Sentencia del Tribunal de Justicia en el asunto C-798/24 | [Jautiva]

El Derecho de la Unión no exige la publicación de información sobre todos los accionistas, incluidos los accionistas minoritarios, de una sociedad anónima. Además, el Derecho de la Unión se opone a la publicación en línea de datos personales relativos a dichos accionistas cuando el acceso a esos datos no esté supeditado a ningún requisito, como la demostración de un interés legítimo, y ello incluso si dicha publicación persigue un objetivo de interés general reconocido por la Unión.

El Tribunal Constitucional de Letonia recibió un recurso de inconstitucionalidad interpuesto por diecisiete accionistas minoritarios de una sociedad anónima, en el que se cuestiona la conformidad con el derecho al respeto de la vida privada y a la protección de los datos personales -garantizado por la Constitución letona- de una disposición nacional que obliga a poner a disposición del público determinada información relativa a los accionistas de sociedades anónimas.

Si dicho accionista es una persona física, esta información incluye su nombre, apellidos, número de identificación personal o, en su defecto, su fecha de nacimiento, el número y la fecha de expedición del documento de identidad, el país y la autoridad de expedición de dicho documento, y una dirección de contacto. Además, e independientemente de si el accionista es una persona física, dicha información incluye también la dirección de correo electrónico del accionista, la categoría, el número y el valor nominal de sus acciones, y el número de votos asociados a esas acciones. Se puede acceder a esa información en línea y puede descargarse de forma masiva, incluso por cualquier usuario no identificado.

Los demandantes sostienen que el legislador letón no justificó la necesidad de publicar esta información, y destacan que existe un riesgo elevado de que se utilice con fines deshonestos. Afirman que, tras su publicación, no es posible restringir su uso posterior. Invocan, en particular, la sentencia del Tribunal de Justicia de 22 de noviembre de 2022, Luxembourg Business Registers, relativa al acceso del público en general a la información sobre la titularidad real de las sociedades.

Según el Tribunal Constitucional de Letonia, en este caso concreto, dicha publicación perseguiría tres objetivos, a saber, en primer término, garantizar un entorno empresarial transparente para proteger los intereses de terceros; en segundo término, prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y, en tercer término, facilitar la información necesaria para la aplicación de las sanciones nacionales, internacionales y de la Unión Europea.

Al albergar dudas sobre la existencia de una obligación de publicación impuesta por el Derecho de la Unión y, en particular, por la Directiva 2017/1132, el Tribunal Constitucional de Letonia planteó una petición de decisión prejudicial al Tribunal de Justicia. Esta cuestión prejudicial se refiere también a si el Reglamento General de Protección de Datos (RGPD) se opone a una normativa nacional que exige que se pongan a disposición del público los datos personales relativos a todos los accionistas, incluidos los accionistas minoritarios, de las sociedades anónimas, con el fin de alcanzar los tres objetivos mencionados anteriormente, cuando el acceso a dichos datos no esté supeditado a ningún requisito, como la demostración de un interés legítimo.

En su sentencia de hoy, el Tribunal de Justicia considera, de entrada, que, habida cuenta de su redacción, del contexto en el que se inscribe y de los objetivos que persigue, la disposición pertinente de la Directiva 2017/1132 no exige la publicación de información relativa a todos los accionistas de las sociedades anónimas, incluidos los accionistas minoritarios de dichas sociedades.

A continuación, por lo que respecta a la interpretación del RGPD, el Tribunal de Justicia recuerda que los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados en los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad y ponderarse con otros derechos fundamentales. Así pues, pueden introducirse limitaciones, siempre que sean establecidas por la ley y respeten el contenido esencial de los derechos fundamentales y el principio de proporcionalidad.

En el presente asunto, según el Tribunal de Justicia, la puesta a disposición del público de los datos en cuestión está prevista por la ley y no vulnera el contenido esencial de los derechos fundamentales afectados. No obstante, constituye una injerencia grave en esos derechos. De hecho, tales datos pueden permitir elaborar un perfil sobre, entre otras cosas, la situación patrimonial del accionista en cuestión y sobre los sectores económicos y empresas específicos en los que invierte. Además, dichos datos son accesibles a un número potencialmente ilimitado de personas, de modo que su tratamiento también puede permitir el libre acceso a esos datos por parte de personas que, por razones ajenas al objetivo perseguido por dicha puesta a disposición, pretendan informarse sobre la situación, en particular, material y económica, del accionista. Las consecuencias que para las personas afectadas podrían derivarse de una posible utilización abusiva de sus datos personales se ven agravadas por el hecho de que esos datos, una vez puestos a disposición del público en general, no solo pueden ser libremente consultados, sino también conservados y difundidos.

A este respecto, en lo que se refiere al objetivo consistente en garantizar un entorno empresarial transparente para proteger los intereses de terceros, el Tribunal de Justicia considera que la publicación de datos relativos a todos los accionistas de una sociedad anónima y, en particular, a sus accionistas minoritarios, no parece presentar utilidad alguna para este objetivo. Por consiguiente, la normativa nacional en cuestión no parece ni idónea ni necesaria para alcanzar dicho objetivo.

En cuanto a los otros dos objetivos, consistentes, respectivamente, en prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y en proporcionar la información necesaria para la aplicación de sanciones nacionales, internacionales y de la Unión, el Tribunal de Justicia constata que la normativa nacional en cuestión no parece ni necesaria ni proporcionada en relación con dichos objetivos. Señala, en particular, que, por lo que respecta a los accionistas de las sociedades, incluidos los minoritarios, no parece estrictamente necesario que sus datos sean accesibles a cualquier persona sin que esta tenga que demostrar un interés legítimo, puesto que existen medios menos lesivos, como la limitación del acceso a las personas que justifiquen dicho interés, combinado, por lo que respecta al objetivo relativo a la aplicación de las sanciones, con la restricción de la obligación de publicación únicamente a los datos relativos a las personas que figuran en listas de sanciones.

El Tribunal de Justicia señala además que la normativa nacional en cuestión no va acompañada de garantías suficientes que permitan proteger eficazmente a las personas afectadas contra los riesgos de abuso, dado que sus datos son accesibles en Internet y pueden ser objeto de descargas masivas, en particular por parte de cualquier usuario no identificado.

SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Primera)

de 3 de septiembre de 2026 (*)

“ Procedimiento prejudicial - Protección de las personas físicas en lo que respecta al tratamiento de datos personales - Reglamento (UE) 2016/679 - Artículo 5 - Principios relativos al tratamiento de datos personales - Artículo 6 - Licitud del tratamiento - Derecho de sociedades - Directiva (UE) 2017/1132 - Artículo 14 - Actos e indicaciones que deben ser publicados - Concepto de “personas que participan en la administración, la vigilancia o el control de una sociedad” - Puesta a disposición del público de datos personales relativos a los accionistas de sociedades anónimas - Accionistas minoritarios “

En el asunto C-798/24, [Jautiva], (i)

que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por la Satversmes tiesa (Tribunal Constitucional, Letonia), mediante resolución de 14 de noviembre de 2024, recibida en el Tribunal de Justicia el 19 de noviembre de 2024, en el procedimiento entre

A y otros

con intervención de:

Latvijas Republikas Saeima,

EL TRIBUNAL DE JUSTICIA (Sala Primera),

integrado por el Sr. F. Biltgen, Presidente de Sala, y el Sr. T. von Danwitz (Ponente), Vicepresidente del Tribunal de Justicia, y los Sres. A. Kumin, S. Gervasoni y M. Bonjak, Jueces;

Abogado General: Sr. R. Norkus;

Secretario: Sr. A. Calot Escobar;

habiendo considerado los escritos obrantes en autos;

consideradas las observaciones presentadas:

- en nombre de A y otros, por el Sr. L. Liepa, advokāts;

- en nombre del Gobierno letón, por las Sras. J. Davidoviča y K. Pommere, en calidad de agentes;

- en nombre del Gobierno polaco, por el Sr. B. Majczyna, en calidad de agente;

- en nombre del Gobierno finlandés, por la Sra. A. Laine, en calidad de agente;

- en nombre del Gobierno sueco, por la Sra. C. Meyer-Seitz, en calidad de agente;

- en nombre del Gobierno noruego, por el Sr. K. E. M. Skjelland y la Sra. B. Stankovic, en calidad de agentes;

- en nombre del Parlamento Europeo, por el Sr. G. Corstens y las Sras. M. Migliorati y L. Ruppeka-Rupeika, en calidad de agentes;

- en nombre del Consejo de la Unión Europea, por la Sra. L. Bergere, el Sr. N. Coghlan y la Sra. A.‑L. Meyer, en calidad de agentes;

- en nombre de la Comisión Europea, por los Sres. A. Bouchagiar, H. Kranenborg, I. Naglis y M. Noll-Ehlers, en calidad de agentes;

oídas las conclusiones del Abogado General, presentadas en audiencia pública el 18 de diciembre de 2025;

dicta la siguiente

Sentencia

1 La petición de decisión prejudicial tiene por objeto, por un lado, la interpretación del artículo 14, letra d), inciso ii), de la Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, de 14 de junio de 2017, sobre determinados aspectos del Derecho de sociedades (DO 2017, L 169, p. 46), en su versión modificada por la Directiva (UE) 2019/1151 del Parlamento Europeo y del Consejo, de 20 de junio de 2019 (DO 2019, L 186, p. 80) (en lo sucesivo, “Directiva 2017/1132”), y la validez de esta disposición a la luz de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, “Carta”), y, por otro lado, la interpretación del artículo 5, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, “RGPD”).

2 Esta petición se inscribe en el marco de un recurso de inconstitucionalidad interpuesto por personas físicas que cuestionan la conformidad con la Latvijas Republikas Satversme (Constitución de la República de Letonia) de una normativa nacional que obliga a poner a disposición del público datos personales relativos a los accionistas de sociedades anónimas.

Marco jurídico

Derecho de la Unión Europea

Carta

3 El artículo 7 de la Carta, titulado “Respeto de la vida privada y familiar”, dispone:

“Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de sus comunicaciones.”

4 El artículo 8 de la Carta, titulado “Protección de datos de carácter personal”, establece:

“1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación.

3. El respeto de estas normas estará sujeto al control de una autoridad independiente.”

5 El artículo 52 de la Carta, titulado “Alcance e interpretación de los derechos y principios”, dispone, en su apartado 1:

“Cualquier limitación del ejercicio de los derechos y libertades reconocidos por la presente Carta deberá ser establecida por la ley y respetar el contenido esencial de dichos derechos y libertades. Dentro del respeto del principio de proporcionalidad, solo podrán introducirse limitaciones cuando sean necesarias y respondan efectivamente a objetivos de interés general reconocidos por la Unión [Europea] o a la necesidad de protección de los derechos y libertades de los demás.”

RGPD

6 Los considerandos 1 y 10 del RGPD señalan:

“(1) La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental. El artículo 8, apartado 1, de la [Carta] y el artículo 16 [TFUE, apartado 1,] establecen que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

[]

(10) Para garantizar un nivel uniforme y elevado de protección de las personas físicas y eliminar los obstáculos a la circulación de datos personales dentro de la Unión, el nivel de protección de los derechos y libertades de las personas físicas por lo que se refiere al tratamiento de dichos datos debe ser equivalente en todos los Estados miembros. Debe garantizarse en toda la Unión que la aplicación de las normas de protección de los derechos y libertades fundamentales de las personas físicas en relación con el tratamiento de datos de carácter personal sea coherente y homogénea. []”

7 En virtud de su artículo 1, apartado 2, el RGPD protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.

8 A tenor de su artículo 2, apartado 1, el RGPD se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

9 El artículo 4 del RGPD, titulado “Definiciones”, dispone:

“A efectos del presente Reglamento se entenderá por:

1) “datos personales”: toda información sobre una persona física identificada o identificable []; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

2) “tratamiento” cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;

[]”.

10 El artículo 5 del RGPD, titulado “Principios relativos al tratamiento”, dispone lo siguiente en su apartado 1:

“Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);

b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales (“limitación de la finalidad”);

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);

[]”.

11 El artículo 6 del RGPD, titulado “Licitud del tratamiento”, prevé, en sus apartados 1 y 3:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

[]

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

[]

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

a) el Derecho de la Unión, o

b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.”

Directiva 2017/1132

12 Los considerandos 7 y 8 de la Directiva 2017/1132 exponen lo siguiente:

“(7) La coordinación de las disposiciones nacionales relativas a la publicidad, la validez de los compromisos de las sociedades por acciones y las sociedades de responsabilidad limitada y la nulidad de estas reviste una importancia especial, en particular con miras a asegurar la protección de los intereses de terceros.

(8) La publicidad debe permitir a los terceros conocer los actos esenciales de la sociedad y ciertas indicaciones relativas a ella, en particular la identidad de las personas que tienen el poder de obligarla.”

13 A tenor del artículo 1 de dicha Directiva, con el epígrafe “Objeto”:

“La presente Directiva establece medidas en relación con lo siguiente:

- la coordinación, para hacerlas equivalentes, de las garantías que, para proteger los intereses de socios y terceros, se exigen en los Estados miembros a las sociedades definidas en el artículo 54, párrafo segundo, del Tratado, en lo relativo a la constitución de sociedades anónimas, así como al mantenimiento y modificaciones de su capital,

- la coordinación, para hacerlas equivalentes, de las garantías que, para proteger los intereses de socios y terceros, se exigen en los Estados miembros a las sociedades definidas en el artículo 54, párrafo segundo, del Tratado, en lo relativo a la publicidad, a la validez de las obligaciones contraídas por las sociedades por acciones y las sociedades de responsabilidad limitada, y a la nulidad de dichas sociedades,

[]”.

14 El artículo 4 de la citada Directiva, titulado “Información obligatoria que ha de incluirse en los estatutos, en la escritura de constitución o en un documento separado”, establece lo siguiente:

“Figurarán al menos las siguientes indicaciones en los estatutos, o bien en la escritura de constitución, o bien en un documento separado que sea objeto de publicidad según las formas previstas por la legislación de cada Estado miembro, de conformidad con el artículo 16:

[]

i) la identidad de las personas físicas o jurídicas o de las sociedades que hayan firmado o en nombre de quienes se hayan firmado los estatutos o la escritura de constitución o, cuando la constitución de la sociedad no fuese simultánea, los proyectos de estatutos o de la escritura de constitución;

[]”.

15 El artículo 13 de la misma Directiva, titulado “Ámbito de aplicación”, establece:

“Las medidas de coordinación prescritas en la presente sección y en la sección 1[A] se aplicarán a las disposiciones legales, reglamentarias y administrativas de los Estados miembros relativas a los tipos de sociedades enumerados en el anexo II y, cuando se especifique, a los tipos de sociedades enumeradas en los anexos I y II [bis].”

16 El anexo II de la Directiva 2017/1132, que enumera las formas de las sociedades a que se refiere, en particular, el artículo 13 de esta última, remite, para Letonia, a las “akciju sabiedrība, sabiedrība ar ierobeotu atbildību, komanditsabiedrība”, a saber, las sociedades anónimas, las sociedades de responsabilidad limitada y las sociedades comanditarias por acciones.

17 El artículo 14 de esta Directiva, titulado “Actos e indicaciones que deben publicar las sociedades”, dispone:

“Los Estados miembros tomarán las medidas necesarias para que la publicidad obligatoria relativa a las sociedades se refiera al menos a los actos e indicaciones siguientes:

a) la escritura de constitución y los estatutos, si fueran objeto de un acto separado;

[]

d) el nombramiento, el cese de funciones, así como la identidad de las personas que, como órgano legalmente previsto, o como miembros de tal órgano:

i) tengan el poder de obligar a la sociedad con respecto a terceros y representarla en juicio; las medidas de publicidad precisarán si las personas que tengan poder de obligar a la sociedad pueden hacerlo por sí solas o deben hacerlo conjuntamente,

ii) participen en la administración, la vigilancia o el control de la sociedad;

[]”.

18 El artículo 16, apartado 3, de dicha Directiva prevé:

“Los Estados miembros se asegurarán de que se da publicidad a los documentos e información mencionados en el artículo 14 poniéndolos a disposición del público en el [registro central, mercantil o de sociedades]. [].”

19 Los artículos 64, apartado 3, y 95, apartado 2, de la misma Directiva se refieren a las obligaciones del órgano de administración o de dirección de la sociedad frente a la junta general, respectivamente, en materia de ayuda financiera concedida por una sociedad para la adquisición de sus propias acciones por un tercero y en materia de fusión por absorción.

Directiva (UE) 2015/849

20 Los artículos 11 y 13 de la Directiva (UE) 2015/849 del Parlamento Europeo y del Consejo, de 20 de mayo de 2015, relativa a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, y por la que se modifica el Reglamento (UE) n.º 648/2012 del Parlamento Europeo y del Consejo, y se derogan la Directiva 2005/60/CE del Parlamento Europeo y del Consejo y la Directiva 2006/70/CE de la Comisión (DO 2015, L 141, p. 73, con corrección de errores en DO 2018, L 129, p. 84), en su versión modificada por la Directiva (UE) 2024/1640 del Parlamento Europeo y del Consejo, de 31 de mayo de 2024 (DO L, 2024/1640) (en lo sucesivo, “Directiva 2015/849”), precisan las medidas de diligencia debida que las entidades obligadas deben aplicar con respecto al cliente.

21 El artículo 30, apartado 5, de la Directiva 2015/849 dispone:

“Los Estados miembros garantizarán que la información sobre la titularidad real esté en todos los casos a disposición de:

[]

c) cualquier persona u organización que pueda acreditar un interés legítimo.

Se permitirá a las personas y organizaciones a que se refiere la letra c) del párrafo primero el acceso, como mínimo, al nombre y apellidos, mes y año de nacimiento, país de residencia y de nacionalidad del titular real, así como a la naturaleza y alcance del interés real que tenga.”

Derecho letón

Constitución de la República de Letonia

22 El artículo 96 de la Constitución de la República de Letonia consagra, en particular, el derecho al respeto de la vida privada. Según la jurisprudencia de la Satversmes tiesa (Tribunal Constitucional, Letonia), el alcance de este artículo se extiende a la protección de los datos personales.

Código de Comercio

23 El artículo 8 del Komerclikums (Código de Comercio), titulado “Contenido de las inscripciones en el Registro Mercantil”, establece, en su apartado 3, puntos 3 y 4, lo siguiente:

“(3) La información relativa a las sociedades de capital que debe inscribirse en el Registro Mercantil es la siguiente:

[]

3) el nombre, los apellidos, el número de identificación personal (a falta de número de identificación personal, la fecha de nacimiento, el número del documento de identidad, y la fecha, el país y la autoridad de expedición de dicho documento) y el cargo de los miembros del consejo de dirección de la sociedad de capital y de los miembros del consejo de control (cuando la sociedad de capital disponga de tal consejo);

4) la facultad de los miembros del consejo de dirección de contraer obligaciones en nombre de la empresa, individual o conjuntamente;

[]”.

24 El artículo 12 del Código de Comercio, titulado “Publicidad en el Registro Mercantil”, dispone:

“(1) Las inscripciones en el Registro Mercantil podrán oponerse frente a terceros desde el momento en que se hayan publicado. []

[]”

25 El artículo 235 de dicho Código, titulado “Información que debe inscribirse en el registro de accionistas”, establece:

“(1) En cada inscripción del registro de accionistas deberán constar la denominación social, el número de registro y el domicilio social de la sociedad, así como la circunstancia, en su caso, de que la sociedad es objeto de un procedimiento de liquidación o insolvencia, y el título del documento “Inscripción en el registro de accionistas”, junto con las siguientes indicaciones:

1) el número de referencia y la fecha de la inscripción;

2) el número de referencia del registro, utilizando una numeración consecutiva desde la primera inscripción en el registro de accionistas;

3) los números de referencia de las acciones;

4) datos relativos a los accionistas:

a) en el caso de personas físicas, el nombre, los apellidos, el número de identificación personal (a falta de número de identificación personal, la fecha de nacimiento, el número del documento de identidad, y la fecha, país y autoridad de expedición de dicho documento) y una dirección de contacto,

b) en el caso de personas jurídicas y sociedades de personas, su nombre, número de registro y domicilio social;

5) la dirección de correo electrónico del accionista, si este ha solicitado que la sociedad la utilice para comunicarse con él;

6) la clase, número y valor nominal de las acciones de cada accionista, así como el número de votos asociados a ellas;

7) la situación relativa al pago de las acciones;

8) los datos del representante conjunto de los accionistas designado con arreglo al procedimiento establecido en el artículo 157 de este Código, con indicación de la información a que se refieren los puntos 4 y 5 del apartado 1 de este artículo;

9) información sobre las acciones adquiridas por la propia sociedad, con indicación de los motivos de su adquisición.

[]”

26 A tenor del artículo 268 del mismo Código, titulado “Competencia de la junta general de accionistas”:

“(1) La junta general de accionistas será la única que tendrá derecho a tomar decisiones relativas a:

1) las cuentas anuales de la sociedad;

2) la aplicación de los beneficios del ejercicio anterior;

3) la elección y el cese de los miembros del consejo de control, los auditores y los liquidadores;

4) la interposición de recursos contra los miembros del consejo de dirección y del consejo de control, así como contra el auditor de cuentas, o la renuncia a dicha acción, y el nombramiento de un representante de la sociedad para dar continuidad las acciones contra los miembros del consejo de control;

[]

6) la modificación de los estatutos de la sociedad;

7) el aumento o la reducción del capital social;

8) la emisión y la conversión de los valores de la sociedad, así como el depositario central de valores en el que se inscriben las acciones desmaterializadas de la sociedad;

9) la determinación de la retribución de los miembros del consejo de control y del auditor;

10) el cese, la continuación, la suspensión o la renovación de las actividades de la sociedad o la reorganización de la sociedad;

11) los principios generales, los tipos y los criterios de determinación de la retribución de los miembros del consejo de dirección y del consejo de control;

12) la atribución de acciones de la sociedad a los trabajadores y a los miembros del consejo de dirección y del consejo de control.

(2) La junta general de accionistas solo tomará decisiones sobre otros asuntos si así lo dispone la ley.”

Ley del Registro Mercantil

27 El artículo 4.10 del likums “Par Latvijas Republikas Uzņēmumu reģistru” (Ley del Registro Mercantil de la República de Letonia) (en lo sucesivo, “Ley del Registro Mercantil”), titulado “Derecho de acceso a la información del Registro Mercantil”, establece, en su párrafo quinto, lo siguiente:

“El Registro Mercantil facilitará gratuitamente la información y los documentos contenidos en la parte pública del expediente de registro (artículo 4.15, párrafo primero) mediante su transmisión en línea, lo que incluye, en particular, la descarga masiva de datos.”

28 El artículo 4.11 de esta Ley, titulado “Información que debe publicarse en el sitio web del Registro Mercantil”, dispone, en su párrafo primero, punto 2:

“El Registro Mercantil garantizará que los usuarios no identificados tengan acceso público a la versión más reciente (actualizada) de la siguiente información de su sitio web relativa a personas jurídicas y hechos jurídicos que consten inscritos en el Registro Mercantil:

[]

2) otra información inscrita en el Registro.”

29 El artículo 4.15 de dicha Ley, titulado “Partes pública y no pública del expediente de registro”, dispone:

“La parte pública del expediente de registro incluirá:

[]

2) otra información inscrita en el Registro:

[]

b) los datos procedentes de la inscripción del registro de accionistas (socios) de una sociedad de capital relativos a los accionistas (socios) de dicha sociedad []

3) los siguientes documentos que forman parte del expediente de registro:

a) en el Registro Mercantil: [] la inscripción del registro de accionistas (socios), []

Los documentos y la información que figuren en el expediente de registro y que no estén contemplados en el párrafo primero del presente artículo se incluirán en la parte no pública del expediente de registro.

Cuando se haya concedido a una inscripción en el registro o a una información registrada el estatuto de información restringida o su disponibilidad para el público haya sido restringida por la legislación, se incluirá en la parte no pública del expediente de registro.

La información y los documentos que figuran en la parte no pública del expediente de registro ([párrafos segundo y tercero] del presente artículo) constituyen información restringida y pueden ser obtenidos por las autoridades policiales y judiciales para la ejecución de las tareas especificadas en las leyes y reglamentos, así como, sin restricciones, por el [Finanu izlūkoanas dienests (Servicio de Inteligencia Financiera, Letonia)] y las autoridades de vigilancia y control en el ámbito de la prevención del blanqueo de capitales y de la financiación del terrorismo y de la proliferación, mientras que otras instituciones podrán obtenerlos previa presentación de una solicitud motivada. Los particulares deberán solicitar la información y los documentos de la parte no pública del expediente de registro de conformidad con el procedimiento de solicitud de información restringida previsto en la [Informācijas atklātības likums (Ley sobre la Libertad de Información)].”

Ley de Prevención del Blanqueo de Capitales

30 El artículo 5.1 del Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēanas novēranas likums (Ley de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo y de la Proliferación) (en lo sucesivo, “Ley de Prevención del Blanqueo de Capitales”), titulado “Acceso a la información necesaria para el cumplimiento de los requisitos legales procedente de los sistemas de información de la República de Letonia”, establece, en su apartado 1:

“Con el fin de cumplir las obligaciones que les incumben en virtud de la presente Ley, las entidades obligadas y las autoridades de vigilancia y control tendrán derecho a solicitar y obtener en línea fichas e información sobre los miembros y los titulares reales que figuren en los registros que lleve el Registro Mercantil de la República de Letonia, a conservar y tratar dicha información con el fin de evaluar los datos sobre el cliente y sus socios comerciales y la necesidad de informar de una transacción sospechosa al Servicio de Inteligencia Financiera o de abstenerse de realizar tal transacción y de determinar si el cliente está incurso en un procedimiento de insolvencia de personas jurídicas o ha sido sometido a administración judicial.”

Ley sobre Sanciones Nacionales e Internacionales

31 El artículo 5 del Starptautisko un Latvijas Republikas nacionālo sankciju likums (Ley sobre Sanciones Nacionales e Internacionales de la República de Letonia) (en lo sucesivo, “Ley sobre Sanciones Internacionales y Nacionales”), titulado “Restricciones económicas”, establece:

“Cuando las sanciones nacionales impongan restricciones económicas a la persona sancionada, todas las personas, en el ámbito de sus competencias, estarán obligadas, de forma inmediata y sin notificación previa, a:

1) inmovilizar todos los fondos y recursos económicos que, directa o indirectamente, en su totalidad o en parte, sean propiedad de la persona sancionada, o que estén en su poder, bajo su tenencia o bajo su control, incluidos los terceros que actúen en su nombre o bajo su dirección;

2) no poner fondos y recursos económicos, directa o indirectamente, a disposición de la persona sancionada, incluidos terceros que actúen en su nombre, bajo su dirección o en su beneficio;

3) no prestar los servicios financieros a los que se refieren las sanciones nacionales a la persona sancionada, incluidos los terceros que actúen en su nombre, bajo su dirección o en su beneficio.”

Litigio principal y cuestiones prejudiciales

32 Diecisiete personas físicas interpusieron ante la Satversmes tiesa (Tribunal Constitucional), que es el órgano jurisdiccional remitente, un recurso en el que cuestionaban la conformidad con el artículo 96 de la Constitución de la República de Letonia, que garantiza el derecho al respeto de la vida privada y la protección de los datos personales, de una normativa nacional, a saber, el artículo 4.15, párrafo primero, punto 2, letra b), de la Ley del Registro Mercantil, en relación con el artículo 4.10, párrafo quinto, de dicha Ley y el artículo 235, apartado 1, del Código de Comercio.

33 En virtud de esta normativa, determinada información relativa a los accionistas de sociedades anónimas se pone a disposición del público. Si dicho accionista es una persona física, esta información incluye su nombre, apellidos, número de identificación personal o, en su defecto, su fecha de nacimiento, el número y la fecha de expedición del documento de identidad, el país y la autoridad de expedición de dicho documento, y una dirección de contacto. Además, e independientemente de si el accionista es una persona física, esa información incluye también la dirección de correo electrónico del accionista, cuando este haya solicitado que la sociedad de la que es accionista la utilice para comunicarse con él, la categoría, el número y el valor nominal de sus acciones, y el número de votos asociados a esas acciones. Se puede acceder a esa misma información en línea y puede descargarse de forma masiva, incluso por cualquier usuario no identificado, tal y como establece el artículo 4.11, párrafo primero, punto 2, de la Ley del Registro Mercantil.

34 Los demandantes en el litigio principal son accionistas minoritarios de una sociedad anónima. Sostienen que el legislador letón no apreció ni justificó la necesidad de publicar la información de que se trata; y señalan que, tras la publicación, no es posible restringir su uso posterior, y que existe un riesgo elevado de que se utilice con fines deshonestos. Afirman que, en cualquier caso, a la luz de la sentencia de 22 de noviembre de 2022, Luxembourg Business Registers (C-37/20 y C-601/20, en lo sucesivo, “sentencia Luxembourg Business Registers”, EU:C:2022:912), la divulgación de esa información es injustificada y desproporcionada, habida cuenta de que los demandantes en el litigio principal no son ni los titulares reales de la sociedad de que se trata ni miembros de los órganos de dirección de dicha sociedad, y que no tienen ni el derecho ni la posibilidad de ejercer control alguno sobre la citada sociedad.

35 A este respecto, el órgano jurisdiccional remitente se pregunta, por un lado, si la publicación de los datos personales objeto del litigio del que conoce es obligatoria en virtud de la Directiva 2017/1132 y, en particular, de su artículo 14, letra d), inciso ii), que se refiere a los actos o indicaciones relativos a las personas que participan en la administración, la vigilancia o el control de la sociedad. De ser así, dicho órgano jurisdiccional considera que sería necesario comprobar la validez de tal obligación de publicación a la luz de los artículos 7 y 8 de la Carta.

36 Por otro lado, dicho órgano jurisdiccional se pregunta si un Estado miembro puede, sin infringir las disposiciones del RGPD -en particular su artículo 5, apartado 1- y de la Carta, establecer en su Derecho nacional tal obligación de publicación con el fin de alcanzar objetivos como los invocados por la Latvijas Republikas Saeima (Parlamento letón), a saber, en primer término, garantizar un entorno empresarial transparente y proteger los intereses de terceros; en segundo término, prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y, en tercer término, facilitar la información necesaria para la aplicación de las sanciones nacionales, internacionales y de la Unión. En este contexto, el órgano jurisdiccional remitente señala que el acceso a los datos de que se trata no está supeditado a ningún requisito como, en particular, la demostración de un interés legítimo.

37 En este contexto, la Satversmes tiesa (Tribunal Constitucional) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:

“1. ¿Debe interpretarse el concepto de personas que “participen en la administración, la vigilancia o el control de la sociedad” que figura en el artículo 14, letra d), de la Directiva 2017/1132 en el sentido de se refiere a cualquier accionista de una sociedad anónima, de modo que un Estado miembro está obligado a publicar la información relativa a cada accionista de una sociedad anónima y a ponerla a disposición del público en el Registro de conformidad con el artículo 16, apartado 3, de la Directiva 2017/1132?

2) En caso de respuesta afirmativa a la primera cuestión, ¿es válido, a la luz del derecho al respeto de la vida privada y familiar garantizado por el artículo 7 de la Carta y del derecho a la protección de los datos de carácter personal garantizado por el artículo 8 de esta, el artículo 14, letra d), inciso ii), de la Directiva 2017/1132, en la medida en que dispone que se publiquen indicaciones relativas a cada accionista de una sociedad anónima?

3) ¿Debe interpretarse el artículo 5, apartado 1, letra b), del [RGPD] en el sentido de que el tratamiento de datos personales de los accionistas de una sociedad anónima puede tener como fin, en primer lugar, garantizar un entorno empresarial transparente y proteger los intereses de terceros; en segundo lugar, prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación y, en tercer lugar, facilitar la información necesaria para la ejecución de sanciones nacionales, internacionales y de la Unión Europea?

4) ¿Permiten los principios establecidos en el artículo 5, apartado 1, del [RGPD], a efectos de los fines antes mencionados, el establecimiento de una normativa nacional en virtud de la cual cualquier persona puede obtener los datos personales de cualquier accionista de una sociedad anónima, sin estar obligada a demostrar un interés legítimo en la obtención de tales datos?”

Sobre las cuestiones prejudiciales

Primera cuestión prejudicial

38 Mediante su primera cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 14, letra d), de la Directiva 2017/1132 debe interpretarse en el sentido de que exige la publicación de información sobre todos los accionistas de las sociedades a las que se refiere dicha disposición, incluidos los accionistas minoritarios de tales sociedades.

39 En virtud de la citada disposición, que se aplica a las formas de sociedades a que se refiere el artículo 13 de la Directiva 2017/1132, a saber, las enumeradas, en particular, en el anexo II de dicha Directiva, los Estados miembros deben tomar las medidas necesarias para que estas sociedades publiquen obligatoriamente al menos los actos e indicaciones relativos al nombramiento, al cese de funciones, así como a la identidad de las personas que, como órgano legalmente previsto o como miembros de dicho órgano, tengan el poder de obligar a la sociedad con respecto a terceros y de representarla en juicio, o que participen en la administración, la vigilancia o el control de la sociedad.

40 A este respecto, procede recordar que, según reiterada jurisprudencia, una disposición del Derecho de la Unión que no incluya una remisión expresa al Derecho de los Estados miembros para determinar su sentido y su alcance normalmente debe ser objeto en toda la Unión de una interpretación autónoma y uniforme que tenga en cuenta no solo su tenor, sino también su contexto y los objetivos perseguidos por la normativa de la que forma parte (véanse, en este sentido, las sentencias de 18 de enero de 1984, Ekro, 327/82, EU:C:1984:11, apartado 11, y de 18 de diciembre de 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge, C-417/23, EU:C:2025:1017, apartado 76).

41 Por lo que respecta al tenor del artículo 14, letra d), de la Directiva 2017/1132, procede señalar que esta disposición no se refiere expresamente ni a los accionistas ni a la junta general de accionistas. Además, dicha disposición hace referencia al “nombramiento”, al “cese de funciones” y a la “identidad” de las personas que, como órgano legalmente previsto, o como miembros de tal órgano, tengan el poder de obligar a la sociedad con respecto a terceros y representarla en juicio o participen en la administración, la vigilancia o el control de la sociedad. Pues bien, como han señalado los Gobiernos letón y polaco, el Parlamento Europeo, el Consejo de la Unión Europea y la Comisión Europea en sus observaciones escritas, los accionistas de una sociedad no son nombrados ni cesados. En efecto, su estatuto se deriva únicamente de su participación en el capital social de una sociedad, a saber, de su derecho de propiedad sobre acciones emitidas por dicha sociedad, y se distingue, a este respecto, del de las personas designadas para formar parte de los órganos de administración y de dirección de dicha sociedad y para representarla en sus relaciones con terceros.

42 Por lo que respecta al contexto en el que se inscribe la citada disposición, cabe señalar que varias disposiciones de la Directiva 2017/1132, como los artículos 64, apartado 3, y 95, apartado 2, de esta Directiva, reflejan la distinción terminológica, efectuada por el legislador de la Unión, entre los órganos de administración y de dirección, por un lado, y la junta general de accionistas, por otro. Así, aunque dicha junta general ostente ciertas prerrogativas de decisión, estas no tienen la misma naturaleza que las facultades ejercidas por los órganos de administración y de dirección de la sociedad, de modo que ni los actos de la junta general ni, a través de ella, los de sus miembros pueden calificarse de “participación”, en el sentido del artículo 14, letra d), inciso ii), de la citada Directiva.

43 Además, si bien el artículo 14, letra a), de la Directiva 2017/1132, que debe interpretarse en relación con el artículo 4, letra i), de la misma Directiva, exige la publicación de la escritura de constitución y de los estatutos de una sociedad anónima -documentos que deben mencionar la identidad de sus firmantes, que pueden incluir a los accionistas originales de dicha sociedad-, ninguna disposición de la citada Directiva exige expresamente la publicación en caso de modificación posterior de la composición del accionariado de dicha sociedad.

44 Por lo que respecta a los objetivos perseguidos por la Directiva 2017/1132, de los considerandos 7 y 8 y del artículo 1 de la misma Directiva se desprende que la publicidad prevista por esta tiene por objeto proteger, en particular, los intereses de terceros en relación con las sociedades por acciones y las sociedades de responsabilidad limitada, ya que, como garantía respecto a terceros, solo ofrecen su patrimonio social. A tal fin, esa publicidad debe permitir a los terceros conocer los actos esenciales de la sociedad y ciertas indicaciones relativas a ella, concretamente la identidad de las personas que tienen el poder de obligarla (véase, este sentido, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, apartado 77).

45 Además, el objetivo de la citada Directiva consiste en garantizar la seguridad jurídica en las relaciones entre las sociedades y los terceros en la perspectiva de una intensificación del tráfico mercantil entre los Estados miembros como consecuencia de la creación del mercado interior. Desde esta perspectiva, es importante que toda persona deseosa de establecer y mantener relaciones comerciales con sociedades radicadas en otros Estados miembros pueda fácilmente tomar conocimiento de los datos esenciales relativos a la constitución de las sociedades mercantiles y a los poderes de las personas encargadas de representarlas, lo que requiere que todos los datos pertinentes figuren de manera explícita en el registro a que se refiere el artículo 16, apartado 3, de la misma Directiva (véase, este sentido, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, apartado 78 y jurisprudencia citada).

46 Pues bien, en el presente asunto, la publicación de datos relativos a todos los accionistas de sociedades anónimas y, en particular, a sus accionistas minoritarios no parece ser útil a la luz del objetivo de protección de los intereses de terceros y de la seguridad jurídica, por lo que no puede justificarse por dicho objetivo. En efecto, dado que, en principio, los accionistas minoritarios no están facultados para representar a una sociedad anónima ni para obligarla frente a terceros ni para ejercer funciones de gestión y de control, a diferencia de los miembros de los órganos de administración y de dirección de tal sociedad, los datos relativos a todos esos accionistas parecen carecer de pertinencia para esos terceros.

47 Por consiguiente, procede responder a la primera cuestión prejudicial que el artículo 14, letra d), de la Directiva 2017/1132 debe interpretarse en el sentido de que no exige la publicación de información sobre todos los accionistas de las sociedades a las que se refiere dicha disposición, incluidos los accionistas minoritarios de tales sociedades.

Segunda cuestión prejudicial

48 A la vista de la respuesta dada a la primera cuestión prejudicial, no procede responder a la segunda.

Cuestiones prejudiciales tercera y cuarta

49 Mediante estas cuestiones prejudiciales, que procede examinar conjuntamente, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 5 y 6 del RGPD, en relación con los artículos 7 y 8 de la Carta, deben interpretarse en el sentido de que se oponen a una normativa nacional que obliga a poner a disposición del público datos personales de todos los accionistas de sociedades anónimas, incluidos los accionistas minoritarios, relativos a la identidad de cada uno de esos accionistas, sus datos de contacto, la categoría, el número y el valor nominal de las acciones que poseen y el número de votos asociados a dichas acciones, con el fin de garantizar un entorno empresarial transparente para proteger los intereses de terceros, prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y proporcionar la información necesaria para la aplicación de sanciones nacionales, internacionales y de la Unión, cuando el acceso a dichos datos no esté supeditado a ningún requisito, como la demostración de un interés legítimo.

