Jurisprudence RGPD : les 15 arrêts CJUE à connaître

Le RGPD compte 99 articles. La Cour de justice de l’Union européenne en a rendu, depuis 2018, plus de cent vingt interprétations contraignantes. Autrement dit : le texte que vous lisez sur EUR-Lex n’est plus le droit applicable. Le droit applicable, c’est le texte tel que la Cour l’a interprété — et sur des points aussi centraux que la notion de donnée personnelle, la validité de l’intérêt légitime commercial ou l’assiette de calcul des amendes, la lecture spontanée de l’article conduit aujourd’hui à des conclusions fausses.

Dans mon expérience de conseil, c’est la première source d’erreur dans les dossiers de conformité : des registres, des AIPD et des politiques rédigés à partir du seul texte réglementaire, parfois complétés de lignes directrices du CEPD, mais jamais confrontés aux arrêts. Or les lignes directrices ne lient personne ; les arrêts de la CJUE lient la CNIL, le Conseil d’État et votre juge.

Voici les quinze décisions qui structurent réellement l’application du RGPD, ce qu’elles jugent exactement, et ce qu’elles imposent de changer dans votre documentation.

Pourquoi la jurisprudence de la CJUE prime sur les lignes directrices

Il faut distinguer trois niveaux de normativité, que beaucoup d’organisations confondent.

Source	Force	Portée
Règlement (UE) 2016/679	Obligatoire, directement applicable	Le texte, mais tel qu’interprété par la Cour
Arrêt de la CJUE (renvoi préjudiciel, art. 267 TFUE)	Interprétation authentique et contraignante	S’impose à toutes les juridictions et autorités des 27 États membres, avec effet rétroactif
Lignes directrices du CEPD, recommandations et référentiels CNIL	Doctrine administrative	Opposables en pratique, mais susceptibles d’être contredites par la Cour

La hiérarchie n’est pas théorique. En octobre 2024, l’arrêt KNLTB a désavoué la doctrine de l’autorité néerlandaise sur l’intérêt légitime, doctrine que plusieurs autorités européennes relayaient. En septembre 2025, l’arrêt EDPS c/ CRU a corrigé la lecture absolutiste de la pseudonymisation portée par une partie de la doctrine des autorités. Se caler sur les seules lignes directrices, c’est accepter de construire sur un socle qui peut être invalidé.

Une précision méthodologique utile : un arrêt préjudiciel a un effet déclaratif et rétroactif. La Cour ne crée pas la règle à la date de son arrêt, elle dit ce que le texte a toujours signifié depuis son entrée en application. Vos traitements antérieurs ne bénéficient donc d’aucune immunité — ce qui explique que des sanctions soient prononcées en 2026 sur des pratiques de 2021 jugées à l’aune d’un arrêt de 2024.

Bloc 1 — Ce qu’est une donnée personnelle

Trois arrêts ont progressivement déplacé la frontière entre donnée personnelle et donnée non personnelle. C’est le socle : si la qualification est fausse, tout l’édifice de conformité l’est aussi.

Breyer (C-582/14, 19 octobre 2016) — l’approche relative de l’identifiabilité

La Cour juge qu’une adresse IP dynamique enregistrée par un fournisseur de services en ligne constitue une donnée personnelle lorsque ce fournisseur dispose de moyens légaux raisonnables lui permettant de faire identifier la personne, par exemple en sollicitant le fournisseur d’accès dans le cadre d’une procédure. La qualification ne dépend donc pas de la capacité d’identification en soi, mais des moyens raisonnablement susceptibles d’être mis en œuvre — critère que le considérant 26 du RGPD a repris.

Rendu sous l’empire de la directive 95/46/CE, l’arrêt reste la référence sur la question, traitée en détail dans notre analyse de la qualification de l’adresse IP comme donnée personnelle.

Ce que ça change : votre registre ne peut pas exclure les identifiants techniques (IP, identifiants publicitaires, cookies techniques persistants) au motif qu’ils « ne permettent pas d’identifier quelqu’un ». La question n’est pas là.

