62023CC0413
MIŠLJENJE NEZAVISNOG ODVJETNIKA
DEANA SPIELMANNA
od 6. veljače 2025. (
1
)
Predmet C‑413/23 P
Europski nadzornik za zaštitu podataka
protiv
Jedinstvenog sanacijskog odbora
„Žalba – Obrada osobnih podataka – Postupak isplate odštete vjerovnicima i dioničarima nakon sanacije bankarske institucije – Obveza pružanja informacija – Članak 15. stavak 1. točka (d) Uredbe (EU) 2018/1725 – Nedostatak informacija navedenih vjerovnika i dioničara o primatelju osobnih podataka – Odluka Europskog nadzornika za zaštitu podataka kojom se utvrđuje povreda Uredbe 2018/1725 o obradi pseudonimiziranih osobnih podataka”
I. Uvod
1.
Europski nadzornik za zaštitu podataka (EDPS) u žalbi zahtijeva ukidanje presude Općeg suda Europske unije od 26. travnja 2023., SRB/EDPS (T‑557/20, u daljnjem tekstu: pobijana presuda, EU:T:2023:219), kojom je taj sud poništio EDPS‑ovu izmijenjenu odluku od 24. studenoga 2020. (u daljnjem tekstu: sporna odluka) koja se odnosi na pet pritužbi koje su podnijeli dioničari i vjerovnici pogođeni sanacijom društva Banco Popular Español SA (u daljnjem tekstu: Banco Popular) koji se žale da nisu bili obaviješteni o prijenosu njihovih osobnih podataka.
2.
Ovaj predmet daje Sudu priliku da u kontekstu pseudonimiziranih podataka pojasni pojam „osobni podaci” i obveze koje iz njega proizlaze radi ispunjenja obveza poštene i transparentne obrade podataka.
II. Pravni okvir
3.
U okviru ove žalbe relevantne su sljedeće glavne odredbe Uredbe (EU) 2018/1725 (
2
).
4.
Uvodne izjave 16. i 17. te uredbe glase kako slijedi:
„(16)
Načela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi. Osobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati pojedincu uporabom dodatnih informacija, trebalo bi smatrati informacijama o pojedincu čiji se identitet može utvrditi. Kako bi se odredilo može li se utvrditi identitet pojedinca, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj. Načela zaštite podataka stoga se ne bi trebala primjenjivati na anonimne informacije, odnosno informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi. Ova se Uredba stoga ne odnosi na obradu takvih anonimnih informacija, među ostalim za statističke ili istraživačke svrhe.
(17)
Primjena pseudonimizacije na osobne podatke može smanjiti rizike za dotične ispitanike i pomoći voditeljima obrade i izvršiteljima obrade u ispunjavanju njihovih obveza u vezi sa zaštitom podataka. Izričitim uvođenjem ‚pseudonimizacije’ ovom se Uredbom ne namjeravaju isključiti bilo koje druge mjere za zaštitu podataka.”
5.
Člankom 3. navedene uredbe, naslovljenim „Definicije”, u točkama 1. i 6. predviđa se:
„Za potrebe ove Uredbe primjenjuju se sljedeće definicije:
1.
‚osobni podaci’ znači svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi (‚ispitanik’); pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet te fizičke osobe;
[…]
6.
‚pseudonimizacija’ znači obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi.”
6.
Člankom 4. te uredbe, naslovljenim „Načela obrade osobnih podataka”, u stavku 1. točki (a) i stavku 2. određuje se:
„1.   Osobni podaci moraju biti:
(a)
obrađivani zakonito, pošteno i transparentno s obzirom na ispitanika (‚zakonitost, poštenost i transparentnost’);
[…]
2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora moći dokazati (‚pouzdanost’).”
7.
Člankom 15. Uredbe 2018/1725, naslovljenim „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. točki (d) određuje se:
„Ako se osobni podaci koji se odnose na ispitanika prikupljaju od tog ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka predmetnom ispitaniku pruža sve sljedeće informacije:
[…]
(d)
primatelje ili kategorije primatelja osobnih podataka, ako postoje.”
III. Okolnosti spora
8.
Jedinstveni sanacijski odbor (SRB) donio je 7. lipnja 2017. sanacijski program za društvo Banco Popular na temelju Uredbe (EU) br. 806/2014 Europskog parlamenta i Vijeća od 15. srpnja 2014. o utvrđivanju jedinstvenih pravila i jedinstvenog postupka za sanaciju kreditnih institucija i određenih investicijskih društava u okviru jedinstvenog sanacijskog mehanizma i jedinstvenog fonda za sanaciju te o izmjeni Uredbe (EU) br. 1093/2010 (
3
), koji je istoga dana potvrđen odlukom Europske komisije (
4
), što konkretno znači da su instrumenti kapitala banke otpisani ili konvertirani i prodani prijenosom dionica.
9.
U skladu s člankom 20. stavcima 16. do 18. Uredbe br. 806/2014, SRB je društvu Deloitte, kao „neovisnoj osobi” (
5
), povjerio zadatak da provede vrednovanje razlike u postupanju kako bi se utvrdilo bi li se prema dioničarima i vjerovnicima, koji su tako pogođeni sanacijskom mjerom, bolje postupalo da je nad društvom Banco Popular proveden redovni postupak u slučaju insolventnosti.
10.
Društvo Deloitte je 14. lipnja 2018. dostavilo SRB‑u vrednovanje razlike u postupanju (u daljnjem tekstu: vrednovanje 3). SRB je u preliminarnoj odluci naveo da je, kako bi mu se omogućilo da donese konačnu odluku o tome treba li isplatiti odštetu dioničarima i vjerovnicima pogođenima sanacijom društva Banco Popular na temelju članka 76. stavka 1. točke (e) Uredbe br. 806/2014, pokrenuo postupak u vezi s pravom na saslušanje, koji uključuje prvu fazu – fazu prijave, kako bi se provjerilo ispunjavaju li stranke koje su iskazale interes uvjete za to, i drugu fazu – fazu savjetovanja, u okviru koje su pogođeni dioničari i vjerovnici podnijeli svoja očitovanja na SRB‑ovu preliminarnu odluku kojoj je priloženo vrednovanje 3.
11.
Podaci prikupljeni u fazi prijave, odnosno dokazi o identitetu sudionika i vlasništvu nad otpisanim ili konvertiranim i prenesenim instrumentima kapitala društva Banco Popular bili su dostupni ograničenom broju članova SRB‑ova osoblja zaduženih za obradu tih podataka kako bi se utvrdilo ispunjavaju li sudionici uvjete za to. Ti podaci nisu bili vidljivi članovima SRB‑ova osoblja zaduženima za obradu očitovanja primljenih u fazi savjetovanja, tijekom koje su primili samo očitovanja koja su identificirana upućivanjem na alfanumerički kod (
6
) dodijeljen svakom očitovanju podnesenom putem obrasca.
12.
Nakon agregacije, automatskog filtriranja i kategorizacije očitovanja, SRB je proslijedio društvu Deloitte (
7
) tako filtrirana, kategorizirana i agregirana očitovanja o vrednovanju 3. Očitovanja proslijeđena društvu Deloitte odnosila su se samo na ona primljena u fazi savjetovanja i sadržavala su alfanumerički kod koji je razvijen za potrebe revizije kako bi se SRB‑u omogućilo da provede provjeru i moguće naknadno dokazivanje da je svako očitovanje obrađeno i pravilno uzeto u obzir. SRB je bio jedini koji je tim kodom mogao povezati očitovanja s podacima primljenima u fazi prijave. Društvo Deloitte nije imalo i ni dalje nema pristup bazi podataka prikupljenih u fazi prijave.
13.
Pogođeni dioničari i vjerovnici (u daljnjem tekstu: podnositelji pritužbi) podnijeli su EDPS‑u pet pritužbi na temelju Uredbe 2018/1725 jer izjava o povjerljivosti u pogledu obrade osobnih podataka koju je objavio SRB nije sadržavala napomenu da će se prikupljeni podaci putem obrasca proslijediti društvu Deloitte. Tvrde da je SRB povrijedio svoju obvezu pružanja informacija u vezi s obradom osobnih podataka na temelju te uredbe, predviđenu člankom 15. stavkom 1. točkom (d) navedene uredbe.
14.
EDPS je 24. lipnja 2020. donio prvotnu odluku koja je poništena nakon SRB‑ova zahtjeva za preispitivanje te je 24. studenoga 2020. zamijenjena spornom odlukom, koja glasi kako slijedi:
„1.
