Affaire C-200/23, Agentsia po vpisvaniyata: Arrêt de la Cour (première chambre) du 4 octobre 2024 (demande de décision préjudicielle du Varhoven administrativen sad – Bulgarie) – Agentsia po vpisvaniyata / OL [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Publication, dans le registre du commerce, d’un contrat de société contenant des données à caractère personnel – Directive (UE) 2017/1132 – Données à caractère personnel non obligatoires – Absence de consentement de la personne concernée – Droit à l’effacement – Dommage moral]

1)

L’article 21, paragraphe 2, de la directive (UE) 2017/1132 du Parlement européen et du Conseil, du 14 juin 2017, relative à certains aspects du droit des sociétés,

doit être interprété en ce sens que :

il n’impose pas à un État membre une obligation d’autoriser la publicité, dans le registre du commerce, d’un contrat de société soumis à la publicité obligatoire prévue par cette directive et contenant des données à caractère personnel autres que les données à caractère personnel minimales requises, dont la publication n’est pas exigée par le droit de cet État membre.

2)

Le règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), notamment l’article 4, points 7 et 9, de celui-ci,

doit être interprété en ce sens que :

l’autorité chargée de la tenue du registre du commerce d’un État membre qui publie, dans ce registre, les données à caractère personnel figurant dans un contrat de société soumis à la publicité obligatoire prévue par la directive 2017/1132, qui lui a été transmis dans le cadre d’une demande d’inscription de la société concernée audit registre, est tant «destinataire» de ces données que, notamment en ce qu’elle les met à la disposition du public, «responsable du traitement» desdites données, au sens de cette disposition, même lorsque ce contrat contient des données à caractère personnel non requises par cette directive ou par le droit de cet État membre.

3)

La directive 2017/1132, en particulier l’article 16 de celle-ci, ainsi que l’article 17 du règlement 2016/679

doivent être interprétés en ce sens que :

ils s’opposent à une réglementation ou à une pratique d’un État membre conduisant l’autorité chargée de la tenue du registre du commerce de cet État membre à refuser toute demande d’effacement des données à caractère personnel, non requises par cette directive ou par le droit dudit État membre, figurant dans un contrat de société publié dans ce registre, lorsqu’une copie de ce contrat occultant ces données n’a pas été fournie à cette autorité, contrairement aux modalités procédurales prévues par cette réglementation.

4)

L’article 4, point 1, du règlement 2016/679

doit être interprété en ce sens que :

la signature manuscrite d’une personne physique relève de la notion de «données à caractère personnel» au sens de cette disposition.

5)

L’article 82, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que :

une perte de contrôle d’une durée limitée, par la personne concernée, sur ses données à caractère personnel en raison de la mise à la disposition du public de ces données, en ligne, dans le registre du commerce d’un État membre, peut suffire pour causer un «dommage moral» pour autant que cette personne démontre qu’elle a effectivement subi un tel dommage, aussi minime fût-il, sans que cette notion de «dommage moral» requière la démonstration de l’existence de conséquences négatives tangibles supplémentaires.

6)

L’article 82, paragraphe 3, du règlement 2016/679

doit être interprété en ce sens que :

un avis de l’autorité de contrôle d’un État membre, émis sur le fondement de l’article 58, paragraphe 3, sous b), de ce règlement, ne suffit pas à exonérer de responsabilité, au titre de l’article 82, paragraphe 2, dudit règlement, l’autorité chargée de la tenue du registre du commerce de cet État membre ayant la qualité de «responsable du traitement» au sens de l’article 4, point 7, du même règlement.