62023CJ0413_RES
C‑413/23. P. sz. ügy
Európai adatvédelmi biztos
kontra
Egységes Szanálási Testület
A Bíróság ítélete (első tanács), 2025. szeptember 4.
„Fellebbezés – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – Valamely bank részvényeseinek és hitelezőinek e bank szanálásából következő kárainak megtérítésére irányuló eljárás – Az európai adatvédelmi biztosnak az Egységes Szanálási Testület személyes adatok kezelésével kapcsolatos kötelezettségeinek megsértését megállapító határozata – (EU) 2018/1725 rendelet – A 15. cikk (1) bekezdésének d) pontja – Az érintettnek nyújtandó tájékoztatásra vonatkozó kötelezettség – Álnevesített adatok harmadik fél részére történő továbbítása – A 3. cikk 1. pontja – A »személyes adat« fogalma – A 3. cikk 6. pontja – Az »álnevesítés« fogalma”
Az Európai Unió intézményei – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2018/1725 rendelet – A személyes adatok fogalma – Azonosított vagy azonosítható magánszemélyre vonatkozó valamennyi információ – Az Egységes Szanálási Testület (ESZT) által bankszanálási intézkedések elfogadását követően indított, a meghallgatáshoz való jogra vonatkozó eljárás – Az ezen intézkedések által érintett részvényesek és hitelezők által az ESZT‑hez benyújtott észrevételek – Az ESZT által független harmadik félnek értékelés céljából továbbított álnevesített észrevételek – Az érintett személyek azonosíthatóságának értékelése – Bennfoglaltság – Kivétel – Az érintett személyek azonosításának lehetetlensége
(2018/1725 európai parlamenti és tanácsi rendelet, (17) preambulumbekezdés, valamint 3. cikk, 1. és 6. pont)
(lásd: 54–60., 72–76., 82., 85., 86. pont)
Az Európai Unió intézményei – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2018/1725 rendelet – Tájékoztatási kötelezettség személyes adatoknak az érintettől való gyűjtése esetén – Az Egységes Szanálási Testület (ESZT) által bankszanálási intézkedések elfogadását követően indított, a meghallgatáshoz való jogra vonatkozó eljárás – Az ezen intézkedések által érintett részvényesek és hitelezők által az ESZT‑hez benyújtott észrevételek – Az ESZT által független harmadik félnek értékelés céljából továbbított álnevesített észrevételek – A gyűjtött személyes adatok címzettjeire vonatkozó, az ESZT‑t az említett észrevételek továbbítását megelőzően terhelő tájékoztatási kötelezettség – Az érintettek adatgyűjtés során, az adatkezelő szempontjából való azonosíthatóságának értékelése
(2018/1725 európai parlamenti és tanácsi rendelet, 15. cikk, (1) bekezdés, d) pont)
(lásd: 103., 106., 108–112., 115. pont)
Összefoglalás
Az európai adatvédelmi biztos által benyújtott fellebbezés alapján eljáró Bíróság hatályon kívül helyezte az ESZT kontra európai adatvédelmi biztos ügyben hozott ítéletet, (
1
) és az ügyet visszautalta a Törvényszék elé. Ezáltal pontosításokkal szolgált a „személyes adatok” fogalmát illetően az álnevesített adatokkal, közelebbről pedig az érintettnek abban az esetben nyújtandó tájékoztatással összefüggésben, ha az ilyen adatokat harmadik személynek továbbítják.
A jelen ügyben az Egységes Szanálási Testület (ESZT) 2017. június 7‑i határozatával a Banco Popular Español SA‑t (a továbbiakban: Banco Popular) az Európai Bizottság által ugyanazon a napon jóváhagyott szanálási eljárás alá vonta. 2018. augusztus 6‑án az ESZT a honlapján közzétette az arra vonatkozó előzetes határozatára vonatkozó értesítést, hogy az ezen intézmény szanálása által érintett részvényeseknek és hitelezőknek kártérítést kell‑e megítélni, vagy sem. Annak érdekében, hogy e kérdésben végleges határozatot hozhasson, előzetes határozatában kifejtette, hogy olyan eljárást kell lefolytatni, amely lehetővé teszi az érdekeltek számára a meghallgatáshoz való joguk gyakorlását. Az abban részt vevő részvényesek és hitelezők adatait gyűjtötték, amelyek között szerepeltek a személyazonosságukra, valamint a Banco Popular tőkeinstrumentumai tulajdonjogának bizonyítására vonatkozó adatok. Miután az ESZT az összegyűjtött adatokkal ellenőrizte státuszukat, e személyek észrevételeket nyújtottak be az előzetes határozattal kapcsolatban. Ezek némelyikét álnevesített adatok formájában továbbították a Deloitte‑nak, az ESZT által a szanálási eljárás részvényesekre és hitelezőkre gyakorolt hatásainak értékelésével megbízott könyvvizsgáló és tanácsadó társaságnak. (
2
)
2019‑ben több érintett részvényes és hitelező öt panaszt nyújtott be az európai adatvédelmi biztoshoz az (EU) 2018/1725 rendelet (
3
) alapján, azzal az indokkal, hogy az ESZT nem tájékoztatta őket arról, hogy az általuk gyűjtött adatokat harmadik feleknek továbbítják.
Az európai adatvédelmi biztos erre egy eredeti határozat elfogadásával válaszolt, amelyet az ESZT felülvizsgálati kérelmét követően hatályon kívül helyeztek és egy felülvizsgált határozattal váltottak fel. E határozatban úgy ítélte meg, hogy a jelen ügyben a Deloitte a panaszosok személyes adatainak címzettje. (
4
) Ezenkívül megállapította, hogy az ESZT megsértette a 2018/1725 rendeletben előírt tájékoztatási kötelezettséget. (
5
) Pontosabban azt rótta fel neki, hogy a személyes adatoknak a meghallgatáshoz való jogra vonatkozó eljárás során végzett kezeléséről szóló titoktartási nyilatkozatban nem említette, hogy a Deloitte az ESZT által gyűjtött és kezelt személyes adatok potenciális címzettje.
Az ESZT ezt követően keresetet indított a Törvényszék előtt többek között az európai adatvédelmi biztos felülvizsgált határozatának megsemmisítése iránt. A Törvényszék részben helyt adott e keresetnek, és megsemmisítette az említett határozatot.
A Bíróság álláspontja
Ítéletében a Bíróság azokról a megtámadott ítéletben vizsgált feltételekről határoz, amelyek mellett az adatok személyes adatoknak minősíthetők.
Először is úgy véli, hogy a Törvényszék tévesen alkalmazta a jogot, amikor úgy ítélte meg, hogy az európai adatvédelmi biztosnak annak megállapításához, hogy a Deloitte‑nak továbbított észrevételekből kitűnő információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében véve „vonatkoznak” az ezen észrevételeket benyújtó személyekre, meg kellett volna vizsgálnia az említett észrevételek tartalmát, célját vagy hatásait, mivel nem vitatott, hogy azok alkotóik személyes véleményét vagy álláspontját fejezték ki.
E tekintetben a Bíróság emlékeztet azon ítélkezési gyakorlatára, amely szerint valamely információ akkor vonatkozik egy azonosított vagy azonosítható természetes személyre, ha az információ a tartalmánál, céljánál vagy hatásánál fogva egy azonosítható személyhez kapcsolódik. (
6
) Ennélfogva a valamely információ tartalmára vonatkozó vizsgálatot nem kell szükségszerűen kiegészíteni ezen információ céljának és hatásainak elemzésével, amint azt az ezen ítélkezési gyakorlatban említett különböző kritériumokat összekapcsoló „vagy” kötőszó használata jelzi.
A Bíróság hangsúlyozza, hogy a Törvényszék azon értelmezése, amely szerint az európai adatvédelmi biztos nem minősíthette személyes adatoknak a Deloitte‑nak továbbított észrevételekből kitűnő információkat pusztán azon megállapítás alapján, hogy személyes véleményekről vagy szempontokról van szó, hanem ezenkívül meg kellett volna vizsgálnia az így kifejtett vélemények tartalmát, célját és hatását annak meghatározása érdekében, hogy azok egy meghatározott személyhez kapcsolódnak‑e, figyelmen kívül hagyja a személyes vélemények vagy álláspontok sajátos jellegét, amelyek valamely személy gondolatának kifejeződéseként szükségszerűen szorosan kapcsolódnak e személyhez. (
7
)
Másodszor, a Bíróság a 2018/1725 rendelet 3. cikkének 1. pontjában előírt, az érintett természetes személy „azonosítható” jellegére vonatkozó feltételről, közelebbről pedig az európai adatvédelmi biztos azon érveléséről határoz, amely szerint az álnevesített adatokat minden esetben minden személy tekintetében személyes adatoknak kell tekinteni.
A Bíróság úgy véli, hogy az európai adatvédelmi biztos állításával ellentétben a Törvényszék helyesen állapította meg, hogy az álnevesített adatok a 2018/1725 rendelet alkalmazásában nem tekinthetők minden személy számára minden esetben személyes adatnak, mivel az álnevesítés az ügy körülményeitől függően ténylegesen megakadályozhatja az adatkezelőn kívüli személyeket abban, hogy oly módon azonosítsák az érintettet, hogy az nem vagy már nem azonosítható.
Mindenekelőtt a Bíróság megjegyzi, hogy a 2018/1725 rendelet (
8
) értelmében az álnevesítés nem képezi a „személyes adatok” meghatározásának elemét, hanem olyan technikai és szervezési intézkedések bevezetésére utal, amelyek célja az adathalmaz és az érintettek személyazonossága közötti összefüggés kockázatának csökkentése.
Ezt követően pontosítja, hogy az „álnevesítés” fogalma feltételezi az érintett azonosítását lehetővé tévő információk meglétét. Márpedig az ilyen információk puszta létezésével ellentétes, hogy az álnevesített adatokat mindenképpen anonim adatoknak lehessen tekinteni, amelyek ki vannak zárva a 2018/1725 rendelet hatálya alól.
Végül hangsúlyozza, hogy az álnevesítés célja többek között annak elkerülése, hogy az érintett személy kizárólag álnevesített adatokkal azonosítható legyen. (
9
) Amennyiben ugyanis a 2018/1725 rendelet értelmében vett álnevesítéshez szükséges technikai és szervezési intézkedéseket ténylegesen bevezetik, és azok alkalmasak arra, hogy megakadályozzák a szóban forgó adatoknak az érintetthez való hozzárendelését oly módon, hogy az nem vagy már nem azonosítható, az álnevesítés hatással lehet ezen adatok személyes jellegére. E tekintetben pontosítja, hogy – amint az általában az álnevesítést végző adatkezelő esetében is fennáll – az ESZT a jelen ügyben olyan kiegészítő információkkal rendelkezik, amelyek lehetővé teszik, hogy a Deloitte‑nak továbbított észrevételeket az érintett személynek tulajdonítsák. Az ESZT szerint tehát ezek az észrevételek az álnevesítés ellenére megőrzik személyes jellegüket. Ezzel szemben a Deloitte‑ot illetően a Bíróság megállapította, hogy az említett technikai és szervezési intézkedések azzal a hatással járhatnak, hogy e társaság számára ezek az észrevételek nem személyes jellegűek. Ez azonban azt feltételezi egyrészt, hogy a Deloitte nem tudja megszüntetni ezeket az intézkedéseket az említett észrevételeknek az ellenőrzése alatt végzett bármely kezelése során, másrészt pedig, hogy az említett intézkedések ténylegesen megakadályozhatják a Deloitte‑ot abban, hogy ugyanezen észrevételeket az érintett személynek más azonosítási eszközök, például más azonosítási eszközökkel való összevetés révén is kikösse.
A Bíróság szerint mind a 2018/1725 rendelet (16) preambulumbekezdéséből, mind pedig az ítélkezési gyakorlatából az következik, hogy az érintett azonosítását lehetővé tévő további információk megléte önmagában nem jelenti azt, hogy az álnevesített adatokat minden esetben minden személy tekintetében személyes adatnak kell tekinteni a 2018/1725 rendelet alkalmazásában. E tekintetben emlékeztet arra, hogy egy olyan sajtóközleményt illetően, amely egy személyre vonatkozóan bizonyos számú információt tartalmazott, anélkül hogy őt név szerint megjelölné, az nem szorítkozott annak megállapítására, hogy az e közleményt közzétévő uniós szerv rendelkezett az e személy azonosítását lehetővé tévő valamennyi információval, hanem megvizsgálta, hogy az említett közleményben szereplő információk észszerűen lehetővé teszik‑e az érintett közönség számára e személy azonosítását, többek között ezen információk és az interneten elérhető információk kombinációja révén. (
10
) Ezenkívül úgy ítélte meg, hogy valamely eszköz észszerűen nem alkalmazható az érintett személy azonosítására, ha az azonosítás kockázata valójában jelentéktelennek tűnik, mivel e személy azonosítását törvény tiltja, vagy a gyakorlatban megvalósíthatatlan, például azért, mert az az idő, a költségek és a munkaerő tekintetében aránytalan erőfeszítéssel járna. (
11
) Ugyanezen gondolatmenetet követve megállapította, hogy az adatkezelő által gyűjtött és tárolt, önmagában nem személyes adatok mégis egy azonosítható személyhez kapcsolódnak, mivel az adatkezelőnek jogszerű lehetőségei vannak arra, hogy másoktól olyan kiegészítő információkat szerezzen be, amelyek lehetővé teszik e személy azonosítását. (
12
) A Bíróság szerint ugyanis ilyen körülmények között az a körülmény, hogy az érintett azonosítását lehetővé tévő információk különböző személyek kezében voltak, nem volt alkalmas arra, hogy ténylegesen megakadályozza annak azonosítását oly módon, hogy az az adatkezelő számára nem azonosítható.
A Bíróság emlékeztet különösen arra, hogy az önmagukban nem személyes adatok akkor szerezhetnek „személyes” jelleget, ha az adatkezelő azokat olyan más személyek rendelkezésére bocsátja, akik rendelkeznek az érintett személy azonosításához észszerűen alkalmas eszközökkel. (
13
) Az ilyen hozzáférhetővé tétellel összefüggésben az említett adatok mind e személyek, mind közvetetten az adatkezelő számára személyes jellegűek.
Harmadszor, a Bíróság úgy véli, hogy a Törvényszék tévesen alkalmazta a jogot, amikor úgy ítélte meg, hogy annak értékeléséhez, hogy az ESZT tiszteletben tartotta‑e a tájékoztatási kötelezettségét, az európai adatvédelmi biztosnak meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított észrevételek ez utóbbi szempontjából személyes adatoknak minősülnek‑e.
Elöljáróban a Bíróság rámutat arra, hogy bár a 2018/1725 rendelet nem pontosítja kifejezetten az érintett azonosíthatóságának értékelése szempontjából releváns szempontot, az ítélkezési gyakorlatból (
14
) kitűnik, hogy az érintett azonosíthatóságának értékelése szempontjából releváns kilátás alapvetően az egyes esetekben az adatkezelést jellemző körülményektől függ.
Ami a jelen ügyben a személyes adatok esetleges címzettjeire vonatkozó, a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettséget illeti, a Bíróság pontosítja, hogy olyan információról van szó, amelyet többek között „a szóban forgó adatok megszerzésének időpontjában” az érintettől való adatgyűjtés időpontjában kell megadni. E tájékoztatási kötelezettség tiszteletben tartásának fontosságát hangsúlyozva a Bíróság megállapítja, hogy amennyiben az ilyen adatok gyűjtése – mint a jelen ügyben is – az érintett hozzájárulásán alapul, annak érvényessége többek között attól függ, hogy az érintett előzetesen megkapta‑e a szóban forgó adatok kezelésének valamennyi olyan körülményére vonatkozó információkat, amelyekre a 2018/1725 rendelet 15. cikke értelmében jogosult volt, és amelyek lehetővé teszik számára, hogy az ügy teljes ismeretében adja hozzájárulását. Annak a kötelezettségnek, hogy az érintettet – a rá vonatkozó személyes adatok gyűjtésének időpontjában – tájékoztatni kell az ezen adatok lehetséges címzettjeiről, többek között az a célja, hogy lehetővé tegye az érintett számára, hogy a tények teljes ismeretében dönthessen arról, hogy a tőle gyűjtött személyes adatokat szolgáltatja‑e, vagy éppen ellenkezőleg, megtagadja azok közlését.
A Bíróság hozzáteszi, hogy azon túl, hogy elengedhetetlen ahhoz, hogy az érintett később megvédhesse jogait e címzettekkel szemben, az ilyen tájékoztatásnak a személyes adatok gyűjtésének időpontjában történő nyújtására vonatkozó kötelezettség biztosítja többek között azt, hogy ezeket az adatokat az adatkezelő ne az ő akarata ellenére gyűjtse, vagy akár akarata ellenére továbbítsa harmadik feleknek.
Így a tájékoztatási kötelezettség az érintett és az adatkezelő között fennálló jogviszonyba illeszkedik, és ennélfogva az e személlyel kapcsolatos olyan információkra vonatkozik, amelyeket ezen adatkezelőnek továbbítottak, tehát minden esetleges továbbítást megelőzően.
Következésképpen a Bíróság megállapítja, hogy a 2018/1725 rendeletben előírt tájékoztatási kötelezettség alkalmazása céljából az érintett azonosíthatóságát az adatgyűjtés időpontjában és az adatkezelő szempontjából kell értékelni. Így az ESZT‑t terhelő tájékoztatási kötelezettség a szóban forgó észrevételek továbbítását megelőzően volt alkalmazandó, függetlenül attól, hogy azok a Deloitte szempontjából személyes jellegűek‑e, vagy sem, az esetleges álnevesítésüket követően.
(
1
)	A Törvényszék 2023. április 26‑iESZT kontra európai adatvédelmi biztos ítélete (T‑557/20., a továbbiakban: megtámadott ítélet, EU:T:2023:219).
(
2
)	A hitelintézeteknek és bizonyos befektetési vállalkozásoknak az Egységes Szanálási Mechanizmus keretében történő szanálására vonatkozó egységes szabályok és egységes eljárás kialakításáról, valamint az Egységes Szanálási Alap létrehozásáról és az 1093/2010/EU rendelet módosításáról szóló, 2014. július 15‑i 806/2014/EU európai parlamenti és tanácsi rendelet (HL 2014. L 225., 1. o.; helyesbítés: HL 2014. L 372., 9. o.) 20. cikkének (16)–(18) bekezdésében előírt értékelés.
(
3
)	A természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23‑i (EU) 2018/1725 európai parlamenti és tanácsi rendelet (HL 2018. L 295., 39. o.; helyesbítés: HL 2019. L 290., 42. o.).
(
4
)	A 2018/1725 rendelet 3. cikkének 13. pontja alapján.
(
5
)	A 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontja.
(
6
)	2017. december 20‑iNowak ítélet (C‑434/16, EU:C:2017:994, 35. pont); 2024. március 7‑iOC kontra Bizottság ítélet (C‑479/22 P, EU:C:2024:215, 45. pont); 2024. március 7‑iIAB Europe ítélet (C‑604/22, EU:C:2024:214, 37. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
7
)	A 2017. december 20‑iNowak ítéletből (C‑434/16, EU:C:2017:994) eredő ítélkezési gyakorlat által megerősített értelmezés.
(
8
)	A 2018/1725 rendelet 3. cikkének 1. és 6. pontja.
(
9
)	A 2018/1725 rendelet 3. cikkének 6. pontja az azonosító információk elkülönített tárolását, valamint technikai és szervezési intézkedéseket ír elő „annak biztosítása érdekében, hogy a személyes adatokat ne hozzárendeljék egy azonosított vagy azonosítható természetes személyhez”.
(
10
)	2024. március 7‑iOC kontra Bizottság ítélet (C‑479/22 P, EU:C:2024:215, 52–64. pont).
(
11
)	2024. március 7‑iOC kontra Bizottság ítélet (C‑479/22 P, EU:C:2024:215, 51. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
12
)	2016. október 19‑iBreyer ítélet (C‑582/14, EU:C:2016:779, 44., 47. és 48. pont); 2024. március 7‑iIAB Europe ítélet (C‑604/22, EU:C:2024:214, 43. és 48. pont).
(
13
)	2023. november 9‑i Gesamtverband Autoteile‑Handel (A gépjárművekre vonatkozó információkhoz való hozzáférés) ítélet (C‑319/22, EU:C:2023:837, 46. és 49. pont).
(
14
)	A jelen összefoglaló 10–12. lábjegyzetében felidézett ítélkezési gyakorlat.