62023CJ0413_RES
Asunto C‑413/23 P
Supervisor Europeo de Protección de Datos
contra
Junta Única de Resolución
Sentencia del Tribunal de Justicia (Sala Primera) de 4 de septiembre de 2025
«Recurso de casación — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Procedimiento de compensación a los accionistas y acreedores a raíz de la resolución de una entidad de crédito — Decisión del Supervisor Europeo de Protección de Datos por la que se constata el incumplimiento por la Junta Única de Resolución de sus obligaciones en materia de tratamiento de datos personales — Reglamento (UE) 2018/1725 — Artículo 15, apartado 1, letra d) — Obligación de información al interesado — Transmisión de datos seudonimizados a un tercero — Artículo 3, punto 1 — Concepto de “datos personales” — Artículo 3, punto 6 — Concepto de “seudonimización”»
Instituciones de la Unión Europea — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2018/1725 — Concepto de datos personales — Toda información sobre una persona física identificada o identificable — Procedimiento relativo al derecho a ser oído iniciado par la Junta Única de Resolución (JUR) a raíz de la adopción de medidas de resolución de una entidad de crédito — Comentarios presentados ante la JUR por los accionistas y acreedores afectados por dichas medidas — Comentarios seudonimizados transmitidos por la JUR a un tercero independiente con fines de evaluación — Apreciación del carácter identificable de los interesados — Inclusión — Excepción — Imposibilidad de identificar a los interesados
[Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, considerando 17 y art. 3, puntos 1 y 6]
(véanse los apartados 54 a 60, 72 a 76, 82, 85 y 86)
Instituciones de la Unión Europea — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2018/1725 — Obligación de información en caso de obtención de datos personales de los interesados — Procedimiento relativo al derecho a ser oído iniciado par la Junta Única de Resolución (JUR) a raíz de la adopción de medidas de resolución de una entidad de crédito — Comentarios presentados ante la JUR por los accionistas y acreedores afectados por dichas medidas — Comentarios seudonimizados transmitidos por la JUR a un tercero independiente con fines de evaluación — Obligación de información sobre los destinatarios de los datos personales recogidos que incumbe a la JUR antes de la transmisión de dichos datos — Apreciación del carácter identificable de los interesados en el momento de la recogida de los datos y desde el punto de vista del responsable del tratamiento.
[Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, art. 15, ap. 1, letra d)]
(véanse los apartados 103, 106, 108 a 112 y 115)
Resumen
El Tribunal de Justicia, que conoce de un recurso de casación interpuesto por el Supervisor Europeo de Protección de Datos (SEPD), anula la sentencia JUR/SEPD (
1
) y devuelve el asunto al Tribunal General. Al hacerlo, aclara el concepto de «datos personales» en el caso de datos seudonimizados y, más concretamente, de la información que debe facilitarse al interesado cuando dichos datos se transfieren a un tercero.
En el presente asunto, mediante Decisión de 7 de junio de 2017, la Junta Única de Resolución (JUR) sometió a Banco Popular Español, S. A. (en lo sucesivo, «Banco Popular») a un procedimiento de resolución, aprobado ese mismo día por la Comisión Europea. El 6 de agosto de 2018, la JUR publicó en su sitio de Internet la comunicación relativa a su decisión preliminar respecto a la potencial concesión de una compensación a los accionistas y acreedores sobre los que se adoptaron las medidas de resolución de dicha entidad. Para poder adoptar una decisión final sobre este extremo, en su resolución preliminar precisó que debía organizarse un procedimiento que permitiera a los interesados ejercer su derecho a ser oídos. Se recabaron datos de los accionistas y acreedores participantes, entre ellos, los relativos a su identidad y a la prueba de la titularidad de los instrumentos de capital de Banco Popular. Una vez verificada su condición por la JUR mediante los datos recogidos, estas personas presentaron comentarios sobre la decisión preliminar. Algunos de estos datos se transmitieron, en forma de datos seudonimizados, a Deloitte, sociedad de auditoría y consultoría encargada por la JUR de realizar una valoración de los efectos de un procedimiento de resolución sobre los accionistas y acreedores. (
2
)
En 2019, varios accionistas y acreedores afectados remitieron al SEPD cinco reclamaciones con arreglo al Reglamento 2018/1725, (
3
) debido a que la JUR no les había informado de que los datos que se habían obtenido sobre ellos se transmitirían a terceros.
El SEPD, en respuesta, adoptó una decisión inicial que, a raíz de una solicitud de revisión de la JUR, anuló y sustituyó por una decisión revisada. En esta última el SEPD consideró que Deloitte era destinataria de los datos personales de los reclamantes. (
4
) Por otra parte, constató que la JUR había incumplido la obligación de información establecida en el Reglamento 2018/1725. (
5
) Más concretamente, reprochó a esta no haber mencionado, en la declaración de confidencialidad sobre el tratamiento de datos personales emitida en el transcurso del procedimiento relativo al derecho a ser oído, que Deloitte era una destinataria potencial de los datos personales recabados y tratados por la JUR.
La JUR entonces interpuso un recurso ante el Tribunal General solicitando, en particular, la anulación de la decisión revisada del SEPD. El Tribunal General estimó parcialmente el recurso y anuló la citada decisión.
Apreciación del Tribunal de Justicia
En su sentencia, el Tribunal de Justicia se pronuncia sobre los requisitos, examinados en la sentencia recurrida, para que los datos puedan calificarse de datos personales.
En primer lugar, considera que el Tribunal General incurrió en error de Derecho al declarar que el SEPD, para concluir que la información que resultaba de los comentarios transmitidos a Deloitte era, en el sentido del artículo 3, punto 1, del Reglamento 2018/1725, información «sobre» las personas que habían presentado los comentarios, debería haber examinado el contenido, la finalidad o los efectos de dichos comentarios, puesto que había quedado acreditado que estos expresaban la opinión o el punto de vista personal de sus autores.
En este sentido, el Tribunal de Justicia recuerda, según su jurisprudencia, que una información se refiere a una persona física identificada o identificable cuando, debido a su contenido, su finalidad o sus efectos, la información está relacionada con una persona identificable. (
6
) Por lo tanto, un examen del contenido de una información no necesariamente debe completarse con un análisis de la finalidad y de los efectos de dicha información, como indica el empleo de la conjunción «o» que enlaza los diferentes criterios contemplados por dicha jurisprudencia.
El Tribunal de Justicia subraya que la interpretación del Tribunal General, según la cual el SEPD no podía calificar como datos personales la información que resultaba de los comentarios transmitidos a Deloitte basándose únicamente en la constatación de que se trataba de opiniones o de puntos de vista personales, sino que debería haber examinado, además, el contenido, la finalidad y los efectos de las opiniones expresadas, con el fin de determinar si estaban relacionadas con una persona concreta, no tiene en cuenta la particular naturaleza de las opiniones o de los puntos de vista personales que, como expresión del pensamiento de una persona, están necesaria e íntimamente ligados a esta. (
7
)
En segundo lugar, el Tribunal de Justicia se pronuncia sobre el requisito establecido en el artículo 3, punto 1, del Reglamento 2018/1725, relativo al carácter «identificable» de la persona física afectada y, más concretamente, sobre la alegación del SEPD según la cual debe considerarse que los datos seudonimizados constituyen, de cualquier forma y para cualquier persona, datos personales.
El Tribunal de Justicia considera que, contrariamente a lo que sostiene el SEPD, el Tribunal General declaró acertadamente que no debe considerarse que los datos seudonimizados constituyen, de cualquier forma y para cualquier persona, datos personales a efectos de la aplicación del Reglamento 2018/1725, en la medida en que la seudonimización puede, según las circunstancias del caso, impedir efectivamente que personas distintas del responsable del tratamiento identifiquen al interesado de tal manera que, para ellas, este no sea o deje de ser identificable.
Para empezar, el Tribunal de Justicia señala que, en virtud del Reglamento 2018/1725, (
8
) la seudonimización no constituye un elemento de la definición de «datos personales», sino que se refiere a la adopción de medidas técnicas y organizativas destinadas a reducir el riesgo de correlación de un conjunto de datos con la identidad de los interesados.
A continuación, precisa que el concepto de «seudonimización» presupone la existencia de información que permite identificar al interesado. Pues bien, la propia existencia de esa información impide que los datos que hayan sido objeto de seudonimización de ninguna forma puedan considerarse datos anónimos, excluidos del ámbito de aplicación del Reglamento 2018/1725.
Por último, subraya que la seudonimización tiene por objeto, en particular, evitar que el interesado pueda ser identificado solo con los datos seudonimizados. (
9
) En efecto, siempre que se adopten efectivamente las medidas técnicas y organizativas que se exigen para una seudonimización en el sentido del artículo 3, punto 1, del Reglamento 2018/1725 y que estas puedan impedir que los datos de que se trate se atribuyan al interesado, de forma que este no sea identificable o deje de serlo, la seudonimización podrá afectar al carácter personal de esos datos. A este respecto, precisa que, como ocurre normalmente en el caso del responsable del tratamiento que ha procedido a la seudonimización, la JUR dispone, en el presente asunto, de información adicional que permite atribuir los comentarios transmitidos a Deloitte al interesado. Por lo tanto, en lo que respecta a la JUR, dichos comentarios conservan, a pesar de la seudonimización, su carácter personal. En cambio, por lo que respecta a Deloitte, el Tribunal de Justicia señala que dichas medidas técnicas y organizativas pueden tener por efecto que, para la mencionada sociedad, esos comentarios no tengan carácter personal. No obstante, ello presupone, por un lado, que Deloitte no pueda eludir esas medidas al tratar los comentarios bajo su control y, por otro lado, que las referidas medidas puedan impedir efectivamente que Deloitte atribuya esos comentarios al interesado recurriendo a medios de identificación adicionales, como el cotejo con otros elementos.
Según el Tribunal de Justicia, tanto del considerando 16 del Reglamento 2018/1725 como de su jurisprudencia se desprende que la existencia de información adicional que permita identificar al interesado no implica, por sí sola, que deba considerarse que los datos seudonimizados constituyen, de cualquier forma y para cualquier persona, datos personales a efectos de la aplicación del Reglamento 2018/1725. A este respecto, recuerda que, en relación con un comunicado de prensa que incluía una serie de indicaciones relativas a una persona sin mencionar su nombre, no se limitó a constatar que el organismo de la Unión que publicó ese comunicado disponía de toda la información que permitía identificar a esa persona, sino que examinó si las indicaciones que figuraban en dicho comunicado permitían razonablemente que el público interesado identificara a esa persona, en particular mediante una combinación de esas indicaciones con la información disponible en Internet. (
10
) Por otra parte, declara que un medio no puede ser utilizado razonablemente para identificar al interesado cuando el riesgo de identificación resulte, en realidad, insignificante porque la identificación de esa persona esté prohibida por la ley o sea prácticamente irrealizable, por ejemplo porque implique un esfuerzo desmesurado en cuanto a tiempo, costes y recursos humanos. (
11
) En el mismo orden de ideas, el Tribunal de Justicia declara que datos por si solos impersonales, recogidos y conservados por el responsable del tratamiento, estaban no obstante relacionados con una persona identificable, puesto que el responsable del tratamiento disponía de vías legales para obtener de otros información adicional que permitía identificar a esa persona. (
12
) En efecto, según el Tribunal de Justicia, en tales circunstancias, el hecho de que la información que permitía identificar al interesado se encontrara en manos de diferentes personas no podía impedir efectivamente su identificación de forma que no fuera identificable para el responsable del tratamiento.
En particular, el Tribunal de Justicia recuerda que datos que por sí mismos son impersonales pueden adquirir carácter «personal» cuando el responsable del tratamiento los pone a disposición de otras personas que dispongan de medios que puedan permitir razonablemente la identificación del interesado. (
13
) En el contexto de esa puesta a disposición, los referidos datos presentan un carácter personal tanto para esas personas como, indirectamente, para el responsable del tratamiento.
En tercer lugar, el Tribunal de Justicia considera que el Tribunal General incurrió en error de Derecho al declarar que, para apreciar si la JUR había cumplido su obligación de información, el SEPD debería haber examinado si los comentarios transmitidos a Deloitte constituían, desde el punto de vista de este, datos personales.
Con carácter preliminar, el Tribunal de Justicia señala que, si bien el Reglamento 2018/1725 no precisa expresamente la perspectiva pertinente para apreciar el carácter identificable del interesado, de la jurisprudencia (
14
) se desprende que la perspectiva pertinente para apreciar el carácter identificable del interesado depende esencialmente de las circunstancias que caracterizan el tratamiento de datos en cada caso concreto.
Por lo que respecta, en el presente asunto, a la información relativa a los posibles destinatarios de los datos personales, contemplada en el artículo 15, apartado 1, letra d), del Reglamento 2018/1725, el Tribunal de Justicia precisa que se trata de una información que debe facilitarse, entre otras, «en el momento en que [los datos personales] se obtengan» del interesado. Al tiempo que subraya la importancia del cumplimiento de esta obligación de información, el Tribunal de Justicia señala que, cuando la recogida de tales datos del interesado, como sucede en el presente asunto, se basa en el consentimiento del interesado, la validez del consentimiento dado por el interesado depende, entre otros elementos, de si obtuvo previamente la información a la que tenía derecho en relación con todas las circunstancias que rodean el tratamiento de los datos en cuestión, según lo dispuesto en el artículo 15 del Reglamento 2018/1725, y que le permite dar su consentimiento con pleno conocimiento de causa. La obligación de facilitar al interesado, en el momento de la recogida de los datos personales relacionados con él, la información relativa a los posibles destinatarios de esos datos tiene por objeto, en particular, que ese interesado pueda decidir con pleno conocimiento de causa si facilita o, por el contrario, se niega a facilitar sus datos personales así obtenidos.
El Tribunal de Justicia añade que, además de su carácter indispensable para que el interesado pueda, posteriormente, defender sus derechos frente a esos destinatarios, la obligación de facilitar esta información en el momento de la recogida de los datos personales garantiza, en particular, que el responsable del tratamiento no obtenga dichos datos o los transfiera a terceros en contra de la voluntad del interesado.
Así pues, la obligación de información se inserta en la relación jurídica existente entre el interesado y el responsable del tratamiento y, por ello, tiene por objeto la información relativa a dicho interesado tal como fue transmitida al citado responsable, es decir, antes de cualquier eventual transmisión a un tercero.
Por consiguiente, el Tribunal de Justicia considera que, a efectos de la aplicación de la obligación de información establecida en el Reglamento 2018/1725, el carácter identificable del interesado debe apreciarse en el momento de la recogida de los datos y desde el punto de vista del responsable del tratamiento. Así pues, la obligación de información de la JUR era aplicable antes de la transmisión de los comentarios en cuestión, con independencia de si tenían o no carácter de datos personales, desde el punto de vista de Deloitte, tras su eventual seudonimización.
(
1
)	Sentencia del Tribunal General de 26 de abril de 2023, JUR/SEPD (T‑557/20, en lo sucesivo, «sentencia recurrida», EU:T:2023:219).
(
2
)	Valoración prevista en el artículo 20, apartados 16 a 18, del Reglamento (UE) n.o 806/2014 del Parlamento Europeo y del Consejo, de 15 de julio de 2014, por el que se establecen normas uniformes y un procedimiento uniforme para la resolución de entidades de crédito y de determinadas empresas de servicios de inversión en el marco de un Mecanismo Único de Resolución y un Fondo Único de Resolución y se modifica el Reglamento (UE) n.o 1093/2010 (DO 2014, L 225, p. 1).
(
3
)	Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO 2018 de 21.11.2018, p. 39).
(
4
)	A efectos del artículo 3, punto 13, del Reglamento n.o 2018/1725.
(
5
)	Artículo 15, apartado 1, letra d), del Reglamento 2018/1725.
(
6
)	Sentencias de 20 de diciembre de 2017, Nowak, (C‑434/16, EU:C:2017:994, apartado 35), de 7 de marzo de 2024, OC/Comisión, (C‑479/22, EU:C:2024:215, apartado 45) y de 7 de marzo de 2024, IAB Europe, (C‑604/22, EU:C:2024:214, apartado 37 y jurisprudencia citada).
(
7
)	Interpretación corroborada por la jurisprudencia derivada de la sentencia de 20 de diciembre de 2017, Nowak (C‑434/16, EU:C:2017:994)
(
8
)	Artículo 3, puntos 1 y 6 del Reglamento 2018/1725.
(
9
)	El artículo 3, punto 6, del Reglamento 2018/1725 exige que la información de identificación figure por separado y esté sujeta a medidas técnicas y organizativas «destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable».
(
10
)	Sentencia de 7 de marzo de 2024, OC/Comisión (C‑479/22 P, EU:C:2024:215, apartados 52 y 64).
(
11
)	Sentencia de 7 de marzo de 2024, OC/Comisión (C‑479/22 P, EU:C:2024:215, apartado 51 y jurisprudencia citada).
(
12
)	Sentencias de 19 de octubre de 2016, Breyer (C‑582/14, EU:C:2016:779, apartados 44, 47 y 48), y de 7 de marzo de 2024, IAB Europe (C‑604/22, EU:C:2024:214, apartados 43 y 48).
(
13
)	Sentencia de 9 de noviembre de 2023, Gesamtverband Autoteile-Handel (Acceso a las informaciones sobre los vehículos) (319/22, EU:C:2023:837, apartados 46 y 49).
(
14
)	Jurisprudencia recordada en las notas a pie de página 10 a 12 del presente resumen.