{"id":20356,"date":"2025-11-07T13:11:05","date_gmt":"2025-11-07T12:11:05","guid":{"rendered":"https:\/\/feral.law\/?post_type=publication&p=20356"},"modified":"2026-03-04T15:34:21","modified_gmt":"2026-03-04T14:34:21","slug":"transferts-hors-ue-et-pseudonymisation-les-juridictions-europeennes-clarifient-le-cadre-de-protection-des-donnees-personnelles","status":"publish","type":"publication","link":"https:\/\/feral.law\/en\/publications\/transferts-hors-ue-et-pseudonymisation-les-juridictions-europeennes-clarifient-le-cadre-de-protection-des-donnees-personnelles\/","title":{"rendered":"Transferts hors UE et pseudonymisation : les juridictions europ\u00e9ennes clarifient le cadre de protection des donn\u00e9es personnelles"},"content":{"rendered":"\n

A l\u2019occasion de deux arr\u00eats rendus d\u00e9but septembre, les juges europ\u00e9ens ont apport\u00e9 des pr\u00e9cisions attendues sur le Data Privacy Framework et la notion de donn\u00e9e pseudonymis\u00e9e.<\/em><\/strong><\/strong><\/p>\n\n\n\n

Le Tribunal de l\u2019Union europ\u00e9enne confirme la validit\u00e9 du Data Privacy Framework<\/h3>\n\n\n\n

Par un arr\u00eat du 3 septembre 2025, le Tribunal de l\u2019Union europ\u00e9enne a rejet\u00e9 le recours d\u00e9pos\u00e9 par un d\u00e9put\u00e9 fran\u00e7ais visant \u00e0 obtenir l\u2019annulation du Data Privacy Framework (\u00ab DPF <\/strong>\u00bb), instaur\u00e9 par la d\u00e9cision d\u2019ad\u00e9quation de la Commission europ\u00e9enne du 10 juillet 2023. Ce m\u00e9canisme encadre le transfert de donn\u00e9es personnelles de l\u2019Union europ\u00e9enne vers les \u00c9tats-Unis. <\/p>\n\n\n\n

Le DPF succ\u00e8de au Safe Harbor[1]<\/a><\/sup>\u00a0et au Privacy Shield[2]<\/a><\/sup>, tous deux invalid\u00e9s par la Cour de Justice de l\u2019Union europ\u00e9enne (\u00ab\u00a0CJUE<\/strong>\u00a0\u00bb) notamment en raison des risques d\u2019ing\u00e9rence des autorit\u00e9s am\u00e9ricaines de surveillance.<\/p>\n\n\n\n

Contrairement \u00e0 ce que soutenait le requ\u00e9rant, le Tribunal a estim\u00e9 qu\u2019\u00e0 la date d\u2019adoption de l\u2019accord, les \u00c9tats-Unis assuraient un niveau ad\u00e9quat de protection pour les donn\u00e9es personnelles transf\u00e9r\u00e9es depuis l\u2019Union vers des organisations certifi\u00e9es sur le territoire.<\/p>\n\n\n\n

En premier lieu, le Tribunal a \u00e9cart\u00e9 le grief portant sur le d\u00e9faut d\u2019ind\u00e9pendance de la Data Protection Review Court[3]<\/a><\/sup>(\u00ab\u00a0DPRC<\/strong>\u00a0\u00bb). Il a relev\u00e9 que les modalit\u00e9s de nomination et de r\u00e9vocation des juges, ainsi que le fonctionnement de cette juridiction sp\u00e9ciale, comportaient des garanties concr\u00e8tes et suffisantes pour assurer l\u2019ind\u00e9pendance de ses membres. Il a \u00e9galement rappel\u00e9 qu\u2019aucune ing\u00e9rence indue de la part du procureur g\u00e9n\u00e9ral ou des agences de renseignement ne pouvaient entraver ou influencer leurs d\u00e9cisions.<\/p>\n\n\n\n

Le Tribunal a \u00e9galement insist\u00e9 sur l\u2019obligation continue de la Commission de contr\u00f4ler la conformit\u00e9 du cadre juridique am\u00e9ricain, avec la facult\u00e9 de suspendre, modifier ou abroger la d\u00e9cision d\u2019ad\u00e9quation en cas d\u2019\u00e9volution susceptible de compromettre ces garanties. <\/p>\n\n\n\n

En second lieu, le Tribunal a rejet\u00e9 le moyen tir\u00e9 de l\u2019ill\u00e9galit\u00e9 de la collecte massive de donn\u00e9es personnelles par les services de renseignement am\u00e9ricains (dite \u00ab collecte en vrac \u00bb). Il a consid\u00e9r\u00e9 que la Cour, dans son arr\u00eat Schrems II,<\/em> ne subordonnait pas la validit\u00e9 de la collecte \u00e0 une autorisation pr\u00e9alable par une autorit\u00e9 ind\u00e9pendante, mais plut\u00f4t \u00e0 un contr\u00f4le juridictionnel a posteriori<\/em> \u2013 contr\u00f4le assur\u00e9, en droit am\u00e9ricain, par la DPRC.<\/p>\n\n\n\n

Si le Tribunal reconna\u00eet que le droit am\u00e9ricain offre un niveau de protection \u00ab substantiellement \u00e9quivalent \u00bb \u00e0 celui garanti par le droit de l\u2019Union, des incertitudes persistent : la d\u00e9cision reste tr\u00e8s sectorielle, le m\u00e9canisme repose sur un syst\u00e8me d\u2019auto-certification et son avenir pourrait \u00eatre remis en cause dans le cadre d\u2019un \u00e9ventuel r\u00e9examen par la CJUE. <\/p>\n\n\n\n

Dans ce contexte, les recommandations 01\/2020 du CEPD[4]<\/a><\/sup>\u00a0relatives aux mesures compl\u00e9mentaires applicables aux transferts vers les pays tiers conservent toute leur port\u00e9e. Il est donc recommand\u00e9 de maintenir des m\u00e9canismes alternatifs de transfert (clauses types, BCR) et de suivre attentivement l\u2019\u00e9volution du cadre juridique transatlantique, notamment compte tenu de l\u2019appel form\u00e9 par le requ\u00e9rant contre la d\u00e9cision du Tribunal.\u00a0<\/p>\n\n\n\n

La CJUE confirme qu\u2019une donn\u00e9e pseudonymis\u00e9e transmise \u00e0 un tiers ne constitue pas n\u00e9cessairement une donn\u00e9e \u00e0 caract\u00e8re personnel<\/h3>\n\n\n\n

Par un arr\u00eat du 4 septembre 2025, la CJUE a apport\u00e9 des pr\u00e9cisions sur la qualification juridique des donn\u00e9es pseudonymis\u00e9es. <\/p>\n\n\n\n

Les questions pos\u00e9es \u00e0 la Cour portaient sur la qualification juridique de commentaires formul\u00e9s par des personnes physiques, qui avaient \u00e9t\u00e9 pseudonymis\u00e9s par le responsable de traitement avant d\u2019\u00eatre transmis \u00e0 un destinataire tiers, et sur le maintien, pour ce destinataire, de leur nature de donn\u00e9es \u00e0 caract\u00e8re personnel. <\/p>\n\n\n\n

La Cour a rejet\u00e9 l\u2019approche stricte d\u00e9fendue par le Comit\u00e9 europ\u00e9en de la protection des donn\u00e9es (CEPD) selon laquelle toute donn\u00e9e pseudonymis\u00e9e devrait syst\u00e9matiquement \u00eatre qualifi\u00e9e de donn\u00e9e personnelle. Elle adopte au contraire une approche fonctionnelle et contextuelle, fond\u00e9e sur la capacit\u00e9 de l\u2019acteur concern\u00e9 \u00e0 r\u00e9identifier les personnes concern\u00e9es. <\/p>\n\n\n\n

Ainsi, la CJUE consid\u00e8re que : <\/p>\n\n\n\n