La trasparenza societaria non può tradursi nella diffusione generalizzata e incondizionata dei dati personali di tutti gli azionisti, compresi quelli di minoranza. Con la sentenza del 3 settembre 2026 nella causa C-798/24, la Corte di Giustizia dell’Unione europea ha chiarito i limiti entro i quali gli Stati membri possono imporre obblighi di pubblicità relativi alla compagine azionaria delle società, alla luce sia della disciplina europea in materia societaria sia dei principi stabiliti dal GDPR.
La controversia riguardava una normativa nazionale che prevedeva la messa a disposizione del pubblico di un ampio insieme di informazioni relative agli azionisti di società per azioni: dati identificativi e di contatto, categoria, numero e valore nominale delle azioni possedute, nonché numero dei diritti di voto associati alle partecipazioni. Secondo la normativa nazionale, tale regime di pubblicità era funzionale a diversi obiettivi di interesse generale, tra cui la trasparenza del contesto imprenditoriale, la tutela dei terzi, il contrasto al riciclaggio e al finanziamento del terrorismo, nonché l’attuazione delle misure sanzionatorie nazionali, europee e internazionali.
La Corte ha anzitutto escluso che la Direttiva (UE) 2017/1132 in materia di diritto societario imponga la pubblicazione dei dati di tutti gli azionisti. Gli obblighi di pubblicità previsti dalla Direttiva riguardano, infatti, principalmente i soggetti che dispongono del potere di rappresentare la società nei confronti dei terzi o che partecipano alla sua amministrazione, vigilanza o controllo. La posizione dell’azionista è differente: essa deriva dalla titolarità di una partecipazione al capitale sociale e non dall’attribuzione di una funzione amministrativa o rappresentativa. La Corte osserva inoltre che la disciplina europea non prevede un obbligo generale di pubblicità in occasione delle variazioni nella composizione dell’azionariato. La finalità di tutela dei terzi perseguita dalla normativa societaria europea non richiede, pertanto, la conoscibilità indiscriminata dell’identità di tutti i soci e, in particolare, degli azionisti di minoranza.
Il secondo profilo affrontato dalla sentenza riguarda direttamente il GDPR.
La Corte richiama i principi di liceità, limitazione della finalità e minimizzazione dei dati previsti dall’articolo 5, nonché le condizioni di liceità del trattamento stabilite dall’articolo 6. Quando la pubblicazione dei dati personali deriva da un obbligo imposto dalla legge, il trattamento può trovare fondamento nell’adempimento di un obbligo legale, ma ciò non esonera il legislatore dal rispetto dei requisiti di necessità e proporzionalità. La previsione normativa deve quindi perseguire un obiettivo di interesse pubblico effettivo e l’ingerenza nei diritti degli interessati deve essere adeguata, necessaria e proporzionata rispetto alla finalità perseguita. In questa prospettiva, la Corte attribuisce particolare rilievo alla natura e all’ampiezza dei dati resi pubblici. Informazioni relative all’identità dell’azionista, al numero e al valore delle azioni possedute e ai diritti di voto consentono infatti di ricostruire elementi significativi della situazione economica e patrimoniale dell’interessato e di conoscere le imprese nelle quali egli ha deciso di investire. La gravità dell’ingerenza è ulteriormente accentuata dal fatto che tali informazioni, una volta rese disponibili al pubblico senza condizioni, possono essere consultate, conservate, riprodotte e diffuse da un numero indeterminato di soggetti, anche per finalità del tutto estranee a quelle originariamente perseguite dal legislatore.
Secondo la Corte, la semplice invocazione di esigenze di trasparenza economica non è sufficiente a giustificare una simile esposizione dei dati personali.
Analoga valutazione viene formulata rispetto agli obiettivi di prevenzione del riciclaggio e del finanziamento del terrorismo. La pubblicazione generalizzata dei dati di tutti gli azionisti non risulta necessaria per perseguire tali finalità, anche considerando che gli ordinamenti europei attribuiscono specifici compiti di controllo alle autorità competenti e ai soggetti obbligati, tra cui gli enti creditizi e finanziari.
Il punto centrale della decisione è quindi il principio di proporzionalità: anche quando la limitazione del diritto alla protezione dei dati sia prevista dalla legge e persegua un obiettivo di interesse generale, occorre verificare se esistano strumenti meno invasivi in grado di conseguire efficacemente il medesimo risultato.
Tra le possibili alternative, la Corte indica un modello di accesso maggiormente selettivo: la pubblicazione potrebbe essere circoscritta, ad esempio, alle persone incluse in specifici elenchi di soggetti destinatari di misure sanzionatorie, mentre l’accesso alle informazioni relative agli altri azionisti potrebbe essere subordinato alla dimostrazione di un legittimo interesse.
La sentenza assume rilievo ben oltre il caso specifico perché ribadisce un principio applicabile a numerosi sistemi di pubblicità legale e registri accessibili al pubblico: la previsione normativa dell’accessibilità di un dato personale non è, di per sé, sufficiente a rendere il trattamento compatibile con il GDPR. Anche il legislatore è tenuto a rispettare i principi di minimizzazione, necessità e proporzionalità e a verificare se l’accesso indiscriminato sia realmente indispensabile rispetto alla finalità perseguita.
Per società, gruppi multinazionali e soggetti che gestiscono registri o sistemi di pubblicità societaria, la decisione rappresenta quindi un importante richiamo alla necessità di distinguere tra trasparenza effettivamente necessaria e diffusione generalizzata di informazioni personali. La tutela degli interessi dei terzi e le esigenze di compliance non possono automaticamente giustificare la piena conoscibilità pubblica della posizione patrimoniale e partecipativa di ogni azionista.
