Opinion of Advocate General Spielmann delivered on 6 February 2025.

• Jurisdiction: European Union
• Celex Number: 62023CC0413
• ECLI: ECLI:EU:C:2025:59
• Date: 06 February 2025
• Court: Court of Justice (European Union)

Édition provisoire

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. DEAN SPIELMANN

présentées le 6 février 2025 (1)

Affaire C‑413/23 P

Contrôleur européen de la protection des données

contre

Conseil de résolution unique

« Pourvoi – Traitement des données à caractère personnel – Procédure de dédommagement des créanciers et actionnaires à la suite de la résolution d’un établissement bancaire – Obligation d’information – Article 15, paragraphe 1, sous d), du règlement (UE) 2018/1725 – Absence d’information desdits créanciers et actionnaires quant au destinataire des données à caractère personnel – Décision du Contrôleur européen de la protection des données constatant la violation du règlement 2018/1725 relatif au traitement de données à caractère personnel pseudonymisées »

I. Introduction

1. Par son pourvoi, le Contrôleur européen de la protection des données (CEPD) demande l’annulation de l’arrêt du Tribunal de l’Union européenne du 26 avril 2023, CRU/CEPD (T‑557/20, ci-après l’« arrêt attaqué », EU:T:2023:219), par lequel celui-ci a annulé la décision révisée du CEPD du 24 novembre 2020 (ci-après la « décision litigieuse »), concernant cinq réclamations soumises par des actionnaires et créanciers affectés par la résolution bancaire de Banco Popular Español SA (ci-après « Banco Popular ») se plaignant de n’avoir pas été informés du transfert de leurs données à caractère personnel.

2. La présente affaire donne à la Cour l’occasion de préciser, dans le contexte de données pseudonymisées, la notion de « données à caractère personnel » et les obligations qui en découlent aux fins de se conformer aux obligations de traitement loyal et transparent des données.

II. Le cadre juridique

3. Les principales dispositions du règlement (UE) 2018/1725 (2) pertinentes dans le cadre du présent pourvoi sont les suivantes.

4. Les considérants 16 et 17 de ce règlement sont libellés comme suit :

« (16) Il y a lieu d’appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d’être utilisés pour identifier une personne physique, il convient de prendre en considération l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci. Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée n’est pas ou n’est plus identifiable. Le présent règlement ne s’applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche.

(17) La pseudonymisation des données à caractère personnel peut réduire les risques pour les personnes concernées et aider les responsables du traitement et les sous-traitants à remplir leurs obligations en matière de protection des données. L’introduction explicite de la pseudonymisation dans le présent règlement ne vise pas à exclure toute autre mesure de protection des données. »

5. L’article 3 dudit règlement, intitulé « Définitions », prévoit à ses points 1 et 6 :

« Aux fins du présent règlement, on entend par :

1) “données à caractère personnel” : toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;

[...]

6) “pseudonymisation” : le traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable. »

6. L’article 4 du même règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », dispose, à son paragraphe 1, sous a), et à son paragraphe 2 :

« 1. Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

[...]

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

7. L’article 15 du règlement 2018/1725, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », dispose à son paragraphe 1, sous d) :

« Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

[...]

d) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel. »

III. Les antécédents du litige

8. Le 7 juin 2017, le Conseil de résolution unique (CRU) a adopté un dispositif de résolution à l’égard de Banco Popular sur le fondement du règlement (UE) nº 806/2014 du Parlement européen et du Conseil, du 15 juillet 2014, établissant des règles et une procédure uniformes pour la résolution des établissements de crédit et de certaines entreprises d’investissement dans le cadre d’un mécanisme de résolution unique et d’un Fonds de résolution bancaire unique, et modifiant le règlement (UE) nº 1093/2010 (3), approuvé le même jour par décision de la Commission européenne (4), ce qui signifie concrètement que les instruments de capital de la banque ont été dépréciés ou convertis et cédés par transfert des actions.

9. Conformément à l’article 20, paragraphes 16 à 18, du règlement nº 806/2014, le CRU a confié à Deloitte, en tant que « personne indépendante » (5), le soin d’effectuer une valorisation de la différence de traitement afin de déterminer si les actionnaires et les créanciers, ainsi affectés par la mesure de résolution, auraient bénéficié d’un meilleur traitement si cet établissement avait fait l’objet d’une procédure normale d’insolvabilité.

10. Le 14 juin 2018, Deloitte a transmis cette valorisation de la différence de traitement (ci-après la « valorisation 3 ») au CRU. Par une décision préliminaire, le CRU a indiqué que, pour lui permettre d’adopter une décision finale sur la nécessité ou non d’accorder aux actionnaires et aux créanciers affectés par la résolution de Banco Popular un dédommagement au titre de l’article 76, paragraphe 1, sous e), du règlement nº 806/2014, il lançait la procédure relative au droit d’être entendu, incluant une première phase d’inscription, pour vérifier l’éligibilité des parties manifestant leur intérêt, et une seconde phase de consultation, dans le cadre de laquelle les actionnaires et créanciers affectés ont soumis leurs commentaires sur la décision préliminaire du CRU, à laquelle était annexée la valorisation 3.

11. Les données collectées lors de la phase d’inscription, à savoir les preuves de l’identité des participants et de la propriété d’instruments de capital de Banco Popular, dépréciés ou convertis et transférés, étaient accessibles à un nombre limité de membres du personnel du CRU chargés du traitement de ces données afin de déterminer l’éligibilité des participants. Ces données n’étaient pas visibles par les membres du personnel du CRU chargés du traitement des commentaires reçus lors de la phase de consultation, au cours de laquelle ceux-ci ont uniquement reçu des commentaires identifiés par référence à un code alphanumérique (6) attribué à chaque commentaire soumis au moyen du formulaire.

12. Après l’agrégation, le filtrage automatique et la catégorisation des commentaires, le CRU a transmis à Deloitte (7) les commentaires relatifs à la valorisation 3 ainsi filtrés, catégorisés et agrégés. Les commentaires transférés à Deloitte concernaient uniquement ceux reçus lors de la phase de consultation et portaient un code alphanumérique, développé à des fins d’audit pour permettre au CRU de vérifier et éventuellement de démontrer a posteriori que chaque commentaire avait été traité et dûment pris en compte. Au moyen de ce code, le CRU était le seul à pouvoir relier les commentaires aux données reçues lors de la phase d’inscription. Deloitte n’avait pas et n’a toujours pas accès à la base de données collectées lors de la phase d’inscription.

13. Des actionnaires et des créanciers affectés (ci-après les « réclamants ») ont transmis, au titre du règlement 2018/1725, cinq réclamations au CEPD au motif que la déclaration de confidentialité concernant le traitement des données à caractère personnel publiée par le CRU...