62023CJ0413_RES
Vec C‑413/23 P
Európsky dozorný úradník pre ochranu údajov
proti
Jednotnej rade pre riešenie krízových situácií
Rozsudok Súdneho dvora (prvá komora) zo 4. septembra 2025
„Odvolanie – Ochrana fyzických osôb pri spracúvaní osobných údajov – Konanie o vyplatení náhrady akcionárom a veriteľom v nadväznosti na riešenie krízovej situácie bankovej inštitúcie – Rozhodnutie Európskeho dozorného úradníka pre ochranu údajov, v ktorom sa konštatuje porušenie povinností týkajúcich sa spracúvania osobných údajov zo strany Jednotnej rady pre riešenie krízových situácií – Nariadenie (EÚ) 2018/1725 – Článok 15 ods. 1 písm. d) – Povinnosť informovať dotknutú osobu – Prenos pseudonymizovaných údajov tretej strane – Článok 3 bod 1 – Pojem ‚osobné údaje‘ – Článok 3 bod 6 – Pojem ‚pseudonymizácia‘“
Inštitúcie Európskej únie – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2018/1725 – Pojem osobné údaje – Akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby – Postup týkajúci sa práva byť vypočutý, ktorý spustila Jednotná rada pre riešenie krízových situácií (SRB) po prijatí opatrení na riešenie krízovej situácie bankovej inštitúcie – Pripomienky, ktoré SRB predložili akcionári a veritelia dotknutí týmito opatreniami – Pseudonymizované pripomienky, ktoré SRB postúpila nezávislej tretej osobe na účely posúdenia – Posúdenie identifikovateľnosti dotknutých osôb – Zahrnutie – Výnimka – Nemožnosť identifikovať dotknuté osoby
(Nariadenie Európskeho parlamentu a Rady 2018/1725, odôvodnenie 17 a článok 3 body 1 a 6)
(pozri body 54 – 60, 72 – 76, 82, 85, 86)
Inštitúcie Európskej únie – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2018/1725 – Informačná povinnosť v prípade získavania osobných údajov od dotknutej osoby – Postup týkajúci sa práva byť vypočutý, ktorý spustila Jednotná rada pre riešenie krízových situácií (SRB) po prijatí opatrení na riešenie krízovej situácie bankovej inštitúcie – Pripomienky, ktoré SRB predložili akcionári a veritelia dotknutí týmito opatreniami – Pseudonymizované pripomienky, ktoré SRB postúpila nezávislej tretej osobe na účely posúdenia – Povinnosť SRB informovať o príjemcoch získaných osobných údajov pred prenosom uvedených pripomienok – Posúdenie identifikovateľnosti dotknutých osôb v čase získavania údajov a z hľadiska prevádzkovateľa
[Nariadenie Európskeho parlamentu a Rady 2018/1725, článok 15 ods. 1 písm. d)]
(pozri body 103, 106, 108 – 112, 115)
Zhrnutie
Na základe odvolania, ktoré podal Európsky dozorný úradník pre ochranu údajov (EDPS), Súdny dvor zrušil rozsudok SRB/EDPS (
1
) a vrátil vec Všeobecnému súdu. Súdny dvor pritom poskytol spresnenia týkajúce sa pojmu „osobné údaje“ v kontexte pseudonymizovaných údajov a konkrétnejšie informácií, ktoré sa majú poskytnúť dotknutej osobe pri prenose takýchto údajov tretej osobe.
