Υπόθεση C‑413/23 P
Ευρωπαίος Επόπτης Προστασίας Δεδομένων
κατά
Ενιαίου Συμβουλίου Εξυγίανσης
Απόφαση του Δικαστηρίου (πρώτο τμήμα) της 4ης Σεπτεμβρίου 2025
« Αίτηση αναιρέσεως – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Διαδικασία αποζημίωσης των μετόχων και πιστωτών τραπεζικού ιδρύματος που τέθηκε σε καθεστώς εξυγίανσης – Απόφαση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων διαπιστώνουσα την εκ μέρους του Ενιαίου Συμβουλίου Εξυγίανσης παράβαση των σχετικών με την προστασία δεδομένων προσωπικού χαρακτήρα υποχρεώσεων που υπέχει – Κανονισμός (ΕΕ) 2018/1725 – Άρθρο 15, παράγραφος 1, στοιχείο δʹ – Υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων – Διαβίβαση ψευδωνυμοποιημένων δεδομένων σε τρίτο – Άρθρο 3, σημείο 1 – Έννοια των “δεδομένων προσωπικού χαρακτήρα” – Άρθρο 3, σημείο 6 – Έννοια της “ψευδωνυμοποίησης” »
1.        Θεσμικά όργανα της Ευρωπαϊκής Ένωσης – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2018/1725 – Έννοια των δεδομένων προσωπικού χαρακτήρα – Κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο – Διαδικασία σχετικά με το δικαίωμα ακρόασης την οποία κίνησε το Ενιαίο Συμβούλιο Εξυγίανσης (ΕΣΕ) κατόπιν της λήψης μέτρων εξυγίανσης τραπεζικού ιδρύματος – Παρατηρήσεις που υπέβαλαν στο ΕΣΕ οι θιγόμενοι από τα εν λόγω μέτρα μέτοχοι και πιστωτές – Ψευδωνυμοποιημένες παρατηρήσεις τις οποίες το ΕΣΕ διαβίβασε σε ανεξάρτητο τρίτο με σκοπό την αξιολόγηση – Εκτίμηση της δυνατότητας ταυτοποίησης των υποκειμένων των δεδομένων – Εμπίπτει – Εξαίρεση – Αδυναμία ταυτοποίησης των υποκειμένων των δεδομένων
(Κανονισμός 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογική σκέψη 17 και άρθρο 3, σημεία 1 και 6)
(βλ. σκέψεις 54-60, 72-76, 82, 85, 86)
2.        Θεσμικά όργανα της Ευρωπαϊκής Ένωσης – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2018/1725 – Υποχρέωση ενημέρωσης σε περίπτωση συλλογής δεδομένων προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων – Διαδικασία σχετικά με το δικαίωμα ακρόασης την οποία κίνησε το Ενιαίο Συμβούλιο Εξυγίανσης (ΕΣΕ) κατόπιν της λήψης μέτρων εξυγίανσης τραπεζικού ιδρύματος – Παρατηρήσεις που υπέβαλαν στο ΕΣΕ οι θιγόμενοι από τα εν λόγω μέτρα μέτοχοι και πιστωτές – Ψευδωνυμοποιημένες παρατηρήσεις τις οποίες το ΕΣΕ διαβίβασε σε ανεξάρτητο τρίτο με σκοπό την αξιολόγηση – Υποχρέωση ενημέρωσης σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα που συνελέγησαν, την οποία υπέχει το ΕΣΕ πριν από τη διαβίβαση των εν λόγω παρατηρήσεων – Εκτίμηση της δυνατότητας ταυτοποίησης των υποκειμένων των δεδομένων κατά τη συλλογή των δεδομένων και από τη σκοπιά του υπευθύνου επεξεργασίας
(Κανονισμός 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 15 § 1, στοιχείο δʹ)
(βλ. σκέψεις 103, 106, 108-112, 115)
Σύνοψη
Επιληφθέν αιτήσεως αναιρέσεως που άσκησε ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων (ΕΕΠΔ), το Δικαστήριο αναίρεσε την απόφαση ΕΣΕ κατά ΕΕΠΔ (1) και ανέπεμψε την υπόθεση ενώπιον του Γενικού Δικαστηρίου. Στο πλαίσιο αυτό, το Δικαστήριο διευκρίνισε την έννοια των «δεδομένων προσωπικού χαρακτήρα» σε σχέση με ψευδωνυμοποιημένα δεδομένα και, ειδικότερα, σε σχέση με την ενημέρωση που πρέπει να παρέχεται στο υποκείμενο των δεδομένων όταν τέτοια ψευδωνυμοποιημένα δεδομένα διαβιβάζονται σε τρίτο.
