C-798/24

Preliminär utgåva

SVDOMSTOLENS DOM (första avdelningen)

den 3 september 2026 ( * )

” Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5 – Principer för behandling av personuppgifter – Artikel 6 – Laglig behandling av personuppgifter – Bolagsrätt – Direktiv (EU) 2017/1132 – Artikel 14 – Handlingar och uppgifter som ska offentliggöras av bolag – Begreppet personer som deltar i ledning, tillsyn eller kontroll av bolaget – Personuppgifter om aktieägare i publika aktiebolag ska göras tillgängliga för allmänheten – Minoritetsaktieägare ”

I mål C‑798/24, [Jautiva]( i ),

angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Satversmes tiesa (Författningsdomstolen, Lettland) genom beslut av den 14 november 2024, som inkom till domstolen den 19 november 2024, i målet

A m.fl.,

ytterligare deltagare i rättegången:

Latvijas Republikas Saeima,

meddelar

DOMSTOLEN (första avdelningen)

sammansatt av avdelningsordföranden F. Biltgen, domstolens vice ordförande T. von Danwitz (referent) samt domarna A. Kumin, S. Gervasoni och M. Bošnjak,

generaladvokat: R. Norkus,

justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

med beaktande av de yttranden som avgetts av:

– A m.fl., genom L. Liepa, advokāts,

– Lettlands regering, genom J. Davidoviča och K. Pommere, båda i egenskap av ombud,

– Polens regering, genom B. Majczyna, i egenskap av ombud,

– Finlands regering, genom A. Laine, i egenskap av ombud,

– Sveriges regering, genom C. Meyer-Seitz, i egenskap av ombud,

– Norges regering, genom K.E. M. Skjelland och B. Stankovic, båda i egenskap av ombud,

– Europaparlamentet, genom G. Corstens, M. Migliorati och L. Ruppeka-Rupeika, samtliga i egenskap av ombud,

– Europeiska unionens råd, genom L. Bergere, N. Coghlan och A.-L. Meyer, samtliga i egenskap av ombud,

– Europeiska kommissionen, genom A. Bouchagiar, H. Kranenborg, I. Naglis och M. Noll-Ehlers, samtliga i egenskap av ombud,

och efter att den 18 december 2025 ha hört generaladvokatens förslag till avgörande,

följande

Dom

1 Begäran om förhandsavgörande avser dels tolkningen av artikel 14 d ii i Europaparlamentets och rådets direktiv (EU) 2017/1132 av den 14 juni 2017 om vissa aspekter av bolagsrätt (EUT L 169, 2017, s. 46), i dess lydelse enligt Europaparlamentets och rådets direktiv (EU) 2019/1151 av den 20 juni 2019 (EUT L 186, 2019, s. 80) (nedan kallat direktiv 2017/1132), och giltigheten av denna bestämmelse mot bakgrund av artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan), dels tolkningen av artikel 5.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 2) (nedan kallad dataskyddsförordningen).

2 Begäran har framställts inom ramen för en talan om lagprövning som väckts av fysiska personer som har ifrågasatt huruvida en nationell lagstiftning, enligt vilken personuppgifter om aktieägare i publika aktiebolag ska göras tillgängliga för allmänheten, är förenlig med Latvijas Republikas Satversmes (Republiken Lettlands konstitution).

Tillämpliga bestämmelser

Unionsrätt

Stadgan

3 I artikel 7 i stadgan, under rubriken ”Respekt för privatlivet och familjelivet”, anges följande:

”Var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer.”

4 Artikel 8 i stadgan har rubriken ”Skydd av personuppgifter”. I den artikeln föreskrivs följande:

”1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

2. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem.

3. En oberoende myndighet ska kontrollera att dessa regler efterlevs.”

5 Artikel 52 i stadgan har rubriken ”Rättigheternas och principernas räckvidd och tolkning”. I punkt 1 i den artikeln föreskrivs följande:

”Varje begränsning i utövandet av de rättigheter och friheter som erkänns i denna stadga ska vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter.”

Dataskyddsförordningen

6 Skälen 1 och 10 i dataskyddsförordningen har följande lydelse:

”(1) Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i [stadgan] och artikel 16.1 [FEUF] föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

…

(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. …”

7 Enligt artikel 1.2 i dataskyddsförordningen skyddar förordningen fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.

8 Enligt artikel 2.1 i dataskyddsförordningen ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

9 I artikel 4 i dataskyddsförordningen, under rubriken ”Definitioner”, anges följande:

”I denna förordning avses med

1) personuppgifter : varje upplysning som avser en identifierad eller identifierbar fysisk person …, varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,

2) behandling : en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

…”

10 Artikel 5 i dataskyddsförordningen har rubriken ”Principer för behandling av personuppgifter”. I punkt 1 i den artikeln föreskrivs följande:

”Vid behandling av personuppgifter ska följande gälla:

a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning).

c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).

…”

11 Artikel 6 i dataskyddsförordningen har rubriken ”Laglig behandling av personuppgifter”. I punkterna 1 och 3 i den artikeln föreskrivs följande:

”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

…

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

…

3. Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

a) unionsrätten, eller

b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.”

Direktiv 2017/1132

12 Skälen 7 och 8 i direktiv 2017/1132 har följande lydelse:

”(7) Det är särskilt viktigt att samordna medlemsstaternas bestämmelser om offentlighet, om giltigheten av förpliktelser för aktiebolag och andra bolag med begränsat ansvar och om bolagens ogiltighet, framför allt för att skydda tredje mans intressen.

(8) Offentligheten bör ge tredje man möjlighet att ta del av viktiga handlingar om ett bolag och att få vissa upplysningar om detta, särskilt personuppgifter om dem som företräder bolaget.”

13 I artikel 1 i det direktivet föreskrivs följande, under rubriken ”Syfte”:

”Genom detta direktiv fastställs åtgärder för

– samordning av de skyddsåtgärder som krävs i medlemsstaterna av de i artikel 54 andra stycket i fördraget avsedda bolagen i bolagsmännens och tredje mans intressen när det gäller att bilda ett publikt aktiebolag samt att bevara och ändra dettas kapital, i syfte att göra skyddsåtgärderna likvärdiga inom unionen,

– samordning av de skyddsåtgärder som krävs i medlemsstaterna av de i artikel 54 andra stycket i fördraget avsedda bolagen i bolagsmännens och tredje mans intressen när det gäller offentlighet, giltigheten av förpliktelser för aktiebolag och andra bolag med begränsat ansvar, och om bolagens ogiltighet, i syfte att göra skyddsåtgärderna likvärdiga inom unionen,

…”

14 Artikel 4 i nämnda direktiv har rubriken ”Uppgifter som ska tillhandahållas i bolagsordningen eller stiftelseurkunden eller i särskild handling”. Där föreskrivs som följer:

”Minst följande uppgifter ska finnas antingen i bolagsordningen eller stiftelseurkunden eller i en särskild handling som ska offentliggöras enligt varje medlemsstats lagstiftning i överensstämmelse med artikel 16:

…

i) Identiteten hos de fysiska eller juridiska personer eller bolag av vilka eller i vilkas namn bolagsordningen eller stiftelseurkunden eller, om bolagsbildningen inte sker i ett sammanhang, utkasten till dessa handlingar har undertecknats.

