62023CJ0413_RES
Zadeva C‑413/23 P
Evropski nadzornik za varstvo podatkov
proti
Enotnemu odboru za reševanje
Sodba Sodišča (prvi senat) z dne 4. septembra 2025
„Pritožba – Varstvo posameznikov pri obdelavi osebnih podatkov – Postopek za odobritev nadomestila upnikom in delničarjem kreditne institucije po njenem reševanju – Sklep Evropskega nadzornika za varstvo podatkov, s katerim je bilo ugotovljeno, da je Enotni odbor za reševanje kršil svoje obveznosti v zvezi z obdelavo osebnih podatkov – Uredba (EU) 2018/1725 – Člen 15(1)(d) – Obveznost obveščanja zadevne osebe – Prenos psevdonimiziranih podatkov tretji osebi – Člen 3, točka 1 – Pojem ‚osebni podatki‘ – Člen 3, točka 6 – Pojem ‚psevdonimizacija‘“
Institucije Evropske unije – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2018/1725 – Pojem osebnih podatkov – Vse informacije, ki se nanašajo na določenega ali določljivega posameznika – Postopek v zvezi s pravico do izjave, ki ga je začel Enotni odbor za reševanje (EOR) po sprejetju ukrepov za reševanje bančne institucije – Pripombe, ki so jih pri EOR podali delničarji in upniki, na katere so ti ukrepi vplivali – Psevdonimizirane pripombe, ki jih je EOR posredoval neodvisni tretji osebi zaradi ocenjevanja – Presoja, ali so zadevne osebe določljive – Vključitev – Izjema – Nemožnost identifikacije zadevnih oseb
(Uredba Evropskega parlamenta in Sveta 2018/1725, uvodna izjava 17 ter člen 3, točki 1 in 6)
(Glej točke od 54 do 60, od 72 do 76, 82, 85 in 86.)
Institucije Evropske unije – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2018/1725 – Obveznost obveščanja v primeru zbiranja osebnih podatkov od zadevne osebe – Postopek v zvezi s pravico do izjave, ki ga je začel Enotni odbor za reševanje (EOR) po sprejetju ukrepov za reševanje bančne institucije – Pripombe, ki so jih pri EOR podali delničarji in upniki, na katere so ti ukrepi vplivali – Psevdonimizirane pripombe, ki jih je EOR posredoval neodvisni tretji osebi zaradi ocenjevanja – Obveznost obveščanja o prejemnikih zbranih osebnih podatkov, ki zavezuje EOR pred prenosom navedenih pripomb – Presoja, ali so zadevne osebe določljive ob zbiranju osebnih podatkov z vidika upravljavca
(Uredba Evropskega parlamenta in Sveta 2018/1725, člen 15(1)(d))
(Glej točke 103, 106, od 108 do 112 in 115.)
Povzetek
Sodišče, pri katerem je Evropski nadzornik za varstvo podatkov (ENVP) vložil pritožbo, je razveljavilo sodbo EOR/ENVP (
1
) in zadevo vrnilo v razsojanje Splošnemu sodišču. S tem je podalo pojasnila v zvezi s pojmom „osebni podatki“ v okviru psevdonimiziranih podatkov in, natančneje, informacijami, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, kadar se taki podatki prenesejo tretji osebi.
