ARRÊT DE LA COUR (quatrième chambre)
12 septembre 2024 ( *1 )
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 6, paragraphe 1, premier alinéa, sous b), c) et f) – Licéité du traitement – Nécessité du traitement aux fins de l’exécution d’un contrat auquel la personne concernée est partie – Nécessité du traitement aux fins du respect d’une obligation légale imposée au responsable du traitement – Nécessité du traitement aux fins des intérêts légitimes
poursuivis par le responsable du traitement ou par un tiers –Fonds d’investissement constitué sous la forme d’une société en commandite faisant appel public à l’épargne – Demande d’un associé visant à obtenir les coordonnées des autres associés détenant des participations indirectes dans un fonds d’investissement par l’intermédiaire d’une société fiduciaire »
Dans les affaires jointes C‑17/22 et C‑18/22,
ayant pour objet des demandes de décision préjudicielle au titre de l’article 267 TFUE, introduites par l’Amtsgericht München (tribunal de district de Munich, Allemagne), par décisions du 21 décembre 2021, parvenues à la Cour le 7 janvier 2022, dans les procédures
HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG
contre
Müller Rechtsanwaltsgesellschaft mbH (C‑17/22),
et
Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG
contre
WealthCap Photovoltaik 1 GmbH Co.KG,
WealthCap PEIA Komplementär GmbH,
WealthCap Investorenbetreuung GmbH (C‑18/22),
LA COUR (quatrième chambre),
composée de M. C. Lycourgos, président de chambre, Mme O. Spineanu‑Matei, MM. J.‑C. Bonichot, S. Rodin et Mme L. S. Rossi (rapporteure), juges,
avocat général : M. J. Richard de la Tour,
greffier : M. I. Illéssy, administrateur,
vu la procédure écrite et à la suite de l’audience du 29 février 2024,
considérant les observations présentées :
– pour HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG, par Mes M. Handlos et R. Veil, Rechtsanwälte,
– pour Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG, par Me U. Brinkmöller, Rechtsanwalt,
– pour WealthCap Photovoltaik 1 GmbH Co.KG, WealthCap PEIA Komplementär GmbH et WealthCap Investorenbetreuung GmbH, par Mes N. Bartmann, U. Baumgartner et A. Höder, Rechtsanwälte,
– pour la Commission européenne, par M. A. Bouchagiar, Mme M. Heller et M. H. Kranenborg, en qualité d’agents,
vu la décision prise, l’avocat général entendu, de juger l’affaire sans conclusions,
rend le présent
Arrêt
1 Les demandes de décision préjudicielle portent sur l’interprétation de l’article 6, paragraphe 1, premier alinéa, sous b et f), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2 Ces demandes ont été présentées dans le cadre de litiges opposant, d’une part, HTB Neunte Immobilien Portfolio geschlossene Investment UG & Co. KG (ci-après « HTB ») à Müller Rechtsanwaltsgesellschaft mbH (affaire C-17/22), et, d’autre part, Ökorenta Neue Energien Ökostabil IV geschlossene Investment GmbH & Co. KG (ci-après « Ökorenta ») à WealthCap Photovoltaik 1 GmbH Co. KG, à WealthCap PEIA Komplementär GmbH et à WealthCap Investorenbetreuung GmbH (affaire C-18/22).
Le cadre juridique
Le droit de l’Union
3 Les considérants 1, 10, 39, 41, 47 et 48 du RGPD sont libellés comme suit :
« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la [c]harte des droits fondamentaux de l’Union européenne (ci-après la “Charte”) et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.
[...]
(10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union [européenne], le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes
physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union [européenne]. [...]
[...]
(39) Tout traitement de données à caractère personnel devrait être licite et loyal. Le fait que des données à caractère personnel concernant des personnes physiques sont collectées, utilisées, consultées ou traitées d’une autre manière et la mesure dans laquelle ces données sont ou seront traitées devraient être transparents à l’égard des personnes physiques concernées. [...]
[...]
(41) Lorsque le présent règlement fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l’adoption d’un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l’ordre constitutionnel de l’État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les justiciables, conformément à la jurisprudence de la Cour
de justice de l’Union européenne [...] et de la Cour européenne des droits de l’homme.
[...]
(47) Les intérêts légitimes d’un responsable du traitement, y compris ceux d’un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d’un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. Un tel intérêt légitime
pourrait, par exemple, exister lorsqu’il existe une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement ou est à son service. En tout état de cause, l’existence d’un intérêt légitime devrait faire l’objet d’une évaluation attentive, notamment afin de déterminer si une personne concernée peut raisonnablement s’attendre, au moment et dans le cadre
de la collecte des données à caractère personnel, à ce que celles-ci fassent l’objet d’un traitement à une fin donnée. Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur. [...] Le traitement de données à caractère personnel à des fins de
prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime.
(48) Les responsables du traitement qui font partie d’un groupe d’entreprises ou d’établissements affiliés à un organisme central peuvent avoir un intérêt légitime à transmettre des données à caractère personnel au sein du groupe d’entreprises à des fins administratives internes, y compris le traitement de données à caractère personnel relatives à des clients ou [à] des employés. Les principes généraux régissant le transfert de données à caractère personnel, au sein d’un groupe d’entreprises, à
une entreprise située dans un pays tiers ne sont pas remis en cause. »
4 L’article 1er de ce règlement, intitulé « Objet et objectifs », dispose, à son paragraphe 2 :
« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »
5 L’article 4 dudit règlement prévoit :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité
physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2) “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la
limitation, l’effacement ou la destruction ;
[...]
7) “responsable du traitement”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit
d’un État membre ;
[...]
11) “consentement” de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ;
[...] »
6 L’article 5 du même règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », dispose :
« 1. Les données à caractère personnel doivent être :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; [...]
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...]
2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »
7 L’article 6 du RGPD, intitulé « Licéité du traitement », est libellé comme suit :
« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;
[...]
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.
2. Les États membres peuvent maintenir ou introduire des dispositions plus spécifiques pour adapter l’application des règles du présent règlement pour ce qui est du traitement dans le but de respecter le paragraphe 1, points c) et e), en déterminant plus précisément les exigences spécifiques applicables au traitement ainsi que d’autres mesures visant à garantir un traitement licite et loyal, y compris dans d’autres situations particulières de traitement comme le prévoit le chapitre IX.
3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par:
a) le droit de l’Union ; ou
b) le droit de l’État membre auquel le responsable du traitement est soumis.
[...] Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi. »
8 L’article 13, paragraphe 1, de ce règlement dispose :
« Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :
[…]
c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
[…] »
Le droit allemand
9 L’article 161 du Handelsgesetzbuch (code de commerce), dans sa version applicable aux litiges au principal, prévoit :
« (1) La société dont l’objet consiste dans l’exercice d’une activité commerciale sous une raison sociale commune est une société en commandite simple si la responsabilité de l’un des associés ou de plusieurs d’entre eux envers les créanciers de la société est limitée au montant d’un apport déterminé (commanditaires), tandis que la responsabilité de l’autre partie des associés n’est pas limitée (associés personnellement responsables).
(2) Sauf dispositions contraires de la présente section, les dispositions applicables aux sociétés en nom collectif s’appliquent aux sociétés en commandite simple. »
10 L’article 162, paragraphe 1, de ce code est libellé comme suit :
« La déclaration de la société doit contenir, outre les indications prévues à l’article 106, alinéa 2 [(notamment le nom, le prénom, la date de naissance et le domicile de chaque associé)], la désignation des commanditaires et le montant de l’apport de chacun d’eux. [...] »
11 L’article 127a, paragraphes 1 et 3, de l’Aktiengesetz (loi sur les sociétés anonymes), dans sa version applicable aux litiges au principal, dispose :
« (1) Des actionnaires ou des associations d’actionnaires peuvent, par le biais du forum des actionnaires sur le site du Bundesanzeiger [(Journal officiel fédéral allemand)], inviter d’autres actionnaires à déposer, conjointement ou par procuration, une demande ou une requête au titre de la présente loi ou à exercer leur droit de vote lors d’une assemblée générale.
[…]
(3) L’invitation peut contenir des informations concernant le site Internet de l’actionnaire invitant et son adresse électronique. [...] »
12 L’article 33, paragraphe 1, première phrase, du Wertpapierhandelsgesetz (loi sur le commerce des valeurs mobilières), dans sa version applicable aux litiges au principal, prévoit :
« Toute personne qui, par acquisition, cession ou d’une autre manière, atteint, dépasse ou descend en dessous de 3 %, 5 %, 10 %, 15 %, 20 %, 25 %, 30 %, 50 % ou 75 % des droits de vote attachés aux actions qu’elle détient dans un émetteur pour lequel la République fédérale d’Allemagne est l’État d’origine (déclarant) doit en informer immédiatement l’émetteur et, simultanément, l’Office fédéral allemand, au plus tard dans un délai de quatre jours de négociation, en tenant compte de l’article 34,
paragraphes 1 et 2. [...] »
Les litiges au principal et les questions préjudicielles
13 Il ressort des décisions de renvoi que HTB et Ökorenta sont des sociétés d’investissement qui détiennent chacune une participation indirecte, par l’intermédiaire d’une société fiduciaire, dans des fonds d’investissement. Ces fonds d’investissement sont organisés sous la forme d’une société en commandite, à savoir une société de personnes, faisant appel public à l’épargne. La participation au capital de ces sociétés en commandite est conçue comme un placement financier. Lorsque cette participation
est indirecte, les associés exercent leurs droits par l’intermédiaire de sociétés de participation fiduciaires.
14 Les requérantes au principal demandent aux défenderesses au principal, qui sont des sociétés de participation fiduciaires, la divulgation des noms et adresses de tous leurs associés qui détiennent des participations indirectes dans les fonds d’investissement concernés, par l’intermédiaire de sociétés fiduciaires.
15 Les défenderesses au principal s’opposent à une telle divulgation car elles considèrent que les données demandées sont destinées à servir les intérêts économiques propres des requérantes au principal, consistant à faire de la publicité pour leurs propres produits d’investissement, à inquiéter les investisseurs, ou à acheter leurs parts à un prix inférieur à leur valeur et à réaliser un bénéfice en les revendant. Or, les contrats de participation et de fiducie en vertu desquels les associés des
défenderesses au principal ont acquis des participations indirectes dans les fonds d’investissement concernés contiendraient des clauses interdisant la communication desdites données à d’autres détenteurs de participations.
16 Les requérantes au principal nient avoir de telles intentions et font valoir leur droit de prendre contact avec les autres commanditaires détenant des participations dans les fonds d’investissement concernés, notamment afin de négocier le rachat de leurs parts.
17 La juridiction de renvoi souligne, en substance, que, conformément à la jurisprudence du Bundesgerichtshof (Cour fédérale de justice, Allemagne) et de l’Oberlandesgericht München (tribunal régional supérieur de Munich, Allemagne), la divulgation des données à caractère personnel demandées par les requérantes au principal pourrait s’avérer obligatoire. Toutefois, elle relève que cette jurisprudence étant en partie antérieure à l’entrée en vigueur du RGPD, elle pourrait devoir être appréciée
différemment en l’occurrence, compte tenu de l’article 6, paragraphe 1, premier alinéa, sous b) et sous f), de ce règlement dont l’interprétation serait déterminante pour la solution des litiges au principal.
18 En particulier, la juridiction de renvoi indique qu’il résulte de l’ordonnance du Bundesgerichtshof (Cour fédérale de justice) du 19 novembre 2019 (II ZR 263/18), que, dans une société de personnes telle qu’une société en commandite, le droit d’un associé de connaître le nom et l’adresse des autres associés fait partie du « noyau indispensable des droits des associés ». Ce droit vaudrait également à l’égard des commanditaires qui détiennent uniquement des participations indirectes. En effet, la
connaissance de tous les autres associés, y compris ceux détenant indirectement des participations, serait nécessaire à la jouissance effective des droits détenus par chaque associé d’une société de personnes faisant appel public à l’épargne. La divulgation de ces données à caractère personnel aux autres associés serait ainsi conforme aux obligations qui s’imposent à la société en vertu du contrat qui la constitue. La seule exception au droit d’obtenir de telles données, en droit allemand,
consiste en l’interdiction de l’abus de droit, qui prohibe que ce droit d’information soit exercé de manière illicite ou dans une intention dommageable.
19 En vertu de la jurisprudence du Bundesgerichtshof (Cour fédérale de justice), l’abus de droit serait, en tout état de cause, exclu lorsqu’un investisseur cherche à entrer en contact avec d’autres investisseurs afin de discuter avec eux des questions qui concernent la société et, le cas échéant, d’organiser une communauté d’intérêts entre les investisseurs. En outre, il n’y aurait pas lieu de refuser de fournir des informations relatives à un associé au motif qu’il existerait un simple risque
abstrait d’utilisation abusive de ces données personnelles. Par ailleurs, un associé devrait pouvoir accéder directement aux données des autres associés de la société, sans dépendre des organes dirigeants de celle-ci.
20 Il ressortirait également de cette jurisprudence qu’un tel droit d’information ne peut pas être écarté par des dispositions contractuelles, sous peine de supprimer, dans les faits, un droit essentiel des associés, à savoir celui de convoquer une assemblée extraordinaire des associés, puisque les quorums nécessaires à cet effet ne peuvent être obtenus par un associé qui détient une faible participation que s’il se joint à d’autres associés, ce qui suppose obligatoirement qu’il connaisse leurs noms
et adresses [ordonnance du Bundesgerichtshof (Cour fédérale de justice) du21 septembre 2009 (II ZR 264/08)]. Selon ladite jurisprudence, le considérant 48 du RGPD justifierait également que, au sein d’un groupe d’entreprises, les données personnelles de tous les associés puissent être transmises à l’un d’entre eux, à des fins administratives internes.
21 Selon la juridiction de renvoi, la jurisprudence du Bundesgerichtshof (Cour fédérale de justice) consacre ainsi l’existence, en principe, d’un droit d’information des associés qui n’est limité que par l’abus de droit.
22 La juridiction de renvoi fait également référence à l’arrêt du 16 janvier 2019 de l’Oberlandesgericht München (tribunal régional supérieur de Munich) (7 U 342/18), selon lequel l’objet principal du contrat de société est l’exercice des droits des associés, y compris celui de renforcer leur position au sein de la société. L’achat de parts sociales constitue ainsi un exercice licite de ces droits et la divulgation des informations relatives aux autres associés à cet effet correspond à un intérêt
raisonnable. Or, une telle divulgation ne devrait être refusée que si elle ne vise à satisfaire aucun intérêt raisonnable.
23 La juridiction de renvoi doute de la compatibilité avec le droit de l’Union de la jurisprudence du Bundesgerichtshof (Cour fédérale de justice) et de l’Oberlandesgericht München (tribunal régional supérieur de Munich) dans la mesure où elle permet une divulgation étendue des données à caractère personnel des associés détenant des participations indirectes dans un fonds d’investissement, sur le fondement de l’allégation purement formelle d’un intérêt des autres associés à obtenir de telles
données, par exemple en vue de l’acquisition de participations.
24 Elle considère, en effet, que, en vertu du droit de l’Union, la protection des données à caractère personnel constitue la règle, de sorte que l’exception à ce principe, prévue notamment à l’article 6, paragraphe 1, premier alinéa, sous b) et sous f), du RGPD, permettant d’autoriser la divulgation de ces données, doit reposer sur une « justification suffisante ». Cette juridiction affirme, en outre, qu’il n’existe en droit allemand aucune obligation légale de publier des données relatives aux
personnes qui détiennent des participations dans une société fiduciaire. Ainsi, la juridiction de renvoi se demande si un droit d’accès aux données des associés ne devrait pas être subordonné, d’une part, à l’existence d’un certain seuil de participation, par analogie à ce qui est prévu en droit allemand s’agissant des sociétés anonymes cotées en Bourse, et, d’autre part, à une raison concrète et précise, liée à la société, à propos des associés de laquelle de telles informations sont demandées.
25 Dans ces conditions, l’Amtsgericht München (tribunal de district de Munich, Allemagne) a décidé de surseoir à statuer dans les deux affaires au principal et de poser à la Cour les questions préjudicielles identiques suivantes :
« 1) a) Résulte-t-il de l’interprétation de l’article 6, paragraphe 1, [premier alinéa,] sous b) et f), du [RGPD] que, dans le cas d’une société de personnes faisant appel public à l’épargne, la participation au capital de la société en tant qu’associé seulement responsable à concurrence d’un faible montant, non responsable personnellement et non gérant, suffit à elle seule pour conclure à l’existence d’un “intérêt légitime” à obtenir des informations sur tous les associés détenant des
participations indirectes par l’intermédiaire d’un fiduciaire, sur leurs coordonnées et sur leur participation au capital de la société de personnes et pour déduire du contrat de société une obligation contractuelle correspondante,
b) ou l’intérêt légitime est-il limité, dans ces conditions, à l’obtention, de la part de la société, d’informations sur les détenteurs de participations indirectes qui sont responsables à concurrence d’un montant qui n’est pas faible, et qui détiennent une quote-part minimale permettant au moins d’envisager l’exercice d’une influence sur le devenir de la société ?
2) a) Suffit-il, pour ne pas méconnaître, dans l’hypothèse d’un tel droit illimité [première question, sous a)], l’interdiction de l’abus de droit qui est inhérente à celui-ci, ou pour déroger à la limitation d’un droit à l’information limité [première question, sous b)], d’avoir l’intention d’établir des contacts pour faire connaissance, échanger des points de vue ou négocier le rachat de parts sociales,
b) ou un intérêt à l’obtention d’informations ne peut-il être considéré comme pertinent que si la communication de celles-ci est demandée dans l’intention expresse de prendre contact avec d’autres associés afin de les appeler à la coordination à des fins concrètement indiquées qui rendent nécessaire la formation d’une volonté commune dans le cadre de décisions des associés ? »
Sur la procédure devant la Cour
26 Par décision du 23 septembre 2022, le président de la Cour a suspendu la présente procédure dans l’attente de la décision mettant fin à l’instance dans l’affaire C‑252/21.
27 Conformément à la décision du président de la Cour du 7 juillet 2023, le greffe a notifié à la juridiction de renvoi l’arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) (C‑252/21, EU:C:2023:537), en l’invitant à lui indiquer si, compte tenu de cet arrêt, elle souhaitait maintenir ses demandes de décision préjudicielle, en tout ou en partie.
28 Par lettre du 4 aout 2023, déposée au greffe de la Cour le même jour, cette juridiction a indiqué qu’elle maintenait ses demandes de décision préjudicielle.
Sur les questions préjudicielles
29 Par ses questions préjudicielles, qu’il convient de traiter ensemble, la juridiction de renvoi demande, en substance, si l’article 6, paragraphe 1, premier alinéa, sous b) et f), du RGPD doit être interprété en ce sens qu’un traitement de données à caractère personnel consistant à divulguer, à la demande d’un associé d’un fonds d’investissement, constitué sous la forme d’une société de personnes faisant appel public à l’épargne, des informations sur l’ensemble des associés détenant des
participations indirectes dans ce fonds, par l’intermédiaire de sociétés fiduciaires, indépendamment de l’importance de leur participation dans le capital dudit fonds, en vue d’entrer en contact et de négocier avec eux le rachat de leurs parts sociales, ou encore de se coordonner avec ceux-ci en vue de former une volonté commune dans le cadre de décisions des associés, peut être considéré comme étant nécessaire à l’exécution d’un contrat auquel les personnes concernées sont parties, au sens de ce
point b), ou aux fins d’intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, au sens de ce point f).
30 Les demandes de décision préjudicielle faisant apparaître que la juridiction de renvoi s’interroge sur la conformité au RGPD de l’obligation de divulgation de telles données résultant, en droit allemand, de la jurisprudence des juridictions nationales, il y a lieu de reformuler les questions posées comme s’étendant à l’interprétation de l’article 6, paragraphe 1, premier alinéa, sous c), de ce règlement, et de considérer que, par ses questions, la juridiction de renvoi s’interroge également sur
le point de savoir si une telle divulgation peut être regardée comme procédant d’une obligation légale à laquelle le responsable du traitement est soumis.
31 Afin de répondre à ces questions, il importe, à titre liminaire, de rappeler que l’objectif poursuivi par le RGPD, tel qu’il ressort de son article 1er ainsi que de ses considérants 1 et 10, consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16,
paragraphe 1, TFUE (arrêt du 7 mars 2024, IAB Europe, C‑604/22, EU:C:2024:214, point 53 et jurisprudence citée).
32 Conformément à cet objectif, tout traitement de données à caractère personnel doit, notamment, être conforme aux principes relatifs au traitement de telles données énoncés à l’article 5 de ce règlement et satisfaire aux conditions de licéité énumérées à l’article 6 de ce même règlement [voir, en ce sens, arrêts du 6 octobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 208, ainsi que du 11 juillet 2024, Meta Platforms Ireland (Action représentative),
C‑757/22, EU:C:2024:598, point 49].
33 À cet égard, il convient de souligner que, en vertu de l’article 5, paragraphe 1, sous a), du RGPD, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée.
34 En particulier, s’agissant des conditions de licéité du traitement, ainsi que la Cour l’a jugé, l’article 6, paragraphe 1, premier alinéa, du RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Ainsi, pour qu’il puisse être considéré comme légitime, un traitement doit relever de l’un des cas prévus à cette disposition [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation
d’un réseau social), C‑252/21, EU:C:2023:537, point 90].
35 Compte tenu des spécificités des litiges au principal, il importe, en outre, de relever que cet article 6, paragraphe 1, premier alinéa, ne prescrit pas, en soi, une obligation, mais se limite à exprimer une faculté d’effectuer un traitement de données à caractère personnel dans les cas qu’il énumère (voir, par analogie, arrêt du 4 mai 2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, point 26).
36 Aux termes de l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD, le traitement de données à caractère personnel est licite si, et dans la mesure où, la personne concernée y a consenti pour une ou plusieurs finalités spécifiques. En l’absence d’un tel consentement, ou lorsque ce consentement n’a pas été donné de manière libre, spécifique, éclairée et univoque, au sens de l’article 4, point 11, de ce règlement, un tel traitement est néanmoins justifié lorsqu’il répond à l’une des
exigences de nécessité mentionnées à l’article 6, paragraphe 1, premier alinéa, sous b) à f), dudit règlement.
37 Dans ce contexte, les justifications prévues à cette dernière disposition, en ce qu’elles permettent de rendre licite un traitement de données à caractère personnel effectué en l’absence du consentement de la personne concernée, doivent faire l’objet d’une interprétation restrictive [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 93 et jurisprudence citée].
38 En outre, ainsi que la Cour l’a jugé, lorsqu’il est possible de constater qu’un traitement de données à caractère personnel est nécessaire au regard de l’une des justifications prévues à l’article 6, paragraphe 1, premier alinéa, sous b) à f), du RGPD, il n’y a pas lieu de déterminer si ce traitement relève également d’une autre de ces justifications [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 94 et
jurisprudence citée].
39 La Cour a également jugé que, conformément à l’article 5 du RGPD, c’est sur le responsable du traitement que repose la charge de prouver que ces données sont notamment collectées pour des finalités déterminées, explicites et légitimes et qu’elles sont traitées de manière licite, loyale et transparente au regard de la personne concernée. En outre, conformément à l’article 13, paragraphe 1, sous c), de ce règlement, lorsque des données à caractère personnel sont collectées auprès de la personne
concernée, il incombe au responsable du traitement d’informer celle-ci des finalités du traitement auquel sont destinées ces données ainsi que de la base juridique de ce traitement [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 95].
40 En l’occurrence, il ressort du dossier dont dispose la Cour que les associés détenant des participations indirectes, par l’intermédiaire de sociétés fiduciaires, dans les fonds d’investissement concernés n’ont pas consenti, au sens de l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD, à ce que les défenderesses au principal divulguent les données à caractère personnel les concernant à des tiers, notamment à HTB et à Ökorenta.
41 Dans ces conditions, afin de répondre aux questions posées, il importe de vérifier si les dispositions de l’article 6, paragraphe 1, premier alinéa, sous b) et sous f), de ce règlement, visées spécifiquement par les demandes de décision préjudicielle, peuvent être invoquées pour justifier la divulgation éventuelle de telles données à ces tiers.
42 En ce qui concerne, en premier lieu, l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD, celui-ci prévoit qu’un traitement de données à caractère personnel est licite s’il est « nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ».
43 À cet égard, la Cour a déjà jugé que, pour qu’un traitement de données à caractère personnel soit regardé comme étant nécessaire à l’exécution d’un contrat, au sens de cette disposition, il doit être objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à la personne concernée. Le responsable du traitement doit ainsi être en mesure de démontrer en quoi l’objet principal du contrat ne pourrait être atteint en l’absence du
traitement en cause [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 98].
44 En effet, ainsi que la Cour l’a également jugé, l’élément déterminant aux fins de l’application de la justification visée à l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD est que le traitement de données à caractère personnel effectué par le responsable du traitement soit essentiel afin de permettre l’exécution correcte du contrat conclu entre celui-ci et la personne concernée et, partant, qu’il n’existe pas d’autres solutions praticables et moins intrusives [arrêt du 4 juillet 2023,
Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 99].
45 En l’occurrence, il ressort des décisions de renvoi que les contrats de participation et de fiducie en cause au principal, en vertu desquels des participations indirectes ont été acquises dans les fonds d’investissement concernés, prévoient expressément l’interdiction de communiquer les données relatives aux investisseurs indirects à d’autres détenteurs de participations.
46 À cet égard, il importe de relever que la caractéristique essentielle de l’acquisition d’une participation indirecte, par l’intermédiaire d’une société fiduciaire, dans un fonds d’investissement faisant appel public à l’épargne est précisément l’anonymat des associés, y compris dans les relations entre les associés eux-mêmes. En d’autres termes, c’est en tenant compte du traitement confidentiel de leurs données par le fonds d’investissement que les personnes optent pour un placement financier
dans un tel fonds sous la forme d’une participation détenue par l’intermédiaire d’une société de participation fiduciaire.
47 Partant, et sous réserve d’une vérification par la juridiction de renvoi, un traitement de données à caractère personnel, consistant en la divulgation d’informations relatives aux associés détenant, par l’intermédiaire d’une société fiduciaire, des participations indirectes dans un fonds d’investissement faisant appel public à l’épargne, ne saurait être considéré comme étant « nécessaire à l’exécution d’un contrat », au sens de l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD, lorsque
le contrat à la base de l’acquisition d’une telle participation exclut expressément la divulgation de ces données à d’autres détenteurs de participations.
48 En ce qui concerne, en deuxième lieu, l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, celui-ci prévoit qu’un traitement de données à caractère personnel est licite s’il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et les droits fondamentaux de la personne concernée qui exigent une protection de ces données à caractère personnel.
49 Ainsi que la Cour l’a déjà jugé, cette disposition prévoit trois conditions cumulatives pour qu’un traitement de données à caractère personnel soit licite, à savoir, premièrement, la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers, deuxièmement, la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi et, troisièmement, la condition que les intérêts ou les libertés et les droits fondamentaux de la personne
concernée par la protection des données ne prévalent pas [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 106 et jurisprudence citée].
50 En ce qui concerne, premièrement, la condition relative à la poursuite d’un « intérêt légitime », il convient de souligner que, en l’absence de définition de cette notion par le RGPD, ainsi que la Cour l’a déjà jugé, un large éventail d’intérêts est, en principe, susceptible d’être considéré comme étant légitime [arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 76].
51 En ce qui concerne, deuxièmement, la condition relative à la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi, celle-ci impose à la juridiction de renvoi de vérifier que l’intérêt légitime du traitement des données poursuivi ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie
privée et à la protection des données à caractère personnel garantis par les articles 7 et 8 de la Charte [arrêt du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 77 et jurisprudence citée].
52 Dans ce contexte, il y a également lieu de rappeler que la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe dit de la « minimisation des données » consacré à l’article 5, paragraphe 1, sous c), du RGPD, selon lequel les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales
d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 109 ainsi que jurisprudence citée].
53 Enfin, en ce qui concerne, troisièmement, la condition tenant à ce que les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers, la Cour a déjà jugé que celle-ci implique une pondération des droits et des intérêts opposés en cause qui dépend, en principe, des circonstances concrètes du cas particulier et que, par conséquent, il revient à la juridiction de renvoi
d’effectuer cette pondération en tenant compte de ces circonstances spécifiques [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 110 ainsi que jurisprudence citée].
54 En outre, le considérant 47 du RGPD indique que les intérêts et les droits fondamentaux de la personne concernée peuvent, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un tel traitement [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 112].
55 S’il appartient, en définitive, à la juridiction de renvoi d’apprécier si, s’agissant du traitement de données à caractère personnel en cause au principal, les trois conditions rappelées au point 49 du présent arrêt sont remplies, il est loisible à la Cour, statuant sur renvoi préjudiciel, d’apporter des précisions visant à guider cette juridiction dans cette détermination [arrêts du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21,
EU:C:2023:537, point 96, et du 7 décembre 2023, SCHUFA Holding (Libération de reliquat de dette), C‑26/22 et C‑64/22, EU:C:2023:958, point 81 ainsi que jurisprudence citée].
56 En l’occurrence, s’agissant, premièrement, de la condition relative à la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers, au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, la juridiction de renvoi fait référence à l’intérêt d’un tiers, à savoir l’intérêt d’un associé détenant une participation indirecte dans un fonds d’investissement constitué sous la forme d’une société en commandite faisant appel public à l’épargne, à l’obtention des
données à caractère personnel relatives aux autres associés indirects de cette société en vue d’entrer en contact avec ces derniers ou de négocier avec eux le rachat de parts sociales, ou encore de se coordonner avec ceux-ci aux fins de la formation d’une volonté commune dans le cadre de décisions de l’ensemble des associés.
57 Il y a lieu de constater qu’un tel intérêt est, en principe, susceptible de constituer, aux fins de la divulgation de données à caractère personnel, un intérêt légitime, au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, compte tenu, notamment, du statut d’une telle société, tel qu’il découle du droit national de l’État membre concerné, et indépendamment de l’importance du montant de la participation et des pouvoirs détenus dans la société par l’associé à l’origine de la
demande de divulgation. Il appartient toutefois à la juridiction de renvoi d’apprécier, au cas par cas, l’existence d’un tel intérêt en tenant compte du cadre juridique applicable et de l’ensemble des circonstances de l’affaire.
58 Dans l’hypothèse où un tel intérêt légitime serait caractérisé, il conviendrait encore, pour que la poursuite de cet intérêt puisse permettre un traitement de données à caractère personnel, au titre de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, que le responsable de traitement respecte l’ensemble des autres obligations qui lui incombent en vertu de ce règlement.
59 Deuxièmement, s’agissant de la condition relative à la nécessité de ce traitement à la réalisation dudit intérêt et, en particulier, de l’existence de moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées et tout aussi appropriés, il importe de constater qu’il serait notamment possible pour l’associé d’un fonds d’investissement voulant obtenir des informations relatives à un autre associé ayant une participation indirecte dans ce fonds par l’intermédiaire
d’une société fiduciaire de demander directement audit fonds ou à cette société de transmettre sa demande à l’associé concerné, dans le but de faire connaissance ou d’échanger avec celui-ci. Ce dernier pourrait ensuite décider librement s’il désire prendre contact avec l’associé demandeur ou s’il préfère ne pas donner suite à une telle demande et conserver son anonymat. Une telle solution pourrait être appliquée également dans le cas où l’associé demandeur souhaite entamer avec un autre associé
des négociations visant à l’achat des parts de ce dernier ou à se coordonner avec celui-ci aux fins de la formation d’une volonté commune dans le cadre de décisions de l’ensemble des associés.
60 Cette solution permettrait, par ailleurs, à l’associé concerné par la demande d’information, conformément au principe de la minimisation des données, évoqué au point 52 du présent arrêt, de conserver le contrôle sur le traitement de ses données à caractère personnel et de limiter ainsi leur divulgation à un autre associé à ce qui est effectivement nécessaire et pertinent au regard des finalités pour lesquelles lesdites données sont demandées et traitées.
61 Il ne saurait, dès lors, être exclu qu’une procédure telle que celle décrite au point précédent du présent arrêt puisse être considérée comme une mesure comportant une ingérence moindre dans le droit à la protection de la confidentialité des données à caractère personnel de la personne concernée, tout en permettant au responsable du traitement de poursuivre, de manière aussi efficace, l’intérêt légitime du tiers concerné, ce qu’il appartient toutefois à la juridiction de renvoi de vérifier.
62 Troisièmement, s’agissant de la pondération des intérêts qu’il incombe à la juridiction de renvoi d’effectuer au vu des circonstances spécifiques du cas d’espèce, cette juridiction doit tenir compte notamment des attentes raisonnables de la personne concernée ainsi que de l’étendue du traitement en cause et de l’impact de celui-ci sur cette personne [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 116].
63 Il s’ensuit que, dans le cadre d’une telle pondération, d’une part, il ne saurait en principe être exclu que la divulgation de données personnelles des associés, même indirects, d’une société de personnes à d’autres associés, puisse servir, le cas échéant, les intérêts économiques de chacun d’entre eux et donc, également, les intérêts des associés indirects aux données personnelles desquels ces autres associés souhaitent avoir accès.
64 D’autre part, il ne saurait davantage être exclu que l’intérêt des associés détenant une participation indirecte dans un fonds d’investissement à ce que leurs données personnelles demeurent confidentielles puisse prévaloir sur celui des autres associés désireux d’obtenir leurs coordonnées. Dans cette perspective, il convient d’accorder une importance particulière au fait qu’il est probable, eu égard notamment aux dispositions contractuelles mentionnées au point 45 du présent arrêt, que les
associés indirects d’un tel fonds d’investissement ne pouvaient pas raisonnablement s’attendre, au moment de la collecte de leurs données à caractère personnel, à ce que celles-ci soient divulguées à des tiers, en l’occurrence à d’autres associés indirects de ce fonds d’investissement.
65 Il ressort de l’ensemble des considérations qui précèdent, et sous réserve de l’appréciation de la juridiction de renvoi, qu’il apparaît douteux qu’un traitement de données à caractère personnel, telle la divulgation des informations sollicitées par les requérantes au principal, puisse être justifié au titre d’un intérêt légitime, au sens de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD.
66 En ce qui concerne, en troisième lieu, l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, celui-ci prévoit qu’un traitement de données à caractère personnel est licite s’il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis.
67 L’article 6, paragraphe 3, du RGPD précise notamment, à cet égard, que le traitement doit être fondé sur le droit de l’Union ou sur le droit de l’État membre auquel le responsable du traitement est soumis, et que cette base juridique doit répondre à un objectif d’intérêt public et être proportionnée à l’objectif légitime poursuivi [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 128].
68 En outre, ainsi que l’énonce le considérant 41 de ce règlement, lorsque celui-ci fait référence à une base juridique ou à une mesure législative, cela ne signifie pas nécessairement que l’adoption d’un acte législatif par un parlement est exigée, sans préjudice des obligations prévues en vertu de l’ordre constitutionnel de l’État membre concerné. Cependant, cette base juridique ou cette mesure législative devrait être claire et précise et son application devrait être prévisible pour les
justiciables, conformément à la jurisprudence de la Cour et de la Cour européenne des droits de l’homme.
69 En l’occurrence, d’une part, le droit de l’Union ne prévoit aucune obligation pour des fonds d’investissement ou des sociétés de participation fiduciaires, telles que celles dans les affaires au principal, de procéder à la divulgation des données à caractère personnel des associés détenant des participations indirectes dans ces fonds.
70 D’autre part, il découle des demandes de décision préjudicielle qu’une telle obligation pourrait néanmoins être déduite, sous réserve des vérifications qu’il appartient à la juridiction de renvoi d’effectuer à cet égard, de la jurisprudence du Bundesgerichtshof (Cour fédérale de justice) et de l’Oberlandesgericht München (tribunal régional supérieur de Munich) en vertu de laquelle les clauses contractuelles garantissant la confidentialité des coordonnées des associés indirects d’une société de
personnes faisant appel public à l’épargne, telle que celles en cause au principal, devraient être considérées comme nulles, de sorte qu’il y aurait lieu de divulguer les données à caractère personnel des associés détenant des participations indirectes dans un fonds d’investissement constitué sous la forme d’une société en commandite faisant appel public à l’épargne.
71 À cet égard, il importe de relever que, conformément à ce qui est mentionné au point 68 du présent arrêt, il ne saurait être exclu que « le droit de l’État membre auquel le responsable du traitement est soumis », au sens de l’article 6, paragraphe 3, sous b), du RGPD, couvre également la jurisprudence nationale.
72 Cependant, ainsi qu’il ressort du considérant 41 de ce règlement, il est exigé qu’une telle jurisprudence soit claire et précise et que son application soit prévisible pour les justiciables, conformément à la jurisprudence de la Cour.
73 En outre, conformément à la jurisprudence rappelée au point 67 du présent arrêt, encore faut-il que cette jurisprudence constitue une base juridique répondant à un objectif d’intérêt public, qu’elle soit proportionnée à celui-ci et que le traitement concerné soit opéré dans les limites du strict nécessaire, ce qu’il incombe à la juridiction de renvoi de vérifier [voir, en ce sens, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21,
EU:C:2023:537, points 134 et 138].
74 Il appartiendra ainsi à cette juridiction de déterminer, notamment, s’il n’existe pas de mesures qui, tout en permettant de garantir la transparence entre les associés de sociétés de personnes, telle qu’elle paraît découler du droit allemand, ainsi qu’il a été exposé aux points 18 à 22 du présent arrêt, seraient moins attentatoires à la protection des données à caractère personnel confidentielles des associés indirects de sociétés en commandite faisant appel public à l’épargne que l’obligation de
divulguer ces données à tout autre associé qui en ferait la demande.
75 Au vu de tout ce qui précède, il convient de répondre aux questions posées que l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD doit être interprété en ce sens qu’un traitement de données à caractère personnel consistant à divulguer, à la demande d’un associé d’un fonds d’investissement, constitué sous la forme d’une société de personnes faisant appel public à l’épargne, des informations sur l’ensemble des associés détenant des participations indirectes dans ce fonds, par
l’intermédiaire de sociétés fiduciaires, indépendamment de l’importance de leur participation dans le capital dudit fonds, en vue d’entrer en contact et de négocier avec eux le rachat de leurs parts sociales, ou encore de se coordonner avec ceux-ci en vue de former une volonté commune dans le cadre de décisions des associés, ne peut être considéré comme étant nécessaire, au sens de cette disposition, à l’exécution du contrat en vertu duquel ces associés ont acquis de telles participations, qu’à
la condition que ce traitement soit objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à ces mêmes associés, de telle sorte que l’objet principal du contrat ne pourrait être atteint en l’absence de ce traitement. Tel n’est pas le cas si ce contrat exclut expressément la divulgation de ces données à caractère personnel à d’autres détenteurs de participations.
76 L’article 6, paragraphe 1, premier alinéa, sous f), du RGPD doit être interprété en ce sens qu’un tel traitement ne peut être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par un tiers, au sens de cette disposition, qu’à la condition que ce traitement soit strictement nécessaire à la réalisation d’un tel intérêt légitime et que, au regard de l’ensemble des circonstances pertinentes, les intérêts ou les libertés et les droits fondamentaux desdits associés ne prévalent
pas sur cet intérêt légitime.
77 L’article 6, paragraphe 1, premier alinéa, sous c), du RGPD doit être interprété en ce sens que ledit traitement de données à caractère personnel est justifié, au titre de cette disposition, lorsqu’il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, en vertu du droit de l’État membre concerné, tel que précisé par la jurisprudence de cet État membre, à la condition que cette jurisprudence soit claire et précise, que son application soit
prévisible pour les justiciables et qu’elle réponde à un objectif d’intérêt public et soit proportionnée à celui-ci.
Sur les dépens
78 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (quatrième chambre) dit pour droit :
1) L’article 6, paragraphe 1, premier alinéa, sous b), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
un traitement de données à caractère personnel consistant à divulguer, à la demande d’un associé d’un fonds d’investissement, constitué sous la forme d’une société de personnes faisant appel public à l’épargne, des informations sur l’ensemble des associés détenant des participations indirectes dans ce fonds, par l’intermédiaire de sociétés fiduciaires, indépendamment de l’importance de leur participation dans le capital dudit fonds, en vue d’entrer en contact et de négocier avec eux le rachat
de leurs parts sociales, ou encore de se coordonner avec ceux-ci en vue de former une volonté commune dans le cadre de décisions des associés, ne peut être considéré comme étant nécessaire, au sens de cette disposition, à l’exécution du contrat en vertu duquel ces associés ont acquis de telles participations, qu’à la condition que ce traitement soit objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à ces mêmes associés, de
telle sorte que l’objet principal du contrat ne pourrait être atteint en l’absence de ce traitement. Tel n’est pas le cas si ce contrat exclut expressément la divulgation de ces données à caractère personnel à d’autres détenteurs de participations.
2) L’article 6, paragraphe 1, premier alinéa, sous f), du règlement 2016/679
doit être interprété en ce sens que :
un tel traitement ne peut être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par un tiers, au sens de cette disposition, qu’à la condition que ce traitement soit strictement nécessaire à la réalisation d’un tel intérêt légitime et que, au regard de l’ensemble des circonstances pertinentes, les intérêts ou les libertés et les droits fondamentaux desdits associés ne prévalent pas sur cet intérêt légitime.
3) L’article 6, paragraphe 1, premier alinéa, sous c), du règlement 2016/679
doit être interprété en ce sens que :
ledit traitement de données à caractère personnel est justifié, au titre de cette disposition, lorsqu’il est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, en vertu du droit de l’État membre concerné, tel que précisé par la jurisprudence de cet État membre, à condition que cette jurisprudence soit claire et précise, que son application soit prévisible pour les justiciables et qu’elle réponde à un objectif d’intérêt public et soit proportionnée
à celui-ci.
Signatures
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( *1 ) Langue de procédure : l’allemand
