62023CC0413
CONCLUSIONES DEL ABOGADO GENERAL
SR. DEAN SPIELMANN
presentadas el 6 de febrero de 2025 (
1
)
Asunto C‑413/23 P
Supervisor Europeo de Protección de Datos
contra
Junta Única de Resolución
«Recurso de casación — Tratamiento de datos personales — Procedimiento de compensación a los accionistas y acreedores a raíz de la resolución de una entidad de crédito — Obligación de información — Artículo 15, apartado 1, letra d), del Reglamento (UE) 2018/1725 — Falta de información a dichos acreedores y accionistas sobre el destinatario de los datos personales — Decisión del Supervisor Europeo de Protección de Datos por la que se constata la infracción del Reglamento 2018/1725 relativo al tratamiento de datos personales seudonimizados»
I. Introducción
1.
Mediante su recurso de casación, el Supervisor Europeo de Protección de Datos (SEPD) solicita la anulación de la sentencia del Tribunal General de 26 de abril de 2023, JUR/SEPD (T‑557/20, en lo sucesivo, sentencia recurrida, EU:T:2023:219), por la que se anuló la decisión revisada del SEPD de 24 de noviembre de 2020 (en lo sucesivo, «decisión controvertida»), relativa a cinco reclamaciones presentadas por accionistas y acreedores afectados por la resolución de Banco Popular Español, S. A. (en lo sucesivo, «Banco Popular»), en las que denunciaban no haber sido informados de la transferencia de sus datos personales.
2.
El presente asunto brinda al Tribunal de Justicia la ocasión de precisar, en el contexto de los datos seudonimizados, el concepto de «datos personales» y las exigencias que de ello se derivan a efectos de cumplir las obligaciones de tratamiento leal y transparente de los datos.
II. Marco jurídico
3.
Las principales disposiciones del Reglamento (UE) 2018/1725 (
2
) pertinentes en el presente recurso de casación son las siguientes.
4.
Los considerandos 16 y 17 de este Reglamento tienen el siguiente tenor:
«(16)
Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. Por lo tanto, los principios de protección de datos no deben aplicarse a la información anónima, es decir, información que no guarda relación con una persona física identificada o identificable o datos convertidos en anónimos de forma que el interesado no sea identificable o deje de serlo. En consecuencia, el presente Reglamento no afecta al tratamiento de dicha información anónima, ni siquiera con fines estadísticos o de investigación.
(17)
La aplicación de la seudonimización a los datos personales puede reducir los riesgos para los interesados afectados y ayudar a los responsables y a los encargados del tratamiento a cumplir sus obligaciones de protección de los datos. Así pues, la introducción explícita de la “seudonimización” en el presente Reglamento no pretende excluir ninguna otra medida relativa a la protección de los datos.»
5.
El artículo 3 de dicho Reglamento, titulado «Definiciones», dispone en sus apartados 1 y 6:
«A efectos del presente Reglamento, se entenderá por:
1)
“datos personales”: toda información sobre una persona física identificada o identificable (en lo sucesivo, “interesado”); se considerará persona física identificable a toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, unos datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
[…]
6)
“seudonimización”: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado concreto sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable.»
6.
El artículo 4 del mismo Reglamento, titulado «Principios relativos al tratamiento de datos personales», dispone en sus apartados 1, letra a), y 2:
«1.   Los datos personales serán:
a)
tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
[…]
2.   El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»
7.
El artículo 15 del Reglamento 2018/1725, titulado «Información que debe facilitarse cuando los datos personales se obtengan del interesado», establece, en su apartado 1, letra d):
«Cuando se obtengan de un interesado sus datos personales, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
[…]
d)
los destinatarios o las categorías de destinatarios de los datos personales, en su caso».
III. Antecedentes del litigio
8.
El 7 de junio de 2017, la Junta Única de Resolución (JUR) adoptó un dispositivo de resolución de Banco Popular, sobre la base del Reglamento (UE) n.o 806/2014 del Parlamento Europeo y del Consejo, de 15 de julio de 2014, por el que se establecen normas uniformes y un procedimiento uniforme para la resolución de entidades de crédito y de determinadas empresas de servicios de inversión en el marco de un Mecanismo Único de Resolución y un Fondo Único de Resolución y se modifica el Reglamento (UE) n.o 1093/2010, (
3
) aprobado el mismo día mediante Decisión de la Comisión Europea, (
4
) lo que significa en concreto que los instrumentos de capital del banco se amortizaron o convirtieron y se cedieron mediante transmisión de las acciones.
9.
De conformidad con el artículo 20, apartados 16 a 18, del Reglamento n.o 806/2014, la JUR encomendó a Deloitte, como «persona independiente», (
5
) la tarea de realizar una valoración de la diferencia de trato, a fin de determinar si los accionistas y acreedores afectados por la medida de resolución habrían recibido un mejor trato si esa entidad hubiera iniciado un procedimiento de insolvencia ordinario.
10.
El 14 de junio de 2018, Deloitte presentó a la JUR la valoración de la diferencia de trato (en lo sucesivo, «valoración 3»). Mediante una decisión preliminar, la JUR indicó que, con el fin de poder adoptar una decisión final sobre si era necesario conceder una compensación a los accionistas y acreedores afectados por la resolución de Banco Popular en virtud del artículo 76, apartado 1, letra e), del Reglamento n.o 806/2014, iniciaba un procedimiento relativo al derecho a ser oído, que constaba de una primera fase de registro, para comprobar la admisibilidad de las partes que manifestaron interés, y una segunda fase de consulta, en la cual los accionistas y acreedores afectados presentaron sus comentarios sobre la decisión preliminar de la JUR, a la que se adjuntó la valoración 3.
11.
Los datos recabados en la fase de registro, a saber, las pruebas de la identidad de los participantes y de la titularidad de instrumentos de capital de Banco Popular amortizados o convertidos y transmitidos, eran accesibles a un número limitado de miembros del personal de la JUR encargados del tratamiento de esos datos para determinar la admisibilidad de los participantes. Estos datos no eran visibles para los miembros del personal de la JUR encargados del tratamiento de los comentarios recibidos en la fase de consulta, en la que únicamente recibieron comentarios identificados con referencia a un código alfanumérico (
6
) asignado a cada comentario presentado mediante el formulario.
12.
Después de la agregación, filtrado automático y categorización de los comentarios, la JUR transmitió a Deloitte (
7
) los comentarios relativos a la valoración 3 de este modo filtrados, categorizados y agregados. Los comentarios transmitidos a Deloitte se referían únicamente a los recibidos en la fase de consulta y llevaban un código alfanumérico, que se desarrolló con fines de auditoría para permitir a la JUR comprobar y eventualmente demostrar a posteriori que cada comentario había sido tratado y debidamente tenido en cuenta. Mediante ese código, la JUR era la única que podía relacionar los comentarios con los datos recibidos en la fase de registro. Deloitte no tenía y sigue sin tener acceso a la base de datos recabados en la fase de registro.
13.
Los accionistas y acreedores afectados (en lo sucesivo, «reclamantes») presentaron, con arreglo al Reglamento 2018/1725, cinco reclamaciones al SEPD basándose en que la declaración de confidencialidad sobre el tratamiento de los datos personales publicada por la JUR no mencionaba la transmisión a Deloitte de los datos recogidos mediante el formulario. Alegaron que la JUR había incumplido su obligación de información del tratamiento de datos personales con arreglo a dicho Reglamento, prevista en el artículo 15, apartado 1, letra d), del citado Reglamento.
14.
El SEPD adoptó una decisión inicial el 24 de junio de 2020, que fue anulada a raíz de una solicitud de revisión de la JUR y sustituida el 24 de noviembre de 2020 por la decisión controvertida, a tenor de la cual:
«1.
El SEPD considera que los datos que la JUR compartió con Deloitte eran datos seudonimizados, tanto porque los comentarios de la fase [de consulta] eran datos personales como porque la JUR compartió el código alfanumérico que permitía relacionar las respuestas recibidas en la fase [de registro] con las recibidas en la fase [de consulta], a pesar de que los datos facilitados por los participantes para identificarse en la fase [de registro] no se comunicaron a Deloitte.
2.
El SEPD considera que Deloitte era destinataria de los datos personales de los reclamantes en el sentido del artículo 3, punto 13, del Reglamento [2018/1725]. El hecho de que Deloitte no fuera mencionada en la declaración de confidencialidad de la JUR como potencial destinataria de los datos personales recabados y tratados por la JUR, en su condición de responsable del tratamiento en el marco del procedimiento relativo al derecho a ser oído, constituye un incumplimiento de la obligación de información establecida en el artículo 15, apartado 1, letra d), [del Reglamento 2018/1725].
3.
A la luz de todas las medidas técnicas y organizativas adoptadas por la JUR para mitigar los riesgos para el derecho de las personas a la protección de datos en el marco del procedimiento relativo al derecho a ser oído, el SEPD decide no ejercer sus facultades correctoras establecidas en el artículo 58, apartado 2, del Reglamento [2018/1725].
4.
No obstante, el SEPD recomienda a la JUR cerciorarse de que sus declaraciones de confidencialidad en los futuros procedimientos relativos al derecho a ser oído cubran el tratamiento de datos personales tanto en la fase de registro como en la fase de consulta e incluyan a todos los potenciales destinatarios de la información recabada, a fin de cumplir plenamente la obligación de informar a los interesados de conformidad con el artículo 15 [del Reglamento 2018/1725].»
IV. Sentencia recurrida
15.
Mediante demanda presentada en la Secretaría del Tribunal General el 1 de septiembre de 2020 y mediante un escrito de adaptación presentado el 29 de enero de 2021, la JUR interpuso un recurso solicitando, por una parte, que se anulara la decisión controvertida y, por otra parte, que se declarase la ilegalidad de la decisión inicial del SEPD de 24 de junio de 2020.
16.
La JUR invocó dos motivos en apoyo de la primera pretensión. (
8
) El primer motivo se basaba en la infracción del artículo 3, punto 1, del Reglamento 2018/1725, en la medida en que la información transmitida a Deloitte no constituía datos personales, y el segundo motivo se refería a la vulneración del derecho a una buena administración, consagrado en el artículo 41 de la Carta de los Derechos Fundamentales de la Unión Europea.
17.
En la sentencia recurrida, el Tribunal General declaró la admisibilidad de esta pretensión. En cuanto al fondo, estimó el primer motivo del recurso y anuló la decisión controvertida, sin examinar el segundo motivo.
18.
En relación con el primer motivo, el Tribunal General declaró, en primer lugar, que el SEPD había considerado que la información transmitida a Deloitte era «sobre» una persona física en el sentido del artículo 3, punto 1, del Reglamento 2018/1725, basándose en una presunción, sin examinar ni el contenido, ni la finalidad, ni los efectos de la información transmitida a Deloitte, (
9
) en contra de la sentencia Nowak. (
10
)
19.
En segundo lugar, en lo que respecta al requisito establecido en el artículo 3, punto 1, del Reglamento 2018/1725 según el cual la información debe referirse a una persona física «identificada o identificable», el Tribunal General consideró que, en el caso de autos, correspondía al SEPD examinar si los comentarios transmitidos a Deloitte constituían, para esta, datos personales. Pues bien, según la sentencia recurrida, el SEPD se limitó a examinar la posibilidad de volver a identificar a los autores de los comentarios desde el punto de vista de la JUR y no de Deloitte. Por lo tanto, al no haber investigado el SEPD si Deloitte disponía de medios legales y factibles en la práctica para poder acceder a la información adicional necesaria para volver a identificar a los autores de los comentarios, el SEPD no podía concluir que la información transmitida a Deloitte constituyera información sobre una «persona física identificable» en el sentido del artículo 3, punto 1, del Reglamento 2018/1725. (
11
)
V. Procedimiento ante el Tribunal de Justicia y pretensiones de las partes
20.
Mediante escrito presentado en la Secretaría del Tribunal de Justicia el 5 de julio de 2023, el SEPD interpuso recurso de casación contra la sentencia recurrida. Mediante auto del Presidente del Tribunal de Justicia de 29 de noviembre de 2023, (
12
) se admitió la intervención del Comité Europeo de Protección de Datos en apoyo de las pretensiones del SEPD y, mediante resolución de 20 de octubre de 2023, se admitió la intervención de la Comisión Europea en apoyo de la JUR.
21.
El SEPD solicita al Tribunal de Justicia que:
–
Anule la sentencia recurrida.
–
Resuelva definitivamente el litigio.
–
Condene a la JUR a cargar con las costas tanto del procedimiento de casación como del procedimiento ante el Tribunal General.
22.
El Comité Europeo de Protección de Datos, que interviene en apoyo del SEPD, solicita al Tribunal de Justicia que:
–
Anule la sentencia recurrida.
–
Resuelva definitivamente el litigio confirmando la decisión controvertida.
23.
La JUR solicita al Tribunal de Justicia que:
–
Desestime el recurso de casación.
–
Con carácter subsidiario, anule la decisión controvertida.
–
Con carácter subsidiario de segundo grado, devuelva el asunto al Tribunal General.
–
Condene al SEPD a cargar con las costas tanto del procedimiento de casación como del procedimiento ante el Tribunal General.
24.
La Comisión Europea, que interviene en apoyo de la JUR, solicita al Tribunal de Justicia que:
–
Desestime el recurso de casación.
–
Condene en costas al SEPD.
VI. Sobre el recurso de casación
25.
En apoyo de su recurso de casación, el SEPD, con el respaldo del Comité Europeo de Protección de Datos, invoca dos motivos. En el primer motivo, se cuestiona la interpretación realizada por el Tribunal General del concepto de «datos personales» en el sentido del artículo 3, puntos 1 y 6, del Reglamento 2018/1725, tal como ha sido interpretado por la jurisprudencia del Tribunal de Justicia. El segundo motivo se basa en la violación del principio de responsabilidad proactiva enunciado en los artículos 4, apartado 2, y 26, apartado 1, del mismo Reglamento.
A. Sobre el primer motivo de casación
26.
El primer motivo se divide en dos partes. La primera parte se refiere al requisito según el cual la información controvertida debe ser «sobre» una persona física, y la segunda parte versa sobre el requisito de que esa persona sea «identificada o identificable».
1.
Sobre la primera parte, relativa a la cuestión de si la información es «sobre» una persona física
a)
Alegaciones de las partes
27.
El SEPD, apoyado por el Comité Europeo de Protección de Datos, alega que el Tribunal General incurrió en error al considerar que el SEPD se había basado en una presunción relativa a la interpretación del requisito en virtud del cual la información transmitida a Deloitte había de referirse a una persona física, en el sentido del artículo 3, punto 1, del Reglamento 2018/1725. Según el SEPD, en las circunstancias del presente asunto, no era necesario un examen más profundo por su parte.
28.
La JUR sostiene, por su parte, que, como declaró el Tribunal General, el SEPD se limitó a indicar que los comentarios controvertidos presentados por los reclamantes en la fase de consulta del procedimiento relativo al derecho a ser oído reflejaban sus opiniones o puntos de vista, mientras que debería haber examinado si la información transmitida a Deloitte estaba relacionada con una persona concreta debido a su contenido, finalidad y efectos, como exige la sentencia Nowak.
b)
Apreciación
29.
Procede recordar que el Tribunal de Justicia ha declarado reiteradamente que el empleo de la expresión «toda información» en la definición del concepto de «datos personales» evidencia el objetivo del legislador de la Unión de atribuir a este concepto un significado muy amplio, que puede abarcar todo género de información, (
13
) tanto objetiva como subjetiva, en forma de opiniones o apreciaciones, siempre que, no obstante, sean «sobre» la persona en cuestión.
30.
A este respecto, una información se refiere a una persona física identificada o identificable cuando, debido a su contenido, finalidad o efectos, la información está «relacionada» con una persona determinada. (
14
)
31.
En cuanto a las opiniones o apreciaciones, como los comentarios de los reclamantes controvertidos en el presente asunto, estimo pertinente diferenciar según se examine si dichas opiniones o apreciaciones son «sobre» una o varias personas mencionadas en el texto de la opinión o apreciación, o si, como ocurre en el caso de autos, se trata de determinar si están relacionadas con su autor. En el primer supuesto, para concluir la existencia de una información sobre la persona que es objeto de la apreciación, es preciso analizar si el contenido, la finalidad o los efectos de la apreciación se refieren a dicha persona. En el segundo supuesto, en cambio, para determinar si la apreciación está relacionada con la persona que la emite, considero que podría presumirse que efectivamente es así y que una opinión o apreciación necesariamente está relacionada con su autor.
32.
Así, en la sentencia Nowak, se trataba en esencia de analizar la información contenida en un examen escrito. De este modo, dos personas se veían afectadas: el aspirante y el examinador. Es cierto que el Tribunal de Justicia examinó el contenido, la finalidad y los efectos de las respuestas del aspirante para deducir que se referían a él. Ahora bien, en lo que respecta más concretamente a las anotaciones del examinador, que expresan su opinión o valoración, (
15
) si bien el Tribunal de Justicia analizó el contenido, la finalidad y los efectos de la información contenida en el examen escrito para concluir que tales valoraciones se referían al aspirante, no efectuó ese mismo análisis para considerar que constituían información referente al examinador, que era su autor. (
16
) A mi parecer, no cabe descartar totalmente que pueda aplicarse una presunción (iuris tantum) para evaluar si una opinión, apreciación o, como sucede en el presente asunto, un comentario es «sobre» su autor.
33.
Concluyo en consecuencia que, salvo prueba en contrario, los comentarios controvertidos en el caso de autos, dado que procedían de los reclamantes y mostraban su «lógica y razonamiento», por lo que eran expresión de su «opinión subjetiva», necesariamente eran «concernientes» a dichos reclamantes, con independencia de la finalidad o los efectos de tales comentarios.
34.
En cualquier caso, aun a falta de dicha presunción en el caso de autos, estimo que los comentarios en cuestión son «sobre» los reclamantes debido a su contenido, su finalidad y sus efectos.
35.
A este respecto, la JUR sostiene que las alegaciones basadas en la finalidad y el contexto de los comentarios de que se trata son inoperantes, porque no fueron examinadas en la decisión controvertida, inadmisibles, ya que representan una alegación fáctica nueva, y, en todo caso, erróneas.
36.
Esta alegación no me resulta convincente. En efecto, tanto el examen realizado por el SEPD en la decisión controvertida como la apreciación del Tribunal General se inscriben en un contexto jurídico que fue tenido en cuenta y que menciona claramente la finalidad y los efectos de los comentarios presentados en el marco del procedimiento relativo al derecho a ser oído. Por consiguiente, las alegaciones relativas a la finalidad y los efectos de tales comentarios son útiles y admisibles.
37.
Por otra parte, en cuanto al fondo, del marco jurídico aplicable se desprende que la finalidad del procedimiento relativo al derecho a ser oído, en el marco del cual se presentaron los comentarios de que se trata, consistía en permitir que los accionistas y acreedores afectados colaborasen al procedimiento con el fin, en particular, de que la JUR pudiera disponer de toda la información necesaria para adoptar una decisión final sobre si era necesario conceder una compensación a los accionistas y acreedores afectados por la resolución de Banco Popular, con arreglo al principio según el cual ningún acreedor puede recibir un trato peor que en caso de liquidación con arreglo a un procedimiento de insolvencia ordinario. (
17
) Además, estos comentarios, después de que la JUR los tomara en consideración, podían producir efectos en los intereses y derechos de los reclamantes en materia de compensación financiera.
38.
Opino, por tanto, que los comentarios en cuestión se refieren a los interesados en el presente asunto, incluso por su finalidad y sus efectos.
39.
Debe añadirse que, ciertamente, los comentarios transmitidos a Deloitte estaban «filtrados, categorizados y agregados», de modo que, tal como resulta de los hechos constatados por el Tribunal General, (
18
) no podían distinguirse, dentro de un mismo tema, comentarios individuales. No obstante, cabe aceptar que, incluso agregados, esos comentarios colectivos reflejan, en su contenido, puntos de vista personales acerca de la valoración 3. En efecto, constituyen una suma de opiniones que, en cuanto tales, son información sobre las personas que las han expresado. El hecho de que se hayan filtrado, categorizado y agregado no modifica esta constatación, ya que, en caso contrario, para eludir el requisito de información «sobre» una persona física, sería suficiente agregar varios puntos de vista. La circunstancia de que no sea posible distinguir, dentro de esta suma de comentarios, las diferentes opiniones individuales corresponde más bien al ámbito del segundo requisito acumulativo, relativo a la posibilidad de identificar a los interesados, que se examina en el marco de la segunda parte del presente motivo, y no al requisito según el cual el comentario ha de estar «relacionado» con una persona física.
40.
A la vista de lo anterior, en mi opinión, puede considerarse que la apreciación del Tribunal General adolece de error de Derecho en este punto, en la medida en que consideró que el SEPD no había llevado a cabo el examen exigido por la sentencia Nowak para concluir que los comentarios en cuestión eran «sobre» personas físicas en el sentido del artículo 3, punto 1, del Reglamento 2018/1725.
41.
Si el Tribunal de Justicia decidiera desestimar esta primera parte y considerase que los comentarios seudonimizados en cuestión no se referían a sus autores, el examen de la segunda parte sería superfluo, en la medida en que, de conformidad con el artículo 3, punto 1, del Reglamento 2018/1725, se trata de un requisito necesario para que exista un dato personal y es acumulativo con el requisito de la identificabilidad de los interesados, que se examina más adelante.
2.
Sobre la segunda parte, relativa al requisito de identificabilidad de los interesados
42.
El SEPD y el Comité Europeo de Protección de Datos alegan, en esencia, que el Tribunal General cometió dos errores, el primero relativo al concepto de seudonimización y el segundo en cuanto a la interpretación de la sentencia Breyer, (
19
) mientras que la JUR y la Comisión rebaten tal argumento.
a)
Sobre la primera imputación, basada en un error en cuanto a los efectos de la seudonimización
43.
Esta imputación pone de manifiesto la existencia de dos enfoques muy distintos en cuanto al alcance del ámbito de aplicación de las normas de protección de datos. ¿Deben incluirse automáticamente los datos seudonimizados por la sola razón de que los interesados sigan siendo identificables, con independencia de la posibilidad de acceder a los datos adicionales de identificación, o hay que considerar que, tras el proceso de seudonimización, los datos presentan carácter personal únicamente para las personas que razonablemente puedan identificar a los interesados?
1) Alegaciones de las partes
44.
El SEPD y el Comité Europeo de Protección de Datos sostienen, en esencia, que los datos seudonimizados siguen siendo datos personales por la sola razón de que los interesados continúan siendo identificables, ya que la información que permite identificarlos sigue existiendo. Afirman que el enfoque del Tribunal General es erróneo por cuanto permite considerar que los datos seudonimizados son datos anonimizados respecto al destinatario, lo cual plantea un riesgo para la protección de los interesados y genera confusión entre la seudonimización y la anonimización. Dicho enfoque, contrario al tenor y al objetivo del Reglamento 2018/1725, permitiría al responsable del tratamiento excluir indebidamente los datos personales del ámbito de aplicación del Derecho de la Unión en materia de protección de datos personales.
45.
La JUR y la Comisión sostienen, por su parte, que los datos seudonimizados continúan siendo datos personales para el responsable del tratamiento que llevó a cabo la seudonimización, pero, para los destinatarios, es necesario examinar si los interesados son identificables. Además, aunque el artículo 3, punto 1, del Reglamento 2018/1725 no precisa quién ha de estar en condiciones de identificar al interesado, a la luz del considerando 16 y en el contexto del artículo 15, apartado 1, letra d), de dicho Reglamento, lo que resulta pertinente es el punto de vista del destinatario. En su opinión, si este destinatario no recibe datos personales, los interesados carecen de interés en ser informados de la transmisión de los datos, puesto que sus derechos no se ven afectados.
2) Apreciación
46.
De entrada, no es ocioso recordar que la seudonimización es un tratamiento aplicado a los datos personales para, según el considerando 17 del Reglamento 2018/1725, «reducir los riesgos» de que se establezca una correlación entre un conjunto de datos y la identidad de un interesado y «ayudar a los responsables y a los encargados del tratamiento a cumplir sus obligaciones de protección de los datos».
47.
El artículo 3, punto 6, del Reglamento 2018/1725 define la seudonimización como «el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado concreto sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable». (
20
)
48.
Por consiguiente, la seudonimización no es un elemento de la definición de datos personales, que se establece en el artículo 3, punto 1, del Reglamento 2018/1725 a la luz del concepto de «identificabilidad» del interesado. Además, como señaló la Comisión en su escrito de formalización de la intervención, el Reglamento define el concepto de «seudonimización», haciendo referencia al procedimiento de adopción de medidas de salvaguardia o de medidas técnicas y organizativas, pero no el concepto de «datos seudonimizados».
49.
Esta interpretación resulta confirmada por la lectura del artículo 3, punto 6, en relación con el considerando 16, del citado Reglamento, cuya primera frase señala que «los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable».
50.
Además, el considerando 16 del Reglamento 2018/1725 merece un análisis más detallado. (
21
) En efecto, contiene una segunda frase según la cual «los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable». A continuación, figuran las frases tercera y cuarta que especifican el contenido de este requisito de identificabilidad.
51.
Deduzco del tenor de estas disposiciones que la seudonimización deja abierta la posibilidad de que los interesados no sean identificables, pues de lo contrario la formulación del considerando 16 no tendría razón de ser. Añadiré que las últimas frases del referido considerando referentes a la anonimización confirman esta interpretación: excluyen los datos anonimizados (o convertidos en anónimos) del ámbito de aplicación del Reglamento 2018/1725, (
22
) pero solo excluyen los datos seudonimizados en la medida en que las personas interesadas no sean identificables. En caso de imposibilidad de identificar a tales personas, se considera que, desde el punto de vista jurídico, están protegidas de forma suficiente por el procedimiento de seudonimización, pese a que los datos adicionales de identificación no hayan sido eliminados totalmente.
52.
En otras palabras, no se pretende excluir automáticamente los datos seudonimizados del ámbito de aplicación de dicho Reglamento. (
23
) Sin embargo, a la luz del considerando 16 de este, no cabe descartar que tales datos puedan quedar excluidos, en determinadas circunstancias, del concepto de «datos personales».
53.
Contrariamente a lo que afirma el SEPD, tal enfoque no me parece contrario al objetivo de garantizar un nivel elevado de protección de los datos personales, en particular a la luz de las exigencias de identificabilidad establecidas por las disposiciones aplicables, por un lado, y a la vista de su interpretación por la jurisprudencia, por otro.
54.
En primer lugar, en efecto, el considerando 16 del Reglamento 2018/1725 se refiere a la posibilidad de identificación por el responsable del tratamiento «o cualquier otra persona»: esta acepción amplia, aunque no ilimitada, (
24
) se inscribe en un enfoque protector de los datos personales.
55.
Del mismo modo, de conformidad con este considerando 16, deben tenerse en cuenta los medios que razonablemente puedan ser utilizados para identificar directa o indirectamente a una persona física, tomando en consideración todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos, lo cual constituye una definición amplia y protectora de los datos personales.
56.
En segundo lugar, la interpretación del concepto de «identificabilidad» por la jurisprudencia, basada en el riesgo de reidentificación de los interesados, permite igualmente una aplicación amplia del concepto de datos personales. Así, el Tribunal de Justicia ha calificado sistemáticamente de «datos personales» aquellos datos que, pese a estar disociados de los datos de identificación en poder de cualquier otra persona, podían entrañar, en el contexto en cuestión, el riesgo de que se volviera a identificar a los interesados. (
25
)
57.
Por tanto, únicamente puede considerarse que un dato queda excluido del concepto jurídico de «datos personales» si el riesgo de identificación es inexistente o insignificante. (
26
)
58.
No me convencen las alegaciones del SEPD y del Comité Europeo de Protección de Datos relativas a los riesgos que se derivan de una interpretación demasiado estricta de los datos personales. En efecto, el hecho de que las normas contenidas en el Reglamento 2018/1725 no se apliquen a los datos sobre personas no identificables no impide que se genere, en su caso, la responsabilidad jurídica de las entidades que incurren en comportamientos censurables, por ejemplo, en caso de divulgación de datos que ocasione un perjuicio. En cambio, me parece desproporcionado imponer a una entidad que no puede razonablemente identificar a los interesados las obligaciones dimanantes del Reglamento 2018/1725, (
27
) obligaciones que esa entidad no podría, en principio, cumplir o que le exigirían precisamente intentar identificar a los interesados.
59.
Habida cuenta de estas consideraciones, si se analiza el litigio a la luz de los datos transmitidos a Deloitte, opino que, contrariamente a lo que sostiene el SEPD, debía determinarse si el tratamiento de seudonimización de los datos en cuestión era suficientemente robusto para concluir que los reclamantes, autores de la información transmitida a Deloitte, no eran razonablemente identificables. Dicho de otro modo, en este contexto, si Deloitte disponía de medios razonables para identificar a los reclamantes, podría considerarse que realizaba un tratamiento de datos personales.
60.
Por consiguiente, en mi opinión, debe desestimarse la primera imputación formulada por el SEPD.
b)
Sobre la segunda imputación, basada en un error en la comparación realizada con la sentencia Breyer
1) Alegaciones de las partes
61.
Según el SEPD, apoyado por el Comité Europeo de Protección de Datos, los datos seudonimizados de que se trata constituyen datos personales para la JUR y, por tanto, la JUR estaba obligada a informar a los interesados sobre el destinatario. Alega, en esencia, que el Tribunal General interpretó erróneamente la sentencia Breyer, que se refería a una situación de hecho diferente.
62.
Por el contrario, según la JUR, respaldada por la Comisión, la comparación con la sentencia Breyer resulta pertinente y lleva a concluir que la obligación de información solo se aplica si los datos transmitidos son datos personales desde el punto de vista del destinatario, en este caso Deloitte, lo cual, como declaró acertadamente el Tribunal General, no se ha demostrado en el presente asunto.
2) Apreciación
63.
A mi juicio, la obligación de información prevista en el artículo 15, apartado 1, letra d), del Reglamento 2018/1725 y el paralelismo con la sentencia Breyer conducen, en el caso de autos, a una solución distinta de la adoptada por el Tribunal General, que expondré en el marco del análisis de la presente imputación.
64.
El artículo 4, apartado 1, letra a), del Reglamento 2018/1725 exige un tratamiento lícito, leal y transparente de los datos en relación con el interesado.
65.
En particular, el artículo 15, apartado 1, letra d), de dicho Reglamento, dispone que, cuando se obtengan de un interesado sus datos personales, el responsable del tratamiento le informará, «en el momento en que estos [datos] se obtengan», de los eventuales destinatarios o categorías de destinatarios de los datos personales. Resulta así que el responsable del tratamiento debe dar dicha información inmediatamente, a saber, en el momento en el que se recaban los datos. (
28
)
66.
Asimismo, confirma la importancia que reviste el cumplimiento de tal obligación de información el considerando 35 del Reglamento 2018/1725, que señala que los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines, destacando que el responsable del tratamiento debe facilitar cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. (
29
)
67.
Tal obligación de información es tanto más importante cuanto que la validez del consentimiento dado por el interesado depende, entre otros elementos, de si obtuvo previamente la información a la que tenía derecho en relación con todas las circunstancias que rodean el tratamiento de los datos en cuestión, según lo dispuesto en los artículos 14 y 15 del Reglamento 2018/1725, y que le permite dar su consentimiento con pleno conocimiento de causa. (
30
)
68.
Cabe añadir que la única excepción a esta obligación de información prevista en el artículo 15, apartado 4, del Reglamento 2018/1725 se refiere al supuesto en que el interesado ya disponga de la información en cuestión.
69.
De ello deduzco que, en el presente asunto, esta obligación de información se inscribe en el marco de la relación jurídica existente entre los interesados, en este caso los reclamantes, por una parte, y la JUR como responsable del tratamiento, por otra, y no en el marco de la relación entre la JUR y el destinatario, es decir, Deloitte. La obligación de información tiene así por objeto los datos tal como los poseía la JUR antes de transmitirlos a Deloitte. Pues bien, no ha resultado controvertido que se trata de datos personales, ya que la JUR tiene en su poder los comentarios y la base de identificación de las personas que los formularon.
70.
Este enfoque del «punto de vista pertinente» (
31
) me lleva así a una solución distinta de la del Tribunal General, incluso efectuando la comparación con la sentencia Breyer.
71.
Procede recordar que, en el litigio que dio lugar a la cuestión prejudicial planteada en dicha sentencia, el Sr. Breyer pretendía que se prohibiera al responsable del tratamiento (la República Federal de Alemania) conservar su dirección IP dinámica. La información adicional que permitía su identificación a través de la dirección IP vinculada a su ordenador no estaba en poder del responsable del tratamiento, sino del proveedor de acceso a Internet. Por tanto, la cuestión consistía en determinar si la dirección IP dinámica que tenía en su poder el responsable del tratamiento podía calificarse de «datos personales» y, por tanto, en el marco de la relación jurídica entre el Sr. Breyer y el responsable del tratamiento, generar obligaciones de conservación a cargo de este último, aun cuando los elementos de identificación del Sr. Breyer estaban en poder de una persona distinta del responsable del tratamiento. Se concluyó, en resumen, que, aunque el responsable del tratamiento no poseía la información adicional de identificación, podía razonablemente acceder a ella, por lo que la dirección IP dinámica fue considerada un «dato personal».
72.
En el caso de autos, como se ha recordado antes, (
32
) la obligación de información se inscribe en el marco de la relación entre los interesados (los reclamantes) y el responsable del tratamiento (la JUR): la obligación de información nace cuando los datos son recopilados por la JUR y, en lo que atañe en particular a la información relativa al destinatario, a más tardar cuando este sea conocido. Pues bien, cuando ese momento se materializa, los datos en cuestión adquieren carácter de datos personales en poder de la JUR, que posee la información adicional de identificación. Habida cuenta de la obligación de información controvertida y teniendo en cuenta el momento en que esta se materializa, los datos en cuestión constituían, pues, datos personales, con independencia de su identificabilidad por Deloitte, que no se veía afectada ni por la relación jurídica entre los reclamantes y la JUR, la única que resulta pertinente, ni por dicha obligación de información a cargo de la JUR.
73.
Por esta razón, estimo que, en el presente asunto, el paralelismo con la sentencia Breyer habría de relativizarse.
74.
De ello se deduce que la obligación de información incumbía a la JUR como responsable del tratamiento y debido a su relación con los reclamantes, de los que recabó los datos en cuestión, con independencia de que los datos, tal como se transmitieron a Deloitte, tuvieran o no carácter personal.
75.
Consecuentemente, la alegación de la JUR, reiterada en la vista, según la cual es pertinente el punto de vista del destinatario, puesto que es preciso comprobar si es o no «destinatario de datos personales», debe ser desestimada.
76.
A este respecto, es cierto que el texto del artículo 15, apartado 1, letra d), del Reglamento 2018/1725, que alude a los «destinatarios […] de los datos personales», puede prestarse a confusión. Sin embargo, el efecto útil de esta disposición requiere que la información sea transmitida a los interesados lo antes posible y antes de la transmisión de datos. (
33
) En el presente asunto, aunque la JUR no tuviera, al recabar inicialmente los comentarios, la intención de solicitar asesoramiento a Deloitte para determinar si tales comentarios modificaban la valoración 3, de la decisión controvertida ante el Tribunal General resulta que Deloitte asistió a la JUR en el marco del procedimiento del derecho a ser oído. (
34
) Además, cabe considerar que la intención de la JUR de comunicar los datos seudonimizados a Deloitte existió, a más tardar, en el momento en que decidió tratar los comentarios precisamente con el fin de seudonimizarlos, (
35
) pues de lo contrario la seudonimización no tendría justificación alguna.
77.
Por tanto, opino que el hecho de controlar el cumplimiento de la obligación de información en el momento en que los datos fueron transmitidos por la JUR a Deloitte, situándose en el punto de vista del destinatario para determinar si los datos en cuestión son o no de carácter personal, supone desplazar en el tiempo dicho control. Por consiguiente, dicho control se diferiría erróneamente, ya que se efectuaría sobre los datos ya transmitidos al destinatario, aun cuando el objeto de la obligación de información se refiere a la relación entre la JUR y los reclamantes y persigue permitir el consentimiento informado de estos últimos antes de la transmisión.
78.
Por añadidura, en lo que atañe al consentimiento de los reclamantes, su participación en el procedimiento relativo al derecho a ser oído puede interpretarse ciertamente como un consentimiento implícito a compartir datos personales con el responsable del tratamiento a fin de que sus comentarios se tengan en cuenta. No obstante, esto no basta, a mi juicio, para que constituya un consentimiento informado a la seudonimización de los datos y su transmisión a Deloitte sin información previa a este respecto por parte de la JUR. (
36
)
79.
De ello se desprende, a mi juicio, que la obligación de información de la JUR se aplicaba en el presente asunto antes de la transmisión de los datos en cuestión, con independencia de si tenían carácter de datos personales cuando llegaron a Deloitte.
80.
Por tanto, el hecho de si la seudonimización es suficientemente robusta y eficaz, de modo que pueda determinarse si los datos en posesión de Deloitte constituyen o no datos personales, no me parece finalmente útil a efectos de la obligación de información que incumbe a la JUR.
81.
En consecuencia, en el caso de autos, debía cumplirse la obligación de información que incumbía a la JUR como responsable del tratamiento y, por esta razón, la sentencia recurrida debe ser anulada por error de Derecho.
82.
Dado que el punto de vista del destinatario de los datos en cuestión carece de pertinencia a efectos de la obligación de información prevista en el artículo 15, apartado 1, letra d), del Reglamento 2018/1725, las alegaciones de las partes en torno a la posibilidad de Deloitte de identificar a los interesados, por medios legales y factibles en la práctica, resultan inoperantes y no procede, en consecuencia, examinarlas.
83.
En caso de que el Tribunal de Justicia no compartiera esta opinión, he de señalar, con carácter subsidiario, que el SEPD cuestiona a este respecto la constatación del Tribunal General de que Deloitte no tuvo acceso a los datos de identificación. Se basa en particular en la relación contractual de subcontratación existente entre la JUR y Deloitte. La JUR y la Comisión alegan que, de este modo, el SEPD plantea nuevas alegaciones de hecho, que son inadmisibles en la fase de casación. Estoy de acuerdo. En efecto, la existencia de una relación contractual entre la JUR y Deloitte, que demuestre la posibilidad de que Deloitte solicite a la JUR la identificación de los reclamantes, constituye una alegación nueva sobre la que el Tribunal General no se ha pronunciado en absoluto. En consecuencia, esta alegación debería, en su caso, ser declarada inadmisible en virtud del artículo 170, apartado 1, frase segunda, del Reglamento de Procedimiento del Tribunal de Justicia, según el cual el recurso de casación no puede modificar el objeto del litigio planteado ante el Tribunal General. (
37
)
B. Sobre el segundo motivo, que se examina con carácter subsidiario
84.
Mediante su segundo motivo, basado en la violación del principio de responsabilidad proactiva enunciado en el artículo 4, apartado 2, y en el artículo 26, apartado 1, del Reglamento 2018/1725, el SEPD, con el apoyo del Comité Europeo de Protección de Datos, sostiene que el Tribunal General declaró erróneamente que incumbía al SEPD demostrar que la información transmitida a Deloitte eran datos personales, vulnerando el principio de responsabilidad de la JUR.
85.
Habida cuenta de lo anterior y, en particular, de los puntos 81 y 82 de las presentes conclusiones, considero que no procede examinar este segundo motivo.
86.
Por tanto, solo lo abordaré brevemente, con carácter subsidiario.
87.
En cuanto a la admisibilidad, cuestionada por la JUR, de este motivo no invocado ante el Tribunal General, procede recordar que un recurrente puede interponer un recurso de casación alegando motivos derivados de la propia sentencia recurrida y por los que se pretenda criticar sus fundamentos jurídicos. (
38
) A mi juicio, este es el caso del presente motivo que, por consiguiente, es admisible.
88.
En cuanto al fondo, ha de recordarse que el Tribunal General declaró que, al no haber investigado el SEPD si Deloitte disponía de medios legales y factibles en la práctica para poder acceder a la información adicional necesaria para volver a identificar a los reclamantes, el SEPD no podía concluir que la información transmitida a Deloitte constituía información sobre una «persona física identificable» en el sentido del artículo 3, punto 1, del Reglamento 2018/1725.
89.
El SEPD, apoyado por el Comité Europeo de Protección de Datos, afirma, en esencia, que el Tribunal General debería haber comprobado si la JUR, responsable del tratamiento, había demostrado que había anonimizado los datos controvertidos frente a Deloitte.
90.
La JUR rebate esta alegación aduciendo que el principio de responsabilidad proactiva solo se aplica cuando existen datos personales y que, en el presente asunto, los datos en poder de Deloitte habían sido anonimizados.
91.
La Comisión, por su parte, señala que, de entrada, recae sobre el SEPD una carga probatoria razonable para demostrar, sobre la base de los elementos de prueba disponibles, la existencia de datos personales. Incumbe después al responsable del tratamiento refutar esta conclusión presentando pruebas adicionales.
92.
Procede recordar que, en virtud del artículo 4, apartado 1, letra a), del Reglamento 2018/1725, los datos personales serán tratados de manera lícita, leal y transparente en relación con el interesado. El artículo 4, apartado 2, del citado Reglamento dispone que «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo». Así pues, del principio de responsabilidad proactiva enunciado en el artículo 4, apartado 2, y desarrollado en el artículo 26, apartado 1, del citado Reglamento se desprende que el responsable del tratamiento debe ser capaz de demostrar que respeta los principios relativos al tratamiento de datos personales establecidos en el artículo 4, apartado 1. (
39
)
93.
En la medida en que el responsable del tratamiento aporte elementos de prueba suficientes en este sentido, podrá considerarse que ha satisfecho la carga de la prueba que le incumbe. (
40
)
94.
En el caso de autos, entiendo que la JUR invocó varios elementos de hecho (en particular, los procedimientos de filtrado, categorización y agregación de los comentarios, que se describen en la decisión controvertida y en la sentencia recurrida) para demostrar, conforme al principio de responsabilidad que le incumbía, que la identificación por Deloitte de los interesados era imposible.
95.
Ante el Tribunal General, el SEPD opuso a este respecto una posición de principio consistente en colocarse en el punto de vista de la JUR y no de Deloitte, y calificar así como «datos personales» los comentarios transmitidos a Deloitte.
96.
Si se admite, a efectos del examen subsidiario del presente motivo, que el punto de vista de Deloitte resultaba pertinente en el presente asunto, (
41
) podría considerarse que, como declaró el Tribunal General, correspondía al SEPD demostrar (
42
) por qué razón, jurídica o técnica, el procedimiento de seudonimización aplicado por la JUR en el presente asunto no era suficiente y debía llevar a la conclusión de que Deloitte realizó un tratamiento de datos personales.
97.
En consecuencia, opino que, en tal caso, procedería confirmar la sentencia recurrida en lo que respecta a este segundo motivo.
VII. Sobre el recurso ante el Tribunal General
98.
En virtud del artículo 61, párrafo primero, del Estatuto del Tribunal de Justicia de la Unión Europea, cuando se estime el recurso de casación, el Tribunal de Justicia anulará la resolución del Tribunal General. En tal caso, el Tribunal de Justicia podrá o bien resolver él mismo definitivamente el litigio, cuando su estado así lo permita, o bien devolver el asunto al Tribunal General para que este último resuelva.
99.
El primer motivo formulado por la JUR ante el Tribunal General contra la decisión controvertida se basó en la infracción del artículo 3, punto 1, del Reglamento 2018/1725. De los puntos 63 a 82 de las presentes conclusiones se desprende que, dado que la JUR incumplió la obligación de información que le incumbía en virtud del artículo 15, apartado 1, letra d), del Reglamento 2018/1725, en mi opinión, debe confirmarse, por tanto, la decisión controvertida.
100.
En cambio, a mi parecer, el segundo motivo, basado en la vulneración por el SEPD del derecho a una buena administración en el marco del procedimiento que dio lugar a la adopción de la decisión controvertida, no está en estado de poder ser resuelto.
101.
En efecto, la JUR alega, en particular, que, en el marco del procedimiento administrativo previo a la adopción de la decisión controvertida, el SEPD vulneró su derecho de acceso al expediente, su derecho a ser oído y el principio de igualdad de armas, al denegarle el acceso al expediente, por un lado, y no comunicarle las observaciones de los reclamantes o su contenido, por otro lado.
102.
Pues bien, el Tribunal General consideró que, al haberse estimado el primer motivo del recurso, no procedía examinar el segundo motivo invocado ante él. Por consiguiente, este motivo, que implica en particular apreciaciones de hecho, no está en estado de poder ser resuelto. Por consiguiente, considero que debe devolverse el asunto al Tribunal General para que se pronuncie al respecto, reservando la decisión sobre las costas.
VIII. Conclusión
103.
Habida cuenta de las consideraciones anteriores, propongo al Tribunal de Justicia que resuelva lo siguiente:
–
Anular la sentencia del Tribunal General de 26 de abril de 2023, JUR/SEPD (T‑557/20, EU:T:2023:219).
–
Devolver el asunto al Tribunal General para que se pronuncie sobre el segundo motivo invocado ante él.
–
Reservar la decisión sobre las costas.
(
1
)	Lengua original: francés.
(
2
)	Reglamento del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO 2018, L 295, p. 39).
(
3
)	DO 2014, L 225, p. 1.
(
4
)	Decisión (UE) 2017/1246, de 7 de junio de 2017, por la que se aprueba el régimen de resolución del Banco Popular Español, S. A. (DO 2017, L 178, p. 15).
(
5
)	El artículo 20, apartado 1, del Reglamento n.o 806/2014 establece que esta persona será «independiente tanto de las autoridades públicas, entre ellas la [JUR] y la autoridad nacional de resolución, como del ente […] de que se trate». El artículo 20, apartado 16, de este Reglamento se remite al artículo 20, apartado 1, en lo que respecta al concepto de «persona independiente».
(
6
)	Se trata de un identificador único universal de treinta y tres cifras, generado de forma aleatoria.
(
7
)	De la decisión controvertida resulta que Deloitte asistió a la JUR como persona independiente en su proceso decisorio. Se desprende asimismo de esta decisión que, el 18 de marzo de 2020, la JUR determinó que no se adeudaba compensación alguna a los accionistas y acreedores afectados e indicó que la citada decisión se había basado en la evaluación efectuada por Deloitte con posterioridad a la resolución y sobre el análisis de los comentarios recibidos en el marco del procedimiento relativo al derecho a ser oído.
(
8
)	Mediante la segunda pretensión, se solicitaba la declaración de ilegalidad de la decisión inicial. En la sentencia recurrida, el Tribunal General desestimó dicha pretensión por falta de competencia, por cuanto lo que la JUR pretendía era obtener una sentencia declarativa y no la anulación de un acto.
(
9
)	Véanse los apartados 64, 73 y 74 de la sentencia recurrida.
(
10
)	Sentencia de 20 de diciembre de 2017 (C‑434/16, en lo sucesivo, sentencia Nowak, EU:C:2017:994). En las presentes conclusiones, se citarán por analogía las sentencias que aplican la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»). En efecto, como se desprende de los considerandos 4 y 5 del Reglamento 2018/1725 y de los artículos 2, apartado 3, y 98 del RGPD, el legislador de la Unión pretendió establecer un régimen de protección de los datos personales por las instituciones, órganos y organismos de la Unión equivalente al del RGPD con el fin de garantizar una protección uniforme y coherente de las personas físicas en lo que respecta al tratamiento de sus datos personales en la Unión (véase la sentencia de 7 de marzo de 2024, OC/Comisión, C‑479/22 P, EU:C:2024:215, apartado 43).
(
11
)	Véanse los apartados 100, 103 y 105 de la sentencia recurrida.
(
12
)	Auto SEPD/JUR (C‑413/23 P, EU:C:2023:1036).
(
13
)	Véase, en particular, la enumeración no exhaustiva contenida en el punto 36 de las conclusiones del Abogado General Pitruzzella presentadas en el asunto Österreichische Datenschutzbehörde y CRIF (C‑487/21, EU:C:2022:1000).
(
14
)	Véase la sentencia Nowak, apartados 34 y 35. Véanse, además, las sentencias de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF (C‑487/21, EU:C:2023:369), apartados 23 y 24; de 22 de junio de 2023, Pankki S (C‑579/21, EU:C:2023:501), apartados 42 y 43; de 7 de marzo de 2024, OC/Comisión (C‑479/22 P, EU:C:2024:215), apartado 45, y de 7 de marzo de 2024, IAB Europe (C‑604/22, EU:C:2024:214), apartados 36 y 37.
(
15
)	Sentencia Nowak, apartado 43.
(
16
)	Sentencia Nowak, apartado 44, in fine.
(
17
)	Véanse, en este sentido, los apartados 5 a 7 de la sentencia recurrida y el punto 9 de las presentes conclusiones.
(
18
)	Véase el apartado 23 de la sentencia recurrida.
(
19
)	Sentencia de 19 de octubre de 2016 (C‑582/14, en lo sucesivo, sentencia Breyer, EU:C:2016:779).
(
20
)	Véase también, a este respecto, el dictamen sobre el concepto de datos personales (Grupo de Trabajo del Artículo 29, Dictamen 4/2007, de 20 de junio de 2007, WP 136), así como el dictamen que aborda expresamente las técnicas de anonimización y seudonimización (Grupo de Trabajo del Artículo 29, Dictamen 05/2014, de 10 de abril de 2014, WP 216). Este procedimiento de seudonimización es, por tanto, especialmente importante, en particular en el contexto de la investigación y las estadísticas.
(
21
)	Si bien no tienen valor jurídico vinculante ni pueden servir de base para una interpretación que sea contraria a los objetivos perseguidos por el Reglamento 2018/1725, el Tribunal de Justicia ha recurrido frecuentemente a los considerandos para interpretar las disposiciones de un acto jurídico de la Unión (véanse, en particular, las conclusiones del Abogado General Szpunar presentadas en el asunto Planet49, C‑673/17, EU:C:2019:246, punto 71, y de la Abogada General Kokott presentadas en el asunto Comisión/CK Telecoms UK Investments, C‑376/20 P, EU:C:2022:817).
(
22
)	Por lo demás, desde el punto de vista estrictamente técnico, la anonimización no excluye la posibilidad de reidentificación, razón por la cual los responsables de tratamiento que apliquen técnicas de anonimización deben analizar periódicamente el consiguiente riesgo de reidentificación, evaluando caso por caso la gravedad y probabilidad de dicho riesgo (véase, a este respecto, Tambou, O., Manuel de droit européen de la protection des données à caractère personnel, Bruylant, 2020, apartado 68 y las referencias citadas, en particular, en la nota 162).
(
23
)	Si bien la intención inicial de la introducción del concepto de «seudonimización» en el RGPD fue aportar flexibilidad para aligerar las obligaciones en materia de protección de datos [véase, en este sentido, Kuner, C., Bygave, L. A., y Docksey, C., «Background and Evolution of the EU General Data Protection Regulation (GDPR)», en Kuner, C., Bygrave, L. A., Docksey, C., y Drechsler, L. (dir.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, pp. 1 a 47], el Consejo no mantuvo esta intención en el considerando 26 del RGPD, cuyo texto ha sido reproducido en el considerando 16 del Reglamento 2018/1725.
(
24
)	Como indicó el Abogado General Campos Sánchez‑Bordona en los puntos 64 a 67 de sus conclusiones presentadas en el asunto Breyer (C‑582/14, EU:C:2016:339), «nunca podrá descartarse, con absoluta certeza, que no haya un tercero en posesión de datos adicionales susceptibles de ser combinados con aquella información y aptos, en consecuencia, para desvelar la identidad de una persona. […] Creo, sin embargo, que esa preocupación —por lo demás muy legítima— no puede llevar a ignorar los términos de la voluntad normativa del legislador y que la interpretación sistemática del considerando [16 del Reglamento 2018/1725] se contrae a los “medios que puedan ser razonablemente utilizados”por ciertos terceros».
(
25
)	Por ejemplo, en la sentencia Breyer, una dirección IP dinámica en poder de un proveedor de servicios de medios en línea, aunque estaba disociada de los datos de identificación poseídos por el proveedor de acceso a Internet, fue calificada de «dato personal», puesto que el proveedor de servicios de medios en línea disponía de medios susceptibles de ser razonablemente utilizados para obtener la identificación del interesado mediante dicha dirección IP. De igual manera, la sentencia de 9 de noviembre de 2023, Gesamtverband Autoteile-Handel (Acceso a las informaciones sobre los vehículos) (C‑319/22, EU:C:2023:837), versaba sobre el VIN (número de bastidor) de un vehículo, definido como el código alfanumérico asignado a un vehículo por su fabricante para garantizar la identificación adecuada de ese vehículo. El VIN, aunque no tiene por sí mismo carácter personal, adquiere ese carácter para quien dispone razonablemente de medios que permitan asociarlo con una persona determinada (apartado 46) y vincularlo así a una persona física identificada o identificable (apartado 49). Asimismo, un comunicado de prensa de la Oficina Europea de Lucha contra el Fraude (OLAF), en el que figuran identificadores que permiten identificar a la recurrente, bien sobre la base de una mera lectura objetiva del referido comunicado, bien apoyándose en medios «que razonablemente pudiera utilizar» alguno de sus lectores, constituye un dato personal (sentencia de 7 de marzo de 2024, OC/Comisión, C‑479/22 P, EU:C:2024:215). De la misma manera, en la sentencia de 7 de marzo de 2024, IAB Europe (C‑604/22, EU:C:2024:214), la asociación IAB, que representa a las empresas del sector de la publicidad y del marketing digitales, había establecido un marco para el registro de las preferencias de los usuarios de sitios de Internet, codificadas mediante una «TC String» (combinación de letras y caracteres). Dicha TC String fue considerada un dato personal, ya que, asociada a un identificador, hacía posible identificar al usuario de Internet en cuestión, incluso por IAB, que no poseía los elementos de identificación, pero podía acceder indirectamente a ellos a través de medios razonables (apartados 48 a 50 de la sentencia).
(
26
)	Del apartado 46 de la sentencia Breyer se desprende que así sucede cuando la identificación del interesado esté prohibida por la ley o sea prácticamente irrealizable, por ejemplo, porque implique un esfuerzo desmesurado en cuanto a tiempo, costes y recursos humanos.
(
27
)	Cabe mencionar, por ejemplo, las obligaciones derivadas del derecho de rectificación de datos personales, previsto en el artículo 18 del Reglamento 2018/1725.
(
28
)	Véase, por analogía, la sentencia de 29 de julio de 2019, Fashion ID (C‑40/17, EU:C:2019:629), apartado 104 y jurisprudencia citada. Véanse, asimismo, las conclusiones del Abogado General Szpunar presentadas en el asunto Association Mousse (C‑394/23, EU:C:2024:610), punto 58.
(
29
)	Véanse, por analogía, las sentencias de 1 de octubre de 2015, Bara y otros (C‑201/14, EU:C:2015:638), apartado 34; de 1 de octubre de 2019, Planet49 (C‑673/17, EU:C:2019:801), apartado 77, y de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación) (C‑757/22, EU:C:2024:598), apartado 57. El considerando 36 del Reglamento 2018/1725 precisa además que «si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez». Dicho de otro modo, si surge un elemento nuevo, debe ponerse en conocimiento de los interesados antes de ese «tratamiento ulterior» (véase, en este sentido, por analogía, la sentencia de 27 de abril de 2022, Roos y otros/Parlamento, T‑710/21, T‑722/21 y T‑723/21, EU:T:2022:262, apartado 171).
(
30
)	Véanse, por analogía, la sentencia de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación) (C‑757/22, EU:C:2024:598), apartado 60, y las conclusiones del Abogado General Richard de la Tour presentadas en ese mismo asunto (EU:C:2024:88), punto 47. Véase, asimismo, el artículo 14, apartado 1, del Reglamento 2018/1725, según el cual «el responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 15 y 16 […] relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo».
(
31
)	En la medida en que se constate que este enfoque no fue abordado en los escritos procesales, he de señalar que, además de que fue mencionado en la vista ante el Tribunal de Justicia, dicho enfoque se inscribe en el marco del presente litigio, ya que persigue determinar el punto de vista pertinente en relación con la obligación de información controvertida en el caso de autos. En este contexto, aunque solo deba pronunciarse sobre las pretensiones de las partes, a las cuales corresponde delimitar el marco del litigio, el juez no puede atenerse únicamente a las alegaciones formuladas por estas en apoyo de sus pretensiones, so pena de verse obligado, en su caso, a fundar su decisión en consideraciones jurídicas erróneas (véase la sentencia de 21 de septiembre de 2010, Suecia y otros/API y Comisión, C‑514/07 P, C‑528/07 P y C‑532/07 P, EU:C:2010:541, apartado 65 y jurisprudencia citada).
(
32
)	Véase el punto 69 de las presentes conclusiones.
(
33
)	Sobre el carácter previo de la información para permitir un consentimiento informado, véase la sentencia de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación) (C‑757/22, EU:C:2024:598), apartado 60.
(
34
)	Véase la nota 7 que figura en el punto 12 de las presentes conclusiones.
(
35
)	Véanse los apartados 13 y ss. de la sentencia recurrida. Véanse también las respuestas de la JUR a las preguntas formuladas en la vista.
(
36
)	Sobre el carácter conciso, transparente, inteligible y de fácil acceso, y la formulación con un lenguaje claro y sencillo, de dicha información, véase el artículo 14, apartado 1, del Reglamento 2018/1725. Véanse, también, Grupo de Trabajo del Artículo 29, Directrices sobre transparencia en virtud del Reglamento (UE) 2016/679, de 11 de abril de 2018, WP 260, rev. 01, apartado 30: «si el cambio en la información indica un cambio esencial en la naturaleza del tratamiento (p. ej., ampliación de las categorías de destinatarios o introducción de transferencias a terceros países) o un cambio que podría no resultar esencial con respecto a la operación de tratamiento, pero que podría resultar relevante y repercutir en el interesado, dicha información debe facilitarse al interesado con suficiente antelación a que el cambio se produzca realmente y el método utilizado para poner estos cambios en conocimiento del interesado debe ser explícito y eficaz. La finalidad es que el cambio no pase inadvertido para el interesado y concederle un plazo suficiente para a) analizar la naturaleza y la repercusión del cambio y b) ejercer sus derechos en virtud del RGPD en relación con el cambio (p. ej., retirar el consentimiento u oponerse al tratamiento).»
(
37
)	Véase, en particular, la sentencia de 29 de febrero de 2024, Euranimi/Comisión (C‑95/23 P, EU:C:2024:177), apartado 53.
(
38
)	Véase la sentencia de 25 de enero de 2022, Comisión/European Food y otros (C‑638/19 P, EU:C:2022:50), apartado 77 y jurisprudencia citada.
(
39
)	Véase, en particular, en este sentido, la sentencia de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial) (C‑60/22, EU:C:2023:373), apartado 53 y jurisprudencia citada. Véase, asimismo, sobre la carga de la prueba del consentimiento para el tratamiento de los datos que recae en el responsable de dicho tratamiento, la sentencia de 11 de noviembre de 2020, Orange Romania (C‑61/19, EU:C:2020:901), apartado 52.
(
40
)	Véase, por analogía, en el marco de una demanda de indemnización basada en el RGPD, la sentencia de 25 de enero de 2024, MediaMarktSaturn, (C‑687/21, EU:C:2024:72), apartados 43 a 45: el responsable del tratamiento en cuestión soporta la carga de la prueba del carácter apropiado de las medidas de seguridad que ha adoptado y el órgano jurisdiccional que conoce de la demanda debe tener en cuenta todos los elementos de prueba aportados por el responsable del tratamiento para demostrar el carácter apropiado de las medidas técnicas y organizativas que ha adoptado a fin de cumplir sus obligaciones. No obstante, el hecho de que empleados del responsable del tratamiento hayan entregado por error a un tercero no autorizado un documento que contenga datos personales no es suficiente, por sí solo, para considerar que las medidas técnicas y organizativas aplicadas por el responsable del tratamiento en cuestión no eran «apropiadas».
(
41
)	Véanse los puntos 59 y 60 de las presentes conclusiones.
(
42
)	Véase, a este respecto, la comparación efectuada por la Comisión con la legislación materia de ayudas de Estado en la sentencia de 12 de octubre de 2023, Larko/Comisión (C‑445/22 P, EU:C:2023:773), apartado 29; del mismo modo que la calificación de una determinada medida como ayuda de Estado es el requisito previo para que dicha medida quede incluida en la competencia de la Comisión para garantizar la aplicación de los artículos 107 TFUE y 108 TFUE, en este caso la calificación como datos personales es el requisito previo para que el Reglamento 2018/1725 sea aplicable y para que el SEPD sea competente (véase el artículo 52, apartado 3, de dicho Reglamento).