62023CJ0413_RES
Дело C‑413/23 P
Европейски надзорен орган по защита на личните данни
срещу
Единен съвет за преструктуриране
Решение на Съда (първи състав) от 4 септември 2025 година
„Обжалване — Защита на физическите лица във връзка с обработването на лични данни — Процедура за обезщетяване на акционерите и кредиторите на банкова институция вследствие на преструктурирането ѝ — Решение на Европейския надзорен орган по защита на данните, с което се установява нарушение от страна на Единния съвет за преструктуриране на задълженията му във връзка с обработването на лични данни — Регламент (ЕС) 2018/1725 — Член 15, параграф 1, буква г) — Задължение за информиране на субекта на данните — Предаване на трето лице на псевдонимизирани данни — Член 3, точка 1 — Понятие „лични данни“ — Член 3, точка 6 — Понятието „псевдонимизация“
Институции на Европейския съюз — Защита на физическите лица във връзка с обработването на лични данни — Регламент 2018/1725 — Понятие „лични данни“ — Всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано — Процедура на право на изслушване, започната от Единния съвет за преструктуриране (ЕСП) след приемането на мерки за преструктуриране на банкова институция — Коментари, формулирани пред ЕСП от засегнатите от тези мерки акционери и кредитори — Псевдонимизирани коментари, предадени с оценителна цел от ЕСП на трето независимо лице — Преценка дали субектите на данните могат да бъдат идентифицирани — Включване — Изключение — Невъзможност да се идентифицират субектите на данните
(Регламент 2018/1725 на Европейския парламент и на Съвета, съображение 17 и член 3, точки 1 и 6)
(вж. т. 54—60, 72—76, 82, 85 и 86)
Институции на Европейския съюз — Защита на физическите лица във връзка с обработването на лични данни — Регламент 2018/1725 — Задължение за предоставяне на информация при събирането на лични данни от субекта на данните — Процедура на право на изслушване, започната от Единния съвет за преструктуриране (ЕСП) след приемането на мерки за преструктуриране на банкова институция — Коментари, формулирани пред ЕСП от засегнатите от тези мерки акционери и кредитори — Псевдонимизирани коментари, предадени с оценителна цел от ЕСП на трето независимо лице — Задължение на ЕСП преди предаването на тези коментари да предостави информация относно получателите на събраните лични данни — Преценка дали субектите на данните могат да бъдат идентифицирани, извършвана към момента на събирането на данните и от гледна точка на администратора
(Регламент 2018/1725 на Европейския парламент и на Съвета, член 15, параграф 1, буква г)
(вж. т. 103, 106, 108—112 и 115)
Резюме
Сезиран с жалба, подадена от Европейския надзорен орган по защита на данните (ЕНОЗД), Съдът отменя решение ЕСП/ЕНОЗД (
1
) и връща делото на Общия съд за ново разглеждане. Той внася съответно уточнения относно понятието „лични данни“ в контекста на псевдонимизираните данни, и по-конкретно на информацията, която трябва да се предоставя на субекта на данните, когато такива данни се предават на трето лице.
В случая, с решение от 7 юни 2017 г. Единният съвет за преструктуриране (ЕСП) поставя Banco Popular Español SA (наричана по-нататък „Banco Popular“) в режим на преструктуриране, одобрен същия ден от Европейската комисия. На 6 август 2018 г. ЕСП публикува на своя уебсайт съобщението относно предварителното си решение дали трябва да бъде предоставено обезщетение на акционерите и кредиторите, които са засегнати от действията по преструктуриране на тази банка. За да може да вземе окончателно решение по този въпрос, той уточнява в предварителното си решение, че следва да проведе процедура, в която заинтересованите лица да упражнят правото си на изслушване. Събрани са данни на участващите акционери и кредитори, сред които и данни за самоличността им и за собствеността върху капиталовите инструменти на Banco Popular. След като ЕСП проверява статута им с помощта на събраните данни, тези лица представят коментари по предварителното решение. Някои от тях под формата на псевдонимизирани данни са предадени на Deloitte, одитното и консултантско дружество, на което ЕСП възлага извършването на оценка на последиците за акционерите и кредиторите от провеждането на процедура за преструктуриране (
2
).
През 2019 г. няколко засегнати акционери и кредитори подават до ЕНОЗД пет жалби на основание на Регламент 2018/1725 (
3
), тъй като ЕСП не ги уведомил, че събраните за тях данни ще бъдат предадени на трети лица.
ЕНОЗД разглежда тези жалби и приема първоначално решение, което след искане за преразглеждане от страна на ЕСП е отменено и заменено с изменено решение. В последното той намира, че в случая Deloitte е получател на лични данни на жалбоподателите (
4
). Освен това констатира, че ЕСП е нарушил предвиденото с Регламент 2018/1725 (
5
) задължение за предоставяне на информация. По-конкретно, упреква го, че в декларацията за поверителност относно извършеното в процедурата във връзка с правото на изслушване обработване на лични данни не е споменал, че Deloitte е потенциален получател на личните данни, събирани и обработвани от ЕСП.
ЕСП съответно подава жалба пред Общия съд, искайки по-специално отмяна на измененото решение на ЕНОЗД. Общият съд уважава частично тази жалба и отменя посоченото решение.
Съображения на Съда
В решението си Съдът се произнася по условията, разгледани в обжалваното съдебно решение, при които данните могат да бъдат квалифицирани като лични данни.
На първо място, той преценява, че Общият съд е допуснал грешка при прилагане на правото, приемайки, че за да заключи, че информацията, съдържаща се в препратените на Deloitte коментари, „е свързана“ по смисъла на член 3, точка 1 от Регламент 2018/1725 с лицата, направили тези коментари, ЕНОЗД е трябвало да прецени съдържанието, крайната цел или последиците на въпросните коментари, след като е безспорно, че те изразяват личното мнение или възглед на авторите си.
В това отношение Съдът припомня практиката си, че дадена информация засяга физическо лице, което е идентифицирано или може да бъде идентифицирано, ако поради своето съдържание, крайна цел или последици е свързана с лице, което може да бъде идентифицирано (
6
). Затова проверката на съдържанието на дадена информация не трябва непременно да е допълнена с анализ на крайната цел и последиците на тази информация, както личи от употребата на съюза „или“, свързващ отделните критерии, посочени в тази съдебна практика.
Съдът подчертава, че тълкуването на Общия съд, че ЕНОЗД не може да квалифицира информацията, съдържаща се в препратените на Deloitte коментари, като лични данни само въз основа на констатацията, че става въпрос за лични мнения или възгледи, а е трябвало да прецени освен това съдържанието, крайната цел и последиците на така изразените мнения, за да определи дали те са свързани с определено лице, е в разрез с особеното естество на личните мнения или възгледи, които, като израз на мисълта на дадено лице, по необходимост са тясно свързани с него (
7
).
На второ място, Съдът се произнася по предвиденото в член 3, точка 1 от Регламент 2018/1725 условие съответното физическо лице да може да бъде идентифицирано, и по-специално по доводите на ЕНОЗД, че псевдонимизираните данни трябва да се считат за представляващи, във всички случаи и за всяко лице, лични данни.
Съдът намира, че противно на поддържаното от ЕНОЗД, Общият съд правилно е приел, че псевдонимизираните данни не трябва да се считат за представляващи, във всички случаи и за всяко лице, лични данни за целите на прилагането на Регламент 2018/1725, доколкото в зависимост от обстоятелствата по случая псевдонимизацията действително може да попречи на лица, различни от администратора, да идентифицират субекта на данните, и съответно за тях този субект да не може или вече да не може да бъде идентифициран.
Най-напред, Съдът отбелязва, че съгласно Регламент 2018/1725 (
8
) псевдонимизацията не е елемент от определението за лични данни, а има отношение към въвеждането на технически и организационни мерки за намаляване на риска от свързване на набор от данни със самоличността на субектите на данните.
По-нататък, той уточнява, че понятието „псевдонимизация“ предполага наличието на информация, позволяваща идентифицирането на субекта на данните. Самото наличие на такава информация е пречка данни, които са били подложени на псевдонимизация, да могат във всички случаи да се смятат за анонимни данни, изключени от приложното поле на Регламент 2018/1725.
Накрая, той подчертава, че целта на псевдонимизацията е по-специално да се избегне възможността субектът на данните да бъде идентифициран само с псевдонимизираните данни (
9
). Всъщност, стига необходимите за псевдонимизацията по смисъла на Регламент 2018/1725 технически и организационни мерки да са действително въведени и да са годни да предотвратят свързването на съответните данни със субекта на данните, така че той да не може или вече да не може да бъде идентифициран, псевдонимизацията може да има отражение върху личния характер на тези данни. В това отношение Съдът уточнява, че в случая ЕСП разполага — нещо обичайно за извършилия псевдонимизацията администратор — с допълнителна информация, позволяваща препратените на Deloitte коментари да се свържат със субекта на данните. Така че за ЕСП тези коментари, въпреки псевдонимизацията, запазват личния си характер. Що се отнася до Deloitte обаче, Съдът отбелязва, че посочените технически и организационни мерки могат да доведат до това за въпросното дружество тези коментари да нямат личен характер. Това обаче предполага, от една страна, Deloitte да не е в състояние да заобикаля тези мерки при извършваното под негов контрол обработване на посочените коментари, и от друга страна, въпросните мерки действително да могат да попречат на Deloitte да свърже същите тези коментари със субекта на данните и чрез използването на други идентификационни средства, като например съпоставяне с други данни.
Според Съда както от съображение 16 от Регламент 2018/1725, така и от съдебната му практика следва, че наличието на допълнителна информация, позволяваща идентифицирането на субекта на данните, само по себе си не означава, че псевдонимизираните данни трябва да се считат, във всички случаи и за всяко лице, за лични данни за целите на прилагането на Регламент 2018/1725. В това отношение той припомня, че що се отнася до едно прессъобщение, което, без да посочва поименно дадено лице, съдържа известен брой сведения за него, не просто е констатирал, че органът на Съюза, публикувал това прессъобщение, разполага с цялата информация, позволяваща идентифицирането на това лице, а е проверил дали поради съдържащите се в прессъобщението сведения има разумна вероятност съответната общественост да идентифицира лицето, комбинирайки по-специално тези сведения с наличната в интернет информация (
10
). Освен това той вече е постановил, че няма разумна вероятност дадено средство да бъде използвано за идентифициране на субекта на данни, когато рискът от идентифициране в действителност изглежда незначителен, тъй като идентифицирането на това лице е забранено от закона или фактически непостижимо, например поради факта, че би означавало несъразмерно усилие от гледна точка на време, разходи и труд (
11
). В същия ред на мисли Съдът по същество е постановил, че сами по себе си нелични данни, събирани и съхранявани от администратора, все пак са свързани с лице, което може да бъде идентифицирано, щом като администраторът има законови пътища, за да получи от другиго допълнителната информация, позволяваща идентифицирането на това лице (
12
). Всъщност според Съда при това положение обстоятелството, че информацията, позволяваща идентифицирането на субекта на данните, е била в ръцете на други лица, не е истинска пречка за идентифицирането му, която да препятства идентифицирането му от администратора.
По-конкретно, Съдът припомня, че данни, които сами по себе си не са лични, могат да придобият „личен“ характер, когато администраторът дава достъп до тях на други лица, разполагащи със средства, които, разумно погледнато, могат да позволят идентифицирането на субекта на данните (
13
). При наличието на такъв достъп въпросните данни имат личен характер както за тези лица, така и косвено за администратора.
На трето място, Съдът намира, че Общият съд е допуснал грешка при прилагане на правото, като е постановил, че за да прецени дали ЕСП е изпълнил задължението си за предоставяне на информация, ЕНОЗД е трябвало да провери дали препратените на Deloitte коментари представляват от гледна точка на същото лични данни.
Като начало Съдът отбелязва, че макар Регламент 2018/1725 да не уточнява изрично от чия перспектива следва да се преценява дали субектът на данните може да бъде идентифициран, от съдебната практика (
14
) следва, че перспективата, от която следва да се преценява дали субектът на данните може да бъде идентифициран, зависи основно от обстоятелствата, характеризиращи обработването на данните във всеки отделен случай.
Що се отнася в случая до задължението за предоставяне на информация относно евентуалните получатели на личните данни, посочено в член 15, параграф 1, буква г) от Регламент 2018/1725, Съдът уточнява, че става въпрос за информация, която наред с останалата информация се предоставя „в момента на получаване на личните данни“, при събирането на данните от субекта на данните. Подчертавайки значението на спазването на това задължение за предоставяне на информация, Съдът същевременно отбелязва, че когато събирането на такива данни се основава — както в случая — на съгласието на субекта на данните, валидността на даденото от него съгласие зависи по-специално от това дали той е получил предварително информацията относно всички обстоятелства, свързани с обработването на въпросните данни, която е имал право да получи съгласно член 15 от Регламент 2018/1725 и която му дава възможност да даде напълно информирано съгласие. Изискването на субекта на данните да се предоставя — в момента на събирането на свързаните с него лични данни — информацията относно евентуалните получатели на тези данни, е именно с цел той да може да направи напълно информиран избор дали да предостави, или напротив, да откаже да предостави събраните от него лични данни.
Съдът добавя, че освен че е абсолютно необходимо, за да може субектът на данните впоследствие да защити правата си срещу тези получатели, задължението за предоставяне на тази информация в момента на събирането на личните данни гарантира по-специално че администраторът не събира, още по-малко предава на трети лица тези данни против волята на субекта на данните.
В този смисъл задължението за предоставяне на информация се вписва в съществуващото правоотношение между субекта на данните и администратора и поради това има за предмет информацията, свързана с този субект, такава каквато е била предадена на този администратор, тоест преди евентуалното ѝ предаване на трето лице.
Ето защо Съдът приема, че за целите на прилагането на предвиденото в Регламент 2018/1725 задължение за предоставяне на информация въпросът дали субектът на данните може да бъде идентифициран, трябва да се преценява към момента на събирането на данните и от гледна точка на администратора. ЕСП съответно е бил длъжен да предостави информация преди предаването на процесните коментари и независимо дали от гледна точка на Deloitte, след евентуалната им псевдонимизация, те са лични, или не.
(
1
)	Решение на Общия съд от 26 април 2023 г., ЕСП/ЕНОЗД (Т‑557/20, наричано по-нататък „обжалваното съдебно решение“, EU:T:2023:219).
(
2
)	Оценка, предвидена в член 20, параграфи 16—18 от Регламент (ЕС) № 806/2014 на Европейския парламент и на Съвета от 15 юли 2014 година за установяването на еднообразни правила и еднообразна процедура за преструктурирането на кредитни институции и някои инвестиционни посредници в рамките на Единния механизъм за преструктуриране и Единния фонд за преструктуриране и за изменение на Регламент (ЕС) № 1093/2010 (ОВ L 225, 2014 г., стр. 1).
(
3
)	Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 2018 г., стр. 39).
(
4
)	По смисъла на член 3, точка 13 от Регламент 2018/1725.
(
5
)	Член 15, параграф 1, буква г) от Регламент 2018/1725.
(
6
)	Решения от 20 декември 2017 г., Nowak (C‑434/16, EU:C:2017:994, т. 35), от 7 март 2024 г., OC/Комисия (C‑479/22 P, EU:C:2024:215, т. 45), и от 7 март 2024 г., IAB Europe (C‑604/22, EU:C:2024:214, т. 37 и цитираната съдебна практика).
(
7
)	Тълкуване, което се потвърждава от съдебната практика, установена с решение от 20 декември 2017 г., Nowak (С‑434/16, EU:C:2017:994).
(
8
)	Член 3, точки 1 и 6 от Регламент 2018/1725.
(
9
)	Член 3, точка 6 от Регламент 2018/1725 изисква да се въведат отделно съхраняване на идентификационната информация и технически и организационни мерки „с цел да се гарантира, че личните данни не са свързани с идентифицирано физическо лице или с физическо лице, което може да бъде идентифицирано“.
(
10
)	Решение от 7 март 2024 г., OC/Комисия (C‑479/22 P, EU:C:2024:215, т. 52—64).
(
11
)	Решение от 7 март 2024 г., OC/Комисия (C‑479/22 P, EU:C:2024:215, т. 51 и цитираната съдебна практика).
(
12
)	Решения от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779, т. 44, 47 и 48), и от 7 март 2024 г., IAB Europe (C‑604/22, EU:C:2024:214, т. 43 и 48).
(
13
)	Решение от 9 ноември 2023 г., Gesamtverband Autoteile-Handel (Достъп до информация за превозните средства) (C‑319/22, EU:C:2023:837, т. 46 и 49).
(
14
)	Съдебна практика, припомнена в бележки под линия 10—12 от настоящото резюме.