Confidentialité des dirigeants : avancées et défis du décret du 22 août 2025

Sous l’impulsion du garde des sceaux Gérald Darmanin, un décret n° 2025-840 du 22 août 2025[1] est venu assurer la protection des informations relatives au domicile de certaines personnes physiques mentionnées au registre du commerce et des sociétés. Pour Me Patrick Lingibé, ce texte est à parfaire. Il propose trois améliorations. 

Le décret du 22 août 2025 permet désormais à ces personnes physiques de demander l’occultation de leur adresse personnelle dans les registres du commerce et des sociétés (RCS) et au registre national des entreprises (RNE).

Nous proposons d’analyser ce texte en deux temps : d’abord les fondements et la portée de la nouvelle protection (I), puis les limites et évolutions souhaitables pour renforcer son effectivité (II).

I.UN DISPOSITIF DE CONFIDENTIALITÉ INDISPENSABLE ET STRUCTURANT

Pour bien comprendre la portée du décret du 22 août 2025, il convient d’abord d’en examiner les fondements juridiques qui le sous-tendent (A), avant d’analyser les modalités concrètes de mise en œuvre prévues par le texte (B).

A. Un nécessaire renforcement de la protection des dirigeants.

Le constat est amer : nous vivons désormais dans un monde qui est devenu insécure avec l’arrivée du numérique qui a bouleversé nos vies et les risques réels de captation des données personnelles[2].  L’essor de l’intelligence artificielle n’a fait qu’amplifier cette problématique.

Ainsi, la publication des adresses personnelles, notamment des dirigeants et associés dans les registres publics, expose ces derniers à des risques très accrus : usurpation d’identité, harcèlement, voire menaces physiques.

Jusqu’à présent, ces informations étaient accessibles à tous, y compris via des plateformes en ligne, ce qui a conduit à une recrudescence manifeste des abus.

Ce décret s’inscrit donc dans la continuité des dispositions européennes sur la protection des données (RGPD[3]) et des recommandations de la CNIL[4], qui avait alerté à plusieurs reprises sur les dangers liés à la diffusion non contrôlée de données sensibles.

L’avis favorable de la CNIL, rendu le 17 juillet 2025, a été déterminant pour valider le dispositif décrété.

B. Un cadre juridique précis et une procédure simplifiée.

Le décret du 22 août 2025 vise spécifiquement deux catégories de personnes :

D’une part, les dirigeants de personnes morales (gérants, présidents, directeurs généraux, etc.)

D’autre part, les associés indéfiniment responsables, notamment dans les sociétés en nom collectif ou en commandite simple.

Cette protection ne s’applique qu’aux dirigeants actuels de la personne morale et ne s’étend pas aux anciens dirigeants, dont les données restent exposées.

Ces personnes peuvent désormais demander la confidentialité de leur domicile personnel, via le guichet unique géré par l’INPI (Institut National de la Propriété Industrielle) ou les greffes des tribunaux de commerce.

Le décret a inséré un 5° après le 4° de l’article R. 123-3 du Code de commerce ainsi rédigé :

« 5° Le cas échéant, la demande de confidentialité des informations relatives au domicile des personnes physiques mentionnées à l’article R. 123-54, formulée dans les conditions prévues à l’article R. 123-54-1.

 Concernant la demande de confidentialité, le décret met en place une procédure simplifiée prévue par le nouvel article R. 123-54-1 du Code de commerce.

Les personnes physiques dirigeants des sociétés peuvent, à tout moment, solliciter la confidentialité des informations relatives à leur domicile personnel.

 Cette demande est établie à travers le guichet unique électronique qui est géré par l’Institut National de la Propriété Industrielle (INPI).

 À réception de celle-ci, un récépissé est remis au demandeur.

 Le greffier doit traiter la demande dans le délai de cinq jours francs ouvrables après sa réception.

 Faute pour ce dernier de satisfaire à la demande dans ce délai, le demandeur peut saisir le juge commis à la surveillance du registre.

 La demande de confidentialité des informations relatives au domicile personnel des personnes physiques est conservée à titre de pièce justificative pendant un an.

 Lorsque la demande porte sur un acte ou une pièce visé à l’article R. 123-102 du Code de commerce (copies certifiées conformes par le représentant légal de la société en cause), elle doit être accompagnée d’une copie de l’acte ou de la pièce concerné au sein duquel la mention de son adresse personnelle est occultée par le demandeur.

Cette copie doit être publiée par le greffier en remplacement du document original, qui est conservé à titre de pièce justificative.

Il convient de préciser que seule l’adresse personnelle est concernée.

Cela signifie que les adresses professionnelles ou les sièges sociaux restent publics, ce qui limite nécessairement la portée de la mesure pour les dirigeants dont le domicile sert aussi de siège social.

II. LIMITES ACTUELLES ET PROPOSITIONS POUR UNE PROTECTION RENFORCÉE

 Si le dispositif marque une évolution notable, son efficacité reste limitée : il faut en interroger les insuffisances actuelles (A), puis envisager les pistes d’amélioration pour une protection plus cohérente et durable (B).

 A. Les failles du dispositif actuel : accès réservé et portée limitée

 L’adresse originale reste accessible uniquement à un cercle restreint :

 D’une part, aux autorités et administrations (fisc, Sécurité sociale, douanes, etc.).

 D’autre part, aux représentants légaux de la société, associés et créanciers, sous réserve de justifier d’une créance liée à l’activité professionnelle du dirigeant.

Cette exception vise à préserver les besoins de contrôle et de recouvrement, mais elle constitue potentiellement une faille dans la protection des données.

Ainsi, le décret insère un nouvel article R. 1236-54-2 dans le Code de commerce.

Aux termes de cet article, ont accès, pour l’exercice de leurs missions, aux informations précitées non occultées, les autorités et administrations listées par l’article L. 123-53 du Code de commerce, à savoir :

– les autorités judiciaires ;

– la cellule de renseignement financier nationale TRACFIN (Traitement du Renseignement et Action contre les Circuits FINanciers clandestins) ;

– les agents de l’administration des douanes agissant sur le fondement des prérogatives conférées par le Code des douanes ;

– les agents habilités de l’administration des finances publiques chargés du contrôle et du recouvrement en matière fiscale ;

– les officiers habilités de police judiciaire de la police nationale et de la gendarmerie nationale, ainsi que les agents des douanes et des services fiscaux habilités à effectuer des enquêtes judiciaires ;

De même, bénéficient également des mêmes droits d’accès, les autorités et administrations mentionnées à l’article R. 123-318 du Code de commerce, à savoir :

-la direction générale des entreprises, la direction générale de la concurrence, de la consommation et de la répression des fraudes, les directions interministérielles régionales et départementales en charge de l’économie, de l’emploi, du travail, des solidarités et de la protection des populations ;

-les services centraux du ministère de l’agriculture et de l’alimentation, la direction régionale et interdépartementale de l’alimentation, de l’agriculture et de la forêt, les directions régionales de l’alimentation, de l’agriculture et de la forêt, les directions de l’alimentation, de l’agriculture et de la forêt ainsi que l’agence de services et de paiement, l’établissement national des produits de l’agriculture et de la mer mentionné, l’office du développement agricole et rural de Corse et l’office de développement agricole des départements d’outre-mer ;

-les directions départementales des territoires, les directions départementales des territoires et de la mer, la direction générale des territoires et de la mer ;

-la direction générale des finances publiques ;

-la mission interministérielle relative à la simplification et à la modernisation des formalités des entreprises et de publicité légale ;

-la direction interministérielle du numérique, pour ce qui concerne la mise en œuvre des dispositions relevant de ses compétences ;

-le président de la Haute autorité de l’audit et son rapporteur général, toute personne participant directement à l’activité du Haut Conseil qu’ils désignent spécialement à cette fin, ainsi que les contrôleurs désignés et les enquêteurs habilités ;

-les commissaires de justice et commissaires-priseurs judiciaires ;

-les notaires ;

-les administrateurs et mandataires judiciaires ;

-les greffiers des tribunaux de commerce et des tribunaux judiciaires statuant en matière commerciale ;

-les organismes chargés de la gestion d’un régime obligatoire de sécurité sociale ou du recouvrement des cotisations de sécurité sociale ;

-L’INSEE ;

-L’INPI ;

-les présidents des chambres de métiers et d’artisanat, les caisses départementales et pluridépartementales de mutualité sociale agricole et l’union de recouvrement des cotisations de sécurité sociale et d’allocations familiales désignée par le directeur de l’Agence centrale des organismes de sécurité sociale pour les entreprises relevant de leur champ de compétence.

À noter que le décret a exclu de cette liste les réseaux des chambres de commerce et d’industrie, des chambres de métiers et de l’artisanat et des chambres d’agriculture, pour les entreprises relevant de leur champ de compétence.

Ces informations non occultées peuvent également être délivrées aux représentants légaux de la société, à ses associés et aux créanciers des personnes physiques concernées, lorsque ces derniers établissent détenir sur elles des créances nées à l’occasion de l’exercice par ces personnes physiques de leur mandat social.

Le champ d’application s’avère restreint (registre du commerce et des sociétés principalement), et n’est pas élargi à d’autres registres sensibles, comme le registre des bénéficiaires effectifs, laissant ainsi persister d’autres vecteurs d’exposition des données.

B. Perspectives d’amélioration : extension, automatisation et harmonisation.

Le décret du 22 août 2025 est entré en vigueur depuis le lundi 25 août 2025.

Cependant, son déploiement effectif dépendra de la réactivité des greffes et de l’INPI.

Ce texte constitue une première réponse concrète aux risques encourus par les dirigeants d’entreprise. Par cette mesure, la France rejoint d’autres pays européens, comme l’Allemagne ou les Pays-Bas, qui ont déjà mis en place des dispositifs similaires.

Cependant, nous pensons que ce dispositif devrait être amélioré et proposons à cet effet trois axes de réflexion pour répondre plus efficacement aux défis croissants posés par la transparence économique et les menaces pesant sur les données personnelles dans l’environnement numérique contemporain.

Premièrement, l’élargissement du dispositif aux anciens dirigeants nous parait indispensable afin d’offrir une véritable protection dans la durée.

Deuxièmement, l’automatisation de l’occultation éviterait les lourdeurs administratives actuelles et fastidieuses et garantirait ainsi une application rapide et homogène du dispositif.

Enfin, troisièmement, une extension aux autres registres, notamment celui des bénéficiaires effectifs[5], permettrait d’éviter les contournements et d’assurer une cohérence de la protection à l’égard des risques d’insécurité numérique.

[1] Décret n° 2025-840 du 22 août 2025 relatif à la protection des informations relatives au domicile de certaines personnes physiques mentionnées au registre du commerce et des sociétés, Journal Officiel du 24 août 2025.

[2] Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Ainsi, les nom, prénoms et adresse relèvent notamment de données personnelles.

[3] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il est entré en vigueur le 28 mai 2018 et a pour objet de garantir la vie privée des personnes.

[4] Commission Nationale de l’Informatique et des Libertés. C’est une autorité administrative indépendante (AAI) créée par la loi du 6 janvier 1978 modifiée. Elle est chargée de veiller à la protection des données personnelles contenues dans les fichiers et traitements informatiques ou papiers qu’ils soient publics ou privés.

[5] Les bénéficiaires effectifs sont des personnes physiques qui soient détiennent directement ou indirectement 25 % du capital et/ou des droits de vote au sein d’une société, soit exercent par tout moyen un pouvoir de contrôle sur les organes de gestion, d’administration, de direction de la société ou sur l’assemblée générale des associés ou des actionnaires, soit sont les représentants légaux de la société (président, gérant, directeur général, etc.).