Droit à l’oubli et inscription au registre du commerce : conflit entre le droit des tiers à l’information et la protection des données personnelles

A mesure que le droit des données personnelles prend de l’importance, des problèmes de conflits avec d’autres droits sont susceptibles d’apparaître. L’arrêt du 9 mars 2017 rendu par la CJUE (Camera di commercio c/ Salcatore Manni, n° C-398/15) en est une bonne illustration.

En l’espèce, un dirigeant d’une société italienne a saisi la chambre de commerce de Lecce dans le but de faire retirer, de rendre anonyme ou de bloquer l’accès aux tiers les données qui le liaient à une procédure de faillite.

En effet, il était mentionné en tant qu’administrateur unique, puis liquidateur d’une société immobilière ayant fait faillite en 1992 et dont la procédure de liquidation avait été clôturée en 2005. Il estimait que cette mention du registre du commerce italien avait été traitée par une société spécialisée dans la collecte et le traitement d’informations de marché et dans l’évaluation des risques.

Le Tribunale di Lecce a fait droit à sa demande et a ordonné à la chambre commerciale de rendre anonyme les données liées au requérant.

La Cour de cassation italienne a décidé de saisir la CJUE d’une question préjudicielle. Il était demandé si les règles de protection des données personnelles issues de la directive 95/46, s’opposaient à la mise en place d’un système de publicité légale, dans un registre des sociétés, prévu par la directive 68/151, sans limitation de temps et accessible par des tiers.

Il était bien question du traitement des données par la chambre de commerce et son accessibilité aux tiers, et non pas du traitement effectué par une société privée spécialisée dans l’évaluation des risques. La chambre de commerce est qualifiée par la Cour de responsable du traitement des données au sens de la directive 95/46. Le fait que le registre ne prévoit pas de limitation de temps de conservation des données pouvait être considéré comme dépassant la durée nécessaire à la réalisation des finalités de la collecte de données au sens de cette directive.

L’originalité de l’affaire tenait également dans le conflit entre deux directives, dont l’une préexistait à la directive relative aux données personnelles. Il est à noter que cette première directive 68/151 du 9 mars 1968 a été modifiée par une directive 2012/17 et précise que le traitement des données dans le cadre de cette directive est soumis à la directive 95/46/CE relative aux données personnelles. Cependant, l’affaire est antérieure à cette modification.

En matière de données personnelles, la CJUE a cependant déjà précisé que la circonstance que ces informations s’inscrivent dans le contexte d’une activité professionnelle n’est pas de nature à ôter la qualification de données personnelles (CJUE 16 juillet 2015, ClientEarth et PAN Europe/ EFSA, C-615/13).

Il existait donc un conflit entre les droits de la personne concernant le traitement de ces données personnelles, prévues notamment par l’article 8 de la Charte fondamentale des droits de l’Union (voir également l’arrêt du 6 octobre 2015, Schrems, C-362/14), et la sécurité juridique dans les rapports entre la société et les tiers, prévue par la directive 68/151/CEE.

En outre, la CJUE a précisé que la directive 95/46 visait à garantir un niveau élevé de protection des libertés et droits fondamentaux des personnes physiques (CJUE, 13 mai 2014, Google Spain, C-131/12). Concernant la protection des tiers, visée par la directive 68/151, la Cour précise que la directive vise à permettre l’information à tous tiers intéressés, sans que ceux-ci aient à justifier d’un intérêt particulier, et sans distinguer par catégories de tiers (créanciers ou non, voir CJUE 4 décembre 1997, Daihatsu Deutschland, C-97/96).

Pour résoudre ce conflit, la Cour vérifie alors si la conservation et l’accessibilité des données sans limites n’est pas une atteinte disproportionnée aux droits de protection des données et de respect de la vie privée des personnes concernées.

Elle note d’abord que la conservation des données est parfois nécessaire après la dissolution de la société, des droits et des relations juridiques pouvant subsister au-delà, notamment en cas de litige. Dès lors, le droit à l’oubli ne saurait justifier le droit d’obtenir, par principe, après un certain temps postérieur à la dissolution de la société, l’effacement des données à caractère personnel.

Elle estime par ailleurs qu’il ne s’agit pas d’une atteinte disproportionnée dans la mesure où les informations collectées sont limitées à l’identité et à la fonction de la personne ayant pouvoir d’engager la société à l’égard des tiers.

Enfin, ces mesures sont proportionnées à l’objectif de protection des tiers. Ces informations favorisent les échanges économiques avec les sociétés à responsabilité limitée.

La Cour admet cependant que le droit national puisse prévoir une limitation d’accès aux données dans des situations « particulières dans lesquelles des raisons prépondérantes et légitimes tenant au cas concret de la personne concernée justifient exceptionnellement que l’accès aux données à caractère personnel la concernant inscrites dans le registre soit limité, à l’expiration d’un délai suffisamment long après la dissolution de la société en question, aux tiers justifiant d’un intérêt spécifique à leur consultation ».

Cependant, la Cour précise que la situation personnelle du requérant et la raison qu’il invoque pour s’opposer au traitement (la mévente de ses immeubles) ne peuvent constituer une raison prépondérante et légitime permettant de justifier la limitation de l’accès au registre du commerce.

Ainsi, la Cour valide donc la conservation des données sur le registre du commerce même après la dissolution de la société.

Toutefois, il est à noter que cet arrêt est rendu sur le fondement de la directive 95/46. Or, le règlement 2016/679/UE entrera bientôt en application. Ce règlement prévoit un droit à l’oubli et un droit à la limitation du traitement aux articles 17 et 18. Il prévoit également un droit d’opposition au traitement des données dans le cas d’un « traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement », et d’un « traitement qui est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ».

Dans ces cas-là, « la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière ». « Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice ».

L’arrêt commenté aidera donc à déterminer ce qui relève de la « situation particulière » justifiant à la personne concernée de s’opposer au traitement de ces données, et à mesurer la balance des intérêts en cas d’opposition au traitement.

Pour autant, les situations de conflit entre un droit donné et le droit des données personnelles sont nombreuses et souvent difficiles à résoudre.