ARREST VAN HET GERECHT (Achtste kamer – uitgebreid)
26 april 2023 (*)
„Bescherming van persoonsgegevens – Procedure voor het toekennen van compensatie aan aandeelhouders en crediteuren na de afwikkeling van een bank – Besluit van de EDPS waarbij wordt vastgesteld dat de GAR zijn verplichtingen met betrekking tot de verwerking van persoonsgegevens heeft geschonden – Artikel 15, lid 1, onder d), van verordening (EU) 2018/1725 – Begrip ‚persoonsgegevens’ – Artikel 3, punt 1, van verordening 2018/1725 – Recht van toegang tot het dossier”
In zaak T‑557/20,
Gemeenschappelijke Afwikkelingsraad (GAR), vertegenwoordigd door H. Ehlers, M. Fernández Rupérez en A. Lapresta Bienz als gemachtigden, bijgestaan door H.‑G. Kamann, M. Braun, F. Louis, en L. Hesse, advocaten,
verzoeker,
tegen
Europese Toezichthouder voor gegevensbescherming (EDPS), vertegenwoordigd door P. Candellier, X. Lareo en T. Zerdick als gemachtigden,
verweerder,
wijst
HET GERECHT (Achtste kamer – uitgebreid),
samengesteld als volgt: A. Kornezov, president, G. De Baere (rapporteur), D. Petrlík, K. Kecsmár en S. Kingston, rechters,
griffier: I. Kurme, administrateur,
gezien de stukken,
na de terechtzitting op 1 december 2022,
het navolgende
Arrest
1 Met zijn beroep krachtens artikel 263 VWEU verzoekt de Gemeenschappelijke Afwikkelingsraad (GAR), ten eerste, om nietigverklaring van het herziene besluit van de Europese Toezichthouder voor gegevensbescherming (EDPS) van 24 november 2020 dat is vastgesteld naar aanleiding van het verzoek van de GAR om herziening van het besluit van de EDPS van 24 juni 2020 betreffende vijf klachten van verschillende klagers (zaken 2019‑947, 2019‑998, 2019‑999, 2019‑1000 en 2019‑1122) (hierna: „herzien besluit”) en, ten tweede, om onrechtmatigverklaring van het besluit van de EDPS van 24 juni 2020 (hierna: „oorspronkelijk besluit”).
Voorgeschiedenis van het geding
2 Op 7 juni 2017 heeft de GAR tijdens zijn bestuursvergadering besluit SRB/EES/2017/08 over een afwikkelingsregeling voor Banco Popular Español, SA (hierna: „afwikkelingsregeling”) vastgesteld op de grondslag van verordening (EU) nr. 806/2014 van het Europees Parlement en de Raad van 15 juli 2014 tot vaststelling van eenvormige regels en een eenvormige procedure voor de afwikkeling van kredietinstellingen en bepaalde beleggingsondernemingen in het kader van een gemeenschappelijk afwikkelingsmechanisme en een gemeenschappelijk afwikkelingsfonds en tot wijziging van verordening (EU) nr. 1093/2010 (PB 2014, L 225, blz. 1).
3 Diezelfde dag heeft de Europese Commissie besluit (EU) 2017/1246 tot goedkeuring van de afwikkelingsregeling (PB 2017, L 178, blz. 15) vastgesteld.
4 In de afwikkelingsregeling heeft de GAR, die van oordeel dat was voldaan aan de voorwaarden van artikel 18, lid 1, van verordening nr. 806/2014, besloten om Banco Popular Español (hierna: „Banco Popular”) in afwikkeling te plaatsen. De GAR heeft besloten de kapitaalinstrumenten van Banco Popular overeenkomstig artikel 21 van verordening nr. 806/2014 af te schrijven en om te zetten, en het instrument van verkoop van de onderneming krachtens artikel 24 van verordening nr. 806/2014 toe te passen door de aandelen aan een koper over te dragen.
5 Na de afwikkeling van Banco Popular heeft Deloitte op 14 juni 2018 de GAR de in artikel 20, leden 16 tot en met 18, van verordening nr. 806/2014 geregelde waardering van het verschil in behandeling doen toekomen die zij had uitgevoerd om vast te stellen of de aandeelhouders en crediteuren beter zouden zijn behandeld indien er een normale insolventieprocedure ten aanzien van Banco Popular was geopend (hierna: „waardering 3”).
6 Op 6 augustus 2018 publiceerde de GAR op zijn website zijn bericht van 2 augustus 2018 betreffende zijn voorlopige besluit over het al dan niet toekennen van compensatie aan de aandeelhouders en crediteuren ten aanzien van wie de afwikkelingsmaatregelen aangaande Banco Popular waren genomen en betreffende de inleiding van de procedure om te worden gehoord (SRB/EES/2018/132) (hierna: „voorlopig besluit”), alsmede een niet-vertrouwelijke versie van waardering 3. Op 7 augustus 2018 is er een aankondiging met betrekking tot het bericht van de GAR bekendgemaakt in het Publicatieblad van de Europese Unie (PB 2018, C 277 I, blz. 1).
7 In het voorlopige besluit heeft de GAR aangegeven dat hij, om een definitief besluit te kunnen nemen over het al dan niet uit hoofde van artikel 76, lid 1, onder e), van verordening nr. 806/2014 moeten betalen van compensatie aan de door de afwikkeling van Banco Popular getroffen aandeelhouders en crediteuren, hen ertoe uitnodigde kenbaar te maken of zij gebruik willen maken van hun recht om te worden gehoord op grond van artikel 41, lid 2, onder a), van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”).
Procedure betreffende het recht om te worden gehoord
8 In het voorlopige besluit heeft de GAR aangegeven dat de procedure inzake het recht om te worden gehoord in twee fasen zou verlopen. In een eerste fase (hierna: „inschrijvingsfase”) werden de getroffen aandeelhouders en crediteuren ertoe uitgenodigd om tot en met 14 september 2018 via een online inschrijvingsformulier kenbaar te maken of zij gebruik wilden maken van hun recht om te worden gehoord. Vervolgens moest de GAR verifiëren of elke partij die haar belangstelling kenbaar had gemaakt, daadwerkelijk de status van getroffen aandeelhouder of crediteur had. In een tweede fase (hierna: „raadplegingsfase”) konden de getroffen aandeelhouders en crediteuren van wie de GAR de status had geverifieerd, hun opmerkingen indienen over het voorlopige besluit en de bijgevoegde waardering 3.
9 Tijdens de inschrijvingsfase moesten de getroffen aandeelhouders en crediteuren die hun recht om te worden gehoord wilden uitoefenen, aan de GAR bewijsstukken overleggen waaruit bleek dat zij op de datum van afwikkeling een of meer kapitaalinstrumenten van Banco Popular bezaten die in het kader van de afwikkeling waren afgeschreven of omgezet en aan Banco Santander, SA waren overgedragen. De over te leggen bewijsstukken bestonden uit een identiteitsbewijs en een bewijs van de eigendom van een van deze kapitaalinstrumenten op 6 juni 2017.
10 Op 6 augustus 2018, de aanvangsdatum van de inschrijvingsfase, heeft de GAR op de internetpagina voor inschrijving in de procedure inzake het recht om te worden gehoord en op zijn website tevens een privacyverklaring gepubliceerd over de verwerking van persoonsgegevens in het kader van de procedure inzake het recht om te worden gehoord (hierna: „privacyverklaring”).
11 Op 16 oktober 2018 heeft de GAR op zijn website aangekondigd dat de in aanmerking komende aandeelhouders en crediteuren werd verzocht vanaf 6 november 2018 hun schriftelijke opmerkingen over het voorlopige besluit in de raadplegingsfase in te dienen.
12 Op 6 november 2018 heeft de GAR per e-mail aan de in aanmerking komende aandeelhouders en crediteuren een persoonlijke link gestuurd om toegang te krijgen tot een formulier op het internet (hierna: „formulier”). Het formulier bevatte zeven vragen, met beperkte ruimte om te antwoorden, die de getroffen aandeelhouders en crediteuren in staat stelden vóór 26 november 2018 opmerkingen in te dienen over het voorlopige besluit en de niet-vertrouwelijke versie van waardering 3.
13 De GAR heeft de relevante opmerkingen van de getroffen aandeelhouders en crediteuren met betrekking tot het voorlopige besluit onderzocht. Hij verzocht Deloitte, in haar hoedanigheid van onafhankelijke beoordelaar, om de relevante opmerkingen met betrekking tot waardering 3 te beoordelen, hem een document met haar beoordeling over te leggen en na te gaan of waardering 3 in het licht van deze opmerkingen geldig bleef.
Verwerking van de door de GAR in het kader van de procedure betreffende het recht om te worden gehoord verzamelde gegevens
14 De tijdens de inschrijvingsfase verzamelde gegevens, namelijk het bewijs van de identiteit van de deelnemers en van de eigendom van kapitaalinstrumenten van Banco Popular die zijn afgeschreven of omgezet en overgedragen, waren voor een beperkt aantal met de verwerking van die gegevens belaste personeelsleden van de GAR toegankelijk om te bepalen of de deelnemers in aanmerking kwamen.
15 Deze gegevens waren niet zichtbaar voor de personeelsleden van de GAR die belast waren met de behandeling van de opmerkingen die waren ontvangen in de raadplegingsfase. In die fase hebben zij enkel opmerkingen ontvangen die werden geïdentificeerd aan de hand van een alfanumerieke code die aan elke via het formulier ingediende opmerking was toegekend. De alfanumerieke code bestond uit een universeel uniek identificatienummer van 33 cijfers, dat willekeurig werd gegenereerd bij ontvangst van de antwoorden op het formulier.
16 In een eerste stap heeft de GAR 23 822 opmerkingen, die elk een unieke alfanumerieke code droegen en waren ingediend door 2 855 deelnemers aan de procedure, automatisch gefilterd. Twee algoritmen hebben 20 101 opmerkingen als identiek geïdentificeerd. De als eerste ingediende opmerking werd beschouwd als de oorspronkelijke opmerking, die tijdens de analysefase werd onderzocht, en de identieke opmerkingen die later waren ontvangen, werden als doublures aangemerkt.
17 In een tweede stap, de analysefase, heeft de GAR de opmerkingen onderzocht met het oog op een coherente beoordeling van de relevantie ervan en de indeling of groepering ervan in welomschreven thema’s. De GAR heeft aldus soortgelijke, maar niet identieke opmerkingen geïdentificeerd, die waren gebaseerd op dezelfde, op internet beschikbare bronnen.
18 Het personeel van de GAR dat met de analyse van de opmerkingen was belast, had geen toegang tot de in de inschrijvingsfase verzamelde gegevens, zodat deze opmerkingen werden gescheiden van de persoonlijke informatie over de personen die ze hadden ingediend. Evenmin had bedoeld personeel toegang tot de gegevenssleutel of informatie die het mogelijk maakte de identiteit van een deelnemer op te sporen aan de hand van de unieke alfanumerieke code die aan elke opmerking was toegekend.
19 In die analysefase heeft de GAR alle ingediende opmerkingen vergeleken en deze ingedeeld volgens de vraag van het formulier die zij beantwoordden. De opmerkingen zijn vervolgens beoordeeld vanuit het oogpunt van hun relevantie en onderverdeeld in, enerzijds, opmerkingen die binnen de werkingssfeer van de procedure betreffende het recht om te worden gehoord vielen, aangezien zij van invloed konden zijn op het voorlopige besluit of de waardering 3, en, anderzijds, opmerkingen die daar niet onder vielen, aangezien zij betrekking hadden op andere aspecten van de afwikkeling van Banco Popular.
20 Een opmerking die binnen de werkingssfeer van de procedure viel, werd vervolgens ondergebracht in een van de vijftien vooraf door de GAR vastgestelde onderwerpen. Afhankelijk van het onderwerp waar zij betrekking op hadden, werden de opmerkingen aangemerkt als opmerkingen die door de GAR moesten worden onderzocht omdat zij betrekking hadden op het voorlopige besluit, dan wel als opmerkingen die door Deloitte moesten worden onderzocht omdat zij betrekking hadden op waardering 3. De GAR heeft geen onderscheid gemaakt tussen opmerkingen die slechts eenmaal waren ingediend en opmerkingen waarvoor er sprake was van doublures.
21 Na afloop van de analysefase heeft de GAR 3 730 opmerkingen geïdentificeerd, die waren ingedeeld naar relevantie en onderwerp.
22 In een derde stap, de onderzoeksfase, zijn de opmerkingen met betrekking tot het voorlopige besluit door de GAR verwerkt en zijn de opmerkingen betreffende waardering 3, te weten 1 104 opmerkingen, op 17 juni 2019 via een specifiek voor de GAR bestemde, beveiligde virtuele server aan Deloitte overgedragen. De GAR heeft de met Deloitte te delen bestanden op de virtuele server geüpload en heeft toegang tot deze bestanden gegeven aan een beperkt en gecontroleerd aantal personeelsleden van Deloitte die rechtstreeks bij het project betrokken waren.
23 De aan Deloitte overgemaakte opmerkingen waren gefilterd, gecategoriseerd en geaggregeerd. Voor zover het ging om kopieën van eerdere opmerkingen, is slechts één versie aan Deloitte doorgezonden. Dit betekende dat individuele opmerkingen die meermaals voorkwamen, binnen een bepaald onderwerp niet als zodanig konden worden onderkend en Deloitte niet kon weten of een opmerking door een of meer deelnemers aan de procedure was gemaakt.
24 Enkel tijdens de raadplegingsfase ontvangen opmerkingen waar een alfanumerieke code aan was toegekend, werden aan Deloitte doorgegeven. Door middel van deze code was de GAR de enige die de opmerkingen kon koppelen aan de tijdens de inschrijvingsfase ontvangen gegevens. De alfanumerieke code is ontwikkeld voor auditdoeleinden, zodat kan worden nagegaan en eventueel achteraf kan worden aangetoond dat elke opmerking is verwerkt en naar behoren in aanmerking is genomen. Deloitte had en heeft nog steeds geen toegang tot de databank met gegevens die tijdens de inschrijvingsfase werden verzameld.
Procedure bij de EDPS
25 Op 19, 26 en 28 oktober en 5 december 2019 hebben getroffen aandeelhouders en crediteuren die het formulier hadden ingevuld, vijf klachten aan de EDPS doen toekomen (zaken 2019‑947, 2019‑998, 2019‑999, 2019‑1000 en 2019‑1122) (hierna: „vijf klachten”) op grond van verordening (EU) 2018/1725 van het Europees Parlement en de Raad van 23 oktober 2018 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door de instellingen, organen en instanties van de Unie en betreffende het vrije verkeer van die gegevens, en tot intrekking van verordening (EG) nr. 45/2001 en besluit nr. 1247/2002/EG (PB 2018, L 295, blz. 39).
26 De indieners van de vijf klachten (hierna: „klagers”) hebben aangevoerd dat de GAR hun niet had meegedeeld dat de via de antwoorden op het formulier verzamelde gegevens in strijd met de privacyverklaring zouden worden doorgezonden aan derden, namelijk Deloitte en Banco Santander. Zij hebben aangevoerd dat de GAR daardoor artikel 15, lid 1, onder d), van verordening 2018/1725 had geschonden, dat stelt dat „[w]anneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, […] de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens […] informatie [verstrekt over], in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens”.
27 Op 12 december 2019 heeft de EDPS de GAR meegedeeld dat hij de vijf klachten had ontvangen en hem verzocht opmerkingen te maken.
28 Op 24 juni 2020 heeft de EDPS, na een procedure waarin de GAR op verzoek van de EDPS verschillende toelichtingen heeft verstrekt en de klagers opmerkingen hebben ingediend, het oorspronkelijke besluit vastgesteld. Volgens de EDPS had de GAR inbreuk gemaakt op artikel 15 van verordening 2018/1725 doordat hij de klagers in de privacyverklaring niet had geïnformeerd over de mogelijkheid dat hun persoonsgegevens aan Deloitte zouden worden bekendgemaakt. Bijgevolg heeft hij de GAR voor deze inbreuk berispt op grond van artikel 58, lid 2, onder b), van verordening 2018/1725.
29 Op 22 juli 2020 heeft de GAR de EDPS verzocht om het oorspronkelijke besluit te herzien op grond van artikel 18, lid 1, van het besluit van de EDPS van 15 mei 2020 tot vaststelling van het reglement van orde van de EDPS (PB 2020, L 204, blz. 49). De GAR heeft met name een gedetailleerde beschrijving gegeven van de procedure betreffende het recht om te worden gehoord en van de wijze waarop de opmerkingen die vier van de geïdentificeerde klagers tijdens de raadplegingsfase hadden ingediend, waren geanalyseerd. Hij voerde aan dat de gegevens die aan Deloitte waren doorgezonden geen persoonsgegevens vormden in de zin van artikel 3, punt 1, van verordening 2018/1725.
30 Op 5 augustus 2020 heeft de EDPS de GAR meegedeeld dat hij in het licht van nieuw verstrekte informatie had besloten het oorspronkelijke besluit te herzien en dat hij een besluit zou vaststellen dat dit besluit zou vervangen.
31 Op 24 november 2020, na de herzieningsprocedure, in het kader waarvan de klagers opmerkingen hebben gemaakt en de GAR op verzoek van de EDPS aanvullende informatie heeft verstrekt, heeft de EDPS het herziene besluit vastgesteld.
32 De EDPS heeft besloten het oorspronkelijke besluit als volgt te herzien:
„1. De EDPS is van mening dat de gegevens die de GAR met Deloitte heeft gedeeld, gepseudonimiseerde gegevens waren, zowel omdat de opmerkingen in de [raadplegingsfase] persoonsgegevens waren als omdat de GAR de alfanumerieke code deelde, op basis waarvan de in de [inschrijvingsfase] ontvangen antwoorden konden worden gekoppeld aan die van de [raadplegingsfase], terwijl de gegevens die de deelnemers hebben verstrekt om zich in de [inschrijvingsfase] te identificeren niet aan Deloitte waren bekendgemaakt.
2. Volgens de EDPS was Deloitte een ontvanger van de persoonsgegevens van de klagers in de zin van artikel 3, punt 13, van verordening 2018/1725. Het feit dat in de privacyverklaring van de GAR geen melding is gemaakt van Deloitte als potentiële ontvanger van de persoonsgegevens die door de GAR, als verwerkingsverantwoordelijk, werden verzameld en verwerkt in het kader van de procedure betreffende het recht om te worden gehoord, vormt een inbreuk op de informatieplicht van artikel 15, lid 1, onder d), [van verordening 2018/1725].
3. Gelet op alle technische en organisatorische maatregelen die de GAR heeft genomen ter beperking van de risico’s voor het recht van personen op gegevensbescherming in het kader van de procedure betreffende het recht om te worden gehoord, besluit de EDPS geen gebruik te maken van zijn in artikel 58, lid 2, [van verordening 2018/1725] bedoelde bevoegdheid om corrigerende maatregelen te nemen.
4. Niettemin beveelt de EDPS de GAR aan ervoor te zorgen dat zijn privacyverklaringen in toekomstige procedures betreffende het recht om te worden gehoord zowel in de inschrijvingsfase als in de raadplegingsfase verwijzen naar de verwerking van persoonsgegevens en alle potentiële ontvangers van de verzamelde informatie omvatten, teneinde volledig te voldoen aan de verplichting om de betrokkenen te informeren overeenkomstig artikel 15 [van verordening 2018/1725].”
Conclusies van partijen
33 De GAR verzoekt het Gerecht, na aanpassing van zijn conclusies:
– het herziene besluit nietig te verklaren;
– het oorspronkelijke besluit onrechtmatig te verklaren;
– de EDPS in de kosten te verwijzen.
34 De EDPS verzoekt het Gerecht:
– het beroep te verwerpen;
– de GAR in de kosten te verwijzen.
In rechte
Tweede vordering, waarmee het Gerecht wordt verzocht het „oorspronkelijke besluit onrechtmatig” te verklaren
35 In casu staat tussen partijen vast dat het oorspronkelijke besluit bij het herziene besluit is ingetrokken en vervangen.
36 De EDPS voert aan dat de vordering die ziet op het oorspronkelijke besluit bijgevolg niet-ontvankelijk is.
37 De GAR betoogt dat hij nog steeds belang heeft bij de vaststelling van de procedurele onregelmatigheden die tot de vaststelling van het oorspronkelijke besluit hebben geleid, te weten de schendingen van zijn rechten van verdediging en van zijn recht op toegang tot het dossier, zodat deze zich in toekomstige procedures niet opnieuw voordoen. In zijn antwoord op een maatregel tot organisatie van de procesgang heeft hij gepreciseerd dat hij met zijn tweede vordering niet verzocht om nietigverklaring van het oorspronkelijke besluit, dat met terugwerkende kracht was ingetrokken en vervangen door het herziene besluit, maar om het onrechtmatig te verklaren.
38 Derhalve moet worden geoordeeld dat de GAR met zijn tweede vordering een declaratoir vonnis en niet de nietigverklaring van een handeling beoogt.
39 Het is voldoende dat in herinnering wordt gebracht dat het Gerecht in het kader van de wettigheidscontrole op grond van artikel 263 VWEU volgens vaste rechtspraak niet bevoegd is om declaratoire arresten te wijzen (zie arresten van 4 februari 2009, Omya/Commissie, T‑145/06, EU:T:2009:27, punt 23 en aldaar aangehaalde rechtspraak, en 13 september 2018, DenizBank/Raad, T‑798/14, EU:T:2018:546, punt 135 en aldaar aangehaalde rechtspraak).
40 Hieruit volgt dat de tweede vordering van de GAR, die ertoe strekt dat het Gerecht „het oorspronkelijke besluit onrechtmatig [verklaart]”, moet worden afgewezen wegens onbevoegdheid van het Gerecht om er kennis van te nemen.
Ontvankelijkheid van de eerste vordering, waarmee wordt verzocht om nietigverklaring van het herziene besluit
41 De ontvankelijkheid van het beroep is een ontvankelijkheidsgrond van openbare orde, die in elke stand van het geding ambtshalve door de rechter van de Europese Unie kan worden opgeworpen (zie arrest van 16 maart 2022, MEKH en FGSZ/ACER, T‑684/19 en T‑704/19, EU:T:2022:138, punt 29 en aldaar aangehaalde rechtspraak; zie in die zin ook arrest van 24 maart 1993, CIRFS e.a./Commissie, C‑313/90, EU:C:1993:111, punt 23). In het kader van een maatregel tot organisatie van de procesgang heeft het Gerecht partijen met name gevraagd of het herziene besluit een voor beroep vatbare handeling in de zin van artikel 263 VWEU vormt.
42 In antwoord op deze vraag geeft de EDPS aan dat het feit dat het herziene besluit zijn definitieve standpunt en een vaststelling van een inbreuk bevat, niet volstaat om het als een voor beroep vatbare handeling aan te merken. Dit standpunt moet leiden tot een wijziging van de rechtspositie van de GAR. Aangezien de EDPS in het herziene besluit geen gebruik heeft gemaakt van zijn corrigerende bevoegdheid als bedoeld in artikel 58 van verordening 2018/1725, kan dit besluit worden geacht geen rechtsgevolgen in het leven te roepen die op grond van artikel 263 VWEU rechterlijk kunnen worden getoetst.
43 In zijn antwoord op diezelfde vraag voert de GAR aan dat het herziene besluit rechtsgevolgen in het leven roept die zijn belangen kunnen aantasten.
44 Volgens de rechtspraak kan krachtens artikel 263, vierde alinea, VWEU door een natuurlijke of rechtspersoon alleen worden opgekomen tegen handelingen die bindende rechtsgevolgen in het leven roepen welke de belangen van die persoon kunnen aantasten doordat zij diens rechtspositie aanmerkelijk wijzigen. Zo vormen maatregelen die het standpunt van een instelling, een orgaan of instantie van de Unie definitief vastleggen na afloop van een administratieve procedure en die beogen bindende rechtsgevolgen in het leven te roepen welke de belangen van de verzoeker kunnen aantasten, met uitsluiting van tussentijdse maatregelen die de voorbereiding van de eindbeschikking tot doel hebben en die niet dergelijke gevolgen hebben, in beginsel voor beroep vatbare handelingen (zie arresten van 25 juni 2020, Satcen/KF, C‑14/19‑P, EU:C:2020:492, punten 69 en 70 en aldaar aangehaalde rechtspraak, en 6 mei 2021, ABLV Bank e.a./ECB, C‑551/19‑P en C‑552/19‑P, EU:C:2021:369, punt 39 en aldaar aangehaalde rechtspraak).
45 Om vast te stellen of de bestreden handeling dergelijke rechtsgevolgen sorteert, moet worden gekeken naar de kern van deze handeling en moeten die gevolgen worden beoordeeld aan de hand van objectieve criteria, zoals de inhoud van die handeling, waarbij in voorkomend geval rekening moet worden gehouden met de context waarin de handeling is vastgesteld en de bevoegdheden van de instelling, het orgaan of de instantie van de Unie die de handeling heeft vastgesteld (zie arresten van 22 april 2021, thyssenkrupp Electrical Steel en thyssenkrupp Electrical Steel Ugo/Commissie, C‑572/18‑P, EU:C:2021:317, punt 48 en aldaar aangehaalde rechtspraak; 6 mei 2021, ABLV Bank e.a./ECB, C‑551/19 P en C‑552/19 P, EU:C:2021:369, punt 41 en aldaar aangehaalde rechtspraak, en 6 oktober 2021, Tognoli e.a./Parlement, C‑431/20 P, EU:C:2021:807, punt 34 en aldaar aangehaalde rechtspraak).
46 In de eerste plaats zij eraan herinnerd dat het herziene besluit door de EDPS is vastgesteld naar aanleiding van een verzoek van de GAR om het oorspronkelijke besluit te herzien. Het herziene besluit, dat is vastgesteld na afloop van een administratieve procedure op tegenspraak, trekt het oorspronkelijke besluit in en vervangt het, en vormt een besluit dat het standpunt van de EDPS inzake de vijf klachten definitief vastlegt.
47 Artikel 64, lid 2, van verordening 2018/1725, betreffende het recht op een doeltreffende voorziening in rechte, bepaalt dat bij het Hof van Justitie van de Europese Unie tegen de besluiten van de EDPS beroep kan worden ingesteld.
48 In het bijzonder bepaalt artikel 18 van het reglement van orde van de EDPS, op basis waarvan het herziene besluit is vastgesteld, met name in lid 3:
„Indien de EDPS na een verzoek om herziening van zijn besluit over een klacht een nieuw, herzien besluit neemt, informeert de EDPS de klager en de betrokken instelling dat zij dit nieuwe besluit kunnen aanvechten voor het Hof van Justitie van de Europese Unie in overeenstemming met artikel 263 [VWEU].”
49 In dit verband staat in de begeleidende brief bij het herziene besluit die aan de GAR is gezonden, het volgende te lezen:
„Er zij op gewezen dat dit besluit het op 24 juni 2020 vastgestelde besluit nietig verklaart en vervangt. Binnen twee maanden na de vaststelling van dit besluit kunt u overeenkomstig artikel 263 [VWEU] bij het Hof van Justitie van de Europese Unie een beroep tot nietigverklaring van dit besluit instellen.”
50 Wat in de tweede plaats de kern van het herziene besluit betreft, zij er om te beginnen aan herinnerd dat de EDPS tot de slotsom is gekomen dat de GAR de in artikel 15, lid 1, onder d), van verordening 2018/1725 neergelegde informatieplicht niet was nagekomen en vervolgens dat de EDPS de GAR in wezen heeft aanbevolen om in zijn toekomstige privacyverklaringen ervoor te zorgen dat een dergelijke inbreuk niet werd herhaald.
51 Ten eerste moet worden opgemerkt dat een dergelijke inbreuk ingevolge artikel 65 van verordening 2018/1725 kan leiden tot de aansprakelijkheid van de GAR, als verwerkingsverantwoordelijke van de betrokken gegevens, mits inachtneming van de andere in de Verdragen vastgestelde voorwaarden.
52 Ten tweede houdt de EDPS volgens artikel 66, lid 1, van verordening 2018/1725 bij het besluit over de vraag of aan een instelling of orgaan van de Unie een administratieve geldboete wordt opgelegd en over de hoogte daarvan onder andere rekening met vergelijkbare eerdere inbreuken door die instelling of dat orgaan. Indien de GAR de aanbeveling van de EDPS om in de toekomst zijn privacyverklaringen in procedures betreffende het recht om te worden gehoord te wijzigen, niet zou opvolgen, zou derhalve een vergelijkbare inbreuk op artikel 15, lid 1, onder d), van verordening 2018/1725 door de GAR kunnen worden vastgesteld en ertoe kunnen leiden dat een geldboete wordt opgelegd.
53 Hieruit volgt dat de vaststelling in het herziene besluit dat de GAR inbreuk heeft gepleegd op artikel 15, lid 1, onder d), van verordening 2018/1725 bindende rechtsgevolgen teweegbrengt, ook al heeft de EDPS aangegeven dat hij afzag van de uitoefening van zijn in artikel 58, lid 2, van verordening 2018/1725 bedoelde bevoegdheid om corrigerende maatregelen te nemen.
54 Gelet op het voorgaande is het herziene besluit een handeling van de Unie die de belangen van de adressaat ervan kan aantasten doordat zij diens rechtspositie aanmerkelijk wijzigt. Zij vormt dus een voor beroep vatbare handeling in de zin van artikel 263 VWEU.
55 Bijgevolg is de eerste vordering, waarmee wordt verzocht om nietigverklaring van het herziene besluit ontvankelijk.
Ten gronde
56 Ter ondersteuning van zijn beroep voert de GAR twee middelen aan. Het eerste middel houdt in dat inbreuk is gemaakt op artikel 3, punt 1, van verordening 2018/1725, aangezien de gegevens die aan Deloitte waren doorgezonden geen persoonsgegevens vormden. Het tweede middel betreft schending van het recht op behoorlijk bestuur, dat is verankerd in artikel 41 van het Handvest.
57 Met het eerste middel voert de GAR aan dat de EDPS inbreuk heeft gemaakt op artikel 3, punt 1, van verordening 2018/1725 door zich in het herziene besluit op het standpunt te stellen dat het bij de aan Deloitte doorgezonden gegevens ging om persoonsgegevens van de klagers.
58 Artikel 3, punt 1, van verordening 2018/1725 definieert persoonsgegevens als „iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon [en geeft aan dat] als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatiemiddel zoals een naam, een identificatienummer, locatiegegevens, een online identificatiemiddel, of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.
59 Uit deze definitie volgt dat informatie met name een persoonsgegeven is indien aan twee cumulatieve voorwaarden is voldaan, te weten, ten eerste, dat het gaat om informatie „betreffende” een natuurlijke persoon en, ten tweede, dat deze persoon „geïdentificeerd of identificeerbaar” is.
Voorwaarde in artikel 3, punt 1, van verordening 2018/1725 dat het gaat om informatie „betreffende” een natuurlijke persoon
60 De GAR voert aan dat de tijdens de raadplegingsfase ontvangen en aan Deloitte verstrekte opmerkingen geen betrekking hadden op specifieke personen in de zin van artikel 3, punt 1, van verordening 2018/1725. Hij is van mening dat de redenering in het arrest van 20 december 2017, Nowak (C‑434/16, EU:C:2017:994), niet van toepassing is op de opmerkingen van de klagers. Hij betoogt dat de informatie in de opmerkingen van de klagers feitelijke en juridische informatie was die losstond van de personen of van de persoonlijke kwaliteiten van de klagers en geen verband hield met hun privéleven. Volgens hem had de procedure betreffende het recht om te worden gehoord de beoordeling tot doel van de feitelijke en juridische argumenten met betrekking tot het voorlopige besluit en de waardering 3 die afkomstig waren van een groot aantal belanghebbenden, waarvan de persoonlijkheid en de identiteit niet relevant waren voor de beoordeling van hun opmerkingen.
61 De EDPS betoogt dat de inhoud van de opmerkingen van de getroffen aandeelhouders en crediteuren informatie is die hen „betreft”, aangezien hun antwoorden hun persoonlijke standpunt bevatten en weergaven, ook al waren zij gebaseerd op voor het publiek toegankelijke informatie. De antwoorden op het formulier van de klagers en de andere deelnemers zijn volgens hem persoonsgegevens, ongeacht of zij een origineel standpunt dan wel een met anderen gedeeld standpunt uitdrukken en ongeacht of de GAR deze antwoorden beschouwt als informatie die losstaat van de specifieke rechten van de getroffen aandeelhouders en crediteuren op het gebied van de eerbiediging van de persoonlijke levenssfeer.
62 Voorts is de EDPS van mening dat de opmerkingen vanwege hun gevolg persoonsgegevens zijn. De beoordeling van deze opmerkingen, die ertoe strekte de geldigheid van waardering 3 en de rechtmatigheid van het voorlopige besluit na te gaan, had gevolgen kunnen hebben voor de belangen en de rechten van de deelnemers op het gebied van financiële compensatie. Ten slotte betoogt hij dat met het verzamelen van de opmerkingen werd beoogd aan elke partij procedurele rechten toe te kennen teneinde individuele standpunten in te winnen.
63 In het herziene besluit heeft de EDPS aangegeven dat de in de raadplegingsfase ontvangen antwoorden persoonsgegevens van de klagers waren, aangezien deze antwoorden hun persoonlijk standpunt bevatten en het dus ging om informatie betreffende hen, ook al waren deze antwoorden, om de daarin opgenomen opvatting tot uitdrukking te brengen, gebaseerd op voor het publiek toegankelijke informatie. Volgens de EDPS betekende het feit dat de klagers standpunten hadden geformuleerd die sterk leken op maar niet identiek waren aan die van de andere deelnemers, niet dat hun antwoorden niet hun eigen mening weergaven. De EDPS was dan ook van mening dat de antwoorden die de klagers en andere deelnemers in de vrije tekstvelden hadden gegeven, allemaal als persoonsgegevens moesten worden beschouwd, ongeacht of het ging om de uitdrukking van een origineel en unieke standpunt dan wel van een standpunt dat met anderen wordt gedeeld of dat is geïnspireerd op of afgeleid is uit voor het publiek toegankelijke informatie. Hij voegde daaraan toe dat deze conclusie niet in tegenspraak was met het arrest van 20 december 2017, Nowak (C‑434/16, EU:C:2017:994), waarin het Hof geen onderscheid had gemaakt tussen antwoorden die volledig door de respondenten waren opgesteld en antwoorden uit andere kennisbronnen.
64 Onderzocht moet worden of de EDPS terecht kon oordelen dat de informatie die aan Deloitte was doorgezonden, informatie „betreffende” een natuurlijke persoon in de zin van artikel 3, punt 1, van verordening 2018/1725 was.
65 Om te beginnen moet worden vastgesteld dat de EDPS in het herziene besluit alle opmerkingen die in het kader van de raadplegingsfase door de getroffen aandeelhouders en crediteuren waren geformuleerd, als persoonsgegevens heeft aangemerkt en zijn beoordeling niet heeft beperkt tot de aan Deloitte doorgezonden informatie.
66 Aangezien de in het herziene besluit vastgestelde inbreuk op artikel 15, lid 1, onder d), van verordening 2018/1725 enkel betrekking had op het feit dat de GAR in de privacyverklaring niet heeft vermeld dat Deloitte de potentiële ontvanger van bepaalde gegevens was, dient enkel te worden onderzocht of de aan Deloitte doorgezonden gegevens persoonsgegevens in de zin van artikel 3, punt 1, van verordening 2018/1725 waren.
67 In dit verband definieert artikel 3, punt 13, van verordening 2018/1725 de „ontvanger” als „een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden bekendgemaakt”.
68 Volgens de rechtspraak wijst het gebruik van de woorden „iedere informatie” in de definitie van het begrip „persoonsgegevens” in artikel 3, punt 1, van verordening 2018/1725 erop dat het de bedoeling van de Uniewetgever was om een ruime betekenis te geven aan dit begrip, dat niet beperkt is tot gevoelige of persoonlijke informatie maar zich potentieel uitstrekt tot elke soort informatie, zowel objectieve informatie als subjectieve informatie onder de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft” (zie naar analogie arrest van 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 34).
69 Wat deze laatste voorwaarde betreft, heeft het Hof geoordeeld dat zij is vervuld wanneer de informatie, wegens haar inhoud, doel of gevolg, gelieerd is aan een bepaalde persoon (arrest van 20 december 2017, Nowak, C‑434/16, EU:C:2017:994, punt 35).
70 In het herziene besluit heeft de EDPS de inhoud, het doel en het effect van de aan Deloitte doorgezonden informatie echter niet onderzocht.
71 Hij heeft namelijk slechts aangegeven dat de opmerkingen die de klagers tijdens de raadplegingsfase maakten hun meningen of standpunten weerspiegelden, en uitsluitend op grond daarvan geconcludeerd dat het hun betreffende informatie was, hetgeen volstond om ze als persoonsgegevens aan te merken.
72 Ter terechtzitting heeft de EDPS zijn standpunt bevestigd dat elke persoonlijke mening een persoonsgegeven is. Hij heeft ook erkend dat hij de inhoud van de opmerkingen die de klagers in de raadplegingsfase hebben gemaakt, niet heeft onderzocht.
73 Het valt inderdaad niet uit te sluiten dat persoonlijke standpunten of meningen persoonsgegevens vormen. Uit de punten 34 en 35 van het arrest van 20 december 2017, Nowak (C‑434/16, EU:C:2017:994), die in de punten 68 en 69 hierboven zijn aangehaald, blijkt echter dat een dergelijke conclusie niet kan worden gebaseerd op een vermoeden als beschreven in de punten 71 en 72 hierboven, maar moet worden gebaseerd op onderzoek dat ertoe strekt te bepalen of een standpunt, gelet op de inhoud, het doel of het gevolg ervan, gelieerd is aan een bepaalde persoon.
74 Hieruit volgt dat de EDPS, bij gebreke van een dergelijk onderzoek, niet tot de slotsom kon komen dat de informatie die aan Deloitte was doorgezonden, informatie „betreffende” een natuurlijke persoon in de zin van artikel 3, punt 1, van verordening 2018/1725 was.
75 Het Gerecht zal vervolgens de beoordeling van de EDPS onderzoeken die de vraag betreft of de aan Deloitte doorgezonden informatie betrekking had op een „geïdentificeerde of identificeerbare” natuurlijke persoon.
Voorwaarde in artikel 3, punt 1, van verordening 2018/1725 dat het gaat om informatie betreffende een „geïdentificeerde of identificeerbare” natuurlijke persoon
76 De GAR voert aan dat de mededeling van de alfanumerieke code aan Deloitte, anders dan de EDPS van mening was, niet heeft geleid tot „pseudonimisering” van de gegevens. Deze zijn anoniem gebleven, aangezien de GAR de informatie aan de hand waarvan de auteurs van de opmerkingen opnieuw konden worden geïdentificeerd niet met Deloitte heeft gedeeld.
77 De GAR betoogt dat de gegevens anoniem zijn gemaakt voor een derde, zelfs indien de informatie die heridentificatie mogelijk maakt niet onherroepelijk wordt verwijderd maar door de oorspronkelijke verwerker wordt bewaard, zolang het formaat waarin de gegevens aan die derde worden meegedeeld identificatie van de auteur van de opmerkingen niet langer mogelijk of niet redelijkerwijs waarschijnlijk maakt. De GAR betoogt dat, anders dan de EDPS in het herziene besluit heeft vastgesteld, verordening 2018/1725 en de rechtspraak van het Hof een beoordeling van het risico van heridentificatie vereisen.
78 Meer in het bijzonder stelt de GAR dat in casu niet is voldaan aan de in de rechtspraak van het Hof gestelde voorwaarden betreffende het bestaan van een risico van heridentificatie wanneer alle informatie op basis waarvan identificatie mogelijk is niet in het bezit is van één persoon maar van verschillende partijen. Ten eerste stelt de alfanumerieke code die aan de individuele opmerkingen werd toegekend Deloitte niet in staat om de personen die opmerkingen hebben ingediend, opnieuw te identificeren. Bij de in artikel 3, punt 6, van verordening 2018/1725 vermelde aanvullende gegevens gaat het om de databank die decodering mogelijk maakt en waartoe alleen de GAR toegang heeft. Wat ten tweede het criterium betreft van redelijke waarschijnlijkheid dat de informatie zou worden gecombineerd, kon Deloitte niet rechtmatig toegang krijgen tot de aanvullende gegevens die identificatie mogelijk maken, en kan zij dit nog steeds niet.
79 De EDPS betoogt dat het feit dat Deloitte geen toegang heeft gehad tot de informatie in het bezit van de GAR die heridentificatie mogelijk maakt, niet tot gevolg heeft dat de „gepseudonimiseerde” gegevens die aan Deloitte zijn doorgezonden, anonieme gegevens zijn geworden. Het is niet nodig vast te stellen of de auteurs van de aan Deloitte doorgezonden gegevens door Deloitte opnieuw konden worden geïdentificeerd dan wel of deze heridentificatie redelijkerwijs waarschijnlijk was. „Gepseudonimiseerde” gegevens zouden ook „gepseudonimiseerd” blijven wanneer zij worden doorgezonden aan een derde die niet over aanvullende gegevens beschikt.
80 De EDPS voert aan dat het gebruik van de term „indirect” in artikel 3, punt 1, van verordening 2018/1725 betekent dat het voor de kwalificatie van informatie als persoonsgegevens niet noodzakelijk is dat deze informatie als zodanig de identificatie van de betrokkene mogelijk maakt. Wat de middelen betreft die redelijkerwijs zowel door de verwerkingsverantwoordelijke als door elke andere persoon zullen worden gebruikt, is bovendien niet vereist dat alle informatie aan de hand waarvan de betrokkene kan worden geïdentificeerd, bij een en dezelfde persoon berust.
81 In het herziene besluit heeft de EDPS vastgesteld dat de gegevens die aan Deloitte waren doorgezonden „gepseudonimiseerde” gegevens waren. In dit verband heeft hij erop gewezen dat het verschil tussen „gepseudonimiseerde” en anonieme gegevens is dat er in het geval van anonieme gegevens geen „aanvullende gegevens” bestonden die konden worden gebruikt om de gegevens te koppelen aan een specifieke betrokkene, terwijl er in het geval van „gepseudonimiseerde” gegevens wel dergelijke aanvullende gegevens zijn. Om te beoordelen of gegevens anoniem of „gepseudonimiseerd” zijn, moet derhalve worden nagegaan of er „aanvullende gegevens” zijn die kunnen worden gebruikt om de gegevens aan specifieke betrokkenen te koppelen.
82 De EDPS heeft opgemerkt dat de CRU aan Deloitte niet alleen bepaalde opmerkingen van de getroffen aandeelhouders en crediteuren heeft doorgezonden, maar ook de bijbehorende alfanumerieke code, en dat Deloitte geen toegang heeft gehad tot de in de inschrijvingsfase gegeven antwoorden. Hij heeft erop gewezen dat, zoals de GAR had uitgelegd, „het voor Deloitte onmogelijk was om de identiteit van een partij te achterhalen door deze code te gebruiken in combinatie met de concrete gegevens die door de in aanmerking komende partijen waren verstrekt in het kader van de inschrijvingsfase (die altijd door de GAR is bewaard)”. De EDPS was evenwel van mening dat de in de inschrijvingsfase verstrekte gegevens en het unieke identificatiemiddel, te weten de aan elke in aanmerking komende deelnemer toegekende alfanumerieke code, een perfect voorbeeld vormden van „aanvullende gegevens” in de zin van artikel 3, punt 6, van verordening 2018/1725, aangezien zij door de GAR konden worden gebruikt om de gegevens aan een specifieke betrokkene toe te wijzen.
83 De EDPS heeft uitgelegd dat verordening 2018/1725 geen onderscheid maakt tussen degenen die de „gepseudonimiseerde” gegevens bewaren en degenen die over de aanvullende informatie beschikten, en dat het feit dat het om verschillende entiteiten gaat, de „gepseudonimiseerde” gegevens niet anoniem maakt. Hij voegde daaraan toe dat het feit dat Deloitte op zichzelf niet in staat was om de opmerkingen toe te schrijven aan de tijdens de inschrijvingsfase ontvangen gegevens, niet uitsloot dat de gegevens die zij had ontvangen „gepseudonimiseerd” waren. Volgens de EDPS waren de gegevens die de GAR met Deloitte had gedeeld „gepseudonimiseerde” gegevens, zowel omdat de tijdens de raadplegingsfase ontvangen opmerkingen persoonsgegevens waren als omdat de GAR de alfanumerieke code deelde op basis waarvan de in de inschrijvingsfase gegeven antwoorden konden worden gekoppeld aan de antwoorden die in de raadplegingsfase waren gegeven, hoewel de gegevens die de deelnemers hadden verstrekt om zich in de inschrijvingsfase te identificeren niet aan Deloitte waren bekendgemaakt. Hij heeft daaruit afgeleid dat de gegevens die aan Deloitte waren doorgezonden „gepseudonimiseerde” gegevens waren en dus persoonsgegevens in de zin van artikel 3, punt 1, van verordening 2018/1725.
84 Vooraf moet worden opgemerkt dat de gegevens die aan Deloitte waren doorgezonden, gelet op de door de GAR ingestelde mechanismen voor de verwerking van de gegevens die worden verzameld in het kader van de procedure betreffende het recht om te worden gehoord, zoals beschreven in de punten 14 tot en met 24 hierboven, geen betrekking hadden op „geïdentificeerde” personen.
85 Derhalve moet worden onderzocht of de EDPS terecht heeft kunnen oordelen dat de aan Deloitte doorgezonden gegevens betrekking hadden op een „identificeerbare” natuurlijke persoon in de zin van artikel 3, punt 1, van verordening 2018/1725.
86 Volgens deze bepaling wordt als identificeerbaar beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd.
87 Overweging 16 van verordening 2018/1725 luidt als volgt:
„[…] Gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, moeten als gegevens over een identificeerbare natuurlijke persoon worden beschouwd. Om te bepalen of een natuurlijke persoon identificeerbaar is, moet rekening worden gehouden met alle middelen waarvan redelijkerwijs te verwachten valt dat zij door de verwerkingsverantwoordelijke of door een andere persoon zullen worden gebruikt om de natuurlijke persoon direct of indirect te identificeren, zoals selectietechnieken. Om uit te maken of redelijkerwijs te verwachten valt dat middelen zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd die nodig zijn voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen. […]”
88 Opgemerkt zij dat het Hof in het arrest van 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779), uitlegging heeft gegeven aan het begrip „persoonsgegeven” in de zin van artikel 2, onder a), van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31), dat een bepaling bevat die vergelijkbaar is met artikel 3, punt 1, van verordening 2018/1725.
89 In die zaak was de vraag aan de orde of een dynamisch internetprotocoladres (hierna: „IP-adres”) een persoonsgegeven vormde voor de aanbieder van onlinemediadiensten die dat adres had geregistreerd. Het Hof heeft geoordeeld dat moest worden nagegaan of dit IP-adres kon worden aangemerkt als een gegeven dat betrekking heeft op een „identificeerbare natuurlijke persoon”, daarbij rekening houdend met, ten eerste, het feit dat dat IP-adres die aanbieder op zichzelf niet de mogelijkheid bood om de gebruiker te identificeren die de website had geraadpleegd, en, ten tweede, het feit dat de internetprovider beschikte over de noodzakelijke aanvullende gegevens die, wanneer zij worden gecombineerd met dat IP-adres, het mogelijk maakten die gebruiker te identificeren.
90 Aangezien overweging 16 van verordening 2018/1725 verwijst naar de middelen die redelijkerwijs kunnen worden ingezet door zowel de persoon die voor de verwerking verantwoordelijk is als een „ander[e] persoon”, kan uit de bewoordingen ervan worden opgemaakt dat het voor de kwalificatie van een gegeven als „persoonsgegeven” in de zin van artikel 3, punt 1, van verordening 2018/1725 niet vereist is dat alle informatie aan de hand waarvan de betrokkene kan worden geïdentificeerd, bij een en dezelfde persoon berust (zie naar analogie arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 43).
91 Het Hof heeft daar echter aan toegevoegd dat het feit dat de extra informatie die nodig is om de gebruiker van een website te identificeren, niet berustte bij de aanbieder van onlinemediadiensten, maar bij de internetprovider van deze gebruiker, dan ook niet leek uit te sluiten dat dynamische IP-adressen die worden geregistreerd door deze aanbieder, voor hem persoonsgegevens vormden (arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 44).
92 Het Hof heeft geoordeeld dat evenwel moest worden bepaald of de mogelijkheid om een dynamisch IP-adres te combineren met de extra informatie waarvan die internetprovider in het bezit is, een middel vormde waarvan mocht worden aangenomen dat het redelijkerwijs kon worden ingezet om de betrokken persoon te identificeren (arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 45).
93 Het Hof heeft erop gewezen dat dit niet het geval zou zijn geweest indien de identificatie van de betrokkene bij de wet verboden of in de praktijk ondoenlijk was geweest, bijvoorbeeld omdat zij – gelet op de vereiste tijd, kosten en mankracht – een excessieve inspanning zou hebben gevergd, zodat het gevaar voor identificatie in werkelijkheid onbeduidend had geleken (arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 46).
94 In casu wordt ten eerste niet betwist dat de alfanumerieke code op de aan Deloitte doorgezonden gegevens op zichzelf niet volstond om de auteurs van de opmerkingen te identificeren en, ten tweede, dat Deloitte geen toegang had tot de tijdens de inschrijvingsfase ontvangen identificatiegegevens die het mogelijk zouden hebben gemaakt om via de alfanumerieke code de deelnemers aan hun opmerkingen te koppelen.
95 De EDPS heeft in het herziene besluit aangegeven en ter terechtzitting bevestigd dat de aanvullende gegevens die nodig zijn om de auteurs van de opmerkingen te identificeren, bestaan uit de alfanumerieke code en de databank met identificatiegegevens.
96 Zoals de EDPS betoogt, sluit het feit dat de aanvullende gegevens die nodig waren om de auteurs van de tijdens de raadplegingsfase ontvangen opmerkingen te identificeren niet bij Deloitte maar bij de GAR berustten, gelet op punt 43 van het arrest van 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779), aangehaald in punt 90 hierboven, inderdaad niet a priori uit dat de gegevens die aan Deloitte waren doorgezonden voor Deloitte persoonsgegevens vormden.
97 Uit het arrest van 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779), blijkt echter ook dat, om te bepalen of de gegevens die waren doorgezonden aan Deloitte persoonsgegevens vormden, het noodzakelijk is om zich in de positie van Deloitte te verplaatsen teneinde te bepalen of de aan haar doorgezonden informatie betrekking heeft op „identificeerbare personen”.
98 Ten eerste zij er immers aan herinnerd dat de door de EDPS in het herziene besluit vastgestelde inbreuk op artikel 15, lid 1, onder d), van verordening 2018/1725 betrekking had op de overdracht door de GAR van bepaalde opmerkingen aan Deloitte en niet louter op het feit dat deze opmerkingen bij de GAR berustten.
99 Ten tweede kan de situatie van Deloitte worden vergeleken met die van de aanbieder van onlinemediadiensten als bedoeld in het arrest van 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779), aangezien hij over informatie beschikte, namelijk de opmerkingen betreffende valorisatie 3, die geen informatie vormde die betrekking had op een „geïdentificeerde natuurlijke persoon”, daar de alfanumerieke code op elk antwoord niet direct de identiteit kon onthullen van de natuurlijke persoon die het formulier had ingevuld. Voorts kan de situatie van de GAR worden vergeleken met die van de internetprovider in die zaak, aangezien vaststaat dat hij als enige in het bezit was van de aanvullende gegevens aan de hand waarvan de getroffen aandeelhouders en crediteuren die het formulier hebben geantwoord konden worden geïdentificeerd, te weten de alfanumerieke code en de databank met identificatiegegevens.
100 Overeenkomstig punt 44 van het arrest van 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779), aangehaald in punt 91 hierboven, stond het dus aan de EDPS om te onderzoeken of de aan Deloitte doorgezonden opmerkingen voor haar persoonsgegevens vormden.
101 De EDPS stelt dan ook ten onrechte dat niet hoefde te worden onderzocht of de auteurs van de aan Deloitte doorgezonden informatie door haar opnieuw konden worden geïdentificeerd dan wel of deze heridentificatie redelijkerwijs mogelijk was.
102 Vastgesteld moet worden dat de EDPS zich in het herziene besluit op het standpunt heeft gesteld dat het feit dat de GAR beschikte over de aanvullende gegevens aan de hand waarvan de auteurs van de opmerkingen opnieuw konden worden geïdentificeerd, volstond om tot de slotsom te komen dat de gegevens die aan Deloitte waren doorgezonden persoonsgegevens waren, terwijl hij heeft erkend dat de tijdens de inschrijvingsfase ontvangen identificatiegegevens niet aan Deloitte waren meegedeeld.
103 Uit het herziene besluit blijkt dus dat de EDPS de mogelijkheid om de auteurs van de opmerkingen opnieuw te identificeren enkel heeft onderzocht vanuit het oogpunt van de GAR en niet vanuit het oogpunt van Deloitte.
104 Uit punt 45 van het arrest van 19 oktober 2016, Breyer (C‑582/14, EU:C:2016:779), aangehaald in punt 92 hierboven, blijkt echter dat het aan de EDPS stond om te bepalen of de mogelijkheid om de aan Deloitte doorgezonden informatie te combineren met de aanvullende gegevens waarvan de GAR in het bezit was, een middel vormde waarvan mag worden aangenomen dat het door Deloitte redelijkerwijs kon worden ingezet om de auteurs van de opmerkingen te identificeren.
105 Aangezien de EDPS niet heeft onderzocht of Deloitte over wettelijke en in de praktijk uitvoerbare middelen beschikte om toegang te krijgen tot de aanvullende gegevens die nodig waren voor de heridentificatie van de auteurs van de opmerkingen, kon de EDPS dus niet tot de slotsom komen dat de informatie die aan Deloitte was doorgezonden, informatie vormde die betrekking had op een „identificeerbare natuurlijke persoon” in de zin van artikel 3, punt 1, van verordening 2018/1725.
106 Uit een en ander volgt dat het eerste middel moet worden aanvaard en dat het herziene besluit dus nietig moet worden verklaard zonder dat het tweede middel moet worden onderzocht.
Kosten
107 Volgens artikel 134, lid 1, van het Reglement voor de procesvoering van het Gerecht wordt de in het ongelijk gestelde partij verwezen in de kosten, voor zover dat is gevorderd
108 Aangezien de EDPS op de voornaamste punten in het ongelijk is gesteld, dient hij overeenkomstig de vordering van de GAR te worden verwezen in de kosten.
HET GERECHT (Achtste kamer – uitgebreid),
rechtdoende, verklaart:
1) Het herziene besluit van de Europese Toezichthouder voor gegevensbescherming (EDPS) van 24 november 2020 dat is vastgesteld naar aanleiding van het verzoek van de Gemeenschappelijke Afwikkelingsraad (GAR) om herziening van het besluit van de EDPS van 24 juni 2020 betreffende vijf klachten van verschillende klagers (zaken 2019‑947, 2019‑998, 2019‑999, 2019‑1000 en 2019‑1122), wordt nietig verklaard.
2) Het beroep wordt verworpen voor het overige.
3) De EDPS wordt verwezen in de kosten.
Uitgesproken ter openbare terechtzitting te Luxemburg op 26 april 2023.
ondertekeningen