62023CJ0413_RES
Mål C‑413/23 P
Europeiska datatillsynsmannen
mot
Gemensamma resolutionsnämnden
Domstolens dom (första avdelningen) av den 4 september 2025
”Överklagande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förfarande angående beviljande av ersättning till en banks aktieägare och borgenärer efter resolution av banken – Beslut av Europeiska datatillsynsmannen i vilket det konstateras att Gemensamma resolutionsnämnden har åsidosatt sina skyldigheter i fråga om behandling av personuppgifter – Förordning (EU) 2018/1725 – Artikel 15.1 d – Skyldighet att lämna information till den registrerade – Pseudonymiserade uppgifter överförs till tredje man – Artikel 3 led 1 – Begreppet personuppgifter – Artikel 3 led 6 – Begreppet pseudonymisering”
Europeiska unionens institutioner – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2018/1725 – Begreppet personuppgifter – Varje upplysning som avser en identifierad eller identifierbar fysisk person – Förfarande avseende rätten att yttra sig, vilket inletts av Gemensamma resolutionsnämnden (SRB) med anledning av att åtgärder för resolution av en bank beslutats – Kommentarer som framförs till SRB av aktieägare och borgenärer som berörs av dessa åtgärder – Pseudonymiserade kommentarer som SRB överför till en oberoende tredje man för värdering – Bedömning av om de registrerade är identifierbara – Omfattas – Undantag – Omöjligt att identifiera de registrerade
(Europaparlamentets och rådets förordning 2018/1725, skäl 17 och artikel 3 leden 1 och 6)
(se punkterna 54–60, 72–76, 82, 85 och 86)
Europeiska unionens institutioner – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2018/1725 – Informationsskyldighet vid insamling av personuppgifter från den registrerade personen – Förfarande avseende rätten att yttra sig, vilket inletts av Gemensamma resolutionsnämnden (SRB) med anledning av att åtgärder för resolution av en bank beslutats – Kommentarer som framförs till SRB av aktieägare och borgenärer som berörs av dessa åtgärder – Pseudonymiserade kommentarer som SRB överför till en oberoende tredje man för värdering – Skyldighet för SRB att före överföringen av de nämnda kommentarerna informera om vem som dessa kommer att överföras till – Bedömning, utifrån den personuppgiftsansvariges perspektiv, av om de registrerade är identifierbara när uppgifterna samlas in
(Europaparlamentets och rådets förordning nr 2018/1725, artikel 15.1 d)
(se punkterna 103, 106, 108–112 och 115)
Resumé
Domstolen har i ett mål om överklagande ingivet av Europeiska datatillsynsmannen (EDPS) upphävt domen SRB/EDPS (
1
) och återförvisat målet till tribunalen. Domstolen har i samband härmed preciserat begreppet personuppgifter med avseende på pseudonymiserade uppgifter samt, i synnerhet, den information som ska lämnas till den registrerade när sådana uppgifter överförs till en tredje man.
I förevarande fall beslutade Gemensamma resolutionsnämnden (SRB) den 7 juni 2017 att placera Banco Popular Español SA (nedan kallad Banco Popular) under resolution, vilket godkändes av Europeiska kommissionen samma dag. Den 6 augusti 2018 offentliggjorde SRB på sin webbplats ett meddelande om sitt preliminära beslut om huruvida det var nödvändigt att bevilja ersättning till de aktieägare och borgenärer som berördes av resolutionen av detta institut. SRB förklarade i sitt preliminära beslut att det var lämpligt att anordna ett förfarande som gjorde det möjligt för de berörda att utöva sin rätt att yttra sig, för att den skulle kunna fatta ett slutligt beslut i denna fråga. Uppgifter samlades in om de aktieägare och borgenärer som deltog i det förfarandet, däribland uppgifter om deras identitet och bevis på äganderätten till kapitalinstrument i Banco Popular. Efter det att deras status hade kontrollerats av SRB med hjälp av de insamlade uppgifterna lämnade dessa personer kommentarer beträffande det preliminära beslutet. Vissa av dessa kommentarer överfördes, i form av pseudonymiserade uppgifter, till Deloitte, en revisions- och konsultbyrå som av SRB getts i uppdrag att göra en värdering av effekterna av ett resolutionsförfarande för aktieägarna och borgenärerna. (
2
)
År 2019 lämnade flera berörda aktieägare och borgenärer in fem klagomål till Europeiska datatillsynsmannen med stöd av förordning 2018/1725, (
3
) med motiveringen att SRB inte hade informerat dem om att de insamlade uppgifterna om dem skulle överföras till tredje man.
Europeiska datatillsynsmannen antog med anledning av klagomålen ett ursprungligt beslut som, efter en begäran om omprövning från SRB, upphävdes och ersattes av ett ändrat beslut. Datatillsynsmannen ansåg i detta beslut att Deloitte i förevarande fall var att anse som mottagare av klagandenas personuppgifter. (
4
) Han konstaterade dessutom att SRB hade åsidosatt den informationsskyldighet som föreskrivs i förordning 2018/1725. (
5
) Datatillsynsmannen kritiserade närmare bestämt SRB för att inte, i meddelandet om skydd av personuppgifter som rörde behandlingen av personuppgifter inom ramen för förfarandet avseende rätten att yttra sig, ha angett att Deloitte var en potentiell mottagare av de personuppgifter som samlades in och behandlades av SRB.
SRB väckte då talan vid tribunalen och yrkade bland annat att Europeiska datatillsynsmannen ändrade beslut skulle ogiltigförklaras. Tribunalen biföll delvis talan och ogiltigförklarade nämnda beslut.
Domstolens bedömning
Domstolen prövar i sin dom de villkor, vilka undersökts i den överklagade domen, som ska vara uppfyllda för att uppgifterna ska kunna kvalificeras som personuppgifter.
För det första anser domstolen att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den slog fast att Europeiska datatillsynsmannen, för att dra slutsatsen att de upplysningar som framgick av de kommentarer som överförts till Deloitte ”avsåg” de personer som hade lämnat dessa kommentarer, i den mening som avses i artikel 3 led 1 i förordning 2018/1725, borde ha undersökt innehållet i, syftet med eller verkningarna av kommentarerna, eftersom det stod klart att de gav uttryck för nämnda personers personliga åsikter eller synpunkter.
Domstolen erinrar i detta sammanhang om sin praxis enligt vilken en upplysning avser en identifierad eller identifierbar fysisk person när den på grund av sitt innehåll, sitt syfte eller sin verkan är knuten till en identifierbar person. (
6
) En undersökning av innehållet i en upplysning behöver således inte nödvändigtvis kompletteras med en analys av syftet med och verkningarna av denna upplysning, såsom framgår av användningen av konjunktionen ”eller” som kopplar samman de olika kriterier som avses i denna rättspraxis.
Domstolen understryker att tribunalens tolkning – enligt vilken Europeiska datatillsynsmannen inte kunde kvalificera de upplysningar som framgår av de kommentarer som översänts till Deloitte som personuppgifter enbart på grundval av konstaterandet att det rörde sig om personliga åsikter eller synpunkter, utan dessutom borde ha undersökt innehållet i, syftet med och verkan av de åsikter som uttryckts härigenom, för att avgöra huruvida de var knutna till en viss person – bortser från den särskilda arten av personliga åsikter eller synpunkter som, i egenskap av uttryck för en persons tankar, med nödvändighet är nära knutna till denna person. (
7
)
För det andra prövar domstolen villkoret i artikel 3 led 1 i förordning 2018/1725 att den registrerade fysiska personen ska vara ”identifierbar” och, närmare bestämt, Europeiska datatillsynsmannens argument att pseudonymiserade uppgifter under alla omständigheter och för alla personer ska anses utgöra personuppgifter.
Domstolen anser att tribunalen, i motsats till vad Europeiska datatillsynsmannen har hävdat, gjorde en riktig bedömning när den slog fast att pseudonymiserade uppgifter inte under alla omständigheter och för alla personer ska anses utgöra personuppgifter vid tillämpningen av förordning 2018/1725, eftersom pseudonymisering, beroende på omständigheterna i det enskilda fallet, faktiskt kan hindra andra personer än den personuppgiftsansvarige från att identifiera den registrerade, så att de inte, eller inte längre, kan identifiera den registrerade.
Domstolen påpekar inledningsvis att pseudonymisering enligt förordning 2018/1725 (
8
) inte utgör en del av definitionen av ”personuppgifter”, utan hänför sig till införandet av tekniska och organisatoriska åtgärder som syftar till att minska risken för att en uppsättning uppgifter kopplas samman med de registrerades identitet.
Domstolen har vidare preciserat att begreppet pseudonymisering förutsätter att det finns upplysningar som gör det möjligt att identifiera den registrerade. Själva förekomsten av sådana upplysningar utgör emellertid hinder för att uppgifter som har pseudonymiserats under alla omständigheter kan anses vara anonyma uppgifter som inte omfattas av tillämpningsområdet för förordning 2018/1725.
Domstolen understryker slutligen att pseudonymisering bland annat syftar till att undvika att den registrerade kan identifieras enbart med hjälp av de pseudonymiserade uppgifterna. (
9
) Under förutsättning att de tekniska och organisatoriska åtgärder som krävs för pseudonymisering i den mening som avses i förordning 2018/1725 faktiskt vidtas och att de är ägnade att förhindra att de aktuella uppgifterna kan hänföras till den registrerade, så att han eller hon inte eller inte längre kan identifieras, kan pseudonymiseringen nämligen påverka dessa uppgifters karaktär av personuppgifter. Domstolen preciserar i detta sammanhang att i likhet med vad som normalt är fallet med en personuppgiftsansvarig som har genomfört en pseudonymisering förfogar SRB i förevarande fall över kompletterande uppgifter som gör det möjligt att hänföra de kommentarer som översänts till Deloitte till de registrerade. I förhållande till SRB behåller dessa kommentarer därför sin personliga karaktär, trots pseudonymiseringen. Vad däremot gäller Deloitte påpekar domstolen att nämnda tekniska och organisatoriska åtgärder kan få till följd att dessa kommentarer inte är personliga i förhållande till detta företag. Detta förutsätter emellertid dels att Deloitte inte kan kringgå dessa åtgärder, vid all behandling av kommentarerna som sker under dess kontroll. Dels ska nämnda åtgärder faktiskt vara av sådan beskaffenhet att de även hindrar Deloitte från att hänföra dessa kommentarer till de registrerade genom att använda sig av andra identifieringsmetoder, såsom en jämförelse med andra uppgifter.
Enligt domstolen följer det såväl av skäl 16 i förordning 2018/1725 som av dess praxis att förekomsten av kompletterande uppgifter som gör det möjligt att identifiera den registrerade inte i sig innebär att pseudonymiserade uppgifter under alla omständigheter och för alla personer ska anses utgöra personuppgifter vid tillämpningen av förordning 2018/1725. Domstolen erinrar i detta sammanhang om att den, beträffande ett pressmeddelande som innehöll ett visst antal uppgifter om en person utan att namnge denna person, inte inskränkte sig till att konstatera att det unionsorgan som hade offentliggjort meddelandet hade tillgång till samtliga upplysningar som behövdes för att identifiera denna person, utan även prövade huruvida uppgifterna i pressmeddelandet med rimlig sannolikhet gjorde det möjligt för den berörda allmänheten att identifiera denna person, bland annat genom en kombination av dessa uppgifter och information som var tillgänglig på internet. (
10
) Domstolen slog dessutom fast att ett hjälpmedel inte med rimlig sannolikhet kan komma att användas för att identifiera den registrerade om risken för identifiering i praktiken är försumbar på grund av att identifiering av denna person är förbjuden i lag eller omöjlig att genomföra i praktiken, exempelvis på grund av att den skulle kräva orimliga resurser i form av tid, kostnader och arbetskraft. (
11
) I linje härmed slog domstolen fast att uppgifter som inte i sig är personuppgifter men som samlats in och lagrats av den personuppgiftsansvarige ändå hade anknytning till en identifierbar person, eftersom den personuppgiftsansvarige hade lagliga möjligheter att från någon annan erhålla kompletterande information som gjorde det möjligt att identifiera denna person. (
12
) Domstolen fann nämligen att under sådana omständigheter kunde det förhållandet att de uppgifter som gjorde det möjligt att identifiera den registrerade fanns hos olika personer inte i praktiken förhindra en identifiering av den registrerade, så att han eller hon inte kunde identifieras av den personuppgiftsansvarige.
Domstolen erinrar särskilt om att uppgifter som inte i sig är personuppgifter kan få karaktär av personuppgifter när den personuppgiftsansvarige gör dessa tillgängliga för andra personer som förfogar över medel som med rimlig sannolikhet skulle kunna göra det möjligt att identifiera den registrerade. (
13
) De nämnda uppgifterna har i samband med ett sådant tillgängliggörande karaktär av personuppgifter såväl i förhållande till dessa personer som indirekt i förhållande till den personuppgiftsansvarige.
För det tredje anser domstolen att tribunalen gjorde sig skyldig till felaktig rättstillämpning när den fann att Europeiska datatillsynsmannen, för att bedöma huruvida SRB hade iakttagit sin informationsskyldighet, borde ha prövat huruvida de kommentarer som översänts till Deloitte utgjorde personuppgifter ur den sistnämndas perspektiv.
Domstolen påpekar inledningsvis att även om det i förordning 2018/1725 inte uttryckligen anges vilket perspektiv som är relevant för bedömningen av huruvida den registrerade är identifierbar, framgår det av rättspraxis (
14
) att det relevanta perspektivet för bedömningen av huruvida den registrerade är identifierbar huvudsakligen beror på de omständigheter som kännetecknar behandlingen av uppgifterna i varje enskilt fall.
Vad i förevarande fall gäller den informationsskyldighet i fråga om eventuella mottagare av personuppgifterna som avses i artikel 15.1 d i förordning 2018/1725, preciserar domstolen att det rör sig om information som, tillsammans med annan information, ska lämnas ”vid den tidpunkt då personuppgifterna erhålls” i samband med insamlingen av uppgifter från den registrerade. Domstolen betonar vikten av att denna informationsskyldighet iakttas samtidigt som den slår fast att när insamlingen av personuppgifter från den registrerade grundar sig på den registrerades samtycke, såsom i förevarande fall, beror giltigheten av samtycket bland annat på huruvida vederbörande i förväg har erhållit den information om samtliga omständigheter kring behandlingen av de aktuella uppgifterna som vederbörande hade rätt att få enligt artikel 15 i förordning 2018/1725 och som gör det möjligt för honom eller henne att lämna sitt samtycke med full kännedom om omständigheterna. Skyldigheten att vid tidpunkten för insamlingen av de personuppgifter som har samband med den registrerade lämna information till honom eller henne om eventuella mottagare av uppgifterna syftar bland annat till att göra det möjligt för den registrerade att med full kännedom om omständigheterna avgöra om han eller hon ska lämna eller tvärtom vägra att lämna de personuppgifter som samlas in från vederbörande.
Domstolen tillägger att skyldigheten att lämna sådan information vid tidpunkten för insamlingen av personuppgifterna, förutom att den är oundgänglig för att den registrerade senare ska kunna tillvarata sina rättigheter gentemot dessa mottagare, bland annat säkerställer att uppgifterna inte samlas in av den personuppgiftsansvarige mot den registrerades vilja eller mot dennes vilja överförs till tredje man.
Informationsskyldigheten ingår således i rättsförhållandet mellan den registrerade och den personuppgiftsansvarige och avser därför de uppgifter som har samband med den registrerade, såsom de har överförts till den personuppgiftsansvarige, det vill säga före varje eventuell överföring till tredje man.
Domstolen anser följaktligen att vid tillämpningen av den informationsskyldighet som föreskrivs i förordning 2018/1725 ska frågan huruvida den registrerade är identifierbar bedömas vid tidpunkten för insamlingen av uppgifterna och utifrån den personuppgiftsansvariges perspektiv. SRB:s informationsskyldighet var således tillämplig före överföringen av de aktuella kommentarerna och oberoende av om de, ur Deloittes perspektiv, utgjorde personuppgifter eller inte, efter deras eventuella pseudonymisering.
(
1
)	Tribunalens dom av den 26 april 2023, SRB/EDPS (T‑557/20, EU:T:2023:219) (nedan kallad den överklagade domen).
(
2
)	Värderingen föreskrivs i artikel 20.16–20.18 i Europaparlamentets och rådets förordning (EU) nr 806/2014 av den 15 juli 2014 om fastställande av enhetliga regler och ett enhetligt förfarande för resolution av kreditinstitut och vissa värdepappersföretag inom ramen för en gemensam resolutionsmekanism och en gemensam resolutionsfond och om ändring av förordning (EU) nr 1093/2010 (EUT L 225, 2014, s. 1).
(
3
)	Europaparlamentets och rådet förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39).
(
4
)	I den mening som avses i artikel 3 led 13 i förordning 2018/1725.
(
5
)	Artikel 15.1 d i förordning 2018/1725.
(
6
)	Dom av den 20 december 2017, Nowak (C‑434/16, EU:C:2017:994, punkt 35), dom av den 7 mars 2024, OC/kommissionen (C‑479/22 P, EU:C:2024:215, punkt 45), och dom av den 7 mars 2024, IAB Europe (C‑604/22, EU:C:2024:214, punkt 37 och där angiven rättspraxis).
(
7
)	Denna tolkning har stöd i den rättspraxis som följer av domen av den 20 december 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Artikel 3 leden 1 och 6 i förordning 2018/1725.
(
9
)	I artikel 3 led 6 i förordning 2018/1725 uppställs krav på separat förvaring av identifieringsuppgifter samt tekniska och organisatoriska åtgärder ”som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person”.
(
10
)	Dom av den 7 mars 2024, OC/kommissionen (C‑479/22 P, EU:C:2024:215, punkterna 52–64).
(
11
)	Dom av den 7 mars 2024, OC/kommissionen (C‑479/22 P, EU:C:2024:215, punkt 51 och där angiven rättspraxis).
(
12
)	Dom av den 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779, punkterna 44, 47 och 48), och dom av den 7 mars 2024, IAB Europe (C‑604/22, EU:C:2024:214, punkterna 43 och 48).
(
13
)	Dom av den 9 november 2023, Gesamtverband Autoteile-Handel (Tillgång till information om fordon) (C‑319/22, EU:C:2023:837, punkterna 46 och 49).
(
14
)	Den rättspraxis som det hänvisas till i fotnoterna 10–12 i denna resumé.