Sentenza della Corte (Prima Sezione) del 3 settembre 2026.#A et autres contro Latvijas Republikas Saeima.#Domanda di pronuncia pregiudiziale proposta dal Satversmes tiesa.#Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento (UE) 2016/679 – Articolo 5 – Principi relativi al trattamento dei dati personali – Articolo 6 – Liceità del trattamento – Diritto delle società – Direttiva (UE) 2017/1132 – Articolo 14 – Atti e indicazioni soggetti ad obbligo di pubblicità – Nozione di “persone che partecipano all’amministrazione, alla vigilanza o al controllo di una società” – Messa a disposizione del pubblico di dati personali relativi agli azionisti di società per azioni – Azionisti di minoranza.#Causa C-798/24.

–

per A e a., da L. Liepa, advokāts;

–

per il governo lettone, da J. Davidoviča e K. Pommere, in qualità di agenti;

–

per il governo polacco, da B. Majczyna, in qualità di agente;

–

per il governo finlandese, da A. Laine, in qualità di agente;

–

per il governo svedese, da C. Meyer-Seitz, in qualità di agente;

–

per il governo norvegese, da K.E.M. Skjelland e B. Stankovic, in qualità di agenti;

–

per il Parlamento europeo, da G. Corstens, M. Migliorati e L. Ruppeka‑Rupeika, in qualità di agenti;

–

per il Consiglio dell’Unione europea, da L. Bergere, N. Coghlan e A.-L. Meyer, in qualità di agenti;

–

per la Commissione europea, da A. Bouchagiar, H. Kranenborg, I. Naglis e M. Noll-Ehlers, in qualità di agenti,

1

La domanda di pronuncia pregiudiziale verte, da un lato, sull’interpretazione dell’articolo 14, lettera d), ii), della direttiva (UE) 2017/1132 del Parlamento europeo e del Consiglio, del 14 giugno 2017, relativa ad alcuni aspetti di diritto societario (GU 2017, L 169, pag. 46), come modificata dalla direttiva (UE) 2019/1151 del Parlamento europeo e del Consiglio, del 20 giugno 2019 (GU 2019, L 186, pag. 80) (in prosieguo: la «direttiva 2017/1132»), nonché sulla validità di tale disposizione alla luce degli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (in prosieguo: la «Carta»), e, dall’altro, sull’interpretazione dell’articolo 5, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).

2

Tale domanda si inserisce nell’ambito di un ricorso costituzionale proposto da persone fisiche che contestano la conformità alla Latvijas Republikas Satversme (Costituzione della Repubblica di Lettonia) di una normativa nazionale che impone la messa a disposizione del pubblico di dati personali relativi agli azionisti di società per azioni.

3

L’articolo 7 della Carta, intitolato «Rispetto della vita privata e della vita familiare», prevede quanto segue:

«Ogni persona ha diritto al rispetto della propria vita privata e familiare, del proprio domicilio e delle proprie comunicazioni».

4

L’articolo 8 della Carta, intitolato «Protezione dei dati di carattere personale», è così formulato:

«1.   Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.

2.   Tali dati devono essere trattati secondo il principio di lealtà, per finalità determinate e in base al consenso della persona interessata o a un altro fondamento legittimo previsto dalla legge. Ogni persona ha il diritto di accedere ai dati raccolti che la riguardano e di ottenerne la rettifica.

3.   Il rispetto di tali regole è soggetto al controllo di un’autorità indipendente».

5

L’articolo 52 della Carta, intitolato «Portata e interpretazione dei diritti e dei principi», al paragrafo 1 prevede quanto segue:

«Eventuali limitazioni all’esercizio dei diritti e delle libertà riconosciuti dalla presente Carta devono essere previste dalla legge e rispettare il contenuto essenziale di detti diritti e libertà. Nel rispetto del principio di proporzionalità, possono essere apportate limitazioni solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui».

6

I considerando 1 e 10 del RGPD così recitano:

(…)

7

Ai sensi dell’articolo 1, paragrafo 2, il RGPD protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.

8

A norma del suo articolo 2, paragrafo 1, il RGPD si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.

9

L’articolo 4 del RGPD, intitolato «Definizioni», prevede quanto segue:

«Ai fini del presente regolamento s’intende per:

(…)».

10

L’articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», al paragrafo 1, così dispone:

«I dati personali sono:

(…)».

11

L’articolo 6 del RGPD, intitolato «Liceità del trattamento», ai paragrafi 1 e 3, così dispone:

«1.   Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

(…)

(…)

3.   La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:

La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l’esecuzione di un compito svolto nel pubblico interesse o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l’applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito».

12

I considerando 7 e 8 della direttiva 2017/1132 enunciano quanto segue:

13

Ai sensi dell’articolo 1 di tale direttiva, intitolato «Oggetto»:

«La presente direttiva stabilisce misure concernenti:

(…)».

14

L’articolo 4 della stessa direttiva, intitolato «Informazioni obbligatorie da fornire nello statuto o nell’atto costitutivo o in un documento separato», stabilisce quanto segue:

«Lo statuto o l’atto costitutivo o un documento separato che formi oggetto di una pubblicità eseguita secondo le modalità previste nella legislazione di ogni Stato membro in conformità dell’articolo 16 indica:

(…)

(…)».

15

L’articolo 13 della medesima direttiva, intitolato «Ambito di applicazione», prevede quanto segue:

«Le misure di coordinamento prescritte dalla presente sezione e dalla sezione 1 bis si applicano alle disposizioni legislative, regolamentari e amministrative degli Stati membri riguardanti i tipi di società elencati nell’allegato II e, ove specificato, ai tipi di società elencati agli allegati I e II bis».

16

L’allegato II della direttiva 2017/1132, che elenca i tipi di società menzionati, in particolare, all’articolo 13 di quest’ultima, rinvia, per la Lettonia, alle «akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība», ossia le società per azioni, le società a responsabilità limitata e le società in accomandita per azioni.

17

L’articolo 14 della direttiva di cui trattasi, intitolato «Atti e indicazioni soggetti all’obbligo di pubblicità per le società», così dispone:

«Gli Stati membri adottano le misure necessarie affinché l’obbligo della pubblicità per le società concerna almeno gli atti e le indicazioni seguenti:

(…)

(…)».

18

L’articolo 16, paragrafo 3, di tale direttiva prevede quanto segue:

«Gli Stati membri provvedono affinché la pubblicità dei documenti e delle informazioni di cui all’articolo 14 avvenga rendendoli pubblicamente accessibili nel [registro centrale, del commercio o delle imprese]. (…)».

19

L’articolo 64, paragrafo 3, e l’articolo 95, paragrafo 2, della medesima direttiva riguardano gli obblighi dell’organo di amministrazione o di direzione della società nei confronti dell’assemblea generale, rispettivamente, in materia di assistenza finanziaria concessa da una società per l’acquisizione di azioni proprie da parte di un terzo, nonché in materia di fusione mediante incorporazione.

20

Gli articoli 11 e 13 della direttiva (UE) 2015/849 del Parlamento europeo e del Consiglio, del 20 maggio 2015, relativa alla prevenzione dell’uso del sistema finanziario a fini di riciclaggio o finanziamento del terrorismo, che modifica il regolamento (UE) n. 648/2012 del Parlamento europeo e del Consiglio e che abroga la direttiva 2005/60/CE del Parlamento europeo e del Consiglio e la direttiva 2006/70/CE della Commissione (GU 2015, L 141, pag. 73), come modificata dalla direttiva (UE) 2024/1640 del Parlamento europeo e del Consiglio, del 31 maggio 2024 (GU L, 2024/1640) (in prosieguo: la «direttiva 2015/849»), precisano le misure di adeguata verifica della clientela che i soggetti obbligati devono applicare.

21

L’articolo 30, paragrafo 5, della direttiva 2015/849 prevede quanto segue:

«Gli Stati membri provvedono affinché le informazioni sulla titolarità effettiva siano accessibili in ogni caso:

(…)

Le persone od organizzazioni di cui alla lettera c) hanno accesso almeno al nome, al mese ed anno di nascita, alla cittadinanza, al paese di residenza del titolare effettivo così come alla natura ed entità dell’interesse beneficiario detenuto».

22

L’articolo 96 della Costituzione della Repubblica di Lettonia sancisce, in particolare, il diritto al rispetto della vita privata. Secondo la giurisprudenza della Satversmes tiesa (Corte costituzionale, Lettonia), la portata di tale articolo si estende alla protezione dei dati personali.

23

L’articolo 8 del Komerclikums (codice del commercio) intitolato «Contenuto delle iscrizioni nel registro del commercio», al paragrafo 3, punti 3 e 4, prevede quanto segue:

«(3)   Le informazioni concernenti una società di capitali che devono essere iscritte nel registro del commercio sono elencate qui di seguito:

(…)

(…)».

24

L’articolo 12 del suddetto codice, intitolato «Pubblicità nel registro del commercio» prevede quanto segue:

«(1)   Le iscrizioni nel registro del commercio producono i loro effetti nei confronti di terzi a partire dalla loro pubblicazione. (…)

(…)».

25

L’articolo 235 del summenzionato codice, intitolato «Informazioni da iscrivere nel libro dei soci», così dispone:

«(1)   Ogni iscrizione nel libro dei soci deve contenere la denominazione della società, il suo numero di registrazione, l’indirizzo della sua sede legale e, se del caso, le informazioni che indicano se la società è oggetto di una procedura di liquidazione o di insolvenza, nonché il titolo del documento “Iscrizione nel libro dei soci”, e deve contenere le seguenti informazioni:

(…)».

26

Ai sensi dell’articolo 268 del medesimo codice, intitolato «Competenza dell’assemblea generale degli azionisti»:

«(1)   Solo l’assemblea generale degli azionisti ha il diritto di prendere decisioni riguardanti:

(…)

(2)   L’assemblea generale degli azionisti adotta decisioni su altre questioni unicamente se la legge lo prevede».

27

L’articolo 4.10 del likums «Par Latvijas Republikas Uzņēmumu reģistru» (legge sul registro delle imprese della Repubblica di Lettonia; in prosieguo: la «legge sul registro delle imprese»), intitolato «Diritto di accesso alle informazioni del registro delle imprese», al suo quinto comma è così formulato:

«Il registro delle imprese fornisce gratuitamente le informazioni e i documenti contenuti nella parte pubblica del fascicolo di registrazione (articolo 4.15, primo comma) mediante trasmissione dei dati online (compreso il download in blocco)».

28

L’articolo 4.11 di tale legge, intitolato «Informazioni da pubblicare sul sito Internet del registro delle imprese», al suo primo comma, punto 2, prevede quanto segue:

«Il registro delle imprese garantisce che un utente non identificato abbia accesso pubblico sul proprio sito Internet alle seguenti informazioni più recenti (le più aggiornate) concernenti le persone giuridiche e i fatti giuridici iscritti nei registri tenuti dal registro delle imprese:

(…)

2) altre informazioni iscritte nel registro».

29

L’articolo 4.15 di detta legge, intitolato «Parti pubbliche e non pubbliche del fascicolo di registrazione», così dispone:

«La parte pubblica del fascicolo di registrazione comprende:

(…)

I documenti e le informazioni che fanno parte del fascicolo di registrazione e che non sono contemplati nel primo comma del presente articolo sono inclusi nella parte non pubblica del fascicolo di registrazione.

Qualora a un’iscrizione nel registro o a un’informazione registrata sia riconosciuta la natura di informazione riservata o la sua messa a disposizione del pubblico sia limitata dalla legge, essa è inclusa nella parte non pubblica del fascicolo di registrazione.

Le informazioni e i documenti contenuti nella parte non pubblica del fascicolo di registrazione ([secondo e terzo comma] del presente articolo) sono informazioni riservate e possono essere ottenute dalle autorità di contrasto ai fini dello svolgimento di compiti specificati nelle leggi e nei regolamenti, nonché, senza restrizioni, dal [Finanšu izlūkošanas dienests (Servizio informazioni finanziarie)] e dalle autorità di vigilanza e di controllo nel settore della prevenzione del riciclaggio di capitali, del finanziamento del terrorismo e della proliferazione, mentre le altre autorità sono tenute a presentare una richiesta motivata. I singoli richiedono le informazioni e i documenti contenuti nella parte non pubblica del fascicolo di registrazione conformemente alla procedura di richiesta di informazioni riservate prevista dalla [Informācijas atklātības likums (legge sulla libertà di informazione)]».

30

L’articolo 5.1 del Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (legge sulla prevenzione del riciclaggio di capitali e del finanziamento del terrorismo e della proliferazione; in prosieguo: la «legge sulla prevenzione del riciclaggio di capitali»), intitolato «Accessibilità delle informazioni necessarie al rispetto dei requisiti della legge, provenienti dai sistemi di informazione della Repubblica di Lettonia», al paragrafo 1, enuncia quanto segue:

«Al fine di adempiere agli obblighi che incombono loro in forza della presente legge, i soggetti obbligati e le autorità di vigilanza e di controllo hanno il diritto di richiedere e ottenere online schede e informazioni sui membri e sui titolari effettivi contenute nei registri tenuti dal registro delle imprese della Repubblica di Lettonia, di conservare e trattare in altro modo tali informazioni al fine di valutare i dati relativi al cliente e ai suoi partner commerciali e la necessità di segnalare un’operazione sospetta al servizio di informazione finanziaria o di astenersi dall’effettuare tale operazione, nonché di determinare se il cliente sia oggetto di una procedura di insolvenza di persone giuridiche o sia stato posto in stato di amministrazione controllata».

31

L’articolo 5 dello Starptautisko un Latvijas Republikas nacionālo sankciju likums (legge sulle sanzioni internazionali e nazionali della Repubblica di Lettonia; in prosieguo: la «legge sulle sanzioni internazionali e nazionali»), intitolato «Restrizioni finanziarie», prevede quanto segue:

«Quando le sanzioni nazionali impongono restrizioni finanziarie alla persona sanzionata, tutte le persone, nell’ambito della loro competenza, sono tenute immediatamente e senza previa notifica:

32

Diciassette persone fisiche hanno adito la Satversmes tiesa (Corte costituzionale), giudice del rinvio, con un ricorso diretto a contestare la conformità all’articolo 96 della Costituzione della Repubblica di Lettonia, che garantisce il diritto al rispetto della vita privata e la protezione dei dati personali, di una normativa nazionale, vale a dire l’articolo 4.15, primo comma, punto 2, lettera b), della legge sul registro delle imprese, in combinato disposto con l’articolo 4.10, quinto comma, di tale legge e con l’articolo 235, paragrafo 1, del codice del commercio.

33

In forza di tale normativa, talune informazioni relative agli azionisti di società per azioni sono messe a disposizione del pubblico. Se tale azionista è una persona fisica, tali informazioni comprendono il nome, il cognome, il numero di identificazione personale o, in assenza di tale numero, la data di nascita, il numero e la data di rilascio di un documento d’identità, il paese e l’autorità di rilascio, nonché l’indirizzo al quale l’azionista può essere contattato. Inoltre, e a prescindere dal fatto che l’azionista sia una persona fisica, le suddette informazioni includono anche l’indirizzo di posta elettronica dell’azionista – qualora questi ne abbia richiesto l’utilizzo da parte della società di cui detiene azioni per le comunicazioni – nonché la categoria, il numero e il valore nominale delle sue azioni nonché il numero di voti ad esse associati. Le stesse informazioni sono accessibili online e possono essere scaricate in blocco, segnatamente anche da parte di utenti non identificati, come previsto dall’articolo 4.11, primo comma, punto 2, della legge sul registro delle imprese.

34

I ricorrenti nel procedimento principale sono azionisti di minoranza di una società per azioni. Essi fanno valere che il legislatore lettone non avrebbe esaminato né giustificato la necessità di divulgare le informazioni di cui trattasi al pubblico, fermo restando che, dopo la loro pubblicazione, non sarebbe possibile alcuna restrizione al loro successivo utilizzo e che sussisterebbe un rischio elevato che esse siano utilizzate a fini disonesti. In ogni caso, tenuto conto della sentenza del 22 novembre 2022, Luxembourg Business Registers (C‑37/20 e C‑601/20, EU:C:2022:912; in prosieguo: la «sentenza Luxembourg Business Registers»), la divulgazione di tali informazioni sarebbe ingiustificata e sproporzionata, stante il fatto che i ricorrenti nel procedimento principale non sono né i titolari effettivi della società interessata, né membri degli organi direttivi di quest’ultima, e che essi non hanno né il diritto né la possibilità di esercitare un controllo su tale società.

35

A tal riguardo, il giudice del rinvio si chiede, da un lato, se la pubblicazione dei dati personali in discussione dinanzi ad esso sia richiesta in forza della direttiva 2017/1132 e, in particolare, del suo articolo 14, lettera d), ii), che riguarda atti o indicazioni riguardanti le persone che partecipano all’amministrazione, alla vigilanza o al controllo della società. Se così fosse, detto giudice ritiene che sarebbe necessario verificare la validità di un siffatto obbligo di pubblicazione con riguardo agli articoli 7 e 8 della Carta.

36

D’altro lato, tale giudice si chiede se uno Stato membro possa, senza violare le disposizioni del RGPD, in particolare il suo articolo 5, paragrafo 1, nonché quelle della Carta, prevedere nel suo diritto nazionale un siffatto obbligo di pubblicazione al fine di realizzare obiettivi come quelli dedotti dalla Latvijas Republikas Saeima (Parlamento lettone), vale a dire, in primo luogo, garantire un contesto imprenditoriale trasparente e tutelare gli interessi dei terzi, in secondo luogo, prevenire il riciclaggio di capitali e il finanziamento del terrorismo e della proliferazione delle armi di distruzione di massa nonché, in terzo luogo, fornire le informazioni necessarie all’attuazione delle sanzioni nazionali, internazionali e dell’Unione. In tale contesto, il giudice del rinvio rileva che l’accesso ai dati di cui trattasi non è subordinato ad alcuna condizione quale, in particolare, la dimostrazione di un legittimo interesse.

37

È in tale contesto che la Satversmes tiesa (Corte costituzionale) ha deciso di sospendere il procedimento e di sottoporre alla Corte le seguenti questioni pregiudiziali:

38

Con la sua prima questione, il giudice del rinvio chiede, in sostanza, se l’articolo 14, lettera d), della direttiva 2017/1132 debba essere interpretato nel senso che esso richiede la pubblicazione di informazioni riguardanti tutti gli azionisti delle società menzionate in tale disposizione, compresi gli azionisti di minoranza di tali società.

39

In forza di detta disposizione, che si applica ai tipi di società menzionati all’articolo 13 della direttiva 2017/1132, vale a dire quelli elencati in particolare nell’allegato II di quest’ultima, gli Stati membri devono adottare le misure necessarie affinché tali società pubblichino obbligatoriamente almeno gli atti e le indicazioni relativi alla nomina, alla cessazione dalle funzioni e all’identità delle persone che, in quanto organo legalmente previsto o membri di un siffatto organo, hanno il potere di impegnare la società nei confronti di terzi e di rappresentarla in giudizio, o che partecipano all’amministrazione, alla vigilanza o al controllo della società.

40

A tal riguardo, occorre ricordare che, per giurisprudenza costante, i termini di una disposizione del diritto dell’Unione che non contenga alcun espresso richiamo al diritto degli Stati membri ai fini della determinazione del suo significato e della sua portata devono normalmente dar luogo, nell’intera Unione, ad un’interpretazione autonoma e uniforme da effettuarsi tenendo conto non soltanto dei termini di tale disposizione, ma anche del suo contesto e degli scopi perseguiti dalla normativa di cui essa fa parte (v., in tal senso, sentenze del 18 gennaio 1984, Ekro, 327/82, EU:C:1984:11, punto 11, e del 18 dicembre 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge, C‑417/23, EU:C:2025:1017, punto 76).

41

Per quanto riguarda i termini dell’articolo 14, lettera d), della direttiva 2017/1132, occorre rilevare che tale disposizione non riguarda espressamente né gli azionisti né l’assemblea generale degli azionisti. Inoltre, detta disposizione fa riferimento alla «nomina», alla «cessazione dalle funzioni» e alle «generalità» delle persone che, in quanto organo previsto per legge o membri di tale organo, hanno il potere di obbligare la società di fronte ai terzi e di rappresentarla in giudizio e/o che partecipano all’amministrazione, alla vigilanza o al controllo della società. Orbene, come rilevato nelle loro osservazioni scritte dai governi lettone e polacco, dal Parlamento europeo, dal Consiglio dell’Unione europea e dalla Commissione europea, gli azionisti di una società non sono nominati né rimossi dalle loro funzioni. Infatti, il loro status deriva unicamente dalla loro partecipazione al capitale sociale di una società, vale a dire dal loro diritto di proprietà su azioni emesse da tale società, e si distingue, al riguardo, da quello delle persone designate a far parte degli organi di amministrazione e di direzione di detta società e a rappresentare quest’ultima nei suoi rapporti con i terzi.

42

Per quanto riguarda il contesto in cui si inserisce la medesima disposizione, occorre constatare che diverse disposizioni della direttiva 2017/1132, quali l’articolo 64, paragrafo 3, e l’articolo 95, paragrafo 2, di tale direttiva, riflettono la distinzione terminologica, operata dal legislatore dell’Unione, tra gli organi di amministrazione e di direzione, da un lato, e l’assemblea generale degli azionisti, dall’altro. Pertanto, sebbene tale assemblea generale detenga talune prerogative decisionali, queste ultime non hanno la stessa natura dei poteri esercitati dagli organi di amministrazione e di direzione della società, cosicché né gli atti dell’assemblea generale né, attraverso essa, quelli dei suoi membri possono essere qualificati come «partecipazione», ai sensi dell’articolo 14, lettera d), ii), di detta direttiva.

43

Inoltre, sebbene l’articolo 14, lettera a), della direttiva 2017/1132, che deve essere letto in combinato disposto con l’articolo 4, lettera i), di quest’ultima, richieda la pubblicazione dell’atto costitutivo nonché dello statuto di una società per azioni, documenti che devono menzionare l’identità dei loro firmatari, i quali possono includere gli azionisti iniziali di tale società, nessuna disposizione di tale direttiva richiede espressamente una pubblicazione in caso di successiva modifica della composizione dell’azionariato di una siffatta società.

44

Per quanto riguarda gli obiettivi perseguiti dalla direttiva 2017/1132, dai considerando 7 e 8 nonché dall’articolo 1 di tale direttiva risulta che la pubblicità prevista da quest’ultima mira a tutelare in particolare gli interessi dei terzi nei confronti delle società per azioni e delle società a responsabilità limitata, dal momento che esse offrono come garanzia nei confronti dei terzi soltanto il loro patrimonio sociale. A tal fine, questa pubblicità deve consentire ai terzi di conoscere gli atti essenziali della società interessata e certe indicazioni che la concernono, in particolare le generalità delle persone che hanno il potere di impegnarla (v., in tal senso, sentenza del 4 ottobre 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punto 77).

45

Inoltre, lo scopo della medesima direttiva è quello di garantire la certezza del diritto nelle relazioni tra le società ed i terzi, in previsione di un incremento degli scambi commerciali fra gli Stati membri in seguito all’istituzione del mercato interno. In tale prospettiva, è indispensabile che chiunque intenda intrattenere rapporti d’affari con società aventi la propria sede in altri Stati membri possa conoscere agevolmente i dati costituitivi essenziali delle società commerciali e i dati essenziali relativi ai poteri dei loro rappresentanti, il che richiede che tutti i dati pertinenti figurino, in maniera esplicita, nel registro di cui all’articolo 16, paragrafo 3, della medesima direttiva (v., in tal senso, sentenza del 4 ottobre 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punto 78 e giurisprudenza citata).

46

Orbene, nel caso di specie, la pubblicazione di dati relativi a tutti gli azionisti di società per azioni e, in particolare, agli azionisti di minoranza di queste ultime non risulta utile alla luce dell’obiettivo di tutela degli interessi dei terzi e della certezza del diritto, e non può quindi essere giustificata da tale obiettivo. Infatti, poiché gli azionisti di minoranza non sono, in linea di principio, autorizzati a rappresentare una società per azioni, né ad impegnarla nei confronti dei terzi, né ad esercitare funzioni di gestione e di controllo, contrariamente ai membri degli organi di amministrazione e di direzione di una siffatta società, i dati relativi a tutti questi azionisti risultano irrilevanti per tali terzi.

47

Di conseguenza, occorre rispondere alla prima questione dichiarando che l’articolo 14, lettera d), della direttiva 2017/1132 deve essere interpretato nel senso che esso non richiede la pubblicazione di informazioni riguardanti tutti gli azionisti delle società menzionate in tale disposizione, compresi gli azionisti di minoranza di dette società.

48

Tenuto conto della risposta fornita alla prima questione, non occorre rispondere alla seconda questione.

49

Con tali questioni, che occorre esaminare congiuntamente, il giudice del rinvio chiede, in sostanza, se gli articoli 5 e 6 del RGPD, letti alla luce degli articoli 7 e 8 della Carta, debbano essere interpretati nel senso che ostano a una normativa nazionale che impone la messa a disposizione del pubblico di dati personali relativi a tutti gli azionisti, compresi gli azionisti di minoranza, di società per azioni, relativi alle generalità di ciascuno di tali azionisti, ai suoi recapiti, alla categoria, al numero e al valore nominale delle azioni da esso detenute nonché al numero di voti associati a tali azioni, al fine di garantire un contesto imprenditoriale trasparente per tutelare gli interessi di terzi, prevenire il riciclaggio di capitali e il finanziamento del terrorismo e della proliferazione delle armi di distruzione di massa e fornire le informazioni necessarie per l’attuazione delle sanzioni nazionali, internazionali e dell’Unione, qualora l’accesso a tali dati non sia subordinato ad alcuna condizione, come la dimostrazione di un legittimo interesse.

50

In via preliminare, occorre ricordare che, conformemente all’obiettivo perseguito dal RGPD, quale risulta dall’articolo 1 nonché dai considerando 1 e 10 di quest’ultimo, che consiste segnatamente nel garantire un livello elevato di protezione delle libertà e dei diritti fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata con riguardo al trattamento dei dati personali, sancito all’articolo 8, paragrafo 1, della Carta e all’articolo 16, paragrafo 1, TFUE, qualsiasi trattamento di dati personali deve, in particolare, essere conforme ai principi relativi al trattamento di tali dati enunciati all’articolo 5 del RGPD e soddisfare le condizioni di liceità elencate all’articolo 6 di quest’ultimo [v., in tal senso, sentenze del 9 gennaio 2025, Mousse, C‑394/23, EU:C:2025:2, punti 21 e 22, nonché del 3 aprile 2025, Ministerstvo zdravotnictví (Dati riguardanti il rappresentante di una persona giuridica), C‑710/23, EU:C:2025:231, punti 29 e 33].

51

A tale riguardo, va rilevato che l’articolo 5, paragrafo 1, lettera a), del RGPD dispone che i dati personali siano trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.

52

Inoltre, ai sensi dell’articolo 5, paragrafo 1, lettera b), del RGPD, che enuncia il principio di limitazione delle finalità del trattamento dei dati personali, tali dati devono, da un lato, essere raccolti per finalità determinate, esplicite e legittime e, dall’altro, essere successivamente trattati in modo non incompatibile con tali finalità. Secondo la giurisprudenza della Corte, detto principio implica segnatamente, anzitutto, che le finalità del trattamento siano individuate al più tardi al momento della raccolta dei dati personali, poi, che le finalità di tale trattamento siano enunciate chiaramente e, infine, che le finalità di detto trattamento garantiscano, in particolare, la liceità del trattamento di tali dati, ai sensi dell’articolo 6, paragrafo 1, del RGPD (v., in tal senso, sentenza del 20 ottobre 2022, Digi, C‑77/21, EU:C:2022:805, punto 27 e giurisprudenza citata).

53

Infine, ai sensi dell’articolo 5, paragrafo 1, lettera c), del RGPD, che sancisce il principio di minimizzazione dei dati, tali dati sono anche adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Tale principio è espressione del principio di proporzionalità (v., in tal senso, sentenza del 9 gennaio 2025, Mousse, C‑394/23, EU:C:2025:2, punto 24 e giurisprudenza citata).

54

Per quanto riguarda le condizioni di liceità del trattamento, l’articolo 6, paragrafo 1, primo comma, del RGPD prevede un elenco esaustivo e tassativo dei casi nei quali un trattamento di dati personali può essere considerato lecito. Pertanto, per poter essere considerato lecito, un trattamento deve rientrare in uno dei casi previsti da tale disposizione (v., in tal senso, sentenza del 9 gennaio 2025, Mousse, C‑394/23, EU:C:2025:2, punto 25 e giurisprudenza citata).

55

Ai sensi dell’articolo 6, paragrafo 1, primo comma, lettera a), del RGPD, il trattamento di dati personali è lecito se, e nella misura in cui l’interessato ha espresso il consenso a tale trattamento per una o più specifiche finalità. In mancanza di un siffatto consenso, o qualora tale consenso non sia stato espresso in modo libero, specifico, informato e inequivocabile, ai sensi dell’articolo 4, punto 11, del RGPD, un trattamento di questo tipo è nondimeno giustificato qualora soddisfi uno dei requisiti di necessità menzionati all’articolo 6, paragrafo 1, primo comma, lettere da b) ad f), del RGPD. In tale contesto, nella misura in cui consentono di rendere lecito un trattamento di dati personali effettuato in assenza del consenso dell’interessato, le giustificazioni previste da quest’ultima disposizione devono essere interpretate restrittivamente (sentenza del 9 gennaio 2025, Mousse, C‑394/23, EU:C:2025:2, punti 26 e 27 nonché giurisprudenza citata).

56

Inoltre, secondo la giurisprudenza della Corte, qualora si possa constatare che un trattamento di dati personali è necessario alla luce di una delle giustificazioni previste all’articolo 6, paragrafo 1, primo comma, lettere da b) a f), del RGPD, non occorre stabilire se tale trattamento rientri anche in un’altra di tali giustificazioni (sentenza del 9 gennaio 2025, Mousse, C‑394/23, EU:C:2025:2, punto 28 e giurisprudenza citata).

57

Nel caso di specie, è pacifico che le informazioni di cui trattasi nel procedimento principale si riferiscono a persone fisiche identificate o identificabili e che esse devono quindi essere qualificate come dati personali, ai sensi dell’articolo 4, punto 1, del RGPD. È altresì pacifico che tali informazioni sono oggetto di un trattamento, ai sensi dell’articolo 4, punto 2, del RGPD, nei limiti in cui sono messe a disposizione del pubblico, e che tale trattamento, che ha carattere automatizzato, rientra nell’ambito di applicazione materiale del RGPD, in forza dell’articolo 2, paragrafo 1, di quest’ultimo.

58

Inoltre, come rilevato, in sostanza, dall’avvocato generale al paragrafo 43 delle sue conclusioni, il trattamento dei dati di cui trattasi nel procedimento principale è imposto dalla normativa nazionale e deve quindi essere esaminato alla luce dell’articolo 6, paragrafo 1, primo comma, lettera c), del RGPD, secondo il quale un trattamento è lecito se, e nella misura in cui, è «necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento».

59

L’articolo 6, paragrafo 3, del RGPD precisa in particolare che, in tal caso, il trattamento deve essere basato sul diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento e che le finalità del trattamento devono essere definite in tale base giuridica. La base giuridica pertinente deve rispondere ad un obiettivo di interesse pubblico ed essere proporzionata all’obiettivo legittimo perseguito. Poiché tali requisiti sono espressione di quelli derivanti dall’articolo 52, paragrafo 1, della Carta, essi devono essere interpretati alla luce di quest’ultima disposizione (v., in tal senso, sentenze del 1o agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 69, e del 4 ottobre 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punto 104).

60

A tal riguardo, va rilevato che i diritti fondamentali al rispetto della vita privata e alla protezione dei dati personali, garantiti agli articoli 7 e 8 della Carta, non sono prerogative assolute, ma vanno considerati alla luce della loro funzione sociale e bilanciati con altri diritti fondamentali. Possono quindi essere apportate limitazioni, a condizione che, conformemente all’articolo 52, paragrafo 1, della Carta, esse siano previste dalla legge e rispettino il contenuto essenziale dei diritti fondamentali nonché il principio di proporzionalità [sentenze del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità), C‑439/19, EU:C:2021:504, punto 105; del 1o agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 70, nonché del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C‑548/21, EU:C:2024:830, punto 85 e giurisprudenza citata].

61

In tale contesto, occorre ricordare che, per giurisprudenza costante, la proporzionalità di misure dalle quali risulti un’ingerenza nei diritti garantiti dagli articoli 7 e 8 della Carta richiede il rispetto dei requisiti di idoneità e di necessità nonché di quello relativo al carattere proporzionato di tali misure rispetto all’obiettivo perseguito (sentenza Luxembourg Business Registers, punto 63 e giurisprudenza citata).

62

Più specificamente, le deroghe alla protezione dei dati personali e le limitazioni di quest’ultima operano entro i limiti dello stretto necessario, fermo restando che, qualora sia possibile una scelta fra più misure appropriate al soddisfacimento dei legittimi obiettivi perseguiti, si deve ricorrere alla meno restrittiva. Inoltre, un obiettivo di interesse generale non può essere perseguito senza tener conto del fatto che esso deve essere conciliato con i diritti fondamentali interessati dalla misura prescelta, e ciò effettuando un contemperamento equilibrato tra, da un lato, l’obiettivo di interesse generale e, dall’altro, i diritti di cui trattasi, al fine di garantire che gli inconvenienti causati da tale misura non siano sproporzionati rispetto agli scopi perseguiti. Così, la possibilità di giustificare una limitazione dei diritti garantiti dagli articoli 7 e 8 della Carta deve essere valutata misurando la gravità dell’ingerenza che tale limitazione comporta, e verificando che l’importanza dell’obiettivo di interesse generale perseguito da tale limitazione sia adeguata a detta gravità (sentenza Luxembourg Business Registers, punto 64 e giurisprudenza citata).

63

Inoltre, per soddisfare il requisito di proporzionalità, la normativa di cui trattasi, che comporta l’ingerenza, deve altresì prevedere norme chiare e precise che disciplinino la portata e l’applicazione delle misure che essa prevede e che fissino requisiti minimi, cosicché le persone interessate dispongano di garanzie sufficienti, tali da permettere di proteggere efficacemente i loro dati personali contro i rischi di abuso. Essa deve in particolare indicare in quali circostanze e a quali condizioni una misura che prevede il trattamento di siffatti dati possa essere adottata, garantendo così che l’ingerenza sia limitata allo stretto necessario (v., in tal senso, sentenza Luxembourg Business Registers, punto 65 e giurisprudenza citata).

64

Nel caso di specie, spetta al giudice del rinvio verificare, in primo luogo, se la normativa nazionale in esame nel procedimento principale soddisfi il principio di limitazione delle finalità, enunciato all’articolo 5, paragrafo 1, lettera b), del RGPD, alla luce della giurisprudenza ricordata al punto 52 della presente sentenza, e se le finalità del trattamento siano definite nella base giuridica pertinente, ai sensi dell’articolo 6, paragrafo 3, del RGPD. Come rilevato dall’avvocato generale al paragrafo 45 delle sue conclusioni, a quest’ultimo riguardo, occorre che la o le finalità in questione siano determinabili in maniera sufficientemente certa sulla base del testo della disposizione o del suo contesto normativo.

65

In secondo luogo, occorre verificare se tale base giuridica soddisfi gli altri requisiti derivanti dall’articolo 6, paragrafo 3, del RGPD e dall’articolo 52, paragrafo 1, della Carta, alla luce della giurisprudenza costante ricordata ai punti da 59 a 63 della presente sentenza e prendendo in considerazione la gravità dell’ingerenza nei diritti garantiti dagli articoli 7 e 8 della Carta che risulta da detta base giuridica.

66

Sebbene competa, in definitiva, al giudice del rinvio verificare se tali altri requisiti siano soddisfatti, spetta alla Corte, statuendo su un rinvio pregiudiziale, fornire a tale giudice tutti gli elementi interpretativi del diritto dell’Unione che possano essere utili per definire la controversia di cui è investito e fornire, se del caso, precisazioni dirette a guidare detto giudice nel suo esame (v., in tal senso, sentenze del 27 giugno 2017, Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, punto 36 e giurisprudenza citata, nonché del 9 gennaio 2025, Mousse, C‑394/23, EU:C:2025:2, punto 51).

67

A tal riguardo, come risulta da una giurisprudenza costante della Corte, la comunicazione di dati personali a terzi, compresa la messa a disposizione di tali dati, costituisce un’ingerenza nei diritti fondamentali sanciti agli articoli 7 e 8 della Carta, indipendentemente dal successivo utilizzo delle informazioni comunicate. A tal riguardo, poco importa che le informazioni relative alla vita privata di cui trattasi abbiano o meno un carattere sensibile o che gli interessati abbiano o meno subito eventuali inconvenienti in seguito a tale ingerenza (v., in tal senso, sentenza del 21 giugno 2022Ligue des droits humains, C‑817/19, EU:C:2022:491, punto 96, e sentenza Luxembourg Business Registers, punto 39).

68

Nel caso di specie, sebbene la normativa nazionale in esame nel procedimento principale elenchi precisamente i dati personali che devono essere messi a disposizione del pubblico, cosicché l’ingerenza che ne deriva è prevista dalla legge, occorre anche, da un lato, misurare la gravità di tale ingerenza e, dall’altro, esaminare se l’importanza degli obiettivi di interesse generale asseritamente perseguiti sia in relazione con tale gravità (v., in tal senso, sentenza del 1o agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 98).

69

Pertanto, da un lato, per quanto concerne la gravità di tale ingerenza, si deve segnatamente tener conto della natura dei dati personali in questione, e in particolare della loro natura eventualmente sensibile, nonché della natura e delle modalità concrete del trattamento dei dati in questione, in particolare del numero di persone che hanno accesso a tali dati e delle modalità di accesso a questi ultimi (sentenza del 1o agosto 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, punto 99 e giurisprudenza citata).

70

Nel caso di specie, occorre rilevare che, nei limiti in cui i dati messi a disposizione del pubblico riguardano in particolare le generalità di ciascun azionista, i suoi recapiti, la categoria, il numero e il valore nominale delle azioni da esso detenute nonché il numero di voti associati a tali azioni, siffatti dati possono consentire di stabilire un profilo riguardante, tra l’altro, lo stato patrimoniale dell’interessato nonché i settori economici e le imprese specifiche in cui quest’ultimo investe (v., in tal senso, sentenza Luxembourg Business Registers, punto 41).

71

A ciò si aggiunge il fatto che è insito a una siffatta messa a disposizione che tali dati siano allora accessibili ad un numero potenzialmente illimitato di persone, cosicché il loro trattamento può consentire anche a persone che, per ragioni estranee all’obiettivo perseguito da detta messa a disposizione, cerchino di ottenere informazioni, in particolare, sulla situazione materiale e finanziaria di detto azionista, di accedere liberamente a tali dati. Tale possibilità risulta ancor più agevole quando i dati in questione possono essere consultati su Internet (v., in tal senso, sentenza Luxembourg Business Registers, punto 42 e giurisprudenza citata).

72

Inoltre, le potenziali conseguenze per le persone interessate derivanti da un eventuale uso abusivo dei loro dati sono aggravate dalla circostanza che, una volta messi a disposizione del pubblico, tali dati possono non solo essere liberamente consultati, ma altresì essere conservati e diffusi e che, in caso di simili trattamenti successivi, per tali persone diventa vieppiù difficile, se non addirittura illusorio, difendersi efficacemente dagli abusi (v., in tal senso, sentenza Luxembourg Business Registers, punto 43).

73

Pertanto, sebbene non pregiudichi il contenuto essenziale dei diritti garantiti dagli articoli 7 e 8 della Carta, la messa a disposizione del pubblico dei dati in esame nel procedimento principale costituisce tuttavia, e in ogni caso, una grave ingerenza in tali diritti (v., in tal senso, sentenza Luxembourg Business Registers, punti 44 e 54).

74

D’altro lato, come rilevato dall’avvocato generale ai paragrafi da 50 a 52 delle sue conclusioni, occorre constatare che gli obiettivi addotti dal Parlamento lettone dinanzi al giudice del rinvio per giustificare la misura prevista dalla normativa nazionale di cui trattasi nel procedimento principale e ricordati al punto 49 della presente sentenza possono essere qualificati come obiettivi di interesse generale riconosciuti dall’Unione. Occorre tuttavia esaminare se una normativa nazionale come quella di cui trattasi nel procedimento principale rispetti i requisiti di idoneità e di necessità, nonché quella relativa al carattere proporzionato di tale misura rispetto agli obiettivi perseguiti, ai sensi del punto 61 della presente sentenza.

75

Per quanto riguarda l’obiettivo di interesse generale consistente nel garantire un contesto imprenditoriale trasparente per tutelare gli interessi dei terzi, occorre rilevare che esso sembra corrispondere, in sostanza, all’obiettivo perseguito dal coordinamento delle disposizioni nazionali operato all’articolo 14, lettera d), della direttiva 2017/1132, letto alla luce dei considerando 7 e 8 di quest’ultima.

76

Orbene, come emerge dal punto 46 della presente sentenza, la pubblicazione di dati relativi a tutti gli azionisti di una società per azioni e, in particolare, agli azionisti di minoranza di quest’ultima non risulta utile tenuto conto di tale obiettivo. Di conseguenza, una normativa nazionale come quella di cui trattasi nel procedimento principale non risulta né idonea né necessaria per conseguire detto obiettivo e non può, pertanto, giustificare la grave ingerenza nei diritti garantiti dagli articoli 7 e 8 della Carta, menzionata al punto 73 della presente sentenza.

77

Quanto all’obiettivo di interesse generale consistente nel prevenire il riciclaggio di capitali e il finanziamento del terrorismo e della proliferazione delle armi di distruzione di massa, si deve constatare che l’accesso del pubblico ai dati in questione è idoneo a contribuire alla realizzazione di quest’ultimo, in quanto il carattere pubblico di tale accesso e la maggiore trasparenza che ne deriva contribuiscono alla realizzazione di un ambiente meno suscettibile di essere utilizzato a tali fini (v., in tal senso, sentenza Luxembourg Business Registers, punto 67).

78

Tuttavia, un simile accesso non può essere considerato strettamente necessario qualora tale obiettivo possa ragionevolmente essere conseguito in modo altrettanto efficace con altri mezzi, meno lesivi dei diritti garantiti dagli articoli 7 e 8 della Carta [v., in tal senso, sentenza del 4 ottobre 2024, Bezirkshauptmannschaft Landeck (Tentativo di accesso ai dati personali memorizzati in un telefono cellulare), C‑548/21, EU:C:2024:830, punto 87].

79

Infatti, la lotta contro il riciclaggio di capitali e il finanziamento del terrorismo e della proliferazione delle armi di distruzione di massa incombe in via prioritaria alle autorità pubbliche nonché agli enti, quali gli enti creditizi o gli istituti finanziari, ai quali, in ragione delle loro attività, sono imposti obblighi specifici in materia (sentenza Luxembourg Business Registers, punto 83), come quelli risultanti, in particolare, dagli articoli 11 e 13 della direttiva 2015/849.

80

In tale contesto, occorre osservare che l’articolo 30, paragrafo 5, della direttiva 2015/849, il cui testo deriva dall’articolo 74, punto 1, della direttiva 2024/1640, prevede che gli Stati membri debbano provvedere affinché le informazioni sulla titolarità effettiva, ai sensi di tale disposizione, siano accessibili in ogni caso, in particolare, «a qualunque persona od organizzazione che possa dimostrare un legittimo interesse», e non al pubblico nel suo insieme.

81

A tal riguardo, occorre altresì precisare che, secondo la giurisprudenza della Corte, una normativa che, ai fini del perseguimento dell’obiettivo di cui al punto 77 della presente sentenza, consenta l’accesso a dati personali ai membri del pubblico che possono dimostrare un legittimo interesse, in linea di principio, è idonea a limitare l’ingerenza nei diritti garantiti dagli articoli 7 e 8 della Carta allo stretto necessario (v., in tal senso, sentenza del 21 maggio 2026, Across Fiduciaria e a., C‑684/24 e C‑685/24, EU:C:2026:410, punto 106).

82

Orbene, nel caso di specie, trattandosi di azionisti di minoranza che non hanno la qualità di titolari effettivi della società di cui detengono una parte del capitale sociale, non risulta quindi, e a maggior ragione, strettamente necessario che dati personali come quelli in esame nel procedimento principale siano accessibili a qualunque persona, senza che quest’ultima debba dimostrare un legittimo interesse.

83

In un contesto del genere, sebbene il giudice del rinvio indichi che il registro nazionale delle imprese, che è il titolare del trattamento, potrebbe non essere in grado di verificare se ciascun richiedente informazioni abbia effettivamente un legittimo interesse ad accedere ai dati personali in questione, occorre ricordare che eventuali difficoltà pratiche connesse alla verifica dell’esistenza di un legittimo interesse non sono idonee a dimostrare il carattere strettamente necessario di un’ingerenza nei diritti fondamentali garantiti dalla Carta (v., per analogia, sentenze del 26 settembre 2000, Commissione/Austria, C‑205/98, EU:C:2000:493, punto 78 e giurisprudenza citata, nonché del 27 novembre 2008, Papillon, C‑418/07, EU:C:2008:659, punto 54 e giurisprudenza citata).

84

Per quanto riguarda il contemperamento equilibrato tra, da un lato, l’obiettivo di interesse generale perseguito e, dall’altro, i diritti fondamentali di cui trattasi, occorre aggiungere che, sebbene la lotta contro il riciclaggio di capitali e il finanziamento del terrorismo e la proliferazione delle armi di distruzione di massa possa giustificare, in generale, un’ingerenza, anche grave, in tali diritti (v., in tal senso, sentenza Luxembourg Business Registers, punti 58 e 59), tale obiettivo non può prevalere, nel caso di specie, su detti diritti, tenuto conto della natura e della gravità dell’ingerenza constatata al punto 73 della presente sentenza.

85

In tale contesto, occorre peraltro rilevare che una normativa nazionale come quella di cui trattasi nel procedimento principale non è accompagnata da garanzie sufficienti che consentirebbero di tutelare efficacemente le persone interessate contro i rischi di abuso, ai sensi della giurisprudenza menzionata al punto 63 della presente sentenza. Infatti, i loro dati personali sono accessibili su Internet e possono essere scaricati in blocco, in particolare da parte di qualsiasi utente non identificato, il che aumenta tali rischi.

86

Di conseguenza, una normativa nazionale come quella in esame nel procedimento principale non risulta né necessaria né proporzionata rispetto all’obiettivo di cui trattasi, ai sensi del punto 61 della presente sentenza.

87

Infine, quanto all’obiettivo di interesse generale consistente nel fornire le informazioni necessarie per l’attuazione delle sanzioni nazionali, internazionali e dell’Unione, una normativa nazionale come quella in esame nel procedimento principale è parimenti idonea a contribuire al conseguimento di tale obiettivo. Infatti, occorre rilevare che la maggiore trasparenza derivante da tale normativa è tale da agevolare detto conseguimento.

88

Nondimeno, come rilevato, in sostanza, dall’avvocato generale ai paragrafi 60 e 61 delle sue conclusioni, l’accesso del pubblico ai dati di cui trattasi nel procedimento principale non risulta strettamente necessario a tal fine, dal momento che risultano disponibili mezzi meno lesivi dei diritti garantiti dagli articoli 7 e 8 della Carta.

89

Come rilevato dalla Commissione nelle sue osservazioni scritte, un siffatto mezzo meno lesivo potrebbe consistere, in particolare, nel limitare l’obbligo di pubblicazione ai soli dati relativi alle persone che compaiono negli elenchi delle sanzioni e nel consentire l’accesso a dati riguardanti azionisti che non compaiono in tali elenchi solo a persone che dimostrino un legittimo interesse al riguardo.

90

Inoltre, per gli stessi motivi indicati, rispettivamente, ai punti 84 e 85 della presente sentenza, l’obiettivo di interesse generale perseguito non può prevalere, nel caso di specie, sui diritti fondamentali di cui trattasi e una normativa nazionale come quella in esame nel procedimento principale non contiene garanzie sufficienti che consentano di tutelare efficacemente le persone interessate contro i rischi di abuso.

91

Pertanto, una normativa del genere non risulta né necessaria né proporzionata rispetto all’obiettivo di cui trattasi, ai sensi del punto 61 della presente sentenza.

92

Di conseguenza, tenuto conto delle considerazioni che precedono, occorre rispondere alle questioni terza e quarta dichiarando che gli articoli 5 e 6 del RGPD, letti alla luce degli articoli 7 e 8 della Carta, devono essere interpretati nel senso che ostano a una normativa nazionale che imponga la messa a disposizione del pubblico di dati personali relativi a tutti gli azionisti, compresi gli azionisti di minoranza, di società per azioni, relativi alle generalità di ciascuno di tali azionisti, ai suoi recapiti, alla categoria, al numero e al valore nominale delle azioni da esso detenute nonché al numero di voti associati a tali azioni, al fine di garantire un contesto imprenditoriale trasparente per tutelare gli interessi di terzi, prevenire il riciclaggio di capitali e il finanziamento del terrorismo e della proliferazione delle armi di distruzione di massa nonché fornire le informazioni necessarie all’attuazione delle sanzioni nazionali, internazionali e dell’Unione, qualora l’accesso a tali dati non sia subordinato ad alcuna condizione, come la dimostrazione di un legittimo interesse.

93

Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Prima Sezione) dichiara: