La Corte di Giustizia Ue, nella sentenza 3 settembre 2026 causa C-798/24, nel decidere un ricorso proposto da persone fisiche che hanno contestato la conformità alla Costituzione della Repubblica di Lettonia di una normativa nazionale che impone la messa a disposizione del pubblico di dati personali relativi agli azionisti di società per azioni, fornisce indicazioni suscettibili di impattare anche sulla disciplina italiana.

In particolare, su ricorso di alcuni azionisti di minoranza di una spa lettone, il Giudice del rinvio ha domandato alla Corte di Giustizia Ue se la pubblicazione dei dati relativi a tali soggetti – comprendenti, nello specifico, nome, cognome, numero di identificazione personale, indirizzo di contatto o di posta elettronica, numero e valore nominale delle loro azioni e numero di voti ad esse collegati – sia imposto dal diritto dell’Unione.

Ulteriore questione posta all’attenzione della Corte di Giustizia attiene alla compatibilità, rispetto a quanto disposto dal Regolamento 2016/679/Ue (c.d. GDPR), di una normativa nazionale che consenta a chiunque di ottenere i dati personali di qualsiasi azionista di una spa senza la necessità di dimostrare un interesse legittimo all’acquisizione di tali dati.

E ciò, al fine di:
- garantire un contesto imprenditoriale trasparente e tutelare gli interessi di terzi;
- prevenire il riciclaggio, il finanziamento del terrorismo e la proliferazione di armi di distruzione di massa;
- fornire le informazioni necessarie per l’applicazione di sanzioni nazionali, internazionali e dell’Ue.

La domanda di pronuncia pregiudiziale verte, quindi, da un lato, sull’interpretazione dell’art. 14 lett. d) della direttiva 2017/1132/Ue e, dall’altro, sull’interpretazione dell’art. 5 § 1 del Regolamento 2016/679/Ue.

La prima disposizione – rubricata “Atti e indicazioni soggetti all’obbligo di pubblicità per le società” – stabilisce che “gli Stati membri adottano le misure necessarie affinché l’obbligo della pubblicità per le società concerna almeno gli atti e le indicazioni seguenti: a) l’atto costitutivo e lo statuto, se quest’ultimo forma oggetto di atto separato; … d) la nomina, la cessazione dalle funzioni nonché le generalità delle persone che, in quanto organo previsto per legge o membri di tale organo: i) hanno il potere di obbligare la società di fronte ai terzi e di rappresentarla in giudizio; le misure di pubblicità precisano se le persone che hanno il potere di obbligare la società possano agire da sole o siano tenute ad agire congiuntamente; ii) partecipano all’amministrazione, alla vigilanza o al controllo della società …”.

Ai sensi della seconda (rubricata “Principi applicabili al trattamento di dati personali”), invece, “i dati personali sono: a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»); b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»); c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati») …”.

La Corte di Giustizia ha stabilito, innanzitutto, che l’art. 14 lett. d) della direttiva 2017/1132/Ue deve essere interpretato nel senso che non richiede la pubblicazione di informazioni riguardanti tutti gli azionisti delle società cui è riferibile tale disposizione, compresi gli azionisti di minoranza di dette società. La pubblicazione di dati relativi a tutti gli azionisti di società per azioni e, in particolare, agli azionisti di minoranza di queste ultime non risulta utile alla luce dell’obiettivo di tutela degli interessi dei terzi e della certezza del diritto, e non può quindi essere giustificata da tale obiettivo.

Infatti, poiché gli azionisti di minoranza non sono, in linea di principio, autorizzati a rappresentare una società per azioni, né ad impegnarla nei confronti dei terzi, né ad esercitare funzioni di gestione e di controllo, contrariamente ai membri degli organi di amministrazione e di direzione di una siffatta società, i dati relativi a tutti questi azionisti risultano irrilevanti per tali terzi.

Quanto all’ulteriore questione, si stabilisce che, non il solo art. 5 § 1, ma, più genericamente, gli artt. 5 e 6 del regolamento 2016/679/Ue, letti alla luce degli artt. 7 e 8 della Carta dei diritti fondamentali della Ue, devono essere interpretati nel senso che ostano a una normativa nazionale che (per le finalità ricordate) imponga la messa a disposizione del pubblico di dati personali relativi a tutti gli azionisti, compresi gli azionisti di minoranza di spa, relativi alle generalità di ciascuno di tali azionisti – ai suoi recapiti, alla categoria, al numero e al valore nominale delle azioni da esso detenute, nonché al numero di voti associati a tali azioni – qualora l’accesso a tali dati non sia subordinato ad alcuna condizione, come la dimostrazione di un legittimo interesse.