1

Svojom žalbom Europski nadzornik za zaštitu podataka (EDPS) zahtijeva ukidanje presude Općeg suda Europske unije od 26. travnja 2023., SRB/EDPS (T‑557/20, u daljnjem tekstu: pobijana presuda, EU:T:2023:219), kojom je taj sud poništio izmijenjenu odluku EDPS‑a od 24. studenoga 2020., donesenu nakon zahtjeva za preispitivanje koji je podnio Jedinstveni sanacijski odbor (SRB) EDPS‑ove odluke od 24. lipnja 2020. koja se odnosila na pet pritužbi koje je podnijelo nekoliko žalitelja (predmeti 2019‑947, 2019‑998, 2019‑999, 2019‑1000 i 2019‑1122) (u daljnjem tekstu: sporna odluka).

2

U uvodnim izjavama 5., 16., 17. i 35. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća od 23. listopada 2018. o zaštiti pojedinaca u vezi s obradom osobnih podataka u institucijama, tijelima, uredima i agencijama Unije i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Uredbe (EZ) br. 45/2001 i Odluke br. 1247/2002/EZ (SL 2018., L 295, str. 39.) navodi se:

[…]

[…]

3

Članak 3. točke 1., 6., 8. i 13. Uredbe 2018/1725 glasi kako slijedi:

„Za potrebe ove Uredbe primjenjuju se sljedeće definicije:

[…]

[…]

[…]

4

Člankom 4. te direktive, naslovljenim „Načela obrade osobnih podataka”, u stavku 2. određuje se:

„Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora moći dokazati (‚pouzdanost’).”

5

U stavku 1. članka 14. te uredbe naslovljenog „Transparentne informacije, komunikacija i modaliteti za ostvarivanje prava ispitanika” navodi se:

„Voditelj obrade poduzima odgovarajuće mjere kako bi se ispitaniku pružile sve informacije iz članaka 15. i 16. i sva komunikacija iz članaka od 17. do 24. i članka 35. u vezi s obradom u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, osobito za svaku informaciju koja je posebno namijenjena djetetu. Informacije se pružaju u pisanom obliku ili drugim sredstvima, uključujući prema potrebi elektroničkim putem. Ako to zatraži ispitanik, informacije se mogu pružiti usmenim putem, pod uvjetom da je identitet ispitanika utvrđen drugim sredstvima.”

6

Članak 15. te uredbe, naslovljen „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, predviđa:

„1.   Ako se osobni podaci koji se odnose na ispitanika prikupljaju od tog ispitanika, voditelj obrade u trenutku prikupljanja osobnih podataka predmetnom ispitaniku pruža sve sljedeće informacije:

[…]

[…]

2.   Osim informacija iz stavka 1., voditelj obrade u trenutku kada se osobni podaci prikupljaju pruža ispitaniku sljedeće dodatne informacije potrebne kako bi se osigurala poštena i transparentna obrada:

[…]

[…]”

7

Člankom 24. Uredbe 2018/1725 utvrđuju se uvjeti pod kojima se pojedinačna odluka može temeljiti na automatiziranoj obradi, uključujući izradi profila.

8

Članak 26. navedene uredbe, naslovljen „Obveze voditelja obrade”, u stavku 1. navodi:

„Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom uredbom. Te se mjere prema potrebi preispituju i ažuriraju.”

9

Okolnosti spora iznesene su u točkama 2. do 32. pobijane presude i mogu se sažeti kako slijedi.

10

Izvršna sjednica SRB‑a donijela je 7. lipnja 2017. Odluku SRB/EES/2017/08 o sanacijskom programu za društvo Banco Popular Español, SA na temelju Uredbe (EU) br. 806/2014 Europskog parlamenta i Vijeća od 15. srpnja 2014. o utvrđivanju jedinstvenih pravila i jedinstvenog postupka za sanaciju kreditnih institucija i određenih investicijskih društava u okviru jedinstvenog sanacijskog mehanizma i jedinstvenog fonda za sanaciju te o izmjeni Uredbe (EU) br. 1093/2010 (SL 2014., L 225, str. 1. i ispravak SL 2015., L 101, str. 62.) (u daljnjem tekstu: Uredba o jedinstvenom sanacijskom mehanizmu).

11

U toj odluci, smatrajući da su ispunjeni uvjeti predviđeni člankom 18. stavkom 1. Uredbe o jedinstvenom sanacijskom mehanizmu, SRB je odlučio provesti sanacijski postupak nad društvom Banco Popular Español SA (u daljnjem tekstu: društvo Banco Popular). Tako je SRB odlučio otpisati i konvertirati instrumente kapitala društva Banco Popular na temelju članka 21. navedene uredbe i primijeniti instrument prodaje poslovanja na temelju članka 24. iste uredbe prijenosom dionica na stjecatelja.

12

Istog je dana Europska komisija donijela Odluku (EU) 2017/1246 o potvrđivanju sanacijskog programa za društvo Banco Popular Español SA (SL 2017., L 178, str. 15.).

13

Nakon sanacije društva Banco Popular SRB je zadužio društvo za reviziju i savjetovanje Deloitte da provede vrednovanje razlike u postupanju predviđene člankom 20. stavcima 16. do 18. Uredbe o jedinstvenom sanacijskom mehanizmu, kako bi se utvrdilo bi li se prema dioničarima i vjerovnicima društva Banco Popular bolje postupalo da je nad njime proveden redovni postupak u slučaju insolventnosti (u daljnjem tekstu: vrednovanje 3). To je vrednovanje navedeno društvo dostavilo SRB‑u 14. lipnja 2018.

14

Dana 6. kolovoza 2018. SRB je na svojoj internetskoj stranici objavio Obavijest od 2. kolovoza 2018. koja se odnosila na njegovu preliminarnu odluku o tome treba li isplatiti odštetu dioničarima i vjerovnicima u odnosu na koje su poduzete mjere sanacije povezane s društvom Banco Popular Español SA i pokretanje postupka za ostvarenje prava na saslušanje (SRB/EES/2018/132) (u daljnjem tekstu: preliminarna odluka) kao i verziju vrednovanja 3 koja nije klasificirana oznakom tajnosti. Objava o SRB‑ovoj Obavijesti objavljena je 7. kolovoza 2018. u Službenom listu Europske unije (SL 2018., C 277 I, str. 1.).

15

SRB je u preliminarnoj odluci naveo da, kako bi mu se omogućilo da donese konačnu odluku o tome treba li isplatiti odštetu dioničarima i vjerovnicima pogođenima sanacijom društva Banco Popular (u daljnjem tekstu: pogođeni dioničari i vjerovnici) na temelju članka 76. stavka 1. točke (e) Uredbe o jedinstvenom sanacijskom mehanizmu, poziva te dioničare i vjerovnike da iskažu svoj interes za ostvarenje prava na saslušanje u skladu s člankom 41. stavkom 2. točkom (a) Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja).

16

Prema naznakama koje se nalaze u preliminarnoj odluci postupak u vezi s pravom na saslušanje trebao se odviti u dvije faze.

17

U prvoj fazi (u daljnjem tekstu: faza prijave) pogođeni dioničari i vjerovnici pozvani su da do 14. rujna 2018. putem internetskog obrasca za upis iskažu svoj interes za ostvarenje prava na saslušanje. U toj fazi, pogođeni dioničari i vjerovnici koji su željeli ostvariti svoje pravo na saslušanje morali su SRB‑u dostaviti dokaze o tome da su na dan sanacije društva Banco Popular držali jedan ili više instrumenata kapitala tog društva koji su otpisani ili konvertirani i preneseni na društvo Banco Santander SA u okviru sanacije. Popratni dokumenti koje je trebalo dostaviti sadržavali su identifikacijsku ispravu i dokaz o vlasništvu nad jednim od tih instrumenata kapitala na dan 6. lipnja 2017. Potom je SRB trebao provjeriti je li svaka osoba koja je iskazala svoj interes zaista imala status pogođenog dioničara ili vjerovnika.

