–

HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, v zastúpení: M. Handlos a R. Veil, Rechtsanwälte,

–

Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, v zastúpení: U. Brinkmöller, Rechtsanwalt,

–

WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH a WealthCap Investorenbetreuung GmbH, v zastúpení: N. Bartmann, U. Baumgartner a A. Höder, Rechtsanwälte,

–

Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,

1

Návrhy na začatie prejudiciálneho konania sa týkajú výkladu článku 6 ods. 1 prvého pododseku písm. b) a f) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „nariadenie GDPR“).

2

Tieto návrhy boli podané v rámci sporov medzi HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (ďalej len „HTB“) a Müller Rechtsanwaltsgesellschaft mbH (vec C‑17/22) a medzi Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (ďalej len „Ökorenta“) a WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH a WealthCap Investorenbetreuung GmbH (vec C‑18/22).

3

Odôvodnenia 1, 10, 39, 41, 47 a 48 nariadenia GDPR znejú takto:

…

…

…

…

4

Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:

„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“

5

Článok 4 uvedeného nariadenia stanovuje:

„Na účely tohto nariadenia:

…

…

…“

6

Článok 5 uvedeného nariadenia, nazvaný „Zásady spracúvania osobných údajov“, stanovuje:

„1.   Osobné údaje musia byť:

…

2.   Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

7

Článok 6 nariadenia GDPR, nazvaný „Zákonnosť spracúvania“, znie:

„1.   Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

…

Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.

2.   Členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia s ohľadom na spracúvanie v súlade s odsekom 1 písm. c) a e), a to presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie, vrátane požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX.

3.   Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:

… Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.“

8

Článok 13 ods. 1 tohto nariadenia uvádza:

„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

…

…“

9

V § 161 Handelsgesetzbuch (Obchodný zákonník) v znení uplatniteľnom v prejednávanej veci sa stanovuje:

„1.   Spoločnosť, ktorej účel je zameraný na prevádzkovanie obchodnej činnosti pod spoločným obchodným menom, je komanditnou spoločnosťou, ak jeden alebo viac spoločníkov ručí voči veriteľom spoločnosti do výšky určitého majetkového vkladu (komanditisti), zatiaľ čo iní spoločníci ručia neobmedzene (komplementári).

2.   Pokiaľ v tomto odseku nie je stanovené inak, na komanditné spoločnosti sa uplatnia ustanovenia, ktoré platia pre verejné obchodné spoločnosti.“

10

Podľa § 162 ods. 1 tohto zákonníka:

„Návrh na zápis spoločnosti musí okrem údajov uvedených v § 106 odseku 2 [(okrem iného priezvisko, meno, dátum narodenia a miesto bydliska každého spoločníka)] obsahovať označenie komanditistov a výšku vkladu každého z nich. …“

11

V § 127a ods. 1 a 3 Aktiengesetz (zákon o akciových spoločnostiach) v znení uplatniteľnom na spor vo veciach samých sa stanovuje:

„1.   Akcionári alebo združenia akcionárov môžu v akcionárskom fóre Bundesanzeiger [(nemecký spolkový úradný vestník)] vyzvať iných akcionárov, aby spoločne alebo v zastúpení podali návrh alebo žiadosť podľa tohto zákona alebo uplatnili hlasovacie právo na valnom zhromaždení.

…

3.   Výzva môže obsahovať informácie o internetovej stránke a e‑mailovej adrese pozývajúceho akcionára. …“

12

V § 33 ods. 1 v prvej vete Wertpapierhandelsgesetz (zákon o obchodovaní s cennými papiermi) v znení uplatniteľnom na spor vo veciach samých sa uvádza:

„Kto kúpou, prevodom alebo iným spôsobom dosiahne hranicu 3 %, 5 %, 10 %, 15 %, 20 %, 25 %, 30 %, 50 % alebo 75 % hlasovacích práv vyplývajúcich z akcií emitenta, ktorého štátom pôvodu je Spolková republika Nemecko, v jeho vlastníctve, alebo získa hlasovacie práva, ktoré sú vyššie alebo nižšie ako táto hranica (osoba, ktorá má ohlasovaciu povinnosť), musí to bezodkladne oznámiť emitentovi a zároveň nemeckej spolkovej inštitúcii, najneskôr do štyroch obchodných dní, pričom musí dodržať § 34 ods. 1 a 2. …“

13

Z návrhov na začatie prejudiciálneho konania vyplýva, že HTB a Ökorenta sú investičné spoločnosti, z ktorých každá vlastní nepriamy podiel v investičných fondoch prostredníctvom správcovskej spoločnosti. Tieto investičné fondy sú zriadené vo forme komanditnej spoločnosti, a to osobnej spoločnosti založenej na investičné účely. Podiel v týchto komanditných spoločnostiach je koncipovaný ako finančná investícia. Ak je tento podiel nepriamy, spoločníci vykonávajú svoje práva prostredníctvom správcovských podielových spoločností.

14

Žalobkyne vo veciach samých požadujú od žalovaných vo veciach samých, ktoré sú správcovskými podielovými spoločnosťami, aby poskytli mená a adresy všetkých ich spoločníkov, ktorí vlastnia nepriame podiely v dotknutých investičných fondoch prostredníctvom správcovských spoločností.

15

Žalované vo veciach samých namietajú proti takémuto poskytnutiu, pretože sa domnievajú, že požadované údaje sú určené na to, aby slúžili vlastným ekonomickým záujmom žalobkýň vo veciach samých, ktoré spočívajú v propagácii ich vlastných investičných produktov, v znepokojovaní investorov alebo v odkúpení ich podielov za cenu, ktorá je nižšia než ich hodnota, a na dosiahnutí zisku ich ďalším predajom. Zmluvy o účasti a správe, na základe ktorých spoločníci žalovaných vo veciach samých nadobudli nepriame podiely v dotknutých investičných fondoch, pritom obsahovali ustanovenia zakazujúce oznámenie uvedených údajov iným majiteľom podielov.

16

Žalobkyne vo veciach samých popierajú, že by mali takéto úmysly, a tvrdia, že majú právo kontaktovať ostatných komanditistov, ktorí vlastnia podiely v dotknutých investičných fondoch, najmä s cieľom rokovať o odkúpení ich podielov.

17

Vnútroštátny súd v podstate zdôrazňuje, že v súlade s judikatúrou Bundesgerichtshof (Spolkový súdny dvor, Nemecko) a Oberlandesgericht München (Vyšší krajinský súd Mníchov, Nemecko) by mohlo byť poskytnutie osobných údajov požadovaných žalobkyňami vo veciach samých povinné. Uvádza však, že keďže táto judikatúra čiastočne predchádzala nadobudnutiu účinnosti nariadenia GDPR, mohla by byť v prejednávanej veci posúdená odlišne vzhľadom na článok 6 ods. 1 prvý pododsek písm. b) a f) tohto nariadenia, ktorých výklad je rozhodujúci na vyriešenie sporov vo veciach samých.

18

Vnútroštátny súd osobitne uvádza, že z uznesenia Bundesgerichtshof (Spolkový súdny dvor) z 19. novembra 2019 (II ZR 263/18) vyplýva, že v osobnej spoločnosti, akou je komanditná spoločnosť, je právo spoločníka poznať meno a adresu ostatných spoločníkov súčasťou „nevyhnutnej podstaty práv spoločníkov“. Toto právo platí aj vo vzťahu k komanditistom, ktorí vlastnia len nepriame podiely. Znalosť všetkých ostatných spoločníkov, vrátane tých, ktorí nepriamo vlastnia podiely, je totiž nevyhnutná na účinné uplatňovanie práv, ktoré má každý spoločník osobnej spoločnosti založenej na investičné účely. Poskytnutie týchto osobných údajov ostatným spoločníkom by tak bolo v súlade s povinnosťami uloženými spoločnosti na základe spoločenskej zmluvy. Jediná výnimka z práva na získanie takýchto údajov v nemeckom práve spočíva v zákaze zneužitia práva, ktorý zakazuje, aby sa toto právo na informácie vykonávalo nezákonne alebo šikanózne.

19

Podľa judikatúry Bundesgerichtshof (Spolkový súdny dvor) je zneužitie práva v každom prípade vylúčené, ak sa investor usiluje nadviazať kontakt s inými investormi, aby s nimi mohol prediskutovať problémy, ktoré má podľa jeho názoru spoločnosť, prípadne aby zorganizoval spoločenstvo záujmov medzi investormi. Okrem toho neexistuje dôvod na odmietnutie poskytnutia informácií týkajúcich sa spoločníka z dôvodu, že existuje len abstraktné riziko zneužitia týchto osobných údajov. Okrem toho by mal mať spoločník priamy prístup k údajom ostatných spoločníkov spoločnosti bez toho, aby bol závislý od riadiacich orgánov tejto spoločnosti.

20

Z tejto judikatúry tiež vyplýva, že takéto právo na informácie nemožno vylúčiť zmluvnými ustanoveniami pod hrozbou faktického potlačenia základného práva spoločníkov, konkrétne práva zvolať mimoriadne valné zhromaždenie, pretože počet hlasov potrebný na tento účel môže spoločník s nízkou účasťou dosiahnuť len vtedy, ak sa spojí s ostatnými spoločníkmi, čo nevyhnutne predpokladá, že pozná ich mená a adresy [uznesenie Bundesgerichtshof (Spolkový súdny dvor) z 21. septembra 2009 (II ZR 264/08)]. Podľa uvedenej judikatúry odôvodnenie 48 nariadenia GDPR tiež odôvodňuje, aby v rámci skupiny podnikov mohli byť osobné údaje všetkých spoločníkov poskytnuté jednému z nich na vnútorné administratívne účely.

