Édition provisoire

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. RIMVYDAS NORKUS

présentées le 18 décembre 2025 (1)

Affaire C-798/24 [Jautiva] (i)

A e.a.

en présence de :

Latvijas Republikas Saeima

[demande de décision préjudicielle formée par la Latvijas Republikas Satversmes tiesa (Cour constitutionnelle, Lettonie)]

« Renvoi préjudiciel – Directive (UE) 2017/1132 – Droit des sociétés – Article 14, sous d), ii) – Interprétation des termes “participent à l’administration, à la surveillance ou au contrôle de la société” – Obligation, prévue par le droit national, de mettre à disposition des informations spécifiques concernant tout actionnaire d’une société anonyme – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne – Règlement (UE) 2016/679 – Article 5 – Principes relatifs au traitement des données à caractère personnel – Article 6 – Licéité du traitement – Principe de proportionnalité »

I. Introduction

1. La présente demande de décision préjudicielle introduite par la Latvijas Republikas Satversmes tiesa (Cour constitutionnelle, Lettonie) (2) porte sur l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques sur les actionnaires (3) des sociétés anonymes (4) de droit letton. Les informations en question peuvent être consultées sur le site Internet du registre des entreprises par des « utilisateurs non identifiés » (5). Il n’existe donc aucune obligation pour les membres du public de démontrer un intérêt légitime à obtenir ces informations.

2. La juridiction de renvoi cherche à savoir si l’obligation de mise à disposition des informations en cause est imposée par le droit de l’Union. Elle demande ainsi à la Cour si les termes « personnes qui […] participent à l’administration, à la surveillance ou au contrôle de la société », figurant à l’article 14, sous d), ii), de la directive (UE) 2017/1132 du Parlement européen et du Conseil, du 14 juin 2017, relative à certains aspects du droit des sociétés (6), visent tout actionnaire d’une société anonyme et si un État membre est tenu de mettre à la disposition du public des informations spécifiques sur chaque actionnaire d’une telle société conformément à l’article 16, paragraphe 3, de cette directive. Dans l’hypothèse où de telles informations devraient être accessibles au public en vertu de la directive 2017/1132, la juridiction de renvoi s’interroge sur la validité de l’article 14, sous d), ii), de cette directive au regard du droit au respect de la vie privée et familiale garanti par l’article 7 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») et du droit à la protection des données à caractère personnel garanti par l’article 8 de la Charte.

3. La Latvijas Republikas Satversmes tiesa (Cour constitutionnelle) cherche également à déterminer si l’article 5, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (7) (ci-après le « RGPD ») doit être interprété en ce sens qu’il autorise la mise à la disposition du public de telles informations sans qu’il soit requis de démontrer un intérêt légitime à cet égard, afin de répondre à certaines finalités, à savoir : i) garantir un climat des affaires transparent et protéger les intérêts des tiers ; ii) prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération (8) et iii) fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union. À cet égard, la juridiction de renvoi se demande si ces objectifs pourraient raisonnablement être atteints de manière aussi efficace, conformément à la procédure de demande d’informations à accès restreint, prévue par le droit letton (9).

4. En outre, la juridiction de renvoi s’interroge sur le point de savoir si le raisonnement suivi dans l’arrêt Luxembourg Business Registers (10) – dans lequel la Cour a jugé que l’exigence découlant du droit de l’Union selon laquelle les États membres veillent à ce que les informations sur les bénéficiaires effectifs des sociétés et autres entités juridiques constituées sur leur territoire soient accessibles dans tous les cas à tout membre du grand public est invalide – peut être extrapolé à la mise à disposition d’informations relatives à l’ensemble des actionnaires d’une société anonyme, nonobstant la différence entre le volume d’informations et l’objectif de la mise à disposition dans les deux situations.

II. Le cadre juridique

A. Le droit de l’Union

5. Les articles 7 et 8 ainsi que l’article 52, paragraphe 1, de la Charte, les considérants 3, 7 et 8, les articles 14 et 16 de la directive 2017/1132 ainsi que les articles 5 et 6 du RGPD revêtent une importance particulière dans la présente affaire.

B. Le droit letton

6. L’article 8 du Komerclikums (code de commerce) (11) est intitulé « Contenu des inscriptions au registre du commerce ». Son article 8, paragraphe 3, points 3 et 4, dispose :

« (3) Les informations concernant une société de capitaux à inscrire au registre du commerce sont énumérées ci-après :

[…]

3) le nom, le prénom, le numéro d’identification personnel (à défaut de numéro d’identification personnel, la date de naissance, le numéro et la date de délivrance du document d’identité, le pays et l’autorité ayant délivré ce document) ainsi que la fonction occupée par les membres du directoire de la société de capitaux et les membres du conseil de surveillance (si la société de capitaux dispose d’un tel conseil) ;

4) le pouvoir des membres du directoire d’engager la société individuellement ou conjointement. »

7. L’article 12 du code de commerce, intitulé « Publicité dans le registre du commerce », est libellé comme suit :

« (1) Les inscriptions au registre du commerce produisent leurs effets à l’égard des tiers à compter de leur publication. […]

[…] »

8. Aux termes de l’article 235 du code de commerce, intitulé « Informations à inscrire au registre des actionnaires »,

« 1) La rubrique du registre des actionnaires, à chaque actualisation, indique le nom de la société, son numéro d’immatriculation, son adresse légale et, le cas échéant, l’information selon laquelle la société fait l’objet d’une procédure de liquidation ou d’insolvabilité, ainsi que le titre du document “Rubrique du registre des actionnaires”, et contient les informations suivantes :

1) le numéro d’ordre et la date de la rubrique ;

2) le numéro d’ordre de l’inscription, en utilisant la numérotation consécutive de la première rubrique du registre des actionnaires ;

3) les numéros d’ordre des actions ;

4) les données relatives aux actionnaires :

a) pour une personne physique, le nom, le prénom, numéro d’identification personnel (à défaut de numéro d’identification personnel, la date de naissance, le numéro et la date de délivrance du document d’identité, le pays et l’autorité ayant délivré ce document) et l’adresse à laquelle la personne peut être contactée ;

b) pour une personne morale et une société de personnes, le nom, le numéro d’enregistrement et l’adresse légale,

5) l’adresse électronique de l’actionnaire, si celui-ci a demandé qu’elle soit utilisée par la société pour communiquer avec lui ;

6) la catégorie, le nombre et la valeur nominale des actions de chaque actionnaire, ainsi que le nombre de votes qui y sont attachés ;

7) le statut de libération des actions ;

8) le représentant commun des actionnaires désigné selon la procédure prévue à l’article 157 du présent code, en indiquant les éléments visés au paragraphe 1, points 4 et 5, du présent article ;

9) les informations sur les actions acquises par la société elle-même, en indiquant les motifs de leur acquisition.

[…] »

9. L’article 4.¹⁰, cinquième alinéa, l’article 4.¹¹, premier alinéa, point 2, l’article 4.¹⁵, premier alinéa, point 2, sous b), l’article 4.¹⁵, premier alinéa, point 3, sous a), et l’article 4.¹⁵, deuxième, troisième et quatrième alinéas, du likums « Par Latvijas Republikas Uzņēmumu reģistru » (loi sur le registre des entreprises de la République de Lettonie) (12) (ci-après la « loi sur le registre des entreprises ») sont libellés comme suit :

« Article 4.¹⁰ Droit d’accéder aux informations du registre des entreprises

Le Registre des entreprises fournit gratuitement les informations et les documents contenus dans la partie publique du dossier d’enregistrement (article 4.¹⁵, premier alinéa) en mode de transmission de données en ligne (y compris pour le téléchargement en masse).

[…]

Article 4.¹¹ Informations à publier sur le site Internet du registre des entreprises

Le Registre des entreprises veille à ce qu’un utilisateur non identifié ait accès publiquement aux informations les plus récentes (les plus actuelles) suivantes sur son site Internet concernant les personnes morales et les faits juridiques enregistrés dans les registres tenus par le Registre des entreprises :

[…]

2) autres informations inscrites au registre.

[…]

Article 4.¹⁵ Parties publique et non publique du dossier d’enregistrement

La partie publique du dossier d’enregistrement comprend :

[…]

2) autres informations inscrites au registre :

[…]

b) les informations issues de la rubrique du registre des associés (actionnaires) d’une société de capitaux concernant les associés (actionnaires) de cette dernière […] ;

[…]

3) les documents suivants faisant partie du dossier d’enregistrement :

a) dans le registre du commerce – […] la rubrique du registre des associés (actionnaires), […].

[…]

Les documents et les informations qui font partie du dossier d’enregistrement et qui ne sont pas visés au premier alinéa du présent article sont inclus dans la partie non publique du dossier d’enregistrement.

Lorsqu’une inscription au registre ou une information enregistrée a reçu le statut d’information à accès restreint ou que sa mise à la disposition du public a été restreinte par une réglementation, elle est incluse dans la partie non publique du dossier d’enregistrement.

Les informations et les documents figurant dans la partie non publique du dossier d’enregistrement (alinéas 2 et 3 du présent article) sont des informations à accès restreint, et peuvent être obtenus par les autorités répressives pour l’exécution des tâches spécifiées dans les lois et règlements, ainsi que, sans restrictions, par le Finanšu izlūkošanas dienests (service de renseignement financier, Lettonie) et les autorités de surveillance et de contrôle dans le domaine de la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération, alors que les autres autorités doivent présenter une demande motivée. Les particuliers demandent les informations et les documents contenus dans la partie non publique du dossier d’enregistrement conformément à la procédure de demande d’informations à accès restreint prévue par l’Informācijas atklātības likums (loi sur la liberté d’information). »

III. Le litige au principal et les questions préjudicielles

10. La requête dont a été saisie la Latvijas Republikas Satversmes tiesa (Cour constitutionnelle) a été déposée par 17 actionnaires minoritaires d’une société anonyme. Ces derniers estiment que l’article 4.¹⁵, premier alinéa, point 2, sous b), de la loi sur le registre des entreprises (ci-après la « disposition attaquée ») est incompatible avec l’article 96 de la Latvijas Republikas Satversme (Constitution de la République de Lettonie, ci-après la « Constitution lettone ») qui prévoit que « [t]oute personne a droit à l’inviolabilité de sa vie privée, de son domicile et de sa correspondance ».

11. Les requérants soutiennent que le législateur letton n’a pas apprécié ni justifié la nécessité de rendre publiques les informations relatives aux actionnaires et de les considérer comme des informations généralement accessibles. Une fois ces informations mises à la disposition du public, rien ne limite leur utilisation ultérieure. Il existe donc un risque élevé que lesdites informations soient utilisées à des fins malhonnêtes telles que la fraude, l’extorsion ou le chantage. Selon les requérants, la constitutionnalité de la disposition attaquée doit être appréciée à la lumière de l’arrêt Luxembourg Business Registers, qui concernait la mise à la disposition du grand public d’informations sur les bénéficiaires effectifs des sociétés. Étant donné que la Cour a considéré, dans cette affaire, que des données similaires sur les bénéficiaires effectifs ne devaient pas être rendues publiques, la mise à la disposition du grand public des données à caractère personnel des actionnaires apparaît d’autant plus injustifiée et disproportionnée. Les requérants, en tant qu’actionnaires minoritaires, ne sont ni les bénéficiaires effectifs de la société anonyme ni les personnes responsables de son organe exécutif ou de son organe de direction. Ils n’ont ni le droit ni la possibilité d’exercer un contrôle sur cette société.

12. La Saeima (Parlement letton) soutient que la disposition attaquée est conforme à l’article 96 de la Constitution lettone. Elle considère que la restriction des droits fondamentaux se justifie par la nécessité de garantir un climat des affaires transparent, de protéger les intérêts des tiers, de lutter contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération, et de permettre à chacun de respecter les obligations qui lui incombent en vertu du Starptautisko un Latvijas Republikas nacionālo sankciju likums (loi sur les sanctions internationales et les sanctions nationales de la République de Lettonie). La réalisation de ces objectifs suppose que les informations en cause soient mises à la disposition de chacun, sans délai et sans obligation de justifier d’un intérêt légitime à cet égard. La motivation de l’arrêt Luxembourg Business Registers, qui ne portait que sur un seul objectif légitime, à savoir la prévention du blanchiment de capitaux et du financement du terrorisme, ne saurait être extrapolée à la présente affaire, étant donné que la législation lettone en cause poursuit plusieurs objectifs légitimes différents justifiant la limitation des droits fondamentaux.

13. La Datu valsts inspekcija (autorité nationale de la protection des données, Lettonie), qui est intervenue dans la procédure devant la juridiction de renvoi en tant qu’amicus curiae, considère que, contrairement au principe de transparence consacré par le RGPD, la loi sur le registre des entreprises ne précise pas de finalité particulière justifiant le traitement des données à caractère personnel des actionnaires d’une société anonyme. Le volume des données traitées et la question de savoir si l’objectif poursuivi pourrait être atteint par un traitement moins étendu doivent être appréciés à la lumière du principe de minimisation des données. En l’absence d’objectif clairement identifié, il n’est pas possible d’apprécier le point de savoir si l’ampleur du traitement des données à caractère personnel est proportionnée. Par conséquent, les principes de limitation des finalités et de minimisation des données ne sont pas respectés.

14. Le Finanšu izlūkošanas dienests (service de renseignements financiers, Lettonie), qui est également intervenu dans la procédure au principal en tant qu’amicus curiae, estime que les tiers doivent avoir accès aux informations en cause afin de déterminer si un partenaire commercial fait l’objet de sanctions internationales ou nationales.

15. La juridiction de renvoi cherche à déterminer si les actionnaires des sociétés anonymes sont des personnes participant à l’administration, à la surveillance ou au contrôle de la société au sens de l’article 14, sous d), ii), de la directive 2017/1132 et, partant, si cette directive exige la publicité d’informations sur les actionnaires de telles sociétés. Dans l’hypothèse où la Cour considérerait que de tels actionnaires relèvent du champ d’application de l’article 14, sous d), ii), de la directive 2017/1132 et que les informations les concernant doivent être soumises à publicité et rendues accessibles au public en vertu de l’article 16, paragraphe 3, de cette directive, la juridiction de renvoi se demande, notamment, si cette première disposition est valide au regard des articles 7 et 8 de la Charte.

16. La juridiction de renvoi s’interroge également sur la conformité du traitement des données à caractère personnel des actionnaires des sociétés anonymes aux principes énoncés à l’article 5, paragraphe 1, du RGPD, notamment au principe de « minimisation des données », qui exprime l’exigence de proportionnalité. Ce principe ne s’oppose pas à la mise à la disposition du public de données à caractère personnel lorsque cela est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, en vertu de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD. Néanmoins, conformément à l’article 52, paragraphe 1, de la Charte, les limitations apportées aux droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel doivent être prévues par la loi, respecter le contenu essentiel de ces droits fondamentaux et satisfaire au principe de proportionnalité.

17. La juridiction de renvoi se demande, en particulier, si, à la lumière, notamment, des arrêts Luxembourg Business Registers et Manni (13), l’article 5, paragraphe 1, sous b), du RGPD doit être interprété en ce sens que le traitement des données à caractère personnel des actionnaires d’une société anonyme peut servir à protéger les intérêts de tiers. Elle s’interroge également sur le point de savoir si les principes énoncés à l’article 5, paragraphe 1, du RGPD permettent à un État membre, lorsqu’il poursuit cet objectif, d’adopter un cadre juridique en vertu duquel toute personne peut obtenir les données à caractère personnel de tout actionnaire d’une société anonyme sans être tenue de démontrer un intérêt légitime à cet égard. En outre, cette juridiction se demande si l’article 5, paragraphe 1, sous b), du RGPD doit être interprété en ce sens que le traitement des données à caractère personnel des actionnaires d’une société anonyme peut servir à prévenir le blanchiment de capitaux ainsi que le financement du terrorisme et de la prolifération. À cet égard, selon le législateur letton, la mise à la disposition du grand public des données en cause a pour but de permettre à chacun de contribuer autant que possible à une telle prévention.

18. Enfin, la juridiction de renvoi cherche à déterminer si l’article 5, paragraphe 1, sous b), du RGPD doit être interprété en ce sens que le traitement des données à caractère personnel des actionnaires d’une société anonyme peut servir à fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union.

19. La juridiction de renvoi considère que la mise à la disposition du public des données à caractère personnel des actionnaires d’une société anonyme pourrait être appropriée, nécessaire et compatible avec la réalisation des objectifs légitimes susmentionnés. Toutefois, lorsque des données à caractère personnel sont mises à la disposition du public en ligne, il n’est pas possible de garantir qu’elles seront traitées de manière loyale ni qu’elles ne feront pas l’objet d’un traitement ultérieur incompatible avec les finalités susmentionnées, comme l’exige l’article 5, paragraphe 1, sous a) et b), du RGPD. Cette juridiction a donc des doutes quant à la question de savoir, d’une part, si la publicité en cause met dûment en balance les objectifs d’intérêt général poursuivis et les droits fondamentaux en jeu et, d’autre part, s’il existe des garanties suffisantes contre le risque d’utilisation abusive de telles données.

20. En vertu du droit letton, les informations à accès restreint ne peuvent être obtenues que sur demande écrite, laquelle doit être motivée et préciser la finalité pour laquelle ces informations seront utilisées. Lorsque de telles informations sont communiquées, le destinataire de celles-ci s’engage à les utiliser uniquement aux fins pour lesquelles elles ont été demandées (14). La communication de ces informations peut prendre plusieurs jours. Si la demande satisfait aux exigences de la loi et que les informations sont demandées uniquement sous forme électronique et ne nécessitent pas de traitement ultérieur, les informations sont fournies dans un délai de 10 jours. La juridiction de renvoi se demande donc si la procédure de demande d’informations à accès restreint peut être considérée comme un autre moyen par lequel les objectifs susmentionnés pourraient raisonnablement être atteints de manière aussi efficace.

21. Dans ces conditions, la Latvijas Republikas Satversmes tiesa (Cour constitutionnelle) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1) L’expression “personnes qui […] participent à l’administration, à la surveillance ou au contrôle de la société”, employée à l’article 14, sous d), de la directive 2017/1132, doit-elle être interprétée en ce sens qu’elle vise tout actionnaire d’une société anonyme, de sorte qu’un État membre est tenu d’assurer la publicité des informations relatives à tout actionnaire d’une société anonyme en les rendant accessibles au public dans un registre conformément à l’article 16, paragraphe 3, de cette directive ?

2) En cas de réponse affirmative à la première question, l’article 14, sous d), ii), de la directive 2017/1132, en ce qu’il prévoit la publicité d’informations concernant tout actionnaire d’une société anonyme, est-il valide au regard du droit au respect de la vie privée et familiale garanti par l’article 7 de la Charte et du droit à la protection des données à caractère personnel garanti par l’article 8 de cette Charte ?

3) L’article 5, paragraphe 1, sous b), du [RGPD] doit-il être interprété en ce sens que le traitement de données à caractère personnel relatives aux actionnaires d’une société anonyme peut être effectué aux fins, premièrement, de garantir un climat des affaires transparent et de protéger les intérêts des tiers, deuxièmement, de prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération et, troisièmement, de fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union ?

4) Les principes énoncés à l’article 5, paragraphe 1, du [RGPD] permettent-ils à un État membre de prévoir, aux fins susmentionnées, un cadre juridique en vertu duquel toute personne peut obtenir les données à caractère personnel de tout actionnaire d’une société anonyme sans être tenue de démontrer un intérêt légitime à cet égard ? »

IV. La procédure devant la Cour

22. Des observations écrites ont été déposées par les requérants A et autres, les gouvernements finlandais, letton, norvégien, polonais et suédois, le Parlement européen, le Conseil de l’Union européenne et la Commission européenne.

23. Les observations présentées par le gouvernement suédois (15), le Parlement et le Conseil et ne portent que sur les première et deuxième questions de la juridiction de renvoi.

V. Analyse

A. Sur les première et deuxième questions

24. Par sa première question, la Latvijas Republikas Satversmes tiesa (Cour constitutionnelle) cherche à savoir si l’article 14, sous d), ii), de la directive 2017/1132, qui vise les personnes qui « participent à l’administration, à la surveillance ou au contrôle de la société », doit être interprété en ce sens qu’il vise tout actionnaire d’une société anonyme (16) imposant ainsi aux États membres d’assurer la publicité des informations relatives à tout actionnaire d’une telle société et de les rendre accessibles au public dans un registre conformément à l’article 16, paragraphe 3, de la directive 2017/1132.

25. À cet égard, il convient tout d’abord de relever que, en vertu de l’article 14, sous d), de la directive 2017/1132, les États membres doivent prendre les mesures nécessaires pour que les sociétés publient obligatoirement la nomination, la cessation des fonctions ainsi que l’identité des personnes qui, en tant qu’organe légalement prévu ou en tant que membres de tel organe, ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice ou participent à l’administration, à la surveillance ou au contrôle de la société. Les parties et les intéressés ayant présenté des observations considèrent tous que l’article 14, sous d), ii), de la directive 2017/1132 ne saurait être interprété comme visant tout actionnaire d’une société anonyme.

26. Il convient de souligner que le litige au principal dont est saisie la juridiction de renvoi concerne un recours introduit par 17 actionnaires minoritaires. Je concentrerai donc mon analyse sur cette situation particulière. Conformément à une jurisprudence constante, il y a lieu, pour l’interprétation d’une disposition du droit de l’Union, de tenir compte, non seulement des termes de celle-ci, mais également des objectifs poursuivis par la réglementation dont elle fait partie ainsi que de son contexte (17).

27. L’article 14, sous d), de la directive 2017/1132 ne fait pas référence aux actionnaires ni à l’assemblée générale des actionnaires (18). En outre, l’expression « participent à l’administration, à la surveillance ou au contrôle de la société » figurant à l’article 14, sous d), ii), de la directive 2017/1132 n’est pas définie par celle-ci (19) et n’a pas encore été interprétée par la Cour. Malgré l’absence d’une telle ou de telles définitions, il ressort notamment des articles 60 et 64 de la directive 2017/1132 que, aux fins de cette directive, il existe une distinction entre l’organe d’administration ou de direction d’une société et l’assemblée générale de ses actionnaires. Cette distinction s’applique, à mon sens, a fortiori, aux actionnaires individuels.

28. En outre, les notions de « nomination » et de « cessation de fonctions » figurant à l’article 14, sous d), de la directive 2017/1132 sont incompatibles avec le statut même des actionnaires d’une société anonyme. En effet, si certains actionnaires peuvent être nommés au sein des organes concernés et exercer les fonctions visées à l’article 14, sous d), de la directive 2017/1132, l’obligation de publier, notamment, l’identité et les données à caractère personnel d’un actionnaire dans ce contexte découle directement de sa nomination au sein de l’organe concerné, de la cessation de ses fonctions ou du pouvoir d’exercer certaines attributions, et non de son simple statut d’actionnaire (20). En revanche, les actionnaires tirent leur statut, ainsi que les droits et obligations qui y sont attachés – notamment le droit d’assister et de voter à l’assemblée générale d’une société – du seul fait de leur détention d’actions de la société, et non d’une « nomination » au sein d’un « organe » de cette société. Les termes « nomination » et « cessation de fonctions », qui impliquent un mandat ou une fonction de responsabilité spécifique (21) au sein d’une société, sont donc incompatibles avec le statut d’actionnaire en tant que tel et avec les droits et obligations attachés à ce statut aux fins de l’article 14, sous d), de la directive 2017/1132.

29. Il résulte donc de son libellé et du contexte dans lequel il s’inscrit dans la directive 2017/1132 que l’article 14, sous d), ii), de celle-ci ne s’applique pas aux actionnaires en tant que tels.

30. En ce qui concerne les objectifs poursuivis par la directive 2017/1132, son article 1^er, deuxième tiret, prévoit que cette directive établit des mesures concernant « la coordination, pour les rendre équivalentes, des garanties qui sont exigées, dans les États membres, des sociétés au sens de l’article 54, deuxième alinéa, [TFUE], en vue de la protection des intérêts tant des associés que des tiers, en ce qui concerne la publicité, la validité des engagements et la nullité des sociétés par actions et des sociétés à responsabilité limitée » (22). L’article 14 de la directive 2017/1132 prévoit que, au moins (23), les actes et indications qu’il énumère doivent être obligatoirement publiés par les sociétés concernées. Ces actes et indications doivent, conformément à l’article 16, paragraphes 3 à 5, de cette directive, être versés au dossier ou transcrits au registre, être accessibles par l’obtention d’une copie intégrale ou partielle sur demande et faire l’objet d’une publicité assurée par la publication, soit intégrale ou par extrait soit sous forme d’une mention, dans le bulletin national, ou par une mesure d’effet équivalent (24).

31. Étant donné que l’objectif de la directive 2017/1132, et en particulier de son article 14, sous d), est de protéger les intérêts des actionnaires d’une société ainsi que ceux des tiers, en exigeant la publicité d’informations relatives à certaines personnes déterminées dont les fonctions ou les pouvoirs sont susceptibles d’être exercés au détriment de ces intérêts (25), je ne vois pas en quoi une transparence accrue quant à l’identité de chaque actionnaire – en particulier des actionnaires minoritaires, qui n’exercent aucune fonction ni aucun pouvoir particulier au sein de la société (26) – contribuerait à cet objectif.

32. À cet égard, la Cour a souligné dans l’arrêt Manni (27) que les données publiées en vertu, notamment, de l’article 2, paragraphe 1, sous d), de la directive 68/151 – qui correspond à l’article 14, sous d), de la directive 2017/1132 – ont un caractère limité (28). Une interprétation de l’article 14, sous d), de la directive 2017/1132 incluant les informations relatives à chaque actionnaire ne présenterait manifestement pas un tel caractère (29). Il ressort des considérants 3, 7 et 8 de la directive 2017/1132 que celle-ci n’assure qu’une harmonisation ou une coordination minimale de « certains aspects » (30) du droit des sociétés afin de protéger les actionnaires, les créanciers et d’autres tiers. Les États membres peuvent ainsi arrêter ou maintenir en vigueur des dispositions plus strictes ou supplémentaires dans le domaine du droit des sociétés, dans les limites du droit de l’Union (31), en particulier du RGPD (32) et du principe de proportionnalité.

33. Je considère donc que les termes « personnes qui […] participent à l’administration, à la surveillance ou au contrôle de la société », employés à l’article 14, sous d), de la directive 2017/1132, ne sauraient être interprétés comme visant tout actionnaire d’une société anonyme. Un État membre n’est pas tenu de publier les informations relatives à chaque actionnaire d’une société anonyme ni de les rendre accessibles au public dans le registre conformément à l’article 16, paragraphe 3, de la directive 2017/1132.

34. Étant donné que la deuxième question de la juridiction de renvoi ne se pose que si la première reçoit une réponse affirmative, je considère que la deuxième question relative à la validité de l’article 14, sous d), ii), de la directive 2017/1132 au regard des articles 7 et 8 de la Charte est sans objet.

B. Sur les troisième et quatrième questions

35. Par ses troisième et quatrième questions (33), la juridiction de renvoi cherche à savoir si l’article 5, paragraphe 1, du RGPD doit être interprété en ce sens qu’il autorise le traitement de certaines données à caractère personnel des actionnaires d’une société anonyme, consistant à les mettre à la disposition de toute personne sans qu’il soit nécessaire de démontrer un intérêt légitime à cet égard, aux fins de : i) garantir un climat des affaires transparent et protéger les intérêts des tiers ; ii) prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération et iii) fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union. À ce titre, la Latvijas Republikas Satversmes tiesa (Cour constitutionnelle) se demande si les principes de « limitation des finalités » et de « minimisation des données » figurant à l’article 5, paragraphe 1, sous b) et c), du RGPD (34) sont respectés (35).

36. Il ressort du dossier soumis à la Cour que l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques sur les actionnaires des sociétés anonymes de droit letton relève du champ d’application matériel du RGPD. L’article 2, paragraphe 1, de ce dernier prévoit que ce règlement s’applique à tout « traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier », sans établir de distinction en fonction de l’identité de l’auteur du traitement concerné. Il s’ensuit que, sous réserve des cas mentionnés à l’article 2, paragraphes 2 et 3, du RGPD, celui-ci s’applique aux traitements effectués tant par les personnes privées que par les autorités publiques (36).

37. Si tant est que le traitement de données à caractère personnel par les États membres, lorsqu’il intervient dans le cadre d’activités relevant du chapitre 2, titre V, du traité UE relatif à la politique étrangère et de sécurité commune, soit exclu du champ d’application matériel du RGPD, j’estime en revanche que ce règlement demeure applicable aux traitements de données à caractère personnel effectués dans le cadre d’activités entrant dans le champ d’application de l’article 215 TFUE (37). Il importe toutefois de souligner que certains droits de la personne concernée au titre du RGPD peuvent être limités conformément à l’article 23 de ce règlement. Par exemple, l’article 23, paragraphe 1, sous a), du RGPD prévoit que des restrictions peuvent être imposées dans certaines circonstances afin de préserver la sécurité nationale.

38. En l’occurrence, il est constant que l’obligation légale, prévue par le droit letton (38), de mettre à la disposition du grand public des informations sur les actionnaires de sociétés anonymes de droit letton – personnes physiques – y compris leur prénom, nom, numéro d’identification personnel, adresse de contact ou adresse électronique, le nombre et la valeur nominale de leurs actions et le nombre de votes attachés à ces actions, constitue un traitement de données à caractère personnel au sens de l’article 4, points 1 et 2, du RGPD (39).

39. Étant donné que les dispositions nationales en cause impliquent un traitement de données à caractère personnel relevant du champ d’application du RGPD, la République de Lettonie est notamment appelée à mettre en œuvre le RGPD. Il s’ensuit que l’accès de tout membre du grand public à ces données porte atteinte au droit fondamental des personnes concernées au respect de leur vie privée, garanti à l’article 7 de la Charte. En outre, la mise à la disposition du grand public de telles données constitue un traitement de données à caractère personnel relevant de l’article 8 de la Charte. Ainsi, la mise à la disposition de tiers des mêmes données à caractère personnel constitue une ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, quelle que soit l’utilisation ultérieure des informations communiquées. La Cour a toutefois précisé que, pour autant que les conditions d’un traitement licite de données à caractère personnel en vertu du RGPD sont réunies, ce traitement est, en principe, réputé satisfaire aux exigences fixées aux articles 7 et 8 de la Charte (40).

40. Il ressort de l’article 1^er, paragraphe 2, du RGPD, lu en combinaison avec les considérants 4 et 10 de celui-ci, que ce règlement a notamment pour objet de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel (41).

41. Le RGPD garantit une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement de leurs données à caractère personnel dans l’ensemble de l’Union. Tout traitement de données à caractère personnel doit, sous réserve des dérogations admises à l’article 23 du RGPD (42), respecter les principes régissant les traitements des données à caractère personnel ainsi que les droits de la personne concernée énoncés respectivement dans les chapitres II et III de ce règlement. En particulier, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes énoncés à l’article 5 du RGPD et, d’autre part, satisfaire aux conditions de licéité énumérées à l’article 6 du RGPD (43). En outre, les droits de la personne concernée figurant aux articles 12 à 22 du RGPD doivent être respectés (44).

42. Conformément à l’article 5, paragraphe 1, du RGPD, les données à caractère personnel doivent être traitées conformément à un certain nombre de principes déterminés. Ainsi, les données à caractère personnel doivent être traitées, notamment, de manière licite, loyale et transparente au regard de la personne concernée (45), être collectées pour des finalités déterminées, explicites et légitimes (46), être adéquates, pertinentes et limitées à ce qui est nécessaire au regard de ces finalités (47), être exactes et, si nécessaire, tenues à jour (48), être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (49) et être traitées de façon à garantir une sécurité appropriée des données à caractère personnel (50). Ces principes relatifs au traitement des données à caractère personnel sont applicables de manière cumulative (51).

43. L’article 6, paragraphe 1, premier alinéa, du RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite (52). Ainsi, un traitement doit relever de l’un des cas prévus dans cette disposition pour être légitime (53). Bien que la Latvijas Republikas Satversmes tiesa (Cour constitutionnelle) n’indique pas explicitement que le traitement des données à caractère personnel en cause dans la présente affaire est fondé sur l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, il s’agit du seul cas visé au premier alinéa de l’article 6, paragraphe 1, du RGPD auquel cette juridiction fait référence dans sa demande de décision préjudicielle (54). Dès lors que le traitement en cause trouve directement son fondement dans la législation nationale et est imposé par celle-ci (55), j’estime que ce traitement ne se fonde pas sur le critère selon lequel il doit être « nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement » (56), mais relève de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, dans la mesure où il est nécessaire au respect d’une obligation légale prévue par le droit d’un État membre – en l’occurrence le droit letton – à laquelle le responsable du traitement est soumis (57). L’autorité chargée de la tenue du registre du commerce d’un État membre, qui publie dans ce registre des données à caractère personnel soumises à la publicité obligatoire prévue par la directive 2017/1132, est le « responsable du traitement » de ces données, notamment du fait qu’elle en assure la mise à la disposition du public (58).

44. L’article 6, paragraphe 3, du RGPD précise, notamment, s’agissant des situations dans lesquelles un traitement est licite en vertu de l’article 6, paragraphe 1, premier alinéa, sous c) (59), que les finalités du traitement doivent être « définies dans cette base juridique » (60) et que ladite base juridique doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi (61).

45. Le dossier soumis à la Cour ne permet pas de savoir si l’exigence selon laquelle la ou les finalités du traitement doivent être « définies dans cette base juridique » a été respectée dans la présente affaire. Dans ses observations devant la juridiction de renvoi, l’autorité nationale de la protection des données a indiqué que la loi sur le registre des entreprises n’identifie pas la ou les finalités pour lesquelles le traitement des données à caractère personnel des actionnaires d’une société anonyme est nécessaire. Il incombe donc à la juridiction de renvoi de vérifier si cette exigence prévue à l’article 6, paragraphe 3, du RGPD est remplie pour chacune des trois finalités en cause. À défaut, le traitement de données à caractère personnel devra être regardé comme étant contraire à cette disposition (62). Compte tenu de la diversité des techniques de rédaction législative dans les 27 États membres, je considère qu’il est suffisant que la ou les finalités en cause puissent être définies « de manière suffisamment certaine » à partir du texte de la législation ou du contexte normatif dans lequel elle s’inscrit (63).

46. Les exigences prévues à l’article 6, paragraphe 3, du RGPD, selon lesquelles le traitement doit poursuivre un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi, traduisent celles énoncées à l’article 52, paragraphe 1, de la Charte et doivent être interprétées à la lumière de cette disposition. À cet égard, la Cour a jugé que les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, n’apparaissent pas comme étant des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. Selon une jurisprudence constante, la proportionnalité de mesures dont résulte une ingérence dans les droits garantis aux articles 7 et 8 de la Charte requiert le respect des exigences d’aptitude et de nécessité (64) ainsi que de celle ayant trait au caractère proportionné stricto sensu de ces mesures par rapport à l’objectif poursuivi (65). Il convient donc d’apprécier si la législation nationale en cause établit un juste équilibre entre les intérêts poursuivis par l’État membre et ceux des personnes lésées (66). Par conséquent, il convient de mesurer la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, et de vérifier si l’importance de l’objectif d’intérêt général poursuivi est en relation avec cette gravité (67).

47. Afin d’évaluer la gravité de cette ingérence, il doit notamment être tenu compte de la nature des données à caractère personnel en cause, en particulier de la nature éventuellement sensible de ces données, ainsi que de la nature et des modalités concrètes du traitement des données en cause, en particulier du nombre de personnes qui ont accès à ces données et des modalités d’accès à ces dernières (68).

48. Il n’est pas contesté que les informations mises à la disposition du grand public sur un actionnaire, personne physique, comprennent son prénom, son nom et son numéro d’identification personnel, l’adresse à laquelle il peut être contacté, son adresse électronique (69), la catégorie, le numéro et la valeur nominale des actions détenues par l’actionnaire, ainsi que le nombre de votes qui y sont attachés (70). Ces informations sont de nature, d’une part, à permettre d’établir un profil comprenant certains éléments d’identification personnelle et, d’autre part, au moins dans une certaine mesure, à révéler la situation patrimoniale de l’intéressé en Lettonie ainsi que les secteurs économiques et les entreprises spécifiques dans lesquels il a investi dans cet État. Les informations en cause sont aisément accessibles à un nombre potentiellement illimité de personnes, notamment en raison de leur disponibilité sur le site Internet du registre des entreprises. Leur accessibilité peut être libre pour des raisons étrangères aux finalités poursuivies par la législation nationale en cause (71), et elles peuvent être conservées, diffusées et faire l’objet d’un traitement ultérieur. L’accès aisé du grand public aux informations en cause expose les personnes concernées à un risque d’abus de leurs données à caractère personnel, rendant difficile, voire impossible, pour elles de se défendre efficacement contre de tels abus. L’accès litigieux constitue ainsi une ingérence grave dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte (72).

1. Sur l’existence d’un objectif d’intérêt général reconnu par l’Union

49. Les trois finalités de la législation nationale en cause, telles qu’indiquées par la juridiction de renvoi (73), relèvent, en principe, de l’intérêt public de l’Union et sont donc légitimes (74). Elles sont susceptibles de justifier des ingérences, même graves, dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, à condition de respecter le principe de proportionnalité (75).

50. En ce qui concerne l’objectif consistant à garantir un climat des affaires transparent et à protéger les intérêts des tiers, j’estime que la seule garantie d’un climat des affaires transparent constitue une aspiration plutôt vague et amorphe et ne peut, en tant que telle, être considérée comme une finalité légitime. Pour lever toute ambiguïté, je considère donc, sous réserve de vérification par la juridiction de renvoi, que la finalité pertinente de la législation lettone consiste à garantir un climat des affaires transparent afin de protéger les intérêts des tiers. À la lumière de l’article 50, paragraphe 2, sous g), TFUE (76) qui se réfère, en substance, à la protection des actionnaires et des tiers (77), la finalité en cause apparaît comme un objectif d’intérêt général reconnu par l’Union.

51. Dans l’arrêt Luxembourg Business Registers (78), la Cour a jugé que la prévention du blanchiment de capitaux et du financement du terrorisme, au moyen de l’accès du grand public aux informations sur les bénéficiaires effectifs, constitue un objectif d’intérêt général susceptible de justifier des ingérences, même graves, dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte (79). À mon sens, la logique qui sous-tend cet arrêt peut également être appliquée dans la présente affaire.

52. En ce qui concerne la publicité des informations nécessaires à la mise en œuvre des sanctions, la Cour a précisé que des mesures restrictives peuvent être imposées à l’exercice du droit à la liberté d’entreprise et du droit de propriété. Ces mesures doivent répondre à des objectifs d’intérêt général, tels que les objectifs de l’action extérieure de l’Union énoncés à l’article 21 TUE, et ne pas constituer, au regard du but poursuivi, une intervention démesurée et intolérable qui porterait atteinte à la substance même des droits ainsi garantis (80). J’estime, plus largement, que l’exécution de telles mesures restrictives, y compris l’adoption de mesures donnant accès aux informations nécessaires pour assurer cette exécution, constitue un objectif d’intérêt général reconnu par l’Union.

2. Sur le caractère approprié, nécessaire et proportionné de l’ingérence en cause au sens strict

a) L’objectif de garantir un climat des affaires transparent afin de protéger les intérêts des tiers

53. Pour les raisons que j’ai indiquées au point 31 des présentes conclusions, je ne considère pas que l’obligation prévue par le droit letton en cause, qui vise tout actionnaire d’une société anonyme, indépendamment du fait qu’il exerce une fonction ou détienne un pouvoir particulier au sein de celle-ci, contribue à promouvoir l’objectif consistant à garantir un climat des affaires transparent afin de protéger les intérêts des tiers. En outre, bien que la directive 2017/1132 n’ait pas pour ambition d’être exhaustive et se limite à harmoniser et coordonner certains aspects du droit des sociétés, rien dans le dossier soumis à la Cour n’indique que cette directive (81) se soit révélée insuffisante pour garantir un climat des affaires transparent afin de protéger les intérêts des tiers, ce qui justifierait l’adoption de la législation nationale en cause (82). Je considère donc que l’ingérence est à la fois peu appropriée et inutile. Je relève également que cette législation est disproportionnée stricto sensu, car elle ne parvient pas à établir un juste équilibre entre les intérêts poursuivis par le législateur letton et les intérêts des actionnaires.

b) Les objectifs de la création d’un environnement visant à promouvoir la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération, ainsi que la disponibilité des informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union

54. À mon sens, l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques concernant les actionnaires des sociétés anonymes de droit letton, ainsi que l’absence d’exigence corrélative de justifier d’un intérêt légitime à cet égard, constituent des mesures appropriées pour poursuivre les objectifs d’intérêt général visant à instaurer un environnement propice à la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération, ainsi qu’à garantir la disponibilité des informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union. Par analogie avec l’arrêt Luxembourg Business Registers, j’estime que le caractère public de l’accès en cause, ainsi que la transparence accrue qui en découle – laquelle permet un contrôle renforcé de la propriété des sociétés anonymes – contribuent à la réalisation de ces objectifs d’intérêt général (83).

55. Il convient ainsi de vérifier si ces deux objectifs pourraient raisonnablement être atteints de manière aussi efficace par d’autres mesures moins attentatoires aux droits des actionnaires des sociétés anonymes concernées (84) et si l’ingérence en cause est disproportionnée stricto sensu au regard de ces objectifs, ce qui implique, notamment, une mise en balance de l’importance de ces objectifs et de la gravité de cette ingérence.

56. S’agissant de l’objectif de créer un environnement propice à la prévention du blanchiment de capitaux et du terrorisme et du financement de la prolifération, la juridiction de renvoi considère que les personnes autres que les entités assujetties, énumérées à l’article 2 de la directive 2015/849 (85), « peuvent également avoir un intérêt légitime à exercer une vigilance à l’égard de la clientèle de leur propre initiative ». En outre, en vertu de l’article 3.¹ du Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un indulācijas finansēšanas novēršanas likums (loi relative à la prévention du blanchiment de capitaux, du terrorisme et du financement de la prolifération), l’obligation de signaler toute transaction suspecte incombe à des personnes autres que, notamment, les entités assujetties.

57. En ce qui concerne la mise en œuvre des sanctions, selon la juridiction de renvoi, le Conseil adopte des règlements, souvent assortis de mesures financières restrictives, qui prévoient, d’une part, le gel des fonds et ressources économiques des personnes et entités désignées et, d’autre part, l’interdiction de mettre des fonds et ressources économiques à la disposition de telles personnes et entités (86). En outre, l’accès aux informations sur tous les actionnaires d’une société anonyme peut se révéler nécessaire, dès lors que, conformément à l’article 2, paragraphe 2, de la loi sur les sanctions internationales et les sanctions nationales de la République de Lettonie (87), toute personne est tenue de respecter et de mettre en œuvre les sanctions internationales et nationales.

58. Je considère utile de rappeler que, dans l’arrêt Luxembourg Business Registers (88), la Cour a souligné que la lutte contre le blanchiment de capitaux et le financement du terrorisme incombe prioritairement aux autorités publiques ainsi qu’aux entités, telles que les établissements de crédit ou les établissements financiers, qui, en raison de leurs activités, se voient imposer des obligations spécifiques en la matière. En tout état de cause, l’article 30, paragraphe 5, de la directive 2015/849 garantit que non seulement les autorités compétentes, les cellules de renseignement financier de l’Union (89) et les entités assujetties, mais également toute personne ou organisation capable de démontrer un intérêt légitime ont accès aux informations sur les bénéficiaires effectifs (90), notamment, des sociétés (91).

59. En ce qui concerne les mesures restrictives, comme je l’ai indiqué dans mes conclusions dans l’affaire Čiekuri-Shishki (92), un règlement prévoyant ces mesures est principalement mis en œuvre par les organes de l’État possédant une compétence spécialisée particulière en matière de surveillance financière. Ces organes disposent des moyens nécessaires et sont donc habilités à mettre en œuvre les sanctions financières prévues, telles que le gel d’avoirs, l’interdiction d’octroyer des crédits ou d’effectuer des paiements à certaines personnes ou organismes. Il leur incombe d’ordonner les mesures concrètes à l’encontre des personnes et organismes figurant sur les listes visées par le règlement.

60. Toutefois, comme le rappellent les meilleures pratiques (93), « [t]outes les personnes et entités qui relèvent de la juridiction de l’Union sont tenues d’informer les autorités compétentes de toute information dont elles disposent et qui seraient susceptibles de faciliter l’application des mesures financières restrictives » (94). En outre, les règlements établissant des mesures restrictives interdisent de mettre, directement ou indirectement, des fonds ou des ressources économiques à la disposition de personnes ou d’entités désignées (95). Je considère que la mise en œuvre de cette obligation peut être réalisée par des moyens autres que le libre accès aux données à caractère personnel de tous les actionnaires, par exemple en demandant, au cas par cas, l’accès aux informations les concernant (96). En particulier, lorsqu’une personne a des raisons raisonnables de soupçonner qu’elle pourrait mettre directement ou indirectement des fonds ou des ressources économiques à la disposition de personnes ou d’entités désignées, elle a un intérêt légitime manifeste à demander les informations détenues à cet égard par le Registre des entreprises. Il convient également de souligner que, en l’absence d’un intérêt légitime, il serait excessif et disproportionné d’exiger de toute personne qu’elle vérifie en permanence l’identité de chacun des actionnaires de l’ensemble de ses partenaires commerciaux (97). Cela est d’autant plus évident que la composition de l’actionnariat d’une société anonyme peut évoluer fréquemment.

61. Il s’ensuit que, même si le libre accès du grand public aux informations relatives aux actionnaires des sociétés anonymes, tel que prévu par la législation lettone en cause, peut contribuer dans une certaine mesure à la lutte contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération, ainsi qu’à la mise en œuvre de sanctions nationales, internationales et de l’Union, je considère, par analogie avec l’arrêt Luxembourg Business Registers (98), qu’une telle mesure n’est pas strictement nécessaire pour atteindre ces objectifs. En outre, les bénéfices potentiels d’un tel traitement ne compensent pas l’ingérence grave dans les droits fondamentaux garantis par l’article 7 et 8 de la Charte (99).

62. Je tiens également à souligner que, étant donné que, conformément à l’article 3, point 6, de la directive 2015/849, le bénéficiaire effectif d’une société est la ou les personnes physiques qui possèdent ou contrôlent, notamment, 25 % des actions plus une du capital, le raisonnement de la Cour dans l’arrêt Luxembourg Business Registers s’applique a fortiori à la législation lettone en cause dans la présente affaire, qui exige la publicité d’informations sur chaque actionnaire d’une société anonyme indépendamment du fait qu’il détient ou non une participation de contrôle.

63. La juridiction de renvoi demande également si la procédure de demande d’informations à accès restreint, prévue par la loi sur la liberté d’information, peut être considérée comme un autre moyen permettant d’atteindre les objectifs en cause de manière tout aussi efficace. Il semblerait (100) que, conformément à l’article 11, paragraphe 4, et à l’article 14, paragraphe 1, point 1.¹, de la loi sur la liberté d’information, une personne puisse avoir accès aux informations concernant les actionnaires (101), pour autant qu’elle en fasse la demande par écrit, motive sa demande et indique la finalité pour laquelle les informations seront utilisées. Le destinataire de ces informations communiquées s’engage à les utiliser uniquement aux fins pour lesquelles elles ont été demandées. Si la demande d’informations satisfait aux exigences de la loi et que les informations sont demandées uniquement sous forme électronique et ne nécessitent pas de traitement ultérieur, ces informations sont fournies dans un délai de 10 jours. La juridiction de renvoi a toutefois précisé que le « Registre des entreprises, en tant que responsable du traitement des données à caractère personnel et dispensateur d’informations, n’est pas en mesure de vérifier si le demandeur d’informations a effectivement un intérêt légitime à obtenir les informations demandées. Dans une telle situation, l’exigence d’indiquer un intérêt légitime constitue un obstacle formel à l’obtention des informations » (102).

64. Il suffit de rappeler que le traitement de données à caractère personnel effectué sur le fondement de la loi sur la liberté d’information doit, aux fins de la lutte contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération (103) ainsi que de la mise en œuvre des sanctions, respecter le droit de l’Union, en particulier le RGPD et le principe de proportionnalité. Dès lors que l’article 30, paragraphe 5, de la directive 2015/849 exige que les informations relatives au bénéficiaire effectif soient accessibles non seulement, notamment, aux autorités compétentes et aux entités assujetties, mais également à toute personne ou organisation en mesure de démontrer un intérêt légitime, l’affirmation de la juridiction de renvoi selon laquelle le Registre des entreprises pourrait ne pas être en mesure de vérifier l’existence d’un tel intérêt (104) apparaît difficilement conciliable avec l’obligation incombant aux États membres en vertu de cette disposition (105).

65. En tout état de cause, la procédure d’accès aux informations relatives aux actionnaires conformément à l’article 11, paragraphe 4, et à l’article 14, paragraphe 1, point 1.¹, de la loi sur la liberté d’information (106), visée aux points 20 et 63 des présentes conclusions, ne semble pas excessivement lourde ni longue et vise à concilier in concreto les différents intérêts en présence. Il semblerait donc (107) que la procédure nationale en cause soit un moyen permettant d’atteindre les objectifs en question de manière tout aussi efficace.

66. Par conséquent, j’estime (108) que l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques sur les actionnaires des sociétés anonymes de droit letton et l’absence corrélative d’exigence de démontrer un intérêt légitime à cet égard, afin de créer un environnement contribuant à promouvoir la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération ainsi que la disponibilité des informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union, sont disproportionnées stricto sensu.

VI. Conclusion

67. Compte tenu de ce qui précède, je propose à la Cour de répondre aux questions posées par la Satversmes tiesa (Cour constitutionnelle, Lettonie) de la manière suivante :

1) L’article 14, sous d), et l’article 16, paragraphe 3, de la directive (UE) 2017/1132 du Parlement européen et du Conseil, du 14 juin 2017, relative à certains aspects du droit des sociétés,

doivent être interprétés en ce sens que l’expression « personnes qui […] participent à l’administration, à la surveillance ou au contrôle de la société », employée à l’article 14, sous d), de la directive 2017/1132, ne saurait être comprise comme visant tout actionnaire d’une société anonyme. Un État membre n’est pas tenu d’assurer la publicité des informations relatives à tout actionnaire d’une société anonyme en les rendant accessibles au public dans un registre conformément à l’article 16, paragraphe 3, de la directive 2017/1132.

2) Le règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), notamment ses article 5 et 6,

doit être interprété en ce sens qu’il s’oppose à une réglementation nationale qui prévoit le traitement de certaines données à caractère personnel des actionnaires d’une société anonyme, consistant à les mettre à la disposition de toute personne sans qu’il soit nécessaire de démontrer un intérêt légitime à cet égard, aux fins de garantir un climat des affaires transparent afin de protéger les intérêts des tiers, de prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération ainsi que de fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union.

---

1 Langue originale : l’anglais.

---

i Le nom de la présente affaire est un nom fictif. Il ne correspond au nom réel d’aucune partie à la procédure.

---

2 Déposée au greffe de la Cour le 19 novembre 2024.

---

3 Les 17 actionnaires concernés sont des personnes physiques.

---

4 Dans un souci de simplicité, je ferai également référence à ces sociétés en tant que sociétés anonymes.

---

5 Voir les dispositions de droit letton exposées au point 9 des présentes conclusions.

---

6 JO 2017, L 169, p. 46.

---

7 JO 2016, L 119, p. 1.

---

8 Cela concerne le financement de la prolifération des armes de destruction massive.

---

9 Pour ce qui est des modalités de cette procédure, voir point 20 des présentes conclusions. Voir, également, points 63 à 65 de celles-ci.

---

10 Arrêt du 22 novembre 2022, Luxembourg Business Registers (C-37/20 et C-601/20, EU:C:2022:912 ; ci-après l’« arrêt Luxembourg Business Registers »).

---

11 Du 13 avril 2000 (Latvijas Vēstnesis, 2000, n^o 158/160).

---

12 Du 20 novembre 1990 (Latvijas Republikas Augstākās Padomes un Valdības Ziņotājs, 1990, n^o 49).

---

13 Arrêt du 9 mars 2017, Manni (C-398/15, EU:C:2017:197 ; ci-après l’« arrêt Manni »).

---

14 Voir article 11, paragraphe 4, de la loi sur la liberté d’information.

---

15 Le gouvernement suédois a formellement présenté des observations sur la première question de la juridiction de renvoi. Toutefois, il a également estimé que l’article 14, sous d), ii), de la directive 2017/1132 est valide au regard des articles 7 et 8 de la Charte, abordant ainsi, dans ses observations, la deuxième question posée par cette juridiction.

---

16 Il ressort de l’article 13 de la directive 2017/1132 ainsi que de son annexe II – laquelle renvoie, pour la Lettonie, à « akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība » – que l’article 14, sous d), ii), et l’article 16, paragraphe 3, de cette directive s’appliquent, notamment, aux sociétés anonymes constituées en vertu du droit letton. À titre purement illustratif s’agissant de la version anglaise, il convient de relever que l’annexe II de ladite directive vise, pour l’Irlande, les « companies incorporated with limited liability ».

---

17 Voir, en ce sens, arrêt du 21 décembre 2023, DOBELES AUTOBUSU PARKS e.a. (C-421/22, EU:C:2023:1028, point 40).

---

18 À titre purement illustratif, voir article 72 de la directive 2017/1132, qui fait référence aux « actionnaires », à « l’assemblée générale » et à « l’organe d’administration ou de direction ». Il apparaît clairement que, pour l’application de cette directive, il s’agit de trois notions juridiques distinctes.

---

19 Voir, également, article 3, sous e), de la directive qui dispose ce qui suit : « Les statuts ou l’acte constitutif d’une société contiennent au moins les indications suivantes : […] dans la mesure où elles ne résultent pas de la loi, les règles qui déterminent le nombre et le mode de désignation des membres des organes chargés de la représentation de la société à l’égard des tiers, de l’administration, de la direction, de la surveillance ou du contrôle de la société, ainsi que la répartition des compétences entre ces organes ».

---

20 Voir, en sens contraire, article 1^er de la directive (UE) 2025/25 du Parlement européen et du Conseil, du 19 décembre 2024, modifiant les directives 2009/102/CE et (UE) 2017/1132 en ce qui concerne l’extension et l’amélioration de l’utilisation des outils et processus numériques dans le domaine du droit des sociétés (JO L, 2025/25), qui a remplacé l’article 3 de la directive 2009/102 et énonce ce qui suit : « Lorsque la société devient unipersonnelle par la réunion de toutes ses parts en une seule main, l’indication de ce fait ainsi que l’identité de l’associé unique sont versés au dossier ou transcrits dans le registre comme visé à l’article 16, paragraphes 1 et 2, de la directive [2017/1132], et sont mis à la disposition du public au moyen du système d’interconnexion des registres visé à l’article 16, paragraphe 1, de ladite directive ». Il s’ensuit que, lorsque le législateur de l’Union exige, conformément notamment à l’article 16 de la directive 2017/1132, que certaines informations sur les actionnaires individuels d’une société soient publiées dans un registre, il prévoit cette obligation de manière explicite.

---

21 Voir articles 106 et 152 de la directive 2017/1132 relatif à la responsabilité civile des membres des organes d’administration ou de direction d’une société dans certains cas.

---

22 La Cour a considéré qu’il ressort des considérants 7 et 8 de la directive 2017/1132 que la publicité prévue par celle-ci vise à protéger notamment les intérêts des tiers par rapport aux sociétés par actions et aux sociétés à responsabilité limitée, dès lors qu’elles n’offrent comme garantie à l’égard des tiers que leur patrimoine social. À cette fin, cette publicité doit permettre aux tiers de connaître les actes essentiels de la société concernée et certaines indications la concernant, notamment l’identité des personnes qui ont le pouvoir de l’engager (arrêt du 4 octobre 2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, point 77 ; ci-après l’« arrêt Agentsia po vpisvaniyata »).

---

23 Cela ressort de l’emploi de l’expression « au moins » à l’article 14 de la directive 2017/1132. Voir, également, la référence aux « actes essentiels » au considérant 8 de cette directive.

---

24 Voir arrêt Agentsia po vpisvaniyata, point 53.

---

25 Voir considérants 3, 7 et 8 de la directive 2017/1132. Le considérant 3 renvoie à la protection des créanciers, tandis que les considérants 7 et 8 ainsi que l’article 14, sous d), i), de la directive 2017/1132 visent les tiers. J’estime que, bien que ces termes ne soient pas synonymes, les tiers susceptibles d’avoir le plus besoin de protection au titre de la directive 2017/1132 sont les créanciers de la société. Toutefois, le libellé même de l’article 50, paragraphe 2, sous g), TFUE, qui constitue l’un des fondements juridiques de cette directive, mentionne l’objectif de protection des intérêts des tiers en général sans distinguer ou exclure certaines catégories parmi ceux-ci, de sorte que la notion de tiers visée à cette disposition ne saurait notamment être réduite aux seuls créanciers de la société concernée. Voir, par analogie, l’arrêt Manni, point 51.

---

26 Les termes « ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice » et « participent à l’administration, à la surveillance ou au contrôle de la société », figurant à l’article 14, sous d), de la directive 2017/1132, peuvent être compris selon le principe noscitur a sociis. Le législateur de l’Union entendait ainsi qu’ils soient appréhendés de manière similaire. Or, la simple qualité d’actionnaire minoritaire d’une société anonyme, à elle seule, n’autorise pas un actionnaire à engager la société à l’égard des tiers et de la représenter en justice.

---

27 L’arrêt Manni portait sur l’interprétation de la première directive 68/151/CEE du Conseil, du 9 mars 1968, tendant à coordonner, pour les rendre équivalentes, les garanties qui sont exigées, dans les États membres, des sociétés au sens de l’article 58 deuxième alinéa du traité, pour protéger les intérêts tant des associés que des tiers (JO 1968, L 65, p. 8), telle que modifiée, et sur celle de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31). La directive 68/151 a été abrogée et remplacée par la directive 2009/101/CE du Parlement européen et du Conseil, du 16 septembre 2009, tendant à coordonner, pour les rendre équivalentes, les garanties qui sont exigées, dans les États membres, des sociétés au sens de l’article 48, deuxième alinéa, du traité, pour protéger les intérêts tant des associés que des tiers (JO 2009, L 258, p. 11), telle que modifiée par la directive 2012/17/UE du Parlement européen et du Conseil, du 13 juin 2012, modifiant la directive 89/666/CEE du Conseil et les directives 2005/56/CE et 2009/101/CE du Parlement européen et du Conseil en ce qui concerne l’interconnexion des registres centraux, du commerce et des sociétés (JO 2012, L 156, p. 1). La directive 95/46 a été abrogée et remplacée par le RGPD.

---

28 Voir point 58. Cette affaire portait non seulement sur la publicité de l’identité et des fonctions des personnes habilitées à engager la société concernée, à la représenter ou à participer à son administration, à sa surveillance ou à son contrôle, mais également sur la publicité d’informations relatives à la nomination des liquidateurs et à leurs pouvoirs. Voir, en sens contraire, l’arrêt Luxembourg Business Registers, points 63 à 88, dans lequel la Cour a jugé, en substance, que l’obligation faite aux États membres de garantir, en toutes circonstances, l’accès du grand public aux informations relatives à l’identité du bénéficiaire effectif ainsi qu’à la nature et à l’étendue de ses intérêts effectifs détenus dans des sociétés ou d’autres entités juridiques méconnaissait le principe de proportionnalité, dès lors que l’ingérence ainsi opérée dans les droits consacrés aux articles 7 et 8 de la Charte n’était pas limitées à ce qui était strictement nécessaire pour prévenir l’utilisation du système financier à des fins de blanchiment de capitaux ou de financement du terrorisme et se révélait disproportionnée stricto sensu.

---

29 Il me semble également qu’une publicité aussi étendue s’accorde difficilement avec la notion de « société anonyme ». Cela se comprend d’autant mieux à la lecture des termes espagnols, français et portugais – « sociedad anónima », « société anonyme » et « sociedade anónima de responsabilidade limitada » – tels qu’ils sont utilisés dans l’annexe II de la directive 2017/1132.

---

30 Voir l’intitulé même de la directive 2017/1132.

---

31 Voir, par analogie, arrêt du 18 avril 2024, Citadeles nekustamie īpašumi (C-22/23, EU:C:2024:327, point 48).

---

32 Conformément à l’article 161 de la directive 2017/1132, tel que modifié par la directive (UE) 2019/1151 du Parlement européen et du Conseil, du 20 juin 2019, modifiant la directive (UE) 2017/1132 en ce qui concerne l’utilisation d’outils et de processus numériques en droit des sociétés (JO 2019, L 186, p. 80), le traitement de toute donnée à caractère personnel effectué dans le cadre de cette directive est soumis au RGPD.

---

33 Il me paraît judicieux de répondre à ces deux questions conjointement.

---

34 Pour répondre aux questions de la juridiction de renvoi, j’estime nécessaire d’examiner d’autres dispositions du RGPD, notamment son article 6.

---

35 Il y a lieu de rappeler que le système de coopération établi à l’article 267 TFUE est fondé sur une nette séparation des fonctions entre les juridictions nationales et la Cour. Dans le cadre d’une procédure introduite en vertu de cet article, l’interprétation des dispositions nationales appartient aux juridictions des États membres et non à la Cour et il n’incombe pas à cette dernière de se prononcer sur la compatibilité de normes de droit interne avec les dispositions du droit de l’Union. En revanche, la Cour est compétente pour fournir à la juridiction nationale tous les éléments d’interprétation relevant du droit de l’Union qui permettent à celle-ci d’apprécier la compatibilité de normes de droit interne avec la réglementation de l’Union (arrêt du 11 septembre 2025, Cairo Network e.a., C-764/23 à C-766/23, EU:C:2025:691, point 43).

---

36 Arrêt du 2 mars 2023, Norra Stockholm Bygg, C-268/21, EU:C:2023:145, point 26 et jurisprudence citée). La Cour a relevé que la définition du champ d’application matériel du RGPD, telle qu’elle est énoncée à son article 2, paragraphe 1, est très large et que les exceptions à ce champ d’application, prévues à son article 2, paragraphe 2, doivent recevoir une interprétation stricte (arrêt du 30 mars 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C-34/21, EU:C:2023:270, point 33 et jurisprudence citée).

---

37 Voir, par analogie, arrêt du 6 octobre 2020, Bank Refah Kargaran/Conseil (C-134/19 P, EU:C:2020:793, points 29, 30 et 37). Pour une explication de la relation entre le chapitre 2, titre V, du traité UE et l’article 215 TFUE, voir mes conclusions dans l’affaire Čiekuri-Shishki (C-480/24, EU:C:2025:672, points 27, 28, 32 et 33).

---

38 Voir article 235, paragraphe 1, du code de commerce ainsi qu’article 4.¹⁰, cinquième alinéa, article 4.¹¹, premier alinéa, point 2, article 4.¹⁵, premier alinéa, point 2), sous b), et article 4.¹⁵, premier alinéa, point 3, sous a), de la loi sur le registre des entreprises.

---

39 Voir, par analogie, arrêts du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C-175/20, EU:C:2022:124, points 30 à 38), et du 1^er août 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, point 65). Voir, également, arrêt du 3 avril 2025, Ministerstvo zdravotnictví (Données relatives au représentant d’une personne morale) (C-710/23, EU:C:2025:231, points 22 à 31 ainsi que jurisprudence citée).

---

40 Voir, par analogie, arrêt du 5 juin 2023, Commission/Pologne (Indépendance et vie privée des juges) (C-204/21, EU:C:2023:442, points 327 à 329 et 332 ainsi que jurisprudence citée).

---

41 Arrêt du 5 juin 2023, Commission/Pologne (Indépendance et vie privée des juges) (C-204/21, EU:C:2023:442, point 332).

---

42 Voir, également, considérant 73 du RGPD.

---

43 Arrêts du 6 octobre 2020, La Quadrature du Net e.a. (C-511/18, C-512/18 et C-520/18, EU:C:2020:791, points 207 et 208 ainsi que jurisprudence citée), et du 3 avril 2025, Ministerstvo zdravotnictví (Données relatives au représentant d’une personne morale) (C-710/23, EU:C:2025:231, point 33).

---

44 Arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative) (C-757/22, EU:C:2024:598, point 49 et jurisprudence citée). Voir, toutefois, article 23 du RGPD.

---

45 Voir article 5, paragraphe 1, sous a), du RGPD.

---

46 Voir article 5, paragraphe 1, sous b), du RGPD. Cette disposition consacre le principe de limitation des finalités. Voir, également, article 8, paragraphe 2, de la Charte, qui exige que les données à caractère personnel soient traitées loyalement à des fins déterminées.

---

47 Voir article 5, paragraphe 1, sous c), du RGPD. Cette disposition consacre le principe de minimisation des données, qui constitue une déclinaison du principe de proportionnalité. Voir, en ce sens, arrêt du 9 janvier 2025, Mousse (C-394/23, EU:C:2025:2, point 24 et jurisprudence citée). Compte tenu du principe de minimisation des données, le responsable du traitement est, notamment, tenu de limiter au strict nécessaire, à l’aune de l’objectif du traitement envisagé, la période de collecte des données à caractère personnel en cause. Le responsable du traitement ne peut procéder, de manière généralisée et indifférenciée, à la collecte de données à caractère personnel et qu’il doit s’abstenir de collecter des données qui ne sont pas strictement nécessaires au regard des finalités du traitement [arrêt du 4 octobre 2024, Schrems (Communication de données au grand public), C-446/21, EU:C:2024:834, points 52 et 59 ainsi que jurisprudence citée].

---

48 Voir article 5, paragraphe 1, sous d), du RGPD.

---

49 Voir article 5, paragraphe 1, sous e), du RGPD.

---

50 Voir article 5, paragraphe 1, sous f), du RGPD.

---

51 Arrêt du 20 octobre 2022, Digi (C-77/21, EU:C:2022:805, point 47). En outre, conformément à l’article 5, paragraphe 2, du RGPD, il incombe au responsable du traitement de démontrer que ces données sont collectées conformément à l’article 5, paragraphe 1. C’est ce que l’on appelle le « principe de responsabilité » (arrêt du 14 mars 2024, Újpesti Polgármesteri Hivatal, C-46/23, EU:C:2024:239, point 32 et jurisprudence citée).

---

52 Arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C-439/19, EU:C:2021:504, point 99 et jurisprudence citée).

---

53 L’article 6, paragraphe 1, premier alinéa, du RGPD recouvre donc le principe de licéité du traitement énoncé à l’article 5, paragraphe 1, sous a), de ce règlement, tout en en étendant la portée. Voir, en ce sens, arrêt du 20 octobre 2022, Digi (C-77/21, EU:C:2022:805, points 49 et 59 à 59, ainsi que jurisprudence citée).

---

54 La Commission considère qu’il ressort de la demande de décision préjudicielle que le traitement en cause est fondé sur l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD. Le gouvernement norvégien soutient que les dispositions nationales sur lesquelles repose la quatrième question constituent une « obligation légale » de traiter les informations en cause conformément à l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD. Cependant, les gouvernements polonais et finlandais invoquent également l’article 6, paragraphe 1, premier alinéa, sous e), du RGPD.

---

55 Voir, en particulier, article 4.¹⁰, cinquième alinéa, article 4.¹¹, premier alinéa, point 2, article 4.¹⁵, premier alinéa, points 2, sous b), ainsi qu’article 4.¹⁵, premier alinéa, point 3, sous a), de la loi sur le registre des entreprises.

---

56 Voir article 6, paragraphe 1, premier alinéa, sous e), du RGPD. Cette disposition s’apparente, dans une certaine mesure, à la clause de flexibilité prévue à l’article 352 TFUE, qui permet, sous certaines conditions, l’adoption de mesures nécessaires à la réalisation d’un objectif légitime même si leur adoption n’est pas spécifiquement prévue.

---

57 Voir, par analogie, arrêts du 5 juin 2023, Commission/Pologne (Indépendance et vie privée des juges) (C-204/21, EU:C:2023:442, point 339 et jurisprudence citée), et du 1^er août 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, point 71). Voir, en sens contraire, l’arrêt Agentsia po vpisvaniyata, points 107 à 110, dans lesquels la Cour a estimé que le traitement de données à caractère personnel n’était pas fondé sur une obligation légale prévue par le droit de l’Union ou par le droit d’un État membre, mais semblait être effectué dans le cadre d’une mission d’intérêt public au sens de l’article 6, paragraphe 1, premier alinéa, sous e), du RGPD.

---

58 Voir l’arrêt Agentsia po vpisvaniyata, point 83. Voir également, par analogie, arrêt du 11 janvier 2024, État belge (Données traitées par un journal officiel) (C-231/22, EU:C:2024:7, points 35 à 38).

---

59 Un tel traitement doit être regardé comme étant prévu par la loi, au sens de l’article 52, paragraphe 1, de la Charte (arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija, C-184/20, EU:C:2022:601, point 72).

---

60 Dans ses conclusions dans l’affaire I. (Vente d’une base de données) (C-693/22, EU:C:2024:162, point 68), l’avocat général Pikamäe considère que cela implique, en particulier, l’existence de dispositions juridiques mentionnant explicitement la nature et l’objet du traitement.

---

61 L’arrêt Agentsia po vpisvaniyata, point 104. Voir également article 5, paragraphe 1, sous b), du RGPD, qui consacre le principe de limitation des finalités et prévoit que les données à caractère personnel doivent être collectées pour des « finalités déterminées, explicites et légitimes ». Aux termes du considérant 39 du RGPD, « les finalités spécifiques du traitement des données à caractère personnel devraient être explicites et légitimes, et déterminées lors de la collecte des données à caractère personnel. […] ».

---

62 Voir, également, article 5, paragraphe 1, sous b), du RGPD.

---

63 Voir, par analogie, arrêt du 11 janvier 2024, État belge (Données traitées par un journal officiel) (C-231/22, EU:C:2024:7, point 30).

---

64 Dès lors, il y a lieu de vérifier si l’ingérence dans les droits garantis aux articles 7 et 8 de la Charte qui résulte de l’accès du grand public aux informations sur chaque actionnaire est limitée au strict nécessaire, en ce sens que l’objectif ne pourrait raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires à ces droits fondamentaux des personnes concernées Voir, par analogie, l’arrêt Luxembourg Business Registers, point 66.

---

65 Voir, par analogie, l’arrêt Luxembourg Business Registers, point 63 et jurisprudence citée.

---

66 Arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, points 69 et 70 ainsi que jurisprudence citée), et l’arrêt Luxembourg Business Registers, points 59 à 66 ainsi que jurisprudence citée. Voir, également, considérant 4 du RGPD.

---

67 Arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, point 98).

---

68 Arrêt du 1^er août 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, points 98 et 99 ainsi que jurisprudence citée). Voir, également, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C-252/21, EU:C:2023:537, point 134) sur la pertinence de l’étendue du traitement en cause.

---

69 Si la personne concernée a demandé à ce que l’entreprise l’utilise pour communiquer avec elle.

---

70 Voir article 235, paragraphe 1, du code de commerce.

---

71 Ainsi que l’indique la juridiction de renvoi.

---

72 Voir, par analogie, l’arrêt Luxembourg Business Registers, points 41 à 44 ainsi que jurisprudence citée.

---

73 Dans ses conclusions dans l’affaire Digi (C-77/21, EU:C:2022:248, point 40), l’avocat général Pikamäe a relevé qu’il est tout à fait concevable, en pratique, que des données à caractère personnel puissent être collectées ou traitées ultérieurement pour plusieurs finalités, ce que le RGPD envisage et admet clairement comme en témoigne le libellé de son article 5, paragraphe 1, sous b), et l’article 6 paragraphe 1, sous a), ainsi que ses considérants 32 et 50.

---

74 Voir, par analogie, arrêt du 5 juin 2023, Commission/Pologne (Indépendance et vie privée des juges) (C-204/21, EU:C:2023:442, point 353).

---

75 Voir, par analogie, l’arrêt Luxembourg Business Registers, point 59 et jurisprudence citée.

---

76 Cette disposition constitue l’une des bases juridiques de la directive 2017/1132.

---

77 Voir, également, l’arrêt Manni, points 49 et 51, qui établit un lien entre, d’une part, l’accès aux informations essentielles relatives à la constitution des sociétés commerciales et aux pouvoirs des personnes habilitées à les représenter et, d’autre part, la protection, de manière générale, des intérêts des tiers.

---

78 Voir points 58 et 59 ainsi que jurisprudence citée, et conclusions de l’avocat général Pitruzzella dans les affaires jointes Luxembourg Business Registers (C-37/20 et C-601/20, EU:C:2022:43, points 143 à 145 et jurisprudence citée). Voir, par analogie, arrêt du 2 mars 2023, PrivatBank e.a. (C-78/21, EU:C:2023:137, point 61).

---

79 Voir, également, directive (UE) 2015/849 du Parlement Européen et du Conseil, du 20 mai 2015, relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) n^o 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission (JO 2015, L 141, p. 73) et directive (UE) 2024/1640 du Parlement européen et du Conseil, du 31 mai 2024, relative aux mécanismes à mettre en place par les États membres pour prévenir l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant la directive (UE) 2019/1937, et modifiant et abrogeant la directive (UE) 2015/849 (JO L, 2024/1640). Il y a lieu de rappeler que l’article 43 de la directive 2015/849 énonce que « [l]e traitement de données à caractère personnel sur la base de la présente directive aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme visés à l’article 1^er est considéré comme une question d’intérêt public au titre [du RGPD] ».

---

80 Voir, en ce sens, arrêt du 28 mars 2017, Rosneft (C-72/15, EU:C:2017:236, points 148 à 150).

---

81 Et la législation nationale qui la transpose.

---

82 Il appartient à la juridiction de renvoi de vérifier ce point.

---

83 Voir l’arrêt Luxembourg Business Registers, point 67. Voir également, par analogie, arrêts du 1^er août 2022, Vyriausioji tarnybinės etikos komisija (C-184/20, EU:C:2022:601, point 83), et du 5 juin 2023, Commission/Pologne (Indépendance et vie privée des juges) (C-204/21, EU:C:2023:442, points 367).

---

84 Pour le respect de leur vie privée et la protection de leurs données à caractère personnel.

---

85 Les entités assujetties disposent d’un accès dans le cadre des obligations de vigilance à l’égard de la clientèle. Voir, en particulier, chapitre II de cette directive.

---

86 Voir, en ce sens, point 30 des mesures restrictives (sanctions) du Secrétariat générale du Conseil – Mise à jour des meilleures pratiques de l’UE en ce qui concerne la mise en œuvre effective de mesures restrictives, 11623/24, disponible à l’adresse Internet suivante : https://data.consilium.europa.eu/doc/document/ST%20116232024-INIT/fr/pdf (ci-après les « meilleures pratiques »).

---

87 Voir les observations du gouvernement letton, point 40. Voir, également, article 5 de la loi sur les sanctions internationales et les sanctions nationales de la République de Lettonie.

---

88 Voir point 83.

---

89 Elles ont accès aux informations en question dans tous les cas, sans restriction.

---

90 Tels que définis à l’article 3, point 6, de la directive 2015/849.

---

91 Cela doit être mis en relation avec d’autres informations relatives aux sociétés, accessibles au public, telles que celles prévues par la directive 2017/1132.

---

92 C-480/24, EU:C:2025:672, point 34.

---

93 Voir point 41.

---

94 Souligné par mes soins.

---

95 Voir également, à titre d’illustration, article 2, paragraphe 2, du règlement (UE) n° 269/2014 du Conseil, du 17 mars 2014, concernant des mesures restrictives eu égard aux actions compromettant ou menaçant l’intégrité territoriale, la souveraineté et l’indépendance de l’Ukraine (JO 2014, L 78, p. 6), tel que modifié par le règlement d’exécution (UE) 2022/1985 du Conseil, du 20 octobre 2022, mettant en œuvre le règlement (UE) n^o 269/2014 concernant des mesures restrictives eu égard aux actions compromettant ou menaçant l’intégrité territoriale, la souveraineté et l’indépendance de l’Ukraine (JO 2022, L 272I, p. 1). Voir, par analogie, arrêt du 17 janvier 2019, SH (C-168/17, EU:C:2019:36, points 51 et 53 ainsi que jurisprudence citée).

---

96 Voir, notamment, la procédure de demande d’informations à accès restreint, prévue par la loi sur la liberté d’information, ainsi que ses limites, exposées aux points 20 et 63 à 65 des présentes conclusions.

---

97 Qui sont des sociétés anonymes.

---

98 Voir point 76 de cet arrêt.

---

99 Voir, par analogie, l’arrêt Luxembourg Business Registers, point 85.

---

100 Sous réserve de vérification par la juridiction de renvoi.

---

101 Dans sa demande de décision préjudicielle, la juridiction de renvoi se réfère aux « informations à accès restreint ».

---

102 Mis en italique par mes soins.

---

103 La directive 2015/849 ne procède qu’à une harmonisation minimale, puisque son article 5 autorise les États membres à arrêter ou à maintenir en vigueur des dispositions plus strictes, dès lors que ces dispositions visent à renforcer la lutte contre le blanchiment de capitaux et le financement du terrorisme, dans les limites du droit de l’Union (arrêt du 2 mars 2023, PrivatBank e.a., C-78/21, EU:C:2023:137, point 64).

---

104 Bien que cela concerne les actionnaires de manière générale.

---

105 Voir l’arrêt Luxembourg Business Registers, point 72. Voir, également, article 30, paragraphe 3, de la directive 2015/849.

---

106 Il ne ressort pas du dossier soumis à la Cour quelle relation, le cas échéant, existe entre ces dispositions.

---

107 Sous réserve de vérification par la juridiction de renvoi.

---

108 Sous réserve des vérifications incombant à la juridiction de renvoi.