1. L’arrêt de la Cour (grande chambre) du 22 novembre 2022 dans les affaires jointes C‑37/20 et C‑601/20 constitue une étape majeure dans l’articulation entre la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme et la protection des données à caractère personnel. Saisi par le tribunal d’arrondissement de Luxembourg, le juge de l’Union devait apprécier la validité de l’article 1er, point 15, sous c), de la directive (UE) 2018/843, en tant qu’il modifie l’article 30, paragraphe 5, premier alinéa, sous c), de la directive (UE) 2015/849, ainsi que l’interprétation de plusieurs dispositions de cette dernière directive et du règlement (UE) 2016/679 (RGPD).
2. Le litige oppose, d’une part, WM et, d’autre part, Sovim SA à Luxembourg Business Registers (LBR), gestionnaire du Registre des bénéficiaires effectifs (RBE) institué par la loi luxembourgeoise du 13 janvier 2019. Les requérants contestaient le refus de LBR de limiter l’accès du grand public aux informations relatives à leurs bénéficiaires effectifs, en invoquant notamment les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne (droit au respect de la vie privée et familiale, droit à la protection des données à caractère personnel) et plusieurs principes du RGPD.
3. L’enjeu central réside dans la compatibilité entre, d’une part, l’accès de tout membre du grand public aux informations sur les bénéficiaires effectifs, prévu par la directive 2015/849 modifiée, et, d’autre part, les droits fondamentaux et les principes de protection des données (licéité, loyauté, transparence, limitation des finalités, minimisation des données, intégrité et confidentialité, protection des données dès la conception et par défaut, transferts vers des pays tiers).
4. La directive (UE) 2015/849, telle que modifiée par la directive (UE) 2018/843 (ci‑après la directive 2015/849 modifiée), a pour objet, selon son article 1er, paragraphe 1, de prévenir l’utilisation du système financier de l’Union aux fins du blanchiment de capitaux et du financement du terrorisme. Elle impose aux sociétés et autres entités juridiques de collecter et conserver des informations adéquates, exactes et actuelles sur leurs bénéficiaires effectifs, lesquelles doivent être centralisées dans un registre central dans chaque État membre (article 30, paragraphes 1 et 3).
5. La notion de « bénéficiaire effectif » est définie à l’article 3, point 6, de la directive 2015/849 modifiée comme la ou les personnes physiques qui, en dernier ressort, possèdent ou contrôlent le client ou pour lesquelles une transaction est exécutée ou une activité réalisée. Pour les sociétés, il s’agit notamment des personnes physiques qui détiennent directement ou indirectement un pourcentage suffisant d’actions, de droits de vote ou de participation au capital, ou, à défaut, des dirigeants principaux.
6. Les considérants 4, 30, 31, 34, 36 et 38 de la directive 2018/843 mettent en avant la nécessité d’améliorer la transparence globale de l’environnement économique et financier de l’Union. Le considérant 4 souligne que la prévention du blanchiment et du financement du terrorisme suppose un environnement hostile aux structures opaques, l’intégrité du système financier dépendant de la transparence des sociétés, fiducies/trusts et constructions juridiques similaires. Le considérant 30 insiste sur l’accès du public aux informations sur les bénéficiaires effectifs comme moyen de contrôle accru par la société civile (presse, organisations de la société civile) et de préservation de la confiance dans l’intégrité des transactions commerciales.
7. Le considérant 31 précise que la confiance des investisseurs et du grand public dépend d’un régime précis de divulgation assurant la transparence des bénéficiaires effectifs et des structures de contrôle. Toutefois, cette confiance est présentée comme un effet secondaire positif d’une plus grande transparence, l’objectif principal demeurant la création d’un environnement moins susceptible d’être utilisé à des fins de blanchiment de capitaux et de financement du terrorisme.
8. Le considérant 34 rappelle la nécessité de rechercher un juste équilibre entre l’intérêt du grand public à la prévention du blanchiment et du financement du terrorisme et les droits fondamentaux des personnes concernées. Les données mises à disposition du public doivent être limitées, définies de manière claire et exhaustive, de nature générale, et porter essentiellement sur le statut des bénéficiaires effectifs et le domaine d’activité économique dans lequel ils opèrent, afin de réduire au minimum le préjudice susceptible de leur être causé.
9. Le considérant 36 prévoit que, pour garantir une approche proportionnée et équilibrée, les États membres peuvent instaurer des dérogations à la divulgation et à l’accès aux informations sur les bénéficiaires effectifs, dans des circonstances exceptionnelles, lorsque ces informations exposeraient le bénéficiaire effectif à un risque disproportionné de fraude, enlèvement, chantage, extorsion de fonds, harcèlement, violence ou intimidation. Les États membres peuvent également exiger une inscription en ligne et le paiement d’une redevance pour accéder au registre.
10. Enfin, le considérant 38 rappelle que le RGPD s’applique au traitement des données à caractère personnel dans le cadre de la directive 2018/843. Les personnes physiques dont les données sont conservées dans les registres nationaux doivent être informées, seules des données à jour et correspondant aux véritables bénéficiaires effectifs doivent être mises à disposition, et les bénéficiaires doivent être informés de leurs droits en vertu du cadre juridique de l’Union relatif à la protection des données. Le texte évoque aussi la nécessité de prévenir l’utilisation abusive des informations et la possibilité de fournir au bénéficiaire effectif des informations sur le demandeur et la base juridique de sa demande.
11. Dans sa version initiale, l’article 30, paragraphe 5, de la directive 2015/849 prévoyait que les informations sur les bénéficiaires effectifs étaient accessibles : a) aux autorités compétentes et aux cellules de renseignement financier sans restriction ; b) aux entités assujetties dans le cadre de la vigilance à l’égard de la clientèle ; c) à toute personne ou organisation capable de démontrer un intérêt légitime. L’accès du public était donc conditionné à la démonstration d’un intérêt légitime.
12. L’article 1er, point 15, sous c), de la directive 2018/843 a profondément modifié ce régime en remplaçant la référence à « toute personne ou organisation capable de démontrer un intérêt légitime » par l’accès de « tout membre du grand public ». Désormais, l’article 30, paragraphe 5, premier alinéa, sous c), de la directive 2015/849 modifiée impose aux États membres de veiller à ce que les informations sur les bénéficiaires effectifs soient accessibles, dans tous les cas, à tout membre du grand public, sans exigence d’intérêt légitime.
13. Le deuxième alinéa de l’article 30, paragraphe 5, précise que les personnes visées au point c) sont autorisées à avoir accès, au minimum, au nom, au mois et à l’année de naissance, au pays de résidence et à la nationalité du bénéficiaire effectif, ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus. Le troisième alinéa permet aux États membres de donner accès à des informations supplémentaires permettant l’identification du bénéficiaire effectif, telles que la date de naissance ou les coordonnées, sous réserve du respect des règles en matière de protection des données.
14. Parallèlement, l’article 30, paragraphe 5 bis, introduit par la directive 2018/843, autorise les États membres à conditionner la mise à disposition des informations à une inscription en ligne et au paiement d’une redevance n’excédant pas les coûts administratifs. L’article 30, paragraphe 9, modifié, encadre les dérogations à l’accès du public, en les réservant à des circonstances exceptionnelles et en exigeant une évaluation détaillée de la nature exceptionnelle des circonstances, ainsi que la garantie d’un recours juridictionnel effectif et la publication de données statistiques annuelles sur les dérogations accordées.
15. Ce passage d’un accès conditionné par un intérêt légitime à un accès généralisé du grand public constitue le cœur de la problématique examinée par la Cour. Il soulève la question de savoir si une telle publicité généralisée des données relatives aux bénéficiaires effectifs est compatible avec les articles 7 et 8 de la Charte et avec les principes du RGPD, notamment la minimisation des données, la limitation des finalités et la protection des données par défaut.
16. La loi luxembourgeoise du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs met en œuvre les exigences de la directive 2015/849 modifiée. Son article 2 crée, sous l’autorité du ministre de la Justice, un Registre des bénéficiaires effectifs (RBE) ayant pour finalités la conservation et la mise à disposition des informations sur les bénéficiaires effectifs des entités immatriculées.
17. L’article 3, paragraphe 1, de cette loi énumère de manière détaillée les informations devant être inscrites et conservées dans le RBE : nom, prénom(s), nationalité(s), jour, mois et année de naissance, lieu de naissance, pays de résidence, adresse privée ou professionnelle précise, numéro d’identification (national ou étranger), ainsi que la nature et l’étendue des intérêts effectifs détenus. Il s’agit donc d’un ensemble très complet de données à caractère personnel.
18. L’article 11, paragraphe 1, réserve aux autorités nationales, dans l’exercice de leurs missions, l’accès à l’ensemble des informations visées à l’article 3. L’article 12 ouvre toutefois l’accès aux informations visées à l’article 3, paragraphe 1er, points 1° à 8°, 12° et 13° (identité, données de naissance, pays de résidence, nature et étendue des intérêts) à toute personne. Le droit luxembourgeois transpose ainsi la logique d’accès du grand public prévue par l’article 30, paragraphe 5, de la directive 2015/849 modifiée.
19. L’article 15 de la loi du 13 janvier 2019 organise un mécanisme de limitation d’accès : une entité immatriculée ou un bénéficiaire effectif peuvent demander, au cas par cas et dans des circonstances exceptionnelles, que l’accès aux informations soit limité aux seules autorités nationales, établissements de crédit, établissements financiers, huissiers et notaires agissant en leur qualité d’officier public. Les circonstances exceptionnelles sont définies par référence à un risque disproportionné, ou à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ou encore à la minorité ou à l’incapacité du bénéficiaire effectif.
20. Le gestionnaire du RBE (LBR) doit, dès réception d’une telle demande, limiter provisoirement l’accès aux seules autorités nationales jusqu’à la notification de sa décision, et, en cas de refus, pour une durée supplémentaire de quinze jours. En cas de recours, la limitation est maintenue jusqu’à ce que la décision de refus ne soit plus susceptible de voie de recours. Ce dispositif transpose l’article 30, paragraphe 9, de la directive 2015/849 modifiée, mais soulève des questions quant à la définition des « circonstances exceptionnelles » et à l’appréciation du risque disproportionné.
21. Dans l’affaire C‑37/20, la société civile immobilière YO a demandé à LBR, sur le fondement de l’article 15 de la loi du 13 janvier 2019, de limiter l’accès aux informations relatives à WM, son bénéficiaire effectif, aux seules entités autorisées. YO invoquait un risque caractérisé, réel et actuel de fraude, enlèvement, chantage, extorsion, harcèlement, violence ou intimidation pour WM et sa famille, en raison notamment de ses fonctions de dirigeant et de bénéficiaire effectif de plusieurs sociétés et de ses déplacements fréquents dans des pays aux régimes politiques instables et à forte criminalité.
22. LBR a rejeté cette demande, estimant que la situation de WM ne répondait pas aux exigences de l’article 15 et ne constituait pas des circonstances exceptionnelles. WM a alors introduit un recours devant le tribunal d’arrondissement de Luxembourg, qui a saisi la Cour de questions préjudicielles portant sur l’interprétation des notions de « circonstances exceptionnelles », de « risque » et de « risque disproportionné » au sens de l’article 30, paragraphe 9, de la directive 2015/849 modifiée.
23. Dans l’affaire C‑601/20, la société Sovim SA a également demandé à LBR de limiter l’accès aux informations relatives à son bénéficiaire effectif. Après le refus de LBR, Sovim a saisi la juridiction de renvoi en contestant, à titre principal, la conformité de l’article 12 de la loi du 13 janvier 2019 (accès ouvert à toute personne) et/ou de l’article 15 avec la Charte et le RGPD. Elle soutenait que l’accès public sans contrôle aux données du RBE violait les articles 7 et 8 de la Charte et plusieurs principes du RGPD (article 5, paragraphe 1, sous a), b), c) et f), article 25, paragraphe 2, articles 44 à 50).
24. Sovim faisait valoir que la directive 2015/849 modifiée vise à identifier les bénéficiaires effectifs de sociétés utilisées à des fins de blanchiment de capitaux ou de financement du terrorisme et à assurer la sécurité des relations commerciales et la confiance dans les marchés, mais que l’accès du public sans justification d’intérêt légitime n’était pas démontré comme nécessaire pour atteindre ces objectifs. Elle invoquait également la violation des principes de licéité, loyauté, transparence, limitation des finalités, minimisation des données et sécurité prévus par le RGPD.
25. À titre subsidiaire, Sovim demandait la reconnaissance d’un risque disproportionné justifiant une limitation d’accès au sens de l’article 15 de la loi du 13 janvier 2019. La juridiction de renvoi a donc interrogé la Cour non seulement sur l’interprétation des notions de risque et de circonstances exceptionnelles, mais aussi sur la validité même de l’accès généralisé du grand public au regard de la Charte et du RGPD.
26. L’article 5, paragraphe 1, du RGPD énonce les principes relatifs au traitement des données à caractère personnel. Les données doivent être traitées de manière licite, loyale et transparente (sous a)), collectées pour des finalités déterminées, explicites et légitimes et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités (sous b)), et être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités (principe de minimisation des données, sous c)). Elles doivent aussi être traitées de façon à garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé ou illicite (sous f)).
27. L’article 25, paragraphe 2, du RGPD, relatif à la protection des données par défaut, impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles garantissant que, par défaut, seules les données nécessaires à chaque finalité spécifique sont traitées, et que, en particulier, les données ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne concernée.
28. Les articles 44 à 50 du RGPD encadrent les transferts de données à caractère personnel vers des pays tiers ou des organisations internationales. L’article 44 pose le principe selon lequel un transfert ne peut avoir lieu que si les conditions du chapitre V sont respectées, de manière à ce que le niveau de protection garanti par le RGPD ne soit pas compromis. L’article 49, paragraphe 1, sous g), prévoit une dérogation pour les transferts à partir d’un registre destiné à fournir des informations au public et ouvert à la consultation du public en général ou de toute personne justifiant d’un intérêt légitime, dans la mesure où les conditions de consultation prévues par le droit de l’Union ou le droit national sont remplies.
29. Dans l’affaire C‑601/20, la juridiction de renvoi interroge la Cour sur la compatibilité de l’accès du grand public sans contrôle ni justification aux données du RBE avec ces principes : possibilité pour un nombre illimité et non déterminable de personnes d’accéder aux données, absence d’information du bénéficiaire effectif sur les consultations, impossibilité de garantir que les données soient utilisées exclusivement pour la finalité de lutte contre le blanchiment et le financement du terrorisme, accès à des données supplémentaires (date et lieu de naissance), absence de restrictions quant à l’étendue et à l’accessibilité des données, et accessibilité mondiale des données sans limitation de localisation.
30. La Cour rappelle que l’article 7 de la Charte garantit le droit au respect de la vie privée et familiale, du domicile et des communications, tandis que l’article 8, paragraphe 1, consacre explicitement le droit à la protection des données à caractère personnel. L’accès du grand public aux informations sur les bénéficiaires effectifs, telles que prévues à l’article 30, paragraphe 5, de la directive 2015/849 modifiée, constitue une ingérence dans ces droits, dès lors que les données concernent des personnes physiques identifiées.
31. Les informations accessibles comprennent, au minimum, le nom, le mois et l’année de naissance, le pays de résidence, la nationalité et la nature et l’étendue des intérêts effectifs détenus. Les États membres peuvent y ajouter la date de naissance et les coordonnées. La publicité généralisée de ces données permet à tout membre du grand public de connaître l’identité et la situation patrimoniale des bénéficiaires effectifs, ce qui peut avoir des conséquences importantes sur leur vie privée et leur sécurité.
32. L’ingérence est d’autant plus marquée que l’accès est illimité dans le temps et dans l’espace, potentiellement mondial via Internet, et qu’il n’est pas subordonné à la démonstration d’un intérêt légitime ni à un contrôle préalable. La Cour doit donc vérifier si cette ingérence est justifiée au regard des objectifs d’intérêt général poursuivis (lutte contre le blanchiment de capitaux et le financement du terrorisme, transparence des marchés) et si elle respecte le principe de proportionnalité.
33. L’article 30, paragraphe 9, de la directive 2015/849 modifiée permet aux États membres de prévoir, dans des circonstances exceptionnelles, des dérogations à l’accès du public lorsque celui‑ci exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est frappé d’incapacité. Les États membres doivent veiller à ce que ces dérogations soient accordées sur la base d’une évaluation détaillée de la nature exceptionnelle des circonstances.
34. Les questions préjudicielles posées dans l’affaire C‑37/20 portent sur la définition des « circonstances exceptionnelles » et sur la portée de la notion de « risque ». La juridiction de renvoi s’interroge notamment sur la possibilité pour le droit national de définir les circonstances exceptionnelles comme étant équivalentes aux risques déjà mentionnés (fraude, enlèvement, etc.), sur la nécessité pour le juge national de suppléer une éventuelle carence du législateur dans la définition de ces circonstances, et sur les lignes directrices à suivre pour apprécier le caractère disproportionné du risque.
35. La question se pose également de savoir si le risque doit être apprécié uniquement au regard des liens du bénéficiaire effectif avec l’entité concernée par la demande de limitation d’accès, ou s’il convient de tenir compte de l’ensemble des liens du bénéficiaire effectif avec d’autres entités morales, voire de tout lien quelconque, et si la nature de ces liens influence l’appréciation du risque. Enfin, la juridiction de renvoi interroge la Cour sur la possibilité d’exclure la protection lorsque les informations sont déjà aisément accessibles par d’autres voies.
36. Dans l’affaire C‑601/20, la juridiction de renvoi demande si les circonstances exceptionnelles visées par l’article 1er, point 15, sous g), de la directive 2018/843 doivent être entendues comme exigeant la preuve d’un risque disproportionné qui soit exceptionnel, effectif, caractérisé, réel et actuel. Elle interroge également la Cour sur la validité d’une telle interprétation au regard des articles 7 et 8 de la Charte.
37. L’arrêt met en lumière la tension entre, d’une part, l’objectif de transparence poursuivi par la directive 2015/849 modifiée, qui vise à créer un environnement hostile aux structures opaques et à faciliter les enquêtes sur le blanchiment de capitaux, les infractions sous‑jacentes et le financement du terrorisme, et, d’autre part, les exigences du RGPD et de la Charte en matière de protection des données à caractère personnel.
38. D’un côté, les considérants 30 et 31 de la directive 2018/843 mettent en avant le rôle de l’accès du public aux informations sur les bénéficiaires effectifs pour permettre un contrôle accru par la société civile, renforcer la confiance dans l’intégrité des transactions commerciales et faciliter la mise à disposition d’informations pour les institutions financières et les autorités, y compris celles des pays tiers. De l’autre, le considérant 34 insiste sur la nécessité de limiter les données mises à disposition et de réduire au minimum le préjudice pour les bénéficiaires effectifs, tandis que le considérant 38 rappelle l’applicabilité du RGPD et la nécessité de prévenir l’utilisation abusive des informations.
39. Les questions préjudicielles relatives au RGPD (article 5, paragraphe 1, sous a), b), c) et f), article 25, paragraphe 2, articles 44 à 50) invitent à examiner si l’accès généralisé du grand public aux registres de bénéficiaires effectifs respecte les principes de licéité, loyauté, transparence, limitation des finalités, minimisation des données, sécurité et protection des données par défaut, ainsi que les conditions de transfert vers des pays tiers. La question de savoir si un registre ouvert au public en général peut servir de base à des transferts de données au sens de l’article 49, paragraphe 1, sous g), du RGPD est également soulevée.
40. L’analyse de la Cour, telle qu’annoncée dans la présentation des questions, doit donc déterminer si l’accès de tout membre du grand public aux informations sur les bénéficiaires effectifs, sans exigence d’intérêt légitime ni contrôle, constitue une ingérence proportionnée dans les droits garantis par les articles 7 et 8 de la Charte, et si les garanties prévues (limitation des données, dérogations en cas de risque disproportionné, information des personnes concernées, encadrement des transferts) suffisent à assurer la conformité avec le RGPD.
41. Pour une lecture complète de l’arrêt et des développements juridiques détaillés, il est possible de consulter le texte intégral de la décision de la Cour de justice de l’Union européenne :
42. Arrêt de la Cour de justice de l’Union européenne, affaires jointes C‑37/20 et C‑601/20
Approfondir ce sujet :