Résumé de l’avis du Contrôleur européen de la protection des données sur la proposition de modification de la directive (UE) 2017/1132 en ce qui concerne l’utilisation d’outils et de processus numériques en droit des sociétés

[Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD www.edps.europa.eu]

(2018/C 324/06)

L’avis est émis en réponse à une consultation de la Commission européenne, ainsi qu’à la demande spécifique du Parlement européen.

La proposition de directive modifiant la directive (UE) 2017/1132 en ce qui concerne l’utilisation d’outils et de processus numériques dans le droit des sociétés a pour but de compléter le cadre actuel de l’Union européenne en s’attaquant au manque de règles pour l’enregistrement d’entreprises en ligne, le dépôt et la publication d’informations enregistrées concernant les entreprises et les succursales sous forme électronique ou les divergences entre ces règles dans les États membres. De plus, cela a pour objectif de garantir que les États membres permettent aux entreprises de bénéficier de l’utilisation d’identification électronique et de fournir un échange supplémentaire de données entre les registres nationaux d’entreprises concernant la disqualification des directeurs. Cela garantit également un accès gratuit à une liste de documents et d’informations dans tous les États membres et introduit le principe d’«une fois pour toutes» dans le domaine du droit des sociétés afin que les entreprises n’aient pas à fournir les mêmes informations deux fois à des autorités différentes. Finalement, cela crée la possibilité pour la Commission d’établir un point d’accès optionnel pour les institutions de l’Union européenne à la plate-forme.

Le CEPD se réjouit de la proposition et partage les points de vue de la Commission, qui déclare que l’utilisation d’outils numériques peut offrir une égalité des chances accrue aux entreprises tout en rappelant le besoin de prendre en compte le fait qu’un accès accru aux données à caractère personnel doit être accompagné de mesures efficaces pour empêcher le traitement illégal ou inéquitable de ces données. C’est pourquoi l’avis se focalise sur des recommandations spécifiques, avec deux objectifs: garantir une sécurité juridique et faire prendre conscience des risques découlant de l’accessibilité des données à caractère personnel qui seraient rendues largement accessibles sur l’internet sous forme numérique, dans des langages multiples, à l’aide d’un point d’accès/d’une plate-forme européenne facilement accessible.

Le CEPD recommande de saisir l’occasion de la révision des dispositions relatives au système d’interconnexion des registres de commerces pour considérer soigneusement les recommandations fournies dans son avis sur la proposition de directive du Parlement européen et du Conseil modifiant les directives 89/666/CEE, 2005/56/CE et 2009/101/CE concernant l’interconnexion des registres centraux, commerciaux et professionnels. De plus, il recommande de prendre en compte les recommandations spécifiques qui ont été émises dans l’avis sur la proposition d’un règlement établissant un Portail numérique unique et le principe d’«une fois pour toutes», afin de garantir une sécurité juridique du traitement des données à caractère personnel.

Le CEPD suggère de plus d’ajouter une référence au nouveau règlement qui remplacera bientôt le règlement (CE) no 45/2001 du Parlement européen et du Conseil (1). Il recommande également de s’assurer que la proposition spécifie le cadre des procédures de flux de données et de coopération administrative à l’aide du réseau électronique, afin de garantir que les données soient traitées sur une base juridique solide et que des dispositifs de sécurités de données adéquats soient mis en place, en particulier en relation avec les données à caractère personnel concernant la disqualification des directeurs.

Finalement, le CEPD recommande d’ajouter une référence à la décision 2014/333/UE de la Commission (2), qui énonce les missions et les responsabilités de la Commission concernant le traitement de données dans le contexte du portail e-Justice. De plus, il appelle à une clarification de la division des missions et des responsabilités respectives de chaque partie impliquée dans le traitement des données, dans le contexte d’une responsabilité unique et d’une coresponsabilité.

1. INTRODUCTION ET CONTEXTE

1. Commission ») a adopté la proposition de directive du Parlement européen (ci-après le « Parlement ») et du Conseil modifiant la directive de l’Union européenne 2017/1132 concernant l’utilisation d’outils et de processus numériques en droit des sociétés proposition »), conjointement avec la proposition de directive du Parlement européen et du Conseil modifiant la directive (EU) 2017/1132 concernant les conversions transnationales, les fusions et les divisions Le 25 avril 2018, la Commission européenne (ci-après la «») a adopté la proposition de directive du Parlement européen (ci-après le «») et du Conseil modifiant la directive de l’Union européenne 2017/1132 concernant l’utilisation d’outils et de processus numériques en droit des sociétés ( 3 ) (ci-après la «»), conjointement avec la proposition de directive du Parlement européen et du Conseil modifiant la directive (EU) 2017/1132 concernant les conversions transnationales, les fusions et les divisions ( 4 ) . Étant donné que cette dernière prévoit des règles harmonisées dans le domaine des conversions transnationales, des fusions et des divisions d’entreprises, l’avis se concentre sur la proposition.

2. Le présent avis répond à une consultation de la Commission et à une demande distincte du Parlement européen adressée au Contrôleur européen de la protection des données (le « CEPD »), en tant qu’autorité de contrôle indépendante, de présenter un avis sur la proposition. Le CEPD est reconnaissant d’avoir été consulté conformément à l’article 28, paragraphe 2, du règlement (CE) n o 45/2001, et qu’une référence à l’avis ait été incluse dans le préambule de la proposition.

1.1. Objectifs de la proposition

3. La proposition est basée sur l’article 50, paragraphe 1, et les points b), c), f) et g) de l’article 50, paragraphe 2, du traité sur le fonctionnement de l’Union européenne. Elle a pour but de: — compléter le cadre actuel de l’Union européenne en s’attaquant au manque de règles pour l’enregistrement des entreprises en ligne, le dépôt et la publication des informations enregistrées concernant les entreprises et leurs succursales électroniques ou à la divergence entre ces règles dans des États membres, qui, selon la Commission, créent des coûts et des charges inutiles aux entrepreneurs (5), — s’assurer que les États membres permettraient aux entreprises de bénéficier de l’utilisation de l’identification électronique et de services fiduciaires à l’aide de la réglementation eIDAS (6), — assurer un échange supplémentaire de données entre les registres professionnels nationaux concernant la disqualification des directeurs, — étendre l’accès à des documents et des informations divulguées concernant les entreprises à des entreprises autres que celles à responsabilité limitée reprises à l’annexe II de la directive (UE) 2017/1132 du Prlement européen et du Conseil (7), — garantir l’accès gratuit à une liste de documents et d’informations dans tous les États membres, — introduire le principe d’«une fois pour toutes» dans le domaine du droit des sociétés afin que les entreprises n’aient pas à fournir la même information deux fois à des autorités différentes, — créer la possibilité, pour la Commission, d’établir un point d’accès optionnel à la plate-forme pour les institutions de l’Union européenne.

1.2. Contexte de la proposition

4. BRIS »), qui a été davantage détaillé par le règlement d’exécution (UE) 2015/884 de la Commission La directive (UE) 2017/1132, qui doit être modifiée par la proposition, a codifié plusieurs directives dans le champ du droit des sociétés ( 8 ) , y compris la directive 2012/17/UE du Parlement européen et du Conseil ( 9 ) . La directive 2012/17/UE a établi le système d’interconnexion des registres professionnels (le «»), qui a été davantage détaillé par le règlement d’exécution (UE) 2015/884 de la Commission ( 10 ) . Le BRIS est en place depuis le 8 juin 2017. Selon le site web de la Commission, 31 pays y participent (les États membres de l’Union européenne et des pays de l’Espace économique européen). Le BRIS connecte les registres professionnels nationaux à une «plate-forme centrale européenne» et fournit un point d’accès unique par le biais du portail européen e-Justice, à travers lequel des citoyens, des entreprises et des administrations publiques peuvent rechercher des informations sur des entreprises et leurs succursales ouvertes dans d’autres États membres. CEF eDelivery (une des composantes du système d’interconnexion de l’Europe de la Commission européenne) ( 11 ) autorise les systèmes d’enregistrements professionnels des États membres à échanger des messages de manière sécurisée à l’aide de CEF eDelivery. Les utilisateurs du BRIS peuvent également bénéficier du système de connexion, car le portail e-Justice utilise CEF-eDelivery.

5. Cependant, selon l’évaluation d’impact accompagnant la proposition, l’Union européenne propose toujours un environnement très incohérent s’agissant de la disponibilité d’outils en ligne pour les entreprises dans leurs contacts avec les autorités publiques en matière de droit des sociétés. Les États membres fournissent, à des degrés variables, des services gouvernementaux sous forme électronique. Actuellement, le droit des sociétés de l’Union européenne inclut certains éléments de numérisation tels que l’obligation pour les États membres de rendre accessibles les informations en ligne concernant les entreprises à responsabilité limitée. Cependant, ces exigences sont limitées et manquent de précision, conduisant à des mises en œuvre très diverses au niveau national. De plus, certains traitements numériques ne sont pas couverts du tout par la loi de l’Union européenne et aujourd’hui seulement 17 États membres fournissent une procédure garantissant l’enregistrement en ligne intégral des entreprises. La situation est similaire pour l’enregistrement en ligne des succursales ( 12 )

1.3. Synergies avec d’autres initiatives

6. Dans l’exposé des motifs de la proposition, il est remarqué que les dispositions relatives à des règles plus spécifiques et plus substantielles concernant les procédures d’établissement et d’enregistrement d’entreprises à responsabilité limitée et de succursales complèteraient la proposition de la Commission de règlement sur la création d’un portail d’accès numérique unique ( 13 ) , qui couvre l’enregistrement d’activité commerciale par l’intermédiaire de moyens en ligne, excepté pour la constitution d’une société à responsabilité limitée. L’introduction du principe d’«une fois pour toutes» dans le domaine du droit des sociétés, selon lequel les entreprises ne devraient pas avoir à fournir la même information deux fois à des autorités différentes, est également en cohérence avec le plan d’action numérique du gouvernement 2016-2020, qui soutient les efforts importants de l’Union européenne visant à réduire le fardeau administratif qui pèse sur les citoyens et les entreprises ( 14 )

3. CONCLUSION

Par conséquent, le CEPD recommande:

— de saisir l’occasion de la révision de la directive (UE) 2017/1032 relative au BRIS pour examiner avec soin les recommandations fournies dans l’avis précédent de 2011,

— de prendre en compte les recommandations spécifiques qui ont été données dans l’avis précédent sur la proposition de règlement sur la création d’un portail numérique unique et le principe d’«une fois pour toutes»,

— d’ajouter une référence au nouveau règlement qui remplacera bientôt le règlement (CE) no 45/2001,

— de s’assurer que la proposition spécifie le cadre des procédures de flux de données et de coopération administrative à l’aide d’un réseau électronique, afin de garantir que i) tout échange de données ou toute autre activité de traitement de données utilisant le réseau électronique (par ex. la divulgation publique de données personnelles par l’intermédiaire de plates-formes/point d’accès communs) repose sur une base juridique solide, et que ii) des dispositifs de protection des données adéquats sont fournis, en particulier relatifs aux données personnelles concernant la disqualification des directeurs,

— d’ajouter, sur le portail européen e-Justice, une référence à la décision 2014/333/UE qui énonce les tâches et les responsabilités de la Commission concernant le traitement de données dans le contexte du portail e-Justice,

— de clarifier la division des missions et des responsabilités respectives de chaque partie impliquée dans le traitement des données, dans le contexte de la responsabilité unique et de la coresponsabilité.

Bruxelles, 26 julliet 2018. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (JO L 8 du 12.1.2001, p. 1).

(2) Décision 2014/333/UE de la Commission du 5 juin 2014 relative à la protection des données à caractère personnel sur le portail européen e-Justice (JO L 167 du 6.6.2014, p. 57).

(3) COM(2018) 239 final, 2018/0113 (COD).

(4) COM(2018) 241 final, 2018/0114 (COD).

(5) Exposé des motifs de la proposition, pages 4 et 5.

(6) Règlement (Ue) no 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE (JO L 257 du 28.8.2014, p. 73). Ce règlement établit des normes communes pour la reconnaissance mutuelle de moyens d’identification électronique à des fins d’authentification transnationale pour un service en ligne fourni par un organe du secteur public dans un État membre. Voir l’avis du CEPD no 2013/C 28/04 sur la proposition de la Commission pour une réglementation du Parlement européen et du Conseil sur la confiance et la loyauté dans les transactions électroniques sur le marché interne (réglementation des services fiduciaires électroniques) https://edps.europa.eu/sites/edp/files/publication/12-09-27_electronic_trust_services_en_0.pdf et à son sommaire exécutif (JO C 28 du 30.1.2013, p. 6).

(7) Directive (UE) 2017/1132 du Parlement européen et du Conseil du 14 juin 2017 relative à certains aspects du droit des sociétés (JO L 169 du 30.6.2017, p. 46).

(8) Il abroge les directives du Conseil 82/891/CEE et 89/666/CEE et les directives 2005/56/CE, 2009/101/CE, 2011/35/UE et 2012/30/UE et du Parlement européen et du Conseil.

(9) Directive 2012/17/UE du Parlement européen et du Conseil du 13 juin 2012 modifiant la directive 89/666/CEE du Conseil et les directives 2005/56/CE et 2009/101/CE du Parlement européen et du Conseil en ce qui concerne l’interconnexion des registres centraux, du commerce et des sociétés (JO L 156 du 16.6.2012, p. 1).

(10) Règlement d’exécution (UE) 2015/884 de la Commission du 8 juin 2015 établissant les spécifications techniques et les procédures nécessaires au système d’interconnexion des registres mis en place par la directive 2009/101/CE du Parlement européen et du Conseil (JO L 144 du 10.6.2015, p. 1).

(11) eDelivery prescrit des spécifications techniques qui peuvent être utilisées dans tout domaine de politique de l’Union européenne (justice, marchés publics, protection du consommateur, etc.) pour permettre des échanges sécurisés et fiables de documents et de données (structurés, non structurés et binaires), tant transfrontaliers qu’intersectoriels. De ce fait, les organisations qui ont développé leurs systèmes informatiques indépendamment l’une de l’autre peuvent commencer à communiquer de manière sécurisée l’une avec l’autre une fois qu’elles se sont connectées à un nœud d’eDelivery. Voir le site web de la Commission:

https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/2017/06/19/BRIS+Now+Live+on+the+European+e-Justice+Portal

https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/What+is+eDelivery+-+Overview

(12) Document de travail des services de la Commission, analyse d’impact SWD(2018) 141 final, 1.4.1 fil conducteur: Quelle est la cause du problème?, page 13 et suivantes.

(13) Proposition de règlement du Parlement européen et du Conseil établissant un programme numérique unique pour donner accès à des informations, des procédures et des services d’assistance et de résolution de problèmes, et modifiant le règlement (UE) no 1024/2012, COM(2017) 256 final, 2017/0086 (COD). Voir l’avis du CEPD no 8/2017 émis dans la proposition sur le portail d’accès numérique unique et le principe de non-récurrence: https://edps.europa.eu/sites/edp/files/publication/17-08-01_sdg_opinion_en.pdf

(14) Exposé des motifs de la proposition, p. 6.