La CJUE enrichit la définition des données à caractère personnel : un nouvel éclairage pour le RGPD

Un arrêt rendu le 4 septembre 2025 par la CJUE vient bouleverser une certitude que beaucoup de dirigeants tenaient pour acquise : pseudonymiser une donnée suffirait à la sortir du champ du RGPD. Ce n’est plus si simple. Dans l’affaire C-413/23 P, la Cour de justice a tranché un litige opposant le Contrôleur européen de la protection des données au Conseil de résolution unique, à propos d’un transfert de commentaires d’actionnaires pseudonymisés vers le cabinet Deloitte.

La question posée était limpide : ces commentaires, une fois affublés d’un code alphanumérique à la place du nom de leur auteur, restaient-ils des données personnelles ? La réponse de la Cour rebat les cartes pour tous les acteurs qui manipulent des jeux de données pseudonymisées, y compris dans le secteur privé. Pour une PME industrielle qui transmet des fichiers RH ou clients à un prestataire externe, cette décision n’est pas une curiosité juridique lointaine : elle touche directement vos pratiques de traitement des données au quotidien.

• La CJUE a annulé une décision du Tribunal de l’UE qui exigeait un examen du contenu, de la finalité ou des effets des commentaires pour déterminer leur caractère personnel.
• Le caractère identifiable d’une personne s’apprécie au moment de la collecte et du point de vue du responsable du traitement, pas seulement de celui du destinataire final.
• La pseudonymisation ne garantit pas automatiquement l’anonymat : une donnée peut rester personnelle même transmise sous forme codée.
• Cette jurisprudence est transposable au RGPD car les définitions du règlement 2018/1725 et du règlement européen 2016/679 sont équivalentes.
• Les entreprises qui transfèrent des données pseudonymisées à des sous-traitants doivent réévaluer leurs obligations d’information.

Qu’est-ce que la CJUE vient réellement de changer pour votre entreprise ?

La Cour de justice a jugé que le Tribunal avait commis une erreur de droit. Il avait exigé du Contrôleur européen qu’il examine le contenu, la finalité ou les effets des commentaires transmis à Deloitte avant de conclure qu’ils constituaient des données personnelles. Or ces commentaires exprimaient de façon incontestable l’opinion personnelle de leurs auteurs, ce qui suffisait déjà à établir le lien avec une personne physique.

Concrètement, la Cour rappelle que la définition juridique de la donnée personnelle ne dépend pas d’une analyse fine du contenu du message, mais du simple fait qu’il se rapporte à un individu identifiable. Un commentaire d’actionnaire mécontent de la gestion de sa banque, même sans nom apparent, reste rattaché à une personne dès lors qu’un moyen raisonnable existe pour remonter jusqu’à elle. Cette lecture stricte s’inscrit dans la continuité de l’arrêt Breyer de 2016, déjà bien connu des juristes spécialisés.

Pour une entreprise de sous-traitance industrielle, l’enseignement est direct : ne présumez jamais qu’un fichier codé échappe au règlement européen sur la simple base de son apparence technique. Vérifiez systématiquement si une réidentification reste possible chez vous ou chez votre partenaire.

Pourquoi cette précision compte plus qu’il n’y paraît

Beaucoup de PME pensent que la pseudonymisation offre un blanc-seing juridique. Ce raisonnement, largement répandu depuis l’entrée en application du RGPD en 2018, vient d’être fragilisé par cet arrêt. La Cour insiste sur le fait que la perspective pertinente dépend des circonstances propres à chaque traitement, et non d’une règle générale applicable à toutes les situations.

Action concrète : reprenez la liste de vos transferts de données pseudonymisées vers des prestataires externes et vérifiez, pour chacun, qui détient la table de correspondance entre les codes et les identités réelles.

Une donnée pseudonymisée reste-t-elle une donnée personnelle ?

La réponse dépend entièrement du contexte, et c’est précisément ce que la Cour a voulu clarifier. Une donnée pseudonymisée n’est ni automatiquement anonyme, ni systématiquement personnelle. Tout repose sur la possibilité réelle, pour celui qui la détient, de retrouver l’identité de la personne concernée.

Dans l’affaire jugée, le Conseil de résolution unique conservait la clé de correspondance entre les codes alphanumériques et les actionnaires. Deloitte, de son côté, ne disposait d’aucun moyen légal ou pratique pour accéder à cette clé. Cette asymétrie a une conséquence majeure : la même donnée peut être personnelle pour l’un des acteurs et anonyme pour l’autre, selon la question de point de vue désormais consacrée par la jurisprudence.

Cette logique relative complique la vie des directions administratives qui espéraient une règle simple et universelle. Elle impose au contraire une analyse au cas par cas, transfert par transfert, prestataire par prestataire.

L’exemple d’un fichier RH transmis à un cabinet comptable

Imaginez une PME industrielle qui transmet à son expert-comptable un fichier de paie où les noms des salariés ont été remplacés par des matricules. Si le cabinet comptable peut, via un tableau de correspondance conservé par l’entreprise, remonter aux identités, la donnée reste personnelle pour les deux parties. Si en revanche seul le service RH interne détient cette clé et que le cabinet n’y a jamais accès, la situation devient plus nuancée.

Action concrète : identifiez précisément qui, dans votre chaîne de sous-traitance, détient les clés de réidentification et documentez cette information dans votre registre des traitements.

Que dit exactement l’arrêt du 4 septembre 2025 dans l’affaire C-413/23 P ?

Le litige trouve son origine dans une mission confiée par le Conseil de résolution unique au cabinet Deloitte, chargé d’analyser des commentaires d’actionnaires de la Banque Populaire Espagnole. Ces commentaires avaient été pseudonymisés avant transmission, chaque réponse recevant un code alphanumérique en lieu et place de l’identité de son auteur.

Le Contrôleur européen de la protection des données a estimé que cette opération constituait un transfert de données personnelles non déclaré, en violation de l’obligation d’information prévue par le règlement 2018/1725. Le Tribunal de l’Union européenne avait initialement annulé cette décision, jugeant que le contenu des commentaires n’avait pas été suffisamment examiné. La Cour de justice a finalement cassé cet arrêt, redonnant raison au Contrôleur européen.

Ce que la Cour retient surtout, c’est que l’obligation d’information du responsable de traitement ne saurait être écartée par le simple fait que les données transmises portent un pseudonyme plutôt qu’un nom. La forme technique ne prime pas sur la réalité du lien avec une personne physique.

Action concrète : mettez à jour votre politique d’information des personnes concernées pour couvrir explicitement les cas de transfert de données pseudonymisées à des tiers, y compris vos sous-traitants informatiques.

Le caractère identifiable dépend-il de qui détient la donnée ?

Oui, et c’est l’un des apports les plus concrets de cette décision. La Cour confirme que l’appréciation du caractère identifiable se fait au moment de la collecte et du point de vue du responsable de traitement, pas uniquement de celui qui reçoit la donnée en aval. Cette précision a des répercussions directes sur la façon dont vous devez rédiger vos contrats de sous-traitance.

Un directeur administratif et financier qui externalise la gestion de sa paie, de sa comptabilité fournisseurs ou de son support client doit désormais se poser une question simple avant chaque transfert : la personne physique reste-t-elle identifiable, même indirectement, grâce à des informations que je détiens moi-même ? Si la réponse est oui, le traitement reste soumis au RGPD, quelle que soit l’apparence technique du fichier transmis.

Critère	Pseudonymisation	Anonymisation
Réversibilité	Processus réversible	Processus irréversible
Statut au regard du RGPD	Reste une donnée personnelle si réidentification possible	Sort du champ du RGPD
Obligation d’information	Maintenue si la clé de correspondance existe quelque part	Supprimée, aucune identification possible
Coût de mise en œuvre	Modéré, technique éprouvée	Élevé, souvent jugé disproportionné par les PME
Recommandation pour données sensibles	Insuffisant seul	Fortement conseillée

Action concrète : dans vos contrats avec vos prestataires, précisez explicitement qui conserve la table de correspondance et sous quelles conditions elle peut être communiquée.

Que change cet arrêt pour votre obligation d’information en tant que sous-traitant ?

Si vous avez découvert récemment que votre entreprise agit comme sous-traitant au sens du RGPD, cet arrêt vous concerne directement. L’obligation d’information des personnes concernées ne disparaît pas parce que les données transmises sont codées. Elle disparaît uniquement lorsque la réidentification devient impossible, en pratique et légalement, pour celui qui reçoit les données.

Prenez l’exemple d’une PME de logistique qui transmet à un partenaire technologique des données de géolocalisation de ses chauffeurs, pseudonymisées sous des identifiants véhicules. Si le partenaire ne peut à aucun moment obtenir la correspondance entre l’identifiant et le nom du chauffeur, l’analyse peut évoluer. Mais si un accord contractuel prévoit la possibilité de lever cette pseudonymisation en cas de litige, la donnée reste personnelle du début à la fin.

Cette nuance a des conséquences très concrètes sur votre sécurité informatique et sur la rédaction de vos clauses contractuelles. Un audit régulier de vos flux de données pseudonymisées permet d’éviter les mauvaises surprises lors d’un contrôle de la CNIL.

Action concrète : intégrez une clause contractuelle interdisant explicitement à votre sous-traitant de tenter une réidentification, et documentez cette interdiction dans votre registre des traitements.

Pseudonymisation ou anonymisation : quelle différence concrète pour votre PME ?

La confusion entre ces deux notions coûte cher aux entreprises qui pensent être en conformité alors qu’elles ne le sont pas. La pseudonymisation remplace une donnée directement identifiante par un code, mais conserve quelque part une clé permettant de revenir en arrière. L’anonymisation, elle, supprime définitivement tout lien possible avec la personne physique.

Pour reprendre l’exemple du litige tranché par la Cour de justice, les commentaires d’actionnaires espagnols relevaient bien de la pseudonymisation puisque le Conseil de résolution unique conservait la correspondance entre codes et identités. Une véritable anonymisation aurait supposé la destruction pure et simple de cette table de correspondance, rendant toute réidentification impossible même par le responsable du traitement lui-même.

Beaucoup de PME industrielles rejettent l’anonymisation complète car elle est jugée trop coûteuse et irréversible, ce qui les prive parfois de flexibilité analytique. Ce choix reste légitime, à condition d’assumer pleinement les obligations qui accompagnent la pseudonymisation, notamment en matière d’information des personnes concernées.

Action concrète : classez vos traitements de données selon qu’ils reposent sur une pseudonymisation réversible ou une anonymisation réelle, et adaptez vos mentions d’information en conséquence.

Comment appliquer cette jurisprudence dans vos contrats avec vos sous-traitants ?

La théorie ne suffit pas si elle ne se traduit pas en clauses contractuelles précises. Un contrat de sous-traitance rédigé avant 2025 mentionne rarement les subtilités posées par cette décision de la Cour de justice. Il est temps de revoir vos modèles.

Plusieurs points méritent une attention particulière dans vos futurs contrats ou avenants :

• La qualification précise des données transmises : personnelles, pseudonymisées ou anonymisées, avec justification technique à l’appui.
• L’identification claire de la partie qui conserve la clé de correspondance en cas de pseudonymisation.
• Une clause interdisant toute tentative de réidentification par le destinataire, sauf accord exprès et documenté.
• Une obligation de notification en cas de compromission de la table de correspondance, sur le modèle des clauses de sécurité informatique déjà exigées par le RGPD.
• Une clause de révision automatique en cas d’évolution de la jurisprudence européenne sur cette notion.

Ce travail de mise à jour contractuelle peut sembler fastidieux, mais il protège directement votre entreprise en cas de contrôle. La conformité RGPD passe désormais par une lecture fine de ces clauses techniques, bien au-delà des mentions génériques utilisées jusqu’ici.

Action concrète : planifiez une revue contractuelle avec votre service juridique ou votre DPO externe avant la fin du trimestre pour intégrer ces clauses dans vos accords existants.

Quels risques si vous continuez de traiter la pseudonymisation comme une anonymisation ?

Le principal danger réside dans une fausse impression de sécurité. Une entreprise qui considère à tort ses données comme anonymes cesse d’appliquer les garanties du RGPD : plus d’information des personnes concernées, plus de base légale documentée, plus de registre des traitements à jour pour ce flux précis.

En cas de contrôle de la CNIL ou de plainte d’une personne concernée, cette erreur de qualification devient un manquement caractérisé, susceptible d’entraîner une sanction. Le montant des amendes administratives peut atteindre 4 % du chiffre d’affaires mondial annuel pour les violations les plus graves du règlement européen, un chiffre qui reste inchangé depuis l’entrée en vigueur du texte en 2018.

Au-delà de la sanction financière, c’est la confiance de vos clients et partenaires qui est en jeu. Le droit à la vie privée figure parmi les préoccupations croissantes des consommateurs, et une entreprise industrielle qui néglige ce point s’expose à une perte de réputation difficile à réparer. La protection des données devient un argument commercial autant qu’une contrainte réglementaire.

Action concrète : faites réaliser un audit externe de vos flux de données pseudonymisées dans les trois prochains mois pour identifier les zones de risque avant qu’un contrôle ne les révèle.

La pseudonymisation suffit-elle à échapper au RGPD ?

Non. Une donnée pseudonymisée reste une donnée personnelle tant qu’une réidentification reste possible, légalement ou techniquement, par l’un des acteurs impliqués dans le traitement.

Qui doit vérifier si une donnée transmise à un sous-traitant reste identifiable ?

Le responsable du traitement, au moment de la collecte, doit apprécier le caractère identifiable de la personne concernée, y compris en tenant compte des moyens dont dispose le destinataire des données.

Faut-il informer les personnes concernées même si les données sont codées ?

Oui, dans la majorité des cas. L’obligation d’information ne disparaît que si la donnée devient réellement anonyme, c’est-à-dire si aucune réidentification n’est plus possible pour personne.

L’anonymisation est-elle une meilleure protection que la pseudonymisation ?

Oui pour les données sensibles ou hautement personnelles, car elle est irréversible. La pseudonymisation reste utile mais nécessite des garanties contractuelles solides pour éviter tout risque de réidentification.

Que risque une PME qui confond pseudonymisation et anonymisation ?

Elle s’expose à un manquement à ses obligations RGPD, pouvant donner lieu à une sanction de la CNIL allant jusqu’à 4 % du chiffre d’affaires mondial annuel, ainsi qu’à une atteinte à sa réputation.