18

Na dan otvaranja faze prijave, 6. kolovoza 2018., SRB je na internetskoj stranici prijave u postupak u vezi s pravom na saslušanje i na svojoj internetskoj stranici objavio i izjavu o povjerljivosti u pogledu obrade osobnih podataka u okviru tog postupka (u daljnjem tekstu: izjava o povjerljivosti).

19

U drugoj fazi (u daljnjem tekstu: faza savjetovanja) osobe čiji je status pogođenih dioničara i vjerovnika SRB provjerio mogle su podnijeti svoja očitovanja na preliminarnu odluku, kojoj je priloženo vrednovanje 3. SRB je 16. listopada 2018. na svojoj internetskoj stranici objavio da će počevši od 6. studenoga 2018. u fazi savjetovanja pogođeni dioničari i vjerovnici biti pozvani da podnesu svoja pisana očitovanja o preliminarnoj odluci.

20

Dana 6. studenoga 2018. SRB je porukom elektroničke pošte pogođenim dioničarima i vjerovnicima poslao jedinstvenu osobnu poveznicu koja im je omogućavala da na internetu pristupe obrascu, koji je sadržavao sedam pitanja, s ograničenim prostorom za odgovor, koji je dioničarima i vjerovnicima omogućavao da do 26. studenoga 2018. podnesu očitovanja na preliminarnu odluku i na verziju vrednovanja 3 koja nije klasificirana oznakom tajnosti.

21

SRB je ispitao relevantna očitovanja pogođenih dioničara i vjerovnika u pogledu preliminarne odluke. Od društva Deloitte, u njegovu svojstvu neovisnog procjenitelja, zatražio je da ocijeni relevantna očitovanja koja se odnose na vrednovanje 3, da mu dostavi dokument koji sadržava njegovu procjenu i da ispita je li vrednovanje 3 i dalje valjano s obzirom na ta očitovanja.

22

Podaci prikupljeni u fazi prijave, odnosno dokazi o identitetu pogođenih dioničara i vjerovnika kao i o vlasništvu nad otpisanim ili konvertiranim i prenesenim instrumentima kapitala društva Banco Popular bili su dostupni ograničenom broju članova SRB‑ova osoblja, odnosno onima zaduženima za obradu tih podataka kako bi se utvrdilo ispunjavaju li dioničari i vjerovnici uvjete za naknadu štete.

23

Osoblje SRB‑a zaduženo za obradu očitovanja primljenih tijekom faze savjetovanja nije imalo pristup ni podacima prikupljenima u fazi prijave, tako da su ta očitovanja bila odvojena od osobnih podataka koji se odnose na pogođene dioničare i vjerovnike koji su ih podnijeli, ni podatkovnom ključu ili informacijama koji omogućuju pronalaženje identiteta nekog od pogođenih dioničara ili vjerovnika upućivanjem na jedinstveni alfanumerički kod dodijeljen svakom očitovanju podnesenom putem formulara. Taj alfanumerički kod sastojao se od jedinstvenog univerzalnog identifikatora od 33 znamenke, nasumično generiranog u trenutku primitka odgovora na obrazac.

24

U prvoj fazi SRB je proveo automatsko filtriranje 23822 očitovanja – od kojih svako nosi jedinstveni alfanumerički kod – koja je podnijelo 2855 sudionika u postupku. Na temelju dvaju algoritama utvrđeno je da je 20101 komentar istovjetan. U tom slučaju, prvo podneseno očitovanje smatralo se izvornim očitovanjem o kojem se raspravljalo u fazi analize, a kasnije zaprimljena istovjetna očitovanja razvrstana su u dvostruke unose.

25

U drugoj fazi SRB je utvrdio podnesena očitovanja koja su obuhvaćena područjem primjene postupka koji se odnosi na pravo na saslušanje jer su mogla utjecati na preliminarnu odluku ili na vrednovanje 3. Potom je podijelio ta očitovanja između onih koja je trebao ispitati SRB, jer su se odnosila na preliminarnu odluku, i onih koja je trebalo ispitati društvo Deloitte, jer su se odnosila na vrednovanje 3. Na kraju te faze SRB je utvrdio 3730 očitovanja, koja je razvrstao prema njihovoj relevantnosti i temi.

26

U trećoj fazi, SRB je obradio očitovanja koja se odnose na preliminarnu odluku, a ona koja se odnose na vrednovanje 3, odnosno 1104 očitovanja, proslijeđena su društvu Deloitte 17. lipnja 2019. putem SRB‑ova sigurnog virtualnog poslužitelja podataka. SRB je učitao datoteke koje je trebalo dostaviti društvu Deloitte na virtualni poslužitelj te je omogućio pristup tim datotekama ograničenom broju članova Deloitteova osoblja, odnosno onima koji su bili izravno uključeni u ispitivanje očitovanja koja su se odnosila na vrednovanje 3.

27

Očitovanja koja su proslijeđena društvu Deloitte bila su filtrirana, kategorizirana i agregirana. Ako je bila riječ samo o preslikama prethodnih očitovanja, društvu Deloitte proslijeđena je samo jedna verzija, tako da se u okviru iste teme nije moglo razlikovati među pojedinačnim očitovanjima koja su bila dvostruki unosi, a društvo Deloitte nije moglo znati je li očitovanje sastavio jedan ili više sudionika u postupku o pravu na saslušanje.

28

Očitovanja proslijeđena društvu Deloitte bila su samo ona zaprimljena u fazi savjetovanja i sadržavala su alfanumerički kod. Međutim, SRB je bio jedini koji je pomoću tog koda mogao povezati očitovanja i podatke, osobito identifikacijske podatke autora očitovanja, zaprimljene tijekom faze prijave. Alfanumerički kod razvijen je za potrebe revizije kako bi se omogućili provjera i moguće dokazivanje, u sudskom postupku, da je svako očitovanje obrađeno i pravilno uzeto u obzir. Društvo Deloitte nije imalo pristup bazi podataka prikupljenih u fazi prijave ni tijekom postupka koji se odnosi na pravo na saslušanje, te joj još uvijek nije imalo pristup ni na dan objave pobijane presude.

29

Tijekom listopada i prosinca 2019. pogođeni dioničari i vjerovnici koji su odgovorili na obrazac proslijedili su EDPS‑u pet pritužbi na temelju Uredbe 2018/1725. Tim pritužbama oni su se pozvali na povredu članka 15. stavka 1. točke (d) te uredbe jer ih SRB nije obavijestio o tome da će podaci prikupljeni putem odgovora na obrazac biti proslijeđeni trećim osobama, odnosno društvima Deloitte i Banco Santander, i to suprotno izjavi o povjerljivosti.

30

Nakon postupka tijekom kojeg je SRB pružio različita objašnjenja na EDPS‑ov zahtjev, a podnositelji pritužbi podnijeli su očitovanja, EDPS je 24. lipnja 2020. donio odluku o pet pritužbi koje je podnijelo nekoliko podnositelja zahtjeva protiv Jedinstvenog sanacijskog odbora (predmeti 2019‑947, 2019‑998, 2019‑999, 2019‑1000 i 2019‑1122) (u daljnjem tekstu: prvotna odluka). EDPS je u toj odluci smatrao da je SRB povrijedio članak 15. Uredbe 2018/1725 time što podnositelje pritužbe u izjavi o povjerljivosti nije obavijestio o mogućnosti prosljeđivanja njihovih osobnih podataka društvu Deloitte. Zbog toga je SRB‑u izdao službenu opomenu za tu povredu na temelju članka 58. stavka 2. točke (b) navedene uredbe.

