62023CJ0413_RES
Asia C‑413/23 P
Euroopan tietosuojavaltuutettu
vastaan
Yhteinen kriisinratkaisuneuvosto
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 4.9.2025
Muutoksenhaku – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Pankin osakkeenomistajille ja velkojille pankin kriisinratkaisun johdosta maksettavaa korvausta koskeva menettely – Euroopan tietosuojavaltuutetun päätös, jossa todetaan, että yhteinen kriisinratkaisuneuvosto on laiminlyönyt henkilötietojen käsittelyä koskevat velvoitteensa – Asetus (EU) 2018/1725 – 15 artiklan 1 kohdan d alakohta – Velvollisuus toimittaa tietoja rekisteröidylle – Pseudonymisoitujen tietojen siirtäminen kolmannelle osapuolelle – 3 artiklan 1 alakohta – Henkilötietojen käsite – 3 artiklan 6 alakohta – Pseudonymisoinnin käsite
Euroopan unionin toimielimet – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2018/1725 – Henkilötietojen käsite – Kaikki tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyvät tiedot – Oikeuteen tulla kuulluksi liittyvä menettely, jonka yhteinen kriisinratkaisuneuvosto (SRB) käynnistää pankin kriisinratkaisutoimenpiteiden yhteydessä – Osakkeenomistajien ja velkojien, joihin nämä toimenpiteet vaikuttavat, SRB:lle esittämät huomautukset – SRB:n riippumattomalle kolmannelle osapuolelle arviointia varten toimittamat pseudonymisoidut huomautukset – Rekisteröityjen tunnistettavuuden arviointi – Kuuluminen käsitteeseen – Poikkeus – Rekisteröidyt eivät ole tunnistettavissa
(Euroopan parlamentin ja neuvoston asetuksen 2018/1725 johdanto-osan 17 perustelukappale sekä 3 artiklan 1 ja 6 alakohta)
(ks. 54, 60 72–76, 82, 85 ja 86 kohta)
Euroopan unionin toimielimet – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2018/1725 – Tietojen toimittamista koskeva velvollisuus kerättäessä henkilötietoja rekisteröidyltä – Oikeuteen tulla kuulluksi liittyvä menettely, jonka yhteinen kriisinratkaisuneuvosto (SRB) käynnistää pankin kriisinratkaisutoimenpiteiden yhteydessä – Osakkeenomistajien ja velkojien, joihin nämä toimenpiteet vaikuttavat, SRB:lle esittämät huomautukset – SRB:n riippumattomalle kolmannelle osapuolelle arviointia varten toimittamat pseudonymisoidut huomautukset – SRB:lle kuuluva velvollisuus antaa tietoja kerättyjen henkilötietojen vastaanottajista ennen kyseisten huomautusten siirtämistä – Rekisteröityjen tunnistettavuuden arviointi tietoja kerättäessä ja rekisterinpitäjän näkökulmasta
(Euroopan parlamentin ja neuvoston asetuksen 2018/1725 15 artiklan 1 kohdan d alakohta)
(ks. 103-106, 108-112 ja 115 kohta)
Tiivistelmä
Euroopan tietosuojavaltuutetun (EDPS) tekemän valituksen johdosta unionin tuomioistuin kumosi tuomion SRB v. EDPS (
1
) ja palautti asian unionin yleiseen tuomioistuimeen. Näin tehdessään se täsmensi henkilötietojen käsitettä pseudonymisoitujen tietojen yhteydessä ja erityisesti niiden tietojen yhteydessä, jotka rekisteröidylle on toimitettava silloin, kun pseudonymisoituja tietoja siirretään kolmannelle osapuolelle.
Nyt käsiteltävässä asiassa yhteinen kriisinratkaisuneuvosto (SRB) asetti 7.6.2017 tekemällään päätöksellä Banco Popular Español SA:n (jäljempänä Banco Popular) kriisinratkaisumenettelyyn, jonka Euroopan komissio hyväksyi samana päivänä. SRB julkaisi 6.8.2018 verkkosivustollaan tiedonannon alustavasta päätöksestään, joka koski tarvetta myöntää korvaus osakkeenomistajille ja velkojille, joihin kyseistä laitosta koskevat kriisinratkaisutoimet olivat vaikuttaneet. Voidakseen tehdä tältä osin lopullisen päätöksen se täsmensi alustavassa päätöksessään, että oli järjestettävä menettely, jossa asianomaiset osakkeenomistajat ja velkojat saattoivat käyttää oikeuttaan tulla kuulluksi. Siihen osallistuvilta osakkeenomistajilta ja velkojilta kerättiin tietoja, jotka koskivat muun muassa niiden henkilöllisyyttä ja näyttöä Banco Popularin pääomainstrumenttien omistuksesta. Kun SRB oli varmistanut niiden aseman kerättyjen tietojen avulla, kyseiset henkilöt esittivät huomautuksia alustavasta päätöksestä. Osa niistä siirrettiin pseudonymisoituina tietoina Deloittelle, joka on tilintarkastus- ja konsulttiyhtiö, jolle SRB oli antanut tehtäväksi arvostuksen kriisinratkaisumenettelyn vaikutuksista osakkeenomistajiin ja velkojiin (
2
).
Useat kyseeseen tulevat osakkeenomistajat ja velkojat toimittivat vuonna 2019 EDPS:lle viisi kantelua asetuksen 2018/1725 (
3
) nojalla sillä perusteella, että SRB ei ollut ilmoittanut niille, että niitä koskevat kerätyt tiedot välitettäisiin kolmansille osapuolille.
EDPS antoi tämän jälkeen alkuperäisen päätöksen, joka SRB:n uudelleentarkastelua koskevan pyynnön jälkeen kumottiin ja korvattiin tarkistetulla päätöksellä. Siinä EDPS katsoi, että käsiteltävässä asiassa Deloitte oli kantelijoiden henkilötietojen vastaanottaja (
4
). Lisäksi se katsoi, että SRB oli laiminlyönyt asetuksessa 2018/1725 asetetun tietojen toimittamista koskevan velvollisuuden (
5
). Tarkemmin sanoen se ei ollut maininnut Deloittea SRB:n tietosuojaselosteessa niiden henkilötietojen mahdollisena vastaanottajana, jotka SRB:n rekisterinpitäjänä keräsi ja joita se käsitteli oikeuteen tulla kuulluksi liittyneessä menettelyssä.
SRB nosti tämän jälkeen unionin yleisessä tuomioistuimessa kanteen, jossa se vaati muun muassa EDPS:n tarkistetun päätöksen kumoamista. Unionin yleinen tuomioistuin hyväksyi kanteen osittain ja kumosi kyseisen päätöksen.
Unionin tuomioistuimen arviointi asiasta
Unionin tuomioistuin ottaa tuomiossaan kantaa valituksenalaisessa tuomiossa tarkasteltuihin edellytyksiin, joiden täyttyessä tietoja voidaan pitää henkilötietoina.
Ensinnäkin se katsoo, että unionin yleinen tuomioistuin teki oikeudellisen virheen katsoessaan, että EDPS:n olisi pitänyt tutkia Deloittelle toimitettujen huomautusten sisältö, tarkoitus tai vaikutukset sen toteamiseksi, että näistä huomautuksista ilmenevät tiedot liittyivät asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitetulla tavalla kyseiset huomautukset toimittaneisiin henkilöihin, koska oli kiistatonta, että ne ilmaisivat laatijoidensa mielipiteen tai henkilökohtaisen näkemyksen.
Tästä unionin tuomioistuin huomauttaa, että tieto koskee tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, kun se ”liittyy” tunnistettavissa olevaan henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi (
6
). Näin ollen tiedon sisällön tutkimista ei tarvitse välttämättä täydentää kyseisen tiedon tarkoituksen ja vaikutusten arvioinnilla, kuten kyseisessä oikeuskäytännössä tarkoitetut eri kriteerit yhdistävän konjunktion ”tai” käyttö osoittaa.
Unionin tuomioistuin korostaa, että unionin yleisen tuomioistuimen tulkinnassa, jonka mukaan EDPS ei voinut luokitella Deloittelle toimitetuista huomautuksista ilmeneviä tietoja henkilötiedoiksi pelkästään sen toteamuksen perusteella, että kyse oli henkilökohtaisista mielipiteistä tai näkemyksistä, vaan sen olisi pitänyt tutkia lisäksi näin esitettyjen mielipiteiden sisältö, tarkoitus ja vaikutus määrittääkseen, liittyivätkö ne tiettyyn henkilöön, ei oteta huomioon sellaisten henkilökohtaisten mielipiteiden tai näkemysten erityistä luonnetta, jotka henkilön ajattelun ilmentymänä liittyvät väistämättä läheisesti tähän henkilöön (
7
).
Toiseksi unionin tuomioistuin lausuu asetuksen 2018/1725 3 artiklan 1 alakohdassa säädetystä edellytyksestä, joka koskee asianomaisen luonnollisen henkilön tunnistettavuutta, ja erityisesti EDPS:n väitteestä, jonka mukaan pseudonymisoituja tietoja on joka tapauksessa pidettävä henkilötietoina.
Unionin tuomioistuin katsoo, että toisin kuin Euroopan tietosuojavaltuutettu väittää, unionin yleinen tuomioistuin katsoi perustellusti, että pseudonymisoitujen tietojen ei voida katsoa olevan kaikissa tilanteissa ja kaikkien henkilöiden osalta henkilötietoja asetuksen 2018/1725 soveltamista varten, koska pseudonymisointi voi käsiteltävän asian olosuhteiden mukaan tosiasiallisesti estää muita henkilöitä kuin rekisterinpitäjää tunnistamasta rekisteröityä siten, ettei tämä ei ole tai ei ole enää näiden henkilöiden tunnistettavissa.
Unionin tuomioistuin toteaa aluksi, että asetuksen 2018/1725 (
8
) mukaan pseudonymisointi ei ole osa henkilötietojen määritelmää, vaan sillä viitataan teknisiin ja organisatorisiin toimenpiteisiin, joiden tarkoituksena on vähentää tietojoukon ja rekisteröidyn henkilöllisyyden yhdistämisen riskejä.
Tämän jälkeen se täsmentää, että pseudonymisoinnin käsite edellyttää sellaisten tietojen olemassaoloa, joiden avulla rekisteröity voidaan tunnistaa. Tällaisten tietojen olemassaolo itsessään on esteenä sille, että pseudonymisoituja tietoja voitaisiin joka tapauksessa pitää anonyymeinä tietoina, jotka on suljettu asetuksen 2018/1725 soveltamisalan ulkopuolelle.
Lopuksi se korostaa, että pseudonymisoinnin tavoitteena on muun muassa estää se, että rekisteröity voitaisiin tunnistaa pelkkien pseudonymisoitujen tietojen avulla (
9
). Pseudonymisoinnilla voi nimittäin olla vaikutusta siihen, pidetäänkö näitä tietoja henkilötietoina asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitetulla tavalla, mikäli tällaiset tekniset ja organisatoriset toimenpiteet on tosiasiallisesti toteutettu ja mikäli ne ovat omiaan estämään kyseessä olevien tietojen jakamisen rekisteröidylle siten, ettei hän ole tai ei ole enää tunnistettavissa. Se täsmentää tältä osin, että kuten tavallisesti pseudonymisoinnin suorittaneen rekisterinpitäjän tapauksessa, SRB:llä on nyt käsiteltävässä asiassa lisätietoja, joiden perusteella Deloittelle toimitetut huomautukset voidaan kohdentaa rekisteröidylle. SRB:n mukaan nämä huomautukset ovat siten yhä henkilötietoja pseudonymisoinnista huolimatta. Deloitten osalta unionin tuomioistuin toteaa sitä vastoin, että mainitut tekniset ja organisatoriset toimenpiteet voivat johtaa siihen, etteivät nämä huomautukset ole kyseisen yhtiön kannalta henkilötietoja. Tämä edellyttää kuitenkin yhtäältä, ettei Deloitte pysty peruuttamaan näitä toimenpiteitä sen valvonnassa tapahtuvan huomautusten käsittelyn yhteydessä. Toisaalta mainittujen toimenpiteiden on tosiasiallisesti oltava sellaisia, että ne estävät Deloittea antamasta näitä samoja huomautuksia rekisteröidylle myös turvautumalla muihin tunnistamiskeinoihin, kuten ristiintarkistukseen muiden seikkojen kanssa, niin että rekisteröity ei ole tai ei ole enää tämän yhtiön tunnistettavissa.
Unionin tuomioistuimen mukaan sekä asetuksen 2018/1725 johdanto-osan 16 perustelukappaleesta että unionin tuomioistuimen oikeuskäytännöstä ilmenee, että sellaisten lisätietojen, joiden avulla rekisteröity voidaan tunnistaa, olemassaolo itsessään on esteenä sille, että pseudonymisoituja tietoja voitaisiin joka tapauksessa pitää anonyymeinä tietoina, jotka on suljettu asetuksen 2018/1725 soveltamisalan ulkopuolelle. Tästä se huomauttaa, että kun kyse oli lehdistötiedotteesta, joka sisälsi tietyn määrän tietoja jostakin henkilöstä mainitsematta häntä nimeltä, unionin tuomioistuin ei rajoittunut toteamaan, että kyseisen lehdistötiedotteen julkaisseella unionin elimellä oli käytettävissään kaikki tiedot, joiden avulla kyseinen henkilö voitiin tunnistaa, vaan se tutki, oliko kyseisessä lehdistötiedotteessa olevien tietojen perusteella yleisöllä, jota asia koski, kohtuullisesti mahdollisuus tunnistaa kyseinen henkilö, erityisesti yhdistämällä nämä tiedot internetissä saatavilla oleviin tietoihin (
10
). Unionin tuomioistuin on lisäksi jo todennut, että keinoa ei voida kohtuullisen todennäköisesti käyttää rekisteröidyn tunnistamiseen silloin, kun tämän henkilön tunnistaminen on kielletty laissa tai kun se ei ole käytännössä toteutettavissa esimerkiksi siitä syystä, että se veisi suhteettomasti aikaa ja aiheuttaisi suhteettomasti kustannuksia ja työtä (
11
). Vastaavasti se on katsonut, että rekisterinpitäjän sellaisenaan keräämät ja säilyttämät tiedot liittyvät joka tapauksessa tunnistettavissa olevaan henkilöön, koska rekisterinpitäjällä oli laillisia keinoja sellaisten lisätietojen saamiseksi muilta, joiden avulla tämä henkilö voidaan tunnistaa (
12
). Tällaisessa tilanteessa se, että rekisteröidyn tunnistamisen mahdollistavat tiedot olivat eri henkilöiden hallussa, ei nimittäin ollut tosiasiallisesti esteenä hänen tunnistamiselleen siten, että hän ei ollut rekisterinpitäjän tunnistettavissa.
Erityisesti unionin tuomioistuin muistuttaa, että tiedot, jotka eivät itsessään ole henkilötietoja, voivat muuttua henkilötiedoiksi, kun rekisterinpitäjä asettaa ne muiden sellaisten henkilöiden saataville, joilla on käytettävissään kohtuullisesti toteuttavissa olevia keinoja, joiden avulla rekisteröity voidaan tunnistaa (
13
). Tällaisen saataville asettamisen yhteydessä kyseiset tiedot ovat henkilötietoja sekä näille henkilöille että välillisesti rekisterinpitäjälle.
Kolmanneksi unionin tuomioistuin katsoo, että unionin yleinen tuomioistuin teki oikeudellisen virheen katsoessaan, että arvioidessaan, oliko SRB noudattanut tiedonantovelvollisuuttaan, EDPS:n olisi pitänyt tutkia, olivatko Deloittelle toimitetut huomautukset sen näkökulmasta henkilötietoja.
Unionin tuomioistuin toteaa aluksi, että vaikka asetuksen 2018/1725 3 artiklan 1 alakohdassa ei täsmennetä nimenomaisesti merkityksellistä näkökulmaa rekisteröidyn tunnistettavissa olevan ominaisuuden arvioimiseksi, oikeuskäytännön (
14
) mukaan merkityksellinen näkökulma rekisteröidyn tunnistettavuuden arvioimiseksi riippuu olennaisesti olosuhteista, jotka ovat ominaisia tietojen käsittelylle kussakin yksittäistapauksessa.
Siltä osin kuin käsiteltävässä asiassa on kyse asetuksen 2018/1725 15 artiklan 1 kohdan d alakohdassa tarkoitetusta velvollisuudesta antaa tietoja mahdollisista henkilötietojen vastaanottajista, kun rekisteröidyltä kerätään henkilötietoja, unionin tuomioistuin täsmentää, että kyse on tiedoista, jotka on toimitettava toimitettava rekisteröidylle ”silloin, kun henkilötieoja saadaan”. Unionin tuomioistuin korostaa tämän tiedonantovelvollisuuden noudattamisen merkitystä ja toteaa, että silloin, kun tällaisten tietojen kerääminen rekisteröidyltä – kuten nyt käsiteltävässä asiassa – perustuu rekisteröidyn suostumukseen, rekisteröidyn antaman suostumuksen pätevyys riippuu muun muassa siitä, onko hän saanut ennalta tiedot kaikista kyseessä olevien tietojen käsittelyyn liittyvistä olosuhteista, joihin hänellä oli oikeus asetuksen 2018/1725 15 artiklan nojalla ja joiden perusteella hän voi antaa suostumuksensa asiasta täysin tietoisena. Velvollisuudella toimittaa rekisteröidylle – häneen liittyviä henkilötietoja kerättäessä – tietoja näiden tietojen mahdollisista vastaanottajista pyritään muun muassa mahdollistamaan se, että kyseinen henkilö voi kaikista asiaan vaikuttavista seikoista tietoisena päättää, toimittaako hän hänestä kerättävät henkilötiedot vai kieltäytyykö hän päinvastoin toimittamasta niitä.
Unionin tuomioistuin lisää, että tiedot mahdollisista vastaanottajista ovat välttämättömiä, jotta rekisteröity voi myöhemmin puolustaa oikeuksiaan näitä vastaanottajia vastaan, ja että velvollisuudella antaa nämä tiedot henkilötietoja kerättäessä varmistetaan muun muassa se, että rekisterinpitäjä ei kerää näitä tietoja tai siirrä niitä kolmansille osapuolille vastoin rekisteröidyn tahtoa.
Tiedonantovelvollisuus kuuluu siis rekisteröidyn ja rekisterinpitäjän väliseen oikeussuhteeseen ja se koskee tästä syystä rekisteröityyn liittyviä tietoja sellaisina kuin ne on siirretty rekisterinpitäjälle eli ennen mahdollista siirtämistä kolmannelle osapuolelle.
Niinpä unionin tuomioistuin katsoo, että asetuksessa 2018/1725 säädetyn tiedonantovelvollisuuden soveltamiseksi rekisteröidyn tunnistettavuutta on arvioitava tietoja kerättäessä ja rekisterinpitäjän näkökulmasta. Näin ollen SRB:lle kuuluvaa tiedonantovelvollisuutta sovellettiin käsiteltävässä asiassa ennen kyseessä olevien huomautusten siirtämistä ja riippumatta siitä, olivatko ne Deloitten näkökulmasta henkilökohtaisia vai eivät niiden mahdollisen pseudonymisoinnin jälkeen.
(
1
)	Unionin yleisen tuomioistuimen tuomio 26.4.2023, SRB v. EDPS (T‑557/20, jäljempänä valituksenalainen tuomio, EU:T:2023:219).
(
2
)	Yhdenmukaisten sääntöjen ja yhdenmukaisen menettelyn vahvistamisesta luottolaitosten ja tiettyjen sijoituspalveluyritysten kriisinratkaisua varten yhteisen kriisinratkaisumekanismin ja yhteisen kriisinratkaisurahaston puitteissa sekä asetuksen (EU) N:o 1093/2010 muuttamisesta 15.7.2014 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 806/2014 (EUVL 2014, L 225, s. 1) 20 artiklan 16–18 kohdassa säädetty arvostus.
(
3
)	Luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23.10.2018 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2018/1725 (EUVL 2018, L 295, s. 39).
(
4
)	Asetuksen N:o 2018/1725 3 artiklan 13 alakohta.
(
5
)	Asetuksen 2018/1725 15 artiklan 1 kohdan d alakohta.
(
6
)	Tuomio 20.12.2017, Nowak (C 434/16, EU:C:2017:994, 35 kohta); tuomio 7.3.2024, OC v. komissio (C 479/22 P, EU:C:2024:215, 45 kohta) ja tuomio 7.3.2024, IAB Europe (C‑604/22, EU:C:2024:214, 37 kohta oikeuskäytäntöviittauksineen).
(
7
)	Tulkinta, jota tukee 20.12.2017 annettuun tuomioon Nowak (C 434/16, EU:C:2017:994) perustuva oikeuskäytäntö.
(
8
)	Asetuksen N:o 2018/1725 3 artiklan 1 ja 6 alakohta.
(
9
)	Asetuksen 2018/1725 3 artiklan 6 alakohdassa edellytetään, että tunnistetiedot on säilytettävä erikseen ja että sovelletaan teknisiä ja organisatorisia toimenpiteitä, joilla ”varmistetaan, ettei henkilötietojen yhdistämistä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön tapahdu”.
(
10
)	Tuomio 7.3.2024, OC v. komissio (C‑479/22 P, EU:C:2024:215, 52-64 kohta).
(
11
)	Tuomio 7.3.2024, OC v. komissio (C 479/22 P, EU:C:2024:215, 51 kohta oikeuskäytäntöviittauksineen).
(
12
)	Tuomio 19.10.2016, Breyer (C 582/14, EU:C:2016:779,44, 47 ja 48 kohta), ja tuomio 7.3.2024, IAB Europe (C 604/22, EU:C:2024:214, 43 ja 48 kohta).
(
13
)	Tuomio 9.11.2023, Gesamtverband Autoteile-Handel (Ajoneuvoja koskevien tietojen saatavuus) (C‑319/22, EU:C:2023:837, 46 ja 49 kohta)
(
14
)	Tämän tiivistelmän alaviitteissä 10–12 mainittu oikeuskäytäntö.