La CJUE précise la portée de la notion de "données à caractère personnel" dans le contexte d’un transfert de données pseudonymisées à des tiers.
Dans un arrêt du 4 septembre 2025 (affaire C-413/23), la Cour de justice de l'Union européenne précise la portée de la notion de "données à caractère personnel" dans le contexte d’un transfert de données pseudonymisées à des tiers.
La Cour précise que des données pseudonymisées ne doivent pas être considérées comme constituant, en toute hypothèse et pour toute personne, des données à caractère personnel aux fins de l’application du règlement 2018/1725 du 23 octobre 2018.
En effet, il ressort des dispositions de ce règlement telles qu’interprétées par la jurisprudence que la pseudonymisation peut, selon les circonstances de l’espèce, effectivement empêcher des personnes autres que le responsable du traitement d’identifier la personne concernée de telle manière que, pour elles, celle-ci n’est pas ou n’est plus identifiable.
Dans ce contexte, la Cour prend soin de rappeler les enseignements issus de sa jurisprudence quant à l’appréciation du caractère identifiable ou non de la personne concernée, dans des situations dans lesquelles les informations permettant d’identifier cette personne ne se trouvaient pas entre les mains de différentes personnes.
En outre, selon la Cour, il découle de la jurisprudence que la perspective pertinente pour apprécier le caractère identifiable de la personne concernée dépend essentiellement des circonstances caractérisant le traitement des données dans chaque cas particulier.
S’agissant de l'obligation d’information, la Cour rappelle que cette obligation s’inscrit dans la relation juridique existant entre la personne concernée et le responsable du traitement et, de ce fait, elle a pour objet les informations en lien avec cette personne telles qu’elles ont été transmises à ce responsable, donc avant tout éventuel transfert à un tiers.
Partant, la Cour considère que le caractère identifiable de la personne concernée doit être apprécié au moment de la collecte des données et du point de vue du responsable du traitement.
