62023CJ0413_RES
Predmet C-413/23 P
Europski nadzornik za zaštitu podataka
protiv
Jedinstvenog sanacijskog odbora
Presuda Suda (prvo vijeće) od 4. rujna 2025.
„Žalba – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Postupak naknade štete dioničarima i vjerovnicima bankarske institucije nakon njezine sanacije – Odluka Europskog nadzornika za zaštitu podataka kojom se utvrđuje da je Jedinstveni sanacijski odbor povrijedio svoje obveze u vezi s obradom osobnih podataka – Uredba (EU) 2018/1725 – Članak 15. stavak 1. točka (d) – Obveza pružanja informacija ispitaniku – Prijenos pseudonimiziranih podataka trećoj osobi – Članak 3. točka 1. – Pojam ‚osobni podaci’ – Članak 3. točka 6. – Pojam ‚pseudonimizacija’”
Institucije Europske unije – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2018/1725 – Pojam osobnih podataka – Svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi – Postupak koji se odnosi na pravo na saslušanje koji je Jedinstveni sanacijski odbor (SRB) pokrenuo nakon donošenja mjera sanacije bankarske institucije – Očitovanja koja su SRB-u podnijeli dioničari i vjerovnici u odnosu na koje su poduzete te mjere – Pseudonimizirani komentari koje je Odbor proslijedio neovisnoj trećoj strani za potrebe procjene – Ocjena mogućnosti utvrđivanja identiteta ispitanika – Uključenost – Iznimka – Nemogućnost utvrđivanja identiteta ispitanika
(Uredba 2018/1725 Europskog parlamenta i Vijeća, uv. izj. 17. i čl. 3. t. 1. i 6.)
(t. 54.-60., 72.-76., 82., 85., 86.)
Institucije Europske unije – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2018/1725 – Obveza obavješćivanja u slučaju prikupljanja osobnih podataka od ispitanika – Postupak koji se odnosi na pravo na saslušanje koji je Jedinstveni sanacijski odbor (SRB) pokrenuo nakon donošenja mjera sanacije bankarske institucije – Očitovanja koja su SRB-u podnijeli dioničari i vjerovnici u odnosu na koje su poduzete te mjere – Pseudonimizirani komentari koje je Odbor proslijedio neovisnoj trećoj strani za potrebe procjene – Obveza obavješćivanja o primateljima prikupljenih osobnih podataka koju ima SRB prije prijenosa navedenih očitovanja – Ocjena mogućnosti identifikacije ispitanika prilikom prikupljanja podataka i sa stajališta voditelja obrade
(Uredba 2018/1725 Europskog parlamenta i Vijeća, čl. 15. st. 1. t. (d))
(t. 103., 106., 108.-112., 115.)
Kratak prikaz
Nakon što mu je Europski nadzornik za zaštitu podataka (EDPS) podnio žalbu, Sud je ukinuo presudu u predmetu SRB/EDPS (
1
) i vratio predmet Općem sudu na ponovno odlučivanje. Pri tome je pojasnio pojam „osobni podaci” u kontekstu pseudonimiziranih podataka i, konkretnije, informacija koje treba pružiti ispitaniku kada se takvi podaci prenose trećoj strani.
U ovom slučaju, odlukom od 7. lipnja 2017. Jedinstveni sanacijski odbor (SRB) podvrgnuo je Banco Popular Español SA (u daljnjem tekstu: Banco Popular) sanacijskom postupku, koji je istog dana odobrila Europska komisija. SRB je 6. kolovoza 2018. na svojoj internetskoj stranici objavio obavijest o svojoj preliminarnoj odluci o tome treba li isplatiti odštetu dioničarima i vjerovnicima pogođenima sanacijom te institucije. Kako bi mogao donijeti konačnu odluku o tom pitanju, u svojoj je preliminarnoj odluci pojasnio da je potrebno organizirati postupak koji omogućuje zainteresiranim osobama da ostvare svoje pravo na saslušanje. Prikupljeni su podaci dioničara i vjerovnika koji su u njemu sudjelovali, među kojima su i podaci koji se odnose na njihov identitet i na dokaz o vlasništvu nad instrumentima kapitala društva Banco Popular. Nakon što je SRB na temelju prikupljenih podataka provjerio njihov status, te su osobe podnijele očitovanja na preliminarnu odluku. Neka od njih, u obliku pseudonimiziranih podataka, prenesena su Deloitteu, društvu za reviziju i savjetovanje kojem je SRB povjerio provedbu vrednovanja učinaka sanacijskog postupka na dioničare i vjerovnike (
2
).
Nekoliko pogođenih dioničara i vjerovnika dostavilo je 2019. EDPS-u pet pritužbi na temelju Uredbe 2018/1725 (
3
) jer ih SRB nije obavijestio da će njihovi prikupljeni podaci biti proslijeđeni trećim stranama.
EDPS ih je usvojio donošenjem prvotne odluke koja je, nakon što je SRB podnio zahtjev za preispitivanje, stavljena izvan snage i zamijenjena revidiranom odlukom. On je u potonjoj smatrao da je, u ovom predmetu, društvo Deloitte bilo primatelj osobnih podataka podnositelja pritužbi (
4
). Usto, utvrdio je da je SRB povrijedio obavezu obavješćivanja predviđenu Uredbom 2018/1725 (
5
). Konkretnije, prigovorio mu je da u izjavi o povjerljivosti u pogledu obrade osobnih podataka, do koje je došlo tijekom postupka u vezi s pravom na saslušanje, nije naveo da je društvo Deloitte potencijalni primatelj osobnih podataka koje je SRB prikupio i obradio.
SRB je potom Općem sudu podnio tužbu za, među ostalim, poništenje izmijenjene odluke EDPS-a. Opći sud djelomično je prihvatio tu tužbu i poništio navedenu odluku.
Ocjena Suda
U svojoj presudi Sud se izjašnjava o uvjetima, koji su ispitani u pobijanoj presudi, pod kojima se podaci mogu kvalificirati kao osobni podaci.
Kao prvo, on smatra da je Opći sud počinio pogrešku koja se tiče prava time što je presudio da je EDPS, kako bi zaključio da se informacije koje proizlaze iz očitovanja dostavljenih društvu Deloitte „odnose”, u smislu članka 3. točke 1. Uredbe 2018/1725, na osobe koje su podnijele ta očitovanja, trebao ispitati sadržaj, svrhu ili učinke navedenih očitovanja, s obzirom na to da je nesporno da se njima izražava osobno mišljenje ili stajalište njihovih autora.
U tom pogledu Sud podsjeća na svoju sudsku praksu prema kojoj se informacija odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi ako je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (
6
). Stoga, ispitivanje sadržaja informacije ne mora se nužno dopuniti analizom svrhe i učinaka te informacije, kao što to pokazuje upotreba veznika „ili” koji povezuje različite kriterije iz te sudske prakse.
Sud naglašava da se tumačenjem Općeg suda, prema kojem EDPS nije mogao kvalificirati informacije koje proizlaze iz očitovanja dostavljenih društvu Deloitte osobnim podacima samo na temelju utvrđenja da je riječ o osobnim mišljenjima ili stajalištima, nego je usto trebao ispitati sadržaj, svrhu i učinak tako iznesenih mišljenja kako bi utvrdio jesu li ona povezana s određenom osobom, povređuje posebna priroda mišljenja ili osobnih stajališta koja su, kao izraz mišljenja osobe, nužno usko povezana s tom osobom (
7
).
Kao drugo, Sud se izjašnjava o uvjetu predviđenom u članku 3. točki 1. Uredbe 2018/1725, koji se odnosi na mogućnost utvrđenja identiteta ispitanika i, konkretnije, na EDPS-ovu argumentaciju prema kojoj pseudonimizirane podatke treba smatrati, u svakom slučaju i za svaku osobu, osobnim podacima.
Sud smatra da je Opći sud, suprotno onomu što tvrdi EDPS, ispravno presudio da pseudonimizirane podatke ne treba smatrati, u svakom slučaju i za svaku osobu, osobnim podacima za potrebe primjene Uredbe 2018/1725 jer pseudonimizacija može, ovisno o okolnostima slučaja, stvarno spriječiti osobe koje nisu voditelj obrade da identificiraju ispitanika, tako da one njegov identitet ne mogu utvrditi ili ga više ne mogu utvrditi.
Najprije, Sud ističe da, na temelju Uredbe 2018/1725 (
8
), pseudonimizacija ne predstavlja element definicije „osobnih podataka”, nego se odnosi na uvođenje tehničkih i organizacijskih mjera kojima se nastoji smanjiti rizik od povezivanja skupa podataka s identitetom ispitanikâ.
Nadalje, pojašnjava da pojam „pseudonimizacija” pretpostavlja postojanje informacija na temelju kojih se može utvrditi identitet ispitanika. Međutim, samo postojanje takvih informacija protivi se tomu da se pseudonimizirani podaci u svakom slučaju mogu smatrati anonimnim podacima koji su isključeni iz područja primjene Uredbe 2018/1725.
Naposljetku, ističe da pseudonimizacija ima za cilj, među ostalim, izbjeći identifikaciju ispitanika samo pomoću pseudonimiziranih podataka (
9
). Naime, pod uvjetom da su takve tehničke i organizacijske mjere potrebne za pseudonimizaciju u smislu Uredbe 2018/1725 stvarno uvedene i da se njima može spriječiti pripisivanje predmetnih podataka ispitaniku, na način da se njegov identitet ne može ili više ne može utvrditi, pseudonimizacija može utjecati na osobnu prirodu tih podataka. U tom pogledu on pojašnjava da, kao što je to uobičajeno slučaj s voditeljem obrade koji je proveo pseudonimizaciju, SRB u ovom slučaju raspolaže dodatnim informacijama koje omogućuju pripisivanje očitovanja proslijeđenih društvu Deloitte ispitanicima. Stoga za SRB ta očitovanja, unatoč pseudonimizaciji, zadržavaju svoju osobnu prirodu. Suprotno tomu, što se tiče društva Deloitte, Sud je istaknuo da navedene tehničke i organizacijske mjere mogu imati za učinak to da za to društvo ta očitovanja nisu osobne prirode. Međutim, to pretpostavlja, s jedne strane, da društvo Deloitte ne može ukinuti te mjere prilikom obrade navedenih očitovanja pod njegovim nadzorom i, s druge strane, da se navedenim mjerama stvarno može spriječiti društvo Deloitte da ta očitovanja pripiše ispitaniku također i korištenjem drugih sredstava identifikacije, kao što je uspoređivanje s drugima.
Prema mišljenju Suda, kako iz uvodne izjave 16. Uredbe 2018/1725 tako i iz njegove sudske prakse proizlazi da postojanje dodatnih informacija na temelju kojih se može utvrditi identitet ispitanika ne znači samo po sebi da pseudonimizirane podatke treba smatrati, u svakom slučaju i za svaku osobu, osobnim podacima u svrhu primjene Uredbe 2018/1725. U tom pogledu on podsjeća na to da se – kad je riječ o priopćenju za medije koje sadržava određen broj navoda o osobi a da je pritom ne navodi poimence – on nije ograničio na utvrđenje da je tijelo Unije koje je objavilo to priopćenje raspolagalo svim informacijama koje omogućuju utvrđenje identiteta te osobe, nego je ispitao omogućuju li podaci iz navedenog priopćenja dotičnoj javnosti da utvrdi identitet te osobe, osobito kombinacijom tih naznaka s informacijama dostupnima na internetu (
10
). Osim toga, već je presudio da se sredstvo ne može razumno upotrijebiti za utvrđivanje ispitanikova identiteta ako se opasnost od identifikacije u stvarnosti čini neznatnom jer je identifikacija te osobe zakonom zabranjena ili neostvariva u praksi, primjerice zbog toga što bi podrazumijevala nerazmjeran napor u pogledu vremena, troškova i rada (
11
). U istom smislu, Sud je presudio da su podaci koji su sami po sebi neosobni, prikupljeni i pohranjeni od voditelja obrade ipak povezani s osobom čiji se identitet može utvrditi, s obzirom na to da je voditelj obrade raspolagao pravnim sredstvima za dobivanje tih dodatnih informacija od drugih osoba koje omogućuju identifikaciju te osobe (
12
). Naime, prema mišljenju Suda, u takvim uvjetima okolnost da su se informacije na temelju kojih je moguće utvrditi identitet ispitanika nalazile u rukama različitih osoba nije mogla učinkovito spriječiti njegovu identifikaciju, na način da voditelj obrade nije u stanju utvrditi njegov identitet.
Konkretno, Sud podsjeća na to da podaci koji su sami po sebi neosobni mogu steći „osobnu” narav ako ih voditelj obrade stavi na raspolaganje drugim osobama koje raspolažu sredstvima koja razumno mogu omogućiti identifikaciju ispitanika (
13
). U kontekstu takvog stavljanja na raspolaganje navedeni podaci su osobni podaci i za te osobe i, neizravno, za voditelja obrade.
Kao treće, Sud smatra da je Opći sud počinio pogrešku koja se tiče prava time što je presudio da je EDPS, kako bi ocijenio je li SRB poštovao svoju obvezu obavješćivanja, trebao ispitati predstavljaju li očitovanja proslijeđena društvu Deloitte osobne podatke sa stajališta tog društva.
Sud najprije ističe da, iako se u Uredbi 2018/1725 izričito ne pojašnjava relevantna perspektiva za ocjenu mogućnosti utvrđenja identiteta ispitanika, iz sudske prakse (
14
) proizlazi da relevantna perspektiva za ocjenu mogućnosti utvrđenja identiteta ispitanika, u biti, ovisi o okolnostima koje obilježavaju obradu podataka u svakom pojedinom slučaju.
Kad je riječ – u ovom predmetu – o obvezi obavješćivanja koja se odnosi na eventualne primatelje osobnih podataka iz članka 15. stavka 1. točke (d) Uredbe 2018/1725, Sud pojašnjavanja da je riječ o informaciji koju treba pružiti, među ostalim, „u trenutku prikupljanja osobnih podataka”, prilikom prikupljanja podataka od ispitanika. Naglašavajući važnost poštovanja te obveze obavješćivanja, Sud ističe da, kada se prikupljanje takvih podataka od ispitanika, kao što je to u ovom slučaju, temelji na privoli tog ispitanika, valjanost privole koju je dao navedeni ispitanik ovisi, među ostalim, o tome je li on prethodno dobio informacije u vezi sa svim okolnostima obrade predmetnih podataka na koje je imao pravo na temelju članka 15. Uredbe 2018/1725 i koje mu omogućuju davanje privole uz potpuno poznavanje činjenica. Obveza da se ispitaniku – u trenutku prikupljanja osobnih podataka povezanih s njim – pruži informacija o mogućim primateljima tih podataka ima osobito za cilj omogućiti ispitaniku da uz potpuno poznavanje činjenica odluči hoće li pružiti ili, naprotiv, odbiti pružiti svoje osobne podatke koji se prikupljaju od njega.
Sud dodaje da, osim što je neophodna kako bi ispitanik kasnije mogao braniti svoja prava protiv tih primatelja, obveza pružanja takve informacije u trenutku prikupljanja osobnih podataka jamči, među ostalim, da voditelj obrade te podatke ne prikuplja protiv njegove volje ili da ih čak ne prenosi trećim stranama protiv njegove volje.
Dakle, obveza pružanja informacija je dio pravnog odnosa koji postoji između ispitanika i voditelja obrade te, stoga, za predmet ima informacije povezane s tom osobom kako su prenesene tom voditelju, dakle prije eventualnog prijenosa trećoj osobi.
Stoga Sud smatra da, u svrhu primjene obveze pružanja informacija predviđene Uredbom 2018/1725, mogućnost utvrđivanja identiteta ispitanika treba ocijeniti u trenutku prikupljanja podataka te sa stajališta voditelja obrade. Stoga se SRB-ova obveza pružanja informacija primjenjuje prije prijenosa predmetnih očitovanja i neovisno o tome jesu li ona osobne naravi ili ne, sa stajališta društva Deloitte, nakon njihove eventualne pseudonimizacije.
(
1
)	Presuda Općeg suda od 26. travnja 2023., SRB/EDPS (T-557/20, u daljnjem tekstu: pobijana presuda, EU:T:2023:219)
(
2
)	Vrednovanje predviđeno na temelju članka 20. stavaka 16. do 18. Uredbe (EU) br. 806/2014 Europskog parlamenta i vijeća od 15. srpnja 2014. o utvrđivanju jedinstvenih pravila i jedinstvenog postupka za sanaciju kreditnih institucija i određenih investicijskih društava u okviru jedinstvenog sanacijskog mehanizma i jedinstvenog fonda za sanaciju te o izmjeni Uredbe (EU) br. 1093/2010 (SL 2014., L 225, str. 1. i ispravak SL 2015., L 101, str. 62.).
(
3
)	Uredba (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL 2018., L 295, str. 39.)
(
4
)	U smislu članka 3. točke 13. Uredbe br. 2018/1725.
(
5
)	Članak 15. stavak 1. točka (d) Uredbe 2018/1725
(
6
)	Presude od 20. prosinca 2017., Nowak (C-434/16, EU:C:2017:994, t. 35.); od 7. ožujka 2024., OC/Komisija (C-479/22 P, EU:C:2024:215, t. 45.); i od 7. ožujka 2024., IAB Europe (C-604/22, EU:C:2024:214, t. 37. i navedena sudska praksa)
(
7
)	Tumačenje potkrijepljeno sudskom praksom proizašlom iz presude od 20. prosinca 2017., Nowak (C-434/16, EU:C:2017:994)
(
8
)	Članak 3. točke 1. i 6. Uredbe 2018/1725
(
9
)	Člankom 3. točkom 6. Uredbe 2018/1725 zahtijeva se uspostava odvojenog pohranjivanja identifikacijskih informacija, kao i tehničke i organizacijske mjere „kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi”
(
10
)	Presuda od 7. ožujka 2024., OC/Komisija (C-479/22 P, EU:C:2024:215, t. 52. do 64.)
(
11
)	Presuda od 7. ožujka 2024., OC/Komisija (C-479/22 P, EU:C:2024:215, t. 51. i navedena sudska praksa)
(
12
)	Presude od 19. listopada 2016., Breyer (C-582/14, EU:C:2016:779, t. 44., 47. i 48.) i od 7. ožujka 2024., IAB Europe (C-604/22, EU:C:2024:214, t. 43. i 48.)
(
13
)	Presuda od 9. studenoga 2023., Gesamtverband Autoteile-Handel (Pristup informacijama o vozilima) (C‑319/22, EU:C:2023:837, t. 46. i 49.)
(
14
)	Sudska praksa navedena u bilješkama 10. do 12. ovog kratkog prikaza.