1

Ar apelācijas sūdzību Eiropas Datu aizsardzības uzraudzītājs (EDAU) lūdz atcelt Eiropas Savienības Vispārējās tiesas 2023. gada 26. aprīļa spriedumu VNV/EDAU (T‑557/20, turpmāk tekstā – pārsūdzētais spriedums, EU:T:2023:219), ar kuru tā atcēla pārskatīto EDAU 2020. gada 24. novembra lēmumu, kas pieņemts pēc tam, kad Vienotā noregulējuma valde (VNV) bija iesniegusi pārskatīšanas lūgumu attiecībā uz EDAU 2020. gada 24. jūnija lēmumu par piecām vairāku personu sūdzībām (lietas 2019‑947, 2019‑998, 2019‑999, 2019‑1000 un 2019‑1122) (turpmāk tekstā – “strīdīgais lēmums”).

2

Eiropas Parlamenta un Padomes Regulas (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV 2018, L 295, 39. lpp.) 5., 16., 17. un 35. apsvērums ir šāds:

[..]

[..]

3

Regulas 2018/1725 3. panta “Definīcijas” 1., 6., 8. un 13. punktā paredzēts:

“Šajā regulā piemēro šādas definīcijas:

[..]

[..]

[..]

4

Šīs regulas 4. panta “Personas datu apstrādes principi” 2. punktā paredzēts:

“Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”

5

Minētās regulas 14. panta “Pārredzama informācija, saziņa un datu subjekta tiesību īstenošanas kārtība” 1. punktā noteikts:

“Pārzinis veic atbilstošus pasākumus, lai kodolīgā, pārredzamā, saprotamā un viegli pieejamā veidā, izmantojot skaidru un vienkāršu valodu, datu subjektam sniegtu visu 15. un 16. pantā minēto informāciju un nodrošinātu visu 17.–24. pantā un 35. pantā minēto saziņu attiecībā uz apstrādi, jo īpaši attiecībā uz visu informāciju, kas konkrēti paredzēta bērnam. Informāciju sniedz rakstiski vai citā veidā, tostarp – vajadzības gadījumā – elektroniskā formā. Pēc datu subjekta pieprasījuma informāciju var sniegt mutiski – ar noteikumu, ka datu subjekta identitāte ir pierādīta citā veidā.”

6

Šīs pašas regulas 15. pants “Informācija, kas jāsniedz, ja personas dati ir iegūti no datu subjekta” noteic:

“1.   Ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz visu šādu informāciju:

[..]

[..].

2.   Papildus 1. punktā minētajai informācijai pārzinis personas datu iegūšanas laikā datu subjektam sniedz šādu papildu informāciju, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi:

[..]

[..].”

7

Regulas 2018/1725 24. pantā ir paredzēti nosacījumi, saskaņā ar kuriem individuālu lēmumu var pamatot ar automatizētu apstrādi, tostarp profilēšanu.

8

Minētās regulas 26. panta “Pārziņa atbildība” 1. punktā noteikts:

“Ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.”

9

Tiesvedības priekšvēsture ir izklāstīta pārsūdzētā sprieduma 2.–32. punktā, un īsumā to var atreferēt šādi.

10

2017. gada 7. jūnijā VNV izpildsesija pieņēma Lēmumu SRB/EES/2017/08 par noregulējuma shēmu attiecībā uz Banco Popular Español, SA, pamatojoties uz Eiropas Parlamenta un Padomes Regulu (ES) Nr. 806/2014 (2014. gada 15. jūlijs), ar ko izveido vienādus noteikumus un vienotu procedūru kredītiestāžu un noteiktu ieguldījumu brokeru sabiedrību noregulējumam, izmantojot vienotu noregulējuma mehānismu un vienotu noregulējuma fondu, un groza Regulu (ES) Nr. 1093/2010 (OV 2014, L 225, 1. lpp.; turpmāk tekstā – “VNM regula”).

11

Šajā lēmumā VNV, uzskatīdama, ka VNM regulas 18. panta 1. punktā paredzētie nosacījumi ir izpildīti, nolēma piemērot Banco Popular Español, SA (turpmāk tekstā – “Banco Popular”) noregulējuma procedūru. VNV nolēma norakstīt un konvertēt Banco Popular kapitāla instrumentus atbilstoši VNM regulas 21. pantam un piemērot uzņēmuma pārdošanas instrumentu saskaņā ar minētās regulas 24. pantu, nododot akcijas pircējam.

12

Tajā pašā datumā Eiropas Komisija pieņēma Lēmumu (ES) 2017/1246, ar ko apstiprina Banco Popular Español SA noregulējuma shēmu (OV 2017, L 178, 15. lpp.).

13

Pēc Banco Popular noregulējuma VNV uzdeva audita un konsultāciju sabiedrībai Deloitte izvērtēt VNM regulas 20. panta 16.–18. punktā aprakstīto atšķirīgo attieksmi, lai noteiktu, vai attieksme pret Banco Popular akcionāriem un kreditoriem būtu labvēlīgāka, ja tai būtu piemērota parastā maksātnespējas procedūra (turpmāk tekstā – “3. vērtējums”). 2018. gada 14. jūnijā tā šo vērtējumu nosūtīja VNV.

14

2018. gada 6. augustā VNV savā tīmekļvietnē publicēja 2018. gada 2. augusta atzinumu par tās iepriekšējo lēmumu par to, vai piešķirt vai nepiešķirt kompensāciju akcionāriem un kreditoriem, kurus skar attiecībā uz Banco Popular Español, SA pieņemtās noregulējuma darbības, un par procedūras saistībā ar tiesībām tikt uzklausītam sākšanu (SRB/EES/2018/132) (turpmāk tekstā – “iepriekšējais lēmums”), kā arī 3. vērtējuma nekonfidenciālo versiju. 2018. gada 7. augustā paziņojums par šo atzinumu tika publicēts Eiropas Savienības Oficiālajā Vēstnesī (OV 2018, C 277 I, 1. lpp.).

15

Iepriekšējā lēmumā VNV norādīja – lai tā varētu pieņemt galīgo lēmumu par to, vai Banco Popular noregulējuma skartajiem akcionāriem un kreditoriem (turpmāk tekstā – “skartie akcionāri un kreditori”) ir jāpiešķir kompensācija saskaņā ar VNM regulas 76. panta 1. punkta e) apakšpunktu, tā tos aicinājusi paust interesi izmantot savas tiesības tikt uzklausītiem, piemērojot Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 41. panta 2. punkta a) apakšpunktu.

16

Saskaņā ar iepriekšējā lēmumā ietvertajām norādēm procedūrai par tiesībām tikt uzklausītam bija jānotiek divos posmos.

17

Pirmajā posmā (turpmāk tekstā – “reģistrācijas posms”) skartie akcionāri un kreditori līdz 2018. gada 14. septembrim tika aicināti paust interesi izmantot savas tiesības tikt uzklausītiem, izmantojot tiešsaistes reģistrācijas veidlapu. Šajā posmā skartajiem akcionāriem un kreditoriem, kas vēlas izmantot savas tiesības tikt uzklausītiem, bija jāiesniedz VNV apliecinoši dokumenti, kas pierāda, ka Banco Popular noregulējuma dienā tiem piederējis viens vai vairāki tās kapitāla instrumenti, kas noregulējuma ietvaros tika norakstīti vai konvertēti un nodoti Banco Santander, SA. Starp iesniedzamiem apliecinošiem dokumentiem bija personu apliecinošs dokuments un pierādījums par īpašumtiesībām uz kādu no šiem kapitāla instrumentiem 2017. gada 6. jūnijā. Pēc tam VNV bija jāpārbauda, vai katrai personai, kas izrādījusi ieinteresētību, patiešām bija skarta akcionāra vai kreditora statuss.

18

2018. gada 6. augustā, kad sākās reģistrācijas posms, VNV tīmekļvietnē procedūrai saistībā ar tiesībām tikt uzklausītam un savā tīmekļvietnē publicēja arī paziņojumu par konfidencialitāti attiecībā uz personas datu apstrādi šajā procedūrā (turpmāk tekstā – “paziņojums par konfidencialitāti”).

19

Otrajā posmā (turpmāk tekstā – “apspriešanas posms”) skartie akcionāri un kreditori, kuru statusu VNV esot pārbaudījusi, varēja iesniegt komentārus par iepriekšējo lēmumu, kuram bija pievienots 3. vērtējums. 2018. gada 16. oktobrī VNV savā tīmekļvietnē paziņoja, ka no 2018. gada 6. novembra skartie akcionāri un kreditori apspriešanas posmā tiks aicināti iesniegt rakstiskus komentārus par iepriekšējo lēmumu.

20

2018. gada 6. novembrī VNV pa e‑pastu skartajiem akcionāriem un kreditoriem nosūtīja vienotu personisku saiti, kas tiem ļāva piekļūt veidlapai internetā, kurā bija ietverti septiņi jautājumi ar ierobežotu lauciņu atbildei, un ļāva skartajiem akcionāriem un kreditoriem līdz 2018. gada 26. novembrim iesniegt komentārus par iepriekšējo lēmumu, kā arī par 3. vērtējuma nekonfidenciālo versiju.

21

VNV izskatīja attiecīgos skarto akcionāru un kreditoru komentārus par iepriekšējo lēmumu. Tā lūdza Deloitte kā neatkarīgam novērtētājam izvērtēt atbilstošos komentārus par 3. vērtējumu, iesniegt tai dokumentu ar vērtējumu un pārbaudīt, vai, ņemot vērā šos komentārus, šis vērtējums joprojām ir spēkā.

22

Reģistrācijas posmā savāktie dati, proti, pierādījumi par skarto akcionāru un kreditoru identitāti un īpašumtiesībām uz Banco Popular kapitāla instrumentiem, kuru vērtība ir samazinājusies vai kuri ir konvertēti un nodoti, bija pieejami ierobežotam skaitam VNV darbinieku, proti, tiem, kas bija atbildīgi par šo datu apstrādi, lai noteiktu dalībnieku tiesīgumu.

23

VNV darbiniekiem, kuri bija atbildīgi par apspriešanās posmā saņemto komentāru apstrādi, nebija piekļuves ne reģistrācijas posmā savāktajiem datiem – līdz ar to šie komentāri bija nošķirti no personiskās informācijas par skartajiem akcionāriem un kreditoriem, kuri tos bija iesnieguši –, ne arī datu atslēgai vai informācijai, kas ļautu atrast skartā akcionāra vai kreditora identitāti, izmantojot unikālo burtciparu kodu, kas piešķirts katram komentāram, kurš iesniegts, izmantojot veidlapu. Burtciparu kodu veidoja unikāls 33 ciparu identifikators, kas aizpildīto veidlapu saņemšanas brīdī tika ģenerēts pēc nejaušības principa.

24

Pirmajā posmā VNV automātiski filtrēja 23822 komentārus, kuriem katram ir burtciparu kods un kurus iesnieguši 2855 procedūras dalībnieki. Ar diviem algoritmiem 20101 komentārs tika identificēts kā identisks. Šādā gadījumā pirmais komentārs tika uzskatīts par oriģinālo komentāru, kas tika pārbaudīts analīzes posmā, un vēlāk saņemtie identiskie komentāri tika identificēti kā dublikāti.

25

Otrajā posmā VNV identificēja iesniegtos komentārus, kas ietilpa procedūrā saistībā ar tiesībām tikt uzklausītam, jo tie varēja ietekmēt iepriekšējo lēmumu vai 3. vērtējumu. Pēc tam tā šos komentārus iedalīja tajos, kas jāpārbauda VNV, ciktāl tie attiecās uz iepriekšējo lēmumu, un tajos, kas jāpārbauda Deloitte, ciktāl tie attiecās uz 3. vērtējumu. Šī posma beigās VNV identificēja 3730 komentārus, kas klasificēti atkarībā no to atbilstības un tēmas.

26

Trešajā posmā VNV izskatīja komentārus, kas attiecas uz iepriekšējo lēmumu, un komentārus, kas attiecas uz 3. vērtējumu; kopā 1104 komentāri 2019. gada 17. jūnijā, izmantojot VNV paredzētu drošu virtuālo datu serveri, tika nosūtīti Deloitte. Tā augšupielādēja Deloitte nododamās datnes šajā serverī un piešķīra piekļuvi šīm datnēm ierobežotam un kontrolētam Deloitte darbinieku skaitam, proti, tiem, kuri bija tieši iesaistīti komentāru pārbaudē par 3. vērtējumu.

27

Deloitte nodotie komentāri bija filtrēti, iedalīti kategorijās un apkopoti. Tā kā tie bija iepriekšējo komentāru kopijas, Deloitte tika nosūtīta tikai viena versija, līdz ar to reproducētie individuālie komentāri vienas tēmas ietvaros nebija nošķirami, un Deloitte nebija iespējas noskaidrot, vai komentāru ir formulējis viens vai vairāki procedūras saistībā ar tiesībām tikt uzklausītam dalībnieki.

28

Deloitte nodotie komentāri bija tikai apspriešanas posmā saņemtie, un tiem bija burtciparu kods. Tomēr VNV bija vienīgā, kas, izmantojot šo kodu, varēja sasaistīt komentārus ar datiem, it īpaši reģistrācijas posmā saņemtajiem komentāru autoru identifikācijas datiem. Burtciparu kods tika izstrādāts revīzijas nolūkā, lai varētu pārbaudīt un, iespējams, a posteriori tiesas procesā pierādīt, ka katrs komentārs ir izskatīts un pienācīgi ņemts vērā. Deloitte nebija piekļuves datubāzei, kas tika izveidota reģistrācijas posmā, ne arī procedūras saistībā ar tiesībām tikt uzklausītam laikā, un tai joprojām nebija piekļuves pārsūdzētā sprieduma pasludināšanas dienā.

29

2019. gada oktobrī un decembrī skartie akcionāri un kreditori, kas atbildēja ar veidlapu, iesniedza EDAU piecas sūdzības saskaņā ar Regulu 2018/1725. Ar šīm sūdzībām viņi atsaucās uz šīs regulas 15. panta 1. punkta d) apakšpunkta pārkāpumu, jo VNV nebija viņus informējusi, ka dati, kas savākti, izmantojot atbildes veidlapā, tiks nosūtīti trešām personām, proti, Deloitte un Banco Santander, un tādējādi esot pārkāpti paziņojuma par konfidencialitāti noteikumi.

30

Pēc procedūras, kurā VNV pēc EDAU pieprasījuma sniedza dažādus paskaidrojumus un sūdzību iesniedzēji iesniedza apsvērumus, EDAU 2020. gada 24. jūnijā pieņēma lēmumu par piecām sūdzībām, ko vairāki sūdzību iesniedzēji bija iesnieguši pret Vienoto noregulējuma valdi (lietas 2019‑947, 2019‑998, 2019‑999, 2019–1000 un 2019‑1122) (turpmāk tekstā – “sākotnējais lēmums”). Šajā lēmumā EDAU uzskatīja, ka VNV ir pārkāpusi Regulas 2018/1725 15. pantu, jo paziņojumā par konfidencialitāti tā nebija informējusi sūdzību iesniedzējus par iespēju, ka to personas dati tiks paziņoti Deloitte. Tāpēc tas norādīja VNV par šo pārkāpumu saskaņā ar minētās regulas 58. panta 2. punkta b) apakšpunktu.

31

2020. gada 22. jūlijā VNV lūdza EDAU pārskatīt sākotnējo lēmumu saskaņā ar Eiropas Datu aizsardzības uzraudzītāja lēmuma (2020. gada 15. maijs), ar ko pieņem EDAU reglamentu (OV 2020, L 204, 49. lpp.), 18. panta 1. punktu. VNV tostarp sniedza detalizētu aprakstu par procedūru, kas saistīta ar tiesībām tikt uzklausītam, un par komentāriem, kurus apspriešanas posmā iesnieguši četri no identificētajiem sūdzību iesniedzējiem. Tā apgalvoja, ka Deloitte nodotā informācija nav personas dati Regulas 2018/1725 3. panta 1. punkta izpratnē.

32

EDAU 2020. gada 5. augustā informēja VNV, ka, ņemot vērā iesniegtos jaunos elementus, tas ir nolēmis pārskatīt sākotnējo lēmumu un pieņems lēmumu, ar ko to aizstās.

33

2020. gada 24. novembrī pēc pārskatīšanas procedūras, kurā sūdzību iesniedzēji iesniedza apsvērumus un pēc EDAU pieprasījuma VNV sniedza papildu informāciju, tas pieņēma pārskatīto lēmumu.

34

Ar šo lēmumu EDAU sākotnējo lēmumu pārskatīja šādi:

35

Ar prasības pieteikumu, kas Vispārējās tiesas kancelejā iesniegts 2020. gada 1. septembrī, VNV cēla prasību, pirmkārt, atcelt strīdīgo lēmumu un, otrkārt, atzīt sākotnējo lēmumu par prettiesisku.

36

Prasījumu pirmās daļas pamatojumā VNV izvirzīja divus pamatus, no kuriem pirmais attiecās uz Regulas 2018/1725 3. panta 1. punkta pārkāpumu, jo Deloitte nodotā informācija neesot personas dati, un otrais – uz Hartas 41. pantā nostiprināto tiesību uz labu pārvaldību pārkāpumu.

37

Ar pārsūdzēto spriedumu Vispārējā tiesa kompetences neesības dēļ noraidīja otro prasījumu atzīt sākotnējo lēmumu par prettiesisku, ciktāl VNV mērķis bija panākt deklaratīvu spriedumu, nevis tiesību akta atcelšanu.

38

Savukārt prasījumu pirmo daļu Vispārējā tiesa atzina par pieņemamu. Izlemjot lietu pēc būtības, tā apmierināja pirmo pamatu un atcēla strīdīgo lēmumu, neizskatot otro pamatu.

39

Ar Tiesas priekšsēdētāja 2023. gada 20. oktobra lēmumu Eiropas Komisijai tika atļauts iestāties lietā VNV prasījumu atbalstam. Ar Tiesas priekšsēdētāja 2023. gada 29. novembra rīkojumu Eiropas Datu aizsardzības kolēģijai tika atļauts iestāties lietā EDAU un Komisijas prasījumu atbalstam.

40

EDAU, ko atbalsta Eiropas Datu aizsardzības kolēģija, lūdz Tiesu:

41

VNV, kuru atbalsta Komisija, lūdz Tiesu:

42

Apelācijas sūdzības pamatojumā EDAU, kuru atbalsta Eiropas Datu aizsardzības kolēģija, izvirza divus pamatus: pirmais attiecas uz Regulas 2018/1725 3. panta 1. un 6. punkta, kā tos interpretējusi Tiesa, neievērošanu, un otrais – uz šīs regulas 4. panta 2. punkta un 26. panta 1. punkta neievērošanu.

43

Ar pirmo pamatu EDAU būtībā apgalvo: nospriežot, ka strīdīgajā lēmumā tas ir kļūdaini secinājis, ka šajā lietā aplūkotā informācija ir personas dati, Vispārējā tiesa ir pieļāvusi tiesību kļūdu Regulas 2018/1725 3. panta 1. un 6. punkta interpretācijā. Šim pamatam ir divas daļas. Pirmā daļa ir par šīs regulas 3. panta 1. punktā paredzēto nosacījumu, ka informācija “attiecas” uz fizisku personu, un otrā daļa ir par šajā pašā tiesību normā paredzēto nosacījumu par šīs personas “identificējamību”.

44

Pirmā pamata pirmajā daļā EDAU apgalvo, ka pretēji tam, ko Vispārējā tiesa ir nospriedusi pārsūdzētā sprieduma 60.–74. punktā, Deloitte nodotā informācija attiekusies uz fizisku personu Regulas 2018/1725 3. panta 1. punkta izpratnē.

45

Pirmām kārtām, EDAU apgalvo, ka pretēji tam, kas izriet no pārsūdzētā sprieduma 70. punkta, datu aizsardzības iestādēm katrā ziņā nav pienākuma pārbaudīt informācijas saturu, mērķi vai sekas, lai pārliecinātos, vai tā attiecas uz fizisku personu. EDAU uzskata, ka šāda pārbaude it īpaši nevarēja tikt prasīta attiecībā uz komentāriem, kurus VNV nosūtīja Deloitte, jo tā ieskatā bija skaidrs, ka šie komentāri “attiecas” uz fizisku personu, tāpēc ka tajos bija pausts atsevišķu Banco Popular kreditoru un akcionāru personiskais viedoklis par to iespējamām tiesībām uz kompensāciju saskaņā ar VNM regulas 76. panta 1. punkta e) apakšpunktu.

46

Otrām kārtām, pretēji pārsūdzētā sprieduma 71. punktā ietvertajam konstatējumam EDAU apgalvo – lai secinātu, ka pastāv personas dati, tas ir balstījies ne tikai uz Deloitte nosūtīto komentāru raksturu, bet arī uz apstākli, ka šai sabiedrībai tika nodots arī burtciparu kods.

47

Trešām kārtām, EDAU apgalvo, ka pārsūdzētajā spriedumā ir pieļauta pretruna, jo Vispārējā tiesa, pirmkārt, minētā sprieduma 7. punktā ir norādījusi, ka Deloitte nosūtīto komentāru mērķis bijis ļaut konkrētām fiziskām personām, proti, skartajiem akcionāriem un kreditoriem, īstenot savas tiesības tikt uzklausītiem, lai varbūt saņemtu kompensāciju saskaņā ar VNM regulas 76. panta 1. punkta e) apakšpunktu. Pretēji pirmajam konstatējumam Vispārējā tiesa, otrkārt, minētā sprieduma 73. punktā esot nospriedusi, ka EDAU ir balstījies uz pieņēmumiem, saskaņā ar kuriem visi Deloitte nosūtītie komentāri ir personas dati, nepierādot, ka tie attiecas uz fiziskām personām.

48

VNV, kuru atbalsta Komisija, apgalvo, ka šī argumentācija jānoraida.

49

Pirmām kārtām, saskaņā ar judikatūru, kas izriet no 2017. gada 20. decembra sprieduma Nowak (C‑434/16, EU:C:2017:994, 34. un 35. punkts) un 2023. gada 4. maija sprieduma Österreichische Datenschutzbehörde un CRIF (C‑487/21, EU:C:2023:369, 23. un 24. punkts), objektīva vai subjektīva informācija viedokļa vai vērtējumu formā varētu būt personas dati ar nosacījumu, ka tie “attiecas” uz konkrēto personu. Turklāt atbilstoši minētajai judikatūrai informācija attiecas uz identificētu vai identificējamu fizisku personu, ja satura, mērķa vai seku ziņā tā ir saistīta ar kādu identificējamu personu. Tādējādi Vispārējā tiesa pārsūdzētā sprieduma 70.–74. punktā esot pamatoti nospriedusi, ka EDAU nav ievērojis minēto judikatūru, tikai norādot, ka Deloitte nosūtītie komentāri atspoguļo skarto akcionāru un kreditoru viedokļus vai nostāju, un tātad nepārbaudot, vai to satura, mērķa vai seku dēļ šie komentāri ir saistāmi ar identificējamu personu.

50

Otrām kārtām, EDAU apgalvojums, ka minēto komentāru personas datu raksturs noteikti izriet no to mērķa, esot jauns faktu apgalvojums, kas pirmo reizi izvirzīts apelācijas instancē un tādēļ neesot pieņemams. Katrā ziņā šis apgalvojums esot neefektīvs, jo EDAU šo jautājumu strīdīgajā lēmumā neesot izvērtējis.

51

Trešām kārtām, attiecībā uz apgalvoto pretrunu pamatojumā starp pārsūdzētā sprieduma 7. un 73. punktu VNV apgalvo, ka minētā sprieduma 7. punktā ietvertajā aprakstā nav nekādas informācijas par Deloitte nosūtīto komentāru saturu, mērķi vai sekām un līdz ar to tas nav pretrunā minētā sprieduma 73. punktā izklāstītajam secinājumam.

52

Vispirms jānorāda, ka Regulas 2018/1725 3. panta 1. punktā ietvertā jēdziena “personas dati” definīcija būtībā ir identiska VDAR 4. panta 1. punktā ietvertajai definīcijai, kuras tvērums savukārt būtībā ir identisks tam, kas ietverts Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.) 2. panta a) punktā. Lai nodrošinātu Savienības tiesību vienveidīgu un konsekventu piemērošanu, ir jānodrošina identiska Regulas 2018/1725 3. panta 1. punkta, VDAR 4. panta 1. punkta un Direktīvas 95/46 2. panta a) punkta interpretācija (šajā nozīmē skat. spriedumus, 2024. gada 7. marts, OC/Komisija,C‑479/22 P, EU:C:2024:215, 43. punkts, kā arī 2024. gada 7. marts, IAB Europe, C‑604/22, EU:C:2024:214, 33. punkts un tajā minētā judikatūra).

53

Regulas 2018/1725 3. panta 1. punktā ir noteikts, ka personas dati ir “jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu”.

54

Tiesa ir nospriedusi – tas, ka VDAR 4. panta 1. punktā ietvertā jēdziena “personas dati” definīcijā ir izmantota vārdkopa “jebkura informācija”, norāda uz Savienības likumdevēja mērķi apveltīt šo jēdzienu ar plašu nozīmi, kas potenciāli aptver visu veidu – gan objektīvu, gan subjektīvu – informāciju viedokļa vai vērtējumu veidā, ja vien šī informācija “attiecas” uz konkrēto personu (spriedumi, 2023. gada 4. maijs, Österreichische Datenschutzbehörde un CRIF, C‑487/21, EU:C:2023:369, 23. punkts un tajā minētā judikatūra; 2024. gada 7. marts, OC/Komisija,C‑479/22 P, EU:C:2024:215, 45. punkts, kā arī 2024. gada 4. oktobris, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, 130. punkts).

55

Informācija attiecas uz identificētu vai identificējamu fizisku personu, ja satura, mērķa vai seku ziņā tā ir saistīta ar kādu identificējamu personu (spriedumi, 2017. gada 20. decembris, Nowak, C‑434/16, EU:C:2017:994, 35. punkts; 2024. gada 7. marts, OC/Komisija,C‑479/22 P, EU:C:2024:215, 45. punkts, un 2024. gada 7. marts, IAB Europe, C‑604/22, EU:C:2024:214, 37. punkts un tajā minētā judikatūra).

56

Šajā lietā, lai gan Vispārējā tiesa pārsūdzētā sprieduma 70. punktā ir norādījusi, ka EDAU nav izvērtējis ne no Deloitte nosūtītajiem komentāriem izrietošās informācijas saturu, ne mērķi, ne sekas, tomēr no minētā sprieduma 71. un 72. punkta izriet – konstatējumam, ka šie komentāri atspoguļo attiecīgo personu viedokļus vai nostāju, bija nepieciešams, lai EDAU iepriekš būtu izvērtējis minēto komentāru saturu. Pamatojoties uz šo konstatējumu, EDAU secināja, ka tā ir informācija, kas attiecas uz šīm personām. Saskaņā ar šī sprieduma 55. punktā atgādināto judikatūru informācijas satura pārbaude nav obligāti jāpapildina ar šīs informācijas mērķa un seku analīzi, kā to norāda saikļa “vai” lietojums, kas savieno dažādos šajā judikatūrā paredzētos kritērijus.

57

Tomēr pārsūdzētā sprieduma 73. un 74. punktā Vispārējā tiesa uzskatīja, ka EDAU no Deloitte nosūtītajiem komentāriem izrietošo informāciju nevar kvalificēt kā personas datus, pamatojoties tikai uz konstatējumu, ka runa ir par viedokļiem vai personisko nostāju, bet ka tam turklāt esot bijis jāpārbauda šādi pausto viedokļu saturs, mērķis un sekas, lai noteiktu, vai tie ir saistīti ar konkrētu personu.

58

Šajā Vispārējās tiesas vērtējumā nav ņemts vērā to viedokļu vai personiskās nostājas īpašais raksturs, kuri kā personas domas izpausme noteikti ir cieši saistīti ar šo personu.

59

Iepriekšējā punktā sniegto interpretāciju apstiprina judikatūra, kas izriet no 2017. gada 20. decembra sprieduma Nowak (C‑434/16, EU:C:2017:994), kurš citastarp bija par eksaminētāja piezīmēm par profesionālās kvalifikācijas pārbaudē eksaminējamās personas rakstveida atbildēm. Minētā sprieduma 42.–44. punktā, lai gan Tiesa ir izvērtējusi šo piezīmju saturu, mērķi un sekas, lai konstatētu, ka tā ir informācija, kas attiecas uz eksaminējamo personu, tā būtībā uzskatīja, ka minētās piezīmes attiecas arī uz eksaminatoru, kurš bija to autors, jo tajās bija pausts viņa viedoklis vai vērtējums.

60

No tā izriet, ka Vispārējā tiesa ir pieļāvusi tiesību kļūdu, pārsūdzētā sprieduma 73. un 74. punktā nospriezdama, ka EDAU, lai secinātu, ka informācija, kas izriet no Deloitte nosūtītajiem komentāriem, “attiecas” uz personām, kuras ir iesniegušas šos komentārus, Regulas 2018/1725 3. panta 1. punkta izpratnē, būtu bijis jāpārbauda minēto komentāru saturs, mērķis vai sekas, jo nav strīda par to, ka tajos ir pausts to autoru viedoklis vai nostāja.

61

Tāpēc pirmā pamata pirmā daļa jāapmierina un nav nepieciešams izvērtēt šī sprieduma 46. un 47. punktā rezumētos argumentus,.

62

Pirmā pamata otrajā daļā EDAU apgalvo, ka pārsūdzētā sprieduma 76.–106. punktā Vispārējā tiesa ir kļūdaini nospriedusi, ka tā nevar uzskatīt, ka informācija, kas izriet no Deloitte nosūtītajiem komentāriem, attiecas uz “identificējamu” fizisku personu Regulas 2018/1725 3. panta 1. punkta izpratnē. Šo daļu veido divi atsevišķi iebildumi.

63

Vispirms EDAU atgādina, ka saskaņā ar Regulas 2018/1725 3. panta 1. punktu pārzinim vai “kādai citai personai” ir jāspēj identificēt personu, uz kuru attiecas šī informācija. Tā kā nav norādes par personu, kurai būtu jāspēj veikt šo identifikāciju, pietiktu ar to, ka attiecīgo personu varētu identificēt. Šajā lietā neesot apstrīdēts, ka Deloitte nosūtītie komentāri, kas bija VNV rīcībā, ir personas dati. Turklāt no šīs regulas 3. panta 6. punkta, lasot to kopsakarā ar 16. apsvērumu, izrietot, ka pseidonimizēti dati ir personas dati tikai tāpēc, ka pastāv papildu informācija, kas ļauj tos sasaistīt ar konkrētu personu.

64

EDAU uzskata, ka pārsūdzētā sprieduma 90. un 91. punktā ietvertajos apsvērumos nav pietiekami ņemts vērā šo tiesību normu formulējums, kā arī atšķirība starp anonimizāciju un pseidonimizāciju. Šajā ziņā Eiropas Datu aizsardzības kolēģija precizē, ka saskaņā ar Vispārējās tiesas sniegto interpretāciju personas dati pēc būtības mainās, ja tie tiek nosūtīti ārpus pārziņa esošai struktūrai, kuras rīcībā nav papildu informācijas, kas ļautu identificēt datu subjektu. Šāda interpretācija ļautu šādam pārzinim nepamatoti izslēgt personas datus no Savienības tiesību tvēruma šādu datu aizsardzības jomā pat tad, ja apstrāde, ko veic ārēja struktūra, datu subjektus pakļautu būtiskiem riskiem.

65

Turpinājumā EDAU norāda, ka, ieviešot pseidonimizācijas jēdzienu, Savienības likumdevējs ir paskaidrojis – lai personas datus izslēgtu no Savienības tiesību tvēruma šādu datu aizsardzības jomā, nepietiek nošķirt šos datus no papildu informācijas, kas ļauj identificēt datu subjektu.

66

Visbeidzot EDAU atgādina, ka personas datu jēdziens jāinterpretē plaši, un tas, pēc tā domām, ir nepieciešams, lai tiesībām datu aizsardzības jomā būtu lietderīga iedarbība. Ja Vispārējās tiesas interpretācija ļautu pseidonimizētus datus kļūdaini uzskatīt par anonīmiem datiem, tā varētu apdraudēt Savienības likumdevēja izvirzīto un Hartā prasīto augsto aizsardzības līmeni. Eiropas Datu aizsardzības kolēģija uzskata, ka Vispārējās tiesas izmantotā interpretācija ietverot arī risku, ka pseidonimizētus datus varētu bez ierobežojumiem apstrādāt saskaņā ar VDAR un Regulu 2018/1725, tostarp tos kopīgot, publicēt un pārsūtīt uz trešām valstīm.

67

VNV, kuru atbalsta Komisija, iebilst pret šo argumentāciju.

68

Pirmā pamata otrās daļas pirmais iebildums būtībā ir balstīts uz apsvērumu, ka tādi pseidonimizēti dati kā Deloitte nosūtītie komentāri katrā ziņā ir personas dati tikai tāpēc vien, ka pastāv informācija, kas ļauj identificēt datu subjektu, un nav konkrēti jāpārbauda, vai, neraugoties uz pseidonimizāciju, persona, uz kuru attiecas šie dati, ir identificējama.

69

Šajā ziņā jāatgādina, ka saskaņā ar pašu Regulas 2018/1725 3. panta 1. punkta formulējumu informācijai ir jāattiecas uz “identificētu vai identificējamu” fizisku personu, lai to varētu kvalificēt kā personas datus šīs tiesību normas izpratnē. Tādējādi šīs regulas piemērošanas priekšnoteikums principā ir pārbaude par personas, uz kuru attiecas attiecīgā informācija, identifikāciju vai identificējamību.

70

Šo interpretāciju apstiprina Regulas 2018/1725 16. apsvēruma piektais un sestais teikums, saskaņā ar kuriem jēdziena “personas dati” definīcijā neietilpst ne “anonīma informācija, proti, informācija, kas neattiecas uz identificētu vai identificējamu fizisku personu”, ne “personas dati, ko sniedz anonīmi tādā veidā, ka datu subjekts nav vai vairs nav identificējams” (pēc analoģijas skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 57. punkts).

71

Konkrētāk, attiecībā uz pseidonimizētiem datiem, pirmām kārtām, jānorāda, ka šie dati nav minēti Regulas 2018/1725 3. panta 1. punktā ietvertajā jēdziena “personas dati” legāldefinīcijā, bet ka to iezīmes izriet no šīs regulas 3. panta 6. punkta. Pēdējā minētajā normā jēdziens “pseidonimizācija” ir definēts kā “personas datu apstrāde, ko veic tādā veidā, lai personas datus vairs nav iespējams saistīt ar konkrētu datu subjektu bez papildu informācijas izmantošanas, ar noteikumu, ka šāda papildu informācija tiek turēta atsevišķi un tai piemēro tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka personas dati netiek saistīti ar identificētu vai identificējamu fizisku personu”.

72

Kā ģenerāladvokāts būtībā norādījis secinājumu 46. un 48. punktā, pseidonimizācija tātad nav “personas datu” definīcijas elements, bet gan attiecas uz tehnisku un organizatorisku pasākumu ieviešanu, lai samazinātu risku, ka datu kopums tiks sasaistīts ar datu subjektu identitāti. Saskaņā ar minētās regulas 17. apsvērumu pseidonimizācija “var [tikai] mazināt riskus” šīm personām, ko rada šāda sasaistīšana un tādējādi “palīdzēt pārziņiem un apstrādātājiem izpildīt datu aizsardzības pienākumus”.

73

Otrām kārtām, no Regulas 2018/1725 3. panta 6. punkta formulējuma izriet, ka jēdziens “pseidonimizācija” nozīmē, ka pastāv informācija, kas ļauj identificēt datu subjektu. Šādas informācijas pastāvēšana pati par sevi nepieļauj, ka pseidonimizētus datus katrā ziņā varētu uzskatīt par anonīmiem datiem, kas ir izslēgti no šīs regulas piemērošanas jomas.

74

Tomēr, trešām kārtām, šīs regulas 3. panta 6. punktā paredzētā prasība par identifikācijas informācijas atsevišķu glabāšanu, kā arī tehniskiem un organizatoriskiem pasākumiem, “lai nodrošinātu, ka personas dati netiek saistīti ar identificētu vai identificējamu fizisku personu”, norāda, ka pseidonimizācijas mērķis citastarp ir izvairīties no tā, ka datu subjektu varētu identificēt, izmantojot tikai pseidonimizētus datus.

75

Proti, ciktāl šādi tehniski un organizatoriski pasākumi faktiski tiek īstenoti un ja tie var novērst attiecīgo datu sasaistīšanu ar datu subjektu tādējādi, ka tas nav vai vairs nav identificējams, pseidonimizācija var ietekmēt šo datu kā personas datu raksturu Regulas 2018/1725 3. panta 1. punkta izpratnē.

76

Šajā ziņā jāprecizē – kā tas parasti ir tā pārziņa gadījumā, kurš ir veicis pseidonimizāciju, VNV rīcībā šajā lietā ir papildu informācija, kas ļauj Deloitte nosūtītos komentārus sasaistīt ar datu subjektu, līdz ar to VNV ieskatā šie komentāri, neraugoties uz pseidonimizāciju, saglabā personīguma raksturu.

77

Attiecībā uz Deloitte, kurai VNV iesniedza pseidonimizētus komentārus, Regulas 2018/1725 3. panta 6. punktā minētie tehniskie un organizatoriskie pasākumi, kā būtībā apgalvo VNV, var būt tādi, ka attiecībā uz šo sabiedrību minētajiem komentāriem nav personiska rakstura. Tomēr, pirmkārt, tas nozīmē, ka Deloitte nevar atcelt šos pasākumus, veicot jebkādu šo komentāru apstrādi, kas tiek veikta tās kontrolē. Otrkārt, minētajiem pasākumiem faktiski ir jābūt tādiem, kas liedz Deloitte sasaistīt šos komentārus ar datu subjektu, izmantojot arī citus identifikācijas līdzekļus, piemēram, pārklāšanos ar citiem elementiem, tādējādi, ka šī sabiedrība datu subjektu nevar vai vairs nevar identificēt.

78

Šo interpretāciju apstiprina Regulas 2018/1725 16. apsvērums, kura pirmajā teikumā ir noteikts, ka “datu aizsardzības principi būtu jāattiecina uz jebkādu informāciju par identificētu vai identificējamu fizisku personu”, un otrajā teikumā ir paredzēts, ka “personas dati, kuri ir pseidonimizēti un kurus, izmantojot papildu informāciju, varētu attiecināt uz fizisku personu, būtu jāuzskata par informāciju par identificējamu fizisku personu”.

79

Proti, pēc šīm norādēm par personas datiem un pseidonimizētiem datiem šī apsvēruma trešajā teikumā ir precizēts – lai noteiktu, vai fiziska persona ir identificējama, ir jāņem vērā “visi līdzekļi”, ko pārzinis vai “jebkura cita persona”“pietiekami iespējami” varētu izmantot, lai “tieši vai netieši” identificētu fizisku personu. Turklāt šī apsvēruma ceturtajā teikumā ir teikts – lai pārliecinātos, vai līdzekļus varētu pietiekami iespējami izmantot fiziskas personas identificēšanai, būtu jāņem vērā “visi objektīvie faktori, piemēram, identificēšanai nepieciešamās izmaksas un laiks, ņemot vērā apstrādes laikā pieejamo tehnoloģiju un tehnoloģiju attīstību”.

80

Kā ģenerāladvokāts būtībā norādījis secinājumu 51. punktā, šiem precizējumiem par to, vai datu subjekts ir identificējams vai nav, tiktu atņemta jebkāda lietderīgā iedarbība, ja pseidonimizēti dati katrā ziņā un attiecībā uz visām personām būtu jāuzskata par personas datiem Regulas 2018/1725 piemērošanas nolūkā.

81

Šajā ziņā jāatgādina, ka attiecībā uz paziņojumu presei, kurā bija ietverts zināms skaits norāžu attiecībā uz personu, to nenosaucot vārdā, Tiesa 2024. gada 7. marta spriedumā OC/Komisija (C‑479/22 P, EU:C:2024:215, 52.–64. punkts) neaprobežojās ar konstatējumu, ka Savienības struktūras, kas publicējusi šo paziņojumu, rīcībā bija visa informācija, kas ļāva identificēt šo personu, bet tā pārbaudīja, vai minētajā paziņojumā ietvertās norādes ļauj attiecīgajai sabiedrības daļai saprātīgi identificēt šo personu, it īpaši, kombinējot šīs norādes ar internetā pieejamo informāciju.

82

Turklāt Tiesa jau ir nospriedusi, ka līdzekli nevar pietiekami iespējami izmantot, lai identificētu attiecīgo personu, ja identifikācijas risks patiesībā šķiet nenozīmīgs, jo šīs personas identifikācija ir aizliegta ar likumu vai ir praktiski neiespējama, piemēram, tāpēc, ka tam nepieciešama nesamērīga piepūle laika, izmaksu un darbaspēka ziņā (šajā nozīmē skat. spriedumu, 2024. gada 7. marts, OC/Komisija,C‑479/22 P, EU:C:2024:215, 51. punkts un tajā minētā judikatūra). Šī judikatūra apstiprina interpretāciju, ka tādas papildu informācijas pieejamība, kas ļauj identificēt datu subjektu, pati par sevi nenozīmē, ka pseidonimizēti dati ir jāuzskata par tādiem, kas katrā ziņā un attiecībā uz ikvienu personu ir personas dati Regulas 2018/1725 piemērošanas nolūkā.

83

Tāpat Tiesa it īpaši 2016. gada 19. oktobra spriedumā Breyer (C‑582/14, EU:C:2016:779, 44., 47. un 48. punkts) un 2024. gada 7. marta spriedumā IAB Europe (C‑604/22, EU:C:2024:214, 43. un 48. punkts) būtībā ir nospriedusi, ka pārziņa savāktie un uzglabātie dati paši par sevi tomēr ir saistīti ar identificējamu personu, jo pārzinim ir likumīgi līdzekļi, lai citur iegūtu šo papildu informāciju, kas ļauj šo personu identificēt. Proti, šādos apstākļos tas, ka informācija, kas ļauj identificēt datu subjektu, bijusi dažādu personu rīcībā, faktiski nebija tāds šķērslis šīs personas identificēšanai, kas pārzinim nebūtu pārvarams.

84

It īpaši saskaņā ar judikatūru, kas izriet no 2023. gada 9. novembra sprieduma Gesamtverband Autoteile‑Handel (Piekļuve transportlīdzekļu informācijai) (C‑319/22, EU:C:2023:837, 46. un 49. punkts), dati, kas paši par sevi ir bezpersoniski, var iegūt “personīgu” raksturu, ja pārzinis tos dara pieejamus citām personām, kuru rīcībā ir līdzekļi, kas pietiekami iespējami var ļaut identificēt datu subjektu. No pēdējā minētā sprieduma jo īpaši izriet, ka šādas pieejamības nodrošināšanas kontekstā minētie dati ir personas dati gan šīm personām, gan – netieši – pārzinim.

85

Līdz ar to, ņemot vērā iepriekšējā punktā atgādināto judikatūru, EDAU kļūdaini apgalvo, ka apstāklis, ka pseidonimizēti dati attiecīgā gadījumā nav personas dati no to personu skatpunkta, kurām pārzinis nosūta šādus pseidonimizētus datus, ļaujot šos datus nepamatoti izslēgt no Savienības tiesību personas datu aizsardzības jomā tvēruma. Proti, saskaņā ar šo judikatūru minētais apstāklis neietekmē šo datu personas rakstura vērtējumu it īpaši iespējamas to vēlākas nosūtīšanas trešām personām kontekstā. Tādējādi, ciktāl nav izslēgts, ka trešās personas saprātīgi varēs datu subjektu sasaistīt ar pseidonimizētajiem datiem, izmantojot tādus līdzekļus kā, piemēram, salīdzināšana ar citiem to rīcībā esošajiem datiem, ir jāuzskata, ka datu subjekts ir identificējams gan attiecībā uz šo datu pārsūtīšanu, gan jebkādu turpmāku šo datu apstrādi, ko veic trešās personas. Šādos apstākļos pseidonimizēti dati būtu jāuzskata par personas datiem.

86

No tā izriet, ka pretēji tam, ko apgalvo EDAU, pseidonimizēti dati katrā ziņā un attiecībā uz jebkuru personu nav uzskatāmi par personas datiem Regulas 2018/1725 piemērošanas nolūkā, jo pseidonimizācija atkarībā no apstākļiem faktiski var liegt personām, kas nav pārzinis, identificēt datu subjektu tādā mērā, ka tās šo personu nevar vai vairs nevar identificēt.

87

Šo interpretāciju neatspēko EDAU norādītais apstāklis, ka Regulas 2018/1725 16. apsvēruma ceturtais teikums attiecas uz pārzini vai “kādu citu personu”. Proti, no paša šī teikuma formulējuma, kas atgādināts šī sprieduma 79. punktā, izriet, ka tas attiecas tikai uz personām, kurām ir vai kuras var piekļūt līdzekļiem, ko saprātīgi var izmantot attiecīgās personas identificēšanai. Kā norādīts šī sprieduma 75.–77. punktā, pseidonimizācija atkarībā no apstākļiem faktiski var liegt citām personām, kas nav pārzinis, identificēt datu subjektu tādā mērā, ka tās šo subjektu nevar vai vairs nevar identificēt.

88

Attiecībā uz EDAU argumentu par mērķi nodrošināt augsta līmeņa personas datu aizsardzību, lai gan Regulas 2018/1725 3. panta 1. punkta formulējumā ir atspoguļots Savienības likumdevēja mērķis jēdzienam “personas dati” piešķirt plašu nozīmi, šis jēdziens nav neierobežots, jo šajā tiesību normā citastarp ir prasīts, ka datu subjektam jābūt identificētam vai identificējamam.

89

It īpaši, kā ģenerāladvokāts norādījis secinājumu 58. punktā, Regulā 2018/1725 ir ietverti tādi pienākumi kā šīs regulas 15. pantā paredzētais pienākums sniegt informāciju datu subjektam, un tā ievērošana nozīmē datu subjekta identificēšanu. Taču šādus pienākumus nevar uzlikt vienībai, kas nekādi nevar veikt šādu identificēšanu.

90

Tātad pirmā pamata otrās daļas pirmais iebildums jānoraida kā nepamatots.

91

Ar pirmā pamata otrās daļas otro iebildumu EDAU apgalvo, ka Vispārējā tiesa nav ievērojusi judikatūru, kas izriet no 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779).

92

Pirmkārt, Vispārējā tiesa neesot ievērojusi nosacījuma par datu subjekta “identificējamību” objektīvo raksturu, pārsūdzētā sprieduma 97., 99. un 100. punktā citastarp nospriežot, ka EDAU esot bijis jāpārbauda, vai Deloitte nosūtītie komentāri no tās skatpunkta ir personas dati. EDAU uzskata, ka no 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779) 47. un 48. punkta izriet, ka ar to vien, ka pastāv juridiski līdzekļi, kas ļauj identificēt datu subjektu, pietiek, lai secinātu, ka šī persona ir identificējama. Šajā lietā VNV esot varējusi identificēt attiecīgās personas, un tas ir apstāklis, kuru Vispārējā tiesa neesot pietiekami ņēmusi vērā, piemērojot no šī sprieduma izrietošo judikatūru.

93

Otrkārt, EDAU apgalvo, ka minētajā spriedumā tas, vai datu subjekts ir identificējams vai nav, ir izvērtēts no pārziņa viedokļa, lai gan starp šo pārzini un struktūrām, kuru rīcībā ir papildu informācija, kas ļauj identificēt šo personu, nav nekādas saiknes. Savukārt šajā lietā Deloitte neesot pārzinis un turklāt tai esot līgums ar VNV. Ņemot vērā šīs atšķirības, EDAU uzskata, ka tam nebija jāveic pilnīgs to līdzekļu novērtējums, kas pietiekami iespējami ļautu Deloitte identificēt attiecīgās personas.

94

Katrā ziņā gadījumā, ja tam tomēr būtu bijis jāizvērtē, vai Deloitte varēja identificēt tai nosūtīto komentāru autorus, EDAU apgalvo, ka nekas neliedza Deloitte veikt šo identificēšanu.

95

VNV, kuru atbalsta Komisija, iebilst pret šo argumentāciju.

96

Pirmkārt, pārsūdzētā sprieduma 96., 97. un 100. punktā Vispārējā tiesa it īpaši esot pamatoti balstījusies uz pieeju, saskaņā ar kuru datu subjekta identificējamība jāizvērtē attiecībā uz katru personu un katru konkrēto pārzini, kurš apstrādā attiecīgo informāciju. Regulas 2018/1725 15. panta 1. punkta d) apakšpunktā paredzētā pienākuma sniegt informāciju kontekstā šī pārbaude būtu jāveic, ņemot vērā attiecīgās informācijas saņēmēju.

97

Otrkārt, VNV apgalvo, ka argumentācija par apgalvotajām šīs lietas atšķirībām no lietas, kurā tika pasludināts 2016. gada 19. oktobra spriedums Breyer (C‑582/14, EU:C:2016:779), ir nepieņemama. Tā uzskata, ka ar šo argumentāciju tiek apšaubīti pārsūdzētā sprieduma 94. un 95. punktā ietvertie Vispārējās tiesas faktu konstatējumi, saskaņā ar kuriem Deloitte nebija piekļuves nepieciešamajai sūdzību iesniedzēju identifikācijas informācijai.

98

It īpaši pārsūdzētā sprieduma 97.–100. punktā Vispārējā tiesa būtībā ir nospriedusi, ka saskaņā ar judikatūru, kas izriet no 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779), EDAU esot bijis jāpārbauda, vai Deloitte nosūtītie komentāri no tās skatpunkta ir personas dati. Lai izdarītu šo konstatējumu, Vispārējā tiesa tostarp ir norādījusi, ka strīdīgajā lēmumā konstatētais Regulas 2018/1725 15. panta 1. punkta d) apakšpunkta pārkāpums attiecas uz VNV veikto komentāru nosūtīšanu Deloitte, nevis tikai uz to, ka tie ir VNV rīcībā.

99

Iesākumā jāatgādina, ka Regulas 2018/1725 3. panta 1. punktā nav skaidri precizēta atbilstošā perspektīva, lai novērtētu datu subjekta identificējamību, savukārt šīs regulas 16. apsvērums vienādi attiecas uz “pārzini” vai “kādu citu personu”. Turklāt atbilstoši iedibinātajai judikatūrai, lai datus varētu kvalificēt kā “personas datus”, netiek prasīts, lai visa informācija, kas ļauj identificēt datu subjektu, būtu tikai vienas personas rīcībā (šajā nozīmē skat. spriedumus, 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 43. punkts, un 2024. gada 7. marts, OC/Komisija,C‑479/22 P, EU:C:2024:215, 48. punkts).

100

Saskaņā ar judikatūru, kas it īpaši izriet no 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779) un kas atgādināta šī sprieduma 81.–84. punktā, atbilstošā perspektīva, lai novērtētu datu subjekta identificējamību, galvenokārt ir atkarīga no apstākļiem, kas raksturo datu apstrādi katrā konkrētajā gadījumā.

101

Šajā lietā jāatgādina – strīdīgajā lēmumā EDAU ir konstatējis, ka, nenorādot Deloitte kā komentāru iespējamo saņēmēju paziņojumā par konfidencialitāti, kas tika sniegts to vākšanas brīdī, VNV nav izpildījusi savu pienākumu sniegt informāciju, kas izriet no Regulas 2018/1725 15. panta 1. punkta d) apakšpunkta.

102

Šīs regulas 15. panta 1. punktā ir uzskaitīta informācija, kas pārzinim ir jāsniedz datu subjektam, ja no viņa tiek iegūti personas dati, un vienlaikus precizēts, ka šī informācija šim datu subjektam jāsniedz “personas datu iegūšanas laikā”. No paša šīs tiesību normas formulējuma izriet, ka pārzinim šī informācija jāsniedz nekavējoties, proti, šo datu vākšanas laikā (pēc analoģijas skat. spriedumu, 2019. gada 29. jūlijs, Fashion ID (C‑40/17, EU:C:2019:629, 104. punkts un tajā minētā judikatūra).

103

Konkrētāk, runājot par minētās regulas 15. panta 1. punkta d) apakšpunktā paredzēto informāciju par personas datu iespējamiem saņēmējiem, runa ir par informāciju, kas citastarp ir jāsniedz, vācot datus no datu subjekta.

104

Regulas 2018/1725 14. panta 1. punktā paredzēts, ka pārzinis veic atbilstošus pasākumus, lai citastarp nodrošinātu, ka šīs regulas 15. pantā minētā informācija datu subjektam tiek sniegta kodolīgā, pārredzamā, saprotamā, viegli pieejamā veidā un ka tā ir formulēta skaidrā un vienkāršā valodā, lai datu subjekts varētu pilnībā saprast viņam adresēto informāciju (pēc analoģijas skat. spriedumus, 2023. gada 4. maijs, Österreichische Datenschutzbehörde un CRIF, C‑487/21, EU:C:2023:369, 38. punkts, kā arī 2024. gada 11. jūlijs, Meta Platforms Ireland (Pārstāvības prasība),C‑757/22, EU:C:2024:598, 55. un 56. punkts).

105

Šī pienākuma izpildes svarīgums ir apliecināts Regulas 2018/1725 35. apsvērumā, kura pirmajā un otrajā teikumā noteikts, ka godprātīgas un pārredzamas apstrādes principi prasa, lai datu subjekts tiktu informēts par apstrādes darbības esību un tās nolūkiem, uzsverot, ka pārzinim arī būtu jāsniedz jebkāda papildu informācija, kas vajadzīga, lai nodrošinātu godprātīgu un pārredzamu apstrādi, ņemot vērā konkrētos apstākļus un kontekstu, kādā personas dati tiek apstrādāti, kā tas paredzēts šīs regulas 15. panta 2. punktā (pēc analoģijas skat. spriedumu, 2024. gada 11. jūlijs, Meta Platforms Ireland (Pārstāvības prasība),C‑757/22, EU:C:2024:598, 57. punkts un tajā minētā judikatūra).

106

Tādējādi, kad šādu datu vākšana no datu subjekta – kā šajā lietā procedūrā saistībā ar tiesībām tikt uzklausītam – ir balstīta uz personas piekrišanu, šīs personas sniegtās piekrišanas spēkā esība citastarp ir atkarīga no tā, vai persona iepriekš ir ieguvusi informāciju – ņemot vērā visus ar attiecīgo datu apstrādi saistītos apstākļus –, uz kuru tai bija tiesības saskaņā ar Regulas 2018/1725 15. pantu un kura tai ļauj dot piekrišanu, pilnībā apzinoties situāciju (pēc analoģijas skat. spriedumu, 2024. gada 11. jūlijs, Meta Platforms Ireland (Pārstāvības prasība),C‑757/22, EU:C:2024:598, 60. punkts).

107

Turklāt attiecībā uz gadījumu, kad datu subjektam ir pienākums sniegt personas datus pārzinim, šīs regulas 35. apsvēruma ceturtajā teikumā ir precizēts, ka ir svarīgi, lai datu subjekts zinātu, vai tam ir pienākums sniegt šos personas datus, un lai viņš tiktu informēts par sekām, kādas būs, ja viņš tos nesniegs, un tas apstiprina minētās regulas 15. pantā prasītās informācijas svarīgumu pašā datu ievākšanas no datu subjekta brīdī.

108

Šādos apstākļos šķiet, ka pienākuma sniegt datu subjektam – ar viņu saistīto personas datu vākšanas laikā – informāciju par iespējamiem šo datu saņēmējiem mērķis it īpaši ir ļaut datu subjektam, pilnībā pārzinot lietas apstākļus, izlemt, sniegt vai, gluži pretēji, atteikties sniegt savus no viņa savāktos personas datus.

109

Jāpiebilst, kā Komisija būtībā apgalvoja tiesas sēdē, ka informācija par iespējamiem saņēmējiem, protams, ir arī nepieciešama, lai datu subjekts vēlāk varētu aizstāvēt savas tiesības pret šiem saņēmējiem. Tomēr pienākums sniegt šo informāciju personas datu vākšanas laikā citastarp nodrošina, ka pārzinis šos datus nevāc pret datu subjekta gribu vai pat pret viņa gribu nenosūta trešām personām.

110

No tā izriet, kā ģenerāladvokāts norādījis secinājumu 69. punktā, ka Regulas 2018/1725 15. panta 1. punkta d) apakšpunktā paredzētais informēšanas pienākums ietilpst tiesiskajās attiecībās, kas pastāv starp datu subjektu un pārzini, un tādēļ tā priekšmets ir ar šo personu saistītā informācija, kāda tā ir nodota šim pārzinim, tātad pirms jebkādas iespējamās nosūtīšanas trešai personai.

111

Līdz ar to ir jāuzskata – lai piemērotu Regulas 2018/1725 15. panta 1. punkta d) apakšpunktā paredzēto informēšanas pienākumu, datu subjekta identificējamība ir jānovērtē datu vākšanas laikā un no pārziņa skatpunkta.

112

No tā izriet, kā ģenerāladvokāts būtībā norādījis secinājumu 79. punktā, ka VNV pienākums sniegt informāciju šajā lietā bija piemērojams pirms attiecīgo komentāru nosūtīšanas un neatkarīgi no tā, vai pēc to iespējamās pseidonimizācijas tie no Deloitte skatpunkta ir vai nav personas dati.

113

Šo interpretāciju neatspēko VNV arguments par Regulas 2018/1725 15. panta 1. punkta d) apakšpunkta formulējumu, kurā ir atsauce uz “personas datu saņēmējiem”. Proti, kā izriet no šī sprieduma 102.–108. punkta, šajā tiesību normā ir reglamentēts pārziņa pienākums sniegt informāciju šādu datu vākšanas laikā. Tomēr jautājums, vai pārzinis šajā brīdī ir izpildījis savu pienākumu sniegt informāciju, nevar būt atkarīgs no datu subjekta identificēšanas iespējām, kas attiecīgā gadījumā pēc šo datu nosūtīšanas vēlāk rastos iespējamam to saņēmējam.

114

Kā ģenerāladvokāts būtībā norādījis secinājumu 77. punktā, VNV argumentācija, saskaņā ar kuru, lai pārbaudītu, vai ir izpildīts šis informēšanas pienākums, esot jāņem vērā saņēmēja viedoklis, nozīmētu, ka šī pārbaude uz laiku tiktu atlikta. Tā kā minētā pārbaude noteikti attiecas uz personas datiem, kas jau ir pārsūtīti saņēmējam, šajā argumentācijā nav ņemts vērā arī informēšanas pienākuma priekšmets, kas ir cieši saistīts ar attiecībām starp pārzini un datu subjektu.

115

Tātad Vispārējā tiesa ir pieļāvusi tiesību kļūdu, pārsūdzētā sprieduma 97., 98., 100., 101. un 103.–105. punktā nospriezdama, ka, lai novērtētu, vai VNV ir izpildījusi savu pienākumu sniegt informāciju saskaņā ar Regulas 2018/1725 15. panta 1. punkta d) apakšpunktu, EDAU esot bijis jāpārbauda, vai Deloitte nosūtītie komentāri no tās skatpunkta ir personas dati.

116

No tā izriet, ka pirmā pamata otrās daļas otrais iebildums ir pamatots, un EDAU argumenti, kas apkopoti šī sprieduma 93. un 94. punktā, nav jāizvērtē.

117

Tā kā pirmā apelācijas sūdzības pamata pirmā daļa un otrās daļas otrais iebildums ir pamatots, EDAU otrais pamats par Regulas 2018/1725 4. panta 2. punkta un 26. panta 1. punkta neievērošanu nav jāizskata.

118

Tā kā pirmais apelācijas sūdzības pamats ir apmierināts, pārsūdzētais spriedums ir jāatceļ.

119

Atbilstoši Eiropas Savienības Tiesas statūtu 61. panta pirmās daļas otrajam teikumam Vispārējās tiesas nolēmuma atcelšanas gadījumā Tiesa pati var pieņemt galīgo spriedumu attiecīgajā lietā, ja to ļauj tiesvedības stadija.

120

Šajā lietā tiesvedības stadija ļauj taisīt galīgo spriedumu attiecībā uz pirmo prasības pamatu, kas attiecas uz to, ka EDAU, iespējams, nav ievērojis Regulas 2018/1725 3. panta 1. punktu, jo Deloitte nodotā informācija nav personas dati. Ņemot vērā šī sprieduma 58.–60. punktā izklāstītos apsvērumus, EDAU, pirmkārt, nepieļaujot tiesību kļūdu, varēja uzskatīt, ka Deloitte nosūtītie komentāri ir informācija, kas attiecas uz fiziskām personām, proti, šo komentāru autoriem. Otrkārt, kā norādīts šī sprieduma 111. punktā, piemērojot šīs regulas 15. panta 1. punkta d) apakšpunktā paredzēto informēšanas pienākumu, datu subjekta identificējamība jāvērtē no pārziņa skatpunkta. Lietas dalībnieki neapstrīd, ka VNV kā pārziņa rīcībā bija visa informācija, kas nepieciešama, lai identificētu minēto komentāru autorus. No iepriekš minētā izriet, ka pretēji tam, ko apgalvo VNV, strīdīgā informācija ir personas dati. Tādējādi pirmais apelācijas sūdzības pamats jānoraida kā nepamatots.

121

Savukārt tiesvedības stadija neļauj taisīt galīgo spriedumu attiecībā uz otro pamatu, jo šis pamats ietver faktu vērtējumu, ko Vispārējā tiesa nav veikusi.

122

Tāpēc lieta jānodod atpakaļ Vispārējai tiesai, lai tā izvērtētu otro pamatu.

123

Tā kā lieta tiek nodota atpakaļ Vispārējai tiesai, lēmuma pieņemšana par tiesāšanās izdevumiem, kas radušies šajā apelācijas tiesvedībā, ir jāatliek.

Ar šādu pamatojumu Tiesa (pirmā palāta) nospriež: