#EULex – La Cour de justice de l’UE précise la notion de “donnée à caractère personnel”

L’arrêt de la CJUE du 4 septembre 2025 précise la portée de la notion de « donnée à caractère personnel ». La Cour juge qu’une information concerne une personne dès lors qu’elle est liée à celle-ci par son contenu, sa finalité ou son effet. Elle admet qu’une donnée pseudonymisée peut ne pas être une donnée personnelle pour un destinataire incapable d’identifier les personnes. Enfin, la CJUE rappelle que l’obligation d’information s’impose au responsable du traitement au moment où les personnes sont identifiables, mais non au tiers qui ne peut les identifier.

Dans un arrêt rendu le 4 septembre 2025 (affaire C‑413/23 P), la Cour de justice de l’Union européenne (CJUE) a formulé des précisions importantes en ce qui concerne la portée de la notion de « données à caractère personnel » au sens du règlement (UE) 2018/1725 (c’est-à-dire le règlement, similaire au RGPD, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union).  

Les faits  

L’affaire concerne une banque espagnole qui a nécessité une restructuration. A cet effet, le Conseil de résolution unique (CRU) a demandé l’avis d’anciens actionnaires et créanciers. Les réponses rendues de façon anonyme ont été transmises, dans le but d’être analysées, à une société externe. Cependant, il s’est avéré que les personnes qui avaient rendu un avis n’avaient pas été informées par le CRU de cette utilisation de leurs données et de la transmission de leurs avis à des tiers.  

La procédure  

Certaines des personnes concernées par cette affaire ont saisi le Contrôleur européen de la protection des données (CEPD) qui avait estimé que le CRU avait manqué à l’obligation d’information prévue par le règlement (UE) 2018/1725. Le CRU a contesté cette décision devant le Tribunal compétent qui a annulé la décision mais le CEPD a introduit un pourvoi devant la CJUE.  

La décision de la CJUE: trois enseignements-clés 

Plus de six ans après l’entrée en application du RGPD, la CJUE rend un arrêt très marquant au sujet de la notion “donnée à caractère personnel”, à plusieurs égards.   

• En premier lieu, la CJUE établit qu’une information « concerne » une personne si elle est liée à cette personne en raison de l’un des trois critères alternatifs suivants : son contenu, ou sa finalité, ou son effet.  Au regard de la « nature particulière des opinions ou des points de vue personnels qui, en tant qu’expression de la pensée d’une personne, sont nécessairement intimement liés à cette dernière » (critère du contenu), il n’est pas requis en l’espèce d’examiner les autres critères pour conclure que les commentaires sont des données à caractère personnel. 

• En deuxième lieu, alors que l’on admettait généralement que des données pseudonymisées restaient des données à caractère personnel dans tous les cas, la CJUE nuance cette affirmation. Elle accepte ainsi une dissociation permettant de considérer que, même si le responsable de traitement initial conserve la possibilité de réidentifier les personnes concernées, si le destinataire n’a pas cette faculté, les données ne soient pas, de son point de vue, des données à caractère personnel.   

• En troisième lieu, s’agissant de l’obligation du CRU d’informer les personnes concernées du transfert de leurs données pseudonymisées à un tiers, la CJUE souligne que cette obligation doit s’apprécier dans le cadre de la relation entre le CRU et les personnes concernées, donc avant tout transfert à un tiers.  Puisqu’à ce moment les personnes concernées étaient identifiables, le CRU devait se conformer à son obligation d’information.  A contrario, le tiers ne disposant pas de moyens raisonnables pour identifier les personnes concernées ne supporte pas une telle obligation.  

Cet arrêt est donc important dans la mesure où il précise la notion de donnée à caractère personnel et où il concède que des données “seulement” pseudonomysées peuvent échapper au champ d’application du RGPD.