Registro mercantil y protección de datos: La lucha contra el fraude no justifica que un Estado miembro obligue a la publicidad indiscriminada de la identidad de los socios de una sociedad mercantil

El Tribunal de Justicia de la Unión Europea (TJUE) —en su Sentencia de 3 de septiembre de 2026, Jautiva, C-798/24— ha analizado si resulta conforme al Derecho de la Unión la legislación letona sobre el registro mercantil, en virtud de la cual se pone a disposición del público (que puede acceder en línea y descargarla, incluso sin necesidad de identificarse) determinada información relativa a los accionistas de sociedades anónimas, incluyendo el nombre y apellidos de los accionistas personas físicas, número de identificación personal o, en su defecto, su fecha de nacimiento, el número y la fecha de expedición del documento de identidad, el país y la autoridad de expedición de dicho documento, y una dirección de contacto, así como la categoría, el número y el valor nominal de sus acciones, y el número de votos asociados a esas acciones. La finalidad de esta legislación es incrementar la transparencia en el ámbito empresarial para prevenir el blanqueo de capitales y la financiación del terrorismo y de la proliferación de armas de destrucción masiva, y proporcionar la información necesaria para la aplicación de sanciones nacionales, internacionales y de la Unión Europea.

Pues bien, lo primero que destaca el TJUE es que este grado de transparencia no viene impuesto por la Directiva (UE) 2017/1132 del Parlamento Europeo y del Consejo, de 14 de junio de 2017, sobre determinados aspectos del Derecho de sociedades, cuyo artículo 14.d) restringe la obligación de publicar datos personales a «la identidad de las personas que, como órgano legalmente previsto, o como miembros de tal órgano: i) tengan el poder de obligar a la sociedad con respecto a terceros y representarla en juicio; las medidas de publicidad precisarán si las personas que tengan poder de obligar a la sociedad pueden hacerlo por sí solas o deben hacerlo conjuntamente, ii) participen en la administración, la vigilancia o el control de la sociedad». No se exige, por tanto, la publicación de información sobre todos los accionistas de las sociedades.

Por lo demás, la publicidad indiscriminada de dicha información entra en conflicto, según el TJUE, con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, porque el acceso a dichos datos no está supeditado a ningún requisito, como la demostración de un interés legítimo. Destaca a este respecto el tribunal que la normativa letona analizada «no parece ni necesaria ni proporcionada en relación con el objetivo» que pretende, porque no va acompañada de garantías suficientes que permitan proteger eficazmente a las personas afectadas contra los riesgos de abuso, ya que «sus datos personales son accesibles en Internet y pueden ser objeto de descargas masivas, en particular por cualquier usuario no identificado, lo que aumenta dichos riesgos».