El accionista que no manda nada. Una sentencia del TJUE sobre publicidad registral, y una conversación que en Chile no hemos tenido

El 3 de septiembre de 2026 el Tribunal de Justicia de la Unión Europea dictó una sentencia que me dejó pensando. El caso venía de Letonia, se identifica como C-798/24, y la pregunta de fondo era esta: ¿puede un Estado obligar a publicar en internet, gratis, descargable y sin que nadie tenga que identificarse, los datos personales de todos los accionistas de una sociedad anónima?

El Tribunal dijo que no. Lo interesante no es el «no». Es cómo llegó a él.

Lo que pasaba en Riga

Diecisiete personas naturales llevaron el asunto al Tribunal Constitucional letón. Sostenían que la normativa del Registro Mercantil violaba el artículo 96 de la Constitución de ese país, que protege la vida privada.

Lo que se publicaba de cada accionista era bastante: nombre y apellidos, número de identificación personal, una dirección de contacto, el correo electrónico si lo había informado, y la clase, número y valor nominal de sus acciones con los votos asociados. Todo en línea. Descargable en bloque. Por cualquiera, sin identificarse (§ 33).

Los reclamantes eran minoritarios. No eran titulares reales de la sociedad, no integraban sus órganos de dirección y no tenían forma alguna de controlarla (§ 34). Es decir: aparecían en un registro pensado para que los terceros supieran quién manda en la sociedad, y ellos no mandaban nada.

Primera jugada: los accionistas no administran

La Directiva 2017/1132 obliga a publicar la identidad de quienes «participen en la administración, la vigilancia o el control de la sociedad». La lectura amplia era tentadora: los accionistas votan en la junta, y la junta aprueba las cuentas, elige al consejo y modifica los estatutos. Algo de control hay ahí.

El Tribunal no compró.

Empezó por el texto. La norma habla de nombramiento y cese de funciones, y los accionistas no se nombran ni se cesan: su posición nace de tener acciones, o sea de un derecho de propiedad (§ 41). Siguió por el sistema: la propia Directiva distingue en otros artículos entre los órganos de administración y la junta general, de modo que las prerrogativas de esta última no son de la misma naturaleza que las facultades de aquellos (§ 42). Y agregó un detalle que a mí me pareció el más contundente: la Directiva sí exige publicar la escritura y los estatutos, donde figuran los accionistas fundadores, pero no hay ninguna disposición que ordene publicar los cambios posteriores en la composición accionaria (§ 43). Si el legislador europeo hubiera querido un registro accionario permanente y abierto, lo habría dicho.

Al final está el para qué. La publicidad societaria existe porque un tercero que va a contratar con una sociedad necesita saber quién puede obligarla. Con esa vara, los datos de los minoritarios simplemente no sirven: «parecen carecer de pertinencia» para esos terceros, dice el fallo (§ 46).

Hay algo más que conviene notar, y es procesal. El tribunal remitente había preguntado, en subsidio, si la propia Directiva era válida a la luz de los artículos 7 y 8 de la Carta. Al interpretarla en sentido restrictivo, el Tribunal se ahorró tener que contestar eso (§ 48). Es una salida elegante. También es la confesión de que la tensión existía.

Segunda jugada: medir el daño

Descartada la obligación europea, quedaba preguntarse si el legislador letón podía hacerlo por su cuenta. Acá el razonamiento es el conocido: como el tratamiento lo impone la ley, hay que examinarlo bajo el artículo 6.1 c) del RGPD (§ 58), lo que arrastra el 6.3, que exige que la base jurídica persiga un objetivo de interés público y sea proporcional. Que es, en el fondo, el artículo 52.1 de la Carta escrito de otra manera (§ 59).

Pero antes de ponderar nada, el Tribunal hace algo que no siempre se hace con cuidado: mide cuán grave es la injerencia. Y ahí el fallo se pone específico.

Poner datos a disposición de terceros ya es injerencia, con independencia de lo que después se haga con ellos y de si son o no sensibles (§ 67). Los datos publicados permiten armar un perfil de la situación patrimonial del accionista y de los sectores y empresas donde invierte (§ 70). Quedan al alcance de un número potencialmente ilimitado de personas, que pueden mirarlos por motivos que nada tienen que ver con el objetivo del registro (§ 71). Y una vez afuera, se conservan y se difunden, de manera que defenderse de los abusos se vuelve difícil y «incluso ilusorio» (§ 72).

Conclusión: injerencia grave (§ 73). Esa calificación es la que después ordena todo lo demás.

El Parlamento letón había invocado tres objetivos. El primero, la transparencia del entorno empresarial, se cae de inmediato, y no porque existan medios menos lesivos, sino porque la medida derechamente no sirve: si publicar a los minoritarios no protege a nadie, no es idónea ni necesaria (§ 76). Es un buen recordatorio de que el primer escalón del test de proporcionalidad todavía muerde, aunque en la práctica casi siempre se salte al último.

El segundo objetivo es el que importa: prevenir el lavado de activos, el financiamiento del terrorismo y el de la proliferación de armas. Acá el Tribunal concede que el acceso público sí es idóneo (§ 77). El problema es otro: no es estrictamente necesario si el mismo resultado se alcanza con medios menos invasivos (§ 78). Y esos medios existen. Esa lucha recae principalmente en las autoridades públicas y en los sujetos obligados (§ 79), y el artículo 30.5 de la Directiva 2015/849, en su versión vigente tras la Directiva 2024/1640, ya fijó el estándar: la información sobre titularidad real debe ser accesible a quien acredite un interés legítimo. No al público en general (§ 80).

De ahí sale un argumento a fortiori que cierra el punto. Si ese filtro se exige respecto de los titulares reales, con mayor razón respecto de accionistas minoritarios que ni siquiera lo son (§ 82).

Dos párrafos de esta parte merecen quedarse grabados.

Uno es el § 83, que responde a la objeción que uno esperaría de cualquier servicio público: nosotros no tenemos cómo verificar el interés legítimo de cada solicitante. El Tribunal contesta que las dificultades prácticas del registro no demuestran que la injerencia sea estrictamente necesaria. La incapacidad operativa no es un argumento jurídico.

El otro es el § 85, que constata la falta de garantías apuntando exactamente a lo que hace la diferencia en el mundo digital: los datos están en internet y se pueden descargar masivamente por cualquier usuario no identificado. Un registro en papel y un registro descargable contienen la misma información y no son, en absoluto, la misma medida.

El tercer objetivo, facilitar la aplicación de sanciones nacionales e internacionales, corre la misma suerte. La Comisión había propuesto en sus observaciones algo bastante sensato: publicar solo los datos de quienes figuran en listas de sanciones, y exigir interés legítimo para acceder a los del resto (§ 89).

Dónde se inserta esto

Nada de esto sale de la nada. Viene de Luxembourg Business Registers (C-37/20 y C-601/20, de 2022), que invalidó el acceso del público general al registro de titularidades reales.

Lo nuevo es que ahora el estándar cruzó hacia la publicidad registral mercantil común, que es un territorio mucho más grande y con mucha más tradición detrás. Y que el «interés legítimo» dejó de ser una fórmula para convertirse en una decisión de diseño: la pregunta ya no es si el dato es público o reservado, sino qué se interpone entre el dato y quien lo pide.

Ahora sí, Chile

Nuestro derecho societario clásico sale bien parado. El artículo 7 de la Ley 18.046 obliga a la sociedad a mantener la lista actualizada de accionistas, con domicilio y número de acciones, a disposición de los accionistas. De los accionistas, no del público. En ese punto estamos más cerca del estándar que el TJUE acaba de exigir que del modelo letón.

El problema aparece por otro lado, y es el del comienzo de esta nota.

El artículo 11 de la Ley 20.659 declara que el Registro de Empresas y Sociedades «es único, rige en todo el territorio de la República, es público, gratuito y deberá estar permanentemente actualizado a disposición de quien lo consulte en el sitio electrónico». Y el artículo 2° de esa misma ley permite acogerse al régimen simplificado, entre otras, a la sociedad anónima cerrada y a la sociedad por acciones. Los formularios individualizan a socios y accionistas, y esa individualización viaja a los certificados que cualquiera baja sin identificarse.

Compare con la lista del § 85: gratuito, indiscriminado, sin identificación del solicitante. Tres de cuatro.

Y hay un agravante que el Tribunal no tuvo que considerar porque en Letonia no existe con esta fuerza. El número de identificación personal que allá pesó en el análisis tiene acá un equivalente mucho más potente: el RUT. Un RUT no es un dato más. Es una llave que abre un ecosistema completo de bases de datos, públicas y privadas, formales e informales.

Hasta hoy nada de esto tiene consecuencias jurídicas claras, porque el artículo 4 inciso quinto de la Ley 19.628 permite tratar sin autorización los datos que vienen de fuentes accesibles al público en un abanico bien generoso de hipótesis, incluidos los de carácter económico, financiero, bancario o comercial. Publicado el dato, se acabó el control.

Eso cambia el 1 de diciembre. La Ley 21.719 define las fuentes de acceso público incluyendo expresamente «los registros públicos que disponga la ley», y a continuación agrega una frase corta que va a dar trabajo: «El tratamiento de datos personales provenientes de fuentes de acceso público se someterá a las disposiciones de esta ley». A eso súmele los principios de finalidad y proporcionalidad del nuevo artículo 3°, y un nuevo artículo 20 que declara lícito el tratamiento de los órganos públicos para cumplir sus funciones legales pero los deja igualmente sujetos a esos principios.

Léalo de nuevo y va a reconocer la estructura. Es la misma que aplicó el TJUE: habilitación legal como base de licitud, y encima un control de finalidad y proporcionalidad sobre esa misma habilitación. Lo que significa que «lo dice la ley» va a dejar de ser una respuesta suficiente. Habrá que preguntarse por el volumen y por la modalidad: qué datos, con qué detalle, accesibles a quién y filtrados cómo.

El chiste es que la Ley 21.719 entra en vigencia el 1 de diciembre de 2026, y el 1 de septiembre el Ejecutivo ingresó al Senado un proyecto para postergarla un año, hasta diciembre de 2027, principalmente por problemas para constituir el consejo de la nueva Agencia. Se discute aplazar la ley justo cuando aparece la jurisprudencia que muestra para qué servía.

Queda un frente más. El proyecto que crea el Registro Nacional de Personas Beneficiarias Finales (Boletín 16.475-05), administrado por el Servicio de Impuestos Internos, optó por la reserva como regla general, con publicidad acotada a algunos casos vinculados a fondos públicos. Está más cerca del estándar europeo que el modelo letón, sin duda. Pero vuelva al § 80: lo que exige el TJUE no es reserva absoluta. Es interés legítimo acreditado. Entre «lo ve cualquiera» y «lo ve solo el Estado» hay una franja completa (periodistas, investigadores, contrapartes de un negocio, organizaciones de la sociedad civil) que nuestra discusión legislativa todavía no ocupa.

Lo que queda dando vueltas

Si alguien me preguntara hoy cuál es la finalidad precisa de publicar la identidad de cada socio en el Registro de Empresas y Sociedades, tendría que improvisar. El § 64 de la sentencia exige que esa finalidad se pueda determinar con suficiente certeza a partir del texto de la normativa o de su contexto. No estoy seguro de que la Ley 20.659 pase esa prueba.

Chile constitucionalizó la protección de datos personales en el artículo 19 N° 4 mediante la Ley 21.096, de 2018. Es el equivalente funcional del artículo 96 de la Constitución letona, la norma que activó todo este caso. O sea que la norma de contraste la tenemos hace siete años.

Lo que no hemos tenido es la conversación. Y me interesa empezarla: ¿debería un registro mercantil chileno exigir acreditar interés legítimo para acceder a la individualización de los socios? Leo opiniones, sobre todo de quienes trabajan en societario y en cumplimiento.

Sebastián Morando Herrera

FUENTES NORMATIVAS Y JURISPRUDENCIALES

• TJUE (Sala Primera), sentencia de 3 de septiembre de 2026, asunto C-798/24, [ Jautiva ] (denominación ficticia). Ponente: T. von Danwitz. Abogado General: R. Norkus (conclusiones de 18 de diciembre de 2025). Petición prejudicial de la Satversmes tiesa, Letonia.
• TJUE (Gran Sala), sentencia de 22 de noviembre de 2022, WM y Sovim (Luxembourg Business Registers) , C-37/20 y C-601/20, EU:C:2022:912.
• TJUE, sentencia de 21 de mayo de 2026, Across Fiduciaria y otros , C-684/24 y C-685/24, EU:C:2026:410.
• TJUE, sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata , C-200/23, EU:C:2024:827.
• Reglamento (UE) 2016/679 (RGPD), arts. 5 y 6; Carta de los Derechos Fundamentales de la UE, arts. 7, 8 y 52.
• Directiva (UE) 2017/1132, arts. 4, 13, 14 y 16; Directiva (UE) 2015/849, art. 30.5, en su versión modificada por la Directiva (UE) 2024/1640.
• Chile: Ley N° 18.046, art. 7; Ley N° 20.659, arts. 2° y 11; Ley N° 19.628, arts. 2° letra i) y 4°; Ley N° 21.719, art. primero permanente y art. primero transitorio; Ley N° 21.096; Boletín N° 16.475-05.