La Cour de justice de l'Union européenne, dans l'affaire C-413/23 P, a précisé la portée de la notion de "données à caractère personnel" et l'obligation d'information du responsable de traitement lors d'un transfert de données pseudonymisées à un tiers.

Le litige opposait le Contrôleur européen de la protection des données (CEPD) au Conseil de résolution unique (CRU) suite au transfert par ce dernier de commentaires pseudonymisés d'actionnaires de la Banque Populaire Espagnole à la société Deloitte. Le CEPD avait conclu à une violation de l'obligation d'information prévue par le règlement 2018/1725, décision qui fut annulée par le Tribunal de l'Union européenne avant que la Cour de justice ne soit saisie d'un pourvoi. La Cour a annulé l'arrêt du Tribunal, jugeant que:

* le Tribunal a commis une erreur de droit en jugeant que le CEPD, pour conclure que les informations ressortant des commentaires transmis à Deloitte « se rapportaient », au sens du règlement 2018/1725, aux personnes ayant soumis ces commentaires, aurait dû examiner le contenu, la finalité ou les effets de ces commentaires, alors qu’il était constant que ceux-ci exprimaient l’opinion ou le point de vue personnel de leurs auteurs.
* Il découle de la jurisprudence que la perspective pertinente pour apprécier le caractère identifiable de la personne concernée dépend essentiellement des circonstances caractérisant le traitement des données dans chaque cas particulier.
* Le caractère identifiable de la personne concernée doit être apprécié au moment de la collecte des données et du point de vue du responsable du traitement