1

Euroopan tietosuojavaltuutettu (EDPS) vaatii valituksellaan unionin tuomioistuinta kumoamaan unionin yleisen tuomioistuimen 26.4.2023 antaman tuomion SRB v. EDPS (T‑557/20, EU:T:2023:219; jäljempänä valituksenalainen tuomio), jolla unionin yleinen tuomioistuin kumosi EDPS:n 24.11.2020 tekemän tarkistetun päätöksen, joka tehtiin sen jälkeen, kun yhteinen kriisinratkaisuneuvosto (SRB) oli pyytänyt 24.6.2020 tehdyn EDPS:n päätöksen, joka koski useiden kantelijoiden tekemiä viittä kantelua (asiat 2019-947, 2019-998, 2019-999, 2019-1000 ja 2019-1122), uudelleentarkastelua (jäljempänä riidanalainen päätös).

2

Luonnollisten henkilöiden suojelusta unionin toimielinten, elinten ja laitosten suorittamassa henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta sekä asetuksen (EY) N:o 45/2001 ja päätöksen N:o 1247/2002/EY kumoamisesta 23.10.2018 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2018/1725 (EUVL 2018, L 295, s. 39) johdanto-osan 5, 16, 17 ja 35 perustelukappaleen sanamuoto on seuraava:

– –

– –

3

Asetuksen 2018/1725 3 artiklan, jonka otsikko on ”Määritelmät”, 1, 6, 8 ja 13 alakohdassa säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

– –

– –

4

Asetuksen 4 artiklan, jonka otsikkona on ”Henkilötietojen käsittelyä koskevat periaatteet”, 2 kohdassa säädetään seuraavaa:

”Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

5

Kyseisen asetuksen 14 artiklan, jonka otsikko on ”Läpinäkyvä informointi, viestintä ja yksityiskohtaiset säännöt rekisteröidyn oikeuksien käyttöä varten”, 1 kohdassa säädetään seuraavaa:

”Rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet toimittaakseen rekisteröidylle 15 ja 16 artiklan mukaiset tiedot ja 17–24 artiklan ja 35 artiklan mukaiset kaikki käsittelyä koskevat ilmoitukset tiiviisti esitetyssä, läpinäkyvässä, ymmärrettävässä ja helposti saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä varsinkin silloin, kun tiedot on tarkoitettu erityisesti lapselle. Tiedot on toimitettava kirjallisesti tai muulla tavoin ja tapauksen mukaan sähköisessä muodossa. Jos rekisteröity sitä pyytää, tiedot voidaan antaa suullisesti edellyttäen, että rekisteröidyn henkilöllisyys on vahvistettu muulla tavoin.”

6

Tämän asetuksen 15 artiklassa, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, säädetään seuraavaa:

”1.   Kerättäessä rekisteröidyltä häntä koskevia henkilötietoja rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle kaikki seuraavat tiedot:

– –

– –

2.   Edellä 1 kohdassa tarkoitettujen tietojen lisäksi rekisterinpitäjän on silloin, kun henkilötietoja saadaan, toimitettava rekisteröidylle seuraavat lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn takaamiseksi:

– –

– –”

7

Asetuksen 2018/1725 24 artiklassa säädetään edellytyksistä, joiden täyttyessä yksittäispäätös voi perustua automaattiseen käsittelyyn profilointi mukaan lukien.

8

Kyseisen asetuksen 26 artiklan, jonka otsikko on ”Rekisterinpitäjän vastuu”, 1 kohdassa säädetään seuraavaa:

”Ottaen huomioon käsittelyn luonteen, laajuuden, asiayhteyden ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän on toteutettava asianmukaiset tekniset ja organisatoriset toimenpiteet, joilla voidaan varmistaa ja osoittaa, että käsittelyssä noudatetaan tätä asetusta. Näitä toimenpiteitä on tarkistettava ja päivitettävä tarvittaessa.”

9

Asian tausta, sellaisena kuin se esitetään valituksenalaisen tuomion 2–32 kohdassa, voidaan tiivistää seuraavasti.

10

SRB:n johdon istunnossa tehtiin 7.6.2017 päätös SRB/EES/2017/08 Banco Popular Español SA:ta koskevan kriisinratkaisumääräyksen antamisesta yhdenmukaisten sääntöjen ja yhdenmukaisen menettelyn vahvistamisesta luottolaitosten ja tiettyjen sijoituspalveluyritysten kriisinratkaisua varten yhteisen kriisinratkaisumekanismin ja yhteisen kriisinratkaisurahaston puitteissa sekä asetuksen (EU) N:o 1093/2010 muuttamisesta 15.7.2014 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) N:o 806/2014 (EUVL 2014, L 225, s. 1; jäljempänä yhteisestä kriisinratkaisumekanismista annettu asetus) perusteella.

11

SRB totesi mainitussa päätöksessä, että yhteisestä kriisinratkaisumekanismista annetun asetuksen 18 artiklan 1 kohdassa säädetyt edellytykset täyttyivät, ja päätti asettaa Banco Popular Españolin (jäljempänä Banco Popular) kriisinratkaisumenettelyyn. Näin ollen SRB päätti alaskirjata ja muuntaa Banco Popularin pääomainstrumentit mainitun asetuksen 21 artiklan mukaisesti sekä soveltaa kyseisen asetuksen 24 artiklan mukaista liiketoiminnan myyntiä, jossa osakkeet siirretään ostajalle.

12

Samana päivänä annettiin Banco Popular Español SA:ta koskevan kriisinratkaisumääräyksen hyväksymisestä annettu Euroopan komission päätös (EU) 2017/1246 (EUVL 2017, L 178, s. 15).

13

Banco Popularin kriisinratkaisun jälkeen SRB antoi tilintarkastus- ja konsulttiyhtiö Deloitten tehtäväksi yhteistä kriisinratkaisumekanismia koskevan asetuksen 20 artiklan 16–18 kohdassa tarkoitetun erilaista kohtelua koskevan arvostuksen sen määrittämiseksi, olisiko Banco Popularin osakkeenomistajia ja velkojia kohdeltu paremmin, jos Banco Popular olisi asetettu tavanomaiseen maksukyvyttömyysmenettelyyn (jäljempänä kolmas arvostus). Kyseinen yhtiö toimitti 14.6.2018 tämän arvostuksen SRB:lle.

14

SRB julkaisi 6.8.2018 internetsivustollaan 2.8.2018 antamansa tiedoksiannon, joka koski sen alustavaa päätöstä siitä, onko sellaisille osakkeenomistajille ja velkojille tarpeen myöntää korvaus, joihin Banco Popular Español S.A:ta koskevat kriisinratkaisutoimet ovat vaikuttaneet, ja menettelyn käynnistämistä oikeudesta tulla kuulluksi (SRB/EES/2018/132) (jäljempänä alustava päätös), sekä kolmannen arvostuksen ei-luottamuksellisen version. SRB:n tiedoksiantoa koskeva ilmoitus julkaistiin Euroopan unionin virallisessa lehdessä 7.8.2018 (EUVL 2018, C 277 I, s. 1).

15

Voidakseen tehdä lopullisen päätöksen siitä, oliko osakkeenomistajille ja velkojille, joihin Banco Popularia koskevat kriisinratkaisutoimet olivat vaikuttaneet (jäljempänä asianomaiset osakkeenomistajat ja velkojat), tarpeen myöntää yhteisestä kriisinratkaisumekanismista annetun asetuksen 76 artiklan 1 kohdan e alakohdan mukainen korvaus, SRB pyysi alustavassa päätöksessä niitä ilmaisemaan kiinnostuksensa käyttää Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 41 artiklan 2 kohdan a alakohdan mukaista oikeuttaan tulla kuulluksi.

16

Alustavaan päätökseen sisältyvien tietojen mukaan oikeutta tulla kuulluksi koskeva menettely oli toteutettava kahdessa vaiheessa.

17

Ensimmäisessä vaiheessa (jäljempänä ilmoittautumisvaihe) asianomaisia osakkeenomistajia ja velkojia pyydettiin ilmoittamaan halukkuudestaan käyttää oikeuttaan tulla kuulluksi täyttämällä verkossa ilmoittautumislomake, joka oli saatavilla 14.9.2018 asti. Tämän vaiheen aikana asianomaisten osakkeenomistajien ja velkojien, jotka halusivat käyttää oikeuttaan tulla kuulluksi, oli toimitettava SRB:lle todisteet, jotka osoittivat, että Banco Popularin kriisinratkaisuajankohtana ne omistivat yhden tai useampia Banco Popularin pääomainstrumentteja, jotka oli alaskirjattu tai muunnettu ja siirretty Banco Santander SA:lle kriisinratkaisun yhteydessä. Toimitettaviin todisteisiin sisältyivät henkilötodistus sekä todistus näiden pääomainstrumenttien omistusoikeudesta 6.6.2017. Tämän jälkeen SRB:n oli tarkastettava, että jokaisella kiinnostuksensa ilmaisseella todella oli asianomaisen osakkeenomistajan tai velkojan asema.

