C-413/23
ECLI:EU:C:2025:59
- Súd
- Súdny dvor Európskej únie
- IČS
- 62023CC0413
- Zdroj
- eur-lex.europa.eu ↗
62023CC0413
NÁVRHY GENERÁLNEHO ADVOKÁTA
DEAN SPIELMANN
prednesené 6. februára 2025 ( 1 )
Vec C‑413/23 P
Európsky dozorný úradník pre ochranu údajov
proti
Jednotnej rade pre riešenie krízových situácií
„Odvolanie – Spracovávanie osobných údajov – Konanie o vyplatení náhrady akcionárom a veriteľom v nadväznosti na riešenie krízovej situácie bankovej inštitúcie – Informačná povinnosť – Článok 15 ods. 1 písm. d) nariadenia (EÚ) 2018/1725 – Neposkytnutie informácií akcionárom a veriteľom o príjemcovi osobných údajov – Rozhodnutie európskeho dozorného úradníka pre ochranu údajov, v ktorom sa konštatuje porušenie nariadenia 2018/1725 týkajúce sa spracúvania pseudonymizovaných osobných údajov“
I. Úvod
1.
Svojím odvolaním sa európsky dozorný úradník pre ochranu údajov (EDPS) domáha zrušenia rozsudku Všeobecného súdu Európskej únie z 26. apríla 2023, SRB/EDPS (T‑557/20, ďalej len „napadnutý rozsudok“, EU:T:2023:219 ), ktorým Všeobecný súd zrušil revidované rozhodnutie EDPS z 24. novembra 2020 (ďalej len „sporné rozhodnutie“) týkajúce sa piatich sťažností podaných akcionármi a veriteľmi dotknutými riešením krízovej situácie banky Banco Popular Español SA (ďalej len „Banco Popular“), ktorí sa sťažujú, že neboli informovaní o prenose svojich osobných údajov.
2.
Prejednávaná vec poskytuje Súdnemu dvoru príležitosť v kontexte pseudonymizovaných údajov spresniť pojem „osobné údaje“ a povinnosti, ktoré z toho vyplývajú, na účely plnenia povinností spravodlivého a transparentného spracúvania údajov.
II. Právny rámec
3.
V rámci tohto odvolania sú relevantné nasledujúce ustanovenia nariadenia (EÚ) 2018/1725 ( 2 ).
4.
Odôvodnenia 16 a 17 znejú:
„(16)
Zásady ochrany údajov by sa mali vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby. Osobné údaje, ktoré boli pseudonymizované a ktoré by sa mohli použitím dodatočných informácií priradiť fyzickej osobe, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe. Na určenie toho, či je fyzická osoba identifikovateľná, by sa mali vziať do úvahy všetky prostriedky, napríklad osobitný výber, pri ktorých existuje primeraná pravdepodobnosť, že ich prevádzkovateľ alebo iná osoba využije na priamu alebo nepriamu identifikáciu fyzickej osoby. Na zistenie toho, či je primerane pravdepodobné, že sa prostriedky použijú na identifikáciu fyzickej osoby, by sa mali zohľadniť všetky objektívne faktory, ako sú náklady a čas potrebné na identifikáciu so zreteľom na technológiu dostupnú v čase spracúvania, ako aj na technologický vývoj. Zásady ochrany údajov by sa preto nemali uplatňovať na anonymné informácie, konkrétne na informácie, ktoré sa nevzťahujú na identifikovanú alebo identifikovateľnú fyzickú osobu, ani na osobné údaje, ktoré sa stali anonymnými takým spôsobom, že dotknutá osoba nie je alebo už nie je identifikovateľná. Toto nariadenie sa preto netýka spracúvania takýchto anonymných informácií vrátane spracúvania na štatistické účely alebo účely výskumu.
(17)
Použitie pseudonymizácie osobných údajov môže znížiť riziká pre príslušné dotknuté osoby a pomôcť prevádzkovateľom a sprostredkovateľom pri plnení ich povinností v oblasti ochrany údajov. Výslovným zavedením „pseudonymizácie“ v tomto nariadení sa nemajú vylúčiť akékoľvek iné opatrenia na ochranu údajov.“
5.
Článok 3 uvedeného nariadenia, nazvaný „Vymedzenie pojmov“, v bodoch 1 a 6 stanovuje:
„Na účely tohto nariadenia sa uplatňuje toto vymedzenie pojmov:
1.
‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); [‚]identifikovateľná fyzická osoba[‘] je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;
…
6.
‚pseudonymizácia‘ je spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť konkrétnej dotknutej osobe bez použitia dodatočných informácií, pokiaľ sa takéto dodatočné informácie uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe.“
6.
Článok 4 toho istého nariadenia, nazvaný „Zásady spracúvania osobných údajov“, v odseku 1 písm. a) a odseku 2 stanovuje:
„1. Osobné údaje musia byť:
a)
spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
…
2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
7.
Článok 15 nariadenia 2018/1725, nazvaný „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 písm. d) stanovuje:
„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
…
d)
prípadní príjemcovia alebo kategórie príjemcov osobných údajov.“
III. Okolnosti predchádzajúce sporu
8.
Dňa 7. júna 2017 prijala Jednotná rada pre riešenie krízových situácií (SRB) program riešenia krízovej situácie, ktorý sa týkal banky Banco Popular, a to na základe nariadenia Európskeho parlamentu a Rady (EÚ) č. 806/2014 z 15. júla 2014, ktorým sa stanovujú jednotné pravidlá a jednotný postup riešenia krízových situácií úverových inštitúcií a určitých investičných spoločností v rámci jednotného mechanizmu riešenia krízových situácií a jednotného fondu na riešenie krízových situácií a ktorým sa mení nariadenie (EÚ) č. 1093/2010 ( 3 ), pričom v ten istý deň bol tento program schválený rozhodnutím Európskej komisie ( 4 ), čo konkrétne znamená, že kapitálové nástroje banky boli odpísané alebo konvertované a odpredané prevodom akcií.
9.
V súlade s článkom 20 ods. 16 až 18 nariadenia č. 806/2014 poverila SRB spoločnosť Deloitte ako „nezávislú osobu“ ( 5 ) úlohou vykonať ocenenie rozdielu v zaobchádzaní s cieľom určiť, či by sa s akcionármi a veriteľmi dotknutými opatrením na riešenie krízovej situácie zaobchádzalo lepšie, keby bola táto banka predmetom bežného insolvenčného konania.
10.
Dňa 14. júna 2018 Deloitte predložila SRB toto ocenenie rozdielu v zaobchádzaní (ďalej len „ocenenie 3“). V predbežnom rozhodnutí SRB uviedla, že aby mohla prijať konečné rozhodnutie o tom, či je alebo nie je potrebné priznať akcionárom a veriteľom dotknutým riešením krízovej situácie banky Banco Popular náhradu podľa článku 76 ods. 1 písm. e) nariadenia č. 806/2014, začala postup týkajúci sa práva na vypočutie, ktorý zahŕňal prvú fázu registrácie s cieľom overiť oprávnenosť strán, ktoré prejavili záujem, a druhú fázu konzultácie, v rámci ktorej dotknutí akcionári a veritelia predložili svoje pripomienky k predbežnému rozhodnutiu SRB, ku ktorému bolo pripojené ocenenie 3.
11.
Údaje zhromaždené počas fázy registrácie, konkrétne doklady totožnosti účastníkov a dôkazy o vlastníctve odpísaných alebo konvertovaných a prevedených kapitálových nástrojov banky Banco Popular, boli prístupné obmedzenému počtu pracovníkov SRB zodpovedných za spracovanie týchto údajov s cieľom určiť oprávnenosť účastníkov. Tieto údaje neboli viditeľné pracovníkom SRB zodpovedným za spracovanie pripomienok prijatých počas fázy konzultácie, kedy im boli doručené len pripomienky identifikované odkazom na alfanumerický kód ( 6 ) priradený ku každej pripomienke predloženej prostredníctvom formulára.
12.
Po agregácii, automatickom filtrovaní a kategorizácii pripomienok SRB postúpila spoločnosti Deloitte ( 7 ) pripomienky týkajúce sa ocenenia 3, ktoré boli takto filtrované, kategorizované a agregované. Pripomienky postúpené spoločnosti Deloitte zahŕňali len pripomienky prijaté počas fázy konzultácie a mali alfanumerický kód, ktorý bol vyvinutý na účely auditu, aby SRB mohla overiť a prípadne následne preukázať, že každá pripomienka bola spracovaná a náležite zohľadnená. Len SRB mohla prostredníctvom tohto kódu opätovne spojiť pripomienky s údajmi prijatými počas fázy registrácie. Deloitte nemala a stále nemá prístup k databáze zhromaždenej počas fázy registrácie.
13.
Dotknutí akcionári a veritelia (ďalej len „sťažovatelia“) zaslali EDPS päť sťažností podľa nariadenia 2018/1725 z dôvodu, že vyhlásenie o ochrane osobných údajov, ktoré zverejnila SRB, neobsahovalo zmienku o tom, že údaje zhromaždené prostredníctvom formulára budú postúpené spoločnosti Deloitte. Tvrdili, že SRB porušila svoju informačnú povinnosť týkajúcu sa spracúvania osobných údajov podľa tohto nariadenia, ktorá je stanovená v článku 15 ods. 1 písm. d) uvedeného nariadenia.