21

Podľa vnútroštátneho súdu tak judikatúra Bundesgerichtshof (Spolkový súdny dvor) v zásade zakotvuje existenciu práva spoločníkov na informácie, ktoré je obmedzené len zneužitím práva.

22

Vnútroštátny súd tiež odkazuje na rozsudok Oberlandesgericht München (Vyšší krajinský súd Mníchov) zo 16. januára 2019 (7 U 342/18), podľa ktorého hlavným predmetom spoločenskej zmluvy je výkon práv spoločníkov vrátane práva posilniť ich postavenie v spoločnosti. Kúpa obchodných podielov tak predstavuje zákonný výkon týchto práv a poskytnutie informácií týkajúcich sa ostatných spoločníkov na tento účel zodpovedá opodstatnenému záujmu. Takéto poskytnutie však možno odmietnuť len vtedy, ak jeho cieľom nebolo uspokojiť nijaký opodstatnený záujem.

23

Vnútroštátny súd má pochybnosti o zlučiteľnosti judikatúry Bundesgerichtshof (Spolkový súdny dvor) a Oberlandesgericht München (Vyšší krajinský súd Mníchov) s právom Únie v rozsahu, v akom umožňuje rozsiahle poskytnutie osobných údajov spoločníkov vlastniacich nepriame podiely v investičnom fonde na základe čisto formálneho tvrdenia o záujme ostatných spoločníkov na získaní takýchto údajov, napríklad na účely nadobudnutia podielov.

24

Domnieva sa totiž, že podľa práva Únie predstavuje ochrana osobných údajov pravidlo, takže výnimka z tejto zásady stanovená najmä v článku 6 ods. 1 prvom pododseku písm. b) a f) nariadenia GDPR, ktorá umožňuje povoliť poskytnutie týchto údajov, musí spočívať na„dostatočnom odôvodnení“. Tento súd okrem toho tvrdí, že v nemeckom práve neexistuje žiadna zákonná povinnosť zverejňovať údaje týkajúce sa osôb, ktoré vlastnia podiely v správcovskej spoločnosti. Vnútroštátny súd sa tak pýta, či by právo na prístup k údajom spoločníkov nemalo byť podmienené jednak existenciou určitého percentuálneho podielu, analogicky s tým, čo je stanovené v nemeckom práve, pokiaľ ide o akciové spoločnosti kótované na burze, a jednak konkrétnym a presným dôvodom spojeným so spoločnosťou, pokiaľ ide o spoločníkov, pre ktorý sa takéto informácie požadujú.

25

Za týchto podmienok Amtsgericht München (Okresný súd Mníchov, Nemecko) rozhodol prerušiť tieto dve konania vo veciach samých a položiť Súdnemu dvoru nasledujúce rovnaké prejudiciálne otázky:

26

Rozhodnutím z 23. septembra 2022 predseda Súdneho dvora prerušil toto konanie až do prijatia konečného rozhodnutia vo veci C‑252/21.

27

V súlade s rozhodnutím predsedu Súdneho dvora zo 7. júla 2023 kancelária doručila vnútroštátnemu súdu rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), (C–252/21, EU:C:2023:537), pričom ho vyzvala, aby jej oznámil, či vzhľadom na tento rozsudok trvá na svojich návrhoch na začatie prejudiciálneho konania v celom rozsahu alebo čiastočne.

28

Listom zo 4. augusta 2023 doručeným do kancelárie Súdneho dvora v ten istý deň tento súd uviedol, že trvá na svojich návrhoch na začatie prejudiciálneho konania.

29

Svojimi otázkami, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 1 prvý pododsek písm. b) a f) nariadenia GDPR vykladať v tom zmysle, že spracúvanie osobných údajov, ktoré spočíva v poskytnutí, na žiadosť spoločníka investičného fondu zriadeného vo forme osobnej spoločnosti založenej na investičné účely, informácií o všetkých spoločníkoch vlastniacich nepriame podiely v tomto fonde prostredníctvom správcovských spoločností, nezávisle od veľkosti ich podielu v uvedenom fonde, s cieľom nadviazať kontakt a rokovať s nimi o odkúpení ich obchodných podielov alebo sa s nimi koordinovať s cieľom vytvoriť spoločný prejav vôle v rámci rozhodnutí spoločníkov, možno považovať za nevyhnutné na plnenie zmluvy, ktorej stranami sú dotknuté osoby v zmysle tohto písm. b), alebo na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana v zmysle tohto písm. f).