Εν προκειμένω, με απόφαση της 7ης Ιουνίου 2017, το Ενιαίο Συμβούλιο Εξυγίανσης (ΕΣΕ) έθεσε την Banco Popular Español SA (στο εξής: Banco Popular) υπό καθεστώς εξυγίανσης, το οποίο έγινε αποδεκτό αυθημερόν από την Ευρωπαϊκή Επιτροπή. Στις 6 Αυγούστου 2018 το ΕΣΕ δημοσίευσε στην ιστοσελίδα του την κοινοποίηση σχετικά με την προκαταρκτική απόφασή του για το αν πρέπει να χορηγηθεί αποζημίωση στους μετόχους και τους πιστωτές που θίγονται από την εξυγίανση του ιδρύματος αυτού. Το ΕΣΕ, προκειμένου να είναι σε θέση να λάβει τελική απόφαση επί του ζητήματος, διευκρίνισε, με την προκαταρκτική απόφασή του, ότι έπρεπε να διεξαχθεί διαδικασία η οποία να παρέχει στους ενδιαφερομένους τη δυνατότητα άσκησης του δικαιώματος ακρόασης. Από τους μετόχους και τους πιστωτές που συμμετείχαν στη διαδικασία αυτή συλλέχθηκαν δεδομένα, μεταξύ των οποίων περιλαμβάνονταν τα σχετικά με την ταυτότητά τους καθώς και με την απόδειξη ότι ο ενδιαφερόμενος κατείχε κεφαλαιακά μέσα της Banco Popular. Τα πρόσωπα αυτά, μετά τον έλεγχο του καθεστώτος τους από το ΕΣΕ μέσω των συλλεγέντων δεδομένων, υπέβαλαν παρατηρήσεις επί της προκαταρκτικής αποφάσεως. Ορισμένες από τις εν λόγω παρατηρήσεις, υπό τη μορφή ψευδωνυμοποιημένων δεδομένων, διαβιβάστηκαν στην Deloitte, την ελεγκτική και συμβουλευτική εταιρία στην οποία το ΕΣΕ ανέθεσε να διενεργήσει αποτίμηση των αποτελεσμάτων της εξυγίανσης επί των μετόχων και των πιστωτών (2).
Το 2019 πλείονες θιγόμενοι μέτοχοι και πιστωτές υπέβαλαν στον ΕΕΠΔ πέντε καταγγελίες βάσει του κανονισμού 2018/1725 (3), λόγω του ότι το ΕΣΕ δεν τους είχε ενημερώσει ότι τα σχετικά με αυτούς συλλεγέντα δεδομένα θα διαβιβάζονταν σε τρίτους.
Ο ΕΕΠΔ, ενεργώντας κατόπιν των καταγγελιών αυτών, εξέδωσε αρχική απόφαση η οποία, μετά από αίτηση επανεξέτασης που υπέβαλε το ΕΣΕ, καταργήθηκε και αντικαταστάθηκε από αναθεωρημένη απόφαση. Με την αναθεωρημένη απόφαση, ο ΕΕΠΔ έκρινε ότι, εν προκειμένω, η Deloitte ήταν αποδέκτης δεδομένων προσωπικού χαρακτήρα των καταγγελλόντων (4). Επιπλέον, διαπίστωσε ότι το ΕΣΕ παρέβη την υποχρέωση ενημέρωσης που προβλέπεται στον κανονισμό 2018/1725 (5). Πιο συγκεκριμένα, ο ΕΕΠΔ προσήψε στο ΕΣΕ ότι δεν ανέφερε, στη δήλωση εμπιστευτικότητας για την επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιήθηκε κατά τη σχετική με το δικαίωμα ακρόασης διαδικασία, ότι η Deloitte ήταν δυνητικός αποδέκτης των δεδομένων προσωπικού χαρακτήρα που συλλέχθηκαν και υποβλήθηκαν σε επεξεργασία από το ΕΣΕ.