V obravnavani zadevi je Enotni odbor za reševanje (EOR) s sklepom z dne 7. junija 2017 za družbo Banco Popular Español SA (v nadaljevanju: Banco Popular) začel postopek reševanja, ki ga je Evropska komisija odobrila istega dne. EOR je 6. avgusta 2018 na svojem spletnem mestu objavil obvestilo v zvezi s svojim predhodnim sklepom o tem, ali naj se odobri nadomestilo delničarjem in upnikom, ki so jih prizadeli ukrepi za reševanje te institucije. EOR je v predhodnem sklepu navedel, da je treba za to, da bi lahko sprejel končno odločitev o tem, organizirati postopek, ki bi zainteresiranim osebam omogočil uveljavljanje pravice do izjave. Zbrani so bili podatki delničarjev in upnikov, ki so sodelovali v tem postopku, med katerimi so bili podatki v zvezi z njihovo identiteto in dokazom o lastništvu kapitalskih instrumentov banke Banco Popular. Ko je EOR na podlagi zbranih podatkov preveril njihov status, so te osebe predložile pripombe glede predhodnega sklepa. Nekatere od teh pripomb so bile v obliki psevdonimiziranih podatkov posredovane družbi Deloitte, revizijski in svetovalni družbi, ki jo je EOR pooblastil za izvedbo vrednotenja učinkov reševanja na delničarje in upnike. (
2
)
Leta 2019 je več prizadetih delničarjev in upnikov ENVP poslalo pet pritožb na podlagi Uredbe 2018/1725, (
3
) ker jih EOR ni obvestil, da bodo zbrani podatki v zvezi z njimi posredovani tretjim osebam.
ENVP je tem pritožbam ugodil s sprejetjem prvotnega sklepa, ki je bil po zahtevi EOR za ponovno preučitev razveljavljen in nadomeščen z revidiranim sklepom. V tem sklepu je ugotovil, da je bil v konkretnem primeru uporabnik osebnih podatkov pritožnikov družba Deloitte. (
4
) Dalje je ugotovil, da je EOR kršil obveznost obveščanja, ki je določena z Uredbo 2018/1725. (
5
) Konkretneje, ENVP je EOR očital, da v izjavi o varstvu osebnih podatkov pri njihovi obdelavi, podani med postopkom v zvezi s pravico do izjave, ni navedel, da je družba Deloitte morebiten uporabnik osebnih podatkov, ki jih zbira in obdeluje EOR.
EOR je nato pri Splošnem sodišču vložil tožbo, s katero je med drugim predlagal razglasitev ničnosti revidiranega sklepa ENVP. Splošno sodišče je tej tožbi delno ugodilo in navedeni sklep razglasilo za ničen.
Presoja Sodišča
Sodišče se je v sodbi izreklo o pogojih, ki so bili preučeni v izpodbijani sodbi in pod katerimi je mogoče podatke opredeliti kot osebne podatke.
Na prvem mestu, menilo je, da je Splošno sodišče napačno uporabilo pravo s tem, da je presodilo, da bi moral ENVP za ugotovitev, da so se informacije, ki izhajajo iz pripomb, posredovanih družbi Deloitte, „nanašale“ na osebe, ki so predložile te pripombe, v smislu člena 3, točka 1, Uredbe 2018/1725, preučiti vsebino, namen ali učinke navedenih pripomb, ker ni sporno, da so te pripombe izražale osebno mnenje ali stališče njihovih avtorjev.
V zvezi se tem je Sodišče opozorilo na svojo sodno prakso, v skladu s katero se informacija nanaša na določenega ali določljivega posameznika, kadar je zaradi svoje vsebine, namena ali učinka povezana z določljivo osebo. (
6
) Zato ni nujno, da se poleg preučitve vsebine informacije opravi še analiza namena in učinkov te informacije, kot je razvidno iz uporabe veznika „ali“, ki povezuje različna merila, ki so določena v tej sodni praksi.
Sodišče je poudarilo, da razlaga Splošnega sodišča, v skladu s katero ENVP informacij, ki izhajajo iz pripomb, ki so bile posredovane družbi Deloitte, ne bi smel opredeliti kot osebne podatke zgolj na podlagi ugotovitve, da gre za osebna mnenja ali stališča, ampak da bi moral poleg tega preučiti vsebino, namen in učinek tako izraženih mnenj, da bi ugotovil, ali so povezana z določeno osebo, ne upošteva posebne narave osebnih mnenj ali stališč, ki so kot izraz misli osebe nujno tesno povezana z njo. (
7
)
Na drugem mestu, Sodišče se je izreklo o pogoju iz člena 3, točka 1, Uredbe 2018/1725 v zvezi z „določljivostjo“ posameznika, na katerega se nanašajo osebni podatki, in, natančneje, o trditvah ENVP, da je treba psevdonimizirane podatke v vsakem primeru in za vsako osebo šteti za osebne podatke.
Sodišče je menilo, da je Splošno sodišče v nasprotju s tem, kar je trdil ENVP, pravilno razsodilo, da ni mogoče šteti, da so psevdonimizirani podatki v vsakem primeru in za vsako osebo osebni podatki v smislu uporabe Uredbe 2018/1725, ker lahko psevdonimizacija – glede na okoliščine obravnavane zadeve – osebam, ki niso upravljavec, dejansko prepreči identifikacijo posameznika, na katerega se nanašajo osebni podatki, tako da ta ni ali ni več določljiv.
Sodišče je najprej navedlo, da v skladu z Uredbo 2018/1725 (
8
) psevdonimizacija ni element opredelitve „osebni podatki“, temveč se nanaša na uvedbo tehničnih in organizacijskih ukrepov za zmanjšanje tveganja povezovanja niza podatkov z identiteto posameznikov, na katere se nanašajo osebni podatki.
Dalje, pojasnilo je, da pojem „psevdonimizacija“ predpostavlja obstoj informacij, ki omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki. Sam obstoj takih informacij pa nasprotuje temu, da bi bilo mogoče podatke, ki so bili psevdonimizirani, vsekakor šteti za anonimne podatke, ki so izključeni s področja uporabe Uredbe 2018/1725.
Nazadnje je poudarilo, da je namen psevdonimizacije zlasti preprečiti, da bi bilo mogoče posameznika, na katerega se nanašajo osebni podatki, identificirati zgolj s psevdonimiziranimi podatki. (
9
) Če so namreč taki tehnični in organizacijski ukrepi, ki se zahtevajo za psevdonimizacijo v smislu Uredbe 2018/1725, dejansko uvedeni in če lahko preprečijo pripis zadevnih podatkov posamezniku, na katerega se nanašajo osebni podatki, tako da ta ni ali ni več določljiv, lahko psevdonimizacija vpliva na osebno naravo teh podatkov. V zvezi s tem je pojasnilo, da ima EOR – kot je običajno v primeru upravljavca, ki je izvedel psevdonimizacijo – v obravnavani zadevi na voljo dodatne informacije, na podlagi katerih lahko pripombe, ki so bile posredovane družbi Deloitte, pripiše posamezniku, na katerega se nanašajo osebni podatki. Za EOR te pripombe zato kljub psevdonimizaciji ohranijo svojo osebno naravo. Kar pa zadeva družbo Deloitte, je Sodišče navedlo, da je lahko učinek navedenih tehničnih in organizacijskih ukrepov to, da te pripombe niso osebne narave za to družbo. Vendar to po eni strani predpostavlja, da družba Deloitte teh ukrepov ne more odpraviti pri kakršni koli obravnavi navedenih pripomb, ki se opravi pod njenim nadzorom, po drugi strani pa morajo navedeni ukrepi družbi Deloitte dejansko preprečevati, da bi te pripombe pripisala posamezniku, na katerega se nanašajo osebni podatki, tudi z uporabo drugih sredstev za identifikacijo, kot je primerjanje z drugimi elementi.
Po mnenju Sodišča tako iz uvodne izjave 16 Uredbe 2018/1725 kot iz njegove sodne prakse izhaja, da obstoj dodatnih informacij, na podlagi katerih je mogoče identificirati posameznika, na katerega se nanašajo osebni podatki, sam po sebi ne pomeni, da je treba psevdonimizirane podatke v vsakem primeru in za vsako osebo šteti za osebne podatke v smislu uporabe Uredbe 2018/1725. V zvezi s tem je opozorilo, da se v zvezi s sporočilom za javnost, ki je vsebovalo nekatere navedbe v zvezi z osebo, ne da bi jo poimensko navedlo, ni omejilo na ugotovitev, da je imel organ Unije, ki je to sporočilo objavil, na voljo vse informacije, na podlagi katerih je bilo mogoče identificirati to osebo, ampak je preučilo, ali navedbe iz navedenega sporočila zadevni javnosti razumno omogočajo identifikacijo te osebe, zlasti s kombinacijo teh navedb in informacij, ki so na voljo na spletu. (
10
) Poleg tega je razsodilo, da sredstva ni mogoče razumno uporabiti za identifikacijo posameznika, na katerega se nanašajo osebni podatki, kadar se zdi nevarnost identifikacije dejansko zanemarljiva, ker je identifikacija te osebe z zakonom prepovedana ali neizvedljiva v praksi, na primer zato, ker bi zahtevala nesorazmeren napor z vidika časa, stroškov in dela. (
11
) V istem smislu je Sodišče razsodilo, da so podatki, ki so sami po sebi neosebni ter jih upravljavec zbira in hrani, vseeno povezani z določljivo osebo, ker je imel upravljavec na voljo zakonite možnosti za pridobitev dodatnih informacij, na podlagi katerih bi bilo mogoče identificirati to osebo. (
12
) Po mnenju Sodišča v takih okoliščinah namreč okoliščina, da so bile informacije, na podlagi katerih je mogoče identificirati posameznika, na katerega se nanašajo osebni podatki, v rokah različnih oseb, dejansko ni mogla preprečiti njegove identifikacije na tak način, ki bi bil za upravljavca nedoločljiv.
Natančneje, Sodišče je opozorilo, da podatki, ki so sami po sebi neosebni, pridobijo „osebno“ naravo, če jih upravljavec da na voljo drugim osebam, ki razpolagajo s sredstvi, ki razumno omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki. (
13
) Navedeni podatki so v okviru takega dajanja na voljo osebni podatki tako za te osebe kot posredno za upravljavca.
Na tretjem mestu, Sodišče je menilo, da je Splošno sodišče napačno uporabilo pravo s tem, da je razsodilo, da bi moral ENVP pri presoji, ali je EOR izpolnil svojo obveznost obveščanja, preučiti, ali pripombe, ki so bile posredovane družbi Deloitte, z vidika te družbe pomenijo osebne podatke.
Sodišče je najprej navedlo, da čeprav v Uredbi 2018/1725 ni izrecno pojasnjen vidik, ki je upošteven za presojo določljivosti posameznika, na katerega se nanašajo osebni podatki, iz sodne prakse (
14
) izhaja, da je vidik, ki je upošteven za presojo določljivosti posameznika, na katerega se nanašajo osebni podatki, v bistvu odvisen od okoliščin, ki so značilne za obdelavo podatkov v vsakem posameznem primeru.
V zvezi z obveznostjo obveščanja o morebitnih uporabnikih osebnih podatkov iz člena 15(1)(d) Uredbe 2018/1725 je Sodišče v obravnavani zadevi pojasnilo, da gre za informacijo, ki jo je treba med drugim zagotoviti „ob zbiranju osebnih podatkov“ od posameznika, na katerega se nanašajo osebni podatki. Sodišče je sicer poudarilo pomembnost spoštovanja te obveznosti obveščanja, vendar je navedlo, da kadar zbiranje takih podatkov – kot v obravnavani zadevi – temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, je veljavnost privolitve med drugim odvisna od tega, ali je predhodno pridobil informacije glede na vse okoliščine obdelave zadevnih podatkov, do katerih je bil upravičen na podlagi člena 15 Uredbe 2018/1725 in ki mu omogočajo, da poda privolitev ob popolnem poznavanju dejstev. Namen obveznosti, da se posamezniku, na katerega se nanašajo osebni podatki, ob zbiranju osebnih podatkov v zvezi z njim zagotovijo informacije o morebitnih uporabnikih teh podatkov, je zlasti omogočiti mu, da se ob popolnem poznavanju dejstev odloči, ali bo posredoval ali, nasprotno, zavrnil posredovanje svojih osebnih podatkov, ki so bili pridobljeni od njega.
Sodišče je dodalo, da je obveznost zagotavljanja take informacije ob zbiranju osebnih podatkov, poleg tega, da je nujna za to, da bi lahko posameznik, na katerega se nanašajo osebni podatki, pozneje branil svoje pravice proti tem uporabnikom, med drugim zagotavlja, da upravljavec teh podatkov ne zbira proti volji posameznika, na katerega se ti podatki nanašajo, ali jih celo proti njegovi volji prenese tretjim osebam.
Obveznost obveščanja je tako del pravnega razmerja med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, zato so njegov predmet informacije v zvezi s tem posameznikom, kot so bile posredovane temu upravljavcu, torej pred kakšnim koli morebitnim prenosom tretji osebi.
Sodišče je zato ugotovilo, da je treba za uporabo obveznosti obveščanja iz Uredbe 2018/1725 določljivost posameznika, na katerega se nanašajo osebni podatki, presojati v trenutku zbiranja podatkov in z vidika upravljavca. Zato se je obveznost EOR v zvezi z obveščanjem uporabljala pred prenosom zadevnih pripomb in neodvisno od tega, ali so bile pripombe osebne narave z vidika družbe Deloitte po njihovi morebitni psevdonimizaciji.
(
1
)	Sodba Splošnega sodišča z dne 26. aprila 2023, EOR/ENVP (T‑557/20, EU:T:2023:219; v nadaljevanju: izpodbijana sodba).
(
2
)	Ovrednotenje iz člena 20, od (16) do (18), Uredbe (EU) št. 806/2014 Evropskega parlamenta in Sveta z dne 15. julija 2014 o določitvi enotnih pravil in enotnega postopka za reševanje kreditnih institucij in določenih investicijskih podjetij v okviru enotnega mehanizma za reševanje in enotnega sklada za reševanje ter o spremembi Uredbe (EU) št. 1093/2010 (UL 2014, L 225, str. 1).
(
3
)	Uredba (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL 2018, L 295, str. 39).
(
4
)	V smislu člena 3, točka 13, Uredbe 2018/1725.
(
5
)	Člen 15(1)(d) Uredbe 2018/1725.
(
6
)	Sodbe z dne 22. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, točka 35); z dne 7. marca 2024, OC/Komisija (C‑479/22 P, EU:C:2024:215, točka 45), in z dne 7. marca 2024, IAB Europe (C‑604/22, EU:C:2024:214, točka 37 in navedena sodna praksa).
(
7
)	Razlaga, ki jo potrjuje sodna praksa, ki izhaja iz sodbe z dne 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Člen 3, točki 1 in 6, Uredbe 2018/1725.
(
9
)	Člen 3, točka 6, Uredbe 2018/1725 zahteva vzpostavitev ločene hrambe identifikacijskih podatkov ter tehničnih in organizacijskih ukrepov „za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku“.
(
10
)	Sodba z dne 7. marca 2024, OC/Komisija (C‑479/22 P, EU:C:2024:215, točke od 52 do 64).
(
11
)	Sodba z dne 7. marca 2024, OC/Komisija (C‑479/22 P, EU:C:2024:215, točka 51 in navedena sodna praksa).
(
12
)	Sodbi z dne 19. oktobra 2016, Breyer (C- 582/14, EU:C:2016:779, točke 44, 47 in 48), in z dne 7. marca 2024, IAB Europe (C‑604/22, EU:C:2024:214, točki 43 in 48).
(
13
)	Sodba z dne 9. novembra 2023, Gesamtverband Autoteile-Handel (Dostop do informacij o vozilih) (C‑319/22, EU:C:2023:837, točki 46 in 49).
(
14
)	Sodna praksa, na katero je opozorjeno v opombah od 10 do 12 tega povzetka.