{"id":19601,"date":"2026-02-17T09:18:18","date_gmt":"2026-02-17T08:18:18","guid":{"rendered":"https:\/\/www.dp-institute.eu\/?p=19601"},"modified":"2026-02-17T09:20:08","modified_gmt":"2026-02-17T08:20:08","slug":"larret-srb-est-totalement-sans-interet-pour-95-des-dpo19601","status":"publish","type":"post","link":"https:\/\/www.dp-institute.eu\/fr\/larret-srb-est-totalement-sans-interet-pour-95-des-dpo19601\/","title":{"rendered":"L\u2019arr\u00eat SRB est totalement sans int\u00e9r\u00eat pour 95 % des DPO"},"content":{"rendered":"<p>R\u00e9dig\u00e9 par : <a href=\"https:\/\/www.dp-institute.eu\/fr\/nos-professeurs\/bart-van-buitenen-2\/\" target=\"_blank\" rel=\"noopener\">Bart Van Buitenen<\/a><\/p>\n<hr \/>\n<h1>L\u2019arr\u00eat SRB est totalement sans int\u00e9r\u00eat pour 95 % des DPO<\/h1>\n<p>\u00ab Voil\u00e0, c\u2019est dit. \u00bb Maintenant que la poussi\u00e8re est quelque peu retomb\u00e9e et que le flot de publications LinkedIn analysant les subtilit\u00e9s de la d\u00e9finition des donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019est tari, il est temps d\u2019examiner ce qu\u2019un DPO sur le terrain peut r\u00e9ellement faire de cet arr\u00eat. Spoiler : pas grand-chose.<\/p>\n<p>Comme tout titre accrocheur, la nuance intervient un ou deux paragraphes plus loin. Dans une perspective plus large relative \u00e0 l\u2019interpr\u00e9tation du RGPD et \u00e0 la notion de donn\u00e9es \u00e0 caract\u00e8re personnel, <a href=\"https:\/\/curia.europa.eu\/site\/upload\/docs\/application\/pdf\/2025-09\/cp250107en.pdf\" target=\"_blank\" rel=\"noopener nofollow\">l\u2019affaire SRB<\/a> est \u00e9videmment int\u00e9ressante. C\u2019est pourquoi de nombreux <a href=\"https:\/\/www.law.kuleuven.be\/citip\/blog\/identifiability-on-trial-insights-from-srb-v-edps\/\" rel=\"nofollow noopener\" target=\"_blank\">articles acad\u00e9miques<\/a> et analyses juridiques lui ont d\u00e9j\u00e0 \u00e9t\u00e9 consacr\u00e9s, et pourquoi DPI l\u2019aborde \u00e9galement lors des sessions <a href=\"https:\/\/www.dp-institute.eu\/fr\/formation\/stay-tuned-as-dpo\/\">Stay Tuned<\/a>. Toutefois, les DPO ont les pieds dans la r\u00e9alit\u00e9 op\u00e9rationnelle de la protection des donn\u00e9es, et pour beaucoup d\u2019entre eux, cette r\u00e9alit\u00e9 semble d\u00e9sormais encore plus complexe.<\/p>\n<h2>Pourquoi l\u2019arr\u00eat SRB a-t-il peu d\u2019impact pour le DPO ?<\/h2>\n<p>Un \u00e9l\u00e9ment trop rarement mentionn\u00e9 concernant l\u2019affaire SRB est le contexte tr\u00e8s sp\u00e9cifique dans lequel l\u2019arr\u00eat a \u00e9t\u00e9 rendu. Comme nous le savons de la jurisprudence de la Cour, toute conclusion doit \u00eatre interpr\u00e9t\u00e9e dans ce contexte pr\u00e9cis. SRB a communiqu\u00e9 des donn\u00e9es sp\u00e9cifiques, d\u2019une mani\u00e8re sp\u00e9cifique, et avait mis en place des mesures sp\u00e9cifiques. Il serait excessif d\u2019en d\u00e9tailler tous les aspects ici, mais il suffit de constater que ce contexte particulier ne s\u2019applique pas \u00e0 de nombreuses situations dans lesquelles l\u2019arr\u00eat SRB est aujourd\u2019hui invoqu\u00e9 avec empressement.<\/p>\n<p><strong>\u00c0 plusieurs reprises, les actions suivantes ont \u00e9t\u00e9 \u00e9voqu\u00e9es \u00e0 la suite de l\u2019arr\u00eat SRB :<\/strong><\/p>\n<ul>\n<li>Identifier les destinataires des donn\u00e9es pseudonymis\u00e9es dans votre d\u00e9claration de confidentialit\u00e9<\/li>\n<li>Examiner vos accords de partage de donn\u00e9es relatifs aux donn\u00e9es pseudonymis\u00e9es<\/li>\n<li>R\u00e9\u00e9valuer vos flux de donn\u00e9es<\/li>\n<\/ul>\n<p>Votre organisation \u00e9change-t-elle fr\u00e9quemment des ensembles de donn\u00e9es complexes pseudonymis\u00e9es ou anonymis\u00e9es ? Dans ce cas, ces recommandations peuvent \u00eatre pertinentes. Mais encore une fois, 95 % des DPO ne travaillent pas dans ce type d\u2019organisation et n\u2019ont donc pas lieu de s\u2019inqui\u00e9ter.<\/p>\n<p>Un <strong>groupe de DPO particuli\u00e8rement concern\u00e9 est celui du secteur de la sant\u00e9<\/strong>. Plusieurs DPO ont indiqu\u00e9 \u00eatre confront\u00e9s \u00e0 des tiers souhaitant acc\u00e9der aux donn\u00e9es d\u00e9tenues par des \u00e9tablissements de soins. Souvent, le m\u00e9decin concern\u00e9 ou la direction y voit \u00e9galement un int\u00e9r\u00eat, ces \u00e9changes pouvant \u00eatre assortis d\u2019une r\u00e9mun\u00e9ration. Ces demandes avaient pr\u00e9c\u00e9demment \u00e9t\u00e9 refus\u00e9es sur avis du DPO, mais les demandeurs reviennent d\u00e9sormais en invoquant l\u2019arr\u00eat SRB.<\/p>\n<p>Le DPO, d\u00e9j\u00e0 fr\u00e9quemment amen\u00e9 \u00e0 opposer un refus, se voit d\u00e9sormais confront\u00e9 \u00e0 des critiques internes : \u00ab Pourtant, la plus haute juridiction a jug\u00e9 que les donn\u00e9es sont anonymes ! \u00bb Votre r\u00e9ponse simple en tant que DPO : \u00ab Pouvez-vous d\u00e9montrer en quoi la situation d\u00e9crite dans l\u2019arr\u00eat SRB s\u2019applique au transfert de donn\u00e9es envisag\u00e9 ? \u00bb Autrement dit, <strong>d\u00e9montrez que les donn\u00e9es dans cette situation sont effectivement anonymes et le demeurent<\/strong>. N\u2019oubliez pas ce dernier point : dans un monde marqu\u00e9 par l\u2019IA, la r\u00e9identification des donn\u00e9es est facilit\u00e9e, et la probabilit\u00e9 que des ensembles de donn\u00e9es complexes soient v\u00e9ritablement anonymes s\u2019en trouve encore r\u00e9duite.<\/p>\n<h2>Parfois, le meilleur conseil est que quelqu\u2019un d\u2019autre doit le donner<\/h2>\n<p>Puisque nous abordons la question de l\u2019anonymisation, les DPO en Belgique ont une responsabilit\u00e9 suppl\u00e9mentaire pr\u00e9vue par la loi relative \u00e0 la protection des donn\u00e9es (\u00e9galement appel\u00e9e loi-cadre). Conform\u00e9ment \u00e0 <a href=\"https:\/\/www.gegevensbeschermingsautoriteit.be\/publications\/kaderwet.pdf\" rel=\"nofollow noopener\" target=\"_blank\">l\u2019article 204<\/a> :<\/p>\n<p style=\"padding-left: 40px;\"><em>Article 204. Lorsqu\u2019un d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es a \u00e9t\u00e9 d\u00e9sign\u00e9 conform\u00e9ment \u00e0 l\u2019article 190, <strong>celui-ci donne des conseils sur l\u2019utilisation des diff\u00e9rentes m\u00e9thodes de pseudonymisation et d\u2019anonymisation, en particulier quant \u00e0 leur efficacit\u00e9 en mati\u00e8re<\/strong> de protection des donn\u00e9es.<\/em><\/p>\n<p>Cette disposition est souvent interpr\u00e9t\u00e9e comme imposant au DPO de confirmer que les donn\u00e9es sont suffisamment anonymis\u00e9es. Je me consid\u00e8re comme un DPO exp\u00e9riment\u00e9, mais d\u00e9clarer anonymes des ensembles de donn\u00e9es complexes d\u00e9passe mes comp\u00e9tences, tout comme conseiller sur les m\u00e9thodes \u00e0 appliquer. Il m\u2019arrive fr\u00e9quemment d\u2019affirmer qu\u2019un ensemble de donn\u00e9es n\u2019est pas anonyme ; je suis beaucoup plus prudent lorsqu\u2019il s\u2019agit d\u2019affirmer l\u2019inverse.<\/p>\n<p>C\u2019est ici que je rappelle un principe essentiel : parfois, le meilleur conseil est que quelqu\u2019un d\u2019autre doit le donner. Il existe des acteurs sp\u00e9cialis\u00e9s, appel\u00e9s trusted third parties (ou \u00ab tiers de confiance \u00bb au sens de l\u2019article 203 de la loi-cadre), ou d\u2019autres experts, susceptibles de rendre un tel avis. Si le responsable du traitement consid\u00e8re la question suffisamment importante, il peut et doit faire appel \u00e0 ce type d\u2019expertise.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>R\u00e9dig\u00e9 par : Bart Van Buitenen L\u2019arr\u00eat SRB est totalement sans int\u00e9r\u00eat pour 95 % des DPO \u00ab Voil\u00e0, c\u2019est dit. \u00bb Maintenant que la poussi\u00e8re est quelque peu retomb\u00e9e et que le flot de publications LinkedIn analysant les subtilit\u00e9s de la d\u00e9finition des donn\u00e9es \u00e0 caract\u00e8re personnel s\u2019est tari, il est temps d\u2019examiner ce [&hellip;]<\/p>\n","protected":false},"author":45,"featured_media":19638,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[612,3],"tags":[],"class_list":["post-19601","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-dpo-fr","category-tout"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts\/19601","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/users\/45"}],"replies":[{"embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/comments?post=19601"}],"version-history":[{"count":4,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts\/19601\/revisions"}],"predecessor-version":[{"id":19642,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/posts\/19601\/revisions\/19642"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/media\/19638"}],"wp:attachment":[{"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/media?parent=19601"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/categories?post=19601"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.dp-institute.eu\/fr\/wp-json\/wp\/v2\/tags?post=19601"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}