VISPĀRĒJĀS TIESAS SPRIEDUMS (astotā palāta paplašinātā sastāvā)
2023. gada 26. aprīlī (*)
Personas datu aizsardzība – Kompensācijas procedūra akcionāriem un kreditoriem pēc bankas noregulējuma – EDAU lēmums, ar ko konstatē, ka VNV nav pildījusi savus pienākumus saistībā ar personas datu apstrādi – Regulas (ES) 2018/1725 15. panta 1. punkta d) apakšpunkts – Jēdziens “personas dati” – Regulas 2018/1725 3. panta 1. punkts – Tiesības piekļūt lietas materiāliem
Lietā T‑557/20
Vienotā noregulējuma valde (VNV), ko pārstāv H. Ehlers, M. Fernandez Ruperez, A. Lapresta Bienz, pārstāves, kurām palīdz H.‑G. Kamann, M. Braun, F. Louis un L. Hesse, advokāti,
prasītāja,
pret
Eiropas Datu aizsardzības uzraudzītāju (EDAU), ko pārstāv P. Candellier, X. Lareo un T. Zerdick, pārstāvji,
atbildētājs,
VISPĀRĒJĀ TIESA (astotā palāta paplašinātā sastāvā)
šādā sastāvā: priekšsēdētājs A. Kornezovs [A. Kornezov], tiesneši G. De Bāre [G. De Baere] (referents), D. Petrlīks [D. Petrlík], K. Kečmārs [K. Kecsmár] un S. Kingstone [S. Kingston]
sekretāre: I. Kurme, administratore,
ņemot vērā tiesvedības rakstveida daļu,
pēc 2022. gada 1. decembra tiesas sēdes
pasludina šo spriedumu.
Spriedums
1 Ar prasību, kas pamatota ar LESD 263. pantu, Vienotā noregulējuma valde (turpmāk tekstā – “VNV”) lūdz, pirmkārt, atcelt Eiropas Datu aizsardzības uzraudzītāja (turpmāk tekstā – “EDAU”) 2020. gada 24. novembra pārskatīto lēmumu, kas pieņemts pēc VNV lūguma pārskatīt EDAU 2020. gada 24. jūnija lēmumu par piecām sūdzībām, kuras iesnieguši vairāki sūdzību iesniedzēji (lietas 2019‑947, 2019‑998, 2019‑999, 2019‑1000 un 2019‑1122) (turpmāk tekstā – “pārskatītais lēmums”), un, otrkārt, atzīt EDAU 2020. gada 24. jūnija lēmuma (turpmāk tekstā – “sākotnējais lēmums”) prettiesiskumu.
Tiesvedības priekšvēsture
2 2017. gada 7. jūnijā VNV izpildsesija pieņēma Lēmumu SRB/EES/2017/08 par noregulējuma shēmu attiecībā uz Banco Popular Español, SA (turpmāk tekstā – “noregulējuma shēma”), pamatojoties uz Eiropas Parlamenta un Padomes Regulu (ES) Nr. 806/2014 (2014. gada 15. jūlijs), ar ko izveido vienādus noteikumus un vienotu procedūru kredītiestāžu un noteiktu ieguldījumu brokeru sabiedrību noregulējumam, izmantojot vienotu noregulējuma mehānismu un vienotu noregulējuma fondu, un groza Regulu (ES) Nr. 1093/2010 (OV 2014, L 225, 1. lpp.).
3 Tajā pašā dienā Eiropas Komisija pieņēma Lēmumu (ES) 2017/1246, ar ko apstiprina noregulējuma shēmu (OV 2017, L 178, 15. lpp.).
4 Noregulējuma shēmā VNV, uzskatīdama, ka Regulas Nr. 806/2014 18. panta 1. punktā paredzētie nosacījumi ir izpildīti, nolēma piemērot Banco Popular Español (turpmāk tekstā – “Banco Popular”) noregulējuma procedūru. VNV nolēma norakstīt un konvertēt Banco Popular kapitāla instrumentus, atbilstoši Regulas Nr. 806/2014 21. pantam, un piemērot uzņēmuma pārdošanas instrumentu saskaņā ar Regulas Nr. 806/2014 24. pantu, nododot akcijas pircējam.
5 Pēc Banco Popular noregulējuma Deloitte 2018. gada 14. jūnijā nosūtīja VNV Regulas Nr. 806/2014 20. panta 16.–18. punktā paredzēto vērtējumu par atšķirīgu attieksmi, kas tika veikts, lai noteiktu, vai attieksme pret akcionāriem un kreditoriem būtu labvēlīgāka, ja Banco Popular būtu piemērota parastā maksātnespējas procedūra (turpmāk tekstā – “3. vērtējums”).
6 2018. gada 6. augustā VNV savā tīmekļvietnē publicēja 2018. gada 2. augusta atzinumu par tās iepriekšējo lēmumu par to, vai piešķirt vai nepiešķirt kompensāciju akcionāriem un kreditoriem, kurus skar attiecībā uz Banco Popular pieņemtās noregulējuma darbības, un par procedūras saistībā ar tiesībām tikt uzklausītam sākšanu (SRB/EES/2018/132) (turpmāk tekstā – “iepriekšējais lēmums”), kā arī 3. vērtējuma nekonfidenciālo versiju. 2018. gada 7. augustā paziņojums par VNV atzinumu tika publicēts Eiropas Savienības Oficiālajā Vēstnesī (OV 2018, C 277 I, 1. lpp.).
7 Iepriekšējā lēmumā VNV norādīja, ka, lai tā varētu pieņemt galīgo lēmumu par to, vai Banco Popular noregulējuma skartajiem akcionāriem un kreditoriem ir jāpiešķir kompensācija saskaņā ar Regulas Nr. 806/2014 76. panta 1. punkta e) apakšpunktu, tā tos aicināja paust savu interesi izmantot savas tiesības tikt uzklausītiem, piemērojot Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 41. panta 2. punkta a) apakšpunktu.
Par procedūru saistībā ar tiesībām tikt uzklausītam
8 Iepriekšējā lēmumā VNV norādīja, ka procedūra saistībā ar tiesībām tikt uzklausītam norisināsies divos posmos. Pirmajā posmā (turpmāk tekstā – “reģistrācijas posms”) skartie akcionāri un kreditori līdz 2018. gada 14. septembrim tika aicināti paust savu interesi izmantot savas tiesības tikt uzklausītiem, izmantojot tiešsaistes reģistrācijas veidlapu. Pēc tam VNV bija jāpārbauda, vai katram lietas dalībniekam, kas izrādīja ieinteresētību, faktiski bija skartā akcionāra vai kreditora statuss. Otrajā posmā (turpmāk tekstā – “apspriešanas posms”) skartie akcionāri un kreditori, kuru statusu VNV bija pārbaudījusi, varēja iesniegt savus komentārus par iepriekšējo lēmumu, kam bija pievienots 3. vērtējums.
9 Reģistrācijas posmā skartajiem akcionāriem un kreditoriem, kas vēlas izmantot savas tiesības tikt uzklausītiem, bija jāiesniedz VNV apliecinoši dokumenti, kuri pierāda, ka noregulējuma dienā tiem piederēja viens vai vairāki Banco Popular kapitāla instrumenti, kas noregulējuma ietvaros tika norakstīti vai konvertēti un nodoti Banco Santander, SA. Starp iesniedzamiem apliecinošiem dokumentiem bija personu apliecinošs dokuments un pierādījums par īpašumtiesībām uz kādu no šiem kapitāla instrumentiem 2017. gada 6. jūnijā.
10 2018. gada 6. augustā, kad sākās reģistrācijas posms, VNV gan tīmekļvietnē procedūrai saistībā ar tiesībām tikt uzklausītam gan savā vietnē publicēja arī paziņojumu par konfidencialitāti attiecībā uz personas datu apstrādi procedūrā saistībā ar tiesībām tikt uzklausītam (turpmāk tekstā – “paziņojums par konfidencialitāti”).
11 2018. gada 16. oktobrī VNV savā tīmekļvietnē paziņoja, ka no 2018. gada 6. novembra tiesīgie akcionāri un kreditori apspriešanas posmā tiks aicināti iesniegt rakstiskus komentārus par iepriekšējo lēmumu.
12 2018. gada 6. novembrī VNV pa e‑pastu tiesīgajiem akcionāriem un kreditoriem nosūtīja personalizētu saiti, kas tiem ļāva internetā piekļūt veidlapai (turpmāk tekstā – “veidlapa”). Veidlapā bija septiņi jautājumi ar ierobežotu vietu atbildei, kas ļāva skartajiem akcionāriem un kreditoriem līdz 2018. gada 26. novembrim iesniegt komentārus par iepriekšējo lēmumu, kā arī par 3. vērtējuma nekonfidenciālo versiju.
13 VNV izskatīja attiecīgos akcionāru un skarto kreditoru komentārus par iepriekšējo lēmumu. Tā lūdza Deloitte kā neatkarīgam novērtētājam izvērtēt atbilstošos komentārus par 3. vērtējumu, iesniegt tai vērtējuma dokumentu un pārbaudīt, vai, ņemot vērā šos komentārus, 3. vērtējums joprojām ir spēkā.
Par VNV procedūrā saistībā ar tiesībām tikt uzklausītam savākto datu apstrādi
14 Reģistrācijas posmā savāktie dati, proti, pierādījumi par dalībnieku identitāti un īpašumtiesībām uz Banco Popular kapitāla instrumentiem, kuru vērtība ir samazinājusies vai kuri ir konvertēti un nodoti, bija pieejami ierobežotam skaitam VNV darbinieku, kas bija atbildīgi par šo datu apstrādi, lai noteiktu dalībnieku tiesīgumu.
15 Šos datus nevarēja redzēt VNV darbinieki, kas bija atbildīgi par apspriešanas posmā saņemto komentāru apstrādi, kurā viņi tikai saņēma komentārus, kas identificēti ar katram veidlapā iesniegtajam komentāram piešķirtu burtciparu kodu. Burtciparu kodu veidoja unikāls 33 ciparu identifikators, kas ģenerēts pēc nejaušības principa aizpildīto veidlapu saņemšanas brīdī.
16 Pirmajā posmā VNV veica automātisku 23 822 komentāru, kuriem katram ir burtciparu kods un kurus iesniedza 2855 procedūras dalībnieki, filtrēšanu. Ar diviem algoritmiem 20 101 komentārs tika identificēts kā identisks. Pirmais komentārs tika uzskatīts par oriģinālo komentāru, kas tika pārbaudīts analīzes posmā, un vēlāk saņemtie identiskie komentāri tika identificēti kā dublikāti.
17 Otrajā posmā, proti, analīzes posmā, VNV izvērtēja komentārus ar mērķi nodrošināt konsekvenci, novērtējot to atbilstību un iedalot kategorijās vai sagrupējot tematiski. Tādējādi VNV identificēja līdzīgus, bet ne identiskus komentārus, kas bija balstīti uz tiem pašiem internetā pieejamajiem avotiem.
18 Par komentāru analīzi atbildīgajiem VNV darbiniekiem nebija piekļuves ne reģistrācijas posmā savāktajiem datiem – līdz ar to šie komentāri bija atrauti no informācijas par personām, kas tos bija iesniegušas –, ne datu atslēgai vai informācijai, kas ļautu noskaidrot dalībnieka identitāti, izmantojot katram komentāram piešķirto unikālo burtciparu kodu.
19 Šajā analīzes posmā VNV salīdzināja visus iesniegtos komentārus un tos klasificēja pēc veidlapas jautājuma, kuram tie atbilda. Pēc tam komentāri tika izvērtēti atkarībā no to atbilstības un iedalīti šādi: pirmkārt, tie, kas ietilpa procedūras saistībā ar tiesībām tikt uzklausītam piemērošanas jomā, ciktāl tie varēja ietekmēt iepriekšējo lēmumu vai 3. vērtējumu, un, otrkārt, tie, kuri tās jomā neietilpa, jo tie attiecās uz citiem Banco Popular noregulējuma aspektiem.
20 Pēc tam komentāri, kas ietilpa procedūras piemērošanas jomā, tika iekļauti kādā no piecpadsmit VNV iepriekš noteiktajām tēmām. Atkarībā no tēmas, komentāri tika iedalīti tajos, kuri bija jāpārbauda VNV, jo tie attiecās uz iepriekšējo lēmumu, un tajos, kas bija jāpārbauda Deloitte, jo tie attiecās uz 3. vērtējumu. VNV pārbaudāmajos komentāros nenošķīra komentārus, kuri bija iesniegti tikai vienu reizi, no komentāriem, kas dublējās.
21 Analīzes posma beigās VNV identificēja 3730 komentārus, kas klasificēti atkarībā no to atbilstības un tēmas.
22 Trešajā posmā, proti, pārbaudes posmā, VNV izskatīja komentārus, kas attiecas uz iepriekšējo lēmumu, un komentārus, kuri attiecas uz 3. vērtējumu; kopā 1104 komentāri 2019. gada 17. jūnijā, izmantojot VNV paredzētu drošu virtuālo datu serveri, tika nosūtīti Deloitte. VNV augšupielādēja Deloitte nosūtāmās datnes virtuālajā serverī un piešķīra piekļuvi šīm datnēm ierobežotam un kontrolētam Deloitte darbinieku skaitam, kuri bija tieši iesaistīti šajā projektā.
23 Deloitte nodotie komentāri bija filtrēti, iedalīti kategorijās un apkopoti. Tā kā tie bija iepriekšējo komentāru kopijas, Deloitte tika nosūtīta tikai viena versija, līdz ar to reproducētie individuālie komentāri vienas tēmas ietvaros nevarēja tikt nošķirti un Deloitte nebija iespējas noskaidrot, vai komentāru ir formulējuši viens vai vairāki procedūras dalībnieki.
24 Deloitte nodotie komentāri attiecās tikai uz tiem komentāriem, kas bija saņemti apspriešanas posmā, un uz tiem bija burtciparu kods. VNV bija vienīgā, kas ar šī koda palīdzību varēja sasaistīt komentārus ar reģistrācijas posmā saņemtajiem datiem. Burtciparu kods tika izstrādāts revīzijas nolūkā, lai varētu pārbaudīt un, iespējams, a posteriori pierādīt, ka katrs komentārs ir ticis izskatīts un pienācīgi ņemts vērā. Deloitte nebija un tai joprojām nav piekļuves reģistrācijas posmā savāktajiem datiem.
Par procedūru EDAU
25 2019. gada 19., 26. un 28. oktobrī, kā arī 5. decembrī skartie akcionāri un kreditori, kuri atbildēja uz veidlapu, iesniedza EDAU piecas sūdzības (lietas 2019‑947, 2019‑998, 2019‑999, 2019‑1000 un 2019‑1122) (turpmāk tekstā – “piecas sūdzības”) saskaņā ar Eiropas Parlamenta un Padomes Regulu (ES) 2018/1725 (2018. gada 23. oktobris) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi Savienības iestādēs, struktūrās, birojos un aģentūrās un par šādu datu brīvu apriti un ar ko atceļ Regulu (EK) Nr. 45/2001 un Lēmumu Nr. 1247/2002/EK (OV 2018, L 295, 39. lpp.).
26 Piecu sūdzību iesniedzēji (turpmāk tekstā – “sūdzību iesniedzēji”) atsaucās uz to, ka VNV nav tos informējusi, ka dati, kas savākti, izmantojot atbildes uz veidlapu, tiks pārsūtīti trešajām personām, proti, Deloitte un Banco Santander, tādējādi pārkāpjot paziņojuma par konfidencialitāti noteikumus. Viņi apgalvoja, ka VNV šī iemesla dēļ ir pārkāpusi Regulas 2018/1725 15. panta 1. punkta d) apakšpunktu, saskaņā ar kuru, “ja datu subjekta personas datus vāc no datu subjekta, pārzinis personas datu iegūšanas laikā datu subjektam sniedz [..] informāciju [par] [..] personas datu saņēmēji[em] vai saņēmēju kategorij[ām], ja tādas ir”.
27 2019. gada 12. decembrī EDAU informēja VNV, ka ir saņēmis piecas sūdzības, un lūdza VNV iesniegt piezīmes.
28 2020. gada 24. jūnijā pēc procedūras, kurā VNV pēc EDAU pieprasījuma sniedza dažādus paskaidrojumus un sūdzības iesniedzēji – piezīmes, EDAU pieņēma sākotnējo lēmumu. EDAU uzskatīja, ka VNV ir pārkāpusi Regulas 2018/1725 15. pantu, jo paziņojumā par konfidencialitāti tā nebija informējusi sūdzības iesniedzējus par iespēju, ka to personas dati tiks paziņoti Deloitte. Līdz ar to tas norādīja VNV par šo pārkāpumu saskaņā ar Regulas 2018/1725 58. panta 2. punkta b) apakšpunktu.
29 2020. gada 22. jūlijā VNV lūdza EDAU pārskatīt sākotnējo lēmumu saskaņā ar EDAU Lēmuma (2020. gada 15. maijs), ar ko pieņem EDAU reglamentu (OV 2020, L 204, 49. lpp.), 18. panta 1. punktu. VNV tostarp sniedza detalizētu aprakstu par procedūru, kas saistīta ar tiesībām tikt uzklausītam, un par komentāriem, kurus apspriešanas posmā iesniedza četri no identificētajiem sūdzības iesniedzējiem. Tā apgalvoja, ka Deloitte nodotā informācija nav personas dati Regulas 2018/1725 3. panta 1. punkta izpratnē.
30 EDAU 2020. gada 5. augustā informēja VNV, ka, ņemot vērā iesniegtos jaunos elementus, tas ir nolēmis pārskatīt sākotnējo lēmumu un pieņems lēmumu, ar ko to aizstās.
31 2020. gada 24. novembrī pēc pārskatīšanas procedūras, kurā sūdzību iesniedzēji iesniedza apsvērumus un VNV pēc EDAU pieprasījuma sniedza papildu informāciju, pēdējais minētais pieņēma pārskatīto lēmumu.
32 EDAU nolēma sākotnējo lēmumu pārformulēt šādi:
“1. EDAU uzskata, ka dati, kurus VNV kopīgoja ar Deloitte, bija pseidonimizēti dati gan tāpēc, ka [apspriešanas] posma komentāri bija personas dati, gan tāpēc, ka VNV kopīgoja burtciparu kodu, kas ļāva sasaistīt [reģistrācijas] posmā saņemtās atbildes ar [apspriešanas] posmā saņemtajām atbildēm, lai gan dati, ko snieguši dalībnieki, lai sevi identificētu [reģistrācijas] posmā, Deloitte nebija nodoti.
2. EDAU uzskata, ka Deloitte ir sūdzību iesniedzēju personas datu saņēmējs Regulas 2018/1725 3. panta 13. punkta izpratnē. Tas, ka Deloitte nav minēta VNV paziņojumā par konfidencialitāti kā iespējamais VNV savākto un apstrādāto personas datu saņēmēja kā pārzinis procedūrā saistībā ar tiesībām tikt uzklausītam, ir [Regulas 2018/1725] 15. panta 1. punkta d) apakšpunktā paredzētā informēšanas pienākuma pārkāpums.
3. Ņemot vērā visus tehniskos un organizatoriskos pasākumus, ko VNV ieviesusi, lai mazinātu riskus datu aizsardzības tiesībām saistībā ar procedūru saistībā ar tiesībām tikt uzklausītam, EDAU nolemj neīstenot savas pilnvaras pieņemt korektīvus pasākumus, kas paredzēti [Regulas 2018/1725] 58. panta 2. punktā.
4. Tomēr EDAU iesaka VNV pārliecināties, ka tās paziņojumi par konfidencialitāti turpmākajās procedūrās par tiesībām tikt uzklausītam attiecas arī uz personas datu apstrādi gan reģistrācijas posmā, gan apspriešanas posmā un ka tajos ir iekļauti visi iespējamie savāktās informācijas saņēmēji, lai pilnībā ievērotu pienākumu informēt datu subjektus saskaņā ar [Regulas 2018/1725] 15. pantu.”
Lietas dalībnieku prasījumi
33 VNV prasījumi Vispārējai tiesai pēc tās prasījumu pielāgošanas ir šādi:
– atcelt pārskatīto lēmumu;
– atzīt sākotnējo lēmumu par prettiesisku;
– piespriest EDAU atlīdzināt tiesāšanās izdevumus.
34 EDAU prasījumi Vispārējai tiesai ir šādi:
– prasību noraidīt;
– piespriest VNV atlīdzināt tiesāšanās izdevumus.
Juridiskais pamatojums
Par otro prasījumu, lai Vispārējā tiesa “sākotnējo lēmumu atzītu par prettiesisku”
35 Šajā lietā starp lietas dalībniekiem nav strīda par to, ka ar pārskatīto lēmumu ticis atcelts un aizstāts sākotnējais lēmums.
36 EDAU apgalvo, ka šī iemesla dēļ prasījums attiecībā uz sākotnējo lēmumu ir nepieņemams.
37 VNV apgalvo, ka tā joprojām ir ieinteresēta, lai tiktu konstatēti procesuālie pārkāpumi, kuru rezultātā tika pieņemts sākotnējais lēmums, proti, tās tiesību uz aizstāvību un tiesību piekļūt lietas materiāliem pārkāpumi, lai tie neatkārtotos turpmākajās procedūrās. Savā atbildē uz procesa organizatorisko pasākumu tā precizēja, ka ar otro prasījumu tā nelūdz atcelt sākotnējo lēmumu, jo tas tika atcelts un aizstāts ar pārskatīto lēmumu ar ex tunc iedarbību, bet gan atzīt to par prettiesisku.
38 Tāpēc ir jāuzskata, ka ar savu otro prasījumu VNV vēlas panākt konstatējošu spriedumu, nevis tiesību akta atcelšanu.
39 Pietiek atgādināt, ka no pastāvīgās judikatūras izriet, ka Vispārējās tiesai, veicot tiesiskuma pārbaudi, pamatojoties uz LESD 263. pantu, nav kompetences pasludināt konstatējošus spriedumus (skat. spriedumus, 2009. gada 4. februāris, Omya/Komisija, T‑145/06, EU:T:2009:27, 23. punkts un tajā minētā judikatūra, 2018. gada 13. septembris, DenizBank/Padome, T‑798/14, EU:T:2018:546, 135. punkts un tajā minētā judikatūra).
40 No tā izriet, ka VNV otrais prasījums par to, lai Vispārējā tiesa “sākotnējo lēmumu atzītu par prettiesisku”, ir jānoraida, jo Vispārējai tiesai nav kompetences to izskatīt.
Par pirmā prasījuma par pārskatītā lēmuma atcelšanu pieņemamību
41 Prasības pieņemamība ir absolūts šķērslis tiesas procesam, ko Savienības tiesa jebkurā brīdī var izvirzīt pēc savas ierosmes (skat. spriedumu, 2022. gada 16. marts, MEKH un FGSZ/ACER, T‑684/19 un T‑704/19, EU:T:2022:138, 29. punkts un tajā minētā judikatūra; šajā nozīmē skat. arī spriedumu, 1993. gada 24. marts, CIRFS u.c./Komisija, C‑313/90, EU:C:1993:111, 23. punkts). Procesa organizatorisko pasākumu ietvaros Vispārējā tiesa iztaujāja lietas dalībniekus citastarp par to, vai pārskatītais lēmums ir apstrīdams tiesību akts saskaņā ar LESD 263. pantu.
42 Atbildot uz šo jautājumu, EDAU norāda – ar to, ka pārskatītajā lēmumā ir ietverta tā galīgā nostāja un pārkāpuma konstatējums, nepietiek, lai tas būtu apstrīdams tiesību akts. Esot nepieciešams, lai šī nostāja mainītu VNV tiesisko stāvokli. Tā kā EDAU pārskatītajā lēmumā nav izmantojis tam Regulas 2018/1725 58. pantā paredzētās korektīvās pilnvaras, šo lēmumu varētu uzskatīt par tādu, kas nerada tiesiskas sekas, veicot pārbaudi tiesā atbilstoši LESD 263. pantam.
43 VNV savā atbildē uz šo pašu jautājumu apgalvo, ka pārskatītais lēmums rada tiesiskas sekas, kas var ietekmēt tās intereses.
44 No judikatūras izriet, ka saskaņā ar LESD 263. panta ceturto daļu fiziska vai juridiska persona var celt prasību tikai par tiesību aktu, kas rada saistošas tiesiskās sekas, kuras var skart tās intereses, būtiski mainot tās tiesisko stāvokli. Tātad par pārsūdzamiem aktiem principā ir atzīstami pasākumi, ar kuriem galīgi ir noteikta Savienības iestādes vai struktūras nostāja administratīvā procesa beigās un kuri ir paredzēti tādu saistošu tiesisku seku radīšanai, kas var skart prasītāja intereses, izslēdzot starppasākumus, kuru mērķis ir sagatavot galīgo lēmumu un kuriem nav šādu seku (skat. spriedumus, 2020. gada 25. jūnijs, Satcen/KF, C‑14/19 P, EU:C:2020:492, 69. un 70. punkts un tajos minētā judikatūra, un 2021. gada 6. maijs, ABLV Bank u.c./ECB, C‑551/19 P un C‑552/19 P, EU:C:2021:369, 39. punkts un tajā minētā judikatūra).
45 Lai noskaidrotu, vai apstrīdētais akts rada šādas sekas, tās, paturot prātā šī akta būtību, ir jāizvērtē, atbilstoši tādiem objektīviem kritērijiem kā minētā akta saturs, vajadzības gadījumā ņemot vērā tā pieņemšanas kontekstu, kā arī to izdevušās Savienības iestādes vai struktūras pilnvaras (skat. spriedumus, 2021. gada 22. aprīlis, thyssenkrupp Electrical Steel un thyssenkrupp Electrical Steel Ugo/Komisija, C‑572/18 P, EU:C:2021:317, 48. punkts un tajā minētā judikatūra; 2021. gada 6. maijs, ABLV Bank u.c./ECB, C‑551/19 P un C‑552/19 P, EU:C:2021:369, 41. punkts un tajā minētā judikatūra, un 2021. gada 6. oktobris, Tognoli u.c./Parlaments, C‑431/20 P, EU:C:2021:807, 34. punkts un tajā minētā judikatūra).
46 Pirmkārt, ir jāatgādina, ka pārskatīto lēmumu EDAU pieņēma pēc VNV lūguma pārskatīt sākotnējo lēmumu. Ar pārskatīto lēmumu, kas pieņemts uz sacīkstes principu balstītas administratīvās procedūras rezultātā, tiek atcelts un aizstāts sākotnējais lēmums, un tas ir lēmums, kurā ietverta EDAU galīgā nostāja attiecībā uz piecām sūdzībām.
47 Regulas 2018/1725 64. panta 2. punktā par tiesībām uz efektīvu tiesību aizsardzību tiesā ir paredzēts, ka EDAU lēmumus var pārsūdzēt Eiropas Savienības Tiesā.
48 It īpaši EDAU reglamenta, uz kura pamata tika pieņemts pārskatītais lēmums, 18. panta 3. punktā ir noteikts:
“Ja pēc pieprasījuma pārskatīt lēmumu par sūdzību EDAU izdod jaunu, pārskatītu lēmumu, EDAU informē sūdzības iesniedzēju un attiecīgo iestādi, ka viņi var šo jauno lēmumu apstrīdēt Eiropas Savienības Tiesā saskaņā ar [LESD] 263. pantu.”
49 Šajā ziņā VNV nosūtītajā pārskatītā lēmuma pavadvēstulē ir norādīts:
“Lūdzu, ņemiet vērā, ka šis lēmums atceļ un aizstāj 2020. gada 24. jūnijā pieņemto lēmumu. Divu mēnešu laikā pēc šā lēmuma pieņemšanas jūs varat celt atcelšanas prasību par šo lēmumu Eiropas Savienības Tiesā saskaņā ar [LESD] 263. pantā paredzētajiem nosacījumiem.”
50 Otrkārt, attiecībā uz pārskatītā lēmuma būtību ir jāatgādina, pirmām kārtām, ka EDAU ir secinājis, ka VNV nav izpildījusi Regulas 2018/1725 15. panta 1. punkta d) apakšpunktā paredzēto informēšanas pienākumu, un, otrām kārtām, ka tas tai būtībā ieteica savos turpmākajos paziņojumos par konfidencialitāti nodrošināt, lai šāds pārkāpums neatkārtotos.
51 Pirmkārt, ir jānorāda, ka, piemērojot Regulas 2018/1725 65. pantu, šāda pārkāpuma rezultātā var iestāties VNV kā attiecīgo datu pārziņa atbildība, ja vien tiek ievēroti pārējie Līgumos paredzētie nosacījumi.
52 Otrkārt, piemērojot Regulas 2018/1725 66. panta 1. punktu, EDAU, lemjot par to, vai uzlikt administratīvu naudas sodu Savienības iestādei vai struktūrai, un lemjot par šī naudas soda apmēru, ņem vērā it īpaši jebkādus līdzīgus pārkāpumus, ko iepriekš izdarījusi šī iestāde vai struktūra. Tādējādi, ja VNV nepiekristu EDAU ieteikumam turpmāk mainīt savus paziņojumus par konfidencialitāti procedūrās saistībā ar tiesībām tikt uzklausītam, varētu konstatēt līdzīgu VNV pieļautu Regulas 2018/1725 15. panta 1. punkta d) apakšpunkta pārkāpumu un par to uzlikt naudas sodu.
53 No tā izriet, ka pārskatītajā lēmumā izdarītais konstatējums, ka VNV ir pārkāpusi Regulas 2018/1725 15. panta 1. punkta d) apakšpunktu, rada saistošas tiesiskās sekas, lai gan EDAU ir norādījis, ka tas atsakās īstenot savas pilnvaras veikt korektīvus pasākumus, kas paredzētas Regulas 2018/1725 58. panta 2. punktā.
54 Ņemot vērā iepriekš minēto, pārskatītais lēmums ir Savienības tiesību akts, kas var ietekmēt adresāta intereses, būtiski mainot tā tiesisko stāvokli. Tādējādi tas ir apstrīdams tiesību akts LESD 263. panta izpratnē.
55 Tātad ir jāuzskata, ka prasījumu pirmā daļa par pārskatītā lēmuma atcelšanu ir pieņemama.
Par lietas būtību
56 Prasības pamatojumam VNV izvirza divus pamatus. Pirmais pamats attiecas uz Regulas 2018/1725 3. panta 1. punkta pārkāpumu, jo Deloitte sniegtā informācija neesot personas dati. Otrais pamats attiecas uz Hartas 41. pantā nostiprināto tiesību uz labu pārvaldību pārkāpumu.
57 Ar pirmo pamatu VNV apgalvo, ka EDAU ir pārkāpis Regulas 2018/1725 3. panta 1. punktu, pārskatītajā lēmumā uzskatot, ka Deloitte nodotā informācija ir sūdzību iesniedzēju personas dati.
58 Regulas 2018/1725 3. panta 1. punktā personas dati ir definēti kā “jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu [un nozīmē, ka] “identificējama fiziska persona” ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem”.
59 No šīs definīcijas izriet, ka informācija ir personas dati, ja ir izpildīti divi kumulatīvi nosacījumi, proti, pirmkārt, šī informācija “attiecas” uz fizisku personu un, otrkārt, šī persona ir “identificēta vai identificējama”.
Par Regulas 2018/1725 3. panta 1. punktā paredzēto nosacījumu, ka informācija “attiecas” uz fizisku personu
60 VNV apgalvo, ka apspriešanas posmā saņemtie un Deloitte nodotie komentāri neattiecas uz konkrētām personām Regulas 2018/1725 3. panta 1. punkta izpratnē. Tā uzskata, ka 2017. gada 20. decembra spriedumā Nowak (C‑434/16, EU:C:2017:994) izmantotā argumentācija nav piemērojama sūdzību iesniedzēju komentāriem. Tā apgalvo, ka sūdzības iesniedzēju komentāros ietvertā informācija bija faktu un juridiska informācija, kas nav atkarīga no sūdzības iesniedzēju personām vai īpašībām un nav saistīta ar to privāto dzīvi. Tā uzskata, ka procedūras saistībā ar tiesībām tikt uzklausītam mērķis bija izvērtēt faktiskos un juridiskos argumentus attiecībā uz iepriekšējo lēmumu un 3. vērtējumu, ko bija iesniedzis liels skaits ieinteresēto personu, kuru personai un identitātei nebija nozīmes, izvērtējot to komentārus.
61 EDAU apgalvo, ka skarto akcionāru un kreditoru komentāru saturs ir informācija, kas “attiecas” tiem, jo to atbildēs bija ietverts un atspoguļots viņu personiskais viedoklis, pat ja tās bija balstītas uz publiski pieejamu informāciju. Sūdzību iesniedzēju un citu dalībnieku veidlapās ietvertās atbildes esot personas dati neatkarīgi no tā, vai runa ir sākotnējā viedokļa vai ar citiem kopīga viedokļa paušanu, un neatkarīgi no tā, vai VNV tās uzskata par informāciju, kas ir neatkarīga no skarto akcionāru un kreditoru īpašajām tiesībām privātās dzīves aizsardzības jomā.
62 EDAU arī uzskata, ka komentāri ir personas dati to iedarbības dēļ. Šo komentāru izvērtējums, kura mērķis ir pārbaudīt 3. vērtējuma spēkā esamību un iepriekšējā lēmuma tiesiskumu, varēja ietekmēt dalībnieku intereses un tiesības finansiālās kompensācijas jomā. Visbeidzot EDAU norāda, ka komentāru vākšanas mērķis bija piešķirt procesuālās tiesības katram dalībniekam, lai iegūtu individuālus viedokļus.
63 Pārskatītajā lēmumā EDAU norādīja, ka apspriešanas posmā saņemtās atbildes ir sūdzību iesniedzēju personas dati, jo tās ietver viņu personīgo viedokli un tādējādi ir informācija, kas uz viņiem attiecas, pat ja tās ir balstītas uz publiski pieejamu informāciju, lai paustu savu viedokli. Tas uzskatīja, ka apstāklis, ka sūdzību iesniedzēji ir pauduši līdzīgus, bet ne citu dalībnieku viedokļiem identiskus viedokļus, nenozīmē, ka viņu atbildes neatspoguļo viņu pašu viedokli. Līdz ar to EDAU uzskatīja, ka atbildes, ko brīvā teksta laukumos snieguši sūdzību iesniedzēji un citi dalībnieki, visas ir uzskatāmas par personas datiem, neatkarīgi no tā, vai runa ir par oriģinālu unikālu skatījumu, ar citiem kopēju viedokli, vai no publiski pieejamas informācijas iedvesmotu viedokli. Tas piebilda, ka šis secinājums nav pretrunā 2017. gada 20. decembra spriedumam Nowak (C‑434/16, EU:C:2017:994), kurā Tiesa nav nošķīrusi atbildes, ko pilnībā snieguši respondenti, un atbildes, kas izriet no citiem informācijas avotiem.
64 Ir jāpārbauda, vai EDAU varēja pamatoti uzskatīt, ka Deloitte nodotā informācija “attiecas” uz fizisku personu Regulas 2018/1725 3. panta 1. punkta izpratnē.
65 Vispirms jākonstatē, ka pārskatītajā lēmumā EDAU kā personas datus kvalificēja visus apspriešanas posmā skarto akcionāru un kreditoru izteiktos komentārus un neaprobežoja savu vērtējumu tikai ar Deloitte nodoto informāciju.
66 Taču, tā kā pārskatītajā lēmumā konstatētais Regulas 2018/1725 15. panta 1. punkta d) apakšpunkta pārkāpums attiecas vienīgi uz to, ka VNV paziņojumā par konfidencialitāti nav minējusi Deloitte kā potenciālo noteiktu datu saņēmēju, ir vienīgi jāpārbauda, vai Deloitte nodotā informācija ir personas dati Regulas 2018/1725 3. panta 1. punkta izpratnē.
67 Šajā ziņā Regulas 2018/1725 3. panta 13. punktā “saņēmējs” ir definēts kā “fiziska vai juridiska persona, valsts iestāde, aģentūra vai jebkura cita struktūra, kurai izpauž personas datus, neatkarīgi no tā, vai tā ir trešā persona vai nav”.
68 Atbilstoši judikatūrai tas, ka Direktīvas 2018/1725 3. panta 1. punktā rodamajā jēdziena “personas dati” definīcijā ir izmantota vārdkopa “jebkura informācija”, norāda uz Savienības likumdevēja mērķi šo jēdzienu apveltīt ar plašu nozīmi, kas neaprobežojas ar delikātu vai privāta rakstura informāciju, bet potenciāli aptver visa veida gan objektīvu, gan subjektīvu informāciju viedokļa vai vērtējumu formā, ja vien šī informācija “attiecas uz” konkrēto personu (pēc analoģijas skat. spriedumu, 2017. gada 20. decembris, Nowak, C‑434/16, EU:C:2017:994, 34. punkts).
69 Savukārt Tiesa ir nospriedusi, ka šis nupat minētais nosacījums ir izpildīts tad, kad tās satura, tās mērķa vai tās seku ziņā informācija ir saistīta ar kādu noteiktu personu (spriedums, 2017. gada 20. decembris, Nowak, C‑434/16, EU:C:2017:994, 35. punkts).
70 Tomēr pārskatītajā lēmumā EDAU nav aplūkojis ne Deloitte nodotās informācijas saturu, ne mērķi, ne ietekmi.
71 Proti, tas vienīgi norādīja, ka prasītāju iesniegtie komentāri apspriešanas posmā atspoguļoja viņu nostājas vai viedokļus, un, balstoties tikai uz šo pamatojumu, secināja, ka tie ir informācija, kas uz viņiem attiecas, ar ko pietiek, lai šos komentārus kvalificētu kā personas datus.
72 Tiesas sēdē EDAU apstiprināja, ka, pēc tā domām, visi personiskie viedokļi ir personas dati. Tas arī atzina, ka nav pārbaudījis komentāru, kurus apspriešanas posmā bija iesnieguši sūdzību iesniedzēji, saturu.
73 Protams, nevar izslēgt, ka personiskās nostājas vai viedokļi ir personas dati. Tomēr no 2017. gada 20. decembra sprieduma Nowak (C‑434/16, EU:C:2017:994), kas minēts šī sprieduma 68. un 69. punktā, 34. un 35. punkta izriet, ka šāds secinājums nevar tikt balstīts uz tādu pieņēmumu, kāds ir aprakstīta šī sprieduma 71. un 72. punktā, bet tam ir jābalstās uz pārbaudi, vai viedoklis pēc tā satura, mērķa vai iedarbības ir saistīts ar konkrētu personu.
74 No tā izriet, ka, neveicot šādu pārbaudi, EDAU nevarēja secināt, ka Deloitte nodotā informācija ir informācija, kas “attiecas” uz fizisku personu Regulas 2018/1725 3. panta 1. punkta izpratnē.
75 Pēc tam Vispārējā tiesa izskatīs EDAU vērtējumu par to, vai Deloitte nodotā informācija attiecas uz “identificētu vai identificējamu” fizisku personu.
Par Regulas 2018/1725 3. panta 1. punktā paredzēto nosacījumu, ka informācija attiecas uz “identificētu vai identificējamu” fizisku personu
76 VNV apgalvo, ka pretēji EDAU viedoklim burtciparu koda nodošana Deloitte nav izveidojusi datu “pseidonimizāciju”. Tie esot palikuši anonīmi, jo VNV neesot dalījusies ar Deloitte ar informāciju, kas ļautu atkārtoti identificēt komentāru autorus.
77 VNV apgalvo, ka dati tiek anonimizēti trešajai personai, pat ja informācija, kas ļauj veikt atkārtotu identifikāciju, nav neatgriezeniski dzēsta un to glabā sākotnējais apstrādātājs, jo formāts, kādā dati tiek nodoti šai trešajai personai, vairs neļauj identificēt komentāru autoru vai šādu iespēju padara saprātīgi neiespējamu. VNV apgalvo, ka pretēji tam, ko uzskata EDAU pārskatītajā lēmumā, Regulā 2018/1725 un Tiesas judikatūrā ir prasīts atkārtotas identificēšanas riska novērtējums.
78 Konkrētāk – VNV apgalvo, ka Tiesas judikatūrā ietvertie nosacījumi par atkārtotas identificēšanas riska esamību, ja visa informācija, kas var tikt identificēta, nav vienas, bet vairāku personu rīcībā, šajā lietā nav izpildīti. Pirmkārt, burtciparu kods, kas piešķirts individuālajiem komentāriem, neļaujot Deloitte atkārtoti identificēt personas, kas iesniegušas komentārus. Regulas 2018/1725 3. panta 6. punktā minēto papildu informāciju veidojot atkodēšanas datubāze, un tā ir pieejama tikai VNV. Otrkārt, attiecībā uz informācijas kombinēšanas saprātīgas iespējamības kritēriju jānorāda, ka Deloitte neesot bijuši un tai joprojām neesot tiesisku līdzekļu, lai piekļūtu papildu informācijai un identifikācijai.
79 EDAU apgalvo – tas, ka Deloitte nebija piekļuves VNV rīcībā esošajai informācijai, kas ļautu veikt atkārtotu identifikāciju, nenozīmē, ka Deloitte nosūtītie “pseidonimizētie” dati ir kļuvuši par anonīmiem datiem. Neesot jānosaka, vai Deloitte nodotās informācijas autori bija atkārtoti identificējami un vai šāda atkārtota identificēšana bija saprātīgi iespējama. “Pseidonimizēti” dati paliktu tādi pat tad, ja tie tiktu nodoti trešajai personai, kuras rīcībā nebūtu papildu informācijas.
80 EDAU apgalvo, ka vārda “netieši” izmantošana Regulas 2018/1725 3. panta 1. punktā nozīmē, ka, lai informāciju kvalificētu kā personas datus, nav nepieciešams, lai tā pati par sevi ļautu identificēt datu subjektu. Turklāt attiecībā uz līdzekļiem, kurus saprātīgi varētu izmantot gan personas datu pārzinis, gan jebkura cita persona, netiek prasīts, lai visa informācija, kas ļauj identificēt datu subjektu, atrastos tikai vienas personas rīcībā.
81 Pārskatītajā lēmumā EDAU uzskatīja, ka Deloitte nodotā informācija ir “pseidonimizēti” dati. Šajā ziņā tas norādīja, ka atšķirība starp “pseidonimizētiem” datiem un anonīmiem datiem slēpjas apstāklī, ka anonīmu datu gadījumā nav “papildu informācijas”, ko varētu izmantot, lai datus attiecinātu uz konkrētu datu subjektu, taču “pseidonimizētu” datu gadījumā šāda papildu informācija pastāv. Tāpēc, lai novērtētu, vai dati ir anonīmi vai “pseidonimizēti”, bija jāpārbauda, vai pastāv “papildu informācija”, ko var izmantot, lai datus sasaistītu ar konkrētiem datu subjektiem.
82 Tas norādīja, ka VNV bija nosūtījusi Deloitte ne tikai atsevišķus skarto akcionāru un kreditoru komentārus, bet arī atbilstošo burtu un ciparu kodu, un ka Deloitte nebija piekļuves reģistrācijas posmā sniegtajām atbildēm. Tas norādīja, kā to bija paskaidrojusi VNV, ka “Deloitte nebija iespējams izsekot jebkuras puses identitāti, kas izmanto šo kodu, izmantojot konkrētos datus, ko tiesīgās puses sniedza reģistrācijas posmā (kurus vienmēr saglabāja VNV)”. Tomēr EDAU uzskatīja, ka reģistrācijas posmā iesniegtie dati ar unikālo identifikatoru, proti, burtciparu kodu, kas piešķirts katram tiesīgajam dalībniekam, ir ideāls “papildu informācijas” piemērs Regulas 2018/1725 3. panta 6. punkta izpratnē, jo VNV tos var izmantot, lai datus sasaistītu ar konkrētu datu subjektu.
83 EDAU paskaidroja, ka Regulā 2018/1725 nav nošķirti tie, kas saglabā “pseidonimizētus” datus, un tie, kuru rīcībā ir papildu informācija, ka runa ir par dažādām struktūrām, un tas nepadara “pseidonimizētus” datus par anonīmiem. Tas piebilda – fakts, ka Deloitte viena pati nevarēja komentārus sasaistīt ar datiem, kas saņemti reģistrācijas posmā, neizslēdz, ka tai nodotie dati ir “pseidonimizēti”. EDAU uzskata, ka dati, kurus VNV bija kopīgojusi ar Deloitte, bija “pseidonimizēti” dati gan tāpēc, ka apspriešanas posmā saņemtie komentāri bija personas dati, gan tāpēc, ka VNV kopīgoja burtciparu kodu, kas ļāva reģistrācijas posmā sniegtās atbildes sasaistīt ar apspriešanas posmā sniegtajām atbildēm, lai gan dati, kurus dalībnieki bija snieguši, lai identificētos reģistrācijas posmā, Deloitte netika paziņoti. No tā EDAU secināja, ka Deloitte nodotā informācija ir “pseidonimizēti” dati un līdz ar to – personas dati Regulas 2018/1725 3. panta 1. punkta izpratnē.
84 Vispirms jānorāda, ka, ņemot vērā šā sprieduma 14.–24. punktā aprakstītos VNV ieviestos mehānismus tādu datu apstrādei, kas savākti procedūrā saistībā ar tiesībām tikt uzklausītam, Deloitte nodotā informācija neattiecās uz “identificētām” personām.
85 Tāpēc jāpārbauda, vai EDAU varēja pamatoti uzskatīt, ka Deloitte nodotā informācija attiecas uz “identificējamu” fizisku personu Regulas 2018/1725 3. panta 1. punkta izpratnē.
86 Saskaņā ar šo tiesību normu “identificējama fiziska persona” ir fiziska persona, kuru var tieši vai netieši identificēt.
87 Regulas 2018/1725 16. apsvērumā ir paredzēts šādi:
“[..] Personas dati, kuri ir pseidonimizēti un kurus, izmantojot papildu informāciju, varētu attiecināt uz fizisku personu, būtu jāuzskata par informāciju par identificējamu fizisku personu. Lai noteiktu, vai fiziska persona ir identificējama, būtu jāņem vērā visi līdzekļi, ko pārzinis vai kāda cita persona pamatoti varētu izmantot – piemēram, atsevišķa izdalīšana –, lai tieši vai netieši identificētu fizisku personu. Lai pārliecinātos, vai līdzekļus varētu saprātīgi izmantot fiziskas personas identificēšanai, būtu jāņem vērā visi objektīvie faktori, piemēram, identificēšanai nepieciešamās izmaksas un laiks, ņemot vērā apstrādes laikā pieejamo tehnoloģiju un tehnoloģiju attīstību. [..]”
88 Jānorāda, ka 2016. gada 19. oktobra spriedumā Breyer (C‑582/14, EU:C:2016:779) Tiesa ir interpretējusi personas datu jēdzienu Eiropas Parlamenta un Padomes Direktīvas 95/46/EK (1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.) 2. panta a) punkta izpratnē, kurā ietverta Regulas 2018/1725 3. panta 1. punktam līdzvērtīga tiesību norma.
89 Šajā lietā tika uzdots jautājums, vai interneta protokola adrese (turpmāk tekstā – “IP adrese”) ir personas dati attiecībā uz tiešsaistes plašsaziņas līdzekļu pakalpojumu sniedzēju, kurš to ir saglabājis. Tiesa uzskatīja, ka ir jāpārbauda, vai šī IP adrese var tikt kvalificēta kā informācija, kas attiecas uz “identificējamu fizisku personu”, ņemot vērā, pirmkārt, to, ka tā pati par sevi nesniedza šim pakalpojumu sniedzējam iespēju identificēt lietotāju, kurš ir apmeklējis interneta vietni, un, otrkārt, to, ka interneta piekļuves pakalpojumu sniedzēja rīcībā ir nepieciešamā papildu informācija, kas, ja tā tiktu apvienota ar šo IP adresi, ļautu identificēt minēto lietotāju.
90 Ņemot vērā, ka Regulas 2018/1725 16. apsvērumā ir paredzēta atsauce uz līdzekļiem, ko var saprātīgi izmantot gan personas datu pārzinis, gan arī “cita persona”, tā formulējums norāda, ka, lai datus varētu kvalificēt kā “personas datus” Regulas 2018/1725 3. panta 1. punkta izpratnē, netiek prasīts, lai visa informācija, kas ļauj identificēt attiecīgo personu, atrastos tikai vienas personas rīcībā (pēc analoģijas skat. spriedumu, 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 43. punkts).
91 Tomēr Tiesa piebilda – ar to, ka papildu informācija, kas vajadzīga, lai identificētu interneta vietnes lietotāju, ir nevis tiešsaistes plašsaziņas līdzekļu pakalpojumu sniedzēja, bet šī lietotāja interneta piekļuves pakalpojumu sniedzēja rīcībā, nevar izslēgt, ka tiešsaistes plašsaziņas līdzekļu pakalpojumu sniedzēja saglabātās dinamiskās IP adreses attiecībā uz to ir personas dati (spriedums, 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 44. punkts).
92 Tiesa uzskatīja, ka ir jānosaka, vai iespēja savienot dinamisko IP adresi ar minēto papildu informāciju, kura ir šī interneta piekļuves pakalpojumu sniedzēja rīcībā, ir līdzeklis, kas saprātīgi var tikt izmantots, lai identificētu attiecīgo personu (spriedums, 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 45. punkts).
93 Tiesa norādīja, ka tas tā nebūtu, ja attiecīgās personas identifikācija būtu aizliegta ar tiesību aktiem vai praktiski neīstenojama, piemēram, tādēļ, ka tā nozīmētu nesamērīgu piepūli laika, izmaksu un darbaspēka ziņā, kā rezultātā identifikācijas risks patiesībā būtu nenozīmīgs (spriedums, 2016. gada 19. oktobris, Breyer, C‑582/14, EU:C:2016:779, 46. punkts).
94 Šajā lietā netiek apstrīdēts, pirmkārt, ka burtciparu kods, kas ietilpst Deloitte nodotajā informācijā, pats par sevi neļāva identificēt komentāru autorus un, otrkārt, ka Deloitte nebija piekļuves reģistrācijas posmā saņemtajiem identifikācijas datiem, kas ļautu, izmantojot burtciparu kodu, sasaistīt dalībniekus ar viņu komentāriem.
95 EDAU pārskatītajā lēmumā norādīja un tiesas sēdē apstiprināja, ka papildu informācija, kas nepieciešama komentāru autoru identificēšanai, ir burtciparu kods un identifikācijas datubāze.
96 Protams, kā apgalvo EDAU, ņemot vērā 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779) 43. punktu, kas minēts šā sprieduma 90. punktā, tas, ka papildu informācija, kas nepieciešama, lai identificētu apspriešanas posmā saņemto komentāru autorus, bija nevis Deloitte, bet gan VNV rīcībā, a priori neizslēdz, ka Deloitte nodotā informācija attiecībā uz to bija personas dati.
97 Tomēr no 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779) arī izriet, ka, lai noteiktu, vai Deloitte nodotā informācija ir personas dati, ir jāņem vērā tās viedoklis, lai noteiktu, vai tai nodotā informācija attiecas uz “identificējamām personām”.
98 Proti, ir jāatgādina, pirmkārt, ka Regulas 2018/1725 15. panta 1. punkta d) apakšpunkta pārkāpums, ko EDAU ir konstatējis pārskatītajā lēmumā, attiecās uz VNV veiktu dažu komentāru nodošanu Deloitte, nevis tikai uz to, ka tie ir VNV rīcībā.
99 Otrkārt, no vienas puses, Deloitte situāciju var salīdzināt ar tiešsaistes plašsaziņas līdzekļu pakalpojumu sniedzēja situāciju, par kuru ir runa 2016. gada 19. oktobra spriedumā Breyer (C‑582/14, EU:C:2016:779), jo tās rīcībā bija informācija, proti, komentāri par 3. vērtējumu, kas nebija informācija, kura attiecas uz “identificētu fizisku personu”, jo katrā atbildē norādītais burtciparu kods neļāva tieši atklāt veidlapu aizpildījušās fiziskās personas identitāti. No otras puses, VNV situāciju var salīdzināt ar interneta piekļuves nodrošinātāja situāciju minētajā lietā, jo nav strīda par to, ka tās rīcībā bija tikai papildu informācija, kas ļāva identificēt skartos akcionārus un kreditorus, kuri atbildēja uz veidlapu, proti, burtciparu kods un identifikācijas datubāze.
100 Līdz ar to, piemērojot šī sprieduma 91. punktā minētā 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779) 44. punktu, EDAU bija jāpārbauda, vai Deloitte nodotie komentāri attiecībā uz to ir personas dati.
101 Tādējādi EDAU kļūdaini apgalvo, ka nebija jānoskaidro ne tas, vai Deloitte varēja atkārtoti identificēt tai nodotās informācijas autorus, ne arī tas, vai šāda atkārtota identifikācija bija saprātīgi iespējama.
102 Jākonstatē, ka pārskatītajā lēmumā EDAU uzskatīja – fakts, ka VNV rīcībā bija papildu informācija, kas ļāva atkārtoti identificēt komentāru autorus, ir pietiekams iemesls secināt, ka Deloitte nodotā informācija bija personas dati, vienlaikus atzīstot, ka reģistrācijas posmā saņemtie identifikācijas dati Deloitte netika paziņoti.
103 Tādējādi no pārskatītā lēmuma izriet, ka EDAU ir tikai izvērtējis iespēju atkārtoti identificēt komentāru autorus no VNV, nevis no Deloitte skatpunkta.
104 No šī sprieduma 92. punktā minētā 2016. gada 19. oktobra sprieduma Breyer (C‑582/14, EU:C:2016:779) 45. punkta izriet, ka EDAU ir jānosaka, vai iespēja kombinēt Deloitte nodoto informāciju ar VNV rīcībā esošo papildu informāciju ir līdzeklis, ko Deloitte varētu saprātīgi izmantot, lai identificētu komentāru autorus.
105 Tādējādi, tā kā EDAU nav noskaidrojis, vai Deloitte rīcībā bija likumīgi un praktiski pielietojami līdzekļi, kas tai ļautu piekļūt papildu informācijai, kura nepieciešama komentāru autoru atkārtotai identificēšanai, EDAU nevarēja secināt, ka Deloitte nodotā informācija ir informācija, kas attiecas uz “identificējamu fizisku personu” Regulas 2018/1725 3. panta 1. punkta izpratnē.
106 No visa iepriekš minētā izriet, ka pirmais pamats ir jāapmierina un līdz ar to pārskatītais lēmums ir jāatceļ, neizvērtējot otro pamatu.
Par tiesāšanās izdevumiem
107 Atbilstoši Vispārējās tiesas Reglamenta 134. panta 1. punktam lietas dalībniekam, kuram nolēmums ir nelabvēlīgs, piespriež atlīdzināt tiesāšanās izdevumus, ja to ir prasījis lietas dalībnieks, kuram nolēmums ir labvēlīgs.
108 Tā kā EDAU spriedums būtiskā prasījumu daļā ir nelabvēlīgs, tam jāpiespiež atlīdzināt tiesāšanās izdevumus saskaņā ar VNV prasījumiem.
Ar šādu pamatojumu
VISPĀRĒJĀ TIESA (astotā palāta paplašinātā sastāvā)
nospriež:
1) Atcelt Eiropas Datu aizsardzības uzraudzītāja (EDAU) 2020. gada 24. novembra pārskatīto lēmumu, kas pieņemts pēc Vienotās noregulējuma valdes (VNV) lūguma pārskatīt EDAU 2020. gada 24. jūnija lēmumu par piecām sūdzībām, kuras iesnieguši vairāki sūdzību iesniedzēji (lietas 2019‑947, 2019‑998, 2019‑999, 2019‑1000 un 2019‑1122).
2) Prasību pārējā daļā noraidīt.
3) EDAU atlīdzina tiesāšanās izdevumus.
Pasludināts atklātā tiesas sēdē Luksemburgā 2023. gada 26. aprīlī.
[Paraksti]