RETTENS DOM (Ottende Udvidede Afdeling)
26. april 2023 (*)
»Beskyttelse af personoplysninger – procedure for betaling af kompensation til aktionærer og kreditorer efter afvikling af en bank – EDPS’ afgørelse, hvorved det fastslås, at Afviklingsinstansen har tilsidesat sine forpligtelser vedrørende behandling af personoplysninger – artikel 15, stk. 1, litra d), i forordning (EU) 2018/1725 – begrebet »personoplysninger« – artikel 3, nr. 1), i forordning 2018/1725 – retten til aktindsigt«
I sag T-557/20,
Den Fælles Afviklingsinstans (Afviklingsinstansen) ved H. Ehlers, M. Fernández Rupérez, A. Lapresta Bienz, som befuldmægtigede, bistået af advokaterne H.-G. Kamann, M. Braun, F. Louis og L. Hesse,
sagsøger,
mod
Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) ved P. Candellier, X. Lareo og T. Zerdick, som befuldmægtigede,
sagsøgte,
har
RETTEN (Ottende Udvidede Afdeling),
sammensat af afdelingsformanden, A. Kornezov, og dommerne G. De Baere (refererende dommer), D. Petrlík, K. Kecsmár og S. Kingston,
justitssekretær: fuldmægtig I. Kurme,
på grundlag af den skriftlige forhandling
og efter retsmødet den 1. december 2022
afsagt følgende
Dom
1 Den Fælles Afviklingsinstans (Afviklingsinstansen) har med sit søgsmål anlagt i henhold til artikel 263 TEUF nedlagt påstand dels om annullation af Den Europæiske Tilsynsførende for Databeskyttelses (EDPS) reviderede afgørelse af 24. november 2020, vedtaget efter Afviklingsinstansens indgivelse af anmodning om revurdering af EDPS’ afgørelse af 24. juni 2020 vedrørende fem klager indgivet af flere klagere (sag 2019-947, 2019-998, 2019-999, 2019-1000 og 2019-1122) (herefter »den reviderede afgørelse«), dels om, at det fastslås, at EDPS’ afgørelse af 24. juni 2020 (herefter »den oprindelige afgørelse«) er ulovlig.
Tvistens baggrund
2 Den 7. juni 2017 blev der på Afviklingsinstansens eksekutivmøde vedtaget afgørelse SRB/EES/2017/08 om en afviklingsordning for Banco Popular Español, SA (herefter »afviklingsordningen«) på grundlag af Europa-Parlamentets og Rådets forordning (EU) nr. 806/2014 af 15. juli 2014 om ensartede regler og en ensartet procedure for afvikling af kreditinstitutter og visse investeringsselskaber inden for rammerne af en fælles afviklingsmekanisme og en fælles afviklingsfond og om ændring af forordning (EU) nr. 1093/2010 (EUT 2014, L 225, s. 1).
3 Samme dag vedtog Europa-Kommissionen afgørelse (EU) 2017/1246 om godkendelse af afviklingsordningen (EUT 2017, L 178, s. 15).
4 I afviklingsordningen besluttede Afviklingsinstansen, idet den var af den opfattelse, at betingelserne i artikel 18, stk. 1, i forordning nr. 806/2014 var opfyldt, at bringe Banco Popular Español (herefter »Banco Popular«) under afvikling. Afviklingsinstansen besluttede at nedskrive og konvertere Banco Populars kapitalinstrumenter i henhold til artikel 21 i forordning nr. 806/2014 og at anvende virksomhedssalgsværktøjet i henhold til artikel 24 i forordning nr. 806/2014 ved at overføre aktierne til en køber.
5 Efter afviklingen af Banco Popular fremsendte Deloitte den 14. juni 2018 til Afviklingsinstansen den i artikel 20, stk. 16-18, i forordning nr. 806/2014 omhandlede værdiansættelse af forskellen i behandlingen, udarbejdet med henblik på at afgøre, om aktionærer og kreditorer ville have modtaget en bedre behandling, hvis Banco Popular havde været underlagt almindelig insolvensbehandling (herefter »værdiansættelse 3«).
6 Den 6. august 2018 offentliggjorde Afviklingsinstansen på sit websted sin meddelelse af 2. august 2018 vedrørende instansens foreløbige afgørelse om, hvorvidt aktionærerne og kreditorerne skulle bevilges kompensation som følge af de afviklingsforanstaltninger, der var truffet vedrørende Banco Popular, og vedrørende iværksættelsen af en procedure, så de berørte kunne udøve deres ret til at blive hørt (SRB/EES/2018/132) (herefter »den foreløbige afgørelse«), samt en ikke-fortrolig udgave af værdiansættelse 3. Den 7. august 2018 blev en bekendtgørelse vedrørende Afviklingsinstansens meddelelse offentliggjort i Den Europæiske Unions Tidende (EUT 2018, C 277 I, s. 1).
7 Afviklingsinstansen anførte i den foreløbige afgørelse, at den for at kunne træffe en endelig afgørelse om, hvorvidt der i henhold til artikel 76, stk. 1, litra e), i forordning nr. 806/2014 skulle bevilges kompensation til de aktionærer og kreditorer, der var berørt af afviklingen af Banco Popular, opfordrede dem til at tilkendegive deres interesse i at udøve deres ret til at blive hørt i henhold til artikel 41, stk. 2, litra a), i Den Europæiske Unions charter om grundlæggende rettigheder.
Proceduren vedrørende retten til at blive hørt
8 I den foreløbige afgørelse anførte Afviklingsinstansen, at proceduren vedrørende retten til at blive hørt ville blive afholdt i to faser. I den første fase (herefter »tilmeldingsfasen«) blev de berørte aktionærer og kreditorer opfordret til at tilkendegive deres interesse i at udøve deres ret til at blive hørt ved hjælp af en onlinetilmeldingsformular inden den 14. september 2018. Dernæst skulle Afviklingsinstansen undersøge, om alle de parter, der havde tilkendegivet deres interesse, faktisk havde status som berørt aktionær eller kreditor. I den anden fase (herefter »høringsfasen«) kunne de berørte aktionærer og kreditorer, hvis status var blevet bekræftet af Afviklingsinstansen, fremsætte deres bemærkninger til den foreløbige afgørelse, som var vedlagt værdiansættelse 3.
9 I tilmeldingsfasen skulle de berørte aktionærer og kreditorer, der ønskede at udøve deres ret til at blive hørt, forelægge Afviklingsinstansen dokumentation for, at de på tidspunktet for afviklingen var i besiddelse af et eller flere kapitalinstrumenter i Banco Popular, som var blevet nedskrevet eller konverteret og overført til Banco Santander, SA i forbindelse med afviklingen. Den dokumentation, der skulle fremlægges, omfattede legitimation og et bevis for ejendomsretten til et af disse kapitalinstrumenter pr. 6. juni 2017.
