- Le tribunal de commerce de Zurich a décidé que la pseudonymisation avait l’effet d’une anonymisation pour les personnes sans clé.
- C’est la notion relative de personne qui est déterminante : la référence aux personnes est évaluée du point de vue du détenteur des données lors de la communication au destinataire.
- Pas de communication transfrontalière selon l’art. 6 LPD si le destinataire à l’étranger ne peut pas établir de lien avec la personne.
- La charge de la preuve de la pseudonymisation incombe à la banque ; une preuve insuffisante a conduit à l’interdiction de livraison malgré les succès matériels partiels de la banque.
Le tribunal de commerce de Zurich a rendu un jugement en Arrêt HG190107‑O du 4 mai 2021 a décidé qu’une pseudonymisation a l’effet d’une anonymisation pour celui qui ne peut pas attribuer les données pseudonymisées à une personne déterminée.
Le contexte était un projet de transmission de données personnelles par la défenderesse, une banque genevoise, au DOJ américain sur la base d’un accord de non-procès. Il s’agissait de données figurant sur la liste “II.D.2” (liste Leaver ; une explication se trouve par exemple dans l’arrêt 4A_365/2017). Le litige portait principalement sur la question de savoir si les données à fournir avaient un lien avec des personnes. La banque a défendu le point de vue selon lequel ces données étaient anonymisées ou pseudonymisées et n’étaient donc pas des données personnelles.
Le TF s’est d’abord basé sur l’approche relative pour déterminer le lien avec la personne : C’est l’optique du détenteur d’une donnée qui est déterminante, et celle du destinataire dans le cas d’une communication. Il en a déduit que la pseudonymisation des données agit comme une anonymisation pour celui qui ne peut pas les attribuer à une personne déterminée (E. 3.2.3) :
Pour tous ceux qui ont accès à la clé, les données personnelles pseudonymisées restent des données personnelles au sens de la LPD. Pour les personnes qui n’ont pas accès à la clé et qui ne disposent pas non plus d’autres connaissances permettant d’attribuer à nouveau les données à une personne déterminée, les données personnelles pseudonymisées ne constituent en revanche plus des données personnelles.
C’est vrai, mais cela ne va pas de soi, et cela contredit un considérant du TF dans le Décision de Logistep. Dans cette affaire, le TF avait constaté que lors de la communication de données impersonnelles à un destinataire qui peut les attribuer à une personne, non seulement le destinataire est soumis à la LPD (dans l’affaire Logistep, le titulaire des droits qui obtenait de Logistep des adresses IP provenant de réseaux P2P), mais aussi l’expéditeur (Logistep) :
3.4 La question de savoir si une information peut être mise en relation avec une personne sur la base d’indications supplémentaires, et donc si l’information se rapporte à une personne identifiable (article 3, lettre a LPD), s’apprécie du point de vue du détenteur respectif de l’information […]. Dans le cas de la transmission d’informations, il suffit que le destinataire soit en mesure d’identifier la personne concernée. […] Si tel est le cas […], la loi sur la protection des données s’applique également à l’intimée elle-même.. En décider autrement reviendrait à n’appliquer la loi sur la protection des données qu’aux destinataires individuels, et non à la personne qui collecte et diffuse les données en question. Cela irait à l’encontre de l’objectif de la loi.
Cette considération était manifestement orientée vers le résultat et erronée, car elle contredit l’approche relative de la notion de données personnelles. Le HGer ZH s’est maintenant opposé à cette conception ; implicitement, mais clairement. En effet, lorsque le TF dit que les données pseudonymisées ne sont pas des données personnelles “pour les personnes qui n’ont pas accès à la clé et qui ne disposent pas non plus d’autres connaissances pour pouvoir réattribuer les données à une personne déterminée”, cela signifie, pour la décision Logistep, que les adresses IP ne pouvaient pas être elles-mêmes des données personnelles pour Logistep.
La décision du TF ZH est d’une grande importance pratiqueLorsqu’un médecin transmet un échantillon de sang codé à l’aide d’un code-barres à un laboratoire aux Etats-Unis, il ne s’agit pas d’une communication de données à l’étranger ; lorsqu’une banque transmet des données de transaction pseudonymisées à un prestataire de services en vue de leur analyse ou de leur enrichissement, il ne s’agit ni d’une communication de données ni d’un traitement de commande (ce qui ne signifie évidemment pas qu’un contrat analogue ne devrait pas être conclu, mais une omission ne pourrait par exemple pas conduire à une punissabilité selon l’art. 61, let. b, LPD révisée). Le tribunal de grande instance de ZH constate également expressément que
Lorsque des données personnelles sont rendues anonymes ou pseudonymisées avant d’être communiquées à l’étranger de telle sorte que leur destinataire à l’étranger ne puisse plus établir de lien avec la personne, il s’agit également d’une violation de la sphère privée. pas de communication transfrontalière de données personnelles au sens de l’article 6 LPD.
Comme nous l’avons dit, c’est correct parce que cela découle obligatoirement de l’approche relative de la notion de données personnelles, mais c’est courageux – peut-être plus courageux que ce que l’on pourrait attendre d’une autorité de contrôle de la protection des données étrangère, même si le résultat doit être le même sous le RGPD.
Le TF constate en outre que la Charge de la preuve pour la pseudonymisation des données, qui avaient en principe un lien avec des personnes, incombe à la banque. Le tribunal comprend ici un certain problème de preuve pour la banque (comment prouver que le DOJ n’a pas la possibilité d’attribuer les données ?), mais ne lui a pas pour autant retiré la preuve, d’autant plus que la banque n’a pas suffisamment examiné les arguments des plaignants concernant une éventuelle identification, notamment le risque d’une identification via une procédure d’entraide administrative ou judiciaire.
En fin de compte, le TF a donc interdit à la banque de fournir des données, même s’il lui a donné raison sur le point essentiel du droit matériel.