62023CC0413
ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ
DEAN SPIELMANN
της 6ης Φεβρουαρίου 2025 (
1
)
Υπόθεση C‑413/23 P
Ευρωπαίος Επόπτης Προστασίας Δεδομένων
κατά
Ενιαίου Συμβουλίου Εξυγίανσης
«Αίτηση αναιρέσεως – Επεξεργασία δεδομένων προσωπικού χαρακτήρα – Διαδικασία αποζημίωσης των μετόχων και πιστωτών τραπεζικού ιδρύματος που τέθηκε υπό καθεστώς εξυγίανσης – Υποχρέωση ενημέρωσης – Άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού (ΕΕ) 2018/1725 – Παράλειψη ενημέρωσης των εν λόγω πιστωτών και μετόχων σχετικά με τον αποδέκτη των δεδομένων προσωπικού χαρακτήρα – Απόφαση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων σχετικά με διαπίστωση παράβασης του κανονισμού 2018/1725 στο πλαίσιο επεξεργασίας ψευδωνυμοποιημένων δεδομένων προσωπικού χαρακτήρα»
I. Εισαγωγή
1.
Με την υπό κρίση αίτηση αναιρέσεως, ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων (ΕΕΠΔ) ζητεί την αναίρεση της αποφάσεως του Γενικού Δικαστηρίου της Ευρωπαϊκής Ένωσης της 26ης Απριλίου 2023, ΕΣΕ κατά ΕΕΠΔ (T‑557/20, στο εξής: αναιρεσιβαλλόμενη απόφαση, EU:T:2023:219), με την οποία το Γενικό Δικαστήριο ακύρωσε την αναθεωρημένη απόφαση του ΕΕΠΔ της 24ης Νοεμβρίου 2020 (στο εξής: επίδικη απόφαση) επί πέντε καταγγελιών από θιγόμενους λόγω της τραπεζικής εξυγίανσης της Banco Popular Español SA (στο εξής: Banco Popular) οι οποίοι παραπονέθηκαν ότι δεν είχαν ενημερωθεί για τη διαβίβαση των δεδομένων τους προσωπικού χαρακτήρα.
2.
Η υπό εξέταση υπόθεση παρέχει στο Δικαστήριο την ευκαιρία να διευκρινίσει την έννοια των «δεδομένων προσωπικού χαρακτήρα» στο πλαίσιο ψευδωνυμοποιημένων δεδομένων καθώς και τις υποχρεώσεις που απορρέουν σε σχέση με αυτά ώστε να τηρούνται οι υποχρεώσεις περί δίκαιης και διαφανούς επεξεργασίας των δεδομένων.
II. Το νομικό πλαίσιο
3.
Οι κύριες διατάξεις του κανονισμού (ΕΕ) 2018/1725 (
2
) που είναι κρίσιμες στο πλαίσιο της υπό κρίση αιτήσεως αναιρέσεως είναι οι ακόλουθες.
4.
Οι αιτιολογικές σκέψεις 16 και 17 των εν λόγω κανονισμού έχουν ως εξής:
«(16)
Οι αρχές της προστασίας των δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Τα δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση και τα οποία θα μπορούσαν να συσχετισθούν με φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας. Οι αρχές της προστασίας των δεδομένων δεν θα πρέπει συνεπώς να εφαρμόζονται σε ανώνυμες πληροφορίες, δηλαδή πληροφορίες που δεν σχετίζονται προς ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο ή σε δεδομένα προσωπικού χαρακτήρα που έχουν καταστεί ανώνυμα κατά τρόπο ώστε η ταυτότητα του υποκειμένου των δεδομένων να μην μπορεί ή να μην μπορεί πλέον να εξακριβωθεί. Ο παρών κανονισμός δεν αφορά συνεπώς την επεξεργασία τέτοιων ανώνυμων πληροφοριών, ούτε μεταξύ άλλων για στατιστικούς ή ερευνητικούς σκοπούς.
(17)
Η χρήση της ψευδωνυμοποίησης στα δεδομένα προσωπικού χαρακτήρα μπορεί να μειώσει τους κινδύνους για τα υποκείμενα των δεδομένων και να διευκολύνει τους υπεύθυνους επεξεργασίας και τους εκτελούντες την επεξεργασία να τηρήσουν τις οικείες υποχρεώσεις περί προστασίας των δεδομένων. Η ρητή εισαγωγή της “ψευδωνυμοποίησης” του παρόντος κανονισμού δεν προορίζεται να αποκλείσει κάθε άλλο μέτρο προστασίας των δεδομένων.»
5.
Το άρθρο 3 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», προβλέπει στα σημεία 1 και 6 τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού, εφαρμόζονται οι ακόλουθοι ορισμοί:
1)
“δεδομένα προσωπικού χαρακτήρα”: κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (“υποκείμενο των δεδομένων”)· το ταυτοποιήσιμο φυσικό πρόσωπο είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας, ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου,
[…]
6)
“ψευδωνυμοποίηση”: η επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, εφόσον οι εν λόγω συμπληρωματικές πληροφορίες διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο.»
6.
Το άρθρο 4 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει στην παράγραφο 1, στοιχείο αʹ, και στην παράγραφο 2 τα εξής:
«1.   Τα δεδομένα προσωπικού χαρακτήρα:
α)
υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”)·
[…]
2.   Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
7.
Το άρθρο 15 του κανονισμού 2018/1725, το οποίο φέρει τον τίτλο «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», ορίζει στην παράγραφο 1, στοιχείο δʹ, τα εξής:
«Όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο των δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
[…]
δ)
τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν.»
III. Ιστορικό της διαφοράς
8.
Στις 7 Ιουνίου 2017 το Ενιαίο Συμβούλιο Εξυγίανσης (ΕΣΕ) εξέδωσε απόφαση για τη θέση της Banco Popular υπό καθεστώς εξυγίανσης βάσει του κανονισμού (ΕΕ) 806/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 15ης Ιουλίου 2014, περί θεσπίσεως ενιαίων κανόνων και διαδικασίας για την εξυγίανση πιστωτικών ιδρυμάτων και ορισμένων επιχειρήσεων επενδύσεων στο πλαίσιο ενός Ενιαίου Μηχανισμού Εξυγίανσης και ενός Ενιαίου Ταμείου Εξυγίανσης και τροποποιήσεως του κανονισμού (ΕΕ) αριθ. 1093/2010 (
3
), η οποία εγκρίθηκε αυθημερόν με απόφαση της Ευρωπαϊκής Επιτροπής (
4
), όπερ στην πράξη σημαίνει ότι τα κεφαλαιακά μέσα της τράπεζας απομειώθηκαν ή μετατράπηκαν και εκποιήθηκαν μέσω μεταβίβασης των μετοχών.
9.
Σύμφωνα με το άρθρο 20, παράγραφοι 16 έως 18, του κανονισμού 806/2014, το ΕΣΕ ανέθεσε στην Deloitte, ως «ανεξάρτητο πρόσωπο» (
5
), τη διενέργεια αποτίμησης της διαφοράς ως προς τη μεταχείριση, προκειμένου να διαπιστωθεί κατά πόσον οι κατ’ αυτόν τον τρόπο θιγόμενοι από την υπαγωγή σε καθεστώς εξυγίανσης μέτοχοι και πιστωτές θα ετύγχαναν καλύτερης μεταχείρισης εάν το εν λόγω πιστωτικό ίδρυμα είχε τεθεί υπό κανονική διαδικασία αφερεγγυότητας.
10.
Στις 14 Ιουνίου 2018 η Deloitte διαβίβασε την εν λόγω αποτίμηση της διαφοράς ως προς τη μεταχείριση (στο εξής: αποτίμηση 3) στο ΕΣΕ. Το ΕΣΕ, με προκαταρκτική απόφασή του, επισήμανε ότι, προκειμένου να μπορέσει να λάβει τελική απόφαση για το αν πρέπει να χορηγηθεί αποζημίωση στους θιγόμενους από την εξυγίανση της Banco Popular μετόχους και πιστωτές βάσει του άρθρου 76, παράγραφος 1, στοιχείο εʹ, του κανονισμού 806/2014, είχε κινήσει τη σχετική με το δικαίωμα ακρόασης διαδικασία, η οποία περιλάμβανε μια πρώτη φάση εγγραφής, προκειμένου να ελεγχθεί κατά πόσον τα μέρη που εκδήλωσαν ενδιαφέρον είχαν πράγματι την ιδιότητα του θιγόμενου μετόχου ή πιστωτή, και μια δεύτερη φάση διαβούλευσης, στο πλαίσιο της οποίας οι θιγόμενοι μέτοχοι και πιστωτές θα υπέβαλαν τις παρατηρήσεις τους επί της προκαταρκτικής απόφασης του ΕΣΕ, στην οποία επισυναπτόταν ως παράρτημα η αποτίμηση 3.
11.
Τα δεδομένα που συνελέγησαν κατά τη φάση εγγραφής, και συγκεκριμένα τα αποδεικτικά στοιχεία της ταυτότητας των συμμετεχόντων και της κυριότητας τους επί των κεφαλαιακών μέσων της Banco Popular που απομειώθηκαν ή μετατράπηκαν και μεταβιβάσθηκαν, ήταν προσβάσιμα σε περιορισμένο αριθμό μελών του προσωπικού του ΕΣΕ τα οποία ήταν επιφορτισμένα με την επεξεργασία των εν λόγω δεδομένων προκειμένου να εκτιμηθεί κατά πόσον οι συμμετέχοντες είχαν όντως την ιδιότητα του θιγόμενου μετόχου ή πιστωτή. Στα εν λόγω δεδομένα δεν είχαν πρόσβαση τα μέλη του προσωπικού του ΕΣΕ που ήταν επιφορτισμένα με την επεξεργασία των παρατηρήσεων που υποβλήθηκαν κατά τη φάση της διαβούλευσης, κατά την οποία παραλήφθηκαν μόνο παρατηρήσεις που έφεραν αλφαριθμητικό κωδικό (
6
) ο οποίος αντιστοιχούσε σε κάθε παρατήρηση που είχε υποβληθεί μέσω του εντύπου.
12.
Μετά τη συγκέντρωση, το αυτόματο φιλτράρισμα και την κατηγοριοποίηση των παρατηρήσεων, το ΕΣΕ διαβίβασε στην Deloitte (
7
) τις παρατηρήσεις σχετικά με την αποτίμηση 3 φιλτραρισμένες, κατηγοριοποιημένες και ομαδοποιημένες. Στην Deloitte διαβιβάστηκαν μόνον οι παρατηρήσεις που είχαν ληφθεί κατά τη φάση της διαβούλευσης και έφεραν αλφαριθμητικό κωδικό, ο οποίος δημιουργήθηκε για λόγους ελέγχου, προκειμένου να καταστεί δυνατή η επαλήθευση από το ΕΣΕ και, ενδεχομένως, η εκ των υστέρων απόδειξη ότι κάθε παρατήρηση είχε υποβληθεί σε επεξεργασία και είχε ληφθεί δεόντως υπόψη. Το ΕΣΕ ήταν το μόνο που μπορούσε να συσχετίσει, μέσω του εν λόγω κωδικού, τις παρατηρήσεις με τα δεδομένα που έλαβε κατά τη φάση της εγγραφής. Η Deloitte δεν είχε και εξακολουθεί να μην έχει πρόσβαση στη βάση των δεδομένων που συνελέγησαν κατά τη φάση της εγγραφής.
13.
Θιγόμενοι μέτοχοι και πιστωτές (στο εξής: καταγγέλλοντες) υπέβαλαν στον ΕΕΠΔ πέντε καταγγελίες, βάσει του κανονισμού 2018/1725, προβάλλοντας ότι στη δήλωση εμπιστευτικότητας σχετικά με την επεξεργασία των δεδομένων προσωπικού χαρακτήρα την οποία δημοσίευσε το ΕΣΕ δεν υπήρχε καμία αναφορά στη διαβίβαση στην Deloitte των δεδομένων που συνελέγησαν μέσω του εντύπου. Οι καταγγέλλοντες ισχυρίστηκαν ότι το ΕΣΕ παρέβη την υποχρέωση που υπέχει βάσει του εν λόγω κανονισμού να παρέχει πληροφορίες σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τα προβλεπόμενα στο άρθρο 15, παράγραφος 1, στοιχείο δʹ, του ίδιου κανονισμού.
14.
Ο ΕΕΠΔ εξέδωσε την αρχική απόφαση της 24ης Ιουνίου 2020, η οποία ακυρώθηκε κατόπιν αιτήσεως του ΕΣΕ για την επανεξέτασή της, αντικαταστάθηκε δε στις 24 Νοεμβρίου 2020 από την επίδικη απόφαση, η οποία είχε ως εξής:
«1.
Ο ΕΕΠΔ εκτιμά ότι τα δεδομένα που κοινοποίησε το ΕΣΕ στην Deloitte είχαν ψευδωνυμοποιηθεί τόσον επειδή τα σχόλια της φάσης [διαβούλευσης] αποτελούσαν δεδομένα προσωπικού χαρακτήρα όσο και επειδή το ΕΣΕ κοινοποίησε τον αλφαριθμητικό κωδικό που καθιστούσε δυνατή τη σύνδεση των απαντήσεων που ελήφθησαν κατά τη φάση της [εγγραφής] με εκείνες της φάσης [διαβούλευσης], μολονότι τα δεδομένα που υπέβαλαν οι συμμετέχοντες για να ταυτοποιηθούν κατά το στάδιο [εγγραφής] δεν κοινοποιήθηκαν στην Deloitte.
2.
Ο ΕΕΠΔ εκτιμά ότι η Deloitte ήταν αποδέκτης δεδομένων προσωπικού χαρακτήρα των καταγγελλόντων κατά την έννοια του άρθρου 3, σημείο 13, του κανονισμού 2018/1725. Το γεγονός ότι στη δήλωση εμπιστευτικότητας του ΕΣΕ δεν αναφέρθηκε η Deloitte ως δυνητικός αποδέκτης των δεδομένων προσωπικού χαρακτήρα που συλλέχθηκαν και υποβλήθηκαν σε επεξεργασία από το ΕΣΕ, υπό την ιδιότητά του ως υπεύθυνου επεξεργασίας στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας, συνιστά παράβαση της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 15, παράγραφος 1, στοιχείο δʹ, [του κανονισμού 2018/1725].
3.
Λαμβάνοντας υπόψη όλα τα τεχνικά και οργανωτικά μέτρα που έχει θέσει σε εφαρμογή το ΕΣΕ για τον μετριασμό των κινδύνων για το δικαίωμα των φυσικών προσώπων στην προστασία των δεδομένων στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας, ο ΕΕΠΔ αποφασίζει να μην ασκήσει τις διορθωτικές εξουσίες που προβλέπονται στο άρθρο 58, παράγραφος 2, [του κανονισμού 2018/1725].
4.
Ωστόσο, ο ΕΕΠΔ συνιστά στο ΕΣΕ να διασφαλίσει ότι οι δηλώσεις του περί εμπιστευτικότητας σε μελλοντικές διαδικασίες σχετικά με το δικαίωμα ακρόασης καλύπτουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα τόσο κατά τη φάση της εγγραφής όσο και κατά τη φάση της διαβούλευσης και ότι περιλαμβάνουν όλους τους δυνητικούς αποδέκτες των πληροφοριών που συλλέγονται, προκειμένου να τηρηθεί πλήρως η υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων σύμφωνα με το άρθρο 15 [του κανονισμού 2018/1725].»
IV. Η αναιρεσιβαλλόμενη απόφαση
15.
Με δικόγραφο που κατέθεσε στη Γραμματεία του Γενικού Δικαστηρίου την 1η Σεπτεμβρίου 2020 και με υπόμνημα προσαρμογής που κατέθεσε στις 29 Ιανουαρίου 2021, το ΕΣΕ άσκησε προσφυγή με αίτημα, αφενός, την ακύρωση της επίδικης αποφάσεως και, αφετέρου, τη διαπίστωση του παράνομου χαρακτήρα της αρχικής αποφάσεως του ΕΕΠΔ της 24ης Ιουνίου 2020.
16.
Το ΕΣΕ προέβαλε, προς στήριξη του πρώτου αιτήματος (
8
), δύο λόγους ακυρώσεως. Με τον μεν πρώτο λόγο προβάλλεται παράβαση του άρθρου 3, σημείο 1, του κανονισμού 2018/1725, καθόσον οι πληροφορίες που διαβιβάστηκαν στην Deloitte δεν αποτελούσαν δεδομένα προσωπικού χαρακτήρα, με τον δε δεύτερο λόγο ακυρώσεως προβάλλεται προσβολή του δικαιώματος χρηστής διοικήσεως που κατοχυρώνεται στο άρθρο 41 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.
17.
Με την αναιρεσιβαλλόμενη απόφαση, το Γενικό Δικαστήριο έκρινε παραδεκτό το αίτημα αυτό. Επί της ουσίας, δέχθηκε τον πρώτο λόγο ακυρώσεως και ακύρωσε την επίδικη απόφαση, χωρίς να εξετάσει τον δεύτερο λόγο ακυρώσεως.
18.
Όσον αφορά τον πρώτο λόγο ακυρώσεως, το Γενικό Δικαστήριο έκρινε, πρώτον, ότι η εκτίμηση του ΕΕΠΔ ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte «αφορούσαν» φυσικό πρόσωπο κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725 είχε βασιστεί σε τεκμήριο, χωρίς να εξετασθεί από αυτόν ούτε το περιεχόμενο, ούτε ο σκοπός, ούτε το αποτέλεσμα των πληροφοριών που διαβιβάστηκαν στην Deloitte (
9
), κατά παράβαση της αποφάσεως Nowak (
10
).
19.
Δεύτερον, όσον αφορά την προϋπόθεση που προβλέπεται στο άρθρο 3, σημείο 1, του κανονισμού 2018/1725, κατά την οποία η πληροφορία πρέπει να αφορά ««ταυτοποιημένο ή ταυτοποιήσιμο» φυσικό πρόσωπο, το Γενικό Δικαστήριο έκρινε ότι, εν προκειμένω, εναπέκειτο στον ΕΕΠΔ να εξετάσει κατά πόσον οι παρατηρήσεις που διαβιβάστηκαν στην Deloitte συνιστούσαν, ως προς την τελευταία, δεδομένα προσωπικού χαρακτήρα. Κατά την αναιρεσιβαλλόμενη απόφαση, ο ΕΕΠΔ περιορίστηκε στην εξέταση της δυνατότητας επαναταυτοποίησης των συντακτών των παρατηρήσεων μόνον από τη σκοπιά του ΕΣΕ και όχι από τη σκοπιά της Deloitte. Ως εκ τούτου, δεδομένου ότι ο ΕΕΠΔ δεν διερεύνησε κατά πόσον η Deloitte διέθετε στην πράξη νόμιμα και πρόσφορα μέσα τα οποία της παρείχαν τη δυνατότητα να αποκτήσει πρόσβαση στις συμπληρωματικές πληροφορίες που ήταν αναγκαίες για την επαναταυτοποίηση των συντακτών των παρατηρήσεων, ο ΕΕΠΔ δεν μπορούσε να καταλήξει στο συμπέρασμα ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούσαν πληροφορίες που αφορούσαν «ταυτοποιήσιμο φυσικό πρόσωπο» κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725 (
11
).
V. Η διαδικασία ενώπιον του Δικαστηρίου και τα αιτήματα των διαδίκων
20.
Με δικόγραφο που κατέθεσε στη Γραμματεία του Δικαστηρίου στις 5 Ιουλίου 2023, ο ΕΕΠΔ άσκησε αναίρεση κατά της αναιρεσιβαλλομένης αποφάσεως. Με διάταξη του Προέδρου του Δικαστηρίου της 29ης Νοεμβρίου 2023 (
12
), επετράπη στο Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων να παρέμβει υπέρ του ΕΕΠΔ και, με απόφαση της 20ής Οκτωβρίου 2023, επετράπη στην Ευρωπαϊκή Επιτροπή να παρέμβει υπέρ του ΕΣΕ.
21.
Ο ΕΕΠΔ ζητεί από το Δικαστήριο:
–
να αναιρέσει την αναιρεσιβαλλόμενη απόφαση·
–
να αποφανθεί οριστικώς επί της διαφοράς·
–
να καταδικάσει το ΕΣΕ στα δικαστικά έξοδα της αναιρετικής διαδικασίας και της διαδικασίας ενώπιον του Γενικού Δικαστηρίου.
22.
Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, παρεμβαίνοντας υπέρ του ΕΕΠΔ, ζητεί από το Δικαστήριο:
–
να αναιρέσει την αναιρεσιβαλλόμενη απόφαση·
–
να αποφανθεί οριστικώς επί της διαφοράς επικυρώνοντας την επίδικη απόφαση.
23.
Το ΕΣΕ ζητεί από το Δικαστήριο:
–
να απορρίψει την αίτηση αναιρέσεως·
–
επικουρικώς, να ακυρώσει την επίδικη απόφαση·
–
επικουρικότερα, να αναπέμψει την υπόθεση ενώπιον του Γενικού Δικαστηρίου και
–
να καταδικάσει τον ΕΕΠΔ στα δικαστικά έξοδα της αναιρετικής διαδικασίας και της διαδικασίας ενώπιον του Γενικού Δικαστηρίου.
24.
Η Ευρωπαϊκή Επιτροπή, παρεμβαίνοντας υπέρ του ΕΣΕ, ζητεί από το Δικαστήριο:
–
να απορρίψει την αίτηση αναιρέσεως·
–
να καταδικάσει τον ΕΕΠΔ στα δικαστικά έξοδα.
VI. Επί της αιτήσεως αναιρέσεως
25.
Προς στήριξη της υπό κρίση αιτήσεως αναιρέσεως, ο ΕΕΠΔ, υποστηριζόμενος από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, προβάλλει δύο λόγους αναιρέσεως. Με τον πρώτο λόγο αναιρέσεως αμφισβητείται η εκ μέρους του Γενικού Δικαστηρίου ερμηνεία της έννοιας των «δεδομένων προσωπικού χαρακτήρα» κατά το άρθρο 3, παράγραφοι 1 και 6, του κανονισμού 2018/1725, όπως το άρθρο αυτό έχει ερμηνευθεί από τη νομολογία του Δικαστηρίου. Με τον δεύτερο λόγο αναιρέσεως προβάλλεται παραβίαση της αρχής της λογοδοσίας που διατυπώνεται στο άρθρο 4, παράγραφος 2, και στο άρθρο 26, παράγραφος 1, του εν λόγω κανονισμού.
Α. Επί του πρώτου λόγου αναιρέσεως
26.
Ο πρώτος λόγος αναιρέσεως διαιρείται σε δύο σκέλη. Το μεν πρώτο σκέλος αφορά την προϋπόθεση ότι οι επίμαχες πληροφορίες πρέπει να «αφορούν» φυσικό πρόσωπο, το δε δεύτερο σκέλος αφορά την προϋπόθεση ότι το πρόσωπο αυτό πρέπει να είναι «ταυτοποιημένο ή ταυτοποιήσιμο».
1.
Επί του πρώτου σκέλους, το οποίο αφορά το ζήτημα εάν οι πληροφορίες «αφορούν» φυσικό πρόσωπο
α)
Επιχειρήματα των διαδίκων
27.
Ο ΕΕΠΔ, υποστηριζόμενος από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, ισχυρίζεται ότι το Γενικό Δικαστήριο υπέπεσε σε πλάνη περί το δίκαιο καθόσον έκρινε ότι ο ΕΕΠΔ βασίστηκε σε τεκμήριο όσον αφορά τον έλεγχο της συνδρομής της προϋπόθεσης κατά την οποία οι διαβιβασθείσες στην Deloitte πληροφορίες πρέπει να αφορούν φυσικό πρόσωπο, κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725. Κατά τη γνώμη του ΕΕΠΔ, υπό τις περιστάσεις της υπό κρίση υποθέσεως, δεν απαιτείτο διεξοδικότερη εξέταση εκ μέρους του.
28.
Το ΕΣΕ, από την πλευρά του, υποστηρίζει, όπως έκρινε το Γενικό Δικαστήριο, ότι ο ΕΕΠΔ περιορίστηκε να επισημάνει ότι οι επίμαχες παρατηρήσεις τις οποίες υπέβαλαν οι καταγγέλλοντες κατά τη φάση της διαβούλευσης στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας ήταν ενδεικτικές γνώμης ή εκτιμήσεως τους, ενώ όφειλε να εξετάσει εάν οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνδέονταν με συγκεκριμένο πρόσωπο λόγω του περιεχομένου, του σκοπού ή του αποτελέσματός τους, όπως απαιτεί η απόφαση Nowak.
β)
Εκτίμηση
29.
Υπενθυμίζεται ότι το Δικαστήριο έχει επανειλημμένως κρίνει ότι η χρήση της φράσης «κάθε πληροφορία» στο πλαίσιο του ορισμού της έννοιας των «δεδομένων προσωπικού χαρακτήρα» φανερώνει τη βούληση του νομοθέτη της Ένωσης να προσδώσει ευρεία έννοια στον όρο αυτόν, η οποία δυνητικά καλύπτει κάθε είδος πληροφοριών (
13
), τόσο αντικειμενικών όσο και υποκειμενικών, με τη μορφή γνώμης ή εκτιμήσεως, υπό την προϋπόθεση ότι οι πληροφορίες «αφορούν» το ενδιαφερόμενο πρόσωπο.
30.
Συναφώς, η πληροφορία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο όταν, λόγω του περιεχομένου της, του σκοπού της ή του αποτελέσματός της, «συνδέεται» με συγκεκριμένο πρόσωπο (
14
).
31.
Σχετικά με τις γνώμες ή εκτιμήσεις, όπως οι επίμαχες εν προκειμένω παρατηρήσεις των καταγγελλόντων, θεωρώ σκόπιμο να γίνει διάκριση αναλόγως του εάν εξετάζεται κατά πόσον οι εν λόγω γνώμες ή εκτιμήσεις «συνδέονται» με ένα ή περισσότερα πρόσωπα τα οποία αφορά η λεκτική διατύπωση της γνώμης ή εκτιμήσεως ή εάν, όπως εν προκειμένω, πρέπει να προσδιοριστεί εάν συνδέονται με το πρόσωπο που τις εξέφρασε. Στην πρώτη περίπτωση, για να διαπιστωθεί εάν υφίσταται πληροφορία συνδεόμενη με το πρόσωπο που αποτελεί το αντικείμενο της εκτιμήσεως, πρέπει να εξεταστεί κατά πόσον το περιεχόμενο, ο σκοπός ή το αποτέλεσμα της εκτιμήσεως αφορούν το συγκεκριμένο πρόσωπο. Αντιθέτως, στη δεύτερη περίπτωση, προκειμένου να προσδιοριστεί εάν η εκτίμηση συνδέεται με το πρόσωπο που την εξέφρασε, φρονώ ότι θα μπορούσε να θεωρηθεί ότι συντρέχει όντως τέτοια περίπτωση και ότι μια γνώμη ή μια εκτίμηση συνδέεται κατά λογική αναγκαιότητα με το πρόσωπο που την έχει διατυπώσει.
32.
Κατ’ αντιστοιχία, στην απόφαση Nowak τέθηκε κατ’ ουσίαν το ζήτημα της εκτιμήσεως των πληροφοριών που περιέχονταν σε ένα γραπτό εξετάσεων. Εμπλέκονταν, επομένως, δύο πρόσωπα: ο εξεταζόμενος υποψήφιος και ο εξεταστής. Πράγματι, το Δικαστήριο εξέτασε το περιεχόμενο, τον σκοπό και το αποτέλεσμα των απαντήσεων του υποψηφίου για να καταλήξει στο συμπέρασμα ότι τον αφορούσαν. Πάντως, όσον αφορά ειδικότερα τις διορθώσεις του εξεταστή, οι οποίες είναι ενδεικτικές της γνώμης ή της εκτίμησής του (
15
), μολονότι το Δικαστήριο εξέτασε το περιεχόμενο, τον σκοπό και το αποτέλεσμα των πληροφοριών που περιέχονταν στο γραπτό για να καταλήξει στο συμπέρασμα ότι οι εκτιμήσεις αυτές αφορούσαν τον υποψήφιο, εντούτοις δεν προέβη σε τέτοια εξέταση για να θεωρήσει ότι αποτελούσαν πληροφορίες σχετικές με τον εξεταστή που τις είχε διατυπώσει (
16
). Συνεπώς, κατά τη γνώμη μου, δεν μπορεί να αποκλειστεί εντελώς η δυνατότητα εφαρμογής ενός τεκμηρίου (μαχητού) όταν πρόκειται να εκτιμηθεί αν μια γνώμη ή, όπως εν προκειμένω, μια παρατήρηση «αφορά» το πρόσωπο του τη συνέταξε.
33.
Καταλήγω εξ αυτού στο συμπέρασμα ότι, πλην αποδείξεως του εναντίου, οι επίμαχες εν προκειμένω παρατηρήσεις, δεδομένου ότι προέρχονταν από τους καταγγέλλοντες και απηχούσαν «τη λογική και τη συλλογιστική τους», περικλείοντας κατά τον τρόπο αυτόν την έκφραση της «υποκειμενικής τους γνώμης», «αφορούσαν» κατ’ ανάγκην τους εν λόγω καταγγέλλοντες, ανεξαρτήτως του σκοπού ή του αποτελέσματος των παρατηρήσεών τους.
34.
Εν πάση περιπτώσει, ακόμη και αν θεωρηθεί ότι δεν υφίσταται τέτοιο τεκμήριο εν προκειμένω, είμαι της γνώμης ότι οι επίμαχες παρατηρήσεις «συνδέονται» με τους καταγγέλλοντες λόγω του περιεχομένου, του σκοπού και του αποτελέσματός τους.
35.
Συναφώς, το ΕΣΕ υποστηρίζει ότι τα επιχειρήματα που αντλούνται από τον σκοπό και το πλαίσιο στο οποίο εντάσσονται οι επίμαχες παρατηρήσεις είναι αλυσιτελή διότι δεν εξετάστηκαν στην επίδικη απόφαση, προβάλλονται δε απαραδέκτως καθόσον περιέχουν νέο πραγματικό ισχυρισμό και ότι, εν πάση περιπτώσει, είναι αβάσιμα.
36.
Φρονώ ότι η ως άνω επιχειρηματολογία δεν είναι πειστική. Συγκεκριμένα, τόσο η εξέταση στην οποία προέβη ο ΕΕΠΔ στην επίδικη απόφαση όσο και η εκτίμηση του Γενικού Δικαστηρίου εντάσσονται σε ένα νομικό πλαίσιο το οποίο ελήφθη υπόψη και το οποίο αναφέρει σαφώς τον σκοπό και το αποτέλεσμα των επίμαχων παρατηρήσεων, οι οποίες υποβλήθηκαν στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας. Επομένως, τα εν λόγω επιχειρήματα που αφορούν τον σκοπό και το αποτέλεσμα των επίμαχων παρατηρήσεων είναι λυσιτελή και παραδεκτά.
37.
Επιπλέον, επί της ουσίας, από το εφαρμοστέο νομικό πλαίσιο προκύπτει ότι ο σκοπός της σχετικής με το δικαίωμα ακρόασης διαδικασίας, στη διάρκεια της οποίας υποβλήθηκαν οι επίμαχες παρατηρήσεις, ήταν να παρασχεθεί στους θιγόμενους μετόχους και πιστωτές η δυνατότητα να συμβάλουν στη διαδικασία, ιδίως προκειμένου να μπορέσει το ΕΣΕ να έχει στη διάθεσή του όλες τις αναγκαίες πληροφορίες για να λάβει τελική απόφαση σχετικά με το αν πρέπει να χορηγηθεί αποζημίωση στους θιγόμενους από την εξυγίανση της Banco Popular μετόχους και πιστωτές σύμφωνα με την αρχή κατά την οποία κανένας πιστωτής δεν μπορεί να τύχει χειρότερης μεταχείρισης από ό,τι σε περίπτωση εκκαθάρισης υπό κανονική διαδικασία αφερεγγυότητας (
17
). Περαιτέρω, οι εν λόγω παρατηρήσεις, αφ’ ης στιγμής ελήφθησαν υπόψη από το ΕΣΕ, ήταν πιθανό να επηρεάσουν τα συμφέροντα και τα δικαιώματα των καταγγελλόντων σχετικά με τη χρηματική αποζημίωση.
38.
Εξ αυτού συνάγω ότι οι επίμαχες παρατηρήσεις συνδέονται επίσης εν προκειμένω με τα ενδιαφερόμενα πρόσωπα λόγω του σκοπού και του αποτελέσματός τους.
39.
Προσθέτω δε ότι, ομολογουμένως, οι επίμαχες παρατηρήσεις διαβιβάστηκαν στην Deloitte «φιλτραρισμένες, κατηγοριοποιημένες και ομαδοποιημένες», με αποτέλεσμα, όπως προκύπτει από τα πραγματικά περιστατικά που διαπίστωσε το Γενικό Δικαστήριο (
18
), οι ατομικές παρατηρήσεις στο πλαίσιο της ίδιας θεματικής κατηγορίας να μην είναι διακριτές· πρέπει, ωστόσο, να γίνει δεκτό ότι οι εν λόγω συλλογικές παρατηρήσεις, ακόμη και ομαδοποιημένες, είναι ενδεικτικές προσωπικών απόψεων σχετικά με την αξιολόγηση 3. Ειδικότερα, οι παρατηρήσεις αυτές αποτελούν ένα σύνολο γνωμών οι οποίες, ως τέτοιες, συνιστούν πληροφορίες που αφορούν τα πρόσωπα που τις εξέφρασαν. Το φιλτράρισμά τους, η κατηγοριοποίησή τους και η ομαδοποίησή τους δεν μεταβάλλουν τη διαπίστωση αυτή, ειδάλλως θα αρκούσε το να γίνεται ομαδοποίηση πλειόνων απόψεων προκειμένου να παρακαμφθεί η προϋπόθεση περί πληροφορίας που «αφορά» ορισμένο φυσικό πρόσωπο. Φρονώ ότι το γεγονός ότι δεν είναι δυνατόν, εντός του συγκεκριμένου συνόλου παρατηρήσεων, να γίνουν διακριτές οι διάφορες προσωπικές γνώμες εμπίπτει περισσότερο στη δεύτερη σωρευτική προϋπόθεση, η οποία αφορά τη δυνατότητα ταυτοποίησης των υποκειμένων των δεδομένων και εξετάζεται στο πλαίσιο του δεύτερου σκέλους του πρώτου λόγου αναιρέσεως, παρά στην προϋπόθεση κατά την οποία η παρατήρηση πρέπει να «συνδέεται» με ορισμένο φυσικό πρόσωπο.
40.
Υπό τις συνθήκες αυτές, φρονώ ότι η εκτίμηση του Γενικού Δικαστηρίου μπορεί να θεωρηθεί ότι ενέχει πλάνη περί το δίκαιο ως προς το συγκεκριμένο ζήτημα, κατά το μέρος που έκρινε ότι ο ΕΕΠΔ δεν προέβη στην εξέταση που απαιτεί η απόφαση Nowak προκειμένου να καταλήξει στο συμπέρασμα ότι οι επίμαχες παρατηρήσεις «αφορούσαν» ορισμένα φυσικά πρόσωπα, κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
41.
Σε περίπτωση που το Δικαστήριο αποφασίσει να απορρίψει το πρώτο αυτό σκέλος και κρίνει ότι οι επίμαχες ψευδωνυμοποιημένες παρατηρήσεις δεν αφορούσαν τα πρόσωπα που τις συνέταξαν, παρέλκει η εξέταση του δεύτερου σκέλους του πρώτου λόγου αναιρέσεως, στον βαθμό που, σύμφωνα με το άρθρο 3, σημείο 1, του κανονισμού 2018/1725, η περίσταση αυτή αποτελεί αναγκαία προϋπόθεση για να θεωρηθεί ότι υπάρχει δεδομένο προσωπικού χαρακτήρα, σωρευτικώς με την προϋπόθεση περί της δυνατότητας ταυτοποίησης των υποκειμένων των δεδομένων, η οποία εξετάζεται κατωτέρω.
2.
Επί του δευτέρου σκέλους, σχετικά με την προϋπόθεση περί της δυνατότητας ταυτοποίησης των υποκειμένων των δεδομένων
42.
Ο ΕΕΠΔ και το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων υποστηρίζουν κατ’ ουσίαν ότι το Γενικό Δικαστήριο υπέπεσε δις σε πλάνη περί το δίκαιο, όσον αφορά αφενός την έννοια της «ψευδωνυμοποίησης», αφετέρου την ερμηνεία της αποφάσεως Breyer (
19
), αιτιάσεις οι οποίες αντικρούονται αμφότερες από το ΕΣΕ και την Επιτροπή.
α)
Επί της πρώτης αιτιάσεως, με την οποία προβάλλεται πλάνη ως προς τα αποτελέσματα της ψευδωνυμοποίησης
43.
Η αιτίαση αυτή καταδεικνύει την ύπαρξη δύο πολύ διαφορετικών προσεγγίσεων όσον αφορά το πεδίο εφαρμογής των διατάξεων για την προστασία των δεδομένων. Πρέπει να περιλαμβάνονται αυτομάτως στο πεδίο αυτό τα ψευδωνυμοποιημένα δεδομένα εκ του λόγου και μόνον ότι η ταυτοποίηση των υποκειμένων των δεδομένων εξακολουθεί να είναι δυνατή, ανεξάρτητα από το αν υπάρχει δυνατότητα πρόσβασης σε συμπληρωματικά δεδομένα ταυτοποίησης, ή θα πρέπει να θεωρηθεί ότι, ως αποτέλεσμα της διαδικασίας ψευδωνυμοποίησης, τα δεδομένα καθίστανται προσωπικού χαρακτήρα μόνο για τα πρόσωπα τα οποία μπορούν ευλόγως να ταυτοποιήσουν τα υποκείμενα των δεδομένων;
1) Επιχειρήματα των διαδίκων
44.
Ο ΕΕΠΔ και το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων υποστηρίζουν κατ’ ουσίαν ότι τα ψευδωνυμοποιημένα δεδομένα εξακολουθούν να αποτελούν δεδομένα προσωπικού χαρακτήρα εκ του λόγου και μόνον ότι τα υποκείμενα των δεδομένων παραμένουν ταυτοποιήσιμα εφόσον συνεχίζουν να υπάρχουν οι πληροφορίες που καθιστούν δυνατή την ταυτοποίησή τους. Η προσέγγιση του Γενικού Δικαστηρίου είναι, κατά την άποψή τους, εσφαλμένη, καθόσον οδηγεί στο να θεωρούνται τα ψευδωνυμοποιημένα δεδομένα ως ανωνυμοποιημένα δεδομένα έναντι του αποδέκτη, γεγονός που ενέχει κινδύνους για την προστασία των υποκειμένων των δεδομένων και δημιουργεί σύγχυση μεταξύ της ψευδωνυμοποίησης και της ανωνυμοποίησης. Κατά τους ίδιους, μια τέτοια προσέγγιση, αντίθετη προς το γράμμα και τον σκοπό του κανονισμού 2018/1725, παρέχει στον υπεύθυνο επεξεργασίας τη δυνατότητα να εξαιρέσει αδικαιολόγητα τα δεδομένα προσωπικού χαρακτήρα από το πεδίο εφαρμογής του δικαίου της Ένωσης για την προστασία των δεδομένων προσωπικού χαρακτήρα.
45.
Το ΕΣΕ και η Επιτροπή, από την πλευρά τους, υποστηρίζουν ότι τα ψευδωνυμοποιημένα δεδομένα εξακολουθούν μεν να αποτελούν δεδομένα προσωπικού χαρακτήρα για τον υπεύθυνο επεξεργασίας που τα ψευδωνυμοποιεί, αλλά ότι, για τους αποδέκτες, πρέπει να εξετάζεται η δυνατότητα ταυτοποίησης των υποκειμένων των δεδομένων. Επιπλέον, υποστηρίζουν ότι, μολονότι το άρθρο 3, σημείο 1, του κανονισμού 2018/1725 δεν διευκρινίζει ποιος πρέπει να είναι σε θέση να ταυτοποιήσει το υποκείμενο των δεδομένων, εντούτοις, υπό το πρίσμα της αιτιολογικής σκέψης 16 και στο πλαίσιο του επίμαχου εν προκειμένω άρθρου 15, παράγραφος 1, στοιχείο δʹ, του εν λόγω κανονισμού, κρίσιμη είναι η σκοπιά του αποδέκτη. Κατά την άποψή τους, εάν ο εν λόγω αποδέκτης δεν λάβει δεδομένα προσωπικού χαρακτήρα, τα υποκείμενα των δεδομένων δεν έχουν έννομο συμφέρον να ενημερωθούν για τη διαβίβαση των δεδομένων, διότι δεν θίγονται τα δικαιώματά τους.
2) Εκτίμηση
46.
Κατ’ αρχάς, υπενθυμίζεται ότι η ψευδωνυμοποίηση αποτελεί επεξεργασία δεδομένων προσωπικού χαρακτήρα η χρήση της οποίας αποβλέπει, σύμφωνα με την αιτιολογική σκέψη 17 του κανονισμού 2018/1725, «να μειώσει τους κίνδυνους» συσχέτισης ενός συνόλου δεδομένων με την ταυτότητα του υποκειμένου των δεδομένων και «να διευκολύνει τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία να τηρήσουν τις οικείες υποχρεώσεις περί προστασίας των δεδομένων».
47.
Προς τούτο, το άρθρο 3, σημείο 6, του κανονισμού 2018/1725 ορίζει την ψευδωνυμοποίηση ως την «επεξεργασία δεδομένων προσωπικού χαρακτήρα κατά τρόπο ώστε τα δεδομένα να μην μπορούν πλέον να αποδοθούν σε συγκεκριμένο υποκείμενο των δεδομένων χωρίς τη χρήση συμπληρωματικών πληροφοριών, [οι οποίες] διατηρούνται χωριστά και υπόκεινται σε τεχνικά και οργανωτικά μέτρα προκειμένου να διασφαλιστεί ότι δεν μπορούν να αποδοθούν σε ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο» (
20
).
48.
Η ψευδωνυμοποίηση δεν αποτελεί, επομένως, στοιχείο του ορισμού των δεδομένων προσωπικού χαρακτήρα, τα οποία ορίζονται στο άρθρο 3, σημείο 1, του κανονισμού 2018/1725 υπό το πρίσμα της έννοιας της «δυνατότητας ταυτοποίησης» του υποκειμένου των δεδομένων. Εξάλλου, όπως επισήμανε η Επιτροπή με το υπόμνημα παρεμβάσεώς της, στον εν λόγω κανονισμό υπάρχει μεν ορισμός της έννοιας της «ψευδωνυμοποίησης», αναφερόμενος στη διαδικασία θέσπισης ενός μέτρου διασφάλισης ή ενός τεχνικού και οργανωτικού μέτρου, αλλά δεν υπάρχει ορισμός της έννοιας των «ψευδωνυμοποιημένων δεδομένων».
49.
Η ερμηνεία αυτή επιρρωννύεται από τον συνδυασμό του άρθρου 3, σημείο 6, και της αιτιολογικής σκέψης 16 του εν λόγω κανονισμού, στην πρώτη περίοδο της οποίας υπενθυμίζεται ότι «[ο]ι αρχές της προστασίας των δεδομένων θα πρέπει να εφαρμόζονται σε κάθε πληροφορία η οποία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο».
50.
Περαιτέρω, η εν λόγω αιτιολογική σκέψη 16 του κανονισμού 2018/1725 χρήζει λεπτομερέστερης ανάλυσης (
21
). Συγκεκριμένα, περιλαμβάνει μια δεύτερη περίοδο στην οποία αναφέρεται ότι τα «δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση και τα οποία θα μπορούσαν να συσχετισθούν με φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο». Ακολουθούν η τρίτη και η τέταρτη περίοδος, στις οποίες διευκρινίζεται το περιεχόμενο της εν λόγω απαιτήσεως περί δυνατότητας ταυτοποίησης.
51.
Από το γράμμα των ως άνω διατάξεων συνάγεται ότι η ψευδωνυμοποίηση αφήνει ανοικτό το ενδεχόμενο να μην είναι δυνατή η ταυτοποίηση των υποκειμένων των δεδομένων, ειδάλλως η διατύπωση της αιτιολογικής σκέψης 16 δεν θα είχε λόγο ύπαρξης. Επιπροσθέτως, οι τελευταίες περίοδοι της αιτιολογικής σκέψης 16 σχετικά με την ανωνυμοποίηση επιβεβαιώνουν αυτή την ερμηνεία: εξαιρούν από το πεδίο εφαρμογής του κανονισμού 2018/1725 τα δεδομένα που είναι ανωνυμοποιημένα (ή που έχουν καταστεί ανώνυμα) (
22
), αλλά τα ψευδωνυμοποιημένα δεδομένα τα εξαιρούν μόνο στον βαθμό που τα υποκείμενα των δεδομένων δεν είναι ταυτοποιήσιμα. Επομένως, σε περίπτωση αδυναμίας ταυτοποίησης των εν λόγω προσώπων, τα πρόσωπα αυτά θεωρούνται, από νομικής απόψεως, ότι προστατεύονται επαρκώς μέσω της διαδικασίας ψευδωνυμοποίησης, παρά το γεγονός ότι τα συμπληρωματικά δεδομένα ταυτοποίησης δεν έχουν διαγραφεί πλήρως.
52.
Με άλλα λόγια, δεν τίθεται θέμα αυτόματης εξαίρεσης των ψευδωνυμοποιημένων δεδομένων από το πεδίο εφαρμογής του εν λόγω κανονισμού (
23
). Ωστόσο, υπό το πρίσμα της αιτιολογικής σκέψης 16 του κανονισμού, δεν μπορεί να αποκλειστεί ότι τα ψευδωνυμοποιημένα δεδομένα ενδέχεται, υπό ορισμένες προϋποθέσεις, να μην εμπίπτουν στην έννοια των «δεδομένων προσωπικού χαρακτήρα».
53.
Αντιθέτως προς όσα υποστηρίζει ο ΕΕΠΔ, φρονώ ότι μια τέτοια προσέγγιση δεν είναι αντίθετη προς τον σκοπό της διασφάλισης υψηλού επιπέδου προστασίας των δεδομένων προσωπικού χαρακτήρα, υπό το πρίσμα, ιδίως, των απαιτήσεων περί δυνατότητας ταυτοποίησης που επιβάλλουν οι εφαρμοστέες διατάξεις, αφενός, και της ερμηνείας τους από τη νομολογία, αφετέρου.
54.
Πρώτον, η αιτιολογική σκέψη 16 του κανονισμού 2018/1725 αναφέρεται στη δυνατότητα ταυτοποίησης είτε από τον υπεύθυνο επεξεργασίας «είτε από τρίτο»: αυτή η ευρεία, αν και όχι απεριόριστη (
24
), θεώρηση εντάσσεται σε μια προστατευτική των δεδομένων προσωπικού χαρακτήρα προσέγγιση.
55.
Ομοίως, η εν λόγω αιτιολογική σκέψη 16 προβλέπει ότι θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου, λαμβανομένων υπόψη όλων των αντικειμενικών παραγόντων, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας, όπερ συνιστά έναν ευρύ και προστατευτικό ορισμό των δεδομένων προσωπικού χαρακτήρα.
56.
Δεύτερον, η ερμηνεία από τη νομολογία της έννοιας της «δυνατότητας ταυτοποίησης», η οποία επικεντρώνεται στον κίνδυνο της επαναταυτοποίησης των υποκειμένων των δεδομένων, καθιστά επίσης δυνατή και μια ευρεία εφαρμογή της έννοιας των «δεδομένων προσωπικού χαρακτήρα». Το Δικαστήριο χαρακτηρίζει συστηματικά ως «δεδομένα προσωπικού χαρακτήρα» τα δεδομένα τα οποία, μολονότι διαχωρίζονται από τα δεδομένα ταυτοποίησης τα οποία ευρίσκονται στη διάθεση ενός τρίτου, ενδέχεται, στο επίμαχο πλαίσιο, να ενέχουν τον κίνδυνο επαναταυτοποίησης των υποκειμένων των δεδομένων (
25
).
57.
Επομένως, μόνον εάν ο κίνδυνος ταυτοποίησης είναι ανύπαρκτος ή αμελητέος (
26
), μπορεί, από νομικής απόψεως, ένα δεδομένο να μη χαρακτηριστεί ως «δεδομένο προσωπικού χαρακτήρα».
58.
Τα επιχειρήματα του ΕΕΠΔ και του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων σχετικά με τους κινδύνους που ενέχει μια υπερβολικά αυστηρή ερμηνεία της έννοιας των δεδομένων προσωπικού χαρακτήρα δεν κρίνονται πειστικά. Συγκεκριμένα, το γεγονός ότι οι κανόνες που απορρέουν από τον κανονισμό 2018/1725 δεν έχουν εφαρμογή σε δεδομένα που αφορούν μη ταυτοποιήσιμα πρόσωπα δεν θα απέκλειε τη νομική ευθύνη, κατά περίπτωση, των οντοτήτων που είναι υπαίτιες επιλήψιμων συμπεριφορών, επί παραδείγματι σε περίπτωση που η κοινολόγηση των δεδομένων προκαλεί βλάβη. Αντιθέτως, φρονώ ότι είναι δυσανάλογο να επιβληθούν σε μια οντότητα, η οποία δεν θα μπορούσε ευλόγως να ταυτοποιήσει τα υποκείμενα των δεδομένων, υποχρεώσεις που απορρέουν από τον κανονισμό 2018/1725 (
27
), τις οποίες η εν λόγω οντότητα δεν θα μπορούσε, κατά τεκμήριο, να τηρήσει ή οι οποίες θα την υποχρέωναν ακριβώς να επιχειρήσει να ταυτοποιήσει τα οικεία πρόσωπα.
59.
Λαμβανομένων υπόψη των προεκτεθέντων, εάν η ένδικη διαφορά εξετασθεί υπό το πρίσμα δεδομένων όπως εκείνων που διαβιβάστηκαν στην Deloitte, φρονώ ότι, αντιθέτως προς όσα υποστηρίζει ο ΕΕΠΔ, έπρεπε να κριθεί αν η επεξεργασία των επίμαχων δεδομένων με χρήση ψευδωνυμοποίησης ήταν αρκούντως αξιόπιστη ώστε να συναχθεί το συμπέρασμα ότι οι καταγγέλλοντες, συντάκτες των πληροφοριών που διαβιβάστηκαν στην Deloitte, δεν ήταν ευλόγως ταυτοποιήσιμοι. Με άλλα λόγια, στο πλαίσιο αυτό, εφόσον η Deloitte διέθετε εύλογα μέσα για να ταυτοποιήσει τους εν λόγω καταγγέλλοντες, θα μπορούσε να θεωρηθεί ότι επεξεργάζεται δεδομένα προσωπικού χαρακτήρα.
60.
Ως εκ τούτου, η πρώτη αιτίαση που προβάλλει ο ΕΕΠΔ πρέπει, κατά τη γνώμη μου, να απορριφθεί.
β)
Επί της δεύτερης αιτιάσεως, με την οποία προβάλλεται ότι η αντιπαραβολή με την απόφαση Breyer ήταν εσφαλμένη
1) Επιχειρήματα των διαδίκων
61.
Κατά τον ΕΕΠΔ, υποστηριζόμενο από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, τα επίμαχα ψευδωνυμοποιημένα δεδομένα αποτελούν δεδομένα προσωπικού χαρακτήρα για το ΕΣΕ και, ως εκ τούτου, το ΕΣΕ υπέχει υποχρέωση ενημέρωσης έναντι των υποκειμένων των δεδομένων όσον αφορά τον αποδέκτη. Ο ΕΕΠΔ υποστηρίζει κατ’ ουσίαν ότι το Γενικό Δικαστήριο ερμήνευσε εσφαλμένως την απόφαση Breyer, η οποία αφορούσε διαφορετικά πραγματικά περιστατικά.
62.
Αντιθέτως, κατά το ΕΣΕ, υποστηριζόμενο από την Επιτροπή, η αντιπαραβολή με την απόφαση Breyer είναι λυσιτελής και οδηγεί στο συμπέρασμα ότι η υποχρέωση ενημέρωσης ισχύει μόνον εάν τα διαβιβαζόμενα δεδομένα είναι δεδομένα προσωπικού χαρακτήρα από τη σκοπιά του αποδέκτη, εν προκειμένω της Deloitte, πράγμα το οποίο, όπως ορθώς έκρινε το Γενικό Δικαστήριο, δεν αποδείχθηκε εν προκειμένω.
2) Εκτίμηση
63.
Είμαι της γνώμης ότι η υποχρέωση ενημέρωσης που προβλέπεται στο άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725 και ο παραλληλισμός με την απόφαση Breyer οδηγούν, εν προκειμένω, σε λύση διαφορετική από εκείνη στην οποία κατέληξε το Γενικό Δικαστήριο, όπως θα εκθέσω στο πλαίσιο της ανάλυσης της εξεταζόμενης αιτιάσεως.
64.
Το άρθρο 4, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2018/1725 θέτει την απαίτηση περί σύννομης και θεμιτής επεξεργασίας η οποία πραγματοποιείται με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων.
65.
Ειδικότερα, το άρθρο 15, παράγραφος 1, στοιχείο δʹ, του εν λόγω κανονισμού προβλέπει ότι, όταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο δεδομένων παρέχονται από το ίδιο το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, «κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα», ενημερώνει το υποκείμενο των δεδομένων σχετικά με τους αποδέκτες των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν. Συνεπώς, η εκ μέρους του υπεύθυνου της επεξεργασίας ενημέρωση πρέπει να είναι άμεση, ήτοι να παρέχεται κατά τη συλλογή των δεδομένων (
28
).
66.
Η σημασία της συμμόρφωσης με την εν λόγω υποχρέωση ενημέρωσης επιβεβαιώνεται επίσης και από την αιτιολογική σκέψη 35 του κανονισμού 2018/1725, η οποία αναφέρει ότι οι αρχές της δίκαιης και διαφανούς επεξεργασίας απαιτούν να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της και επισημαίνει ότι ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει κάθε περαιτέρω πληροφορία που είναι αναγκαία για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας, λαμβανομένων υπόψη των ειδικών συνθηκών και του πλαισίου εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα (
29
).
67.
Η εν λόγω υποχρέωση ενημέρωσης καθίσταται δε κατά μείζονα λόγο σημαντική, δεδομένου ότι η εγκυρότητα της συγκατάθεσης του υποκειμένου των δεδομένων εξαρτάται, μεταξύ άλλων, από το αν το πρόσωπο αυτό έχει προηγουμένως λάβει τις πληροφορίες που δικαιούται να λάβει δυνάμει των άρθρων 14 και 15 του κανονισμού 2018/1725 σχετικά με όλες τις περιστάσεις που περιβάλλουν την επεξεργασία των επίμαχων δεδομένων, πληροφορίες οι οποίες του επιτρέπουν να παράσχει συγκατάθεση εν πλήρει γνώσει της κατάστασης (
30
).
68.
Προσθέτω δε ότι η μοναδική εξαίρεση από την εν λόγω υποχρέωση ενημέρωσης, η οποία προβλέπεται στο άρθρο 15, παράγραφος 4, του κανονισμού 2018/1725, αφορά την περίπτωση κατά την οποία το υποκείμενο των δεδομένων διαθέτει ήδη τις επίμαχες πληροφορίες.
69.
Εκ των ανωτέρω συνάγω ότι, στην υπό εξέταση υπόθεση, η εν λόγω υποχρέωση ενημέρωσης εντάσσεται στο πλαίσιο της έννομης σχέσης που συνδέει τα υποκείμενα των δεδομένων, εν προκειμένω τους καταγγέλλοντες, με το ΕΣΕ ως υπεύθυνο επεξεργασίας, και όχι στο πλαίσιο της σχέσης του ΕΣΕ με τον αποδέκτη, ήτοι την Deloitte. Συνεπώς, η υποχρέωση ενημέρωσης έχει ως αντικείμενο τα δεδομένα όπως αυτά ευρίσκονται στην κατοχή του ΕΣΕ πριν από τη διαβίβαση στην Deloitte. Πλην όμως, δεν αμφισβητείται ότι τα εν λόγω δεδομένα αποτελούν δεδομένα προσωπικού χαρακτήρα, αφού το ΕΣΕ έχει στην κατοχή του τις παρατηρήσεις και τη βάση για την ταυτοποίηση των προσώπων που τις υπέβαλαν.
70.
Μια τέτοια προσέγγιση περί «κρίσιμης σκοπιάς» (
31
) με οδηγεί, επομένως, σε διαφορετική λύση από εκείνη στην οποία κατέληξε το Γενικό Δικαστήριο, ακόμη και αν γίνει αντιπαραβολή με την απόφαση Breyer.
71.
Υπενθυμίζεται ότι, στη διαφορά που οδήγησε στην υποβολή του προδικαστικού ερωτήματος στην ως άνω απόφαση, ο P. Breyer ζητούσε να απαγορευθεί στον υπεύθυνο επεξεργασίας (Ομοσπονδιακή Δημοκρατία της Γερμανίας) να διατηρεί τη δυναμική διεύθυνση IP του. Οι συμπληρωματικές πληροφορίες οι οποίες καθιστούσαν δυνατή την ταυτοποίησή του μέσω της διεύθυνσης IP που ήταν συνδεδεμένη με τον υπολογιστή του δεν ευρίσκονταν στη διάθεση του υπευθύνου της επεξεργασίας, αλλά του φορέα παροχής πρόσβασης στο διαδίκτυο. Επομένως, το ζήτημα ήταν αν η δυναμική διεύθυνση IP που είχε στην κατοχή του ο υπεύθυνος επεξεργασίας μπορούσε να χαρακτηριστεί ως «δεδομένο προσωπικού χαρακτήρα» και, συνεπώς, στο πλαίσιο της έννομης σχέσεως μεταξύ του P. Breyer και του εν λόγω υπευθύνου επεξεργασίας, να δημιουργήσει υποχρεώσεις διατηρήσεως εις βάρος του τελευταίου, μολονότι τα στοιχεία ταυτοποίησης του P. Breyer βρίσκονταν στη διάθεση έτερου προσώπου, διαφορετικού από τον υπεύθυνο επεξεργασίας. Κατ’ ουσίαν, κρίθηκε ότι ο υπεύθυνος επεξεργασίας, μολονότι δεν διέθετε τις συμπληρωματικές πληροφορίες ταυτοποίησης, μπορούσε ευλόγως να έχει πρόσβαση σε αυτές και, ως εκ τούτου, η δυναμική διεύθυνση IP χαρακτηρίστηκε ως «δεδομένο προσωπικού χαρακτήρα».
72.
Στην προκειμένη περίπτωση, όπως αναφέρθηκε ανωτέρω (
32
), η υποχρέωση ενημέρωσης προκύπτει στο πλαίσιο της σχέσης μεταξύ των υποκειμένων των δεδομένων (των καταγγελλόντων) με τον υπεύθυνο επεξεργασίας (του ΕΣΕ): η υποχρέωση ενημέρωσης γεννάται όταν τα εν λόγω δεδομένα συλλέγονται από το ΕΣΕ και, ιδίως όσον αφορά τις πληροφορίες σχετικά με τον αποδέκτη, το αργότερο όταν ο αποδέκτης αυτός καθίσταται γνωστός. Όταν, όμως, το χρονικό αυτό σημείο επέρχεται, τα επίμαχα δεδομένα αποτελούν δεδομένα προσωπικού χαρακτήρα στη διάθεση του ΕΣΕ, το οποίο διαθέτει τα συμπληρωματικά δεδομένα ταυτοποίησης. Συνεπώς, υπό το πρίσμα της επίμαχης υποχρέωσης ενημέρωσης και λαμβανομένου υπόψη του χρονικού σημείου κατά το οποίο αυτή ενεργοποιείται, τα επίμαχα δεδομένα συνιστούσαν δεδομένα προσωπικού χαρακτήρα, ανεξαρτήτως της δυνατότητας ταυτοποίησής τους από την Deloitte, η οποία δεν επηρεάζεται ούτε από την έννομη σχέση των καταγγελλόντων με το ΕΣΕ, η οποία είναι η μόνη κρίσιμη, ούτε από την εν λόγω υποχρέωση ενημέρωσης που υπέχει το ΕΣΕ.
73.
Ως εκ τούτου, φρονώ ότι εν προκειμένω ο παραλληλισμός με την απόφαση Breyer δεν ισχύει απόλυτα.
74.
Κατά συνέπεια, το ΕΣΕ υπείχε υποχρέωση ενημέρωσης ως υπεύθυνος επεξεργασίας και λόγω της σχέσης του με τους καταγγέλλοντες, από τους οποίους συνέλεξε τα επίμαχα δεδομένα, τούτο δε ανεξαρτήτως του ή μη προσωπικού χαρακτήρα των δεδομένων όπως διαβιβάστηκαν στην Deloitte.
75.
Το επιχείρημα του ΕΣΕ, το οποίο επαναπροβλήθηκε κατά την επ’ ακροατηρίου συζήτηση, ότι η σκοπιά του αποδέκτη είναι κρίσιμη διότι απαιτείται να εξακριβωθεί εάν συνιστά «αποδέκτη δεδομένων προσωπικού χαρακτήρα» ή όχι, πρέπει, υπό τη λογική αυτή, να απορριφθεί.
76.
Συναφώς, είναι αληθές ότι το γράμμα του άρθρου 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725, το οποίο αναφέρεται στους «αποδέκτες […] των δεδομένων προσωπικού χαρακτήρα», μπορεί να προκαλέσει σύγχυση. Ωστόσο, προκειμένου η διάταξη αυτή να είναι αποτελεσματική, η ενημέρωση πρέπει να αποστέλλεται στα υποκείμενα των δεδομένων το συντομότερο δυνατό και πριν από τη διαβίβαση των δεδομένων (
33
). Εν προκειμένω, ακόμη και αν το ΕΣΕ δεν σκόπευε, κατά την αρχική συλλογή των παρατηρήσεων, να ζητήσει τη γνώμη της Deloitte σχετικά με το εάν οι παρατηρήσεις αυτές τροποποιούσαν την αξιολόγηση 3, από την επίδικη ενώπιον του Γενικού Δικαστηρίου απόφαση προκύπτει ότι η Deloitte συνέδραμε το ΕΣΕ στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας (
34
). Εξάλλου, η πρόθεση του ΕΣΕ να κοινοποιήσει τα ψευδωνυμοποιημένα δεδομένα στην Deloitte μπορεί να θεωρηθεί ότι υπήρχε το αργότερο κατά τον χρόνο που αποφασίστηκε η επεξεργασία των εν λόγω παρατηρήσεων, ακριβώς για τον σκοπό της ψευδωνυμοποίησής τους (
35
), άλλως δεν θα υπήρχε κανείς δικαιολογητικός λόγος για τη χρήση της ψευδωνυμοποίησης.
77.
Επομένως, είμαι της γνώμης ότι το γεγονός ότι ο έλεγχος ως προς την τήρηση της υποχρέωσης ενημέρωσης διενεργείται κατά τον χρόνο διαβίβασης των δεδομένων από το ΕΣΕ στην Deloitte, με γνώμονα, για τον χαρακτηρισμό των επίμαχων δεδομένων ως προσωπικών ή μη προσωπικών, τη σκοπιά του αποδέκτη, έχει ως αποτέλεσμα τη χρονική μετάθεση του εν λόγω ελέγχου. Ο έλεγχος αυτός, συνεπώς, εσφαλμένως θα μετατίθετο χρονικά καθόσον θα διενεργείτο επί των ήδη διαβιβασθέντων στον αποδέκτη δεδομένων, ενώ το αντικείμενο της υποχρέωσης ενημέρωσης αφορά τη σχέση μεταξύ του ΕΣΕ και των καταγγελλόντων και αποσκοπεί στο να επιτρέψει στους τελευταίους να παράσχουν τη συγκατάθεσή τους εν πλήρει γνώσει πριν από τη διαβίβαση.
78.
Επιπλέον, όσον αφορά τη συγκατάθεση των καταγγελλόντων, η συμμετοχή τους στη διαδικασία του δικαιώματος ακροάσεως μπορεί ομολογουμένως να ερμηνευθεί ως χορήγηση σιωπηρής συγκατάθεσης για την κοινοποίηση δεδομένων προσωπικού χαρακτήρα στον υπεύθυνο επεξεργασίας προκειμένου να ληφθούν υπόψη οι παρατηρήσεις τους. Εντούτοις, τούτο δεν αρκεί, κατά τη γνώμη μου, για να αποτελέσει εν πλήρει γνώσει συγκατάθεση για την ψευδωνυμοποίηση των δεδομένων και τη διαβίβασή τους στην Deloitte χωρίς προηγούμενη σχετική ενημέρωση από το ΕΣΕ (
36
).
79.
Εξ αυτού συνάγεται, κατά τη γνώμη μου, ότι η υποχρέωση ενημέρωσης που υπέχει το ΕΣΕ ίσχυε εν προκειμένω πριν από τη διαβίβαση των επίμαχων δεδομένων και ανεξάρτητα από το αν αυτά ήταν ή δεν ήταν δεδομένα προσωπικού χαρακτήρα που είχαν περιέλθει στην Deloitte.
80.
Ως εκ τούτου, φρονώ ότι το κατά πόσον η ψευδωνυμοποίηση είναι αρκούντως αξιόπιστη και αποτελεσματική, ώστε να μπορεί να θεωρηθεί ότι τα δεδομένα που έχουν περιέλθει στην Deloitte συνιστούν ή δεν συνιστούν δεδομένα προσωπικού χαρακτήρα, δεν ασκεί εν τέλει επιρροή υπό το πρίσμα της υποχρέωσης ενημέρωσης που υπέχει το ΕΣΕ.
81.
Κατά συνέπεια, η υποχρέωση ενημέρωσης που υπέχει το ΕΣΕ ως υπεύθυνος επεξεργασίας έπρεπε να τηρηθεί εν προκειμένω και η αναιρεσιβαλλόμενη απόφαση πρέπει, για τον λόγο αυτό, να αναιρεθεί λόγω πλάνης περί το δίκαιο.
82.
Δεδομένου ότι η σκοπιά του αποδέκτη των επίμαχων δεδομένων δεν ασκεί επιρροή υπό το πρίσμα της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725, τα επιχειρήματα των διαδίκων σχετικά με τη δυνατότητα της Deloitte να ταυτοποιήσει, με νόμιμα και πρακτικώς πρόσφορα μέσα, τα υποκείμενα των δεδομένων καθίστανται αλυσιτελή και, ως εκ τούτου, παρέλκει η εξέτασή τους.
83.
Σε περίπτωση που το Δικαστήριο δεν συμμεριστεί τη γνώμη αυτή, επισημαίνεται επικουρικώς ότι ο ΕΕΠΔ αμφισβητεί, συναφώς, τη διαπίστωση του Γενικού Δικαστηρίου ότι η Deloitte δεν θα είχε πρόσβαση στα δεδομένα ταυτοποίησης. Ο ΕΕΠΔ στηρίζεται ειδικότερα στη συμβατική σχέση υπεργολαβίας που υφίσταται μεταξύ του ΕΣΕ και της Deloitte. Το ΕΣΕ και η Επιτροπή υποστηρίζουν ότι, ενεργώντας κατ’ αυτόν τον τρόπο, ο ΕΕΠΔ προβάλλει νέους πραγματικούς ισχυρισμούς οι οποίοι απαραδέκτως προβάλλονται κατ’ αναίρεση. Η άποψη αυτή με βρίσκει σύμφωνο. Συγκεκριμένα, η ύπαρξη συμβατικής σχέσης μεταξύ του ΕΣΕ και της Deloitte, η οποία θα αποδείκνυε ότι η Deloitte μπορούσε να ζητήσει από το ΕΣΕ να ταυτοποιήσει τους καταγγέλλοντες, συνιστά νέα επιχειρηματολογία επί της οποίας, εξάλλου, ουδόλως αποφάνθηκε το Γενικό Δικαστήριο. Επομένως, η ως άνω επιχειρηματολογία, ήθελε κριθεί ότι πρέπει να εξετασθεί, θα πρέπει να απορριφθεί από το Δικαστήριο ως απαράδεκτη σύμφωνα με το άρθρο 170, παράγραφος 1, δεύτερη περίοδος, του Κανονισμού Διαδικασίας του Δικαστηρίου, κατά το οποίο η αίτηση αναιρέσεως δεν μπορεί να μεταβάλει το αντικείμενο της ενώπιον του Γενικού Δικαστηρίου δίκης (
37
).
Β. Επί του δευτέρου λόγου αναιρέσεως, ο οποίος εξετάζεται επικουρικώς
84.
Με τον δεύτερο λόγο αναιρέσεως, με τον οποίο προβάλλεται παραβίαση της αρχής της λογοδοσίας που κατοχυρώνεται στο άρθρο 4, παράγραφος 2, και στο άρθρο 26, παράγραφος 1, του κανονισμού 2018/1725, ο ΕΕΠΔ, υποστηριζόμενος από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, ισχυρίζεται ότι το Γενικό Δικαστήριο εσφαλμένως έκρινε ότι ο ΕΕΠΔ όφειλε να αποδείξει ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούσαν δεδομένα προσωπικού χαρακτήρα, κατά παραβίαση της αρχής της λογοδοσίας του ΕΣΕ.
85.
Λαμβανομένων υπόψη των προεκτεθέντων και ιδίως των σημείων 81 και 82 ανωτέρω, φρονώ ότι παρέλκει η εξέταση του δευτέρου λόγου αναιρέσεως.
86.
Ως εκ τούτου, θα αναφερθώ σε αυτόν μόνον εν συντομία, και επικουρικώς.
87.
Όσον αφορά το αμφισβητούμενο από το ΕΣΕ παραδεκτό του συγκεκριμένου λόγου αναιρέσεως, ο οποίος δεν προβλήθηκε ενώπιον του Γενικού Δικαστηρίου, υπενθυμίζω ότι ο αναιρεσείων μπορεί παραδεκτώς να ασκήσει αναίρεση προβάλλοντας λόγους που αντλούνται από την ίδια την αναιρεσιβαλλόμενη απόφαση και με τους οποίους αμφισβητείται το νόμω βάσιμό της (
38
). Φρονώ ότι τούτο συμβαίνει στην περίπτωση του υπό εξέταση λόγου αναιρέσεως, ο οποίος, επομένως, προβάλλεται παραδεκτώς.
88.
Επί της ουσίας, υπενθυμίζεται ότι το Γενικό Δικαστήριο έκρινε ότι, δεδομένου ότι ο ΕΕΠΔ δεν διερεύνησε κατά πόσον η Deloitte διέθετε στην πράξη νόμιμα και πρόσφορα μέσα τα οποία της παρείχαν τη δυνατότητα να αποκτήσει πρόσβαση στις συμπληρωματικές πληροφορίες που ήταν αναγκαίες για την επαναταυτοποίηση των καταγγελλόντων, ο ΕΕΠΔ δεν μπορούσε να καταλήξει στο συμπέρασμα ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούσαν πληροφορίες που αφορούσαν «ταυτοποιήσιμο φυσικό πρόσωπο» κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
89.
Ο ΕΕΠΔ, υποστηριζόμενος από το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων, ισχυρίζεται κατ’ ουσίαν ότι το Γενικό Δικαστήριο όφειλε να διερευνήσει εάν το ΕΣΕ, ως υπεύθυνος επεξεργασίας, είχε αποδείξει ότι είχε προβεί στην ανωνυμοποίηση των επίμαχων δεδομένων έναντι της Deloitte.
90.
Το ΕΣΕ αντικρούει την επιχειρηματολογία αυτή υποστηρίζοντας ότι η αρχή της λογοδοσίας έχει εφαρμογή μόνον όταν υφίστανται δεδομένα προσωπικού χαρακτήρα και ότι, εν προκειμένω, τα δεδομένα που είχαν περιέλθει στην Deloitte είχαν υποστεί ανωνυμοποίηση.
91.
Η Επιτροπή, από την πλευρά της, υποστηρίζει ότι, σε ένα πρώτο στάδιο, ο ΕΕΠΔ φέρει εύλογο βάρος απόδειξης προκειμένου να αποδείξει, βάσει των διαθέσιμων αποδεικτικών στοιχείων, ότι υφίστανται δεδομένα προσωπικού χαρακτήρα. Εν συνεχεία, εναπόκειται στον οικείο υπεύθυνο επεξεργασίας να αντικρούσει το συμπέρασμα αυτό προσκομίζοντας συμπληρωματικά στοιχεία.
92.
Υπενθυμίζεται ότι, σύμφωνα με το άρθρο 4, παράγραφος 1, στοιχείο αʹ, του κανονισμού 2018/1725, τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Το άρθρο 4, παράγραφος 2, του εν λόγω κανονισμού προβλέπει ότι «ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1». Επομένως, από την αρχή της λογοδοσίας, η οποία διατυπώνεται στο άρθρο 4, παράγραφος 2, και εξειδικεύεται στο άρθρο 26, παράγραφος 1, του προμνησθέντος κανονισμού, προκύπτει ότι ο υπεύθυνος επεξεργασίας πρέπει να είναι σε θέση να αποδείξει τη συμμόρφωση προς τις αρχές που διέπουν την επεξεργασία των δεδομένων προσωπικού χαρακτήρα και διατυπώνονται στην παράγραφο 1 του άρθρου 4 (
39
).
93.
Εφόσον ο υπεύθυνος επεξεργασίας προσκομίζει επαρκή αποδεικτικά στοιχεία προς τούτο, θα μπορούσε να θεωρηθεί ότι ανταποκρίθηκε στο βάρος απόδειξης το οποίο φέρει (
40
).
94.
Εν προκειμένω, το ΕΣΕ επικαλέστηκε, κατά τα φαινόμενα, πλείονα πραγματικά στοιχεία (μεταξύ άλλων τις διαδικασίες φιλτραρίσματος, κατηγοριοποίησης και ομαδοποίησης των παρατηρήσεων, οι οποίες περιγράφονται στην επίδικη απόφαση και στην αναιρεσιβαλλόμενη απόφαση) προκειμένου να αποδείξει, σύμφωνα με την αρχή της λογοδοσίας την οποία οφείλει να τηρεί, ότι η ταυτοποίηση των υποκειμένων των δεδομένων από την Deloitte δεν ήταν δυνατή.
95.
Ενώπιον του Γενικού Δικαστηρίου, ο ΕΕΠΔ αντέταξε επ’ αυτού μια θέση αρχής συνιστάμενη στο ότι κρίσιμη συναφώς είναι αποκλειστικά η σκοπιά του ΕΣΕ και όχι η σκοπιά της Deloitte και, ως εκ τούτου, στο ότι οι παρατηρήσεις που διαβιβάστηκαν στην Deloitte αποτελούν «δεδομένα προσωπικού χαρακτήρα».
96.
Εάν, στο πλαίσιο της επικουρικής εξέτασης του υπό εξέταση λόγου αναιρέσεως, γίνει δεκτό ότι η σκοπιά της Deloitte ήταν κρίσιμη εν προκειμένω (
41
), θα μπορούσε να θεωρηθεί ότι, όπως έκρινε το Γενικό Δικαστήριο, ο ΕΕΠΔ όφειλε να αποδείξει (
42
) για ποιον λόγο, νομικό ή τεχνικό, η διαδικασία ψευδωνυμοποίησης την οποία εφάρμοσε εν προκειμένω το ΕΣΕ δεν ήταν επαρκής και έπρεπε να οδηγήσει στο συμπέρασμα ότι η Deloitte επεξεργαζόταν δεδομένα προσωπικού χαρακτήρα.
97.
Συνεπώς, είμαι της γνώμης ότι, όσον αφορά τον δεύτερο αυτόν λόγο αναιρέσεως, εφόσον το Δικαστήριο επιληφθεί αυτού, θα πρέπει να προβεί στην επικύρωση της αναιρεσιβαλλομένης αποφάσεως.
VII. Επί της προσφυγής ενώπιον του Γενικού Δικαστηρίου
98.
Κατά το άρθρο 61, πρώτο εδάφιο, του Οργανισμού του Δικαστηρίου της Ευρωπαϊκής Ένωσης, αν η αναίρεση κριθεί βάσιμη, το Δικαστήριο αναιρεί την απόφαση του Γενικού Δικαστηρίου. Στην περίπτωση αυτή, μπορεί είτε το ίδιο να αποφανθεί οριστικά επί της διαφοράς, εφόσον είναι ώριμη προς εκδίκαση, είτε να την αναπέμψει στο Γενικό Δικαστήριο για να την κρίνει.
99.
Ο πρώτος λόγος ακυρώσεως που προέβαλε το ΕΣΕ κατά της επίδικης ενώπιον του Γενικού Δικαστηρίου αποφάσεως αφορά παράβαση του άρθρου 3, σημείο 1, του κανονισμού 2018/1725. Από τα σημεία 63 έως 82 των παρουσών προτάσεων προκύπτει ότι, καθόσον το ΕΣΕ παρέβη την υποχρέωση ενημέρωσης που υπέχει βάσει του άρθρου 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725, η επίδικη απόφαση πρέπει, κατά τη γνώμη μου, να επικυρωθεί.
100.
Αντιθέτως, φρονώ ότι ο δεύτερος λόγος ακυρώσεως, με τον οποίο προβάλλεται προσβολή από τον ΕΕΠΔ του δικαιώματος χρηστής διοίκησης στο πλαίσιο της διαδικασίας που οδήγησε στην έκδοση της επίδικης αποφάσεως, δεν είναι ώριμος προς εκδίκαση.
101.
Συγκεκριμένα, το ΕΣΕ υποστηρίζει ειδικότερα ότι, στο πλαίσιο της διοικητικής διαδικασίας που προηγήθηκε της έκδοσης της επίδικης αποφάσεως, ο ΕΕΠΔ προσέβαλε το δικαίωμά του για πρόσβαση στον φάκελο, το δικαίωμά του να τύχει ακροάσεως, καθώς και την αρχή της ισότητας των όπλων, αφενός, αρνούμενος να του παράσχει πρόσβαση στον φάκελο και, αφετέρου, μη γνωστοποιώντας στο ΕΣΕ τις παρατηρήσεις των καταγγελλόντων ή το περιεχόμενό τους.
102.
Πλην όμως, το Γενικό Δικαστήριο έκρινε ότι, δεδομένου ότι ο πρώτος λόγος ακυρώσεως έγινε δεκτός, παρείλκε η εξέταση του δεύτερου λόγου ακυρώσεως που είχε προβληθεί ενώπιόν του. Κατά συνέπεια, ο δεύτερος λόγος ακυρώσεως, ο οποίος προϋποθέτει, μεταξύ άλλων, εκτιμήσεις πραγματικών περιστατικών, δεν είναι ώριμος προς εκδίκαση. Ως εκ τούτου, φρονώ ότι η υπόθεση πρέπει να αναπεμφθεί στο Γενικό Δικαστήριο προκειμένου το τελευταίο να αποφανθεί επ’ αυτής, το δε Δικαστήριο πρέπει να επιφυλαχθεί ως προς τα δικαστικά έξοδα.
VIII. Πρόταση
103.
Κατόπιν των ανωτέρω, προτείνω στο Δικαστήριο να αποφανθεί ως εξής:
–
να αναιρέσει την απόφαση του Γενικού Δικαστηρίου της Ευρωπαϊκής Ένωσης της 26ης Απριλίου 2023, ΕΣΕ κατά ΕΕΠΔ (T‑557/20, EU:T:2023:219)·
–
να αναπέμψει την υπόθεση στο Γενικό Δικαστήριο προκειμένου αυτό να αποφανθεί επί του δευτέρου λόγου ακυρώσεως που προβλήθηκε ενώπιόν του·
–
να επιφυλαχθεί ως προς τα δικαστικά έξοδα.
(
1
)	Γλώσσα του πρωτοτύπου: η γαλλική.
(
2
)	Κανονισμός του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ 2018, L 295, σ. 39).
(
3
)	ΕΕ 2014, L 225, σ. 1.
(
4
)	Απόφαση (ΕΕ) 2017/1246 της Επιτροπής, της 7ης Ιουνίου 2017, για την αποδοχή του καθεστώτος εξυγίανσης για την Banco Popular Español SA (ΕΕ 2017, L 178, σ. 15).
(
5
)	Το άρθρο 20, παράγραφος 1, του κανονισμού 806/2014 προβλέπει ότι το πρόσωπο αυτό είναι «ανεξάρτητο από κάθε δημόσια αρχή, συμπεριλαμβανομένου του Συμβουλίου Εξυγίανσης και της εθνικής αρχής εξυγίανσης, και από την ενδιαφερόμενη οντότητα». Το άρθρο 20, παράγραφος 16, του εν λόγω κανονισμού παραπέμπει στο άρθρο 20, παράγραφος 1, όσον αφορά την έννοια του «ανεξάρτητου προσώπου».
(
6
)	Ο αλφαριθμητικός κωδικός αποτελούνταν από έναν μοναδικό καθολικό αναγνωριστικό κωδικό 33 ψηφίων, παραγόμενο τυχαία.
(
7
)	Από την επίδικη απόφαση προκύπτει ότι η Deloitte συνέδραμε το ΕΣΕ ως ανεξάρτητο πρόσωπο στη διαδικασία λήψης αποφάσεων. Από την εν λόγω απόφαση προκύπτει επίσης ότι στις 18 Μαρτίου 2020 το ΕΣΕ αποφάσισε ότι δεν οφειλόταν καμία αποζημίωση στους θιγόμενους μετόχους και πιστωτές και επισήμανε ότι η απόφαση αυτή στηριζόταν στην αποτίμηση που διενήργησε η Deloitte μετά την εξυγίανση καθώς και στην ανάλυση των παρατηρήσεων που υποβλήθηκαν στο πλαίσιο της διαδικασίας του δικαιώματος ακρόασης.
(
8
)	Με το δεύτερο αίτημα ζητείτο από το Γενικό Δικαστήριο να διαπιστώσει τον παράνομο χαρακτήρα της αρχικής αποφάσεως. Με την αναιρεσιβαλλόμενη απόφαση, το Γενικό Δικαστήριο απέρριψε το δεύτερο αυτό αίτημα λόγω αναρμοδιότητας, με το σκεπτικό ότι το ΕΣΕ επιδίωκε, κατ’ αυτόν τον τρόπο, την έκδοση αναγνωριστικής αποφάσεως και όχι την ακύρωση πράξεως.
(
9
)	Βλ. σκέψεις 64, 73 και 74 της αναιρεσιβαλλομένης αποφάσεως.
(
10
)	Απόφαση της 20ής Δεκεμβρίου 2017 (C‑434/16, στο εξής: απόφαση NowakEU:C:2017:994). Στις παρούσες προτάσεις θα γίνεται κατ’ αναλογίαν παραπομπή στις αποφάσεις που αφορούν την εφαρμογή της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31) και του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ). Πράγματι, όπως προκύπτει από τις αιτιολογικές σκέψεις 4 και 5 του κανονισμού 2018/1725, καθώς και από το άρθρο 2, παράγραφος 3, και το άρθρο 98 του ΓΚΠΔ, ο νομοθέτης της Ένωσης θέλησε να θεσπίσει καθεστώς προστασίας των δεδομένων προσωπικού χαρακτήρα εκ μέρους των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης, το οποίο να είναι ισοδύναμο με εκείνο του ΓΚΠΔ, ώστε να διασφαλίσει την ομοιόμορφη και συνεκτική προστασία των φυσικών προσώπων έναντι της επεξεργασίας των προσωπικών τους δεδομένων εντός της Ένωσης (βλ. απόφαση της 7ης Μαρτίου 2024, OC κατά Επιτροπής, C‑479/22 P, EU:C:2024:215, σκέψη 43).
(
11
)	Βλ. σκέψεις 100, 103 και 105 της αναιρεσιβαλλομένης αποφάσεως.
(
12
)	C‑413/23 P, EU:C:2023:1036.
(
13
)	Βλ., μεταξύ άλλων, τη μη εξαντλητική απαρίθμηση στο σημείο 36 των προτάσεων του γενικού εισαγγελέα G. Pitruzzella στην υπόθεση Österreichische Datenschutzbehörde και CRIF (C‑487/21, EU:C:2022:1000).
(
14
)	Βλ. απόφαση Nowak, σκέψεις 34 έως 35. Βλ., επιπλέον, αποφάσεις της 4ης Μαΐου 2023, Österreichische Datenschutzbehörde και CRIF (C‑487/21, EU:C:2023:369, σκέψεις 23 και 24)· της 22ας Ιουνίου 2023, Pankki S (C‑579/21, EU:C:2023:501, σκέψεις 42 και 43)· της 7ης Μαρτίου 2024, OC κατά Επιτροπής (C‑479/22 P, EU:C:2024:215, σκέψη 45), και της 7ης Μαρτίου 2024, IAB Europe (C‑604/22, EU:C:2024:214, σκέψεις 36 και 37).
(
15
)	Απόφαση Nowak (σκέψη 43).
(
16
)	Απόφαση Nowak (σκέψη 44 in fine).
(
17
)	Πρβλ. σκέψεις 5 έως 7 της αναιρεσιβαλλομένης αποφάσεως και σημείο 9 των παρουσών προτάσεων.
(
18
)	Βλ. σκέψη 23 της αναιρεσιβαλλομένης αποφάσεως.
(
19
)	Απόφαση της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, στο εξής: απόφαση Breyer, EU:C:2016:779).
(
20
)	Συναφώς, βλ. επίσης τη γνωμοδότηση σχετικά με την έννοια των δεδομένων προσωπικού χαρακτήρα (ομάδα εργασίας του «Άρθρου 29», γνωμοδότηση 4/2007, 20 Ιουνίου 2007, WP 136) και τη γνωμοδότηση που πραγματεύεται ρητώς τις τεχνικές ανωνυμοποίησης και ψευδωνυμοποίησης (ομάδα εργασίας του «Άρθρου 29», γνωμοδότηση 05/2014, 10 Απριλίου 2014, WP 216). Ως εκ τούτου, η μέθοδος αυτή της ψευδωνυμοποίησης είναι ιδιαιτέρως σημαντική, ιδίως στο πλαίσιο της έρευνας και της στατιστικής.
(
21
)	Μολονότι οι αιτιολογικές σκέψεις δεν έχουν δεσμευτική νομική ισχύ και δεν μπορούν να στηρίξουν ερμηνεία αντίθετη προς τους σκοπούς που επιδιώκει ο κανονισμός 2018/1725, το Δικαστήριο καταφεύγει εντούτοις συχνά σε αυτές για την ερμηνεία των νομοθετικών διατάξεων της Ένωσης (βλ., μεταξύ άλλων, προτάσεις του γενικού εισαγγελέα M. Szpunar στην υπόθεση Planet49, C‑673/17, EU:C:2019:246, σημείο 71, και της γενικής εισαγγελέα J. Kokott στην υπόθεση Επιτροπή κατά K Telecoms UK Investments, C‑376/20 P, EU:C:2022:817).
(
22
)	Εξάλλου, από αυστηρώς τεχνικής απόψεως, η χρήση της ανωνυμοποίησης δεν αποκλείει τη δυνατότητα επαναταυτοποίησης, γι’ αυτό και οι υπεύθυνοι επεξεργασίας δεδομένων που εφαρμόζουν τεχνικές ανωνυμοποίησης πρέπει να αναλύουν τακτικά τον εγγενή κίνδυνο επαναταυτοποίησης, αξιολογώντας τη σοβαρότητα και την πιθανότητα του κινδύνου αυτού κατά περίπτωση (βλ. συναφώς, O. Tambou, Manuel de droit européen de la protection des données à caractère personnel, Bruylant 2020, σημείο 68 και τις παραπομπές που αναφέρονται συναφώς, ιδίως στην υποσημείωση 162).
(
23
)	Μολονότι αρχική πρόθεση, με την εισαγωγή της έννοιας της «ψευδωνυμοποίησης» στον ΓΚΠΔ, ήταν να παρασχεθεί ευελιξία με σκοπό την ελάφρυνση των υποχρεώσεων όσον αφορά την προστασία των δεδομένων [βλ., συναφώς, Kuner, C., Bygave, L. A. και Docksey, C., «Background and Evolution of the EU General Data Protection Regulation (GDPR)», σε Kuner, C., Bygrave, L. A., Docksey, C., και Drechsler, L. (επιμ.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Οξφόρδη, 2020, σ. 1 έως 47], εντούτοις η πρόθεση αυτή δεν ακολουθήθηκε από το Συμβούλιο στην αιτιολογική σκέψη 26 του ΓΚΠΔ, η διατύπωση της οποίας υιοθετήθηκε στην αιτιολογική σκέψη 16 του κανονισμού 2018/1725.
(
24
)	Όπως επισήμανε ο γενικός εισαγγελέας M. Campos Sánchez-Bordona στα σημεία 64 έως 67 των προτάσεών του στην υπόθεση Breyer (C‑582/14, EU:C:2016:339), «δεν μπορεί να αποκλεισθεί ποτέ, με απόλυτη βεβαιότητα, η ύπαρξη τρίτου ο οποίος διαθέτει πρόσθετα δεδομένα που μπορούν να συνδυασθούν με την εν λόγω πληροφορία και, ως εκ τούτου, να αποκαλύψουν την ταυτότητα ενός προσώπου. […] Εντούτοις, φρονώ ότι η ανησυχία αυτή –απολύτως θεμιτή, κατά τα άλλα– δεν μπορεί να παραγνωρίζει τους όρους της κανονιστικής βουλήσεως του νομοθέτη και το γεγονός ότι η συστηματική ερμηνεία της αιτιολογικής σκέψεως [16 του κανονισμού 2018/1725] περιορίζεται στα “μέσα που μπορούν ευλόγως να χρησιμοποιηθούν”από ορισμένους τρίτους».
(
25
)	Επί παραδείγματι, στην απόφαση Breyer, μια δυναμική διεύθυνση IP στα χέρια ενός φορέα παροχής υπηρεσιών διαδικτυακών τηλεμέσων, αν και διαχωρισμένη από τα δεδομένα ταυτοποίησης που κατέχει ο φορέας παροχής προσβάσεως στο διαδίκτυο, αποτελεί «δεδομένο προσωπικού χαρακτήρα», εφόσον ο φορέας παροχής υπηρεσιών διαδικτυακών τηλεμέσων διέθετε τα μέσα που θα μπορούσαν ευλόγως να χρησιμοποιηθούν για να επιτύχει την ταυτοποίηση του ενδιαφερόμενου προσώπου μέσω της εν λόγω διεύθυνσης IP. Ομοίως, στην απόφαση της 9ης Νοεμβρίου 2023, Gesamtverband Autoteile-Handel (Πρόσβαση σε πληροφορίες που αφορούν τα οχήματα) (C‑319/22, EU:C:2023:837), το ζήτημα αφορούσε τον αναγνωριστικό αριθμό του οχήματος (VIN), ο οποίος ορίζεται ως ο αλφαριθμητικός κωδικός που αποδίδεται σε ένα όχημα από τον κατασκευαστή με σκοπό να εξασφαλίζεται η ορθή αναγνώριση του οχήματος. Μολονότι δεν έχει αφ’ εαυτού προσωπικό χαρακτήρα, ο εν λόγω VIN αποκτά τον χαρακτήρα αυτόν έναντι οποιουδήποτε έχει ευλόγως στη διάθεσή του μέσα που του επιτρέπουν να τον συνδέσει με συγκεκριμένο πρόσωπο (σκέψη 46) και, ως εκ τούτου, να τον συνδέσουν με ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο (σκέψη 49). Ομοίως, συνιστά δεδομένο προσωπικού χαρακτήρα ένα ανακοινωθέν Τύπου της Ευρωπαϊκής Υπηρεσίας Καταπολέμησης της Απάτης (OLAF), το οποίο περιέχει αναγνωριστικά στοιχεία ταυτότητας τα οποία καθιστούσαν δυνατή την εξακρίβωση της ταυτότητας της αναιρεσείουσας, είτε διά της απλής αντικειμενικής ανάγνωσης του ανακοινωθέντος αυτού είτε με τη χρήση μέσων τα οποία «είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν» από έναν από τους αναγνώστες του (απόφαση της 7ης Μαρτίου 2024, OC κατά Επιτροπής, C‑479/22 P, EU:C:2024:215). Ομοίως, στην απόφαση της 7ης Μαρτίου 2024, IAB Europe (C‑604/22, EU:C:2024:214), η ένωση IAB, η οποία εκπροσωπούσε επιχειρήσεις του κλάδου της ψηφιακής διαφήμισης και του ψηφιακού μάρκετινγκ είχε θέσει σε εφαρμογή ένα πλαίσιο για την καταχώριση των προτιμήσεων των χρηστών ιστοτόπων, κωδικοποιημένων μέσω μιας «TC String» (συνδυασμού γραμμάτων και χαρακτήρων). Η εν λόγω TC String κρίθηκε ότι συνιστά δεδομένο προσωπικού χαρακτήρα εφόσον, σε συνδυασμό με αναγνωριστικό στοιχείο ταυτότητας, καθιστούσε δυνατή την ταυτοποίηση του οικείου χρήστη του διαδικτύου, ακόμη και για την IAB, η οποία δεν είχε μεν πρόσβαση σε αναγνωριστικά στοιχεία ταυτότητας, αλλά εμμέσως μπορούσε, με εύλογα μέσα, να έχει πρόσβαση στα στοιχεία αυτά (σκέψεις 48 έως 50 της αποφάσεως).
(
26
)	Από τη σκέψη 46 της αποφάσεως Breyer προκύπτει ότι τούτο συμβαίνει αν η εξακρίβωση της ταυτότητας του οικείου προσώπου απαγορεύεται από τον νόμο ή είναι ανέφικτη στην πράξη, παραδείγματος χάρη λόγω του ότι συνεπάγεται δυσανάλογη προσπάθεια από άποψη χρόνου, οικονομικών και ανθρώπινων πόρων.
(
27
)	Μπορούν, επί παραδείγματι, να αναφερθούν οι υποχρεώσεις που απορρέουν από το δικαίωμα διόρθωσης ανακριβών δεδομένων προσωπικού χαρακτήρα που προβλέπεται στο άρθρο 18 του κανονισμού 2018/1725.
(
28
)	Βλ., κατ’ αναλογίαν, απόφαση της 29ης Ιουλίου 2019, Fashion ID (C‑40/17, EU:C:2019:629, σκέψη 104 και εκεί μνημονευόμενη νομολογία). Βλ., επίσης, προτάσεις του γενικού εισαγγελέα M. Szpunar στην υπόθεση Association Mousse (C‑394/23, EU:C:2024:610, σημείο 58).
(
29
)	Βλ., κατ’ αναλογίαν, αποφάσεις της 1ης Οκτωβρίου 2015, Bara κ.λπ. (C‑201/14, EU:C:2015:638, σκέψη 34), της 1ης Οκτωβρίου 2019, Planet49 (C‑673/17, EU:C:2019:801, σκέψη 77), και της 11ης Ιουλίου 2024, Meta Platforms Ireland (Αντιπροσωπευτική αγωγή) (C‑757/22, EU:C:2024:598, σκέψη 57). Η αιτιολογική σκέψη 36 του κανονισμού 2018/1725 διευκρινίζει περαιτέρω ότι, «[ό]ταν τα δεδομένα προσωπικού χαρακτήρα επιτρέπεται να κοινολογηθούν σε άλλον αποδέκτη, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται όταν τα δεδομένα προσωπικού χαρακτήρα κοινολογούνται για πρώτη φορά στον αποδέκτη». Με άλλα λόγια, εάν προκύψει νέο στοιχείο, αυτό πρέπει να γνωστοποιείται στα υποκείμενα των δεδομένων πριν από την εν λόγω «περαιτέρω επεξεργασία» (πρβλ., κατ’ αναλογία, απόφαση της 27ης Απριλίου 2022, Roos κ.λπ. κατά Κοινοβουλίου, T‑710/21, T‑722/21 και T‑723/21, EU:T:2022:262, σκέψη 171).
(
30
)	Βλ., κατ’ αναλογίαν, απόφαση της 11ης Ιουλίου 2024, Meta Platforms Ireland (Αντιπροσωπευτική αγωγή) (C‑757/22, EU:C:2024:598, σκέψη 60), και σημείο 47 των προτάσεων του γενικού εισαγγελέα J. Richard de la Tour στην ίδια υπόθεση (EU:C:2024:88). Βλ., επίσης, άρθρο 14, παράγραφος 1, του κανονισμού 2018/1725, κατά το οποίο «[ο] υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 15 και 16 […] σχετικά με την επεξεργασία σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση».
(
31
)	Στον βαθμό που διαπιστώνεται ότι η συγκεκριμένη προσέγγιση δεν εξετάστηκε κατ’ αυτόν τον τρόπο στα δικόγραφα, επισημαίνω ότι, πέραν του γεγονότος ότι προβλήθηκε κατά την επ’ ακροατηρίου συζήτηση ενώπιον του Δικαστηρίου, η προσέγγιση αυτή είναι συναφής με την υπό κρίση διαφορά στον βαθμό που επιδιώκει να προσδιορίσει την κρίσιμη σκοπιά όσον αφορά την επίμαχη εν προκειμένω υποχρέωση ενημέρωσης. Στο πλαίσιο αυτό, ο δικαστής, αν και οφείλει να αποφαίνεται μόνον επί των αιτημάτων των διαδίκων, στους οποίους απόκειται ο καθορισμός του πλαισίου της διαφοράς, δεν δεσμεύεται μόνον από τα επιχειρήματα που προβάλλουν οι διάδικοι προς στήριξη των ισχυρισμών τους, διότι, σε αντίθετη περίπτωση, θα μπορούσε να θεμελιώσει την απόφασή του σε εσφαλμένους νομικούς ισχυρισμούς (βλ. απόφαση της 21ης Σεπτεμβρίου 2010, Σουηδία κ.λπ. κατά API και Επιτροπής, C‑514/07 P, C‑528/07 P και C‑532/07 P, EU:C:2010:541, σκέψη 65 και εκεί μνημονευόμενη νομολογία).
(
32
)	Βλ. σημείο 69 των παρουσών προτάσεων.
(
33
)	Σχετικά με το ότι οι πληροφορίες πρέπει να διαβιβάζονται σε προηγούμενο χρόνο, ώστε η συγκατάθεση να μπορεί να παρέχεται εν πλήρει γνώσει της κατάστασης, βλ. απόφαση της 11ης Ιουλίου 2024, Meta Platforms Ireland (Αντιπροσωπευτική αγωγή) (C‑757/22, EU:C:2024:598, σκέψη 60).
(
34
)	Βλ. υποσημείωση 7 στο σημείο 12 των παρουσών προτάσεων.
(
35
)	Βλ. σκέψεις 13 επ. της αναιρεσιβαλλομένης αποφάσεως. Βλ. επίσης τις απαντήσεις του ΕΣΕ στις ερωτήσεις κατά την επ’ ακροατηρίου συζήτηση.
(
36
)	Όσον αφορά το ότι η εν λόγω πληροφορία πρέπει να παρέχεται σε συνοπτική, διαφανή, κατανοητή και εύκολα προσβάσιμη μορφή, χρησιμοποιώντας σαφή και απλή διατύπωση, βλ. άρθρο 14, παράγραφος 1, του κανονισμού 2018/1725. Βλ., επίσης, ομάδα εργασίας του «Άρθρου 29», Κατευθυντήριες γραμμές για τη διαφάνεια κατά τον κανονισμό 2016/679, 11 Απριλίου 2018, WP 260, αναθ. 01, σημείο 30: «Εάν η αλλαγή στις πληροφορίες είναι ενδεικτική μιας θεμελιώδους αλλαγής στη φύση της επεξεργασίας (π.χ. διεύρυνση των κατηγοριών των αποδεκτών ή θέσπιση διαβιβάσεων σε τρίτη χώρα) ή μιας αλλαγής που μπορεί μεν να μην είναι θεμελιώδης από την άποψη της πράξης επεξεργασίας, αλλά μπορεί να είναι θεμελιώδης για το υποκείμενο των δεδομένων και να έχει αντίκτυπο σε αυτό, τότε οι πληροφορίες θα πρέπει να παρέχονται στο υποκείμενο των δεδομένων πολύ πριν τεθεί η αλλαγή σε ισχύ, η δε μέθοδος που χρησιμοποιήθηκε για να γνωστοποιηθούν οι αλλαγές στο υποκείμενο των δεδομένων θα πρέπει να είναι ρητή και αποτελεσματική. Αυτό γίνεται για να διασφαλιστεί ότι δεν θα “διαφύγει” η αλλαγή από το υποκείμενο των δεδομένων και ότι θα του παρασχεθεί ένα εύλογο χρονικό διάστημα προκειμένου α) να αξιολογήσει τη φύση και τον αντίκτυπο της αλλαγής και β) να ασκήσει τα δικαιώματά του βάσει του ΓΚΠΔ σε σχέση με την αλλαγή (π.χ. να ανακαλέσει τη συγκατάθεσή του ή να αντιταχθεί στην επεξεργασία).»
(
37
)	Βλ., μεταξύ άλλων, απόφαση της 29ης Φεβρουαρίου 2024, Euranimi κατά Επιτροπής (C‑95/23 P, μη δημοσιευθείσα, EU:C:2024:177, σκέψη 53).
(
38
)	Βλ. απόφαση της 25ης Ιανουαρίου 2022, Επιτροπή κατά European Food κ.λπ. (C‑638/19 P, EU:C:2022:50, σκέψη 77 και εκεί μνημονευόμενη νομολογία).
(
39
)	Πρβλ., μεταξύ άλλων, απόφαση της 4ης Μαΐου 2023, Bundesrepublik Deutschland (Ηλεκτρονική ταχυδρομική θυρίδα δικαστηρίου) (C‑60/22, EU:C:2023:373, σκέψη 53 και εκεί μνημονευόμενη νομολογία). Βλ., επίσης, σχετικά με το βάρος απόδειξης όσον αφορά την ύπαρξη συγκατάθεσης για την επεξεργασία δεδομένων το οποίο φέρει ο υπεύθυνος της εν λόγω επεξεργασίας, απόφαση της 11ης Νοεμβρίου 2020, Orange România (C‑61/19, EU:C:2020:901, σκέψη 52).
(
40
)	Βλ., κατ’ αναλογίαν, στο πλαίσιο αγωγής αποζημίωσης βάσει του ΓΚΠΔ, απόφαση της 25ης Ιανουαρίου 2024, MediaMarktSaturn (C‑687/21, EU:C:2024:72, σκέψεις 43 έως 45): ο υπεύθυνος επεξεργασίας φέρει το βάρος απόδειξης της καταλληλότητας των μέτρων ασφαλείας που εφάρμοσε και το επιληφθέν δικαστήριο οφείλει να λάβει υπόψη όλα τα στοιχεία που προσκόμισε ο υπεύθυνος επεξεργασίας προκειμένου να αποδείξει την καταλληλότητα των τεχνικών και οργανωτικών μέτρων που έλαβε προκειμένου να συμμορφωθεί προς τις υποχρεώσεις που υπέχει. Ωστόσο, το γεγονός ότι υπάλληλοι του υπευθύνου επεξεργασίας διαβίβασαν κατά λάθος και άνευ αδείας σε τρίτον έγγραφο που περιείχε δεδομένα προσωπικού χαρακτήρα δεν αρκεί αφ’ εαυτού προκειμένου να θεωρηθεί ότι τα τεχνικά και οργανωτικά μέτρα που εφάρμοσε ο υπεύθυνος επεξεργασίας δεν ήταν «κατάλληλα».
(
41
)	Βλ. σημεία 59 και 60 των παρουσών προτάσεων.
(
42
)	Βλ., συναφώς, την αντιπαραβολή στην οποία προέβη η Επιτροπή με το δίκαιο των κρατικών ενισχύσεων στην απόφαση της 12ης Οκτωβρίου 2023, Λάρκο κατά Επιτροπής (C‑445/22 P, EU:C:2023:773, σκέψη 29)· όπως ακριβώς ο χαρακτηρισμός ενός συγκεκριμένου μέτρου ως κρατικής ενίσχυσης αποτελεί προϋπόθεση για να εμπίπτει το μέτρο αυτό στην αρμοδιότητα της Επιτροπής ώστε να διασφαλίζεται η εφαρμογή των άρθρων 107 και 108 ΣΛΕΕ, έτσι και εν προκειμένω ο χαρακτηρισμός των δεδομένων προσωπικού χαρακτήρα αποτελεί προϋπόθεση για την εφαρμογή του κανονισμού 2018/1725 και για τη θεμελίωση της αρμοδιότητας του ΕΕΠΔ (βλ. άρθρο 52, παράγραφος 3, του κανονισμού 2018/1725).