MDP Data Protection analyse l’arrêt de la CJUE pour comprendre ses impacts et renforcer votre conformité RGPD
Le 4 septembre 2025, la Cour de justice de l’Union européenne (CJUE) a rendu un arrêt très attendu dans l’affaire C-413/23 P (EDPS c. SRB). Cette décision apporte une clarification majeure : les données pseudonymisées restent bel et bien considérées comme des données personnelles, dès lors que l’organisme qui les détient dispose – directement ou indirectement – des moyens permettant de réidentifier la personne concernée.
Cette décision renforce le cadre d’interprétation du RGPD et confirme la vigilance de la Cour sur la protection des droits fondamentaux.
Qu’est-ce que la pseudonymisation ?
La pseudonymisation est une technique qui consiste à remplacer des identifiants directs (nom, numéro de sécurité sociale, adresse e-mail, etc.) par des informations de substitution (codes, numéros aléatoires, hachages). L’objectif est de réduire les risques d’identification directe en cas de fuite ou d’utilisation abusive.
Toutefois, contrairement à l’anonymisation, la pseudonymisation n’efface pas complètement le lien entre la donnée et l’individu. Avec un accès aux clés ou aux informations complémentaires, la réidentification reste possible.
Le RGPD (article 4 §5) définit déjà la pseudonymisation comme une mesure de sécurité, mais sans la considérer comme une technique qui exclurait les données de son champ d’application.
Ce que dit l’arrêt CJUE du 4 septembre 2025
Logo officiel de la CJUE
Dans cette affaire, le Contrôleur européen de la protection des données (EDPS) contestait la position du Comité de résolution unique (SRB), qui avait estimé que les données pseudonymisées ne constituaient plus des données personnelles.
La CJUE a tranché :
- Les données pseudonymisées restent des données à caractère personnel tant que l’organisme conserve les moyens de réidentification, même indirectement.
- Le simple fait d’effacer des identifiants directs ne suffit pas à exclure l’application du RGPD.
- La pseudonymisation doit être comprise comme une mesure de protection complémentaire, et non comme une garantie d’anonymat.
Cette clarification a un impact direct sur la manière dont les organisations gèrent leurs données et évaluent leur conformité.
Conséquences pratiques pour les organisations
- Pseudonymisation ≠ anonymisation
Les entreprises, administrations et associations ne peuvent plus invoquer la pseudonymisation pour exclure certaines bases de données du RGPD. - Obligations renforcées
Les données pseudonymisées continuent de relever :- des principes de base (minimisation, limitation des finalités, sécurité),
- des droits des personnes (accès, rectification, effacement, opposition),
- des exigences de documentation (registre de traitement, PIA).
- Cybersécurité et gouvernance
La décision incite à renforcer les politiques de sécurité des accès, de gestion des clés et d’authentification, afin d’éviter toute réidentification non autorisée.
Impact sur les secteurs sensibles
- Médico-social et santé : les données pseudonymisées des patients (codes d’étude clinique, dossiers pseudonymisés) restent soumises au RGPD, avec des obligations de sécurité renforcées (ex. chiffrement, cloisonnement).
À lire également : obligations RGPD. Découvrez également notre article sur Donateurs et RGPD. Sujet connexe à explorer : Logiciel RGPD et congrégations religieuses.
- Secteur financier : les informations pseudonymisées des clients (profils, historiques de transactions) doivent être traitées comme des données personnelles.
- Recherche et innovation : les projets utilisant de grandes bases pseudonymisées (big data, IA, statistiques) devront intégrer des garanties juridiques et techniques de conformité.
MDP Data Protection accompagne vos projets de conformité
Chez MDP Data Protection, nous aidons les structures à sécuriser et gouverner leurs données sensibles, qu’elles soient identifiables ou pseudonymisées.
Grâce à nos outils et solutions intelligentes, nous vous accompagnons pour :
-
- cartographier vos traitements,
- documenter vos mesures de pseudonymisation,
- sécuriser vos accès et vos clés de réidentification,
- assurer la conformité continue face aux évolutions réglementaires.
En résumé
L’arrêt CJUE du 4 septembre 2025 confirme que les données pseudonymisées restent des données personnelles au sens du RGPD. Les organisations doivent donc continuer à appliquer l’ensemble des obligations de protection, de gouvernance et de transparence.
Retrouvez tous les détails dans notre article dédié au sécuriser et gouverner leurs données sensibles. Plus de détails dans notre guide sur protection des données et sécurité. Découvrez également notre article sur outils informatiques et communication. Découvrez également notre article sur Marketing digital et RGPD.
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
- MDP Data Protection —
- Une question sur votre situation ? Parlons-en — réponse sous 48 heures ouvrées.
Les solutions MDP Data Protection
MDP Data Protection et sa méthode CCOS accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Découvrez notre méthode pour passer à une conformité en continu.
Sinon retrouvez un résumé ici : le Continuous Compliance Operating System
Restez à jour sans y passer vos journées
Notre veille réglementaire, une fois par mois. Les textes qui bougent, ce qu'ils changent, ce qu'il faut faire.
À propos de l’auteur
Christophe SAINT-PIERRE est le dirigeant de MDP Data Protection. Expert reconnu en conformité réglementaire, RGPD, NIS2 et AI Act, il accompagne depuis plus de vingt ans les organisations dans leur transformation numérique.
Sa vision stratégique repose sur l'idée que la conformité ne doit pas être perçue comme une contrainte, mais comme un véritable levier de compétitivité, de sécurité et de confiance. Engagé pour une souveraineté numérique européenne, il défend également une approche éthique de l'intelligence artificielle et de la cybersécurité. Lire sa biographie complète.
