1.

Euroopa Andmekaitseinspektor (edaspidi „andmekaitseinspektor“) palub apellatsioonkaebuses tühistada Euroopa Liidu Üldkohtu 26. aprilli 2023. aasta otsus SRB vs. andmekaitseinspektor (T‑557/20, edaspidi vaidlustatud kohtuotsus, EU:T:2023:219), millega see kohus tühistas andmekaitseinspektori 24. novembri 2020. aasta muudetud otsuse (edaspidi „vaidlusalune otsus“) viie kaebuse kohta, mille olid esitanud Banco Popular Español SA (edaspidi „Banco Popular“) panga kriisilahendusest mõjutatud aktsionärid ja võlausaldajad, kes kaebasid, et neid ei teavitatud nende isikuandmete edastamisest.

2.

Käesolev kohtuasi annab Euroopa Kohtule võimaluse selgitada pseudonümiseeritud andmete kontekstis isikuandmete mõistet ja sellest tulenevaid kohustusi andmete õiglase ja läbipaistva töötlemise kohustuse järgimiseks.

3.

Määruse (EL) 2018/1725 ( 2 ) peamised sätted, mis on käesoleva apellatsioonkaebuse puhul asjakohased, on järgmised.

4.

Selle määruse põhjendused 16 ja 17 on sõnastatud järgmiselt:

5.

Nimetatud määruse artikli 3 „Mõisted“ punktides 1 ja 6 on ette nähtud:

„Käesolevas määruses kasutatakse järgmisi mõisteid:

[…]

6.

Sama määruse artikli 4 „Isikuandmete töötlemise põhimõtted“ lõike 1 punktis a ja lõikes 2 on sätestatud:

„1.   Isikuandmete töötlemisel tagatakse, et

[…]

2.   Vastutav töötleja vastutab lõike 1 täitmise eest ja peab olema võimeline selle täitmist tõendama („vastutus“).“

7.

Määruse 2018/1725 artikli 15 „Teave, mis tuleb esitada juhul, kui isikuandmed on kogutud andmesubjektilt“ lõike 1 punktis d on sätestatud:

„Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe:

[…]

8.

Ühtne Kriisilahendusnõukogu (SRB, edaspidi „kriisilahendusnõukogu“) võttis 7. juunil 2017 Euroopa Parlamendi ja nõukogu 15. juuli 2014. aasta määruse (EL) nr 806/2014, millega kehtestatakse ühtsed eeskirjad ja ühtne menetlus krediidiasutuste ja teatavate investeerimisühingute kriisilahenduseks ühtse kriisilahenduskorra ja ühtse kriisilahendusfondi raames ning millega muudetakse määrust (EL) nr 1093/2010 ( 3 ), alusel vastu Banco Populari kriisilahenduse skeemi, mis kiideti samal päeval Euroopa Komisjoni otsusega ( 4 ) heaks, mis tähendab konkreetselt, et panga kapitaliinstrumendid hinnati alla või konverteeriti ja võõrandati aktsiate üleandmisega.

9.

Kriisilahendusnõukogu tegi vastavalt määruse nr 806/2014 artikli 20 lõigetele 16–18 Deloitte’ile kui „sõltumatule isikule“ ( 5 ) ülesandeks hinnata kohtlemise erinevust, et teha kindlaks, kas aktsionäre ja võlausaldajaid, keda kriisilahenduse meede selliselt mõjutas, oleks koheldud paremini, kui selle asutuse suhtes oleks algatatud tavaline maksejõuetusmenetlus.

10.

Deloitte edastas 14. juunil 2018 kriisilahendusnõukogule erineva kohtlemise hinnangu (edaspidi „3. hinnang“). Kriisilahendusnõukogu märkis esialgses otsuses, et selleks, et ta saaks teha lõpliku otsuse selle kohta, kas Banco Populari kriisilahendusest mõjutatud aktsionäridele ja võlausaldajatele on vaja maksta määruse nr 806/2014 artikli 76 lõike 1 punkti e alusel hüvitist või mitte, algatas ta arvamuse avaldamise menetluse, mis hõlmas esimest ehk registreerimisetappi, et kontrollida huvi avaldavate isikute osalemiskõlblikkust, ja teist ehk konsulteerimisetappi, mille käigus esitasid mõjutatud aktsionärid ja võlausaldajad kommentaarid kriisilahendusnõukogu esialgse otsuse kohta, millele oli lisatud 3. hinnang.

11.

Registreerimisetapis kogutud andmed, st tõendid osalejate isikusamasuse ja Banco Populari alla hinnatud või konverteeritud ja üle antud kapitaliinstrumentide omandiõiguse kohta olid kättesaadavad piiratud arvule kriisilahendusnõukogu teenistujatele, kes tegelesid nende andmete töötlemisega isikute osalemiskõlblikkuse kindlakstegemiseks. Need andmed ei olnud nähtavad kriisilahendusnõukogu teenistujatele, kes töötlesid kommentaare, mis saadi konsulteerimisetapis, mille käigus nad said üksnes kommentaare, mis tehti kindlaks igale vormi abil esitatud kommentaarile omistatud tähtnumbrilise koodi ( 6 ) alusel.

12.

Pärast kommentaaride koondamist, automaatset sõelumist ja liigitamist edastas kriisilahendusnõukogu sel viisil sõelutud, kategoriseeritud ja koondatud kommentaarid 3. hinnangu kohta Deloitte’ile ( 7 ). Deloitte’ile edastatud kommentaarid puudutasid ainult konsulteerimisetapis saadud kommentaare ja neil oli tähtnumbriline kood, mis töötati välja auditi jaoks selleks, et kriisilahendusnõukogu saaks tagantjärele kontrollida ja vajaduse korral tõendada, et iga kommentaari on käsitletud ja nõuetekohaselt arvesse võetud. Selle koodi abil oli ainult kriisilahendusnõukogul võimalik kommentaare siduda registreerimisetapis saadud andmetega. Deloitte’il ei olnud ega ole ka praegu registreerimisetapis kogutud andmete kogumile juurdepääsu.

