Sag T-557/20
Den Fælles Afviklingsinstans (Afviklingsinstansen)
mod
Den Europæiske Tilsynsførende for Databeskyttelse (EDPS)
Rettens dom (Ottende Udvidede Afdeling) af 26. april 2023
»Beskyttelse af personoplysninger – procedure for betaling af kompensation til aktionærer og kreditorer efter afvikling af en bank – EDPS’ afgørelse, hvorved det fastslås, at Afviklingsinstansen har tilsidesat sine forpligtelser vedrørende behandling af personoplysninger – artikel 15, stk. 1, litra d), i forordning (EU) 2018/1725 – begrebet »personoplysninger« – artikel 3, nr. 1), i forordning 2018/1725 – retten til aktindsigt«
1. Annullationssøgsmål – akter, der kan være genstand for søgsmål – begreb – akter, der fremkalder bindende retsvirkninger – retsakter, som ændrer sagsøgerens retsstilling – revideret afgørelse fra Den Europæiske Tilsynsførende for Databeskyttelses (EDPS), hvorved det fastslås, at Den Fælles Afviklingsinstans (Afviklingsinstansen) har tilsidesat sine forpligtelser vedrørende behandling af personoplysninger – omfattet
[Art. 263 TEUF; Europa-Parlamentets og Rådets forordning 2018/1725, art. 15, stk. 1, litra d)]
(jf. præmis 44-46 og 50-54)
2. EU-institutioner – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2018/1725 – begrebet personoplysninger – enhver form for information om en identificeret eller identificérbar fysisk person – procedure vedrørende retten til at blive hørt iværksat af Den Fælles Afviklingsinstans (Afviklingsinstansen) efter vedtagelse af foranstaltninger til afvikling af en bank – bemærkninger fremsat til Afviklingsinstansen af de aktionærer og kreditorer, der er berørt af disse foranstaltninger – bemærkninger fremsendt af Afviklingsinstansen til en uafhængig tredjemand med henblik på vurdering – afgørelse fra Den Europæiske Tilsynsførende for Databeskyttelses (EDPS), hvorved det fastslås, at Afviklingsinstansen har tilsidesat sine forpligtelser vedrørende behandling af disse aktionærers og kreditorers oplysninger – manglende undersøgelse fra EDPS’ side af bemærkningernes indhold, formål og virkninger – manglende afgørelse fra EDPS’ side af, om den uafhængige tredjemand havde mulighed for at råde over lovlige og praktisk gennemførlige midler til at få adgang til de supplerende oplysninger, der var nødvendige for at genidentificere ophavsmændene til de fremsendte bemærkninger – annullation af EDPS’ afgørelse
[Europa-Parlamentets og Rådets forordning nr. 806/2014, art. 20, stk. 16, og forordning 2018/1725, art. 3, nr. 1)]
(jf. præmis 64-75, 94-98 og 100-106)
Resumé
I juni 2017 vedtog Den Fælles Afviklingsinstans (Afviklingsinstansen) en afviklingsordning for banken Banco Popular Español SA på grundlag af forordning nr. 806/2014 (1). Med henblik på at afgøre, om de berørte aktionærer og kreditorer ville have modtaget en bedre behandling, hvis denne bank havde været underlagt almindelig insolvensbehandling, skulle en uafhængig tredjemand som krævet i denne forordning foretage en værdiansættelse af forskellen i behandlingen (2). Afviklingsinstansen gav Deloitte til opgave at foretage denne værdiansættelse.
Da værdiansættelsen var foretaget, vedtog Afviklingsinstansen en foreløbig afgørelse om, hvorvidt de berørte kreditorer og aktionærer skulle bevilges kompensation, og iværksatte en procedure vedrørende retten til at blive hørt med henblik på vedtagelse af en endelig afgørelse (3). Under denne procedure, der var opdelt i to faser, blev de berørte aktionærer og kreditorer først opfordret til at tilkendegive deres interesse i at udøve deres ret til at blive hørt ved hjælp af en onlinetilmeldingsformular og fremlægge dokumentation for deres rettigheder (tilmeldingsfasen). I den anden fase kunne de berørte aktionærer og kreditorer, hvis status var blevet bekræftet af Afviklingsinstansen, fremsætte deres skriftlige bemærkninger til Afviklingsinstansens foreløbige afgørelse og værdiansættelsen (høringsfasen). På datoen for tilmeldingsfasens indledning offentliggjorde Afviklingsinstansen på websiden for tilmelding til proceduren vedrørende retten til at blive hørt en fortrolighedserklæring vedrørende behandlingen af personoplysninger i forbindelse med denne procedure.
De oplysninger, der blev indsamlet i tilmeldingsfasen, var tilgængelige for et begrænset antal ansatte i Afviklingsinstansen, som havde til opgave at varetage behandlingen af disse oplysninger med henblik på at fastslå, om deltagerne var kvalificerede. Oplysningerne var ikke synlige for de ansatte i Afviklingsinstansen, der var ansvarlige for behandlingen af de bemærkninger, der blev modtaget i høringsfasen, hvorunder de pågældende kun modtog bemærkninger identificeret med en alfanumerisk kode, som blev tildelt alle de bemærkninger, der blev indgivet ved hjælp af formularen.
Efter aggregering, automatisk filtrering og kategorisering af bemærkningerne fremsendte Afviklingsinstansen bemærkningerne vedrørende den foretagne værdiansættelse til Deloitte med henblik på vurdering. De bemærkninger, der blev fremsendt til Deloitte, var kun bemærkninger, der var modtaget i høringsfasen, og de var forsynet med en alfanumerisk kode. Denne kode gjorde, at Afviklingsinstansen var den eneste, der kunne knytte bemærkningerne til de oplysninger, der var modtaget i tilmeldingsfasen. Deloitte havde ikke og har stadig ikke adgang til databasen med de oplysninger, der blev indsamlet i tilmeldingsfasen.
Eftersom fremsendelsen til tredjemand af oplysninger indsamlet ved hjælp af formularen ikke var nævnt i den fortrolighedserklæring vedrørende behandlingen af personoplysninger, som Afviklingsinstansen havde offentliggjort, indgav en række berørte aktionærer og kreditorer (herefter »klagerne«) på denne baggrund i henhold til forordning 2018/1725 (4) fem klager til Den Europæiske Tilsynsførende for Databeskyttelse (EDPS). De gjorde gældende, at Afviklingsinstansen havde tilsidesat sin oplysningspligt vedrørende behandling af personoplysninger i henhold til denne forordning (5).
EDPS vedtog en første afgørelse, som – efter at Afviklingsinstansen havde anmodet om revurdering heraf – blev ophævet og erstattet af en revideret afgørelse, hvori EDPS fastslog, at Afviklingsinstansen havde tilsidesat en bestemmelse i denne forordning, idet den ikke i fortrolighedserklæringen havde underrettet klagerne om, at deres personoplysninger kunne blive videregivet til Deloitte. Afviklingsinstansen anlagde herefter sag ved Retten med påstand om bl.a. annullation af EDPS’ reviderede afgørelse.
Retten, der traf afgørelse i en udvidet afdeling, gav Afviklingsinstansen medhold og annullerede EDPS’ reviderede afgørelse, idet den præciserede begrebet personoplysninger i lyset af Domstolens domme i Nowak-sagen (6) og Breyer-sagen (7).
Rettens bemærkninger
Retten præciserede i sin dom begrebet personoplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, der definerer disse som »enhver form for information om en identificeret eller identificérbar fysisk person«. For at en information kan udgøre en personoplysning, skal to kumulative betingelser være opfyldt, nemlig for det første, at denne information er »om« en fysisk person, og for det andet, at denne fysiske person er »identificeret eller identificerbar«.
Retten undersøgte for det første, om EDPS med rette kunne antage, at de oplysninger, der blev fremsendt til Deloitte, var »om« en fysisk person som omhandlet i denne bestemmelse.
Retten fastslog indledningsvis, at EDPS i den reviderede afgørelse kvalificerede alle de bemærkninger, som de berørte aktionærer og kreditorer havde fremsat under høringsfasen, som personoplysninger og ikke begrænsede sin vurdering til de oplysninger, der var fremsendt til Deloitte. For så vidt som Afviklingsinstansens tilsidesættelse af sine forpligtelser vedrørende behandling af personoplysninger i henhold til forordning 2018/1725, der blev fastslået i den reviderede afgørelse, udelukkende vedrørte den omstændighed, at Afviklingsinstansen ikke havde nævnt Deloitte i fortrolighedserklæringen som en potentiel modtager af visse oplysninger, fandt Retten, at det alene var spørgsmålet om, hvorvidt de oplysninger, der blev videregivet til Deloitte, var personoplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, der skulle undersøges.
I denne forbindelse henviste Retten til, at det har været lovgivers hensigt at give begrebet personoplysninger en bred betydning, idet det ikke er begrænset til følsom eller privat information, men potentielt omfatter enhver form for information, både objektiv og subjektiv i form af meningstilkendegivelser eller bedømmelser, forudsat at informationen er om den pågældende person.
I denne henseende konstaterede Retten ligeledes, at Domstolen i den nævnte dom i Nowak-sagen allerede har haft lejlighed til at fastslå, at denne betingelse er opfyldt, hvis informationen på grund af sit indhold, formål eller virkning er knyttet til en bestemt person. I den reviderede afgørelse undersøgte EDPS imidlertid hverken indholdet af, formålet med eller virkningen af de oplysninger, der blev fremsendt til Deloitte. EDPS begrænsede sig nemlig til at anføre, at de bemærkninger, som klagerne havde fremsat under høringsfasen, afspejlede deres holdninger eller synspunkter, og til alene på dette grundlag at konkludere, at de udgjorde oplysninger om dem, hvilket var tilstrækkeligt til at kvalificere dem som personoplysninger. Det kan ganske rigtigt ikke udelukkes, at personlige synspunkter eller holdninger udgør personoplysninger. Det fremgår imidlertid af Nowak-dommen (8), at en sådan konklusion ikke kan baseres på en formodning som den, EDPS anvendte, men skal støttes på en undersøgelse med henblik på at afgøre, hvorvidt et synspunkt ved sit indhold, sit formål eller sin virkning er knyttet til en bestemt person. Det fulgte heraf, at EDPS, da den ikke gennemførte en sådan undersøgelse, ikke kunne konkludere, at de oplysninger, der blev fremsendt til Deloitte, udgjorde oplysninger »om« en fysisk person som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.
Retten undersøge for det andet EDPS’ vurdering af, om de oplysninger, der blev fremsendt til Deloitte, var om en »identificeret eller identificerbar« fysisk person som omhandlet i denne bestemmelse.
I denne henseende bemærkede Retten, at det var ubestridt for det første, at den alfanumeriske kode, der fremgik af de oplysninger, der blev fremsendt til Deloitte, ikke i sig selv gjorde det muligt at identificere ophavsmændene til bemærkningerne, og for det andet, at Deloitte ikke havde adgang til de identifikationsoplysninger, der var modtaget under tilmeldingsfasen, og som gjorde det muligt at knytte deltagerne til deres bemærkninger ved hjælp af denne kode. EDPS havde anført, at de supplerende oplysninger, der var nødvendige for at identificere ophavsmændene til bemærkningerne, var den alfanumeriske kode og identifikationsdatabasen. Henset til den nævnte dom i Breyer-sagen (9) syntes den omstændighed, at de supplerende oplysninger, der var nødvendige for at identificere ophavsmændene til de bemærkninger, der blev modtaget i høringsfasen, ikke var i Deloittes, men i Afviklingsinstansens besiddelse, ganske vist ikke a priori at udelukke, at de oplysninger, der blev fremsendt til Deloitte, for Deloitte udgjorde personoplysninger. Det fremgår imidlertid ligeledes af samme dom, at der med henblik på at afgøre, om de oplysninger, der blev fremsendt til Deloitte, udgjorde personoplysninger, skulle tages udgangspunkt i sidstnævntes synspunkt for at afgøre, om de fremsendte oplysninger var om »identificerbare personer«.
I henhold til den nævnte dom i Breyer-sagen (10) tilkom det således EDPS at undersøge, om de bemærkninger, der blev fremsendt til Deloitte, udgjorde personoplysninger i forhold til Deloitte. Det var således med urette, at EDPS havde gjort gældende, at det ikke var nødvendigt at undersøge, om ophavsmændene til de oplysninger, der blev fremsendt til Deloitte, kunne genidentificeres af Deloitte, eller om denne genidentifikation med rimelighed var mulig. Retten konstaterede, at EDPS i den reviderede afgørelse fandt, at den omstændighed, at Afviklingsinstansen var i besiddelse af de supplerende oplysninger, der gjorde det muligt at genidentificere ophavsmændene til bemærkningerne, var tilstrækkelig til at konkludere, at de oplysninger, der blev fremsendt til Deloitte, var personoplysninger, samtidig med at den anerkendte, at de identifikationsoplysninger, der blev modtaget i tilmeldingsfasen, ikke var blevet videregivet til Deloitte. Det fremgik således af den reviderede afgørelse, at EDPS nøjedes med at undersøge muligheden for at genidentificere ophavsmændene til bemærkningerne ud fra Afviklingsinstansens og ikke ud fra Deloittes synspunkt. Det følger imidlertid af den nævnte dom i Breyer-sagen (11), at det tilkom EDPS at afgøre, om muligheden for at kombinere de oplysninger, der var blevet fremsendt til Deloitte, med de supplerende oplysninger, som Afviklingsinstansen var i besiddelse af, udgjorde et middel, der med rimelighed kunne tænkes bragt i anvendelse af Deloitte for at identificere ophavsmændene til bemærkningerne.
Da EDPS ikke undersøgte, om Deloitte rådede over lovlige og praktisk gennemførlige midler til at få adgang til de supplerende oplysninger, der var nødvendige for at genidentificere ophavsmændene til bemærkningerne, kunne EDPS ikke konkludere, at de oplysninger, der blev fremsendt til Deloitte, udgjorde oplysninger om en »identificerbar fysisk person« som omhandlet i artikel 3, nr. 1), i forordning 2018/1725. Retten annullerede følgelig EDPS’ reviderede afgørelse.