30

Keďže z návrhov na začatie prejudiciálneho konania vyplýva, že vnútroštátny súd sa pýta na súlad povinnosti poskytnúť takéto údaje, ktorá v nemeckom práve vyplýva z judikatúry vnútroštátnych súdov, s nariadením GDPR, treba preformulovať položené otázky tak, že sa vzťahujú aj na výklad článku 6 ods. 1 prvého pododseku písm. c) tohto nariadenia, a vychádzať z toho, že svojimi otázkami sa vnútroštátny súd pýta aj na to, či takéto poskytnutie možno považovať za vyplývajúce zo zákonnej povinnosti, ktorej podlieha prevádzkovateľ.

31

S cieľom odpovedať na tieto otázky treba na úvod pripomenúť, že cieľ sledovaný nariadením GDPR, ktorý vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ (rozsudok zo 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, bod 53 a citovaná judikatúra).

32

V súlade s týmto cieľom musí byť každé spracúvanie osobných údajov najmä v súlade so zásadami týkajúcimi sa spracúvania takýchto údajov uvedenými v článku 5 tohto nariadenia a musí spĺňať podmienky zákonnosti vymenované v článku 6 toho istého nariadenia [pozri v tomto zmysle rozsudky zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 208, ako aj z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22, EU:C:2024:598, bod 49].

33

V tejto súvislosti treba zdôrazniť, že podľa článku 5 ods. 1 písm. a) nariadenia GDPR musia byť osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe.

34

Konkrétne, pokiaľ ide o podmienky zákonnosti spracúvania, ako rozhodol Súdny dvor, článok 6 ods. 1 prvý pododsek nariadenia GDPR stanovuje taxatívny a obmedzený zoznam prípadov, v ktorých možno spracúvanie osobných údajov považovať za zákonné. Na to, aby sa teda spracúvanie mohlo považovať za zákonné, musí sa naň vzťahovať jeden z prípadov stanovených v tomto ustanovení [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 90].

35

Vzhľadom na osobitosti sporov vo veciach samých treba okrem toho uviesť, že tento článok 6 ods. 1 prvý pododsek sám osebe neukladá povinnosť, ale obmedzuje sa na vyjadrenie možnosti vykonať spracúvanie osobných údajov v prípadoch, ktoré vymenúva (pozri analogicky rozsudok zo 4. mája 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, bod 26).

36

Podľa článku 6 ods. 1 prvého pododseku písm. a) nariadenia GDPR je spracúvanie osobných údajov zákonné iba vtedy a iba v rozsahu, v akom s ním dotknutá osoba súhlasila na jeden alebo viacero konkrétnych účelov. V prípade neexistencie takéhoto súhlasu alebo v prípade, že tento súhlas nebol daný slobodne, konkrétne, informovane a jednoznačne v zmysle článku 4 bodu 11 tohto nariadenia, je takéto spracúvanie napriek tomu odôvodnené, ak spĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) uvedeného nariadenia.

37

V tejto súvislosti sa odôvodnenia uvedené v poslednom uvedenom ustanovení, pokiaľ umožňujú zákonnosť spracúvania osobných údajov vykonávaného bez súhlasu dotknutej osoby, musia vykladať reštriktívne [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 93 a citovaná judikatúra].

38

Súdny dvor okrem toho rozhodol, že ak možno konštatovať, že spracúvanie osobných údajov je nevyhnutné vzhľadom na niektorý z dôvodov stanovených v článku 6 ods. 1 prvom pododseku písm. b) až f) nariadenia GDPR, nie je potrebné určiť, či sa na toto spracúvanie vzťahuje aj niektorý iný z týchto dôvodov [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 94 a citovaná judikatúra].

39

Súdny dvor zároveň rozhodol, že v súlade s článkom 5 nariadenia GDPR je na prevádzkovateľovi, aby preukázal, že tieto údaje sa získavajú najmä na konkrétne určené, výslovne uvedené a legitímne účely a že sa vo vzťahu k dotknutej osobe spracúvajú zákonným spôsobom, spravodlivo a transparentne. Okrem toho v súlade s článkom 13 ods. 1 písm. c) tohto nariadenia platí, že ak sa osobné údaje získavajú od dotknutej osoby, je prevádzkovateľ povinný informovať dotknutú osobu o účeloch spracúvania, na ktoré sú tieto údaje určené, ako aj o právnom základe tohto spracúvania [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 95].

40

V prejednávanej veci zo spisu predloženého Súdnemu dvoru vyplýva, že spoločníci vlastniaci nepriame podiely v dotknutých investičných fondoch prostredníctvom správcovských spoločností neposkytli svoj súhlas v zmysle článku 6 ods. 1 prvého pododseku písm. a) nariadenia GDPR s cieľom umožniť žalovaným v spore vo veciach samých poskytnúť ich osobné údaje tretím stranám, najmä spoločnostiam HTB a Ökorenta.

41

Za týchto podmienok treba na účely odpovede na položené otázky overiť, či sa na ustanovenia článku 6 ods. 1 prvého pododseku písm. b) a f) tohto nariadenia, ktorých sa konkrétne týkajú návrhy na začatie prejudiciálneho konania, možno odvolávať na účely odôvodnenia prípadného poskytnutia takýchto údajov týmto tretím stranám.

42

Pokiaľ ide v prvom rade o článok 6 ods. 1 prvý pododsek písm. b) nariadenia GDPR, tento článok stanovuje, že spracúvanie osobných údajov je zákonné, ak je „nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy“.

43

V tejto súvislosti Súdny dvor už rozhodol, že na to, aby sa spracúvanie osobných údajov považovalo za nevyhnutné na plnenie zmluvy v zmysle tohto ustanovenia, musí byť objektívne nevyhnutné na dosiahnutie cieľa, ktorý je neoddeliteľnou súčasťou zmluvného plnenia určeného dotknutej osobe. Prevádzkovateľ tak musí byť schopný preukázať, prečo by bez predmetného spracúvania nebolo možné dosiahnuť hlavný predmet zmluvy [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 98].

44

Ako Súdny dvor tiež rozhodol, rozhodujúcim prvkom na účely uplatnenia odôvodnenia uvedeného v článku 6 ods. 1 prvom pododseku písm. b) nariadenia GDPR je totiž skutočnosť, že spracúvanie osobných údajov vykonávané prevádzkovateľom je zásadné pre riadne plnenie zmluvy uzatvorenej medzi prevádzkovateľom a dotknutou osobou, a teda že neexistujú iné vykonateľné a menej obmedzujúce riešenia [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 99].

45

V prejednávanej veci z rozhodnutí vnútroštátneho súdu vyplýva, že zmluvy o účasti a správe, o ktoré ide vo veciach samých, na základe ktorých boli nadobudnuté nepriame podiely v dotknutých investičných fondoch, výslovne stanovujú zákaz oznámiť údaje týkajúce sa nepriamych investorov iným držiteľom podielov.

46

V tejto súvislosti treba uviesť, že základnou vlastnosťou nadobudnutia nepriameho podielu prostredníctvom správcovskej spoločnosti v investičnom fonde založenom na investičné účely je práve anonymita spoločníkov, a to aj vo vzťahoch medzi samotnými spoločníkmi. Inými slovami, práve vzhľadom na dôverné zaobchádzanie s ich údajmi investičným fondom sa osoby rozhodnú pre finančné investície do takéhoto fondu vo forme podielu vlastneného prostredníctvom správcovských podielových spoločností.

47

S výhradou overenia vnútroštátnym súdom preto spracúvanie osobných údajov, ktoré spočíva v poskytnutí informácií týkajúcich sa spoločníkov vlastniacich nepriame podiely prostredníctvom správcovskej spoločnosti v investičnom fonde založenom na investičné účely, nemožno považovať za „nevyhnutné na plnenie zmluvy“ v zmysle článku 6 ods. 1 prvého pododseku písm. b) nariadenia GDPR v prípade, že zmluva, na základe ktorej došlo k nadobudnutiu takéhoto podielu, výslovne vylučuje poskytnutie týchto údajov iným držiteľom podielov.

48

Pokiaľ ide v druhom rade o článok 6 ods. 1 prvý pododsek písm. f) nariadenia GDPR, tento článok stanovuje, že spracúvanie osobných údajov je zákonné, ak je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu týchto osobných údajov.

49

Ako teda Súdny dvor už rozhodol, toto ustanovenie stanovuje tri kumulatívne podmienky na to, aby spracúvanie osobných údajov bolo zákonné, a to po prvé sledovanie oprávneného záujmu prevádzkovateľom alebo treťou stranou, po druhé nevyhnutnosť spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu a po tretie podmienku, že neprevažujú záujmy alebo základné práva a slobody osoby dotknutej ochranou osobných údajov [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 106 a citovaná judikatúra].

50

Pokiaľ ide po prvé o podmienku týkajúcu sa sledovania „oprávneného záujmu“ pri neexistencii definície tohto pojmu v nariadení GDPR, treba zdôrazniť, ako Súdny dvor už rozhodol, že existuje široká škála záujmov, ktoré možno v zásade považovať za oprávnené [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 76].

51

Pokiaľ ide po druhé o podmienku týkajúcu sa nevyhnutnosti spracúvania osobných údajov na dosiahnutie sledovaného oprávneného záujmu, táto nevyhnutnosť ukladá vnútroštátnemu súdu povinnosť overiť, že sledovaný oprávnený záujem na spracúvaní údajov nemožno primeraným spôsobom rovnako účinne dosiahnuť inými prostriedkami, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb, najmä do práv na rešpektovanie súkromného života a na ochranu osobných údajov zaručených článkami 7 a 8 Charty [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 77 a citovaná judikatúra].

52

V tejto súvislosti treba tiež pripomenúť, že podmienku týkajúcu sa nevyhnutnosti spracúvania treba preskúmať spoločne so zásadou „minimalizácie údajov“ zakotvenou v článku 5 ods. 1 písm. c) nariadenia GDPR, podľa ktorej musia byť osobné údaje „primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú“ [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 109, ako aj citovaná judikatúra].

