I.

Introduction

1.

La présente demande de décision préjudicielle introduite par la Satversmes tiesa (Cour constitutionnelle, Lettonie)  ( 2 ) porte sur l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques sur les actionnaires  ( 3 ) des sociétés anonymes  ( 4 ) de droit letton. Les informations en question peuvent être consultées sur le site Internet du registre des entreprises par des « utilisateurs non identifiés »  ( 5 ). Il n’existe donc aucune obligation pour les membres du public de démontrer un intérêt légitime à obtenir ces informations.

2.

La juridiction de renvoi cherche à savoir si l’obligation de mise à disposition des informations en cause est imposée par le droit de l’Union. Elle demande ainsi à la Cour si les termes « personnes qui [...] participent à l’administration, à la surveillance ou au contrôle de la société », figurant à l’article 14, sous d), ii), de la directive (UE) 2017/1132 du Parlement européen et du Conseil, du 14 juin 2017, relative à certains aspects du droit des sociétés  ( 6 ), visent tout actionnaire d’une société anonyme et si un État membre est tenu de mettre à la disposition du public des informations spécifiques sur chaque actionnaire d’une telle société conformément à l’article 16, paragraphe 3, de cette directive. Dans l’hypothèse où de telles informations devraient être accessibles au public en vertu de la directive 2017/1132, la juridiction de renvoi s’interroge sur la validité de l’article 14, sous d), ii), de cette directive au regard du droit au respect de la vie privée et familiale garanti par l’article 7 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») et du droit à la protection des données à caractère personnel garanti par l’article 8 de la Charte.

3.

La Satversmes tiesa (Cour constitutionnelle) cherche également à déterminer si l’article 5, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)  ( 7 ) doit être interprété en ce sens qu’il autorise la mise à la disposition du public de telles informations sans qu’il soit requis de démontrer un intérêt légitime à cet égard, afin de répondre à certaines finalités, à savoir : i) garantir un climat des affaires transparent et protéger les intérêts des tiers ; ii) prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération  ( 8 ) et iii) fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union européenne. À cet égard, la juridiction de renvoi se demande si ces objectifs pourraient raisonnablement être atteints de manière aussi efficace, conformément à la procédure de demande d’informations à accès restreint, prévue par le droit letton  ( 9 ).

4.

En outre, la juridiction de renvoi s’interroge sur le point de savoir si le raisonnement suivi dans l’arrêt Luxembourg Business Registers  ( 10 ) – dans lequel la Cour a jugé que l’exigence découlant du droit de l’Union selon laquelle les États membres veillent à ce que les informations sur les bénéficiaires effectifs des sociétés et autres entités juridiques constituées sur leur territoire soient accessibles dans tous les cas à tout membre du grand public est invalide – peut être extrapolé à la mise à disposition d’informations relatives à l’ensemble des actionnaires d’une société anonyme, nonobstant la différence entre le volume d’informations et l’objectif de la mise à disposition dans les deux situations.

II.

Le cadre juridique

A.

Le droit de l’Union

5.

Les articles 7 et 8 ainsi que l’article 52, paragraphe 1, de la Charte, les considérants 3, 7 et 8, les articles 14 et 16 de la directive 2017/1132 ainsi que les articles 5 et 6 du RGPD revêtent une importance particulière dans la présente affaire.

B.

Le droit letton

6.

L’article 8 du Komerclikums (code de commerce)  ( 11 ) est intitulé « Contenu des inscriptions au registre du commerce ». Son paragraphe 3, points 3 et 4, dispose :

7.

L’article 12 du code de commerce, intitulé « Publicité dans le registre du commerce », est libellé comme suit :

8.

Aux termes de l’article 235 du code de commerce, intitulé « Informations à inscrire au registre des actionnaires » :

9.

L’article 4.10, cinquième alinéa, l’article 4.11, premier alinéa, point 2, l’article 4.15, premier alinéa, point 2, sous b), l’article 4.15, premier alinéa, point 3, sous a), et l’article 4.15, deuxième, troisième et quatrième alinéas, du likums « Par Latvijas Republikas Uzņēmumu reģistru » (loi sur le registre des entreprises de la République de Lettonie)  ( 12 ) (ci-après la « loi sur le registre des entreprises ») sont libellés comme suit :

III.

Le litige au principal et les questions préjudicielles

10.

La requête dont a été saisie la Satversmes tiesa (Cour constitutionnelle) a été déposée par 17 actionnaires minoritaires d’une société anonyme. Ces derniers estiment que l’article 4.15, premier alinéa, point 2, sous b), de la loi sur le registre des entreprises (ci-après la « disposition attaquée ») est incompatible avec l’article 96 de la Latvijas Republikas Satversme (Constitution de la République de Lettonie) qui prévoit que « [t]oute personne a droit à l’inviolabilité de sa vie privée, de son domicile et de sa correspondance ».

11.

Les requérants soutiennent que le législateur letton n’a pas apprécié ni justifié la nécessité de rendre publiques les informations relatives aux actionnaires et de les considérer comme des informations généralement accessibles. Une fois ces informations mises à la disposition du public, rien ne limite leur utilisation ultérieure. Il existe donc un risque élevé que lesdites informations soient utilisées à des fins malhonnêtes telles que la fraude, l’extorsion ou le chantage. Selon les requérants, la constitutionnalité de la disposition attaquée doit être appréciée à la lumière de l’arrêt Luxembourg Business Registers, qui concernait la mise à la disposition du grand public d’informations sur les bénéficiaires effectifs des sociétés. Étant donné que la Cour a considéré, dans cette affaire, que des données similaires sur les bénéficiaires effectifs ne devaient pas être rendues publiques, la mise à la disposition du grand public des données à caractère personnel des actionnaires apparaît d’autant plus injustifiée et disproportionnée. Les requérants, en tant qu’actionnaires minoritaires, ne sont ni les bénéficiaires effectifs de la société anonyme ni les personnes responsables de son organe exécutif ou de son organe de direction. Ils n’ont ni le droit ni la possibilité d’exercer un contrôle sur cette société.

12.

La Saeima (Parlement letton) soutient que la disposition attaquée est conforme à l’article 96 de la Constitution de la République de Lettonie. Elle considère que la restriction des droits fondamentaux se justifie par la nécessité de garantir un climat des affaires transparent, de protéger les intérêts des tiers, de lutter contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération, et de permettre à chacun de respecter les obligations qui lui incombent en vertu du Starptautisko un Latvijas Republikas nacionālo sankciju likums (loi sur les sanctions internationales et les sanctions nationales de la République de Lettonie). La réalisation de ces objectifs suppose que les informations en cause soient mises à la disposition de chacun, sans délai et sans obligation de justifier d’un intérêt légitime à cet égard. La motivation de l’arrêt Luxembourg Business Registers, qui ne portait que sur un seul objectif légitime, à savoir la prévention du blanchiment de capitaux et du financement du terrorisme, ne saurait être extrapolée à la présente affaire, étant donné que la législation lettone en cause poursuit plusieurs objectifs légitimes différents justifiant la limitation des droits fondamentaux.

13.

La Datu valsts inspekcija (autorité nationale de la protection des données, Lettonie), qui est intervenue dans la procédure devant la juridiction de renvoi en tant qu’amicus curiæ, considère que, contrairement au principe de transparence consacré par le RGPD, la loi sur le registre des entreprises ne précise pas de finalité particulière justifiant le traitement des données à caractère personnel des actionnaires d’une société anonyme. Le volume des données traitées et la question de savoir si l’objectif poursuivi pourrait être atteint par un traitement moins étendu doivent être appréciés à la lumière du principe de minimisation des données. En l’absence d’objectif clairement identifié, il n’est pas possible d’apprécier le point de savoir si l’ampleur du traitement des données à caractère personnel est proportionnée. Par conséquent, les principes de limitation des finalités et de minimisation des données ne sont pas respectés.

14.

Le Finanšu izlūkošanas dienests (service de renseignements financiers, Lettonie), qui est également intervenu dans la procédure au principal en tant qu’amicus curiæ, estime que les tiers doivent avoir accès aux informations en cause afin de déterminer si un partenaire commercial fait l’objet de sanctions internationales ou nationales.

15.

La juridiction de renvoi cherche à déterminer si les actionnaires des sociétés anonymes sont des personnes participant à l’administration, à la surveillance ou au contrôle de la société au sens de l’article 14, sous d), ii), de la directive 2017/1132 et, partant, si cette directive exige la publicité d’informations sur les actionnaires de telles sociétés. Dans l’hypothèse où la Cour considérerait que de tels actionnaires relèvent du champ d’application de l’article 14, sous d), ii), de la directive 2017/1132 et que les informations les concernant doivent être soumises à publicité et rendues accessibles au public en vertu de l’article 16, paragraphe 3, de cette directive, la juridiction de renvoi se demande, notamment, si cette première disposition est valide au regard des articles 7 et 8 de la Charte.

16.

La juridiction de renvoi s’interroge également sur la conformité du traitement des données à caractère personnel des actionnaires des sociétés anonymes aux principes énoncés à l’article 5, paragraphe 1, du RGPD, notamment au principe de « minimisation des données », qui exprime l’exigence de proportionnalité. Ce principe ne s’oppose pas à la mise à la disposition du public de données à caractère personnel lorsque cela est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, en vertu de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD. Néanmoins, conformément à l’article 52, paragraphe 1, de la Charte, les limitations apportées aux droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel doivent être prévues par la loi, respecter le contenu essentiel de ces droits fondamentaux et satisfaire au principe de proportionnalité.

17.

La juridiction de renvoi se demande, en particulier, si, à la lumière, notamment, des arrêts Luxembourg Business Registers et Manni  ( 13 ), l’article 5, paragraphe 1, sous b), du RGPD doit être interprété en ce sens que le traitement des données à caractère personnel des actionnaires d’une société anonyme peut servir à protéger les intérêts de tiers. Elle s’interroge également sur le point de savoir si les principes énoncés à l’article 5, paragraphe 1, du RGPD permettent à un État membre, lorsqu’il poursuit cet objectif, d’adopter un cadre juridique en vertu duquel toute personne peut obtenir les données à caractère personnel de tout actionnaire d’une société anonyme sans être tenue de démontrer un intérêt légitime à cet égard. En outre, cette juridiction se demande si l’article 5, paragraphe 1, sous b), du RGPD doit être interprété en ce sens que le traitement des données à caractère personnel des actionnaires d’une société anonyme peut servir à prévenir le blanchiment de capitaux ainsi que le financement du terrorisme et de la prolifération. À cet égard, selon le législateur letton, la mise à la disposition du grand public des données en cause a pour but de permettre à chacun de contribuer autant que possible à une telle prévention.

18.

Enfin, la juridiction de renvoi cherche à déterminer si l’article 5, paragraphe 1, sous b), du RGPD doit être interprété en ce sens que le traitement des données à caractère personnel des actionnaires d’une société anonyme peut servir à fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union.

19.

La juridiction de renvoi considère que la mise à la disposition du public des données à caractère personnel des actionnaires d’une société anonyme pourrait être appropriée, nécessaire et compatible avec la réalisation des objectifs légitimes susmentionnés. Toutefois, lorsque des données à caractère personnel sont mises à la disposition du public en ligne, il n’est pas possible de garantir qu’elles seront traitées de manière loyale ni qu’elles ne feront pas l’objet d’un traitement ultérieur incompatible avec les finalités susmentionnées, comme l’exige l’article 5, paragraphe 1, sous a) et b), du RGPD. Cette juridiction a donc des doutes quant à la question de savoir, d’une part, si la publicité en cause met dûment en balance les objectifs d’intérêt général poursuivis et les droits fondamentaux en jeu et, d’autre part, s’il existe des garanties suffisantes contre le risque d’utilisation abusive de telles données.

20.

En vertu du droit letton, les informations à accès restreint ne peuvent être obtenues que sur demande écrite, laquelle doit être motivée et préciser la finalité pour laquelle ces informations seront utilisées. Lorsque de telles informations sont communiquées, le destinataire de celles-ci s’engage à les utiliser uniquement aux fins pour lesquelles elles ont été demandées  ( 14 ). La communication de ces informations peut prendre plusieurs jours. Si la demande satisfait aux exigences de la loi et que les informations sont demandées uniquement sous forme électronique et ne nécessitent pas de traitement ultérieur, les informations sont fournies dans un délai de dix jours. La juridiction de renvoi se demande donc si la procédure de demande d’informations à accès restreint peut être considérée comme un autre moyen par lequel les objectifs susmentionnés pourraient raisonnablement être atteints de manière aussi efficace.

21.

Dans ces conditions, la Satversmes tiesa (Cour constitutionnelle) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

IV.

La procédure devant la Cour

22.

Des observations écrites ont été déposées par les requérants A e.a., les gouvernements letton, polonais, finlandais, suédois et norvégien, le Parlement européen, le Conseil de l’Union européenne et la Commission européenne.

23.

Les observations présentées par le gouvernement suédois  ( 15 ), le Parlement et le Conseil ne portent que sur les première et deuxième questions de la juridiction de renvoi.

V.

Analyse

A.

Sur les première et deuxième questions

24.

Par sa première question, la Satversmes tiesa (Cour constitutionnelle) cherche à savoir si l’article 14, sous d), ii), de la directive 2017/1132, qui vise les personnes qui « participent à l’administration, à la surveillance ou au contrôle de la société », doit être interprété en ce sens qu’il vise tout actionnaire d’une société anonyme  ( 16 ) imposant ainsi aux États membres d’assurer la publicité des informations relatives à tout actionnaire d’une telle société et de les rendre accessibles au public dans un registre conformément à l’article 16, paragraphe 3, de la directive 2017/1132.

25.

À cet égard, il convient tout d’abord de relever que, en vertu de l’article 14, sous d), de la directive 2017/1132, les États membres doivent prendre les mesures nécessaires pour que les sociétés publient obligatoirement la nomination, la cessation des fonctions ainsi que l’identité des personnes qui, en tant qu’organe légalement prévu ou en tant que membres de tel organe, ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice ou participent à l’administration, à la surveillance ou au contrôle de la société. Les parties et les intéressés ayant présenté des observations considèrent tous que l’article 14, sous d), ii), de la directive 2017/1132 ne saurait être interprété comme visant tout actionnaire d’une société anonyme.

26.

Il convient de souligner que le litige au principal dont est saisie la juridiction de renvoi concerne un recours introduit par 17 actionnaires minoritaires. Je concentrerai donc mon analyse sur cette situation particulière. Conformément à une jurisprudence constante, il y a lieu, pour l’interprétation d’une disposition du droit de l’Union, de tenir compte non seulement des termes de celle-ci, mais également des objectifs poursuivis par la réglementation dont elle fait partie ainsi que de son contexte  ( 17 ).

27.

L’article 14, sous d), de la directive 2017/1132 ne fait pas référence aux actionnaires ni à l’assemblée générale des actionnaires  ( 18 ). En outre, l’expression « participent à l’administration, à la surveillance ou au contrôle de la société » figurant à l’article 14, sous d), ii), de la directive 2017/1132 n’est pas définie par celle-ci  ( 19 ) et n’a pas encore été interprétée par la Cour. Malgré l’absence d’une telle ou de telles définitions, il ressort notamment des articles 60 et 64 de la directive 2017/1132 que, aux fins de cette directive, il existe une distinction entre l’organe d’administration ou de direction d’une société et l’assemblée générale de ses actionnaires. Cette distinction s’applique, à mon sens, a fortiori, aux actionnaires individuels.

28.

En outre, les notions de « nomination » et de « cessation des fonctions » figurant à l’article 14, sous d), de la directive 2017/1132 sont incompatibles avec le statut même des actionnaires d’une société anonyme. En effet, si certains actionnaires peuvent être nommés au sein des organes concernés et exercer les fonctions visées à l’article 14, sous d), de la directive 2017/1132, l’obligation de publier, notamment, l’identité et les données à caractère personnel d’un actionnaire dans ce contexte découle directement de sa nomination au sein de l’organe concerné, de la cessation de ses fonctions ou du pouvoir d’exercer certaines attributions, et non de son simple statut d’actionnaire  ( 20 ). En revanche, les actionnaires tirent leur statut, ainsi que les droits et obligations qui y sont attachés – notamment le droit d’assister et de voter à l’assemblée générale d’une société –, du seul fait de leur détention d’actions de la société, et non d’une « nomination » au sein d’un « organe » de cette société. Les termes « nomination » et « cessation des fonctions », qui impliquent un mandat ou une fonction de responsabilité spécifique  ( 21 ) au sein d’une société, sont donc incompatibles avec le statut d’actionnaire en tant que tel et avec les droits et obligations attachés à ce statut aux fins de l’article 14, sous d), de la directive 2017/1132.

29.

Il résulte donc de son libellé et du contexte dans lequel il s’inscrit dans la directive 2017/1132 que l’article 14, sous d), ii), de celle-ci ne s’applique pas aux actionnaires en tant que tels.

30.

En ce qui concerne les objectifs poursuivis par la directive 2017/1132, son article 1er, deuxième tiret, prévoit que cette directive établit des mesures concernant « la coordination, pour les rendre équivalentes, des garanties qui sont exigées, dans les États membres, des sociétés au sens de l’article 54, deuxième alinéa, [TFUE], en vue de la protection des intérêts tant des associés que des tiers, en ce qui concerne la publicité, la validité des engagements et la nullité des sociétés par actions et des sociétés à responsabilité limitée »  ( 22 ). L’article 14 de la directive 2017/1132 prévoit que, au moins  ( 23 ), les actes et indications qu’il énumère doivent être obligatoirement publiés par les sociétés concernées. Ces actes et indications doivent, conformément à l’article 16, paragraphes 3 à 5, de cette directive, être versés au dossier ou transcrits au registre, être accessibles par l’obtention d’une copie intégrale ou partielle sur demande et faire l’objet d’une publicité assurée par la publication, soit intégrale ou par extrait, soit sous forme d’une mention, dans le bulletin national, ou par une mesure d’effet équivalent  ( 24 ).

31.

Étant donné que l’objectif de la directive 2017/1132, et en particulier de son article 14, sous d), est de protéger les intérêts des actionnaires d’une société ainsi que ceux des tiers, en exigeant la publicité d’informations relatives à certaines personnes déterminées dont les fonctions ou les pouvoirs sont susceptibles d’être exercés au détriment de ces intérêts  ( 25 ), je ne vois pas en quoi une transparence accrue quant à l’identité de chaque actionnaire – en particulier des actionnaires minoritaires, qui n’exercent aucune fonction ni aucun pouvoir particulier au sein de la société  ( 26 ) – contribuerait à cet objectif.

32.

À cet égard, la Cour a souligné dans l’arrêt Manni  ( 27 ) que les données publiées en vertu, notamment, de l’article 2, paragraphe 1, sous d), de la directive 68/151 – qui correspond à l’article 14, sous d), de la directive 2017/1132 – ont un caractère limité  ( 28 ). Une interprétation de l’article 14, sous d), de la directive 2017/1132 incluant les informations relatives à chaque actionnaire ne présenterait manifestement pas un tel caractère  ( 29 ). Il ressort des considérants 3, 7 et 8 de la directive 2017/1132 que celle-ci n’assure qu’une harmonisation ou une coordination minimale de « certains aspects »  ( 30 ) du droit des sociétés afin de protéger les actionnaires, les créanciers et d’autres tiers. Les États membres peuvent ainsi arrêter ou maintenir en vigueur des dispositions plus strictes ou supplémentaires dans le domaine du droit des sociétés, dans les limites du droit de l’Union  ( 31 ), en particulier du RGPD  ( 32 ) et du principe de proportionnalité.

33.

Je considère donc que les termes « personnes qui [...] participent à l’administration, à la surveillance ou au contrôle de la société », employés à l’article 14, sous d), de la directive 2017/1132, ne sauraient être interprétés comme visant tout actionnaire d’une société anonyme. Un État membre n’est pas tenu de publier les informations relatives à chaque actionnaire d’une société anonyme ni de les rendre accessibles au public dans le registre conformément à l’article 16, paragraphe 3, de la directive 2017/1132.

34.

Étant donné que la deuxième question de la juridiction de renvoi ne se pose que si la première reçoit une réponse affirmative, je considère que la deuxième question relative à la validité de l’article 14, sous d), ii), de la directive 2017/1132 au regard des articles 7 et 8 de la Charte est sans objet.

B.

Sur les troisième et quatrième questions

35.

Par ses troisième et quatrième questions  ( 33 ), la juridiction de renvoi cherche à savoir si l’article 5, paragraphe 1, du RGPD doit être interprété en ce sens qu’il autorise le traitement de certaines données à caractère personnel des actionnaires d’une société anonyme, consistant à les mettre à la disposition de toute personne sans qu’il soit nécessaire de démontrer un intérêt légitime à cet égard, aux fins de : i) garantir un climat des affaires transparent et protéger les intérêts des tiers ; ii) prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération et iii) fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union. À ce titre, la Satversmes tiesa (Cour constitutionnelle) se demande si les principes de « limitation des finalités » et de « minimisation des données » figurant à l’article 5, paragraphe 1, sous b) et c), du RGPD  ( 34 ) sont respectés  ( 35 ).

36.

Il ressort du dossier soumis à la Cour que l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques sur les actionnaires des sociétés anonymes de droit letton relève du champ d’application matériel du RGPD. L’article 2, paragraphe 1, de ce dernier prévoit que ce règlement s’applique à tout « traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier », sans établir de distinction en fonction de l’identité de l’auteur du traitement concerné. Il s’ensuit que, sous réserve des cas mentionnés à l’article 2, paragraphes 2 et 3, du RGPD, celui-ci s’applique aux traitements effectués tant par les personnes privées que par les autorités publiques  ( 36 ).

37.

Si tant est que le traitement de données à caractère personnel par les États membres, lorsqu’il intervient dans le cadre d’activités relevant du titre V, chapitre 2, TUE relatif à la politique étrangère et de sécurité commune, soit exclu du champ d’application matériel du RGPD, j’estime en revanche que ce règlement demeure applicable aux traitements de données à caractère personnel effectués dans le cadre d’activités entrant dans le champ d’application de l’article 215 TFUE  ( 37 ). Il importe toutefois de souligner que certains droits de la personne concernée au titre du RGPD peuvent être limités conformément à l’article 23 de ce règlement. Par exemple, l’article 23, paragraphe 1, sous a), du RGPD prévoit que des restrictions peuvent être imposées dans certaines circonstances afin de préserver la sécurité nationale.

38.

En l’occurrence, il est constant que l’obligation légale, prévue par le droit letton  ( 38 ), de mettre à la disposition du grand public des informations sur les actionnaires de sociétés anonymes de droit letton – personnes physiques – y compris leur prénom, nom, numéro d’identification personnel, adresse de contact ou adresse électronique, le nombre et la valeur nominale de leurs actions et le nombre de votes attachés à ces actions, constitue un traitement de données à caractère personnel au sens de l’article 4, points 1 et 2, du RGPD  ( 39 ).

39.

Étant donné que les dispositions nationales en cause impliquent un traitement de données à caractère personnel relevant du champ d’application du RGPD, la République de Lettonie est notamment appelée à mettre en œuvre le RGPD. Il s’ensuit que l’accès de tout membre du grand public à ces données porte atteinte au droit fondamental des personnes concernées au respect de leur vie privée, garanti à l’article 7 de la Charte. En outre, la mise à la disposition du grand public desdites données constitue un traitement de données à caractère personnel relevant de l’article 8 de la Charte. Ainsi, la mise à la disposition de tiers des mêmes données à caractère personnel constitue une ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, quelle que soit l’utilisation ultérieure des informations communiquées. La Cour a toutefois précisé que, pour autant que les conditions d’un traitement licite de données à caractère personnel en vertu du RGPD sont réunies, ce traitement est, en principe, réputé satisfaire aux exigences fixées aux articles 7 et 8 de la Charte  ( 40 ).

40.

Il ressort de l’article 1er, paragraphe 2, du RGPD, lu en combinaison avec les considérants 4 et 10 de celui-ci, que ce règlement a notamment pour objet de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel  ( 41 ).

41.

Le RGPD garantit une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement de leurs données à caractère personnel dans l’ensemble de l’Union. Tout traitement de données à caractère personnel doit, sous réserve des dérogations admises à l’article 23 du RGPD  ( 42 ), respecter les principes régissant les traitements des données à caractère personnel ainsi que les droits de la personne concernée énoncés respectivement dans les chapitres II et III de ce règlement. En particulier, tout traitement de données à caractère personnel doit, d’une part, être conforme aux principes énoncés à l’article 5 du RGPD et, d’autre part, satisfaire aux conditions de licéité énumérées à l’article 6 du RGPD  ( 43 ). En outre, les droits de la personne concernée figurant aux articles 12 à 22 du RGPD doivent être respectés  ( 44 ).

42.

Conformément à l’article 5, paragraphe 1, du RGPD, les données à caractère personnel doivent être traitées conformément à un certain nombre de principes déterminés. Ainsi, les données à caractère personnel doivent être traitées, notamment, de manière licite, loyale et transparente au regard de la personne concernée  ( 45 ), être collectées pour des finalités déterminées, explicites et légitimes  ( 46 ), être adéquates, pertinentes et limitées à ce qui est nécessaire au regard de ces finalités  ( 47 ), être exactes et, si nécessaire, tenues à jour  ( 48 ), être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées  ( 49 ) et être traitées de façon à garantir une sécurité appropriée des données à caractère personnel  ( 50 ). Ces principes relatifs au traitement des données à caractère personnel sont applicables de manière cumulative  ( 51 ).

43.

L’article 6, paragraphe 1, premier alinéa, du RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite  ( 52 ). Ainsi, un traitement doit relever de l’un des cas prévus dans cette disposition pour être légitime  ( 53 ). Bien que la Satversmes tiesa (Cour constitutionnelle) n’indique pas explicitement que le traitement des données à caractère personnel en cause dans la présente affaire est fondé sur l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, il s’agit du seul cas visé au premier alinéa de l’article 6, paragraphe 1, du RGPD auquel cette juridiction fait référence dans sa demande de décision préjudicielle  ( 54 ). Dès lors que le traitement en cause trouve directement son fondement dans la législation nationale et est imposé par celle-ci  ( 55 ), j’estime que ce traitement ne se fonde pas sur le critère selon lequel il doit être « nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement »  ( 56 ), mais relève de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, dans la mesure où il est nécessaire au respect d’une obligation légale prévue par le droit d’un État membre – en l’occurrence le droit letton – à laquelle le responsable du traitement est soumis  ( 57 ). L’autorité chargée de la tenue du registre du commerce d’un État membre, qui publie dans ce registre des données à caractère personnel soumises à la publicité obligatoire prévue par la directive 2017/1132, est le « responsable du traitement » de ces données, notamment du fait qu’elle en assure la mise à la disposition du public  ( 58 ).

44.

L’article 6, paragraphe 3, du RGPD précise, notamment, s’agissant des situations dans lesquelles un traitement est licite en vertu de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD  ( 59 ), que les finalités du traitement doivent être « définies dans cette base juridique »  ( 60 ) et que ladite base juridique doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi  ( 61 ).

45.

Le dossier soumis à la Cour ne permet pas de savoir si l’exigence selon laquelle la ou les finalités du traitement doivent être « définies dans cette base juridique » a été respectée dans la présente affaire. Dans ses observations devant la juridiction de renvoi, l’autorité nationale de la protection des données a indiqué que la loi sur le registre des entreprises n’identifie pas la ou les finalités pour lesquelles le traitement des données à caractère personnel des actionnaires d’une société anonyme est nécessaire. Il incombe donc à la juridiction de renvoi de vérifier si cette exigence prévue à l’article 6, paragraphe 3, du RGPD est remplie pour chacune des trois finalités en cause. À défaut, le traitement de données à caractère personnel devra être regardé comme étant contraire à cette disposition  ( 62 ). Compte tenu de la diversité des techniques de rédaction législative dans les 27 États membres, je considère qu’il est suffisant que la ou les finalités en cause puissent être définies « de manière suffisamment certaine » à partir du texte de la législation ou du contexte normatif dans lequel elles s’inscrivent  ( 63 ).

46.

Les exigences prévues à l’article 6, paragraphe 3, du RGPD, selon lesquelles le traitement doit poursuivre un objectif d’intérêt public et être proportionné à l’objectif légitime poursuivi, traduisent celles énoncées à l’article 52, paragraphe 1, de la Charte et doivent être interprétées à la lumière de cette disposition. À cet égard, la Cour a jugé que les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, n’apparaissent pas comme étant des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité. Selon une jurisprudence constante, la proportionnalité de mesures dont résulte une ingérence dans les droits garantis aux articles 7 et 8 de la Charte requiert le respect des exigences d’aptitude et de nécessité  ( 64 ) ainsi que de celle ayant trait au caractère proportionné stricto sensu de ces mesures par rapport à l’objectif poursuivi  ( 65 ). Il convient donc d’apprécier si la législation nationale en cause établit un juste équilibre entre les intérêts poursuivis par l’État membre et ceux des personnes lésées  ( 66 ). Par conséquent, il convient de mesurer la gravité de l’ingérence dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, et de vérifier si l’importance de l’objectif d’intérêt général poursuivi est en relation avec cette gravité  ( 67 ).

47.

Afin d’évaluer la gravité de cette ingérence, il doit notamment être tenu compte de la nature des données à caractère personnel en cause, en particulier de la nature éventuellement sensible de ces données, ainsi que de la nature et des modalités concrètes du traitement des données en cause, en particulier du nombre de personnes qui ont accès à ces données et des modalités d’accès à ces dernières  ( 68 ).

48.

Il n’est pas contesté que les informations mises à la disposition du grand public sur un actionnaire, personne physique, comprennent son prénom, son nom et son numéro d’identification personnel, l’adresse à laquelle il peut être contacté, son adresse électronique  ( 69 ), la catégorie, le numéro et la valeur nominale des actions qu’il détient, ainsi que le nombre de votes qui y sont attachés  ( 70 ). Ces informations sont de nature, d’une part, à permettre d’établir un profil comprenant certains éléments d’identification personnelle et, d’autre part, au moins dans une certaine mesure, à révéler la situation patrimoniale de l’intéressé en Lettonie ainsi que les secteurs économiques et les entreprises spécifiques dans lesquels il a investi dans cet État. Les informations en cause sont aisément accessibles à un nombre potentiellement illimité de personnes, notamment en raison de leur disponibilité sur le site Internet du registre des entreprises. Leur accessibilité peut être libre pour des raisons étrangères aux finalités poursuivies par la législation nationale en cause  ( 71 ), et elles peuvent être conservées, diffusées et faire l’objet d’un traitement ultérieur. L’accès aisé du grand public aux informations en cause expose les personnes concernées à un risque d’abus de leurs données à caractère personnel, rendant difficile, voire impossible, pour elles de se défendre efficacement contre de tels abus. L’accès litigieux constitue ainsi une ingérence grave dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte  ( 72 ).

1.

Sur l’existence d’un objectif d’intérêt général reconnu par l’Union

49.

Les trois finalités de la législation nationale en cause, telles qu’indiquées par la juridiction de renvoi  ( 73 ), relèvent, en principe, de l’intérêt public de l’Union et sont donc légitimes  ( 74 ). Elles sont susceptibles de justifier des ingérences, même graves, dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, à condition de respecter le principe de proportionnalité  ( 75 ).

50.

En ce qui concerne l’objectif consistant à garantir un climat des affaires transparent et à protéger les intérêts des tiers, j’estime que la seule garantie d’un climat des affaires transparent constitue une aspiration plutôt vague et amorphe et ne peut, en tant que telle, être considérée comme une finalité légitime. Pour lever toute ambiguïté, je considère donc, sous réserve de vérification par la juridiction de renvoi, que la finalité pertinente de la législation lettone consiste à garantir un climat des affaires transparent afin de protéger les intérêts des tiers. À la lumière de l’article 50, paragraphe 2, sous g), TFUE  ( 76 ) qui se réfère, en substance, à la protection des actionnaires et des tiers  ( 77 ), la finalité en cause apparaît comme un objectif d’intérêt général reconnu par l’Union.

51.

Dans l’arrêt Luxembourg Business Registers  ( 78 ), la Cour a jugé que la prévention du blanchiment de capitaux et du financement du terrorisme, au moyen de l’accès du grand public aux informations sur les bénéficiaires effectifs, constitue un objectif d’intérêt général susceptible de justifier des ingérences, même graves, dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte  ( 79 ). À mon sens, la logique qui sous-tend cet arrêt peut également être appliquée dans la présente affaire.

52.

En ce qui concerne la publicité des informations nécessaires à la mise en œuvre des sanctions, la Cour a précisé que des mesures restrictives peuvent être imposées à l’exercice du droit à la liberté d’entreprise et du droit de propriété. Ces mesures doivent répondre à des objectifs d’intérêt général, tels que les objectifs de l’action extérieure de l’Union énoncés à l’article 21 TUE, et ne pas constituer, au regard du but poursuivi, une intervention démesurée et intolérable qui porterait atteinte à la substance même des droits ainsi garantis  ( 80 ). J’estime, plus largement, que l’exécution de telles mesures restrictives, y compris l’adoption de mesures donnant accès aux informations nécessaires pour assurer cette exécution, constitue un objectif d’intérêt général reconnu par l’Union.

2.

Sur le caractère approprié, nécessaire et proportionné de l’ingérence en cause au sens strict

a)

L’objectif de garantir un climat des affaires transparent afin de protéger les intérêts des tiers

53.

Pour les raisons que j’ai indiquées au point 31 des présentes conclusions, je ne considère pas que l’obligation prévue par le droit letton en cause, qui vise tout actionnaire d’une société anonyme, indépendamment du fait qu’il exerce une fonction ou détienne un pouvoir particulier au sein de celle-ci, contribue à promouvoir l’objectif consistant à garantir un climat des affaires transparent afin de protéger les intérêts des tiers. En outre, bien que la directive 2017/1132 n’ait pas pour ambition d’être exhaustive et se limite à harmoniser et coordonner certains aspects du droit des sociétés, rien dans le dossier soumis à la Cour n’indique que cette directive  ( 81 ) se soit révélée insuffisante pour garantir un climat des affaires transparent afin de protéger les intérêts des tiers, ce qui justifierait l’adoption de la législation nationale en cause  ( 82 ). Je considère donc que l’ingérence est à la fois peu appropriée et inutile. Je relève également que cette législation est disproportionnée stricto sensu, car elle ne parvient pas à établir un juste équilibre entre les intérêts poursuivis par le législateur letton et les intérêts des actionnaires.

b)

Les objectifs de la création d’un environnement visant à promouvoir la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération, ainsi que la disponibilité des informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union

54.

À mon sens, l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques concernant les actionnaires des sociétés anonymes de droit letton, ainsi que l’absence d’exigence corrélative de justifier d’un intérêt légitime à cet égard, constituent des mesures appropriées pour poursuivre les objectifs d’intérêt général visant à instaurer un environnement propice à la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération, ainsi qu’à garantir la disponibilité des informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union. Par analogie avec l’arrêt Luxembourg Business Registers, j’estime que le caractère public de l’accès en cause, ainsi que la transparence accrue qui en découle – laquelle permet un contrôle renforcé de la propriété des sociétés anonymes –, contribuent à la réalisation de ces objectifs d’intérêt général  ( 83 ).

55.

Il convient ainsi de vérifier si ces deux objectifs pourraient raisonnablement être atteints de manière aussi efficace par d’autres mesures moins attentatoires aux droits des actionnaires des sociétés anonymes concernées  ( 84 ) et si l’ingérence en cause est disproportionnée stricto sensu au regard desdits objectifs, ce qui implique, notamment, une mise en balance de l’importance de ces mêmes objectifs et de la gravité de cette ingérence.

56.

S’agissant de l’objectif de créer un environnement propice à la prévention du blanchiment de capitaux et du terrorisme et du financement de la prolifération, la juridiction de renvoi considère que les personnes autres que les entités assujetties, énumérées à l’article 2 de la directive 2015/849  ( 85 ), « peuvent également avoir un intérêt légitime à exercer une vigilance à l’égard de la clientèle de leur propre initiative ». En outre, en vertu de l’article 3.1 du Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un indulācijas finansēšanas novēršanas likums (loi relative à la prévention du blanchiment de capitaux, du terrorisme et du financement de la prolifération), l’obligation de signaler toute transaction suspecte incombe à des personnes autres que, notamment, les entités assujetties.

57.

En ce qui concerne la mise en œuvre des sanctions, selon la juridiction de renvoi, le Conseil adopte des règlements, souvent assortis de mesures financières restrictives, qui prévoient, d’une part, le gel des fonds et ressources économiques des personnes et entités désignées et, d’autre part, l’interdiction de mettre des fonds et ressources économiques à la disposition de telles personnes et entités  ( 86 ). En outre, l’accès aux informations sur tous les actionnaires d’une société anonyme peut se révéler nécessaire, dès lors que, conformément à l’article 2, paragraphe 2, de la loi sur les sanctions internationales et les sanctions nationales de la République de Lettonie  ( 87 ), toute personne est tenue de respecter et de mettre en œuvre les sanctions internationales et nationales.

58.

Je considère utile de rappeler que, dans l’arrêt Luxembourg Business Registers  ( 88 ), la Cour a souligné que la lutte contre le blanchiment de capitaux et le financement du terrorisme incombe prioritairement aux autorités publiques ainsi qu’aux entités, telles que les établissements de crédit ou les établissements financiers, qui, en raison de leurs activités, se voient imposer des obligations spécifiques en la matière. En tout état de cause, l’article 30, paragraphe 5, de la directive 2015/849 garantit que non seulement les autorités compétentes, les cellules de renseignement financier de l’Union  ( 89 ) et les entités assujetties, mais également toute personne ou organisation capable de démontrer un intérêt légitime ont accès aux informations sur les bénéficiaires effectifs  ( 90 ), notamment, des sociétés  ( 91 ).

59.

En ce qui concerne les mesures restrictives, comme je l’ai indiqué dans mes conclusions dans l’affaire Čiekuri-Shishki  ( 92 ), un règlement prévoyant ces mesures est principalement mis en œuvre par les organes de l’État possédant une compétence spécialisée particulière en matière de surveillance financière. Ces organes disposent des moyens nécessaires et sont donc habilités à mettre en œuvre les sanctions financières prévues, telles que le gel d’avoirs, l’interdiction d’octroyer des crédits ou d’effectuer des paiements à certaines personnes ou organismes. Il leur incombe d’ordonner les mesures concrètes à l’encontre des personnes et organismes figurant sur les listes visées par le règlement.

60.

Toutefois, comme le rappellent les meilleures pratiques  ( 93 ), « [t]outes les personnes et entités qui relèvent de la juridiction de l’Union sont tenues d’informer les autorités compétentes de toute information dont elles disposent et qui seraient susceptibles de faciliter l’application des mesures financières restrictives »  ( 94 ). En outre, les règlements établissant des mesures restrictives interdisent de mettre, directement ou indirectement, des fonds ou des ressources économiques à la disposition de personnes ou d’entités désignées  ( 95 ). Je considère que la mise en œuvre de cette obligation peut être réalisée par des moyens autres que le libre accès aux données à caractère personnel de tous les actionnaires, par exemple en demandant, au cas par cas, l’accès aux informations les concernant  ( 96 ). En particulier, lorsqu’une personne a des raisons raisonnables de soupçonner qu’elle pourrait mettre directement ou indirectement des fonds ou des ressources économiques à la disposition de personnes ou d’entités désignées, elle a un intérêt légitime manifeste à demander les informations détenues à cet égard par le registre des entreprises. Il convient également de souligner que, en l’absence d’un intérêt légitime, il serait excessif et disproportionné d’exiger de toute personne qu’elle vérifie en permanence l’identité de chacun des actionnaires de l’ensemble de ses partenaires commerciaux  ( 97 ). Cela est d’autant plus évident que la composition de l’actionnariat d’une société anonyme peut évoluer fréquemment.

61.

Il s’ensuit que, même si le libre accès du grand public aux informations relatives aux actionnaires des sociétés anonymes, tel que prévu par la législation lettone en cause, peut contribuer dans une certaine mesure à la lutte contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération, ainsi qu’à la mise en œuvre de sanctions nationales, internationales et de l’Union, je considère, par analogie avec l’arrêt Luxembourg Business Registers  ( 98 ), qu’une telle mesure n’est pas strictement nécessaire pour atteindre ces objectifs. En outre, les bénéfices potentiels d’un tel traitement ne compensent pas l’ingérence grave dans les droits fondamentaux garantis par les articles 7 et 8 de la Charte  ( 99 ).

62.

Je tiens également à souligner que, étant donné que, conformément à l’article 3, point 6, de la directive 2015/849, le bénéficiaire effectif d’une société est la ou les personnes physiques qui possèdent ou contrôlent, notamment, 25 % des actions plus une du capital, le raisonnement de la Cour dans l’arrêt Luxembourg Business Registers s’applique a fortiori à la législation lettone en cause dans la présente affaire, qui exige la publicité d’informations sur chaque actionnaire d’une société anonyme indépendamment du fait qu’il détient ou non une participation de contrôle.

63.

La juridiction de renvoi demande également si la procédure de demande d’informations à accès restreint, prévue par la loi sur la liberté d’information, peut être considérée comme un autre moyen permettant d’atteindre les objectifs en cause de manière tout aussi efficace. Il semblerait  ( 100 ) que, conformément à l’article 11, paragraphe 4, et à l’article 14, paragraphe 1, point 1.1, de la loi sur la liberté d’information, une personne puisse avoir accès aux informations concernant les actionnaires  ( 101 ) pour autant qu’elle en fasse la demande par écrit, motive sa demande et indique la finalité pour laquelle les informations seront utilisées. Le destinataire de ces informations communiquées s’engage à les utiliser uniquement aux fins pour lesquelles elles ont été demandées. Si la demande d’informations satisfait aux exigences de la loi et que les informations sont demandées uniquement sous forme électronique et ne nécessitent pas de traitement ultérieur, ces informations sont fournies dans un délai de dix jours. La juridiction de renvoi a toutefois précisé que le « registre des entreprises, en tant que responsable du traitement des données à caractère personnel et dispensateur d’informations, n’est pas en mesure de vérifier si le demandeur d’informations a effectivement un intérêt légitime à obtenir les informations demandées. Dans une telle situation, l’exigence d’indiquer un intérêt légitime constitue un obstacle formel à l’obtention des informations »  ( 102 ).

64.

Il suffit de rappeler que le traitement de données à caractère personnel effectué sur le fondement de la loi sur la liberté d’information doit, aux fins de la lutte contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération  ( 103 ) ainsi que de la mise en œuvre des sanctions, respecter le droit de l’Union, en particulier le RGPD et le principe de proportionnalité. Dès lors que l’article 30, paragraphe 5, de la directive 2015/849 exige que les informations relatives au bénéficiaire effectif soient accessibles non seulement, notamment, aux autorités compétentes et aux entités assujetties, mais également à toute personne ou organisation en mesure de démontrer un intérêt légitime, l’affirmation de la juridiction de renvoi selon laquelle le registre des entreprises pourrait ne pas être en mesure de vérifier l’existence d’un tel intérêt  ( 104 ) apparaît difficilement conciliable avec l’obligation incombant aux États membres en vertu de cette disposition  ( 105 ).

65.

En tout état de cause, la procédure d’accès aux informations relatives aux actionnaires conformément à l’article 11, paragraphe 4, et à l’article 14, paragraphe 1, point 1.1, de la loi sur la liberté d’information  ( 106 ), visée aux points 20 et 63 des présentes conclusions, ne semble pas excessivement lourde ni longue et vise à concilier in concreto les différents intérêts en présence. Il semblerait donc  ( 107 ) que la procédure nationale en cause soit un moyen permettant d’atteindre les objectifs en question de manière tout aussi efficace.

66.

Par conséquent, j’estime  ( 108 ) que l’obligation, prévue par le droit letton, de mettre à la disposition du grand public certaines informations spécifiques sur les actionnaires des sociétés anonymes de droit letton et l’absence corrélative d’exigence de démontrer un intérêt légitime à cet égard, afin de créer un environnement contribuant à promouvoir la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération ainsi que la disponibilité des informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union, sont disproportionnées stricto sensu.

VI.

Conclusion

67.

Compte tenu de ce qui précède, je propose à la Cour de répondre aux questions posées par la Satversmes tiesa (Cour constitutionnelle, Lettonie) de la manière suivante :