Lieta T‑557/20
Vienotā noregulējuma valde (VNV)
pret
Eiropas datu aizsardzības uzraudzītāju (EDAU)
Vispārējās tiesas (astotā palāta paplašinātā sastāvā) 2023. gada 26. aprīļa spriedums
Personas datu aizsardzība – Kompensācijas procedūra akcionāriem un kreditoriem pēc bankas noregulējuma – EDAU lēmums, ar ko konstatē, ka VNV nav pildījusi savus pienākumus saistībā ar personas datu apstrādi – Regulas (ES) 2018/1725 15. panta 1. punkta d) apakšpunkts – Jēdziens “personas dati” – Regulas 2018/1725 3. panta 1. punkts – Tiesības piekļūt lietas materiāliem
1. Atcelšanas prasība – Pārsūdzami tiesību akti – Jēdziens – Tiesību akti, kas rada saistošas tiesiskās sekas – Prasītāja tiesisko stāvokli mainoši akti – Eiropas datu aizsardzības uzraudzītāja (EDAU) pārskatītais lēmums, kurā konstatēts, ka Vienotā noregulējuma valde (VNV) nav izpildījusi pienākumus saistībā ar personas datu apstrādi – Ietveršana
(LESD 263. pants; Eiropas Parlamenta un Padomes Regulas 2018/1725 15. panta 1. punkta d) apakšpunkts)
(skat. 44.–46. un 50.–54. punktu)
2. Eiropas Savienības iestādes – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2018/1725 – Personas datu jēdziens – Jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu – Vienotā noregulējuma valdes (VNV) uzsākta procedūra saistībā ar tiesībām tikt uzklausītam pēc banku iestādes noregulējuma pasākumu pieņemšanas – Ar šiem pasākumiem skarto akcionāru un kreditoru komentāri VNV – Komentāri, ko VNV nodevusi trešajai personai izvērtējuma veikšanai – Eiropas Datu aizsardzības uzraudzītāja (EDAU) lēmums, kurā konstatēts, ka VNV nav izpildījusi pienākumus saistībā ar šo akcionāru un kreditoru datu apstrādi – Apstāklis, ka EDAU nav pārbaudījis šo komentāru saturu, mērķi un ietekmi – Apstāklis, ka EDAU nav pārbaudījis, vai neatkarīgās trešās personas rīcībā varētu būt likumīgi un praksē pielietojami līdzekļi, kas tai ļautu piekļūt papildu informācijai, kura nepieciešama komentāru autoru atkārtotai identificēšanai – EDAU lēmuma atcelšana
(Eiropas Parlamenta un Padomes Regulas Nr. 806/2014 20. panta 16. punkts un Regulas Nr. 2018/1725 3. panta 1. punkts)
(skat. 64.–75., 94.–98. un 100.–106. punktu)
Rezumējums
2017. gada jūnijā Vienotā noregulējuma valde (turpmāk tekstā – “VNV”), pamatojoties uz Regulu Nr. 806/2014 (1), pieņēma noregulējuma shēmu attiecībā uz Banco Popular Español SA, banku iestādi. Lai noteiktu, vai akcionāri un kreditori, uz kuriem attiecas noregulējuma pasākums, būtu guvuši labumu no labākas attieksmes, ja šai iestādei būtu piemērota parasta maksātnespējas procedūra, šajā regulā ir noteikta neatkarīgas trešās personas iesaistīšana, lai veiktu attieksmes atšķirību novērtējumu (2). VNV uzdeva Deloitte birojam veikt šo vērtējumu.
Pēc šī novērtējuma VNV pieņēma iepriekšēju lēmumu par to, vai piešķirt vai nepiešķirt kompensāciju akcionāriem un kreditoriem, kurus skar noregulējuma darbības, un par procedūras sākšanu saistībā ar tiesībām tikt uzklausītam, lai varētu pieņemt galīgo lēmumu (3). Šajā procedūrā, kurai ir divi posmi, skartie akcionāri un kreditori vispirms tika aicināti paust savu interesi izmantot savas tiesības tikt uzklausītiem, izmantojot tiešsaistes reģistrācijas veidlapu, un iesniegt savas tiesības apliecinošus dokumentus (reģistrācijas posms). Pēc tam skartie akcionāri un kreditori, kuru statusu VNV bija pārbaudījusi, varēja iesniegt savus komentārus par VNV iepriekšējo lēmumu un vērtējumu (apspriešanas posms). Datumā, kad sākās reģistrācijas posms, VNV interneta vietnē procedūrai saistībā ar tiesībām tikt uzklausītam publicēja paziņojumu par konfidencialitāti attiecībā uz personas datu apstrādi šajā procedūrā.
Reģistrācijas posmā savāktie dati bija pieejami ierobežotam skaitam VNV darbinieku, kas bija atbildīgi par šo datu apstrādi, lai noteiktu dalībnieku tiesīgumu. Šos datus nevarēja redzēt VNV darbinieki, kuri bija atbildīgi par apspriešanas posmā saņemto komentāru apstrādi, tajā viņi tikai saņēma komentārus, kas identificēti ar burtciparu kodu, kas piešķirts katram veidlapā iesniegtajam komentāram.
Pēc komentāru apkopošanas, automātiskās filtrēšanas un iedalījuma kategorijās VNV nosūtīja Deloitte izvērtēšanai komentārus par veikto vērtējumu. Deloitte nodotie komentāri attiecās tikai uz tiem komentāriem, kas bija saņemti apspriešanas posmā, un uz tiem bija burtciparu kods. VNV bija vienīgā, kas ar šī koda palīdzību varēja sasaistīt komentārus ar reģistrācijas posmā saņemtajiem datiem. Deloitte nebija un tai joprojām nav piekļuves reģistrācijas posmā savāktajiem datiem.
Šajā kontekstā, ņemot vērā, ka VNV publicētajā paziņojumā par konfidencialitāti attiecībā uz personas datu apstrādi nebija norādes par to datu nosūtīšanu trešām personām, kas savākti, izmantojot veidlapu, skartie akcionāri un kreditori (turpmāk tekstā – “sūdzību iesniedzēji”), saskaņā ar Regulu 2018/1725 (4) Eiropas Datu aizsardzības uzraudzītājam (EDAU) iesniedza piecas sūdzības. Tie apgalvoja, ka VNV nav pildījusi savus pienākumus sniegt informāciju saistībā ar personas datu apstrādi atbilstoši šai regulai (5).
EDAU pieņēma sākotnējo lēmumu, kas pēc VNV pārskatīšanas lūguma tika atcelts un aizstāts ar pārskatītu lēmumu, kurā EDAU uzskatīja, ka VNV ir pārkāpusi kādu šīs regulas noteikumu, paziņojumā par konfidencialitāti neinformējot sūdzības iesniedzējus par iespēju, ka to personas dati tiks nodoti Deloitte. Tad VNV cēla prasību Vispārējā tiesā, lūdzot atcelt šo pārskatīto EDAU lēmumu.
Lemjot paplašinātās palātas sastāvā, Vispārējā tiesa apmierina šo VNV prasību un atceļ EDAU pārskatīto lēmumu, un izskaidrojot personas datu jēdzienu, ņem vērā Tiesas spriedumus lietās Nowak (6) un Breyer (7).
Vispārējās tiesas vērtējums
Savā spriedumā Vispārējā tiesa sniedz precizējumus par personas datu jēdzienu Regulas 2018/1725 3. panta 1. punkta izpratnē, kas definēts kā “jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu”. Informācija ir personas dati, ja ir izpildīti divi kumulatīvi nosacījumi, proti, pirmkārt, šī informācija “attiecas” uz fizisku personu un, otrkārt, šī fiziskā persona ir “identificēta vai identificējama”.
Pirmkārt, Vispārējā tiesa pārbauda, vai EDAU varēja pamatoti uzskatīt, ka Deloitte nodotā informācija “attiecas” uz fizisku personu šīs normas izpratnē.
Vispirms Vispārējā tiesa konstatē, ka pārskatītajā lēmumā EDAU kā personas datus kvalificēja visus apspriešanas posmā skarto akcionāru un kreditoru izteiktos komentārus un neaprobežoja savu vērtējumu tikai ar Deloitte nodoto informāciju. Taču, tā kā pārskatītajā lēmumā konstatētā VNV pieļautā Regulā 2018/1725 paredzēto pienākumu saistībā ar personas datu apstrādi neizpilde attiecas vienīgi uz to, ka VNV paziņojumā par konfidencialitāti nav minējusi Deloitte kā potenciālo noteiktu datu saņēmēju, Vispārējā tiesa uzskata, ka ir tikai jāpārbauda, vai Deloitte nodotā informācija ir personas dati Regulas 2018/1725 3. panta 1. punkta izpratnē.
Šajā ziņā Vispārējā tiesa atgādina Savienības likumdevēja mērķi jēdzienam “personas dati” piešķirt plašu nozīmi, un tas neaprobežojas ar delikātu vai privāta rakstura informāciju, bet potenciāli aptver gan visa veida objektīvu, gan subjektīvu informāciju viedokļa vai vērtējumu formā, ja vien šī informācija attiecas uz konkrēto personu.
Šādā kontekstā Vispārējā tiesa arī konstatē, ka iepriekš minētajā spriedumā Nowak Tiesai jau ir bijusi iespēja atzīt, ka šis nosacījums ir izpildīts, ja tā satura, mērķa vai seku dēļ informācija ir bijusi saistīta ar konkrētu personu. Tomēr pārskatītajā lēmumā EDAU nav aplūkojis ne Deloitte nodotās informācijas saturu, ne mērķi, ne tās ietekmi. Proti, tas vienīgi norādīja, ka prasītāju iesniegtie komentāri apspriešanas posmā atspoguļoja viņu nostājas vai viedokļus, un, balstoties tikai uz šo pamatojumu, secināja, ka runa ir informāciju, kas uz viņiem attiecas, ar ko pietiek, lai šos komentārus kvalificētu kā personas datus. Protams, nevar izslēgt, ka personiskās nostājas vai viedokļi ir personas dati. Tomēr no sprieduma Nowak (8) izriet, ka šāds secinājums nevar tikt balstīts uz tādu pieņēmumu, kādu piemērojis EDAU, bet tam ir jābalstās uz pārbaudi par to, vai viedoklis pēc tā satura, mērķa vai iedarbības ir saistīts ar konkrētu personu. No tā izriet, ka, neveicot šādu pārbaudi, EDAU nevarēja secināt, ka Deloitte nodotā informācija ir informācija, kas “attiecas” uz fizisku personu Regulas 2018/1725 3. panta 1. punkta izpratnē.
Pēc tam Vispārējā tiesa izskata EDAU vērtējumu par to, vai Deloitte nodotā informācija attiecas uz “identificētu vai identificējamu” fizisku personu šīs normas izpratnē.
Šajā ziņā Vispārējā tiesa norāda, ka, pirmkārt, burtciparu kods, kas ietilpst Deloitte nodotajā informācijā, pats par sevi neļāva identificēt komentāru autorus un, otrkārt, ka Deloitte nebija piekļuves reģistrācijas posmā saņemtajiem identifikācijas datiem, kas ļautu, izmantojot šo kodu, sasaistīt dalībniekus ar to komentāriem. EDAU norādīja, ka papildu informācija, kas nepieciešama komentāru autoru identificēšanai, ir burtciparu kods un identifikācijas datubāze. Protams, ņemot vērā iepriekš minēto spriedumu Breyer (9), tas, ka papildu informācija, kas nepieciešama, lai identificētu apspriešanas posmā saņemto komentāru autorus, bija nevis Deloitte, bet gan VNV rīcībā, a priori neizslēdz, ka Deloitte nodotā informācija attiecībā uz to bija personas dati. Tomēr no šī paša sprieduma arī izriet, ka, lai noteiktu, vai Deloitte nodotā informācija ir personas dati, ir jāņem vērā tās viedoklis, lai noskaidrotu, vai tai nodotā informācija attiecas uz “identificējamām personām”.
Tāpēc, piemērojot iepriekš minēto spriedumu Breyer (10), EDAU bija jāpārbauda, vai Deloitte nodotie komentāri attiecībā uz to ir personas dati. Tādējādi Vispārējā tiesa uzskata, ka EDAU kļūdaini apgalvo, ka nebija jānoskaidro ne tas, vai Deloitte varēja atkārtoti identificēt tai nodotās informācijas autorus, ne arī tas, vai šāda atkārtota identifikācija bija saprātīgi iespējama. Vispārējā tiesa konstatē, ka pārskatītajā lēmumā EDAU uzskatīja – fakts, ka VNV rīcībā bija papildu informācija, kas ļāva atkārtoti identificēt komentāru autorus, ir pietiekams iemesls secināt, ka Deloitte nodotā informācija bija personas dati, vienlaikus atzīstot, ka reģistrācijas posmā saņemtie identifikācijas dati Deloitte netika paziņoti. Tādējādi no pārskatītā lēmuma izriet, ka EDAU ir tikai izvērtējis iespēju atkārtoti identificēt komentāru autorus no VNV, nevis no Deloitte skatpunkta. No sprieduma Breyer (11)izriet, ka EDAU ir jānosaka, vai iespēja kombinēt Deloitte nodoto informāciju ar VNV rīcībā esošo papildu informāciju ir līdzeklis, ko Deloitte varētu saprātīgi izmantot, lai identificētu komentāru autorus.
Tādējādi, tā kā EDAU nav noskaidrojis, vai Deloitte rīcībā bija likumīgi un praktiski pielietojami līdzekļi, kas tai ļautu piekļūt papildu informācijai, kura nepieciešama komentāru autoru atkārtotai identificēšanai, EDAU nevarēja secināt, ka Deloitte nodotā informācija ir informācija, kas attiecas uz “identificējamu fizisku personu” Regulas 2018/1725 3. panta 1. punkta izpratnē. Līdz ar to Vispārējā tiesa atceļ EDAU pārskatīto lēmumu.