RGPD et données pseudonymisées : le juge européen consacre l’obligation initiale de transparence

La Cour de justice de l’Union européenne (CJUE) a rendu, le 4 septembre 2025, une décision fondamentale qui épingle l’un des organes de l’UE. Le juge européen tranche un point de friction majeur dans l’application du Règlement général sur la protection des données (RGPD) : le statut juridique des données pseudonymisées lorsqu’elles sont transmises à un tiers. La question était de savoir si le fait que des données personnelles sont pseudonymisées avant d’être transmises à un tiers permet de ne pas informer les personnes concernées par ces données de ce transfert. Le sujet est d’importance car le mécanisme de pseudonymisation est largement répandu dans le cadre de traitement de données à caractère personnel (notamment s’agissant des données personnelles de santé). La clarification de la CJUE est donc salutaire.

Pour bien comprendre la décision il faut revenir sur ce qu’est la pseudonymisation d’une donnée personnelle. Prévue par l’article 4, 5) du RGPD, elle consiste à remplacer les informations qui permettent d’identifier un individu par des pseudonymes (codes, numéros etc…). Cette technique est un élément majeur de la protection de la vie privée des individus dont les données personnelles sont recueillies. Mais son cadre juridique en cas de transfert à un tiers restait flou, ce qui pouvait créer des différences d’interprétation et donc des risques juridiques potentiels.