L'autorité croate de protection des données (AZOP) a clarifié le statut juridique des données pseudonymisées transmises à un sous-traitant, en précisant qu'elles demeurent des données personnelles soumises au RGPD lorsque le responsable du traitement conserve la capacité de ré-identification.

Dans un avis, l'autorité a indiqué que des données pseudonymisées transmises par un responsable du traitement à un sous-traitant ne peuvent être qualifiées d'anonymes pour ce dernier s'il agit pour le compte du responsable et que ce dernier conserve la capacité de ré-identifier les personnes concernées. Cette analyse, s'appuyant sur les Lignes directrices 02/2026 du Comité européen de la protection des données (CEPD) et l'arrêt C-413/23 P, retient que la qualification des données doit être appréciée du point de vue du responsable du traitement. Par conséquent, la relation reste soumise aux obligations de l'article 28 du RGPD, et la pseudonymisation constitue une mesure de sécurité et non une exemption à la conclusion d'un contrat de sous-traitance. Si le sous-traitant est situé dans un pays tiers, cette transmission est considérée comme un transfert de données personnelles relevant du chapitre V du RGPD, nécessitant des garanties appropriées comme les clauses contractuelles types.

Le même raisonnement s'applique à la relation entre un sous-traitant et un sous-traitant ultérieur. Même si ce dernier ne peut pas ré-identifier les données, il est lié par les mêmes obligations de protection des données que le sous-traitant principal en vertu de l'article 28, paragraphe 4, du RGPD, dès lors qu'il traite les données dans le cadre de la mission confiée par le responsable du traitement initial. L'autorité conclut que la pseudonymisation ne permet pas d'exclure l'application de l'article 28 tant que le destinataire agit en tant que sous-traitant et que la possibilité de ré-identification est maintenue en amont de la chaîne de traitement.