1

Med appellen har Den Europæiske Tilsynsførende for Databeskyttelse (EDPS) nedlagt påstand om ophævelse af dom afsagt af Den Europæiske Unions Ret den 26. april 2023, Afviklingsinstansen mod EDPS (T-557/20, herefter »den appellerede dom«, EU:T:2023:219), hvorved Retten annullerede EDPS’ afgørelse af 24. november 2020 vedtaget efter en anmodning om revurdering indgivet af Den Fælles Afviklingsinstans vedrørende EDPS’ afgørelse af 24. juni 2020 om fem klager indgivet af flere klagere (sag 2019-947, 2019-998, 2019-999, 2019-1000 og 2019-1122) (herefter »den omtvistede afgørelse«).

2

5., 16., 17. og 35. betragtning til Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (EUT 2018, L 295, s. 39) har følgende ordlyd:

[...]

[...]

3

Artikel 3, nr. 1), 6), 8) og 13), i forordning 2018/1725 med overskriften »Definitioner« bestemmer:

»I denne forordning forstås ved:

[...]

[...]

[...]

4

Denne forordnings artikel 4 med overskriften »Principper for behandling af personoplysninger« bestemmer følgende i stk. 2:

»Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

5

Nævnte forordnings artikel 14 med overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder« bestemmer i stk. 1:

»Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 15 og 16 og enhver meddelelse i henhold til artikel 17-24 og artikel 35 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. Når den registrerede anmoder om det, kan oplysningerne gives mundtligt, forudsat at den registreredes identitet påvises med andre midler.«

6

Forordningens artikel 15 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« fastsætter:

»1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

[...]

[...]

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

[...]

[...]«

7

Artikel 24 i forordning 2018/1725 fastlægger betingelserne for, at en individuel afgørelse kan støttes på automatisk behandling, herunder profilering.

8

Denne forordnings artikel 26 med overskriften »Den dataansvarliges ansvar« bestemmer i stk. 1:

»Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.«

9

Tvistens baggrund er anført i den appellerede doms præmis 2-32 og kan sammenfattes som følger.

10

Den 7. juni 2017 blev der på Afviklingsinstansens eksekutivmøde vedtaget afgørelse SRB/EES/2017/08 om en afviklingsordning for Banco Popular Español, SA på grundlag af Europa-Parlamentets og Rådets forordning (EU) nr. 806/2014 af 15. juli 2014 om ensartede regler og en ensartet procedure for afvikling af kreditinstitutter og visse investeringsselskaber inden for rammerne af en fælles afviklingsmekanisme og en fælles afviklingsfond og om ændring af forordning (EU) nr. 1093/2010 (EUT 2014, L 225, s. 1) (herefter »forordningen om den fælles afviklingsmekanisme«).

11

Ved denne afgørelse besluttede Afviklingsinstansen, idet den var af den opfattelse, at betingelserne i artikel 18, stk. 1, i forordningen om den fælles afviklingsmekanisme var opfyldt, at bringe Banco Popular Español SA (herefter »Banco Popular«) under afvikling. Afviklingsinstansen besluttede at nedskrive og konvertere Banco Populars kapitalinstrumenter i henhold til denne forordnings artikel 21 og at anvende virksomhedssalgsværktøjet i henhold til nævnte forordnings artikel 24 ved at overføre aktierne til en køber.

12

Samme dag vedtog Europa-Kommissionen afgørelse (EU) 2017/1246 om godkendelse af afviklingsordningen for Banco Popular Español S.A. (EUT 2017, L 178, s. 15).

13

Efter afviklingen af Banco Popular fik revisions- og rådgivningsfirmaet Deloitte af Afviklingsinstansen overdraget opgaven med den i artikel 20, stk. 16-18, i forordningen om den fælles afviklingsmekanisme omhandlede værdiansættelse af forskellen i behandlingen med henblik på at afgøre, om aktionærer og kreditorer i denne bank ville have modtaget en bedre behandling, hvis banken havde været underlagt almindelig insolvensbehandling (herefter »værdiansættelse 3«). Den 14. juni 2018 fremsendte Deloitte denne værdiansættelse til Afviklingsinstansen.

14

Den 6. august 2018 offentliggjorde Afviklingsinstansen på sit websted sin meddelelse af 2. august 2018 vedrørende instansens foreløbige afgørelse om, hvorvidt aktionærerne og kreditorerne skulle bevilges kompensation som følge af de afviklingsforanstaltninger, der var truffet vedrørende Banco Popular Español, SA, og vedrørende iværksættelsen af en procedure, så de berørte kunne udøve deres ret til at blive hørt (SRB/EES/2018/132) (herefter »den foreløbige afgørelse«), samt en ikke-fortrolig udgave af værdiansættelse 3. Den 7. august 2018 blev en bekendtgørelse vedrørende Afviklingsinstansens meddelelse offentliggjort i Den Europæiske Unions Tidende (EUT 2018, C 277 I, s. 1).

15

Afviklingsinstansen anførte i den foreløbige afgørelse, at den for at kunne træffe en endelig afgørelse om, hvorvidt der i henhold til artikel 76, stk. 1, litra e), i forordningen om den fælles afviklingsmekanisme skulle bevilges kompensation til de aktionærer og kreditorer, der var berørt af afviklingen af Banco Popular (herefter »de berørte aktionærer og kreditorer«), opfordrede dem til at tilkendegive deres interesse i at udøve deres ret til at blive hørt i henhold til artikel 41, stk. 2, litra a), i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«).

16

Ifølge indikationerne i den foreløbige afgørelse skulle proceduren vedrørende retten til at blive hørt afholdes i to faser.

17

I den første fase (herefter »tilmeldingsfasen«) blev de berørte aktionærer og kreditorer opfordret til at tilkendegive deres interesse i at udøve deres ret til at blive hørt ved hjælp af en onlinetilmeldingsformular inden den 14. september 2018. I denne fase skulle de berørte aktionærer og kreditorer, der ønskede at udøve deres ret til at blive hørt, forelægge Afviklingsinstansen dokumentation for, at de på tidspunktet for afviklingen af Banco Popular var i besiddelse af et eller flere kapitalinstrumenter i denne bank, som var blevet nedskrevet eller konverteret og overført til Banco Santander, SA i forbindelse med afviklingen. Den dokumentation, der skulle fremlægges, omfattede legitimation og et bevis for ejendomsretten til et af disse kapitalinstrumenter pr. 6. juni 2017. Dernæst skulle Afviklingsinstansen undersøge, om alle personer, der havde tilkendegivet deres interesse, faktisk havde status som berørt aktionær eller kreditor.

18

Den 6. august 2018, som var datoen for tilmeldingsfasens indledning, offentliggjorde Afviklingsinstansen ligeledes på websiden for tilmelding til proceduren vedrørende retten til at blive hørt og på sit websted en fortrolighedserklæring vedrørende behandlingen af personoplysninger inden for rammerne af denne procedure (herefter »fortrolighedserklæringen«).

19

I den anden fase (herefter »høringsfasen«) kunne de personer, hvis status som berørte aktionærer og kreditorer var blevet efterprøvet af Afviklingsinstansen, fremsætte deres bemærkninger til den foreløbige afgørelse, som var vedlagt værdiansættelse 3. Den 16. oktober 2018 meddelte Afviklingsinstansen på sit websted, at de berørte aktionærer og kreditorer i høringsfasen fra den 6. november 2018 ville blive opfordret til at fremsætte skriftlige bemærkninger til den foreløbige afgørelse.

20

Den 6. november 2018 sendte Afviklingsinstansen pr. e-mail et unikt personligt link til de berørte aktionærer og kreditorer, hvormed de fik adgang til en formular på internettet, der indeholdt syv spørgsmål med begrænset svarplads, som gav de berørte aktionærer og kreditorer mulighed for inden den 26. november 2018 at fremsætte deres bemærkninger til den foreløbige afgørelse og til den ikke-fortrolige udgave af værdiansættelse 3.

21

Afviklingsinstansen undersøgte de relevante bemærkninger fra de berørte aktionærer og kreditorer vedrørende den foreløbige afgørelse. Instansen anmodede Deloitte om som uafhængig valuar at vurdere de relevante bemærkninger vedrørende værdiansættelse 3, at fremsende et dokument indeholdende denne vurdering og at undersøge, om denne værdiansættelse fortsat var gyldig i lyset af disse bemærkninger.

22

De oplysninger, der blev indsamlet i tilmeldingsfasen, dvs. bevis for de berørte aktionærer og kreditorers identitet og for ejendomsretten til nedskrevne eller konverterede og overførte kapitalinstrumenter i Banco Popular, var tilgængelige for et begrænset antal ansatte i Afviklingsinstansen, nemlig dem, der var ansvarlige for behandlingen af disse oplysninger med henblik på at fastslå, om de berørte aktionærer og kreditorer var berettigede til kompensation.

23

De ansatte i Afviklingsinstansen, der havde til opgave at behandle bemærkningerne modtaget under høringsfasen, havde hverken adgang til de oplysninger, der var indsamlet under tilmeldingsfasen – således at disse bemærkninger var adskilt fra de personlige oplysninger om de berørte aktionærer og kreditorer, der havde fremsat disse – eller til datanøglen eller de oplysninger, der gjorde det muligt at finde en berørt aktionær og kreditors identitet med henvisning til den unikke alfanumeriske kode, som hver bemærkning var blevet tildelt ved formularen. Denne alfanumeriske kode bestod af en unik universel identifikator med 33 tegn, der blev genereret vilkårligt på tidspunktet for modtagelsen af formularbesvarelserne.

24

I første omgang foretog Afviklingsinstansen en automatisk filtrering af 23822 bemærkninger, hver forsynet med en unik alfanumerisk kode, som var blevet fremsat af 2855 deltagere i proceduren. To algoritmer gjorde det muligt at identificere 20101 bemærkninger som værende identiske. I dette tilfælde blev den bemærkning, der var blevet fremsat først, anset for at være den oprindelige bemærkning, der blev behandlet i analysefasen, og de identiske bemærkninger, der var blevet modtaget senere, blev identificeret som dubletter.

25

I anden omgang identificerede Afviklingsinstansen de fremsatte bemærkninger, der henhørte under anvendelsesområdet for proceduren vedrørende retten til at blive hørt, for så vidt som disse kunne have indvirkning på den foreløbige afgørelse eller på værdiansættelse 3. Herefter opdelte den disse bemærkninger i dem, der skulle undersøges af Afviklingsinstansen, for så vidt som de vedrørte den foreløbige afgørelse, og dem, der skulle undersøges af Deloitte, for så vidt som de vedrørte værdiansættelse 3. Ved analysefasens afslutning havde Afviklingsinstansen identificeret 3730 bemærkninger, som den klassificerede på grundlag af deres relevans og tema.

26

I tredje omgang blev bemærkningerne vedrørende den foreløbige afgørelse behandlet af Afviklingsinstansen, og de bemærkninger, der vedrørte værdiansættelse 3, dvs. 1104 bemærkninger, blev den 17. juni 2019 overført til Deloitte via en sikker virtuel dataserver, som var dedikeret til Afviklingsinstansen. Afviklingsinstansen uploadede de filer, der skulle sendes til Deloitte, til den virtuelle server og gav et begrænset og kontrolleret antal ansatte hos Deloitte, nemlig dem, der var direkte involveret i undersøgelsen af bemærkningerne vedrørende værdiansættelse 3, adgang til disse filer.

27

De bemærkninger, der blev overført til Deloitte, blev sorteret, kategoriseret og samlet. Når der var tale om kopier af tidligere bemærkninger, blev der kun fremsendt én udgave til Deloitte, således at det ikke var muligt at se de individuelle bemærkninger, der var blevet repliceret, inden for det samme tema, og Deloitte havde ikke mulighed for at vide, om en bemærkning var blevet fremsat af en eller flere deltagere i proceduren vedrørende retten til at blive hørt.

28

De bemærkninger, der blev fremsendt til Deloitte, var kun bemærkninger, der var modtaget i høringsfasen, og de var forsynet med en alfanumerisk kode. Afviklingsinstansen var imidlertid den eneste, der med denne kode kunne knytte bemærkningerne til oplysninger, bl.a. oplysninger til at identificere ophavsmændene til de bemærkninger, der var modtaget i tilmeldingsfasen. Den alfanumeriske kode blev udviklet med henblik på revision for at gøre det muligt at kontrollere og under en retssag eventuelt godtgøre, at hver enkelt bemærkning var blevet behandlet og taget behørigt i betragtning. Deloitte havde ikke adgang til databasen med de oplysninger, der blev indsamlet i tilmeldingsfasen eller i proceduren vedrørende retten til at blive hørt, og havde fortsat ikke adgang hertil, da den appellerede dom blev afsagt.

29

I oktober og december 2019 indgav de berørte aktionærer og kreditorer, som havde besvaret formularen, fem klager til EDPS i henhold til forordning 2018/1725. Ved disse klager påberåbte de sig en tilsidesættelse af denne forordnings artikel 15, stk. 1, litra d), med den begrundelse at Afviklingsinstansen ikke havde underrettet dem om, at de oplysninger, der blev indsamlet ved hjælp af formularbesvarelserne, ville blive videregivet til tredjemand, nemlig Deloitte og Banco Santander, hvilket var i strid med bestemmelserne i fortrolighedserklæringen.

30

Efter en procedure, hvor Afviklingsinstansen gav forskellige forklaringer efter anmodning fra EDPS, og klagerne fremsatte bemærkninger, vedtog EDPS den 24. juni 2020 en afgørelse om fem klager indgivet af flere klagere havde over Den Fælles Afviklingsinstans (sagerne 2019-947, 2019-998, 2019-999, 2019-1000 og 2019-1122) (herefter »den oprindelige afgørelse«). I denne afgørelse fandt EDPS, at Afviklingsinstansen havde tilsidesat artikel 15 i forordning 2018/1725, idet den ikke i fortrolighedserklæringen havde underrettet klagerne om, at deres personoplysninger kunne blive videregivet til Deloitte. EDPS udtalte følgelig kritik af Afviklingsinstansen for denne tilsidesættelse i henhold til denne forordnings artikel 58, stk. 2, litra b).

31

Den 22. juli 2020 anmodede Afviklingsinstansen EDPS om at revurdere den oprindelige afgørelse i henhold til artikel 18, stk. 1, i Afgørelse fra Den Europæiske Tilsynsførende for Databeskyttelse af 15. maj 2020 om vedtagelse af den tilsynsførendes forretningsorden (EUT 2020, L 204, s. 49). Afviklingsinstansen fremlagde bl.a. en detaljeret beskrivelse af proceduren vedrørende retten til at blive hørt og af analysen af de bemærkninger, som fire af de identificerede klagere havde fremsat i høringsfasen. Instansen gjorde gældende, at de oplysninger, der var blevet videregivet til Deloitte, ikke udgjorde personoplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.

32

Den 5. august 2020 meddelte EDPS Afviklingsinstansen, at EDPS i lyset af de nye oplysninger havde besluttet at revurdere den oprindelige afgørelse, og at den ville træffe en afgørelse, som skulle erstatte den.

33

Efter revurderingsproceduren, hvor klagerne fremsatte bemærkninger, og Afviklingsinstansen fremlagde supplerende oplysninger efter anmodning fra EDPS, vedtog EDPS den reviderede afgørelse den 24. november 2020.

34

Med denne afgørelse ændrede EDPS den oprindelige afgørelse med følgende ordlyd:

35

Ved stævning indleveret til Rettens Justitskontor den 1. september 2020 anlagde Afviklingsinstansen sag med påstand dels om annullation af den omtvistede afgørelse, dels om at det fastslås, at EDPS’ foreløbige afgørelse erklæres ulovlig.

36

Til støtte for den første påstand fremsatte Afviklingsinstansen to anbringender, hvoraf det første vedrørte en tilsidesættelse af artikel 3, nr. 1), i forordning 2018/1725, for så vidt som de oplysninger, der blev videregivet til Deloitte, ikke var personoplysninger, og det andet vedrørte en tilsidesættelse af retten til god forvaltning, der er fastsat i chartrets artikel 41.

37

Ved den appellerede dom afviste Retten den anden påstand om, at den oprindelige afgørelse skulle erklæres ulovlig, idet Retten savnede kompetence til at påkende denne påstand, for så vidt som Afviklingsinstansen tilsigtede at opnå en deklaratorisk dom og ikke en annullation af en retsakt.

38

Retten antog derimod den første påstand til realitetsbehandling. Hvad angår realiteten tog den det første anbringende til følge og annullerede den omtvistede afgørelse uden at behandle det andet anbringende.

39

Ved afgørelse truffet af Domstolens præsident den 20. oktober 2023 har Kommissionen fået tilladelse til at intervenere til støtte for Afviklingsinstansen. Ved kendelse afsagt af Domstolens præsident den 29. november 2023 har Det Europæiske Databeskyttelsesråd fået tilladelse til at intervenere til støtte for EDPS’ påstande.

40

EDPS har, støttet af Det Europæiske Databeskyttelsesråd, nedlagt følgende påstande:

41

Afviklingsinstansen har, støttet af Kommissionen, nedlagt følgende påstande:

42

Til støtte for appellen har EDPS, støttet af Det Europæiske Databeskyttelsesråd, fremsat to anbringender, hvoraf det første vedrører en tilsidesættelse af artikel 3, nr. 1) og 6), i forordning 2018/1725, som fortolket af Domstolen, og det andet vedrører en tilsidesættelse af denne forordnings artikel 4, stk. 2, og artikel 26, stk. 1.

43

Med det første anbringende har EDPS i det væsentlige gjort gældende, at Retten begik en retlig fejl ved fortolkningen af artikel 3, nr. 1) og 6), i forordning 2018/1725 ved at fastslå, at appellanten i den omtvistede afgørelse med urette havde konkluderet, at de i det foreliggende tilfælde omhandlede oplysninger udgjorde personoplysninger. Det første anbringende består af to led. Det første led vedrører den i denne forordnings artikel 3, nr. 1), fastsatte betingelse, hvorefter oplysningen er »om« den fysiske person, og det andet led vedrører den i samme bestemmelse fastsatte betingelse om, at denne person er »identificerbar«.

44

Med det første anbringendes første led har EDPS gjort gældende, at de oplysninger, der blev videregivet til Deloitte, i modsætning til, hvad Retten fastslog i den appellerede doms præmis 60-74, vedrørte en fysisk person som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.

45

For det første har EDPS gjort gældende, at databeskyttelsesmyndighederne i modsætning til, hvad der følger af den appellerede doms præmis 70, ikke i alle tilfælde kan have pligt til at foretage en undersøgelse af indholdet af, formålet med eller virkningen af oplysninger for at efterprøve, om de vedrører en fysisk person. Ifølge EDPS kunne denne undersøgelse bl.a. kræves hvad angår de bemærkninger, som Afviklingsinstansen fremsendte til Deloitte, eftersom det efter appellantens opfattelse var klart, at disse bemærkninger var »om« en fysisk person, for så vidt som de udtrykte det personlige synspunkt hos visse kreditorer og aktionærer i Banco Popular om den eventuelle ret til kompensation i henhold til artikel 76, stk. 1, litra e), i forordningen om den fælles afviklingsmekanisme.

46

For det andet har EDPS gjort gældende, at denne i modsætning til, hvad der er fastslået i den appellerede doms præmis 71, for at konstatere, at der forelå personoplysninger, ikke udelukkende støttede sig på arten af de bemærkninger, der blev fremsendt til Deloitte, men ligeledes på det forhold, at den alfanumeriske kode også var blevet fremsendt til dette selskab.

47

For det tredje har EDPS gjort gældende, at den appellerede dom er behæftet med en selvmodsigelse, for så vidt som Retten i nævnte doms præmis 7 anførte, at selve formålet med de bemærkninger, der blev fremsendt til Deloitte, var at gøre det muligt for konkrete fysiske personer, nemlig de berørte aktionærer og kreditorer, at udøve deres ret til at blive hørt med henblik på en eventuel kompensation i medfør af artikel 76, stk. 1, litra e), i forordningen om den fælles afviklingsmekanisme. I strid med denne første konstatering fastslog Retten endvidere i nævnte doms præmis 73, at EDPS havde støttet sig på formodninger om, at alle de bemærkninger, der var blevet fremsendt til Deloitte, udgjorde personoplysninger, uden at det er påvist, at de vedrørte fysiske personer.

48

Afviklingsinstansen har, støttet af Kommissionen, gjort gældende, at denne argumentation skal forkastes.

49

For det første følger det af retspraksis efter dom af 20. december 2017, Nowak (C-434/16, EU:C:2017:994, præmis 34 og 35), og af 4. maj 2023, Österreichische Datenschutzbehörde og CRIF (C-487/21, EU:C:2023:369, præmis 23 og 24), at information, både objektiv og subjektiv i form af meningstilkendegivelser eller bedømmelser, kan udgøre personoplysninger, forudsat at informationen er »om« den pågældende person. Det følger desuden af denne retspraksis, at information vedrører en identificeret eller identificerbar person, hvis den på grund af sit indhold, formål eller virkning er knyttet til en identificerbar person. Retten fastslog således med føje i den appellerede doms præmis 70-74, at EDPS havde tilsidesat denne retspraksis, idet appellanten blot havde anført, at de bemærkninger, der var blevet fremsendt til Deloitte, afspejlede de berørte aktionærer og kreditorers holdninger og synspunkter, og at disse bemærkninger dermed var knyttet til en identificerbar person, uden at EDPS havde undersøgt deres indhold, formål eller virkning.

50

For det andet udgør EDPS’ argument om, at nævnte bemærkningers karakter af personoplysninger nødvendigvis følger af disses formål, et nyt faktuelt argument, som er fremført for første gang i appelsagen, og som derfor skal afvises. Dette argument er under alle omstændigheder irrelevant, for så vidt som EDPS ikke undersøgte dette forhold i den omtvistede afgørelse.

