Pseudonymisation : comment la décision de la CJUE dans l’affaire CRU/CEPD impacte l’industrie de l’adtech

Jeudi 4 septembre, la Cour de Justice de l’Union européenne (CJUE) a rendu son arrêt dans l’affaire opposant le Conseil de résolution unique (CRU) au Contrôleur européen de la protection des données (CEPD) sur la notion de données personnelles. Dans sa décision, la Cour estime que les données pseudonymisées ne doivent pas être considérées comme constituant des données à caractère personnel du point de vue d’un tiers. Une décision aux conséquences majeures pour l’adtech, qui recourt largement à la pseudonymisation, notamment pour le transfert de données entre entreprises dans le cadre des pratiques de ciblage publicitaire.

D’après la CJUE, il ressort en effet que la pseudonymisation peut, “selon les circonstances de l’espèce, effectivement empêcher des personnes autres que le responsable du traitement d’identifier la personne concernée de telle manière que, pour elles, celle-ci n’est pas ou n’est plus identifiable”, détaille l’arrêt. Un changement important par rapport à l’approche restrictive du CEPD (Comité européen de la protection des données ou EDBP) , vivement critiqué par les sociétés du secteur, ainsi que par les organisations professionnelles, dont Alliance Digitale.

La pseudonymisation, c’est quoi ? 

Dans le secteur de l’adtech, la qualification d’une donnée en tant que personnelle, ou non, est essentielle, explique Benoît Oberlé, CEO et fondateur de Sirdata, entreprise spécialisée dans la gestion des données et la publicité. “Quand on traite une donnée à des fins publicitaires, si cette donnée est qualifiée de personnelle, le RGPD s’applique immédiatement”. Au contraire, lorsqu’une donnée est estimée être anonyme, il n’y a “pas besoin de base légale, ni de protection particulière”, détaille-t-il.

Dans ce cadre, une donnée est dite pseudonymisée lorsqu’elle ne constitue plus une donnée à caractère personnel du point de vue d’un tiers. Une technique de hachage est alors utilisée afin de transférer des données dont les identifiants personnels (comme le nom, prénom, adresse, etc.) ont été remplacés par des pseudonymes. L’algorithme de hachage appliqué ne fonctionne que dans un sens, ne permettant pas aux tiers ayant accès à la donnée, de retrouver les identifiants d’origine.

La pseudonymisation “est la réponse technique qui permet de réduire la tension entre le développement de nouvelles technologies dans le monde de l’adtech et le respect de la vie privée”, précise Nathalie Laneret, VP government affairs and public policy chez Criteo. En effet, il s’agit d’une technique très répandue dans l’écosystème adtech, notamment pour la transmission et l’analyse de données entre entreprises à des fins de ciblage publicitaire. Elle est également utilisée par des plateformes comme Google Analytics lors du transfert des données entre l’Union Européenne et les États-Unis.

Une ouverture importante de la CJUE

Pour Marion Boige, avocate spécialisée en tech, data et IA au sein du cabinet Samman, la décision de la CJUE constitue “une évolution majeure de la jurisprudence”, puisque l’arrêt rendu tranche le débat sur la définition de la donnée personnelle dans le cadre de la pseudonymisation, en adoptant l’approche subjectiviste.

Historiquement, deux approches existent en effet pour l’interprétation d’une donnée pseudonymisée. Selon la première, dite absolue, une donnée pseudonymisée reste toujours une donnée personnelle. Au contraire, l’approche relative, ou subjectiviste, estime que les données pseudonymisées ne doivent pas être considérées comme constituant des données à caractère personnel du point de vue d’un tiers. Jusqu’alors, “la Cour de Justice avait employé une approche très large de la notion de données personnelles”, poursuit l’avocate. Ainsi, “à partir du moment où une entité avait des moyens légaux d’identification, la donnée était considérée comme personnelle”.

Le fait que la CJUE ait retenu l’approche subjectiviste est, selon elle, une “excellente nouvelle” pour les acteurs de l’adtech utilisant des technologies publicitaires liées à la pseudonymisation. Plus largement, “la règle de droit qui a été affirmée est un véritable changement dans la mentalité sur la définition de la donnée personnelle par rapport à la pseudonymisation”, explique Marion Boige.

Dans ce contexte, le CEPD, qui avait introduit en janvier son projet de lignes directrices sur la pseudomysation en adoptant une approche absolue, devrait les réviser à la lumière de la décision de la CJUE. L’impact pourrait être significatif, puisque les autorités européennes de protection de données personnelles devront elles aussi s’adapter à ce changement.

Une analyse au cas par cas

Toutefois, pour rassurer les entreprises sur le cadre technique, il serait avant tout nécessaire de définir des standards permettant de clarifier ce que la CJUE entend par des moyens “raisonnablement susceptibles d’être utilisés” pour identifier la personne physique directement ou indirectement dans le cadre des données à caractère personnel faisant l’objet d’une pseudonymisation. Cela afin qu’“on puisse avoir une sécurité juridique qui permet aux entreprises et aux institutions publiques de pouvoir clairement savoir lorsque les données qu’ils traitent tombent sous le RGPD ou non”, illustre Nathalie Laneret (Criteo).

Pour l’instant, l’arrêt de la CJUE renvoie à une analyse au cas par cas, qui demande de vérifier dans chaque situation quelles mesures de pseudonymisation ont été mises en œuvre afin d’empêcher la réidentification. De même, “la Cour n’a pas confirmé de manière évidente que le procédé technique utilisé dans l’affaire jugée était le bon, ce qui ne permet pas à ce stade de l’ériger à cas général, mais ouvre déjà la voie à des appréciations au cas par cas”, met également en évidence Marine Gossa, directrice générale adjointe en charge des affaires publiques et juridiques d’Alliance Digitale.

Si l’adaptation juridique va prendre du temps, “l’arrêt de la CJUE envoie un signal très clair aux autorités de protection des données personnelles”, se réjouit Nathalie Laneret (Criteo). 

Par ailleurs, l’adoption de l’approche subjectiviste par la CJUE pourrait permettre une réduction des amendes dans les cas de traitement de données pseudonymisées, en raison du risque moindre de réidentification.

Pour l’heure, les décisions de la Cnil ne sont pas allées dans cette direction, observe Nathalie Laneret (Criteo). Elle cite notamment l’amende de 40 millions d’euros qui a sanctionné Criteo en 2023 pour non-respect du RGPD. À l’époque, l’adtech avait demandé une réduction de la sanction pour avoir utilisé des données pseudonymisées. Un autre cas similaire est celui de la sanction infligée à la société Cedegim Santé, condamnée en septembre 2024 à une amende de 800 000 euros, pour avoir notamment traité des données de santé sans autorisation.