C-200/23

EUROOPA KOHTU OTSUS (esimene koda) 4. oktoober 2024 ( *1 ) Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Isikuandmeid sisaldava põhikirja avaldamine äriregistris – Direktiiv (EL) 2017/1132 – Mittekohustuslikud isikuandmed – Andmesubjekti nõusoleku puudumine – Õigus andmete kustutamisele – Mittevaraline kahju Kohtuasjas C‑200/23, mille ese on ELTL artikli 267 alusel Varhoven administrativen sadi (Bulgaaria kõrgeim halduskohus) 21. märtsi 2023. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 28. märtsil 2023, menetluses Agentsia po vpisvaniyata versus OL, menetluses osales: Varhovna administrativna prokuratura, EUROOPA KOHUS (esimene koda), koosseisus: koja president A. Arabadjiev, kohtunikud T. von Danwitz (ettekandja), P. G. Xuereb, A. Kumin ja I. Ziemele, kohtujurist: L. Medina, kohtusekretär: ametnik R. Stefanova-Kamisheva, arvestades kirjalikku menetlust ja 7. märtsi 2024. aasta kohtuistungil esitatut, arvestades seisukohti, mille esitasid: – Agentsia po vpisvaniyata, esindajad: I. D. Ivanov ja D. S. Miteva, keda abistas advokat Z. N. Mandazhieva, – OL, esindaja: tema ise, keda abistasid advokati I. Stoynev ja T. Tsonev, – Bulgaaria valitsus, esindajad: T. Mitova ja R. Stoyanov, – Saksamaa valitsus, esindajad: J. Möller ja P.-L. Krüger, – Iiri valitsus, esindajad: Chief State Solicitor M. Browne, A. Joyce, M. Lane ja M. Tierney, keda abistas I. Boyle Harper, BL, – Itaalia valitsus, esindaja: G. Palmieri, keda abistas avvocato dello Stato G. Natale, – Poola valitsus, esindaja: B. Majczyna, – Soome valitsus, esindaja: A. Laine, – Euroopa Komisjon, esindajad: A. Bouchagiar, C. Georgieva, H. Kranenborg ja L. Malferrari, olles 30. mai 2024. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku, on teinud järgmise kohtuotsuse 1 Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 16. septembri 2009. aasta direktiivi 2009/101/EÜ tagatiste kooskõlastamise kohta, mida liikmesriigid äriühingu liikmete ja kolmandate isikute huvide kaitseks [EÜ] artikli 48 teises lõigus osutatud äriühingutelt nõuavad, et muuta sellised tagatised võrdväärseteks (ELT 2009, L 258, lk 11), artikleid 3 ja 4 ning Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikleid 4, 6, 17, 58 ja 82. 2 Taotlus on esitatud Agentsia po vpisvaniyata (Bulgaaria registrite amet; edaspidi „amet“) ja OLi vahelises kohtuvaidluses selle üle, et amet keeldus kustutamast teatavaid OLi isikuandmeid, mis sisalduvad põhikirjas, mis on äriregistris üldsusele kättesaadav. Õiguslik raamistik Liidu õigus Direktiiv (EL) 2017/1132 3 Euroopa Parlamendi ja nõukogu 14. juuni 2017. aasta direktiiviga (EL) 2017/1132 äriühinguõiguse teatavate aspektide kohta (ELT 2017, L 169, lk 46) tunnistati kehtetuks ja asendati direktiiv 2009/101 alates esimese jõustumisest, st 20. juulist 2017. 4 Direktiivi 2017/1132 põhjendustes 1, 7, 8 ja 12 on märgitud: „(1) [Direktiivi 2009/101] ja [Euroopa Parlamendi ja nõukogu 25. oktoobri 2012. aasta direktiivi] 2012/30/EL [tagatiste kooskõlastamise kohta, mida liikmesriigid äriühingu liikmete ja kolmandate isikute huvide kaitseks [ELTL] artikli 54 teises lõigus tähendatud äriühingutelt nõuavad seoses aktsiaseltside asutamise ning nende kapitali säilitamise ja muutmisega, et muuta sellised tagatised võrdväärseteks (ELT 2012, L 315, lk 74),] on korduvalt oluliselt muudetud. Selguse ja otstarbekuse huvides tuleks nimetatud direktiivid kodifitseerida. […] (7) Avalikustamist, äriühingute, eelkõige aktsiaseltside ja teiste piiratud vastutusega äriühingute kohustuste kehtivust ja õigustühisust käsitlevate liikmesriikide õigusnormide kooskõlastamine on eriti tähtis eelkõige kolmandate isikute huvide kaitseks. (8) Äriühingu põhidokumendid peaksid olema avalikustatud, et kolmandad isikud saaksid tutvuda nende sisu ja muu äriühingut puudutava teabega, eelkõige andmetega isikute kohta, kellel on õigus esindada äriühingut. […] (12) Lihtsustada tuleks piiriülest juurdepääsu äriühinguid puudutavale teabele, lubades lisaks nõutavate dokumentide ja andmete kohustuslikule avaldamisele ühes äriühingu liikmesriigis lubatud keeles ka nende vabatahtlikku registreerimist teistes keeltes. Heausksetel kolmandatel isikutel peaks olema võimalik neid tõlkeid usaldada.“ 5 Direktiivi 2017/1132 I jaotise II peatüki 1. jao „Aktsiaseltsi asutamine“ artiklis 4 „Põhikirjas või asutamislepingus või eraldi dokumentides esitatav kohustuslik informatsioon“ on ette nähtud: „Põhikiri või asutamisleping või eraldi dokument, mis avaldatakse iga liikmesriigi seadusega ettenähtud korras ja kooskõlas artikliga 16, peab sisaldama vähemalt järgmisi andmeid: […] i) nende füüsiliste või juriidiliste isikute või äriühingute, mis ei ole juriidilised isikud, andmed, kes on alla kirjutanud või kelle nimel on alla kirjutatud põhikirjale või asutamislepingule või nende dokumentide projektile juhul, kui äriühingut ei asutatud samal ajal; […]“. 6 Direktiivi I jaotise III peatüki 1. jagu „Üldsätted“ sisaldab artikleid 13–28. 7 Direktiivi artiklis 13 „Kohaldamisala“ on sätestatud: „Käesoleva jaoga ettenähtud kooskõlastusmeetmeid kohaldatakse liikmesriikide õigus- ja haldusnormide suhtes, mis reguleerivad II lisas loetletud liiki äriühinguid.“ 8 Direktiivi 2017/1132 artiklis 14 „Äriühingu poolt avalikustatavad dokumendid ja andmed“ on sätestatud: „Liikmesriigid võtavad vajalikud meetmed tagamaks, et äriühingud avalikustavad vähemalt järgmised dokumendid ja andmed: a) asutamisdokument ja põhikiri, kui see on eraldi dokumendis; b) kõik punktis a osutatud dokumentides tehtavad muudatused, sealhulgas äriühingu tegevuse tähtaja pikendamine; c) pärast asutamisdokumendi või põhikirja muutmist asutamisdokumendi või põhikirja täielik tekst selle kehtivas redaktsioonis; d) selliste isikute määramine, ametist vabastamine ja andmed nende isikute kohta, kellel on seadusjärgse organina või sellise organi liikmena õigus: i) esindada äriühingut tehingutes kolmandate isikutega või kohtus; avalikustamisest peab ilmnema, kas äriühingut esindama volitatud isikud võivad seda teha üksinda või ühiselt; ii) võtta osa äriühingu juhtimisest, järelevalvest või kontrollimisest; […]“. 9 Direktiivi artikli 15 „Muudatused dokumentides ja andmetes“ lõikes 1 on ette nähtud: „Liikmesriigid võtavad vajalikke meetmeid tagamaks, et artikli 16 lõike 1 esimeses lõigus osutatud pädevasse registrisse kantakse kõik muudatused artiklis 14 osutatud dokumentides ja andmetes ning need avalikustatakse kooskõlas artikli 16 lõigetega 3 ja 5, tavaliselt 21 päeva jooksul pärast muudatusi käsitleva täieliku dokumentatsiooni kättesaamist, sealhulgas pärast siseriikliku õiguse kohaselt nõutavat õiguspärasuse kontrolli seoses registrisse kandmisega, kui see on ette nähtud.“ 10 Direktiivi artiklis 16 „Avaldamine registris“ on sätestatud: „1. Igas liikmesriigis avatakse keskregistris, äriregistris või äriühingute registris („register“) iga registrisse kantud äriühingu kohta eraldi toimik. […] 3. Kõiki artikli 14 kohaselt avalikustamisele kuuluvaid dokumente ja andmeid hoitakse toimikus või kantakse registrisse; toimikus näidatakse kõigi registri kannete teemad. Liikmesriigid tagavad, et äriühingutel ning muudel isikutel ja organitel, kellelt nõutakse teatiste esitamist või kaasabi selle juures, oleks võimalik esitada kõiki artikli 14 kohaselt avalikustamisele kuuluvaid dokumente ja andmeid elektroonilisel kujul. Lisaks sellele võivad liikmesriigid nõuda kõigilt või teatavat liiki äriühingutelt kõigi või teatavat liiki dokumentide ja andmete esitamist elektroonilisel kujul. Kõiki artiklis 14 osutatud dokumente ja andmeid, mis esitatakse paberil või elektroonilisel kujul, hoitakse toimikus või sisestatakse registrisse elektrooniliselt. Sel eesmärgil tagavad liikmesriigid, et register viib elektroonilisele kujule kõik dokumendid ja andmed, mis esitatakse paberil. […] 4. Taotluse korral peab olema võimalik saada koopia või väljavõte artiklis 14 osutatud dokumentidest ja andmetest. Taotluse võib registrisse esitada taotleja valikul paberil või elektroonilisel kujul. […] 5. Lõikes 3 osutatud dokumendid ja andmed avalikustatakse, avaldades need asjaomases liikmesriigis selleks määratud ametlikus väljaandes kas tervikuna või väljavõttena või viidates dokumendile, mis on talletatud toimikus või kantud registrisse. Selleks otstarbeks liikmesriigis määratud ametlik väljaanne võib olla elektroonilisel kujul. Liikmesriigid võivad otsustada ametlikus väljaandes avaldamise asendada võrdselt tõhusate meetmetega, mis peavad sisaldama vähemalt süsteemi kasutamist, mis võimaldab juurdepääsu avaldatud teabele ajalises järjestuses keskse teabeportaali kaudu. 6. Dokumentidele ja andmetele võib äriühing tugineda kolmanda isiku vastu üksnes pärast nende avalikustamist lõike 5 kohaselt, välja arvatud juhul, kui äriühing tõendab, et kolmas isik oli neist teadlik. […] 7. Liikmesriigid võtavad vajalikke meetmeid vältimaks lahknevusi lõike 5 kohaselt avaldatu ja registris või toimikus sisalduva vahel. Lahknevuse korral ei saa siiski kolmanda isiku vastu tugineda lõike 5 kohaselt avaldatud tekstile; küll aga saab sellele tugineda kolmas isik, välja arvatud juhul, kui äriühing tõendab, et kolmas isik oli teadlik toimikus talletatud või registrisse kantud tekstidest. […]“. 11 Direktiivi 2017/1132 artiklis 21 „Avalikustamisele kuuluvate dokumentide ja andmete avalikustamise keel ja tõlked“ on ette nähtud: „1. Artikli 14 kohaselt avalikustamisele kuuluvad dokumendid ja andmed koostatakse ja esitatakse liikmesriigis kehtivate keelenormide kohaselt ühes lubatud keeles, milles on avatud artikli 16 lõikes 1 osutatud toimik. 2. Lisaks artiklis 16 osutatud kohustuslikule avalikustamisele lubavad liikmesriigid avaldada artiklis 14 nimetatud dokumente ja andmeid artikli 16 kohaselt vabatahtlikult mis tahes muus liidu ametlikus keeles. Liikmesriigid võivad sätestada, et selliste dokumentide ja andmete tõlge peab olema kinnitatud. Liikmesriigid võtavad vajalikke meetmeid, et lihtsustada kolmandate isikute juurdepääsu vabatahtlikult avaldatud tõlgetele. 3. Lisaks artiklis 16 osutatud kohustuslikule avalikustamisele ja käesoleva artikli lõikes 2 toodud vabatahtlikule avaldamisele võivad liikmesriigid lubada kõnealuseid dokumente ja andmeid artikli 16 kohaselt avaldada mis tahes muus keeles. […] 4. Lahknevuse korral registri ametlikus keeles avalikustatud dokumentide või andmete ning vabatahtlikult avaldatud tõlke vahel ei või viimasele tugineda kolmanda isiku vastu. […]“. 12 Direktiivi artiklis 161 „Andmekaitse“ on sätestatud: „Käesoleva direktiivi raames peab isikuandmete töötlemine toimuma vastavalt [Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta] direktiivile 95/46/EÜ [üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355)].“ 13 Direktiivi artiklis 166 „Kehtetuks tunnistamine“ on sätestatud: „Direktiivid [2009/101 ning 2012/30] tunnistatakse kehtetuks […]. Viiteid kehtetuks tunnistatud direktiividele käsitatakse viidetena käesolevale direktiivile ning neid loetakse vastavalt IV lisas esitatud vastavustabelile.“ 14 Direktiivi 2017/1132 II lisas on loetletud selle direktiivi artikli 7 lõikes 1, artiklis 13, artikli 29 lõikes 1, artikli 36 lõikes 1, artikli 67 lõikes 1 ja artikli 119 lõike 1 punktis a osutatud äriühingu vormid, sealhulgas Bulgaaria puhul OOD. 15 Vastavalt direktiivi 2017/1132 IV lisas esitatud vastavustabelile vastavad esiteks direktiivi 2009/101 artiklid 2, 2a, 3, 4 ja 7a vastavalt direktiivi 2017/1132 artiklitele 14, 15, 16, 21 ja 161. Teiseks vastab direktiivi 2012/30 artikkel 3 direktiivi 2017/1132 artiklile 4. Direktiiv (EL) 2019/1151 16 Direktiivi 2017/1132 muudeti Euroopa Parlamendi ja nõukogu 20. juuni 2019. aasta direktiiviga (EL) 2019/1151, millega muudetakse direktiivi (EL) 2017/1132 seoses digitaalsete vahendite ja menetluste kasutamisega äriühinguõiguses (ELT 2019, L 186, lk 80); viimane jõustus 31. juulil 2019 ja selle artiklis 1 „Direktiivi […] 2017/1132 muutmine“ on sätestatud: „Direktiivi [2017/1132] muudetakse järgmiselt. […] 6) Artikkel 16 asendatakse järgmisega: „Artikkel 16 Registris avalikustamine 1. Igas liikmesriigis avatakse keskregistris, äriregistris või äriühingute registris („register“) iga registrisse kantud äriühingu kohta eraldi toimik. […] 2. Kõiki artikli 14 kohaselt avalikustamisele kuuluvaid dokumente ja andmeid säilitatakse käesoleva artikli lõikes 1 osutatud toimikus või need kantakse otse registrisse ja toimikus kajastatakse registrikannete teema. Kõiki artiklis 14 osutatud dokumente ja andmeid, olenemata nende esitamise viisist, säilitatakse registri toimikus või sisestatakse elektrooniliselt otse registrisse. Liikmesriigid tagavad, et register viib kõik paberil esitatud dokumendid ja andmed võimalikult kiiresti elektroonilisele kujule. […] 3. Liikmesriigid tagavad, et artiklis 14 osutatud dokumendid ja andmed avalikustatakse, tehes need registris avalikult kättesaadavaks. Lisaks sellele võivad liikmesriigid ka nõuda, et mõned või kõik dokumendid ja andmed avaldataks selleks otstarbeks ette nähtud ametlikus väljaandes või samaväärselt tõhusate vahenditega. […] 4. Liikmesriigid võtavad vajalikud meetmed, et vältida erinevusi selle vahel, mis on registris ja mis on toimikus. Liikmesriigid, kes nõuavad dokumentide ja andmete avaldamist riigi ametlikus väljaandes või kesksel elektroonilisel platvormil, võtavad vajalikud meetmed, et vältida erinevusi selle vahel, mis on avaldatud lõike 3 kohaselt ning mis on avaldatud ametlikus väljaandes või platvormil. Käesolevas artiklis osutatud erinevuste korral on ülimuslikud registris kättesaadavaks tehtud dokumendid ja andmed. 