Par l'arrêt CJUE, 3 septembre 2026, Jautiva, C-798/24, la Cour de justice répond à la Cour constitutionnelle de Lettonie. La loi lettone imposait la publication en ligne, sans aucune condition d'accès, des informations relatives à l'ensemble des actionnaires des sociétés anonymes, minoritaires compris : identité, adresse, références de documents d'identité, nombre d'actions détenues. Des actionnaires minoritaires contestaient cette diffusion. Le législateur letton invoquait la transparence de la vie des affaires, la lutte contre le blanchiment et le financement du terrorisme et la mise en œuvre des sanctions internationales. La question posée vaut pour tout registre public : à quelles conditions un État peut-il ouvrir à tous, en ligne, un registre contenant des données personnelles.
La directive sur le droit des sociétés n'impose pas la publicité de tous les actionnaires
La Cour écarte d'abord l'argument tiré du droit de l'Union. L'article 14 de la directive (UE) 2017/1132 relative à certains aspects du droit des sociétés énumère les actes et indications soumis à publicité obligatoire et ne vise pas l'identité de l'ensemble des actionnaires. L'État membre qui va au-delà agit dans une marge nationale, encadrée par le RGPD et par les articles 7 et 8 de la Charte des droits fondamentaux. Le raisonnement vaut pour tous les registres nationaux dont l'ouverture excède ce que le droit de l'Union prescrit.
La mise en ligne sans condition d'accès constitue une ingérence grave
La Cour qualifie la mesure d'ingérence grave dans les droits au respect de la vie privée et à la protection des données. La combinaison des données publiées permet de dresser un profil patrimonial des personnes ; ces données peuvent être consultées, conservées et rediffusées par un nombre potentiellement illimité de personnes ; le dispositif ne comporte aucune garantie contre les abus, notamment le téléchargement en masse par des utilisateurs non identifiés. Ces caractéristiques se retrouvent dans la plupart des jeux de données ouverts contenant des données nominatives.
L'examen de proportionnalité est ensuite mené objectif par objectif. Pour la transparence des affaires, la publication des données des actionnaires minoritaires n'apparaît ni apte ni nécessaire. S'agissant de la lutte contre le blanchiment, le financement du terrorisme et la prolifération, il n'est pas strictement nécessaire que toute personne accède aux données sans justifier d'un intérêt légitime, conformément à la jurisprudence de 2022 sur les registres des bénéficiaires effectifs. Quant à la mise en œuvre des sanctions, une mesure moins intrusive existe, consistant à limiter la publication aux personnes figurant sur les listes de sanctions. Le RGPD s'oppose donc à la publication telle qu'organisée par la loi lettone.
L'accès conditionné à un intérêt légitime est désigné comme l'alternative proportionnée
La Cour n'interdit ni la tenue du registre ni la communication des données ; elle condamne l'absence de toute condition d'accès. La solution attendue consiste à réserver la consultation aux personnes justifiant d'un intérêt légitime, ou à restreindre le périmètre des données publiées à ce que l'objectif exige. Cette logique rejoint, en droit français, le code des relations entre le public et l'administration, qui soumet la diffusion en ligne de documents comportant des données personnelles à une occultation préalable ou à une disposition législative expresse.
Ce que l'arrêt induit pour les administrations qui ouvrent leurs registres et leurs données
Les collectivités et établissements publics qui publient des jeux de données en open data doivent distinguer les données anonymisées ou pseudonymisées, librement diffusables, des données nominatives, dont la mise en ligne doit reposer sur une disposition législative ou réglementaire expresse. Les registres nominatifs que la loi n'impose pas de publier intégralement, listes de bénéficiaires de subventions, d'attributaires de logements ou de titulaires d'autorisations d'occupation du domaine public, doivent faire l'objet d'une analyse de proportionnalité documentée : finalité d'intérêt général, périmètre minimal des données, modalités d'accès. La publication en accès libre et téléchargeable en masse doit être réservée aux cas où la loi l'exige ; dans les autres cas, un accès sur demande motivée ou une consultation sans possibilité d'extraction massive constitue la voie sûre. Les licences de réutilisation doivent interdire la reconstitution de profils et les marchés de plateformes open data doivent prévoir des mécanismes contre le moissonnage. Une administration qui maintient en ligne un registre nominatif sans base légale précise s'expose à une injonction de la CNIL et à une demande d'effacement fondée sur l'article 17 du RGPD.
Références : CJUE, 3 septembre 2026, Jautiva, aff. C-798/24 ; Communiqué de presse n° 115/26 de la Cour de justice, 3 septembre 2026 ; Directive (UE) 2017/1132 du 14 juin 2017 relative à certains aspects du droit des sociétés, article 14.