V prejednávanej veci Jednotná rada pre riešenie krízových situácií (SRB) rozhodnutím zo 7. júna 2017 rozhodla o riešení krízovej situácie Banco Popular Español SA (ďalej len „Banco Popular“), ktoré v ten istý deň schválila Európska komisia. Dňa 6. augusta 2018 SRB na svojej internetovej stránke uverejnila stanovisko týkajúce sa jej predbežného rozhodnutia o otázke, či je alebo nie je potrebné priznať náhradu akcionárom a veriteľom dotknutým riešením krízovej situácie tejto inštitúcie. Na to, aby mohla prijať konečné rozhodnutie o tejto otázke, vo svojom predbežnom rozhodnutí spresnila, že je potrebné zorganizovať postup, ktorý dotknutým osobám umožní uplatniť ich právo byť vypočutý. Od akcionárov a veriteľov, ktorí sa na ňom zúčastnili, boli zhromaždené údaje, medzi ktorými boli i údaje týkajúce sa ich totožnosti, ako aj dôkazu o vlastníctve jedného z kapitálových nástrojov Banco Popular. Po tom, ako SRB na základe zhromaždených údajov overila ich postavenie, tieto osoby predložili pripomienky k predbežnému rozhodnutiu. Niektoré z nich boli vo forme pseudonymizovaných údajov prenesené spoločnosti Deloitte, audítorskej a poradenskej spoločnosti, ktorú SRB poverila vykonaním ocenenia účinkov riešenia krízovej situácie na akcionárov a veriteľov. (
2
)
V roku 2019 viacerí dotknutí akcionári a veritelia zaslali EDPS päť sťažností podľa nariadenia 2018/1725 (
3
) z dôvodu, že SRB ich neinformovala o tom, že zhromaždené údaje, ktoré sa ich týkajú a budú postúpené tretím stranám.
EDPS týmto sťažnostiam vyhovel, pričom prijal pôvodné rozhodnutie, ktoré bolo v nadväznosti na žiadosť SRB o preskúmanie zrušené a nahradené revidovaným rozhodnutím. V tomto rozhodnutí EDPS uviedol, že v tomto prípade bola Deloitte príjemcom osobných údajov sťažovateľov. (
4
) Okrem toho konštatoval, že SRB porušila svoju informačnú povinnosť stanovenú nariadením 2018/1725 (
5
). Konkrétne jej vytýkal, že vo vyhlásení o ochrane osobných údajov v súvislosti so spracovaním osobných údajov v rámci postupu týkajúceho sa práva byť vypočutý neuviedla, že Deloitte je potenciálnym príjemcom osobných údajov, ktoré SRB zhromaždila a spracúvala.
SRB teda podala na Všeobecný súd žalobu, ktorou sa domáhala predovšetkým zrušenia revidovaného rozhodnutia EDPS. Všeobecný súd tejto žalobe čiastočne vyhovel a uvedené rozhodnutie zrušil.
Posúdenie Súdnym dvorom
Súdny dvor sa vo svojom rozsudku vyjadril k podmienkam, ktoré boli skúmané v napadnutom rozsudku, za ktorých je možné údaje kvalifikovať ako osobné údaje.
V prvom rade dospel k záveru, že Všeobecný súd sa dopustil nesprávneho právneho posúdenia, keď rozhodol, že na to, aby EDPS konštatoval, že sa informácie vyplývajúce z pripomienok postúpených spoločnosti Deloitte „týkali“ osôb, ktoré predložili tieto pripomienky v zmysle článku 3 bodu 1 nariadenia 2018/1725, mal preskúmať obsah, účel alebo účinky uvedených pripomienok, keďže je nesporné, že vyjadrujú názor alebo osobné stanovisko ich autorov.
V tejto súvislosti Súdny dvor pripomenul svoju judikatúru, podľa ktorej sa informácie týkajú identifikovanej alebo identifikovateľnej fyzickej osoby, ak z dôvodu svojho obsahu, účelu alebo účinku súvisia s určitou osobou. (
6
) Preskúmanie týkajúce sa obsahu informácií tak nemusí byť nevyhnutne doplnené analýzou účelu a účinkov týchto informácií, ako to naznačuje použitie spojky „alebo“, ktorá spája rôzne kritériá uvedené v tejto judikatúre.
