Jeudi 4 septembre, la Cour de Justice de l’Union européenne (CJUE) a rendu son arrêt dans l’affaire opposant le Conseil de résolution unique (CRU) au Contrôleur européen de la protection des données (CEPD) sur la notion de données personnelles. Dans sa décision, la Cour estime que les données pseudonymisées ne doivent pas être considérées comme constituant des données à caractère personnel du point de vue d’un tiers. Une décision aux conséquences majeures pour l’adtech, qui recourt largement à la pseudonymisation, notamment pour le transfert de données entre entreprises dans le cadre des pratiques de ciblage publicitaire.
D’après la CJUE, il ressort en effet que la pseudonymisation peut, “selon les circonstances de l’espèce, effectivement empêcher des personnes autres que le responsable du traitement d’identifier la personne concernée de telle manière que, pour elles, celle-ci n’est pas ou n’est plus identifiable”, détaille l’arrêt. Un changement important par rapport à l’approche restrictive du CEPD (Comité européen de la protection des données ou EDBP) , vivement critiqué par les sociétés du secteur, ainsi que par les organisations professionnelles, dont Alliance Digitale.
La pseudonymisation, c’est quoi ?
Dans le secteur de l’adtech, la qualification d’une donnée en tant que personnelle, ou non, est essentielle, explique Benoît Oberlé, CEO et fondateur de Sirdata, entreprise spécialisée dans la gestion des données et la publicité. “Quand on traite une donnée à des fins publicitaires, si cette donnée est qualifiée de personnelle, le RGPD s’applique immédiatement”.
Cheffe de rubrique Adtechs pour mind Media