EDPS c/ CRU (C-413/23 P, 4 septembre 2025) — la pseudonymisation n’est pas un statut absolu

Le Conseil de résolution unique avait transmis à Deloitte des observations pseudonymisées. Le Contrôleur européen de la protection des données y voyait un traitement de données personnelles pour le destinataire ; le Tribunal avait jugé l’inverse. Sur pourvoi, la Cour tranche avec nuance : le caractère personnel de données pseudonymisées transmises à un tiers s’apprécie du point de vue de ce destinataire, en fonction des moyens dont il dispose raisonnablement pour réidentifier. Des mesures de pseudonymisation efficaces peuvent donc rendre les données non personnelles pour lui.

Mais — et c’est le point que la plupart des commentaires ont sous-estimé — les données restent personnelles pour le responsable qui détient la table de correspondance, et l’obligation d’information s’apprécie au moment de la collecte, indépendamment du sort ultérieur des données. Impossible, donc, de justifier a posteriori une information lacunaire par une pseudonymisation en aval.

L’articulation complète des deux notions est traitée dans notre guide pseudonymisation vs anonymisation.

IAB Europe (C-604/22, 7 mars 2024) — la chaîne publicitaire n’échappe pas au RGPD

La Cour juge que la TC String, chaîne de caractères encodant les préférences de consentement dans le Transparency & Consent Framework, constitue une donnée personnelle dès lors qu’elle peut être associée à un identifiant permettant, par des moyens raisonnables, de remonter à l’utilisateur. Elle qualifie par ailleurs IAB Europe de responsable conjoint pour l’enregistrement des préférences dans la TC String — sans que cette qualité s’étende automatiquement aux traitements ultérieurs opérés par les participants.

C’est l’arrêt qui a fait basculer tout l’écosystème de la publicité programmatique dans le champ du RGPD. Nos analyses détaillées : le cadre TCF de l’IAB et la mise en conformité des bandeaux cookies.

Bloc 2 — Bases légales et consentement

Planet49 (C-673/17, 1er octobre 2019) — la case pré-cochée est morte

Le consentement au dépôt de cookies n’est pas valablement recueilli par une case pré-cochée que l’utilisateur doit décocher. La Cour précise en outre que la solution vaut que les informations stockées constituent ou non des données personnelles, et que l’information due porte notamment sur la durée de fonctionnement des cookies et sur la possibilité d’accès par des tiers.

Cet arrêt a directement nourri les lignes directrices et la recommandation « cookies » de la CNIL, puis les sanctions qui ont suivi. La question de la case à cocher, souvent mal comprise hors du champ des traceurs, est traitée ici : faut-il vraiment une case à cocher ? et les quatre critères d’un consentement valable.

Meta Platforms c/ Bundeskartellamt (C-252/21, 4 juillet 2023) — trois apports en un

Un arrêt dense, souvent réduit à tort à sa dimension concurrentielle. Trois enseignements :

1. Une autorité de concurrence peut constater, à titre incident, une violation du RGPD lorsque cela lui est nécessaire pour caractériser un abus de position dominante — sous réserve de coopération loyale avec l’autorité de contrôle compétente.
2. La consultation de sites ou d’applications révélant une orientation sexuelle, une opinion politique ou un état de santé peut faire entrer les données correspondantes dans le champ de l’Art. 9(1), y compris lorsque le responsable ne les a pas recherchées comme telles.
3. Ni la nécessité contractuelle (Art. 6(1)(b)) ni, sauf circonstances particulières, l’intérêt légitime (Art. 6(1)(f)) ne peuvent en principe fonder la personnalisation publicitaire à grande échelle opérée par un réseau social.

Conséquences opérationnelles pour tout annonceur : voir Meta Ads et RGPD et le pixel Meta. Sur le champ exact des données sensibles, notre guide de l’Art. 9 RGPD.

KNLTB (C-621/22, 4 octobre 2024) — l’intérêt commercial peut être légitime

La fédération néerlandaise de tennis avait communiqué les coordonnées de ses membres à deux sponsors, dont un opérateur de jeux d’argent. L’autorité néerlandaise soutenait qu’un intérêt purement commercial ne pouvait jamais constituer un intérêt légitime au sens de l’Art. 6(1)(f). La Cour rejette cette lecture : un intérêt commercial n’est pas exclu par principe, dès lors qu’il est licite. Elle rappelle en revanche que les trois conditions cumulatives demeurent — intérêt légitime, nécessité du traitement, mise en balance avec les droits et libertés des personnes, au regard de leurs attentes raisonnables.

C’est l’arrêt le plus fréquemment mal cité de la période récente : il n’autorise pas la revente de fichiers, il interdit de disqualifier une finalité au seul motif qu’elle est commerciale. La méthode de mise en balance reste entière — voir l’intérêt légitime en pratique et comment conduire le triple test. Sur le choix de fondement en amont : les six bases légales de l’Art. 6.

Bloc 3 — Qui est responsable de quoi

Wirtschaftsakademie (C-210/16, 5 juin 2018) et Fashion ID (C-40/17, 29 juillet 2019)

Ces deux arrêts ont construit la notion de responsabilité conjointe telle qu’on l’applique aujourd’hui.

Wirtschaftsakademie : l’administrateur d’une page sur un réseau social est responsable conjoint avec la plateforme du traitement des données des visiteurs, parce qu’il participe à la détermination des finalités en paramétrant les statistiques d’audience.

Fashion ID : l’éditeur d’un site qui intègre un bouton social est responsable conjoint pour la collecte et la transmission des données au fournisseur du bouton — mais pas pour les traitements ultérieurs effectués par ce dernier, sur lesquels il n’a aucune influence. Corollaire décisif : c’est à l’éditeur du site, et non au fournisseur, de recueillir le consentement et de délivrer l’information.

La responsabilité conjointe ne se déduit pas d’un contrat, elle se déduit des faits. Notre guide de l’Art. 26 RGPD détaille la rédaction de l’accord requis, à ne pas confondre avec le contrat de sous-traitance de l’Art. 28.

Ce que ça change : tout module tiers embarqué sur votre site — chat, analytics, bouton de partage, pixel, lecteur vidéo — appelle une qualification explicite, documentée dans le registre, et non un renvoi paresseux aux CGU du fournisseur.

Bloc 4 — Les droits des personnes

RW c/ Österreichische Post (C-154/21, 12 janvier 2023) — le droit de connaître les destinataires

Interrogée sur la portée de l’Art. 15(1)©, la Cour juge que la personne concernée a le droit d’obtenir l’identité des destinataires précis auxquels ses données ont été communiquées. Le responsable ne peut se contenter d’indiquer des catégories de destinataires que lorsque l’identification est impossible ou lorsque la demande est manifestement infondée ou excessive.

En pratique, cela suppose une traçabilité des flux que peu d’organisations possèdent. Modèle de réponse et délais : droit d’accès RGPD et l’Art. 15 en détail.

CK c/ Dun & Bradstreet Austria (C-203/22, 27 février 2025) — expliquer une décision automatisée

Un consommateur s’était vu refuser un abonnement téléphonique sur la base d’un score de solvabilité. Que recouvre l’obligation de fournir « des informations utiles concernant la logique sous-jacente » de l’Art. 15(1)(h) ?

La Cour répond que le responsable doit expliquer la procédure et les principes effectivement appliqués, de manière que la personne comprenne quelles données ont été utilisées et de quelle façon elles ont influé sur le résultat. Il ne s’agit pas de communiquer l’algorithme ou le code source — une transmission technique brute ne satisferait d’ailleurs pas l’exigence de clarté. Et si le responsable invoque le secret des affaires, il ne peut pas opposer un refus pur et simple : il doit transmettre les informations litigieuses à l’autorité de contrôle ou à la juridiction, à charge pour celle-ci de mettre en balance les intérêts.

C’est l’arrêt le plus important pour tous ceux qui déploient du scoring, de la notation ou des modèles prédictifs. À croiser avec l’Art. 22 RGPD et notre guide du profilage — et, pour les systèmes concernés, avec les obligations de transparence de l’AI Act.

Brillen Rottler (C-526/24, 19 mars 2026) — la demande d’accès abusive

L’arrêt le plus récent, et le premier à donner une arme aux responsables de traitement face à l’instrumentalisation du droit d’accès.

Les faits sont éloquents. Un particulier résidant en Autriche s’inscrit à la newsletter d’une société allemande, puis adresse quelques jours plus tard une demande d’accès, avant de réclamer réparation. La société démontre, articles de presse et lettres d’information d’avocats à l’appui, que l’intéressé s’inscrivait systématiquement à des newsletters pour enclencher ce schéma.

La Cour juge qu’une première demande d’accès peut déjà être qualifiée d’« excessive » au sens de l’Art. 12(5), sans qu’il soit nécessaire d’attendre une répétition, lorsqu’elle procède d’un abus de droit — c’est-à-dire lorsqu’elle est formée dans le seul but d’obtenir ensuite une indemnisation. Elle ajoute qu’aucune réparation n’est due lorsque le comportement du demandeur est la cause déterminante du dommage allégué.

Trois précautions, parce que l’arrêt est déjà surinterprété :

• La charge de la preuve de l’abus pèse sur le responsable de traitement, et le standard est élevé : il faut établir l’intention, pas la soupçonner.
• Une demande motivée par un contentieux prud’homal ou commercial n’est pas abusive pour autant : la Cour a de longue date jugé que les motifs de la demande sont indifférents.
• Le refus doit être motivé et tracé, et il expose à une réclamation devant la CNIL au titre de l’Art. 77.

Bloc 5 — Réparation et sanctions

UI c/ Österreichische Post (C-300/21, 4 mai 2023) — pas de dommages-intérêts automatiques

Trois enseignements sur l’Art. 82 : la simple violation du RGPD ne suffit pas à ouvrir droit à réparation ; il n’existe pas de seuil de gravité minimal en deçà duquel le préjudice moral serait ignoré ; et l’évaluation du préjudice relève des règles nationales, sous réserve d’équivalence et d’effectivité.

Ligne de crête pratique : les demandes indemnitaires prospèrent, mais elles supposent la démonstration d’un dommage réel. Voir l’Art. 82 RGPD et, pour la dimension collective, l’action de groupe de l’Art. 80.

Natsionalna agentsia za prihodite (C-340/21, 14 décembre 2023) — la charge de la preuve de la sécurité

Après une fuite massive de données de l’administration fiscale bulgare, la Cour juge que :

• le caractère approprié des mesures de sécurité de l’Art. 32 doit être prouvé par le responsable de traitement, et non présumé ;
• une expertise judiciaire n’est pas un moyen de preuve automatiquement nécessaire ;
• la crainte d’un usage abusif futur des données peut constituer, à elle seule, un préjudice moral réparable, à charge pour le demandeur d’en démontrer la réalité ;
• le fait que la violation résulte de l’acte d’un tiers malveillant n’exonère pas le responsable, qui doit établir qu’aucune faute ne lui est imputable.

Traduction concrète : votre dossier de preuve de sécurité doit être constitué avant l’incident. Voir l’Art. 32 et notre méthode de gestion des violations de données.

ILVA (C-383/23, 13 février 2025) — l’amende se calcule sur le groupe

La question portait sur l’assiette du plafond de l’Art. 83 lorsque l’entité poursuivie est une filiale. La Cour juge que la notion d’« entreprise » de l’Art. 83(4) à (6) doit être entendue au sens des articles 101 et 102 TFUE, c’est-à-dire comme une unité économique, indépendamment de la personnalité juridique des entités qui la composent.

Le plafond de 4 % se calcule donc sur le chiffre d’affaires mondial du groupe, dès lors que la société mère exerce une influence déterminante. Pour une filiale française de 8 M€ de chiffre d’affaires appartenant à un groupe à 3 Md€, le plafond passe de 320 000 € à 120 M€. Détail du régime : Art. 83 RGPD et la procédure de sanction devant la CNIL.

Bloc 6 — Transferts internationaux

Schrems II (C-311/18, 16 juillet 2020)

Invalidation du Privacy Shield, validation des clauses contractuelles types sous condition d’une évaluation au cas par cas du droit du pays destinataire et, si nécessaire, de mesures supplémentaires. Six ans plus tard, la méthode reste applicable telle quelle sous l’empire du Data Privacy Framework — dont la contestation devant les juridictions de l’Union demeure ouverte.

Analyse complète : l’arrêt Schrems II en 2026 et les mécanismes de transfert hors UE.

Les deux arrêts de 2026 à intégrer immédiatement

Deux décisions récentes déplacent l’articulation entre RGPD et procédure. Elles sont encore absentes de la plupart des politiques internes.

NTH Haustechnik (C-484/24, 18 juin 2026). Saisie dans un litige prud’homal, la Cour juge que des données personnelles obtenues en violation du RGPD ne sont pas automatiquement irrecevables comme preuve. Le traitement opéré par la juridiction repose sur sa propre base légale ; il doit s’inscrire dans un cadre procédural suffisamment prévisible et respecter les principes du règlement. La solution rejoint, sans s’y confondre, l’évolution du droit français depuis l’arrêt d’assemblée plénière de la Cour de cassation du 22 décembre 2023 sur la preuve déloyale.

Ne surestimez pas la portée : l’illicéité du traitement subsiste, avec ses conséquences en sanction administrative et en réparation. Le sujet croise directement nos guides sur le contrôle de la messagerie du salarié et la vidéosurveillance en entreprise.

Affaires jointes C-258/23 à C-260/23 (16 juillet 2026). La saisie, par une autorité nationale de concurrence et sans autorisation préalable d’un juge, de courriels échangés entre salariés et dirigeants constitue une limitation du droit à la protection des données. Elle peut néanmoins être justifiée, à condition qu’un encadrement légal strict et des garanties suffisantes contre l’arbitraire existent — au premier rang desquelles un contrôle juridictionnel a posteriori effectif.

Tableau récapitulatif

Arrêt	Affaire	Date	Apport principal
Breyer	C-582/14	19/10/2016	Identifiabilité relative ; IP dynamique = donnée personnelle
Wirtschaftsakademie	C-210/16	05/06/2018	Administrateur de page = responsable conjoint
Fashion ID	C-40/17	29/07/2019	Responsabilité conjointe limitée à la collecte et à la transmission
Planet49	C-673/17	01/10/2019	Case pré-cochée ≠ consentement ; information sur la durée des cookies
Schrems II	C-311/18	16/07/2020	Privacy Shield invalidé ; CCT sous condition d’évaluation
RW c/ Österreichische Post	C-154/21	12/01/2023	Droit à l’identité des destinataires précis
UI c/ Österreichische Post	C-300/21	04/05/2023	Pas de réparation automatique, pas de seuil de gravité
Meta c/ Bundeskartellamt	C-252/21	04/07/2023	Données sensibles par navigation ; publicité ciblée et bases légales
Natsionalna agentsia za prihodite	C-340/21	14/12/2023	Charge de la preuve de la sécurité ; crainte d’usage abusif indemnisable
IAB Europe	C-604/22	07/03/2024	TC String = donnée personnelle ; responsabilité conjointe
KNLTB	C-621/22	04/10/2024	L’intérêt purement commercial peut être légitime
ILVA	C-383/23	13/02/2025	Amende calculée sur le chiffre d’affaires du groupe
CK c/ Dun & Bradstreet	C-203/22	27/02/2025	Contenu de l’explication d’une décision automatisée
EDPS c/ CRU	C-413/23 P	04/09/2025	Pseudonymisation appréciée du point de vue du destinataire
Brillen Rottler	C-526/24	19/03/2026	Première demande d’accès qualifiable d’excessive

Ce que cette jurisprudence impose de changer, concrètement

Sept chantiers, par ordre de rendement décroissant.

1. Requalifier les identifiants techniques dans le registre. Après Breyer et IAB Europe, exclure les IP, identifiants publicitaires et chaînes de consentement du champ du RGPD n’est plus tenable. Reprenez la ligne « catégories de données » de vos fiches de traitement les plus exposées.

2. Documenter la mise en balance de chaque intérêt légitime. KNLTB rend l’intérêt commercial défendable, mais seulement s’il est démontré. Un test écrit, daté, mentionnant les attentes raisonnables des personnes, vaut aujourd’hui plus qu’une politique de vingt pages.

3. Cartographier les destinataires nommément. RW transforme la question « à qui avez-vous transmis mes données ? » en obligation d’inventaire. Si votre registre ne référence que des catégories, vous ne pourrez pas répondre dans le délai d’un mois de l’Art. 12.

4. Écrire l’explication de vos décisions automatisées avant qu’on vous la demande. Dun & Bradstreet fixe le standard : procédure, critères, poids relatif, données mobilisées, le tout compréhensible. Cette note doit être produite au moment de la mise en service du modèle, pas six semaines après une demande d’accès.

5. Constituer le dossier de preuve de sécurité. Natsionalna agentsia inverse la charge : ce n’est pas à l’autorité de démontrer l’insuffisance des mesures, c’est à vous de démontrer leur caractère approprié. Analyse de risques datée, procès-verbaux de tests, journal des correctifs, politique d’habilitations.

6. Formaliser une procédure de qualification des demandes abusives. Brillen Rottler ouvre une possibilité de refus, à condition qu’elle soit encadrée : critères objectifs, validation par deux personnes, motivation écrite, conservation des éléments de preuve. Sans procédure, l’arrêt ne vous protégera pas.

7. Réévaluer votre exposition financière réelle. Après ILVA, une filiale française appartenant à un groupe international doit calculer son risque sur le chiffre d’affaires consolidé. C’est souvent le seul argument qui débloque un budget de conformité en comité de direction.

Ce travail de veille jurisprudentielle, de rattachement des arrêts aux traitements concernés et de mise à jour de la documentation est exactement ce que Legiscope automatise dans le registre et les analyses d’impact.

Ce qu’il faut retenir

• La CJUE ne complète pas le RGPD : elle en donne l’interprétation authentique, avec effet rétroactif. Un registre construit sur le seul texte réglementaire est structurellement incomplet.
• Les trois arrêts qui pèsent le plus lourd en 2026 sont ILVA (assiette de l’amende au niveau du groupe), Dun & Bradstreet (contenu de l’explication d’une décision automatisée) et Brillen Rottler (demande d’accès abusive).
• KNLTB n’a pas libéralisé l’intérêt légitime : il a seulement interdit de l’écarter au motif que la finalité est commerciale. Les trois conditions cumulatives de l’Art. 6(1)(f) demeurent.
• Natsionalna agentsia za prihodite fait peser sur vous la preuve du caractère approprié des mesures de sécurité. Ce dossier se constitue avant l’incident, jamais après.
• Les lignes directrices du CEPD et les recommandations de la CNIL sont utiles, mais subordonnées : elles ont déjà été contredites par la Cour à plusieurs reprises.

FAQ

Un arrêt de la CJUE s’applique-t-il rétroactivement à mes traitements passés ?

Oui, en principe. L’interprétation donnée dans le cadre d’un renvoi préjudiciel est déclarative : la Cour dit ce que le texte signifie depuis son entrée en application, et non à compter de son arrêt. La Cour peut exceptionnellement limiter les effets dans le temps, mais elle le fait très rarement en matière de protection des données. Concrètement, un traitement mis en œuvre en 2021 peut être apprécié en 2026 à la lumière d’un arrêt de 2025.

Puis-je refuser une demande de droit d’accès depuis l’arrêt Brillen Rottler ?

Uniquement si vous êtes en mesure de démontrer le caractère abusif de la demande, c’est-à-dire l’intention d’instrumentaliser le droit d’accès à des fins étrangères à sa finalité — typiquement pour fonder une demande indemnitaire. La charge de la preuve pèse sur vous, le standard est exigeant, et une demande formée dans un contexte contentieux n’est pas abusive par nature. Il est recommandé de motiver le refus par écrit et de conserver les éléments de preuve.

Où consulter les arrêts de la CJUE en français ?

Les arrêts sont publiés intégralement en français sur le site Curia de la Cour de justice et sur EUR-Lex, sous le numéro d’affaire (par exemple C-621/22). Deux réflexes utiles : lire le dispositif en fin d’arrêt, qui contient la réponse aux questions préjudicielles et constitue seul la règle opposable ; puis remonter aux points de motivation qui le fondent. Les communiqués de presse de la Cour sont fiables mais résument, et sont fréquemment surinterprétés dans la presse spécialisée.

La CNIL est-elle liée par la jurisprudence de la CJUE ?

Oui. La CNIL est une autorité administrative d’un État membre : elle applique le droit de l’Union tel qu’interprété par la Cour, et le Conseil d’État censure ses décisions qui s’en écarteraient. C’est pour cette raison que les recommandations et référentiels de la CNIL, qui ne sont pas des normes de rang supérieur, sont régulièrement révisés après un arrêt — comme cela a été le cas en matière de traceurs après Planet49.

---

Suivre la jurisprudence RGPD demande du temps et de la méthode. Recevez chaque semaine nos analyses de conformité : arrêts de la CJUE décryptés, sanctions CNIL commentées et conséquences opérationnelles pour vos traitements.