ΑΠΟΦΑΣΗ ΤΟΥ ΓΕΝΙΚΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (όγδοο πενταμελές τμήμα)
της 26ης Απριλίου 2023 (*)
«Προστασία των δεδομένων προσωπικού χαρακτήρα – Διαδικασία αποζημίωσης των μετόχων και πιστωτών τραπεζικού ιδρύματος που τέθηκε σε καθεστώς εξυγίανσης – Απόφαση του ΕΕΠΔ διαπιστώνουσα την εκ μέρους του ΕΣΕ παράβαση των σχετικών με την προστασία δεδομένων προσωπικού χαρακτήρα υποχρεώσεων που υπέχει – Άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού (ΕΕ) 2018/1725 – Έννοια των “δεδομένων προσωπικού χαρακτήρα” – Άρθρο 3, σημείο 1, του κανονισμού 2018/1725 – Δικαίωμα πρόσβασης στον φάκελο»
Στην υπόθεση T‑557/20,
Ενιαίο Συμβούλιο Εξυγίανσης (ΕΣΕ), εκπροσωπούμενο από τις H. Ehlers, M. Fernandez Ruperez, A. Lapresta Bienz, επικουρούμενες από τις H.‑G. Kamann, M. Braun, F. Louis, και L. Hesse, δικηγόρους,
προσφεύγον,
κατά
Ευρωπαίου Επόπτη Προστασίας Δεδομένων (ΕΕΠΔ), εκπροσωπούμενου από την P. Candellier και τους X. Lareo και T. Zerdick,
καθού,
ΤΟ ΓΕΝΙΚΟ ΔΙΚΑΣΤΗΡΙΟ (όγδοο πενταμελές τμήμα),
συγκείμενο από τους A. Kornezov, πρόεδρο, G. De Baere (εισηγητή), D. Petrlík, K. Kecsmár και S. Kingston, δικαστές,
γραμματέας: I. Kurme, διοικητική υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία,
κατόπιν της επ’ ακροατηρίου συζητήσεως της 1ης Δεκεμβρίου 2022,
εκδίδει την ακόλουθη
Απόφαση
1 Με την προσφυγή που άσκησε δυνάμει του άρθρου 263 ΣΛΕΕ, το Ενιαίο Συμβούλιο Εξυγίανσης (ΕΣΕ) ζητεί, αφενός, την ακύρωση της αναθεωρημένης αποφάσεως του Ευρωπαίου Επόπτη Προστασίας Δεδομένων (ΕΕΠΔ) της 24ης Νοεμβρίου 2020, η οποία εκδόθηκε κατόπιν αίτησης του ΕΣΕ για επανεξέταση της από 24 Ιουνίου 2020 απόφασης του ΕΕΠΔ σχετικά με πέντε καταγγελίες που υπέβαλαν πλείονες καταγγέλλοντες (υποθέσεις 2019-947, 2019-998, 2019-999, 2019-1000 και 2019-1122) (στο εξής: αναθεωρημένη απόφαση) και, αφετέρου, τη διαπίστωση του παράνομου χαρακτήρα της από 24 Ιουνίου 2020 αποφάσεως του ΕΕΠΔ (στο εξής: αρχική απόφαση).
Ιστορικό της διαφοράς
2 Στις 7 Ιουνίου 2017, η εκτελεστική σύνοδος του ΕΣΕ εξέδωσε την απόφαση SRB/EES/2017/08, σχετικά με καθεστώς εξυγίανσης της Banco Popular Español, SA (στο εξής: καθεστώς εξυγίανσης), βάσει του κανονισμού (ΕΕ) 806/2014 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 15ης Ιουλίου 2014, περί θεσπίσεως ενιαίων κανόνων και διαδικασίας για την εξυγίανση πιστωτικών ιδρυμάτων και ορισμένων επιχειρήσεων επενδύσεων στο πλαίσιο ενός Ενιαίου Μηχανισμού Εξυγίανσης και ενός Ενιαίου Ταμείου Εξυγίανσης και τροποποιήσεως του κανονισμού (ΕΕ) αριθ. 1093/2010 (ΕΕ 2014, L 225, σ. 1).
3 Η Ευρωπαϊκή Επιτροπή εξέδωσε αυθημερόν την απόφαση (ΕΕ) 2017/1246, για την αποδοχή του καθεστώτος εξυγίανσης (ΕΕ 2017, L 178, σ. 15).
4 Στο πλαίσιο του καθεστώτος εξυγίανσης, το ΕΣΕ, εκτιμώντας ότι πληρούνταν οι προϋποθέσεις του άρθρου 18, παράγραφος 1, του κανονισμού 806/2014, αποφάσισε να θέσει την Banco Popular Español (στο εξής: Banco Popular) υπό εξυγίανση. Το ΕΣΕ αποφάσισε την απομείωση και μετατροπή των κεφαλαιακών μέσων της Banco Popular κατ’ εφαρμογήν του άρθρου 21 του κανονισμού 806/2014 και την εφαρμογή του εργαλείου πώλησης δραστηριοτήτων δυνάμει του άρθρου 24 του κανονισμού 806/2014 μέσω της μεταβίβασης των μετοχών σε αγοραστή.
5 Κατόπιν της υπαγωγής της Banco Popular σε καθεστώς εξυγίανσης, η Deloitte διαβίβασε στο ΕΣΕ, στις 14 Ιουνίου 2018, την προβλεπόμενη στο άρθρο 20, παράγραφοι 16 έως 18, του κανονισμού 806/2014, αποτίμηση της διαφοράς ως προς τη μεταχείριση, προκειμένου να διαπιστωθεί κατά πόσον οι μέτοχοι και οι πιστωτές θα είχαν τύχει καλύτερης μεταχείρισης αν η Banco Popular είχε τεθεί υπό κανονική διαδικασία αφερεγγυότητας (στο εξής: αποτίμηση 3).
6 Στις 6 Αυγούστου 2018, το ΕΣΕ δημοσίευσε στην ιστοσελίδα του την κοινοποίηση της 2ας Αυγούστου 2018 σχετικά με την προκαταρκτική απόφαση για το αν πρέπει να χορηγηθεί αποζημίωση στους μετόχους και τους πιστωτές σε σχέση με τις δράσεις εξυγίανσης που έχουν πραγματοποιηθεί για την Banco Popular και την έναρξη της διαδικασίας ακρόασης (SRB/EES/2018/132) (στο εξής: προκαταρκτική απόφαση), καθώς και ένα μη εμπιστευτικό κείμενο της αποτίμησης 3. Στις 7 Αυγούστου 2018, δημοσιεύθηκε στην Επίσημη Εφημερίδα της Ευρωπαϊκής Ένωσης ανακοίνωση σχετικά με την κοινοποίηση του ΕΣΕ (ΕΕ 2018, C 277 I, σ. 1).
7 Στην προκαταρκτική απόφαση, το ΕΣΕ επισήμανε ότι, προκειμένου να μπορέσει να λάβει τελική απόφαση για το κατά πόσον πρέπει να χορηγηθεί αποζημίωση στους θιγόμενους από την εξυγίανση της Banco Popular μετόχους και πιστωτές βάσει του άρθρου 76, παράγραφος 1, στοιχείο εʹ, του κανονισμού 806/2014, κάλεσε τους τελευταίους να εκδηλώσουν το ενδιαφέρον τους για την άσκηση του δικαιώματος ακρόασης κατ’ εφαρμογήν του άρθρου 41, παράγραφος 2, στοιχείο αʹ, του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης).
Επί της σχετικής με το δικαίωμα ακρόασης διαδικασίας
8 Στην προκαταρκτική απόφαση, το ΕΣΕ ανέφερε ότι η σχετική με το δικαίωμα ακρόασης διαδικασία θα διεξαγόταν σε δύο φάσεις. Σε πρώτη φάση (στο εξής: φάση εγγραφής), οι θιγόμενοι μέτοχοι και πιστωτές κλήθηκαν να εκδηλώσουν, έως τις 14 Σεπτεμβρίου 2018, το ενδιαφέρον τους για την άσκηση του δικαιώματος ακρόασης μέσω εντύπου ηλεκτρονικής εγγραφής. Εν συνεχεία, το ΕΣΕ θα εξακρίβωνε αν όσοι εκδήλωσαν ενδιαφέρον είχαν πράγματι την ιδιότητα του θιγόμενου μετόχου ή πιστωτή. Στη δεύτερη φάση (στο εξής: φάση διαβούλευσης), οι θιγόμενοι μέτοχοι και πιστωτές των οποίων το καθεστώς είχε ελεγχθεί από το ΕΣΕ θα μπορούσαν να υποβάλουν τις παρατηρήσεις τους σχετικά με την προκαταρκτική απόφαση, στην οποία επισυναπτόταν ως παράρτημα η αποτίμηση 3.
9 Κατά τη φάση της εγγραφής, οι θιγόμενοι μέτοχοι και πιστωτές που επιθυμούσαν να ασκήσουν το δικαίωμα ακρόασης έπρεπε να προσκομίσουν στο ΕΣΕ τα δικαιολογητικά που αποδείκνυαν ότι, κατά τον χρόνο της εξυγίανσης, κατείχαν ένα ή περισσότερα κεφαλαιακά μέσα της Banco Popular που απομειώθηκαν ή μετατράπηκαν και μεταβιβάστηκαν στην Banco Santander, SA στο πλαίσιο της εξυγίανσης. Tα δικαιολογητικά που έπρεπε να προσκομιστούν περιλάμβαναν έγγραφο ταυτότητας καθώς και απόδειξη ότι ο ενδιαφερόμενος κατείχε στις 6 Ιουνίου 2017 ένα από τα εν λόγω κεφαλαιακά μέσα.
10 Κατά την έναρξη της φάσης εγγραφής στις 6 Αυγούστου 2018, το ΕΣΕ δημοσίευσε επίσης στον ιστότοπο εγγραφής στη σχετική με το δικαίωμα ακρόασης διαδικασία, καθώς και στον ιστότοπό του δήλωση εμπιστευτικότητας σχετικά με την επεξεργασία στην οποία θα υποβάλλονταν τα δεδομένα προσωπικού χαρακτήρα στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας (στο εξής: δήλωση εμπιστευτικότητας).
11 Στις 16 Οκτωβρίου 2018, το ΕΣΕ ανακοίνωσε στον ιστότοπό του ότι, από τις 6 Νοεμβρίου 2018, οι πράγματι θιγόμενοι μέτοχοι και πιστωτές θα καλούνταν να υποβάλουν γραπτώς τις παρατηρήσεις τους επί της προκαταρκτικής απόφασης κατά τη φάση της διαβούλευσης.
12 Στις 6 Νοεμβρίου 2018, το ΕΣΕ απέστειλε μέσω ηλεκτρονικού ταχυδρομείου στους πράγματι θιγόμενους μετόχους και πιστωτές έναν ενιαίο προσωπικό σύνδεσμο ο οποίος τους παρέπεμπε σε έντυπο μέσω διαδικτύου (στο εξής: έντυπο). Το έντυπο περιείχε επτά ερωτήσεις με περιορισμένο πεδίο απάντησης και παρείχε στους θιγόμενους μετόχους και πιστωτές τη δυνατότητα να υποβάλουν, πριν από τις 26 Νοεμβρίου 2018, παρατηρήσεις σχετικά με την προκαταρκτική απόφαση καθώς και σχετικά με το μη εμπιστευτικό κείμενο της αποτίμησης 3.
13 Το ΕΣΕ εξέτασε τις σχετικές με την προκαταρκτική απόφαση παρατηρήσεις των θιγόμενων μετόχων και πιστωτών. Ζήτησε από την Deloitte, υπό την ιδιότητά της ως ανεξάρτητου αξιολογητή, να αξιολογήσει τις αφορώσες την αποτίμηση 3 παρατηρήσεις, να του διαβιβάσει εγγράφως την αξιολόγησή της και να εξετάσει αν η αποτίμηση 3 εξακολουθούσε να είναι έγκυρη υπό το πρίσμα των εν λόγω παρατηρήσεων.
Επί της επεξεργασίας των δεδομένων που συνέλεξε το ΕΣΕ στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας
14 Τα δεδομένα που συνελέγησαν κατά τη φάση εγγραφής, και συγκεκριμένα, τα αποδεικτικά στοιχεία της ταυτότητας των συμμετεχόντων και της ιδιοκτησίας κεφαλαιακών μέσων της Banco Popular που απομειώθηκαν ή μετατράπηκαν και μεταβιβασθηκαν, ήταν προσβάσιμα σε περιορισμένο αριθμό υπαλλήλων του ΕΣΕ οι οποίοι ήταν επιφορτισμένοι με την επεξεργασία των εν λόγω δεδομένων προκειμένου να εκτιμηθεί κατά πόσον οι συμμετέχοντες είχαν πράγματι την ιδιότητα του θιγόμενου μετόχου ή πιστωτή.
15 Στα εν λόγω δεδομένα δεν είχαν πρόσβαση τα μέλη του προσωπικού του ΕΣΕ που ήταν επιφορτισμένα με την επεξεργασία των παρατηρήσεων που ελήφθησαν κατά τη φάση της διαβούλευσης, κατά την οποία ελήφθησαν μόνο παρατηρήσεις ταυτοποιήσιμες με αναφορά σε αλφαριθμητικό κωδικό ο οποίος αντιστοιχούσε σε κάθε παρατήρηση που υποβλήθηκε μέσω του εντύπου. Ο αλφαριθμητικός κωδικός αποτελούνταν από έναν μοναδικό καθολικό αναγνωριστικό κωδικό 33 ψηφίων, παραγόμενο τυχαία κατά τον χρόνο παραλαβής των απαντήσεων στο έντυπο.
16 Σε πρώτο στάδιο, το ΕΣΕ πραγματοποίησε αυτόματο φιλτράρισμα 23 822 παρατηρήσεων από 2 855 συμμετέχοντες στη διαδικασία, εκάστη εκ των οποίων έφερε ενιαίο αλφαριθμητικό κωδικό. Δύο αλγόριθμοι εντόπισαν 20 101 πανομοιότυπες παρατηρήσεις. Η παρατήρηση που υποβλήθηκε πρώτη θεωρήθηκε ως η πρωτότυπη παρατήρηση, η οποία ελήφθη υπόψη κατά τη φάση της ανάλυσης, ενώ οι μεταγενεστέρως υποβληθείσες πανομοιότυπες παρατηρήσεις θεωρήθηκαν διπλές εγγραφές.
17 Σε δεύτερο στάδιο, κατά τη φάση της ανάλυσης, το ΕΣΕ εξέτασε τις παρατηρήσεις με σκοπό τη διασφάλιση συνοχής κατά την αξιολόγηση της συνάφειάς τους και την κατηγοριοποίηση ή την ομαδοποίησή τους σε καθορισμένες θεματικές κατηγορίες. Το ΕΣΕ εντόπισε, κατ’ αυτόν τον τρόπο, τις παρόμοιες, αλλά όχι πανομοιότυπες, παρατηρήσεις οι οποίες ήταν βασισμένες στις ίδιες, διαθέσιμες στο διαδίκτυο, πηγές.
18 Το επιφορτισμένο με την ανάλυση των παρατηρήσεων προσωπικό του ΕΣΕ δεν είχε πρόσβαση ούτε στα δεδομένα που συλλέχθηκαν κατά το στάδιο της εγγραφής, καθόσον οι εν λόγω παρατηρήσεις ήταν διαχωρισμένες από τα προσωπικά στοιχεία των προσώπων που τις υπέβαλαν, ούτε στο κλειδί των δεδομένων ή στις πληροφορίες που καθιστούσαν δυνατή την ταυτοποίηση κάποιου συμμετέχοντος με βάση τον μοναδικό αλφαριθμητικό κωδικό που αντιστοιχούσε σε κάθε παρατήρηση.
19 Κατά τη φάση της ανάλυσης, το ΕΣΕ συνέκρινε όλες τις υποβληθείσες παρατηρήσεις και τις ταξινόμησε με βάση το ερώτημα του εντύπου στο οποίο απαντούσαν. Εν συνεχεία, οι παρατηρήσεις αξιολογήθηκαν με κριτήριο την κρισιμότητά τους και έγινε διαχωρισμός μεταξύ, αφενός, εκείνων που ενέπιπταν στο πεδίο εφαρμογής της σχετικής με το δικαίωμα ακροάσεως διαδικασίας καθόσον μπορούσαν να επηρεάσουν την προκαταρκτική απόφαση ή την αποτίμηση 3 και, αφετέρου, εκείνων που δεν ενέπιπταν στο εν λόγω πεδίο εφαρμογής καθόσον αφορούσαν άλλες πτυχές της εξυγίανσης της Banco Popular.
20 Κάθε παρατήρηση που ενέπιπτε στο πεδίο εφαρμογής της διαδικασίας κατατασσόταν, εν συνεχεία, σε μία από τις δεκαπέντε θεματικές κατηγορίες που είχε προκαθορίσει το ΕΣΕ. Ανάλογα με τη θεματική κατηγορία στην οποία ενέπιπταν, οι παρατηρήσεις διαχωρίστηκαν, αφενός σε παρατηρήσεις που έπρεπε να εξεταστούν από το ΕΣΕ, καθόσον αφορούσαν την προκαταρκτική απόφαση, και, αφετέρου, σε παρατηρήσεις που έπρεπε να εξεταστούν από την Deloitte, καθόσον αφορούσαν την αποτίμηση 3. Μεταξύ των προς εξέταση παρατηρήσεων το ΕΣΕ δεν διέκρινε εκείνες που υποβλήθηκαν μία μόνο φορά από εκείνες αποτελούσαν διπλή εγγραφή.
21 Κατά το πέρας της φάσης της ανάλυσης, το ΕΣΕ κατέγραψε 3 730 παρατηρήσεις ταξινομημένες ανάλογα με την κρισιμότητά τους και το αντικείμενό τους.
22 Σε ένα τρίτο στάδιο, τη φάση της εξέτασης, το ΕΣΕ εξέτασε τις σχετικές με την προκαταρκτική απόφαση παρατηρήσεις και, στις 17 Ιουνίου 2019, διαβίβασε στην Deloitte μέσω ενός αποκλειστικού για το ΕΣΕ ασφαλή εικονικού διακομιστή δεδομένων, 1 104 παρατηρήσεις σχετικές με την αποτίμηση 3. Το ΕΣΕ μεταφόρτωσε στον εικονικό διακομιστή τα προς κοινοποίηση στην Deloitte αρχεία και παρέσχε πρόσβαση σε περιορισμένο και ελεγχόμενο αριθμό άμεσα εμπλεκομένων με το εν λόγω έργο μελών του προσωπικού της Deloitte.
23 Οι παρατηρήσεις διαβιβάστηκαν στην Deloitte φιλτραρισμένες, κατηγοριοποιημένες και συγκεντρωμένες. Οσάκις επρόκειτο για αντίγραφα προγενέστερων παρατηρήσεων, διαβιβάστηκε στην Deloitte μία μόνον παρατήρηση, με αποτέλεσμα οι επαναλαμβανόμενες παρατηρήσεις στο πλαίσιο της ίδιας θεματικής κατηγορίας να μην είναι διακριτές και η Deloitte να μην μπορεί να γνωρίζει αν μια παρατήρηση είχε διατυπωθεί από έναν ή περισσότερους συμμετέχοντες στη διαδικασία.
24 Στην Deloitte διαβιβάστηκαν μόνον οι παρατηρήσεις που είχαν ληφθεί κατά τη φάση της διαβούλευσης και έφεραν αλφαριθμητικό κωδικό. Το ΕΣΕ ήταν το μόνο που μπορούσε να συσχετίσει, μέσω του εν λόγω κωδικού, τις παρατηρήσεις με τα δεδομένα που έλαβε κατά τη φάση της εγγραφής. Ο αλφαριθμητικός κωδικός δημιουργήθηκε για λόγους ελέγχου, προκειμένου να καταστεί δυνατή η επαλήθευση και, ενδεχομένως, η εκ των υστέρων απόδειξη ότι κάθε παρατήρηση είχε υποβληθεί σε επεξεργασία και είχε ληφθεί δεόντως υπόψη. Η Deloitte δεν είχε και εξακολουθεί να μην έχει πρόσβαση στη βάση των δεδομένων που συνελέγησαν κατά τη φάση της εγγραφής.
Επί της διαδικασίας ενώπιον του ΕΕΠΔ
25 Στις 19, 26 και 28 Οκτωβρίου καθώς και στις 5 Δεκεμβρίου 2019, θιγόμενοι μέτοχοι και πιστωτές που απάντησαν στο έντυπο υπέβαλαν στον ΕΕΠΔ πέντε καταγγελίες (υποθέσεις 2019-947, 2019-998, 2019-999, 2019-1000 και 2019-1122) (στο εξής: πέντε καταγγελίες) βάσει του κανονισμού (ΕΕ) 2018/1725 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Οκτωβρίου 2018, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα από τα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης και την ελεύθερη κυκλοφορία των δεδομένων αυτών, και για την κατάργηση του κανονισμού (ΕΚ) αριθ. 45/2001 και της απόφασης αριθ. 1247/2002/ΕΚ (ΕΕ 2018, L 295, σ. 39).
26 Οι πέντε καταγγέλλοντες (στο εξής: καταγγέλλοντες) επικαλέστηκαν το γεγονός ότι το ΕΣΕ δεν τους είχε ενημερώσει ότι τα δεδομένα που συνελέγησαν μέσω των απαντήσεων στο έντυπο θα διαβιβάζονταν σε τρίτους, και συγκεκριμένα, στην Deloitte και την Banco Santander, κατά παράβαση των όρων της δήλωσης εμπιστευτικότητας. Υποστήριξαν ότι το ΕΣΕ παραβίασε κατ’ αυτόν τον τρόπο το άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725, κατά το οποίο, «[ό]ταν δεδομένα προσωπικού χαρακτήρα που αφορούν υποκείμενο δεδομένων συλλέγονται από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων […] τις πληροφορίες [που αφορούν] τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα, εάν υπάρχουν».
27 Στις 12 Δεκεμβρίου 2019, ο ΕΕΠΔ ενημέρωσε το ΕΣΕ ότι είχε λάβει τις πέντε καταγγελίες και του ζήτησε να υποβάλει παρατηρήσεις.
28 Στις 24 Ιουνίου 2020, μετά την περάτωση διαδικασίας κατά την οποία το ΕΣΕ παρέσχε ορισμένες διευκρινίσεις κατόπιν αιτήματος του ΕΕΠΔ και οι καταγγέλλοντες υπέβαλαν παρατηρήσεις, ο ΕΕΠΔ εξέδωσε την αρχική απόφαση. Έκρινε ότι το ΕΣΕ παρέβη το άρθρο 15 του κανονισμού 2018/1725, καθόσον δεν ενημέρωσε, με τη δήλωση εμπιστευτικότητας, τους καταγγέλλοντες σχετικά με το ενδεχόμενο να κοινοποιηθούν τα δεδομένα τους προσωπικού χαρακτήρα στην Deloitte. Κατά συνέπεια, απηύθυνε στο ΕΣΕ επίπληξη για την παράβαση αυτή δυνάμει του άρθρου 58, παράγραφος 2, στοιχείο βʹ, του κανονισμού 2018/1725.
29 Στις 22 Ιουλίου 2020, το ΕΣΕ ζήτησε από τον ΕΕΠΔ να επανεξετάσει την αρχική απόφαση δυνάμει του άρθρου 18, παράγραφος 1, της απόφασης του ΕΕΠΔ, της 15ης Μαΐου 2020, για την έκδοση του εσωτερικού κανονισμού του ΕΕΠΔ (ΕΕ 2020, L 204, σ. 49). Παρέσχε, ειδικότερα, λεπτομερή περιγραφή της σχετικής με το δικαίωμα ακρόασης διαδικασίας καθώς και της ανάλυσης των παρατηρήσεων που υπέβαλαν τέσσερις από τους ταυτοποιηθέντες καταγγέλλοντες κατά τη φάση της διαβούλευσης. Υποστήριξε ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte δεν αποτελούσαν δεδομένα προσωπικού χαρακτήρα κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
30 Στις 5 Αυγούστου 2020, ο ΕΕΠΔ ενημέρωσε το ΕΣΕ ότι, υπό το πρίσμα των νέων στοιχείων που παρασχέθηκαν, αποφάσισε να επανεξετάσει την αρχική απόφαση και ότι θα εξέδιδε απόφαση προς αντικατάστασή της.
31 Στις 24 Νοεμβρίου 2020, μετά το πέρας της διαδικασίας επανεξέτασης, κατά τη διάρκεια της οποίας οι καταγγέλλοντες υπέβαλαν παρατηρήσεις και το ΕΣΕ παρέσχε συμπληρωματικές πληροφορίες κατόπιν αιτήματος του ΕΕΠΔ, ο τελευταίος εξέδωσε την αναθεωρημένη απόφαση.
32 Ο ΕΕΠΔ αποφάσισε να αναθεωρήσει την αρχική απόφαση ως εξής:
«1. Ο ΕΕΠΔ εκτιμά ότι τα δεδομένα που κοινοποίησε το ΕΣΕ στην Deloitte είχαν ψευδωνυμοποιηθεί τόσον επειδή τα σχόλια της φάσης [διαβούλευσης] αποτελούσαν δεδομένα προσωπικού χαρακτήρα όσο και επειδή το ΕΣΕ κοινοποίησε τον αλφαριθμητικό κωδικό που καθιστούσε δυνατή τη σύνδεση των απαντήσεων που ελήφθησαν κατά τη φάση της [εγγραφής] με εκείνες της φάσης [διαβούλευσης], μολονότι τα δεδομένα που υπέβαλαν οι συμμετέχοντες για να ταυτοποιηθούν κατά το στάδιο [εγγραφής] δεν κοινοποιήθηκαν στην Deloitte.
2. Ο ΕΕΠΔ εκτιμά ότι η Deloitte ήταν αποδέκτης δεδομένων προσωπικού χαρακτήρα των καταγγελλόντων κατά την έννοια του άρθρου 3, σημείο 13, του κανονισμού 2018/1725. Το γεγονός ότι στη δήλωση εμπιστευτικότητας του ΕΣΕ δεν αναφέρθηκε η Deloitte ως δυνητικός αποδέκτης των δεδομένων προσωπικού χαρακτήρα που συλλέχθηκαν και υποβλήθηκαν σε επεξεργασία από το ΕΣΕ, υπό την ιδιότητά του ως υπεύθυνου επεξεργασίας στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας, συνιστά παράβαση της υποχρέωσης ενημέρωσης που προβλέπεται στο άρθρο 15, παράγραφος 1, στοιχείο δʹ, [του κανονισμού 2018/1725].
3. Λαμβάνοντας υπόψη όλα τα τεχνικά και οργανωτικά μέτρα που έχει θέσει σε εφαρμογή το ΕΣΕ για τον μετριασμό των κινδύνων για το δικαίωμα των φυσικών προσώπων στην προστασία των δεδομένων στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας, ο ΕΕΠΔ αποφασίζει να μην ασκήσει τις διορθωτικές εξουσίες που προβλέπονται στο άρθρο 58, παράγραφος 2, [του κανονισμού 2018/1725].
4. Ωστόσο, ο ΕΕΠΔ συνιστά στο ΕΣΕ να διασφαλίσει ότι οι δηλώσεις του περί εμπιστευτικότητας σε μελλοντικές διαδικασίες σχετικά με το δικαίωμα ακρόασης καλύπτουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα τόσο κατά τη φάση της εγγραφής όσο και κατά τη φάση της διαβούλευσης και ότι περιλαμβάνουν όλους τους δυνητικούς αποδέκτες των πληροφοριών που συλλέγονται, προκειμένου να τηρηθεί πλήρως η υποχρέωση ενημέρωσης των υποκειμένων των δεδομένων σύμφωνα με το άρθρο 15 [του κανονισμού 2018/1725].»
Αιτήματα των διαδίκων
33 Το ΕΣΕ, κατόπιν προσαρμογής των αιτημάτων του, ζητεί από το Γενικό Δικαστήριο:
– να ακυρώσει την αναθεωρημένη απόφαση·
– να διαπιστώσει τον παράνομο χαρακτήρα της αρχικής απόφασης·
– να καταδικάσει τον ΕΕΠΔ στα δικαστικά έξοδα.
34 Ο ΕΕΠΔ ζητεί από το Γενικό Δικαστήριο:
– να απορρίψει την προσφυγή·
– να καταδικάσει το ΕΣΕ στα δικαστικά έξοδα.
Σκεπτικό
Επί του δευτέρου αιτήματος, με το οποίο ζητείται από το Γενικό Δικαστήριο να «διαπιστώσει τον παράνομο χαρακτήρα της αρχικής απόφασης»
35 Εν προκειμένω, οι διάδικοι δεν αμφισβητούν ότι η αναθεωρημένη απόφαση κατήργησε και αντικατέστησε την αρχική απόφαση.
36 Ο ΕΕΠΔ υποστηρίζει ότι το αίτημα που αφορά την αρχική απόφαση είναι, ως εκ τούτου, απαράδεκτο.
37 Το ΕΣΕ υποστηρίζει ότι εξακολουθεί να έχει συμφέρον στη διαπίστωση των διαδικαστικών παρατυπιών που οδήγησαν στην έκδοση της αρχικής απόφασης και συγκεκριμένα, στη διαπίστωση της προσβολής των δικαιωμάτων του άμυνας και της προσβολής του δικαιώματός του πρόσβασης στον φάκελο, προκειμένου να μην επαναληφθούν σε μελλοντικές διαδικασίες. Απαντώντας σε μέτρο οργανώσεως της διαδικασίας, διευκρίνισε ότι, με το δεύτερο αίτημά του, δεν ζητούσε την ακύρωση της αρχικής απόφασης, δεδομένου ότι η τελευταία καταργήθηκε και αντικαταστάθηκε από την αναθεωρημένη απόφαση με ισχύ ex tunc, αλλά τη διαπίστωση του παράνομου χαρακτήρα της.
38 Πρέπει, επομένως, να γίνει δεκτό ότι, με το δεύτερο αίτημά του, το ΕΣΕ ζητεί την έκδοση αναγνωριστικής απόφασης και όχι την ακύρωση πράξεως.
39 Αρκεί όμως να υπομνησθεί ότι, όπως προκύπτει από πάγια νομολογία, το Γενικό Δικαστήριο δεν έχει την αρμοδιότητα να εκδίδει αναγνωριστικές αποφάσεις στο πλαίσιο του ελέγχου νομιμότητας που ασκεί κατά το άρθρο 263 ΣΛΕΕ (βλ. αποφάσεις της 4ης Φεβρουαρίου 2009, Omya κατά Επιτροπής, T‑145/06, EU:T:2009:27, σκέψη 23 και εκεί μνημονευόμενη νομολογία, και της 13ης Σεπτεμβρίου 2018, DenizBank κατά Συμβουλίου, T‑798/14, EU:T:2018:546, σκέψη 135 και εκεί μνημονευόμενη νομολογία).
40 Επομένως, το δεύτερο αίτημα του ΕΣΕ, με το οποίο ζητείται από το Γενικό Δικαστήριο να «διαπιστώσει τον παράνομο χαρακτήρα της αρχικής απόφασης», πρέπει να απορριφθεί λόγω αναρμοδιότητας του Γενικού Δικαστηρίου.
Επί του παραδεκτού του πρώτου αιτήματος, με το οποίο ζητείται η ακύρωση της αναθεωρημένης αποφάσεως
41 Το παραδεκτό της προσφυγής αποτελεί λόγο απαραδέκτου δημοσίας τάξεως τον οποίο ο δικαστής της Ένωσης μπορεί ανά πάσα στιγμή να εξετάσει αυτεπαγγέλτως (βλ. απόφαση της 16ης Μαρτίου 2022, MEKH και FGSZ κατά ACER, T‑684/19 και T‑704/19, EU:T:2022:138, σκέψη 29 και εκεί μνημονευόμενη νομολογία· πρβλ., επίσης, απόφαση της 24ης Μαρτίου 1993, CIRFS κ.λπ. κατά Επιτροπής, C‑313/90, EU:C:1993:111, σκέψη 23). Στο πλαίσιο μέτρου οργάνωσης της διαδικασίας, το Γενικό Δικαστήριο έθεσε στους διαδίκους, μεταξύ άλλων, το ερώτημα εάν η αναθεωρημένη απόφαση συνιστούσε πράξη δεκτική προσφυγής δυνάμει του άρθρου 263 ΣΛΕΕ.
42 Απαντώντας στο ερώτημα αυτό, ο ΕΕΠΔ αναφέρει ότι το γεγονός ότι η αναθεωρημένη απόφαση περιέχει την τελική του θέση και τη διαπίστωση παραβάσεως δεν αρκεί για να την καταστήσει πράξη δεκτική προσφυγής. Θα έπρεπε η εν λόγω θέση να επιφέρει μεταβολή της νομικής κατάστασης του ΕΣΕ. Δεδομένου ότι ο ΕΕΠΔ δεν άσκησε, με την αναθεωρημένη απόφαση, τις προβλεπόμενες στο άρθρο 58 του κανονισμού 2018/1725 διορθωτικές εξουσίες, θα μπορούσε να θεωρηθεί ότι η απόφαση αυτή δεν παράγει έννομα αποτελέσματα για τους σκοπούς του δικαιοδοτικού ελέγχου δυνάμει του άρθρου 263 ΣΛΕΕ.
43 Απαντώντας στο ίδιο ερώτημα, το ΕΣΕ υποστήριξε ότι η αναθεωρημένη απόφαση παράγει έννομα αποτελέσματα δυνάμενα να θίξουν τα συμφέροντά του.
44 Από τη νομολογία προκύπτει ότι, δυνάμει του άρθρου 263, τέταρτο εδάφιο, ΣΛΕΕ, ένα φυσικό ή νομικό πρόσωπο μπορεί να προσβάλει μόνον τις πράξεις που παράγουν έναντί του δεσμευτικά έννομα αποτελέσματα, τα οποία είναι ικανά να θίξουν τα συμφέροντά του, μεταβάλλοντας ουσιωδώς τη νομική του κατάσταση. Στο πλαίσιο αυτό, αποτελούν, κατ’ αρχήν, πράξεις δυνάμενες να προσβληθούν τα μέτρα με τα οποία καθορίζεται οριστικώς η θέση ενός θεσμικού ή άλλου οργάνου ή οργανισμού της Ένωσης κατά το πέρας διοικητικής διαδικασίας και τα οποία παράγουν δεσμευτικά έννομα αποτελέσματα ικανά να θίξουν τα συμφέροντα του προσφεύγοντος, όχι όμως και τα ενδιάμεσα μέτρα που κατατείνουν στην προετοιμασία της τελικής απόφασης χωρίς να παράγουν τέτοια αποτελέσματα (βλ. αποφάσεις της 25ης Ιουνίου 2020, CSUE κατά KF, C‑14/19 P, EU:C:2020:492, σκέψεις 69 και 70 και εκεί μνημονευόμενη νομολογία, και της 6ης Μαΐου 2021, ABLV Bank κ.λπ. κατά ΕΚΤ, C‑551/19 P και C‑552/19 P, EU:C:2021:369, σκέψη 39 και εκεί μνημονευόμενη νομολογία).
45 Για να διαπιστωθεί αν η προσβαλλόμενη πράξη παράγει τέτοια αποτελέσματα, πρέπει να εξετάζεται η ουσία της και να εκτιμώνται τα αποτελέσματα αυτά με γνώμονα αντικειμενικά κριτήρια, όπως το περιεχόμενο της ίδιας της πράξης, λαμβανομένων ενδεχομένως υπόψη του πλαισίου εντός του οποίου εκδόθηκε και των εξουσιών του θεσμικού ή άλλου οργάνου ή οργανισμού της Ένωσης που την εξέδωσε (βλ. αποφάσεις της 22ας Απριλίου 2021, thyssenkrupp Electrical Steel και thyssenkrupp Electrical Steel Ugo κατά Επιτροπής, C‑572/18 P, EU:C:2021:317, σκέψη 48 και εκεί μνημονεύομενη νομολογία, της 6ης Μαΐου 2021, ABLV Bank κ.λπ. κατά ΕΚΤ, C‑551/19 P και C‑552/19 P, EU:C:2021:369, σκέψη 41 και εκεί μνημονευόμενη νομολογία, και της 6ης Οκτωβρίου 2021, Tognoli κ.λπ. κατά Κοινοβουλίου, C‑431/20 P, EU:C:2021:807, σκέψη 34 και εκεί μνημονευόμενη νομολογία).
46 Πρώτον, υπενθυμίζεται ότι ο ΕΕΠΔ εξέδωσε την αναθεωρημένη απόφαση κατόπιν αίτησης του ΕΣΕ για αναθεώρηση της αρχικής απόφασης. Η αναθεωρημένη απόφαση, η οποία εκδόθηκε στο πλαίσιο κατ’ αντιμωλία διοικητικής διαδικασίας, καταργεί και αντικαθιστά την αρχική απόφαση και καθορίζει οριστικώς τη θέση του ΕΕΠΔ όσον αφορά τις πέντε καταγγελίες.
47 Το άρθρο 64, παράγραφος 2, του κανονισμού 2018/1725, σχετικά με το δικαίωμα πραγματικής δικαστικής προσφυγής, προβλέπει ότι οι αποφάσεις του ΕΕΠΔ μπορούν να προσβληθούν με προσφυγή ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης.
48 Ειδικότερα, το άρθρο 18 του εσωτερικού κανονισμού του ΕΕΠΔ, βάσει του οποίου εκδόθηκε η αναθεωρημένη απόφαση, ορίζει, μεταξύ άλλων, στην παράγραφο 3:
«Όταν, κατόπιν αιτήματος επανεξέτασης της απόφασής του, ο ΕΕΠΔ εκδώσει νέα, αναθεωρημένη απόφαση, ενημερώνει τον καταγγέλλοντα και το ενδιαφερόμενο όργανο ότι μπορούν να προσβάλουν την εν λόγω νέα απόφαση ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης σύμφωνα με το άρθρο 263 [ΣΛΕΕ].»
49 Συναφώς, στη συνοδευτική επιστολή της αναθεωρημένης απόφασης που απεστάλη στο ΕΣΕ, επισημαίνονται τα εξής:
«Επισημαίνεται ότι η παρούσα απόφαση ακυρώνει και αντικαθιστά την απόφαση της 24ης Ιουνίου 2020. Μπορείτε να ασκήσετε προσφυγή ακύρωσης κατά της παρούσας απόφασης ενώπιον του Δικαστηρίου της Ευρωπαϊκής Ένωσης εντός δύο μηνών από την έκδοσή της, σύμφωνα με το άρθρο 263 [ΣΛΕΕ].»
50 Δεύτερον, όσον αφορά την ουσία της αναθεωρημένης απόφασης, υπενθυμίζεται ότι ο ΕΕΠΔ, αφενός, διαπίστωσε ότι το ΕΣΕ παρέβη την προβλεπόμενη στο άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725 υποχρέωση ενημέρωσης και, αφετέρου, του συνέστησε, κατ’ ουσίαν, να διασφαλίσει ότι δεν θα επαναλάβει μια τέτοια παράβαση σε μελλοντικές δηλώσεις εμπιστευτικότητας.
51 Αφενός, επισημαίνεται ότι, κατ’ εφαρμογήν του άρθρου 65 του κανονισμού 2018/1725, μια τέτοια παράβαση μπορεί να στοιχειοθετήσει ευθύνη του ΕΣΕ, ως υπεύθυνου επεξεργασίας των οικείων δεδομένων, υπό την επιφύλαξη της τήρησης των λοιπών προϋποθέσεων που προβλέπουν οι Συνθήκες.
52 Αφετέρου, κατ’ εφαρμογήν του άρθρου 66, παράγραφος 1, του κανονισμού 2018/1725, κατά τη λήψη της απόφασης σχετικά με την επιβολή διοικητικού προστίμου σε θεσμικό όργανο ή οργανισμό της Ένωσης καθώς και σχετικά με το ύψος του προστίμου, ο ΕΕΠΔ λαμβάνει υπόψη, μεταξύ άλλων, τυχόν παρόμοιες προηγούμενες παραβάσεις του εν λόγω οργάνου ή οργανισμού. Ως εκ τούτου, σε περίπτωση που το ΕΣΕ δεν ακολουθήσει τη σύσταση του ΕΕΠΔ να τροποποιήσει στο μέλλον τις δηλώσεις εμπιστευτικότητας στις σχετικές με το δικαίωμα ακρόασης διαδικασίες, θα μπορούσε να διαπιστωθεί παρόμοια παράβαση του άρθρου 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725 από το ΕΣΕ, γεγονός που μπορεί να οδηγήσει στην επιβολή προστίμου.
53 Επομένως, η διαλαμβανόμενη στην αναθεωρημένη απόφαση διαπίστωση ότι το ΕΣΕ παρέβη το άρθρο 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725 παράγει δεσμευτικά έννομα αποτελέσματα, παρόλο που ο ΕΕΠΔ επισήμανε ότι δεν θα ασκήσει την εξουσία λήψης διορθωτικών μέτρων βάσει του άρθρου 58, παράγραφος 2, του κανονισμού 2018/1725.
54 Λαμβανομένων υπόψη των προεκτεθέντων, η αναθεωρημένη απόφαση είναι πράξη της Ένωσης ικανή να θίξει τα συμφέροντα του αποδέκτη της, καθόσον μεταβάλλει ουσιωδώς τη νομική του κατάσταση. Ως εκ τούτου, συνιστά πράξη δεκτική προσφυγής κατά την έννοια του άρθρου 263 ΣΛΕΕ.
55 Επομένως, πρέπει να γίνει δεκτό ότι το πρώτο αίτημα περί ακυρώσεως της αναθεωρημένης αποφάσεως είναι παραδεκτό.
Επί της ουσίας
56 Προς στήριξη της προσφυγής, το ΕΣΕ προβάλλει δύο λόγους ακυρώσεως. Με τον πρώτο λόγο προβάλλεται παράβαση του άρθρου 3, σημείο 1, του κανονισμού 2018/1725, καθόσον οι πληροφορίες που διαβιβάστηκαν στην Deloitte δεν αποτελούσαν δεδομένα προσωπικού χαρακτήρα. Με τον δεύτερο λόγο προβάλλεται προσβολή του δικαιώματος χρηστής διοικήσεως που κατοχυρώνεται στο άρθρο 41 του Χάρτη.
57 Με τον πρώτο λόγο ακυρώσεως, το ΕΣΕ υποστηρίζει ότι ο ΕΕΠΔ παρέβη το άρθρο 3, σημείο 1, του κανονισμού 2018/1725 καθόσον έκρινε, με την αναθεωρημένη απόφαση, ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούσαν δεδομένα προσωπικού χαρακτήρα των καταγγελλόντων.
58 Το άρθρο 3, σημείο 1, του κανονισμού 2018/1725 ορίζει ως δεδομένα προσωπικού χαρακτήρα «κάθε πληροφορία που αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο [και αναφέρει ότι] το “ταυτοποιήσιμο φυσικό πρόσωπο” είναι εκείνο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα, ιδίως μέσω αναφοράς σε αναγνωριστικό στοιχείο ταυτότητας, όπως όνομα, σε αριθμό ταυτότητας, σε δεδομένα θέσης, σε επιγραμμικό αναγνωριστικό ταυτότητας, ή σε έναν ή περισσότερους παράγοντες που προσιδιάζουν στη σωματική, φυσιολογική, γενετική, ψυχολογική, οικονομική, πολιτιστική ή κοινωνική ταυτότητα του εν λόγω φυσικού προσώπου».
59 Από τον εν λόγω ορισμό προκύπτει ότι μια πληροφορία συνιστά δεδομένο προσωπικού χαρακτήρα ιδίως εφόσον πληρούνται σωρευτικώς δύο προϋποθέσεις, και συγκεκριμένα, αφενός, όταν η πληροφορία αυτή «αφορά» φυσικό πρόσωπο και, αφετέρου, όταν το πρόσωπο αυτό να είναι «ταυτοποιημένο ή ταυτοποιήσιμο».
Επί της προβλεπόμενης στο άρθρο 3, σημείο 1, του κανονισμού 2018/1725 προϋπόθεσης σύμφωνα με την οποία οι πληροφορίες πρέπει να «αφορούν» φυσικό πρόσωπο
60 Το ΕΣΕ υποστηρίζει ότι οι παρατηρήσεις που ελήφθησαν κατά τη φάση της διαβούλευσης και κοινοποιήθηκαν στην Deloitte δεν αφορούσαν συγκεκριμένα πρόσωπα κατά την έννοια του άρθρου 3, παράγραφος 1, του κανονισμού 2018/1725. Θεωρεί ότι η συλλογιστική που ακολουθήθηκε στην απόφαση της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994), δεν έχει εφαρμογή στις παρατηρήσεις των καταγγελλόντων. Υποστηρίζει ότι οι πληροφορίες που περιέχονται στις παρατηρήσεις των καταγγελλόντων ήταν πραγματικές και νομικές πληροφορίες ανεξάρτητες από τα πρόσωπα ή από τις προσωπικές τους ιδιότητες και δεν σχετίζονταν με τον ιδιωτικό τους βίο. Θεωρεί ότι σκοπός της σχετικής με το δικαίωμα ακροάσεως διαδικασίας ήταν η αξιολόγηση των σχετικών με την προκαταρκτική απόφαση και την αποτίμηση 3 πραγματικών και νομικών επιχειρημάτων ενός μεγάλου αριθμού ενδιαφερομένων, των οποίων η προσωπικότητα και η ταυτότητα ήταν άνευ σημασίας για την αξιολόγηση των παρατηρήσεών τους.
61 Ο ΕΕΠΔ υποστηρίζει ότι το περιεχόμενο των παρατηρήσεων των θιγόμενων μετόχων και πιστωτών αποτελεί πληροφορία «που τους αφορά», δεδομένου ότι οι απαντήσεις τους περιείχαν και αντανακλούσαν την προσωπική τους άποψη, ακόμη και αν βασίζονταν σε πληροφορίες οι οποίες ήταν διαθέσιμες στο κοινό. Οι απαντήσεις που υποβλήθηκαν στο έντυπο από τους καταγγέλλοντες και τους λοιπούς συμμετέχοντες αποτελούν δεδομένα προσωπικού χαρακτήρα, ανεξαρτήτως του αν πρόκειται για την έκφραση πρωτότυπης άποψης ή άποψης την οποία συμμερίζονται και άλλοι και ανεξαρτήτως του εάν το ΕΣΕ τις θεωρεί πληροφορίες μη συναφείς με τα ειδικά δικαιώματα των θιγόμενων μετόχων και των πιστωτών όσον αφορά τον σεβασμό της ιδιωτικής ζωής.
62 Ο ΕΕΠΔ θεωρεί επίσης ότι οι παρατηρήσεις αποτελούν δεδομένα προσωπικού χαρακτήρα λόγω του αποτελέσματός τους. Η αξιολόγηση των εν λόγω παρατηρήσεων, με σκοπό την εξακρίβωση της εγκυρότητας της αποτίμησης 3 και της νομιμότητας της προκαταρκτικής απόφασης, θα μπορούσε να επηρεάσει τα συμφέροντα και τα δικαιώματα των συμμετεχόντων σε σχέση με τη χρηματική αποζημίωση. Τέλος, υποστηρίζει ότι σκοπός της συλλογής παρατηρήσεων ήταν η παροχή διαδικαστικών δικαιωμάτων σε κάθε συμμετέχοντα, προκειμένου να συγκεντρωθούν οι επιμέρους απόψεις.
63 Ο ΕΕΠΔ ανέφερε στην αναθεωρημένη απόφαση ότι οι απαντήσεις που ελήφθησαν κατά τη φάση της διαβούλευσης αποτελούν δεδομένα προσωπικού χαρακτήρα των καταγγελλόντων, στο μέτρο που περιείχαν τις προσωπικές τους απόψεις και, ως εκ τούτου, αποτελούν πληροφορίες που τους αφορούν, ακόμα και εάν οι καταγγέλλοντες εξέφρασαν την άποψή τους βασιζόμενοι σε δημόσια διαθέσιμες πληροφορίες. Έκρινε ότι το γεγονός ότι οι καταγγέλλοντες εξέφρασαν απόψεις παρόμοιες με εκείνες άλλων συμμετεχόντων, αλλά όχι πανομοιότυπες, δεν συνεπάγεται ότι οι απαντήσεις τους δεν αντανακλούσαν τη δική τους άποψη. Ως εκ τούτου, ο ΕΕΠΔ έκρινε ότι όλες οι απαντήσεις που υπέβαλαν στα πεδία ελεύθερου κειμένου οι καταγγέλλοντες και οι λοιποί συμμετέχοντες πρέπει να θεωρηθούν δεδομένα προσωπικού χαρακτήρα, είτε εκφράζουν πρωτότυπη και μοναδική άποψη είτε άποψη που συμμερίζονται περισσότεροι είτε άποψη που αντλήθηκε από ή στηρίχθηκε σε πληροφορίες προσιτές στο κοινό. Προσέθεσε ότι το συμπέρασμα αυτό δεν αντικρούεται από την απόφαση της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994), όπου το Δικαστήριο δεν διέκρινε μεταξύ των απαντήσεων που συνέταξαν εξ ολοκλήρου οι ερωτηθέντες και των απαντήσεων που αντλήθηκαν από άλλες πηγές γνώσης.
64 Πρέπει να εξεταστεί αν ο ΕΕΠΔ ορθώς εκτίμησε ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte «αφορούσαν» φυσικό πρόσωπο κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
65 Προκαταρκτικώς, διαπιστώνεται ότι, με την αναθεωρημένη απόφαση, ο ΕΕΠΔ χαρακτήρισε ως δεδομένα προσωπικού χαρακτήρα το σύνολο των παρατηρήσεων που διατύπωσαν οι θιγόμενοι μέτοχοι και πιστωτές στο πλαίσιο της φάσης διαβούλευσης χωρίς να περιορίσει την εκτίμησή του στις πληροφορίες που διαβιβάστηκαν στην Deloitte.
66 Στο μέτρο, όμως, που η διαπιστωθείσα με την αναθεωρημένη απόφαση παράβαση του άρθρου 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725 αφορούσε αποκλειστικώς το γεγονός ότι το ΕΣΕ δεν ανέφερε στη δήλωση εμπιστευτικότητας ότι η Deloitte ήταν δυνητικός αποδέκτης ορισμένων δεδομένων, πρέπει να εξεταστεί μόνον αν οι πληροφορίες που διαβιβάστηκαν στην Deloitte ήταν δεδομένα προσωπικού χαρακτήρα κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
67 Συναφώς, το άρθρο 3, σημείο 13, του κανονισμού 2018/1725 ορίζει ότι ως «αποδέκτης» νοείται «το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας, προς τα οποία κοινολογούνται τα δεδομένα προσωπικού χαρακτήρα, είτε πρόκειται για τρίτον είτε όχι».
68 Σύμφωνα με τη νομολογία, η χρησιμοποίηση της εκφράσεως «κάθε πληροφορία» στο πλαίσιο του ορισμού των «δεδομένων προσωπικού χαρακτήρα», που περιλαμβάνεται στο άρθρο 3, σημείο 1, του κανονισμού 2018/1725, αποτελεί ένδειξη του σκοπού του νομοθέτη της Ένωσης να προσδώσει ευρεία έννοια στον όρο αυτόν, η οποία δεν περιορίζεται στις ευαίσθητες ή προσωπικού χαρακτήρα πληροφορίες, αλλά μπορεί να καλύπτει ενδεχομένως κάθε είδος πληροφοριών, τόσο αντικειμενικών όσο και υποκειμενικών, με τη μορφή γνώμης ή εκτιμήσεως, υπό την προϋπόθεση ότι οι πληροφορίες «αφορούν» το ενδιαφερόμενο άτομο (βλ., κατ’ αναλογίαν, απόφαση της 20ής Δεκεμβρίου 2017, Nowak, C‑434/16, EU:C:2017:994, σκέψη 34).
69 Το Δικαστήριο έχει κρίνει ότι η τελευταία αυτή προϋπόθεση πληρούται όταν, λόγω του περιεχομένου της, του σκοπού της ή του αποτελέσματός της, η πληροφορία συνδέεται με συγκεκριμένο πρόσωπο (απόφαση της 20ής Δεκεμβρίου 2017, Nowak, C‑434/16, EU:C:2017:994, σκέψη 35).
70 Στην αναθεωρημένη όμως απόφαση ο ΕΕΠΔ δεν εξέτασε ούτε το περιεχόμενο ούτε τον σκοπό ούτε το αποτέλεσμα των πληροφοριών που διαβιβάστηκαν στην Deloitte.
71 Συγκεκριμένα, περιορίστηκε στην αναφορά ότι οι παρατηρήσεις που υπέβαλαν οι καταγγέλλοντες κατά τη φάση της διαβούλευσης αντανακλούσαν τις γνώμες ή τις απόψεις τους και, επ’ αυτής και μόνον της βάσης, κατέληξε στο συμπέρασμα ότι αποτελούσαν πληροφορίες που τους αφορούσαν, όπερ ήταν αρκετό ώστε να χαρακτηριστούν ως δεδομένα προσωπικού χαρακτήρα.
72 Κατά την επ’ ακροατηρίου συζήτηση, ο ΕΕΠΔ επιβεβαίωσε ότι, κατά την άποψή του, κάθε προσωπική γνώμη συνιστά δεδομένο προσωπικού χαρακτήρα. Παραδέχθηκε επίσης ότι δεν εξέτασε το περιεχόμενο των παρατηρήσεων που υπέβαλαν οι καταγγέλλοντες κατά τη φάση της διαβούλευσης.
73 Βεβαίως, δεν μπορεί να αποκλειστεί το ενδεχόμενο οι προσωπικές απόψεις ή γνώμες να συνιστούν δεδομένα προσωπικού χαρακτήρα. Εντούτοις, από τις σκέψεις 34 και 35 της αποφάσεως της 20ής Δεκεμβρίου 2017, Nowak (C‑434/16, EU:C:2017:994), οι οποίες μνημονεύονται στις σκέψεις 68 και 69 ανωτέρω, προκύπτει ότι ένα τέτοιο συμπέρασμα δεν μπορεί να βασίζεται σε τεκμήριο όπως αυτό που περιγράφεται στις σκέψεις 71 και 72 ανωτέρω, αλλά πρέπει να βασίζεται στην εξέταση του κατά πόσον μια άποψη συνδέεται με συγκεκριμένο πρόσωπο λόγω του περιεχομένου, του σκοπού ή του αποτελέσματός της.
74 Επομένως, δεδομένου ότι δεν προέβη σε τέτοια εξέταση, ο ΕΕΠΔ δεν μπορούσε να καταλήξει στο συμπέρασμα ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούσαν πληροφορίες που «αφορούν» φυσικό πρόσωπο κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
75 Το Γενικό Δικαστήριο θα εξετάσει στη συνέχεια την εκτίμηση του ΕΕΠΔ σχετικά με το κατά πόσον οι πληροφορίες που διαβιβάστηκαν στην Deloitte αφορούσαν «ταυτοποιημένο ή ταυτοποιήσιμο» φυσικό πρόσωπο.
Επί της προβλεπόμενης στο άρθρο 3, σημείο 1, του κανονισμού 2018/1725 προϋποθέσης, σύμφωνα με την οποία η πληροφορία πρέπει να αφορά «ταυτοποιημένο ή ταυτοποιήσιμο» φυσικό πρόσωπο
76 Το ΕΣΕ υποστηρίζει ότι, αντιθέτως προς την εκτίμηση του ΕΕΠΔ, η κοινοποίηση του αλφαριθμητικού κωδικού στην Deloitte δεν οδήγησε στην «ψευδωνυμοποίηση» των δεδομένων. Εφόσον το ΕΣΕ δεν κοινοποίησε στην Deloitte τις πληροφορίες που θα επέτρεπαν την επαναταυτοποίηση των συντακτών των παρατηρήσεων, τα εν λόγω δεδομένα παρέμειναν ανώνυμα.
77 Το ΕΣΕ υποστηρίζει ότι τα δεδομένα καθίστανται ανώνυμα για τρίτον, ακόμη και αν η πληροφορία που καθιστά δυνατή την επαναταυτοποίηση δεν εξαλείφεται αμετάκλητα αλλά διατηρείται από τον αρχικό εκτελούντα την επεξεργασία, δεδομένου ότι ο μορφότυπος υπό τον οποίο τα δεδομένα διαβιβάζονται στον εν λόγω τρίτο δεν επιτρέπει πλέον την ταυτοποίηση του υποβάλλοντος τις παρατηρήσεις ή δεν την καθιστά ευλόγως πιθανή. Το ΕΣΕ ισχυρίζεται ότι, αντιθέτως προς την εκτίμηση που διατύπωσε ο ΕΕΠΔ στην αναθεωρημένη απόφαση, ο κανονισμός 2018/1725 και η νομολογία του Δικαστηρίου επιβάλλουν αξιολόγηση του κινδύνου επαναταυτοποίησης.
78 Ειδικότερα, το ΕΣΕ υποστηρίζει ότι, εν προκειμένω, δεν πληρούνται οι προϋποθέσεις που έχει θέσει η νομολογία του Δικαστηρίου σχετικά με τον κίνδυνο επαναταυτοποίησης στην περίπτωση που όλες οι πληροφορίες βάσει των οποίων θα μπορούσε να πραγματοποιηθεί ταυτοποίηση δεν βρίσκονται στην κατοχή ενός μόνον προσώπου, αλλά περισσότερων μερών. Αφενός, ο αλφαριθμητικός κωδικός που αντιστοιχεί σε κάθε επιμέρους παρατήρηση δεν θα επαρκούσε ώστε μπορεί η Deloitte να επαναταυτοποιήσει τα πρόσωπα που υπέβαλαν παρατηρήσεις. Η βάση δεδομένων που καθιστά δυνατή την αποκωδικοποίηση, στην οποία μόνον το ΕΣΕ έχει πρόσβαση, θα συνιστούσε συμπληρωματική πληροφορία κατά την έννοια του άρθρου 3, σημείο 6, του κανονισμού 2018/1725. Αφετέρου, όσον αφορά το κριτήριο της εύλογης πιθανότητας συνδυασμού των πληροφοριών, η Deloitte δεν είχε και εξακολουθεί να μην διαθέτει κανένα νόμιμο μέσο πρόσβασης στις συμπληρωματικές πληροφορίες και στις πληροφορίες ταυτοποίησης.
79 Ο ΕΕΠΔ υποστηρίζει ότι το γεγονός ότι η Deloitte δεν είχε πρόσβαση στις παρέχουσες τη δυνατότητα επαναταυτοποίησης πληροφορίες που διέθετε το ΕΣΕ δεν συνεπάγεται ότι τα «ψευδωνυμοποιημένα» δεδομένα που διαβιβάστηκαν στην Deloitte κατέστησαν ανώνυμα. Δεν είναι αναγκαίο να προσδιοριστεί αν η Deloitte μπορούσε να επαναταυτοποιήσει τους συντάκτες των πληροφοριών που διαβιβάστηκαν σε αυτήν ή αν η εν λόγω επαναταυτοποίηση ήταν ευλόγως πιθανή. Τα δεδομένα εξακολουθούν να είναι «ψευδωνυμοποιημένα» ακόμη και όταν διαβιβάζονται σε τρίτον ο οποίος δεν διαθέτει συμπληρωματικές πληροφορίες.
80 Ο ΕΕΠΔ υποστηρίζει ότι η χρήση του όρου «έμμεσα» στο άρθρο 3, σημείο 1, του κανονισμού 2018/1725 σημαίνει ότι, προκειμένου μια πληροφορία να χαρακτηριστεί ως δεδομένο προσωπικού χαρακτήρα, δεν είναι αναγκαίο να παρέχει αφ’ εαυτής τη δυνατότητα ταυτοποίησης του υποκειμένου των δεδομένων. Επιπλέον, όσον αφορά τα μέσα που είναι ευλόγως πιθανό να χρησιμοποιηθούν τόσο από τον υπεύθυνο επεξεργασίας όσο και από οποιοδήποτε άλλο πρόσωπο, δεν απαιτείται όλες οι πληροφορίες που καθιστούν δυνατή την ταυτοποίηση του υποκειμένου των δεδομένων να βρίσκονται στη διάθεση ενός και μόνον προσώπου.
81 Ο ΕΕΠΔ έκρινε στην αναθεωρημένη απόφαση ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούσαν «ψευδωνυμοποιημένα» δεδομένα. Επισήμανε, συναφώς, ότι η διαφορά μεταξύ των «ψευδωνυμοποιημένων» δεδομένων και των ανωνύμων δεδομένων έγκειται στο γεγονός ότι, στην περίπτωση των ανωνύμων δεδομένων, δεν υπάρχουν «συμπληρωματικές πληροφορίες» δυνάμενες να χρησιμοποιηθούν προκειμένου να συσχετιστούν τα δεδομένα με συγκεκριμένο υποκείμενο, ενώ στην περίπτωση «ψευδωνυμοποιημένων» δεδομένων υπάρχουν τέτοιες συμπληρωματικές πληροφορίες. Ως εκ τούτου, προκειμένου να εκτιμηθεί αν τα δεδομένα ήταν ανώνυμα ή «ψευδωνυμοποιημένα», έπρεπε να εξεταστεί αν υπήρχαν «συμπληρωματικές πληροφορίες» που θα μπορούσαν να χρησιμοποιηθούν για τη συσχέτιση των δεδομένων με συγκεκριμένα υποκείμενα.
82 Ο ΕΕΠΔ επισήμανε ότι το ΕΣΕ είχε διαβιβάσει στην Deloitte όχι μόνον ορισμένες από τις παρατηρήσεις των θιγόμενων μετόχων και πιστωτών, αλλά και τον αντίστοιχο αλφαριθμητικό κωδικό και ότι η Deloitte δεν είχε πρόσβαση στις απαντήσεις που δόθηκαν κατά τη φάση της εγγραφής. Επισήμανε ότι, όπως είχε διευκρινίσει το ΕΣΕ, «ήταν αδύνατο για την Deloitte να εντοπίσει την ταυτότητα οποιουδήποτε μέρους χρησιμοποιεί τον εν λόγω κωδικό παραπέμποντας στα συγκεκριμένα δεδομένα που παρείχαν οι πράγματι θιγόμενοι μέτοχοι και πιστωτές κατά τη φάση εγγραφής (τα οποία διατηρούσε πάντοτε το ΕΣΕ)». Ωστόσο, ο ΕΕΠΔ έκρινε ότι τα δεδομένα που υποβλήθηκαν κατά τη φάση της εγγραφής μαζί με τον μοναδικό αναγνωριστικό κωδικό, δηλαδή τον αλφαριθμητικό κωδικό που αποδόθηκε σε κάθε επιλέξιμο συμμετέχοντα, αποτελούσαν χαρακτηριστικό παράδειγμα «συμπληρωματικών πληροφοριών» κατά την έννοια του άρθρου 3, σημείο 6, του κανονισμού 2018/1725, καθόσον μπορούσαν να χρησιμοποιηθούν από το ΕΣΕ για τη σύνδεση των δεδομένων με συγκεκριμένο υποκείμενο δεδομένων.
83 Ο ΕΕΠΔ εξήγησε ότι ο κανονισμός 2018/1725 δεν προβαίνει σε διάκριση μεταξύ των προσώπων που διατηρούν «ψευδωνυμοποιημένα» δεδομένα και εκείνων που διαθέτουν τις συμπληρωματικές πληροφορίες και ότι το γεγονός ότι πρόκειται για διαφορετικές οντότητες δεν καθιστά ανώνυμα τα «ψευδωνυμοποιημένα» δεδομένα. Προσέθεσε ότι το γεγονός ότι η Deloitte δεν ήταν σε θέση από μόνη της να συνδέσει τις παρατηρήσεις με τα δεδομένα που ελήφθησαν κατά τη φάση της εγγραφής δεν απέκλειε το ενδεχόμενο τα δεδομένα που είχε λάβει να είναι «ψευδωνυμοποιημένα». Κατά την άποψη του ΕΕΠΔ, τα δεδομένα που είχε κοινοποιήσει το ΕΣΕ στην Deloitte ήταν «ψευδωνυμοποιημένα» δεδομένα, τόσο καθόσον οι ληφθείσες κατά τη φάση της διαβούλευσης παρατηρήσεις συνιστούσαν δεδομένα προσωπικού χαρακτήρα όσο και επειδή το ΕΣΕ κοινοποίησε τον αλφαριθμητικό κωδικό που καθιστούσε δυνατή τη σύνδεση των απαντήσεων που δόθηκαν στη φάση της εγγραφής με εκείνες που δόθηκαν στη φάση της διαβούλευσης, μολονότι τα δεδομένα που παρείχαν οι συμμετέχοντες για να ταυτοποιηθούν κατά τη φάση της εγγραφής δεν κοινοποιήθηκαν στην Deloitte. Εξ αυτού συνήγαγε ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούν «ψευδωνυμοποιημένα» δεδομένα και, ως εκ τούτου, δεδομένα προσωπικού χαρακτήρα κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
84 Προκαταρκτικώς, επισημαίνεται ότι, λαμβανομένων υπόψη των μηχανισμών που έθεσε σε εφαρμογή το ΕΣΕ σχετικά με την επεξεργασία των δεδομένων που συγκεντρώθηκαν στο πλαίσιο της σχετικής με το δικαίωμα ακρόασης διαδικασίας, οι οποίοι περιγράφονται στις σκέψεις 14 έως 24 ανωτέρω, οι πληροφορίες που διαβιβάστηκαν στην Deloitte δεν αφορούσαν «ταυτοποιημένα» πρόσωπα.
85 Πρέπει, επομένως, να εξεταστεί αν ο ΕΕΠΔ ορθώς εκτίμησε ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte αφορούσαν «ταυτοποιήσιμο» φυσικό πρόσωπο κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
86 Σύμφωνα με την εν λόγω διάταξη, ως «ταυτοποιήσιμο φυσικό πρόσωπο» νοείται το φυσικό πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί, άμεσα ή έμμεσα.
87 Στην αιτιολογική σκέψη 16 του κανονισμού 2018/1725 διαλαμβάνονται τα εξής:
«[…] Τα δεδομένα προσωπικού χαρακτήρα που έχουν υποστεί ψευδωνυμοποίηση και τα οποία θα μπορούσαν να συσχετισθούν με φυσικό πρόσωπο με τη χρήση συμπληρωματικών πληροφοριών, θα πρέπει να θεωρούνται πληροφορίες σχετικά με ταυτοποιήσιμο φυσικό πρόσωπο. Για να κριθεί κατά πόσον ένα φυσικό πρόσωπο είναι ταυτοποιήσιμο, θα πρέπει να λαμβάνονται υπόψη όλα τα μέσα τα οποία είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν, όπως για παράδειγμα ο διαχωρισμός του, είτε από τον υπεύθυνο επεξεργασίας είτε από τρίτο για την άμεση ή έμμεση εξακρίβωση της ταυτότητας του φυσικού προσώπου. Για να διαπιστωθεί κατά πόσον κάποια μέσα είναι ευλόγως πιθανό ότι θα χρησιμοποιηθούν για την εξακρίβωση της ταυτότητας του φυσικού προσώπου, θα πρέπει να λαμβάνονται υπόψη όλοι οι αντικειμενικοί παράγοντες, όπως τα έξοδα και ο χρόνος που απαιτούνται για την ταυτοποίηση, λαμβανομένων υπόψη της τεχνολογίας που είναι διαθέσιμη κατά τον χρόνο της επεξεργασίας και των εξελίξεων της τεχνολογίας […]».
88 Επισημαίνεται ότι, με την απόφαση της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, EU:C:2016:779), το Δικαστήριο ερμήνευσε την έννοια των δεδομένων προσωπικού χαρακτήρα κατά το άρθρο 2, στοιχείο αʹ, της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), η οποία περιέχει διάταξη αντίστοιχη προς το άρθρο 3 σημείο 1, του κανονισμού 2018/1725.
89 Η υπόθεση αυτή έθεσε το ζήτημα κατά πόσον μια δυναμική διεύθυνση πρωτοκόλλου διαδικτύου (στο εξής: διεύθυνση IP) συνιστά δεδομένο προσωπικού χαρακτήρα ως προς τον φορέα παροχής υπηρεσιών τηλεμέσων που την είχε καταχωρίσει. Το Δικαστήριο έκρινε ότι έπρεπε να εξακριβωθεί αν η εν λόγω διεύθυνση IP μπορούσε να χαρακτηριστεί ως πληροφορία αφορώσα «φυσικό πρόσωπο του οποίου η ταυτότητα μπορεί να εξακριβωθεί», λαμβανομένου υπόψη, αφενός, του γεγονότος ότι αυτή και μόνον η πληροφορία δεν έδινε στον πάροχο τη δυνατότητα ταυτοποίησης του χρήστη που επισκέφθηκε τον ιστότοπο και, αφετέρου, του γεγονότος ότι οι αναγκαίες συμπληρωματικές πληροφορίες οι οποίες, σε συνδυασμό με τη διεύθυνση IP, θα καθιστούσαν δυνατή την ταυτοποίηση του εν λόγω χρήστη, βρίσκονταν στην κατοχή του παρόχου υπηρεσιών προσβάσεως στο διαδίκτυο.
90 Καθόσον η αιτιολογική σκέψη 16 του κανονισμού 2018/1725 κάνει λόγο για μέσα που μπορούν ευλόγως να χρησιμοποιηθούν είτε από τον υπεύθυνο της επεξεργασίας είτε από «τρίτο», το γράμμα της υπαγορεύει ότι, για να χαρακτηρισθεί ένα στοιχείο ως «δεδομένο προσωπικού χαρακτήρα», κατά την έννοια του άρθρου 3, παράγραφος 1, του κανονισμού 2018/1725, δεν απαιτείται όλες οι πληροφορίες που καθιστούν δυνατή την εξακρίβωση του εμπλεκόμενου προσώπου να βρίσκονται στη διάθεση ενός μόνον προσώπου (βλ., κατ’ αναλογίαν, απόφαση της 19ης Οκτωβρίου 2016, Breyer, C‑582/14, EU:C:2016:779, σκέψη 43).
91 Εντούτοις, το Δικαστήριο προσέθεσε ότι εκ του γεγονότος ότι οι συμπληρωματικές πληροφορίες που απαιτούνται για την ταυτοποίηση του χρήστη ιστοτόπου δεν βρίσκονται στη διάθεση του φορέα της παροχής υπηρεσιών τηλεμέσων αλλά του παρόχου υπηρεσιών προσβάσεως στο διαδίκτυο του χρήστη αυτού, δεν μπορεί να συναχθεί ότι οι δυναμικές διευθύνσεις IP που έχει αποθηκεύσει ο φορέας παροχής υπηρεσιών τηλεμέσων αποκλείεται να αποτελούν, έναντι αυτού, δεδομένα προσωπικού χαρακτήρα (απόφαση της 19ης Οκτωβρίου 2016, Breyer, C‑582/14, EU:C:2016:779, σκέψη 44).
92 Το Δικαστήριο έκρινε ότι έπρεπε, πάντως, να καθορισθεί αν η δυνατότητα συνδυασμού δυναμικής διευθύνσεως IP με τις εν λόγω συμπληρωματικές πληροφορίες που έχει στη διάθεσή του ο ως άνω πάροχος υπηρεσιών προσβάσεως στο διαδίκτυο αποτελεί μέσο που μπορεί ευλόγως να χρησιμοποιηθεί για να εξακριβωθεί η ταυτότητα του οικείου προσώπου (απόφαση της 19ης Οκτωβρίου 2016, Breyer, C‑582/14, EU:C:2016:779, σκέψη 45).
93 Το Δικαστήριο επισήμανε ότι αυτό δεν συμβαίνει αν η ταυτοποίηση του οικείου προσώπου απαγορεύεται από τον νόμο ή είναι ανέφικτη στην πράξη, παραδείγματος χάρη λόγω του ότι συνεπάγεται δυσανάλογη προσπάθεια από άποψη χρόνου, οικονομικών και ανθρώπινων πόρων, οπότε ο κίνδυνος εξακριβώσεως της ταυτότητας είναι στην πραγματικότητα αμελητέος (απόφαση της 19ης Οκτωβρίου 2016, Breyer, C‑582/14, EU:C:2016:779, σκέψη 46).
94 Εν προκειμένω, δεν αμφισβητείται, αφενός, ότι ο αλφαριθμητικός κωδικός που περιλαμβάνεται στις πληροφορίες που διαβιβάστηκαν στην Deloitte δεν καθιστούσε από μόνος του δυνατή την ταυτοποίηση των συντακτών των παρατηρήσεων και, αφετέρου, ότι η Deloitte δεν είχε πρόσβαση στα στοιχεία ταυτοποίησης που ελήφθησαν κατά τη φάση της εγγραφής και καθιστούσαν δυνατή τη συσχέτιση των συμμετεχόντων με τις παρατηρήσεις τους μέσω του αλφαριθμητικού κωδικού.
95 Ο ΕΕΠΔ ανέφερε στην αναθεωρημένη απόφαση και επιβεβαίωσε κατά την επ’ ακροατηρίου συζήτηση ότι οι συμπληρωματικές πληροφορίες που απαιτούνται για την ταυτοποίηση των συντακτών των παρατηρήσεων ήταν ο αλφαριθμητικός κωδικός και η βάση δεδομένων ταυτοποιήσεως.
96 Βεβαίως, όπως υποστηρίζει ο ΕΕΠΔ, λαμβανομένης υπόψη της σκέψης 43 της απόφασης της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, EU:C:2016:779), που μνημονεύεται στη σκέψη 90 ανωτέρω, το γεγονός ότι οι συμπληρωματικές πληροφορίες που ήταν αναγκαίες για την ταυτοποίηση των συντακτών των σχολίων που ελήφθησαν κατά τη φάση της διαβούλευσης δεν βρίσκονταν στην κατοχή της Deloitte, αλλά του ΕΣΕ, δεν φαίνεται ικανό να αποκλείσει εκ των προτέρων το ενδεχόμενο οι πληροφορίες που διαβιβάστηκαν στην Deloitte να συνιστούσαν, για το ΕΣΕ, δεδομένα προσωπικού χαρακτήρα.
97 Ωστόσο, από την απόφαση της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, EU:C:2016:779), προκύπτει επίσης ότι, προκειμένου να κριθεί αν οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούν δεδομένα προσωπικού χαρακτήρα, πρέπει να πραγματοποιηθεί εκτίμηση από τη σκοπιά της Deloitte, ώστε να προσδιοριστεί κατά πόσον οι πληροφορίες που διαβιβάστηκαν σε αυτήν αφορούν «ταυτοποιήσιμα πρόσωπα».
98 Συγκεκριμένα, υπενθυμίζεται, πρώτον, ότι η παράβαση του άρθρου 15, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2018/1725, η οποία διαπιστώθηκε από τον ΕΕΠΔ στην αναθεωρημένη απόφαση, αφορούσε την εκ μέρους του ΕΣΕ διαβίβαση ορισμένων παρατηρήσεων στην Deloitte και όχι την κατοχή απλώς των παρατηρήσεων αυτών από το ΕΣΕ.
99 Δεύτερον, αφενός, η κατάσταση της Deloitte είναι συγκρίσιμη με εκείνη του φορέα παροχής υπηρεσιών τηλεμέσων τον οποίο αφορούσε η απόφαση της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, EU:C:2016:779), δεδομένου ότι η Deloitte διέθετε πληροφορίες, ήτοι τις σχετικές με την αποτίμηση 3 παρατηρήσεις, οι οποίες δεν αποτελούσαν πληροφορίες αφορώσες «ταυτοποιημένο φυσικό πρόσωπο», στο μέτρο που ο αλφαριθμητικός κωδικός κάθε απάντησης δεν αποκάλυπτε άμεσα την ταυτότητα του συμπληρώσαντος το έντυπο φυσικού προσώπου. Αφετέρου, η κατάσταση του ΕΣΕ είναι συγκρίσιμη με εκείνη του παρόχου υπηρεσιών πρόσβασης στο διαδίκτυο στην ίδια υπόθεση, στο μέτρο που δεν αμφισβητείται ότι μόνον ο ΕΣΕ είχε στην κατοχή του τις συμπληρωματικές πληροφορίες που καθιστούσαν δυνατή την ταυτοποίηση των θιγόμενων μετόχων και πιστωτών που απάντησαν στο έντυπο, ήτοι τον αλφαριθμητικό κωδικό και τη βάση δεδομένων ταυτοποίησης.
100 Επομένως, κατ’ εφαρμογήν της σκέψεως 44 της απόφασης της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, EU:C:2016:779), η οποία μνημονεύεται στη σκέψη 91 ανωτέρω, εναπόκειται στον ΕΕΠΔ να εξετάσει αν τα σχόλια που διαβιβάστηκαν στην Deloitte συνιστούσαν, ως προς την τελευταία, δεδομένα προσωπικού χαρακτήρα.
101 Επομένως, ο ΕΕΠΔ κακώς ισχυρίστηκε ότι δεν ήταν αναγκαίο να διερευνηθεί αν η Deloitte μπορούσε να επαναταυτοποιήσει τους συντάκτες των πληροφοριών που της διαβιβάστηκαν ή αν η εν λόγω επαναταυτοποίηση ήταν ευλόγως δυνατή.
102 Επιβάλλεται η διαπίστωση ότι, στην αναθεωρημένη απόφαση, ο ΕΕΠΔ έκρινε ότι το γεγονός ότι το ΕΣΕ είχε στη διάθεσή του τις συμπληρωματικές πληροφορίες που παρείχαν τη δυνατότητα επαναταυτοποίησης των συντακτών των παρατηρήσεων αρκούσε για να συναχθεί το συμπέρασμα ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte ήταν δεδομένα προσωπικού χαρακτήρα, αναγνωρίζοντας συγχρόνως ότι τα δεδομένα ταυτοποίησης που ελήφθησαν κατά τη φάση της εγγραφής δεν είχαν κοινοποιηθεί στην Deloitte.
103 Επομένως, από την αναθεωρημένη απόφαση προκύπτει ότι ο ΕΕΠΔ περιορίστηκε στην εξέταση της δυνατότητας επαναταυτοποίησης των συντακτών των σχολίων μόνο από τη σκοπιά του ΕΣΕ και όχι από τη σκοπιά της Deloitte.
104 Πλην όμως, από τη σκέψη 45 της απόφασης της 19ης Οκτωβρίου 2016, Breyer (C‑582/14, EU:C:2016:779), η οποία μνημονεύεται στη σκέψη 92 ανωτέρω, προκύπτει ότι εναπόκειτο στον ΕΕΠΔ να διαπιστώσει αν η δυνατότητα συνδυασμού των πληροφοριών που είχαν διαβιβαστεί στην Deloitte με τις συμπληρωματικές πληροφορίες που είχε στην κατοχή του το ΕΣΕ συνιστούσε μέσο το οποίο θα μπορούσε ευλόγως να χρησιμοποιηθεί από την Deloitte για την ταυτοποίηση των συντακτών των παρατηρήσεων.
105 Ως εκ τούτου, δεδομένου ότι δεν διερεύνησε κατά πόσον η Deloitte διέθετε στην πράξη νόμιμα και πρόσφορα μέσα τα οποία της παρείχαν τη δυνατότητα να αποκτήσει πρόσβαση στις συμπληρωματικές πληροφορίες που ήταν αναγκαίες για την επαναταυτοποίηση των συντακτών των παρατηρήσεων, ο ΕΕΠΔ δεν μπορούσε να καταλήξει στο συμπέρασμα ότι οι πληροφορίες που διαβιβάστηκαν στην Deloitte συνιστούσαν πληροφορίες που αφορούσαν «ταυτοποιήσιμο φυσικό πρόσωπο» κατά την έννοια του άρθρου 3, σημείο 1, του κανονισμού 2018/1725.
106 Από το σύνολο των προεκτεθέντων προκύπτει ότι πρέπει να γίνει δεκτός ο πρώτος λόγος ακυρώσεως και, ως εκ τούτου, να ακυρωθεί η αναθεωρημένη απόφαση, παρέλκει δε η εξέταση του δεύτερου λόγου ακυρώσεως.
Επί των δικαστικών εξόδων
107 Κατά το άρθρο 134, παράγραφος 1, του Κανονισμού Διαδικασίας του Γενικού Δικαστηρίου, ο ηττηθείς διάδικος καταδικάζεται στα δικαστικά έξοδα εφόσον υπάρχει σχετικό αίτημα του νικήσαντος διαδίκου.
108 Δεδομένου ότι ο ΕΕΠΔ ηττήθηκε ως προς το κύριο μέρος των αιτημάτων του, πρέπει να καταδικαστεί στα δικαστικά έξοδα, σύμφωνα με το αίτημα του ΕΣΕ.
Για τους λόγους αυτούς,
ΤΟ ΓΕΝΙΚΟ ΔΙΚΑΣΤΗΡΙΟ (όγδοο πενταμελές τμήμα)
αποφασίζει:
1) Ακυρώνει την αναθεωρημένη απόφαση του Ευρωπαίου Επόπτη Προστασίας Δεδομένων (ΕΕΠΔ) της 24ης Νοεμβρίου 2020 η οποία εκδόθηκε κατόπιν αίτησης του Ενιαίου Συμβουλίου Εξυγίανσης (ΕΣΕ) για επανεξέταση της από 24 Ιουνίου 2020 απόφασης του ΕΕΠΔ, σχετικά με πέντε καταγγελίες που υπέβαλαν πλείονες καταγγέλλοντες (υποθέσεις 2019-947, 2019-998, 2019-999, 2019-1000 και 2019-1122).
2) Απορρίπτει κατά τα λοιπά την προσφυγή.
3) Καταδικάζει τον ΕΕΠΔ στα δικαστικά έξοδα.
Δημοσιεύθηκε σε δημόσια συνεδρίαση στο Λουξεμβούργο στις 26 Απριλίου 2023.
(υπογραφές)