En juin 2019, le Conseil de résolution unique a transmis à Deloitte 1104 observations d’actionnaires et de créanciers de Banco Popular, chacune identifiée par un simple code alphanumérique. Il a conservé la clé de correspondance. C’est de cet épisode que la Cour de justice de l’Union européenne (CJUE) a tiré, le 4 septembre 2025 dans l’affaire C-413/23 P, la formule selon laquelle des données pseudonymisées ne sont pas « en toutes circonstances et pour toute personne » des données à caractère personnel (point 86) — tout en précisant, dans le même arrêt, que l’obligation d’information s’apprécie dans le chef du responsable du traitement au moment de la collecte, et non dans celui du destinataire (points 111 et s.).

L’asymétrie figure donc dans le texte même de l’arrêt. Le même transfert relève du champ d’application chez vous et peut-être pas chez votre cocontractant. La consigner uniquement dans le concept de pseudonymisation, c’est se tromper d’endroit : elle doit produire ses effets dans les définitions du contrat de sous-traitance et dans la mention prévue à l’art. 13 al. 1 let. e RGPD.

Ce que l’arrêt distingue réellement

La Cour applique deux grilles de lecture à un même ensemble de données. Chez le Conseil de résolution unique, qui détenait la clé, les observations demeuraient « nécessairement » des données à caractère personnel (point 76). Chez Deloitte, qui ne détenait pas la clé et ne disposait d’aucun moyen raisonnable de réidentification, les mêmes informations pouvaient perdre cette qualité (point 77). Le critère est celui des « moyens raisonnablement susceptibles d’être utilisés », énoncé au considérant 16 du règlement (UE) 2018/1725, que la Cour rapporte, au point 79, tant au responsable du traitement qu’à « une autre personne ». La grille applicable dépend, selon le point 100, des circonstances propres à chaque traitement.

Le’arrêt interprète ainsi le règlement (UE) 2018/1725 — les règles de protection des données applicables aux institutions de l’UE —, et non le RGPD. Pour les contrats de sous-traitance relevant du RGPD, cette interprétation reste transposable, puisque l’art. 3, point 1, du règlement 2018/1725 et l’art. 4, point 1, du RGPD retiennent la même définition de la donnée à caractère personnel. Mais la Cour ne l’a pas tranché pour le RGPD lui-même.

Cela ne vaut pas blanc-seing : c’est une question de preuve, et elle incombe à l’expéditeur. Nous avons traité cet aspect le 1er juillet à propos de la data room ; il ne bouge pas ici.

La moitié qu’on a oublié de lire

Le Conseil de résolution unique a pourtant perdu sur ce point précis. Selon le point 110, l’obligation d’information porte sur les données telles qu’elles sont parvenues au responsable du traitement, donc avant toute transmission. Le destinataire devait donc être nommé, alors même que les données pouvaient sortir du champ d’application une fois entre ses mains.

Pour le RGPD, l’obligation figure aux art. 13 al. 1 let. e et 14 al. 1 let. e : il faut communiquer les destinataires ou les catégories de destinataires. Le droit suisse connaît la même règle à l’art. 19 al. 2 let. c DSG, qui exige « le cas échéant, les destinataires ou les catégories de destinataires ». Aucune de ces deux normes ne subordonne cette mention à la qualification juridique des données chez le destinataire. Retrancher une catégorie de destinataires de la déclaration de confidentialité parce que le destinataire ne reçoit pas la clé, c’est transformer un constat qui concerne le destinataire en dispense pour l’expéditeur. Cela ne tient pas.

Là où le marché est allé trop vite

La lecture qui domine depuis l’arrêt veut que les transferts de données pseudonymisées échappent désormais, en règle générale, au RGPD. L’autorité de contrôle n’en est pas encore là partout. Les lignes directrices 01/2025 du CEPD sur la pseudonymisation, adoptées pour consultation le 17 janvier 2025, retiennent, à leur point 22, que des données pseudonymisées demeurent des données à caractère personnel si elles peuvent être combinées avec les informations supplémentaires « eu égard aux moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par une autre personne ». Et précisent, explicitement, que cela vaut même lorsque les données et les informations supplémentaires ne se trouvent pas entre les mêmes mains.

Le CEPD a bougé sur un sujet voisin — dans les lignes directrices sur l’anonymisation, dont nous avons parlé le 11 juillet. Les lignes directrices sur la pseudonymisation, elles, en sont au stade de projet depuis un an et demi et figurent toujours, en tant que dossier ouvert, dans le programme de travail 2026-2027. Votre autorité de contrôle travaille avec ce projet, pas avec le point 86 de l’arrêt.

Ce qui doit figurer dans le contrat

L’art. 28 al. 3 RGPD exige que le contrat de sous-traitance fixe l’objet et la durée, la nature et la finalité du traitement, « le type de données à caractère personnel » et « les catégories de personnes concernées ». Ce sont précisément ces éléments que le caractère relatif de la donnée personnelle dissout chez le destinataire. Si l’ensemble de données n’est pas, entre ses mains, une donnée à caractère personnel, les obligations de l’art. 28 al. 3 perdent leur ancrage légal à son égard. La question de savoir s’il est seulement sous-traitant devient alors litigieuse — précisément au moment où vous déclenchez un audit.

La conséquence est d’ordre pratique, pas dogmatique. L’obligation d’agir sur instruction (let. a), la suppression ou la restitution en fin de contrat (let. g) et le droit d’audit (let. h) doivent être rédigés comme des obligations contractuelles autonomes, et non incorporés par simple renvoi à l’art. 28 RGPD. Un renvoi qui tombe à vide dès que la norme ne s’applique plus vous prive exactement du droit sur lequel vous comptiez.

Second effet : en l’absence de caractère personnel, le chapitre V du RGPD tombe également, tout comme l’art. 16 DSG pour la communication à l’étranger. C’est la partie commercialement intéressante — et aussi la plus fragile. Elle ne tient que tant que le destinataire n’acquiert aucun moyen de réidentification. L’accord doit donc contenir un engagement interdisant trois choses : l’acquisition de la clé, le rapprochement avec d’autres ensembles de données, et l’omission de vous en informer dès que l’un de ces deux risques se profile. Si le statut bascule, il bascule rétroactivement à votre détriment.

Concrètement, pour lundi : reprenez l’annexe « type de données à caractère personnel » de vos trois derniers contrats comportant des transmissions de données pseudonymisées, et vérifiez si les obligations qui y figurent resteraient exécutoires même sans l’art. 28 RGPD.

Ce qui est acquis, et ce qui ne l’est pas

Est acquis le point 111 et suivants : l’obligation d’information reste attachée au responsable du traitement et s’apprécie au moment de la collecte. N’est pas acquise la manière concrète d’appliquer le test. La CJUE a renvoyé l’affaire devant le Tribunal de l’Union européenne ; le test n’a plus été appliqué, les parties s’étant entendues entre-temps. À ce jour, aucun cas d’application pleinement instruit n’existe.

C’est le Digital Omnibus qui tranchera, pas la jurisprudence. Le 19 novembre 2025, la Commission a voulu inscrire le test fondé sur l’entité destinataire à l’art. 4, point 1, du RGPD ; le CEPD et l’EDPS ont rejeté cette proposition dans leur avis conjoint 2/2026 du 10 février 2026, jugeant qu’elle allait au-delà d’une simple correction technique. Selon EU Tech Reg, la présidence irlandaise du Conseil a écarté en juillet 2026 le texte de compromis chypriote et adressé aux États membres un questionnaire qui mentionne expressément la pseudonymisation ; au Parlement, plus de 1000 amendements avaient été déposés au 15 juillet 2026, et aucune position de négociation n’est attendue avant février 2027. Le prochain texte de compromis de la présidence du Conseil sera le document qui montrera si cette asymétrie devient droit positif ou reste une simple lecture jurisprudentielle. D’ici là, c’est votre contrat qui la porte.