1

Evropski nadzornik za varstvo podatkov (ENVP) s pritožbo predlaga razveljavitev sodbe Splošnega sodišča Evropske unije z dne 26. aprila 2023, EOR/ENVP (T‑557/20, EU:T:2023:219, v nadaljevanju: izpodbijana sodba), s katero je to sodišče razglasilo ničnost revidiranega sklepa ENVP z dne 24. novembra 2020, sprejetega na podlagi zahteve Enotnega odbora za reševanje (EOR) za ponovni pregled sklepa ENVP z dne 24. junija 2020 v zvezi s petimi pritožbami, ki jih je vložilo več pritožnikov (zadeve 2019-947, 2019-998, 2019-999, 2019-1000 in 2019-1122) (v nadaljevanju: sporni sklep).

2

V uvodnih izjavah 5, 16, 17 in 35 Uredbe (EU) 2018/1725 Evropskega parlamenta in Sveta z dne 23. oktobra 2018 o varstvu posameznikov pri obdelavi osebnih podatkov v institucijah, organih, uradih in agencijah Unije in o prostem pretoku takih podatkov ter o razveljavitvi Uredbe (ES) št. 45/2001 in Sklepa št. 1247/2002/ES (UL 2018, L 295, str. 39) je navedeno:

[…]

[…]

3

Člen 3, točke 1, 6, 8 in 13, Uredbe 2018/1725, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi se uporabljajo naslednje opredelitve pojmov:

[…]

[…]

[…]

4

Člen 4 te uredbe, naslovljen „Načela v zvezi z obdelavo osebnih podatkov“, v odstavku 2 določa:

„Upravljavec je odgovoren za skladnost z odstavkom 1 in mora biti to skladnost zmožen dokazati (‚odgovornost‘).“

5

Člen 14 navedene uredbe, naslovljen „Pregledne informacije, sporočila in načini za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki“, v odstavku 1 določa:

„Upravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 15 in 16 ter sporočila iz členov 17 do 24 in 35, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, namenjene posebej otroku. Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kadar je ustrezno, z elektronskimi sredstvi. Na zahtevo posameznika, na katerega se nanašajo osebni podatki, se lahko informacije predložijo ustno, pod pogojem, da se identiteta posameznika, na katerega se nanašajo osebni podatki, dokaže z drugimi sredstvi.“

6

Člen 15 iste uredbe, naslovljen „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, določa:

„1.   Kadar se osebni podatki v zvezi s posameznikom, na katerega se nanašajo osebni podatki, pridobijo od tega posameznika, upravljavec zadevnemu posamezniku takrat, ko pridobi osebne podatke, zagotovi vse naslednje informacije:

[…]

[…]

2.   Poleg informacij iz odstavka 1 upravljavec takrat, ko pridobi osebne podatke, posamezniku, na katerega se ti nanašajo, zagotovi naslednje dodatne informacije, ki so potrebne za zagotovitev poštene in pregledne obdelave:

[…]

[…].“

7

Člen 24 Uredbe 2018/1725 določa pogoje, pod katerimi lahko posamezna odločitev temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov.

8

Člen 26 te uredbe, naslovljen „Odgovornost upravljavca“, v odstavku 1 določa:

„Ob upoštevanju narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec izvede ustrezne tehnične in organizacijske ukrepe, da zagotovi in je zmožen dokazati, da obdelava poteka v skladu s to uredbo. Ti ukrepi se pregledajo in dopolnijo, kadar je to potrebno.“

9

Dejansko stanje je navedeno v točkah od 2 do 32 izpodbijane sodbe in ga je mogoče povzeti tako.

10

Na izvršni seji EOR je bil 7. junija 2017 sprejet Sklep SRB/EES/2017/08 o shemi za reševanje družbe Banco Popular Español, SA, na podlagi Uredbe (EU) št. 806/2014 Evropskega parlamenta in Sveta z dne 15. julija 2014 o določitvi enotnih pravil in enotnega postopka za reševanje kreditnih institucij in določenih investicijskih podjetij v okviru enotnega mehanizma za reševanje in enotnega sklada za reševanje ter o spremembi Uredbe (EU) št. 1093/2010 (UL 2014, L 225, str. 1) (v nadaljevanju: Uredba o EMR).

11

EOR je v tem sklepu menil, da so pogoji iz člena 18(1) Uredbe o EMR izpolnjeni, in odločil, da se za družbo Banco Popular Español SA (v nadaljevanju: Banco Popular) uporabi postopek reševanja. EOR se je zato odločil odpisati in konvertirati kapitalske instrumente družbe Banco Popular na podlagi člena 21 te uredbe ter uporabiti instrument prodaje poslovanja na podlagi člena 24 navedene uredbe s prenosom delnic na kupca.

12

Evropska komisija je istega dne sprejela Sklep (EU) 2017/1246 o odobritvi sheme za reševanje za Banco Popular Español SA (UL 2017, L 178, str. 15).

13

EOR je po reševanju družbe Banco Popular revizijsko in svetovalno družbo Deloitte zadolžil, naj opravi vrednotenje razlik pri obravnavi, ki je določeno v členu 20, od (16) do (18), Uredbe o EMR in ki je bilo opravljeno zaradi ugotovitve, ali bi bili delničarji in upniki družbe Banco Popular deležni boljše obravnave, če bi bil zanjo uveden običajni insolvenčni postopek (v nadaljevanju: vrednotenje 3). Navedena družba je 14. junija 2018 to vrednotenje poslala EOR.

14

EOR je 6. avgusta 2018 na svojem spletnem mestu objavil obvestilo z dne 2. avgusta 2018 v zvezi s svojim predhodnim sklepom o tem, ali naj se odobri nadomestilo delničarjem in upnikom, ki so jih prizadeli ukrepi za reševanje v zvezi z družbo Banco Popular Español, SA, in o začetku postopka v zvezi s pravico do izjave (SRB/EES/2018/132) (v nadaljevanju: predhodni sklep) ter tudi nezaupno različico vrednotenja 3. Sporočilo v zvezi s tem obvestilom je bilo 7. avgusta 2018 objavljeno v Uradnem listu Evropske unije (UL 2018, C 277 I, str. 1).

15

EOR je v predhodnem sklepu navedel, da za to, da bi lahko sprejel končno odločitev o tem, ali naj se delničarjem in upnikom, ki jih je prizadelo reševanje družbe Banco Popular (v nadaljnjem besedilu: prizadeti delničarji in upniki), odobri nadomestilo na podlagi člena 76(1)(e) Uredbe o EMR, slednje poziva, naj izrazijo interes glede uveljavljanja svoje pravice do izjave na podlagi člena 41(2)(a) Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina).

16

V skladu z navedbami iz predhodnega sklepa bi moral postopek v zvezi s pravico do izjave potekati v dveh fazah.

17

V prvi fazi (v nadaljevanju: faza vpisa) so bili prizadeti delničarji in upniki pozvani, naj s spletnim obrazcem do 14. septembra 2018 izrazijo interes glede uveljavljanja svoje pravice do izjave. V tej fazi so morali prizadeti delničarji in upniki, ki so želeli uveljavljati svojo pravico do izjave, EOR predložiti dokazila, iz katerih je bilo razvidno, da so imeli na dan reševanja družbe Banco Popular v lasti enega ali več kapitalskih instrumentov te družbe, ki so bili odpisani ali konvertirani in v okviru reševanja preneseni na družbo Banco Santander SA. Dokazila, ki jih je bilo treba predložiti, so vsebovala identifikacijski dokument in dokazilo o lastništvu enega od teh kapitalskih instrumentov na dan 6. junija 2017. EOR je moral nato preveriti, ali je vsaka oseba, ki je izrazila svoj interes, imela dejansko status prizadetega delničarja ali upnika.

18

EOR je 6. avgusta 2018, ko se je začela faza vpisa, na spletni strani za vpis v postopek v zvezi s pravico do izjave in na svojem spletnem mestu tudi objavil izjavo o varstvu osebnih podatkov v zvezi z obdelavo osebnih podatkov v okviru tega postopka (v nadaljevanju: izjava o varstvu osebnih podatkov).

19

V drugi fazi (v nadaljevanju: faza posvetovanja) so lahko osebe, katerih status prizadetih delničarjev in upnikov je preveril EOR, predložile pripombe glede predhodnega sklepa, ki mu je bilo priloženo vrednotenje 3. EOR je 16. oktobra 2018 na svojem spletnem mestu napovedal, da bodo prizadeti delničarji in upniki po 6. novembru 2018 pozvani, naj v fazi posvetovanja predložijo pisne pripombe glede predhodnega sklepa.

20

EOR je 6. novembra 2018 po elektronski pošti prizadetim delničarjem in upnikom poslal enotno osebno povezavo, ki jim je omogočala dostop do spletnega obrazca, ki je vseboval sedem vprašanj z omejenim prostorom za odgovor in ki je prizadetim delničarjem in upnikom omogočal, da pred 26. novembrom 2018 predložijo pripombe glede predhodnega sklepa in nezaupne različice vrednotenja 3.

21

EOR je preučil upoštevne pripombe prizadetih delničarjev in upnikov glede predhodnega sklepa. Od družbe Deloitte, kot neodvisnega ocenjevalca, je zahteval, naj oceni upoštevne pripombe glede vrednotenja 3, naj mu predloži dokument, ki vsebuje njeno oceno, in naj preuči, ali je vrednotenje 3 ob upoštevanju teh pripomb še vedno veljavno.

22

Podatki, zbrani v fazi vpisa, in sicer dokazi o identiteti prizadetih delničarjev in upnikov ter o lastništvu odpisanih ali konvertiranih in prenesenih kapitalskih instrumentov družbe Banco Popular, so bili dostopni omejenemu številu uslužbencev EOR, in sicer tistim, ki so bili odgovorni za obdelavo teh podatkov, da bi lahko odločili o upravičenosti teh delničarjev in upnikov do nadomestila.

23

Uslužbenci EOR, zadolženi za obdelavo pripomb, prejetih v fazi posvetovanja, niso imeli dostopa niti do podatkov, zbranih v fazi vpisa – tako da so bile te pripombe ločene od osebnih informacij o prizadetih delničarjih in upnikih, ki so jih predložili – niti do podatkovnega ključa oziroma informacij, na podlagi katerih je mogoče najti identiteto prizadetega delničarja ali upnika s sklicevanjem na edinstveno alfanumerično kodo, dodeljeno vsaki pripombi, predloženi prek obrazca. Ta alfanumerična koda je bila sestavljena iz 33‑mestnega univerzalnega edinstvenega identifikatorja, ki je bil naključno ustvarjen ob prejemu odgovorov na obrazcu.

24

EOR je v prvi fazi opravil samodejno filtriranje 23.822 pripomb, ki so bile vsaka opremljena z edinstveno alfanumerično kodo in ki jih je predložilo 2855 udeležencev postopka. Dva algoritma sta omogočila, da je bilo 20.101 pripomb opredeljenih kot enakih. V tem primeru je pripomba, ki je bila najprej predložena, štela za izvirno pripombo, ki je bila preučena v fazi analize, enake pripombe, prejete pozneje, pa so bile opredeljene kot podvajajoče se pripombe.

25

V drugi fazi je EOR identificiral predložene pripombe, ki so spadale na področje uporabe postopka v zvezi s pravico do izjave, ker bi lahko vplivale na predhodni sklep ali vrednotenje 3. Nato je te pripombe razdelil med tiste, ki bi jih EOR moral preučiti v zvezi s predhodnim sklepom, in tiste, ki bi jih družba Deloitte morala preučiti v zvezi z vrednotenjem 3. Ob koncu te faze je EOR identificiral 3730 pripomb, ki jih je razvrstil glede na njihovo upoštevnost in temo.

26

V tretji fazi je EOR obravnaval pripombe v zvezi s predhodnim sklepom, pripombe v zvezi z vrednotenjem 3 – in sicer 1104 pripomb – pa so bile družbi Deloitte posredovane 17. junija 2019 prek varnega virtualnega strežnika podatkov pri EOR. EOR je datoteke, ki jih je bilo treba posredovati družbi Deloitte, naložil na ta strežnik in omogočil dostop do teh datotek omejenemu in nadzorovanemu številu uslužbencev družbe Deloitte, in sicer tistim, ki so bili neposredno vključeni v pregled pripomb v zvezi z vrednotenjem 3.

27

Pripombe, posredovane družbi Deloitte, so bile filtrirane, kategorizirane in združene. Kadar je šlo za kopije prejšnjih pripomb, je bila družbi Deloitte poslana le ena različica, tako da posameznih pripomb, ki so bile ponovljene, ni bilo mogoče ločiti v okviru iste teme, družba Deloitte pa ni imela možnosti vedeti, ali je pripombo oblikoval eden ali več udeležencev postopka v zvezi s pravico do izjave.

28

Pripombe, posredovane družbi Deloitte, so bile le tiste pripombe, ki so bile prejete v fazi posvetovanja in ki so imele alfanumerično kodo. EOR pa je bil edini, ki je lahko pripombe prek te kode povezal s podatki, zlasti z identifikacijskimi podatki avtorjev pripomb, prejetih v fazi vpisa. Alfanumerična koda je bila razvita za revizijo, da bi se omogočilo preverjanje in da bi se v sodnem postopku morebiti dokazalo, da je bila vsaka pripomba obravnavana in ustrezno upoštevana. Družba Deloitte ni imela dostopa do zbirke podatkov, zbranih v fazi vpisa, niti med postopkom v zvezi s pravico do izjave, prav tako pa še vedno ni imela dostopa do njih na dan izdaje izpodbijane sodbe.

29

Oktobra in decembra 2019 so prizadeti delničarji in upniki, ki so odgovorili na obrazec, ENVP poslali pet pritožb na podlagi Uredbe 2018/1725. Z njimi so uveljavljali kršitev člena 15(1)(d) te uredbe, ker jih EOR ni obvestil, da bodo podatki, zbrani prek odgovorov na obrazec, posredovani tretjim osebam, in sicer družbama Deloitte in Banco Santander, s čimer naj bi bili kršeni pogoji iz izjave o varstvu osebnih podatkov.

30

Po koncu postopka, v katerem je EOR na zahtevo ENVP predložil različna pojasnila, pritožniki pa so predložili stališča, je ENVP 24. junija 2020 sprejel sklep v zvezi s petimi pritožbami, ki jih je več pritožnikov vložilo zoper Enotni odbor za reševanje (zadeve 2019-947, 2019-998, 2019-999, 2019-1000 in 2019-1122) (v nadaljevanju: prvotni sklep). ENVP je v tem sklepu ugotovil, da je EOR kršil člen 15 Uredbe 2018/1725, ker pritožnikov v izjavi o varstvu osebnih podatkov ni obvestil o možnosti, da se njihovi osebni podatki posredujejo družbi Deloitte. Zaradi te kršitve je bil zato EOR na podlagi člena 58(2)(b) te uredbe izrečen opomin.

31

EOR je 22. julija 2020 od ENVP zahteval, naj ponovno preuči prvotni sklep na podlagi člena 18(1) Sklepa Evropskega nadzornika za varstvo podatkov z dne 15. maja 2020 o sprejetju Poslovnika ENVP (UL 2020, L 204, str. 49). EOR je med drugim predložil podroben opis postopka v zvezi s pravico do izjave in analizo pripomb, ki so jih v fazi posvetovanja predložili štirje od identificiranih pritožnikov. Navedel je, da informacije, ki so bile posredovane družbi Deloitte, niso osebni podatki v smislu člena 3, točka 1, Uredbe 2018/1725.

32

ENVP je 5. avgusta 2020 EOR obvestil, da se je glede na predložene nove dokaze odločil ponovno preučiti prvotni sklep in da bo sprejel sklep, ki ga bo nadomestil.

33

ENVP je 24. novembra 2020 po postopku ponovne preučitve, v katerem so pritožniki podali stališča, EOR pa je na zahtevo ENVP predložil dodatne informacije, sprejel sporni sklep.

34

S tem sklepom je ENVP prvotni sklep spremenil tako:

35

EOR je z vlogo, ki jo je 1. septembra 2020 predložil v sodnem tajništvu Splošnega sodišča, vložil tožbo, s katero je predlagal, prvič, razglasitev ničnosti spornega sklepa in, drugič, razglasitev nezakonitosti prvotnega sklepa.

36

EOR je v utemeljitev prvega tožbenega predloga navedel dva tožbena razloga, od katerih se je prvi nanašal na kršitev člena 3, točka 1, Uredbe 2018/1725, ker informacije, ki so bile posredovane družbi Deloitte, niso osebni podatki, drugi tožbeni razlog pa na kršitev pravice do dobrega upravljanja iz člena 41 Listine.

37

Splošno sodišče je z izpodbijano sodbo zaradi nepristojnosti zavrglo drugi tožbeni predlog, naj se prvotni sklep razglasi za nezakonit v delu, v katerem je EOR želel doseči ugotovitveno sodbo in ne razglasitve ničnosti akta.

38

Splošno sodišče pa je prvi tožbeni predlog razglasilo za dopusten. Meritorno je ugodilo prvemu tožbenemu razlogu in sporni sklep razglasilo za ničen, ne da bi preučilo drugi tožbeni razlog.

39

S sklepom predsednika Sodišča z dne 20. oktobra 2023 je bila Evropski komisiji dovoljena intervencija v podporo predlogom EOR. Predsednik Sodišča je s sklepom z dne 29. novembra 2023 Evropskemu odboru za varstvo podatkov dovolil intervencijo v podporo predlogom ENVP.

40

ENVP ob podpori Evropskega odbora za varstvo podatkov Sodišču predlaga, naj:

41

EOR ob podpori Komisije Sodišču predlaga, naj:

42

ENVP ob podpori Evropskega odbora za varstvo podatkov v utemeljitev pritožbe navaja dva pritožbena razloga, od katerih se prvi nanaša na kršitev člena 3, točki 1 in 6, Uredbe 2018/1725, kot ga razlaga Sodišče, drugi pa na kršitev člena 4(2) in člena 26(1) te uredbe.

43

ENVP s prvim pritožbenim razlogom v bistvu trdi, da je Splošno sodišče s tem, da je presodilo, da je ENVP v spornem sklepu napačno sklenil, da so informacije iz obravnavane zadeve osebni podatki, napačno uporabilo pravo pri razlagi člena 3, točki 1 in 6, Uredbe 2018/1725. Ta pritožbeni razlog je razdeljen na dva dela. Prvi del se nanaša na pogoj iz člena 3, točka 1, te uredbe, v skladu s katerim gre za informacijo „v zvezi“ s posameznikom, drugi del pa na pogoj iz iste določbe v zvezi z „določljivostjo“ te osebe.

44

ENVP s prvim delom prvega pritožbenega razloga trdi, da so – v nasprotju s tem, kar je Splošno sodišče razsodilo v točkah od 60 do 74 izpodbijane sodbe – informacije, ki so bile posredovane družbi Deloitte, v zvezi s posameznikom v smislu člena 3, točka 1, Uredbe 2018/1725.

45

Na prvem mestu, ENVP trdi, da v nasprotju s tem, kar izhaja iz točke 70 izpodbijane sodbe, od organov za varstvo podatkov nikakor ni mogoče zahtevati, da preučijo vsebino, namen ali učinek informacije, da bi preverili, ali se nanaša na posameznika. Po mnenju ENVP take preučitve zlasti ni mogoče zahtevati v zvezi s pripombami, ki jih je EOR posredoval družbi Deloitte, ker je bilo po njegovem mnenju jasno, da gre za pripombe „v zvezi s“ posameznikom, ker izražajo osebno stališče nekaterih upnikov in delničarjev družbe Banco Popular glede njihove morebitne pravice do nadomestila na podlagi člena 76(1)(e) Uredbe o EMR.

46

Na drugem mestu, ENVP v nasprotju z ugotovitvijo iz točke 71 izpodbijane sodbe trdi, da se je za ugotovitev obstoja osebnih podatkov oprl ne le na naravo pripomb, ki so bile posredovane družbi Deloitte, ampak tudi na okoliščino, da je bila tej družbi poslana tudi alfanumerična koda.

47

Na tretjem mestu, po trditvah ENVP je izpodbijana sodba protislovna, ker je Splošno sodišče, po eni strani, v točki 7 navedene sodbe navedlo, da je bil sam cilj pripomb, ki so bile posredovane družbi Deloitte, nekaterim posameznikom, in sicer zadevnim delničarjem in upnikom, omogočiti izvajanje njihove pravice do izjave za morebitno nadomestilo na podlagi člena 76(1)(e) Uredbe o EMR. Splošno sodišče naj bi v nasprotju s to prvo ugotovitvijo, po drugi strani, v točki 73 navedene sodbe razsodilo, da se je ENVP oprl na domneve, da so vse pripombe, ki so bile posredovane družbi Deloitte, osebni podatki, ne da bi dokazal, da se nanašajo na posameznike.

48

EOR ob podpori Komisije trdi, da je treba te trditve zavrniti.

49

Na prvem mestu, v skladu s sodno prakso, ki izhaja iz sodb z dne 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, točki 34 in 35), in z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF (C‑487/21, EU:C:2023:369, točki 23 in 24), bi lahko informacije, tako objektivne kot subjektivne v obliki mnenj ali presoj, pomenile osebne podatke, če se te „nanašajo“ na zadevno osebo. Poleg tega v skladu s to sodno prakso velja, da se informacija nanaša na določenega ali določljivega posameznika, kadar je zaradi svoje vsebine, namena ali učinka povezana z določljivo osebo. Tako naj bi Splošno sodišče v točkah od 70 do 74 izpodbijane sodbe pravilno presodilo, da ENVP ni upošteval navedene sodne prakse s tem, ko je zgolj navedel, da pripombe, ki so bile posredovane družbi Deloitte, odražajo mnenja ali stališča zadevnih delničarjev in upnikov, in torej ni preučil, ali so bile te pripombe glede na svojo vsebino, namen ali učinek povezane z določljivo osebo.

50

Na drugem mestu, trditev ENVP, da narava navedenih pripomb kot osebnih podatkov nujno izhaja iz njihovega namena, naj bi pomenila novo dejansko trditev, ki je bila prvič predstavljena pred pritožbenim sodiščem in naj zato ne bi bila dopustna. Vsekakor naj bi bila ta trditev brezpredmetna, ker naj ENVP v spornem sklepu te točke ne bi preučil.

51

Na tretjem mestu, EOR v zvezi z zatrjevano protislovnostjo obrazložitve med točkama 7 in 73 izpodbijane sodbe trdi, da v opisu iz točke 7 navedene sodbe ni nobene informacije o vsebini, namenu ali učinku pripomb, ki so bile posredovane družbi Deloitte, in zato ne nasprotuje ugotovitvi, ki je navedena v točki 73 navedene sodbe.

52

Uvodoma je treba navesti, da je opredelitev pojma „osebni podatki“ iz člena 3, točka 1, Uredbe 2018/1725 vsebinsko enaka opredelitvi iz člena 4, točka 1, SUVP, ki ima vsebinsko enak obseg kot člen 2(a) Direktive Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (UL, posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355). Za zagotovitev enotne in dosledne uporabe prava Unije je torej treba zagotoviti enako razlago člena 3, točka 1, Uredbe 2018/1725, člena 4, točka 1, SUVP in člena 2(a) Direktive 95/46 (glej v tem smislu sodbi z dne 7. marca 2024, OC/Komisija, C‑479/22 P, EU:C:2024:215, točka 43, in z dne 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, točka 33 in navedena sodna praksa).

53

Člen 3, točka 1, Uredbe 2018/1725 določa, da osebni podatek pomeni „katero koli informacijo v zvezi z določenim ali določljivim posameznikom“.

54

Sodišče je razsodilo, da uporaba izraza „katera koli informacija“ v opredelitvi pojma „osebni podatek“ iz te določbe in iz člena 4, točka 1, SUVP odraža cilj zakonodajalca Unije, da temu pojmu da širok pomen, ki potencialno zajema vse vrste informacij, tako objektivne kot subjektivne, v obliki mnenj ali presoj, če se te „nanašajo“ na posameznika (sodbe z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 23 in navedena sodna praksa; z dne 7. marca 2024, OC/Komisija, C‑479/22 P, EU:C:2024:215, točka 45, in z dne 4. oktobra 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, točka 130).

55

Informacija se nanaša na določenega ali določljivega posameznika, kadar je zaradi svoje vsebine, namena ali učinka povezana z določljivo osebo (sodbe z dne 20. decembra 2017, Nowak, C‑434/16, EU:C:2017:994, točka 35; z dne 7. marca 2024, OC/Komisija, C‑479/22 P, EU:C:2024:215, točka 45, in z dne 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, točka 37 in navedena sodna praksa).

56

Čeprav je v obravnavani zadevi Splošno sodišče v točki 70 izpodbijane sodbe navedlo, da ENVP ni preučil niti vsebine, niti namena, niti učinka informacij, ki izhajajo iz pripomb, ki so bile posredovane družbi Deloitte, je iz točk 71 in 72 navedene sodbe vseeno razvidno, da je zaradi ugotovitve, da te pripombe odražajo mnenja ali stališča posameznikov, ENVP moral predhodno preučiti vsebino navedenih pripomb. Na podlagi te ugotovitve je ENVP sklenil, da gre za informacije v zvezi s temi osebami. V skladu s sodno prakso, navedeno v točki 55 te sodbe, pa ni nujno, da se poleg preučitve vsebine informacije opravi analiza namena in učinkov te informacije, kot je razvidno iz uporabe veznika „ali“, ki povezuje različna merila, ki so določena v tej sodni praksi.

57

Vendar je Splošno sodišče v točkah 73 in 74 izpodbijane sodbe menilo, da ENVP informacij, ki izhajajo iz pripomb, ki so bile posredovane družbi Deloitte, ne bi smel opredeliti kot osebne podatke zgolj na podlagi ugotovitve, da gre za osebna mnenja ali stališča, ampak da bi moral poleg tega preučiti vsebino, namen in učinek tako izraženih mnenj, da bi ugotovil, ali so povezana z določeno osebo.

58

Pri tej presoji Splošnega sodišča ni upoštevana posebna narava osebnih mnenj ali stališč, ki so kot izraz misli osebe nujno tesno povezana z njo.

59

Razlaga, sprejeta v prejšnji točki, je podprta s sodno prakso, ki izhaja iz sodbe z dne 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994), ki se je med drugim nanašala na komentarje popravljavca v zvezi s pisnimi odgovori kandidata na poklicnem izpitu. Sodišče je namreč v točkah od 42 do 44 navedene sodbe, čeprav je presojalo vsebino, namen in učinek teh pripomb, da bi ugotovilo, ali so te pripombe informacije o kandidatu, na katerega se te pripombe nanašajo, v bistvu presodilo, da se navedene pripombe nanašajo tudi na popravljavca, ki je bil njihov avtor, saj izražajo njegovo mnenje ali presojo.

60

Iz tega sledi, da je Splošno sodišče napačno uporabilo pravo s tem, da je v točkah 73 in 74 izpodbijane sodbe presodilo, da bi ENVP za ugotovitev, da so informacije, ki izhajajo iz pripomb, ki so bile posredovane družbi Deloitte, „v zvezi z“ osebami, ki so predložile te pripombe, v smislu člena 3, točka 1, Uredbe 2018/1725, moral preučiti vsebino, namen ali učinke navedenih pripomb, ker ni bilo sporno, da so te pripombe izražale mnenje ali osebno stališče njihovih avtorjev.

61

Zato je treba prvi del prvega pritožbenega razloga sprejeti, ne da bi bilo treba preučiti trditve, povzete v točkah 46 in 47 te sodbe.

62

ENVP z drugim delom prvega pritožbenega razloga trdi, da je Splošno sodišče v točkah od 76 do 106 izpodbijane sodbe napačno presodilo, da ni mogoče šteti, da so informacije, ki izhajajo iz pripomb, ki so bile posredovane družbi Deloitte, v zvezi z „določljivim“ posameznikom v smislu člena 3, točka 1, Uredbe 2018/1725. Ta del je sestavljen iz dveh ločenih očitkov.

63

Najprej, ENVP opozarja, da mora biti v skladu s členom 3, točka 1, Uredbe 2018/1725 upravljavec ali „katera koli druga oseba“ sposobna identificirati posameznika, na katerega se zadevna informacija nanaša. Če oseba, ki bi morala biti sposobna opraviti to identifikacijo, ni navedena, naj bi zadostovalo, da je posameznika, na katerega se nanaša informacija, mogoče identificirati. V obravnavani zadevi pa naj ne bi bilo sporno, da so pripombe, ki so bile posredovane družbi Deloitte in s katerimi je razpolagal EOR, osebni podatki. Poleg tega naj bi iz člena 3, točka 6, te uredbe v povezavi z njeno uvodno izjavo 16 izhajalo, da so psevdonimizirani podatki osebni podatki, in to zgolj zaradi obstoja dodatnih informacij, na podlagi katerih jih je mogoče pripisati določeni osebi.

64

Po mnenju ENVP v ugotovitvah iz točk 90 in 91 izpodbijane sodbe niso zadostno upoštevani izrazi iz teh določb in razlikovanje med anonimizacijo in psevdonimizacijo. V zvezi s tem Evropski odbor za varstvo podatkov pojasnjuje, da bi se v skladu z razlago, ki jo je sprejelo Splošno sodišče, narava osebnih podatkov spremenila, če bi bili posredovani subjektu zunaj upravljavca, ki nima dodatnih informacij, na podlagi katerih bi bilo mogoče identificirati posameznika, na katerega se nanašajo osebni podatki. Ta razlaga bi takemu upravljavcu omogočila, da osebne podatke neupravičeno izvzame s področja uporabe prava Unije na področju varstva takih podatkov, tudi če bi obdelava s strani zunanjega subjekta posameznike, na katere se nanašajo osebni podatki, izpostavila velikim tveganjem.

65

ENVP dalje poudarja, da je zakonodajalec Unije z uvedbo pojma psevdonimizacija razjasnil, da za izključitev osebnih podatkov s področja uporabe prava Unije na področju varstva takih podatkov ne zadostuje ločitev teh podatkov od dodatnih informacij, na podlagi katerih je mogoča identifikacija posameznika, na katerega se nanašajo osebni podatki.

66

Nazadnje, ENVP opozarja, da je treba pojem osebni podatki razlagati široko, kar je po njegovem mnenju nujno za polni učinek prava na področju varstva podatkov. Ker bi razlaga Splošnega sodišča omogočala, da se psevdonimizirani podatki napačno štejejo za anonimne podatke, bi lahko ogrozila visoko raven varstva, za katero si prizadeva zakonodajalec Unije in ki se zahteva z Listino. Po mnenju Evropskega odbora za varstvo podatkov razlaga, ki jo je sprejelo Splošno sodišče, vključuje tudi tveganje, da bi se psevdonimizirani podatki lahko obdelovali brez omejitev na podlagi SUVP in Uredbe 2018/1725, vključno z njihovo izmenjavo, objavo in prenosom v tretje države.

67

EOR, ki ga podpira Komisija, tem trditvam nasprotuje.

68

Prvi očitek iz drugega dela prvega pritožbenega razloga v bistvu temelji na ugotovitvi, da psevdonimizirani podatki, kot so pripombe, ki so bile posredovane družbi Deloitte, vsekakor pomenijo osebne podatke zgolj zato, ker obstajajo informacije, ki omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki, ne da bi bilo treba konkretno preučiti, ali je posameznik, na katerega se ti podatki nanašajo, kljub psevdonimizaciji določljiv.

69

V zvezi s tem je treba opozoriti, da se mora v skladu s členom 3, točka 1, Uredbe 2018/1725 informacija nanašati na „določenega ali določljivega“ posameznika, da se jo lahko opredeli kot osebni podatek v smislu te določbe. Tako uporaba te uredbe načeloma predpostavlja preučitev, ali je oseba, na katero se zadevna informacija nanaša, določena ali določljiva.

70

To razlago potrjujeta peti in šesti stavek iz uvodne izjave 16 Uredbe 2018/1725, v skladu s katerima v opredelitev pojma „osebni podatki“ niso zajete niti „anonimne informacije, in sicer informacije, ki niso povezane z določenim ali določljivim posameznikom“, niti „osebni podatki, ki so bili anonimizirani tako, da posameznik, na katerega se nanašajo osebni podatki, ni ali ni več določljiv“ (glej po analogiji sodbo z dne 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, točka 57).

71

Natančneje, v zvezi s psevdonimiziranimi podatki je treba, na prvem mestu, navesti, da ti podatki niso omenjeni v pravni opredelitvi pojma „osebni podatki“ iz člena 3, točka 1, Uredbe 2018/1725, ampak da njihove značilnosti izhajajo iz člena 3, točka 6, te uredbe. Ta zadnja določba pojem „psevdonimizacija“ opredeljuje kot „obdelavo osebnih podatkov na tak način, da osebnih podatkov brez dodatnih informacij ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku“.

72

Kot je generalni pravobranilec v bistvu navedel v točkah 46 in 48 sklepnih predlogov, psevdonimizacija torej ni element opredelitve „osebni podatki“, temveč se nanaša na uvedbo tehničnih in organizacijskih ukrepov za zmanjšanje tveganja povezovanja niza podatkov z identiteto posameznikov, na katere se nanašajo osebni podatki. V skladu z uvodno izjavo 17 navedene uredbe se z uporabo psevdonimizacije „lahko [le] zmanjša tveganje“ za te posameznike ter zato „pomaga upravljavcem in obdelovalcem pri izpolnjevanju obveznosti glede varstva podatkov“.

73

Na drugem mestu, iz besedila člena 3, točka 6, Uredbe 2018/1725 izhaja, da pojem „psevdonimizacija“ predpostavlja obstoj informacij, ki omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki. Sam obstoj takih informacij pa nasprotuje temu, da bi bilo mogoče podatke, ki so bili psevdonimizirani, vsekakor šteti za anonimne podatke, ki so izključeni s področja uporabe te uredbe.

74

Ostaja dejstvo, da je, na tretjem mestu, v zahtevi po ločeni hrambi identifikacijskih podatkov ter tehničnih in organizacijskih ukrepov, „da se zagotovi, da se osebni podatki ne pripišejo določeni ali določljivi fizični osebi“, iz člena 3, točka 6, navedene uredbe določeno, da je namen psevdonimizacije zlasti preprečiti, da bi bilo mogoče posameznika, na katerega se nanašajo osebni podatki, identificirati zgolj s psevdonimiziranimi podatki.

75

Če so namreč taki tehnični in organizacijski ukrepi dejansko uvedeni in če lahko preprečijo pripis zadevnih podatkov posamezniku, na katerega se nanašajo osebni podatki, tako da ta ni ali ni več določljiv, lahko psevdonimizacija vpliva na osebno naravo teh podatkov v smislu člena 3, točka 1, Uredbe 2018/1725.

76

V zvezi s tem je treba pojasniti, da ima EOR – kot je običajno v primeru upravljavca, ki je izvedel psevdonimizacijo – v obravnavani zadevi dodatne informacije, na podlagi katerih lahko pripombe, ki so bile posredovane družbi Deloitte, pripiše posamezniku, na katerega se nanašajo osebni podatki, tako da zanj te pripombe kljub psevdonimizaciji ohranijo svojo osebno naravo.

77

Kar zadeva družbo Deloitte, ki ji je EOR poslal psevdonimizirane pripombe, je lahko učinek tehničnih in organizacijskih ukrepov iz člena 3, točka 6, Uredbe 2018/1725 – kot v bistvu trdi EOR – to, da te pripombe niso osebne narave za to družbo. Vendar to po eni strani predpostavlja, da družba Deloitte teh ukrepov ne more odpraviti pri kakršni koli obravnavi navedenih pripomb, ki se opravi pod njenim nadzorom. Po drugi strani morajo navedeni ukrepi družbi Deloitte dejansko preprečevati, da bi te pripombe pripisala posamezniku, na katerega se nanašajo osebni podatki, tudi z uporabo drugih sredstev za identifikacijo, kot je primerjanje z drugimi elementi, tako da za to družbo posameznik, na katerega se nanašajo osebni podatki, ni ali ni več določljiv.

78

To razlago potrjuje uvodna izjava 16 Uredbe 2018/1725, v kateri je po tem, ko je bilo v prvem stavku navedeno, da bi bilo treba „[n]ačela varstva podatkov […] uporabljati za vse informacije v zvezi z določenim ali določljivim posameznikom“, v drugem stavku navedeno, da bi bilo treba „[o]sebne podatke, ki so psevdonimizirani in ki jih je mogoče z uporabo dodatnih informacij pripisati posamezniku, šteti za informacije o določljivem posamezniku“.

79

Po teh navedbah o osebnih podatkih in psevdonimiziranih podatkih je namreč v tretjem stavku iz te uvodne izjave pojasnjeno, da je treba pri ugotavljanju, ali je posameznik določljiv, upoštevati „vsa sredstva, za katera se razumno pričakuje“, da jih bo upravljavec ali „druga oseba“ uporabila za „neposredno ali posredno“ identifikacijo posameznika. Poleg tega je v četrtem stavku iz te uvodne izjave navedeno, da bi bilo treba za ugotovitev, ali se za ta sredstva lahko razumno pričakuje, da bodo uporabljena za identifikacijo posameznika, upoštevati „vse objektivne dejavnike, kot so stroški identifikacije in čas, potreben zanjo, ter pri tem upoštevati razpoložljivo tehnologijo in tehnološki razvoj v času obdelave“.

80

Vendar, kot je generalni pravobranilec v bistvu navedel v točki 51 sklepnih predlogov, bi bil tem pojasnilom v zvezi z oceno, ali je posameznik, na katerega se nanašajo osebni podatki, določljiv ali ne, odvzet vsakršen polni učinek, če bi bilo treba psevdonimizirane podatke v vsakem primeru in za vsako osebo šteti za osebne podatke za namene uporabe Uredbe 2018/1725.

81

V zvezi s tem je treba opozoriti, da se Sodišče v zvezi s sporočilom za javnost, ki je vsebovalo nekatere navedbe v zvezi z osebo, ne da bi jo poimensko navedlo, v sodbi z dne 7. marca 2024, OC/Komisija (C‑479/22 P, EU:C:2024:215, točke od 52 do 64), ni omejilo na ugotovitev, da je imel organ Unije, ki je to sporočilo objavil, na voljo vse informacije, na podlagi katerih je bilo mogoče identificirati to osebo, ampak je preučilo, ali navedbe iz navedenega sporočila zadevni javnosti razumno omogočajo identifikacijo te osebe, zlasti s kombinacijo teh navedb in informacij, ki so na voljo na spletu.

82

Poleg tega je Sodišče že razsodilo, da sredstva ni mogoče razumno uporabiti za identifikacijo posameznika, na katerega se nanašajo osebni podatki, kadar se zdi nevarnost identifikacije dejansko zanemarljiva, ker je identifikacija te osebe z zakonom prepovedana ali neizvedljiva v praksi, na primer zato, ker bi zahtevala nesorazmeren napor z vidika časa, stroškov in dela (glej v tem smislu sodbo z dne 7. marca 2024, OC/Komisija, C‑479/22 P, EU:C:2024:215, točka 51 in navedena sodna praksa). Ta sodna praksa potrjuje razlago, v skladu s katero obstoj dodatnih informacij, na podlagi katerih je mogoče identificirati posameznika, na katerega se nanašajo osebni podatki, sam po sebi ne pomeni, da je treba psevdonimizirane podatke v vsakem primeru in za vsako osebo šteti za osebne podatke za namene uporabe Uredbe 2018/1725.

83

V istem smislu je Sodišče predvsem v sodbah z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779, točke 44, 47 in 48), in z dne 7. marca 2024, IAB Europe (C‑604/22, EU:C:2024:214, točki 43 in 48), v bistvu razsodilo, da so podatki, ki so sami po sebi neosebni ter jih upravljavec zbira in hrani, vseeno povezani z določljivo osebo, ker je imel upravljavec na voljo zakonite možnosti za pridobitev dodatnih informacij, na podlagi katerih bi bilo mogoče identificirati to osebo. V takih okoliščinah namreč okoliščina, da so bile informacije, na podlagi katerih je mogoče identificirati posameznika, na katerega se nanašajo osebni podatki, v rokah različnih oseb, dejansko ni mogla preprečiti njegove identifikacije na tak način, ki bi bil za upravljavca nedoločljiv.

84

Predvsem lahko v skladu s sodno prakso, ki izhaja iz sodbe z dne 9. novembra 2023, Gesamtverband Autoteile-Handel (Dostop do informacij o vozilih) (C‑319/22, EU:C:2023:837, točki 46 in 49), podatki, ki so sami po sebi neosebni, pridobijo „osebno“ naravo, če jih upravljavec da na voljo drugim osebam, ki razpolagajo s sredstvi, ki razumno omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki. Iz zadnjenavedene sodbe zlasti izhaja, da so navedeni podatki v okviru takega dajanja na voljo osebni podatki tako za te osebe kot posredno za upravljavca.

85

Zato ENVP – glede na sodno prakso, navedeno v prejšnji točki – napačno trdi, da okoliščina, da psevdonimizirani podatki glede na okoliščine primera niso osebni podatki za osebe, ki jim upravljavec prenese psevdonimizirane podatke, omogoča, da se ti podatki neupravičeno izključijo s področja uporabe prava Unije na področju varstva osebnih podatkov. V skladu s to sodno prakso namreč navedena okoliščina ne vpliva na presojo osebne narave teh podatkov zlasti v okviru njihovega morebitnega poznejšega prenosa tretjim osebam. Če torej ni izključeno, da bodo te tretje osebe razumno lahko s sredstvi, kot je navzkrižno preverjanje z drugimi podatki, ki jih imajo na voljo, psevdonimizirane podatke pripisale posamezniku, na katerega se nanašajo osebni podatki, je treba šteti, da je ta posameznik določljiv tako z vidika tega prenosa kot z vidika vsake nadaljnje obdelave teh podatkov s strani navedenih tretjih oseb. V takih okoliščinah bi bilo treba psevdonimizirane podatke šteti za osebne podatke.

86

Iz tega sledi, da – v nasprotju s tem, kar trdi ENVP – ni mogoče šteti, da so psevdonimizirani podatki v vsakem primeru in za vsako osebo osebni podatki za namene uporabe Uredbe 2018/1725, ker lahko psevdonimizacija – glede na okoliščine obravnavane zadeve – osebam, ki niso upravljavec, dejansko prepreči identifikacijo posameznika, na katerega se nanašajo osebni podatki, tako da ta ni ali ni več določljiv.

87

Te razlage ne omaje okoliščina, na katero se sklicuje ENVP, da se četrti stavek iz uvodne izjave 16 Uredbe 2018/1725 nanaša na upravljavca ali „katero koli drugo osebo“. Iz samega besedila tega stavka, na katero je bilo opozorjeno v točki 79 te sodbe, namreč izhaja, da se ta nanaša le na osebe, ki imajo ali bi lahko imele dostop do sredstev, za katera se razumno pričakuje, da se bodo uporabila za identifikacijo zadevne osebe. Kot pa je bilo navedeno v točkah od 75 do 77 te sodbe, lahko psevdonimizacija – glede na okoliščine primera – osebam, ki niso upravljavec, dejansko prepreči identifikacijo posameznika, na katerega se nanašajo osebni podatki, tako da ta ni ali ni več določljiv.

88

Kar zadeva trditev ENVP v zvezi s ciljem zagotavljanja visoke ravni varstva osebnih podatkov, velja omeniti, da čeprav besedilo člena 3, točka 1, Uredbe 2018/1725 odraža cilj zakonodajalca Unije, da pojmu „osebni podatki“ da širok pomen, ta pojem ni neomejen, saj se s to določbo med drugim zahteva, da je posameznik, na katerega se nanašajo osebni podatki, določen ali določljiv.

89

Konkretno, kot je generalni pravobranilec navedel v točki 58 sklepnih predlogov, Uredba 2018/1725 vsebuje obveznosti, kot je obveznost obveščanja posameznika, na katerega se nanašajo osebni podatki, v členu 15 te uredbe, katere spoštovanje predpostavlja identifikacijo posameznika, na katerega se nanašajo osebni podatki. Vendar takih obveznosti ni mogoče naložiti subjektu, ki nikakor ne more opraviti te identifikacije.

90

Zato je treba prvi očitek iz drugega dela prvega pritožbenega razloga zavrniti kot neutemeljen.

91

ENVP z drugim očitkom iz drugega dela prvega pritožbenega razloga navaja, da Splošno sodišče ni upoštevalo sodne prakse, ki izhaja iz sodbe z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779).

92

Na prvem mestu, Splošno sodišče naj ne bi upoštevalo objektivnosti pogoja v zvezi z „določljivostjo“ posameznika, na katerega se nanašajo osebni podatki, ker je v točkah 97, 99 in 100 izpodbijane sodbe med drugim presodilo, da bi moral ENVP preučiti, ali pripombe, ki so bile posredovane družbi Deloitte, z vidika te družbe pomenijo osebne podatke. ENVP namreč meni, da iz točk 47 in 48 sodbe z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779), izhaja, da že sam obstoj pravnih sredstev, ki omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki, zadostuje za ugotovitev, da je ta posameznik določljiv. V obravnavani zadevi pa naj bi EOR lahko identificiral posameznike, na katere se nanašajo osebni podatki, kar je okoliščina, ki naj je Splošno sodišče ne bi dovolj upoštevalo pri uporabi sodne prakse, ki izhaja iz te sodbe.

93

Na drugem mestu, po trditvah ENVP se je v navedeni sodbi določljivost ali nedoločljivost posameznika, na katerega se nanašajo osebni podatki, presojala z vidika upravljavca, in to ob neobstoju kakršnega koli razmerja med tem upravljavcem in subjekti, ki imajo dodatne informacije, na podlagi katerih bi bilo mogoče identificirati tega posameznika. V obravnavani zadevi pa naj družba Deloitte ne bi bila upravljavec in naj bi bila poleg tega vezana na pogodbo z EOR. Glede na te razlike ENVP meni, da mu ni bilo treba opraviti celovite ocene sredstev, ki bi družbi Deloitte razumno omogočila identifikacijo posameznikov, na katere se nanašajo osebni podatki.

94

V vsakem primeru, če bi moral kljub temu presoditi, ali je družba Deloitte lahko identificirala avtorje pripomb, ki so ji bile posredovane, ENVP trdi, da družbi Deloitte nič ni preprečevalo, da opravi to identifikacijo.

95

EOR, ki ga podpira Komisija, tem trditvam nasprotuje.

96

Na prvem mestu, Splošno sodišče naj bi se v točkah 96, 97 in 100 izpodbijane sodbe med drugim pravilno oprlo na pristop, da je treba določljivost posameznika, na katerega se nanašajo osebni podatki, preučiti glede na vsako osebo in vsakega zadevnega upravljavca, ki obdeluje upoštevne informacije. V okviru obveznosti obveščanja iz člena 15(1)(d) Uredbe 2018/1725 pa bi bilo treba to preučitev opraviti z vidika uporabnika zadevnih informacij.

97

Na drugem mestu, EOR trdi, da argumentacija, ki temelji na domnevnih razlikah v obravnavani zadevi v razmerju do zadeve, v kateri je bila izdana sodba z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779), ni dopustna. Po njegovem mnenju se s to utemeljitvijo izpodbijajo dejanske ugotovitve Splošnega sodišča iz točk 94 in 95 izpodbijane sodbe, v skladu s katerimi družba Deloitte ni imela dostopa do identifikacijskih podatkov, ki so potrebni za identifikacijo pritožnikov.

98

Splošno sodišče je zlasti v točkah od 97 do 100 izpodbijane sodbe v bistvu razsodilo, da bi moral ENVP v skladu s sodno prakso, ki izhaja iz sodbe z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779), preučiti, ali pripombe, ki so bile posredovane družbi Deloitte, z vidika te družbe pomenijo osebne podatke. Splošno sodišče je, da bi prišlo do te ugotovitve, med drugim navedlo, da se je kršitev člena 15(1)(d) Uredbe 2018/1725, ki je bila ugotovljena v spornem sklepu, nanašala na prenos EOR teh pripomb na družbo Deloitte, in ne le na to, da je EOR s temi pripombami razpolagal.

99

Najprej je treba opozoriti, da v členu 3, točka 1, Uredbe 2018/1725 ni izrecno pojasnjen vidik, ki je upošteven za presojo določljivosti posameznika, na katerega se nanašajo osebni podatki, medtem ko se uvodna izjava 16 te uredbe brez razlikovanja nanaša na „upravljavca“ ali „katero koli drugo osebo“. Poleg tega iz ustaljene sodne prakse izhaja, da se za to, da bi se podatek lahko opredeli kot „osebni podatek“, ne zahteva, da morajo biti vse informacije, ki omogočajo identifikacijo posameznika, na katerega se nanašajo osebni podatki, v rokah samo ene osebe (glej v tem smislu sodbi z dne 19. oktobra 2016, Breyer, C‑582/14, EU:C:2016:779, točka 43, in z dne 7. marca 2024, OC/Komisija, C‑479/22 P, EU:C:2024:215, točka 48).

100

V skladu s sodno prakso, ki izhaja zlasti iz sodbe z dne 19. oktobra 2016, Breyer (C‑582/14, EU:C:2016:779), na katero je bilo opozorjeno v točkah od 81 do 84 te sodbe, je vidik, ki je upošteven za presojo določljivosti posameznika, na katerega se nanašajo osebni podatki, v bistvu odvisen od okoliščin, ki so značilne za obdelavo podatkov v vsakem posameznem primeru.

101

V obravnavani zadevi je treba opozoriti, da je ENVP v spornem sklepu ugotovil, da je EOR s tem, da družbe Deloitte v izjavi o varstvu osebnih podatkov, predloženi ob njihovem zbiranju, ni navedel kot potencialnega uporabnika pripomb, kršil svojo obveznost obveščanja, ki izhaja iz člena 15(1)(d) Uredbe 2018/1725.

102

Člen 15(1) te uredbe določa informacije, ki jih mora upravljavec zagotoviti posamezniku, na katerega se nanašajo osebni podatki, kadar se od njega pridobijo osebni podatki, pri čemer je pojasnjeno, da mora te informacije temu posamezniku zagotoviti „v času, ko pridobi zadevne podatke“. Iz samega besedila te določbe izhaja, da mora upravljavec te podatke zagotoviti takoj, in sicer ob njihovem zbiranju (glej po analogiji sodbo z dne 29. julija 2019, Fashion ID, C‑40/17, EU:C:2019:629, točka 104 in navedena sodna praksa).

103

Kar zadeva, natančneje, informacijo o morebitnih uporabnikih osebnih podatkov iz člena 15(1)(d) navedene uredbe, gre za informacijo, ki jo je treba med drugim zagotoviti ob zbiranju podatkov od posameznika, na katerega se nanašajo osebni podatki.

104

Člen 14(1) Uredbe 2018/1725 določa, da upravljavec sprejme ustrezne ukrepe, s katerimi med drugim zagotovi, da se informacije iz člena 15 te uredbe posamezniku, na katerega se nanašajo osebni podatki, zagotovijo v jedrnati, pregledni, razumljivi, lahko dostopni obliki ter jasnem in preprostem jeziku, da lahko ta posameznik v celoti razume informacije, ki so nanj naslovljene (glej po analogiji sodbi z dne 4. maja 2023, Österreichische Datenschutzbehörde in CRIF, C‑487/21, EU:C:2023:369, točka 38, in z dne 11. julija 2024, Meta Platforms Ireland (Reprezentativna tožba), C‑757/22, EU:C:2024:598, točki 55 in 56).

105

Pomembnost spoštovanja take obveznosti obveščanja je potrjena tudi z uvodno izjavo 35 Uredbe 2018/1725, ki v prvem in drugem stavku navaja, da načelo poštene in pregledne obdelave zahteva, da je treba posameznika, na katerega se nanašajo osebni podatki, obvestiti o obstoju obdelave in namenih te obdelave, pri čemer je treba poudariti, da bi moral upravljavec zagotoviti vse dodatne informacije, ki so potrebne za zagotavljanje poštene in pregledne obdelave ob upoštevanju specifičnih okoliščin in okvira obdelave osebnih podatkov, kot je to določeno v členu 15(2) te uredbe (glej po analogiji sodbo z dne 11. julija 2024, Meta Platforms Ireland (Reprezentativna tožba), C‑757/22, EU:C:2024:598, točka 57 in navedena sodna praksa).

106

Kadar torej zbiranje takih podatkov od posameznika, na katerega se nanašajo osebni podatki – kot v obravnavani zadevi v okviru postopka v zvezi s pravico do izjave – temelji na njegovi privolitvi, je veljavnost privolitve, ki jo je dal navedeni posameznik, med drugim odvisna od tega, ali je predhodno pridobil informacije glede na vse okoliščine obdelave zadevnih podatkov, do katerih je bil upravičen na podlagi člena 15 Uredbe 2018/1725 in ki mu omogočajo, da poda privolitev ob popolnem poznavanju dejstev (glej po analogiji sodbo z dne 11. julija 2024, Meta Platforms Ireland (Reprezentativna tožba), C‑757/22, EU:C:2024:598, točka 60).

107

Poleg tega je v zvezi z obveznostjo, da posameznik, na katerega se nanašajo osebni podatki, upravljavcu zagotovi osebne podatke, v četrtem stavku uvodne izjave 35 te uredbe pojasnjeno, da je pomembno, da posameznik, na katerega se nanašajo osebni podatki, ve, ali mora zagotoviti te osebne podatke, in da je obveščen o posledicah, ki jim je izpostavljen, če jih ne zagotovi, kar potrjuje pomembnost informacije, ki se zahteva s členom 15 navedene uredbe, že ob zbiranju podatkov od posameznika, na katerega se nanašajo osebni podatki.

108

V teh okoliščinah je očitno, da je namen obveznosti, da se posamezniku, na katerega se nanašajo osebni podatki, ob zbiranju osebnih podatkov v zvezi z njim zagotovijo informacije o morebitnih uporabnikih teh podatkov, zlasti omogočiti mu, da se ob popolnem poznavanju dejstev odloči, ali bo posredoval ali, nasprotno, zavrnil posredovanje svojih osebnih podatkov, ki so bili pridobljeni od njega.

109

Dodati je treba, da je, kot je Komisija v bistvu potrdila na obravnavi, informacija o morebitnih uporabnikih nujna tudi za to, da bi lahko posameznik, na katerega se nanašajo osebni podatki, pozneje branil svoje pravice proti tem uporabnikom. Vendar obveznost zagotavljanja te informacije ob zbiranju osebnih podatkov med drugim zagotavlja, da upravljavec teh podatkov ne zbira proti volji posameznika, na katerega se ti podatki nanašajo, ali jih celo proti njegovi volji prenese tretjim osebam.

110

Iz tega sledi, da je – kot je generalni pravobranilec navedel v točki 69 sklepnih predlogov – obveznost obveščanja iz člena 15(1)(d) Uredbe 2018/1725 del pravnega razmerja med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem, zato so njegov predmet informacije v zvezi s tem posameznikom, kot so bile posredovane temu upravljavcu, torej pred kakšnim koli morebitnim prenosom tretji osebi.

111

Zato je treba ugotoviti, da je treba za uporabo obveznosti obveščanja iz člena 15(1)(d) Uredbe 2018/1725 določljivost posameznika, na katerega se nanašajo osebni podatki, presojati v trenutku zbiranja podatkov in z vidika upravljavca.

112

Iz tega izhaja, da se je – kot je generalni pravobranilec v bistvu navedel v točki 79 sklepnih predlogov – obveznost EOR v zvezi z obveščanjem v obravnavani zadevi uporabljala pred prenosom zadevnih pripomb in neodvisno od tega, ali so bile pripombe osebne narave z vidika družbe Deloitte po njihovi morebitni psevdonimizaciji.

113

Te razlage ne omaje trditev EOR, ki temelji na besedilu člena 15(1)(d) Uredbe 2018/1725 o „uporabnikih osebnih podatkov“. Kot je namreč razvidno iz točk od 102 do 108 te sodbe, ta določba ureja obveznost obveščanja, ki zavezuje upravljavca ob zbiranju takih podatkov. Vprašanje, ali je upravljavec takrat izpolnil svojo obveznost obveščanja, pa ne more biti odvisno od možnosti identifikacije posameznika, na katerega se nanašajo osebni podatki, ki bi jih eventualno imel morebitni uporabnik po poznejšem prenosu zadevnih podatkov.

114

Kot je generalni pravobranilec v bistvu navedel v točki 77 sklepnih predlogov, bi bila posledica trditve EOR, da bi se bilo treba za nadzor nad spoštovanjem te obveznosti obveščanja postaviti v položaj uporabnika, to, da bi bil ta nadzor preložen na pozneje. Ker se navedeni nadzor nujno nanaša na osebne podatke, ki so že bili preneseni uporabniku, se s to argumentacijo krši tudi predmet obveznosti obveščanja, ki je neločljivo povezana z razmerjem med upravljavcem in posameznikom, na katerega se nanašajo osebni podatki.

115

Zato je Splošno sodišče napačno uporabilo pravo s tem, da je v točkah 97, 98, 100, 101 in od 103 do 105 izpodbijane sodbe presodilo, da bi moral ENVP pri presoji, ali je EOR izpolnil svojo obveznost obveščanja na podlagi člena 15(1)(d) Uredbe 2018/1725, preučiti, ali pripombe, ki so bile posredovane družbi Deloitte, pomenijo osebne podatke z vidika te družbe.

116

Iz tega sledi, da je drugi očitek iz drugega dela prvega pritožbenega razloga treba sprejeti, ne da bi bilo treba preučiti trditve ENVP, ki so povzete v točkah 93 in 94 te sodbe.

117

Ker sta prvi del prvega pritožbenega razloga in drugi očitek iz njegovega drugega dela utemeljena, drugega pritožbenega razloga, ki ga je ENVP uveljavljal v zvezi s kršitvijo člena 4(2) in člena 26(1) Uredbe 2018/1725, ni treba preučiti.

118

Ker je bilo prvemu pritožbenemu razlogu tako ugodeno, je treba izpodbijano sodbo razveljaviti.

119

V skladu s členom 61, prvi odstavek, drugi stavek, Statuta Sodišča Evropske unije lahko Sodišče v primeru razveljavitve odločitve Splošnega sodišča samo dokončno odloči o zadevi, če stanje postopka to dovoljuje.

120

V obravnavani zadevi stanje postopka to dovoljuje v zvezi s prvim tožbenim razlogom, ki se nanaša na to, da naj bi ENVP kršil člen 3, točka 1, Uredbe 2018/1725, ker informacije, ki so bile posredovane družbi Deloitte, ne pomenijo osebnih podatkov. ENVP je namreč glede na preudarke iz točk od 58 do 60 te sodbe na eni strani lahko menil, ne da bi napačno uporabil pravo, da so pripombe, ki so bile posredovane družbi Deloitte, informacije, ki se nanašajo na posameznike, in sicer na avtorje teh pripomb. Na drugi strani, kot je bilo navedeno v točki 111 te sodbe, je treba v okviru uporabe obveznosti obveščanja iz člena 15(1)(d) te uredbe določljivost posameznika, na katerega se nanašajo osebni podatki, presojati z vidika upravljavca. Med strankami pa ni sporno, da je imel EOR kot upravljavec na voljo vse informacije, potrebne za identifikacijo avtorjev navedenih pripomb. Iz navedenega izhaja, da sporne informacije – v nasprotju s tem, kar trdi EOR – pomenijo osebne podatke. Zato je treba prvi tožbeni razlog zavrniti kot neutemeljen.

121

Nasprotno pa stanje postopka ne dovoljuje odločitve o drugem tožbenem razlogu, ker ta vključuje presojo dejanskega stanja, ki je Splošno sodišče ni opravilo.

122

Zato je treba zadevo vrniti v razsojanje Splošnemu sodišču, da preuči drugi tožbeni razlog.

123

Ker bo zadeva vrnjena v razsojanje Splošnemu sodišču, se odločitev o stroških pritožbenega postopka pridrži.

Iz teh razlogov je Sodišče (prvi senat) razsodilo: