62023CJ0413_RES
Zaak C‑413/23 P
Europese Toezichthouder voor gegevensbescherming
tegen
Gemeenschappelijke Afwikkelingsraad
Arrest van het Hof (Eerste kamer) van 4 september 2025
„Hogere voorziening – Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Procedure voor het toekennen van compensatie aan aandeelhouders en crediteuren van een bank na de afwikkeling van die instelling – Besluit van de Europese Toezichthouder voor gegevensbescherming waarbij is vastgesteld dat de Gemeenschappelijke Afwikkelingsraad zijn verplichtingen met betrekking tot de verwerking van persoonsgegevens niet is nagekomen – Verordening (EU) 2018/1725 – Artikel 15, lid 1, onder d) – Verplichting om de betrokkene te informeren – Overdracht van gepseudonimiseerde gegevens aan een derde – Artikel 3, punt 1 – Begrip ‚persoonsgegevens’ – Artikel 3, punt 6 – Begrip ‚pseudonimisering’”
Instellingen van de Europese Unie – Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2018/1725 – Begrip „persoonsgegevens” – Iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon – Door de Gemeenschappelijke Afwikkelingsraad (GAR) opgestarte procedure betreffende het recht om te worden gehoord na de vaststelling van maatregelen ter afwikkeling van een bank – Opmerkingen die de door deze maatregelen getroffen aandeelhouders en crediteuren bij de GAR hebben ingediend – Gepseudonimiseerde opmerkingen van de GAR aan een onafhankelijke derde met het oog op de beoordeling – Beoordeling van de identificeerbaarheid van de betrokkenen – Daaronder begrepen – Uitzondering – Onmogelijkheid om de betrokkenen te identificeren
(Verordening 2018/1725 van het Europees Parlement en de Raad, overweging 17 en art. 3, punten 1 en 6)
(zie punten 54‑60, 72‑76, 82‑85, 86)
Instellingen van de Europese Unie – Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2018/1725 – Informatieplicht in geval bij de betrokkene persoonsgegevens worden verzameld – Door de Gemeenschappelijke Afwikkelingsraad (GAR) opgestarte procedure betreffende het recht om te worden gehoord na de vaststelling van maatregelen ter afwikkeling van een bank – Opmerkingen die de door deze maatregelen getroffen aandeelhouders en crediteuren bij de GAR hebben ingediend – Gepseudonimiseerde opmerkingen van de GAR aan een onafhankelijke derde met het oog op de beoordeling – Informatieplicht van de GAR betreffende de ontvangers van de verzamelde persoonsgegevens vóór de doorgifte van die opmerkingen – Beoordeling van de identificeerbaarheid van de betrokkenen tijdens de verzameling van gegevens en vanuit het oogpunt van de verwerkingsverantwoordelijke
[Verordening 2018/1725 van het Europees Parlement en de Raad, art. 15, lid 1), onder d)]
(zie punten 103, 106, 108‑112, 115)
Samenvatting
Nadat bij het Hof een hogere voorziening werd ingesteld door de Europese Toezichthouder voor gegevensbescherming (EDPS), heeft het Hof het arrest GAR/EDPS (
1
) vernietigd en de zaak terugverwezen naar het Gerecht. Het begrip „persoonsgegevens” heeft het daarbij verduidelijkt in de context van gepseudonimiseerde gegevens en meer in het bijzonder met betrekking tot de informatie die aan de betrokkene moet worden verstrekt wanneer dergelijke gegevens aan een derde worden doorgegeven.
In casu is de Gemeenschappelijke Afwikkelingsraad (GAR) bij besluit van 7 juni 2017 overgegaan tot de afwikkeling van Banco Popular Español SA (hierna: „Banco Popular”) en op dezelfde dag heeft de Europese Commissie hieraan haar goedkeuring gegeven. Op 6 augustus 2018 publiceerde de GAR op zijn website het bericht betreffende zijn voorlopige besluit over het al dan niet toekennen van compensatie aan de aandeelhouders en crediteuren die door de afwikkeling van die instelling waren getroffen. In zijn voorlopige beslissing preciseerde de GAR dat voor een definitieve beslissing op dit punt een procedure moest worden georganiseerd die de belanghebbenden in staat stelt hun recht om te worden gehoord uit te oefenen. Van de aandeelhouders en crediteuren die aan die procedure deelnamen, werden gegevens verzameld, waaronder gegevens over hun identiteit en over het bewijs van de eigendom van de kapitaalinstrumenten van Banco Popular. Nadat hun status door de afwikkelingsraad aan de hand van de verzamelde gegevens was geverifieerd, hebben deze personen opmerkingen over het voorlopige besluit ingediend. Sommige van die opmerkingen zijn in de vorm van gepseudonimiseerde gegevens overgedragen aan Deloitte, een audit- en adviesbureau dat door de GAR was belast met het uitvoeren van een waardering van de gevolgen van een afwikkelingsprocedure voor aandeelhouders en crediteuren. (
2
)
In 2019 hebben verschillende getroffen aandeelhouders en crediteuren vijf klachten bij de EDPS ingediend op grond van verordening 2018/1725 (
3
). Zij baseerden die klachten op het feit dat de GAR hen niet had meegedeeld dat de over hen verzamelde gegevens aan derden zouden worden doorgegeven.
De EDPS heeft hieraan gevolg gegeven met een aanvankelijk besluit dat na een door de GAR ingediend verzoek om herziening is ingetrokken en vervangen door een herzien besluit. Daarin heeft hij zich op het standpunt gesteld dat Deloitte in casu een ontvanger van persoonsgegevens van klagers was. (
4
) Voorts heeft hij vastgesteld dat de GAR de in verordening 2018/1725 neergelegde informatieplicht niet was nagekomen. (
5
) Meer in het bijzonder heeft de EDPS de GAR verweten dat hij in de privacyverklaring over de verwerking van persoonsgegevens die opgesteld werd in de loop van de procedure betreffende het recht om te worden gehoord, Deloitte niet had vermeld als een potentiële ontvanger van de door de GAR verzamelde en verwerkte persoonsgegevens.
Daarop heeft de GAR bij het Gerecht beroep tot nietigverklaring van het herziene besluit van de EDPS ingesteld. Het Gerecht heeft dit beroep gedeeltelijk toegewezen en dat besluit nietig verklaard.
Beoordeling door het Hof
In zijn arrest spreekt het Hof zich uit over de in het bestreden arrest onderzochte voorwaarden waaronder de gegevens als persoonsgegevens kunnen worden aangemerkt.
In de eerste plaats is het Hof van oordeel dat het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door te oordelen dat de EDPS, om tot de slotsom te kunnen komen dat de informatie uit de aan Deloitte toegezonden opmerkingen de personen die deze opmerkingen hadden ingediend, „betrof” in de zin van artikel 3, punt 1, van verordening 2018/1725, de inhoud, het doel of de gevolgen van die opmerkingen had moeten onderzoeken. Het stond namelijk al vast dat zij de persoonlijke mening of het persoonlijke standpunt van de auteurs ervan weergaven.
In dit verband herinnert het Hof aan zijn rechtspraak volgens welke informatie een geïdentificeerde of identificeerbare natuurlijke persoon betreft wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een identificeerbare persoon. (
6
) Derhalve hoeft een onderzoek van de inhoud van informatie niet noodzakelijkerwijs te worden aangevuld met een analyse van het doel en de gevolgen ervan, zoals blijkt uit het gebruik van het voegwoord „of” dat de verschillende in die rechtspraak bedoelde criteria met elkaar verbindt.
Het Hof benadrukt dat de uitlegging van het Gerecht, volgens welke de EDPS de informatie die uit de aan Deloitte toegezonden opmerkingen voortvloeide, niet louter op basis van de vaststelling dat het om persoonlijke meningen of standpunten ging, als persoonsgegevens kon aanmerken, maar dat hij bovendien de inhoud, het doel en het gevolg van de aldus geuite meningen had moeten onderzoeken om vast te stellen of zij gelieerd waren aan een bepaalde persoon, voorbijgaat aan de bijzondere aard van persoonlijke meningen of standpunten die, als uitdrukking van iemands gedachte, noodzakelijkerwijs nauw met hem verbonden zijn. (
7
)
In de tweede plaats spreekt het Hof zich uit over de voorwaarde van artikel 3, punt 1, van verordening 2018/1725 dat de betrokken natuurlijke persoon „identificeerbaar” is, en meer in het bijzonder over het betoog van de EDPS dat gepseudonimiseerde gegevens in alle gevallen en voor eenieder als persoonsgegevens moeten worden beschouwd.
Het Hof is van oordeel dat, anders dan de EDPS stelt, het Gerecht terecht heeft geoordeeld dat gepseudonimiseerde gegevens niet in alle gevallen en voor eenieder mogen worden beschouwd als persoonsgegevens voor de toepassing van verordening 2018/1725, aangezien pseudonimisering, afhankelijk van de omstandigheden van het geval, daadwerkelijk kan verhinderen dat andere personen dan de verwerkingsverantwoordelijke de betrokkene op zodanige wijze identificeren dat deze betrokkene voor hen niet of niet meer identificeerbaar is.
Allereerst merkt het Hof op dat pseudonimisering krachtens verordening 2018/1725 (
8
) geen element is van de definitie van „persoonsgegevens”, maar verwijst naar de invoering van technische en organisatorische maatregelen om het risico te verminderen dat een reeks van persoonsgegevens en de identiteit van de betrokkenen aan elkaar worden gerelateerd.
Vervolgens verduidelijkt het Hof dat het begrip „pseudonimisering” veronderstelt dat er informatie is aan de hand waarvan de betrokkene kan worden geïdentificeerd. Alleen al door het bestaan van dergelijke informatie is het uitgesloten dat gepseudonimiseerde gegevens in alle gevallen kunnen worden beschouwd als anonieme gegevens die buiten de werkingssfeer van verordening 2018/1725 vallen.
Ten slotte benadrukt het Hof dat pseudonimisering met name tot doel heeft te voorkomen dat de betrokkene enkel aan de hand van gepseudonimiseerde gegevens kan worden geïdentificeerd. (
9
) Voor zover de voor pseudonimisering in de zin van verordening 2018/1725 vereiste technische en organisatorische maatregelen daadwerkelijk zijn getroffen en daarmee wordt voorkomen dat de betreffende gegevens aan de betrokkene worden gekoppeld zodat deze niet of niet meer identificeerbaar is, kan pseudonimisering immers gevolgen hebben voor het persoonlijke karakter van die gegevens. In dit verband verduidelijkt het Hof dat de GAR, zoals normaliter het geval is voor de verwerkingsverantwoordelijke die de pseudonimisering heeft toegepast, in casu over aanvullende gegevens beschikt op basis waarvan de aan Deloitte toegezonden opmerkingen aan de betrokkene kunnen worden gekoppeld. Voor de GAR behouden deze opmerkingen, ondanks de pseudonimisering ervan, dus hun persoonlijke karakter. Wat Deloitte betreft, heeft het Hof daarentegen opgemerkt dat die technische en organisatorische maatregelen tot gevolg kunnen hebben dat die opmerkingen voor die vennootschap geen persoonlijk karakter hebben. Dit veronderstelt echter, ten eerste, dat Deloitte die maatregelen niet kan opheffen wanneer die commentaren onder haar toezicht worden verwerkt en, ten tweede, moeten die maatregelen daadwerkelijk van dien aard zijn dat zij Deloitte ook beletten om diezelfde opmerkingen te koppelen aan de betrokken persoon door gebruik te maken van andere identificatiemiddelen, zoals een vergelijking met andere elementen.
Volgens het Hof volgt zowel uit overweging 16 van verordening 2018/1725 als uit zijn rechtspraak dat het bestaan van aanvullende gegevens aan de hand waarvan de betrokkene kan worden geïdentificeerd, op zich niet impliceert dat gepseudonimiseerde gegevens voor de toepassing van verordening 2018/1725 in alle gevallen en voor eenieder als persoonsgegevens moeten worden beschouwd. In dit verband heeft het Hof eraan herinnerd dat het zich, met betrekking tot een persbericht dat een aantal aanwijzingen bevatte over een persoon zonder deze bij naam te noemen, niet heeft beperkt tot de vaststelling dat het orgaan van de Unie dat dit persbericht had gepubliceerd, beschikte over alle informatie aan de hand waarvan die persoon kon worden geïdentificeerd, maar heeft onderzocht of de vermeldingen in dat persbericht het betrokken publiek redelijkerwijs in staat stelden om die persoon te identificeren, met name aan de hand van een combinatie van die vermeldingen met op internet beschikbare informatie. (
10
) Bovendien heeft het Hof geoordeeld dat niet redelijkerwijs te verwachten valt dat een middel zal worden gebruikt om de betrokkene te identificeren wanneer het gevaar voor identificatie in werkelijkheid onbeduidend lijkt, aangezien de identificatie van die persoon bij wet verboden of in de praktijk ondoenlijk is, bijvoorbeeld omdat zij – gelet op de vereiste tijd, kosten en mankracht – een excessieve inspanning vergt. (
11
) In dezelfde lijn heeft het Hof geoordeeld dat door de verwerkingsverantwoordelijke verzamelde en bewaarde gegevens die op zich niet persoonsgebonden waren, toch verband hielden met een identificeerbare persoon, aangezien de verwerkingsverantwoordelijke over wettige middelen beschikte om van een ander de aanvullende gegevens te verkrijgen waarmee deze persoon kon worden geïdentificeerd. (
12
) Volgens het Hof kon in dergelijke omstandigheden het feit dat verschillende personen de informatie in handen hadden waarmee de betrokkene kon worden geïdentificeerd, diens identificatie immers niet daadwerkelijk op zodanige wijze verhinderen, dat hij voor de verwerkingsverantwoordelijke niet identificeerbaar was.
In het bijzonder herinnert het Hof eraan dat gegevens die op zich onpersoonlijk zijn, een „persoonlijk” karakter kunnen verkrijgen wanneer de verwerkingsverantwoordelijke ze ter beschikking stelt aan andere personen die beschikken over middelen waarvan redelijkerwijs te verwachten valt dat de betrokkene daarmee kan worden geïdentificeerd. (
13
) In de context van een dergelijke terbeschikkingstelling vormen die gegevens zowel voor deze personen als indirect voor de verwerkingsverantwoordelijke persoonsgegevens.
In de derde plaats stelt het Hof vast dat het Gerecht blijk heeft gegeven van een onjuiste rechtsopvatting door vast te stellen dat de EDPS, om te beoordelen of de GAR had voldaan aan zijn informatieverplichting, had moeten onderzoeken of de aan Deloitte toegezonden opmerkingen vanuit het oogpunt van Deloitte persoonsgegevens vormden.
Om te beginnen merkt het Hof op dat verordening 2018/1725 weliswaar niet uitdrukkelijk uiteenzet welk perspectief relevant is voor de beoordeling of de betrokkene identificeerbaar is, maar dat uit de rechtspraak (
14
) volgt dat het relevante perspectief voor de beoordeling of het mogelijk is om de betrokkene te identificeren, in wezen afhangt van de omstandigheden die de gegevensverwerking in elk afzonderlijk geval kenmerken.
Het Hof heeft in het onderhavige geval over de in artikel 15, lid 1, onder d), van die verordening bedoelde informatieverplichting ten aanzien van eventuele ontvangers van persoonsgegevens, verduidelijkt dat dit één van meerdere soorten informatie vormt die moet worden verstrekt „bij de verkrijging van de persoonsgegevens” op het moment waarop de gegevens bij de betrokkene worden verzameld. Het Hof benadrukt het belang van de naleving van deze informatieplicht, maar merkt op dat wanneer dergelijke gegevens zoals in het onderhavige geval bij de betrokkene worden verzameld op basis van diens toestemming, de geldigheid daarvan dus onder meer afhangt van de vraag of de betrokkene vooraf de informatie heeft verkregen over alle omstandigheden van de verwerking van de betrokken gegevens waarop hij krachtens artikel 15 van verordening 2018/1725 recht had en die hem in staat stellen met volledige kennis van zaken toestemming te geven. De verplichting om de betrokkene – op het moment waarop de met hem verband houdende persoonsgegevens worden verzameld – informatie te verstrekken over de eventuele ontvangers van die gegevens, heeft met name tot doel die persoon in staat te stellen met volledige kennis van zaken te beslissen of hij zijn bij hem verzamelde persoonsgegevens verstrekt of juist weigert te verstrekken.
Het Hof voegt daaraan toe dat, naast het essentiële karakter ervan om de betrokkene later in staat te stellen zijn rechten tegenover deze ontvangers te verdedigen, de verplichting om dergelijke informatie te verstrekken bij het verzamelen van de persoonsgegevens met name waarborgt dat deze gegevens niet tegen diens wil door de verwerkingsverantwoordelijke worden verzameld of zelfs tegen diens wil aan derden worden doorgegeven.
De informatieplicht valt dus binnen de rechtsverhouding die bestaat tussen de betrokkene en de verwerkingsverantwoordelijke en heeft dus betrekking op de informatie over die betrokkene zoals die aan die verantwoordelijke is verstrekt, dus vóór elke eventuele doorgifte aan een derde.
Bijgevolg oordeelt het Hof dat voor de toepassing van de informatieverplichting van verordening 2018/1725 de identificeerbaarheid van de betrokkene moet worden beoordeeld op het moment waarop de gegevens worden verzameld en vanuit het oogpunt van de verwerkingsverantwoordelijke. Aldus was de op de GAR rustende informatieplicht van toepassing vóór de doorgifte van de betrokken opmerkingen en ongeacht of die opmerkingen vanuit het oogpunt van Deloitte na de eventuele pseudonimisering ervan persoonsgegevens waren.
(
1
)	Arrest van het Gerecht van 26 april 2023, GAR/EDPS (T‑557/20, EU:T:2023:219; hierna: „bestreden arrest”).
(
2
)	Waardering bedoeld in artikel 20, leden 16 tot en met 18, van verordening (EU) nr. 806/2014 van het Europees Parlement en de Raad van 15 juli 2014 tot vaststelling van eenvormige regels en een eenvormige procedure voor de afwikkeling van kredietinstellingen en bepaalde beleggingsondernemingen in het kader van een gemeenschappelijk afwikkelingsmechanisme en een gemeenschappelijk afwikkelingsfonds en tot wijziging van verordening (EU) nr. 1093/2010 (PB 2014, L 225, blz. 1).
(
3
)	Verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van verordening (EG) nr. 45/2001 en besluit nr. 1247/2002/EG (PB 2018, L 295, blz. 39).
(
4
)	In de zin van artikel 3, punt 13, van verordening 2018/1725.
(
5
)	Artikel 15, lid 1, onder d), van verordening 1028/1725.
(
6
)	Arrest van 20 december 2017, Nowak (C‑434/16, EU:C:2017:994, punt 35); arrest van 7 maart 2024, OC/Commissie (C‑479/22 P, EU:C:2024:215, punt 45); en arrest van 7 maart 2024, IAB Europe (C‑604/22, EU:C:2024:214, punt 37 en aldaar aangehaalde rechtspraak).
(
7
)	Deze uitlegging vindt steun in de rechtspraak die voortvloeit uit het arrest van 20 december 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Artikel 3, punten 1 en 6, van verordening 2018/1725.
(
9
)	Artikel 3, punt 6, van verordening 2018/1725 vereist dat de identificatiegegevens apart worden bewaard en dat technische en organisatorische maatregelen worden getroffen “om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld”.
(
10
)	Arrest van 7 maart 2024, OC/Commissie (C‑479/22 P, EU:C:2024:215, punt 52‑64).
(
11
)	Arrest van 7 maart 2024, OC/Commissie (C‑479/22 P, EU:C:2024:215, punt 51 en aldaar aangehaalde rechtspraak).
(
12
)	Arresten van 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779, punten 44, 47 en 48) en van 7 maart 2024, IAB Europe (C‑604/22, EU:C:2024:214, punten 43 en 48).
(
13
)	Arrest van 9 november 2023, Gesamtverband Autoteile-Handel (Toegang tot voertuiginformatie) (C‑319/22, EU:C:2023:837, punten 46 en 49).
(
14
)	Rechtspraak zoals weergegeven in de voetnoten 10‑12 van de onderhavige samenvatting.