Les données personnelles du dirigeant de société commerciale

18 janvier 2022

Mise à jour 24 nov.2022

 

A l’heure de la protection des données personnelles (Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), le dirigeant de société commerciale peut légitimement estimer anormal de voir ses données personnelles publiées et reprises sur de multiples annaires parasites.

Voir aussi : L’avis négatif

Ces annuaires parasites « pompent » le registre du commerce pour attirer du trafic web et des revenus publicitaires, sous prétexte d’apporter des prestations plus ou moins vaseuses, tels que la collecte d’avis et de notes sur les entreprises, ou des services de référencement sur internet contre espèces sonnantes et trébuchantes.

Quand les données personnelles du dirigeant sont concernées, il y une atteinte à la vie privée de ces personnes.

D’autant que la publication des données personnelles du dirigeant est inutile sinon pour atiser la curiosité malsaine des gens.

Il existe en effet bien d’autres moyens pour atteindre un dirigeant en cas de dette ou d’abus de sa part.

Pourtant la jurispridence est réticente à sanctionner les plateformes, au prétexte d’une certaine conception de la liberté d’expression, ou d’une prétendue nécessité d’intérêt général à publier les données personnelles du dirigeant.

Ainsi, dans un arrêt CJUE, 9 mars 2017, affaire n°C 398/15, la cour de justice de l’Union estime que la publication des données personnelles dans le registre répond à une obligation légale et à un intérêt de protection et de transaparence du commerce, et doit donc obérer, sauf exception, le droit à l’oubli rappelé par l’arrêt Google Spain C-131/12 du 13 mai 2014 qui consacrait le droit de ne pas être indéfiniment fiché et pousuivi par Google au mépris des objectifs de réinsertion sociale prévus par la loi.

La Cour pose comme seule limite que le traitement des données personnelles n’excède pas la « [durée] nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement ».

La notion est bien vague, surtout que certaines données personnelles du dirigeant, en particulier son adresse personnelle, sont souvent obsolètes et inutiles.

Certains droits nationaux, dont la France, imposent en effet la publication de l’adresse personnelle du dirigeant, et alors même que le droit de l’Union n’impose que la publication du nom et des fonctions (Dir. 68/151/CEE, art. 3, qui vise à permettre l’information de tous les tiers intéressés, sans que ceux-ci doivent justifier d’un droit ou d’un intérêt nécessitant une protection  (CJCE, n° C-97/96, Arrêt de la Cour, Verband deutscher Daihatsu-Händler eV contre Daihatsu Deutschland GmbH, 4 décembre 1997).

L’article 8 de la Convention européenne des droits de l’homme (ci-après la “Convention” ou la “CEDH”) prohibe l’ingérence des Etats dans la vie privée quand elle n’est pas nécessaire à la poursuite de certains objectifs, fût-elle prévue par la loi, dans ces termes : 

“Droit au respect de la vie privée et familiale

• Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.

• Il ne peut y avoir ingérence d’une autorité publique dans l’exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu’elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l’ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d’autrui.”

Il ne peut y avoir ingérence de l’”autorité publique” dans l’exercice de ce droit qu’à certaines conditions.

Selon la Convention, une ingérence de l’autorité publique n’est admise que si elle remplit deux critères : 

un critère organique :

•  l’ingérence doit être  “prévue par la  loi” ; (mais ici la CJUE considère qu’il s’agit de tout texte des pouvoirs publics, et non de la seule « Loi »)

un critère de proportionnalité en fonction d’objectifs bien définis qui sont : 

• la sécurité nationale
• la sûreté publique
• le bien-être économique du pays
• la défense de l’ordre 
• la prévention des infractions pénales
• la protection de la santé ou de la morale
• la protection des droits et libertés d’autrui

• La pratique française de divulgation par les services du registre du commerce et des sociétés de l’adresse personnelle constitue une « ingérence de l’autorité publique”;  

Selon la Cour européenne des droits de l’homme : 

L’adresse domiciliaire d’une personne constitue un renseignement d’ordre personnel qui relève de la vie privée et qui bénéficie, à ce titre, de la protection accordée par l’article 8 (Alkaya c. Turquie, § 30).

Les services du greffe du tribunal de commerce et des sociétés ont pour pratique de collecter et de communiquer systématiquement sur demande, via notamment une simple commande d’extrait Kbis, l’adresse personnelle du dirigeant.

