L'arrêt CJUE C-413/23 P expliqué : donnée pseudonymisée et approche relative
Dernière mise à jour : 2026-10-11
Pour celui qui détient la table de correspondance, oui ; pour le destinataire qui ne peut pas raisonnablement ré-identifier, non : c’est l’approche relative retenue par la CJUE le 4 septembre 2025.
Les faits
En juin 2017, le Conseil de résolution unique (CRU) a placé la banque Banco Popular Español en résolution (points 10 à 12). Les actionnaires et les créanciers concernés ont pu présenter des observations sur le projet de décision relatif à leur indemnisation. Chaque observation était associée à un code, ce qui permettait au CRU de la relier à son auteur. Un sous-ensemble de 1 104 observations a été transmis à Deloitte pour une évaluation (points 17 à 28).
L’information donnée aux participants ne citait pas Deloitte parmi les destinataires possibles. Cinq plaintes ont conduit le Contrôleur européen de la protection des données (CEPD) à constater un manquement à l’article 15, paragraphe 1, sous d), du règlement 2018/1725, qui impose d’informer la personne des destinataires de ses données (points 29 à 34). Le 26 avril 2023, le Tribunal de l’Union européenne a annulé cette décision (affaire T-557/20), en jugeant que les observations transmises à Deloitte n’étaient pas des données à caractère personnel (points 35 à 38).
La question posée à la Cour
Le CEPD, soutenu par le Comité européen de la protection des données, a formé un pourvoi (points 39 à 42). Deux questions en ressortent pour le sujet de cette page. Une observation qui exprime l’opinion d’une personne est-elle une information qui la concerne ? Et une donnée pseudonymisée reste-t-elle une donnée à caractère personnel pour un destinataire qui ne détient pas les informations permettant de ré-identifier la personne ?
La réponse de la Cour
L’arrêt du 4 septembre 2025 (première chambre, ECLI:EU:C:2025:645) annule l’arrêt du Tribunal. Voici ce qu’il dit, point par point.
- Des opinions concernent une personne. Un avis ou un point de vue personnel est lié à son auteur, sans qu’il faille chercher un contenu, une finalité ou un effet particulier. Le Tribunal a commis une erreur sur ce point (points 54 à 61).
- Le statut dépend d’un examen. L’application du règlement présuppose un examen du caractère identifié ou identifiable de la personne (point 69). La pseudonymisation n’entre pas dans la définition de la donnée à caractère personnel (point 72). Elle suppose l’existence d’informations supplémentaires qui permettent la ré-identification (point 73).
- Pour celui qui détient la clé, la donnée reste personnelle. Le CRU disposait des informations supplémentaires permettant d’attribuer les observations à leurs auteurs (point 76).
- Pour le destinataire, cela peut changer. Selon le point 77, les observations transmises à Deloitte peuvent ne pas être des données personnelles pour elle, à deux conditions : qu’elle ne puisse pas lever les mesures de pseudonymisation lors de ses traitements, et que ces mesures l’empêchent réellement d’attribuer les observations à la personne, y compris par recoupement.
- La règle générale. Les données pseudonymisées ne doivent pas être considérées comme des données personnelles « en toute hypothèse et pour toute personne » (point 86). Si le destinataire peut raisonnablement attribuer les données à une personne, par exemple en les recoupant avec d’autres données qu’il détient, la personne reste identifiable pour lui (point 85). La notion de donnée personnelle est large sans être illimitée (point 88).
- L’obligation d’informer se juge autrement. Pour le devoir d’information sur les destinataires, la Cour retient que l’identifiabilité « doit être apprécié[e] au moment de la collecte des données et du point de vue du responsable du traitement » (point 111). Ce devoir s’applique avant tout transfert, que le destinataire puisse ou non identifier les personnes (points 112 à 115). Le Tribunal a donc commis une erreur en exigeant de se placer du point de vue de Deloitte.
- La suite. Le Tribunal est saisi à nouveau du second moyen du recours initial, qui exige des appréciations de fait (points 121 et 122). La Cour n’a donc pas jugé elle-même que les observations n’étaient pas personnelles pour Deloitte.
L’avocat général Dean Spielmann avait présenté ses conclusions le 6 février 2025 (ECLI:EU:C:2025:59). Il proposait déjà d’annuler l’arrêt du Tribunal et de renvoyer l’affaire, en distinguant l’appréciation relative de la donnée pseudonymisée et le point de vue du responsable du traitement pour le devoir d’information.
Ce que cela change pour un professionnel qui envoie un prompt pseudonymisé
Prenons un avocat solo, un médecin libéral ou un expert-comptable qui remplace des noms par des marqueurs du type {{PERSON_a1b2}} avant d’envoyer un texte à un fournisseur de modèle de langage, et qui garde la table de correspondance sur son poste.
- Pour vous, les données restent personnelles. Vous détenez la table de correspondance, comme le CRU dans l’arrêt (point 76). Le RGPD continue de s’appliquer à votre traitement, et le traitement local de ndaact.ai se décrit comme une pseudonymisation côté client (article 4, point 5, du RGPD).
- Pour le fournisseur, la question se pose autrement. S’il ne reçoit que des marqueurs, sans la table, et qu’il n’a pas de moyen raisonnable d’attribuer le texte à une personne, l’approche relative de la Cour permet de soutenir que ces données ne sont pas personnelles pour lui. Cette qualification s’apprécie au cas par cas, selon les conditions du point 77. Nous parlons de dé-identification vis-à-vis du tiers, et non d’anonymisation du prompt.
- Vos obligations d’information subsistent. Le point 111 place le devoir d’informer sur les destinataires du côté du responsable du traitement, au moment de la collecte. Un professionnel qui recueille des données de clients ne peut donc pas déduire de l’arrêt que citer le fournisseur du modèle devient inutile.
- Le périmètre de l’arrêt est étroit. Il interprète le règlement 2018/1725, applicable aux institutions de l’Union. La Cour rattache sa lecture à la notion de donnée personnelle du RGPD, mais l’affaire ne porte pas sur un modèle de langage. Le transposer à votre pratique est une analyse à faire avec votre conseil.
Les limites
- Les identifiants indirects. Le point 77 vise des mesures qui empêchent l’attribution, y compris par recoupement. Une phrase comme « mon client, seul boulanger bio de la commune » peut identifier une personne sans qu’aucun nom ne figure dans le texte.
- La détection peut manquer des entités. ndaact.ai remplace les entités qu’il détecte. Une entité non détectée part en clair chez le fournisseur du modèle, avec le reste du texte, et les marqueurs ne couvrent que ce qui a été détecté.
- Ce que le fournisseur peut recouper. Le point 85 vise un destinataire qui dispose d’autres données. Le contexte d’un dossier, des dates ou des montants peuvent suffire à ré-identifier une personne si le fournisseur détient d’autres informations.
- Cet arrêt ne valide pas un outil. Il ne mentionne ni ndaact.ai ni aucun produit, et il ne dispense d’aucune obligation. Il décrit la manière dont la Cour apprécie le caractère personnel d’une donnée pseudonymisée.