I.

Uvod

1.

Europski nadzornik za zaštitu podataka (EDPS) u žalbi zahtijeva ukidanje presude Općeg suda Europske unije od 26. travnja 2023., SRB/EDPS (T‑557/20, u daljnjem tekstu: pobijana presuda, EU:T:2023:219), kojom je taj sud poništio EDPS‑ovu izmijenjenu odluku od 24. studenoga 2020. (u daljnjem tekstu: sporna odluka) koja se odnosi na pet pritužbi koje su podnijeli dioničari i vjerovnici pogođeni sanacijom društva Banco Popular Español SA (u daljnjem tekstu: Banco Popular) koji se žale da nisu bili obaviješteni o prijenosu njihovih osobnih podataka.

2.

Ovaj predmet daje Sudu priliku da u kontekstu pseudonimiziranih podataka pojasni pojam „osobni podaci” i obveze koje iz njega proizlaze radi ispunjenja obveza poštene i transparentne obrade podataka.

II.

Pravni okvir

3.

U okviru ove žalbe relevantne su sljedeće glavne odredbe Uredbe (EU) 2018/1725 ( 2 ).

4.

Uvodne izjave 16. i 17. te uredbe glase kako slijedi:

5.

Člankom 3. navedene uredbe, naslovljenim „Definicije”, u točkama 1. i 6. predviđa se:

6.

Člankom 4. te uredbe, naslovljenim „Načela obrade osobnih podataka”, u stavku 1. točki (a) i stavku 2. određuje se:

7.

Člankom 15. Uredbe 2018/1725, naslovljenim „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, u stavku 1. točki (d) određuje se:

III.

Okolnosti spora

8.

Jedinstveni sanacijski odbor (SRB) donio je 7. lipnja 2017. sanacijski program za društvo Banco Popular na temelju Uredbe (EU) br. 806/2014 Europskog parlamenta i Vijeća od 15. srpnja 2014. o utvrđivanju jedinstvenih pravila i jedinstvenog postupka za sanaciju kreditnih institucija i određenih investicijskih društava u okviru jedinstvenog sanacijskog mehanizma i jedinstvenog fonda za sanaciju te o izmjeni Uredbe (EU) br. 1093/2010 ( 3 ), koji je istoga dana potvrđen odlukom Europske komisije ( 4 ), što konkretno znači da su instrumenti kapitala banke otpisani ili konvertirani i prodani prijenosom dionica.

9.

U skladu s člankom 20. stavcima 16. do 18. Uredbe br. 806/2014, SRB je društvu Deloitte, kao „neovisnoj osobi” ( 5 ), povjerio zadatak da provede vrednovanje razlike u postupanju kako bi se utvrdilo bi li se prema dioničarima i vjerovnicima, koji su tako pogođeni sanacijskom mjerom, bolje postupalo da je nad društvom Banco Popular proveden redovni postupak u slučaju insolventnosti.

10.

Društvo Deloitte je 14. lipnja 2018. dostavilo SRB‑u vrednovanje razlike u postupanju (u daljnjem tekstu: vrednovanje 3). SRB je u preliminarnoj odluci naveo da je, kako bi mu se omogućilo da donese konačnu odluku o tome treba li isplatiti odštetu dioničarima i vjerovnicima pogođenima sanacijom društva Banco Popular na temelju članka 76. stavka 1. točke (e) Uredbe br. 806/2014, pokrenuo postupak u vezi s pravom na saslušanje, koji uključuje prvu fazu – fazu prijave, kako bi se provjerilo ispunjavaju li stranke koje su iskazale interes uvjete za to, i drugu fazu – fazu savjetovanja, u okviru koje su pogođeni dioničari i vjerovnici podnijeli svoja očitovanja na SRB‑ovu preliminarnu odluku kojoj je priloženo vrednovanje 3.

11.

Podaci prikupljeni u fazi prijave, odnosno dokazi o identitetu sudionika i vlasništvu nad otpisanim ili konvertiranim i prenesenim instrumentima kapitala društva Banco Popular bili su dostupni ograničenom broju članova SRB‑ova osoblja zaduženih za obradu tih podataka kako bi se utvrdilo ispunjavaju li sudionici uvjete za to. Ti podaci nisu bili vidljivi članovima SRB‑ova osoblja zaduženima za obradu očitovanja primljenih u fazi savjetovanja, tijekom koje su primili samo očitovanja koja su identificirana upućivanjem na alfanumerički kod ( 6 ) dodijeljen svakom očitovanju podnesenom putem obrasca.

12.

Nakon agregacije, automatskog filtriranja i kategorizacije očitovanja, SRB je proslijedio društvu Deloitte ( 7 ) tako filtrirana, kategorizirana i agregirana očitovanja o vrednovanju 3. Očitovanja proslijeđena društvu Deloitte odnosila su se samo na ona primljena u fazi savjetovanja i sadržavala su alfanumerički kod koji je razvijen za potrebe revizije kako bi se SRB‑u omogućilo da provede provjeru i moguće naknadno dokazivanje da je svako očitovanje obrađeno i pravilno uzeto u obzir. SRB je bio jedini koji je tim kodom mogao povezati očitovanja s podacima primljenima u fazi prijave. Društvo Deloitte nije imalo i ni dalje nema pristup bazi podataka prikupljenih u fazi prijave.

13.

Pogođeni dioničari i vjerovnici (u daljnjem tekstu: podnositelji pritužbi) podnijeli su EDPS‑u pet pritužbi na temelju Uredbe 2018/1725 jer izjava o povjerljivosti u pogledu obrade osobnih podataka koju je objavio SRB nije sadržavala napomenu da će se prikupljeni podaci putem obrasca proslijediti društvu Deloitte. Tvrde da je SRB povrijedio svoju obvezu pružanja informacija u vezi s obradom osobnih podataka na temelju te uredbe, predviđenu člankom 15. stavkom 1. točkom (d) navedene uredbe.

14.

EDPS je 24. lipnja 2020. donio prvotnu odluku koja je poništena nakon SRB‑ova zahtjeva za preispitivanje te je 24. studenoga 2020. zamijenjena spornom odlukom, koja glasi kako slijedi:

IV.

Pobijana presuda

15.

Tužbom podnesenom tajništvu Općeg suda 1. rujna 2020. i podneskom kojim se vrši prilagodba podnesenim 29. siječnja 2021. SRB je pokrenuo postupak za, s jedne strane, poništenje sporne odluke i, s druge strane, proglašenje nezakonitosti EDPS‑ove prvotne odluke od 24. lipnja 2020.

16.

U prilog prvom dijelu tužbenog zahtjeva ( 8 ) SRB je istaknuo dva tužbena razloga. Prvi tužbeni razlog temeljio se na povredi članka 3. točke 1. Uredbe 2018/1725 jer informacije proslijeđene društvu Deloitte nisu osobni podaci, a drugi tužbeni razlog temeljio se na povredi prava na dobru upravu, propisanom člankom 41. Povelje Europske unije o temeljnim pravima.

17.

Opći sud pobijanom je presudom taj tužbeni razlog proglasio dopuštenim. Kad je riječ o meritumu, prihvatio je prvi tužbeni razlog i poništio spornu odluku a da pritom nije ispitao drugi tužbeni razlog.

18.

Kad je riječ o prvom tužbenom razlogu, Opći sud je smatrao, kao prvo, da je EDPS smatrao da se informacije proslijeđene društvu Deloitte „odnose” na pojedinca u smislu članka 3. točke 1. Uredbe 2018/1725, pri čemu se oslonio na pretpostavku, a nije ispitao ni sadržaj, ni cilj, ni učinak informacija proslijeđenih društvu Deloitte ( 9 ), protivno presudi Nowak ( 10 ).

19.

Suprotno tomu, kad je riječ o uvjetu predviđenom člankom 3. točkom 1. Uredbe 2018/1725 prema kojem se informacije trebaju odnositi na pojedinca „čiji je identitet utvrđen ili se može utvrditi”, Opći sud je smatrao da je u ovom slučaju na EDPS‑u da ispita jesu li očitovanja proslijeđena društvu Deloitte za njega osobni podaci. Naime, u skladu s pobijanom presudom, EDPS je samo ispitao mogućnost ponovne identifikacije autora očitovanja iz perspektive SRB‑a, a ne društva Deloitte. Slijedom toga, s obzirom na to da EDPS nije istražio je li društvo Deloitte raspolagalo pravnim i ostvarivim sredstvima koja mu omogućuju pristup dodatnim informacijama potrebnima za ponovnu identifikaciju autora očitovanja, on nije mogao zaključiti da su informacije proslijeđene društvu Deloitte informacije koje se odnose na „pojedinca čiji se identitet može utvrditi” u smislu članka 3. točke 1. Uredbe 2018/1725 ( 11 ).

V.

Postupak pred Sudom i zahtjevi stranaka

20.

Aktom podnesenim tajništvu Suda 5. srpnja 2023. EDPS je podnio žalbu protiv pobijane presude. Rješenjem predsjednika Suda od 29. studenoga 2023. ( 12 ) Europskom odboru za zaštitu podataka dopušteno je intervenirati u potporu EDPS‑ovu zahtjevu, a odlukom od 20. listopada 2023. Europskoj komisiji dopušteno je intervenirati u potporu SRB‑u.

21.

EDPS od Suda zahtijeva da:

–

ukine pobijanu presudu;

–

konačno odluči o sporu;

–

naloži SRB‑u snošenje troškova žalbenog postupka i postupka pred Općim sudom.

22.

Europski odbor za zaštitu podataka, koji intervenira u potporu EDPS‑u, od Suda zahtijeva da:

–

ukine pobijanu presudu;

–

konačno odluči o sporu, tako da potvrdi spornu odluku.

23.

SRB od Suda zahtijeva da:

–

odbije žalbu;

–

podredno, poništi spornu odluku;

–

još podrednije, vrati predmet Općem sudu na ponovno suđenje i

–

naloži EDPS‑u snošenje troškova žalbenog postupka i postupka pred Općim sudom.

24.

Europska komisija, koja intervenira u potporu SRB‑u, od Suda zahtijeva da:

–

odbije žalbu;

–

naloži EDPS‑u snošenje troškova.

VI.

O žalbi

25.

U prilog svojoj žalbi, EDPS, kojeg podupire Europski odbor za zaštitu podataka, ističe dva žalbena razloga. Prvim žalbenim razlogom nastoji se osporiti tumačenje koje je Opći sud utvrdio u pogledu pojma „osobni podaci” u smislu članka 3. stavaka 1. i 6. Uredbe 2018/1725, kako se tumači u sudskoj praksi Suda. Drugi žalbeni razlog temelji se na povredi načela pouzdanosti navedenog u članku 4. stavku 2. i članku 26. stavku 1. te uredbe.

A.

Prvi žalbeni razlog

26.

Prvi žalbeni razlog podijeljen je na dva dijela. Prvi dio odnosi se na uvjet prema kojem se sporne informacije trebaju „odnositi” na pojedinca, a drugi dio odnosi se na uvjet da je to osoba „čiji je identitet utvrđen ili se može utvrditi”.

1.

Prvi dio žalbenog razloga, koji se odnosi na pitanje „odnose” li se informacije na pojedinca

a)

Argumentacija stranaka

27.

EDPS, kojeg podupire Europski odbor za zaštitu podataka, tvrdi da je Opći sud počinio pogrešku jer je utvrdio da se EDPS oslonio na pretpostavku koja se odnosi na tumačenje uvjeta prema kojem su se informacije proslijeđene društvu Deloitte odnosile na pojedinca u smislu članka 3. točke 1. Uredbe 2018/1725. Prema njegovu mišljenju, u okolnostima ovog slučaja nije bilo potrebno provesti detaljnije ispitivanje.

28.

SRB pak tvrdi, kao što je to odlučio Opći sud, da je EDPS samo naveo da sporna očitovanja koja su podnositelji pritužbi podnijeli u fazi savjetovanja o postupku u vezi s pravom na saslušanje odražavaju njihova mišljenja ili njihova stajališta, iako je trebao ispitati jesu li informacije koje su proslijeđene društvu Deloitte zbog svojeg sadržaja, cilja ili učinka povezane s određenom osobom, kao što se to zahtijeva u presudi Nowak.

b)

Ocjena

29.

Valja podsjetiti na to da je Sud više puta odlučio da upotreba izraza „svi podaci” u definiciji pojma „osobni podaci” odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka ( 13 ), kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na osobu o kojoj je riječ.

30.

U tom se pogledu informacija odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi ako je zbog svojeg sadržaja, cilja ili učinka „povezan” s određenom osobom ( 14 ).

31.

Kad je riječ o mišljenjima ili ocjenama, kao što su očitovanja podnositelja pritužbi o kojima je riječ u ovom slučaju, čini mi se relevantnim razlikovati ih ovisno o tome ispituje li se „odnose” li se navedena mišljenja ili ocjene na jednu ili više osoba obuhvaćenih tekstom mišljenja ili ocjene ili je, kao u ovom slučaju, riječ o tome da se utvrdi odnose li se na svojeg autora. U prvom slučaju, kako bi se zaključilo da se informacija odnosi na osobu u pogledu koje se provodi ocjena, valja analizirati odnose li se sadržaj, cilj ili učinak ocjene na tu osobu. U drugom slučaju, suprotno tomu, kako bi se utvrdilo odnosi li se ocjena na osobu koja ju je iznijela, čini mi se da bi se moglo pretpostaviti da je to slučaj i da su mišljenje ili ocjena nužno povezani sa svojim autorom.

32.

Tako je u presudi Nowak u biti bila riječ o ocjenjivanju informacija sadržanih u ispitnom radu. Stoga su se te ocjene odnosile na dvije osobe, kandidata i ispitivača. Točno je da je Sud ispitao sadržaj, cilj i učinak kandidatovih odgovora kako bi zaključio da se te ocjene odnose na njega. S obzirom na navedeno, kad je konkretnije riječ o ispitivačevim napomenama, one odražavaju njegovo mišljenje ili ocjenu ( 15 ), iako je Sud ispitao sadržaj, cilj i učinak informacija sadržanih u radu kako bi zaključio da se te ocjene odnose na kandidata, nije proveo takvo ispitivanje kako bi smatrao da su to informacije koje se odnose na ispitivača koji je njihov autor ( 16 ). Prema mojem mišljenju, ne može se stoga u potpunosti isključiti da se (jednostavna) pretpostavka može primijeniti kad je riječ o procjeni „odnosi” li se mišljenje ili ocjena ili, kao u ovom slučaju, očitovanje, na svojeg autora.

33.

Iz toga zaključujem, osim ako se ne dokaže drukčije, da se očitovanja o kojima je riječ u ovom slučaju, s obzirom na to da su ih podnijeli podnositelji pritužbi i da pokazuju „njihovu logiku i rasuđivanje”, pri čemu odražavaju njihovo „subjektivno mišljenje”, nužno „odnose” na navedene podnositelje pritužbi, neovisno o cilju ili učinku njihovih očitovanja.

34.

U svakom slučaju, čak i ako takva pretpostavka ne postoji u ovom slučaju, smatram da se predmetna očitovanja „odnose” na podnositelje pritužbi zbog svojeg sadržaja, cilja i učinka.

35.

U tom pogledu SRB tvrdi da su argumenti koji se temelje na cilju i kontekstu predmetnih očitovanja bespredmetni jer su ispitani u spornoj odluci, nedopušteni jer sadržavaju nove činjenične tvrdnje i, u svakom slučaju, pogrešni.

36.

Smatram da ta argumentacija nije uvjerljiva. Naime, ispitivanje koje je EDPS proveo u spornoj odluci i ocjena Općeg suda dio su pravnog konteksta koji je uzet u obzir i u kojem se jasno navode cilj i učinak očitovanja o kojima je riječ podnesenih u okviru postupka u vezi s pravom na saslušanje. Stoga su ti argumenti koji se odnose na cilj i učinak predmetnih očitovanja predmetni i dopušteni.

37.

Usto, kad je riječ o meritumu, iz primjenjivog pravnog okvira proizlazi da je svrha postupka u vezi s pravom na saslušanje u okviru kojeg su podnesena predmetna očitovanja bila omogućiti pogođenim dioničarima i vjerovnicima da pridonesu postupku, osobito kako bi omogućili SRB‑u da raspolaže svim informacijama koje su potrebne za donošenje konačne odluke o tome treba li isplatiti odštetu dioničarima i vjerovnicima pogođenima sanacijom društva Banco Popular, u skladu s primjenom načela prema kojem nijedan vjerovnik ne smije biti doveden u nepovoljniji položaj nego u redovnom postupku u slučaju insolventnosti ( 17 ). Nadalje, ta su očitovanja, nakon što ih je SRB uzeo u obzir, mogla utjecati na interese i prava podnositeljâ pritužbi u pogledu financijske naknade.

38.

Iz toga zaključujem da se predmetna očitovanja odnose na ispitanike iz ovog slučaja, uključujući zbog svojeg cilja i učinka.

39.

Dodajem da je točno da su predmetna očitovanja, kako su proslijeđena društvu Deloitte, bila „filtrirana, kategorizirana i agregirana”, tako da se pojedinačna očitovanja, kao što to proizlazi iz činjenica koje je utvrdio Opći sud ( 18 ), nisu mogla razlikovati u okviru iste teme; međutim, može se priznati da ta kolektivna očitovanja, iako su agregirana, u svojem sadržaju odražavaju osobna stajališta o vrednovanju 3. Naime, ona predstavljaju skupinu mišljenja koja, kao takva, čine informacije koje se odnose na osobe koje su ih iznijele. Njihovo filtriranje, kategoriziranje i agregiranje ne mijenjaju to utvrđenje jer bi u protivnom bilo dovoljno agregirati nekoliko stajališta kako bi se izbjegao uvjet da se informacija „odnosi” na pojedinca. Čini mi se da činjenica da unutar te skupine očitovanja nije moguće razlikovati različita pojedinačna mišljenja više ističe drugi kumulativni uvjet, koji se odnosi na mogućnost utvrđivanja identiteta ispitanikâ, a koji se ispituje u okviru drugog dijela ovog žalbenog razloga, nego uvjet koji podrazumijeva da je očitovanje „povezano” s pojedincem.

40.

U tim se okolnostima, prema mojem mišljenju, može smatrati da ocjena Općeg suda sadržava pogrešku koja se tiče prava u tom pogledu jer je taj sud smatrao da EDPS nije proveo ispitivanje koje se zahtijeva u presudi Nowak kako bi zaključio da se predmetna očitovanja „odnose” na pojedince u smislu članka 3. točke 1. Uredbe 2018/1725.

41.

Ako Sud odluči odbiti taj prvi dio i presudi da se predmetna pseudonimizirana očitovanja ne odnose na njihove autore, ispitivanje drugog dijela žalbenog razloga bilo bi suvišno jer je, u skladu s člankom 3. točkom 1. Uredbe 2018/1725, riječ o uvjetu koji je nužan za postojanje osobnog podatka i koji je kumulativan s uvjetom mogućnosti utvrđivanja identiteta ispitanikâ, a koji će se ispitati u nastavku.

2.

Drugi dio, koji se odnosi na uvjet mogućnosti utvrđivanja identiteta ispitanikâ

42.

EDPS i Europski odbor za zaštitu podataka u biti tvrde da je Opći sud počinio dvije pogreške, pri čemu se prva odnosi na pojam „pseudonimizacija”, a druga na tumačenje presude Breyer ( 19 ), što SRB i Komisija osporavaju.

a)

Prvi prigovor, koji se temelji na pogrešci u pogledu učinaka pseudonimizacije

43.

U tom se prigovoru navodi postojanje dvaju vrlo različitih pristupa dosegu područja primjene pravilâ o zaštiti podataka. Treba li u to područje primjene automatski uključiti pseudonimizirane podatke samo zato što se mogao utvrditi identitet ispitanikâ, neovisno o dostupnosti dodatnih identifikacijskih podataka, ili treba smatrati da su nakon postupka pseudonimizacije podaci osobni samo za osobe koje mogu razumno identificirati ispitanike?

1)

Argumentacija stranaka

44.

EDPS i Europski odbor za zaštitu podataka u biti tvrde da pseudonimizirani podaci ostaju osobni podaci samo zato što se identitet ispitanika i dalje može utvrditi jer podaci na temelju kojih ih se može identificirati i dalje postoje. Pristup Općeg suda je pogrešan jer omogućuje da se pseudonimizirani podaci smatraju anonimiziranim podacima u odnosu na primatelja, što predstavlja opasnost za zaštitu ispitanikâ i dovodi do zamjene pseudonimizacije s anonimizacijom. Takav pristup, koji je protivan tekstu i cilju Uredbe 2018/1725, omogućio bi voditelju obrade da neopravdano ukloni osobne podatke iz područja primjene prava Unije u području zaštite takvih podataka.

45.

SRB i Komisija pak tvrde da pseudonimizirani podaci ostaju osobni podaci za voditelja obrade koji ih je pseudonimizirao, ali da za primatelje valja ispitati može li se utvrditi identitet ispitanikâ. Usto, iako se u članku 3. točki 1. Uredbe 2018/1725 ne pojašnjava tko treba moći identificirati ispitanika, u vezi s uvodnom izjavom 16. i u kontekstu članka 15. stavka 1. točke (d) te uredbe, o kojem je ovdje riječ, relevantno je gledište primatelja. Prema njihovu mišljenju, ako taj primatelj ne primi osobne podatke, ispitanici nemaju interes za to da ih se obavijesti o prijenosu podataka jer to ne utječe na njihova prava.

2)

Ocjena

46.

Najprije je korisno podsjetiti na to da je pesudonimizacija obrada koja se primjenjuje na osobne podatke kako bi se, u skladu s uvodnom izjavom 17. Uredbe 2018/1725, „smanji[li] rizi[ci]” povezivanja skupa podataka s identitetom ispitanika i „pomo[glo] voditeljima obrade i izvršiteljima obrade u ispunjavanju njihovih obveza u vezi sa zaštitom podataka”.

47.

U članku 3. točki 6. Uredbe 2018/1725 pseudonimizacija se tako definira kao „obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, [koje] se drže […] odvojeno te […] podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi” ( 20 ).

48.

Stoga pseudonimizacija nije element definicije osobnih podataka, koji se pak definiraju u članku 3. točki 1. Uredbe 2018/1725 s obzirom na pojam „mogućnost utvrđivanja identiteta” ispitanika. Uostalom, kao što je to Komisija navela u svojem intervencijskom podnesku, u toj se uredbi definira pojam „pesudonimizacija”, pri čemu se upućuje na postupak provedbe sigurnosne mjere ili tehničke i organizacijske mjere, a ne na pojam „pseudonimizirani podaci”.

49.

To tumačenje potvrđuje zajedničko tumačenje članka 3. točke 6. i uvodne izjave 16. navedene uredbe, u čijoj se prvoj rečenici podsjeća na to da bi se „načela zaštite podataka trebala […] primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi”.

50.

Usto, uvodnu izjavu 16. Uredbe 2018/1725 valja detaljnije analizirati ( 21 ). Naime, ona sadržava drugu rečenicu u kojoj se navodi da bi „[o]sobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati pojedincu uporabom dodatnih informacija, trebalo […] smatrati informacijama o pojedincu čiji se identitet može utvrditi”. Zatim slijede treća i četvrta rečenica u kojima se pojašnjava sadržaj tog zahtjeva u pogledu mogućnosti utvrđivanja identiteta.

51.

Iz teksta tih odredbi zaključujem da pseudonimizacija ostavlja mogućnost da se identitet ispitanikâ ne može utvrditi, inače tekst te uvodne izjave 16. ne bi imao svrhu. Dodajem da posljednje dvije rečenice navedene uvodne izjave koje se odnose na anonimizaciju potvrđuju to tumačenje: njima se anonimizirani podaci (ili podaci koji su učinjeni anonimnima) isključuju iz područja primjene Uredbe 2018/1725 ( 22 ), ali pseudonimizirani podaci iz tog se područja isključuju samo ako se identitet ispitanika ne može utvrditi. U slučaju da navedene osobe nije moguće identificirati, za njih se pravno smatra da ih postupak pseudonimizacije dovoljno štiti, neovisno o činjenici da dodatni identifikacijski podaci nisu bili u potpunosti izbrisani.

52.

Drugim riječima, nije riječ o tome da se pseudonimizirane podatke automatski izuzme iz područja primjene te uredbe ( 23 ). Međutim, s obzirom na uvodnu izjavu 16. te uredbe, ne može se isključiti da takvi podaci, u određenim uvjetima, mogu biti izvan pojma „osobni podaci”.

53.

Suprotno onomu što tvrdi EDPS, ne čini mi se da je takav pristup protivan cilju da se zajamči visoka razina zaštite osobnih podataka, osobito s obzirom na, s jedne strane, zahtjeve u pogledu mogućnosti utvrđivanja identiteta iz primjenjivih odredbi i, s druge strane, njihovo tumačenje u sudskoj praksi.

54.

Kao prvo, u uvodnoj izjavi 16. Uredbe 2018/1725 upućuje se na mogućnost da voditelj obrade „ili bilo koja druga osoba” utvrde identitet: to široko shvaćanje, iako nije neograničeno ( 24 ), dio je zaštitnog pristupa osobnim podacima.

55.

Isto tako, u toj se uvodnoj izjavi 16. predviđa da valja uzeti u obzir sredstva koja se po svemu sudeći mogu upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca, uzimajući u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj, što predstavlja široku definiciju osobnih podataka čiji je cilj njihova zaštita.

56.

Kao drugo, tumačenje u sudskoj praksi tog pojma „mogućnost utvrđivanja identiteta”, usmjerenog na rizik ponovne identifikacije ispitanikâ, omogućuje i široku primjenu pojma „osobni podaci”. Stoga je Sud sustavno kvalificirao „osobne podatke” kao podatke koji, iako su odvojeni od identifikacijskih podataka koji se nalaze u posjedu nekog drugog, u kontekstu o kojem je riječ mogu dovesti do rizika da će se ispitanike ponovno identificirati ( 25 ).

57.

Stoga se pravno može izbjeći da se podatak kvalificira kao „osobni podatak” samo ako je rizik identifikacije nepostojeći ili neznatan ( 26 ).

58.

Argumenti EDPS‑a i Europskog odbora za zaštitu podataka o opasnostima koje proizlaze iz preuskog tumačenja osobnih podataka ne čine mi se uvjerljivima. Naime, činjenica da se pravila koja proizlaze iz Uredbe 2018/1725 ne primjenjuju na podatke koji se odnose na osobe čiji se identitet ne može utvrditi ne sprečava da se utvrdi, ovisno o slučaju, pravna odgovornost subjekata koji su odgovorni za protupravna postupanja, primjerice u slučaju otkrivanja podataka koje uzrokuje štetu. Suprotno tomu, čini mi se neproporcionalnim da se subjektu koji ne može razumno identificirati ispitanike nalože obveze koje proizlaze iz Uredbe 2018/1725 ( 27 ), odnosno obveze koje to tijelo teoretski ne može poštovati ili koje ga obvezuju upravo da pokuša identificirati ispitanike.

59.

S obzirom na ta razmatranja, ako se spor analizira s obzirom na podatke koji su proslijeđeni društvu Deloitte, suprotno onomu što tvrdi EDPS, smatram da valja utvrditi je li pseudonimizacija podataka o kojoj je riječ bila dovoljno pouzdana kako bi se moglo zaključiti da se identitet podnositelja pritužbi, koji su autori informacija proslijeđenih društvu Deloitte, nije mogao razumno utvrditi. Drugim riječima, u tom kontekstu, ako je društvo Deloitte raspolagalo razumnim sredstvima za identifikaciju navedenih podnositelja pritužbi, moglo bi se smatrati da je obrađivalo osobne podatke.

60.

Stoga, prema mojem mišljenju, prvi prigovor koji je istaknuo EDPS treba odbiti.

b)

Drugi prigovor, koji se temelji na pogrešnoj usporedbi s presudom Breyer

1)

Argumentacija stranaka

61.

Prema EDPS‑ovu mišljenju, kojeg podupire Europski odbor za zaštitu podataka, pseudonimizirani podaci o kojima je riječ osobni su podaci za SRB i stoga se obveza pružanja informacija ispitanicima koju ima primatelj nalaže SRB‑u. EDPS u biti tvrdi da je Opći sud pogrešno tumačio presudu Breyer koja se odnosi na drukčiju činjeničnu situaciju.

62.

Suprotno tomu, prema SRB‑ovu mišljenju, kojeg podupire Komisija, usporedba s presudom Breyer je relevantna i dovodi do zaključka da se obveza pružanja informacija ne primjenjuje ako su preneseni podaci osobni podaci s gledišta primatelja, u ovom slučaju društva Deloitte, što se u ovom slučaju, kao što je to Opći sud pravilno utvrdio, nije dokazalo.

2)

Ocjena

63.

Smatram da obveza pružanja informacija, predviđena člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725, i sličnost s presudom Breyer u ovom slučaju dovode do drukčijeg rješenja od onog koje je utvrdio Opći sud, što ću iznijeti u okviru analize ovog prigovora.

64.

Člankom 4. stavkom 1. točkom (a) Uredbe 2018/1725 zahtijeva se zakonita, poštena i transparentna obrada podataka s obzirom na ispitanika.

65.

Konkretno, člankom 15. stavkom 1. točkom (d) te uredbe predviđa se da, ako se osobni podaci koji se odnose na ispitanika prikupljaju od tog ispitanika, voditelj obrade „u trenutku prikupljanja osobnih podataka” predmetnom ispitaniku pruža informacije o mogućim primateljima navedenih podataka. Stoga proizlazi da taj podatak voditelj obrade treba dati odmah, odnosno u trenutku prikupljanja podataka ( 28 ).

66.

Važnost poštovanja takve obveze obavješćivanja je potvrđena i uvodnom izjavom 35. Uredbe 2018/1725, u kojoj se navodi da se načelima poštene i transparentne obrade zahtijeva da je ispitanik informiran o postupku obrade i njegovim svrhama, pri čemu se naglašava da bi voditelj obrade trebao pružiti sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka ( 29 ).

67.

Takva obveza pružanja informacija tim je važnija jer valjanost privole koju je dao ispitanik ovisi, među ostalim, o tome je li ta osoba prethodno dobila informacije s obzirom na sve okolnosti obrade predmetnih podataka na koje je imala pravo na temelju članaka 14. i 15. Uredbe 2018/1725 i koje joj omogućuju davanje privole uz potpuno poznavanje činjenica ( 30 ).

68.

Dodajem da se jedina iznimka od te obveze pružanja informacija, predviđena člankom 15. stavkom 4. Uredbe 2018/1725, odnosi na slučaj kada ispitanik već raspolaže predmetnim informacijama.

69.

Iz toga zaključujem da je u ovom slučaju ta obveza pružanja informacija dio pravnog odnosa koji postoji među ispitanicima, u ovom slučaju, s jedne strane, podnositeljima pritužbi, i, s druge strane, SRB‑a kao voditelja obrade, a ne dio odnosa između SRB‑a i primatelja, odnosno društva Deloitte. Stoga se obveza pružanja informacija odnosi na podatke kakve je posjedovao SRB prije nego što ih je proslijedio društvu Deloitte. Međutim, nije sporno da je riječ o osobnim podacima jer SRB posjeduje očitovanja i osnovu za identifikaciju osoba koje su ih iznijele.

70.

Na temelju takvog pristupa „relevantnom gledištu” ( 31 ) dolazim do drukčijeg rješenja od onog Općeg suda, čak i u usporedbi s presudom Breyer.

71.

Podsjećam na to da je u sporu povodom kojeg je upućeno prethodno pitanje postavljeno u toj presudi P. Breyer želio zabraniti voditelju obrade (Saveznoj Republici Njemačkoj) da pohrani njegovu IP adresu. Dodatne informacije koje omogućuju njegovu identifikaciju s pomoću IP adrese povezane s njegovim računalom nisu bile u posjedu voditelja obrade, nego pružatelja internetskog pristupa. Stoga se postavilo pitanje može li se dinamična IP adresa koju posjeduje voditelj obrade kvalificirati kao „osobni podatak” i, prema tome, u okviru pravnog odnosa između P. Breyera i navedenog voditelja obrade, stvoriti tom voditelju obrade obveze pohranjivanja, čak i ako je elemente za identifikaciju P. Breyera posjedovala druga osoba, a ne voditelj obrade. U biti se presudilo da je voditelj obrade, iako nije posjedovao dodatne informacije za identifikaciju, mogao razumno pristupiti tim informacijama i dinamična IP adresa stoga se kvalificirala kao „osobni podatak”.

72.

U ovom slučaju, kao što se to prethodno navodi ( 32 ), obveza pružanja informacija dio je odnosa između ispitanika (podnositelji pritužbi) i voditelja obrade (SRB): obveza pružanja informacija nastaje kada SRB prikuplja podatke o kojima je riječ i, kad je konkretno riječ o informaciji o primatelju, najkasnije kada se sazna tko je taj primatelj. Naime, kada se taj trenutak utvrdi, predmetni podaci su osobni podaci koje ima SRB, koji posjeduje dodatne identifikacijske podatke. S obzirom na obvezu pružanja informacija o kojoj je riječ i s obzirom na trenutak u kojem se ona utvrđuje, predmetni podaci stoga su osobni podaci, neovisno o mogućnosti društva Deloitte da utvrdi identitet, koja nije obuhvaćena ni pravnim odnosom između podnositelja pritužbi i SRB‑a, koji je jedini relevantan, ni tom obvezom pružanja informacija koju ima SRB.

73.

Čini mi se da u ovom slučaju upravo u tom pogledu treba relativizirati sličnost s presudom Breyer.

74.

Iz toga slijedi da je obvezu pružanja informacija imao SRB kao voditelj obrade i zbog svojeg odnosa s podnositeljima pritužbi, od kojih je prikupio podatke o kojima je riječ, i to neovisno o tome jesu li podaci koji su proslijeđeni društvu Deloitte osobni.

75.

U skladu s tom logikom treba odbiti SRB‑ov argument, ponovljen na raspravi, prema kojem je primateljevo gledište relevantno jer je važno provjeriti je li on „primatelj osobnih podataka”.

76.

U tom je pogledu točno da tekst članka 15. stavka 1. točke (d) Uredbe 2018/1725 u kojem se navode „primatelj[i] […] osobnih podataka […]” može dovesti do zabune. Međutim, koristan učinak te odredbe zahtijeva da se informacija proslijedi ispitanicima što je prije moguće i prije navedenog prijenosa podataka ( 33 ). U ovom slučaju, čak i ako SRB tijekom prvotnog prikupljanja očitovanja nije namjeravao zatražiti mišljenje društva Deloitte kako bi saznao mijenjaju li ta očitovanja vrednovanje 3, iz sporne odluke pred Općim sudom proizlazi da je društvo Deloitte pomagalo SRB‑u u okviru postupka za ostvarenje prava na saslušanje ( 34 ). Usto, može se smatrati da je SRB‑ova namjera da društvu Deloitte priopći pseudonimizirane podatke postojala najkasnije u trenutku kada je odlučio razmotriti predmetna očitovanja upravo radi njihove pseudonimizacije ( 35 ), bez čega ona ne bi bila opravdana.

77.

Stoga smatram da nadzor poštovanja obveze pružanja informacija u trenutku kada je SRB proslijedio podatke društvu Deloitte, pri čemu je zauzeo gledište primatelja kako bi predmetne podatke kvalificirao kao osobne podatke ili kao podatke koji to nisu, dovodi do odgode navedenog nadzora. Taj bi se nadzor stoga pogrešno odgodio jer bi se proveo nad podacima koji su već proslijeđeni primatelju, iako se obveza pružanja informacija odnosi na odnos između SRB‑a i podnositeljâ pritužbi i omogućuje informiranu privolu tih podnositelja pritužbi prije prijenosa.

78.

Nadalje, kad je riječ o privoli podnositelja pritužbi, točno je da se njihovo sudjelovanje u postupku za ostvarenje prava na saslušanje može tumačiti kao prešutna privola za dijeljenje osobnih podataka s voditeljem obrade kako bi se njihova očitovanja uzela u obzir. Međutim, prema mojem mišljenju, to nije dovoljno da bi predstavljalo informiranu privolu na pseudonimizaciju podataka i njihov prijenos društvu Deloitte a da SRB prethodno ne proslijedi informacije u tom pogledu ( 36 ).

79.

Prema mojem mišljenju, iz toga proizlazi da se obveza pružanja informacija koju ima SRB u ovom slučaju primjenjivala prije prijenosa predmetnih podataka i neovisno o tome jesu li podaci koji su proslijeđeni društvu Deloitte osobni.

80.

Stoga mi se činjenica u pogledu toga je li pseudonimizacija dovoljno pouzdana i učinkovita da bi se moglo smatrati da su podaci koje posjeduje društvo Deloitte osobni u konačnici ne čini relevantnom s obzirom na obvezu pružanja informacija koju ima SRB.

81.

Slijedom toga, u ovom je slučaju trebalo poštovati obvezu pružanja informacija koju SRB ima kao voditelj obrade i stoga pobijanu presudu treba ukinuti zbog pogreške koja se tiče prava.

82.

Budući da stajalište primatelja podataka o kojima je riječ nije relevantno s obzirom na obvezu pružanja informacija predviđenu člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725, argumenti stranaka koji se odnose na mogućnost da društvo Deloitte pravnim i ostvarivim sredstvima identificira ispitanike su bespredmetni i stoga ih nije potrebno ispitati.

83.

Ako se Sud s tim ne složi, podredno ističem da EDPS u tom pogledu osporava utvrđenje Općeg suda prema kojem društvo Deloitte nije imalo pristup identifikacijskim podacima. Konkretno, oslanja se na podugovorni odnos koji je postojao između SRB‑a i društva Deloitte. SRB i Komisija tvrde da EDPS na taj način ističe nove činjenične tvrdnje koje su nedopuštene u fazi žalbe. Slažem se s tim mišljenjem. Naime, postojanje ugovornog odnosa između SRB‑a i društva Deloitte, koji bi dokazao mogućnost da društvo Deloitte od SRB‑a zatraži identifikaciju podnositelja pritužbi, predstavlja novu argumentaciju o kojoj Opći sud uostalom uopće nije odlučivao. Iz toga slijedi da tu argumentaciju, ovisno o slučaju, treba odbaciti kao nedopuštenu u skladu s člankom 170. stavkom 1. drugom rečenicom Poslovnika Suda, prema kojem žalba ne može izmijeniti predmet spora koji se vodio pred Općim sudom ( 37 ).

B.

Drugi žalbeni razlog, koji se ispituje podredno

84.

U okviru drugog žalbenog razloga, koji se temelji na povredi načela pouzdanosti iz članka 4. stavka 2. i članka 26. stavka 1. Uredbe 2018/1725, EDPS, kojeg podupire Europski odbor za zaštitu podataka, tvrdi da je Opći sud pogrešno utvrdio da je on dužan dokazati da informacije proslijeđene društvu Deloitte nisu osobni podaci, čime je povrijedio načelo SRB‑ove pouzdanosti.

85.

S obzirom na prethodno navedeno i osobito točke 81. i 82. ovog mišljenja, smatram da nije potrebno ispitati taj drugi žalbeni razlog.

86.

Stoga ću ga tek podredno ukratko razmotriti.

87.

Kad je riječ o dopuštenosti, koju SRB osporava, tog žalbenog razloga koji nije istaknut pred Općim sudom, podsjećam na to da je žalitelju dopušteno podnijeti žalbu u kojoj će istaknuti žalbene razloge koji proizlaze iz same pobijane presude i kojima je cilj osporiti njezinu pravnu osnovanost ( 38 ). Čini mi se da je to slučaj u ovom žalbenom razlogu, koji je stoga dopušten.

88.