5. Äriühing saab kolmanda isiku suhtes artiklis 14 osutatud dokumentidele ja andmetele tugineda üksnes pärast nende avalikustamist käesoleva artikli lõike 3 kohaselt, välja arvatud juhul, kui äriühing tõendab, et kolmas isik oli neist teadlik. […] 6. Liikmesriigid tagavad, et kõik dokumendid ja andmed, mida esitatakse äriühingu asutamisel, filiaali registreerimisel või mille esitab äriühing või filiaal, talletatakse registrites masinloetaval ja otsingu tegemist võimaldaval kujul või struktureeritud andmetena.“ 7) Lisatakse järgmine artikkel: „Artikkel 16a Juurdepääs avalikustatud teabele 1. Liikmesriigid tagavad, et registrist on taotluse korral võimalik saada artiklis 14 osutatud dokumentide ja andmete koopia või väljavõte ja et neid taotlusi võib registrile esitada kas paberil või elektroonilisel kujul. […]“. 19) Artikkel 161 asendatakse järgmisega: „Artikkel 161 Andmekaitse Käesoleva direktiivi raames peab isikuandmete töötlemine toimuma vastavalt [isikuandmete kaitse üldmäärusele].“ 17 Direktiivi 2019/1151 artiklis 2 „Ülevõtmine“ on sätestatud: „1. Liikmesriigid jõustavad käesoleva direktiivi järgimiseks vajalikud õigus- ja haldusnormid hiljemalt 1. augustiks 2021. […]. 2. Ilma et see piiraks käesoleva artikli lõike 1 kohaldamist, jõustavad liikmesriigid käesoleva direktiivi artikli 1 punkti 5 järgimiseks vajalikud õigus- ja haldusnormid seoses direktiivi […] 2017/1132 artikli 16 lõikega 6 hiljemalt 1. augustiks 2023. 3. Erandina lõikest 1 on liikmesriikidel, kellel on käesoleva direktiivi ülevõtmisel erilisi raskusi, õigus saada lõikes 1 sätestatud perioodi pikendust kuni ühe aasta võrra. […] […]“. Isikuandmete kaitse üldmäärus 18 Isikuandmete kaitse üldmääruse põhjendustes 26, 32, 40, 42, 43, 50, 85, 143 ja 146 on märgitud: „(26) Andmekaitse põhimõtteid tuleks kohaldada tuvastatud või tuvastatavat füüsilist isikut puudutava igasuguse teabe suhtes. […] […] Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine. […] […] (32) Nõusolek tuleks anda selge kinnitusena, näiteks kirjaliku kinnituse vormis, sealhulgas elektroonilisel teel, või suulise avaldusena, millega andmesubjekt annab vabatahtlikult, konkreetselt, teadlikult ja ühemõtteliselt nõusoleku teda puudutavate isikuandmete töötlemiseks. […] Nõusolek peaks hõlmama kõiki samal eesmärgil või samadel eesmärkidel tehtavaid isikuandmete töötlemise toiminguid. Kui töötlemisel on mitu eesmärki, tuleks nõusolek anda kõigi nende kohta. […] […] (40) Töötlemise seaduslikkuse tagamiseks tuleks isikuandmeid töödelda asjaomase andmesubjekti nõusolekul või muul õiguslikul alusel, mis on sätestatud õigusaktis, kas käesolevas määruses või käesolevas määruses osutatud muus liidu või liikmesriigi õigusaktis, sealhulgas siis, kui vastutav töötleja peab täitma talle kehtivaid juriidilisi kohustusi või kui tuleb täita lepingut, mille osaline andmesubjekt on, või selleks, et võtta andmesubjekti taotlusel enne lepingu sõlmimist meetmeid. […] (42) Kui töödeldakse andmesubjekti nõusolekul, peaks vastutav töötleja suutma tõestada, et andmesubjekt on andnud isikuandmete töötlemise toiminguks oma nõusoleku. […] Nõusolekut ei tohiks lugeda vabatahtlikult antuks, kui andmesubjektil pole tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta. (43) Selle tagamiseks, et nõusolek on antud vabatahtlikult, ei tohiks nõusolek anda isikuandmete töötlemiseks kehtivat õiguslikku alust konkreetsel juhul, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus, ning seega on ebatõenäoline, et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult. Nõusolekut ei loeta vabatahtlikuks, kui ei ole võimalik anda erinevatele isikuandmete töötlemise toimingutele eraldi nõusolekut, ehkki see on üksikutel juhtudel asjakohane […]. […] (50) Isikuandmete töötlemine muudel eesmärgil kui need, milleks isikuandmed algselt koguti, peaks olema lubatud üksnes juhul, kui töötlemine on kooskõlas eesmärkidega, mille jaoks isikuandmed algselt koguti. Sellisel juhul ei ole nõutav, et õiguslik alus oleks erinev õiguslikust alusest, mis võimaldas isikuandmete kogumist. […] […] (85) Isikuandmetega seotud rikkumine, kui seda asjakohaselt ja õigeaegselt ei käsitleta, võib põhjustada füüsilistele isikutele füüsilise, materiaalse või mittemateriaalse kahju, nagu kontrolli kaotamine oma isikuandmete üle või õiguste piiramine, diskrimineerimine, identiteedivargus või pettus, rahaline kahju, pseudonümiseerimise loata tühistamine, maine kahjustamine, ametisaladusega kaitstud andmete konfidentsiaalsuse kadu või mõni muu tõsine majanduslik või sotsiaalne kahju asjaomasele füüsilisele isikule. […] […] (143) [I]gal füüsilisel või juriidilisel isikul [peaks] olema õigus pöörduda liikmesriigi pädeva kohtu poole tõhusa õiguskaitsevahendi saamiseks järelevalveasutuse otsuse vastu, millel on selle isiku suhtes õiguslikud tagajärjed. Selline otsus on eelkõige seotud järelevalveasutuse uurimis-, parandus- ja loaandmisvolitustega või kaebuste rahuldamata jätmise või tagasilükkamisega. Õigus tõhusale õiguskaitsevahendile ei hõlma siiski järelevalveasutuste õiguslikult mittesiduvaid meetmeid, näiteks järelevalveasutuse esitatud arvamusi või nõuandeid. […] […] (146) […] Vastutav töötleja või volitatud töötleja tuleks sellest vastutusest vabastada, kui ta tõendab, et ta ei ole kahju eest mingil viisil vastutav. Kahju mõistet tuleks Euroopa Kohtu praktikat arvestades tõlgendada laialt ja sellisel viisil, mis kajastab täielikult käesoleva määruse eesmärke. […] Andmesubjektid peaksid saama täieliku ja tõhusa hüvitise kahju eest, mida nad on kandnud. […]“. 19 Isikuandmete kaitse üldmääruse artiklis 4 „Mõisted“ on ette nähtud: „Käesolevas määruses kasutatakse järgmisi mõisteid: 1) „isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal; 2) „isikuandmete töötlemine“ – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine; […] 7) „vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses; […] 9) „vastuvõtja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kellele isikuandmed avaldatakse, olenemata sellest, kas tegemist on kolmanda isikuga või mitte. Vastuvõtjaiks ei peeta siiski avaliku sektori asutusi, kes võivad kooskõlas liidu või liikmesriigi õigusega saada isikuandmeid seoses konkreetse päringuga; nimetatud avaliku sektori asutused töötlevad kõnealuseid andmeid kooskõlas kohaldatavate andmekaitsenormidega vastavalt töötlemise eesmärkidele; […] 11) andmesubjekti „nõusolek“ – vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega; […]“. 20 Isikuandmete kaitse üldmääruse artiklis 5 „Isikuandmete töötlemise põhimõtted“ on ette nähtud: „1. Isikuandmete töötlemisel tagatakse, et […] b) isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus […] („eesmärgi piirang“); c) isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“); […] 2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).“ 21 Isikuandmete kaitse üldmääruse artikkel 6 „Isikuandmete töötlemise seaduslikkus“ on sõnastatud järgmiselt: „1. Isikuandmete töötlemine on seaduslik ainult juhul, kui on täidetud vähemalt üks järgmistest tingimustest, ning sellisel määral, nagu see tingimus on täidetud: a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil; […] c) isikuandmete töötlemine on vajalik vastutava töötleja juriidilise kohustuse täitmiseks; […] e) isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks; […] 3. Lõike 1 punktides c ja e osutatud isikuandmete töötlemise alus kehtestatakse: a) liidu õigusega või b) vastutava töötleja suhtes kohaldatava liikmesriigi õigusega. Isikuandmete töötlemise eesmärk määratakse kindlaks selles õiguslikus aluses või see on lõike 1 punktis e osutatud isikuandmete töötlemise osas vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. See õiguslik alus võib sisaldada erisätteid, et kohandada käesoleva määruse sätete kohaldamist, sealhulgas üldtingimusi, mis reguleerivad vastutava töötleja poolt isikuandmete töötlemise seaduslikkust, töötlemisele kuuluvate andmete liiki, asjaomaseid andmesubjekte, üksuseid, kellele võib isikuandmeid avaldada, ja avaldamise põhjuseid, eesmärgi piirangut, säilitamise aega ning isikuandmete töötlemise toiminguid ja -menetlusi, sealhulgas meetmeid seadusliku ja õiglase töötlemise tagamiseks, nagu näiteks meetmed teiste andmetöötluse eriolukordade jaoks, nagu need on sätestatud IX peatükis. Liidu või liikmesriigi õigus vastab avaliku huvi eesmärgile ning on proportsionaalne taotletava õiguspärase eesmärgiga. […]“. 22 Isikuandmete kaitse üldmääruse artiklis 17 „Õigus andmete kustutamisele („õigus olla unustatud“)“ on ette nähtud: „1. Andmesubjektil on õigus nõuda, et vastutav töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed ja vastutav töötleja on kohustatud kustutama isikuandmed põhjendamatu viivituseta, kui kehtib üks järgmistest asjaoludest: a) isikuandmeid ei ole enam vaja sellel eesmärgil, millega seoses need on kogutud või muul viisil töödeldud; b) andmesubjekt võtab töötlemiseks antud nõusoleku tagasi vastavalt artikli 6 lõike 1 punktile a või artikli 9 lõike 2 punktile a ning puudub muu õiguslik alus isikuandmete töötlemiseks; c) andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes artikli 21 lõike 1 kohaselt ja töötlemiseks pole ülekaalukaid õiguspäraseid põhjuseid või andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes artikli 21 lõike 2 kohaselt; d) isikuandmeid on töödeldud ebaseaduslikult; […] 3. Lõikeid 1 ja 2 ei kohaldata sel määral mil isikuandmete töötlemine on vajalik […] b) selleks, et täita vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega ette nähtud juriidilist kohustust, mis näeb ette isikuandmete töötlemise, või täita avalikes huvides olevat ülesannet või teostada vastutava töötleja avalikku võimu; […]“. 23 Isikuandmete kaitse üldmääruse artikli 21 lõige 1 on sõnastatud järgmiselt: Andmesubjektil on õigus oma konkreetsest olukorrast lähtudes esitada igal ajal vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, mis toimub artikli 6 lõike 1 punkti e või f alusel, sealhulgas nendele sätetele tugineva profiilianalüüsi suhtes. Vastutav töötleja ei töötle isikuandmeid edasi, välja arvatud juhul, kui vastutav töötleja tõendab, et andmeid töödeldakse ülekaalukal õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused, või õigusnõuete koostamise, esitamise või kaitsmise eesmärgil.“ 24 Isikuandmete kaitse üldmääruse artiklis 58 on sätestatud: „1. Järelevalveasutusel on järgmised uurimisvolitused: […] 2. Järelevalveasutusel on järgmised parandusvolitused: […] 3. Järelevalveasutusel on järgmised lubavad ja nõuandvad volitused: […] b) esitada omal algatusel või taotluse alusel isikuandmete kaitsega seotud küsimustes arvamusi riigi parlamendile, liikmesriigi valitsusele või, kooskõlas liikmesriigi õigusega, muudele institutsioonidele ja asutustele ning samuti avalikkusele; […] 4. Järelevalveasutusele käesoleva artikli kohaselt antud volituste kasutamisele kohaldatakse asjakohaseid kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust, mis on sätestatud liidu ja liikmesriigi õiguses kooskõlas [Euroopa Liidu põhiõiguste hartaga (edaspidi „harta“)]. 5. Liikmesriik näeb seadusega ette, et tema järelevalveasutusel on õigus juhtida õigusasutuste tähelepanu käesoleva määruse rikkumistele ning alustada vajaduse korral kohtumenetlus või osaleda selles muul viisil, et tagada käesoleva määruse sätete täitmine. 6. Liikmesriik võib seadusega ette näha, et tema järelevalveasutusel on täiendavad volitused lisaks lõigetes 1, 1b ja 1c osutatud volitustele. Volituste kasutamine ei tohi kahjustada VII peatüki tõhusat toimimist. Volituste kasutamine ei tohi kahjustada VII peatüki tõhusat toimimist.“ 25 Määruse artiklis 82 „Õigus hüvitisele ja vastutus“ on sätestatud: „1. Igal isikul, kes on kandnud käesoleva määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest. 2. Kõnealuse töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse käesolevat määrust. Volitatud töötleja vastutab töötlemise käigus tekitatud kahju eest ainult siis, kui ta ei ole täitnud käesoleva määruse nõudeid, mis on suunatud konkreetselt volitatud töötlejatele, või kui ta pole järginud vastutava töötleja seaduslikke juhiseid või on tegutsenud nende vastaselt. 3. Vastutav töötleja või volitatud töötleja vabastatakse vastutusest lõike 2 kohaselt, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest. […]“. 26 Isikuandmete kaitse üldmääruse artiklis 94 on sätestatud: „1. Direktiiv [95/46] tunnistatakse kehtetuks alates 25. maist 2018. 2. Viiteid kehtetuks tunnistatud direktiivile käsitatakse viidetena käesolevale määrusele. […]“. Bulgaaria õigus Registrite seadus 27 Äriregistri ja mittetulunduslike juriidiliste isikute registri seaduse (Zakon za targovskia registar i registara na yuridicheskite litsa s nestopanska tsel; DV nr 34, 25.4.2006) käesolevas kohtuasjas kohaldatavas redaktsioonis (edaspidi „registrite seadus“) on artiklis 2 sätestatud: „(1) „Äriregister ja mittetulunduslike juriidiliste isikute register on ühine elektrooniline andmebaas, mis sisaldab sinna seaduse alusel kantud asjaolusid ja seaduse alusel avalikustatud dokumente, mis puudutavad ettevõtjaid ja välismaa ettevõtjate filiaale, mittetulunduslikke juriidilisi isikuid ja välismaa mittetulunduslike juriidiliste isikute filiaale. (2) Lõikes 1 osutatud asjaolud ja dokumendid avalikustatakse ilma teabeta, mis kujutab endast [isikuandmete kaitse üldmääruse] artikli 4 punkti 1 tähenduses isikuandmeid, välja arvatud teabe puhul, mille avalikustamist nõuab seadus.“ 28 Registrite seaduse artiklis 3 on ette nähtud: „Äriregistrit ja mittetulunduslike juriidiliste isikute registrit peab Ministar na pravosadieto [justiitsminister, Bulgaaria] haldusalasse kuuluv [amet].“ 29 Registrite seaduse artikli 6 lõikes 1 on sätestatud: „Iga ettevõtja ja mittetulunduslik juriidiline isik on kohustatud taotlema enda kandmist vastavalt äriregistrisse ja mittetulunduslike juriidiliste isikute registrisse, esitades registrisse kandmisele kuuluvad asjaolud ja avalikustamisele kuuluvad dokumendid.“ 30 Registrite seaduse artikkel 11 on sõnastatud järgmiselt: „(1) Äriregister ja mittetulunduslike juriidiliste isikute register on avalikud. Igaühel on õigus registrid moodustava andmebaasiga vabalt ja tasuta tutvuda. (2) [Amet] tagab registreeritud kasutajale võimaluse tutvuda ettevõtja või mittetulundusliku juriidilise isiku toimikuga.“ 31 Registrite seaduse artikli 13 lõigetes 1, 2, 6 ja 9 on sätestatud: „(1) Kanne tehakse, kustutatakse ja avalikustatakse vastaval vormil esitatud avalduse alusel. (2) Avalduses esitatakse järgmised andmed: 1. avaldaja kontaktandmed; […] 3. asjaolu, mille kohta tuleb kanne teha; kanne, mis palutakse kustutada, või avalikustamisele kuuluv dokument; […] (6) [A]valdusele lisatakse dokumendid või vajaduse korral dokument, mis kuulub seaduse alusel avalikustamisele. Dokumendid esitatakse originaali, avaldaja kinnitatud ärakirja või notariaalselt tõestatud ärakirja vormis. Avaldaja esitab ka äriregistris avalikustamisele kuuluvate dokumentide kinnitatud ärakirjad, millest on muud kui seadusega nõutavad isikuandmed eemaldatud. […] (9) Kui avalduses või sellele lisatud dokumentides on isikuandmeid, mida seadus ei nõua, eeldatakse, et nende esitajad on andnud nõusoleku nende [ameti] poolt töötlemisele ja avalikustamisele. […]“. Äriseadus 32 Äriseaduse (Targovski zakon; DV nr 48, 18.6.1991) käesolevas kohtuasjas kohaldatava redaktsiooni (edaspidi „äriseadus“) artikli 101 punktis 3 on sätestatud, et põhikiri peab sisaldama „osanike nime, ärinime ja kordumatut tunnuskoodi“. 33 Äriseaduse artiklis 119 on sätestatud: „(1) Äriühingu äriregistrisse kandmiseks on vaja: 1. esitada põhikiri, mis avalikustatakse; […] (2) Punktis 1 osutatud andmed […] kantakse registrisse […] […] (4) Põhikirja muutmiseks või täiendamiseks äriregistris esitatakse avalikustamise eesmärgil põhikirja kõiki muudatusi ja täiendusi sisaldav ärakiri, mille on kinnitanud äriühingut esindav organ.“ Määrus nr 1 äriregistri ja mittetulunduslike juriidiliste isikute registri pidamise, andmete säilitamise ja nendega tutvumise kohta 34 Ministar na pravosadieto (justiitsminister) 14. veebruari 2007. aasta määruse nr 1 äriregistri ja mittetulunduslike juriidiliste isikute registri pidamise, andmete säilitamise ja nendega tutvumise kohta (Naredba no 1 za vodene, sahranyavane i dostap do targovskia registar i do registara na yuridicheskite litsa s nestopanska tsel; DV nr 18, 27.2.2007) käesolevas kohtuasjas kohaldatavas redaktsioonis on artiklis 6 ette nähtud: „Äriregistrisse ja mittetulunduslike juriidiliste isikute registrisse kandmine ja sealt kustutamine toimub [konkreetseid vorme sisaldavate] lisade kohasel vormil esitatud avalduse alusel. Dokumentide äriregistris ja mittetulunduslike juriidiliste isikute registris avalikustamine toimub [konkreetseid vorme sisaldavate] lisade kohasel vormil esitatud avalduse alusel.“ Põhikohtuasi ja eelotsuse küsimused 35 OL on Bulgaaria õiguse alusel asutatud osaühingu Praven Shtit Konsulting OOD osanik; see osaühing kanti 14. jaanuaril 2021 äriregistrisse pärast 30. detsembri 2020 põhikirja esitamist, mille osanikud olid allkirjastanud (edaspidi „asjaomane põhikiri“). 36 Amet avalikustas esitatud kujul selle põhikirja, mis sisaldab OLi perekonnanime, eesnime, isikukoodi, isikutunnistuse numbrit, väljaandmise kuupäeva ja kohta ning OLi aadressi ja allkirja. 37 OL palus 8. juulil 2021 ametil kustutada oma põhikirjas sisalduvad isikuandmed, täpsustades, et kui tema andmete töötlemine põhines tema nõusolekul, võtab ta selle tagasi. 38 Kuna amet ei vastanud, pöördus OL Administrativen sad Dobrichi (Dobrichi halduskohus, Bulgaaria) poole, kes tühistas 8. detsembri 2021. aasta kohtuotsusega ameti vaikimisi keeldumise neid andmeid kustutamast ja saatis asja ametile tagasi uue otsuse tegemiseks. 39 Täites seda kohtuotsust ja samasuguse avalduse esitanud ühe teise osaniku osas tehtud analoogset kohtuotsust, teatas amet 26. jaanuari 2022. aasta kirjas, et selleks, et ta saaks OLi esitatud isikuandmete kustutamise avalduse rahuldada, tuleb talle esitada põhikirja kinnitatud ärakiri, millest on muud kui seadusega nõutavad osanike isikuandmed eemaldatud. 40 31. jaanuaril 2022 pöördus OL uuesti Administrativen sad Dobrichi (Dobrichi halduskohus) poole, palude see kiri tühistada ja mõista ametilt tema kasuks välja hüvitis mittevaralise kahju eest, mis on talle tekitatud selle kirjaga, mis rikub isikuandmete kaitse üldmäärusega antud õigusi. 41 Amet kustutas 1. veebruaril 2022 – veel enne, kui see kaebus talle kätte toimetati – OLi isikukoodi, isikutunnistuse andmed ja aadressi omal algatusel, kuid jättis registrisse tema perekonnanime, eesnime ja allkirja. 42 5. mai 2022. aasta kohtuotsusega tühistas Administrativen sad Dobrich (Dobrichi halduskohus) 26. jaanuari 2022. aasta kirja ja mõistis ametilt isikuandmete kaitse üldmääruse artikli 82 alusel OLi kasuks mittevaralise kahju hüvitamiseks välja 500 Bulgaaria leevi (BGN) (ligikaudu 255 eurot) koos seadusjärgse viivisega. Selle kohtuotsuse kohaselt seisnes kahju esiteks OLi negatiivsetes psühholoogilistes ja emotsionaalsetes kogemustes, nimelt hirmus ja mures võimalike kuritarvituste pärast ning suutmatuses ja pettumuses võimatuse ees oma isikuandmeid kaitsta. Teiseks tulenes see kahju sellest kirjast, mis tõi kaasa isikuandmete kaitse üldmääruse artikli 17 lõikes 1 sätestatud õiguse andmete kustutamisele rikkumise ning avalikustatud põhikirjas sisalduvate tema isikuandmete ebaseadusliku töötlemise. 43 Amet esitas selle kohtuotsuse peale kassatsioonkaebuse eelotsusetaotluse esitanud kohtule, Varhoven administrativen sadile (Bulgaaria kõrgeim halduskohus). 44 Eelotsusetaotluse esitanud kohtu sõnul väidab amet, et ta ei ole mitte ainult vastutav töötleja, vaid ka nende isikuandmete vastuvõtja, mis edastati Praven Shtit Konsultingu registrisse kandmise menetluses. Lisaks ei saanud amet asjaomase põhikirja ärakirja, millest oleks eemaldatud OLi isikuandmed, mida ei tohtinud avalikustada, kuigi ta oli palunud selle esitada enne selle äriühingu äriregistrisse kandmist. Sellise ärakirja puudumine ei takista aga tema sõnul eraldivõetuna äriühingu kandmist äriregistrisse. See tulenevat liikmesriigi järelevalveasutuse Komisia za zashtita na lichnite danni (isikuandmete kaitse komisjon, Bulgaaria) isikuandmete kaitse üldmääruse artikli 58 lõike 3 punkti b alusel esitatud 1. veebruari 2021. aasta arvamusest nr 01‑116(20), millele amet viitab. Eelotsusetaotluse esitanud kohus märgib, et OL on seisukohal, et amet kui vastutav töötleja ei saa nõuda teistelt isikutelt temal lasuvate isikuandmete kustutamise kohustuste täitmist, sest liikmesriigi kohtupraktika kohaselt ei ole see arvamus kooskõlas isikuandmete kaitse üldmäärusega. 45 Eelotsusetaotluse esitanud kohus lisab, et sedalaadi valdavat liikmesriigi kohtupraktikat arvestades on vaja selgitada selle määruse nõudeid. Eelkõige on eelotsusetaotluse esitanud kohtul tekkinud küsimus, kuidas ühitada ühelt poolt õigus isikuandmete kaitsele ja teiselt poolt õigusnormid, millega tagatakse avalikustamine ja õigus tutvuda äriühingute dokumentidega, täpsustades eelkõige, et 9. märtsi 2017. aasta kohtuotsus Manni (C‑398/15, EU:C:2017:197) ei võimalda lahendada põhikohtuasjas kõne all olevas olukorras kerkivaid tõlgendamisprobleeme. 46 Neil asjaoludel otsustas Varhoven administrativen sad (kõrgeim halduskohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused: „1. Kas direktiivi [2009/101] artikli 4 lõiget 2 saab tõlgendada nii, et viidatud säte kohustab liikmesriiki lubama avalikustada põhikirja, mille registreerimine on [äriseaduse] artikli 119 kohaselt kohustuslik, kui lisaks osanike nimedele, mis kuuluvad kohustuslikus korras avalikustamisele [registrite seaduse] artikli 2 lõike 2 alusel, sisaldab põhikiri ka nende muid isikuandmeid? Sellele küsimusele vastamisel tuleb silmas pidada, et [amet] on avaliku sektori asutus, mille vastu võib Euroopa Kohtu väljakujunenud praktika kohaselt tugineda direktiivi vahetult kohaldatavatele sätetele (7. septembri 2006. aasta kohtuotsus Vassallo, С‑180/04, EU:C:2006:518, punkt 26 ja seal viidatud kohtupraktika)? 2. Kas juhul, kui esimesele küsimusele vastatakse jaatavalt, võib eeldada, et põhikohtuasja aluseks olevatel asjaoludel on isikuandmete töötlemine [ameti] poolt vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks [isikuandmete kaitse üldmääruse] artikli 6 lõike 1 punkti e tähenduses? 3. Kas juhul, kui kahele esimesele küsimusele vastatakse jaatavalt, saab vaatamata [isikuandmete kaitse üldmääruse] põhjendustele 32, 40, 42, 43 ja 50 pidada lubatavaks sellist riigisisest õigusnormi nagu [registrite seaduse] artikli 13 lõige 9 – mille kohaselt tuleb juhul, kui taotluses või sellega seotud dokumentides esitatakse isikuandmeid, mida seadus ei nõua, eeldada, et isikud, kes need andmed esitasid, on andnud [ametile] nõusoleku andmete töötlemiseks ja üldsusele kättesaadavaks tegemiseks –, kui direktiivi [2009/101] artikli 4 lõike 2 kohase võimaluse „avaldada vabatahtlikult“ – isegi isikuandmed – täpsustust? 4. Kas selleks, et liikmesriigid saaksid täita direktiivi [2009/101] artikli 3 lõikes 7 sätestatud kohustust võtta vajalikke meetmeid, et vältida lahknevusi [selle artikli 3] lõike 5 kohaselt avaldatu ja registris või toimikus sisalduva vahel ning võtta arvesse kolmandate isikute huvi tutvuda äriühingu põhidokumentide sisu ja muu äriühingut puudutava teabega, mida on nimetatud direktiivi põhjenduses 3, on lubatavad riigisisesed õigusnormid, mis näevad ette menetluskorra (avaldusvormid, ärakirja esitamine dokumentidest, millest on isikuandmed eemaldatud), mille kohaselt kasutab füüsiline isik talle [isikuandmete kaitse üldmääruse] artiklist 17 tulenevat õigust nõuda vastutavalt töötlejalt oma isikuandmete viivitamatut kustutamist, kui isikuandmed, mille kustutamist nõutakse, on osa ametlikult üldsusele kättesaadavaks tehtud (avalikustatud) dokumentidest, mille on vastutavale töötlejale sarnase menetluskorra alusel esitanud kolmas isik, kes on selle toiminguga kindlaks määranud ka tema algatatud töötlemise eesmärgi? 5. Kas põhikohtuasja aluseks olevas olukorras tegutseb [amet] seoses isikuandmetega ainult vastutava [töötlejana] või on ta ka nende andmete vastuvõtja, kui avalikustamiseks esitatud dokumentide osaks olevate isikuandmete töötlemise eesmärgi on kindlaks määranud teine vastutav töötleja? 6. Kas füüsilise isiku omakäeline allkiri kujutab endast teavet tuvastatud füüsilise isiku kohta ja kas see on seega hõlmatud mõistega „isikuandmed“ [isikuandmete kaitse üldmääruse] artikli 4 lõike 1 tähenduses? 7. Kas [isikuandmete kaitse üldmääruse] artikli 82 lõikes 1 sisalduvat mõistet „mittevaraline kahju“ tuleb tõlgendada nii, et mittevaraline kahju eeldab tuntavaid negatiivseid tagajärgi ja isiklike huvide objektiivselt tõendatavat kahjustamist, või on selleks piisav, et – olukorras, kus puuduvad tuntavad või ebasoodsad tagajärjed andmesubjektile – ta kaotab tulenevalt isikuandmete avalikustamisest äriregistris lühiajaliselt ainuõiguse oma isikuandmete kasutamise üle? 8. Kas riiklikuks järelevalveasutuseks oleva [isikuandmete kaitse komisjoni poolt isikuandmete kaitse üldmääruse] artikli 58 lõike 3 punkti b alusel võetud 1. veebruari 2021. aasta arvamust nr 01‑116(20), mille kohaselt ei ole [ametil] õiguslikku võimalust ega õigust omal algatusel ega andmesubjekti avalduse alusel piirata juba avalikustatud andmete töötlemist, võib lugeda tõendiks [isikuandmete kaitse üldmääruse] artikli 82 lõike 3 tähenduses selle kohta, et [amet] ei ole mingil viisil vastutav füüsilisele isikule väidetavalt kahju tekitanud asjaolu eest?“ Eelotsuse küsimuste analüüs Sissejuhatavad kaalutlused 47 Kõigepealt tuleb märkida, et esitatud küsimused puudutavad nii isikuandmete kaitse üldmääruse kui ka direktiivi 2009/101 tõlgendamist; viimane kodifitseeriti ja asendati direktiiviga 2017/1132, mis on põhikohtuasja asjaolude suhtes ratione temporis kohaldatav. Järelikult tuleb eelotsusetaotlust tõlgendada nii, et sellega palutakse tõlgendada direktiivi 2017/1132. 48 Lisaks – nagu märkis kohtujurist oma ettepaneku punktis 15 –, kuna osa neist faktilistest asjaoludest leidis aset pärast 1. augustit 2021, mil möödus viimati nimetatud direktiivi artikli 2 lõikes 1 sätestatud direktiivi 2019/1151 ülevõtmise tähtaeg, peab eelotsusetaotluse esitanud kohus kontrollima, kas need faktilised asjaolud kuuluvad ratione temporis direktiivi 2017/1132 või direktiiviga 2019/1151 muudetud direktiivi 2017/1132 kohaldamisalasse. 49 Samas tuleb märkida, et direktiivist 2019/1151 tulenevad direktiivi 2017/1132 artiklite 16 ja 161 sõnastuse muudatused ja artikli 16a lisamine sellele direktiivile ei mõjuta analüüsi, mille Euroopa Kohus peab käesolevas kohtuasjas läbi viima, mistõttu käesolevas kohtuotsuses antavad vastused on igal juhul asjakohased. Esimene küsimus 50 Esimese küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas direktiivi 2017/1132 artikli 21 lõiget 2 tuleb tõlgendada nii, et see paneb liikmesriigile kohustuse lubada avalikustada äriregistris põhikiri, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega ja mis sisaldab muid isikuandmeid kui nõutavad minimaalsed isikuandmed, mille avaldamist liikmesriigi õigusnormid ei nõua. 51 Eelkõige soovib eelotsusetaotluse esitanud kohus teada, milline on selles sättes nimetatud vabatahtliku avalikustamise ulatus ja soovib kindlaks teha, kas see säte kohustab liikmesriike lubama selliste äriühingute dokumentides sisalduvate andmete avalikustamist nagu isikuandmed, mida nad ei ole direktiivis ette nähtud kohustusliku avalikustamise alusel nõudnud. 52 Direktiivi 2017/1132 artikli 21 lõike 2 esimeses lõigus on sätestatud, et „[l]isaks [selle direktiivi] artiklis 16 osutatud kohustuslikule avalikustamisele lubavad liikmesriigid avaldada [direktiivi] artiklis 14 nimetatud dokumente ja andmeid [direktiivi] artikli 16 kohaselt vabatahtlikult mis tahes muus liidu ametlikus keeles“. Artikli 21 lõike 2 teine lõik lubab liikmesriikidel sätestada, et „selliste dokumentide ja andmete tõlge“ peab olema kinnitatud. Artikli 21 lõike 2 kolmas lõik käsitleb lõpetuseks vajalikke meetmeid, et lihtsustada kolmandate isikute juurdepääsu vabatahtlikult avaldatud „tõlgetele“. 53 Direktiivi 2017/1132 artiklis 14 on omakorda loetletud dokumendid ja andmed, mille asjaomased äriühingud peavad minimaalselt kohustuslikult avalikustama. Neid dokumente ja andmeid tuleb vastavalt nimetatud direktiivi artikli 16 lõigetele 3–5 hoida toimikus või need tuleb kanda registrisse, nendega tutvumiseks peab olema võimalik saada taotluse korral koopia või väljavõte ning need avalikustatakse, avaldades need liikmesriigi ametlikus väljaandes – kas tervikuna või väljavõttena või viidates dokumendile – või võrdselt tõhusa meetme abil. 54 Sellega seoses tuleb märkida, et võttes eelkõige arvesse mõiste „tõlked“ korduvat kasutamist direktiivi 2017/1132 artikli 21 lõikes 2, nähtub selle sätte sõnastusest, et see puudutab direktiivi artiklis 14 osutatud dokumentide ja andmete tõlgete vabatahtlikku avalikustamist ühes liidu ametlikus keeles ja seega üksnes nende dokumentide ja andmete avaldamiskeelt. Seevastu ei käsitle see säte nimetatud dokumentide ja andmete sisu. 55 Seega näib see sõnastus viitavat sellele, et artikli 21 lõiget 2 ei saa tõlgendada nii, et see paneb liikmesriikidele mingisuguse kohustuse seoses selliste isikuandmete avalikustamisega, mille avalikustamist ei ole nõutud ei muude liidu õigusnormide ega asjaomase liikmesriigi õigusnormidega, kuid mis sisalduvad dokumendis, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega. 56 Kui aga liidu õigusnormi tähendus on sätte sõnastuse järgi üheselt mõistetav, ei saa Euroopa Kohus sellest tõlgendusest kõrvale kalduda (25. jaanuari 2022. aasta kohtuotsus VYSOČINA WIND, C‑181/20, EU:C:2022:51, punkt 39). 57 Mis puudutab direktiivi 2017/1132 artikli 21 lõike 2 konteksti, siis kinnitavad selle artikli pealkiri, mis viitab „[a]valikustamisele kuuluvate dokumentide ja andmete avalikustamise keel[ele] ja tõl[getele]“, ning selle artikli ülejäänud lõiked igal juhul käesoleva kohtuotsuse punktis 55 esitatud tõlgendust. 58 Nimelt on direktiivi 2017/1132 artikli 21 lõikes 1 sätestatud, et „[selle direktiivi a]rtikli 14 kohaselt avalikustamisele kuuluvad dokumendid ja andmed koostatakse ja esitatakse […] ühes [kehtivate selle valdkonna riigisiseste eeskirjade kohaselt] lubatud keeles“. Artikli 21 lõige 3 näeb ette, et lisaks direktiivi artiklis 16 sätestatud kohustuslikule avalikustamisele ja artikli 21 lõikes 2 ettenähtud vabatahtlikule avalikustamisele võivad liikmesriigid lubada kõnealuseid dokumente ja andmeid avaldada „mis tahes muus keeles“. Mis puudutab artikli 21 lõiget 4, siis viitab see „vabatahtlikult avaldatud tõlke[le]“. 59 Lõpuks kinnitab käesoleva kohtuotsuse punktis 55 toodud tõlgendust direktiivi põhjendus 12, mille kohaselt tuleks lihtsustada piiriülest juurdepääsu äriühinguid puudutavale teabele, lubades lisaks nõutavate dokumentide ja andmete kohustuslikule avaldamisele ühes äriühingu liikmesriigis lubatud keeles ka nende vabatahtlikku registreerimist teistes keeltes. 60 Eeltoodut arvestades tuleb esimesele küsimusele vastata, et direktiivi 2017/1132 artikli 21 lõiget 2 tuleb tõlgendada nii, et see ei pane liikmesriigile kohustust lubada avalikustada äriregistris põhikiri, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega ja mis sisaldab muid isikuandmeid kui nõutavad minimaalsed isikuandmed, mille avaldamist selle liikmesriigi õigusnormid ei nõua. Teine ja kolmas küsimus 61 Arvestades esimesele küsimusele antud vastust, ei ole teisele ja kolmandale küsimusele vaja vastata, sest need on esitatud ainult juhuks, kui vastus esimesele küsimusele on jaatav. Viies küsimus 62 Viienda küsimusega, mida tuleb analüüsida enne neljandat küsimust, soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmäärust, eelkõige selle artikli 4 punkte 7 ja 9 tuleb tõlgendada nii, et liikmesriigi äriregistrit pidav asutus, kes avaldab selles registris isikuandmed, mis sisalduvad põhikirjas, mis on hõlmatud direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega ja mille asjaomane äriühing esitas talle sellesse registrisse kandmise taotluse käigus, on nii nende andmete „vastuvõtja“ kui ka nende andmete „vastutav töötleja“ selle sätte tähenduses. 63 Kõigepealt tuleb meenutada, et vastavalt direktiivi 2017/1132 artiklile 161 peab selle direktiivi raames isikuandmete töötlemine toimuma vastavalt direktiivile 95/46 ja seega isikuandmete kaitse üldmäärusele, mille artikli 94 lõikes 2 on täpsustatud, et viiteid viimati nimetatud direktiivile käsitatakse viidetena sellele määrusele. 64 Sellega seoses tuleb kõigepealt märkida, et direktiivi 2017/1132 artikli 14 punktide a, b ja d kohaselt peavad liikmesriigid võtma vajalikud meetmed tagamaks, et kohustuslik avalikustamine äriühingute puhul hõlmab vähemalt asutamisdokumenti, kõiki selles tehtavaid muudatusi ja selliste isikute määramist, ametist vabastamist ja andmeid nende isikute kohta, kellel on seadusjärgse organina või sellise organi liikmena õigus esindada äriühingut tehingutes kolmandate isikutega või kohtus või võtta osa äriühingu juhtimisest, järelevalvest või kontrollimisest. Lisaks kuuluvad direktiivi artikli 4 punkti i kohaselt avalikustamisele kuuluvas asutamislepingus sisalduvate kohustuslike andmete hulka nende füüsiliste või juriidiliste isikute või äriühingute andmed mis ei ole juriidilised isikud, kes on sellele dokumendile alla kirjutanud või kelle nimel on sellele alla kirjutatud. 65 Nagu on märgitud käesoleva kohtuotsuse punktis 53, tuleb nimetatud direktiivi artikli 16 lõigete 3–5 kohaselt neid dokumente ja andmeid hoida toimikus või need tuleb kanda registrisse, nendega tutvumiseks peab olema võimalik saada taotluse korral koopia või väljavõte ning need avalikustatakse, avaldades need liikmesriigi ametlikus väljaandes – kas tervikuna või väljavõttena või viidates dokumendile – või võrdselt tõhusa meetme abil. 66 Nagu kohtujurist oma ettepaneku punktis 26 märkis, peavad liikmesriigid seega eelkõige kooskõlas liidu õigusega kindlaks määrama, millised direktiivi 2017/1132 artikli 4 punktis i ja artikli 14 punktis d nimetatud isikute isikusamasust käsitlevate andmete kategooriad – ja eeskätt millist tüüpi isikuandmed – tuleb kohustuslikult avalikustada. 67 Ent andmed nende isikute isikusamasuse kohta kui teave tuvastatud või tuvastatava füüsilise isiku kohta on „isikuandmed“ isikuandmete kaitse üldmääruse artikli 4 punkti 1 tähenduses (vt selle kohta 9. märtsi 2017. aasta kohtuotsus Manni, C‑398/15, EU:C:2017:197, punkt 34). 68 Sama kehtib täiendavate andmete kohta, mis käsitlevad nimetatud isikute või muude selliste isikute kategooriate, kelle suhtes liikmesriigid otsustavad kohaldada kohustuslikku avalikustamist, isikusamasust või mis – nagu käesoleval juhul – sisalduvad kohustuslikult avalikustamisele kuuluvates dokumentides, ilma et nende andmete avalikustamist oleks nõutud direktiiviga 2017/1132 või seda direktiivi rakendava liikmesriigi õigusega. 69 Järgmiseks, mis puudutab mõistet „vastuvõtja“ isikuandmete kaitse üldmääruse artikli 4 punkti 9 tähenduses, siis viitab see „füüsilisele või juriidilisele isikule, avaliku sektori asutusele, ametile või muule organile, kellele isikuandmed avaldatakse, olenemata sellest, kas tegemist on kolmanda isikuga või mitte“, kusjuures kõnealuses sättes on täpsustatud, et selle määratluse alla ei kuulu avaliku sektori asutused, kes saavad isikuandmeid seoses konkreetse päringuga kooskõlas liidu või liikmesriigi õigusega. 70 Ent kui liikmesriigi äriregistrit pidav asutus saab äriühingu äriregistrisse kandmise taotluse raames direktiivi 2017/1132 artiklis 14 osutatud kohustuslikule avalikustamisele kuuluvad dokumendid, mis sisaldavad isikuandmeid, siis olenemata sellest, kas need isikuandmed on nõutud direktiivi või riigisisese õigusega või mitte, on see asutus nende andmete „vastuvõtja“ isikuandmete kaitse üldmääruse artikli 4 punkti 9 tähenduses. 71 Lõpetuseks tuleb märkida, et isikuandmete kaitse üldmääruse artikli 4 punkti 7 kohaselt on „vastutav töötleja“ füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks töötlemise eesmärgid ja vahendid. Selles sättes on lisaks märgitud, et kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses. 72 Sellega seoses tuleb meenutada, et Euroopa Kohtu praktika kohaselt on selle sätte eesmärk tagada mõiste „vastutav töötleja“ laia määratluse abil andmesubjektide tõhus ja täielik kaitse (11. jaanuari 2024. aasta kohtuotsus État belge (ametliku väljaande töödeldavad andmed), C‑231/22, EU:C:2024:7, punkt 28 ja seal viidatud kohtupraktika). 73 Võttes arvesse isikuandmete kaitse üldmääruse artikli 4 punkti 7 sõnastust, tõlgendatuna lähtuvalt selle eesmärgist, ilmneb, et selleks, et teha kindlaks, kas isik või üksus tuleb kvalifitseerida „vastutavaks töötlejaks“ selle sätte tähenduses, tuleb analüüsida, kas see isik või üksus määrab üksi või koos teistega kindlaks töötlemise eesmärgid ja vahendid või on need kindlaks määratud liidu või liikmesriigi õiguses. Kui need on kindlaks määratud liikmesriigi õiguses, tuleb kontrollida, kas see õigus määrab vastutava töötleja või sätestab tema määramise konkreetsed kriteeriumid (vt selle kohta 11. jaanuari 2024. aasta kohtuotsus État belge (ametliku väljaande töödeldavad andmed), C‑231/22, EU:C:2024:7, punkt 29). 74 Sellega seoses on oluline täpsustada ka seda, et arvestades mõiste „vastutav töötleja“ laia määratlust isikuandmete kaitse üldmääruse artikli 4 punkti 7 tähenduses, võib töötlemise eesmärkide ja vahendite kindlaksmääramine ning olenevalt olukorrast vastutav töötleja olla liikmesriigi õiguses määratud nii sõnaselgelt kui ka vaikimisi. Viimati nimetatud juhul on siiski nõutav, et see kindlaksmääramine tuleneks piisavalt kindlalt asjaomasele isikule või üksusele antud rollist, ülesannetest ja volitustest (11. jaanuari 2024. aasta kohtuotsus État belge (ametliku väljaande töödeldavad andmed), C‑231/22, EU:C:2024:7, punkt 30). 75 Lisaks, kui registrit pidav asutus teeb äriühingu liikmesriigi äriregistrisse kandmise taotluse käigus saadud isikuandmete kohta kande ja säilitab need, edastades need vajaduse korral kolmandatele isikutele taotluse alusel ja avaldades need ametlikus väljaandes või võrdselt tõhusa meetme abil, töötleb ta isikuandmeid, mille puhul ta on „vastutav töötleja“ isikuandmete kaitse üldmääruse artikli 4 punktide 2 ja 7 tähenduses (vt selle kohta 9. märtsi 2017. aasta kohtuotsus Manni, C‑398/15, EU:C:2017:197, punkt 35). 76 Nimelt on selline isikuandmete töötlemine eraldiseisev ja hilisem kui isikuandmete esitamine äriregistrisse kandmise taotleja poolt ja nende saamine asutuse poolt. Lisaks teeb registrit pidav asutus neid töötlemistoiminguid üksinda vastavalt eesmärkidele ja korrale, mis on kindlaks määratud direktiivis 2017/1132 ja seda direktiivi rakendavas asjaomase liikmesriigi õiguses. 77 Sellega seoses tuleb märkida, et direktiivi põhjendustest 7 ja 8 nähtub, et direktiivis ette nähtud avalikustamise eesmärk on kaitsta eelkõige kolmandate isikute huve aktsiaseltside ja piiratud vastutusega äriühingute suhtes, kuna viimased pakuvad kolmandatele isikutele ainsa tagatisena oma vara. Selleks peab avalikustamine võimaldama kolmandatel isikutel tutvuda asjaomase äriühingu põhidokumentide sisuga ja muu äriühingut puudutava teabega, eelkõige andmetega isikute kohta, kellel on õigus seda äriühingut esindada. 78 Lisaks on selle direktiivi eesmärk tagada õiguskindlus äriühingute ja kolmandate isikute suhetes, sest pärast siseturu loomist on oodata liikmesriikidevahelise kaubanduse intensiivistumist. Seda silmas pidades on oluline, et iga isik, kes soovib luua ja arendada ärisuhteid teistes liikmesriikides asutatud äriühingutega, saaks hõlpsalt tutvuda äriühingute asutamist ja äriühingute esindamise eest vastutavate isikute volitusi käsitlevate peamiste andmetega, mistõttu peavad kõik asjakohased andmed olema registris sõnaselgelt esitatud (vt selle kohta 9. märtsi 2017. aasta kohtuotsus Manni, C‑398/15, EU:C:2017:197, punkt 50). 79 Ent nagu märkis kohtujurist oma ettepaneku punktis 39, ei oma äriühingu sellesse registrisse kandmise taotleja liikmesriigi äriregistrit pidavale asutusele direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega hõlmatud dokumente ja andmeid esitades ja sel moel nendes dokumentides sisalduvaid isikuandmeid töödeldes mingit mõju eesmärkide ja hilisema töötlemise kindlaksmääramisele selle asutuse poolt. Lisaks on tal erinevaid ja talle ainuomaseid eesmärke, st eesmärk täita äriühingu registreerimiseks vajalikud formaalsused. 80 Nagu kohtujurist oma ettepaneku punktides 31 ja 32 märkis, nähtub käesoleval juhul eelotsusetaotlusest, et OLi isikuandmed avalikustati ametile kui äriregistrit pidavale asutusele antud volituste täitmise käigus, kusjuures nende andmete töötlemise eesmärgid ja vahendid on kindlaks määratud nii liidu õiguses kui ka põhikohtuasjas kõne all olevas riigisiseses õiguses, eelkõige registrite seaduse artikli 13 lõikes 9. Seega ei mõjuta asjaolu, et vastupidi nendes õigusnormides ette nähtud menetluseeskirjadele ei esitatud põhikirja kinnitatud ärakirja, millest oleks eemaldatud isikuandmed, mida nendes õigusnormides ei ole nõutud, ameti kvalifitseerimist „vastutavaks töötlejaks“. 81 Seda kvalifikatsiooni ei sea kahtluse alla ka asjaolu, et amet ei kontrolli samade õigusnormide alusel enne veebis kättesaadavaks tegemist isikuandmeid, mida sisaldavad need pildisalvestised või originaaldokumendid, mis on talle äriühingu registreerimiseks esitatud. Sellega seoses on Euroopa Kohus juba sedastanud, et isikuandmete kaitse üldmääruse artikli 4 punkti 7 eesmärgiga, millele on viidatud käesoleva kohtuotsuse punktis 72, oleks vastuolus see, kui liikmesriigi ametlik väljaanne jäetaks mõiste „vastutav töötleja“ kohaldamisalast välja põhjusel, et tal puudub kontroll oma väljaannetes sisalduvate isikuandmete üle (11. jaanuari 2024. aasta kohtuotsus État belge (ametliku väljaande töödeldavad andmed), C‑231/22, EU:C:2024:7, punkt 38). 82 Neil asjaoludel ilmneb, et sellises olukorras, nagu on kõne all põhikohtuasjas, vastutab amet OLi isikuandmete töötlemise eest, mis seisneb nende andmete veebis kättesaadavaks tegemises, isegi kui talle oleks tulnud põhikohtuasjas kõne all olevate riigisiseste õigusnormide alusel esitada ärakiri põhikirjast, millest on eemaldatud isikuandmed, mida need õigusnormid ei nõua; kas see nii on, peab kontrollima eelotsusetaotluse esitanud kohus. Seega vastutab amet isikuandmete kaitse üldmääruse artikli 5 lõike 2 kohaselt ka selle artikli lõike 1 järgimise eest. 83 Eeltoodut arvestades tuleb viiendale küsimusele vastata, et isikuandmete kaitse üldmäärust, eelkõige selle artikli 4 punkte 7 ja 9 tuleb tõlgendada nii, et liikmesriigi äriregistrit pidav asutus, kes avaldab selles registris isikuandmed, mis sisalduvad põhikirjas, mis on hõlmatud direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega ja mis esitati talle asjaomase äriühingu sellesse registrisse kandmise taotluse raames, on nii nende andmete „vastuvõtja“ kui ka – eelkõige siis, kui ta teeb need üldsusele kättesaadavaks – nende andmete „vastutav töötleja“ selle sätte tähenduses, isegi kui põhikiri sisaldab isikuandmeid, mida ei ole direktiivis ega asjaomase liikmesriigi õiguses nõutud. Neljas küsimus Vastuvõetavus 84 Bulgaaria valitsus väidab, et neljas küsimus on vastuvõetamatu, kuna sellega tõstatatakse hüpoteetiline probleem. Liikmesriigi valitsuse sõnul puudutab see küsimus nimelt seda, kas direktiivi 2017/1132 artikliga 16 on kooskõlas riigisisesed õigusnormid, mis käsitlevad isikuandmete kaitse üldmääruse artiklis 17 sätestatud õiguse kasutamise riigisiseseid menetlusnorme, mida ei ole veel vastu võetud. 85 Väljakujunenud kohtupraktika kohaselt loob ELTL artiklis 267 ette nähtud eelotsusemenetlus liikmesriigi kohtute ja Euroopa Kohtu vahel tiheda koostöö, mis põhineb nendevahelisel ülesannete jaotusel ja kujutab endast vahendit, mille abil Euroopa Kohus annab liikmesriigi kohtutele juhtnööre liidu õiguse tõlgendamisel, mida nad vajavad nende menetluses olevate kohtuvaidluste lahendamiseks. Selle koostöö raames on üksnes asja menetleva ja selles tehtava lahendi eest vastutava liikmesriigi kohtu ülesanne kohtuasja eripära arvesse võttes hinnata nii eelotsusetaotluse vajalikkust asjas otsuse langetamiseks kui ka Euroopa Kohtule esitatavate küsimuste asjakohasust. Seega, kui küsimused on esitatud liidu õiguse tõlgendamise kohta, on Euroopa Kohus põhimõtteliselt kohustatud neile vastama (23. novembri 2021. aasta kohtuotsus IS (eelotsusetaotluse õigusvastasus), C‑564/19, EU:C:2021:949, punktid 59 ja 60 ning seal viidatud kohtupraktika). 86 Sellest järeldub, et eeldatakse, et liidu õigust puudutavad küsimused on asjakohased. Euroopa Kohus võib keelduda liikmesriigi kohtu esitatud eelotsuse küsimusele vastamast vaid siis, kui on ilmne, et taotletaval liidu õiguse tõlgendusel puudub igasugune seos põhikohtuasja asjaolude või esemega, kui probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada vajalikke faktilisi või õiguslikke asjaolusid, et anda tarvilik vastus talle esitatud küsimustele (24. novembri 2020. aasta kohtuotsus Openbaar Ministerie (dokumentide võltsimine), C‑510/19, EU:C:2020:953, punkt 26 ja seal viidatud kohtupraktika). 87 Käesoleval juhul nähtub eelotsusetaotlusest, et eelotsusetaotluse esitanud kohus peab viimase astmena otsustama, kas on õiguspärane see, et amet keeldus rahuldamast põhikohtuasjas kõne all olevat isikuandmete kustutamise taotlust põhjusel, et vastupidi Bulgaaria õigusnormides ette nähtud menetlusnormidele ei olnud ametile esitatud ärakirja põhikirjast, millest oleks eemaldatud isikuandmed, mida neis õigusnormides ei ole nõutud. Lisaks tuleneb sellest taotlusest, et ametil on tavaks sellest keelduda. Lõpuks täpsustas eelotsusetaotluse esitanud kohus, et Euroopa Kohtu vastus neljandale küsimusele on vajalik põhikohtuasja lahendamiseks kontekstis, kus riigisisene kohtupraktika ei ole ühtne. 88 Sellest järeldub, et vastupidi Bulgaaria valitsuse väidetele on neljas küsimus vastuvõetav. Sisulised küsimused 89 Võttes arvesse eelotsusetaotluses esitatud andmeid, mis on esitatud käesoleva kohtuotsuse punktis 87, tuleb asuda seisukohale, et neljanda küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas direktiivi 2017/1132, eelkõige selle artiklit 16, ja isikuandmete kaitse üldmääruse artiklit 17 tuleb tõlgendada nii, et nendega on vastuolus liikmesriigi õigusnormid või praktika, millest tulenevalt selle liikmesriigi äriregistrit pidav asutus jätab rahuldamata kõik selliste isikuandmete kustutamise taotlused, mida ei ole direktiivis ega asjaomase liikmesriigi õiguses nõutud ja mis sisalduvad selles registris avalikustatud põhikirjas, kui sellele asutusele ei ole selle liikmesriigi menetlusnorme rikkudes esitatud põhikirja ärakirja, kust need andmed oleksid eemaldatud. 90 Isikuandmete kaitse üldmääruse artikli 17 lõike 1 kohaselt on andmesubjektil õigus nõuda, et vastutav töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed, ja vastutav töötleja on kohustatud kustutama need andmed põhjendamatu viivituseta, kui kehtib üks selles sättes nimetatud asjaoludest. 91 Artikli 17 lõike 1 punkti c kohaselt on see nii juhul, kui andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes selle määruse artikli 21 lõike 1 kohaselt ja töötlemiseks pole „ülekaalukaid õiguspäraseid põhjuseid“ või – vastavalt artikli 17 lõike 1 punktile d – isikuandmeid on töödeldud „ebaseaduslikult“. 92 Isikuandmete kaitse üldmääruse artikli 17 lõike 3 punktist b tuleneb samuti, et artikli 17 lõiget 1 ei kohaldata sel määral, mil töötlemine on vajalik selleks, et täita vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega ette nähtud juriidilist kohustust, mis näeb ette isikuandmete töötlemise, või täita avalikes huvides olevat ülesannet või teostada vastutava töötleja avalikku võimu. 93 Seega selleks, et teha kindlaks, kas niisuguses olukorras, nagu on kõne all põhikohtuasjas, on andmesubjektil õigus isikuandmete kaitse üldmääruse artikli 17 alusel andmete kustutamisele, tuleb kõigepealt analüüsida seaduslikkuse alust või aluseid, mille alusel tema isikuandmeid töödeldakse. 94 Tuleb meenutada, et isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimene lõik näeb ette ammendava ja piirava loetelu juhtudest, mil isikuandmete töötlemist saab pidada seaduslikuks. Seega peab töötlemine selleks, et see oleks seaduslik, olema hõlmatud ühega selles sättes ette nähtud juhtudest (vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 99 ja seal viidatud kohtupraktika). 95 Kui andmesubjekt ei ole andnud oma isikuandmete töötlemiseks artikli 6 lõike 1 esimese lõigu punkti a alusel nõusolekut või kui nõusolek ei ole vabatahtlik, konkreetne, teadlik ja ühemõtteline isikuandmete kaitse üldmääruse artikli 4 punkti 11 tähenduses, võib selline töötlemine siiski olla põhjendatud, kui see vastab mõnele selle määruse artikli 6 lõike 1 esimese lõigu punktides b–f nimetatud vajalikkuse tingimusele (vt selle kohta 4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 92). 96 Selles kontekstis tuleb viimati nimetatud sättes ette nähtud põhjendusi – osas, milles need võimaldavad ilma andmesubjekti nõusolekuta toimuva isikuandmete töötlemise seaduslikuks muuta – tõlgendada kitsalt (4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 93 ja seal viidatud kohtupraktika). 97 Samuti tuleb täpsustada, et isikuandmete kaitse üldmääruse artikli 5 kohaselt lasub just vastutaval töötlejal kohustus tõendada, et selliseid andmeid kogutakse eeskätt täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel, et need on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt, ning et töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev (vt selle kohta 4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 95). 98 Ehkki eelotsusetaotluse esitanud kohtu ülesanne on kindlaks teha, kas sellise töötlemise, nagu on kõne all põhikohtuasjas, eri tahud on põhjendatud mõne isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktides a–f nimetatud vajadusega, võib Euroopa Kohus talle siiski anda tarvilikke juhiseid, mis võimaldavad tal tema menetluses oleva kohtuasja lahendada (vt selle kohta 4. juuli 2023. aasta kohtuotsus Meta Platforms jt (suhtlusvõrgustiku kasutamise tüüptingimused), C‑252/21, EU:C:2023:537, punkt 96). 99 Kõigepealt, nagu märkis kohtujurist oma ettepaneku punktis 43, ei paista käesoleval juhul registrite seaduse artikli 13 lõikes 9 ette nähtud nõusoleku eeldus vastavat isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktis a koostoimes selle määruse artikli 4 punktiga 11 nõutud tingimustele. 100 Nimelt, nagu nähtub selle määruse põhjendustest 32, 42 ja 43, tuleb nõusolek anda selge kinnitusena, näiteks kirjaliku kinnituse vormis, ilma et seda loetaks vabatahtlikult antuks, kui andmesubjektil pole tõelist või vaba valikuvõimalust või ta ei saa kahjulike tagajärgedeta nõusoleku andmisest keelduda või seda tagasi võtta. Lisaks ei tohiks nõusolek anda kehtivat õiguslikku alust konkreetselt juhul, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus. 101 Seega ei saa sellist eeldust nagu see, mis on ette nähtud registrite seaduse artikli 13 lõikes 9, pidada sellise avaliku sektori asutuse poolt, nagu on amet, isikuandmete töötlemiseks vabatahtliku, konkreetse, teadliku ja ühemõttelise nõusoleku andmist tõendavaks. 102 Järgmiseks tuleb märkida, et artikli 6 lõike 1 esimese lõigu punktides b ja d ette nähtud seaduslikkuse aluseid, mis puudutavad vastavalt lepingu täitmiseks ja füüsilise isiku eluliste huvide kaitsmiseks vajalikku isikuandmete töötlemist, ei ole põhikohtuasjas kõne all oleva isikuandmete töötlemise seisukohast asjakohased. Sama kehtib artikli 6 lõike 1 esimese lõigu punktis f ette nähtud seaduslikkuse aluse kohta, mis puudutab isikuandmete töötlemist, mis on vajalik vastutava töötleja õigustatud huvi korral, kuna artikli 6 lõike 1 teise lõigu sõnastusest nähtub selgelt, et isikuandmete töötlemine, mida avaliku sektori asutus oma ülesannete täitmisel teostab, ei saa kuuluda viimati nimetatud aluse kohaldamisalasse (vt selle kohta 8. detsembri 2022. aasta kohtuotsus Inspektor v Inspektorata kam Visshia sadeben savet (isikuandmete töötlemise eesmärgid – kriminaalmenetlus), C‑180/21, EU:C:2022:967, punkt 85). 103 Lõpuks tuleb isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktides c ja e ette nähtud seaduslikkuse aluste kohta märkida, et artikli 6 lõike 1 esimese lõigu punkti c kohaselt on isikuandmete töötlemine seaduslik, kui see on vajalik vastutava töötleja juriidilise kohustuse täitmiseks. Artikli 6 lõike 1 esimese lõigu punkti e kohaselt on lisaks samuti seaduslik töötlemine, mis on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. 104 Isikuandmete kaitse üldmääruse artikli 6 lõikes 3 on nende kahe seadusliku töötlemise juhtumi kohta eeskätt täpsustatud, et töötlemise alus peab olema kehtestatud liidu õigusega või vastutava töötleja suhtes kohaldatava liikmesriigi õigusega, et see õiguslik alus peab vastama avaliku huvi eesmärgile ning olema proportsionaalne taotletava õiguspärase eesmärgiga. 105 Esiteks, mis puudutab küsimust, kas põhikohtuasjas kõne all olev töötlemine on vajalik liidu õigusest või vastutava töötleja suhtes kohaldatava liikmesriigi õigusest tuleneva juriidilise kohustuse täitmiseks isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkti c tähenduses, tuleb märkida, nagu tegi kohtujurist oma ettepaneku punktides 45 ja 47, et direktiiv 2017/1132 ei kohusta süstemaatiliselt töötlema kõiki isikuandmeid, mis sisalduvad dokumendis, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega. Vastupidi, selle direktiivi artiklist 161 tuleneb, et isikuandmete töötlemine direktiivi 2017/1132 raames ja eelkõige selle direktiivi alusel teabe kogumine, säilitamine, kolmandatele isikutele kättesaadavaks tegemine ja avalikustamine peab täielikult vastama isikuandmete kaitse üldmäärusest tulenevatele nõuetele. 106 Seega peavad liikmesriigid selle direktiiviga kehtestatud kohustuste rakendamisel tagama, et omavahel sobitatakse ühelt poolt õiguskindluse ja kolmandate isikute huvide kaitse eesmärgid, mida selle direktiiviga taotletakse ja mida on meenutatud käesoleva kohtuotsuse punktis 77, ning teiselt poolt isikuandmete kaitse üldmääruses sätestatud õigused ja põhiõigus isikuandmete kaitsele, kusjuures seda tuleb teha, kaaludes tasakaalustatult neid eesmärke ja neid õigusi (vt selle kohta 1. augusti 2022. aasta kohtuotsus Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punkt 98). 107 Seega ei saa asuda seisukohale, et selliste isikuandmete veebis äriregistris kättesaadavaks tegemine, mida ei ole nõutud direktiivis 2017/1132 ega põhikohtuasjas kõne all olevates riigisisestes õigusnormides ja mis sisalduvad põhikirjas, mis on hõlmatud direktiivis ette nähtud kohustusliku avalikustamisega ning mis on esitatud ametile, on põhjendatud nõudega tagada selle direktiivi artiklis 14 nimetatud dokumentide avalikustamine vastavalt direktiivi artiklile 16, ning seega tuleneb see liidu õiguses ette nähtud juriidilisest kohustusest. 108 Kui eelotsusetaotluse esitanud kohtu kontrolli tulemusel ei ilmne just vastupidist, ei paista põhikohtuasjas kõne all oleva töötlemise seaduslikkus põhinevat ka vastutava töötleja suhtes kohaldatava liikmesriigi õigusest tuleneval juriidilisel kohustusel isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkti c tähenduses seetõttu, et ühelt poolt nähtub Euroopa Kohtu käsutuses olevast toimikust, et registrite seaduse artikli 2 lõikes 2 on ette nähtud, et dokumendid, mis tuleb äriregistrisse kanda, avalikustatakse ilma teabeta, mis kujutab endast isikuandmeid, „välja arvatud teabe puhul, mille avalikustamist nõuab seadus“, ja seetõttu, et teiselt poolt on selle seaduse artikli 13 lõikes 9 kehtestatud nõusoleku eeldus, mis – nagu nähtub käesoleva kohtuotsuse punktist 99 – ei vasta isikuandmete kaitse üldmääruse nõuetele. 109 Teiseks, küsimuse puhul, kas põhikohtuasjas kõne all olev töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkti e tähenduses, millele viitavad eeskätt nii eelotsusetaotluse esitanud kohus kui ka Bulgaaria valitsus ja amet, on Euroopa Kohus juba otsustanud, et avaliku sektori asutuse tegevus, mis seisneb selliste andmete andmebaasis säilitamises, mida äriühingud on kohustatud seadusest tulenevate kohustuste alusel esitama, huvitatud isikutel nende andmetega tutvuda võimaldamises ja neile nendest ärakirjade tegemises, kuuluvad avaliku võimu teostamise alla ja kujutavad endast avalikes huvides olevat ülesannet selle sätte tähenduses (vt selle kohta 9. märtsi 2017. aasta kohtuotsus Manni, C‑398/15, EU:C:2017:197, punkt 43). 110 Sellest tuleneb, et põhikohtuasjas kõne all olev töötlemine toimus selgelt avalikes huvides oleva ülesande raames selle sätte tähenduses. Ent selles sättes kehtestatud tingimuste täitmiseks on siiski vaja, et töötlemine vastaks tegelikult taotletud üldise huvi eesmärkidele, minemata kaugemale sellest, mis on nende eesmärkide saavutamiseks vajalik (vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 109). 111 See vajalikkuse nõue ei ole täidetud, kui taotletavat üldise huvi eesmärki on võimalik mõistlikult ja sama tõhusalt saavutada ka muude vahenditega, mis riivaksid vähem andmesubjektide põhiõigusi, eelkõige õigust eraelu puutumatusele ja isikuandmete kaitsele, mis on tagatud harta artiklitega 7 ja 8, sest isikuandmete kaitse põhimõtte erandite ja piirangute puhul tuleb piirduda tingimata vajalikuga (vt selle kohta 22. juuni 2021. aasta kohtuotsus Latvijas Republikas Saeima (karistuspunktid), C‑439/19, EU:C:2021:504, punkt 110 ja seal viidatud kohtupraktika). 112 Ent nagu kohtujurist oma ettepaneku punktis 51 märkis, ei saa selliste isikuandmete veebis kättesaadavaks tegemist, mida ei ole nõutud ei direktiivis 2017/1132 ega riigisiseses õiguses, iseenesest pidada selle direktiiviga taotletavate eesmärkide saavutamiseks vajalikuks. 113 Mis puudutab täpsemalt selliste vahendite olemasolu, mis riivaksid vähem andmesubjektide põhiõigusi, siis tuleb märkida, et põhikohtuasjas kõne all olevad riigisisesed õigusnormid näevad ette, et äriühingu äriregistrisse kandmise taotleja peab esitama äriühingu põhikirja ärakirja, millest on eemaldatud isikuandmed, mida ei ole nõutud, ja mis on mõeldud selles registris avalikustamiseks ja millega kolmandad isikud saavad tutvuda; sellist ärakirja ei ole käesoleval juhul kunagi ametile esitatud, isegi mitte pärast tema vastavasisulist nõuet. Bulgaaria valitsus ja amet kinnitasid siiski, et isegi pärast mõistliku aja möödumist ja kui andmesubjektil ei ole võimalik asjaomaselt äriühingult või tema esindajatelt sellist ärakirja saada, ei ole nendes õigusnormides ette nähtud, et amet võiks selle ärakirja ise koostada, mis oleks ometi üks vahend, et saavutada sama tõhusalt äriühingu dokumentide avalikustamise, õiguskindluse ja kolmandate isikute huvide kaitse tagamise eesmärgid, riivates samas vähem õigust isikuandmete kaitsele. 114 Veel tuleb märkida, nagu tegi ka kohtujurist oma ettepaneku punktis 56, et vastupidi sellele, mida väitsid mitu liikmesriiki oma Euroopa Kohtule esitatud seisukohtades, ei saa nõue säilitada nende äriühingute dokumentide terviklikkus ja usaldusväärsus, mis on hõlmatud direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega, mis nõuab nende dokumentide avaldamist sellisel kujul, nagu need esitati äriregistrit pidavatele asutustele, olla süstemaatiliselt sellest õigusest tähtsam, sest vastasel juhul muutuks selle õiguse kaitse illusoorseks. 115 Eelkõige ei saa sellest nõudest tuleneda kohustust hoida veebis selles registris kättesaadavatena isikuandmeid, mida ei ole nõutud direktiivis 2017/1132 ega riigisiseses õiguses, samas kui – nagu nähtub käesoleva kohtuotsuse punktist 113 – amet võiks kättesaadavaks tegemiseks ise koostada õigusnormides ette nähtud ärakirja asjaomasest äriühingu dokumendist. 116 Sellest järeldub, et põhikohtuasjas kõne all olev isikuandmete töötlemine paistab minevat igal juhul kaugemale sellest, mis on vajalik ametile nende riigisiseste õigusnormidega antud avalikes huvides oleva ülesande täitmiseks. 117 Järelikult, nagu märkis kohtujurist oma ettepaneku punktis 59, ei paista niisugune töötlemine vastavat ka isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktides c ja e koostoimes artikli 6 lõikega 3 ette nähtud seaduslikkuse tingimustele, kui eelotsusetaotluse esitanud kohtu kontrolli tulemusel ei ilmne vastupidist. 118 Järgmiseks tuleb märkida põhikohtuasjas kõne all oleva isikuandmete kaitse üldmääruse artikli 17 kohase kustutamise taotluse kohta, et juhul, kui eelotsusetaotluse esitanud kohus peaks selle töötlemise seaduslikkuse hindamise tulemusel jõudma järeldusele, et töötlemine ei ole seaduslik, peab amet kui vastutav töötleja – nagu nähtub käesoleva kohtuotsuse punktidest 82 ja 83 – kustutama asjaomased andmed viivituseta, nagu nähtub isikuandmete kaitse üldmääruse artikli 17 lõike 1 punkti d selgest sõnastusest (vt selle kohta 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 108). 119 Kui eelotsusetaotluse esitanud kohus peaks seevastu jõudma järeldusele, et see töötlemine vastab tõepoolest isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktis e ette nähtud seaduslikkuse alusele, eelkõige seetõttu, et direktiivis 2017/1132 või põhikohtuasjas kõne all olevates riigisisestes õigusnormides nõudmata andmete veebis äriregistris kättesaadavaks tegemine oli vajalik selleks, et vältida kolmandate isikute kaitse huvides selle äriühingu registreerimisega viivitamist, siis tuleb märkida, et kohaldatav on isikuandmete kaitse üldmääruse artikli 17 lõike 1 punkt c. 120 Sellest sättest koostoimes isikuandmete kaitse üldmääruse artikli 21 lõikega 1 nähtub, et andmesubjektil on õigus esitada töötlemisele vastuväiteid ja õigus andmete kustutamisele, välja arvatud juhul, kui on olemas ülekaalukad õiguspärased põhjused, mis kaaluvad üles andmesubjekti huvid, õigused ja vabadused artikli 21 lõike 1 tähenduses, mille tõendamine on vastutava töötleja ülesanne (vt selle kohta 7. detsembri 2023. aasta kohtuotsus SCHUFA Holding (täitmata jäänud võlakohustusest vabastamine), C‑26/22 ja C‑64/22, EU:C:2023:958, punkt 111). 121 Ent olukorras, nagu on kõne all põhikohtuasjas, ei paista olevat sellist ülekaalukat õiguspärast põhjust selle sätte tähenduses, mis õigustaks sellise kustutamise taotluse rahuldamata jätmist. 122 Ühelt poolt nähtub nimelt eelotsusetaotlusest, et äriühing, mille osanik on OL, on juba kantud äriregistrisse. 123 Teiselt poolt, nagu on märgitud käesoleva kohtuotsuse punktis 115, ei saa nõue säilitada nende äriühingute dokumentide terviklikkus ja usaldusväärsus, mis on hõlmatud direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega, muuta kohustuslikuks selliste isikuandmete veebis äriregistris kättesaadavana hoidmist, mida direktiiv 2017/1132 ja riigisisene õigus ei nõua. 124 Lõpuks, eeldades, et eelotsusetaotluse esitanud kohus jõuab järeldusele, et põhikohtuasjas kõne all olev isikuandmete töötlemine vastab tõepoolest isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktis c ette nähtud seaduslikkuse alusele, tuleb märkida, et isikuandmete kaitse üldmääruses ja eelkõige selle artikli 17 lõike 3 punktis b on sõnaselgelt sätestatud nõue kaaluda ühelt poolt harta artiklites 7 ja 8 sätestatud põhiõigusi eraelu puutumatusele ja isikuandmete kaitsele ning teiselt poolt liidu õiguse või liikmesriikide õigusega taotletavaid õiguspäraseid eesmärke, mis on aluseks juriidilisele kohustusele, mille järgimiseks on töötlemine vajalik (vt analoogia alusel 8. detsembri 2022. aasta kohtuotsus Google (väidetavalt ebaõigele sisule suunava lingi eemaldamine), C‑460/20, EU:C:2022:962, punkt 58 ja seal viidatud kohtupraktika). 125 Nagu Euroopa Kohus on juba otsustanud, võib selliste isikuandmetega tutvumise õiguse piiramine, mille puhul liidu õigus näeb ette kohustusliku avalikustamise, võimaldades seda üksnes kolmandatele isikutele, kes tõendavad konkreetse huvi olemasolu, olla konkreetsetel juhtudel põhjendatud andmesubjektide konkreetse olukorraga seotud ülekaalukatel ja õiguspärastel põhjustel (vt selle kohta 9. märtsi 2017. aasta kohtuotsus Manni, C‑398/15, EU:C:2017:197, punkt 60). 126 Nagu kohtujurist oma ettepaneku punktis 67 märkis, peab see a fortiori olema nii ka juhul, kui – nagu käesoleval juhul – asjaomaseid isikuandmeid ei ole nõutud ei direktiivi 2017/1132 ega liikmesriigi õiguse alusel. 127 Nende asjaoludega arvestades tuleb neljandale küsimusele vastata, et direktiivi 2017/1132, eelkõige selle artiklit 16, ja isikuandmete kaitse üldmääruse artiklit 17 tuleb tõlgendada nii, et nendega on vastuolus liikmesriigi õigusnormid või praktika, millest tulenevalt selle liikmesriigi äriregistrit pidav asutus jätab rahuldamata kõik selliste isikuandmete kustutamise taotlused, mida ei ole direktiivis ega asjaomase liikmesriigi õiguses nõutud ja mis sisalduvad selles registris avalikustatud põhikirjas, kui sellele asutusele ei ole selle liikmesriigi menetlusnorme rikkudes esitatud põhikirja ärakirja, kust need andmed oleksid eemaldatud. Kuues küsimus 128 Kuuenda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 4 punkti 1 tuleb tõlgendada nii, et füüsilise isiku omakäeline allkiri on hõlmatud mõistega „isikuandmed“ selle sätte tähenduses. 129 See säte näeb, ette et isikuandmed on „igasugune teave tuvastatud või tuvastatava füüsilise isiku […] kohta“, ning täpsustab, et “tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal“. 130 Euroopa Kohus on juba sedastanud, et sõnade „igasugune teave“ kasutamine selles sättes esitatud mõiste „isikuandmed“ määratluses peegeldab liidu seadusandja eesmärki anda sellele mõistele lai tähendus, mis hõlmab potentsiaalselt igasugust, nii objektiivset kui ka subjektiivset teavet arvamuste või hinnangute vormis – tingimusel, et need „käivad“ kõnealuse isiku kohta (4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, punkt 23). 131 Teave käib tuvastatud või tuvastatava füüsilise isiku kohta, kui see on oma sisu, eesmärgi või toime tõttu seotud tuvastatava isikuga (4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, punkt 24). 132 Mis puudutab füüsilise isiku „tuvastatavust“, siis on isikuandmete kaitse üldmääruse põhjenduses 26 täpsustatud, et arvesse tuleb võtta „kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine“. 133 Sellest tuleneb, et mõiste „isikuandmed“ lai määratlus ei hõlma mitte ainult vastutava töötleja kogutud ja säilitatud andmeid, vaid hõlmab ka kogu isikuandmete töötlemisel saadud teavet, mis käib tuvastatud või tuvastatava isiku kohta (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, punkt 26). 134 Samuti tuleneb Euroopa Kohtu praktikast, et füüsilise isiku käsitsi kirjutatud tekst annab selle isiku kohta käivat teavet (vt selle kohta 20. detsembri 2017. aasta kohtuotsus Nowak, C‑434/16, EU:C:2017:994, punkt 37). 135 Lõpuks tuleb märkida, et füüsilise isiku omakäelist allkirja kasutatakse üldiselt selle isiku tuvastamiseks, selliste dokumentide õigsuse ja aususe tõendamiseks, millele allkiri on antud, ja nende eest vastutuse võtmiseks. Lisaks on asjaomases põhikirjas osanike allkirjadele lisatud viimaste nimi. 136 Eeltoodut arvestades tuleb kuuendale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 4 punkti 1 tuleb tõlgendada nii, et füüsilise isiku omakäeline allkiri on hõlmatud mõistega „isikuandmed“ selle sätte tähenduses. Seitsmes küsimus 137 Seitsmenda küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et see, kui andmesubjekt kaotab lühiajaliselt kontrolli oma isikuandmete üle seetõttu, et need andmed on tehtud veebis liikmesriigi äriregistris kättesaadavaks, võib olla piisav, et põhjustada „mittevaraline kahju“, või nõuab mõiste „mittevaraline kahju“ täiendavate tajutavate negatiivsete tagajärgede tõendamist. 138 Alustuseks tuleb meenutada, et see säte näeb ette, et „[i]gal isikul, kes on kandnud [isikuandmete kaitse üldmääruse] rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest“. 139 Kuna isikuandmete kaitse üldmäärus ei viita liikmesriikide õigusele seoses selles sättes kasutatud mõistete – eelkõige mõistete „materiaalne või mittemateriaalne kahju“ ja „hüvitis tekitatud kahju eest“ – tähenduse ja ulatusega, tuleb neid mõisteid pidada selle määruse kohaldamisel liidu õiguse autonoomseteks mõisteteks, mida tuleb kõikides liikmesriikides tõlgendada ühetaoliselt (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punkt 30). 140 Sellega seoses tuleb märkida, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et selle määruse pelgast rikkumisest ei piisa selleks, et tekiks õigus hüvitisele, sest see, et on „kantud“ materiaalset või mittemateriaalset „kahju“, on üks artikli 82 lõikes 1 ette nähtud õiguse hüvitisele tekkimise tingimustest, nagu ka selle määruse rikkumise esinemine ja põhjuslik seos kahju ja rikkumise vahel, kusjuures need kolm tingimust on kumulatiivsed (4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punkt 32, ja 11. aprilli 2024. aasta kohtuotsus juris, C‑741/21, EU:C:2024:288, punkt 34). 141 Seega ei pea isik, kes nõuab mittevaralise kahju hüvitamist selle sätte alusel, mitte ainuüksi tõendama, et on rikutud selle määruse sätteid, vaid peab lisaks tõendama ka seda, et see rikkumine põhjustas talle sellise kahju. Sellist kahju ei saa seega üksnes eeldada rikkumise toimumise tõttu (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 42 ja 50, ning 11. aprilli 2024. aasta kohtuotsus juris, C‑741/21, EU:C:2024:288, punkt 35). 142 Eeskätt peab andmesubjekt, keda puudutab isikuandmete kaitse üldmääruse rikkumine, millel on tema jaoks negatiivsed tagajärjed, tõendama, et need tagajärjed kujutavad endast mittevaralist kahju selle määruse artikli 82 tähenduses, sest pelgalt selle määruse sätete rikkumisest ei piisa, et tekiks õigus hüvitisele (25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn, C‑687/21, EU:C:2024:72, punkt 60 ja seal viidatud kohtupraktika). 143 Seega juhul, kui artikli 82 lõike 1 alusel hüvitist nõudev isik tugineb kartusele, et tema isikuandmeid hakatakse tulevikus kuritarvitama, kuna selline rikkumine on toimunud, peab asja menetlev liikmesriigi kohus kontrollima, kas kartust võib pidada põhjendatuks, arvestades konkreetseid asjaolusid ja andmesubjekti isikut (14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 85). 144 Ent Euroopa Kohus on juba otsustanud, et nii isikuandmete kaitse üldmääruse artikli 82 lõike 1 sõnastusest – arvestades selle määruse põhjendusi 85 ja 146, milles peetakse vajalikuks käsitada mõistet „mittevaraline kahju“ selle esimese sätte tähenduses laialt – kui ka selle määrusega taotletavast eesmärgist tagada isikuandmete töötlemisel füüsiliste isikute kõrgetasemeline kaitse tuleneb, et ainuüksi andmesubjekti kartus, et kolmas isik võib tema isikuandmeid kuritarvitada, mida ta kogeb määruse rikkumise tagajärjel, võib eraldivõetuna endast kujutada „mittevaralist kahju“ viidatud artikli 82 lõike 1 tähenduses (20. juuni 2024. aasta kohtuotsus PS (vale aadress), C‑590/22, EU:C:2024:536, punkt 32 ja seal viidatud kohtupraktika). 145 Eeskätt nähtub isikuandmete kaitse üldmääruse põhjenduse 85 esimeses lauses toodud sellise „kahju“ näitlikust loetelust, mida andmesubjekt võib kanda, et liidu seadusandja soovis hõlmata mõistega andmesubjekti kantud „kahju“ eelkõige pelka „kontrolli kaotamist“ oma isikuandmete üle selle määruse rikkumise tagajärjel, isegi kui nende andmete kuritarvitamist ei ole tegelikult toimunud (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 82). 146 Lisaks ei oleks isikuandmete kaitse üldmääruse artikli 82 lõike 1 tõlgendus, mille kohaselt mõiste „mittevaraline kahju“ selle sätte tähenduses ei hõlma olukordi, kus andmesubjekt tugineb üksnes oma kartusele, et kolmandad isikud hakkavad tema andmeid tulevikus kuritarvitama, kooskõlas selle õigusaktiga taotletava füüsiliste isikute kõrgetasemelise kaitse tagamisega isikuandmete töötlemisel liidus (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 83). 147 Samuti ei saa seda mõistet piirata üksnes teatava raskusastmega kahjuga, eelkõige seoses selle ajavahemiku pikkusega, mille jooksul andmesubjektid kandsid nimetatud määruse rikkumisest tulenevaid negatiivseid tagajärgi (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punktid 16 ja 19 ning seal viidatud kohtupraktika). 148 Seega ei saa asuda seisukohale, et lisaks käesoleva kohtuotsuse punktis 140 nimetatud kolmele tingimusele saab lisada muid isikuandmete kaitse üldmääruse artikli 82 lõikes 1 ette nähtud vastutuse tekkimise tingimusi, nagu kahju tajutavus või kahju objektiivne tekitamine (14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punkt 17). 149 Selles sättes ei ole ka nõutud, et selle määruse sätete tõendatud rikkumise korral peab andmesubjekti väidetav „mittevaraline kahju“ ulatuma „miinimumkünniseni“, et see kahju oleks hüvitatav (14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punkt 18). 150 Järelikult, kuigi miski ei takista seda, et isikuandmete internetis avaldamine ja selle tagajärjel lühiajaliselt nende üle kontrolli kaotamine võib tekitada andmesubjektidele isikuandmete kaitse üldmääruse artikli 82 lõike 1 tähenduses „mittevaralise kahju“, mis annab õiguse hüvitisele, on veel vaja, et need isikud tõendaksid, et nad on tegelikult sellist kahju kandnud, olgu see kahju kui tahes minimaalne (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punkt 22, ja 11. aprilli 2024. aasta kohtuotsus juris, C‑741/21, EU:C:2024:288, punkt 42). 151 Lõpuks tuleb täpsustada, et mittevaralise kahju hüvitamise õiguse alusel maksmisele kuuluva kahjuhüvitise summa kindlaksmääramisel ei ole isikuandmetega seotud rikkumisega tekitatud mittevaraline kahju oma olemuselt vähem tähtis kui isikukahju (20. juuni 2024. aasta kohtuotsus Scalable Capital, C‑182/22 ja C‑189/22, EU:C:2024:531, punkt 39). 152 Lisaks tuleb märkida, et kui isik suudab tõendada, et isikuandmete kaitse üldmääruse rikkumisega on talle tekitatud kahju selle määruse artikli 82 tähenduses, peavad hindamiskriteeriumid, mis võimaldavad kindlaks määrata hüvitise, mis tuleb välja mõista kohtuasjades, mille eesmärk on tagada õigussubjektidele selle artikliga antud õiguste kaitse – selleks, et hüvitamine oleks täielik ja tõhus –, olema kehtestatud iga liikmesriigi õiguskorras (vt selle kohta 20. juuni 2024. aasta kohtuotsus Scalable Capital, C‑182/22 ja C‑189/22, EU:C:2024:531, punkt 43). 153 Sellega seoses tuleb täheldada, et artikli 82 lõikes 1 eelkõige mittevaralise kahju korral ette nähtud õigus hüvitisele täidab ainuüksi hüvitavat funktsiooni, sest selle sätte alusel välja mõistetud rahaline hüvitis peab võimaldama hüvitada täielikult selle määruse rikkumisega tegelikult tekitatud kahju, mitte täitma pärssivat või karistavat funktsiooni (vt selle kohta 4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punktid 57 ja 58, ning 11. aprilli 2024. aasta kohtuotsus juris, C‑741/21, EU:C:2024:288, punkt 61). 154 Lisaks tuleb märkida, et ühelt poolt sõltub vastutava töötleja vastutuse tekkimine isikuandmete kaitse üldmääruse artikli 82 alusel tema süüst, mida eeldatakse, välja arvatud juhul, kui ta tõendab, et ta ei ole vastutav kahju tekitanud sündmuse eest, ning teiselt poolt ei nõua nimetatud artikkel 82, et selle sätte alusel mittevaralise kahju hüvitamiseks välja mõistetava hüvitise summa kindlaksmääramisel võetaks arvesse süü suurust (21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 103, ja 25. jaanuari 2024. aasta kohtuotsus MediaMarktSaturn, C‑687/21, EU:C:2024:72, punkt 52). 155 Nagu on märgitud käesoleva kohtuotsuse punktis 42, täpsustas eelotsusetaotluse esitanud kohus, et käesoleval juhul tuvastas Administrativen sad Dobrich (Dobrichi halduskohus) mittevaralise kahju, mis seisnes OLi negatiivsetes psühholoogilistes ja emotsionaalsetes kogemustes, nimelt hirmus ja mures võimalike kuritarvituste pärast ning suutmatuses ja pettumuses võimatuse ees oma isikuandmeid kaitsta. Eelotsusetaotluse esitanud kohus leidis lisaks, et see kahju tuleneb ameti 26. jaanuari 2022. aasta kirjast, mis tõi kaasa isikuandmete kaitse üldmääruse artikli 17 lõikes 1 sätestatud õiguse andmete kustutamisele rikkumise ning avalikustatud põhikirjas sisalduvate tema isikuandmete ebaseadusliku töötlemise. 156 Esitatud kaalutlustega arvestades tuleb seitsmendale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 1 tuleb tõlgendada nii, et see, kui andmesubjekt kaotab lühiajaliselt kontrolli oma isikuandmete üle seetõttu, et need andmed on tehtud veebis liikmesriigi äriregistris kättesaadavaks, võib olla piisav, et põhjustada „mittevaraline kahju“, tingimusel et see isik tõendab, et ta on tegelikult sellist kahju kandnud, olgu see kahju kui tahes minimaalne, ilma et mõiste „mittevaraline kahju“ nõuaks täiendavate tajutavate negatiivsete tagajärgede tõendamist. Kaheksas küsimus 157 Kaheksanda küsimusega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 82 lõiget 3 tuleb tõlgendada nii, et selle määruse artikli 58 lõike 3 punkti b alusel antud liikmesriigi järelevalveasutuse arvamusest piisab, et vabastada liikmesriigi äriregistrit pidav asutus, kes on „vastutav töötleja“ sama määruse artikli 4 punkti 7 tähenduses, selle määruse artikli 82 lõike 2 kohasest vastutusest. 158 Esimesena tuleb isikuandmete kaitse üldmääruse artiklis 82 ette nähtud vastutuse korraga seoses meenutada, et selle artikli lõikes 1 on sätestatud, et igal isikul, kes on kandnud selle määruse rikkumise tulemusel materiaalset või mittemateriaalset kahju, on õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest. Nagu nähtub käesoleva kohtuotsuse punktist 140, sõltub õigus hüvitisele kolme kumulatiivse tingimuse täitmisest. 159 Määruse artikli 82 lõike 2 esimese lause kohaselt vastutab töötlemisega seotud vastutav töötleja kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse määrust. Selles sättes, milles on täpsustatud vastutuse korda, mille põhimõte on sätestatud selle artikli lõikes 1, on korratud kolme tingimust, mis peavad olema täidetud selleks, et tekiks õigus hüvitisele, nimelt isikuandmete töötlemine isikuandmete kaitse üldmääruse sätteid rikkudes, andmesubjektile tekitatud kahju ning põhjuslik seos õigusvastase töötlemise ja selle kahju vahel (4. mai 2023. aasta kohtuotsus Österreichische Post (isikuandmete töötlemisega seotud mittevaraline kahju), C‑300/21, EU:C:2023:370, punkt 36). 160 Isikuandmete kaitse üldmääruse artikli 82 lõige 3 näeb omakorda ette, et vastutav töötleja vabastatakse vastutusest lõike 2 kohaselt, kui ta tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest. 161 Nagu Euroopa Kohus on juba sedastanud, nähtub isikuandmete kaitse üldmääruse artikli 82 lõigete 1–3, selle artikli konteksti ja liidu seadusandja poolt selle määrusega taotletavate eesmärkide kombineeritud analüüsist nimelt, et selles artiklis on ette nähtud süüline vastutus, milles tõendamiskoormis ei lasu mitte isikul, kes on kahju kandnud, vaid vastutaval töötlejal (vt selle kohta 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punktid 94 ja 95). 162 Eeskätt ei oleks isikuandmete töötlemisel füüsiliste isikute kõrgetasemelise kaitse tagamise eesmärgiga kooskõlas otsustada niisuguse tõlgenduse kasuks, mille kohaselt andmesubjektid, kes on kandnud kahju isikuandmete kaitse üldmääruse rikkumise tõttu, ei peaks selle määruse artiklil 82 põhineva kahju hüvitamise hagi raames tõendama mitte ainult rikkumise olemasolu ja sellest neile tekkinud kahju, vaid ka vastutava töötleja süüd, st tahtlust või hooletust, või isegi süü suurust, olgugi et artiklis 82 ei ole selliseid nõudeid sätestatud (vt selle kohta 21. detsembri 2023. aasta kohtuotsus Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, punkt 99). 163 Vastavalt käesoleva kohtuotsuse punktis 154 viidatud kohtupraktikale on vastutava töötleja vastutus artikli 82 alusel seega seatud sõltuvusse tema süüst, mida eeldatakse, välja arvatud juhul, kui viimane tõendab, et ei ole mingil viisil vastutav kahju põhjustanud sündmuse eest. 164 Sellega seoses tuleb märkida, et nagu näitab sõnade „mingil viisil“ tahtlik lisamine seadusandliku menetluse käigus, peavad asjaolud, mille korral vastutav töötleja võib nõuda, et ta vabastataks tsiviilvastutusest, mis on talle pandud isikuandmete kaitse üldmääruse artikliga 82, rangelt piirduma nendega, mille puhul vastutav töötleja suudab tõendada, et ta ei ole kahju eest vastutav (14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 70). 165 Euroopa Kohus on samuti otsustanud, et kui isikuandmetega seotud rikkumise paneb toime kolmas isik, näiteks küberkurjategija või vastutava töötleja volituse alusel tegutsev isik, saab vastutav töötleja isikuandmete kaitse üldmääruse artikli 82 lõike 3 alusel vastutusest vabaneda üksnes siis, kui ta tõendab, et puudub põhjuslik seos temal selle määruse alusel lasuva andmekaitsekohustuse võimaliku rikkumise ja asjaomase füüsilise isiku kantud kahju vahel (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 72, ja 11. aprilli 2024. aasta kohtuotsus juris, C‑741/21, EU:C:2024:288, punkt 51). 166 Järelikult ei piisa selleks, et vastutava töötleja saaks isikuandmete kaitse üldmääruse artikli 82 lõike 3 alusel vastutusest vabastada, sellest, kui ta tõendab, et ta andis juhiseid tema volituse alusel tegutsevatele isikutele selle määruse tähenduses ja et üks nendest isikutest ei täitnud oma kohustust neid juhiseid järgida, mille tõttu ta aitas kaasa kõnealuse kahju tekkimisele (vt selle kohta 11. aprilli 2024. aasta kohtuotsus juris, C‑741/21, EU:C:2024:288, punkt 52). 167 Teisena, mis puudutab tõendamisvahendeid käsitlevaid norme, siis tuleb meenutada, et isikuandmete kaitse üldmääruses ei ole sätestatud eeskirju, mis käsitleksid tõendi lubatavust ja tõenduslikku väärtust, mida peavad kohaldama liikmesriigi kohtud, kellele on esitatud kahju hüvitamise hagi selle määruse artikli 82 alusel. Kuna vastavat valdkonda reguleerivad liidu õigusnormid puuduvad, tuleb seega iga liikmesriigi õiguskorras kehtestada menetlusnormid selliste nõuete läbivaatamiseks, mille eesmärk on tagada õigussubjektidele artikliga 82 antud õiguste kaitse, ja eeskätt normid, mis käsitlevad tõendamisvahendeid, tingimusel et järgitakse võrdväärsuse põhimõtet ja tõhususe põhimõtet (vt selle kohta 14. detsembri 2023. aasta kohtuotsus Natsionalna agentsia za prihodite, C‑340/21, EU:C:2023:986, punkt 60 ja seal viidatud kohtupraktika). 168 Kolmandana, mis puudutab isikuandmete kaitse üldmääruse artikli 58 lõike 3 punkti b alusel antud arvamust, siis tuleb meenutada, et selles artiklis on sätestatud järelevalveasutuste volitused. 169 Nii on isikuandmete kaitse üldmääruse artikli 58 lõikes 1 antud nendele asutustele uurimisvolitused, lõikes 2 parandusvolitused, lõikes 3 seal loetletud lubavad ja nõuandvad volitused ning lõikes 5 õigus juhtida õigusasutuste tähelepanu selle määruse rikkumistele ja vajaduse korral algatada kohtumenetlus või osaleda selles muul viisil, et tagada määruse sätete täitmine. 170 Ent isikuandmete kaitse üldmääruse artikli 58 lõikes 3 loetletud volituste hulgas on määruse artikli 58 lõike 3 punktis b nimetatud volitus „esitada omal algatusel või taotluse alusel isikuandmete kaitsega seotud küsimustes arvamusi riigi parlamendile, liikmesriigi valitsusele või, kooskõlas liikmesriigi õigusega, muudele institutsioonidele ja asutustele ning samuti avalikkusele“. 171 Nimetatud sätte sõnastusest, eelkõige mõistest „arvamus“ nähtub selgelt, et sellise arvamuse esitamine kuulub järelevalveasutuse nõuandvate, mitte lubavate volituste alla. 172 Sõnade „arvamus“ ja „nõuandvad volitused“ kasutamine näitab samuti, et isikuandmete kaitse üldmääruse artikli 58 lõike 3 punkti b alusel antud arvamus ei ole liidu õiguse kohaselt õiguslikult siduv. 173 Isikuandmete kaitse üldmääruse põhjendus143 kinnitab seda tõlgendust. Nimelt on seal öeldud, et „igal füüsilisel või juriidilisel isikul [peaks] olema õigus pöörduda liikmesriigi pädeva kohtu poole tõhusa õiguskaitsevahendi saamiseks järelevalveasutuse otsuse vastu, millel on selle isiku suhtes õiguslikud tagajärjed. Selline otsus on eelkõige seotud järelevalveasutuse uurimis-, parandus- ja loaandmisvolitustega või kaebuste rahuldamata jätmise või tagasilükkamisega. Õigus tõhusale õiguskaitsevahendile ei hõlma siiski järelevalveasutuste õiguslikult mittesiduvaid meetmeid, näiteks järelevalveasutuse esitatud arvamusi või nõuandeid.“ 174 Kuivõrd vastutavale töötlejale antud arvamus ei ole õiguslikult siduv, ei saa see iseenesest tõendada, et vastutav töötleja ei ole kahju eest käesoleva kohtuotsuse punktis 164 viidatud kohtupraktika tähenduses vastutav, ning see ei ole seega piisav, et vabastada vastutav töötleja vastutusest isikuandmete kaitse üldmääruse artikli 82 lõike 3 alusel. 175 Artikli 82 lõike 3 selline tõlgendus on kooskõlas ka isikuandmete kaitse üldmääruse eesmärkidega, milleks on tagada isikuandmete töötlemisel füüsiliste isikute kõrgetasemeline kaitse ja see, et tegelikult hüvitatakse kahju, mis võib neil tekkida seda määrust rikkudes toimunud andmete töötlemise tõttu. Kui vastutusest ja sellega kaasnevast mis tahes hüvitamiskohustusest vabanemiseks piisaks sellest, et vastutav töötleja tugineb arvamusele, mis ei ole õiguslikult siduv, ei julgustataks vastutavat töötlejat tegema kõike endast olenevat, et tagada kõrgetasemeline kaitse ja täita selle määrusega kehtestatud kohustusi. 176 Eelnevat arvestades tuleb kaheksandale küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 82 lõiget 3 tuleb tõlgendada nii, et selle määruse artikli 58 lõike 3 punkti b alusel antud liikmesriigi järelevalveasutuse arvamusest ei piisa, et vabastada liikmesriigi äriregistrit pidav asutus – kes on „vastutav töötleja“ sama määruse artikli 4 punkti 7 tähenduses – selle määruse artikli 82 lõike 2 kohasest vastutusest. Kohtukulud 177 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata. Esitatud põhjendustest lähtudes Euroopa Kohus (esimene koda) otsustab: 1. Euroopa Parlamendi ja nõukogu 14. juuni 2017. aasta direktiivi (EL) 2017/1132 äriühinguõiguse teatavate aspektide kohta artikli 21 lõiget 2 tuleb tõlgendada nii, et see ei pane liikmesriigile kohustust lubada avalikustada äriregistris põhikiri, mis on hõlmatud selles direktiivis ette nähtud kohustusliku avalikustamisega ja mis sisaldab muid isikuandmeid kui nõutavad minimaalsed isikuandmed, mille avaldamist selle liikmesriigi õigusnormid ei nõua. 2. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrust (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) ning eelkõige selle artikli 4 punkte 7 ja 9 tuleb tõlgendada nii, et liikmesriigi äriregistrit pidav asutus, kes avaldab selles registris isikuandmed, mis sisalduvad põhikirjas, mis on hõlmatud direktiivis 2017/1132 ette nähtud kohustusliku avalikustamisega ja mis esitati talle asjaomase äriühingu sellesse registrisse kandmise taotluse raames, on nii nende andmete „vastuvõtja“ kui ka – eelkõige siis, kui ta teeb need üldsusele kättesaadavaks – nende andmete „vastutav töötleja“ selle sätte tähenduses, isegi kui põhikiri sisaldab isikuandmeid, mida ei ole direktiivis ega asjaomase liikmesriigi õiguses nõutud. 3. Direktiivi 2017/1132 ja eelkõige selle artiklit 16 ning määruse 2016/679 artiklit 17 tuleb tõlgendada nii, et nendega on vastuolus liikmesriigi õigusnormid või praktika, millest tulenevalt selle liikmesriigi äriregistrit pidav asutus jätab rahuldamata kõik selliste isikuandmete kustutamise taotlused, mida ei ole direktiivis ega asjaomase liikmesriigi õiguses nõutud ja mis sisalduvad selles registris avalikustatud põhikirjas, kui sellele asutusele ei ole selle liikmesriigi menetlusnorme rikkudes esitatud põhikirja ärakirja, kust need andmed oleksid eemaldatud. 4. Määruse 2016/679 artikli 4 lõiget 1 tuleb tõlgendada nii, et füüsilise isiku omakäeline allkiri on hõlmatud mõistega „isikuandmed“ selle sätte tähenduses. 5. Määruse 2016/679 artikli 82 lõiget 1 tuleb tõlgendada nii, et see, kui andmesubjekt kaotab lühiajaliselt kontrolli oma isikuandmete üle seetõttu, et need andmed on tehtud veebis liikmesriigi äriregistris kättesaadavaks, võib olla piisav, et põhjustada „mittevaraline kahju“, tingimusel et see isik tõendab, et ta on tegelikult sellist kahju kandnud, olgu see kahju kui tahes minimaalne, ilma et mõiste „mittevaraline kahju“ nõuaks täiendavate tajutavate negatiivsete tagajärgede tõendamist. 6. Määruse 2016/679 artikli 82 lõiget 3 tuleb tõlgendada nii, et selle määruse artikli 58 lõike 3 punkti b alusel antud liikmesriigi järelevalveasutuse arvamusest ei piisa, et vabastada liikmesriigi äriregistrit pidav asutus – kes on „vastutav töötleja“ sama määruse artikli 4 punkti 7 tähenduses – selle määruse artikli 82 lõike 2 kohasest vastutusest. Allkirjad ( *1 ) Kohtumenetluse keel: bulgaaria.