62023CJ0413_RES
Causa C‑413/23 P
Garante europeo della protezione dei dati
contro
Comitato di risoluzione unico
Sentenza della Corte (Prima Sezione) del 4 settembre 2025
«Impugnazione – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Procedura di indennizzo degli azionisti e dei creditori di un istituto bancario in seguito alla risoluzione di quest’ultimo – Decisione del Garante europeo della protezione dei dati che constata la violazione da parte del Comitato di risoluzione unico dei suoi obblighi in materia di trattamento dei dati personali – Regolamento (UE) 2018/1725 – Articolo 15, paragrafo 1, lettera d) – Obbligo di informare l’interessato – Trasmissione a terzi di dati pseudonimizzati – Articolo 3, punto 1 – Nozione di “dati personali” – Articolo 3, punto 6 – Nozione di “pseudonimizzazione”»
Istituzioni dell’Unione europea – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2018/1725 – Nozione di dati personali – Qualsiasi informazione concernente una persona fisica identificata o identificabile – Procedimento relativo al diritto di essere ascoltati avviato dal Comitato di risoluzione unico (SRB) in seguito all’adozione di misure di risoluzione di un ente creditizio – Osservazioni formulate nei confronti del SRB dagli azionisti e creditori su cui incidono tali misure – Osservazioni pseudonimizzate trasmesse dal SRB a un terzo indipendente ai fini della valutazione – Valutazione dell’identificabilità degli interessati – Inclusione – Eccezione – Impossibilità di identificare gli interessati
(Regolamento del Parlamento europeo e del Consiglio 2018/1725, considerando 17 e art. 3, punti 1 e 6)
(v. punti 54‑60, 72‑76, 82, 85, 86)
Istituzioni dell’Unione europea – Protezione delle persone fisiche con riguardo al trattamento dei dati personali – Regolamento 2018/1725 – Obbligo di informazione in caso di raccolta di dati personali presso l’interessato – Procedimento relativo al diritto di essere ascoltati avviato dal Comitato di risoluzione unico (SRB) in seguito all’adozione di misure di risoluzione di un ente creditizio – Osservazioni formulate nei confronti del SRB dagli azionisti e creditori su cui incidono tali misure – Osservazioni pseudonimizzate trasmesse dal SRB a un terzo indipendente ai fini della valutazione – Obbligo di informazione sui destinatari dei dati personali raccolti incombente al SRB prima del trasferimento di dette osservazioni – Valutazione dell’identificabilità degli interessati al momento della raccolta dei dati e dal punto di vista del titolare del trattamento
[Regolamento del Parlamento europeo e del Consiglio 2018/1725, art. 15, § 1, d)]
(v. punti 103, 106, 108‑112, 115)
Sintesi
Investita di un’impugnazione proposta dal Garante europeo della protezione dei dati (GEPD), la Corte ha annullato la sentenza CRU/GEPD (
1
) e ha rinviato la causa dinanzi al Tribunale. Nel far questo, essa ha fornito precisazioni sulla nozione di «dati personali», nel contesto di dati pseudonimizzati e, più in particolare, dell’informazione da fornire all’interessato qualora tali dati siano trasferiti a un terzo.
Nel caso di specie, con decisione del 7 giugno 2017, il Comitato di risoluzione unico (SRB o CRU) ha sottoposto il Banco Popular Español SA (in prosieguo: il «Banco Popular») a una procedura di risoluzione, approvata lo stesso giorno dalla Commissione europea. Il 6 agosto 2018, il SRB ha pubblicato sul suo sito Internet l’avviso in merito alla sua decisione preliminare sulla necessità di concedere un indennizzo agli azionisti e ai creditori interessati dalla risoluzione di tale ente. Al fine di poter prendere una decisione definitiva su tale punto, esso ha precisato, nella sua decisione preliminare, che occorreva organizzare un procedimento che consentisse agli interessati di esercitare il loro diritto di essere ascoltati. Sono stati raccolti dati degli azionisti e dei creditori partecipanti, tra i quali figuravano quelli relativi alla loro identità nonché alla prova della proprietà degli strumenti di capitale del Banco Popular. Una volta che il loro status è stato verificato dal SRB mediante i dati raccolti, tali persone hanno presentato osservazioni sulla decisione preliminare. Alcuni di tali dati, sotto forma di dati pseudonimizzati, sono stati trasferiti a Deloitte, società di revisione contabile e di consulenza incaricata dal SRB di effettuare una valutazione degli effetti di una procedura di risoluzione sugli azionisti e sui creditori (
2
).
Nel 2019, diversi azionisti e creditori interessati hanno trasmesso al GEPD cinque reclami ai sensi del regolamento 2018/1725 (
3
), con la motivazione che il SRB non li aveva informati del fatto che i dati raccolti che li riguardavano sarebbero stati trasmessi a terzi.
Il GEPD ha dato seguito a detti reclami adottando una decisione iniziale che, a fronte di una richiesta di riesame da parte del SRB, è stata abrogata e sostituita da una decisione rivista. In quest’ultima, il GEPD ha ritenuto che, nel caso di specie, Deloitte fosse un destinatario di dati personali dei reclamanti (
4
). Inoltre, esso ha constatato che il SRB aveva violato l’obbligo di informazione previsto dal regolamento 2018/1725 (
5
). Più precisamente, esso ha addebitato al SRB di non aver menzionato, nell’informativa sulla riservatezza relativa al trattamento dei dati personali intervenuta nel corso del procedimento relativo al diritto di essere ascoltati, che Deloitte era un potenziale destinatario dei dati personali raccolti e trattati dal SRB stesso.
Il SRB ha quindi proposto un ricorso dinanzi al Tribunale diretto, in particolare, ad ottenere l’annullamento della decisione rivista del GEPD. Il Tribunale ha parzialmente accolto tale ricorso e ha annullato detta decisione.
Giudizio della Corte
Nella sua sentenza, la Corte si pronuncia sulle condizioni, esaminate nella sentenza impugnata, nelle quali i dati possono essere qualificati come dati personali.
In primo luogo, essa ritiene che il Tribunale sia incorso in un errore di diritto dichiarando che il GEPD, per concludere che le informazioni risultanti dalle osservazioni trasmesse a Deloitte «concernevano», ai sensi dell’articolo 3, punto 1, del regolamento 2018/1725, le persone che avevano presentato tali osservazioni, avrebbe dovuto esaminare il contenuto, la finalità o gli effetti di dette osservazioni, essendo pacifico che esse esprimevano l’opinione o il punto di vista personale dei loro autori.
A questo proposito, la Corte ricorda la sua giurisprudenza, secondo la quale un’informazione concerne una persona fisica identificata o identificabile qualora, in ragione del suo contenuto, della sua finalità o del suo effetto, essa sia connessa a una persona identificabile (
6
). Pertanto, un esame vertente sul contenuto di un’informazione non deve necessariamente essere completato da un’analisi della finalità e degli effetti di tale informazione, come indica l’impiego della congiunzione «o» che collega i diversi criteri considerati da tale giurisprudenza.
La Corte sottolinea che l’interpretazione del Tribunale, secondo cui il GEPD non poteva qualificare come dati personali le informazioni risultanti dalle osservazioni trasmesse a Deloitte sulla sola base della constatazione che si trattava di opinioni o punti di vista personali, ma che avrebbe dovuto esaminare, inoltre, il contenuto, la finalità e l’effetto delle opinioni così espresse, al fine di stabilire se esse fossero collegate a una determinata persona, non tiene conto della particolare natura delle opinioni o dei punti di vista personali che, in quanto espressione del pensiero di una persona, sono necessariamente strettamente connessi a quest’ultima (
7
).
In secondo luogo, la Corte si pronuncia sulla condizione prevista dall’articolo 3, punto 1, del regolamento 2018/1725, relativa al carattere «identificabile» della persona fisica interessata e, più in particolare, sull’argomento del GEPD secondo cui si deve ritenere che i dati pseudonimizzati costituiscano, in ogni caso e per qualsiasi persona, dati personali.
La Corte osserva che, contrariamente a quanto sostiene il GEPD, il Tribunale ha correttamente dichiarato che non si deve ritenere che dati pseudonimizzati costituiscano, in ogni caso e per qualsiasi persona, dati personali ai fini dell’applicazione del regolamento 2018/1725, in quanto la pseudonimizzazione può, a seconda delle circostanze del caso di specie, effettivamente impedire a persone diverse dal titolare del trattamento di identificare l’interessato in modo tale che, per esse, quest’ultimo non sia o non sia più identificabile.
Innanzitutto, la Corte rileva che, ai sensi del regolamento 2018/1725 (
8
), la pseudonimizzazione non costituisce un elemento della definizione dei «dati personali», ma si riferisce all’attuazione di misure tecniche e organizzative dirette a ridurre il rischio di mettere in correlazione un insieme di dati con l’identità degli interessati.
Essa precisa poi che la nozione di «pseudonimizzazione» presuppone l’esistenza di informazioni che consentano di identificare la persona interessata. Orbene, l’esistenza stessa di tali informazioni osta a che dati che sono stati oggetto di una pseudonimizzazione possano, in ogni caso, essere considerati dati anonimi, esclusi dall’ambito di applicazione del regolamento 2018/1725.
Infine, la Corte sottolinea che la pseudonimizzazione ha segnatamente l’obiettivo di evitare che l’interessato possa essere identificato mediante i soli dati pseudonimizzati (
9
). Infatti, a condizione che le misure tecniche e organizzative richieste per una pseudonimizzazione ai sensi del regolamento 2018/1725 siano effettivamente attuate e siano idonee a prevenire un’attribuzione dei dati di cui trattasi all’interessato, in modo tale che quest’ultimo non sia o non sia più identificabile, la pseudonimizzazione può incidere sul carattere personale di tali dati. A tale riguardo, essa precisa che, come normalmente avviene nel caso del titolare del trattamento che ha proceduto alla pseudonimizzazione, il SRB dispone, nel caso di specie, delle informazioni aggiuntive che consentono di attribuire le osservazioni trasmesse a Deloitte all’interessato. Secondo il SRB, tali osservazioni conservano, pertanto, nonostante la pseudonimizzazione, il loro carattere personale. Per contro, per quanto riguarda Deloitte, la Corte ha rilevato che dette misure tecniche e organizzative possono avere l’effetto che, per tale società, le osservazioni in parola non presentino carattere personale. Ciò presuppone tuttavia, da un lato, che Deloitte non sia in grado di revocare tali misure in occasione di qualsiasi trattamento di dette osservazioni effettuato sotto il suo controllo e, dall’altro lato, che dette misure devono effettivamente essere tali da impedire a Deloitte di attribuire le stesse osservazioni all’interessato anche mediante il ricorso ad altri mezzi di identificazione, quali una sovrapposizione con altre.
Secondo la Corte, tanto dal considerando 16 del regolamento 2018/1725 quanto dalla propria giurisprudenza risulta che l’esistenza di informazioni aggiuntive che consentono di identificare la persona interessata non implica, di per sé, che dati pseudonimizzati debbano essere considerati, in ogni caso e per qualsiasi persona, come dati personali ai fini dell’applicazione del regolamento 2018/1725. A questo proposito, essa ricorda che, per quanto riguarda un comunicato stampa che conteneva un certo numero di indicazioni relative a una persona senza indicarla nominativamente, essa non si è limitata alla constatazione che l’organismo dell’Unione che aveva pubblicato tale comunicato disponeva di tutte le informazioni che consentivano di identificare tale persona, ma ha esaminato se le indicazioni contenute in detto comunicato consentissero ragionevolmente al pubblico interessato di identificare tale persona, in particolare mediante una combinazione di tali indicazioni con informazioni disponibili su Internet (
10
). Inoltre, essa ha statuito che non ci si può avvalere ragionevolmente di un mezzo per identificare la persona interessata quando l’identificazione di tale persona è vietata dalla legge o praticamente irrealizzabile, per esempio a causa del fatto che ciò implicherebbe un dispendio sproporzionato di tempo, costi e manodopera (
11
). Nello stesso ordine di idee, essa ha affermato che dati di per sé impersonali, raccolti e conservati dal titolare del trattamento, erano comunque collegati a una persona identificabile, dal momento che il titolare del trattamento disponeva di strumenti giuridici per ottenere da altri le informazioni aggiuntive che consentivano di identificare tale persona (
12
). Infatti, secondo la Corte, in tali circostanze, il fatto che le informazioni che consentivano di identificare l’interessato si trovassero in possesso di più persone non ne impediva effettivamente l’identificazione in modo tale che quest’ultimo non fosse identificabile per il titolare del trattamento.
In particolare, la Corte ricorda che dati che sono di per sé impersonali possono acquisire carattere «personale», qualora il titolare del trattamento li metta a disposizione di altre persone che dispongono di mezzi che consentano con ragionevole probabilità l’identificazione dell’interessato (
13
). Nel contesto di una siffatta messa a disposizione, detti dati presentano un carattere personale tanto per tali persone quanto, indirettamente, per il titolare del trattamento.
In terzo luogo, la Corte ritiene che il Tribunale sia incorso in un errore di diritto laddove ha dichiarato che, per valutare se il SRB avesse rispettato il suo obbligo di informazione, il GEPD avrebbe dovuto esaminare se le osservazioni trasmesse a Deloitte costituissero, dal punto di vista di quest’ultima, dati personali.
In via preliminare, la Corte osserva che, sebbene il regolamento 2018/1725 non precisi espressamente la prospettiva pertinente per valutare il carattere identificabile dell’interessato, dalla giurisprudenza (
14
) risulta che tale prospettiva dipende essenzialmente dalle circostanze che caratterizzano il trattamento dei dati in ciascun caso particolare.
Per quanto riguarda, nella fattispecie, l’obbligo di informare sugli eventuali destinatari dei dati personali di cui all’articolo 15, paragrafo 1, lettera d), del regolamento 2018/1725, la Corte precisa che si tratta di un’informazione che deve essere fornita, assieme ad altre, «nel momento in cui i dati personali sono ottenuti», quando i dati sono raccolti presso l’interessato. Sottolineando al tempo stesso l’importanza del rispetto di tale obbligo di informazione, la Corte rileva che, qualora la raccolta di tali, come nel caso di specie, sia fondata sul consenso dell’interessato, la validità del consenso dipende, tra l’altro, dalla questione se l’interessato abbia previamente ottenuto le informazioni alla luce di tutte le circostanze relative al trattamento dei dati in questione alle quali aveva diritto, in forza dell’articolo 15 del regolamento 2018/1725, e che gli consentono di dare un consenso con piena cognizione di causa. L’obbligo di fornire all’interessato – al momento della raccolta dei dati personali ad esso collegati – l’informazione relativa agli eventuali destinatari di tali dati ha, in particolare, lo scopo di consentire all’interessato di decidere con piena cognizione di causa se fornire o contrario, rifiutare di fornire i suoi dati personali raccolti presso di esso.
La Corte aggiunge che, oltre ad essere indispensabile anche affinché l’interessato possa, successivamente, difendere i propri diritti nei confronti di tali destinatari, l’obbligo di fornire tali informazioni al momento della raccolta dei dati personali garantisce, in particolare, che i dati in parola non siano raccolti dal titolare del trattamento contro la volontà dell’interessato, o addirittura trasferiti a terzi contro la sua volontà.
L’obbligo di informazione si inserisce quindi nel rapporto giuridico esistente tra l’interessato e il titolare del trattamento e, pertanto, ha ad oggetto le informazioni relative a tale persona quali trasmesse a detto titolare, quindi prima di qualsiasi eventuale trasferimento a un terzo.
Pertanto, secondo la Corte, ai fini dell’applicazione dell’obbligo di informazione previsto dal regolamento 2018/1725, l’identificabilità dell’interessato deve essere valutata al momento della raccolta dei dati e dal punto di vista del titolare del trattamento. L’obbligo di informazione incombente al SRB si applicava, dunque, a monte del trasferimento delle osservazioni in questione e a prescindere dal fatto che fossero o meno dati personali, dal punto di vista di Deloitte, dopo la loro eventuale pseudonimizzazione.
(
1
)	Sentenza del Tribunale del 26 aprile 2023, CRU/GEPD (C‑557/20; in prosieguo: la sentenza impugnata, EU:T:2023:219).
(
2
)	Valutazione prevista all’articolo 20, paragrafi da 16 a 18, del regolamento (UE) n. 806/2014 del Parlamento europeo e del Consiglio, del 15 luglio 2014, che fissa norme e una procedura uniformi per la risoluzione degli enti creditizi e di talune imprese di investimento nel quadro del meccanismo di risoluzione unico e del Fondo di risoluzione unico e che modifica il regolamento (UE) n. 1093/2010 (GU 2014, L 225, pag. 1).
(
3
)	Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU 2018, L 295, pag. 39).
(
4
)	Ai sensi dell’articolo 3, punto 13, del regolamento 2018/1725.
(
5
)	Articolo 15, paragrafo 1, lettera b), del regolamento 2018/1725.
(
6
)	Sentenze del 20 dicembre 2017, Nowak (C‑434/16, EU:C:2017:994, punto 35); del 7 marzo 2024, OC/Commissione (C‑479/22 P, EU:C:2024:215, punto 45); e del 7 marzo 2024, IAB Europe (C‑604/22, EU:C:2024:214, punto 37 e giurisprudenza citata).
(
7
)	Interpretazione corroborata dalla giurisprudenza derivante dalla sentenza del 20 dicembre 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Articolo 3, punti 1 e 6, del regolamento 2018/1725.
(
9
)	L’articolo 3, punto 6, del regolamento 2018/1725 richiede che vengano attuate una conservazione separata delle informazioni identificative nonché misure tecniche e organizzative «intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile».
(
10
)	Sentenza del 7 marzo 2024, OC/Commissione (C‑479/22 P, EU:C:2024:215, punti da 52 a 64).
(
11
)	Sentenza del 7 marzo 2024, OC/Commissione (C‑479/22 P, EU:C:2024:215, punto 51 e giurisprudenza citata).
(
12
)	Sentenze del 19 ottobre 2016, Breyer (C‑582/14, EU:C:2016:779, punti 44, 47 e 48), e del 7 marzo 2024, IAB Europe (C‑604/22, EU:C:2024:214, punti 43 e 48).
(
13
)	Sentenza del 9 novembre 2023, Gesamtverband Autoteile-Handel (Accesso alle informazioni sui veicoli) (C‑319/22, EU:C:2023:837, punti 46 e 49).
(
14
)	Giurisprudenza richiamata nelle note a piè di pagina da 10 a 12 della presente sintesi.