La Cour de justice de l’Union européenne, saisie par le tribunal de district de Munich, précise les conditions de licéité du traitement des données personnelles des associés.
Des sociétés d’investissement réclament l’identité d’associés indirects d’un fonds pour négocier le rachat de leurs parts ou coordonner leurs votes lors des assemblées générales.
Les sociétés fiduciaires opposent des clauses contractuelles de confidentialité destinées à protéger l’anonymat des investisseurs ayant choisi un placement par l’intermédiaire d’un tiers mandaté.
Le tribunal allemand interroge la Cour sur la conformité de sa jurisprudence nationale, laquelle impose généralement la divulgation des coordonnées au nom des droits essentiels des membres.
La juridiction européenne doit déterminer si l’article six du règlement général sur la protection des données autorise une telle communication d’informations nominatives entre les différents associés.
Elle juge que le traitement est illicite si le contrat l’exclut ou si des mesures moins intrusives permettent d’atteindre la finalité légitime poursuivie par le demandeur initial.
I. L’encadrement de la licéité du traitement par les fondements contractuels et les intérêts légitimes
A. L’éviction de la nécessité contractuelle face à l’anonymat garanti
Le règlement européen prévoit qu’un traitement est licite s’il est « nécessaire à l’exécution d’un contrat auquel la personne concernée est partie » selon l’article six.
La Cour souligne que cette condition exige que l’opération soit « objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à l’associé ».
L’acquisition de participations par une société fiduciaire vise précisément à garantir l’anonymat des investisseurs, ce qui constitue une caractéristique essentielle de cet engagement financier particulier.
Dès lors, la divulgation des noms ne saurait être considérée comme nécessaire si le contrat initial exclut expressément la communication des données à d’autres détenteurs de participations.
B. La restriction de l’intérêt légitime par le respect des attentes raisonnables
Le traitement peut être fondé sur l’intérêt légitime d’un tiers, à condition que cet intérêt ne lèse pas les droits fondamentaux de la personne concernée.
L’intérêt d’un associé à contacter ses pairs pour racheter des parts ou former une volonté commune constitue un objectif légitime selon l’analyse rigoureuse des juges européens.
Toutefois, le responsable du traitement doit vérifier que cette finalité ne peut être atteinte par des moyens moins attentatoires à la vie privée des membres du fonds.
Les associés ne pouvaient « raisonnablement s’attendre » à une telle divulgation, compte tenu des clauses de confidentialité protégeant leur identité lors de la collecte initiale de leurs données.
II. La soumission de l’obligation légale nationale aux principes de clarté et de proportionnalité
A. La validité conditionnelle de la jurisprudence nationale comme base légale
Le droit de l’Union autorise un traitement de données lorsqu’il est nécessaire au respect d’une obligation légale à laquelle le responsable est soumis par le droit positif.
La base juridique nationale peut résulter d’une jurisprudence établie, pourvu que celle-ci soit « claire et précise » et que son application demeure « prévisible pour les justiciables ».
Cette exigence garantit la sécurité juridique des citoyens européens face aux décisions des juridictions nationales imposant parfois la levée de l’anonymat au sein des sociétés commerciales.
Une pratique judiciaire constante peut ainsi constituer une obligation légale, mais elle doit répondre strictement à un objectif d’intérêt public défini par l’État membre concerné.
B. La prévalence de la minimisation des données et de la proportionnalité
L’obligation de divulgation doit respecter le principe de proportionnalité et se limiter au strict nécessaire pour garantir la transparence entre les membres de la société de personnes.
La Cour suggère des solutions alternatives, comme la transmission de la demande par la fiduciaire, permettant à l’associé visé de « conserver le contrôle » sur ses informations personnelles.
Cette procédure intermédiaire préserve les droits des investisseurs tout en offrant au demandeur la possibilité d’entrer en contact avec les autres membres du fonds d’investissement visé.
Il appartient au juge national de vérifier si ces mesures moins intrusives assurent l’équilibre entre la protection des données personnelles et les intérêts légitimes des associés demandeurs.
