62023CJ0413_RES
Lieta C‑413/23 P
Eiropas datu aizsardzības uzraudzītājs
pret
Vienoto noregulējuma valdi
Tiesas (pirmā palāta) 2025. gada 4. septembra spriedums
Apelācija – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Zaudējumu atlīdzināšanas procedūra banku iestādes akcionāriem un kreditoriem pēc tās noregulējuma – Pārskatītais Eiropas Datu aizsardzības uzraudzītāja lēmums, kurā konstatēts, ka Vienotā noregulējuma valde nav izpildījusi pienākumus saistībā ar personas datu apstrādi – Regula (ES) 2018/1725 – 15. panta 1. punkta d) apakšpunkts – Pienākums informēt datu subjektu – Pseidonimizētu datu nosūtīšana trešai personai – 3. panta 1. punkts – Jēdziens “personas dati” – 3. panta 6. punkts – Jēdziens “pseidonimizācija”
Eiropas Savienības iestādes – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2018/1725 – Personas datu jēdziens – Jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu – Vienotās noregulējuma valdes (VNV) uzsākta procedūra saistībā ar tiesībām tikt uzklausītam pēc banku iestādes noregulējuma pasākumu pieņemšanas – Ar šiem pasākumiem skarto akcionāru un kreditoru komentāri VNV – Pseidonimizēti komentāri, ko VNV nodevusi trešai personai izvērtējuma veikšanai – Datu subjektu identificējamības izvērtējums – Ietveršana – Izņēmums – Neiespējamība identificēt datu subjektus
(Eiropas Parlamenta un Padomes Regulas 2018/1725 17. apsvērums un 3. panta 1. un 6. punkts)
(skat. 54.–60_. 72.–76., 82., 85. un 86. punktu)
Eiropas Savienības iestādes – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2018/1725 – Pienākums sniegt informāciju, kad no datu subjekta tiek vākti dati – Vienotās noregulējuma valdes (VNV) uzsākta procedūra saistībā ar tiesībām tikt uzklausītam pēc banku iestādes noregulējuma pasākumu pieņemšanas – Ar šiem pasākumiem skarto akcionāru un kreditoru komentāri VNV – Pseidonimizēti komentāri, ko VNV nodevusi trešai personai izvērtējuma veikšanai – VNV pienākums informēt savākto datu saņēmējus pirms minēto komentāru pārsūtīšanas – Datu subjektu identificējamības izvērtējums datu vākšanas laikā un no pārziņa skatpunkta
(Eiropas Parlamenta un Padomes Regulas 2018/1725 15. panta 1. punkta d) apakšpunkts)
(skat. 103., 106., 108.–112. un 115. punktu)
Rezumējums
Izskatot Eiropas Datu aizsardzības uzraudzītāja (EDAU) apelācijas sūdzību, Tiesa atcēla spriedumu VNV/EDAU (
1
) un nodeva lietu atpakaļ Vispārējai tiesai. Šādi rīkojoties, tā ir sniegusi precizējumus par jēdzienu “personas dati” pseidonimizētu datu un it īpaši datu subjektam sniedzamās informācijas kontekstā, ja šādi dati tiek pārsūtīti trešai personai.
Šajā gadījumā Vienotā noregulējuma valde (VNV) ar 2017. gada 7. jūnija lēmumu piemēroja Banco Popular Español SA (turpmāk tekstā – “Banco Popular”) noregulējuma procedūru, ko tajā pašā dienā apstiprināja Eiropas Komisija. 2018. gada 6. augustā VNV savā tīmekļvietnē publicēja paziņojumu par savu iepriekšējo lēmumu par to, vai ir jāpiešķir kompensācija akcionāriem un kreditoriem, kurus skar šīs iestādes noregulējums. Lai šajā jautājumā varētu pieņemt galīgo lēmumu, tā savā iepriekšējā lēmumā precizēja, ka ir jāorganizē procedūra, kas ļautu ieinteresētajām personām īstenot savas tiesības tikt uzklausītām. Tika savākti tajā iesaistīto akcionāru un kreditoru dati, tostarp dati par viņu identitāti, kā arī pierādījumiem par Banco Popular kapitāla instrumentu īpašumtiesībām. Pēc tam, kad VNV, izmantojot savāktos datus, bija pārbaudījusi viņu statusu, šīs personas iesniedza komentārus par iepriekšējo lēmumu. Daži no tiem pseidonimizētu datu veidā tika nodoti audita un konsultāciju sabiedrībai Deloitte, kurai VNV uzdeva novērtēt noregulējuma procedūras ietekmi uz akcionāriem un kreditoriem (
2
).
2019. gadā vairāki skartie akcionāri un kreditori iesniedza EDAU piecas sūdzības saskaņā ar Regulu 2018/1725 (
3
), pamatojoties uz to, ka VNV tos nebija informējusi, ka par viņiem savāktie dati tiks nosūtīti trešām personām.
EDAU to izskatīja, pieņemot sākotnējo lēmumu, kas pēc VNV pārskatīšanas lūguma tika atcelts un aizstāts ar pārskatīto lēmumu. Tajā EDAU uzskatīja, ka šajā gadījumā Deloitte bija sūdzību iesniedzēju personas datu saņēmēja (
4
). Tas turklāt atzina, ka VNV nav izpildījusi Regulā 2018/1725 paredzēto informēšanas pienākumu (
5
). Konkrētāk, EDAU tai pārmeta, ka tā paziņojumā par konfidencialitāti attiecībā uz personas datu apstrādi, kas tika sniegts procedūras saistībā ar tiesībām tikt uzklausītam laikā, nav minējusi, ka Deloitte ir VNV savākto un apstrādāto personas datu potenciāla saņēmēja.
Tad VNV cēla prasību Vispārējā tiesā, citastarp lūdzot atcelt šo pārskatīto EDAU lēmumu. Vispārējā tiesa daļēji apmierināja šo prasību un atcēla minēto lēmumu.
Tiesas vērtējums
Spriedumā Tiesa spriež par pārsūdzētajā spriedumā izvērtētajiem nosacījumiem, saskaņā ar kuriem datus var kvalificēt kā personas datus.
Pirmām kārtām, tā uzskata, ka Vispārējā tiesa ir pieļāvusi tiesību kļūdu, nospriezdama, ka EDAU, lai secinātu, ka informācija, kas izriet no Deloitte nosūtītajiem komentāriem, “attiecas” uz personām, kuras ir iesniegušas šos komentārus, Regulas 2018/1725 3. panta 1. punkta izpratnē, būtu bijis jāpārbauda minēto komentāru saturs, mērķis vai sekas, jo nav strīda par to, ka tajos ir pausts to autoru viedoklis vai nostāja.
Šajā ziņā Tiesa atgādina savu judikatūru, atbilstoši kurai informācija attiecas uz identificētu vai identificējamu fizisku personu, ja satura, mērķa vai seku ziņā tā ir saistīta ar kādu identificējamu personu (
6
). Tātad informācijas satura pārbaude nav obligāti jāpapildina ar šīs informācijas mērķa un seku analīzi, kā to norāda saikļa “vai” lietojums, kas savieno dažādos šajā judikatūrā paredzētos kritērijus.
Tiesa uzsver, ka Vispārējās tiesas interpretācijā – saskaņā ar kuru informāciju, kas izriet no Deloitte nosūtītajiem komentāriem, EDAU nevarēja kvalificēt kā personas datus, pamatojoties tikai uz konstatējumu, ka runa ir par personiskiem viedokļiem vai nostāju, bet ka tam turklāt esot bijis jāpārbauda šādi pausto viedokļu saturs, mērķis un sekas, lai noteiktu, vai tie ir saistīti ar konkrētu personu, – netiek ņemts vērā to personisko viedokļu vai nostājas īpašais raksturs, kuri kā personas domas izpausme noteikti ir cieši saistīti ar šo personu (
7
).
Otrām kārtām, Tiesa lemj par Regulas 2018/1725 3. panta 1. punktā paredzēto nosacījumu par attiecīgās fiziskās personas “identificējamību” un it īpaši par EDAU argumentāciju, saskaņā ar kuru pseidonimizēti dati katrā ziņā un attiecībā uz ikvienu personu ir jāuzskata par personas datiem.
Tiesa uzskata, ka pretēji tam, ko apgalvo EDAU, Vispārējā tiesa ir pareizi nospriedusi, ka pseidonimizēti dati katrā ziņā un attiecībā uz jebkuru personu nav uzskatāmi par personas datiem Regulas 2018/1725 piemērošanas nolūkā, jo pseidonimizācija atkarībā no apstākļiem faktiski var liegt personām, kas nav pārzinis, identificēt datu subjektu tādā mērā, ka tās šo personu nevar vai vairs nevar identificēt.
Visupirms Tiesa norāda, ka atbilstoši Regulai 2018/1725 (
8
) pseidonimizācija nav “personas datu” definīcijas elements, bet gan attiecas uz tehnisku un organizatorisku pasākumu ieviešanu, lai samazinātu risku, ka datu kopums tiks sasaistīts ar datu subjektu identitāti.
Turpinājumā tā precizē – jēdziens “pseidonimizācija” nozīmē, ka pastāv informācija, kas ļauj identificēt datu subjektu. Šādas informācijas pastāvēšana pati par sevi nepieļauj, ka pseidonimizētus datus katrā ziņā varētu uzskatīt par anonīmiem datiem, kas ir izslēgti no Regulas 2018/1725 piemērošanas jomas.
Visbeidzot tā uzsver, ka pseidonimizācijas mērķis citastarp ir izvairīties no tā, ka datu subjektu varētu identificēt, izmantojot tikai pseidonimizētus datus (
9
). Proti, ciktāl pseidonimizācijai nepieciešamie tehniskie un organizatoriskie pasākumi Regulas 2018/1725 izpratnē faktiski tiek īstenoti un ja tie var novērst attiecīgo datu sasaistīšanu ar datu subjektu tādējādi, ka tas nav vai vairs nav identificējams, pseidonimizācija var ietekmēt šo datu kā personas datu raksturu. Šajā ziņā tā precizē – kā tas parasti ir tā pārziņa gadījumā, kurš ir veicis pseidonimizāciju, VNV rīcībā šajā lietā ir papildu informācija, kas ļauj Deloitte nosūtītos komentārus sasaistīt ar datu subjektu. Tādējādi VNV uzskata, ka šie komentāri, neraugoties uz pseidonimizāciju, saglabā savu personisko raksturu. Savukārt attiecībā uz Deloitte Tiesa ir norādījusi, ka minēto tehnisko un organizatorisko pasākumu sekas var būt tādas, ka no šīs sabiedrības skatpunkta šie komentāri nav personiski. Tomēr tas nozīmē, pirmkārt, ka Deloitte nav iespējams atcelt šos pasākumus, kad tā veic minēto komentāru apstrādi tās kontrolē, un, otrkārt, ka minētie pasākumi patiešām liedz Deloitte sasaistīt šos komentārus ar kādu datu subjektu, izmantojot arī citus identifikācijas līdzekļus, piemēram, pārklāšanos ar citiem.
Tiesa uzskata, ka gan no Regulas 2018/1725 16. apsvēruma, gan tās judikatūras izriet, ka tādas papildu informācijas pieejamība, kas ļauj identificēt datu subjektu, pati par sevi nenozīmē, ka pseidonimizēti dati ir jāuzskata par tādiem, kas katrā ziņā un attiecībā uz ikvienu personu ir personas dati Regulas 2018/1725 piemērošanas nolūkā. Šajā ziņā tā atgādina, ka attiecībā uz paziņojumu presei, kurā bija ietverts zināms skaits norāžu attiecībā uz personu, to nenosaucot vārdā, Tiesa neaprobežojās ar konstatējumu, ka Savienības struktūras, kas publicējusi šo paziņojumu, rīcībā bija visa informācija, kas ļāva identificēt šo personu, bet tā pārbaudīja, vai minētajā paziņojumā ietvertās norādes ļauj attiecīgajai sabiedrības daļai saprātīgi identificēt šo personu, it īpaši – kombinējot šīs norādes ar internetā pieejamo informāciju (
10
). Turklāt tā jau ir nospriedusi, ka līdzekli nevar saprātīgi izmantot, lai identificētu attiecīgo personu, ja identifikācijas risks patiesībā šķiet nenozīmīgs, jo šīs personas identifikācija ir aizliegta ar likumu vai ir praktiski neiespējama, piemēram, tāpēc, ka tam nepieciešama nesamērīga piepūle laika, izmaksu un darbaspēka ziņā (
11
). Tāpat tā ir nospriedusi, ka pārziņa savāktie un uzglabātie dati paši par sevi tomēr ir saistīti ar identificējamu personu, jo pārzinim ir likumīgi līdzekļi, lai citur iegūtu šo papildu informāciju, kas ļauj šo personu identificēt (
12
). Proti, Tiesa uzskata, ka šādos apstākļos tas, ka informācija, kas ļauj identificēt datu subjektu, bijusi dažādu personu rīcībā, faktiski nebija tāds šķērslis šīs personas identificēšanai, kas pārzinim nebūtu pārvarams.
It īpaši Tiesa atgādina, ka dati, kas paši par sevi ir bezpersoniski, var iegūt “personīgu” raksturu, ja pārzinis tos dara pieejamus citām personām, kuru rīcībā ir līdzekļi, kas pietiekami iespējami var ļaut identificēt datu subjektu (
13
). Šādas pieejamības nodrošināšanas kontekstā minētie dati ir personas dati gan šīm personām, gan – netieši – pārzinim.
Trešām kārtām, Tiesa uzskata, ka Vispārējā tiesa ir pieļāvusi tiesību kļūdu, nospriezdama – lai novērtētu, vai VNV ir izpildījusi savu informēšanas pienākumu, EDAU būtu bijis jāpārbauda, vai Deloitte nosūtītie komentāri no pēdējās minētās skatpunkta ir personas dati.
Iesākumā Tiesa norāda – lai gan Regulā 2018/1725 nav skaidri precizēta atbilstošā perspektīva, lai novērtētu datu subjekta identificējamību, no judikatūras izriet (
14
), ka atbilstošā perspektīva, lai novērtētu datu subjekta identificējamību, galvenokārt ir atkarīga no apstākļiem, kas raksturo datu apstrādi katrā konkrētajā gadījumā.
Attiecībā uz Regulas 2018/1725 15. panta 1. punkta d) apakšpunktā ietverto pienākumu sniegt informāciju par iespējamiem personas datu saņēmējiem, Tiesa precizē, ka runa ir par informāciju, kas citastarp ir jāsniedz “datu iegūšanas laikā”, vācot datus no datu subjekta. Uzsvērdama šī informēšanas pienākuma svarīgumu, tiesa norāda, ka šādu datu vākšana – kā šajā gadījumā – ir balstīta uz personas piekrišanu; šīs personas sniegtās piekrišanas spēkā esība citastarp ir atkarīga no tā, vai persona iepriekš ir ieguvusi informāciju – ņemot vērā visus ar attiecīgo datu apstrādi saistītos apstākļus –, uz kuru tai bija tiesības saskaņā ar Regulas 2018/1725 15. pantu un kura tai ļauj dot piekrišanu, pilnībā apzinoties situāciju. Pienākuma sniegt datu subjektam – ar viņu saistīto personas datu vākšanas laikā – informāciju par iespējamiem šo datu saņēmējiem mērķis it īpaši ir ļaut datu subjektam, pilnībā pārzinot lietas apstākļus, izlemt, sniegt vai, gluži pretēji, atteikties sniegt savus no viņa savāktos personas datus.
Tiesa piebilst, ka papildus pienākuma sniegt šādu informāciju personas datu vākšanas brīdī obligātajam raksturam, lai datu subjekts vēlāk varētu aizstāvēt savas tiesības pret šiem saņēmējiem, tas it īpaši nodrošina, ka pārzinis šos datus nevāc pret datu subjekta gribu vai pat nenosūta pret viņa gribu trešām personām.
Tādējādi informēšanas pienākums ietilpst tiesiskajās attiecībās, kas pastāv starp datu subjektu un pārzini, un tādēļ tā priekšmets ir ar šo personu saistītā informācija, kāda tā ir nodota šim pārzinim, tātad pirms jebkādas iespējamās nosūtīšanas trešai personai.
Līdz ar to Tiesa uzskata – lai piemērotu Regulā 2018/1725 paredzēto informēšanas pienākumu, datu subjekta identificējamība jānovērtē datu vākšanas laikā un no pārziņa skatpunkta. Tāpēc VNV pienākums sniegt informāciju ir piemērojams pirms attiecīgo komentāru nosūtīšanas un neatkarīgi no tā, vai pēc to iespējamās pseidonimizācijas tie no Deloitte skatpunkta ir vai nav personas dati.
(
1
)	Vispārējās tiesas spriedums, 2023. gada 26. aprīlis, VNV/EDAU (T‑557/20, turpmāk tekstā – pārsūdzētais spriedums, EU:T:2023:219).
(
2
)	Eiropas Parlamenta un Padomes Regulas (ES) Nr. 806/2014 (2014. gada 15. jūlijs), ar ko izveido vienādus noteikumus un vienotu procedūru kredītiestāžu un noteiktu ieguldījumu brokeru sabiedrību noregulējumam, izmantojot vienotu noregulējuma mehānismu un vienotu noregulējuma fondu, un groza Regulu (ES) Nr. 1093/2010 (OV 2014, L 225, 1. lpp.), 20. panta 16.–18. punktā paredzētais novērtējums.
(
3
)	Eiropas Parlamenta un Padomes Regula (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV 2018, L 295, 39. lpp.)
(
4
)	Regulas 2018/1725 3. panta 13. punkta izpratnē.
(
5
)	Regulas 2018/1725 15. panta 1. punkta d) apakšpunkts.
(
6
)	Spriedumi, 2017. gada 20. decembris, Nowak (C‑434/16, EU:C:2017:994, 35. punkts); 2024. gada 7. marts, OC/Komisija (C‑479/22 P, EU:C:2024:215, 45. punkts); un 2024. gada 7. marts, IAB Europe (C‑604/22, EU:C:2024:214, 37. punkts un tajā minētā judikatūra).
(
7
)	Šo interpretāciju apstiprina judikatūra, kas izriet no 2017. gada 20. decembra sprieduma Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Regulas 2018/1725 3. panta 1. un 6. punkts.
(
9
)	Regulas 2018/1725 3. panta 6. punktā ir prasīts ieviest identifikācijas informācijas atsevišķu glabāšanu, kā arī tehniskus un organizatoriskus pasākumus, “lai nodrošinātu, ka personas dati netiek saistīti ar identificētu vai identificējamu fizisku personu”.
(
10
)	Spriedums, 2024. gada 7. marts, OC/Komisija (C‑479/22 P, EU:C:2024:215, 52.–64. punkts).
(
11
)	Spriedums, 2024. gada 7. marts, OC/Komisija (C‑479/22 P, EU:C:2024:215, 51. punkts un tajā minētā judikatūra).
(
12
)	Spriedumi, 2016. gada 19. oktobris, Breyer (C‑582/14, EU:C:2016:779, 44., 47. un 48. punkts), un 2024. gada 7. marts, IAB Europe (C‑604/22, EU:C:2024:214, 43. un 48. punkts).
(
13
)	Spriedums, 2023. gada 9. novembris, Gesamtverband Autoteile‑Handel (Piekļuve transportlīdzekļu informācijai) (C‑319/22, EU:C:2023:837, 46. un 49. punkts).
(
14
)	Judikatūra, kas atgādināta šī rezumējuma 10.–12. zemsvītras piezīmē.