El TJUE protege los datos personales de accionistas minoritarios

El Tribunal de Justicia de la Unión Europea, en su sentencia de 3 de septiembre de 2026 sobre el asunto C-798/24, ECLI:EU:C:2026:679, analiza si una normativa nacional puede publicar en Internet los datos personales de todos los accionistas de sociedades anónimas, incluidos los minoritarios, sin exigir interés legítimo para acceder a ellos.

El TJUE declara que la Directiva (UE) 2017/1132 no exige publicar información sobre todos los accionistas. Además, concluye que el RGPD se opone a un acceso público e incondicionado como el examinado, aunque se invoquen objetivos de interés general.

El origen del litigio

El Tribunal Constitucional de Letonia conocía de un recurso promovido por varios accionistas minoritarios contra una disposición nacional que obligaba a publicar datos como la identidad, el documento identificativo, la dirección de contacto, el correo electrónico y la información sobre sus acciones y derechos de voto.

La información podía consultarse en línea y descargarse de forma masiva por usuarios no identificados. La normativa pretendía favorecer la transparencia empresarial, prevenir el blanqueo de capitales y facilitar la aplicación de sanciones.

Una injerencia grave en la privacidad

El TJUE recuerda que los derechos al respeto de la vida privada y a la protección de los datos personales pueden limitarse por ley, pero cualquier restricción debe respetar el principio de proporcionalidad.

En este caso, considera que la publicación constituye una injerencia grave, pues permite elaborar perfiles sobre la situación patrimonial y las inversiones de cada accionista. El riesgo aumenta porque los datos pueden ser consultados, conservados, descargados y difundidos por un número potencialmente ilimitado de personas.

Existen medidas menos lesivas

Según el Tribunal, la publicación de los datos de todos los accionistas, especialmente de los minoritarios, no parece idónea ni necesaria para proteger a terceros mediante la transparencia empresarial.

Tampoco resulta proporcionado permitir un acceso general para prevenir el blanqueo de capitales o aplicar sanciones. Es posible recurrir a medidas menos lesivas, como limitar la consulta a quienes acrediten un interés legítimo o restringir la publicidad a los datos de las personas incluidas en listas de sanciones.

Conclusión y consecuencia práctica

Concluye el TJUE que:

«1) El artículo 14, letra d), de la Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, de 14 de junio de 2017, sobre determinados aspectos del Derecho de sociedades, en su versión modificada por la Directiva (UE) 2019/1151 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, debe interpretarse en el sentido de que no exige la publicación de información sobre todos los accionistas de las sociedades a las que se refiere dicha disposición, incluidos los accionistas minoritarios de tales sociedades.

2) Los artículos 5 y 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46 /CE ( Reglamento general de protección de datos), en relación con los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea, deben interpretarse en el sentido de que se oponen a una normativa nacional que obliga a poner a disposición del público datos personales de todos los accionistas de sociedades anónimas, incluidos los accionistas minoritarios, relativos a la identidad de cada uno de esos accionistas, sus datos de contacto, la categoría, el número y el valor nominal de las acciones que poseen y el número de votos asociados a dichas acciones, con el fin de garantizar un entorno empresarial transparente para proteger los intereses de terceros, prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y proporcionar la información necesaria para la aplicación de sanciones nacionales, internacionales y de la Unión Europea, cuando el acceso a dichos datos no esté supeditado a ningún requisito, como la demostración de un interés legítimo».

El criterio obliga a ponderar la transparencia societaria con la privacidad. Los Estados no pueden establecer sistemas de publicación indiscriminada de datos personales de todos los accionistas sin justificar su necesidad, limitar el acceso y adoptar garantías eficaces frente a usos abusivos.