1.

Mediante su recurso de casación, el Supervisor Europeo de Protección de Datos (SEPD) solicita la anulación de la sentencia del Tribunal General de 26 de abril de 2023, JUR/SEPD (T‑557/20, en lo sucesivo, sentencia recurrida, EU:T:2023:219), por la que se anuló la decisión revisada del SEPD de 24 de noviembre de 2020 (en lo sucesivo, «decisión controvertida»), relativa a cinco reclamaciones presentadas por accionistas y acreedores afectados por la resolución de Banco Popular Español, S. A. (en lo sucesivo, «Banco Popular»), en las que denunciaban no haber sido informados de la transferencia de sus datos personales.

2.

El presente asunto brinda al Tribunal de Justicia la ocasión de precisar, en el contexto de los datos seudonimizados, el concepto de «datos personales» y las exigencias que de ello se derivan a efectos de cumplir las obligaciones de tratamiento leal y transparente de los datos.

3.

Las principales disposiciones del Reglamento (UE) 2018/1725 ( 2 ) pertinentes en el presente recurso de casación son las siguientes.

4.

Los considerandos 16 y 17 de este Reglamento tienen el siguiente tenor:

5.

El artículo 3 de dicho Reglamento, titulado «Definiciones», dispone en sus apartados 1 y 6:

«A efectos del presente Reglamento, se entenderá por:

[…]

6.

El artículo 4 del mismo Reglamento, titulado «Principios relativos al tratamiento de datos personales», dispone en sus apartados 1, letra a), y 2:

«1.   Los datos personales serán:

[…]

2.   El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).»

7.

El artículo 15 del Reglamento 2018/1725, titulado «Información que debe facilitarse cuando los datos personales se obtengan del interesado», establece, en su apartado 1, letra d):

«Cuando se obtengan de un interesado sus datos personales, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

[…]

8.

El 7 de junio de 2017, la Junta Única de Resolución (JUR) adoptó un dispositivo de resolución de Banco Popular, sobre la base del Reglamento (UE) n.o 806/2014 del Parlamento Europeo y del Consejo, de 15 de julio de 2014, por el que se establecen normas uniformes y un procedimiento uniforme para la resolución de entidades de crédito y de determinadas empresas de servicios de inversión en el marco de un Mecanismo Único de Resolución y un Fondo Único de Resolución y se modifica el Reglamento (UE) n.o 1093/2010, ( 3 ) aprobado el mismo día mediante Decisión de la Comisión Europea, ( 4 ) lo que significa en concreto que los instrumentos de capital del banco se amortizaron o convirtieron y se cedieron mediante transmisión de las acciones.

9.

De conformidad con el artículo 20, apartados 16 a 18, del Reglamento n.o 806/2014, la JUR encomendó a Deloitte, como «persona independiente», ( 5 ) la tarea de realizar una valoración de la diferencia de trato, a fin de determinar si los accionistas y acreedores afectados por la medida de resolución habrían recibido un mejor trato si esa entidad hubiera iniciado un procedimiento de insolvencia ordinario.

10.

El 14 de junio de 2018, Deloitte presentó a la JUR la valoración de la diferencia de trato (en lo sucesivo, «valoración 3»). Mediante una decisión preliminar, la JUR indicó que, con el fin de poder adoptar una decisión final sobre si era necesario conceder una compensación a los accionistas y acreedores afectados por la resolución de Banco Popular en virtud del artículo 76, apartado 1, letra e), del Reglamento n.o 806/2014, iniciaba un procedimiento relativo al derecho a ser oído, que constaba de una primera fase de registro, para comprobar la admisibilidad de las partes que manifestaron interés, y una segunda fase de consulta, en la cual los accionistas y acreedores afectados presentaron sus comentarios sobre la decisión preliminar de la JUR, a la que se adjuntó la valoración 3.

11.

Los datos recabados en la fase de registro, a saber, las pruebas de la identidad de los participantes y de la titularidad de instrumentos de capital de Banco Popular amortizados o convertidos y transmitidos, eran accesibles a un número limitado de miembros del personal de la JUR encargados del tratamiento de esos datos para determinar la admisibilidad de los participantes. Estos datos no eran visibles para los miembros del personal de la JUR encargados del tratamiento de los comentarios recibidos en la fase de consulta, en la que únicamente recibieron comentarios identificados con referencia a un código alfanumérico ( 6 ) asignado a cada comentario presentado mediante el formulario.

12.

Después de la agregación, filtrado automático y categorización de los comentarios, la JUR transmitió a Deloitte ( 7 ) los comentarios relativos a la valoración 3 de este modo filtrados, categorizados y agregados. Los comentarios transmitidos a Deloitte se referían únicamente a los recibidos en la fase de consulta y llevaban un código alfanumérico, que se desarrolló con fines de auditoría para permitir a la JUR comprobar y eventualmente demostrar a posteriori que cada comentario había sido tratado y debidamente tenido en cuenta. Mediante ese código, la JUR era la única que podía relacionar los comentarios con los datos recibidos en la fase de registro. Deloitte no tenía y sigue sin tener acceso a la base de datos recabados en la fase de registro.

13.