18

Ilmoittautumisvaiheen alkaessa 6.8.2018 SRB julkaisi internetsivustolla, jolla oikeuteen tulla kuulluksi liittyvään menettelyyn oli tarkoitus ilmoittautua, ja omalla internetsivustollaan myös tietosuojaselosteen, joka koski henkilötietojen käsittelyä tässä menettelyssä (jäljempänä tietosuojaseloste).

19

Toisessa vaiheessa (jäljempänä kuulemisvaihe) henkilöt, joiden asianomaisten osakkeenomistajien ja velkojien aseman SRB oli tarkastanut, saivat esittää huomautuksensa alustavasta päätöksestä, jonka liitteenä oli kolmas arvostus. SRB ilmoitti 16.10.2018 internetsivustollaan, että asianomaisia osakkeenomistajia ja velkojia pyydettäisiin 6.11.2018 alkaen toimittamaan kirjalliset huomautuksensa alustavasta päätöksestä kuulemisvaiheen aikana.

20

SRB lähetti 6.11.2018 sähköpostitse asianomaisille osakkeenomistajille ja velkojille ainutkertaisen henkilökohtaisen linkin, jonka avulla ne saattoivat tutustua internetissä lomakkeeseen, jossa oli seitsemän kysymystä ja rajallinen vastaustila, jossa asianomaiset osakkeenomistajat ja velkojat saattoivat esittää ennen 26.11.2018 huomautuksensa alustavasta päätöksestä ja kolmannen arvostuksen ei-luottamuksellisesta versiosta.

21

SRB tutki asianomaisten osakkeenomistajien ja velkojien alustavasta päätöksestä esittämät asiaankuuluvat huomautukset. Se pyysi Deloittea riippumattomana arvioijana arvioimaan kolmanteen arvostukseen liittyvät asiaankuuluvat huomautukset, toimittamaan sille arviointinsa sisältävän asiakirjan ja määrittämään, oliko tämä arvostus näiden huomautusten perusteella edelleen pätevä.

22

Ilmoittautumisvaiheen aikana kerätyt tiedot eli näyttö asianomaisten osakkeenomistajien ja velkojien henkilöllisyydestä ja alaskirjattujen tai muunnettujen ja siirrettyjen Banco Popularin pääomainstrumenttien omistusoikeudesta toimitetut todistukset olivat saatavilla ainoastaan rajalliselle määrälle SRB:n henkilöstön jäseniä eli niille, joille annettiin tehtäväksi käsitellä nämä tiedot sen määrittämiseksi, täyttivätkö kyseiset osakkeenomistajat ja velkojat korvauksen saamista koskevat vaatimukset.

23

Ilmoittautumisvaiheessa kerätyt tiedot eivät olleet huomautusten analysoinnista vastanneen SRB:n henkilöstön saatavilla, joten huomautukset pidettiin erillään ne toimittaneiden asianomaisten osakkeenomistajien ja velkojien henkilötiedoista, eikä kyseisellä henkilöstöllä ollut käytettävissään myöskään tiedot yhdistävää koodiavainta, joka olisi mahdollistanut asianomaisen osakkeenomistajan tai velkojan uudelleentunnistamisen kullekin huomautukselle annetun yksilöllisen aakkosnumeerisen koodin avulla. Aakkosnumeerinen koodi muodostui 33-numeroisesta yksilöllisestä tunnisteesta, joka luotiin satunnaisesti lomakkeella toimitetun vastauksen vastaanottamishetkellä.

24

Ensimmäisessä vaiheessa SRB käsitteli automaattisella suodatuksella menettelyn osallistujien, joita oli 2855, toimittamat 23822 huomautusta, joista kullekin oli annettu yksilöllinen aakkosnumeerinen koodi. Näistä 20101 määritettiin keskenään samanlaisiksi kahta algoritmia käyttämällä. Tässä tapauksessa ensimmäisenä toimitettua huomautusta pidettiin alkuperäisenä huomautuksena, joka tutkittiin analyysivaiheessa, ja myöhemmin vastaanotetut samanlaiset huomautukset yksilöitiin sen kaksoiskappaleiksi.

25

Toisessa vaiheessa SRB yksilöi esitetyt huomautukset, jotka kuuluivat oikeutta tulla kuulluksi koskevan menettelyn soveltamisalaan, koska ne saattoivat vaikuttaa alustavaan päätökseen tai kolmanteen arvostukseen. Tämän jälkeen se jaotteli nämä huomautukset niihin huomautuksiin, jotka menivät SRB:n tarkasteltaviksi, koska ne koskivat alustavaa päätöstä, ja toisaalta niihin, jotka menivät Deloitten tarkasteltaviksi, koska ne koskivat kolmatta arvostusta. Tämän vaiheen päätyttyä SRB oli yksilöinyt yhteensä 3730 huomautusta, jotka se luokitteli niiden merkityksellisyyden ja aihealueen mukaan.

26

Kolmannessa vaiheessa SRB käsitteli alustavaan päätökseen liittyvät huomautukset, ja kolmanteen arvostukseen liittyvät huomautukset, joita oli 1104, siirrettiin 17.6.2019 Deloittelle SRB:n suojatun virtuaalipalvelimen välityksellä. SRB latasi Deloittelle siirrettävät tiedostot virtuaalipalvelimelle ja asetti ne saataville rajoitetulle ja valvotulle määrälle Deloitten henkilöstön jäseniä eli niille, jotka osallistuivat suoraan kolmanteen arvostukseen liittyvien huomautusten tutkimiseen.

27

Deloittelle siirretyt huomautukset suodatettiin, ryhmiteltiin ja aggregoitiin. Jos ne olivat aikaisempien huomautusten kopioita, Deloittelle toimitettiin niistä vain yksi versio, joten niitä yksittäisiä huomautuksia, jotka olivat toistuneet, ei voitu erottaa muista saman aihealueen huomautuksista eikä Deloitte voinut tietää, oliko kyseisen huomautuksen esittänyt yksi vai useampi oikeutta tulla kuulluksi koskevan menettelyn osallistuja.

28

Deloittelle siirretyt huomautukset olivat yksinomaan kuulemisvaiheessa vastaanotettuja huomautuksia, ja kullekin niistä oli annettu aakkosnumeerinen koodi. SRB oli kuitenkin ainoa, joka olisi voinut tämän koodin avulla yhdistää huomautukset ilmoittautumisvaiheessa vastaanotettuihin tietoihin. Aakkosnumeerinen koodi oli kehitetty tarkastuskäyttöön, ja sen avulla voitiin tarkistaa ja mahdollisesti todistaa tuomioistuinmenettelyssä, että kaikki huomautukset oli käsitelty ja otettu asianmukaisesti huomioon. Deloittella ei ollut pääsyä kerättyjen tietojen tietokantaan ilmoittautumisvaiheessa eikä oikeutta tulla kuulluksi koskevan menettelyn aikana, eikä sillä ollut pääsyä siihen vielä päivänä, jona valituksenalainen tuomio julistettiin.

29

Asianomaiset osakkeenomistajat ja velkojat, jotka olivat vastanneet lomakkeeseen, tekivät loka- ja joulukuussa 2019 EDPS:lle viisi kantelua asetuksen 2018/1725 nojalla. Näissä kanteluissa he vetosivat kyseisen asetuksen 15 artiklan 1 kohdan d alakohdan rikkomiseen sillä perusteella, että SRB ei ollut ilmoittanut heille, että lomakkeella toimitettuja vastauksia käyttämällä kerätyt tiedot siirrettäisiin kolmansille osapuolille eli Deloittelle ja Banco Santanderille, eikä siten ollut noudattanut tietosuojaselostetta.

30

Sen menettelyn jälkeen, jossa SRB oli antanut useita selityksiä EDPS:n pyynnöstä ja kantelijat esittäneet huomautuksia, EDPS teki 24.6.2020 päätöksen, joka koski viittä kantelua, jotka useat kantelijat olivat tehneet SRB:stä (asiat 2019-947, 2019-998, 2019-999, 2019-1000 ja 2019-1122) (jäljempänä alkuperäinen päätös). EDPS katsoi tässä päätöksessä, että SRB oli rikkonut asetuksen 2018/1725 15 artiklaa, kun se ei ollut ilmoittanut tietosuojaselosteessa kantelijoille, että heidän henkilötietojaan saatettiin luovuttaa Deloittelle. Näin ollen EDPS antoi SRB:lle huomautuksen tästä rikkomuksesta kyseisen asetuksen 58 artiklan 2 kohdan b alakohdan nojalla.

