C-413/23

62023CJ0413

ROZSUDOK

SÚDNEHO DVORA (prvá komora)

zo 4. septembra 2025 ( *1 )

„Odvolanie – Ochrana fyzických osôb pri spracúvaní osobných údajov – Konanie o vyplatení náhrady akcionárom a veriteľom v nadväznosti na riešenie krízovej situácie bankovej inštitúcie – Rozhodnutie Európskeho dozorného úradníka pre ochranu údajov, v ktorom sa konštatuje porušenie povinností týkajúcich sa spracúvania osobných údajov zo strany Jednotnej rady pre riešenie krízových situácií – Nariadenie (EÚ) 2018/1725 – Článok 15 ods. 1 písm. d) – Povinnosť informovať dotknutú osobu – Prenos pseudonymizovaných údajov tretej strane – Článok 3 bod 1 – Pojem ‚osobné údaje‘ – Článok 3 bod 6 – Pojem ‚pseudonymizácia‘“

Vo veci C‑413/23 P,

ktorej predmetom je odvolanie podľa článku 56 Štatútu Súdneho dvora Európskej únie, podané 5. júla 2023,

Jednotná rada pre riešenie krízových situácií (SRB) , v zastúpení: H. Ehlers, M. Fernández Rupérez a A. Lapresta Bienz, splnomocnené zástupkyne, za právnej pomoci M. Braun, H.‑G. Kamann, Rechtsanwälte, a F. Louis, avocat,

žalobkyňa v prvostupňovom konaní,

ktorú v konaní podporuje:

Európska komisia , v zastúpení: A. Bouchagiar a H. Kranenborg, splnomocnení zástupcovia,

vedľajšia účastníčka konania v odvolacom konaní,

SÚDNY DVOR (prvá komora),

Rozsudok

1

Európsky dozorný úradník pre ochranu údajov (EDPS) sa svojím odvolaním domáha zrušenia rozsudku Všeobecného súdu Európskej únie z 26. apríla 2023, SRB/EDPS (T‑557/20, ďalej len „napadnutý rozsudok“, EU:T:2023:219 ), ktorým Všeobecný súd zrušil revidované rozhodnutie EDPS z 24. novembra 2020, prijaté na základe žiadosti Jednotnej rady pre riešenie krízových situácií (SRB) o preskúmanie rozhodnutia EDPS z 24. júna 2020 týkajúceho sa piatich sťažností podaných viacerými sťažovateľmi (veci 2019‑947, 2019‑998, 2019‑999, 2019‑1000 a 2019‑1122) (ďalej len „sporné rozhodnutie“).

I. Právny rámec

2

Odôvodnenia 5, 16, 17 a 35 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES ( Ú. v. EÚ L 295, 2018, s. 39 ), znejú:

Zásady ochrany údajov by sa mali vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby. Osobné údaje, ktoré boli pseudonymizované a ktoré by sa mohli použitím dodatočných informácií priradiť fyzickej osobe, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe. Na určenie toho, či je fyzická osoba identifikovateľná, by sa mali vziať do úvahy všetky prostriedky, napríklad osobitný výber, pri ktorých existuje primeraná pravdepodobnosť, že ich prevádzkovateľ alebo iná osoba využije na priamu alebo nepriamu identifikáciu fyzickej osoby. Na zistenie toho, či je primerane pravdepodobné, že sa prostriedky použijú na identifikáciu fyzickej osoby, by sa mali zohľadniť všetky objektívne faktory, ako sú náklady a čas potrebné na identifikáciu so zreteľom na technológiu dostupnú v čase spracúvania, ako aj na technologický vývoj. Zásady ochrany údajov by sa preto nemali uplatňovať na anonymné informácie, konkrétne na informácie, ktoré sa nevzťahujú na identifikovanú alebo identifikovateľnú fyzickú osobu, ani na osobné údaje, ktoré sa stali anonymnými takým spôsobom, že dotknutá osoba nie je alebo už nie je identifikovateľná. Toto nariadenie sa preto netýka spracúvania takýchto anonymných informácií vrátane spracúvania na štatistické účely alebo účely výskumu.

(17)

Použitie pseudonymizácie osobných údajov môže znížiť riziká pre príslušné dotknuté osoby a pomôcť prevádzkovateľom a sprostredkovateľom pri plnení ich povinností v oblasti ochrany údajov. Výslovným zavedením ‚pseudonymizácie‘ v tomto nariadení sa nemajú vylúčiť akékoľvek iné opatrenia na ochranu údajov.

1.

‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;

…

6.

‚pseudonymizácia‘ je spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť konkrétnej dotknutej osobe bez použitia dodatočných informácií, pokiaľ sa takéto dodatočné informácie uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe;

…

Článok 4 tohto nariadenia s názvom „Zásady spracúvania osobných údajov“ v odseku 2 stanovuje:

„Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

5

Článok 14 uvedeného nariadenia, nazvaný „Transparentnosť informácií, oznámenia a postupy výkonu práv dotknutej osoby“, v odseku 1 stanovuje:

„Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 15 a 16 a všetky oznámenia podľa článkov 17 až 24 a článku 35, ktoré sa týkajú spracúvania, v stručnej, transparentnej, zrozumiteľnej a ľahko prístupnej forme, formulované jasne a jednoducho, a to najmä v prípade akýchkoľvek informácií určených osobitne dieťaťu. Informácie sa poskytujú písomne alebo inými prostriedkami, ktoré vo vhodných prípadoch zahŕňajú aj elektronické prostriedky. Na požiadanie dotknutej osoby sa informácie môžu poskytnúť ústne za predpokladu, že sa totožnosť dotknutej osoby preukáže iným spôsobom.“

6

2. Okrem informácií, ktoré sa uvádzajú v odseku 1, prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:

a)

obdobie uchovávania osobných údajov, alebo ak to nie je možné, kritériá na jeho určenie;

b)

existencia práva požadovať od prevádzkovateľa prístup k osobným údajom týkajúcim sa dotknutej osoby, ich opravu, vymazanie alebo obmedzenie ich spracúvania, alebo prípadne práva namietať proti spracúvaniu alebo práva na prenosnosť údajov;

…

Článok 26 tohto nariadenia, nazvaný „Zodpovednosť prevádzkovateľa“, v odseku 1 stanovuje:

„S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú.“

II. Okolnosti predchádzajúce sporu

9

Okolnosti predchádzajúce sporu boli opísané v bodoch 2 až 32 napadnutého rozsudku a možno ich zhrnúť nasledujúcim spôsobom.

10

V nadväznosti na riešenie krízovej situácie Banco Popular bola audítorská a poradenská spoločnosť Deloitte poverená SRB, aby vykonala oceňovanie rozdielu v zaobchádzaní, upravené v článku 20 ods. 16 až 18 nariadenia o SRM, s cieľom určiť, či by sa s akcionármi a veriteľmi Banco Popular zaobchádzalo lepšie, keby táto banka bola predmetom bežného insolvenčného konania (ďalej len „ocenenie 3“). Dňa 14. júna 2018 predložila toto ocenenie SRB.

14

Dňa 6. augusta 2018 SRB uverejnila na svojej internetovej stránke stanovisko z 2. augusta 2018, ktoré sa týkalo jej predbežného rozhodnutia o otázke, či je alebo nie je potrebné priznať akcionárom a veriteľom dotknutým opatreniami na riešenie krízovej situácie Banco Popular Español, SA náhradu, a o postupe práva na vypočutie (SRB/EES/2018/132) (ďalej len „predbežné rozhodnutie“), ako aj nedôvernú verziu ocenenia 3. Oznámenie o tomto stanovisku bolo 7. augusta 2018 uverejnené v Úradnom vestníku Európskej únie ( Ú. v. EÚ C 277 I, 2018, s. 1 ).

15

V predbežnom rozhodnutí SRB uviedla, že aby mohla prijať konečné rozhodnutie o tom, či je alebo nie je potrebné priznať akcionárom a veriteľom dotknutým riešením krízovej situácie Banco Popular (ďalej len „dotknutí akcionári a veritelia“) náhradu podľa článku 76 ods. 1 písm. e) nariadenia o SRM, vyzvala ich, aby vyjadrili svoj záujem o uplatnenie svojho práva byť vypočutý podľa článku 41 ods. 2 písm. a) Charty základných práv Európskej únie (ďalej len „Charta“).

A. O postupe týkajúcom sa práva byť vypočutý

19

V druhej fáze (ďalej len „fáza konzultácie“) mohli osoby, ktorých postavenie dotknutých akcionárov a veriteľov bolo overené zo strany SRB, predložiť svoje pripomienky k predbežnému rozhodnutiu, ku ktorému bolo pripojené ocenenie 3. SRB na svojej internetovej stránke 16. októbra 2018 oznámila, že od 6. novembra 2018 budú dotknutí akcionári a veritelia vyzvaní, aby počas fázy konzultácie predložili svoje písomné pripomienky k predbežnému rozhodnutiu.

20

Dňa 6. novembra 2018 SRB e‑mailom zaslala dotknutým akcionárom a veriteľom jedinečný osobný internetový odkaz, ktorý im na internete umožňoval prístup k formuláru obsahujúcemu sedem otázok s obmedzeným priestorom pre odpoveď, ktorý dotknutým akcionárom a veriteľom umožňoval predložiť ich pripomienky k predbežnému rozhodnutiu, ako aj k nedôvernej verzii ocenenia 3, a to pred 26. novembrom 2018.

21

SRB preskúmala relevantné pripomienky dotknutých akcionárov a veriteľov týkajúce sa predbežného rozhodnutia. Požiadala Deloitte, aby ako nezávislý hodnotiteľ posúdila relevantné pripomienky týkajúce sa ocenenia 3, predložila jej dokument obsahujúci jej hodnotenie a preskúmala, či je toto ocenenie vzhľadom na uvedené pripomienky naďalej platné.

V prvom kroku SRB vykonala automatické filtrovanie 23822 pripomienok, z ktorých každá mala jedinečný alfanumerický kód a ktoré predložilo 2855 účastníkov konania. Dva algoritmy identifikovali 20101 pripomienok ako identických. V tomto prípade bola pripomienka, ktorá bola predložená ako prvá, považovaná za pôvodnú pripomienku, ktorá sa posudzovala počas fázy analýzy, a následne prijaté identické pripomienky boli identifikované ako duplikáty.

