Azionisti e dati personali, i limiti alla pubblicazione indiscriminata online secondo la Corte di giustizia europea

La normativa dell’Unione non impone agli Stati membri di rendere pubbliche le informazioni relative a tutti gli azionisti di una società per azioni, inclusi quelli di minoranza. E, quando tali informazioni riguardano persone fisiche, la loro diffusione online senza alcuna condizione di accesso può risultare incompatibile con le garanzie previste dal diritto dell’Unione in materia di vita privata e protezione dei dati personali.

È questo il principio affermato dalla Corte di giustizia dell’Unione europea nell’ambito di un rinvio pregiudiziale promosso dalla Corte costituzionale della Lettonia, chiamata a esaminare la legittimità di una disciplina nazionale che imponeva la pubblicazione di un ampio insieme di informazioni relative agli azionisti delle società per azioni.

La controversia trae origine dal ricorso costituzionale presentato da 17 azionisti di minoranza, che contestavano la compatibilità della normativa lettone con il diritto al rispetto della vita privata e alla protezione dei dati personali. La disciplina prevedeva infatti che fossero rese accessibili al pubblico, anche attraverso Internet, informazioni relative agli azionisti.

Nel caso delle persone fisiche, tra i dati pubblicati figuravano nome e cognome, numero di identificazione personale o, in sua assenza, data di nascita, estremi del documento di identità, Paese e autorità che lo aveva rilasciato e indirizzo presso il quale l’azionista poteva essere contattato. La pubblicità comprendeva inoltre, indipendentemente dalla natura fisica o giuridica dell’azionista, l’indirizzo di posta elettronica, la categoria e il numero delle azioni possedute, il loro valore nominale e il numero di voti associati. Le informazioni potevano essere consultate online e scaricate anche in forma massiva da utenti non identificati.

Proprio l’ampiezza di questa forma di accessibilità era al centro delle contestazioni. I ricorrenti sostenevano che il legislatore lettone non avesse dimostrato la necessità di rendere tali informazioni disponibili indiscriminatamente, evidenziando il rischio di utilizzi illeciti e l’impossibilità, una volta avvenuta la pubblicazione, di controllarne efficacemente gli impieghi successivi. A sostegno delle proprie argomentazioni richiamavano anche la precedente pronuncia della Corte di giustizia nel caso Luxembourg Business Registers, del 22 novembre 2022, relativa all’accesso del pubblico alle informazioni sui titolari effettivi delle società.

La questione sottoposta alla Corte di giustizia riguardava, innanzitutto, la stessa esistenza di un obbligo derivante dal diritto dell’Unione. La Corte costituzionale lettone chiedeva infatti se la direttiva 2017/1132 imponesse agli Stati membri di rendere pubbliche le informazioni relative agli azionisti delle società per azioni. Parallelamente, il giudice nazionale chiedeva di chiarire se il GDPR consentisse una disciplina nazionale che prevedesse la diffusione al pubblico di tali dati, senza richiedere all’utente di dimostrare un legittimo interesse.

La Corte di giustizia ha escluso, in primo luogo, che un simile obbligo possa essere ricavato dalla direttiva 2017/1132. Alla luce della formulazione della disposizione pertinente, del suo contesto normativo e delle finalità perseguite dalla direttiva, il diritto dell’Unione non richiede la pubblicazione delle informazioni relative a tutti gli azionisti di una società per azioni e, in particolare, non impone una simile forma di pubblicità nei confronti degli azionisti di minoranza.

Diverso è il piano della protezione dei dati personali. La Corte ha ricordato che i diritti sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, rispettivamente relativi al rispetto della vita privata e alla protezione dei dati personali, non hanno carattere assoluto. Essi devono essere bilanciati con gli altri diritti e interessi tutelati dall’ordinamento dell’Unione. Le eventuali limitazioni sono tuttavia ammissibili soltanto quando siano previste dalla legge, rispettino il contenuto essenziale dei diritti interessati e risultino conformi al principio di proporzionalità.

Nel caso esaminato, la previsione della pubblicazione era effettivamente contenuta nella legge e, secondo la Corte, non incideva sul contenuto essenziale dei diritti fondamentali coinvolti. La modalità prescelta dal legislatore lettone determinava però un’ingerenza particolarmente significativa nella vita privata e nella protezione dei dati degli azionisti.

La combinazione delle informazioni rese disponibili, infatti, può consentire di ricostruire aspetti rilevanti della situazione patrimoniale di una persona e di individuare i settori economici e le specifiche imprese nei quali essa investe. Il problema è ulteriormente accentuato dalla possibilità che tali dati siano consultati da un numero potenzialmente illimitato di soggetti, compresi coloro che non hanno alcun rapporto con le finalità per cui la pubblicità è stata prevista. Una volta pubblicate online, inoltre, le informazioni possono essere conservate e ulteriormente diffuse, aumentando i rischi connessi a un loro eventuale utilizzo abusivo.

La Corte ha quindi esaminato separatamente le tre finalità che, secondo la Corte costituzionale lettone, giustificavano la disciplina nazionale: assicurare la trasparenza dell’ambiente imprenditoriale e la tutela degli interessi dei terzi; prevenire il riciclaggio di capitali e il finanziamento del terrorismo e della proliferazione delle armi di distruzione di massa; mettere a disposizione le informazioni necessarie per l’applicazione delle sanzioni nazionali, internazionali e dell’Unione europea.

Rispetto alla prima finalità, la pubblicazione dei dati relativi a tutti gli azionisti, compresi quelli di minoranza, non è stata ritenuta idonea a offrire un contributo utile alla trasparenza del contesto imprenditoriale. La misura non risulta pertanto né idonea né necessaria al conseguimento di tale obiettivo.

Analoghe considerazioni, sotto il profilo della proporzionalità e della necessità, valgono per le finalità di contrasto al riciclaggio e al finanziamento del terrorismo e della proliferazione delle armi di distruzione di massa, nonché per quella relativa all’attuazione delle sanzioni. Secondo la Corte, non è indispensabile che le informazioni sugli azionisti siano accessibili indistintamente a chiunque, senza alcuna verifica dell’interesse sottostante alla richiesta.

L’ordinamento può infatti ricorrere a strumenti meno invasivi della sfera privata, come la subordinazione dell’accesso alla dimostrazione di un legittimo interesse. Con riferimento specifico all’attuazione delle sanzioni, inoltre, l’obbligo di pubblicazione può essere circoscritto ai dati delle persone effettivamente presenti negli elenchi delle sanzioni.

A incidere ulteriormente sulla valutazione della Corte è stata infine l’assenza, nella disciplina lettone, di garanzie sufficienti contro gli abusi. La possibilità di consultare i dati attraverso Internet e, soprattutto, di scaricarli in blocco anche da parte di utenti non identificati rende particolarmente ampia la platea dei potenziali destinatari e accresce il rischio che le informazioni siano utilizzate per finalità diverse da quelle che avevano giustificato la loro raccolta e pubblicazione.

La pronuncia si colloca così nel punto di equilibrio tra esigenze di trasparenza societaria e tutela dei dati personali. La previsione di strumenti di pubblicità delle informazioni societarie non può tradursi automaticamente nella disponibilità generalizzata e senza condizioni dei dati personali degli azionisti. Quando la pubblicazione consente di ricostruire informazioni sulla situazione economica e patrimoniale delle persone interessate, la scelta legislativa deve infatti confrontarsi con i requisiti di necessità e proporzionalità imposti dal diritto dell’Unione.

Approfondimenti

• Sentenza della Corte nella causa C-798/24