Définition de données personnelles : ce que Breyer et EDPS v SRB ont réellement changé

Le même fichier peut constituer une donnée personnelle pour vous et ne pas l'être pour votre sous-traitant

La Cour de justice l'a dit en 2016 et l'a confirmé en 2025. La plupart des cartographies de données, des contrats de sous-traitance et des déclarations d'anonymisation reposaient sur le postulat inverse. Voici ce que la jurisprudence retient réellement, et ce qu'elle implique pour votre périmètre.

Sommaire

1. Que requiert réellement l'article 4(1) du GDPR ?
2. Qu'a décidé la CJUE dans l'arrêt Breyer, C-582/14 ?
3. Breyer signifie-t-il que n'importe qui peut identifier, et donc que tout est donnée personnelle ?
4. Qu'est-ce qui a changé entre 2016 et 2025 ?
5. Qu'a tranché l'arrêt EDPS c. SRB, C-413/23 P, en septembre 2025 ?
6. Les données pseudonymisées sont-elles toujours des données personnelles ?
7. Pourquoi le Digital Omnibus rend la jurisprudence plus importante, et non moins
8. Qu'est-ce que cela change dans votre registre des traitements ?
9. Avez-vous encore besoin d'un accord de traitement avec un sous-traitant qui ne peut identifier personne ?
10. Les adresses IP et les journaux de sécurité sont-ils des données personnelles ?
11. Le test en quatre questions à appliquer à chaque flux de données
12. Pourquoi je défends un périmètre plus étroit tout en plaidant pour un périmètre plus large
13. Ce qui reste ouvert

L'essentiel

• La donnée personnelle n'est pas une propriété d'un jeu de données. C'est une propriété de la relation entre un jeu de données et celui qui le détient. La CJUE l'a confirmé explicitement dans EDPS c. SRB (C-413/23 P, 4 septembre 2025). Des données suffisamment pseudonymisées peuvent constituer des données personnelles pour le responsable de traitement d'origine et des données non personnelles pour un destinataire incapable de les inverser. Mêmes octets, deux détenteurs, deux statuts juridiques.
• Breyer (C-582/14, 19 octobre 2016) ne dit pas ce que la plupart des gens croient. Il ne retient pas que l'identification par quiconque, où que ce soit, rend des données personnelles. Il retient que la pièce manquante peut se trouver chez un tiers, à condition que vous disposiez d'un moyen « susceptible d'être raisonnablement utilisé » pour y accéder. La Cour a expressément exclu l'identification prohibée par la loi ou nécessitant un effort disproportionné en temps, en coût et en ressources humaines.
• Dans Breyer, ce qui a fait pencher la balance, c'est l'existence d'une voie légale concrète. L'opérateur du site enregistrait les adresses IP précisément pour pouvoir poursuivre les attaquants, et des voies légales existaient pour obtenir les données d'abonné auprès du fournisseur d'accès. L'objectif a créé la voie. La voie a créé le périmètre.
• Cela rompt avec une décennie de pratique des autorités de contrôle. Les autorités de protection des données traitaient les données pseudonymisées comme invariablement personnelles. Cette position ne reflète plus la décision de la Cour.
• Le législateur a tenté de codifier l'approche relative et n'y est pas parvenu. Le Digital Omnibus proposait un nouveau paragraphe à l'article 4(1) en novembre 2025. L'EDPB et l'EDPS s'y sont opposés dans l'avis conjoint 2/2026. Le texte de compromis du Conseil du 20 février 2026 l'a supprimé. La présidence chypriote a retiré son texte du COREPER II fin juin 2026, faute de majorité qualifiée. La jurisprudence demeure le seul standard opérationnel.

Une organisation que j'ai auditée l'année dernière maintenait une seule ligne dans son registre des traitements pour l'ensemble de son pipeline de télémétrie produit. Catégorie : données techniques. Données personnelles : non.

Le pipeline collectait des identifiants d'appareils, des jetons de session et des adresses IP. Il les transmettait à un prestataire d'analyse. Ce prestataire ne pouvait identifier personne, et c'était la raison invoquée pour le « non ».

Deux problèmes, dans des directions opposées.

Premier problème : l'entreprise elle-même pouvait identifier presque chacune de ces sessions, car elle détenait la base de données de comptes à laquelle le jeton de session était associé. Entre ses mains, ces données étaient manifestement personnelles. L'entrée était erronée.

Second problème, le plus intéressant : l'entrée était également erronée concernant le prestataire, et dans l'autre sens. Personne n'avait jamais évalué si ce prestataire pouvait accéder à une personne. Personne n'avait consigné les raisons pour lesquelles il ne le pouvait pas. L'entreprise était parvenue à la bonne conclusion concernant le prestataire par hasard, et ne pouvait pas la défendre.

Une ligne dans un tableur, deux erreurs, pointant dans des directions opposées. C'est ce qui se produit quand on traite « données personnelles » comme une propriété du fichier plutôt que comme une propriété du détenteur.

La Cour de justice a tranché cette question. Par deux fois. Presque personne en dehors du barreau spécialisé en protection des données n'a lu l'un ou l'autre arrêt.

Que requiert réellement l'article 4(1) du GDPR ?

Les données personnelles désignent toute information relative à une personne physique identifiée ou identifiable.

Tout le monde s'arrête à « identifiée ». Toute la difficulté réside dans « identifiable ».

Le considérant 26 fournit le test. Il convient de prendre en considération l'ensemble des moyens susceptibles d'être raisonnablement utilisés, soit par le responsable du traitement soit par une autre personne, pour identifier la personne directement ou indirectement.

Deux expressions dans cette phrase font tout le travail, et elles s'opposent l'une à l'autre.

« Soit par une autre personne » élargit le périmètre. L'identification n'a pas à être quelque chose que vous pouvez réaliser seul.

« Susceptibles d'être raisonnablement utilisés » le restreint. La possibilité théorique ne suffit pas.

Chaque arrêt de la dernière décennie est le résultat de la Cour qui calibre entre ces deux expressions. Citez l'une sans l'autre et vous obtiendrez la mauvaise réponse, dans le sens qui vous arrange.

Qu'a décidé la CJUE dans l'arrêt Breyer, C-582/14 ?

Patrick Breyer, homme politique allemand et militant pour la protection de la vie privée, a visité des sites gérés par des institutions fédérales allemandes. Ces sites enregistraient les adresses IP des visiteurs, ainsi que les pages consultées, les termes de recherche saisis, les horodatages et les volumes de données. L'objectif déclaré était de se défendre contre les cyberattaques et d'en permettre la poursuite ultérieure.

Breyer a voulu faire cesser cet enregistrement. L'affaire est parvenue devant le Bundesgerichtshof, qui a renvoyé une question à la Cour de justice.

La question préjudicielle est l'élément précieux. L'adresse IP de Breyer était dynamique. Elle changeait à chaque connexion. Isolée dans le journal d'un serveur web fédéral, elle n'identifiait personne. Seul le fournisseur d'accès à Internet détenait l'enregistrement d'abonné capable d'associer cette adresse, à cet instant, à une personne.

La question était donc : une adresse IP dynamique constitue-t-elle une donnée personnelle entre les mains de l'opérateur du site, lorsque cet opérateur ne peut identifier personne et qu'un tiers détient la moitié manquante ?

La Cour a répondu oui, sous conditions.

Elle a retenu qu'il n'est pas nécessaire que toutes les informations permettant l'identification se trouvent entre les mains d'une seule personne. Les données détenues par un tiers peuvent être prises en compte.

Mais pas automatiquement. Le test posé par la Cour était de savoir si la possibilité de combiner l'adresse IP avec les données supplémentaires du FAI constitue un moyen susceptible d'être raisonnablement utilisé pour identifier la personne.

Et elle a tracé la limite explicitement. Ce ne serait pas le cas lorsque l'identification est interdite par la loi, ou pratiquement impossible car elle exige un effort disproportionné en temps, en coût et en ressources humaines, de sorte que le risque d'identification est en réalité insignifiant.

Ce qui a fait pencher l'affaire n'était pas une abstraction. C'était un fait concret. Parce que l'opérateur enregistrait précisément pour répondre aux cyberattaques, des voies légales existaient par lesquelles il pouvait s'adresser à l'autorité compétente et obtenir les informations d'abonné. La voie existait, elle était légale, elle était utilisable. L'adresse IP constituait donc une donnée personnelle entre les mains de l'opérateur.

L'objectif même de l'opérateur est ce qui a créé la voie.

Breyer signifie-t-il que n'importe qui peut identifier, et donc que tout est donnée personnelle ?

Non. Et c'est la lecture qui a causé le plus de dégâts.

La version populaire de Breyer est la suivante : l'identification n'a pas à être effectuée par vous, elle peut l'être par n'importe qui, donc pratiquement toutes les données sont des données personnelles.

Cela réduit le test à un critère absolu, et la Cour a expressément refusé d'aller dans cette direction. Breyer est un test relatif assorti d'une extension aux tiers. L'extension est réelle. Le test reste relatif, et il reste conditionné à la fois par le caractère raisonnable et par la légalité.

La version défendable en une phrase :

Les pièces n'ont pas à se trouver entre les mêmes mains. Mais vous devez disposer d'un moyen d'accéder à la pièce manquante qui soit à la fois raisonnable et légal.

C'est une phrase très différente de « n'importe qui, n'importe où, donc tout ». L'une d'elles vous fera exclure d'un atelier de délimitation du périmètre.

Qu'est-ce qui a changé entre 2016 et 2025 ?

Breyer laissait un vide. Il confirmait que les informations détenues par des tiers comptent, mais ne tranchait pas ce qui se passe lorsqu'un détenteur donné ne peut réellement pas y accéder.

Ce vide s'est comblé progressivement. La Cour a réaffirmé la portée large du critère « se rapporte à » dans IAB Europe (C-604/22). Elle a réaffirmé la limite du risque insignifiant dans OC c. Commission (2024) : les moyens d'identification ne sont pas susceptibles d'être raisonnablement utilisés lorsque l'identification est interdite par la loi ou exige un effort disproportionné.

Pendant ce temps, les autorités de contrôle maintenaient en pratique une ligne bien plus dure. La position de travail, pendant des années, était que les données pseudonymisées sont toujours des données personnelles, point final. Une clé existe quelque part, donc les données sont personnelles pour quiconque y touche.

Cette position avait le mérite d'être simple à appliquer. Elle avait aussi un défaut. Ce n'était pas ce que la Cour avait dit.

Qu'a tranché l'arrêt EDPS c. SRB, C-413/23 P, en septembre 2025 ?

Banco Popular Español s'est effondré en 2017. Le Conseil de résolution unique devait déterminer si d'anciens actionnaires et créanciers avaient droit à une indemnisation. Il a organisé une consultation du droit d'être entendu et collecté des commentaires écrits des parties prenantes concernées.

Le SRB a ensuite transmis ces commentaires à Deloitte pour un travail d'évaluation. Il a préalablement retiré les informations identifiantes. Deloitte a reçu un jeu de données pseudonymisées et n'a jamais reçu la clé.

Des parties prenantes ont porté plainte auprès du Contrôleur européen de la protection des données. L'EDPS a retenu que les commentaires demeuraient des données personnelles entre les mains de Deloitte, puisque le SRB conservait la capacité de ré-identifier. Deloitte était donc un destinataire de données personnelles, et le SRB avait omis de le mentionner dans sa déclaration de confidentialité.

Le Tribunal a annulé cette décision en avril 2023 (T-557/20), retenant que l'identifiabilité doit être appréciée du point de vue du destinataire. L'EDPS a formé un pourvoi.

Le 4 septembre 2025, la Cour de justice a annulé l'arrêt du Tribunal, et ce faisant a dit trois choses distinctes qu'il convient de ne pas confondre.

Premièrement. Les opinions sont des données personnelles par nature. La Cour a divergé du Tribunal sur le critère « se rapporte à ». Les opinions et points de vue personnels, en tant qu'expression des pensées d'une personne, sont intrinsèquement liés à leur auteur. Aucune analyse du contenu, de la finalité ou de l'effet n'est nécessaire. Les champs de texte libre, les commentaires d'enquête, les rapports d'incidents rédigés dans les propres mots de quelqu'un : ils se rapportent automatiquement à leur auteur.

Deuxièmement. « Personnel » n'est pas une caractéristique absolue de la donnée. Des données suffisamment pseudonymisées peuvent constituer des données personnelles pour le responsable de traitement d'origine tout en ne constituant pas des données personnelles pour un destinataire incapable d'inverser la pseudonymisation et d'identifier par tout autre moyen raisonnablement susceptible d'être utilisé. Même jeu de données, deux détenteurs, deux statuts. La Cour a expressément rejeté l'argument de l'EDPS selon lequel une appréciation relative réduirait indûment la notion et affaiblirait la protection.

Troisièmement. La transparence est néanmoins appréciée lors de la collecte, du point de vue du responsable de traitement. Le SRB a néanmoins perdu sur le point qui lui importait. Pour l'obligation d'informer les personnes concernées sur les destinataires, l'identifiabilité est appréciée du point de vue du responsable de traitement au moment de la collecte. Vous ne pouvez pas collecter des données, garder le silence sur les destinataires prévus, puis faire valoir après coup que la pseudonymisation rendait inutile la divulgation concernant le destinataire.

Ce troisième point est celui que les gens sautent lorsqu'ils s'enthousiasment pour le deuxième. Ne le sautez pas. C'est celui qui vous vaudra une constatation.

Les données pseudonymisées sont-elles toujours des données personnelles ?

Non, et c'est là la rupture pratique.

Pendant des années, la présomption de travail était oui, invariablement, entre toutes les mains. EDPS c. SRB est le premier arrêt dans lequel la Cour a explicitement retenu le contraire.

La formulation correcte comporte désormais trois volets.

Pour le responsable de traitement qui détient la clé, les données pseudonymisées sont des données personnelles. La pseudonymisation est une mesure de sécurité, non une sortie du périmètre.

Pour un destinataire qui ne détient pas la clé et ne dispose d'aucun autre moyen raisonnablement susceptible d'être utilisé, les mêmes données peuvent tomber entièrement en dehors de la définition.

Et la charge de démontrer cette seconde proposition vous incombe. Elle exige une évaluation écrite nommant le détenteur, les moyens dont dispose ce détenteur, et expliquant pourquoi le risque résiduel de ré-identification est insignifiant.

Si vous avez construit votre cartographie de données sur le principe « pseudonymisé égale personnel, partout, toujours », votre cartographie décrit désormais une règle qui n'existe plus.

Pourquoi le Digital Omnibus rend la jurisprudence plus importante, et non moins

Le 19 novembre 2025, la Commission européenne a publié le Digital Omnibus, le plus vaste ensemble d'amendements GDPR proposés depuis l'entrée en application du règlement. Parmi eux, un nouveau paragraphe à l'article 4(1) codifiant l'approche relative presque mot pour mot : une information ne serait pas personnelle pour une entité donnée lorsque cette entité ne peut identifier la personne compte tenu des moyens susceptibles d'être raisonnablement utilisés par cette entité, et ne deviendrait pas personnelle du seul fait qu'un destinataire ultérieur dispose de tels moyens.

Il n'a pas survécu.

Le 10 février 2026, l'EDPB et l'EDPS ont adopté l'avis conjoint 2/2026, invitant les colégislateurs à ne pas adopter les modifications de l'article 4(1) telles que rédigées. Leurs motifs : la proposition va bien au-delà d'un amendement ciblé ou technique, elle ne reflète pas fidèlement la jurisprudence de la Cour, et elle est susceptible d'accroître l'insécurité juridique plutôt que de la réduire.

Le texte de compromis du Conseil du 20 février 2026, diffusé par la présidence chypriote, a supprimé intégralement la définition révisée, ainsi que l'extension proposée de la définition de la recherche scientifique et les modifications de l'article 22.

Et le dossier n'a pas abouti depuis. Fin juin 2026, la présidence chypriote a retiré son texte de compromis de la procédure d'approbation du COREPER II après qu'il soit apparu qu'il ne pouvait pas recueillir une majorité qualifiée parmi les États membres. Le Conseil a passé la main à la présidence irlandaise le 1er juillet 2026 sans position arrêtée. Le volet IA du paquet a été adopté par le Conseil le 29 juin 2026. Le volet données, couvrant le GDPR, ePrivacy, NIS2 et DORA, reste en négociation, avec une adoption définitive non réalistement attendue avant fin 2026.

Lisez la séquence correctement. Le législateur a tenté de mettre par écrit ce que la Cour avait déjà décidé. Les régulateurs lui ont dit que la rédaction déformait la jurisprudence. Il a reculé.

Ce qui signifie que la jurisprudence fait loi. Breyer plus EDPS c. SRB est votre standard opérationnel aujourd'hui, et aucun raccourci législatif ne viendra faire l'analyse à votre place.

Qu'est-ce que cela change dans votre registre des traitements ?

La plupart des registres des traitements comportent une seule colonne : ce traitement porte-t-il sur des données personnelles, oui ou non.

Cette colonne présuppose une propriété absolue. Cette propriété n'existe pas.

La structure honnête est par flux et par acteur. Ces données sont-elles personnelles pour nous. Le sont-elles pour la partie à laquelle nous les transmettons. Ce qui fait concrètement la différence.

Deux conséquences, qui vont dans des directions opposées, ce qui explique pourquoi personne ne les voit toutes les deux.

Vous avez probablement un périmètre sur-étendu quelque part, maintenant l'ensemble du dispositif GDPR sur des jeux de données qui sont véritablement non personnels entre les mains de l'entité qui les détient. C'est du coût et des frictions sans bénéfice protecteur.

Vous avez presque certainement un périmètre sous-étendu ailleurs, détenant quelque chose que vous avez appelé anonyme alors qu'une voie légale vers la moitié manquante est ouverte à la vue de tous. Breyer est l'arrêt qui vous attrape là, et il attrape les équipes sécurité plus souvent que quiconque.

Avez-vous encore besoin d'un accord de traitement avec un sous-traitant qui ne peut identifier personne ?

Si un destinataire ne peut véritablement identifier personne, compte tenu de l'ensemble des moyens susceptibles d'être raisonnablement utilisés, alors entre ses mains les données ne sont pas des données personnelles, et l'article 28 ne lui est pas applicable en tant que tel.

Je ne vous dis pas de déchirer vos contrats de sous-traitance, et je veux être précis sur la raison.

L'évaluation est un instantané. Les jeux de données s'enrichissent. Les collaborateurs circulent entre organisations. Un destinataire qui ne peut identifier personne aujourd'hui peut en acquérir les moyens demain par le biais d'une acquisition sans lien ou d'un achat de données sans lien. Les engagements contractuels font également partie de ce qui rend la ré-identification légalement impossible, ce qui est l'un des critères posés par la Cour elle-même. Supprimez le contrat et vous supprimez peut-être la chose même qui maintenait les données hors périmètre.

Ce que je vous dis, c'est de cesser de les signer par réflexe et d'être en mesure d'énoncer, en un paragraphe, pourquoi ce destinataire est ou n'est pas dans le périmètre et ce qui changerait la réponse.

Ce paragraphe est l'artefact qu'un auditeur devrait demander. Dans mon expérience, presque aucun ne le fait.

Les adresses IP et les journaux de sécurité sont-ils des données personnelles ?

C'est là que Breyer mord le plus fort, et où les fonctions sécurité sont les plus exposées, parce que c'est nous qui générons les données.

Journaux de serveurs web. Journaux VPN et pare-feu. Télémétrie EDR. Identifiants d'appareils. Enrichissement SIEM. Flux de renseignement sur les menaces portant des adresses IP et des noms de comptes.

Le raisonnement de Breyer s'applique directement à tout cela, et le facteur aggravant est notre propre objectif déclaré. Nous conservons ces journaux précisément pour pouvoir conduire une attribution lorsqu'un incident survient. Cet objectif est ce qui établit une voie légale vers l'identification. Le gouvernement allemand a perdu Breyer en partie à cause des raisons pour lesquelles il effectuait cet enregistrement.

L'argument « ce ne sont que des IP, c'est une donnée technique, ce n'est pas personnel » est donc mort-né dans un contexte sécurité. Votre propre objectif le détruit.

Cela ne signifie pas qu'il faut cesser de journaliser. Breyer a confirmé que l'intérêt légitime est disponible précisément pour cela. Cela signifie journaliser avec une base légale énoncée, une durée de conservation que vous pouvez défendre, et une mention d'information qui reflète ce que vous faites réellement.

Le test en quatre questions à appliquer à chaque flux de données

Par acteur, par flux. Jamais par jeu de données.

1. Qui le détient ? Nommez l'entité spécifique. Responsable de traitement, sous-traitant, sous-traitant ultérieur, destinataire. Si vous ne pouvez pas les nommer, vous ne pouvez pas évaluer.

2. Quelle est la pièce manquante, et où se trouve-t-elle ? Identifiez l'information supplémentaire nécessaire pour relier les données à une personne, et identifiez qui la détient.

3. Existe-t-il une voie raisonnable et légale pour accéder à cette pièce ? Contrat. Pouvoir légal. Jeu de données achetable. Voie réglementaire ou judiciaire. Une clé détenue par une entité liée. Corrélation technique ordinaire avec d'autres données que vous détenez déjà. Si une voie utilisable existe, les données sont personnelles pour ce détenteur.

4. Sinon, pourquoi le risque résiduel est-il insignifiant ? Consignez le motif. Prohibition légale. Prohibition contractuelle. Clé détruite ou séparée sous contrôles. Effort disproportionné en temps, en coût et en ressources humaines. Puis indiquez le déclencheur qui vous amènerait à relancer l'évaluation.

Quatre questions. Une page par flux matériel. Cette page est ce qui transforme une décision de périmètre d'une habitude en une position que vous pouvez défendre la première fois qu'une autorité de contrôle vous demande pourquoi quelque chose se situe hors de votre périmètre.

Pourquoi je défends un périmètre plus étroit tout en plaidant pour un périmètre plus large

Il y a une objection évidente à tout ce qui précède, et elle mérite une réponse directe plutôt qu'une note de bas de page.

L'approche relative peut être détournée. Elle donne à chaque organisation un argument pour réduire son propre périmètre, et l'incitation à parvenir à cette conclusion est considérable. L'EDPS a fait exactement cet argument devant la Cour et a perdu. L'EDPB en a fait une version contre la rédaction du Digital Omnibus et, dans ce cas, a obtenu gain de cause.

Je pense que la préoccupation est légitime et que la réponse n'est pas de prétendre que la jurisprudence dit autre chose.

Un test relatif n'affaiblit pas la protection lorsqu'il est appliqué honnêtement, car il est symétrique. Il rétrécit votre périmètre là où vous ne pouvez véritablement pas accéder à une personne. Il l'élargit, et c'est la moitié que personne ne veut, partout où une voie légale existe que vous n'aviez pas pris la peine de chercher. Appliqué correctement, il produit plus de périmètre dans la télémétrie sécurité et dans les pipelines d'enrichissement que le test absolu paresseux n'en a jamais produit.

L'abus n'est pas l'approche relative. L'abus consiste à n'en appliquer que la moitié. Prendre le rétrécissement sans l'élargissement, revendiquer l'exemption de destinataire sans jamais rédiger l'évaluation, et ne jamais tourner la troisième question vers ses propres journaux.

Si vous n'utilisez cet article que pour réduire votre registre des traitements, vous l'avez mal utilisé.

Ce qui reste ouvert

Trois points méritent d'être suivis.

Le volet données du Digital Omnibus est encore en négociation sous présidence irlandaise, avec une adoption non attendue avant fin 2026 au plus tôt. La révision de l'article 4(1) est absente du texte du Conseil en l'état. Cela peut changer.

Les lignes directrices 01/2025 de l'EDPB sur la pseudonymisation ont été rédigées avant l'arrêt de septembre 2025 et adoptent une ligne plus ferme que celle de la Cour. La façon dont le Comité conciliera ses orientations avec EDPS c. SRB comptera davantage pour votre auditeur que l'arrêt lui-même.

Et la question pratique que l'arrêt ouvre sans y répondre : si un sous-traitant est véritablement hors périmètre, quel régime gouverne la relation. Le droit des contrats et la confidentialité, vraisemblablement. Mais personne n'a publié de modèle défendable, et je n'aimerais pas être la première organisation à en litiguer un.

Rien de tout cela n'est une raison d'attendre. Le travail de délimitation du périmètre est le même dans tous les cas, et les quatre questions ci-dessus ne dépendent pas de la façon dont l'Omnibus aboutira.

Allez examiner un flux. Choisissez celui que vous n'avez jamais remis en question. C'est celui-là.

Sources

• CJUE, affaire C-582/14, Patrick Breyer c. Bundesrepublik Deutschland, arrêt du 19 octobre 2016.
• CJUE, affaire C-413/23 P, EDPS c. SRB, arrêt du 4 septembre 2025, annulant l'arrêt du Tribunal T-557/20 du 26 avril 2023.
• CJUE, affaire C-604/22, IAB Europe.
• CJUE, OC c. Commission, 2024, sur le risque insignifiant de ré-identification.
• Avis conjoint EDPB-EDPS 2/2026 sur la proposition de règlement Digital Omnibus, adopté le 10 février 2026.
• Conseil de l'Union européenne, texte de compromis de la présidence chypriote sur le Digital Omnibus, 20 février 2026, et retrait de la procédure d'approbation du COREPER II, fin juin 2026.
• Commission européenne, paquet Digital Omnibus, publié le 19 novembre 2025.
• Lignes directrices 01/2025 de l'EDPB sur la pseudonymisation.
• Règlement (UE) 2018/1725 (EUDPR), matériellement équivalent au GDPR sur la définition des données personnelles et les obligations de transparence.

Questions fréquentes

Une adresse IP est-elle une donnée personnelle au sens du GDPR ?

Cela dépend de qui la détient. Suivant l'arrêt Breyer (C-582/14), une adresse IP dynamique constitue une donnée personnelle pour un opérateur de site web lorsque cet opérateur dispose d'un moyen raisonnable et légal d'obtenir les informations d'abonné auprès du fournisseur d'accès à Internet. En l'absence d'une telle voie, ce peut ne pas être le cas. Pour une équipe sécurité qui journalise des adresses IP afin de poursuivre des attaquants, la voie existe généralement, car c'est l'objectif déclaré qui la crée.

Breyer dit-il que des données sont personnelles dès lors que quelqu'un peut identifier la personne ?

Non. C'est la lecture la plus répandue et la plus erronée. Breyer confirme que l'information supplémentaire permettant l'identification n'a pas à être détenue par la même personne, mais conditionne cela au fait que la combinaison constitue un moyen susceptible d'être raisonnablement utilisé. La Cour a expressément exclu l'identification interdite par la loi ou nécessitant un effort disproportionné en temps, en coût et en ressources humaines, de sorte que le risque devient insignifiant.

Les données pseudonymisées sont-elles toujours des données personnelles ?

Non, pas pour chaque détenteur. Dans EDPS c. SRB (C-413/23 P, 4 septembre 2025), la Cour de justice a confirmé que des données suffisamment pseudonymisées peuvent constituer des données personnelles pour le responsable de traitement détenant la clé tout en ne constituant pas des données personnelles pour un destinataire incapable d'inverser la pseudonymisation et ne disposant d'aucun autre moyen d'identification raisonnablement susceptible d'être utilisé. Pour le responsable de traitement détenant la clé, elles demeurent des données personnelles.

Le même jeu de données peut-il être une donnée personnelle pour une organisation et ne pas l'être pour une autre ?

Oui. C'est le résultat direct de l'arrêt EDPS c. SRB. « Personnel » n'est pas une caractéristique absolue de la donnée. Il est apprécié relativement à l'entité qui la détient et aux moyens susceptibles d'être raisonnablement disponibles pour cette entité.

Ai-je encore besoin d'un accord de traitement si mon sous-traitant ne peut identifier personne ?

Lorsque le destinataire ne peut véritablement identifier personne, l'article 28 ne s'applique pas à ces données en tant que telles. En pratique, vous devriez généralement maintenir des contrôles contractuels : l'évaluation peut évoluer dans le temps, et l'interdiction contractuelle de ré-identification est elle-même l'un des facteurs qui maintient les données hors périmètre. Ce qui change, c'est que vous devez être en mesure de justifier la position par écrit plutôt que de signer par réflexe.

Le Digital Omnibus a-t-il modifié la définition des données personnelles ?

Pas en l'état. La Commission a proposé une révision de l'article 4(1) en novembre 2025. L'EDPB et l'EDPS s'y sont opposés dans l'avis conjoint 2/2026 du 10 février 2026, et le texte de compromis du Conseil du 20 février 2026 l'a entièrement supprimée. La présidence chypriote a retiré son texte du COREPER II fin juin 2026 faute de majorité qualifiée, et le dossier est passé à la présidence irlandaise sans position du Conseil. La jurisprudence demeure le standard opérationnel.

Comment documenter une déclaration d'anonymisation pour qu'elle résiste à un audit ?

Nommez le détenteur, identifiez l'information supplémentaire nécessaire à l'identification et l'endroit où elle se trouve, indiquez si une voie raisonnable et légale pour y accéder existe, et si ce n'est pas le cas, expliquez pourquoi le risque résiduel est insignifiant en utilisant les critères propres à la Cour : prohibition légale, prohibition contractuelle, absence de la clé, ou effort disproportionné en temps, en coût et en ressources humaines. Consignez ensuite le déclencheur qui vous obligerait à réévaluer. Une déclaration d'anonymisation qui ne nomme pas de détenteur n'est pas une évaluation.

Cela s'applique-t-il aux journaux de sécurité et aux données SIEM ?

Oui, et plus fortement que pour la plupart des autres catégories. La journalisation sécurité est conservée précisément pour soutenir l'attribution, et c'est cet objectif qui établit une voie légale vers l'identification. Le raisonnement de Breyer s'applique directement. La bonne réponse n'est pas de cesser de journaliser, mais d'énoncer une base légale, de défendre la durée de conservation, et de faire en sorte que la mention d'information reflète la réalité.

Christophe Mazzola est le fondateur de Cyber Academy et CISO en exercice. Il dispense des formations de certification PECB et ISACA à travers l'Europe, notamment ISO/IEC 27001 Lead Implementer et Lead Auditor, ISO 31000 Lead Risk Manager et ISO/IEC 27701.