31

SRB je 22. srpnja 2020. zatražio od EDPS‑a da preispita prvotnu odluku na temelju članka 18. stavka 1. Odluke Europskog nadzornika za zaštitu podataka od 15. svibnja 2020. o usvajanju Poslovnika EDPS‑a (SL 2020., L 204, str. 49.). Dostavio je, među ostalim, detaljan opis postupka u vezi s pravom na saslušanje i analizu očitovanja koja su u fazi savjetovanja podnijela četiri identificirana podnositelja pritužbi. Tvrdio je da informacije proslijeđene društvu Deloitte nisu osobni podaci u smislu članka 3. točke 1. Uredbe 2018/1725.

32

EDPS je 5. kolovoza 2020. obavijestio SRB da je s obzirom na nove dostavljene elemente odlučio preispitati prvotnu odluku i da će donijeti odluku koja će je zamijeniti.

33

Dana 24. studenoga 2020., nakon postupka revizije, tijekom kojeg su podnositelji pritužbi podnijeli primjedbe, a SRB dostavio dodatne informacije na zahtjev EDPS‑a, potonji je donio spornu odluku.

34

Tom je odlukom EDPS prvotnu odluku izmijenio na sljedeći način:

35

Tužbom podnesenom tajništvu Općeg suda 1. rujna 2020. SRB je pokrenuo postupak za, s jedne strane, poništenje sporne odluke i, s druge strane, proglašenje nezakonitosti EDPS‑ove prvotne odluke.

36

U potporu prvoj točki tužbenog zahtjeva SRB je istaknuo dva tužbena razloga, od kojih se prvi temeljio na povredi članka 3. točke 1. Uredbe 2018/1725 jer informacije proslijeđene društvu Deloitte nisu osobni podaci, a drugi na povredi prava na dobru upravu, propisanog člankom 41. Povelje.

37

Pobijanom presudom Opći sud je zbog nenadležnosti odbio drugu točku tužbenog zahtjeva kojom se tražilo da se prvotna odluka proglasi nezakonitom u dijelu u kojem je SRB imao za cilj ishoditi deklaratornu presudu, a ne poništenje akta.

38

Nasuprot tomu, Opći sud je prvu točku tužbenog zahtjeva proglasio dopuštenom. Kad je riječ o meritumu, prihvatio je prvi tužbeni razlog i poništio spornu odluku, a da pritom nije ispitao drugi tužbeni razlog.

39

Odlukom predsjednika Suda od 20. listopada 2023. Europskoj komisiji je dopušteno intervenirati u potporu SRB‑ovu zahtjevu. Europskom odboru za zaštitu podataka je rješenjem predsjednika Suda od 29. studenoga 2023. odobrena intervencija u potporu EDPS‑ovu zahtjevu.

40

EDPS, koji podupire Europski odbor za zaštitu podataka, od Suda zahtijeva da:

41

SRB, koji podupire Komisija, od Suda zahtijeva da:

42

U prilog svojoj žalbi EDPS, koji podupire Europski odbor za zaštitu podataka, ističe dva žalbena razloga, od kojih se prvi temelji na povredi članka 3. točaka 1. i 6. Uredbe 2018/1725, kako ga tumači Sud, a drugi na povredi članka 4. stavka 2. i članka 26. stavka 1. te uredbe.

43

Svojim prvim žalbenim razlogom EDPS u biti tvrdi da je Opći sud počinio pogrešku koja se tiče prava prilikom tumačenja članka 3. točaka 1. i 6. Uredbe 2018/1725, time što je u spornoj odluci pogrešno zaključio da su informacije o kojima je riječ u ovom slučaju osobni podaci. Taj se žalbeni razlog sastoji od dvaju dijelova. Prvi dio odnosi se na uvjet predviđen u članku 3. točki 1. te uredbe, prema kojem se podatak „odnosi” na fizičku osobu, a drugi dio odnosi se na uvjet, predviđen istom odredbom, koji se odnosi na to da se toj osobi „može utvrditi identitet”.

44

Prvim dijelom prvog žalbenog razloga EDPS tvrdi da se, suprotno onomu što je Opći sud presudio u točkama 60. do 74. pobijane presude, podaci proslijeđeni društvu Deloitte odnose na pojedince u smislu članka 3. točke 1. Uredbe 2018/1725.

45

Kao prvo, EDPS tvrdi da, suprotno onomu što proizlazi iz točke 70. pobijane presude, tijela nadležna za zaštitu podataka ne mogu u svakom slučaju biti dužna ispitati sadržaj, svrhu ili učinak podatka, kako bi provjerila odnosi li se on na pojedince. Prema mišljenju EDPS‑a, takvo se ispitivanje ne može, među ostalim, zahtijevati u pogledu očitovanja koja je SRB dostavio društvu Deloitte jer je, prema njegovu mišljenju, bilo jasno da se ta očitovanja „odnose na” pojedince jer se njima izražava osobno stajalište određenih vjerovnika i dioničara društva Banco Popular o njihovu eventualnom pravu na odštetu na temelju članka 76. stavka 1. točke (e) Uredbe o jedinstvenom sanacijskom mehanizmu.

46

Kao drugo, suprotno utvrđenju iz točke 71. pobijane presude, EDPS tvrdi da se, kako bi zaključio da je riječ o osobnim podacima, oslonio ne samo na prirodu očitovanja proslijeđenih društvu Deloitte nego i na okolnost da je alfanumerički kod također bio proslijeđen tom društvu.

47

Kao treće, EDPS tvrdi da je pobijana presuda proturječna jer je Opći sud, s jedne strane, u točki 7. te presude istaknuo da je sam cilj očitovanja proslijeđenih društvu Deloitte bio omogućiti određenim pojedincima, odnosno pogođenim dioničarima i vjerovnicima, da ostvare svoje pravo na saslušanje u svrhu eventualne odštete na temelju članka 76. stavka 1. točke (e) Uredbe o jedinstvenom sanacijskom mehanizmu. U suprotnosti s tim prvim utvrđenjem, Opći sud je, s druge strane, u točki 73. navedene presude presudio da se EDPS oslonio na pretpostavke prema kojima su sva ta očitovanja proslijeđena društvu Deloitte osobni podaci, a da pritom nije dokazao da se ona odnose na pojedince.

48

SRB, koji podupire Komisija, tvrdi da tu argumentaciju treba odbiti.

49

Kao prvo, prema sudskoj praksi koja proizlazi iz presuda od 20. prosinca 2017., Nowak (C‑434/16, EU:C:2017:994, t. 34. i 35.) i od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF (C‑487/21, EU:C:2023:369, t. 23. i 24.), informacije, objektivne ili subjektivne, u obliku mišljenja ili ocjena mogu predstavljati osobne podatke, pod uvjetom da se „odnose” na dotičnu osobu. Usto, u skladu s tom sudskom praksom, informacija se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi ako je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi. Stoga je Opći sud u točkama 70. do 74. pobijane presude pravilno presudio da je EDPS povrijedio navedenu sudsku praksu time što je samo naveo da očitovanja proslijeđena društvu Deloitte odražavaju mišljenja ili stajališta pogođenih dioničara i vjerovnika i stoga nije ispitao jesu li ta očitovanja svojim sadržajem, svrhom ili učinkom povezana s osobom čiji se identitet može utvrditi.

