62023CJ0413_RES
Cauza C‑413/23 P
Autoritatea Europeană pentru Protecția Datelor
împotriva
Comitetului unic de rezoluție
Hotărârea Curții (Camera întâi) din 4 septembrie 2025
„Recurs – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Procedură de compensare a acționarilor și a creditorilor unei instituții bancare în urma rezoluției acesteia – Decizia Autorității Europene pentru Protecția Datelor prin care se constată încălcarea de către Comitetul unic de rezoluție a obligațiilor sale referitoare la prelucrarea datelor cu caracter personal – Regulamentul (UE) 2018/1725 – Articolul 15 alineatul (1) litera (d) – Obligația de informare a persoanei vizate – Transmiterea de date pseudonimizate către o parte terță – Articolul 3 punctul 1 – Noțiunea de «date cu caracter personal» – Articolul 3 punctul 6 – Noțiunea de «pseudonimizare»”
Instituții ale Uniunii Europene – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2018/1725 – Noțiunea de date cu caracter personal – Orice informație privind o persoană fizică identificată sau identificabilă – Procedură referitoare la dreptul de a fi ascultat lansată de Comitetul unic de rezoluție (SRB) în urma adoptării măsurilor de rezoluție a unei instituții bancare – Comentarii formulate în fața SRB de acționarii și creditorii afectați de aceste măsuri – Comentarii pseudonimizate transmise de SRB unei părți terțe independente în vederea evaluării – Aprecierea caracterului identificabil al persoanelor vizate – Includere – Excepție – Imposibilitatea identificării persoanelor vizate
[Regulamentul 2018/1725 al Parlamentului European și al Consiliului, considerentul (17) și art. 3 pct. 1 și 6]
(a se vedea punctele 54-60, 72-76, 82, 85 și 86)
Instituții ale Uniunii Europene – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2018/1725 – Obligația de informare în cazul colectării de date personale de la persoana vizată – Procedură referitoare la dreptul de a fi ascultat lansată de Comitetul unic de rezoluție (SRB) în urma adoptării măsurilor de rezoluție a unei instituții bancare – Comentarii formulate în fața SRB de acționarii și creditorii afectați de aceste măsuri – Comentarii pseudonimizate transmise de SRB unei părți terțe independente în vederea evaluării – Obligația de informare cu privire la destinatarii datelor personale colectate ce revine SRB înaintea transferului comentariilor menționate – Aprecierea caracterului identificabil al persoanelor vizate la momentul colectării datelor și din punctul de vedere al operatorului
[Regulamentul 2018/1725 al Parlamentului European și al Consiliului, art. 15 alin. (1) lit. (d)]
(a se vedea punctele 103, 106, 108-112 și 115)
Rezumat
Sesizată cu un recurs introdus de Autoritatea Europeană pentru Protecția Datelor (AEPD), Curtea a anulat Hotărârea SRB/AEPD (
1
) și a trimis cauza spre rejudecare Tribunalului. Procedând astfel, ea a adus precizări cu privire la noțiunea de „date cu caracter personal” în contextul datelor pseudonimizate, mai precis al informațiilor care trebuie furnizate persoanei vizate atunci când asemenea date sunt transferate unei părți terțe.
În speță, prin decizia din 7 iunie 2017, Comitetul unic de rezoluție (SRB) a supus Banco Popular Español SA (denumită în continuare „Banco Popular”) unei proceduri de rezoluție, aprobată în aceeași zi de Comisia Europeană. La 6 august 2018, SRB a publicat pe site‑ul său internet avizul referitor la decizia sa preliminară privind necesitatea de a acorda sau nu o compensație acționarilor și creditorilor afectați de rezoluția acestei instituții. Pentru a fi în măsură să ia o decizie finală cu privire la acest aspect, el a precizat în decizia sa preliminară că trebuie organizată o procedură care să permită persoanelor interesate să își exercite dreptul de a fi ascultate. Au fost colectate date ale acționarilor și ale creditorilor participanți, printre care figurau cele referitoare la identitatea lor, precum și la dovada proprietății asupra instrumentelor de capital ale Banco Popular. Odată ce statutul lor a fost verificat de SRB cu ajutorul datelor colectate, aceste persoane au prezentat comentarii cu privire la decizia preliminară. Unele dintre acestea, sub formă de date pseudonimizate, au fost transferate către Deloitte, societate de audit și de consultanță însărcinată de SRB cu efectuarea unei evaluări a efectelor unei proceduri de rezoluție asupra acționarilor și creditorilor (
2
).
În 2019, mai mulți acționari și creditori afectați au transmis AEPD cinci plângeri în temeiul Regulamentului 2018/1725 (
3
), pentru motivul că SRB nu îi informase că datele colectate care îi privesc urmează să fie transmise unor părți terțe.
AEPD a admis plângerile și a adoptat o decizie inițială care, în urma unei cereri de reexaminare din partea SRB, a fost abrogată și înlocuită cu o decizie revizuită. În aceasta, ea a apreciat că în speță Deloitte este un destinatar al datelor cu caracter personal ale reclamanților (
4
). În plus, aceasta a constatat că SRB a încălcat obligația de informare prevăzută de Regulamentul 2018/1725 (
5
). Mai precis, aceasta i‑a reproșat că nu a menționat în declarația de confidențialitate privind prelucrarea datelor cu caracter personal intervenită în cursul procedurii referitoare la dreptul de a fi ascultat că Deloitte era un destinatar potențial al datelor cu caracter personal colectate și prelucrate de SRB.
În aceste condiții, SRB a introdus la Tribunal o acțiune având ca obiect în special anularea deciziei revizuite a AEPD. Tribunalul a admis în parte această acțiune și a anulat decizia menționată.
Aprecierea Curții
În hotărârea sa, Curtea se pronunță cu privire la condițiile, examinate în hotărârea atacată, în care datele pot fi calificate drept date cu caracter personal.
În primul rând, aceasta consideră că Tribunalul a săvârșit o eroare de drept atunci când a statuat că, pentru a concluziona că informațiile care reies din comentariile transmise Deloitte „privesc”, în sensul articolului 3 punctul 1 din Regulamentul 2018/1725, persoanele care au depus aceste comentarii, AEPD ar fi trebuit să examineze conținutul, scopul sau efectele comentariilor menționate, din moment ce era cert că acestea exprimă opinia sau punctul de vedere personal al autorilor lor.
În această privință, Curtea amintește jurisprudența sa potrivit căreia o informație privește o persoană fizică identificată sau identificabilă atunci când, ca urmare a conținutului, a scopului sau a efectului său, informația este legată de o persoană identificabilă (
6
). Așadar, o examinare privind conținutul unei informații nu trebuie în mod necesar să fie completată cu o analiză a scopului și a efectelor acestei informații, astfel cum indică utilizarea conjuncției „sau” care leagă diferitele criterii vizate de această jurisprudență.
Curtea subliniază că interpretarea Tribunalului potrivit căreia AEPD nu putea califica informațiile care reies din comentariile transmise Deloitte drept date cu caracter personal numai în temeiul constatării că este vorba despre opinii sau despre puncte de vedere personale, ci că ar fi trebuit să examineze, în plus, conținutul, scopul și efectul opiniilor astfel exprimate pentru a stabili dacă acestea sunt legate de o anumită persoană nu respectă natura specifică a opiniilor sau a punctelor de vedere personale care, ca expresie a gândirii unei persoane, sunt în mod necesar strâns legate de aceasta din urmă (
7
).
În al doilea rând, Curtea se pronunță cu privire la condiția prevăzută la articolul 3 punctul 1 din Regulamentul 2018/1725, referitoare la caracterul „identificabil” al persoanei fizice vizate, și în special cu privire la argumentația AEPD potrivit căreia trebuie să se considere că datele pseudonimizate constituie, în orice caz și pentru orice persoană, date cu caracter personal.
Curtea consideră că, contrar celor susținute de AEPD, Tribunalul a statuat în mod întemeiat că nu trebuie să se considere că datele pseudonimizate constituie, în orice caz și pentru oricare persoană, date cu caracter personal în scopul aplicării Regulamentului 2018/1725, în măsura în care pseudonimizarea poate, în funcție de împrejurările speței, să împiedice efectiv alte persoane decât operatorul să identifice persoana vizată, astfel încât, pentru ele, aceasta nu este sau nu mai este identificabilă.
Mai întâi, Curtea arată că, în temeiul Regulamentului 2018/1725 (
8
), pseudonimizarea nu constituie un element al definiției „datelor cu caracter personal”, ci se referă la instituirea unor măsuri de natură tehnică și organizatorică prin care se urmărește reducerea riscului de corelare a unui set de date cu identitatea persoanelor vizate.
În continuare, ea precizează că noțiunea de „pseudonimizare” presupune existența unor informații care permit identificarea persoanei vizate. Or, însăși existența unor asemenea informații se opune ca datele care au făcut obiectul unei pseudonimizări să poată fi considerate, în orice caz, date anonime, excluse din domeniul de aplicare al Regulamentului 2018/1725.
În sfârșit, ea subliniază că pseudonimizarea are ca obiectiv în special să evite ca persoana vizată să poată fi identificată numai prin intermediul datelor pseudonimizate (
9
). Astfel, în măsura în care măsurile de natură tehnică și organizatorică necesare pentru o pseudonimizare în sensul Regulamentului 2018/1725 sunt instituite efectiv și sunt de natură să prevină o atribuire a datelor în cauză persoanei vizate, așa încât aceasta să nu fie sau să nu mai fie identificabilă, pseudonimizarea poate avea incidență asupra caracterului personal al acestor date. În această privință, trebuie precizat că, după cum este în mod normal cazul operatorului care a efectuat pseudonimizarea, SRB dispune în speță de informații suplimentare care permit atribuirea comentariilor transmise către Deloitte persoanei vizate. Prin urmare, pentru SRB, aceste comentarii își păstrează, în pofida pseudonimizării, caracterul lor personal. În schimb, în ceea ce privește Deloitte, Curtea a arătat că măsurile de natură tehnică și organizatorică menționate pot avea ca efect faptul că, pentru această societate, comentariile respective nu prezintă un caracter personal. Aceasta presupune totuși, pe de o parte, ca Deloitte să nu fie în măsură să ridice aceste măsuri cu ocazia oricărei prelucrări a comentariilor menționate efectuate sub controlul său și, pe de altă parte, ca măsurile menționate să fie efectiv de natură să împiedice Deloitte să atribuie aceleași comentarii persoanei vizate și prin recurgerea la alte mijloace de identificare, precum o verificare încrucișată cu alte elemente.
Potrivit Curții, atât din considerentul (16) al Regulamentului 2018/1725, cât și din jurisprudența sa rezultă că existența unor informații suplimentare care permit identificarea persoanei vizate nu implică în sine că trebuie să se considere că datele pseudonimizate constituie, în orice caz și în privința oricărei persoane, date cu caracter personal în scopul aplicării Regulamentului 2018/1725. În această privință, ea amintește că, în ceea ce privește un comunicat de presă care conținea un anumit număr de mențiuni referitoare la o persoană fără a o desemna nominal, aceasta nu s‑a limitat la constatarea că organismul Uniunii care a publicat acest comunicat dispune de toate informațiile care permit identificarea acestei persoane, ci a examinat dacă mențiunile care figurează în comunicatul respectiv permit în mod rezonabil publicului interesat să identifice această persoană, în special prin combinarea acestor mențiuni cu informații disponibile pe internet (
10
). În plus, Curtea a statuat deja că un mijloc nu este probabil, în mod rezonabil, să fie utilizat în scopul identificării persoanei vizate atunci când reiese că riscul unei identificări este în realitate nesemnificativ, în sensul că identificarea acestei persoane este interzisă de lege sau nerealizabilă în practică, de exemplu ca urmare a faptului că ar implica un efort disproporționat în termeni de timp, de costuri și de forță de muncă (
11
). În aceeași ordine de idei, aceasta a statuat că datele în sine impersonale colectate și păstrate de operator erau legate totuși de o persoană identificabilă, din moment ce operatorul dispunea de căi legale pentru a obține de la alte persoane informații suplimentare care permit identificarea acestei persoane (
12
). Astfel, potrivit Curții, în asemenea condiții, împrejurarea că informațiile care permit identificarea persoanei vizate se află în posesia unor persoane diferite nu este de natură să împiedice efectiv identificarea sa, așa încât ea să nu fie identificabilă pentru operator.
Mai exact, Curtea amintește că datele care sunt impersonale în sine pot dobândi caracter „personal” atunci când operatorul le pune la dispoziția altor persoane care dispun de mijloace care este probabil, în mod rezonabil, să permită identificarea persoanei vizate (
13
). În contextul unei asemenea puneri la dispoziție, datele menționate prezintă un caracter personal atât pentru aceste persoane, cât și, indirect, pentru operator.
În al treilea rând, Curtea consideră că Tribunalul a săvârșit o eroare de drept atunci când a statuat că, pentru a aprecia dacă SRB și‑a respectat obligația de informare, AEPD ar fi trebuit să examineze dacă comentariile transmise Deloitte constituiau, din punctul de vedere al acesteia din urmă, date cu caracter personal.
Cu titlu introductiv, Curtea arată că, deși Regulamentul 2018/1725 nu precizează în mod expres perspectiva relevantă pentru aprecierea caracterului identificabil al persoanei vizate, din jurisprudență (
14
) reiese că perspectiva relevantă pentru aprecierea caracterului identificabil al persoanei vizate depinde în esență de împrejurările care caracterizează prelucrarea datelor în fiecare caz în parte.
În ceea ce privește în speță obligația de informare referitoare la eventualii destinatari ai datelor cu caracter personal, prevăzută la articolul 15 alineatul (1) litera (d) din Regulamentul 2018/1725, Curtea precizează că este vorba despre o informație care trebuie furnizată printre altele „în momentul obținerii acestor date cu caracter personal”, în momentul colectării datelor de la persoana vizată. Subliniind totodată importanța respectării acestei obligații de informare, Curtea arată că, atunci când colectarea unor asemenea date este, precum în speță, întemeiată pe consimțământul persoanei vizate, validitatea acestuia depinde printre altele de aspectul dacă aceasta a obținut în prealabil informațiile în raport cu toate împrejurările care însoțesc prelucrarea datelor în discuție la care avea dreptul, în temeiul articolului 15 din Regulamentul 2018/1725, și care îi permit să dea un consimțământ în deplină cunoștință de cauză. Obligația de a furniza persoanei vizate – în momentul colectării datelor cu caracter personal în legătură cu aceasta – informația referitoare la eventualii destinatari ai acestor date are în special ca obiectiv să permită acestei persoane să decidă în deplină cunoștință de cauză dacă furnizează sau, dimpotrivă, refuză să furnizeze datele sale cu caracter personal colectate de la aceasta.
Curtea adaugă că, pe lângă caracterul său indispensabil pentru ca persoana vizată să își poată apăra ulterior drepturile împotriva acestor destinatari, obligația de a furniza o astfel de informație la momentul colectării datelor cu caracter personal garantează printre altele că aceste date nu sunt colectate împotriva voinței sale de către operator sau chiar transferate împotriva voinței sale unor părți terțe.
Astfel, obligația de informare se înscrie în raportul juridic existent între persoana vizată și operator și, pentru acest motiv, ea are ca obiect informațiile în legătură cu persoana respectivă, astfel cum au fost transmise acestui operator, așadar, înainte de orice eventual transfer către o parte terță.
Prin urmare, este necesar să se considere că, în scopul aplicării obligației de informare prevăzute la articolul 15 alineatul (1) litera (d) din Regulamentul 2018/1725, natura identificabilă a persoanei vizate trebuie apreciată în momentul colectării datelor și din punctul de vedere al operatorului. Astfel, obligația de informare ce revine SRB se aplica înainte de transferul comentariilor în cauză și independent de caracterul lor personal sau nu din punctul de vedere al Deloitte, după eventuala lor pseudonimizare.
(
1
)	Hotărârea Tribunalului din 26 aprilie 2023, SRB/AEPD (T‑557/20, denumită în continuare hotărârea atacată, EU:T:2023:219).
(
2
)	Evaluare prevăzută la articolul 20 alineatele (16)-(18) din Regulamentul (UE) nr. 806/2014 al Parlamentului European și al Consiliului din 15 iulie 2014 de stabilire a unor norme uniforme și a unei proceduri uniforme de rezoluție a instituțiilor de credit și a anumitor firme de investiții în cadrul unui mecanism unic de rezoluție și al unui fond unic de rezoluție și de modificare a Regulamentului (UE) nr. 1093/2010 (JO 2014, L 225, p. 1).
(
3
)	Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO 2018, L 295, p. 39).
(
4
)	În sensul articolului 3 punctul (13) din Regulamentul 2018/1725.
(
5
)	Articolul 15 alineatul (1) litera (d) din Regulamentul 2018/1725.
(
6
)	Hotărârea din 20 decembrie 2017, Nowak (C‑434/16, EU:C:2017:994, punctul 35), Hotărârea din 7 martie 2024, OC/Comisia (C‑479/22 P, EU:C:2024:215, punctul 45), și Hotărârea din 7 martie 2024, IAB Europe (C‑604/22, EU:C:2024:214, punctul 37 și jurisprudența citată).
(
7
)	Interpretare confirmată de jurisprudența rezultată din Hotărârea din 20 decembrie 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Articolul 3 punctele 1 și 6 din Regulamentul 2018/1725.
(
9
)	Articolul 3 punctul 6 din Regulamentul 2018/1725 impune instituirea unei stocări separate a informațiilor de identificare, precum și a unor măsuri de natură tehnică și organizatorică „care să asigure neatribuirea respectivelor date cu caracter personal unei persoane fizice identificate sau identificabile”.
(
10
)	Hotărârea din 7 martie 2024, OC/Comisia (C‑479/22 P, EU:C:2024:215, punctele 52-64).
(
11
)	Hotărârea din 7 martie 2024, OC/Comisia (C‑479/22 P, EU:C:2024:215, punctul 51 și jurisprudența citată).
(
12
)	Hotărârea din 19 octombrie 2016, Breyer (C‑582/14, EU:C:2016:779, punctele 44, 47 și 48), și Hotărârea din 7 martie 2024, IAB Europe (C‑604/22, EU:C:2024:214, punctele 43 și 48).
(
13
)	Hotărârea din 9 noiembrie 2023, Gesamtverband Autoteile‑Handel (Acces la informațiile privind vehiculele) (C‑319/22, EU:C:2023:837, punctele 46 și 49).
(
14
)	Jurisprudența amintită la notele de subsol 10-12 din prezentul rezumat.