53

Nakoniec, pokiaľ ide po tretie o podmienku, že záujmy alebo základné práva a slobody osoby, na ktorú sa vzťahuje ochrana údajov, neprevažujú nad oprávneným záujmom prevádzkovateľa alebo tretej strany, Súdny dvor už rozhodol, že táto podmienka si vyžaduje zváženie protichodných práv a záujmov, ktoré v zásade závisí od konkrétnych okolností konkrétneho prípadu, a že v dôsledku toho prináleží vnútroštátnemu súdu, aby vykonal toto zváženie s prihliadnutím na tieto osobitné okolnosti [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 110, ako aj citovaná judikatúra].

54

Okrem toho, ako vyplýva z odôvodnenia 47 nariadenia GDPR, záujmy a základné práva dotknutej osoby môžu prevážiť pred záujmom prevádzkovateľa najmä vtedy, ak sa osobné údaje spracúvajú za okolností, keď dotknuté osoby dôvodne neočakávajú takéto spracúvanie [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 112].

55

Hoci v konečnom dôsledku prináleží vnútroštátnemu súdu, aby posúdil, či sú v súvislosti so spracúvaním osobných údajov, o ktoré ide vo veciach samých, splnené tri podmienky pripomenuté v bode 49 tohto rozsudku, Súdny dvor, ktorý rozhoduje o návrhu na začatie prejudiciálneho konania, môže poskytnúť spresnenia, ktorých cieľom je viesť tento súd pri tomto určení [rozsudky zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 96, a zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 81, ako aj citovaná judikatúra].

56

Pokiaľ ide v prejednávanej veci po prvé o podmienku týkajúcu sa sledovania oprávneného záujmu prevádzkovateľom alebo treťou osobou v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR, vnútroštátny súd odkazuje na záujem tretej strany, a to záujem spoločníka, ktorý vlastní nepriamy podiel v investičnom fonde zriadenom vo forme komanditnej spoločnosti založenej na investičné účely, získať osobné údaje týkajúce sa ostatných nepriamych spoločníkov tejto spoločnosti s cieľom nadviazať kontakt s týmito spoločníkmi alebo s nimi rokovať o odkúpení obchodných podielov, alebo sa s nimi koordinovať s cieľom vytvoriť spoločný prejav vôle v rámci rozhodnutí všetkých spoločníkov.

57

Treba konštatovať, že takýto záujem v zásade môže predstavovať oprávnený záujem na poskytnutí osobných údajov v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR, a to najmä vzhľadom na postavenie takejto spoločnosti, ako vyplýva z vnútroštátneho práva dotknutého členského štátu, a nezávisle od veľkosti podielu a právomocí, ktoré zastáva v spoločnosti spoločník, ktorý podal žiadosť o poskytnutie. Vnútroštátnemu súdu však prináleží, aby v každom jednotlivom prípade posúdil existenciu takéhoto záujmu s prihliadnutím na uplatniteľný právny rámec a všetky okolnosti veci.

58

V prípade identifikácie takéhoto oprávneného záujmu na to, aby sledovanie tohto záujmu mohlo umožniť spracúvanie osobných údajov podľa článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR, by bolo ešte potrebné, aby prevádzkovateľ dodržal všetky ostatné povinnosti, ktoré mu vyplývajú z tohto nariadenia.

59

Po druhé, pokiaľ ide o podmienku týkajúcu sa nevyhnutnosti tohto spracúvania na naplnenie uvedeného záujmu a najmä existenciu prostriedkov, ktoré menej zasahujú do základných práv a slobôd dotknutých osôb a sú rovnako primerané, treba konštatovať, že okrem iného by bolo možné, aby spoločník investičného fondu, ktorý chce získať informácie týkajúce sa iného spoločníka, ktorý má nepriamy podiel v tomto fonde prostredníctvom správcovskej spoločnosti, požiadal priamo uvedený fond alebo túto spoločnosť o postúpenie jeho žiadosti dotknutému spoločníkovi s cieľom zoznámiť sa s ním alebo vymeniť si s ním názor. Spoločník by sa potom mohol slobodne rozhodnúť, či má záujem nadviazať kontakt so spoločníkom, ktorý to navrhol, alebo či uprednostňuje nevyhovieť takejto žiadosti a udržať si anonymitu. Takéto riešenie by sa mohlo uplatniť aj v prípade, keď chce navrhujúci spoločník začať s iným spoločníkom rokovať o odkúpení jeho podielov alebo sa s ním koordinovať s cieľom vytvoriť spoločný prejav vôle v rámci rozhodnutí všetkých spoločníkov.