51

Hvad for det tredje angår den angivelige selvmodsigelse mellem grundene i den appellerede doms præmis 7 og 73, har Afviklingsinstansen gjort gældende, at beskrivelsen i nævnte doms præmis 7 ikke indeholder nogen oplysning om indholdet af, formålet med eller virkningen af de bemærkninger, der blev fremsendt til Deloitte, og dermed ikke modsiger konklusionen i dommens præmis 73.

52

Det skal indledningsvis bemærkes, at definitionen af begrebet »personoplysninger« i artikel 3, nr. 1), i forordning 2018/1725 i det væsentlige er identisk med definitionen af dette begreb i databeskyttelsesforordningens artikel 4, nr. 1), der for sin del i det væsentlige har samme rækkevidde som den, der fremgik af artikel 2, litra a), i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EFT 1995, L 281, s. 31). For at sikre en ensartet og sammenhængende anvendelse af EU-retten, skal det således sikres, at artikel 3, nr. 1), i forordning 2018/1725, databeskyttelsesforordningens artikel 4, nr. 1), og artikel 2, litra a), i direktiv 95/46 fortolkes identisk (jf. i denne retning domme af 7.3.2024, OC mod Kommissionen,C-479/22 P, EU:C:2024:215, præmis 43, og IAB Europe, C-604/22, EU:C:2024:214, præmis 33 og den deri nævnte retspraksis).

53

Artikel 3, nr. 1), i forordning 2018/1725 bestemmer, at personoplysninger er »enhver form for information om en identificeret eller identificerbar fysisk person«.

54

Anvendelsen af udtrykket »enhver form for information« i definitionen af begrebet »personoplysninger«, som fremgår af denne bestemmelse og af databeskyttelsesforordningens artikel 4, nr. 1), afspejler EU-lovgivers hensigt om at give begrebet en bred betydning, således at det potentielt omfatter enhver form for information, både objektiv og subjektiv i form af meningstilkendegivelser eller bedømmelser, forudsat at informationen er »om« den pågældende person (dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 23 og den deri nævnte retspraksis, af 7.3.2024, OC mod Kommissionen,C-479/22 P, EU:C:2024:215, præmis 45, og af 4.10.2024, Agentsia po vpisvaniyata,C-200/23, EU:C:2024:827, præmis 130).

55

En information vedrører en identificeret eller identificerbar fysisk person, hvis den på grund af sit indhold, formål eller virkning er knyttet til en identificerbar person (dom af 20.12.2017, Nowak,C-434/16, EU:C:2017:994, præmis 35, og domme af 7.3.2024, OC mod Kommissionen,C-479/22 P, EU:C:2024:215, præmis 45, og IAB Europe, C-604/22, EU:C:2024:214, præmis 37 og den deri nævnte retspraksis).

56

Selv om Retten i den appellerede doms præmis 70 anførte, at EDPS hverken havde undersøgt indholdet af, formålet med eller virkningen af oplysningerne i de bemærkninger, der blev fremsendt til Deloitte, fremgår det i det foreliggende tilfælde ikke desto mindre af nævnte doms præmis 71 og 72, at konstateringen, hvorefter disse bemærkninger afspejlede de berørte personers holdninger eller synspunkter, nødvendiggjorde, at EDPS først undersøgte indholdet af nævnte bemærkninger. På grundlag af denne konstatering havde EDPS konkluderet, at bemærkningerne udgjorde oplysninger om disse personer. Det følger af den retspraksis, der er nævnt i nærværende doms præmis 55, at undersøgelsen af indholdet af en information ikke nødvendigvis skal suppleres af en analyse af formålet med og virkningerne af denne information, som det indikeres med anvendelsen af bindeordet »eller«, der forbinder de forskellige kriterier omhandlet i denne retspraksis.

57

I den appellerede doms præmis 73 og 74 fastslog Retten dog, at EDPS ikke kunne kvalificere informationen i de bemærkninger, der blev fremsendt til Deloitte, som personoplysninger alene på grundlag af den konstatering, at der var tale om personlige holdninger eller synspunkter, men at appellanten desuden burde have undersøgt indholdet af, formålet med og virkningen af de herved udtrykte holdninger med henblik på at afgøre, om de var knyttet til en bestemt person.

58

Rettens vurdering tilsidesætter den særlige karakter af personlige holdninger eller synspunkter, der som udtryk for en persons tanker nødvendigvis er nært forbundet med denne person.

59

Fortolkningen i ovenstående præmis understøttes af retspraksis efter dom af 20. december 2017, Nowak (C-434/16, EU:C:2017:994), der bl.a. vedrørte en eksaminators rettelser og kommentarer til en skriftlig besvarelse, som en deltager havde givet i forbindelse med en faglig prøve. I nævnte doms præmis 42-44 fastslog Domstolen – selv om den vurderede indholdet af, formålet med og virkningen af disse rettelser og kommentarer med henblik på at konstatere, at de udgjorde information om den heraf omhandlede deltager – nemlig i det væsentlige, at nævnte rettelser og kommentarer ligeledes vedrørte den eksaminator, som var ophavsmand hertil, eftersom de udtrykte dennes holdning eller bedømmelse.

60

Det følger heraf, at Retten begik en retlig fejl ved i den appellerede doms præmis 73 og 74 at fastslå, at for at konkludere, at informationen i de bemærkninger, der blev fremsendt til Deloitte, var »om« de fysiske personer, der havde indgivet disse bemærkninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725, skulle EDPS have undersøgt indholdet af, formålet med eller virkningerne af nævnte bemærkninger, eftersom det står fast, at de udtrykte ophavsmændenes holdninger eller personlige synspunkter.

61

Uden at det er fornødent at undersøge de i nærværende doms præmis 46 og 47 anførte argumenter skal det første anbringendes første led dermed tages til følge.

62

Med det første anbringendes andet led har EDPS gjort gældende, at Retten i den appellerede doms præmis 76-106 med urette fastslog, at det ikke kunne konstateres, at informationen i de bemærkninger, der blev fremsendt til Deloitte, vedrørte en »identificerbar« fysisk person som omhandlet i artikel 3, nr. 1), i forordning 2018/1725. Dette led består af to forskellige klagepunkter.

63

EDPS har indledningsvis anført, at det følger af ordlyden af artikel 3, nr. 1), i forordning 2018/1725, at de dataansvarlige eller »en anden person« skal kunne identificere den registrerede med den omhandlede information. Når det ikke er angivet, hvem der skal kunne foretage denne identifikation, er det tilstrækkeligt, at den registrerede kan identificeres. I det foreliggende tilfælde er det ubestridt, at de bemærkninger, som blev fremsendt til Deloitte, og som Afviklingsinstansen rådede over, udgør personoplysninger. Det fremgår desuden af denne forordnings artikel 3, nr. 6), sammenholdt med 16. betragtning hertil, at pseudonymiserede oplysninger udgør personoplysninger, alene fordi der findes supplerende oplysninger, der gør det muligt at henføre dem til en bestemt person.

64

Ifølge EDPS blev der i betragtningerne i den appellerede doms præmis 90 og 91 ikke taget tilstrækkeligt hensyn til ordlyden af disse bestemmelser og sondringen mellem anonymisering og pseudonymisering. I denne henseende har Det Europæiske Databeskyttelsesråd præciseret, at ifølge den af Retten fastlagte fortolkning ændrer personoplysninger karakter, når de fremsendes til en enhed uden for den dataansvarlige, som ikke råder over supplerende oplysninger, der gør det muligt at identificere den registrerede. Denne fortolkning gør det muligt for denne dataansvarlige uberettiget at unddrage personoplysninger anvendelsesområdet for EU-retten på området for beskyttelse af sådanne oplysninger, selv om denne eksterne enheds behandling udsætter de registrerede for betydelige risici.

65

EDPS har ligeledes anført, at EU-lovgiver ved indførelsen af begrebet pseudonymisering har præciseret, at det for at udelukke personoplysninger fra anvendelsesområdet for EU-retten på området for beskyttelse af sådanne oplysninger ikke er tilstrækkeligt at adskille disse oplysninger fra de supplerende oplysninger, der gør det muligt at identificere den registrerede.

66

Endelig har EDPS anført, at begrebet personoplysninger skal fortolkes bredt, hvilket ifølge denne tilsynsførende er nødvendigt for, at reglerne på området for databeskyttelse har effektiv virkning. For så vidt som Rettens fortolkning gør det muligt med urette at anse pseudonymiserede oplysninger for at være anonyme oplysninger, kan denne fortolkning skade det høje beskyttelsesniveau, som EU-lovgiver har tilstræbt, og som kræves ved chartret. Det Europæiske Databeskyttelsesråd har gjort gældende, at Rettens fortolkning ligeledes indebærer en risiko for, at pseudonymiserede oplysninger kan behandles ubegrænset i medfør af databeskyttelsesforordningen og forordning 2018/1725, herunder deles, offentliggøres og overføres til tredjelande.

67

Afviklingsinstansen har, støttet af Kommissionen, bestridt denne argumentation.

68

Det første anbringendes andet leds første klagepunkt er i det væsentlige støttet på den antagelse, at pseudonymiserede oplysninger som de bemærkninger, der blev fremsendt til Deloitte, i alle tilfælde udgør personoplysninger, alene fordi der findes information, der gør det muligt at identificere den registrerede, uden at det er nødvendigt konkret at undersøge, om den person, som disse oplysninger vedrører, er identificerbar på trods af pseudonymiseringen.

69

Det skal i denne henseende bemærkes, at det følger af artikel 3, nr. 1), i forordning 2018/1725, at en information skal vedrøre en »identificeret eller identificerbar« fysisk person for at kunne kvalificeres som en personoplysning i denne bestemmelses forstand. Anvendelsen af denne forordning forudsætter således principielt en undersøgelse af, om den registrerede er identificeret eller identificerbar ved den omhandlede information.

70

Denne fortolkning understøttes af 16. betragtning, femte og sjette punktum, til forordning 2018/1725, hvorefter hverken »anonyme oplysninger, dvs. oplysninger der ikke vedrører en identificeret eller identificerbar fysisk person«, eller »personoplysninger, som er gjort anonyme på en sådan måde, at den registrerede ikke eller ikke længere kan identificeres«, henhører under begrebet »personoplysninger« (jf. analogt dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras,C-683/21, EU:C:2023:949, præmis 57).

71

I første række skal det hvad nærmere bestemt angår pseudonymiserede oplysninger bemærkes, at disse oplysninger ikke er omtalt i den lovbestemte definition af begrebet »personoplysninger« i artikel 3, nr. 1), i forordning 2018/1725, men at kendetegnene herved fremgår af denne forordnings artikel 3, nr. 6). I sidstnævnte bestemmelse defineres begrebet »pseudonymisering« som »behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person«.

72

Som generaladvokaten i det væsentlige har anført i punkt 46 og 48 i forslaget til afgørelse, er pseudonymisering således ikke et element i definitionen af »personoplysninger«, men vedrører indførelse af tekniske og organisatoriske foranstaltninger for at reducere risikoen for, at en helhed af oplysninger kan sættes i forbindelse med de registreredes identitet. Ifølge 17. betragtning til nævnte forordning kan pseudonymisering for disse personer alene »mindske risikoen« for, at oplysningerne sættes i forbindelse, og således »gøre det lettere for dataansvarlige og databehandlere at opfylde deres databeskyttelsesforpligtelser«.

73

I anden række fremgår det af artikel 3, nr. 6), i forordning 2018/1725, at begrebet »pseudonymisering« forudsætter, at der findes oplysninger, der gør det muligt at identificere den registrerede. Selve eksistensen af sådanne oplysninger er til hinder for, at de oplysninger, der har været genstand for pseudonymisering, i alle tilfælde kan anses for at være anonyme oplysninger, der er udelukket fra anvendelsesområdet for denne forordning.

74

I tredje række forholder det sig ikke desto mindre således, at det krav om separat opbevaring af identificerende oplysninger samt tekniske og organisatoriske foranstaltninger »for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person«, der er foreskrevet i nævnte forordnings artikel 3, nr. 6), indikerer, at pseudonymiseringen bl.a. har til formål at undgå, at den registrerede kan identificeres alene med de pseudonymiserede oplysninger.

75

For så vidt som sådanne tekniske og organisatoriske foranstaltninger faktisk indføres, og de kan forebygge, at de pågældende oplysninger henføres til den registrerede, således at denne ikke eller ikke længere kan identificeres, kan pseudonymiseringen nemlig have indvirkning på den personlige karakter af disse oplysninger som omhandlet i artikel 3, nr. 1), i forordning 2018/1725.

76

Det skal i denne henseende præciseres, at Afviklingsinstansen, som det sædvanligvis er tilfældet med den dataansvarlige, der har foretaget pseudonymiseringen, i det foreliggende tilfælde råder over supplerende oplysninger, som gør det muligt at henføre de bemærkninger, der er fremsendt til Deloitte, til den registrerede, således at disse bemærkninger bevarer deres personlige karakter for denne på trods af pseudonymiseringen.

77

Med hensyn til Deloitte, hvortil Afviklingsinstansen fremsendte de pseudonymiserede bemærkninger, kan de i artikel 3, nr. 6), i forordning 2018/1725 omhandlede tekniske og organisatoriske foranstaltninger, som denne instans har gjort gældende, bevirke, at disse bemærkninger ikke er personoplysninger for dette selskab. For det første forudsætter dette imidlertid, at Deloitte ikke kan fjerne disse foranstaltninger under den behandling af nævnte bemærkninger, som foretages under dennes kontrol. For det andet skal nævnte foranstaltninger faktisk kunne hindre Deloitte i at henføre disse bemærkninger til den registrerede ved ligeledes at anvende andre midler til identifikation såsom en sammenstilling med andre elementer, således at den registrerede ikke eller ikke længere kan identificeres af dette selskab.

78

Denne fortolkning understøttes af 16. betragtning til forordning 2018/1725, hvori det, efter at det i første punktum er anført, at »[p]rincipperne om databeskyttelse bør gælde for alle oplysninger om en identificeret eller identificerbar fysisk person«, i andet punktum anføres, at »[p]ersonoplysninger, der har været genstand for pseudonymisering, og som kan henføres til en fysisk person ved brug af supplerende oplysninger, bør anses for at være oplysninger om en identificerbar fysisk person«.

79

Efter disse angivelser om personoplysninger og pseudonymiserede oplysninger præciseres det nemlig i denne betragtnings tredje punktum, at for at afgøre, om en fysisk person er identificerbar, bør »alle midler tages i betragtning, der med rimelighed« kan anvendes af den dataansvarlige i behandlingen eller af »en anden person« til »direkte eller indirekte« at identificere den fysiske person. Det fremgår endvidere af denne betragtnings fjerde punktum, at for at fastslå, om midler med rimelighed kan tænkes bragt i anvendelse til at identificere en fysisk person, bør »alle objektive forhold tages i betragtning, såsom de omkostninger og den tid, der er nødvendig til identifikation, under hensyntagen til den tilgængelige teknologi på behandlingstidspunktet og den teknologiske udvikling«.

80

Som generaladvokaten i det væsentlige har anført i punkt 51 i forslaget til afgørelse, fratages disse præciseringer om vurderingen af, om den registrerede er identificerbar, enhver effektiv virkning, hvis pseudonymiserede oplysninger i alle tilfælde og for enhver anses for at udgøre personoplysninger med henblik på anvendelsen af forordning 2018/1725.

81

Det skal i denne henseende bemærkes, at med hensyn til en pressemeddelelse, som indeholdt et vist antal indikationer om en person uden at udpege vedkommende ved navn, fastslog Domstolen i sin dom af 7. marts 2024, OC mod Kommissionen (C-479/22 P, EU:C:2024:215, præmis 52-64), ikke blot, at det EU-organ, som havde offentliggjort denne pressemeddelelse, rådede over samtlige oplysninger, der gjorde det muligt at identificere denne person, men undersøgte ligeledes, om indikationerne i nævnte pressemeddelelse med rimelighed gjorde det muligt for den berørte offentlighed at identificere personen, bl.a. ved at kombinere disse indikationer med tilgængelige oplysninger på internettet.

82

Domstolen har endvidere allerede fastslået, at et middel ikke med rimelighed kan tænkes bragt i anvendelse til at identificere den registrerede, når risikoen for en identificering i virkeligheden er ubetydelig, for så vidt som identificeringen af denne person er forbudt ved lov eller praktisk ugennemførlig, f.eks. på grund af det forhold, at den vil indebære en større indsats i tid, omkostninger og arbejde (jf. i denne retning dom af 7.3.2024, OC mod Kommissionen,C-479/22 P, EU:C:2024:215, præmis 51 og den deri nævnte retspraksis). Denne retspraksis underbygger fortolkningen, hvorefter eksistensen af supplerende oplysninger, der gør det muligt at identificere den registrerede, ikke i sig selv indebærer, at de pseudonymiserede oplysninger i alle tilfælde og for enhver skal anses for at udgøre personoplysninger med henblik på anvendelsen af forordning 2018/1725.

83

I samme ånd har Domstolen bl.a. i dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779, præmis 44, 47 og 48), og af 7. marts 2024, IAB Europe (C-604/22, EU:C:2024:214, præmis 43 og 48), i det væsentlige fastslået, at oplysninger, der i sig selv er upersonlige, og som indsamles og behandles af den dataansvarlige, alligevel var knyttet til en identificerbar person, hvis den dataansvarlige rådede over retsmidler til fra andre at indhente supplerende oplysninger, der gjorde det muligt at identificere denne person. På denne baggrund kunne den omstændighed, at forskellige personer besad oplysninger, der gjorde det muligt at identificere den registrerede, ikke effektivt hindre identifikationen af vedkommende, således at denne person ikke var identificerbar for den dataansvarlige.

84

Det følger navnlig af retspraksis efter dom af 9. november 2023, Gesamtverband Autoteile-Handel (Adgang til oplysninger om køretøjer) (C-319/22, EU:C:2023:837, præmis 46 og 49), at oplysninger, der i sig selv er upersonlige, kan blive »personoplysninger«, når den dataansvarlige stiller dem til rådighed for andre personer, som råder over midler, der med rimelighed kan gøre det muligt at identificere den registrerede. Det følger navnlig af sidstnævnte dom, at disse oplysninger i en sammenhæng, hvor de stilles til rådighed, har personlig karakter både for disse personer og indirekte for den dataansvarlige.

85

Henset til den retspraksis, der er nævnt i den foregående præmis, har EDPS således med urette gjort gældende, at den omstændighed, at de pseudonymiserede oplysninger i givet fald ikke har personlig karakter for de personer, hvortil den dataansvarlige overfører pseudonymiserede oplysninger, gør det muligt uberettiget at unddrage disse oplysninger fra anvendelsesområdet for EU-retten på området for beskyttelse af personoplysninger. Det følger nemlig af retspraksis, at nævnte omstændighed ikke har indvirkning på vurderingen af disse oplysningers personlige karakter, bl.a. hvis de senere overføres til tredjemand. For så vidt som det ikke er udelukket, at tredjemand med midler såsom sammenstilling med andre oplysninger, som vedkommende råder over, med rimelighed kan henføre de pseudonymiserede oplysninger til den registrerede, skal sidstnævnte anses for identificerbar hvad angår denne overførsel såvel som nævnte tredjemands efterfølgende behandling af disse oplysninger. På denne baggrund skal de pseudonymiserede oplysninger anses for at være af personlig karakter.

86

Det følger heraf, at de pseudonymiserede oplysninger i modsætning til, hvad EDPS har gjort gældende, ikke skal anses for i alle tilfælde og for enhver at udgøre personoplysninger med henblik på anvendelsen af forordning 2018/1725, for så vidt som pseudonymiseringen alt efter omstændighederne i den foreliggende sag faktisk kan hindre andre personer end den dataansvarlige i at identificere den registrerede, således at vedkommende ikke eller ikke længere kan identificeres af disse.

87

Denne fortolkning drages ikke i tvivl af den af EDPS anførte omstændighed, hvorefter 16. betragtning, fjerde punktum, til forordning 2018/1725 tager sigte på den dataansvarlige eller »en anden person«. Det følger nemlig af ordlyden af dette punktum, som er anført i nærværende doms præmis 79, at der i dette punktum henvises til personer, som råder over eller kan tilgå midler, der med rimelighed kan tænkes at blive brugt til at identificere den registrerede. Som det er anført i nærværende doms præmis 75-77, kan pseudonymiseringen alt efter omstændighederne i den foreliggende sag faktisk hindre andre personer end den dataansvarlige i at identificere den registrerede, således at vedkommende ikke eller ikke længere kan identificeres af disse.

88

Hvad angår det af EDPS anførte argument om formålet med at sikre et højt beskyttelsesniveau af personoplysninger, forholder det sig således, at selv om ordlyden af artikel 3, nr. 1), i forordning 2018/1725 afspejler EU-lovgivers hensigt om at give begrebet »personoplysninger« en bred betydning, er dette begreb ikke ubegrænset, eftersom denne bestemmelse bl.a. kræver, at den registrerede er identificeret eller identificerbar.

89

Som generaladvokaten har anført i punkt 58 i forslaget til afgørelse, indeholder forordning 2018/1725 forpligtelser, såsom den i denne forordnings artikel 15 fastsatte forpligtelse til at give den registrerede oplysninger, hvis overholdelse forudsætter, at den registrerede identificeres. Sådanne forpligtelser kan ikke pålægges en enhed, der på ingen måde kan foretage denne identifikation.

90

Det første anbringendes andet leds første klagepunkt skal dermed forkastes som ugrundet.

91

Med det første anbringendes andet leds andet klagepunkt har EDPS gjort gældende, at Retten tilsidesatte den retspraksis, der følger af dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779).

92

For det første tilsidesatte Retten den objektive karakter af betingelsen om, at den registrerede skal være »identificerbar«, idet den i den appellerede doms præmis 97, 99 og 100 bl.a. fastslog, at EDPS skulle have undersøgt, om de bemærkninger, der blev fremsendt til Deloitte, udgjorde personoplysninger ud fra sidstnævntes synspunkt. Ifølge EDPS fremgår det nemlig af præmis 47 og 48 i dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), at selve eksistensen af lovlige metoder, der gør det muligt at identificere en person, er tilstrækkelig til at konkludere, at denne person er identificerbar. I det foreliggende tilfælde kunne Afviklingsinstansen identificere de registrerede, hvilket Retten ikke tog tilstrækkeligt hensyn til som led i anvendelsen af den retspraksis, der følger af nævnte dom.

93

For det andet har EDPS gjort gældende, at spørgsmålet, om den registrerede var identificerbar eller ej, i den nævnte dom blev vurderet ud fra den dataansvarliges synspunkt, selv om der ikke var noget forhold mellem denne dataansvarlige og de enheder, som rådede over supplerende oplysninger, der gjorde det muligt at identificere denne person. I det foreliggende tilfælde var Deloitte derimod ikke dataansvarlig og var desuden bundet af en aftale med Afviklingsinstansen. Henset til disse forskelle har EDPS anført, at appellanten ikke skulle foretage en fuldstændig vurdering af de midler, der med rimelighed kunne tænkes at gøre det muligt for Deloitte at identificere de registrerede.

94

Såfremt EDPS alligevel havde pligt til at vurdere, om Deloitte kunne identificere ophavsmændene til de bemærkninger, som var blevet fremsendt til dette selskab, har appellanten under alle omstændigheder gjort gældende, at intet var til hinder for, at Deloitte foretog denne identifikation.

95

Afviklingsinstansen har, støttet af Kommissionen, bestridt denne argumentation.

96

For det første støttede Retten sig i den appellerede doms præmis 96, 97 og 100 med føje bl.a. på en fremgangsmåde, hvorefter spørgsmålet, om den registrerede er identificerbar, skal undersøges i forhold til hver person og hver berørte dataansvarlige, som behandler de relevante oplysninger. I forbindelse med den oplysningspligt, der er fastsat i artikel 15, stk. 1, litra d), forordning 2018/1725, skal denne undersøgelse tage udgangspunkt i perspektivet for modtageren af de omhandlede oplysninger.

97

For det andet har Afviklingsinstansen gjort gældende, at argumentationen om de angivelige forskelle mellem nærværende sag og den sag, der gav anledning til dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), skal afvises. Denne instans har anført, at denne argumentation rejser tvivl om Rettens faktuelle konstateringer i den appellerede doms præmis 94 og 95, hvorefter Deloitte ikke havde adgang til de identificerende oplysninger, der var nødvendige for at identificere klagerne.

98

I den appellerede doms præmis 97-100 fastslog Retten i det væsentlige, at EDPS i medfør af den retspraksis, der følger af dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), skulle have undersøgt, om de bemærkninger, der blev fremsendt til Deloitte, udgjorde personoplysninger efter sidstnævntes synspunkt. For at fastslå dette anførte Retten bl.a., at den tilsidesættelse af artikel 15, stk. 1, litra d), i forordning 2018/1725, som EDPS fastslog i den omtvistede afgørelse, vedrørte Afviklingsinstansens overførsel af disse bemærkninger til Deloitte og ikke blot Afviklingsinstansens besiddelse af disse bemærkninger.

99

Det skal indledningsvis bemærkes, at artikel 3, nr. 1), i forordning 2018/1725 ikke udtrykkeligt præciserer det relevante perspektiv for at vurdere, om den registrerede er identificerbar, mens der i 16. betragtning til denne forordning uden sondring henvises til den »dataansvarlige« eller »en anden person«. Det følger endvidere af fast retspraksis, at det, for at en oplysning kan kvalificeres som »personoplysning«, ikke er påkrævet, at alle de oplysninger, der gør det muligt at identificere den registrerede, skal befinde sig hos en enkelt person (jf. i denne retning dom af 19.10.2016, Breyer,C-582/14, EU:C:2016:779, præmis 43, og af 7.3.2024, OC mod Kommissionen,C-479/22 P, EU:C:2024:215, præmis 48).

100

Ifølge retspraksis efter bl.a. dom af 19. oktober 2016, Breyer (C-582/14, EU:C:2016:779), der er nævnt i nærværende doms præmis 81-84, afhænger det relevante perspektiv for vurderingen af, om den registrerede er identificerbar, hovedsageligt af de omstændigheder, der kendetegner behandlingen af oplysningerne i det konkrete tilfælde.

101

I det foreliggende tilfælde skal det bemærkes, at EDPS i den omtvistede afgørelse, idet denne i den fortrolighedserklæring, der blev fremlagt under indsamlingen af bemærkningerne, ikke havde omtalt Deloitte som potentiel modtager af disse bemærkninger, konstaterede, at Afviklingsinstansen havde tilsidesat sin oplysningspligt i medfør af artikel 15, stk. 1, litra d), i forordning 2018/1725.

102

Denne forordnings artikel 15, stk. 1, fastlægger de oplysninger, som den dataansvarlige skal meddele den registrerede ved indsamling af personoplysninger hos denne registrerede, idet det præciseres, at disse oplysninger skal meddeles denne person »på det tidspunkt, hvor personoplysningerne indsamles«. Det fremgår af ordlyden af denne bestemmelse, at den dataansvarlige skal meddele disse oplysninger øjeblikkeligt, dvs. på tidspunktet for indsamlingen af oplysningerne (jf. analogt dom af 29.7.2019, Fashion ID,C-40/17, EU:C:2019:629, præmis 104 og den deri nævnte retspraksis).

103

Hvad nærmere bestemt angår oplysninger om de eventuelle modtagere af personoplysninger som omhandlet i nævnte forordnings artikel 15, stk. 1, litra d), er der tale om oplysninger, der sammen med andre skal meddeles ved indsamlingen af oplysninger hos den registrerede.

104

Artikel 14, stk. 1, i forordning 2018/1725 bestemmer, at den dataansvarlige træffer passende foranstaltninger til bl.a. at give oplysningerne omhandlet i denne forordnings artikel 15 til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, for at gøre det muligt for denne person at opnå fuld forståelse af de fremsendte oplysninger (jf. analogt dom af 4.5.2023, Österreichische Datenschutzbehörde og CRIF, C-487/21, EU:C:2023:369, præmis 38, og af 11.7.2024, Meta Platforms Ireland (Gruppesøgsmål),C-757/22, EU:C:2024:598, præmis 55 og 56).

105

Vigtigheden af at overholde en sådan oplysningspligt bekræftes ligeledes af 35. betragtning til forordning 2018/1725, i hvis første og andet punktum det anføres, at principperne om rimelig og gennemsigtig behandling kræver, at den registrerede underrettes om behandlingsaktiviteters eksistens og deres formål, idet det fremhæves, at den dataansvarlige bør give eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under, som det er fastsat i denne forordnings artikel 15, stk. 2 (jf. analogt dom af 11.7.2024, Meta Platforms Ireland (Gruppesøgsmål),C-757/22, EU:C:2024:598, præmis 57 og den deri nævnte retspraksis).

106

Når indsamlingen af sådanne oplysninger hos den registrerede – som i det foreliggende tilfælde under proceduren vedrørende retten til at blive hørt – er baseret på denne persons samtykke, afhænger gyldigheden af det samtykke, som denne person har afgivet, således bl.a. af, om vedkommende på forhånd har modtaget oplysninger i lyset af alle omstændighederne i forbindelse med behandlingen af de omhandlede oplysninger, som den registrerede havde ret til i henhold til artikel 15 i forordning 2018/1725, og som sikrer, at dette samtykke gives med fuldt kendskab til følgerne (jf. analogt dom af 11.7.2024, Meta Platforms Ireland (Gruppesøgsmål),C-757/22, EU:C:2024:598, præmis 60).

107

Hvad angår det tilfælde, hvor den registrerede har pligt til at meddele den dataansvarlige personoplysninger, præciseres det endvidere i 35. betragtning, fjerde punktum, til denne forordning, at den registrerede bør underrettes om, hvorvidt den pågældende er forpligtet til at meddele disse personoplysninger, og om konsekvenserne, hvis vedkommende ikke meddeler sådanne oplysninger, hvilket understøtter betydningen af den ved nævnte forordnings artikel 15 påkrævede underretning på selve det tidspunkt, hvor oplysningerne indsamles hos den registrerede.

108

På denne baggrund ses det, at forpligtelsen til på tidspunktet for indsamlingen af personoplysninger med forbindelse til den registrerede at oplyse denne registrerede om de eventuelle modtagere af disse oplysninger bl.a. tilsigter at gøre det muligt for denne person med fuldt kendskab til følgerne at beslutte, om vedkommende vil meddele eller tværtimod afvise at meddele sine personoplysninger, der indsamles hos denne.

109

Det skal tilføjes, som Kommissionen i det væsentlige har gjort gældende i retsmødet, at oplysninger om eventuelle modtagere ganske vist ligeledes er uundværlige for, at den registrerede senere kan varetage sine rettigheder i forhold til disse modtagere. Forpligtelsen til at meddele denne oplysning på tidspunktet for indsamlingen af personoplysninger sikrer imidlertid bl.a., at den dataansvarlige ikke indsamler disse oplysninger mod den registreredes vilje, eller at de mod dennes ønske fremsendes til tredjemand.

110

Det følger heraf, som generaladvokaten har anført i punkt 69 i forslaget til afgørelse, at den oplysningspligt, der er fastsat i artikel 15, stk. 1, litra d), i forordning 2018/1725, indgår i det eksisterende retsforhold mellem den registrerede og den dataansvarlige, og at denne pligt derfor vedrører oplysninger med forbindelse til denne registrerede, som de overgives til denne dataansvarlige og altså inden enhver overførsel til tredjemand.

111

Det skal dermed fastslås, at med henblik på anvendelsen af den oplysningspligt, der er fastsat i artikel 15, stk. 1, litra d), i forordning 2018/1725, skal spørgsmålet, om den registrerede er identificerbar, vurderes på tidspunktet for indsamlingen af oplysningerne og ud fra den dataansvarliges synspunkt.

112

Det følger heraf, som generaladvokaten i det væsentlige har anført i punkt 79 i forslaget til afgørelse, at den oplysningspligt, der påhviler Afviklingsinstansen, i det foreliggende tilfælde fandt anvendelse før overførslen af de omhandlede bemærkninger, og uafhængigt af, om disse bemærkninger ud fra Deloittes synspunkt var personoplysninger eller ej, efter den eventuelle pseudonymisering heraf.

113

Denne fortolkning drages ikke i tvivl af Afviklingsinstansens argument om ordlyden af artikel 15, stk. 1, litra d), i forordning 2018/1725, hvori henvises til »modtagere af personoplysningerne«. Som det fremgår af nærværende doms præmis 102-108, regulerer denne bestemmelse nemlig den oplysningspligt, der påhviler den dataansvarlige på tidspunktet for indsamlingen af sådanne oplysninger. Spørgsmålet om, hvorvidt den dataansvarlige på dette tidspunkt har overholdt sin oplysningspligt, kan ikke afhænge af de muligheder, som en eventuel modtager i givet fald vil have for at identificere den registrerede efter en senere overførsel af de pågældende oplysninger.

114

Som generaladvokaten i det væsentlige har anført i punkt 77 i forslaget til afgørelse, medfører Afviklingsinstansens argumentation om, at der skal tages udgangspunkt i modtagerens synspunkt for at kontrollere, om denne oplysningspligt er overholdt, at denne kontrol udsættes. For så vidt som nævnte kontrol nødvendigvis vedrører personoplysninger, der allerede er overført til modtageren, er denne argumentation ligeledes i strid med formålet med oplysningspligten, som er uløseligt forbundet med forholdet mellem den dataansvarlige og den registrerede.

115

Retten begik dermed en retlig fejl ved i den appellerede doms præmis 97, 98, 100, 101 og 103-105 at fastslå, at EDPS for at vurdere, om Afviklingsinstansen havde overholdt sin oplysningspligt i medfør af artikel 15, stk. 1, litra d), i forordning 2018/1725, skulle have vurderet, om de bemærkninger, der blev fremsendt til Deloitte, ud fra sidstnævntes synspunkt udgjorde personoplysninger.

116

Det følger heraf, at det første anbringendes andet led skal tages til følge, uden at det er fornødent at undersøge EDPS’ argumenter, der er gengivet i nærværende doms præmis 93 og 94.

117

Eftersom det første appelanbringendes første led og dette anbringendes andet leds andet klagepunkt kan tiltrædes, er det ufornødent at undersøge EDPS’ andet anbringende om en tilsidesættelse af artikel 4, stk. 2, og artikel 26, stk. 1, i forordning 2018/1725.

118

Eftersom det første appelanbringende således er blevet taget til følge, skal den appellerede dom ophæves.

119

I overensstemmelse med artikel 61, stk. 1, andet punktum, i statutten for Den Europæiske Unions Domstol kan Domstolen, når den ophæver den af Retten trufne afgørelse, selv træffe endelig afgørelse, hvis sagen er moden til påkendelse.

120

I det foreliggende tilfælde er sagen moden til påkendelse hvad angår det første søgsmålsanbringende om EDPS’ angivelige tilsidesættelse af artikel 3, nr. 1), i forordning 2018/1725, for så vidt som de oplysninger, der blev fremsendt til Deloitte, ikke var personoplysninger. Henset til betragtningerne i nærværende doms præmis 58-60 kunne EDPS for det første uden at begå en retlig fejl nemlig fastslå, at de bemærkninger, der var blevet fremsendt til Deloitte, udgjorde oplysninger om fysiske personer, nemlig ophavsmændene til disse bemærkninger. For det andet skal vurderingen af, om den registrerede er identificerbar, som det er anført i denne doms præmis 111, i forbindelse med anvendelsen af den oplysningspligt, der er fastsat i denne forordnings artikel 15, stk. 1, litra d), foretages med udgangspunkt i den dataansvarliges synspunkt. Der er enighed mellem parterne om, at Afviklingsinstansen som dataansvarlig rådede over alle de oplysninger, der var nødvendige for at identificere ophavsmændene til nævnte bemærkninger. Det følger af det ovenstående, at de omtvistede oplysninger i modsætning til, hvad Afviklingsinstansen har gjort gældende, udgør personoplysninger. Det første søgsmålsanbringende skal dermed forkastes som ugrundet.

121

Sagen er derimod ikke moden til påkendelse hvad angår det andet søgsmålsanbringende, eftersom dette anbringende indebærer faktuelle bedømmelser, som Retten ikke har foretaget.

122

Følgelig hjemvises sagen til Retten med henblik på undersøgelsen af det andet anbringende.

123

Da sagen hjemvises til Retten, skal spørgsmålet om sagsomkostningerne i forbindelse med appelsagen udsættes.

På grundlag af disse præmisser udtaler og bestemmer Domstolen (Første Afdeling):