Toute personne dont les données à caractère personnel font l’objet d’un traitement dispose de droits qu’elle peut exercer auprès du responsable dudit traitement. Ces droits sont énumérés par la directive 95/46/CE du 24 octobre 1995, texte qui régit la protection des données à caractère personnel au niveau européen jusqu’en mai 2018. En France, ces droits sont prévus aux articles 38 et suivants de la loi n°78-17 du 6 janvier 1978 modifiée. Notons en outre que le Règlement Général sur la Protection des Données reconnait de nouveaux droits aux personnes dont les données font l’objet d’un traitement (droit à la portabilité, droit à la limitation, etc.).
Au nombre de ces droits figure le droit pour la personne concernée de demander à ce que les données la concernant fassent l’objet d’une suppression. Toutefois, ce droit n’est pas sans limites. En effet, l’actuel article 40 de la loi du 6 janvier 1978 modifiée précise que la personne concernée peut obtenir notamment l’effacement des données « qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite.« .
Le 9 mars 2017, la Cour de justice de l’Union européenne (CJUE) a précisé les modalités selon lesquelles les personnes dont les données personnelles sont inscrites au registre du commerce et des sociétés peuvent exercer leur droit de suppression (CJUE, 9 mars 2017, Aff. C-398/15, Manni).
Mathias Avocats revient sur l’apport de cet arrêt.
Quels étaient les faits ?
En l’espèce, l’administrateur d’une société italienne de construction estimait qu’il ne parvenait pas à vendre certains de ses produits à cause d’une mention au registre italien du commerce et des sociétés. Il avait en effet été l’unique administrateur d’une société déclarée en faillite en 1992 puis radiée en 2005.
Or, cette information avait été exploitée par un site tiers pour attribuer une note négative à sa société, ce qui pour le requérant dissuadait ses partenaires potentiels.
Dans ce contexte, il a demandé à la chambre du commerce en charge du registre italien du commerce et des sociétés la suppression de la mention de son nom en qualité de dirigeant de la société ayant fiat faillite plusieurs années plus tôt ; ce qui lui a été refusé.
Cet entrepreneur demandait en creux un « droit à l’oubli » lequel lui aurait permis de passer sous silence tout lien avec la faillite précitée.
Quels sont les obstacles à l’effacement retenus par la CJUE ?
Il n’est pas contesté que les données en cause en l’espèce sont des données à caractère personnel, quand bien même elles auraient été recueillies dans un contexte professionnel. La chambre du commerce, qui tient le registre, met donc en oeuvre un traitement de données à caractère personnel ‘Point 35 de l’arrêt).
La Cour de Luxembourg souligne que la directive 68/151/CEE du 9 mars 1968 rend obligatoire la mise en place de registres du commerce et des sociétés au sein des Etats membres, et spécifie les informations qui doivent nécessairement y apparaître. En vertu de l’article 2§1, d) de la directive précitée, figure au nombre de ces informations obligatoires l’identité de personnes qui « ont le pouvoir d’engager la société concernée à l’égard des tiers et de la représenter en justice ou participent à l’administration, à la surveillance ou au contrôle de cette société. » (Point 32 de l’arrêt).
La Cour rappelle que l’une des finalités du traitement occasionné par la tenue d’un registre des sociétés est de protéger les intérêts des tiers. De tels registres doivent aussi permettre de vérifier la légalité d’actes ou la propriété de biens y compris après la dissolution d’une société ou la cessation de son activité. Par exemple, des actions en justice peuvent rendre nécessaires l’accès aux données contenus dans les registres du commerce et des sociétés.
Les données à caractère personnel publiées au RCS peuvent-elles demeurer publiques sans limitation ?
Existe-t-il un délai courant à partir de la cessation des activités d’une société au-delà duquel la personne concernée pouvait demander l’effacement, l’anonymisation ou la limitation de la publicité des données la concernant au registre du commerce et des sociétés ?
La Cour le dit clairement : « au vu de la multitude des scénarios possibles », qui varient en fonction du type de sociétés, des législations nationales et des situations d’espèce, il est « impossible d’identifier un délai unique, à compter de la dissolution d’une société, à l’expiration duquel l’inscription desdites données dans le registre et leur publicité ne serait plus nécessaire. ». Dans ce contexte, il n’est pas possible de limiter globalement la durée de publication desdites informations.
En outre, la Cour précise que les Etats membre ne peuvent pas garantir aux individus dans une situation identique à celle du requérant « le droit d’obtenir par principe après un certain délai à compter de la dissolution de la société concernée, l’effacement des données à caractère personnel les concernant » ou, « le verrouillage de celles-ci pour le public. ».
La Cour s’en remet au législateur national. Ce dernier a la possibilité d’exclure l’exercice du droit à la suppression pour un traitement donnée, en vertu de l’article 14, a) de la directive 95/46/CE précitée. En l’absence d’une telle exclusion, la Cour laisse uniquement ouverte la possibilité de limiter l’accès à l’information dans certains cas strictement encadrés, qui doivent être appréciés au cas par cas par l’autorité en charge de la tenue du registre. Cependant, les contours de l’appréciation de la demande par cette dernière figurent dans l’arrêt de la CJUE. Ainsi, la demande devra être « exceptionnellement justifiée, pour des raisons prépondérantes et légitimes » tenant à la situation particulière du demandeur.
De plus, seule une limitation de l’accès aux données litigieuses ne pourra être envisagée. En revanche, l’accès devra toujours être permis aux tiers justifiant d’un intérêt spécifique à la consultation de ces données (Point 64 de l’arrêt).
Soulignons enfin qu’en l’espèce, la circonstance selon laquelle les immeubles du requérant ne se vendent pas n’est, selon la Cour, pas de nature à justifier que les acquéreurs potentiels ne puissent pas accéder aux informations publiées au registre du commerce et des sociétés.