Latvia / Constitutional Court / Case No. 2024-01-01

17 private individuals v. Parliament
Decision date
14/11/2024
  • Latvia / Constitutional Court / Case No. 2024-01-01

    Key facts of the case: 

    The applicants were minority shareholders in a joint-stock company. They challenged the constitutionality of national law providing that data of shareholders of joint-stock company – personal identification number, address and other data registered in the Enterprise Register –, are publicly accessible. The applicants contended that this regulation violates their rights to respect for private life. They argued that the legislator has not adequately justified the necessity for making such information publicly accessible. Furthermore, they asserted that once the information is made public, its subsequent use is left unrestricted, causing risks of unlawful use of the data. 

    The parliament, however, defended the regulation, asserting its compatibility with the right to respect for private life. They argued that the regulation promotes a transparent business environment and facilitates the due diligence of joint-stock companies in compliance with anti-money laundering and sanctions requirements.  

    Key legal question raised by the Court: 

    This decision relates to the referral by the Constitutional Court of a question for a preliminary ruling to the Court of Justice of the European Union. The contested national law is related to data protection – an area in which the European Union has adopted legally binding regulations –, and the Constitutional Court is obliged to ensure a harmony of the national law with the European Union law. The court raised doubts as to the interpretation and validity of the pertinent EU law. 

    Outcome of the case: 

    The Constitutional Court referred to the Court of Justice of the European Union for preliminary ruling regarding key legal questions raised in this case. One of the referred questions is directly related to the Charter – question on validity of Article 14 (d) (ii) of Directive 2017/1132 in light of Articles 7 and 8 of the Charter. While other questions do not reference the Charter, they are related to Regulation 2016/679 and rights to respect for private life and protection of personal data guaranteed in the Charter. At the moment, the Constitutional Court awaits for the preliminary ruling. 

    The Constitutional Court questioned whether a shareholder of a jointstock company qualifies as a person participating in the management, supervision or control of the company under Directive 2017/1132, and, accordingly, whether this Directive requires the disclosure of shareholder information. Additionally, the court raised concerns about the validity of the particular norm of this Directive in light of Articles 7 and 8 of the Charter. 

    The case also called into question whether, according to the Regulation 2016/679, purposes for the processing of personal data of shareholder of a jointstock company may be maintaining open business environment and protection of thirdparty interests, prevention of money laundering and the financing of terrorism and proliferation, and provision of information necessary for the enforcement of sanctions. Furthermore, the court raised doubts if the principles contained in Regulation 2016/679 allow a Member State to make personal data of any shareholder in joint-stock company publicly accessible to any individual, without requiring to prove a legitimate interest. 

  • Paragraphs referring to EU Charter

    14. (...)

     If the Court of Justice of the European Union finds that shareholders of jointstock companies fall within the scope of Article 14 (d) (ii) of Directive 2017/1132 and that information in relation to them must be disclosed by making it publicly available in register pursuant to Article 16 (3) of Directive 2017/1132, then the obligation to disclose the personal data of shareholders at issue in the present case arises directly from a provision of the European Union law. In such a case, it is also necessary to determine whether Article 14 (d) (ii) of Directive 2017/1132 is valid in the light of the right to respect for private and family life guaranteed by Article 7 of the Charter of Fundamental Rights of the European Union (hereafter – the Charter) and the right to the protection of personal data guaranteed by Article 8. That assessment falls within the competence of the Court of Justice of the European Union. 

    In the light of the above, it is necessary to determine whether all shareholders of jointstock companies fall within the scope of Article 14 (d) (ii) of Directive 2017/1132 and, in such a case, whether it is valid in the light of Articles 7 and 8 of the Charter. 

    15. (…)

    The Constitutional Court has recognised that the scope of the right to respect for private life provided in Article 96 of the Constitution includes the right to protection of data (see judgment of the Constitutional Court of 22 December 2022 in case No. 2022-09-01, para 10). In the present case, the Constitutional Court, when specifying the right to respect for private life enshrined in Article 96 of the Constitution, must ensure harmony with the right to respect for private and family life guaranteed by Article 7 of the Charter and the right to protection of personal data guaranteed by Article 8, as general principles of European Union law. In that regard, the Constitutional Court must have regard, in particular, to the principles of processing of personal data contained in Articles 5 and 6 of the Data Regulation, compliance with which falls within the scope of the right guaranteed by Article 96 of the Constitution. The requirements laid down in these European Union legal norms are consistent with the right to respect for private life enshrined in Article 96 of the Constitution, and thus strengthen Latvia as a democratic state based on the rule of law and the dignity and freedom of every human being (see judgment of the Constitutional Court of 13 November 2021 in case No. 20181801, para 15.2.2). Thus, the conclusions of the Court of Justice of the European Union on the interpretation of the Data Regulation are necessary for the Constitutional Court to adjudicate the present case. 

    In the present case, it is necessary to establish whether the processing of personal data of shareholders of jointstock companies can be regarded as lawful in the light of the principles enshrined in Article 5 (1) of the Data Regulation, and in particular the principle of “data minimisation”, which reflects the principle of proportionality. It follows from the case-law of the Court of Justice of the European Union that that principle of “data minimisation” does not preclude the public disclosure of personal data where that disclosure is necessary for compliance with a legal obligation imposed on the controller within the meaning of Article 6 (1) (c) of the Regulation. However, when limiting the fundamental right to respect for private life and the protection of personal data, the limitations in question must, in accordance with Article 52 (1) of the Charter, be provided for by law and respect the essence of the fundamental right as well as the principle of proportionality (see also judgment of the Court of Justice of the European Union in case C439 “Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti)”, paras 104 and 105). 

    According to the settled case-law of the Court of Justice of the European Union, measures resulting from interference with rights guaranteed by Articles 7 and 8 of the Charter may be regarded as proportionate only if the requirements of proportionality, necessity and proportionality of the measure to the objective pursued are met. In particular, derogations from and limitations on the protection of personal data should apply only in so far as is strictly necessary, it being understood that where there is a choice between several measures appropriate to meeting the legitimate objectives pursued, recourse must be had to the least onerous. Moreover, an objective of general interest may not be pursued without having regard to the fact that it must be reconciled with the fundamental rights affected by the measure, by properly balancing the objective of general interest against the rights at issue, to ensure that the disadvantages caused by that measure are not disproportionate to the aims pursued. Accordingly, the possibility of justifying a restriction of the rights guaranteed by Articles 7 and 8 of the Charter must be assessed by weighing the seriousness of the interference caused by the restriction in question and by examining whether the importance of the general interest objective pursued by that restriction is proportionate to that seriousness. In addition, to satisfy the proportionality requirement, the legislation in question entailing the interference must also lay down clear and precise rules governing the scope and application of the measures provided for and imposing minimum safeguards, so that the data subjects have sufficient guarantees to protect effectively their personal data against the risk of abuse. It must, in particular, indicate in what circumstances and under which conditions a measure providing for the processing of such data may be adopted, thereby ensuring that the interference is limited to what is strictly necessary. The need for such safeguards is all the greater where personal data are made accessible to the general public, and thus to a potentially unlimited number of persons, and are liable to reveal sensitive data on the data subjects (see judgment of the Court of Justice of the European Union of 22 November 2022 in joined cases C-37/20 and C-601/20 “Luxembourg Business Registers”, paras 63.–66).  

    According to this caselaw, it is necessary to examine, first, whether access by any member of the public to information on the shareholders of jointstock companies is appropriate to achieve the general interest objective pursued, second, whether the interference with the rights guaranteed by Articles 7 and 8 of the Charter resulting from such access is limited to what is strictly necessary in the sense that this objective could not reasonably and just as effectively be achieved by other means which would infringe less the fundamental rights of data subjects, and, third, whether this interference is proportionate to that objective, meaning in particular that a balance has to be struck between the importance of the objective and the seriousness of the interference. 

