Publication des données personnelles des actionnaires minoritaires : limites du registre public et RGPD

L’article 14, sous d), de la directive 2017/1132 n’impose pas la publication des informations relatives à tous les actionnaires, y compris les actionnaires minoritaires. Cette disposition vise les personnes investies d’un rôle organique dans l’administration, la surveillance ou le contrôle de la société, et non les membres de l’assemblée générale du seul fait de leur détention d’actions. La publicité des actionnaires minoritaires ne présente pas d’utilité suffisante pour protéger les tiers ou assurer la sécurité juridique des relations commerciales.

Les articles 5 et 6 du RGPD, lus à la lumière des articles 7 et 8 de la Charte, s’opposent à une mise à disposition générale et inconditionnelle des données personnelles des actionnaires. Le traitement imposé par la loi relève de l’article 6, paragraphe 1, sous c), et doit reposer sur une base juridique poursuivant un objectif d’intérêt public, définissant clairement ses finalités et respectant la proportionnalité prévue à l’article 6, paragraphe 3.

L’accès public à l’identité, aux coordonnées et aux données de détention permet potentiellement de dresser un profil patrimonial et constitue une ingérence grave. La prévention du blanchiment et l’application des sanctions peuvent justifier un accès ciblé, notamment subordonné à un intérêt légitime ou limité aux personnes sanctionnées, mais ne rendent pas nécessaire l’accès de tout utilisateur non identifié. Les téléchargements en masse et l’absence de garanties contre les abus excluent la nécessité et la proportionnalité du dispositif.

La directive 2017/1132 n’impose pas la publication des informations relatives à tous les actionnaires minoritaires. Une mise à disposition générale et inconditionnelle de leurs données personnelles porte une atteinte grave aux droits au respect de la vie privée et à la protection des données. La prévention du blanchiment peut justifier un accès ciblé, mais l’accès libre de tout utilisateur, les téléchargements massifs et l’absence de garanties ne sont pas nécessaires ni proportionnés.

Question juridique

• Exclusion de la publicité obligatoire des données des actionnaires minoritaires
• L’article 14 vise les organes participant effectivement à la gouvernance sociale
• L’accès public permet un profilage patrimonial et économique des actionnaires
• L’absence d’intérêt légitime rend le traitement insuffisamment nécessaire
• Les téléchargements en masse aggravent les risques d’utilisation abusive
• Un accès ciblé constitue une alternative moins attentatoire

Dix-sept personnes physiques, actionnaires minoritaires d’une société anonyme, ont contesté devant la juridiction constitutionnelle lettone la réglementation permettant de rendre publiques leurs données personnelles. Le dispositif prévoyait la diffusion en ligne, y compris par téléchargement en masse et sans identification de l’utilisateur, de leur identité, de leurs coordonnées, de leurs actions et des droits de vote attachés.

La juridiction de renvoi a interrogé la Cour de justice sur l’interprétation de l’article 14 de la directive 2017/1132 et sur la compatibilité de cette publicité avec le RGPD et la Charte des droits fondamentaux. Elle s’est également interrogée sur les finalités de transparence économique, de lutte contre le blanchiment et d’application des sanctions.

La Cour juge que l’article 14 ne vise pas tous les actionnaires, notamment les minoritaires. Elle considère en outre que les articles 5 et 6 du RGPD, lus avec les articles 7 et 8 de la Charte, s’opposent à un accès public et inconditionnel à ces données, faute de nécessité, de proportionnalité et de garanties suffisantes.

• Identifier si les personnes concernées exercent une fonction organique dans la société
• Vérifier que la finalité du traitement est déterminée, explicite et légitime
• Fonder le traitement sur une obligation légale prévue par le droit applicable
• Contrôler l’adéquation et la nécessité des données au regard des finalités
• Mesurer la gravité de l’ingérence dans la vie privée et les données personnelles
• Prévoir des garanties limitant l’accès et les risques d’utilisation abusive
• Privilégier un accès conditionné à un intérêt légitime

• Contenu légal du registre des actionnaires et données publiées
• Accès en ligne par tout utilisateur non identifié
• Possibilité de téléchargement en masse des informations
• Données relatives à l’identité, aux coordonnées et aux participations
• Nombre d’actions, valeur nominale et droits de vote publiquement accessibles

Les actionnaires minoritaires bénéficient d’une protection contre la diffusion générale de leurs données personnelles, tandis que le responsable du registre ne peut maintenir un accès public et inconditionnel conforme au RGPD. Les sociétés et les autorités doivent privilégier un dispositif ciblé, proportionné et assorti de garanties effectives.n

• Exclusion de la publicité générale des données des actionnaires minoritaires
• Réexamen de la base légale et des finalités du registre
• Restriction de l’accès aux personnes justifiant d’un intérêt légitime
• Accès ciblé aux données des personnes inscrites sur une liste de sanctions
• Suppression ou encadrement des téléchargements en masse
• Renforcement des garanties contre la conservation et la rediffusion abusive

À faire

• Identifier les données personnelles effectivement accessibles au public
• Définir précisément chaque finalité du traitement
• Vérifier la base légale et sa proportionnalité
• Prévoir un contrôle de l’intérêt légitime des demandeurs
• Limiter les données et empêcher les téléchargements en masse

À éviter

• Publier les données de tous les actionnaires sans distinction
• Assimiler la détention d’actions à une fonction de direction
• Autoriser l’accès sans identification ni justification
• Diffuser les coordonnées et données patrimoniales sans garanties
• Justifier une divulgation générale par de simples difficultés pratiques

La portée de l’article 14 de la directive 2017/1132

nL’article 14, sous d), vise les personnes qui, en tant qu’organes légalement prévus ou membres de tels organes, disposent d’un pouvoir de représentation ou participent à l’administration, à la surveillance ou au contrôle. Le statut d’actionnaire résulte de la propriété d’actions et non d’une nomination à une fonction. L’article 14 ne requiert donc pas la publication des informations concernant tous les actionnaires, y compris les minoritaires.n

Les conditions de licéité du traitement des données personnelles

nLa mise à disposition en ligne constitue un traitement de données personnelles soumis aux articles 5 et 6 du RGPD. Fondé sur une obligation légale, le traitement doit poursuivre des finalités déterminées, être nécessaire et proportionné, et reposer sur une base juridique répondant à un objectif d’intérêt public. L’ingérence doit également respecter les articles 7, 8 et 52, paragraphe 1, de la Charte.n

Les limites de l’accès public aux données des actionnaires

nLa diffusion de l’identité, des coordonnées et des données de détention à un nombre potentiellement illimité de personnes constitue une ingérence grave. La lutte contre le blanchiment et l’application des sanctions peuvent être poursuivies par des moyens moins attentatoires, tels qu’un accès réservé aux personnes justifiant d’un intérêt légitime ou limité aux personnes inscrites sur des listes de sanctions. L’absence de garanties, l’accès par des utilisateurs non identifiés et le téléchargement en masse rendent le dispositif disproportionné.

Article 14 de la directive (UE) 2017/1132, Article 16, paragraphe 3, de la directive (UE) 2017/1132, Article 5 du RGPD, Article 6 du RGPD, Article 4 du RGPD, Article 2, paragraphe 1, du RGPD, Article 7 de la Charte des droits fondamentaux de l’Union européenne, Article 8 de la Charte des droits fondamentaux de l’Union européenne, Article 52, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne, Articles 11 et 13 de la directive (UE) 2015/849, Article 30, paragraphe 5, de la directive (UE) 2015/849

Téléchargez la version officielle et intégrale de cette décision de justice pour l’archiver dans votre dossier.