La Cour de justice de l’Union européenne a rendu, le 6 octobre 2025, un arrêt relatif à la protection des données traitées par les organismes européens. Une chercheuse contestait la légalité d’un communiqué diffusé par un organe d’enquête suite à des soupçons de fraude dans l’usage de fonds de recherche. Le Tribunal de l’Union européenne avait, par un arrêt du 4 mai 2022, considéré que les informations diffusées ne permettaient pas d’identifier la requérante. La procédure porte sur la qualification de données personnelles lorsque l’identification nécessite le recours à des éléments extérieurs ou complémentaires au document litigieux. Le juge de l’Union annule partiellement la décision attaquée en consacrant une vision extensive du caractère identifiable fondé sur les risques de recoupements raisonnables.
I. L’objectivation du caractère identifiable de la personne concernée
A. L’intégration déterminante des éléments d’identification extrinsèques
La Cour rappelle que constitue une « donnée à caractère personnel » « toute information se rapportant à une personne physique identifiée ou identifiable ». L’utilisation du terme « indirectement » signifie qu’il n’est pas nécessaire qu’une information permette seule d’identifier l’individu pour recevoir cette qualification juridique.
Le Tribunal avait erronément limité son analyse aux seuls éléments présents dans le communiqué sans tenir compte des informations extérieures disponibles pour les lecteurs. La juridiction de pourvoi précise que le caractère identifiable ne dépend pas de l’imputabilité de l’acte mais des critères stricts fixés par le règlement.
B. L’appréciation concrète des moyens raisonnablement mis en œuvre
L’identification peut résulter de « l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne ». Un moyen n’est pas raisonnable seulement si l’identification s’avère irréalisable en pratique ou implique un effort démesuré en temps et en coût financier.
La Cour relève que la consultation d’une base de données regroupant soixante-dix projets financés constitue une recherche proportionnée pour un lecteur intéressé. Le risque d’identification n’apparaît donc pas « insignifiant » dès lors que des journalistes professionnels peuvent recouper les informations relatives au parcours de la chercheuse.
II. La sanction des erreurs de droit relatives aux libertés fondamentales
A. Le lien intrinsèque entre identification et présomption d’innocence
Le Tribunal avait rejeté le grief tiré de la violation de la présomption d’innocence au motif que la requérante n’était pas personnellement identifiable. L’annulation de la qualification de l’identification indirecte entraîne mécaniquement la censure du raisonnement tenu par les juges du fond sur ce point précis.
La Cour souligne que l’atteinte à ce principe fondamental est subordonnée à la possibilité pour les tiers de reconnaître l’individu visé par les accusations. Le renvoi de l’affaire permettra d’examiner si les conditions de la responsabilité extracontractuelle de l’Union sont effectivement réunies dans cette espèce complexe.
B. La reconnaissance d’une dénaturation affectant la bonne administration
Le droit à une bonne administration impose à l’organe d’enquête de ne pas diffuser d’informations inexactes dénaturant les conclusions de ses rapports finaux. Le communiqué litigieux affirmait qu’aucun chercheur ne savait que son nom était lié au projet tandis que le rapport mentionnait des confirmations contraires.
Le Tribunal a dénaturé les pièces du dossier en jugeant que l’usage du terme « aucun » pour désigner « certains » ne constituait pas une inexactitude. Cette dénaturation manifeste des éléments de preuve justifie l’annulation de l’arrêt attaqué quant au respect des obligations de diligence incombant à l’administration européenne.
