62023CJ0413_RES
Sprawa C‑413/23 P
Europejski Inspektor Ochrony Danych
przeciwko
Jednolitej Radzie ds. Restrukturyzacji i Uporządkowanej Likwidacji
Wyrok Trybunału (pierwsza izba) z dnia 4 września 2025 r.
Odwołanie – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Postępowanie w przedmiocie wypłaty rekompensat akcjonariuszom i wierzycielom instytucji bankowej w następstwie jej restrukturyzacji i uporządkowanej likwidacji – Decyzja Europejskiego Inspektora Ochrony Danych stwierdzająca naruszenie przez Jednolitą Radę ds. Restrukturyzacji i Uporządkowanej Likwidacji ciążących na niej obowiązków związanych z przetwarzaniem danych osobowych – Rozporządzenie (UE) 2018/1725 – Artykuł 15 ust. 1 lit. d) – Obowiązek podania informacji osobie, której dane dotyczą – Przekazanie spseudonimizowanych danych osobie trzeciej – Artykuł 3 pkt 1 – Pojęcie „danych osobowych” – Artykuł 3 pkt 6 – Pojęcie „pseudonimizacji”
Instytucje Unii Europejskiej – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2018/1725 – Pojęcie danych osobowych – Informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej – Procedura dotycząca prawa do bycia wysłuchanym wszczęta przez Jednolitą Radę ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB) w następstwie podjęcia działań w ramach restrukturyzacji i uporządkowanej likwidacji instytucji bankowej – Uwagi przekazane SRB przez akcjonariuszy i wierzycieli, których dotyczą te środki – Spseudonimizowane uwagi przekazane przez SRB niezależnej osobie trzeciej w celu dokonania oceny – Ocena możliwości zidentyfikowania osób, których dane dotyczą – Włączenie – Wyjątek – Brak możliwości zidentyfikowania osób, których dane dotyczą
(rozporządzenie Parlamentu Europejskiego i Rady 2018/1725, motyw 17, art. 3 pkt 1, 6)
(zob. pkt 54–60, 72–76, 82, 85, 86)
Instytucje Unii Europejskiej – Ochrona osób fizycznych w związku z przetwarzaniem danych osobowych – Rozporządzenie 2018/1725 – Obowiązek podania informacji w przypadku zbierania danych osobowych od osoby, której dane dotyczą – Procedura dotycząca prawa do bycia wysłuchanym wszczęta przez Jednolitą Radę ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB) w następstwie podjęcia działań w ramach restrukturyzacji i uporządkowanej likwidacji instytucji bankowej – Uwagi przekazane SRB przez akcjonariuszy i wierzycieli, których dotyczą te środki – Spseudonimizowane uwagi przekazane przez SRB niezależnej osobie trzeciej w celu dokonania oceny – Spoczywający na SRB obowiązek podania informacji o odbiorcach zbieranych danych osobowych przed przekazaniem rzeczonych uwag – Ocena możliwości zidentyfikowania w trakcie zbierania danych osób, których dane dotyczą, z punktu widzenia administratora
[rozporządzenie Parlamentu Europejskiego i Rady 2018/1725, art. 15 ust. 1 lit. d)]
(zob. pkt 103, 106, 108–112, 115)
Streszczenie
Rozpoznając odwołanie wniesione przez Europejskiego Inspektora Ochrony Danych (EIOD), Trybunał uchylił wyrok w sprawie SRB/EIOD (
1
) i przekazał sprawę do ponownego rozpoznania przez Sąd. Czyniąc to, Trybunał doprecyzował pojęcie „danych osobowych” w kontekście spseudonimizowanych danych, a w szczególności zakres informacji, jakie należy podać osobie, której dane dotyczą, gdy dane te są przekazywane osobie trzeciej.
W niniejszej sprawie decyzją z dnia 7 czerwca 2017 r. Jednolita Rada ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB) poddała Banco Popular Español SA (zwany dalej „Banco Popular”) procedurze restrukturyzacji i uporządkowanej likwidacji zatwierdzonej tego samego dnia przez Komisję Europejską. W dniu 6 sierpnia 2018 r. SRB opublikowała na swojej stronie internetowej komunikat dotyczący wstępnej decyzji w sprawie konieczności przyznania rekompensaty akcjonariuszom i wierzycielom, których dotyczyła procedura restrukturyzacji i uporządkowanej likwidacji tej instytucji. SRB doprecyzowała w decyzji wstępnej, że aby móc wydać ostateczną decyzję w tej kwestii, należało przeprowadzić postępowanie umożliwiające zainteresowanym wykonanie ich prawa do bycia wysłuchanym. Zebrano dane uczestniczących w postępowaniu akcjonariuszy i wierzycieli, wśród których znajdowały się dane dotyczące ich tożsamości oraz dowodu własności instrumentów kapitałowych Banco Popular. Po zweryfikowaniu przez SBR ich statusu na podstawie zebranych danych osoby te przedstawiły uwagi w przedmiocie decyzji wstępnej. Niektóre z tych uwag, w formie danych spseudonimizowanych, zostały przekazane Deloitte, spółce audytorskiej, która otrzymała od SRB zlecenie na sporządzenie wyceny skutków procedury restrukturyzacji i uporządkowanej likwidacji dla wierzycieli i akcjonariuszy (
2
).
W 2019 r. wielu akcjonariuszy i wierzycieli, których dotyczyła procedura restrukturyzacji i uporządkowanej likwidacji, złożyło do EIOD pięć skarg na podstawie rozporządzenia 2018/1725 (
3
) z zarzutem, że SRB nie poinformowała ich, że zebrane dane ich dotyczące zostaną przekazane osobom trzecim.
Nadając im bieg, EIOD przyjął pierwotną decyzję, która w wyniku złożonego przez SBR wniosku o ponowne rozpatrzenie sprawy została uchylona i zastąpiona przez zmienioną decyzję. W decyzji tej EIOD uznał, że w rozpatrywanym przypadku Deloitte była odbiorcą danych osobowych wierzycieli i akcjonariuszy, którzy wnieśli skargi do EIOD (
4
). EIOD stwierdził ponadto, że SRB naruszyła obowiązek informacyjny przewidziany w rozporządzeniu 2018/1725 (
5
). Konkretnie EIOD zarzucił SRB, że nie wskazała w oświadczeniu o ochronie prywatności odnoszącym się do przetwarzania danych w toku postępowania dotyczącego prawa do bycia wysłuchanym, że Deloitte była potencjalnym odbiorcą danych osobowych zebranych i przetwarzanych prze SRB.
SRB wniosła wówczas skargę do Sądu, żądając w szczególności stwierdzenia nieważności zmienionej decyzji EIOD. Sąd częściowo tę skargę uwzględnił i stwierdził nieważność wspomnianej decyzji.
Ocena Trybunału
W wydanym wyroku Trybunał orzekł w przedmiocie badanych w zaskarżonym wyroku okoliczności, w których dane mogą zostać zakwalifikowane jako dane osobowe.
W pierwszej kolejności Trybunał uznał, że Sąd naruszył prawo, orzekając, iż aby stwierdzić, że informacje wynikające z uwag przekazanych Deloitte były informacjami „o” osobach, w rozumieniu art. 3 pkt 1 rozporządzenia 2018/1725, które przedłożyły te uwagi, EIOD powinien był zbadać treść, cel lub skutki tych uwag, ponieważ bezsporne było, że wyrażały one osobistą opinię lub stanowisko ich autorów.
W tym względzie Trybunał przypomniał swoje orzecznictwo, zgodnie z którym informacja dotyczy zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, jeżeli ze względu na swą treść, cel czy skutek informacja ta jest powiązana z możliwą do zidentyfikowania osobą (
6
). Dlatego też badanie dotyczące treści informacji nie musi być koniecznie uzupełnione analizą celu i skutków tej informacji, na co wskazuje użycie spójnika „lub” łączącego różne kryteria, o których mowa w tym orzecznictwie.
Trybunał podkreślił, że dokonana przez Sąd wykładnia, zgodnie z którą EIOD nie mógł zakwalifikować informacji wynikających z uwag przekazanych Deloitte jako danych osobowych wyłącznie na podstawie ustalenia, że uwagi te dotyczyły osobistych opinii lub stanowisk, lecz powinien był zbadać ponadto treść, cel i skutki wyrażonych w ten sposób opinii w celu ustalenia, czy były one powiązane z konkretną osobą, nie uwzględniała szczególnego charakteru osobistych opinii lub stanowisk, które jako wyraz myśli danej osoby są z tą osobą siłą rzeczy ściśle związane (
7
).
W drugiej kolejności Trybunał orzekł w przedmiocie przesłanki przewidzianej w art. 3 pkt 1 rozporządzenia 2018/1725, dotyczącej „możliwego do zidentyfikowania” charakteru danej osoby fizycznej, a w szczególności w przedmiocie argumentacji EIOD, zgodnie z którą dane spseudonimizowane należy uznać za stanowiące, w każdym wypadku i dla każdej osoby, dane osobowe.
Trybunał uznał, że wbrew temu, co twierdzi EIOD, Sąd słusznie orzekł, iż nie można uznać, by dane spseudonimizowane stanowiły, w każdym wypadku i w odniesieniu do każdej osoby, dane osobowe do celów stosowania rozporządzenia 2018/1725, ponieważ pseudonimizacja może, w zależności od okoliczności danej sprawy, rzeczywiście uniemożliwić osobom innym niż administrator zidentyfikowanie osoby, której dane dotyczą, w taki sposób, że dla tych osób nie jest ona w ogóle możliwa do zidentyfikowania lub nie jest już możliwa do zidentyfikowania.
Na wstępie Trybunał wskazał, że zgodnie z rozporządzeniem 2018/1725 (
8
) pseudonimizacja nie stanowi elementu definicji „danych osobowych”, lecz odnosi się do wprowadzenia środków technicznych i organizacyjnych mających na celu zmniejszenie ryzyka powiązania zbioru danych z tożsamością osób, których dane dotyczą.
Następnie wyjaśnił on, że pojęcie „pseudonimizacji” zakłada istnienie informacji pozwalających na zidentyfikowanie osoby, której dane dotyczą. Tymczasem samo istnienie takich informacji stoi na przeszkodzie temu, by dane, które były przedmiotem pseudonimizacji, mogły w każdym wypadku zostać uznane za dane anonimowe, wyłączone z zakresu stosowania rozporządzenia 2018/1725.
Wreszcie Trybunał podkreślił, że pseudonimizacja ma w szczególności na celu uniknięcie sytuacji, w której osoba, której dane dotyczą, mogłaby zostać zidentyfikowana za pomocą samych tylko danych spseudonimizowanych (
9
). O ile bowiem środki techniczne i organizacyjne wymagane do pseudonimizacji w rozumieniu rozporządzenia 2018/1725 są rzeczywiście wprowadzone i mogą zapobiec przypisaniu rozpatrywanych danych osobie, której dotyczą, w taki sposób że osoby tej w ogóle nie można zidentyfikować lub już nie można zidentyfikować, o tyle pseudonimizacja może mieć wpływ na osobowy charakter tych danych. W tym względzie Trybunał uściślił, że – jak to zwykle bywa w przypadku administratora, który dokonuje pseudonimizacji – SRB dysponowała w niniejszej sprawie dodatkowymi informacjami umożliwiającymi przypisanie uwag przekazanych Deloitte osobie, której one dotyczą. W związku z czym dla SRB uwagi te zachowują, pomimo pseudonimizacji, charakter danych osobowych. Co się tyczy natomiast Deloitte, Trybunał wskazał, że owe środki techniczne i organizacyjne mogą skutkować tym, że dla tej spółki uwagi te nie mają charakteru danych osobowych. Zakłada to jednak z jednej strony, że Deloitte nie była w stanie znieść tych środków podczas dokonywanego pod jej kontrolą przetwarzania tych uwag, a z drugiej strony, że wspomniane środki muszą w rzeczywistości mieć taki charakter, aby uniemożliwić Deloitte przypisanie tych uwag osobie, której dane dotyczą, również poprzez odwołanie się do innych środków identyfikacji, takich jak porównanie z innymi danymi.
Zdaniem Trybunału z motywu 16 rozporządzenia, jak również z jego orzecznictwa wynika, że istnienie dodatkowych informacji pozwalających na zidentyfikowanie osoby, której dane dotyczą, nie oznacza samo w sobie, że dane spseudonimizowane należy uznać za stanowiące, w każdym wypadku i w odniesieniu do każdej osoby, dane osobowe do celów stosowania rozporządzenia 2018/1725. W tym względzie Trybunał przypomniał, że w odniesieniu do komunikatu prasowego, który zawierał pewną liczbę wskazówek dotyczących osoby bez wskazania jej imiennie, Trybunał nie ograniczył się do stwierdzenia, że organ Unii, który opublikował ten komunikat, dysponował wszystkimi informacjami umożliwiającymi identyfikację tej osoby, lecz zbadał, czy dane zawarte w tym komunikacie prasowym pozwalały zainteresowanej opinii publicznej z uzasadnionym prawdopodobieństwem zidentyfikować tę osobę, w szczególności poprzez połączenie tych danych z informacjami dostępnymi w Internecie (
10
). Ponadto Trybunał orzekł, że dany sposób nie może zostać z uzasadnionym prawdopodobieństwem zastosowany do zidentyfikowania osoby, której dane dotyczą, gdy ryzyko jej identyfikacji wydaje się w rzeczywistości znikome, z uwagi na fakt, że identyfikacja tej osoby jest zakazana prawem lub niewykonalna w praktyce, przykładowo z powodu okoliczności, że wiąże się ona z nadmiernym nakładem czasu, kosztów i pracy ludzkiej (
11
). W tym samym duchu Trybunał orzekł, że dane same w sobie bezosobowe, gromadzone i przechowywane przez administratora, są jednak powiązane z możliwą do zidentyfikowania osobą, jeżeli administrator dysponuje środkami prawnymi umożliwiającymi uzyskanie od innej osoby dodatkowych informacji pozwalających zidentyfikować tę osobę (
12
). W opinii Trybunału w takiej bowiem sytuacji okoliczność, że informacje umożliwiające identyfikację osoby, której dane dotyczą, znajdowały się w rękach różnych osób, nie mogła skutecznie uniemożliwić jej identyfikacji w taki sposób, że osoba ta pozostawałaby niezidentyfikowana dla administratora.
W szczególności – przypomniał Trybunał – dane, które są same w sobie bezosobowe, mogą mieć charakter „osobowy”, jeżeli administrator udostępnia je innym osobom dysponującym realnymi możliwościami mogącymi pozwolić im na identyfikację osoby, której dane dotyczą (
13
). W kontekście takiego udostępnienia dane te mają charakter danych osobowych zarówno dla tych osób, jak i pośrednio dla administratora.
W trzeciej kolejności Trybunał uznał, że Sąd naruszył prawo, orzekając, że aby ocenić, czy SRB dopełniła obowiązku podania informacji, EIOD powinien był zbadać, czy uwagi przekazane Deloitte stanowiły z punktu widzenia tej spółki dane osobowe.
Na wstępie Trybunał przypomniał, że o ile rozporządzenie 2018/1725 nie precyzuje wyraźnie perspektywy mającej znaczenie dla oceny możliwości zidentyfikowania osoby, której dane dotyczą, o tyle z orzecznictwa (
14
) wynika, że perspektywa właściwa dla oceny możliwości zidentyfikowania osoby, której dane dotyczą, zależy zasadniczo w każdym konkretnym przypadku od okoliczności charakteryzujących przetwarzanie danych.
W niniejszej sprawie w odniesieniu do obowiązku podania informacji dotyczącej ewentualnych odbiorców danych osobowych, o którym mowa w art. 15 ust. 1 lit. d) rozporządzenia 2018/1725, Trybunał uściślił, że chodzi tu o informację, którą pośród innych informacji należy podać „podczas pozyskiwania danych osobowych”, czyli w chwili zbierania tych danych od osoby, której dane dotyczą. Podkreślając znaczenie poszanowania tego obowiązku podania informacji, Trybunał zauważył, że w przypadku gdy zbieranie takich danych od osoby, której dane dotyczą, jest – jak w niniejszej sprawie – oparte na zgodzie tej osoby, ważność zgody wyrażonej przez tę osobę zależy między innymi od tego, czy osoba ta uzyskała wcześniej informacje o wszystkich okolicznościach związanych z przetwarzaniem rozpatrywanych danych, do których miała ona prawo na podstawie art. 15 rozporządzenia 2018/1725 i które umożliwiają jej wyrażenie zgody z pełną znajomością rzeczy. Obowiązek podania osobie, której dane dotyczą – w chwili zbierania związanych z nią danych osobowych – informacji o ewentualnych odbiorcach tych danych ma w szczególności na celu umożliwienie tej osobie podjęcia świadomej decyzji, czy podać swoje dane osobowe zbierane od niej, czy też przeciwnie – odmówić ich podania.
Trybunał dodał, że oprócz tego, że obowiązek podania informacji o odbiorcach danych w momencie zbierania danych osobowych jest niezbędny do tego, aby osoba, której dane dotyczą, mogła później bronić swoich praw względem tych odbiorców, to obowiązek ten gwarantuje w szczególności, że dane te nie zostaną zebrane przez administratora danych wbrew woli osoby, której dane dotyczą, ani wbrew jej woli przekazane osobom trzecim.
Wynika stąd, że obowiązek podania informacji wpisuje się w stosunek prawny istniejący między osobą, której dane dotyczą, a administratorem i w związku z tym jego przedmiotem są informacje związane z tą osobą, jakie zostały przekazane temu administratorowi, a zatem poprzedza jakiekolwiek ewentualne przekazanie ich osobie trzeciej.
W związku z tym Trybunał uznał, że do celów stosowania obowiązku podania informacji przewidzianego w rozporządzeniu 2018/1725 możliwość zidentyfikowania osoby, której dane dotyczą, należy oceniać w momencie zbierania danych i z punktu widzenia administratora. Tym samym, spoczywający na SRB obowiązek podania informacji miał zastosowanie przed przekazaniem rozpatrywanych uwag i niezależnie od tego, czy z punktu widzenia Deloitte miały one osobisty charakter po ich ewentualnej pseudonimizacji.
(
1
)	Wyrok Sądu z dnia 26 kwietnia 2023 r., SRB/EIOD (T‑557/20, zwany dalej zaskarżonym wyrokiem, EU:T:2023:219).
(
2
)	Wycena przewidziana w art. 20 ust. 16–18 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 806/2014 z dnia 15 lipca 2014 r. ustanawiającego jednolite zasady i jednolitą procedurę restrukturyzacji i uporządkowanej likwidacji instytucji kredytowych i niektórych firm inwestycyjnych w ramach jednolitego mechanizmu restrukturyzacji i uporządkowanej likwidacji oraz jednolitego funduszu restrukturyzacji i uporządkowanej likwidacji oraz zmieniającego rozporządzenie (UE) nr 1093/2010 (Dz.U. 2014, L 225, s. 1).
(
3
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz.U. 2018, L 295, s. 39).
(
4
)	Pojęcie w rozumieniu art. 3 pkt 13 rozporządzenia nr 2018/1725.
(
5
)	Artykuł 15 ust. 1 lit. a) rozporządzenia nr 2018/1725.
(
6
)	Wyroki: z dnia 20 grudnia 2017 r., Nowak (C‑434/16, EU:C:2017:994, pkt 35); z dnia 7 marca 2024 r., OC/Komisja (C‑479/22 P, EU:C:2024:215, pkt 45); z dnia 7 marca 2024 r., IAB Europe (C‑64/22, EU:C:2024:214, pkt 37 i przytoczone tam orzecznictwo).
(
7
)	Wykładnia potwierdzona orzecznictwem wynikającym z wyroku z dnia 20 grudnia 2017 r., Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Artykuł 3 pkt 1 i 6 rozporządzenia 2018/1725.
(
9
)	Artykuł 3 pkt 6 rozporządzenia 2018/1725 wymaga osobnego przechowywania informacji identyfikacyjnych oraz wprowadzenia środków technicznych i organizacyjnych „uniemożliwiających ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”.
(
10
)	Wyrok z dnia 7 marca 2024 r., OC/Komisja (C‑479/22 P, EU:C:2024:215, pkt 52–64).
(
11
)	Wyrok z dnia 7 marca 2024 r., OC/Komisja (C‑479/22 P, EU:C:2024:215, pkt 51 i przytoczone tam orzecznictwo).
(
12
)	Wyroki: z dnia 19 października 2016 r., Breyer (C‑582/14, EU:C:2016:779, pkt 44, 47, 48); z dnia 7 marca 2024 r., IAB Europe (C‑604/22, EU:C:2024:214, pkt 43, 48).
(
13
)	Wyrok z dnia 9 listopada 2023 r., Gesamtverband Autoteile-Handel (Dostęp do informacji o pojazdach) (C‑319/22, EU:C:2023:837, pkt 46, 49).
(
14
)	Orzecznictwo przywołane w przypisach 10–12 niniejszego streszczenia.