I.

Įvadas

1.

Apeliaciniu skundu Europos duomenų apsaugos priežiūros pareigūnas (toliau – EDAPP) prašo panaikinti Europos Sąjungos Bendrojo Teismo 2023 m. balandžio 26 d. Sprendimą BPV / EDAPP (T‑557/20, EU:T:2023:219, toliau – skundžiamas sprendimas), kuriuo pastarasis panaikino peržiūrėtą EDAPP 2020 m. lapkričio 24 d. sprendimą (toliau – ginčijamas sprendimas) dėl penkių skundų, kuriuos pateikė akcininkai ir kreditoriai, paveikti Banco Popular Español SA (toliau – Banco Popular) pertvarkymo, skųsdamiesi, kad nebuvo informuoti apie jų asmens duomenų perdavimą.

2.

Nagrinėjama byla suteikia Teisingumo Teismui galimybę išaiškinti sąvoką „asmens duomenys“ ir iš jos kylančias pareigas, susijusias su duomenimis, kuriems suteikti pseudonimai, siekiant įvykdyti sąžiningo ir skaidraus duomenų tvarkymo pareigas.

II.

Teisinis pagrindas

3.

Pagrindinės šiame apeliaciniame procese svarbios Reglamento (ES) 2018/1725 ( 2 ) nuostatos išvardytos toliau.

4.

Šio reglamento 16 ir 17 konstatuojamosiose dalyse nurodyta:

5.

Minėto reglamento 3 straipsnio „Terminų apibrėžtys“ 1 ir 6 punktuose numatyta:

6.

Minėto reglamento 4 straipsnio „Su asmens duomenų tvarkymu susiję principai“ 1 dalies a punkte ir 2 dalyje nustatyta:

7.

Reglamento 2018/1725 15 straipsnio „Informacija, kuri turi būti pateikta, kai asmens duomenys renkami iš duomenų subjekto“ 1 dalies d punkte nustatyta:

III.

Faktinės aplinkybės

8.

2017 m. birželio 7 d. Bendroji pertvarkymo valdyba (toliau – BPV) priėmė Banco Popular pertvarkymo schemą, remdamasi 2014 m. liepos 15 d. Europos Parlamento ir Tarybos reglamentu (ES) Nr. 806/2014, kuriuo nustatomos kredito įstaigų ir tam tikrų investicinių įmonių pertvarkymo vienodos taisyklės ir vienoda procedūra, kiek tai susiję su bendru pertvarkymo mechanizmu ir Bendru pertvarkymo fondu, ir iš dalies keičiamas Reglamentas (ES) Nr. 1093/2010 ( 3 ), tą pačią dieną patvirtintu Europos Komisijos sprendimu ( 4 ), o tai praktiškai reiškia, kad banko kapitalo priemonės buvo nurašytos arba konvertuotos ir perleistos perduodant akcijas.

9.

Vadovaudamasi Reglamento Nr. 806/2014 20 straipsnio 16–18 dalimis, BPV pavedė bendrovei Deloitte, kaip „nepriklausomam asmeniui“ ( 5 ), atlikti skirtingų sąlygų vertinimą siekiant nustatyti, ar akcininkams ir kreditoriams, tokiu būdu patyrusiems pertvarkymo poveikį, būtų buvusios sudarytos geresnės sąlygos, jei šiai įstaigai būtų buvusi iškelta įprastinė bankroto byla.

10.

2018 m. birželio 14 d. bendrovė Deloitte pateikė šį skirtingų sąlygų vertinimą (toliau – vertinimas 3) BPV. Preliminariame sprendime BPV nurodė, kad, siekdama priimti galutinį sprendimą dėl to, ar būtina skirti akcininkams ir kreditoriams, kuriuos paveikė Banco Popular pertvarkymas, kompensacijas pagal Reglamento Nr. 806/2014 76 straipsnio 1 dalies e punktą, ji pradeda procedūrą dėl teisės būti išklausytam, apimančią pirmąjį registracijos etapą, kurio metu tikrinama, ar suinteresuotumą pareiškusios šalys atitinka reikalavimus, ir antrąjį konsultacijų etapą, kurio metu nukentėję akcininkai ir kreditoriai pateikė savo pastabas dėl preliminaraus BPV sprendimo, prie kurio buvo pridėtas vertinimas 3.

11.

Prieigą prie registracijos etape surinktų duomenų, t. y. dalyvių tapatybės ir Banco Popular nurašytų arba konvertuotų ir perleistų kapitalo priemonių nuosavybės įrodymų, turėjo ribotas skaičius BPV darbuotojų, atsakingų už šių duomenų tvarkymą nustatant dalyvių atitiktį reikalavimams. Šių duomenų negalėjo matyti BPV darbuotojai, atsakingi už konsultacijų etape gautų komentarų tvarkymą; vykstant šiam etapui, jie gaudavo tik tuos komentarus, kurie buvo identifikuojami pagal raidinį skaitmeninį kodą ( 6 ), priskirtą kiekvienam komentarui, pateiktam naudojant formą.

12.

Apibendrinusi, automatiškai išfiltravusi ir suskirsčiusi komentarus, BPV perdavė Deloitte ( 7 ) tokiu būdu išfiltruotus, suskirstytus ir apibendrintus komentarus, susijusius su vertinimu 3. Deloitte buvo perduoti tik su konsultacijų etapu susiję komentarai, kuriems buvo priskirtas raidinis skaitmeninis kodas, sukurtas audito tikslais, kad BPV galėtų patikrinti ir retrospektyviai įrodyti, kad kiekvienas komentaras buvo apdorotas ir į jį buvo tinkamai atsižvelgta. Naudodamasi šiuo kodu BPV vienintelė galėjo susieti komentarus su registracijos etape gautais duomenimis. Deloitte neturėjo ir vis dar neturi prieigos prie duomenų, surinktų registracijos etape, bazės.

13.

Nukentėję akcininkai ir kreditoriai (toliau – pareiškėjai) pagal Reglamentą 2018/1725 pateikė EDAPP penkis skundus, motyvuodami tuo, kad BPV paskelbtame privatumo pareiškime dėl asmens duomenų tvarkymo nebuvo užsiminta apie užpildžius formą surinktų duomenų perdavimą bendrovei Deloitte. Jie teigia, kad BPV pažeidė minėto reglamento 15 straipsnio 1 dalies d punkte numatytą pareigą pateikti informaciją, susijusią su asmens duomenų tvarkymu pagal šį reglamentą.

14.

2020 m. birželio 24 d. EDAPP priėmė pirminį sprendimą, kuris, BPV pateikus prašymą jį persvarstyti, buvo panaikintas ir 2020 m. lapkričio 24 d. pakeistas ginčijamu sprendimu, kuris suformuluotas taip:

IV.

Skundžiamas sprendimas

15.

2020 m. rugsėjo 1 d. Bendrojo Teismo kanceliarijai pateiktu ieškiniu ir 2021 m. sausio 29 d. pateiktu patikslinamuoju raštu BPV pareiškė ieškinį, kuriuo paprašė, pirma, panaikinti ginčijamą sprendimą ir, antra, pripažinti EDAPP 2020 m. birželio 24 d. pirminį sprendimą neteisėtu.

16.

Grįsdama pirmąjį reikalavimą ( 8 ) BPV nurodė du ieškinio pagrindus. Ieškinio pirmasis pagrindas buvo grindžiamas Reglamento 2018/1725 3 straipsnio 1 dalies pažeidimu, nes Deloitte atsiųsta informacija nebuvo asmens duomenys, o antrasis ieškinio pagrindas – Europos Sąjungos pagrindinių teisių chartijos 41 straipsnyje įtvirtintos teisės į gerą administravimą pažeidimu.

17.

Skundžiamu sprendimu Bendrasis Teismas pripažino šį reikalavimą priimtinu. Spręsdamas dėl bylos esmės, jis patenkino ieškinio pirmąjį pagrindą ir panaikino ginčijamą sprendimą, o ieškinio antrojo pagrindo nenagrinėjo.

18.

Dėl pirmojo pagrindo Bendrasis Teismas pirmiausia nusprendė, kad EDAPP nutarė, jog Deloitte siųsta informacija yra „susijusi“ su fiziniu asmeniu, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 dalį, remdamasis tam tikra prielaida ir neišnagrinėjęs nei Deloitte siųstos informacijos turinio, nei jos tikslo ar poveikio ( 9 ), taip pažeisdamas Sprendimą Nowak ( 10 ).

19.

Antra, dėl Reglamento 2018/1725 3 straipsnio 1 dalyje numatytos sąlygos, kad informacija turi būti susijusi su fiziniu asmeniu, kurio „tapatybė nustatyta arba kurio tapatybę galima nustatyti“, Bendrasis Teismas nurodė, kad nagrinėjamu atveju EDAPP turėjo apsvarstyti, ar bendrovei Deloitte atsiųstos pastabos yra asmens duomenys Deloitte atžvilgiu. Skundžiamame sprendime nurodyta, kad EDAPP tiktai išnagrinėjo BPV, o ne Deloitte galimybę iš naujo nustatyti komentarus pateikusių asmenų tapatybę. Vadinasi, kadangi EDAPP nepatikrino, ar Deloitte turėjo teisėtų ir praktiškai įgyvendinamų priemonių, leidžiančių jai susipažinti su papildoma informacija, būtina komentarų autorių tapatybei nustatyti, jis negalėjo daryti išvados, kad Deloitte perduota informacija yra informacija, susijusi su „fiziniu asmeniu, kurio tapatybę galima nustatyti“, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 punktą ( 11 ).

V.

Procesas Teisingumo Teisme ir šalių reikalavimai

20.

2023 m. liepos 5 d. Teisingumo Teismo kanceliarija gavo EDAPP pateiktą apeliacinį skundą dėl skundžiamo sprendimo. 2023 m. lapkričio 29 d. Teisingumo Teismo pirmininko nutartimi ( 12 ) Europos duomenų apsaugos valdybai buvo leista įstoti į bylą palaikyti EDAPP reikalavimų, o 2023 m. spalio 20 d. sprendimu Europos Komisijai buvo leista įstoti į bylą palaikyti BPV.

21.

EDAPP Teisingumo Teismo prašo:

–

panaikinti skundžiamą sprendimą;

–

priimti galutinį sprendimą dėl ginčo;

–

priteisti iš BPV bylinėjimosi išlaidas, patirtas vykstant apeliaciniam procesui ir procesui Bendrajame Teisme.

22.

Europos duomenų apsaugos valdyba, įstojusi į bylą palaikyti EDAPP reikalavimų, Teisingumo Teismo prašo:

–

panaikinti skundžiamą sprendimą;

–

priimti galutinį sprendimą dėl ginčo ir panaikinti ginčijamą sprendimą,

23.

BPV Teisingumo Teismo prašo:

–

atmesti apeliacinį skundą;

–

nepatenkinus pirmojo reikalavimo, panaikinti ginčijamą sprendimą,

–

nepatenkinus ir šio reikalavimo, grąžinti bylą Bendrajam Teismui nagrinėti iš naujo ir

–

priteisti iš EDAPP bylinėjimosi išlaidas, patirtas vykstant apeliaciniam procesui ir procesui Bendrajame Teisme.

24.

Europos Komisija, palaikanti BPV, prašo Teisingumo Teismo:

–

atmesti apeliacinį skundą;

–

priteisti iš EDAPP bylinėjimosi išlaidas.

VI.

Dėl apeliacinio skundo

25.

Grįsdamas savo apeliacinį skundą EDAPP, palaikomas Europos duomenų apsaugos valdybos, remiasi dviem pagrindais. Pirmuoju siekiama užginčyti Bendrojo Teismo pateiktą sąvokos „asmens duomenys“, kaip ji suprantama pagal Reglamento 2018/1725 3 straipsnio 1 ir 6 dalis, aiškinimą, kaip jis išaiškintas Teisingumo Teismo jurisprudencijoje. Antrasis pagrindas grindžiamas šio reglamento 4 straipsnio 2 dalyje ir 26 straipsnio 1 dalyje įvardyto atskaitomybės principo pažeidimu.

A.

Dėl apeliacinio skundo pirmojo pagrindo

26.

Pirmąjį pagrindą sudaro dvi dalys. Pirmoji dalis susijusi su sąlyga, kad ginčijama informacija turi būti „apie“ fizinį asmenį, o antroji – su sąlyga, kad tas asmuo būtų asmuo, „kurio tapatybę tiesiogiai arba netiesiogiai galima nustatyti“.

1.

Dėl pirmos dalies, susijusios su klausimu, ar informacija yra „apie“ fizinį asmenį

a)

Šalių argumentai

27.

EDAPP, kurį palaiko Europos duomenų apsaugos valdyba, teigia, kad Bendrasis Teismas suklydo nusprendęs, jog EDAPP rėmėsi prielaida dėl sąlygos, kad įmonei Deloitte išsiųsta informacija buvo informacija apie fizinį asmenį, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 dalį, išaiškinimu. Jo nuomone, atsižvelgiant į nagrinėjamos bylos aplinkybes, išsamesnis nagrinėjimas buvo nereikalingas.

28.

BPV teigia, kad, kaip nusprendė Bendrasis Teismas, EDAPP apsiribojo teiginiu, kad ginčijami komentarai, kuriuos pareiškėjai pateikė teisės būti išklausytam procedūros konsultacijų etape, atspindi jų nuomones ar požiūrius, nors jis turėjo išnagrinėti, ar įmonei Deloitte išsiųsta informacija buvo savo turiniu, tikslu ar poveikiu susijusi su konkrečiu asmeniu, kaip reikalaujama Sprendime Nowak.

b)

Vertinimas

29.

Reikia priminti, kad Teisingumo Teismas ne kartą yra nusprendęs, jog sąvokos „asmens duomenys“ apibrėžtyje vartojamas posakis „bet kokia informacija“ atspindi Sąjungos teisės aktų leidėjo tikslą šiai sąvokai, kuri potencialiai apima bet kokios rūšies informaciją ( 13 ), suteikti plačią reikšmę: tiek objektyvią, tiek subjektyvią, nuomonių ar vertinimų pavidalo, bet su sąlyga, kad tai būtų informacija „apie“ duomenų subjektą.

30.

Šiuo klausimu reikia pasakyti, kad informacija apie fizinį asmenį, kurio tapatybė nustatyta arba kurio tapatybę galima nustatyti, yra tokia informacija, kuri, dėl savo turinio, tikslo ar poveikio, yra „susijusi“ su konkrečiu asmeniu ( 14 ).

31.

Kalbant apie nuomones ar vertinimus, tokius kaip šioje byloje nagrinėjami pareiškėjų komentarai, man atrodo, reikėtų juos suskirstyti pagal tai, ar minėtos nuomonės ar vertinimai „susiję“ su asmeniu ar asmenimis, nurodytais nuomonės ar vertinimo tekste, ar, kaip nagrinėjamu atveju, jie susiję su jų autoriumi. Pirmuoju atveju, siekiant padaryti išvadą, kad yra informacijos, susijusios su asmeniu, kuris yra vertinimo objektas, reikia išnagrinėti, ar vertinimo turinys, tikslas ar poveikis yra susiję su šiuo asmeniu. Kita vertus, antruoju atveju, siekiant nustatyti, ar vertinimas yra susijęs su jį pateikusiu asmeniu, mano požiūriu, būtų galima daryti prielaidą, kad taip ir yra ir kad nuomonė ar vertinimas būtinai yra susijęs su jų autoriumi.

32.

Panašiai Sprendime Nowak iš esmės reikėjo įvertinti egzamino darbo kopijoje pateiktą informaciją. Taigi toje byloje buvo svarbūs du asmenys: egzaminuojamasis ir egzaminuotojas. Tiesa, kad Teisingumo Teismas išnagrinėjo egzaminuojamojo atsakymų turinį, tikslą ir poveikį, kad padarytų išvadą, jog jie buvo su juo susiję. Atsižvelgiant į tai, konkrečiau kalbant apie egzaminuotojo pastabas, kuriose atsispindi jo nuomonė arba vertinimas ( 15 ), nors Teisingumo Teismas išnagrinėjo egzamino darbo kopijoje esančios informacijos turinį, tikslą ir poveikį, kad galėtų padaryti išvadą, jog šie vertinimai buvo susiję su kandidatu, jie neatliko tokio tyrimo, kad galėtų nuspręsti, jog tai buvo informacija, susijusi su egzaminuotoju, kuris pats ją parengė ( 16 ). Mano požiūriu, negalima visiškai atmesti galimybės, kad (paprasta) prezumpcija gali būti taikoma siekiant įvertinti, ar nuomonė, vertinimas arba, kaip šiuo atveju, komentaras, „yra susiję“ su savo autoriumi.

33.

Darau išvadą, kad, jei nėra priešingų įrodymų, kadangi šioje byloje nagrinėjami komentarai yra suformuluoti pareiškėjų ir parodo „jų logiką bei samprotavimus“, taigi yra jų „subjektyvios nuomonės“ išraiška, būtinai „buvo susiję“ su minėtais pareiškėjais, neatsižvelgiant į jų komentarų tikslą ar poveikį.

34.

Bet kuriuo atveju, nors šioje byloje tokia prezumpcija neegzistuoja, laikausi nuomonės, kad aptariami komentarai „yra susiję“ su pareiškėjais dėl savo turinio, tikslo ir poveikio.

35.

Šiuo klausimu BPV teigia, kad argumentai, grindžiami nagrinėjamų komentarų tikslu ir kontekstu, yra neaktualūs, nes jie nebuvo išnagrinėti ginčijamame sprendime, nepriimtini, nes juose pateikiami nauji faktiniai teiginiai, ir, bet kuriuo atveju, klaidingi.

36.

Šis argumentas manęs neįtikina. Iš tikrųjų tiek EDAPP ginčijamame sprendime atliktas tyrimas, tiek Bendrojo Teismo atliktas vertinimas yra teisinio konteksto, į kurį buvo atsižvelgta ir kuriame aiškiai paminėtas nagrinėjamų komentarų, pateiktų vykdant procedūrą, susijusią su teise būti išklausytam, tikslas ir poveikis, dalis. Taigi šie argumentai, susiję su ginčijamų komentarų tikslu ir poveikiu, yra aktualūs ir priimtini.

37.

Be to, kalbant apie bylos esmę, iš taikytinos teisės sistemos matyti, kad vykstant procedūrai, susijusiai su teise būti išklausytam, per kurią buvo pateikti nagrinėjami komentarai, siekta leisti poveikį patyrusiems akcininkams ir kreditoriams prisidėti prie šios procedūros, be kita ko, tam, kad BPV turėtų visą informaciją, reikalingą galutiniam sprendimui dėl žalos atlyginimo ar neatlyginimo Banco Popular pertvarkymo poveikį patyrusiems akcininkams ir kreditoriams priimti, laikantis principo, kad nė vienam kreditoriui neturėtų būti taikomos blogesnės sąlygos nei tuo atveju, jei jis būtų likviduotas pagal įprastą bankroto procedūrą ( 17 ). Be to, tikėtina, kad šie komentarai, į kuriuos atsižvelgė BPV, turėjo įtakos pareiškėjų interesams ir teisėms, susijusioms su finansine kompensacija.

38.

Iš to darau išvadą, kad šioje byloje nagrinėjamos pastabos yra susijusios, be kita ko, dėl jų tikslo ir poveikio, su duomenų subjektais.

39.

Norėčiau pridurti, kad, žinoma, nagrinėjami komentarai, kurie buvo perduoti Deloitte, buvo „filtruoti, suskirstyti į kategorijas ir apibendrinti“, todėl, kaip matyti iš Bendrojo Teismo nustatytų faktinių aplinkybių ( 18 ), atskirų komentarų ta pačia tema nebuvo galima atskirti; vis dėlto, galima daryti prielaidą, kad, net apibendrinti, šie kolektyviniai komentarai savo turiniu atspindi asmeninį požiūrį į vertinimą 3. Iš tikrųjų jie yra visuma nuomonių, kurios, kaip tokios, yra informacija, susijusi su nuomones pareiškusiais asmenimis. Jų filtravimas, suskirstymas į kategorijas ir apibendrinimas nekeičia šios išvados, nes priešingu atveju, siekiant išvengti sąlygos, kad informacija būtų laikoma informacija „apie“ fizinį asmenį, pakaktų apibendrinti kelis požiūrius. Aplinkybė, kad šioje komentarų visumoje neįmanoma išskirti skirtingų individualių nuomonių, man atrodo, veikiau priskirtina prie antrosios kumuliacinės sąlygos, susijusios su galimybe nustatyti duomenų subjektų tapatybę, nagrinėjamos šio pagrindo antroje dalyje, o ne prie sąlygos, kuri reiškia, kad komentaras yra „susijęs“ su fiziniu asmeniu.

40.

Šiomis aplinkybėmis laikausi nuomonės, kad Bendrojo Teismo vertinimą šiuo klausimu galima laikyti klaidingu dėl teisės klaidos, nes jis nusprendė, kad EDAPP neatliko Sprendimo Nowak reikalaujamo tyrimo, kad būtų galima daryti išvadą, jog nagrinėjami komentarai „buvo susiję“ su fiziniais asmenimis, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 dalį.

41.

Jeigu Teisingumo Teismas atmestų šį pirmąjį pagrindą ir nuspręstų, kad nagrinėjami komentarai, kuriems suteikti pseudonimai, nėra susiję su jų autoriais, būtų nereikalinga nagrinėti antrąjį pagrindą, nes pagal Reglamento 2018/1725 3 straipsnio 1 dalį tai yra būtina asmens duomenų buvimo sąlyga, siejama su toliau nagrinėjama duomenų subjektų tapatybės nustatymo sąlyga.

2.

Dėl antros dalies, susijusios su duomenų subjektų asmens tapatybės nustatymo sąlyga

42.

EDAPP ir Europos duomenų apsaugos valdyba iš esmės teigia, kad Bendrasis Teismas padarė dvi klaidas: pirmąją – dėl sąvokos „pseudonimų suteikimas“, antrąją – dėl Sprendimo Breyer  ( 19 ) aiškinimo, su kuo BPV ir Komisija nesutinka.

a)

Dėl pirmojo prieštaravimo, grindžiamo klaida dėl pseudonimų suteikimo poveikio

43.

Šis prieštaravimas rodo, kad egzistuoja du labai skirtingi požiūriai į duomenų apsaugos taisyklių taikymo sritį. Ar duomenys, kuriems suteikti pseudonimai, turėtų būti automatiškai patekti į šią sritį vien dėl to, kad išlieka galimybė nustatyti duomenų subjektų tapatybę, neatsižvelgiant į galimybę gauti papildomus tapatybės nustatymo duomenis, ar turėtų būti laikoma, kad po pseudonimų suteikimo duomenys laikomi asmens duomenimis tik tų asmenų, kurie gali pagrįstai nustatyti duomenų subjektų tapatybę, atžvilgiu?

1)

Šalių argumentai

44.

EDAPP ir Europos duomenų apsaugos valdyba iš esmės tvirtina, kad duomenys, kuriems suteikti pseudonimai, lieka asmens duomenimis vien dėl to, kad vis dar galima nustatyti duomenų subjektų tapatybę, nes informacija, reikalinga jų asmens tapatybei nustatyti, išlieka. Bendrojo Teismo požiūris yra klaidingas, nes juo remiantis būtų galima duomenis, kuriems suteikti pseudonimai, laikyti gavėjo atžvilgiu nuasmenintais duomenimis, o tai sukeltų pavojų duomenų subjektų apsaugai ir lemtų pseudonimų suteikimo ir nuasmeninimo painiojimą. Toks Reglamento 2018/1725 tekstui ir tikslui prieštaraujantis požiūris duomenų valdytojui leistų nepagrįstai netaikyti asmens duomenims Sąjungos teisės aktų dėl tokių duomenų apsaugos.

45.

BPV ir Komisija tvirtina, kad duomenys, kuriems suteikti pseudonimai, lieka asmens duomenimis duomenų valdytojo, kuris suteikė jiems pseudonimą, atžvilgiu, bet duomenų gavėjų atveju būtina išnagrinėti, ar galima nustatyti duomenų subjektų tapatybę. Be to, net jei Reglamento 2018/1725 3 straipsnio 1 dalyje nenurodyta, kas turi turėti galimybę nustatyti duomenų subjekto tapatybę, atsižvelgiant į šio reglamento 16 konstatuojamąją dalį ir šioje byloje nagrinėjamo 15 straipsnio 1 dalies d punkto kontekstą, svarbi yra duomenų gavėjo situacija. Jų nuomone, jei šis gavėjas negauna asmens duomenų, duomenų subjektai nėra suinteresuoti būti informuojami apie duomenų perdavimą, nes tai nedaro poveikio jų teisėms.

2)

Vertinimas

46.

Pirmiausia verta priminti, kad pseudonimų suteikimas – tai asmens duomenų tvarkymas siekiant, kaip numatyta Reglamento 2018/1725 17 konstatuojamojoje dalyje, „sumažinti pavojus“, kad duomenų rinkinys bus susietas su duomenų subjekto tapatybe, bei „padėti duomenų valdytojams ir duomenų tvarkytojams įvykdyti savo duomenų apsaugos prievoles“.

47.

Reglamento 2018/1725 3 straipsnio 6 punkte „pseudonimų suteikimas“ apibrėžiamas kaip „asmens duomenų tvarkymas taip, kad asmens duomenys nebegalėtų būti priskirti konkrečiam duomenų subjektui nesinaudojant papildoma informacija, jeigu tokia papildoma informacija yra saugoma atskirai ir jos atžvilgiu taikomos techninės bei organizacinės priemonės siekiant užtikrinti asmens duomenų nepriskyrimą fiziniam asmeniui, kurio tapatybė yra nustatyta arba kurio tapatybę galima nustatyti“ ( 20 ).

48.

Taigi pseudonimų suteikimas nėra asmens duomenų, kurie Reglamento 2018/1725 3 straipsnio 1 dalyje apibrėžti atsižvelgiant į duomenų subjekto tapatybės „nustatomumo“ sąvoką, apibrėžties elementas. Be to, kaip Komisija nurodė savo įstojimo į bylą pareiškime, šiame reglamente apibrėžiama sąvoka „pseudonimų suteikimas“, taip darant nuorodą į apsaugos priemonės arba techninės ir organizacinės priemonės įdiegimo procesą, bet ne į sąvoką „duomenys, kuriems suteikti pseudonimai“.

49.

Tokį aiškinimą patvirtina bendras to paties reglamento 3 straipsnio 6 dalies ir 16 konstatuojamosios dalies, kurios pirmame sakinyje teigiama, kad „duomenų apsaugos principai turėtų būti taikomi bet kokiai informacijai apie fizinį asmenį, kurio asmens tapatybė yra nustatyta arba gali būti nustatyta“, supratimas.

50.

Be to, Reglamento 2018/1725 16 konstatuojamoji dalis nusipelno būti išnagrinėta nuodugniau ( 21 ). Jos antrame sakinyje nurodyta, kad „[a]smens duomenys, kuriems suteikti pseudonimai ir kurie galėtų būti priskirti fiziniam asmeniui, pasinaudojus papildoma informacija, turėtų būti laikomi informacija apie fizinį asmenį, kurio tapatybė gali būti nustatyta“. Paskesniuose trečiajame ir ketvirtajame sakiniuose tiksliau aprašomas šio tapatybės nustatomumo reikalavimo turinys.

51.

Iš šių nuostatų formuluočių darau išvadą, kad suteikus pseudonimus paliekama galimybė, jog duomenų subjektų tapatybės gali būti neįmanoma nustatyti, nes priešingu atveju šios 16 konstatuojamosios dalies formuluotė būtų neprasminga. Pridursiu, kad šis išaiškinimas patvirtintas minėtos konstatuojamosios dalies, susijusios su nuasmeninimu, paskutiniuose sakiniuose: pagal juos nuasmeninti duomenys nepatenka į Reglamento 2018/1725  ( 22 ) taikymo sritį, bet duomenys, kuriems suteikti pseudonimai, į ją nepatenka tik tuo atveju, jei negalima nustatyti duomenų subjektų tapatybės. Jeigu minėtų asmenų tapatybės nustatyti neįmanoma, laikoma, kad jie yra pakankamai teisiškai apsaugoti suteikiant pseudonimus, nepaisant to, kad papildomi identifikavimo duomenys nebuvo visiškai ištrinti.

52.

Kitaip sakant, tai nereiškia, kad duomenys, kuriems suteikti pseudonimai, turi būti automatiškai pašalinti iš šio reglamento taikymo srities ( 23 ). Vis dėlto, atsižvelgiant į jo 16 konstatuojamąją dalį, negalima atmesti galimybės, kad tam tikromis sąlygomis tokie duomenys gali nepatekti į sąvokos „asmens duomenys“ taikymo sritį.

53.

Priešingai nei teigia EDAPP, man neatrodo, kad toks požiūris prieštarautų tikslui užtikrinti aukštą asmens duomenų apsaugos lygį, atsižvelgiant, pirma, į taikytinose nuostatose išdėstytus tapatybės nustatomumo reikalavimus ir, antra, į jų aiškinimą jurisprudencijoje.

54.

Pirma, Reglamento 2018/1725 16 konstatuojamojoje dalyje remiamasi duomenų tvarkytojo „ar kito asmens“ galimybe nustatyti asmens tapatybę: ši plati samprata, nors ir nėra neribota ( 24 ), atitinka į asmens duomenų apsaugą orientuotą požiūrį.

55.

Panašiai 16 konstatuojamojoje dalyje numatoma, kad turėtų būti atsižvelgiama į priemones, kurias asmens tapatybei tiesiogiai ar netiesiogiai nustatyti, pagrįstai tikėtina, galėtų naudoti duomenų valdytojas ar kitas asmuo, atsižvelgiant į visus objektyvius veiksnius, kaip antai sąnaudas ir laiko trukmę, kurių prireiktų tapatybei nustatyti, turint omenyje duomenų tvarkymo metu turimas technologijas bei technologinę plėtrą, ir tai yra plati asmens duomenų apibrėžtis, orientuota į didesnę jų apsaugą.

56.

Antra, šios „tapatybės nustatomumo“ sąvokos aiškinimas jurisprudencijoje, kurioje daugiausia dėmesio skiriama duomenų subjektų pakartotinio tapatybės nustatymo rizikai, taip pat yra pagrindas plačiai taikyti sąvoką „asmens duomenys“. Taigi Teisingumo Teismas sistemingai prie „asmens duomenų“ priskyrė duomenis, kurie, nors ir atskirti nuo tapatybės duomenų, kuriuos turi kitas asmuo, nagrinėjamomis aplinkybėmis gali kelti pavojų, kad duomenų subjektų tapatybė bus nustatyta pakartotinai ( 25 ).

57.

Taigi tik tuo atveju, jei identifikavimo rizika neegzistuoja arba yra nereikšminga ( 26 ), duomenys teisiškai gali būti nekvalifikuojami „asmens duomenimis“.

58.

Manęs neįtikina EDAPP ir Europos duomenų apsaugos valdybos argumentai dėl pavojų, kylančių dėl pernelyg griežto asmens duomenų aiškinimo. Iš tikrųjų tai, kad iš Reglamento 2018/1725 kylančios taisyklės netaikomos duomenims, susijusiems su asmenimis, kurių tapatybės negalima nustatyti, prireikus neužkirstų kelio subjektų, kurie yra smerktino elgesio šaltinis, teisinei atsakomybei, pavyzdžiui, tuo atveju, kai, atskleidus duomenis, padaroma žala. Kita vertus, man atrodo neproporcinga subjektui, kuris negalėjo pagrįstai nustatyti duomenų subjektų tapatybės, nustatyti iš Reglamento 2018/1725 ( 27 ) kylančius įpareigojimus, kurių šis subjektas hipotetiškai negalėtų įvykdyti arba dėl kurių jis turėtų būtent bandyti nustatyti duomenų subjektus.

59.

Atsižvelgdamas į šias aplinkybes, jei ginčas analizuojamas atsižvelgiant į tokius duomenis, kurie buvo perduoti Deloitte, manau, kad, priešingai nei teigia EDAPP, reikėjo nustatyti, ar pseudonimų suteikimo aptariamiems duomenims tvarkymas buvo pakankamai patikimas, kad būtų galima daryti išvadą, jog pareiškėjai, Deloitte perduotos informacijos autoriai, negalėjo būti pagrįstai identifikuojami. Kitaip tariant, šiomis aplinkybėmis, jei Deloitte turėjo pagrįstų priemonių nustatyti minėtų pareiškėjų tapatybę, būtų galima laikyti, kad ji tvarko asmens duomenis.

60.

Taigi, mano nuomone, pirmas EDAPP pateiktas prieštaravimas turėtų būti atmestas.

b)

Dėl antrojo prieštaravimo, grindžiamo klaida, padaryta lyginant nagrinėjamą situaciją su Sprendimu Breyer

1)

Šalių argumentai

61.

Pasak EDAPP, kurį palaiko Europos duomenų apsaugos valdyba, duomenys, kuriems suteikti pseudonimai, BPV atžvilgiu yra asmens duomenys, todėl BPV turėjo pareigą pateikti duomenų subjektams informaciją apie duomenų gavėją. Jis iš esmės teigia, kad Bendrasis Teismas neteisingai išaiškino Sprendimą Breyer, kuris susijęs su kitokia faktine situacija.

62.

BPV, palaikoma Komisijos, atvirkščiai, teigia, kad palyginimas su Sprendimu Breyer yra tinkamas ir juo remiantis galima daryti išvadą, jog pareiga pateikti informaciją taikoma tik tuo atveju, jei perduodami duomenys yra asmens duomenys gavėjo, šiuo atveju – Deloitte, požiūriu, o tai, kaip teisingai nusprendė Bendrasis Teismas, šioje byloje nebuvo įrodyta.

2)

Vertinimas

63.

Laikausi nuomonės, kad, dėl Reglamento 2018/1725 15 straipsnio 1 dalies d punkte nustatytos pareigos pateikti informaciją ir dėl paralelės su Sprendime Breyer nagrinėtu atveju, šioje byloje reikėtų rinktis kitokį sprendimą nei pasirinko Bendrasis Teismas, kurį nurodysiu nagrinėdamas šį prieštaravimą.

64.

Reglamento 2018/1725 4 straipsnio 1 dalies a punkte nustatytas reikalavimas teisėtai, sąžiningai ir skaidriai tvarkyti duomenis duomenų subjekto atžvilgiu.

65.

Konkrečiai šio reglamento 15 straipsnio 1 dalies d punkte numatyta, kad tais atvejais, kai su duomenų subjektu susiję asmens duomenys renkami iš šio asmens, duomenų valdytojas „tuo metu, kai atitinkami duomenys gaunami“, informuoja duomenų subjektus apie galimus minėtų duomenų gavėjus. Taigi atrodo, kad šią informaciją duomenų valdytojas turi pateikti nedelsdamas, t. y. duomenų rinkimo momentu ( 28 ).

66.

Pareigos pateikti informaciją laikymosi svarba taip pat patvirtinta Reglamento 2018/1725 35 konstatuojamojoje dalyje, kurioje nurodyta, jog pagal sąžiningo ir skaidraus duomenų tvarkymo principus duomenų subjektui pranešama apie vykdomą duomenų tvarkymo operaciją ir jos tikslus, ir pabrėžiama, jog duomenų valdytojas turėtų pateikti duomenų subjektui visą papildomą informaciją, kuri būtina tam, kad būtų užtikrintas sąžiningas ir skaidrus duomenų tvarkymas, atsižvelgiant į konkrečias asmens duomenų tvarkymo aplinkybes ir kontekstą ( 29 ).

67.

Tokia pareiga informuoti dar svarbesnė dėl to, kad duomenų subjekto sutikimo galiojimas priklauso, be kita ko, nuo to, ar šis asmuo iš anksto gavo informaciją apie visas su atitinkamų duomenų tvarkymu susijusias aplinkybes, kaip numatyta Reglamento 2018/1725 14 ir 15 straipsniuose, nes tokiu atveju jis gali duoti sutikimą žinodamas visas faktines aplinkybes ( 30 ).

68.

Pridursiu, kad vienintelė šios pareigos pateikti informaciją išimtis, numatyta Reglamento 2018/1725 15 straipsnio 4 dalyje, yra susijusi su situacija, kai duomenų subjektas jau turi atitinkamą informaciją.

69.

Iš to darau išvadą, kad, nagrinėjamoje byloje, ši pareiga teikti informaciją yra teisinių santykių, susiklosčiusių tarp duomenų subjektų, šiuo atveju – pareiškėjų, kaip vienos šalies, ir BPV, kaip duomenų valdytojo, kaip kitos šalies, dalis, o ne BPV ir duomenų gavėjo, t. y. Deloitte, santykių dalis. Taigi pareiga teikti informaciją yra susijusi su duomenimis, kuriuos BPV turėjo prieš perduodama juos bendrovei Deloitte. Neginčijama, kad tai yra asmens duomenys, nes BPV saugo komentarus ir juos pateikusių asmenų tapatybės duomenų bazę.

70.

Taigi toks „tinkamą požiūrį“ ( 31 ) atspindintis aiškinimas mane veda prie kitokio sprendimo nei pasirinktas Bendrojo Teismo, net ir lyginant su Sprendimu Breyer.

71.

Priminsiu, kad byloje, dėl kurios Sprendime Breyer buvo pateiktas prejudicinis klausimas, P. Breyer siekė uždrausti duomenų valdytojui (Vokietijos Federacinei Respublikai) išsaugoti jo dinaminį IP adresą. Papildomą informaciją, leidžiančią nustatyti jo tapatybę pagal jo kompiuteriui priskirtą IP adresą, turėjo ne duomenų valdytojas, o interneto paslaugų teikėjas. Taigi kilo klausimas, ar duomenų valdytojo turimas dinaminis IP adresas gali būti laikomas asmens duomenimis, ir, dėl to, P. Breyer ir duomenų valdytojui palaikant teisinius santykius, gali atsirasti pastarojo prievolė, susijusi su duomenų saugojimu, nors P. Breyer asmens tapatybės duomenis saugojo ne duomenų valdytojas, o kitas asmuo. Iš esmės buvo nuspręsta, kad nors duomenų valdytojas neturėjo papildomos informacijos apie asmens tapatybę, jis turėjo pagrįstą prieigą prie jos, todėl dinaminis IP adresas buvo pripažintas „asmens duomenimis“.

72.

Nagrinėjamu atveju, kaip jau priminiau anksčiau ( 32 ), pareiga pateikti informaciją yra duomenų subjektų (pareiškėjų) ir duomenų valdytojo (BPV) santykių dalis: pareiga pateikti informaciją atsiranda tada, kai BPV surenka atitinkamus duomenis, o, kiek tai konkrečiai susiję su informacija apie gavėją, ne vėliau kaip tada, kai apie jį sužinoma. Kai šis momentas išsikristalizuoja, ginčijami duomenys yra asmens duomenys, turimi BPV, kuri saugo papildomus identifikacinius duomenis. Taigi, atsižvelgiant į nagrinėjamą pareigą teikti informaciją ir į jos išsikristalizavimo momentą, ginčijami duomenys buvo asmens duomenys, neatsižvelgiant į tai, kad Deloitte, kuri nėra saistoma nei teisinio santykio tarp pareiškėjų ir BPV, kuris vienintelis yra svarbus, nei šios BPV tenkančios pareigos teikti informaciją, gali nustatyti jų tapatybę.

73.

Man atrodo, kad būtent šiuo aspektu paralelės su Sprendimu Breyer šioje byloje turėtų būti vertinamos kaip santykinės.

74.

Vadinasi, pareiga pateikti informaciją teko BPV, kaip duomenų valdytojai dėl jos santykių su pareiškėjais, iš kurių ji rinko nagrinėjamus duomenis, ir nepriklauso nuo to, ar duomenys, perduoti bendrovei Deloitte, buvo asmens duomenys ar ne.

75.

Vadinasi, reikia atmesti per posėdį pakartotą BPV argumentą, kad situacijos vertinimas gavėjo atžvilgiu yra svarbus, nes svarbu patikrinti, ar jis yra „asmens duomenų gavėjas“, ar ne.

76.

Tiesa, kad Reglamento 2018/1725 15 straipsnio 1 dalies d punkto tekstas, kuriame kalbama apie „asmens duomenų gavėjus <…>“, gali būti painus šiuo atžvilgiu. Vis dėlto siekiant, kad ši nuostata turėtų naudingą poveikį, reikia, kad informacija duomenų subjektams būtų perduodama kuo greičiau ir prieš minėtą duomenų perdavimą ( 33 ). Nagrinėjamu atveju, net jei BPV pradžioje rinkdama komentarus neketino prašyti Deloitte pateikti nuomonę dėl to, ar šie komentarai taps pagrindu pakeisti vertinimą 3, iš Bendrajame Teisme ginčyto sprendimo matyti, kad Deloitte padėjo BPV per teisės būti išklausytam procedūrą ( 34 ). Be to, galima manyti, kad BPV ketinimas perduoti duomenis, kuriems suteikti pseudonimai, Deloitte atsirado ne vėliau kaip tuo metu, kai buvo nuspręsta tvarkyti aptariamus komentarus siekiant suteikti jiems pseudonimus ( 35 ), nes to nepadarius pseudonimų suteikimas būtų visiškai nepagrįstas.

77.

Laikausi nuomonės, kad pareigos suteikti informaciją laikymąsi tikrinant tuo metu, kai BPV perdavė duomenis Deloitte, vertinant iš gavėjo perspektyvos tai, ar nagrinėjamus duomenis reikia kvalifikuoti kaip asmens duomenis ar ne, šis patikrinimas perkeliamas kitam laikui. Vadinasi, toks patikrinimas būtų nepagrįstai atidėtas, nes jis turi būti atliekamas su duomenimis, kurie jau yra perduoti gavėjui, nors prievolės pateikti informaciją tikslas yra susijęs su BPV ir pareiškėjų santykiais ir skirtas tam, kad pastarieji prieš perduodant duomenis galėtų duoti informacija grindžiamą sutikimą kaip tinkamai informuoti asmenys.

78.

Be to, kalbant apie pareiškėjų sutikimą, jų dalyvavimą teisės būti išklausytam procedūroje tikrai galima aiškinti kaip numanomą sutikimą dalytis asmens duomenimis su duomenų valdytoju siekiant, kad būtų atsižvelgta į jų komentarus. Vis dėlto, mano nuomone, to nepakanka, kad būtų galima laikyti tinkamai informuoto asmens sutikimu dėl pseudonimų suteikimo duomenims ir jų perdavimo bendrovei Deloitte iš anksto negavus informacijos šiuo klausimu iš BPV ( 36 ).

79.

Mano nuomone, iš to darytina išvada, kad pareiga pateikti informaciją nagrinėjamu atveju BPV buvo taikoma prieš perduodant nagrinėjamus duomenis ir neatsižvelgiant į tai, ar tuo metu, kai juos turėjo Deloitte, jie buvo asmens duomenys ar ne.

80.

Taigi man neatrodo, kad aplinkybė, ar pseudonimų suteikimas yra pakankamai patikimas ir veiksmingas, kad būtų galima nuspręsti, ar Deloitte turimi duomenys yra asmens duomenys ar ne, yra reikšminga vertinant BPV pareigą pateikti informaciją.

81.

Vadinasi, nagrinėjamu atveju BPV, kaip duomenų valdytojos, pareiga pateikti informaciją turėjo būti įvykdyta, dėl šios priežasties, skundžiamas sprendimas turi būti panaikintas dėl teisės klaidos.

82.

Kadangi Reglamento 2018/1725 15 straipsnio 1 dalies d punkte nustatytos pareigos pateikti informaciją vertinimas, atsižvelgiant į nagrinėjamų duomenų gavėjo situaciją, yra nereikšmingas, šalių argumentai dėl Deloitte galimybės teisėtomis ir praktiškai pritaikomomis priemonėmis nustatyti duomenų subjektus tampa neaktualūs, todėl jų nagrinėti nereikia.

83.

Jei Teisingumo Teismas nepritartų šiai nuomonei, papildomai pažymiu, kad EDAPP šiuo klausimu ginčija Bendrojo Teismo išvadą, jog Deloitte neturėjo prieigos prie tapatybės nustatymo duomenų. Jis visų pirma remiasi tariamais sutartiniais subrangos santykiais tarp BPV ir Deloitte. BPV ir Komisija teigia, kad tokiu būdu EDAPP pateikia naujus faktinius argumentus, kurie apeliacinėje stadijoje nepriimtini. Pritariu šiai nuomonei. Iš tiesų, sutartinių santykių tarp BPV ir Deloitte buvimas, kuris taptų pagrindu įrodyti, kad Deloitte galėjo prašyti BPV nustatyti pareiškėjų tapatybę, yra naujas argumentas, dėl kurio Bendrasis Teismas nėra priėmęs sprendimo. Vadinasi, šis argumentas prireikus turėtų būti atmestas kaip nepriimtinas remiantis Teisingumo Teismo procedūros reglamento 170 straipsnio 1 dalies antru sakiniu, pagal kurį apeliaciniu skundu negalima pakeisti Bendrajame Teisme nagrinėtos bylos dalyko ( 37 ).

B.

Dėl subsidiariai nagrinėjamo antrojo pagrindo

84.

Antruoju pagrindu, grindžiamu Reglamento 2018/1725 4 straipsnio 2 dalyje ir 26 straipsnio 1 dalyje įtvirtinto atskaitomybės principo pažeidimu, EDAPP, palaikomas Europos duomenų apsaugos valdybos, teigia, kad Bendrasis Teismas nepagrįstai nusprendė, jog jis privalėjo įrodyti, kad bendrovei Deloitte atsiųsta informacija yra asmens duomenys, ir taip pažeidė BPV atskaitomybės principą.

85.

Atsižvelgdamas į tai, kas išdėstyta, ir ypač į šios išvados 81 ir 82 punktus, manau, kad šio antrojo pagrindo nagrinėti nereikia.

86.

Taigi jį aptarsiu tik glaustai ir subsidiariai.

87.

Dėl šio pagrindo, kuris nebuvo pateiktas Bendrajame Teisme, priimtinumo (jį ginčija BPV), norėčiau priminti, kad ieškovas turi teisę pateikti apeliacinį skundą ir remtis pagrindais, kylančiais iš skundžiamo sprendimo, kurie skirti jo pagrįstumui teisės požiūriu ginčyti ( 38 ). Man atrodo, kad taip yra šio pagrindo atveju, todėl jis yra priimtinas.

88.

Dėl bylos esmės reikia priminti, kad Bendrasis Teismas nusprendė: kadangi EDAPP nepatikrino, ar Deloitte turėjo teisėtų ir praktiškai įgyvendinamų priemonių, leidžiančių jai susipažinti su papildoma informacija, būtina komentarų autorių tapatybei nustatyti, jis negalėjo daryti išvados, kad Deloitte perduota informacija yra informacija, susijusi su „fiziniu asmeniu, kurio tapatybę galima nustatyti“, kaip tai suprantama pagal Reglamento 2018/1725 3 straipsnio 1 punktą.

89.

EDAPP, palaikomas Europos duomenų apsaugos valdybos, iš esmės teigia, kad Bendrasis Teismas turėjo patikrinti, ar BPV, kaip duomenų valdytoja, įrodė, kad buvo nuasmeninusi ginčijamus duomenis Deloitte atžvilgiu.

90.

BPV ginčija šį argumentą, teigdama, kad atskaitomybės principas taikomas tik asmens duomenų atveju ir kad nagrinėjamu atveju Deloitte turimi duomenys buvo nuasmeninti.

91.

Komisija savo ruožtu tvirtina, kad pirmiausia EDAPP tenka pagrįsta pareiga, remiantis turimais įrodymais, įrodyti, kad asmens duomenys egzistuoja. Paskui atitinkamas duomenų valdytojas turėtų paneigti šią išvadą pateikdamas papildomų įrodymų.

92.

Primenu, kad, pagal Reglamento 2018/1725 4 straipsnio 1 dalies a punktą, asmens duomenys turi būti duomenų subjekto atžvilgiu tvarkomi teisėtu, sąžiningu ir skaidriu būdu. Šio reglamento 4 straipsnio 2 dalyje numatyta, kad „duomenų valdytojas yra atsakingas už tai, kad būtų laikomasi 1 dalies, ir turi sugebėti įrodyti, kad jos laikomasi (atskaitomybės principas)“. Taigi, pagal minėto reglamento 4 straipsnio 2 dalyje išdėstytą ir jo 26 straipsnio 1 dalyje įtvirtintą atskaitomybės principą, duomenų valdytojas turi gebėti įrodyti, kad laikosi 4 straipsnio 1 dalyje nurodytų su asmens duomenų tvarkymu susijusių principų ( 39 ).

93.

Jei duomenų valdytojas pateiktų pakankamai tai patvirtinančių įrodymų, būtų galima laikyti, kad jis įvykdė savo įrodinėjimo pareigą ( 40 ).

94.

Man atrodo, kad nagrinėjamoje byloje BPV rėmėsi keliais faktiniais elementais (visų pirma ginčijamame sprendime ir skundžiamame sprendime aprašytais komentarų filtravimo, skirstymo į kategorijas ir apibendrinimo procesais), siekdama įrodyti, kad, pagal jai tenkantį atskaitomybės principą, Deloitte negalėjo nustatyti atitinkamų asmenų tapatybės.

95.

Bendrajame Teisme EDAPP šiuo klausimu laikėsi principinės pozicijos, kad save laiko BPV, o ne Deloitte atstovu, ir kad Deloitte perduoti komentarai kvalifikuotini kaip asmens duomenys.

96.

Jeigu alternatyvaus šio pagrindo nagrinėjimo tikslais būtų pripažinta, kad situacija Deloitte požiūriu šioje byloje buvo svarbi ( 41 ), būtų galima manyti, kad, kaip nusprendė Bendrasis Teismas, EDAPP turėjo įrodyti ( 42 ), dėl kokių teisinių ar techninių priežasčių BPV įgyvendinto pseudonimų suteikimo proceso šioje byloje nepakako ir dėl to turėjo būti padaryta išvada, kad Deloitte tvarkė asmens duomenis.

97.

Taigi manyčiau, kad prireikus skundžiamas sprendimas dėl šio antrojo pagrindo turėtų būti paliktas galioti.

VII.

Dėl ieškinio Bendrajame Teisme

98.

Pagal Europos Sąjungos Teisingumo Teismo statuto 61 straipsnio pirmą pastraipą, jei apeliacinis skundas yra pagrįstas, Teisingumo Teismas panaikina Bendrojo Teismo sprendimą. Jis gali pats priimti galutinį sprendimą byloje, kurioje turi tokią teisę, arba sugrąžinti bylą Bendrajam Teismui sprendimui priimti.

99.

Pirmasis BPV nurodytas pagrindas, pateiktas dėl Bendrajame Teisme ginčijamo sprendimo, yra grindžiamas Reglamento 2018/1725 3 straipsnio 1 dalies pažeidimu. Iš šios išvados 63 –82 punktų matyti, kad, kadangi BPV neįvykdė pareigos pateikti informaciją pagal Reglamento 2018/1725 15 straipsnio 1 dalies d punktą, mano nuomone, ginčijamas sprendimas turėtų būti patvirtintas.

100.

Kita vertus, man atrodo, negalima priimti sprendimo dėl ieškinio antrojo pagrindo, susijusio su EDAPP teisės į gerą administravimą pažeidimu vykstant procesui, kuriam pasibaigus buvo priimtas ginčijamas sprendimas.

101.

BPV konkrečiai teigia, kad per administracinę procedūrą, kuriai pasibaigus buvo priimtas ginčijamas sprendimas, EDAPP pažeidė jos teisę susipažinti su bylos medžiaga, teisę būti išklausytai ir šalių lygiateisiškumo principą, nes neleido jai susipažinti su bylos medžiaga ir nepateikė jai pareiškėjų pastabų ar jų turinio.

102.

Bendrasis Teismas nusprendė: kadangi ieškinio pirmasis pagrindas buvo patenkintas, jam pateikto antrojo pagrindo nagrinėti nereikia. Vadinasi, negalima priimti sprendimo dėl šio pagrindo, kuris, be kita ko, susijęs su faktinių aplinkybių vertinimu. Taigi, mano nuomone, byla turi būti grąžinta Bendrajam Teismui, kad jis priimtų sprendimą šiuo klausimu, ir atidėti bylinėjimosi išlaidų klausimo nagrinėjimą.

VIII.

Išvada

103.

Atsižvelgdamas į išdėstytus argumentus, siūlau Teisingumo Teismui:

–

panaikinti 2023 m. balandžio 26 d. Europos Sąjungos Bendrojo Teismo sprendimą BPV / EDAPP (T‑557/20, EU:T:2023:219);

–

grąžinti bylą nagrinėti Bendrajam Teismui, kad šis priimtų sprendimą dėl jam pateikto antrojo pagrindo,

–

atidėti bylinėjimosi išlaidų klausimo nagrinėjimą.