituirii sale. Singura excepție în dreptul german de la dreptul de a obține astfel de date o constituie interzicerea abuzului de drept, care nu permite ca acest drept la informare să fie exercitat în mod ilicit sau cu intenția de a crea un prejudiciu.

19

În temeiul jurisprudenței Bundesgerichtshof (Curtea Federală de Justiție), abuzul de drept ar fi oricum exclus atunci când un investitor încearcă să intre în contact cu alți investitori pentru a discuta cu aceștia aspecte care privesc societatea și eventual pentru a organiza o comunitate de interese între investitori. În plus, nu ar fi necesar să se refuze furnizarea de informații referitoare la un asociat pentru motivul că ar exista un simplu risc abstract de utilizare abuzivă a acestor date personale. Pe de altă parte, un asociat ar trebui să poată avea acces direct la datele celorlalți asociați ai societății, fără a depinde de organele de conducere ale acesteia.

20

Din această jurisprudență ar mai reieși că un astfel de drept la informare nu poate fi înlăturat prin clauze contractuale deoarece există riscul de a elimina în fapt un drept esențial al asociaților, și anume acela de a convoca o adunare extraordinară a asociaților, întrucât cvorumurile necesare în acest scop nu pot fi obținute de un asociat care deține o participație redusă decât împreună cu alți asociați, ceea ce presupune obligatoriu ca acesta să le cunoască numele și adresele [Ordonanța Bundesgerichtshof (Curtea Federală de Justiție) din 21 septembrie 2009 (II ZR 264/08)]. Potrivit jurisprudenței menționate, considerentul (48) al RGPD ar justifica de asemenea ca, în cadrul unui grup de întreprinderi, datele cu caracter personal ale tuturor asociaților să poată fi transmise unuia dintre aceștia în scopuri administrative interne.

21

Potrivit instanței de trimitere, jurisprudența Bundesgerichtshof (Curtea Federală de Justiție) consacră astfel existența, în principiu, a unui drept la informare al asociaților care nu este restrâns decât în caz de abuz de drept.

22

Instanța de trimitere face referire și la Hotărârea din 16 ianuarie 2019 a Oberlandesgericht München (Tribunalul Regional Superior din München) (7 U 342/18), potrivit căreia obiectul principal al contractului de societate este exercitarea drepturilor asociaților, inclusiv a celui de a‑și consolida poziția în cadrul societății. Achiziționarea de părți sociale constituie astfel o exercitare licită a acestor drepturi, iar divulgarea în acest scop a informațiilor referitoare la ceilalți asociați corespunde unui interes rezonabil. Or, nu ar trebui să se refuze o asemenea divulgare decât dacă ea nu ar urmări satisfacerea niciunui interes rezonabil.

23

Instanța de trimitere are îndoieli cu privire la compatibilitatea jurisprudenței Bundesgerichtshof (Curtea Federală de Justiție) și a Oberlandesgericht München (Tribunalul Regional Superior din München) cu dreptul Uniunii având în vedere că ea permite o divulgare extinsă a datelor cu caracter personal ale asociaților care dețin participații indirecte într‑un fond de investiții pe baza unei alegații pur formale că ceilalți asociați au un interes să obțină astfel de date, de exemplu în vederea dobândirii de participații.

24

Aceasta consideră de fapt că, în temeiul dreptului Uniunii, protecția datelor cu caracter personal constituie regula, astfel încât excepția de la acest principiu, prevăzută în special la articolul 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD, care permite autorizarea divulgării acestor date, trebuie să se întemeieze pe o „justificare suficientă”. Această instanță afirmă totodată că nu există în dreptul german nicio obligație legală de a publica date referitoare la persoanele care dețin participații într‑o societate fiduciară. Așadar, instanța de trimitere ridică problema dacă un drept de acces la datele asociaților nu ar trebui să fie condiționat, pe de o parte, de existența unui anumit prag de participare, prin analogie cu ceea ce este prevăzut în dreptul german în ceea ce privește societățile pe acțiuni cotate la bursă, și, pe de altă parte, de un motiv concret și precis legat de societatea ai cărei asociați sunt vizați de solicitarea de informații de acest fel.

