Édition provisoire
CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. MACIEJ SZPUNAR
présentées le 5 novembre 2026 (1)
Affaire C‑654/25 [Undelam] (i)
US,
DR
contre
KY
[demande de décision préjudicielle formée par le Bundesgerichtshof (Cour fédérale de justice, Allemagne)]
« Renvoi préjudiciel – Protection des données à caractère personnel – Consultation d’un site Internet intégrant une bibliothèque dynamique de polices Google Fonts – Transfert de l’adresse de protocole Internet (IP) du visiteur à Google aux États-Unis – Caractère personnel de l’adresse IP dynamique – Possibilité d’identification par un tiers – Droit à des dommages et intérêts »
I. Introduction
1. Une adresse de protocole Internet (IP) dynamique est-elle une donnée à caractère personnel au sens de l’article 4, point 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (2), lorsqu’elle est transmise automatiquement par un exploitant d’un site Internet à une entité tierce telle que Google ? Telle est la question à laquelle la Cour est amenée à répondre dans la présente affaire, qui intervient dans le cadre d’un litige entre un exploitant d’un site Internet et un utilisateur ayant mis au point des moyens techniques visant à provoquer cette transmission pour demander, ensuite, une compensation financière.
2. Ce contexte particulier conduira également la Cour à traiter la question des conditions de mise en œuvre du droit à réparation prévu à l’article 82, paragraphe 1, du RGPD.
II. Le cadre juridique
A. Le droit de l’Union
3. Les considérants 10 et 26 du RGPD sont libellés comme suit :
« (10) Afin d’assurer un niveau cohérent et élevé de protection des personnes physiques et de lever les obstacles aux flux de données à caractère personnel au sein de l’Union, le niveau de protection des droits et des libertés des personnes physiques à l’égard du traitement de ces données devrait être équivalent dans tous les États membres. Il convient dès lors d’assurer une application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel dans l’ensemble de l’Union. En ce qui concerne le traitement de données à caractère personnel nécessaire au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, il y a lieu d’autoriser les États membres à maintenir ou à introduire des dispositions nationales destinées à préciser davantage l’application des règles du présent règlement. Parallèlement à la législation générale et horizontale relative à la protection des données mettant en œuvre la directive 95/46/CE, il existe, dans les États membres, plusieurs législations sectorielles spécifiques dans des domaines qui requièrent des dispositions plus précises. Le présent règlement laisse aussi aux États membres une marge de manœuvre pour préciser ses règles, y compris en ce qui concerne le traitement de catégories particulières de données à caractère personnel (ci-après dénommées “données sensibles”). À cet égard, le présent règlement n’exclut pas que le droit des États membres précise les circonstances des situations particulières de traitement y compris en fixant de manière plus précise les conditions dans lesquelles le traitement de données à caractère personnel est licite.
[...]
(26) Il y a lieu d’appliquer les principes relatifs à la protection des données à toute information concernant une personne physique identifiée ou identifiable. Les données à caractère personnel qui ont fait l’objet d’une pseudonymisation et qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires devraient être considérées comme des informations concernant une personne physique identifiable. Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d’être utilisés pour identifier une personne physique, il convient de prendre en considération l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci. Il n’y a dès lors pas lieu d’appliquer les principes relatifs à la protection des données aux informations anonymes, à savoir les informations ne concernant pas une personne physique identifiée ou identifiable, ni aux données à caractère personnel rendues anonymes de telle manière que la personne concernée ne soit pas ou plus identifiable. Le présent règlement ne s’applique, par conséquent, pas au traitement de telles informations anonymes, y compris à des fins statistiques ou de recherche. »
4. L’article 2, intitulé « Champ d’application matériel », de ce règlement, prévoit à son paragraphe 1 :
« Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. »
5. L’article 4, intitulé « Définitions », dudit règlement, prévoit :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
[...] »
6. L’article 6, intitulé « Licéité du traitement », du même règlement, dispose ce qui suit à son paragraphe 1 :
« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
[...]
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
[...] »
7. L’article 44, intitulé « Principe général applicable aux transferts », du RGPD dispose :
« Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis. »
8. L’article 82, intitulé « Droit à réparation et responsabilité », de ce règlement, prévoit, à son paragraphe 1 :
« Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. »
B. Le droit allemand
9. L’article 812, intitulé « Droit à restitution », du Bürgerliches Gesetzbuch (code civil allemand), dans sa version applicable au litige au principal (BGBl. 2002 I, p. 42, 2909 et BGBl. 2003 I, p. 738), prévoit, à son paragraphe 1 :
« Celui qui obtient quelque chose au détriment d’un tiers sans fondement juridique grâce à une prestation de ce tiers, ou de toute autre manière, est obligé à restitution [...] »
10. L’article 826, intitulé « Atteinte intentionnelle et contraire à l’ordre public et aux bonnes mœurs », de ce code énonce :
« Celui qui cause un préjudice à autrui intentionnellement et au mépris des bonnes mœurs est tenu envers celui-ci de réparer le dommage. »
III. Le litige au principal, les questions préjudicielles et la procédure devant la Cour
11. Le requérant au principal, KY, exploite un site Internet sur lequel il a intégré le service Google Fonts, qui permet aux exploitants de sites Internet d’utiliser gratuitement des polices d’écriture mises à disposition par Google. Ce service, dans sa configuration dynamique par défaut, implique que ces polices soient chargées depuis un serveur de Google, entraînant la transmission automatique de l’adresse IP du visiteur à Google aux États-Unis. Une modification des réglages permet à l’exploitant du site d’intégrer les polices d’écriture localement, de sorte à éviter la transmission des données vers les États-Unis. KY n’y a toutefois pas procédé.
12. Le premier défendeur au principal, US, a mis en place un dispositif automatisé composé, d’une part, d’un logiciel de type web crawler chargé de détecter, sur un grand nombre de sites Internet, la présence de cette configuration dynamique de Google Fonts, et, d’autre part, d’un logiciel complémentaire permettant de déclencher automatiquement une visite des sites ainsi identifiés. Une visite du site de KY ayant été effectuée par ce moyen, l’adresse IP dynamique alors attribuée à US a été transmise à Google aux États-Unis.
13. En octobre 2022, KY a reçu de DR, second défendeur au principal, agissant en qualité d’avocat mandaté par US, une lettre de mise en demeure lui reprochant d’avoir transmis l’adresse IP de US à Google aux États-Unis, sans base légale ni consentement, en violation notamment de l’article 6, paragraphe 1, sous a) et f), du RGPD. Dans cette lettre, DR proposait, au nom de son client, l’abandon de tout recours à son égard en contrepartie de la cessation de la violation et du versement de la somme de 170 euros à US. KY s’est exécuté dans le délai imparti.
14. Informé ultérieurement que les défendeurs au principal avaient utilisé le même procédé à l’égard de milliers d’autres exploitants de sites Internet, KY a demandé le remboursement de cette somme à US.
15. Saisi du litige, l’Amtsgericht Hannover (tribunal de district de Hanovre, Allemagne) a condamné US à restituer à KY la somme de 70 euros. En appel, le Landgericht Hannover (tribunal régional de Hanovre, Allemagne) a réformé ce jugement et condamné solidairement US et DR à restituer l’intégralité de la somme de 170 euros à KY, au motif qu’ils avaient intentionnellement causé un préjudice à ce dernier, au mépris des bonnes mœurs. Cette juridiction ne s’est pas prononcée sur la question de la violation du RGPD, dans la mesure où elle a considéré que, à supposer que tel soit le cas, aucun préjudice moral ne saurait être reconnu dès lors que US avait sciemment provoqué la transmission litigieuse dans le seul but d’en obtenir un avantage pécuniaire.
16. Dans le cadre du pourvoi en « Revision » introduit par US et DR, le Bundesgerichtshof (Cour fédérale de justice, Allemagne), la juridiction de renvoi, relève que le droit à restitution du montant payé par KY à la suite de la lettre de mise en demeure n’existe que dans la mesure où US n’avait pas droit, conformément à l’article 82 de ce règlement, à réparation du préjudice moral résultat de la transmission, par le requérant, de son adresse IP dynamique à Google aux États-Unis.
17. Ce faisant, la juridiction de renvoi a estimé que la solution du litige soulevait des questions d’interprétation dudit règlement sur laquelle la Cour ne s’est pas encore prononcée de manière univoque.
18. En premier lieu, la juridiction de renvoi souligne que la juridiction d’appel a écarté tout droit à réparation de US au motif que la transmission de son adresse IP dynamique à Google aux États-Unis n’aurait pas porté sur une donnée à caractère personnel au sens du même règlement, faute pour ce dernier de disposer de moyens légaux susceptibles d’être raisonnablement mis en œuvre pour identifier la personne concernée à partir de cette donnée, ainsi que cela ressortirait de l’arrêt du 19 octobre 2016, Breyer (3).
19. Or, la juridiction de renvoi nourrit des doutes quant à cette interprétation de cet arrêt. En effet, la Cour aurait certes jugé qu’une adresse IP dynamique constitue une donnée à caractère personnel à l’égard d’un fournisseur de services de médias en ligne lorsque ce dernier dispose de moyens légaux susceptibles d’être raisonnablement mis en œuvre pour faire identifier la personne concernée grâce aux informations supplémentaires dont dispose le fournisseur d’accès Internet. Toutefois, la juridiction de renvoi observe que ledit arrêt aurait porté sur la licéité de la conservation d’une adresse IP et non sur sa transmission.
20. Cette juridiction envisage en outre la possibilité de retenir un « critère objectif » (ou « absolu »), selon lequel il suffirait que n’importe quel tiers soit en mesure d’identifier la personne concernée grâce à l’information transmise pour que celle-ci soit qualifiée de donnée à caractère personnel. Il s’ensuivrait que l’adresse IP dynamique constituerait en tout état de cause une donnée à caractère personnel, le fournisseur d’accès Internet étant toujours en mesure d’identifier le titulaire de la connexion. En revanche, si l’interprétation du même arrêt telle qu’elle résulte du jugement d’appel devait être retenue, il conviendrait de déterminer s’il suffit que des possibilités légales permettant d’identifier la personne concernée existent ou s’il faut encore que leurs conditions de mise en œuvre soient réunies en fait et en droit.
21. En deuxième lieu, la juridiction de renvoi souligne que la juridiction d’appel a exclu que la transmission de l’adresse IP de US à Google aux États-Unis lui ait causé un préjudice. En effet, selon la juridiction d’appel, la notion de « préjudice » suppose une perte involontaire du contrôle sur ses propres données, ce qui ferait défaut dans l’affaire au principal. La juridiction de renvoi précise qu’une telle solution est fondée sur une notion de « préjudice » propre au droit national, qui ne saurait toutefois prévaloir sur la définition autonome et uniforme que la notion de « dommage moral » doit recevoir en droit de l’Union. Elle rappelle à cet égard que, selon la jurisprudence de la Cour, la notion de « dommage » devrait être interprétée au sens large. Dans ces conditions, la simple perte de contrôle sur ses données à caractère personnel pourrait constituer un tel dommage, tout comme la crainte fondée d’un usage abusif futur, sous réserve qu’elle soit fondée au regard des circonstances spécifiques et que la personne concernée ne se borne pas à alléguer une crainte sans conséquence négative démontrée (4). En revanche, la Cour ne se serait pas encore prononcée, au moment de la demande de décision préjudicielle, sur le point de savoir si la provocation délibérée de la transmission de données à caractère personnel dans un grand nombre de cas et de manière automatisée s’oppose à la reconnaissance d’un préjudice moral au sens de l’article 82, paragraphe 1, du RGPD.
22. En troisième lieu, la juridiction de renvoi rappelle que, selon une jurisprudence constante, les justiciables ne sauraient frauduleusement ou abusivement se prévaloir des normes de l’Union, y compris dans les relations entre particuliers. La preuve d’un abus de droit requerrait la réunion d’un élément objectif (à savoir que l’objectif de la réglementation n’ait pas été atteint malgré un respect formel de ses conditions) et d’un élément subjectif (la volonté d’obtenir un avantage en créant artificiellement les conditions requises) (5).
23. Cette juridiction considère que les circonstances de l’affaire au principal seraient a priori suffisantes pour établir l’élément subjectif. Toutefois, la Cour aurait laissé ouverte la possibilité que l’interdiction de l’abus ne soit pas pertinente lorsque les actes en cause sont susceptibles d’avoir une justification autre que la simple obtention d’un avantage. Or, en l’espèce, il ne saurait être exclu que les agissements de US aient également eu pour but d’attirer l’attention des exploitants de sites Internet sur le problème que poserait l’intégration dynamique de Google Fonts pour la protection des données. Ladite juridiction souhaite ainsi savoir si la motivation financière doit être la seule motivation de la provocation d’une violation du RGPD pour que l’abus soit caractérisé ou s’il suffit qu’elle en constitue la motivation principale.
24. C’est dans ces conditions que le Bundesgerichtshof (Cour fédérale de justice) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) Convient-il d’interpréter l’article 4, point 1, du RGPD en ce sens que, en cas de transmission automatique d’une adresse IP dynamique, cette dernière constitue une donnée à caractère personnel dès lors qu’un tiers dispose des informations supplémentaires nécessaires à l’identification de la personne concernée ?
Ou bien faut-il, pour pouvoir considérer qu’il s’agit d’une donnée à caractère personnel, que le responsable de la transmission ou le destinataire disposent de moyens susceptibles d’être raisonnablement mis en œuvre afin de faire identifier la personne concernée, le cas échéant avec l’aide d’un tiers ?
Dans l’affirmative : suffit-il à cet égard que, dans certaines conditions, il puisse exister des possibilités légales d’identifier la personne concernée ou bien faut-il que ces conditions aient été réunies en fait et en droit dans le cas d’espèce ?
2) Convient-il d’interpréter l’article 82, paragraphe 1, du RGPD en ce sens qu’il peut y avoir préjudice moral même lorsque la personne concernée a sciemment provoqué une violation du RGPD par le responsable du traitement dans le but d’établir la violation et de l’invoquer à l’encontre dudit responsable ?
Dans l’affirmative : est-il possible de considérer qu’il y a préjudice moral même lorsque de telles violations sont provoquées en grand nombre de manière automatisée ?
3) S’il convient de répondre par l’affirmative aux deux branches de la deuxième question :
Convient-il d’interpréter l’article 82, paragraphe 1, du RGPD en ce sens que, lorsqu’il a été procédé de la façon décrite dans la deuxième question, il est possible de rejeter une demande de réparation d’un préjudice moral en raison du comportement abusif de la personne concernée, parce que, bien que, formellement, les conditions prévues dans la disposition du droit de l’Union soient respectées, l’objectif de cette disposition n’a pas été atteint et qu’il y avait une intention de profiter d’un avantage résultant de celle-ci en créant artificiellement les conditions d’obtention de cet avantage ? Importe-t-il à cet égard de savoir si l’obtention d’un avantage financier était la seule motivation pour provoquer la violation du règlement ? »
25. Il n’a pas été tenu d’audience.
IV. Analyse
A. Sur la première question préjudicielle
26. Par sa première question, la juridiction de renvoi demande, en substance, si l’article 4, point 1, du RGPD doit être interprété en ce sens qu’une adresse IP dynamique transmise automatiquement par l’exploitant d’un site Internet constitue une donnée à caractère personnel dès lors qu’un tiers dispose des informations supplémentaires nécessaires à l’identification de la personne concernée, ou lorsque le responsable de la transmission ou son destinataire disposent de moyens susceptibles d’être raisonnablement mis en œuvre afin d’identifier la personne concernée, le cas échéant avec l’aide d’un tiers et, dans l’affirmative, si une possibilité légale d’identification est suffisante ou s’il faut encore que ses conditions de mise en œuvre soient réunies en fait et en droit.
27. La juridiction de renvoi interroge donc la Cour sur les circonstances dans lesquelles une adresse IP dynamique est susceptible de constituer une donnée à caractère personnel au sens de l’article 4, point 1, de ce règlement.
28. Selon cette disposition, est une donnée à caractère personnel toute information se rapportant à une personne physique identifiée ou identifiable, étant précisé qu’est réputée être une « “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».
29. Il ressort à cet égard de la jurisprudence de la Cour que l’utilisation par le législateur de l’Union du terme « indirectement » tend à indiquer que, afin de qualifier une information de « donnée à caractère personnel », il n’est pas nécessaire que cette information permette, à elle seule, d’identifier la personne concernée (6). Au contraire, la Cour souligne qu’il découle de l’article 4, point 5, du RGPD, lu en combinaison avec le considérant 26 de ce règlement, que les données à caractère personnel qui pourraient être attribuées à une personne physique par le recours à des informations supplémentaires doivent être considérées comme des informations concernant une personne physique identifiable (7).
30. En outre, ce considérant 26 précise que « [p]our déterminer si une personne est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage » (8). Il est donc constant que ce libellé suggère que, pour qu’une donnée puisse être qualifiée de « donnée à caractère personnel », au sens de l’article 4, point 1, dudit règlement, il n’est pas requis que toutes les informations permettant d’identifier la personne concernée se trouvent entre les mains d’une seule personne (9).
31. C’est précisément autour de cette exigence que le débat s’est polarisé, tant en doctrine que dans les ordres juridiques nationaux (10), en particulier allemand (11). En effet, quant au point de savoir si un utilisateur est identifiable en raison de l’existence d’informations permettant de procéder à cette identification aux mains de plusieurs entités différentes, deux courants de pensée s’opposent, l’un « absolu », l’autre « relatif » (12).
1. L’adoption d’une approche « relative » de la notion de « donnée à caractère personnel » au sens de l’article 4, point 1, du RGPD : la prise en compte de la perspective du destinataire de la transmission
32. Selon l’approche « absolue » de la notion de « donnée à caractère personnel », une information est considérée comme une donnée à caractère personnel dès lors qu’un tiers, quel qu’il soit, est en mesure d’identifier la personne en combinant cette information à d’autres données.
33. Selon l’approche « relative », une information est une donnée à caractère personnel lorsque la personne ayant accès à celle-ci a, ou peut raisonnablement obtenir, les moyens nécessaires pour identifier l’utilisateur. Autrement dit, la qualification de « donnée à caractère personnel » dépend de l’entité ayant accès à cette information. Lorsque cette dernière est en mesure d’identifier la personne physique à laquelle l’information se rapporte, ladite information doit être considérée comme une donnée à caractère personnel à l’égard de cette entité seulement.
34. S’agissant de l’interprétation de la notion de « donnée à caractère personnel » au sens de l’article 4, point 1, du RGPD, la Cour a, au fil de sa jurisprudence, favorisé l’approche relative.
35. Ainsi, dès l’arrêt Breyer, la Cour juge « qu’une adresse IP dynamique enregistrée par un fournisseur de services de médias en ligne [...] constitue, à l’égard dudit fournisseur, une donnée à caractère personnel » dès lors qu’il dispose de moyens susceptibles d’être raisonnablement mis en œuvre afin de faire identifier, à l’aide d’autres personnes, la personne concernée sur la base de l’adresse IP concernée (13).
36. Dans le même ordre d’idées, la Cour juge que le numéro d’identification d’un véhicule, bien que dépourvu, en tant que tel, de caractère « personnel », « acquiert ce caractère à l’égard de quiconque dispose raisonnablement de moyens permettant de l’associer à une personne déterminée » (14).
37. De la même façon, la Cour juge que des informations contenues dans un communiqué de presse constituent des données à caractère personnel au sens de l’article 4, point 1, du RGPD dans la mesure où elles sont de nature à permettre l’identification de la personne visée par ce communiqué « pour des personnes travaillant dans le même domaine scientifique » (15).
38. Plus récemment encore, elle énonce clairement que la perspective pertinente pour apprécier le caractère identifiable de la personne concernée dépend essentiellement des circonstances caractérisant le traitement des données dans chaque cas particulier (16). Ainsi, la qualification d’une information de « donnée à caractère personnel » ne dépend pas de la possibilité abstraite d’une identification de la personne concernée, mais doit être appréciée in concreto, du point de vue de la personne ou l’entité ayant accès à l’information en cause.
39. Dans la configuration particulière d’un transfert de données, telle qu’elle se présente dans l’affaire au principal, se pose alors la question de la perspective à adopter afin de déterminer si les données en cause peuvent être qualifiées de « données à caractère personnel » au sens de l’article 4, point 1, du RGPD. La jurisprudence de la Cour fournit à cet égard des indications précises.
40. Elle juge ainsi que, lorsque des opérateurs indépendants peuvent raisonnablement disposer des moyens leur permettant de rattacher un numéro d’identification d’un véhicule à une personne physique identifiée ou identifiable, cette information constitue pour eux une donnée à caractère personnel, ainsi que, indirectement, pour les constructeurs automobiles qui le mettent à disposition même si ce numéro n’est pas, en soi, pour ces derniers, une donnée à caractère personnel (17). Autrement dit, des données en soi impersonnelles peuvent acquérir un caractère « personnel » lorsque le responsable du traitement les met à disposition d’autres personnes disposant de moyens raisonnablement susceptibles de permettre l’identification de la personne concernée (18). Dans le contexte d’une telle mise à disposition, ces données présentent un caractère personnel tant pour ces personnes que, indirectement, pour le responsable du traitement.
41. Ainsi, lorsque, dans le cadre d’une transmission automatique d’une adresse IP dynamique, le destinataire de la donnée en question dispose de moyens raisonnablement susceptibles de permettre une identification de la personne concernée, cette adresse IP dynamique constitue une donnée à caractère personnel au sens de l’article 4, point 1, du RGPD tant à l’égard du destinataire de la transmission automatique de l’adresse IP que de la personne ou l’entité ayant procédé à cette transmission, et ce quand bien même à l’égard de cette dernière une telle donnée ne présente pas, en soi, un caractère personnel.
42. Bien plus, s’agissant de l’éventuelle qualification d’une adresse IP dynamique de « donnée à caractère personnel » à l’occasion de sa transmission automatique, il me semble qu’il importe peu de savoir si cette donnée est directement, à l’égard de la personne à l’origine de la transmission, une donnée à caractère personnel. En effet, le fait que cette personne puisse rattacher l’identité de la personne à son adresse IP dynamique me semble sans pertinence dans la mesure où elle ne transmet que cette adresse IP dynamique et non, à supposer même qu’elle en dispose, l’identité de la personne à laquelle elle se rattache. Une analogie est permise avec la transmission à un tiers de données ayant fait l’objet d’une pseudonymisation. Dans une telle situation, que l’acteur ayant procédé à cette pseudonymisation dispose des informations permettant l’identification des utilisateurs n’est pas pertinent pour apprécier le caractère personnel des informations : il s’agit avant tout de déterminer si le destinataire des données est en mesure de procéder à leur identification (19).
43. Dans une situation telle que celle en cause au principal, où seule l’adresse IP dynamique est automatiquement transmise, il importe donc de déterminer si cette donnée présente un caractère personnel à l’égard du destinataire de la transmission, en ce qu’il dispose de moyens raisonnablement susceptibles de permettre une identification de la personne à laquelle se rattache l’adresse IP dynamique automatiquement transmise, de sorte qu’elle constitue une donnée à caractère personnel également pour l’entité émettrice, indirectement.
44. Ce faisant, il ne me paraît pas utile de me pencher sur la deuxième partie de la première question soulevée par la juridiction de renvoi, visant à déterminer si l’adresse IP dynamique peut être considérée comme une donnée à caractère personnel à l’égard de l’entité émettrice de la transmission directement, en raison de l’existence, pour elle, de possibilités légales d’identification de la personne à laquelle cette adresse IP se rattache. Une telle question aurait seulement eu son importance s’il ressortait de l’analyse de la jurisprudence de la Cour que celle-ci avait opté pour une approche absolue de la notion de « donnée à caractère personnel ». Tel n’étant pas le cas, seule la perspective de l’entité destinataire de la transmission me semble pertinente à cet égard.
2. Les moyens raisonnablement susceptibles d’être mis en œuvre pour identifier la personne concernée
45. Je souligne que si un tel examen revient, in fine, à la juridiction de renvoi, la jurisprudence de la Cour définit toutefois les éléments devant être pris en compte dans le cadre de cet examen. Il lui appartient en tout état de cause de fournir à celle-ci les éléments d’interprétation utiles aux fins de cette appréciation.
46. Le considérant 26 du RGPD énonce que « [p]our établir si des moyens sont raisonnablement susceptibles d’être utilisés pour identifier une personne physique, il convient de prendre en considération l’ensemble des facteurs objectifs, tels que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l’évolution de celles-ci ».
47. La Cour précise à cet égard qu’un moyen n’est pas susceptible d’être raisonnablement mis en œuvre pour identifier la personne concernée lorsque l’identification de cette personne est interdite par la loi ou irréalisable en pratique, par exemple en raison du fait qu’elle impliquerait un effort démesuré en termes de temps, de coût et de main-d’œuvre, de sorte que le risque d’une identification paraît en réalité insignifiant (20).
48. Ainsi, il me semble ressortir de la jurisprudence que le critère central pour déterminer s’il existe des moyens raisonnablement susceptibles d’être mis en œuvre pour identifier la personne est l’existence d’un risque d’une identification.
49. En outre, je rappelle que la Cour souligne de façon constante l’objectif du législateur de l’Union d’attribuer un sens large à la notion de « donnée à caractère personnel » (21). De même, l’un des objectifs du RGPD est d’assurer un niveau élevé de protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel (22). Dès lors, il me semble que le niveau de risque d’identification permettant de qualifier l’existence de moyens raisonnablement susceptibles d’être mis en œuvre pour permettre une telle identification, et, par là même, l’existence d’une donnée à caractère personnel, devrait être interprété comme étant un niveau relativement bas.
50. Autrement dit, il ne s’agit pas de démontrer un risque avéré et sans aucun doute réalisable, mais seulement qu’il existe un risque qui ne soit pas insignifiant.
51. À cet égard, je relève que l’adresse IP dynamique automatiquement transmise à Google par les exploitants de sites Internet ayant recours au service Google Fonts dans sa configuration par défaut fait partie d’un ensemble bien plus large de données récoltées par ce dernier (23), qui, combinées entre elles, peuvent permettre de tirer des conclusions précises sur la vie privée des utilisateurs. En effet, l’objectif même de cette collecte est de personnaliser et d’améliorer les services proposés à un utilisateur selon ses préférences et habitudes de navigation. Ce faisant, l’adresse IP dynamique collectée par Google par l’intermédiaire de son service peut faire l’objet d’un recoupement avec ces autres données.
52. Si lesdites données ne permettent pas, prises isolément, d’identifier la personne en cause, il appartient toutefois à la juridiction de renvoi de vérifier si leur combinaison peut conduire à ce résultat. Dans une telle situation, il existerait un risque non insignifiant que Google puisse procéder, par la combinaison de l’adresse IP dynamique automatiquement transmise et des données qu’il collecte par lui-même, à l’identification d’un utilisateur (24), de sorte qu’il devrait être conclu que Google dispose de moyens raisonnablement susceptibles d’être mis en œuvre pour identifier la personne à laquelle se rattache l’adresse IP automatiquement transmise lors de l’utilisation de son service Google Fonts. Ce faisant, cette dernière constituerait, à son égard, une donnée à caractère personnel au sens de l’article 4, point 1, du RGPD.
53. Selon la jurisprudence de la Cour, il en résulterait également que cette adresse IP dynamique constitue également, indirectement, une donnée à caractère personnel à l’égard de l’entité émettrice.
54. Une telle solution ne me paraît toutefois pas pleinement satisfaisante. En effet, elle impliquerait que l’entité émettrice soit considérée comme traitant une donnée à caractère personnel. De cette façon, elle serait soumise à l’ensemble des obligations prévues par le RGPD à la charge des responsables de traitement, selon une circonstance exclusivement extérieure à elle, à savoir si le destinataire de la transmission peut procéder à l’identification de la personne concernée. Plus encore, il ne m’apparaît pas déraisonnable de considérer que, dans un grand nombre de situations, l’entité à l’origine de la transmission n’a en réalité aucun moyen de savoir si le destinataire dispose de tels moyens, voire ignore qu’une telle donnée lui est transmise.
55. Il en résulterait que la personne ou l’entité à l’origine d’une telle transmission pourrait être tenue responsable d’une violation des dispositions de ce règlement alors même qu’elle n’a ni conscience qu’il s’agit d’une donnée à caractère personnel ni qu’elle en opère un traitement.
56. Ce faisant, je suis d’avis que, afin de qualifier de « donnée à caractère personnel » une adresse IP dynamique transmise automatiquement à une entité tierce au sens de l’article 4, point 1, dudit règlement, il faut non seulement que cette entité dispose de moyens raisonnablement susceptibles d’être mis en œuvre pour identifier la personne concernée, mais également que la personne ou l’entité à l’origine de la transmission sache, ou ait dû savoir, que tel était le cas.
3. La proposition de réponse à la première question
57. Dans ces conditions, il convient, selon moi, de répondre à la première question préjudicielle que l’article 4, point 1, du RGPD doit être interprété en ce sens qu’une adresse IP dynamique transmise automatiquement par un exploitant d’un site Internet à une entité tierce qui dispose de moyens raisonnablement susceptibles d’être mis en œuvre pour identifier la personne en cause est une donnée à caractère personnel à l’égard de cette entité, directement, et à l’égard de l’exploitant du site Internet, indirectement lorsque ce dernier sait, ou aurait dû savoir, que tel était le cas.
B. Sur la deuxième question préjudicielle
58. Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’un dommage moral peut être reconnu lorsque la personne concernée a sciemment provoqué une violation de ce règlement, de manière automatisée et répétée, afin d’en obtenir réparation.
59. La juridiction de renvoi interroge donc la Cour sur les conditions de mise en œuvre du droit à réparation prévu à l’article 82, paragraphe 1, dudit règlement, en particulier sur l’existence d’un dommage moral au sens de cette disposition.
60. Plus précisément, elle cherche à déterminer si le fait que la personne concernée ait délibérément provoqué la violation du même règlement en cause, à grande échelle et de façon automatique, peut faire échec à la mise en œuvre de l’article 82, paragraphe 1, du RGPD.
61. La réponse à ces questions me semble pouvoir être déduite de la jurisprudence la plus récente de la Cour.
62. Ainsi, il ressort d’une jurisprudence constante que le RGPD n’opère pas de renvoi au droit des États membres en ce qui concerne le sens et la portée des termes figurant à l’article 82, paragraphe 1, de ce règlement, en particulier s’agissant des notions de « dommage matériel ou moral » et de « réparation du préjudice subi ». Ces termes doivent donc être considérés, aux fins de l’application dudit règlement, comme constituant des notions autonomes du droit de l’Union, qui doivent être interprétées de manière uniforme dans l’ensemble des États membres (25).
63. Par ailleurs, toute violation des dispositions du même règlement ne saurait ouvrir, à elle seule, un droit à réparation au profit de la personne concernée. Il ressort clairement des termes de l’article 82, paragraphe 1, du RGPD que l’existence d’un « dommage » ou d’un « préjudice » ayant été « subi » constitue l’une des conditions du droit à réparation prévues à cette disposition, tout comme l’existence d’une violation de ce règlement et d’un lien de causalité entre ce dommage et cette violation, ces trois conditions étant cumulatives (26).
64. Dès lors, la personne demandant réparation d’un dommage ou d’un préjudice moral sur le fondement de ladite disposition est tenue d’établir non seulement la violation de dispositions dudit règlement, mais également que cette violation lui a causé un tel dommage ou un tel préjudice. Un tel dommage ou un tel préjudice ne saurait donc seulement être présumé en raison de la survenance de ladite violation (27).
65. S’agissant précisément du dommage moral, il ressort de la jurisprudence de la Cour que, selon la liste illustrative des « dommages » susceptibles d’être subis par les personnes concernées figurant au considérant 85, première phrase, du même règlement, le législateur de l’Union a entendu inclure dans ces notions, notamment, la simple « perte de contrôle » sur leurs propres données à caractère personnel, à la suite d’une violation du RGPD, quand bien même un usage abusif des données en cause ne se serait pas produit concrètement (28).
66. En outre, la Cour reconnaît que la crainte engendrée par la perte de contrôle de la personne concernée sur ses données en raison de la violation de ce règlement peut donner lieu à réparation au titre de l’article 82, paragraphe 1, dudit règlement lorsque cette crainte peut être considérée comme étant fondée, dans les circonstances spécifiques en cause et au regard de la personne concernée, ce que la juridiction nationale doit vérifier (29).
67. Dès lors, afin de déterminer si la personne concernée a subi un dommage moral du fait de la violation du même règlement lorsque cette violation a été provoquée de façon délibérée, automatisée, et répétée par cette personne, il y a lieu de vérifier si celle-ci peut, dans ces circonstances, se prévaloir d’une perte de contrôle de ses données ou, à tout le moins, d’une crainte fondée de leur utilisation abusive en lien avec ladite violation.
68. Si cet examen appartient là encore, in fine, à la juridiction de renvoi à la lumière de toutes les circonstances de l’espèce, je relève toutefois que tel ne me semble pas être le cas.
69. D’une part, je suis d’avis que, dans une situation où la personne concernée a recherché les exploitants de site Internet susceptibles de transmettre son adresse IP à une entité tierce en violation des dispositions du RGPD, pour procéder à la consultation de ces sites et réclamer, ensuite, une compensation financière pour la violation ainsi subie, la personne concernée n’a aucunement perdu le contrôle de ses données. Au contraire, les données à caractère personnel la concernant ont précisément été utilisées de la façon dont elle l’avait prévu.
70. Il en va de même, d’autre part, de la crainte d’une utilisation abusive de ses données engendrée par la violation de ce règlement. En effet, le caractère répété et à grande échelle (30) de la consultation de sites Internet afin de provoquer une transmission de son adresse IP à une entité tierce me semble indiquer que la personne concernée ne nourrissait nullement la crainte d’une utilisation abusive de ses données. Bien plus, cette dernière avait mis au point un logiciel destiné précisément à cet effet, de sorte que le procédé mis en œuvre me semble indiquer que, à tout le moins, la personne concernée était prête à courir le risque d’une utilisation de son adresse IP.
71. Partant, je suis d’avis que l’article 82, paragraphe 1, dudit règlement devrait être interprété en ce sens qu’un préjudice moral ne saurait être reconnu lorsque la personne concernée a sciemment provoqué une violation de ce même règlement, de manière automatisée et répétée, afin d’en obtenir réparation.
72. Ce faisant, il ne m’apparaît pas utile de me pencher sur la troisième question, portant sur la possibilité de rejeter une demande en réparation au titre de l’article 82, paragraphe 1, du RGPD, lorsqu’une telle demande est constitutive d’un abus de droit. Toutefois, je procéderai à un tel examen, pour le cas où la Cour jugerait que, dans des circonstances telles que celles en cause au principal, un dommage moral peut être reconnu dans le chef de la personne concernée.
C. Sur la troisième question préjudicielle
73. Par sa troisième question, la juridiction demande, en substance, si l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce qu’une personne ayant subi un préjudice moral du fait d’une violation de ce règlement puisse obtenir réparation de ce préjudice lorsque cette demande méconnaît le principe général du droit selon lequel les justiciables ne sauraient frauduleusement ou abusivement se prévaloir des normes du droit de l’Union et, le cas échéant, dans quelles conditions.
74. La juridiction de renvoi interroge plus particulièrement la Cour sur la mise en œuvre du principe de l’interdiction de l’abus de droit dans une situation dans laquelle la personne concernée recherche essentiellement, mais non exclusivement, par l’introduction d’une demande sur le fondement de l’article 82, paragraphe 1, dudit règlement l’obtention d’un gain financier.
75. À cet égard, il ressort d’une jurisprudence établie de la Cour qu’il découle du principe général de droit de l’Union interdisant aux justiciables de se prévaloir frauduleusement ou abusivement des normes de ce droit qu’un État membre doit refuser, même en l’absence de dispositions du droit national prévoyant un tel refus, le bénéfice des normes du droit de l’Union lorsque celles-ci sont invoquées par une personne non pas en vue de réaliser les objectifs de ces normes, mais dans le but de bénéficier d’un avantage accordé à cette personne par le droit de l’Union, alors que les conditions objectives requises aux fins de l’obtention de l’avantage recherché, prévues par le droit de l’Union, ne sont que formellement remplies (31).
76. Ainsi que le souligne la juridiction de renvoi, la preuve d’une pratique abusive nécessite, d’une part, un ensemble de circonstances objectives desquelles il résulte que, malgré un respect formel des conditions prévues par la réglementation applicable de l’Union, l’objectif poursuivi par cette réglementation n’a pas été atteint et, d’autre part, un élément subjectif consistant en la volonté d’obtenir un avantage résultant de ladite réglementation en créant artificiellement les conditions requises pour son obtention (32).
77. Il appartient ainsi à la juridiction de renvoi de vérifier l’existence d’une pratique abusive en prenant en compte tous les faits et les circonstances de l’espèce. La Cour peut toutefois fournir à cette juridiction l’ensemble des éléments d’interprétation du droit de l’Union destinés à faciliter son appréciation (33).
78. S’agissant précisément de l’élément subjectif tenant à l’objectif visé par la personne concernée en créant artificiellement les conditions requises pour son obtention, à propos duquel la juridiction de renvoi cherche une clarification, je relève que, dans les circonstances de l’espèce, la personne concernée a introduit des milliers de demandes de compensation financière en contrepartie de l’abandon des poursuites relatives au dommage prétendument subi du fait de la transmission automatique de son adresse IP à une entité tierce. Au préalable, elle a donc consulté le même nombre de sites Internet, de façon automatisée, sans intérêt pour leur contenu dès lors que ces sites étaient sélectionnés au moyen d’un web crawler en raison de leur intégration du service Google Fonts dans sa version par défaut.
79. Ce faisant, il me semble que la personne concernée a fourni, en masse, ses données personnelles, sans y être contrainte et dans le but premier de pouvoir se prévaloir d’une violation du RGPD afin d’obtenir une compensation financière. En outre, elle a, en l’espèce, accepté un gain financier en contrepartie de l’abandon des poursuites. Ces éléments me poussent à considérer que la personne concernée visait avant tout et à titre principal l’obtention d’une contrepartie financière et a, de fait, causé le dommage allégué en soumettant ses données dans le but de créer artificiellement les conditions requises aux fins de l’application des dispositions du RGPD.
80. La personne concernée fait valoir qu’elle cherchait, dans le même temps, à attirer l’attention des exploitants de sites Internet sur le problème de protection des données à caractère personnel posé par l’intégration de Google Fonts. Cet élément ne m’apparaît cependant pas susceptible de remettre en cause cette conclusion.
81. En effet, d’une part, l’existence d’une intention abusive peut être constatée lorsque la personne concernée poursuit une finalité autre que celle visée par la réglementation de l’Union (34), sans qu’il ressorte de la jurisprudence de la Cour qu’une telle finalité doive nécessairement être exclusive.
82. D’autre part, et en tout état de cause, si l’action de la personne concernée peut avoir eu pour effet d’attirer l’attention des exploitants de sites Internet sur la configuration choisie pour l’intégration du service Google Fonts, il reste que l’objectif premier de cette dernière était l’obtention d’un gain financier.
83. Une analogie avec l’arrêt M.I.C.M. (35)est particulièrement éclairante à cet égard. Dans cette affaire, était soumise à l’appréciation de la Cour la pratique du copyright troll, par laquelle une entreprise acquiert des droits d’exploitation sur une œuvre protégée dans le seul but de pouvoir utiliser les procédures judiciaires afin d’obtenir les noms et adresses des utilisateurs des réseaux de pair à pair (peer-to-peer) pour, ensuite, envoyer à ces utilisateurs des demandes d’indemnités au titre de prétendus dommages subis par ces entreprises, sous menace de poursuites judiciaires (36).
84. La Cour a jugé que, afin d’établir l’existence d’un abus de droit en raison d’une telle pratique, la juridiction de renvoi pourrait notamment examiner le mode opératoire desdites entreprises, en évaluant la manière dont celles-ci proposent des solutions amiables aux contrevenants présumés et en vérifiant si elles introduisent réellement des actions en justice en cas de refus de solution amiable. Elle pourrait également examiner s’il apparaît, au regard de l’ensemble des circonstances particulières du cas d’espèce, que ces mêmes entreprises tentent en réalité, sous couvert de propositions de solutions à l’amiable en raison de prétendues contraventions, à extraire des revenus économiques de l’affiliation même des utilisateurs concernés à un réseau de pair à pair, sans chercher spécifiquement à combattre les atteintes au droit d’auteur que ce réseau provoque (37).
85. Autrement dit, la Cour relève que, si une telle pratique contribue assurément à combattre les atteintes au droit d’auteur sur un réseau de pair à pair, cela ne suffit pas à évacuer l’existence d’un possible abus de droit s’il ressort par ailleurs de l’examen mené par la juridiction de renvoi que l’objectif premier des entreprises en cause était en réalité l’obtention d’un gain financier.
86. Dès lors, l’existence de conséquences vertueuses mais accessoires ne saurait, selon moi, conduire à considérer que le comportement de la personne concernée ne visait pas la création artificielle des conditions requises pour l’obtention d’une réparation aux termes de l’article 82, paragraphe 1, du RGPD.
87. Partant, je suis d’avis que, dans l’hypothèse où la Cour conclurait à l’existence d’un dommage moral dans le chef de la personne concernée, l’article 82, paragraphe 1, de ce règlement doit être interprété en ce sens qu’il s’oppose à ce qu’une personne ayant subi un préjudice moral du fait d’une violation dudit règlement puisse obtenir réparation de ce préjudice lorsque cette demande méconnaît le principe général du droit selon lequel les justiciables ne sauraient frauduleusement ou abusivement se prévaloir des normes du droit de l’Union. La preuve d’une pratique abusive nécessite, d’une part, un ensemble de circonstances objectives desquelles il résulte que, malgré un respect formel des conditions prévues par la réglementation applicable de l’Union, l’objectif poursuivi par cette réglementation n’a pas été atteint et, d’autre part, un élément subjectif consistant en la volonté d’obtenir un avantage résultant de ladite réglementation en créant artificiellement les conditions requises pour son obtention. Le fait que la volonté d’obtenir un tel avantage ne soit pas l’objectif unique de la personne concernée mais seulement l’objectif principal n’est pas pertinent à cet égard.
V. Conclusion
88. Eu égard à l’ensemble des considérations qui précèdent, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par le Bundesgerichtshof (Cour fédérale de justice, Allemagne) :
1) L’article 4, point 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),
doit être interprété en ce sens que :
une adresse IP dynamique transmise automatiquement par un exploitant d’un site Internet à une entité tierce, qui dispose de moyens raisonnablement susceptibles d’être mis en œuvre pour identifier la personne en cause, est une donnée à caractère personnel à l’égard de cette entité, directement, et à l’égard de l’exploitant du site Internet, indirectement lorsque ce dernier sait, ou aurait dû savoir, que tel était le cas.
2) L’article 82, paragraphe 1, du règlement 2016/679,
doit être interprété en ce sens que :
un préjudice moral ne saurait être reconnu lorsque la personne concernée a sciemment provoqué une violation de ce règlement, de manière automatisée et répétée, afin d’en obtenir réparation.
1 Langue originale : le français.
i Le nom de la présente affaire est un nom fictif. Il ne correspond au nom réel d’aucune partie à la procédure.
2 JO 2016, L 119, p. 1, ci-après le « RGPD ».
3 C‑582/14, ci-après l’« arrêt Breyer », EU:C:2016:779.
4 La juridiction de renvoi invoque, à cet égard, l’arrêt du 4 octobre 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, points 143 à 145).
5 La juridiction de renvoi invoque notamment, à cet égard, les arrêts du 21 décembre 2023, BMW Bank e.a. (C-38/21, C-47/21 et C-232/21, EU:C:2023:1014, point 287) et du 9 janvier 2025, Österreichische Datenschutzbehörde (Demandes excessives) (C-416/23, EU:C:2025:3, point 49).
6 Voir, par analogie, arrêts Breyer (point 41) et du 7 mars 2024, IAB Europe (C‑604/22, EU:C:2024:214, point 39). Je souligne ici que la jurisprudence développée par la Cour relativement à la notion de « donnée à caractère personnel » et plus particulièrement au caractère identifiable d’une information a été développée en partie avant l’entrée en vigueur du RGPD, ou en lien avec un règlement voisin et spécifique, tel que le règlement (UE) 2018/1725 du Parlement européen et du Conseil, du 23 octobre 2018, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO 2018, L 295, p. 39). Qu’il s’agisse de ce dernier texte ou de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), qui précédait le RGPD, la définition de la notion de « donnée à caractère personnel » y figurant est en tout point identique à celle de l’article 4, point 1, de ce règlement. Dès lors, dans un souci de simplification, je me référerai par analogie à la jurisprudence pertinente, sans préciser nécessairement quelle était la disposition exacte sous examen, pour l’interprétation de l’article 4, point 1, dudit règlement.
7 Arrêts du 5 décembre 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, point 43) et du 7 mars 2024, IAB Europe (C‑604/22, EU:C:2024:214, point 39).
8 Italique ajouté par mes soins.
9 Voir, par analogie, arrêts Breyer (point 43) et du 7 mars 2024, IAB Europe (C‑604/22, EU:C:2024:214, point 40).
10 Voir, pour un exposé détaillé des différents courants doctrinaux et devant les juridictions nationales, Andersen, K. B. H., « Pseudonymised (Personal) Data as Resolution: The Final Chapter in the Legal Saga of Third-Country Transfers? », European Data Protection Law Review, vol. 11, no 3, 2025, p. 312-332.
11 Ainsi que l’avait déjà souligné l’avocat général Campos Sánchez-Bordona dans ses conclusions dans l’affaire Breyer (C‑582/14, EU:C:2016:339, point 52).
12 Voir, sur les différentes approches relative et absolue, Lubasz, D. et Szkurłat, A., « Relatywizacja pojęcia danych osobowych w świetle orzecznictwa polskich sądów administracyjnych i powszechnych », Monitor Prawniczy, no 23, 2021, p. 1575.
13 Arrêt Breyer (points 48 et 49). Italique ajouté par mes soins.
14 Arrêt du 9 novembre 2023, Gesamtverband Autoteile-Handel (Accès aux informations sur les véhicules) (C‑319/22, EU:C:2023:837, point 46). Italique ajouté par mes soins.
15 Arrêt du 7 mars 2024, OC/Commission (C‑479/22 P, EU:C:2024:215, point 61). Italique ajouté par mes soins.
16 Arrêt du 4 septembre 2025, CEPD/CRU (Notion de données à caractère personnel) (C‑413/23 P, EU:C:2025:645, point 100).
17 Arrêt du 9 novembre 2023, Gesamtverband Autoteile-Handel (Accès aux informations sur les véhicules) (C‑319/22, EU:C:2023:837, point 49).
18 Arrêt du 4 septembre 2025, CEPD/CRU (Notion de données à caractère personnel) (C‑413/23 P, EU:C:2025:645, point 84).
19 Voir, sur la notion de « données à caractère personnel » dans le cadre d’un processus de pseudonymisation, arrêt du 4 septembre 2025, CEPD/CRU (Notion de données à caractère personnel) (C‑413/23 P, EU:C:2025:645, points 68 à 89).
20 Arrêts Breyer (point 46) et du 7 mars 2024, OC/Commission (C‑479/22 P, EU:C:2024:215, point 51).
21 Arrêts du 7 mars 2024, OC/Commission (C‑479/22 P, EU:C:2024:215, point 45) et IAB Europe (C‑604/22, EU:C:2024:214, point 36).
22 Considérant 10 du RGPD.
23 Il ressort ainsi des règles de confidentialité et des conditions d’utilisation de Google que celui-ci collecte notamment les identifiants uniques, le type et le paramètre du navigateur et de l’appareil utilisé, les informations relatives aux interactions entre les applications, les navigateurs, les appareils des utilisateurs et les services de Google, telles que les rapports d’erreur, l’activité du système, ainsi que la date, l’heure et l’URL de provenance de la demande. De même, sont collectées les informations relatives à l’activité des utilisateurs telles que les termes recherchés, les vidéos regardées, l’activité relative aux achats, les personnes avec lesquelles l’utilisateur communique ou partage du contenu. Sont collectées également l’adresse IP de l’utilisateur de Google ainsi que des données de localisation.
24 Voir, sur les développements techniques facilitant l’identification des personnes physiques, Finck, M. et Pallas, F., « They who must not be identified – distinguishing personal from non-personal data under the GDPR », International Data Privacy Law, vol. 10, no 1, 2020, p. 11-36.
25 Arrêts du 4 mai 2023, Österreichische Post (Préjudice moral lié au traitement de données personnelles) (C‑300/21, EU:C:2023:370, point 30) ; du 4 septembre 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, point 55) et du 19 mars 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, point 58).
26 Arrêts du 4 mai 2023, Österreichische Post (Préjudice moral lié au traitement de données personnelles) (C‑300/21, EU:C:2023:370, points 31 à 33) ; du 4 septembre 2025, Quirin Privatbank (C‑655/23, EU:C:2025:655, point 56) et du 19 mars 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, point 59).
27 Arrêt du 19 mars 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, point 60).
28 Arrêt du 19 mars 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, point 61).
29 Arrêt du 19 mars 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, point 63).
30 Selon la juridiction de renvoi, le procédé aurait été employé plus de 100 000 fois.
31 Arrêts du 30 octobre 2025, Mercedes-Benz Bank et Volkswagen Bank (C‑143/23, EU:C:2025:837, points 78 et 80) ainsi que du 1er octobre 2026, Premium Food Kebab (C‑209/25, EU:C:2026:804, point 32).
32 Arrêts du 30 octobre 2025, Mercedes-Benz Bank et Volkswagen Bank (C‑143/23, EU:C:2025:837, point 81) et du 1er octobre 2026, Premium Food Kebab (C‑209/25, EU:C:2026:804, point 33).
33 Arrêt du 1er octobre 2026, Premium Food Kebab (C‑209/25, EU:C:2026:804, point 34).
34 Arrêt du 19 mars 2026, Brillen Rottler (C‑526/24, EU:C:2026:216, point 40).
35 Arrêt du 17 juin 2021 (C‑597/19, EU:C:2021:492).
36 Voir, pour une description plus détaillée de cette pratique, mes conclusions dans l’affaire M.I.C.M. (C‑597/19, EU:C:2020:1063, points 1 et suiv.).
37 Arrêt du 17 juin 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, point 95).