Publicité et accès aux registres des actionnaires de SA : la CJUE rappelle les évidences

La question soumise aux juges de Luxembourg concerne le droit letton. Celui-ci prévoit, dans son Code de commerce, la mise en place d’un registre des actionnaires par chaque société par actions, comprenant notamment les noms, prénoms, numéro d’identification personnelle – ou à défaut date de naissance – et adresse de chacun des actionnaires. Sont aussi disponibles des informations relatives au nombre d’actions, à leur catégorie et aux droits de vote qui y sont attachés.

Le registre des actionnaires est public, accessible en ligne, et disponible pour un téléchargement en masse par tout utilisateur du site internet même non identifié. Il est donc possible d’obtenir une myriade d’informations sur les actionnaires des sociétés anonymes lettones, dont l’anonymat est alors tout à fait relatif.

Dix-sept personnes physiques, actionnaires minoritaires d’une société anonyme, ont saisi la Cour constitutionnelle pour contester la conformité de ces règles au regard du droit à la vie privée tel que garanti par la Constitution. La Cour renvoie, à titre préjudiciel, à la Cour de Luxembourg pour savoir :

• D’une part, si la publication prévue par le Code de commerce letton correspond à la publication prévue par la directive 2017/1132, visant les « personnes qui participent à l’administration, à la surveillance ou au contrôle de la société »
• D’autre part, si le règlement général sur la protection des données (RGPD) permet un traitement de données à caractère personnel visant les actionnaires d’une société anonyme, au motif qu’il serait justifié par la garantie d’un climat des affaires transparent, la prévention du blanchiment de capitaux et la fourniture d’informations nécessaires à la mise en œuvre de sanctions nationales, unionistes et internationales.

Bien que le droit français ne prévoie pas un tel registre des actionnaires ouvert au public, la décision de la CJUE n’est pas dénuée d’intérêt. Elle rappelle, d’abord, que les actionnaires de sociétés anonymes sont les détenteurs du capital, et qu’à ce titre, ils ne sont pas visés par la publicité évoquée dans la directive de 2017. Ensuite, les juges de Luxembourg rappellent que les objectifs invoqués par le droit letton ne permettent pas au registre des actionnaires d’être conforme avec le RGPD, dès lors que ces données sont accessibles sans condition.

Les actionnaires ne sont (toujours) pas les dirigeants

La première réponse apportée par la CJUE rappelle une règle fondamentale du droit des sociétés quant à la répartition des pouvoirs en leur sein.

Selon l’article 14 de la directive 2017/1132, les sociétés par actions sont tenues de publier « au moins les actes et les indications relatifs à la nomination, à la cessation des fonctions, ainsi qu’à l’identité des personnes qui, en tant qu’organe légalement prévu ou membres d’un tel organe, ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice, ou qui participent à l’administration, à la surveillance ou au contrôle de la société ».

S’il est exact que les actionnaires peuvent participer « au contrôle de la société », celui-ci est limité et, en tout état de cause, on ne peut parler de « nomination » ou de « cessation des fonctions » dans le cadre de leur participation à l’assemblée. Ces deux termes désignent nécessairement et exclusivement les dirigeants sociaux. Cette opposition entre organes d’administration et de direction et l’assemblée des actionnaires se retrouve d’ailleurs dans d’autres articles de la directive de 2017. La diffusion d’informations relatives à tous les actionnaires, y compris minoritaires, ne peut donc pas être fondée sur l’article 14 de la directive de 2017.

Un autre argument avancé pour tenter de valider la publicité du registre s’appuyait sur l’article 4 de la directive. Cet article impose la mention, dans l’acte constitutif ou dans les statuts de la société par actions, de l’identité des personnes qui les ont signés.
La CEDH rappelle que la directive n’impose cependant pas la communication de l’identité des actionnaires intégrant le capital social par la suite.

Une diffusion limitée du registre

La seconde réponse apportée par la CEDH a trait au respect des droits à la vie privée et à la protection des données à caractère personnel, tels que prévus par les articles 7 et 8 de la Charte des droits fondamentaux et le RGPD. En ce sens, le présent arrêt s’inscrit dans la lignée de l’arrêt Luxembourg Business Registers de 2022, qui avait restreint l’accès au registre des bénéficiaires effectifs.

Il était avancé par la Lettonie que le registre des actionnaires était un traitement de données à caractère personnel nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis. En ce sens, il serait conforme à l’article 6 du RGPD.
Pour autant, la Cour de justice va opérer un contrôle en deux temps, portant sur la gravité de l’atteinte au droit au respect des articles 7 et 8 de la Charte des droits fondamentaux et sur la nécessité et la proportionnalité de la mesure.

D’une part, il apparaît à la CJUE que la diffusion du registre des actionnaires, telle que prévue par le droit letton, permet à toute personne de « dresser un profil concernant (…) l’état de fortune [de tout actionnaire] (…) ainsi que les secteurs économiques et les entreprises spécifiques dans lesquels celui-ci investit ». L’accès à ce registre par internet, ainsi que l’étendue des informations disponibles, permet une éventuelle utilisation abusive, ce qui est, selon la Cour, une « ingérence grave » dans les droits au respect à la vie privée et à la protection des données personnelles.

D’autre part, la CJUE étudie les raisons avancées pour une telle diffusion de ce registre :

• Est d’abord invoquée la prévention du blanchiment de capitaux et du financement du terrorisme pour justifier la transparence du registre. La poursuite de cet objectif, que l’on retrouve notamment dans la directive 2024/1640 du 31 mai 2024, a conduit à la création du registre des bénéficiaires effectifs. Dans sa décision Luxembourg Business Registers, la CJUE a cependant estimé que ce registre ne pouvait être accessible à tous, mais seulement aux personnes démontrant un intérêt légitime. S’agissant du registre letton, les juges relèvent que les actionnaires minoritaires ne peuvent être qualifiés de bénéficiaires effectifs, la diffusion de leurs données à caractère personnel excède donc l’objectif poursuivi. Ensuite, l’accès de ce registre à toute personne, sans démonstration d’un intérêt légitime va bien au-delà des positions et textes unionistes. En conséquence, le dispositif est considéré comme disproportionné au regard de l’objectif de lutte contre le blanchiment de fonds.
• Quant à l’argument soulignant que la fourniture d’informations est nécessaire pour la mise en œuvre des sanctions nationales, internationales et de l’Union, la Cour considère que d’autres solutions sont envisageables, notamment la diffusion des informations relatives aux seules personnes soumises à sanction, au seul profit de ceux qui démontrent un intérêt. Ce faisant, le dispositif letton n’est pas nécessaire ni proportionné au regard de l’objectif poursuivi.

La CJUE rappelle ainsi la distinction fondamentale entre actionnaires et dirigeants, ainsi que la nécessité de limiter l’accès aux registres comprenant des données personnelles. Alors que l’EU Inc. (voir la lettre CREDA 2026-07 du 15 avril 2026) est en phase de discussion, ces précisions, pouvant aussi concerner la Finlande ou la Suède en ce qu’elles ont des règles comparables, sont évidemment bienvenues.

Matthieu ZOLOMIAN
Maître de conférences, Université d'Angers