25

În aceste condiții, Amtsgericht München (Tribunalul Districtual din München, Germania) a hotărât să suspende judecarea celor două cauze principale și să adreseze Curții următoarele întrebări preliminare identice:

26

Prin decizia din 23 septembrie 2022, președintele Curții a suspendat prezenta procedură în așteptarea pronunțării hotărârii în cauza C‑252/21.

27

În conformitate cu decizia președintelui Curții din 7 iulie 2023, grefa a notificat instanței de trimitere Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C‑252/21, EU:C:2023:537), invitând‑o să indice dacă, ținând seama de acea hotărâre, intenționa să își mențină, în tot sau în parte, cererile de decizie preliminară.

28

Prin scrisoarea din 4 august 2023, depusă la grefa Curții în aceeași zi, instanța menționată a arătat că își menține cererile de decizie preliminară.

29

Prin intermediul întrebărilor preliminare, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 6 alineatul (1) primul paragraf literele (b) și (f) din RGPD trebuie interpretat în sensul că o prelucrare de date cu caracter personal care constă în a divulga, la cererea unui asociat al unui fond de investiții constituit sub forma unei societăți de persoane cu subscriere publică, informații cu privire la toți asociații care dețin, prin intermediul unor societăți fiduciare, participații indirecte la acest fond, indiferent de importanța participației lor la capitalul fondului menționat, pentru a‑i contacta și pentru a negocia cu aceștia răscumpărarea părților lor sociale sau chiar pentru a se coordona cu aceștia în vederea formării unei voințe comune în cadrul deciziilor asociaților poate fi considerată necesară pentru executarea unui contract la care persoanele vizate sunt părți, în sensul acestei litere (b), sau în scopul intereselor legitime urmărite de operator sau de o parte terță, în sensul acestei litere (f).

30

Întrucât cererile de decizie preliminară arată că instanța de trimitere ridică problema conformității cu RGPD a obligației de divulgare a unor astfel de date, care în dreptul german rezultă din jurisprudența instanțelor naționale, este necesar să se reformuleze întrebările adresate ca vizând și interpretarea articolului 6 alineatul (1) primul paragraf litera (c) din acest regulament și să se considere că, prin intermediul întrebărilor formulate, instanța de trimitere ridică de asemenea problema dacă se poate considera că o astfel de divulgare derivă dintr‑o obligație legală care îi revine operatorului.

31

Pentru a răspunde la aceste întrebări, trebuie amintit, cu titlu introductiv, că obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, constă printre altele în asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE [Hotărârea din 7 martie 2024, IAB Europe,C‑604/22, EU:C:2024:214, punctul 53 și jurisprudența citată].

32

În conformitate cu acest obiectiv, orice prelucrare a datelor cu caracter personal trebuie, printre altele, să fie conformă cu principiile referitoare la prelucrarea unor astfel de date prevăzute la articolul 5 din acest regulament și să îndeplinească condițiile de legalitate enumerate la articolul 6 din același regulament [a se vedea în acest sens Hotărârea din 6 octombrie 2020, La Quadrature du Net și alții, C‑511/18, C‑512/18 și C‑520/18, EU:C:2020:791, punctul 208, precum și Hotărârea din 11 iulie 2024, Meta Platforms Ireland (Acțiune în reprezentare), C‑757/22, EU:C:2024:598, punctul 49].

33

În această privință, trebuie subliniat că, în temeiul articolului 5 alineatul (1) litera (a) din RGPD, datele cu caracter personal trebuie să fie prelucrate în mod legal, echitabil și transparent față de persoana vizată.

34

În particular, în ceea ce privește condițiile de legalitate a prelucrării, după cum a statuat Curtea, articolul 6 alineatul (1) primul paragraf din RGPD prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată legală. Astfel, pentru a putea fi considerată legitimă, o prelucrare trebuie să se încadreze în unul dintre cazurile prevăzute de această dispoziție [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 90].

35

Ținând seama de particularitățile litigiilor principale, trebuie arătat în plus că acest articol 6 alineatul (1) primul paragraf nu prevede în sine o obligație, ci se limitează să exprime o posibilitate de a efectua o prelucrare a datelor cu caracter personal în cazurile pe care le enumeră (a se vedea prin analogie Hotărârea din 4 mai 2017, Rīgas satiksme,C‑13/16, EU:C:2017:336, punctul 26).

36

Potrivit articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, prelucrarea datelor cu caracter personal este legală dacă și în măsura în care persoana vizată și‑a dat consimțământul pentru unul sau mai multe scopuri specifice. În lipsa unui astfel de consimțământ sau atunci când acest consimțământ nu a fost dat în mod liber, specific, informat și lipsit de ambiguitate, conform articolului 4 punctul 11 din acest regulament, o astfel de prelucrare este totuși justificată atunci când îndeplinește una dintre cerințele de necesitate menționate la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din același regulament.

37

În acest context, justificările prevăzute de această din urmă dispoziție, în măsura în care permit ca prelucrarea datelor cu caracter personal efectuată în lipsa consimțământului persoanei vizate să fie legală, trebuie să facă obiectul unei interpretări restrictive [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 93 și jurisprudența citată].

38

În plus, astfel cum a statuat Curtea, atunci când este posibil să se constate că prelucrarea de date cu caracter personal este necesară în raport cu una dintre justificările prevăzute la articolul 6 alineatul (1) primul paragraf literele (b)-(f) din RGPD, nu este necesar să se stabilească dacă această prelucrare intră de asemenea sub incidența unei alte justificări [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 94 și jurisprudența citată].

39

Curtea a mai statuat că, în conformitate cu articolul 5 din RGPD, operatorului îi revine sarcina de a dovedi că aceste date sunt colectate în special în scopuri determinate, explicite și legitime și că sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată. În plus, conform articolului 13 alineatul (1) litera (c) din acest regulament, în cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, revine operatorului sarcina de a o informa cu privire la scopurile în care sunt prelucrate datele respective, precum și cu privire la temeiul juridic al prelucrării respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 95].

40

În speță, rezultă din dosarul de care dispune Curtea că asociații care dețin, prin intermediul unor societăți fiduciare, participații indirecte în fondurile de investiții în cauză nu au consimțit, în sensul articolului 6 alineatul (1) primul paragraf litera (a) din RGPD, ca pârâtele din litigiile principale să divulge datele cu caracter personal care îi privesc unor terți, în special HTB și Ökorenta.

41

În aceste condiții, pentru a răspunde la întrebările adresate, trebuie să se verifice dacă dispozițiile articolului 6 alineatul (1) primul paragraf literele (b) și (f) din acest regulament, avute în mod specific în vedere de cererile de decizie preliminară, pot fi invocate pentru a justifica eventuala divulgare a unor astfel de date către acești terți.

42

În ceea ce privește, în primul rând, articolul 6 alineatul (1) primul paragraf litera (b) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă este „necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract”.

43

În această privință, Curtea a statuat deja că, pentru ca prelucrarea de date cu caracter personal să fie considerată necesară pentru executarea unui contract, în sensul acestei dispoziții, ea trebuie să fie în mod obiectiv indispensabilă pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată persoanei vizate. Operatorul trebuie astfel să fie în măsură să demonstreze în ce mod obiectul principal al contractului nu ar putea fi realizat în lipsa prelucrării în cauză [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 98].

44

Astfel, după cum a mai statuat Curtea, elementul determinant pentru aplicarea justificării prevăzute la articolul 6 alineatul (1) primul paragraf litera (b) din RGPD este ca prelucrarea datelor cu caracter personal efectuată de operator să fie esențială pentru a permite executarea corectă a contractului încheiat între acesta și persoana vizată și, prin urmare, să nu existe alte soluții posibile și mai puțin intruzive [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 99].

45

În speță, din deciziile de trimitere reiese că contractele de investiții și de fiducie în discuție în litigiile principale, în temeiul cărora au fost achiziționate participații indirecte la fondurile de investiții în cauză, prevăd în mod expres interdicția de a li se comunica altor deținători de participații datele referitoare la investitorii indirecți.

46

În această privință, trebuie arătat că aspectul esențial al achiziționării, prin intermediul unei societăți fiduciare, a unei participații indirecte la fond de investiții cu subscriere publică este tocmai anonimatul asociaților, inclusiv în relațiile dintre asociații înșiși. Cu alte cuvinte, persoanele optează pentru un plasament financiar într‑un astfel de fond sub forma unei participații deținute prin intermediul unei societăți fiduciare tocmai având în vedere tratamentul confidențial al datelor lor aplicat de fondul de investiții.

47

Prin urmare, și sub rezerva verificării de către instanța de trimitere, o prelucrare a datelor cu caracter personal care constă în divulgarea de informații referitoare la asociații care dețin, prin intermediul unei societăți fiduciare, participații indirecte la un fond de investiții cu subscriere publică nu poate fi considerată „necesară pentru executarea unui contract”, în sensul articolului 6 alineatul (1) primul paragraf litera (b) din RGPD, în cazul în care contractul care stă la baza dobândirii unei astfel de participații exclude în mod expres divulgarea acestor date către alți deținători de participații.

48

În ceea ce privește, în al doilea rând, articolul 6 alineatul (1) primul paragraf litera (f) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate care impun protejarea acestor date cu caracter personal.

49

Astfel, pentru ca o prelucrare de date cu caracter personal să fie legală, dispoziția menționată prevede trei condiții cumulative, și anume, primo, urmărirea unui interes legitim de către operator sau de către o parte terță, secundo, necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit și, tertio, să nu prevaleze interesele sau libertățile și drepturile fundamentale ale persoanei vizate [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 106 și jurisprudența citată].

50

În ceea ce privește, primo, condiția referitoare la urmărirea unui „interes legitim”, trebuie subliniat că, în lipsa unei definiții a acestei noțiuni în RGPD, astfel cum a statuat deja Curtea, o gamă largă de interese poate fi considerată în principiu legitimă [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 76].

51

În ceea ce privește, secundo, condiția referitoare la necesitatea prelucrării datelor cu caracter personal pentru realizarea interesului legitim urmărit, aceasta impune instanței de trimitere să verifice dacă interesul legitim urmărit al prelucrării datelor nu poate fi atins în mod rezonabil la fel de eficient prin alte mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, în special dreptul la respectarea vieții private și dreptul la protecția datelor cu caracter personal garantate prin articolele 7 și 8 din cartă [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 77 și jurisprudența citată].

52

În acest context, trebuie amintit de asemenea că această condiție privind necesitatea prelucrării trebuie examinată împreună cu principiul „reducerii la minimum a datelor” consacrat la articolul 5 alineatul (1) litera (c) din RGPD, potrivit căruia datele cu caracter personal trebuie să fie „adecvate, relevante și limitate la ceea ce este necesar în raport cu scopurile în care sunt prelucrate” [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 109 și jurisprudența citată].

53

În sfârșit, în ceea ce privește, tertio, condiția ca interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor să nu prevaleze asupra interesului legitim al operatorului sau al unui terț, Curtea a statuat deja că aceasta implică o evaluare comparativă a drepturilor și a intereselor opuse în cauză, care depinde, în principiu, de împrejurările concrete ale cazului particular, și că revine, în consecință, instanței de trimitere sarcina de a efectua această evaluare comparativă ținând seama de aceste împrejurări specifice [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 110 și jurisprudența citată].

54

În plus, considerentul (47) al RGPD indică faptul că interesele și drepturile fundamentale ale persoanei vizate pot în mod special să prevaleze în raport cu interesul operatorului atunci când datele cu caracter personal sunt prelucrate în circumstanțe în care persoanele vizate nu se așteaptă în mod rezonabil la o astfel de prelucrare [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 112].

55

Deși, în definitiv, revine instanței de trimitere sarcina de a aprecia dacă, în ceea ce privește prelucrarea datelor cu caracter personal în discuție în litigiile principale, sunt îndeplinite cele trei condiții amintite la punctul 49 din prezenta hotărâre, Curtea poate, atunci când se pronunță asupra trimiterii preliminare, să ofere precizări destinate să orienteze instanța respectivă pentru a face această constatare [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 96, și Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 81, precum și jurisprudența citată].

56

În speță, în ceea ce privește, primo, condiția referitoare la urmărirea unui interes legitim de către operator sau de către un terț, în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, instanța de trimitere face referire la interesul unui terț, și anume interesul unui asociat care deține o participație indirectă într‑un fond de investiții constituit sub forma unei societăți în comandită cu subscriere publică de a obține datele cu caracter personal referitoare la ceilalți asociați indirecți ai acestei societăți pentru a‑i contacta sau pentru a negocia cu aceștia răscumpărarea de părți sociale sau chiar pentru a se coordona cu aceștia în vederea formării unei voințe comune în cadrul deciziilor luate de ansamblul asociaților.

57

Este necesar să se constate că un astfel de interes poate în principiu să constituie un interes legitim pentru divulgarea datelor cu caracter personal în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, ținând seama în special de statutul unei astfel de societăți, astfel cum rezultă din dreptul național al statului membru în cauză, și indiferent de importanța valorii participației și a competențelor deținute în societate de asociatul aflat la originea cererii de divulgare. Revine însă instanței de trimitere sarcina de a aprecia de la caz la caz existența unui astfel de interes având în vedere cadrul juridic aplicabil și ansamblul împrejurărilor cauzei.

58

În ipoteza în care s‑ar constata existența unui astfel de interes legitim, ar mai trebui, pentru ca urmărirea acestui interes să poată permite o prelucrare de date cu caracter personal în temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, ca operatorul să respecte toate celelalte obligații care îi revin conform acestui regulament.

59

Secundo, în ceea ce privește condiția referitoare la necesitatea acestei prelucrări pentru realizarea interesului respectiv și în mod deosebit existența altor mijloace care să afecteze mai puțin libertățile și drepturile fundamentale ale persoanelor vizate, dar la fel de adecvate, trebuie să se constate că ar fi mai ales posibil ca asociatul la un fond de investiții care vrea să obțină informații cu privire la un alt asociat care deține o participație indirectă la acest fond prin intermediul unei societăți fiduciare să solicite în mod direct fondului respectiv sau acestei societăți să îi fie transmisă cererea sa asociatului vizat în vederea cunoașterii lui sau a efectuării unor schimburi. Acesta din urmă ar putea apoi decide liber dacă dorește să intre în contact cu asociatul care a făcut cererea sau dacă preferă să nu dea curs unei asemenea cereri și să își păstreze anonimatul. O astfel de soluție s‑ar putea aplica și în cazul în care asociatul solicitant dorește să inițieze cu un alt asociat negocieri pentru achiziționarea de părți deținute de acesta din urmă sau să se coordoneze cu el în scopul formării unei voințe comune în cadrul deciziilor luate de ansamblul asociaților.

60

Această soluție ar permite, pe de altă parte, asociatului vizat de cererea de informații, conform principiului reducerii la minimum a datelor evocat la punctul 52 din prezenta hotărâre, să păstreze controlul asupra prelucrării datelor sale cu caracter personal și să limiteze astfel divulgarea lor către un alt asociat doar la ceea ce este efectiv necesar și pertinent în raport cu scopurile pentru care datele respective sunt solicitate și prelucrate.

61

Prin urmare, nu se poate exclude posibilitatea ca o procedură precum cea descrisă la punctul anterior din prezenta hotărâre să fie considerată o măsură care implică o ingerință mai redusă în dreptul la protecția confidențialității datelor cu caracter personal ale persoanei vizate, dar care permite în același timp operatorului să urmărească, la fel de eficient, interesul legitim al terțului vizat, aspect a cărui verificare este însă de competența instanței de trimitere.

62

Tertio, în ceea ce privește evaluarea comparativă a intereselor pe care instanța de trimitere este chemată să o efectueze având în vedere împrejurările specifice ale speței, această instanță trebuie să țină seama în special de așteptările rezonabile ale persoanei vizate, precum și de întinderea prelucrării în cauză și de impactul acesteia asupra persoanei respective [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 116].

63

Rezultă că, în cadrul unei astfel de evaluări comparative, nu se poate de principiu exclude posibilitatea ca divulgarea unor date cu caracter personal ale asociaților, fie ei și indirecți, ai unei societăți de persoane către alți asociați să servească eventual intereselor economice ale fiecăruia dintre aceștia și, prin urmare, și intereselor asociaților indirecți cu privire la datele cu caracter personal la care ceilalți asociați doresc să aibă acces.

64

Pe de altă parte, nu se poate exclude nici posibilitatea ca interesul pe care îl au asociații care dețin o participație indirectă la un fond de investiții ca datele lor să rămână confidențiale să prevaleze asupra interesului celorlalți asociați care doresc să obțină datele lor de contact. Din această perspectivă, trebuie să se acorde o importanță deosebită faptului că, având în vedere în special prevederile contractuale menționate la punctul 45 din prezenta hotărâre, este probabil ca asociații indirecți la un astfel de fond de investiții să nu se poată aștepta în mod rezonabil, în momentul colectării datelor lor cu caracter personal, ca acestea să fie divulgate unor terți, în speță altor asociați indirecți ai acestui fond de investiții.

65

Din ansamblul considerațiilor care precedă, și sub rezerva aprecierii finale ce trebuie efectuată de instanța de trimitere, reiese că este îndoielnic faptul că o prelucrare de date cu caracter personal precum divulgarea informațiilor solicitate de reclamantele din litigiile principale poate fi justificată în virtutea unui interes legitim în sensul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD.

66

În ceea ce privește, în al treilea rând, articolul 6 alineatul (1) primul paragraf litera (c) din RGPD, acesta prevede că prelucrarea datelor cu caracter personal este legală dacă este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului.

67

Articolul 6 alineatul (3) din RGPD precizează mai ales în această privință că prelucrarea trebuie să se bazeze pe dreptul Uniunii sau pe dreptul intern care se aplică operatorului și că acest temei juridic trebuie să urmărească un obiectiv de interes public și să fie proporțional cu obiectivul legitim urmărit [Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale), C‑252/21, EU:C:2023:537, punctul 128].

68

În plus, astfel cum se indică în considerentul (41) al acestui regulament, ori de câte ori acesta face trimitere la un temei juridic sau la o măsură legislativă, aceasta nu necesită neapărat un act legislativ adoptat de un parlament, fără a aduce atingere cerințelor care decurg din ordinea constituțională a statului membru în cauză. Totuși, acest temei juridic sau această măsură legislativă ar trebui să fie clară și precisă, iar aplicarea ei să fie previzibilă pentru justițiabili, în conformitate cu jurisprudența Curții și a Curții Europene a Drepturilor Omului.

69

În speță, pe de o parte, dreptul Uniunii nu prevede nicio obligație a fondurilor de investiții sau a societăților fiduciare, cum sunt cele din cauzele principale, de a divulga datele cu caracter personal ale asociaților care dețin participații indirecte la aceste fonduri.

70

Pe de altă parte, din cererile de decizie preliminară rezultă că o astfel de obligație ar putea fi totuși dedusă, sub rezerva verificărilor care trebuie efectuate de instanța de trimitere în această privință, din jurisprudența Bundesgerichtshof (Curtea Federală de Justiție) și a Oberlandesgericht München (Tribunalul Regional Superior din München), în virtutea căreia clauzele contractuale care garantează confidențialitatea coordonatelor asociaților indirecți ai unei societăți de persoane cu subscriere publică, precum cele în discuție în litigiile principale, ar trebui considerate nule, astfel încât ar fi necesar să se divulge datele cu caracter personal ale asociaților care dețin participații indirecte la un fond de investiții constituit sub forma unei societăți în comandită cu subscriere publică.

71

În această privință, trebuie arătat că, în conformitate cu cele menționate la punctul 68 din prezenta hotărâre, nu se poate exclude că „dreptul intern care se aplică operatorului”, în sensul articolului 6 alineatul (3) litera (b) din RGPD, include și jurisprudența națională.

72

Cu toate acestea, așa cum reiese din considerentul (41) al acestui regulament, este necesar ca o astfel de jurisprudență să fie clară și precisă, iar aplicarea ei să fie previzibilă pentru justițiabili, în conformitate cu jurisprudența Curții.

73

În plus, conform jurisprudenței amintite la punctul 67 din prezenta hotărâre, este necesar totodată ca această jurisprudență să constituie un temei juridic care să răspundă unui obiectiv de interes public, să fie proporțională cu el, iar prelucrarea în cauză să fie efectuată în limitele strictului necesar, aspect care trebuie verificat de instanța de trimitere [a se vedea în acest sens Hotărârea din 4 iulie 2023, Meta Platforms și alții (Condiții generale de utilizare a unei rețele sociale) (C‑252/21, EU:C:2023:537, punctele 134 și 138).

74

Va reveni, așadar, acestei instanțe sarcina de a stabili, printre altele, dacă nu există măsuri care ar afecta mai puțin protecția datelor cu caracter personal confidențiale ale asociaților indirecți ai societăților în comandită cu subscriere publică, dar care ar permite asigurarea transparenței între asociații societăților de persoane, astfel cum pare să decurgă din dreptul german conform celor arătate la punctele 18-22 din prezenta hotărâre, decât obligația de a divulga aceste date către orice alt asociat care ar solicita acest lucru.

75

Având în vedere cele ce precedă, este necesar să se răspundă la întrebările adresate că articolul 6 alineatul (1) primul paragraf litera (b) din RGPD trebuie interpretat în sensul că o prelucrare de date cu caracter personal care constă în a divulga, la cererea unui asociat la un fond de investiții constituit sub forma unei societăți de persoane cu subscriere publică, informații cu privire la toți asociații care dețin, prin intermediul unor societăți fiduciare, participații indirecte la acest fond, indiferent de importanța participației lor la capitalul fondului menționat, pentru a‑i contacta și pentru a negocia cu aceștia răscumpărarea părților lor sociale sau chiar pentru a se coordona cu aceștia în vederea formării unei voințe comune în cadrul deciziilor asociaților nu poate fi considerată necesară, în sensul acestei dispoziții, pentru executarea contractului în temeiul căruia acești asociați au dobândit asemenea participații decât dacă acest tratament este în mod obiectiv indispensabil pentru realizarea unui scop care face parte integrantă din prestația contractuală destinată acelorași asociați, astfel încât obiectul principal al contractului nu ar putea fi realizat în lipsa acestei prelucrări. Situația ar fi diferită dacă acest contract exclude în mod expres divulgarea acestor date cu caracter personal către alți deținători de participații.

76

Articolul 6 alineatul (1) primul paragraf litera (f) din RGPD trebuie interpretat în sensul că o asemenea prelucrare nu poate fi considerată necesară în scopul intereselor legitime urmărite de o parte terță în sensul acestei dispoziții decât dacă această prelucrare este strict necesară pentru realizarea unui astfel de interes legitim și dacă, raportat la ansamblul împrejurărilor relevante, interesele sau libertățile și drepturile fundamentale ale asociaților respectivi nu prevalează asupra acestui interes legitim.

77

Articolul 6 alineatul (1) primul paragraf litera (c) din RGPD trebuie interpretat în sensul că prelucrarea datelor cu caracter personal menționată este justificată în temeiul acestei dispoziții atunci când este necesară în vederea respectării unei obligații legale care îi revine operatorului în temeiul dreptului intern, astfel cum este identificat în jurisprudența acestui stat membru, cu condiția ca această jurisprudență să fie clară și precisă, aplicarea sa să fie previzibilă pentru justițiabili și să răspundă unui obiectiv de interes public și să fie proporțională cu acesta.

78

Întrucât, în privința părților din litigiile principale, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a patra) declară: