26.7.2011   

FR

Journal officiel de l'Union européenne

C 220/1

1.

Le 24 février 2011, la Commission européenne a adopté une proposition de directive du Parlement européen et du Conseil modifiant les directives 89/666/CEE, 2005/56/CE et 2009/101/CE en ce qui concerne l’interconnexion des registres centraux, du commerce et des sociétés (3) (ci-après la «proposition») et a ensuite consulté le CEPD.

2.

Le CEPD se félicite d’avoir été consulté comme le prévoit l’article 28, paragraphe 2, du règlement (CE) no 45/2001 et qu’une référence au présent avis soit incluse dans le préambule de la proposition.

3.

La proposition vise à faciliter et à renforcer la coopération transfrontalière et l’échange d’informations entre les registres du commerce dans l’Espace économique européen et à accroître ainsi la transparence ainsi que la fiabilité des informations disponibles par-delà les frontières. Des procédures efficaces de coopération administrative en ce qui concerne les registres du commerce sont déterminantes afin d’accroître la confiance dans le marché unique européen, en offrant un environnement économique plus sûr aux consommateurs, aux créanciers et autres partenaires des entreprises, en réduisant les charges administratives et en contribuant à une plus grande sécurité juridique. Le renforcement des procédures de coopération administrative pour les registres du commerce dans toute l’Europe est particulièrement important pour les fusions transfrontalières, les transferts du siège social et l’actualisation des informations contenues dans les registres des succursales étrangères lorsque les mécanismes de coopération font actuellement défaut ou sont limités.

4.

À cette fin, la proposition vise à modifier trois directives existantes de la manière suivante:

5.

Les registres du commerce existent dans tous les États membres; ils sont gérés au niveau local, régional ou national. En 1968, des règles communes ont été adoptées pour établir des normes minimales de publicité (enregistrement et publication) de l’information sur les sociétés (7). Depuis le 1er janvier 2007, les États membres doivent également tenir des registres électroniques du commerce (8) et permettre aux tiers d’accéder au contenu du registre en ligne.

6.

La coopération concernant les registres du commerce de différents États membres est explicitement requise par certains instruments juridiques européens afin de faciliter les fusions transfrontalières des sociétés de capitaux (9) et le transfert transfrontalier du siège de la société européenne (SE) (10) et de la société coopérative européenne (SCE) (11).

7.

En 1992, un mécanisme de coopération volontaire a été créé en ce qui concerne les registres du commerce en Europe. Le dénommé «registre européen du commerce» («EBR») (12) rassemble désormais les registres officiels du commerce de 19 États membres et de six autres juridictions européennes. Entre 2006 et 2009, l’EBR a participé à un projet de recherche intitulé BRITE (13) dont l’objectif était de développer une plateforme technologique pour l’interopérabilité des registres du commerce à travers l’Europe. L’analyse d’impact qui accompagne la proposition explique cependant que l’EBR est confronté à des difficultés importantes en ce qui concerne son expansion, son financement et sa gouvernance: selon cette analyse, le mécanisme de coopération, sous sa forme actuelle, n’est pas pleinement satisfaisant pour les utilisateurs potentiels.

8.

L’exposé des motifs qui accompagne la proposition note que le portail e-Justice européen (14) doit devenir le point d’accès central aux informations juridiques, mais aussi aux organismes, registres, bases de données et autres services de nature juridique ou administrative existant dans l’UE. Il confirme également que la proposition est complémentaire du projet e-Justice et qu’elle devrait contribuer à un accès plus aisé des tiers à l’information sur les sociétés via le portail.

9.

Selon l’analyse d’impact, un autre projet important qui offre des synergies potentielles est le système d’information du marché intérieur (IMI) (15). L’IMI est un outil électronique conçu pour prendre en charge la coopération administrative courante entre les administrations publiques dans le cadre de la directive sur les services (2006/123/CE) et de la directive sur la reconnaissance des qualifications professionnelles (2005/36/CE). L’IMI est en cours d’expansion et pourrait, selon l’analyse d’impact, également contribuer à la mise en œuvre d’autres directives, y compris dans le domaine du droit des sociétés.

10.

L’article 3 de la proposition modifie la directive 2009/101/CE à plusieurs égards. Deux modifications présentent un intérêt considérable pour la protection des données.

11.

L’article 2 de la directive 2009/101/CE telle qu’actuellement en vigueur requiert déjà que certaines informations minimales soient publiées dans un registre du commerce dans chaque État membre afin que les tiers puissent vérifier certaines informations concernant les sociétés. Comme expliqué à la section 1.2 ci-dessus, les États membres doivent également tenir des registres électroniques du commerce et permettre aux tiers d’accéder au contenu de ces registres en ligne.

12.

L’article 2 énumère onze points d’informations de base sur les sociétés qui doivent être publiés, dont les suivants:

13.

Aspect important du point de vue de la protection des données, l’article 2 requiert également la publication d’indications portant sur «la nomination, la cessation des fonctions ainsi que l’identité» (soulignement ajouté) des personnes qui i) ont le pouvoir d’engager la société et/ou ii) participent «à l’administration, à la surveillance ou au contrôle» de la société.

14.

La liste des points qui doivent être publiés au titre de l’article 2 n’a pas été modifiée par la proposition. Le fait que chaque État membre doive mettre ces informations à la disposition du public sous une forme électronique ne constitue pas non plus une nouvelle obligation. La nouveauté de la proposition réside dans le fait que les informations qui, jusqu’à présent, étaient disponibles de manière fragmentée, souvent uniquement dans des langues locales et via des sites web locaux, seront désormais facilement accessibles, via une plateforme ou un point d’accès européen commun, dans un environnement multilingue.

15.

À cet effet, la proposition insérerait un nouvel article 3 bis dans la directive, lequel disposerait que «[l]es États membres veillent à ce que les actes et indications visés à l’article 2 qui ont été déposés auprès de leur registre puissent être obtenus sur demande, par tout demandeur, par voie électronique via une plateforme électronique européenne unique accessible depuis chacun d’entre eux». La proposition laisse aux actes délégués le soin de déterminer l’ensemble des autres détails.

16.

La proposition insérerait également un nouvel article 4 bis dans la même directive 2009/101/CE, disposant que «[l]es États membres prennent les mesures nécessaires pour garantir que les [registres du commerce] sont interopérables et forment un réseau électronique». La proposition, là encore, s’en remet aux actes délégués pour déterminer les autres détails.

17.

Afin de tenir compte des préoccupations en matière de protection des données, la proposition insérerait dans le texte des trois directives à modifier un article spécifique sur la protection des données exigeant que «[l]e traitement des données à caractère personnel effectué dans le contexte de [la] directive [soit] soumis aux dispositions de la directive 95/46/CE».

18.

Le CEPD partage le point de vue de la Commission selon lequel i) l’utilisation des technologies de l’information et de la communication peut contribuer à accroître l’efficacité de la coopération en ce qui concerne les registres du commerce et ii) une meilleure accessibilité des informations contenues dans les registres du commerce peut se traduire par une transparence accrue. Par conséquent, il approuve les objectifs de la proposition. Ses observations doivent être appréciées à la lumière de cette approche constructive.

19.

Par ailleurs, le CEPD souligne également qu’une meilleure accessibilité des données à caractère personnel entraîne également des risques accrus pour celles-ci. Par exemple, alors que l’identification correcte du représentant d’une société peut être facilitée si son adresse personnelle est publiée, cette publication pourrait également avoir un impact négatif sur le droit de cette personne à la protection des données à caractère personnel la concernant. C’est notamment le cas pour les données à caractère personnel qui sont largement diffusées sur l’internet au format numérique dans de multiples langues et via une plateforme ou un point d’accès européen facilement accessible.

20.

Il n’y a pas si longtemps que cela, les données à caractère personnel contenues dans les registres du commerce (p. ex. le nom, l’adresse et le spécimen de signature d’un administrateur) étaient publiées au format papier et dans une langue locale, souvent après une seule visite du demandeur en personne à un bureau local du registre. Il est important de reconnaître que cette situation est qualitativement différente de la publication de données au format numérique via un point d’accès électronique national. La publication de données à caractère personnel via une plateforme ou un point d’accès paneuropéen facilement accessible va encore plus loin et accroît davantage l’accessibilité des informations, ainsi que les risques pour la protection des données à caractère personnel des personnes concernées.

21.

On recense parmi les risques d’atteinte à la vie privée (en raison de la facilité d’accès des données au format numérique via un point d’accès électronique commun) l’usurpation d’identité et autres activités criminelles, ainsi que le risque que les informations publiées puissent être illégalement exploitées et utilisées par des sociétés à des fins commerciales qui n’étaient pas initialement prévues, après le profilage des personnes concernées. En l’absence de garanties adéquates, les informations peuvent également être vendues à des tiers, ou associées à d’autres informations et revendues aux gouvernements pour être utilisées à des fins isolées et occultes (p. ex. pour l’application du droit fiscal ou autres enquêtes pénales ou administratives) sans aucune base juridique adéquate (16).

22.

Pour ces raisons, il convient de déterminer précisément quelles données à caractère personnel devraient être accessibles via la plateforme ou le point d’accès européen commun, et quelles garanties supplémentaires de protection des données — y compris des mesures techniques pour limiter la recherche ou les capacités de téléchargement et l’extraction de données — devraient s’appliquer.

23.

Comme indiqué dans les sections 2.1 et 2.2 ci-dessus, les propositions d’articles 3 bis et 4 bis de la directive 2009/101/CE sont très générales et laissent aux actes délégués le soin de déterminer de nombreux aspects essentiels.

24.

Bien que le CEPD reconnaisse la nécessité de la flexibilité, et dès lors, également celle des actes délégués, il souligne que les garanties nécessaires de protection des données sont des éléments essentiels qui devraient être clairement et spécifiquement prévus directement dans le texte de la proposition de directive elle-même. À cet égard, ces garanties ne peuvent être considérées comme des «éléments non essentiels» pouvant être inclus dans des actes délégués ultérieurs adoptés conformément à l’article 290 du traité sur le fonctionnement de l’Union européenne.

25.

Par conséquent, le CEPD recommande que les dispositions relatives à la protection des données contenues dans la proposition soient plus explicites et ne se contentent pas de mentionner la directive 95/46/CE (voir les sections 3.4 à 3.13). Des dispositions supplémentaires concernant la mise en œuvre de garanties particulières pourraient ensuite être incluses dans des actes délégués, sur la base d’une consultation du CEPD et, le cas échéant, des autorités nationales chargées de la protection des données (voir les sections 3.5, 3.6, 3.8, 3.9, 3.10, 3.12 et 3.13 ci-dessous).

26.

Non seulement la proposition est silencieuse en ce qui concerne les garanties essentielles de protection des données, mais elle ne donne pas non plus d’orientation précise sur d’autres aspects. Notamment, elle laisse également aux actes délégués le soin de déterminer les éléments essentiels de la façon dont elle souhaite réaliser i) l’interconnexion proposée des registres du commerce et ii) la publication des données.

27.

Des précisions sur ces autres éléments essentiels de la proposition sont indispensables pour adopter des garanties de protection des données adéquates. Par conséquent, le CEPD recommande que ces éléments essentiels soient énoncés dans la proposition de directive elle-même (voir les sections 3.4 et 3.5 ci-dessous).

28.

Pour l’instant, la proposition laisse aux actes délégués le soin de déterminer les règles concernant la gouvernance, la gestion, le fonctionnement et la représentation du réseau électronique (17).

29.

Tandis que l’analyse d’impact et l’exposé des motifs dégagent des synergies avec l’IMI et le portail E-Justice, le texte de la proposition de directive laisse le champ libre à plusieurs options qui permettraient à l’une ou à l’ensemble de ces synergies de se concrétiser, y compris la réorganisation de l’EBR, l’utilisation de l’IMI pour certains échanges de données ou l’utilisation du portail e-Justice en tant que plateforme ou point d’accès pour permettre au public d’accéder aux informations contenues dans les registres du commerce.

30.

D’autres options ne sont également pas exclues, comme le lancement d’un appel d’offres pour attribuer le droit de concevoir et d’exploiter le réseau électronique, ou encore la participation directe de la Commission à la conception et l’exploitation du système. Les représentants des États membres pourraient également être associés à la structure dirigeante du réseau électronique.

31.

En outre, bien que la proposition, sous sa forme actuelle, prévoie «une plateforme électronique européenne unique» (soulignement ajouté), il n’est pas exclu que le texte puisse être modifié ultérieurement dans la procédure législative afin de prévoir une structure plus décentralisée.

32.

Le CEPD relève également, bien que la proposition actuelle n’examine pas en particulier la question de l’interconnexion des registres du commerce avec d’autres bases de données (comme les registres fonciers ou les registres civils), qu’il s’agit certainement d’une possibilité technique qui existe déjà dans certains États membres (18).

33.

Le choix de l’une ou l’autre de ces options peut se traduire par une structure de gouvernance complètement différente du réseau électronique et de l’outil électronique qui seront utilisés pour la publication. Ainsi, les rôles et les responsabilités des parties concernées seront différents, tout comme les rôles et responsabilités assumés du point de vue de la protection des données.

34.

À cet égard, le CEPD souligne que dans toute situation impliquant le traitement de données à caractère personnel, il est capital d’identifier correctement le «responsable du traitement». Le groupe de travail «Article 29» sur la protection des données a également insisté sur ce point dans son avis 1/2010 relatif aux notions de «responsable du traitement» et de «sous-traitant» (19). La principale raison pour laquelle l’identification exacte et sans équivoque du responsable du traitement est si importante est qu’elle détermine qui sera chargé de veiller au respect des règles de protection des données et quel droit sera applicable (20).

35.

Comme indiqué dans l’avis du groupe de travail «Article 29», «[l]orsqu’on ne sait pas exactement qui doit faire quoi (par exemple, en l’absence de responsable ou en présence d’une multitude de responsables potentiels du traitement), le risque évident est que la directive ait peu, voire pas d’effets et que ses dispositions restent lettre morte».

36.

Le CEPD attire l’attention sur le fait que la clarté est d’autant plus essentielle lorsqu’une multitude d’acteurs sont engagés dans une relation de coopération. Cela est souvent le cas avec les systèmes d’information de l’UE qui sont utilisés à des fins publiques lorsque l’objet du traitement est défini par la législation de l’Union européenne.

37.

Pour ces raisons, le CEPD recommande d’établir, dans le texte de la proposition de directive elle-même, et de manière exacte, claire et non équivoque:

38.

Du point de vue de la protection des données, ces précisions devraient également être exactes et dépourvues de toute ambigüité en vue de déterminer, sur la base de la proposition de directive elle-même, si un acteur en particulier devrait être considéré comme un «responsable du traitement» ou un «sous-traitant».

39.

En principe, la proposition devrait explicitement contribuer à établir, comme il semble ressortir du projet dans son ensemble, que les titulaires des registres du commerce ainsi que le(s) exploitant(s) du système devraient être considérés comme des responsables du traitement en ce qui concerne leurs propres activités. Cela dit, étant donné que la proposition ne décrit actuellement pas la structure de gouvernance et ne détermine pas qui sera le ou les exploitants du système électronique, il ne peut être exclu que l’entité ou certaines des entités qui finiront par exploiter le système au niveau pratique agiront en qualité de sous-traitants plutôt que comme responsables du traitement. Cela pourrait être le cas, notamment, si cette activité est confiée à un tiers qui agira strictement sur instructions. En tout état de cause, on recense toujours de multiples responsables du traitement des données, au moins un dans chaque État membre: les entités qui tiennent les registres du commerce. Le fait qu’il puisse y avoir d’autres entités (privées) impliquées en tant qu’exploitants, «distributeurs» ou d’une quelconque autre façon, ne modifie en rien cet aspect. Quoi qu’il en soit, cet aspect devrait être précisé dans la proposition de directive, pour garantir la clarté et la sécurité juridique.

40.

Dernier point mais non des moindres, la proposition devrait également décrire plus précisément et exhaustivement les responsabilités qui découlent de ces rôles. Par exemple, le rôle du ou des exploitants pour s’assurer que le système est conçu de manière respectueuse de la vie privée ainsi que son rôle de coordination en ce qui concerne les questions relatives à la protection des données devraient être inclus dans la proposition.

41.

Le CEPD relève que toutes ces précisions seront également importantes pour déterminer quelles sont les autorités compétentes chargées de la protection des données et pour quel traitement de données à caractère personnel.

42.

Il s’avère que, sous sa forme actuelle, le réseau électronique n’est pas prévu pour que toutes les informations contenues dans chaque registre du commerce soient automatiquement mises à la disposition de tous les autres registres du commerce dans tous les autres États membres: la proposition requiert simplement l’interconnexion et l’interopérabilité des registres du commerce, et donc, prévoit les conditions pour permettre des échanges et l’accès aux informations à l’avenir. Afin de garantir la sécurité juridique, la proposition devrait préciser si cette interprétation est correcte.

43.

En outre, la proposition ne précise pas non plus quels flux de données et procédures de coopération administrative peuvent être réalisés via les registres du commerce interconnectés (21). Le CEPD comprend qu’une certaine flexibilité puisse être nécessaire pour s’assurer que des besoins qui pourraient se présenter à l’avenir puissent être satisfaits. Cela dit, le CEPD estime qu’il est essentiel que la proposition précise le cadre pour les flux de données et les procédures de coopération administrative qui pourraient être entrepris à l’avenir en utilisant le réseau électronique. Ce point est particulièrement important pour veiller à ce que i) tout échange de données soit effectué sur une base juridique solide, et que ii) des garanties adéquates de protection des données soient prévues.

44.

Selon le CEPD, tout échange de données ou autre activité de traitement de données utilisant le réseau électronique (p. ex. la publication de données à caractère personnel via la plateforme/le point d’accès commun) devrait être basé sur un acte contraignant de l’Union, adopté sur une base juridique solide. Ce point devrait être clairement énoncé dans la proposition de directive (22).

45.

En outre, la proposition prévoit que les actes délégués déterminent les questions suivantes (23):

46.

En ce qui concerne le premier et le deuxième tiret, le CEPD considère que certaines garanties essentielles devraient être prévues dans la proposition de directive elle-même (voir les sections 3.12 et 3.13 ci-dessous). Des détails supplémentaires pourront ensuite être exposés dans les actes délégués.

47.

S’agissant des échanges automatisés des données, le CEPD se félicite que la proposition dispose que les actes délégués doivent préciser «la définition des normes de format, de contenu et de limites en ce qui concerne le stockage des actes et indications enregistrés et leur accès, ces normes devant permettre l’échange automatisé des données».

48.

Afin de clarifier davantage ce point, le CEPD recommande que la proposition de directive elle-même indique clairement que le réseau électronique permet i) des échanges manuels spécifiques de données au cas par cas entre les registres du commerce (comme prévu dans un acte de l’Union en cas de fusion ou d’un transfert du siège par exemple); et ii) des transferts automatisés des données (comme prévu dans un acte de l’Union en cas d’actualisation des informations contenues dans le registre de succursales étrangères par exemple).

49.

Afin d’apporter des précisions supplémentaires, le CEPD recommande également que la proposition de texte pour l’article 4 bis, paragraphe 3, point i), de la directive 2009/101/CE soit modifié pour s’assurer que i) les actes délégués couvriront de manière exhaustive les échanges tant automatisés que manuels des données et que ii) tous les traitements susceptibles de porter sur des données à caractère personnel (et pas seulement le stockage et l’accès) sont couverts; et que iii) des dispositions particulières de protection des données dans les actes délégués garantiront également l’application pratique de garanties adéquates de protection des données.

50.

À titre d’exemple, l’article 4 bis, paragraphe 3, point i), pourrait être modifié et libellé comme suit:

51.

À titre liminaire, le CEPD attire l’attention sur le fait, même si les noms (et éventuellement d’autres détails tels que les adresses personnelles) des représentants des sociétés (et d’autres personnes associées à la gouvernance des sociétés) constituent sans doute les données à caractère personnel les plus évidentes qui sont susceptibles d’être traitées par le réseau électronique ou publiées via la plateforme ou le point d’accès électronique commun, qu’il ne s’agit certainement pas des seules informations personnelles contenues dans les registres du commerce.

52.

Tout d’abord, certains des actes énumérés à l’article 2 de la directive 2009/101/CE (p. ex. l’acte constitutif, les statuts et les documents comptables) peuvent également contenir des données à caractère personnel concernant d’autres personnes. Ces données peuvent comprendre, entre autres, les noms, les adresses, éventuellement les numéros d’identification et les dates de naissance, et même les scans de signatures manuscrites, de différentes personnes, y compris les personnes qui ont constitué la société, les actionnaires des sociétés, les avocats, les comptables, les employés ou les notaires.

53.

Ensuite, les données de la société, lorsqu’elles sont associées au nom d’une personne (comme un administrateur), pourraient également être considérées comme des données à caractère personnel concernant cette personne. Par exemple, s’il ressort des données du registre du commerce que telle ou telle personne siège au conseil d’administration d’une société faisant l’objet d’une liquidation, cette information concerne également cette personne.

54.

Afin de définir précisément quelles sont les données à caractère personnel qui sont traitées et de veiller à ce que l’ensemble des données traitées soient proportionnées aux objectifs de la proposition, le CEPD recommande d’apporter les précisions exposées dans la présente section 3.7.

55.

L’article 2 de la directive 2009/101/CE ne précise pas quelles informations sur «l’identité» des personnes concernées (représentants des sociétés et autres personnes associées à la gouvernance d’entreprise) doivent être publiées.

56.

D’ailleurs, les différentes versions linguistiques de la proposition font apparaître des différences significatives s’agissant de la traduction de l’expression «particulars of persons». Par exemple, l’expression «l’identité des personnes» est utilisée en français, «le generalità delle persone» (les détails personnels tels que le nom et le prénom) en italien, «személyek adatai» (les données des personnes) en hongrois, «de identiteit van de personen» (l’identité des personnes) en néerlandais et «identitatea persoanelor» (l’identité des personnes) en Roumain.

57.

En outre, dans certains États membres, les adresses personnelles des administrateurs de sociétés ou d’autres personnes telles que certains actionnaires sont généralement publiées sur l’internet. Dans d’autres États membres, ces informations sont maintenues confidentielles par le registre du commerce auquel l’information est soumise, pour des raisons de confidentialité, notamment par crainte d’une usurpation d’identité.

58.

Le CEPD recommande de modifier l’article 2 de la directive 2009/101/CE afin de préciser quelles sont les données à caractère personnel, le cas échéant, en sus des noms des personnes concernées (représentants des sociétés et autres personnes associées à la gouvernance d’entreprise) qui doivent être publiées. Ce faisant, la nécessité de transparence et d’identification exacte de ces personnes devrait être prise en considération, mais également mise en balance avec d’autres préoccupations concurrentes comme la nécessité de protéger la vie privée des personnes concernées (24).

59.

En cas de désaccord dû aux différentes pratiques nationales, l’article 2 devrait au moins être modifié pour exiger que «le nom complet des personnes concernées, et — comme le prévoit le droit national — les données supplémentaires nécessaires à leur identification» soient publiés. Il sera ensuite clairement établi qu’il appartient à chaque État membre de décider, dans sa législation nationale, quels sont, le cas échéant, les «particulars» en plus des noms, qui doivent être publiés, et que des données à caractère personnel supplémentaires ne seront requises que si elles sont nécessaires à l’identification des personnes concernées.

60.

À titre subsidiaire, et étant donné que l’article 2 énumère des «informations minimales» plutôt que d’harmoniser les contenus des registres du commerce à travers l’Europe, l’expression «identité des personnes» pourrait simplement être remplacée par l’expression «noms complets des personnes». Il appartiendrait donc également aux États membres de décider, le cas échéant, quelles informations supplémentaires ils souhaitent publier.

61.

L’article 2 de la directive 2009/101/CE requiert également la publication d’informations sur les personnes qui participent «à l’administration, à la supervision ou au contrôle» de la société. En se basant sur cette formulation large, on ne sait pas exactement si des informations concernant les actionnaires doivent être publiées: notamment, des informations sur les actionnaires qui ont i) une participation importante, influente ou majoritaire au-delà d’un certain seuil ou qui ii) en raison d’actions privilégiées, d’accords contractuels particuliers ou d’une quelconque autre façon exercent une influence/un contrôle effectif sur la société.

62.

Le CEPD comprend qu’une formulation large soit nécessaire pour couvrir les différentes structures de gouvernance d’entreprise qui existent actuellement pour les sociétés de capitaux dans les différents États membres. Cela dit, la sécurité juridique concernant les catégories de personnes dont les données sont susceptibles d’être publiées est essentielle du point de vue de la protection des données. Dès lors, le CEPD recommande de modifier l’article 2 de la directive 2009/101/CE afin de préciser quelles sont les données à caractère personnel concernant les actionnaires, le cas échéant, qui doivent être publiées. Ce faisant, une analyse de la proportionnalité en vertu de l’arrêt Schecke (comme indiqué ci-dessus) doit également être réalisée.

63.

Bien que la proposition ne prévoie pas l’échange ou la publication de données à caractère personnel au-delà des exigences minimales énoncées à l’article 2 de la directive 2009/101/CE, elle n’exclut pas non plus que les États membres, s’ils en font le choix, puissent exiger que leurs registres du commerce traitent ou publient des données supplémentaires à caractère personnel et rendent ces données accessibles également via la plateforme ou le point d’accès européen commun et échangent ces données avec des registres du commerce dans d’autres États membres.

64.

Cette question est particulièrement sensible au regard des «listes noires». Dans certains pays, le registre électronique fonctionne également, de fait, comme une sorte de «liste noire» et quiconque peut y effectuer des recherches via un portail électronique pour y trouver des informations sur les représentants des sociétés qui ont été interdits d’exercice.

65.

Afin de tenir compte de cette question, le CEPD recommande de préciser dans la proposition si et dans quelle mesure les États membres peuvent par la suite publier davantage d’informations via le portail commun et peuvent par la suite échanger davantage d’informations les uns avec les autres, sur la base de leurs propres législations nationales, si tel est leur choix. Dans ce cas, une analyse stricte de la proportionnalité (voir Schecke, précité) devrait être basée sur le droit national, et tenir également compte, comme facteur d’appréciation, des objectifs du marché intérieur.

66.

En outre, le CEPD suggère de lier l’utilisation de ces pouvoirs à un rôle que devraient jouer les autorités nationales chargées de la protection des données, par exemple, par consultation.

67.

Enfin, le CEPD souligne que s’il était envisagé qu’un système européen exige ces «listes noires», cette possibilité devrait être spécifiquement exposée dans la proposition de directive (25).

68.

Le CEPD recommande que la proposition de directive précise plus particulièrement que dans tous les cas où des données à caractère personnel sont publiées ou partagées d’une autre façon entre les registres du commerce, des garanties adéquates devraient être offertes, notamment, contre la collecte de données, l’extraction de données, la combinaison de données, et les recherches excessives, afin de s’assurer que les données à caractère personnel qui ont été rendues accessibles à des fins de transparence ne feront pas l’objet d’une utilisation abusive à d’autres fins isolées (26).

69.

Le CEPD insiste plus particulièrement sur la nécessité d’examiner des mesures techniques et organisationnelles suivant le principe du respect de la vie privée dès la conception («privacy by design» — voir la section 3.14 ci-dessous). La mise en œuvre pratique de ces garanties peut être confiée aux actes délégués. Cependant, les principes devraient être énoncés dans la proposition de directive elle-même.

70.

Le CEPD recommande que la proposition de directive contienne une disposition particulière stipulant que les informations visées aux articles 10 et 11 de la directive 95/46/CE [et les dispositions correspondantes du règlement (CE) no 45/2001, au besoin] devraient être communiquées aux personnes concernées de manière effective et exhaustive. En outre, et en fonction de la structure de gouvernance qui doit être convenue ainsi que des rôles et responsabilités des différentes parties concernées, la proposition de directive pourrait exiger que l’exploitant du système joue un rôle préventif en fournissant des avis et autres informations aux personnes concernées sur son site web, également «au nom» des registres du commerce. Des détails supplémentaires pourraient être inclus dans des actes délégués, si nécessaire, ou déterminés dans une politique de protection des données.

71.

La proposition devrait au moins inclure une référence à l’obligation de définir les modalités d’un accord (dans les actes délégués) pour permettre aux personnes concernées de faire valoir leurs droits. Il devrait également être fait référence à la possibilité de créer un module de protection des données et développer des solutions du respect de la vie privée dès la conception («privacy by design») pour la coopération entre les autorités en ce qui concerne les droits d’accès, ainsi que «l’autonomisation des personnes concernées» le cas échéant.

72.

Étant donné qu’il est possible que la Commission ou un autre organe ou institution de l’UE puisse également traiter des données à caractère personnel dans le réseau électronique (p. ex. en qualité d’exploitant du réseau, ou en accédant à des données à caractère personnel à partir de celui-ci), le règlement (CE) no 45/2001 devrait également être mentionné.

73.

Il devrait également être précisé que la directive 95/46/CE s’applique aux registres du commerce ainsi qu’à d’autres parties relevant du droit national dans leurs États membres respectifs, alors que le règlement (CE) no 45/2001 s’applique à la Commission et aux autres institutions et organes de l’UE.

74.

S’agissant des transferts de données à caractère personnel par le titulaire d’un registre du commerce dans l’UE au titulaire d’un registre du commerce dans un pays tiers qui n’offre pas un niveau de protection adéquat des données à caractère personnel, le CEPD souligne tout d’abord qu’il est important de bien faire la différence entre deux situations:

75.

Dans le premier cas, l’article 26, paragraphe 1, point f), de la directive 95/46/CE autorise une exception lorsque «le transfert intervient au départ d’un registre [public]», sous réserve du respect de certaines conditions. Par exemple, si le titulaire d’un registre du commerce dans un pays européen souhaite transférer un ensemble particulier de données à caractère personnel (p. ex. en rapport avec l’immatriculation de succursales étrangères) au titulaire d’un registre du commerce dans un pays tiers, et que ces mêmes données étaient déjà accessibles au public, en tout état de cause, le transfert devrait être possible même si le pays tiers en question n’offre pas un niveau de protection adéquat.

76.

Dans le second cas, le CEPD recommande que la proposition précise que les données qui ne sont pas accessibles au public peuvent être transférées à des entités ou des personnes dans un pays tiers n’assurant pas un niveau adéquat de protection lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants. Ces garanties peuvent notamment résulter de clauses contractuelles appropriées en vertu de l’article 26, paragraphe 2, de la directive 95/46/CE (27). Lorsque les transferts de données à des pays tiers comprennent systématiquement des données partagées entre les registres du commerce dans deux pays de l’UE ou plus, ou lorsqu’une mesure au niveau de l’UE est autrement souhaitable, des clauses contractuelles peuvent également être négociées au niveau de l’UE (article 26, paragraphe 4).

77.

Le CEPD insiste sur le fait que d’autres dérogations, notamment lorsque (article 26, point d)) «le transfert est nécessaire ou rendu juridiquement obligatoire pour la sauvegarde d’un intérêt public important, ou pour la constatation, l’exercice ou la défense d’un droit en justice», ne devraient pas être utilisées pour justifier des transferts de données systématiques à des pays tiers via le réseau électronique.

78.

Le CEPD recommande que la proposition mentionne plus particulièrement le principe de responsabilité («accountability») (28), s’efforce de l’appliquer et établisse un cadre clair pour des mécanismes et des systèmes appropriés de contrôle interne pour garantir le respect de la protection des données et attester de ce respect notamment de la manière suivante:

79.

Quant au respect de la vie privée dès la conception (29), la proposition devrait plus particulièrement mentionner ce principe et elle devrait également traduire cet engagement en des actions concrètes. Elle devrait notamment prévoir que le réseau électronique doit être développé de manière sécurisée et satisfaisante de sorte qu’il a intégré par défaut un ensemble de garanties du respect de la vie privée. Voici quelques exemples de garanties du respect de la vie privée dès la conception:

80.

Le CEPD approuve les objectifs de la proposition. Ses observations doivent être appréciées à la lumière de cette approche constructive.

81.

Le CEPD insiste sur le fait que les garanties nécessaires de protection des données devraient être clairement et spécifiquement prévues directement dans le texte de la directive elle-même, étant donné qu’il les considère comme des éléments essentiels. Des dispositions supplémentaires concernant la mise en œuvre de garanties spécifiques peuvent ensuite être énoncées dans des actes délégués.

82.

Les questions de la gouvernance, des rôles, des compétences et des responsabilités doivent être examinées dans la proposition de directive. À cette fin, la proposition de directive devrait établir:

83.

Toute activité de traitement des données utilisant le réseau électronique devrait être basée sur un instrument juridique contraignant tel qu’un acte spécifique de l’Union adopté sur une base juridique solide. Ce point devrait être clairement énoncé dans la proposition de directive.

84.

Les dispositions relatives au droit applicable devraient être précisées et inclure une référence au règlement (CE) no 45/2001.

85.

En ce qui concerne les transferts de données à caractère personnel vers les pays tiers, la proposition devrait préciser qu’en principe, et à l’exception des cas qui relèvent de l’article 26, paragraphe 1, point f), de la directive 95/46/CE, les données peuvent être transférées à des entités ou des personnes dans un pays tiers n’assurant pas un niveau adéquat de protection lorsque le responsable du traitement offre des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes, ainsi qu’à l’égard de l’exercice des droits correspondants. Ces garanties peuvent notamment résulter de clauses contractuelles appropriées en vertu de l’article 26, paragraphe 2, de la directive 95/46/CE.

86.

Par ailleurs, la Commission devrait examiner de manière approfondie quelles sont les mesures techniques et organisationnelles à prendre pour s’assurer que le respect de la vie privée et la protection des données sont «conçus» dans l’architecture du réseau électronique («respect de la vie privée dès la conception») et que des contrôles adéquats sont mis en place pour veiller au respect de la protection des données et attester de ce respect («responsabilité»).

87.

Le CEPD formule également les recommandations suivantes: