Publication des données personnelles des actionnaires minoritaires et exigences du RGPD

L’article 14, sous d), de la directive 2017/1132 n’impose pas la publication des informations concernant tous les actionnaires, y compris les actionnaires minoritaires. Cette disposition vise les personnes constituées en organes ou membres d’organes participant à l’administration, à la surveillance ou au contrôle de la société. Le statut d’actionnaire découle de la propriété des actions et ne se confond pas avec les fonctions de direction ou de représentation.

La mise à disposition en ligne de l’identité, des coordonnées et des données relatives aux actions constitue un traitement de données personnelles au sens de l’article 4 du RGPD. Imposé par la loi, ce traitement doit relever de l’article 6, paragraphe 1, sous c), et respecter les principes de licéité, de limitation des finalités et de minimisation prévus à l’article 5 du RGPD.

Lu à la lumière des articles 7 et 8 de la Charte, le RGPD s’oppose à un accès public, sans condition d’intérêt légitime, aux données de tous les actionnaires. La Cour retient une ingérence grave, notamment en raison de l’accès potentiellement illimité, du téléchargement en masse et des risques de conservation ou de diffusion ultérieures. Les objectifs de transparence, de lutte contre le blanchiment et d’application des sanctions peuvent être d’intérêt général, mais ils doivent être poursuivis par des mesures aptes, nécessaires et proportionnées, assorties de garanties suffisantes. L’accès réservé aux personnes justifiant d’un intérêt légitime constitue un moyen moins attentatoire susceptible d’atteindre ces objectifs.

⬇️Télécharger la décision officielle (EurLex)

La directive 2017/1132 n’impose pas la publication des informations concernant tous les actionnaires, notamment les minoritaires, dès lors que leur qualité ne se confond pas avec des fonctions de direction ou de représentation. La mise en ligne de leurs données constitue un traitement de données personnelles. Un accès public sans condition d’intérêt légitime porte une atteinte grave aux droits fondamentaux. Les objectifs de transparence et de lutte contre la criminalité doivent être poursuivis par des mesures proportionnées et garanties.

Dix-sept personnes physiques, actionnaires minoritaires d’une société anonyme, ont contesté devant la Cour constitutionnelle lettone la réglementation permettant la mise à disposition du public de données les concernant.

Le dispositif national rendait accessibles en ligne, y compris par téléchargement en masse et sans identification de l’utilisateur, l’identité des actionnaires, leurs coordonnées, la catégorie, le nombre et la valeur nominale de leurs actions ainsi que les droits de vote attachés. Les requérants soutenaient que cette publicité portait atteinte à leur vie privée et à la protection de leurs données personnelles.

La juridiction de renvoi a interrogé la Cour de justice sur l’interprétation de la directive 2017/1132 et du RGPD. Elle devait notamment déterminer si les actionnaires minoritaires participaient à l’administration, à la surveillance ou au contrôle de la société, et si un accès public sans démonstration d’un intérêt légitime pouvait être justifié par la transparence économique, la lutte contre le blanchiment et l’application des sanctions.

• Qualifier les informations publiées de données à caractère personnel
• Identifier une base légale au sens de l’article 6 du RGPD
• Définir clairement les finalités du traitement
• Vérifier l’adéquation et la nécessité des données publiées
• Mesurer la gravité de l’ingérence dans les droits fondamentaux
• Prévoir des garanties contre les accès et usages abusifs

• Accès en ligne par tout utilisateur non identifié
• Possibilité de téléchargement en masse des informations
• Publication de l’identité et des coordonnées des actionnaires
• Communication de la catégorie, valeur et quantité des actions
• Indication du nombre de droits de vote attachés

Les actionnaires minoritaires bénéficient d’une protection contre la diffusion générale de leurs données personnelles. Le registre et les autorités nationales doivent privilégier un accès ciblé, justifié et proportionné, avec des garanties effectives contre la réutilisation abusive.

• Exclusion de la publicité automatique des données des actionnaires minoritaires
• Restriction de l’accès aux demandeurs justifiant un intérêt légitime
• Limitation de la publication aux personnes concernées par des sanctions
• Suppression des mécanismes de téléchargement massif non contrôlé
• Réexamen de la base légale et des finalités du traitement

À faire

• Identifier précisément les données personnelles publiées
• Documenter la base légale du traitement
• Définir clairement chaque finalité poursuivie
• Limiter l’accès aux personnes justifiant un intérêt légitime
• Prévoir des garanties contre le téléchargement massif

À éviter

• Publier automatiquement les données de tous les actionnaires
• Autoriser l’accès sans identification de l’utilisateur
• Confondre actionnariat et participation à la direction sociale
• Collecter des données excédant les finalités poursuivies
• Justifier la publicité générale par de simples difficultés pratiques

La portée de l’article 14 de la directive 2017/1132

L’article 14, sous d), de la directive 2017/1132 ne vise pas tous les actionnaires. Il concerne les personnes constituées en organes ou membres d’organes participant à l’administration, à la surveillance ou au contrôle de la société. Le statut d’actionnaire résulte de la propriété d’actions et ne constitue pas une fonction faisant l’objet d’une nomination ou d’une cessation. Les actionnaires minoritaires ne sont donc pas concernés par l’obligation de publicité prévue par cette disposition.

Les exigences de licéité et de proportionnalité du RGPD

Les articles 5 et 6 du RGPD imposent que le traitement repose sur une base légale, poursuive des finalités déterminées et respecte la minimisation des données. Lorsque le traitement est imposé par la loi, l’article 6, paragraphe 3, exige encore un objectif d’intérêt public et une mesure proportionnée. La mise à disposition en ligne de données identifiantes et patrimoniales constitue une ingérence grave dans les droits garantis par les articles 7 et 8 de la Charte.

La condition d’un intérêt légitime pour l’accès aux données

L’accès sans condition à tous les utilisateurs n’est pas strictement nécessaire pour prévenir le blanchiment, financer la lutte contre le terrorisme ou appliquer les sanctions. La Cour relève que des mécanismes moins attentatoires sont envisageables, notamment un accès réservé aux personnes démontrant un intérêt légitime et une publication limitée aux personnes figurant sur des listes de sanctions. Le téléchargement en masse et l’accès par des utilisateurs non identifiés ne fournissent pas de garanties suffisantes contre les abus.

Article 14 de la directive (UE) 2017/1132, Article 16, paragraphe 3, de la directive (UE) 2017/1132, Article 4 du RGPD, Article 5 du RGPD, Article 6 du RGPD, Article 30, paragraphe 5, de la directive (UE) 2015/849, Articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, Article 52 de la Charte des droits fondamentaux de l’Union européenne

⬇️Télécharger (pdf)