Förslag till avgörande av generaladvokat Spielmann – Mål C‑413/23 P EDPS/SRB (Begreppet personuppgifter)

I. Inledning

1. Europeiska datatillsynsmannen (EDPS) har yrkat att domstolen ska upphäva den dom som Europeiska unionens tribunal meddelade den 26 april 2023, SRB/EDPS ( T‑557/20, EU:T:2023:219) (nedan kallad den överklagade domen), i vilken tribunalen ogiltigförklarade EDPS:s reviderade beslut av den 24 november 2020 (nedan kallat det omtvistade beslutet), avseende fem klagomål som ingetts av aktieägare och borgenärer som berördes av resolutionen av Banco Popular Español SA (nedan kallad Banco Popular) om att de inte hade informerats om överföringen av deras personuppgifter.

2. Förevarande mål bereder domstolen tillfälle att, i samband med pseudonymiserade uppgifter, precisera begreppet personuppgifter och de skyldigheter som det medför i syfte att rätta sig efter skyldigheterna avseende en rättvis och öppen behandling av uppgifterna.

II. Tillämpliga bestämmelser

3. Huvudbestämmelserna i förordning (EU) 2018/1725 som är relevanta inom ramen för förevarande överklagande är följande.

4. Skälen 16 och 17 i denna förordning har följande lydelse:

(”(16) Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen. Principerna för dataskyddet bör därför inte gälla för anonym information, dvs. information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar. Denna förordning berör därför inte behandling av sådan anonym information, vilket inbegriper information för statistiska ändamål eller forskningsändamål.

(17) Tillämpningen av pseudonymisering av personuppgifter kan minska riskerna för de registrerade som berörs och hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd. Ett uttryckligt införande av pseudonymisering i denna förordning är inte avsett att utesluta andra åtgärder för dataskydd.”

5. I artikel 3 i denna förordning, som har rubriken ”Definitioner”, föreskrivs i punkterna 1 och 6 följande:

”I denna förordning avses med

1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad den registrerade); varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

…

6. pseudonymisering: behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person.”

6. Artikel 4. i samma förordning har rubriken ”Principer för behandling av personuppgifter”. I punkterna 1 a och 2 i denna artikel föreskrivs följande:

”1. Vid behandling av personuppgifter ska följande gälla:

a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

…

2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).”

7. I artikel 15 i förordning 2018/1725, som har rubriken ”Information som ska tillhandahållas när personuppgifter samlas in från den registrerade”, föreskrivs i punkt 1 d följande:

”Om personuppgifter som rör en registrerad person samlas in från den registrerade ska den personuppgiftsansvarige, vid den tidpunkt då personuppgifterna erhålls, till den registrerade lämna information om följande:

…

d) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.”

III. Bakgrund till tvisten

8. Den 7 juni 2017 antog Gemensamma resolutionsnämnden (SRB) på grundval av Europaparlamentets och rådets förordning (EU) nr 806/2014 av den 15 juli 2014 om fastställande av enhetliga regler och ett enhetligt förfarande för resolution av kreditinstitut och vissa värdepappersföretag inom ramen för en gemensam resolutionsmekanism och en gemensam resolutionsfond och om ändring av förordning (EU) nr 1093/2010 en resolutionsordning för bankinstitutet Banco Popular Español SA, vilken godkändes samma dag i ett beslut av Europeiska kommissionen, vilket konkret innebär att bankens kapitalinstrument skrivs ned eller konverteras och avyttras genom aktieöverlåtelse.

9. SRB anlitade, i enlighet med artikel 20.16–20.18 i förordning nr 806/2014, Deloitte, i egenskap av ”oberoende person”, för att göra en värdering av skillnaden i behandling, i syfte att avgöra om aktieägare och borgenärer som berörts av resolutionsåtgärden skulle ha behandlats bättre om institutet hade inlett ett normalt insolvensförfarande.

10. Den 14 juni 2018 överlämnade Deloitte denna värdering av skillnaden i behandling (nedan kallad värdering 3) till SRB. SRB angav i ett preliminärt beslut att den, för att kunna fatta ett slutligt beslut om huruvida de aktieägare och borgenärer som berördes av Banco Populars resolution skulle beviljas ersättning enligt artikel 76.1 e i förordning nr 804/2014, inledde ett förfarande för att låta de berörda utöva rätten att bli hörda, som omfattade först en anmälningsfas, för att fastställa huruvida de parter som anmält sitt intresse var berättigade, och därefter en samrådsfas, i vilken de berörda aktieägarna och borgenärerna lämnade skriftliga kommentarer till SRB:s preliminära beslut, till vilket värdering 3 utgjorde en bilaga.

11. De uppgifter som samlades in under anmälningsfasen, det vill säga bevisen för deltagarnas identitet och för ägandet av Banco Populars kapitalinstrument, som hade skrivits ned eller konverterats och överförts, var tillgängliga för ett begränsat antal SRB-anställda som hade till uppgift att behandla dessa uppgifter för att fastställa huruvida deltagarna var berättigade. Dessa uppgifter var inte synliga för de SRB-anställda som hanterade de kommentarer som inkommit under samrådsfasen, då de endast mottog kommentarer som identifierades med hjälp av en alfanumerisk kod som tilldelades varje kommentar som hade lämnats via formuläret.

12. Efter aggregering, automatisk filtrering och kategorisering av kommentarerna överlämnade SRB de filtrerade, kategoriserade och aggregerade kommentarerna avseende värdering 3 till Deloitte. De kommentarer som överfördes till Deloitte gällde endast de kommentarer som inkommit under samrådsfasen och tilldelats en alfanumerisk kod, vilken hade tagits fram i revisionssyfte för att göra det möjligt för SRB att kontrollera och eventuellt senare styrka att varje kommentar hade behandlats och vederbörligen beaktats. Med hjälp av denna kod var SRB den enda som kunde koppla kommentarerna till de uppgifter som mottagits under anmälningsfasen. Deloitte hade - och har ännu - inte tillgång till den databas som innehöll de personuppgifter som samlats in under anmälningsfasen.

13. Berörda aktieägare och borgenärer (nedan kallade klagandena) ingav fem klagomål till EDPS med stöd av förordning 2018/1725, på grund av att meddelandet om skydd av personuppgifter, som avsåg behandlingen av de personuppgifter som SRB offentliggjort, inte innehöll någon hänvisning till överföring till Deloitte av de uppgifter som samlats in med hjälp av formuläret. De gjorde gällande att SRB hade åsidosatt sin informationsskyldighet avseende behandlingen av personuppgifter enligt denna förordning, som föreskrivs i artikel 15.1 d i nämnda förordning.

14. EDPS antog ett ursprungligt beslut den 24 juni 2020 som, till följd av en begäran om omprövning från SRB, upphävdes och ersattes, den 24 november 2020, av det omtvistade beslutet, i vilket angavs följande:

”1) EDPS anser att de uppgifter som SRB har delat med Deloitte var pseudonymiserade uppgifter, dels på grund av att kommentarerna i [samråds]fasen var personuppgifter, dels på grund av att SRB delade den alfanumeriska kod som gjorde det möjligt att sammankoppla de svar som hade lämnats under [anmälnings]fasen med dem som lämnats i [samråds]fasen, trots att de uppgifter som deltagarna lämnat för att identifiera sig under [anmälnings]fasen inte hade meddelats Deloitte.

2) EDPS anser att Deloitte var en mottagare av klagandenas personuppgifter i den mening som avses i artikel 3.13 i förordning 2018/1725. Den omständigheten att Deloitte inte nämndes i SRB:s meddelande om skydd av personuppgifter som en potentiell mottagare av de personuppgifter som SRB samlade in och behandlade, i sin egenskap av personuppgiftsansvarig inom ramen för förfarandet för att låta de berörda utöva rätten att bli hörda, utgör ett åsidosättande av den informationsskyldighet som föreskrivs i artikel 15.1 d [i förordning 2018/1725].

3) Mot bakgrund av alla de tekniska och organisatoriska åtgärder som SRB vidtagit för att minska riskerna för personernas rätt till skydd för personuppgifter inom ramen för förfarandet för att låta de berörda utöva rätten att bli hörda, beslutar EDPS att inte utöva sin korrigerande befogenhet enligt artikel 58.2 [i förordning 2018/1725].

4) EDPS rekommenderar emellertid SRB att försäkra sig om att dess meddelanden om skydd av personuppgifter i framtida förfaranden för att låta de beröra utöva sin rätt att bli hörda omfattar behandling av personuppgifter såväl under anmälningsfaser som under samrådsfasen och att de inkluderar alla potentiella mottagare av de uppgifter som samlas in, i syfte att fullt ut uppfylla skyldigheten att informera berörda personer i enlighet med artikel 15 [i förordning 2018/1725].”

IV. Den överklagade domen

15. Genom ansökan som inkom till tribunalens kansli den 1 september 2020 och en inlaga om justering av talan som inkom den 29 januari 2021, väckte SRB talan dels om ogiltigförklaring av det omtvistade beslutet, dels om en förklaring om att EDPS:s ursprungliga beslut av den 24 juni 2020 var rättsstridigt.

16. SRB gjorde, till stöd för det första yrkandet, gällande två grunder. Den första grunden avsåg åsidosättande av artikel 3.1 i förordning 2018/1725, genom att de uppgifter som lämnats till Deloitte inte utgjorde personuppgifter. Den andra grunden gällde åsidosättande av rätten till god förvaltning, vilken föreskrivs i artikel 41 i Europeiska unionen stadga om de grundläggande rättigheterna.

17. Tribunalen fastställde i den överklagade domen att talan kunde tas upp till sakprövning. Den biföll talan på den första grunden och ogiltigförklarande det omtvistade beslutet, utan att pröva den andra grunden.

18. Beträffande den första grunden ansåg tribunalen, för det första, att EDPS, hade ansett att de upplysningar som överlämnats till Deloitte ”avsåg” en fysisk person i den mening som avses i artikel 3.1 i förordning 2018/1725 och grundat denna slutsats på ett antagande, utan att pröva innehåll i, syfte med eller verkan av de upplysningar som överlämnats till Deloitte, i strid med vad domstolen slog fast i domen Nowak.

19. För det andra, vad gäller det villkor som föreskrivs i artikel 3.1 i förordning 2018/1725, enligt vilket upplysningen ska avse en ”identifierad eller identifierbar” fysisk person, ansåg tribunalen att det, i den aktuella situationen, ankom på EDPS att pröva huruvida de kommentarer som överlämnats till Deloitte utgjorde personuppgifter med avseende på Deloitte. EDPS undersökte emellertid, enligt den överklagade domen, endast huruvida SRB, och inte Deloitte, kunde återidentifiera de personer som hade lämnat kommentarer. Eftersom EDPS inte undersökte huruvida Deloitte hade rättsliga och praktiskt genomförbara medel för att få tillgång till de kompletterande uppgifter som var nödvändiga för att återidentifiera de personer som hade lämnat kommentarer, kunde EDPS därför inte dra slutsatsen att den information som lämnats ut till Deloitte utgjorde uppgifter som avsåg en ”identifierbar fysisk person” i den mening som avses i artikel 3.1 i förordning 2018/1725.

V. Förfarandet vid domstolen och parternas yrkanden

20. EDPS har överklagat domen genom ett överklagande som inkom till domstolens kansli den 5 juli 2023. Genom beslut av domstolens ordförande av den 29 november 2023, tilläts Europeiska dataskyddsstyrelsen att intervenera till stöd för EDPS:s yrkanden och, genom beslut av den 20 oktober 2023 tilläts Europeiska kommissionen att intervenera till stöd för SRB.

21. EDPS har yrkat att domstolen ska upphäva den överklagade domen, slutligt avgöra målet i sak, och förplikta SRB att ersätta rättegångskostnaderna för överklagandeförfarandet och förfarandet vid tribunalen.

22. Europeiska dataskyddsstyrelsen har, till stöd för EDPS, yrkat att domstolen ska upphäva den överklagade domen, och slutligt avgöra målet i sak genom att bekräfta det omtvistade beslutet.

23. SRB har yrkat att domstolen ska ogilla överklagandet, i andra hand, ogiltigförklara det omtvistade beslutet, i tredje hand, återförvisa målet till tribunalen, och förplikta EDPS att ersätta rättegångskostnaderna för förfarandet vid domstolen och förfarandet vid tribunalen.

24. Europeiska kommissionen har, till stöd för SRB, yrkat att domstolen ska ogiltigförklara överklagandet, och förplikta EDPS att ersätta rättegångskostnaderna.

VI. Överklagandet

25. EDPS har, som grund för sitt överklagande och med stöd av Europeiska dataskyddsstyrelsen, anfört två grunder. Som första grund har EDPS bestritt tribunalens tolkning av begreppet personuppgifter i den mening som avses i artikel 3.1 och 3.6 i förordning 2018/1725, såsom det har tolkats i domstolens praxis. Den andra grunden avser ett åsidosättande av den princip om ansvarsskyldighet som föreskrivs i artiklarna 4.2 och 26.1 i samma förordning.

A. Den första grunden för överklagandet

26. Den första grunden för överklagandet är uppdelad i två delar. Den första delen rör villkoret att den omtvistade informationen ska ”avse” en fysisk person och den andra rör villkoret att denna person ska vara ”identifierad eller identifierbar”.

1. Den första delgrunden, avseende huruvida upplysningarna ”avser” en fysisk person

a) Parternas argument

27. EDPS har, med stöd av Europeiska dataskyddsstyrelsen, gjort gällande att tribunalen har gjort en felaktig bedömning genom att ha angett att EDPS grundat sin bedömning på ett antagande avseende tolkningen av villkoret att de upplysningar som lämnats till Deloitte avsåg en fysisk person, i den mening som avses i artikel 3.1 i förordning nr 2018/1725. Enligt EDPS krävdes det inte, under omständigheterna i målet, att den gjorde någon mer fördjupad granskning.

28. SRB har, å sin sida, gjort gällande att EDPS, liksom tribunalen har angett, begränsat sig till att ange att de omtvistade kommentarerna, som klagandena lämnat under samrådsfasen i förfarandet för att låta de berörda utöva rätten att bli hörda, återspeglade deras åsikter eller uppfattningar medan de den borde ha undersökt huruvida de upplysningar som lämnats till Deloitte var knutna till en viss person genom deras innehåll, syfte eller verkan såsom krävs enligt domen Nowak.

b) Rättslig bedömning

29. Det ska erinras om att domstolen upprepade gånger har slagit fast att användningen av uttrycket ”varje upplysning” i definitionen av begreppet ”personuppgifter” avspeglar unionslagstiftarens avsikt att ge detta begrepp en vid innebörd, vilken potentiellt innefattar alla typer av upplysningar, såväl objektiva som subjektiva, i form av åsikter eller bedömningar, under förutsättning att uppgifterna ”avser” den berörda personen.

30. En upplysning avser en identifierad eller identifierbar fysisk person när den på grund av sitt innehåll, syfte eller verkan är ”knuten” till en identifierbar person.

31. När det gäller yttranden eller bedömningar, såsom klagandenas kommentarer i förevarande mål, anser jag att en åtskillnad bör göras mellan en prövning av huruvida dessa yttranden eller bedömningar är ”knutna” till den person eller de personer som avses i yttrandets eller bedömningens lydelse och huruvida det, som i förevarande mål, rör sig om att fastställa huruvida de är ”knutna” till deras upphovsman. I det förstnämnda fallet ska det, för att fastställa huruvida det finns en upplysning som är knuten till den person som är föremål för bedömningen, bedömas huruvida bedömningens innehåll, syfte eller verkan avser denna person. I det sistnämnda fallet anser jag däremot att det, för att fastställa huruvida bedömningen är knuten till den person som har utfärdat den, kan antas att detta är fallet och att ett yttrande eller en bedömning nödvändigtvis är knuten till dess upphovsman.

32. I domen Nowak rörde det sig i huvudsak om att bedöma upplysningar som angetts i ett prov. Två personer var således berörda, examinanden och examinatorn. Domstolen granskade visserligen innehållet i, syftet med och verkan av examinandens svar och drog därav slutsatsen att de avsåg denne. Vad specifikt gällde examinatorns anteckningar angående svaren, som avspeglade examinatorns åsikt eller bedömning, och även om domstolen bedömde innehållet i, syftet med och verkan av de upplysningar som lämnats i provet, och drog slutsatsen att denna bedömning avsåg examinanden, gjorde den emellertid ingen sådan granskning för att komma fram till att anteckningarna utgjorde upplysningar som avsåg den examinator som var deras upphovsman. Således anser jag att det inte helt kan uteslutas att ett (enkelt) antagande kan göras när det gäller att bedöma huruvida ett yttrande eller en bedömning eller, som i förevarande mål, en kommentar, är ”knuten” till sin upphovsman.

33. Jag drar av detta slutsatsen att de kommentarer som är aktuella i förevarande mål, om inget annat visas, eftersom de härrörde från klagandena och visade deras ”logik och deras resonemang”, och således avspeglade ett uttryck för deras ”subjektiva åsikt”, nödvändigtvis ”avsåg” nämnda klagande, oberoende av syftet med och verkan av deras kommentarer.

34. Under alla omständigheter anser jag, även i avsaknad av ett sådant antagande i förevarande mål, att de aktuella kommentarerna är ”knutna” till klagandena på grund av deras innehåll, syfte och verkan.

35. SRB har i detta hänseende gjort gällande att argumenten avseende de aktuella kommentarernas syfte och sammanhang är irrelevanta eftersom de inte prövades i det omtvistade beslutet, att de inte kan tas upp till sakprövning då de innehåller ett nytt påstående avseende de faktiska omständigheterna och, under alla omständigheter, är felaktiga.

36. Detta argument övertygar mig inte. Såväl EDPS:s prövning i det omtvistade beslutet som tribunalens bedömning ingår i ett rättsligt sammanhang som beaktats och som tydligt nämner syftet med och verkan av de aktuella kommentarerna, som lämnats inom ramen för förfarandet för att låta de berörda utöva rätten att bli hörda. Dessa argument rörande kommentarernas syfte och verkan är således relevanta och kan tas upp till sakprövning.

37. Vidare, vad gäller saken, framgår det av tillämpliga bestämmelser att syftet med förfarandet för att låta de berörda utöva rätten att bli hörda, inom ramen för vilket de aktuella kommentarerna har lämnats, var att göra det möjligt för berörda aktieägare och borgenärer att bidra till förfarandet, bland annat i syfte att göra det möjligt för SRB att få tillgång till alla nödvändiga upplysningar för att kunna fatta ett slutligt beslut avseende huruvida det var nödvändigt att bevilja aktieägarna och borgenärerna, som berörs av Banco Populars resolution, en ersättning, med tillämpning av principen om att ingen borgenär får behandlas sämre än vid en likvidering enligt ett normalt insolvensförfarande. Vidare kunde dessa kommentarer, när de beaktats av SRB, kunna få en verkan på klagandenas intressen och rättigheter avseende ekonomisk ersättning.

38. Jag drar av detta slutsatsen att de aktuella kommentarerna är knutna till de i målet berörda personerna, inbegripet på grund av deras syfte och verkan.

39. Det ska tilläggas att de aktuella kommentarerna, såsom de lämnats till Deloitte, ”filtrerats, kategoriserats och aggregerats”, varför de individuella kommentarerna, såsom framgår av de faktiska omständigheter som fastställts av tribunalen, inte kunde urskiljas inom ett och samma tema. Det kan emellertid erkännas att dessa kollektiva kommentarer, även aggregerade, till sitt innehåll avspeglar personliga uppfattningar avseende värdering 3. De utgör nämligen en samling uppfattningar vilka, som sådana, utgör upplysningar som rör de personer som uttryckt dem. Filtrering kategorisering och aggregering av dessa ändrar inte detta konstaterande, utan vilket det, för att undkomma villkoret avseende upplysningar som ”avser” en fysisk person, skulle räcka att aggregera flera uppfattningar. Den omständigheten att det inte, inom denna samling kommentarer, går att urskilja de olika individuella uppfattningarna, förefaller snarare omfattas av det andra kumulativa villkoret, som avser huruvida de berörda personerna kan identifieras, och som prövas inom ramen för den andra delen av denna grund, än av det villkor som gäller huruvida kommentaren är ”knuten” till en fysisk person.

40. Mot denna bakgrund anser jag att tribunalens bedömning kan anses utgöra en felaktig rättstillämpning i detta hänseende, då tribunalen angav att EDPS inte hade gjort den bedömning som krävs enligt domen Nowak för att dra slutsatsen att de aktuella kommentarerna ”avsåg” fysiska personer, i den mening som avses i artikel 3.1 i förordning 2018/1725.

41. Om domstolen skulle besluta att inte bifalla talan på denna första delgrund och anse att de aktuella pseudonymiserade kommentarerna inte avser deras upphovsmän, blir en prövning av den andra grunden överflödig eftersom det, enligt artikel 3.1 i förordning 2018/1725, rör sig om ett villkor som är nödvändigt för att det ska kunna finnas en personuppgift som är kumulativ med den som rör huruvida de berörda personerna kan identifieras, vilket prövas nedan.

2. Den andra delgrunden, avseende villkoret att de berörda personerna ska vara identifierbara

42. EDPS och Europeiska dataskyddsstyrelsen har, i huvudsak, gjort gällande att tribunalen har gjort sig skyldig till två felaktiga bedömningar, varav den första avser begreppet pseudonymisering och den andra rör tolkningen av domen Breyer, vilket SRB och kommissionen har bestritt.

a) Den första invändningen, avseende en felaktig bedömning rörande verkningarna av pseudonymiseringen

43. Denna invändning illustrerar existensen av två vitt skilda synsätt på räckvidden av tillämpningsområdet för bestämmelserna om dataskydd. Ska pseudonymiserade uppgifter automatiskt omfattas enbart på grund av att de berörda personerna kan identifieras, oberoende av huruvida ytterligare identifikationsuppgifter finns tillgängliga, eller ska det anses att uppgifterna, till följd av pseudonymiseringsförfarandet, endast utgör personuppgifter för de personer som rimligen kan identifiera de berörda personerna?

1) Parternas argument

44. EDPS och Europeiska dataskyddsstyrelsen har i huvudsak gjort gällande att de pseudonymiserade uppgifterna förblir personuppgifter enbart på grund av att de berörda personerna fortfarande är identifierbara, eftersom de upplysningar som gör det möjligt att identifiera dem fortfarande existerar. Tribunalens synsätt är felaktigt, på grund av att det gör det möjligt att betrakta de pseudonymiserade uppgifterna som anonymiserade uppgifter i förhållande till mottagaren, vilket utgör en risk beträffande skyddet av de berörda personerna och medför en förväxling mellan pseudonymisering och anonymisering. Ett sådant synsätt, som strider mot lydelsen av och syftet med förordning 2018/1725, skulle göra det möjligt för den som ansvarar för behandlingen att otillbörligen avlägsna personuppgifter från unionsrättens tillämpningsområde avseende skydd av sådana uppgifter.

45. SRB och kommissionen har, vad dem beträffar, gjort gällande att pseudonymiserade uppgifter fortfarande är personuppgifter för den personuppgiftsansvarige som har pseudonymiserat dem men att det, vad gäller mottagarna, ska prövas huruvida det kan fastställas vilka de berörda personerna är. Vidare är det, även om det i artikel 3.1 i förordning 2018/1725 inte preciseras vem som ska kunna fastställa vem den berörda personen är, mot bakgrund av skäl 16 och i samband med artikel 15.1 d i denna förordning, mottagarens ståndpunkt som är avgörande. De anser att om denna mottagare inte erhåller några personuppgifter, har de berörda personerna inget intresse av att informeras om överföringen av uppgifterna, eftersom deras rättigheter inte påverkas.

2) Rättslig bedömning

46. Inledningsvis ska det erinras om att pseudonymisering är en behandling som tillämpas på personuppgifter för att, i enlighet med skäl 17 i förordning 2018/1725, ”minska riskerna” för att en samling uppgifter korrelerar med en berörd persons identitet och ”hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd”.

47. I artikel 3.6 i förordning 2018/1725 definieras således pseudonymisering som ”behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person”.

48. Pseudonymisering är således inte en del av definitionen av personuppgifter, som definieras i artikel 3.1 i förordning 2018/1725 med avseende på begreppet identifierbarhet avseende den registrerade. Som kommissionen har påpekat i sin interventionsinlaga, definierar förordningen för övrigt begreppet pseudonymisering, med hänvisning till vidtagandet av en åtgärd för förvaring eller en teknisk och organisatorisk åtgärd, men inte begreppet pseudonymiserade uppgifter.

49. Denna tolkning bekräftas av en jämförande läsning av artikel 3.6 och skäl 16 i samma förordning, vars första mening erinrar om att ”[p]rinciperna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person.”

50. Vidare förtjänar detta skäl 16 i förordning 2018/1725 att analyseras mer detaljerat. Det innehåller nämligen en andra mening i vilken det anges att ”[p]ersonuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person”. Därefter följer den tredje och den fjärde meningen i vilka innehållet i detta krav på identifierbarhet anges.

51. Jag drar av dessa bestämmelsers lydelse slutsatsen att pseudonymiseringen lämnar möjligheten öppen att de registrerade inte är identifierbara. Annars skulle denna formulering i skäl 16 vara meningslös. Det ska tilläggas att de sista meningarna i detta skäl 16 avseende anonymiseringen bekräftar denna tolkning. De utesluter anonyma (eller anonymiserade) uppgifter från tillämpningsområdet för förordning 2018/1725, men utesluter pseudonymiserade uppgifter från detta endast för det fall de registrerade inte är identifierbara. Om det är omöjligt att identifiera dessa personer ska dessa således juridiskt anses vara tillräckligt skyddade genom pseudonymiseringsförfarandet, trots att de ytterligare identifieringsuppgifterna inte helt har avlägsnats.

52. Med andra ord är det inte frågan om att automatiskt ta bort de pseudonymiserade uppgifterna från förordningens tillämpningsområde. Mot bakgrund av skäl 16 i förordningen kan det emellertid inte uteslutas att sådana uppgifter, under vissa omständigheter, kan falla utanför begreppet personuppgifter.

53. I motsats till vad EDPS har gjort gällande, förefaller ett sådant synsätt inte stå i strid med målet att säkerställa en hög nivå av personuppgiftsskydd, särskilt mot bakgrund av de krav på identifierbarhet som följer dels av de tillämpliga bestämmelserna, dels mot bakgrund av tolkningen av dem i rättspraxis.

54. För det första avser skäl 16 i förordning 2018/1725 nämligen identifierbarheten för den personuppgiftsansvarige ”eller av en annan person”. Detta breda begrepp ingår, även om det inte är obegränsat, i ett skyddande synsätt avseende personuppgifter.

55. På samma sätt föreskrivs i skäl 16 att man bör beakta alla hjälpmedel som rimligen kan komma att användas för att direkt eller indirekt identifiera en fysisk person. Därvid bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen, vilket utgör en bred och skyddande tolkning av personuppgifter.

56. För det andra tillåter tolkningen i rättspraxis av detta begrepp avseende identifierbarhet, som grundar sig på risken för återidentifiering av registrerade, även en bred tillämpning av begreppet personuppgifter. Således har domstolen systematiskt som personuppgifter klassificerat uppgifter som, även om de varit skilda från identifieringsuppgifter hos någon annan, i det aktuella sammanhanget kunde medföra en risk för att de registrerade återidentifierades.

57. Således är det endast om risken för identifiering är obefintlig eller obetydlig som en uppgift juridiskt kan undgå att klassificeras som personuppgift.

58. De argument som EDPS och Europeiska dataskyddsstyrelsen har framfört avseende farorna med en alltför strikt tolkning av personuppgifter övertygar mig inte. Den omständigheten att de bestämmelser som följer av förordning 2018/1725 inte är tillämpliga på uppgifter som avser oidentifierbara personer utgör inte hinder för att, i förekommande fall, hålla de enheter ansvariga som ligger bakom det rättsstridiga beteendet, exempelvis för det fall uppgifterna avslöjas och medför skada. Däremot förefaller det inte oproportionerligt att ålägga en enhet, som inte rimligen kan identifiera de registrerade, skyldigheter som följer av förordning 2018/1725, vilka är skyldigheter som denna enhet hypotetiskt skulle kunna vägra att iaktta eller som just skulle tvinga den att försöka identifiera de registrerade.

59. Mot denna bakgrund anser jag, vid en analys av tvisten med hänsyn till sådana uppgifter som dem som lämnats till Deloitte, att det, i motsats till vad EDPS har gjort gällande, skulle fastställas huruvida pseudonymiseringen av de aktuella uppgifterna var tillräckligt robust för att dra slutsatsen att klagandena, som var upphovsmän till de upplysningar som lämnats till Deloitte, inte var rimligen identifierbara. Med andra ord kan Deloitte, i detta sammanhang, om detta bolag förfogade över rimliga medel för att identifiera klagandena, anses ha behandlat personuppgifter.

60. EDPS:s första invändning kan således, enligt min uppfattning, inte godtas.

b) Den andra invändningen, avseende felaktigheten i den jämförelse som gjorts med domen Breyer

1) Parternas argument

61. Enligt EDPS, med stöd av Europeiska dataskyddsstyrelsen, utgör de aktuella pseudonymiserade uppgifterna personuppgifter för SRB och således var informationsskyldigheten för de registrerade tvingande för SRB. EDPS har i huvudsak gjort gällande att tribunalen har feltolkat domen Breyer, vilken rörde en olik faktisk situation.

62. Enligt SRB, med stöd av kommissionen, är däremot jämförelsen med domen Breyer relevant och leder till att anse att informationsskyldigheten endast är tillämplig om de uppgifter som lämnats är personuppgifter för mottagaren, i detta fall Deloitte, vilket, såsom tribunalen med fog har fastställt, inte har styrkts i målet.

2) Rättslig bedömning

63. Jag anser att informationsskyldigheten, som föreskrivs i artikel 15.1 d i förordning 2018/1725 och parallellen till domen Breyer i förevarande mål leder till en annan lösning än den som tribunalen har kommit fram till, vilket jag kommer att redogöra för inom ramen för min bedömning av denna invändning.

64. I artikel 4.1 a i förordning 2018/1725 föreskrivs ett krav på en laglighet, korrekthet och öppenhet i behandlingen av uppgifter i förhållande till den registrerade.

65. I synnerhet föreskrivs i artikel 15.1 d i förordning 2018/1725 att om personuppgifter som rör en registrerad person samlas in från den registrerade ska den personuppgiftsansvarige, ”vid den tidpunkt då personuppgifterna erhålls”, till den registrerade lämna information om eventuella mottagare av dessa uppgifter. Det framgår således att denna information ska lämnas omedelbart av den registeransvarige, nämligen vid tidpunkten för insamlingen av uppgifterna.

66. Vikten av att uppfylla en sådan informationsskyldighet bekräftas även av skäl 35 i förordning 2018/1725, där det anges att principen om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Det betonas i detta sammanhang att den personuppgiftsansvarige bör lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang.

67. En sådan informationsskyldighet är särskilt viktig då giltigheten av det samtycke som lämnats av den registrerade bland annat beror på huruvida den registrerade i förväg har erhållit informationen med avseende på samtliga omständigheter kring den behandling av de aktuella uppgifterna som vederbörande hade rätt till enligt artikel 14 och 15 i förordning 2018/1725 och som gör det möjligt för vederbörande att ge sitt samtycke med full kännedom om omständigheterna.

68. Det ska tilläggas att det enda undantaget från denna informationsskyldighet, som föreskrivs i artikel 15.4 i förordning 2018/1725, avser den hypotetiska situation där den registrerade redan förfogar över den aktuella informationen.

69. Jag drar av detta slutsatsen att denna informationsskyldighet, i förevarande mål, omfattas av det befintliga rättsförhållandet mellan de berörda personerna, i den aktuella situationen klagandena å ena sidan och SRB, i egenskap av personuppgiftsansvarig å den andra och alltså inte av förhållandet mellan SRB och mottagaren, det vill säga Deloitte. Informationsskyldigheten avser således uppgifterna såsom SRB förfogade över dem innan de lämnades till Deloitte. Det har emellertid inte bestritts att det rör sig om personuppgifter, eftersom SRB förfogar över de utfärdande personernas kommentarer och den identifieringsgrund som de personer som utfärdat dem har använt.

70. Ett sådant resonemang avseende ”relevant synsätt”, leder mig således till en annan slutsats än tribunalens, även efter en jämförelse med domen Breyer.

71. Det ska erinras om att Patrick Breyer, i den tvist som ledde till den tolkningsfråga som hänskjutits i det målet, ville förbjuda den registeransvarige (Förbundsrepubliken Tyskland) att lagra hans dynamiska ip-adress. Ytterligare upplysningar som möjliggjorde en identifiering av honom genom den ip-adress som var knuten till hans dator, var tillgängliga, inte för den registeransvarige utan för internetleverantören. Frågan var således huruvida den dynamiska ip-adress som den registeransvarige förfogade över kunde klassificeras som personuppgift och följaktligen, inom ramen för rättsförhållandet mellan Patrick Breyer och denna registeransvarige, medföra skyldigheter avseende lagring för den sistnämnda, trots att uppgifterna om identifiering av Patrick Breyer fanns hos en annan person än den registeransvarige. Domstolen angav, i huvudsak, att den registeransvarige, trots att denne inte förfogade över några ytterligare upplysningar om identifiering rimligen kunde få tillgång till dessa. Den dynamiska ip-adressen klassificerades således som personuppgift.

72. Som jag har erinrat om ovan, ingår i förevarande mål informationsskyldigheten i förhållandet mellan de registrerade (klagandena) och den personuppgiftsansvarige (SRB). Det är när de aktuella uppgifterna samlas in av SRB och, särskilt vad gäller information avseende mottagaren, endast när den sistnämnda är känd, som informationsskyldigheten inträder. När denna tidpunkt kristalliseras, är de aktuella uppgifterna emellertid personuppgifter som finns hos SRB, vilken förfogar över ytterligare identifieringsuppgifter. Mot bakgrund av den aktuella informationsskyldigheten och mot bakgrund av vid vilken tidpunkt den utkristalliseras, utgjorde de aktuella uppgifterna således personuppgifter, oberoende av huruvida de var identifierbara för Deloitte, som inte berörs av varken rättsförhållandet mellan klagandena och SRB, det vill säga det enda förhållande som är relevant, eller av denna informationsskyldighet som åligger SRB.

73. Jag anser därför att parallellen med domen Breyer ska relativiseras i förevarande mål.

74. Av detta följer att den informationsskyldigheten ålåg SRB i egenskap av personuppgiftsansvarig och på grund av dess förhållande till klagandena, från vilka SRB samlat in de aktuella uppgifterna, och oberoende av huruvida dessa uppgifter såsom de överförts till Deloitte utgör personuppgifter eller inte.

75. SRB:s argument, som upprepades vid förhandlingen, att mottagarens synsätt är relevant eftersom det är viktigt att kontrollera huruvida denne är ”mottagare av personuppgifter” eller inte, kan enligt denna logik inte godtas.

76. I detta hänseende kan lydelsen i artikel 15.1 d i förordning 2018/1725 som hänför till ”[m]ottagarna … av personuppgifterna” anses förvirrande. Denna bestämmelses ändamålsenliga verkan innebär emellertid att informationen lämnas till de registrerade så snart som möjligt och före detta lämnande av uppgifter. I förevarande mål framgår det av det vid tribunalen omtvistade beslutet att, även om SRB, vid det ursprungliga inhämtandet av kommentarer, inte hade för avsikt att begära ett yttrande från Deloitte för att få reda på om dessa kommentarer ändrade värdering 3, assisterade Deloitte SRB inom ramen för förfarandet för att låta de berörda utöva rätten att bli hörda. Vidare kan SRB:s avsikt att lämna de pseudonymiserade uppgifterna till Deloitte anses har förelegat senast vid den tidpunkt denna myndighet beslutade att behandla de aktuella kommentarerna just i syfte att pseudonymisera dem, utan att pseudonymiseringen var berättigad.

77. Jag anser således att en kontroll av huruvida informationsskyldigheten iakttogs vid den tidpunkt då uppgifterna lämnades av SRB till Deloitte, ur detta bolags perspektiv som mottagare för att avgöra om de aktuella uppgifterna ska klassificeras som personuppgifter eller inte, innebär att denna kontroll skjuts framåt i tiden. Denna kontroll har, därmed, felaktigt skjutits fram då den gjorts avseende uppgifter som redan lämnats till mottagaren, trots att föremålet för informationsskyldigheten rör förhållandet mellan SRB och klagandena samt har till syfte att möjliggöra ett informerat samtycke från de sistnämnda före lämnandet.

78. Dessutom, när det gäller klagandenas samtycke, kan deras deltagande i förfarandet för att låta de berörda utöva rätten att bli hörda visserligen tolkas som ett tyst samtycke till att dela personuppgifter med den personuppgiftsansvarige i syfte att få deras kommentarer beaktade. Jag anser emellertid inte att detta är tillräckligt för att utgöra ett informerat samtycke till pseudonymisering av uppgifterna och överföring av dessa till Deloitte utan att SRB i förväg informerat om detta.

79. Av detta följer enligt min uppfattning att den informationsskyldighet som åligger SRB i det aktuella fallet var tillämplig före överföringen av de aktuella uppgifterna till Deloitte och oberoende av huruvida de utgjorde personuppgifter eller inte när Deloitte väl förfogade över dem.

80. Således anser jag slutligen att frågan om huruvida en pseudonymisering är tillräckligt robust och effektiv, för att kunna anse att de upplysningar som Deloitte förfogar över utgör personuppgifter eller inte, inte är relevant mot bakgrund av den informationsskyldighet som åligger SRB.

81. Följaktligen ska den informationsskyldighet som SRB har i egenskap av personuppgiftsansvarig iakttas i förevarande mål och den överklagade domen ska därför upphävas på grund av en felaktig rättsbedömning.

82. Eftersom de aktuella uppgifternas mottagares synpunkt inte är relevant mot bakgrund av den informationsskyldighet som föreskrivs i artikel 15.1 d i förordning 2018/1725, är parternas argument beträffande Deloittes möjlighet att, med lagliga och praktisk möjliga medel, identifiera de registrerade verkningslösa och ska därför inte prövas.

83. För det fall domstolen skulle vara av motsatt uppfattning, vill jag i andra hand påpeka att EDPS, i detta hänseende, har bestritt tribunalens konstaterande att Deloitte inte har tillgång till identifieringsuppgifterna. Tribunalen har i synnerhet grundat sin slutsats på det avtalsförhållande som SRB har med underleverantören Deloitte. SRB och kommissionen har gjort gällande att EDPS, på detta sätt har framfört nya påståenden om de faktiska omständigheterna som inte kan tas upp till sakprövning i överklagandeförfarandet. Detta är min uppfattning. Förekomsten av ett avtalsförhållande mellan SRB och Deloitte, som visar att Deloitte har en möjlighet att av SRB begära en identifiering av klagandena utgör ett nytt argument, avseende vilket tribunalen förövrigt inte alls uttalat sig. Av detta följer att detta argument, i förekommande fall, ska avvisas enligt artikel 170.1 andra meningen i domstolens rättegångsregler, enligt vilken överklagandet inte får ändra saken i målet vid tribunalen.

B. Den andra grunden, som ska prövas i andra hand

84. EDPS har, genom sin andra grund, avseende åsidosättande av den princip om ansvar som föreskrivs i artikel 4.2 och artikel 26.1 i förordning 2018/1725, med stöd av Europeiska dataskyddsstyrelsen gjort gällande att tribunalen gjort en felaktig bedömning när den angav att det ankom på EDPS att styrka att de upplysningar som lämnats till Deloitte utgjorde personuppgifter, i strid principen om SRB:s ansvar.

85. Mot bakgrund av det ovan anförda och särskilt punkterna 81 och 82 ovan, anser jag att det saknas anledning att pröva den andra grunden.

86. Jag kommer således endast att behandla den kortfattat, i andra hand.

87. Vad gäller frågan om huruvida denna grund som inte gjorts gällande vid tribunalen kan tas upp till sakprövning, vilket SRB har bestritt, ska det erinras om att en klagande har rätt att vid domstolen åberopa grunder som följer av den överklagade domen och som syftar till att bestrida att domen är korrekt i rättsligt hänseende. Detta förefaller vara fallet med förevarande grund, vilken således kan tas upp till sakprövning.

88. I sak ska det erinras om att tribunalen angav att EDPS, då den inte hade undersökt huruvida Deloitte förfogade över rättsliga och praktisk genomförbara medel som gjorde det möjligt för den att få tillgång till de ytterligare upplysningar som är nödvändiga för att återidentifiera klagandena, inte kunde dra slutsatsen att de upplysningar som lämnats till Deloitte var upplysningar som avsåg en ”identifierbar fysisk person” i den mening som avses i artikel 3.1 i förordning 2018/1725.

89. EDPS har, med stöd av Europeiska datatillsynsstyrelsen, i huvudsak gjort gällande att tribunalen borde ha kontrollerat huruvida SRB, som var personuppgiftsansvarig, hade bevisat att den hade anonymiserat de omtvistade uppgifterna i förhållande till Deloitte.

90. SRB har bestritt detta argument och gjort gällande att ansvarsprincipen endast är tillämplig när det föreligger personuppgifter och att de uppgifter som Deloitte förfogade över i förevarande mål hade anonymiserats.

91. Kommissionen har gjort gällande att EDPS först bär en rimlig bevisbörda för att, på grundval av tillgänglig bevisning, styrka att personuppgifter föreligger. Därefter ankommer det på den berörde personuppgiftsansvarige att vederlägga denna slutsats genom att lägga fram ytterligare bevis.

92. Det ska erinras om att enligt artikel 4.1 a i förordning 2018/1725 ska personuppgifterna behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 4.2 i denna förordning föreskrivs att ”den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs”. Det följer således av den ansvarsprincip som föreskrivs i artikel 4.2 och preciseras i artikel 26.1 i förordning 2018/1725 att den personuppgiftsansvarige ska kunna visa att de principer om behandling av personuppgifter som anges i artikel 4.1 efterlevs.

93. Så snart den personuppgiftsansvarige frambringar tillräcklig bevisning i detta hänseende, kan denne anses ha uppfyllt sin bevisbörda.

94. I förevarande mål förefaller SRB ha åberopat flera faktiska omständigheter (bland annat de förfaranden för filtrering, kategorisering och aggregering av kommentarerna som beskrivs i det omtvistade beslutet och den överklagade domen) för att, i enlighet med den ansvarsprincip som den lyder under, styrka att det var omöjligt för Deloitte att identifiera de registrerade.

95. EPDS har vid tribunalen motsatt sig detta genom att inta en principiell ståndpunkt genom att inta SRB:s perspektiv och inte Deloittes och således klassificera de kommentarer som lämnats till Deloitte som personuppgifter.

96. Om det, för bedömningen i andra hand av denna grund, godtas att Deloittes perspektiv var relevant i förevarande mål, kan det, såsom Tribunalen har angett, anses att det ankom på EDPS att styrka av vilket, rättsligt eller tekniskt, skäl det pseudonymiseringsförfarande som SRB genomfört i förevarande mål inte var tillräckligt och skulle leda till att anta att Deloitte behandlade personuppgifter.

97. Jag anser således att den överklagade domen, i förekommande fall, ska bekräftas avseende denna andra grund.

VII. Överklagandet till tribunalen

98. Enligt artikel 61 första stycket i stadgan för Europeiska unionens domstol ska domstolen om överklagandet är välgrundat upphäva tribunalens avgörande. Domstolen kan själv slutligt avgöra målet, om detta är färdigt för avgörande, eller återförvisa målet till tribunalen för avgörande.

99. Den första grund som SRB anförde mot det omtvistade beslutet vid tribunalen rör åsidosättande av artikel 3.1 i förordning 2018/1725. Det följer av punkterna 63–82 ovan att då SRB har åsidosatt den informationsplikt som åligger den enligt artikel 15.1 d i förordning 2018/1725, ska det omtvistade beslutet, enligt min uppfattning, bekräftas.

100. Däremot anser jag att den andra grunden, avseende att EDPS har åsidosatt rätten till god förvaltning inom ramen för det förfarande som ledde fram till det omtvistade beslutet, inte är färdig för avgörande.

101. SRB har nämligen särskilt gjort gällande att EDPS, inom ramen för det förfarande som ledde fram till det omtvistade beslutet, har åsidosatt dess rätt att få tillgång till handlingarna i målet, dess rätt att bli hörd, och principen om parternas likställdhet i processen, genom att dels vägra den tillgång till handlingarna i målet, dels inte meddela den att klagandena inkommit med yttrande och innehållet i dessa.

102. Tribunalen fann emellertid, eftersom talan hade bifallits på den första grunden, att det saknades anledning att pröva den andra grund som gjorts gällande i målet vid den. Följaktligen är denna grund, som bland annat omfattar bedömningar av de faktiska omständigheterna, inte färdig för avgörande. Jag anser således att målet ska återförvisas till tribunalen för ett avgörande i detta hänseende och att frågan om rättegångskostnaderna ska anstå.

VIII. Förslag till avgörande

103. Mot bakgrund av det ovan anförda föreslår jag att domstolen ska upphäva Europeiska unionens tribunals dom av den 26 april 2023, SRB/EDPS ( T‑557/20, EU:T:2023:219), återförvisa målet till tribunalen för prövning av den andra grund som åberopats vid den, låta beslut om rättegångskostnaderna anstå.

1 Originalspråk: franska.

2 Europaparlamentets och rådet förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 2018, s. 39).

3 EUT L 225, 2014, s. 1.

4 Kommissionens beslut (EU) 2017/1246 av den 7 juni 2017 om godkännande av resolutionsordningen för Banco Popular Español SA (EUT L 178, 2017, s. 15).

5 I artikel 20.1 i förordning nr 806/2014 föreskrivs att denna person ska vara ”oberoende av offentliga myndigheter, inbegripet nämnden och den nationella resolutionsmyndigheten och enheten i fråga”. Artikel 20.16 i denna förordning hänvisar till artikel 20.1 beträffande begreppet oberoende person.

6 Det rör sig om en universell unik identifieringskod på 33 siffror, som genereras slumpmässigt.

7 Det framgår av det omtvistade beslutet att Deloitte assisterade SRB i egenskap av oberoende person i dess beslutsprocess. Det framgår även av detta beslut att SRB, den 18 mars 2020, beslutade att ingen kompensation skulle betalas till de berörda aktieägarna och borgenärerna och angav att detta beslut grundade sig på den bedömning som Deloitte gjort efter resolutionen och på analysen av de kommentarer som lämnats inom ramen för förfarandet för att låta de berörda utöva rätten att bli hörda.

8 Det andra yrkandet avsåg en förklaring om att det ursprungliga beslutet var rättsstridigt. Tribunalen avvisade, i den överklagade domen, detta andra yrkande, på grund av att den saknade behörighet, eftersom SRB genom detta yrkande avsåg uppnå en fastställelsedom och inte ogiltigförklaring av en rättsakt.

9 Se punkterna 64, 73 och 74 i den överklagade domen.

10 Dom av den 20 december 2017 ( C‑434/16, EU:C:2017:994) (nedan kallad domen Nowak). Jag hänvisar i detta förslag ”analogt” till de domar i vilka unionsdomstolarna tillämpat Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) och Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen). Som följer av skälen 4 och 5 i förordning 2018/1725 och av artiklarna 2.3 och 98 i dataskyddsförordningen har unionslagstiftarens avsikt varit att inrätta ett system för skydd av personuppgifter som gäller för unionens institutioner, organ och byråer som är likvärdigt med det system som inrättats genom dataskyddsförordningen. Syftet härmed är att säkerställa ett enhetligt och konsekvent skydd för fysiska personer med avseende på behandling av deras personuppgifter inom unionen (se dom av den 7 mars 2024, OC/kommissionen, C‑479/22 P, EU:C:2024:215, punkt 43).

11 Se punkterna 100, 103 och 105 i den överklagade domen.

12 C‑413/23 P, EU:C:2023:1036.

13 Se bland annat den icke-uttömmande förteckningen i förslag till avgörande av generaladvokaten Pitruzzella i målet Österreichische Datenschutzbehörde och CRIF ( C‑487/21, EU:C:2022:1000).

14 Se domen Nowak, punkterna 34 och 35. Se, vidare dom av den 4 maj 2023, Österreichische Datenschutzbehörde och CRIF ( C‑487/21, EU:C:2023:369, punkterna 23 och 24), dom av den 22 juni 2023, Pankki S ( C‑579/21, EU:C:2023:501, punkterna 42 och 43), dom av den 7 mars 2024, OC/kommissionen ( C‑479/22 P, EU:C:2024:215, punkt 45), och dom av den 7 mars 2024, IAB Europe ( C‑604/22, EU:C:2024:214, punkterna 36 och 37).

15 Domen Nowak, punkt 43.

16 Domen Nowak, punkt 44 slutet.

17 Se, för ett liknande resonemang, punkterna 5–7 i den överklagade domen och punkt 9 i detta förslag till avgörande.

18 Se punkt 23 i den överklagade domen.

19 Dom av den 19 oktober 2016, Breyer ( C‑582/14, EU:C:2016:779) (nedan kallad domen Breyer).

20 Se även i detta hänseende yttrandet om begreppet personavgifter (artikel 29-gruppens yttrande 4/2007, den 20 juni 2007, WP 136) och det som uttryckligen tar upp tekniker för anonymisering och pseudonymisering (artikel 29-gruppens yttrande 05/2014, den 10 april 2014, WP 216). Detta pseudonymiseringsförfarande är således särskilt viktigt bland annat i samband med forskning och statistik.

21 Även om skälen inte har något självständigt rättsligt värde och inte får utgöra grund för en tolkning som strider mot de syften som eftersträvas med förordning 2018/1725, har domstolen ofta hänvisat till skälen vid tolkningen av bestämmelser i unionens rättsakter (se bland annat förslag till avgörande av generaladvokaten Szpunar i målet Planet49, C‑673/17, EU:C:2019:246, punkt 71, och förslag till avgörande av generaladvokaten Kokott i målet kommissionen/CK Telecoms UK Investments, C‑376/20 P, EU:C:2022:817).

22 Vidare utesluter inte anonymiseringen, rent tekniskt, möjligheter till återidentifiering, varför de personuppgiftsansvariga som genomför anonymiseringstekniker regelbundet måste analysera den risk som återidentifiering medför och bedöma denna risks allvar och sannolikhet från fall till fall (se, i detta hänseende, O. Tambou, Manuel de droit européen de la protection des données à caractère personnel, Bruylant 2020, punkt 68 och där angivna hänvisningar i detta hänseende i fotnot nr 162).

23 Även om den ursprungliga avsikten med att införa begreppet pseudonymisering i dataskyddsförordningen var att tillhandahålla flexibilitet för att minska skyldigheter på dataskyddsområdet (se i detta hänseende Kuner, C., Bygave, L.A. och Docksey, C., ”Background and Evolution of the EU General Data Protection Regulation (GDPR)”, i Kuner, C., Bygrave, L. A., Docksey, C., och Drechsler, L. (red.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, sidorna 1–47), följdes inte denna avsikt av rådet i skäl 26 i dataskyddsförordningen, vars lydelse har återgetts i skäl 16 i förordning 2018/1725.

24 Som generaladvokaten Campos Sánchez-Bordona angav i punkterna 64–67 i sitt förslag till avgörande i målet Breyer ( C‑582/14, EU:C:2016:339), ”kan [det] aldrig helt säkert uteslutas att det finns en tredje man som förfogar över ytterligare uppgifter som kan kombineras med den informationen och som därmed kan bidra till att röja en persons identitet… Jag anser emellertid att denna omsorg – vilken för övrigt är fullt legitim – inte får medföra att man bortser från lagstiftarens syfte och att den systematiska tolkningen av skäl [16 i förordning 2018/1725] endast avser ’hjälpmedel som rimligen kan komma att användas’ av vissa andra personer”.

25 Exempelvis klassificerades, i domen Breyer, en dynamisk IP-adress som en leverantör av webb-baserade mediatjänster förfogade över, även om den var åtskild från identifieringsuppgifter som internetleverantören förfogade över, som personuppgift, eftersom leverantören av webb-baserade mediatjänster förfogade över hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas för att identifiera den med denna IP-adress registrerade personen. Domen av den 9 november 2023, Gesamtverband Autoteile-Handel (Tillgång till information om fordon) ( C‑319/22, EU:C:2023:837), rörde ett fordons VIN, vilket definierats som den alfanumeriska kod som tilldelats ett fordon av tillverkaren i syfte att ombesörja korrekt identifiering av detta fordon. Även om VIN i sig saknar ”personlig” karaktär, blir den en personuppgift för den som rimligen kan förfoga över medel som gör det möjligt att knyta uppgiften till en viss person (punkt 46) och således att knyta det till en identifierad eller identifierbar fysisk person (punkt 49). På samma sätt har domstolen slagit fast ett pressmeddelande från Europeiska byrån för bedrägeribekämpning (Olaf), som innehåller identifikationer som gör det möjligt att identifiera klaganden, antingen enbart genom en objektiv läsning av pressmeddelandet eller genom hjälpmedel, som ”rimligen kan komma att användas” av en läsare, utgör personuppgifter (dom av den 7 mars 2024, OC/kommissionen, C‑479/22 P, EU:C:2024:215). Vidare hade, i domen av den 7 mars 2024, IAB Europe ( C‑604/22, EU:C:2024:214), organisationen IAB, företrädare för företag inom branschen för digital reklam och marknadsföring, inrättat en ram för registrering av webbplats-användarnas preferenser via en ”TC-sträng” (kombination av bokstäver och tecken). Denna TC-sträng ansågs vara en personuppgift, eftersom den, då den var knuten till en identifierare, gjorde det möjligt att identifiera den berörda internetanvändaren, inbegripet för IAB, som inte förfogade över identifieringsuppgifter, men indirekt kunde få tillgång till dem genom rimliga hjälpmedel (punkterna 48–50 i domen).

26 Det framgår av punkt 46 i domen Breyer att detta skulle vara fallet om identifiering av den aktuella personen var förbjuden i lag eller omöjlig att genomföra i praktiken, exempelvis på grund av att den skulle kräva orimliga resurser i form av tid, kostnader och arbetskraft.

27 Exempelvis skyldigheter som följer av den rätt till rättelse av personuppgifter som föreskrivs i artikel 18 i förordning 2018/1725 kan nämnas.

28 Se, analogt, dom av den 29 juli 2019, Fashion ID ( C‑40/17, EU:C:2019:629, punkt 104 och där angiven rättspraxis). Se även förslag till avgörande av generaladvokaten Szpunar i målet Association Mousse ( C‑394/23, EU:C:2024:610, punkt 58).

29 Se, analogt, dom av den 1 oktober 2015, Bara m.fl. ( C‑201/14, EU:C:2015:638, punkt 34), dom av den 1 oktober 2019, Planet49 ( C‑673/17, EU:C:2019:801, punkt 77), och dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan) ( C‑757/22, EU:C:2024:598, punkt 57). I skäl 36 i förordning 2018/1725 preciseras vidare att ”[o]m personuppgifter legitimt kan lämnas ut till en annan mottagare, bör de registrerade informeras första gången personuppgifterna lämnas ut till denna mottagare”. Med andra ord ska, om en ny omständighet föreligger, den registrerade få kännedom om detta före denna ”ytterligare behandling” (se, för ett liknande resonemang och analogt, dom av den 27 april 2022, Roos m.fl./Europaparlamentet, T‑710/21, T‑722/21 och T‑723/21, EU:T:2022:262, punkt 171).

30 Se, analogt, dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan) ( C‑757/22, EU:C:2024:598, punkt 60) och punkt 47 i generaladvokaten Richard de la Tours förslag till avgörande i samma mål (EU:C:2024:88). Se även artikel 14.1 i förordning 2018/1725, enligt vilken ”[d]en personuppgiftsansvarige ska vidta lämpliga åtgärder för att tillhandahålla den registrerade all information som avses i artiklarna 15 och 16 … vilken avser behandling i en koncis, klar och tydlig, begriplig och lättillgänglig form och på ett klart och tydligt språk …”.

31 För det fall det skulle konstateras att detta synsätt inte har kallats så i skrivelserna, ska det påpekas att det, förutom att det nämndes under förhandlingen vid domstolen, omfattas av detta mål eftersom det avser att fastställa det relevanta synsättet beträffande informationsskyldighet i den aktuella situationen. Inom denna ram är domstolen, även om den enbart ska pröva tvisten i enlighet med de yrkanden som framställts av parterna, på vilka det ankommer att avgränsa tvisten, inte bunden enbart till de argument som parterna åberopat till stöd för sina yrkanden, med risk för att avgörandet annars skulle fattas på felaktiga rättsliga grunder (se dom av den 21 september 2010, Sverige m.fl./API och kommissionen, C‑514/07 P, C‑528/07 P och C‑532/07 P, EU:C:2010:541, punkt 65 och där angiven rättspraxis).

32 Se punkt 69 i detta förslag till avgörande.

33 Beträffande huruvida informationen ska erhållas i förväg för att ett informerat samtycke ska kunna anses föreligga, se dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan) ( C‑757/22, EU:C:2024:598, punkt 60).

34 Se fotnot 7 i punkt 12 i detta förslag till avgörande.

35 Se punkterna 13 och följande punkter i den överklagade domen. Se även SRB:s svar på frågorna vid förhandlingen.

36 Beträffande behandling av denna information i en koncis, klar och tydlig, begriplig och lättillgänglig form och på ett klart och tydligt språk, se artikel 14.1 i förordning 2018/1725. Se även artikel 29-gruppens riktlinjer om öppenhet enligt förordning (EU) 2016/679 av den 11 april 2018, WP 260, rev. 01, punkt 30: ”Om ändringen av upplysningarna på ett grundläggande sätt ändrar behandlingens karaktär (exempelvis genom att bredda kategorier av mottagare eller införa lämnande till ett tredjeland) eller om det rör sig om en ändring som kanske inte är grundläggande för själva behandlingen, men som kan vara det för den registrerade och påverka vederbörande, ska upplysningarna lämnas till den registrerade väl innan ändringen sker och den metod som används för att upplysa den registrerade om ändringarna ska vara tydlig och effektiv. Syftet är att garantera den registrerade att vederbörande inte ”missar” ändringen och ge honom eller henne en rimlig tid för att kunna a) bedöma ändringens art och inverkan, och b) utöva sina rättigheter enligt dataskyddsförordningen som är kopplade till ändringen (exempelvis återkalla sitt godkännande eller invända mot behandlingen).”

37 Se, bland annat, dom av den 29 februari 2024, Euranimi/kommissionen ( C‑95/23 P, ej publicerad, EU:C:2024:177, punkt 53).

38 Se dom av den 25 januari 2022, kommissionen/European Food m.fl. ( C‑638/19 P, EU:C:2022:50, punkt 77, och där angiven rättspraxis).

39 Se bland annat, för ett liknande resonemang, dom av den 4 maj 2023, Bundesrepublik Deutschland (Digital domstolsbrevlåda) ( C‑60/22, EU:C:2023:373, punkt 53 och där angiven rättspraxis). Se även, beträffande att bevisbördan avseende samtycke till behandling av personuppgifter åligger den personuppgiftsansvarige, dom av den 11 november 2020, Orange Romania ( C‑61/19, EU:C:2020:901, punkt 52).

40 Se, analogt inom ramen för en talan om skadestånd grundad på dataskyddsförordningen, domen av den 25 januari 2024, MediaMarktSaturn ( C‑687/21, EU:C:2024:72, punkterna 43–45): Det åligger den personuppgiftsansvarige att visa att de säkerhetsåtgärder som denne vidtagit är lämpliga. Den domstol vid vilken talan har väckts ska beakta all bevisning som den personuppgiftsansvarige har lagt fram för att visa att de tekniska och organisatoriska åtgärder som denne har vidtagit för att uppfylla sina skyldigheter är lämpliga. Men den omständigheten att den personuppgiftsansvariges anställda felaktigt har överlämnat en handling som innehåller personuppgifter till en obehörig tredje part räcker inte i sig för att anse att de tekniska och organisatoriska åtgärder som vidtagits av den personuppgiftsansvarige inte var ”lämpliga”.

41 Se punkterna 59 och 60 i detta förslag till avgörande.

42 Se, i detta hänseende, den jämförelse som kommissionen har gjort med reglerna om statligt stöd i domen av den 12 oktober 2023, Larko/kommissionen ( C‑445/22 P, EU:C:2023:773, punkt 29). På samma sätt som en klassificering av en åtgärd som statligt stöd är en förutsättning för att denna åtgärd ska anses omfattas av kommissionens behörighet för att genomföra artiklarna 107 och 108 FEUF, är i detta mål en klassificering som personuppgifter en förutsättning för att förordning 2018/1725 ska vara tillämplig och att EDPS ska vara behörig (se artikel 52.3 i denna förordning).