Дело T‑557/20
Единен съвет за преструктуриране (ЕСП)
срещу
Европейски надзорен орган по защита на данните (ЕНОЗД)
Решение на Общия съд (осми разширен състав) от 26 април 2023 година
„Защита на личните данни — Процедура за обезщетяване на акционерите и кредиторите след преструктурирането на банкова институция — Решение на ЕНОЗД, с което се установява нарушаване от ЕСП на неговите задължения във връзка с обработването на личните данни — Член 15, параграф 1, буква г) от Регламент (ЕС) 2018/1725 — Понятие „лични данни“ — Член 3, точка 1 от Регламент 2018/1725 — Право на достъп до преписката“
1. Жалба за отмяна — Актове, подлежащи на обжалване — Понятие — Актове, които произвеждат задължително правно действие — Актове, с които се променя правното положение на жалбоподателя — Изменено решение на Европейския надзорен орган по защита на данните (ЕНОЗД), с което се установява нарушаване от Единния съвет за преструктуриране (ЕСП) на неговите задължения във връзка с обработването на личните данни — Включване
(член 263 ДФЕС, член 15, параграф 1, буква г) от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 44—46 и 50—54)
2. Институции на Европейския съюз — Защита на физическите лица във връзка с обработването на лични данни — Регламент 2018/1725 — Понятие „лични данни“ — Всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано —Процедура на право на изслушване, започната от Единния съвет за преструктуриране (ЕСП) след приемането на мерки за преструктуриране на банкова институция — Коментари, формулирани пред ЕСП от засегнатите от тези мерки акционери и кредитори — Коментари, предадени от ЕСП на независимо трето лице за целите на оценяването — Решение на Европейския надзорен орган по защита на данните (ЕНОЗД), с което се установява нарушаване от ЕСП на неговите задължения във връзка с обработването на данните на неговите акционери и кредитори — Липса на разглеждане от ЕНОЗД на съдържанието, крайната цел и последиците на коментарите —Липса на определяне от ЕНОЗД на възможността за независимото трето лице да разполага с правни и фактически изпълними средства, позволяващи му да получи достъп до допълнителната информация, необходима за повторно идентифициране на авторите на предадените коментари —Отмяна на решението на ЕНОЗД
(член 20, параграф 16 от Регламент № 806/2014 на Европейския парламент и на Съвета и член 3, точка 1 от Регламент 2018/1725 на Европейския парламент и на Съвета)
(вж. т. 64—75, 94—98 и 100—106)
Резюме
През юни 2017 г. Единният съвет за преструктуриране (ЕСП) приема схема за преструктуриране на Banco Popular Español SA, банкова институция, на основание Регламент № 806/2014(1). За да се определи дали засегнатите от действията по преструктуриране акционери и кредитори биха получили по-добро третиране, ако по отношение на тази институция беше образувано обичайно производство по несъстоятелност, този регламент налага трето независимо лице да направи оценка за разликата в третирането(2). Тази оценка е възложена от ЕСП на кантората Deloitte.
След извършването на тази оценка ЕСП приема предварително решение за това дали е необходимо да бъде предоставено обезщетение на засегнатите акционери и кредитори и стартира процедурата на право на изслушване, която да му позволи да приеме окончателно решение(3). В тази процедура, разделена на два етапа, засегнатите акционери и кредитори се приканват, по време на първия етап, да изразят интерес за упражняване на правото си да бъдат изслушани, с помощта на онлайн формуляр за регистрация, и да представят документи, доказващи правата им (етап на регистрация). На втория етап засегнатите акционери и кредитори, чийто статут е потвърден от ЕСП, могат да представят своите писмени коментари по предварителното решение на ЕСП и оценката (етап на консултация). На датата на откриване на етапа на регистрация ЕСП публикува на интернет страницата за регистрация за участие в процедурата на право на изслушване декларация за поверителност при обработването на лични данни в рамките на тази процедура.
Данните, събрани на етапа на регистрация, са били достъпни за ограничен брой членове на персонала на ЕСП, на които е било възложено обработването на тези данни, за да се определи допуснати ли са участниците. Тези данни не са били видими за членовете на персонала на ЕСП, на които е било възложено обработването на коментарите, получени на етапа на консултация, по време на който те са получили само коментари, идентифицирани с буквено-цифров код, свързан с всеки коментар, представен посредством формуляра.
След обобщаване, автоматично филтриране и категоризиране на коментарите ЕСП препраща на Deloitte за оценяване коментарите, свързани с направената оценка. Препратените на Deloitte коментари засягат само тези, получени на етапа на консултация, и са с буквено-цифров код. С помощта на този код единствено ЕСП е можел да свърже коментарите с данните, получени на етапа на регистрация. Deloitte не е имало и все още няма достъп до базата данни, събрани на етапа на регистрация.
В този контекст, като се има предвид, че декларацията за поверителност при обработването на лични данни, публикувана от ЕСП, не споменава, че данните, събирани посредством формуляра, ще бъдат предадени на трети лица, засегнатите акционери и кредитори (наричани по-нататък „жалбоподателите“) са подали до Европейския надзорен орган по защита на данните (ЕНОЗД) пет жалби на основание Регламент 2018/1725(4). Те твърдят нарушаване от ЕСП на неговите задължения за предоставяне на информация относно обработването на лични данни по силата на този регламент(5).
ЕНОЗД приема първоначално решение, което вследствие на искане от ЕСП за преразглеждане е отменено и заменено с изменено решение, в което ЕНОЗД е счел, че ЕСП е нарушил разпоредба от този регламент, тъй като в декларацията за поверителност не е информирал жалбоподателите за възможността техните лични данни да бъдат съобщени на Deloitte. Тогава ЕСП подава жалба до Общия съд, в частност за отмяната на това изменено решение на ЕНОЗД.
Общият съд в разширен състав уважава тази жалба на ЕСП и отменя измененото решение на ЕНОЗД, като изяснява понятието за лични данни с оглед на постановените от Съда решения Nowak(6) и Breyer(7).
Съображения на Общия съд
В решението си Общият съд внася уточнения в понятието за лични данни по смисъла на член 3, точка 1 от Регламент 2018/1725, определено като „всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано“. Така, за да представлява една информация лични данни, трябва да са изпълнени две кумулативни условия: от една страна, тази информация да е „свързана с“ физическо лице и от друга страна, това лице да е „идентифицирано или да може да бъде идентифицирано“.
На първо място, Общият съд разглежда дали ЕНОЗД е преценил правилно предадената на Deloitte информация, „свързана с“ физическо лице по смисъла на тази разпоредба.
В самото начало Общият съд констатира, че в измененото решение ЕНОЗД квалифицира като лични данни съвкупността от коментарите, формулирани от засегнатите акционери и кредитори в рамките на етапа на консултация, и не е ограничил преценката си само до предадената на Deloitte информация. Доколкото обаче нарушаването от ЕСП на задълженията му по силата на Регламент 2018/1725 във връзка с обработването на лични данни, установено в измененото решение, се отнася само до факта, че ЕСП не е споменал в декларацията за поверителност, че Deloitte ще бъде потенциален получател на някои данни, Общият съд преценява, че следва да се ограничи до разглеждането на това дали предадената на Deloitte информация е представлявала лични данни по смисъла на член 3, точка 1 от Регламент 2018/1725.
Общият съд припомня в този контекст целта на законодателя да придаде широк смисъл на понятието за лични данни, което не се свежда до чувствителната информация или информацията с частен характер, а потенциално обхваща всякакъв вид информация, както обективна, така и субективна, под формата на становища или преценки, при условие че засяга съответното лице.
В това отношение Общият съд констатира и че в горепосоченото решение Nowak Съдът вече е имал повод да постанови, че това условие е изпълнено, ако поради своето съдържание, крайна цел или последици информацията е свързана с определено лице. В измененото решение обаче ЕНОЗД не е разгледал нито съдържанието, нито крайната цел, нито последиците на предадената на Deloitte информация. Всъщност той се е ограничил до това да посочи, че коментарите, представени от жалбоподателите на етапа на консултация, отразявали техните мнения или възгледи, и само на това основание да направи извода, че представляват свързана с тях информация, което е било достатъчно, за да ги квалифицира като лични данни. Несъмнено не може да се изключи, че личните възгледи или мнения представляват лични данни. Същевременно от решение Nowak(8) следва, че такъв извод не може да се основава на презумпция като приложената от ЕНОЗД, а трябва да се опира на анализ, целящ да се определи дали поради своето съдържание, крайна цел или последици възгледът е свързан с определено лице. Следователно, ако такъв анализ не е извършен, ЕНОЗД не е могъл да направи извода, че предадената на Deloitte информация представлява информация, „свързана с“ физическо лице, по смисъла на член 3, точка 1 от Регламент 2018/1725.
На второ място, Общият съд разглежда преценката на ЕНОЗД на въпроса дали предадената на Deloitte информация е свързана с физическо лице, което е „идентифицирано или може да бъде идентифицирано“ по смисъла на тази разпоредба.
В това отношение Общият съд отбелязва, че не е оспорено, от една страна, че буквено-цифровият код, фигуриращ в предадената на Deloitte информация, не позволявал сам по себе си идентифицирането на авторите на коментарите и от друга страна, че Deloitte не е имало достъп до идентификационните данни, получени на етапа на регистрация, позволяващи да се свържат участниците с техните коментари благодарение на този код. ЕНОЗД посочва, че допълнителната информация, необходима за идентифицирането на авторите на коментарите, се състояла от буквено-цифровия код и базата данни за идентификация. Несъмнено, предвид посоченото по-горе решение Breyer(9), фактът, че допълнителната информация, необходима за идентифицирането на авторите на коментарите, получени на етапа на консултация, е била държана не от Deloitte, а от ЕСП, не изглежда да е от естество да изключи a priori възможността предадената на Deloitte информация да представлява за същото лични данни. Същевременно от това решение следва и че за да се определи дали предадената на Deloitte информация представлява лични данни, следва да се погледне от гледната точка на същото, за да се определи дали информацията, която му е била предадена, е свързана с „лица, които могат да бъдат идентифицирани“.
При това положение, съгласно цитираното по-горе решение Breyer(10) ЕНОЗД трябва да разгледа дали предадените на Deloitte коментари съставляват по отношение на същото лични данни. Следователно ЕНОЗД неправилно поддържа, че не е било необходимо да се проверява дали е било възможно авторите на информацията, предадена на Deloitte, да бъдат повторно идентифицирани от последното, и дали това повторно идентифициране е било разумно възможно. Общият съд констатира, че в измененото решение ЕНОЗД е приел, че фактът, че ЕСП държи допълнителната информация, позволяваща повторно идентифициране на авторите на коментарите, е бил достатъчен, за да се направи изводът, че предадената на Deloitte информация представлява лични данни, като същевременно се признае, че идентификационните данни, получени на етапа на регистрация, не са били съобщени на Deloitte. Така от измененото решение следва, че ЕНОЗД се е ограничил до това да разгледа възможността да се идентифицират повторно авторите на коментарите от гледна точка на ЕСП, а не на Deloitte. От горепосоченото решение Breyer(11) обаче следва, че ЕНОЗД трябва да определи дали възможността за комбиниране на предадената на Deloitte информация с допълнителната информация, притежавана от ЕСП, представлява средство, което би могло да бъде използвано разумно от Deloitte за идентифициране на авторите на коментарите.
Следователно при липсата на разглеждане от ЕНОЗД дали Deloitte е разполагало с правни и фактически изпълними средства, позволяващи му да получи достъп до допълнителната информация, необходима за повторно идентифициране на авторите на коментарите, ЕНОЗД не може да направи извода, че предадената на Deloitte информация представлява информация, свързана с „физическо лице, което може да бъде идентифицирано“ по смисъла на член 3, точка 1 от Регламент 2018/1725. Вследствие на това Общият съд отменя измененото решение на ЕНОЗД.