Le 4 septembre 2025, la Cour de justice de l’Union européenne (CJUE) a rendu un arrêt très attendu sur la qualification juridique des données pseudonymisées. Elle a jugé que ces données demeurent des données personnelles dès lors qu’elles se rapportent à une personne identifiable, mais qu’elles ne revêtent ce caractère pour un destinataire externe que si celui-ci possède les moyens de ré-identifier l’auteur.
Une affaire issue de la faillite de Banco Popular
Le litige trouve ses origines dans la crise bancaire espagnole de 2017. Face à la faillite de Banco Popular, la banque fut reprise par Santander dans le cadre du mécanisme européen de résolution bancaire. Le Conseil de résolution unique (CRU), autorité chargée de piloter cette opération, avait alors mis en place une procédure de consultation. Actionnaires et créanciers concernés pouvaient soumettre leurs observations sur une plateforme dédiée, après enregistrement de leurs données d’identité.
Ces contributions, une fois collectées, furent transmises au cabinet Deloitte sous une forme pseudonymisée afin d’évaluer l’impact de la résolution. Mais en 2022, le Contrôleur européen de la protection des données (CEPD) avait sanctionné le CRU pour défaut de transparence, considérant que l’information fournie aux participants sur les destinataires des données n’avait pas été complète.
Le cœur du débat : qu’est-ce qu’une donnée personnelle ?
Au centre de l’affaire se trouvait une question essentielle : les commentaires pseudonymisés fournis à Deloitte étaient-ils ou non des données personnelles au sens du Règlement général sur la protection des données (RGPD) ?
Le CRU soutenait que non, estimant que Deloitte n’avait pas en pratique la possibilité d’identifier les auteurs des contributions. Selon lui, la pseudonymisation créait une barrière suffisante pour faire perdre aux données leur caractère personnel.
Le Contrôleur européen de la protection des données défendait la thèse inverse, pointant que les opinions exprimées dans les commentaires restaient liées à des individus initialement identifiables, ce qui leur donnait la nature de données personnelles.
La décision de la CJUE
La Cour tranche désormais avec une solution nuancée :
• Une donnée pseudonymisée reste une donnée personnelle pour l’entité responsable du traitement initial (ici le CRU), puisqu’elle conserve la capacité technique de ré-identifier les personnes.
• Pour un destinataire tiers (comme Deloitte), la qualification dépend de la réalité des moyens à disposition. Si ce tiers ne dispose d’aucune ressource raisonnable pour retrouver l’identité des auteurs, ces données ne doivent pas être traitées comme personnelles.
Ainsi, la Cour introduit une distinction entre les acteurs du traitement, ce qui pourrait avoir des implications significatives pour les transferts de données pseudonymisées dans toute l’Union européenne.
Un cadre de protection réajusté
L’arrêt marque une étape importante dans l’interprétation du RGPD. Il confirme que la pseudonymisation n’est pas une anonymisation, mais reconnaît aussi que la qualité de donnée personnelle doit être analysée au regard de la situation concrète de chaque destinataire.
Cette décision apporte plus de clarté juridique aux institutions européennes et au secteur privé, qui recourent de plus en plus à la pseudonymisation pour équilibrer protection de la vie privée et exploitation de l’information.
Dans le même temps, elle rappelle aux organismes qu’ils ne sauraient éluder leurs obligations en matière de transparence et d’information des personnes concernées.
Un arrêt qui, selon plusieurs juristes, pourrait redessiner l’équilibre entre innovation et protection des droits fondamentaux en matière de données dans l’Union européenne.