CJUE – Agentsia po vpisvaniyata – C-200/23

Décision

Autorité:

Cour de Justice de l'UE

Numéro:

C-200/23

Nom:

Agentsia po vpisvaniyata

Date:

4 octobre 2024

Pays:

Bulgarie

Lien:

Cliquer ici

Contexte

OL est associée de « Praven Shtit Konsulting » OOD, société à responsabilité limitée de droit bulgare, qui a été inscrite le 14 janvier 2021 au registre du commerce à la suite de la présentation d’un contrat de société, daté du 30 décembre 2020 et signé par les associés de cette société (ci-après le « contrat de société concerné »). Ce contrat, contenant les nom, prénom, numéro d’identification, numéro de carte d’identité, date et lieu de délivrance de cette carte ainsi que l’adresse d’OL et sa signature, a été mis à la disposition du public par l’agence tel qu’il avait été présenté.

Le 8 juillet 2021, OL a demandé à l’agence de radier les données à caractère personnel la concernant figurant dans ledit contrat de société en précisant que, si le traitement de ces données reposait sur son consentement, elle le retirait. En l’absence de réponse de l’agence, OL a saisi l’Administrativen sad Dobrich (tribunal administratif de Dobrich, Bulgarie), lequel a, par un jugement du 8 décembre 2021, fait droit à sa demande.

En exécution de ce jugement, et d’un jugement analogue concernant l’autre associé ayant effectué la même démarche, l’agence a, par un courrier du 26 janvier 2022, indiqué qu’une copie certifiée conforme du contrat de société concerné occultant les données à caractère personnel des associés, à l’exception de celles requises par la loi, devait lui être transmise pour qu’il puisse être fait droit à la demande de radiation de données à caractère personnel présentée par OL.

Le 31 janvier 2022, OL a de nouveau saisi l’Administrativen sad Dobrich (tribunal administratif de Dobrich) d’un recours tendant à l’annulation de ce courrier et à la condamnation de l’agence à l’indemniser du dommage moral que ledit courrier lui aurait causé; ce que le tribunal a accueilli favorablement. La juridiction de renvoi, le Varhoven administrativen sad (Cour administrative suprême, Bulgarie), est saisie du pourvoi en cassation formé par l’agence contre ledit jugement.

Apport(s)
Autorité chargée de la tenue du registre du commerce - 1) Destinataire - Admission - 2) Responsable de traitement - Admission Extrait(s) pertinent(s)83. Eu égard à ce qui précède, il convient de répondre à la cinquième question que le RGPD, notamment l’article 4, points 7 et 9, de celui-ci, doit être interprété en ce sens que l’autorité chargée de la tenue du registre du commerce d’un État membre qui publie, dans ce registre, les données à caractère personnel figurant dans un contrat de société soumis à la publicité obligatoire prévue par la directive 2017/1132, qui lui a été transmis dans le cadre d’une demande d’inscription de la société concernée audit registre, est tant « destinataire » de ces données que, notamment en ce qu’elle les met à la disposition du public, « responsable du traitement » desdites données, au sens de cette disposition, même lorsque ce contrat contient des données à caractère personnel non requises par cette directive ou par le droit de cet État membre. Article(s) du RGPD Article 4 – Définitions Fait référence à > CJUE – État belge – C-231/22 > CJUE – Manni – C-398/15 Autres informations
Donnée à caractère personnel - Signature manuscrite - Admission Extrait(s) pertinent(s)136. Eu égard à ce qui précède, il convient de répondre à la sixième question que l’article 4, point 1, du RGPD doit être interprété en ce sens que la signature manuscrite d’une personne physique relève de la notion de « données à caractère personnel » au sens de cette disposition. Article(s) du RGPD Article 4 – Définitions Fait référence à > CJUE – Österreichische Datenschutzbehörde et CRIF – C-487/21 > CJUE – Nowak – C-434/16 Autres informations
Violation de données - Perte de contrôle limitée - Dommage moral - Admission - Absence de nécessité de prouver des conséquences négatives tangibles Extrait(s) pertinent(s)156. Eu égard aux considérations qui précèdent, il convient de répondre à la septième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’une perte de contrôle d’une durée limitée, par la personne concernée, sur ses données à caractère personnel en raison de la mise à la disposition du public de ces données, en ligne, dans le registre du commerce d’un État membre, peut suffire pour causer un « dommage moral », pour autant que cette personne démontre qu’elle a effectivement subi un tel dommage, aussi minime fût-il, sans que cette notion de « dommage moral » requière la démonstration de l’existence de conséquences négatives tangibles supplémentaires. Article(s) du RGPD Article 82 – Droit à réparation et responsabilité Fait référence à > CJUE – Gemeinde Ummendorf – C-456/22 > CJUE – Scalable Capital GmbH – C-182/22 et C-189/22 > CJUE – Krankenversicherung Nordrhein – C-667/21 > CJUE – MediaMarktSaturn – C-687/21 > CJUE – Juris GmbH – C-741/21 > CJUE – Österreichische Post AG – C-300/21 > CJUE – Natsionalna agentsia za prihodite – C-340/21 > CJUE – PS (Adresse erronée) – C-590/22 Autres informations
Violation de données - Réparation du préjudice - Prise en compte de l'avis de l'autorité - Absence Extrait(s) pertinent(s)176. Eu égard à ce qui précède, il convient de répondre à la huitième question que l’article 82, paragraphe 3, du RGPD doit être interprété en ce sens qu’un avis de l’autorité de contrôle d’un État membre, émis sur le fondement de l’article 58, paragraphe 3, sous b), de ce règlement, ne suffit pas à exonérer de responsabilité, au titre de l’article 82, paragraphe 2, dudit règlement, l’autorité chargée de la tenue du registre du commerce de cet État membre ayant la qualité de « responsable du traitement » au sens de l’article 4, point 7, du même règlement. Article(s) du RGPD Article 58 – Pouvoirs Article 82 – Droit à réparation et responsabilité Fait référence à > CJUE – Natsionalna agentsia za prihodite – C-340/21 > CJUE – Juris GmbH – C-741/21 > CJUE – Krankenversicherung Nordrhein – C-667/21 > CJUE – Österreichische Post AG – C-300/21 Autres informations