I.

Úvod

1.

Svojím odvolaním sa európsky dozorný úradník pre ochranu údajov (EDPS) domáha zrušenia rozsudku Všeobecného súdu Európskej únie z 26. apríla 2023, SRB/EDPS (T‑557/20, ďalej len „napadnutý rozsudok“, EU:T:2023:219), ktorým Všeobecný súd zrušil revidované rozhodnutie EDPS z 24. novembra 2020 (ďalej len „sporné rozhodnutie“) týkajúce sa piatich sťažností podaných akcionármi a veriteľmi dotknutými riešením krízovej situácie banky Banco Popular Español SA (ďalej len „Banco Popular“), ktorí sa sťažujú, že neboli informovaní o prenose svojich osobných údajov.

2.

Prejednávaná vec poskytuje Súdnemu dvoru príležitosť v kontexte pseudonymizovaných údajov spresniť pojem „osobné údaje“ a povinnosti, ktoré z toho vyplývajú, na účely plnenia povinností spravodlivého a transparentného spracúvania údajov.

II.

Právny rámec

3.

V rámci tohto odvolania sú relevantné nasledujúce ustanovenia nariadenia (EÚ) 2018/1725 ( 2 ).

4.

Odôvodnenia 16 a 17 znejú:

5.

Článok 3 uvedeného nariadenia, nazvaný „Vymedzenie pojmov“, v bodoch 1 a 6 stanovuje:

6.

Článok 4 toho istého nariadenia, nazvaný „Zásady spracúvania osobných údajov“, v odseku 1 písm. a) a odseku 2 stanovuje:

7.

Článok 15 nariadenia 2018/1725, nazvaný „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, v odseku 1 písm. d) stanovuje:

III.

Okolnosti predchádzajúce sporu

8.

Dňa 7. júna 2017 prijala Jednotná rada pre riešenie krízových situácií (SRB) program riešenia krízovej situácie, ktorý sa týkal banky Banco Popular, a to na základe nariadenia Európskeho parlamentu a Rady (EÚ) č. 806/2014 z 15. júla 2014, ktorým sa stanovujú jednotné pravidlá a jednotný postup riešenia krízových situácií úverových inštitúcií a určitých investičných spoločností v rámci jednotného mechanizmu riešenia krízových situácií a jednotného fondu na riešenie krízových situácií a ktorým sa mení nariadenie (EÚ) č. 1093/2010 ( 3 ), pričom v ten istý deň bol tento program schválený rozhodnutím Európskej komisie ( 4 ), čo konkrétne znamená, že kapitálové nástroje banky boli odpísané alebo konvertované a odpredané prevodom akcií.

9.

V súlade s článkom 20 ods. 16 až 18 nariadenia č. 806/2014 poverila SRB spoločnosť Deloitte ako „nezávislú osobu“ ( 5 ) úlohou vykonať ocenenie rozdielu v zaobchádzaní s cieľom určiť, či by sa s akcionármi a veriteľmi dotknutými opatrením na riešenie krízovej situácie zaobchádzalo lepšie, keby bola táto banka predmetom bežného insolvenčného konania.

10.

Dňa 14. júna 2018 Deloitte predložila SRB toto ocenenie rozdielu v zaobchádzaní (ďalej len „ocenenie 3“). V predbežnom rozhodnutí SRB uviedla, že aby mohla prijať konečné rozhodnutie o tom, či je alebo nie je potrebné priznať akcionárom a veriteľom dotknutým riešením krízovej situácie banky Banco Popular náhradu podľa článku 76 ods. 1 písm. e) nariadenia č. 806/2014, začala postup týkajúci sa práva na vypočutie, ktorý zahŕňal prvú fázu registrácie s cieľom overiť oprávnenosť strán, ktoré prejavili záujem, a druhú fázu konzultácie, v rámci ktorej dotknutí akcionári a veritelia predložili svoje pripomienky k predbežnému rozhodnutiu SRB, ku ktorému bolo pripojené ocenenie 3.

11.

Údaje zhromaždené počas fázy registrácie, konkrétne doklady totožnosti účastníkov a dôkazy o vlastníctve odpísaných alebo konvertovaných a prevedených kapitálových nástrojov banky Banco Popular, boli prístupné obmedzenému počtu pracovníkov SRB zodpovedných za spracovanie týchto údajov s cieľom určiť oprávnenosť účastníkov. Tieto údaje neboli viditeľné pracovníkom SRB zodpovedným za spracovanie pripomienok prijatých počas fázy konzultácie, kedy im boli doručené len pripomienky identifikované odkazom na alfanumerický kód ( 6 ) priradený ku každej pripomienke predloženej prostredníctvom formulára.

12.

Po agregácii, automatickom filtrovaní a kategorizácii pripomienok SRB postúpila spoločnosti Deloitte ( 7 ) pripomienky týkajúce sa ocenenia 3, ktoré boli takto filtrované, kategorizované a agregované. Pripomienky postúpené spoločnosti Deloitte zahŕňali len pripomienky prijaté počas fázy konzultácie a mali alfanumerický kód, ktorý bol vyvinutý na účely auditu, aby SRB mohla overiť a prípadne následne preukázať, že každá pripomienka bola spracovaná a náležite zohľadnená. Len SRB mohla prostredníctvom tohto kódu opätovne spojiť pripomienky s údajmi prijatými počas fázy registrácie. Deloitte nemala a stále nemá prístup k databáze zhromaždenej počas fázy registrácie.

13.

Dotknutí akcionári a veritelia (ďalej len „sťažovatelia“) zaslali EDPS päť sťažností podľa nariadenia 2018/1725 z dôvodu, že vyhlásenie o ochrane osobných údajov, ktoré zverejnila SRB, neobsahovalo zmienku o tom, že údaje zhromaždené prostredníctvom formulára budú postúpené spoločnosti Deloitte. Tvrdili, že SRB porušila svoju informačnú povinnosť týkajúcu sa spracúvania osobných údajov podľa tohto nariadenia, ktorá je stanovená v článku 15 ods. 1 písm. d) uvedeného nariadenia.

14.

EDPS prijal 24. júna 2020 pôvodné rozhodnutie, ktoré bolo v nadväznosti na žiadosť SRB o preskúmanie zrušené a 24. novembra 2020 nahradené napadnutým rozhodnutím, ktoré znie:

IV.

Napadnutý rozsudok

15.

Návrhom podaným do kancelárie Všeobecného súdu 1. septembra 2020 a návrhom na úpravu podaným 29. januára 2021 SRB podala žalobu, ktorou sa domáhala na jednej strane zrušenia sporného rozhodnutia a na druhej strane vyhlásenia nezákonnosti pôvodného rozhodnutia EDPS z 24. júna 2020.

16.

SRB uviedla na podporu prvého žalobného návrhu ( 8 ) dva žalobné dôvody. Prvý žalobný dôvod bol založený na porušení článku 3 bodu 1 nariadenia 2018/1725, keďže informácie postúpené spoločnosti Deloitte nepredstavovali osobné údaje, a druhý žalobný dôvod na porušení práva na dobrú správu vecí verejných zakotveného v článku 41 Charty základných práv Európskej únie.

17.

Tento žalobný dôvod vyhlásil Všeobecný súd v napadnutom rozsudku za prípustný. Pokiaľ ide o vec samu, vyhovel prvému žalobnému dôvodu a zrušil sporné rozhodnutie bez toho, aby preskúmal druhý žalobný dôvod.

18.

Pokiaľ ide o prvý žalobný dôvod, Všeobecný súd po prvé konštatoval, že EDPS sa domnieval, že informácie postúpené spoločnosti Deloitte „sa týkajú“ fyzickej osoby v zmysle článku 3 bodu 1 nariadenia 2018/1725, pričom vychádzal z domnienky bez toho, aby preskúmal obsah, účel alebo účinok informácií postúpených spoločnosti Deloitte, ( 9 ) čo je v rozpore z rozsudkom Nowak ( 10 ).

19.

Po druhé, pokiaľ ide o podmienku stanovenú v článku 3 bode 1 nariadenia 2018/1725, podľa ktorej sa informácie musia týkať „identifikovanej alebo identifikovateľnej fyzickej osoby“, Všeobecný súd zastával názor, že v prejednávanej veci prináleží EDPS preskúmať, či pripomienky postúpené spoločnosti Deloitte predstavujú vo vzťahu k nej osobné údaje. Podľa napadnutého rozsudku pritom EDPS preskúmal možnosť opätovnej identifikácie autorov pripomienok iba z hľadiska SRB, a nie z hľadiska spoločnosti Deloitte. Keďže teda EDPS neprešetril, či Deloitte mala k dispozícii legálne a v praxi použiteľné prostriedky umožňujúce prístup k dodatočným informáciám potrebným na opätovnú identifikáciu autorov pripomienok, EDPS nemohol dospieť k záveru, že informácie postúpené spoločnosti Deloitte predstavovali informácie týkajúce sa „identifikovateľnej fyzickej osoby“ v zmysle článku 3 bodu 1 nariadenia 2018/1725. ( 11 )

V.

Konanie na Súdnom dvore a návrhy účastníkov konania

20.

Podaním doručeným do kancelárie Súdneho dvora 5. júla 2023 podal EDPS odvolanie proti napadnutému rozsudku. Uznesením predsedu Súdneho dvora z 29. novembra 2023 ( 12 ) bol Európskemu výboru pre ochranu údajov povolený vstup do konania ako vedľajšiemu účastníkovi na podporu návrhov EDPS a rozhodnutím z 20. októbra 2023 bol Európskej komisii povolený vstup do konania ako vedľajšiemu účastníkovi na podporu SRB.

21.

EDPS navrhuje, aby Súdny dvor:

–

zrušil napadnutý rozsudok,

–

rozhodol s konečnou platnosťou o spore,

–

uložil SRB povinnosť nahradiť trovy odvolacieho konania a konania na Všeobecnom súde.

22.

Európsky výbor pre ochranu údajov, ktorý podporuje EDPS, navrhuje, aby Súdny dvor:

–

zrušil napadnutý rozsudok,

–

rozhodol s konečnou platnosťou o spore tak, že potvrdí sporné rozhodnutie.

23.

SRB navrhuje, aby Súdny dvor:

–

odvolanie zamietol,

–

subsidiárne zrušil sporné rozhodnutie,

–

subsidiárne v druhom rade vrátil vec Všeobecnému súdu a

–

uložil EDPS povinnosť nahradiť trovy odvolacieho konania a konania na Všeobecnom súde.

24.

Európska komisia, ktorá podporuje SRB, navrhuje, aby Súdny dvor:

–

odvolanie zamietol,

–

uložil EDPS povinnosť nahradiť trovy konania.

VI.

O odvolaní

25.

Na podporu svojho odvolania EDPS podporovaný Európskym výborom pre ochranu údajov uvádza dva odvolacie dôvody. V rámci prvého odvolacieho dôvodu spochybňuje výklad Všeobecného súdu týkajúci sa pojmu „osobné údaje“ v zmysle článku 3 ods. 1 a 6 nariadenia 2018/1725, ako ho vykladá judikatúra Súdneho dvora. Druhý odvolací dôvod je založený na porušení zásady zodpovednosti, ktorá je uvedená v článku 4 ods. 2 a článku 26 ods. 1 tohto nariadenia.

A.

O prvom odvolacom dôvode

26.

Prvý odvolací dôvod sa delí na dve časti. Prvá časť sa týka podmienky, podľa ktorej sa sporné informácie musia „týkať“ fyzickej osoby, a druhá sa týka podmienky, že táto osoba musí byť „identifikovaná alebo identifikovateľná“.

1.

O prvej časti týkajúcej sa otázky, či sa informácie „týkajú“ fyzickej osoby

a)

Tvrdenia účastníkov konania

27.

EDPS podporovaný Európskym výborom pre ochranu údajov tvrdí, že Všeobecný súd sa dopustil pochybenia, keď rozhodol, že EDPS vychádzal z domnienky týkajúcej sa výkladu podmienky, podľa ktorej sa informácie postúpené spoločnosti Deloitte týkajú fyzickej osoby v zmysle článku 3 bodu 1 nariadenia 2018/1725. Podľa jeho názoru sa za okolností prejednávanej veci nevyžadovalo podrobnejšie preskúmanie z jeho strany.

28.

SRB zase tvrdí, že – ako rozhodol Všeobecný súd – EDPS sa obmedzil na konštatovanie, že sporné pripomienky, ktoré predložili sťažovatelia počas fázy konzultácie v rámci postupu týkajúceho sa práva na vypočutie, odzrkadľovali ich názory alebo stanoviská, zatiaľ čo mal preskúmať, či informácie postúpené spoločnosti Deloitte súviseli s konkrétnou osobou svojím obsahom, účelom alebo účinkom, ako to vyžaduje rozsudok Nowak.

b)

Posúdenie

29.

Treba pripomenúť, že Súdny dvor opakovane rozhodol, že použitie výrazu „akékoľvek informácie“ v definícii pojmu „osobné údaje“ odráža cieľ normotvorcu Únie priznať tomuto pojmu široký význam, ktorý potenciálne zahŕňa všetky druhy informácií, ( 13 ) tak objektívnych, ako aj subjektívnych, vo forme názoru alebo hodnotení, avšak pod podmienkou, že sa „týkajú“ dotknutej osoby.

30.

V tejto súvislosti sa informácia týka identifikovanej alebo identifikovateľnej fyzickej osoby, ak z dôvodu svojho obsahu, účelu alebo účinku „súvisí“ s určitou osobou. ( 14 )

31.

Pokiaľ ide o názory alebo hodnotenia, ako sú pripomienky sťažovateľov, o ktoré ide v prejednávanej veci, považujem za relevantné rozlišovať podľa toho, či sa tieto názory alebo hodnotenia „týkajú“ jednej alebo viacerých osôb uvedených v texte názoru alebo hodnotenia, alebo či – ako v prejednávanej veci – ide o určenie, či sa týkajú ich autora. V prvom prípade je na vyvodenie záveru o existencii informácie týkajúcej sa osoby, ktorá je predmetom hodnotenia, potrebné analyzovať, či sa obsah, účel alebo účinok hodnotenia týka tejto osoby. V druhom prípade sa mi naproti tomu zdá, že na účely určenia, či sa hodnotenie týka osoby, ktorá ho vydala, možno predpokladať, že je to tak a že názor alebo hodnotenie sa nevyhnutne týka jeho autora.

32.

V rozsudku Nowak teda išlo v podstate o hodnotenie informácií obsiahnutých v kópii skúšky. Dotknuté tak boli dve osoby: uchádzač a skúšajúci. Je pravda, že Súdny dvor preskúmal obsah, účel a účinok odpovedí uchádzača, aby z toho vyvodil, že sa ho týkajú. Pokiaľ však ide konkrétnejšie o poznámky skúšajúceho, ktoré odzrkadľujú jeho názor alebo hodnotenie, ( 15 ) hoci Súdny dvor preskúmal obsah, účel a účinok informácií obsiahnutých v kópii, aby dospel k záveru, že tieto hodnotenia sa týkajú uchádzača, nevykonal takéto preskúmanie na účely konštatovania, že predstavujú informácie týkajúce sa skúšajúceho, ktorý bol ich autorom. ( 16 ) Podľa môjho názoru teda nemožno úplne vylúčiť, že (samotná) domnienka sa môže uplatniť pri posudzovaní toho, či sa názor alebo hodnotenie, ako v prejednávanej veci, „týka“ jeho autora.

33.

Z toho vyvodzujem, že pokiaľ sa nepreukáže opak, pripomienky dotknuté v prejednávanej veci, keďže pochádzajú od sťažovateľov a svedčia o ich „logike a uvažovaní“, čím odrážajú vyjadrenie ich „subjektívneho názoru“, sa nevyhnutne „týkajú“ uvedených sťažovateľov bez ohľadu na účel alebo účinok ich pripomienok.

34.

V každom prípade aj keby neexistovala takáto domnienka v prejednávanej veci, zastávam názor, že predmetné pripomienky „sa týkajú“ sťažovateľov z dôvodu ich obsahu, účelu a účinku.

35.

V tejto súvislosti SRB uvádza, že tvrdenia založené na účele a kontexte predmetných pripomienok sú neúčinné, keďže neboli preskúmané v spornom rozhodnutí; neprípustné, pretože obsahujú nové skutkové tvrdenie, a v každom prípade nesprávne.

36.

Táto argumentácia ma nepresvedčila. Tak preskúmanie, ktoré vykonal EDPS v spornom rozhodnutí, ako aj posúdenie Všeobecného súdu totiž patria do právneho kontextu, ktorý bol zohľadnený a ktorý jasne uvádza účel a účinok predmetných pripomienok, ktoré boli predložené v rámci postupu týkajúceho sa práva na vypočutie. Tieto tvrdenia týkajúce sa účelu a účinku predmetných pripomienok sú teda účinné a prípustné.

37.

Pokiaľ ide o vec samu, z uplatniteľného právneho rámca okrem toho vyplýva, že účelom postupu týkajúceho sa práva na vypočutie, v rámci ktorého boli predložené predmetné pripomienky, bolo umožniť dotknutým akcionárom a veriteľom zúčastniť sa konania, najmä s cieľom umožniť SRB, aby mala k dispozícii všetky informácie potrebné na prijatie konečného rozhodnutia o tom, či je alebo nie je potrebné priznať akcionárom a veriteľom dotknutým riešením krízovej situácie banky Banco Popular náhradu na základe zásady, podľa ktorej s veriteľom nemožno zaobchádzať horšie než v prípade likvidácie v rámci bežného konkurzného konania. ( 17 ) Navyše tieto pripomienky, po zohľadnení zo strany SRB, mohli mať vplyv na záujmy a práva sťažovateľov v oblasti finančnej kompenzácie.

38.

Z toho vyvodzujem, že predmetné pripomienky sa týkajú osôb dotknutých v prejednávanej veci, a to aj z dôvodu ich účelu a účinku.

39.

Chcem dodať, že predmetné pripomienky, ako boli postúpené spoločnosti Deloitte, boli podľa všetkého „filtrované, kategorizované a agregované“, takže ako vyplýva zo skutočností uvedených Všeobecným súdom, ( 18 ) jednotlivé pripomienky nebolo možné v rámci tej istej témy rozlíšiť; avšak možno pripustiť, že aj keď boli tieto hromadné pripomienky agregované, svojím obsahom odrážali osobné stanoviská týkajúce sa ocenenia 3. Predstavujú totiž súhrn názorov, ktoré ako také predstavujú informácie týkajúce sa osôb, ktoré ich vyjadrili. Ich filtrovanie, kategorizácia a agregácia na tomto konštatovaní nič nemenia, inak by stačilo na účely obchádzania podmienky informácie „týkajúcej sa“ fyzickej osoby zoskupiť niekoľko stanovísk. Skutočnosť, že v rámci tohto súhrnu pripomienok nie je možné rozlíšiť jednotlivé individuálne názory, patrí podľa môjho názoru pod druhú kumulatívnu podmienku týkajúcu sa identifikovateľnosti dotknutých osôb, skúmanú v rámci druhej časti tohto odvolacieho dôvodu, než pod podmienku, ktorá vyžaduje, aby bola pripomienka „spojená“ s fyzickou osobou.

40.

Za týchto okolností sa domnievam, že posúdenie Všeobecného súdu možno v tejto súvislosti považovať za poznačené nesprávnym právnym posúdením v rozsahu, v akom Všeobecný súd konštatoval, že EDPS nevykonal preskúmanie požadované rozsudkom Nowak na vyvodenie záveru, že predmetné pripomienky „sa týkali“ fyzických osôb v zmysle článku 3 bodu 1 nariadenia 2018/1725.

41.

Ak by Súdny dvor zamietol túto prvú časť a rozhodol, že predmetné pseudonymizované pripomienky sa netýkajú ich autorov, preskúmanie druhej časti odvolacieho dôvodu by bolo zbytočné, keďže podľa článku 3 bodu 1 nariadenia 2018/1725 ide o nevyhnutnú podmienku existencie osobného údaju, ktorá je kumulatívna s podmienkou identifikovateľnosti dotknutých osôb preskúmanou nižšie.

2.

O druhej časti týkajúcej sa podmienky identifikovateľnosti dotknutých osôb

42.

EDPS a Európsky výbor pre ochranu údajov v podstate tvrdia, že Všeobecný súd sa dopustil dvoch pochybení, pričom prvé sa týka pojmu „pseudonymizácia“ a druhé výkladu rozsudku Breyer ( 19 ), čo SRB a Komisia spochybňujú.

a)

O prvej výhrade založenej na pochybení týkajúcom sa účinkov pseudonymizácie

43.

Táto výhrada svedčí o existencii dvoch veľmi odlišných prístupov k rozsahu pôsobnosti pravidiel ochrany údajov. Majú sa do tejto pôsobnosti automaticky zahrnúť pseudonymizované údaje len z dôvodu, že dotknuté osoby sú naďalej identifikovateľné bez ohľadu na dostupnosť dodatočných identifikačných údajov, alebo treba po procese pseudonymizácie považovať údaje za osobné len pre tých, ktorí dokážu s primeranou pravdepodobnosťou identifikovať dotknuté osoby?

1)

Tvrdenia účastníkov konania

44.

EDPS a Európsky výbor pre ochranu údajov v podstate tvrdia, že pseudonymizované údaje zostávajú osobnými údajmi len z dôvodu, že dotknuté osoby sú naďalej identifikovateľné, keďže informácie umožňujúce ich identifikáciu naďalej existujú. Prístup Všeobecného súdu je podľa nich nesprávny, keďže umožňuje považovať pseudonymizované údaje za anonymizované vo vzťahu k príjemcovi, čo predstavuje riziko pre ochranu dotknutých osôb a vedie k zámene medzi pseudonymizáciou a anonymizáciou. Takýto prístup, ktorý je v rozpore so znením a cieľom nariadenia 2018/1725, by prevádzkovateľovi umožnil neoprávnene vyňať osobné údaje z pôsobnosti práva Únie v oblasti ochrany osobných údajov.

45.

SRB a Komisia tvrdia, že pseudonymizované údaje zostávajú osobnými údajmi pre prevádzkovateľa, ktorý ich pseudonymizoval, avšak v prípade príjemcov treba skúmať identifikovateľnosť dotknutých osôb. Okrem toho, hoci článok 3 bod 1 nariadenia 2018/1725 nespresňuje, kto musí byť schopný identifikovať dotknutú osobu, vzhľadom na odôvodnenie 16 a v kontexte článku 15 ods. 1 písm. d) tohto nariadenia, ktoré sú dotknuté v prejednávanej veci, je dôležité hľadisko príjemcu. Domnievajú sa, že ak tento príjemca nedostáva osobné údaje, dotknuté osoby nemajú záujem na tom, aby boli informované o prenose údajov, pretože ich práva nie sú dotknuté.

2)

Posúdenie

46.

Na úvod je potrebné pripomenúť, že pseudonymizácia je spracúvanie, ktoré sa v súlade s odôvodnením 17 nariadenia 2018/1725 uplatňuje na osobné údaje s cieľom „znížiť riziká“ prepojenia súboru údajov s totožnosťou dotknutej osoby a „pomôcť prevádzkovateľom a sprostredkovateľom pri plnení ich povinností v oblasti ochrany údajov“.

47.

Článok 3 bod 6 nariadenia 2018/1725 tak vymedzuje pseudonymizáciu ako „spracúvanie osobných údajov takým spôsobom, aby osobné údaje už nebolo možné priradiť konkrétnej dotknutej osobe bez použitia dodatočných informácií, [ktoré sa] uchovávajú oddelene a vzťahujú sa na ne technické a organizačné opatrenia s cieľom zabezpečiť, aby osobné údaje neboli priradené identifikovanej alebo identifikovateľnej fyzickej osobe.“ ( 20 )

48.

Pseudonymizácia teda nie je prvkom definície osobných údajov, ktoré sú ako také vymedzené v článku 3 bode 1 nariadenia 2018/1725 so zreteľom na pojem „identifikovateľnosť“ dotknutej osoby. Okrem toho, ako uviedla Komisia vo svojom vyjadrení vedľajšieho účastníka konania, toto nariadenie vymedzuje pojem „pseudonymizácia“, čím odkazuje na proces zavedenia ochranného opatrenia alebo technického a organizačného opatrenia, ale nie na pojem „pseudonymizované údaje“.

49.

Tento výklad potvrdzuje znenie článku 3 bodu 6 v spojení s odôvodnením 16 uvedeného nariadenia, ktorého prvá veta uvádza, že „zásady ochrany údajov by sa mali vzťahovať na všetky informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby“.

50.

Odôvodnenie 16 nariadenia 2018/1725 si navyše zasluhuje podrobnejšiu analýzu. ( 21 ) Obsahuje totiž aj druhú vetu, v ktorej sa uvádza, že „osobné údaje, ktoré boli pseudonymizované a ktoré by sa mohli použitím dodatočných informácií priradiť fyzickej osobe, by sa mali považovať za informácie o identifikovateľnej fyzickej osobe“. Po nej nasledujú tretia a štvrtá veta, ktoré spresňujú obsah tejto požiadavky identifikovateľnosti.

51.

Zo znenia týchto ustanovení vyvodzujem, že pseudonymizácia ponecháva otvorenú možnosť, že dotknuté osoby nebudú identifikovateľné, inak by znenie tohto odôvodnenia 16 nemalo zmysel. Chcem dodať, že posledné vety uvedeného odôvodnenia týkajúce sa anonymizácie potvrdzujú tento výklad: vylučujú anonymizované údaje (alebo ktoré sa stali anonymnými) z pôsobnosti nariadenia 2018/1725, ( 22 ) avšak pseudonymizované údaje vylučujú z tejto pôsobnosti len v prípade, že dotknuté osoby nie sú identifikovateľné. Ak nie je možné identifikovať uvedené osoby, tieto sa teda z právneho hľadiska považujú za dostatočne chránené postupom pseudonymizácie bez ohľadu na skutočnosť, že dodatočné identifikačné údaje neboli úplne vymazané.

52.

Inými slovami, nejde o automatické vyňatie pseudonymizovaných údajov z pôsobnosti tohto nariadenia. ( 23 ) Vzhľadom na odôvodnenie 16 uvedeného nariadenia však nemožno vylúčiť, že takéto údaje sa môžu za určitých podmienok vymykať z pojmu „osobné údaje“.

53.

Na rozdiel od toho, čo tvrdí EDPS, takýto prístup sa mi nezdá byť v rozpore s cieľom zabezpečiť vysokú úroveň ochrany osobných údajov, najmä vzhľadom na požiadavky identifikovateľnosti stanovené uplatniteľnými ustanoveniami na jednej strane a vzhľadom na ich výklad v judikatúre na strane druhej.

54.

Po prvé odôvodnenie 16 nariadenia 2018/1725 odkazuje na identifikovateľnosť zo strany prevádzkovateľa „alebo inej osoby“: táto široká koncepcia, hoci nie neobmedzená, ( 24 ) je súčasťou prístupu, ktorý chráni osobné údaje.

55.

Podobne sa v odôvodnení 16 stanovuje, že treba zohľadniť prostriedky, pri ktorých je primerane pravdepodobné, že sa použijú na priamu alebo nepriamu identifikáciu fyzickej osoby, pričom by sa mali zohľadniť všetky objektívne faktory, ako sú náklady a čas potrebné na identifikáciu so zreteľom na technológiu dostupnú v čase spracúvania, ako aj na technologický vývoj, čo predstavuje širokú definíciu osobných údajov a ich ochranu.

56.

Po druhé výklad tohto pojmu „identifikovateľnosť“ v judikatúre, ktorý je zameraný na riziko opätovnej identifikácie dotknutých osôb, tiež umožňuje široké uplatnenie pojmu „osobné údaje“. Súdny dvor tak systematicky kvalifikoval ako „osobné údaje“ tie údaje, ktoré hoci sú oddelené od identifikačných údajov v rukách niekoho iného, mohli v danom kontexte viesť k riziku, že dotknuté osoby budú opätovne identifikované. ( 25 )

57.

Určitý údaj sa tak môže z právneho hľadiska vyhnúť kvalifikácii ako „osobný údaj“ len v prípade, že riziko identifikácie neexistuje alebo je zanedbateľné. ( 26 )

58.

Tvrdenia EDPS a Európskeho výboru pre ochranu údajov týkajúce sa nebezpečenstiev vyplývajúcich z príliš reštriktívneho výkladu osobných údajov nepovažujem za presvedčivé. Skutočnosť, že pravidlá vyplývajúce z nariadenia 2018/1725 sa neuplatňujú na údaje týkajúce sa neidentifikovateľných osôb, totiž nebráni prípadnému vzniku právnej zodpovednosti subjektov, ktorí sú pôvodcami nežiaduceho správania, napríklad v prípade zverejnenia údajov spôsobujúceho ujmu. Naproti tomu sa mi zdá byť neprimerané uložiť subjektu, ktorý by s primeranou pravdepodobnosťou nemohol identifikovať dotknuté osoby, povinnosti vyplývajúce z nariadenia 2018/1725, ( 27 ) teda povinnosti, ktoré by tento subjekt hypoteticky nemohol splniť alebo ktoré by práve od neho vyžadovali, aby sa pokúšal identifikovať dotknuté osoby.

59.

Vzhľadom na tieto úvahy sa domnievam, že pri analýze sporu z hľadiska údajov, aké boli postúpené spoločnosti Deloitte, je na rozdiel od toho, čo tvrdí EDPS, potrebné určiť, či spracovanie predmetných údajov pseudonymizáciou bolo dostatočne spoľahlivé na to, aby sa dospelo k záveru, že sťažovatelia, autori informácií postúpených spoločnosti Deloitte, neboli s primeranou pravdepodobnosťou identifikovateľní. Inými slovami, ak by v tomto kontexte Deloitte mala k dispozícii prostriedky, pri ktorých existuje primeraná pravdepodobnosť identifikácie uvedených sťažovateľov, bolo by ju možné považovať za subjekt, ktorý spracúva osobné údaje.

60.

Prvá výhrada vznesená EDPS by sa teda podľa môjho názoru mala zamietnuť.

b)

O druhej výhrade založenej na nesprávnom porovnaní s rozsudkom Breyer

1)

Tvrdenia účastníkov konania

61.

EDPS podporovaný Európskym výborom pre ochranu údajov zastáva názor, že predmetné pseudonymizované údaje sú pre SRB osobnými údajmi, a preto mala SRB povinnosť poskytnúť dotknutým osobám informácie o príjemcovi. V podstate tvrdí, že Všeobecný súd podal nesprávny výklad rozsudku Breyer, ktorý sa týkal odlišnej skutkovej situácie.

62.

SRB podporovaná Komisiou naproti tomu tvrdí, že porovnanie s rozsudkom Breyer je relevantné a vedie k záveru, že informačná povinnosť sa uplatňuje len vtedy, ak sú postúpené údaje osobnými údajmi z hľadiska príjemcu, v tomto prípade spoločnosti Deloitte, čo – ako správne rozhodol Všeobecný súd – nebolo v prejednávanej veci preukázané.

2)

Posúdenie

63.

Domnievam sa, že informačná povinnosť stanovená v článku 15 ods. 1 písm. d) nariadenia 2018/1725 a paralela s rozsudkom Breyer vedú v prejednávanej veci k inému riešeniu, než aké zvolil Všeobecný súd, čo vysvetlím v rámci analýzy tejto výhrady.

64.

Článok 4 ods. 1 písm. a) nariadenia 2018/1725 stanovuje požiadavku zákonného, spravodlivého a transparentného spracúvania údajov vo vzťahu k dotknutej osobe.

65.

Konkrétne článok 15 ods. 1 písm. d) tohto nariadenia stanovuje, že v prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ „pri získavaní osobných údajov“ dotknutej osobe informácie o prípadných príjemcoch uvedených údajov. Zdá sa teda, že túto informáciu musí poskytnúť prevádzkovateľ bezodkladne, t. j. v čase zhromažďovania údajov. ( 28 )

66.

Dôležitosť splnenia takejto informačnej povinnosti potvrdzuje aj odôvodnenie 35 nariadenia 2018/1725, v ktorom sa uvádza, že zásada spravodlivého a transparentného spracúvania si vyžaduje, aby dotknutá osoba bola informovaná o existencii spracovateľskej operácie a jej účeloch, pričom sa zdôrazňuje, že prevádzkovateľ by mal dotknutej osobe poskytnúť všetky ďalšie informácie, ktoré sú potrebné na zaručenie spravodlivého a transparentného spracúvania, pričom sa zohľadnia konkrétne okolnosti a kontext, v ktorom sa osobné údaje spracúvajú. ( 29 )

67.

Takáto informačná povinnosť je o to dôležitejšia, že platnosť súhlasu udeleného dotknutou osobou závisí okrem iného od toho, či táto osoba predtým získala informácie vzhľadom na všetky okolnosti súvisiace so spracúvaním predmetných údajov, na ktoré mala nárok podľa článkov 14 a 15 nariadenia 2018/1725 a ktoré jej umožňujú udeliť informovaný súhlas. ( 30 )

68.

Chcem dodať, že jediná výnimka z tejto informačnej povinnosti stanovená v článku 15 ods. 4 nariadenia 2018/1725 sa týka prípadu, keď dotknutá osoba už dané informácie má.

69.

Z toho vyvodzujem, že v prejednávanej veci táto informačná povinnosť patrí do rámca právneho vzťahu existujúceho medzi dotknutými osobami, v tomto prípade sťažovateľmi na jednej strane a SRB ako prevádzkovateľom na druhej strane, a nie do rámca vzťahu medzi SRB a príjemcom, t. j. spoločnosťou Deloitte. Informačná povinnosť sa teda týka údajov, ktoré má SRB k dispozícii pred ich postúpením spoločnosti Deloitte. Je pritom nesporné, že ide o osobné údaje, pretože SRB má k dispozícii pripomienky a podklady na identifikáciu osôb, ktoré ich predložili.

70.

Takýto prístup „relevantného hľadiska“ ( 31 ) ma teda vedie k inému riešeniu, než aké zvolil Všeobecný súd, a to aj po porovnaní s rozsudkom Breyer.

71.

Pripomínam, že v spore, ktorý viedol k prejudiciálnej otázke položenej v tomto rozsudku, sa pán Breyer domáhal, aby sa prevádzkovateľovi (Spolkovej republike Nemecko) zakázalo uchovávať jeho dynamickú IP adresu. Ďalšie informácie umožňujúce jeho identifikáciu prostredníctvom IP adresy spojenej s jeho počítačom neboli v rukách prevádzkovateľa, ale poskytovateľa internetového pripojenia. Otázkou teda bolo, či dynamickú IP adresu, ktorou disponuje prevádzkovateľ, možno kvalifikovať ako „osobný údaj“, a teda v rámci právneho vzťahu medzi pánom Breyerom a uvedeným prevádzkovateľom má za následok vznik povinností na strane tohto prevádzkovateľa vo veciach uchovávania, hoci identifikačné údaje pána Breyera boli v rukách inej osoby než prevádzkovateľa. V podstate bolo rozhodnuté, že hoci prevádzkovateľ nemá k dispozícii dodatočné identifikačné informácie, mohol k nim mať s primeranou pravdepodobnosťou prístup, a teda dynamická IP adresa bola kvalifikovaná ako „osobný údaj“.

72.

V prejednávanej veci, ako už bolo uvedené vyššie ( 32 ), informačná povinnosť patrí do rámca vzťahu medzi dotknutými osobami (sťažovateľmi) a prevádzkovateľom (SRB): informačná povinnosť vzniká práve vtedy, keď SRB predmetné údaje zhromažďuje, a pokiaľ ide konkrétne o informácie o príjemcovi, najneskôr vtedy, keď je tento príjemca známy. Keď tento okamih nastane, predmetné údaje sú osobnými údajmi v rukách SRB, ktorá disponuje dodatočnými identifikačnými údajmi. Vzhľadom na dotknutú informačnú povinnosť a vzhľadom na okamih, kedy vznikne, teda predmetné údaje predstavovali osobné údaje bez ohľadu na ich identifikovateľnosť spoločnosťou Deloitte, ktorej sa netýka ani právny vzťah medzi sťažovateľmi a SRB, ktorý jediný je relevantný, ani táto informačná povinnosť, ktorá prináleží SRB.

73.

Práve v tomto ohľade sa mi zdá, že paralelu s rozsudkom Breyer treba v prejednávanej veci relativizovať.

74.

Z toho vyplýva, že informačnú povinnosť mala SRB ako prevádzkovateľ a na základe jej vzťahu so sťažovateľmi, od ktorých zhromaždila predmetné údaje, a to bez ohľadu na to, či sú údaje postúpené do rúk spoločnosti Deloitte osobnými údajmi alebo nie.

75.

Tvrdenie SRB zopakované na pojednávaní, podľa ktorého je hľadisko príjemcu relevantné, pretože treba overiť, či je alebo nie je „príjemcom osobných údajov“, treba v tejto logike odmietnuť.

76.

V tejto súvislosti je pravda, že znenie článku 15 ods. 1 písm. d) nariadenia 2018/1725, ktoré odkazuje na „príjemcov… osobných údajov“, môže viesť k nejasnostiam. Potrebný účinok tohto ustanovenia si však vyžaduje, aby sa informácie oznámili dotknutým osobám čo najskôr a pred uvedeným postúpením údajov. ( 33 ) Aj keď SRB pri prvotnom zhromažďovaní pripomienok nemala v úmysle požiadať Deloitte o stanovisko na účely zistenia, či tieto pripomienky zmenili ocenenie 3, v prejednávanej veci zo sporného rozhodnutia predloženého na Všeobecnom súde vyplýva, že Deloitte pomáhala SRB v rámci postupu týkajúceho sa práva na vypočutie. ( 34 ) Okrem toho zámer SRB odovzdať pseudonymizované údaje spoločnosti Deloitte možno považovať za existujúci najneskôr v čase, keď bolo rozhodnuté zaoberať sa predmetnými pripomienkami práve na účely ich pseudonymizácie, ( 35 ) inak by pseudonymizácia nemala žiadne opodstatnenie.

77.

Domnievam sa teda, že skutočnosť, že kontrola dodržiavania informačnej povinnosti v čase, keď SRB postúpila údaje spoločnosti Deloitte, pričom vychádzala z jej hľadiska príjemcu na účely určenia, či predmetné údaje sú alebo nie sú osobnými údajmi, vedie k časovému posunu uvedenej kontroly. Táto kontrola je v dôsledku toho nesprávne odložená, pretože by sa vykonávala v súvislosti s údajmi, ktoré už boli prenesené príjemcovi, hoci predmet informačnej povinnosti sa týka vzťahu medzi SRB a sťažovateľmi a jej cieľom je umožniť im udeliť informovaný súhlas pred prenosom.

78.

Navyše pokiaľ ide o súhlas sťažovateľov, ich účasť na postupe týkajúcom sa práva na vypočutie sa nepochybne môže vykladať ako implicitný súhlas s poskytnutím osobných údajov prevádzkovateľovi na účely zohľadnenia ich pripomienok. To však podľa môjho názoru nemôže stačiť na to, aby takýto súhlas predstavoval informovaný súhlas s pseudonymizáciou údajov a ich postúpením spoločnosti Deloitte bez predchádzajúcej informácie v tomto smere od SRB. ( 36 )

79.

Z toho podľa môjho názoru vyplýva, že informačná povinnosť, ktorú má SRB, sa v prejednávanej veci uplatňovala pred prenosom predmetných údajov a bez ohľadu na to, či tieto údaje boli alebo neboli osobnými údajmi v rukách spoločnosti Deloitte.

80.

Skutočnosť, či je pseudonymizácia dostatočne spoľahlivá a efektívna na to, aby bolo možné konštatovať, že údaje v rukách spoločnosti Deloitte sú alebo nie sú osobnými údajmi, sa mi preto v konečnom dôsledku nezdá byť relevantná z hľadiska informačnej povinnosti, ktorú má SRB.

81.

V dôsledku toho informačná povinnosť, ktorú má SRB ako prevádzkovateľ, mala byť v prejednávanej veci splnená, a napadnutý rozsudok treba preto zrušiť z dôvodu nesprávneho právneho posúdenia.

82.

Keďže hľadisko príjemcu predmetných údajov nie je relevantné z pohľadu informačnej povinnosti stanovenej v článku 15 ods. 1 písm. d) nariadenia 2018/1725, tvrdenia účastníkov konania týkajúce sa možnosti spoločnosti Deloitte identifikovať právnymi a prakticky uskutočniteľnými prostriedkami dotknuté osoby sa javia ako neúčinné, a preto ich nie je potrebné skúmať.

83.

Ak by Súdny dvor nesúhlasil s týmto názorom, subsidiárne poznamenávam, že EDPS v tejto súvislosti spochybňuje konštatovanie Všeobecného súdu, podľa ktorého Deloitte nemala prístup k identifikačným údajom. Vychádza najmä zo zmluvného subdodávateľského vzťahu, ktorý by mal existovať medzi SRB a spoločnosťou Deloitte. SRB a Komisia tvrdia, že EDPS tým uvádza nové skutkové tvrdenia, ktoré sú vo fáze odvolania neprípustné. Tiež zastávam tento názor. Existencia zmluvného vzťahu medzi SRB a spoločnosťou Deloitte, ktorá by preukazovala možnosť spoločnosti Deloitte požiadať SRB o identifikáciu sťažovateľov, totiž predstavuje novú argumentáciu, ku ktorej sa Všeobecný súd navyše nijako nevyjadril. Z toho vyplýva, že táto argumentácia by mala byť v prípade potreby zamietnutá ako neprípustná podľa článku 170 ods. 1 druhej vety Rokovacieho poriadku Súdneho dvora, podľa ktorého odvolaním nemožno meniť predmet sporu na Všeobecnom súde. ( 37 )

B.

O druhom odvolacom dôvode preskúmanom subsidiárne

84.

Svojím druhým odvolacím dôvodom založeným na porušení zásady zodpovednosti stanovenej v článku 4 ods. 2 a článku 26 ods. 1 nariadenia 2018/1725 EDPS podporovaný Európskym výborom pre ochranu údajov tvrdí, že Všeobecný súd nesprávne rozhodol, že mal preukázať, že informácie postúpené spoločnosti Deloitte predstavujú osobné údaje, čo je v rozpore so zásadou zodpovednosti SRB.

85.

Vzhľadom na vyššie uvedené, a najmä body 81 a 82 vyššie, sa domnievam, že nie je potrebné preskúmať tento druhý odvolací dôvod.

86.

Subsidiárne sa teda o ňom zmienim len stručne.

87.

Pokiaľ ide o prípustnosť namietanú SRB vo vzťahu k tomuto odvolaciemu dôvodu, ktorý nebol uvedený v konaní na Všeobecnom súde, chcem pripomenúť, že odvolateľ má právo podať odvolanie, v rámci ktorého uvedie odvolacie dôvody vyplývajúce zo samotného napadnutého rozsudku, ktoré majú z právneho hľadiska spochybniť jeho dôvodnosť. ( 38 ) Zdá sa mi, že to je prípad tohto odvolacieho dôvodu, ktorý je teda prípustný.

88.

Pokiaľ ide o vec samu, treba pripomenúť, že Všeobecný súd rozhodol, že keďže EDPS neprešetril, či Deloitte mala k dispozícii legálne a v praxi použiteľné prostriedky umožňujúce prístup k dodatočným informáciám potrebným na opätovnú identifikáciu sťažovateľov, EDPS nemohol dospieť k záveru, že informácie postúpené spoločnosti Deloitte predstavovali informácie týkajúce sa „identifikovateľnej fyzickej osoby“ v zmysle článku 3 bodu 1 nariadenia 2018/1725.

89.

EDPS podporovaný Európskym výborom pre ochranu údajov v podstate tvrdí, že Všeobecný súd mal overiť, či SRB ako prevádzkovateľ preukázala, že anonymizovala sporné údaje vo vzťahu k spoločnosti Deloitte.

90.

SRB spochybňuje túto argumentáciu a tvrdí, že zásada zodpovednosti sa uplatňuje len v prípade existencie osobných údajov a že v prejednávanej veci boli údaje v rukách spoločnosti Deloitte anonymizované.

91.

Komisia zase tvrdí, že v prvom rade EDPS znáša primerané dôkazné bremeno, aby na základe dostupných dôkazov preukázal existenciu osobných údajov. V druhom rade podľa nej prináleží dotknutému prevádzkovateľovi, aby vyvrátil tento záver predložením ďalších dôkazov.

92.

Chcem pripomenúť, že podľa článku 4 ods. 1 písm. a) nariadenia 2018/1725 musia byť osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Článok 4 ods. 2 tohto nariadenia stanovuje, že „prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať“. Zo zásady zodpovednosti stanovenej v článku 4 ods. 2 a spresnenej v článku 26 ods. 1 uvedeného nariadenia tak vyplýva, že prevádzkovateľ musí byť schopný preukázať, že dodržal zásady týkajúce sa spracúvania osobných údajov stanovené v článku 4 ods. 1 ( 39 )

93.

Pokiaľ prevádzkovateľ predloží dostatočné dôkazy v tomto zmysle, možno sa domnievať, že uniesol dôkazné bremeno, ktoré ho zaťažuje. ( 40 )

94.

V prejednávanej veci sa mi zdá, že SRB uviedla viacero skutkových okolností (najmä postupy filtrovania, kategorizácie, agregácie pripomienok opísané v spornom rozhodnutí a napadnutom rozsudku), aby v súlade so zásadou zodpovednosti, ktorá jej prináleží, preukázala, že identifikácia dotknutých osôb spoločnosťou Deloitte nebola možná.

95.

EDPS pred Všeobecným súdom vyjadril v tejto súvislosti zásadné stanovisko, ktoré spočívalo v tom, že vychádzal z hľadiska SRB, a nie spoločnosti Deloitte, a tak kvalifikoval pripomienky postúpené spoločnosti Deloitte ako „osobné údaje“.

96.

Ak by sa na účely subsidiárneho preskúmania tohto odvolacieho dôvodu pripustilo, že hľadisko spoločnosti Deloitte bolo v prejednávanej veci relevantné, ( 41 ) bolo by možné domnievať sa, že – ako rozhodol Všeobecný súd – úlohou EDPS bolo preukázať, ( 42 ) z akého právneho alebo technického dôvodu postup pseudonymizácie, ktorý v prejednávanej veci zaviedla SRB, nebol dostatočný a mal viesť k záveru, že Deloitte spracúvala osobné údaje.

97.

Domnievam sa teda, že napadnutý rozsudok by mal byť prípadne v súvislosti s týmto druhým odvolacím dôvodom potvrdený.

VII.

O žalobe na Všeobecnom súde

98.

Podľa článku 61 prvého odseku Štatútu Súdneho dvora Európskej únie ak je odvolanie dôvodné, Súdny dvor zruší rozhodnutie Všeobecného súdu. Súdny dvor tak môže sám rozhodnúť o veci samej, ak to stav konania dovoľuje, alebo vrátiť vec Všeobecnému súdu na ďalšie konanie.

99.

Prvý žalobný dôvod, ktorý SRB vzniesla proti spornému rozhodnutiu na Všeobecnom súde, je založený na porušení článku 3 bodu 1 nariadenia 2018/1725. Z bodov 63 až 82 vyššie vyplýva, že SRB si nesplnila informačnú povinnosť, ktorá jej vyplýva z článku 15 ods. 1 písm. d) nariadenia 2018/1725, sporné rozhodnutie by teda malo byť podľa môjho názoru potvrdené.

100.

Naproti tomu o druhom žalobnom dôvode založenom na porušení práva na riadnu správu vecí verejných zo strany EDPS v rámci konania, ktoré viedlo k prijatiu sporného rozhodnutia, podľa môjho názoru nedovoľuje stav veci rozhodnúť.

101.

SRB totiž predovšetkým tvrdí, že v rámci správneho konania, ktoré predchádzalo prijatiu sporného rozhodnutia, EDPS porušil jej právo na prístup k spisu, právo byť vypočutá, ako aj zásadu rovnosti zbraní tým, že jej jednak odmietol prístup k spisu a jednak jej neoznámil pripomienky sťažovateľov alebo ich obsah.

102.

Všeobecný súd však zastával názor, že keďže prvému žalobnému dôvodu bolo vyhovené, nebolo potrebné preskúmať druhý žalobný dôvod, ktorý mu bol predložený. V dôsledku toho stav veci nedovoľuje rozhodnúť o tomto žalobnom dôvode, ktorý zahŕňa najmä posúdenie skutkového stavu. Domnievam sa teda, že vec musí byť vrátená Všeobecnému súdu, aby v tomto ohľade rozhodol, pričom o trovách konania sa rozhodne neskôr.

VIII.

Návrh

103.

Vzhľadom na všetky vyššie uvedené úvahy navrhujem, aby Súdny dvor:

–

zrušil rozsudok Všeobecného súdu Európskej únie z 26. apríla 2023, SRB/EDPS (T‑557/20, EU:T:2023:219),

–

vrátil vec Všeobecnému súdu, aby rozhodol o druhom žalobnom dôvode, ktorý mu bol predložený,

–

nariadil, že o trovách konania sa rozhodne neskôr.