Súdny dvor zdôraznil, že výklad Všeobecného súdu, podľa ktorého EDPS nemohol informácie vyplývajúce z pripomienok postúpených spoločnosti Deloitte kvalifikovať ako osobné údaje len na základe konštatovania, že išlo o osobné názory alebo osobné stanoviská, ale že mal okrem toho preskúmať obsah, účel a účinok takto vyjadrených názorov s cieľom určiť, či súvisia s určitou osobou, nezohľadňuje osobitnú povahu názorov alebo osobných stanovísk, ktoré sú ako vyjadrenia myšlienok osoby nevyhnutne úzko spojené s touto osobou. (
7
)
V druhom rade sa Súdny dvor vyjadril k podmienke stanovenej v článku 3 bode 1 nariadenia 2018/1725, ktorá sa týka „identifikovateľnosti“ dotknutej fyzickej osoby, a konkrétnejšie k argumentácii EDPS, podľa ktorej pseudonymizované údaje treba v každom prípade a pre každú osobu považovať za osobné údaje.
Súdny dvor konštatoval, že na rozdiel od toho, čo tvrdí EDPS, Všeobecný súd správne rozhodol, že pseudonymizované údaje nemožno na účely uplatňovania nariadenia 2018/1725 v každom prípade a pre každú osobu považovať za osobné údaje, keďže pseudonymizácia môže v závislosti od okolností prípadu skutočne zabrániť tomu, aby iné osoby ako prevádzkovateľ identifikovali dotknutú osobu takým spôsobom, že pre nich táto osoba nie je alebo už nie je identifikovateľná.
Súdny dvor najprv uviedol, že podľa nariadenia 2018/1725 (
8
) pseudonymizácia nepredstavuje prvok definície „osobných údajov“, ale odkazuje na zavedenie technických a organizačných opatrení na zníženie rizika prepojenia súboru údajov s totožnosťou dotknutých osôb.
Spresnil ďalej, že pojem „pseudonymizácia“ predpokladá existenciu informácií umožňujúcich identifikáciu dotknutej osoby. Samotná existencia takýchto informácií však v každom prípade bráni tomu, aby údaje, ktoré boli pseudonymizované, mohli byť považované za anonymné údaje, ktoré sú vylúčené z pôsobnosti nariadenia 2018/1725.
Zdôraznil napokon, že pseudonymizácia má za cieľ najmä zabrániť tomu, aby dotknutá osoba mohla byť identifikovaná len prostredníctvom pseudonymizovaných údajov. (
9
) Za predpokladu, že sa technické a organizačné opatrenia vyžadované pre pseudonymizáciu v zmysle nariadenia 2018/1725 skutočne zavedú a môžu zabrániť priradeniu predmetných údajov dotknutej osobe takým spôsobom, že táto osoba nie je alebo už nie je identifikovateľná, pseudonymizácia môže mať vplyv na osobnú povahu týchto údajov. V tejto súvislosti spresnil, že ako je to obvykle v prípade prevádzkovateľa, ktorý vykonal pseudonymizáciu, SRB má v tejto veci k dispozícii dodatočné informácie, ktoré umožňujú priradiť pripomienky poskytnuté spoločnosti Deloitte k dotknutej osobe. V súvislosti so SRB si teda tieto pripomienky napriek pseudonymizácii zachovávajú svoju osobnú povahu. Naopak, pokiaľ ide o Deloitte, Súdny dvor uviedol, že uvedené technické a organizačné opatrenia môžu mať za následok, že tieto pripomienky nemajú v súvislosti s touto spoločnosťou osobnú povahu. To však na jednej strane predpokladá, že Deloitte nesmie byť schopná zrušiť tieto opatrenia pri akomkoľvek spracovaní uvedených pripomienok, ktoré sa vykonáva pod jej kontrolou, a na druhej strane, že uvedené opatrenia musia byť skutočne takej povahy, aby spoločnosti Deloitte zabránili priradiť tieto pripomienky dotknutej osobe i prostredníctvom iných prostriedkov identifikácie, ako je napríklad krížová kontrola s inými prvkami.
