La Cour de Justice de l'Union Européenne (CJUE) a jugé qu'une législation nationale rendant publiques et accessibles en ligne sans condition les données personnelles de tous les actionnaires d'une société, y compris minoritaires, est contraire au droit de l'Union, car elle constitue une ingérence disproportionnée dans les droits fondamentaux au respect de la vie privée et à la protection des données.

Faits et contexte

La Cour de Justice de l'Union Européenne (CJUE) a rendu un arrêt précisant que le droit de l'Union s'oppose à une réglementation nationale qui impose la divulgation en ligne, sans condition d'accès, des données personnelles de tous les actionnaires des sociétés anonymes, y compris minoritaires.

L'affaire trouve son origine dans un recours constitutionnel introduit en Lettonie par 17 actionnaires minoritaires d'une société anonyme, contestant la compatibilité d'une loi nationale avec le droit au respect de la vie privée et à la protection des données. Cette loi imposait la publication d'informations détaillées sur tous les actionnaires (nom, prénom, numéro d'identification personnel, coordonnées, nombre d'actions, etc.), rendues accessibles en ligne et téléchargeables en masse par tout utilisateur, même non identifié. Saisie de cette question, la Cour constitutionnelle de Lettonie a adressé une demande de décision préjudicielle à la CJUE.

Motifs de la décision

La Cour a analysé la législation lettone au regard de la Directive 2017/1132 et du RGPD, en se fondant sur les arguments suivants :

• Interprétation de la Directive 2017/1132 : La Cour a d'abord jugé que cette directive, relative à certains aspects du droit des sociétés, n'impose pas aux États membres de rendre publiques les informations relatives à l'ensemble des actionnaires des sociétés anonymes, et notamment des actionnaires minoritaires. Le texte, son contexte et ses objectifs ne sauraient fonder une telle obligation de divulgation généralisée.

• Incompatibilité avec le RGPD : La Cour a ensuite examiné la compatibilité de la mesure avec le RGPD. Bien que les objectifs poursuivis par la Lettonie (transparence de l'environnement des affaires, lutte contre le blanchiment et le financement du terrorisme, mise en œuvre des sanctions) soient des objectifs d'intérêt général reconnus par l'Union, la mesure de divulgation s'est avérée disproportionnée. La Cour a estimé que l'accès public en ligne aux données personnelles des actionnaires, sans qu'il soit nécessaire pour le consultant de justifier d'un intérêt légitime, constitue une ingérence grave dans les droits fondamentaux garantis par la Charte des droits fondamentaux de l'Union européenne. Faisant écho à son arrêt du 22 novembre 2022, "Registres des entreprises du Luxembourg", la Cour a conclu que la prévention d'une utilisation abusive de ces données n'était pas suffisamment garantie.

Décision de l'autorité

En conséquence, la Cour a jugé que le droit de l'Union, et en particulier le RGPD, s'oppose à une législation nationale qui prévoit la divulgation publique en ligne de données à caractère personnel relatives à tous les actionnaires de sociétés anonymes, lorsque l'accès à ces données n'est soumis à aucune condition, telle que la démonstration d'un intérêt légitime.

Enseignements

Cette décision précise que :

• La poursuite d'objectifs d'intérêt général, tels que la transparence de la vie des affaires ou la lutte contre le blanchiment, ne justifie pas une ingérence grave et disproportionnée dans les droits fondamentaux des personnes concernées.
• La mise à disposition du public de données personnelles en ligne, sans aucune restriction d'accès ni contrôle de l'identité ou de l'intérêt légitime des personnes qui les consultent, est incompatible avec le principe de proportionnalité.
• Les États membres doivent veiller à ce que leurs législations nationales instaurant des régimes de transparence respectent un juste équilibre avec le droit à la protection des données, en prévoyant des garanties adéquates contre les abus.