Au terme d’un arrêt tout à fait intéressant – mêlant droit des sociétés et droit à la protection des données personnelles –, la Cour de justice de l’Union européenne a répondu le 9 mars 2017 (aff. C-398/15) aux questions préjudicielles qui lui étaient posées par la Cour de cassation italienne : non, il n’existe en principe aucun droit à l’oubli ou à l’effacement des données à caractère personnel inscrites dans le registre public des sociétés après un certain délai à compter de la dissolution d’une société déterminée.
Néanmoins, il est possible – après un délai suffisamment long à compter de la dissolution de la société en question – de restreindre l’accès de tiers à ces données dans des cas exceptionnels.
L’affaire concernait un ancien administrateur d’une société qui avait été déclarée en faillite en 1992 et liquidée en 2005. Celui-ci souhaitait obtenir l’effacement de son nom et de son titre d’administrateur du registre italien de sociétés, au motif que cette publicité portait préjudice à sa nouvelle activité de promoteur immobilier.
Certaines informations figurant dans le registre public des sociétés peuvent être qualifiées de données à caractère personnel.
L’exigence légale de publicité des actes des sociétés porte notamment sur l’identité des personnes, qui ont le pouvoir d’engager une société déterminée à l’égard des tiers et de la représenter en justice, ou qui participent à l’administration, à la surveillance ou au contrôle de cette société.
Ces indications portant sur l’identité de ces personnes sont des informations concernant des personnes physiques identifiées ou identifiables et constituent, de ce fait, des données à caractère personnel.
L’autorité qui tient le registre des sociétés effectue un traitement de données à caractère personnel et en est responsable.
En transcrivant et en conservant ces données dans le registre des sociétés ainsi qu’en les communiquant sur demande à des tiers, l’autorité chargée de la tenue de ce registre effectue bien un traitement de données à caractère personnel pour lequel elle est le responsable du traitement.
À ce titre, elle doit respecter l’ensemble de la règlementation de protection des données à caractère personnel et de la vie privée (notamment la Charte des droits fondamentaux de l’Union européenne), à savoir que les données à caractère personnel doivent être :
- traitées de manière licite, loyale et transparente ;
- collectées pour des finalités déterminées, légitimes, et explicites ;
- adéquates, pertinentes et nécessaires au regard des finalités poursuivies ;
- exactes, et le cas échéant, mises à jour ;
- conservées sous une forme qui permette l’identification de la personne pendant une durée limitée ;
- collectées et traitées de manière à garantir leur sécurité.
Mise en balance des droits et intérêts en présence : la publicité des actes des sociétés versus le droit à la protection des données à caractère personnel
La Cour a dû se prononcer sur l’équilibre entre les droits en présence. Pour ce faire, elle a d’abord recherché la finalité de l’exigence légale de publicité des registres. Elle constate que cette obligation d’inscription vise, d’une part à protéger les intérêts des tiers par rapport aux sociétés à responsabilité limitée et par actions (dès lors que ces dernières n’offrent que leur patrimoine social comme seule garantie en faveur des tiers), et d’autre part à assurer la sécurité juridique dans les rapports entre les sociétés et les tiers.
La Cour constata ensuite que des droits et des relations juridiques relatifs à une société peuvent subsister après sa dissolution. Dès lors, des questions nécessitant de disposer des données personnelles inscrites dans le registre des sociétés peuvent surgir de nombreuses années après qu’une société a cessé d’exister (y compris impliquant des acteurs dans plusieurs États membres).
Des plus, les délais légaux de prescription varient d’un État membre à un autre, de sorte qu’en l’état actuel il serait impossible d’identifier un délai unique, à compter de la dissolution d’une société, à l’expiration duquel l’inscription de ces données dans le registre et leur publicité ne serait plus nécessaire.
Pas de droit à l’effacement mais une porte ouverte au droit d’opposition ?
Partant de ces constats, les États membres ne sauraient garantir aux personnes physiques dont les données figurent dans le registre des sociétés le droit d’obtenir, par principe après un certain délai à compter de la dissolution d’une société, l’effacement des données à caractère personnel les concernant, ou le verrouillage de celles-ci pour le public.
Tenant compte des finalités poursuivies par l’exigence de publicité des registres publics des sociétés et du fait que la publicité concerne uniquement un nombre limité de données à caractère personnel, la Cour fait prévaloir la nécessité de protéger les intérêts des tiers, la loyauté des transactions commerciales et le bon fonctionnement du marché intérieur.
Toutefois, la Cour nuance sa positon en rappelant qu’il existe des situations particulières dans lesquelles des raisons prépondérantes et légitimes tenant au cas concret de la personne concernée justifient exceptionnellement que l’accès aux données à caractère personnel la concernant figurant dans le registre des sociétés soit limité, à l’expiration d’un délai suffisamment long après la dissolution de la société concernée, aux tiers justifiant d’un intérêt spécifique à leur consultation.
Ainsi, il existe des cas dans lesquels l’autorité peut limiter – au terme d’une appréciation au cas par cas – l’accès aux données personnelles d’une personne physique inscrites dans le registre des sociétés aux tiers qui justifient d’un intérêt spécifique à leur consultation.
En l’espèce, la Cour considéra que le simple fait que des immeubles construits par une société ne se vendent pas au motif que des acheteurs potentiels ont accès à certaines données figurant dans le registre (concernant son administrateur) n’est pas une raison prépondérante et légitime justifiant de limiter l’accès des acheteurs potentiels à ces données, compte tenu notamment de l’intérêt légitime de ceux-ci de disposer de ces informations.
Autant le dire, on n’a pas fini d’entendre parler du droit à l’oubli et, plus globalement, du droit à la protection des données à caractère personnel.
Par Frédéric Dechamps et Chloë De Clercq, avocats au Barreau de Bruxelles