…”

15 I artikel 13 i samma direktiv, under rubriken ”Tillämpningsområde”, föreskrivs följande:

”De samordningsåtgärder som föreskrivs i detta avsnitt och i avsnitt 1A ska tillämpas på de bestämmelser i medlemsstaternas lagar eller andra författningar om bolagsformer som förtecknas i bilaga II och, i de fall där så anges, på de bolagsformer som förtecknas i bilagorna I och IIA.”

16 Bilaga II till direktiv 2017/1132, vilken innehåller en förteckning över de bolagsformer som avses i bland annat artikel 13 i direktivet, hänvisar vad gäller Lettland till ”akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība”, det vill säga publika aktiebolag, bolag med begränsat ansvar och kommanditbolag).

17 I artikel 14 i det direktivet, under rubriken ”Handlingar och uppgifter som ska offentliggöras av bolag”, anges följande:

”Medlemsstaterna ska se till att minst följande handlingar och uppgifter om ett bolag alltid offentliggörs:

a) Stiftelseurkunden och, om den har tagits in i en särskild handling, bolagsordningen.

…

d) Tillsättande och entledigande av samt personuppgifter om dem som i egenskap av i lagstiftningen föreskrivet bolagsorgan eller som medlemmar i ett sådant organ

i) är behöriga att företräda bolaget mot tredje man och i rättegång; av de offentliggjorda uppgifterna ska framgå om de personer som företräder bolaget kan göra detta var för sig eller endast i förening med andra,

ii) deltar i ledning, tillsyn eller kontroll av bolaget.

…”

18 I artikel 16.3 i nämnda direktiv föreskrivs följande:

”Medlemsstaterna ska säkerställa att offentliggörandet av handlingar och information som avses i artikel 14 sker genom att de görs offentligt tillgängliga i [det centrala registret, handels- eller bolagsregistret]. …”

19 Artiklarna 64.3 och 95.2 i samma direktiv avser de skyldigheter som bolagets förvaltnings- eller ledningsorgan har gentemot bolagsstämman vad gäller ekonomiskt bistånd från ett bolag i syfte att tredje man ska kunna förvärva aktier i bolaget respektive vad gäller fusion genom förvärv.

Direktiv 2015/849

20 I artiklarna 11 och 13 i Europaparlamentets och rådets direktiv (EU) 2015/849 av den 20 maj 2015 om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, om ändring av Europaparlamentets och rådets förordning (EU) nr 648/2012 och om upphävande av Europaparlamentets och rådets direktiv 2005/60/EG och kommissionens direktiv 2006/70/EG (EUT L 141, 2015, s. 73), i dess lydelse enligt Europaparlamentets och rådets direktiv (EU) 2024/1640 av den 31 maj 2024 (EUT L, 2024/1640) (nedan kallat direktiv 2015/849), anges vilka åtgärder för kundkännedom som ansvariga enheter ska vidta.

21 I artikel 30.5 i direktiv 2015/849 anges följande:

”Medlemsstaterna ska se till att uppgifterna om verkligt huvudmannaskap är tillgängliga i samtliga fall för

…

c) varje person eller organisation som kan styrka ett berättigat intresse.

De personer eller organisationer som avses i [led] c i första stycket ska ha tillåtelse att få tillgång till åtminstone den verkliga huvudmannens namn, födelsemånad och födelseår, bosättningsland och medborgarskap, samt arten och omfattning[en] av det förmånsintresse som innehas av den verkliga huvudmannen.”

Lettisk rätt

Republiken Lettlands konstitution

22 I artikel 96 i Republiken Lettlands konstitution stadfästs bland annat rätten till respekt för privatlivet. Enligt praxis från Satversmes tiesa (Författningsdomstolen, Lettland) omfattar denna artikel skyddet av personuppgifter.

Handelslagen

23 Artikel 8 i komerclikums (handelslagen) har rubriken ”Vad handelsregistrets poster ska innehålla”. I den artikeln föreskrivs följande i punkt 3 leden 3 och 4:

”(3) De uppgifter om ett aktiebolag som ska föras in i handelsregistret förtecknas i det följande:

…

3) förnamn, efternamn, personnummer (om personen inte har något personnummer, födelsedatum, nummer och datum för utfärdande av en personlig identitetshandling, det land och den myndighet som utfärdade den) och position för ledamöterna i aktiebolagets styrelse och medlemmarna i tillsynsorganet (om aktiebolaget har ett sådant organ),

4) styrelseledamöternas behörighet att företräda bolaget var för sig eller i förening med andra,

…”

24 Artikel 12 i handelslagen har rubriken ”Offentliggörande i handelsregistret”. Där föreskrivs följande:

”(1) Uppgifter som förs in i handelsregistret ska ha verkan i förhållande till tredje man från den tidpunkt då de offentliggörs. …

…”

25 I artikel 235 i handelslagen, under rubriken, ”Uppgifter som ska föras in i aktieägarregistret”, anges följande:

”(1) Varje post i aktieägarregistret ska innehålla uppgift om bolagets namn, registreringsnummer, registrerad adress och, i tillämpliga fall, information om huruvida bolaget är föremål för ett likvidations- eller insolvensförfarande, samt dokumenttiteln ’Införande i aktieägarregistret’ och följande uppgifter:

1) Löpnummer och datum för införandet.

2) Registreringens löpnummer, med utgångspunkt i den första posten i aktieägarregistret.

3) Aktiernas löpnummer.

4) Uppgifter om aktieägarna:

a) Fysiska personer: Förnamn, efternamn, personnummer (om personen inte har något personnummer, födelsedatum, nummer och datum för utfärdande av en personlig identitetshandling, det land och den myndighet som utfärdade den) och en adress där personen kan nås,

b) Juridiska personer och personbolag: Namn, registreringsnummer och registrerad adress.

5) Aktieägarens e‑postadress, om detta är det föredragna kommunikationssätt som aktieägaren har angett till det berörda bolaget.

6) Uppgifter om varje aktieägares aktieinnehav, vilket innefattar uppgift om aktiekategori, aktieantal och aktiernas nominella värde samt det antal rösträtter som är knutna till innehavet.

7) Aktiernas betalningsstatus.

8) Aktieägarnas gemensamma företrädare som har utsetts i enlighet med förfarandet i artikel 157 i denna lag, med angivande av de uppgifter som avses i punkt 1 leden 4 och 5 i denna artikel.

9) Information om aktier som bolaget själv har förvärvat, med angivande av skälen till förvärvet.

…”

26 I artikel 268 i samma lag, under rubriken ”Bolagsstämmans befogenheter”, föreskrivs följande:

”(1) Endast bolagsstämman ska ha rätt att fatta beslut om

1) bolagets årsredovisning:

2) användning av föregående års vinster,

3) val och entledigande av ledamöter av tillsynsorganet, revisorer och likvidatorer,

4) att väcka talan mot eller att avstå från att väcka talan mot styrelseledamöterna och ledamöter av tillsynsorganet samt mot revisorn och att utse en företrädare för bolaget för att väcka talan mot ledamöterna av tillsynsorganet.

…

6) ändringar i bolagsordningen,

7) att öka eller minska aktiekapitalet,

8) emission och konvertering av bolagets värdepapper samt den värdepapperscentral där bolagets avstämningsaktier är registrerade,

9) att fastställa ersättningen till ledamöterna av tillsynsorganet och revisorn,

10) att upphöra eller fortsätta med, eller att skjuta upp eller förnya bolagets verksamhet eller att omorganisera bolaget,

11) allmänna principer för, slag av och kriterier för fastställande av ersättningen till styrelseledamöterna och ledamöterna av tillsynsorganet,

12) tilldelning av bolagets aktier till anställda, styrelseledamöter och ledamöter av tillsynsorganet.

