CJUE | CONCLUSIONS DU 18 DÉCEMBRE 2025 | C-798/24 | JAUTIVA │
L’AVOCAT GÉNÉRAL PROPOSE DE LIMITER L’ACCÈS “OPEN-BAR” AUX K-BIS DES SOCIETES.
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
REDÉFINIR LE PÉRIMÈTRE DE LA PUBLICITÉ LÉGALE
L’affaire Jautiva est la première à soumettre directement à la CJUE la question de la compatibilité de la publicité obligatoire des données de tous les actionnaires d’une société anonyme avec le droit fondamental à la protection des données à caractère personnel. Avant cette affaire, la jurisprudence Luxembourg Business Registers (C-37/20 et C-601/20) avait sanctionné l’accès public indifférencié aux données des bénéficiaires effectifs dans le cadre de la lutte anti-blanchiment. Jautiva franchit une nouvelle étape en déplaçant la problématique du terrain anti-blanchiment vers le droit commun des sociétés et le registre du commerce, domaine traditionnellement perçu comme fondé sur un impératif de transparence.
Si la Cour suit les conclusions de l’Avocat général Norkus, l’arrêt qui interviendra clarifiera de manière décisive la portée de l’article 14, sous d), ii), de la directive 2017/1132 : les États membres ne seraient pas tenus, en vertu du droit de l’Union, de rendre publiques les données personnelles de l’ensemble des actionnaires d’une société anonyme. Cette clarification est d’une portée considérable pour tous les États membres qui, comme la Lettonie, ont adopté des régimes de publicité actionnariale étendue. Elle impose de distinguer, dans les registres de commerce, les informations relatives aux mandataires sociaux — dont la publicité est légitime et nécessaire — de celles relatives aux actionnaires sans pouvoir effectif, pour lesquels l’exigence de proportionnalité commande une protection renforcée.
LA CONSOLIDATION DU PRINCIPE DE PROPORTIONNALITÉ DIFFÉRENCIÉE
L’affaire Jautiva consolide et précise la doctrine de la proportionnalité différenciée en matière de traitement de données à caractère personnel fondé sur une obligation légale (article 6, §1, sous c), du RGPD). Elle confirme que l’existence d’une pluralité d’objectifs légitimes ne suffit pas, en elle-même, à justifier un traitement dont l’ampleur dépasse ce qui est strictement nécessaire pour chacun de ces objectifs. Cette position rejoint et amplifie les exigences posées dans l’arrêt Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601), selon lequel toute ingérence dans les droits garantis par les articles 7 et 8 de la Charte doit être limitée au strict nécessaire.
Elle souligne également l’importance décisive de la définition préalable des finalités du traitement, condition sine qua non du respect des principes de l’article 5, §1, sous b) et c), du RGPD. L’absence d’une finalité déterminée et explicite rend impossible non seulement l’appréciation de la proportionnalité, mais aussi l’exercice effectif des droits des personnes concernées. Ce point est d’une importance capitale pour tous les registres publics opérant en vertu de textes législatifs qui n’identifient pas clairement les finalités du traitement qu’ils instaurent.
LE RENFORCEMENT DE LA LIGNE LUXEMBOURG BUSINESS REGISTERS
L’affaire s’inscrit dans une séquence jurisprudentielle cohérente visant à rééquilibrer les rapports entre la transparence administrative et économique, d’une part, et la protection des droits fondamentaux des personnes concernées, d’autre part. Cette séquence inclut Luxembourg Business Registers (C-37/20 et C-601/20, 2022), l’affaire Agentsia po vpisvaniyata (relative aux données publiées par un registre d’État), l’affaire C-231/22, État belge (données traitées par un journal officiel), et désormais Jautiva.
Si l’arrêt confirme les conclusions de l’Avocat Général, il consacrera le principe selon lequel l’accessibilité publique des données contenues dans les registres officiels n’est pas une présomption irréfragable, mais doit être justifiée par des objectifs précis et proportionnés, lesquels varient selon la catégorie de personnes concernées. Cette évolution est susceptible de remettre en cause des pans entiers du droit national des États membres en matière de registres de commerce, de registres des bénéficiaires effectifs, mais aussi — par extension — de tout registre administratif rendu public sans condition d’intérêt légitime.
POUR LES ÉTATS MEMBRES ET LES LÉGISLATEURS NATIONAUX
La portée législative de l’affaire est considérable pour tous les États membres de l’Union européenne qui maintiennent des registres de commerce prévoyant la publicité des données actionnairales sans restriction. Ces États devront — si la Cour suit l’Avocat général — réviser leurs législations nationales afin de :
—-Différencier les informations soumises à publicité selon la fonction exercée par la personne (mandataire social versus actionnaire) ;
—-Conditionner l’accès aux données actionnairales à la démonstration d’un intérêt légitime pour les personnes tierces n’appartenant pas aux catégories privilégiées (autorités compétentes, entités assujetties en matière de blanchiment) ;
—-Définir précisément les finalités du traitement dans le texte législatif lui-même, afin de permettre l’appréciation de la proportionnalité et le contrôle des organismes de supervision.
La directive 2024/1640 du 31 mai 2024 (dite AMLD6), qui modifie l’article 30, §5, de la directive 2015/849 pour exiger une justification d’intérêt légitime même pour l’accès aux données des bénéficiaires effectifs, constitue d’ores et déjà un signal fort de cette évolution au niveau de l’Union. L’affaire Jautiva accélère cette dynamique en l’étendant au-delà du seul champ anti-blanchiment.
UN RENFORCEMENT SIGNIFICATIF DE LA PROTECTION DES ACTIONNAIRES MINORITAIRES
Du point de vue des personnes concernées, Jautiva constitue une avancée majeure pour la protection des actionnaires minoritaires, qui sont souvent des personnes physiques n’exerçant aucun rôle décisionnel dans la société. Ces personnes sont particulièrement exposées aux risques liés à la publicité de leurs données personnelles : usurpation d’identité, harcèlement, extorsion, ingénierie sociale à des fins frauduleuses, profilage à grande échelle par téléchargement en masse.
L’affaire souligne la nécessité de reconnaître aux actionnaires minoritaires le droit de voir leurs données personnelles traitées conformément aux principes du RGPD, sans que leur seule qualité d’actionnaire ne les prive automatiquement de la protection que leur garantissent les articles 7 et 8 de la Charte. Cette protection ne s’oppose pas à la transparence des affaires, mais exige que celle-ci soit mise en œuvre de manière ciblée et proportionnée.
REGISTRES DE COMMERCE ET RESPONSABLES DE TRAITEMENT PUBLICS
Les gestionnaires de registres de commerce et autres registres officiels contenant des données à caractère personnel doivent tirer plusieurs conséquences pratiques de cette évolution jurisprudentielle. La présomption selon laquelle la publicité légale d’une information implique ipso facto le droit de toute personne d’y accéder sans restriction doit être abandonnée. La conformité au RGPD impose de conduire une analyse d’impact relative à la protection des données (AIPD) pour tout traitement de masse consistant à rendre publiques des données personnelles, et de vérifier que les finalités du traitement sont déterminées, explicites et légitimes.
La mise à disposition de données en téléchargement en masse, sans identification de l’utilisateur ni restriction d’usage, est particulièrement problématique au regard du principe de minimisation des données et du principe de limitation des finalités. Elle conduit, en pratique, à permettre des traitements ultérieurs incompatibles avec les finalités initiales, en violation de l’article 5, §1, sous b), du RGPD. Les responsables de traitement publics doivent reconsidérer ces pratiques à la lumière des exigences de proportionnalité dégagées par la jurisprudence Luxembourg Business Registers et consolidées par Jautiva.
POINTS ESSENTIELS
L’affaire C-798/24 [Jautiva] oppose dix-sept actionnaires minoritaires de sociétés anonymes lettones au Parlement letton (Saeima) devant la Cour constitutionnelle de Lettonie (Satversmes tiesa), qui a saisi la Cour de justice de l’Union européenne d’une demande de décision préjudicielle portant sur la compatibilité de l’article 4.15, §1, point 2, sous b), de la loi lettone sur le registre des entreprises — qui impose la publication publique sans restriction des données personnelles de tout actionnaire d’une société anonyme (nom, prénom, numéro d’identification personnel, adresse, informations sur les actions détenues), accessibles gratuitement en ligne y compris pour téléchargement en masse par tout utilisateur non identifié — avec, d’une part, la notion de « personnes qui […] participent à l’administration, à la surveillance ou au contrôle de la société » figurant à l’article 14, sous d), de la directive 2017/1132 relative au droit des sociétés et, d’autre part, les principes de limitation des finalités et de minimisation des données consacrés à l’article 5, §1, du RGPD, lus à la lumière des articles 7 et 8 de la Charte des droits fondamentaux
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats