CJUE, 2e ch., 9 mars 2017, n° C-398/15

LA COUR (deuxième chambre),

1 La demande de décision préjudicielle porte sur l'interprétation de l'article 3 de la première directive 68/151/CEE du Conseil, du 9 mars 1968, tendant à coordonner, pour les rendre équivalentes, les garanties qui sont exigées, dans les États membres, des sociétés au sens de l'article 58 deuxième alinéa du traité, pour protéger les intérêts tant des associés que des tiers (JO 1968, L 65, p. 8), telle que modifiée par la directive 2003/58/CE du Parlement européen et du Conseil, du 15 juillet 2003 (JO 2003, L 221, p. 13) (ci-après la " directive 68/151 "), ainsi que de l'article 6, paragraphe 1, sous e), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

2 Cette demande a été présentée dans le cadre d'un litige opposant la Camera di Commercio, Industria, Artigianato e Agricoltura di Lecce (chambre de commerce, de l'industrie, de l'artisanat et de l'agriculture de Lecce, Italie, ci-après la " chambre de commerce de Lecce ") à M. Salvatore Manni au sujet de son refus de radier certaines données à caractère personnel relatives à M. Manni du registre des sociétés.

Le cadre juridique

Le droit de l'Union

La directive 68/151

3 Ainsi que le précise le considérant 3 de la directive 2003/58, celle-ci visait notamment à actualiser la directive 68/151 de manière " à faciliter et à accélérer l'accès des parties intéressées aux informations sur les sociétés, tout en simplifiant sensiblement les formalités de publicité imposées à ces dernières ".

4 Les considérants de la directive 68/151 se lisent comme suit :

" considérant que la coordination prévue par l'article 54 paragraphe 3 sous g) [du traité CEE] et par le programme général pour la suppression des restrictions à la liberté d'établissement est urgente, notamment à l'égard des sociétés par actions et des sociétés à responsabilité limitée, car l'activité de ces sociétés s'étend souvent au-delà des limites du territoire national ;

considérant que la coordination des dispositions nationales concernant la publicité, la validité des engagements de ces sociétés et la nullité de celles-ci revêt une particulière importance, notamment en vue d'assurer la protection des intérêts des tiers ;

considérant que, dans ces domaines, des dispositions communautaires doivent être arrêtées simultanément pour ces sociétés, car elles n'offrent comme garantie vis-à-vis des tiers que le patrimoine social ;

considérant que la publicité doit permettre aux tiers de connaître les actes essentiels de la société et certaines indications la concernant, notamment l'identité des personnes qui ont le pouvoir de l'engager ;

considérant que la protection des tiers doit être assurée par des dispositions limitant, autant que possible, les causes de non-validité des engagements pris au nom de la société ;

considérant qu'il est nécessaire, en vue d'assurer la sécurité juridique dans les rapports entre la société et les tiers ainsi qu'entre les associés, de limiter les cas de nullité ainsi que l'effet rétroactif de la déclaration de nullité et de fixer un délai bref pour la tierce opposition à cette déclaration ".

5 En vertu de l'article 1er de la directive 68/151, les mesures de coordination prescrites par celle-ci s'appliquent aux dispositions législatives, réglementaires et administratives des États membres relatives aux formes de sociétés énumérées par cette disposition, parmi lesquelles figure, pour la République italienne, la società a responsabilità limitata (société à responsabilité limitée).

6 L'article 2 de cette directive, qui figure dans la section I de celle-ci, intitulée " Publicité ", énonce :

" 1. Les États membres prennent les mesures nécessaires pour que la publicité obligatoire relative aux sociétés porte au moins sur les actes et indications suivants :

[...]

d) la nomination, la cessation des fonctions ainsi que l'identité des personnes qui, en tant qu'organe légalement prévu, ou membres de tel organe

i) ont le pouvoir d'engager la société à l'égard des tiers et de la représenter en justice,

ii) participent à l'administration, à la surveillance ou au contrôle de la société.

[...]

h) la dissolution de la société ;

[...]

j) la nomination et l'identité des liquidateurs ainsi que leurs pouvoirs respectifs, à moins que ces pouvoirs ne résultent expressément et exclusivement de la loi ou des statuts ;

k) la clôture de la liquidation et la radiation du registre dans les États membres où celle-ci entraîne des effets juridiques. "

7 L'article 3 de ladite directive, qui figure dans cette même section, dispose :

" 1. Dans chaque État membre, un dossier est ouvert auprès, soit d'un registre central, soit d'un registre du commerce ou registre des sociétés, pour chacune des sociétés qui y sont inscrites.

2. Tous les actes et toutes les indications qui sont soumis à publicité en vertu de l'article 2 sont versés au dossier ou transcrits au registre ; l'objet des transcriptions au registre doit en tout cas apparaître dans le dossier.

[...]

3. Une copie intégrale ou partielle de tout acte ou de toute indication visés à l'article 2 doit pouvoir être obtenue sur demande. À partir du 1er janvier 2007 au plus tard, les demandes peuvent être introduites auprès du registre sur support papier ou par voie électronique au choix du demandeur.

À partir d'une date à choisir par chaque État membre, mais qui ne peut être postérieure au 1er janvier 2007, les copies visées au premier alinéa doivent pouvoir être obtenues du registre sur support papier ou par voie électronique au choix du demandeur. Cela s'applique à tous les actes et indications, qu'ils aient été déposés avant ou après la date choisie. Les États membres peuvent cependant décider que les actes et indications déposés sur support papier jusqu'au 31 décembre 2006 au plus tard, ou certaines catégories d'entre eux, ne peuvent être obtenus du registre par voie électronique, si une période déterminée s'est écoulée entre la date du dépôt et celle de l'introduction de la demande auprès du registre. Cette période ne peut pas être inférieure à dix ans.

[...] "

8 La directive 68/151 a été abrogée et remplacée par la directive 2009/101/CE du Parlement européen et du Conseil, du 16 septembre 2009, tendant à coordonner, pour les rendre équivalentes, les garanties qui sont exigées, dans les États membres, des sociétés au sens de l'article 48, deuxième alinéa, du traité, pour protéger les intérêts tant des associés que des tiers (JO 2009, L 258, p. 11), qui a par la suite été modifiée par la directive 2012/17/UE du Parlement européen et du Conseil, du 13 juin 2012 (JO 2012, L 156, p. 1).

9 La directive 2012/17 a, notamment, introduit dans la directive 2009/101 l'article 7 bis, qui précise :

" Le traitement des données à caractère personnel effectué dans le contexte de la présente directive est soumis à la directive 95/46 [...] "

10 Cependant, compte tenu de la date des faits, le litige au principal reste régi par la directive 68/151.

La directive 95/46

11 La directive 95/46 qui, selon son article 1er, a pour objet la protection des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l'égard du traitement des données à caractère personnel, ainsi que l'élimination des obstacles à la libre circulation de ces données, énonce, à ses considérants 10 et 25 :

" (10) considérant que l'objet des législations nationales relatives au traitement des données à caractère personnel est d'assurer le respect des droits et libertés fondamentaux, notamment du droit à la vie privée reconnu également dans l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales[, signée à Rome le 4 novembre 1950,] et dans les principes généraux du droit communautaire ; que, pour cette raison, le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu'elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans la Communauté ;

[...]

(25) considérant que les principes de la protection doivent trouver leur expression, d'une part, dans les obligations mises à la charge des personnes [...] qui traitent des données, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l'autorité de contrôle, les circonstances dans lesquelles le traitement peut être effectué, et, d'autre part, dans les droits donnés aux personnes dont les données font l'objet d'un traitement d'être informées sur celui-ci, de pouvoir accéder aux données, de pouvoir demander leur rectification, voire de s'opposer au traitement dans certaines circonstances ".

12 L'article 2 de la directive 95/46 dispose :

" Aux fins de la présente directive, on entend par :

a) "données à caractère personnel" : toute information concernant une personne physique identifiée ou identifiable (personne concernée) ; est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale ;

b) "traitement de données à caractère personnel" (traitement) : toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ;

[...]

d) "responsable du traitement" : la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires nationales ou communautaires, le responsable du traitement ou les critères spécifiques pour le désigner peuvent être fixés par le droit national ou communautaire ;

[...] "

13 L'article 3 de ladite directive, intitulé " Champ d'application ", énonce, à son paragraphe 1 :

" La présente directive s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. "

14 Sous le chapitre II, section I, de la directive 95/46, intitulée " Principes relatifs à la qualité des données ", l'article 6 de cette directive est libellé comme suit :

" 1. Les États membres prévoient que les données à caractère personnel doivent être :

a) traitées loyalement et licitement ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Un traitement ultérieur à des fins historiques, statistiques ou scientifiques n'est pas réputé incompatible pour autant que les États membres prévoient des garanties appropriées ;

c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;

d) exactes et, si nécessaire, mises à jour ; toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;

e) conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Les États membres prévoient des garanties appropriées pour les données à caractère personnel qui sont conservées au-delà de la période précitée, à des fins historiques, statistiques ou scientifiques.

2. Il incombe au responsable du traitement d'assurer le respect du paragraphe 1. "

15 Sous le chapitre II, section II, de la directive 95/46, intitulée " Principes relatifs à la légitimation des traitements de données ", l'article 7 de cette directive dispose :

" Les États membres prévoient que le traitement de données à caractère personnel ne peut être effectué que si :

[...]

c) il est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis

ou

[...]

e) il est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique, dont est investi le responsable du traitement ou le tiers auquel les données sont communiquées

ou

f) il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée, qui appellent une protection au titre de l'article 1er paragraphe 1. "

16 L'article 12 de la même directive, intitulé " Droit d'accès ", prévoit :

" Les États membres garantissent à toute personne concernée le droit d'obtenir du responsable du traitement :

[...]

b) selon le cas, la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme à la présente directive, notamment en raison du caractère incomplet ou inexact des données ;

[...] "

17 L'article 14 de la directive 95/46, intitulé " Droit d'opposition de la personne concernée ", dispose :

" Les États membres reconnaissent à la personne concernée le droit :

a) au moins dans les cas visés à l'article 7 points e) et f), de s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf en cas de disposition contraire du droit national. En cas d'opposition justifiée, le traitement mis en œuvre par le responsable du traitement ne peut plus porter sur ces données ;

[...] "

18 L'article 28 de la directive 95/46 prévoit la mise en place par les États membres d'une autorité de contrôle chargée de surveiller l'application des dispositions adoptées en application de cette directive.

Le droit italien

19 L'article 2188 du codice civil (Code civil) dispose :

" Le registre des sociétés est institué aux fins des inscriptions prévues par la loi.

Le registre est tenu par le bureau du registre des sociétés, sous la surveillance d'un juge délégué par le président du tribunal.

Le registre est public. "

20 L'article 8, paragraphes 1 et 2, de la legge n. 580 - Riordinamento delle camere di commercio, industria, artigianato e agricoltura (loi n° 580, portant réorganisation des chambres de commerce, d'industrie, d'artisanat et d'agriculture), du 29 décembre 1993 (supplément ordinaire à la GURI n° 7, du 11 janvier 1994), prévoit que la tenue du registre des sociétés est confiée aux chambres de commerce, de l'industrie, de l'artisanat et de l'agriculture.

21 Le decreto del Presidente della Repubblica n. 581 - Regolamento di attuazione dell'articolo 8 della legge 29 dicembre 1993, n. 580, in materia di istituzione del registro delle imprese di cui all'articolo 2188 del codice civile (décret du président de la République nº 581, portant règlement d'exécution de l'article 8 de la loi nº 580, du 29 décembre 1993, concernant l'institution du registre des sociétés visé à l'article 2188 du Code civil), du 7 décembre 1995 (GURI nº 28, du 3 février 1996), règle certains aspects relatifs au registre des sociétés.

22 La transposition en droit italien de la directive 95/46 est assurée par le decreto legislativo n. 196 - Codice in materia di protezione dei dati personali (décret législatif nº 196, établissant un Code en matière de protection des données à caractère personnel), du 30 juin 2003 (supplément ordinaire à la GURI nº 174, du 29 juillet 2003).

Le litige au principal et les questions préjudicielles

23 M. Manni est l'administrateur unique d'Italiana Costruzioni Srl, qui s'est vu attribuer un marché pour la construction d'un complexe touristique.

24 Par recours du 12 décembre 2007, M. Manni a attrait en justice la chambre de commerce de Lecce, en affirmant que les immeubles de ce complexe ne se vendaient pas en raison du fait qu'il ressortait du registre des sociétés qu'il avait été l'administrateur unique et le liquidateur d'Immobiliare e Finanziaria Salentina Srl (ci-après " Immobiliare Salentina "), dont la faillite avait été déclarée au cours de l'année 1992 et qui a été radiée du registre des sociétés, à l'issue d'une procédure de liquidation, le 7 juillet 2005.

25 Dans le cadre de ce recours, M. Manni a fait valoir que les données à caractère personnel le concernant, qui résultent du registre des sociétés, ont été traitées par une société spécialisée dans la collecte et le traitement d'informations de marché et dans l'évaluation des risques (rating) et que, nonobstant une demande en ce sens, la chambre de commerce de Lecce n'a pas procédé à leur radiation.

26 M. Manni a donc demandé, d'une part, qu'il soit ordonné à la chambre de commerce de Lecce de radier, de rendre anonyme ou de bloquer les données qui le lient à la faillite d'Immobiliare Salentina et, d'autre part, que cette chambre de commerce soit condamnée à réparer le préjudice qu'il a subi en raison de l'atteinte à sa réputation.

27 Par jugement du 1er août 2011, le Tribunale di Lecce (tribunal de Lecce, Italie) a fait droit à cette demande, en ordonnant à la chambre de commerce de Lecce de rendre anonyme les données liant M. Manni à la faillite d'Immobiliare Salentina et en condamnant la défenderesse à la réparation d'un préjudice, établi à 2 000 euros, majoré des intérêts et des dépens.

28 Le Tribunale di Lecce (tribunal de Lecce) a, en effet, estimé que " les inscriptions qui lient le nom d'une personne physique à une phase critique de la vie de l'entreprise (comme la faillite) ne peuvent être pérennes, à défaut d'un intérêt général spécifique à leur conservation et divulgation ". En l'absence d'une durée maximale d'inscription prévue par le Code civil, il a considéré que, " une fois passée une durée adéquate " depuis la conclusion de la faillite de la société concernée et la radiation de celle-ci du registre des sociétés, la nécessité et l'utilité, au sens du décret législatif nº 196, de l'indication du nom de l'ancien administrateur unique de cette société au moment de la faillite de celle-ci disparaît, l'intérêt public d'une " "mémoire historique" de l'existence de la société et des difficultés qu'elle a traversées [pouvant] être largement réalisé également moyennant des données anonymes ".

29 Saisie par la chambre de commerce de Lecce d'un pourvoi en cassation contre ledit jugement, la Corte suprema di cassazione (Cour de cassation, Italie) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

" 1) Le principe de conservation des données à caractère personnel sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, prévu à l'article 6, paragraphe 1, sous e), de la directive 95/46, transposée par le décret législatif n° 196, du 30 juin 2003, doit-il prévaloir et donc s'oppose-t-il au système de publicité mis en place avec le registre des sociétés, prévu par la directive 68/151, ainsi que par le droit national aux articles 2188 du Code civil, et 8 de la loi n° 580, du 29 décembre 1993, en ce qu'il exige que quiconque, sans aucune limite de temps, puisse connaître les données relatives aux personnes physiques y figurant ?

2) En conséquence, l'article 3 de la directive 68/151 permet-il que, par dérogation à la durée illimitée et au caractère indéterminé des destinataires des données publiées au registre des sociétés, les données en cause ne soient plus soumises à la "publicité", dans cette double acception, mais soient au contraire accessibles seulement pour une durée limitée ou à l'égard de destinataires déterminés, en vertu d'une appréciation au cas par cas confiée au gérant des données ? "

Sur les questions préjudicielles

30 Par ses questions, qu'il convient de traiter ensemble, la juridiction de renvoi demande, en substance, si l'article 3 de la directive 68/151 et l'article 6, paragraphe 1, sous e), de la directive 95/46 doivent être interprétés en ce sens que les États membres peuvent, voire doivent, permettre aux personnes physiques, visées à l'article 2, paragraphe 1, sous d) et j), de la directive 68/151 de demander à l'autorité chargée de la tenue du registre des sociétés de limiter, à l'expiration d'un certain délai après la dissolution de la société concernée et sur la base d'une appréciation au cas par cas, l'accès aux données à caractère personnel les concernant, inscrites dans ce registre.

31 À titre liminaire, il convient de relever que l'affaire en cause au principal et les questions préjudicielles ainsi adressées à la Cour portent non pas sur le traitement ultérieur des données litigieuses en l'occurrence effectué par une société spécialisée dans l'activité de rating, dont il est question au point 25 du présent arrêt, mais bien sur l'accessibilité aux tiers de telles données détenues dans le registre des sociétés.

32 À cet égard, il convient tout d'abord de relever que, en vertu de l'article 2, paragraphe 1, sous d), de la directive 68/151, les États membres doivent prendre les mesures nécessaires pour que la publicité obligatoire relative aux sociétés porte au moins sur la nomination, la cessation des fonctions ainsi que l'identité des personnes qui, en tant qu'organe légalement prévu ou membres de tel organe, ont le pouvoir d'engager la société concernée à l'égard des tiers et de la représenter en justice ou participent à l'administration, à la surveillance ou au contrôle de cette société. En outre, selon ce même article 2, paragraphe 1, sous j), doivent également être rendus publics la nomination et l'identité des liquidateurs ainsi que, en principe, leurs pouvoirs respectifs.

33 En application de l'article 3, paragraphes 1 à 3, de la directive 68/151, ces indications doivent être transcrites dans chaque État membre soit dans un registre central, soit dans un registre du commerce ou un registre des sociétés (ci-après ensemble le " registre "), et une copie intégrale ou partielle de ces indications doit pouvoir être obtenue sur demande.

34 Or, il convient de constater que les indications relatives à l'identité des personnes visées à l'article 2, paragraphe 1, sous d) et j), de la directive 68/151 constituent, en tant qu'informations concernant des personnes physiques identifiées ou identifiables, des " données à caractère personnel ", au sens de l'article 2, sous a), de la directive 95/46. En effet, il résulte de la jurisprudence de la Cour que la circonstance que ces informations s'inscrivent dans le contexte d'une activité professionnelle n'est pas de nature à leur ôter la qualification de données à caractère personnel (voir arrêt du 16 juillet 2015, ClientEarth et PAN Europe/EFSA, C-615-13 P, EU:C:2015:489, point 30 ainsi que jurisprudence citée).

35 Par ailleurs, en transcrivant et en conservant lesdites informations dans le registre et en communiquant celles-ci, le cas échéant, sur demande à des tiers, l'autorité chargée de la tenue de ce registre effectue un " traitement de données à caractère personnel ", pour lequel elle est le " responsable ", au sens des définitions fournies à l'article 2, sous b) et d), de la directive 95/46.

36 Le traitement de données à caractère personnel qui est ainsi effectué dans la mise en œuvre de l'article 2, paragraphe 1, sous d) et j), et de l'article 3 de la directive 68/151 est soumis à la directive 95/46, en vertu des articles 1er et 3 de cette dernière. Cela est d'ailleurs désormais expressément prévu à l'article 7 bis de la directive 2009/101, telle que modifiée par la directive 2012/17, qui ne revêt à cet égard, toutefois, qu'une valeur déclarative. Ainsi que l'a exposé la Commission européenne lors de l'audience, le législateur de l'Union européenne a en effet jugé utile de rappeler cette circonstance dans le contexte des modifications législatives introduites par la directive 2012/17 et visant à assurer l'interopérabilité des registres des États membres, dès lors que ces modifications laissaient présager une augmentation dans l'intensité du traitement de données à caractère personnel.

37 S'agissant de la directive 95/46, il convient de rappeler que, ainsi qu'il résulte de son article 1er et de son considérant 10, celle-ci vise à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, notamment de leur vie privée, à l'égard du traitement des données à caractère personnel (voir arrêt du 13 mai 2014, Google Spain et Google, C-131-12, EU:C:2014:317, point 66 ainsi que jurisprudence citée).

38 Selon le considérant 25 de la directive 95/46, les principes de la protection prévus par celle-ci trouvent leur expression, d'une part, dans les obligations mises à la charge des personnes qui traitent des données, ces obligations concernant en particulier la qualité des données, la sécurité technique, la notification à l'autorité de contrôle, les circonstances dans lesquelles le traitement peut être effectué, et, d'autre part, dans les droits conférés aux personnes dont les données font l'objet d'un traitement d'être informées sur celui-ci, d'accéder aux données, de demander leur rectification, voire de s'opposer au traitement dans certaines circonstances.

39 La Cour a déjà jugé que les dispositions de la directive 95/46, en ce qu'elles régissent le traitement de données à caractère personnel susceptibles de porter atteinte aux libertés fondamentales et, en particulier, au droit au respect de la vie privée, doivent nécessairement être interprétées à la lumière des droits fondamentaux garantis par la charte des droits fondamentaux de l'Union européenne (ci-après la " Charte ") (voir arrêt du 6 octobre 2015, Schrems, C-362-14, EU:C:2015:650, point 38 et jurisprudence citée).

40 Ainsi, l'article 7 de la Charte garantit le droit au respect de la vie privée, tandis que l'article 8 de la Charte proclame expressément le droit à la protection des données à caractère personnel. Les paragraphes 2 et 3 de ce dernier article précisent que ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d'un autre fondement légitime prévu par la loi, que toute personne a le droit d'accéder aux données collectées la concernant et d'en obtenir la rectification et que le respect de ces règles est soumis au contrôle d'une autorité indépendante. Ces exigences sont mises en œuvre notamment aux articles 6, 7, 12, 14 et 28 de la directive 95/46.

41 En ce qui concerne, en particulier, les conditions générales de licéité imposées par la directive 95/46, il y a lieu de rappeler que, sous réserve des dérogations admises au titre de l'article 13 de celle-ci, tout traitement de données à caractère personnel doit, d'une part, être conforme aux principes relatifs à la qualité des données énoncés à l'article 6 de cette directive et, d'autre part, répondre à l'un des principes relatifs à la légitimation des traitements de données énumérés à l'article 7 de ladite directive (voir, notamment, arrêt du 13 mai 2014, Google Spain et Google, C-131-12, EU:C:2014:317, point 71 ainsi que jurisprudence citée).

42 À cet égard, ainsi que M. l'avocat général l'a relevé au point 52 de ses conclusions, il convient de constater que le traitement de données à caractère personnel qui est effectué par l'autorité chargée de la tenue du registre dans la mise en œuvre de l'article 2, paragraphe 1, sous d) et j), et de l'article 3 de la directive 68/151 répond à plusieurs motifs de légitimation prévus à l'article 7 de la directive 95/46, à savoir ceux figurant à son point c), relatif au respect d'une obligation légale, à son point e), relatif à l'exercice de l'autorité publique ou à l'exécution d'une mission d'intérêt public, et à son point f), relatif à la réalisation d'un intérêt légitime poursuivi par le responsable du traitement ou par les tiers auxquels les données sont communiquées.

43 S'agissant, notamment, du motif de légitimation prévu à l'article 7, sous e), de la directive 95/46, il convient de rappeler que la Cour a déjà eu l'occasion de juger que l'activité d'une autorité publique consistant à sauvegarder, dans une base de données, des données que les sociétés sont tenues de communiquer sur la base d'obligations légales, à permettre aux personnes intéressées de consulter ces données et à leur fournir des copies de celles-ci relève de l'exercice de prérogatives de puissance publique (voir arrêt du 12 juillet 2012, Compass-Datenbank, C-138-11, EU:C:2012:449, points 40 et 41). Par ailleurs, une telle activité constitue également une mission d'intérêt public, au sens de cette même disposition.

44 En l'occurrence, les parties au principal s'opposent quant au point de savoir si l'autorité chargée de la tenue du registre doit, à l'expiration d'un certain délai après la cessation des activités d'une société et sur demande de la personne concernée, soit effacer ou rendre anonymes ces données à caractère personnel, soit en limiter la publicité. Dans ce contexte, la juridiction de renvoi se demande notamment si une telle obligation découle de l'article 6, paragraphe 1, sous e), de la directive 95/46.

45 Selon l'article 6, paragraphe 1, sous e), de la directive 95/46, les États membres prévoient que les données à caractère personnel doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement. Lorsque ces données sont conservées au-delà de la période précitée à des fins historiques, statistiques ou scientifiques, les États membres prévoient des garanties appropriées. En vertu du paragraphe 2 de ce même article, il incombe au responsable du traitement d'assurer le respect de ces principes.

46 En cas de non-respect de la condition posée à l'article 6, paragraphe 1, sous e), de la directive 95/46, les États membres garantissent à la personne concernée, en application de l'article 12, sous b), de celle-ci, le droit d'obtenir du responsable du traitement, selon le cas, l'effacement ou le verrouillage des données concernées (voir, en ce sens, arrêt du 13 mai 2014, Google Spain et Google, C-131-12, EU:C:2014:317, point 70).

47 Par ailleurs, selon l'article 14, premier alinéa, sous a), de la directive 95/46, les États membres reconnaissent à la personne concernée le droit, notamment dans les cas visés à l'article 7, sous e) et f), de celle-ci, de s'opposer à tout moment, pour des raisons prépondérantes et légitimes tenant à sa situation particulière, à ce que des données la concernant fassent l'objet d'un traitement, sauf en cas de disposition contraire du droit national. La pondération à effectuer dans le cadre dudit article 14, premier alinéa, sous a), permet ainsi de tenir compte de manière plus spécifique de toutes les circonstances entourant la situation concrète de la personne concernée. En cas d'opposition justifiée, le traitement mis en œuvre par le responsable de celui-ci ne peut plus porter sur ces données (voir arrêt du 13 mai 2014, Google Spain et Google, C-131-12, EU:C:2014:317, point 76).

48 Afin de déterminer si les États membres sont tenus, en vertu de l'article 6, paragraphe 1, sous e), et de l'article 12, sous b), ou de l'article 14, premier alinéa, sous a), de la directive 95/46, de prévoir pour les personnes physiques visées à l'article 2, paragraphe 1, sous d) et j), de la directive 68/151 le droit de demander à l'autorité chargée de la tenue du registre d'effacer ou de verrouiller après un certain temps les données à caractère personnel inscrites dans ce registre, ou d'en restreindre l'accès, il convient, tout d'abord, de rechercher quelle est la finalité de cette inscription.

49 À cet égard, il ressort des considérants et du titre de la directive 68/151 que la publicité prévue par celle-ci vise à protéger notamment les intérêts des tiers par rapport aux sociétés par actions et aux sociétés à responsabilité limitée, dès lors qu'elles n'offrent comme garantie à l'égard des tiers que leur patrimoine social. À cette fin, la publicité doit permettre aux tiers de connaître les actes essentiels de la société concernée et certaines indications la concernant, notamment l'identité des personnes qui ont le pouvoir de l'engager.

50 La Cour a par ailleurs déjà relevé que le but de la directive 68/151 est d'assurer la sécurité juridique dans les rapports entre les sociétés et les tiers dans la perspective d'une intensification des courants d'affaires entre les États membres à la suite de la création du marché intérieur et que, dans cette perspective, il importe que toute personne désireuse d'établir et de poursuivre des rapports d'affaires avec des sociétés situées dans d'autres États membres puisse aisément prendre connaissance des données essentielles relatives à la constitution des sociétés commerciales et aux pouvoirs des personnes chargées de les représenter, ce qui nécessite que toutes les données pertinentes figurent de manière explicite dans le registre (voir, en ce sens, arrêt du 12 novembre 1974, Haaga, 32/74, EU:C:1974:116, point 6).

51 En outre, il résulte de la jurisprudence de la Cour que la publicité prévue à l'article 3 de la directive 68/151 vise à permettre l'information de tous les tiers intéressés, sans que ceux-ci doivent justifier d'un droit ou d'un intérêt nécessitant une protection. Elle a relevé, à cet égard, que le texte même de l'article 54, paragraphe 3, sous g), du traité CEE, sur lequel a été fondée cette directive, mentionne l'objectif de protection des intérêts des tiers en général sans distinguer ou exclure certaines catégories parmi ceux-ci, de sorte que la notion de tiers visée à cette disposition ne saurait notamment être réduite aux seuls créanciers de la société concernée (voir arrêt du 4 décembre 1997, Daihatsu Deutschland, C-97-96, EU:C:1997:581, points 19, 20 et 22, ainsi que ordonnance du 23 septembre 2004, Springer, C-435-02 et C-103-03, EU:C:2004:552, points 29 et 33).

52 S'agissant, ensuite, de la question de savoir si, afin de réaliser la finalité visée à l'article 3 de la directive 68/151, il est en principe nécessaire que les données à caractère personnel des personnes physiques mentionnées à l'article 2, paragraphe 1, sous d) et j), de cette directive restent inscrites dans le registre et/ou soient accessibles pour tout tiers sur demande également après la cessation de l'activité et la dissolution de la société concernée, il convient de constater que ladite directive ne comporte aucune précision à ce sujet.

53 Cependant, ainsi que l'a également relevé M. l'avocat général aux points 73 et 74 de ses conclusions, il est constant que, même après la dissolution d'une société, des droits et des relations juridiques relatifs à celle-ci peuvent subsister. Ainsi, en cas de litige, les données visées à l'article 2, paragraphe 1, sous d) et j), de la directive 68/151 peuvent s'avérer nécessaires afin, notamment, de vérifier la légalité d'un acte effectué au nom de cette société au cours de la période de son activité ou pour que des tiers puissent engager une action contre les membres des organes ou contre les liquidateurs de celle-ci.

54 En outre, en fonction notamment des délais de prescription applicables dans les différents États membres, des questions nécessitant de disposer de ces données peuvent surgir encore de nombreuses années après qu'une société a cessé d'exister.

55 Or, au vu de la multitude des scénarios possibles, qui peuvent impliquer des acteurs dans plusieurs États membres, et de l'importante hétérogénéité dans les délais de prescription prévus par les différents droits nationaux dans les différents domaines du droit, mise en exergue par la Commission, il paraît, en l'état actuel, impossible d'identifier un délai unique, à compter de la dissolution d'une société, à l'expiration duquel l'inscription desdites données dans le registre et leur publicité ne serait plus nécessaire.

56 Dans ces conditions, les États membres ne sauraient, en vertu de l'article 6, paragraphe 1, sous e), et de l'article 12, sous b), de la directive 95/46, garantir aux personnes physiques visées à l'article 2, paragraphe 1, sous d) et j), de la directive 68/151 le droit d'obtenir par principe après un certain délai à compter de la dissolution de la société concernée l'effacement des données à caractère personnel les concernant, qui ont été inscrites au registre en application de cette dernière disposition, ou le verrouillage de celles-ci pour le public.

57 Cette interprétation de l'article 6, paragraphe 1, sous e), et de l'article 12, sous b), de la directive 95/46 n'aboutit pas, par ailleurs, à une ingérence disproportionnée dans les droits fondamentaux des personnes concernées, et notamment leur droit au respect de la vie privée ainsi que leur droit à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte.

58 En effet, d'une part, l'article 2, paragraphe 1, sous d) et j), et l'article 3 de la directive 68/151 imposent la publicité uniquement pour un nombre limité de données à caractère personnel, à savoir celles tenant à l'identité et aux fonctions respectives des personnes ayant le pouvoir d'engager la société concernée à l'égard des tiers et de la représenter en justice, ou participant à l'administration, à la surveillance ou au contrôle de cette société, ou ayant été nommées comme liquidateur de celle-ci.

59 D'autre part, ainsi qu'il a été relevé au point 49 du présent arrêt, la directive 68/151 prévoit la publicité pour les données visées à son article 2, paragraphe 1, sous d) et j), en raison notamment du fait que les sociétés par actions et les sociétés à responsabilité limitée n'offrent comme garantie à l'égard des tiers que leur patrimoine social, ce qui comporte un risque économique accru pour ces derniers. Eu égard à celui-ci, il apparaît justifié que les personnes physiques choisissant de participer aux échanges économiques par l'intermédiaire d'une telle société soient obligées de rendre publiques les données tenant à leur identité et à leurs fonctions au sein de celle-ci, d'autant plus qu'elles sont conscientes de cette obligation au moment où elles décident de s'engager dans une telle activité.

60 Enfin, quant à l'article 14, premier alinéa, sous a), de la directive 95/46, il convient de constater que, s'il résulte de ce qui précède que dans la pondération à effectuer dans le cadre de cette disposition prévalent, en principe, la nécessité de protéger les intérêts des tiers par rapport aux sociétés par actions et aux sociétés à responsabilité limitée et d'assurer la sécurité juridique, la loyauté des transactions commerciales et ainsi le bon fonctionnement du marché intérieur, il ne saurait toutefois être exclu que puissent exister des situations particulières dans lesquelles des raisons prépondérantes et légitimes tenant au cas concret de la personne concernée justifient exceptionnellement que l'accès aux données à caractère personnel la concernant inscrites dans le registre soit limité, à l'expiration d'un délai suffisamment long après la dissolution de la société en question, aux tiers justifiant d'un intérêt spécifique à leur consultation.

61 À cet égard, il importe néanmoins de préciser que dans la mesure où l'application de l'article 14, premier alinéa, sous a), de la directive 95/46 est soumise à la réserve que le droit national ne prévoie pas de disposition contraire, la décision finale quant au point de savoir si les personnes physiques visées à l'article 2, paragraphe 1, sous d) et j), de la directive 68/151 peuvent demander à l'autorité chargée de la tenue du registre une telle limitation de l'accès aux données à caractère personnel les concernant, sur la base d'une appréciation au cas par cas, appartient aux législateurs nationaux.

62 Il appartient à la juridiction de renvoi de vérifier l'état de son droit national sur ce plan.

63 À supposer qu'il résulte d'une telle vérification que le droit national permet de telles demandes, il appartiendra à la juridiction de renvoi d'apprécier, au regard de l'ensemble des circonstances pertinentes et en tenant compte du délai écoulé depuis la dissolution de la société concernée, l'existence éventuelle de raisons prépondérantes et légitimes qui seraient, le cas échéant, de nature à justifier exceptionnellement de limiter l'accès des tiers aux données concernant M. Manni dans le registre des sociétés, desquelles il ressort que celui-ci a été l'administrateur unique et le liquidateur d'Immobiliare Salentina. À cet égard, il convient de relever que la seule circonstance que, prétendument, les immeubles d'un complexe touristique construit par Italiana Costruzioni, dont M. Manni est actuellement l'administrateur unique, ne se vendent pas en raison du fait que des acheteurs potentiels de ces immeubles ont accès à ces données dans le registre des sociétés, ne saurait suffire à constituer une telle raison, compte tenu notamment de l'intérêt légitime de ces derniers de disposer de ces informations.

64 Au vu de l'ensemble des considérations qui précèdent, il convient de répondre aux questions posées que l'article 6, paragraphe 1, sous e), l'article 12, sous b), et l'article 14, premier alinéa, sous a), de la directive 95/46, lus en combinaison avec l'article 3 de la directive 68/151, doivent être interprétés en ce sens que, en l'état actuel du droit de l'Union, il appartient aux États membres de déterminer si les personnes physiques, visées à l'article 2, paragraphe 1, sous d) et j), de cette dernière directive, peuvent demander à l'autorité chargée de la tenue du registre de vérifier, sur la base d'une appréciation au cas par cas, s'il est exceptionnellement justifié, pour des raisons prépondérantes et légitimes tenant à leur situation particulière, de limiter, à l'expiration d'un délai suffisamment long après la dissolution de la société concernée, l'accès aux données à caractère personnel les concernant, inscrites dans ce registre, aux tiers justifiant d'un intérêt spécifique à la consultation de ces données.

Sur les dépens

65 La procédure revêtant, à l'égard des parties au principal, le caractère d'un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l'objet d'un remboursement.

Par ces motifs, la Cour (deuxième chambre) dit pour droit :

L'article 6, paragraphe 1, sous e), l'article 12, sous b), et l'article 14, premier alinéa, sous a), de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, lus en combinaison avec l'article 3 de la première directive 68/151/CEE du Conseil, du 9 mars 1968, tendant à coordonner, pour les rendre équivalentes, les garanties qui sont exigées, dans les États membres, des sociétés au sens de l'article 58 deuxième alinéa du traité, pour protéger les intérêts tant des associés que des tiers, telle que modifiée par la directive 2003/58/CE du Parlement européen et du Conseil, du 15 juillet 2003, doivent être interprétés en ce sens que, en l'état actuel du droit de l'Union, il appartient aux États membres de déterminer si les personnes physiques, visées à l'article 2, paragraphe 1, sous d) et j), de cette dernière directive, peuvent demander à l'autorité chargée de la tenue, respectivement, du registre central, du registre du commerce ou du registre des sociétés de vérifier, sur la base d'une appréciation au cas par cas, s'il est exceptionnellement justifié, pour des raisons prépondérantes et légitimes tenant à leur situation particulière, de limiter, à l'expiration d'un délai suffisamment long après la dissolution de la société concernée, l'accès aux données à caractère personnel les concernant, inscrites dans ce registre, aux tiers justifiant d'un intérêt spécifique à la consultation de ces données.