Wyrok z dnia 2024-09-12 sygn. C-17/22

Drukuj dokument lub zaznaczenie Kopiuj zaznaczony tekst bez formatowania

WYROK TRYBUNAŁU (czwarta izba)

z dnia 12 września 2024 r.

Odesłanie prejudycjalne – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 6 ust. 1 akapit pierwszy lit. b), c) i f) – Zgodność przetwarzania z prawem – Niezbędność przetwarzania do celów wykonania umowy, której stroną jest osoba, której dane dotyczą – Niezbędność przetwarzania do celów wypełnienia obowiązku prawnego nałożonego na administratora – Niezbędność przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez osobę trzecią – Fundusz inwestycyjny utworzony w formie publicznej spółki komandytowej – Wniosek wspólnika o przekazanie mu danych kontaktowych pozostałych wspólników uczestniczących pośrednio w funduszu inwestycyjnym za pośrednictwem spółki powierniczej

W sprawach połączonych C-17/22 i C-18/22

mających za przedmiot wnioski o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożone przez Amtsgericht München (sąd rejonowy w Monachium, Niemcy) postanowieniami z dnia 21 grudnia 2021 r., które wpłynęły do Trybunału w dniu 7 stycznia 2022 r., w postępowaniach:

HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG

przeciwko

Müller Rechtsanwaltsgesellschaft mbH (C‑17/22)

oraz

Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG

przeciwko

WealthCap Photovoltaik 1 GmbH Co.KG,

WealthCap PEIA Komplementär GmbH,

WealthCap Investorenbetreuung GmbH (C‑18/22),

TRYBUNAŁ (czwarta izba),

w składzie: C. Lycourgos, prezes izby, O. Spineanu‑Matei, J.‑C. Bonichot, S. Rodin i L.S. Rossi (sprawozdawczyni), sędziowie,

rzecznik generalny: J. Richard de la Tour,

sekretarz: I. Illéssy, administrator,

uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 29 lutego 2024 r.,

rozważywszy uwagi, które przedstawili:

–        w imieniu HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG – M. Handlos i R. Veil, Rechtsanwälte,

–        w imieniu Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG – U. Brinkmöller, Rechtsanwalt,

–        w imieniu WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH i WealthCap Investorenbetreuung GmbH – N. Bartmann, U. Baumgartner i A. Höder, Rechtsanwälte,

–        w imieniu Komisji Europejskiej – A. Bouchagiar, M. Heller i H. Kranenborg, w charakterze pełnomocników,

podjąwszy, po wysłuchaniu rzecznika generalnego, decyzję o rozstrzygnięciu sprawy bez opinii,

wydaje następujący

Wyrok

1        Wnioski o wydanie orzeczenia w trybie prejudycjalnym dotyczą wykładni art. 6 ust. 1 akapit pierwszy lit. b) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowania: Dz.U. 2018, L 127, s. 2; Dz.U 2021, L 74, s. 35; zwanego dalej „RODO”).

2        Wnioski te przedstawiono w ramach sporów pomiędzy, po pierwsze – spółką HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (zwaną dalej „HTB”) a spółką Müller Rechtsanwaltsgesellschaft mbH (sprawa C‑17/22), a po drugie – spółką Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (zwaną dalej „Ökorentą”) a spółkami WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH oraz WealthCap Investorenbetreuung GmbH (sprawa C‑18/22).

 Ramy prawne

 Prawo Unii

3        Motywy 1, 10, 39, 41, 47 i 48 RODO mają następujące brzmienie:

„(1)      Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Artykuł 8 ust. 1 Karty praw podstawowych Unii Europejskiej (zwanej dalej [»Kartą«]) oraz art. 16 ust. 1 [TFUE] stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących.

[…]

(10)      Aby zapewnić wysoki i spójny stopień ochrony osób fizycznych oraz usunąć przeszkody w przepływie danych osobowych w Unii [Europejskiej], należy zapewnić równorzędny we wszystkich państwach członkowskich stopień ochrony praw i wolności osób fizycznych w związku z przetwarzaniem takich danych. Należy zapewnić spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych […].

[…]

(39)      Wszelkie przetwarzanie danych osobowych powinno być zgodne z prawem i rzetelne. Dla osób fizycznych powinno być przejrzyste, że dotyczące ich dane osobowe są zbierane, wykorzystywane, przeglądane lub w inny sposób przetwarzane oraz w jakim stopniu te dane osobowe są lub będą przetwarzane […].

[…]

(41)      W przypadku gdy w niniejszym rozporządzeniu jest mowa o podstawie prawnej lub akcie prawnym, niekoniecznie wymaga to przyjęcia aktu prawnego przez parlament, z zastrzeżeniem wymogów wynikających z porządku konstytucyjnego danego państwa członkowskiego. Taka podstawa prawna lub taki akt prawny powinny być jasne i precyzyjne, a ich zastosowanie przewidywalne dla osób im podlegających – jak wymaga tego orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej […] i Europejskiego Trybunału Praw Człowieka.

[…]

(47)      Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem, nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania […]. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.

(48)      Administratorzy, którzy są częścią grupy przedsiębiorstw lub instytucji powiązanych z podmiotem centralnym, mogą mieć prawnie uzasadniony interes w przesyłaniu danych osobowych w ramach grupy przedsiębiorstw do wewnętrznych celów administracyjnych, co dotyczy też przetwarzania danych osobowych klientów lub pracowników. Pozostaje to bez wpływu na ogólne zasady przekazywania danych osobowych w ramach grupy przedsiębiorstw przedsiębiorstwu mieszczącemu się w państwie trzecim”.

4        Artykuł 1 tego rozporządzenia, zatytułowany „Przedmiot i cele”, stanowi w ust. 2:

„Niniejsze rozporządzenie chroni podstawowe prawa i wolności osób fizycznych, w szczególności ich prawo do ochrony danych osobowych”.

5        Artykuł 4 wspomnianego rozporządzenia przewiduje:

„Na użytek niniejszego rozporządzenia:

1)      »dane osobowe« oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej;

2)      »przetwarzanie« oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

[…]

7)      »administrator« oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczania;

[…]

11)      »zgoda« osoby, której dane dotyczą, oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;

[…]”.

6        Artykuł 5 omawianego rozporządzenia, zatytułowany „Zasady dotyczące przetwarzania danych osobowych”, stanowi:

„1.      Dane osobowe muszą być:

a)      przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (»zgodność z prawem, rzetelność i przejrzystość«);

b)      zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami […];

c)      adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (»minimalizacja danych«);

[…]

2.      Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie (»rozliczalność«)”.

7        Artykuł 6 RODO, zatytułowany „Zgodność przetwarzania z prawem”, ma następujące brzmienie:

„1.      Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

a)      osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b)      przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c)      przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

[…]

f)      przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

2.      Państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności, także w innych szczególnych sytuacjach związanych z przetwarzaniem przewidzianych w rozdziale IX.

3.      Podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:

a)      w prawie Unii; lub

b)      w prawie państwa członkowskiego, któremu podlega administrator.

[…] Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu”.

8        Artykuł 13 ust. 1 tego rozporządzenia stanowi:

„Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, podczas pozyskiwania danych osobowych administrator podaje jej wszystkie następujące informacje:

[…]

c)      cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania;

d)      jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;

[…]”.

 Prawo niemieckie

9        Paragraf 161 Handelsgesetzbuch (kodeksu handlowego) w brzmieniu mającym zastosowanie do sporów w postępowaniach głównych przewiduje:

„(1)      Spółka, której celem jest prowadzenie przedsiębiorstwa handlowego pod wspólną firmą, jest spółką komandytową, jeżeli odpowiedzialność jednego lub kilku wspólników wobec wierzycieli spółki jest ograniczona do kwoty określonego sumy komandytowej (komandytariusze), a odpowiedzialność pozostałych wspólników nie jest ograniczona (komplementariusze).

(2)      Jeżeli niniejszy rozdział nie stanowi inaczej, do spółki komandytowej mają zastosowanie przepisy dotyczące spółki jawnej.

10      Artykuł 162 ust. 1 tego kodeksu ma następujące brzmienie:

„Oprócz danych określonych w § 106 ust. 2 [(między innymi nazwiska, imienia, daty urodzenia i miejsca zamieszkania każdego wspólnika)] zgłoszenie spółki powinno zawierać oznaczenie komandytariuszy i kwotę sumy komandytowej każdego z nich […]”.

11      Paragraf 127a ust. 1 i 3 Aktiengesetz (ustawy o spółkach akcyjnych) w brzmieniu mającym zastosowanie do sporów w postępowaniach głównych stanowi:

„(1)      Akcjonariusze lub stowarzyszenia akcjonariuszy mogą wezwać innych akcjonariuszy, na forum akcjonariuszy Bundesanzeiger [(niemieckiego monitora federalnego)], do wystąpienia na podstawie niniejszej ustawy – wspólnie lub w ramach przedstawicielstwa – z wnioskiem lub żądaniem bądź do wykonania prawa głosu na walnym zgromadzeniu.

[…]

(3)      Wezwanie to może zawierać informacje dotyczące strony internetowej wzywającego akcjonariusza i adresu poczty elektronicznej […]”.

12      Paragraf 33 ust. 1 zdanie pierwsze Wertpapierhandelsgesetz (ustawy o obrocie papierami wartościowymi) w brzmieniu mającym zastosowanie do sporów w postępowaniach głównych przewiduje:

„Kto w wyniku nabycia, zbycia lub w jakikolwiek inny sposób osiąga, przekracza lub uzyskuje poniżej 3 %, 5 %, 10 %, 15 %, 20 %, 25 %, 30 %, 50 % lub 75 % liczby głosów, jakimi dysponuje z tytułu należących do niego akcji w spółce będącej emitentem, dla której Republika Federalna Niemiec jest państwem pochodzenia, powinien (jako podmiot zobowiązany do zgłoszenia) niezwłocznie powiadomić o tym emitenta i jednocześnie niemiecki urząd federalny [(federalny urząd nadzoru nad sektorem usług finansowych)], najpóźniej w ciągu czterech dni sesyjnych, z uwzględnieniem § 34 ust. 1 i 2 […]”.

 Postępowania główne i pytania prejudycjalne

13      Z postanowień odsyłających wynika, że HTB i Ökorenta są spółkami inwestycyjnymi, z których każda uczestniczy pośrednio, za pośrednictwem spółki powierniczej, w funduszach inwestycyjnych. Owe fundusze inwestycyjne działają w formie spółki komandytowej, a mianowicie publicznej spółki osobowej. Uczestnictwo w kapitale wspomnianych spółek komandytowych jest pomyślane jako lokata kapitału. Ponieważ uczestnictwo to jest pośrednie, wspólnicy wykonują swoje prawa za pośrednictwem spółek powierniczych, będących spółkami udziałowymi.

14      Strony powodowe w postępowaniach głównych zwróciły się do pozwanych w postępowaniach głównych – spółek powierniczych będących spółkami udziałowymi – o ujawnienie nazwisk i adresów wszystkich wspólników uczestniczących pośrednio, za pośrednictwem tych spółek, w funduszach inwestycyjnych, w których uczestniczą strony powodowe.

15      Strony pozwane w postępowaniach głównych sprzeciwiają się takiemu ujawnieniu, ponieważ uważają, że dane, o które się do nich zwrócono, mają służyć realizacji własnych celów gospodarczych stron powodowych w postępowaniach głównych, polegających na reklamowaniu ich własnych produktów inwestycyjnych, niepokojeniu inwestorów niechcianymi wiadomościami lub wykupie ich udziałów w cenie poniżej ich wartości i realizacji zysku z ich odsprzedaży. Tymczasem umowy uczestnictwa i powiernictwa, na podstawie których wspólnicy spółek pozwanych w postępowaniach głównych nabyli pośrednie uczestnictwo w funduszach inwestycyjnych, w których uczestniczą strony powodowe, zawierają – według stron pozwanych – klauzule zabraniające ujawniania rzeczonych danych innym uczestniczącym w tych funduszach.

16      Strony powodowe w postępowaniach głównych zaprzeczają, aby żywiły takie zamiary, i podnoszą swoje prawo do nawiązania kontaktu z pozostałymi komandytariuszami uczestniczącymi w funduszach inwestycyjnych, w których uczestniczą te strony, między innymi w celu podjęcia negocjacji w sprawie odkupienia udziałów tych komandytariuszy.

17      Sąd odsyłający podkreśla co do istoty, że zgodnie z orzecznictwem Bundesgerichtshof (federalnego trybunału sprawiedliwości, Niemcy) i Oberlandesgericht München (wyższego sądu krajowego w Monachium, Niemcy) ujawnienie danych osobowych, o które zwróciły się strony powodowe w postępowaniach głównych, może okazać się obowiązkowe. Sąd ten wskazuje jednak, że być może orzecznictwo to, pochodzące częściowo sprzed wejścia w życie RODO, należy w niniejszej sprawie ocenić inaczej w świetle art. 6 ust. 1 akapit pierwszy lit. b) i f) tego rozporządzenia, którego wykładnia jest zdaniem sądu decydująca dla rozstrzygnięcia sporów w postępowaniach głównych.

18      Sąd odsyłający wskazuje w szczególności, że z postanowienia Bundesgerichtshof (federalnego trybunału sprawiedliwości) z dnia 19 listopada 2019 r. (II ZR 263/18) wynika, iż w spółce osobowej, takiej jak spółka komandytowa, prawo wspólnika do uzyskania wiedzy o nazwiskach i adresach pozostałych wspólników należy do „nieodzownej istoty praw wspólników”. Odnosi się to także do komandytariuszy uczestniczących w spółce jedynie pośrednio. Znajomość danych wszystkich pozostałych wspólników, w tym tych uczestniczących w spółce pośrednio, jest bowiem niezbędna do skutecznego wykonywania praw przysługujących każdemu wspólnikowi publicznej spółki osobowej. Ujawnienie owych danych osobowych innym wspólnikom jest też zgodne ze zobowiązaniami spółki wynikającymi z ustanawiającej ją umowy. Jedynym wyjątkiem od prawa do pozyskania takich danych jest w prawie niemieckim zakaz nadużywania prawa, zgodnie z którym wspomnianego prawa do informacji nie można wykonywać niezgodnie z prawem bądź z zamiarem spowodowania szkody lub wyrządzenia krzywdy.

19      Zgodnie z orzecznictwem Bundesgerichtshof (federalnego trybunału sprawiedliwości) nadużycie prawa jest w każdym wypadku wykluczone, jeżeli inwestor usiłuje nawiązać kontakt z pozostałymi inwestorami, aby omówić z nimi kwestie dotyczące spółki lub, w stosownym wypadku, utworzyć wśród inwestorów wspólnotę interesów. Ponadto nie należy odmawiać przekazania informacji dotyczących wspólnika tylko ze względu na abstrakcyjne ryzyko nadużycia tych danych osobowych. Poza tym wspólnik powinien móc mieć bezpośredni dostęp do danych pozostałych wspólników spółki, bez uzależniania tego od jej organów zarządzających.

20      Z orzecznictwa tego wynika również zdaniem sądu odsyłającego, że takiego prawa do informacji nie można wykluczyć na mocy postanowień umownych, ponieważ może to prowadzić do faktycznego pozbawienia wspólników istotnego prawa, a mianowicie prawa do zwołania nadzwyczajnego zgromadzenia wspólników, gdyż wspólnik uczestniczący w spółce w niewielkim zakresie może osiągnąć niezbędne do tego kwora jedynie wtedy, gdy działa łącznie z innymi wspólnikami, co z konieczności zakłada, że zna ich nazwiska i adresy [postanowienie Bundesgerichtshof (federalnego trybunału sprawiedliwości) z dnia 21 września 2009 r. (II ZR 264/08)]. Zgodnie z rzeczonym orzecznictwem motyw 48 RODO uzasadnia również możliwość przekazywania w ramach grupy przedsiębiorstw danych osobowych wszystkich wspólników jednemu z nich, do wewnętrznych celów administracyjnych.

21      Zdaniem sądu odsyłającego orzecznictwo Bundesgerichtshof (federalnego trybunału sprawiedliwości) potwierdza zatem co do zasady istnienie prawa wspólników do informacji, ograniczonego wyłącznie zakazem nadużywania prawa.

22      Sąd odsyłający odwołuje się również do wyroku Oberlandesgericht München (wyższego sądu krajowego w Monachium) (7 U 342/18) z dnia 16 stycznia 2019 r., zgodnie z którym głównym przedmiotem umowy spółki jest wykonywanie praw wspólników, w tym prawa do wzmocnienia ich pozycji w spółce. Nabycie udziałów w spółce stanowi wobec tego zgodne z prawem wykonywanie tych praw, a ujawnienie w tym celu informacji dotyczących pozostałych wspólników stanowi przejaw racjonalnego interesu. Takiego ujawnienia można odmówić jedynie wówczas, gdy nie ma ono na celu zaspokojenia żadnego racjonalnego interesu.

23      Sąd odsyłający ma wątpliwości w kwestii zgodności orzecznictwa Bundesgerichtshof (federalnego trybunału sprawiedliwości) i Oberlandesgericht München (wyższego sądu krajowego w Monachium) z prawem Unii w zakresie, w jakim pozwala ono na rozszerzone ujawnienie danych osobowych wspólników uczestniczących pośrednio w funduszu inwestycyjnym na podstawie czysto formalnego domniemania istnienia interesu innych wspólników w pozyskaniu takich danych – przykładowo w celu nabycia uczestnictwa w tym funduszu.

24      Sąd ten uważa bowiem, że zgodnie z prawem Unii ochrona danych osobowych stanowi regułę, dlatego wyjątek od tej reguły, przewidziany między innymi w art. 6 ust. 1 akapit pierwszy lit. b) i f) RODO, pozwalający zezwolić na ujawnienie tych danych, musi opierać się na „wyczerpującym uzasadnieniu”. Sąd ten twierdzi ponadto, że w prawie niemieckim nie ma obowiązku prawnego publikowania danych osób uczestniczących w spółce powierniczej. Wobec tego sąd odsyłający zastanawia się, czy prawa dostępu do danych wspólników nie powinno się uzależnić, po pierwsze – od istnienia pewnego progu uczestnictwa w spółce, analogicznie do tego, co przewidziano w prawie niemieckim w odniesieniu do spółek akcyjnych notowanych na giełdzie, a po drugie – od istnienia konkretnego i precyzyjnie określonego powodu związanego ze spółką, w odniesieniu do wspólników której o takie informacje się występuje.

25      W tych okolicznościach Amtsgericht München (sąd rejonowy w Monachium, Niemcy) postanowił zawiesić postępowania w obu sprawach i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

„1)      a)      Czy z wykładni art. 6 ust. 1 [akapit pierwszy] lit. b) i f) [RODO] wynika, że w przypadku publicznej spółki osobowej już samo uczestnictwo w kapitale spółki w charakterze wspólnika odpowiadającego jedynie nieznaczną kwotą i nieodpowiadającego osobiście za zobowiązania spółki oraz nieprowadzącego spraw spółki wystarcza, aby stwierdzić istnienie »uzasadnionego interesu« w uzyskaniu informacji o wszystkich wspólnikach uczestniczących pośrednio w spółce przez powiernika, o ich danych kontaktowych oraz o ich udziale w publicznej spółce osobowej oraz aby wywieść z umowy spółki odpowiednie zobowiązanie umowne,

      b)      czy też uzasadniony interes ogranicza się w takich okolicznościach do uzyskania od spółki informacji o pośrednio uczestniczących podmiotach, które odpowiadają za zobowiązania spółki kwotą, która nie jest nieznaczna, i które posiadają udział minimalny, który pozwala na to, aby w rachubę wchodziła przynajmniej możliwość wpływania na los spółki?

2)      a)      Czy wystarczy, w przypadku przyjęcia takiego nieograniczonego roszczenia [(pytanie pierwsze lit. a)] dla nienaruszenia jego wewnętrznej granicy w postaci nadużycia prawa lub dla dokonania odstępstwa od ograniczenia w przypadku ograniczonego roszczenia informacyjnego [(pytanie pierwsze lit. b)], zamiar nawiązania kontaktu w celu poznania się, wymiany poglądów lub podjęcia negocjacji w przedmiocie nabycia udziałów w spółce,

      b)      czy też interes w uzyskaniu informacji można rozważać jako istotny dopiero wtedy, gdy żądanie ich przekazania następuje z powołaniem się na wyraźny zamiar nawiązania kontaktu z innymi wspólnikami w celu wezwania ich do koordynacji z uwagi na konkretnie wskazane powody, które wymagają ukształtowania wspólnej woli w ramach uchwał wspólników?”.

 W przedmiocie postępowania przed Trybunałem

26      Postanowieniem z dnia 23 września 2022 r. prezes Trybunału zawiesił postępowanie w niniejszej sprawie do chwili wydania wyroku kończącego postępowanie w sprawie C‑252/21.

27      Zgodnie z postanowieniem prezesa Trybunału z dnia 7 lipca 2023 r. sekretariat doręczył sądowi odsyłającemu wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej) (C‑252/21, EU:C:2023:537) i wezwał ów sąd do udzielenia odpowiedzi, czy w świetle rzeczonego wyroku podtrzymuje swoje wnioski o wydanie orzeczenia w trybie prejudycjalnym – w całości lub w części.

28      W piśmie z dnia 4 sierpnia 2023 r., złożonym w sekretariacie Trybunału w tym samym dniu, sąd ten odpowiedział, że podtrzymuje swoje wnioski o wydanie orzeczenia w trybie prejudycjalnym.

 W przedmiocie pytań prejudycjalnych

29      Poprzez swe pytania prejudycjalne, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 6 ust. 1 akapit pierwszy lit. b) i f) RODO należy interpretować w ten sposób, że przetwarzanie danych osobowych polegające na ujawnieniu, na wniosek wspólnika funduszu inwestycyjnego utworzonego w formie publicznej spółki osobowej, informacji o wszystkich wspólnikach uczestniczących pośrednio w tym funduszu za pośrednictwem spółek powierniczych, niezależnie od wartości ich uczestnictwa w kapitale tego funduszu, w celu nawiązania z nimi kontaktu i podjęcia z nimi negocjacji w sprawie odkupienia ich udziałów lub też porozumienia się z nimi w celu sformułowania wspólnego oświadczenia woli w ramach decyzji wspólników, można uznać za niezbędne do wykonania umowy, której stronami są osoby, których dane dotyczą, w rozumieniu wspomnianej lit. b) lub do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią w rozumieniu lit. f).

30      Ponieważ wnioski o wydanie orzeczenia w trybie prejudycjalnym wydają się w sposób oczywisty wskazywać, że sąd odsyłający zastanawia się nad zgodnością z RODO obowiązku ujawnienia takich danych – wynikającego w prawie niemieckim z orzecznictwa sądów krajowych – należy przeformułować przedstawione pytania, tak aby obejmowało wykładnię art. 6 ust. 1 akapit pierwszy lit. c) tego rozporządzenia, i stwierdzić, że poprzez swoje pytania sąd odsyłający dąży również do ustalenia, czy można uznać, iż takie ujawnienie wynika z obowiązku prawnego ciążącego na administratorze.

31      W celu udzielenia odpowiedzi na te pytania należy na wstępie przypomnieć, że cel realizowany przez RODO, jak wynika z jego art. 1 oraz z jego motywów 1 i 10, polega w szczególności na zagwarantowaniu wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych, a zwłaszcza ich prawa do życia prywatnego w zakresie przetwarzania danych osobowych, zapisanego w art. 8 ust. 1 Karty i w art. 16 ust. 1 TFUE (wyrok z dnia 7 marca 2024 r., IAB Europe, C‑604/22, EU:C:2024:214, pkt 53 i przytoczone tam orzecznictwo).

32      Zgodnie z tym celem każde przetwarzanie danych osobowych powinno, w szczególności, być zgodne z zasadami dotyczącymi przetwarzania takich danych określonymi w art. 5 rzeczonego rozporządzenia i spełniać przesłanki legalności wymienione w art. 6 tego samego rozporządzenia [zob. podobnie wyroki: z dnia 6 października 2020 r., Quadrature du Net i in., C‑511/18, C‑512/18 i C‑520/18, EU:C:2020:791, pkt 208; a także z dnia 11 lipca 2024 r., Meta Platforms Ireland (Powództwo przedstawicielskie), C‑757/22, EU:C:2024:598, pkt 49].

33      W tym względzie należy podkreślić, że zgodnie z art. 5 ust. 1 lit. a) RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

34      W szczególności jeśli chodzi o warunki dopuszczalności przetwarzania, w art. 6 ust. 1 akapit pierwszy RODO zawarto, jak orzekł Trybunał, wyczerpujący i zamknięty wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. Aby zatem można było uznać dane przetwarzanie za zgodne z prawem, musi ono stanowić jeden z przewidzianych w tym przepisie przypadków [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 90].

35      Biorąc pod uwagę specyfikę sporów w postępowaniach głównych, należy ponadto wskazać, że ów art. 6 ust. 1 akapit pierwszy nie ustanawia obowiązku jako takiego, lecz ogranicza się do wskazania możliwości przetwarzania danych osobowych w przypadkach w tym przepisie wymienionych (zob. analogicznie wyrok z dnia 4 maja 2017 r., Rīgas satiksme, C‑13/16, EU:C:2017:336, pkt 26).

36      Zgodnie z brzmieniem art. 6 ust. 1 akapit pierwszy lit. a) RODO przetwarzanie danych osobowych jest zgodne z prawem, gdy – i w takim zakresie w jakim – osoba, której dane dotyczą, wyraziła na to zgodę w określonym celu lub określonych celach. Mimo braku takiej zgody lub jeżeli zgoda ta nie została udzielona w sposób dobrowolny, konkretny, świadomy i jednoznaczny w rozumieniu art. 4 pkt 11 tego rozporządzenia, przetwarzanie takie jest jednak uzasadnione, w sytuacji gdy spełnia ono jeden z warunków niezbędności, o których mowa w art. 6 ust. 1 akapit pierwszy lit. b)–f) tego rozporządzenia.

37      W tym kontekście uzasadnienia przewidziane w tym ostatnim przepisie, ze względu na to, że pozwalają one na uznanie za zgodne z prawem przetwarzania danych osobowych dokonywanego w przypadku braku zgody osoby, której dane dotyczą, winny podlegać wykładni zawężającej [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 93 i przytoczone tam orzecznictwo].

38      Ponadto, jak już rozstrzygnął Trybunał, jeżeli można stwierdzić, że przetwarzanie danych osobowych jest niezbędne w świetle jednego z przewidzianych w art. 6 ust. 1 akapit pierwszy lit. b)–f) RODO uzasadnień, nie ma potrzeby ustalania, czy przetwarzanie to wchodzi również w zakres innego z tych uzasadnień [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 94 i przytoczone tam orzecznictwo].

39      Trybunał orzekł również, że zgodnie z art. 5 RODO to na administratorze spoczywa ciężar udowodnienia, że dane te są w szczególności zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach oraz że są one przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą. Ponadto zgodnie z art. 13 ust. 1 lit. c) tego rozporządzenia w przypadku gdy dane osobowe są pozyskiwane od osoby, której dotyczą, to na administratorze danych spoczywa obowiązek poinformowania jej o celach przetwarzania, do którego dane są przeznaczone, oraz o podstawie prawnej tego przetwarzania [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 95].

40      W niniejszej sprawie z akt przedstawionych Trybunałowi wynika, że wspólnicy uczestniczący pośrednio, za pośrednictwem spółek powierniczych, w funduszach inwestycyjnych, których dotyczy postępowanie, nie wyrazili zgody – w rozumieniu art. 6 ust. 1 akapit pierwszy lit. a) RODO – na ujawnienie przez strony pozwane w postępowaniach głównych ich danych osobowych stronom trzecim, między innymi HTB i Ökorencie.

41      W tych okolicznościach, aby udzielić odpowiedzi na przedstawione pytania, należy sprawdzić, czy w celu uzasadnienia ewentualnego ujawnienia takich danych stronom trzecim można przywołać, wskazane konkretnie we wnioskach o wydanie orzeczenia w trybie prejudycjalnym, przepisy art. 6 ust. 1 akapit pierwszy lit. b) i f) tego rozporządzenia.

42      Co się tyczy, w pierwszej kolejności, art. 6 ust. 1 akapit pierwszy lit. b) RODO, przewiduje on, że przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest „niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”.

43      W tym względzie Trybunał orzekł już, że aby przetwarzanie danych osobowych zostało uznane za niezbędne do wykonania umowy w rozumieniu tego przepisu, musi być ono obiektywnie konieczne do osiągnięcia celu, który stanowi integralną część świadczenia umownego na rzecz osoby, której te dane dotyczą. Administrator musi zatem być w stanie wykazać, dlaczego główny cel umowy nie mógłby zostać osiągnięty bez rozpatrywanego przetwarzania [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 98].

44      Trybunał orzekł też bowiem, że elementem decydującym o zastosowaniu uzasadnienia, o którym mowa w art. 6 ust. 1 akapit pierwszy lit. b) RODO, jest to, że przetwarzanie danych osobowych dokonywane przez administratora ma istotne znaczenie dla prawidłowego wykonania umowy zawartej między nim a osobą, której dane dotyczą, i co za tym idzie, że nie istnieją inne dające się zastosować mniej inwazyjne rozwiązania [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 99].

45      W niniejszej sprawie z postanowień odsyłających wynika, że umowy uczestnictwa i powiernictwa, których dotyczą postępowania główne i na podstawie których nabyto pośrednie uczestnictwo w funduszach inwestycyjnych, w których uczestniczą strony powodowe, wyraźnie przewidują zakaz ujawniania danych inwestorów pośrednich innym uczestniczącym w tych funduszach.

46      W tym względzie należy wskazać, że kluczową cechą nabycia pośredniego uczestnictwa w publicznym funduszu inwestycyjnym za pośrednictwem spółki powierniczej jest właśnie anonimowość wspólników, w tym w relacjach między samymi wspólnikami. Innymi słowy, to właśnie biorąc pod uwagę poufność przetwarzania ich danych przez fundusz inwestycyjny, jednostki wybierają lokowanie kapitału w takim funduszu – w formie uczestnictwa w nim za pośrednictwem spółki powierniczej, będącej spółką udziałową.

47      Tym samym – i z zastrzeżeniem dokonania weryfikacji tego stwierdzenia przed sąd odsyłający – przetwarzania danych osobowych polegającego na ujawnieniu informacji dotyczących wspólników pośrednio uczestniczących w publicznym funduszu inwestycyjnym za pośrednictwem spółki powierniczej nie można uznać za „niezbędne do wykonania umowy” w rozumieniu art. 6 ust. 1 akapit pierwszy lit. b) RODO, jeżeli umowa będąca podstawą nabycia takiego uczestnictwa w funduszu wyraźnie wyklucza ujawnienie tych danych innym uczestniczącym w tym funduszu.

48      Jeśli chodzi, w drugiej kolejności, o art. 6 ust. 1 akapit pierwszy lit. f) RODO, stanowi on, że przetwarzanie danych osobowych jest zgodne z prawem w zakresie, w jakim jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.

49      Trybunał orzekł już bowiem, że w przepisie tym określono trzy kumulatywne warunki legalności przetwarzania danych osobowych, a mianowicie, po pierwsze, realizację uzasadnionych interesów przez administratora danych lub osobę trzecią, po drugie, konieczność przetwarzania danych osobowych do celów wynikających z tych prawnie uzasadnionych interesów, oraz po trzecie, warunek, aby podstawowe prawa i podstawowe wolności osoby objętej ochroną danych nie miały nadrzędnego charakteru [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 106 i przytoczone tam orzecznictwo].

50      Co się tyczy, po pierwsze, warunku związanego z realizacją „prawnie uzasadnionego interesu”, należy podkreślić, jak orzekł już Trybunał, że w braku definicji tego pojęcia w RODO za zgodny z prawem można co do zasady uznać szeroki wachlarz interesów [wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 76].

51      Jeśli chodzi, po drugie, o warunek, zgodnie z którym przetwarzanie danych osobowych musi być niezbędne do celów wynikających z prawnie uzasadnionych interesów, wiąże się on ze spoczywającym na sądzie odsyłającym obowiązkiem zweryfikowania, czy ten prawnie uzasadniony interes w przetwarzaniu danych nie może, racjonalnie rzecz biorąc, zostać zrealizowany w równie skuteczny sposób za pomocą innych środków, w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których te dane dotyczą, w szczególności prawa do poszanowania życia prywatnego i ochrony danych osobowych zagwarantowane w art. 7 i 8 Karty [wyrok z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 77 i przytoczone tam orzecznictwo].

52      W tym kontekście należy również przypomnieć, że warunek, zgodnie z którym przetwarzanie musi być niezbędne, należy badać łącznie z zasadą tzw. minimalizacji danych, ustanowioną w art. 5 ust. 1 lit. c) RODO, zgodnie z którą dane osobowe muszą być „adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane” [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 109 i przytoczone tam orzecznictwo].

53      Wreszcie po trzecie, jeśli chodzi o warunek, zgodnie z którym interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, nie mają nadrzędnego charakteru wobec prawnie uzasadnionego interesu administratora danych lub osoby trzeciej, Trybunał orzekł już, że wiąże się on z wyważeniem rozpatrywanych przeciwstawnych praw i interesów, co jest co do zasady uzależnione od konkretnych okoliczności danego przypadku, w związku z czym dokonanie tego wyważenia, z uwzględnieniem owych szczególnych okoliczności, należy do sądu odsyłającego [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 110 i przytoczone tam orzecznictwo].

54      Ponadto w motywie 47 RODO wskazano, że interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się takiego przetwarzania [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 112].

55      O ile ostatecznie to do sądu odsyłającego należy ocena, czy przetwarzanie danych osobowych rozpatrywane w postępowaniach głównych spełnia trzy przypomniane w pkt 49 niniejszego wyroku warunki, o tyle Trybunał, orzekając w przedmiocie odesłania prejudycjalnego, może udzielić temu sądowi wskazówek stanowiących dla niego pomoc przy dokonywaniu tego ustalenia [wyroki: z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 96; z dnia 7 grudnia 2023 r., SCHUFA Holding (Zwolnienie z pozostałej części długu), C‑26/22 i C‑64/22, EU:C:2023:958, pkt 81 i przytoczone tam orzecznictwo].

56      W niniejszej sprawie, jeśli chodzi, po pierwsze, o warunek dotyczący realizacji przez administratora lub stronę trzecią prawnie uzasadnionych interesów w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO, sąd odsyłający odnosi się do interesu strony trzeciej – a mianowicie interesu wspólnika uczestniczącego pośrednio w funduszu inwestycyjnym utworzonym w formie publicznej spółki komandytowej – w pozyskaniu danych osobowych innych wspólników pośrednich tej spółki w celu nawiązania z nimi kontaktu i podjęcia z nimi negocjacji w sprawie odkupienia ich udziałów lub też porozumienia się z nimi w celu sformułowania wspólnego oświadczenia woli w ramach decyzji wszystkich wspólników.

57      Należy stwierdzić, że taki interes może co do zasady – do celów ujawnienia danych osobowych – być prawnie uzasadnionym interesem w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO, w świetle między innymi statusu takiej spółki wynikającego z prawa krajowego państwa członkowskiego, i to niezależnie od rozmiaru uczestnictwa w spółce oraz posiadanych w tej spółce uprawnień wspólnika, który zwrócił się o ujawnienie. Jednak do sądu odsyłającego należy dokonanie oceny – w każdym konkretnym przypadku – czy taki interes istnieje, przy uwzględnieniu mających zastosowanie ram prawnych i wszystkich okoliczności sprawy.

58      W sytuacji gdyby taki prawnie uzasadniony interes został ustalony, aby do jego realizacji dozwolone było przetwarzanie danych osobowych na podstawie art. 6 ust. 1 akapit pierwszy lit. f) RODO, konieczne byłoby jeszcze wypełnienie przez administratora wszystkich innych obowiązków ciążących na nim na mocy tego rozporządzenia.

59      Po drugie, co się tyczy warunku niezbędności tego przetwarzania do realizacji rzeczonego interesu, a w szczególności istnienia środków w mniejszym stopniu naruszających podstawowe prawa i wolności osób, których te dane dotyczą, a równie odpowiednich, należy stwierdzić, że wspólnik funduszu inwestycyjnego chcący uzyskać informacje dotyczące innego wspólnika uczestniczącego pośrednio w tym funduszu za pośrednictwem spółki powierniczej mógłby między innymi zwrócić się bezpośrednio do rzeczonego funduszu lub tej spółki o przekazanie jego wniosku o udzielenie informacji wspólnikowi, którego ten wniosek dotyczy, w celu nawiązania z nim kontaktu lub wymiany informacji. Wspólnik, którego dotyczy wniosek, mógłby wówczas swobodnie zdecydować, czy życzy sobie nawiązania kontaktu ze wspólnikiem, który wniosek złożył, czy też woli nie uwzględniać tego wniosku i zachować swoją anonimowość. Takie rozwiązanie można by zastosować również w sytuacji, gdyby wspólnik, który złożył wniosek, chciał podjąć z innym wspólnikiem negocjacje w sprawie odkupienia udziałów tego wspólnika lub porozumieć się z nim w celu sformułowania wspólnego oświadczenia woli w ramach decyzji wszystkich wspólników.

60      Takie rozwiązanie pozwoliłoby ponadto wspólnikowi, którego dotyczy wniosek o udzielenie informacji, na zachowanie – zgodnie z zasadą minimalizacji danych przywołaną w pkt 52 niniejszego wyroku – kontroli nad przetwarzaniem jego danych osobowych i na ograniczenie w ten sposób ujawnienia ich innemu wspólnikowi do tego, co jest rzeczywiście niezbędne i istotne w świetle celów, w jakich zwrócono się o owe dane i do realizacji których rzeczone dane są przetwarzane.

61      Nie można zatem wykluczyć, że taką procedurę jak opisana w poprzednim punkcie niniejszego wyroku można uznać za środek ingerujący w mniejszym stopniu w prawo do ochrony poufności danych osobowych osoby, której dane dotyczą, a jednocześnie pozwalający administratorowi na realizację, w sposób równie efektywny, prawnie uzasadnionego interesu zainteresowanej strony trzeciej, czego zweryfikowanie należy jednakże do sądu odsyłającego.

62      Po trzecie, co się tyczy wyważenia interesów, którego dokonanie w świetle szczególnych okoliczności przypadku rozpatrywanego w niniejszej sprawie należy do sądu odsyłającego, sąd ten musi wziąć pod uwagę w szczególności rozsądne oczekiwania osoby, której dane dotyczą, oraz zakres przedmiotowej operacji przetwarzania i jej wpływ na tę osobę [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 116].

63      Wynika z tego, że w ramach takiego wyważenia interesów z jednej strony nie można co do zasady wykluczyć, że ujawnienie danych osobowych wspólników – nawet pośrednich – spółki osobowej pozostałym wspólnikom tej spółki może służyć, w stosownym wypadku, interesom gospodarczym każdego ze wspólników, a zatem również interesom wspólników pośrednich, do których danych osobowych owi inni wspólnicy chcieli uzyskać dostęp.

64      Z drugiej strony nie można również wykluczyć, że interes wspólników pośrednio uczestniczących w funduszu inwestycyjnym w zachowaniu poufności ich danych osobowych może mieć charakter nadrzędny wobec interesu innych wspólników chcących pozyskać ich dane kontaktowe. W tym kontekście należy przyznać szczególne znaczenie okoliczności, że w świetle między innymi postanowień umownych wspomnianych w pkt 45 niniejszego wyroku prawdopodobne jest, iż wspólnicy pośredni takiego funduszu inwestycyjnego nie mieli rozsądnych przesłanek, aby spodziewać się, w chwili zbierania ich danych osobowych, że dane te zostaną ujawnione stronom trzecim, w niniejszym przypadku innym wspólnikom pośrednim tego funduszu inwestycyjnego.

65      Z całości powyższych rozważań wynika, z zastrzeżeniem oceny sądu odsyłającego, że wydaje się wątpliwe, aby przetwarzanie danych osobowych takie jak ujawnienie informacji, o których udzielenie zwróciły się strony powodowe w postępowaniach głównych, można było uzasadnić prawnie uzasadnionym interesem w rozumieniu art. 6 ust. 1 akapit pierwszy lit. f) RODO.

66      Co się tyczy, w trzeciej kolejności, art. 6 ust. 1 akapit pierwszy lit. c) RODO, przewiduje on, że przetwarzanie danych osobowych jest zgodne z prawem, jeżeli jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

67      W art. 6 ust. 3 RODO uściślono w tym względzie w szczególności, że podstawa przetwarzania musi być określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator danych, i że ta podstawa prawna powinna służyć realizacji celu leżącego w interesie publicznym oraz być proporcjonalna do zamierzonego prawnie uzasadnionego celu [wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 128].

68      Ponadto, jak stanowi motyw 41 tego rozporządzenia, w przypadku gdy w rozporządzeniu tym jest mowa o podstawie prawnej lub akcie prawnym, niekoniecznie wymaga to przyjęcia aktu prawnego przez parlament, z zastrzeżeniem wymogów wynikających z porządku konstytucyjnego danego państwa członkowskiego. Taka podstawa prawna lub taki akt prawny powinny być jasne i precyzyjne, a ich zastosowanie przewidywalne dla osób im podlegających – jak wymaga tego orzecznictwo Trybunału i Europejskiego Trybunału Praw Człowieka.

69      W niniejszej sprawie, z jednej strony, prawo Unii nie przewiduje po stronie funduszu inwestycyjnego lub powierniczych spółek udziałowych, takich jak te, których dotyczą sprawy w postępowaniu głównym, żadnego obowiązku ujawnienia danych osobowych wspólników pośrednio uczestniczących w owych funduszach.

70      Z drugiej strony z wniosków o wydanie orzeczenia w trybie prejudycjalnym wynika, że taki obowiązek można by jednak wywieść, z zastrzeżeniem dokonania w tym względzie weryfikacji przez sąd odsyłający, z orzecznictwa Bundesgerichtshof (federalnego trybunału sprawiedliwości) i Oberlandesgericht München (wyższego sądu krajowego w Monachium), zgodnie z którym klauzule umowne gwarantujące poufność danych kontaktowych wspólników pośrednich publicznej spółki osobowej, takiej jak te, których dotyczy postępowanie, należy uznać za nieważne, a zatem należałoby ujawnić dane osobowe wspólników pośrednio uczestniczących w funduszu inwestycyjnym utworzonym w formie publicznej spółki komandytowej.

71      W tym względzie należy wskazać, że zgodnie z tym, co zostało wspomniane w pkt 68 niniejszego wyroku, nie można wykluczyć, iż „prawo państwa członkowskiego, któremu podlega administrator” w rozumieniu art. 6 ust. 3 lit. b) RODO, obejmuje również orzecznictwo krajowe.

72      Jednak zgodnie z orzecznictwem Trybunału, jak wynika z motywu 41 tego rozporządzenia, wymaga się, aby takie orzecznictwo było jasne i precyzyjne, a jego zastosowanie przewidywalne dla osób mu podlegających.

73      Ponadto, zgodnie z orzecznictwem przypomnianym w pkt 67 niniejszego wyroku, jest także niezbędne, by orzecznictwo to stanowiło podstawę prawną służącą realizacji celu leżącego w interesie publicznym, by było ono proporcjonalne do tego celu i by rozpatrywane przetwarzanie dokonywane było w granicach tego, co jest absolutnie niezbędne, czego zweryfikowanie należy do sądu odsyłającego [zob. podobnie wyrok z dnia 4 lipca 2023 r., Meta Platforms i in. (Ogólne warunki korzystania z sieci społecznościowej), C‑252/21, EU:C:2023:537, pkt 134, 138].

74      Do sądu odsyłającego będzie również należało ustalenie między innymi, czy nie istnieją środki, które pozwalając zagwarantować przejrzystość pomiędzy wspólnikami spółki osobowej, taką, jaka wydaje się wynikać z prawa niemieckiego – jak zostało wskazane w pkt 18–22 niniejszego wyroku – w mniejszym stopniu naruszałyby ochronę poufnych danych osobowych wspólników pośrednich publicznych spółek komandytowych niż obowiązek ujawnienia tych danych każdemu innemu wspólnikowi, który o to wystąpi.

75      W świetle wszystkich powyższych rozważań odpowiedź na przedstawione pytania brzmi następująco: art. 6 ust. 1 akapit pierwszy lit. b) RODO należy interpretować w ten sposób, że przetwarzanie danych osobowych polegające na ujawnieniu, na wniosek wspólnika funduszu inwestycyjnego utworzonego w formie publicznej spółki osobowej, informacji o wszystkich wspólnikach uczestniczących pośrednio w tym funduszu za pośrednictwem spółek powierniczych, niezależnie od wartości ich uczestnictwa w kapitale tego funduszu, w celu nawiązania z nimi kontaktu i podjęcia z nimi negocjacji w sprawie odkupienia ich udziałów lub też porozumienia się z nimi w celu sformułowania wspólnego oświadczenia woli w ramach decyzji wspólników, można uznać za niezbędne – w rozumieniu tego przepisu – do wykonania umowy, na podstawie której wspólnicy ci nabyli uczestnictwo w funduszu, wyłącznie pod warunkiem, że przetwarzanie to jest obiektywnie niezbędne do realizacji celu będącego integralną częścią świadczenia umownego na rzecz tychże wspólników, ponieważ w braku owego przetwarzania nie można zrealizować głównego celu umowy. Nie ma to miejsca w sytuacji, gdy rzeczona umowa wyraźnie wyklucza ujawnienie tych danych osobowych innym uczestniczącym w spółce.

76      Artykuł 6 ust. 1 akapit pierwszy lit. f) RODO należy interpretować w ten sposób, iż przetwarzanie takie można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez stronę trzecią – w rozumieniu tego przepisu – wyłącznie pod warunkiem, że przetwarzanie to jest absolutnie niezbędne do realizacji takiego prawnie uzasadnionego interesu i że w świetle wszystkich istotnych okoliczności interesy lub wolności i prawa podstawowe rzeczonych wspólników nie mają nadrzędnego charakteru wobec tego prawnie uzasadnionego interesu.

77      Artykuł 6 ust. 1 akapit pierwszy lit. c) RODO należy interpretować w ten sposób, że wspomniane przetwarzanie danych osobowych jest uzasadnione na podstawie tego przepisu, jeżeli jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych na mocy prawa danego państwa członkowskiego, sprecyzowanego w orzecznictwie tego państwa członkowskiego, pod warunkiem że orzecznictwo to jest jasne i precyzyjne, że jego zastosowanie jest przewidywalne dla osób mu podlegających i że służy ono realizacji celu leżącego w interesie publicznym oraz jest do niego proporcjonalne.

 W przedmiocie kosztów

78      Dla stron w postępowaniach głównych niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniach głównych, nie podlegają zwrotowi.

Z powyższych względów Trybunał (czwarta izba) orzeka, co następuje:

1)      Artykuł 6 ust. 1 akapit pierwszy lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

należy interpretować w ten sposób, że:

przetwarzanie danych osobowych polegające na ujawnieniu, na wniosek wspólnika funduszu inwestycyjnego utworzonego w formie publicznej spółki osobowej, informacji o wszystkich wspólnikach uczestniczących pośrednio w tym funduszu za pośrednictwem spółek powierniczych, niezależnie od wartości ich uczestnictwa w kapitale tego funduszu, w celu nawiązania z nimi kontaktu i podjęcia z nimi negocjacji w sprawie odkupienia ich udziałów lub też porozumienia się z nimi w celu sformułowania wspólnego oświadczenia woli w ramach decyzji wspólników, można uznać za niezbędne – w rozumieniu tego przepisu – do wykonania umowy, na podstawie której wspólnicy ci nabyli uczestnictwo w funduszu, wyłącznie pod warunkiem, że przetwarzanie to jest obiektywnie niezbędne do realizacji celu będącego integralną częścią świadczenia umownego na rzecz tychże wspólników, ponieważ w braku owego przetwarzania nie można zrealizować głównego celu umowy. Nie ma to miejsca w sytuacji, gdy rzeczona umowa wyraźnie wyklucza ujawnienie tych danych osobowych innym uczestniczącym w spółce.

2)      Artykuł 6 ust. 1 akapit pierwszy lit. f) rozporządzenia 2016/679

należy interpretować w ten sposób, że:

przetwarzanie takie można uznać za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez stronę trzecią – w rozumieniu tego przepisu – wyłącznie pod warunkiem, że przetwarzanie to jest absolutnie niezbędne do realizacji takiego prawnie uzasadnionego interesu i że w świetle wszystkich istotnych okoliczności interesy lub wolności i prawa podstawowe rzeczonych wspólników nie mają nadrzędnego charakteru wobec tego prawnie uzasadnionego interesu.

3)      Artykuł 6 ust. 1 akapit pierwszy lit. c) rozporządzenia 2016/679

należy interpretować w ten sposób, że:

wspomniane przetwarzanie danych osobowych jest uzasadnione na podstawie tego przepisu, jeżeli jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze danych na mocy prawa danego państwa członkowskiego, sprecyzowanego w orzecznictwie tego państwa członkowskiego, pod warunkiem że orzecznictwo to jest jasne i precyzyjne, że jego zastosowanie jest przewidywalne dla osób mu podlegających i że służy ono realizacji celu leżącego w interesie publicznym oraz jest do niego proporcjonalne.