Contexte
En 2017, après la résolution de Banco Popular, le Conseil de résolution unique (SRB) a demandé aux actionnaires et créanciers de réagir par rapport à sa décision préliminaire sur une éventuelle compensation.
Ces réactions ont été pseudonymisées avant d’être transmises à Deloitte, qui était chargée d’une évaluation indépendante de ces réactions.
Certains participants ont saisi le Contrôleur européen de la protection des données (EDPS), reprochant au SRB de ne pas les avoir informés de ce transfert.
L’EDPS avait conclu que le SRB avait violé son obligation d’information prévue par le règlement (UE) 2018/1725.
Le SRB a alors contesté cette décision devant le Tribunal de l’Union, qui lui a partiellement donné raison et annulé la décision de l’EDPS.
Mais la Cour de justice, saisie en appel, a annulé l’arrêt du Tribunal le 4 septembre 2025 et a renvoyé l’affaire devant celui-ci.
Points à retenir
Les opinions sont des données personnelles
La Cour rappelle que les commentaires soumis par les actionnaires et créanciers ne sont pas de simples textes anonymes.
Ils traduisent les opinions, les jugements ou les convictions de leurs auteurs.
Or, une opinion personnelle est, par nature, inséparable de la personne qui l’exprime.
Elle est donc une donnée à caractère personnel, indépendamment de son contenu ou de ses effets concrets.
En d’autres termes, il n’est pas nécessaire d’analyser en profondeur ce qui est écrit : le simple fait qu’il s’agisse d’un point de vue personnel suffit à rattacher ces données à une personne identifiable.
La pseudonymisation ne suffit pas toujours
La décision précise ensuite que la pseudonymisation n’entraîne pas mécaniquement la perte du caractère personnel des données.
Tout dépend du contexte et des moyens raisonnables dont dispose l’entité qui reçoit ces informations.
Pour le SRB, qui gardait la clé de correspondance entre les codes et l’identité des auteurs, il ne fait aucun doute que les données restaient personnelles.
Pour Deloitte, en revanche, qui n’avait pas cette clé ni aucun accès pratique à d’autres sources permettant de ré-identifier les auteurs, ces données pouvaient perdre leur caractère personnel.
La Cour confirme ainsi une approche « relative » : ce qui est une donnée personnelle pour l’un peut ne pas l’être pour un autre, selon les moyens réalistes d’identification disponibles.
L’obligation d’information reste applicable
Le point décisif porte sur la transparence. La Cour rappelle que l’obligation d’information naît au moment de la collecte, et qu’elle doit être appréciée du point de vue du responsable du traitement, ici le SRB devait informer les personnes concernées, peu importe que Deloitte, ne puisse pas réidentifier les auteurs.
En conclusion, le SRB aurait dû informer les personnes concernées que leurs données, même pseudonymisées, allaient être transmises à un tiers. C’est cette absence d’information préalable qui constitue le manquement.
Conclusion
L’arrêt SRB du 4 septembre 2025 montre bien que la pseudonymisation n’est pas une solution qui exonère le responsable du traitement de son obligation d’information envers les personnes concernées.
Les opinions personnelles restent des données personnelles, et leur transfert, même sous forme pseudonymisée, implique des obligations d’information.
La qualification de données personnelles dépendra quant à elle des moyens disponibles pour les destinataires de ces données pour identifier les auteurs, mais l’exigence de transparence s’impose toujours au responsable de traitement.
Référence : CJUE, C-413/23 P, EDPS / SRB, arrêt du 4 septembre 2025.
Comment le cabinet MD-LEX peut vous aider ?
Des questions ? MD-LEX est votre partenaire juridique pour vous aider à répondre à vos question en matière de traitements de données à caractère personnel. Notre cabinet reste à votre disposition pour un suivi personnalisé.
Pour plus d’informations ou une consultation sur mesure, n’hésitez pas à nous contacter : info@md-lex.be