La divulgation publique et systématique de l’adresse personnelle du dirigeant porte à l’évidence atteinte à sa vie privée, puisqu’elle désigne à priori son lieu de vie familial, son “domicile” tel que mentionné à l’article 8 (1) précité.

Cette divulgation publique et systématique est à distinguer de la simple collecte de l’adresse personnelle, qui en soi se justifie par une nécessité de préserver un indice de localisation de la personne du dirigeant qui puisse être communiqué sur présentation d’un motif légitime.

Il est communément admis que l’adresse personnelle d’une personne physique n’est pas nécessaire en soi à son identification, seule sa date et son lieu de naissance sont seuls usuellement jugés nécessaires à cette fin.

En revanche la désignation de l’adresse personnelle du dirigeant au public porte nécessairement atteinte à la vie privée du dirigeant quand celui-ci manifeste son souhait que son adresse ne soit pas divulguée, et quelque soit d’ailleurs la motivation du dirigeant, celui-ci étant le plus à même d’évaluer l’impact d’une telle divulgation sur sa vie privée, et le secret étant inhérent à la notion de respect de la vie privée.

Il y a donc atteinte à la vie privée, c’est-à-dire “ingérence de l’autorité publique dans l’exercice du droit au respect de la vie privée et familiale” pour reprendre les termes de la Convention.

La Cour de cassation a jugé que :

« La divulgation du domicile d’un agent par l’Administration sans son accord constituerait une atteinte à la vie privée » (Cass. Civ. 1re, 6 novembre 1990, Bull. civ. I, n° 238).

Les jurisprudences nationale et européenne, qui seront évoquées plus bas , confirment que la divulgation non consentie de l’adresse personnelle constitue une atteinte à la vie privée.

 

 

• Cette ingérence est inconventionnelle car elle n’est pas “nécessaire”, dans le sens où ni les règles nationales ou communautaires, ni les travaux parlementaires, n’indiquent en quoi la divulgation de l’adresse personnelle du dirigeant est “nécessaire” à la poursuite d’un objectif fixé au 2° du 8 de la Convention européenne des droits de l’homme, ce qui laisse donc supposer que cette ingérence ne poursuit aucun des objectifs fixés par le 2° du 8° de la CEDH et est totalement disproportionnée ;  

 

La jurisprudence française et les décisions ou avis des autorités administratives

La non divulgation au public de l’adresse personnelle ne porte par ailleurs pas atteinte au droit d’un tiers de se faire communiquer l’adresse personnelle du dirigeant sur présentation d’un motif légitime, prévu par la loi Béteille.

L’arrêt de la Cour de cassation rendu le 19 mars 1991 :

« si toute personne est en droit, notamment pour échapper aux indiscrétions ou à la malveillance, de refuser de faire connaître le lieu de son domicile ou de sa résidence, de sorte qu’en principe sa volonté doit être sur ce point respectée par les tiers, il en va autrement lorsque cette dissimulation lui est dictée par le seul dessein illégitime de se dérober à l’exécution de ses obligations et de faire échec aux droits de ses créanciers ; qu’il appartient au juge des référés de mettre un terme à une telle manœuvre frauduleuse, dès lors que celle-ci est manifeste » (Cass. Civ. 1ère, 19 mars 1991, pourvoi n° 89-19.960) 

Aujourd’hui, la loi n° 2010-1609 du 22 décembre 2010 dite loi Béteille va plus loin en élargissant l’accès à l’information de l’huissier de justice chargé de l’exécution et porteur d’un titre exécutoire, en lui permettant d’obtenir des renseignements directement auprès des tiers qui les détiennent sans passer par le juge des référés.

Ainsi, les administrations de l’Etat, des régions, des départements et des communes, les entreprises concédées ou contrôlées par l’Etat, les régions, les départements et les communes, les établissements publics ou organismes contrôlés par l’autorité administrative doivent communiquer à l’huissier de justice chargé de l’exécution, porteur d’un titre exécutoire, les renseignements qu’ils détiennent permettant de déterminer l’adresse du débiteur, l’identité et l’adresse de son employeur ou de tout tiers débiteur ou dépositaire de sommes liquides ou exigibles et la composition de son patrimoine immobilier, à l’exclusion de tout autre renseignement, sans pouvoir opposer le secret professionnel. (Article L 152-1 du Code des procédures civiles d’exécution).

Toutefois, ces informations sont strictement limitées au cadre légal. Elles ne pourront être utilisées que dans la seule mesure nécessaire à l’exécution du ou des titres pour lesquels elles ont été demandées. Il est notamment interdit à l’huissier de justice de les communiquer à un tiers (Cass. Civ. 1ère , 22 mars 2012, n° 10-25811) ou de les réunir en un fichier nominatif. 

“L’adresse appartient à la vie privée. Lorsque l’intérêt qu’il y a à connaître l’adresse sans le consentement voire contre l’opposition de la personne est d’une valeur moindre que la protection de la vie privée, celle-ci l’emporte.” (CA Toulouse, ch. soc. 4, sect. 1, 25 sept. 2015, n° 13/01895  : JurisData n° 2015-021972)

“Ainsi dans la présente affaire, après avoir rappelé que l’adresse personnelle est une information qui relève de la vie privée (V. aussi par ex. Cass. 1re civ., 19 mars 1991, n° 89-19.960 : JurisData n° 1991-000768. – Cass. 1re civ., 30 juin 1992, n° 90-18.458 : JurisData n° 1992-001674 ; Bull. civ. 1992, I, n° 213), la cour d’appel a recherché si un intérêt ici supérieur au droit au respect de la vie privée de la salariée justifiait de révéler l’adresse de celle-ci sans son consentement. “

La CADA estime que l’adresse personnelle du commerçant doit être occultée : 

“La commission d’accès aux documents administratifs a examiné dans sa séance du 7 février 2013 votre demande de conseil relative au caractère communicable d’une liste de commerçants d’un marché extérieur, faisant apparaître le type de commerce et leur ancienneté.

La commission rappelle, à titre liminaire, que si le nom d’un commerçant, nécessairement immatriculé au registre du commerce et des sociétés est une information dont la divulgation n’est pas contraire aux dispositions du II de l’article 6 de la loi du 17 juillet 1978 relatives aux mentions couvertes par le secret de la vie privée, est toutefois prohibée, par ces dispositions, la divulgation des document révélant les horaires de travail et les dates de congés des commerçants ainsi que de toute mention relative, par exemple, à l’adresse du vendeur, à sa date de naissance ou à son numéro de carte d’identité.

Elle considère également, que sont couverts par le secret en matière commerciale et industrielle protégé par le II de l’article 6 de la loi de 1978, les documents qui feraient

apparaître toute donnée relevant de la stratégie commerciale des commerces concernés, telles que, par exemple, les dates et horaires d’ouverture des étals.

La commission estime, en application de ces principes que la liste de commerçants du marché extérieur de la commune, qui fait apparaître le type de produits vendus et l’ancienneté des commerces, est communicable, sous réserve de l’occultation préalable de l’adresse personnelle des commerçants, ainsi que de l’indication de leurs jours de présence sur le marché, qui sont susceptibles de porter atteinte à la protection de la vie privée des intéressés ou au secret commercial et industriel.”

Le droit de l’Union Européenne

La Directive (UE) 2017/1132 du Parlement européen et du Conseil du 14 juin 2017 relative à certains aspects du droit des sociétés, prenant la suite de la directive 68/151/CEE du Conseil, du 9 mars 1968, tendant à coordonner, pour les rendre équivalentes, les garanties qui sont exigées, dans les États membres, des sociétés au sens de l’article 58 deuxième alinéa du traité, pour protéger les intérêts tant des associés que des tiers, exige que les dirigeants soient “identifiés” mais n’évoque jamais leur adresse personnelle.

Dans l’affaire C-398/15 du 9 mars 2017, la Cour, sans éluder la capacité des Etats membres à prévoir les dispositions qu’ils souhaitent en matière de collecte de données personnelles par les registres du commerce, précise que seule la collecte de l’identité des dirigeants est exigée : 

“32      À cet égard, il convient tout d’abord de relever que, en vertu de l’article 2, paragraphe 1, sous d), de la directive 68/151, les États membres doivent prendre les mesures nécessaires pour que la publicité obligatoire relative aux sociétés porte au moins sur la nomination, la cessation des fonctions ainsi que l’identité des personnes qui, en tant qu’organe légalement prévu ou membres de tel organe, ont le pouvoir d’engager la société concernée à l’égard des tiers et de la représenter en justice ou participent à l’administration, à la surveillance ou au contrôle de cette société. En outre, selon ce même article 2, paragraphe 1, sous j), doivent également être rendus publics la nomination et l’identité des liquidateurs ainsi que, en principe, leurs pouvoirs respectifs.”

La Lettonie n’exige plus l‘adresse personnelle du dirigeant (Ruķers M., Kā izpaužas tiesības uz personas datu aizsardzību publiski pieejamā reģistrā. Jurista Vārds, 26.jūnijs 2012/NR.26(725). 

Idem en droit néerlandais, 

L’article 16 de la loi sur le registre du commerce de 1996 prévoit la possibilité de limiter la publication de certaines données à caractère personnel aux fins du respect de la vie privée. À cet égard, l’article 32 de l’arrêté sur le registre du commerce de 1996 stipule qu’un dirigeant d’une personne morale peut faire une demande de verrouillage de la mention de l’adresse de domicile dudit dirigeant sous certaines conditions.

La loi sur le registre du commerce de 2007 est entrée en vigueur le 1er juillet 2008. L’arrêté sur le registre du commerce de 2008 prévoit à son article 51 une limitation de la publication de certaines données à caractère personnel aux fins du respect de la vie privée. Selon le paragraphe 1 de cette disposition, la mention de l’adresse du domicile d’un dirigeant, d’un commissaire, d’un mandataire, d’un actionnaire unique, d’un porteur d’actions non entièrement libérées, d’un liquidateur ou d’un gestionnaire d’une société étrangère, ne peut pas être consultée par des tiers. Néanmoins, il existe une exception pour, notamment, les autorités administratives, les avocats, les huissiers, les notaires et certaines autorités de surveillance. Une personne physique peut faire une demande de verrouillage de la publication de l’adresse de son domicile sous certaines conditions en vertu de l’article 51, paragraphe 3, de l’arrêté précité. 22

Idem au Royaume-Uni : 

Bien que la plupart des informations conservées à Companies House soient mises à la disposition du grand public, certaines informations, telles que les adresses privées et les dates de naissance complètes , ne sont pas inscrites au registre mais sont partagées avec certaines autorités publiques déterminées, telles que la police, ainsi que les agences de référence de crédit  . Le législateur estime que la non-divulgation du jour de la naissance établit un juste équilibre entre les principes de transparence et de confidentialité.

-Small Business and Enterprise and Employment Act 2015. Suite aux plaintes pour usurpation d’identité, depuis octobre 2015, seuls le mois et l’année de naissance figurent au registre public, “Great news – we’re listening to our customers and making changes”, Companies House Blog, 17 juin 2015, https://com panieshouse.blog.gov.uk/2015/06/17/great-news-were-listening-to-ourcustomers-and-making-changes/. Il ressort du même article que, désormais, le jour de naissance sera expurgé des copies des documents transmis au registre en format papier. Concernant les transmissions antérieures, Companies House travaille à la mise en place d’une solution efficace

-“Restricting the disclosure of your information”, Companies House mars 2016, p. 3 et 5. 9

-«Our register: advice on protecting your personal information», Companies House Blog, 21 janvier 2016, https://companieshouse.blog.gov.uk/2016/01/21/our-register-advice-on-protectingyour-personal-information/.

• Le juge national peut écarter une norme nationale inconventionnelle ; 

Même dans le cas où le Conseil constitutionnel aurait déclaré une disposition législative conforme à la Constitution, les juridictions judiciaires et administratives gardent toujours la possibilité d’en écarter l’application lorsqu’elles la jugent contraire à la Convention (Voir par exemple Cass., ass. Plein. 15 avril 2011 n° (10-30.316)…un espoir est né.

On te lynchera : le droit à l’oubli sur internet

 

Nous saluons l’arrêt du 22 novembre 2022, la Cour de jusitce (Arrêt de la Cour dans les affaires jointes C-37/20 | Luxembourg Business Registers et C-601/20 | Sovim) qui va vers plus de protection de la vie privée en constatant l’invalidité, au regard de la Charte, de la
disposition de la directive antiblanchiment prévoyant que les États membres doivent veiller à ce que les
informations sur les bénéficiaires effectifs des sociétés et autres entités juridiques constituées sur leur territoire
soient accessibles dans tous les cas à tout membre du grand public.

Selon la Cour, l’accès du grand public aux informations sur les bénéficiaires effectifs constitue une ingérence grave
dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère
personnel, respectivement consacrés aux articles 7 et 8 de la Charte. En effet, les informations divulguées
permettent à un nombre potentiellement illimité de personnes de s’informer sur la situation matérielle et financière
d’un bénéficiaire effectif. En outre, les conséquences potentielles, pour les personnes concernées, résultant d’une éventuelle utilisation abusive de leurs données à caractère personnel sont aggravées par le fait que, une fois mises
à la disposition du grand public, ces données peuvent non seulement être librement consultées, mais également
être conservées et diffusées.