Mme Violette Spillebout attire l'attention de Mme la secrétaire d'État auprès du ministre de l'enseignement supérieur et de la recherche, chargée de l'intelligence artificielle et du numérique, sur la protection des données personnelles des dirigeants d'entreprises sur les extraits Kbis. Le registre des entreprises tenu par l'INPI et les tribunaux de commerce permet actuellement à toute personne d'accéder à un extrait Kbis. Cet extrait divulgue l'identité des dirigeants, incluant des informations personnelles sensibles telles que la date et le lieu de naissance, ainsi que le domicile. Ces données, librement accessibles sur des sites officiels comme infogreffe.fr ou des sites commerciaux comme Pappers.fr, sont une source potentielle d'exploitation frauduleuse. A l'ère du numérique, où les arnaques et les usurpations d'identité sont monnaie courante, la divulgation sans restriction de ces informations constitue une menace réelle et directe. Des personnes mal intentionnées pourraient utiliser ces informations pour orchestrer des « arnaques au président », ouvrir frauduleusement des comptes bancaires ou forger des actes au nom des dirigeants d'entreprises. Une des mesures de confidentialité envisageable serait de restreindre l'accès aux informations sur le lieu de naissance et l'adresse personnelle des dirigeants à des personnes autorisées uniquement, telles que les commissaires de justice, les banques et les administrations publiques. Cette mesure de confidentialité renforcée permettrait de protéger les dirigeants d'entreprises des actes malveillants, tout en préservant la transparence nécessaire dans les interactions commerciales et administratives. Ainsi, elle souhaiterait connaître les mesures prises afin d'améliorer la protection des données personnelles en France.

En France coexistent, s'agissant des sociétés et des commerçants, le registre national des entreprises (RNE), tenu par l'Institut national de la propriété industrielle (INPI), et les registres du commerce et des sociétés (RCS) locaux, tenus par les greffiers des tribunaux de commerce. L'INPI délivre gratuitement une attestation d'immatriculation au RNE qui comporte les diverses informations inscrites au RNE et fait foi jusqu'à preuve du contraire et dès le moment de sa délivrance des informations qui y sont contenues. Le portail « DATA INPI » permet également d'accéder à ces informations, en open data, par une consultation de la fiche entreprise. Les informations inscrites dans le RNE relatives à l'identité et au domicile des personnes physiques sont mises à disposition par l'INPI en respectant le principe de limitation de la diffusion des données à caractère personnel, posé au 2ème alinéa de l'article L. 123-52 du code de commerce : la diffusion est restreinte aux nom, nom d'usage, pseudonyme, prénoms, mois, année de naissance et commune de résidence. Seules quelques autorités, administrations et professions ont accès à l'intégralité des informations contenues dans le RNE (voir les art. L. 123-53 et R123-318 du code de commerce) : les commissaires de justice, les notaires, les administrateurs et les mandataires judiciaires. Les greffiers des tribunaux de commerce délivrent un extrait d'immatriculation au RCS, dit « extrait K-bis », qui contient l'ensemble des informations que l'entreprise, le commerçant ou la société doit déclarer. Le site internet « Infogreffe » est la plateforme de diffusion de l'ensemble des données contenues dans les RCS locaux. L'extrait K-bis n'est pas librement accessible puisqu'il est délivré moyennant le paiement d'un tarif réglementé. Par ailleurs, depuis le 31 juillet 2024, l'INPI et les greffiers des tribunaux de commerce ont basculé les données des bénéficiaires effectifs d'un accès public vers un accès filtré à l'intérêt légitime. Ce filtrage a permis à la France de se mettre en conformité avec le droit de l'Union Européenne, en particulier avec la sixième directive anti-blanchiment (directive UE 2024/1640 du Parlement européen et du Conseil du 31 mai 2024 relative aux mécanismes à mettre en place par les États membres pour empêcher l'utilisation du système financier à des fins de blanchiment de capitaux ou même de financement du terrorisme, modifiant la directive UE 2019/1937, et modifiant et abrogeant la directive UE 2015/849). Cette directive fait suite à l'arrêt du 22 novembre 2022 de la Cour de justice de l'Union européenne (aff. C- 37/20 et C- 601/20), lequel a invalidé le dispositif selon lequel les informations relatives aux bénéficiaires effectifs des sociétés pouvaient être accessibles à tout membre du grand public, considérant que cette ouverture constituait une ingérence très grave dans la vie privée et la protection des données à caractère personnel au sens qu'en donne la Charte des droits fondamentaux de l'Union européenne. Le Gouvernement a entendu les attentes de protection des données à caractère personnel des dirigeants d'entreprises et mène donc, en lien avec la Commission nationale de l'informatique et des libertés (CNIL) et avec l'appui du Conseil national des greffiers des tribunaux de commerce, un travail sur la limitation de la diffusion de données à caractère personnel par l'intermédiaire du RNE et des RCS locaux – en veillant à préserver la transparence de la vie économique. Afin d'apporter une réponse immédiate aux situations engendrées par la diffusion des adresses personnelles des dirigeants, le Gouvernement a publié au Journal officiel du 24 août un décret n° 2025-840 relatif à la protection des informations relatives au domicile de certaines personnes physiques mentionnées au registre du commerce et des sociétés. Ce texte permet aux personnes physiques, dirigeants et associés indéfiniment responsables, de demander la confidentialité des informations relatives à leur domicile personnel. Ainsi, à la demande du dirigeant ou l'associé d'une personne morale faite auprès du Guichet Unique des formalités d'entreprises, le greffe du tribunal de commerce procède à l'occultation dans les cinq jours. L'information n'apparaît plus dans l'extrait Kbis, ou la copie intégrale des informations du registre. Lorsque les données personnelles concernées par la demande de confidentialité figurent dans une pièce annexée aux registres, les informations n'apparaissent plus dans la pièce annexée au RCS ni dans la pièce annexée au RNE.