13.

Mõjutatud aktsionärid ja võlausaldajad (edaspidi „kaebajad“) edastasid määruse 2018/1725 alusel andmekaitseinspektorile viis kaebust põhjendusel, et kriisilahendusnõukogu avaldatud isikuandmete töötlemise konfidentsiaalsusdeklaratsioon ei sisaldanud märget vormi abil kogutud andmete Deloitte’ile edastamise kohta. Nad väitsid, et kriisilahendusnõukogu on rikkunud määruse 2018/1725 artikli 15 lõike 1 punktis d seoses selle määruse alusel isikuandmete töötlemisega ette nähtud teavitamiskohustust.

14.

Andmekaitseinspektor võttis 24. juunil 2020 vastu algse otsuse, mis kriisilahendusnõukogu läbivaatamistaotluse alusel tühistati ja asendati 24. novembril 2020 vaidlusaluse otsusega, mis oli sõnastatud järgmiselt:

15.

Hagiavaldusega, mis saabus Üldkohtu kantseleisse 1. septembril 2020, ja muutmisavaldusega, mis saabus 29. jaanuaril 2021, palus kriisilahendusnõukogu esiteks vaidlusalune otsus tühistada ja teiseks tunnistada andmekaitseinspektori 24. juuni 2020. aasta algne otsus õigusvastaseks.

16.

Kriisilahendusnõukogu esitas esimese nõude ( 8 ) põhjendamiseks kaks väidet. Esimese väite kohaselt oli rikutud määruse 2018/1725 artikli 3 punkti 1, kuna Deloitte’ile edastatud teave ei kujutanud endast isikuandmeid, ja teise väite kohaselt oli rikutud Euroopa Liidu põhiõiguste harta artiklis 41 sätestatud õigust heale haldusele.

17.

Üldkohus tunnistas vaidlustatud kohtuotsusega selle nõude vastuvõetavaks. Sisulistes küsimustes nõustus Üldkohus hagi esimese väitega ja tühistas vaidlusaluse otsuse, analüüsimata teist väidet.

18.

Esimese väite kohta leidis Üldkohus esiteks, et andmekaitseinspektor asus seisukohale, et Deloitte’ile edastatud teave on teave füüsilise isiku „kohta“ määruse 2018/1725 artikli 3 punkti 1 tähenduses, eelduse põhjal, analüüsimata Deloitte’ile edastatud teabe sisu, eesmärki ja mõju ( 9 ), rikkudes sellega kohtuotsust Nowak ( 10 ).

19.

Teiseks, mis puudutab määruse 2018/1725 artikli 3 punktis 1 ette nähtud tingimust, et teave peab olema seotud „tuvastatud või tuvastatava“ füüsilise isikuga, siis leidis Üldkohus, et käesoleval juhul oli andmekaitseinspektori ülesanne analüüsida, kas Deloitte’ile edastatud kommentaarid kujutasid endast tema jaoks isikuandmeid. Vaidlustatud kohtuotsuse kohaselt piirdus andmekaitseinspektor sellega, et analüüsis võimalust tuvastada kommentaaride esitajad uuesti kriisilahendusnõukogu, mitte Deloitte’i seisukohast. Seega, kuna andmekaitseinspektor ei uurinud, kas Deloitte’il olid olemas õiguslikud ja praktikas teostatavad vahendid, mis oleksid võimaldanud tal tutvuda kommentaaride esitajate uuesti tuvastamiseks vajaliku täiendava teabega, ei saanud andmekaitseinspektor järeldada, et Deloitte’ile edastatud teave kujutas endast teavet „tuvastatava füüsilise isiku“ kohta määruse 2018/1725 artikli 3 punkti 1 tähenduses ( 11 ).

20.

Andmekaitseinspektor esitas Euroopa Kohtu kantseleisse 5. juulil 2023 apellatsioonkaebuse vaidlustatud kohtuotsuse peale. Euroopa Kohtu presidendi 29. novembri 2023. aasta määrusega ( 12 ) lubati Euroopa Andmekaitsenõukogul astuda menetlusse andmekaitseinspektori nõuete toetuseks ja 20. oktoobri 2023. aasta otsusega lubati Euroopa Komisjonil astuda menetlusse kriisilahendusnõukogu nõuete toetuseks.

21.

Andmekaitseinspektor palub Euroopa Kohtul:

22.

Euroopa Andmekaitsenõukogu, kes toetab andmekaitseinspektorit, palub Euroopa Kohtul:

23.

Kriisilahendusnõukogu palub Euroopa Kohtul:

24.

Euroopa Komisjon, kes toetab kriisilahendusnõukogu, palub Euroopa Kohtul:

25.

Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, põhjendab oma apellatsioonkaebust kahe väitega. Esimesega vaidlustatakse see, kuidas Üldkohus tõlgendas mõistet „isikuandmed“ määruse 2018/1725 artikli 3 lõigete 1 ja 6 tähenduses, nagu seda on tõlgendatud Euroopa Kohtu praktikas. Teise väite kohaselt on rikutud sama määruse artikli 4 lõikes 2 ja artikli 26 lõikes 1 sätestatud vastutuse põhimõtet.

26.

Esimene väide koosneb kahest osast. Esimene osa puudutab tingimust, et vaidlusalune teave peab olema füüsilise isiku „kohta“, ja teine puudutab tingimust, et see isik peab olema „tuvastatud või tuvastatav“.

27.

Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, väidab, et Üldkohus tegi vea, kui ta otsustas, et andmekaitseinspektor tugines selle tingimuse tõlgendamisel eeldusele, et Deloitte’ile edastatud teave oli esitatud füüsilise isiku kohta määruse 2018/1725 artikli 3 punkti 1 tähenduses. Ta leiab, et käesoleva juhtumi asjaoludel ei olnud temapoolne põhjalikum uurimine vajalik.

28.

Kriisilahendusnõukogu väidab omakorda, et nagu Üldkohus otsustas, piirdus andmekaitseinspektor ainult sellega, et ta märkis, et vaidlusalused kommentaarid, mille kaebajad esitasid arvamuse avaldamise menetluse konsulteerimisetapis, kajastavad nende arvamusi või seisukohti, samas kui ta oleks pidanud analüüsima, kas Deloitte’ile edastatud teave oli selle sisu, eesmärgi või mõju poolest seotud konkreetse isikuga, nagu on nõutud kohtuotsuses Nowak.

29.

Tuleb meenutada, et Euroopa Kohus on korduvalt otsustanud, et väljendi „igasugune teave“ kasutamine mõiste „isikuandmed“ määratlemisel peegeldab liidu seadusandja eesmärki anda sellele mõistele lai tähendus, mis hõlmab potentsiaalselt igasugust, nii objektiivset kui ka subjektiivset teavet ( 13 ) arvamuste või hinnangute vormis, tingimusel et need käivad kõnealuse isiku „kohta“.

30.

Sellega seoses puudutab teave tuvastatud või tuvastatavat füüsilist isikut, kui see on oma sisu, eesmärgi või mõju tõttu „seotud“ tuvastatava isikuga ( 14 ).

31.

Mis puudutab selliseid arvamusi või hinnanguid nagu käesolevas asjas kõne all olevate kaebajate kommentaarid, siis näib mulle asjakohane eristada seda, kas need arvamused või hinnangud on esitatud arvamuse või hinnangu tekstis nimetatud ühe või mitme isiku „kohta“ või kas – nagu käesoleval juhul – tuleb kindlaks teha, kas need on seotud nende koostajaga. Esimesel juhul tuleb selleks, et järeldada, et tegemist on teabega hinnatava isiku kohta, analüüsida, kas hinnangu sisu, eesmärk või mõju puudutab seda isikut. Seevastu teisel juhul võib selleks, et kindlaks teha, kas hinnang on seotud selle andnud isikuga, minu arvates eeldada, et see on nii ja et arvamus või hinnang on tingimata selle koostajaga seotud.

32.

Nii oli kohtuotsuses Nowak sisuliselt tegemist eksamitöös sisalduva teabe hindamisega. Seega puudutas see kahte isikut: eksaminandi ja eksamineerijat. On tõsi, et Euroopa Kohus analüüsis eksaminandi vastuste sisu, eesmärki ja mõju ning järeldas sellest, et need vastused puudutavad teda. Mis puudutab aga konkreetselt eksamineerija kommentaare, mis kajastavad tema arvamust või hinnangut ( 15 ), siis kuigi Euroopa Kohus analüüsis eksamitöös sisaldunud teabe sisu, eesmärki ja mõju selleks, et järeldada, et need hinnangud olid esitatud eksaminandi kohta, ei viinud ta sellist hindamist läbi selleks, et asuda seisukohale, et need kujutavad endast teavet eksamineerija kohta, kes need koostas ( 16 ). Minu arvates ei saa seega täielikult välistada, et hindamisel, kas arvamus või hinnang või – nagu käesolevas asjas – kommentaar on esitatud selle autori „kohta“, saab kohaldada (lihtsat) eeldust.

33.

Järeldan sellest, et kui ei ole tõendatud vastupidist, „puudutavad“ käesolevas asjas kõne all olevad kommentaarid, kuna need pärinesid kaebajatelt ja näitasid nende „loogikat ja arutluskäiku“, väljendades seega nende „subjektiivset arvamust“, tingimata neid kaebajaid, sõltumata nende kommentaaride eesmärgist või mõjust.

34.

Igal juhul, isegi kui käesolevas asjas sellist eeldust ei ole, olen arvamusel, et kõnealused kommentaarid on nende sisu, eesmärgi ja mõju tõttu tehtud kaebajate „kohta“.

35.

Sellega seoses väidab kriisilahendusnõukogu, et kõnealuste kommentaaride eesmärki ja konteksti kohta esitatud argumendid ei saa anda tulemust, kuna neid ei ole vaidlusaluses otsuses analüüsitud, ning need on vastuvõetamatud, kuna need sisaldavad uut faktilist väidet, ja need on igal juhul ekslikud.

36.

Need argumendid mind ei veena. Nimelt kuuluvad nii andmekaitseinspektori analüüs vaidlusaluses otsuses kui ka Üldkohtu hinnang õiguslikku konteksti, mida on arvesse võetud ja milles on selgelt mainitud kõnealuste kommentaaride eesmärki ja mõju, mis esitati arvamuse avaldamise menetluse raames. Need argumendid kõnealuste kommentaaride eesmärgi ja mõju kohta võivad seega olla tulemuslikud ja on vastuvõetavad.

37.

Lisaks nähtub kohaldatavast õiguslikust raamistikust sisulistes küsimustes, et arvamuse avaldamise menetluse – mille raames kõnealused kommentaarid esitati – eesmärk oli võimaldada mõjutatud aktsionäridel ja võlausaldajatel menetluses oma panus anda, eelkõige selleks, et võimaldada kriisilahendusnõukogul saada kogu vajalik teave, et teha lõplik otsus selle kohta, kas Banco Populari kriisilahendusest mõjutatud aktsionäridele ja võlausaldajatele on vaja maksta hüvitist, kohaldades põhimõtet, et ühtegi võlausaldajat ei tohi kohelda halvemini kui tavalises maksejõuetusmenetluses ettevõtja likvideerimise korral ( 17 ). Lisaks võisid need kommentaarid pärast seda, kui kriisilahendusnõukogu oli neid arvesse võtnud, mõjutada kaebajate huve ja õigusi rahalise hüvitise osas.

38.

Järeldan sellest, et nimetatud kommentaarid on esitatud käesolevas asjas kõne all olevate andmesubjektide kohta, sealhulgas nende kommentaaride eesmärgi ja mõju tõttu.

39.

