Opinion of Advocate General Medina delivered on 30 May 2024.

• Jurisdiction: European Union
• Court: Court of Justice (European Union)
• ECLI: ECLI:EU:C:2024:445
• Date: 30 May 2024

Édition provisoire

CONCLUSIONS DE L’AVOCATE GÉNÉRALE

MME LAILA MEDINA

présentées le 30 mai 2024 (1)

Affaire C‑200/23

Agentsia po vpisvaniyata

contre

OL,

en présence de

Varhovna administrativna prokuratura

[demande de décision préjudicielle formée par le Varhoven administrativen sad (Cour administrative suprême, Bulgarie)]

« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Publication, dans le registre du commerce, d’un contrat de société comportant des données à caractère personnel – Directive (UE) 2017/1132 – Responsable du traitement – Droit à l’effacement des données à caractère personnel »

I. Introduction

1. Par sa demande de décision préjudicielle, le Varhoven administrativen sad (Cour administrative suprême, Bulgarie) pose à la Cour une série de questions portant, en substance, sur l’articulation entre les dispositions en matière de publicité des actes des sociétés, qui font l’objet d’une coordination au niveau de l’Union (2), et le règlement (UE) 2016/679 (3).

2. Cette demande a été présentée dans le cadre d’un litige opposant l’Agentsia po vpisvaniyata (agence chargée des inscriptions aux registres, Bulgarie, ci-après l’« agence ») à OL au sujet du refus de cette agence de radier certaines données à caractère personnel concernant OL figurant dans un acte mis à la disposition du public au registre du commerce.

II. Le cadre juridique

A. Le droit de l’Union

3. Entrent en ligne de compte, aux fins des présentes conclusions, notamment les articles 14 et 16 de la directive 2017/1132, qui a remplacé la directive 2009/101, ainsi que les articles 4 à 6 et 17 du RGPD. Pour une meilleure lisibilité, il sera fait référence au libellé des dispositions pertinentes de ces articles dans le cadre de la présente analyse.

B. Le droit bulgare

4. L’article 2 du Zakon za targovskia registar i registara na yuridicheskite litsa s nestopanska tsel (loi relative au registre du commerce et au registre des personnes morales à but non lucratif (4)), dans sa version applicable au litige au principal (ci-après la « loi relative aux registres »), dispose :

« (1) Le registre du commerce et le registre des personnes morales à but non lucratif [ci-après « les registres »] sont une base de données électronique commune comportant les circonstances inscrites en vertu d’une loi, ainsi que les actes mis à la disposition du public en vertu d’une loi, qui concernent les commerçants et les succursales de commerçants étrangers, les personnes morales à but non lucratif et les succursales de personnes morales étrangères à but non lucratif.

(2) Les circonstances et actes visés au paragraphe 1 sont mis à la disposition du public exempts des informations constituant des données à caractère personnel au sens de l’article 4, point 1, du [RGPD], à l’exception des informations qui doivent être mises à la disposition du public en vertu de la loi. »

5. Aux termes de l’article 6, paragraphe 1, de la loi relative aux registres, tout commerçant et toute personne morale à but non lucratif sont tenus de demander à être inscrits aux registres, en déclarant les circonstances dont l’inscription est requise et en présentant les actes devant être mis à la disposition du public.

6. L’article 11 de cette loi est libellé comme suit :

« (1) [Les registres] sont publics. Quiconque a le droit d’accéder librement et gratuitement à la base de données constituant les registres.

(2) L’[agence] assure un accès enregistré au dossier du commerçant ou de la personne morale à but non lucratif. »

7. L’article 13, paragraphes 1, 2, 6 et 9, de ladite loi dispose :

« (1) L’inscription, la radiation et la mise à la disposition du public sont effectuées sur la base d’un formulaire de demande.

(2) La demande comporte :

1. les coordonnées du demandeur ;

[...]

3. la circonstance soumise à inscription, l’inscription dont la radiation est demandée, ou l’acte devant être mis à la disposition du public ;

[...]

(6) [L]a demande est accompagnée des documents ou, selon les cas, de l’acte devant être mis à la disposition du public, conformément aux exigences de la loi. Les documents sont présentés sous la forme d’un original, d’une copie certifiée conforme par le demandeur ou d’une copie certifiée par voie notariale. Le demandeur présente également des copies certifiées conformes des actes devant être mis à la disposition du public au registre du commerce, dans lesquels les données à caractère personnel autres que celles requises par la loi ont été occultées.

[...]

(9) Lorsque la demande ou les documents qui y sont joints mentionnent des données à caractère personnel qui ne sont pas requises par la loi, les personnes qui les ont fournies sont réputées avoir consenti à leur traitement par l’[agence] et à leur mise à disposition du public. »

8. L’article 101, point 3, du Targovski zakon (loi commerciale (5)), dans sa version applicable au litige au principal (ci-après la « loi commerciale »), dispose que le contrat de société doit comporter « le nom, la dénomination sociale et le code d’identification unique des associés ».

9. Aux termes de l’article 119, paragraphe 1, de la loi commerciale, l’inscription d’une société au registre du commerce requiert, entre autres, la présentation du contrat de société qui est mis à la disposition du public. Conformément au paragraphe 4 de cet article, « aux fins de modifier ou de compléter le contrat de société au registre du commerce, une copie dudit contrat comportant toutes les modifications et tous les ajouts, certifiée conforme par l’organe représentant la société, est présentée en vue d’une mise à la disposition du public ».

III. Le litige au principal et les questions préjudicielles

10. OL est associée d’une « OOD », société à responsabilité limitée de droit bulgare, qui a été inscrite le 14 janvier 2021 au registre du commerce. La demande d’inscription était accompagnée du contrat de société, daté du 30 décembre 2020, signé par les associés (ci-après le « contrat de société de 2020 »). Ce contrat, comportant les nom et prénom d’OL, son numéro d’identification, le numéro de sa carte d’identité, la date et le lieu de délivrance de celle-ci et son adresse permanente, a été inscrit et mis à la disposition du public tel qu’il avait été présenté. Le 8 juillet 2021, OL a demandé à l’agence de radier les données à caractère personnel la concernant figurant dans le contrat de société de 2020, en précisant que, si le traitement de ses données reposait sur son consentement, elle le retirait. En l’absence de réponse de l’agence, OL a saisi l’Administrativen sad Dobrich (tribunal administratif de Dobrich, Bulgarie), lequel a annulé le refus implicite de l’agence de donner suite à la demande d’OL et a renvoyé l’affaire à celle-ci afin qu’elle adopte une nouvelle décision. En exécution de ce jugement, et d’un jugement analogue concernant l’autre associé ayant effectué la même démarche, par courrier en date du 26 janvier 2022, l’agence a indiqué qu’une copie certifiée conforme du contrat de société de 2020 occultant les données à caractère personnel des associés, à l’exception de celles requises par la loi, devait lui être transmise pour qu’il puisse être fait droit à la demande de radiation (ci-après le « courrier du 26 janvier 2022 »). Le 31 janvier 2022, OL a de nouveau saisi l’Administrativen sad Dobrich (tribunal administratif de Dobrich) aux fins de voir le courrier du 26 janvier 2022 annulé et l’agence condamnée à l’indemniser du dommage moral que ce courrier, portant atteinte aux droits conférés par le RGPD, lui aurait causé. Le 1^er février 2022, avant de recevoir notification de ce recours, l’agence a d’office radié le numéro d’identification, les données relatives à la carte d’identité et l’adresse d’OL mais non ses nom, prénom et signature. Par jugement du 5 mai 2022, l’Administrativen sad Dobrich (tribunal administratif de Dobrich) a annulé le courrier du 26 janvier 2022 et condamné l’agence à indemniser OL à hauteur de 500 leva bulgares (BGN) (environ 255 euros), outre les intérêts légaux, au titre du dommage moral, en vertu de l’article 82 du RGPD. Selon ce jugement, ce dommage consistait en des émotions et expériences négatives résultant de ce courrier, lequel a induit une violation du droit à l’effacement consacré à l’article 17, paragraphe 1, du RGPD ainsi qu’un traitement illicite de ses données contenues dans le contrat mis à la disposition du public. L’agence a formé un pourvoi en cassation contre ce jugement devant la juridiction de renvoi. Elle fait valoir, notamment, qu’elle est responsable du traitement mais également destinataire des données transmises dans le cadre de la procédure d’enregistrement et que, bien qu’elle en ait fait la demande préalablement à l’enregistrement de la société dont OL était l’associée, elle n’aurait reçu aucune copie du contrat de cette société occultant les données qui ne devaient pas être mises à la disposition du public. Or, l’inscription d’une société commerciale ne pourrait être refusée pour ce seul motif. Elle se réfère à un avis de 2021 de l’autorité de contrôle nationale, la Komisia za zashtita na lichnite danni (commission de la protection des données à caractère personnel, Bulgarie), présenté en vertu de l’article 58, paragraphe 3, sous b), du RGPD (ci‑après l’« avis de 2021 ») (6), dans lequel il est affirmé qu’elle n’est pas autorisée à modifier le contenu des actes qu’elle reçoit en vue de leur inscription au registre. Pour sa part, OL soutient que, en tant que responsable du traitement, l’agence ne peut imposer à d’autres personnes ses propres obligations de radiation. Elle invoque une jurisprudence nationale selon laquelle l’avis de 2021 n’est pas conforme aux dispositions du RGPD.

11. C’est dans ces conditions que le Varhoven administrativen sad (Cour administrative suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1) L’article 4, paragraphe 2, de la...