PRESUDA OPĆEG SUDA (osmo prošireno vijeće)
26. travnja 2023.(*)
„Zaštita osobnih podataka – Postupak naknade štete dioničarima i vjerovnicima nakon sanacije bankarske institucije – Odluka EDPS‑a kojom se utvrđuje da je SRB povrijedio svoje obveze u vezi s obradom osobnih podataka – Članak 15. stavak 1. točka (d) Uredbe (EU) 2018/1725 – Pojam ‚osobni podaci’ – Članak 3. točka 1. Uredbe 2018/1725 – Pravo na pristup spisu”
U predmetu T‑557/20,
Jedinstveni sanacijski odbor (SRB), koji zastupaju H. Ehlers, M. Fernandez Ruperez, A. Lapresta Bienz, u svojstvu agenata, uz asistenciju H.-G. Kamanna, M. Brauna, F. Louisa, i L. Hessea, odvjetnikâ,
tužitelj,
protiv
Europskog nadzornika za zaštitu podataka (EDPS), kojeg zastupaju P. Candellier, X. Lareo i T. Zerdick, u svojstvu agenata,
tuženika,
OPĆI SUD (osmo prošireno vijeće),
u sastavu: A. Kornezov, predsjednik, G. De Baere (izvjestitelj), D. Petrlík, K. Kecsmár i S. Kingston, suci,
tajnik: I. Kurme, administratorica,
uzimajući u obzir pisani dio postupka,
nakon rasprave održane 1. prosinca 2022.,
donosi sljedeću
Presudu
1 Svojom tužbom, koja se temelji na članku 263. UFEU‑a, Jedinstveni sanacijski odbor (SRB) zahtijeva, s jedne strane, poništenje izmijenjene odluke Europskog nadzornika za zaštitu podataka (EDPS) od 24. studenoga 2020., donesene nakon što je SRB podnio zahtjev za preispitivanje odluke EDPS‑a od 24. lipnja 2020. o pet pritužbi koje je podnijelo nekoliko podnositelja (predmeti 2019‑947, 2019‑998, 2019‑999, 2019‑1000 i 2019‑1122) (u daljnjem tekstu: izmijenjena odluka) i, s druge strane, proglašenje nezakonitosti EDPS‑ove odluke od 24. lipnja 2020. (u daljnjem tekstu: prvotna odluka).
Okolnosti spora
2 Izvršna sjednica SRB‑a donijela je 7. lipnja 2017. Odluku SRB/EES/2017/08 o sanacijskom programu za društvo Banco Popular Español, S. A. (u daljnjem tekstu: sanacijski program) na temelju Uredbe (EU) br. 806/2014 Europskog parlamenta i Vijeća od 15. srpnja 2014. o utvrđivanju jedinstvenih pravila i jedinstvenog postupka za sanaciju kreditnih institucija i određenih investicijskih društava u okviru jedinstvenog sanacijskog mehanizma i jedinstvenog fonda za sanaciju te o izmjeni Uredbe (EU) br. 1093/2010 (SL 2014., L 225, str. 1. i ispravak SL 2015., L 101, str. 62.).
3 Istoga dana Europska komisija donijela je Odluku (EU) 2017/1246 o potvrđivanju sanacijskog programa (SL 2017., L 178, str. 15. i ispravak SL 2017., L 320, str. 31.).
4 U sanacijskom programu, smatrajući da su ispunjeni uvjeti predviđeni člankom 18. stavkom 1. Uredbe br. 806/2014, SRB je odlučio provesti sanacijski postupak nad društvom Banco Popular Español (u daljnjem tekstu: društvo Banco Popular). SRB je odlučio otpisati i konvertirati instrumente kapitala društva Banco Popular na temelju članka 21. Uredbe br. 806/2014 i primijeniti instrument prodaje poslovanja na temelju članka 24. Uredbe br. 806/2014 prijenosom dionica na stjecatelja.
5 Nakon sanacije društva Banco Popular, društvo Deloitte dostavilo je SRB‑u 14. lipnja 2018. vrednovanje razlike u postupanju predviđene člankom 20. stavcima 16. do 18. Uredbe br. 806/2014, koje je provedeno kako bi se utvrdilo bi li se prema dioničarima i vjerovnicima bolje postupalo da je nad društvom Banco Popular proveden redovni postupak u slučaju insolventnosti (u daljnjem tekstu: vrednovanje 3).
6 Dana 6. kolovoza 2018. SRB je na svojoj internetskoj stranici objavio Obavijest od 2. kolovoza 2018. koja se odnosi na njegovu preliminarnu odluku o tome treba li isplatiti odštetu dioničarima i vjerovnicima u odnosu na koje su poduzete mjere sanacije povezane s društvom Banco Popular Español S. A. i pokretanju postupka za ostvarenje prava na saslušanje (SRB/EES/2018/132) (u daljnjem tekstu: preliminarna odluka), kao i verziju vrednovanja 3. koja nije klasificirana oznakom tajnosti. Objava o SRB‑ovoj Obavijesti objavljena je 7. kolovoza 2018. u Službenom listu Europske unije (SL 2018., C 277 I, str. 1.).
7 SRB je u preliminarnoj odluci naveo da, kako bi mu se omogućilo da donese konačnu odluku o tome treba li isplatiti odštetu dioničarima i vjerovnicima pogođenima sanacijom društva Banco Popular na temelju članka 76. stavka 1. točke (e) Uredbe br. 806/2014, poziva te dioničare i vjerovnike da iskažu svoj interes za ostvarenje prava na saslušanje u skladu s člankom 41. stavkom 2. točkom (a) Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).
Postupak koji se odnosi na pravo na saslušanje
8 U preliminarnoj odluci SRB je naveo da se postupak u vezi s pravom na saslušanje odvija u dvije faze. U prvoj fazi (u daljnjem tekstu: faza prijave) pogođeni dioničari i vjerovnici pozvani su da do 14. rujna 2018. putem internetskog obrasca za upis iskažu svoj interes za ostvarenje prava na saslušanje. Zatim SRB treba provjeriti je li svaka stranka koja je iskazala svoj interes zaista imala status pogođenog dioničara ili vjerovnika. U drugoj fazi (u daljnjem tekstu: faza savjetovanja) pogođeni dioničari i vjerovnici čiji je status SRB provjerio mogli su podnijeti svoja očitovanja na preliminarnu odluku kojoj je priloženo vrednovanje 3.
9 U fazi prijave, pogođeni dioničari i vjerovnici koji žele ostvariti svoje pravo na saslušanje morali su SRB‑u dostaviti dokaze o tome da su na dan sanacije držali jedan ili više instrumenata kapitala društva Banco Popular koji su otpisani ili konvertirani i preneseni na društvo Banco Santander, SA u okviru sanacije. Popratni dokumenti koje je trebalo dostaviti sadržavali su identifikacijsku ispravu i dokaz o vlasništvu nad jednim od tih instrumenata kapitala na dan 6. lipnja 2017.
10 Na dan otvaranja faze prijave, 6. kolovoza 2018., SRB je na internetskoj stranici prijave u postupak u vezi s pravom na saslušanje i na svojoj internetskoj stranici objavio i izjavu o povjerljivosti u pogledu obrade osobnih podataka u okviru postupka u vezi s pravom na saslušanje (u daljnjem tekstu: izjava o povjerljivosti).
11 SRB je 16. listopada 2018. na svojoj internetskoj stranici objavio da će počevši od 6. studenoga 2018. u fazi savjetovanja dioničari i vjerovnici koji ispunjavaju uvjete biti pozvani da podnesu svoja pisana očitovanja o preliminarnoj odluci.
12 Dana 6. studenoga 2018. SRB je porukom elektroničke pošte dioničarima i vjerovnicima koji ispunjavaju uvjete poslao jedinstvenu osobnu poveznicu koja im omogućuje da na internetu pristupe obrascu (u daljnjem tekstu: obrazac). Obrazac je sadržavao sedam pitanja s ograničenim prostorom za odgovor koji je dioničarima i vjerovnicima omogućio da do 26. studenoga 2018. podnesu očitovanja na preliminarnu odluku i na verziju vrednovanja 3 koja nije klasificirana oznakom tajnosti.
13 SRB je ispitao relevantna očitovanja pogođenih dioničara i vjerovnika u pogledu preliminarne odluke. Od društva Deloitte, u njegovu svojstvu neovisnog procjenitelja, zatražio je da ocijeni relevantna očitovanja koja se odnose na vrednovanje 3, da mu dostavi dokument koji sadržava njegovu procjenu i da ispita je li vrednovanje 3 i dalje valjano s obzirom na ta očitovanja.
Obrada podataka koje je SRB prikupio u okviru postupka u vezi s pravom na saslušanje
14 Podaci prikupljeni u fazi prijave, odnosno dokazi o identitetu sudionika i vlasništvu nad otpisanim ili konvertiranim i prenesenim instrumentima kapitala društva Banco Popular bili su dostupni ograničenom broju članova SRB‑ova osoblja zaduženih za obradu tih podataka kako bi se utvrdilo ispunjavaju li sudionici uvjete za to.
15 Ti podaci nisu bili vidljivi članovima SRB‑ova osoblja zaduženima za obradu očitovanja primljenih u fazi savjetovanja, tijekom koje su primili samo očitovanja koja su identificirana upućivanjem na alfanumerički kod dodijeljen svakom očitovanju podnesenom putem obrasca. Alfanumerički kod sastojao se od jedinstvenog univerzalnog identifikatora od 33 znamenke, nasumično generiranog u trenutku primitka odgovora na obrazac.
16 U prvoj fazi SRB je proveo automatsko filtriranje 23 822 očitovanja – od kojih svako nosi jedinstveni alfanumerički kod – koja je podnijelo 2855 sudionika u postupku. Na temelju dvaju algoritama utvrđeno je da je 20 101 komentara istovjetno. Prvo podneseno očitovanje smatralo se izvornim očitovanjem o kojem se raspravljalo u fazi analize, a kasnije zaprimljena istovjetna očitovanja razvrstana su u dvostruke unose.
17 U drugoj fazi, fazi analize, SRB je ispitao očitovanja s ciljem osiguranja dosljednosti prilikom procjene njihove relevantnosti te njihove kategorizacije ili grupiranja u određena tematska područja. SRB je tako utvrdio slična, ali ne i istovjetna očitovanja koja su se temeljila na istim izvorima dostupnima na internetu.
18 Osoblje SRB‑a zaduženo za analizu očitovanja nije imalo pristup ni podacima prikupljenima u fazi prijave, tako da su ta očitovanja bila odvojena od osobnih podataka koji se odnose na osobe koje su ih podnijele, ni podatkovnom ključu ili informacijama koji omogućuju pronalaženje identiteta nekog sudionika upućivanjem na jedinstveni alfanumerički kod dodijeljen svakom očitovanju.
19 U toj fazi analize SRB je usporedio sva podnesena očitovanja i razvrstao ih prema pitanju iz obrasca na koje je njima odgovoreno. Očitovanja su potom ocijenjena s obzirom na njihovu relevantnost te su podijeljena između, s jedne strane, onih koja ulaze u područje primjene postupka u vezi s pravom na saslušanje jer su mogla utjecati na preliminarnu odluku ili na vrednovanje 3 i, s druge strane, onih koja ne ulaze u to područje jer se odnose na druge aspekte sanacije društva Banco Popular.
20 Očitovanje koje ulazi u područje primjene postupka bilo je zatim dodijeljeno jednoj od 15 tema koje je SRB prethodno definirao. Ovisno o temi u koju su ulazili, očitovanja su podijeljena između onih koja je trebao ispitati SRB jer su se odnosila na preliminarnu odluku i onih koje je trebalo ispitati društvo Deloitte jer su se odnosila na vrednovanje 3. Među očitovanjima koja je trebalo ispitati SRB nije razlikovao one koji su podneseni samo jednom od onih koji su bili dvostruki unosi.
21 Na kraju faze analize SRB je utvrdio 3730 očitovanja razvrstanih prema njihovoj relevantnosti i temi.
22 U trećoj fazi, fazi ispitivanja, SRB je obradio očitovanja koja se odnose na preliminarnu odluku, a ona koja se odnose na vrednovanje 3, odnosno 1104 očitovanja, proslijeđena su društvu Deloitte 17. lipnja 2019. putem SRB‑ova sigurnog virtualnog poslužitelja podataka. SRB je učitao datoteke koje je trebalo dostaviti društvu Deloitte na virtualni poslužitelj te je omogućio pristup tim datotekama ograničenom broju članova Deloitteova osoblja koji su izravno uključeni u taj projekt.
23 Očitovanja koja su proslijeđena društvu Deloitte bila su filtrirana, kategorizirana i agregirana. Ako su bila preslike prethodnih očitovanja, društvu Deloitte proslijeđena je samo jedna verzija, tako da se u okviru iste teme nije moglo razlikovati među pojedinačnim očitovanjima koja su bila dvostruki unosi, a društvo Deloitte nije moglo znati je li očitovanje sastavio jedan ili više sudionika u postupku.
24 Očitovanja proslijeđena društvu Deloitte odnosila su se samo na ona zaprimljena u fazi savjetovanja i sadržavala su alfanumerički kod. SRB je bio jedini koji je tim kodom mogao povezati očitovanja s podacima primljenima u fazi prijave. Alfanumerički kod razvijen je za potrebe revizije kako bi se omogućili provjera i moguće naknadno dokazivanje da je svako očitovanje obrađeno i pravilno uzeto u obzir. Društvo Deloitte nije imalo i ni dalje nema pristup bazi podataka prikupljenih u fazi prijave.
Postupak pred EDPS‑om
25 Pogođeni dioničari i vjerovnici koji su odgovorili na obrazac podnijeli su EDPS‑u 19., 26., 28. listopada i 5. prosinca 2019. pet pritužbi (predmeti 2019‑947, 2019‑998, 2019‑999, 2019‑1000 i 2019‑1122) (u daljnjem tekstu: pet pritužbi) na temelju Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL 2018., L 295, str. 39.).
26 Podnositelji pet pritužbi (u daljnjem tekstu: podnositelji pritužbi) pozvali su se na činjenicu da ih SRB nije obavijestio o tome da će podaci prikupljeni odgovorima na obrazac biti proslijeđeni trećim osobama, odnosno društvima Deloitte i Banco Santander, čime su povrijedili izjavu o povjerljivosti. Tvrdili su da je SRB time povrijedio članak 15. stavak 1. točku (d) Uredbe 2018/1725, u skladu s kojim, „[a]ko se osobni podaci koji se odnose na ispitanika prikupljaju od tog ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka predmetnom ispitaniku pruža […] informacije [koje se odnose na] primatelje ili kategorije primatelja osobnih podataka, ako postoje”.
27 EDPS je 12. prosinca 2019. obavijestio SRB da je primio pet pritužbi te je od njega zatražio da podnese primjedbe.
28 Dana 24. lipnja 2020., na kraju postupka tijekom kojeg je SRB pružio različita objašnjenja na EDPS‑ov zahtjev a podnositelji pritužbi podnijeli primjedbe, EDPS je donio prvotnu odluku. Smatrao je da je SRB povrijedio članak 15. Uredbe 2018/1725 time što podnositelje pritužbe u izjavi o povjerljivosti nije obavijestio o mogućnosti prosljeđivanja njihovih osobnih podataka društvu Deloitte. Zbog toga je SRB‑u izdao službenu opomenu za tu povredu na temelju članka 58. stavka 2. točke (b) Uredbe 2018/1725.
29 SRB je 22. srpnja 2020. zatražio od EDPS‑a da preispita prvotnu odluku na temelju članka 18. stavka 1. Odluke EDPS‑a od 15. svibnja 2020. o usvajanju Poslovnika EDPS‑a (SL 2020., L 204, str. 49.). Dostavio je, među ostalim, detaljan opis postupka u vezi s pravom na saslušanje i analizu očitovanja koja su u fazi savjetovanja podnijela četiri identificirana podnositelja pritužbi. Tvrdio je da informacije proslijeđene društvu Deloitte nisu osobni podaci u smislu članka 3. točke 1. Uredbe 2018/1725.
30 EDPS je 5. kolovoza 2020. obavijestio SRB da je s obzirom na nove dostavljene elemente odlučio preispitati prvotnu odluku i da će donijeti odluku koja će je zamijeniti.
31 Dana 24. studenoga 2020., na kraju postupka revizije, tijekom kojeg su podnositelji pritužbi podnijeli primjedbe a SRB dostavio dodatne informacije na zahtjev EDPS‑a, potonji je donio izmijenjenu odluku.
32 EDPS je odlučio izmijeniti prvotnu odluku kako slijedi:
„1. EDPS smatra da su podaci koje je SRB podijelio s društvom Deloitte pseudonimizirani podaci, istodobno zbog toga jer su očitovanja iz faze [savjetovanja] osobni podaci i zato što je SRB podijelio alfanumerički kod koji omogućuje povezivanje odgovora primljenih u fazi [prijave] s odgovorima iz faze [savjetovanja], iako podaci koje su sudionici dostavili kako bi se identificirali u fazi [upisa] nisu priopćeni društvu Deloitte.
„2. EDPS smatra da je društvo Deloitte bilo primatelj osobnih podataka podnositelja pritužbi u smislu članka 3. točke 13. Uredbe 2018/1725. Činjenica da društvo Deloitte nije navedeno u SRB‑ovoj izjavi o povjerljivosti kao mogući primatelj osobnih podataka koje je SRB prikupio i obradio u svojstvu voditelja obrade u okviru postupka u vezi s pravom na saslušanje predstavlja povredu obveze pružanja informacija predviđene u člankom 15. stavkom 1. točkom (d) [Uredbe 2018/1725].
„3. S obzirom na sve tehničke i organizacijske mjere koje je SRB uspostavio kako bi se ublažili rizici za pravo pojedinaca na zaštitu podataka u okviru postupka u vezi s pravom na saslušanje, EDPS odlučuje da neće izvršavati svoju ovlast za poduzimanje korektivnih mjera predviđenu u članku 58. stavku 2. [Uredbe 2018/1725].
„4. EDPS ipak preporučuje SRB‑u da se uvjeri da njegove izjave o povjerljivosti u budućim postupcima u vezi s pravom na saslušanje obuhvaćaju obradu osobnih podataka u fazi prijave i u fazi savjetovanja te da uključuju sve moguće primatelje prikupljenih informacija kako bi se u potpunosti ispunila obveza pružanja informacija osobama čiji se podaci obrađuju u skladu s člankom 15. [Uredbe 2018/1725].”
Zahtjevi stranaka
33 Nakon prilagodbe svojeg tužbenog zahtjeva, SRB od Općeg suda zahtijeva da:
– poništi izmijenjenu odluku;
– proglasi prvotnu odluku nezakonitom;
– naloži EDPS‑u snošenje troškova.
34 EDPS od Općeg suda zahtijeva da:
– odbije tužbu;
– naloži SRB‑u snošenje troškova.
Pravo
Drugi dio tužbenog zahtjeva, kojim se od Općeg suda zahtijeva da „proglasi prvotnu odluku nezakonitom”
35 U ovom slučaju među strankama nije sporno da je prvotna odluka stavljena izvan snage i zamijenjena izmijenjenom odlukom.
36 EDPS ističe da je zbog toga tužbeni zahtjev koji se odnosi na prvotnu odluku nedopušten.
37 SRB tvrdi da i dalje ima interes za utvrđivanje postupovnih nepravilnosti koje su dovele do donošenja prvotne odluke, odnosno povreda svojih prava obrane i prava na pristup spisu, kako se one ne bi ponovile u budućim postupcima. U svojem odgovoru na mjeru upravljanja postupkom pojasnio je da drugim dijelom tužbenog zahtjeva ne zahtijeva poništenje prvotne odluke jer je ona stavljena izvan snage i zamijenjena izmijenjenom odlukom s učinkom ex tunc, nego da se ona proglasi nezakonitom.
38 Stoga valja smatrati da drugim dijelom svojeg tužbenog zahtjeva SRB nastoji ishoditi deklaratornu presudu, a ne poništenje akta.
39 Međutim, dovoljno je podsjetiti na to da iz ustaljene sudske prakse proizlazi da Opći sud nije nadležan, u okviru nadzora zakonitosti utemeljenog na članku 263. UFEU‑a, donositi deklaratorne presude (vidjeti presude od 4. veljače 2009., Omya/Komisija, T‑145/06, EU:T:2009:27, t. 23. i navedenu sudsku praksu i od 13. rujna 2018., DenizBank/Vijeće, T‑798/14, EU:T:2018:546, t. 135. i navedenu sudsku praksu).
40 Iz toga slijedi da drugi dio SRB‑ova tužbenog zahtjeva, kojim se od Općeg suda zahtijeva da „proglasi prvotnu odluku nezakonitom”, treba odbiti zbog nenadležnosti Općeg suda da o tome odlučuje.
Dopuštenost prvog dijela tužbenog zahtjeva, koji se odnosi na poništenje izmijenjene odluke
41 Dopuštenost tužbe jedna je od apsolutnih zapreka za vođenje postupka koje sud Unije u svakom trenutku može ocjenjivati po službenoj dužnosti (vidjeti presudu od 16. ožujka 2022., MEKH i FGSZ/ACER, T‑684/19 i T‑704/19, EU:T:2022:138, t. 29. i navedenu sudsku praksu; vidjeti u tom smislu i presudu od 24. ožujka 1993., CIRFS i dr./Komisija, C‑313/90, EU:C:1993:111, t. 23.). U okviru mjere upravljanja postupkom Opći sud je ispitao stranke, među ostalim, o tome je li izmijenjena odluka akt koji se može pobijati na temelju članka 263. UFEU‑a.
42 U odgovoru na to pitanje EDPS navodi da činjenica da izmijenjena odluka sadržava njegovo konačno stajalište i utvrđenje povrede nije dovoljna da bi ta odluka bila akt koji se može pobijati. Nužno je da to stajalište dovede do promjene SRB‑ova pravnog položaja. Budući da EDPS u izmijenjenoj odluci nije upotrijebio svoje korektivne ovlasti predviđene člankom 58. Uredbe 2018/1725, moglo bi se smatrati da ona za potrebe sudskog nadzora na temelju članka 263. UFEU‑a ne proizvodi pravne učinke.
43 SRB u svojem odgovoru na isto pitanje ističe da izmijenjena odluka proizvodi pravne učinke koji mogu utjecati na njegove interese.
44 Iz sudske prakse proizlazi da, na temelju članka 263. četvrtog stavka UFEU‑a, svaka fizička ili pravna osoba može pobijati samo akte koji proizvode obvezujuće pravne učinke te koji time utječu na njezine interese, bitno mijenjajući njezin pravni položaj. Stoga su akti koje je moguće pobijati načelno mjere koje konačno utvrđuju stajalište institucije, agencije ili tijela Unije na kraju upravnog postupka i čija je svrha proizvoditi obvezujuće pravne učinke koji mogu utjecati na tužiteljeve interese, isključujući međumjere čiji je cilj pripremiti konačnu odluku, a koje nemaju takve učinke (vidjeti presude od 25. lipnja 2020., SATCEN/KF, C‑14/19 P, EU:C:2020:492, t. 69. i 70. i navedenu sudsku praksu i od 6. svibnja 2021., ABLV Bank i dr./ESB, C‑551/19 P i C‑552/19 P, EU:C:2021:369, t. 39. i navedenu sudsku praksu).
45 Kako bi se utvrdilo proizvodi li pobijani akt takve učinke, valja razmotriti bit tog akta i ocijeniti te učinke s obzirom na objektivne kriterije poput sadržaja navedenog akta, uzimajući u obzir, prema potrebi, kontekst njegova donošenja kao i ovlasti institucije, tijela, ureda ili agencije Unije koja ga je donijela (vidjeti presude od 22. travnja 2021., thyssenkrupp Electrical Steel i thyssenkrupp Electrical Steel Ugo/Komisija, C‑572/18 P, EU:C:2021:317, t. 48. i navedenu sudsku praksu, od 6. svibnja 2021., ABLV Bank i dr./ESB, C‑551/19 P i C‑552/19 P, EU:C:2021:369, t. 41. i navedenu sudsku praksu te od 6. listopada 2021., Tognoli i dr./Parlament, C‑431/20 P, EU:C:2021:807, t. 34. i navedenu sudsku praksu).
46 Kao prvo, valja podsjetiti na to da je EDPS donio izmijenjenu odluku nakon SRB‑ova zahtjeva za izmjenu prvotne odluke. Izmijenjenom odlukom, donesenom u kontradiktornom upravnom postupku, stavljena je izvan snage i zamijenjena prvotna odluka te je ona odluka kojom se konačno utvrđuje stajalište EDPS‑a u pogledu pet pritužbi.
47 Međutim, člankom 64. stavkom 2. Uredbe 2018/1725 o pravu na učinkovit pravni lijek predviđa se da se postupci protiv odluka EDPS‑a pokreću pred Sudom Europske unije.
48 Konkretno, člankom 18. Poslovnika EDPS‑a, na temelju kojeg je donesena izmijenjena odluka, u stavku 3. određuje se, među ostalim:
„Ako povodom zahtjeva za preispitivanje odluke o pritužbi EDPS donese novu, izmijenjenu odluku, EDPS će obavijestiti podnositelja pritužbe i predmetnu instituciju da imaju pravo osporiti tu novu odluku pred Sudom Europske unije u skladu s člankom 263. [UFEU‑a].”
49 U tom pogledu, u dopisu priloženom izmijenjenoj odluci poslanoj SRB‑u navodi se sljedeće:
„Napominjemo da se ovom odlukom poništava i zamjenjuje odluka donesena 24. lipnja 2020. Protiv te odluke možete podnijeti tužbu za poništenje pred Sudom Europske unije u roku od dva mjeseca od donošenja ove odluke i pod uvjetima iz članka 263. [UFEU‑a].”
50 Kao drugo, što se tiče biti izmijenjene odluke, valja podsjetiti, s jedne strane, na to da je EDPS zaključio da je SRB povrijedio obvezu pružanja informacija predviđenu člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725 i, s druge strane, da mu je u bitnome preporučio da se u svojim budućim izjavama o povjerljivosti osigura da ne ponovi takvu povredu.
51 S jedne strane, valja istaknuti da, na temelju članka 65. Uredbe 2018/1725, takva povreda može dovesti do SRB‑ove odgovornosti kao voditelja obrade predmetnih podataka, pod uvjetom poštovanja drugih uvjeta predviđenih Ugovorima.
52 S druge strane, na temelju članka 66. stavka 1. Uredbe 2018/1725, pri odlučivanju o izricanju upravne novčane kazne instituciji ili tijelu Unije i o njezinom iznosu EDPS posvećuje pozornost, među ostalim, svim sličnim prijašnjim kršenjima koja je počinila ta institucija ili to tijelo. Stoga, ako SRB ne bi poštovao EDPS‑ovu preporuku da u budućnosti izmijeni svoje izjave o povjerljivosti u postupcima u vezi s pravom na saslušanje, mogla bi se utvrditi slična SRB‑ova povreda članka 15. stavka 1. točke (d) Uredbe 2018/1725 i dovesti do izricanja novčane kazne.
53 Iz toga slijedi da utvrđenje SRB‑ove povrede članka 15. stavka 1. točke (d) Uredbe 2018/1725 u izmijenjenoj odluci proizvodi obvezujuće pravne učinke iako je EDPS naveo da se odriče izvršavanja svoje ovlasti donošenja korektivnih mjera predviđene člankom 58. stavkom 2. Uredbe 2018/1725.
54 S obzirom na prethodno navedeno, izmijenjena je odluka akt Unije koji može utjecati na interese svojeg adresata, bitno mijenjajući njegov pravni položaj. Ona stoga predstavlja akt koji se može pobijati u smislu članka 263. UFEU‑a.
55 Stoga valja smatrati da je prvi dio tužbenog zahtjeva za poništenje izmijenjene odluke dopušten.
Meritum
56 U prilog pritužbi SRB ističe dva tužbena razloga. Prvi tužbeni razlog temelji se na povredi članka 3. točke 1. Uredbe 2018/1725 jer informacije proslijeđene društvu Deloitte nisu osobni podaci. Drugi tužbeni razlog temelji se na povredi prava na dobru upravu utvrđenog člankom 41. Povelje.
57 Prvim tužbenim razlogom SRB ističe da je EDPS povrijedio članak 3. točku 1. Uredbe 2018/1725 time što je u izmijenjenoj odluci smatrao da su informacije dostavljene društvu Deloitte osobni podaci podnositelja pritužbi.
58 U članku 3. točki 1. Uredbe 2018/1725 osobni podaci definiraju se kao „svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi [i naznačuje da] pojedinac čiji se identitet može utvrditi jest osoba koja se može identificirati izravno ili neizravno, osobito uz pomoć identifikatora kao što su ime, identifikacijski broj, podaci o lokaciji, mrežni identifikator ili uz pomoć jednog ili više čimbenika svojstvenih za fizički, fiziološki, genetski, mentalni, ekonomski, kulturni ili socijalni identitet te fizičke osobe”.
59 Iz te definicije proizlazi da je informacija osobni podatak, među ostalim, ako su ispunjena dva kumulativna uvjeta, odnosno, s jedne strane, da se ta informacija „odnosi” na pojedinca i, s druge strane, da je to pojedinac „čiji je identitet utvrđen ili se može utvrditi”.
Uvjet predviđen u članku 3. točki 1. Uredbe 2018/1725 prema kojem se informacija „odnosi” na pojedinca
60 SRB ističe da se očitovanja primljena u fazi savjetovanja i priopćena Deloitteu ne odnose na konkretne pojedince u smislu članka 3. točke 1. Uredbe 2018/1725. Smatra da se obrazloženje iz presude od 20. prosinca 2017., Nowak (C‑434/16, EU:C:2017:994) ne primjenjuje na očitovanja podnositelja pritužbi. Tvrdi da su informacije sadržane u očitovanjima podnositelja pritužbi bile činjenične i pravne informacije neovisne o osobama ili osobinama podnositelja pritužbi i da se one ne odnose na njihov privatni život. Smatra da je cilj postupka u vezi s pravom na saslušanje bio ocijeniti činjenične i pravne argumente koji se odnose na preliminarnu odluku i vrednovanje 3 koji potječu od velikog broja zainteresiranih strana čija osobnost i identitet nisu relevantni za ocjenu njihovih očitovanja.
61 EDPS ističe da je sadržaj očitovanjâ pogođenih dioničara i vjerovnika informacija koja se na njih „odnosi” s obzirom na to da su njihovi odgovori sadržavali i odražavali njihovo osobno stajalište, čak i ako su se temeljili na informacijama dostupnima javnosti. Odgovori na obrazac podnositeljâ pritužbi i drugih sudionika jesu osobni podaci, neovisno o tome je li riječ o izrazu izvornog stajališta ili stajališta koje dijeli s drugim sudionicima i neovisno o tome smatra li ih SRB informacijama neovisnima o posebnim pravima pogođenih dioničara i vjerovnika u području poštovanja privatnog života.
62 Također smatra da su očitovanja osobni podaci zbog njihova učinka. Ocjena iznesena u vezi s tim očitovanjima, čiji je cilj provjeriti valjanost vrednovanja 3 i zakonitost preliminarne odluke, mogla je utjecati na interese i prava sudionika u pogledu financijske naknade. Naposljetku, tvrdi da je svrha prikupljanja očitovanjâ bila dodijeliti postupovna prava svakoj stranci kako bi se prikupila pojedinačna stajališta.
63 U izmijenjenoj odluci EDPS je naveo da su odgovori primljeni u fazi savjetovanja osobni podaci podnositeljâ pritužbi jer sadržavaju njihovo osobno stajalište i stoga predstavljaju podatke koji se na njih odnose, čak i ako se temelje na podacima dostupnima javnosti kako bi izrazili svoje stajalište. Smatrao je da činjenica da su podnositelji pritužbi iznijeli slična, ali ne i stajališta istovjetna onima drugih sudionika ne znači da njihovi odgovori ne odražavaju njihovo vlastito mišljenje. Slijedom toga, EDPS je smatrao da se svi odgovori koje su podnositelji pritužbi i drugi sudionici dali u poljima za slobodan unos teksta moraju smatrati osobnim podacima, bilo da je riječ o izrazu izvornog i jedinstvenog stajališta ili stajališta podijeljenog s drugima, ili nadahnutog ili utemeljenog na informacijama dostupnima javnosti. Dodao je da taj zaključak nije u suprotnosti s presudom od 20. prosinca 2017., Nowak (C‑434/16, EU:C:2017:994), u kojoj Sud nije razlikovao odgovore koje su u cijelosti sastavili ispitanici i odgovore iz drugih izvora.
64 Valja ispitati je li EDPS mogao opravdano smatrati da se informacije proslijeđene društvu Deloitte „odnose” na fizičku osobu u smislu članka 3. točke 1. Uredbe 2018/1725.
65 Uvodno valja utvrditi da je u izmijenjenoj odluci EDPS sva očitovanja pogođenih dioničara i vjerovnika u fazi savjetovanja kvalificirao kao osobne podatke i nije ograničio svoju ocjenu samo na informacije proslijeđene društvu Deloitte.
66 Međutim, budući da se povreda članka 15. stavka 1. točke (d) Uredbe 2018/1725 utvrđena u izmijenjenoj odluci odnosila samo na činjenicu da SRB u izjavi o povjerljivosti nije naveo da je društvo Deloitte mogući primatelj određenih podataka, valja se ograničiti na ispitivanje jesu li informacije proslijeđene društvu Deloitte osobni podaci u smislu članka 3. točke 1. Uredbe 2018/1725.
67 U tom pogledu člankom 3. točkom 13. Uredbe 2018/1725 „primatelj” se definira kao „fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo kojem se otkrivaju osobni podaci, neovisno o tome je li on treća strana”.
68 Prema sudskoj praksi, upotreba izraza „svi podaci” u okviru definicije pojma „osobni podaci” u članku 3. točki 1. Direktive 2018/1725 odražava cilj zakonodavca Unije da tom pojmu da široki smisao, koji nije ograničen na osjetljive ili privatne podatke, nego može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu (vidjeti po analogiji presudu od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 34.).
69 Što se tiče potonjeg uvjeta, Sud je presudio da je on ispunjen ako je zbog svojeg sadržaja, cilja ili učinka podatak povezan s određenom osobom (presuda od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 35.).
70 Međutim, u izmijenjenoj odluci EDPS nije ispitao ni sadržaj, ni svrhu, ni učinak informacija proslijeđenih društvu Deloitte.
71 Naime, samo je naveo da očitovanja koja su podnositelji pritužbi podnijeli u fazi savjetovanja odražavaju njihova mišljenja ili njihova stajališta te je samo na temelju toga zaključio da su ta očitovanja podaci koji se na njih odnose, što je dovoljno da ih se kvalificira kao osobne podatke.
72 Na raspravi je EDPS potvrdio da je prema njegovu mišljenju svako osobno mišljenje osobni podatak. Također je priznao da nije ispitao sadržaj očitovanja koja su podnositelji pritužbi podnijeli u fazi savjetovanja.
73 Točno je da se ne može isključiti da su osobna stajališta ili mišljenja osobni podaci. Međutim, iz točaka 34. i 35. presude od 20. prosinca 2017., Nowak (C‑434/16, EU:C:2017:994), navedenih u točkama 68. i 69. ove presude, proizlazi da se takav zaključak ne može temeljiti na pretpostavci poput one opisane u točkama 71. i 72. ove presude, nego se mora temeljiti na ispitivanju je li stajalište povezano s određenom osobom svojim sadržajem, svrhom ili učinkom.
74 Iz toga slijedi da, s obzirom na to da nije proveo takvo ispitivanje, EDPS nije mogao zaključiti da su informacije proslijeđene društvu Deloitte informacije „koje se odnose” na pojedinca u smislu članka 3. točke 1. Uredbe 2018/1725.
75 Opći sud sada će ispitati EDPS‑ovu ocjenu u pogledu pitanja odnose li se informacije proslijeđene društvu Deloitte na pojedinca „čiji je identitet utvrđen ili se može utvrditi”.
Uvjet predviđen u članku 3. točki 1. Uredbe 2018/1725 prema kojem se informacija odnosi na pojedinca „čiji je identitet utvrđen ili se može utvrditi”
76 SRB ističe da, suprotno onomu što je smatrao EDPS, priopćenje alfanumeričkog koda društvu Deloitte nije dovelo do „pseudonimizacije” podataka. Oni su ostali anonimni jer SRB s društvom Deloitte nije podijelio informacije na temelju kojih bi se autori očitovanja mogli ponovno identificirati.
77 Tvrdi da su podaci anonimizirani za treću osobu čak i ako informacija koja omogućuje ponovnu identifikaciju nije neopozivo uklonjena te je zadržava prvotni podugovaratelj jer format u kojem se podaci otkrivaju toj trećoj osobi više ne omogućuje identifikaciju podnositelja očitovanja ili to ne čini razumno vjerojatnim. SRB ističe da se, suprotno onomu što je EDPS smatrao u izmijenjenoj odluci, Uredbom 2018/1725 i sudskom praksom Suda zahtijeva procjena rizika ponovne identifikacije.
78 Konkretnije, SRB navodi da u ovom slučaju nisu ispunjeni uvjeti koje sudska praksa Suda postavlja u pogledu postojanja rizika ponovne identifikacije kada sve informacije koje mogu omogućiti identifikaciju ne posjeduje samo jedna osoba, nego više stranaka. S jedne strane, alfanumerički kod dodijeljen pojedinačnim očitovanjima ne omogućuje društvu Deloitte da ponovno identificira pojedince koji su podnijeli očitovanja. Dodatne informacije navedene u članku 3. točki 6. Uredbe 2018/1725 sastavljene su iz baze podataka koja omogućuje dekodiranje kojoj samo SRB ima pristup. S druge strane, što se tiče kriterija razumne vjerojatnosti kombinacije informacija, društvo Deloitte nije imalo niti i dalje ima pravna sredstva za pristup dodatnim informacijama i identifikaciji.
79 EDPS tvrdi da činjenica da društvo Deloitte nije imalo pristup informacijama kojima je SRB raspolagao, a koje omogućuju ponovnu identifikaciju, nema za posljedicu to da su „pseudonimnizirani” podaci dostavljeni društvu Deloitte postali anonimni podaci. Nije potrebno utvrditi može li društvo Deloitte ponovno identificirati autore informacija koje su mu dostavljene ili je li ta ponovna identifikacija bila razumno vjerojatna. Podaci ostaju „pseudonimizirani” čak i kada su proslijeđeni trećoj osobi koja ne raspolaže dodatnim informacijama.
80 EDPS ističe da upotreba izraza „neizravno” u članku 3. točki 1. Uredbe 2018/1725 znači da, kako bi se informacija kvalificirala kao osobni podatak, nije nužno da ona sama po sebi omogućuje identifikaciju ispitanika. Osim toga, što se tiče sredstava koja razumno mogu koristiti kako voditelj obrade tako i bilo koja druga osoba, ne zahtijeva se da se sve informacije koje omogućuju identifikaciju ispitanika moraju nalaziti u rukama samo jedne osobe.
81 U izmijenjenoj odluci EDPS je smatrao da su informacije proslijeđene društvu Deloitte „pseudonimizirani” podaci. U tom pogledu naveo je da se razlika između „pseudonimiziranih” i anonimnih podataka temelji na činjenici da u slučaju anonimnih podataka ne postoje „dodatne informacije” koje se mogu upotrijebiti za pripisivanje podataka određenom ispitaniku, dok su u slučaju „pseudonimiziranih” podataka postojale takve dodatne informacije. Slijedom toga, kako bi se ocijenilo jesu li podaci anonimni ili „pseudonimizirani”, trebalo je ispitati postoje li „dodatne informacije” koje su se mogle upotrijebiti za pripisivanje podataka određenim ispitanicima.
82 Istaknuo je da je SRB društvu Deloitte proslijedio ne samo određene komentare pogođenih dioničara i vjerovnika nego i odgovarajući alfanumerički kod te da društvo Deloitte nije imalo pristup odgovorima danima u fazi prijave. Naveo je da, kao što je to objasnio SRB, „društvo Deloitte nije moglo utvrditi identitet svake strane koja se koristi tim kodom, pozivajući se na konkretne podatke koje su stranke koje ispunjavaju uvjete dostavile u okviru faze registracije (koju SRB i dalje pohranjuje)”. Međutim, EDPS je smatrao da su podaci dostavljeni u fazi prijave s jedinstvenim identifikatorom, odnosno alfanumerički kod dodijeljen svakom sudioniku koji ispunjava uvjete, savršen primjer „dodatnih informacija” u smislu članka 3. točke 6. Uredbe 2018/1725 jer ih je SRB mogao upotrijebiti za pripisivanje podataka određenom ispitaniku.
83 EDPS je objasnio da se Uredbom 2018/1725 ne pravi razlika između onih koji pohranjuju „pseudonimizirane” podatke i onih koji posjeduju dodatne informacije te da činjenica da je riječ o različitim subjektima ne čini „pseudonimizirane” podatke anonimnima. Dodao je da činjenica da društvo Deloitte nije samo po sebi moglo pripisati očitovanja podacima primljenima u fazi prijave ne isključuje da su podaci koje je primilo „pseudonimizirani”. Prema mišljenju EDPS‑a, podaci koje je SRB podijelio s društvom Deloitte bili su „pseudonimizirani” podaci jer su očitovanja primljena u fazi savjetovanja bili osobni podaci i zato što je SRB podijelio alfanumerički kod koji je omogućavao povezivanje odgovora danih u fazi prijave s odgovorima danima u fazi savjetovanja, iako podaci koje su sudionici dostavili radi identifikacije u fazi prijave nisu bili priopćeni društvu Deloitte. Iz toga je zaključio da su informacije dostavljene društvu Deloitte „pseudonimizirani” podaci i, prema tome, osobni podaci u smislu članka 3. točke 1. Uredbe 2018/1725.
84 Uvodno valja istaknuti da se, s obzirom na mehanizme koje je SRB uspostavio u vezi s obradom podataka prikupljenih u okviru postupka u vezi s pravom na saslušanje, opisanih u točkama 14. do 24. ove presude, informacije proslijeđene društvu Deloitte nisu odnosile na „identificirane” pojedince.
85 Stoga valja ispitati je li EDPS mogao opravdano smatrati da se informacije proslijeđene društvu Deloitte odnose na pojedinca „čiji se identitet može utvrditi” u smislu članka 3. točke 1. Uredbe 2018/1725.
86 U skladu s tom odredbom, „pojedinac čiji se identitet može utvrditi” znači osobu koja se može identificirati izravno ili neizravno.
87 Uvodnom izjavom 16. Direktive 2018/1725 predviđa se sljedeće:
„[…] Osobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati pojedincu uporabom dodatnih informacija, trebalo bi smatrati informacijama o pojedincu čiji se identitet može utvrditi. Kako bi se odredilo može li se utvrditi identitet pojedinca, trebalo bi uzeti u obzir sva sredstva, poput primjerice selekcije, koja voditelj obrade ili bilo koja druga osoba mogu po svemu sudeći upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca. Kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo bi uzeti u obzir sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj […]”
88 Valja istaknuti da je u presudi od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779) Sud protumačio pojam osobnih podataka u smislu članka 2. točke (a) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.), koja sadržava odredbu ekvivalentnu članku 3. točki 1. Uredbe 2018/1725.
89 U tom se predmetu postavilo pitanje predstavlja li dinamična adresa internetskog protokola (u daljnjem tekstu: IP adresa) osobni podatak u odnosu na pružatelja usluga internetskih medija koji ju je pohranio. Sud je smatrao da valja provjeriti može li se ta IP adresa kvalificirati kao informacija koja se odnosi na „fizičku osobu koju se može utvrditi”, uzimajući u obzir, s jedne strane, činjenicu da ona sama po sebi tom pružatelju ne omogućava identifikaciju korisnika koji je posjetio internetsku stranicu i, s druge strane, činjenicu da pružatelj pristupa internetu posjeduje dodatne potrebne informacije koje omogućuju identifikaciju navedenog korisnika ako se kombiniraju s tom IP adresom.
90 Budući da uvodna izjava 16. Uredbe 2018/1725 spominje sredstva koja nadzornik ili „bilo koja druga osoba” može opravdano koristiti, njezin tekst upućuje na to da, kako bi se podatak mogao kvalificirati kao „osobni podatak” u smislu članka 3. točke 1. Uredbe 2018/1725, nije potrebno da se sve informacije koje omogućuju identifikaciju osobe o kojoj je riječ moraju nalaziti u posjedu samo jedne osobe (vidjeti po analogiji presudu od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 43.).
91 Međutim, Sud je dodao da činjenica da dodatne informacije potrebne za identifikaciju korisnika internetske stranice ne posjeduje pružatelj usluga internetskih medija, nego pružatelj internetskog pristupa tog korisnika, nije stoga takva da isključuje da su dinamične IP adrese koje pohranjuje pružatelj usluga internetskih medija za njega osobni podaci (presuda od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 44.).
92 Sud je smatrao da ipak valja utvrditi je li mogućnost povezivanja dinamične IP adrese s tim dodatnim informacijama koje posjeduje taj pružatelj internetskog pristupa sredstvo koje se može opravdano koristiti za utvrđivanje navedene osobe (presuda od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 45.).
93 Sud je naveo da to ne bi bio slučaj da je identifikacija osobe o kojoj je riječ zabranjena zakonom ili neostvariva u praksi, primjerice, zbog toga što bi značila nerazmjerne napore u pogledu vremena, troškova i rada, tako da se rizik identifikacije u stvarnosti čini neznatnim (presuda od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 46.).
94 U ovom slučaju nije sporno, s jedne strane, da alfanumerički kod koji se nalazi na informacijama proslijeđenima društvu Deloitte sam po sebi ne omogućuje da se identificiraju autori očitovanja i, s druge strane, da društvo Deloitte nije imalo pristup identifikacijskim podacima primljenima u fazi prijave koji bi omogućili da se sudionici mogu povezati s njihovim očitovanjima zahvaljujući alfanumeričkom kodu.
95 EDPS je u izmijenjenoj odluci naveo i na raspravi potvrdio da se dodatne informacije potrebne za identifikaciju autora očitovanja sastoje od alfanumeričkog koda i baze podataka za identifikaciju.
96 Točno je da, kao što to tvrdi EDPS, s obzirom na točku 43. presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779), navedenu u točki 90. ove presude, činjenica da dodatne informacije potrebne za identifikaciju autora očitovanja primljenih u fazi savjetovanja nije posjedovalo društvo Deloitte nego SRB, ne može a priori isključiti da su informacije proslijeđene društvu Deloitte za njega osobni podaci.
97 Međutim, iz presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779) također proizlazi da, kako bi se utvrdilo jesu li informacije proslijeđene društvu Deloitte osobni podaci, valja uzeti u obzir njegovo stajalište kako bi se utvrdilo odnose li se informacije koje su mu prenesene na „osobe koje se mogu identificirati”.
98 Naime, valja podsjetiti, kao prvo, na to da se povreda članka 15. stavka 1. točke (d) Uredbe 2018/1725 koju je EDPS utvrdio u izmijenjenoj odluci odnosila na SRB‑ov prijenos određenih očitovanja društvu Deloitte, a ne samo na to da ih je SRB posjedovao.
99 Kao drugo, s jedne strane, situacija društva Deloitte može se usporediti sa situacijom pružatelja usluga internetskih medija iz presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779), s obzirom na to da je raspolagao informacijama, odnosno očitovanjima o vrednovanju 3, koja nisu informacije koje se odnose na „utvrđenu fizičku osobu”, s obzirom na to da alfanumerički kod koji se nalazi u svakom odgovoru ne omogućuje izravno otkrivanje identiteta fizičke osobe koja je ispunila obrazac. S druge strane, SRB‑ova situacija može se usporediti sa situacijom pružatelja pristupa internetu u tom predmetu jer je nesporno da je jedino on imao dodatne informacije koje omogućuju identifikaciju pogođenih dioničara i vjerovnika koji su odgovorili na obrazac, odnosno alfanumeričkog broja i baze podataka za identifikaciju.
100 Zbog toga je, na temelju točke 44. presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779), navedene u točki 91. ove presude, na EDPS‑u da ispita jesu li očitovanja proslijeđena društvu Deloitte za njega osobni podaci.
101 Zato EDPS pogrešno tvrdi da nije bilo nužno istražiti je li autore informacija proslijeđenih društvu Deloitte potonji mogao ponovno utvrditi ili je li ta ponovna identifikacija bila razumno moguća.
102 Valja utvrditi da je u izmijenjenoj odluci EDPS smatrao da je činjenica da je SRB posjedovao dodatne informacije koje omogućuju ponovnu identifikaciju autora očitovanja dovoljna za zaključak da su informacije proslijeđene društvu Deloitte osobni podaci, iako je pritom priznao da oni nisu bili priopćeni društvu Deloitte.
103 Stoga iz izmijenjene odluke proizlazi da je EDPS samo ispitao mogućnost ponovne identifikacije autora očitovanja iz perspektive SRB‑a, a ne društva Deloitte.
104 Međutim, iz točke 45. presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779), navedene u točki 92. ove presude, proizlazi da je na EDPS‑u da utvrdi je li mogućnost kombiniranja informacija koje su proslijeđene društvu Deloitte s dodatnim informacijama koje posjeduje SRB sredstvo koje društvo Deloitte može razumno koristiti kako bi identificiralo autore očitovanja.
105 Slijedom toga, budući da EDPS nije istražio je li društvo Deloitte raspolagalo pravnim i ostvarivim sredstvima koja mu omogućuju pristup dodatnim informacijama potrebnima za ponovnu identifikaciju autora očitovanja, on nije mogao zaključiti da su informacije proslijeđene društvu Deloitte informacije koje se odnose na „pojedinca čiji se identitet može utvrditi” u smislu članka 3. točke 1. Uredbe 2018/1725.
106 Iz svega prethodno navedenog proizlazi da valja prihvatiti prvi tužbeni razlog i stoga poništiti izmijenjenu odluku a da pritom nije potrebno ispitati drugi tužbeni razlog.
Troškovi
107 Sukladno članku 134. stavku 1. Poslovnika Općeg suda, stranka koja ne uspije u postupku dužna je, na zahtjev protivne stranke, snositi troškove.
108 Budući da EDPS u bitnome nije uspio u postupku, treba mu naložiti snošenje troškova, u skladu sa SRB‑ovim zahtjevom.
Slijedom navedenog,
OPĆI SUD (osmo prošireno vijeće)
proglašava i presuđuje:
1. Poništava se izmijenjena odluka Europskog nadzornika za zaštitu podataka (EDPS) od 24. studenoga 2020. donesena nakon zahtjeva za preispitivanje Jedinstvenog sanacijskog odbora (SRB) Odluke EDPS‑a od 24. lipnja 2020. o pet pritužbi koje je podnijelo nekoliko podnositelja (predmeti 2019‑947, 2019‑998, 2019‑999, 2019‑1000 i 2019‑1122).
2. U preostalom dijelu tužba se odbija.
3. EDPS‑u nalaže se snošenje troškova.
Objavljeno na javnoj raspravi u Luxembourgu 26. travnja 2023.
Potpisi