Lisan, et kõnealused kommentaarid, nagu need edastati Deloitte’ile, olid tõepoolest „sõelutud, liigitatud ja koondatud“, mistõttu – nagu nähtub Üldkohtu tuvastatud faktilistest asjaoludest ( 18 ) – ei saanud sama teema raames üksikuid kommentaare eristada; võib siiski möönda, et isegi kui need ühised kommentaarid on koondatud, kajastavad need sisuliselt isiklikke seisukohti 3. hinnangu kohta. Nimelt kujutavad need endast arvamuste kogumit, mis sellistena on käsitatavad teabena, mis on esitatud selle avaldanud isikute kohta. Nende sõelumine, liigitamine ja koondamine seda järeldust ei muuda, sest vastasel juhul piisaks selleks, et tingimus, et teave peab olema esitatud füüsilise isiku „kohta“, oleks täidetud, mitme vaatepunkti koondamisest. Asjaolu, et selle kommentaaride kogumi raames ei ole võimalik erinevaid individuaalseid arvamusi eristada, kuulub minu arvates pigem teise kumulatiivse tingimuse alla, mis puudutab andmesubjektide tuvastatavust ja mida analüüsitakse käesoleva väite teise osa raames, kui selle tingimuse alla, mis eeldab, et kommentaar on „seotud“ füüsilise isikuga.

40.

Neil asjaoludel olen arvamusel, et Üldkohtu hinnangus on selles osas rikutud õigusnormi, kuna Üldkohus leidis, et andmekaitseinspektor ei olnud täitnud kohtuotsuses Nowak nõutud analüüsi nõuet, et järeldada, et kõnealused kommentaarid on tehtud füüsiliste isikute „kohta“ määruse 2018/1725 artikli 3 punkti 1 tähenduses.

41.

Kui Euroopa Kohus peaks selle väite esimese osa tagasi lükkama ja otsustama, et vaidlusalused pseudonümiseeritud kommentaarid ei ole tehtud nende autorite kohta, oleks väite teise osa analüüs üleliigne, kuna määruse 2018/1725 artikli 3 punkti 1 kohaselt on see isikuandmete olemasolu jaoks vajalik tingimus, mis on kumulatiivne andmesubjektide tuvastatavuse tingimusega, mida analüüsitakse allpool.

42.

Andmekaitseinspektor ja Euroopa Andmekaitsenõukogu väidavad sisuliselt, et Üldkohus tegi kaks viga, millest esimene puudutab pseudonümiseerimise mõistet ja teine kohtuotsuse Breyer ( 19 ) tõlgendamist, ning kriisilahendusnõukogu ja komisjon vaidlevad sellele vastu.

43.

See etteheide illustreerib kahte väga erinevat lähenemisviisi seoses andmekaitset reguleerivate õigusnormide kohaldamisalaga. Kas pseudonümiseeritud andmed kuuluvad automaatselt nende õigusnormide kohaldamisalasse ainuüksi põhjusel, et andmesubjektid on jätkuvalt tuvastatavad, olenemata sellest, kas täiendavad tuvastamisandmed on kättesaadavad, või tuleb asuda seisukohale, et pseudonümiseerimise tulemusel on andmed isikuandmed ainult nende isikute jaoks, kes suudavad mõistliku tõenäosusega andmesubjekte tuvastada?

44.

Andmekaitseinspektor ja Euroopa Andmekaitsenõukogu väidavad sisuliselt, et pseudonümiseeritud andmed jäävad isikuandmeteks üksnes seetõttu, et andmesubjektid jäävad tuvastatavaks, kuna nende tuvastamist võimaldav teave on jätkuvalt olemas. Nende sõnul on Üldkohtu lähenemisviis ekslik, kuna see võimaldab pidada pseudonümiseeritud andmeid vastuvõtja jaoks anonüümseks muudetud andmeteks, see aga kujutab endast ohtu andmesubjektide kaitsele ning tekitab segadust pseudonümiseerimise ja anonümiseerimise vahel. Selline lähenemine, mis on vastuolus määruse 2018/1725 sõnastuse ja eesmärgiga, võimaldaks vastutaval töötlejal isikuandmed selliste andmete kaitset käsitleva liidu õiguse kohaldamisalast põhjendamatult välja jätta.

45.

Kriisilahendusnõukogu ja komisjon väidavad omakorda, et pseudonümiseeritud andmed jäävad isikuandmeteks vastutava töötleja jaoks, kes need pseudonümiseeris, kuid vastuvõtjate puhul tuleb analüüsida andmesubjektide tuvastatavust. Lisaks, isegi kui määruse 2018/1725 artikli 3 punktis 1 ei ole täpsustatud, kellel peab olema võimalik andmesubjekti tuvastada, on määruse põhjendust 16 arvestades ja artikli 15 lõike 1 punkti d kontekstis oluline andmete vastuvõtja vaatenurk. Nad leiavad, et kui vastuvõtja ei saa isikuandmeid, ei ole andmesubjektidel huvi olla andmete edastamisest teavitatud, kuna nende õigusi ei riivata.

46.

Kõigepealt ei ole tarbetu meenutada, et pseudonümiseerimine on isikuandmete töötlemine selleks, et vastavalt määruse 2018/1725 põhjendusele 17 „vähendada ohte“, mis seisnevad andmekogumi sidumises andmesubjekti identiteediga, ning „aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi“.

47.

Määruse 2018/1725 artikli 3 punktis 6 on pseudonümiseerimine seega määratletud kui „isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, [kuna] sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid“ ( 20 ).

48.

Pseudonümiseerimine ei ole seega osa isikuandmete määratlusest, mis on omakorda määratletud määruse 2018/1725 artikli 3 punktis 1, arvestades mõistet „andmesubjekti tuvastatavus“. Pealegi, nagu märkis komisjon oma menetlusse astuja seisukohtades, viitab määrus pseudonümiseerimise mõiste määratlemisel kaitsemeetme või tehnilise ja korraldusliku meetme kehtestamise protsessile, kuid mitte pseudonümiseeritud andmete mõistele.

49.

Seda tõlgendust kinnitab sama määruse artikli 3 punkt 6 koostoimes põhjendusega 16, mille esimeses lauses on meenutatud, et „[a]ndmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes“.

50.

Lisaks väärib määruse 2018/1725 põhjendus 16 üksikasjalikumat analüüsimist ( 21 ). See sisaldab nimelt teist lauset, milles on märgitud, et „pseudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta“. Seejärel on esitatud kolmas ja neljas lause, mis täpsustavad tuvastatavuse nõude sisu.

51.

Järeldan nende sätete sõnastusest, et pseudonümiseerimine jätab võimaluse, et andmesubjekte ei ole võimalik tuvastada, kuna vastasel juhul ei oleks põhjenduse 16 sõnastusel mõtet. Lisan, et selle põhjenduse viimased laused, mis käsitlevad anonümiseerimist, kinnitavad seda tõlgendust: need jätavad anonümiseeritud (või anonüümseks muudetud) andmed määruse 2018/1725 ( 22 ) kohaldamisalast välja, kuid jätavad pseudonümiseeritud andmed sellest välja üksnes juhul, kui andmesubjekte ei ole võimalik tuvastada. Kui neid isikuid ei ole võimalik tuvastada, peetakse neid seega pseudonümiseerimisprotsessiga õiguslikult piisavalt kaitstuks, hoolimata asjaolust, et täiendavad tuvastamisandmed ei ole täielikult kustutatud.

52.

See tähendab, et pseudonümiseeritud andmed ei ole määruse kohaldamisalast automaatselt välja jäetud ( 23 ). Põhjenduse 16 kohaselt ei saa siiski välistada, et sellised andmed võivad teatavatel tingimustel mõiste „isikuandmed“ alt välja jääda.

53.

Vastupidi sellele, mida väidab andmekaitseinspektor, ei ole niisugune lähenemisviis minu arvates vastuolus eesmärgiga tagada isikuandmete kaitse kõrge tase, eelkõige arvestades esiteks kohaldatavate sätetega kehtestatud tuvastatavuse nõudeid ja teiseks nende tõlgendamist kohtupraktikas.

54.

Esiteks on määruse 2018/1725 põhjenduses 16 viidatud tuvastatavusele vastutava töötleja „või kellegi muu“ poolt: see lai, ehkki mitte piiramatu käsitusviis ( 24 ) on osa isikuandmete kaitsest.

55.

Põhjenduses 16 on samuti märgitud, et arvesse tuleks võtta vahendeid, mida võib mõistliku tõenäosusega kasutada füüsilise isiku otseseks või kaudseks tuvastamiseks, arvestades kõiki objektiivseid tegureid, nagu tuvastamise maksumus ja selleks vajalik aeg, pidades silmas töötlemise ajal kättesaadavat tehnoloogiat ja selle arengut – see on käsitatav isikuandmete laia ja kaitsva määratlusena.

56.

Teiseks võimaldab kohtupraktikas tuvastatavuse mõiste tõlgendamine, mis keskendub andmesubjektide uuesti tuvastamise ohule, kohaldada mõistet „isikuandmed“ samuti laialt. Näiteks on Euroopa Kohus süstemaatiliselt kvalifitseerinud isikuandmeteks andmed, mis on küll teise isiku valduses olevatest tuvastamisandmetest eraldatud, kuid võivad kõnealuses kontekstis tuua kaasa ohu, et andmesubjektid võidakse uuesti tuvastada ( 25 ).

57.

Seega võib ainult siis, kui isiku tuvastamise oht on olematu või tähtsusetu ( 26 ), jätta andmed õiguslikult „isikuandmeteks“ kvalifitseerimata.

58.

Andmekaitseinspektori ja Euroopa Andmekaitsenõukogu argumendid ohtude kohta, mis tulenevad isikuandmete liiga kitsast tõlgendamisest, mind ei veena. Nimelt ei takista asjaolu, et määrusest 2018/1725 tulenevaid õigusnorme ei kohaldata andmete suhtes isikute kohta, kes ei ole tuvastatavad, vastaval juhul õigusliku vastutuse tekkimist üksustel, kes panevad toime taunitavaid tegusid, näiteks andmete avalikustamise korral, millega kaasneb kahju. Seevastu näib mulle ebaproportsionaalne panna üksusele, kes ei suuda andmesubjekte mõistliku tõenäosusega tuvastada, määrusest 2018/1725 tulenevaid kohustusi ( 27 ), mida see üksus eeldatavasti ei saaks täita või mis kohustaksid teda just nimelt püüdma andmesubjekte tuvastada.

59.

Neid kaalutlusi arvestades, kui analüüsida vaidlust Deloitte’ile edastatud andmete alusel, olen arvamusel, et vastupidi sellele, mida väidab andmekaitseinspektor, tuleb kindlaks teha, kas kõnealuste andmete pseudonümiseerimine oli piisavalt usaldusväärne selleks, et järeldada, et Deloitte’ile edastatud teabe koostajad ei olnud mõistliku tõenäosusega tuvastatavad. Teisisõnu, kui Deloitte’il oleksid selles kontekstis olnud mõistlikud vahendid kaebajate tuvastamiseks, võiks teda pidada isikuandmeid töötlevaks.

60.

Andmekaitseinspektori esimene etteheide tuleks seega minu arvates tagasi lükata.

61.

Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, on seisukohal, et kõnealused pseudonümiseeritud andmed on kriisilahendusnõukogu jaoks isikuandmed ja seega oli kriisilahendusnõukogul kohustus teavitada andmesubjekte vastuvõtjast. Ta väidab sisuliselt, et Üldkohus tõlgendas vääralt kohtuotsust Breyer, mis puudutas teistsugust faktilist olukorda.

62.

Kriisilahendusnõukogu, keda toetab komisjon, leiab seevastu, et võrdlus kohtuotsusega Breyer on asjakohane ja viib järeldusele, et teavitamiskohustus on kohaldatav üksnes siis, kui edastatud andmed on isikuandmed vastuvõtja, käesoleval juhul Deloitte’i seisukohast, mida ei ole käesoleval juhul tõendatud, nagu Üldkohus tema hinnangul õigesti leidis.

