La CGUE sulla pubblicità dei dati degli azionisti di minoranza

Il rinvio pregiudiziale proveniva dalla Corte costituzionale lettone, chiamata a valutare la compatibilità con l’art. 96 della Costituzione (tutela della vita privata e dei dati personali) di una normativa che imponeva l’iscrizione nel registro delle imprese e la conseguente piena accessibilità al pubblico – anche via Internet e con possibilità di download massivo, per utenti non identificati – dei dati degli azionisti di società per azioni, compresi gli azionisti di minoranza.

Per le persone fisiche, i dati pubblicati comprendevano nome, cognome, numero di identificazione personale (o, in mancanza, data di nascita e dati del documento di identità), indirizzo di contatto, nonché – per tutti gli azionisti – indirizzo e‑mail (se utilizzato per le comunicazioni societarie), categoria, numero e valore nominale delle azioni e numero di voti ad esse associati.

La Corte, anzitutto, esclude che tale pubblicità discenda dall’art. 14, lett. d), dir. 2017/1132. La nozione di «persone che partecipano all’amministrazione, alla vigilanza o al controllo della società» non può essere estesa agli azionisti in quanto tali, i quali non sono “nominati” o “revocati” nelle funzioni, ma acquisiscono lo status in forza della mera partecipazione al capitale.

Ne consegue che il diritto dell’Unione non impone la pubblicazione generalizzata dei dati di tutti gli azionisti e, in particolare, degli azionisti di minoranza.

In secondo luogo, la Corte valuta la compatibilità con il GDPR di una disciplina nazionale che renda liberamente accessibili tali dati, senza filtro di legittimo interesse, al fine di:

1. garantire un contesto imprenditoriale trasparente e tutelare i terzi;
2. prevenire riciclaggio, finanziamento del terrorismo e proliferazione;
3. facilitare l’attuazione di sanzioni nazionali, internazionali e UE.

Richiamando i principi di limitazione delle finalità e minimizzazione dei dati (art. 5, par. 1, lett. b) e c), GDPR) e le condizioni di liceità del trattamento (art. 6 GDPR), la Corte qualifica come «grave ingerenza» nei diritti di cui agli artt. 7 e 8 Carta la messa a disposizione indiscriminata di tali informazioni via Internet, con possibilità di conservazione e ulteriore diffusione da parte di chiunque.

La Corte riconosce che gli obiettivi perseguiti sono di interesse generale, ma ritiene che la pubblicità indiscriminata non sia né idonea né necessaria, né proporzionata. Per la prevenzione del riciclaggio e il contrasto al finanziamento del terrorismo, essa richiama la direttiva 2015/849 come modificata, che prevede l’accesso alle informazioni sulla titolarità effettiva per soggetti che dimostrino un legittimo interesse, non per il pubblico indistinto.

Analogamente, per l’attuazione delle sanzioni, la Corte indica soluzioni meno invasive (es. limitare la pubblicazione ai soggetti effettivamente sanzionati, o subordinare l’accesso ai dati di altri azionisti alla dimostrazione di un legittimo interesse), sottolineando l’assenza di adeguate garanzie contro abusi e usi distorti dei dati.

La decisione impone agli Stati membri una revisione critica delle discipline interne che prevedono la pubblicità generalizzata dei dati degli azionisti persone fisiche, specie di minoranza, alla luce dei canoni di stretta necessità e proporzionalità dettati dal RGPD e dalla Carta.