Κατόπιν τούτου, το ΕΣΕ άσκησε προσφυγή ενώπιον του Γενικού Δικαστηρίου ζητώντας, μεταξύ άλλων, την κήρυξη της ακυρότητας της αναθεωρημένης αποφάσεως του ΕΕΠΔ. Το Γενικό Δικαστήριο δέχθηκε εν μέρει την προσφυγή και ακύρωσε την εν λόγω απόφαση.
Εκτίμηση του Δικαστηρίου
Με την απόφασή του, το Δικαστήριο αποφαίνεται επί των προϋποθέσεων υπό τις οποίες τα δεδομένα μπορούν να χαρακτηρισθούν ως δεδομένα προσωπικού χαρακτήρα και οι οποίες εξετάσθηκαν στην αναιρεσιβαλλόμενη απόφαση.
Κατά πρώτον, το Δικαστήριο εκτιμά ότι το Γενικό Δικαστήριο υπέπεσε σε πλάνη περί το δίκαιο κρίνοντας ότι ο ΕΕΠΔ, για να καταλήξει στο συμπέρασμα ότι οι πληροφορίες που προκύπτουν από τις διαβιβασθείσες στην Deloitte παρατηρήσεις «αφορούν», κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725, τα πρόσωπα που υπέβαλαν τις παρατηρήσεις αυτές, όφειλε να εξετάσει το περιεχόμενο, τον σκοπό ή τα αποτελέσματά τους, δεδομένου ότι δεν αμφισβητείται ότι εξέφραζαν την προσωπική γνώμη ή άποψη των συντακτών τους.
Συναφώς, το Δικαστήριο υπενθυμίζει τη νομολογία του κατά την οποία η πληροφορία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο όταν, λόγω του περιεχομένου της, του σκοπού της ή του αποτελέσματός της, συνδέεται με ταυτοποιήσιμο πρόσωπο (6). Ως εκ τούτου, η εξέταση του περιεχομένου μιας πληροφορίας δεν χρειάζεται κατ’ ανάγκην να συμπληρώνεται από εξέταση του σκοπού και των αποτελεσμάτων της, όπως προκύπτει από τη χρήση του συνδέσμου «ή» μεταξύ των επιμέρους κριτηρίων που ορίζονται στην ως άνω νομολογία.
Το Δικαστήριο τονίζει ότι η ερμηνεία του Γενικού Δικαστηρίου, κατά την οποία ο ΕΕΠΔ δεν μπορούσε να χαρακτηρίσει τις πληροφορίες που προέκυπταν από τις διαβιβασθείσες στην Deloitte παρατηρήσεις ως δεδομένα προσωπικού χαρακτήρα επί τη βάσει και μόνον της διαπίστωσης ότι επρόκειτο για προσωπικές γνώμες ή απόψεις, αλλά όφειλε να εξετάσει επιπλέον το περιεχόμενο, τον σκοπό και το αποτέλεσμά τους, προκειμένου να κρίνει αν οι γνώμες που εκφράστηκαν κατ’ αυτόν τον τρόπο συνδέονταν με συγκεκριμένο πρόσωπο, δεν λαμβάνει υπόψη την ιδιαίτερη φύση της προσωπικής γνώμης ή απόψεως η οποία, ως έκφραση της σκέψης ενός προσώπου, συνδέεται κατ’ ανάγκην στενά με το πρόσωπο αυτό (7).
Κατά δεύτερον, το Δικαστήριο αποφαίνεται επί της προβλεπόμενης στο άρθρο 3, σημείο 1, του κανονισμού 2018/1725 προϋπόθεσης περί «ταυτοποιήσιμου» του φυσικού προσώπου που είναι το υποκείμενο των δεδομένων και, ειδικότερα, επί της επιχειρηματολογίας του ΕΕΠΔ κατά την οποία τα ψευδωνυμοποιημένα δεδομένα πρέπει να θεωρούνται ότι συνιστούν, σε κάθε περίπτωση και για κάθε πρόσωπο, δεδομένα προσωπικού χαρακτήρα.