Los accionistas y acreedores afectados (en lo sucesivo, «reclamantes») presentaron, con arreglo al Reglamento 2018/1725, cinco reclamaciones al SEPD basándose en que la declaración de confidencialidad sobre el tratamiento de los datos personales publicada por la JUR no mencionaba la transmisión a Deloitte de los datos recogidos mediante el formulario. Alegaron que la JUR había incumplido su obligación de información del tratamiento de datos personales con arreglo a dicho Reglamento, prevista en el artículo 15, apartado 1, letra d), del citado Reglamento.

14.

El SEPD adoptó una decisión inicial el 24 de junio de 2020, que fue anulada a raíz de una solicitud de revisión de la JUR y sustituida el 24 de noviembre de 2020 por la decisión controvertida, a tenor de la cual:

15.

Mediante demanda presentada en la Secretaría del Tribunal General el 1 de septiembre de 2020 y mediante un escrito de adaptación presentado el 29 de enero de 2021, la JUR interpuso un recurso solicitando, por una parte, que se anulara la decisión controvertida y, por otra parte, que se declarase la ilegalidad de la decisión inicial del SEPD de 24 de junio de 2020.

16.

La JUR invocó dos motivos en apoyo de la primera pretensión. ( 8 ) El primer motivo se basaba en la infracción del artículo 3, punto 1, del Reglamento 2018/1725, en la medida en que la información transmitida a Deloitte no constituía datos personales, y el segundo motivo se refería a la vulneración del derecho a una buena administración, consagrado en el artículo 41 de la Carta de los Derechos Fundamentales de la Unión Europea.

17.

En la sentencia recurrida, el Tribunal General declaró la admisibilidad de esta pretensión. En cuanto al fondo, estimó el primer motivo del recurso y anuló la decisión controvertida, sin examinar el segundo motivo.

18.

En relación con el primer motivo, el Tribunal General declaró, en primer lugar, que el SEPD había considerado que la información transmitida a Deloitte era «sobre» una persona física en el sentido del artículo 3, punto 1, del Reglamento 2018/1725, basándose en una presunción, sin examinar ni el contenido, ni la finalidad, ni los efectos de la información transmitida a Deloitte, ( 9 ) en contra de la sentencia Nowak. ( 10 )

19.

En segundo lugar, en lo que respecta al requisito establecido en el artículo 3, punto 1, del Reglamento 2018/1725 según el cual la información debe referirse a una persona física «identificada o identificable», el Tribunal General consideró que, en el caso de autos, correspondía al SEPD examinar si los comentarios transmitidos a Deloitte constituían, para esta, datos personales. Pues bien, según la sentencia recurrida, el SEPD se limitó a examinar la posibilidad de volver a identificar a los autores de los comentarios desde el punto de vista de la JUR y no de Deloitte. Por lo tanto, al no haber investigado el SEPD si Deloitte disponía de medios legales y factibles en la práctica para poder acceder a la información adicional necesaria para volver a identificar a los autores de los comentarios, el SEPD no podía concluir que la información transmitida a Deloitte constituyera información sobre una «persona física identificable» en el sentido del artículo 3, punto 1, del Reglamento 2018/1725. ( 11 )

20.

Mediante escrito presentado en la Secretaría del Tribunal de Justicia el 5 de julio de 2023, el SEPD interpuso recurso de casación contra la sentencia recurrida. Mediante auto del Presidente del Tribunal de Justicia de 29 de noviembre de 2023, ( 12 ) se admitió la intervención del Comité Europeo de Protección de Datos en apoyo de las pretensiones del SEPD y, mediante resolución de 20 de octubre de 2023, se admitió la intervención de la Comisión Europea en apoyo de la JUR.

21.

El SEPD solicita al Tribunal de Justicia que:

22.

El Comité Europeo de Protección de Datos, que interviene en apoyo del SEPD, solicita al Tribunal de Justicia que:

23.

La JUR solicita al Tribunal de Justicia que:

24.

La Comisión Europea, que interviene en apoyo de la JUR, solicita al Tribunal de Justicia que:

25.

En apoyo de su recurso de casación, el SEPD, con el respaldo del Comité Europeo de Protección de Datos, invoca dos motivos. En el primer motivo, se cuestiona la interpretación realizada por el Tribunal General del concepto de «datos personales» en el sentido del artículo 3, puntos 1 y 6, del Reglamento 2018/1725, tal como ha sido interpretado por la jurisprudencia del Tribunal de Justicia. El segundo motivo se basa en la violación del principio de responsabilidad proactiva enunciado en los artículos 4, apartado 2, y 26, apartado 1, del mismo Reglamento.

26.

El primer motivo se divide en dos partes. La primera parte se refiere al requisito según el cual la información controvertida debe ser «sobre» una persona física, y la segunda parte versa sobre el requisito de que esa persona sea «identificada o identificable».

27.

El SEPD, apoyado por el Comité Europeo de Protección de Datos, alega que el Tribunal General incurrió en error al considerar que el SEPD se había basado en una presunción relativa a la interpretación del requisito en virtud del cual la información transmitida a Deloitte había de referirse a una persona física, en el sentido del artículo 3, punto 1, del Reglamento 2018/1725. Según el SEPD, en las circunstancias del presente asunto, no era necesario un examen más profundo por su parte.

28.

La JUR sostiene, por su parte, que, como declaró el Tribunal General, el SEPD se limitó a indicar que los comentarios controvertidos presentados por los reclamantes en la fase de consulta del procedimiento relativo al derecho a ser oído reflejaban sus opiniones o puntos de vista, mientras que debería haber examinado si la información transmitida a Deloitte estaba relacionada con una persona concreta debido a su contenido, finalidad y efectos, como exige la sentencia Nowak.

29.

Procede recordar que el Tribunal de Justicia ha declarado reiteradamente que el empleo de la expresión «toda información» en la definición del concepto de «datos personales» evidencia el objetivo del legislador de la Unión de atribuir a este concepto un significado muy amplio, que puede abarcar todo género de información, ( 13 ) tanto objetiva como subjetiva, en forma de opiniones o apreciaciones, siempre que, no obstante, sean «sobre» la persona en cuestión.

30.

A este respecto, una información se refiere a una persona física identificada o identificable cuando, debido a su contenido, finalidad o efectos, la información está «relacionada» con una persona determinada. ( 14 )

31.

En cuanto a las opiniones o apreciaciones, como los comentarios de los reclamantes controvertidos en el presente asunto, estimo pertinente diferenciar según se examine si dichas opiniones o apreciaciones son «sobre» una o varias personas mencionadas en el texto de la opinión o apreciación, o si, como ocurre en el caso de autos, se trata de determinar si están relacionadas con su autor. En el primer supuesto, para concluir la existencia de una información sobre la persona que es objeto de la apreciación, es preciso analizar si el contenido, la finalidad o los efectos de la apreciación se refieren a dicha persona. En el segundo supuesto, en cambio, para determinar si la apreciación está relacionada con la persona que la emite, considero que podría presumirse que efectivamente es así y que una opinión o apreciación necesariamente está relacionada con su autor.

32.

Así, en la sentencia Nowak, se trataba en esencia de analizar la información contenida en un examen escrito. De este modo, dos personas se veían afectadas: el aspirante y el examinador. Es cierto que el Tribunal de Justicia examinó el contenido, la finalidad y los efectos de las respuestas del aspirante para deducir que se referían a él. Ahora bien, en lo que respecta más concretamente a las anotaciones del examinador, que expresan su opinión o valoración, ( 15 ) si bien el Tribunal de Justicia analizó el contenido, la finalidad y los efectos de la información contenida en el examen escrito para concluir que tales valoraciones se referían al aspirante, no efectuó ese mismo análisis para considerar que constituían información referente al examinador, que era su autor. ( 16 ) A mi parecer, no cabe descartar totalmente que pueda aplicarse una presunción (iuris tantum) para evaluar si una opinión, apreciación o, como sucede en el presente asunto, un comentario es «sobre» su autor.

33.

Concluyo en consecuencia que, salvo prueba en contrario, los comentarios controvertidos en el caso de autos, dado que procedían de los reclamantes y mostraban su «lógica y razonamiento», por lo que eran expresión de su «opinión subjetiva», necesariamente eran «concernientes» a dichos reclamantes, con independencia de la finalidad o los efectos de tales comentarios.

34.

En cualquier caso, aun a falta de dicha presunción en el caso de autos, estimo que los comentarios en cuestión son «sobre» los reclamantes debido a su contenido, su finalidad y sus efectos.

35.

A este respecto, la JUR sostiene que las alegaciones basadas en la finalidad y el contexto de los comentarios de que se trata son inoperantes, porque no fueron examinadas en la decisión controvertida, inadmisibles, ya que representan una alegación fáctica nueva, y, en todo caso, erróneas.

36.

Esta alegación no me resulta convincente. En efecto, tanto el examen realizado por el SEPD en la decisión controvertida como la apreciación del Tribunal General se inscriben en un contexto jurídico que fue tenido en cuenta y que menciona claramente la finalidad y los efectos de los comentarios presentados en el marco del procedimiento relativo al derecho a ser oído. Por consiguiente, las alegaciones relativas a la finalidad y los efectos de tales comentarios son útiles y admisibles.

37.

Por otra parte, en cuanto al fondo, del marco jurídico aplicable se desprende que la finalidad del procedimiento relativo al derecho a ser oído, en el marco del cual se presentaron los comentarios de que se trata, consistía en permitir que los accionistas y acreedores afectados colaborasen al procedimiento con el fin, en particular, de que la JUR pudiera disponer de toda la información necesaria para adoptar una decisión final sobre si era necesario conceder una compensación a los accionistas y acreedores afectados por la resolución de Banco Popular, con arreglo al principio según el cual ningún acreedor puede recibir un trato peor que en caso de liquidación con arreglo a un procedimiento de insolvencia ordinario. ( 17 ) Además, estos comentarios, después de que la JUR los tomara en consideración, podían producir efectos en los intereses y derechos de los reclamantes en materia de compensación financiera.

38.

Opino, por tanto, que los comentarios en cuestión se refieren a los interesados en el presente asunto, incluso por su finalidad y sus efectos.

39.

Debe añadirse que, ciertamente, los comentarios transmitidos a Deloitte estaban «filtrados, categorizados y agregados», de modo que, tal como resulta de los hechos constatados por el Tribunal General, ( 18 ) no podían distinguirse, dentro de un mismo tema, comentarios individuales. No obstante, cabe aceptar que, incluso agregados, esos comentarios colectivos reflejan, en su contenido, puntos de vista personales acerca de la valoración 3. En efecto, constituyen una suma de opiniones que, en cuanto tales, son información sobre las personas que las han expresado. El hecho de que se hayan filtrado, categorizado y agregado no modifica esta constatación, ya que, en caso contrario, para eludir el requisito de información «sobre» una persona física, sería suficiente agregar varios puntos de vista. La circunstancia de que no sea posible distinguir, dentro de esta suma de comentarios, las diferentes opiniones individuales corresponde más bien al ámbito del segundo requisito acumulativo, relativo a la posibilidad de identificar a los interesados, que se examina en el marco de la segunda parte del presente motivo, y no al requisito según el cual el comentario ha de estar «relacionado» con una persona física.

40.

A la vista de lo anterior, en mi opinión, puede considerarse que la apreciación del Tribunal General adolece de error de Derecho en este punto, en la medida en que consideró que el SEPD no había llevado a cabo el examen exigido por la sentencia Nowak para concluir que los comentarios en cuestión eran «sobre» personas físicas en el sentido del artículo 3, punto 1, del Reglamento 2018/1725.

41.

Si el Tribunal de Justicia decidiera desestimar esta primera parte y considerase que los comentarios seudonimizados en cuestión no se referían a sus autores, el examen de la segunda parte sería superfluo, en la medida en que, de conformidad con el artículo 3, punto 1, del Reglamento 2018/1725, se trata de un requisito necesario para que exista un dato personal y es acumulativo con el requisito de la identificabilidad de los interesados, que se examina más adelante.

42.

El SEPD y el Comité Europeo de Protección de Datos alegan, en esencia, que el Tribunal General cometió dos errores, el primero relativo al concepto de seudonimización y el segundo en cuanto a la interpretación de la sentencia Breyer, ( 19 ) mientras que la JUR y la Comisión rebaten tal argumento.

43.

Esta imputación pone de manifiesto la existencia de dos enfoques muy distintos en cuanto al alcance del ámbito de aplicación de las normas de protección de datos. ¿Deben incluirse automáticamente los datos seudonimizados por la sola razón de que los interesados sigan siendo identificables, con independencia de la posibilidad de acceder a los datos adicionales de identificación, o hay que considerar que, tras el proceso de seudonimización, los datos presentan carácter personal únicamente para las personas que razonablemente puedan identificar a los interesados?

44.

El SEPD y el Comité Europeo de Protección de Datos sostienen, en esencia, que los datos seudonimizados siguen siendo datos personales por la sola razón de que los interesados continúan siendo identificables, ya que la información que permite identificarlos sigue existiendo. Afirman que el enfoque del Tribunal General es erróneo por cuanto permite considerar que los datos seudonimizados son datos anonimizados respecto al destinatario, lo cual plantea un riesgo para la protección de los interesados y genera confusión entre la seudonimización y la anonimización. Dicho enfoque, contrario al tenor y al objetivo del Reglamento 2018/1725, permitiría al responsable del tratamiento excluir indebidamente los datos personales del ámbito de aplicación del Derecho de la Unión en materia de protección de datos personales.

45.

La JUR y la Comisión sostienen, por su parte, que los datos seudonimizados continúan siendo datos personales para el responsable del tratamiento que llevó a cabo la seudonimización, pero, para los destinatarios, es necesario examinar si los interesados son identificables. Además, aunque el artículo 3, punto 1, del Reglamento 2018/1725 no precisa quién ha de estar en condiciones de identificar al interesado, a la luz del considerando 16 y en el contexto del artículo 15, apartado 1, letra d), de dicho Reglamento, lo que resulta pertinente es el punto de vista del destinatario. En su opinión, si este destinatario no recibe datos personales, los interesados carecen de interés en ser informados de la transmisión de los datos, puesto que sus derechos no se ven afectados.

46.

De entrada, no es ocioso recordar que la seudonimización es un tratamiento aplicado a los datos personales para, según el considerando 17 del Reglamento 2018/1725, «reducir los riesgos» de que se establezca una correlación entre un conjunto de datos y la identidad de un interesado y «ayudar a los responsables y a los encargados del tratamiento a cumplir sus obligaciones de protección de los datos».

47.

El artículo 3, punto 6, del Reglamento 2018/1725 define la seudonimización como «el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado concreto sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable». ( 20 )

48.

Por consiguiente, la seudonimización no es un elemento de la definición de datos personales, que se establece en el artículo 3, punto 1, del Reglamento 2018/1725 a la luz del concepto de «identificabilidad» del interesado. Además, como señaló la Comisión en su escrito de formalización de la intervención, el Reglamento define el concepto de «seudonimización», haciendo referencia al procedimiento de adopción de medidas de salvaguardia o de medidas técnicas y organizativas, pero no el concepto de «datos seudonimizados».

49.

Esta interpretación resulta confirmada por la lectura del artículo 3, punto 6, en relación con el considerando 16, del citado Reglamento, cuya primera frase señala que «los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable».

50.

Además, el considerando 16 del Reglamento 2018/1725 merece un análisis más detallado. ( 21 ) En efecto, contiene una segunda frase según la cual «los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable». A continuación, figuran las frases tercera y cuarta que especifican el contenido de este requisito de identificabilidad.

51.

Deduzco del tenor de estas disposiciones que la seudonimización deja abierta la posibilidad de que los interesados no sean identificables, pues de lo contrario la formulación del considerando 16 no tendría razón de ser. Añadiré que las últimas frases del referido considerando referentes a la anonimización confirman esta interpretación: excluyen los datos anonimizados (o convertidos en anónimos) del ámbito de aplicación del Reglamento 2018/1725, ( 22 ) pero solo excluyen los datos seudonimizados en la medida en que las personas interesadas no sean identificables. En caso de imposibilidad de identificar a tales personas, se considera que, desde el punto de vista jurídico, están protegidas de forma suficiente por el procedimiento de seudonimización, pese a que los datos adicionales de identificación no hayan sido eliminados totalmente.

52.

En otras palabras, no se pretende excluir automáticamente los datos seudonimizados del ámbito de aplicación de dicho Reglamento. ( 23 ) Sin embargo, a la luz del considerando 16 de este, no cabe descartar que tales datos puedan quedar excluidos, en determinadas circunstancias, del concepto de «datos personales».

53.

Contrariamente a lo que afirma el SEPD, tal enfoque no me parece contrario al objetivo de garantizar un nivel elevado de protección de los datos personales, en particular a la luz de las exigencias de identificabilidad establecidas por las disposiciones aplicables, por un lado, y a la vista de su interpretación por la jurisprudencia, por otro.

54.

En primer lugar, en efecto, el considerando 16 del Reglamento 2018/1725 se refiere a la posibilidad de identificación por el responsable del tratamiento «o cualquier otra persona»: esta acepción amplia, aunque no ilimitada, ( 24 ) se inscribe en un enfoque protector de los datos personales.

55.

Del mismo modo, de conformidad con este considerando 16, deben tenerse en cuenta los medios que razonablemente puedan ser utilizados para identificar directa o indirectamente a una persona física, tomando en consideración todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos, lo cual constituye una definición amplia y protectora de los datos personales.

56.

En segundo lugar, la interpretación del concepto de «identificabilidad» por la jurisprudencia, basada en el riesgo de reidentificación de los interesados, permite igualmente una aplicación amplia del concepto de datos personales. Así, el Tribunal de Justicia ha calificado sistemáticamente de «datos personales» aquellos datos que, pese a estar disociados de los datos de identificación en poder de cualquier otra persona, podían entrañar, en el contexto en cuestión, el riesgo de que se volviera a identificar a los interesados. ( 25 )

57.

Por tanto, únicamente puede considerarse que un dato queda excluido del concepto jurídico de «datos personales» si el riesgo de identificación es inexistente o insignificante. ( 26 )

58.

No me convencen las alegaciones del SEPD y del Comité Europeo de Protección de Datos relativas a los riesgos que se derivan de una interpretación demasiado estricta de los datos personales. En efecto, el hecho de que las normas contenidas en el Reglamento 2018/1725 no se apliquen a los datos sobre personas no identificables no impide que se genere, en su caso, la responsabilidad jurídica de las entidades que incurren en comportamientos censurables, por ejemplo, en caso de divulgación de datos que ocasione un perjuicio. En cambio, me parece desproporcionado imponer a una entidad que no puede razonablemente identificar a los interesados las obligaciones dimanantes del Reglamento 2018/1725, ( 27 ) obligaciones que esa entidad no podría, en principio, cumplir o que le exigirían precisamente intentar identificar a los interesados.

59.

Habida cuenta de estas consideraciones, si se analiza el litigio a la luz de los datos transmitidos a Deloitte, opino que, contrariamente a lo que sostiene el SEPD, debía determinarse si el tratamiento de seudonimización de los datos en cuestión era suficientemente robusto para concluir que los reclamantes, autores de la información transmitida a Deloitte, no eran razonablemente identificables. Dicho de otro modo, en este contexto, si Deloitte disponía de medios razonables para identificar a los reclamantes, podría considerarse que realizaba un tratamiento de datos personales.

60.

Por consiguiente, en mi opinión, debe desestimarse la primera imputación formulada por el SEPD.

61.

Según el SEPD, apoyado por el Comité Europeo de Protección de Datos, los datos seudonimizados de que se trata constituyen datos personales para la JUR y, por tanto, la JUR estaba obligada a informar a los interesados sobre el destinatario. Alega, en esencia, que el Tribunal General interpretó erróneamente la sentencia Breyer, que se refería a una situación de hecho diferente.

62.

Por el contrario, según la JUR, respaldada por la Comisión, la comparación con la sentencia Breyer resulta pertinente y lleva a concluir que la obligación de información solo se aplica si los datos transmitidos son datos personales desde el punto de vista del destinatario, en este caso Deloitte, lo cual, como declaró acertadamente el Tribunal General, no se ha demostrado en el presente asunto.

63.