60

Toto riešenie by okrem toho umožnilo spoločníkovi dotknutému žiadosťou o informácie v súlade so zásadou minimalizácie údajov uvedenou v bode 52 tohto rozsudku zachovať kontrolu nad spracúvaním svojich osobných údajov a obmedziť tak ich poskytnutie inému spoločníkovi na to, čo je skutočne nevyhnutné a relevantné vzhľadom na účely, na ktoré sa uvedené údaje požadujú a spracúvajú.

61

Nemožno preto vylúčiť, že také konanie, aké je opísané v predchádzajúcom bode tohto rozsudku, možno považovať za opatrenie zahŕňajúce menší zásah do práva na ochranu dôvernosti osobných údajov dotknutej osoby, pričom prevádzkovateľovi umožňuje sledovať, rovnako účinne, oprávnený záujem dotknutej tretej strany, čo však prináleží overiť vnútroštátnemu súdu.

62

Po tretie, pokiaľ ide o zváženie záujmov, ktoré prináleží vykonať vnútroštátnemu súdu vzhľadom na osobitné okolnosti prejednávanej veci, tento súd musí zohľadniť najmä primerané očakávania dotknutej osoby, ako aj rozsah predmetného spracúvania a jeho vplyv na túto osobu [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 116].

63

Z toho vyplýva, že v rámci takéhoto zváženia nemožno na jednej strane v zásade vylúčiť, že poskytnutie osobných údajov spoločníkov osobnej spoločnosti, hoci aj nepriamych, iným spoločníkom, môže prípadne slúžiť ekonomickým záujmom každého z nich, a teda aj záujmom nepriamych spoločníkov, ku ktorých osobným údajom chcú mať títo iní spoločníci prístup.

64

Na druhej strane však nemožno vylúčiť ani to, že záujem spoločníkov vlastniacich nepriamy podiel v investičnom fonde na tom, aby ich osobné údaje zostali dôverné, by mohol mať prednosť pred záujmom ostatných spoločníkov, ktorí chcú získať ich kontaktné údaje. Z tohto hľadiska treba priznať osobitný význam skutočnosti, že najmä vzhľadom na zmluvné ustanovenia uvedené v bode 45 tohto rozsudku je pravdepodobné, že nepriami spoločníci takéhoto investičného fondu nemohli v čase získavania ich osobných údajov dôvodne očakávať, že tieto údaje budú poskytnuté tretím stranám, v prejednávanej veci iným nepriamym spoločníkom tohto investičného fondu.

65

Zo všetkých predchádzajúcich úvah a s výhradou posúdenia, ktoré má v tejto súvislosti vykonať vnútroštátny súd, vyplýva, že sa zdá byť pochybné, či by spracúvanie osobných údajov, akým je poskytnutie informácií požadovaných žalobkyňami vo veciach samých, mohlo byť odôvodnené oprávneným záujmom v zmysle článku 6 ods. 1 prvého pododseku písm. f) nariadenia GDPR.

66

Pokiaľ ide v treťom rade o článok 6 ods. 1 prvý pododsek písm. c) nariadenia GDPR, tento článok stanovuje, že spracúvanie osobných údajov je zákonné, ak je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa.

67

Článok 6 ods. 3 nariadenia GDPR okrem iného v tejto súvislosti spresňuje, že spracúvanie musí mať základ v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa a že tento právny základ musí spĺňať cieľ verejného záujmu a musí byť primeraný sledovanému oprávnenému cieľu [rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, bod 128].

68

Okrem toho, ako sa uvádza v odôvodnení 41 tohto nariadenia, keď sa v tomto nariadení odkazuje na právny základ alebo legislatívne opatrenie, nemusí sa tým nevyhnutne vyžadovať legislatívny akt prijatý parlamentom, bez toho, aby boli dotknuté požiadavky vyplývajúce z ústavného poriadku dotknutého členského štátu. Takýto právny základ alebo legislatívne opatrenie by však mali byť jasné a presné a ich uplatňovanie by malo byť predvídateľné pre tie osoby, na ktoré sa vzťahujú, a to v súlade s judikatúrou Súdneho dvora a Európskeho súdu pre ľudské práva.

69

V prejednávanej veci na jednej strane právo Únie nestanovuje nijakú povinnosť investičných fondov alebo správcovských podielových spoločností, o aké ide vo veciach samých, poskytnúť osobné údaje spoločníkov, ktorí vlastnia nepriame podiely v týchto fondoch.

70

Na druhej strane z návrhov na začatie prejudiciálneho konania vyplýva, že takúto povinnosť možno napriek tomu, s výhradou overení, ktoré v tejto súvislosti prináleží vykonať vnútroštátnemu súdu, vyvodiť z judikatúry Bundesgerichtshof (Spolkový súdny dvor) a Oberlandesgericht München (Vyšší krajinský súd Mníchov), podľa ktorej zmluvné podmienky zaručujúce dôvernosť kontaktných údajov nepriamych spoločníkov osobnej spoločnosti založenej na investičné účely, také, o aké ide vo veciach samých, by sa mali považovať za neplatné, takže by malo byť potrebné poskytnúť osobné údaje spoločníkov vlastniacich nepriame podiely v investičnom fonde zriadenom vo forme komanditnej spoločnosti založenej na investičné účely.

71

V tejto súvislosti treba uviesť, že v súlade s tým, čo je uvedené v bode 68 tohto rozsudku, nemožno vylúčiť, že „právo členského štátu vzťahujúce sa na prevádzkovateľa“ v zmysle článku 6 ods. 3 písm. b) nariadenia GDPR sa vzťahuje aj na vnútroštátnu judikatúru.

72

Ako však vyplýva z odôvodnenia 41 tohto nariadenia, v súlade s judikatúrou Súdneho dvora sa vyžaduje, aby takáto vnútroštátna judikatúra bola jasná a presná a aby jej uplatňovanie bolo predvídateľné pre tie osoby, na ktoré sa vzťahuje.

73

Okrem toho v súlade s judikatúrou pripomenutou v bode 67 tohto rozsudku je ešte potrebné, aby táto judikatúra predstavovala právny základ zodpovedajúci cieľu verejného záujmu, musí byť k nemu primeraná a aby sa dotknuté spracovanie vykonávalo v medziach toho, čo je nevyhnutne potrebné, čo prináleží overiť vnútroštátnemu súdu [pozri v tomto zmysle rozsudok zo 4. júla 2023, Meta Platforms a i. (Všeobecné podmienky používania sociálnej siete), C‑252/21, EU:C:2023:537, body 134 a 138].

74

Bude teda úlohou tohto súdu, aby okrem iného určil, či neexistujú opatrenia, ktoré by napriek tomu, že umožňujú zaručiť požiadavku transparentnosti medzi spoločníkmi osobných spoločností, ako sa zdá, že vyplýva z nemeckého práva, ako bolo uvedené v bodoch 18 až 22 tohto rozsudku, menej zasahovali do ochrany dôverných osobných údajov nepriamych spoločníkov komanditných spoločností založených na investičné účely, než povinnosť poskytnúť tieto údaje akémukoľvek inému spoločníkovi, ktorý o ne požiada.

75

Vzhľadom na všetko, čo bolo uvedené, treba na prejudiciálne otázky odpovedať tak, že článok 6 ods. 1 prvý pododsek písm. b) nariadenia GDPR sa má vykladať v tom zmysle, že spracúvanie osobných údajov spočívajúce v tom, že sa na žiadosť spoločníka investičného fondu, ktorý je zriadený vo forme osobnej spoločnosti založenej na investičné účely, poskytnú informácie o všetkých spoločníkoch vlastniacich nepriame podiely v tomto fonde prostredníctvom správcovských spoločností nezávisle od veľkosti ich podielu v uvedenom fonde, s cieľom nadviazať kontakt a rokovať s nimi o odkúpení ich obchodných podielov alebo sa s nimi koordinovať s cieľom vytvoriť spoločný prejav vôle v rámci rozhodnutí spoločníkov, možno považovať za nevyhnutné v zmysle tohto ustanovenia na plnenie zmluvy, na základe ktorej títo spoločníci nadobudli takéto podiely, len pod podmienkou, že toto spracúvanie je objektívne nevyhnutné na dosiahnutie cieľa, ktorý je neoddeliteľnou súčasťou zmluvného plnenia určeného tým istým spoločníkom, takže bez tohto spracúvania by nebolo možné dosiahnuť hlavný predmet zmluvy. Nie je to tak v prípade, ak táto zmluva výslovne vylučuje poskytnutie týchto osobných údajov iným držiteľom podielov.

76

Článok 6 ods. 1 prvý pododsek písm. f) nariadenia GDPR sa má vykladať v tom zmysle, že takéto spracúvanie možno považovať za nevyhnutné na účely oprávnených záujmov sledovaných treťou stranou v zmysle tohto ustanovenia len pod podmienkou, že toto spracúvanie je nevyhnutne potrebné na dosiahnutie tohto oprávneného záujmu a že so zreteľom na všetky relevantné okolnosti záujmy alebo základné práva a slobody uvedených spoločníkov neprevažujú nad týmto oprávneným záujmom.

77

Článok 6 ods. 1 prvý pododsek písm. c) nariadenia GDPR sa má vykladať v tom zmysle, že uvedené spracúvanie osobných údajov je podľa tohto ustanovenia odôvodnené, ak je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa podľa práva dotknutého členského štátu, ako je spresnené v judikatúre tohto členského štátu, pod podmienkou, že táto judikatúra je jasná a presná, jej uplatňovanie je pre osoby, na ktoré sa vzťahuje, predvídateľné, a že spĺňa cieľ verejného záujmu a je sledovanému cieľu primeraná.

78

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veciach samých incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (štvrtá komora) rozhodol takto: