Arrêt de la Cour (première chambre) du 3 septembre 2026.#A et autres contre Latvijas Republikas Saeima.#Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5 – Principes relatifs au traitement des données à caractère personnel – Article 6 – Licéité du traitement – Droit des sociétés – Directive (UE) 2017/1132 – Article 14 – Actes et indications soumis à publicité – Notion de “personnes participant à l’administration, à la surveillance ou au contrôle d’une société” – Mise à la disposition du public de données à caractère personnel relatives aux actionnaires de sociétés anonymes – Actionnaires minoritaires.#Affaire C-798/24.

Affaire C‑798/24 [Jautiva] (i)

A e.a.,

(demande de décision préjudicielle, introduite par la Satversmes tiesa)

Arrêt de la Cour (première chambre) du 3 septembre 2026

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5 – Principes relatifs au traitement des données à caractère personnel – Article 6 – Licéité du traitement – Droit des sociétés – Directive (UE) 2017/1132 – Article 14 – Actes et indications soumis à publicité – Notion de “personnes participant à l’administration, à la surveillance ou au contrôle d’une société” – Mise à la disposition du public de données à caractère personnel relatives aux actionnaires de sociétés anonymes – Actionnaires minoritaires »

1. Liberté d’établissement – Sociétés – Directive 2017/1132 – Actes et indications soumis à publicité – Informations relatives à la nomination, à la cessation des fonctions et à l’identité des personnes habilitées à représenter la société et à l’engager à l’égard des tiers, ainsi que de celles qui participent à son administration, à sa surveillance ou à son contrôle – Notion de personnes participant à l’administration, à la surveillance ou au contrôle de la société – Obligation de publication d’informations sur tout actionnaire d’une société, y compris les actionnaires minoritaires – Absence

[Directive du Parlement européen et du Conseil 2017/1132, telle que modifiée par la directive 2019/1151, considérants 7 et 8, art. 1^er, 4, i), 13, 14, a) et d), 16, § 3, 64, § 3, et 95, § 2, et annexe II]

(voir points 39, 41-47, disp. 1)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Principes relatifs au traitement – Conditions de licéité du traitement de données à caractère personnel – Traitement nécessaire au respect d’une obligation légale incombant au responsable du traitement – Réglementation nationale imposant la mise à la disposition du public de données à caractère personnel relatives à tous les actionnaires, y compris minoritaires, de sociétés anonymes – Objectif d’intérêt général de protection des intérêts des tiers – Absence de caractère apte et nécessaire du traitement à la réalisation de cet objectif – Objectifs d’intérêt général de prévention du blanchiment de capitaux, du financement du terrorisme et de la prolifération des armes de destruction massive, ainsi que de mise en œuvre des sanctions nationales, internationales et de l’Union – Absence de caractère nécessaire et proportionné du traitement par rapport à ces objectifs – Inadmissibilité

[Art. 16, § 1, TFUE ; charte des droits fondamentaux de l’Union européenne, art. 7, 8 et 52, § 1 ; règlement du Parlement européen et du Conseil 2016/679, considérants 1 et 10, art. 1^er, 2, § 1, 4, points 1, 2 et 11, 5 et 6 ; directives du Parlement européen et du Conseil 2017/1132, telle que modifiée par la directive 2019/1151, considérants 7 et 8, art. 14, d), et 2015/849, art. 11, 13 et 30, § 5]

(voir points 50, 52-60, 64-92, disp. 2)

Résumé

Saisie à titre préjudiciel par la Satversmes tiesa (Cour constitutionnelle, Lettonie), la Cour interprète la directive 2017/1132 (1) et le RGPD (2) dans le contexte de la mise à la disposition du public de données à caractère personnel relatives aux actionnaires de sociétés anonymes.

En vertu du droit letton, certaines informations relatives aux actionnaires de sociétés anonymes sont mises à la disposition du public, en ligne et sans restriction quant à leur téléchargement en masse, notamment par tout utilisateur non identifié. Si un tel actionnaire est une personne physique, ces informations incluent le nom, le prénom, le numéro d’identification personnel ou, à défaut d’un tel numéro, la date de naissance, le numéro et la date de délivrance d’un document d’identité, le pays et l’autorité de délivrance, ainsi que l’adresse à laquelle l’actionnaire peut être contacté. En outre, et indépendamment du point de savoir si l’actionnaire est une personne physique, lesdites informations incluent également l’adresse électronique de l’actionnaire, lorsque celui-ci a demandé qu’elle soit utilisée par la société dont il détient des actions afin de communiquer avec lui, la catégorie, le nombre et la valeur nominale de ses actions, ainsi que le nombre de votes qui y sont attachés.

