Jugement CJUE sur les données pseudonymisées

Le 4 septembre 2025, la Cour de justice de l’Union européenne (CJeu) a rendu son jugement dans EDPS V Board à résolution unique (C-413/23 P). Cette décision aborde une question clé dans la loi sur la protection des données de l’UE: Lorsque les faits pseudonymisés de dose comptent comme des données personnelles et pour qui?

Ce décision Offre une clarté vitale sur la portée de la loi sur la protection des données de l’UE, en particulier lorsque les identifiants personnels sont remplacés par des codes, et seul le contrôleur contient la clé de la réidentification.

Arrière-plan

L’affaire se concentre sur le Conseil de résolution unique (SRB). Ils ont recueilli les commentaires des actionnaires et des créanciers touchés par une mesure de résolution. Pour protéger la confidentialité, le SRB a échangé des noms pour des codes aléatoires. Seul le SRB pourrait relier ces codes aux individus.

Le cabinet comptable Deloitteagissant en tant que processeur, a reçu les commentaires sous forme pseudonymisée uniquement – ils n’avaient pas accès à la clé de réidentification.

Le Superviseur européen de protection des données (EDPS) A fait valoir que l’envoi de données à Deloitte impliquait toujours des données personnelles et nécessitait d’informer les personnes affectées, comme la clarté exige. Le tribunal général n’était pas d’accord, déclarant que les données n’étaient pas personnelles entre les mains de Deloitte. Les EDP ont ensuite fait appel au CJUE.

Le raisonnement du CJUE

1. La pseudonymisation peut rendre les données non personnelles pour les destinataires

Le CJUE a confirmé que la pseudonymisation peutdans certaines situations, les données moyennes ne sont personnelles que pour personne, sauf pour le contrôleur. Le CJUE a expliqué:

« Les données pseudonyées ne doivent pas être considérées comme constituant, dans tous les cas et pour chaque personne, les données personnelles (…), dans la mesure où la pseudonymisation peut, selon les circonstances de l’affaire, empêcher efficacement des personnes autres que le contrôleur de i i