Confirmation du Conseil d’Etat : Les données pseudonymisées ne sont plus des données personnelles lorsque le risque d’identification est insignifiant.

A propos de l'arrêt du Conseil d'État, 04/03/2026, 482872

1. La présentation des parties

Les parties au litige sont :

• d’une part, la société Criteo, dont l'établissement principal est situé en France, exerce l'activité d'affichage de publicités ciblées sur des sites internet gérés et hébergés par des tiers. A cette fin, elle collecte et traite, à l'aide de traceurs de connexion (" cookies "), les données de navigation des personnes situées en France ou dans d'autres Etats membres de l'Union européenne, visitant des sites internet dont les gestionnaires ou les hébergeurs ont conclu des accords de partenariat rémunérés avec elle ;
• d’autre part, la CNIL.

2. L’objet de la demande de la société Criteo

La société Criteo demande l'annulation de la délibération du 15 juin 2023 par laquelle la formation restreinte de la Commission nationale de l'informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative de 40 millions d'euros pour des manquements aux articles 7, 12, 13, 15, 17 et 26 du RGPD.

3. Le débat juridique : les données pseudonymisées sont-elles toujours des données à caractère personnel ?

Le rappel des règles : la définition des données personnelles

Aux termes du paragraphe 1 de l'article 4 du RGPD, on entend par données à caractère personnel : " toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée "personne concernée") ; est réputée être une "personne physique identifiable" une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale (...) ".

Aux termes du paragraphe 5 du même article, la pseudonymisation correspond au " traitement de données à caractère personnel de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires, pour autant que ces informations supplémentaires soient conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable ".

Il résulte de ces dispositions, éclairées par la jurisprudence de la Cour de justice de l'Union européenne, qu'une donnée ne peut être considérée comme ayant été rendue anonyme par une pseudonymisation que si le risque d'identification est insignifiant, une telle identification étant irréalisable en pratique, notamment parce qu'elle impliquerait un effort démesuré en termes de temps, de coût et de main d'œuvre.

L’application des règles au cas concret

La société Criteo fait valoir que les données qu'elle traite n'ont pas le caractère de données personnelles, au motif qu'elle attribue à chaque personne dont elle collecte les données un identifiant sous forme de pseudonyme, lié à l'adresse IP du terminal.

Or, il résulte de l'instruction que sont notamment associés à cet identifiant, non seulement l'adresse IP elle-même, mais des données telles que l'emplacement géographique lié à cette adresse IP, l'identifiant du terminal, les identifiants, propres aux partenaires de Criteo, des personnes se rendant sur le site de ces partenaires, ainsi que de très nombreux éléments liés à l'activité de navigation de ces personnes, comme les sites visités, les achats faits, les publicités consultées et celles ayant donné lieu à un achat.

Ainsi, la finalité même du traitement étant de proposer les publicités les plus adaptées possibles aux habitudes de consommation et centres d'intérêt des internautes, un très grand nombre d'informations, parfois très précises, peuvent être recueillies et recoupées pour un identifiant donné. Par suite, si la société Criteo soutient qu'elle ne dispose pas de clé de réidentification permettant d'identifier, à partir du seul identifiant Criteo, les personnes concernées, il résulte de l'instruction que, ainsi que la société l'avait au demeurant admis devant la CNIL, l'identification de certaines personnes ne serait pas techniquement impossible.

Il résulte dès lors de l'ensemble de ces éléments que, pour le responsable du traitement qu'est la société Criteo, une partie au moins des très nombreuses personnes concernées étaient identifiables, par des moyens n'impliquant pas un effort démesuré en termes de temps, de coût et de main d'œuvre, sans que la société requérante puisse utilement se prévaloir de ce qu'une telle identification ne présenterait pour elle aucun intérêt.

C'est donc à bon droit que la formation restreinte de la CNIL a jugé que ces données constituaient, pour la société Criteo, des données personnelles au sens de l'article 4 du RGPD.