CJUE – Agentsia po vpisvaniyata – C-200/23

Décision

🏷️ Nom:

Agentsia po vpisvaniyata

🔢 Numéro:

C-200/23

📅 Date:

4 octobre 2024

⚖️ Autorité:

Cour de Justice de l'UE

🌍 Pays:

Bulgarie

🔗 Lien:

Contexte

OL est associée de « Praven Shtit Konsulting » OOD, société à responsabilité limitée de droit bulgare, qui a été inscrite le 14 janvier 2021 au registre du commerce à la suite de la présentation d’un contrat de société, daté du 30 décembre 2020 et signé par les associés de cette société (ci-après le « contrat de société concerné »). Ce contrat, contenant les nom, prénom, numéro d’identification, numéro de carte d’identité, date et lieu de délivrance de cette carte ainsi que l’adresse d’OL et sa signature, a été mis à la disposition du public par l’agence tel qu’il avait été présenté.

Le 8 juillet 2021, OL a demandé à l’agence de radier les données à caractère personnel la concernant figurant dans ledit contrat de société en précisant que, si le traitement de ces données reposait sur son consentement, elle le retirait. En l’absence de réponse de l’agence, OL a saisi l’Administrativen sad Dobrich (tribunal administratif de Dobrich, Bulgarie), lequel a, par un jugement du 8 décembre 2021, fait droit à sa demande.

En exécution de ce jugement, et d’un jugement analogue concernant l’autre associé ayant effectué la même démarche, l’agence a, par un courrier du 26 janvier 2022, indiqué qu’une copie certifiée conforme du contrat de société concerné occultant les données à caractère personnel des associés, à l’exception de celles requises par la loi, devait lui être transmise pour qu’il puisse être fait droit à la demande de radiation de données à caractère personnel présentée par OL.

Le 31 janvier 2022, OL a de nouveau saisi l’Administrativen sad Dobrich (tribunal administratif de Dobrich) d’un recours tendant à l’annulation de ce courrier et à la condamnation de l’agence à l’indemniser du dommage moral que ledit courrier lui aurait causé; ce que le tribunal a accueilli favorablement. La juridiction de renvoi, le Varhoven administrativen sad (Cour administrative suprême, Bulgarie), est saisie du pourvoi en cassation formé par l’agence contre ledit jugement.

Apport(s)
Directive imposant la publication du registre du commerce - Obligation d'autorisation la publication de données personnelles autres que celles exigées par le droit - Absence Extrait(s) pertinent(s)60. Eu égard à ce qui précède, il convient de répondre à la première question que l’article 21, paragraphe 2, de la directive 2017/1132 doit être interprété en ce sens qu’il n’impose pas à un État membre une obligation d’autoriser la publicité, dans le registre du commerce, d’un contrat de société soumis à la publicité obligatoire prévue par cette directive et contenant des données à caractère personnel autres que les données à caractère personnel minimales requises, dont la publication n’est pas exigée par le droit de cet État membre. Article(s) du RGPD Article 5 – Principes relatifs au traitement Thème(s)Minimisation Fait référence à Autres informations
Autorité chargée de la tenue du registre du commerce - 1) Destinataire - Admission - 2) Responsable de traitement - Admission Extrait(s) pertinent(s)83. Eu égard à ce qui précède, il convient de répondre à la cinquième question que le RGPD, notamment l’article 4, points 7 et 9, de celui-ci, doit être interprété en ce sens que l’autorité chargée de la tenue du registre du commerce d’un État membre qui publie, dans ce registre, les données à caractère personnel figurant dans un contrat de société soumis à la publicité obligatoire prévue par la directive 2017/1132, qui lui a été transmis dans le cadre d’une demande d’inscription de la société concernée audit registre, est tant « destinataire » de ces données que, notamment en ce qu’elle les met à la disposition du public, « responsable du traitement » desdites données, au sens de cette disposition, même lorsque ce contrat contient des données à caractère personnel non requises par cette directive ou par le droit de cet État membre. Article(s) du RGPD Article 4 – Définitions Thème(s)Destinataire Responsable de traitement Fait référence à > CJUE – État belge – C-231/22 > CJUE – Manni – C-398/15 Autres informations
Tenue du registre du commerce - Réglementation ou pratique nationale conduisant à refuser toute demande d'effacement des données non requises lorsqu’une copie de ce contrat occultant ces données n’a pas été fournie - Inconventionnalité Extrait(s) pertinent(s)127. Compte tenu de ces éléments, il convient de répondre à la quatrième question que la directive 2017/1132, en particulier l’article 16 de celle-ci, ainsi que l’article 17 du RGPD doivent être interprétés en ce sens qu’ils s’opposent à une réglementation ou à une pratique d’un État membre conduisant l’autorité chargée de la tenue du registre du commerce de cet État membre à refuser toute demande d’effacement des données à caractère personnel, non requises par cette directive ou par le droit dudit État membre, figurant dans un contrat de société publié dans ce registre, lorsqu’une copie de ce contrat occultant ces données n’a pas été fournie à cette autorité, contrairement aux modalités procédurales prévues par cette réglementation. Article(s) du RGPD Article 17 – Droit à l’effacement («droit à l’oubli») Thème(s)Droits des personnes Droit à l'effacement et au déréférencement Conditions Fait référence à > CJUE – SCHUFA Holding (Libération de reliquat de dette) – C-26/22 et C-64/22 > CJUE – Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) – C-252/21 > CJUE – Google – C-460/20 > CJUE – Vyriausioji tarnybinės etikos komisija – C-184/20 > CJUE – Inspektor v Inspektorata kam Visshia sadeben savet (Finalités du traitement de données – Enquête pénale) – C-180/21 > CJUE – Manni – C-398/15 > CJUE – Latvijas Republikas Saeima (Points de pénalité) – C-439/19 Autres informations
Donnée à caractère personnel - Signature manuscrite - Admission Extrait(s) pertinent(s)136. Eu égard à ce qui précède, il convient de répondre à la sixième question que l’article 4, point 1, du RGPD doit être interprété en ce sens que la signature manuscrite d’une personne physique relève de la notion de « données à caractère personnel » au sens de cette disposition. Article(s) du RGPD Article 4 – Définitions Thème(s)Donnée à caractère personnel Fait référence à > CJUE – Österreichische Datenschutzbehörde et CRIF – C-487/21 > CJUE – Nowak – C-434/16 Autres informations
Manquement au RGPD / Violation de données - Perte de contrôle limitée - Dommage moral - Admission - Absence de nécessité de prouver des conséquences négatives tangibles Extrait(s) pertinent(s)156. Eu égard aux considérations qui précèdent, il convient de répondre à la septième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’une perte de contrôle d’une durée limitée, par la personne concernée, sur ses données à caractère personnel en raison de la mise à la disposition du public de ces données, en ligne, dans le registre du commerce d’un État membre, peut suffire pour causer un « dommage moral », pour autant que cette personne démontre qu’elle a effectivement subi un tel dommage, aussi minime fût-il, sans que cette notion de « dommage moral » requière la démonstration de l’existence de conséquences négatives tangibles supplémentaires. Article(s) du RGPD Article 82 – Droit à réparation et responsabilité Thème(s)Violation de données A classer Fait référence à > CJUE – Gemeinde Ummendorf – C-456/22 > CJUE – Scalable Capital GmbH – C-182/22 et C-189/22 > CJUE – Krankenversicherung Nordrhein – C-667/21 > CJUE – MediaMarktSaturn – C-687/21 > CJUE – Juris GmbH – C-741/21 > CJUE – Österreichische Post AG – C-300/21 > CJUE – Natsionalna agentsia za prihodite – C-340/21 > CJUE – PS (Adresse erronée) – C-590/22 Autres informations
Manquement au RGPD / Violation de données - Réparation du préjudice - Prise en compte de l'avis de l'autorité - Absence Extrait(s) pertinent(s)176. Eu égard à ce qui précède, il convient de répondre à la huitième question que l’article 82, paragraphe 3, du RGPD doit être interprété en ce sens qu’un avis de l’autorité de contrôle d’un État membre, émis sur le fondement de l’article 58, paragraphe 3, sous b), de ce règlement, ne suffit pas à exonérer de responsabilité, au titre de l’article 82, paragraphe 2, dudit règlement, l’autorité chargée de la tenue du registre du commerce de cet État membre ayant la qualité de « responsable du traitement » au sens de l’article 4, point 7, du même règlement. Article(s) du RGPD Article 58 – Pouvoirs Article 82 – Droit à réparation et responsabilité Thème(s)Violation de données A classer Fait référence à > CJUE – Natsionalna agentsia za prihodite – C-340/21 > CJUE – Juris GmbH – C-741/21 > CJUE – Krankenversicherung Nordrhein – C-667/21 > CJUE – Österreichische Post AG – C-300/21 Autres informations