{"id":12557,"date":"2025-09-09T13:55:48","date_gmt":"2025-09-09T12:55:48","guid":{"rendered":"https:\/\/www.cranium.eu\/is-personal-data-always-personal\/"},"modified":"2025-12-11T13:41:06","modified_gmt":"2025-12-11T13:41:06","slug":"les-donnees-personnelles-sont-elles-toujours-personnelles","status":"publish","type":"post","link":"https:\/\/www.cranium.eu\/fr\/les-donnees-personnelles-sont-elles-toujours-personnelles\/","title":{"rendered":"Les donn\u00e9es personnelles sont-elles toujours personnelles ?"},"content":{"rendered":"

Ce que l\u2019affaire SRB nous enseigne sur la pseudonymisation, le consentement et la conformit\u00e9 RGPD<\/strong><\/p>\n

Depuis des ann\u00e9es, les professionnels de la protection de la vie priv\u00e9e d\u00e9battent : faut-il consid\u00e9rer les donn\u00e9es personnelles comme un concept relatif ou absolu ? En d\u2019autres termes, tant qu\u2019il existe une possibilit\u00e9 th\u00e9orique de r\u00e9identifier un ensemble de donn\u00e9es pseudonymis\u00e9es, ces donn\u00e9es doivent-elles toujours \u00eatre consid\u00e9r\u00e9es comme des donn\u00e9es personnelles, ou existe-t-il un seuil au-del\u00e0 duquel on peut les qualifier d\u2019anonymes ?<\/p>\n

Lorsqu\u2019ils parlent de \u00ab donn\u00e9es personnelles \u00bb, les sp\u00e9cialistes pensent g\u00e9n\u00e9ralement \u00e0 des noms, des adresses, voire une adresse e-mail que l\u2019on peut clairement rattacher \u00e0 une personne. Mais la Cour de justice de l\u2019Union europ\u00e9enne (\u201cCJUE\u201d) rappelle r\u00e9guli\u00e8rement que les fronti\u00e8res sont plus mouvantes qu\u2019il n\u2019y para\u00eet. Dans son arr\u00eat r\u00e9cent EDPS c. SRB<\/em> (C-413\/23 P), la Cour s\u2019est pench\u00e9e sur la zone grise des donn\u00e9es pseudonymis\u00e9es et sur ce que cela implique pour la conformit\u00e9 au RGPD.<\/p>\n

La nouveaut\u00e9 : le caract\u00e8re \u00ab personnel \u00bb des donn\u00e9es peut d\u00e9pendre non seulement de ce qui figure dans vos propres syst\u00e8mes, mais aussi de ce qu\u2019un tiers pourrait raisonnablement en faire. Cela signifie que l\u2019approche relative des donn\u00e9es personnelles est enfin explicitement confirm\u00e9e.<\/p>\n

Dans ce blogpost, nous d\u00e9cryptons l\u2019affaire SRB, expliquons ce qu\u2019elle implique pour les professionnels de la protection des donn\u00e9es et partageons des conseils pratiques pour renforcer votre conformit\u00e9 au RGPD, en particulier lorsque des donn\u00e9es pseudonymis\u00e9es sont en jeu.<\/p>\n

\u00a0<\/p>\n

L\u2019affaire SRB : bref rappel<\/strong><\/h2>\n

Le Single Resolution Board<\/em> (SRB), organe de l\u2019Union europ\u00e9enne charg\u00e9 de g\u00e9rer les banques en difficult\u00e9, a conduit la r\u00e9solution de Banco Popular, une banque espagnole. Dans ce cadre, il a collect\u00e9 des donn\u00e9es d\u2019identification et des commentaires d\u2019actionnaires et cr\u00e9anciers, puis n\u2019a transmis \u00e0 Deloitte que les commentaires pour une \u00e9valuation ind\u00e9pendante.<\/p>\n

Avant ce transfert, le SRB a pseudonymis\u00e9 les donn\u00e9es et soutenu que celles transmises n\u2019\u00e9taient plus des \u00ab donn\u00e9es personnelles \u00bb au sens du RGPD.<\/p>\n

Les cr\u00e9anciers et actionnaires n\u2019avaient pas \u00e9t\u00e9 inform\u00e9s que leurs donn\u00e9es, pseudonymis\u00e9es ou non, seraient envoy\u00e9es \u00e0 Deloitte. Plusieurs ont d\u00e9pos\u00e9 plainte aupr\u00e8s du Contr\u00f4leur europ\u00e9en de la protection des donn\u00e9es (EDPS), ce qui a enclench\u00e9 la proc\u00e9dure.<\/p>\n

Finalement, l\u2019affaire est parvenue devant la CJUE, qui s\u2019est prononc\u00e9e par deux d\u00e9cisions cl\u00e9s:<\/p>\n

Les donn\u00e9es personnelles sont relatives<\/strong><\/h3>\n

La Cour a jug\u00e9 que les donn\u00e9es pseudonymis\u00e9es ne constituent pas automatiquement des donn\u00e9es personnelles pour toutes les parties de la cha\u00eene.<\/p>\n

    \n
  • Pour le SRB, ces donn\u00e9es restaient personnelles car il d\u00e9tenait la cl\u00e9 permettant de r\u00e9identifier les individus.<\/li>\n
  • Pour Deloitte, qui a re\u00e7u une version d\u00e9pourvue d\u2019identifiants et ne disposait d\u2019aucun moyen de lever la pseudonymisation, il ne s\u2019agissait pas de donn\u00e9es personnelles.<\/li>\n<\/ul>\n

    Cet arr\u00eat confirme explicitement l\u2019interpr\u00e9tation relative de la notion de donn\u00e9es personnelles. En vertu du RGPD, ce qui est qualifi\u00e9 de donn\u00e9es personnelles peut d\u00e9pendre de la partie qui d\u00e9tient l\u2019ensemble de donn\u00e9es et de ce qu\u2019elle est raisonnablement en mesure d\u2019en faire.<\/p>\n

    Ainsi, si vous transf\u00e9rez des donn\u00e9es et que le destinataire ne dispose d\u2019aucun moyen de r\u00e9identifier les personnes concern\u00e9es, et que vous avez mis en place les mesures techniques et organisationnelles appropri\u00e9es, ces donn\u00e9es peuvent ne plus \u00eatre consid\u00e9r\u00e9es comme personnelles entre les mains du destinataire.<\/p>\n

    Mais, et c\u2019est un point crucial, vous devez \u00eatre en mesure de le d\u00e9montrer.<\/p>\n

    Le consentement exige une transparence totale (m\u00eame pour des donn\u00e9es pseudonymis\u00e9es)<\/strong><\/h3>\n

    La deuxi\u00e8me d\u00e9cision majeure ? Le SRB aurait d\u00fb informer ces personnes, d\u00e8s le d\u00e9part, que leurs donn\u00e9es pouvaient \u00eatre transf\u00e9r\u00e9es \u00e0 Deloitte, m\u00eame si elles \u00e9taient pseudonymis\u00e9es.<\/p>\n

    Pourquoi ? Parce que la collecte des donn\u00e9es reposait sur le consentement. Or, en vertu du RGPD, pour \u00eatre valable, le consentement doit \u00eatre \u00e9clair\u00e9, ce qui inclut l\u2019information relative aux destinataires (potentiels) des donn\u00e9es.<\/p>\n

    \u00a0<\/p>\n

    Enseignements pour les professionnels de la protection des donn\u00e9es <\/strong><\/h2>\n

    Que retenir de cette affaire ? Cela d\u00e9pend de votre r\u00f4le : responsable de traitement ou destinataire d\u2019un ensemble de donn\u00e9es pseudonymis\u00e9es.<\/p>\n

    Pour les responsables de traitement<\/strong><\/h3>\n

    L\u2019affaire SRB ouvre la possibilit\u00e9 de partager des ensembles de donn\u00e9es pseudonymis\u00e9es avec moins de contraintes juridiques, \u00e0 condition que la pseudonymisation soit effectu\u00e9e de mani\u00e8re rigoureuse. L\u2019arr\u00eat fournit plusieurs \u00e9l\u00e9ments \u00e0 prendre en compte et \u00e0 documenter lorsqu\u2019un responsable de traitement souhaite d\u00e9montrer qu\u2019un ensemble pseudonymis\u00e9 ne constitue pas des donn\u00e9es personnelles pour le destinataire :<\/p>\n

      \n
    • Pr\u00e9ciser clairement quels identifiants ont \u00e9t\u00e9 supprim\u00e9s.<\/li>\n
    • Fournir un aper\u00e7u des techniques utilis\u00e9es (tokenisation, hachage, ajout de bruit, s\u00e9paration des bases de donn\u00e9es, etc.).<\/li>\n
    • D\u00e9finir les limites des \u00ab moyens raisonnables \u00bb dont dispose le destinataire.<\/li>\n
    • Mentionner tout cadre juridique interdisant la r\u00e9identification.<\/li>\n<\/ul>\n

      La documentation de cette approche permet au responsable de traitement d\u2019\u00e9valuer le risque de r\u00e9identification pour chaque destinataire. Ce qui constitue des \u00ab moyens raisonnables \u00bb pour l\u2019un peut ne pas l\u2019\u00eatre pour un autre. Le seuil permettant de qualifier les donn\u00e9es d\u2019anonymes reste cependant tr\u00e8s \u00e9lev\u00e9.<\/p>\n

      Le RGPD demeure applicable aux responsables de traitement : un devoir strict de diligence et l\u2019insertion de clauses contractuelles appropri\u00e9es restent n\u00e9cessaires pour tout partage de donn\u00e9es.<\/p>\n

      De plus, tous les destinataires (potentiels)<\/strong> des donn\u00e9es doivent \u00eatre identifi\u00e9s <\/strong>et communiqu\u00e9s afin de respecter l\u2019exigence de \u00ab consentement \u00e9clair\u00e9 \u00bb<\/strong> comme base l\u00e9gale du traitement. Le fait que les donn\u00e9es soient pseudonymis\u00e9es ou anonymis\u00e9es ne dispense en aucun cas de cette obligation.<\/p>\n

      Pour les destinataires<\/strong><\/h3>\n

      La situation change radicalement pour les destinataires de donn\u00e9es pseudonymis\u00e9es ou anonymis\u00e9es. Imaginez qu\u2019un destinataire de donn\u00e9es pseudonymis\u00e9es transmette celles-ci \u00e0 un tiers, et que ce tiers dispose<\/em> des moyens raisonnables n\u00e9cessaires pour r\u00e9identifier les personnes concern\u00e9es. \u00c0 ce moment-l\u00e0, les donn\u00e9es redeviennent des donn\u00e9es personnelles, avec toutes les cons\u00e9quences associ\u00e9es (qualification des r\u00f4les, n\u00e9cessit\u00e9 d\u2019un accord de sous-traitance, exigence d\u2019une base l\u00e9gale, etc.). Cette logique d\u00e9coule de l\u2019arr\u00eat Scania<\/em> C-319\/22.<\/p>\n

      Ainsi, toute entreprise qui traite (ou envisage de traiter) ce type de donn\u00e9es devrait prendre les mesures suivantes :<\/p>\n

        \n
      • Ne pas pr\u00e9sumer que son statut est fig\u00e9<\/strong> : m\u00eame si les donn\u00e9es ne sont pas personnelles entre vos mains, elles peuvent le redevenir d\u00e8s qu\u2019elles sont transmises \u00e0 un tiers.<\/li>\n
      • \u00c9valuer les partenaires<\/strong>: avant tout partage, analyser si le destinataire suivant dispose des moyens de r\u00e9identification ; le cas \u00e9ch\u00e9ant, se pr\u00e9parer \u00e0 une conformit\u00e9 totale au RGPD.<\/li>\n
      • Anticiper les obligations contractuelles<\/strong> : un accord de sous-traitance (ou un contrat plus large de partage de donn\u00e9es) sera n\u00e9cessaire, accompagn\u00e9 d\u2019une base l\u00e9gale, d\u2019une limitation des finalit\u00e9s et du respect des obligations de transparence.<\/li>\n<\/ul>\n

        Conclusion : la conformit\u00e9 est contextuelle<\/strong><\/h2>\n

        L\u2019affaire SRB nous rappelle que le droit de la protection des donn\u00e9es n\u2019est pas fig\u00e9, et que vos programmes de conformit\u00e9 ne devraient pas l\u2019\u00eatre non plus.<\/p>\n

        La pseudonymisation constitue une mesure technique pr\u00e9cieuse pour se pr\u00e9munir contre la r\u00e9identification et peut, dans certains cas, permettre un partage plus large des donn\u00e9es sans application directe des exigences du RGPD. Toutefois, le seuil \u00e0 atteindre pour garantir un niveau suffisant reste tr\u00e8s \u00e9lev\u00e9. Le RGPD peut en effet s\u2019appliquer d\u00e8s lors que vous partagez des donn\u00e9es (pseudonymis\u00e9es) avec une partie disposant des moyens n\u00e9cessaires pour r\u00e9identifier les personnes concern\u00e9es. Des cadres de gouvernance ad\u00e9quats seront donc indispensables pour g\u00e9rer ces situations.<\/p>\n

        Par ailleurs, l\u2019arr\u00eat confirme que le consentement \u00e9clair\u00e9 implique de communiquer l\u2019ensemble des destinataires (potentiels) des donn\u00e9es, m\u00eame lorsque celles-ci sont pseudonymis\u00e9es ou anonymis\u00e9es.<\/p>\n

        Besoin d\u2019accompagnement ?<\/strong><\/h2>\n

        Chez CRANIUM, nous aidons les organisations \u00e0 traduire ce type de d\u00e9cisions en actions concr\u00e8tes de conformit\u00e9. De la r\u00e9vision de vos bases l\u00e9gales \u00e0 l\u2019optimisation de vos protocoles de partage de donn\u00e9es, nos consultants sont l\u00e0 pour vous guider.<\/p>\n","protected":false},"excerpt":{"rendered":"

        Ce que l\u2019affaire SRB nous enseigne sur la pseudonymisation, le consentement et la conformit\u00e9 RGPD Depuis des ann\u00e9es, les professionnels de la protection de la vie priv\u00e9e d\u00e9battent : faut-il consid\u00e9rer les donn\u00e9es personnelles comme un concept relatif ou absolu ? En d\u2019autres termes, tant qu\u2019il existe une possibilit\u00e9 th\u00e9orique de r\u00e9identifier un ensemble de […]<\/p>\n","protected":false},"author":2,"featured_media":11611,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61],"tags":[66],"post_folder":[],"class_list":["post-12557","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","tag-protection-de-la-vie-privee"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/12557","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=12557"}],"version-history":[{"count":0,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/12557\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/11611"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=12557"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=12557"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=12557"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=12557"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}