50 Con carácter preliminar, procede recordar que, de conformidad con el objetivo perseguido por el RGPD, tal como se desprende de su artículo 1 y de sus considerandos 1 y 10, que consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada en lo que respecta al tratamiento de datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1, todo tratamiento de datos personales debe, en particular, cumplir los principios relativos al tratamiento de dichos datos establecidos en el artículo 5 del RGPD y satisfacer las condiciones de licitud enumeradas en su artículo 6 [véanse, en este sentido, las sentencias de 9 de enero de 2025, Mousse, C-394/23, EU:C:2025:2, apartados 21 y 22, y de 3 de abril de 2025, Ministerstvo zdravotnictví (Datos relativos al representante de una persona jurídica), C-710/23, EU:C:2025:231, apartados 29 y 33].

51 A este respecto, cabe señalar que el artículo 5, apartado 1, letra a), del RGPD dispone que los datos personales deberán tratarse de manera lícita, leal y transparente en relación con la persona interesada.

52 Asimismo, a tenor del artículo 5, apartado 1, letra b), del RGPD, que recoge el principio de limitación de la finalidad del tratamiento de los datos personales, dichos datos deben, por un lado, ser recogidos con fines determinados, explícitos y legítimos y, por otro lado, no ser tratados ulteriormente de manera incompatible con dichos fines. Según la jurisprudencia del Tribunal de Justicia, este principio implica, en particular, primero, que los fines del tratamiento deben determinarse, a más tardar, en el momento de la recogida de los datos personales; segundo, que los fines del tratamiento deben indicarse claramente, y, por último, que los fines del tratamiento deben garantizar, en particular, el tratamiento lícito de esos datos, en el sentido del artículo 6, apartado 1, del RGPD (véase, en este sentido, la sentencia de 20 de octubre de 2022, Digi, C-77/21, EU:C:2022:805, apartado 27 y jurisprudencia citada).

53 Por último, en virtud del artículo 5, apartado 1, letra c), del RGPD, que consagra el principio de minimización de datos, dichos datos deben ser también adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Este principio es un reflejo del principio de proporcionalidad (véase, en este sentido, la sentencia de 9 de enero de 2025, Mousse, C-394/23, EU:C:2025:2, apartado 24 y jurisprudencia citada).

54 Por lo que respecta a los requisitos de licitud del tratamiento, el artículo 6, apartado 1, párrafo primero, del RGPD establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. Así pues, para poder ser considerado legítimo, el tratamiento de datos personales debe estar comprendido en alguno de los casos contemplados en esa disposición (véase, en este sentido, la sentencia de 9 de enero de 2025, Mousse, C-394/23, EU:C:2025:2, apartado 25 y jurisprudencia citada).

55 A tenor del artículo 6, apartado 1, párrafo primero, letra a), del RGPD, el tratamiento de datos personales solo será lícito si el interesado dio su consentimiento para uno o varios fines específicos. A falta de tal consentimiento, o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, del RGPD, tal tratamiento puede estar, no obstante, justificado cuando cumple alguno de los requisitos de necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b) a f), del citado Reglamento. En este contexto, las justificaciones previstas en esta última disposición, en la medida en que permiten que un tratamiento de datos personales realizado sin el consentimiento del interesado sea lícito, deben ser objeto de una interpretación restrictiva (sentencia de 9 de enero de 2025, Mousse, C-394/23, EU:C:2025:2, apartados 26 y 27 y jurisprudencia citada).

56 Además, según la jurisprudencia del Tribunal de Justicia, cuando un tratamiento de datos personales pueda considerarse necesario a la vista de alguna de las justificaciones previstas en el artículo 6, apartado 1, párrafo primero, letras b) a f), del RGPD, no es preciso determinar si también está comprendido en otra de esas justificaciones (sentencia de 9 de enero de 2025, Mousse, C-394/23, EU:C:2025:2, apartado 28 y jurisprudencia citada).

57 En el presente asunto, consta que la información de que se trata en el litigio principal se refiere a personas físicas identificadas o identificables y que, por tanto, debe calificarse de datos personales, en el sentido del artículo 4, punto 1, del RGPD. También consta que esta información es objeto de tratamiento, en el sentido del artículo 4, punto 2, del RGPD, en la medida en que se pone a disposición del público, y que dicho tratamiento, que tiene carácter automatizado, está comprendido en el ámbito de aplicación material del RGPD, en virtud del artículo 2, apartado 1, del RGPD.

58 Asimismo, tal y como ha señalado el Abogado General, en esencia, en el punto 43 de sus conclusiones, el tratamiento de datos controvertido en el litigio principal viene impuesto por la normativa nacional y, por lo tanto, debe examinarse a la luz del artículo 6, apartado 1, párrafo primero, letra c), del RGPD, según el cual un tratamiento es lícito en la medida en que sea “necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”.

59 El artículo 6, apartado 3, del RGPD especifica, en particular, que, en ese caso, el tratamiento debe basarse en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, y que las finalidades del tratamiento deben quedar determinadas en dicha base jurídica. La base jurídica debe cumplir un objetivo de interés público y ser proporcional al fin legítimo perseguido. Debido a que estos imperativos constituyen una expresión de los que derivan del artículo 52, apartado 1, de la Carta, deben interpretarse a la luz de esta última disposición (véanse, en este sentido, las sentencias de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, apartado 69, y de 4 de octubre de 2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, apartado 104).

60 En este sentido, cabe señalar que los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados en los artículos 7 y 8 de la Carta, no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad y ponderarse con otros derechos fundamentales. Así pues, podrán introducirse limitaciones, siempre que, de conformidad con el artículo 52, apartado 1, de la Carta, sean establecidas por la ley y respeten el contenido esencial de los derechos fundamentales y el principio de proporcionalidad [sentencias de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico), C-439/19, EU:C:2021:504, apartado 105; de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, apartado 70, y de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil), C-548/21, EU:C:2024:830, apartado 85 y jurisprudencia citada].

61 En este contexto, procede recordar que, según reiterada jurisprudencia, la proporcionalidad de medidas de las que resulta una injerencia en los derechos garantizados en los artículos 7 y 8 de la Carta exige el respeto de las exigencias de idoneidad y necesidad, así como de la relativa al carácter proporcionado de dichas medidas en relación con el objetivo perseguido (sentencia Luxembourg Business Registers, apartado 63 y jurisprudencia citada).

62 Más concretamente, las excepciones a la protección de los datos personales y las limitaciones de esta última operan dentro del marco de lo estrictamente necesario, entendiéndose que, cuando se ofrezca una elección entre varias medidas adecuadas para la consecución de los objetivos legítimos perseguidos, deberá recurrirse a la menos onerosa. Además, no puede perseguirse un objetivo de interés general sin tener en cuenta que tal objetivo debe conciliarse con los derechos fundamentales a los que afecta la medida elegida, efectuando una ponderación equilibrada entre, por un lado, el objetivo de interés general, y, por otro, los derechos en cuestión, para garantizar que los inconvenientes causados por esa medida no sean desmesurados en relación con los objetivos perseguidos. Así pues, la posibilidad de justificar una limitación a los derechos garantizados en los artículos 7 y 8 de la Carta debe apreciarse midiendo la gravedad de la injerencia que implica tal limitación y verificando que la importancia del objetivo de interés general perseguido por dicha limitación guarde relación con esa gravedad (sentencia Luxembourg Business Registers, apartado 64 y jurisprudencia citada).

63 Asimismo, para cumplir el requisito de proporcionalidad, la normativa de que se trata causante de la injerencia también debe establecer reglas claras y precisas que regulen el alcance y la aplicación de las medidas en cuestión e impongan unas exigencias mínimas, de modo que las personas afectadas dispongan de garantías suficientes que permitan proteger de manera eficaz sus datos personales contra los riesgos de abuso. Dicha normativa debe, en particular, indicar en qué circunstancias y con arreglo a qué requisitos puede adoptarse una medida que contemple el tratamiento de tales datos, garantizando así que la injerencia se limite a lo estrictamente necesario (véase, en este sentido, la sentencia Luxembourg Business Registers, apartado 65 y jurisprudencia citada).

64 En el presente asunto, corresponde al órgano jurisdiccional remitente comprobar, en primer lugar, si la normativa nacional controvertida en el litigio principal cumple el principio de limitación de la finalidad, establecido en el artículo 5, apartado 1, letra b), del RGPD, a la luz de la jurisprudencia mencionada en el apartado 52 de la presente sentencia, y si las finalidades del tratamiento se determinan en la base jurídica pertinente, en el sentido del artículo 6, apartado 3, del RGPD. Como señaló el Abogado General en el punto 45 de sus conclusiones, a este respecto, es importante que la o las finalidades en cuestión puedan determinarse con suficiente certeza a partir del texto de la normativa de que se trate o del contexto normativo en el que se inscriba.

65 En segundo lugar, procede comprobar si esta base jurídica cumple los demás requisitos derivados del artículo 6, apartado 3, del RGPD y del artículo 52, apartado 1, de la Carta, a la luz de la jurisprudencia reiterada a la que se hace referencia en los apartados 59 a 63 de la presente sentencia y tomando en consideración la gravedad de la injerencia en los derechos garantizados por los artículos 7 y 8 de la Carta que resulta de dicha base jurídica.

66 Si bien corresponde, en definitiva, al órgano jurisdiccional remitente apreciar si se cumplen los demás requisitos, incumbe al Tribunal de Justicia, al pronunciarse sobre la cuestión prejudicial, proporcionar a dicho órgano jurisdiccional todos los elementos de interpretación del Derecho de la Unión que puedan resultar útiles para enjuiciar el asunto del que conoce y aportar, en su caso, precisiones destinadas a orientar a dicho órgano jurisdiccional en su examen (véanse, en este sentido, las sentencias de 27 de junio de 2017, Congregación de Escuelas Pías Provincia Betania, C-74/16, EU:C:2017:496, apartado 36 y jurisprudencia citada, y de 9 de enero de 2025, Mousse, C-394/23, EU:C:2025:2, apartado 51).

67 A este respecto, como se desprende de reiterada jurisprudencia del Tribunal de Justicia, la comunicación de datos personales a terceros, incluida la puesta a disposición de tales datos, constituye una injerencia en los derechos fundamentales consagrados en los artículos 7 y 8 de la Carta, cualquiera que sea la utilización posterior de la información comunicada. A este respecto, carece de relevancia que la información relativa a la vida privada de que se trate tenga o no carácter sensible o que los interesados hayan sufrido o no inconvenientes en razón de tal injerencia (véase, en este sentido, la sentencia de 21 de junio de 2022, Ligue des droits humains, C-817/19, EU:C:2022:491, apartado 96, y la sentencia Luxembourg Business Registers, apartado 39).

68 En el presente asunto, si bien la normativa nacional controvertida en el litigio principal enumera con precisión los datos personales que deben ponerse a disposición del público, de modo que la injerencia resultante está prevista por la ley, también es preciso, por una parte, medir la gravedad de dicha injerencia y, por otra parte, comprobar si la importancia de los objetivos de interés general supuestamente perseguidos está en consonancia con esa gravedad (véase, en este sentido, la sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, apartado 98).

69 Así pues, por un lado, por lo que respecta a la gravedad de tal injerencia, debe tenerse en cuenta, en particular, la naturaleza de los datos personales en cuestión, en particular el carácter potencialmente sensible de los mismos, así como la naturaleza y el modo concreto del tratamiento de los datos de que se trata, en particular el número de personas que tienen acceso a ellos y el modo en que acceden (sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, apartado 99 y jurisprudencia citada).

70 En el presente asunto, procede señalar que, en la medida en que los datos puestos a disposición del público se refieren, en particular, a la identidad de cada accionista, sus datos de contacto, la categoría, el número y el valor nominal de las acciones que posee y el número de votos asociados a esas acciones, tales datos pueden permitir elaborar un perfil sobre, entre otras cosas, la situación patrimonial del interesado y sobre los sectores económicos y empresas específicos en los que invierte (véase, en este sentido, la sentencia Luxembourg Business Registers, apartado 41).

71 A ello se añade el hecho de que es inherente a esa puesta a disposición que esos datos sean entonces accesibles a un número potencialmente ilimitado de personas, de modo que su tratamiento también puede permitir el libre acceso a esos datos por parte de personas que, por razones ajenas al objetivo perseguido por dicha puesta a disposición, pretendan informarse sobre la situación, en particular, material y económica, del accionista. Esta posibilidad resulta aún más plausible cuando tales datos pueden consultarse en Internet (véase, en este sentido, la sentencia Luxembourg Business Registers, apartado 42 y jurisprudencia citada).

72 Además, las consecuencias que para las personas afectadas podrían derivarse de una posible utilización abusiva de sus datos personales se ven agravadas por el hecho de que esos datos, una vez puestos a disposición del público en general, no solo pueden ser libremente consultados, sino también conservados y difundidos, y, en caso de tales tratamientos sucesivos, se hace aún más difícil para esas personas, incluso ilusorio, defenderse eficazmente contra abusos (véase, en este sentido, la sentencia Luxembourg Business Registers, apartado 43).

73 Por consiguiente, aunque no menoscabe el contenido esencial de los derechos garantizados por los artículos 7 y 8 de la Carta, la puesta a disposición del público de los datos de que se trata en el litigio principal constituye, no obstante, y en cualquier caso, una injerencia grave en esos derechos (véase, en este sentido, la sentencia Luxembourg Business Registers, apartados 44 y 54).

74 Por otra parte, como ha señalado el Abogado General en los puntos 50 a 52 de sus conclusiones, es preciso observar que los objetivos alegados por el Parlamento letón ante el órgano jurisdiccional remitente para justificar la medida prevista por la normativa nacional controvertida en el litigio principal y recordados en el apartado 49 de la presente sentencia pueden calificarse de objetivos de interés general reconocidos por la Unión. Sin embargo, procede examinar si una normativa nacional como la controvertida en el litigio principal cumple las exigencias de idoneidad y necesidad, así como la relativa al carácter proporcionado de dicha medida en relación con los objetivos perseguidos, en el sentido del apartado 61 de la presente sentencia.

75 Por lo que respecta al objetivo de interés general consistente en garantizar un entorno empresarial transparente para proteger los intereses de terceros, procede señalar que este parece corresponder, en esencia, al objetivo perseguido por la coordinación de las disposiciones nacionales llevada a cabo en el artículo 14, letra d), de la Directiva 2017/1132, interpretado a la luz de los considerandos 7 y 8 de esta.

76 Pues bien, como se desprende del apartado 46 de la presente sentencia, la publicación de datos relativos a todos los accionistas de una sociedad anónima y, en particular, a los accionistas minoritarios de esta no parece tener utilidad alguna para este objetivo. Por consiguiente, una normativa nacional como la controvertida en el litigio principal no parece ni idónea ni necesaria para alcanzar dicho objetivo y, por tanto, no puede justificar la injerencia grave en los derechos garantizados por los artículos 7 y 8 de la Carta, mencionada en el apartado 73 de la presente sentencia.

77 En cuanto al objetivo de interés general consistente en prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, cabe señalar que el acceso del público a los datos de que se trata resulta idóneo para contribuir a la consecución de dicho objetivo, ya que el carácter público de dicho acceso y la mayor transparencia que de él se deriva contribuyen a la creación de un entorno menos susceptible de ser utilizado con tales fines (véase, en este sentido, la sentencia Luxembourg Business Registers, apartado 67).

78 Sin embargo, tal acceso no puede considerarse estrictamente necesario cuando dicho objetivo pueda alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios respecto de los derechos garantizados por los artículos 7 y 8 de la Carta [véase, en este sentido, la sentencia de 4 de octubre de 2024, Bezirkshauptmannschaft Landeck (Tentativa de acceso a los datos personales almacenados en un teléfono móvil), C-548/21, EU:C:2024:830, apartado 87].

79 En efecto, la lucha contra el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva incumbe prioritariamente a las autoridades públicas y a entidades como las entidades de crédito o las entidades financieras a las que, por razón de sus actividades, se imponen obligaciones específicas en la materia (sentencia Luxembourg Business Registers, apartado 83), como las que resultan, en particular, de los artículos 11 y 13 de la Directiva 2015/849.

80 En este contexto, procede observar que el artículo 30, apartado 5, de la Directiva 2015/849, cuyo tenor procede del artículo 74, punto 1, de la Directiva 2024/1640, establece que los Estados miembros deben velar por que la información sobre la titularidad real, en el sentido de esta disposición, sea accesible en todos los casos, en particular, a “cualquier persona u organización que pueda acreditar un interés legítimo”, y no al público general.

81 A este respecto, también conviene precisar que, según la jurisprudencia del Tribunal de Justicia, una normativa que, para alcanzar el objetivo mencionado en el apartado 77 de la presente sentencia, permite el acceso a datos personales a los miembros del público que puedan justificar un interés legítimo puede, en principio, limitar la injerencia en los derechos garantizados en los artículos 7 y 8 de la Carta a lo estrictamente necesario (véase, en este sentido, la sentencia de 21 de mayo de 2026, Across Fiduciaria y otros, C-684/24 y C-685/24, EU:C:2026:410, apartado 106).

82 Ahora bien, en el presente asunto, por lo que respecta a los accionistas minoritarios que no tienen la condición de titulares reales de la sociedad de la que poseen una parte del capital social, no parece por tanto, y con mayor motivo, que sea estrictamente necesario que datos personales como los controvertidos en el litigio principal sean accesibles a cualquier persona, sin que esta última deba acreditar un interés legítimo.

83 En este contexto, en la medida en que el órgano jurisdiccional remitente indica que el Registro Mercantil nacional, que es el responsable del tratamiento, puede no estar en condiciones de comprobar si cada solicitante de información tiene efectivamente un interés legítimo en acceder a los datos personales de que se trata, conviene recordar que las eventuales dificultades prácticas relacionadas con la comprobación de la existencia de un interés legítimo no demuestran el carácter estrictamente necesario de una injerencia en los derechos fundamentales garantizados por la Carta (véanse, por analogía, las sentencias de 26 de septiembre de 2000, Comisión/Austria, C-205/98, EU:C:2000:493, apartado 78 y jurisprudencia citada, y de 27 de noviembre de 2008, Papillon, C-418/07, EU:C:2008:659, apartado 54 y jurisprudencia citada).

84 Por lo que respecta a la ponderación equilibrada entre, por un lado, el objetivo de interés general perseguido y, por otro lado, los derechos fundamentales en cuestión, procede añadir que, si bien la lucha contra el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva puede justificar, en general, una injerencia, incluso grave, en esos derechos (véase, en este sentido, la sentencia Luxembourg Business Registers, apartados 58 y 59), este objetivo no puede prevalecer, en el presente asunto, sobre dichos derechos, habida cuenta de la naturaleza y la gravedad de la injerencia constatada en el apartado 73 de la presente sentencia.

85 En este contexto, procede señalar, por otra parte, que una normativa nacional como la controvertida en el litigio principal no va acompañada de garantías suficientes que permitan proteger eficazmente a las personas afectadas contra los riesgos de abuso, en el sentido de la jurisprudencia citada en el apartado 63 de la presente sentencia. En efecto, sus datos personales son accesibles en Internet y pueden ser objeto de descargas masivas, en particular por cualquier usuario no identificado, lo que aumenta dichos riesgos.

86 Por consiguiente, una normativa nacional como la controvertida en el litigio principal no parece ni necesaria ni proporcionada en relación con el objetivo de que se trata, en el sentido del apartado 61 de la presente sentencia.

87 Por último, por lo que respecta al objetivo de interés general consistente en facilitar la información necesaria para la aplicación de las sanciones nacionales, internacionales y de la Unión, una normativa nacional como la controvertida en el asunto principal también puede contribuir a la consecución de dicho objetivo. En efecto, cabe señalar que la mayor transparencia que se deriva de esta normativa puede facilitar dicha aplicación.

88 No obstante, como ha señalado el Abogado General, en esencia, en los puntos 60 y 61 de sus conclusiones, el acceso del público a los datos en cuestión en el litigio principal no parece estrictamente necesario para la consecución de este fin, dado que parecen existir medios menos lesivos para los derechos garantizados por los artículos 7 y 8 de la Carta.

89 Como ha señalado la Comisión en sus observaciones escritas, un medio menos lesivo podría consistir, en particular, en limitar la obligación de publicación únicamente a los datos relativos a las personas que figuran en listas de sanciones y en permitir el acceso a datos relativos a accionistas que no figuren en esas listas únicamente a personas que demuestren un interés legítimo al respecto.

90 Además, por las mismas razones mencionadas, respectivamente, en los apartados 84 y 85 de la presente sentencia, el objetivo de interés general perseguido no puede prevalecer, en este caso, sobre los derechos fundamentales de que se trata, y una normativa nacional como la controvertida en el litigio principal no ofrece garantías suficientes que permitan proteger eficazmente a las personas afectadas contra los riesgos de abuso.

91 Así pues, tal normativa no parece ni necesaria ni proporcionada en relación con el objetivo de que se trata, en el sentido del apartado 61 de la presente sentencia.

92 Por consiguiente, habida cuenta de las consideraciones anteriores, procede responder a las cuestiones prejudiciales tercera y cuarta que los artículos 5 y 6 del RGPD, en relación con los artículos 7 y 8 de la Carta, deben interpretarse en el sentido de que se oponen a una normativa nacional que obliga a poner a disposición del público datos personales de todos los accionistas de sociedades anónimas, incluidos los accionistas minoritarios, relativos a la identidad de cada uno de esos accionistas, sus datos de contacto, la categoría, el número y el valor nominal de las acciones que poseen y el número de votos asociados a dichas acciones, con el fin de garantizar un entorno empresarial transparente para proteger los intereses de terceros, prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y proporcionar la información necesaria para la aplicación de sanciones nacionales, internacionales y de la Unión, cuando el acceso a dichos datos no esté supeditado a ningún requisito, como la demostración de un interés legítimo.

Costas

93 Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Primera) declara:

1) El artículo 14, letra d), de la Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, de 14 de junio de 2017, sobre determinados aspectos del Derecho de sociedades, en su versión modificada por la Directiva (UE) 2019/1151 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, debe interpretarse en el sentido de que no exige la publicación de información sobre todos los accionistas de las sociedades a las que se refiere dicha disposición, incluidos los accionistas minoritarios de tales sociedades.

2) Los artículos 5 y 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en relación con los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, deben interpretarse en el sentido de que se oponen a una normativa nacional que obliga a poner a disposición del público datos personales de todos los accionistas de sociedades anónimas, incluidos los accionistas minoritarios, relativos a la identidad de cada uno de esos accionistas, sus datos de contacto, la categoría, el número y el valor nominal de las acciones que poseen y el número de votos asociados a dichas acciones, con el fin de garantizar un entorno empresarial transparente para proteger los intereses de terceros, prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y proporcionar la información necesaria para la aplicación de sanciones nacionales, internacionales y de la Unión Europea, cuando el acceso a dichos datos no esté supeditado a ningún requisito, como la demostración de un interés legítimo.