62023CJ0413_RES
Sag C-413/23 P
Den Europæiske Tilsynsførende for Databeskyttelse
mod
Den Fælles Afviklingsinstans
Domstolens dom (Første Afdeling) af 4. september 2025
»Appel – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – procedure for betaling af kompensation til en banks aktionærer og kreditorer efter afvikling af denne bank – afgørelse fra Den Europæiske Tilsynsførende for Databeskyttelse, hvorved det fastslås, at Den Fælles Afviklingsinstans har tilsidesat sine forpligtelser vedrørende behandling af personoplysninger – forordning (EU) 2018/1725 – artikel 15, stk. 1, litra d) – pligt til at underrette den registrerede – fremsendelse af pseudonymiserede oplysninger til tredjemand – artikel 3, nr. 1) – begrebet »personoplysninger« – artikel 3, nr. 6) – begrebet »pseudonymisering««
EU-institutioner – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2018/1725 – begrebet personoplysninger – enhver form for information om en identificeret eller identificérbar fysisk person – procedure vedrørende retten til at blive hørt iværksat af Den Fælles Afviklingsinstans (Afviklingsinstansen) efter vedtagelse af foranstaltninger til afvikling af en bank – bemærkninger fremsat til Afviklingsinstansen af de aktionærer og kreditorer, der er berørt af disse foranstaltninger – bemærkninger fremsendt af Afviklingsinstansen til en uafhængig tredjemand med henblik på vurdering – vurdering af, om de registrerede er identificerbare – omfattet – undtagelse – ikke muligt at identificere de registrerede
[Europa-Parlamentets og Rådets forordning 2018/1725, 17. betragtning og art. 3, nr. 1) og 6)]
(jf. præmis 54-60, 72-76, 82, 85 og 86)
EU-institutioner – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2018/1725 – oplysningspligt ved indsamling af personoplysninger hos den registrerede – procedure vedrørende retten til at blive hørt iværksat af Den Fælles Afviklingsinstans (Afviklingsinstansen) efter vedtagelse af foranstaltninger til afvikling af en bank – bemærkninger fremsat til Afviklingsinstansen af de aktionærer og kreditorer, der er berørt af disse foranstaltninger – bemærkninger fremsendt af Afviklingsinstansen til en uafhængig tredjemand med henblik på vurdering – Afviklingsinstansens oplysningspligt om modtagerne af de indsamlede personoplysninger inden overførslen af nævnte bemærkninger – vurdering af, om de registrerede ved indsamlingen af oplysningerne er identificerbare ud fra den dataansvarliges synspunkt
[Europa-Parlamentets og Rådets forordning 2018/1725, art. 15, stk. 1, litra d)]
(jf. præmis 103, 106, 108-112 og 115)
Resumé
I forbindelse med en appel iværksat af Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) ophævede Domstolen dommen i sagen Afviklingsinstansen mod EDPS (
1
) og hjemviste sagen til Retten. Herved præciserede Domstolen begrebet »personoplysninger« i forbindelse med pseudonymiserede oplysninger og nærmere bestemt den information, som den registrerede skal gives, når sådanne oplysninger overføres til tredjemand.
I det foreliggende tilfælde underlagde Den Fælles Afviklingsinstans (Afviklingsinstansen) ved afgørelse af 7. juni 2017 Banco Popular Español SA (herefter »Banco Popular«) en afviklingsprocedure, som Europa-Kommissionen godkendte samme dag. Den 6. august 2018 offentliggjorde Afviklingsinstansen på sit websted sin meddelelse vedrørende instansens foreløbige afgørelse om, hvorvidt de aktionærer og kreditorer, der var berørt af afviklingen af denne bank, skulle bevilges kompensation. Afviklingsinstansen anførte i den foreløbige afgørelse, at der for at kunne træffe en endelig afgørelse herom, skulle tilrettelægges en procedure, som gav dem mulighed for at udøve deres ret til at blive hørt. Der blev indsamlet oplysninger om de heri deltagende aktionærer og kreditorer, herunder oplysninger om deres identitet samt bevis for ejendomsretten til kapitalinstrumenter i Banco Popular. Efter at Afviklingsinstansen havde efterprøvet deres status med de indsamlede oplysninger, afgav disse personer bemærkninger til den foreløbige afgørelse. Visse oplysninger blev i pseudonymiseret form overført til revisions- og rådgivningsfirmaet Deloitte, hvortil Afviklingsinstansen havde overdraget opgaven med værdiansættelse af afviklingsprocedurens indvirkning på aktionærer og kreditorer (
2
).
I 2019 indgav flere berørte aktionærer og kreditorer fem klager til EDPS i henhold til forordning 2018/1725 (
3
) med den begrundelse, af Afviklingsinstansen ikke havde underrettet dem om, at de indsamlede oplysninger om dem ville blive videregivet til tredjemand.
EDPS tiltrådte klagerne og vedtog den oprindelige afgørelse, som efter Afviklingsinstansens anmodning om en revurdering blev ophævet og erstattet af den reviderede afgørelse. I denne afgørelse fandt EDPS, at Deloitte i det foreliggende tilfælde var modtager af klagernes personoplysninger (
4
). EDPS fastslog endvidere, at Afviklingsinstansen havde tilsidesat den oplysningspligt, der er fastsat i forordning 2018/1725 (
5
). EDPS foreholdt nærmere bestemt Afviklingsinstansen, at denne instans i fortrolighedserklæringen vedrørende behandlingen af personoplysninger inden for rammerne af proceduren vedrørende retten til at blive hørt ikke havde nævnt, at Deloitte var potentiel modtager af de personoplysninger, som Afviklingsinstansen havde indsamlet og behandlet.
Afviklingsinstansen anlagde følgelig sag ved Retten med påstand om annullation af EDPS’ reviderede afgørelse. Retten tog delvist dette søgsmål til følge og annullerede nævnte afgørelse.
Domstolens bemærkninger
I dommen traf Domstolen afgørelse om de i den appellerede dom undersøgte betingelser for, at oplysninger kan kvalificeres som personoplysninger.
For det første fastslog Domstolen, at Retten havde begået en retlig fejl ved at fastslå, at for at konkludere, at informationen i de bemærkninger, der blev fremsendt til Deloitte, var »om« de fysiske personer, der havde indgivet disse bemærkninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, skulle EDPS have undersøgt indholdet af, formålet med eller virkningerne af nævnte bemærkninger, eftersom det stod fast, at de udtrykte ophavsmændenes holdninger eller personlige synspunkter.
I denne henseende bemærkede Domstolen, at det følger af retspraksis, at information vedrører en identificeret eller identificerbar person, hvis den på grund af sit indhold, formål eller virkning er knyttet til en identificerbar person (
6
). En undersøgelse af indholdet af en information skal følgelig ikke nødvendigvis suppleres af en analyse af formålet med og virkningerne af denne information, som det indikeres med anvendelsen af bindeordet »eller«, der forbinder de forskellige kriterier omhandlet i denne retspraksis.
Domstolen fremhævede, at Rettens fortolkning, hvorefter EDPS ikke kunne kvalificere informationen i de bemærkninger, der blev fremsendt til Deloitte, som personoplysninger alene på grundlag af den blotte konstatering, at der var tale om personlige holdninger eller synspunkter, men at EDPS desuden burde have undersøgt indholdet af, formålet med og virkningen af de herved udtrykte holdninger med henblik på at afgøre, om disse var knyttet til en bestemt person, udgjorde en tilsidesættelse af den særlige karakter af personlige holdninger eller synspunkter, der som udtryk for en persons tanker nødvendigvis er nært forbundet med denne person (
7
).
For det andet traf Domstolen afgørelse om den i artikel 3, nr. 1), i forordning 2018/1725 fastsatte betingelse om, at den pågældende fysiske person er »identificerbar«, og nærmere bestemt EDPS’ argumentation om, at de pseudonymiserede oplysninger i alle tilfælde og for enhver skal anses for at udgøre personoplysninger.
Domstolen fastslog, at Retten i modsætning til, hvad EDPS gjorde gældende, med føje havde fastslået, at pseudonymiserede oplysninger ikke skal anses for i alle tilfælde og for enhver at udgøre personoplysninger med henblik på anvendelsen af forordning 2018/1725, for så vidt som pseudonymiseringen alt efter omstændighederne i den foreliggende sag faktisk kan hindre andre personer end den dataansvarlige i at identificere den registrerede, således at vedkommende ikke eller ikke længere kan identificeres af disse.
Indledningsvis bemærkede Domstolen, at pseudonymisering i medfør af forordning 2018/1725 (
8
) ikke udgør et element i definitionen af »personoplysninger«, men vedrører indførelse af tekniske og organisatoriske foranstaltninger for at reducere risikoen for, at en helhed af oplysninger kan sættes i forbindelse med de registreredes identitet.
Herefter præciserede Domstolen, at begrebet »pseudonymisering« forudsætter, at der findes oplysninger, der gør det muligt at identificere den registrerede. Selve eksistensen af sådanne oplysninger er til hinder for, at de oplysninger, der har været genstand for pseudonymisering, i alle tilfælde kan anses for at være anonyme oplysninger, der er udelukket fra anvendelsesområdet for denne forordning.
Endelig fremhævede Domstolen, at pseudonymiseringen bl.a. har til formål at undgå, at den registrerede kan identificeres alene med de pseudonymiserede oplysninger (
9
). For så vidt som de tekniske og organisatoriske foranstaltninger, der kræves med henblik på en pseudonymisering som omhandlet i forordning 2018/1725, faktisk indføres, og de kan forebygge, at de pågældende oplysninger henføres til den registrerede, således at denne ikke eller ikke længere kan identificeres, kan pseudonymiseringen nemlig have indvirkning på den personlige karakter af disse oplysninger. I denne henseende præciserede Domstolen, at Afviklingsinstansen, som det sædvanligvis er tilfældet med den dataansvarlige, der har foretaget pseudonymiseringen, i det foreliggende tilfælde rådede over supplerende oplysninger, som gjorde det muligt at henføre de bemærkninger, der var fremsendt til Deloitte, til den registrerede. Disse bemærkninger bevarede således deres personlige karakter for Afviklingsinstansen på trods af pseudonymiseringen. Med hensyn til Deloitte bemærkede Domstolen, at de omhandlede tekniske og organisatoriske foranstaltninger derimod kunne bevirke, at disse bemærkninger ikke var personoplysninger for dette selskab. For det første forudsatte dette imidlertid, at Deloitte ikke kunne fjerne disse foranstaltninger under den behandling af nævnte bemærkninger, som skulle foretages under dennes kontrol, og for det andet skulle nævnte foranstaltninger faktisk kunne hindre Deloitte i at henføre disse bemærkninger til den registrerede ved ligeledes at anvende andre midler til identifikation såsom en sammenstilling med andre elementer.
Ifølge Domstolen følger det af 16. betragtning til forordning 2018/1725 såvel som af dens praksis, at eksistensen af supplerende oplysninger, der gør det muligt at identificere den registrerede, ikke i sig selv indebærer, at de pseudonymiserede oplysninger i alle tilfælde og for enhver skal anses for at udgøre personoplysninger med henblik på anvendelsen af forordning 2018/1725. Domstolen bemærkede i denne henseende, at med hensyn til en pressemeddelelse, som indeholdt et vist antal indikationer om en person uden at udpege vedkommende ved navn, havde den ikke blot konstateret, at det EU-organ, som havde offentliggjort denne pressemeddelelse, rådede over samtlige oplysninger, der gjorde det muligt at identificere denne person, men ligeledes undersøgt, om indikationerne i nævnte pressemeddelelse med rimelighed gjorde det muligt for den berørte offentlighed at identificere personen, bl.a. ved at kombinere disse indikationer med tilgængelige oplysninger på internettet (
10
). Domstolen har endvidere fastslået, at et middel ikke med rimelighed kan tænkes bragt i anvendelse til at identificere den registrerede, når risikoen for en identificering i virkeligheden er ubetydelig, for så vidt som identificeringen af denne person er forbudt ved lov eller praktisk ugennemførlig, f.eks. på grund af det forhold, at den vil indebære en større indsats i tid, omkostninger og arbejde (
11
). I samme ånd har Domstolen fastslået, at oplysninger, der i sig selv er upersonlige, og som indsamles og behandles af den dataansvarlige, alligevel var knyttet til en identificerbar person, hvis den dataansvarlige rådede over retsmidler til fra andre at indhente supplerende oplysninger, der gjorde det muligt at identificere denne person (
12
). På denne baggrund kunne den omstændighed, at forskellige personer besad oplysninger, der gjorde det muligt at identificere den registrerede, ifølge Domstolen ikke effektivt hindre identifikationen af vedkommende, således at denne person ikke var identificerbar for den dataansvarlige.
Domstolen bemærkede navnlig, at oplysninger, der i sig selv er upersonlige, kan blive »personoplysninger«, når den dataansvarlige stiller dem til rådighed for andre personer, som råder over midler, der med rimelighed kan gøre det muligt at identificere den registrerede (
13
). I en sammenhæng, hvor disse oplysninger stilles til rådighed, har nævnte oplysninger personlig karakter både for disse personer og indirekte for den dataansvarlige.
For det tredje fastslog Domstolen, at EDPS for at vurdere, om Afviklingsinstansen havde overholdt sin oplysningspligt, skulle have vurderet, om de bemærkninger, der blev fremsendt til Deloitte, ud fra sidstnævntes synspunkt udgjorde personoplysninger.
Indledningsvis bemærkede Domstolen, at selv om forordning 2018/1725 ikke udtrykkeligt præciserer det relevante perspektiv for at vurdere, om den registrerede er identificerbar, følger det af retspraksis (
14
), at det relevante perspektiv for vurderingen af, om den registrerede er identificerbar, hovedsageligt afhænger af de omstændigheder, der kendetegner behandlingen af oplysningerne i det konkrete tilfælde.
Hvad i det foreliggende tilfælde nærmere bestemt angår oplysninger om de eventuelle modtagere af personoplysninger som omhandlet artikel 15, stk. 1, litra d), i forordning 2018/1725 præciserede Domstolen, at der er tale om oplysninger, der sammen med andre skal meddeles ved indsamlingen af oplysninger hos den registrerede »på det tidspunkt, hvor personoplysningerne indsamles«. Idet Domstolen fremhævede vigtigheden af at overholde denne oplysningspligt, bemærkede den, at når indsamlingen af sådanne oplysninger hos den registrerede som i det foreliggende tilfælde baseres på denne persons samtykke, afhænger gyldigheden af dette samtykke bl.a. af, om vedkommende på forhånd har modtaget oplysninger i lyset af alle omstændighederne i forbindelse med behandlingen af de omhandlede oplysninger, som den registrerede havde ret til i henhold til artikel 15 i forordning 2018/1725, og som sikrer, at dette samtykke gives med fuldt kendskab til følgerne. Forpligtelsen til på tidspunktet for indsamlingen af personoplysninger med forbindelse til den registrerede at oplyse denne registrerede om de eventuelle modtagere af disse oplysninger tilsigter bl.a. at gøre det muligt for denne person med fuldt kendskab til følgerne at beslutte, om vedkommende vil meddele eller tværtimod afvise at meddele sine personoplysninger, der indsamles hos denne.
Domstolen tilføjede, at forpligtelsen til at fremlægge oplysninger om eventuelle modtagere på tidspunktet for indsamlingen af personoplysninger ud over at den er uundværlig for, at den registrerede senere kan varetage sine rettigheder i forhold til disse modtagere, bl.a. sikrer, at den dataansvarlige ikke indsamler disse oplysninger mod den registreredes vilje, eller at de mod dennes ønske fremsendes til tredjemand.
Oplysningspligten indgår således i det eksisterende retsforhold mellem den registrerede og den dataansvarlige og vedrører derfor oplysninger med forbindelse til denne registrerede, som de overgives til denne dataansvarlige og altså inden enhver overførsel til tredjemand.
Domstolen fastslog dermed, at med henblik på anvendelsen af den oplysningspligt, der er fastsat i forordning 2018/1725, skal spørgsmålet, om den registrerede er identificerbar, vurderes på tidspunktet for indsamlingen af oplysningerne og ud fra den dataansvarliges synspunkt. Den oplysningspligt, der påhviler Afviklingsinstansen, fandt således anvendelse før overførslen af de omhandlede bemærkninger, og uafhængigt af, om disse bemærkninger ud fra Deloittes synspunkt var personoplysninger eller ej, efter den eventuelle pseudonymisering heraf.
(
1
) – Rettens dom af 26.4.2023, Afviklingsinstansen mod EDPS (T-557/20, herefter den appellerede dom, EU:T:2023:219).
(
2
) – Værdiansættelse fastsat i artikel 20, stk. 16-18, i Europa-Parlamentets og Rådets forordning (EU) nr. 806/2014 af 15.7.2014 om ensartede regler og en ensartet procedure for afvikling af kreditinstitutter og visse investeringsselskaber inden for rammerne af en fælles afviklingsmekanisme og en fælles afviklingsfond og om ændring af forordning (EU) nr. 1093/2010 (EUT 2014, L 225, s. 1).
(
3
) – Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23.10.2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT 2018, L 295, s. 39).
(
4
) – Jf. artikel 3, nr. 13), i forordning 2018/1725.
(
5
) – Artikel 15, stk. 1, litra d), i forordning 2018/1725.
(
6
) – Dom af 20.12.2017, Nowak (C-434/16, EU:C:2017:994, præmis 35), af 7.3.2024, OC mod Kommissionen (C-479/22 P, EU:C:2024:215, præmis 45), og af 7.3.2024, IAB Europe (C-604/22, EU:C:2024:214, præmis 37 og den deri nævnte retspraksis).
(
7
) – Fortolkningen understøttes af den retspraksis, der følger af dom af 20.12.2017, Nowak (C-434/16, EU:C:2017:994).
(
8
) – Artikel 3, nr. 1) og 6), i forordning 2018/1725.
(
9
) – Artikel 3, nr. 6), i forordning 2018/1725 kræver separat opbevaring af identificerende oplysninger samt tekniske og organisatoriske foranstaltninger »for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person«.
(
10
) – Dom af 7.3.2024, OC mod Kommissionen (C-479/22 P, EU:C:2024:215, præmis 52-64).
(
11
) – Dom af 7.3.2024, OC mod Kommissionen (C-479/22 P, EU:C:2024:215, præmis 51 og den deri nævnte retspraksis).
(
12
) – Dom af 19.10.2016, Breyer (C-582/14, EU:C:2016:779, præmis 44, 47 og 48), og af 7.3.2024, IAB Europe (C-604/22, EU:C:2024:214, præmis 43 og 48).
(
13
) – Dom af 9.11.2023, Gesamtverband Autoteile-Handel (Adgang til oplysninger om køretøjer) (C-319/22, EU:C:2023:837, præmis 46 og 49)
(
14
) – Retspraksis omtalt i fodnote 10-12 i dette resumé.