14.
EDPS prijal 24. júna 2020 pôvodné rozhodnutie, ktoré bolo v nadväznosti na žiadosť SRB o preskúmanie zrušené a 24. novembra 2020 nahradené napadnutým rozhodnutím, ktoré znie:
„1.
EDPS sa domnieva, že údaje, ktoré si SRB vymieňala so spoločnosťou Deloitte, boli pseudonymizované údaje jednak preto, že pripomienky vo fáze [konzultácie] boli osobné údaje, a jednak preto, že SRB používala spoločný alfanumerický kód umožňujúci spojenie odpovedí prijatých počas fázy [registrácie] s odpoveďami z fázy [konzultácie], hoci údaje poskytnuté účastníkmi na identifikáciu počas fázy [registrácie] neboli spoločnosti Deloitte oznámené.
2.
EDPS sa domnieva, že Deloitte bola príjemcom osobných údajov sťažovateľov v zmysle článku 3 bodu 13 nariadenia 2018/1725. Skutočnosť, že Deloitte nebola uvedená vo vyhlásení SRB o ochrane osobných údajov ako možný príjemca osobných údajov zhromaždených a spracovaných SRB ako prevádzkovateľom v rámci postupu týkajúceho sa práva na vypočutie, predstavuje porušenie informačnej povinnosti stanovenej v článku 15 ods. 1 písm. d) [nariadenia 2018/1725].
3.
Vzhľadom na všetky technické a organizačné opatrenia, ktoré SRB prijala na zmiernenie rizík pre právo jednotlivcov na ochranu údajov v rámci postupu týkajúceho sa práva na vypočutie, sa EDPS rozhodol neuplatniť svoju právomoc prijímať nápravné opatrenia stanovenú v článku 58 ods. 2 [nariadenia 2018/1725].
4.
EDPS však odporúča, aby SRB zabezpečila, aby jej vyhlásenia o ochrane osobných údajov v budúcich postupoch týkajúcich sa práva na vypočutie zahŕňali spracúvanie osobných údajov počas fázy registrácie aj počas fázy konzultácie a aby zahŕňali všetkých možných príjemcov zhromaždených informácií, a to s cieľom v plnej miere plniť povinnosť informovať dotknuté osoby v súlade s článkom 15 [nariadenia 2018/1725].“
IV. Napadnutý rozsudok
15.
Návrhom podaným do kancelárie Všeobecného súdu 1. septembra 2020 a návrhom na úpravu podaným 29. januára 2021 SRB podala žalobu, ktorou sa domáhala na jednej strane zrušenia sporného rozhodnutia a na druhej strane vyhlásenia nezákonnosti pôvodného rozhodnutia EDPS z 24. júna 2020.
16.
SRB uviedla na podporu prvého žalobného návrhu ( 8 ) dva žalobné dôvody. Prvý žalobný dôvod bol založený na porušení článku 3 bodu 1 nariadenia 2018/1725, keďže informácie postúpené spoločnosti Deloitte nepredstavovali osobné údaje, a druhý žalobný dôvod na porušení práva na dobrú správu vecí verejných zakotveného v článku 41 Charty základných práv Európskej únie.
17.
Tento žalobný dôvod vyhlásil Všeobecný súd v napadnutom rozsudku za prípustný. Pokiaľ ide o vec samu, vyhovel prvému žalobnému dôvodu a zrušil sporné rozhodnutie bez toho, aby preskúmal druhý žalobný dôvod.
18.
Pokiaľ ide o prvý žalobný dôvod, Všeobecný súd po prvé konštatoval, že EDPS sa domnieval, že informácie postúpené spoločnosti Deloitte „sa týkajú“ fyzickej osoby v zmysle článku 3 bodu 1 nariadenia 2018/1725, pričom vychádzal z domnienky bez toho, aby preskúmal obsah, účel alebo účinok informácií postúpených spoločnosti Deloitte, ( 9 ) čo je v rozpore z rozsudkom Nowak ( 10 ).
19.
Po druhé, pokiaľ ide o podmienku stanovenú v článku 3 bode 1 nariadenia 2018/1725, podľa ktorej sa informácie musia týkať „identifikovanej alebo identifikovateľnej fyzickej osoby“, Všeobecný súd zastával názor, že v prejednávanej veci prináleží EDPS preskúmať, či pripomienky postúpené spoločnosti Deloitte predstavujú vo vzťahu k nej osobné údaje. Podľa napadnutého rozsudku pritom EDPS preskúmal možnosť opätovnej identifikácie autorov pripomienok iba z hľadiska SRB, a nie z hľadiska spoločnosti Deloitte. Keďže teda EDPS neprešetril, či Deloitte mala k dispozícii legálne a v praxi použiteľné prostriedky umožňujúce prístup k dodatočným informáciám potrebným na opätovnú identifikáciu autorov pripomienok, EDPS nemohol dospieť k záveru, že informácie postúpené spoločnosti Deloitte predstavovali informácie týkajúce sa „identifikovateľnej fyzickej osoby“ v zmysle článku 3 bodu 1 nariadenia 2018/1725. ( 11 )
V. Konanie na Súdnom dvore a návrhy účastníkov konania
20.
Podaním doručeným do kancelárie Súdneho dvora 5. júla 2023 podal EDPS odvolanie proti napadnutému rozsudku. Uznesením predsedu Súdneho dvora z 29. novembra 2023 ( 12 ) bol Európskemu výboru pre ochranu údajov povolený vstup do konania ako vedľajšiemu účastníkovi na podporu návrhov EDPS a rozhodnutím z 20. októbra 2023 bol Európskej komisii povolený vstup do konania ako vedľajšiemu účastníkovi na podporu SRB.
21.
EDPS navrhuje, aby Súdny dvor:
–
zrušil napadnutý rozsudok,
–
rozhodol s konečnou platnosťou o spore,
–
uložil SRB povinnosť nahradiť trovy odvolacieho konania a konania na Všeobecnom súde.
22.
Európsky výbor pre ochranu údajov, ktorý podporuje EDPS, navrhuje, aby Súdny dvor:
–
zrušil napadnutý rozsudok,
–
rozhodol s konečnou platnosťou o spore tak, že potvrdí sporné rozhodnutie.
23.
SRB navrhuje, aby Súdny dvor:
–
odvolanie zamietol,
–
subsidiárne zrušil sporné rozhodnutie,
–
subsidiárne v druhom rade vrátil vec Všeobecnému súdu a
–
uložil EDPS povinnosť nahradiť trovy odvolacieho konania a konania na Všeobecnom súde.
24.
Európska komisia, ktorá podporuje SRB, navrhuje, aby Súdny dvor:
–
odvolanie zamietol,
–
uložil EDPS povinnosť nahradiť trovy konania.
VI. O odvolaní
25.
Na podporu svojho odvolania EDPS podporovaný Európskym výborom pre ochranu údajov uvádza dva odvolacie dôvody. V rámci prvého odvolacieho dôvodu spochybňuje výklad Všeobecného súdu týkajúci sa pojmu „osobné údaje“ v zmysle článku 3 ods. 1 a 6 nariadenia 2018/1725, ako ho vykladá judikatúra Súdneho dvora. Druhý odvolací dôvod je založený na porušení zásady zodpovednosti, ktorá je uvedená v článku 4 ods. 2 a článku 26 ods. 1 tohto nariadenia.
A. O prvom odvolacom dôvode
26.
Prvý odvolací dôvod sa delí na dve časti. Prvá časť sa týka podmienky, podľa ktorej sa sporné informácie musia „týkať“ fyzickej osoby, a druhá sa týka podmienky, že táto osoba musí byť „identifikovaná alebo identifikovateľná“.
1.
O prvej časti týkajúcej sa otázky, či sa informácie „týkajú“ fyzickej osoby
a)
Tvrdenia účastníkov konania
27.
EDPS podporovaný Európskym výborom pre ochranu údajov tvrdí, že Všeobecný súd sa dopustil pochybenia, keď rozhodol, že EDPS vychádzal z domnienky týkajúcej sa výkladu podmienky, podľa ktorej sa informácie postúpené spoločnosti Deloitte týkajú fyzickej osoby v zmysle článku 3 bodu 1 nariadenia 2018/1725. Podľa jeho názoru sa za okolností prejednávanej veci nevyžadovalo podrobnejšie preskúmanie z jeho strany.
28.
SRB zase tvrdí, že – ako rozhodol Všeobecný súd – EDPS sa obmedzil na konštatovanie, že sporné pripomienky, ktoré predložili sťažovatelia počas fázy konzultácie v rámci postupu týkajúceho sa práva na vypočutie, odzrkadľovali ich názory alebo stanoviská, zatiaľ čo mal preskúmať, či informácie postúpené spoločnosti Deloitte súviseli s konkrétnou osobou svojím obsahom, účelom alebo účinkom, ako to vyžaduje rozsudok Nowak.
b)
Posúdenie
29.
Treba pripomenúť, že Súdny dvor opakovane rozhodol, že použitie výrazu „akékoľvek informácie“ v definícii pojmu „osobné údaje“ odráža cieľ normotvorcu Únie priznať tomuto pojmu široký význam, ktorý potenciálne zahŕňa všetky druhy informácií, ( 13 ) tak objektívnych, ako aj subjektívnych, vo forme názoru alebo hodnotení, avšak pod podmienkou, že sa „týkajú“ dotknutej osoby.
30.
V tejto súvislosti sa informácia týka identifikovanej alebo identifikovateľnej fyzickej osoby, ak z dôvodu svojho obsahu, účelu alebo účinku „súvisí“ s určitou osobou. ( 14 )
31.
Pokiaľ ide o názory alebo hodnotenia, ako sú pripomienky sťažovateľov, o ktoré ide v prejednávanej veci, považujem za relevantné rozlišovať podľa toho, či sa tieto názory alebo hodnotenia „týkajú“ jednej alebo viacerých osôb uvedených v texte názoru alebo hodnotenia, alebo či – ako v prejednávanej veci – ide o určenie, či sa týkajú ich autora. V prvom prípade je na vyvodenie záveru o existencii informácie týkajúcej sa osoby, ktorá je predmetom hodnotenia, potrebné analyzovať, či sa obsah, účel alebo účinok hodnotenia týka tejto osoby. V druhom prípade sa mi naproti tomu zdá, že na účely určenia, či sa hodnotenie týka osoby, ktorá ho vydala, možno predpokladať, že je to tak a že názor alebo hodnotenie sa nevyhnutne týka jeho autora.
32.
V rozsudku Nowak teda išlo v podstate o hodnotenie informácií obsiahnutých v kópii skúšky. Dotknuté tak boli dve osoby: uchádzač a skúšajúci. Je pravda, že Súdny dvor preskúmal obsah, účel a účinok odpovedí uchádzača, aby z toho vyvodil, že sa ho týkajú. Pokiaľ však ide konkrétnejšie o poznámky skúšajúceho, ktoré odzrkadľujú jeho názor alebo hodnotenie, ( 15 ) hoci Súdny dvor preskúmal obsah, účel a účinok informácií obsiahnutých v kópii, aby dospel k záveru, že tieto hodnotenia sa týkajú uchádzača, nevykonal takéto preskúmanie na účely konštatovania, že predstavujú informácie týkajúce sa skúšajúceho, ktorý bol ich autorom. ( 16 ) Podľa môjho názoru teda nemožno úplne vylúčiť, že (samotná) domnienka sa môže uplatniť pri posudzovaní toho, či sa názor alebo hodnotenie, ako v prejednávanej veci, „týka“ jeho autora.
33.
Z toho vyvodzujem, že pokiaľ sa nepreukáže opak, pripomienky dotknuté v prejednávanej veci, keďže pochádzajú od sťažovateľov a svedčia o ich „logike a uvažovaní“, čím odrážajú vyjadrenie ich „subjektívneho názoru“, sa nevyhnutne „týkajú“ uvedených sťažovateľov bez ohľadu na účel alebo účinok ich pripomienok.
34.
V každom prípade aj keby neexistovala takáto domnienka v prejednávanej veci, zastávam názor, že predmetné pripomienky „sa týkajú“ sťažovateľov z dôvodu ich obsahu, účelu a účinku.
35.
V tejto súvislosti SRB uvádza, že tvrdenia založené na účele a kontexte predmetných pripomienok sú neúčinné, keďže neboli preskúmané v spornom rozhodnutí; neprípustné, pretože obsahujú nové skutkové tvrdenie, a v každom prípade nesprávne.
36.
Táto argumentácia ma nepresvedčila. Tak preskúmanie, ktoré vykonal EDPS v spornom rozhodnutí, ako aj posúdenie Všeobecného súdu totiž patria do právneho kontextu, ktorý bol zohľadnený a ktorý jasne uvádza účel a účinok predmetných pripomienok, ktoré boli predložené v rámci postupu týkajúceho sa práva na vypočutie. Tieto tvrdenia týkajúce sa účelu a účinku predmetných pripomienok sú teda účinné a prípustné.
37.
Pokiaľ ide o vec samu, z uplatniteľného právneho rámca okrem toho vyplýva, že účelom postupu týkajúceho sa práva na vypočutie, v rámci ktorého boli predložené predmetné pripomienky, bolo umožniť dotknutým akcionárom a veriteľom zúčastniť sa konania, najmä s cieľom umožniť SRB, aby mala k dispozícii všetky informácie potrebné na prijatie konečného rozhodnutia o tom, či je alebo nie je potrebné priznať akcionárom a veriteľom dotknutým riešením krízovej situácie banky Banco Popular náhradu na základe zásady, podľa ktorej s veriteľom nemožno zaobchádzať horšie než v prípade likvidácie v rámci bežného konkurzného konania. ( 17 ) Navyše tieto pripomienky, po zohľadnení zo strany SRB, mohli mať vplyv na záujmy a práva sťažovateľov v oblasti finančnej kompenzácie.
38.
Z toho vyvodzujem, že predmetné pripomienky sa týkajú osôb dotknutých v prejednávanej veci, a to aj z dôvodu ich účelu a účinku.
39.
Chcem dodať, že predmetné pripomienky, ako boli postúpené spoločnosti Deloitte, boli podľa všetkého „filtrované, kategorizované a agregované“, takže ako vyplýva zo skutočností uvedených Všeobecným súdom, ( 18 ) jednotlivé pripomienky nebolo možné v rámci tej istej témy rozlíšiť; avšak možno pripustiť, že aj keď boli tieto hromadné pripomienky agregované, svojím obsahom odrážali osobné stanoviská týkajúce sa ocenenia 3. Predstavujú totiž súhrn názorov, ktoré ako také predstavujú informácie týkajúce sa osôb, ktoré ich vyjadrili. Ich filtrovanie, kategorizácia a agregácia na tomto konštatovaní nič nemenia, inak by stačilo na účely obchádzania podmienky informácie „týkajúcej sa“ fyzickej osoby zoskupiť niekoľko stanovísk. Skutočnosť, že v rámci tohto súhrnu pripomienok nie je možné rozlíšiť jednotlivé individuálne názory, patrí podľa môjho názoru pod druhú kumulatívnu podmienku týkajúcu sa identifikovateľnosti dotknutých osôb, skúmanú v rámci druhej časti tohto odvolacieho dôvodu, než pod podmienku, ktorá vyžaduje, aby bola pripomienka „spojená“ s fyzickou osobou.
40.
Za týchto okolností sa domnievam, že posúdenie Všeobecného súdu možno v tejto súvislosti považovať za poznačené nesprávnym právnym posúdením v rozsahu, v akom Všeobecný súd konštatoval, že EDPS nevykonal preskúmanie požadované rozsudkom Nowak na vyvodenie záveru, že predmetné pripomienky „sa týkali“ fyzických osôb v zmysle článku 3 bodu 1 nariadenia 2018/1725.
41.
Ak by Súdny dvor zamietol túto prvú časť a rozhodol, že predmetné pseudonymizované pripomienky sa netýkajú ich autorov, preskúmanie druhej časti odvolacieho dôvodu by bolo zbytočné, keďže podľa článku 3 bodu 1 nariadenia 2018/1725 ide o nevyhnutnú podmienku existencie osobného údaju, ktorá je kumulatívna s podmienkou identifikovateľnosti dotknutých osôb preskúmanou nižšie.
2.
O druhej časti týkajúcej sa podmienky identifikovateľnosti dotknutých osôb
42.
EDPS a Európsky výbor pre ochranu údajov v podstate tvrdia, že Všeobecný súd sa dopustil dvoch pochybení, pričom prvé sa týka pojmu „pseudonymizácia“ a druhé výkladu rozsudku Breyer ( 19 ), čo SRB a Komisia spochybňujú.
a)
O prvej výhrade založenej na pochybení týkajúcom sa účinkov pseudonymizácie
43.
Táto výhrada svedčí o existencii dvoch veľmi odlišných prístupov k rozsahu pôsobnosti pravidiel ochrany údajov. Majú sa do tejto pôsobnosti automaticky zahrnúť pseudonymizované údaje len z dôvodu, že dotknuté osoby sú naďalej identifikovateľné bez ohľadu na dostupnosť dodatočných identifikačných údajov, alebo treba po procese pseudonymizácie považovať údaje za osobné len pre tých, ktorí dokážu s primeranou pravdepodobnosťou identifikovať dotknuté osoby?
1) Tvrdenia účastníkov konania
44.
EDPS a Európsky výbor pre ochranu údajov v podstate tvrdia, že pseudonymizované údaje zostávajú osobnými údajmi len z dôvodu, že dotknuté osoby sú naďalej identifikovateľné, keďže informácie umožňujúce ich identifikáciu naďalej existujú. Prístup Všeobecného súdu je podľa nich nesprávny, keďže umožňuje považovať pseudonymizované údaje za anonymizované vo vzťahu k príjemcovi, čo predstavuje riziko pre ochranu dotknutých osôb a vedie k zámene medzi pseudonymizáciou a anonymizáciou. Takýto prístup, ktorý je v rozpore so znením a cieľom nariadenia 2018/1725, by prevádzkovateľovi umožnil neoprávnene vyňať osobné údaje z pôsobnosti práva Únie v oblasti ochrany osobných údajov.
45.
SRB a Komisia tvrdia, že pseudonymizované údaje zostávajú osobnými údajmi pre prevádzkovateľa, ktorý ich pseudonymizoval, avšak v prípade príjemcov treba skúmať identifikovateľnosť dotknutých osôb. Okrem toho, hoci článok 3 bod 1 nariadenia 2018/1725 nespresňuje, kto musí byť schopný identifikovať dotknutú osobu, vzhľadom na odôvodnenie 16 a v kontexte článku 15 ods. 1 písm. d) tohto nariadenia, ktoré sú dotknuté v prejednávanej veci, je dôležité hľadisko príjemcu. Domnievajú sa, že ak tento príjemca nedostáva osobné údaje, dotknuté osoby nemajú záujem na tom, aby boli informované o prenose údajov, pretože ich práva nie sú dotknuté.
2) Posúdenie
46.
Na úvod je potrebné pripomenúť, že pseudonymizácia je spracúvanie, ktoré sa v súlade s odôvodnením 17 nariadenia 2018/1725 uplatňuje na osobné údaje s cieľom „znížiť riziká“ prepojenia súboru údajov s totožnosťou dotknutej osoby a „pomôcť prevádzkovateľom a sprostredkovateľom pri plnení ich povinností v oblasti ochrany údajov“.
47.
Článok 3 bod 6 nariadenia 2018/1725 tak vymedzuje pseudonymizáciu ako „spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť konkrétnej dotknutej osobe bez použitia dodatočných informácií, [ktoré sa] uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe.“ ( 20 )
48.
Pseudonymizácia teda nie je prvkom definície osobných údajov, ktoré sú ako také vymedzené v článku 3 bode 1 nariadenia 2018/1725 so zreteľom na pojem „identifikovateľnosť“ dotknutej osoby. Okrem toho, ako uviedla Komisia vo svojom vyjadrení vedľajšieho účastníka konania, toto nariadenie vymedzuje pojem „pseudonymizácia“, čím odkazuje na proces zavedenia ochranného opatrenia alebo technického a organizačného opatrenia, ale nie na pojem „pseudonymizované údaje“.
49.
Tento výklad potvrdzuje znenie článku 3 bodu 6 v spojení s odôvodnením 16 uvedeného nariadenia, ktorého prvá veta uvádza, že „zásady ochrany údajov by sa mali vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby“.
50.
Odôvodnenie
16 nariadenia 2018/1725 si navyše zasluhuje podrobnejšiu analýzu. ( 21 ) Obsahuje totiž aj druhú vetu, v ktorej sa uvádza, že „osobné údaje, ktoré boli pseudonymizované a ktoré by sa mohli použitím dodatočných informácií priradiť fyzickej osobe, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe“. Po nej nasledujú tretia a štvrtá veta, ktoré spresňujú obsah tejto požiadavky identifikovateľnosti.
51.
Zo znenia týchto ustanovení vyvodzujem, že pseudonymizácia ponecháva otvorenú možnosť, že dotknuté osoby nebudú identifikovateľné, inak by znenie tohto odôvodnenia 16 nemalo zmysel. Chcem dodať, že posledné vety uvedeného odôvodnenia týkajúce sa anonymizácie potvrdzujú tento výklad: vylučujú anonymizované údaje (alebo ktoré sa stali anonymnými) z pôsobnosti nariadenia 2018/1725, ( 22 ) avšak pseudonymizované údaje vylučujú z tejto pôsobnosti len v prípade, že dotknuté osoby nie sú identifikovateľné. Ak nie je možné identifikovať uvedené osoby, tieto sa teda z právneho hľadiska považujú za dostatočne chránené postupom pseudonymizácie bez ohľadu na skutočnosť, že dodatočné identifikačné údaje neboli úplne vymazané.
52.
Inými slovami, nejde o automatické vyňatie pseudonymizovaných údajov z pôsobnosti tohto nariadenia. ( 23 ) Vzhľadom na odôvodnenie 16 uvedeného nariadenia však nemožno vylúčiť, že takéto údaje sa môžu za určitých podmienok vymykať z pojmu „osobné údaje“.
53.
Na rozdiel od toho, čo tvrdí EDPS, takýto prístup sa mi nezdá byť v rozpore s cieľom zabezpečiť vysokú úroveň ochrany osobných údajov, najmä vzhľadom na požiadavky identifikovateľnosti stanovené uplatniteľnými ustanoveniami na jednej strane a vzhľadom na ich výklad v judikatúre na strane druhej.
54.
Po prvé odôvodnenie 16 nariadenia 2018/1725 odkazuje na identifikovateľnosť zo strany prevádzkovateľa „alebo inej osoby“: táto široká koncepcia, hoci nie neobmedzená, ( 24 ) je súčasťou prístupu, ktorý chráni osobné údaje.
55.
Podobne sa v odôvodnení 16 stanovuje, že treba zohľadniť prostriedky, pri ktorých je primerane pravdepodobné, že sa použijú na priamu alebo nepriamu identifikáciu fyzickej osoby, pričom by sa mali zohľadniť všetky objektívne faktory, ako sú náklady a čas potrebné na identifikáciu so zreteľom na technológiu dostupnú v čase spracúvania, ako aj na technologický vývoj, čo predstavuje širokú definíciu osobných údajov a ich ochranu.
56.
Po druhé výklad tohto pojmu „identifikovateľnosť“ v judikatúre, ktorý je zameraný na riziko opätovnej identifikácie dotknutých osôb, tiež umožňuje široké uplatnenie pojmu „osobné údaje“. Súdny dvor tak systematicky kvalifikoval ako „osobné údaje“ tie údaje, ktoré hoci sú oddelené od identifikačných údajov v rukách niekoho iného, mohli v danom kontexte viesť k riziku, že dotknuté osoby budú opätovne identifikované. ( 25 )
57.
Určitý údaj sa tak môže z právneho hľadiska vyhnúť kvalifikácii ako „osobný údaj“ len v prípade, že riziko identifikácie neexistuje alebo je zanedbateľné. ( 26 )
58.
Tvrdenia EDPS a Európskeho výboru pre ochranu údajov týkajúce sa nebezpečenstiev vyplývajúcich z príliš reštriktívneho výkladu osobných údajov nepovažujem za presvedčivé. Skutočnosť, že pravidlá vyplývajúce z nariadenia 2018/1725 sa neuplatňujú na údaje týkajúce sa neidentifikovateľných osôb, totiž nebráni prípadnému vzniku právnej zodpovednosti subjektov, ktorí sú pôvodcami nežiaduceho správania, napríklad v prípade zverejnenia údajov spôsobujúceho ujmu. Naproti tomu sa mi zdá byť neprimerané uložiť subjektu, ktorý by s primeranou pravdepodobnosťou nemohol identifikovať dotknuté osoby, povinnosti vyplývajúce z nariadenia 2018/1725, ( 27 ) teda povinnosti, ktoré by tento subjekt hypoteticky nemohol splniť alebo ktoré by práve od neho vyžadovali, aby sa pokúšal identifikovať dotknuté osoby.
59.
Vzhľadom na tieto úvahy sa domnievam, že pri analýze sporu z hľadiska údajov, aké boli postúpené spoločnosti Deloitte, je na rozdiel od toho, čo tvrdí EDPS, potrebné určiť, či spracovanie predmetných údajov pseudonymizáciou bolo dostatočne spoľahlivé na to, aby sa dospelo k záveru, že sťažovatelia, autori informácií postúpených spoločnosti Deloitte, neboli s primeranou pravdepodobnosťou identifikovateľní. Inými slovami, ak by v tomto kontexte Deloitte mala k dispozícii prostriedky, pri ktorých existuje primeraná pravdepodobnosť identifikácie uvedených sťažovateľov, bolo by ju možné považovať za subjekt, ktorý spracúva osobné údaje.
60.
Prvá výhrada vznesená EDPS by sa teda podľa môjho názoru mala zamietnuť.
b)
O druhej výhrade založenej na nesprávnom porovnaní s rozsudkom Breyer
1) Tvrdenia účastníkov konania
61.
EDPS podporovaný Európskym výborom pre ochranu údajov zastáva názor, že predmetné pseudonymizované údaje sú pre SRB osobnými údajmi, a preto mala SRB povinnosť poskytnúť dotknutým osobám informácie o príjemcovi. V podstate tvrdí, že Všeobecný súd podal nesprávny výklad rozsudku Breyer, ktorý sa týkal odlišnej skutkovej situácie.
62.
SRB podporovaná Komisiou naproti tomu tvrdí, že porovnanie s rozsudkom Breyer je relevantné a vedie k záveru, že informačná povinnosť sa uplatňuje len vtedy, ak sú postúpené údaje osobnými údajmi z hľadiska príjemcu, v tomto prípade spoločnosti Deloitte, čo – ako správne rozhodol Všeobecný súd – nebolo v prejednávanej veci preukázané.
2) Posúdenie
63.
Domnievam sa, že informačná povinnosť stanovená v článku 15 ods. 1 písm. d) nariadenia 2018/1725 a paralela s rozsudkom Breyer vedú v prejednávanej veci k inému riešeniu, než aké zvolil Všeobecný súd, čo vysvetlím v rámci analýzy tejto výhrady.
64.
Článok 4 ods. 1 písm. a) nariadenia 2018/1725 stanovuje požiadavku zákonného, spravodlivého a transparentného spracúvania údajov vo vzťahu k dotknutej osobe.
65.
Konkrétne článok 15 ods. 1 písm. d) tohto nariadenia stanovuje, že v prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ „pri získavaní osobných údajov“ dotknutej osobe informácie o prípadných príjemcoch uvedených údajov. Zdá sa teda, že túto informáciu musí poskytnúť prevádzkovateľ bezodkladne, t. j. v čase zhromažďovania údajov. ( 28 )
66.
Dôležitosť splnenia takejto informačnej povinnosti potvrdzuje aj odôvodnenie 35 nariadenia 2018/1725, v ktorom sa uvádza, že zásada spravodlivého a transparentného spracúvania si vyžaduje, aby dotknutá osoba bola informovaná o existencii spracovateľskej operácie a jej účeloch, pričom sa zdôrazňuje, že prevádzkovateľ by mal dotknutej osobe poskytnúť všetky ďalšie informácie, ktoré sú potrebné na zaručenie spravodlivého a transparentného spracúvania, pričom sa zohľadnia konkrétne okolnosti a kontext, v ktorom sa osobné údaje spracúvajú. ( 29 )
67.
Takáto informačná povinnosť je o to dôležitejšia, že platnosť súhlasu udeleného dotknutou osobou závisí okrem iného od toho, či táto osoba predtým získala informácie vzhľadom na všetky okolnosti súvisiace so spracúvaním predmetných údajov, na ktoré mala nárok podľa článkov 14 a 15 nariadenia 2018/1725 a ktoré jej umožňujú udeliť informovaný súhlas. ( 30 )
68.
Chcem dodať, že jediná výnimka z tejto informačnej povinnosti stanovená v článku 15 ods. 4 nariadenia 2018/1725 sa týka prípadu, keď dotknutá osoba už dané informácie má.
69.
Z toho vyvodzujem, že v prejednávanej veci táto informačná povinnosť patrí do rámca právneho vzťahu existujúceho medzi dotknutými osobami, v tomto prípade sťažovateľmi na jednej strane a SRB ako prevádzkovateľom na druhej strane, a nie do rámca vzťahu medzi SRB a príjemcom, t. j. spoločnosťou Deloitte. Informačná povinnosť sa teda týka údajov, ktoré má SRB k dispozícii pred ich postúpením spoločnosti Deloitte. Je pritom nesporné, že ide o osobné údaje, pretože SRB má k dispozícii pripomienky a podklady na identifikáciu osôb, ktoré ich predložili.
70.
Takýto prístup „relevantného hľadiska“ ( 31 ) ma teda vedie k inému riešeniu, než aké zvolil Všeobecný súd, a to aj po porovnaní s rozsudkom Breyer.
71.
Pripomínam, že v spore, ktorý viedol k prejudiciálnej otázke položenej v tomto rozsudku, sa pán Breyer domáhal, aby sa prevádzkovateľovi (Spolkovej republike Nemecko) zakázalo uchovávať jeho dynamickú IP adresu. Ďalšie informácie umožňujúce jeho identifikáciu prostredníctvom IP adresy spojenej s jeho počítačom neboli v rukách prevádzkovateľa, ale poskytovateľa internetového pripojenia. Otázkou teda bolo, či dynamickú IP adresu, ktorou disponuje prevádzkovateľ, možno kvalifikovať ako „osobný údaj“, a teda v rámci právneho vzťahu medzi pánom Breyerom a uvedeným prevádzkovateľom má za následok vznik povinností na strane tohto prevádzkovateľa vo veciach uchovávania, hoci identifikačné údaje pána Breyera boli v rukách inej osoby než prevádzkovateľa. V podstate bolo rozhodnuté, že hoci prevádzkovateľ nemá k dispozícii dodatočné identifikačné informácie, mohol k nim mať s primeranou pravdepodobnosťou prístup, a teda dynamická IP adresa bola kvalifikovaná ako „osobný údaj“.
72.
V prejednávanej veci, ako už bolo uvedené vyššie ( 32 ), informačná povinnosť patrí do rámca vzťahu medzi dotknutými osobami (sťažovateľmi) a prevádzkovateľom (SRB): informačná povinnosť vzniká práve vtedy, keď SRB predmetné údaje zhromažďuje, a pokiaľ ide konkrétne o informácie o príjemcovi, najneskôr vtedy, keď je tento príjemca známy. Keď tento okamih nastane, predmetné údaje sú osobnými údajmi v rukách SRB, ktorá disponuje dodatočnými identifikačnými údajmi. Vzhľadom na dotknutú informačnú povinnosť a vzhľadom na okamih, kedy vznikne, teda predmetné údaje predstavovali osobné údaje bez ohľadu na ich identifikovateľnosť spoločnosťou Deloitte, ktorej sa netýka ani právny vzťah medzi sťažovateľmi a SRB, ktorý jediný je relevantný, ani táto informačná povinnosť, ktorá prináleží SRB.
73.
Práve v tomto ohľade sa mi zdá, že paralelu s rozsudkom Breyer treba v prejednávanej veci relativizovať.
74.
Z toho vyplýva, že informačnú povinnosť mala SRB ako prevádzkovateľ a na základe jej vzťahu so sťažovateľmi, od ktorých zhromaždila predmetné údaje, a to bez ohľadu na to, či sú údaje postúpené do rúk spoločnosti Deloitte osobnými údajmi alebo nie.
75.
Tvrdenie SRB zopakované na pojednávaní, podľa ktorého je hľadisko príjemcu relevantné, pretože treba overiť, či je alebo nie je „príjemcom osobných údajov“, treba v tejto logike odmietnuť.
76.
V tejto súvislosti je pravda, že znenie článku 15 ods. 1 písm. d) nariadenia 2018/1725, ktoré odkazuje na „príjemcov… osobných údajov“, môže viesť k nejasnostiam. Potrebný účinok tohto ustanovenia si však vyžaduje, aby sa informácie oznámili dotknutým osobám čo najskôr a pred uvedeným postúpením údajov. ( 33 ) Aj keď SRB pri prvotnom zhromažďovaní pripomienok nemala v úmysle požiadať Deloitte o stanovisko na účely zistenia, či tieto pripomienky zmenili ocenenie 3, v prejednávanej veci zo sporného rozhodnutia predloženého na Všeobecnom súde vyplýva, že Deloitte pomáhala SRB v rámci postupu týkajúceho sa práva na vypočutie. ( 34 ) Okrem toho zámer SRB odovzdať pseudonymizované údaje spoločnosti Deloitte možno považovať za existujúci najneskôr v čase, keď bolo rozhodnuté zaoberať sa predmetnými pripomienkami práve na účely ich pseudonymizácie, ( 35 ) inak by pseudonymizácia nemala žiadne opodstatnenie.
77.
Domnievam sa teda, že skutočnosť, že kontrola dodržiavania informačnej povinnosti v čase, keď SRB postúpila údaje spoločnosti Deloitte, pričom vychádzala z jej hľadiska príjemcu na účely určenia, či predmetné údaje sú alebo nie sú osobnými údajmi, vedie k časovému posunu uvedenej kontroly. Táto kontrola je v dôsledku toho nesprávne odložená, pretože by sa vykonávala v súvislosti s údajmi, ktoré už boli prenesené príjemcovi, hoci predmet informačnej povinnosti sa týka vzťahu medzi SRB a sťažovateľmi a jej cieľom je umožniť im udeliť informovaný súhlas pred prenosom.
78.
Navyše pokiaľ ide o súhlas sťažovateľov, ich účasť na postupe týkajúcom sa práva na vypočutie sa nepochybne môže vykladať ako implicitný súhlas s poskytnutím osobných údajov prevádzkovateľovi na účely zohľadnenia ich pripomienok. To však podľa môjho názoru nemôže stačiť na to, aby takýto súhlas predstavoval informovaný súhlas s pseudonymizáciou údajov a ich postúpením spoločnosti Deloitte bez predchádzajúcej informácie v tomto smere od SRB. ( 36 )
79.
Z toho podľa môjho názoru vyplýva, že informačná povinnosť, ktorú má SRB, sa v prejednávanej veci uplatňovala pred prenosom predmetných údajov a bez ohľadu na to, či tieto údaje boli alebo neboli osobnými údajmi v rukách spoločnosti Deloitte.
80.
Skutočnosť, či je pseudonymizácia dostatočne spoľahlivá a efektívna na to, aby bolo možné konštatovať, že údaje v rukách spoločnosti Deloitte sú alebo nie sú osobnými údajmi, sa mi preto v konečnom dôsledku nezdá byť relevantná z hľadiska informačnej povinnosti, ktorú má SRB.
81.
V dôsledku toho informačná povinnosť, ktorú má SRB ako prevádzkovateľ, mala byť v prejednávanej veci splnená, a napadnutý rozsudok treba preto zrušiť z dôvodu nesprávneho právneho posúdenia.
82.
Keďže hľadisko príjemcu predmetných údajov nie je relevantné z pohľadu informačnej povinnosti stanovenej v článku 15 ods. 1 písm. d) nariadenia 2018/1725, tvrdenia účastníkov konania týkajúce sa možnosti spoločnosti Deloitte identifikovať právnymi a prakticky uskutočniteľnými prostriedkami dotknuté osoby sa javia ako neúčinné, a preto ich nie je potrebné skúmať.
83.
Ak by Súdny dvor nesúhlasil s týmto názorom, subsidiárne poznamenávam, že EDPS v tejto súvislosti spochybňuje konštatovanie Všeobecného súdu, podľa ktorého Deloitte nemala prístup k identifikačným údajom. Vychádza najmä zo zmluvného subdodávateľského vzťahu, ktorý by mal existovať medzi SRB a spoločnosťou Deloitte. SRB a Komisia tvrdia, že EDPS tým uvádza nové skutkové tvrdenia, ktoré sú vo fáze odvolania neprípustné. Tiež zastávam tento názor. Existencia zmluvného vzťahu medzi SRB a spoločnosťou Deloitte, ktorá by preukazovala možnosť spoločnosti Deloitte požiadať SRB o identifikáciu sťažovateľov, totiž predstavuje novú argumentáciu, ku ktorej sa Všeobecný súd navyše nijako nevyjadril. Z toho vyplýva, že táto argumentácia by mala byť v prípade potreby zamietnutá ako neprípustná podľa článku 170 ods. 1 druhej vety Rokovacieho poriadku Súdneho dvora, podľa ktorého odvolaním nemožno meniť predmet sporu na Všeobecnom súde. ( 37 )
B. O druhom odvolacom dôvode preskúmanom subsidiárne
84.
Svojím druhým odvolacím dôvodom založeným na porušení zásady zodpovednosti stanovenej v článku 4 ods. 2 a článku 26 ods. 1 nariadenia 2018/1725 EDPS podporovaný Európskym výborom pre ochranu údajov tvrdí, že Všeobecný súd nesprávne rozhodol, že mal preukázať, že informácie postúpené spoločnosti Deloitte predstavujú osobné údaje, čo je v rozpore so zásadou zodpovednosti SRB.
85.
Vzhľadom na vyššie uvedené, a najmä body 81 a 82 vyššie, sa domnievam, že nie je potrebné preskúmať tento druhý odvolací dôvod.
86.
Subsidiárne sa teda o ňom zmienim len stručne.
87.
Pokiaľ ide o prípustnosť namietanú SRB vo vzťahu k tomuto odvolaciemu dôvodu, ktorý nebol uvedený v konaní na Všeobecnom súde, chcem pripomenúť, že odvolateľ má právo podať odvolanie, v rámci ktorého uvedie odvolacie dôvody vyplývajúce zo samotného napadnutého rozsudku, ktoré majú z právneho hľadiska spochybniť jeho dôvodnosť. ( 38 ) Zdá sa mi, že to je prípad tohto odvolacieho dôvodu, ktorý je teda prípustný.
88.
Pokiaľ ide o vec samu, treba pripomenúť, že Všeobecný súd rozhodol, že keďže EDPS neprešetril, či Deloitte mala k dispozícii legálne a v praxi použiteľné prostriedky umožňujúce prístup k dodatočným informáciám potrebným na opätovnú identifikáciu sťažovateľov, EDPS nemohol dospieť k záveru, že informácie postúpené spoločnosti Deloitte predstavovali informácie týkajúce sa „identifikovateľnej fyzickej osoby“ v zmysle článku 3 bodu 1 nariadenia 2018/1725.
89.
EDPS podporovaný Európskym výborom pre ochranu údajov v podstate tvrdí, že Všeobecný súd mal overiť, či SRB ako prevádzkovateľ preukázala, že anonymizovala sporné údaje vo vzťahu k spoločnosti Deloitte.
90.
SRB spochybňuje túto argumentáciu a tvrdí, že zásada zodpovednosti sa uplatňuje len v prípade existencie osobných údajov a že v prejednávanej veci boli údaje v rukách spoločnosti Deloitte anonymizované.
91.
Komisia zase tvrdí, že v prvom rade EDPS znáša primerané dôkazné bremeno, aby na základe dostupných dôkazov preukázal existenciu osobných údajov. V druhom rade podľa nej prináleží dotknutému prevádzkovateľovi, aby vyvrátil tento záver predložením ďalších dôkazov.
92.
Chcem pripomenúť, že podľa článku 4 ods. 1 písm. a) nariadenia 2018/1725 musia byť osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Článok 4 ods. 2 tohto nariadenia stanovuje, že „prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať“. Zo zásady zodpovednosti stanovenej v článku 4 ods. 2 a spresnenej v článku 26 ods. 1 uvedeného nariadenia tak vyplýva, že prevádzkovateľ musí byť schopný preukázať, že dodržal zásady týkajúce sa spracúvania osobných údajov stanovené v článku 4 ods. 1 ( 39 )
93.
Pokiaľ prevádzkovateľ predloží dostatočné dôkazy v tomto zmysle, možno sa domnievať, že uniesol dôkazné bremeno, ktoré ho zaťažuje. ( 40 )
94.
V prejednávanej veci sa mi zdá, že SRB uviedla viacero skutkových okolností (najmä postupy filtrovania, kategorizácie, agregácie pripomienok opísané v spornom rozhodnutí a napadnutom rozsudku), aby v súlade so zásadou zodpovednosti, ktorá jej prináleží, preukázala, že identifikácia dotknutých osôb spoločnosťou Deloitte nebola možná.
95.
EDPS pred Všeobecným súdom vyjadril v tejto súvislosti zásadné stanovisko, ktoré spočívalo v tom, že vychádzal z hľadiska SRB, a nie spoločnosti Deloitte, a tak kvalifikoval pripomienky postúpené spoločnosti Deloitte ako „osobné údaje“.
96.
Ak by sa na účely subsidiárneho preskúmania tohto odvolacieho dôvodu pripustilo, že hľadisko spoločnosti Deloitte bolo v prejednávanej veci relevantné, ( 41 ) bolo by možné domnievať sa, že – ako rozhodol Všeobecný súd – úlohou EDPS bolo preukázať, ( 42 ) z akého právneho alebo technického dôvodu postup pseudonymizácie, ktorý v prejednávanej veci zaviedla SRB, nebol dostatočný a mal viesť k záveru, že Deloitte spracúvala osobné údaje.
97.
Domnievam sa teda, že napadnutý rozsudok by mal byť prípadne v súvislosti s týmto druhým odvolacím dôvodom potvrdený.
VII. O žalobe na Všeobecnom súde
98.
Podľa článku 61 prvého odseku Štatútu Súdneho dvora Európskej únie ak je odvolanie dôvodné, Súdny dvor zruší rozhodnutie Všeobecného súdu. Súdny dvor tak môže sám rozhodnúť o veci samej, ak to stav konania dovoľuje, alebo vrátiť vec Všeobecnému súdu na ďalšie konanie.
99.
Prvý žalobný dôvod, ktorý SRB vzniesla proti spornému rozhodnutiu na Všeobecnom súde, je založený na porušení článku 3 bodu 1 nariadenia 2018/1725. Z bodov 63 až 82 vyššie vyplýva, že SRB si nesplnila informačnú povinnosť, ktorá jej vyplýva z článku 15 ods. 1 písm. d) nariadenia 2018/1725, sporné rozhodnutie by teda malo byť podľa môjho názoru potvrdené.
100.
Naproti tomu o druhom žalobnom dôvode založenom na porušení práva na riadnu správu vecí verejných zo strany EDPS v rámci konania, ktoré viedlo k prijatiu sporného rozhodnutia, podľa môjho názoru nedovoľuje stav veci rozhodnúť.
101.
SRB totiž predovšetkým tvrdí, že v rámci správneho konania, ktoré predchádzalo prijatiu sporného rozhodnutia, EDPS porušil jej právo na prístup k spisu, právo byť vypočutá, ako aj zásadu rovnosti zbraní tým, že jej jednak odmietol prístup k spisu a jednak jej neoznámil pripomienky sťažovateľov alebo ich obsah.
102.
Všeobecný súd však zastával názor, že keďže prvému žalobnému dôvodu bolo vyhovené, nebolo potrebné preskúmať druhý žalobný dôvod, ktorý mu bol predložený. V dôsledku toho stav veci nedovoľuje rozhodnúť o tomto žalobnom dôvode, ktorý zahŕňa najmä posúdenie skutkového stavu. Domnievam sa teda, že vec musí byť vrátená Všeobecnému súdu, aby v tomto ohľade rozhodol, pričom o trovách konania sa rozhodne neskôr.
VIII. Návrh
103.
Vzhľadom na všetky vyššie uvedené úvahy navrhujem, aby Súdny dvor:
–
zrušil rozsudok Všeobecného súdu Európskej únie z 26. apríla 2023, SRB/EDPS ( T‑557/20 , EU:T:2023:219 ),
–
vrátil vec Všeobecnému súdu, aby rozhodol o druhom žalobnom dôvode, ktorý mu bol predložený,
–
nariadil, že o trovách konania sa rozhodne neskôr.
( 1 ) Jazyk prednesu: francúzština.
( 2 ) Nariadenie Európskeho parlamentu a Rady z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES ( Ú. v. EÚ L 295, 2018, p. 39 ).
( 3 ) Ú. v. EÚ L 225, 2014, s. 1 .
( 4 ) Rozhodnutie Komisie (EÚ) 2017/1246 zo 7. júna 2017, ktorým sa schvaľuje program riešenia krízových situácií banky Banco Popular Español SA ( Ú. v. EÚ L 178, 2017, s. 15 ).
( 5 ) Článok 20 ods. 1 nariadenia č. 806/2014 stanovuje, že táto osoba je „nezávislá od akéhokoľvek verejného orgánu, vrátane Jednotnej rady a vnútroštátneho orgánu pre riešenie krízových situácií, a od dotknutého subjektu“. Článok 20 ods. 16 tohto nariadenia odkazuje v súvislosti s pojmom „nezávislá osoba“ na článok 20 ods. 1.
( 6 ) Ide o univerzálny 33‑miestny jedinečný identifikátor, ktorý je náhodne vygenerovaný.
( 7 ) Z napadnutého rozhodnutia vyplýva, že Deloitte pomáhala SRB ako nezávislá osoba v jej rozhodovacom procese. Z tohto rozhodnutia tiež vyplýva, že SRB 18. marca 2020 rozhodla, že dotknutým akcionárom a veriteľom sa nemá vyplatiť žiadna náhrada, a uviedla, že toto rozhodnutie vychádza z posúdenia po riešení krízovej situácie, ktoré vykonala Deloitte, ako aj z analýzy pripomienok prijatých v rámci postupu týkajúceho sa práva na vypočutie.
( 8 ) Druhý žalobný návrh smeroval k vyhláseniu nezákonnosti pôvodného rozhodnutia. Všeobecný súd v napadnutom rozsudku zamietol tento druhý žalobný návrh pre nedostatok právomoci z dôvodu, že SRB sa týmto návrhom snažila o získanie deklaratórneho rozsudku, a nie zrušenie aktu.
( 9 ) Pozri body 64, 73 a 74 napadnutého rozsudku.
( 10 ) Rozsudok z 20. decembra 2017 (C‑434/16, ďalej len „rozsudok Nowak, EU:C:2017:994 ). V týchto návrhoch budú uvádzané analogicky rozsudky, ktoré uplatňujú smernicu Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 13/015, s. 355) a nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“). Ako pritom vyplýva z odôvodnení 4 a 5 nariadenia 2018/1725, ako aj z článku 2 ods. 3 a článku 98 GDPR, zámerom normotvorcu Únie bolo zaviesť režim ochrany osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie, ktorý je rovnocenný s režimom GDPR, s cieľom zabezpečiť jednotnú a konzistentnú ochranu fyzických osôb pri spracúvaní ich osobných údajov v rámci Únie (pozri rozsudok zo 7. marca 2024, OC/Komisia, C‑479/22 P , EU:C:2024:215 , bod 43 ).
( 11 ) Pozri body 100, 103 a 105 napadnutého rozsudku.
( 12 ) C‑413/23 P , EU:C:2023:1036 .
( 13 ) Pozri najmä demonštratívny výpočet v bode 36 návrhov, ktoré predniesol generálny advokát Pitruzzella vo veci Österreichische Datenschutzbehörde a CRIF ( C‑487/21 , EU:C:2022:1000 ).
( 14 ) Pozri rozsudok Nowak, body 34 a 35. Pozri okrem toho rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF ( C‑487/21 , EU:C:2023:369 , body 23 a 24 ); z 22. júna 2023, Pankki S ( C‑579/21 , EU:C:2023:501 , body 42 a 43 ); zo 7. marca 2024, OC/Komisia ( C‑479/22 P , EU:C:2024:215 , bod 45 ), a zo 7. marca 2024, IAB Europe ( C‑604/22 , EU:C:2024:214 , body 36 a 37 ).
( 15 ) Rozsudok Nowak, bod 43.
( 16 ) Rozsudok Nowak, bod 44 in fine .
( 17 ) Pozri v tomto zmysle body 5 až 7 napadnutého rozsudku a bod 9 vyššie.
( 18 ) Pozri bod 23 napadnutého rozsudku.
( 19 ) Rozsudok z 19. októbra 2016, Breyer (C‑582/14, ďalej len „rozsudok Breyer, EU:C:2016:779 ).
( 20 ) Pozri v tejto súvislosti aj stanovisko ku koncepcii osobných údajov (pracovná skupina zriadená podľa článku 29, stanovisko 4/2007 z 20. júna 2007, WP 136) a stanovisko, ktoré sa výslovne zaoberá technikami anonymizácie a pseudonymizácie (pracovná skupina zriadená podľa článku 29, stanovisko 05/2014 z 10. apríla 2014, WP 216). Tento postup pseudonymizácie je tak obzvlášť dôležitý najmä v kontexte výskumu a štatistiky.
( 21 ) Hoci odôvodnenia nie sú právne záväzné a nemôžu byť základom výkladu, ktorý by bol v rozpore s cieľmi sledovanými nariadením 2018/1725, Súdny dvor z nich často vychádza pri výklade ustanovení právneho aktu Únie (pozri najmä návrhy, ktoré predniesol generálny advokát Szpunar vo veci Planet49, C‑673/17 , EU:C:2019:246 , bod 71 , a návrhy, ktoré predniesla generálna advokátka Kokott vo veci Komisia/CK Telecoms UK Investments, C‑376/20 P , EU:C:2022:817 ).
( 22 ) Okrem toho z prísne technického hľadiska anonymizácia nevylučuje možnosti opätovnej identifikácie, a preto musia prevádzkovatelia, ktorí používajú techniky anonymizácie, pravidelne analyzovať riziko spojené s opätovnou identifikáciou, a to posúdením závažnosti a pravdepodobnosti tohto rizika v každom jednotlivom prípade (pozri v tejto súvislosti TAMBOU, O.: Manuel de droit européen de la protection des données à caractère personnel . Bruylant, 2020, bod 68 a odkazy uvádzané v tejto súvislosti, najmä v poznámke pod čiarou 162).
( 23 ) Hoci pôvodným zámerom zavedenia pojmu „pseudonymizácia“ do GDPR bolo poskytnúť flexibilitu s cieľom zmierniť povinnosti v oblasti ochrany údajov (pozri v tejto súvislosti KUNER, C., BYGAVE, L. A. a DOCKSEY, C.: Background and Evolution of the EU General Data Protection Regulation (GDPR). In: KUNER, C., BYGAVE, L. A., DOCKSEY, C. a DRECHSLER, L. (ed.): The EU General Data Protection Regulation (GDPR). A Commentary . Oxford: Oxford University Press, 2020, s. 1 až 47), Rada tento zámer neprevzala v odôvodnení 26 GDPR, ktorého znenie bolo prevzaté do odôvodnenia 16 nariadenia 2018/1725.
( 24 ) Ako uviedol generálny advokát Campos Sánchez‑Bordona v bodoch 64 až 67 svojich návrhov, ktoré predniesol vo veciach Breyer ( C‑582/14 , EU:C:2016:339 ), „nebolo by nikdy možné s absolútnou istotou vylúčiť, že neexistuje žiadna tretia osoba, ktorá má k dispozícii ďalšie údaje, ktoré by sa mohli spojiť s uvedenými informáciami, a tak viesť k odhaleniu totožnosti určitej osoby. …Táto obava – ktorú považujem inak za veľmi legitímnu – nemôže však podľa môjho názoru viesť k tomu, aby sa nebral do úvahy spôsob, akým bola vyjadrená normatívna vôľa zákonodarcu, a aby sa systematický výklad odôvodnenia [16 nariadenia 2018/1725] zúžil na ‚prostriedky, u ktorých je primeraná pravdepodobnosť, že ich využijú‘ niektoré tretie osoby “.
( 25 ) Napríklad v rozsudku Breyer je dynamická IP adresa v rukách poskytovateľa online mediálnych služieb, hoci je oddelená od identifikačných údajov, ktoré má k dispozícii poskytovateľ internetového pripojenia, kvalifikovaná ako „osobný údaj“, keďže poskytovateľ online mediálnych služieb mal k dispozícii prostriedky, pri ktorých existuje primeraná pravdepodobnosť, že ich využije na získanie identifikácie osoby prostredníctvom tejto IP adresy. Rovnako v rozsudku z 9. novembra 2023, Gesamtverband Autoteile‑Handel (Prístup k informáciám o vozidlách) ( C‑319/22 , EU:C:2023:837 ), išlo o VIN vozidla, ktoré je vymedzené ako alfanumerický kód pridelený vozidlu jeho výrobcom na zabezpečenie náležitej identifikácie tohto vozidla. Hoci tento VIN nie je ako taký osobným údajom, stáva sa ním vo vzťahu ku komukoľvek, v prípade ktorého existuje primeraná pravdepodobnosť, že disponuje prostriedkami, ktoré umožňujú spojiť ho s určitou osobou (bod 46), a teda ho spojiť s identifikovanou alebo identifikovateľnou fyzickou osobou (bod 49). Podobne aj tlačová správa Európskeho úradu pre boj proti podvodom (OLAF), ktorá obsahuje identifikátory umožňujúce identifikovať odvolateľku, a to či už len na základe objektívneho prečítania tejto správy, alebo pomocou prostriedkov, „pri ktorých existuje primeraná pravdepodobnosť, že ich využije“ niektorý z jej čitateľov, predstavuje osobný údaj (rozsudok zo 7. marca 2024, OC/Komisia, C‑479/22 P , EU:C:2024:215 ). Rovnako v rozsudku zo 7. marca 2024, IAB Europe ( C‑604/22 , EU:C:2024:214 ), združenie IAB zastupujúce podniky v odvetví digitálnej reklamy a marketingu zaviedlo rámec pre zaznamenávanie preferencií používateľov internetových stránok, kódovaných prostredníctvom reťazca „TC String“ (kombinácia písmen a znakov). Tento reťazec TC String bol považovaný za osobný údaj, pretože v spojení s identifikátorom umožňoval identifikovať dotknutého používateľa internetu, a to aj pre IAB, ktoré síce nedisponovalo identifikátormi, ale mohlo k nim nepriamo získať prístup primeranými prostriedkami (body 48 až 50 rozsudku).
( 26 ) Z bodu 46 rozsudku Breyer vyplýva, že to tak je vtedy, keď je identifikácia dotknutej osoby zakázaná právnymi predpismi alebo prakticky neuskutočniteľná, napríklad preto, lebo by si vyžadovala neprimerane veľa času, financií alebo ľudských zdrojov.
( 27 ) Možno spomenúť napríklad povinnosti vyplývajúce z práva na opravu osobných údajov stanoveného v článku 18 nariadenia 2018/1725.
( 28 ) Pozri analogicky rozsudok z 29. júla 2019, Fashion ID ( C‑40/17 , EU:C:2019:629 , bod 104 a citovaná judikatúra). Pozri tiež návrhy, ktoré predniesol generálny advokát Szpunar vo veci Association Mousse ( C‑394/23 , EU:C:2024:610 , bod 58 ).
( 29 ) Pozri analogicky rozsudky z 1. októbra 2015, Bara a i. ( C‑201/14 , EU:C:2015:638 , bod 34 ); z 1. októbra 2019, Planet49 ( C‑673/17 , EU:C:2019:801 , bod 77 ), a z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení) ( C‑757/22 , EU:C:2024:598 , bod 57 ). V odôvodnení 36 nariadenia 2018/1725 sa ďalej spresňuje, že „ak možno osobné údaje legitímne poskytnúť inému príjemcovi, dotknutá osoba by mala byť informovaná o ich prvom poskytnutí tomuto príjemcovi“. Inými slovami, ak nastane nová udalosť, musí byť oznámená dotknutým osobám pred týmto „ďalším spracúvaním“ (pozri v tomto zmysle a analogicky rozsudok z 27. apríla 2022, Roos a i./Parlament, T‑710/21, T‑722/21 a T‑723/21 , EU:T:2022:262 , bod 171 ).
( 30 ) Pozri analogicky rozsudok z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení) ( C‑757/22 , EU:C:2024:598 , bod 60 ), a bod 47 návrhov, ktoré predniesol generálny advokát Richard de la Tour v tej istej veci ( EU:C:2024:88 ). Pozri tiež článok 14 ods. 1 nariadenia 2018/1725, podľa ktorého „prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 15 a 16…, ktoré sa týkajú spracúvania, v stručnej, transparentnej, zrozumiteľnej a ľahko prístupnej forme, formulované jasne a jednoducho“.
( 31 ) Pokiaľ by sa konštatovalo, že tento prístup nebol takto riešený v písomných podaniach, chcem uviesť, že okrem toho, že tento prístup bol spomenutý na pojednávaní na Súdnom dvore, patrí do rámca prejednávaného sporu, keďže jeho cieľom je určiť relevantné hľadisko vo vzťahu k informačnej povinnosti, o ktorú ide v prejednávanej veci. V tomto rámci, hoci súd rozhoduje len o návrhu účastníkov konania, ktorí sú príslušní vymedziť rozsah sporu, nemôže byť viazaný len tvrdeniami, na ktoré títo účastníci na účely podpory svojich tvrdení odkazujú, pretože by mohol byť prípadne nútený založiť svoje rozhodnutie na chybných právnych úvahách (pozri rozsudok z 21. septembra 2010, Švédsko a i./API a Komisia, C‑514/07 P, C‑528/07 P a C‑532/07 P , EU:C:2010:541 , bod 65 a citovanú judikatúru).
( 32 ) Pozri bod 69 vyššie.
( 33 ) Pokiaľ ide o predbežnú povahu informácie na účely umožnenia informovaného súhlasu, pozri rozsudok z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení) ( C‑757/22 , EU:C:2024:598 , bod 60 ).
( 34 ) Pozri poznámku pod čiarou 7 obsiahnutú v bode 12 vyššie.
( 35 ) Pozri bod 13 a nasl. napadnutého rozsudku. Pozri tiež odpovede SRB na otázky na pojednávaní.
( 36 ) Pokiaľ ide o stručnú, transparentnú, zrozumiteľnú a ľahko prístupnú formu a jasnú a jednoduchú formuláciu uvedenej informácie, pozri článok 14 ods. 1 nariadenia 2018/1725. Pozri tiež Pracovná skupina zriadená podľa článku 29, Usmernenia k transparentnosti podľa nariadenia 2016/679, 11. apríl 2018, WP 260, rev. 01, bod 30: „Ak zmena v informáciách naznačuje zásadnú zmenu v charaktere spracúvania (napr. rozšírenie kategórií príjemcov alebo zavedenie prenosov do tretej krajiny) alebo zmenu, ktorá nemusí byť zásadná z hľadiska spracovateľskej operácie, ale ktorá môže byť relevantná pre dotknutú osobu a ktorá môže mať ňu vplyv, mali by sa tieto informácie poskytnúť dotknutej osobe v dostatočnom predstihu pred tým, ako zmena skutočne nadobudne účinnosť, pričom metóda použitá na upozornenie dotknutej osoby na zmeny by mala byť jasná a účinná. Týmto sa má zabezpečiť, aby dotknutá osoba neprehliadla zmenu a aby mala dotknutá osoba primeraný časový rámec na to, aby a) zvážila povahu a vplyv zmeny, a b) uplatnila svoje práva podľa GDPR v súvislosti zo zmenou (napr. právo odvolať súhlas alebo namietať proti spracúvaniu).“
( 37 ) Pozri najmä rozsudok z 29. februára 2024, Euranimi/Komisia ( C‑95/23 P , neuverejnený, EU:C:2024:177 , bod 53 ).
( 38 ) Pozri rozsudok z 25. januára 2022, Komisia/European Food a i. ( C‑638/19 P , EU:C:2022:50 , bod 77 a citovaná judikatúra).
( 39 ) Pozri v tomto zmysle najmä rozsudok zo 4. mája 2023, Bundesrepublik Deutschland (Elektronická súdna schránka) ( C‑60/22 , EU:C:2023:373 , bod 53 a citovaná judikatúra). Pokiaľ ide o dôkazné bremeno týkajúce sa súhlasu so spracúvaním údajov, ktoré nesie prevádzkovateľ uvedeného spracúvania, pozri tiež rozsudok z 11. novembra 2020, Orange Romania ( C‑61/19 , EU:C:2020:901 , bod 52 ).
( 40 ) Pozri analogicky v rámci žaloby na náhradu škody založenej na GDPR rozsudok z 25. januára 2024, MediaMarktSaturn ( C‑687/21 , EU:C:2024:72 , body 43 až 45 ): dotknutý prevádzkovateľ nesie dôkazné bremeno, pokiaľ ide o preukázanie primeranosti bezpečnostných opatrení, ktoré prijal, a vnútroštátny súd, na ktorý bola podaná žaloba, musí zohľadniť aj všetky dôkazy, ktoré prevádzkovateľ predložil na preukázanie primeranej povahy technických a organizačných opatrení, ktoré prijal na účely splnenia svojich povinností. Skutočnosť, že zamestnanci prevádzkovateľa omylom poskytli neoprávnenej tretej strane dokument obsahujúci osobné údaje, však sama osebe nestačí na prijatie záveru, že technické a organizačné opatrenia prijaté dotknutým prevádzkovateľom neboli „primerané“.
( 41 ) Pozri body 59 a 60 vyššie.
( ) Pozri v tejto súvislosti porovnanie s právom štátnej pomoci, ktoré vykonala Komisia v rozsudku z 12. októbra 2023, Larko/Komisia ( C‑445/22 P , EU:C:2023:773 , bod 29 ); tak ako je kvalifikácia určitého opatrenia ako štátnej pomoci predpokladom toho, aby toto opatrenie spadalo do právomoci Komisie zabezpečiť vykonávanie článkov 107 a 108 ZFEÚ, v tomto prípade je kvalifikácia ako „osobných údajov“ predpokladom uplatnenia nariadenia 2018/1725 a výkonu právomoci EDPS (pozri článok 52 ods. 3 tohto nariadenia).