62023CJ0413_RES
Processo C‑413/23 P
Autoridade Europeia para a Proteção de Dados
contra
Conselho Único de Resolução
Acórdão do Tribunal de Justiça (Primeira Secção) de 4 de setembro de 2025
«Recurso de decisão do Tribunal Geral — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Processo de compensação dos acionistas e dos credores de uma instituição de crédito bancária na sequência da sua resolução — Decisão da Autoridade Europeia para a Proteção de Dados que declara a violação por parte do Conselho Único de Resolução das suas obrigações em matéria de tratamento de dados pessoais — Regulamento (UE) 2018/1725 — Artigo 15.o, n.o 1, alínea d) — Obrigação de informação do titular dos dados — Transmissão de dados pseudonimizados a um terceiro — Artigo 3.o, ponto 1 — Conceito de “dados pessoais” — Artigo 3.o, ponto 6 — Conceito de “pseudonimização”»
Instituições da União Europeia — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2018/1725 — Conceito de dados pessoais — Informações relativas a uma pessoa singular identificada ou identificável — Processo relativo ao direito de ser ouvido iniciado pelo Conselho Único de Resolução (CUR), na sequência da adoção de medidas de resolução de uma instituição de crédito — Comentários formulados no CUR pelos acionistas e credores afetados por essas medidas — Comentários pseudonimizados transmitidos pelo CUR a um terceiro independente para efeitos de avaliação — Apreciação do caráter identificável dos titulares dos dados — Inclusão — Exceção — Impossibilidade de identificar os titulares dos dados
(Regulamento 2018/1725 do Parlamento Europeu e do Conselho, considerando 17 e artigo 3.o, pontos 1 e 6)
(cf. n.os 54‑60, 72‑76, 82, 85, 86)
Instituições da União Europeia — Proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais — Regulamento 2018/1725 — Obrigação de informação em caso de recolha de dados pessoais junto do titular dos dados — Processo relativo ao direito de ser ouvido iniciado pelo Conselho Único de Resolução (CUR), na sequência da adoção de medidas de resolução de uma instituição de crédito — Comentários formulados no CUR pelos acionistas e credores afetados por essas medidas — Comentários pseudonimizados transmitidos pelo CUR a um terceiro independente para efeitos de avaliação — Obrigação de informação sobre os destinatários dos dados pessoais recolhidos que incumbe ao CUR antes da transferência dos referidos comentários — Apreciação do caráter identificável do titular dos dados aquando da recolha dos dados e do ponto de vista do responsável pelo tratamento
[Regulamento 2018/1725 do Parlamento Europeu e do Conselho, artigos 15.°, n.o 1, alínea d)]
(cf. n.os 103, 106, 108‑112, 115)
Resumo
Chamado a conhecer de um recurso interposto pela Autoridade Europeia para a Proteção de Dados (AEPD), o Tribunal de Justiça anulou o Acórdão CUR/AEPD (
1
) e remeteu o processo ao Tribunal Geral. Ao fazê‑lo, prestou esclarecimentos sobre o conceito de «dados pessoais», no contexto de dados pseudonimizados e, mais especificamente, da informação a fornecer ao titular dos dados quando esses dados são transferidos para um terceiro.
No caso, por Decisão de 7 de junho de 2017, o Conselho Único de Resolução (CUR) submeteu o Banco Popular Español S.A. (a seguir «Banco Popular») a um procedimento de resolução, aprovado no mesmo dia pela Comissão Europeia. Em 6 de agosto de 2018, o CUR publicou, no seu sítio Internet, o aviso relativo à sua decisão preliminar sobre a eventual necessidade de compensar ou não os acionistas e os credores afetados pela resolução dessa instituição. Para poder tomar uma decisão final sobre este ponto, precisou, na sua decisão preliminar, que tinha que organizar um procedimento que permitisse aos interessados exercer o seu direito de ser ouvido. Foram recolhidos dados dos acionistas e credores que neles participaram, entre os quais figuravam os relativos à sua identidade e à prova da propriedade dos instrumentos de capital do Banco Popular. Uma vez verificado o seu estatuto pelo CUR com base nos dados recolhidos, essas pessoas apresentaram observações sobre a decisão preliminar. Alguns deles, sob a forma de dados pseudonimizados, foram transferidos para a Deloitte, sociedade de auditoria e consultoria encarregada pelo CUR de realizar uma avaliação dos efeitos de um procedimento de resolução sobre os acionistas e credores (
2
).
Em 2019, vários acionistas e credores afetados transmitiram à AEPD cinco reclamações ao abrigo do Regulamento 2018/1725 (
3
), com o fundamento de que o CUR não os tinha informado de que os dados recolhidos a seu respeito seriam transmitidos a terceiros.
A AEPD deu seguimento a este pedido adotando uma decisão inicial que, na sequência de um pedido de revisão pelo CUR, foi revogada e substituída por uma decisão revista. Nesta, considerou que, no caso em apreço, a Deloitte era um destinatário de dados pessoais dos reclamantes (
4
). Além disso, considerou que o CUR tinha violado a obrigação de informação prevista no Regulamento 2018/1725 (
5
). Mais precisamente, acusou‑a de não ter mencionado, na declaração de confidencialidade sobre o tratamento de dados pessoais ocorrido durante o processo relativo ao direito de ser ouvido, que a Deloitte era uma potencial destinatária dos dados pessoais recolhidos e tratados pelo CUR.
O CUR interpôs então um recurso no Tribunal Geral destinado, nomeadamente, a obter a anulação da decisão revista da AEPD. O Tribunal Geral deu provimento parcial a esse recurso e anulou a referida decisão.
Apreciação do Tribunal de Justiça
No seu acórdão, o Tribunal de Justiça pronuncia‑se sobre as condições, examinadas no acórdão recorrido, em que os dados podem ser qualificados de dados pessoais.
Em primeiro lugar, considera que o Tribunal Geral cometeu um erro de direito ao declarar que a AEPD, para concluir que as informações resultantes dos comentários transmitidos à Deloitte eram «relativas», na aceção do artigo 3.o, ponto 1, do Regulamento 2018/1725, às pessoas que apresentaram esses comentários, devia ter examinado o conteúdo, a finalidade ou os efeitos dos referidos comentários, uma vez que era facto assente que estes exprimiam a opinião ou o ponto de vista pessoal dos seus autores.
A este respeito, o Tribunal de Justiça recorda a sua jurisprudência segundo a qual uma informação diz respeito a uma pessoa singular identificada ou identificável quando, devido ao seu conteúdo, à sua finalidade ou ao seu efeito, está relacionada com uma pessoa identificável (
6
). Por conseguinte, um exame sobre o conteúdo de uma informação não tem necessariamente de ser completado por uma análise da finalidade e dos efeitos dessa informação, como indica a utilização da conjunção «ou» que liga os diferentes critérios visados por essa jurisprudência.
O Tribunal de Justiça sublinha que a interpretação do Tribunal Geral, segundo a qual a AEPD não podia qualificar as informações resultantes dos comentários transmitidos à Deloitte de dados pessoais apenas com base na constatação de que se tratava de opiniões ou de pontos de vista pessoais, mas que devia ter examinado, além disso, o conteúdo, a finalidade e o efeito das opiniões assim expressas, para determinar se estas estavam relacionadas com uma determinada pessoa, ignora a natureza particular das opiniões ou dos pontos de vista pessoais que, enquanto expressão do pensamento de uma pessoa, estão necessária e intimamente ligados a esta última (
7
).
Em segundo lugar, o Tribunal de Justiça pronuncia‑se sobre o requisito previsto no artigo 3.o, ponto 1, do Regulamento 2018/1725, relativo ao caráter «identificável» da pessoa singular em causa e, mais especificamente, sobre a argumentação da AEPD segundo a qual se deve considerar que dados pseudonimizados constituem, em todo o caso e para qualquer pessoa, dados pessoais.
O Tribunal de Justiça considera que, contrariamente ao que sustenta a AEPD, o Tribunal Geral declarou com razão que não se deve considerar que os dados pseudonimizados constituem, em todo o caso e para qualquer pessoa, dados pessoais para efeitos da aplicação do Regulamento 2018/1725, visto que a pseudonimização pode, consoante as circunstâncias do caso concreto, impedir efetivamente outras pessoas que não o responsável pelo tratamento de identificar o titular dos dados, de tal modo que, para eles, este não seja ou possa ser identificado.
Antes de mais, o Tribunal de Justiça salienta que, por força do Regulamento 2018/1725 (
8
), a pseudonimização não é constitui um elemento da definição dos «dados pessoais», mas refere‑se ao processo de adoção de medidas técnicas e organizativas destinadas a reduzir o risco de uma correlação de um conjunto de dados com a identidade dos titulares dos dados.
Em seguida, precisa que o conceito de «pseudonimização» pressupõe a existência de informações que permitam identificar o titular dos dados. Ora, a própria existência dessas informações opõe‑se a que dados que foram objeto de pseudonimização possam, em todo o caso, ser considerados dados anónimos, excluídos do âmbito de aplicação do Regulamento 2018/1725.
Por último, sublinha que a pseudonimização tem, nomeadamente, por objetivo evitar que o titular dos dados possa ser identificado apenas através dos dados pseudonimizados (
9
). Com efeito, desde que as medidas técnicas e organizativas exigidas para uma pseudonimização na aceção do Regulamento 2018/1725 sejam efetivamente aplicadas e sejam suscetíveis de prevenir uma atribuição dos dados em causa ao titular dos dados, de tal modo que este não seja ou não possa ser identificável, a pseudonimização pode ter incidência no caráter pessoal desses dados. A este respeito, precisa que, como é normalmente o caso do responsável pelo tratamento que procedeu à pseudonimização, o CUR dispõe, no caso em apreço, de informações suplementares que permitem atribuir os comentários transmitidos à Deloitte ao titular dos dados. Para o CUR, esses comentários mantêm, portanto, apesar da pseudonimização, o seu caráter pessoal. Em contrapartida, no que respeita à Deloitte, o Tribunal de Justiça salientou que as referidas medidas técnicas e organizacionais podem ter por efeito que, para esta sociedade, esses comentários não tenham caráter pessoal. Todavia, isso pressupõe, por um lado, que a Deloitte não esteja em condições de levantar essas medidas durante qualquer tratamento dos referidos comentários efetuado sob o seu controlo e, por outro, que as referidas medidas sejam efetivamente suscetíveis de impedir a Deloitte de atribuir esses mesmos comentários ao titular dos dados também através do recurso a outros meios de identificação, como um cruzamento com outros.
Segundo o Tribunal de Justiça, decorre tanto do considerando 16 do Regulamento 2018/1725 como da sua jurisprudência que a existência de informações suplementares que permitam identificar o titular dos dados não implica, por si só, que se deva considerar que os dados pseudonimizados constituem, em todo o caso e para qualquer pessoa, dados pessoais para efeitos da aplicação do Regulamento 2018/1725. A este respeito, recorda que, no que respeita a um comunicado de imprensa que continha certo número de indicações relativas a uma pessoa sem a designar pelo nome, não se limitou à constatação de que o organismo da União que publicou esse comunicado dispunha de todas as informações que permitiam identificar essa pessoa, mas examinou se as indicações constantes do referido comunicado permitiam razoavelmente ao público em causa identificar essa pessoa, nomeadamente através de uma combinação dessas indicações com informações disponíveis na Internet (
10
). Além disso, declarou que um meio não é suscetível de ser razoavelmente utilizado para identificar o titular dos dados quando o risco de uma identificação parece, na realidade, insignificante, se a identificação dessa pessoa for proibida por lei ou inexequível na prática, por exemplo, devido ao facto de implicar um esforço desmedido em termos de tempo, de custo e de mão de obra (
11
). Na mesma ordem de ideias, declarou que os dados, em si mesmos impessoais, recolhidos e conservados pelo responsável pelo tratamento estavam, ainda assim, relacionados com uma pessoa identificável, uma vez que o responsável pelo tratamento dispunha de vias legais para obter informações suplementares junto de outrem que permitissem identificar essa pessoa (
12
). Com efeito, segundo o Tribunal de Justiça, nessas condições, a circunstância de as informações que permitem identificar o titular dos dados se encontrarem nas mãos de diferentes pessoas não era suscetível de impedir efetivamente a sua identificação, de tal modo que não fosse identificável para o responsável pelo tratamento.
Em especial, o Tribunal de Justiça recorda que dados que são em si mesmos impessoais podem adquirir um caráter «pessoal», quando o responsável pelo tratamento os disponibiliza a outras pessoas que disponham de meios razoavelmente suscetíveis de permitir a identificação do titular dos dados (
13
). No contexto dessa disponibilização, os referidos dados são pessoais tanto para essas pessoas como, indiretamente, para o responsável pelo tratamento.
Em terceiro lugar, o Tribunal de Justiça considera que o Tribunal Geral cometeu um erro de direito ao declarar que, para apreciar se o CUR tinha cumprido a sua obrigação de informação, a AEPD devia ter examinado se os comentários transmitidos à Deloitte constituíam, do ponto de vista desta última, dados pessoais.
A título preliminar, o Tribunal de Justiça salienta que, embora o Regulamento 2018/1725 não indique expressamente a perspetiva pertinente para apreciar o caráter identificável do titular dos dados, resulta da jurisprudência (
14
) que a perspetiva pertinente para apreciar o caráter identificável do titular dos dados depende essencialmente das circunstâncias que caracterizam o tratamento dos dados em cada caso concreto.
No que respeita, no caso em apreço, à obrigação de informação relativa aos eventuais destinatários dos dados pessoais, prevista no artigo 15.o, n.o 1, alínea d), do Regulamento 2018/1725, o Tribunal de Justiça precisa que se trata de uma informação, a ser prestada, nomeadamente, «aquando da recolha dos dados pessoais», aquando da recolha dos dados junto do titular dos dados. Embora sublinhando a importância do cumprimento desta obrigação de informação, o Tribunal de Justiça salienta que, quando da recolha desses dados é, como no caso em apreço, baseada no consentimento do titular dos dados, a sua validade depende, entre outros, da questão de saber se esta obteve previamente as informações à luz de todas as circunstâncias que rodeiam o tratamento dos dados em questão a que tinha direito, ao abrigo do artigo 15.o do Regulamento 2018/1725, e que lhe permitem dar um consentimento com pleno conhecimento de causa. A obrigação de fornecer ao titular dos dados ‑ aquando da recolha dos dados pessoais relacionados com este ‑ a informação relativa aos eventuais destinatários desses dados tem, nomeadamente, por objetivo permitir a essa pessoa decidir com pleno conhecimento de causa se fornece ou, pelo contrário, recusa fornecer os seus dados pessoais recolhidos junto dele.
O Tribunal de Justiça acrescenta que, além do seu caráter indispensável para que o titular dos dados possa, posteriormente, defender os seus direitos contra esses destinatários, a obrigação de fornecer essa informação aquando da recolha dos dados pessoais garante, nomeadamente, que esses dados não sejam recolhidos contra a sua vontade pelo responsável pelo tratamento, ou mesmo transferidos contra a sua vontade para terceiros.
Assim, a obrigação de informação insere‑se na relação jurídica existente entre o titular dos dados e o responsável pelo tratamento e, por isso, tem por objeto as informações relacionadas com essa pessoa tal como foram transmitidas a esse responsável, portanto, antes de qualquer eventual transferência para um terceiro.
Por conseguinte, o Tribunal de Justiça considera que, para efeitos da aplicação da obrigação de informação prevista pelo Regulamento 2018/1725, o caráter identificável do titular dos dados deve ser apreciado aquando da recolha dos dados e do ponto de vista do responsável pelo tratamento. Assim, a obrigação de informação que incumbia ao CUR era aplicável a montante da transferência dos comentários em causa e independentemente do seu caráter pessoal ou não, do ponto de vista da Deloitte, após a sua eventual pseudonimização.
(
1
)	Acórdão do Tribunal Geral de 26 de abril de 2023, CUR/AEPD (T‑557/20, a seguir «acórdão recorrido, EU:T:2023:219).
(
2
)	Avaliação prevista no artigo 20.o, n.os 16 a 18, do Regulamento (UE) n.o 806/2014 do Parlamento Europeu e do Conselho, de 15 de julho de 2014, que estabelece regras e um procedimento uniformes para a resolução de instituições de crédito e de certas empresas de investimento no quadro de um Mecanismo Único de Resolução e de um Fundo Único de Resolução bancária e que altera o Regulamento (UE) n.o 1093/2010 (JO 2014, L 225, p. 1).
(
3
)	Regulamento (UE) 2018/1725 do Parlamento Europeu e do Conselho, de 23 de outubro de 2018, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições e pelos órgãos e organismos da União e à livre circulação desses dados, e que revoga o Regulamento (CE) n.o 45/2001 e a Decisão n.o 1247/2002/CE (JO 2018, L 295, p. 39).
(
4
)	Na aceção do artigo 3.o, ponto 13, do Regulamento 2018/1725.
(
5
)	Artigo 15.o, n.o 1, alínea d), do Regulamento 2018/1725.
(
6
)	Acórdãos de 20 de dezembro de 2017, Nowak (434/16, EU:C:2017:994, n.o 35); de 7 de março de 2024, OC/Comissão (C‑479/22 P, EU:C:2024:215, n.o 45); e de 7 de março de 2024, IAB Europe (C‑604/22, EU:C:2024:214, n.o 37 e jurisprudência referida).
(
7
)	Interpretação corroborada pela jurisprudência resultante do Acórdão de 20 de dezembro de 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Artigo 3.o, pontos 1 e 6, do Regulamento 2018/1725.
(
9
)	O artigo 3.o, ponto 6, do Regulamento 2018/1725 exige o estabelecimento de uma manutenção separada das informações de identificação e de medidas técnicas e organizativas «destinadas a assegurar que os dados pessoais não sejam atribuídos a uma pessoa singular identificada ou identificável».
(
10
)	Acórdão de 7 de março de 2024, OC/Comissão (C‑479/22 P, EU:C:2024:215, n.os 52 a 64).
(
11
)	Acórdão de 7 de março de 2024, OC/Comissão (C‑479/22 P, EU:C:2024:215, n.o 51 e jurisprudência referida).
(
12
)	Acórdãos de 19 de outubro de 2016, Breyer (C‑582/14, EU:C:2016:779, n.os 44, 47 e 48) e de 7 de março de 2024, IAB Europe (C‑604/22, EU:C:2024:214, n.os 43 e 48).
(
13
)	Acórdão de 9 de novembro de 2023, Gesamtverband Autoteile‑Handel (Acesso às informações sobre veículos) (C‑319/22, EU:C:2023:837, n.os 46 e 49)
(
14
)	Jurisprudência recordada nas notas de rodapé 10 a 12 do presente resumo.