Podľa Súdneho dvora z odôvodnenia 16 nariadenia 2018/1725, ako aj z jeho vlastnej judikatúru vyplýva, že existencia doplňujúcich informácií umožňujúcich identifikáciu dotknutej osoby sama osebe neznamená, že pseudonymizované údaje treba na účely uplatnenia nariadenia 2018/1725 v každom prípade a pre každú osobu považovať za osobné údaje. V tejto súvislosti pripomenul, že pokiaľ ide o tlačovú správu, ktorá obsahovala určitý počet údajov týkajúcich sa osoby bez toho, aby bola menovite označená, sa neobmedzil len na konštatovanie, že orgán Únie, ktorý uverejnil túto správu, mal k dispozícii všetky informácie umožňujúce identifikovať túto osobu, ale preskúmal, či údaje uvedené v danej správe s primeranou pravdepodobnosťou umožňovali dotknutej verejnosti identifikovať túto osobu, a to najmä prostredníctvom kombinácie týchto údajov s informáciami dostupnými na internete. (
10
) Súdny dvor už navyše rozhodol, že o prostriedok, pri ktorom neexistuje primeraná pravdepodobnosť, že bude použitý na identifikáciu dotknutej osoby, ide vtedy, ak sa riziko identifikácie v skutočnosti javí ako zanedbateľné, keďže identifikácia tejto osoby je zakázaná právnymi predpismi alebo prakticky neuskutočniteľná, napríklad preto, lebo by si vyžadovala neprimerane veľa času, nákladov a ľudských zdrojov. (
11
) V rovnakom zmysle rozhodol, že údaje, ktoré sú samy osebe neosobné, zhromaždené a uchovávané prevádzkovateľom, sa napriek tomu týkajú identifikovateľnej osoby, keďže prevádzkovateľ mal k dispozícii zákonné prostriedky na to, aby od inej osoby získal dodatočné informácie umožňujúce identifikáciu tejto osoby. (
12
) Za takýchto podmienok totiž podľa Súdneho tvora skutočnosť, že informáciami, ktoré umožňovali identifikovať dotknutú osobu, disponovali rôzne osoby, nemohla účinne zabrániť jej identifikácii takým spôsobom, že by pre prevádzkovateľa bola neidentifikovateľná.
Súdny dvor konkrétnejšie pripomenul, že údaje, ktoré sú samy osebe neosobné, môžu nadobudnúť „osobnú“ povahu, ak ich prevádzkovateľ sprístupní iným osobám, ktoré disponujú prostriedkami, pri ktorých existuje primeraná pravdepodobnosť, že im umožnia identifikáciu dotknutej osoby. (
13
) V kontexte takéhoto sprístupnenia majú uvedené údaje osobnú povahu tak pre tieto osoby, ako aj nepriamo pre prevádzkovateľa.
V treťom rade Súdny dvor konštatoval, že Všeobecný súd sa dopustil nesprávneho právneho posúdenia, keď rozhodol, že na účely posúdenia, či SRB dodržala svoju informačnú povinnosť, mal EDPS preskúmať, či pripomienky postúpené spoločnosti Deloitte predstavovali z hľadiska tejto spoločnosti osobné údaje.
Na úvod Súdny dvor uviedol, že hoci nariadenie 2018/1725 výslovne nespresňuje perspektívu, ktorá je relevantná na posúdenie identifikovateľnosti dotknutej osoby, z judikatúry vyplýva (
14
), že relevantná perspektíva na posúdenie identifikovateľnosti dotknutej osoby závisí hlavne od okolností charakterizujúcich spracúvanie údajov v každom jednotlivom prípade.
Pokiaľ ide v danej veci o povinnosť informovať o prípadných príjemcoch osobných údajov uvedenú v článku 15 ods. 1 písm. d) nariadenia 2018/1725, Súdny dvor spresnil, že ide o informáciu, ktorú treba poskytnúť okrem iného „pri získavaní osobných údajov“, teda v okamihu získavania údajov od dotknutej osoby. Súdny dvor zdôraznil význam dodržania tejto informačnej povinnosti a uviedol, že ak je získavanie takýchto údajov, ako je to v tejto veci, založené na súhlase dotknutej osoby, jeho platnosť závisí okrem iného od toho, či táto osoba predtým získala informácie vzhľadom na všetky okolnosti súvisiace so spracúvaním predmetných údajov, na ktoré mala nárok podľa článku 15 nariadenia 2018/1725 a ktoré jej umožňujú udeliť informovaný súhlas. Povinnosť poskytnúť dotknutej osobe informáciu týkajúcu sa prípadných príjemcov týchto údajov, v čase získavania osobných údajov, ktoré s ňou súvisia, má predovšetkým za cieľ umožniť tejto osobe spraviť informované rozhodnutie, či poskytne, alebo naopak odmietne poskytnúť svoje osobné údaje.
Súdny dvor dodal, že okrem toho, že povinnosť poskytnúť takúto informáciu v čase získavania osobných údajov je nevyhnutná na to, aby dotknutá osoba mohla neskôr brániť svoje práva voči týmto príjemcom, zaručuje najmä to, aby tieto údaje neboli prevádzkovateľom získané proti jej vôli, alebo dokonca proti jej vôli prenesené tretím osobám.
Informačná povinnosť je tak súčasťou právneho vzťahu existujúceho medzi dotknutou osobou a prevádzkovateľom, a preto sa týka informácií súvisiacich s touto osobou, ako boli poskytnuté tomuto prevádzkovateľovi, teda pred prípadným prenosom tretej osobe.
Súdny dvor preto konštatoval, že na účely uplatnenia informačnej povinnosti stanovenej nariadením 2018/1725 musí byť identifikovateľnosť dotknutej osoby posúdená v čase získavania údajov a z hľadiska prevádzkovateľa. Informačná povinnosť, ktorú má SRB, sa teda uplatňovala pred prenosom predmetných pripomienok a bez ohľadu na to, či po ich prípadnej pseudonymizácii tieto údaje z hľadiska spoločnosti Deloitte boli alebo neboli osobnými údajmi.
(
1
)	Rozsudok Všeobecného súdu z 26. apríla 2023, SRB/EDPS (T‑557/20, ďalej len napadnutý rozsudok, EU:T:2023:219).
(
2
)	Ocenenie upravené v článku 20 ods. 16 až 18 nariadenia Európskeho parlamentu a Rady (EÚ) č. 806/2014 z 15. júla 2014, ktorým sa stanovujú jednotné pravidlá a jednotný postup riešenia krízových situácií úverových inštitúcií a určitých investičných spoločností v rámci jednotného mechanizmu riešenia krízových situácií a jednotného fondu na riešenie krízových situácií a ktorým sa mení nariadenie (EÚ) č. 1093/2010 (Ú. v. EÚ L 225, 2014, s. 1).
(
3
)	Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 2018, s. 39).
(
4
)	V zmysle článku 3 bodu 13 nariadenia 2018/1725.
(
5
)	Článok 15 ods. 1 písm. d) nariadenia 2018/1725.
(
6
)	Rozsudky z 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, bod 35); zo 7. marca 2024, OC/Komisia (C‑479/22 P, EU:C:2024:215, bod 45), a zo 7. marca 2024, IAB Europe (C‑604/22, EU:C:2024:214, bod 37 a citovaná judikatúra).
(
7
)	Výklad podporený judikatúrou vyplývajúcou z rozsudku z 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994).
(
8
)	Článok 3 body 1 a 6 nariadenia 2018/1725.
(
9
)	Článok 3 bod 6 nariadenia 2018/1725 vyžaduje zavedenie oddeleného uchovávania identifikačných informácií, ako aj technických a organizačných opatrení „s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe“.
(
10
)	Rozsudok zo 7. marca 2024, OC/Komisia (C‑479/22 P, EU:C:2024:215, body 52 až 64).
(
11
)	Rozsudok zo 7. marca 2024, OC/Komisia (C‑479/22 P, EU:C:2024:215, bod 51 a citovaná judikatúra).
(
12
)	Rozsudky z 19. októbra 2016, Breyer (C‑582/14, EU:C:2016:779, body 44, 47 a 48), a zo 7. marca 2024, IAB Europe (C‑604/22, EU:C:2024:214, body 43 a 48).
(
13
)	Rozsudok z 9. novembra 2023, Gesamtverband Autoteile‑Handel (Prístup k informáciám o vozidlách) (C‑319/22, EU:C:2023:837, body 46 a 49).
(
14
)	Judikatúra pripomenutá v poznámkach pod čiarou 10 až 12 tohto zhrnutia.