РЕШЕНИЕ НА ОБЩИЯ СЪД (осми разширен състав)
26 април 2023 година(*)
„Защита на личните данни — Процедура за обезщетяване на акционерите и кредиторите след преструктурирането на банкова институция — Решение на ЕНОЗД, с което се установява нарушаване от ЕСП на неговите задължения във връзка с обработването на личните данни — Член 15, параграф 1, буква г) от Регламент (ЕС) 2018/1725 — Понятие „лични данни“ — Член 3, точка 1 от Регламент 2018/1725 — Право на достъп до преписката“
По дело T‑557/20
Единен съвет за преструктуриране (ЕСП), представляван от H. Ehlers, M. Fernández Rupérez, A. Lapresta Bienz, подпомагани от H.‑G. Kamann, M. Braun, F. Louis и L. Hesse, адвокати,
жалбоподател,
срещу
Европейски надзорен орган по защита на данните (ЕНОЗД), представляван от P. Candellier, X. Lareo и T. Zerdick,
ответник,
ОБЩИЯТ СЪД (осми разширен състав),
състоящ се от: Aл. Корнезов, председател, G. De Baere (докладчик), D. Petrlík, K. Kecsmár и S. Kingston, съдии,
секретар: I. Kurme, администратор,
предвид изложеното в писмената фаза на производството
и в съдебното заседание от 1 декември 2022 г.,
постанови настоящото
Решение
1 С жалбата си на основание член 263 ДФЕС Единният съвет за преструктуриране (ЕСП) иска, от една страна, да се отмени решението на Европейския надзорен орган по защита на данните (ЕНОЗД) от 24 ноември 2020 г., изменено, прието вследствие на подаденото от ЕСП искане за преразглеждане на решението на ЕНОЗД от 24 юни 2020 г. относно пет жалби, подадени от няколко жалбоподатели (преписки 2019‑947, 2019‑998, 2019‑999, 2019‑1000 и 2019‑1122) (наричано по-нататък „измененото решение“), и от друга страна, да се обяви за незаконосъобразно решението на ЕНОЗД от 24 юни 2020 г. (наричано по-нататък „първоначалното решение“).
Обстоятелствата по спора
2 На 7 юни 2017 г. изпълнителната сесия на ЕСП приема Решение SRB/EES/2017/08 относно схема за преструктуриране на Banco Popular Español, SA (наричано по-нататък „схемата за преструктуриране“), на основание Регламент (ЕС) № 806/2014 на Европейския парламент и на Съвета от 15 юли 2014 година за установяването на еднообразни правила и еднообразна процедура за преструктурирането на кредитни институции и някои инвестиционни посредници в рамките на Единния механизъм за преструктуриране и Единния фонд за преструктуриране и за изменение на Регламент (ЕС) № 1093/2010 (ОВ L 225, 2014 г., стр. 1).
3 Същия ден Европейската комисия приема Решение (ЕС) 2017/1246 за одобряване на схемата за преструктуриране (ОВ L 178, 2017 г., стр. 15).
4 В схемата за преструктуриране ЕСП, като приема, че предвидените в член 18, параграф 1 от Регламент № 806/2014 условия са спазени, решава да постави Banco Popular Español (наричана по-нататък „Banco Popular“) в процедура по преструктуриране. ЕСП решава да обезцени и да преобразува капиталовите инструменти на Banco Popular съгласно член 21 от Регламент № 806/2014 и да приложи инструмента за продажба на стопанска дейност по силата на член 24 от Регламент № 806/2014 посредством прехвърлянето на акциите на купувач.
5 Вследствие на преструктурирането на Banco Popular, на 14 юни 2018 г. Deloitte предава на ЕСП предвидената в член 20, параграфи 16—18 от Регламент № 806/2014 оценка за разликата в третирането, извършена с цел да се определи дали акционерите и кредиторите биха получили по-добро третиране, ако по отношение на Banco Popular беше образувано обичайно производство по несъстоятелност (наричана по-нататък „оценка 3“).
6 На 6 август 2018 г. ЕСП публикува на своята интернет страница съобщението си от 2 август 2018 г. за предварителното решение дали трябва да бъде предоставено обезщетение на акционерите и кредиторите, които са засегнати от действията по преструктуриране на Banco Popular, и стартирането на процедурата на право на изслушване (SRB/EES/2018/132) (наричано по-нататък „предварителното решение“), както и неповерителна версия на оценка 3. На 7 август 2018 г. в Официален вестник на Европейския съюз е публикувано уведомление във връзка със съобщението на ЕСП (ОВ C 277 I, 2018 г., стр. 1).
7 В предварителното решение ЕСП посочва, че за да вземе окончателно решение дали трябва да бъде предоставено на акционерите и кредиторите, засегнати от действията по преструктуриране на Banco Popular, обезщетение на основание член 76, параграф 1, буква д) от Регламент № 806/2014, той ги приканва да изразят интерес за упражняване на правото си да бъдат изслушани, съгласно член 41, параграф 2, буква a) от Хартата на основните права на Европейския съюз.
По процедурата на право на изслушване
8 В предварителното решение ЕСП посочва, че процедурата на право на изслушване включва два етапа. По време на първия етап (наричан по-нататък „етап на регистрация“) засегнатите акционери и кредитори се приканват да изразят интерес за упражняване на правото си да бъдат изслушани, с помощта на онлайн формуляр за регистрация, до 14 септември 2018 г. След това ЕСП трябва да провери дали всеки субект, заявил интерес, действително има статут на засегнат акционер или кредитор. На втория етап (наричан по-нататък „етап на консултация“) засегнатите акционери и кредитори, чийто статут е потвърден от ЕСП, могат да представят своите коментари по предварителното решение, към което е приложена оценка 3.
9 На етапа на регистрация засегнатите акционери и кредитори, които желаят да упражнят правото си да бъдат изслушани, трябва да представят на ЕСП документи, доказващи, че към датата на преструктурирането са притежавали един или повече капиталови инструменти на Banco Popular, които са били обезценени или преобразувани и прехвърлени на Banco Santander, SA в рамките на преструктурирането. Сред документите, които трябва да бъдат представени, са документ за самоличност и доказателство за собственост на един от тези капиталови инструменти към 6 юни 2017 г.
10 На 6 август 2018 г., датата на откриване на етапа на регистрация, ЕСП публикува също така на интернет страницата за регистрация за участие в процедурата на право на изслушване и на своя уебсайт декларация за поверителност при обработването на лични данни в рамките на процедурата на право на изслушване (наричана по-нататък „декларацията за поверителност“).
11 На 16 октомври 2018 г. ЕСП обявява на своя уебсайт, че от 6 ноември 2018 г. допуснатите акционери и кредитори ще бъдат поканени да представят своите писмени коментари по предварителното решение по време на етапа на консултация.
12 На 6 ноември 2018 г. ЕСП изпраща по електронна поща на допуснатите акционери и кредитори уникална лична връзка, която им позволява интернет достъп до формуляр (наричан по-нататък „формулярът“). Формулярът се състои от седем въпроса с ограничено поле за отговор, позволяващи на засегнатите акционери и кредитори да представят преди 26 ноември 2018 г., коментари по предварителното решение и по неповерителната версия на оценка 3.
13 ЕСП разглежда релевантните коментари на засегнатите акционери и кредитори по предварителното решение. Той отправя до Deloitte в качеството му на независим оценител искане да оцени релевантните коментари по оценка 3, да му предостави документ, съдържащ неговата оценка, и да разгледа дали оценка 3 остава валидна в светлината на тези коментари.
По обработването на данните, събрани от ЕСП в рамките на процедурата на право на изслушване
14 Данните, събрани на етапа на регистрация, а именно доказателствата за самоличност на участниците и за собственост на обезценени или преобразувани и прехвърлени капиталови инструменти на Banco Popular, са били достъпни за ограничен брой членове на персонала на ЕСП, на които е било възложено обработването на тези данни, за да се определи допуснати ли са участниците.
15 Тези данни не са били видими за членовете на персонала на ЕСП, на които е било възложено обработването на коментарите, получени на етапа на консултация, по време на който те са получили само коментари, идентифицирани с буквено-цифров код, свързан с всеки коментар, представен посредством формуляра. Буквено-цифровият код се състои от уникален универсален 33-цифров идентификатор, генериран на случаен принцип в момента на получаване на отговорите на формуляра.
16 На първия етап ЕСП извършва автоматично филтриране на 23 822 коментара, всеки от които с уникален буквено-цифров код, представени от 2 855 участници в процедурата. Два алгоритъма позволяват идентифицирането на 20 101 коментара като идентични. Представеният на първо място коментар е приет за оригинален коментар, който е разгледан във фазата на анализа, а получените по-късно идентични коментари са идентифицирани като дублиращи се.
17 На втория етап, фазата на анализ, ЕСП разглежда коментарите с цел да гарантира логическа съгласуваност при оценката на тяхната релевантност и при тяхното категоризиране или прегрупиране по определени теми. По този начин ЕСП открива подобни, но не идентични, коментари, които водят началото си от едни и същи източници, достъпни в интернет.
18 Персоналът на ЕСП, на който е възложен анализът на коментарите, не е имал достъп нито до данните, събрани на етапа на регистрация — така че тези коментари са отделени от личната информация за лицата, които са ги предали — нито до кода за данните или за информацията, позволяващ да се открие самоличността на участник посредством уникалния буквено-цифров код, определен за всеки коментар.
19 В хода на тази фаза на анализ ЕСП сравнява всички представени коментари и ги класира в зависимост от въпроса във формуляра, на който отговарят. След това коментарите са преценени според своята релевантност и са разделени, от една страна, на такива, които попадат в приложното поле на процедурата на право на изслушване, тъй като могат да окажат влияние върху предварителното решение или върху оценка 3, и от друга страна, такива, които не попадат в него, защото засягат други аспекти от преструктурирането на Banco Popular.
20 Коментар, попадащ в приложното поле на процедурата, впоследствие се прикрепва към 15 предварително определени от ЕСП теми. В зависимост от темата, към която се числят, коментарите са разделени на такива, които трябва да бъдат разгледани от ЕСП, тъй като се отнасят до предварителното решение, и такива, които трябва да бъдат разгледани от Deloitte, понеже засягат оценка 3. Сред коментарите, които е трябвало да бъдат разгледани, ЕСП не е провел разграничение между тези, които са били представени само веднъж, и тези, за които има дублиращи се коментари.
21 След приключването на фазата на анализ ЕСП идентифицира 3 730 коментара, класирани в зависимост от своята релевантност и тема.
22 На третия етап, фазата на разглеждане, коментарите по предварителното решение са обработени от ЕСП, а тези по оценка 3, които са 1 104 коментара, са препратени на Deloitte на 17 юни 2019 г. посредством предназначен за ЕСП виртуален сървър за защитени данни. ЕСП изтегля файловете, които следва да се изпратят на Deloitte, от виртуалния сървър и дава достъп до тези файлове на ограничен и контролиран брой членове на персонала на Deloitte, пряко участващи в този проект.
23 Препратените на Deloitte коментари са филтрирани, категоризирани и обобщени. Когато представляват копия на предходни коментари, на Deloitte е предадена само една версия, така че не е било възможно индивидуалните коментари, които са били повторени, да се разграничат в рамките на една и съща тема, и Deloitte не е имало възможност да знае дали даден коментар е бил формулиран от един, или няколко участници в процедурата.
24 Препратените на Deloitte коментари засягат само тези, получени на етапа на консултация, и са с буквено-цифров код. С помощта на този код единствено ЕСП е можел да свърже коментарите с данните, получени на етапа на регистрация. Буквено-цифровият код е разработен с одитни цели, за да позволи да се провери и евентуално да се докаже a posteriori, че всеки коментар е бил третиран и надлежно отчетен. Deloitte не е имало и все още няма достъп до базата данни, събрани на етапа на регистрация.
По производството пред ЕНОЗД
25 На 19, 26 и 28 октомври, както и на 5 декември 2019 г. засегнатите акционери и кредитори, които са отговорили на формуляра, са подали пет жалби в ЕНОЗД (преписки 2019‑947, 2019‑998, 2019‑999, 2019‑1000 et 2019‑1122) (наричани по-нататък „петте жалби“) на основание Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 2018 г., стр. 39).
26 Авторите на петте жалби (наричани по-нататък „жалбоподателите“) изтъкват, че ЕСП не ги е информирал, че данните, събирани посредством формуляра, ще бъдат предадени на трети лица, а именно Deloitte и Banco Santander, в нарушение на предвиденото в декларацията за поверителност. Те твърдят, че вследствие на това ЕСП е нарушил член 15, параграф 1, буква г) от Регламент 2018/1725, според който „[к]огато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата […] информация [относно] получателите или категориите получатели на личните данни, ако има такива“.
27 На 12 декември 2019 г. ЕНОЗД уведомява ЕСП, че е получил петте жалби, и иска от него да изрази становище.
28 На 24 юни 2020 г., след процедура, в хода на която ЕСП дава различни обяснения по искане на ЕНОЗД и жалбоподателите представят становища, ЕНОЗД приема първоначалното решение. ЕНОЗД приема, че ЕСП е нарушил член 15 от Регламент 2018/1725 с това, че в декларацията за поверителност не е информирал жалбоподателите за възможността техните лични данни да бъдат съобщени на Deloitte. Вследствие на това той отправя официално предупреждение до ЕСП за това нарушение по силата на член 58, параграф 2, буква б) от Регламент 2018/1725.
29 На 22 юли 2020 г. ЕСП иска от ЕНОЗД да преразгледа първоначалното решение по силата на член 18, параграф 1 от Решението на ЕНОЗД от 15 май 2020 г. за приемане на Процедурен правилник на ЕНОЗД (ОВ L 204, 2020 г., стр. 49). По-конкретно, ЕСП предоставя подробно описание на процедурата на право на изслушване и на анализа на коментарите, представен на етапа на консултация от четирима от идентифицираните жалбоподатели. Той изтъква, че предадената на Deloitte информация не представлява лични данни по смисъла на член 3, точка 1 от Регламент 2018/1725.
30 На 5 август 2020 г. ЕНОЗД уведомява ЕСП, че с оглед на представените нови елементи е решил да преразгледа първоначалното решение, и че ще приеме решение, което да го замени.
31 На 24 ноември 2020 г., след процедурата за преразглеждане, по която жалбоподателите представят становища, а ЕСП представя допълнителна информация по искане на ЕНОЗД, същият приема измененото решение.
32 ЕНОЗД решава да измени първоначалното решение по следния начин:
„1. ЕНОЗД счита, че данните, които ЕСП е споделило с Deloitte, са били псевдонимизирани данни, защото коментарите на етапа [на консултация] са лични данни и едновременно с това, защото ЕСП е споделил буквено-цифровия код, позволяващ да се свържат отговорите, получени на етапа [на регистрация] с тези на етапа [на консултация], въпреки че данните, предоставени от участниците, за да се идентифицират на етапа [на регистрация], не са били съобщени на Deloitte.
2. ЕНОЗД намира, че Deloitte е получател на лични данни на жалбоподателите по смисъла на член 3, точка 13 от Регламент 2018/1725. Фактът, че Deloitte не е споменато в декларацията за поверителност на ЕСП като потенциален получател на личните данни, събирани и обработвани от ЕСП, в качеството си на администратор в рамките на процедурата на право на изслушване, е нарушение на задължението за предоставяне на информация, предвидено в член 15, параграф 1, буква г) [от Регламент 2018/1725].
3. В светлината на всички технически и организационни мерки, въведени от ЕСП за смекчаване на рисковете за правото на лицата на защита на данните в рамките на процедурата на право на изслушване, ЕНОЗД решава да не упражнява корективните си правомощия, предвидени в член 58, параграф 2 [от Регламент 2018/1725].
4. Същевременно ЕНОЗД препоръчва на ЕСП да се увери, че неговите декларации за поверителност в бъдещите процедури на право на изслушване обхващат обработването на лични данни както на етапа на регистрация, така и на етапа на консултация, и че те включват всички потенциални получатели на събраните данни, с оглед на пълното спазване на задължението за предоставяне на информация на субектите на данните, в съответствие с член 15 [от Регламент 2018/1725]“.
Искания на страните
33 След изменение на исканията си ЕСП иска от Общия съд:
– да отмени измененото решение,
– да обяви за незаконосъобразно първоначалното решение,
– да осъди ЕНОЗД да заплати съдебните разноски.
34 ЕНОЗД иска от Общия съд:
– да отхвърли жалбите,
– да осъди ЕСП да заплати съдебните разноски.
От правна страна
По второто искане, целящо Общият съд „да обяви за незаконосъобразно първоначалното решение“
35 В конкретния случай страните не спорят, че измененото решение отменя и заменя първоначалното решение.
36 ЕНОЗД изтъква, че поради това искането в частта си относно първоначалното решение е недопустимо.
37 ЕСП поддържа, че има интерес от установяването на процесуални нарушения, довели до приемането на първоначалното решение, а именно нарушенията на правото му на защита и на достъп до преписката, за да не бъдат допускани отново в бъдещи процедури. Той уточнява, в отговора си на процесуално-организационно действие, че с второто си искане не е поискал отмяната на първоначалното решение, тъй като то е било отменено и заменено с измененото решение с действие ex tunc, а то да бъде обявено за незаконосъобразно.
38 Следователно трябва да се констатира, че второто искане на ЕСП е за установително съдебно решение, а не за отмяна на акт.
39 Достатъчно е обаче да се припомни, че според постоянната съдебна практика Общият съд няма компетентност да постановява установителни решения в рамките на контрола за законосъобразност по член 263 ДФЕС (вж. решения от 4 февруари 2009 г., Omya/Комисия, T‑145/06, EU:T:2009:27, т. 23 и цитираната съдебна практика, и от 13 септември 2018 г., DenizBank/Съвет, T‑798/14, EU:T:2018:546, т. 135 и цитираната съдебна практика).
40 От това следва, че второто искане на ЕСП, целящо Общият съд „да обяви за незаконосъобразно първоначалното решение“, трябва да бъде отхвърлено поради липса на компетентност на Общия съд да постанови такова решение.
По допустимостта на първото искане, целящо отмяната на измененото решение
41 Допустимостта на жалбата спада към абсолютните процесуални предпоставки, които съдът на Съюза може във всеки един момент да разгледа служебно (вж. решение от 16 март 2022 г., MEKH и FGSZ/ACER, T‑684/19 и T‑704/19, EU:T:2022:138, т. 29 и цитираната съдебна практика; вж. също в този смисъл решение от 24 март 1993 г., CIRFS и др./Комисия, C‑313/90, EU:C:1993:111, т. 23). В рамките на процесуално-организационно действие Общият съд е поставил на страните въпроси, по-конкретно, дали измененото решение е обжалваем акт по член 263 ДФЕС.
42 В отговор на този въпрос ЕНОЗД посочва, че фактът, че измененото решение съдържа неговата окончателна позиция и констатация на нарушение, не е достатъчен, за да се счита то за обжалваем акт. Било необходимо тази позиция да води до изменение в правното положение на ЕСП. Тъй като в измененото решение ЕНОЗД не използва корективните си правомощия, предвидени в член 58 от Регламент 2018/1725, може да се счита, че същото не произвежда правно действие за целите на съдебния контрол по член 263 ДФЕС.
43 В отговора си на същия въпрос ЕСП изтъква, че измененото решение произвежда правно действие, което е в състояние да засегне неговите интереси.
44 От съдебната практика следва, че по силата на член 263, четвърта алинея ДФЕС физическо или юридическо лице може да обжалва само актовете със задължително правно действие, което може да засегне интересите на жалбоподателя, като измени съществено неговото правно положение. Така обжалваеми актове по принцип представляват мерките, които определят окончателно становището на институция, орган, служба или агенция на Съюза в края на дадена административна процедура и целят да произведат задължителни правни последици, които могат да засегнат интересите на жалбоподателя, с изключение на междинните мерки, чиято цел е да подготвят окончателното решение, но нямат такива последици (вж. решения от 25 юни 2020 г., CSUE/KF, C‑14/19 P, EU:C:2020:492, т. 69 et 70 и цитираната съдебна практика, и от 6 май 2021 г., ABLV Bank и др./ЕЦБ, C‑551/19 P и C‑552/19 P, EU:C:2021:369, т. 39 и цитираната съдебна практика).
45 За да се определи дали обжалваният акт поражда такива последици, следва да се съобрази същността на акта и тези последици да се преценят с оглед на обективни критерии като съдържанието на акта, като евентуално се държи сметка и за контекста на приемането му и правомощията на издалата го институция, орган или служба на Съюза (вж. решения от 22 април 2021 г., thyssenkrupp Electrical Steel и thyssenkrupp Electrical Steel Ugo/Комисия, C‑572/18 P, EU:C:2021:317, т. 48 и цитираната съдебна практика, от 6 май 2021 г., ABLV Bank и др./ЕЦБ, C‑551/19 P и C‑552/19 P, EU:C:2021:369, т. 41 и цитираната съдебна практика, и от 6 октомври 2021 г., Tognoli и др./Парламент, C‑431/20 P, EU:C:2021:807, т. 34 и цитираната съдебна практика).
46 На първо място, следва да се припомни, че измененото решение е прието от ЕНОЗД по искане на ЕСП за изменение на първоначалното решение. Измененото решение, прието след провеждане на състезателно административно производство, отменя и заменя първоначалното решение и представлява решение, което определя окончателно позицията на ЕНОЗД по петте жалби.
47 Същевременно член 64, параграф 2 от Регламент 2018/1725, относно правото на ефективна съдебна защита, предвижда, че решенията на ЕНОЗД се обжалват пред Съда на Европейския съюз.
48 В частност, член 18 от Процедурния правилник на ЕНОЗД, въз основа на който е прието измененото решение, гласи по-конкретно в параграф 3:
„Ако след заявлението за преразглеждане на решение по жалба ЕНОЗД вземе ново, преразгледано решение, то той следва да уведоми съответния жалбоподател и институция за това, че могат да оспорят това решение пред Съда на Европейския съюз в съответствие с член 263 [ДФЕС]“.
49 В това отношение, в придружителното писмо към измененото решение, изпратено на ЕСП, е посочено следното:
„Отбелязваме, че това решение отменя и заменя решението, прието на 24 юни 2020 г. Можете да подадете жалба за отмяна на това решение пред Съда на Европейския съюз в срок от два месеца от приемането на настоящото решение и при условията, предвидени в член 263 [ДФЕС]“.
50 На второ място, що се отнася до съществото на измененото решение, следва да се припомни, от една страна, че ЕНОЗД е направил извода, че ЕСП е допуснал нарушение на задължението за предоставяне на информация, предвидено в член 15, параграф 1, буква г) от Регламент 2018/1725, и от друга страна, че той му е препоръчал по същество да се увери, че такова нарушение няма да бъде допускано отново в бъдещите му декларации за поверителност.
51 От една страна, следва да се отбележи, че съгласно член 65 от Регламент 2018/1725 за такова нарушение може да бъде ангажирана отговорността на ЕСП в качеството му на администратор на съответните данни, стига да са спазени останалите предвидени в Договорите условия.
52 От друга страна, според член 66, параграф 1 от Регламент 2018/1725, когато взема решение дали да наложи административна имуществена санкция на институция или орган на Съюза, и за да определи нейният размер, ЕНОЗД взема предвид, по-специално, всички подобни предишни нарушения от страна на тази институция или орган. При това положение, ако ЕСП не изпълни препоръката на ЕНОЗД да измени в бъдеще своите декларации за поверителност в процедурите на право на изслушване, би могло да бъде установено подобно нарушение на член 15, параграф 1, буква г) от Регламент 2018/1725 от ЕСП, което да доведе до налагането на имуществена санкция.
53 От това следва, че установяването в измененото решение на нарушение от страна на ЕСП на член 15, параграф 1, буква г) от Регламент 2018/1725 произвежда задължително правно действие, въпреки че ЕНОЗД е посочил, че се отказва да упражни корективните си правомощия, предвидени в член 58, параграф 2 от Регламент 2018/1725.
54 С оглед на гореизложеното измененото решение представлява акт на Съюза, който е от естество да засегне интересите на своя адресат, като измени съществено неговото правно положение. Следователно то е обжалваем акт по смисъла на член 263 ДФЕС.
55 Поради това трябва да се приеме, че първото искане, за отмяна на измененото решение, е допустимо.
По същество
56 В подкрепа на жалбата си ЕСП изтъква две основания. Първото основание е нарушението на член 3, точка 1 от Регламент 2018/1725, тъй като предадената на Deloitte информация не съставлява лични данни. Второто основание е нарушението на правото на добра администрация, закрепено в член 41 от Хартата на основните права.
57 С първото основание ЕСП изтъква, че ЕНОЗД е нарушил член 3, точка 1 от Регламент 2018/1725, като е преценил в измененото решение, че предадената на Deloitte информация съставлява лични данни на жалбоподателите.
58 Член 3, точка 1 от Регламент 2018/1725 определя личните данни като „всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано [и посочва, че] „физическо лице, което може да бъде идентифицирано“, е лице, което може да бъде идентифицирано пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, икономическата, културната или социалната идентичност на това физическо лице“.
59 От това определение следва, че една информация представлява лични данни, по-конкретно, ако са изпълнени две кумулативни условия, а именно, от една страна, тази информация да е „свързана с“ физическо лице и от друга страна, това лице да е „идентифицирано или да може да бъде идентифицирано“.
По предвиденото в член 3, точка 1 от Регламент 2018/1725 условие информацията да е „свързана с“ физическо лице
60 ЕСП изтъква, че коментарите, получени на етапа на консултация и съобщени на Deloitte, не са свързани с конкретни лица по смисъла на член 3, точка 1 от Регламент 2018/1725. Той счита, че логиката, следвана в решение от 20 декември 2017 г., Nowak (C‑434/16, EU:C:2017:994), не се прилага за коментарите на жалбоподателите. Той поддържа, че информацията, съдържаща се в коментарите на жалбоподателите, представлява фактическа и правна информация, независима от лицата или от личните качества на жалбоподателите и без връзка с личния им живот. Според него целта на процедурата на право на изслушване е да се оценят фактически и правни съображения, отнасящи се до предварителното решение и оценка 3, изхождащи от голям брой заинтересовани лица, чиято личност и самоличност са ирелевантни за оценяването на техните коментари.
61 ЕНОЗД изтъква, че съдържанието на коментарите на засегнатите акционери и кредитори е информация, която е „свързана с“ тях, като се има предвид, че техните отговори съдържат и отразяват личното им мнение, макар да са основани на обществено достъпна информация. Отговорите на формуляра от страна на жалбоподателите и на останалите участници били лични данни, независимо дали става дума за изразяването на оригинален, или споделен с други лица възглед, и независимо дали ЕСП ги счита за информация, независима от специфичните права на засегнатите акционери и кредитори в областта на зачитането на личния живот.
62 ЕНОЗД счита, че коментарите са лични данни и поради своето действие. Извършената преценка на тези коментари, целяща да се проверят валидността на оценка 3 и законосъобразността на предварителното решение, можела да има въздействие върху интересите и правата на участниците, що се отнася до финансовото обезщетение. Накрая, той изтъква, че целта на събирането на коментарите е била да се предоставят процесуални права на всяко лице, за да бъдат събрани индивидуални мнения.
63 В измененото решение ЕНОЗД посочва, че отговорите, получени на етапа на консултация, представляват лични данни на жалбоподателите, доколкото съдържат тяхно лично мнение и следователно съставляват свързана с тях информация, макар те да са се основали на обществено достъпна информация, за да изразят своето мнение. Той преценява, че фактът, че жалбоподателите са изразили мнения, подобни, но не идентични на тези на други участници, не означава, че техните отговори не отразяват собственото им становище. Затова ЕНОЗД приема, че всички отговори, предоставени от жалбоподателите и останалите участници в полетата за свободен текст, трябва да се считат за лични данни, независимо дали става въпрос за изразяване на оригинален и уникален възглед, или на възглед, споделен с други лица и вдъхновен или почерпен от обществено достъпна информация. Той допълва, че този извод не противоречи на решение от 20 декември 2017 г., Nowak (C‑434/16, EU:C:2017:994), в което Съдът не е провел разграничение между отговорите, съставени изцяло от анкетираните лица, и отговорите, извлечени от други източници на знания.
64 Трябва да се разгледа дали ЕНОЗД е преценил правилно предадената на Deloitte информация, „свързана с“ физическо лице по смисъла на член 3, точка 1 от Регламент 2018/1725.
65 В самото начало следва да се констатира, че в измененото решение ЕНОЗД квалифицира като лични данни съвкупността от коментарите, формулирани от засегнатите акционери и кредитори в рамките на етапа на консултация, и не е ограничил преценката си само до предадената на Deloitte информация.
66 Доколкото обаче нарушението на член 15, параграф 1, буква г) от Регламент 2018/1725, установено в измененото решение, се отнася само до факта, че ЕСП не е споменал в декларацията за поверителност, че Deloitte ще бъде потенциален получател на някои данни, следва да се ограничим до разглеждането на това дали предадената на Deloitte информация е представлявала лични данни по смисъла на член 3, точка 1 от Регламент 2018/1725.
67 В това отношение член 3, точка 13 от Регламент 2018/1725 определя „получател“ като „физическо или юридическо лице, публичен орган, агенция или друга структура, пред която се разкриват личните данни, независимо дали е трета страна или не“.
68 Според съдебната практика употребата на израза „всяка информация“ в определението на понятието „лични данни“ в член 3, точка 1 от Регламент 2018/1725 отразява целта на законодателя на Съюза да придаде широк смисъл на това понятие, което не се свежда до чувствителната информация или информацията с частен характер, а потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че „засяга“ съответното лице (вж. по аналогия решение от 20 декември 2017 г., Nowak, C‑434/16, EU:C:2017:994, т. 34).
69 Що се отнася до последното условие, Съдът е постановил, че то е изпълнено, ако поради своето съдържание, крайна цел или последици информацията е свързана с определено лице (решение от 20 декември 2017 г., Nowak, C‑434/16, EU:C:2017:994, т. 35).
70 В измененото решение обаче ЕНОЗД не е разгледал нито съдържанието, нито крайната цел, нито последиците на предадената на Deloitte информация.
71 Всъщност той се е ограничил до това да посочи, че коментарите, представени от жалбоподателите на етапа на консултация, отразявали техните мнения или възгледи, и само на това основание да направи извода, че представляват свързана с тях информация, което е било достатъчно, за да ги квалифицира като лични данни.
72 В съдебното заседание ЕНОЗД потвърждава, че според него всяко лично мнение представлява лични данни. Той признава и че не е разглеждал съдържанието на коментарите, представени от жалбоподателите на етапа на консултация.
73 Несъмнено не може да се изключи, че личните възгледи или мнения представляват лични данни. Същевременно от точки 34 и 35 от решение от 20 декември 2017 г., Nowak (C‑434/16, EU:C:2017:994), цитирано в точки 68 и 69 по-горе, следва, че такъв извод не може да се основава на презумпция като описаната в точки 71 и 72 по-горе, а трябва да се опира на анализ, целящ да се определи дали поради своето съдържание, крайна цел или последици възгледът е свързан с определено лице.
74 Следователно, ако такъв анализ не е извършен, ЕНОЗД не е могъл да направи извода, че предадената на Deloitte информация представлява информация, „свързана с“ физическо лице, по смисъла на член 3, точка 1 от Регламент 2018/1725.
75 Общият съд ще разгледа по-нататък преценката на ЕНОЗД на въпроса дали предадената на Deloitte информация е свързана с физическо лице, което е „идентифицирано или може да бъде идентифицирано“.
По предвиденото в член 3, точка 1 от Регламент 2018/1725 условие информацията да е свързана с физическо лице, което е „идентифицирано или може да бъде идентифицирано“
76 ЕСП изтъква, че обратно на приетото от ЕНОЗД, съобщаването на буквено-цифровия код на Deloitte не е довело до „псевдонимизиране“ на данните. Те останали анонимни, доколкото ЕСП не споделил с Deloitte данни, позволяващи авторите на коментарите да бъдат идентифицирани повторно.
77 ЕСП поддържа, че данните са анонимизирани за трето лице, макар информацията, позволяваща повторно идентифициране, да не е необратимо премахната и да е съхранена от първоначалния подизпълнител, щом като форматът, в който данните са съобщени на това трето лице, вече не позволява идентифицирането на автора на становището или не го прави разумно вероятно. ЕСП изтъква, че обратно на прецененото от ЕНОЗД в измененото решение, Регламент 2018/1725 и практиката на Съда изискват оценка на риска от повторно идентифициране.
78 По-конкретно, ЕСП твърди, че условията, поставени в практиката на Съда относно съществуването на риск от повторно идентифициране, когато всички данни, които могат да позволят идентифицирането, не се държат само от едно лице, а от няколко лица, не са изпълнени в конкретния случай. От една страна, буквено-цифровият код, определен за индивидуалните коментари, не позволявал на Deloitte да идентифицира повторно предоставилите коментари лица. Допълнителната информация, спомената в член 3, точка 6 от Регламент 2018/1725, била съставена от базата данни, позволяваща декодиране, до което достъп имал само ЕСП. От друга страна, що се отнася до критерия за разумна вероятност на комбинирането на данни, Deloitte не е имало и все още няма правни средства да получи достъп до допълнителната информация и до тази за идентификация.
79 ЕНОЗД поддържа, че фактът, че Deloitte не е имало достъп до държаната от ЕСП информация, позволяваща повторно идентифициране, няма за последица предадените на Deloitte „псевдонимизирани“ данни да са станали анонимни данни. Не било необходимо да се определя дали е било възможно авторите на информация, предадена на Deloitte, да бъдат повторно идентифицирани от същото, нито дали това повторно идентифициране е било разумно вероятно. „Псевдонимизирани“ данни щели да останат такива дори да са предадени на трето лице, което не разполага с допълнителната информация.
80 ЕНОЗД изтъква, че използването на думата „непряко“ в член 3, точка 1 от Регламент 2018/1725 означава, че за да бъде квалифицирана дадена информация като лични данни, не е необходимо тя сама по себе си да позволява да се идентифицира съответното лице. По-нататък, що се отнася до средствата, които разумно биха могли да бъдат използвани както от администратора на лични данни, така и от всяко друго лице, не се изисквало цялата информация, позволяваща да се идентифицира съответното лице, да е в ръцете само на едно лице.
81 В измененото решение ЕНОЗД приема, че информацията, предадена на Deloitte, е била „псевдонимизирани“ данни. В това отношение той посочва, че разликата между „псевдонимизираните“ данни и анонимните данни се състои в това, че в случая на анонимните данни не съществувала „допълнителна информация“, която може да се използва, за да се свържат данните с конкретно засегнато лице, докато в случая на „псевдонимизираните“ данни съществувала такава допълнителна информация. Вследствие на това, за да се оцени дали данните са били анонимни, или „псевдонимизирани“, трябвало да се разгледа дали съществува „допълнителна информация“, която може да се използва, за да се свържат данните с конкретни засегнати лица.
82 ЕНОЗД отбелязва, че ЕСП е предало на Deloitte не само определени коментари на засегнатите акционери и кредитори, а и съответния буквено-цифров код, но че Deloitte не е имало достъп до отговорите, дадени на етапа на регистрация. Той сочи, че — както е обяснил ЕСП — „за Deloitte е било невъзможно да проследи самоличността на който и да е участник, използвайки този код, като се позовава на конкретните данни, предоставени от допуснатите участници в рамките на етапа на регистрация (който винаги е бил съхраняван от ЕСП)“. ЕНОЗД обаче е приел, че данните, предоставени на етапа на регистрация заедно с уникалния идентификатор, а именно буквено-цифровия код, определен за всеки допуснат участник, представляват съвършеният пример за „допълнителна информация“ по смисъла на член 3, точка 6 от Регламент 2018/1725, защото са могли да бъдат използвани от ЕСП, за да се свържат данните с конкретно засегнато лице.
83 ЕНОЗД обяснява, че Регламент 2018/1725 не провежда разграничение между тези, които съхраняват „псевдонимизираните“ данни, и тези, които държат допълнителната информация, и че фактът, че става въпрос за различни субекти, не прави „псевдонимизираните“ данни анонимни. Той допълва, че обстоятелството, че Deloitte не е било в състояние самò да свърже коментарите с данните, получени на етапа на регистрация, не изключва получените от него данни да са били „псевдонимизирани“. Според ЕНОЗД данните, които ЕСП е споделил с Deloitte, са били „псевдонимизирани“ данни, защото коментарите, получени на етапа на консултация, били лични данни и едновременно с това, защото ЕСП е споделил буквено-цифровия код, позволяващ да се свържат отговорите, дадени на етапа на регистрация, с тези, дадени на етапа на консултация, въпреки че данните, предоставени от участниците, за да се идентифицират на етапа на регистрация, не са били съобщени на Deloitte. От това той прави извода, че предадената на Deloitte информация е била „псевдонимизирани“ данни и оттам — лични данни, по смисъла на член 3, точка 1 от Регламент 2018/1725.
84 В самото начало трябва да се отбележи, че с оглед на въведените от ЕСП механизми за обработване на данните, събрани в рамките на процедурата на право на изслушване, описани в точки 14—24 по-горе, предадената на Deloitte информация не е свързана с „идентифицирани“ лица.
85 Следователно трябва да се разгледа дали ЕНОЗД е преценил правилно предадената на Deloitte информация, свързана с лице, което „може да бъде идентифицирано“ по смисъла на член 3, точка 1 от Регламент 2018/1725.
86 Според тази разпоредба за „физическо лице, което може да бъде идентифицирано“, се счита физическо лице, което може пряко или непряко да бъде идентифицирано.
87 Съображение 16 от Регламент 2018/1725 предвижда следното:
„[…] Личните данни, които са били подложени на псевдонимизация, които могат да бъдат свързани с дадено физическо лице чрез използването на допълнителна информация, следва да се считат за информация, отнасяща се до физическо лице, което може да бъде идентифицирано. За да се определи дали дадено физическо лице може да бъде идентифицирано, следва да се вземат предвид всички средства, като например подбирането на лица за извършване на проверка, с които е най-вероятно да си послужи администраторът или друго лице, за да идентифицира пряко или непряко даденото физическо лице. За да се уточни дали има разумна вероятност дадени средства да бъдат използвани за идентифициране на физическото лице, следва да се вземат предвид всички обективни фактори, като например разходите и времето, необходими за идентифицирането, като се отчитат както наличните към момента на обработване на данните технологии, така и тяхното развитие […]“.
88 Следва да се отбележи, че в решение от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779), Съдът е дал тълкуване на понятието за лични данни по смисъла на член 2, буква а) от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 година за защита на физическите лица при обработването на лични данни и за свободното движение на тези данни (ОВ L 281, 1995 г., стр. 31; Специално издание на български език, 2007 г., глава 13, том 17, стр. 10), която разпоредба е еквивалентна на член 3, точка 1 от Регламент 2018/1725.
89 По това дело е поставен въпросът дали динамичен IP адрес (наричан по-нататък „IP адрес“) представлява лични данни по отношение на доставчик на онлайн медийни услуги, който го е запазил. Съдът приема, че следва да се провери дали този IP адрес може да бъде квалифициран като информация относно „подлежащо на идентифициране физическо лице“, като се вземат предвид, от една страна, фактът, че той не е предоставял сам по себе си на този доставчик възможността да идентифицира ползвателя, който е ползвал този интернет сайт, и от друга страна, фактът, че доставчикът на интернет услуги разполага с допълнителната информация, която, ако бъде комбинирана с този IP адрес, би позволила посоченият ползвател да бъде идентифициран.
90 Доколкото съображение 16 от Регламент 2018/1725 се позовава на средствата, които биха могли да бъдат използвани разумно както от администратора, така и от „друго лице“, текстът му предполага, че за да могат определени данни да се считат за „лични“ по смисъла на член 3, точка 1 от Регламент 2018/1725, не се изисква цялата информация, която позволява идентифицирането на съответното лице, да трябва да се намира в ръцете на едно-единствено лице (вж. по аналогия решение от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 43).
91 Съдът обаче добавя, че фактът, че допълнителната информация, необходима за идентифицирането на ползвател на интернет сайт, се притежава не от доставчика на онлайн медийни услуги, а от доставчика на интернет услуги на този ползвател, не изглежда да е от естество да изключи възможността динамичните IP адреси, запазени от доставчика на онлайн медийни услуги, да представляват за него лични данни (решение от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 44).
92 Съдът въпреки това преценява, че следва да се определи дали възможността за комбиниране на динамичен IP адрес с въпросната допълнителна информация, притежавана от доставчика на интернет услуги, представлява средство, което би могло да бъде използвано разумно за идентифицирането на съответното лице (решение от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 45).
93 Съдът посочва, че случаят не би бил такъв, ако идентифицирането на съответното лице е забранено от закона или фактически неизпълнимо, например тъй като това би означавало несъразмерно усилие на време, разходи и труд, така че вероятността от идентифициране в действителност изглежда незначителна (решение от 19 октомври 2016 г., Breyer, C‑582/14, EU:C:2016:779, т. 46).
94 В конкретния случай не е оспорено, от една страна, че буквено-цифровият код, фигуриращ в предадената на Deloitte информация, не позволявал сам по себе си идентифицирането на авторите на коментарите и от друга страна, че Deloitte не е имало достъп до идентификационните данни, получени на етапа на регистрация, позволяващи да се свържат участниците с техните коментари благодарение на буквено-цифровия код.
95 ЕНОЗД посочва в измененото решение и потвърждава в съдебното заседание, че допълнителната информация, необходима за идентифицирането на авторите на коментарите, се състояла от буквено-цифровия код и базата данни за идентификация.
96 Несъмнено, както поддържа ЕНОЗД, предвид точка 43 от решение от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779), цитирана в точка 90 по-горе, фактът, че допълнителната информация, необходима за идентифицирането на авторите на коментарите, получени на етапа на консултация, е била държана не от Deloitte, а от ЕСП, не изглежда да е от естество да изключи a priori възможността предадената на Deloitte информация да представлява за същото лични данни.
97 Същевременно от решение от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779), следва и че за да се определи дали предадената на Deloitte информация представлява лични данни, следва да се погледне от гледната точка на същото, за да се определи дали информацията, която му е била предадена, е свързана с „лица, които могат да бъдат идентифицирани“.
98 Всъщност трябва да се припомни, първо, че нарушението на член 15, параграф 1, буква г) от Регламент 2018/1725, установено от ЕНОЗД в измененото решение, се отнася до предаването от ЕСП на някои коментари на Deloitte, а не само до държането на същите от ЕСП.
99 Второ, от една страна, положението на Deloitte може да бъде сравнено с това на доставчика на онлайн медийни услуги, визирано в решение от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779), като се има предвид, че притежава информация, а именно коментарите във връзка с оценка 3, която не представлява информация, свързана с „идентифицирано физическо лице“, доколкото фигуриращият във всеки отговор буквено-цифров код не позволявал да се разкрие пряко самоличността на физическото лице, попълнило формуляра. От друга страна, положението на ЕСП може да бъде сравнено с това на доставчика на интернет услуги по това дело, доколкото е безспорно, че той не е бил единственият, който държи допълнителната информация, позволяваща идентифицирането на засегнатите акционери и кредитори, които са отговорили на формуляра, а именно буквено-цифровия код и базата данни за идентификация.
100 При това положение, съгласно точка 44 от решение от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779), цитирана в точка 91 го-горе, ЕНОЗД трябва да разгледа дали предадените на Deloitte коментари съставляват по отношение на същото лични данни.
101 Следователно ЕНОЗД неправилно поддържа, че не е било необходимо да се проверява дали е било възможно авторите на информацията, предадена на Deloitte, да бъдат повторно идентифицирани от последното, и дали това повторно идентифициране е било разумно възможно.
102 Трябва да се констатира, че в измененото решение ЕНОЗД е приел, че фактът, че ЕСП държи допълнителната информация, позволяваща повторно идентифициране на авторите на коментарите, е бил достатъчен, за да се направи изводът, че предадената на Deloitte информация представлява лични данни, като същевременно се признае, че идентификационните данни, получени на етапа на регистрация, не са били съобщени на Deloitte.
103 Така от измененото решение следва, че ЕНОЗД се е ограничил до това да разгледа възможността да се идентифицират повторно авторите на коментарите от гледна точка на ЕСП, а не на Deloitte.
104 От точка 45 от решение от 19 октомври 2016 г., Breyer (C‑582/14, EU:C:2016:779), цитирана в точка 92 по-горе, обаче следва, че ЕНОЗД трябва да определи дали възможността за комбиниране на предадената на Deloitte информация с допълнителната информация, притежавана от ЕСП, представлява средство, което би могло да бъде използвано разумно от Deloitte за идентифициране на авторите на коментарите.
105 Следователно, при липсата на разглеждане от ЕНОЗД дали Deloitte е разполагало с правни и фактически изпълними средства, позволяващи му да получи достъп до допълнителната информация, необходима за повторно идентифициране на авторите на коментарите, ЕНОЗД не може да направи извода, че предадената на Deloitte информация представлява информация, свързана с „физическо лице, което може да бъде идентифицирано“ по смисъла на член 3, точка 1 от Регламент 2018/1725.
106 От всичко гореизложено следва, че първото основание трябва да бъде уважено, поради което измененото решение следва да се отмени, без да е необходимо да се разглежда второто основание.
По съдебните разноски
107 Съгласно член 134, параграф 1 от Процедурния правилник на Общия съд загубилата делото страна се осъжда да заплати съдебните разноски, ако е направено такова искане.
108 След като ЕНОЗД е загубил делото в съществена част от исканията си, следва да бъде осъден да заплати съдебните разноски в съответствие с искането на ЕСП.
Поради изложените съображения
ОБЩИЯТ СЪД (осми разширен състав)
реши:
1) Отменя решението на Европейския надзорен орган по защита на данните (ЕНОЗД) от 24 ноември 2020 г., изменено, прието вследствие на подаденото от Единния съвет за преструктуриране (ЕСП) искане за преразглеждане на решението на ЕНОЗД от 24 юни 2020 г. относно пет жалби, подадени от няколко жалбоподатели (преписки 2019‑947, 2019‑998, 2019‑999, 2019‑1000 и 2019‑1122).
2) Отхвърля жалбата в останалата ѝ част.
3) Осъжда ЕНОЗД да заплати съдебните разноски.
Обявено в открито съдебно заседание в Люксембург на 26 април 2023 година.
Подписи