Selon la juridiction de renvoi, cette mise à disposition du public poursuit trois objectifs, à savoir, premièrement, garantir un climat des affaires transparent pour protéger les intérêts des tiers, deuxièmement, prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive, et, troisièmement, fournir les informations nécessaires à la mise en œuvre des sanctions nationales, internationales et de l’Union européenne.

Dix-sept personnes physiques, actionnaires minoritaires d’une société anonyme, ont formé devant cette juridiction un recours visant à contester la conformité de la réglementation nationale au droit au respect de la vie privée et à la protection des données à caractère personnel, tel que garanti par la Constitution lettone.

La juridiction de renvoi a interrogé la Cour afin de savoir, en substance, si la publication des données concernées est requise en vertu de la directive 2017/1132 et si une réglementation nationale prévoyant une telle publication est compatible avec le RGPD, lu à la lumière de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

Appréciation de la Cour

En premier lieu, la Cour considère que l’article 14, sous d), de la directive 2017/1132, qui prévoit que les États membres doivent prendre les mesures nécessaires pour que les sociétés visées par les dispositions pertinentes de cette directive publient obligatoirement au moins les actes et les indications relatifs à la nomination, à la cessation des fonctions ainsi qu’à l’identité des personnes qui, en tant qu’organe légalement prévu ou membres d’un tel organe, ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice, ou qui participent à l’administration, à la surveillance ou au contrôle de la société, ne requiert pas la publication d’informations portant sur tous les actionnaires de ces sociétés, y compris les actionnaires minoritaires.

S’agissant du libellé de cette disposition, la Cour relève que celle-ci ne vise expressément ni les actionnaires ni l’assemblée générale des actionnaires. En outre, les actionnaires d’une société ne sont pas nommés ni démis de leurs fonctions. En effet, leur statut résulte de leur seule participation au capital social de la société et se distingue de celui des personnes désignées afin de siéger au sein des organes d’administration et de direction de cette société et de représenter cette dernière dans ses rapports avec les tiers.

S’agissant du contexte dans lequel s’inscrit ladite disposition, la Cour constate notamment que, dans plusieurs dispositions de la directive 2017/1132, une distinction terminologique est opérée entre les organes d’administration et de direction, d’une part, et l’assemblée générale des actionnaires, d’autre part. La Cour relève que les prérogatives de décision détenues par cette dernière n’ont pas la même nature que les pouvoirs exercés par les organes d’administration et de direction de la société et que, par conséquent, ni les actes de l’assemblée générale, ni ceux de ses membres ne sauraient être qualifiés de « participation » au sens de l’article 14, sous d), de la directive 2017/1132.

Enfin, s’agissant des objectifs poursuivis par cette directive, la Cour note que la publication de données afférentes à tous les actionnaires de sociétés anonymes et, en particulier, aux actionnaires minoritaires de celles-ci ne paraît pas présenter d’utilité au regard de l’objectif de protection des intérêts des tiers et de la sécurité juridique, et ne saurait donc être justifiée par cet objectif. En effet, les actionnaires minoritaires n’étant, en principe, pas habilités à représenter une société anonyme ni à l’engager à l’égard des tiers, ni à exercer des fonctions de gestion et de surveillance, contrairement aux membres des organes d’administration et de direction d’une telle société, les données relatives à tous ces actionnaires semblent dénuées de pertinence pour ces tiers.

En second lieu, en s’appuyant sur sa jurisprudence issue, notamment, de l’arrêt Luxembourg Business Registers (3), la Cour dit pour droit, en substance, que les articles 5 et 6 du RGPD, qui visent respectivement les principes relatifs au traitement des données à caractère personnel et les conditions de licéité du traitement, lus à la lumière des articles 7 et 8 de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale qui impose la mise à la disposition du public de données à caractère personnel relatives à tous les actionnaires, y compris aux actionnaires minoritaires, de sociétés anonymes, afin de réaliser des objectifs tels que ceux indiqués par la juridiction de renvoi, lorsque l’accès à ces données n’est subordonné à aucune condition, telle que la démonstration d’un intérêt légitime.

La Cour rappelle que les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte, ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu qu’elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux et le principe de proportionnalité. La proportionnalité de mesures dont résulte une ingérence dans les droits garantis par les articles 7 et 8 de la Charte requiert le respect des exigences d’aptitude et de nécessité ainsi que de celle relative au caractère proportionné de ces mesures par rapport à l’objectif poursuivi.

À cet égard, la Cour constate qu’en l’occurrence, si elle est prévue par la loi et si elle ne porte pas atteinte au contenu essentiel des droits garantis par les articles 7 et 8 de la Charte, la mise à la disposition du public des données concernées constitue cependant, et en tout état de cause, une ingérence grave dans ces droits. En effet, compte tenu de leur nature, ces données peuvent permettre de dresser un profil concernant, entre autres, l’état de fortune d’un actionnaire ainsi que les secteurs économiques et les entreprises dans lesquels il investit. De plus, elles sont accessibles à un nombre potentiellement illimité de personnes, de telle sorte que leur traitement est susceptible de permettre également à des personnes, qui, pour des raisons étrangères à l’objectif poursuivi par cette mise à disposition, cherchent à s’informer sur la situation notamment matérielle et financière d’un tel actionnaire, d’accéder librement auxdites données. Cette possibilité s’avère d’autant plus aisée lorsque de telles données peuvent être consultées sur Internet. En outre, les conséquences potentielles pour les personnes concernées résultant d’une éventuelle utilisation abusive de leurs données sont aggravées par le fait que, une fois mises à la disposition du public, ces données peuvent non seulement être librement consultées, mais également conservées et diffusées et qu’il devient, en cas de tels traitements successifs, d’autant plus difficile, voire illusoire, pour ces personnes de se défendre efficacement contre des abus.

Cela étant, la Cour relève que les objectifs poursuivis par la réglementation nationale concernée peuvent être qualifiés d’objectifs d’intérêt général reconnus par l’Union.

Cependant, en ce qui concerne l’objectif consistant à garantir un climat des affaires transparent pour protéger les intérêts des tiers, qui paraît correspondre, en substance, à celui poursuivi par la coordination des dispositions nationales opérée à l’article 14, sous d), de la directive 2017/1132, la Cour estime que la publication des données afférentes aux actionnaires ne paraît pas présenter d’utilité au regard de cet objectif. Ainsi, la réglementation nationale ne paraît ni apte ni nécessaire pour l’atteindre.

S’agissant des deux autres objectifs, consistant respectivement à prévenir le blanchiment de capitaux ainsi que le financement du terrorisme et de la prolifération des armes de destruction massive, et à fournir les informations nécessaires à la mise en œuvre des sanctions nationales, internationales et de l’Union, la Cour constate que la réglementation nationale concernée ne paraît ni nécessaire, ni proportionnée par rapport à ces objectifs.

Elle relève notamment que, en ce qui concerne les actionnaires, y compris minoritaires, des sociétés, il n’apparaît pas strictement nécessaire que leurs données soient accessibles à toute personne sans que celle-ci ait à démontrer un intérêt légitime, des moyens moins attentatoires étant disponibles, tels que la limitation de l’accès aux personnes justifiant d’un tel intérêt, combinée, pour ce qui est de l’objectif relatif à la mise en œuvre des sanctions, avec la restriction de l’obligation de publication aux seules données relatives aux personnes figurant sur des listes de sanctions.

La Cour observe encore que la réglementation nationale en cause n’est pas assortie de garanties suffisantes pour protéger efficacement les personnes concernées contre les risques d’abus, dès lors que leurs données sont accessibles sur Internet et peuvent faire l’objet d’un téléchargement en masse, notamment par tout utilisateur non identifié.

---

i Le nom de la présente affaire est un nom fictif. Il ne correspond au nom réel d’aucune partie à la procédure.

---

1 Directive (UE) 2017/1132 du Parlement européen et du Conseil, du 14 juin 2017, relative à certains aspects du droit des sociétés (JO 2017, L 169, p. 46), telle que modifiée par la directive (UE) 2019/1151 du Parlement européen et du Conseil, du 20 juin 2019 (JO 2019, L 186, p. 80).

---

2 Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

---

3 Arrêt du 22 novembre 2022, Luxembourg Business Registers, C‑37/20 et C‑601/20, EU:C:2022:912.