62023CJ0413_RES
Byla C‑413/23 P
Europos duomenų apsaugos priežiūros pareigūnas
prieš
Bendrą pertvarkymo valdybą
2025 m. rugsėjo 4 d. Teisingumo Teismo (pirmoji kolegija) sprendimas
„Apeliacinis skundas – Fizinių asmenų apsauga tvarkant asmens duomenis – Kompensacijos banko įstaigos akcininkams ir kreditoriams procedūra po jo pertvarkymo – Europos duomenų apsaugos priežiūros pareigūno sprendimas, kuriuo nustatoma, kad Bendra pertvarkymo valdyba pažeidė savo pareigas, susijusias su asmens duomenų tvarkymu – Reglamentas (ES) 2018/1725 – 15 straipsnio 1 dalies d punktas – Pareiga informuoti duomenų subjektą – Duomenų, kuriems suteikti pseudonimai, perdavimas trečiajam asmeniui – 3 straipsnio 1 punktas – Sąvoka „asmens duomenys“ – 3 straipsnio 6 punktas – Sąvoka „pseudonimų suteikimas““
Europos Sąjungos institucijos – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2018/1725 – Asmens duomenų sąvoka – Bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti – Bendros pertvarkymo valdybos (BPV) pradėta procedūra dėl teisės būti išklausytam nustačius banko pertvarkymo priemones – Akcininkų ir kreditorių, kuriems šios priemonės daro poveikį, komentarai, pateikti BPV – Komentarų, kuriems suteikti pseudonimai, BVP atliekamas perdavimas nepriklausomam trečiajam asmeniui įvertinti – Įvertinimas, ar gali būti nustatyta duomenų subjektų tapatybė – Įtraukimas – Išimtis – Negalėjimas nustatyti duomenų subjektų tapatybės
(Europos Parlamento ir Tarybos reglamento 2018/1725 17 konstatuojamoji dalis, 3 straipsnio 1 ir 6 punktai)
(žr. 54–60, 72–76, 82, 85, 86 punktus)
Europos Sąjungos institucijos – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2018/1725 – Pareiga informuoti, kai iš duomenų subjektų renkami asmens duomenys – Bendros pertvarkymo valdybos (BPV) pradėta procedūra dėl teisės būti išklausytam nustačius banko pertvarkymo priemones – Akcininkų ir kreditorių, kuriems šios priemonės daro poveikį, komentarai, pateikti BPV – Komentarų, kuriems suteikti pseudonimai, BVP atliekamas perdavimas nepriklausomam trečiajam asmeniui įvertinti – BPV pareiga informuoti apie surinktų asmens duomenų gavėjus prieš perduodant minėtus komentarus – Vertinimas, ar galima nustatyti duomenų subjektų tapatybę, duomenų rinkimo metu ir duomenų valdytojo požiūriu
(Europos Parlamento ir Tarybos reglamento 2018/1725 15 straipsnio 1 dalies d punktas)
(žr. 103, 106, 108–112, 115 punktus)
Santrauka
Gavęs Europos duomenų apsaugos priežiūros pareigūno (EDAPP) apeliacinį skundą, Teisingumo Teismas panaikino Sprendimą BPV / EDAPP (
1
) ir grąžino bylą Bendrajam Teismui. Tai darydamas, jis patikslino sąvoką „asmens duomenys“, kiek tai susiję su duomenimis, kuriems suteikti pseudonimai, ir, konkrečiai kalbant, su informacija, kuri turi būti pateikta duomenų subjektui, kai tokie duomenys perduodami trečiajam asmeniui.
Nagrinėjamu atveju 2017 m. birželio 7 d. sprendimu Bendra pertvarkymo valdyba (BPV) pritaikė Banco Popular Español SA (toliau – Banco Popular) pertvarkymo procedūrą, kurią tą pačią dieną patvirtino Europos Komisija. 2018 m. rugpjūčio 6 d. BPV savo interneto svetainėje paskelbė pranešimą dėl savo preliminaraus sprendimo dėl to, ar reikia skirti kompensaciją akcininkams ir kreditoriams, patiriantiems poveikį dėl šios įstaigos pertvarkymo. Tam, kad galėtų priimti galutinį sprendimą šiuo klausimu, savo preliminariame sprendime ji nurodė, kad reikia surengti procedūrą, kuri leistų suinteresuotiesiems asmenims pasinaudoti teise būti išklausytiems. Buvo surinkti dalyvaujančių akcininkų ir kreditorių duomenys, įskaitant duomenis apie jų tapatybę ir Banco Popular kapitalo priemonių nuosavybę. BPV patikrinus tų asmenų statusą remiantis surinktais duomenimis, šie pateikė komentarus dėl preliminaraus sprendimo. Kai kurie iš jų, kaip duomenys, kuriems suteikti pseudonimai, buvo perduoti Deloitte, audito ir konsultacijų bendrovei, kuriai BPV pavedė atlikti pertvarkymo procedūros poveikio akcininkams ir kreditoriams vertinimą (
2
).
2019 m. keli poveikį patiriantys akcininkai ir kreditoriai pagal Reglamentą 2018/1725 (
3
) perdavė EDAPP penkis skundus, motyvuodami tuo, kad BPV jiems nepranešė, kad surinkti jų duomenys bus perduoti trečiosioms šalims.
EDAPP į tai atsižvelgė priimdamas pirminį sprendimą, kuris, BPV pateikus prašymą atlikti peržiūrą, buvo panaikintas ir pakeistas peržiūrėtu sprendimu. Jo nuomone, šiuo atveju Deloitte buvo pareiškėjų asmens duomenų gavėja (
4
). Be to, jis nustatė, kad BPV pažeidė Reglamente 2018/1725 numatytą pareigą informuoti (
5
). Tiksliau tariant, jis jai priekaištavo, kad pranešime dėl privatumo dėl asmens duomenų tvarkymo, pateiktame per teisę būti išklausytam procedūrą, nebuvo paminėta, kad Deloitte yra potenciali BPV surinktų ir tvarkomų asmens duomenų gavėja.
Tada BPV pareiškė ieškinį Bendrajame Teisme, be kita ko, prašydama panaikinti peržiūrėtą EDAPP sprendimą. Bendrasis Teismas iš dalies patenkino šį ieškinį ir panaikino minėtą sprendimą.
Teisingumo Teismo vertinimas
Savo sprendime Teisingumo Teismas išdėstė nuomonę dėl skundžiamame sprendime nagrinėtų sąlygų, kuriomis duomenys gali būti laikomi asmens duomenimis.
Pirma, jis mano, kad Bendrasis Teismas padarė teisės klaidą, kai nusprendė, jog tam, kad padarytų išvadą, jog Deloitte perduotuose komentaruose pateikta informacija „apie“, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 punktą, tuos komentarus pateikusius asmenis, EDAPP turėjo išnagrinėti šių komentarų turinį, tikslą ar poveikį, nes neginčijama, kad jie išreiškia jų autorių nuomonę ar asmeninį požiūrį.
Šiuo aspektu Teisingumo Teismas priminė savo jurisprudenciją, pagal kurią informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti, yra tokia informacija, kuri dėl savo turinio, tikslo ar poveikio yra susijusi su konkrečiu asmeniu (
6
). Taigi informacijos turinio vertinimas nebūtinai turi būti papildytas šios informacijos tikslo ir poveikio analize, kaip nurodo jungtukas „arba“, jungiantis įvairius šioje jurisprudencijoje nurodytus kriterijus.
Teisingumo Teismas pažymėjo, kad Bendrojo Teismo aiškinimu, pagal kurį EDAPP negalėjo Deloitte perduotuose komentaruose pateiktos informacijos kvalifikuoti kaip asmens duomenų remdamasis vien išvada, kad tai buvo asmeninės nuomonės ar požiūriai, bet taip pat turėjo išnagrinėti taip pareikštų nuomonių turinį, tikslą ir poveikį, kad nustatytų, ar jos yra apie nustatytą asmenį, neatsižvelgiama į ypatingą asmeninių nuomonių ar požiūrių, kurie, kaip asmens mąstymo išraiška, yra glaudžiai su juo susiję, pobūdį (
7
).
Antra, Teisingumo Teismas išdėstė nuomonę dėl Reglamento 2018/1725 3 straipsnio 1 punkte numatytos sąlygos, susijusios su atitinkamo fizinio asmens „tapatybės nustatymu“, konkrečiai kalbant, dėl EDAPP argumentų, kad duomenys, kuriems suteikti pseudonimai, bet kuriuo atveju turi būti laikomi asmens duomenimis kiekvieno asmens atžvilgiu.
Teisingumo Teismas nusprendė, kad, priešingai, nei teigia EDAPP, duomenys, kuriems suteikti pseudonimai, bet kuriuo atveju neturi būti laikomi asmens duomenimis kiekvieno asmens atžvilgiu taikant Reglamentą 2018/1725, jeigu pseudonimų suteikimas, atsižvelgiant į konkretų atvejį, gali veiksmingai užkirsti kelią kitiems asmenims nei duomenų valdytojas nustatyti duomenų subjekto tapatybę taip, kad jų atveju duomenų subjekto tapatybė nėra arba nebegali būti nustatyta.
Visų pirma Teisingumo Teismas pažymėjo, kad pagal Reglamentą 2018/1725 (
8
) pseudonimų suteikimas nėra „asmens duomenų“ apibrėžties elementas, o yra susijęs su techninių ir organizacinių priemonių, kuriomis siekiama sumažinti duomenų visumos susiejimo su duomenų subjektų tapatybe riziką, įdiegimu.
Be to, jis patikslino, kad sąvoka „pseudonimų suteikimas“ reiškia, kad yra informacijos, leidžiančios nustatyti atitinkamo asmens tapatybę. Dėl paties tokios informacijos buvimo duomenų, kuriems suteikti pseudonimai, bet kuriuo atveju negalima laikyti anoniminiais duomenimis, nepatenkančiais į Reglamento 2018/1725 taikymo sritį.
Galiausiai jis pažymėjo, kad pseudonimų suteikimo tikslas yra visų pirma užkirsti kelią tam, kad atitinkamo asmens tapatybė būtų nustatyta remiantis vien tik duomenimis, kuriems suteikti pseudonimai (
9
). Iš tiesų, jeigu tokios techninės ir organizacinės priemonės, kurių reikalaujama pseudonimų suteikimo atveju pagal Reglamentą 2018/1725, yra veiksmingai įgyvendintos ir gali užkirsti kelią atitinkamų duomenų priskyrimui duomenų subjektui taip, kad jo tapatybė nėra arba nebegali būti nustatyta, pseudonimų suteikimas gali turėti įtakos šių duomenų priskyrimui asmens duomenims. Šiuo klausimu jis patikslino, kad, kaip paprastai būna duomenų valdytojo, kuris suteikė pseudonimus, atveju, nagrinėjamu atveju BPV turi papildomos informacijos, leidžiančios Deloitte perduotus komentarus priskirti duomenų subjektui. Taigi, BPV nuomone, šie komentarai, nepaisant pseudonimų suteikimo, išsaugo savo asmens duomenų pobūdį. Vis dėlto dėl Deloitte Teisingumo Teismas pažymėjo, kad minėtos techninės ir organizacinės priemonės gali lemti tai, kad šiai bendrovei šie komentarai nėra asmens duomenų pobūdžio. Vis dėlto tai reiškia, kad, pirma, Deloitte negali panaikinti šių priemonių, jai prižiūrint nagrinėjant minėtus komentarus, ir, antra, šios priemonės iš tikrųjų gali sutrukdyti Deloitte priskirti tuos pačius komentarus duomenų subjektui naudojantis kitomis tapatybės nustatymo priemonėmis, kaip antai sulyginimu su kitomis tapatybės nustatymo priemonėmis.
Teisingumo Teismo teigimu, tiek iš Reglamento 2018/1725 16 konstatuojamosios dalies, tiek iš jo jurisprudencijos matyti, kad vien papildomos informacijos, leidžiančios nustatyti duomenų subjekto tapatybę, buvimas nereiškia, kad duomenys, kuriems suteikti pseudonimai, bet kuriuo atveju ir kiekvieno asmens atžvilgiu turi būti laikomi asmens duomenimis Reglamento 2018/1725 taikymo tikslais. Šiuo klausimu jis priminė, kad, kiek tai susiję su pranešimu spaudai, kuriame pateikta tam tikra informacija apie asmenį, nenurodant jo pavardės, jis neapsiribojo konstatavimu, kad šį pranešimą paskelbusi Sąjungos įstaiga turėjo visą informaciją, leidžiančią nustatyti šio asmens tapatybę, bet išnagrinėjo, ar minėtame pranešime pateikta informacija leidžia suinteresuotajai visuomenei pagrįstai nustatyti šio asmens tapatybę, be kita ko, pasitelkiant tiek šias nuorodas, tiek internete prieinamą informaciją (
10
). Be to, jis jau yra nusprendęs, kad priemonė negali būti pagrįstai naudojama atitinkamo asmens tapatybei nustatyti, kai asmens tapatybės nustatymo rizika iš tikrųjų atrodo nereikšminga, nes šio asmens tapatybės nustatymas yra draudžiamas pagal įstatymą arba praktiškai neįmanomas, pavyzdžiui, dėl to, kad jis reikalauja neproporcingų pastangų laiko, sąnaudų ir žmogiškųjų išteklių požiūriu (
11
). Vadovaudamasis ta pačia logika jis konstatavo, kad patys duomenys, kurie nėra asmens duomenys, kuriuos surinko ir saugo duomenų valdytojas, vis dėlto yra apie asmenį, kurio tapatybė gali būti nustatyta, jeigu duomenų valdytojas teisėtais būdais gali gauti šią papildomą informaciją, leidžiančią nustatyti asmens tapatybę, iš kitų asmenų (
12
). Iš tiesų, anot Teisingumo Teismo, tokiomis aplinkybėmis tai, kad informaciją, leidžiančią nustatyti duomenų subjekto tapatybę, turėjo įvairūs asmenys, negalėjo veiksmingai užkirsti kelio jo tapatybei nustatyti taip, kad duomenų valdytojas negalėtų jo nustatyti.
Teisingumo Teismas primena, kad savaime asmens duomenims nepriskirtini duomenys gali tapti „asmens duomenimis“, kai duomenų valdytojas juos pateikia kitiems asmenims, turintiems priemonių, kurios pagrįstai gali leisti nustatyti duomenų subjekto tapatybę (
13
). Kiek tai susiję su tokios galimybės suteikimu, minėti duomenys yra asmens duomenys tiek šiems asmenims, tiek netiesiogiai duomenų valdytojui.
Teisingumo Teismas konstatavo, kad Bendrasis Teismas padarė teisės klaidą, kai nusprendė, kad siekdamas įvertinti, ar BPV laikėsi pareigos informuoti, EDAPP turėjo išnagrinėti, ar Deloitte perduoti komentarai jos požiūriu yra asmens duomenys.
Pirmiausia Teisingumo Teismas pažymėjo, kad nors Reglamente 2018/1725 aiškiai nenurodyta, koks požiūris yra reikšmingas vertinant, ar duomenų subjekto tapatybė gali būti nustatyta, iš jurisprudencijos (
14
) matyti, kad vertinant, ar duomenų subjekto tapatybė gali būti nustatyta, reikšmingas požiūris iš esmės priklauso nuo aplinkybių, apibūdinančių duomenų tvarkymą kiekvienu konkrečiu atveju.
Nagrinėjamu atveju dėl Reglamento 2018/1725 15 straipsnio 1 dalies d punkte nurodytos pareigos informuoti apie galimus asmens duomenų gavėjus Teisingumo Teismas patikslino, kad tai yra informacija, kuri, be kita ko, turi būti pateikta „duomenų gavimo metu“, t. y. renkant duomenis iš duomenų subjekto. Pabrėždamas šios pareigos informuoti laikymosi svarbą, Teisingumo Teismas pažymėjo, kad kai tokių duomenų rinkimas, kaip nagrinėjamu atveju, grindžiamas duomenų subjekto sutikimu, jo galiojimas priklauso, be kita ko, nuo to, ar duomenų subjektas iš anksto gavo informaciją apie visas su nagrinėjamų duomenų tvarkymu susijusias aplinkybes, į kurias jis turėjo teisę pagal Reglamento 2018/1725 15 straipsnį ir kurios jam leidžia duoti sutikimą žinant visas aplinkybes. Pareiga pateikti duomenų subjektui – renkant su juo susijusius asmens duomenis – informaciją apie galimus šių duomenų gavėjus, be kita ko, siekiama suteikti šiam asmeniui galimybę žinant visas aplinkybes nuspręsti, ar jis pateiks iš jo renkamus asmens duomenis, ar, priešingai, atsisakys juos pateikti.
Teisingumo Teismas pridūrė, kad pareiga informuoti renkant asmens duomenis ne tik būtina, kad duomenų subjektas vėliau galėtų ginti savo teises šių gavėjų atžvilgiu, bet ir, be kita ko, užtikrina, kad duomenų valdytojas be duomenų subjekto sutikimo nerinktų šių duomenų ar net be jo sutikimo neperduotų tretiesiems asmenims.
Pareiga pateikti informaciją yra duomenų subjekto ir duomenų valdytojo teisinių santykių dalis, todėl jos dalykas yra su šiuo subjektu susijusi informacija, kuri buvo perduota šiam duomenų valdytojui, taigi ji taikoma prieš bet kokį galimą perdavimą trečiajam asmeniui.
Teisingumo Teismas nurodė, kad taikant Reglamente 2018/1725 numatytą pareigą informuoti galimybė nustatyti duomenų subjekto tapatybę turi būti vertinama duomenų rinkimo momentu ir duomenų valdytojo požiūriu. BPV pareiga pateikti informaciją buvo taikoma prieš perduodant aptariamus komentarus ir neatsižvelgiant į tai, ar Deloitte požiūriu po galimo pseudonimų jiems suteikimo jie yra asmens duomenys.
(
1
)	2023 m. balandžio 26 d. Sprendimas BPV / EDAPP (T‑557/20, toliau – skundžiamas sprendimas, EU:T:2023:219).
(
2
)	Vertinimas, numatytas 2014 m. liepos 15 d. Europos Parlamento ir Tarybos reglamento (ES) Nr. 806/2014, kuriuo nustatomos kredito įstaigų ir tam tikrų investicinių įmonių pertvarkymo vienodos taisyklės ir vienoda procedūra, kiek tai susiję su bendru pertvarkymo mechanizmu ir Bendru pertvarkymo fondu, ir iš dalies keičiamas Reglamentas (ES) Nr. 1093/2010 (OL L 225, 2014, p. 1), 20 straipsnio 16–18 dalyse.
(
3
)	2018 m. spalio 23 d. Europos Parlamento ir Tarybos reglamentas (ES) 2018/1725 dėl fizinių asmenų apsaugos Sąjungos institucijoms, organams, tarnyboms ir agentūroms tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo, kuriuo panaikinamas Reglamentas (EB) Nr. 45/2001 ir Sprendimas Nr. 1247/2002/EB (OL L 295, 2018, p. 39).
(
4
)	Kaip ji suprantama pagal Reglamento Nr. 2018/1725 3 straipsnio 13 punktą.
(
5
)	Reglamento 2018/1725 15 straipsnio 1 dalies d punktas.
(
6
)	2017 m. gruodžio 20 d. Sprendimas Nowak (C‑434/16, EU:C:2017:994, 35 punktas), 2024 m. kovo 7 d. Sprendimas OC / Komisija (C‑479/22 P, EU:C:2024:215, 45 punktas) ir 2024 m. kovo 7 d. Sprendimas IAB Europe (C‑604/22, EU:C:2024:214, 37 punktas ir jame nurodyta jurisprudencija).
(
7
)	Aiškinimas patvirtintas 2017 m. gruodžio 20 d. Sprendime Nowak (C‑434/16, EU:C:2017:994) suformuota jurisprudencija.
(
8
)	Reglamento 2018/1725 3 straipsnio 1 ir 6 punktai.
(
9
)	Reglamento 2018/1725 3 straipsnio 6 punkte reikalaujama nustatyti atskirą tapatybės nustatymo informacijos saugojimą ir technines bei organizacines priemones, „siekiant užtikrinti asmens duomenų nepriskyrimą fiziniam asmeniui, kurio tapatybė yra nustatyta arba kurio tapatybę galima nustatyti“.
(
10
)	2024 m. kovo 7 d. Sprendimas OC / Komisija (C 479/22 P, EU:C:2024:215, 52–64 punktai).
(
11
)	2024 m. kovo 7 d. Sprendimas OC / Komisija (C‑479/22 P, EU:C:2024:215, 51 punktas ir jame nurodyta jurisprudencija).
(
12
)	2016 m. spalio 19 d. Sprendimas Breyer (C‑582/14, EU:C:2016:779, 44, 47 ir 48 punktai) ir 2024 m. kovo 7 d. Sprendimas IAB Europe (C‑604/22, EU:C:2024:214, 43 ir 48 punktai).
(
13
)	2023 m. lapkričio 9 d. Sprendimas Gesamtverband Autoteile-Handel (Galimybė susipažinti su informacija apie transporto priemones) (C‑319/22, EU:C:2023:837, 46 ir 49 punktai).
(
14
)	Šios santraukos 10–12 išnašose priminta jurisprudencija.