62023CJ0413_RES
Kohtuasi C‑413/23 P
Euroopa Andmekaitseinspektor
versus
Ühtne Kriisilahendusnõukogu
Euroopa Kohtu (esimene koda) 4. septembri 2025. aasta otsus
Apellatsioonkaebus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Krediidiasutuse aktsionäridele ja võlausaldajatele hüvitise maksmise menetlus pärast krediidiasutuse kriisilahendust – Euroopa Andmekaitseinspektori otsus, millega tuvastatakse isikuandmete töötlemisega seotud kohustuste rikkumine Ühtse Kriisilahendusnõukogu poolt – Määrus (EL) 2018/1725 – Artikli 15 lõike 1 punkt d – Kohustus teavitada andmesubjekti – Pseudonümiseeritud andmete edastamine kolmandale isikule – Artikli 3 punkt 1 – Mõiste „isikuandmed“ – Artikli 3 punkt 6 – Mõiste „pseudonümiseerimine“
Euroopa Liidu institutsioonid – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2018/1725 – Mõiste „isikuandmed“ – Igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta – Arvamuse avaldamise menetlus, mille Ühtne Kriisilahendusnõukogu (SRB) on algatanud pärast krediidiasutuse kriisilahenduse meetmete võtmist – Kommentaarid, mille on kriisilahendusnõukogule esitanud aktsionärid ja võlausaldajad, keda need meetmed mõjutavad – Pseudonümiseeritud kommentaarid, mille kriisilahendusnõukogu edastas sõltumatule kolmandale isikule hindamiseks – Andmesubjektide tuvastatavuse hindamine – Hõlmamine – Erand – Andmesubjektide tuvastamise võimatus
(Euroopa Parlamendi ja nõukogu määrus 2018/1725, põhjendus 17 ja artikli 3 punktid 1 ja 6)
(vt punktid 54–60, 72–76, 82, 85 ja 86)
Euroopa Liidu institutsioonid – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2018/1725 – Teavitamiskohustus, kui isikuandmed on kogutud andmesubjektilt – Arvamuse avaldamise menetlus, mille Ühtne Kriisilahendusnõukogu (SRB) on algatanud pärast krediidiasutuse kriisilahenduse meetmete võtmist – Kommentaarid, mille on kriisilahendusnõukogule esitanud aktsionärid ja võlausaldajad, keda need meetmed mõjutavad – Pseudonümiseeritud kommentaarid, mille kriisilahendusnõukogu edastas sõltumatule kolmandale isikule hindamiseks – Kriisilahendusnõukogul lasuv kohustus anda teavet kogutud isikuandmete vastuvõtjate kohta enne kõnealuste kommentaaride edastamist – Andmesubjekti tuvastatavuse hindamine andmete kogumise hetkel ja vastutava töötleja seisukohast
(Euroopa Parlamendi ja nõukogu määrus 2018/1725, artikli 15 lõike 1 punkt d)
(vt punktid 103, 106, 108–112 ja 115)
Kokkuvõte
Euroopa Andmekaitseinspektori (edaspidi „andmekaitseinspektor“) apellatsioonkaebuse saanud Euroopa Kohus tühistas kohtuotsuse SRB vs. andmekaitseinspektor (
1
) ja saatis asja tagasi Üldkohtusse. Seejuures täpsustas ta mõistet „isikuandmed“ pseudonümiseeritud andmete kontekstis ja täpsemalt teavet, mis tuleb anda andmesubjektile, kui sellised andmed edastatakse kolmandale isikule.
Käsitletaval juhul algatas Ühtne Kriisilahendusnõukogu (edaspidi „kriisilahendusnõukogu“) 7. juuni 2017. aasta otsusega Banco Popular Español SA (edaspidi „Banco Popular“) suhtes kriisilahendusmenetluse, mille Euroopa Komisjon samal päeval heaks kiitis. Kriisilahendusnõukogu avaldas 6. augustil 2018 oma veebisaidil teate oma eelotsuse kohta küsimuses, kas on vaja anda hüvitist aktsionäridele ja võlausaldajatele, keda selle krediidiasutuse kriisilahendus mõjutab. Ta täpsustas oma eelotsuses, et selles küsimuses lõpliku otsuse tegemiseks tuleb korraldada menetlus, mis võimaldab huvitatud isikutel kasutada oma õigust olla ära kuulatud. Menetluses osalenud aktsionäridelt ja võlausaldajatelt koguti andmeid, sealhulgas andmeid, mis puudutasid nende isikut ning tõendeid Banco Populari kapitaliinstrumentide omandiõiguse kohta. Pärast seda, kui kriisilahendusnõukogu oli neid isikuid kogutud andmete põhjal kontrollinud, esitasid nad kommentaarid eelotsuse kohta. Osa neist edastati pseudonümiseeritud andmete kujul audiitor- ja konsultatsiooniettevõtjale Deloitte’ile, kellele kriisilahendusnõukogu oli teinud ülesandeks hinnata kriisilahendusmenetluse mõju aktsionäridele ja võlausaldajatele (
2
).
Mitu mõjutatud aktsionäri ja võlausaldajat saatsid 2019. aastal andmekaitseinspektorile määruse 2018/1725 (
3
) alusel viis kaebust, kuna kriisilahendusnõukogu ei olnud neid teavitanud sellest, et nende kohta kogutud andmed edastatakse kolmandatele isikutele.
Andmekaitseinspektor reageeris sellele ja võttis vastu algse otsuse, mis pärast seda, kui kriisilahendusnõukogu oli esitanud läbivaatamistaotluse, tunnistati kehtetuks ja asendati muudetud otsusega. Selles otsuses leidis andmekaitseinspektor, et Deloitte oli kaebajate isikuandmete vastuvõtja (
4
). Lisaks tuvastas ta, et kriisilahendusnõukogu rikkus määruses 2018/1725 (
5
) ette nähtud teavitamiskohustust. Täpsemalt heitis ta kriisilahendusnõukogule ette, et viimane ei maininud konfidentsiaalsusdeklaratsioonis isikuandmete töötlemise kohta, mis toimus arvamuse avaldamise menetluses, et kriisilahendusnõukogu kogutud ja töödeldud isikuandmete võimalik vastuvõtja oli Deloitte.
Kriisilahendusnõukogu esitas seepeale hagi Üldkohtule, milles palus tühistada andmekaitseinspektori muudetud otsus. Üldkohus rahuldas hagi osaliselt ja tühistas nimetatud otsuse.
Euroopa Kohtu hinnang
Euroopa Kohus võttis oma otsuses seisukoha vaidlustatud kohtuotsuses analüüsitud küsimuses, millistel tingimustel võivad andmed olla isikuandmed.
Esiteks sedastas ta, et Üldkohus rikkus õigusnormi, kui ta otsustas, et järeldamaks, et Deloitte’ile edastatud kommentaaridest nähtuv teave oli määruse 2018/1725 artikli 3 punkti 1 tähenduses teave kommentaare esitanud isikute „kohta“, oleks andmekaitseinspektor pidanud analüüsima nende kommentaaride sisu, eesmärki või toimet, kuna oli selge, et need väljendasid kommentaaride esitajate isiklikku arvamust või seisukohta.
Siinkohal tuletas Euroopa Kohus meelde oma kohtupraktikat, mille kohaselt puudutab teave tuvastatud või tuvastatavat füüsilist isikut, kui see on oma sisu, eesmärgi või toime tõttu seotud tuvastatava isikuga (
6
). Seetõttu ei pea lisaks teabe sisu analüüsimisele tingimata analüüsima selle teabe eesmärki ja toimet, nagu näitab selles kohtupraktikas viidatud erinevaid kriteeriume ühendava sidesõna „või“ kasutamine.
Euroopa Kohus rõhutas, et Üldkohtu tõlgendus, mille kohaselt andmekaitseinspektor ei saanud Deloitte’ile edastatud kommentaaridest nähtuvat teavet kvalifitseerida isikuandmeteks üksnes selle põhjal, et tegemist oli isiklike arvamuste või seisukohtadega, vaid ta oleks pidanud lisaks analüüsima selliselt väljendatud arvamuste sisu, eesmärki ja toimet, et teha kindlaks, kas need on seotud konkreetse isikuga, eirab isiklike arvamuste või seisukohtade erilist laadi, kuivõrd need on isiku mõtte väljendusena tingimata selle isikuga tihedalt seotud (
7
).
Teiseks selgitas Euroopa Kohus määruse 2018/1725 artikli 3 punktis 1 sätestatud asjaomase füüsilise isiku „tuvastatavuse“ tingimust, analüüsides lähemalt andmekaitseinspektori argumenti, mille kohaselt pseudonümiseeritud andmeid tuleb igal juhul ja iga isiku jaoks pidada isikuandmeteks.
Euroopa Kohus asus seisukohale, et vastupidi sellele, mida väidab andmekaitseinspektor, otsustas Üldkohus õigesti, et pseudonümiseeritud andmeid ei tule pidada määruse 2018/1725 kohaldamisel igal juhul ja iga isiku jaoks isikuandmeteks, kuna pseudonümiseerimine võib olenevalt juhtumi asjaoludest tõepoolest takistada teistel isikutel peale vastutava töötleja andmesubjekti tuvastada, nii et neil ei ole võimalik või ei ole enam võimalik andmesubjekti tuvastada.
Euroopa Kohus märkis kõigepealt, et määruse 2018/1725 (
8
) kohaselt ei ole pseudonümiseerimine „isikuandmete“ määratluse osa, vaid see viitab selliste tehniliste ja korralduslike meetmete võtmisele, mille eesmärk on vähendada ohtu, et andmekogum seostatakse andmesubjektide isikuga.
Järgmiseks täpsustas Euroopa Kohus, et mõiste „pseudonümiseerimine“ eeldab sellise teabe olemasolu, mis võimaldab andmesubjekti tuvastada. Ent juba sellise teabe olemasolu välistab selle, et pseudonümiseeritud andmeid võiks igal juhul pidada anonüümseteks andmeteks, mis on määruse 2018/1725 kohaldamisalast välja jäetud.
Lõpuks rõhutas ta, et pseudonümiseerimise eesmärk on eelkõige vältida seda, et andmesubjekti saaks tuvastada üksnes pseudonümiseeritud andmete põhjal (
9
). Nimelt juhul, kui määruses 2018/1725 sätestatud pseudonümiseerimiseks nõutavad tehnilised ja korralduslikud meetmed on tõepoolest võetud ja kui need hoiavad ära kõnealuste andmete seostamise andmesubjektiga, nii et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada, võib pseudonümiseerimine mõjutada seda, kas tegemist on isikuandmetega. Sellega seoses selgitas Euroopa Kohus, et nagu tavaliselt pseudonümiseerimise läbi viinud vastutava töötleja puhul, on kriisilahendusnõukogul käsitletaval juhul täiendav teave, mis võimaldab seostada Deloitte’ile edastatud kommentaare andmesubjektiga. Kriisilahendusnõukogu jaoks jäävad need kommentaarid pseudonümiseerimisest hoolimata seega isikuandmeteks. Deloitte’i kohta märkis Euroopa Kohus seevastu, et tehnilised ja korralduslikud meetmed võivad tuua kaasa selle, et selle äriühingu jaoks ei ole kõnealused kommentaarid isikuandmed. See eeldab siiski ühelt poolt, et Deloitte ei saa neid meetmeid tema kontrolli all toimuval kommentaaride mis tahes töötlemisel kõrvaldada, ja teiselt poolt, et need meetmed võivad tõepoolest takistada Deloitte’il neid kommentaare andmesubjektiga seostamast ka muude identifitseerimisvahendite abil, nagu kattumine teiste andmetega.
Euroopa Kohtu hinnangul tuleneb nii määruse 2018/1725 põhjendusest 16 kui ka tema kohtupraktikast, et andmesubjekti tuvastamist võimaldava täiendava teabe olemasolu ei tähenda iseenesest, et pseudonümiseeritud andmeid tuleb määruse 2018/1725 kohaldamisel igal juhul ja iga isiku jaoks pidada isikuandmeteks. Siinkohal tuletas Euroopa Kohus meelde, et seoses pressiteatega, mis sisaldas teatud hulka andmeid isiku kohta ilma teda nimeliselt nimetamata, ei piirdunud ta tõdemusega, et pressiteate avaldanud liidu asutusel oli kogu teave, mis võimaldas seda isikut tuvastada, vaid analüüsis, kas pressiteates sisaldunud andmed võimaldasid asjaomasel üldsusel mõistlikult selle isiku tuvastada, eelkõige kombineerides neid andmeid internetis kättesaadava teabega (
10
). Lisaks leidis Euroopa Kohus, et andmesubjekti tuvastamiseks ei saa mõistliku tõenäosusega vahendeid kasutada, kui isiku tuvastamise oht näib tegelikkuses vähetähtis, kuna selle isiku tuvastamine on seadusega keelatud või praktikas teostamatu, näiteks seetõttu, et see nõuaks nii ajaliselt, majanduslikult kui ka inimressursside poolest ülemäärast jõupingutust (
11
). Samamoodi asus Euroopa Kohus seisukohale, et andmed, mis iseenesest ei ole isikuandmed, mida vastutav töötleja kogub ja säilitab, on siiski seotud tuvastatava isikuga, kui vastutaval töötlejal on seaduslikud võimalused saada teistelt isikutelt täiendavat teavet, mis võimaldab selle isiku tuvastada (
12
). Nimelt ei takistanud Euroopa Kohtu hinnangul sellistel asjaoludel see, et teave, mis võimaldas andmesubjekti tuvastada, oli eri isikute valduses, tegelikult tema tuvastamist sellisel viisil, et ta oleks vastutava töötleja jaoks olnud tuvastamatu.
Eelkõige märkis Euroopa Kohus, et andmed, mis iseenesest ei ole isikuandmed, võivad muutuda „isikuandmeteks“, kui vastutav töötleja teeb need kättesaadavaks teistele isikutele, kelle käsutuses on vahendid, mis mõistlikult tõenäoliselt võimaldavad andmesubjekti tuvastada (
13
). Sellise kättesaadavaks tegemise kontekstis on need andmed isikuandmed nii nende isikute kui kaudselt ka vastutava töötleja jaoks.
Kolmandaks asus Euroopa Kohus seisukohale, et Üldkohus rikkus õigusnormi, kui ta otsustas, et selleks, et hinnata, kas kriisilahendusnõukogu täitis teavitamiskohustust, oleks andmekaitseinspektor pidanud analüüsima, kas Deloitte’ile edastatud kommentaarid olid viimase seisukohast isikuandmed.
Euroopa Kohus märkis kõigepealt, et kuigi määruses 2018/1725 ei ole andmesubjekti tuvastatavuse hindamisel asjakohast vaatepunkti täpsustatud, tuleneb kohtupraktikast (
14
), et andmesubjekti tuvastatavuse hindamisel sõltub asjakohane vaatepunkt peamiselt igal konkreetsel juhul andmete töötlemist iseloomustavatest asjaoludest.
Käsitletaval juhul isikuandmete võimalikke vastuvõtjaid puudutava teabe edastamise kohustuse osas, millele on viidatud määruse 2018/1725 artikli 15 lõike 1 punktis d, selgitas Euroopa Kohus, et tegemist on teabega, mis muu teabe hulgas tuleb esitada andmesubjektilt andmete kogumisel „isikuandmete saamise ajal“. Rõhutades selle kohustuse olulisust, märkis Euroopa Kohus, et kui andmesubjektilt selliste andmete kogumine põhineb andmesubjekti nõusolekul, nagu käsitletaval juhul, sõltub tema antud nõusoleku kehtivus muu hulgas sellest, kas ta on enne saanud kõigi kõnealuste andmete töötlemisega seotud asjaolude kohta teabe, millele tal oli määruse 2018/1725 artikli 15 alusel õigus ja mis võimaldab tal anda nõusoleku kõiki asjaolusid teades. Kohustus anda andmesubjektile temaga seotud isikuandmete kogumise ajal teavet nende andmete võimalike vastuvõtjate kohta on mõeldud eelkõige selleks, et võimaldada andmesubjektil kõiki asjaolusid teades otsustada, kas ta esitab temalt kogutavad isikuandmed või hoopis keeldub neid esitamast.
Euroopa Kohus täpsustas, et lisaks sellele, et kohustus esitada kõnealune teave isikuandmete kogumise ajal on tingimata vajalik selleks, et andmesubjekt saaks hiljem oma õigusi nende vastuvõtjate suhtes kaitsta, tagab see kohustus eelkõige selle, et vastutav töötleja ei koguks neid andmeid andmesubjekti tahte vastaselt ega ka ei edastaks neid tema tahte vastaselt kolmandatele isikutele.
Teavitamiskohustus on seega osa andmesubjekti ja vastutava töötleja vahelisest õigussuhtest ning selle ese on seetõttu andmesubjektiga seotud teave, nagu see on edastatud vastutavale töötlejale, niisiis enne igasugust võimalikku edastamist kolmandale isikule.
Seega asus Euroopa Kohus seisukohale, et määruses 2018/1725 ette nähtud teavitamiskohustuse kohaldamiseks tuleb andmesubjekti tuvastatavust hinnata andmete kogumise hetkel ja vastutava töötleja seisukohast. Niisiis kehtis kriisilahendusnõukogul lasuv teavitamiskohustus enne kõnealuste kommentaaride edastamist ja sõltumata sellest, kas need on Deloitte’i seisukohast pärast nende võimalikku pseudonümiseerimist isikuandmed või mitte.
(
1
)	Üldkohtu 26. aprilli 2023. aasta kohtuotsus SRB vs. andmekaitseinspektor (T‑557/20, EU:T:2023:219; edaspidi „vaidlustatud kohtuotsus“).
(
2
)	Euroopa Parlamendi ja nõukogu 15. juuli 2014. aasta määruse (EL) nr 806/2014, millega kehtestatakse ühtsed eeskirjad ja ühtne menetlus krediidiasutuste ja teatavate investeerimisühingute kriisilahenduseks ühtse kriisilahenduskorra ja ühtse kriisilahendusfondi raames ning millega muudetakse määrust (EL) nr 1093/2010 (ELT 2014, L 225, lk 1), artikli 20 lõigetes 16–18 ette nähtud hindamine.
(
3
)	Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määrus (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT 2018, L 295, lk 39).
(
4
)	Määruse 2018/1725 artikli 3 punkti 13 tähenduses.
(
5
)	Määruse 2018/1725 artikli 15 lõike 1 punkt d.
(
6
)	20. detsembri 2017. aasta kohtuotsus Nowak (C‑434/16, EU:C:2017:994, punkt 35); 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon (C‑479/22 P, EU:C:2024:215, punkt 45), ja 7. märtsi 2024. aasta kohtuotsus IAB Europe (C‑604/22, EU:C:2024:214, punkt 37 ja seal viidatud kohtupraktika).
(
7
)	Tõlgendust kinnitab kohtupraktika, mis tuleneb 20. detsembri 2017. aasta kohtuotsusest Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Määruse 2018/1725 artikli 3 punktid 1 ja 6.
(
9
)	Määruse 2018/1725 artikli 3 punkt 6 nõuab, et tuvastamist võimaldavaid andmeid hoitakse eraldi ja „andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks“ võetakse tehnilisi ja korralduslikke meetmeid.
(
10
)	7. märtsi 2024. aasta kohtuotsus OC vs. komisjon (C‑479/22 P, EU:C:2024:215, punktid 52–64).
(
11
)	7. märtsi 2024. aasta kohtuotsus OC vs. komisjon (C‑479/22 P, EU:C:2024:215, punkt 51 ja seal viidatud kohtupraktika).
(
12
)	19. oktoobri 2016. aasta kohtuotsus Breyer (C‑582/14, EU:C:2016:779, punktid 44, 47 ja 48) ning 7. märtsi 2024. aasta kohtuotsus IAB Europe (C‑604/22, EU:C:2024:214, punktid 43 ja 48).
(
13
)	9. novembri 2023. aasta kohtuotsus Gesamtverband Autoteile-Handel (sõidukiandmete kättesaadavus) (C‑319/22, EU:C:2023:837, punktid 46 ja 49).
(
14
)	Käesoleva kokkuvõtte 10.–12. joonealuses märkuses viidatud kohtupraktika.