Kad je riječ o meritumu, valja podsjetiti na to da je Opći sud presudio da, s obzirom na to da EDPS nije istražio je li društvo Deloitte raspolagalo pravnim i ostvarivim sredstvima koja mu omogućuju pristup dodatnim informacijama potrebnima za ponovnu identifikaciju podnositeljâ pritužbi, on nije mogao zaključiti da su informacije proslijeđene društvu Deloitte informacije koje se odnose na „pojedinca čiji se identitet može utvrditi” u smislu članka 3. točke 1. Uredbe 2018/1725.

89.

EDPS, kojeg podupire Europski odbor za zaštitu podataka, u biti tvrdi da je Opći sud trebao provjeriti je li SRB, koji je voditelj obrade, dokazao da je anonimizirao sporne podatke u odnosu na društvo Deloitte.

90.

SRB osporava tu argumentaciju i tvrdi da se načelo pouzdanosti primjenjuje samo kad je riječ o osobnim podacima i da su se u ovom slučaju podaci koje posjeduje društvo Deloitte anonimizirali.

91.

Komisija pak tvrdi da, kao prvo, EDPS snosi razuman teret dokazivanja kako bi dokazao, na temelju dostupnih dokaza, postojanje osobnih podataka. Kao drugo, zadaća je voditelja obrade podataka o kojem je riječ da osporava taj zaključak podnošenjem dodatnih elemenata.

92.

Podsjećam na to da na temelju članka 4. stavka 1. točke (a) Uredbe 2018/1725 osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika. Člankom 4. stavkom 2. te uredbe predviđa se da je „[v]oditelj obrade odgovoran […] za usklađenost sa stavkom 1. te je mora moći dokazati”. Stoga iz načela pouzdanosti, navedenog u članku 4. stavku 2. i pojašnjenog u članku 26. stavku 1. navedene uredbe, proizlazi da voditelj obrade mora moći dokazati da poštuje načela obrade osobnih podataka navedena u članku 4. stavku 1. ( 39 ).

93.

Budući da je voditelj obrade podnio dovoljno dokaza u tom smislu, može se smatrati da je ispunio obvezu koju ima u pogledu tereta dokazivanja ( 40 ).

94.

U ovom slučaju, čini mi se da je SRB naveo više činjeničnih elemenata (osobito postupke filtriranja, kategoriziranja i agregiranja očitovanja, koji su opisani u spornoj odluci i pobijanoj presudi) kako bi dokazao, u skladu s načelom pouzdanosti koje treba poštovati, da društvo Deloitte nije moglo identificirati ispitanike.

95.

U tom je pogledu EDPS pred Općim sudom zauzeo načelno stajalište koje se sastoji od toga da se zauzme SRB‑ovo gledište, a ne gledište društva Deloitte, i da se stoga očitovanja proslijeđena društvu Deloitte kvalificiraju kao „osobni podaci”.

96.

Ako se prizna da je za potrebe podrednog ispitivanja ovog žalbenog razloga u ovom slučaju relevantno gledište društva Deloitte ( 41 ), može se smatrati, kao što je to utvrdio Opći sud, da je na EDPS‑u da dokaže ( 42 ) zbog kojeg razloga, pravnog ili tehničkog, postupak pseudonimizacije koji je u ovom slučaju proveo SRB nije bio dovoljan i zašto je doveo do toga da se smatra da je društvo Deloitte obrađivalo osobne podatke.

97.

Stoga smatram da, ovisno o slučaju, valja potvrditi pobijanu presudu u dijelu u kojem se odnosi na taj drugi žalbeni razlog.

VII.

Tužba pred Općim sudom

98.

Na temelju članka 61. prvog stavka Statuta Suda Europske unije, ako je žalba osnovana, Sud ukida odluku Općeg suda. Može sam konačno odlučiti o sporu, ako stanje postupka to dopušta ili može vratiti predmet na odlučivanje Općem sudu.

99.

Prvi tužbeni razlog koji je SRB istaknuo protiv sporne odluke pred Općim sudom temelji se na povredi članka 3. točke 1. Uredbe 2018/1725. Stoga, prema mojem mišljenju, s obzirom na to da je SRB povrijedio obvezu pružanja informacija koju ima na temelju članka 15. stavka 1. točke (d) Uredbe 2018/1725, iz točaka 63. do 82. ovog mišljenja proizlazi da spornu odluku treba potvrditi.

100.

Suprotno tomu, čini mi se da stanje postupka ne dopušta da se odluči o drugom tužbenom razlogu, koji se temelji na EDPS‑ovoj povredi prava na dobru upravu u okviru postupka koji je doveo do donošenja sporne odluke.

101.

Naime, SRB konkretno tvrdi da je EDPS u okviru upravnog postupka koji je prethodio donošenju sporne odluke povrijedio njegovo pravo na pristup spisu, pravo na saslušanje i načelo ravnopravnosti stranaka jer mu je, s jedne strane, odbio pristup spisu i jer mu, s druge strane, nije proslijedio očitovanja podnositeljâ pritužbi ili njihov sadržaj.

102.

Međutim, Opći sud je smatrao, s obzirom na to da je prihvatio prvi tužbeni razlog, da nije potrebno ispitati drugi tužbeni razlog koji je pred njim istaknut. Slijedom toga, stanje postupka ne dopušta da se odluči o tom tužbenom razlogu, koji osobito uključuje činjenične ocjene. Stoga mi se čini da predmet treba vratiti Općem sudu kako bi on odlučio u tom pogledu, a o troškovima će se odlučiti naknadno.

VIII.

Zaključak

103.

S obzirom na prethodna razmatranja, predlažem Sudu da odluči kako slijedi:

–

ukine presudu Općeg suda Europske unije od 26. travnja 2023., SRB/EDPS (T‑557/20, EU:T:2023:219);

–

vrati predmet Općem sudu kako bi on odlučio o drugom tužbenom razlogu koji je pred njim istaknut;

–

odredi da će se o troškovima odlučiti naknadno.