Το Δικαστήριο εκτιμά ότι, αντιθέτως προς όσα υποστηρίζει ο ΕΕΠΔ, το Γενικό Δικαστήριο ορθώς έκρινε ότι δεν πρέπει να θεωρείται ότι τα ψευδωνυμοποιημένα δεδομένα συνιστούν, σε κάθε περίπτωση και για κάθε πρόσωπο, δεδομένα προσωπικού χαρακτήρα για τους σκοπούς της εφαρμογής του κανονισμού 2018/1725, στον βαθμό που η ψευδωνυμοποίηση μπορεί, αναλόγως των περιστάσεων της συγκεκριμένης υπόθεσης, να αποτρέψει αποτελεσματικά την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων από άλλα πρόσωπα πλην του υπευθύνου επεξεργασίας, κατά τρόπο ώστε, για τα πρόσωπα αυτά, η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί.
Κατ’ αρχάς, το Δικαστήριο επισημαίνει ότι, βάσει του κανονισμού 2018/1725 (8), η ψευδωνυμοποίηση δεν αποτελεί στοιχείο του ορισμού των «δεδομένων προσωπικού χαρακτήρα», αλλά αναφέρεται στη θέσπιση τεχνικών και οργανωτικών μέτρων με σκοπό τη μείωση του κινδύνου συσχέτισης ενός συνόλου δεδομένων με την ταυτότητα των υποκειμένων των δεδομένων.
Εν συνεχεία, το Δικαστήριο διευκρινίζει ότι η έννοια της «ψευδωνυμοποίησης» προϋποθέτει την ύπαρξη πληροφοριών που καθιστούν δυνατή την ταυτοποίηση του υποκειμένου των δεδομένων. Η δε ύπαρξη και μόνον τέτοιων πληροφοριών δεν επιτρέπει δεδομένα που έχουν υποστεί ψευδωνυμοποίηση να μπορούν να θεωρούνται, σε κάθε περίπτωση, ανώνυμα δεδομένα, εξαιρούμενα από το πεδίο εφαρμογής του κανονισμού 2018/1725.
Τέλος, το Δικαστήριο υπογραμμίζει ότι η ψευδωνυμοποίηση αποσκοπεί, μεταξύ άλλων, στο να αποτρέψει τη δυνατότητα ταυτοποίησης του υποκειμένου των δεδομένων επί τη βάσει και μόνον ψευδωνυμοποιημένων δεδομένων (9). Πράγματι, εφόσον τα τεχνικά και οργανωτικά μέτρα εφαρμόζονται αποτελεσματικά και είναι ικανά να αποτρέψουν τη συσχέτιση των επίμαχων δεδομένων με το υποκείμενο των δεδομένων, κατά τρόπο ώστε η ταυτότητά του να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί, η ψευδωνυμοποίηση ενδέχεται να επηρεάζει τον προσωπικό χαρακτήρα των ως άνω δεδομένων. Συναφώς, το Δικαστήριο διευκρινίζει ότι, όπως συνήθως συμβαίνει στην περίπτωση υπευθύνου επεξεργασίας που προέβη σε ψευδωνυμοποίηση, το ΕΣΕ διαθέτει, εν προκειμένω, συμπληρωματικές πληροφορίες βάσει των οποίων οι παρατηρήσεις που διαβιβάστηκαν στην Deloitte μπορούν να αποδοθούν στο υποκείμενο των δεδομένων. Επομένως, για το ΕΣΕ, οι παρατηρήσεις αυτές, παρά την ψευδωνυμοποίηση, διατηρούν τον προσωπικό τους χαρακτήρα. Αντιθέτως, όσον αφορά την Deloitte, το Δικαστήριο επισήμανε ότι τα εν λόγω τεχνικά και οργανωτικά μέτρα μπορούν να έχουν ως αποτέλεσμα ότι για τη συγκεκριμένη εταιρία οι ως άνω παρατηρήσεις δεν έχουν προσωπικό χαρακτήρα. Ωστόσο, τούτο προϋποθέτει, αφενός, ότι η Deloitte δεν είναι σε θέση να άρει τα μέτρα αυτά στο πλαίσιο οποιασδήποτε επεξεργασίας των παρατηρήσεων που πραγματοποιείται υπό τον έλεγχό της και, αφετέρου, ότι τα εν λόγω μέτρα πρέπει πράγματι να είναι ικανά να μην της επιτρέψουν να συσχετίσει τις ίδιες παρατηρήσεις με το υποκείμενο των δεδομένων ούτε με τη χρήση άλλων μέσων ταυτοποίησης, όπως η διασταύρωση με άλλα στοιχεία.
Κατά το Δικαστήριο, τόσο από την αιτιολογική σκέψη 16 του κανονισμού 2018/1725 όσο και από τη νομολογία του προκύπτει ότι η ύπαρξη συμπληρωματικών πληροφοριών που καθιστούν δυνατή την ταυτοποίηση του υποκειμένου των δεδομένων δεν συνεπάγεται, αφ’ εαυτής, ότι τα ψευδωνυμοποιημένα δεδομένα πρέπει να θεωρούνται, σε κάθε περίπτωση και για κάθε πρόσωπο, δεδομένα προσωπικού χαρακτήρα για τους σκοπούς της εφαρμογής του κανονισμού 2018/1725. Συναφώς, το Δικαστήριο υπενθυμίζει ότι, επί ανακοινωθέντος Τύπου το οποίο περιείχε ορισμένες ενδείξεις σχετικά με ένα πρόσωπο χωρίς να το κατονομάζει, δεν περιορίστηκε στη διαπίστωση ότι ο οργανισμός της Ένωσης που δημοσίευσε το ανακοινωθέν αυτό διέθετε όλες τις πληροφορίες που καθιστούσαν δυνατή την ταυτοποίηση του συγκεκριμένου προσώπου, αλλά εξέτασε αν οι ενδείξεις που περιλαμβάνονταν στο ανακοινωθέν καθιστούσαν ευλόγως δυνατή στο ενδιαφερόμενο κοινό την εξακρίβωση της ταυτότητας του ως άνω προσώπου, ιδίως μέσω συνδυασμού των ενδείξεων αυτών με πληροφορίες διαθέσιμες στο διαδίκτυο (10). Επιπλέον, το Δικαστήριο έχει κρίνει ότι ένα μέσο δεν μπορεί ευλόγως να χρησιμοποιηθεί για την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων όταν ο κίνδυνος εξακρίβωσης της ταυτότητας φαίνεται στην πραγματικότητα αμελητέος, διότι η εξακρίβωση της ταυτότητας του προσώπου αυτού απαγορεύεται από τον νόμο ή είναι ανέφικτη στην πράξη, παραδείγματος χάρη λόγω του ότι απαιτεί δυσανάλογη προσπάθεια από άποψη χρόνου καθώς και οικονομικών και ανθρώπινων πόρων (11). Στο ίδιο πνεύμα, το Δικαστήριο έκρινε ότι δεδομένα, αφ’ εαυτών, μη προσωπικού χαρακτήρα τα οποία συλλέγονται και διατηρούνται από τον υπεύθυνο επεξεργασίας αφορούν εντούτοις ταυτοποιήσιμο πρόσωπο, εφόσον ο υπεύθυνος επεξεργασίας έχει στη διάθεσή του νόμιμες διαδικασίες για να λάβει από τρίτους συμπληρωματικές πληροφορίες οι οποίες καθιστούν δυνατή την εξακρίβωση της ταυτότητας του προσώπου αυτού (12). Πράγματι, κατά το Δικαστήριο, υπό τέτοιες συνθήκες, το γεγονός ότι οι πληροφορίες που καθιστούν δυνατή την εξακρίβωση της ταυτότητας του υποκειμένου των δεδομένων βρίσκονται στη διάθεση διαφορετικών προσώπων δεν είναι ικανό να αποτρέψει αποτελεσματικά την ταυτοποίησή του κατά τρόπο ώστε, για τον υπεύθυνο επεξεργασίας, το υποκείμενο των δεδομένων να μην είναι ταυτοποιήσιμο.
Συγκεκριμένα, το Δικαστήριο υπενθυμίζει ότι δεδομένα τα οποία αφ’ εαυτών δεν είναι προσωπικού χαρακτήρα μπορούν να αποκτήσουν «προσωπικό» χαρακτήρα, όταν ο υπεύθυνος επεξεργασίας τα καθιστά διαθέσιμα σε άλλα πρόσωπα τα οποία διαθέτουν μέσα που είναι ευλόγως πιθανό να καταστήσουν δυνατή την ταυτοποίηση του υποκειμένου των δεδομένων (13). Στο πλαίσιο μιας τέτοιας διάθεσης, τα εν λόγω δεδομένα έχουν προσωπικό χαρακτήρα τόσο για τα υποκείμενα των δεδομένων όσο και, εμμέσως, για τον υπεύθυνο επεξεργασίας.
Κατά τρίτον, το Δικαστήριο εκτιμά ότι το Γενικό Δικαστήριο υπέπεσε σε πλάνη περί το δίκαιο κρίνοντας ότι ο ΕΕΠΔ, προκειμένου να εκτιμήσει αν το ΕΣΕ είχε τηρήσει την υποχρέωση ενημέρωσης που υπέχει, όφειλε να εξετάσει αν οι παρατηρήσεις που διαβιβάστηκαν στην Deloitte συνιστούσαν, από τη σκοπιά της τελευταίας, δεδομένα προσωπικού χαρακτήρα.
Προκαταρκτικώς, το Δικαστήριο επισημαίνει ότι, μολονότι ο κανονισμός 2018/1725 δεν διευκρινίζει ρητώς ποια είναι η κρίσιμη οπτική γωνία για την εκτίμηση της δυνατότητας ταυτοποίησης του υποκειμένου των δεδομένων, από τη νομολογία (14) προκύπτει ότι η κρίσιμη οπτική γωνία για την εκτίμηση της δυνατότητας ταυτοποίησης του υποκειμένου των δεδομένων εξαρτάται κατ’ ουσίαν από τις περιστάσεις που χαρακτηρίζουν την επεξεργασία των δεδομένων σε κάθε συγκεκριμένη περίπτωση.
Όσον αφορά, εν προκειμένω, την υποχρέωση ενημέρωσης σχετικά με τους ενδεχόμενους αποδέκτες των δεδομένων προσωπικού χαρακτήρα, την οποία προβλέπει το άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725, το Δικαστήριο διευκρινίζει ότι πρόκειται για πληροφορία που συμπεριλαμβάνεται στις παρεχόμενες «κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα», κατά τον χρόνο της συλλογής των δεδομένων από το υποκείμενο των δεδομένων. Το Δικαστήριο, υπογραμμίζοντας παράλληλα τη σημασία της τήρησης της εν λόγω υποχρέωσης ενημέρωσης, επισημαίνει ότι, όταν η συλλογή τέτοιων δεδομένων στηρίζεται, όπως εν προκειμένω, στη συγκατάθεση του υποκειμένου των δεδομένων, η εγκυρότητα της συγκατάθεσης εξαρτάται, μεταξύ άλλων, από το αν το πρόσωπο αυτό έχει προηγουμένως λάβει τις πληροφορίες που δικαιούται να λάβει δυνάμει του άρθρου 15 του κανονισμού 2018/1725 σχετικά με όλες τις περιστάσεις που περιβάλλουν την επεξεργασία των επίμαχων δεδομένων, πληροφορίες οι οποίες του επιτρέπουν να παράσχει συγκατάθεση εν πλήρει γνώσει της κατάστασης. Η υποχρέωση ενημέρωσης του υποκειμένου των δεδομένων –κατά τον χρόνο της συλλογής των σχετιζόμενων με αυτό δεδομένων προσωπικού χαρακτήρα– σχετικά με τους ενδεχόμενους αποδέκτες των δεδομένων αποσκοπεί, μεταξύ άλλων, στο να παράσχει στο υποκείμενο των δεδομένων τη δυνατότητα να αποφασίσει, εν πλήρει γνώσει της κατάστασης, αν θα παράσχει ή, αντιθέτως, αν θα αρνηθεί να παράσχει τα δεδομένα προσωπικού χαρακτήρα που το αφορούν και συλλέγονται από αυτό.
Το Δικαστήριο προσθέτει ότι η υποχρέωση παροχής τέτοιας ενημέρωσης κατά τον χρόνο της συλλογής των δεδομένων προσωπικού χαρακτήρα, πέραν του ότι είναι απαραίτητη προκειμένου το υποκείμενο των δεδομένων να μπορεί, μεταγενέστερα, να υπερασπιστεί τα δικαιώματά του έναντι των αποδεκτών, διασφαλίζει, μεταξύ άλλων, ότι τα δεδομένα δεν συλλέγονται από τον υπεύθυνο επεξεργασίας ενάντια στη βούληση του υποκειμένου των δεδομένων ούτε διαβιβάζονται παρά τη θέλησή του σε τρίτους.
Επομένως, η υποχρέωση ενημέρωσης εντάσσεται στην έννομη σχέση που συνδέει το υποκείμενο των δεδομένων με τον υπεύθυνο επεξεργασίας και, ως εκ τούτου, έχει ως αντικείμενο τις πληροφορίες σε σχέση με το υποκείμενο των δεδομένων, όπως αυτές διαβιβάστηκαν στον υπεύθυνο επεξεργασίας, ήτοι πριν από οποιαδήποτε διαβίβαση σε τρίτο.
Ως εκ τούτου, το Δικαστήριο κρίνει ότι, για τους σκοπούς της εφαρμογής της υποχρέωσης ενημέρωσης που προβλέπεται στον κανονισμό 2018/1725, η δυνατότητα ταυτοποίησης του υποκειμένου των δεδομένων πρέπει να εκτιμάται κατά τον χρόνο της συλλογής των δεδομένων και από τη σκοπιά του υπευθύνου επεξεργασίας. Συνεπώς, η υποχρέωση ενημέρωσης που υπέχει το ΕΣΕ είχε, εν προκειμένω, εφαρμογή πριν από τη διαβίβαση των επίμαχων παρατηρήσεων και ανεξάρτητα από το αν αυτές ήταν ή δεν ήταν προσωπικού χαρακτήρα, από τη σκοπιά της Deloitte, μετά την ενδεχόμενη ψευδωνυμοποίησή τους.
1      Απόφαση του Γενικού Δικαστηρίου της 26ης Απριλίου 2023, ΕΣΕ κατά ΕΕΠΔ (T‑557/20, στο εξής: αναιρεσιβαλλόμενη απόφαση, EU:T:2023:219).
2      Αποτίμηση προβλεπόμενη στο άρθρο 20, παράγραφοι 16 έως 18, του κανονισμού (ΕΕ) 806/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 15ης Ιουλίου 2014, περί θεσπίσεως ενιαίων κανόνων και διαδικασίας για την εξυγίανση πιστωτικών ιδρυμάτων και ορισμένων επιχειρήσεων επενδύσεων στο πλαίσιο ενός Ενιαίου Μηχανισμού Εξυγίανσης και ενός Ενιαίου Ταμείου Εξυγίανσης και τροποποιήσεως του κανονισμού (ΕΕ) αριθ. 1093/2010 (ΕΕ 2014, L 225, σ. 1).
3      Κανονισμός (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ 2018, L 295, σ. 39).
4      Κατά την έννοια του άρθρου 3, σημείο 13, του κανονισμού 2018/1725.
5      Άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725.
6      Αποφάσεις της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994, σκέψη 35)· της 7ης Μαρτίου 2024, OC κατά Επιτροπής (C‑479/22 P, EU:C:2024:215, σκέψη 45)· και της 7ης Μαρτίου 2024, IAB Europe (C‑604/22, EU:C:2024:214, σκέψη 37 και εκεί μνημονευόμενη νομολογία).
7      Ερμηνεία η οποία επιρρωννύεται από τη νομολογία που απορρέει από την απόφαση της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994).
8      Άρθρο 3, σημεία 1 και 6, του κανονισμού 2018/1725.
9      Το άρθρο 3, σημείο 6, του κανονισμού 2018/1725 απαιτεί την εφαρμογή χωριστής διατήρησης των πληροφοριών ταυτοποίησης καθώς και τεχνικών και οργανωτικών μέτρων «προκειμένου να διασφαλιστεί ότι τα δεδομένα προσωπικού χαρακτήρα δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο».
10      Απόφαση της 7ης Μαρτίου 2024, OC κατά Επιτροπής (C‑479/22 P, EU:C:2024:215, σκέψεις 52 έως 64).
11      Απόφαση της 7ης Μαρτίου 2024, OC κατά Επιτροπής (C‑479/22 P, EU:C:2024:215, σκέψη 51 και εκεί μνημονευόμενη νομολογία).
12      Αποφάσεις της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, EU:C:2016:779, σκέψεις 44, 47 και 48), και της 7ης Μαρτίου 2024, IAB Europe (C‑604/22, EU:C:2024:214, σκέψεις 43 και 48).
13      Απόφαση της 9ης Νοεμβρίου 2023, Gesamtverband Autoteile-Handel (Πρόσβαση σε πληροφορίες που αφορούν τα οχήματα) (C‑319/22, EU:C:2023:837, σκέψεις 46 και 49).
14      Νομολογία που υπενθυμίζεται στις υποσημειώσεις 10 έως 12 της παρούσας σύνοψης.