(2) Bolagsstämman ska fatta beslut i andra frågor endast om det föreskrivs i lag.”

Lagen om bolagsregistret

27 Artikel 4. 10 i likums ”Par Latvijas Republikas Uzņēmumu reģistru” (lagen om bolagsregistret i Republiken Lettland) (nedan kallad lagen om bolagsregistret) har rubriken ”Rätt till tillgång till information i bolagsregistret”. Dess femte stycke har följande lydelse:

”Bolagsregistret ska utan kostnad tillhandahålla de uppgifter och dokument som återfinns i den offentliga delen av registreringsakten (artikel 4. 15 första stycket) genom överföring av uppgifter online (inbegripet vad gäller bulknedladdning).”

28 Artikel 4. 11 i den lagen har rubriken ”Uppgifter som ska publiceras på bolagsregistrets webbplats”. Där föreskrivs följande i första stycket led 2:

”Bolagsregistret ska säkerställa oidentifierade användare allmän tillgång till följande senaste (uppdaterade) uppgifter på dess webbplats om juridiska personer och rättsliga omständigheter som återfinns i de register som förs av bolagsregistret:

…

2) Andra uppgifter som har förts in i registret.”

29 I artikel 4. 15 i nämnda lag, under rubriken ”Offentliga och icke-offentliga delar av registreringsakten”, föreskrivs följande:

”Den offentliga delen av registreringsakten ska innehålla följande:

…

2) Andra uppgifter som har förts in i registret:

…

b) Uppgifter från posten i registret över aktieägare (delägare) i ett aktiebolag avseende aktieägarna (delägarna) i det bolaget …

3) Följande dokument som utgör en del av registreringsakten:

a) i handelsregistret – … posten i registret över aktieägare (delägare), …

De dokument och uppgifter som utgör en del av registreringsakten och som inte nämns i första stycket i denna artikel ska ingå i den icke-offentliga delen av registreringsakten.

I fall där en post i registret eller en registrerad uppgift har klassificerats som information som omfattas av restriktioner eller om allmänhetens tillgång till dem har begränsats genom lagstiftning, ska den ingå i den icke-offentliga delen av registreringsakten.

Uppgifter och dokument som återfinns i den icke-offentliga delen av registreringsakten (andra och tredje styckena i denna artikel) är information som omfattas av restriktioner. Brottsbekämpande myndigheter kan få tillgång till dem för att utföra uppdrag som specificeras i lagar och andra författningar. Finanšu izlūkošanas dienests [(Finansunderrättelsemyndigheten, Lettland)] samt tillsyns- och kontrollmyndigheter inom området för förhindrande av penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen ska ha obegränsad tillgång till dem. Andra myndigheter måste lämna in en motiverad begäran. Enskilda ska begära tillgång till de uppgifter och dokument som återfinns i den icke-offentliga delen av registreringsakten i enlighet med det förfarande för att begära ut information som omfattas av restriktioner som föreskrivs i Informācijas atklātības likum[s] [(lagen om informationsfrihet)].”

Lagen om förhindrande av penningtvätt

30 Artikel 5. 1 i Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un écoferācijas finansēšanas novēršanas likums (lagen om förhindrande av penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen) (nedan kallad lagen om förhindrande av penningtvätt) har rubriken ”Tillgång till uppgifter som är nödvändiga för att uppfylla kraven i lagen och som härrör från Republiken Lettlands informationssystem”. I punkt 1 i den artikeln föreskrivs följande:

”För att fullgöra sina skyldigheter enligt denna lag ska ansvariga enheter och tillsyns- och kontrollmyndigheter ha rätt att online begära och erhålla faktablad och uppgifter om medlemmar och verkliga huvudmän som återfinns i de register som förs av Republiken Lettlands bolagsregister, att bevara och på annat sätt behandla dessa uppgifter för att bedöma uppgifter om kunden och dennes affärspartner och behovet av att rapportera en misstänkt transaktion till Finanšu izlūkošanas dienests [(Finansunderrättelsemyndigheten)] eller av att avstå från att genomföra en sådan transaktion, samt för att fastställa huruvida kunden är föremål för ett insolvensförfarande för juridiska personer eller har försatts i konkurs.”

Lagen om internationella och nationella sanktioner

31 I artikel 5 i Starptautisko un Latvijas Republikas nacionālo sankciju likums (Republiken Lettlands lag om internationella och nationella sanktioner) (nedan kallad lagen om internationella och nationella sanktioner), under rubriken ”Ekonomiska restriktioner”, föreskrivs följande:

”När nationella sanktioner medför ekonomiska restriktioner för den person som är föremål för sanktioner ska alla personer, inom ramen för sina befogenheter, omedelbart och utan förhandsanmälan vara skyldiga att

1) frysa alla penningmedel och ekonomiska resurser som den person som är föremål för sanktioner, inbegripet tredje män som handlar på dennes vägnar eller enligt dennes instruktioner, direkt eller indirekt, helt eller delvis, äger, har i sin besittning, innehar eller kontrollerar,

2) inte, varken direkt eller indirekt, göra penningmedel och ekonomiska resurser tillgängliga för den person som är föremål för sanktioner, inbegripet tredje män som handlar på dennes vägnar, enligt dennes instruktioner eller till förmån för denne,

3) inte tillhandahålla de finansiella tjänster som de nationella sanktionerna avser till den person som är föremål för sanktionerna, inbegripet tredje män som handlar på dennes vägnar, enligt dennes instruktioner eller till förmån för denne.”

Målet vid den nationella domstolen samt tolkningsfrågorna och giltighetsfrågan

32 Sjutton fysiska personer väckte talan om lagprövning vid Satversmes tiesa (Författningsdomstolen), som är den domstol som har hänskjutit frågor till EU-domstolen, för att få till stånd en prövning av huruvida en nationell lagstiftning, nämligen artikel 4. 15 första stycket led 2 b i lagen om bolagsregistret, jämförd med artikel 4. 10 femte stycket i samma lag och artikel 235.1 i handelslagen, är förenlig med artikel 96 i Republiken Lettlands konstitution, vari rätten till respekt för privatlivet och skyddet av personuppgifter stadfästs.

33 Enligt denna lagstiftning ska viss information om aktieägarna i publika aktiebolag göras tillgänglig för allmänheten. Om det rör sig om fysiska personer ska denna information innefatta förnamn, efternamn, personnummer eller, om en person inte har något personnummer, födelsedatum, nummer och datum för utfärdande av en personlig identitetshandling, det land och den myndighet som utfärdade den samt en adress där respektive aktieägare kan nås. Vidare, och oberoende av huruvida aktieägaren är en fysisk person, ska nämnda information även innefatta uppgift om e‑postadress, om detta är det föredragna kommunikationssätt som aktieägaren har angett till det berörda bolaget, samt uppgifter om aktieinnehavet (aktiekategori, aktieantal och aktiernas nominella värde samt det antal rösträtter som är knutna till innehavet). Samma information ska vara tillgänglig online och kunna laddas ned i bulk, bland annat av oidentifierade användare, så som föreskrivs i artikel 4. 11 första stycket led 2 i lagen om bolagsregistret.

34 Sökandena i det nationella målet är minoritetsaktieägare i ett publikt aktiebolag. De har gjort gällande att den lettiska lagstiftaren varken har undersökt eller motiverat behovet av att lämna ut de aktuella uppgifterna till allmänheten, och preciserat att det efter offentliggörandet inte är möjligt att begränsa senare användning av uppgifterna och att det finns en hög risk för att de används för ohederliga ändamål. Mot bakgrund av domen av den 22 november 2022, Luxembourg Business Registers (C‑37/20 och C‑601/20, EU:C:2022:912) (nedan kallad domen i målet Luxembourg Business Registers), är det enligt sökandena under alla omständigheter omotiverat och oproportionerligt att lämna ut uppgifterna, mot bakgrund av att ingen av dem har ställning som verkliga huvudmän för det berörda bolaget eller är ledamöter i bolagets ledningsorgan, och att de varken har rätt eller möjlighet att utöva kontroll över bolaget.

35 Den hänskjutande domstolen vill i detta avseende få klarhet i huruvida det krävs enligt direktiv 2017/1132, och särskilt enligt dess artikel 14 d ii, vilken avser handlingar och uppgifter avseende personer som deltar i ledning, tillsyn eller kontroll av bolaget, att de personuppgifter som är i fråga i det nationella målet offentliggörs. Om så är fallet anser den hänskjutande domstolen att det är nödvändigt att pröva giltigheten av skyldigheten att offentliggöra dessa uppgifter mot bakgrund av artiklarna 7 och 8 i stadgan.

36 Dessutom vill den hänskjutande domstolen få klarhet i huruvida det är förenligt med bestämmelserna i dataskyddsförordningen, i synnerhet dess artikel 5.1, och med bestämmelserna i stadgan att en medlemsstat i sin nationella rätt föreskriver en sådan skyldighet att offentliggöra uppgifter i syfte att uppnå mål av det slag som anförts av Latvijas Republikas Saiema (det lettiska parlamentet), det vill säga, för det första, att säkerställa ett öppet företagsklimat och skydda tredje mans intressen, för det andra, att förhindra penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen och, för det tredje, att tillhandahålla information som är nödvändig för att verkställa nationella och internationella sanktioner samt EU-sanktioner. Den hänskjutande domstolen har i detta sammanhang påpekat att rätten till tillgång till de aktuella uppgifterna inte är underkastad några villkor, som till exempel att det kan visas att det finns ett berättigat intresse.

37 Mot denna bakgrund beslutade Satversmes tiesa (Författningsdomstolen) att vilandeförklara målet och ställa följande frågor till EU-domstolen:

”1) Ska begreppet personer som deltar i ledning, tillsyn eller kontroll av bolaget, i artikel 14 d i direktiv 2017/1132, tolkas på så sätt att det omfattar varje aktieägare i ett publikt aktiebolag, så att en medlemsstat är skyldig att offentliggöra uppgifter om varje aktieägare i ett publikt aktiebolag och göra dem tillgängliga för allmänheten i registret i enlighet med artikel 16.3 i direktiv 2017/1132?

2) Om den första frågan besvaras jakande, är artikel 14 d ii i direktiv 2017/1132, jämförd med rätten till respekt för privatlivet och familjelivet enligt artikel 7 i stadgan och rätten till skydd av personuppgifter enligt artikel 8 i stadgan, giltig i den mån det i bestämmelsen föreskrivs att uppgifter om varje aktieägare i ett publikt aktiebolag ska offentliggöras?

3) Ska artikel 5.1 b i dataskyddsförordningen tolkas på så sätt att behandling av personuppgifter som rör aktieägare i ett publikt aktiebolag får ske i syfte, för det första, att säkerställa ett öppet företagsklimat och skydda tredje mans intressen, för det andra, att förhindra penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen och, för det tredje, att tillhandahålla information som är nödvändig för att verkställa nationella och internationella sanktioner samt EU-sanktioner?

4) Medger principerna i artikel 5.1 i dataskyddsförordningen att det för de ovannämnda ändamålen införs nationella bestämmelser enligt vilka vem som helst kan få tillgång till personuppgifter om aktieägare i ett publikt aktiebolag utan att behöva visa att det finns ett berättigat intresse av att få tillgång till dessa uppgifter?”

Prövning av tolkningsfrågorna och giltighetsfrågan

Den första frågan

38 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 14 d i direktiv 2017/1132 ska tolkas så, att den innebär ett krav på offentliggörande av uppgifter om samtliga aktieägare i sådana bolag som avses i den bestämmelsen, inbegripet minoritetsaktieägarna i sådana bolag.

39 Enligt nämnda bestämmelse, vilken är tillämplig på de bolagsformer som avses i artikel 13 i direktiv 2017/1132, det vill säga de bolagsformer som räknas upp i bilaga II till direktivet, ska medlemsstaterna se till att dessa bolag alltid offentliggör åtminstone handlingar och uppgifter om tillsättande och entledigande av samt personuppgifter om dem som i egenskap av i lagstiftningen föreskrivet bolagsorgan eller som medlemmar i ett sådant organ är behöriga att företräda bolaget mot tredje man och i rättegång, eller som deltar i ledning, tillsyn eller kontroll av bolaget.

40 Domstolen erinrar härvid om fast rättspraxis enligt vilken ordalydelsen i en unionsbestämmelse som inte innehåller någon uttrycklig hänvisning till medlemsstaternas rättsordningar för fastställandet av bestämmelsens innebörd och tillämpningsområde i regel ska ges en självständig och enhetlig tolkning inom hela unionen, med beaktande inte bara av bestämmelsens ordalydelse utan även av det sammanhang i vilket bestämmelsen förekommer och det mål som eftersträvas med den aktuella lagstiftningen (se, för ett liknande resonemang, dom av den 18 januari 1984, Ekro, 327/82, EU:C:1984:11, punkt 11, och dom av den 18 december 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge, C‑417/23, EU:C:2025:1017, punkt 76).

41 Vad gäller ordalydelsen i artikel 14 d i direktiv 2017/1132 påpekar domstolen att bestämmelsen inte uttryckligen avser vare sig aktieägarna eller bolagsstämman. I bestämmelsen hänvisas dessutom till ”tillsättande” och ”entledigande” av samt ”personuppgifter” om dem som i egenskap av i lagstiftningen föreskrivet organ eller som medlemmar i ett sådant organ är behöriga att företräda bolaget mot tredje man och i rättegång och/eller som deltar i ledning, tillsyn eller kontroll av bolaget. Så som den lettiska och den polska regeringen, Europaparlamentet, Europeiska unionens råd och Europeiska kommissionen har påpekat i sina skriftliga yttranden vare sig tillsätts eller entledigas ett bolags aktieägare. Aktieägarnas ställning följer i själva verket enbart av deras ägarandel i ett bolags aktiekapital, det vill säga deras äganderätt till aktier emitterade av detta bolag, och skiljer sig i detta avseende från ställningen för de personer som utsetts att sitta i bolagets förvaltnings- eller ledningsorgan och att företräda bolaget mot tredje man.

42 Vad gäller det sammanhang i vilket bestämmelsen ingår konstaterar domstolen att flera bestämmelser i direktiv 2017/1132, såsom artiklarna 64.3 och 95.2, återspeglar den terminologiska åtskillnad som unionslagstiftaren har gjort mellan, å ena sidan, förvaltnings- och ledningsorgan och, å andra sidan, bolagsstämman. Bolagsstämman har vissa beslutsbefogenheter, men dessa är alltså inte av samma slag som de befogenheter som tillkommer bolagets förvaltnings- och ledningsorgan, vilket innebär att varken bolagsstämmans eller dess medlemmars handlingar kan kvalificeras som ”deltagande”, i den mening som avses i artikel 14 d ii i nämnda direktiv.

