Le Cour de justice de l'Union Européenne (CJUE) a rendu ce 9 mars 2017 une décision fort intéressante à la croisée du droit des sociétés et du droit de la protection des données à caractère personnel. En l'occurrence, la CJUE a jugé que les finalités de la publicité des actes de sociétés devaient, en principe, l'emporter sur le droit fondamental à la protection des données personnelles.
Les faits
Un ancien administrateur d'une société qui avait été déclarée en faillite en 1992 invoquait le droit à l'oubli pour obtenir l'effacement de son nom et de son titre d'administrateur du registre italien de sociétés. Il invoquait notamment le préjudice résultant de l'impact négatif de cette publicité sur sa nouvelle activité de promoteur immobilier. En d'autres termes, cet ancien administrateur demandait que l’autorité chargée de la tenue du registre des sociétés, supprime, à l’expiration d’un certain délai après la dissolution de la société concernée, l’accès aux données à caractère personnel inscrites dans ce registre et le concernant.
Les droits en cause
Les droits en cause étaient donc d'une part, ceux prévus par la directive sur la publicité des actes des sociétés, et d'autre part, le droit fondamental à la protection des données personnelles, consacré par l'article 8 de la Charte des droits fondamentaux (la Charte) et mis en œuvre notamment par la directive sur la protection des données personnelles.
L'équilibre entre ces droits
Concernant la publicité des actes des sociétés, la CJUE constate que la directive sur la publicité des actes des sociétés requiert que les Etats membres prévoient que la publicité obligatoire relative aux sociétés porte au moins sur la nomination, la cessation des fonctions ainsi que l’identité des personnes qui, en tant qu’organe légalement prévu ou membres de tel organe, ont le pouvoir d’engager la société concernée à l’égard des tiers et de la représenter en justice, ou qui participent à l’administration, à la surveillance ou au contrôle de cette société. Ces indications doivent en outre être transcrites dans chaque État membre dans un registre et une copie intégrale ou partielle de ces indications doit pouvoir être obtenue sur demande.
Concernant le droit à la protection des données personnelles, la CJUE constate que la demande porte sur des données personnelles. Elle poursuit en confirmant qu'il y a bien un traitement de ces données par l'autorité chargée de la publication. Enfin, elle affirme que cette dernière, en tant que responsable du traitement, est soumise à la Charte et qu'en conséquence ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Elle confirme que toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification et que le respect de ces règles est soumis au contrôle d’une autorité indépendante. À ces exigences, s'ajoutent les modalités prévues par la directive sur la protection des données personnelles, dont le droit pour la personne concernée d’obtenir du responsable du traitement, selon le cas, l’effacement ou le verrouillage des données concernées. La CJUE, rappelle d'ailleurs qu'elle avait récemment modalisé dans son arrêt du 13 mai 2014 (affaire Google Spain et Google) ledit droit à l'oubli.
Après avoir fait toutes ces constatations, la CJUE poursuit en affirmant que pour se prononcer sur l'équilibre entre les droits en cause, il convient de rechercher la finalité de l'exigence d'inscription au registre des sociétés. La CJUE note que les deux principales finalités sont (1) d'assurer la sécurité juridique dans les rapports entre les sociétés et les tiers et (2) de protéger les intérêts des tiers par rapport aux sociétés ayant une responsabilité limitée, dès lors que ces dernières n’offrent que leur patrimoine social comme seule garantie en faveur des tiers. Partant de ce double constat, la CJUE rappelle que des questions nécessitant de disposer des données à caractère personnel figurant dans le registre des sociétés peuvent surgir de nombreuses années après qu’une société ait cessé d’exister. Cette nécessité peut non seulement se poser pour un tiers situé dans l'Etat membre où le registre est tenu, mais également dans un Etat tiers où les délais de prescription prévus par le droit national pour introduire certains actions ne sont pas forcément identiques. Le CJUE en conclu qu'il paraît, en l'état actuel, impossible d'identifier un délai unique, à compter de la dissolution d'une société, à l'expiration duquel l'inscription desdites données dans le registre et leur publicité ne serait plus nécessaires.
Vu la finalité de l'exigence légale de publicité des registres la CJUE conclu que la pondération des droits en jeux aboutit à faire prévaloir, en principe, la nécessité de protéger les intérêts des tiers, la loyauté des transactions commerciales et le bon fonctionnement du marché intérieur. Ce ne serait que de manière exceptionnelle, sur base d'une législation nationale ad hoc, que chaque Etat membre pourrait décider d'apprécier au cas par cas, si dans certaines hypothèses le droit à l'oubli pourrait prévaloir sur l'exigence légale de publicité des actes de sociétés.