63.

Olen arvamusel, et määruse 2018/1725 artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustus ja paralleelsus kohtuotsusega Breyer viivad käesoleval juhul Üldkohtu lahendusest erineva lahenduseni, mida ma selgitan käesoleva etteheite analüüsimisel.

64.

Määruse 2018/1725 artikli 4 lõike 1 punktis a on sätestatud nõue, et töötlemine peab olema seaduslik, õiglane ja andmesubjektile läbipaistev.

65.

Täpsemalt on määruse artikli 15 lõike 1 punktis d ette nähtud, et kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teavitab vastutav töötleja andmesubjekte „isikuandmete saamise ajal“ nende andmete võimalikest vastuvõtjatest. Seega ilmneb, et vastutav töötleja peab selle teabe andma kohe, see tähendab andmete kogumise ajal ( 28 ).

66.

Sellise teavitamiskohustuse täitmise tähtsust kinnitab ka määruse 2018/1725 põhjendus 35, milles on märgitud, et õiglase ja läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse isikuandmete töötlemise toimingu tegemisest ja selle eesmärkidest ning vastutav töötleja peaks esitama andmesubjektile igasuguse täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti ( 29 ).

67.

Selline teavitamiskohustus on seda olulisem, et andmesubjekti antud nõusoleku kehtivus sõltub muu hulgas sellest, kas andmesubjekt on enne saanud nende andmete töötlemisega seotud kõikide asjaolude kohta teabe, millele tal on õigus määruse 2018/1725 artiklite 14 ja 15 alusel ning mis võimaldab tal anda nõusoleku kõiki asjaolusid teades ( 30 ).

68.

Lisan, et teavitamiskohustuse ainus erand, mis on ette nähtud määruse 2018/1725 artikli 15 lõikes 4, puudutab olukorda, kus andmesubjektil on kõnealune teave juba olemas.

69.

Järeldan sellest, et käesoleval juhul on see teavitamiskohustus osa õigussuhtest ühelt poolt andmesubjektide, käesoleval juhul kaebajate, ja teiselt poolt kriisilahendusnõukogu kui vastutava töötleja vahel, mitte aga kriisilahendusnõukogu ja andmete vastuvõtja, see tähendab Deloitte’i vahelise suhte raames. Teavitamiskohustuse ese on seega andmed, mis olid kriisilahendusnõukogu valduses enne Deloitte’ile edastamist. Vaidlust ei ole aga selles, et tegemist on isikuandmetega, kuna kriisilahendusnõukogu valduses on kommentaarid ja need esitanud isikute tuvastamist võimaldavad andmed.

70.

Selline „asjakohasest seisukohast“ ( 31 ) lähenemine viib mind seega Üldkohtu omast erineva lahenduseni, isegi kui võrrelda seda kohtuotsusega Breyer.

71.

Tuletan meelde, et selles kohtuotsuses esitatud eelotsuse küsimuse aluseks olevas vaidluses soovis P. Breyer keelata vastutaval töötlejal (Saksamaa Liitvabariik) säilitada enda dünaamilist IP-aadressi. Täiendav teave, mis võimaldas tuvastada tema arvutiga seotud IP-aadressi, ei olnud mitte vastutava töötleja, vaid internetiühenduse pakkuja valduses. Küsimus oli seega selles, kas vastutava töötleja valduses olevat dünaamilist IP-aadressi võib kvalifitseerida „isikuandmeteks“ ja seeläbi panna P. Breyeri ja nimetatud vastutava töötleja vahelise õigussuhte raames viimasele säilitamiskohustusi, kuigi P. Breyeri identifitseerimisandmed ei olnud vastutava töötleja, vaid teise isiku valduses. Sisuliselt leiti, et kuigi vastutaval töötlejal ei olnud täiendavaid tuvastamisandmeid, oli tal võimalik nendega mõistlikult tutvuda ja seega kvalifitseeriti dünaamiline IP‑aadress „isikuandmeteks“.

72.

Nagu on eespool meenutatud, ( 32 ) on käesoleval juhul teavitamiskohustus seotud andmesubjektide (kaebajad) ja vastutava töötleja (kriisilahendusnõukogu) vahelise suhtega: teavitamiskohustus tekib alles siis, kui kriisilahendusnõukogu kogub kõnealuseid andmeid ja, mis puudutab konkreetselt teavet vastuvõtja kohta, siis hiljemalt siis, kui vastuvõtja on teada. Sel hetkel aga on kõnealused andmed isikuandmed kriisilahendusnõukogu valduses, kellel on täiendavad tuvastamisandmed. Arvestades kõnealust teavitamiskohustust ja selle tekkimise hetke, kujutasid kõnealused andmed endast seega isikuandmeid, sõltumata sellest, kas need olid tuvastatavad Deloitte’i jaoks, keda ei puuduta ei kaebajate ja kriisilahendusnõukogu vaheline õigussuhe, mis on ainsana asjakohane, ega see kriisilahendusnõukogul lasuv teavitamiskohustus.

73.

Selles mõttes tuleb paralleeli kohtuotsusega Breyer minu arvates käesoleval juhul pidada suhteliseks.

74.

Sellest järeldub, et teavitamiskohustus lasus kriisilahendusnõukogul kui vastutaval töötlejal ja tema suhte tõttu kaebajatega, kellelt ta kõnealuseid andmeid kogus, ja seda sõltumata sellest, kas Deloitte’ile edastatud andmed on isikuandmed või mitte.

75.

Kriisilahendusnõukogu argument, mida ta kordas kohtuistungil ja mille kohaselt on vastuvõtja seisukoht asjakohane, kuna tuleb kontrollida, kas ta on „isikuandmete vastuvõtja“ või mitte, tuleb sellest loogikast lähtudes tagasi lükata.

76.