10 Den 6. august 2018, som var datoen for tilmeldingsfasens indledning, offentliggjorde Afviklingsinstansen ligeledes på websiden for tilmelding til proceduren vedrørende retten til at blive hørt og på sit websted en fortrolighedserklæring vedrørende behandlingen af personoplysninger inden for rammerne af proceduren vedrørende retten til at blive hørt (herefter »fortrolighedserklæringen«).
11 Den 16. oktober 2018 meddelte Afviklingsinstansen på sit websted, at kvalificerede aktionærer og kreditorer i høringsfasen fra den 6. november 2018 ville blive opfordret til at fremsætte skriftlige bemærkninger til den foreløbige afgørelse.
12 Den 6. november 2018 sendte Afviklingsinstansen pr. e-mail et unikt personligt link til de kvalificerede aktionærer og kreditorer, hvormed de fik adgang til en formular på internettet (herefter »formularen«). Formularen indeholdt syv spørgsmål med begrænset svarplads, som gav de berørte aktionærer og kreditorer mulighed for inden den 26. november 2018 at fremsætte deres bemærkninger til den foreløbige afgørelse og til den ikke-fortrolige udgave af værdiansættelse 3.
13 Afviklingsinstansen undersøgte de relevante bemærkninger fra de berørte aktionærer og kreditorer vedrørende den foreløbige afgørelse. Instansen anmodede Deloitte om i dennes egenskab af uafhængig valuar at vurdere de relevante bemærkninger vedrørende værdiansættelse 3, at fremsende et dokument indeholdende denne vurdering og at undersøge, om værdiansættelse 3 fortsat var gyldig i lyset af disse bemærkninger.
Behandlingen af de oplysninger, som Afviklingsinstansen indsamlede inden for rammerne af proceduren vedrørende retten til at blive hørt
14 De oplysninger, der blev indsamlet i tilmeldingsfasen, nemlig bevis for deltagernes identitet og for ejendomsretten til nedskrevne eller konverterede og overførte kapitalinstrumenter i Banco Popular, var tilgængelige for et begrænset antal ansatte i Afviklingsinstansen, der var ansvarlige for behandlingen af disse oplysninger med henblik på at fastslå, om deltagerne var kvalificerede.
15 Disse oplysninger var ikke synlige for de ansatte i Afviklingsinstansen, der var ansvarlige for behandlingen af de bemærkninger, der blev modtaget i høringsfasen, hvorunder de pågældende kun modtog bemærkninger identificeret med en alfanumerisk kode, som blev tildelt alle de bemærkninger, der blev indgivet ved hjælp af formularen. Den alfanumeriske kode bestod af en unik universel identifikator med 33 cifre, der blev genereret vilkårligt på tidspunktet for modtagelsen af formularbesvarelserne.
16 I første omgang foretog Afviklingsinstansen en automatisk filtrering af 23 822 bemærkninger, hver forsynet med en unik alfanumerisk kode, som var blevet fremsat af 2 855 deltagere i proceduren. To algoritmer identificerede 20 101 bemærkninger som værende identiske. Den bemærkning, der var blevet fremsat først, blev anset for at være den oprindelige bemærkning, der blev behandlet i analysefasen, og de identiske bemærkninger, der var blevet modtaget senere, blev identificeret som dubletter.
17 I anden omgang, i analysefasen, undersøgte Afviklingsinstansen bemærkningerne med det formål at sikre kohærens i vurderingen af deres relevans og deres kategorisering eller gruppering efter fastlagte temaer. Afviklingsinstansen identificerede således bemærkninger, der lignede hinanden, men ikke var identiske, og som var støttet på de samme kilder, der var tilgængelige på internettet.
18 De ansatte ved Afviklingsinstansen, der havde til opgave at analysere bemærkningerne, havde hverken adgang til de oplysninger, der var indsamlet under tilmeldingsfasen, idet disse bemærkninger således var adskilt fra de personlige oplysninger om de personer, der havde fremsat dem, eller til datanøglen eller de oplysninger, der gjorde det muligt at finde en deltagers identitet med henvisning til den unikke alfanumeriske kode, som alle bemærkninger var blevet tildelt.
19 I denne analysefase sammenlignede Afviklingsinstansen alle de fremsatte bemærkninger og klassificerede dem ud fra det spørgsmål i formularen, som de besvarede. Bemærkningerne blev derefter vurderet ud fra deres relevans og opdelt i dem, der var omfattet af anvendelsesområdet for proceduren vedrørende retten til at blive hørt, for så vidt som de kunne have indflydelse på den foreløbige afgørelse eller værdiansættelse 3, og dem, der ikke var omfattet heraf, for så vidt som de vedrørte andre aspekter af afviklingen af Banco Popular.
20 En bemærkning, der var omfattet af anvendelsesområdet for proceduren, blev derefter tildelt et af de 15 temaer, som Afviklingsinstansen på forhånd havde fastlagt. Alt efter det tema, som de vedrørte, blev bemærkningerne opdelt i dem, der skulle undersøges af Afviklingsinstansen, for så vidt som de vedrørte den foreløbige afgørelse, og dem, der skulle undersøges af Deloitte, for så vidt som de vedrørte værdiansættelse 3. Blandt de bemærkninger, der skulle undersøges, sondrede Afviklingsinstansen ikke mellem dem, der kun var blevet fremsat én gang, og dem, der havde dubletter.
21 Ved analysefasens afslutning havde Afviklingsinstansen identificeret 3 730 bemærkninger klassificeret på grundlag af deres relevans og tema.
22 I tredje omgang, i undersøgelsesfasen, blev bemærkningerne vedrørende den foreløbige afgørelse behandlet af Afviklingsinstansen, og de bemærkninger, der vedrørte værdiansættelse 3, nemlig 1 104 bemærkninger, blev den 17. juni 2019 overført til Deloitte via en sikker virtuel dataserver, som var dedikeret til Afviklingsinstansen. Afviklingsinstansen downloadede de filer, der skulle sendes til Deloitte, til den virtuelle server og gav et begrænset og kontrolleret antal ansatte hos Deloitte, der var direkte involveret i dette projekt, adgang til disse filer.
23 De bemærkninger, der blev overført til Deloitte, blev filtreret, kategoriseret og aggregeret. Når der var tale om kopier af tidligere bemærkninger, blev der kun fremsendt én enkelt udgave til Deloitte, således at det ikke var muligt at se de individuelle bemærkninger, der var blevet repliceret, inden for det samme tema, og Deloitte havde ikke mulighed for at vide, om en bemærkning var blevet fremsat af en eller flere deltagere i proceduren.
24 De bemærkninger, der blev fremsendt til Deloitte, var kun bemærkninger, der var modtaget i høringsfasen, og de var forsynet med en alfanumerisk kode. Denne kode gjorde, at Afviklingsinstansen var den eneste, der kunne knytte bemærkningerne til de oplysninger, der var modtaget i tilmeldingsfasen. Den alfanumeriske kode blev udviklet med henblik på revision for at gøre det muligt efterfølgende at kontrollere og eventuelt godtgøre, at hver enkelt bemærkning var blevet behandlet og taget behørigt i betragtning. Deloitte havde ikke og har stadig ikke adgang til databasen med de oplysninger, der blev indsamlet i tilmeldingsfasen.
Proceduren for EDPS
25 Den 19., 26. og 28. oktober samt den 5. december 2019 indgav berørte aktionærer og kreditorer, som havde besvaret formularen, fem klager til EDPS (sag 2019-947, 2019-998, 2019-999, 2019-1000 og 2019-1122) (herefter »de fem klager«) i henhold til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT 2018, L 295, s. 39).
26 De fem klagere (herefter »klagerne«) gjorde gældende, at Afviklingsinstansen ikke havde underrettet dem om, at de oplysninger, der blev indsamlet ved hjælp af formularbesvarelserne, ville blive videregivet til tredjemand, nemlig Deloitte og Banco Santander, hvilket var i strid med bestemmelserne i fortrolighedserklæringen. De hævdede, at Afviklingsinstansen af denne grund havde tilsidesat artikel 15, stk. 1, litra d), i forordning 2018/1725, der fastsætter, at »[h]vis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede […] oplysninger [vedrørende] eventuelle modtagere eller kategorier af modtagere af personoplysningerne«.
27 Den 12. december 2019 meddelte EDPS Afviklingsinstansen, at den havde modtaget de fem klager, og anmodede Afviklingsinstansen om at fremsætte bemærkninger.
28 Efter en procedure, hvor Afviklingsinstansen gav forskellige forklaringer efter anmodning fra EDPS, og klagerne fremsatte bemærkninger, vedtog EDPS den oprindelige afgørelse den 24. juni 2020. EDPS var af den opfattelse, at Afviklingsinstansen havde tilsidesat artikel 15 i forordning 2018/1725, idet den ikke i fortrolighedserklæringen havde underrettet klagerne om, at deres personoplysninger kunne blive videregivet til Deloitte. EDPS udtalte følgelig kritik af Afviklingsinstansen for denne tilsidesættelse i henhold til artikel 58, stk. 2, litra b), i forordning 2018/1725.
29 Den 22. juli 2020 anmodede Afviklingsinstansen EDPS om at revurdere den oprindelige afgørelse i henhold til artikel 18, stk. 1, i EDPS’ afgørelse af 15. maj 2020 om vedtagelse af den tilsynsførendes forretningsorden (EUT 2020, L 204, s. 49). Afviklingsinstansen fremlagde bl.a. en detaljeret beskrivelse af proceduren vedrørende retten til at blive hørt og af analysen af de bemærkninger, som fire af de identificerede klagere havde fremsat i høringsfasen. Instansen gjorde gældende, at de oplysninger, der var blevet videregivet til Deloitte, ikke udgjorde personoplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.
30 Den 5. august 2020 meddelte EDPS Afviklingsinstansen, at EDPS i lyset af de nye oplysninger havde besluttet at revurdere den oprindelige afgørelse, og at den ville træffe en afgørelse, som skulle erstatte den.
31 Efter revurderingsproceduren, hvor klagerne fremsatte bemærkninger, og Afviklingsinstansen fremlagde supplerende oplysninger efter anmodning fra EDPS, vedtog EDPS den reviderede afgørelse den 24. november 2020.
32 EDPS besluttede at revidere den oprindelige afgørelse som følger:
»1. EDPS er af den opfattelse, at de oplysninger, som Afviklingsinstansen delte med Deloitte, var pseudonymiserede oplysninger, både fordi bemærkningerne i [høringsfasen] var personoplysninger, og fordi Afviklingsinstansen delte den alfanumeriske kode, der gjorde det muligt at knytte de besvarelser, der blev modtaget i [tilmeldingsfasen], til besvarelserne fra [høringsfasen], selv om de oplysninger, som deltagerne havde givet i identifikationsøjemed i [tilmeldingsfasen], ikke var blevet videregivet til Deloitte.
2. EDPS er af den opfattelse, at Deloitte var modtager af klagernes personoplysninger som omhandlet i artikel 3, nr. 13), i forordning 2018/1725. Den omstændighed, at Deloitte ikke er nævnt i Afviklingsinstansens fortrolighedserklæring som en potentiel modtager af de personoplysninger, som Afviklingsinstansen indsamlede og behandlede i sin egenskab af dataansvarlig i forbindelse med proceduren vedrørende retten til at blive hørt, udgør en tilsidesættelse af oplysningspligten i artikel 15, stk. 1, litra d), [i forordning 2018/1725].
3. I lyset af alle de tekniske og organisatoriske foranstaltninger, som Afviklingsinstansen har truffet for at begrænse risiciene for de registreredes ret til databeskyttelse i forbindelse med proceduren vedrørende retten til at blive hørt, har EDPS besluttet ikke at udøve sine sanktionsbeføjelser i henhold til artikel 58, stk. 2, [i forordning 2018/1725].
4. EDPS anbefaler imidlertid Afviklingsinstansen at tilse, at dens fortrolighedserklæringer i fremtidige procedurer vedrørende retten til at blive hørt dækker behandlingen af personoplysninger i såvel tilmeldingsfasen som høringsfasen, og at de indeholder alle potentielle modtagere af de indsamlede oplysninger, således at forpligtelsen til at underrette de registrerede i henhold til artikel 15 [i forordning 2018/1725] overholdes fuldt ud.«
Parternes påstande
33 Afviklingsinstansen har efter at have ændret sine påstande nedlagt følgende påstande:
– Den reviderede afgørelse annulleres.
– Det fastslås, at den oprindelige afgørelse er ulovlig.
– EDPS tilpligtes at betale sagsomkostningerne.
34 EDPS har nedlagt følgende påstande:
– Frifindelse.
– Afviklingsinstansen tilpligtes at betale sagsomkostningerne.
Retlige bemærkninger
Den anden påstand om, at det »fastslås, at den oprindelige afgørelse er ulovlig«
35 I den foreliggende sag er det ubestridt mellem parterne, at den reviderede afgørelse ophævede og erstattede den oprindelige afgørelse.
36 EDPS har gjort gældende, at påstanden vedrørende den oprindelige afgørelse af denne grund ikke kan antages til realitetsbehandling.
37 Afviklingsinstansen har gjort gældende, at den fortsat har en interesse i at få fastslået de processuelle uregelmæssigheder, der førte til vedtagelsen af den oprindelige afgørelse, nemlig tilsidesættelsen af dens ret til forsvar og ret til aktindsigt, således at de ikke gentager sig i fremtidige procedurer. Instansen har i sit svar på en foranstaltning med henblik på sagens tilrettelæggelse præciseret, at den med sin anden påstand ikke har nedlagt påstand om annullation af den oprindelige afgørelse, idet denne er blevet ophævet og erstattet af den reviderede afgørelse med virkning ex tunc, men om, at det fastslås, at den er ulovlig.
38 Det må derfor lægges til grund, at Afviklingsinstansen med sin anden påstand tilsigter at opnå en deklaratorisk dom og ikke annullation af en retsakt.
39 Det er imidlertid tilstrækkeligt at bemærke, at Retten efter fast retspraksis ikke har kompetence til at afsige deklaratoriske domme inden for rammerne af legalitetskontrollen i henhold til artikel 263 TEUF (jf. dom af 4.2.2009, Omya mod Kommissionen, T-145/06, EU:T:2009:27, præmis 23 og den deri nævnte retspraksis, og af 13.9.2018, DenizBank mod Rådet, T-798/14, EU:T:2018:546, præmis 135 og den deri nævnte retspraksis).
40 Det følger heraf, at Afviklingsinstansens anden påstand om, at det »fastslås, at den oprindelige afgørelse er ulovlig«, skal afvises, da Retten ikke har kompetence til at påkende den.
Antagelse til realitetsbehandling af den første påstand om annullation af den reviderede afgørelse
41 Sagens antagelse til realitetsbehandling er underlagt ufravigelige procesforudsætninger, som Unionens retsinstanser til enhver tid kan gøre gældende af egen drift (jf. dom af 16.3.2022, MEKH og FGSZ mod ACER, T-684/19 og T-704/19, EU:T:2022:138, præmis 29 og den deri nævnte retspraksis; jf. ligeledes i denne retning dom af 24.3.1993, CIRFS m.fl. mod Kommissionen, C-313/90, EU:C:1993:111, præmis 23). Som led i en foranstaltning med henblik på sagens tilrettelæggelse har Retten bl.a. spurgt parterne, om den reviderede afgørelse udgjorde en anfægtelig retsakt i henhold til artikel 263 TEUF.
42 Som svar på dette spørgsmål har EDPS anført, at den omstændighed, at den reviderede afgørelse indeholder dens endelige standpunkt og fastslår en tilsidesættelse, ikke er tilstrækkelig til, at den udgør en anfægtelig retsakt. Det er nødvendigt, at dette standpunkt medfører en ændring af Afviklingsinstansens retsstilling. Da EDPS i den reviderede afgørelse ikke har gjort brug af sine sanktionsbeføjelser i henhold til artikel 58 i forordning 2018/1725, kan afgørelsen anses for ikke at have retsvirkninger med henblik på domstolsprøvelse i henhold til artikel 263 TEUF.
43 Afviklingsinstansen har i sit svar på samme spørgsmål gjort gældende, at den reviderede afgørelse har retsvirkninger, der kan berøre instansens interesser.
44 Det fremgår af retspraksis, at en fysisk eller juridisk person i henhold til artikel 263, stk. 4, TEUF, kun kan anfægte foranstaltninger med bindende retsvirkninger, som kan berøre den pågældendes interesser ved at ændre dennes retsstilling væsentligt. Sådanne anfægtelige retsakter udgør således principielt foranstaltninger, der endeligt fastlægger Unionens institutioners, organers, kontorers og agenturers standpunkt ved afslutningen af en administrativ procedure, og som tilsigter at skabe bindende retsvirkninger, som kan berøre en sagsøgers interesser, modsat foreløbige foranstaltninger, der har til formål at forberede den endelige beslutning, og som ikke skaber sådanne virkninger (jf. dom af 25.6.2020, Satcen mod KF, C-14/19 P, EU:C:2020:492, præmis 69 og 70 og den deri nævnte retspraksis, og af 6.5.2021, ABLV Bank m.fl. mod ECB, C-551/19 P og C-552/19 P, EU:C:2021:369, præmis 39 og den deri nævnte retspraksis).
45 Ved afgørelsen af, om en anfægtet retsakt har sådanne virkninger, skal vægten lægges på denne retsakts indhold, og disse virkninger skal vurderes ud fra objektive kriterier, såsom den nævnte retsakts indhold, idet der, hvis det er relevant, tages hensyn til baggrunden for dens vedtagelse og til beføjelserne for den EU-institution eller det EU-organ, ‑kontor eller ‑agentur, der er ophavsmand til den (jf. dom af 22.4.2021, thyssenkrupp Electrical Steel og thyssenkrupp Electrical Steel Ugo mod Kommissionen, C-572/18 P, EU:C:2021:317, præmis 48 og den deri nævnte retspraksis, af 6.5.2021, ABLV Bank m.fl. mod ECB, C-551/19 P og C-552/19 P, EU:C:2021:369, præmis 41 og den deri nævnte retspraksis, og af 6.10.2021, Tognoli m.fl. mod Parlamentet, C-431/20 P, EU:C:2021:807, præmis 34 og den deri nævnte retspraksis).
46 Det skal for det første bemærkes, at den reviderede afgørelse blev vedtaget af EDPS efter en anmodning fra Afviklingsinstansen om revurdering af den oprindelige afgørelse. Den reviderede afgørelse, der blev vedtaget efter en kontradiktorisk administrativ procedure, ophæver og erstatter den oprindelige afgørelse og udgør en afgørelse, der endeligt fastlægger EDPS’ standpunkt vedrørende de fem klager.
47 Artikel 64, stk. 2, i forordning 2018/1725 om ret til effektive retsmidler bestemmer, at afgørelser truffet af EDPS kan indbringes for Den Europæiske Unions Domstol.
48 Navnlig bestemmer artikel 18, stk. 3, i EDPS’ forretningsorden, på grundlag af hvilken den reviderede afgørelse er vedtaget:
»Når EDPS efter en anmodning om at revurdere sin beslutning om en klage udsteder en ny, revideret beslutning, skal EDPS oplyse den pågældende klager og institution om, at de kan indbringe denne nye beslutning ved Den Europæiske Unions Domstol i henhold til artikel 263 [TEUF].«
49 I denne henseende er følgende anført i følgeskrivelsen til den reviderede afgørelse, der blev sendt til Afviklingsinstansen:
»Det bemærkes, at denne afgørelse ophæver og erstatter den afgørelse, der blev vedtaget den 24. juni 2020. De kan anlægge et annullationssøgsmål til prøvelse af denne afgørelse ved Den Europæiske Unions Domstol senest to måneder efter vedtagelsen af denne afgørelse og på de betingelser, der er fastsat i artikel 263 [TEUF].«
50 Det skal for det andet hvad angår den reviderede afgørelses indhold bemærkes dels, at EDPS konkluderede, at Afviklingsinstansen havde tilsidesat den i artikel 15, stk. 1, litra d), i forordning 2018/1725 fastsatte oplysningspligt, dels at EDPS i det væsentlige anbefalede Afviklingsinstansen at tilse, at en sådan tilsidesættelse ikke gentog sig i fremtidige fortrolighedserklæringer.
51 For det første bemærkes, at en sådan tilsidesættelse i henhold til artikel 65 i forordning 2018/1725 kan medføre, at Afviklingsinstansen som ansvarlig for behandlingen af de pågældende oplysninger ifalder ansvar, for så vidt som de øvrige betingelser, der er fastsat i traktaterne, er opfyldt.
52 For det andet skal EDPS i henhold til artikel 66, stk. 1, i forordning 2018/1725, når der træffes afgørelse om, hvorvidt en EU-institution eller et EU-organ skal pålægges en administrativ bøde, og om den administrative bødes størrelse, bl.a. tage hensyn til eventuelle lignende overtrædelser, som denne institution eller dette organ tidligere har begået. Hvis Afviklingsinstansen ikke følger EDPS’ anbefaling om i fremtiden at ændre sine fortrolighedserklæringer i procedurer vedrørende retten til at blive hørt, vil det kunne fastslås, at Afviklingsinstansen har begået en lignende overtrædelse af artikel 15, stk. 1, litra d), i forordning 2018/1725, hvilket kan føre til bødepålæg.
53 Det følger heraf, at konstateringen i den reviderede afgørelse af Afviklingsinstansens tilsidesættelse af artikel 15, stk. 1, litra d), i forordning 2018/1725, har bindende retsvirkninger, selv om EDPS anførte, at den gav afkald på at udøve sine sanktionsbeføjelser som fastsat i artikel 58, stk. 2, i forordning 2018/1725.
54 Henset til det ovenstående er den reviderede afgørelse en EU-retsakt, som kan berøre modtagerens interesser ved at ændre dennes retsstilling væsentligt. Den udgør dermed en anfægtelig retsakt som omhandlet i artikel 263 TEUF.
55 Det må følgelig fastslås, at den første påstand om annullation af den reviderede afgørelse kan antages til realitetsbehandling.
Realiteten
56 Til støtte for søgsmålet har Afviklingsinstansen fremsat to anbringender. Det første anbringende vedrører en tilsidesættelse af artikel 3, nr. 1), i forordning 2018/1725, for så vidt som de oplysninger, der blev videregivet til Deloitte, ikke var personoplysninger. Det andet anbringende vedrører en tilsidesættelse af retten til god forvaltning i henhold til artikel 41 i Den Europæiske Unions charter om grundlæggende rettigheder.
57 Med det første anbringende har Afviklingsinstansen gjort gældende, at EDPS tilsidesatte artikel 3, nr. 1), i forordning 2018/1725 ved i den reviderede afgørelse at fastslå, at de oplysninger, der blev fremsendt til Deloitte, udgjorde personoplysninger om klagerne.
58 I artikel 3, nr. 1), i forordning 2018/1725 defineres personoplysninger som »enhver form for information om en identificeret eller identificerbar fysisk person[, og det anføres, at] ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller sociale identitet«.
59 Det fremgår af denne definition, at en information udgør en personoplysning, bl.a. hvis to kumulative betingelser er opfyldt, nemlig for det første, at denne information er »om« en fysisk person, og for det andet, at denne person er »identificeret eller identificerbar«.
Betingelsen i artikel 3, nr. 1), i forordning 2018/1725, hvorefter informationen skal være »om« en fysisk person
60 Afviklingsinstansen har gjort gældende, at de bemærkninger, der blev modtaget i høringsfasen og videregivet til Deloitte, ikke var om specifikke personer som omhandlet i artikel 3, nr. 1), i forordning 2018/1725. Instansen er af den opfattelse, at ræsonnementet i dom af 20. december 2017, Nowak (C-434/16, EU:C:2017:994), ikke finder anvendelse på klagernes bemærkninger. Afviklingsinstansen har gjort gældende, at oplysningerne i klagernes bemærkninger var faktuelle og juridiske oplysninger, der ikke havde noget at gøre med klagernes person eller personlige egenskaber og ikke havde nogen forbindelse med deres privatliv. Instansen er af den opfattelse, at formålet med proceduren vedrørende retten til at blive hørt var at vurdere faktiske og retlige argumenter vedrørende den foreløbige afgørelse og værdiansættelse 3 fra et stort antal interesserede parter, hvis person og identitet ikke var relevante for vurderingen af deres bemærkninger.
61 EDPS har gjort gældende, at indholdet af bemærkningerne fra de berørte aktionærer og kreditorer er en information »om« dem, eftersom deres besvarelser indeholdt og afspejlede deres personlige synspunkter, selv om de var baseret på offentligt tilgængelige oplysninger. Formularbesvarelserne fra klagerne og de øvrige deltagere udgør personoplysninger, uanset om der er tale om et udtryk for et selvstændigt synspunkt eller et synspunkt, der deles med andre, og uanset om Afviklingsinstansen betragter dem som oplysninger, der ikke har noget at gøre med de berørte aktionærers og kreditorers specifikke rettigheder hvad angår respekten for privatlivets fred.
62 EDPS er endvidere af den opfattelse, at bemærkningerne udgør personoplysninger på grund af deres virkning. Vurderingen af disse bemærkninger med henblik på at efterprøve gyldigheden af værdiansættelse 3 og lovligheden af den foreløbige afgørelse kan have haft indvirkning på deltagernes interesser og rettigheder med hensyn til økonomisk kompensation. Endelig har EDPS gjort gældende, at formålet med indsamlingen af bemærkninger var at give alle parter processuelle rettigheder med henblik på at indhente individuelle synspunkter.
63 I den reviderede afgørelse anførte EDPS, at de besvarelser, der blev modtaget i høringsfasen, udgjorde personoplysninger om klagerne, da de indeholdt deres personlige synspunkter og derfor udgjorde oplysninger om dem, selv om de med henblik på at give udtryk for klagernes synspunkter var baseret på offentligt tilgængelige oplysninger. EDPS fandt, at den omstændighed, at klagerne gav udtryk for synspunkter, der lignede, men ikke var identiske med andre deltageres, ikke betød, at deres besvarelser ikke afspejlede deres egen holdning. EDPS fastslog derfor, at alle klagernes og de øvrige deltageres besvarelser i fritekstfelterne skulle anses for personoplysninger, uanset om der var tale om et udtryk for et selvstændigt og unikt synspunkt eller et synspunkt, som deltes med andre, eller som var inspireret af eller udledt af offentligt tilgængelige oplysninger. EDPS tilføjede, at denne konklusion ikke blev modsagt ved dom af 20. december 2017, Nowak (C-434/16, EU:C:2017:994), hvori Domstolen ikke sondrede mellem besvarelser, der udelukkende var udarbejdet af respondenterne, og besvarelser, som var udledt af andre videnkilder.
64 Det skal undersøges, om EDPS med rette kunne antage, at de oplysninger, der blev fremsendt til Deloitte, var »om« en fysisk person som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.
65 Det skal indledningsvis fastslås, at EDPS i den reviderede afgørelse kvalificerede alle de bemærkninger, som de berørte aktionærer og kreditorer havde fremsat under høringsfasen, som personoplysninger og ikke begrænsede sin vurdering til de oplysninger, der var fremsendt til Deloitte.
66 For så vidt som den tilsidesættelse af artikel 15, stk. 1, litra d), i forordning 2018/1725, der blev fastslået i den reviderede afgørelse, udelukkende vedrørte den omstændighed, at Afviklingsinstansen ikke havde nævnt Deloitte i fortrolighedserklæringen som en potentiel modtager af visse oplysninger, er det alene spørgsmålet om, hvorvidt de oplysninger, der blev videregivet til Deloitte, var personoplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, der skal undersøges.
67 I denne henseende definerer artikel 3, nr. 13), i forordning 2018/1725 en »modtager« som en »fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, hvortil personoplysninger videregives, uanset om det er en tredjemand eller ej«.
68 Ifølge retspraksis afspejler anvendelsen af udtrykket »enhver form for information« i definitionen af begrebet »personoplysninger« i artikel 3, nr. 1), i forordning 2018/1725, at EU-lovgiver har villet give dette begreb en bred betydning, idet det ikke er begrænset til følsom eller privat information, men potentielt omfatter enhver form for information, både objektiv og subjektiv i form af meningstilkendegivelser eller bedømmelser, forudsat at informationen er »om« den pågældende person (jf. analogt dom af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 34).
69 Hvad angår sidstnævnte betingelse har Domstolen fastslået, at denne er opfyldt, hvis informationen på grund af sit indhold, formål eller virkning er knyttet til en bestemt person (dom af 20.12.2017, Nowak, C-434/16, EU:C:2017:994, præmis 35).
70 I den reviderede afgørelse undersøgte EDPS imidlertid hverken indholdet af, formålet med eller virkningen af de oplysninger, der blev fremsendt til Deloitte.
71 EDPS begrænsede sig nemlig til at anføre, at de bemærkninger, som klagerne havde fremsat under høringsfasen, afspejlede deres holdninger eller synspunkter, og til alene på dette grundlag at konkludere, at de udgjorde oplysninger om dem, hvilket var tilstrækkeligt til at kvalificere dem som personoplysninger.
72 I retsmødet har EDPS bekræftet, at enhver personlig holdning efter dens opfattelse udgør en personoplysning. Den har ligeledes erkendt, at den ikke undersøgte indholdet af de bemærkninger, som klagerne fremsatte i høringsfasen.
73 Det kan ganske rigtigt ikke udelukkes, at personlige synspunkter eller holdninger udgør personoplysninger. Det fremgår imidlertid af præmis 34 og 35 i dom af 20. december 2017, Nowak (C-434/16, EU:C:2017:994), nævnt i præmis 68 og 69 ovenfor, at en sådan konklusion ikke kan baseres på en formodning som den, der er beskrevet i præmis 71 og 72 ovenfor, men skal støttes på en undersøgelse med henblik på at afgøre, hvorvidt et synspunkt ved sit indhold, sit formål eller sin virkning er knyttet til en bestemt person.
74 Det følger heraf, at EDPS, da den ikke gennemførte en sådan undersøgelse, ikke kunne konkludere, at de oplysninger, der blev fremsendt til Deloitte, udgjorde oplysninger »om« en fysisk person som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.
75 Retten vil derefter undersøge EDPS’ vurdering af, om de oplysninger, der blev fremsendt til Deloitte, var om en »identificeret eller identificerbar« fysisk person.
Betingelsen i artikel 3, nr. 1), i forordning 2018/1725, hvorefter informationen skal være om en »identificeret eller identificerbar« fysisk person
76 Afviklingsinstansen har gjort gældende, at meddelelsen af den alfanumeriske kode til Deloitte, i modsætning til det af EDPS anførte, ikke medførte, at oplysningerne blev »pseudonymiseret«. Disse forblev anonyme, for så vidt som Afviklingsinstansen ikke delte de oplysninger med Deloitte, der gjorde det muligt at genidentificere ophavsmændene til bemærkningerne.
77 Afviklingsinstansen har gjort gældende, at oplysninger er gjort anonyme for tredjemand, selv om de oplysninger, der muliggør genidentifikation, ikke er blevet fjernet uigenkaldeligt og opbevares af den oprindelige databehandler, når det format, hvori oplysningerne videregives til denne tredjemand, ikke længere gør det muligt at identificere ophavsmanden til bemærkningerne eller ikke gør identificeringen rimelig sandsynlig. Afviklingsinstansen har gjort gældende, at forordning 2018/1725 og Domstolens praksis i modsætning til det, som EDPS anførte i den reviderede afgørelse, kræver en vurdering af risikoen for genidentifikation.
78 Afviklingsinstansen har nærmere bestemt anført, at de betingelser, der er opstillet i Domstolens praksis vedrørende risikoen for genidentifikation, når alle de oplysninger, der kan muliggøre identifikation, ikke er i en enkelt persons, men i flere parters besiddelse, ikke er opfyldt i den foreliggende sag. For det første gør den alfanumeriske kode, der er tildelt de enkelte bemærkninger, det ikke muligt for Deloitte at genidentificere de personer, der har fremsat bemærkningerne. De supplerende oplysninger, der er nævnt i artikel 3, nr. 6), i forordning 2018/1725, udgøres af den database, der muliggør afkodningen, som kun Afviklingsinstansen har adgang til. Hvad for det andet angår kriteriet om en rimelig sandsynlighed for, at oplysningerne kombineres, havde og har Deloitte stadig ingen lovlige midler til at få adgang til de supplerende oplysninger og identifikationsoplysningerne.
79 EDPS har gjort gældende, at den omstændighed, at Deloitte ikke har haft adgang til de oplysninger, som Afviklingsinstansen er i besiddelse af, og som muliggør genidentifikation, ikke medfører, at de »pseudonymiserede« oplysninger, der blev fremsendt til Deloitte, er blevet anonyme oplysninger. Det er ikke nødvendigt at afgøre, om ophavsmændene til de oplysninger, der blev fremsendt til Deloitte, kunne genidentificeres af Deloitte, eller om denne genidentifikation var rimelig sandsynlig. »Pseudonymiserede« oplysninger forbliver pseudonymiserede, selv når de fremsendes til en tredjemand, der ikke er i besiddelse af de supplerende oplysninger.
80 EDPS har gjort gældende, at anvendelsen af ordet »indirekte« i artikel 3, nr. 1), i forordning 2018/1725 betyder, at det, for at en information kan kvalificeres som en personoplysning, ikke er nødvendigt, at den i sig selv gør det muligt at identificere den registrerede. Hvad derudover angår de midler, der med rimelighed kan tænkes bragt i anvendelse, både af den dataansvarlige og af en anden person, er det ikke påkrævet, at alle de oplysninger, der gør det muligt at identificere den registrerede, skal befinde sig hos en enkelt person.
81 I den reviderede afgørelse fandt EDPS, at de oplysninger, der blev fremsendt til Deloitte, var »pseudonymiserede« oplysninger. EDPS anførte i denne forbindelse, at forskellen mellem »pseudonymiserede« oplysninger og anonyme oplysninger bestod i, at der i tilfælde af anonyme oplysninger ikke fandtes »supplerende oplysninger«, der kunne anvendes til at henføre oplysningerne til en bestemt registreret, mens der i tilfælde af »pseudonymiserede« oplysninger fandtes sådanne supplerende oplysninger. For at vurdere, om oplysningerne var anonyme eller »pseudonymiserede«, skulle det derfor undersøges, om der fandtes »supplerende oplysninger«, der kunne anvendes til at henføre oplysningerne til bestemte registrerede.
82 EDPS bemærkede, at Afviklingsinstansen ikke blot havde fremsendt visse bemærkninger fra de berørte aktionærer og kreditorer til Deloitte, men også den tilsvarende alfanumeriske kode, og at Deloitte ikke havde haft adgang til de besvarelser, der var afgivet under tilmeldingsfasen. EDPS anførte, som Afviklingsinstansen havde forklaret, at »det var umuligt for Deloitte at spore identiteten på en part, der anvendte denne kode, med henvisning til de konkrete oplysninger, som de kvalificerede parter havde fremlagt i tilmeldingsfasen (og som Afviklingsinstansen hele tiden havde opbevaret)«. EDPS fandt imidlertid, at de oplysninger, der var blevet afgivet i forbindelse med tilmeldingsfasen, sammen med den unikke identifikator, nemlig den alfanumeriske kode, der var blevet tildelt alle kvalificerede deltagere, udgjorde et perfekt eksempel på »supplerende oplysninger« som omhandlet i artikel 3, nr. 6), i forordning 2018/1725, da Afviklingsinstansen kunne anvende disse oplysninger til at henføre oplysningerne til en bestemt registreret.
83 EDPS forklarede, at der i forordning 2018/1725 ikke sondres mellem dem, der opbevarer de »pseudonymiserede« oplysninger, og dem, der er i besiddelse af de supplerende oplysninger, og at den omstændighed, at der er tale om forskellige enheder, ikke gør »pseudonymiserede« oplysninger anonyme. EDPS tilføjede, at den omstændighed, at Deloitte ikke i sig selv var i stand til at henføre bemærkningerne til de oplysninger, der var modtaget i tilmeldingsfasen, ikke udelukkede, at de oplysninger, som Deloitte havde modtaget, var »pseudonymiserede«. EDPS var af den opfattelse, at de oplysninger, som Afviklingsinstansen havde delt med Deloitte, var »pseudonymiserede« oplysninger, både fordi de bemærkninger, der blev modtaget i høringsfasen, var personoplysninger, og fordi Afviklingsinstansen havde delt den alfanumeriske kode, der gjorde det muligt at knytte de besvarelser, der blev afgivet i tilmeldingsfasen, til dem, der blev afgivet i høringsfasen, selv om de oplysninger, som deltagerne havde givet i identifikationsøjemed i tilmeldingsfasen, ikke var blevet videregivet til Deloitte. EDPS udledte heraf, at de oplysninger, der blev fremsendt til Deloitte, var »pseudonymiserede« oplysninger og dermed personoplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.
84 Det skal indledningsvis bemærkes, at henset til de mekanismer, som Afviklingsinstansen havde indført vedrørende behandlingen af de oplysninger, der blev indsamlet inden for rammerne af proceduren vedrørende retten til at blive hørt, og som er beskrevet i præmis 14-24 ovenfor, var de oplysninger, der blev fremsendt til Deloitte, ikke om »identificerede« personer.
85 Det skal derfor undersøges, om EDPS med rette kunne antage, at de oplysninger, der blev fremsendt til Deloitte, var om en »identificerbar« fysisk person som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.
86 Ifølge denne bestemmelse er en »identificerbar fysisk person« en fysisk person, der direkte eller indirekte kan identificeres.
87 16. betragtning til forordning 2018/1725 er affattet som følger:
»[…] Personoplysninger, der har været genstand for pseudonymisering, og som kan henføres til en fysisk person ved brug af supplerende oplysninger, bør anses for at være oplysninger om en identificerbar fysisk person. For at afgøre, om en fysisk person er identificerbar, bør alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende. For at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør alle objektive forhold tages i betragtning, såsom de omkostninger og den tid, der er nødvendig til identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling […].«
88 Det bemærkes, at Domstolen i dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), fortolkede begrebet »personoplysninger« som omhandlet i artikel 2, litra a), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31), der indeholder en bestemmelse, som svarer til artikel 3, nr. 1), i forordning 2018/1725.
89 Denne sag rejste spørgsmålet om, hvorvidt en dynamisk internetprotokoladresse (herefter »IP-adressen«) udgjorde en personoplysning i forhold til den udbyder af onlinemedietjenester, som havde registreret den. Domstolen fandt, at det skulle efterprøves, om denne IP-adresse kunne kvalificeres som information om en »identificerbar fysisk person«, idet der skulle tages hensyn til dels den omstændighed, at den ikke i sig selv gav denne udbyder mulighed for at identificere den bruger, der havde besøgt internetsiden, dels den omstændighed, at den yderligere viden, der, hvis den blev kombineret med denne IP-adresse, gjorde det muligt at identificere den nævnte bruger, var i internetudbyderens besiddelse.
90 For så vidt som der i 16. betragtning til forordning 2018/1725 henvises til midler, der med rimelighed kan tænkes bragt i anvendelse, både af den dataansvarlige og af »en anden person«, synes det at følge af dens ordlyd, at det, for at en oplysning kan kvalificeres som »personoplysning« som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, ikke er påkrævet, at alle de oplysninger, der gør det muligt at identificere den registrerede, skal befinde sig hos en enkelt person (jf. analogt dom af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 43).
91 Domstolen tilføjede imidlertid, at det forhold, at den yderligere viden, som kræves for at identificere brugeren af en internetside, indehaves, ikke af udbyderen af onlinemedietjenester, men af denne brugers internetudbyder, således ikke syntes at kunne udelukke, at de dynamiske IP-adresser, der var registreret af udbyderen af onlinemedietjenester, for denne udgjorde personoplysninger (dom af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 44).
92 Domstolen fastslog, at det imidlertid skulle afgøres, om muligheden for at kombinere en dynamisk IP-adresse med den nævnte yderligere viden, som denne internetudbyder havde, udgjorde et middel, der med rimelighed kunne tænkes bragt i anvendelse for at identificere den registrerede (dom af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 45).
93 Domstolen anførte, at dette ikke var tilfældet, hvis identificeringen af den registrerede var forbudt ved lov eller praktisk ugennemførlig, f.eks. på grund af det forhold, at den ville indebære en større indsats i tid, omkostninger og arbejde, således at risikoen for en identificering i virkeligheden syntes ubetydelig (dom af 19.10.2016, Breyer, C-582/14, EU:C:2016:779, præmis 46).
94 I den foreliggende sag er det ubestridt for det første, at den alfanumeriske kode, der fremgik af de oplysninger, der blev fremsendt til Deloitte, ikke i sig selv gjorde det muligt at identificere ophavsmændene til bemærkningerne, og for det andet, at Deloitte ikke havde adgang til de identifikationsoplysninger, der var modtaget under tilmeldingsfasen, og som gjorde det muligt at knytte deltagerne til deres bemærkninger ved hjælp af den alfanumeriske kode.
95 EDPS anførte i den reviderede afgørelse og har i retsmødet bekræftet, at de supplerende oplysninger, der var nødvendige for at identificere ophavsmændene til bemærkningerne, var den alfanumeriske kode og identifikationsdatabasen.
96 Som anført af EDPS, og henset til præmis 43 i dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), nævnt i præmis 90 ovenfor, synes den omstændighed, at de supplerende oplysninger, der var nødvendige for at identificere ophavsmændene til de bemærkninger, der blev modtaget i høringsfasen, ikke var i Deloittes, men i Afviklingsinstansens besiddelse, ganske vist ikke a priori at udelukke, at de oplysninger, der blev fremsendt til Deloitte, for Deloitte udgjorde personoplysninger.
97 Det fremgår imidlertid ligeledes af dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), at der med henblik på at afgøre, om de oplysninger, der blev fremsendt til Deloitte, udgjorde personoplysninger, skal tages udgangspunkt i sidstnævntes synspunkt for at afgøre, om de oplysninger, der blev fremsendt til Deloitte, er om »identificerbare personer«.
98 Det skal nemlig for det første bemærkes, at den tilsidesættelse af artikel 15, stk. 1, litra d), i forordning 2018/1725, som EDPS fastslog i den reviderede afgørelse, vedrørte Afviklingsinstansens overførsel af visse bemærkninger til Deloitte og ikke blot Afviklingsinstansens besiddelse af disse bemærkninger.
99 For det andet kan Deloittes situation sammenlignes med situationen for udbyderen af onlinemedietjenester som omhandlet i dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), eftersom Deloitte var i besiddelse af oplysninger, nemlig bemærkningerne vedrørende værdiansættelse 3, som ikke udgjorde information om en »identificeret fysisk person«, for så vidt som den alfanumeriske kode, der var påført hver enkelt besvarelse, ikke gjorde det muligt direkte at afsløre identiteten af den fysiske person, der havde udfyldt formularen. Desuden kan Afviklingsinstansens situation sammenlignes med situationen for internetudbyderen i denne sag, for så vidt som det er ubestridt, at Afviklingsinstansen var den eneste, der var i besiddelse af de supplerende oplysninger, der gjorde det muligt at identificere de berørte aktionærer og kreditorer, der havde besvaret formularen, nemlig den alfanumeriske kode og identifikationsdatabasen.
100 I henhold til præmis 44 i dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), nævnt i præmis 91 ovenfor, tilkom det således EDPS at undersøge, om de bemærkninger, der blev fremsendt til Deloitte, udgjorde personoplysninger i forhold til Deloitte.
101 Det er således med urette, at EDPS har gjort gældende, at det ikke var nødvendigt at undersøge, om ophavsmændene til de oplysninger, der blev fremsendt til Deloitte, kunne genidentificeres af Deloitte, eller om denne genidentifikation med rimelighed var mulig.
102 Det må konstateres, at EDPS i den reviderede afgørelse fandt, at den omstændighed, at Afviklingsinstansen var i besiddelse af de supplerende oplysninger, der gjorde det muligt at genidentificere ophavsmændene til bemærkningerne, var tilstrækkelig til at konkludere, at de oplysninger, der blev fremsendt til Deloitte, var personoplysninger, samtidig med at den anerkendte, at de identifikationsoplysninger, der blev modtaget i tilmeldingsfasen, ikke var blevet videregivet til Deloitte.
103 Det fremgår således af den reviderede afgørelse, at EDPS nøjedes med at undersøge muligheden for at genidentificere ophavsmændene til bemærkningerne ud fra Afviklingsinstansens og ikke ud fra Deloittes synspunkt.
104 Det fremgår imidlertid af præmis 45 i dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), nævnt i præmis 92 ovenfor, at det tilkom EDPS at afgøre, om muligheden for at kombinere de oplysninger, der var blevet fremsendt til Deloitte, med de supplerende oplysninger, som Afviklingsinstansen var i besiddelse af, udgjorde et middel, der med rimelighed kunne tænkes bragt i anvendelse af Deloitte for at identificere ophavsmændene til bemærkningerne.
105 Da EDPS ikke undersøgte, om Deloitte rådede over lovlige og praktisk gennemførlige midler til at få adgang til de supplerende oplysninger, der var nødvendige for at genidentificere ophavsmændene til bemærkningerne, kunne EDPS ikke konkludere, at de oplysninger, der blev fremsendt til Deloitte, udgjorde oplysninger om en »identificerbar fysisk person« som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.
106 Det følger af samtlige ovenstående betragtninger, at det første anbringende skal tages til følge, og at den reviderede afgørelse følgelig skal annulleres, uden at det er nødvendigt at undersøge det andet anbringende.
Sagsomkostninger
107 I henhold til artikel 134, stk. 1, i Rettens procesreglement pålægges det den tabende part at betale sagsomkostningerne, hvis der er nedlagt påstand herom.
108 Da EDPS i det væsentlige har tabt sagen, bør det pålægges denne at betale sagsomkostningerne i overensstemmelse med Afviklingsinstansens påstand herom.
På grundlag af disse præmisser
udtaler og bestemmer
RETTEN (Ottende Udvidede Afdeling):
1) Den Europæiske Tilsynsførende for Databeskyttelses (EDPS) reviderede afgørelse af 24. november 2020, vedtaget efter Den Fælles Afviklingsinstans’ (Afviklingsinstansen) indgivelse af anmodning om revurdering af EDPS’ afgørelse af 24. juni 2020 vedrørende fem klager indgivet af flere klagere (sag 2019-947, 2019-998, 2019-999, 2019-1000 og 2019-1122), annulleres.
2) I øvrigt frifindes EDPS.
3) EDPS betaler sagsomkostningerne.
Afsagt i offentligt retsmøde i Luxembourg den 26. april 2023.
Underskrifter