31

SRB pyysi 22.7.2020 EDPS:ää tarkastelemaan alkuperäistä päätöstä uudelleen Euroopan tietosuojavaltuutetun työjärjestyksen vahvistamisesta 15.5.2020 annetun Euroopan tietosuojavaltuutetun päätöksen (EUVL 2020, L 204, s. 49) 18 artiklan 1 kohdan nojalla. SRB toimitti muun muassa yksityiskohtaisen kuvauksen oikeuteen tulla kuulluksi liittyvästä menettelystä ja tunnistetuista kantelijoista neljän kuulemisvaiheen aikana toimittamille huomautuksille tehdystä analyysista. Se väitti, etteivät Deloittelle siirretyt tiedot olleet asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitettuja henkilötietoja.

32

EDPS ilmoitti 5.8.2020 SRB:lle, että se oli toimitettujen uusien tietojen perusteella päättänyt tarkastella alkuperäistä päätöstä uudelleen ja että se tekisi korvaavan päätöksen.

33

Kun uudelleentarkastelumenettely, jonka aikana kantelijat esittivät huomautuksia ja SRB toimitti lisätietoja EDPS:n pyynnöstä, oli päättynyt, viimeksi mainittu teki 24.11.2020 riidanalaisen päätöksen.

34

Tällä päätöksellä EDPS tarkisti alkuperäistä päätöstä seuraavasti:

35

SRB nosti unionin yleisen tuomioistuimen kirjaamoon 1.9.2020 toimittamallaan kannekirjelmällä kanteen, jossa vaadittiin yhtäältä riidanalaisen päätöksen kumoamista ja toisaalta alkuperäisen päätöksen toteamista lainvastaiseksi.

36

SRB esitti ensimmäisen vaatimuksensa tueksi kaksi kanneperustetta, joista ensimmäinen koski asetuksen 2018/1725 3 artiklan 1 alakohdan rikkomista siltä osin kuin Deloittelle siirretyt tiedot eivät olleet henkilötietoja ja toinen perusoikeuskirjan 41 artiklassa vahvistetun hyvää hallintoa koskevan oikeuden loukkaamista.

37

Unionin yleinen tuomioistuin hylkäsi valituksenalaisella tuomiolla toimivallan puuttumisen vuoksi toisen vaatimuksen, joka koski alkuperäisen päätöksen toteamista lainvastaiseksi, siltä osin kuin SRB vaati vahvistustuomiota eikä toimen kumoamista.

38

Sitä vastoin unionin yleinen tuomioistuin otti ensimmäisen vaatimuksen tutkittavaksi. Asiakysymyksen osalta se hyväksyi ensimmäisen kanneperusteen ja kumosi riidanalaisen päätöksen tutkimatta toista kanneperustetta.

39

Unionin tuomioistuimen presidentin 20.10.2023 tekemällä päätöksellä Euroopan komissio hyväksyttiin väliintulijaksi tukemaan SRB:n vaatimuksia. Unionin tuomioistuimen presidentin 29.11.2023 antamalla määräyksellä Euroopan tietosuojaneuvosto hyväksyttiin väliintulijaksi tukemaan EDPS:n vaatimuksia.

40

EDPS, jota Euroopan tietosuojaneuvosto tukee, vaatii, että unionin tuomioistuin

41

SRB, jota komissio tukee, vaatii, että unionin tuomioistuin

42

Valituksensa tueksi EDPS, jota Euroopan tietosuojaneuvosto tukee, esittää kaksi valitusperustetta, joista ensimmäinen koskee asetuksen 2018/1725 3 artiklan 1 ja 6 alakohdan, sellaisina kuin unionin tuomioistuin on niitä tulkinnut, rikkomista ja toinen kyseisen asetuksen 4 artiklan 2 kohdan ja 26 artiklan 1 kohdan rikkomista.

43

Ensimmäisessä valitusperusteessaan EDPS väittää, että unionin yleinen tuomioistuin teki oikeudellisen virheen tulkitessaan asetuksen 2018/1725 3 artiklan 1 ja 6 alakohtaa, kun se katsoi, että EDPS oli riidanalaisessa päätöksessä katsonut virheellisesti, että käsiteltävässä asiassa kyseessä olevat tiedot olivat henkilötietoja. Tämä peruste jakautuu kahteen osaan. Ensimmäinen osa koskee kyseisen asetuksen 3 artiklan 1 alakohdassa säädettyä edellytystä, jonka mukaan tiedot ”liittyvät” luonnolliseen henkilöön, ja toinen osa samassa säännöksessä säädettyä edellytystä, jonka mukaan henkilön on oltava ”tunnistettavissa”.

44

Ensimmäisen valitusperusteen ensimmäisessä osassa EDPS väittää, että toisin kuin unionin yleinen tuomioistuin katsoi valituksenalaisen tuomion 60–74 kohdassa, Deloittelle siirretyt tiedot liittyivät asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitetulla tavalla luonnolliseen henkilöön.

45

Ensinnäkin EDPS väittää, että toisin kuin valituksenalaisen tuomion 70 kohdasta ilmenee, tietosuojaviranomaiset eivät voi missään tapauksessa olla velvollisia tutkimaan tiedon sisältöä, tarkoitusta tai vaikutusta tarkistaakseen, koskeeko tieto luonnollista henkilöä. EDPS:n mukaan tällaista tutkintaa ei voitu vaatia etenkään SRB:n Deloittelle toimittamien huomautusten osalta, koska EDPS:n mukaan oli selvää, että nämä huomautukset liittyvät luonnolliseen henkilöön, koska niissä ilmaistaan Banco Popularin tiettyjen velkojien ja osakkeenomistajien henkilökohtainen näkemys heidän mahdollisesta oikeudestaan saada korvausta yhteisestä kriisinratkaisumekanismista annetun asetuksen 76 artiklan 1 kohdan e alakohdan nojalla.

46

Toiseksi EDPS väittää, että toisin kuin valituksenalaisen tuomion 71 kohdassa todetaan, EDPS on henkilötietojen olemassaolon toteamiseksi tukeutunut paitsi Deloittelle toimitettujen huomautusten luonteeseen myös siihen, että myös aakkosnumeerinen koodi oli siirretty tälle yhtiölle.

47

Kolmanneksi EDPS väittää, että valituksenalainen tuomio on ristiriitainen siltä osin kuin unionin yleinen tuomioistuin totesi yhtäältä kyseisen tuomion 7 kohdassa, että Deloittelle toimitettujen huomautusten tarkoituksena oli antaa tietyille luonnollisille henkilöille eli asianomaisille osakkeenomistajille ja velkojille mahdollisuus käyttää oikeuttaan tulla kuulluksi yhteisestä kriisinratkaisumekanismista annetun asetuksen 76 artiklan 1 kohdan e alakohdan mukaista mahdollista korvausta varten. Tämän ensimmäisen toteamuksen vastaisesti unionin yleinen tuomioistuin totesi toisaalta kyseisen tuomion 73 kohdassa, että EDPS oli tukeutunut olettamiin, joiden mukaan kaikki Deloittelle toimitetut huomautukset olivat henkilötietoja, osoittamatta, että ne koskivat luonnollisia henkilöitä.

48

SRB, jota komissio tukee, katsoo, että tämä väite on hylättävä.

49

Ensinnäkin 20.12.2017 annettuun tuomioon Nowak (C‑434/16, EU:C:2017:994, 34 ja 35 kohta) ja 4.5.2023 annettuun tuomioon Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, 23 ja 24 kohta) perustuvan oikeuskäytännön mukaan objektiiviset tai subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, voivat olla henkilötietoja, edellyttäen, että ne ”koskevat” kyseessä olevaa henkilöä. Lisäksi mainitun oikeuskäytännön mukaan tieto koskee tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, kun se ”liittyy” tunnistettavissa olevaan henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi. Unionin yleinen tuomioistuin katsoi SRB:n mukaan siis perustellusti valituksenalaisen tuomion 70–74 kohdassa, että EDPS ei ottanut huomioon mainittua oikeuskäytäntöä, kun se tyytyi toteamaan, että Deloittelle toimitetut huomautukset kuvastavat asianomaisten osakkeenomistajien ja velkojien mielipiteitä tai näkemyksiä, ja näin ollen jätti tutkimatta, liittyivätkö nämä huomautukset sisältönsä, tarkoituksensa tai vaikutuksensa puolesta tunnistettavissa olevaan henkilöön.

50

Toiseksi EDPS:n väite, jonka mukaan kyseisissä huomautuksissa olevien henkilötietojen luonne ilmenee väistämättä niiden tarkoituksesta, on SRB:n mukaan uusi tosiseikkoja koskeva väite, joka on esitetty ensimmäistä kertaa muutoksenhakutuomioistuimessa ja jota ei tästä syystä voida ottaa tutkittavaksi. Tämä väite on joka tapauksessa tehoton, koska EDPS ei tutkinut tätä seikkaa riidanalaisessa päätöksessä.

51

Kolmanneksi SRB väittää valituksenalaisen tuomion 7 ja 73 kohdan perustelujen väitetystä ristiriidasta, että kyseisen tuomion 7 kohdassa oleva kuvaus ei sisällä mitään tietoja Deloittelle toimitettujen huomautusten sisällöstä, tarkoituksesta tai vaikutuksesta eikä se näin ollen ole ristiriidassa kyseisen tuomion 73 kohdassa esitetyn päätelmän kanssa.

52

Aluksi on todettava, että asetuksen 2018/1725 3 artiklan 1 alakohdassa esitetty henkilötietojen käsitteen määritelmä on olennaisilta osin sama kuin yleisen tietosuoja-asetuksen 4 artiklan 1 alakohtaan sisältyvä määritelmä, jolla puolestaan on olennaisilta osin sama ulottuvuus kuin luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston direktiivin 95/46/EY (EYVL 1995, L 281, s. 31) 2 artiklan a alakohdalla oli. Unionin oikeuden yhtenäisen ja johdonmukaisen soveltamisen varmistamiseksi asetuksen 2018/1725 3 artiklan 1 alakohtaa, yleisen tietosuoja-asetuksen 4 artiklan 1 alakohtaa ja direktiivin 95/46 2 artiklan a alakohtaa on siis tulkittava samoin (ks. vastaavasti tuomio 7.3.2024, OC v. komissio, C‑479/22 P, EU:C:2024:215, 43 kohta ja tuomio 7.3.2024, IAB Europe, C‑604/22, EU:C:2024:214, 33 kohta oikeuskäytäntöviittauksineen).

53

Asetuksen 2018/1725 3 artiklan 1 alakohdassa säädetään, että henkilötiedot tarkoittavat ”kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja”.

54

Unionin tuomioistuin on todennut, että ilmaisun ”kaikki tiedot” käyttäminen yleisen tietosuoja-asetuksen 4 artiklan 1 alakohtaan sisältyvän henkilötietojen käsitteen määritelmässä heijastaa unionin lainsäätäjän pyrkimystä antaa laaja merkitys tälle käsitteelle, joka voi kattaa kaikenlaiset tiedot, sekä objektiiviset tiedot että subjektiiviset tiedot, jotka ilmaistaan mielipiteen tai arvion muodossa, edellyttäen, että ne ”koskevat” kyseessä olevaa henkilöä (tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, 23 kohta oikeuskäytäntöviittauksineen; tuomio 7.3.2024, OC v. komissio, C‑479/22 P, EU:C:2024:215, 45 kohta ja tuomio 4.10.2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, 130 kohta).

55

Tieto koskee tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä, kun tieto liittyy tunnistettavissa olevaan henkilöön sisältönsä, tarkoituksensa tai vaikutuksensa vuoksi (tuomio 20.12.2017, Nowak, C‑434/16, EU:C:2017:994, 35 kohta; tuomio 7.3.2024, OC v. komissio, C‑479/22 P, EU:C:2024:215, 45 kohta ja tuomio 7.3.2024, IAB Europe, C‑604/22, EU:C:2024:214, 37 kohta oikeuskäytäntöviittauksineen).

56

Nyt käsiteltävässä asiassa on niin, että vaikka unionin yleinen tuomioistuin totesi valituksenalaisen tuomion 70 kohdassa, ettei EDPS ollut tutkinut Deloittelle toimitetuista huomautuksista ilmenevien tietojen sisältöä, tarkoitusta eikä vaikutusta, kyseisen tuomion 71 ja 72 kohdasta ilmenee kuitenkin, että toteamus siitä, että nämä huomautukset kuvastivat rekisteröityjen mielipiteitä tai näkemyksiä, edellytti, että EDPS oli ensin tutkinut kyseisten huomautusten sisällön. Tämän toteamuksen perusteella EDPS päätteli, että ne olivat näitä henkilöitä koskevia tietoja. Tämän tuomion 55 kohdassa mainitun oikeuskäytännön mukaan tiedon sisällön tutkimista ei tarvitse välttämättä täydentää kyseisen tiedon tarkoituksen ja vaikutusten arvioinnilla, kuten kyseisessä oikeuskäytännössä tarkoitetut eri kriteerit yhdistävän konjunktion ”tai” käyttö osoittaa.

57

Unionin yleinen tuomioistuin katsoi kuitenkin valituksenalaisen tuomion 73 ja 74 kohdassa, että EDPS ei voinut luokitella Deloittelle toimitetuista huomautuksista ilmeneviä tietoja henkilötiedoiksi pelkästään sen toteamuksen perusteella, että kyse oli henkilökohtaisista mielipiteistä tai näkemyksistä, vaan sen olisi pitänyt tutkia lisäksi näin esitettyjen mielipiteiden sisältö, tarkoitus ja vaikutus määrittääkseen, liittyivätkö ne tiettyyn henkilöön.

58

Tässä unionin yleisen tuomioistuimen arvioinnissa ei oteta huomioon sellaisten henkilökohtaisten mielipiteiden tai näkemysten erityistä luonnetta, jotka henkilön ajattelun ilmentymänä liittyvät väistämättä läheisesti tähän henkilöön.

59

Edellisessä kohdassa omaksuttua tulkintaa tukee 20.12.2017 annettuun tuomioon Nowak (C‑434/16, EU:C:2017:994), joka koski muun muassa tarkastajan tekemiä merkintöjä ammatilliseen kokeeseen osallistujan kirjallisiin vastauksiin, perustuva oikeuskäytäntö. Vaikka unionin tuomioistuin on arvioinut kyseisen tuomion 42–44 kohdassa näiden merkintöjen sisältöä, tarkoitusta ja vaikutusta ja totesi, että ne olivat niissä tarkoitettua ehdokasta koskevia tietoja, se katsoi, että kyseiset merkinnät liittyivät myös ne laatineeseen tutkijaan, koska niissä ilmaistiin hänen mielipiteensä tai arviointinsa.

60

Tästä seuraa, että unionin yleinen tuomioistuin teki oikeudellisen virheen, kun se totesi valituksenalaisen tuomion 73 ja 74 kohdassa, että EDPS:n olisi pitänyt tutkia Deloittelle toimitettujen huomautusten sisältö, tarkoitus tai vaikutukset sen toteamiseksi, että kyseisistä huomautuksista ilmenevät tiedot liittyivät asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitetulla tavalla kyseiset huomautukset toimittaneisiin henkilöihin, koska oli kiistatonta, että ne ilmaisivat laatijoidensa henkilökohtaisen mielipiteen tai näkemyksen.

61

Näin ollen ensimmäisen valitusperusteen ensimmäinen osa on hyväksyttävä ilman, että on tarpeen tutkia tämän tuomion 46 ja 47 kohdassa tiivistetysti esitettyjä väitteitä.

62

Ensimmäisen valitusperusteen toisessa osassa EDPS väittää, että unionin yleinen tuomioistuin totesi valituksenalaisen tuomion 76–106 kohdassa virheellisesti, ettei se voinut katsoa, että Deloittelle toimitetuista huomautuksista ilmenevät tiedot liittyivät asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitettuun tunnistettavissa olevaan luonnolliseen henkilöön. Tämä osa muodostuu kahdesta erillisestä väitteestä.

63

EDPS huomauttaa aluksi, että asetuksen 2018/1725 3 artiklan 1 alakohdan mukaan rekisterinpitäjän tai ”muun henkilön” on voitava tunnistaa henkilö, jota kyseiset tiedot koskevat. Jos ei ole mainintaa siitä, kenen on voitava suorittaa tämä tunnistaminen, riittää, että rekisteröity voidaan tunnistaa. Käsiteltävässä asiassa ei kuitenkaan ole EDPS:n mukaan kiistetty sitä, että Deloittelle toimitetut huomautukset, jotka olivat SRB:n käytettävissä, ovat henkilötietoja. Lisäksi kyseisen asetuksen 3 artiklan 6 alakohdasta, luettuna yhdessä asetuksen johdanto-osan 16 perustelukappaleen kanssa, ilmenee, että pseudonymisoidut tiedot ovat henkilötietoja, ja näin on pelkästään sellaisten lisätietojen vuoksi, joiden perusteella ne voidaan yhdistää tiettyyn henkilöön.

64

EDPS:n mukaan valituksenalaisen tuomion 90 ja 91 kohdassa esitetyissä toteamuksissa ei oteta riittävästi huomioon näiden säännösten sanamuotoa eikä anonymisoinnin ja pseudonymisoinnin välistä eroa. Tältä osin Euroopan tietosuojaneuvosto täsmentää, että unionin yleisen tuomioistuimen tulkinnan mukaan henkilötiedot muuttuisivat luonteeltaan silloin, kun ne siirretään rekisterinpitäjän ulkopuoliselle yksikölle, jolla ei ole käytettävissään lisätietoja, joiden perusteella rekisteröity voitaisiin tunnistaa. Tällainen tulkinta mahdollistaisi sen, että rekisterinpitäjä voisi perusteettomasti jättää henkilötiedot tällaisten tietojen suojaa koskevan unionin oikeuden soveltamisalan ulkopuolelle silloinkin, kun ulkopuolisen yksikön suorittama käsittely altistaisi rekisteröidyt merkittäville riskeille.

65

Tämän jälkeen EDPS toteaa, että kun unionin lainsäätäjä on ottanut käyttöön pseudonymisoinnin käsitteen, se on selventänyt, että henkilötietojen sulkemiseksi tällaisten tietojen suojaa koskevan unionin oikeuden soveltamisalan ulkopuolelle ei riitä, että nämä tiedot erotetaan lisätiedoista, joiden avulla rekisteröity voidaan tunnistaa.

66

Lopuksi EDPS huomauttaa, että henkilötietojen käsitettä on tulkittava laajasti, mikä on sen mukaan välttämätöntä, jotta tietosuojaa koskevalla oikeudella olisi tehokas vaikutus. Koska unionin yleisen tuomioistuimen tulkinta mahdollistaa sen, että pseudonymisoituja tietoja virheellisesti pidetään anonyymeinä, se on omiaan vaarantamaan unionin lainsäätäjän tavoitteleman ja perusoikeuskirjassa edellytetyn suojan korkean tason. Euroopan tietosuojaneuvoston mukaan unionin yleisen tuomioistuimen omaksumaan tulkintaan sisältyy myös riski siitä, että pseudonymisoituja tietoja voitaisiin käsitellä rajoituksetta yleisen tietosuoja-asetuksen ja asetuksen 2018/1725 nojalla, mukaan lukien niiden jakaminen, julkaiseminen ja siirtäminen kolmansiin maihin.

67

SRB, jota komissio tukee, kiistää nämä perustelut.

68

Ensimmäisen valitusperusteen toisen osan ensimmäinen väite perustuu näkemykseen, jonka mukaan Deloittelle toimitettujen huomautusten kaltaiset pseudonymisoidut tiedot ovat joka tapauksessa henkilötietoja pelkästään sillä perusteella, että on olemassa tietoja, joiden perusteella rekisteröity voidaan tunnistaa, eikä ole tarpeen tutkia konkreettisesti, onko henkilö, johon tiedot liittyvät, tunnistettavissa pseudonymisoinnista huolimatta.

69

Tältä osin on huomautettava, että asetuksen 2018/1725 3 artiklan 1 alakohdan sanamuodon mukaan tiedon on liityttävä ”tunnistettuun tai tunnistettavissa olevaan” luonnolliseen henkilöön, jotta sitä voidaan pitää kyseisessä säännöksessä tarkoitettuna henkilötietona. Näin ollen kyseisen asetuksen soveltaminen edellyttää lähtökohtaisesti sen tutkimista, onko henkilö, jota kyseessä oleva tieto koskee, tunnistettu tai tunnistettavissa.

70

Tätä tulkintaa tukee asetuksen 2018/1725 johdanto-osan 16 perustelukappaleen viides ja kuudes virke, joiden mukaan henkilötietojen käsitteen määritelmän piiriin eivät kuulu ”anonyym[it] tie[dot] eli tie[dot], jotka eivät liity tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön”, eivätkä ”henkilötie[dot], joiden tunnistettavuus on poistettu siten, ettei rekisteröidyn tunnistaminen ole tai ei ole enää mahdollista” (ks. analogisesti tuomio 5.12.2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 57 kohta).

71

Erityisesti pseudonymisoiduista tiedoista on huomautettava ensinnäkin, ettei näitä tietoja mainita asetuksen 2018/1725 3 artiklan 1 alakohdassa olevassa henkilötietojen käsitteen oikeudellisessa määritelmässä vaan niiden ominaispiirteet ilmenevät kyseisen asetuksen 3 artiklan 6 alakohdasta. Viimeksi mainitussa säännöksessä pseudonymisoinnin käsite määritellään siten, että sillä tarkoitetaan ”henkilötietojen käsittelemistä siten, että henkilötietoja ei voida enää yhdistää tiettyyn rekisteröityyn käyttämättä lisätietoja, edellyttäen että tällaiset lisätiedot säilytetään erillään ja niihin sovelletaan teknisiä ja organisatorisia toimenpiteitä, joilla varmistetaan, ettei henkilötietojen yhdistämistä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön tapahdu”.

72

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 46 ja 48 kohdassa, pseudonymisointi ei siis ole osa henkilötietojen määritelmää, vaan sillä viitataan sellaisten teknisten ja organisatoristen toimenpiteiden toteuttamiseen, joiden tarkoituksena on vähentää tietojoukon ja rekisteröidyn henkilöllisyyden yhdistämisen riskejä. Mainitun asetuksen johdanto-osan 17 perustelukappaleen mukaan pseudonymisointi ”voi [ainoastaan] vähentää” tällaisen yhdistämisen riskejä ja siten ”auttaa rekisterinpitäjiä ja henkilötietojen käsittelijöitä täyttämään tietosuojavelvoitteitaan”.

73

Toiseksi asetuksen 2018/1725 3 artiklan 6 alakohdan sanamuodosta ilmenee, että pseudonymisoinnin käsite edellyttää sellaisten tietojen olemassaoloa, joiden avulla rekisteröity voidaan tunnistaa. Tällaisten tietojen olemassaolo itsessään on esteenä sille, että pseudonymisoituja tietoja voitaisiin joka tapauksessa pitää anonyymeinä tietoina, jotka on suljettu kyseisen asetuksen soveltamisalan ulkopuolelle.

74

Kolmanneksi on kuitenkin niin, että kyseisen asetuksen 3 artiklan 6 alakohdassa säädetty vaatimus, jonka mukaan tunnistetiedot on säilytettävä erillään ja että sovelletaan teknisiä ja organisatorisia toimenpiteitä, joilla ”varmistetaan, ettei henkilötietojen yhdistämistä tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön tapahdu”, osoittaa, että pseudonymisoinnin tavoitteena on muun muassa estää se, että rekisteröity voitaisiin tunnistaa pelkkien pseudonymisoitujen tietojen avulla.

75

Mikäli tällaiset tekniset ja organisatoriset toimenpiteet on tosiasiallisesti toteutettu ja mikäli ne ovat omiaan estämään kyseessä olevien tietojen yhdistämisen rekisteröityyn siten, että hän ei ole tai ei enää ole tunnistettavissa, pseudonymisoinnilla voi nimittäin olla vaikutusta siihen, pidetäänkö näitä tietoja asetuksen 2018/1725 3 artiklan 1 alakohdassa tarkoitettuina henkilötietoina.

76

Tältä osin on täsmennettävä, että kuten tavallisesti pseudonymisoinnin suorittaneen rekisterinpitäjän tapauksessa, SRB:llä on nyt käsiteltävässä asiassa lisätietoja, joiden perusteella Deloittelle toimitetut huomautukset voidaan yhdistää rekisteröityyn, joten nämä huomautukset ovat SRB:lle pseudonymisoinnista huolimatta yhä henkilötietoja.

77

Deloittesta, jolle SRB toimitti pseudonymisoituja huomautuksia, on todettava, että asetuksen 2018/1725 3 artiklan 6 alakohdassa tarkoitetut tekniset ja organisatoriset toimenpiteet voivat, kuten SRB väittää, johtaa siihen, etteivät nämä huomautukset ole kyseiselle yhtiölle henkilötietoja. Tämä edellyttää kuitenkin yhtäältä, ettei Deloitte pysty peruuttamaan näitä toimenpiteitä sen valvonnassa tapahtuvan huomautusten käsittelyn yhteydessä. Toisaalta mainittujen toimenpiteiden on tosiasiallisesti oltava sellaisia, että ne estävät Deloittea yhdistämästä näitä samoja huomautuksia rekisteröityyn myös turvautumalla muihin tunnistamiskeinoihin, kuten ristiintarkistukseen muiden seikkojen kanssa, niin että rekisteröity ei ole tai ei ole enää tämän yhtiön tunnistettavissa.

78

Tätä tulkintaa tukee asetuksen 2018/1725 johdanto-osan 16 perustelukappale, jonka ensimmäisessä virkkeessä todetaan ensin, että ”tietosuojaperiaatteita olisi sovellettava kaikkiin tietoihin, jotka koskevat tunnistettua tai tunnistettavissa olevaa luonnollista henkilöä”, ja toisessa virkkeessä todetaan, että ”pseudonymisoidut henkilötiedot, jotka voitaisiin yhdistää luonnolliseen henkilöön lisätietoja käyttämällä, olisi katsottava tiedoiksi, jotka koskevat tunnistettavissa olevaa luonnollista henkilöä”.

79

Kyseisen perustelukappaleen kolmannessa virkkeessä, joka seuraa viittausta henkilötietoihin ja pseudonymisoituihin tietoihin, todetaan, että sen määrittämiseksi, onko luonnollinen henkilö tunnistettavissa, olisi otettava huomioon ”kaikki keinot” joita joko rekisterinpitäjä tai ”muu henkilö kohtuullisen todennäköisesti” käyttää mainitun luonnollisen henkilön tunnistamiseen ”suoraan tai välillisesti”. Lisäksi tämän perustelukappaleen neljännessä virkkeessä todetaan, että sen varmistamiseksi, voidaanko keinoja kohtuullisen todennäköisesti käyttää luonnollisen henkilön tunnistamiseen, olisi otettava huomioon ”kaikki objektiiviset tekijät, kuten tunnistamisesta aiheutuvat kulut ja tunnistamiseen tarvittava aika sekä käsittelyajankohtana käytettävissä oleva teknologia ja tekninen kehitys”.

80

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 51 kohdassa, näiltä täsmennyksiltä, jotka koskevat sen arviointia, onko rekisteröity tunnistettavissa vai ei, vietäisiin kokonaan tehokas vaikutus, jos pseudonymisoitujen tietojen olisi katsottava joka tapauksessa ja jokaisen henkilön osalta olevan henkilötietoja asetuksen 2018/1725 soveltamista varten.

81

Tästä on huomautettava, että kun kyse oli lehdistötiedotteesta, joka sisälsi tietyn määrän tietoja jostakin henkilöstä mainitsematta häntä nimeltä, unionin tuomioistuin ei 7.3.2024 antamassaan tuomiossa OC v. komissio (C‑479/22 P, EU:C:2024:215, 52–64 kohta) rajoittunut toteamaan, että kyseisen lehdistötiedotteen julkaisseella unionin elimellä oli käytettävissään kaikki tiedot, joiden avulla kyseinen henkilö voitiin tunnistaa, vaan se tutki, oliko kyseisessä lehdistötiedotteessa olevien tietojen perusteella yleisöllä, jota asia koski, kohtuullisesti mahdollisuus tunnistaa kyseinen henkilö, erityisesti yhdistämällä nämä tiedot internetissä saatavilla oleviin tietoihin.

82

Unionin tuomioistuin on lisäksi jo todennut, että keinoa ei voida kohtuullisen todennäköisesti käyttää rekisteröidyn tunnistamiseen silloin, kun tunnistamisen riski näyttäytyy käytännössä merkityksettömänä, koska tämän henkilön tunnistaminen on kielletty laissa tai kun se ei ole käytännössä toteutettavissa esimerkiksi siitä syystä, että se veisi suhteettomasti aikaa ja aiheuttaisi suhteettomasti kustannuksia ja työtä (ks. vastaavasti tuomio 7.3.2024, OC v. komissio, C‑479/22 P, EU:C:2024:215, 51 kohta oikeuskäytäntöviittauksineen). Tämä oikeuskäytäntö tukee tulkintaa, jonka mukaan sellaisten lisätietojen olemassaolo, joiden perusteella rekisteröity voidaan tunnistaa, ei yksinään merkitse sitä, että pseudonymisoituja tietoja olisi joka tapauksessa ja jokaisen henkilön osalta pidettävä henkilötietoina asetuksen 2018/1725 soveltamista varten.

83

Vastaavasti unionin tuomioistuin on todennut muun muassa 19.10.2016 antamassaan tuomiossa Breyer (C‑582/14, EU:C:2016:779, 44, 47 ja 48 kohta) ja 7.3.2024 antamassaan tuomiossa IAB Europe (C‑604/22, EU:C:2024:214, 43 ja 48 kohta), että rekisterinpitäjän keräämät ja säilyttämät tiedot, jotka eivät sellaisenaan ole henkilötietoja, liittyvät joka tapauksessa tunnistettavissa olevaan henkilöön, koska rekisterinpitäjällä oli laillisia keinoja sellaisten lisätietojen saamiseksi muilta, joiden avulla tämä henkilö voidaan tunnistaa. Tällaisessa tilanteessa se, että rekisteröidyn tunnistamisen mahdollistavat tiedot olivat eri henkilöiden hallussa, ei nimittäin ollut tosiasiallisesti esteenä hänen tunnistamiselleen siten, että hän ei ollut rekisterinpitäjän tunnistettavissa.

84

Ennen kaikkea 9.11.2023 annettuun tuomioon Gesamtverband Autoteile-Handel (Ajoneuvoja koskevien tietojen saatavuus) (C‑319/22, EU:C:2023:837, 46 ja 49 kohta) perustuvan oikeuskäytännön mukaan tiedot, jotka eivät sellaisenaan ole henkilötietoja, voivat muuttua henkilötiedoiksi, kun rekisterinpitäjä asettaa ne muiden sellaisten henkilöiden saataville, joilla on käytettävissään keinoja, joilla kohtuullisen todennäköisesti rekisteröity voidaan tunnistaa. Viimeksi mainitusta tuomiosta ilmenee erityisesti, että – tällaisen saataville asettamisen yhteydessä – mainitut tiedot ovat henkilötietoja sekä näille henkilöille että välillisesti rekisterinpitäjälle.

85

Kun otetaan huomioon edellisessä kohdassa mainittu oikeuskäytäntö, EDPS väittää näin ollen virheellisesti, että se, että pseudonymisoidut tiedot eivät mahdollisesti ole henkilötietoja henkilöille, joille rekisterinpitäjä siirtää pseudonymisoituja tietoja, mahdollistaisi sen, että nämä tiedot voitaisiin perusteettomasti jättää henkilötietojen suojaa koskevan unionin oikeuden soveltamisalan ulkopuolelle. Kyseisen oikeuskäytännön mukaan kyseinen seikka ei nimittäin vaikuta sen arviointiin, ovatko nämä tiedot henkilötietoja, erityisesti tilanteessa, jossa on kyse niiden mahdollisesta myöhemmästä siirrosta kolmansille. Siltä osin kuin ei ole poissuljettua, että nämä kolmannet voivat kohtuudella yhdistää pseudonymisoidut tiedot rekisteröityyn käytettävissään olevien tietojen ristiintarkistuksen kaltaisten keinojen avulla, rekisteröidyn on katsottava olevan tunnistettavissa sekä tämän siirron että mainittujen kolmansien osapuolten suorittaman näiden tietojen myöhemmän käsittelyn osalta. Tällaisissa olosuhteissa pseudonymisoituja tietoja olisi pidettävä henkilötietoina.

86

Tästä seuraa, että toisin kuin EDPS väittää, pseudonymisoitujen tietojen ei voida katsoa olevan kaikissa tilanteissa ja kaikkien henkilöiden osalta henkilötietoja asetuksen 2018/1725 soveltamista varten, koska pseudonymisointi voi käsiteltävän asian olosuhteiden mukaan tosiasiallisesti estää muita henkilöitä kuin rekisterinpitäjää tunnistamasta rekisteröityä siten, että tämä ei ole tai ei enää ole näiden henkilöiden tunnistettavissa.

87

Tätä tulkintaa ei horjuta se EDPS:n mainitsema seikka, että asetuksen 2018/1725 johdanto-osan 16 perustelukappaleen kolmas virke koskee rekisterinpitäjää tai ”muu[ta] henkilö[ä]”. Tämän tuomion 79 kohdassa mieleen palautetusta kyseisen virkkeen sanamuodosta nimittäin ilmenee, että sillä viitataan ainoastaan henkilöihin, joilla on käytettävissään tai joilla on mahdollisuus saada käyttöönsä keinoja, joita kohtuullisen todennäköisesti käytetään rekisteröidyn tunnistamiseen. Kuten tämän tuomion 75–77 kohdassa on todettu, pseudonymisointi voi yksittäistapauksen olosuhteista riippuen tosiasiallisesti estää muita henkilöitä kuin rekisterinpitäjää tunnistamasta rekisteröityä siten, että rekisteröity ei ole tai ei enää ole heidän tunnistettavissaan.

88

EDPS:n väitteestä, joka koskee tavoitetta taata henkilötietojen suojan korkea taso, on todettava, että vaikka asetuksen 2018/1725 3 artiklan 1 alakohdan sanamuoto heijastaa unionin lainsäätäjän tavoitetta antaa henkilötietojen käsitteelle laaja merkitys, tämä käsite ei ole rajaton, koska kyseisessä säännöksessä edellytetään muun muassa, että rekisteröity on tunnistettu tai tunnistettavissa.

89

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 58 kohdassa, asetus 2018/1725 sisältää kyseisen asetuksen 15 artiklassa säädetyn tietojen antamista rekisteröidylle koskevan velvollisuuden kaltaisia velvollisuuksia, joiden noudattaminen edellyttää rekisteröidyn tunnistamista. Tällaisia velvoitteita ei kuitenkaan voida asettaa yksikölle, joka ei voi mitenkään suorittaa tällaista tunnistamista.

90

Ensimmäisen valitusperusteen toisen osan ensimmäinen väite on näin ollen hylättävä perusteettomana.

91

Ensimmäisen valitusperusteen toisen osan toisessa väitteessä EDPS väittää, että unionin yleinen tuomioistuin ei ottanut huomioon 19.10.2016 annettuun tuomioon Breyer (C‑582/14, EU:C:2016:779) perustuvaa oikeuskäytäntöä.

92

Ensinnäkin unionin yleinen tuomioistuin jätti huomiotta rekisteröidyn tunnistettavuutta koskevan edellytyksen objektiivisuuden todetessaan valituksenalaisen tuomion 97, 99 ja 100 kohdassa muun muassa, että EDPS:n olisi pitänyt tutkia, olivatko Deloittelle toimitetut huomautukset sen näkökulmasta henkilötietoja. EDPS:n mukaan 19.10.2016 annetun tuomion Breyer (C‑582/14, EU:C:2016:779) 47 ja 48 kohdasta nimittäin ilmenee, että pelkkä sellaisten laillisten keinojen olemassaolo, joiden avulla rekisteröity voidaan tunnistaa, riittää sen toteamiseen, että kyseinen henkilö on tunnistettavissa. Nyt käsiteltävässä asiassa SRB olisi EDPS:n mukaan kyennyt tunnistamaan rekisteröidyt, mitä unionin yleinen tuomioistuin ei ottanut riittävästi huomioon kyseiseen tuomioon perustuvaa oikeuskäytäntöä soveltaessaan.

93

Toiseksi EDPS väittää, että kyseisessä tuomiossa sitä, onko rekisteröity tunnistettavissa vai ei, arvioitiin rekisterinpitäjän näkökulmasta tilanteessa, jossa tämän rekisterinpitäjän ja niiden yksiköiden välillä, joilla on hallussaan lisätietoja, joiden perusteella kyseinen henkilö voidaan tunnistaa, ei ole mitään yhteyttä. Käsiteltävässä asiassa Deloitte ei sitä vastoin ole rekisterinpitäjä, ja sitä sitoo lisäksi SRB:n kanssa tehty sopimus. Näiden erojen vuoksi EDPS katsoo, ettei sillä ollut velvollisuutta tehdä kattavaa arviointia keinoista, joilla Deloitte voisi kohtuullisen todennäköisesti tunnistaa rekisteröidyt.

94

Mikäli EDPS olisi kuitenkin ollut velvollinen arvioimaan, pystyikö Deloitte tunnistamaan sille toimitettujen huomautusten laatijat, EDPS väittää, ettei mikään estänyt Deloittea suorittamasta tätä tunnistamista.

95

SRB, jota komissio tukee, kiistää nämä perustelut.

96

Ensinnäkin unionin yleinen tuomioistuin tukeutui erityisesti valituksenalaisen tuomion 96, 97 ja 100 kohdassa perustellusti lähestymistapaan, jonka mukaan rekisteröidyn tunnistettavuutta on tarkasteltava suhteessa kuhunkin henkilöön ja rekisterinpitäjään, joka käsittelee merkityksellisiä tietoja. Asetuksen 2018/1725 15 artiklan 1 kohdan d alakohdassa säädetyn tiedonantovelvollisuuden yhteydessä tämä tarkastelu on kuitenkin tehtävä kyseessä olevien tietojen vastaanottajan näkökulmasta.

97

Toiseksi SRB väittää, että perustelu, jonka mukaan nyt käsiteltävä asia poikkeaa 19.10.2016 annettuun tuomioon Breyer (C‑582/14, EU:C:2016:779) johtaneesta asiasta, on jätettävä tutkimatta. Se katsoo, että näillä perusteluilla kyseenalaistetaan unionin yleisen tuomioistuimen valituksenalaisen tuomion 94 ja 95 kohdassa esittämät tosiseikkoja koskevat toteamukset, joiden mukaan Deloittella ei ollut mahdollisuutta tutustua yksilöintitietoihin, jotka olivat tarpeen kantelijoiden tunnistamiseksi.

98

Valituksenalaisen tuomion 97–100 kohdassa unionin yleinen tuomioistuin katsoi, että 19.10.2016 annettuun tuomioon Breyer (C‑582/14, EU:C:2016:779) perustuvan oikeuskäytännön mukaisesti EDPS:n olisi pitänyt tutkia, olivatko Deloittelle toimitetut huomautukset sen näkökulmasta henkilötietoja. Tähän toteamukseen päätyäkseen unionin yleinen tuomioistuin totesi muun muassa, että riidanalaisessa päätöksessä todettu asetuksen 2018/1725 15 artiklan 1 kohdan d alakohdan rikkominen koski sitä, että SRB siirsi nämä huomautukset Deloittelle, eikä pelkästään sitä, että ne olivat SRB:n hallussa.

99

Aluksi on huomautettava, että asetuksen 2018/1725 3 artiklan 1 alakohdassa ei täsmennetä nimenomaisesti merkityksellistä näkökulmaa rekisteröidyn tunnistettavissa olevan ominaisuuden arvioimiseksi, kun taas kyseisen asetuksen johdanto-osan 16 perustelukappaleessa viitataan erotuksetta ”rekisterinpitäjään” tai ”muuhun henkilöön”. Lisäksi vakiintuneen oikeuskäytännön mukaan on niin, että jotta tietoa voitaisiin pitää henkilötietona, ei edellytetä, että kaikki tiedot, joiden perusteella rekisteröity voidaan tunnistaa, ovat yhden ainoan tahon hallussa (ks. vastaavasti tuomio 19.10.2016, Breyer, C‑582/14, EU:C:2016:779, 43 kohta ja tuomio 7.3.2024, OC v. komissio, C‑479/22 P, EU:C:2024:215, 48 kohta).

100

Erityisesti 19.10.2016 annettuun tuomioon Breyer (C‑582/14, EU:C:2016:779) perustuvan oikeuskäytännön, joka on palautettu mieleen tämän tuomion 81–84 kohdassa, mukaan merkityksellinen näkökulma rekisteröidyn tunnistettavuuden arvioimiseksi riippuu olennaisesti olosuhteista, jotka ovat ominaisia tietojen käsittelylle kussakin yksittäistapauksessa.

101

Käsiteltävässä asiassa on muistutettava, että EDPS totesi riidanalaisessa päätöksessä, että SRB oli laiminlyönyt asetuksen 2018/1725 15 artiklan 1 kohdan d alakohtaan perustuvan tiedonantovelvollisuutensa, kun se ei maininnut Deloittea huomautusten mahdollisena vastaanottajana niiden keräämisen yhteydessä esitetyssä tietosuojaselosteessa.

102

Kyseisen asetuksen 15 artiklan 1 kohdassa määritetään tiedot, jotka rekisterinpitäjän on annettava rekisteröidylle, kun rekisteröidyltä kerätään henkilötietoja, ja täsmennetään, että nämä tiedot on toimitettava rekisteröidylle ”silloin, kun henkilötieoja saadaan”. Kyseisen säännöksen sanamuodosta ilmenee, että rekisterinpitäjän on toimitettava nämä tiedot välittömästi eli silloin, kun kyseiset tiedot kerätään (ks. analogisesti tuomio 29.7.2019, Fashion ID, C‑40/17, EU:C:2019:629, 104 kohta oikeuskäytäntöviittauksineen).

103

Erityisesti mainitun asetuksen 15 artiklan 1 kohdan d alakohdassa tarkoitetuista tiedoista, jotka koskevat henkilötietojen mahdollisia vastaanottajia, on todettava, että kyse on tiedoista, jotka on muiden ohella toimitettava kerättäessä tietoja rekisteröidyltä.

104

Asetuksen 2018/1725 14 artiklan 1 kohdassa säädetään, että rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet muun muassa sen varmistamiseksi, että muun muassa kyseisen asetuksen 15 artiklassa tarkoitetut tiedot toimitetaan rekisteröidylle tiiviisti esitetyssä, läpinäkyvässä, ymmärrettävässä ja helposti saatavilla olevassa muodossa ja selkeällä ja yksinkertaisella kielellä, jotta rekisteröity kykenee ymmärtämään kaikilta osin tiedot, jotka hänelle toimitetaan (ks. analogisesti tuomio 4.5.2023, Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, 38 kohta ja tuomio 11.7.2024, Meta Platforms Ireland (Edustajakanne), C‑757/22, EU:C:2024:598, 55 ja 56 kohta).

105

Tällaisen tiedonantovelvollisuuden noudattamisen merkitys vahvistetaan myös asetuksen 2018/1725 johdanto-osan 35 perustelukappaleessa, jonka ensimmäisessä ja toisessa virkkeessä todetaan, että asianmukaisen ja läpinäkyvän käsittelyn periaatteiden mukaisesti rekisteröidylle on ilmoitettava henkilötietojen käsittelystä ja sen tarkoituksista, ja siinä korostetaan, että rekisterinpitäjän olisi myös toimitettava lisätiedot, jotka ovat tarpeen asianmukaisen ja läpinäkyvän käsittelyn varmistamiseksi, ottaen huomioon henkilötietojen käsittelyn erityiset olosuhteet ja asiayhteys, kuten kyseisen asetuksen 15 artiklan 2 kohdassa säädetään (ks. analogisesti tuomio 11.7.2024, Meta Platforms Ireland (Edustajakanne), C‑757/22, EU:C:2024:598, 57 kohta oikeuskäytäntöviittauksineen).

106

Näin ollen silloin, kun tällaisten tietojen kerääminen rekisteröidyltä perustuu – kuten nyt käsiteltävässä asiassa oikeutta tulla kuulluksi koskevan menettelyn yhteydessä – rekisteröidyn suostumukseen, rekisteröidyn antaman suostumuksen pätevyys riippuu muun muassa siitä, onko hän saanut ennalta kaikista kyseessä olevien tietojen käsittelyyn liittyvistä olosuhteista tiedot, joihin hänellä oli oikeus asetuksen 2018/1725 15 artiklan nojalla ja joiden perusteella hän voi antaa suostumuksensa asiasta täysin tietoisena (ks. analogisesti tuomio 11.7.2024, Meta Platforms Ireland (Edustajakanne), C‑757/22, EU:C:2024:598, 60 kohta).

107

Lisäksi siitä tilanteesta, että rekisteröidyllä on velvollisuus toimittaa henkilötietoja rekisterinpitäjälle, kyseisen asetuksen johdanto-osan 35 perustelukappaleen neljännessä virkkeessä täsmennetään, että on tärkeää, että rekisteröity tietää, onko hänen pakko toimittaa nämä henkilötiedot, ja että hänelle ilmoitetaan seurauksista, joita hänelle aiheutuu, jos hän ei toimita niitä, mikä tukee kyseisen asetuksen 15 artiklassa edellytettyjen tietojen merkitystä jo silloin, kun tietoja kerätään rekisteröidyltä.

108

Näissä olosuhteissa on ilmeistä, että velvollisuudella toimittaa rekisteröidylle – häneen liittyviä henkilötietoja kerättäessä – tietoja näiden tietojen mahdollisista vastaanottajista pyritään muun muassa mahdollistamaan se, että kyseinen henkilö voi kaikista asiaan vaikuttavista seikoista tietoisena päättää, toimittaako hän hänestä kerättävät henkilötiedot vai kieltäytyykö hän päinvastoin toimittamasta niitä.

109

On lisättävä, että – kuten komissio on väittänyt istunnossa – tiedot mahdollisista vastaanottajista ovat toki myös välttämättömiä, jotta rekisteröity voi myöhemmin puolustaa oikeuksiaan näitä vastaanottajia vastaan. Velvollisuudella antaa nämä tiedot henkilötietoja kerättäessä varmistetaan kuitenkin muun muassa se, että rekisterinpitäjä ei kerää näitä tietoja tai siirrä niitä kolmansille osapuolille vastoin rekisteröidyn tahtoa.

110

Tästä seuraa, että – kuten julkisasiamies on todennut ratkaisuehdotuksensa 69 kohdassa – asetuksen 2018/1725 15 artiklan 1 kohdan d alakohdassa säädetty tiedonantovelvollisuus kuuluu rekisteröidyn ja rekisterinpitäjän väliseen oikeussuhteeseen ja se koskee tästä syystä rekisteröityyn liittyviä tietoja sellaisina kuin ne on siirretty rekisterinpitäjälle eli ennen mahdollista siirtämistä kolmannelle osapuolelle.

111

Näin ollen on katsottava, että asetuksen 2018/1725 15 artiklan 1 kohdan d alakohdassa säädetyn tiedonantovelvollisuuden soveltamiseksi rekisteröidyn tunnistettavuutta on arvioitava tietoja kerättäessä ja rekisterinpitäjän näkökulmasta.

112

Tästä seuraa, kuten julkisasiamies on todennut ratkaisuehdotuksensa 79 kohdassa, että SRB:lle kuuluvaa tiedonantovelvollisuutta sovellettiin käsiteltävässä asiassa ennen kyseessä olevien huomautusten siirtämistä ja riippumatta siitä, olivatko ne Deloitten näkökulmasta henkilökohtaisia vai eivät niiden mahdollisen pseudonymisoinnin jälkeen.

113

Tätä tulkintaa ei voida kyseenalaistaa SRB:n väitteellä, joka perustuu asetuksen 2018/1725 15 artiklan 1 kohdan d alakohdan sanamuotoon, jossa viitataan ”henkilötietojen vastaanottaj[iin]”. Kuten tämän tuomion 102–108 kohdasta ilmenee, kyseisellä säännöksellä säännellään rekisterinpitäjän tiedonantovelvollisuutta tällaisia tietoja kerättäessä. Kysymys siitä, onko rekisterinpitäjä noudattanut kyseisenä ajankohtana tiedonantovelvollisuuttaan, ei voi riippua rekisteröidyn tunnistamismahdollisuuksista, joita mahdollisella vastaanottajalla on mahdollisesti kyseessä olevien tietojen myöhemmän siirron jälkeen.

114

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 77 kohdassa, SRB:n väitteestä, jonka mukaan tämän tiedonantovelvollisuuden noudattamista on tarkasteltava vastaanottajan näkökulmasta, seuraisi, että tätä tarkastelua lykätään ajallisesti. Siltä osin kuin mainittu tarkastelu koskee väistämättä vastaanottajalle jo siirrettyjä henkilötietoja, tässä väitteessä sivuutetaan myös tiedonantovelvollisuuden kohde, joka liittyy erottamattomasti rekisterinpitäjän ja rekisteröidyn väliseen suhteeseen.

115

Näin ollen unionin yleinen tuomioistuin teki oikeudellisen virheen katsoessaan valituksenalaisen tuomion 97, 98, 100, 101 ja 103–105 kohdassa, että arvioidessaan, oliko SRB noudattanut asetuksen 2018/1725 15 artiklan 1 kohdan d alakohdan mukaista tiedonantovelvollisuuttaan, EDPS:n olisi pitänyt tutkia, olivatko Deloittelle toimitetut huomautukset sen näkökulmasta henkilötietoja.

116

Tästä seuraa, että ensimmäisen valitusperusteen toisen osan toinen väite on hyväksyttävä, eikä tämän tuomion 93 ja 94 kohdassa tiivistetysti esitettyjä EDPS:n väitteitä ole tarpeen tutkia.

117

Koska ensimmäisen valitusperusteen ensimmäinen osa ja toisen osan toinen väite ovat perusteltuja, ei ole tarpeen tutkia EDPS:n toista valitusperustetta, joka koskee asetuksen 2018/1725 4 artiklan 2 kohdan ja 26 artiklan 1 kohdan rikkomista.

118

Näin ollen koska ensimmäinen valitusperuste on hyväksytty, valituksenalainen tuomio on kumottava.

119

Euroopan unionin tuomioistuimen perussäännön 61 artiklan ensimmäisen kohdan toisessa virkkeessä määrätään, että jos unionin tuomioistuin kumoaa unionin yleisen tuomioistuimen ratkaisun, se voi itse ratkaista asian lopullisesti, jos asia on ratkaisukelpoinen.

120

Käsiteltävässä asiassa asia on ratkaisukelpoinen ensimmäisen kanneperusteen osalta; se koskee sitä, että EDPS on väitetysti rikkonut asetuksen 2018/1725 3 artiklan 1 alakohtaa siltä osin kuin Deloittelle siirretyt tiedot eivät olleet henkilötietoja. Kun otetaan huomioon tämän tuomion 58–60 kohdassa esitetyt seikat, EDPS saattoi yhtäältä oikeudellista virhettä tekemättä katsoa, että Deloittelle toimitetut huomautukset olivat luonnollisiin henkilöihin eli näiden huomautusten laatijoihin liittyviä tietoja. Toisaalta – kuten tämän tuomion 111 kohdassa on todettu – sovellettaessa kyseisen asetuksen 15 artiklan 1 kohdan d alakohdassa säädettyä tiedonantovelvollisuutta rekisteröidyn tunnistettavuutta on arvioitava rekisterinpitäjän näkökulmasta. Asianosaiset eivät ole kuitenkaan kiistäneet sitä, että SRB:llä oli rekisterinpitäjänä käytettävissään kaikki tiedot, jotka olivat tarpeen kyseisten huomautusten laatijoiden tunnistamiseksi. Edellä esitetystä seuraa, että riidanalaiset tiedot ovat, toisin kuin SRB väittää, henkilötietoja. Ensimmäinen kanneperuste on näin ollen hylättävä perusteettomana.

121

Asia ei sitä vastoin ole ratkaisukelpoinen toisen kanneperusteen osalta, koska tämä kanneperuste edellyttää tosiseikkojen arviointia, jota unionin yleinen tuomioistuin ei ole tehnyt.

122

Asia on näin ollen palautettava unionin yleiseen tuomioistuimeen toisen kanneperusteen tutkimista varten.

123

Koska asia palautetaan unionin yleiseen tuomioistuimeen, muutoksenhakumenettelyyn liittyvistä oikeudenkäyntikuluista on päätettävä myöhemmin.

Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti: