Ven­te à emporter (AI)
  • Le TUE con­fir­me l’appro­che rela­ti­ve : c’est la com­pré­hen­si­on du desti­na­tai­re con­cret (en l’oc­cur­rence Deloit­te) qui déter­mi­ne si les don­nées pseud­ony­mi­sées trans­mi­ses sont des don­nées à carac­tère personnel.
  • Con­sé­quence : si le desti­na­tai­re n’a pas la pos­si­bi­li­té rai­sonnable de s’i­den­ti­fier, l’ob­li­ga­ti­on d’in­for­ma­ti­on et de nombreu­ses rest­ric­tions en matiè­re de pro­tec­tion des don­nées (par ex. trans­mis­si­on à l’étran­ger, obli­ga­ti­on de trai­te­ment des com­man­des) ne s’ap­pli­quent pas.

Le 26 avril 2023, le Tri­bu­nal de l’U­ni­on euro­pé­en­ne (TUE), l’an­ci­en Tri­bu­nal de pre­miè­re instance, a ren­du une décis­i­on bien­ve­nue et cer­tai­ne­ment cor­rec­te sur le fond. Décis­i­on rela­ti­ve à la noti­on de don­nées à carac­tère per­son­nel plaît.

La liqui­da­ti­on de Ban­co Popu­lar Espa­ñol est à l’o­ri­gi­ne de cet­te situa­ti­on. Dans le cad­re de cet­te pro­cé­du­re, les action­n­aires et cré­an­ciers con­cer­nés ont pu fai­re valoir leurs droits auprès du “comi­té de réso­lu­ti­on uni­que (CRU)”, l’au­to­ri­té de l’U­ni­on ban­cai­re euro­pé­en­ne char­gée de la liqui­da­ti­on. Les récla­ma­ti­ons ont été trans­mi­ses à Deloit­te pour exper­ti­se, les don­nées per­son­nel­les étant pseudonymisées.

Suite aux plain­tes de cer­ta­ins glo­be-trot­ters, le Con­trô­leur euro­pé­en de la pro­tec­tion des don­nées (CEPD), l’au­to­ri­té de pro­tec­tion des don­nées com­pé­ten­te pour les insti­tu­ti­ons de l’UE, avait con­sta­té une vio­la­ti­on de l’ob­li­ga­ti­on d’in­for­ma­ti­on pré­vue par le RGPD, car la noti­fi­ca­ti­on à Deloit­te n’a­vait pas été communiquée.

Le TPICE voit les cho­ses dif­fé­rem­ment. Il s’ap­pu­ie sur le célèb­re Affai­re Brey­er et con­sta­te ensuite que, pour déter­mi­ner la réfé­rence aux per­son­nes, il fallait par­tir de la per­spec­ti­ve de Deloitte :

La Cour a esti­mé qu’il con­ve­nait d’ex­ami­ner […] si la pos­si­bi­li­té d’as­so­cier une adres­se IP dyna­mi­que aux infor­ma­ti­ons sup­p­lé­men­tai­res dont dis­po­se le four­nis­seur d’ac­cès à Inter­net con­sti­tue un moy­en qui peut rai­sonnablem­ent être uti­li­sé pour iden­ti­fier la per­son­ne con­cer­née […]. […] Tou­te­fois, il res­sort éga­le­ment de l’ar­rêt [Brey­er] que, pour déter­mi­ner si les infor­ma­ti­ons trans­mi­ses à Deloit­te con­sti­tuai­ent des don­nées à carac­tère per­son­nel, il est néces­saire de prend­re en comp­te le fait que les don­nées à carac­tère per­son­nel ne sont pas des don­nées per­son­nel­les, de la com­pré­hen­si­on qu’en a Deloit­te. lors de la déter­mi­na­ti­on de la que­sti­on avaitLa Com­mis­si­on peut déci­der si les infor­ma­ti­ons qu’el­le reçoit se rap­portent à des “per­son­nes identifiables”.

Avec cela, la CJCE con­fir­me l’appro­che rela­ti­ve. Ce n’est pas sur­prenant, car cet­te appro­che a été uti­li­sée en Brey­er (même si cela n’ap­por­te pas néces­saire­ment beau­coup, car le critère de l’ef­fort d’i­den­ti­fi­ca­ti­on y est très bas, c’est-à-dire qu’u­ne pos­si­bi­li­té d’i­den­ti­fi­ca­ti­on assez thé­o­ri­que peut suf­fi­re pour éta­b­lir un lien avec une personne).

En out­re, le TPICE esti­me que la situa­ti­on est simi­lai­re à cel­le de l’Al­le­ma­gne. Brey­er est com­pa­ra­ble :

Deu­xiè­me­ment, d’u­ne part, la situa­ti­on de Deloit­te peut être com­pa­rée à cel­le du four­nis­seur de ser­vices de médi­as en ligne […] dans la mesu­re où elle dis­po­sait d’in­for­ma­ti­ons […] qui n’é­tai­ent pas des infor­ma­ti­ons se rap­portant à une “per­son­ne phy­si­que iden­ti­fi­ée”, par­ce qu’il n’a pas été pos­si­ble d’i­den­ti­fier direc­te­ment la per­son­ne phy­si­que à par­tir du code alpha­nu­mé­ri­que figu­rant sur chaque répon­sequi a rem­pli le questionnaire.

Par con­sé­quent, la com­mu­ni­ca­ti­on de don­nées pseud­ony­mes à Deloit­te ne con­sti­tuait pas une com­mu­ni­ca­ti­on de don­nées personnelles :

Mais com­me le mont­re [Brey­erLe CEPD a dû déter­mi­ner si la pos­si­bi­li­té de com­bi­ner les infor­ma­ti­ons trans­mi­ses à Deloit­te avec les infor­ma­ti­ons sup­p­lé­men­tai­res dont dis­po­sait le CSR était un moy­en rai­sonnablem­ent uti­li­sable par Deloit­te pour iden­ti­fier les auteurs des obser­va­tions. [Le CEPD ne pou­vait donc pas con­clu­re que les infor­ma­ti­ons trans­mi­ses à Deloit­te con­cer­naient une “per­son­ne phy­si­que identifiable” […].

En con­sé­quence, le TPICE a annulé la décis­i­on du CEPD. – Les con­sidé­ra­ti­ons du TUE vont au-delà de ce cas, non seu­le­ment par­ce qu’el­les con­fir­ment l’appro­che rela­ti­ve, mais aus­si par­ce qu’el­les en tirent des con­sé­quen­ces. Si la com­mu­ni­ca­ti­on de don­nées pseud­ony­mi­sées – pour les­quel­les le desti­na­tai­re ne peut pas éta­b­lir de lien avec une per­son­ne – n’est pas une com­mu­ni­ca­ti­on de don­nées per­son­nel­les, non seu­le­ment l’ob­li­ga­ti­on de pro­tec­tion des don­nées ne s’ap­pli­que pas, mais le droit à la pro­tec­tion des don­nées s’ap­pli­que éga­le­ment. Obli­ga­ti­on d’in­for­ma­ti­on. De même, les rest­ric­tions sur les Annon­ce à l’étran­ger ne peu­vent alors pas être appli­quées. Un méde­cin qui envoie un échan­til­lon de sang avec un code-bar­res à un labo­ra­toire amé­ri­cain ne doit donc pas con­clu­re les clau­ses stan­dard ni effec­tuer un Trans­fer Impact Assess­ment. De même, un pre­sta­tai­re de ser­vices qui trai­te des don­nées pseud­ony­mi­sées, pas un sous-trai­tant, et il n’est pas néces­saire de con­clu­re un ADV avec lui (même s’il con­vi­ent bien sûr de con­ve­nir de la fina­li­té et de la confidentialité).

En droit sui­s­se, l’ana­ly­se n’est pas dif­fé­ren­te. Cela découle d’u­ne part du Arrêt Logi­step du Tri­bu­nal fédé­ralqui est cor­rec­te à cet égard, et d’aut­re part d’u­ne Juge­ment du tri­bu­nal de com­mer­ce de Zurich.