- Le TUE confirme l’approche relative : c’est la compréhension du destinataire concret (en l’occurrence Deloitte) qui détermine si les données pseudonymisées transmises sont des données à caractère personnel.
- Conséquence : si le destinataire n’a pas la possibilité raisonnable de s’identifier, l’obligation d’information et de nombreuses restrictions en matière de protection des données (par ex. transmission à l’étranger, obligation de traitement des commandes) ne s’appliquent pas.
Le 26 avril 2023, le Tribunal de l’Union européenne (TUE), l’ancien Tribunal de première instance, a rendu une décision bienvenue et certainement correcte sur le fond. Décision relative à la notion de données à caractère personnel plaît.
La liquidation de Banco Popular Español est à l’origine de cette situation. Dans le cadre de cette procédure, les actionnaires et créanciers concernés ont pu faire valoir leurs droits auprès du “comité de résolution unique (CRU)”, l’autorité de l’Union bancaire européenne chargée de la liquidation. Les réclamations ont été transmises à Deloitte pour expertise, les données personnelles étant pseudonymisées.
Suite aux plaintes de certains globe-trotters, le Contrôleur européen de la protection des données (CEPD), l’autorité de protection des données compétente pour les institutions de l’UE, avait constaté une violation de l’obligation d’information prévue par le RGPD, car la notification à Deloitte n’avait pas été communiquée.
Le TPICE voit les choses différemment. Il s’appuie sur le célèbre Affaire Breyer et constate ensuite que, pour déterminer la référence aux personnes, il fallait partir de la perspective de Deloitte :
La Cour a estimé qu’il convenait d’examiner […] si la possibilité d’associer une adresse IP dynamique aux informations supplémentaires dont dispose le fournisseur d’accès à Internet constitue un moyen qui peut raisonnablement être utilisé pour identifier la personne concernée […]. […] Toutefois, il ressort également de l’arrêt [Breyer] que, pour déterminer si les informations transmises à Deloitte constituaient des données à caractère personnel, il est nécessaire de prendre en compte le fait que les données à caractère personnel ne sont pas des données personnelles, de la compréhension qu’en a Deloitte. lors de la détermination de la question avaitLa Commission peut décider si les informations qu’elle reçoit se rapportent à des “personnes identifiables”.
Avec cela, la CJCE confirme l’approche relative. Ce n’est pas surprenant, car cette approche a été utilisée en Breyer (même si cela n’apporte pas nécessairement beaucoup, car le critère de l’effort d’identification y est très bas, c’est-à-dire qu’une possibilité d’identification assez théorique peut suffire pour établir un lien avec une personne).
En outre, le TPICE estime que la situation est similaire à celle de l’Allemagne. Breyer est comparable :
Deuxièmement, d’une part, la situation de Deloitte peut être comparée à celle du fournisseur de services de médias en ligne […] dans la mesure où elle disposait d’informations […] qui n’étaient pas des informations se rapportant à une “personne physique identifiée”, parce qu’il n’a pas été possible d’identifier directement la personne physique à partir du code alphanumérique figurant sur chaque réponsequi a rempli le questionnaire.
Par conséquent, la communication de données pseudonymes à Deloitte ne constituait pas une communication de données personnelles :
Mais comme le montre [BreyerLe CEPD a dû déterminer si la possibilité de combiner les informations transmises à Deloitte avec les informations supplémentaires dont disposait le CSR était un moyen raisonnablement utilisable par Deloitte pour identifier les auteurs des observations. [Le CEPD ne pouvait donc pas conclure que les informations transmises à Deloitte concernaient une “personne physique identifiable” […].
En conséquence, le TPICE a annulé la décision du CEPD. – Les considérations du TUE vont au-delà de ce cas, non seulement parce qu’elles confirment l’approche relative, mais aussi parce qu’elles en tirent des conséquences. Si la communication de données pseudonymisées – pour lesquelles le destinataire ne peut pas établir de lien avec une personne – n’est pas une communication de données personnelles, non seulement l’obligation de protection des données ne s’applique pas, mais le droit à la protection des données s’applique également. Obligation d’information. De même, les restrictions sur les Annonce à l’étranger ne peuvent alors pas être appliquées. Un médecin qui envoie un échantillon de sang avec un code-barres à un laboratoire américain ne doit donc pas conclure les clauses standard ni effectuer un Transfer Impact Assessment. De même, un prestataire de services qui traite des données pseudonymisées, pas un sous-traitant, et il n’est pas nécessaire de conclure un ADV avec lui (même s’il convient bien sûr de convenir de la finalité et de la confidentialité).
En droit suisse, l’analyse n’est pas différente. Cela découle d’une part du Arrêt Logistep du Tribunal fédéralqui est correcte à cet égard, et d’autre part d’une Jugement du tribunal de commerce de Zurich.