EDPS smatra da su podaci koje je SRB podijelio s društvom Deloitte pseudonimizirani podaci, istodobno zbog toga jer su očitovanja iz faze [savjetovanja] osobni podaci i zato što je SRB podijelio alfanumerički kod koji omogućuje povezivanje odgovora primljenih u fazi [prijave] s odgovorima iz faze [savjetovanja], iako podaci koje su sudionici dostavili kako bi se identificirali u fazi [upisa] nisu priopćeni društvu Deloitte.
2.
EDPS smatra da je društvo Deloitte bilo primatelj osobnih podataka podnositelja pritužbi u smislu članka 3. točke 13. Uredbe 2018/1725. Činjenica da društvo Deloitte nije navedeno u SRB‑ovoj izjavi o povjerljivosti kao mogući primatelj osobnih podataka koje je SRB prikupio i obradio u svojstvu voditelja obrade u okviru postupka u vezi s pravom na saslušanje predstavlja povredu obveze pružanja informacija predviđene člankom 15. stavkom 1. točkom (d) [Uredbe 2018/1725].
3.
S obzirom na sve tehničke i organizacijske mjere koje je SRB uspostavio kako bi se ublažili rizici za pravo pojedinaca na zaštitu podataka u okviru postupka u vezi s pravom na saslušanje, EDPS odlučuje da neće izvršavati svoju ovlast za poduzimanje korektivnih mjera predviđenu u članku 58. stavku 2. [Uredbe 2018/1725].
4.
EDPS ipak preporučuje SRB‑u da se uvjeri da njegove izjave o povjerljivosti u budućim postupcima u vezi s pravom na saslušanje obuhvaćaju obradu osobnih podataka u fazi prijave i u fazi savjetovanja te da uključuju sve moguće primatelje prikupljenih informacija kako bi se u potpunosti ispunila obveza pružanja informacija osobama čiji se podaci obrađuju u skladu s člankom 15. [Uredbe 2018/1725].”
IV. Pobijana presuda
15.
Tužbom podnesenom tajništvu Općeg suda 1. rujna 2020. i podneskom kojim se vrši prilagodba podnesenim 29. siječnja 2021. SRB je pokrenuo postupak za, s jedne strane, poništenje sporne odluke i, s druge strane, proglašenje nezakonitosti EDPS‑ove prvotne odluke od 24. lipnja 2020.
16.
U prilog prvom dijelu tužbenog zahtjeva (
8
) SRB je istaknuo dva tužbena razloga. Prvi tužbeni razlog temeljio se na povredi članka 3. točke 1. Uredbe 2018/1725 jer informacije proslijeđene društvu Deloitte nisu osobni podaci, a drugi tužbeni razlog temeljio se na povredi prava na dobru upravu, propisanom člankom 41. Povelje Europske unije o temeljnim pravima.
17.
Opći sud pobijanom je presudom taj tužbeni razlog proglasio dopuštenim. Kad je riječ o meritumu, prihvatio je prvi tužbeni razlog i poništio spornu odluku a da pritom nije ispitao drugi tužbeni razlog.
18.
Kad je riječ o prvom tužbenom razlogu, Opći sud je smatrao, kao prvo, da je EDPS smatrao da se informacije proslijeđene društvu Deloitte „odnose” na pojedinca u smislu članka 3. točke 1. Uredbe 2018/1725, pri čemu se oslonio na pretpostavku, a nije ispitao ni sadržaj, ni cilj, ni učinak informacija proslijeđenih društvu Deloitte (
9
), protivno presudi Nowak (
10
).
19.
Suprotno tomu, kad je riječ o uvjetu predviđenom člankom 3. točkom 1. Uredbe 2018/1725 prema kojem se informacije trebaju odnositi na pojedinca „čiji je identitet utvrđen ili se može utvrditi”, Opći sud je smatrao da je u ovom slučaju na EDPS‑u da ispita jesu li očitovanja proslijeđena društvu Deloitte za njega osobni podaci. Naime, u skladu s pobijanom presudom, EDPS je samo ispitao mogućnost ponovne identifikacije autora očitovanja iz perspektive SRB‑a, a ne društva Deloitte. Slijedom toga, s obzirom na to da EDPS nije istražio je li društvo Deloitte raspolagalo pravnim i ostvarivim sredstvima koja mu omogućuju pristup dodatnim informacijama potrebnima za ponovnu identifikaciju autora očitovanja, on nije mogao zaključiti da su informacije proslijeđene društvu Deloitte informacije koje se odnose na „pojedinca čiji se identitet može utvrditi” u smislu članka 3. točke 1. Uredbe 2018/1725 (
11
).
V. Postupak pred Sudom i zahtjevi stranaka
20.
Aktom podnesenim tajništvu Suda 5. srpnja 2023. EDPS je podnio žalbu protiv pobijane presude. Rješenjem predsjednika Suda od 29. studenoga 2023. (
12
) Europskom odboru za zaštitu podataka dopušteno je intervenirati u potporu EDPS‑ovu zahtjevu, a odlukom od 20. listopada 2023. Europskoj komisiji dopušteno je intervenirati u potporu SRB‑u.
21.
EDPS od Suda zahtijeva da:
–
ukine pobijanu presudu;
–
konačno odluči o sporu;
–
naloži SRB‑u snošenje troškova žalbenog postupka i postupka pred Općim sudom.
22.
Europski odbor za zaštitu podataka, koji intervenira u potporu EDPS‑u, od Suda zahtijeva da:
–
ukine pobijanu presudu;
–
konačno odluči o sporu, tako da potvrdi spornu odluku.
23.
SRB od Suda zahtijeva da:
–
odbije žalbu;
–
podredno, poništi spornu odluku;
–
još podrednije, vrati predmet Općem sudu na ponovno suđenje i
–
naloži EDPS‑u snošenje troškova žalbenog postupka i postupka pred Općim sudom.
24.
Europska komisija, koja intervenira u potporu SRB‑u, od Suda zahtijeva da:
–
odbije žalbu;
–
naloži EDPS‑u snošenje troškova.
VI. O žalbi
25.
U prilog svojoj žalbi, EDPS, kojeg podupire Europski odbor za zaštitu podataka, ističe dva žalbena razloga. Prvim žalbenim razlogom nastoji se osporiti tumačenje koje je Opći sud utvrdio u pogledu pojma „osobni podaci” u smislu članka 3. stavaka 1. i 6. Uredbe 2018/1725, kako se tumači u sudskoj praksi Suda. Drugi žalbeni razlog temelji se na povredi načela pouzdanosti navedenog u članku 4. stavku 2. i članku 26. stavku 1. te uredbe.
A. Prvi žalbeni razlog
26.
Prvi žalbeni razlog podijeljen je na dva dijela. Prvi dio odnosi se na uvjet prema kojem se sporne informacije trebaju „odnositi” na pojedinca, a drugi dio odnosi se na uvjet da je to osoba „čiji je identitet utvrđen ili se može utvrditi”.
1.
Prvi dio žalbenog razloga, koji se odnosi na pitanje „odnose” li se informacije na pojedinca
a)
Argumentacija stranaka
27.
EDPS, kojeg podupire Europski odbor za zaštitu podataka, tvrdi da je Opći sud počinio pogrešku jer je utvrdio da se EDPS oslonio na pretpostavku koja se odnosi na tumačenje uvjeta prema kojem su se informacije proslijeđene društvu Deloitte odnosile na pojedinca u smislu članka 3. točke 1. Uredbe 2018/1725. Prema njegovu mišljenju, u okolnostima ovog slučaja nije bilo potrebno provesti detaljnije ispitivanje.
28.
SRB pak tvrdi, kao što je to odlučio Opći sud, da je EDPS samo naveo da sporna očitovanja koja su podnositelji pritužbi podnijeli u fazi savjetovanja o postupku u vezi s pravom na saslušanje odražavaju njihova mišljenja ili njihova stajališta, iako je trebao ispitati jesu li informacije koje su proslijeđene društvu Deloitte zbog svojeg sadržaja, cilja ili učinka povezane s određenom osobom, kao što se to zahtijeva u presudi Nowak.
b)
Ocjena
29.
Valja podsjetiti na to da je Sud više puta odlučio da upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka (
13
), kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na osobu o kojoj je riječ.
30.
U tom se pogledu informacija odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi ako je zbog svojeg sadržaja, cilja ili učinka „povezan” s određenom osobom (
14
).
31.
Kad je riječ o mišljenjima ili ocjenama, kao što su očitovanja podnositelja pritužbi o kojima je riječ u ovom slučaju, čini mi se relevantnim razlikovati ih ovisno o tome ispituje li se „odnose” li se navedena mišljenja ili ocjene na jednu ili više osoba obuhvaćenih tekstom mišljenja ili ocjene ili je, kao u ovom slučaju, riječ o tome da se utvrdi odnose li se na svojeg autora. U prvom slučaju, kako bi se zaključilo da se informacija odnosi na osobu u pogledu koje se provodi ocjena, valja analizirati odnose li se sadržaj, cilj ili učinak ocjene na tu osobu. U drugom slučaju, suprotno tomu, kako bi se utvrdilo odnosi li se ocjena na osobu koja ju je iznijela, čini mi se da bi se moglo pretpostaviti da je to slučaj i da su mišljenje ili ocjena nužno povezani sa svojim autorom.
32.
Tako je u presudi Nowak u biti bila riječ o ocjenjivanju informacija sadržanih u ispitnom radu. Stoga su se te ocjene odnosile na dvije osobe, kandidata i ispitivača. Točno je da je Sud ispitao sadržaj, cilj i učinak kandidatovih odgovora kako bi zaključio da se te ocjene odnose na njega. S obzirom na navedeno, kad je konkretnije riječ o ispitivačevim napomenama, one odražavaju njegovo mišljenje ili ocjenu (
15
), iako je Sud ispitao sadržaj, cilj i učinak informacija sadržanih u radu kako bi zaključio da se te ocjene odnose na kandidata, nije proveo takvo ispitivanje kako bi smatrao da su to informacije koje se odnose na ispitivača koji je njihov autor (
16
). Prema mojem mišljenju, ne može se stoga u potpunosti isključiti da se (jednostavna) pretpostavka može primijeniti kad je riječ o procjeni „odnosi” li se mišljenje ili ocjena ili, kao u ovom slučaju, očitovanje, na svojeg autora.
33.
Iz toga zaključujem, osim ako se ne dokaže drukčije, da se očitovanja o kojima je riječ u ovom slučaju, s obzirom na to da su ih podnijeli podnositelji pritužbi i da pokazuju „njihovu logiku i rasuđivanje”, pri čemu odražavaju njihovo „subjektivno mišljenje”, nužno „odnose” na navedene podnositelje pritužbi, neovisno o cilju ili učinku njihovih očitovanja.
34.
U svakom slučaju, čak i ako takva pretpostavka ne postoji u ovom slučaju, smatram da se predmetna očitovanja „odnose” na podnositelje pritužbi zbog svojeg sadržaja, cilja i učinka.
35.
U tom pogledu SRB tvrdi da su argumenti koji se temelje na cilju i kontekstu predmetnih očitovanja bespredmetni jer su ispitani u spornoj odluci, nedopušteni jer sadržavaju nove činjenične tvrdnje i, u svakom slučaju, pogrešni.
36.
Smatram da ta argumentacija nije uvjerljiva. Naime, ispitivanje koje je EDPS proveo u spornoj odluci i ocjena Općeg suda dio su pravnog konteksta koji je uzet u obzir i u kojem se jasno navode cilj i učinak očitovanja o kojima je riječ podnesenih u okviru postupka u vezi s pravom na saslušanje. Stoga su ti argumenti koji se odnose na cilj i učinak predmetnih očitovanja predmetni i dopušteni.
37.
Usto, kad je riječ o meritumu, iz primjenjivog pravnog okvira proizlazi da je svrha postupka u vezi s pravom na saslušanje u okviru kojeg su podnesena predmetna očitovanja bila omogućiti pogođenim dioničarima i vjerovnicima da pridonesu postupku, osobito kako bi omogućili SRB‑u da raspolaže svim informacijama koje su potrebne za donošenje konačne odluke o tome treba li isplatiti odštetu dioničarima i vjerovnicima pogođenima sanacijom društva Banco Popular, u skladu s primjenom načela prema kojem nijedan vjerovnik ne smije biti doveden u nepovoljniji položaj nego u redovnom postupku u slučaju insolventnosti (
17
). Nadalje, ta su očitovanja, nakon što ih je SRB uzeo u obzir, mogla utjecati na interese i prava podnositeljâ pritužbi u pogledu financijske naknade.
38.
Iz toga zaključujem da se predmetna očitovanja odnose na ispitanike iz ovog slučaja, uključujući zbog svojeg cilja i učinka.
39.
Dodajem da je točno da su predmetna očitovanja, kako su proslijeđena društvu Deloitte, bila „filtrirana, kategorizirana i agregirana”, tako da se pojedinačna očitovanja, kao što to proizlazi iz činjenica koje je utvrdio Opći sud (
18
), nisu mogla razlikovati u okviru iste teme; međutim, može se priznati da ta kolektivna očitovanja, iako su agregirana, u svojem sadržaju odražavaju osobna stajališta o vrednovanju 3. Naime, ona predstavljaju skupinu mišljenja koja, kao takva, čine informacije koje se odnose na osobe koje su ih iznijele. Njihovo filtriranje, kategoriziranje i agregiranje ne mijenjaju to utvrđenje jer bi u protivnom bilo dovoljno agregirati nekoliko stajališta kako bi se izbjegao uvjet da se informacija „odnosi” na pojedinca. Čini mi se da činjenica da unutar te skupine očitovanja nije moguće razlikovati različita pojedinačna mišljenja više ističe drugi kumulativni uvjet, koji se odnosi na mogućnost utvrđivanja identiteta ispitanikâ, a koji se ispituje u okviru drugog dijela ovog žalbenog razloga, nego uvjet koji podrazumijeva da je očitovanje „povezano” s pojedincem.
40.
U tim se okolnostima, prema mojem mišljenju, može smatrati da ocjena Općeg suda sadržava pogrešku koja se tiče prava u tom pogledu jer je taj sud smatrao da EDPS nije proveo ispitivanje koje se zahtijeva u presudi Nowak kako bi zaključio da se predmetna očitovanja „odnose” na pojedince u smislu članka 3. točke 1. Uredbe 2018/1725.
41.
Ako Sud odluči odbiti taj prvi dio i presudi da se predmetna pseudonimizirana očitovanja ne odnose na njihove autore, ispitivanje drugog dijela žalbenog razloga bilo bi suvišno jer je, u skladu s člankom 3. točkom 1. Uredbe 2018/1725, riječ o uvjetu koji je nužan za postojanje osobnog podatka i koji je kumulativan s uvjetom mogućnosti utvrđivanja identiteta ispitanikâ, a koji će se ispitati u nastavku.
2.
Drugi dio, koji se odnosi na uvjet mogućnosti utvrđivanja identiteta ispitanikâ
42.
EDPS i Europski odbor za zaštitu podataka u biti tvrde da je Opći sud počinio dvije pogreške, pri čemu se prva odnosi na pojam „pseudonimizacija”, a druga na tumačenje presude Breyer (
19
), što SRB i Komisija osporavaju.
a)
Prvi prigovor, koji se temelji na pogrešci u pogledu učinaka pseudonimizacije
43.
U tom se prigovoru navodi postojanje dvaju vrlo različitih pristupa dosegu područja primjene pravilâ o zaštiti podataka. Treba li u to područje primjene automatski uključiti pseudonimizirane podatke samo zato što se mogao utvrditi identitet ispitanikâ, neovisno o dostupnosti dodatnih identifikacijskih podataka, ili treba smatrati da su nakon postupka pseudonimizacije podaci osobni samo za osobe koje mogu razumno identificirati ispitanike?
1) Argumentacija stranaka
44.
EDPS i Europski odbor za zaštitu podataka u biti tvrde da pseudonimizirani podaci ostaju osobni podaci samo zato što se identitet ispitanika i dalje može utvrditi jer podaci na temelju kojih ih se može identificirati i dalje postoje. Pristup Općeg suda je pogrešan jer omogućuje da se pseudonimizirani podaci smatraju anonimiziranim podacima u odnosu na primatelja, što predstavlja opasnost za zaštitu ispitanikâ i dovodi do zamjene pseudonimizacije s anonimizacijom. Takav pristup, koji je protivan tekstu i cilju Uredbe 2018/1725, omogućio bi voditelju obrade da neopravdano ukloni osobne podatke iz područja primjene prava Unije u području zaštite takvih podataka.
45.
SRB i Komisija pak tvrde da pseudonimizirani podaci ostaju osobni podaci za voditelja obrade koji ih je pseudonimizirao, ali da za primatelje valja ispitati može li se utvrditi identitet ispitanikâ. Usto, iako se u članku 3. točki 1. Uredbe 2018/1725 ne pojašnjava tko treba moći identificirati ispitanika, u vezi s uvodnom izjavom 16. i u kontekstu članka 15. stavka 1. točke (d) te uredbe, o kojem je ovdje riječ, relevantno je gledište primatelja. Prema njihovu mišljenju, ako taj primatelj ne primi osobne podatke, ispitanici nemaju interes za to da ih se obavijesti o prijenosu podataka jer to ne utječe na njihova prava.
2) Ocjena
46.
Najprije je korisno podsjetiti na to da je pesudonimizacija obrada koja se primjenjuje na osobne podatke kako bi se, u skladu s uvodnom izjavom 17. Uredbe 2018/1725, „smanji[li] rizi[ci]” povezivanja skupa podataka s identitetom ispitanika i „pomo[glo] voditeljima obrade i izvršiteljima obrade u ispunjavanju njihovih obveza u vezi sa zaštitom podataka”.
47.
U članku 3. točki 6. Uredbe 2018/1725 pseudonimizacija se tako definira kao „obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, [koje] se drže […] odvojeno te […] podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi” (
20
).
48.
Stoga pseudonimizacija nije element definicije osobnih podataka, koji se pak definiraju u članku 3. točki 1. Uredbe 2018/1725 s obzirom na pojam „mogućnost utvrđivanja identiteta” ispitanika. Uostalom, kao što je to Komisija navela u svojem intervencijskom podnesku, u toj se uredbi definira pojam „pesudonimizacija”, pri čemu se upućuje na postupak provedbe sigurnosne mjere ili tehničke i organizacijske mjere, a ne na pojam „pseudonimizirani podaci”.
49.
To tumačenje potvrđuje zajedničko tumačenje članka 3. točke 6. i uvodne izjave 16. navedene uredbe, u čijoj se prvoj rečenici podsjeća na to da bi se „načela zaštite podataka trebala […] primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi”.
50.
Usto, uvodnu izjavu 16. Uredbe 2018/1725 valja detaljnije analizirati (
21
). Naime, ona sadržava drugu rečenicu u kojoj se navodi da bi „[o]sobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati pojedincu uporabom dodatnih informacija, trebalo […] smatrati informacijama o pojedincu čiji se identitet može utvrditi”. Zatim slijede treća i četvrta rečenica u kojima se pojašnjava sadržaj tog zahtjeva u pogledu mogućnosti utvrđivanja identiteta.
51.
Iz teksta tih odredbi zaključujem da pseudonimizacija ostavlja mogućnost da se identitet ispitanikâ ne može utvrditi, inače tekst te uvodne izjave 16. ne bi imao svrhu. Dodajem da posljednje dvije rečenice navedene uvodne izjave koje se odnose na anonimizaciju potvrđuju to tumačenje: njima se anonimizirani podaci (ili podaci koji su učinjeni anonimnima) isključuju iz područja primjene Uredbe 2018/1725 (
22
), ali pseudonimizirani podaci iz tog se područja isključuju samo ako se identitet ispitanika ne može utvrditi. U slučaju da navedene osobe nije moguće identificirati, za njih se pravno smatra da ih postupak pseudonimizacije dovoljno štiti, neovisno o činjenici da dodatni identifikacijski podaci nisu bili u potpunosti izbrisani.
52.
Drugim riječima, nije riječ o tome da se pseudonimizirane podatke automatski izuzme iz područja primjene te uredbe (
23
). Međutim, s obzirom na uvodnu izjavu 16. te uredbe, ne može se isključiti da takvi podaci, u određenim uvjetima, mogu biti izvan pojma „osobni podaci”.
53.
Suprotno onomu što tvrdi EDPS, ne čini mi se da je takav pristup protivan cilju da se zajamči visoka razina zaštite osobnih podataka, osobito s obzirom na, s jedne strane, zahtjeve u pogledu mogućnosti utvrđivanja identiteta iz primjenjivih odredbi i, s druge strane, njihovo tumačenje u sudskoj praksi.
54.
Kao prvo, u uvodnoj izjavi 16. Uredbe 2018/1725 upućuje se na mogućnost da voditelj obrade „ili bilo koja druga osoba” utvrde identitet: to široko shvaćanje, iako nije neograničeno (
24
), dio je zaštitnog pristupa osobnim podacima.
55.
Isto tako, u toj se uvodnoj izjavi 16. predviđa da valja uzeti u obzir sredstva koja se po svemu sudeći mogu upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca, uzimajući u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj, što predstavlja široku definiciju osobnih podataka čiji je cilj njihova zaštita.
56.
Kao drugo, tumačenje u sudskoj praksi tog pojma „mogućnost utvrđivanja identiteta”, usmjerenog na rizik ponovne identifikacije ispitanikâ, omogućuje i široku primjenu pojma „osobni podaci”. Stoga je Sud sustavno kvalificirao „osobne podatke” kao podatke koji, iako su odvojeni od identifikacijskih podataka koji se nalaze u posjedu nekog drugog, u kontekstu o kojem je riječ mogu dovesti do rizika da će se ispitanike ponovno identificirati (
25
).
57.
Stoga se pravno može izbjeći da se podatak kvalificira kao „osobni podatak” samo ako je rizik identifikacije nepostojeći ili neznatan (
26
).
58.
Argumenti EDPS‑a i Europskog odbora za zaštitu podataka o opasnostima koje proizlaze iz preuskog tumačenja osobnih podataka ne čine mi se uvjerljivima. Naime, činjenica da se pravila koja proizlaze iz Uredbe 2018/1725 ne primjenjuju na podatke koji se odnose na osobe čiji se identitet ne može utvrditi ne sprečava da se utvrdi, ovisno o slučaju, pravna odgovornost subjekata koji su odgovorni za protupravna postupanja, primjerice u slučaju otkrivanja podataka koje uzrokuje štetu. Suprotno tomu, čini mi se neproporcionalnim da se subjektu koji ne može razumno identificirati ispitanike nalože obveze koje proizlaze iz Uredbe 2018/1725 (
27
), odnosno obveze koje to tijelo teoretski ne može poštovati ili koje ga obvezuju upravo da pokuša identificirati ispitanike.
59.
S obzirom na ta razmatranja, ako se spor analizira s obzirom na podatke koji su proslijeđeni društvu Deloitte, suprotno onomu što tvrdi EDPS, smatram da valja utvrditi je li pseudonimizacija podataka o kojoj je riječ bila dovoljno pouzdana kako bi se moglo zaključiti da se identitet podnositelja pritužbi, koji su autori informacija proslijeđenih društvu Deloitte, nije mogao razumno utvrditi. Drugim riječima, u tom kontekstu, ako je društvo Deloitte raspolagalo razumnim sredstvima za identifikaciju navedenih podnositelja pritužbi, moglo bi se smatrati da je obrađivalo osobne podatke.
60.
Stoga, prema mojem mišljenju, prvi prigovor koji je istaknuo EDPS treba odbiti.
b)
Drugi prigovor, koji se temelji na pogrešnoj usporedbi s presudom Breyer
1) Argumentacija stranaka
61.
Prema EDPS‑ovu mišljenju, kojeg podupire Europski odbor za zaštitu podataka, pseudonimizirani podaci o kojima je riječ osobni su podaci za SRB i stoga se obveza pružanja informacija ispitanicima koju ima primatelj nalaže SRB‑u. EDPS u biti tvrdi da je Opći sud pogrešno tumačio presudu Breyer koja se odnosi na drukčiju činjeničnu situaciju.
62.
Suprotno tomu, prema SRB‑ovu mišljenju, kojeg podupire Komisija, usporedba s presudom Breyer je relevantna i dovodi do zaključka da se obveza pružanja informacija ne primjenjuje ako su preneseni podaci osobni podaci s gledišta primatelja, u ovom slučaju društva Deloitte, što se u ovom slučaju, kao što je to Opći sud pravilno utvrdio, nije dokazalo.
2) Ocjena
63.
Smatram da obveza pružanja informacija, predviđena člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725, i sličnost s presudom Breyer u ovom slučaju dovode do drukčijeg rješenja od onog koje je utvrdio Opći sud, što ću iznijeti u okviru analize ovog prigovora.
64.
Člankom 4. stavkom 1. točkom (a) Uredbe 2018/1725 zahtijeva se zakonita, poštena i transparentna obrada podataka s obzirom na ispitanika.
