CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. GIOVANNI PITRUZZELLA

présentées le 20 janvier 2022 ( 1 )

Affaires jointes C‑37/20 et C‑601/20

WM (C‑37/20)

Sovim SA (C‑601/20)

contre

Luxembourg Business Registers

[demandes de décision préjudicielle formées par le tribunal d’arrondissement de Luxembourg (Luxembourg)]

« Renvoi préjudiciel – Prévention de l’utilisation du système financier aux fins du blanchiment de capitaux et du financement du terrorisme – Directive (UE) 2015/849 – Article 30, paragraphes 5 et 9 – Registre des bénéficiaires effectifs – Directive (UE) 2018/843 – Article 1er, paragraphe 15, sous c) et g) – Accès de tout membre du grand public aux informations sur les bénéficiaires effectifs – Validité – Charte des droits fondamentaux de l’Union européenne – Articles 7 et 8 – Principe de transparence – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 5, paragraphe 1, sous a) à c) et f) – Dérogations à l’accès au registre des bénéficiaires effectifs – Conditions – Notions de “circonstances exceptionnelles”, de “risque” et de “risque disproportionné” – Preuve »

1. Quel est le juste équilibre entre, d’une part, l’exigence de transparence en ce qui concerne les bénéficiaires effectifs et les structures de contrôle des sociétés, qui joue un rôle fondamental dans le cadre de la prévention du blanchiment de capitaux et du financement du terrorisme et, d’autre part, le respect des droits fondamentaux des personnes concernées, à savoir les bénéficiaires effectifs, et, notamment, de leurs droits au respect de la vie privée et à la protection des données à caractère personnel ?

2. Telle est, en substance, la question fondamentale qui se pose à la Cour dans les deux affaires objet des présentes conclusions ayant trait à deux demandes de décision préjudicielle, introduites par le tribunal d’arrondissement de Luxembourg (Luxembourg).

3. Ces deux demandes portent sur la validité et sur l’interprétation de l’article 30, paragraphes 5 et 9, de la directive (UE) 2015/849 ( 2 ), telle que modifiée par la directive (UE) 2018/843 ( 3 ) (ci-après la « directive 2015/849 »). Cette directive a mis en place un régime d’accès public aux registres des bénéficiaires effectifs des sociétés et autre entités juridiques constituées sur le territoire des États membres qui donne, en principe, la possibilité à tout membre du grand public d’avoir accès à certaines des informations concernant les bénéficiaires effectifs contenues dans ces registres sans qu’il soit nécessaire de prouver un intérêt quelconque.

4. La juridiction de renvoi s’interroge sur la validité de ce régime à l’aune des droits fondamentaux au respect de la vie privée et familiale et à la protection des données à caractère personnel, consacrés respectivement aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »). Elle s’interroge également sur la validité et sur la portée du système d’exceptions audit accès public, mis en place par ladite directive.

5. Dans ce contexte, la Cour est également appelée à prendre position sur l’interaction entre ledit régime d’accès public et plusieurs dispositions du règlement (UE) 2016/679 ( 4 ).

I. Le cadre juridique

A. Le droit de l’Union

1. Les directives 2015/849 et 2018/843

6. Aux termes du considérant 2 de la directive 2015/849, « [l]a solidité, l’intégrité et la stabilité des établissements de crédit et des établissements financiers, ainsi que la confiance dans l’ensemble du système financier, pourraient être gravement compromises par les tentatives des criminels et de leurs complices de masquer l’origine des produits du crime ou d’alimenter le terrorisme par des flux d’argent licite ou illicite ». Il est ainsi nécessaire, conformément au considérant 12 de cette directive, « d’identifier toute personne physique qui possède une entité juridique ou exerce le contrôle sur celle‑ci ».

7. Aux termes du considérant 14 de la directive 2015/849, « [l]a nécessité de disposer d’informations exactes et actualisées sur le bénéficiaire effectif joue un rôle déterminant pour remonter jusqu’aux criminels, qui pourraient autrement masquer leur identité derrière une structure de société. Les États membres devraient donc veiller à ce que les entités constituées sur leur territoire conformément au droit national recueillent et conservent des informations suffisantes, exactes et actuelles sur leurs bénéficiaires effectifs, outre les informations de base telles que le nom et l’adresse de la société, et la preuve de constitution et de propriété légale. En vue de renforcer la transparence afin de lutter contre le détournement d’entités juridiques, les États membres devraient veiller à ce que les informations sur les bénéficiaires effectifs soient conservées dans un registre central tenu en dehors de la société, dans le plein respect du droit de l’Union. [...] »

8. Dans ce contexte, l’article 3, point 6, de la directive 2015/849 définit la notion de « bénéficiaire effectif » aux fins de cette directive comme « la ou les personnes physiques qui, en dernier ressort, possèdent ou contrôlent le client et/ou la ou les personnes physiques pour lesquels une transaction est exécutée, ou une activité réalisée, et qui comprend au moins : a) dans le cas des sociétés : i) la ou les personnes physiques qui, en dernier ressort, possèdent ou contrôlent une entité juridique, du fait qu’elles possèdent directement ou indirectement un pourcentage suffisant d’actions ou de droits de vote ou d’une participation au capital dans cette entité [...] » ( 5 )

9. Aux termes de l’article 30 de la directive 2015/849 ( 6 ) : « 1. Les États membres veillent à ce que les sociétés et autres entités juridiques constituées sur leur territoire aient l’obligation d’obtenir et de conserver des informations adéquates, exactes et actuelles sur leurs bénéficiaires effectifs, y compris des précisions sur les intérêts effectifs détenus. Les États membres veillent à ce que toute infraction au présent article fasse l’objet de mesures ou de sanctions efficaces, proportionnées et dissuasives. [...] 3. Les États membres veillent à ce que les informations visées au paragraphe 1 soient conservées dans un registre central dans chaque État membre [...] 4. Les États membres exigent que les informations conservées dans le registre central visé au paragraphe 3 soient adéquates, exactes et actuelles, et mettent en place des mécanismes à cet effet [...] 5. Les États membres veillent à ce que les informations sur les bénéficiaires effectifs soient accessibles dans tous les cas : a) aux autorités compétentes et aux [cellules de renseignement financier (CRF)], sans aucune restriction ; b) aux entités assujetties, dans le cadre de la vigilance à l’égard de la clientèle conformément au chapitre II ; c) à tout membre du grand public. Les personnes visées au point c) sont autorisées à avoir accès, au moins, au nom, au mois et à l’année de naissance, au pays de résidence et à la nationalité du bénéficiaire effectif, ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus. Les États membres peuvent, dans des conditions à déterminer par le droit national, donner accès à des informations supplémentaires permettant l’identification du bénéficiaire effectif. Ces informations supplémentaires comprennent, au moins, la date de naissance ou les coordonnées, conformément aux règles en matière de protection des données. 5 bis. Les États membres peuvent décider de conditionner la mise à disposition des informations conservées dans les registres nationaux visés au paragraphe 3 à une inscription en ligne et au paiement d’une redevance, qui n’excède pas les coûts administratifs liés à la mise à disposition des informations, y compris les coûts de maintenance et de développement du registre. [...] 9. Dans des circonstances exceptionnelles à définir en droit national, lorsque l’accès visé au paragraphe 5, premier alinéa, [sous] b) et c), exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est autrement frappé d’incapacité, les États membres peuvent prévoir des dérogations concernant l’accès à tout ou partie des informations sur les bénéficiaires effectifs au cas par cas. Les États membres veillent à ce que ces dérogations soient accordées sur la base d’une évaluation détaillée de la nature exceptionnelle des circonstances. Le droit d’obtenir une révision administrative de la décision de dérogation et le droit à un recours juridictionnel effectif sont garantis. Un État membre ayant accordé des dérogations publie des données statistiques annuelles sur le nombre de dérogations accordées ainsi que sur les raisons avancées et communique ces données à la Commission [européenne]. Les dérogations accordées conformément au premier alinéa du présent paragraphe ne s’appliquent pas aux établissements de crédit et aux établissements financiers, ou aux entités assujetties visées à l’article 2, paragraphe 1, point 3, [sous] b), lorsqu’il s’agit de fonctionnaires. [...] »

10. Aux termes de l’article 41, paragraphe 1, de la directive 2015/849 ( 7 ), « [l]e traitement des données à caractère personnel au titre de la présente directive est soumis au [RGPD] ».

11. Aux termes de l’article 43, paragraphe 1, de la directive 2015/849, « [l]e traitement de données à caractère personnel sur la base de la présente directive aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme visés à l’article 1er est considéré comme une question d’intérêt public au titre du [RGPD] ».

2. Le RGPD

12. L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », dispose, à son paragraphe 1 : « Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ; b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; [...] (limitation des finalités) ; c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; [...] f) traitées de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle, à l’aide de mesures techniques ou organisationnelles appropriées (intégrité et confidentialité). »

13. L’article 25 de ce règlement, intitulé « Protection des données dès la conception et protection des données par défaut », prévoit, à son paragraphe 2 : « Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées. Cela s’applique à la quantité de données à caractère personnel collectées, à l’étendue de leur traitement, à leur durée de conservation et à leur accessibilité. En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne physique concernée. »

14. Le RGPD comprend un chapitre V, intitulé « Transferts de données à caractère personnel vers des pays tiers ou à des organisations internationales », lequel contient les articles 44 à 50 de ce règlement. L’article 44, intitulé « Principe général applicable aux transferts », énonce : « Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis. »

15. L’article 49 dudit règlement, intitulé « Dérogations pour des situations particulières », prévoit : « 1. En l’absence de décision d’adéquation en vertu de l’article 45, paragraphe 3, ou de garanties appropriées en vertu de l’article 46, y compris des règles d’entreprise contraignantes, un transfert ou un ensemble de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ne peut avoir lieu qu’à l’une des conditions suivantes : [...] g) le transfert a lieu au départ d’un registre qui, conformément au droit de l’Union ou au droit d’un État membre, est destiné à fournir des informations au public et est ouvert à la consultation du public en général ou de toute personne justifiant d’un intérêt légitime, mais uniquement dans la mesure où les conditions prévues pour la consultation dans le droit de l’Union ou le droit de l’État membre sont remplies dans le cas d’espèce. [...] »

B. Le droit luxembourgeois

16. La loi du 13 janvier 2019 instituant un Registre des bénéficiaires effectifs (Mémorial A 15) (ci‑après la « loi du 13 janvier 2019 ») prévoit, à son article 3, que toute une série d’informations sur les bénéficiaires effectifs des entités immatriculées doivent être inscrites et conservées dans le Registre des bénéficiaires effectifs. Ces informations incluent le nom, le(s) prénom(s), la (ou les) nationalité(s), le jour, le mois et l’année de naissance, le lieu de naissance, le pays de résidence et l’adresse privée précise ou l’adresse professionnelle précise.

17. L’article 15 de la loi du 13 janvier 2019 dispose : « (1) Une entité immatriculée ou un bénéficiaire effectif peuvent demander, au cas par cas et dans les circonstances exceptionnelles ci‑après, sur la base d’une demande dûment motivée adressée au gestionnaire, de limiter l’accès aux informations visées à l’article 3 aux seules autorités nationales, aux établissements de crédit et aux établissements financiers ainsi qu’aux huissiers et aux notaires agissant en leur qualité d’officier public, lorsque cet accès exposerait le bénéficiaire effectif à un risque disproportionné, au risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est autrement frappé d’incapacité. (2) Le gestionnaire limite provisoirement l’accès aux informations visées à l’article 3 aux seules autorités nationales dès la réception de la demande jusqu’à la notification de sa décision et, en cas de refus de la demande, pour une durée supplémentaire de quinze jours. En cas de recours contre une décision de refus, la limitation d’accès aux informations est maintenue jusqu’à ce que la décision de refus ne soit plus susceptible de voie de recours. [...] »

II. Les faits à l’origine des litiges, les procédures au principal et les questions préjudicielles

A. L’affaire C‑37/20

18. WM est le bénéficiaire effectif d’un ensemble de 35 sociétés commerciales et de la société civile immobilière YO. Chacune de ces sociétés a introduit auprès de Luxembourg Business Registers (ci‑après « LBR »), le gestionnaire du Registre des bénéficiaires effectifs au Luxembourg, une demande au titre de l’article 15, paragraphe 1, de la loi du 13 janvier 2019 visant à ce que l’accès aux informations concernant WM en tant que bénéficiaire effectif de ces sociétés soit limité aux seuls établissements et autorités indiqués dans cette disposition, à l’exclusion de toutes autres personnes. Dans ces demandes, WM a fait valoir que la publication des informations visées à l’article 3 de la loi du 13 janvier 2019 exposerait WM et sa famille de manière caractérisée, réelle et actuelle à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation.

19. LBR a rejeté toutes ces demandes. En particulier, celle concernant la société civile immobilière YO a été rejetée par décision du 20 novembre 2019.

20. WM a introduit une action en justice contre cette décision devant la juridiction de renvoi ( 8 ). WM soutient que sa fonction de mandataire social des sociétés pour lesquelles la limitation d’accès aux informations a été demandée l’amène à devoir se déplacer souvent vers des pays aux régimes politiques instables et caractérisés par la présence d’une importante criminalité. Cela engendrerait un risque important d’enlèvement, de séquestration, de violence et même de mort. Ce risque serait accru si des personnes malintentionnées pouvaient savoir qu’il est le bénéficiaire effectif de l’une ou de l’autre des entités morales concernées, puisque cette qualité entraînerait la présomption de propriété de ces entités à son égard.

21. LBR soutient en revanche que la situation de WM ne répond pas aux exigences de la loi du 13 janvier 2019 qui justifieraient une limitation à l’accès à l’information concernant sa qualité de bénéficiaire effectif des sociétés en cause. LBR fait notamment valoir que l’implication de WM dans les activités de ces sociétés serait de notoriété publique, cette implication ayant fait l’objet de nombreuses références dans la presse et étant facilement détectable par le biais d’une simple recherche sur Internet.

22. La juridiction de renvoi est appelée à juger si WM remplit les conditions prévues à l’article 15, paragraphe 1, de la loi du 13 janvier 2019 pour que l’accès aux informations portant sur sa qualité de bénéficiaire effectif de la société civile immobilière YO soit limité. Elle relève que cette disposition transpose l’article 30, paragraphe 9, de la directive 2015/849 dans le droit luxembourgeois, et nourrit des doutes concernant l’interprétation de cette disposition de ladite directive.

23. Ces doutes concernent les notions de « circonstances exceptionnelles » et de « risque », prévues à l’article 30, paragraphe 9, de la directive 2015/849. La juridiction de renvoi s’interroge également sur le critère de la « disproportion » du risque justifiant la limitation de l’accès aux informations.

24. Dans ce contexte, le tribunal d’arrondissement de Luxembourg a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes : « 1) La notion de “circonstances exceptionnelles” a) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] à “des circonstances exceptionnelles à définir en droit national”, peut-il être interprété comme autorisant un droit national à définir la notion de “circonstances exceptionnelles” uniquement comme étant équivalente “à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation”, notions qui constituent d’ores et déjà une condition d’application de la limitation d’accès à travers la rédaction [de cette disposition] ? b) En cas de réponse négative à la [première] question [sous] a), et dans l’hypothèse où le droit national de transposition n’a pas défini la notion de “circonstances exceptionnelles” autrement que par un renvoi aux notions inopérantes de “[à] un risque disproportionné, [à] un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation”, faut-il interpréter l’article 30, paragraphe 9, [de la directive 2015/849] comme permettant au juge national de faire abstraction de la condition des “circonstances exceptionnelles”, ou doit-il suppléer la carence du législateur national en déterminant par voie prétorienne la portée de la notion de “circonstances exceptionnelles” ? Dans cette dernière hypothèse, s’agissant d’après les termes de l’article 30, paragraphe 9, [de cette directive] d’une condition dont le contenu est déterminé par le droit national, est-il possible que la Cour [...] guide le juge national dans sa tâche ? En cas de réponse affirmative à cette dernière question, quelles sont les lignes directrices qui doivent guider le juge national dans la détermination du contenu de la notion de “circonstances exceptionnelles” ? 2) La notion de “risque” a) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] “à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation”, doit-il être interprété comme renvoyant à un ensemble de huit cas de figure, dont le premier répond à un risque général soumis à la condition de disproportion et les sept suivants répondent à des risques spécifiques soustraits à la condition de disproportion ou comme renvoyant à un ensemble de sept cas de figure dont chacun répond à un risque spécifique soumis à la condition de disproportion ? b) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] à “un risque”, doit-il être interprété comme limitant l’appréciation de l’existence et de l’ampleur de ce risque aux seuls liens qu’entretient le bénéficiaire [effectif] avec l’entité morale à l’égard de laquelle il demande spécifiquement à voir limiter l’accès à l’information de sa qualité de bénéficiaire [effectif] ou comme impliquant la prise en compte des liens qu’entretient le bénéficiaire [effectif] en cause avec d’autres entités morales ? S’il faut tenir compte des liens entretenus avec d’autres entités morales, faut-il tenir compte uniquement de la qualité de bénéficiaire [effectif] par rapport à d’autres entités morales ou faut-il tenir compte de tout lien quelconque entretenu avec d’autres entités morales ? S’il faut tenir compte de tout lien quelconque entretenu avec d’autres entités morales, l’appréciation de l’existence et de l’ampleur du risque est-elle impactée par la nature de ce lien ? c) L’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant les bénéficiaires [effectifs] à “un risque”, doit-il être interprété comme excluant le bénéfice de la protection découlant d’une limitation d’accès lorsque ces informations, respectivement d’autres éléments avancés par le bénéficiaire [effectif] pour justifier de l’existence et de l’ampleur du “risque” encouru, sont aisément accessibles aux tiers par d’autres voies d’information ? 3) La notion de “risque disproportionné” Quels intérêts divergents convient-il de prendre en considération dans le cadre de l’application de l’article 30, paragraphe 9, de la [directive 2015/849], en ce qu’il conditionne la limitation d’accès aux informations concernant un bénéficiaire [effectif] à un risque “disproportionné” ? »

B. L’affaire C‑601/20

25. Sovim SA est une société anonyme établie et ayant son siège social à Luxembourg.

26. Le 12 août 2019, Sovim a déposé une demande au titre de l’article 15 de la loi du 13 janvier 2019 auprès de LBR, visant à limiter l’accès aux informations relatives à son bénéficiaire effectif qui y sont inscrites.

27. Le 6 février 2020, LBR, a refusé de faire droit à cette demande.

28. Le 24 février 2020, Sovim a alors introduit un recours devant le tribunal d’arrondissement de Luxembourg, dans lequel elle demande, à titre principal, que l’article 12 de la loi du 13 janvier 2019, selon lequel l’accès à certaines informations inscrites dans le registre des bénéficiaires effectifs est ouvert à toute personne, et/ou l’article 15 de cette loi soient laissés inappliqués et que les informations fournies par elle en exécution de l’article 3 de ladite loi ne soient pas publiquement accessibles.

29. Sovim soutient, en premier lieu, que le fait d’accorder un accès public à l’identité et aux données personnelles du bénéficiaire effectif violerait le droit à la protection de la vie privée et familiale ainsi que le droit à la protection des données à caractère personnel, consacrés respectivement aux articles 7 et 8 de la Charte. En effet, de l’avis de cette société, la directive 2015/849, sur la base de laquelle la loi du 13 janvier 2019 a été introduite dans la législation luxembourgeoise, vise à identifier les bénéficiaires effectifs de sociétés utilisées dans un but de blanchiment d’argent ou de financement du terrorisme, de même qu’à assurer la sécurité des relations commerciales et la confiance dans les marchés. Or, il ne serait pas établi en quoi l’accès au public sans le moindre contrôle d’accès des données contenues dans le registre des bénéficiaires effectifs permettrait d’atteindre ces objectifs. En second lieu, Sovim fait valoir que l’accès du public aux données personnelles contenues dans le registre des bénéficiaires effectifs constitue une violation de plusieurs dispositions du RGPD.

30. À titre subsidiaire, Sovim demande à la juridiction de renvoi de constater qu’il existe, en l’occurrence, un risque disproportionné au sens de l’article 15, premier alinéa, de la loi du 13 janvier 2019 et, partant, d’ordonner à LBR de limiter l’accès aux informations visées à l’article 3 de cette loi. Cette société soutient, à cet égard, que son bénéficiaire effectif serait soumis à un risque disproportionné caractérisé, réel et actuel, puisqu’il existerait un risque d’enlèvement du bénéficiaire effectif et de sa famille, se déplaçant ou résidant sur le continent africain.

31. Dans ce contexte, selon la juridiction de renvoi, la question se pose de savoir si l’accès à certaines des données figurant au registre des bénéficiaires effectifs au grand public est compatible avec la Charte ainsi qu’avec le RGPD.

32. Dans ces conditions, le tribunal d’arrondissement de Luxembourg a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes : « 1) L’article 1er, paragraphe 15, sous c), de la [directive 2018/843], en ce sens qu’il impose aux États membres de rendre les informations sur les bénéficiaires effectifs accessibles dans tous les cas à tout membre du grand public sans justification d’un intérêt légitime, est-il valide a) à la lumière du droit au respect de la vie privée et familiale garanti à l’article 7 de la [Charte], interprété conformément à l’article 8 de la [convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »)], compte tenu des objectifs énoncés notamment aux considérants 30 et 31 de la directive 2018/843 visant, en particulier, la lutte contre le blanchiment de capitaux et le financement du terrorisme, et b) à la lumière du droit à la protection des données à caractère personnel garantie à l’article 8 de la Charte en ce qu’il vise notamment à garantir le traitement des données personnelles de manière licite, loyale et transparente à l’égard de la personne concernée, la limitation des finalités de la collecte et du traitement et la minimisation des données ? 2) a) L’article 1er, paragraphe 15, sous g), de la directive 2018/843 doit-il être interprété en ce sens que les circonstances exceptionnelles auxquelles il fait référence, dans lesquelles les États membres peuvent prévoir des dérogations concernant l’accès à tout ou en partie des informations sur les bénéficiaires effectifs, lorsque l’accès du grand public exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ne peuvent être trouvées que si la preuve est apportée d’un risque disproportionné de fraude, d’enlèvement, de chantage, d’extorsion de fonds, de harcèlement, de violence ou d’intimidation qui est exceptionnel, pesant effectivement sur la personne particulière du bénéficiaire effecti[f], caractérisé, réel et actuel ? b) Dans l’affirmative, l’article 1er, paragraphe 15, sous g), de la directive 2018/843, ainsi interprété, est-il valide à la lumière du droit au respect de la vie privée et familiale garanti à l’article 7 de la Charte et du droit à la protection des données à caractère personnel garanti à l’article 8 de la Charte ? 3) a) L’article 5, paragraphe 1, sous a), du [RGPD], imposant le traitement des données de manière licite, loyale et transparente au regard de la personne concernée, doit-il être interprété en ce sens qu’il ne s’oppose pas – à ce que les données à caractère personnel d’un bénéficiaire effectif inscrites dans un registre de bénéficiaires effectifs, créé conformément à l’article 30 de la directive 2015/849, soient accessibles au grand public sans contrôle ni justification par toute personne du public et sans que la personne concernée (bénéficiaire effectif) puisse savoir qui a eu accès à ces données à caractère personnel la concernant, ni – à ce que [le] responsable de traitement d’un tel registre de bénéficiaires effectifs donne accès aux données à caractère personnel des bénéficiaires effectifs à un nombre illimité et non déterminable de personnes ? b) L’article 5, paragraphe 1, sous b), du [RGPD] imposant la limitation des finalités doit-il être interprété en ce sens qu’il ne s’oppose pas à ce que les données à caractère personnel d’un bénéficiaire effectif inscrites dans un registre de bénéficiaires effectifs, créé conformément à l’article 30 de la directive 2015/849, soient accessibles au grand public sans que le responsable du traitement de ces données puisse garantir que lesdites données soient utilisées exclusivement pour la finalité pour laquelle elles ont été collectées, à savoir, en substance, la lutte contre le blanchiment de capitaux et le financement du terrorisme, finalité que le grand public n’est pas l’organe responsable à faire respecter ? c) L’article 5, paragraphe 1, sous c), du [RGPD] imposant la minimisation des données doit-il être interprété en ce sens qu’il ne s’oppose pas à ce que, par le biais d’un registre de bénéficiaires effectifs créé conformément à l’article 30 de la directive 2015/849, le grand public ait accès outre au nom, mois et année de naissance, nationalité, et pays de résidence d’un bénéficiaire effectif ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus par lui, également à sa date de naissance et à son lieu de naissance ? d) L’article 5, paragraphe 1, sous f), du [RGPD] imposant que le traitement de données doit se faire de façon à garantir une sécurité appropriée des données à caractère personnel, y compris la protection contre le traitement non autorisé ou illicite, garantissant ainsi l’intégrité et la confidentialité de ces données ne s’oppose-t-il pas à l’accès sans limite et sans condition, sans engagement de confidentialité aux données à caractère personnel de bénéficiaires effectifs disponibles au registre de bénéficiaires effectifs crée conformément à l’article 30 de la directive 2015/849 ? e) L’article 25, paragraphe 2, du [RGPD], qui garantit la protection des données par défaut en vertu duquel, notamment, par défaut les données à caractère personnel ne doivent pas être rendues accessible à un nombre indéterminé de personne physiques sans l’intervention de la personne physique concernée, doit-il être interprété en ce sens qu’il ne s’oppose pas – à ce qu’un registre de bénéficiaires effectifs créé conformément à l’article 30 de la directive 2015/849 ne requiert pas l’inscription sur le site dudit registre des personnes du grand public consultant les données à caractère personnel d’un bénéficiaire effectif, ni – à ce qu’aucune information sur une consultation de données à caractère personnel d’un bénéficiaire effectif inscrites dans un tel registre ne soit communiquée audit bénéficiaire effectif, ni – à ce qu’aucune restriction quant à l’étendue et l’accessibilité des données à caractère personnel en cause ne soit applicable au regard de la finalité de leur traitement ? f) Les articles 44 à 50 du [RGPD], qui soumettent à des conditions strictes le transfert de données à caractère personnel vers un pays tiers, doivent-ils être interprétés en ce sens qu’il ne s’opposent pas à ce que de telles données d’un bénéficiaire effectif inscrites dans un registre de bénéficiaires effectifs, créé conformément à l’article 30 de la directive 2015/849, soient accessibles dans tous les cas à tout membre du grand public sans justification d’un intérêt légitime et sans limitation quant à la localisation de ce public ? »

III. Analyse

33. Les six questions posées par la juridiction de renvoi dans le cadre de ses deux demandes de décision préjudicielle peuvent, en substance, être regroupées en trois groupes.

34. Un premier groupe de questions [à savoir, la première question et la deuxième question, sous b), présentées dans l’affaire C‑601/20] vise à vérifier la validité – à la lumière des droits au respect de la vie privée et à la protection des données à caractère personnel, consacrés aux articles 7 et 8 de la Charte – du régime d’accès public aux informations sur les bénéficiaires effectifs et de son système de dérogations, tels que mis en place par l’article 30, paragraphe 5, sous c), et paragraphe 9, de la directive 2015/849.

35. Un deuxième groupe de questions (à savoir, la troisième question présentée dans l’affaire C‑601/20), vise à vérifier la compatibilité dudit régime d’accès public aux informations sur les bénéficiaires effectifs avec plusieurs dispositions du RGPD.

36. Un troisième groupe de questions [à savoir, toutes les questions présentées dans l’affaire C‑37/20, ainsi que la deuxième question, sous a), présentée dans l’affaire C‑601/20] concerne l’interprétation de l’article 30, paragraphe 9, de la directive 2015/849, relatif au système de dérogations audit régime d’accès public aux informations sur les bénéficiaires effectifs.

37. Avant de répondre à ces questions, j’estime opportun d’effectuer quelques considérations à titre liminaire. Premièrement, je formulerai des remarques de caractère général concernant le principe de transparence dans le droit de l’Union, principe qui joue un rôle fondamental dans les présentes affaires. Deuxièmement, je présenterai les caractéristiques principales du régime d’accès public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques, mis en place par la directive 2015/849. Troisièmement, je formulerai quelques considérations au regard des relations entre la directive 2015/849 et le RGPD.

A. Observations liminaires

1. Sur le principe de transparence

38. La démocratie est « le gouvernement de la puissance publique en public ». Cette définition de la démocratie, donnée par le philosophe politique faisant autorité Norberto Bobbio ( 9 ), met en évidence la relation d’interpénétration entre démocratie et transparence. Dans les traditions constitutionnelles des États membres, l’idée s’est progressivement imposée selon laquelle l’activité des pouvoirs publics doit être régie par la transparence et les limites à cette dernière doivent être absolument exceptionnelles (un gouvernement comme une « maison en verre »).

39. À la transparence de la puissance publique s’oppose le secret de la sphère privée, protégé par la reconnaissance d’un droit fondamental ayant pour objet le secret de la vie privée, désormais consacré à l’article 7 de la Charte. Ce droit, surtout après l’affirmation des technologies numériques, s’est élargi à travers le droit à la protection des données personnelles, consacré lui aussi par la Charte, à l’article 8. À la dichotomie conceptuelle entre le public et le privé correspond celle entre la transparence et la confidentialité de la vie privée.

40. Dans les sociétés complexes d’aujourd’hui, cependant, la ligne de démarcation entre la sphère publique et la sphère privée n’est pas toujours nette. En effet, il y a de plus en plus fréquemment des interférences et des chevauchements entre les deux. En particulier, certains comportements privés peuvent, de par leur nature, avoir des répercussions importantes sur la dimension publique ou, du fait du rôle public assuré par celui qui les met en œuvre, ils peuvent être pertinents pour le public d’une société démocratique et ses articulations (médias, partis politiques, organisations de la société civile) qui exercent un contrôle étendu sur l’action des pouvoirs publics.

41. Ainsi, pour des raisons de nature objective ou subjective, il peut y avoir un intérêt général à connaître certains aspects qui relèvent de la sphère privée d’un individu. Par conséquent, les cas de conflit entre la confidentialité de la vie privée et la protection des données personnelles, d’une part, et le besoin de transparence, d’autre part, se multiplient, nécessitant de délicates opérations de pondération équilibrée.

42. Dans ce contexte, il convient de relever que le principe de transparence joue un rôle de plus en plus important en droit de l’Union et il a été désormais consacré au niveau du droit primaire, étant inscrit aux articles 1er et 10 TUE, ainsi qu’à l’article 15 TFUE ( 10 ). Dans le cadre du droit de l’Union, ce principe se concrétise d’abord dans des exigences de transparence institutionnelle et procédurale visant des activités de nature publique, telles que l’activité législative ou administrative. Dans cette perspective, la transparence contribue à renforcer les principes de la démocratie et le respect des droits fondamentaux tels qu’ils sont définis à l’article 6 TUE et dans la Charte ( 11 ). La Cour elle-même a reconnu la connexion entre transparence et démocratie, en décrivant dans sa jurisprudence la finalité du principe de transparence comme consistant à offrir aux citoyens le plus large accès possible à l’information, en vue de renforcer le caractère démocratique des institutions et de l’administration ( 12 ).

43. Cependant, l’élargissement du champ d’application du principe de transparence, en particulier à la suite de l’entrée en vigueur du traité de Lisbonne ( 13 ), en a étendu l’importance dans des domaines, tels que celui de la réglementation des marchés financiers, dans lesquels ce principe contribue à lutter contre des phénomènes, tels que la corruption ou le terrorisme, qui, pouvant corroder la démocratie, sont susceptibles de mettre en danger cette valeur fondatrice de l’Union, consacrée à l’article 2 TUE.

44. Par ailleurs, la jurisprudence de la Cour montre des exemples de situations d’interférence entre les deux dichotomies susmentionnées, sphère publique/sphère privée et exigences de transparence/confidentialité de la vie privée.

45. Ainsi, dans l’arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert (C‑92/09 et C‑93/09, EU:C:2010:662), la Cour a jugé que la publication au moyen d’Internet des données nominatives relatives aux bénéficiaires d’aides agricoles ainsi qu’aux montants précis perçus par ceux-ci était apte à augmenter la transparence en ce qui concerne l’utilisation de ces aides. Elle a indiqué que de telles informations mises à la disposition des citoyens renforcent le contrôle public sur l’utilisation des sommes allouées et contribuent à une utilisation optimale des fonds publics ( 14 ).

46. Un autre arrêt récent, rendu par la grande chambre de la Cour ( 15 ), concernait une loi hongroise qui, entre autres, imposait à certaines catégories d’organisations de la société civile, bénéficiant de soutien étranger, des obligations de divulgation publique concernant des informations relatives aux personnes apportant le soutien depuis l’étranger ainsi qu’à ces aides financières. Dans cet arrêt, la Cour a jugé que la loi en cause introduisait des restrictions discriminatoires et injustifiées et violait l’article 63 TFUE, ainsi que les articles 7, 8 et 12 de la Charte.

47. Dans ce contexte, la Cour a expressément reconnu que, puisque certaines organisations de la société civile sont susceptibles, eu égard aux buts qu’elles poursuivent et aux moyens dont elles disposent, d’avoir une influence importante sur la vie publique et le débat public, alors l’objectif consistant à accroître la transparence des aides financières accordées à de telles organisations peut constituer une raison impérieuse d’intérêt général ( 16 ).

48. Comme le montrent les exemples donnés, la transparence, typique du secteur public, peut, sous certaines conditions, concerner certaines activités – et les données connexes – de sujets privés qui, pour diverses raisons, mettent en cause des intérêts fondamentaux de la communauté. Cette évolution n’est pas surprenante si l’on considère que la transparence est un « moyen » qui est utilisé, en dehors du périmètre des pouvoirs publics, pour atteindre des objectifs d’intérêt général. La question de caractère constitutionnel qui se pose dans les présentes affaires concerne la manière dont il est possible de concilier les exigences de transparence avec la protection des droits fondamentaux, et spécifiquement des droits à la protection de la vie privée et à la protection des données personnelles.

2. Sur le régime d’accès public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques mis en place dans la directive 2015/849

49. Il convient de présenter brièvement les éléments principaux du régime d’accès public aux informations concernant les bénéficiaires effectifs des sociétés et autres entités juridiques qui fait l’objet des questions préjudicielles dans les présentes affaires.

50. Ainsi qu’il ressort de son article 1er et de son considérant 5, la directive 2015/849 vise à prévenir les menaces susceptibles d’affecter l’intégrité, le bon fonctionnement, la réputation et la stabilité du système financier résultant de l’utilisation de ce système aux fins du blanchiment de capitaux et du financement du terrorisme ( 17 ). À cette fin, elle définit un cadre juridique global et efficace de lutte contre la collecte de biens ou d’argent à des fins terroristes, en imposant aux États membres d’identifier, de comprendre et d’atténuer les risques de blanchiment de capitaux et de financement du terrorisme ( 18 ).

51. Dans ce cadre, la nécessité de disposer d’informations exactes et actualisées sur le bénéficiaire effectif des sociétés et autres entités juridiques constituées sur le territoire des États membres – tel que défini à l’article 3, point 6, de la directive 2015/849 – joue un rôle déterminant pour remonter jusqu’aux criminels, qui pourraient autrement masquer leur identité derrière une structure de société ( 19 ).

52. Aux termes de l’article 3, point 6, de la directive 2015/849 les bénéficiaires effectifs sont la ou les personnes physiques qui, en dernier ressort, possèdent ou contrôlent le client et/ou la ou les personnes physiques pour lesquels une transaction est exécutée, ou une activité réalisée.

53. C’est ainsi que l’article 30, paragraphes 1 et 3, de la directive 2015/849 impose aux États membres de veiller, respectivement, d’une part, à ce que les sociétés et autres entités juridiques constituées sur leur territoire ( 20 ) aient l’obligation d’obtenir et de conserver des informations adéquates, exactes et actuelles sur leurs bénéficiaires effectifs et, d’autre part, à ce que ces informations soient conservées dans un registre central dans chaque État membre. Ces dispositions ne spécifient pas exactement quelles informations concernant le bénéficiaire effectif doivent être communiquées audit registre central, en laissant à chaque État membre la faculté de les déterminer.

54. En ce qui concerne l’accès à ces informations, l’article 30, paragraphe 5, de la directive 2015/849, dans sa version originaire, disposait que les États membres veillent à ces que les informations sur les bénéficiaires effectifs soient accessibles dans tous les cas aux autorités compétentes et aux cellules de renseignement financier, sans aucune restriction [sous a)], aux entités assujetties, dans le cadre de la vigilance à l’égard de la clientèle [sous b)] et à toute personne ou organisation capable de démontrer un intérêt légitime [sous c)].

55. Il ressort du considérant 2 de la directive 2018/843 que, à la lumière de « l’émergence de nouvelles tendances, notamment dans la manière dont les groupes terroristes financent et mènent leurs opérations », il a été jugé nécessaire de prendre « des mesures supplémentaires [...] pour garantir une plus grande transparence des transactions financières, des sociétés et autres entités juridiques ». Ainsi qu’il résulte du considérant 5 de la directive 2018/843, ces mesures supplémentaires modifiant la directive 2015/849 doivent toutefois être « apportées en tenant dûment compte du droit fondamental à la protection des données à caractère personnel ainsi que du respect et de l’application du principe de proportionnalité ».

56. Ainsi, dans la perspective de la promotion d’un degré plus élevé de transparence en ce qui concerne les bénéficiaires effectifs, la version originelle de l’article 30, paragraphe 5, sous c), de la directive 2015/849, a été modifiée par la directive 2018/843, dans le sens que la possibilité d’accéder aux informations sur les bénéficiaires effectifs est désormais possible pour « tout membre du grand public » sans qu’il soit nécessaire de prouver un intérêt quelconque.

57. Plus précisément, en vertu de l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849, tout membre du grand public est autorisé « à avoir accès, au moins, au nom, au mois et à l’année de naissance, au pays de résidence et à la nationalité du bénéficiaire effectif, ainsi qu’à la nature et à l’étendue des intérêts effectifs détenus ». Par ailleurs, conformément au troisième alinéa de cet article 30, paragraphe 5, les États membres peuvent donner accès « à des informations supplémentaires permettant l’identification du bénéficiaire effectif », ces informations supplémentaires comprenant « au moins, la date de naissance ou les coordonnées, conformément aux règles en matière de protection de données ».

58. En ce qui concerne les modalités d’accès à ces données, la directive 2018/843 a introduit à l’article 30 de la directive 2015/849 un paragraphe 5 bis qui donne la faculté aux États membres de décider de conditionner la mise à disposition des informations conservées dans les registres nationaux à une inscription en ligne et au paiement d’une redevance, qui n’excède pas les coûts administratifs liés à la mise à disposition des informations.

59. L’accès du grand public aux informations concernant les bénéficiaires effectifs n’est toutefois pas illimité. En effet, la directive 2015/849, à son article 30, paragraphe 9, donne la possibilité aux États membres de prévoir des dérogations à l’accès aux informations concernant les bénéficiaires effectifs. Dans sa version modifiée par la directive 2018/843, le paragraphe 9 dudit article dispose que les États membres peuvent prévoir des dérogations concernant l’accès auxdites informations dans des circonstances exceptionnelles à définir en droit national, lorsque l’accès par les entités assujetties ou par le grand public exposerait le bénéficiaire effectif à un risque disproportionné, à un risque de fraude, d’enlèvement, de chantage, d’extorsion, de harcèlement, de violence ou d’intimidation, ou lorsque le bénéficiaire effectif est un mineur ou est autrement frappé d’incapacité.

60. Ainsi qu’il ressort des considérants 30 ( 21 ), 31 ( 22 ), 32 ( 23 ) et 33 ( 24 ) de la directive 2018/843, les modifications introduites par celle-ci à l’article 30 de la directive 2015/849 – et, notamment la prévision de la possibilité d’accéder aux informations sur les bénéficiaires effectifs pour « tout membre du grand public » sans qu’il soit nécessaire de prouver un intérêt quelconque – ont visé à promouvoir un degré plus élevé de transparence en ce qui concerne les bénéficiaires effectifs et les structures de contrôle des entreprises, avec l’objectif principal de mettre en place un environnement moins susceptible d’être utilisé à des fins de blanchiment de capitaux et de financement du terrorisme ( 25 ). L’instauration d’une plus grande transparence a visé à avoir également comme effet secondaire positif l’amélioration de la confiance dans les marchés financiers ( 26 ).

61. Si les modifications introduites à la directive 2015/849 par la directive 2018/843 ont visé l’objectif primaire susmentionné de promotion d’un degré plus élevé de transparence, le considérant 34 ( 27 ) de cette dernière directive reconnaît toutefois explicitement qu’il est nécessaire de rechercher un juste équilibre entre, d’une part, l’intérêt du grand public à la prévention du blanchiment de capitaux et du financement du terrorisme et, d’autre part, les droits fondamentaux des personnes concernées.

62. C’est ainsi, comme il ressort du considérant 36 ( 28 ) de la directive 2018/843, dans le but d’assurer une approche proportionnée et équilibrée et de garantir, notamment, les droits au respect de la vie privée et à la protection des données à caractère personnel, que la directive 2015/849 a prévu les dérogations à la divulgation, par l’intermédiaire des registres, d’informations sur les bénéficiaires effectifs et à l’accès du grand public à de telles informations, aux conditions susmentionnées prévues à l’article 30, paragraphe 9, de cette directive.

3. Sur la relation entre les directives 2015/849 et 2018/843 et le RGPD

63. Le deuxième groupe de questions, mentionné au point 35 des présentes conclusions, à savoir celles posées dans le cadre de la troisième question dans l’affaire C‑601/20, sont formulées comme visant à demander à la Cour d’apprécier la validité du régime d’accès public aux informations concernant les bénéficiaires effectifs, mis en place par la directive 2015/849, à l’aune de plusieurs dispositions du RGPD.

64. Dans ces conditions, il apparaît opportun d’effectuer, à titre liminaire, quelques considérations concernant la relation existant entre ces actes de droit de l’Union, à savoir, d’un côté les directives 2015/849 et 2018/843, et, de l’autre côté, le RGPD.

65. À cet égard, il convient, tout d’abord, de relever qu’il s’agit d’actes de droit dérivé, qui, dans la hiérarchie des sources de droit de l’Union, se trouvent au même rang.

66. Or, il ressort de la jurisprudence que, lorsque deux actes de droit dérivé de même rang ne comportent pas de disposition prévoyant expressément la primauté de l’un sur l’autre, il convient d’assurer une application de chacun de ces actes qui soit compatible avec celle de l’autre et en permette ainsi une application cohérente ( 29 ).

67. En l’occurrence, il existe des liens explicites entre les actes en cause. Le lien le plus direct est établi à l’article 41, paragraphe 1, de la directive 2015/849, aux termes duquel, dans la version modifiée par la directive 2019/2177, « le traitement des données à caractère personnel au titre de cette directive est soumis [au RGPD] ». Le considérant 38 de la directive 2018/843 expose également que le RGPD « s’applique au traitement des données à caractère personnel dans le cadre de la présente directive » et que « les bénéficiaires devraient être informés de leurs droits en vertu du cadre juridique de l’Union relatif à la protection des données en vigueur établi par le [RGPD] ». L’article 43 de la directive 2015/849 contient également une référence au RGPD.

68. En dépit de l’utilisation du termes « soumis » audit article 41, paragraphe 1 ( 30 ), ces liens n’apparaissent pas, à mon sens, prévoir une primauté du RGPD sur les directives 2015/849 et 2018/843 ( 31 ), de sorte que le RGPD devrait, en tant que tel, constituer un paramètre de légalité pour apprécier la validité des dispositions de ces directives.

69. Ces liens sont, en revanche, l’expression d’une exigence de coordination entre, d’une part, le traitement des données à caractère personnel résultant de l’application desdites directives et, d’autre part, le cadre juridique général en droit de l’Union relatif à la protection des données mis en place par le RGPD.

70. Par ailleurs, ce cadre juridique général créé par le RGPD met en œuvre – notamment (mais non exclusivement) aux articles 5 et 6 de ce règlement – les exigences découlant du droit fondamental à la protection des données à caractère personnel protégé par l’article 8 de la Charte et notamment celles expressément prévues par le paragraphe 2 de cet article ( 32 ).

71. Il s’ensuit que, pour être conforme aux exigences découlant de l’article 8 de la Charte, le régime de traitement des données concernant les bénéficiaires effectifs, mis en place par la directive 2015/849, doit être interprété de manière cohérente avec les dispositions du RGPD, conformément à ce qui est explicitement prévu à l’article 41, paragraphe 1, de cette directive.

72. D’ailleurs les exigences découlant des règles du RGPD doivent être prises en compte également par les autorités des États membres, notamment par le législateur national, lorsqu’elles règlent et appliquent le régime en matière de prévention de l’utilisation du système financier aux fins du blanchiment de capitaux ou du financement du terrorisme mis en place par les directives susmentionnées, et spécifiquement, le régime de traitement des données concernant les bénéficiaires effectifs que ces deux directives prévoient.

73. C’est donc à la lumière de ces principes qu’il convient d’analyser les questions préjudicielles introduites par la juridiction de renvoi.

B. Sur la validité de l’article 30, paragraphe 5, sous c), et paragraphe 9, de la directive 2015/849 [première question et deuxième question, sous b), dans l’affaire C‑601/20]

74. Par la première question posée dans l’affaire C‑601/20, la juridiction de renvoi demande si l’article 30, paragraphe 5, sous c), de la directive 2015/849 en ce sens qu’il impose aux États membres de rendre les informations sur les bénéficiaires effectifs accessibles à tout membre du grand public sans justification d’un intérêt légitime, est valide à la lumière du droit au respect de la vie privée et familiale et du droit à la protection des données à caractère personnel garantis, respectivement, aux articles 7 et 8 de la Charte.

75. Par la deuxième question, sous b), posée dans la même affaire, la juridiction de renvoi demande si l’article 30, paragraphe 9, de la directive 2015/849, qui donne la possibilité aux États membres de prévoir des dérogations à l’accès, notamment, de tout membre du grand public aux informations concernant les bénéficiaires effectifs, est valide à la lumière desdits droits fondamentaux consacrés par la Charte.

76. Il convient, à mon avis, d’analyser conjointement ces deux questions qui concernent la validité de deux paragraphes du même article de la directive 2015/849. En effet, ces deux questions visent deux aspects du même régime d’accès public aux informations sur les bénéficiaires effectifs, tel que mis en place par cette directive, dont la validité doit, selon moi, être appréciée dans son ensemble. J’estime, en effet, que, afin de pouvoir répondre à la première question posée dans l’affaire C‑601/20, concernant l’ouverture de l’accès auxdites informations au grand public sans justification d’un intérêt quelconque, on ne peut pas éviter de prendre en compte le système de dérogations prévu à l’article 30, paragraphe 9, de ladite directive. Les deux questions sont donc liées.

77. À titre liminaire, j’observe, encore, qu’il ressort de la décision de renvoi que la première question dans l’affaire C‑601/20 ne vise pas à remettre en cause la communication et la conservation des données concernant les bénéficiaires effectifs dans un registre central, ni le régime d’accès en tant que tel à ces informations, tel que prévu à l’article 30, paragraphe 5, de la directive 2015/849. Ladite question porte uniquement sur la modification de l’article 30, paragraphe 5, sous c), de la directive 2015/849, résultant de la directive 2018/843. Elle porte donc seulement sur l’abolition de l’exigence, prévue dans la version originaire de cette disposition, selon laquelle toute personne ou organisation, doit démontrer un « intérêt légitime » pour pouvoir accéder auxdites données concernant les bénéficiaires effectifs et, ainsi, sur l’introduction de la possibilité d’accéder à de telles informations pour « tout membre du grand public » sans qu’il soit nécessaire de prouver un intérêt quelconque.

1. Les droits protégées par les articles 7 et 8 de la Charte et les conditions auxquelles doivent répondre les ingérences dans ces droits

78. En ce qui concerne les droits fondamentaux visées par les deux questions en appréciation de validité susmentionnées, il convient de rappeler que l’article 7 de la Charte garantit à toute personne le droit au respect de sa vie privée et familiale, de son domicile et de ses communications. Quant à l’article 8, paragraphe 1, de la Charte, celui-ci reconnaît explicitement à toute personne le droit à la protection des données à caractère personnel la concernant. Selon une jurisprudence constante, ces droits, qui se rapportent à toute information concernant une personne physique identifiée ou identifiable, sont étroitement liés, l’accès à des données à caractère personnel d’une personne physique en vue de leur conservation ou de leur utilisation affectant le droit de cette personne au respect de la vie privée ( 33 ).

79. Les droits consacrés aux articles 7 et 8 de la Charte n’apparaissent cependant pas comme étant des prérogatives absolues, mais doivent être pris en considération par rapport à leur fonction dans la société ( 34 ). L’article 8, paragraphe 2, de la Charte autorise ainsi le traitement des données à caractère personnel si certaines conditions sont réunies. Cette disposition prévoit que les données à caractère personnel doivent être traitées « loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi ».

80. Toute limitation apportée au droit à la protection des données personnelles, ainsi qu’au droit à la vie privée, doit en outre, respecter les prescriptions de l’article 52, paragraphe 1, de la Charte. Ainsi, une telle limitation doit être prévue par la loi, respecter le contenu essentiel de ces droits, répondre effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui et respecter le principe de proportionnalité.

81. L’appréciation d’une mesure limitant lesdits droits doit tenir compte également de l’importance des droits consacrés aux articles 3, 4, 6 et 7 de la Charte et de celle que revêtent les objectifs de protection de la sécurité nationale et de lutte contre la criminalité grave en contribuant à la protection des droits et des libertés d’autrui ( 35 ).

82. Par ailleurs, l’article 52, paragraphe 3, de la Charte vise à assurer la cohérence nécessaire entre les droits contenus dans celle-ci et les droits correspondants garantis par la CEDH, dont il convient de tenir compte en tant que seuil de protection minimale ( 36 ). Le droit au respect de la vie privée et familiale, consacré à l’article 7 de la Charte, correspond à celui garanti à l’article 8 de la CEDH et doit, par conséquent, se voir reconnaître le même sens et la même portée ( 37 ).

83. C’est à la lumière de ces principes qu’il convient d’examiner lesdites deux questions en appréciation de validité.

2. Sur l’existence d’ingérences dans les droits énoncés aux articles 7 et 8 de la Charte et sur leur gravité

84. Afin d’apprécier la validité des dispositions de la directive 2015/849 mises en cause par la juridiction de renvoi, il convient, d’emblée, de vérifier si des opérations telles que celles prévues par ces dispositions sont susceptibles de porter atteinte aux droits fondamentaux garantis aux articles 7 et 8 de la Charte et de constituer des ingérences dans ces droits. Si tel est le cas, il y a lieu également de déterminer le niveau de gravité de ces ingérences ( 38 ).

85. En ce qui concerne, tout d’abord, l’existence d’ingérences, il convient, premièrement, de relever que le respect du droit à la vie privée à l’égard du traitement des données à caractère personnel, reconnu par les articles 7 et 8 de la Charte, se rapporte à toute information concernant une personne physique identifiée ou identifiable ( 39 ), ce qui est le cas en l’espèce, les bénéficiaires effectifs des sociétés et autres entités juridiques, tels que définis à l’article 3, point 6, de la directive 2015/849, étant des personnes physiques identifiables.

86. Deuxièmement, il convient également de relever que les informations concernant les bénéficiaires effectifs auquel le grand public a accès, qui sont énumérées à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849, et qui ont été mentionnées au point 57 des présentes conclusions, sont des données à caractère personnel ( 40 ). À cet égard, il ressort de la jurisprudence que la circonstance que ces informations s’inscrivent dans le contexte d’une activité professionnelle n’est pas de nature à leur ôter la qualification de données à caractère personnel ( 41 ).

87. En outre, il ressort de la jurisprudence que, pour déterminer si des données à caractère personnel doivent être couvertes par la protection prévue par le droit de l’Union, il est indifférent de savoir si les informations visées sont d’une sensibilité particulière ou non. De surcroît, la Cour a déjà jugé que, aux fins de caractériser l’existence d’une ingérence dans le droit fondamental consacré à l’article 7 de la Charte, il importe peu que les informations relatives à la vie privée concernées présentent ou non un caractère sensible ou que les intéressés aient ou non subi d’éventuels inconvénients en raison de cette ingérence ( 42 ).

88. Troisièmement, ainsi que toutes les parties ayant déposé des observations devant la Cour l’ont relevé, des opérations telles que celles prévues à l’article 30, paragraphe 5, sous c), de la directive 2015/849 – à savoir la mise à disposition et la divulgation au public, par l’organisme chargé de la tenue d’un registre, de données à caractère personnel relatives aux bénéficiaires effectifs, telles que celles mentionnées au point 57 des présentes conclusions– sont des opérations susceptibles de porter atteinte aux droits fondamentaux garantis par les articles 7 et 8 de la Charte. Ces opérations constituent ainsi des ingérences dans les droits garantis à l’article 7 de la Charte ( 43 ). Elles sont également constitutives d’ingérences dans le droit à la protection des données à caractère personnel garanti à l’article 8 de la Charte puisqu’elles constituent des traitements de données à caractère personnel ( 44 ), relevant du paragraphe 2, de cet article 8 ( 45 ), dont ledit organisme est le responsable ( 46 ).

89. En outre, en l’occurrence, une fois mises à disposition, ces données peuvent être consultées par les membres du grand public qui accèdent aux informations contenues et rendues accessibles dans le registre et, le cas échéant, sont conservées ou diffusées par ces personnes ( 47 ). Cet accès constitue une ingérence supplémentaire dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte ( 48 ). Dès l’instant où il accède aux données contenues dans le registre, le membre du grand public est susceptible également d’être considéré comme responsable de ce traitement, ainsi que des éventuels traitements successifs ( 49 ).

90. Il y a donc lieu de conclure que des opérations telles que celles résultant de l’application de l’article 30, paragraphe 5, sous c), de la directive 2015/849 constituent des ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte.

91. En ce qui concerne, ensuite, l’appréciation de la gravité de ces ingérences, il convient, en premier lieu, de relever que, en l’occurrence, le nombre de personnes susceptibles d’être concernées par l’ingérence est non pas illimité, indéfini et indifférencié, mais il est au contraire encadré ( 50 ). En effet, les personnes physiques identifiables en tant que bénéficiaires effectifs des sociétés ou d’autres entités juridiques, dans le sens de la définition mentionnée au point 85 des présentes conclusions, constituent un groupe d’individus spécifiques. Ces individus sont déterminés en raison de leur rôle dans les sociétés et autres entités juridiques, à savoir leur position de bénéficiaires effectifs de ces entités. En outre, cette détermination a lieu en fonction des objectifs poursuivis ( 51 ) par l’obligation de communication au registre des bénéficiaires effectifs des données en question. Il existe donc une relation entre les personnes concernées (à savoir, les bénéficiaires effectifs) et la finalité du traitement.

92. Néanmoins, il convient également de relever, en deuxième lieu, que les modalités de traitement des données en cause, donnant lieu aux ingérences, à savoir la mise à disposition de ces données au public sans, en principe, aucune barrière à l’accès, sont potentiellement susceptibles de permettre une diffusion à grande échelle de ces données.

93. Or, les dispositions de l’article 30 de la directive 2015/849 laissent au législateur national une certaine marge de manœuvre en ce qui concerne la détermination des modalités d’accès du grand public aux données concernant les bénéficiaires effectifs ainsi que les procédures à suivre à cet effet. Dans un tel contexte, la portée des incidences sur les droits fondamentaux en cause est susceptible de varier en fonction de la manière dont l’accès du public est assuré.

94. Ainsi, dans certains États membres, comme, le Luxembourg, pays en cause dans les présentes affaires, cet accès peut être effectué à l’aide de procédures automatisées, les données concernant les bénéficiaires effectifs des sociétés et autres entités juridiques étant disponibles sur Internet. Or, il est clair qu’une telle modalité d’accès, à savoir la possibilité d’accéder à ces données librement sur Internet, est susceptible de donner lieu à une propagation maximale de ces données. Une telle modalité de traitement des données peut donc rendre possible une diffusion à grande échelle de ces données ( 52 ).

95. En troisième lieu, pour ce qui est des données visées par les ingérences, il ressort de la jurisprudence de la Cour que plus les catégories de données faisant objet de l’accès sont nombreuses, plus l’ingérence est susceptible d’être qualifiée de « grave » ( 53 ).

96. Or, il ressort de l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 que, en l’occurrence – sous réserve de la question de la marge de manœuvre laissée aux États membres, question discutée aux points 105 à 107 ci-dessous –, ces données correspondent à deux catégories : d’une part, une série de données relatives à l’identité civile des bénéficiaires effectifs (le nom, le mois et l’année de naissance ainsi que la nationalité) et à leur pays de résidence sans autre spécification ; d’autre part, des données relatives à la nature et à l’étendue des intérêts effectifs détenus. Les autres informations qui sont contenues dans le registre des bénéficiaires effectifs ne sont pas concernées par les opérations constituant des ingérences mentionnées aux points 88 et 89 des présentes conclusions qui font objet des questions préjudicielles dans la présente affaire.

97. Concernant la première catégorie de données, il s’agit d’une série limitée de données qui permettent sans doute d’individualiser une personne, mais qui constituent des données pouvant être dites « de contact » ( 54 ) et d’identification, et non pas des données pour ainsi dire « qualifiées », se rapportant essentiellement à la vie privée et intime ou permettant l’établissement d’un profilage fidèle, précis et exhaustif de l’identité privée de la personne concernée ( 55 ). Si ces données permettent d’identifier avec un certain degré de précision la personne en cause, à savoir le bénéficiaire effectif, elles ne permettent pas, à mon avis, de tirer des conclusions particulièrement précises concernant la vie privée des personnes dont les données sont concernées ( 56 ).

98. Quant à la seconde catégorie de données, il s’agit de données de nature économique, dévoilant la nature des intérêts effectifs détenus dans la société ou entité – comme, par exemple, la détention de parts sociales ou d’actions – et l’étendue de ces intérêts, qui peut être, par exemple, exprimée en termes de pourcentage de participation dans l’entité. Or, si de telles données permettent certainement de déterminer la portée des intérêts du bénéficiaire effectif dans la société ou l’entité juridique en cause et ont, dès lors, une certaine signification économique, elles ne permettent pas, toutefois à mon avis, tout comme la première catégorie de données, de tirer des conclusions précises concernant la vie privée des personnes concernées ( 57 ).

99. Les données concernant les bénéficiaires effectifs, qui sont accessibles par tout membre du grand public apparaissent revêtir donc un caractère moins sensible que certaines autres catégories de données à caractère personnel ( 58 ).

100. Dans ses observations, Sovim a, cependant, fait valoir que l’accès libre du public aux données visées à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 permettrait l’évaluation du patrimoine de la personne intéressée et permettrait d’identifier ses préférences quant à la nature et l’étendue de ses investissements. Lors de l’audience, Sovim a également fait valoir que l’accès à ces données permettrait d’effectuer des opérations d’intelligence économique à des fins de profilage.

101. À cet égard, je relève que si, certes, l’accès à des données concernant la nature et l’étendue des intérêts effectifs détenus dans une société permet d’acquérir certaines informations concernant le patrimoine d’une personne, deux considérations sont toutefois pertinentes. D’une part, les investissements dans des sociétés constituent généralement seulement une partie du patrimoine d’une personne, ce patrimoine étant normalement composé d’une série diversifiée d’investissements comprenant d’autres types d’investissements, tels que des placements dans des instruments financiers ou des investissements immobiliers. Le seul accès aux données concernant les investissements dans des sociétés permet ainsi d’acquérir généralement une vision limitée du patrimoine d’une personne. D’autre part, à moins que les intérêts effectifs dont la nature et l’étendue sont divulguées ne concernent des sociétés dont la valeur est, de quelque manière, publique, il ne paraît aucunement évident, sans d’autres informations, de déterminer la valeur précise d’une société ou d’un investissement constitué par la détention de parts dans cette société. Il s’ensuit que, même si ayant accès auxdites données, on peut acquérir une vision limitée du patrimoine d’une personne, celle-ci ne permet généralement pas de tirer des conclusions précises en ce qui concerne la quantification de ce patrimoine.

102. Des considérations similaires valent, à mon avis, pour le risque que l’accès à ces informations permette d’effectuer un profilage économique d’un individu. Si, certes, l’accès aux données mentionnées au point 98 des présentes conclusions permet d’identifier les domaines (ou, du moins, certains de ces domaines) dans lesquels un individu effectue des investissements, cet accès ne permet pas toutefois nécessairement de tirer des conclusions précises quant au profil d’investissement de cet individu. Sur ce point, je relève, de plus, que les modalités concrètes par lesquelles l’accès du public au registre s’effectue ont une incidence à cet égard et peuvent permettre de limiter davantage ce risque. Ainsi, j’observe que, au Luxembourg, la recherche sur Internet relative aux données en question peut s’effectuer exclusivement par référence à l’entité juridique et non pas à la personne du bénéficiaire effectif. L’absence de possibilité d’effectuer des recherches par personne dans le registre permet de limiter davantage un éventuel risque de profilage économique de la personne concernée.

103. Cela dit, je relève également que des données précises concernant la nature et l’étendue des intérêts effectifs détenus dans une société ou un autre entité juridique peuvent avoir une signification économique et commerciale indépendante, dans la mesure où, dans certains cas, elles peuvent permettre de comprendre la structure effective de contrôle de certaines sociétés qui pourrait ne pas être claire sur la base d’informations provenant d’autre sources d’informations.

104. En conclusion, il ressort de tout ce qui précède que la mise à disposition et la divulgation au public, par l’organisme chargé de la tenue d’un registre, des données telles que celles mentionnées au point 57 des présentes conclusions relatives aux bénéficiaires effectifs, ainsi que l’accès du public à ces données, constituent sans doutes des ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte. Cependant, j’estime que, en dépit du fait que, dans le cadre de la marge de manœuvre laissée par la directive 2015/849 aux États membres quant aux modalités de traitement des données à caractère personnel en cause, il n’est pas exclu qu’il y ait une diffusion à grande échelle de ces données en raison de la portée plutôt limitée des données à caractère personnel, objet des ingérences, et de leur nature non particulièrement sensible, les effets potentiellement nuisibles, pour les personnes visées par les ingérences en cause, peuvent être considérés comme étant modérés. Lesdites ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte entraînées par les opérations mentionnées aux points 88 et 89 des présentes conclusions, ne revêtent donc pas, à mes yeux, un caractère particulier de gravité, dès lors que des données d’une telle portée et nature ne permettent pas, à elles seules, d’obtenir des renseignements précis sur les personnes concernées et n’affectent donc pas directement et fortement l’intimité de leur vie privée.

105. Cela étant, il y a lieu toutefois encore de relever que les deuxième et troisième alinéas de l’article 30, paragraphe 5, de la directive 2015/849 laissent une marge de manœuvre aux États membres quant aux données qui peuvent être rendues accessibles au grand public. En effet, d’une part, ledit deuxième alinéa dispose que tout membre du grand public est autorisé à avoir accès « au moins » aux données y indiquées, ce qui laisse entendre que les États membres peuvent donner accès à des données supplémentaires. D’autre part, ledit troisième alinéa prévoit que les États membres peuvent, dans des conditions à déterminer par le droit national, donner accès à des « informations supplémentaires » permettant l’identification du bénéficiaire effectif, qui comprennent, au moins, la date de naissance ou les coordonnées, conformément aux règles en matière de protection des données.

106. Le législateur de l’Union a donc laissé une marge de manœuvre aux États membres pour étendre la quantité de données relatives aux bénéficiaires effectifs auxquelles le grand public peut avoir accès, allant ainsi au-delà des données indiquées dans la liste prévue à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849, et rappelées au point 96 des présentes conclusions.

107. Or, il est clair que cette possibilité d’étendre la quantité de données concernant les bénéficiaires effectifs accessibles au grand publique peut potentiellement donner lieu à davantage d’ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte à ces personnes. Outre la question du caractère indéterminé des données supplémentaires qui peuvent être ajoutées par les États membres à la liste des données accessibles par le grand public mentionnée audit deuxième alinéa et indiquée au point 96 des présentes conclusions ( 59 ), je relève que donner accès au public aux coordonnées précises d’une personne (entendues comme l’adresse de résidence ou de domicile), tel qu’envisagé à l’article 30, paragraphe 5, troisième alinéa, de la directive 2015/849, est, à mon avis, susceptible de comporter contrairement à ce que j’ai conclu au point 104 des présentes conclusions, une ingérence grave dans la vie privée d’une personne. La possibilité pour les États membres de rendre accessible des données supplémentaires doit ainsi faire l’objet d’une analyse propre.

3. Sur la justification des ingérences

108. Dès lors que le régime d’accès public mis en place par la directive 2015/849 donne lieu à des ingérences dans les droits fondamentaux garantis aux articles 7 et 8 de la Charte, il convient de vérifier si ces limitations auxdits droits peuvent être justifiées en application des dispositions et des principes mentionnées aux points 79 et 80 des présentes conclusions.

a) Sur le respect de l’exigence selon laquelle toute limitation à l’exercice des droits énoncés aux articles 7 et 8 de la Charte doit être prévue par la loi

109. La première des conditions auxquelles doivent satisfaire les limitations à l’exercice des droits consacrés aux articles 7 et 8 de la Charte, visée tant à l’article 8, paragraphe 2, de celle-ci que, de manière générale, à son article 52, paragraphe 1, exige que de telles limitations soient « prévues par la loi ».

110. Selon une jurisprudence bien établie de la Cour ( 60 ), s’inspirant de la jurisprudence de la Cour européenne des droits de l’homme ( 61 ), l’exigence selon laquelle toute limitation à l’exercice d’un droit fondamental doit être « prévue par la loi » ne vise pas uniquement l’origine « légale » de l’ingérence, mais implique aussi que la base légale qui permet cette ingérence doit définir elle-même, de manière claire et précise, la portée de celle-ci. Ayant trait à la « qualité de la loi » et, donc, à l’accessibilité et à la prévisibilité de la mesure en cause, ce second volet que recouvre l’expression « prévue par la loi » au sens tant de l’article 52, paragraphe 1, de la Charte que de l’article 8, paragraphe 2, de celle-ci et de l’article 8 de la CEDH ne vise pas seulement à assurer le respect du principe de légalité et une protection adéquate contre l’arbitraire ( 62 ), mais répond également à un impératif de sécurité juridique.

111. En l’occurrence, je relève, premièrement, que l’obligation à la charge de l’organisme qui tient le registre des bénéficiaires effectifs de mettre à la disposition du public certaines données concernant les bénéficiaires effectifs qu’il a collectées et stockées, ainsi que la possibilité donnée au grand public d’accéder librement à ces données, se fondent sur l’article 30, paragraphe 5, sous c), de la directive 2015/849, ainsi que sur la disposition de la législation nationale qui a transposé cette norme.

112. Deuxièmement, tant les directives en cause, à savoir les directives 2015/849 et 2018/843, que la loi nationale de transposition ont été publiées dans des journaux officiels accessibles à toute personne. Dans ces conditions, les exigences de transparence de la base légale qui justifie les limitations en cause peuvent être considérées comme étant satisfaites ( 63 ).

113. Troisièmement, je constate que l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 prévoit de manière claire et précise une liste des données collectées et stockées que l’organisme chargé de la tenue du registre doit mettre à la disposition du public qui peut y accéder.

114. Cette constatation est faite, toutefois, sous réserve de la possibilité laissée aux États membres de rendre accessible au grand public des données supplémentaires en vertu de l’utilisation des termes « au moins » dans le deuxième alinéa ainsi qu’en vertu du troisième alinéa de l’article 30, paragraphe 5, de la directive 2015/849. En effet, s’il est vrai que l’accès du public aux « données supplémentaires » que les États membres peuvent prévoir en vertu de la disposition dudit troisième alinéa doit être lui aussi prévu par le droit national, doit être conforme aux règles en matière de protection des données et doit avoir pour finalité exclusive celle de permettre l’identification du bénéficiaire effectif, il n’en demeure pas moins que cette disposition est comparable à une disposition dite « texte libre » ( 64 ) ayant vocation à inclure, en plus de celles énumérées précisément dans la liste contenue dans ledit deuxième alinéa, une série d’informations supplémentaires qui ne sont pas exactement définies ni déterminables.

115. Or, lorsque des ingérences dans les droits fondamentaux établis par la Charte trouvent leur source dans un acte législatif de l’Union, il incombe au législateur de l’Union de fixer, dans le respect des critères de clarté et de précision indiquées dans la jurisprudence rappelée au point 110 des présentes conclusions ( 65 ), la portée exacte de ces ingérences. Il s’ensuit que, lorsque l’instrument choisi par ce législateur est une directive, il ne saurait, à mon sens, être délégué aux États membre, lors de la transposition de celle-ci dans leurs droits nationaux, la détermination d’éléments essentiels définissant la portée de l’ingérence, tels que, s’agissant de limitations aux droits fondamentaux énoncés aux articles 7 et 8 de la Charte, la nature et l’étendue des données à caractère personnel soumis à traitement.

116. En l’occurrence, en adoptant les directives 2015/849 et 2018/843, le législateur de l’Union a procédé lui-même à une limitation des droits consacrés aux articles 7 et 8 de la Charte. Les ingérences que ces directives permettent dans lesdits droits ne sauraient donc être considérées comme étant la conséquence du choix des États membres ( 66 ), malgré la marge d’appréciation dont ils bénéficient au moment de la transposition en droit national, mais trouvent leur base légale dans lesdites directives elles-mêmes. Dans ces conditions, il incombait au législateur de l’Union, conformément à la jurisprudence rappelée au point 110 des présentes conclusions, ainsi qu’aux normes élevées de protection des droits fondamentaux contenues notamment dans la Charte, d’identifier de manière claire et précise l’étendue et la nature des données à caractère personnel qui constituent l’objet de traitement. Une telle identification constitue, en effet, une opération essentielle, à laquelle toute base légale introduisant une mesure qui limite l’exercice des droits fondamentaux énoncés par les articles 7 et 8 de la Charte doit obligatoirement procéder de la manière la plus claire et précise possible ( 67 ).

117. Par conséquent, il y a lieu de conclure que, en l’occurrence, la base légale qui permet les ingérences, à savoir la directive 2015/849, définit elle-même, de manière claire et précise, la portée de la limitation aux droits fondamentaux concernés seulement en ce qui concerne les données accessibles par le grand public telles que précisément déterminées dans la liste contenue au deuxième alinéa de l’article 30, paragraphe 5, de la directive 2015/849. En revanche, la prévision, dans ce deuxième alinéa et dans le troisième alinéa de ce paragraphe 5, de la possibilité pour les États membres de rendre accessibles au grand public des données supplémentaires, qui ne sont pas précisément déterminées, ne satisfait pas à cette condition.

118. Il s’ensuit de ce qui précède que c’est seulement au regard de la liste de données contenue au deuxième alinéa de l’article 30, paragraphe 5, de la directive 2015/849 que les limitations à l’exercice des droits consacrés aux articles 7 et 8 de la Charte en cause sont prévues par la loi conformément à l’article 52 de la Charte.

119. En ce qui concerne spécifiquement les exigences prévues à l’article 8, paragraphe 2, de la Charte, il a été relevé au point 70 des présentes conclusions qu’elles sont concrétisées, notamment, aux article 5 et 6 du RGPD.

120. L’exigence relative à la licéité du traitement, à savoir l’exigence selon laquelle les données en cause doivent être traitées sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi ( 68 ), est prévue à l’article 5, paragraphe 1, sous a), du RGPD ( 69 ) et est concrétisée à l’article 6 de ce règlement qui prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Ainsi, pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus audit article 6 ( 70 ).

121. À cet égard, deux considérations sont à mon avis pertinentes.

122. En premier lieu, il convient de constater que le traitement de données à caractère personnel qui est effectué par l’organisme chargé de la tenue du registre des bénéficiaires effectifs dans la mise en œuvre de l’article 30, paragraphe 5, sous c), de la directive 2015/849 répond à plusieurs motifs de légitimation prévus à l’article 6 du RGPD ( 71 ).

123. En effet, ce traitement répond, premièrement, au motif prévu à l’article 6, point c), du RGPD, relatif au respect d’une obligation légale, dès lors que ledit organisme est soumis à l’obligation d’effectuer un tel traitement découlant de la loi, tel qu’indiqué au point 111 des présentes conclusions.

124. Ledit traitement répond, deuxièmement, au motif prévu à l’article 6, point e), du RGPD, relatif à l’exécution d’une mission d’intérêt public dont l’organisme est investi ( 72 ). En effet, en tenant le registre des bénéficiaires effectifs et en exerçant toutes les fonctions prévues à l’article 30 de la directive 2015/849 en ce qui concerne ce registre, cet organisme participe à la réalisation de l’objectif d’intérêt général visé par cette directive, à savoir la lutte et la prévention du blanchiment de capitaux et du financement du terrorisme ( 73 ). Par ailleurs, il ressort explicitement de l’article 43, paragraphe 1, de la directive 2015/849 que le traitement de données à caractère personnel sur la base de cette directive aux fins de la prévention du blanchiment de capitaux et du financement du terrorisme, visée par celle-ci, est considéré comme une question d’intérêt public au titre du RGPD.

125. Troisièmement, le même traitement répond au motif prévu à l’article 6, point f), du RGPD, relatif à la réalisation d’un intérêt légitime poursuivi par le responsable du traitement ou par les tiers qui ont accès à ces données. En effet, en permettant d’accéder à ces données, ledit organisme permet à ces tiers de contribuer à l’objectif susmentionné.

126. En deuxième lieu, je relève qu’il ressort de la jurisprudence de la Cour, que ni l’article 5 ni l’article 6 du RGPD n’interdisent de manière générale et absolue que, en vertu d’une législation nationale, une autorité publique ou un organisme chargé par la loi de la tenue d’un registre, tel que le registre des bénéficiaires effectifs, soit habilité, voire contraint, à communiquer des données à caractère personnel au public lorsque cette communication est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique ( 74 ).

127. Il s’ensuit que les articles 5 et 6 du RGPD ne s’opposent pas per se à la tenue d’un registre contenant des données à caractère personnel qui soit accessible au grand public, à savoir à un nombre illimité et indéterminé de personnes, sans contrôle et justification et sans que la personne concernée puisse savoir qui a accès à ces données. La question qui se pose est plutôt celle de la proportionnalité d’une telle approche, à la lumière de l’objectif d’intérêt général poursuivi et en considération du niveau de gravité de l’ingérence dans les droits fondamentaux des personnes concernées.

128. Il ressort de ce qui précède que les traitements résultant de l’article 30, paragraphe 5, sous c), de la directive 2015/849 sont licites aux termes de l’article 8, paragraphe 2, de la Charte et de l’article 5, paragraphe 1, sous a) et paragraphe 6, du RGPD.

b) Sur le respect du contenu essentiel des droits énoncés aux articles 7 et 8 de la Charte

129. Toute restriction apportée à l’exercice des droits fondamentaux doit non seulement reposer sur une base légale suffisamment précise, mais également respecter le contenu essentiel de ces droits. L’exigence, énoncée à l’article 52, paragraphe 1, de la Charte, selon laquelle toute limitation aux droits ou libertés garantis par la Charte doit respecter le contenu essentiel de ceux‑ci implique que, lorsqu’une ingérence y porte atteinte, aucun objectif légitime ne saurait la justifier. L’ingérence est alors jugée contraire à la Charte sans qu’il faille examiner si elle est apte et nécessaire à la réalisation de l’objectif poursuivi ( 75 ).

130. À cet égard, il ressort tant du libellé de l’article 52, paragraphe 1, de la Charte, que de la jurisprudence de la Cour que l’appréciation portant sur l’existence d’une ingérence dans le contenu essentiel du droit fondamental en cause doit être menée préalablement à, et indépendamment de, l’évaluation de la proportionnalité de la mesure en cause, et que, partant il s’agit d’un test doté de sa propre autonomie ( 76 ).

131. Cela étant, en l’occurrence, à mon avis, les limitations à l’exercice des droits consacrés aux articles 7 et 8 de la Charte en cause, résultant des traitements des données mentionnées dans la liste prévue à l’article 30, paragraphe 5, deuxième alinéa, de la directive 2015/849 ne donnent pas lieu à des atteintes au contenu essentiel de ces droits.

132. En effet, en ce qui concerne le droit au respect de la vie privée et familiale, ainsi qu’il ressort des points 96 à 104 des présentes conclusions, les ingérences résultant des traitements mentionnés au point précèdent, ne permettent pas d’obtenir des renseignements précis sur les personnes concernées et n’affectent donc pas directement et fortement l’intimité de leur vie privée. Il s’ensuit que les limitations de ce droit résultant du régime d’accès public aux informations concernant les bénéficiaires effectifs mis en place par la directive 2015/849 ne sauraient être considérées comme affectant le contenu essentiel du droit fondamental consacré à l’article 7 de la Charte ( 77 ).

133. En ce qui concerne le droit à la protection des données à caractère personnel, garanti à l’article 8 de la Charte, la Cour considère, dans sa jurisprudence, que le contenu essentiel de ce droit, est préservé lorsque les finalités du traitement sont circonscrites et que le traitement s’accompagne de règles destinées à assurer, notamment, la sécurité, la confidentialité et l’intégrité des données, ainsi qu’à les protéger contre les accès et les traitements illégaux ( 78 ).

134. À cet égard, il convient, d’abord, de relever que les finalités qui justifient le traitement des données concernant les bénéficiaires effectifs des sociétés dans le cadre du régime mis en place par l’article 30 de la directive 2015/849 sont circonscrites. En effet, le traitement de ces informations se justifie exclusivement pour atteindre les objectifs d’intérêt général indiqués dans cette directive et, pour ce qui est de l’accès du public à ces données, mentionnés aux points 138et suivants ci-dessous et, notamment, celui de la lutte et de la prévention du blanchiment de capitaux et du financement du terrorisme.

135. Ensuite, il ressort de l’article 41 de la directive 2015/849, ainsi que du considérant 38 de la directive 2018/843, que le RGPD s’applique aux traitements des données à caractère personnel effectués dans le cadre du régime de l’accès public aux informations concernant les bénéficiaires effectifs mis en place par ces deux directives. Celles-ci, ainsi qu’il a été relevé aux points 65 et 72 des présentes conclusions, doivent être interprétées de manière cohérente avec le RGPD. Or, le RGPD prévoit des règles destinées à assurer, notamment, la sécurité, la confidentialité et l’intégrité des données, ainsi qu’à protéger ces données contre les accès et les traitements illégaux.

136. Dans ces conditions, les limitations au droit à la protection des données à caractère personnel, garanti à l’article 8 de la Charte, résultant du régime d’accès public aux informations concernant les bénéficiaires effectifs mis en place par la directive 2015/849 ne sauraient être considérées comme affectant non plus le contenu essentiel de ce droit fondamental.

137. En ce qui concerne, en revanche, les « informations supplémentaires » mentionnées aux points 105 à 107, ainsi que 114 à 116 des présentes conclusions, celles-ci n’étant pas précisément définies, il n’est pas possible de déterminer si les limitations des droits fondamentaux en cause résultant du régime d’accès public à ces données est ou non susceptible d’affecter le contenu essentiel des droits consacrés aux articles 7 et 8 de la Charte.

c) Sur les objectifs d’intérêt général poursuivis par le régime d’accès public aux informations concernant les bénéficiaires effectifs

138. Pour pouvoir être justifiées conformément à l’article 52, paragraphe 1, de la Charte, les limitations aux droits fondamentaux garantis aux articles 7 et 8 de la Charte doivent répondre à des objectifs d’intérêt général.

139. À cet égard, je relève que la directive 2018/843 expose de manière plutôt détaillée, aux considérants 4, ainsi que 30 à 38 ( 79 ), les motivations qui ont amené le législateur de l’Union à modifier le régime d’accès public aux informations concernant les bénéficiaires effectifs, tel qu’initialement prévu dans la directive 2015/849.

140. Ainsi qu’il a déjà été mentionné aux points 50 et 60 des présentes conclusions, il ressort de ces considérants que ledit régime s’inscrit dans l’objectif principal de la directive 2015/849, édicté à son article 1er, paragraphe 1, à savoir la prévention de l’utilisation du système financier de l’Union aux fins du blanchiment de capitaux et du financement du terrorisme. Dans ce contexte, les modifications introduites par la directive 2018/843 ont visé à promouvoir un degré plus élevé de transparence en ce qui concerne les bénéficiaires effectifs et les structures de contrôle des entreprises, avec l’objectif principal de mettre en place un environnement moins susceptible d’être utilisé à des fins de blanchiment de capitaux et de financement du terrorisme ( 80 ). Dans ces conditions, dans la mesure où la directive 2018/843 vise non seulement à détecter le blanchiment de capitaux et à enquêter en la matière, mais aussi à le prévenir, l’amélioration de la transparence vise à constituer un puissant moyen de dissuasion ( 81 ).

141. Dans ce cadre, le considérant 30 de la directive 2018/843 fait mention d’un certain nombre de finalités spécifiques visées par le régime d’accès du public aux informations sur les bénéficiaires effectifs. Ainsi, un tel accès vise, premièrement, à permettre un contrôle accru des informations par la société civile, notamment la presse ou les organisations de la société civile. Deuxièmement, il contribue à préserver la confiance dans l’intégrité des transactions commerciales et du système financier. Troisièmement, il contribue à lutter contre le recours abusif à des sociétés et autres entités juridiques et constructions juridiques aux fins du blanchiment de capitaux ou du financement du terrorisme, à la fois en facilitant les enquêtes et par le biais de considérations de réputation, dans la mesure où quiconque susceptible de conclure des transactions connaît l’identité des bénéficiaires effectifs. Quatrièmement, il vise à faciliter la mise à disposition efficace et en temps utile d’informations pour les institutions financières et les autorités, notamment les autorités des pays tiers, impliquées dans la lutte contre ces infractions. Cinquièmement, il vise à être utile aux enquêtes sur le blanchiment de capitaux, sur les infractions sous-jacentes associées et sur le financement du terrorisme.

142. L’objectif matériel fondamental de la mesure en cause – à savoir la modification de l’article 30, paragraphe 5, sous c), de la directive 2015/849, résultant de la directive 2018/843, qui a supprimé l’exigence que toute personne ou organisation, démontre un « intérêt légitime » pour pouvoir accéder aux données concernant les bénéficiaires effectifs – est, dès lors, d’accroître la transparence afin de contribuer à la prévention du blanchiment des capitaux et du financement du terrorisme.

143. À cet égard, je relève, en premier lieu, qu’il ressort de la jurisprudence de la Cour que la prévention de l’utilisation du système financier de l’Union aux fins du blanchiment de capitaux et du financement du terrorisme constitue un objectif légitime auquel les États membres ont souscrit tant au niveau international ( 82 ) qu’au niveau de l’Union et qui est susceptible de justifier une entrave à des droits protégés par l’ordre juridique de l’Union ( 83 ).

144. En deuxième lieu, l’objectif de la mesure rappelée au point 142 ci-dessus est lié au principe de transparence, qui, comme il a été relevé aux points 38 à 48 des présentes conclusions, a une portée de droit primaire.

145. En troisième lieu, la Cour, dans sa jurisprudence, a reconnu que l’objectif de prévention du blanchiment de capitaux et du financement du terrorisme se rattache à l’objectif de protection de l’ordre public ( 84 ). De manière cohérente à cette jurisprudence, il convient de considérer que la mesure en cause vise à poursuivre l’objectif de prévention d’infractions pénales graves (le blanchiment de capitaux) et de prévention des menaces graves contre la sécurité publique (le terrorisme), objectifs qui, aux termes de la jurisprudence, sont de nature à justifier des ingérences, même graves, dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte ( 85 ).

d) Sur le respect du principe de proportionnalité

146. Selon l’article 52, paragraphe 1, seconde phrase, de la Charte, des limitations à l’exercice d’un droit fondamental reconnu par celle-ci ne peuvent être apportées que si elles respectent le principe de proportionnalité.

147. À cet égard, il convient de rappeler que le principe de proportionnalité exige, selon une jurisprudence constante de la Cour, que les actes des institutions de l’Union soient aptes à réaliser les objectifs légitimes poursuivis par la réglementation en cause et ne dépassent pas les limites de ce qui est approprié et nécessaire à la réalisation de ces objectifs ( 86 ).

1) Sur l’aptitude de la mesure à réaliser l’objectif poursuivi

148. Se pose, d’emblée, la question de savoir si la mesure en cause rappelée au point142 ci-dessus est apte à réaliser les objectifs poursuivis et mentionnés aux points 140 à 142 des présentes conclusions.

149. À cet égard, il n’apparaît pas contesté qu’un accès élargi aux informations concernant les bénéficiaires effectifs, tel que celui mis en place par ladite mesure, est susceptible d’exposer davantage des éventuels recours abusifs à des sociétés ou à d’autres entités et constructions juridiques aux fins du blanchiment de capitaux ou du financement du terrorisme et qu’un tel accès constitue un moyen apte à créer un environnement moins susceptible d’être utilisé pour des telles activités.

150. Il s’ensuit que ledit accès élargi constitue un moyen complémentaire de dissuasion de tels comportements qui est apte à contribuer à la prévention du blanchiment des capitaux et du financement du terrorisme ( 87 ).

2) Sur le caractère strictement nécessaire des ingérences

151. Conformément à la jurisprudence constante de la Cour, la protection du droit fondamental au respect de la vie privée au niveau de l’Union exige que les déroga