43 Även om det enligt artikel 14 a i direktiv 2017/1132, vilken ska läsas tillsammans med direktivets artikel 4 i, krävs att ett publikt aktiebolags stiftelseurkund och bolagsordning offentliggörs, varvid dessa handlingar ska innehålla uppgifter om identiteten hos de personer som undertecknat stiftelseurkunden och bolagsordningen, vilket kan inbegripa de ursprungliga aktieägarna i bolaget, så finns det inte någon bestämmelse i det direktivet enligt vilken det uttryckligen krävs ett offentliggörande för det fall bolagets aktieägarsammansättning senare ändras.

44 Vad gäller de mål som eftersträvas med direktiv 2017/1132 framgår det av skälen 7 och 8 samt artikel 1 i direktivet att den offentlighet som föreskrivs i direktivet har till syfte bland annat att skydda tredje mans intressen i förhållande till aktiebolag och bolag med begränsat ansvar, eftersom deras ansvar gentemot tredje man är begränsat till bolagsförmögenheten. Offentligheten bör ge tredje man möjlighet att ta del av bolagets viktigaste handlingar och vissa upplysningar om bolaget, särskilt avseende identiteten hos de personer som är behöriga att företräda bolaget (se, för ett liknande resonemang, dom av den 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 77).

45 Dessutom är syftet med det direktivet att garantera rättssäkerheten i förhållandet mellan bolag och tredje man mot bakgrund av att affärstransaktionerna mellan medlemsstaterna intensifierats till följd av inrättandet av den inre marknaden. Ur denna synvinkel är det viktigt att alla personer som önskar upprätta och fortsätta affärsrelationer med bolag i andra medlemsstater enkelt kan få kunskap om de grundläggande uppgifterna avseendet bildandet av rörelseidkande bolag och befogenheterna hos dessa bolags företrädare, varför det är nödvändigt att relevanta uppgifter tydligt framgår av det register som avses i artikel 16.3 i samma direktiv (se, för ett liknande resonemang, dom av den 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 78 och där angiven rättspraxis).

46 I det nu aktuella fallet förefaller offentliggörandet av uppgifter om samtliga aktieägare i publika aktiebolag, och i synnerhet om deras minoritetsaktieägare, inte tillföra något när det gäller att uppnå målet att skydda tredje mans intressen och rättssäkerheten, och kan således inte motiveras av detta mål. Eftersom minoritetsaktieägarna i princip inte är behöriga att företräda ett publikt aktiebolag, att företräda bolaget gentemot tredje man eller att utöva lednings- och tillsynsuppgifter, till skillnad från ledamöterna i ett sådant bolags förvaltnings- och ledningsorgan, förefaller uppgifterna om samtliga dessa aktieägare sakna relevans för tredje man.

47 Den första frågan ska således besvaras på följande sätt. Artikel 14 d i direktiv 2017/1132 ska tolkas så, att den inte innebär ett krav på offentliggörande av uppgifter om samtliga aktieägare i sådana bolag som avses i den bestämmelsen, inbegripet minoritetsaktieägarna i sådana bolag.

Den andra frågan

48 Med hänsyn till svaret på den första frågan saknas anledning att besvara den andra frågan.

Den tredje och den fjärde frågan

49 Den hänskjutande domstolen har ställt dessa frågor, vilka ska prövas tillsammans, för att få klarhet i huruvida artiklarna 5 och 6 i dataskyddsförordningen, jämförda med artiklarna 7 och 8 i stadgan, ska tolkas så, att de utgör hinder för en nationell lagstiftning enligt vilken personuppgifter om samtliga aktieägare i publika aktiebolag, inklusive minoritetsaktieägare, i form av identitets- och kontaktuppgifter om dessa aktieägare och i form av uppgifter om deras aktieinnehav (uppgift om aktiekategori, aktieantal och aktiernas nominella värde samt det antal rösträtter som är knutna till innehavet), ska göras tillgängliga för allmänheten, detta i syfte att säkerställa ett öppet företagsklimat för att skydda tredje mans intressen, att förhindra penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen samt att tillhandahålla information som är nödvändig för att verkställa nationella och internationella sanktioner samt EU-sanktioner, om rätten till tillgång till sådana uppgifter inte är underkastad några villkor, som till exempel att det kan visas att det finns ett berättigat intresse.

50 Domstolen erinrar inledningsvis om att det av artikel 1 samt skälen 1 och 10 i dataskyddsförordningen framgår att syftet med förordningen bland annat är att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, i synnerhet den i artikel 8.1 i stadgan och artikel 16.1 FEUF fastslagna rätten till skydd av personuppgifter. I enlighet med detta syfte ska all behandling av personuppgifter bland annat vara förenlig med de principer för behandling av sådana uppgifter som anges i artikel 5 i dataskyddsförordningen och uppfylla de laglighetsvillkor som anges i artikel 6 i förordningen (se, för ett liknande resonemang, dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkterna 21 och 22, och dom av den 3 april 2025, Ministerstvo zdravotnictví (Uppgifter om en juridisk persons företrädare), C‑710/23, EU:C:2025:231, punkterna 29 och 33).

51 Domstolen påpekar i detta hänseende att det i artikel 5.1 a i dataskyddsförordningen föreskrivs att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade.

52 Artikel 5.1 b i dataskyddsförordningen ger uttryck för principen om ändamålsbegränsning. Av bestämmelsen framgår att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Enligt domstolens praxis innebär denna princip bland annat att ändamålen med behandlingen ska bestämmas senast vid den tidpunkt då personuppgifterna samlas in, att ändamålen med behandlingen ska framgå klart och att ändamålen med behandlingen ska säkerställa en laglig behandling av personuppgifterna, i den mening som avses i artikel 6.1 i dataskyddsförordningen (se, för ett liknande resonemang, dom av den 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punkt 27 och där angiven rättspraxis).

53 I artikel 5.1 c i dataskyddsförordningen stadfästs principen om uppgiftsminimering, vilken innebär att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Denna princip är ett uttryck för proportionalitetsprincipen (se, för ett liknande resonemang, dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkt 24 och där angiven rättspraxis).

54 Vad gäller förutsättningarna för laglig behandling av personuppgifter innehåller artikel 6.1 första stycket i dataskyddsförordningen en uttömmande och fullständig förteckning över de fall där behandling av personuppgifter kan anses vara laglig. För att behandlingen ska kunna anses vara laglig måste den omfattas av något av de fall som anges i nämnda bestämmelse (se, för ett liknande resonemang, dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkt 25 och där angiven rättspraxis).

55 Enligt artikel 6.1 första stycket a i dataskyddsförordningen är behandling av personuppgifter laglig om och i den mån den registrerade har lämnat sitt samtycke till detta för ett eller flera särskilda ändamål. Har något sådant samtycke inte lämnats eller om samtycket inte lämnats på ett frivilligt, specifikt, informerat och otvetydigt sätt, i den mening som avses i artikel 4 led 11 i förordningen, kan behandlingen trots detta vara berättigad om den uppfyller något av de nödvändighetskrav som anges i artikel 6.1 första stycket b–f. Det förhållandet att laglighetsgrunderna i sistnämnda bestämmelse ger möjlighet att utföra personuppgiftsbehandling utan den registrerades samtycke innebär i detta sammanhang ett krav på att dessa grunder tolkas restriktivt (dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkterna 26 och 27 samt där angiven rättspraxis).

56 Vidare följer det av domstolens praxis att när det går att konstatera att en behandling av personuppgifter är nödvändig enligt någon av laglighetsgrunderna i artikel 6.1 första stycket b–f i dataskyddsförordningen, så behöver det inte prövas om behandlingen även omfattas av någon annan laglighetsgrund (dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkt 28 och där angiven rättspraxis).

57 I förevarande fall är det utrett att de upplysningar som är aktuella i det nationella målet avser identifierade eller identifierbara fysiska personer och att de således ska anses utgöra personuppgifter, i den mening som avses i artikel 4 led 1 i dataskyddsförordningen. Det är även utrett att dessa upplysningar är föremål för behandling, i den mening som avses i artikel 4 led 2 i dataskyddsförordningen, eftersom de är tillgängliga för allmänheten, och att denna behandling, vilken utförs automatiserat, omfattas av dataskyddsförordningens materiella tillämpningsområde, enligt artikel 2.1 i förordningen.

58 Så som generaladvokaten har påpekat i punkt 43 i sitt förslag till avgörande är den behandling av uppgifter som är aktuell i det nationella målet dessutom föreskriven i nationell lagstiftning och ska således prövas mot bakgrund av artikel 6.1 första stycket c i dataskyddsförordningen, enligt vilken en behandling är laglig om och i den mån den är ”nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige”.

59 I artikel 6.3 i dataskyddsförordningen preciseras bland annat att grunden för behandlingen i sådant fall ska fastställas i enlighet med unionsrätten eller med en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, och att syftet med behandlingen ska fastställas i den rättsliga grunden. Denna ska uppfylla ett mål av allmänintresse och stå i proportion till det legitima mål som eftersträvas. Eftersom dessa krav är ett uttryck för de krav som följer av artikel 52.1 i stadgan ska de tolkas mot bakgrund av den bestämmelsen (se, för ett liknande resonemang, dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 69, och dom av den 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 104).

60 Domstolen påpekar i detta hänseende att de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter, vilka garanteras i artiklarna 7 och 8 i stadgan, inte utgör några absoluta rättigheter, utan ska bedömas utifrån sin funktion i samhället och vägas mot andra grundläggande rättigheter. Begränsningar får således göras, förutsatt att de, i enlighet med artikel 52.1 i stadgan, är föreskrivna i lag och förenliga med det väsentliga innehållet i de grundläggande rättigheterna och med proportionalitetsprincipen (dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning), C‑439/19, EU:C:2021:504, punkt 105, dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 70, och dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon), C‑548/21, EU:C:2024:830, punkt 85 och där angiven rättspraxis).

61 I detta sammanhang följer av fast rättspraxis att åtgärder som medför ett ingrepp i de rättigheter som garanteras i artiklarna 7 och 8 i stadgan endast kan anses vara proportionerliga om de uppfyller kravet på lämplighet och nödvändighet samt kravet på att sådana åtgärder ska stå i proportion till det eftersträvade målet (domen i målet Luxembourg Business Registers, punkt 63 och där angiven rättspraxis).

62 Närmare bestämt ska undantag från och begränsningar av skyddet för personuppgifter inskränkas till vad som är absolut nödvändigt. När det finns flera ändamålsenliga åtgärder att välja mellan för att uppnå de legitima mål som eftersträvas, ska den åtgärd väljas som är minst ingripande. När ett mål av allmänintresse eftersträvas måste det dessutom beaktas att detta mål ska vara förenligt med de grundläggande rättigheter som berörs av den aktuella åtgärden. Här ska en balanserad avvägning göras mellan å ena sidan målet av allmänintresse och å andra sidan de berörda rättigheterna, för att säkerställa att de olägenheter som åtgärden orsakar inte är orimliga i förhållande till de eftersträvade målen. Möjligheten att motivera en begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna ska således bedömas utifrån allvaret i det ingrepp som rättighetsbegränsningen medför och genom en prövning av huruvida betydelsen av det mål av allmänintresse som eftersträvas med denna begränsning står i proportion till ingreppets allvar (domen i målet Luxembourg Business Registers, punkt 64 och där angiven rättspraxis).

63 För att uppfylla proportionalitetskravet måste den lagstiftning som medför det aktuella ingreppet även innehålla tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av de åtgärder som föreskrivs i den och som anger minimikrav, så att de registrerade ges tillräckliga garantier som gör det möjligt att på ett effektivt sätt skydda deras personuppgifter mot risken för missbruk. Lagstiftningen måste i synnerhet precisera under vilka omständigheter och på vilka villkor en åtgärd för behandling av personuppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är absolut nödvändigt (se, för ett liknande resonemang, domen i målet Luxembourg Business Registers, punkt 65 och där angiven rättspraxis).

64 I förevarande fall ankommer det på den hänskjutande domstolen att först kontrollera huruvida den nationella lagstiftning som är aktuell i det nationella målet uppfyller principen om ändamålsbegränsning i artikel 5.1 b i dataskyddsförordningen, mot bakgrund av ovan i punkt 52 angiven rättspraxis, och huruvida ändamålen med behandlingen fastställs i den relevanta rättsliga grunden, i den mening som avses i artikel 6.3 i dataskyddsförordningen. Så som generaladvokaten har påpekat i punkt 45 i sitt förslag till avgörande är det i det sistnämnda avseendet viktigt att ändamålet eller ändamålen i fråga kan fastställas på ett tillräckligt säkert sätt utifrån ordalydelsen i den aktuella lagstiftningen eller det normativa sammanhang i vilket den ingår.

65 Därefter ska den pröva huruvida denna rättsliga grund uppfyller de övriga krav som följer av artikel 6.3 i dataskyddsförordningen och artikel 52.1 i stadgan, mot bakgrund av den fasta rättspraxis som domstolen erinrat om i punkterna 59–63 ovan och med beaktande av allvaret i det ingrepp i de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som den rättsliga grunden medför.

66 Även om det i slutändan ankommer på den hänskjutande domstolen att kontrollera huruvida dessa övriga krav är uppfyllda, kan EU-domstolen dock, när den meddelar ett förhandsavgörande, tillhandahålla den hänskjutande domstolen alla uppgifter om unionsrättens tolkning som kan vara användbara vid avgörandet av det nationella målet och att i förekommande fall bidra med preciseringar för att vägleda den hänskjutande domstolen i denna fråga (se, för ett liknande resonemang, dom av den 27 juni 2017, Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, punkt 36 och där angiven rättspraxis, och dom av den 9 januari 2025, Mousse, C‑394/23, EU:C:2025:2, punkt 51).

67 Så som framgår av domstolens fasta praxis utgör utlämnande av personuppgifter till tredje man, inbegripet tillgängliggörande av sådana uppgifter, ett ingrepp i rättigheterna i artiklarna 7 och 8 i stadgan, oavsett hur de utlämnade upplysningarna senare används. Det har i detta hänseende föga betydelse huruvida de upplysningar om privatlivet som lämnats ut är av känslig art eller huruvida de berörda personerna har fått utstå eventuella olägenheter på grund av ingreppet eller inte (se, för ett liknande resonemang, dom av den 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punkt 96, och domen i målet Luxembourg Business Registers, punkt 39).

68 Vad gäller den nu aktuella nationella lagstiftningen kan det visserligen konstateras att den innehåller en uppräkning av exakt vilka personuppgifter som ska göras tillgängliga för allmänheten, vilket innebär att det ingrepp som följer av den är föreskrivet i lag. Det måste dock även prövas dels hur allvarligt ingreppet är, dels huruvida betydelsen av de mål av allmänintresse som påstås eftersträvas står i proportion till ingreppets allvar (se, för ett liknande resonemang, dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 98).

69 Vid bedömningen av hur allvarligt ingreppet är ska hänsyn bland annat tas till vilken typ av personuppgifter det är fråga om, i synnerhet till att det kan vara fråga om känsliga uppgifter. Vidare ska hänsyn tas till vilken typ av personuppgiftsbehandling det är fråga om och hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till personuppgifterna och formerna för åtkomst till dessa (dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 99 och där angiven rättspraxis).

70 Vad gäller förevarande fall ska det påpekas att de uppgifter som görs tillgängliga för allmänheten i synnerhet omfattar identitets- och kontaktuppgifter om samtliga aktieägare och uppgifter om deras aktieinnehav (aktiekategori, aktieantal och aktiernas nominella värde samt det antal rösträtter som är knutna till innehavet). Sådana uppgifter kan därmed göra det möjligt att upprätta en profil över bland annat en persons förmögenhet samt de ekonomiska sektorer och specifika företag som vederbörande investerar i (se, för ett liknande resonemang, domen i målet Luxembourg Business Registers, punkt 41).

71 Till detta kommer att det är en naturlig följd av ett sådant tillgängliggörande att dessa uppgifter då blir tillgängliga för ett potentiellt obegränsat antal personer, vilket innebär att behandlingen av dem även kan göra det möjligt för personer som – av skäl som inte har att göra med syftet med tillgängliggörandet – försöker få kännedom om bland annat en aktieägares materiella och ekonomiska situation att fritt få tillgång till dessa uppgifter. Detta blir ännu enklare när uppgifterna är tillgängliga på internet (se, för ett liknande resonemang, domen i målet Luxembourg Business Registers, punkt 42 och där angiven rättspraxis).

72 De potentiella följderna för de registrerade av ett eventuellt missbruk av deras personuppgifter förvärras dessutom av att uppgifterna, när de väl har gjorts tillgängliga för allmänheten, inte bara kan tillgås fritt, utan även kan lagras och spridas, och att det vid sådan personuppgiftsbehandling i flera led efter varandra blir ännu svårare, eller till och med omöjligt, för de registrerade att på ett effektivt sätt försvara sig mot missbruk (se, för ett liknande resonemang, domen i målet Luxembourg Business Registers, punkt 43).

73 Även om det väsentliga innehållet i rättigheterna enligt artiklarna 7 och 8 i stadgan inte påverkas, utgör det under alla omständigheter ett allvarligt ingrepp i dessa rättigheter att uppgifter av nu aktuellt slag görs tillgängliga för allmänheten (se, för ett liknande resonemang, domen i målet Luxembourg Business Registers, punkterna 44 och 45).

74 EU-domstolen konstaterar här, i likhet med vad generaladvokaten har påpekat i punkterna 50–52 i sitt förslag till avgörande, att de ändamål som Latvijas Republikas Saiema (det lettiska parlamentet) har anfört i målet vid den hänskjutande domstolen för att motivera den åtgärd som föreskrivs i den där aktuella nationella lagstiftningen (se punkt 49 ovan) kan anses utgöra mål av allmänintresse som erkänns av unionen. Det måste emellertid prövas huruvida en sådan nationell lagstiftning uppfyller kraven på lämplighet och nödvändighet, liksom kravet på att åtgärden ska stå i proportion till de eftersträvade målen, i den mening som avses i punkt 61 ovan.

75 Vad gäller det mål av allmänintresse som består i att säkerställa ett öppet företagsklimat för att skydda tredje mans intressen, påpekar EU-domstolen att detta mål i allt väsentligt verkar motsvara det mål som eftersträvas med den samordning av nationella bestämmelser som föreskrivs i artikel 14 d i direktiv 2017/1132, jämförd med skälen 7 och 8 i samma direktiv.

76 Så som framgår av punkt 46 ovan förefaller offentliggörandet av uppgifter om samtliga aktieägare i ett aktiebolag, och i synnerhet om dess minoritetsaktieägare, inte tillföra något när det gäller att uppnå detta mål. En nationell lagstiftning som den nu aktuella framstår följaktligen varken som lämplig eller nödvändig för att uppnå detta mål och kan således inte motivera det ovan i punkt 73 konstaterade allvarliga ingreppet i rättigheterna enligt artiklarna 7 och 8 i stadgan.

77 Vad gäller det mål av allmänintresse som består i att förhindra penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen, konstaterar EU-domstolen att den omständigheten att allmänheten får tillgång till uppgifter av nu aktuellt slag är ägnad att bidra till förverkligandet av detta mål. Att vem som helst kan få tillgång till sådana uppgifter leder nämligen till ökad öppenhet, vilket i sin tur bidrar till att skapa en miljö som i mindre utsträckning kan användas för sådana ändamål (se, för ett liknande resonemang, domen i målet Luxembourg Business Registers, punkt 67).

78 Ett tillgängliggörande av nyss angivet slag kan emellertid inte anses uppfylla kravet på absolut nödvändighet om det eftersträvade målet rimligen kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i rättigheterna enligt artiklarna 7 och 8 i stadgan (se, för ett liknande resonemang, dom av den 4 oktober 2024, Bezirkshauptmannschaft Landeck (Försök att bereda sig tillgång till personuppgifter som finns lagrade i en mobiltelefon), C‑548/21, EU:C:2024:830, punkt 87).

79 Bekämpande av penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen är nämligen i första hand en fråga för myndigheter och andra inrättningar som på grund av sin verksamhet har särskilda skyldigheter i detta avseende, såsom kredit- och finansinstitut (domen Luxembourg Business Registers, punkt 83). Bland sådana skyldigheter ingår de som följer av bland annat artiklarna 11 och 13 i direktiv 2015/849.

80 EU-domstolen vill i detta sammanhang påpeka följande. I artikel 30.5 i direktiv 2015/849, i dess lydelse enligt artikel 74 led 1 i direktiv 2024/1640, föreskrivs att medlemsstaterna ska se till att uppgifter om verkligt huvudmannaskap, i bestämmelsens mening, är tillgängliga i samtliga fall för bland annat ”varje person eller organisation som kan styrka ett berättigat intresse”, och inte för hela allmänheten.

81 Vidare framgår av domstolens praxis att om en lagstiftning som syftar till att uppnå det ovan i punkt 77 angivna målet föreskriver att var och en som kan visa ett berättigat intresse ska kunna ta del av de aktuella personuppgifterna, så kan en sådan villkorad tillgång i princip anses innebära att lagstiftningen uppfyller kravet på att ingreppet i rättigheterna enligt artiklarna 7 och 8 i stadgan ska begränsas till vad som är absolut nödvändigt (se, för ett liknande resonemang, dom av den 21 maj 2026, Across Fiduciaria m.fl., C‑684/24 och C‑685/24, EU:C:2026:410, punkt 106).

82 I förevarande fall rör det sig dock om minoritetsaktieägare, vilka inte är verkliga huvudmän för det bolag i vilket de innehar en del av aktiekapitalet. Av detta skäl framstår det i än mindre grad som absolut nödvändigt att var och en ska kunna ta del av personuppgifter av nu aktuellt slag utan att behöva visa ett berättigat intresse.

83 Den hänskjutande domstolen har här visserligen angett att den personuppgiftsansvarige, det vill säga det nationella bolagsregistret, kan komma att sakna möjlighet att kontrollera huruvida varje person som begär ut upplysningar faktiskt har ett berättigat intresse av att ta del av de aktuella personuppgifterna. Domstolen erinrar emellertid om att eventuella praktiska svårigheter i samband med kontrollen av huruvida det finns ett berättigat intresse inte är en omständighet som kan visa att ett ingrepp i de grundläggande rättigheter som fastslås i stadgan är absolut nödvändigt (se, analogt, dom av den 26 september 2000, kommissionen/Österrike, C‑205/98, EU:C:2000:493, punkt 78 och där angiven rättspraxis, och dom av den 27 november 2008, Papillon, C‑418/07, EU:C:2008:659, punkt 54 och där angiven rättspraxis).

84 Vad gäller den balanserade avvägning som ska göras mellan å ena sidan det eftersträvade målet av allmänintresse och å andra sidan de berörda grundläggande rättigheterna finns skäl att tillägga följande. Målet att bekämpa penningtvätt och finansiering av terrorism samt spridning av massförstörelsevapen är visserligen sådant att det, i allmänhet, skulle kunna motivera ett ingrepp, även ett allvarligt sådant, i de grundläggande rättigheterna (se, för ett liknande resonemang, domen i målet Luxembourg Business Registers, punkterna 58 och 59). I förevarande fall finner EU-domstolen dock, mot bakgrund av arten och allvaret av det ovan i punkt 73 konstaterade rättighetsingreppet, att nämnda mål inte kan anses väga tyngre än de berörda grundläggande rättigheterna.

85 I detta sammanhang ska det även påpekas att en nationell lagstiftning som den nu aktuella inte innehåller tillräckliga garantier som gör det möjligt att på ett effektivt sätt skydda de registrerade mot risken för missbruk, i den mening som avses i ovan i punkt 63 angiven rättspraxis. En omständighet som ökar risken för missbruk är nämligen att de aktuella personuppgifterna är tillgängliga på internet, vilket bland annat innebär att vilken oidentifierad användare som helst kan ladda ned dem i bulk.

86 En nationell lagstiftning som den nu aktuella förefaller följaktligen varken vara nödvändig eller proportionerlig i förhållande till det eftersträvade målet, i den mening som avses i punkt 61 ovan.

87 Slutligen ska något sägas om det mål av allmänintresse som består i att tillhandahålla den information som är nödvändig för att verkställa nationella och internationella sanktioner samt EU-sanktioner. EU-domstolen finner här att en nationell lagstiftning som den nu aktuella även är ägnad att bidra till förverkligandet av detta mål, med hänsyn till att den ökade öppenhet som denna lagstiftning leder till kan underlätta verkställandet av sådana sanktioner.

88 EU-domstolen delar dock den bedömning som generaladvokaten gjort i punkterna 60 och 61 i sitt förslag till avgörande, nämligen att det för att uppnå detta mål inte förefaller vara absolut nödvändigt att allmänheten ska kunna ta del av personuppgifter av nu aktuellt slag, eftersom det verkar finnas andra medel som är mindre ingripande i de rättigheter som garanteras i artiklarna 7 och 8 i stadgan.

89 Så som kommissionen har påpekat i sitt skriftliga yttrande skulle en sådan mindre ingripande åtgärd bland annat kunna bestå i att begränsa offentliggörandeskyldigheten till att endast omfatta uppgifter om personer som finns upptagna i sanktionsförteckningar och i att föreskriva att endast personer som kan visa ett berättigat intresse ska kunna ta del av uppgifter om aktieägare som inte finns upptagna i dessa förteckningar.

90 EU-domstolen finner dessutom, av ovan i punkterna 84 respektive 85 redan angivna skäl, att det eftersträvade målet av allmänintresse i förevarande fall inte kan anses väga tyngre än de berörda grundläggande rättigheterna. En nationell lagstiftning som den nu aktuella innehåller inte heller tillräckliga garantier som gör det möjligt att på ett effektivt sätt skydda de registrerade mot risken för missbruk.

91 En sådan lagstiftning förefaller således varken vara nödvändig eller proportionerlig i förhållande till det eftersträvade målet, i den mening som avses i punkt 61 ovan.

92 Mot bakgrund av det ovan anförda ska den tredje och den fjärde frågan besvaras på följande sätt. Artiklarna 5 och 6 i dataskyddsförordningen, jämförda med artiklarna 7 och 8 i stadgan, ska tolkas så, att de utgör hinder för en nationell lagstiftning enligt vilken personuppgifter om samtliga aktieägare i publika aktiebolag, inklusive minoritetsaktieägare, i form av identitets- och kontaktuppgifter om dessa aktieägare och i form av uppgifter om deras aktieinnehav (uppgift om aktiekategori, aktieantal och aktiernas nominella värde samt det antal rösträtter som är knutna till innehavet), ska göras tillgängliga för allmänheten, detta i syfte att säkerställa ett öppet företagsklimat för att skydda tredje mans intressen, att förhindra penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen samt att tillhandahålla information som är nödvändig för att verkställa nationella och internationella sanktioner samt EU-sanktioner, om rätten till tillgång till sådana uppgifter inte är underkastad några villkor, som till exempel att det kan visas att det finns ett berättigat intresse.

Rättegångskostnader

93 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (första avdelningen) följande:

1) Artikel 14 d i Europaparlamentets och rådets direktiv (EU) 2017/1132 av den 14 juni 2017 om vissa aspekter av bolagsrätt, i dess lydelse enligt Europaparlamentets och rådets direktiv (EU) 2019/1151 av den 20 juni 2019,

ska tolkas så,

att den inte innebär ett krav på offentliggörande av uppgifter om samtliga aktieägare i sådana bolag som avses i den bestämmelsen, inbegripet minoritetsaktieägarna i sådana bolag.

2) Artiklarna 5 och 6 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), jämförda med artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna,

ska tolkas så,

att de utgör hinder för en nationell lagstiftning enligt vilken personuppgifter om samtliga aktieägare i publika aktiebolag, inklusive minoritetsaktieägare, i form av identitets- och kontaktuppgifter om dessa aktieägare och i form av uppgifter om deras aktieinnehav (uppgift om aktiekategori, aktieantal och aktiernas nominella värde samt det antal rösträtter som är knutna till innehavet), ska göras tillgängliga för allmänheten, detta i syfte att säkerställa ett öppet företagsklimat för att skydda tredje mans intressen, att förhindra penningtvätt och finansiering av terrorism och spridning av massförstörelsevapen samt att tillhandahålla information som är nödvändig för att verkställa nationella och internationella sanktioner samt EU-sanktioner, om rätten till tillgång till sådana uppgifter inte är underkastad några villkor, som till exempel att det kan visas att det finns ett berättigat intresse.

Underskrifter

* Rättegångsspråk: lettiska.

i Förevarande mål har getts ett fiktivt namn. Detta namn är inte någon av rättegångsdeltagarnas verkliga namn.