65.
Konkretno, člankom 15. stavkom 1. točkom (d) te uredbe predviđa se da, ako se osobni podaci koji se odnose na ispitanika prikupljaju od tog ispitanika, voditelj obrade „u trenutku prikupljanja osobnih podataka” predmetnom ispitaniku pruža informacije o mogućim primateljima navedenih podataka. Stoga proizlazi da taj podatak voditelj obrade treba dati odmah, odnosno u trenutku prikupljanja podataka (
28
).
66.
Važnost poštovanja takve obveze obavješćivanja je potvrđena i uvodnom izjavom 35. Uredbe 2018/1725, u kojoj se navodi da se načelima poštene i transparentne obrade zahtijeva da je ispitanik informiran o postupku obrade i njegovim svrhama, pri čemu se naglašava da bi voditelj obrade trebao pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka (
29
).
67.
Takva obveza pružanja informacija tim je važnija jer valjanost privole koju je dao ispitanik ovisi, među ostalim, o tome je li ta osoba prethodno dobila informacije s obzirom na sve okolnosti obrade predmetnih podataka na koje je imala pravo na temelju članaka 14. i 15. Uredbe 2018/1725 i koje joj omogućuju davanje privole uz potpuno poznavanje činjenica (
30
).
68.
Dodajem da se jedina iznimka od te obveze pružanja informacija, predviđena člankom 15. stavkom 4. Uredbe 2018/1725, odnosi na slučaj kada ispitanik već raspolaže predmetnim informacijama.
69.
Iz toga zaključujem da je u ovom slučaju ta obveza pružanja informacija dio pravnog odnosa koji postoji među ispitanicima, u ovom slučaju, s jedne strane, podnositeljima pritužbi, i, s druge strane, SRB‑a kao voditelja obrade, a ne dio odnosa između SRB‑a i primatelja, odnosno društva Deloitte. Stoga se obveza pružanja informacija odnosi na podatke kakve je posjedovao SRB prije nego što ih je proslijedio društvu Deloitte. Međutim, nije sporno da je riječ o osobnim podacima jer SRB posjeduje očitovanja i osnovu za identifikaciju osoba koje su ih iznijele.
70.
Na temelju takvog pristupa „relevantnom gledištu” (
31
) dolazim do drukčijeg rješenja od onog Općeg suda, čak i u usporedbi s presudom Breyer.
71.
Podsjećam na to da je u sporu povodom kojeg je upućeno prethodno pitanje postavljeno u toj presudi P. Breyer želio zabraniti voditelju obrade (Saveznoj Republici Njemačkoj) da pohrani njegovu IP adresu. Dodatne informacije koje omogućuju njegovu identifikaciju s pomoću IP adrese povezane s njegovim računalom nisu bile u posjedu voditelja obrade, nego pružatelja internetskog pristupa. Stoga se postavilo pitanje može li se dinamična IP adresa koju posjeduje voditelj obrade kvalificirati kao „osobni podatak” i, prema tome, u okviru pravnog odnosa između P. Breyera i navedenog voditelja obrade, stvoriti tom voditelju obrade obveze pohranjivanja, čak i ako je elemente za identifikaciju P. Breyera posjedovala druga osoba, a ne voditelj obrade. U biti se presudilo da je voditelj obrade, iako nije posjedovao dodatne informacije za identifikaciju, mogao razumno pristupiti tim informacijama i dinamična IP adresa stoga se kvalificirala kao „osobni podatak”.
72.
U ovom slučaju, kao što se to prethodno navodi (
32
), obveza pružanja informacija dio je odnosa između ispitanika (podnositelji pritužbi) i voditelja obrade (SRB): obveza pružanja informacija nastaje kada SRB prikuplja podatke o kojima je riječ i, kad je konkretno riječ o informaciji o primatelju, najkasnije kada se sazna tko je taj primatelj. Naime, kada se taj trenutak utvrdi, predmetni podaci su osobni podaci koje ima SRB, koji posjeduje dodatne identifikacijske podatke. S obzirom na obvezu pružanja informacija o kojoj je riječ i s obzirom na trenutak u kojem se ona utvrđuje, predmetni podaci stoga su osobni podaci, neovisno o mogućnosti društva Deloitte da utvrdi identitet, koja nije obuhvaćena ni pravnim odnosom između podnositelja pritužbi i SRB‑a, koji je jedini relevantan, ni tom obvezom pružanja informacija koju ima SRB.
73.
Čini mi se da u ovom slučaju upravo u tom pogledu treba relativizirati sličnost s presudom Breyer.
74.
Iz toga slijedi da je obvezu pružanja informacija imao SRB kao voditelj obrade i zbog svojeg odnosa s podnositeljima pritužbi, od kojih je prikupio podatke o kojima je riječ, i to neovisno o tome jesu li podaci koji su proslijeđeni društvu Deloitte osobni.
75.
U skladu s tom logikom treba odbiti SRB‑ov argument, ponovljen na raspravi, prema kojem je primateljevo gledište relevantno jer je važno provjeriti je li on „primatelj osobnih podataka”.
76.
U tom je pogledu točno da tekst članka 15. stavka 1. točke (d) Uredbe 2018/1725 u kojem se navode „primatelj[i] […] osobnih podataka […]” može dovesti do zabune. Međutim, koristan učinak te odredbe zahtijeva da se informacija proslijedi ispitanicima što je prije moguće i prije navedenog prijenosa podataka (
33
). U ovom slučaju, čak i ako SRB tijekom prvotnog prikupljanja očitovanja nije namjeravao zatražiti mišljenje društva Deloitte kako bi saznao mijenjaju li ta očitovanja vrednovanje 3, iz sporne odluke pred Općim sudom proizlazi da je društvo Deloitte pomagalo SRB‑u u okviru postupka za ostvarenje prava na saslušanje (
34
). Usto, može se smatrati da je SRB‑ova namjera da društvu Deloitte priopći pseudonimizirane podatke postojala najkasnije u trenutku kada je odlučio razmotriti predmetna očitovanja upravo radi njihove pseudonimizacije (
35
), bez čega ona ne bi bila opravdana.
77.
Stoga smatram da nadzor poštovanja obveze pružanja informacija u trenutku kada je SRB proslijedio podatke društvu Deloitte, pri čemu je zauzeo gledište primatelja kako bi predmetne podatke kvalificirao kao osobne podatke ili kao podatke koji to nisu, dovodi do odgode navedenog nadzora. Taj bi se nadzor stoga pogrešno odgodio jer bi se proveo nad podacima koji su već proslijeđeni primatelju, iako se obveza pružanja informacija odnosi na odnos između SRB‑a i podnositeljâ pritužbi i omogućuje informiranu privolu tih podnositelja pritužbi prije prijenosa.
78.
Nadalje, kad je riječ o privoli podnositelja pritužbi, točno je da se njihovo sudjelovanje u postupku za ostvarenje prava na saslušanje može tumačiti kao prešutna privola za dijeljenje osobnih podataka s voditeljem obrade kako bi se njihova očitovanja uzela u obzir. Međutim, prema mojem mišljenju, to nije dovoljno da bi predstavljalo informiranu privolu na pseudonimizaciju podataka i njihov prijenos društvu Deloitte a da SRB prethodno ne proslijedi informacije u tom pogledu (
36
).
79.
Prema mojem mišljenju, iz toga proizlazi da se obveza pružanja informacija koju ima SRB u ovom slučaju primjenjivala prije prijenosa predmetnih podataka i neovisno o tome jesu li podaci koji su proslijeđeni društvu Deloitte osobni.
80.
Stoga mi se činjenica u pogledu toga je li pseudonimizacija dovoljno pouzdana i učinkovita da bi se moglo smatrati da su podaci koje posjeduje društvo Deloitte osobni u konačnici ne čini relevantnom s obzirom na obvezu pružanja informacija koju ima SRB.
81.
Slijedom toga, u ovom je slučaju trebalo poštovati obvezu pružanja informacija koju SRB ima kao voditelj obrade i stoga pobijanu presudu treba ukinuti zbog pogreške koja se tiče prava.
82.
Budući da stajalište primatelja podataka o kojima je riječ nije relevantno s obzirom na obvezu pružanja informacija predviđenu člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725, argumenti stranaka koji se odnose na mogućnost da društvo Deloitte pravnim i ostvarivim sredstvima identificira ispitanike su bespredmetni i stoga ih nije potrebno ispitati.
83.
Ako se Sud s tim ne složi, podredno ističem da EDPS u tom pogledu osporava utvrđenje Općeg suda prema kojem društvo Deloitte nije imalo pristup identifikacijskim podacima. Konkretno, oslanja se na podugovorni odnos koji je postojao između SRB‑a i društva Deloitte. SRB i Komisija tvrde da EDPS na taj način ističe nove činjenične tvrdnje koje su nedopuštene u fazi žalbe. Slažem se s tim mišljenjem. Naime, postojanje ugovornog odnosa između SRB‑a i društva Deloitte, koji bi dokazao mogućnost da društvo Deloitte od SRB‑a zatraži identifikaciju podnositelja pritužbi, predstavlja novu argumentaciju o kojoj Opći sud uostalom uopće nije odlučivao. Iz toga slijedi da tu argumentaciju, ovisno o slučaju, treba odbaciti kao nedopuštenu u skladu s člankom 170. stavkom 1. drugom rečenicom Poslovnika Suda, prema kojem žalba ne može izmijeniti predmet spora koji se vodio pred Općim sudom (
37
).
B. Drugi žalbeni razlog, koji se ispituje podredno
84.
U okviru drugog žalbenog razloga, koji se temelji na povredi načela pouzdanosti iz članka 4. stavka 2. i članka 26. stavka 1. Uredbe 2018/1725, EDPS, kojeg podupire Europski odbor za zaštitu podataka, tvrdi da je Opći sud pogrešno utvrdio da je on dužan dokazati da informacije proslijeđene društvu Deloitte nisu osobni podaci, čime je povrijedio načelo SRB‑ove pouzdanosti.
85.
S obzirom na prethodno navedeno i osobito točke 81. i 82. ovog mišljenja, smatram da nije potrebno ispitati taj drugi žalbeni razlog.
86.
Stoga ću ga tek podredno ukratko razmotriti.
87.
Kad je riječ o dopuštenosti, koju SRB osporava, tog žalbenog razloga koji nije istaknut pred Općim sudom, podsjećam na to da je žalitelju dopušteno podnijeti žalbu u kojoj će istaknuti žalbene razloge koji proizlaze iz same pobijane presude i kojima je cilj osporiti njezinu pravnu osnovanost (
38
). Čini mi se da je to slučaj u ovom žalbenom razlogu, koji je stoga dopušten.
88.
Kad je riječ o meritumu, valja podsjetiti na to da je Opći sud presudio da, s obzirom na to da EDPS nije istražio je li društvo Deloitte raspolagalo pravnim i ostvarivim sredstvima koja mu omogućuju pristup dodatnim informacijama potrebnima za ponovnu identifikaciju podnositeljâ pritužbi, on nije mogao zaključiti da su informacije proslijeđene društvu Deloitte informacije koje se odnose na „pojedinca čiji se identitet može utvrditi” u smislu članka 3. točke 1. Uredbe 2018/1725.
89.
EDPS, kojeg podupire Europski odbor za zaštitu podataka, u biti tvrdi da je Opći sud trebao provjeriti je li SRB, koji je voditelj obrade, dokazao da je anonimizirao sporne podatke u odnosu na društvo Deloitte.
90.
SRB osporava tu argumentaciju i tvrdi da se načelo pouzdanosti primjenjuje samo kad je riječ o osobnim podacima i da su se u ovom slučaju podaci koje posjeduje društvo Deloitte anonimizirali.
91.
Komisija pak tvrdi da, kao prvo, EDPS snosi razuman teret dokazivanja kako bi dokazao, na temelju dostupnih dokaza, postojanje osobnih podataka. Kao drugo, zadaća je voditelja obrade podataka o kojem je riječ da osporava taj zaključak podnošenjem dodatnih elemenata.
92.
Podsjećam na to da na temelju članka 4. stavka 1. točke (a) Uredbe 2018/1725 osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika. Člankom 4. stavkom 2. te uredbe predviđa se da je „[v]oditelj obrade odgovoran […] za usklađenost sa stavkom 1. te je mora moći dokazati”. Stoga iz načela pouzdanosti, navedenog u članku 4. stavku 2. i pojašnjenog u članku 26. stavku 1. navedene uredbe, proizlazi da voditelj obrade mora moći dokazati da poštuje načela obrade osobnih podataka navedena u članku 4. stavku 1. (
39
).
93.
Budući da je voditelj obrade podnio dovoljno dokaza u tom smislu, može se smatrati da je ispunio obvezu koju ima u pogledu tereta dokazivanja (
40
).
94.
U ovom slučaju, čini mi se da je SRB naveo više činjeničnih elemenata (osobito postupke filtriranja, kategoriziranja i agregiranja očitovanja, koji su opisani u spornoj odluci i pobijanoj presudi) kako bi dokazao, u skladu s načelom pouzdanosti koje treba poštovati, da društvo Deloitte nije moglo identificirati ispitanike.
95.
U tom je pogledu EDPS pred Općim sudom zauzeo načelno stajalište koje se sastoji od toga da se zauzme SRB‑ovo gledište, a ne gledište društva Deloitte, i da se stoga očitovanja proslijeđena društvu Deloitte kvalificiraju kao „osobni podaci”.
96.
Ako se prizna da je za potrebe podrednog ispitivanja ovog žalbenog razloga u ovom slučaju relevantno gledište društva Deloitte (
41
), može se smatrati, kao što je to utvrdio Opći sud, da je na EDPS‑u da dokaže (
42
) zbog kojeg razloga, pravnog ili tehničkog, postupak pseudonimizacije koji je u ovom slučaju proveo SRB nije bio dovoljan i zašto je doveo do toga da se smatra da je društvo Deloitte obrađivalo osobne podatke.
97.
Stoga smatram da, ovisno o slučaju, valja potvrditi pobijanu presudu u dijelu u kojem se odnosi na taj drugi žalbeni razlog.
VII. Tužba pred Općim sudom
98.
Na temelju članka 61. prvog stavka Statuta Suda Europske unije, ako je žalba osnovana, Sud ukida odluku Općeg suda. Može sam konačno odlučiti o sporu, ako stanje postupka to dopušta ili može vratiti predmet na odlučivanje Općem sudu.
99.
Prvi tužbeni razlog koji je SRB istaknuo protiv sporne odluke pred Općim sudom temelji se na povredi članka 3. točke 1. Uredbe 2018/1725. Stoga, prema mojem mišljenju, s obzirom na to da je SRB povrijedio obvezu pružanja informacija koju ima na temelju članka 15. stavka 1. točke (d) Uredbe 2018/1725, iz točaka 63. do 82. ovog mišljenja proizlazi da spornu odluku treba potvrditi.
100.
Suprotno tomu, čini mi se da stanje postupka ne dopušta da se odluči o drugom tužbenom razlogu, koji se temelji na EDPS‑ovoj povredi prava na dobru upravu u okviru postupka koji je doveo do donošenja sporne odluke.
101.
Naime, SRB konkretno tvrdi da je EDPS u okviru upravnog postupka koji je prethodio donošenju sporne odluke povrijedio njegovo pravo na pristup spisu, pravo na saslušanje i načelo ravnopravnosti stranaka jer mu je, s jedne strane, odbio pristup spisu i jer mu, s druge strane, nije proslijedio očitovanja podnositeljâ pritužbi ili njihov sadržaj.
102.
Međutim, Opći sud je smatrao, s obzirom na to da je prihvatio prvi tužbeni razlog, da nije potrebno ispitati drugi tužbeni razlog koji je pred njim istaknut. Slijedom toga, stanje postupka ne dopušta da se odluči o tom tužbenom razlogu, koji osobito uključuje činjenične ocjene. Stoga mi se čini da predmet treba vratiti Općem sudu kako bi on odlučio u tom pogledu, a o troškovima će se odlučiti naknadno.
VIII. Zaključak
103.
S obzirom na prethodna razmatranja, predlažem Sudu da odluči kako slijedi:
–
ukine presudu Općeg suda Europske unije od 26. travnja 2023., SRB/EDPS (T‑557/20, EU:T:2023:219);
–
vrati predmet Općem sudu kako bi on odlučio o drugom tužbenom razlogu koji je pred njim istaknut;
–
odredi da će se o troškovima odlučiti naknadno.
(
1
)	Izvorni jezik: francuski
(
2
)	Uredba Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL 2018., L 295, str. 39.)
(
3
)	SL 2014., L 225, str. 1. i ispravak SL 2015., L 101, str. 62.
(
4
)	Odluka Komisije (EU) 2017/1246 od 7. lipnja 2017. o potvrđivanju sanacijskog programa za društvo Banco Popular Español S. A. (SL 2017., L 178, str. 15. i ispravak SL 2017., L 320, str. 31.)
(
5
)	Člankom 20. stavkom 1. Uredbe br. 806/2014 predviđa se da je ta osoba „neovisna u odnosu na bilo koje tijelo javne vlasti, uključujući Odbor i nacionalna sanacijska tijela te na dotični subjekt”. U članku 20. stavku 16. te uredbe upućuje se na članak 20. stavak 1. u pogledu tog pojma „neovisne osobe”.
(
6
)	Riječ je o jedinstvenom univerzalnom identifikatoru od 33 znamenke koji je nasumično generiran.
(
7
)	Iz sporne odluke proizlazi da je društvo Deloitte kao neovisna osoba pomagalo SRB‑u u postupku donošenja odluke. Iz te odluke proizlazi i da je SRB 18. ožujka 2020. odlučio da se pogođenim dioničarima i vjerovnicima ne duguje nikakva naknada i naveo je da se ta odluka temelji na procjeni nakon sanacije koju je provelo društvo Deloitte i na analizi očitovanja primljenih u okviru postupka za ostvarenje prava na saslušanje.
(
8
)	U drugom dijelu tužbenog zahtjeva zahtijeva se da se prvotna odluka proglasi nezakonitom. Opći sud pobijanom je presudom odbio taj drugi dio tužbenog zahtjeva zbog nenadležnosti jer je SRB njime nastojao ishoditi deklaratornu presudu, a ne poništenje akta.
(
9
)	Vidjeti točke 64., 73. i 74. pobijane presude.
(
10
)	Presuda od 20. prosinca 2017. (C‑434/16, u daljnjem tekstu: presuda Nowak, EU:C:2017:994). U ovom će se mišljenju po analogiji navoditi presude u kojima se primjenjuju Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.) i Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP). Naime, kao što to proizlazi iz uvodnih izjava 4. i 5. Uredbe 2018/1725 te članka 2. stavka 3. i članka 98. OUZP‑a, zakonodavac Unije želio je uspostaviti sustav zaštite osobnih podataka u institucijama, tijelima, uredima i agencijama Unije istovjetan onomu iz OUZP‑a kako bi se osigurala ujednačena i dosljedna zaštita pojedinaca u pogledu obrade njihovih osobnih podataka u Uniji (vidjeti presudu od 7. ožujka 2024., OC/Komisija, C‑479/22 P, EU:C:2024:215, t. 43.).
(
11
)	Vidjeti točke 100., 103. i 105. pobijane presude.
(
12
)	C‑413/23 P, EU:C:2023:1036
(
13
)	Vidjeti osobito netaksativan popis u točki 36. mišljenja nezavisnog odvjetnika G. Pitruzzelle u predmetu Österreichische Datenschutzbehörde i CRIF (C‑487/21, EU:C:2022:1000).
(
14
)	Vidjeti presudu Nowak, t. 34. i 35. Vidjeti usto presude od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF (C‑487/21, EU:C:2023:369, t. 23. i 24.); od 22. lipnja 2023., Pankki S (C‑579/21, EU:C:2023:501, t. 42. i 43.); od 7. ožujka 2024., OC/Komisija (C‑479/22 P, EU:C:2024:215, t. 45.) i od 7. ožujka 2024., IAB Europe (C‑604/22, EU:C:2024:214, t. 36. i 37.).
(
15
)	Presuda Nowak, t. 43.
(
16
)	Presuda Nowak, t. 44. in fine
(
17
)	Vidjeti u tom smislu točke 5. do 7. pobijane presude i točku 9. ovog mišljenja.
(
18
)	Vidjeti točku 23. pobijane presude.
(
19
)	Presuda od 19. listopada 2016., Breyer (C‑582/14, u daljnjem tekstu: presuda Breyer, EU:C:2016:779)
(
20
)	Vidjeti u tom pogledu i mišljenje koje se odnosi na pojam osobnih podataka (Radna skupina iz članka 29., mišljenje 4/2007, 20. lipnja 2007., WP 136) i mišljenje u kojem se izričito razmatraju tehnike anonimizacije i pseudonimizacije (Radna skupina iz članka 29., mišljenje 05/2014, 10. travnja 2014., WP 216). Taj postupak pseudonimizacije stoga je posebno važan osobito u kontekstu istraživanja i statistike.
(
21
)	Iako one nemaju pravno obvezujuću snagu niti se na njima može temeljiti tumačenje koje je protivno ciljevima koji se nastoje postići Uredbom 2018/1725, Sud se često oslanja na uvodne izjave pri tumačenju odredbi Unijinih pravnih akata (vidjeti osobito mišljenje nezavisnog odvjetnika M. Szpunara u predmetu Planet49, C‑673/17, EU:C:2019:246, t. 71. i nezavisne odvjetnice J. Kokott u predmetu Komisija/CK Telecoms UK Investments, C‑376/20 P, EU:C:2022:817).
(
22
)	Uostalom, u strogo tehničkom smislu, anonimizacija ne isključuje mogućnost ponovne identifikacije, zbog čega voditelji obrade koji provode tehnike anonimizacije moraju redovito analizirati rizik koji je povezan s ponovnom identifikacijom, pri čemu u svakom slučaju zasebno ocjenjuju ozbiljnost tog rizika i njegovu vjerojatnost (vidjeti u tom pogledu O. Tambou, Manuel de droit européen de la protection des données à caractère personnel, Bruylant, 2020., t. 68. i upućivanja navedena u tom pogledu, osobito bilješku 162.).
(
23
)	Iako je prvotna namjera uvođenja pojma „pseudonimizacija” u OUZP bila da se osigura fleksibilnost radi smanjenja obveza u području zaštite podataka (vidjeti u tom pogledu Kuner, C., Bygave, L. A. i Docksey, C., „Background and Evolution of the EU General Data Protection Regulation (GDPR)”, u Kuner, C., Bygrave, L. A., Docksey, C. i Drechsler, L. (ur.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020., str. 1. do 47.), tu namjeru Vijeće nije slijedilo u uvodnoj izjavi 26. OUZP‑a, čiji je tekst preuzet u uvodnoj izjavi 16. Uredbe 2018/1725.
(
24
)	Kao što je to naveo nezavisni odvjetnik M. Campos Sánchez‑Bordona u točkama 64. do 67. svojeg mišljenja u predmetu Breyer (C‑582/14, EU:C:2016:339), „[n]ikad se ne može u potpunosti otkloniti mogućnost da je treća osoba u posjedu podataka podobnih za kombiniranje s drugim podacima, čime bi se mogao otkriti identitet konkretne osobe. […] Međutim, vjerujem da ova legitimna zabrinutost ne može ignorirati normativnu volju zakonodavca i da se sustavno tumačenje uvodne izjave [16. Uredbe 2018/1725] ograničava na ‚sredstva koja […] mogu razumno koristiti’ druge osobe”.
(
25
)	Primjerice, u presudi Breyer dinamična IP adresa koja se nalazi u posjedu pružatelja usluga internetskih medija, iako je odvojena od identifikacijskih podataka koji su u posjedu pružatelja internetskog pristupa, kvalificira se kao „osobni podatak” jer je pružatelj usluga internetskih medija raspolagao sredstvima koja se mogu opravdano koristiti za utvrđivanje identiteta ispitanika na temelju te IP adrese. Isto tako, u presudi od 9. studenoga 2023., Gesamtverband Autoteile‑Handel (Pristup informacijama o vozilima) (C‑319/22, EU:C:2023:837), bila je riječ o identifikacijskom broju vozila (VIN), koji se definira kao alfanumerički kôd koji je proizvođač dodijelio vozilu kako bi se osigurala ispravna identifikacija tog vozila. Iako on kao takav nema osobni karakter, taj VIN postaje osobni za onoga tko ima razumnu mogućnost uporabe sredstava koja omogućuju da se taj podatak poveže s određenom osobom (točka 46.) i tako poveže s pojedincem čiji je identitet utvrđen ili se može utvrditi (točka 49.). Isto tako, osobni podatak predstavlja i priopćenje za medije Europskog ureda za borbu protiv prijevara (OLAF) koje sadržava identifikatore na temelju kojih je moguće utvrditi identitet žalitelja, bilo na temelju jednostavnog objektivnog čitanja tog priopćenja, bilo pomoću sredstava koja „mo[že] po svemu sudeći upotrijebiti” jedan od čitatelja tog priopćenja (presuda od 7. ožujka 2024., OC/Komisija, C‑479/22 P, EU:C:2024:215). Na isti je način, u presudi od 7. ožujka 2024., IAB Europe (C‑604/22, EU:C:2024:214), udruženje IAB, koje zastupa poduzetnike u sektoru digitalnog oglašavanja i marketinga, uspostavilo okvir za registraciju preferencija korisnikâ internetskih stranica koje se kodiraju uz pomoć niza „TC String” (kombinacija slova i znakova). Taj TC String smatrao se osobnim podatkom jer je, povezan s identifikatorom, omogućivao identifikaciju korisnika interneta o kojem je riječ, uključujući i za IAB, koji nije posjedovao elemente za identifikaciju, ali im je razumnim sredstvima neizravno mogao pristupiti (točke 48. do 50. presude).
(
26
)	Iz točke 46. presude Breyer proizlazi da je to slučaj ako je identifikacija osobe o kojoj je riječ zabranjena zakonom ili neostvariva u praksi, primjerice, zbog toga što bi značila nerazmjerne napore u pogledu vremena, troškova i rada.
(
27
)	Primjerice, može se uputiti na obveze koje proizlaze iz prava na ispravak osobnih podataka predviđenog člankom 18. Uredbe 2018/1725.
(
28
)	Vidjeti po analogiji presudu od 29. srpnja 2019., Fashion ID (C‑40/17, EU:C:2019:629, t. 104. i navedena sudska praksa). Vidjeti i mišljenje nezavisnog odvjetnika M. Szpunara u predmetu Association Mousse (C‑394/23, EU:C:2024:610, t. 58.).
(
29
)	Vidjeti po analogiji presude od 1. listopada 2015., Bara i dr. (C‑201/14, EU:C:2015:638, t. 34.); od 1. listopada 2019., Planet49 (C‑673/17, EU:C:2019:801, t. 77.) i od 11. srpnja 2024., Meta Platforms Ireland (Predstavnička tužba) (C‑757/22, EU:C:2024:598, t. 57.). U uvodnoj izjavi 36. Uredbe 2018/1725 usto se pojašnjava da, „[a]ko se osobni podaci legitimno mogu otkriti drugom primatelju, ispitanika bi trebalo informirati kada se osobni podaci prvi put otkrivaju primatelju”. Drugim riječima, ako se pojavi novi element, o tome treba obavijestiti ispitanike prije te „daljnje obrade” (vidjeti u tom smislu i po analogiji presudu od 27. travnja 2022., Roos i dr./Parlament, T‑710/21, T‑722/21 i T‑723/21, EU:T:2022:262, t. 171.).
(
30
)	Vidjeti po analogiji presudu od 11. srpnja 2024., Meta Platforms Ireland (Predstavnička tužba) (C‑757/22, EU:C:2024:598, t. 60.) i točku 47. mišljenja nezavisnog odvjetnika J. Richarda de la Toura u istom predmetu (EU:C:2024:88). Vidjeti i članak 14. stavak 1. Uredbe 2018/1725 prema kojem „[v]oditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 15. i 16. […] u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika”.
(
31
)	Pod uvjetom da se utvrdi da se taj pristup nije na taj način razmatrao u pismenima, ističem da je on, osim činjenice da se na njega pozivalo na raspravi pred Sudom, relevantan u okviru ovog spora jer se njime nastoji utvrditi relevantno gledište s obzirom na obvezu pružanja informacija o kojoj je riječ. U tom okviru, iako mora odlučivati samo o zahtjevima stranaka, na kojima je da utvrde granice spora, sud ne može biti vezan samo argumentima koje one navode u prilog svojim zahtjevima jer bi u protivnome, ovisno o slučaju, mogao biti prisiljen svoju odluku temeljiti na pogrešnim pravnim razmatranjima (vidjeti presudu od 21. rujna 2010., Švedska i dr./API i Komisija, C‑514/07 P, C‑528/07 P i C‑532/07 P, EU:C:2010:541, t. 65. i navedenu sudsku praksu).
(
32
)	Vidjeti točku 69. ovog mišljenja.
(
33
)	O prethodnom prosljeđivanju informacija kako bi se omogućila informirana privola vidjeti presudu od 11. srpnja 2024., Meta Platforms Ireland (Predstavnička tužba) (C‑757/22, EU:C:2024:598, t. 60.).
(
34
)	Vidjeti bilješku 7. navedenu u točki 12. ovog mišljenja.
(
35
)	Vidjeti točku 13. i sljedeće točke pobijane presude. Vidjeti i SRB‑ove odgovore na pitanja postavljena na raspravi.
(
36
)	O sažetom, transparentnom, razumljivom i lako dostupnom obliku navedenog prosljeđivanja informacija, uz uporabu jasnog i jednostavnog jezika, vidjeti članak 14. stavak 1. Uredbe 2018/1725. Vidjeti i Radnu skupinu iz članka 29., Smjernice o transparentnosti na temelju Uredbe (EU) 2016/679, 11. travnja 2018., WP 260, rev. 01, točka 30.: „Ako promjena informacija upućuje na temeljnu promjenu prirode obrade (npr. povećanje kategorija primatelja ili uvođenje prijenosa u treću zemlju) ili na promjenu koja možda nije temeljna u smislu obrade, ali bi mogla biti relevantna za ispitanika i utjecati na njega, tada bi se te informacije trebale pružiti ispitaniku znatno prije nego što promjena počne stvarno proizvoditi učinke, a metoda koja se primjenjuje za upozoravanje ispitanika na te promjene trebala bi biti izričita i učinkovita. Time se želi osigurati da ispitanicima promjene ne ‚promaknu’, a želi im se omogućiti i razuman rok za (a) razmatranje prirode i učinka te promjene i (b) ostvarivanje njihovih prava na temelju Opće uredbe o zaštiti podataka s obzirom na tu promjenu (npr. prava na povlačenje privole ili prava na ulaganje prigovora na obradu).”
(
37
)	Vidjeti osobito presudu od 29. veljače 2024., Euranimi/Komisija (C‑95/23 P, neobjavljena, EU:C:2024:177, t. 53.).
(
38
)	Vidjeti presudu od 25. siječnja 2022., Komisija/European Food i dr. (C‑638/19 P, EU:C:2022:50, t. 77. i navedena sudska praksa).
(
39
)	Vidjeti osobito u tom smislu presudu od 4. svibnja 2023., Bundesrepublik Deutschland (Elektronički sudski poštanski pretinac) (C‑60/22, EU:C:2023:373, t. 53. i navedena sudska praksa). Za teret dokazivanja postojanja privole za obradu podataka koji je na voditelju navedene obrade vidjeti i presudu od 11. studenoga 2020., Orange Romania (C‑61/19, EU:C:2020:901, t. 52.).
(
40
)	Vidjeti po analogiji, u okviru tužbe za naknadu štete koja se temelji na OUZP‑u, presudu od 25. siječnja 2024., MediaMarktSaturn (C‑687/21, EU:C:2024:72, t. 43. do 45.): na voditelju obrade o kojem je riječ je teret dokazivanja toga da su sigurnosne mjere koje je on proveo bile odgovarajuće i sud pred kojim je pokrenut postupak treba uzeti u obzir sve dokaze koje je voditelj obrade podnio kako bi dokazao prikladnost tehničkih i organizacijskih mjera koje je proveo radi ispunjavanja svojih obveza. Međutim, činjenica da su djelatnici voditelja obrade pogreškom neovlaštenoj trećoj osobi predali dokument koji sadržava osobne podatke sama po sebi nije dovoljna da bi se smatralo da tehničke i organizacijske mjere koje je proveo predmetni voditelj obrade nisu bile „odgovarajuće”.
(
41
)	Vidjeti točke 59. i 60. ovog mišljenja.
(
42
)	Vidjeti u tom pogledu Komisijinu usporedbu s pravom državnih potpora u presudi od 12. listopada 2023., Larko/Komisija (C‑445/22 P, EU:C:2023:773, t. 29.); kao što je kvalifikacija određene mjere kao državne potpore preduvjet za to da je ta mjera u nadležnosti Komisije kako bi se osigurala provedba članaka 107. i 108. UFEU‑a, ovdje je kvalifikacija „osobnih podataka” preduvjet za primjenu Uredbe 2018/1725 i za to da EDPS bude nadležan (vidjeti članak 52. stavak 3. te uredbe).