25

V druhom kroku SRB identifikovala predložené pripomienky, ktoré patrili do pôsobnosti postupu týkajúceho sa práva byť vypočutý, keďže mohli mať vplyv na predbežné rozhodnutie alebo na ocenenie 3. Následne rozdelila pripomienky na tie, ktoré mali byť preskúmané SRB, keďže sa týkali predbežného rozhodnutia, a tie, ktoré mali byť preskúmané spoločnosťou Deloitte, keďže sa týkali ocenenia 3. Na konci tohto kroku SRB identifikovala 3730 pripomienok roztriedených podľa ich relevantnosti a témy.

26

V treťom kroku SRB spracovala pripomienky týkajúce sa predbežného rozhodnutia a pripomienky týkajúce sa ocenenia 3, konkrétne 1104 pripomienok, boli 17. júna 2019 prenesené spoločnosti Deloitte prostredníctvom zabezpečeného osobitného virtuálneho dátového servera SRB. SRB nahrala súbory, ktoré mali byť postúpené spoločnosti Deloitte, na virtuálny server a umožnila prístup k týmto súborom obmedzenému a kontrolovanému počtu pracovníkov spoločnosti Deloitte, a to konkrétne tým, ktorí sa priamo podieľali na preskúmaní pripomienok týkajúcich sa ocenenia 3.

27

30

Na záver konania, počas ktorého SRB na žiadosť EDPS poskytla rôzne vysvetlenia a sťažovatelia predložili svoje pripomienky, EDPS prijal 24. júna 2020 rozhodnutie týkajúce sa piatich sťažností predložených viacerými sťažovateľmi proti Jednotnej rade pre riešenie krízových situácií (veci 2019‑947, 2019‑998, 2019‑999, 2019‑1000 a 2019‑1122) (ďalej len „pôvodné rozhodnutie“). EDPS v tomto rozhodnutí dospel k záveru, že SRB porušila článok 15 nariadenia 2018/1725, pretože sťažovateľov vo vyhlásení o ochrane údajov neinformovala o možnosti, že by ich osobné údaje mohli byť poskytnuté spoločnosti Deloitte. V dôsledku toho napomenul SRB za toto porušenie podľa článku 58 ods. 2 písm. b) tohto nariadenia.

31

Dňa 22. júla 2020 SRB požiadala EDPS o preskúmanie pôvodného rozhodnutia podľa článku 18 ods. 1 rozhodnutia Európskeho dozorného úradníka pre ochranu údajov z 15. mája 2020, ktorým sa prijíma rokovací poriadok EDPS ( Ú. v. EÚ L 204, 2020, s. 49 ). SRB poskytla najmä podrobný opis postupu týkajúceho sa práva byť vypočutý a analýzy pripomienok predložených počas fázy konzultácie štyrmi identifikovanými sťažovateľmi. Uviedla, že informácie poskytnuté spoločnosti Deloitte nepredstavujú osobné údaje v zmysle článku 3 bodu 1 nariadenia 2018/1725.

32

Dňa 5. augusta 2020 EDPS informoval SRB, že vzhľadom na nové poskytnuté dôkazy sa rozhodol opätovne preskúmať pôvodné rozhodnutie a že prijme rozhodnutie, ktorým ho nahradí.

2.

EDPS sa domnieva, že Deloitte bola príjemcom osobných údajov sťažovateľov v zmysle článku 3 bodu 13 nariadenia 2018/1725. Skutočnosť, že Deloitte nebola uvedená vo vyhlásení SRB o ochrane osobných údajov ako možný príjemca osobných údajov zhromaždených a spracovaných SRB ako prevádzkovateľom v rámci postupu týkajúceho sa práva byť vypočutý, predstavuje porušenie informačnej povinnosti stanovenej v článku 15 ods. 1 písm. d) [nariadenia 2018/1725].

3.

Vzhľadom na všetky technické a organizačné opatrenia, ktoré SRB prijala na zmiernenie rizík pre právo jednotlivcov na ochranu údajov v rámci postupu týkajúceho sa práva na vypočutie, sa EDPS rozhodol neuplatniť svoju právomoc prijímať nápravné opatrenia stanovenú v článku 58 ods. 2 [nariadenia 2018/1725].

4.

EDPS však odporúča, aby SRB zabezpečila, aby jej vyhlásenia o ochrane osobných údajov v budúcich postupoch týkajúcich sa práva na vypočutie zahŕňali spracúvanie osobných údajov počas fázy registrácie aj počas fázy konzultácie a aby zahŕňali všetkých možných príjemcov zhromaždených informácií, a to s cieľom v plnej miere plniť povinnosť informovať dotknuté osoby v súlade s článkom 15 [nariadenia 2018/1725].“

V napadnutom rozsudku Všeobecný súd pre nedostatok právomoci zamietol druhý žalobný návrh smerujúci k tomu, aby bolo pôvodné rozhodnutie vyhlásené za nezákonné, keďže cieľom SRB bolo získať deklaratórne rozhodnutie, a nie zrušenie aktu.

38

Naproti tomu prvý žalobný dôvod Všeobecný súd vyhlásil za prípustný. Pokiaľ ide o vec samu, vyhovel prvému žalobnému dôvodu a zrušil sporné rozhodnutie bez toho, aby preskúmal druhý žalobný dôvod.

IV. Konanie na Súdnom dvore a návrhy účastníkov konania

39

Rozhodnutím predsedu Súdneho dvora z 20. októbra 2023 bol Komisii povolený vstup do konania ako vedľajšej účastníčke konania na podporu SRB. Uznesením predsedu Súdneho dvora z 29. novembra 2023 bol Európskemu výboru pre ochranu údajov povolený vstup do konania ako vedľajšiemu účastníkovi na podporu návrhov EDPS.

–

uložil SRB povinnosť nahradiť trovy odvolacieho konania a konania na Všeobecnom súde.

41

SRB, ktorú podporuje Komisia, navrhuje, aby Súdny dvor:

–

zamietol odvolanie,

V. O odvolaní

42

Na podporu svojho odvolania EDPS, podporovaný Európskym výborom pre ochranu údajov, uvádza dva odvolacie dôvody, z ktorých prvý je založený na porušení článku 3 bodov 1 a 6 nariadenia 2018/1725, ako ho vykladá Súdny dvor, a druhý na porušení článku 4 ods. 2 a článku 26 ods. 1 tohto nariadenia.

A. O prvom odvolacom dôvode

43

Svojím prvým odvolacím dôvodom EDPS v podstate tvrdí, že Všeobecný súd sa dopustil nesprávneho právneho posúdenia pri výklade článku 3 bodov 1 a 6 nariadenia 2018/1725 tým, že rozhodol, že v spornom rozhodnutí EDPS dospel k nesprávnemu záveru, že informácie, o ktoré ide v prejednávanej veci, predstavujú osobné údaje. Tento odvolací dôvod pozostáva z dvoch častí. Prvá časť sa týka podmienky stanovenej v článku 3 bode 1 tohto nariadenia, podľa ktorej sa informácie „týkajú“ fyzickej osoby, a druhá časť sa týka podmienky stanovenej v tom istom ustanovení, ktorá sa týka „identifikovateľnosti“ tejto osoby.

45

V prvom rade EDPS tvrdí, že na rozdiel od toho, čo vyplýva z bodu 70 napadnutého rozsudku, orgány zodpovedné za ochranu údajov nemôžu byť v žiadnom prípade povinné preskúmať obsah, účel alebo účinok informácie s cieľom overiť, či sa týka fyzickej osoby. Podľa EDPS takéto preskúmanie nemožno vyžadovať, najmä pokiaľ ide o pripomienky, ktoré SRB postúpila spoločnosti Deloitte, keďže podľa neho bolo jasné, že tieto pripomienky „sa týkajú“ fyzickej osoby, keďže vyjadrujú osobný názor niektorých veriteľov a akcionárov Banco Popular na ich prípadné právo na náhradu podľa článku 76 ods. 1 písm. e) nariadenia o SRM.

46

V druhom rade na rozdiel od konštatovania uvedeného v bode 71 napadnutého rozsudku EDPS tvrdí, že pri závere o existencii osobných údajov vychádzal nielen z povahy pripomienok postúpených spoločnosti Deloitte, ale aj z okolnosti, že tejto spoločnosti bol postúpený aj alfanumerický kód.

47

V treťom rade EDPS tvrdí, že napadnutý rozsudok obsahuje rozpor v tom, že Všeobecný súd na jednej strane v bode 7 tohto rozsudku uviedol, že samotným cieľom pripomienok postúpených spoločnosti Deloitte je umožniť konkrétnym fyzickým osobám, teda dotknutým akcionárom a veriteľom, uplatniť svoje právo byť vypočutý na účely prípadnej náhrady podľa článku 76 ods. 1 písm. e) nariadenia o SRM. V rozpore s týmto prvým konštatovaním Všeobecný súd na druhej strane v bode 73 uvedeného rozsudku rozhodol, že EDPS vychádzal z domnienok, podľa ktorých všetky pripomienky postúpené spoločnosti Deloitte predstavovali osobné údaje, bez toho, aby preukázal, že sa týkajú fyzických osôb.

51

Pokiaľ ide v treťom rade o údajný rozpor v odôvodnení medzi bodmi 7 a 73 napadnutého rozsudku, SRB tvrdí, že opis uvedený v bode 7 tohto rozsudku neobsahuje žiadnu informáciu o obsahu, účele alebo účinku pripomienok postúpených spoločnosti Deloitte, a teda nie je v rozpore so záverom uvedeným v bode 73 uvedeného rozsudku.

b)

Posúdenie Súdnym dvorom

52

Na úvod treba uviesť, že definícia pojmu „osobné údaje“, ako je uvedená v článku 3 bode 1 nariadenia 2018/1725, je v podstate totožná s definíciou uvedenou v článku 4 bode 1 GDPR, ktorá má v podstate rovnaký rozsah ako definícia uvedená v článku 2 písm. a) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 13/015, s. 355). Na zabezpečenie jednotného a konzistentného uplatňovania práva Únie je teda potrebné zabezpečiť jednotný výklad článku 3 bodu 1 nariadenia 2018/1725, článku 4 bodu 1 GDPR a článku 2 písm. a) smernice 95/46 (pozri v tomto zmysle rozsudky zo 7. marca 2024, OC/Komisia, C‑479/22 P , EU:C:2024:215 , bod 43 , ako aj zo 7. marca 2024, IAB Europe, C‑604/22 , EU:C:2024:214 , bod 33 a citovanú judikatúru).

56

Hoci v prejednávanej veci Všeobecný súd v bode 70 napadnutého rozsudku uviedol, že EDPS nepreskúmal obsah, účel ani účinok informácií vyplývajúcich z pripomienok postúpených spoločnosti Deloitte, z bodov 71 a 72 tohto rozsudku vyplýva, že konštatovanie, že tieto pripomienky odzrkadľovali názory alebo stanoviská dotknutých osôb, vyžadovalo, aby EDPS vopred preskúmal obsah uvedených pripomienok. Na základe tohto konštatovania EDPS dospel k záveru, že predstavujú informácie týkajúce sa týchto osôb. Podľa judikatúry pripomenutej v bode 55 tohto rozsudku však preskúmanie týkajúce sa obsahu informácií nemusí byť nevyhnutne doplnené analýzou účelu a účinkov týchto informácií, ako to naznačuje použitie spojky „alebo“, ktorá spája rôzne kritériá uvedené v tejto judikatúre.

57

V bodoch 73 a 74 napadnutého rozsudku však Všeobecný súd konštatoval, že EDPS nemohol informácie vyplývajúce z pripomienok postúpených spoločnosti Deloitte kvalifikovať ako osobné údaje len na základe konštatovania, že ide o názory alebo osobné stanoviská, ale že mal okrem toho preskúmať obsah, účel a účinok takto vyjadrených názorov s cieľom určiť, či súvisia s určitou osobou.

58

Toto posúdenie Všeobecného súdu nezohľadňuje osobitnú povahu názorov alebo osobných stanovísk, ktoré sú ako vyjadrenia myšlienok osoby nevyhnutne úzko spojené s touto osobou.

2.

O druhej časti prvého odvolacieho dôvodu založenej na nesprávnom výklade podmienky stanovenej v článku 3 bode 1 nariadenia 2018/1725, podľa ktorej sa informácie týkajú „identifikovateľnej“ fyzickej osoby

62

V druhej časti prvého odvolacieho dôvodu EDPS tvrdí, že Všeobecný súd v bodoch 76 až 106 napadnutého rozsudku nesprávne rozhodol, že EDPS nemohol konštatovať, že informácie vyplývajúce z pripomienok postúpených spoločnosti Deloitte sa týkajú „identifikovateľnej“ fyzickej osoby v zmysle článku 3 bodu 1 nariadenia 2018/1725. Táto časť sa skladá z dvoch samostatných výhrad.

a)

O prvej výhrade druhej časti prvého odvolacieho dôvodu

EDPS ďalej uvádza, že zavedením pojmu pseudonymizácia normotvorca Únie objasnil, že na vylúčenie osobných údajov z pôsobnosti práva Únie v oblasti ochrany takýchto údajov nestačí tieto údaje oddeliť od doplňujúcich informácií, ktoré umožňujú identifikáciu dotknutej osoby.

66

EDPS napokon pripomína, že pojem osobné údaje sa má vykladať extenzívne, čo je podľa neho nevyhnutné na to, aby právo v oblasti ochrany údajov malo potrebný účinok. Keďže výklad Všeobecného súdu by mohol spôsobiť, že pseudonymizované údaje by mohli byť nesprávne považované za anonymné údaje, mohol by ohroziť vysokú úroveň ochrany sledovanú normotvorcom Únie a vyžadovanú Chartou. Podľa Európskeho výboru pre ochranu údajov by výklad prijatý Všeobecným súdom mohol znamenať i riziko, že pseudonymizované údaje by mohli byť spracúvané podľa GDPR a nariadenia 2018/1725 bez obmedzenia, a to vrátane ich zdieľania, uverejňovania a prenosu do tretích krajín.

67

SRB, ktorú podporuje Komisia, s touto argumentáciou nesúhlasí.

2) Posúdenie Súdnym dvorom

71

Pokiaľ ide konkrétnejšie o pseudonymizované údaje, treba v prvom rade poznamenať, že tieto údaje nie sú spomenuté v právnej definícii pojmu „osobné údaje“ uvedenej v článku 3 bode 1 nariadenia 2018/1725, ale že ich vlastnosti vyplývajú z článku 3 bodu 6 tohto nariadenia. Toto posledné uvedené ustanovenie definuje pojem „pseudonymizácia“ ako „spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť konkrétnej dotknutej osobe bez použitia dodatočných informácií, pokiaľ sa takéto dodatočné informácie uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe“.

72

Ako v podstate uviedol generálny advokát v bodoch 46 a 48 svojich návrhov, pseudonymizácia teda nepredstavuje prvok definície „osobných údajov“, ale odkazuje na zavedenie technických a organizačných opatrení na zníženie rizika prepojenia súboru údajov s totožnosťou dotknutých osôb. Podľa odôvodnenia 17 uvedeného nariadenia, použitie pseudonymizácie osobných údajov „môže [len] znížiť riziká“ takéhoto prepojenia pre tieto osoby, a tým „pomôcť prevádzkovateľom a sprostredkovateľom pri plnení ich povinností v oblasti ochrany údajov“.

73

V druhom rade zo znenia článku 3 bodu 6 nariadenia 2018/1725 vyplýva, že pojem „pseudonymizácia“ predpokladá existenciu informácií umožňujúcich identifikáciu dotknutej osoby. Samotná existencia takýchto informácií však v každom prípade bráni tomu, aby údaje, ktoré boli pseudonymizované, mohli byť považované za anonymné údaje, ktoré sú vylúčené z pôsobnosti tohto nariadenia.

77

Pokiaľ ide o Deloitte, ktorej SRB poskytla pseudonymizované pripomienky, technické a organizačné opatrenia uvedené v článku 3 bode 6 nariadenia 2018/1725 môžu mať za následok, že tieto pripomienky nemajú v súvislosti s touto spoločnosťou osobnú povahu, ako to v podstate tvrdí SRB. To však na jednej strane predpokladá, že Deloitte nesmie byť schopná zrušiť tieto opatrenia pri akomkoľvek spracovaní uvedených pripomienok, ktoré sa vykonáva pod jej kontrolou. Na druhej strane uvedené opatrenia musia byť skutočne takej povahy, aby spoločnosti Deloitte zabránili priradiť tieto pripomienky dotknutej osobe i prostredníctvom iných prostriedkov identifikácie, akou je krížová kontrola s inými prvkami, a to tak, aby pre Deloitte dotknutá osoba nebola, alebo už nebola identifikovateľná.

78

Tento výklad podporuje aj odôvodnenie 16 nariadenia 2018/1725, ktoré po tom, čo vo svojej prvej vete uvádza, že „zásady ochrany údajov by sa mali vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby“, vo svojej druhej vete stanovuje, že „osobné údaje, ktoré boli pseudonymizované a ktoré by sa mohli použitím dodatočných informácií priradiť fyzickej osobe, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe“.

79

V nadväznosti na tieto informácie týkajúce sa osobných údajov a pseudonymizácie sa v tretej vete tohto odôvodnenia spresňuje, že na určenie toho, či je fyzická osoba identifikovateľná, by sa mali vziať do úvahy „všetky prostriedky,… pri ktorých existuje primeraná pravdepodobnosť“, že ich prevádzkovateľ alebo „iná osoba“ využije na „priamu alebo nepriamu“ identifikáciu fyzickej osoby. Štvrtá veta tohto odôvodnenia navyše uvádza, že na zistenie toho, či je primerane pravdepodobné, že sa prostriedky použijú na identifikáciu fyzickej osoby, by sa mali zohľadniť „všetky objektívne faktory, ako sú náklady a čas potrebné na identifikáciu so zreteľom na technológiu dostupnú v čase spracúvania, ako aj na technologický vývoj“.

83

Súdny dvor rozhodol v podstate v rovnakom zmysle najmä v rozsudkoch z 19. októbra 2016, Breyer ( C‑582/14 , EU:C:2016:779 , body 44 , 47 a 48 ), a zo 7. marca 2024, IAB Europe ( C‑604/22 , EU:C:2024:214 , body 43 a 48 ), a to tak, že údaje, ktoré sú samy osebe neosobné, zhromaždené a uchovávané prevádzkovateľom sa napriek tomu týkajú identifikovateľnej osoby, keďže prevádzkovateľ mal k dispozícii zákonné prostriedky na to, aby od inej osoby získal dodatočné informácie umožňujúce identifikáciu tejto osoby. Za takýchto podmienok totiž skutočnosť, že informáciami, ktoré umožňovali identifikovať dotknutú osobu disponovali rôzne osoby, nemohla účinne zabrániť jej identifikácii takým spôsobom, že by pre prevádzkovateľa bola neidentifikovateľná.

84

Predovšetkým podľa judikatúry vyplývajúcej z rozsudku z 9. novembra 2023, Gesamtverband Autoteile‑Handel (Prístup k informáciám o vozidlách) ( C‑319/22 , EU:C:2023:837 , body 46 a 49 ), údaje, ktoré sú samy osebe neosobné, môžu nadobudnúť „osobnú“ povahu, ak ich prevádzkovateľ sprístupní iným osobám, ktoré disponujú prostriedkami, pri ktorých existuje primeraná pravdepodobnosť, že im umožnia identifikáciu dotknutej osoby. Predovšetkým z tohto posledného uvedeného rozsudku vyplýva, že v kontexte takéhoto sprístupnenia majú uvedené údaje osobnú povahu tak pre tieto osoby, ako aj nepriamo pre prevádzkovateľa.

85

88

Pokiaľ ide o tvrdenie EDPS, ktoré sa týka cieľa zabezpečiť vysokú úroveň ochrany osobných údajov, znenie článku 3 bodu 1 nariadenia 2018/1725 síce odráža cieľ normotvorcu Únie priznať pojmu „osobné údaje“ široký význam, tento pojem však nie je neobmedzený, keďže toto ustanovenie predovšetkým vyžaduje, aby dotknutá osoba bola identifikovaná alebo identifikovateľná.

89

Ako uviedol generálny advokát v bode 58 svojich návrhov, nariadenie 2018/1725 obsahuje povinnosti, ako je povinnosť poskytnúť informácie dotknutej osobe stanovená v článku 15 tohto nariadenia, ktorej dodržanie predpokladá identifikáciu dotknutej osoby. Takéto povinnosti však nemožno uložiť subjektu, ktorý vôbec nie je schopný dotknutú osobu identifikovať.

90

Prvú výhradu druhej časti prvého odvolacieho dôvodu preto treba zamietnuť ako nedôvodnú.

V prvom rade Všeobecný súd nezohľadnil objektívnu povahu podmienky týkajúcej sa „identifikovateľnosti“ dotknutej osoby, keď v bodoch 97, 99 a 100 napadnutého rozsudku okrem iného rozhodol, že EDPS mal preskúmať, či pripomienky postúpené spoločnosti Deloitte predstavujú z hľadiska tejto spoločnosti osobné údaje. Podľa EDPS totiž z bodov 47 a 48 rozsudku z 19. októbra 2016, Breyer ( C‑582/14 , EU:C:2016:779 ), vyplýva, že samotná existencia právnych prostriedkov umožňujúcich identifikáciu dotknutej osoby postačuje na vyvodenie záveru, že táto osoba je identifikovateľná. V prejednávanej veci SRB bola schopná dotknuté osoby identifikovať, čo je okolnosť, ktorú Všeobecný súd v rámci uplatnenia judikatúry vyplývajúcej z tohto rozsudku dostatočne nezohľadnil.

93

V druhom rade EDPS tvrdí, že v uvedenom rozsudku bola skutočnosť, či je dotknutá osoba identifikovateľná alebo nie, posúdená z hľadiska prevádzkovateľa, pričom medzi týmto prevádzkovateľom a subjektmi, ktoré mali k dispozícii dodatočné informácie umožňujúce identifikáciu tejto osoby, neexistoval akýkoľvek vzťah. Naproti tomu v prejednávanej veci Deloitte nie je prevádzkovateľom a okrem toho je viazaná zmluvou so SRB. Vzhľadom na tieto rozdiely sa EDPS domnieva, že nebol povinný vykonať komplexné posúdenie prostriedkov, pri ktorých existuje primeraná pravdepodobnosť, že by spoločnosti Deloitte umožnili identifikovať dotknuté osoby.

94

V každom prípade za predpokladu, že by bol napriek tomu povinný posúdiť, či bola Deloitte schopná identifikovať autorov pripomienok, ktoré jej boli postúpené, EDPS tvrdí, že spoločnosti Deloitte nič nebránilo v tom, aby túto identifikáciu vykonala.

2) Posúdenie Súdnym dvorom

98

Všeobecný súd predovšetkým v bodoch 97 až 100 napadnutého rozsudku v podstate rozhodol, že v súlade s judikatúrou vyplývajúcou z rozsudku z 19. októbra 2016, Breyer ( C‑582/14 , EU:C:2016:779 ), mal EDPS preskúmať, či pripomienky postúpené spoločnosti Deloitte predstavujú z hľadiska tejto spoločnosti osobné údaje. Na to, aby Všeobecný súd dospel k tomuto konštatovaniu, predovšetkým uviedol, že porušenie článku 15 ods. 1 písm. d) nariadenia 2018/1725, ktoré EDPS konštatoval v revidovanom rozhodnutí, sa týkalo toho, že SRB preniesla určité pripomienky spoločnosti Deloitte, a nielen toho, že SRB tieto pripomienky mala k dispozícii.

99

Na úvod treba pripomenúť, že zatiaľ čo odôvodnenie 16 tohto nariadenia sa bez rozdielu vzťahuje na „prevádzkovateľa“ alebo „inú osobu“, článok 3 bod 1 nariadenia 2018/1725 výslovne nespresňuje perspektívu, ktorá je relevantná na posúdenie identifikovateľnosti dotknutej osoby. Okrem toho z ustálenej judikatúry vyplýva, že na to, aby určitý údaj mohol byť kvalifikovaný ako „osobný údaj“, nie je nevyhnutné, aby všetkými informáciami umožňujúcimi identifikovať dotknutú osobu musela disponovať jediná osoba (pozri v tomto zmysle rozsudky z 19. októbra 2016, Breyer, C‑582/14 , EU:C:2016:779 , bod 43 , a zo 7. marca 2024, OC/Komisia, C‑479/22 P , EU:C:2024:215 , bod 48 ).

100

Pokiaľ ide konkrétnejšie o informáciu týkajúcu sa prípadných príjemcov osobných údajov uvedenú v článku 15 ods. 1 písm. d) uvedeného nariadenia, ide o informáciu, ktorú treba poskytnúť okrem iného pri získavaní údajov od dotknutej osoby.

104

Článok 14 ods. 1 nariadenia 2018/1725 stanovuje, že prevádzkovateľ prijme vhodné opatrenia najmä s cieľom zabezpečiť, aby boli informácie uvedené predovšetkým v článku 15 tohto nariadenia poskytnuté dotknutej osobe v stručnej, transparentnej, zrozumiteľnej, ľahko dostupnej forme a aby boli formulované jasne a jednoducho, aby táto osoba mohla plne porozumieť informáciám, ktoré sú jej poskytnuté [pozri analogicky rozsudky zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21 , EU:C:2023:369 , bod 38 , ako aj z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22 , EU:C:2024:598 , body 55 a 56 ].

105

Dôležitosť splnenia takej informačnej povinnosti je potvrdená v odôvodnení 35 nariadenia 2018/1725, ktorého prvá a druhá veta uvádzajú, že zásady spravodlivého a transparentného spracúvania si vyžadujú, aby dotknutá osoba bola informovaná o existencii spracovateľskej operácie a jej účeloch, pričom treba zdôrazniť, že prevádzkovateľ by mal taktiež poskytnúť všetky ďalšie informácie potrebné na zaručenie spravodlivého a transparentného spracúvania, pričom sa zohľadnia osobitné okolnosti a kontext, v ktorom sa osobné údaje spracúvajú, ako je stanovené v článku 15 ods. 2 tohto nariadenia [pozri analogicky rozsudok z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22 , EU:C:2024:598 , bod 57 a citovanú judikatúru].

109

Treba dodať, ako v podstate uviedla Komisia na pojednávaní, že informácia týkajúca sa prípadných príjemcov je nepochybne nevyhnutná aj na to, aby dotknutá osoba mohla neskôr brániť svoje práva voči týmto príjemcom. Povinnosť poskytnúť túto informáciu v čase získavania osobných údajov však zaručuje najmä to, aby tieto údaje neboli prevádzkovateľom získané proti vôli dotknutej osoby, alebo dokonca proti jej vôli prenesené tretím osobám.

110

Z uvedeného vyplýva, ako uviedol generálny advokát v bode 69 svojich návrhov, že informačná povinnosť stanovená v článku 15 ods. 1 písm. d) nariadenia 2018/1725 je súčasťou právneho vzťahu existujúceho medzi dotknutou osobou a prevádzkovateľom, a preto sa týka informácií súvisiacich s touto osobou, ako boli poskytnuté tomuto prevádzkovateľovi, teda pred prípadným prenosom tretej osobe.

111

Treba preto konštatovať, že na účely uplatnenia informačnej povinnosti, ako je stanovená v článku 15 ods. 1 písm. d) nariadenia 2018/1725, musí byť identifikovateľnosť dotknutej osoby posúdená v čase získavania údajov a z hľadiska prevádzkovateľa.

115

Všeobecný súd sa preto dopustil nesprávneho právneho posúdenia, keď v bodoch 97, 98, 100, 101 a 103 až 105 napadnutého rozsudku rozhodol, že na účely posúdenia, či SRB dodržala svoju informačnú povinnosť podľa článku 15 ods. 1 písm. d) nariadenia 2018/1725, mal EDPS preskúmať, či pripomienky postúpené spoločnosti Deloitte predstavovali z hľadiska tejto spoločnosti osobné údaje.

116

Z uvedeného vyplýva, že druhá výhrada druhej časti prvého odvolacieho dôvodu je dôvodná bez toho, aby bolo potrebné preskúmať tvrdenia EDPS zhrnuté v bodoch 93 a 94 tohto rozsudku.

B. O druhom odvolacom dôvode

117

120

V prejednávanej veci stav konania dovoľuje rozhodnúť vo veci, pokiaľ ide o prvý odvolací dôvod založený na údajnom porušení článku 3 bodu 1 nariadenia 2018/1725 zo strany EDPS, z dôvodu, že informácie postúpené spoločnosti Deloitte nepredstavujú osobné údaje. Vzhľadom na úvahy uvedené v bodoch 58 až 60 tohto rozsudku sa totiž EDPS na jednej strane mohol domnievať, že pripomienky postúpené spoločnosti Deloitte predstavujú informácie týkajúce sa fyzických osôb, a to autorov týchto pripomienok, bez toho, aby sa dopustil nesprávneho právneho posúdenia. Na druhej strane, ako bolo uvedené v bode 111 tohto rozsudku, v rámci uplatnenia informačnej povinnosti stanovenej v článku 15 ods. 1 písm. d) tohto nariadenia treba pri posúdení identifikovateľnosti dotknutej osoby vychádzať z hľadiska prevádzkovateľa. Medzi účastníkmi konania je pritom nesporné, že SRB ako prevádzkovateľ disponovala všetkými informáciami potrebnými na identifikáciu autorov uvedených pripomienok. Z vyššie uvedeného vyplýva, že sporné informácie, na rozdiel od toho, čo tvrdí SRB, predstavujú osobné údaje. Prvý odvolací dôvod preto treba zamietnuť ako nedôvodný.

121

Stav konania naopak nedovoľuje rozhodnúť o druhom odvolacom dôvode, keďže tento odvolací dôvod zahŕňa posúdenie skutkového stavu, ktoré Všeobecný súd nevykonal.

122

V dôsledku toho je potrebné vrátiť vec Všeobecnému súdu na účely preskúmania druhého žalobného dôvodu.

2.

Vec T‑557/20 sa vracia Všeobecnému súdu Európskej únie na ďalšie konanie.

3.

O trovách konania sa rozhodne neskôr.

Podpisy

( *1 ) Jazyk konania: angličtina.