50

Kao drugo, navod EDPS‑a prema kojem priroda navedenih očitovanja kao osobnih podataka nužno proizlazi iz njihove svrhe predstavlja novu činjeničnu tvrdnju koja je prvi put iznesena pred žalbenim sudom i koja je stoga nedopuštena. U svakom slučaju, ta je tvrdnja bespredmetna jer EDPS nije ispitao tu točku u spornoj odluci.

51

Kao treće, kad je riječ o navodnoj proturječnosti obrazloženja između točaka 7. i 73. pobijane presude, SRB tvrdi da opis iz točke 7. te presude ne sadržava nikakvu informaciju o sadržaju, svrsi ili učinku očitovanja dostavljenih društvu Deloitte te, stoga, ne proturječi zaključku navedenom u točki 73. navedene presude.

52

Uvodno valja istaknuti da je definicija pojma „osobni podaci” iz članka 3. točke 1. Uredbe 2018/1725 u biti istovjetna definiciji iz članka 4. točke 1. OUZP‑a, koja pak ima u biti isti doseg kao ona koja se nalazila u članku 2. točki (a) Direktive 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.). Kako bi se zajamčila ujednačena i dosljedna primjena prava Unije, valja dakle osigurati istovjetno tumačenje članka 3. točke 1. Uredbe 2018/1725, članka 4. točke 1. OUZP‑a i članka 2. točke (a) Direktive 95/46 (vidjeti u tom smislu presude od 7. ožujka 2024., OC/Komisija, C‑479/22 P, EU:C:2024:215, t. 43. i od 7. ožujka 2024., IAB Europe, C‑604/22, EU:C:2024:214, t. 33. i navedenu sudsku praksu).

53

Članak 3. točka 1. Uredbe 2018/1725 određuje da su osobni podaci ,,svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi”.

54

Sud je presudio da uporaba izraza „svi podaci” u definiciji pojma „osobni podaci” u toj odredbi i u članku 4. stavku 1. OUZP‑a odražava cilj zakonodavca Unije da tom pojmu dâ široki smisao, koji može obuhvaćati razne vrste podataka, kako objektivnih tako i subjektivnih u obliku mišljenja ili ocjena, pod uvjetom da se oni „odnose” na dotičnu osobu (presude od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 23. i navedena sudska praksa; od 7. ožujka 2024., OC/Komisija, C‑479/22 P, EU:C:2024:215, t. 45. i od 4. listopada 2024., Agencija po vpisvanijata, C‑200/23, EU:C:2024:827, t. 130.).

55

Informacija se odnosi na pojedinca čiji je identitet utvrđen ili se može utvrditi kada je zbog svojeg sadržaja, cilja ili učinka povezana s osobom čiji se identitet može utvrditi (presude od 20. prosinca 2017., Nowak, C‑434/16, EU:C:2017:994, t. 35.; od 7. ožujka 2024., OC/Komisija, C‑479/22 P, EU:C:2024:215, t. 45. i od 7. ožujka 2024., IAB Europe, C‑604/22, EU:C:2024:214, t. 37. i navedena sudska praksa).

56

U ovom slučaju, iako je Opći sud u točki 70. pobijane presude istaknuo da EDPS nije ispitao ni sadržaj, ni svrhu, ni učinak informacija koje proizlaze iz očitovanja podnesenih društvu Deloitte, iz točaka 71. i 72. te presude ipak proizlazi da je utvrđenje da ta očitovanja odražavaju mišljenja ili stajališta ispitanika zahtijevalo da EDPS prethodno ispita sadržaj navedenih očitovanja. Na temelju tog utvrđenja zaključio je da ona predstavljaju podatke koji se odnose na te osobe. Međutim, prema sudskoj praksi navedenoj u točki 55. ove presude, ispitivanje sadržaja informacije ne mora se nužno dopuniti analizom svrhe i učinaka te informacije, kao što to pokazuje upotreba veznika „ili” koji povezuje različite kriterije iz te sudske prakse.

57

Međutim, u točkama 73. i 74. pobijane presude Opći sud smatrao je da EDPS nije mogao kvalificirati informacije koje proizlaze iz očitovanja dostavljenih društvu Deloitte osobnim podacima samo na temelju utvrđenja da je riječ o osobnim mišljenjima ili stajalištima, nego je usto trebao ispitati sadržaj, svrhu i učinak tako iznesenih mišljenja kako bi utvrdio jesu li ona povezana s određenom osobom.

58

Tom se ocjenom Općeg suda zanemaruje posebna priroda mišljenja ili osobnog stajališta koja su, kao izraz mišljenja osobe, nužno usko povezana s tom osobom.

59

Tumačenje iz prethodne točke potvrđuje sudska praksa koja proizlazi iz presude od 20. prosinca 2017., Nowak (C‑434/16, EU:C:2017:994), koja se odnosila, među ostalim, na napomene ispitivača u vezi s pisanim odgovorima kandidata na stručnom ispitu. Naime, iako je Sud u točkama 42. do 44. te presude ocijenio sadržaj, svrhu i učinak tih napomena kako bi utvrdio da su one podaci koji se odnose na kandidata o kojem govore, on je u biti smatrao da se navedene napomene odnose i na ispitivača koji je njihov autor, s obzirom na to da daju njegovo mišljenje ili ocjenu.

60

Iz toga slijedi da je Opći sud počinio pogrešku koja se tiče prava time što je u točkama 73. i 74. pobijane presude presudio da je EDPS, kako bi zaključio da se informacije koje proizlaze iz očitovanja dostavljenih društvu Deloitte „odnose”, u smislu članka 3. točke 1. Uredbe 2018/1725, na osobe koje su podnijele ta očitovanja, trebao ispitati sadržaj, svrhu ili učinke navedenih očitovanja, s obzirom na to da je nesporno da se njima izražava osobno mišljenje ili stajalište njihovih autora.

61

Stoga prvi dio prvog žalbenog razloga treba prihvatiti a da pritom nije potrebno ispitati argumente sažete u točkama 46. i 47. ove presude.

62

Drugim dijelom prvog žalbenog razloga EDPS tvrdi da je Opći sud u točkama 76. do 106. pobijane presude pogrešno presudio da se ne može smatrati da se informacije koje proizlaze iz očitovanja dostavljenih društvu Deloitte odnose na pojedinca „čiji se identitet može utvrditi”, u smislu članka 3. točke 1. Uredbe 2018/1725. Taj se dio sastoji od dvaju različitih prigovora.

63

Najprije, EDPS podsjeća na to da, u skladu s člankom 3. točkom 1. Uredbe 2018/1725, voditelj obrade ili „bilo koja druga osoba” mora biti u mogućnosti identificirati ispitanika na kojeg se odnose informacije o kojima je riječ. Ako ne postoje naznake u pogledu osobe koja mora biti u mogućnosti provesti tu identifikaciju, dovoljno je da se osobu o kojoj je riječ može identificirati. Međutim, u ovom slučaju nije sporno da očitovanja proslijeđena društvu Deloitte, kojima je SRB raspolagao, predstavljaju osobne podatke. Osim toga, iz članka 3. točke 6. te uredbe, u vezi s njezinom uvodnom izjavom 16., proizlazi da pseudonimizirani podaci predstavljaju osobne podatke, i to jednostavno zbog postojanja dodatnih informacija na temelju kojih ih se može pripisati određenoj osobi.

64

Prema mišljenju EDPS‑a, razmatranja iz točaka 90. i 91. pobijane presude ne uzimaju dovoljno u obzir tekst tih odredbi kao ni razliku između anonimizacije i pseudonimizacije. U tom pogledu Europski odbor za zaštitu podataka pojašnjava da bi se, prema tumačenju Općeg suda, narav osobnih podataka promijenila kada se prenose subjektu koji nije voditelj obrade i koji ne raspolaže dodatnim informacijama na temelju kojih se može utvrditi identitet ispitanika. To bi tumačenje takvom voditelju omogućilo da neopravdano izuzme osobne podatke iz područja primjene prava Unije u području zaštite takvih podataka, i to čak i kada bi obrada koju provodi vanjski subjekt izložila ispitanike znatnim rizicima.

65

Nadalje, EDPS ističe da je uvođenjem pojma pseudonimizacije zakonodavac Unije pojasnio da, kako bi se osobni podaci isključili iz područja primjene prava Unije u području zaštite takvih podataka, nije dovoljno te podatke razdvojiti od dodatnih informacija koje omogućuju identifikaciju ispitanika.

66

Naposljetku, EDPS podsjeća na to da pojam osobnih podataka treba široko tumačiti, što je, prema njegovu mišljenju, nužno kako bi pravo u području zaštite podataka proizvelo svoj koristan učinak. Budući da bi tumačenje Općeg suda omogućilo da se pseudonimizirani podaci pogrešno smatraju anonimnim podacima, ono bi moglo ugroziti visoku razinu zaštite koju nastoji postići zakonodavac Unije i koja se zahtijeva Poveljom. Prema mišljenju Europskog odbora za zaštitu podataka, tumačenje Općeg suda uključuje i rizik od toga da se pseudonimizirani podaci mogu obrađivati bez ograničenja iz Opće uredbe o zaštiti podataka i Uredbe 2018/1725, uključujući njihovu razmjenu, objavu i prijenos u treće zemlje.

67

SRB, koji podupire Komisija, protivi se tim argumentima.

68

Prvi prigovor drugog dijela prvog žalbenog razloga u biti se temelji na mišljenju da pseudonimizirani podaci, kao što su očitovanja proslijeđena društvu Deloitte, u svakom slučaju predstavljaju osobne podatke već zbog postojanja informacija na temelju kojih se može utvrditi identitet ispitanika, a da pritom nije potrebno konkretno ispitati može li se, unatoč pseudonimizaciji, utvrditi identitet osobe na koju se ti podaci odnose.

69

U tom pogledu valja podsjetiti na to da se, u skladu sa samim člankom 3. točkom 1. Uredbe 2018/1725, informacija mora odnositi na pojedinca „čiji je identitet utvrđen ili se može utvrditi” kako bi se kvalificirala kao osobni podatak u smislu te odredbe. Stoga primjena te uredbe, u načelu, pretpostavlja ispitivanje koje se odnosi na to je li identitet osobe na koju se odnose predmetne informacije utvrđen ili se može utvrditi.

70

To je tumačenje potkrijepljeno petom i šestom rečenicom uvodne izjave 16. Uredbe 2018/1725, prema kojima definicija pojma „osobni podaci” ne obuhvaća „anonimne informacije, odnosno informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi” ni „osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi” (vidjeti, po analogiji, presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 57.).

71

Konkretnije, kad je riječ o pseudonimiziranim podacima, valja napomenuti, kao prvo, da ti podaci nisu navedeni u zakonskoj definiciji pojma „osobni podaci” iz članka 3. točke 1. Uredbe 2018/1725, već da njihova obilježja proizlaze iz članka 3. točke 6. te uredbe. U potonjoj se odredbi „pseudonimizacija” definira kao „obrada osobnih podataka na način da se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi”.

72

Kao što je to nezavisni odvjetnik u biti istaknuo u točkama 46. i 48. svojeg mišljenja, pseudonimizacija ne predstavlja element definicije „osobnih podataka”, nego se odnosi na uvođenje tehničkih i organizacijskih mjera kojima se nastoji smanjiti rizik od povezivanja skupa podataka s identitetom ispitanikâ. Prema uvodnoj izjavi 17. navedene uredbe, primjena pseudonimizacije „može [samo] smanjiti rizike” od takvog povezivanja za dotične ispitanike i time „pomoći voditeljima obrade i izvršiteljima obrade u ispunjavanju njihovih obveza u vezi sa zaštitom podataka”.

73

Kao drugo, iz teksta članka 3. točke 6. Uredbe 2018/1725 proizlazi da pojam „pseudonimizacija” pretpostavlja postojanje informacija na temelju kojih se može utvrditi identitet ispitanika. Međutim, samo postojanje takvih informacija protivi se tomu da se pseudonimizirani podaci u svakom slučaju mogu smatrati anonimnim podacima koji su isključeni iz područja primjene te uredbe.

74

Međutim, kao treće, činjenica je da zahtjev za odvojeno pohranjivanje identifikacijskih podataka, kao i za tehničke i organizacijske mjere „kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi”, predviđen u članku 3. točki 6. te uredbe, upućuje na to da pseudonimizacija ima za cilj, osobito, izbjeći da se identitet ispitanika utvrdi isključivo na temelju pseudonimiziranih podataka.

75

Naime, pod uvjetom da su takve tehničke i organizacijske mjere stvarno uvedene i da se njima može spriječiti pripisivanje predmetnih podataka ispitaniku, na način da se njegov identitet ne može ili više ne može utvrditi, pseudonimizacija može utjecati na osobnu prirodu tih podataka u smislu članka 3. točke 1. Uredbe 2018/1725.

76

U tom pogledu valja pojasniti da, kao što je to uobičajeno slučaj s voditeljem obrade koji je proveo pseudonimizaciju, SRB u ovom slučaju raspolaže dodatnim informacijama koje omogućuju pripisivanje očitovanja proslijeđenih društvu Deloitte ispitanicima, tako da za njega ta očitovanja, unatoč pseudonimizaciji, zadržavaju svoju osobnu prirodu.

77

Što se tiče društva Deloitte kojem je SRB dostavio pseudonimizirana očitovanja, tehničke i organizacijske mjere iz članka 3. točke 6. Uredbe 2018/1725 mogu, kao što to u biti tvrdi SRB, imati za učinak to da ta očitovanja nisu osobne prirode za to društvo. Međutim, to pretpostavlja, s jedne strane, da društvo Deloitte nije u mogućnosti ukinuti te mjere prilikom svake obrade navedenih očitovanja koja se provodi pod njegovim nadzorom. S druge strane, navedene mjere moraju društvo Deloitte stvarno spriječiti da ta očitovanja pripiše ispitanicima također i korištenjem drugih sredstava identifikacije, kao što je uspoređivanje s drugim elementima, tako da za to društvo nije moguće ili više nije moguće utvrditi identitet ispitanika.

78

To je tumačenje potkrijepljeno uvodnom izjavom 16. Uredbe 2018/1725 koja, nakon što je u svojoj prvoj rečenici navela da „[n]ačela zaštite podataka trebala bi se primjenjivati na sve informacije koje se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi”, u drugoj rečenici predviđa da „[o]sobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati pojedincu uporabom dodatnih informacija, trebalo bi smatrati informacijama o pojedincu čiji se identitet može utvrditi”.

79

Naime, nakon navoda o osobnim podacima i o pseudonomiziranim podacima, u trećoj rečenici te uvodne izjave pojašnjava se da bi, kako bi se odredilo može li se identitet pojedinca utvrditi, trebalo uzeti u obzir ,,sva sredstva” koja voditelj obrade ili „bilo koja druga osoba mogu po svemu sudeći” upotrijebiti u svrhu „izravnog ili neizravnog” utvrđivanja identiteta pojedinca. Usto, u četvrtoj rečenici te uvodne izjave navodi se da bi, kako bi se utvrdilo je li po svemu sudeći izgledno da se upotrebljavaju sredstva za utvrđivanje identiteta pojedinca, trebalo uzeti u obzir „sve objektivne čimbenike, kao što su troškovi i vrijeme potrebno za utvrđivanje identiteta, uzimajući u obzir i tehnologiju dostupnu u vrijeme obrade i tehnološki razvoj”.

80

Međutim, kao što je to nezavisni odvjetnik u biti istaknuo u točki 51. svojeg mišljenja, ta pojašnjenja koja se odnose na procjenu mogućnosti da se utvrdi identitet ispitanika bila bi lišena svakog korisnog učinka ako bi se pseudonimizirani podaci u svakom slučaju i za svaku osobu smatrali osobnim podacima za potrebe primjene Uredbe 2018/1725.

81

U tom pogledu valja podsjetiti na to da se, kad je riječ o priopćenju za medije koje sadržava određen broj navoda o osobi a da je pritom nije poimence naveo, Sud u svojoj presudi od 7. ožujka 2024., OC/Komisija (C‑479/22 P, EU:C:2024:215, t. 52. do 64.), nije ograničio na utvrđenje da je tijelo Unije koje je objavilo to priopćenje raspolagalo svim informacijama koje omogućuju utvrđenje identiteta te osobe, nego je ispitao omogućuju li podaci iz navedenog priopćenja dotičnoj javnosti da utvrdi identitet te osobe, osobito kombinacijom tih naznaka s informacijama dostupnima na internetu.

82

Osim toga, Sud je već presudio da se sredstvo ne može razumno upotrijebiti za utvrđivanje ispitanikova identiteta ako se opasnost od identifikacije u stvarnosti čini neznatnom jer je identifikacija te osobe zakonom zabranjena ili neostvariva u praksi, primjerice zbog toga što bi podrazumijevala nerazmjeran napor u pogledu vremena, troškova i rada (vidjeti, u tom smislu, presudu od 7. ožujka 2024., OC/Komisija, C‑479/22 P, EU:C:2024:215, t. 51. i navedenu sudsku praksu). Ta sudska praksa potvrđuje tumačenje prema kojem postojanje dodatnih informacija na temelju kojih se može utvrditi identitet ispitanika ne znači samo po sebi da pseudonimizirane podatke treba smatrati, u svakom slučaju i za svaku osobu, osobnim podacima u svrhu primjene Uredbe 2018/1725.

83

U istom smislu, Sud je u biti presudio, osobito u presudama od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779, t. 44., 47. i 48.) i od 7. ožujka 2024., IAB Europe (C‑604/22, EU:C:2024:214, t. 43. i 48.), da su podaci koji su sami po sebi neosobni, prikupljeni i pohranjeni od voditelja obrade ipak povezani s osobom čiji se identitet može utvrditi, s obzirom na to da je voditelj obrade raspolagao pravnim sredstvima za dobivanje tih dodatnih informacija od drugih osoba koje omogućuju identifikaciju te osobe. Naime, u takvim uvjetima okolnost da su se informacije na temelju kojih je moguće utvrditi identitet ispitanika nalazile u rukama različitih osoba nije mogla učinkovito spriječiti njegovu identifikaciju, na način da voditelj obrade nije u stanju utvrditi njegov identitet.

84

Nadasve, u skladu sa sudskom praksom proizašlom iz presude od 9. studenoga 2023., Gesamtverband Autoteile‑Handel (Pristup informacijama o vozilima) (C‑319/22, EU:C:2023:837, t. 46. i 49.), podaci koji su sami po sebi neosobni mogu steći „osobnu” narav ako ih voditelj obrade stavi na raspolaganje drugim osobama koje raspolažu sredstvima koja razumno mogu omogućiti identifikaciju ispitanika. Iz potonje presude osobito proizlazi da su u kontekstu takvog stavljanja na raspolaganje navedeni podaci osobni podaci i za te osobe i, neizravno, za voditelja obrade.

85

Slijedom toga, s obzirom na sudsku praksu navedenu u prethodnoj točki, EDPS pogrešno tvrdi da okolnost prema kojoj pseudonimizirani podaci nisu, ovisno o slučaju, osobni podaci za osobe kojima voditelj obrade prenosi pseudonimizirane podatke, omogućuje da se ti podaci neopravdano izuzmu iz područja primjene prava Unije u području zaštite osobnih podataka. Naime, prema toj sudskoj praksi, navedena okolnost ne utječe na ocjenu osobne naravi tih podataka, osobito u kontekstu njihova eventualnog naknadnog prijenosa trećim osobama. Stoga, u mjeri u kojoj nije isključeno da će te treće osobe razumno moći pripisati pseudonimizirane podatke ispitaniku pomoću raznih sredstava, poput unakrsne provjere s drugim podacima kojima raspolažu, treba smatrati da se ispitanikov identitet može utvrditi kako u pogledu tog prijenosa tako i u pogledu svake daljnje obrade tih podataka od strane navedenih trećih osoba. U takvim okolnostima pseudonimizirani podaci trebali bi se smatrati osobnim podacima.

86

Iz toga slijedi da, suprotno onomu što tvrdi EDPS, pseudonimizirane podatke ne treba smatrati, u svakom slučaju i za svaku osobu, osobnim podacima za potrebe primjene Uredbe 2018/1725 jer pseudonimizacija može, ovisno o okolnostima slučaja, stvarno spriječiti osobe koje nisu voditelj obrade da identificiraju ispitanika, tako da one njegov identitet ne mogu utvrditi ili ga više ne mogu utvrditi.

87

To tumačenje nije dovedeno u pitanje okolnošću, na koju se poziva EDPS, prema kojoj se četvrta rečenica uvodne izjave 16. Uredbe 2018/1725 odnosi na voditelja obrade ili na „bilo koju drugu osobu”. Naime, iz samog teksta te rečenice, navedenog u točki 79. ove presude, proizlazi da se ona odnosi samo na osobe koje imaju ili bi mogle imati pristup sredstvima koja se po svemu sudeći mogu upotrijebiti u svrhu utvrđivanja identiteta pojedinca. Međutim, kao što je to istaknuto u točkama 75. do 77. ove presude, pseudonimizacija može, ovisno o okolnostima slučaja, stvarno spriječiti osobe koje nisu voditelj obrade da identificiraju ispitanika na način da se, za njih, identitet ispitanika ne može utvrditi ili se više ne može utvrditi.

88

Što se tiče EDPS‑ova argumenta koji se temelji na cilju jamčenja visoke razine zaštite osobnih podataka, iako tekst članka 3. točke 1. Uredbe 2018/1725 odražava cilj zakonodavca Unije da pojmu „osobni podaci” da široko značenje, taj pojam nije neograničen jer se tom odredbom zahtijeva, među ostalim, da je ispitanikov identitet utvrđen ili se može utvrditi.

89

Konkretno, kao što je to nezavisni odvjetnik istaknuo u točki 58. svojeg mišljenja, Uredba 2018/1725 sadržava obveze, poput obveze pružanja informacija ispitaniku predviđene u članku 15. te uredbe, čije poštovanje pretpostavlja utvrđivanje identiteta ispitanika. Međutim, takve se obveze ne mogu nametnuti subjektu koji ni na koji način ne može provesti to utvrđivanje identiteta.

90

Prvi prigovor drugog dijela prvog žalbenog razloga stoga valja odbiti kao neosnovan.

91

Drugim prigovorom drugog dijela prvog žalbenog razloga EDPS ističe da je Opći sud zanemario sudsku praksu proizašlu iz presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779).

92

Kao prvo, Opći sud zanemario je objektivnu prirodu uvjeta koji se odnosi na to da se identitet ispitanika „može utvrditi”, time što je u točkama 97., 99. i 100. pobijane presude, među ostalim, presudio da je EDPS trebao ispitati predstavljaju li očitovanja proslijeđena društvu Deloitte – s njegova stajališta – osobne podatke. Naime, prema mišljenju EDPS‑a, iz točaka 47. i 48. presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779) proizlazi da je samo postojanje pravnih sredstava na temelju kojih se može utvrditi identitet dotične osobe dovoljno za zaključak da se ta osoba može utvrditi. Međutim, u ovom je slučaju SRB mogao identificirati dotične osobe, što je okolnost koju Opći sud nije dovoljno uzeo u obzir u okviru primjene sudske prakse proizašle iz te presude.

93

Kao drugo, EDPS tvrdi da je, u navedenoj presudi, mogućnost utvrđenja identiteta ispitanika ocijenjena s gledišta voditelja obrade, i to bez postojanja bilo kakvog odnosa između tog voditelja obrade i subjekata koji posjeduju dodatne informacije na temelju kojih se može utvrditi identitet te osobe. Suprotno tomu, u ovom slučaju društvo Deloitte nije voditelj obrade te je, usto, vezano ugovorom sa SRB‑om. S obzirom na te razlike, EDPS smatra da nije bio dužan provesti sveobuhvatnu procjenu sredstava koja razumno mogu omogućiti društvu Deloitte da utvrdi identitet ispitanika.

94

U svakom slučaju, u slučaju da je ipak bio dužan ocijeniti je li društvo Deloitte moglo identificirati autore očitovanja koja su mu dostavljena, EDPS tvrdi da ništa nije sprečavalo to društvo da provede tu identifikaciju.

95

SRB, koji podupire Komisija, protivi se tim argumentima.

96

Kao prvo, Opći sud se, među ostalim, u točkama 96., 97. i 100. pobijane presude pravilno oslonio na pristup prema kojem mogućnost utvrđenja identiteta ispitanika treba ispitati u odnosu na svaku osobu i svakog voditelja obrade koji obrađuje relevantne informacije. Međutim, u kontekstu obveze pružanja informacija predviđene člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725, to ispitivanje treba provesti s gledišta primatelja predmetnih informacija.

97

Kao drugo, SRB tvrdi da argumentacija koja se temelji na navodnim razlikama ovog predmeta u odnosu na predmet u kojem je donesena presuda od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779), nije dopuštena. Smatra da se tom argumentacijom dovode u pitanje činjenična utvrđenja Općeg suda iz točaka 94. i 95. pobijane presude, prema kojima društvo Deloitte nije imalo pristup identifikacijskim podacima potrebnima za utvrđenje identiteta podnositelja pritužbi.

98

U točkama 97. do 100. pobijane presude Opći sud je, među ostalim, u biti presudio da je, u skladu sa sudskom praksom proizašlom iz presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779), EDPS trebao ispitati predstavljaju li očitovanja proslijeđena društvu Deloitte sa stajališta tog društva osobne podatke. Kako bi došao do tog utvrđenja Opći sud je, posebice, istaknuo da se povreda članka 15. stavka 1. točke (d) Uredbe 2018/1725, koja je utvrđena u spornoj odluci, odnosila na SRB‑ov prijenos tih očitovanja društvu Deloitte, a ne samo na to da ih je SRB posjedovao.

99

Uvodno valja podsjetiti na to da se u članku 3. točki 1. Uredbe 2018/1725 izričito ne pojašnjava relevantna perspektiva za ocjenu mogućnosti utvrđenja identiteta ispitanika, dok se uvodna izjava 16. te uredbe – bez ikakve razlike – odnosi na „voditelja obrade” ili na „bilo koju drugu osobu”. Osim toga, iz ustaljene sudske prakse proizlazi da se, kako bi se podatak mogao kvalificirati kao „osobni podatak”, ne zahtijeva da se sve informacije koje omogućuju identifikaciju ispitanika moraju nalaziti u posjedu samo jedne osobe (vidjeti, u tom smislu, presude od 19. listopada 2016., Breyer, C‑582/14, EU:C:2016:779, t. 43. i od 7. ožujka 2024., OC/Komisija, C‑479/22 P, EU:C:2024:215, t. 48.).

100

Prema sudskoj praksi koja, osobito, proizlazi iz presude od 19. listopada 2016., Breyer (C‑582/14, EU:C:2016:779), navedene u točkama 81. do 84. ove presude, relevantno gledište za ocjenu mogućnosti utvrđenja identiteta ispitanika, u biti, ovisi o okolnostima koje obilježavaju obradu podataka u svakom pojedinom slučaju.

101

U ovom slučaju valja podsjetiti na to da je EDPS u spornoj odluci utvrdio da je SRB povrijedio svoju obvezu pružanja informacija koja proizlazi iz članka 15. stavka 1. točke (d) Uredbe 2018/1725, time što društvo Deloitte nije naveo kao potencijalnog adresata očitovanja u izjavi o povjerljivosti podnesenoj u trenutku njihova prikupljanja.

102

Člankom 15. stavkom 1. te uredbe određuju se informacije koje voditelj obrade mora pružiti ispitaniku kada su osobni podaci prikupljeni od njega, pri čemu se pojašnjava da se te informacije moraju pružiti ispitaniku „u trenutku prikupljanja osobnih podataka”. Iz samog teksta te odredbe proizlazi da te podatke voditelj obrade treba dati odmah, odnosno u trenutku njihova prikupljanja (vidjeti, po analogiji, presudu od 29. srpnja 2019., Fashion ID, C‑40/17, EU:C:2019:629, t. 104. i navedenu sudsku praksu).

103

Konkretnije, kad je riječ o informacijama koje se odnose na eventualne primatelje osobnih podataka, iz članka 15. stavka 1. točke (d) navedene uredbe, riječ je o informaciji koju treba pružiti, među ostalim, prilikom prikupljanja podataka od ispitanika.

104

Člankom 14. stavkom 1. Uredbe 2018/1725 predviđa se da voditelj obrade poduzima odgovarajuće mjere kako bi se, među ostalim, informacije iz članka 15. te uredbe ispitaniku pružile u sažetom, transparentnom, razumljivom i lako dostupnom obliku, uz uporabu jasnog i jednostavnog jezika, kako bi mu se omogućilo da u potpunosti razumije informacije koje su mu upućene (vidjeti, po analogiji, presude od 4. svibnja 2023., Österreichische Datenschutzbehörde i CRIF, C‑487/21, EU:C:2023:369, t. 38. i od 11. srpnja 2024., Meta Platforms Ireland (Predstavnička tužba), C‑757/22, EU:C:2024:598, t. 55. i 56.).

105

Važnost poštovanja takve obveze pružanja informacija je potvrđena i uvodnom izjavom 35. Uredbe 2018/1725, u čijoj se prvoj i drugoj rečenici navodi da se načelima poštene i transparentne obrade zahtijeva da je ispitanik informiran o postupku obrade i njegovim svrhama, pri čemu se naglašava da bi voditelj obrade trebao pružiti i sve dodatne informacije neophodne za osiguravanje poštene i transparentne obrade, uzimajući u obzir posebne okolnosti i kontekst obrade osobnih podataka, kako je predviđeno u članku 15. stavku 2. te uredbe (vidjeti, po analogiji, presudu od 11. srpnja 2024., Meta Platforms Ireland (Predstavnička tužba), C‑757/22, EU:C:2024:598, t. 57. i navedenu sudsku praksu).

106

Stoga, kada se prikupljanje takvih podataka od ispitanika, kao što je to u ovom slučaju u okviru postupka u vezi s pravom na saslušanje, temelji na privoli tog ispitanika, valjanost privole koju je dao navedeni ispitanik ovisi, među ostalim, o tome je li on prethodno dobio informacije u vezi sa svim okolnostima obrade predmetnih podataka na koje je imao pravo na temelju članka 15. Uredbe 2018/1725 i koje mu omogućuju davanje privole uz potpuno poznavanje činjenica (vidjeti, po analogiji, presudu od 11. srpnja 2024., Meta Platforms Ireland (Predstavnička tužba), C‑757/22, EU:C:2024:598, t. 60.).

107

Osim toga, kad je riječ o slučaju obveze ispitanika da voditelju obrade pruži osobne podatke, u četvrtoj rečenici uvodne izjave 35. te uredbe pojašnjava se da je važno da ispitanik zna je li obvezan pružiti te osobne podatke i da bude obaviješten o posljedicama kojima se izlaže ako ih ne pruži, što potvrđuje važnost informacija koje se zahtijevaju člankom 15. navedene uredbe, u samom trenutku prikupljanja podataka od ispitanika.

108

U tim okolnostima, obveza da se ispitaniku – u trenutku prikupljanja osobnih podataka povezanih s njim – pruži informacija o mogućim primateljima tih podataka ima osobito za cilj omogućiti ispitaniku da uz potpuno poznavanje činjenica odluči hoće li pružiti ili, naprotiv, odbiti pružiti svoje osobne podatke koji se prikupljaju od njega.

109

Valja dodati da je točno da je, kao što je to Komisija u biti tvrdila na raspravi, informacija o mogućim primateljima također nužna kako bi ispitanik mogao kasnije braniti svoja prava u odnosu na te primatelje. Međutim, obveza pružanja te informacije u trenutku prikupljanja osobnih podataka jamči, među ostalim, da voditelj obrade te podatke ne prikuplja protiv ispitanikove volje ili da ih čak i ne prenese trećim osobama protiv njegove volje.

110

Iz toga slijedi da je, kao što je to nezavisni odvjetnik istaknuo u točki 69. svojeg mišljenja, obveza pružanja informacija predviđena člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725 dio pravnog odnosa koji postoji između ispitanika i voditelja obrade te, stoga, za predmet ima informacije povezane s tom osobom kako su prenesene tom voditelju, dakle prije eventualnog prijenosa trećoj osobi.

111

Stoga valja smatrati da, u svrhu primjene obveze pružanja informacija predviđene člankom 15. stavkom 1. točkom (d) Uredbe 2018/1725, mogućnost utvrđivanja identiteta ispitanika treba ocijeniti u trenutku prikupljanja podataka te sa stajališta voditelja obrade.

112

Iz toga proizlazi da se, kao što je to nezavisni odvjetnik u biti istaknuo u točki 79. svojeg mišljenja, SRB‑ova obveza pružanja informacija primjenjivala u ovom slučaju prije prijenosa predmetnih očitovanja i neovisno o tome jesu li ona osobne naravi ili ne, sa stajališta društva Deloitte, nakon njihove eventualne pseudonimizacije.

113

To tumačenje nije dovedeno u pitanje SRB‑ovim argumentom koji se temelji na tekstu članka 15. stavka 1. točke (d) Uredbe 2018/1725, koji upućuje na „primatelje […] osobnih podataka”. Naime, kao što to proizlazi iz točaka 102. do 108. ove presude, tom se odredbom uređuje obveza pružanja informacija koju ima voditelj obrade u trenutku prikupljanja takvih podataka. Međutim, pitanje je li voditelj obrade u tom trenutku poštovao svoju obvezu pružanja informacija ne može ovisiti o mogućnostima identifikacije ispitanika, kojima bi, ovisno o slučaju, raspolagao eventualni primatelj nakon naknadnog prijenosa podataka o kojima je riječ.

114

Kao što je to nezavisni odvjetnik u biti istaknuo u točki 77. svojeg mišljenja, SRB‑ova argumentacija prema kojoj se treba staviti u položaj primatelja kako bi se provjerilo poštovanje te obveze pružanja informacija imala bi za posljedicu odgađanje tog nadzora za poslije. Budući da se navedeni nadzor nužno odnosi na osobne podatke koji su već preneseni primatelju, tom se argumentacijom povređuje i predmet obveze pružanja informacija, koja je neodvojivo povezana s odnosom između voditelja obrade i ispitanika.

115

Stoga je Opći sud počinio pogrešku koja se tiče prava kada je u točkama 97., 98., 100., 101. i 103. do 105. pobijane presude presudio da je EDPS, kako bi ocijenio je li SRB poštovao svoju obvezu pružanja informacija na temelju članka 15. stavka 1. točke (d) Uredbe 2018/1725, trebao ispitati predstavljaju li očitovanja proslijeđena društvu Deloitte osobne podatke sa stajališta tog društva.

116

Iz toga slijedi da drugi prigovor drugog dijela prvog žalbenog razloga treba prihvatiti a da pritom nije potrebno ispitati EDPS‑ove argumente sažete u točkama 93. i 94. ove presude.

117

Budući da je prvi žalbeni razlog osnovan u svojem prvom dijelu i u drugom prigovoru drugog dijela, nije potrebno ispitati EDPS‑ov drugi žalbeni razlog, koji se temelji na povredi članka 4. stavka 2. i članka 26. stavka 1. Uredbe 2018/1725.

118

Budući da je prvi žalbeni razlog prihvaćen, pobijanu presudu valja ukinuti.

119

U skladu s člankom 61. prvim stavkom drugom rečenicom Statuta Suda Europske unije, ako je žalba osnovana, Sud nakon ukidanja odluke Općeg suda može konačno odlučiti o sporu ako stanje postupka to dopušta.

120

U ovom slučaju stanje postupka dopušta odlučivanje o prvom tužbenom razlogu, koji se temelji na tvrdnji da je EDPS navodno povrijedio članak 3. točku 1. Uredbe 2018/1725 jer informacije proslijeđene društvu Deloitte ne predstavljaju osobne podatke. Naime, s obzirom na razmatranja iz točaka 58. do 60. ove presude, EDPS je, s jedne strane, mogao smatrati, a da pritom ne počini pogrešku koja se tiče prava, da očitovanja proslijeđena društvu Deloitte predstavljaju informacije koje se odnose na pojedince, odnosno na autore tih očitovanja. S druge strane, kao što je to istaknuto u točki 111. te presude, u okviru primjene obveze pružanja informacija predviđene člankom 15. stavkom 1. točkom (d) te uredbe, mogućnost utvrđivanja identiteta ispitanika treba ocijeniti sa stajališta voditelja obrade. Međutim, među strankama nije sporno da je SRB, kao voditelj obrade, raspolagao svim informacijama potrebnima za identifikaciju autora navedenih očitovanja. Iz prethodno navedenog proizlazi da sporne informacije, suprotno onomu što tvrdi SRB, predstavljaju osobne podatke. Stoga prvi tužbeni razlog treba odbiti kao neosnovan.

121

Nasuprot tomu, stanje postupka ne dopušta odlučivanje u pogledu drugog tužbenog razloga, s obzirom na to da taj tužbeni razlog podrazumijeva ocjene činjenica koje Opći sud nije proveo.

122

Stoga predmet valja vratiti Općem sudu radi ispitivanja drugog tužbenog razloga.

123

Budući da se predmet vraća Općem sudu na ponovno odlučivanje, o troškovima žalbenog postupka odlučit će se naknadno.

Slijedom navedenog, Sud (prvo vijeće) proglašava i presuđuje: