Transparence et données personnelles : sécuriser l’accès aux bénéficiaires effectifs

1. Transparence, bénéficiaires effectifs et protection des données personnelles

1.1. Le texte analysé s’inscrit dans le cadre de la jurisprudence de la Cour de justice de l’Union européenne relative au droit fondamental au respect de la vie privée et à la protection des données à caractère personnel, tels que garantis aux articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne. Il examine la compatibilité de l’accès du grand public aux informations sur les bénéficiaires effectifs, prévu à l’article 30, paragraphe 5, de la directive 2015/849 modifiée, avec ces droits fondamentaux.

1.2. La Cour rappelle, par analogie avec l’arrêt du 21 juin 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, que le droit au respect de la vie privée protégé par l’article 7 de la Charte s’applique même lorsque les données concernées ont trait à des activités professionnelles. Elle renvoie également à l’arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert, C‑92/09 et C‑93/09, EU:C:2010:662, pour souligner que la nature professionnelle des données ne diminue pas la protection conférée par la Charte.

1.3. La mise à disposition du grand public des données relatives aux bénéficiaires effectifs constitue un traitement de données à caractère personnel relevant de l’article 8 de la Charte. La Cour précise que la mise à disposition de données à des tiers est, en soi, une ingérence dans les droits fondamentaux consacrés aux articles 7 et 8, indépendamment de l’usage ultérieur des informations, de leur caractère sensible ou des inconvénients effectivement subis par les personnes concernées.

2. La qualification d’ingérence grave dans les droits garantis aux articles 7 et 8 de la Charte

2.1. L’accès du grand public aux informations sur les bénéficiaires effectifs, tel que prévu à l’article 30, paragraphe 5, de la directive 2015/849 modifiée, est qualifié par la Cour d’ingérence dans les droits garantis aux articles 7 et 8 de la Charte. Cette ingérence est d’autant plus significative que les informations portent sur l’identité du bénéficiaire effectif et sur la nature et l’étendue de ses intérêts effectifs dans des sociétés ou autres entités juridiques.

2.2. La Cour souligne que ces informations permettent de dresser un profil de la personne concernée, incluant des données personnelles d’identification, son état de fortune, les secteurs économiques dans lesquels elle investit, ainsi que les pays et entreprises spécifiques concernés. Cette capacité de profilage renforce la gravité de l’ingérence.

2.3. L’ingérence est aggravée par le fait que les données sont rendues accessibles à un nombre potentiellement illimité de personnes. La Cour, en se référant à l’arrêt du 1er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, relève que des personnes cherchant à s’informer sur la situation matérielle et financière d’un bénéficiaire effectif pour des raisons étrangères à l’objectif de la directive peuvent librement accéder à ces informations, notamment lorsque, comme au Luxembourg, elles sont consultables sur Internet.

2.4. La Cour insiste sur les conséquences potentielles d’une utilisation abusive de ces données. Une fois mises à la disposition du grand public, elles peuvent être conservées, diffusées et faire l’objet de traitements successifs, rendant la défense des personnes concernées contre les abus difficile, voire illusoire. En conséquence, l’accès public aux informations sur les bénéficiaires effectifs constitue une ingérence grave dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte.

3. Le cadre de justification des limitations aux droits fondamentaux

3.1. Les articles 7 et 8 de la Charte ne consacrent pas des droits absolus. Conformément à l’article 52, paragraphe 1, de la Charte, toute limitation doit être prévue par la loi, respecter le contenu essentiel des droits et, dans le respect du principe de proportionnalité, être nécessaire et répondre à un objectif d’intérêt général reconnu par l’Union ou à la protection des droits et libertés d’autrui.

3.2. L’article 8, paragraphe 2, de la Charte précise que les données à caractère personnel doivent être traitées à des fins déterminées et sur la base du consentement de la personne concernée ou d’un fondement légitime prévu par la loi. La Cour rappelle, en s’appuyant sur la jurisprudence Ligue des droits humains, que l’acte autorisant l’ingérence doit définir la portée de la limitation, tout en pouvant être formulé en termes suffisamment ouverts pour s’adapter à des situations variées.

3.3. La Cour constate que la limitation résultant de l’accès du grand public aux informations sur les bénéficiaires effectifs est bien prévue par un acte législatif de l’Union, à savoir la directive 2015/849 modifiée. L’article 30 de cette directive encadre l’accès aux données d’identification et aux intérêts effectifs détenus, en exigeant que les données soient adéquates, exactes et actuelles, et en prévoyant, au paragraphe 9, des dérogations possibles. La Cour en déduit que le principe de légalité est respecté.

4. Contenu essentiel des droits et articulation avec le RGPD

4.1. Pour apprécier le respect du contenu essentiel des droits garantis aux articles 7 et 8 de la Charte, la Cour distingue deux catégories de données visées à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 modifiée : d’une part, les données d’identité (nom, mois et année de naissance, nationalité) et, d’autre part, les données de nature économique (nature et étendue des intérêts effectifs détenus).

4.2. La directive utilise l’expression « au moins », ce qui signifie que la liste des données accessibles au public n’est pas exhaustive et que les États membres peuvent autoriser l’accès à des informations supplémentaires. Toutefois, seules des informations adéquates, au sens de l’article 30, paragraphe 1, peuvent être obtenues, conservées et potentiellement rendues publiques, ce qui exclut les données sans rapport adéquat avec les finalités de la directive.

4.3. La Cour estime que la mise à disposition du public d’informations présentant un tel rapport adéquat ne porte pas atteinte au contenu essentiel des droits garantis aux articles 7 et 8. Elle rappelle que l’article 41, paragraphe 1, de la directive 2015/849 modifiée soumet le traitement des données à caractère personnel à la directive 95/46 et, par renvoi, au RGPD, dont les exigences doivent être pleinement respectées pour toute collecte, conservation et mise à disposition d’informations.

4.4. Dans ces conditions, la Cour conclut que l’ingérence résultant de l’accès du grand public aux informations sur les bénéficiaires effectifs ne porte pas atteinte au contenu essentiel des droits fondamentaux, même si elle demeure grave et doit être justifiée au regard du principe de proportionnalité.

5. L’objectif d’intérêt général : prévention du blanchiment de capitaux et du financement du terrorisme

5.1. La directive 2015/849 modifiée a pour objectif, selon son article 1er, paragraphe 1, de prévenir l’utilisation du système financier de l’Union aux fins du blanchiment de capitaux et du financement du terrorisme. Le considérant 4 de la directive 2018/843 souligne que la poursuite de cet objectif suppose un environnement hostile aux criminels et que l’amélioration de la transparence de l’environnement économique et financier de l’Union peut constituer un puissant moyen de dissuasion.

5.2. Le considérant 30 de la directive 2018/843 précise l’objectif de l’accès du grand public aux informations sur les bénéficiaires effectifs. Cet accès permet un contrôle accru des informations par la société civile, notamment par la presse et les organisations de la société civile, et contribue à préserver la confiance dans l’intégrité des transactions commerciales et du système financier. Il doit également lutter contre le recours abusif à des sociétés et autres entités juridiques aux fins de blanchiment de capitaux ou de financement du terrorisme, en facilitant les enquêtes et en jouant sur les considérations de réputation.

5.3. Le même considérant indique que l’accès public facilite la mise à disposition efficace et en temps utile d’informations pour les institutions financières et les autorités, y compris celles des pays tiers, impliquées dans la lutte contre ces infractions, et qu’il est utile aux enquêtes sur le blanchiment de capitaux, les infractions sous-jacentes et le financement du terrorisme.

5.4. Le considérant 31 de la directive 2018/843 précise que l’amélioration de la confiance dans les marchés financiers doit être vue comme un effet secondaire positif et non comme l’objectif principal de la transparence. L’objectif central est de créer un environnement moins susceptible d’être utilisé à des fins de blanchiment de capitaux et de financement du terrorisme.

5.5. La Cour reconnaît que cette finalité constitue un objectif d’intérêt général susceptible de justifier des ingérences, même graves, dans les droits garantis aux articles 7 et 8 de la Charte, en s’appuyant notamment sur la jurisprudence Ligue des droits humains.

6. Le principe de transparence institutionnelle et ses limites

6.1. Le Conseil de l’Union européenne invoque le principe de transparence découlant des articles 1er et 10 TUE ainsi que de l’article 15 TFUE. Ce principe vise à assurer une meilleure participation des citoyens au processus décisionnel et à garantir une plus grande légitimité, efficacité et responsabilité de l’administration, comme l’a rappelé la Cour dans l’arrêt Volker und Markus Schecke et Eifert.

6.2. La Cour souligne toutefois que ce principe se concrétise principalement par des exigences de transparence institutionnelle et procédurale visant les activités de nature publique, notamment l’utilisation des fonds publics. Or, dans le cas présent, la mesure en cause vise à rendre accessibles au public des données concernant des bénéficiaires effectifs privés et leurs intérêts effectifs dans des sociétés ou autres entités juridiques.

6.3. En l’absence de lien direct avec les institutions publiques, le principe de transparence ne peut être considéré, en tant que tel, comme un objectif d’intérêt général suffisant pour justifier l’ingérence dans les droits garantis aux articles 7 et 8 de la Charte résultant de l’accès du grand public aux informations sur les bénéficiaires effectifs.

7. Exigences d’aptitude, de nécessité et de proportionnalité

7.1. La Cour rappelle que la proportionnalité des mesures portant atteinte aux articles 7 et 8 de la Charte suppose le respect des exigences d’aptitude, de nécessité et de proportionnalité stricto sensu. Les dérogations à la protection des données doivent rester dans les limites du strict nécessaire, et lorsque plusieurs mesures appropriées sont envisageables, il convient de retenir la moins contraignante.

7.2. La Cour insiste sur la nécessité d’une pondération équilibrée entre l’objectif d’intérêt général et les droits fondamentaux en cause, afin que les inconvénients causés ne soient pas démesurés par rapport aux buts poursuivis. L’appréciation doit tenir compte de la gravité de l’ingérence et de l’importance de l’objectif.

7.3. Pour satisfaire à l’exigence de proportionnalité, la réglementation doit comporter des règles claires et précises régissant la portée et l’application des mesures, ainsi que des garanties suffisantes contre les risques d’abus. Ces garanties sont d’autant plus cruciales lorsque les données sont rendues accessibles au grand public et sont susceptibles de révéler des informations sensibles.

8. Aptitude de l’accès public à atteindre l’objectif poursuivi

8.1. La Cour admet que l’accès du grand public aux informations sur les bénéficiaires effectifs est apte à contribuer à la réalisation de l’objectif d’intérêt général de prévention du blanchiment de capitaux et du financement du terrorisme. Le caractère public de l’accès et la transparence accrue qui en résulte participent à la création d’un environnement moins susceptible d’être utilisé à des fins illicites.

8.2. Cette aptitude ne suffit toutefois pas à démontrer que la mesure est strictement nécessaire ni que l’ingérence est proportionnée au regard de la gravité de l’atteinte portée aux droits fondamentaux.

9. La stricte nécessité et la notion d’« intérêt légitime »

9.1. Pour démontrer la stricte nécessité de l’accès du grand public, le Conseil et la Commission se réfèrent à l’analyse d’impact accompagnant la proposition de directive modifiant la directive 2015/849. Dans la version antérieure de l’article 30, paragraphe 5, l’accès aux informations sur les bénéficiaires effectifs par « toute personne » était subordonné à la démonstration d’un « intérêt légitime ».

9.2. L’analyse d’impact relevait des difficultés pratiques liées à l’absence de définition uniforme de cette notion d’intérêt légitime dans les États membres. Pour surmonter ces difficultés, le législateur a choisi de supprimer cette condition et d’ouvrir l’accès à tout membre du grand public.

9.3. Interrogée sur la possibilité de proposer une définition uniforme de l’intérêt légitime, la Commission a indiqué que ce concept se prêtait difficilement à une définition juridique et que, même défini, il resterait difficile à mettre en œuvre et exposé au risque de décisions arbitraires.

9.4. La Cour considère que l’existence de difficultés pour définir précisément les hypothèses et conditions d’accès du public ne saurait justifier l’ouverture générale de l’accès à toute personne. Elle juge que les effets dissuasifs et les facilitations d’enquête invoqués, y compris ceux mentionnés au considérant 30 de la directive 2018/843, ne démontrent pas la stricte nécessité de la mesure.

9.5. La Cour relève que la presse, les organisations de la société civile actives dans la lutte contre le blanchiment de capitaux et le financement du terrorisme, les personnes susceptibles de conclure des transactions avec les entités concernées, ainsi que les institutions financières et autorités impliquées dans la lutte contre ces infractions, disposent d’un intérêt légitime à accéder aux informations. Dès lors, un régime fondé sur l’intérêt légitime pourrait, en principe, répondre aux besoins identifiés sans ouvrir l’accès à tout le grand public.

9.6. Le fait que le considérant 30 indique que l’accès public « peut contribuer » à la lutte contre le recours abusif à des sociétés et qu’il « serait également utile » aux enquêtes pénales ne suffit pas à établir que cette mesure est strictement nécessaire. La Cour conclut que l’ingérence résultant de l’accès du grand public n’est pas limitée au strict nécessaire.

10. Proportionnalité, garanties et risques d’abus

10.1. Pour justifier le caractère proportionné de l’ingérence, la Commission invoque le considérant 34 de la directive 2018/843, selon lequel les données mises à la disposition du public doivent être limitées, clairement définies, exhaustives et de nature générale, afin de réduire au minimum le préjudice pour les bénéficiaires effectifs. Sur cette base, seules les données strictement nécessaires pour identifier les bénéficiaires effectifs et leurs intérêts devraient être accessibles.

10.2. Le Parlement, le Conseil et la Commission soulignent également l’existence de dérogations prévues à l’article 30, paragraphe 9, de la directive 2015/849 modifiée, permettant, dans des circonstances exceptionnelles, de restreindre l’accès lorsque celui-ci exposerait le bénéficiaire effectif à un risque disproportionné de fraude, enlèvement, chantage, extorsion, harcèlement, violence ou intimidation, ou lorsque le bénéficiaire est mineur ou frappé d’incapacité.

10.3. L’article 30, paragraphe 5 bis, lu avec les considérants 36 et 38 de la directive 2018/843, autorise les États membres à conditionner l’accès à une inscription en ligne afin de connaître l’identité du demandeur et à fournir aux bénéficiaires effectifs des informations sur le demandeur et la base juridique de la demande, dans le but de prévenir l’utilisation abusive des informations.

10.4. La Cour relève toutefois que l’emploi de l’expression « au moins » à l’article 30, paragraphe 5 autorise la mise à disposition du public de données non suffisamment définies ni identifiables. Les règles matérielles encadrant l’ingérence ne satisfont donc pas pleinement à l’exigence de clarté et de précision, telle que rappelée notamment dans l’avis 1/15 (Accord PNR UE-Canada).

10.5. En outre, la Cour souligne que la lutte contre le blanchiment de capitaux et le financement du terrorisme incombe prioritairement aux autorités publiques et aux entités assujetties (établissements de crédit, établissements financiers, etc.), auxquelles l’article 30, paragraphe 5, premier alinéa, sous a) et b), garantit déjà un accès sans restriction aux informations sur les bénéficiaires effectifs.

10.6. Comparé au régime antérieur, qui prévoyait l’accès des autorités, de certaines entités et de toute personne ou organisation démontrant un intérêt légitime, le régime introduit par la directive 2018/843, ouvrant l’accès à tout membre du grand public, constitue une atteinte considérablement plus grave aux droits garantis aux articles 7 et 8 de la Charte, sans que cette aggravation soit compensée par des bénéfices démontrés en matière de lutte contre le blanchiment de capitaux et le financement du terrorisme.

10.7. Les dispositions facultatives de l’article 30, paragraphes 5 bis et 9, ne suffisent pas, à elles seules, à démontrer une pondération équilibrée entre l’objectif d’intérêt général et les droits fondamentaux, ni l’existence de garanties suffisantes contre les risques d’abus. La référence à l’arrêt Manni (C‑398/15), relatif à la publicité obligatoire des sociétés, est jugée non pertinente, les deux régimes différant par leurs finalités et par l’étendue des données couvertes.

11. Invalidité de l’article 1er, point 15, sous c), de la directive 2018/843

11.1. Au terme de son analyse, la Cour conclut que l’article 1er, point 15, sous c), de la directive 2018/843 est invalide en tant qu’il a modifié l’article 30, paragraphe 5, premier alinéa, sous c), de la directive 2015/849 pour imposer aux États membres de veiller à ce que les informations sur les bénéficiaires effectifs des sociétés et autres entités juridiques soient accessibles dans tous les cas à tout membre du grand public.

11.2. Cette invalidité repose sur le constat que l’ingérence grave dans les droits garantis aux articles 7 et 8 de la Charte n’est pas limitée au strict nécessaire et n’est pas proportionnée à l’objectif d’intérêt général de prévention du blanchiment de capitaux et du financement du terrorisme, alors même que cet objectif est reconnu comme légitime et important.

11.3. Les questions préjudicielles reposant sur la validité de l’article 30, paragraphe 5, de la directive 2015/849 modifiée n’ont donc pas à être examinées, la Cour estimant que la réponse donnée sur l’invalidité de la modification opérée par la directive 2018/843 suffit à trancher le litige.

12. Enjeux pour la transparence et la protection des données personnelles

12.1. L’arrêt met en lumière la tension entre, d’une part, la volonté de renforcer la transparence et de créer un environnement hostile au blanchiment de capitaux et au financement du terrorisme, et, d’autre part, la nécessité de protéger les données personnelles et le droit au respect de la vie privée des bénéficiaires effectifs.

12.2. La Cour admet la légitimité et l’importance de l’objectif d’intérêt général, mais rappelle que même un tel objectif ne peut justifier une ingérence illimitée dans les droits fondamentaux. L’accès généralisé du grand public est jugé excessif au regard du principe de proportionnalité, alors qu’un régime d’accès fondé sur l’intérêt légitime, assorti de garanties claires et précises, apparaît comme une alternative moins attentatoire.

12.3. L’analyse met également en évidence l’importance de règles de protection des données robustes, conformes au RGPD, et de mécanismes de contrôle permettant de limiter les risques d’abus, en particulier lorsque les données sont consultables sur Internet et peuvent être conservées et diffusées sans contrôle effectif.

12.4. En définitive, la Cour trace une ligne de partage nette : la transparence et la lutte contre le blanchiment de capitaux et le financement du terrorisme demeurent des objectifs centraux du droit de l’Union, mais ils doivent être poursuivis dans un cadre qui respecte les articles 7 et 8 de la Charte, en évitant les ingérences graves non strictement nécessaires et en garantissant une protection effective des données personnelles des bénéficiaires effectifs.

Pour en savoir plus

13.1. Décision de la Cour de justice de l’Union européenne : Texte intégral de l’arrêt relatif à l’accès du grand public aux informations sur les bénéficiaires effectifs