Données personnelles : les leçons structurantes de la jurisprudence de la CJUE que tout juriste doit connaître

## Introduction

Pour les praticiens du droit, naviguer dans le paysage de la protection des données est un exercice complexe qui s'étend bien au-delà du seul texte du RGPD. La jurisprudence de la Cour de justice de l'Union européenne (CJUE) façonne continuellement les obligations des entreprises et des autorités publiques, établissant des principes directeurs qui sont essentiels à la pratique quotidienne. Cet article distille les enseignements les plus fondamentaux, et parfois contre-intuitifs, issus des arrêts fondateurs de la CJUE.

## 1. La Charte des droits fondamentaux : Le bouclier ultime contre les ingérences disproportionnées

La jurisprudence de la CJUE démontre que la Charte des droits fondamentaux de l'Union européenne, et plus particulièrement ses articles 7 (respect de la vie privée) et 8 (protection des données), constitue l'instrument ultime de contrôle de la validité du droit dérivé de l'Union. La Cour se positionne ainsi en véritable cour constitutionnelle de l'ordre juridique de l'Union, affirmant la suprématie de la Charte sur toute législation secondaire et n'hésitant pas à invalider des actes adoptés par les législateurs européens eux-mêmes lorsqu'ils échouent au test de proportionnalité.

L'arrêt Digital Rights Ireland et Seitlinger e.a. (C-293/12 et C-594/12) en est une illustration emblématique. La Cour a invalidé la directive 2006/24 sur la conservation des données, jugeant que l'obligation imposée constituait une "ingérence particulièrement grave" dans les droits fondamentaux. Cette ingérence a été jugée disproportionnée car elle couvrait de manière "généralisée toute personne et tous les moyens de communication électronique", sans aucune différenciation, limitation ou exception.

Plus récemment, l'arrêt Luxembourg Business Registers (C-37/20 et C-601/20) a confirmé cette approche rigoureuse. La Cour a invalidé une disposition de la directive anti-blanchiment qui rendait les informations sur les bénéficiaires effectifs des sociétés accessibles à "tout membre du grand public". Elle a qualifié cette mesure d' "ingérence grave" dans les droits à la vie privée et à la protection des données, estimant qu'elle n'était pas limitée au "strict nécessaire".

L'enseignement pratique est un changement de paradigme pour l'analyse de conformité. La simple adéquation à un règlement ou une directive de l'Union n'est plus une garantie absolue de légalité. La CJUE a instauré une hiérarchie des normes claire : tout acte de droit dérivé, même s'il poursuit un objectif d'intérêt général légitime, reste subordonné au respect scrupuleux des droits fondamentaux consacrés par la Charte, créant un nouveau niveau de risque juridique pour les textes qui n'intègrent pas cette exigence de proportionnalité stricte.

## 2. Le "responsable du traitement" : Une responsabilité partagée et souvent insoupçonnée

La CJUE a adopté une interprétation extensive de la notion de "responsable du traitement" en se fondant sur une approche fonctionnelle. La Cour regarde au-delà des accords formels pour déterminer qui, en pratique, participe à la "détermination des finalités et des moyens du traitement", même par des actions aussi simples qu'un paramétrage. Cette vision pragmatique conduit fréquemment à qualifier de multiples acteurs de co-responsables.

Dans l'arrêt Wirtschaftsakademie Schleswig Holstein (C-210/16), la Cour a jugé que l'administrateur d'une page fan sur Facebook doit être qualifié de responsable "conjointement avec Facebook Ireland". En paramétrant sa page en fonction de son audience ou de ses objectifs, il participe de fait à la détermination des finalités et des moyens du traitement des données des visiteurs.

De même, dans l'affaire Fashion ID (C-40/17), la Cour a estimé que le gestionnaire d'un site web qui intègre un module social, comme le bouton "j'aime" de Facebook, peut être considéré comme responsable conjoint. Il est crucial de noter que cette responsabilité est strictement circonscrite aux seules opérations sur lesquelles il exerce une influence : la "collecte et la communication par transmission des données en cause" à Facebook, et non sur les traitements ultérieurs effectués exclusivement par cette dernière.

L'implication pratique de cette jurisprudence est un changement radical de l'évaluation des risques. Les juristes doivent conseiller à leurs clients que le simple usage d'outils web tiers peut transformer une relation de service en un régime de co-responsabilité du traitement avec des géants de la tech. Cette qualification n'est pas symbolique ; elle emporte des obligations de conformité directes et exécutoires (transparence, base légale, information des personnes concernées), rendant indispensable une due diligence approfondie avant toute intégration technique.

## 3. Conservation des données et surveillance : La ligne rouge du "strict nécessaire"

La Cour s'oppose de manière constante et rigoureuse à toute mesure législative imposant une conservation "généralisée et indifférenciée" des données, en particulier dans le secteur des communications électroniques.

Cette doctrine a été clairement établie dans l'arrêt Tele2 Sverige (C-203/15 et C-698/15) et confirmée avec force dans les arrêts La Quadrature du Net e.a. (C-511/18, C-512/18 et C-520/18). La Cour considère de telles mesures préventives comme des "ingérences particulièrement graves", car elles s'appliquent sans aucun lien avec le comportement des personnes concernées. Elle n'exclut cependant pas toute forme de conservation : elle admet une conservation ciblée, fondée sur des critères objectifs et non discriminatoires (par exemple géographiques), une conservation généralisée des adresses IP pour une durée limitée au strict nécessaire, ou encore des mesures de "conservation rapide" (quick freeze) sur injonction.

Une nuance importante a été apportée par l'arrêt Ligue des droits humains (C-817/19) concernant les données des dossiers passagers (PNR). La Cour a validé la directive PNR, mais en l'interprétant de manière très restrictive. Le système doit être limité aux infractions terroristes et aux formes graves de criminalité ayant "un lien objectif, à tout le moins indirect, avec le transport aérien des passagers". Pour les vols intra-UE, son application doit être cantonnée au "strict nécessaire", par exemple en cas de menace terroriste "réelle et actuelle ou prévisible".

L'enseignement pour les praticiens est que la CJUE a érigé une véritable "jurisprudence de la suspicion" à l'encontre de toute velléité de surveillance de masse. Le test du "strict nécessaire" n'est pas une simple clause de style mais un examen constitutionnel rigoureux. Toute législation nationale visant la sécurité doit être analysée à l'aune de cette ligne rouge, qui n'autorise que des mesures ciblées, limitées et précisément justifiées, inversant ainsi la charge de la preuve au détriment de l'État.

## 4. Transferts de données vers les pays tiers : La fin des mécanismes de complaisance

La jurisprudence de la CJUE a radicalement transformé les transferts de données hors de l'Union européenne, en particulier vers les États-Unis. La Cour a établi le principe de l'équivalence essentielle : tout pays tiers doit assurer un niveau de protection des droits fondamentaux essentiellement équivalent à celui garanti au sein de l'UE. Ce principe est devenu la clé de voûte de tout transfert international.

L'arrêt Schrems (C-362/14), dit "Schrems I", a invalidé la décision d'adéquation concernant la "sphère de sécurité" (Safe Harbour). La Cour a estimé que la primauté des exigences de sécurité nationale aux États-Unis rendait possibles des "ingérences dans les droits fondamentaux" sans protection juridique efficace pour les citoyens de l'UE, rappelant un principe cardinal :

En particulier, une réglementation permettant aux autorités publiques d'accéder de manière généralisée au contenu de communications électroniques porte atteinte au contenu essentiel du droit fondamental au respect de la vie privée.

Quelques années plus tard, l'arrêt Facebook Ireland et Schrems (C-311/18), dit "Schrems II", a invalidé le mécanisme successeur, le "bouclier de protection des données" (Privacy Shield), pour des motifs similaires. Surtout, la Cour a précisé que si les clauses contractuelles types (CCT) demeurent un mécanisme de transfert valide en théorie, leur utilisation n'est pas une simple formalité. L'exportateur de données a désormais l'obligation de "vérifier, au préalable, que le niveau de protection est respecté dans le pays tiers concerné".

La conséquence pratique est une transformation de la nature même des obligations des entreprises. La CJUE a externalisé la charge de l'évaluation du respect des droits fondamentaux de l'UE sur chaque exportateur de données. Ce qui était une formalité contractuelle est devenu un devoir d'analyse juridique substantiel, exigeant une évaluation d'impact documentée (Transfer Impact Assessment ou TIA) sur le cadre légal du pays destinataire. Les transferts ne peuvent plus reposer sur une confiance aveugle dans des instruments standards.

## 5. Droit au déréférencement et consentement : La consécration des droits de l'individu

La CJUE a joué un rôle déterminant dans le renforcement des droits des personnes concernées, en leur conférant des outils juridiques puissants pour maîtriser leurs données personnelles.

Le "droit à l'oubli", ou "droit au déréférencement", a été consacré par l'arrêt fondateur Google Spain et Google (C-131/12). La Cour a jugé que l'exploitant d'un moteur de recherche est obligé de supprimer des liens de sa liste de résultats, même si l'information sur la page source est licite, lorsque les droits de la personne (articles 7 et 8 de la Charte) "prévalent, en principe" sur l'intérêt économique du moteur et l'intérêt du public. Il revient à l'exploitant d'effectuer une mise en balance des droits, en sachant que l'intérêt du public peut prévaloir pour les personnes jouant "un rôle [...] dans la vie publique".

Concernant le consentement, l'arrêt Planet49 (C-673/17) a clarifié qu'il n'est pas valable s'il résulte d'une "case cochée par défaut". Le consentement doit impérativement découler d'un "comportement actif" de l'utilisateur. Plus récemment, l'arrêt Meta Platforms e.a. (C-252/21) a ajouté que la position dominante d'un opérateur est un "élément important pour déterminer si le consentement a effectivement été donné valablement et, notamment, librement", et qu'il incombe à cet opérateur de le prouver.

La leçon doctrinale est claire : la CJUE a engagé un rééquilibrage fondamental des pouvoirs au profit de l'individu. Les droits des personnes concernées ne sont plus de simples obligations procédurales pour les entreprises, mais des outils substantiels d'autonomisation (empowerment) de la personne. Cette jurisprudence impose aux responsables de traitement une charge de la preuve accrue et des obligations de plus en plus strictes, que ce soit pour la gestion de la réputation en ligne ou pour la collecte d'un consentement véritablement libre et éclairé.

## 6. Pseudonymisation et obligation d'information : l'arrêt EDPS / SRB (C-413/23 P, 27 octobre 2025)

La Cour tranche net : des commentaires pseudonymisés restent des données à caractère personnel pour le responsable qui détient la clé de ré-identification. Dans l'affaire EDPS / SRB (C-413/23 P), les observations des actionnaires de Banco Popular, taguées par un code alphanumérique et transmises à Deloitte, constituaient des données personnelles pour le SRB (Single Resolution Board), qui pouvait relier chaque code à une identité. Pour le destinataire, la qualification dépend des moyens raisonnablement disponibles pour identifier les personnes. Si les mesures techniques et organisationnelles empêchent toute corrélation, ces données peuvent ne pas être personnelles pour ce tiers. La CJUE aligne ainsi le règlement 2018/1725 sur le RGPD : pseudonymisation n'est pas anonymisation, et l'analyse d'identifiabilité se fait acteur par acteur, au regard des moyens concrets d'identification.

La Cour renforce surtout la transparence. L'obligation d'information sur les destinataires (art. 15 du règlement 2018/1725, miroir de l'art. 13 RGPD) s'apprécie au moment de la collecte et du point de vue du responsable, indépendamment de la qualification ultérieure chez le tiers. Le SRB aurait dû mentionner Deloitte dans sa déclaration de confidentialité. Message opérationnel pour les entreprises : traiter les ensembles pseudonymisés comme des données personnelles tant qu'une clé existe, documenter l'évaluation d'identifiabilité pour chaque destinataire, et informer clairement des catégories de destinataires dès la collecte. C'est une logique d'accountability pure, qui rattache la conformité au contexte réel du traitement et à la capacité effective de ré-identifier.

## Conclusion : Une jurisprudence en tant que boussole pour l'avenir numérique

Ces six leçons ne sont pas des axes jurisprudentiels isolés, mais les composantes d'un projet unifié et cohérent : la construction par la Cour d'une véritable "constitution numérique" pour l'Union européenne. À travers ses arrêts, la CJUE utilise la Charte des droits fondamentaux comme un socle constitutionnel pour encadrer le pouvoir à l'ère digitale, qu'il s'agisse du pouvoir de l'État (limites strictes à la surveillance) ou de celui des entreprises (responsabilité élargie, transferts conditionnés, droits renforcés des individus).

Cette jurisprudence constitue une boussole indispensable pour l'avenir. Alors que l'Union se dote de nouveaux textes législatifs majeurs, comme ceux sur la gouvernance des données ou l'intelligence artificielle, les principes dégagés par la Cour resteront le prisme d'interprétation essentiel pour les juristes. Ils continueront à définir l'équilibre délicat entre innovation technologique, impératifs de sécurité et, au sommet de la hiérarchie des normes, la protection inaliénable des droits fondamentaux.