     

    15.1. […]

    However, the processing of personal data of shareholders of jointstock companies is not only aimed at ensuring an open business environment, but also at protecting the interests of third parties. In this respect, it is relevant that the purpose of the disclosure provided for in Directive 2017/1132 is to allow all interested third parties to obtain information without having to justify to them the rights or interests that require protection (see also judgment of the Court of Justice of the European Union of 9 March 2017 in case C398/15 “Manni”, para 51). Moreover, the Court of Justice of the European Union has held that such disclosure does not entail a disproportionate interference with the fundamental rights of the persons concerned, in particular their right to respect for their private life and their right to the protection of personal data guaranteed by Articles 7 and 8 of the Charter (see para 57 of that judgment). The processing of personal data envisaged in the present case differs from that at issue in “Luxembourg Business Registers” both in the amount of the data to be disclosed and in the purposes of the disclosure. The present case could therefore be assessed in a broader context and is more difficult to distinguish from Case C-398/15 “Manni” than it was in “Luxembourg Business Registers”.

    (…)

    15.4. (…)

    Moreover, the Court of Justice of the European Union held in joined cases C37/20 and C601/20 “Luxembourg Business Registers” of 22 November 2022 that the interference with the rights guaranteed by Articles 7 and 8 of the Charter resulting from wide public access to information on beneficial owners is not limited to what is strictly necessary (see judgment of the Court of Justice of the European Union of 22 November 2022 in joined cases 37/20 and C601/20 “Luxembourg Business Registers”, paras 74–76). To comply with that judgment, Article 74 (1) of Directive 2024/1640 amended Article 30 (5) (c) of the Prevention Directive [Directive 2015/849] by providing that information on beneficial owners is only accessible to persons and entities that can demonstrate a legitimate interest (in addition to competent authorities and responsible entities carrying out customer due diligence). In addition, according to Article 78 (1) of Directive 2024/1640, Member States have until 10 July 2025 to comply with the requirements of Article 74 of this Directive.

    (…)

  • Paragraphs referring to EU Charter (original language)

    14. (…)

    Ja Eiropas Savienības Tiesa atzīst, ka akciju sabiedrību akcionāri ietilpst Direktīvas 2017/1132 14. panta d) punkta ii) apakšpunkta tvērumā un ar viņiem saistītā informācija atbilstoši Direktīvas 2017/1132 16. panta 3. punktam ir jānodod atklātībā, darot to publiski pieejamu reģistrā, tad izskatāmajā lietā vērtējamais akcionāru personas datu publiskošanas pienākums izriet tieši no Eiropas Savienības tiesību normas. Šādā gadījumā lietas izspriešanai nepieciešams noskaidrot arī to, vai Direktīvas 2017/1132 14. panta d) punkta ii) apakšpunkts ir spēkā, ņemot vērā Eiropas Savienības Pamattiesību hartas (turpmāk – Harta) 7. pantā garantētās tiesības uz privātās un ģimenes dzīves neaizskaramību un 8. pantā garantētās tiesības uz personas datu aizsardzību. Minētais izvērtējums ir Eiropas Savienības Tiesas kompetencē. 

    Ņemot vērā minēto, lietas izspriešanai ir nepieciešams noskaidrot, vai visi akciju sabiedrību akcionāri ietilpst Direktīvas 2017/1132 14. panta d) punkta ii) apakšpunkta tvērumā un vai šādā gadījumā tas ir spēkā, ņemot vērā Hartas 7. un 8. pantu. 

    15. (…)

    Satversmes tiesa ir atzinusi, ka Satversmes 96. pantā ietverto tiesību uz privātās dzīves neaizskaramību tvērumā ietilpst personas tiesības uz savu datu aizsardzību (sk. Satversmes tiesas 2022. gada 22. decembra sprieduma lietā Nr. 2022-09-01 10. punktu). Izskatāmajā lietā Satversmes tiesai, konkretizējot Satversmes 96. pantā ietvertās tiesības uz privātās dzīves neaizskaramību, ir jānodrošina harmonija ar Hartas 7. pantā garantētajām tiesībām uz privātās un ģimenes dzīves neaizskaramību un 8. pantā garantētajām tiesībām uz personas datu aizsardzību kā Eiropas Savienības vispārējiem tiesību principiem. Šajā ziņā Satversmes tiesai jo īpaši jāņem vērā personas datu apstrādes principi, kuri ietverti Datu regulas 5. un 6. pantā un kuru ievērošana ietilpst Satversmes 96. pantā garantēto tiesību tvērumā. Šajās Eiropas Savienības tiesību normās noteiktās prasības atbilst Satversmes 96. pantā ietvertajām tiesībām uz privātās dzīves neaizskaramību un tādējādi stiprina Latviju kā demokrātisku, tiesisku un uz katram cilvēkam piemītošo cieņu un brīvību balstītu valsti (sk. Satversmes tiesas 2021. gada 13. novembra sprieduma lietā Nr. 2018-18-01 15.2.2. punktu). Tādējādi Eiropas Savienības Tiesas secinājumi par Datu regulas iztulkošanu ir nepieciešami Satversmes tiesai, lai izspriestu izskatāmo lietu. 

    Izskatāmajā lietā nepieciešams noskaidrot, vai akciju sabiedrību akcionāru personas datu apstrāde var tikt uzskatīta par likumīgu, ņemot vērā Datu regulas 5. panta 1. punktā ietvertos principus un it īpaši „datu minimizēšanas” principu, kas atspoguļo samērīguma principu. No Eiropas Savienības Tiesas judikatūras izriet, ka minētais „datu minimizēšanas” princips neliedz personas datu publisku izpaušanu, ja šī izpaušana ir vajadzīga, lai izpildītu uz pārzini attiecināmu juridisku pienākumu šīs regulas 6. panta 1. punkta c) apakšpunkta izpratnē. Tomēr, ierobežojot pamattiesības uz privātās dzīves neaizskaramību un personas datu aizsardzību, attiecīgajiem ierobežojumiem saskaņā ar Hartas 52. panta 1. punktu jābūt paredzētiem tiesību aktos un jāievēro pamattiesību būtība, kā arī samērīguma princips (sal. sk. Eiropas Savienības Tiesas sprieduma lietā C-439 „Latvijas Republikas Saeima (Pārkāpumu uzskaites punkti)” 104. un 105. punktu). 

    Saskaņā ar Eiropas Savienības Tiesas pastāvīgo judikatūru pasākumi, no kuriem izriet iejaukšanās Hartas 7. un 8. pantā garantētajās tiesībās, ir atzīstami par samērīgiem tikai tad, ja ir ievērotas piemērotības un nepieciešamības prasības, kā arī prasības par šo pasākumu samērīgumu ar sasniedzamo mērķi. Konkrētāk – atkāpes no personas datu aizsardzības un tās ierobežojumi tiek īstenoti tikai strikti nepieciešamajā apmērā, un, ja vien ir iespēja izvēlēties starp vairākiem izvirzīto leģitīmo mērķu sasniegšanai piemērotiem pasākumiem, jāizvēlas vismazāk ierobežojošais pasākums. Turklāt vispārējo interešu mērķi nevar sasniegt, ja neņem vērā faktu, ka tas ir jāsaskaņo ar pamattiesībām, uz kurām attiecas pasākums. Proti, ir jāpanāk līdzsvars starp vispārējo interešu mērķi, no vienas puses, un attiecīgajām tiesībām, no otras puses, lai nodrošinātu to, ka šā pasākuma radītās neērtības nav nesamērīgas ar sasniedzamajiem mērķiem. Tādējādi iespēja attaisnot Hartas 7. un 8. pantā garantēto tiesību ierobežojumu ir izvērtējama, izsverot ar attiecīgo ierobežojumu īstenotās iejaukšanās smagumu un pārbaudot, vai ar šo ierobežojumu sasniedzamā vispārējo interešu mērķa nozīmīgums ir atbilstošs šādam smagumam. Turklāt, lai tiktu izpildīta samērīguma prasība, attiecīgajā tiesiskajā regulējumā, kas ietver iejaukšanos, jāiekļauj arī skaidri un precīzi noteikumi, kas reglamentē paredzēto pasākumu apjomu un piemērošanu un izvirza minimālās prasības, lai datu subjektiem būtu pietiekamas garantijas, kas tiem ļautu efektīvi aizsargāt savus personas datus pret ļaunprātīgas izmantošanas risku. Regulējumā it īpaši jābūt norādītam, kādos apstākļos un ar kādiem nosacījumiem šādu datu apstrādi paredzošs pasākums var tikt veikts. Tādējādi tiek garantēts tas, ka iejaukšanās notiek tikai strikti nepieciešamajā apmērā. Šādu garantiju nepieciešamība ir vēl jo lielāka tad, ja personas dati tiek padarīti pieejami ikvienam sabiedrības loceklim, tātad potenciāli neierobežotam personu skaitam un var atklāt sensitīvu informāciju par attiecīgajiem datu subjektiem (sk. Eiropas Savienības Tiesas 2022. gada 22. novembra sprieduma apvienotajās lietās C37/20 un C-601/20 „Luxembourg Business Registers” 63.–66. punktu). 

    Saskaņā ar šo judikatūru ir jāpārbauda, pirmkārt, vai ikviena sabiedrības locekļa piekļuve informācijai par akciju sabiedrību akcionāriem ir piemērota izvirzītā vispārējo interešu mērķa sasniegšanai un, otrkārt, vai iejaukšanās Hartas 7. un 8. pantā garantētajās tiesībās, kas izriet no šādas piekļuves, ir ierobežota ar strikti nepieciešamo tādā nozīmē, ka šo mērķi nevarētu saprātīgi un tikpat efektīvi sasniegt ar citiem līdzekļiem, kas mazāk aizskartu datu subjektu pamattiesības, un, treškārt, vai šī iejaukšanās ir samērīga ar šo mērķi, kas it īpaši nozīmē to, ka ir jāpanāk līdzsvars starp mērķa nozīmīgumu un iejaukšanās smagumu. 

    15.1. (…)
    Tomēr akciju sabiedrību akcionāru personas datu apstrādes mērķis ir ne vien atklātas uzņēmējdarbības vides nodrošināšana, bet arī trešo personu interešu aizsardzība. Šajā ziņā ir būtiski tas, ka Direktīvā 2017/1132 paredzētās atklātības mērķis ir ļaut iegūt informāciju visām ieinteresētajām trešajām personām, tām nepamatojot tiesības vai intereses, kam vajadzīga aizsardzība (sal. sk. Eiropas Savienības Tiesas 2017. gada 9. marta sprieduma lietā C-398/15 „Manni” 51. punktu). Turklāt Eiropas Savienības Tiesa ir atzinusi, ka minētā atklātība neizraisa nesamērīgu iejaukšanos attiecīgo personu pamattiesībās, it īpaši to tiesībās uz privātās dzīves neaizskaramību, kā arī to tiesībās uz personas datu aizsardzību, kas garantētas Hartas 7. un 8. pantā (sk. minētā sprieduma 57. punktu). Izskatāmajā lietā paredzētā personas datu apstrāde salīdzinājumā ar to, kas vērtēta lietā „Luxembourg Business Registers”, atšķiras gan pēc publiskojamo datu apjoma, gan arī publiskošanas mērķiem. Tādējādi izskatāmā lieta varētu būt vērtējama plašākā kontekstā un to ir grūtāk nošķirt no lietas C-398/15 „Manni” nekā tas bijis lietā „Luxembourg Business Registers”

    […] 

     

    15.4. […]

    Turklāt Eiropas Savienības Tiesa 2022. gada 22. novembra spriedumā apvienotajās lietās C-37/20 un C-601/20 „Luxembourg Business Registers” atzina, ka iejaukšanās Hartas 7. un 8. pantā garantētajās tiesībās, kura izriet no plašas publiskas piekļuves informācijai par patiesajiem labuma guvējiem, nav ierobežota ar absolūti nepieciešamo (sk. Eiropas Savienības Tiesas 2022. gada 22. novembra sprieduma apvienotajās lietās C-37/20 un C-601/20 „Luxembourg Business Registers” 74.–76. punktu). Lai izpildītu minēto spriedumu, ar Direktīvas 2024/1640 74. panta pirmo daļu tika grozīts Novēršanas direktīvas 30. panta 5. punkta c) apakšpunkts, nosakot, ka informācija par faktiskajiem īpašniekiem ir pieejama tikai tām personām un organizācijām, kuras var pierādīt leģitīmas intereses (papildus kompetentajām iestādēm un atbildīgajiem subjektiem, kas veic klienta uzticamības pārbaudi). Turklāt saskaņā ar Direktīvas 2024/1640 78. panta 1. punktu dalībvalstīm šīs direktīvas 74. panta prasības ir jāizpilda līdz 2025. gada 10. jūlijam.

    (…)