Masquer l'adresse personnelle d'un dirigeant au RCS

Le décret vise les dirigeants en exercice : gérants, présidents, directeurs généraux et DG délégués, membres et président du directoire, administrateurs, président du conseil d'administration, président et membres du conseil de surveillance, associés indéfiniment responsables, représentants permanents d'une personne morale administrateur, et représentants de succursales étrangères.

Sont exclus, explicitement : les entrepreneurs individuels, les GIE et GEIE, les associés non dirigeants de SARL et de SAS, et les bénéficiaires effectifs inscrits au registre des bénéficiaires effectifs. Les anciens dirigeants ne sont pas couverts non plus.

Un entrepreneur individuel a deux autres voies : prendre une adresse professionnelle distincte de son domicile, ou demander à l'INSEE un changement de statut de diffusion au répertoire Sirene, qui fait apparaître la mention « entreprise non diffusible ».

C'est la partie que les pages commerciales passent sous silence. L'occultation porte sur la seule adresse du domicile : l'adresse professionnelle et le siège social restent publics, et sur le registre national des entreprises le code postal et la commune continuent d'être diffusés.

Elle n'est pas opposable à tout le monde. Un accès résiduel reste ouvert aux autorités judiciaires, à TRACFIN, aux douanes, à la DGFiP, à la police judiciaire, aux organismes sociaux, à l'INSEE et à l'INPI. Il reste ouvert aussi aux notaires, aux commissaires de justice, aux administrateurs et mandataires judiciaires. Sous conditions, les associés de la société y ont accès, ainsi que les créanciers justifiant d'une créance née pendant le mandat.

Enfin, les annonces légales déjà parues continuent de mentionner l'adresse : le décret ne s'étend pas à ce canal. Une adresse occultée aujourd'hui reste donc lisible dans les archives d'un journal d'annonces légales, et dans les copies qu'en ont faites les courtiers de données.

Faire occulter son domicile ferme une porte. Il en reste d'autres, et elles ne se ferment pas au même endroit. Le portable personnel se vend chez les courtiers de contacts B2B : en décembre 2024, la CNIL a infligé 240 000 € d'amende à l'un d'eux, Kaspr, pour avoir collecté des coordonnées professionnelles issues de profils LinkedIn dont les intéressés avaient pourtant restreint la visibilité. Une fiche constituée ainsi est contestable : le droit à l'effacement de l'article 17 du RGPD s'exerce par écrit, et l'organisme doit répondre dans un délai d'un mois, porté à trois mois pour une demande complexe et motivée. Sans réponse, la plainte se dépose sur cnil.fr. Le lien de retrait de sept de ces courtiers, et ce que la demande doit dire, sont réunis dans un guide séparé.

Le numéro fixe et l'adresse postale associée sortent des annuaires par l'inscription en liste rouge, auprès de son opérateur : les services d'annuaire retirent la fiche sous 48 heures. Et pour savoir si une adresse professionnelle figure dans une fuite de données connue, Have I Been Pwned répond gratuitement, en une requête.

Tout cela, un dirigeant peut le faire lui-même. Ce que nous faisons tient à autre chose : établir la liste complète de ce qu'un attaquant retrouve déjà sur les membres d'un comité, chaque ligne avec sa source et ce qu'elle permet, puis mener les retraits, source par source. Cardinal est construit et tenu de bout en bout par des agents sur NanoCorp, ce qui est aussi la raison pour laquelle ce guide reste à jour des textes.