A mi juicio, la obligación de información prevista en el artículo 15, apartado 1, letra d), del Reglamento 2018/1725 y el paralelismo con la sentencia Breyer conducen, en el caso de autos, a una solución distinta de la adoptada por el Tribunal General, que expondré en el marco del análisis de la presente imputación.

64.

El artículo 4, apartado 1, letra a), del Reglamento 2018/1725 exige un tratamiento lícito, leal y transparente de los datos en relación con el interesado.

65.

En particular, el artículo 15, apartado 1, letra d), de dicho Reglamento, dispone que, cuando se obtengan de un interesado sus datos personales, el responsable del tratamiento le informará, «en el momento en que estos [datos] se obtengan», de los eventuales destinatarios o categorías de destinatarios de los datos personales. Resulta así que el responsable del tratamiento debe dar dicha información inmediatamente, a saber, en el momento en el que se recaban los datos. ( 28 )

66.

Asimismo, confirma la importancia que reviste el cumplimiento de tal obligación de información el considerando 35 del Reglamento 2018/1725, que señala que los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines, destacando que el responsable del tratamiento debe facilitar cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. ( 29 )

67.

Tal obligación de información es tanto más importante cuanto que la validez del consentimiento dado por el interesado depende, entre otros elementos, de si obtuvo previamente la información a la que tenía derecho en relación con todas las circunstancias que rodean el tratamiento de los datos en cuestión, según lo dispuesto en los artículos 14 y 15 del Reglamento 2018/1725, y que le permite dar su consentimiento con pleno conocimiento de causa. ( 30 )

68.

Cabe añadir que la única excepción a esta obligación de información prevista en el artículo 15, apartado 4, del Reglamento 2018/1725 se refiere al supuesto en que el interesado ya disponga de la información en cuestión.

69.

De ello deduzco que, en el presente asunto, esta obligación de información se inscribe en el marco de la relación jurídica existente entre los interesados, en este caso los reclamantes, por una parte, y la JUR como responsable del tratamiento, por otra, y no en el marco de la relación entre la JUR y el destinatario, es decir, Deloitte. La obligación de información tiene así por objeto los datos tal como los poseía la JUR antes de transmitirlos a Deloitte. Pues bien, no ha resultado controvertido que se trata de datos personales, ya que la JUR tiene en su poder los comentarios y la base de identificación de las personas que los formularon.

70.

Este enfoque del «punto de vista pertinente» ( 31 ) me lleva así a una solución distinta de la del Tribunal General, incluso efectuando la comparación con la sentencia Breyer.

71.

Procede recordar que, en el litigio que dio lugar a la cuestión prejudicial planteada en dicha sentencia, el Sr. Breyer pretendía que se prohibiera al responsable del tratamiento (la República Federal de Alemania) conservar su dirección IP dinámica. La información adicional que permitía su identificación a través de la dirección IP vinculada a su ordenador no estaba en poder del responsable del tratamiento, sino del proveedor de acceso a Internet. Por tanto, la cuestión consistía en determinar si la dirección IP dinámica que tenía en su poder el responsable del tratamiento podía calificarse de «datos personales» y, por tanto, en el marco de la relación jurídica entre el Sr. Breyer y el responsable del tratamiento, generar obligaciones de conservación a cargo de este último, aun cuando los elementos de identificación del Sr. Breyer estaban en poder de una persona distinta del responsable del tratamiento. Se concluyó, en resumen, que, aunque el responsable del tratamiento no poseía la información adicional de identificación, podía razonablemente acceder a ella, por lo que la dirección IP dinámica fue considerada un «dato personal».

72.

En el caso de autos, como se ha recordado antes, ( 32 ) la obligación de información se inscribe en el marco de la relación entre los interesados (los reclamantes) y el responsable del tratamiento (la JUR): la obligación de información nace cuando los datos son recopilados por la JUR y, en lo que atañe en particular a la información relativa al destinatario, a más tardar cuando este sea conocido. Pues bien, cuando ese momento se materializa, los datos en cuestión adquieren carácter de datos personales en poder de la JUR, que posee la información adicional de identificación. Habida cuenta de la obligación de información controvertida y teniendo en cuenta el momento en que esta se materializa, los datos en cuestión constituían, pues, datos personales, con independencia de su identificabilidad por Deloitte, que no se veía afectada ni por la relación jurídica entre los reclamantes y la JUR, la única que resulta pertinente, ni por dicha obligación de información a cargo de la JUR.

73.

Por esta razón, estimo que, en el presente asunto, el paralelismo con la sentencia Breyer habría de relativizarse.

74.

De ello se deduce que la obligación de información incumbía a la JUR como responsable del tratamiento y debido a su relación con los reclamantes, de los que recabó los datos en cuestión, con independencia de que los datos, tal como se transmitieron a Deloitte, tuvieran o no carácter personal.

75.

Consecuentemente, la alegación de la JUR, reiterada en la vista, según la cual es pertinente el punto de vista del destinatario, puesto que es preciso comprobar si es o no «destinatario de datos personales», debe ser desestimada.

76.

A este respecto, es cierto que el texto del artículo 15, apartado 1, letra d), del Reglamento 2018/1725, que alude a los «destinatarios […] de los datos personales», puede prestarse a confusión. Sin embargo, el efecto útil de esta disposición requiere que la información sea transmitida a los interesados lo antes posible y antes de la transmisión de datos. ( 33 ) En el presente asunto, aunque la JUR no tuviera, al recabar inicialmente los comentarios, la intención de solicitar asesoramiento a Deloitte para determinar si tales comentarios modificaban la valoración 3, de la decisión controvertida ante el Tribunal General resulta que Deloitte asistió a la JUR en el marco del procedimiento del derecho a ser oído. ( 34 ) Además, cabe considerar que la intención de la JUR de comunicar los datos seudonimizados a Deloitte existió, a más tardar, en el momento en que decidió tratar los comentarios precisamente con el fin de seudonimizarlos, ( 35 ) pues de lo contrario la seudonimización no tendría justificación alguna.

77.

Por tanto, opino que el hecho de controlar el cumplimiento de la obligación de información en el momento en que los datos fueron transmitidos por la JUR a Deloitte, situándose en el punto de vista del destinatario para determinar si los datos en cuestión son o no de carácter personal, supone desplazar en el tiempo dicho control. Por consiguiente, dicho control se diferiría erróneamente, ya que se efectuaría sobre los datos ya transmitidos al destinatario, aun cuando el objeto de la obligación de información se refiere a la relación entre la JUR y los reclamantes y persigue permitir el consentimiento informado de estos últimos antes de la transmisión.

78.

Por añadidura, en lo que atañe al consentimiento de los reclamantes, su participación en el procedimiento relativo al derecho a ser oído puede interpretarse ciertamente como un consentimiento implícito a compartir datos personales con el responsable del tratamiento a fin de que sus comentarios se tengan en cuenta. No obstante, esto no basta, a mi juicio, para que constituya un consentimiento informado a la seudonimización de los datos y su transmisión a Deloitte sin información previa a este respecto por parte de la JUR. ( 36 )

79.

De ello se desprende, a mi juicio, que la obligación de información de la JUR se aplicaba en el presente asunto antes de la transmisión de los datos en cuestión, con independencia de si tenían carácter de datos personales cuando llegaron a Deloitte.

80.

Por tanto, el hecho de si la seudonimización es suficientemente robusta y eficaz, de modo que pueda determinarse si los datos en posesión de Deloitte constituyen o no datos personales, no me parece finalmente útil a efectos de la obligación de información que incumbe a la JUR.

81.

En consecuencia, en el caso de autos, debía cumplirse la obligación de información que incumbía a la JUR como responsable del tratamiento y, por esta razón, la sentencia recurrida debe ser anulada por error de Derecho.

82.

Dado que el punto de vista del destinatario de los datos en cuestión carece de pertinencia a efectos de la obligación de información prevista en el artículo 15, apartado 1, letra d), del Reglamento 2018/1725, las alegaciones de las partes en torno a la posibilidad de Deloitte de identificar a los interesados, por medios legales y factibles en la práctica, resultan inoperantes y no procede, en consecuencia, examinarlas.

83.

En caso de que el Tribunal de Justicia no compartiera esta opinión, he de señalar, con carácter subsidiario, que el SEPD cuestiona a este respecto la constatación del Tribunal General de que Deloitte no tuvo acceso a los datos de identificación. Se basa en particular en la relación contractual de subcontratación existente entre la JUR y Deloitte. La JUR y la Comisión alegan que, de este modo, el SEPD plantea nuevas alegaciones de hecho, que son inadmisibles en la fase de casación. Estoy de acuerdo. En efecto, la existencia de una relación contractual entre la JUR y Deloitte, que demuestre la posibilidad de que Deloitte solicite a la JUR la identificación de los reclamantes, constituye una alegación nueva sobre la que el Tribunal General no se ha pronunciado en absoluto. En consecuencia, esta alegación debería, en su caso, ser declarada inadmisible en virtud del artículo 170, apartado 1, frase segunda, del Reglamento de Procedimiento del Tribunal de Justicia, según el cual el recurso de casación no puede modificar el objeto del litigio planteado ante el Tribunal General. ( 37 )

84.

Mediante su segundo motivo, basado en la violación del principio de responsabilidad proactiva enunciado en el artículo 4, apartado 2, y en el artículo 26, apartado 1, del Reglamento 2018/1725, el SEPD, con el apoyo del Comité Europeo de Protección de Datos, sostiene que el Tribunal General declaró erróneamente que incumbía al SEPD demostrar que la información transmitida a Deloitte eran datos personales, vulnerando el principio de responsabilidad de la JUR.

85.

Habida cuenta de lo anterior y, en particular, de los puntos 81 y 82 de las presentes conclusiones, considero que no procede examinar este segundo motivo.

86.

Por tanto, solo lo abordaré brevemente, con carácter subsidiario.

87.

En cuanto a la admisibilidad, cuestionada por la JUR, de este motivo no invocado ante el Tribunal General, procede recordar que un recurrente puede interponer un recurso de casación alegando motivos derivados de la propia sentencia recurrida y por los que se pretenda criticar sus fundamentos jurídicos. ( 38 ) A mi juicio, este es el caso del presente motivo que, por consiguiente, es admisible.

88.

En cuanto al fondo, ha de recordarse que el Tribunal General declaró que, al no haber investigado el SEPD si Deloitte disponía de medios legales y factibles en la práctica para poder acceder a la información adicional necesaria para volver a identificar a los reclamantes, el SEPD no podía concluir que la información transmitida a Deloitte constituía información sobre una «persona física identificable» en el sentido del artículo 3, punto 1, del Reglamento 2018/1725.

89.

El SEPD, apoyado por el Comité Europeo de Protección de Datos, afirma, en esencia, que el Tribunal General debería haber comprobado si la JUR, responsable del tratamiento, había demostrado que había anonimizado los datos controvertidos frente a Deloitte.

90.

La JUR rebate esta alegación aduciendo que el principio de responsabilidad proactiva solo se aplica cuando existen datos personales y que, en el presente asunto, los datos en poder de Deloitte habían sido anonimizados.

91.

La Comisión, por su parte, señala que, de entrada, recae sobre el SEPD una carga probatoria razonable para demostrar, sobre la base de los elementos de prueba disponibles, la existencia de datos personales. Incumbe después al responsable del tratamiento refutar esta conclusión presentando pruebas adicionales.

92.

Procede recordar que, en virtud del artículo 4, apartado 1, letra a), del Reglamento 2018/1725, los datos personales serán tratados de manera lícita, leal y transparente en relación con el interesado. El artículo 4, apartado 2, del citado Reglamento dispone que «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo». Así pues, del principio de responsabilidad proactiva enunciado en el artículo 4, apartado 2, y desarrollado en el artículo 26, apartado 1, del citado Reglamento se desprende que el responsable del tratamiento debe ser capaz de demostrar que respeta los principios relativos al tratamiento de datos personales establecidos en el artículo 4, apartado 1. ( 39 )

93.

En la medida en que el responsable del tratamiento aporte elementos de prueba suficientes en este sentido, podrá considerarse que ha satisfecho la carga de la prueba que le incumbe. ( 40 )

94.

En el caso de autos, entiendo que la JUR invocó varios elementos de hecho (en particular, los procedimientos de filtrado, categorización y agregación de los comentarios, que se describen en la decisión controvertida y en la sentencia recurrida) para demostrar, conforme al principio de responsabilidad que le incumbía, que la identificación por Deloitte de los interesados era imposible.

95.

Ante el Tribunal General, el SEPD opuso a este respecto una posición de principio consistente en colocarse en el punto de vista de la JUR y no de Deloitte, y calificar así como «datos personales» los comentarios transmitidos a Deloitte.

96.

Si se admite, a efectos del examen subsidiario del presente motivo, que el punto de vista de Deloitte resultaba pertinente en el presente asunto, ( 41 ) podría considerarse que, como declaró el Tribunal General, correspondía al SEPD demostrar ( 42 ) por qué razón, jurídica o técnica, el procedimiento de seudonimización aplicado por la JUR en el presente asunto no era suficiente y debía llevar a la conclusión de que Deloitte realizó un tratamiento de datos personales.

97.

En consecuencia, opino que, en tal caso, procedería confirmar la sentencia recurrida en lo que respecta a este segundo motivo.

98.

En virtud del artículo 61, párrafo primero, del Estatuto del Tribunal de Justicia de la Unión Europea, cuando se estime el recurso de casación, el Tribunal de Justicia anulará la resolución del Tribunal General. En tal caso, el Tribunal de Justicia podrá o bien resolver él mismo definitivamente el litigio, cuando su estado así lo permita, o bien devolver el asunto al Tribunal General para que este último resuelva.

99.

El primer motivo formulado por la JUR ante el Tribunal General contra la decisión controvertida se basó en la infracción del artículo 3, punto 1, del Reglamento 2018/1725. De los puntos 63 a 82 de las presentes conclusiones se desprende que, dado que la JUR incumplió la obligación de información que le incumbía en virtud del artículo 15, apartado 1, letra d), del Reglamento 2018/1725, en mi opinión, debe confirmarse, por tanto, la decisión controvertida.

100.

En cambio, a mi parecer, el segundo motivo, basado en la vulneración por el SEPD del derecho a una buena administración en el marco del procedimiento que dio lugar a la adopción de la decisión controvertida, no está en estado de poder ser resuelto.

101.

En efecto, la JUR alega, en particular, que, en el marco del procedimiento administrativo previo a la adopción de la decisión controvertida, el SEPD vulneró su derecho de acceso al expediente, su derecho a ser oído y el principio de igualdad de armas, al denegarle el acceso al expediente, por un lado, y no comunicarle las observaciones de los reclamantes o su contenido, por otro lado.

102.

Pues bien, el Tribunal General consideró que, al haberse estimado el primer motivo del recurso, no procedía examinar el segundo motivo invocado ante él. Por consiguiente, este motivo, que implica en particular apreciaciones de hecho, no está en estado de poder ser resuelto. Por consiguiente, considero que debe devolverse el asunto al Tribunal General para que se pronuncie al respecto, reservando la decisión sobre las costas.

103.

Habida cuenta de las consideraciones anteriores, propongo al Tribunal de Justicia que resuelva lo siguiente: