62023CC0413
GENERALINIO ADVOKATO
DEAN SPIELMANN IŠVADA,
pateikta 2025 m. vasario 6 d. (
1
)
Byla C‑413/23 P
Europos duomenų apsaugos priežiūros pareigūnas
prieš
Bendrą pertvarkymo valdybą
„Apeliacinis skundas – Asmens duomenų tvarkymas – Kompensacijos mokėjimas akcininkams ir kreditoriams po banko pertvarkymo procedūros – Pareiga pateikti informaciją – Reglamento (ES) 2018/1725 15 straipsnio 1 dalies d punktas – Minėtų kreditorių ir akcininkų neinformavimas apie asmens duomenų gavėją – Europos duomenų apsaugos priežiūros pareigūno sprendimas, kuriuo nustatytas Reglamento 2018/1725 pažeidimas, susijęs su asmens duomenų, kuriems suteikti pseudonimai, tvarkymu“
I. Įvadas
1.
Apeliaciniu skundu Europos duomenų apsaugos priežiūros pareigūnas (toliau – EDAPP) prašo panaikinti Europos Sąjungos Bendrojo Teismo 2023 m. balandžio 26 d. Sprendimą BPV / EDAPP (T‑557/20, EU:T:2023:219, toliau – skundžiamas sprendimas), kuriuo pastarasis panaikino peržiūrėtą EDAPP 2020 m. lapkričio 24 d. sprendimą (toliau – ginčijamas sprendimas) dėl penkių skundų, kuriuos pateikė akcininkai ir kreditoriai, paveikti Banco Popular Español SA (toliau – Banco Popular) pertvarkymo, skųsdamiesi, kad nebuvo informuoti apie jų asmens duomenų perdavimą.
2.
Nagrinėjama byla suteikia Teisingumo Teismui galimybę išaiškinti sąvoką „asmens duomenys“ ir iš jos kylančias pareigas, susijusias su duomenimis, kuriems suteikti pseudonimai, siekiant įvykdyti sąžiningo ir skaidraus duomenų tvarkymo pareigas.
II. Teisinis pagrindas
3.
Pagrindinės šiame apeliaciniame procese svarbios Reglamento (ES) 2018/1725 (
2
) nuostatos išvardytos toliau.
4.
Šio reglamento 16 ir 17 konstatuojamosiose dalyse nurodyta:
„(16)
duomenų apsaugos principai turėtų būti taikomi bet kokiai informacijai apie fizinį asmenį, kurio asmens tapatybė yra nustatyta arba gali būti nustatyta. Asmens duomenys, kuriems suteikti pseudonimai ir kurie galėtų būti priskirti fiziniam asmeniui, pasinaudojus papildoma informacija, turėtų būti laikomi informacija apie fizinį asmenį, kurio tapatybė gali būti nustatyta. Sprendžiant, ar galima nustatyti fizinio asmens tapatybę, reikėtų atsižvelgti į visas priemones, pavyzdžiui, išskyrimą, kurias asmens tapatybei tiesiogiai ar netiesiogiai nustatyti, pagrįstai tikėtina, galėtų naudoti duomenų valdytojas ar kitas asmuo. Įsitikinant, ar tam tikros priemonės, pagrįstai tikėtina, galėtų būti naudojamos siekiant nustatyti fizinio asmens tapatybę, reikėtų atsižvelgti į visus objektyvius veiksnius, pavyzdžiui, sąnaudas ir laiko trukmę, kurių prireiktų tapatybei nustatyti, turint omenyje duomenų tvarkymo metu turimas technologijas bei technologinę plėtrą. Vadinasi, duomenų apsaugos principai neturėtų būti taikomi anonimiškai informacijai, t. y. informacijai, kuri nėra susijusi su fiziniu asmeniu, kurio tapatybė yra nustatyta arba gali būti nustatyta, arba asmens duomenims, kurių anonimiškumas užtikrintas taip, kad duomenų subjekto tapatybė negali arba nebegali būti nustatyta. Todėl šis reglamentas netaikomas tokios anonimiškos informacijos tvarkymui, įskaitant tvarkymą statistiniais ar tyrimų tikslais;
(17)
pseudonimų suteikimas asmens duomenims gali sumažinti atitinkamiems duomenų subjektams kylančius pavojus ir padėti duomenų valdytojams ir duomenų tvarkytojams įvykdyti savo duomenų apsaugos prievoles. Šiame reglamente aiškiai numatytu pseudonimų suteikimu neketinama kliudyti taikyti kitas duomenų apsaugos priemones.“
5.
Minėto reglamento 3 straipsnio „Terminų apibrėžtys“ 1 ir 6 punktuose numatyta:
„Šiame reglamente vartojamų terminų apibrėžtys:
1.
asmens duomenys – bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti (toliau – duomenų subjektas); fizinis asmuo, kurio tapatybę galima nustatyti, yra asmuo, kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti, visų pirma pagal identifikatorių, kaip antai vardą ir pavardę, asmens identifikavimo numerį, buvimo vietos duomenis ir interneto identifikatorių arba pagal vieną ar kelis to fizinio asmens fizinės, fiziologinės, genetinės, psichinės, ekonominės, kultūrinės ar socialinės tapatybės požymius;
<…>
6.
pseudonimų suteikimas – asmens duomenų tvarkymas taip, kad asmens duomenys nebegalėtų būti priskirti konkrečiam duomenų subjektui nesinaudojant papildoma informacija, jeigu tokia papildoma informacija yra saugoma atskirai ir jos atžvilgiu taikomos techninės bei organizacinės priemonės siekiant užtikrinti asmens duomenų nepriskyrimą fiziniam asmeniui, kurio tapatybė yra nustatyta arba kurio tapatybę galima nustatyti“.
6.
Minėto reglamento 4 straipsnio „Su asmens duomenų tvarkymu susiję principai“ 1 dalies a punkte ir 2 dalyje nustatyta:
„1.   Asmens duomenys turi būti:
a)
duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu (teisėtumo, sąžiningumo ir skaidrumo principas);
<…>
2.   Duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas).“
7.
Reglamento 2018/1725 15 straipsnio „Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“ 1 dalies d punkte nustatyta:
„Kai iš duomenų subjekto renkami jo asmens duomenys, duomenų valdytojas asmens duomenų gavimo metu duomenų subjektui pateikia visą šią informaciją:
<…>
d)
asmens duomenų gavėjus arba asmens duomenų gavėjų kategorijas, jei jos yra“.
III. Faktinės aplinkybės
8.
2017 m. birželio 7 d. Bendroji pertvarkymo valdyba (toliau – BPV) priėmė Banco Popular pertvarkymo schemą, remdamasi 2014 m. liepos 15 d. Europos Parlamento ir Tarybos reglamentu (ES) Nr. 806/2014, kuriuo nustatomos kredito įstaigų ir tam tikrų investicinių įmonių pertvarkymo vienodos taisyklės ir vienoda procedūra, kiek tai susiję su bendru pertvarkymo mechanizmu ir Bendru pertvarkymo fondu, ir iš dalies keičiamas Reglamentas (ES) Nr. 1093/2010 (
3
), tą pačią dieną patvirtintu Europos Komisijos sprendimu (
4
), o tai praktiškai reiškia, kad banko kapitalo priemonės buvo nurašytos arba konvertuotos ir perleistos perduodant akcijas.
9.
Vadovaudamasi Reglamento Nr. 806/2014 20 straipsnio 16–18 dalimis, BPV pavedė bendrovei Deloitte, kaip „nepriklausomam asmeniui“ (
5
), atlikti skirtingų sąlygų vertinimą siekiant nustatyti, ar akcininkams ir kreditoriams, tokiu būdu patyrusiems pertvarkymo poveikį, būtų buvusios sudarytos geresnės sąlygos, jei šiai įstaigai būtų buvusi iškelta įprastinė bankroto byla.
10.
2018 m. birželio 14 d. bendrovė Deloitte pateikė šį skirtingų sąlygų vertinimą (toliau – vertinimas 3) BPV. Preliminariame sprendime BPV nurodė, kad, siekdama priimti galutinį sprendimą dėl to, ar būtina skirti akcininkams ir kreditoriams, kuriuos paveikė Banco Popular pertvarkymas, kompensacijas pagal Reglamento Nr. 806/2014 76 straipsnio 1 dalies e punktą, ji pradeda procedūrą dėl teisės būti išklausytam, apimančią pirmąjį registracijos etapą, kurio metu tikrinama, ar suinteresuotumą pareiškusios šalys atitinka reikalavimus, ir antrąjį konsultacijų etapą, kurio metu nukentėję akcininkai ir kreditoriai pateikė savo pastabas dėl preliminaraus BPV sprendimo, prie kurio buvo pridėtas vertinimas 3.
11.
Prieigą prie registracijos etape surinktų duomenų, t. y. dalyvių tapatybės ir Banco Popular nurašytų arba konvertuotų ir perleistų kapitalo priemonių nuosavybės įrodymų, turėjo ribotas skaičius BPV darbuotojų, atsakingų už šių duomenų tvarkymą nustatant dalyvių atitiktį reikalavimams. Šių duomenų negalėjo matyti BPV darbuotojai, atsakingi už konsultacijų etape gautų komentarų tvarkymą; vykstant šiam etapui, jie gaudavo tik tuos komentarus, kurie buvo identifikuojami pagal raidinį skaitmeninį kodą (
6
), priskirtą kiekvienam komentarui, pateiktam naudojant formą.
12.
Apibendrinusi, automatiškai išfiltravusi ir suskirsčiusi komentarus, BPV perdavė Deloitte (
7
) tokiu būdu išfiltruotus, suskirstytus ir apibendrintus komentarus, susijusius su vertinimu 3. Deloitte buvo perduoti tik su konsultacijų etapu susiję komentarai, kuriems buvo priskirtas raidinis skaitmeninis kodas, sukurtas audito tikslais, kad BPV galėtų patikrinti ir retrospektyviai įrodyti, kad kiekvienas komentaras buvo apdorotas ir į jį buvo tinkamai atsižvelgta. Naudodamasi šiuo kodu BPV vienintelė galėjo susieti komentarus su registracijos etape gautais duomenimis. Deloitte neturėjo ir vis dar neturi prieigos prie duomenų, surinktų registracijos etape, bazės.
13.
Nukentėję akcininkai ir kreditoriai (toliau – pareiškėjai) pagal Reglamentą 2018/1725 pateikė EDAPP penkis skundus, motyvuodami tuo, kad BPV paskelbtame privatumo pareiškime dėl asmens duomenų tvarkymo nebuvo užsiminta apie užpildžius formą surinktų duomenų perdavimą bendrovei Deloitte. Jie teigia, kad BPV pažeidė minėto reglamento 15 straipsnio 1 dalies d punkte numatytą pareigą pateikti informaciją, susijusią su asmens duomenų tvarkymu pagal šį reglamentą.
14.
2020 m. birželio 24 d. EDAPP priėmė pirminį sprendimą, kuris, BPV pateikus prašymą jį persvarstyti, buvo panaikintas ir 2020 m. lapkričio 24 d. pakeistas ginčijamu sprendimu, kuris suformuluotas taip:
„1.
EDAPP mano, kad duomenims, kuriais BPV dalijosi su Deloitte, buvo suteikti pseudonimai, nes [konsultacijų] etape pateikti komentarai yra asmens duomenys, o BPV dalijosi raidiniu skaitmeniniu kodu, leidžiančiu per [registracijos] etapą gautus atsakymus susieti su [konsultacijų] etape gautais atsakymais, nors duomenys, kuriuos dalyviai pateikė tam, kad būtų nustatyta jų tapatybė [registracijos] etape, nebuvo perduoti Deloitte.
2.
EDAPP mano, kad Deloitte yra pareiškėjų asmens duomenų gavėja, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 13 punktą. Tai, kad Deloitte nebuvo paminėta BPV privatumo pareiškime kaip potenciali BPV, kaip duomenų valdytojos vykstant procedūrai dėl teisės būti išklausytam, surinktų ir tvarkomų asmens duomenų gavėja, yra [Reglamento 2018/1725] 15 straipsnio 1 dalies d punkte numatytos pareigos pateikti informaciją pažeidimas.
3.
Atsižvelgdamas į visas technines ir organizacines priemones, kurias BPV įdiegė siekdama sumažinti riziką, kylančią fizinių asmenų teisei į duomenų apsaugą, vykdant teisės būti išklausytam procedūrą, EDAPP nusprendžia nesinaudoti įgaliojimais imtis taisomųjų veiksmų pagal [Reglamento 2018/1725] 58 straipsnio 2 dalį.
4.
Vis dėlto EDAPP rekomenduoja BPV užtikrinti, kad būsimose su teise būti išklausytam susijusiose procedūrose jo privatumo pareiškimai apimtų asmens duomenų tvarkymą tiek registracijos, tiek konsultacijų etape ir kad į juos būtų įtraukti visi galimi surinktos informacijos gavėjai, siekiant visapusiškai paisyti prievolės informuoti duomenų subjektus pagal [Reglamento 2018/1725] 15 straipsnį.“
IV. Skundžiamas sprendimas
15.
2020 m. rugsėjo 1 d. Bendrojo Teismo kanceliarijai pateiktu ieškiniu ir 2021 m. sausio 29 d. pateiktu patikslinamuoju raštu BPV pareiškė ieškinį, kuriuo paprašė, pirma, panaikinti ginčijamą sprendimą ir, antra, pripažinti EDAPP 2020 m. birželio 24 d. pirminį sprendimą neteisėtu.
16.
Grįsdama pirmąjį reikalavimą (
8
) BPV nurodė du ieškinio pagrindus. Ieškinio pirmasis pagrindas buvo grindžiamas Reglamento 2018/1725 3 straipsnio 1 dalies pažeidimu, nes Deloitte atsiųsta informacija nebuvo asmens duomenys, o antrasis ieškinio pagrindas – Europos Sąjungos pagrindinių teisių chartijos 41 straipsnyje įtvirtintos teisės į gerą administravimą pažeidimu.
17.
Skundžiamu sprendimu Bendrasis Teismas pripažino šį reikalavimą priimtinu. Spręsdamas dėl bylos esmės, jis patenkino ieškinio pirmąjį pagrindą ir panaikino ginčijamą sprendimą, o ieškinio antrojo pagrindo nenagrinėjo.
18.
Dėl pirmojo pagrindo Bendrasis Teismas pirmiausia nusprendė, kad EDAPP nutarė, jog Deloitte siųsta informacija yra „susijusi“ su fiziniu asmeniu, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 dalį, remdamasis tam tikra prielaida ir neišnagrinėjęs nei Deloitte siųstos informacijos turinio, nei jos tikslo ar poveikio (
9
), taip pažeisdamas Sprendimą Nowak (
10
).
19.
Antra, dėl Reglamento 2018/1725 3 straipsnio 1 dalyje numatytos sąlygos, kad informacija turi būti susijusi su fiziniu asmeniu, kurio „tapatybė nustatyta arba kurio tapatybę galima nustatyti“, Bendrasis Teismas nurodė, kad nagrinėjamu atveju EDAPP turėjo apsvarstyti, ar bendrovei Deloitte atsiųstos pastabos yra asmens duomenys Deloitte atžvilgiu. Skundžiamame sprendime nurodyta, kad EDAPP tiktai išnagrinėjo BPV, o ne Deloitte galimybę iš naujo nustatyti komentarus pateikusių asmenų tapatybę. Vadinasi, kadangi EDAPP nepatikrino, ar Deloitte turėjo teisėtų ir praktiškai įgyvendinamų priemonių, leidžiančių jai susipažinti su papildoma informacija, būtina komentarų autorių tapatybei nustatyti, jis negalėjo daryti išvados, kad Deloitte perduota informacija yra informacija, susijusi su „fiziniu asmeniu, kurio tapatybę galima nustatyti“, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 punktą (
11
).
V. Procesas Teisingumo Teisme ir šalių reikalavimai
20.
2023 m. liepos 5 d. Teisingumo Teismo kanceliarija gavo EDAPP pateiktą apeliacinį skundą dėl skundžiamo sprendimo. 2023 m. lapkričio 29 d. Teisingumo Teismo pirmininko nutartimi (
12
) Europos duomenų apsaugos valdybai buvo leista įstoti į bylą palaikyti EDAPP reikalavimų, o 2023 m. spalio 20 d. sprendimu Europos Komisijai buvo leista įstoti į bylą palaikyti BPV.
21.
EDAPP Teisingumo Teismo prašo:
–
panaikinti skundžiamą sprendimą;
–
priimti galutinį sprendimą dėl ginčo;
–
priteisti iš BPV bylinėjimosi išlaidas, patirtas vykstant apeliaciniam procesui ir procesui Bendrajame Teisme.
22.
Europos duomenų apsaugos valdyba, įstojusi į bylą palaikyti EDAPP reikalavimų, Teisingumo Teismo prašo:
–
panaikinti skundžiamą sprendimą;
–
priimti galutinį sprendimą dėl ginčo ir panaikinti ginčijamą sprendimą,
23.
BPV Teisingumo Teismo prašo:
–
atmesti apeliacinį skundą;
–
nepatenkinus pirmojo reikalavimo, panaikinti ginčijamą sprendimą,
–
nepatenkinus ir šio reikalavimo, grąžinti bylą Bendrajam Teismui nagrinėti iš naujo ir
–
priteisti iš EDAPP bylinėjimosi išlaidas, patirtas vykstant apeliaciniam procesui ir procesui Bendrajame Teisme.
24.
Europos Komisija, palaikanti BPV, prašo Teisingumo Teismo:
–
atmesti apeliacinį skundą;
–
priteisti iš EDAPP bylinėjimosi išlaidas.
VI. Dėl apeliacinio skundo
25.
Grįsdamas savo apeliacinį skundą EDAPP, palaikomas Europos duomenų apsaugos valdybos, remiasi dviem pagrindais. Pirmuoju siekiama užginčyti Bendrojo Teismo pateiktą sąvokos „asmens duomenys“, kaip ji suprantama pagal Reglamento 2018/1725 3 straipsnio 1 ir 6 dalis, aiškinimą, kaip jis išaiškintas Teisingumo Teismo jurisprudencijoje. Antrasis pagrindas grindžiamas šio reglamento 4 straipsnio 2 dalyje ir 26 straipsnio 1 dalyje įvardyto atskaitomybės principo pažeidimu.
A. Dėl apeliacinio skundo pirmojo pagrindo
26.
Pirmąjį pagrindą sudaro dvi dalys. Pirmoji dalis susijusi su sąlyga, kad ginčijama informacija turi būti „apie“ fizinį asmenį, o antroji – su sąlyga, kad tas asmuo būtų asmuo, „kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti“.
1.
Dėl pirmos dalies, susijusios su klausimu, ar informacija yra „apie“ fizinį asmenį
a)
Šalių argumentai
27.
EDAPP, kurį palaiko Europos duomenų apsaugos valdyba, teigia, kad Bendrasis Teismas suklydo nusprendęs, jog EDAPP rėmėsi prielaida dėl sąlygos, kad įmonei Deloitte išsiųsta informacija buvo informacija apie fizinį asmenį, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 dalį, išaiškinimu. Jo nuomone, atsižvelgiant į nagrinėjamos bylos aplinkybes, išsamesnis nagrinėjimas buvo nereikalingas.
28.
BPV teigia, kad, kaip nusprendė Bendrasis Teismas, EDAPP apsiribojo teiginiu, kad ginčijami komentarai, kuriuos pareiškėjai pateikė teisės būti išklausytam procedūros konsultacijų etape, atspindi jų nuomones ar požiūrius, nors jis turėjo išnagrinėti, ar įmonei Deloitte išsiųsta informacija buvo savo turiniu, tikslu ar poveikiu susijusi su konkrečiu asmeniu, kaip reikalaujama Sprendime Nowak.
b)
Vertinimas
29.
Reikia priminti, kad Teisingumo Teismas ne kartą yra nusprendęs, jog sąvokos „asmens duomenys“ apibrėžtyje vartojamas posakis „bet kokia informacija“ atspindi Sąjungos teisės aktų leidėjo tikslą šiai sąvokai, kuri potencialiai apima bet kokios rūšies informaciją (
13
), suteikti plačią reikšmę: tiek objektyvią, tiek subjektyvią, nuomonių ar vertinimų pavidalo, bet su sąlyga, kad tai būtų informacija „apie“ duomenų subjektą.
30.
Šiuo klausimu reikia pasakyti, kad informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti, yra tokia informacija, kuri, dėl savo turinio, tikslo ar poveikio, yra „susijusi“ su konkrečiu asmeniu (
14
).
31.
Kalbant apie nuomones ar vertinimus, tokius kaip šioje byloje nagrinėjami pareiškėjų komentarai, man atrodo, reikėtų juos suskirstyti pagal tai, ar minėtos nuomonės ar vertinimai „susiję“ su asmeniu ar asmenimis, nurodytais nuomonės ar vertinimo tekste, ar, kaip nagrinėjamu atveju, jie susiję su jų autoriumi. Pirmuoju atveju, siekiant padaryti išvadą, kad yra informacijos, susijusios su asmeniu, kuris yra vertinimo objektas, reikia išnagrinėti, ar vertinimo turinys, tikslas ar poveikis yra susiję su šiuo asmeniu. Kita vertus, antruoju atveju, siekiant nustatyti, ar vertinimas yra susijęs su jį pateikusiu asmeniu, mano požiūriu, būtų galima daryti prielaidą, kad taip ir yra ir kad nuomonė ar vertinimas būtinai yra susijęs su jų autoriumi.
32.
Panašiai Sprendime Nowak iš esmės reikėjo įvertinti egzamino darbo kopijoje pateiktą informaciją. Taigi toje byloje buvo svarbūs du asmenys: egzaminuojamasis ir egzaminuotojas. Tiesa, kad Teisingumo Teismas išnagrinėjo egzaminuojamojo atsakymų turinį, tikslą ir poveikį, kad padarytų išvadą, jog jie buvo su juo susiję. Atsižvelgiant į tai, konkrečiau kalbant apie egzaminuotojo pastabas, kuriose atsispindi jo nuomonė arba vertinimas (
15
), nors Teisingumo Teismas išnagrinėjo egzamino darbo kopijoje esančios informacijos turinį, tikslą ir poveikį, kad galėtų padaryti išvadą, jog šie vertinimai buvo susiję su kandidatu, jie neatliko tokio tyrimo, kad galėtų nuspręsti, jog tai buvo informacija, susijusi su egzaminuotoju, kuris pats ją parengė (
16
). Mano požiūriu, negalima visiškai atmesti galimybės, kad (paprasta) prezumpcija gali būti taikoma siekiant įvertinti, ar nuomonė, vertinimas arba, kaip šiuo atveju, komentaras, „yra susiję“ su savo autoriumi.
33.
Darau išvadą, kad, jei nėra priešingų įrodymų, kadangi šioje byloje nagrinėjami komentarai yra suformuluoti pareiškėjų ir parodo „jų logiką bei samprotavimus“, taigi yra jų „subjektyvios nuomonės“ išraiška, būtinai „buvo susiję“ su minėtais pareiškėjais, neatsižvelgiant į jų komentarų tikslą ar poveikį.
34.
Bet kuriuo atveju, nors šioje byloje tokia prezumpcija neegzistuoja, laikausi nuomonės, kad aptariami komentarai „yra susiję“ su pareiškėjais dėl savo turinio, tikslo ir poveikio.
35.
Šiuo klausimu BPV teigia, kad argumentai, grindžiami nagrinėjamų komentarų tikslu ir kontekstu, yra neaktualūs, nes jie nebuvo išnagrinėti ginčijamame sprendime, nepriimtini, nes juose pateikiami nauji faktiniai teiginiai, ir, bet kuriuo atveju, klaidingi.
36.
Šis argumentas manęs neįtikina. Iš tikrųjų tiek EDAPP ginčijamame sprendime atliktas tyrimas, tiek Bendrojo Teismo atliktas vertinimas yra teisinio konteksto, į kurį buvo atsižvelgta ir kuriame aiškiai paminėtas nagrinėjamų komentarų, pateiktų vykdant procedūrą, susijusią su teise būti išklausytam, tikslas ir poveikis, dalis. Taigi šie argumentai, susiję su ginčijamų komentarų tikslu ir poveikiu, yra aktualūs ir priimtini.
37.
Be to, kalbant apie bylos esmę, iš taikytinos teisės sistemos matyti, kad vykstant procedūrai, susijusiai su teise būti išklausytam, per kurią buvo pateikti nagrinėjami komentarai, siekta leisti poveikį patyrusiems akcininkams ir kreditoriams prisidėti prie šios procedūros, be kita ko, tam, kad BPV turėtų visą informaciją, reikalingą galutiniam sprendimui dėl žalos atlyginimo ar neatlyginimo Banco Popular pertvarkymo poveikį patyrusiems akcininkams ir kreditoriams priimti, laikantis principo, kad nė vienam kreditoriui neturėtų būti taikomos blogesnės sąlygos nei tuo atveju, jei jis būtų likviduotas pagal įprastą bankroto procedūrą (
17
). Be to, tikėtina, kad šie komentarai, į kuriuos atsižvelgė BPV, turėjo įtakos pareiškėjų interesams ir teisėms, susijusioms su finansine kompensacija.
38.
Iš to darau išvadą, kad šioje byloje nagrinėjamos pastabos yra susijusios, be kita ko, dėl jų tikslo ir poveikio, su duomenų subjektais.
39.
Norėčiau pridurti, kad, žinoma, nagrinėjami komentarai, kurie buvo perduoti Deloitte, buvo „filtruoti, suskirstyti į kategorijas ir apibendrinti“, todėl, kaip matyti iš Bendrojo Teismo nustatytų faktinių aplinkybių (
18
), atskirų komentarų ta pačia tema nebuvo galima atskirti; vis dėlto, galima daryti prielaidą, kad, net apibendrinti, šie kolektyviniai komentarai savo turiniu atspindi asmeninį požiūrį į vertinimą 3. Iš tikrųjų jie yra visuma nuomonių, kurios, kaip tokios, yra informacija, susijusi su nuomones pareiškusiais asmenimis. Jų filtravimas, suskirstymas į kategorijas ir apibendrinimas nekeičia šios išvados, nes priešingu atveju, siekiant išvengti sąlygos, kad informacija būtų laikoma informacija „apie“ fizinį asmenį, pakaktų apibendrinti kelis požiūrius. Aplinkybė, kad šioje komentarų visumoje neįmanoma išskirti skirtingų individualių nuomonių, man atrodo, veikiau priskirtina prie antrosios kumuliacinės sąlygos, susijusios su galimybe nustatyti duomenų subjektų tapatybę, nagrinėjamos šio pagrindo antroje dalyje, o ne prie sąlygos, kuri reiškia, kad komentaras yra „susijęs“ su fiziniu asmeniu.
40.
Šiomis aplinkybėmis laikausi nuomonės, kad Bendrojo Teismo vertinimą šiuo klausimu galima laikyti klaidingu dėl teisės klaidos, nes jis nusprendė, kad EDAPP neatliko Sprendimo Nowak reikalaujamo tyrimo, kad būtų galima daryti išvadą, jog nagrinėjami komentarai „buvo susiję“ su fiziniais asmenimis, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 dalį.
41.
Jeigu Teisingumo Teismas atmestų šį pirmąjį pagrindą ir nuspręstų, kad nagrinėjami komentarai, kuriems suteikti pseudonimai, nėra susiję su jų autoriais, būtų nereikalinga nagrinėti antrąjį pagrindą, nes pagal Reglamento 2018/1725 3 straipsnio 1 dalį tai yra būtina asmens duomenų buvimo sąlyga, siejama su toliau nagrinėjama duomenų subjektų tapatybės nustatymo sąlyga.
2.
Dėl antros dalies, susijusios su duomenų subjektų asmens tapatybės nustatymo sąlyga
42.
EDAPP ir Europos duomenų apsaugos valdyba iš esmės teigia, kad Bendrasis Teismas padarė dvi klaidas: pirmąją – dėl sąvokos „pseudonimų suteikimas“, antrąją – dėl Sprendimo Breyer (
19
) aiškinimo, su kuo BPV ir Komisija nesutinka.
a)
Dėl pirmojo prieštaravimo, grindžiamo klaida dėl pseudonimų suteikimo poveikio
43.
Šis prieštaravimas rodo, kad egzistuoja du labai skirtingi požiūriai į duomenų apsaugos taisyklių taikymo sritį. Ar duomenys, kuriems suteikti pseudonimai, turėtų būti automatiškai patekti į šią sritį vien dėl to, kad išlieka galimybė nustatyti duomenų subjektų tapatybę, neatsižvelgiant į galimybę gauti papildomus tapatybės nustatymo duomenis, ar turėtų būti laikoma, kad po pseudonimų suteikimo duomenys laikomi asmens duomenimis tik tų asmenų, kurie gali pagrįstai nustatyti duomenų subjektų tapatybę, atžvilgiu?
1) Šalių argumentai
44.
EDAPP ir Europos duomenų apsaugos valdyba iš esmės tvirtina, kad duomenys, kuriems suteikti pseudonimai, lieka asmens duomenimis vien dėl to, kad vis dar galima nustatyti duomenų subjektų tapatybę, nes informacija, reikalinga jų asmens tapatybei nustatyti, išlieka. Bendrojo Teismo požiūris yra klaidingas, nes juo remiantis būtų galima duomenis, kuriems suteikti pseudonimai, laikyti gavėjo atžvilgiu nuasmenintais duomenimis, o tai sukeltų pavojų duomenų subjektų apsaugai ir lemtų pseudonimų suteikimo ir nuasmeninimo painiojimą. Toks Reglamento 2018/1725 tekstui ir tikslui prieštaraujantis požiūris duomenų valdytojui leistų nepagrįstai netaikyti asmens duomenims Sąjungos teisės aktų dėl tokių duomenų apsaugos.
45.
BPV ir Komisija tvirtina, kad duomenys, kuriems suteikti pseudonimai, lieka asmens duomenimis duomenų valdytojo, kuris suteikė jiems pseudonimą, atžvilgiu, bet duomenų gavėjų atveju būtina išnagrinėti, ar galima nustatyti duomenų subjektų tapatybę. Be to, net jei Reglamento 2018/1725 3 straipsnio 1 dalyje nenurodyta, kas turi turėti galimybę nustatyti duomenų subjekto tapatybę, atsižvelgiant į šio reglamento 16 konstatuojamąją dalį ir šioje byloje nagrinėjamo 15 straipsnio 1 dalies d punkto kontekstą, svarbi yra duomenų gavėjo situacija. Jų nuomone, jei šis gavėjas negauna asmens duomenų, duomenų subjektai nėra suinteresuoti būti informuojami apie duomenų perdavimą, nes tai nedaro poveikio jų teisėms.
2) Vertinimas
46.
Pirmiausia verta priminti, kad pseudonimų suteikimas – tai asmens duomenų tvarkymas siekiant, kaip numatyta Reglamento 2018/1725 17 konstatuojamojoje dalyje, „sumažinti pavojus“, kad duomenų rinkinys bus susietas su duomenų subjekto tapatybe, bei „padėti duomenų valdytojams ir duomenų tvarkytojams įvykdyti savo duomenų apsaugos prievoles“.
47.
Reglamento 2018/1725 3 straipsnio 6 punkte „pseudonimų suteikimas“ apibrėžiamas kaip „asmens duomenų tvarkymas taip, kad asmens duomenys nebegalėtų būti priskirti konkrečiam duomenų subjektui nesinaudojant papildoma informacija, jeigu tokia papildoma informacija yra saugoma atskirai ir jos atžvilgiu taikomos techninės bei organizacinės priemonės siekiant užtikrinti asmens duomenų nepriskyrimą fiziniam asmeniui, kurio tapatybė yra nustatyta arba kurio tapatybę galima nustatyti“ (
20
).
48.
Taigi pseudonimų suteikimas nėra asmens duomenų, kurie Reglamento 2018/1725 3 straipsnio 1 dalyje apibrėžti atsižvelgiant į duomenų subjekto tapatybės „nustatomumo“ sąvoką, apibrėžties elementas. Be to, kaip Komisija nurodė savo įstojimo į bylą pareiškime, šiame reglamente apibrėžiama sąvoka „pseudonimų suteikimas“, taip darant nuorodą į apsaugos priemonės arba techninės ir organizacinės priemonės įdiegimo procesą, bet ne į sąvoką „duomenys, kuriems suteikti pseudonimai“.
49.
Tokį aiškinimą patvirtina bendras to paties reglamento 3 straipsnio 6 dalies ir 16 konstatuojamosios dalies, kurios pirmame sakinyje teigiama, kad „duomenų apsaugos principai turėtų būti taikomi bet kokiai informacijai apie fizinį asmenį, kurio asmens tapatybė yra nustatyta arba gali būti nustatyta“, supratimas.
50.
Be to, Reglamento 2018/1725 16 konstatuojamoji dalis nusipelno būti išnagrinėta nuodugniau (
21
). Jos antrame sakinyje nurodyta, kad „[a]smens duomenys, kuriems suteikti pseudonimai ir kurie galėtų būti priskirti fiziniam asmeniui, pasinaudojus papildoma informacija, turėtų būti laikomi informacija apie fizinį asmenį, kurio tapatybė gali būti nustatyta“. Paskesniuose trečiajame ir ketvirtajame sakiniuose tiksliau aprašomas šio tapatybės nustatomumo reikalavimo turinys.
51.
Iš šių nuostatų formuluočių darau išvadą, kad suteikus pseudonimus paliekama galimybė, jog duomenų subjektų tapatybės gali būti neįmanoma nustatyti, nes priešingu atveju šios 16 konstatuojamosios dalies formuluotė būtų neprasminga. Pridursiu, kad šis išaiškinimas patvirtintas minėtos konstatuojamosios dalies, susijusios su nuasmeninimu, paskutiniuose sakiniuose: pagal juos nuasmeninti duomenys nepatenka į Reglamento 2018/1725 (
22
) taikymo sritį, bet duomenys, kuriems suteikti pseudonimai, į ją nepatenka tik tuo atveju, jei negalima nustatyti duomenų subjektų tapatybės. Jeigu minėtų asmenų tapatybės nustatyti neįmanoma, laikoma, kad jie yra pakankamai teisiškai apsaugoti suteikiant pseudonimus, nepaisant to, kad papildomi identifikavimo duomenys nebuvo visiškai ištrinti.
52.
Kitaip sakant, tai nereiškia, kad duomenys, kuriems suteikti pseudonimai, turi būti automatiškai pašalinti iš šio reglamento taikymo srities (
23
). Vis dėlto, atsižvelgiant į jo 16 konstatuojamąją dalį, negalima atmesti galimybės, kad tam tikromis sąlygomis tokie duomenys gali nepatekti į sąvokos „asmens duomenys“ taikymo sritį.
53.
Priešingai nei teigia EDAPP, man neatrodo, kad toks požiūris prieštarautų tikslui užtikrinti aukštą asmens duomenų apsaugos lygį, atsižvelgiant, pirma, į taikytinose nuostatose išdėstytus tapatybės nustatomumo reikalavimus ir, antra, į jų aiškinimą jurisprudencijoje.
54.
Pirma, Reglamento 2018/1725 16 konstatuojamojoje dalyje remiamasi duomenų tvarkytojo „ar kito asmens“ galimybe nustatyti asmens tapatybę: ši plati samprata, nors ir nėra neribota (
24
), atitinka į asmens duomenų apsaugą orientuotą požiūrį.
55.
Panašiai 16 konstatuojamojoje dalyje numatoma, kad turėtų būti atsižvelgiama į priemones, kurias asmens tapatybei tiesiogiai ar netiesiogiai nustatyti, pagrįstai tikėtina, galėtų naudoti duomenų valdytojas ar kitas asmuo, atsižvelgiant į visus objektyvius veiksnius, kaip antai sąnaudas ir laiko trukmę, kurių prireiktų tapatybei nustatyti, turint omenyje duomenų tvarkymo metu turimas technologijas bei technologinę plėtrą, ir tai yra plati asmens duomenų apibrėžtis, orientuota į didesnę jų apsaugą.
56.
Antra, šios „tapatybės nustatomumo“ sąvokos aiškinimas jurisprudencijoje, kurioje daugiausia dėmesio skiriama duomenų subjektų pakartotinio tapatybės nustatymo rizikai, taip pat yra pagrindas plačiai taikyti sąvoką „asmens duomenys“. Taigi Teisingumo Teismas sistemingai prie „asmens duomenų“ priskyrė duomenis, kurie, nors ir atskirti nuo tapatybės duomenų, kuriuos turi kitas asmuo, nagrinėjamomis aplinkybėmis gali kelti pavojų, kad duomenų subjektų tapatybė bus nustatyta pakartotinai (
25
).
57.
Taigi tik tuo atveju, jei identifikavimo rizika neegzistuoja arba yra nereikšminga (
26
), duomenys teisiškai gali būti nekvalifikuojami „asmens duomenimis“.
58.
Manęs neįtikina EDAPP ir Europos duomenų apsaugos valdybos argumentai dėl pavojų, kylančių dėl pernelyg griežto asmens duomenų aiškinimo. Iš tikrųjų tai, kad iš Reglamento 2018/1725 kylančios taisyklės netaikomos duomenims, susijusiems su asmenimis, kurių tapatybės negalima nustatyti, prireikus neužkirstų kelio subjektų, kurie yra smerktino elgesio šaltinis, teisinei atsakomybei, pavyzdžiui, tuo atveju, kai, atskleidus duomenis, padaroma žala. Kita vertus, man atrodo neproporcinga subjektui, kuris negalėjo pagrįstai nustatyti duomenų subjektų tapatybės, nustatyti iš Reglamento 2018/1725 (
27
) kylančius įpareigojimus, kurių šis subjektas hipotetiškai negalėtų įvykdyti arba dėl kurių jis turėtų būtent bandyti nustatyti duomenų subjektus.
59.
Atsižvelgdamas į šias aplinkybes, jei ginčas analizuojamas atsižvelgiant į tokius duomenis, kurie buvo perduoti Deloitte, manau, kad, priešingai nei teigia EDAPP, reikėjo nustatyti, ar pseudonimų suteikimo aptariamiems duomenims tvarkymas buvo pakankamai patikimas, kad būtų galima daryti išvadą, jog pareiškėjai, Deloitte perduotos informacijos autoriai, negalėjo būti pagrįstai identifikuojami. Kitaip tariant, šiomis aplinkybėmis, jei Deloitte turėjo pagrįstų priemonių nustatyti minėtų pareiškėjų tapatybę, būtų galima laikyti, kad ji tvarko asmens duomenis.
60.
Taigi, mano nuomone, pirmas EDAPP pateiktas prieštaravimas turėtų būti atmestas.
b)
Dėl antrojo prieštaravimo, grindžiamo klaida, padaryta lyginant nagrinėjamą situaciją su Sprendimu Breyer
1) Šalių argumentai
61.
Pasak EDAPP, kurį palaiko Europos duomenų apsaugos valdyba, duomenys, kuriems suteikti pseudonimai, BPV atžvilgiu yra asmens duomenys, todėl BPV turėjo pareigą pateikti duomenų subjektams informaciją apie duomenų gavėją. Jis iš esmės teigia, kad Bendrasis Teismas neteisingai išaiškino Sprendimą Breyer, kuris susijęs su kitokia faktine situacija.
62.
BPV, palaikoma Komisijos, atvirkščiai, teigia, kad palyginimas su Sprendimu Breyer yra tinkamas ir juo remiantis galima daryti išvadą, jog pareiga pateikti informaciją taikoma tik tuo atveju, jei perduodami duomenys yra asmens duomenys gavėjo, šiuo atveju – Deloitte, požiūriu, o tai, kaip teisingai nusprendė Bendrasis Teismas, šioje byloje nebuvo įrodyta.
2) Vertinimas
63.
Laikausi nuomonės, kad, dėl Reglamento 2018/1725 15 straipsnio 1 dalies d punkte nustatytos pareigos pateikti informaciją ir dėl paralelės su Sprendime Breyer nagrinėtu atveju, šioje byloje reikėtų rinktis kitokį sprendimą nei pasirinko Bendrasis Teismas, kurį nurodysiu nagrinėdamas šį prieštaravimą.
64.
Reglamento 2018/1725 4 straipsnio 1 dalies a punkte nustatytas reikalavimas teisėtai, sąžiningai ir skaidriai tvarkyti duomenis duomenų subjekto atžvilgiu.
65.
Konkrečiai šio reglamento 15 straipsnio 1 dalies d punkte numatyta, kad tais atvejais, kai su duomenų subjektu susiję asmens duomenys renkami iš šio asmens, duomenų valdytojas „tuo metu, kai atitinkami duomenys gaunami“, informuoja duomenų subjektus apie galimus minėtų duomenų gavėjus. Taigi atrodo, kad šią informaciją duomenų valdytojas turi pateikti nedelsdamas, t. y. duomenų rinkimo momentu (
28
).
66.
Pareigos pateikti informaciją laikymosi svarba taip pat patvirtinta Reglamento 2018/1725 35 konstatuojamojoje dalyje, kurioje nurodyta, jog pagal sąžiningo ir skaidraus duomenų tvarkymo principus duomenų subjektui pranešama apie vykdomą duomenų tvarkymo operaciją ir jos tikslus, ir pabrėžiama, jog duomenų valdytojas turėtų pateikti duomenų subjektui visą papildomą informaciją, kuri būtina tam, kad būtų užtikrintas sąžiningas ir skaidrus duomenų tvarkymas, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes ir kontekstą (
29
).
67.
Tokia pareiga informuoti dar svarbesnė dėl to, kad duomenų subjekto sutikimo galiojimas priklauso, be kita ko, nuo to, ar šis asmuo iš anksto gavo informaciją apie visas su atitinkamų duomenų tvarkymu susijusias aplinkybes, kaip numatyta Reglamento 2018/1725 14 ir 15 straipsniuose, nes tokiu atveju jis gali duoti sutikimą žinodamas visas faktines aplinkybes (
30
).
68.
Pridursiu, kad vienintelė šios pareigos pateikti informaciją išimtis, numatyta Reglamento 2018/1725 15 straipsnio 4 dalyje, yra susijusi su situacija, kai duomenų subjektas jau turi atitinkamą informaciją.
69.
Iš to darau išvadą, kad, nagrinėjamoje byloje, ši pareiga teikti informaciją yra teisinių santykių, susiklosčiusių tarp duomenų subjektų, šiuo atveju – pareiškėjų, kaip vienos šalies, ir BPV, kaip duomenų valdytojo, kaip kitos šalies, dalis, o ne BPV ir duomenų gavėjo, t. y. Deloitte, santykių dalis. Taigi pareiga teikti informaciją yra susijusi su duomenimis, kuriuos BPV turėjo prieš perduodama juos bendrovei Deloitte. Neginčijama, kad tai yra asmens duomenys, nes BPV saugo komentarus ir juos pateikusių asmenų tapatybės duomenų bazę.
70.
Taigi toks „tinkamą požiūrį“ (
31
) atspindintis aiškinimas mane veda prie kitokio sprendimo nei pasirinktas Bendrojo Teismo, net ir lyginant su Sprendimu Breyer.
71.
Priminsiu, kad byloje, dėl kurios Sprendime Breyer buvo pateiktas prejudicinis klausimas, P. Breyer siekė uždrausti duomenų valdytojui (Vokietijos Federacinei Respublikai) išsaugoti jo dinaminį IP adresą. Papildomą informaciją, leidžiančią nustatyti jo tapatybę pagal jo kompiuteriui priskirtą IP adresą, turėjo ne duomenų valdytojas, o interneto paslaugų teikėjas. Taigi kilo klausimas, ar duomenų valdytojo turimas dinaminis IP adresas gali būti laikomas asmens duomenimis, ir, dėl to, P. Breyer ir duomenų valdytojui palaikant teisinius santykius, gali atsirasti pastarojo prievolė, susijusi su duomenų saugojimu, nors P. Breyer asmens tapatybės duomenis saugojo ne duomenų valdytojas, o kitas asmuo. Iš esmės buvo nuspręsta, kad nors duomenų valdytojas neturėjo papildomos informacijos apie asmens tapatybę, jis turėjo pagrįstą prieigą prie jos, todėl dinaminis IP adresas buvo pripažintas „asmens duomenimis“.
72.
Nagrinėjamu atveju, kaip jau priminiau anksčiau (
32
), pareiga pateikti informaciją yra duomenų subjektų (pareiškėjų) ir duomenų valdytojo (BPV) santykių dalis: pareiga pateikti informaciją atsiranda tada, kai BPV surenka atitinkamus duomenis, o, kiek tai konkrečiai susiję su informacija apie gavėją, ne vėliau kaip tada, kai apie jį sužinoma. Kai šis momentas išsikristalizuoja, ginčijami duomenys yra asmens duomenys, turimi BPV, kuri saugo papildomus identifikacinius duomenis. Taigi, atsižvelgiant į nagrinėjamą pareigą teikti informaciją ir į jos išsikristalizavimo momentą, ginčijami duomenys buvo asmens duomenys, neatsižvelgiant į tai, kad Deloitte, kuri nėra saistoma nei teisinio santykio tarp pareiškėjų ir BPV, kuris vienintelis yra svarbus, nei šios BPV tenkančios pareigos teikti informaciją, gali nustatyti jų tapatybę.
73.
Man atrodo, kad būtent šiuo aspektu paralelės su Sprendimu Breyer šioje byloje turėtų būti vertinamos kaip santykinės.
74.
Vadinasi, pareiga pateikti informaciją teko BPV, kaip duomenų valdytojai dėl jos santykių su pareiškėjais, iš kurių ji rinko nagrinėjamus duomenis, ir nepriklauso nuo to, ar duomenys, perduoti bendrovei Deloitte, buvo asmens duomenys ar ne.
75.
Vadinasi, reikia atmesti per posėdį pakartotą BPV argumentą, kad situacijos vertinimas gavėjo atžvilgiu yra svarbus, nes svarbu patikrinti, ar jis yra „asmens duomenų gavėjas“, ar ne.
76.
Tiesa, kad Reglamento 2018/1725 15 straipsnio 1 dalies d punkto tekstas, kuriame kalbama apie „asmens duomenų gavėjus <…>“, gali būti painus šiuo atžvilgiu. Vis dėlto siekiant, kad ši nuostata turėtų naudingą poveikį, reikia, kad informacija duomenų subjektams būtų perduodama kuo greičiau ir prieš minėtą duomenų perdavimą (
33
). Nagrinėjamu atveju, net jei BPV pradžioje rinkdama komentarus neketino prašyti Deloitte pateikti nuomonę dėl to, ar šie komentarai taps pagrindu pakeisti vertinimą 3, iš Bendrajame Teisme ginčyto sprendimo matyti, kad Deloitte padėjo BPV per teisės būti išklausytam procedūrą (
34
). Be to, galima manyti, kad BPV ketinimas perduoti duomenis, kuriems suteikti pseudonimai, Deloitte atsirado ne vėliau kaip tuo metu, kai buvo nuspręsta tvarkyti aptariamus komentarus siekiant suteikti jiems pseudonimus (
35
), nes to nepadarius pseudonimų suteikimas būtų visiškai nepagrįstas.
77.
Laikausi nuomonės, kad pareigos suteikti informaciją laikymąsi tikrinant tuo metu, kai BPV perdavė duomenis Deloitte, vertinant iš gavėjo perspektyvos tai, ar nagrinėjamus duomenis reikia kvalifikuoti kaip asmens duomenis ar ne, šis patikrinimas perkeliamas kitam laikui. Vadinasi, toks patikrinimas būtų nepagrįstai atidėtas, nes jis turi būti atliekamas su duomenimis, kurie jau yra perduoti gavėjui, nors prievolės pateikti informaciją tikslas yra susijęs su BPV ir pareiškėjų santykiais ir skirtas tam, kad pastarieji prieš perduodant duomenis galėtų duoti informacija grindžiamą sutikimą kaip tinkamai informuoti asmenys.
78.
Be to, kalbant apie pareiškėjų sutikimą, jų dalyvavimą teisės būti išklausytam procedūroje tikrai galima aiškinti kaip numanomą sutikimą dalytis asmens duomenimis su duomenų valdytoju siekiant, kad būtų atsižvelgta į jų komentarus. Vis dėlto, mano nuomone, to nepakanka, kad būtų galima laikyti tinkamai informuoto asmens sutikimu dėl pseudonimų suteikimo duomenims ir jų perdavimo bendrovei Deloitte iš anksto negavus informacijos šiuo klausimu iš BPV (
36
).
79.
Mano nuomone, iš to darytina išvada, kad pareiga pateikti informaciją nagrinėjamu atveju BPV buvo taikoma prieš perduodant nagrinėjamus duomenis ir neatsižvelgiant į tai, ar tuo metu, kai juos turėjo Deloitte, jie buvo asmens duomenys ar ne.
80.
Taigi man neatrodo, kad aplinkybė, ar pseudonimų suteikimas yra pakankamai patikimas ir veiksmingas, kad būtų galima nuspręsti, ar Deloitte turimi duomenys yra asmens duomenys ar ne, yra reikšminga vertinant BPV pareigą pateikti informaciją.
81.
Vadinasi, nagrinėjamu atveju BPV, kaip duomenų valdytojos, pareiga pateikti informaciją turėjo būti įvykdyta, dėl šios priežasties, skundžiamas sprendimas turi būti panaikintas dėl teisės klaidos.
82.
Kadangi Reglamento 2018/1725 15 straipsnio 1 dalies d punkte nustatytos pareigos pateikti informaciją vertinimas, atsižvelgiant į nagrinėjamų duomenų gavėjo situaciją, yra nereikšmingas, šalių argumentai dėl Deloitte galimybės teisėtomis ir praktiškai pritaikomomis priemonėmis nustatyti duomenų subjektus tampa neaktualūs, todėl jų nagrinėti nereikia.
83.
Jei Teisingumo Teismas nepritartų šiai nuomonei, papildomai pažymiu, kad EDAPP šiuo klausimu ginčija Bendrojo Teismo išvadą, jog Deloitte neturėjo prieigos prie tapatybės nustatymo duomenų. Jis visų pirma remiasi tariamais sutartiniais subrangos santykiais tarp BPV ir Deloitte. BPV ir Komisija teigia, kad tokiu būdu EDAPP pateikia naujus faktinius argumentus, kurie apeliacinėje stadijoje nepriimtini. Pritariu šiai nuomonei. Iš tiesų, sutartinių santykių tarp BPV ir Deloitte buvimas, kuris taptų pagrindu įrodyti, kad Deloitte galėjo prašyti BPV nustatyti pareiškėjų tapatybę, yra naujas argumentas, dėl kurio Bendrasis Teismas nėra priėmęs sprendimo. Vadinasi, šis argumentas prireikus turėtų būti atmestas kaip nepriimtinas remiantis Teisingumo Teismo procedūros reglamento 170 straipsnio 1 dalies antru sakiniu, pagal kurį apeliaciniu skundu negalima pakeisti Bendrajame Teisme nagrinėtos bylos dalyko (
37
).
B. Dėl subsidiariai nagrinėjamo antrojo pagrindo
84.
Antruoju pagrindu, grindžiamu Reglamento 2018/1725 4 straipsnio 2 dalyje ir 26 straipsnio 1 dalyje įtvirtinto atskaitomybės principo pažeidimu, EDAPP, palaikomas Europos duomenų apsaugos valdybos, teigia, kad Bendrasis Teismas nepagrįstai nusprendė, jog jis privalėjo įrodyti, kad bendrovei Deloitte atsiųsta informacija yra asmens duomenys, ir taip pažeidė BPV atskaitomybės principą.
85.
Atsižvelgdamas į tai, kas išdėstyta, ir ypač į šios išvados 81 ir 82 punktus, manau, kad šio antrojo pagrindo nagrinėti nereikia.
86.
Taigi jį aptarsiu tik glaustai ir subsidiariai.
87.
Dėl šio pagrindo, kuris nebuvo pateiktas Bendrajame Teisme, priimtinumo (jį ginčija BPV), norėčiau priminti, kad ieškovas turi teisę pateikti apeliacinį skundą ir remtis pagrindais, kylančiais iš skundžiamo sprendimo, kurie skirti jo pagrįstumui teisės požiūriu ginčyti (
38
). Man atrodo, kad taip yra šio pagrindo atveju, todėl jis yra priimtinas.
88.
Dėl bylos esmės reikia priminti, kad Bendrasis Teismas nusprendė: kadangi EDAPP nepatikrino, ar Deloitte turėjo teisėtų ir praktiškai įgyvendinamų priemonių, leidžiančių jai susipažinti su papildoma informacija, būtina komentarų autorių tapatybei nustatyti, jis negalėjo daryti išvados, kad Deloitte perduota informacija yra informacija, susijusi su „fiziniu asmeniu, kurio tapatybę galima nustatyti“, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 punktą.
89.
EDAPP, palaikomas Europos duomenų apsaugos valdybos, iš esmės teigia, kad Bendrasis Teismas turėjo patikrinti, ar BPV, kaip duomenų valdytoja, įrodė, kad buvo nuasmeninusi ginčijamus duomenis Deloitte atžvilgiu.
90.
BPV ginčija šį argumentą, teigdama, kad atskaitomybės principas taikomas tik asmens duomenų atveju ir kad nagrinėjamu atveju Deloitte turimi duomenys buvo nuasmeninti.
91.
Komisija savo ruožtu tvirtina, kad pirmiausia EDAPP tenka pagrįsta pareiga, remiantis turimais įrodymais, įrodyti, kad asmens duomenys egzistuoja. Paskui atitinkamas duomenų valdytojas turėtų paneigti šią išvadą pateikdamas papildomų įrodymų.
92.
Primenu, kad, pagal Reglamento 2018/1725 4 straipsnio 1 dalies a punktą, asmens duomenys turi būti duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu. Šio reglamento 4 straipsnio 2 dalyje numatyta, kad „duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas)“. Taigi, pagal minėto reglamento 4 straipsnio 2 dalyje išdėstytą ir jo 26 straipsnio 1 dalyje įtvirtintą atskaitomybės principą, duomenų valdytojas turi gebėti įrodyti, kad laikosi 4 straipsnio 1 dalyje nurodytų su asmens duomenų tvarkymu susijusių principų (
39
).
93.
Jei duomenų valdytojas pateiktų pakankamai tai patvirtinančių įrodymų, būtų galima laikyti, kad jis įvykdė savo įrodinėjimo pareigą (
40
).
94.
Man atrodo, kad nagrinėjamoje byloje BPV rėmėsi keliais faktiniais elementais (visų pirma ginčijamame sprendime ir skundžiamame sprendime aprašytais komentarų filtravimo, skirstymo į kategorijas ir apibendrinimo procesais), siekdama įrodyti, kad, pagal jai tenkantį atskaitomybės principą, Deloitte negalėjo nustatyti atitinkamų asmenų tapatybės.
95.
Bendrajame Teisme EDAPP šiuo klausimu laikėsi principinės pozicijos, kad save laiko BPV, o ne Deloitte atstovu, ir kad Deloitte perduoti komentarai kvalifikuotini kaip asmens duomenys.
96.
Jeigu alternatyvaus šio pagrindo nagrinėjimo tikslais būtų pripažinta, kad situacija Deloitte požiūriu šioje byloje buvo svarbi (
41
), būtų galima manyti, kad, kaip nusprendė Bendrasis Teismas, EDAPP turėjo įrodyti (
42
), dėl kokių teisinių ar techninių priežasčių BPV įgyvendinto pseudonimų suteikimo proceso šioje byloje nepakako ir dėl to turėjo būti padaryta išvada, kad Deloitte tvarkė asmens duomenis.
97.
Taigi manyčiau, kad prireikus skundžiamas sprendimas dėl šio antrojo pagrindo turėtų būti paliktas galioti.
VII. Dėl ieškinio Bendrajame Teisme
98.
Pagal Europos Sąjungos Teisingumo Teismo statuto 61 straipsnio pirmą pastraipą, jei apeliacinis skundas yra pagrįstas, Teisingumo Teismas panaikina Bendrojo Teismo sprendimą. Jis gali pats priimti galutinį sprendimą byloje, kurioje turi tokią teisę, arba sugrąžinti bylą Bendrajam Teismui sprendimui priimti.
99.
Pirmasis BPV nurodytas pagrindas, pateiktas dėl Bendrajame Teisme ginčijamo sprendimo, yra grindžiamas Reglamento 2018/1725 3 straipsnio 1 dalies pažeidimu. Iš šios išvados 63 –82 punktų matyti, kad, kadangi BPV neįvykdė pareigos pateikti informaciją pagal Reglamento 2018/1725 15 straipsnio 1 dalies d punktą, mano nuomone, ginčijamas sprendimas turėtų būti patvirtintas.
100.
Kita vertus, man atrodo, negalima priimti sprendimo dėl ieškinio antrojo pagrindo, susijusio su EDAPP teisės į gerą administravimą pažeidimu vykstant procesui, kuriam pasibaigus buvo priimtas ginčijamas sprendimas.
101.
BPV konkrečiai teigia, kad per administracinę procedūrą, kuriai pasibaigus buvo priimtas ginčijamas sprendimas, EDAPP pažeidė jos teisę susipažinti su bylos medžiaga, teisę būti išklausytai ir šalių lygiateisiškumo principą, nes neleido jai susipažinti su bylos medžiaga ir nepateikė jai pareiškėjų pastabų ar jų turinio.
102.
Bendrasis Teismas nusprendė: kadangi ieškinio pirmasis pagrindas buvo patenkintas, jam pateikto antrojo pagrindo nagrinėti nereikia. Vadinasi, negalima priimti sprendimo dėl šio pagrindo, kuris, be kita ko, susijęs su faktinių aplinkybių vertinimu. Taigi, mano nuomone, byla turi būti grąžinta Bendrajam Teismui, kad jis priimtų sprendimą šiuo klausimu, ir atidėti bylinėjimosi išlaidų klausimo nagrinėjimą.
VIII. Išvada
103.
Atsižvelgdamas į išdėstytus argumentus, siūlau Teisingumo Teismui:
–
panaikinti 2023 m. balandžio 26 d. Europos Sąjungos Bendrojo Teismo sprendimą BPV / EDAPP (T‑557/20, EU:T:2023:219);
–
grąžinti bylą nagrinėti Bendrajam Teismui, kad šis priimtų sprendimą dėl jam pateikto antrojo pagrindo,
–
atidėti bylinėjimosi išlaidų klausimo nagrinėjimą.
(
1
)	Originalo kalba: prancūzų.
(
2
)	2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018, p. 39).
(
3
)	OL L 225, 2014, p. 1.
(
4
)	2017 m. birželio 7 d. Komisijos sprendimas (ES) 2017/1246, kuriuo patvirtinama Banco Popular Español SA pertvarkymo schema (OL L 178, 2017, p. 15).
(
5
)	Reglamento Nr. 806/2014 20 straipsnio 1 dalyje numatyta, kad šis asmuo yra nepriklausomas „nuo viešųjų institucijų, įskaitant Valdybą bei nacionalinę pertvarkymo instituciją, ir nuo susijusio subjekto“. Šio reglamento 20 straipsnio 16 dalyje kalbant apie sąvoką „nepriklausomas asmuo“, daroma nuoroda į 20 straipsnio 1 dalį.
(
6
)	Tai yra unikalus 33 skaitmenų universalus identifikatorius, generuojamas atsitiktine tvarka.
(
7
)	Iš ginčijamo sprendimo matyti, kad Deloitte, kaip nepriklausomas asmuo, padėjo BPV priimti sprendimus. Iš šio sprendimo taip pat matyti, kad 2020 m. kovo 18 d. BPV nusprendė, jog nukentėjusiems akcininkams ir kreditoriams nepriklauso jokia kompensacija, ir nurodė, kad šis sprendimas priimtas remiantis po pertvarkymo Deloitte atliktu vertinimu ir per teisės būti išklausytam procedūrą gautų pastabų analize.
(
8
)	Antrąjį reikalavimą sudarė prašymas pripažinti pirminį sprendimą neteisėtu. Skundžiamu sprendimu Bendrasis Teismas, remdamasis jurisdikcijos nebuvimu, atmetė šį antrąjį reikalavimą motyvuodamas tuo, kad BPV prašė priimti deklaratyvų sprendimą, o ne panaikinti aktą.
(
9
)	Žr. skundžiamo sprendimo 64, 73 ir 74 punktus.
(
10
)	2017 m. gruodžio 20 d. sprendimas (C‑434/16, toliau – Sprendimas Nowak, EU:C:2017:994). Šioje išvadoje, pagal analogiją, bus minimi sprendimai, kuriais įgyvendinama 1995 m. spalio 24 d. Europos Parlamento ir Tarybos direktyva 95/46/EB dėl asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo (OL L 281, 1995, p. 31; 2004 m. specialusis leidimas lietuvių k., 13 sk., 15 t., p. 355) bei 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR). Iš tikrųjų, kaip matyti iš Reglamento 2018/1725 4 ir 5 konstatuojamųjų dalių bei BDAR 2 straipsnio 3 dalies ir 98 straipsnio, Sąjungos teisės aktų leidėjas siekė nustatyti Sąjungos institucijų, organų, tarnybų ir agentūrų taikomą asmens duomenų apsaugos sistemą, kuri būtų lygiavertė BDAR nustatytai sistemai, kad būtų užtikrinta vienoda ir nuosekli fizinių asmenų apsauga tvarkant jų asmens duomenis Sąjungoje (žr. 2024 m. kovo 7 d. Sprendimo OC / Komisija, C‑479/22 P, EU:C:2024:215, 43 punktą).
(
11
)	Žr. skundžiamo sprendimo 100, 103 ir 105 punktus.
(
12
)	C‑413/23 P, EU:C:2023:1036.
(
13
)	Žr., be kita ko, nebaigtinį sąrašą, pateiktą generalinio advokato G. Pitruzzella išvados byloje Österreichische Datenschutzbehörde ir CRIF (C‑487/21, EU:C:2022:1000) 36 punkte.
(
14
)	Žr. Sprendimo Nowak, 34 ir 35 punktus. Be to, žr. 2023 m. gegužės 4 d. Sprendimą Österreichische Datenschutzbehörde ir CRIF (C‑487/21, EU:C:2023:369, 23 ir 24 punktai), 2023 m. birželio 22 d. Sprendimą Pankki S (C‑579/21, EU:C:2023:501, 42 ir 43 punktai); 2024 m. kovo 7 d. Sprendimą OC / Komisija (C‑479/22 P, EU:C:2024:215, 45 punktas) ir 2024 m. kovo 7 d. Sprendimą IAB Europe (C‑604/22, EU:C:2024:214, 36 ir 37 punktai).
(
15
)	Sprendimo Nowak 43 punktas.
(
16
)	Sprendimo Nowak 44 punktas in fine.
(
17
)	Šiuo klausimu žr. skundžiamo sprendimo 5–7 punktus ir šios išvados 9 punktą.
(
18
)	Žr. skundžiamo sprendimo 23 punktą.
(
19
)	2016 m. spalio 19 d. Sprendimas Breyer (C‑582/14, toliau – Sprendimas Breyer, EU:C:2016:779).
(
20
)	Šiuo klausimu taip pat žr. nuomonę dėl asmens duomenų sąvokos (29 straipsnio duomenų apsaugos darbo grupės nuomonė 4/2007, 2007 m. birželio 20 d., WP 136) ir nuomonę, kurioje aiškiai aptariami nuasmeninimo ir pseudonimų suteikimo metodai (29 straipsnio duomenų apsaugos darbo grupės nuomonė 05/2014, 2014 m. balandžio 10 d., WP 216). Taigi šis pseudonimų suteikimo procesas yra ypač svarbus mokslinių tyrimų ir statistikos kontekste.
(
21
)	Nors konstatuojamosios dalys neturi privalomos teisinės galios ir jomis negali būti grindžiamas aiškinimas, kuris prieštarautų Reglamentu 2018/1725 siekiamiems tikslams, Teisingumo Teismas dažnai jomis rėmėsi aiškindamas Sąjungos teisės akto nuostatas (žr., be kita ko, generalinio advokato M. Szpunar išvadą byloje Planet49, C‑673/17, EU:C:2019:246, 71 punktas, ir generalinės advokatės J. Kokott išvadą byloje Komisija / CK Telecoms UK Investments, C‑376/20 P, EU:C:2022:817).
(
22
)	Be to, griežtai techniniu požiūriu, dėl nuasmeninimo neatmetama galimybė pakartotinai nustatyti tapatybę, todėl nuasmeninimo metodus taikantys duomenų valdytojai turi reguliariai analizuoti su pakartotiniu tapatybės nustatymu susijusią riziką, vertindami šios rizikos rimtumą ir tikimybę kiekvienu konkrečiu atveju (šiuo klausimu žr. O. Tambou, Manuel de droit européen de la protection des données à caractère personnel (ES asmens duomenų apsaugos teisės vadovėlis), Bruylant, 2020, 68 punktas ir nuorodos šiuo klausimu, be kita ko, išnaša 162 puslapyje).
(
23
)	Nors įtraukiant sąvoką „pseudonimo suteikimas“ į BDAR buvo siekiama suteikti lankstumo, kad būtų palengvintos duomenų apsaugos prievolės (šiuo klausimu žr. Kuner, C., Bygave, L. A. ir Docksey, C., „Background and Evolution of the ES General Data Protection Regulation (GDPR)“, in Kuner, C., Bygrave, L. A., Docksey, C., ir Drechsler, L. (vad.), The ES General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, p. 1–47), Valdyba nepaisė šio ketinimo BDAR 26 konstatuojamojoje dalyje, kurios redakcija buvo pakartota Reglamento 2018/1725 16 konstatuojamojoje dalyje.
(
24
)	Kaip generalinis advokatas M. Campos Sánchez-Bordona nurodė savo išvados byloje Breyer (C‑582/14, EU:C:2016:339) 64-67 punktuose, „niekada nebūtų galima visiškai užtikrintai paneigti, kad nėra trečiosios šalies, turinčios papildomos informacijos, kurią galima derinti su minėta informacija ir dėl kurios dėl to būtų galima atskleisti asmens tapatybę. <…> Manau, kad dėl tokio, be kita ko, labai pagrįsto susirūpinimo negali būti neatsižvelgiama į teisės aktų leidėjo ketinimus ir kad sisteminis [Reglamento 2018/1725 16] konstatuojamosios dalies aiškinimas turi apsiriboti „priemon[ėmis], kuriomis [pagrįstai] galėtų pasinaudoti“konkrečios trečiosios šalys“.
(
25
)	Pavyzdžiui, Sprendime Breyer dinaminis IP adresas, kurį saugo elektroninių paslaugų teikėjas, nors ir atskirtas nuo tapatybės nustatymo duomenų, kuriuos saugo interneto prieigos teikėjas, kvalifikuotas kaip „asmens duomuo“, nes elektroninių paslaugų teikėjas turėjo priemonių, kuriomis galėjo pagrįstai pasinaudoti, kad nustatytų šiuo IP adresu besinaudojančio asmens tapatybę. Panašiai 2023 m. lapkričio 9 d. Sprendime GesamtverbandAutoteile-Handel (Galimybė susipažinti su informacija apie transporto priemones) (C‑319/22, EU:C:2023:837) nagrinėtas transporto priemonės identifikavimo numeris (VIN), apibrėžiamas kaip gamintojo transporto priemonei priskirtas raidžių ir skaitmenų kodas, kuriuo siekiama užtikrinti tinkamą kiekvienos transporto priemonės identifikavimą. Nors VIN pats savaime nėra asmens duomenys, tokiais duomenimis tampa tuo atveju, kai kas nors teisėtai disponuoja priemonėmis susieti jį su konkrečiu asmeniu (46 punktas) ir taip susieti jį su fiziniu asmeniu, kurio tapatybė nustatyta arba gali būti nustatyta (49 punktas). Panašiai asmens duomenimis buvo pripažintas Europos kovos su sukčiavimu tarnybos (OLAF) pranešimas spaudai, kuriame buvo identifikatorių, pagal kuriuos buvo galima pagrįstai nustatyti apeliantės tapatybę remiantis paprastu objektyviu šio pranešimo skaitymu arba priemonėmis, kurios, „pagrįstai tikėtina, galėtų būti naudojamos“ vieno iš jo skaitytojų (2024 m. kovo 7 d. Sprendimas OC / Komisija, C‑479/22 P, EU:C:2024:215). Taip pat 2024 m. kovo 7 d. Sprendime IAB Europe (C‑604/22, EU:C:2024:214) asociacija IAB, atstovaujanti skaitmeninės reklamos ir rinkodaros sektoriaus bendrovėms, nustatė interneto svetainių naudotojų preferencijų, koduojamų naudojant TC String (raidžių ir ženklų seką), registravimo sistemą. TC String buvo pripažinta asmens duomenimis, nes kartu su identifikatoriumi leido nustatyti atitinkamo interneto naudotojo tapatybę, taip pat ir IAB, kuri neturėjo identifikatorių, bet galėjo juos netiesiogiai gauti pagrįstomis priemonėmis (sprendimo 48–50 punktai).
(
26
)	Iš Sprendimo Breyer 46 punkto matyti, kad taip būtų tuo atveju, jeigu nustatyti atitinkamo asmens tapatybę būtų draudžiama pagal įstatymą arba praktiškai neįmanoma, nes, pavyzdžiui, reikalautų neproporcingai daug laiko ir žmogiškųjų bei ekonominių išteklių.
(
27
)	Galima paminėti pareigas, kylančias iš Reglamento 2018/1725 18 straipsnyje numatytos teisės ištaisyti asmens duomenis.
(
28
)	Pagal analogiją žr. 2019 m. liepos 29 d. Sprendimą Fashion ID(C‑40/17, EU:C:2019:629, 104 punktas ir jame nurodyta jurisprudencija). Taip pat žr. generalinio advokato M. Szpunar išvadą byloje Association Mousse (C‑394/23, EU:C:2024:610, 58 punktas).
(
29
)	Pagal analogiją žr. 2015 m. spalio 1 d. Sprendimą Bara ir kt. (C‑201/14, EU:C:2015:638, 34 punktas); 2019 m. spalio 1 d. Sprendimą Planet49 (C‑673/17, EU:C:2019:801, 77 punktas) ir 2024 m. liepos 11 d. Sprendimą Meta Platforms Ireland (Atstovaujamasis ieškinys) (C‑757/22, EU:C:2024:598, 57 punktas). Reglamento 2018/1725 36 konstatuojamojoje dalyje taip pat nurodyta, kad „[k]ai asmens duomenis galima teisėtai atskleisti kitam duomenų gavėjui, duomenų subjektas apie tai turėtų būti informuojamas pirmo asmens duomenų atskleidimo jų gavėjui metu“. Kitaip tariant, jeigu atsiranda nauja aplinkybė, apie tai turi būti pranešta duomenų subjektams prieš „tolesnį duomenų tvarkymą“ (šiuo klausimu ir pagal analogiją žr. 2022 m. balandžio 27 d. Sprendimą Roos ir kt. / Parlamentas, T‑710/21, T‑722/21 ir T‑723/21, EU:T:2022:262, 171 punktas).
(
30
)	Pagal analogiją žr. 2024 m. liepos 11 d. sprendimą Meta Platforms Ireland (atstovaujamasis ieškinys) (C‑757/22, EU:C:2024:598, 60 punktas) ir generalinio advokato J. Richard de la Tour išvados toje pačioje byloje (EU:C:2024:88) 47 punktą. Taip pat žr. Reglamento 2018/1725 14 straipsnio 1 dalį, pagal kurią „duomenų valdytojas imasi atitinkamų priemonių, kad visą 15 ir 16 straipsniuose nurodytą informaciją <…> susijusi[ą] su duomenų tvarkymu, duomenų subjektui pateiktų glausta, skaidria, suprantama ir lengvai prieinama forma, aiškia ir paprasta kalba“.
(
31
)	Jei konstatuotume, kad šis požiūris nebuvo aptartas procesiniuose dokumentuose, pažymiu, kad jis ne tik buvo paminėtas per Teisingumo Teismo posėdį, juo galima remtis šioje byloje, nes juo siekiama nustatyti tinkamą požiūrį į šioje byloje nagrinėjamą pareigą pateikti informaciją. Nors teismo sprendimas turi būti priimtas tik dėl šalių, kurios turi apibrėžti ginčo dalyką, pareikštų reikalavimų, teismas negali apsiriboti tik jų nurodytais argumentais savo reikalavimams pagrįsti, antraip teismui kartais galėtų prireikti grįsti savo sprendimą klaidingais teisiniais argumentais (žr. 2010 m. rugsėjo 21 d. Sprendimą Švedija ir kt. / API ir Komisija, C‑514/07 P, C‑528/07 P ir C‑532/07 P, EU:C:2010:541, 65 punktą ir jame nurodytą jurisprudenciją).
(
32
)	Žr. šios išvados 69 punktą.
(
33
)	Dėl išankstinio informacijos pobūdžio informuoto asmens sutikimui pagrįsti žr. 2024 m. liepos 11 d. Sprendimą Meta Platforms Ireland (atstovaujamasis ieškinys) (C‑757/22, EU:C:2024:598, 60 punktas).
(
34
)	Žr. šios išvados 12 punkte esančią 7 išnašą.
(
35
)	Žr. skundžiamo sprendimo 13 ir paskesnius punktus. Taip pat žr. per posėdį pateiktus BPV atsakymus į klausimus.
(
36
)	Dėl minėtos informacijos glaustumo, skaidrumo, suprantamumo, lengvo prieinamumo ir aiškaus bei paprasto formulavimo žr. Reglamento 2018/1725 14 straipsnio 1 dalį. Taip pat žr. 29 straipsnio duomenų apsaugos darbo grupės Gaires dėl skaidrumo pagal Reglamentą (ES) 2016/679, 2018 m. balandžio 11 d., WP 260, 01 leid., 30 punktas: „Jeigu informacijos pakeitimas iš esmės keistų duomenų tvarkymo pobūdį (pavyzdžiui, būtų išplėstos duomenų gavėjų kategorijos arba pradedamas duomenų perdavimas į trečiąją šalį) arba jeigu tai yra pakeitimas, kuris gali būti neesminis duomenų tvarkymo operacijos atžvilgiu, bet gali būti esminis duomenų subjektui ir daryti jam poveikį, informacija turėtų būti pateikta duomenų subjektui gerokai prieš įvykstant pakeitimui, o metodas, kuriuo duomenų subjektas informuojamas apie pakeitimus, turėtų būti aiškus ir veiksmingas. Tikslas – užtikrinti, kad duomenų subjektas „nepraleistų“ pakeitimo, ir suteikti jam pagrįstą laikotarpį, per kurį jis galėtų: a) įvertinti pakeitimo pobūdį ir poveikį ir b) pasinaudoti BDAR numatytomis savo teisėmis, susijusiomis su pakeitimu (pavyzdžiui, atšaukti sutikimą arba nesutikti su duomenų tvarkymu).“
(
37
)	Žr., be kita ko, 2024 m. vasario 29 d. Sprendimą Euranimi / Komisija (C‑95/23 P, nepaskelbtas Rink., EU:C:2024:177, 53 punktas).
(
38
)	Žr. 2022 m. sausio 25 d. Sprendimą Komisija / European Food ir kt. (C‑638/19 P, EU:C:2022:50, 77 punktas ir jame nurodyta jurisprudencija).
(
39
)	Šiuo klausimu žr., be kita ko, 2023 m. gegužės 4 d. Sprendimą Bundesrepublik Deutschland (Teismo elektroninio pašto dėžutė) (C‑60/22, EU:C:2023:373, 53 punktas ir jame nurodyta jurisprudencija). Dėl duomenų valdytojui tenkančios pareigos įrodyti, kad asmuo davė sutikimą dėl duomenų tvarkymo taip pat žr. 2020 m. lapkričio 11 d. Sprendimą Orange Romania (C‑61/19, EU:C:2020:901, 52 punktas).
(
40
)	Pagal analogiją žr. 2024 m. sausio 25 d. Sprendimą MediaMarktSaturn (C‑687/21, EU:C:2024:72, 43–45 punktai) dėl BDAR grindžiamo ieškinio dėl žalos atlyginimo: atitinkamam duomenų valdytojui tenka pareiga įrodyti saugumo priemonių, kurias jis įgyvendino, tinkamumą, o ieškinį nagrinėjantis teismas turi atsižvelgti į visus įrodymus, kuriuos duomenų valdytojas pateikė siekdamas įrodyti, kad techninės ir organizacinės priemonės, kurių jis ėmėsi, kad įvykdytų savo pareigas, yra tinkamos. Bet vien to, kad duomenų valdytojo darbuotojai per klaidą perdavė dokumentą su asmens duomenimis teisės gauti šiuos duomenis neturinčiai trečiajai šaliai, nepakanka pripažinti, kad aptariamo duomenų valdytojo įgyvendintos techninės ir organizacinės priemonės nebuvo „tinkamos“.
(
41
)	Žr. šios išvados 59 ir 60 punktus.
(
42
)	Šiuo klausimu žr. 2023 m. spalio 12 d. Sprendime Larko / Komisija (C‑445/22 P, EU:C:2023:773, 29 punktas) pateiktą Komisijos palyginimą su valstybės pagalbos teise; taip pat kaip tam tikros priemonės kvalifikavimas yra būtina sąlyga, kad ši priemonė patektų į Komisijos kompetencijos sritį siekiant užtikrinti SESV 107 ir 108 straipsnių įgyvendinimą; šiuo atveju pripažinimas „asmens duomenimis“ yra būtina sąlyga, kad būtų taikomas Reglamentas 2018/1725 ir kad EDAPP turėtų kompetenciją (žr. šio reglamento 52 straipsnio 3 dalį).