CJUE, 1re ch., 3 septembre 2026, n° C-798/24

1 La demande de décision préjudicielle porte, d’une part, sur l’interprétation de l’article 14, sous d), ii), de la directive (UE) 2017/1132 du Parlement européen et du Conseil, du 14 juin 2017, relative à certains aspects du droit des sociétés (JO 2017, L 169, p. 46), telle que modifiée par la directive (UE) 2019/1151 du Parlement européen et du Conseil, du 20 juin 2019 (JO 2019, L 186, p. 80) (ci‑après la « directive 2017/1132 »), ainsi que sur la validité de cette disposition au regard des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), et, d’autre part, sur l’interprétation de l’article 5, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2 Cette demande s’inscrit dans le cadre d’un recours constitutionnel introduit par des personnes physiques qui contestent la conformité à la Latvijas Republikas Satversme (Constitution de la République de Lettonie) d’une réglementation nationale qui impose la mise à la disposition du public de données à caractère personnel relatives aux actionnaires de sociétés anonymes.

Le cadre juridique

Le droit de l’Union

La Charte

3 L’article 7 de la Charte, intitulé « Respect de la vie privée et familiale », dispose :

« Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de ses communications. »

4 L’article 8 de la Charte, intitulé « Protection des données à caractère personnel », prévoit :

« 1. Toute personne a droit à la protection des données à caractère personnel la concernant.

2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification.

3. Le respect de ces règles est soumis au contrôle d’une autorité indépendante. »

5 L’article 52 de la Charte, intitulé « Portée et interprétation des droits et des principes », dispose, à son paragraphe 1 :

« Toute limitation de l’exercice des droits et libertés reconnus par la présente Charte doit être prévue par la loi et respecter le contenu essentiel desdits droits et libertés. Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union [européenne] ou au besoin de protection des droits et libertés d’autrui. »

Le RGPD

6 Les considérants 1 et 10 du RGPD énoncent :

« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la [Charte] et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.

[...]

(10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union, le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. [...] »

7 En vertu de son article 1er, paragraphe 2, le RGPD protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel.

8 Aux termes de son article 2, paragraphe 1, le RGPD s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier.

9 L’article 4 du RGPD, intitulé « Définitions », dispose :

« Aux fins du présent règlement, on entend par :

1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable [...] ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;

[...] »

10 L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », énonce, à son paragraphe 1 :

« Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; le traitement ultérieur à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques n’est pas considéré, conformément à l’article 89, paragraphe 1, comme incompatible avec les finalités initiales (limitation des finalités) ;

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

[...] »

11 L’article 6 du RGPD, intitulé « Licéité du traitement », prévoit, à ses paragraphes 1 et 3 :

« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

[...]

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

[...]

3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

a) le droit de l’Union ; ou

b) le droit de l’État membre auquel le responsable du traitement est soumis.

Les finalités du traitement sont définies dans cette base juridique ou, en ce qui concerne le traitement visé au paragraphe 1, point e), sont nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement. Cette base juridique peut contenir des dispositions spécifiques pour adapter l’application des règles du présent règlement, entre autres : les conditions générales régissant la licéité du traitement par le responsable du traitement ; les types de données qui font l’objet du traitement ; les personnes concernées ; les entités auxquelles les données à caractère personnel peuvent être communiquées et les finalités pour lesquelles elles peuvent l’être ; la limitation des finalités ; les durées de conservation ; et les opérations et procédures de traitement, y compris les mesures visant à garantir un traitement licite et loyal, telles que celles prévues dans d’autres situations particulières de traitement comme le prévoit le chapitre IX. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi. »

La directive 2017/1132

12 Les considérants 7 et 8 de la directive 2017/1132 énoncent :

« (7) La coordination des dispositions nationales concernant la publicité, la validité des engagements des sociétés par actions et des sociétés à responsabilité limitée et la nullité de celles-ci revêt une importance particulière, notamment en vue d’assurer la protection des intérêts des tiers.

(8) La publicité devrait permettre aux tiers de connaître les actes essentiels d’une société et certaines indications la concernant, notamment l’identité des personnes qui ont le pouvoir de l’engager. »

13 Aux termes de l’article 1er de cette directive, intitulé « Objet » :

« La présente directive établit des mesures concernant ce qui suit :

– la coordination, pour les rendre équivalentes, des garanties qui sont exigées, dans les États membres, des sociétés au sens de l’article 54, deuxième alinéa, du traité, en vue de la protection des intérêts tant des associés que des tiers, en ce qui concerne la constitution des sociétés anonymes ainsi que le maintien et les modifications de leur capital,

– la coordination, pour les rendre équivalentes, des garanties qui sont exigées, dans les États membres, des sociétés au sens de l’article 54, deuxième alinéa, du traité, en vue de la protection des intérêts tant des associés que des tiers, en ce qui concerne la publicité, la validité des engagements et la nullité des sociétés par actions et des sociétés à responsabilité limitée,

[...] »

14 L’article 4 de ladite directive, intitulé « Informations obligatoires à fournir dans les statuts ou l’acte constitutif ou des documents séparés », dispose :

« Les indications suivantes au moins doivent figurer, soit dans les statuts, soit dans l’acte constitutif, soit dans un document séparé qui fait l’objet d’une publicité effectuée selon la procédure prévue par la législation de chaque État membre conformément à l’article 16 :

[...]

i) l’identité des personnes physiques ou morales ou des sociétés qui ont signé ou au nom de qui ont été signés les statuts ou l’acte constitutif ou, lorsque la constitution de la société n’est pas simultanée, l’identité des personnes physiques ou morales ou des sociétés qui ont signé ou au nom de qui ont été signés les projets de statuts ou d’acte constitutif ;

[...] »

15 L’article 13 de la même directive, intitulé « Champ d’application », prévoit :

« Les mesures de coordination prescrites par la présente section et par la section 1 bis s’appliquent aux dispositions législatives, réglementaires et administratives des États membres relatives aux formes de sociétés figurant à l’annexe II et, lorsque cela est prévu, aux formes de sociétés figurant aux annexes I et II bis. »

16 L’annexe II de la directive 2017/1132, qui énumère les formes des sociétés visées, notamment, à l’article 13 de cette dernière, renvoie, pour la Lettonie, aux « akciju sabiedrība, sabiedrība ar ierobežotu atbildību, komanditsabiedrība », à savoir les sociétés anonymes, les sociétés à responsabilité limitée et les sociétés en commandite par actions.

17 L’article 14 de cette directive, intitulé « Actes et indications soumis à publicité », dispose :

« Les États membres prennent les mesures nécessaires pour que les sociétés publient obligatoirement au moins les actes et indications suivants :

a) l’acte constitutif, et les statuts s’ils font l’objet d’un acte séparé ;

[...]

d) la nomination, la cessation des fonctions ainsi que l’identité des personnes qui, en tant qu’organe légalement prévu, ou membres de tel organe :

i) ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice ; les mesures de publicité précisent si les personnes qui ont le pouvoir d’engager la société peuvent le faire seules ou doivent le faire conjointement,

ii) participent à l’administration, à la surveillance ou au contrôle de la société ;

[...] »

18 L’article 16, paragraphe 3, de ladite directive prévoit :

« Les États membres veillent à ce que la publicité des actes et informations visés à l’article 14 soit assurée en les rendant accessibles au public dans le [registre central, du commerce ou des sociétés]. [...] »

19 L’article 64, paragraphe 3, et l’article 95, paragraphe 2, de la même directive portent sur les obligations de l’organe d’administration ou de direction de la société à l’égard de l’assemblée générale, respectivement, en matière d’aide financière accordée par une société pour l’acquisition de ses propres actions par un tiers ainsi qu’en matière de fusion par absorption.

La directive 2015/849

20 Les articles 11 et 13 de la directive (UE) 2015/849 du Parlement européen et du Conseil, du 20 mai 2015, relative à la prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme, modifiant le règlement (UE) no 648/2012 du Parlement européen et du Conseil et abrogeant la directive 2005/60/CE du Parlement européen et du Conseil et la directive 2006/70/CE de la Commission (JO 2015, L 141, p. 73), telle que modifiée par la directive (UE) 2024/1640 du Parlement européen et du Conseil, du 31 mai 2024 (JO L, 2024/1640) (ci-après la « directive 2015/849 »), précisent les mesures de vigilance que les entités assujetties doivent appliquer à l’égard de leur clientèle.

21 L’article 30, paragraphe 5, de la directive 2015/849 dispose :

« Les États membres veillent à ce que les informations sur les bénéficiaires effectifs soient accessibles dans tous les cas :

[...]

c) à toute personne ou organisation pouvant démontrer un intérêt légitime.

Les personnes ou organisations visées au premier alinéa, point c), sont autorisées à avoir accès, au moins, au nom, au mois et à l’année de naissance, au pays de résidence et à la nationalité du bénéficiaire effectif, ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus. »

Le droit letton

La Constitution de la République de Lettonie

22 L’article 96 de la Constitution de la République de Lettonie consacre, notamment, le droit au respect de la vie privée. Selon la jurisprudence de la Satversmes tiesa (Cour constitutionnelle, Lettonie), la portée de cet article s’étend à la protection des données à caractère personnel.

Le code de commerce

23 L’article 8 du Komerclikums (code de commerce), intitulé « Contenu des inscriptions au registre du commerce », prévoit, à son paragraphe 3, points 3 et 4 :

« (3) Les informations concernant une société de capitaux à inscrire au registre du commerce sont énumérées ci-après :

[...]

3) le nom, le prénom, le numéro d’identification personnel (à défaut de numéro d’identification personnel, la date de naissance, le numéro et la date de délivrance du document d’identité, le pays et l’autorité ayant délivré ce document) ainsi que la fonction occupée par les membres du directoire de la société de capitaux et les membres du conseil de surveillance (si la société de capitaux dispose d’un tel conseil) ;

4) le pouvoir des membres du directoire d’engager la société individuellement ou conjointement ;

[...]

24 L’article 12 de ce code, intitulé « Publicité dans le registre du commerce », est libellé comme suit :

« (1) Les inscriptions au registre du commerce produisent leurs effets à l’égard des tiers à compter de leur publication. [...]

[...] »

25 L’article 235 dudit code, intitulé « Informations à inscrire au registre des actionnaires », dispose :

« (1) La rubrique du registre des actionnaires, à chaque actualisation, indique le nom de la société, son numéro d’immatriculation, son adresse légale et, le cas échéant, l’information selon laquelle la société fait l’objet d’une procédure de liquidation ou d’insolvabilité, ainsi que le titre du document “Rubrique du registre des actionnaires”, et contient les informations suivantes :

1) le numéro d’ordre et la date de la rubrique ;

2) le numéro d’ordre de l’inscription, en utilisant la numérotation consécutive de la première rubrique du registre des actionnaires ;

3) les numéros d’ordre des actions ;

4) les données relatives aux actionnaires :

a) pour une personne physique, le nom, le prénom, numéro d’identification personnel (à défaut de numéro d’identification personnel, la date de naissance, le numéro et la date de délivrance du document d’identité, le pays et l’autorité ayant délivré ce document) et l’adresse à laquelle la personne peut être contactée ;

b) pour une personne morale et une société de personnes, le nom, le numéro d’enregistrement et l’adresse légale ;

5) l’adresse électronique de l’actionnaire, si celui-ci a demandé qu’elle soit utilisée par la société pour communiquer avec lui ;

6) la catégorie, le nombre et la valeur nominale des actions de chaque actionnaire, ainsi que le nombre de votes qui y sont attachés ;

7) le statut de libération des actions ;

8) le représentant commun des actionnaires désigné selon la procédure prévue à l’article 157 du présent code, en indiquant les éléments visés au paragraphe 1, points 4 et 5, du présent article ;

9) les informations sur les actions acquises par la société elle-même, en indiquant les motifs de leur acquisition.

[...] »

26 Aux termes de l’article 268 du même code, intitulé « Compétence de l’assemblée générale des actionnaires » :

« (1) Seule l’assemblée générale des actionnaires a le droit de prendre des décisions concernant :

1) les comptes annuels de la société ;

2) l’utilisation des bénéfices de l’exercice précédent ;

3) l’élection et la révocation des membres du conseil de surveillance, des commissaires aux comptes et des liquidateurs ;

4) l’introduction de recours contre les membres du directoire et du conseil de surveillance ainsi que contre le commissaire aux comptes, ou la renonciation à une telle action, et la désignation d’un représentant de la société pour poursuivre les actions contre les membres du conseil de surveillance ;

[...]

6) la modification des statuts de la société ;

7) l’augmentation ou la réduction du capital social ;

8) l’émission et la conversion des titres de la société, ainsi que le dépositaire central de titres dans lequel sont inscrites les actions dématérialisées de la société ;

9) la détermination de la rémunération des membres du conseil de surveillance et du commissaire aux comptes ;

10) la cessation, la poursuite, la suspension ou le renouvellement des activités de la société ou encore la réorganisation de la société ;

11) les principes généraux, les types et les critères de détermination de la rémunération des membres du directoire et du conseil de surveillance ;

12) l’attribution d’actions de la société aux salariés et aux membres du directoire et du conseil de surveillance.

(2) L’assemblée générale des actionnaires prend des décisions sur d’autres sujets uniquement si la loi le prévoit. »

La loi sur le registre des entreprises

27 L’article 4.10 du likums « Par Latvijas Republikas Uzņēmumu reģistru » (loi sur le registre des entreprises de la République de Lettonie, ci-après la « loi sur le registre des entreprises »), intitulé « Droit d’accéder aux informations du registre des entreprises », est libellé comme suit, à son cinquième alinéa :

« Le registre des entreprises fournit gratuitement les informations et les documents contenus dans la partie publique du dossier d’enregistrement (article 4.15, premier alinéa) en mode de transmission de données en ligne (y compris pour le téléchargement en masse). »

28 L’article 4.11 de cette loi, intitulé « Informations à publier sur le site Internet du registre des entreprises », prévoit, à son premier alinéa, point 2 :

« Le registre des entreprises veille à ce qu’un utilisateur non identifié ait accès publiquement aux informations les plus récentes (les plus actuelles) suivantes sur son site Internet concernant les personnes morales et les faits juridiques enregistrés dans les registres tenus par le registre des entreprises :

[...]

2) autres informations inscrites au registre. »

29 L’article 4.15 de ladite loi, intitulé « Parties publique et non publique du dossier d’enregistrement », dispose :

« La partie publique du dossier d’enregistrement comprend :

[...]

2) autres informations inscrites au registre :

[...]

b) les informations issues de la rubrique du registre des associés (actionnaires) d’une société de capitaux concernant les associés (actionnaires) de cette dernière [...]

3) les documents suivants faisant partie du dossier d’enregistrement :

a) dans le registre du commerce – [...] la rubrique du registre des associés (actionnaires), [...]

Les documents et les informations qui font partie du dossier d’enregistrement et qui ne sont pas visés au premier alinéa du présent article sont inclus dans la partie non publique du dossier d’enregistrement.

Lorsqu’une inscription au registre ou une information enregistrée a reçu le statut d’information à accès restreint ou que sa mise à la disposition du public a été restreinte par une réglementation, elle est incluse dans la partie non publique du dossier d’enregistrement.

Les informations et les documents figurant dans la partie non publique du dossier d’enregistrement ([deuxième et troisième alinéas] du présent article) sont des informations à accès restreint, et peuvent être obtenus par les autorités répressives pour l’exécution des tâches spécifiées dans les lois et règlements, ainsi que, sans restrictions, par le [Finanšu izlūkošanas dienests (service de renseignement financier)] et les autorités de surveillance et de contrôle dans le domaine de la prévention du blanchiment de capitaux et du financement du terrorisme et de la prolifération, alors que les autres autorités doivent présenter une demande motivée. Les particuliers demandent les informations et les documents contenus dans la partie non publique du dossier d’enregistrement conformément à la procédure de demande d’informations à accès restreint prévue par l’[Informācijas atklātības likums (loi sur la liberté d’information)]. »

La loi sur la prévention du blanchiment de capitaux

30 L’article 5.1 du Noziedzīgi iegūtu līdzekļu legalizācijas un terorisma un proliferācijas finansēšanas novēršanas likums (loi sur la prévention du blanchiment de capitaux et le financement du terrorisme et de la prolifération, ci-après la « loi sur la prévention du blanchiment de capitaux »), intitulé « Accessibilité des informations nécessaires au respect des exigences de la loi, provenant des systèmes d’information de la République de Lettonie », énonce, à son paragraphe 1 :

« Afin de se conformer aux obligations qui leur incombent en vertu de la présente loi, les entités assujetties et les autorités de surveillance et de contrôle ont le droit de demander et d’obtenir en ligne des fiches et des informations sur les membres et les bénéficiaires effectifs contenues dans les registres tenus par le registre des entreprises de la République de Lettonie, de conserver et de traiter par ailleurs ces informations afin d’évaluer les données sur le client et ses partenaires commerciaux et la nécessité de signaler une transaction suspecte au service de renseignement financier ou de s’abstenir d’effectuer une telle transaction, ainsi que de déterminer si le client fait l’objet d’une procédure d’insolvabilité de personnes morales ou a été placé en situation de redressement judiciaire. »

La loi sur les sanctions internationales et nationales

31 L’article 5 du Starptautisko un Latvijas Republikas nacionālo sankciju likums (loi sur les sanctions internationales et nationales de la République de Lettonie, ci-après la « loi sur les sanctions internationales et nationales »), intitulé « Restrictions financières », prévoit :

« Lorsque les sanctions nationales imposent des restrictions financières à la personne sanctionnée, toutes les personnes, dans le cadre de leur compétence, sont tenues immédiatement et sans notification préalable de :

1) geler tous les fonds et ressources économiques qui sont, directement ou indirectement, en tout ou en partie, la propriété de la personne sanctionnée, possédés, détenus ou contrôlés par cette dernière, y compris des tiers agissant en son nom ou selon ses instructions ;

2) ne pas mettre les fonds et les ressources économiques, directement ou indirectement, à la disposition de la personne sanctionnée, y compris des tiers agissant en son nom, sur ses instructions ou à son profit ;

3) ne pas fournir les services financiers tels que visés par les sanctions nationales à la personne sanctionnée, y compris aux tiers agissant en son nom, sur ses instructions ou à son profit. »

Le litige au principal et les questions préjudicielles

32 Dix-sept personnes physiques ont saisi la Satversmes tiesa (Cour constitutionnelle), qui est la juridiction de renvoi, d’un recours visant à contester la conformité à l’article 96 de la Constitution de la République de Lettonie, qui garantit le droit au respect de la vie privée et la protection des données à caractère personnel, d’une réglementation nationale, à savoir l’article 4.15, premier alinéa, point 2, sous b), de la loi sur le registre des entreprises, lu en combinaison avec l’article 4.10, cinquième alinéa, de cette loi et l’article 235, paragraphe 1, du code de commerce.

33 En vertu de cette réglementation, certaines informations relatives aux actionnaires de sociétés anonymes sont mises à la disposition du public. Si un tel actionnaire est une personne physique, ces informations incluent le nom, le prénom, le numéro d’identification personnel ou, à défaut d’un tel numéro, la date de naissance, le numéro et la date de délivrance d’un document d’identité, le pays et l’autorité de délivrance, ainsi que l’adresse à laquelle l’actionnaire peut être contacté. En outre, et indépendamment du point de savoir si l’actionnaire est une personne physique, lesdites informations incluent également l’adresse électronique de l’actionnaire, lorsque celui-ci a demandé qu’elle soit utilisée par la société dont il détient des actions afin de communiquer avec lui, la catégorie, le nombre et la valeur nominale de ses actions, ainsi que le nombre de votes qui sont attachés à celles-ci. Les mêmes informations sont accessibles en ligne et peuvent faire l’objet de téléchargements en masse, notamment par tout utilisateur non identifié, comme le prévoit l’article 4.11, premier alinéa, point 2, de la loi sur le registre des entreprises.

34 Les requérants au principal sont des actionnaires minoritaires d’une société anonyme. Ils font valoir que le législateur letton n’aurait pas examiné ni justifié la nécessité de divulguer les informations concernées au public, étant précisé qu’après leur publication, aucune restriction à leur utilisation ultérieure ne serait possible et qu’il existerait un risque élevé qu’elles soient utilisées à des fins malhonnêtes. En tout état de cause, eu égard à l’arrêt du 22 novembre 2022, Luxembourg Business Registers (C‑37/20 et C‑601/20, EU:C:2022:912, ci-après l’« arrêt Luxembourg Business Registers »), la divulgation de ces informations serait injustifiée et disproportionnée, compte tenu du fait que les requérants au principal ne sont ni les bénéficiaires effectifs de la société concernée, ni des membres des organes de direction de celle-ci, et qu’ils n’ont ni le droit ni la possibilité d’exercer de contrôle sur cette société.

35 À cet égard, la juridiction de renvoi s’interroge, d’une part, sur le point de savoir si la publication des données à caractère personnel en cause devant elle est requise en vertu de la directive 2017/1132 et, en particulier, de son article 14, sous d), ii), qui vise des actes ou des indications concernant les personnes qui participent à l’administration, à la surveillance ou au contrôle de la société. Si tel devait être le cas, cette juridiction estime qu’il serait nécessaire de vérifier la validité d’une telle obligation de publication au regard des articles 7 et 8 de la Charte.

36 D’autre part, cette juridiction s’interroge sur le point de savoir si un État membre peut, sans violer les dispositions du RGPD, notamment son article 5, paragraphe 1, ainsi que celles de la Charte, prévoir dans son droit national une telle obligation de publication en vue de réaliser des objectifs tels que ceux avancés par la Latvijas Republikas Saeima (Parlement letton), à savoir, premièrement, garantir un climat des affaires transparent et protéger les intérêts des tiers, deuxièmement, prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive ainsi que, troisièmement, fournir les informations nécessaires à la mise en œuvre des sanctions nationales, internationales et de l’Union. Dans ce contexte, la juridiction de renvoi relève que l’accès aux données en cause n’est subordonné à aucune condition telle que, notamment, la démonstration d’un intérêt légitime.

37 C’est dans ces conditions que la Satversmes tiesa (Cour constitutionnelle) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1) L’expression “personnes qui [...] participent à l’administration, à la surveillance ou au contrôle de la société”, employée à l’article 14, sous d), de la [directive 2017/1132], doit-elle être interprétée en ce sens qu’elle vise tout actionnaire d’une société anonyme, de sorte qu’un État membre est tenu d’assurer la publicité des informations relatives à tout actionnaire d’une société anonyme en les rendant accessibles au public dans un registre conformément à l’article 16, paragraphe 3, de cette directive ?

2) En cas de réponse affirmative à la première question, l’article 14, sous d), ii), de la directive 2017/1132, en ce qu’il prévoit la publicité d’informations concernant tout actionnaire d’une société anonyme, est-il valide au regard du droit au respect de la vie privée et familiale garanti par l’article 7 de la Charte et du droit à la protection des données à caractère personnel garanti par l’article 8 de cette Charte ?

3) L’article 5, paragraphe 1, sous b), du [RGPD] doit-il être interprété en ce sens que le traitement de données à caractère personnel relatives aux actionnaires d’une société anonyme peut être effectué aux fins, premièrement, de garantir un climat des affaires transparent et de protéger les intérêts des tiers, deuxièmement, de prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération et, troisièmement, de fournir les informations nécessaires à la mise en œuvre de sanctions nationales, internationales et de l’Union ?

4) Les principes énoncés à l’article 5, paragraphe 1, du [RGPD] permettent-ils à un État membre de prévoir, aux fins susmentionnées, un cadre juridique en vertu duquel toute personne peut obtenir les données à caractère personnel de tout actionnaire d’une société anonyme sans être tenue de démontrer un intérêt légitime à cet égard ? »

Sur les questions préjudicielles

Sur la première question

38 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 14, sous d), de la directive 2017/1132 doit être interprété en ce sens qu’il requiert la publication d’informations portant sur tous les actionnaires des sociétés visées par cette disposition, y compris les actionnaires minoritaires de telles sociétés.

39 En vertu de ladite disposition, qui s’applique aux formes de sociétés visées à l’article 13 de la directive 2017/1132, à savoir celles énumérées notamment à l’annexe II de celle-ci, les États membres doivent prendre les mesures nécessaires pour que ces sociétés publient obligatoirement au moins les actes et les indications relatifs à la nomination, à la cessation des fonctions ainsi qu’à l’identité des personnes qui, en tant qu’organe légalement prévu ou membres d’un tel organe, ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice, ou qui participent à l’administration, à la surveillance ou au contrôle de la société.

40 À cet égard, il convient de rappeler que, selon une jurisprudence constante, les termes d’une disposition du droit de l’Union qui ne comporte aucun renvoi exprès au droit des États membres pour déterminer son sens et sa portée doivent normalement trouver, dans toute l’Union, une interprétation autonome et uniforme qui doit être recherchée en tenant compte non seulement des termes de cette disposition, mais également de son contexte et des objectifs poursuivis par la réglementation dont elle fait partie (voir, en ce sens, arrêts du 18 janvier 1984, Ekro, 327/82, EU:C:1984:11, point 11, et du 18 décembre 2025, Slagelse Almennyttige Boligselskab, Afdeling Schackenborgvænge, C‑417/23, EU:C:2025:1017, point 76).

41 S’agissant des termes de l’article 14, sous d), de la directive 2017/1132, il convient de relever que cette disposition ne vise expressément ni les actionnaires ni l’assemblée générale des actionnaires. En outre, ladite disposition fait référence à la « nomination », à la « cessation des fonctions » et à l’« identité » des personnes qui, en tant qu’organe légalement prévu, ou membres d’un tel organe, ont le pouvoir d’engager la société à l’égard des tiers et de la représenter en justice et/ou qui participent à l’administration, à la surveillance ou au contrôle de la société. Or, ainsi que les gouvernements letton et polonais, le Parlement européen, le Conseil de l’Union européenne et la Commission européenne l’ont relevé dans leurs observations écrites, les actionnaires d’une société ne sont pas nommés ni démis de leurs fonctions. En effet, leur statut résulte de leur seule participation au capital social d’une société, à savoir de leur droit de propriété sur des actions émises par cette société, et il se distingue, à cet égard, de celui des personnes désignées afin de siéger au sein des organes d’administration et de direction de ladite société et de représenter cette dernière dans ses rapports avec les tiers.

42 S’agissant du contexte dans lequel s’inscrit la même disposition, il y a lieu de constater que plusieurs dispositions de la directive 2017/1132, telles que l’article 64, paragraphe 3, et l’article 95, paragraphe 2, de cette directive, reflètent la distinction terminologique, opérée par le législateur de l’Union, entre les organes d’administration et de direction, d’une part, et l’assemblée générale des actionnaires, d’autre part. Ainsi, bien que cette assemblée générale détienne certaines prérogatives de décision, celles-ci n’ont pas la même nature que les pouvoirs exercés par les organes d’administration et de direction de la société, de sorte que ni les actes de ladite assemblée générale ni, à travers elle, ceux de ses membres ne sauraient être qualifiés de « participation », au sens de l’article 14, sous d), ii), de ladite directive.

43 En outre, si l’article 14, sous a), de la directive 2017/1132, qui doit être lu en combinaison avec l’article 4, sous i), de celle-ci, requiert la publication de l’acte constitutif ainsi que des statuts d’une société anonyme, ces documents devant faire mention de l’identité de leurs signataires, lesquels peuvent inclure les actionnaires initiaux de cette société, aucune disposition de cette directive n’exige expressément une publication en cas de modification ultérieure de la composition de l’actionnariat d’une telle société.

44 S’agissant des objectifs poursuivis par la directive 2017/1132, il résulte des considérants 7 et 8 ainsi que de l’article 1er de cette directive que la publicité prévue par celle-ci vise à protéger notamment les intérêts des tiers par rapport aux sociétés par actions et aux sociétés à responsabilité limitée, dès lors qu’elles n’offrent comme garantie à l’égard des tiers que leur patrimoine social. À cette fin, cette publicité doit permettre aux tiers de connaître les actes essentiels de la société concernée et certaines indications la concernant, notamment l’identité des personnes qui ont le pouvoir de l’engager (voir, en ce sens, arrêt du 4 octobre 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, point 77).

45 En outre, le but de ladite directive est d’assurer la sécurité juridique dans les rapports entre les sociétés et les tiers dans la perspective d’une intensification des courants d’affaires entre les États membres à la suite de la création du marché intérieur. Dans cette perspective, il importe que toute personne désireuse d’établir et de poursuivre des rapports d’affaires avec des sociétés situées dans d’autres États membres puisse aisément prendre connaissance des données essentielles relatives à la constitution des sociétés commerciales et aux pouvoirs des personnes chargées de les représenter, ce qui nécessite que toutes les données pertinentes figurent de manière explicite dans le registre visé à l’article 16, paragraphe 3, de la même directive (voir, en ce sens, arrêt du 4 octobre 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, point 78 et jurisprudence citée).

46 Or, en l’occurrence, la publication de données afférentes à tous les actionnaires de sociétés anonymes et, en particulier, aux actionnaires minoritaires de celles-ci ne paraît pas présenter d’utilité au regard de l’objectif de protection des intérêts des tiers et de la sécurité juridique, et ne saurait donc être justifiée par cet objectif. En effet, les actionnaires minoritaires n’étant, en principe, pas habilités à représenter une société anonyme ni à l’engager à l’égard des tiers, ni à exercer des fonctions de gestion et de surveillance, contrairement aux membres des organes d’administration et de direction d’une telle société, les données relatives à tous ces actionnaires semblent dénuées de pertinence pour ces tiers.

47 Par conséquent, il convient de répondre à la première question que l’article 14, sous d), de la directive 2017/1132 doit être interprété en ce sens qu’il ne requiert pas la publication d’informations portant sur tous les actionnaires des sociétés visées par cette disposition, y compris les actionnaires minoritaires de telles sociétés.

Sur la deuxième question

48 Eu égard à la réponse apportée à la première question, il n’y a pas lieu de répondre à la deuxième question.

Sur les troisième et quatrième questions

49 Par ces questions, qu’il convient de traiter conjointement, la juridiction de renvoi demande, en substance, si les articles 5 et 6 du RGPD, lus à la lumière des articles 7 et 8 de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale qui impose la mise à la disposition du public de données à caractère personnel relatives à tous les actionnaires, y compris aux actionnaires minoritaires, de sociétés anonymes, ayant trait à l’identité de chacun de ces actionnaires, à ses coordonnées, à la catégorie, au nombre et à la valeur nominale des actions qu’il détient ainsi qu’au nombre de votes attachés à ces actions, afin de garantir un climat des affaires transparent pour protéger les intérêts des tiers, de prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive, ainsi que de fournir les informations nécessaires à la mise en œuvre des sanctions nationales, internationales et de l’Union, lorsque l’accès à ces données n’est subordonné à aucune condition, telle que la démonstration d’un intérêt légitime.

50 À titre liminaire, il convient de rappeler que, conformément à l’objectif poursuivi par le RGPD, tel qu’il ressort de l’article 1er ainsi que des considérants 1 et 10 de celui-ci, lequel consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16, paragraphe 1, TFUE, tout traitement de données à caractère personnel doit, notamment, être conforme aux principes relatifs au traitement de telles données énoncés à l’article 5 du RGPD et satisfaire aux conditions de licéité énumérées à l’article 6 de celui-ci [voir, en ce sens, arrêts du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, points 21 et 22, ainsi que du 3 avril 2025, Ministerstvo zdravotnictví (Données relatives au représentant d’une personne morale), C‑710/23, EU:C:2025:231, points 29 et 33].

51 À cet égard, il convient de relever que l’article 5, paragraphe 1, sous a), du RGPD dispose que les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée.

52 En outre, aux termes de l’article 5, paragraphe 1, sous b), du RGPD énonçant le principe de limitation des finalités du traitement des données à caractère personnel, de telles données doivent, d’une part, être collectées pour des finalités déterminées, explicites et légitimes, et, d’autre part, ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités. Selon la jurisprudence de la Cour, ce principe implique notamment, tout d’abord, que les finalités du traitement soient identifiées au plus tard lors de la collecte des données à caractère personnel, ensuite, que les finalités de ce traitement soient énoncées clairement et, enfin, que les finalités dudit traitement garantissent, notamment, la licéité du traitement de ces données, au sens de l’article 6, paragraphe 1, du RGPD (voir, en ce sens, arrêt du 20 octobre 2022, Digi, C‑77/21, EU:C:2022:805, point 27 et jurisprudence citée).

53 Enfin, en vertu de l’article 5, paragraphe 1, sous c), du RGPD, lequel consacre le principe de minimisation des données, ces données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Ce principe est une expression du principe de proportionnalité (voir, en ce sens, arrêt du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, point 24 et jurisprudence citée).

54 S’agissant des conditions de licéité du traitement, l’article 6, paragraphe 1, premier alinéa, du RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite. Ainsi, pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus à cette disposition (voir, en ce sens, arrêt du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, point 25 et jurisprudence citée).

55 Aux termes de l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD, le traitement de données à caractère personnel est licite si, et dans la mesure où, la personne concernée y a consenti pour une ou plusieurs finalités spécifiques. En l’absence d’un tel consentement, ou lorsque ce consentement n’a pas été donné de manière libre, spécifique, éclairée et univoque, au sens de l’article 4, point 11, du RGPD, un tel traitement peut néanmoins être justifié lorsqu’il répond à l’une des exigences de nécessité mentionnées à l’article 6, paragraphe 1, premier alinéa, sous b) à f), du RGPD. Dans ce contexte, les justifications prévues à cette dernière disposition, en ce qu’elles permettent de rendre licite un traitement de données à caractère personnel effectué en l’absence du consentement de la personne concernée, doivent faire l’objet d’une interprétation restrictive (arrêt du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, points 26 et 27 ainsi que jurisprudence citée).

56 En outre, selon la jurisprudence de la Cour, lorsqu’il est possible de constater qu’un traitement de données à caractère personnel est nécessaire au regard de l’une des justifications prévues à l’article 6, paragraphe 1, premier alinéa, sous b) à f), du RGPD, il n’y a pas lieu de déterminer si ce traitement relève également d’une autre de ces justifications (arrêt du 9 janvier 2025, Mousse, C‑394/23, EU:C:2025:2, point 28 et jurisprudence citée).

57 En l’occurrence, il est constant que les informations en cause dans le litige au principal se rapportent à des personnes physiques identifiées ou identifiables et qu’elles doivent donc être qualifiées de données à caractère personnel, au sens de l’article 4, point 1, du RGPD. Il est également constant que ces informations font l’objet d’un traitement, au sens de l’article 4, point 2, du RGPD, dans la mesure où elles sont mises à la disposition du public, et que ce traitement, lequel revêt un caractère automatisé, relève du champ d’application matériel du RGPD, en vertu de l’article 2, paragraphe 1, de celui-ci.

58 En outre, ainsi que M. l’avocat général l’a relevé, en substance, au point 43 de ses conclusions, le traitement des données en cause dans le litige au principal est imposé par la réglementation nationale et doit donc être examiné à la lumière de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, selon lequel un traitement est licite si, et dans la mesure où, il est « nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ».

59 L’article 6, paragraphe 3, du RGPD précise, notamment, que, dans ce cas, le traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis, et que les finalités du traitement doivent être définies dans cette base juridique. Celle-ci doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi. Ces exigences constituant une expression de celles découlant de l’article 52, paragraphe 1, de la Charte, elles doivent être interprétées à la lumière de cette dernière disposition (voir, en ce sens, arrêts du 1er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 69, et du 4 octobre 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, point 104).

60 À cet égard, il y a lieu de relever que les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel, garantis aux articles 7 et 8 de la Charte, ne sont pas des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société et être mis en balance avec d’autres droits fondamentaux. Des limitations peuvent ainsi être apportées, pourvu que, conformément à l’article 52, paragraphe 1, de la Charte, elles soient prévues par la loi et qu’elles respectent le contenu essentiel des droits fondamentaux ainsi que le principe de proportionnalité [arrêts du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 105 ; du 1er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 70, ainsi que du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 85 et jurisprudence citée].

61 Dans ce contexte, il convient de rappeler que, selon une jurisprudence constante, la proportionnalité de mesures dont résulte une ingérence dans les droits garantis aux articles 7 et 8 de la Charte requiert le respect des exigences d’aptitude et de nécessité ainsi que de celle relative au caractère proportionné de ces mesures par rapport à l’objectif poursuivi (arrêt Luxembourg Business Registers, point 63 et jurisprudence citée).

62 Plus spécifiquement, les dérogations à la protection des données à caractère personnel et les limitations de celle‑ci s’opèrent dans les limites du strict nécessaire, étant entendu que, lorsqu’un choix s’offre entre plusieurs mesures appropriées à la satisfaction des objectifs légitimes poursuivis, il convient de recourir à la moins contraignante. En outre, un objectif d’intérêt général ne saurait être poursuivi sans tenir compte du fait qu’il doit être concilié avec les droits fondamentaux concernés par la mesure choisie, et ce en effectuant une pondération équilibrée entre, d’une part, l’objectif d’intérêt général et, d’autre part, les droits en cause, afin d’assurer que les inconvénients causés par cette mesure ne soient pas démesurés par rapport aux buts visés. Ainsi, la possibilité de justifier une limitation aux droits garantis aux articles 7 et 8 de la Charte doit être appréciée en mesurant la gravité de l’ingérence que comporte une telle limitation et en vérifiant que l’importance de l’objectif d’intérêt général poursuivi par cette limitation est en relation avec cette gravité (arrêt Luxembourg Business Registers, point 64 et jurisprudence citée).

63 En outre, pour satisfaire à l’exigence de proportionnalité, la réglementation en cause comportant l’ingérence doit également prévoir des règles claires et précises régissant la portée et l’application des mesures qu’elle prévoit et imposant des exigences minimales, de telle sorte que les personnes concernées disposent de garanties suffisantes permettant de protéger efficacement leurs données à caractère personnel contre les risques d’abus. Elle doit en particulier indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, garantissant ainsi que l’ingérence soit limitée au strict nécessaire (voir, en ce sens, arrêt Luxembourg Business Registers, point 65 et jurisprudence citée).

64 En l’occurrence, il incombe à la juridiction de renvoi de vérifier, en premier lieu, si la réglementation nationale en cause au principal satisfait au principe de limitation des finalités, énoncé à l’article 5, paragraphe 1, sous b), du RGPD, à la lumière de la jurisprudence rappelée au point 52 du présent arrêt, et si les finalités du traitement sont définies dans la base juridique pertinente, au sens de l’article 6, paragraphe 3, du RGPD. Ainsi que M. l’avocat général l’a relevé au point 45 de ses conclusions, à ce dernier égard, il importe que la ou les finalités en cause puissent être définies de manière suffisamment certaine au regard du texte de la réglementation concernée ou du contexte normatif dans lequel celle-ci s’inscrit.

65 En second lieu, il convient de vérifier si cette base juridique satisfait aux autres exigences découlant de l’article 6, paragraphe 3, du RGPD et de l’article 52, paragraphe 1, de la Charte, à la lumière de la jurisprudence constante rappelée aux points 59 à 63 du présent arrêt et en prenant en considération la gravité de l’ingérence dans les droits garantis par les articles 7 et 8 de la Charte qui résulte de ladite base juridique.

66 S’il appartient, en définitive, à la juridiction de renvoi de vérifier s’il est satisfait à ces autres exigences, il incombe à la Cour, statuant sur renvoi préjudiciel, de fournir à cette juridiction tous les éléments d’interprétation du droit de l’Union qui peuvent être utiles au jugement de l’affaire dont elle est saisie et d’apporter, le cas échéant, des précisions visant à guider ladite juridiction dans son examen (voir, en ce sens, arrêts du 27 juin 2017, Congregación de Escuelas Pías Provincia Betania, C‑74/16, EU:C:2017:496, point 36 et jurisprudence citée, ainsi que du 9 janvier 2025, Mousse, C–394/23, EU:C:2025:2, point 51).

67 À cet égard, ainsi qu’il ressort d’une jurisprudence constante de la Cour, la communication de données à caractère personnel à des tiers, y compris la mise à disposition de telles données, constitue une ingérence dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte, quelle que soit l’utilisation ultérieure des informations communiquées. À cet égard, il importe peu que les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence (voir, en ce sens, arrêt du 21 juin 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, point 96, et arrêt Luxembourg Business Registers, point 39).

68 En l’occurrence, si la réglementation nationale en cause au principal énumère précisément les données à caractère personnel qui doivent être mises à la disposition du public, de sorte que l’ingérence qui en résulte est prévue par la loi, encore convient-il, d’une part, de mesurer la gravité de cette ingérence et, d’autre part, d’examiner si l’importance des objectifs d’intérêt général prétendument poursuivis est en relation avec cette gravité (voir, en ce sens, arrêt du 1er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 98).

69 Ainsi, d’une part, s’agissant de la gravité d’une telle ingérence, il doit notamment être tenu compte de la nature des données à caractère personnel en cause, en particulier de la nature éventuellement sensible de ces données, ainsi que de la nature et des modalités concrètes du traitement des données en cause, en particulier du nombre de personnes qui ont accès à ces données et des modalités d’accès à ces dernières (arrêt du 1er août 2022, Vyriausioji tarnybinės etikos komisija, C‑184/20, EU:C:2022:601, point 99 et jurisprudence citée).

70 En l’occurrence, il y a lieu de relever que, dans la mesure où les données mises à la disposition du public ont trait notamment à l’identité de chaque actionnaire, à ses coordonnées, à la catégorie, au nombre et à la valeur nominale des actions qu’il détient ainsi qu’au nombre de votes attachés à ces actions, de telles données peuvent permettre de dresser un profil concernant, entre autres, l’état de fortune de l’intéressé ainsi que les secteurs économiques et les entreprises spécifiques dans lesquels celui-ci investit (voir, en ce sens, arrêt Luxembourg Business Registers, point 41).

71 À cela s’ajoute le fait qu’il est inhérent à une telle mise à disposition que ces données soient alors accessibles à un nombre potentiellement illimité de personnes, de telle sorte que leur traitement est susceptible de permettre également à des personnes, qui, pour des raisons étrangères à l’objectif poursuivi par cette mise à disposition, cherchent à s’informer sur la situation notamment matérielle et financière d’un tel actionnaire, d’accéder librement auxdites données. Cette possibilité s’avère d’autant plus aisée lorsque de telles données peuvent être consultées sur Internet (voir, en ce sens, arrêt Luxembourg Business Registers, point 42 et jurisprudence citée).

72 En outre, les conséquences potentielles pour les personnes concernées résultant d’une éventuelle utilisation abusive de leurs données sont aggravées par le fait que, une fois mises à la disposition du public, ces données peuvent non seulement être librement consultées, mais également conservées et diffusées et qu’il devient, en cas de tels traitements successifs, d’autant plus difficile, voire illusoire, pour ces personnes de se défendre efficacement contre des abus (voir, en ce sens, arrêt Luxembourg Business Registers, point 43).

73 Dès lors, si elle ne porte pas atteinte au contenu essentiel des droits garantis par les articles 7 et 8 de la Charte, la mise à la disposition du public des données en cause dans le litige au principal constitue cependant, et en tout état de cause, une ingérence grave dans ces droits (voir, en ce sens, arrêt Luxembourg Business Registers, points 44 et 54).

74 D’autre part, ainsi que M. l’avocat général l’a relevé aux points 50 à 52 de ses conclusions, il convient de constater que les objectifs avancés par le Parlement letton devant la juridiction de renvoi pour justifier la mesure prévue par la réglementation nationale en cause au principal et rappelés au point 49 du présent arrêt peuvent être qualifiés d’objectifs d’intérêt général reconnus par l’Union. Il y a lieu d’examiner toutefois si une réglementation nationale telle que celle en cause au principal respecte les exigences d’aptitude et de nécessité, de même que celle relative au caractère proportionné de cette mesure par rapport aux objectifs poursuivis, au sens du point 61 du présent arrêt.

75 S’agissant de l’objectif d’intérêt général consistant à garantir un climat des affaires transparent pour protéger les intérêts des tiers, il convient de relever que celui-ci paraît correspondre, en substance, à l’objectif poursuivi par la coordination des dispositions nationales opérée à l’article 14, sous d), de la directive 2017/1132, lu à la lumière des considérants 7 et 8 de celle-ci.

76 Or, ainsi qu’il ressort du point 46 du présent arrêt, la publication de données afférentes à tous les actionnaires d’une société anonyme et, en particulier, aux actionnaires minoritaires de celle-ci ne paraît pas présenter d’utilité au regard de cet objectif. Par conséquent, une réglementation nationale telle que celle en cause au principal ne paraît ni apte ni nécessaire pour atteindre ledit objectif et ne saurait, dès lors, justifier l’ingérence grave dans les droits garantis par les articles 7 et 8 de la Charte, visée au point 73 du présent arrêt.

77 Quant à l’objectif d’intérêt général consistant à prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive, il y a lieu de constater que l’accès du public aux données concernées est apte à contribuer à la réalisation de celui-ci, en raison du fait que le caractère public de cet accès et la transparence accrue qui en résulte participent de la mise en place d’un environnement moins susceptible d’être utilisé à de telles fins (voir, en ce sens, arrêt Luxembourg Business Registers, point 67).

78 Cependant, un tel accès ne saurait être considéré comme étant strictement nécessaire lorsque cet objectif peut raisonnablement être atteint de manière aussi efficace par d’autres moyens, moins attentatoires aux droits garantis par les articles 7 et 8 de la Charte [voir, en ce sens, arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 87].

79 En effet, la lutte contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive incombe prioritairement aux autorités publiques ainsi qu’aux entités, telles que les établissements de crédit ou les établissements financiers, qui, en raison de leurs activités, se voient imposer des obligations spécifiques en la matière (arrêt Luxembourg Business Registers, point 83), telles que celles résultant, notamment, des articles 11 et 13 de la directive 2015/849.

80 Dans ce contexte, il y a lieu d’observer que l’article 30, paragraphe 5, de la directive 2015/849, dont le libellé est issu de l’article 74, point 1, de la directive 2024/1640, prévoit que les États membres doivent veiller à ce que les informations sur les bénéficiaires effectifs, au sens de cette disposition, soient accessibles dans tous les cas, notamment, « à toute personne ou organisation pouvant démontrer un intérêt légitime », et non au public dans son ensemble.

81 À cet égard, il convient également de préciser que, selon la jurisprudence de la Cour, une réglementation qui, aux fins de la poursuite de l’objectif visé au point 77 du présent arrêt, permet l’accès à des données à caractère personnel aux membres du public qui peuvent justifier d’un intérêt légitime est, en principe, susceptible de limiter l’ingérence dans les droits garantis aux articles 7 et 8 de la Charte au strict nécessaire (voir, en ce sens, arrêt du 21 mai 2026, Across Fiduciaria e.a., C‑684/24 et C‑685/24, EU:C:2026:410, point 106).

82 Or, en l’occurrence, s’agissant d’actionnaires minoritaires qui n’ont pas la qualité de bénéficiaires effectifs de la société dont ils détiennent une partie du capital social, il ne paraît donc, et à plus forte raison, pas strictement nécessaire que des données à caractère personnel telles que celles en cause dans le litige au principal soient accessibles à toute personne, sans que cette dernière doive démontrer un intérêt légitime.

83 Dans un tel contexte, si la juridiction de renvoi indique que le registre des entreprises national, qui est le responsable du traitement, pourrait ne pas être en mesure de vérifier si chaque demandeur d’informations a effectivement un intérêt légitime à accéder aux données à caractère personnel concernées, il y a lieu de rappeler que d’éventuelles difficultés pratiques liées à la vérification de l’existence d’un intérêt légitime ne sont pas de nature à démontrer le caractère strictement nécessaire d’une ingérence dans les droits fondamentaux garantis par la Charte (voir, par analogie, arrêts du 26 septembre 2000, Commission/Autriche, C‑205/98, EU:C:2000:493, point 78 et jurisprudence citée, ainsi que du 27 novembre 2008, Papillon, C‑418/07, EU:C:2008:659, point 54 et jurisprudence citée).

84 S’agissant de la pondération équilibrée entre, d’une part, l’objectif d’intérêt général poursuivi et, d’autre part, les droits fondamentaux en cause, il convient d’ajouter que, si la lutte contre le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive pourrait être susceptible de justifier, en général, une ingérence, même grave, dans ces droits (voir, en ce sens, arrêt Luxembourg Business Registers, points 58 et 59), cet objectif ne saurait prévaloir, en l’occurrence, sur lesdits droits, eu égard à la nature et à la gravité de l’ingérence constatée au point 73 du présent arrêt.

85 Dans ce contexte, il y a lieu de relever, par ailleurs, qu’une réglementation nationale telle que celle en cause au principal n’est pas assortie de garanties suffisantes qui permettraient de protéger efficacement les personnes concernées contre les risques d’abus, au sens de la jurisprudence visée au point 63 du présent arrêt. En effet, leurs données à caractère personnel sont accessibles sur Internet et peuvent faire l’objet de téléchargements en masse, notamment par tout utilisateur non identifié, ce qui accroît de tels risques.

86 Par conséquent, une réglementation nationale telle que celle en cause au principal ne paraît ni nécessaire ni proportionnée par rapport à l’objectif concerné, au sens du point 61 du présent arrêt.

87 Enfin, s’agissant de l’objectif d’intérêt général consistant à fournir les informations nécessaires à la mise en œuvre des sanctions nationales, internationales et de l’Union, une réglementation nationale telle que celle en cause au principal est également apte à contribuer à la réalisation de celui-ci. En effet, il convient de constater que la transparence accrue qui résulte de cette réglementation est de nature à faciliter cette mise en œuvre.

88 Néanmoins, ainsi que M. l’avocat général l’a relevé, en substance, aux points 60 et 61 de ses conclusions, l’accès du public aux données en cause dans le litige au principal ne paraît pas strictement nécessaire à cette fin, dès lors que des moyens moins attentatoires aux droits garantis par les articles 7 et 8 de la Charte paraissent être disponibles.

89 Ainsi que la Commission l’a relevé dans ses observations écrites, un tel moyen moins attentatoire pourrait consister, notamment, à restreindre l’obligation de publication aux seules données relatives aux personnes figurant sur des listes de sanctions et à ne permettre un accès à des données relatives à des actionnaires qui ne figureraient pas sur ces listes qu’à des personnes justifiant d’un intérêt légitime à cet égard.

90 En outre, pour les mêmes motifs que ceux visés, respectivement, aux points 84 et 85 du présent arrêt, l’objectif d’intérêt général poursuivi ne saurait prévaloir, en l’occurrence, sur les droits fondamentaux en cause et une réglementation nationale telle que celle en cause au principal ne comporte pas de garanties suffisantes qui permettraient de protéger efficacement les personnes concernées contre les risques d’abus.

91 Ainsi, une telle réglementation ne paraît ni nécessaire ni proportionnée par rapport à l’objectif concerné, au sens du point 61 du présent arrêt.

92 Par conséquent, eu égard aux considérations qui précèdent, il convient de répondre aux troisième et quatrième questions que les articles 5 et 6 du RGPD, lus à la lumière des articles 7 et 8 de la Charte, doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale qui impose la mise à la disposition du public de données à caractère personnel relatives à tous les actionnaires, y compris aux actionnaires minoritaires, de sociétés anonymes, ayant trait à l’identité de chacun de ces actionnaires, à ses coordonnées, à la catégorie, au nombre et à la valeur nominale des actions qu’il détient ainsi qu’au nombre de votes attachés à ces actions, afin de garantir un climat des affaires transparent pour protéger les intérêts des tiers, de prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive, ainsi que de fournir les informations nécessaires à la mise en œuvre des sanctions nationales, internationales et de l’Union, lorsque l’accès à ces données n’est subordonné à aucune condition, telle que la démonstration d’un intérêt légitime.

Sur les dépens

93 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (première chambre) dit pour droit :

1) L’article 14, sous d), de la directive (UE) 2017/1132 du Parlement européen et du Conseil, du 14 juin 2017, relative à certains aspects du droit des sociétés, telle que modifiée par la directive (UE) 2019/1151 du Parlement européen et du Conseil, du 20 juin 2019, doit être interprété en ce sens qu’il ne requiert pas la publication d’informations portant sur tous les actionnaires des sociétés visées par cette disposition, y compris les actionnaires minoritaires de telles sociétés.

2) Les articles 5 et 6 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lus à la lumière des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne, doivent être interprétés en ce sens qu’ils s’opposent à une réglementation nationale qui impose la mise à la disposition du public de données à caractère personnel relatives à tous les actionnaires, y compris aux actionnaires minoritaires, de sociétés anonymes, ayant trait à l’identité de chacun de ces actionnaires, à ses coordonnées, à la catégorie, au nombre et à la valeur nominale des actions qu’il détient ainsi qu’au nombre de votes attachés à ces actions, afin de garantir un climat des affaires transparent pour protéger les intérêts des tiers, de prévenir le blanchiment de capitaux et le financement du terrorisme et de la prolifération des armes de destruction massive, ainsi que de fournir les informations nécessaires à la mise en œuvre des sanctions nationales, internationales et de l’Union européenne, lorsque l’accès à ces données n’est subordonné à aucune condition, telle que la démonstration d’un intérêt légitime.