Sellega seoses on tõsi, et määruse 2018/1725 artikli 15 lõike 1 punkti d sõnastus, mis viitab „isikuandmete […] vastuvõtjate[le]“, võib tekitada segadust. Siiski nõuab selle sätte kasulik mõju, et teave edastatakse andmesubjektidele nii kiiresti kui võimalik ja enne andmete edastamist ( 33 ). Kuigi käesoleval juhul ei olnud kriisilahendusnõukogul kommentaaride esmasel kogumisel kavatsust küsida Deloitte’ilt arvamust, et saada teada, kas need kommentaarid muudavad 3. hinnangut, nähtub Üldkohtus vaidlustatud vaidlusalusest otsusest, et Deloitte abistas kriisilahendusnõukogu arvamuse avaldamise menetluses ( 34 ). Lisaks võib asuda seisukohale, et kriisilahendusnõukogu kavatsus edastada pseudonümiseeritud andmed Deloitte’ile oli olemas hiljemalt hetkel, mil otsustati kõnealuseid kommentaare töödelda just pseudonümiseerimiseks ( 35 ), sest ilma selle kavatsuseta ei oleks pseudonümiseerimine kuidagi põhjendatud.

77.

Olen seega arvamusel, et teavitamiskohustuse täitmise kontrollimine hetkel, mil kriisilahendusnõukogu edastas andmed Deloitte’ile, lähtudes tema kui vastuvõtja seisukohast, et kvalifitseerida kõnealused andmed isikuandmeteks või mitte, viib selle kontrolli ajalise nihkeni. See kontroll lükataks seega ekslikult edasi, kuna seda tehtaks andmete vastuvõtjale juba edastatud andmete suhtes, samas kui teavitamiskohustuse ese puudutab kriisilahendusnõukogu ja kaebajate vahelist suhet ning selle eesmärk on võimaldada viimastel anda teadlik nõusolek enne andmete edastamist.

78.

Pealegi, mis puutub kaebajate nõusolekusse, siis võib nende osalemist arvamuse avaldamise menetluses mõistagi tõlgendada kui kaudset nõusolekut jagada isikuandmeid vastutava töötlejaga, et nende kommentaare võetaks arvesse. See ei ole minu arvates siiski piisav selleks, et seda pidada teadlikuks nõusolekuks andmete pseudonümiseerimiseks ja nende Deloitte’ile edastamiseks, ilma et kriisilahendusnõukogu oleks sellest eelnevalt teatanud ( 36 ).

79.

Sellest tuleneb minu arvates, et kriisilahendusnõukogul lasuv teavitamiskohustus kehtis käesoleval juhul enne kõnealuste andmete edastamist ja sõltumata sellest, kas need olid Deloitte’i valduses kui isikuandmed või mitte.

80.

Seega näib mulle, et see, kas pseudonümiseerimine on piisavalt tugev ja tõhus, nii et saaks kaaluda, kas Deloitte’i valdusesse antud andmed kujutavad endast isikuandmeid või mitte, ei saa kriisilahendusnõukogul lasuva teavitamiskohustuse seisukohast lõpuks anda tulemust.

81.

Järelikult tuli kriisilahendusnõukogul kui vastutaval töötlejal lasuvat teavitamiskohustust käesolevas asjas täita ja vaidlustatud kohtuotsus tuleb seetõttu õigusnormi rikkumise tõttu tühistada.

82.

Kuna kõnealuste andmete vastuvõtja seisukoht ei ole määruse 2018/1725 artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustuse seisukohast asjakohane, siis ei saa poolte argumendid selle kohta, et Deloitte’il on võimalik teha seaduslikul ja praktikas teostataval viisil kindlaks andmesubjektid, anda tulemust ning neid ei ole seega vaja analüüsida.

83.

Kui Euroopa Kohus ei ole sellel arvamusel, märgin teise võimalusena, et andmekaitseinspektor vaidleb selles osas vastu Üldkohtu järeldusele, et Deloitte’il puudus juurdepääs tuvastamisandmetele. Ta tugineb eelkõige kriisilahendusnõukogu ja Deloitte’i vahelisele alltöövõtusuhtele. Kriisilahendusnõukogu ja komisjon väidavad, et seda tehes esitab andmekaitseinspektor uusi faktiväiteid, mis on apellatsiooniastmes vastuvõetamatud. Olen nõus. Nimelt kujutab lepingulise suhte olemasolu kriisilahendusnõukogu ja Deloitte’i vahel, mis tõendab Deloitte’i võimalust nõuda kriisilahendusnõukogult kaebajate tuvastamist, endast uusi argumente, mille kohta ei ole Üldkohus pealegi seisukohta võtnud. Sellest järeldub, et need argumendid tuleb sel juhul vastuvõetamatuse tõttu tagasi lükata vastavalt Euroopa Kohtu kodukorra artikli 170 lõike 1 teisele lausele, mille kohaselt ei või apellatsioonkaebuses muuta Üldkohtu menetluses olnud hagi eset ( 37 ).

84.

Teises väites, mille kohaselt on rikutud määruse 2018/1725 artikli 4 lõikes 2 ja artikli 26 lõikes 1 sätestatud vastutuse põhimõtet, väidab andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, et Üldkohus leidis vääralt, et tema peab tõendama, et Deloitte’ile edastatud teave kujutab endast isikuandmeid, rikkudes sellega kriisilahendusnõukogu vastutuse põhimõtet.

85.

Eeltoodut ja eelkõige käesoleva ettepaneku punkte 81 ja 82 arvestades leian, et seda teist väidet ei ole vaja analüüsida.

86.

Seega käsitlen seda vaid lühidalt, teise võimalusena.

87.

Selle Üldkohtus esitamata väite vastuvõetavuse kohta, millele kriisilahendusnõukogu vastu vaidleb, tuletan meelde, et apellandil on õigus apellatsioonkaebuses esitada väiteid, mis on tekkinud vaidlustatud kohtuotsuse enda pinnalt ja mille eesmärk on selle kohtuotsuse põhjendatust õiguslikult kritiseerida ( 38 ). Minu arvates on see nii käesoleva väite puhul, mis on seega vastuvõetav.

