62023CJ0413_RES
Věc C‑413/23 P
Evropský inspektor ochrany údajů
v.
Jednotný výbor pro řešení krizí
Rozsudek Soudního dvora (prvního senátu) ze dne 4. září 2025
„Kasační opravný prostředek – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Postup odškodnění akcionářů a věřitelů ze strany bankovní instituce v návaznosti na řešení její krize – Rozhodnutí Evropského inspektora ochrany údajů o porušení povinností týkajících se zpracování osobních údajů Jednotným výborem pro řešení krizí – Nařízení (EU) 2018/1725 – Článek 15 odst. 1 písm. d) – Povinnost informovat subjekt údajů – Předávání pseudonymizovaných údajů třetí straně – Článek 3 bod 1 – Pojem ‚osobní údaje‘ – Článek 3 bod 6 – Pojem ‚pseudonymizace‘ “
Orgány Evropské unie – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2018/1725 – Pojem „osobní údaje“ – Veškeré informace o identifikované nebo identifikovatelné fyzické osobě – Postup týkající se práva být vyslechnut, který zahájil Jednotný výbor pro řešení krizí (SRB) v návaznosti na přijetí opatření k řešení krize bankovní instituce – Připomínky, které SRB předložili akcionáři a věřitelé dotčení těmito opatřeními – Pseudonymizované připomínky předané SRB nezávislé třetí straně pro účely posouzení – Posouzení identifikovatelnosti subjektů údajů – Zahrnutí – Výjimka – Nemožnost identifikace subjektů údajů
(Nařízení Evropského parlamentu a Rady 2018/1725, bod 17 odůvodnění a čl. 3 body 1 a 6)
(viz body 54–60, 72–76, 82, 85, 86)
Orgány Evropské unie – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2018/1725 – Informační povinnost v případě shromažďování osobních údajů od subjektu údajů – Postup týkající se práva být vyslechnut, který zahájil Jednotný výbor pro řešení krizí (SRB) v návaznosti na přijetí opatření k řešení krize bankovní instituce – Připomínky, které SRB předložili akcionáři a věřitelé dotčení těmito opatřeními – Pseudonymizované připomínky předané SRB nezávislé třetí straně pro účely posouzení – Povinnost informovat příjemce shromážděných osobních údajů, kterou má SRB před předáním uvedených připomínek – Posouzení identifikovatelnosti subjektů údajů při shromažďování údajů a z hlediska správce
[Nařízení Evropského parlamentu a Rady 2018/1725, čl. 15 odst. 1 písm. d)]
(viz body 103, 106, 108–112, 115)
Shrnutí
Na základě kasačního opravného prostředku podaného Evropským inspektorem ochrany údajů (EIOÚ) zrušil Soudní dvůr rozsudek SRB v. EIOÚ (
1
) a vrátil věc Tribunálu. Podal přitom vysvětlení k pojmu „osobní údaje“ v souvislosti s pseudonymizovanými údaji, a konkrétně k informacím, které mají být subjektu údajů poskytnuty, pokud jsou takové údaje předávány třetí osobě.
V projednávané věci Jednotný výbor pro řešení krizí (SRB) rozhodnutím ze dne 7. června 2017 zavedl režim řešení krize společnosti Banco Popular Español SA (dále jen „Banco Popular“), který byl téhož dne schválen Evropskou komisí. Dne 6. srpna 2018 zveřejnil SRB na svých internetových stránkách stanovisko týkající se jeho předběžného rozhodnutí o tom, zda je třeba poskytnout odškodnění akcionářům a věřitelům, kterých se dotýkala opatření k řešení krize přijatá ve vztahu k této společnosti. SRB v předběžném rozhodnutí uvedl, že k tomu, aby v tomto smyslu mohl přijmout konečné rozhodnutí, je třeba zorganizovat řízení umožňující zúčastněným vykonat jejich právo být vyslechnuti. Byly shromážděny údaje dotčených akcionářů a věřitelů, včetně údajů o jejich totožnosti, jakož i důkazu o vlastnictví kapitálových nástrojů společnosti Banco Popular. Poté, co SRB ověřil jejich postavení na základě shromážděných údajů, předložily tyto osoby připomínky k předběžnému rozhodnutí. Některé z nich byly ve formě pseudonymizovaných údajů předány společnosti Deloitte, auditorské a poradenské společnosti, kterou SRB pověřil provedením ocenění dopadů postupu řešení krize na akcionáře a věřitele (
2
).
V roce 2019 zaslalo několik dotčených akcionářů a věřitelů EIOÚ pět stížností podle nařízení 2018/1725 (
3
) z důvodu, že je SRB neinformoval o tom, že shromážděné údaje, které se jich týkají, budou předány třetím osobám.
EIOÚ na ně zareagoval přijetím původního rozhodnutí, které bylo poté, co SRB požádal o přezkum, zrušeno a nahrazeno revidovaným rozhodnutím. V revidovaném rozhodnutí měl EIOÚ za to, že v projednávané věci je společnost Deloitte příjemcem osobních údajů stěžovatelů (
4
). Kromě toho konstatoval, že SRB porušil informační povinnost stanovenou v nařízení 2018/1725 (
5
). EIOÚ konkrétně vytkl SRB, že nezmínil v prohlášení o ochraně osobních údajů, ke kterému došlo v průběhu řízení týkajícího se práva být vyslechnut, že společnost Deloitte je potenciálním příjemcem osobních údajů shromážděných a zpracovávaných SRB.
SRB tedy podal žalobu k Tribunálu, kterou se domáhal zejména zrušení revidovaného rozhodnutí EIOÚ. Tribunál této žalobě částečně vyhověl a uvedené rozhodnutí zrušil.
Závěry Soudního dvora
Soudní dvůr se ve svém rozsudku vyjádřil k podmínkám zkoumaným v napadeném rozsudku, za nichž lze údaje kvalifikovat jako osobní údaje.
Na prvním místě má za to, že se Tribunál dopustil nesprávného právního posouzení, když rozhodl, že EIOÚ měl k učinění závěru, že informace vyplývající z připomínek zaslaných společnosti Deloitte jsou informacemi „o“ osobách, které tyto připomínky předložily, ve smyslu čl. 3 bodu 1) nařízení 2018/1725, přezkoumat obsah, účel nebo účinky uvedených připomínek, jelikož je nesporné, že tyto připomínky vyjadřují osobní názor nebo stanovisko jejich autorů.
V této souvislosti Soudní dvůr připomíná svou judikaturu, podle níž jde o informaci o identifikované nebo identifikovatelné fyzické osobě, pokud z důvodu svého obsahu, účelu nebo účinku „souvisí“ s určitou osobou (
6
). Přezkum obsahu informace nemusí být tudíž nutně doplněn analýzou účelu a účinků této informace, jak naznačuje použití spojky „nebo“ spojující jednotlivá kritéria uvedená v této judikatuře.
Soudní dvůr zdůraznil, že výklad Tribunálu, podle kterého EIOÚ nemohl kvalifikovat informace vyplývající z připomínek předaných společnosti Deloitte jako osobní údaje pouze na základě zjištění, že se jedná o osobní názory nebo stanoviska, ale že měl kromě toho zkoumat obsah, účel a účinek takto vyjádřených názorů, aby určil, zda souvisely s určitou osobou, jsou jako projevy myšlení určité osoby nutně úzce spjaty s touto osobou (
7
).
Na druhém místě se Soudní dvůr vyjádřil k podmínce stanovené v čl. 3 bodě 1) nařízení 2018/1725, která se týká „identifikovatelnosti“ dotčené fyzické osoby, a konkrétně k argumentaci EIOÚ, podle které musí být pseudonymizované údaje v každém případě a ve vztahu ke kterékoli osobě považovány za osobní údaje pro každou osobu.
Soudní dvůr má za to, že na rozdíl od toho, co tvrdí EIOÚ, Tribunál právem rozhodl, že pseudonymizované údaje nemusí být v každém případě a ve vztahu ke každé osobě považovány za osobní údaje pro účely použití nařízení 2018/1725, jelikož pseudonymizace může v závislosti na okolnostech projednávané věci účinně zabránit jiným osobám než správci identifikovat subjekt údajů takovým způsobem, že pro ně není nebo již přestal být identifikovatelný.
Soudní dvůr nejprve uvedl, že podle nařízení 2018/1725 (
8
) pseudonymizace nepředstavuje prvek definice „osobních údajů“, ale odkazuje na zavedení technických a organizačních opatření, jejichž cílem je snížit riziko, že soubor údajů bude propojen s totožností subjektů údajů.
Dále Soudní dvůr uvedl, že pojem „pseudonymizace“ předpokládá, že existují informace umožňující identifikovat subjekt údajů. Samotná existence takových informací přitom brání tomu, aby údaje, které byly pseudonymizovány, mohly být v každém případě považovány za anonymní údaje vyloučené z působnosti nařízení 2018/1725.
Konečně Soudní dvůr zdůraznil, že pseudonymizace má zejména za cíl zabránit tomu, aby subjekt údajů mohl být identifikován pouze na základě pseudonymizovaných údajů (
9
). Pokud jsou totiž taková technická a organizační opatření pro pseudonymizaci ve smyslu nařízení 2018/1725 skutečně zavedena a mohou zabránit přiřazení dotčených údajů subjektu údajů způsobem, že tento subjekt není nebo již přestal být identifikovatelným, může mít pseudonymizace dopad na osobní povahu těchto údajů. V tomto ohledu Soudní dvůr upřesnil, stejně jako je tomu obvykle v případě správce, který provedl pseudonymizaci, že SRB měl v projednávané věci k dispozici dodatečné informace, které mu umožňovaly přiřadit připomínky předané společnosti Deloitte subjektu údajů. Podle SRB si tedy tyto připomínky zachovaly navzdory pseudonymizaci osobní povahu. Naproti tomu, pokud jde o společnost Deloitte, Soudní dvůr uvedl, že technická a organizační opatření mohou mít za následek, že tyto připomínky nemají, pokud jde o tuto společnost, osobní povahu. To však předpokládá, že společnost Deloitte není schopna tato opatření obejít při jakémkoli zpracování uvedených připomínek, které probíhá pod jejím dohledem, a uvedená opatření musí být skutečně taková, že společnosti Deloitte brání přidělit tytéž připomínky subjektu údajů i za použití jiných prostředků k identifikaci, jako je křížová kontrola s jinými s informacemi.
Podle Soudního dvora jak z bodu 16 odůvodnění nařízení 2018/1725, tak z jeho judikatury vyplývá, že dodatečné informace umožňující identifikovat subjekt údajů samy o sobě neznamenají, že pseudonymizované údaje musí být v každém případě a ve vztahu ke každé osobě považovány za osobní údaje pro účely použití nařízení 2018/1725. V tomto ohledu Soudní dvůr připomíná, že pokud jde o tiskovou zprávu, která obsahovala několik údajů týkajících se určité osoby, aniž ji jmenovitě označila, se Soudní dvůr neomezil pouze na konstatování, že unijní orgán, který tuto zprávu zveřejnil, měl k dispozici všechny informace umožňující identifikovat tuto osobu, nýbrž zkoumal i to, zda údaje uvedené ve zmíněné zprávě umožnily dotčené veřejnosti rozumně identifikovat tuto osobu, zejména kombinací těchto údajů s informacemi dostupnými na internetu (
10
). Kromě toho Soudní dvůr rozhodl, že určitý prostředek nelze rozumně použít pro identifikaci subjektu údajů, jestliže se riziko identifikace ve skutečnosti jeví bezvýznamné, jelikož identifikace tohoto subjektu je zakázána zákonem nebo prakticky neproveditelná, například z důvodu skutečnosti, že by vyžadovala nepřiměřené úsilí z časového hlediska a z hlediska ekonomických a lidských zdrojů (
11
). Ve stejném duchu Soudní dvůr rozhodl, že údaje samy o sobě neosobní povahy, shromážděné a uchovávané správcem, se přesto vztahují k identifikovatelné osobě vzhledem k tomu, že správce měl k dispozici zákonné prostředky k získání dodatečných informací umožňujících identifikaci této osoby (
12
). Soudní dvůr má za to, že skutečnost, že informace umožňující identifikaci subjektu údajů byly v rukou různých osob, totiž za těchto okolností nemohla účinně zabránit identifikaci subjektu údajů tak, že by pro správce nebyl identifikovatelný.
Konkrétně Soudní dvůr připomněl, že údaje, které jsou samy o sobě neosobní, mohou nabýt „osobní“ povahu, pokud je správce zpřístupní jiným osobám, které disponují prostředky, u nichž lze rozumně předpokládat, že umožní identifikaci subjektu údajů (
13
). V kontextu takového zpřístupnění mají uvedené údaje osobní povahu jak pro tyto jiné osoby, tak nepřímo pro správce.
Na třetím místě má Soudní dvůr za to, že se Tribunál dopustil nesprávného právního posouzení, když rozhodl, že pro účely posouzení, zda SRB splnil svou informační povinnost, měl EIOÚ posoudit, zda připomínky předané společnosti Deloitte představují osobní údaje, pokud jde o tuto společnost.
Soudní dvůr nejprve uvedl, že i když nařízení 2018/1725 výslovně neupřesňuje hledisko relevantní pro posouzení identifikovatelnosti subjektu údajů, z judikatury (
14
) vyplývá, že relevantní hledisko pro posouzení, zda lze subjekt údajů identifikovat, závisí především na okolnostech, kterými se vyznačuje zpracování údajů v každém konkrétním případě.
Pokud jde v projednávané věci o informační povinnost týkající se případných příjemců osobních údajů, která je uvedena v čl. 15 odst. 1 písm. d) nařízení 2018/1725, Soudní dvůr upřesnil, že se jedná o informaci, která má být vedle dalších poskytnuta „v okamžiku získání osobních údajů“, tedy v okamžiku shromažďování osobních údajů od subjektu údajů. Soudní dvůr zdůraznil význam splnění takové informační povinnosti a uvedl, že pokud je shromažďování takových údajů od subjektu údajů, jako v projednávané věci, založeno na souhlasu subjektu údajů, závisí platnost jeho souhlasu mimo jiné na tom, zda tento subjekt předtím získal informace o všech okolnostech souvisejících se zpracováním dotčených údajů, na které měl nárok podle článku 15 nařízení 2018/1725 a které mu umožňují udělit souhlas s plnou znalostí věci. Povinnost poskytnout subjektu údajů – v okamžiku shromažďování osobních údajů, které se ho týkají – informace o případných příjemcích těchto údajů má zejména za cíl umožnit tomuto subjektu, aby se s plnou znalostí věci rozhodl, zda od něj shromažďované osobní údaje poskytne, nebo je naopak odmítne poskytnout.
Soudní dvůr dodal, že kromě toho, že povinnost poskytnout takové informace subjektu údajů v okamžiku shromažďování osobních údajů je nezbytná k tomu, aby mohl následně bránit svá práva vůči těmto adresátům, zejména zaručuje, že správce tyto údaje neshromáždí proti vůli subjektu údajů nebo je dokonce proti jeho vůli nepředá třetím osobám.
Informační povinnost je tedy součástí právního vztahu mezi subjektem údajů a správcem, a z tohoto důvodu jsou jejím předmětem informace související s tímto subjektem, tak jak byly předány tomuto správci, tedy před jakýmkoli případným předáním třetí straně.
Soudní dvůr měl tudíž za to, že pro účely uplatnění informační povinnosti stanovené v nařízení 2018/1725 musí být identifikovatelnost subjektu údajů posuzována v okamžiku shromažďování údajů a z hlediska správce. Informační povinnost SRB se tak uplatnila před předáním dotčených připomínek a bez ohledu na to, zda měly, pokud jde o společnost Deloitte, po jejich případné pseudonymizaci osobní povahu.
(
1
) – Rozsudek ze dne 26. dubna 2023, SRB v. EIOÚ (T‑557/20, dále jen „napadený rozsudek“, EU:T:2023:219).
(
2
) – Ocenění podle čl. 20 odst. 16 až 18 nařízení Evropského parlamentu a Rady (EU) č. 806/2014 ze dne 15. července 2014, kterým se stanoví jednotná pravidla a jednotný postup pro řešení krize úvěrových institucí a některých investičních podniků v rámci jednotného mechanismu pro řešení problémů a Jednotného fondu pro řešení krizí a mění nařízení (EU) č. 1093/2010 (Úř. věst. 2014, L 225, s. 1).
(
3
) – Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. 2018, L 295, s. 39).
(
4
) – Ve smyslu čl. 3 bodu 13) nařízení 2018/1725.
(
5
) – Článek 15 odst. 1 písm. d) nařízení 2018/1725.
(
6
) – Rozsudky ze dne 20. března 2017, Nowak (C‑434/16, EU:C:2017:994, bod 35), ze dne 7. března 2024, OC v. Komise (C‑479/22 P, EU:C:2024:215, bod 45), a ze dne 7. března 2024, IAB Europe (C‑604/22, EU:C:2024:214, bod 37 a citovaná judikatura).
(
7
) – Výklad podpořený judikaturou vycházející z rozsudku ze dne 20. prosince 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
) – Článek 3 body 1) a 6) nařízení 2018/1725.
(
9
) – Článek 3 bod 6) nařízení 2018/1725 vyžaduje zavedení odděleného uchovávání identifikačních údajů, jakož i technických a organizačních opatření, „aby bylo zajištěno, že [osobní údaje] nebudou přiřazeny identifikované či identifikovatelné fyzické osobě“.
(
10
) – Rozsudek ze dne 7. března 2024, OC v. Komise (C 479/22 P, EU:C:2024:215, body 52 až 64).
(
11
) – Rozsudek ze dne 7. března 2024, OC v. Komise (C‑479/22 P, EU:C:2024:215, bod 51 a citovaná judikatura).
(
12
) – Rozsudky ze dne 19. října 2016, Breyer (C‑582/14, EU:C:2016:779, body 44, 47 a 48), a ze dne 7. března 2024, IAB Europe (C‑604/22, EU:C:2024:214, body 43 a 48).
(
13
) – Rozsudek ze dne 9. listopadu 2023, Gesamtverband Autoteile-Handel (Přístup k informacím o vozidlech) (C‑319/22, EU:C:2023:837, body 46 a 49).
(
14
) – Judikatura připomenutá v poznámkách pod čarou 10 až 12 tohoto shrnutí.