88.

Sisulises osas tuleb meenutada, et Üldkohus otsustas, et kuna andmekaitseinspektor ei uurinud, kas Deloitte’il olid seaduslikud ja praktikas teostatavad vahendid, mis oleksid tal võimaldanud tutvuda kaebajate uuesti tuvastamiseks vajaliku lisateabega, ei saanud andmekaitseinspektor järeldada, et Deloitte’ile edastatud teave kujutab endast teavet „tuvastatava füüsilise isiku“ kohta määruse 2018/1725 artikli 3 punkti 1 tähenduses.

89.

Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, väidab sisuliselt, et Üldkohus oleks pidanud kontrollima, kas vastutav töötleja kriisilahendusnõukogu on tõendanud, et ta muutis vaidlusalused andmed Deloitte’i jaoks anonüümseks.

90.

Kriisilahendusnõukogu vaidleb nendele argumentidele vastu, väites, et vastutuse põhimõte on kohaldatav ainult siis, kui on olemas isikuandmed, ning et käesoleval juhul olid Deloitte’i valduses olevad andmed anonüümseks muudetud.

91.

Komisjon väidab omakorda, et esiteks on andmekaitseinspektoril mõistlik tõendamiskoormis, et olemasolevate tõendite alusel tõendada, et tegemist on isikuandmetega. Teiseks peab vastutav töötleja selle järelduse täiendavaid asjaolusid esitades ümber lükkama.

92.

Tuletan meelde, et määruse 2018/1725 artikli 4 lõike 1 punkti a kohaselt tuleb isikuandmeid töödelda seaduslikult, õiglaselt ja andmesubjektile läbipaistvalt. Nimetatud määruse artikli 4 lõikes 2 on sätestatud, et „[l]õike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja“. Seega tuleneb määruse 2018/1725 artikli 4 lõikes 2 sätestatud ja artikli 26 lõikes 1 täpsustatud vastutuse põhimõttest, et vastutav töötleja peab suutma tõendada, et ta järgib artikli 4 lõikes 1 sätestatud isikuandmete töötlemise põhimõtteid ( 39 ).

93.

Kui vastutav töötleja esitab selle kohta piisavaid tõendeid, võib asuda seisukohale, et ta on temal lasuva tõendamiskohustuse täitnud ( 40 ).

94.

Käesoleval juhul näib mulle, et kriisilahendusnõukogu tugines mitmele faktilisele asjaolule (eelkõige kommentaaride sõelumise, liigitamise, koondamise protsessile, mida on kirjeldatud vaidlusaluses otsuses ja vaidlustatud kohtuotsuses), et tõendada oma vastutuse põhimõtte kohaselt, et Deloitte’il oli võimatu andmesubjekte tuvastada.

95.

Andmekaitseinspektor vaidles Üldkohtus selles küsimuses vastu põhimõttelisele seisukohale, mis seisnes selles, et ta lähtus kriisilahendusnõukogu, mitte Deloitte’i seisukohast, ja seega kvalifitseeris Deloitte’ile edastatud kommentaarid „isikuandmeteks“.

96.

Kui nõustuda käesoleva väite teise võimalusena analüüsimiseks, et Deloitte’i seisukoht oli käesoleval juhul asjakohane ( 41 ), võiks asuda seisukohale, et nagu Üldkohus otsustas, pidi andmekaitseinspektor tõendama ( 42 ), millisel õiguslikul või tehnilisel põhjusel ei olnud kriisilahendusnõukogu poolt käesolevas asjas läbi viidud pseudonümiseerimise protsess piisav ja pidi viima järelduseni, et Deloitte töötles isikuandmeid.

97.

Olen seega arvamusel, et teise väite läbivaatamise korral tuleb vaidlustatud kohtuotsus selles osas muutmata jätta.

98.

Euroopa Liidu Kohtu põhikirja artikli 61 esimese lõigu kohaselt tühistab Euroopa Kohus Üldkohtu otsuse, kui apellatsioonkaebus on põhjendatud. Ta võib ise teha asja suhtes lõpliku kohtuotsuse, kui menetlusstaadium lubab, või suunata asja tagasi Üldkohtusse otsustamiseks.

99.

Esimene väide, mille kriisilahendusnõukogu esitas vaidlusaluse otsuse kohta Üldkohtus, puudutab määruse 2018/1725 artikli 3 punkti 1 rikkumist. Käesoleva ettepaneku punktidest 63–82 tuleneb, et kuna kriisilahendusnõukogu on rikkunud määruse 2018/1725 artikli 15 lõike 1 punktist d tulenevat teavitamiskohustust, tuleb vaidlusalune otsus minu arvates seega muutmata jätta.

100.

Seevastu ei luba menetlusstaadium otsustada teise väite üle, mille kohaselt andmekaitseinspektor on rikkunud õigust heale haldusele menetluses, mille tulemusel võeti vastu vaidlusalune otsus.

101.

Nimelt väidab kriisilahendusnõukogu eelkõige, et vaidlusaluse otsuse vastuvõtmisele eelnenud haldusmenetluses rikkus andmekaitseinspektor tema õigust tutvuda toimikuga, tema õigust olla ära kuulatud ja poolte võrdsuse põhimõtet, kui ta esiteks keeldus võimaldamast tal toimikuga tutvuda ja teiseks ei edastanud talle kaebajate seisukohti või nende sisu.

102.

Üldkohus leidis aga, et kuna hagi esimese väitega nõustuti, ei olnud talle esitatud teist väidet vaja analüüsida. Järelikult ei luba menetlusstaadium selle väite kohta, mis hõlmab eelkõige faktiliste asjaolude hindamist, kohtuotsust teha. Seega näib mulle, et kohtuasi tuleb suunata tagasi Üldkohtusse selles küsimuses otsuse tegemiseks ning kohtukulude kandmine otsustatakse edaspidi.

103.

Eespool kirjeldatud kaalutlustel teen Euroopa Kohtule ettepaneku: