1

Fellebbezésével az európai adatvédelmi biztos az Európai Unió Törvényszéke 2023. április 26‑iESZT kontra európai adatvédelmi biztos ítéletének (T‑557/20, a továbbiakban: megtámadott ítélet, EU:T:2023:219) hatályon kívül helyezését kéri, amellyel a Törvényszék megsemmisítette az európai adatvédelmi biztos 2020. november 24‑i – az Egységes Szanálási Testület (ESZT) által előterjesztett, az európai adatvédelmi biztos öt, több panaszos által benyújtott panaszról (2019‑947, 2019‑998, 2019‑999, 2019-1000 és 2019‑1122 ügyek) szóló, 2020. június 24‑i határozatának felülvizsgálata iránti kérelme alapján hozott – felülvizsgált határozatát (a továbbiakban: vitatott határozat).

2

A természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23‑i (EU) 2018/1725 európai parlamenti és tanácsi rendelet (HL 2018. L 295., 39. o.; helyesbítés: HL 2019. L 290., 42. o.) (5), (16), (17) és (35) preambulumbekezdése a következőképpen szól:

[…]

[…]

3

A 2018/1725 rendelet „Fogalommeghatározások” című 3. cikkének 1., 6., 8. és 13. pontja a következőket írja elő:

„E rendelet alkalmazásában:

[…]

[…]

[…]

4

E rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 4. cikke a (2) bekezdésében a következőképpen rendelkezik:

„Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”

5

Az említett rendelet „Átlátható tájékoztatás, kommunikáció és az érintett jogainak gyakorlására vonatkozó intézkedések” című 14. cikke az (1) bekezdésében a következőket írja elő:

„Az adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 15. és a 16. cikkben említett valamennyi információt és a 17–24. és a 35. cikk szerinti minden egyes tájékoztatást tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, különösen a gyermekeknek címzett bármely információ esetében. Az információkat írásban vagy más módon – ideértve adott esetben az elektronikus utat is – kell megadni. Az érintett kérésére szóbeli tájékoztatás is adható, feltéve, hogy más módon igazolták az érintett személyazonosságát.”

6

Ugyanezen rendeletnek a „Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” című 15. cikke a következőképpen rendelkezik:

„(1)   Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

[…]

[…]

(2)   Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintett rendelkezésére bocsátja a következő kiegészítő információkat:

[…]

[…]”

7

A 2018/1725 rendelet 24. cikke meghatározza azokat a feltételeket, amelyek mellett valamely egyedi döntés automatizált adatkezelésen alapulhat, ideértve a profilalkotást is.

8

E rendeletnek „Az adatkezelő feladatai” című 26. cikke az (1) bekezdésében a következőket írja elő:

„Az adatkezelő az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogait és szabadságait érintő változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak biztosítása és bizonyítása céljából, hogy a személyes adatok kezelése e rendelettel összhangban történik. Ezeket az intézkedéseket felül kell vizsgálni és szükség esetén naprakésszé kell tenni.”

9

A jogvita előzményeit a megtámadott ítélet 2–32. pontja ismerteti, és azok a következőképpen foglalhatók össze.

10

2017. június 7‑én az ESZT ügyvezetői testülete a hitelintézeteknek és bizonyos befektetési vállalkozásoknak az Egységes Szanálási Mechanizmus keretében történő szanálására vonatkozó egységes szabályok és egységes eljárás kialakításáról, valamint az Egységes Szanálási Alap létrehozásáról és az 1093/2010/EU rendelet módosításáról szóló, 2014. július 15‑i 806/2014/EU európai parlamenti és tanácsi rendelet (HL 2014. L 225., 1. o.; helyesbítés: HL 2014. L 372., 9. o.) (a továbbiakban: ESZM‑rendelet) alapján elfogadta a Banco Popular Español SA szanálási programjáról szóló SRB/EES/2017/08 határozatot.

11

E határozatában az ESZT, mivel úgy ítélte meg, hogy az ESZM‑rendelet 18. cikkének (1) bekezdésében előírt feltételek teljesültek, úgy határozott, hogy a Banco Popular Español SA‑t (a továbbiakban: Banco Popular) szanálási eljárás alá vonja. Az ESZT tehát úgy döntött, hogy e rendelet 21. cikke alapján leírja és átalakítja a Banco Popular tőkeinstrumentumait, és az említett rendelet 24. cikke alapján alkalmazza a vagyonértékesítési eszközt azáltal, hogy a részvényeket egy vevőre ruházza át.

12

Ugyanezen a napon az Európai Bizottság elfogadta a Banco Popular Español SA szanálási programjának jóváhagyásáról szóló (EU) 2017/1246 határozatot (HL 2017. L 178., 15. o.).

13

A Banco Popular szanálását követően, az ESZT megbízta a Deloitte könyvvizsgáló és tanácsadó társaságot az ESZM‑rendelet 20. cikkének (16)–(18) bekezdésében előírt, az eltérő bánásmódról szóló, annak meghatározása céljából készített értékeléssel, hogy a Banco Popular részvényesei és hitelezői jobb elbánásban részesültek volna‑e, ha azt rendes fizetésképtelenségi eljárás alá vonták volna (a továbbiakban: 3. értékelés). A Deloitte ezen értékelést 2018. június 14‑én megküldte az ESZT‑nek.

14

2018. augusztus 6‑án az ESZT közzétette a honlapján a Banco Popular Español, SA‑ra vonatkozó szanálási intézkedések által érintett részvényeseknek és hitelezőknek fizetendő kártérítés szükségességének megítéléséről és a meghallgatáshoz való joggal kapcsolatos eljárás megindításáról szóló előzetes határozatára (SRB/EES/2018/132; a továbbiakban: előzetes határozat) vonatkozó 2018. augusztus 2‑i értesítést, valamint a 3. értékelés nem bizalmas változatát. 2018. augusztus 7‑én az ezen értesítésről szóló közleményt tettek közzé az Európai Unió Hivatalos Lapjában (HL 2018. C 277. I., 1. o.).

15

Az előzetes határozatban az ESZT jelezte, hogy annak érdekében, hogy végleges határozatot hozhasson arról, hogy az ESZM‑rendelet 76. cikke (1) bekezdésének e) pontja alapján kell‑e kártérítést fizetni a Banco Popular szanálásával érintett részvényeseknek és hitelezőknek (a továbbiakban: érintett részvényesek és hitelezők), felhívta őket arra, hogy az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 41. cikke (2) bekezdésének a) pontja alapján jelezzék a meghallgatáshoz való joguk gyakorlására való igényüket.

16

Az előzetes határozatban szereplő információk szerint a meghallgatáshoz való jogra vonatkozó eljárást két szakaszban kellett lefolytatni.

17

Az első szakaszban (a továbbiakban: nyilvántartásba vételi szakasz) az érintett részvényeseket és hitelezőket felkérték, hogy 2018. szeptember 14‑ig online űrlapon jelezzék a meghallgatáshoz való joguk gyakorlására való igényüket. E szakaszban a meghallgatáshoz való jogukat gyakorolni kívánó érintett részvényeseknek és hitelezőknek be kellett nyújtaniuk az ESZT‑nek azokat az igazoló dokumentumokat, amelyek bizonyítják, hogy a Banco Popular szanálásának időpontjában ennek egy vagy több olyan tőkeinstrumentumával rendelkeztek, amelyeket a szanálás keretében leírtak vagy átalakítottak, és átruháztak a Banco Santander SA‑ra. A benyújtandó igazoló dokumentumok magukban foglalták a személyazonosító okmányt és e tőkeinstrumentumok valamelyikének 2017. június 6‑án fennálló tulajdonának igazolását. Ezt követően az ESZT‑nek meg kellett vizsgálnia, hogy az igényét kinyilvánító valamennyi személy ténylegesen rendelkezik‑e érintett részvényesi vagy hitelezői jogállással.

18

2018. augusztus 6‑án, a nyilvántartásba vételi szakasz megnyitásának időpontjában az ESZT a meghallgatáshoz való jogra vonatkozó eljárással kapcsolatos regisztrációs internetes oldalon és a honlapján is közzétett egy, a személyes adatoknak ezen eljárás keretében történő kezelésével kapcsolatos titoktartási nyilatkozatot (a továbbiakban: titoktartási nyilatkozat).

19

A második szakaszban (a továbbiakban: konzultációs szakasz) azon személyek, akiknek az érintett részvényesi és hitelezői jogállását az ESZT ellenőrizte, benyújthatták az előzetes határozatra vonatkozó észrevételeiket, amelyhez csatolták a 3. értékelést. 2018. október 16‑án az ESZT az internetes oldalán bejelentette, hogy 2018. november 6‑tól az érintett részvényeseket és hitelezőket felkérik arra, hogy a konzultációs szakaszban nyújtsák be az előzetes határozattal kapcsolatos írásbeli észrevételeiket.

20

2018. november 6‑án az ESZT e‑mailben egyedi, személyes hiperhivatkozást küldött az érintett részvényeseknek és hitelezőknek, lehetővé téve számukra, hogy az interneten hozzáférjenek egy űrlaphoz, amely hét kérdést tartalmazott, korlátozott terjedelmű választ engedve, lehetővé téve az érintett részvényesek és hitelezők számára, hogy 2018. november 26. előtt észrevételeket tegyenek az előzetes határozattal, valamint a 3. értékelés nem bizalmas változatával kapcsolatban.

21

Az ESZT megvizsgálta az érintett részvényeseknek és hitelezőknek az előzetes határozattal kapcsolatos releváns észrevételeit. Az ESZT arra kérte a Deloitte‑ot mint független értékelőt, hogy értékelje a 3. értékelésre vonatkozó releváns észrevételeket, bocsássa rendelkezésére az értékelését tartalmazó dokumentumot, és vizsgálja meg, hogy ezen értékelés ezen észrevételek fényében továbbra is érvényes‑e.

22

A nyilvántartásba vételi szakaszban gyűjtött adatok, vagyis az érintett részvényesek és hitelezők személyazonosságára, valamint a Banco Popular leírt vagy átalakított és átruházott tőkeinstrumentumainak tulajdonára vonatkozó bizonyítékok az ESZT személyi állományának korlátozott számú – nevezetesen ezen adatok kezelésével megbízott – tagja számára voltak hozzáférhetők ezen részvényesek és hitelezők kártérítésre való jogosultságának meghatározása érdekében.

23

Az ESZT személyi állományának a konzultációs szakaszban kapott észrevételek kezelésével megbízott tagjai nem fértek hozzá sem a nyilvántartásba vételi szakaszban gyűjtött adatokhoz, így ezen észrevételeket elválasztották az azokat benyújtó érintett részvényesekre és hitelezőkre vonatkozó személyes információktól, sem pedig az adatkulcshoz vagy azon információkhoz, amelyek lehetővé tették valamely érintett részvényes vagy hitelező személyazonosságának felfedését az űrlapon benyújtott egyes észrevételekhez rendelt alfanumerikus kódra való hivatkozással. Ez az alfanumerikus kód egy 33 számjegyű, egyedi egyetemes azonosítóból állt, amelyet az űrlapra adott válaszok kézhezvételének időpontjában véletlenszerűen állítottak elő.

24

Az első szakaszban az ESZT 23822, az eljárás 2855 résztvevője által benyújtott észrevételből automatikus szűrést végzett, amely észrevételek mindegyike egyedi alfanumerikus kóddal volt ellátva. Két algoritmus 20101 megegyező észrevételt azonosított. Ebben az esetben az elsőként benyújtott észrevételt tekintették az eredetinek, amelyet az elemzési szakaszban megvizsgáltak, és az ezt követően kapott megegyező észrevételeket másolatként azonosították.

25

A második szakaszban az ESZT azonosította azokat a benyújtott észrevételeket, amelyek a meghallgatáshoz való jogra vonatkozó eljárás keretébe tartoztak, mivel hatással lehettek az előzetes határozatra vagy a 3. értékelésre. Ezt követően ezeket az észrevételeket felosztotta az ESZT által az előzetes határozatra vonatkozóan vizsgálandó észrevételekre és a Deloitte által a 3. értékelésre vonatkozóan vizsgálandó észrevételekre. E szakaszt követően az ESZT 3730 észrevételt azonosított, amelyeket relevanciájuk és témájuk szerint rendszerezett.

26

A harmadik szakaszban, az ESZT feldolgozta az előzetes határozattal kapcsolatos észrevételeket, és a 3. értékelésre vonatkozókat, azaz 1104 észrevételt 2019. június 17‑én egy biztonságos és az ESZT‑nek fenntartott virtuális adatszerveren keresztül továbbították a Deloitte‑nak. Az ESZT feltöltötte a Deloitte‑nak továbbítandó fájlokat e szerverre, és e fájlokhoz a Deloitte személyi állományának korlátozott számú és ellenőrzött, a 3. értékelésre vonatkozó észrevételek vizsgálatába közvetlenül bevont tagja részére biztosított hozzáférést.

27

A Deloitte‑nak továbbított észrevételeket szűrték, kategorizálták és összesítették. Amikor korábbi észrevételek másolatait képezték, egyetlen változatot küldtek a Deloitte‑nak, így a megkettőzött egyedi észrevételeket nem lehetett megkülönböztetni egyazon témán belül, és a Deloitte‑nak nem volt lehetősége arra, hogy megtudja, hogy a meghallgatáshoz való jogra vonatkozó eljárás egyetlen vagy több résztvevője tett‑e egy észrevételt.

28

A Deloitte‑nak továbbított észrevételek kizárólag a konzultációs szakaszban kapott észrevételek voltak, és alfanumerikus kóddal voltak ellátva. Ugyanakkor egyedül az ESZT volt képes e kód útján összekapcsolni az észrevételeket a nyilvántartásba vételi szakaszban kapott – különösen az észrevételek szerzőinek személyazonosságára vonatkozó – adatokkal. Az alfanumerikus kódot auditálási célból dolgozták ki annak érdekében, hogy utólag ellenőrizni és adott esetben – bírósági eljárásban – bizonyítani lehessen, hogy az egyes észrevételeket feldolgozták és megfelelően figyelembe vették. A Deloitte sem a meghallgatáshoz való jogra vonatkozó eljárásban, sem a megtámadott ítélet kihirdetésének időpontjában nem rendelkezett hozzáféréssel a nyilvántartásba vételi szakaszban összeállított adatbázishoz.

29

2019 októberében és decemberében az űrlapra választ adó, érintett részvényesek és hitelezők öt panaszt nyújtottak be az európai adatvédelmi biztoshoz a 2018/1725 rendelet alapján. E panaszokban e rendelet 15. cikke (1) bekezdése d) pontjának megsértésére hivatkoztak azon az alapon, hogy az ESZT nem tájékoztatta őket arról, hogy az űrlapra adott válaszok révén gyűjtött adatokat a titoktartási nyilatkozat szövegét megsértve harmadik félnek, azaz a Deloitte‑nak és a Banco Santandernek továbbítják.

30

Egy olyan eljárást követően, amelynek során az ESZT különböző magyarázatokkal szolgált az európai adatvédelmi biztos kérésére, és a panaszosok észrevételeket nyújtottak be, 2020. június 24‑én az európai adatvédelmi biztos az Egységes Szanálási Testület ellen több panaszos által előterjesztett öt panaszra (2019‑947, 2019‑998, 2019‑999, 2019‑1000 és 2019‑1122 ügyek) vonatkozó határozatot fogadott el (a továbbiakban: eredeti határozat). Ebben a határozatban az európai adatvédelmi biztos megállapította, hogy az ESZT megsértette a 2018/1725 rendelet 15. cikkét, mivel a titoktartási nyilatkozatban nem tájékoztatta a panaszosokat a személyes adataik Deloitte‑tal való közlésének lehetőségéről. Következésképpen e jogsértés miatt e rendelet 58. cikke (2) bekezdésének b) pontja alapján elmarasztalta az ESZT‑et.

31

2020. július 22‑én az ESZT arra kérte az európai adatvédelmi biztost, hogy az európai adatvédelmi biztos eljárási szabályzatának elfogadásáról szóló, 2020. május 15‑i európai adatvédelmi biztosi határozat (HL 2020. L 204., 49. o.) 18. cikkének (1) bekezdése alapján vizsgálja felül az eredeti határozatot. Az ESZT többek között részletes leírást adott a meghallgatáshoz való jogra vonatkozó eljárásról, valamint négy azonosított panaszos által a konzultációs szakaszban benyújtott észrevételek elemzéséről. Azzal érvelt, hogy a Deloitte‑nak továbbított információk nem minősülnek a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett személyes adatoknak.

32

2020. augusztus 5‑én az európai adatvédelmi biztos arról tájékoztatta az ESZT‑et, hogy a szolgáltatott új információkra tekintettel úgy határozott, hogy felülvizsgálja az eredeti határozatot, és egy annak helyébe lépő határozatot fogad el.

33

2020. november 24‑én, a felülvizsgálati eljárást követően, amelynek során a panaszosok észrevételeket nyújtottak be, az ESZT pedig további információkat szolgáltatott az európai adatvédelmi biztos kérésére, utóbbi elfogadta a vitatott határozatot.

34

E határozattal az európai adatvédelmi biztos a következőképpen vizsgálta felül az eredeti határozatot:

35

A Törvényszék Hivatalához 2020. szeptember 1‑jén benyújtott keresetlevéllel az ESZT egyrészt a vitatott határozat megsemmisítése, másrészt az eredeti határozat jogellenességének megállapítása iránt keresetet terjesztett elő.

36

Az ESZT – az első kereseti kérelem alátámasztására – két jogalapot terjesztett elő, amelyekből az első a 2018/1725 rendelet 3. cikke 1. pontjának megsértésére vonatkozott, mivel a Deloitte‑nak továbbított információk nem minősültek személyes adatoknak, a második pedig a Charta 41. cikkében biztosított megfelelő ügyintézéshez való jog megsértésén alapult.

37

A megtámadott ítéletben a Törvényszék hatáskör hiánya miatt elutasította az eredeti határozat jogellenességének megállapítására irányuló második kereseti kérelmet, mivel az ESZT megállapítási ítélet meghozatalát, nem pedig valamely aktus megsemmisítését kérte.

38

Ezzel szemben a Törvényszék elfogadhatónak nyilvánította az első kereseti kérelmet. Az ügy érdemét illetően a Törvényszék helyt adott a kereset első jogalapjának, és megsemmisítette a vitatott határozatot a kereset második jogalapjának vizsgálata nélkül.

39

A Bíróság elnöke a 2023. október 20‑i határozatával megengedte az Európai Bizottság számára, hogy az ESZT támogatása végett az eljárásba beavatkozzon. A Bíróság elnöke a 2023. november 29‑i végzésével megengedte az Európai Adatvédelmi Testület számára, hogy az európai adatvédelmi biztos kérelmeinek támogatása végett az eljárásba beavatkozzon.

40

Az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos azt kéri, hogy a Bíróság:

41

A Bizottság által támogatott ESZT azt kéri, hogy a Bíróság:

42

Fellebbezésének alátámasztására az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos két jogalapra hivatkozik, amelyekből az első a Bíróság által értelmezett 2018/1725 rendelet 3. cikke 1. és 6. pontjának megsértésére vonatkozik, a második pedig e rendelet 4. cikke (2) bekezdésének és 26. cikke (1) bekezdésének megsértésén alapul.

43

Első jogalapjával az európai adatvédelmi biztos lényegében azt állítja, hogy a Törvényszék annak megállapításával, hogy a vitatott határozatban az európai adatvédelmi biztos tévesen jutott arra a következtetésre, hogy a jelen ügyben szóban forgó információk személyes adatoknak minősülnek, tévesen alkalmazta a jogot a 2018/1725 rendelet 3. cikke 1. és 6. pontjának értelmezése során. E jogalap két részből áll. Az első rész az e rendelet 3. cikkének 1. pontjában előírt azon feltételt érinti, amely szerint az információ valamely természetes személyre „vonatkozik”, a második rész pedig az ugyanezen rendelkezésben előírt, e személy „azonosíthatóságára” vonatkozó feltétellel kapcsolatos.

44

Az első jogalap első részében az európai adatvédelmi biztos arra hivatkozik, hogy ellentétben azzal, amit a Törvényszék a megtámadott ítélet 60–74. pontjában megállapított, a Deloitte‑nak továbbított információk – a 2018/1725 rendelet 3. cikkének 1. pontja értelmében – természetes személyre vonatkoztak.

45

Először is az európai adatvédelmi biztos azt állítja, hogy ellentétben azzal, ami a megtámadott ítélet 70. pontjából következik, az adatvédelmi hatóságok nem kötelesek minden esetben valamely információ tartalmának, céljának vagy hatásának vizsgálatára annak ellenőrzése érdekében, hogy az vonatkozik‑e egy természetes személyre. Az európai adatvédelmi biztos szerint ilyen vizsgálatot nem lehetett megkövetelni különösen az ESZT által a Deloitte‑nak továbbított észrevételeket illetően, mivel véleménye szerint egyértelmű volt, hogy ezek az észrevételek természetes személyre „vonatkoznak”, amennyiben a Banco Popular egyes hitelezőinek és részvényeseinek az ESZM‑rendelet 76. cikke (1) bekezdésének e) pontja szerinti esetleges kártérítéshez való jogukkal kapcsolatos személyes álláspontját fejezték ki.

46

Másodszor, a megtámadott ítélet 71. pontjában szereplő megállapítással ellentétben az európai adatvédelmi biztos azt állítja, hogy a személyes adat fennállásának megállapításához nemcsak a Deloitte‑nak továbbított észrevételek jellegére támaszkodott, hanem arra a körülményre is, hogy az alfanumerikus kódot is továbbították e társaságnak.

47

Harmadszor, az európai adatvédelmi biztos arra hivatkozik, hogy a megtámadott ítélet ellentmondásos, mivel a Törvényszék egyrészt ezen ítélet 7. pontjában rámutatott, hogy a Deloitte‑nak továbbított észrevételek célja az volt, hogy lehetővé tegyék konkrét természetes személyek, azaz az érintett részvényesek és hitelezők számára, hogy az ESZM‑rendelet 76. cikke (1) bekezdésének e) pontja szerinti esetleges kártérítés érdekében gyakorolják a meghallgatáshoz való jogukat. Ezen első megállapítással ellentétben a Törvényszék másrészt az említett ítélet 73. pontjában azt állapította meg, hogy az európai adatvédelmi biztos vélelmekre támaszkodott, amelyek szerint az összes – Deloitte‑nak továbbított – észrevétel személyes adatnak minősült, anélkül hogy bizonyította volna, hogy azok természetes személyekre vonatkoztak.

48

A Bizottság által támogatott ESZT arra hivatkozik, hogy ezt az érvelést el kell utasítani.

49

Először is, a 2017. december 20‑iNowak ítéletből (C‑434/16, EU:C:2017:994, 34. és 35. pont) és a 2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítéletből (C‑487/21, EU:C:2023:369, 23. és 24. pont) eredő ítélkezési gyakorlat szerint legyen az akár objektív, akár vélemény vagy értékelés formájában megjelenő szubjektív információ, személyes adatnak minősülhet, feltéve hogy az a szóban forgó személyre „vonatkozik”. Ezenkívül ezen ítélkezési gyakorlat szerint valamely információ akkor vonatkozik egy azonosított vagy azonosítható természetes személyre, ha az információ a tartalmánál, céljánál vagy hatásánál fogva egy azonosítható személyhez kapcsolódik. A Törvényszék ezért a megtámadott ítélet 70–74. pontjában helyesen állapította meg, hogy az európai adatvédelmi biztos nem vette figyelembe az említett ítélkezési gyakorlatot, amikor annak jelzésére szorítkozott, hogy a Deloitte‑nak továbbított észrevételek az érintett részvényesek és hitelezők véleményét vagy álláspontját tükrözik, tehát anélkül, hogy megvizsgálta volna, hogy ezek az észrevételek – a tartalmuknál, céljuknál vagy hatásuknál fogva – azonosítható személyhez kapcsolódtak‑e.

50

Másodszor, az európai adatvédelmi biztos azon állítása, amely szerint az említett észrevételek személyes adat jellege szükségszerűen következik a céljukból, új – először a fellebbviteli bíróság előtt felhozott – ténybeli állításnak minősül, amely ezért elfogadhatatlan. Ez az állítás ettől függetlenül is hatástalan, mivel az európai adatvédelmi biztos a vitatott határozatban ezt a kérdést nem vizsgálta meg.

51

Harmadszor, ami az indokolásnak a megtámadott ítélet 7. és 73. pontja közötti állítólagos ellentmondását illeti, az ESZT arra hivatkozik, hogy az ezen ítélet 7. pontjában leírtak nem tartalmaznak semmilyen információt a Deloitte‑nak továbbított észrevételek tartalmára, céljára vagy hatására, következésképpen pedig nem mond ellent az említett ítélet 73. pontjában szereplő következtetésnek.

52

Előzetesen meg kell állapítani, hogy a „személyes adat” 2018/1725 rendelet 3. cikkének 1. pontjában szereplő fogalommeghatározása lényegében megegyezik a GDPR 4. cikkének 1. pontjában szereplő fogalommeghatározással, amelynek hatálya – a maga részéről – lényegében megegyezik a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelvet (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.), 2. cikkének a) pontjában szereplő fogalommeghatározással. Az uniós jog egységes és következetes alkalmazásának védelme érdekében tehát biztosítani kell a 2018/1725 rendelet 3. cikke 1. pontjának, a GDPR 4. cikke 1. pontjának és a 95/46 irányelv 2. cikke a) pontjának azonos értelmezését (lásd ebben az értelemben: 2024. március 7‑iOC kontra Bizottság ítélet, C‑479/22 P, EU:C:2024:215, 43. pont; 2024. március 7‑iIAB Europe ítélet, C‑604/22, EU:C:2024:214, 33. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

53

A 2018/1725 rendelet 3. cikkének 1. pontja úgy rendelkezik, hogy személyes adatnak minősül az „azonosított vagy azonosítható természetes személyre vonatkozó bármely információ”.

54

A Bíróság megállapította, hogy az, hogy az uniós jogalkotó a „személyes adat” e rendelkezésben és a GDPR 4. cikkének 1. pontjában szereplő fogalmának meghatározása során a „bármely információ” kifejezést használta, e jogalkotó részéről azt a célt tükrözi, hogy e fogalomnak olyan tág jelentést adjon, amely potenciálisan magában foglal minden típusú információt, legyen az akár objektív, akár vélemény vagy értékelés formájában megjelenő szubjektív információ, feltéve hogy az a szóban forgó személyre „vonatkozik” (2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 23. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2024. március 7‑iOC kontra Bizottság ítélet, C‑479/22 P, EU:C:2024:215, 45. pont; 2024. október 4‑iAgentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 130. pont).

55

Valamely információ akkor vonatkozik egy azonosított vagy azonosítható természetes személyre, ha az információ a tartalmánál, céljánál vagy hatásánál fogva egy azonosítható személyhez kapcsolódik (2017. december 20‑iNowak ítélet, C‑434/16, EU:C:2017:994, 35. pont; 2024. március 7‑iOC kontra Bizottság ítélet, C‑479/22 P, EU:C:2024:215, 45. pont; 2024. március 7‑iIAB Europe ítélet, C‑604/22, EU:C:2024:214, 37. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

56

A jelen ügyben, noha a Törvényszék a megtámadott ítélet 70. pontjában rámutatott, hogy az európai adatvédelmi biztos nem vizsgálta a Deloitte‑nak továbbított információknak sem a tartalmát, sem a célját, sem a hatását, ezen ítélet 71. és 72. pontjából mégis az következik, hogy ahhoz a megállapításhoz, hogy ezek az észrevételek az érintettek véleményét vagy álláspontját tükrözték, az európai adatvédelmi biztosnak előzetesen meg kellett vizsgálnia az említett észrevételek tartalmát. E megállapításból kiindulva az európai adatvédelmi biztos arra a következtetésre jutott, hogy az észrevételek az e személyekre vonatkozó információknak minősülnek. Márpedig a jelen ítélet 55. pontjában felidézett ítélkezési gyakorlat szerint a valamely információ tartalmára vonatkozó vizsgálatot nem kell szükségszerűen kiegészíteni ezen információ céljának és hatásainak elemzésével, amint azt az ezen ítélkezési gyakorlatban említett különböző kritériumokat összekötő „vagy” kötőszó használata jelzi.

57

Ugyanakkor a megtámadott ítélet 73. és 74. pontjában a Törvényszék megállapította, hogy az európai adatvédelmi biztos nem minősítheti személyes adatoknak a Deloitte‑nak továbbított észrevételekből származó információkat pusztán azon megállapítás alapján, hogy véleményekről vagy személyes szempontokról van szó, hanem meg kellett volna továbbá vizsgálnia az így kifejtett vélemények tartalmát, célját és hatását annak meghatározása érdekében, hogy azok egy meghatározott személyhez kapcsolódnak‑e.

58

A Törvényszék ezen értékelése figyelmen kívül hagyja a vélemények vagy személyes szempontok sajátos jellegét, amelyek – valamely személy gondolatának kifejeződéseként – szükségszerűen szorosan kapcsolódnak ez utóbbihoz.

59

Az előző pontban elfogadott értelmezést megerősíti a 2017. december 20‑iNowak ítéletből (C‑434/16, EU:C:2017:994) eredő ítélkezési gyakorlat, amely többek között egy vizsgáztatónak a vizsgázó szakmai vizsgán adott írásbeli válaszaival kapcsolatos megjegyzéseire vonatkozott. Ezen ítélet 42–44. pontjában ugyanis, jóllehet a Bíróság értékelte e megjegyzések tartalmát, célját és hatását annak megállapításához, hogy ezek az általuk érintett vizsgázóra vonatkozó információknak minősülnek, lényegében azt állapította meg, hogy az említett megjegyzések arra a vizsgáztatóra is vonatkoznak, akitől azok származnak, mivel annak véleményét vagy értékelését fejezik ki.

60

Ebből az következik, hogy a Törvényszék tévesen alkalmazta a jogot, amikor a megtámadott ítélet 73. és 74. pontjában kimondta, hogy az európai adatvédelmi biztosnak – annak megállapításához, hogy a Deloitte‑nak továbbított észrevételekből származó információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében „vonatkoznak” az ezen észrevételeket benyújtó személyekre – meg kellett volna vizsgálnia az említett észrevételek tartalmát, célját vagy hatását, mivel nem volt vitatott, hogy ezek az észrevételek a szerzőik véleményét vagy személyes álláspontját fejezték ki.

61

Következésképpen anélkül, hogy meg kellene vizsgálni a jelen ítélet 46. és 47. pontjában összefoglalt érveket, az első jogalap első részének helyt kell adni.

62

Az első jogalap második részében az európai adatvédelmi biztos arra hivatkozik, hogy a megtámadott ítélet 76–106. pontjában a Törvényszék tévesen mondta ki, hogy az európai adatvédelmi biztos nem állapíthatja meg, hogy a Deloitte‑nak továbbított észrevételekből származó információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett „azonosítható” természetes személyre vonatkoznak. Ez a rész két különálló kifogásból áll.

63

Mindenekelőtt az európai adatvédelmi biztos emlékeztet arra, hogy a 2018/1725 rendelet 3. cikkének 1. pontja értelmében az adatkezelőnek vagy „más személynek” képesnek kell lennie a szóban forgó információ által érintett azonosítására. Annak megjelölése hiányában, hogy kinek kell elvégeznie ezt az azonosítást, elegendő, hogy az érintettet azonosítani lehessen. Márpedig a jelen ügyben nem vitatott, hogy a Deloitte‑nak továbbított, az ESZT rendelkezésére állt észrevételek személyes adatoknak minősülnek. E rendelet (16) preambulumbekezdésével összefüggésben értelmezett 3. cikkének 6. pontjából továbbá kitűnik, hogy az álnevesített adatok személyes adatoknak minősülnek, mégpedig egyszerűen olyan további információk létezése miatt, amelyek lehetővé teszik a személyes adatoknak egy meghatározott személyhez való kapcsolását.

64

Az európai adatvédelmi biztos szerint a megtámadott ítélet 90. és 91. pontjában szereplő megfontolások nem veszik kellőképpen figyelembe e rendelkezések szövegét, valamint az anonimizálás és az álnevesítés közötti különbségtételt. E tekintetben az Európai Adatvédelmi Testület pontosítja, hogy a Törvényszék által elfogadott értelmezés szerint a személyes adatok jellege megváltozna, ha azokat az adatkezelőn kívüli olyan szervezetnek továbbítják, amely nem rendelkezik az érintett azonosítását lehetővé tévő további információkkal. Ez az értelmezés lehetővé tenné az ilyen adatkezelő számára, hogy a személyes adatokat jogszerűtlenül kivonja az ilyen adatok védelmére vonatkozó uniós jog hatálya alól, mégpedig akkor is, ha a külső jogalany általi adatkezelés az érintetteket jelentős kockázatoknak tenné ki.

65

Az európai adatvédelmi biztos továbbá rámutat, hogy az uniós jogalkotó az álnevesítés fogalmának bevezetésével egyértelművé tette, hogy a személyes adatoknak az ilyen adatok védelmére vonatkozó uniós jog hatálya alól történő kizárásához nem elegendő ezen adatokat különválasztani az érintett azonosítását lehetővé tévő további információktól.

66

Végül az európai adatvédelmi biztos emlékeztet arra, hogy a személyes adatok fogalmát tágan kell értelmezni, ami – véleménye szerint – szükséges ahhoz, hogy az adatvédelmi jog hatékonyan érvényesüljön. Mivel a Törvényszék értelmezése lehetővé tenné, hogy az álnevesített adatokat tévesen anonim adatoknak tekintsék, az veszélyeztetné az uniós jogalkotó által elérni kívánt és a Charta által megkövetelt magas szintű védelmet. Az Európai Adatvédelmi Testület szerint a Törvényszék által elfogadott értelmezés azzal a kockázattal is járna, hogy az álnevesített adatok korlátozás nélkül lennének kezelhetők az GDPR és az 2018/1725 rendelet alapján, beleértve a megosztásukat, a nyilvánosságra hozatalukat és harmadik országok részére történő továbbításukat is.

67

A Bizottság által támogatott ESZT vitatja ezt az érvelést.

68

Az első jogalap második részének első kifogása lényegében azon a megfontoláson alapul, hogy az olyan álnevesített adatok, mint a Deloitte‑nak továbbított észrevételek, szükségképpen személyes adatoknak minősülnek az érintett azonosítását lehetővé tévő információk puszta létezése miatt, anélkül hogy konkrétan meg kellene vizsgálni, hogy az álnevesítés ellenére azonosítható‑e az a személy, akire ezek az adatok vonatkoznak.

69

E tekintetben emlékeztetni kell arra, hogy magának a 2018/1725 rendelet 3. cikkének 1. pontja értelmében az információnak „azonosított vagy azonosítható” természetes személyre kell vonatkoznia ahhoz, hogy az e rendelkezés értelmében vett személyes adatnak minősüljön. Így e rendelet alkalmazása főszabály szerint a szóban forgó információval érintett azonosított vagy azonosítható jellegére vonatkozó vizsgálatot feltételez.

70

Ezt az értelmezést megerősíti a 2018/1725 rendelet (16) preambulumbekezdésének ötödik és hatodik mondata, amelyek szerint a „személyes adatok” fogalommeghatározása nem vonatkozik „az anonim információkra, vagyis az olyan információkra, amelyek nem azonosított vagy nem azonosítható természetes személyre vonatkoznak”, sem pedig „az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, hogy annak következtében az érintett nem vagy többé nem azonosítható” (lásd analógia útján: 2023. december 5‑iNacionalinis visuomenės sveikatos centras ítéletet, C‑683/21, EU:C:2023:949, 57. pont).

71

Ami közelebbről az álnevesített adatokat illeti, először is meg kell jegyezni, hogy ezeket az adatokat nem említik a „személyes adatok” 2018/1725 rendelet 3. cikkének 1. pontjában szereplő jogi fogalommeghatározásában, hanem a jellemzőik e rendelet 3. cikkének 6. pontjából következnek. Ez utóbbi rendelkezés az „álnevesítés” fogalmát úgy határozza meg, hogy „a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve, hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni”.

72

Amint arra a főtanácsnok az indítványának 46. és 48. pontjában lényegében rámutatott, az álnevesítés tehát nem része a „személyes adatok” fogalommeghatározásának, hanem olyan technikai és szervezési intézkedések bevezetésére utal, amelyek célja egy adatállomány valamely érintett személyazonosságával való összekapcsolhatóságára vonatkozó kockázatok csökkentése. Az említett rendelet (17) preambulumbekezdése szerint az álnevesítés „[csupán] csökkentheti […] a kockázatokat” az ilyen összekapcsolhatóságra vonatkozóan e személyek számára, és ezért „segíthet az adatkezelőknek és az adatfeldolgozóknak abban, hogy az adatvédelmi kötelezettségeiknek eleget tegyenek”.

73

Másodszor, a 2018/1725 rendelet 3. cikke 6. pontjának szövegéből kitűnik, hogy az „álnevesítés” fogalma az érintett azonosítását lehetővé tévő információk létezését feltételezi. Márpedig magának az ilyen információknak a létezésével ellentétes, hogy az álnevesített adatokat szükségképpen – az e rendelet hatálya alól kizárt – anonim adatoknak lehessen tekinteni.

74

Ugyanakkor harmadszor az említett rendelet 3. cikkének 6. pontjában előírt, az azonosító információk külön tárolására, valamint a technikai és szervezési intézkedésekre vonatkozó azon követelmény „hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni” arra utal, hogy az álnevesítés célja többek között annak elkerülése, hogy az érintett pusztán az álnevesített adatok révén azonosítható legyen.

75

Amennyiben ugyanis ilyen technikai és szervezési intézkedéseket ténylegesen bevezetnek, és azok alkalmasak arra, hogy megakadályozzák a szóban forgó adatoknak az érintetthez való kapcsolását olyan módon, hogy az érintett nem vagy többé nem azonosítható, az álnevesítés befolyással lehet ezen adatoknak a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett személyes jellegére.

76

E tekintetben pontosítani kell, hogy – amint az általában az álnevesítést végző adatkezelőre jellemző – az ESZT rendelkezik a jelen ügyben olyan további információkkal, amelyek lehetővé teszik, hogy a Deloitte‑nak továbbított észrevételeket az érintetthez kapcsolják, így az ESZT számára ezek az észrevételek az álnevesítés ellenére megőrzik a személyes jellegüket.

77

Ami a Deloitte‑ot illeti, amelynek az ESZT álnevesített észrevételeket továbbított, a 2018/1725 rendelet 3. cikkének 6. pontjában említett technikai és szervezési intézkedések – amint azt lényegében az ESZT állítja – azzal a hatással járhatnak, hogy e társaság tekintetében ezek az észrevételek nem személyes jellegűek. Ez azonban egyrészt azt feltételezi, hogy a Deloitte ezeket az intézkedéseket ne oldhassa fel az említett észrevételeknek az ellenőrzése alatt végzett bármilyen kezelése során. Másrészt az említett intézkedéseknek ténylegesen meg kell tudniuk olyan módon akadályozni, hogy a Deloitte ugyanezen észrevételeket más azonosító módszerek, például más tényekkel való összevetés révén az érintetthez kapcsolja, hogy annak következtében e társaság számára az érintett személy nem vagy többé nem azonosítható.

78

Ezt az értelmezést megerősíti a 2018/1725 rendelet (16) preambulumbekezdése, amely, miután az első mondatában kimondja, hogy „[a]z adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell”, a második mondata úgy szól, hogy „[a]z olyan álnevesített személyes adatokat, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni”.

79

A személyes adatokra és az álnevesített adatokra vonatkozó ezen utalásokat követően ugyanis e preambulumbekezdés harmadik mondata pontosítja, hogy valamely természetes személy azonosíthatóságának meghatározásakor figyelembe kell venni „minden olyan módszert […], amelyről észszerűen feltételezhető”, hogy az adatkezelő vagy „más személy” a természetes személy „közvetlen vagy közvetett” azonosítására felhasználhatja. A negyedik mondat továbbá kimondja, hogy annak meghatározásakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, figyelembe kell venni „minden objektív tényezőt […], így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat és a technológia fejlődését”.

80

Márpedig, amint arra a főtanácsnok az indítványának 51. pontjában lényegében rámutatott, az érintett azonosítható vagy nem azonosítható jellegének értékelésére vonatkozó eme pontosítások hatékony érvényesülése nem lenne biztosított, ha az álnevesített adatokat szükségképpen és minden személy tekintetében személyes adatnak kellene tekinteni a 2018/1725 rendelet alkalmazásában.

81

E tekintetben emlékeztetni kell arra, hogy egy olyan sajtóközleményt illetően, amely – név szerinti megjelölése nélkül – egy személyre vonatkozó néhány jelzést tartalmazott, a Bíróság a 2024. március 7‑iOC kontra Bizottság ítéletében (C‑479/22 P, EU:C:2024:215, 52–64. pont) nem szorítkozott arra a megállapításra, hogy az e közleményt közzétevő uniós szerv rendelkezett az e személy azonosítását lehetővé tévő valamennyi információval, hanem megvizsgálta, hogy az említett közleményben szereplő jelzések észszerűen lehetővé teszik‑e az érintett nyilvánosság számára e személy azonosítását, különösen ezen jelzések és az interneten elérhető információk kombinációja révén.

82

A Bíróság továbbá már kimondta, hogy valamely eszköz nem minősül az érintett azonosításához észszerűen alkalmazható eszköznek, ha valójában jelentéktelennek tűnik az azonosítás veszélye, mivel e személy azonosítását törvény tiltja, vagy a gyakorlatban nem megvalósítható, például azon ok miatt, hogy aránytalan idő‑, költség‑ vagy munkaráfordítás lenne hozzá szükséges (lásd ebben az értelemben: 2024. március 7‑iOC kontra Bizottság ítélet, C‑479/22 P, EU:C:2024:215, 51. pont, valamint az ott hivatkozott ítélkezési gyakorlat). Ez az ítélkezési gyakorlat megerősíti azt az értelmezést, amely szerint az érintett azonosítását lehetővé tévő további információk létezése önmagában nem jelenti azt, hogy az álnevesített adatokat a 2018/1725 rendelet alkalmazásában szükségképpen és minden személy tekintetében személyes adatnak kell tekinteni.

83

Hasonlóképpen a Bíróság többek között a 2016. október 19‑iBreyer ítéletben (C‑582/14, EU:C:2016:779, 44., 47. és 48. pont) és a 2024. március 7‑iIAB Europe ítéletben (C‑604/22, EU:C:2024:214, 43. és 48. pont) lényegében kimondta, hogy az adatkezelő által gyűjtött és tárolt önmagukban személytelen adatok mégis egy azonosítható személyhez kapcsolódnak, mihelyt az adatkezelő jogi eszközökkel rendelkezik e személy azonosítását lehetővé tevő további információk másoktól való megszerzésére. Ilyen feltételek mellett ugyanis az a körülmény, hogy az érintett azonosítását lehetővé tévő információk különböző személyeknél voltak, az azonosítását ténylegesen nem akadályozhatta olyan módon, hogy annak következtében az adatkezelő számára nem azonosítható volt.

84

Különösen a 2023. november 9‑iGesamtverband Autoteile‑Handel (A gépjárművekre vonatkozó információkhoz való hozzáférés) ítéletből (C‑319/22, EU:C:2023:837, 46. és 49. pont) eredő ítélkezési gyakorlat szerint az önmagukban személytelen adatok „személyes” jelleget öltenek, ha az adatkezelő azokat olyanok rendelkezésére bocsátja, akik rendelkeznek olyan módszerekkel, amelyekről észszerűen feltételezhető, hogy az érintettet azonosíthatják. Ez utóbbi ítéletből különösen az következik, hogy – az ilyen rendelkezésre bocsátással összefüggésben – az említett adatok mind e személyek, mind közvetetten az adatkezelő számára személyes jellegűek.

85

Következésképpen az előző pontban felidézett ítélkezési gyakorlatra tekintettel az európai adatvédelmi biztos tévesen állítja, hogy az a körülmény, hogy adott esetben álnevesített adatok nem személyes jellegűek azon személyek számára, akiknek az adatkezelő álnevesített adatokat továbbít, lehetővé tenné ezen adatok jogszerűtlen kivonását a személyes adatok védelmére vonatkozó uniós jog hatálya alól. Ezen ítélkezési gyakorlat szerint ugyanis az említett körülmény nem befolyásolja ugyanezen adatok személyes jellegének értékelését, különösen a harmadik fél részére történő esetleges későbbi továbbításukkal összefüggésben. Így, amennyiben nem kizárt, hogy e harmadik fél észszerűen képes lesz arra, hogy a rendelkezésére álló más adatokkal való összevetéshez hasonló módszerek révén az álnevesített adatokat az érintetthez kapcsolja, e személyt – mind e továbbítást, mind pedig ezen adatok említett harmadik fél általi bármely további kezelését illetően – azonosíthatónak kell tekinteni. Ilyen körülmények között az álnevesített adatokat személyes adatoknak kell tekinteni.

86

Ebből következik, hogy az európai adatvédelmi biztos állításával ellentétben az álnevesített adatok a 2018/1725 rendelet alkalmazásában nem tekinthetők szükségképpen és minden személy számára személyes adatoknak, mivel az álnevesítés az ügy körülményeitől függően ténylegesen megakadályozhatja az adatkezelőtől eltérő személyeket az érintett azonosításában olyan módon, hogy annak következtében az számukra nem vagy többé nem azonosítható.

87

Ezt az értelmezést nem kérdőjelezi meg az európai adatvédelmi biztos által hivatkozott azon körülmény, amely szerint a 2018/1725 rendelet (16) preambulumbekezdésének negyedik mondata az adatkezelőre vagy „más személyre” vonatkozik. Magából e mondatnak a jelen ítélet 79. pontjában felidézett szövegéből ugyanis az következik, hogy az csak azokra a személyekre utal, akik rendelkeznek azokkal a módszerekkel, amelyekről észszerűen feltételezhető, hogy az érintett azonosítására felhasználhatják, vagy ezekhez hozzáférhetnek. Márpedig, amint az a jelen ítélet 75–77. pontjában megállapításra került, az álnevesítés az ügy körülményeitől függően ténylegesen megakadályozhatja az adatkezelőn kívüli más személyeket az érintett azonosításában oly módon, hogy ennek következtében az számukra nem vagy többé nem azonosítható.

88

Ami az európai adatvédelmi biztosnak a személyes adatok magas szintű védelmének biztosítására irányuló célkitűzésen alapuló érvét illeti, noha a 2018/1725 rendelet 3. cikke 1. pontjának szövege az uniós jogalkotó azon célját tükrözi, hogy a „személyes adatok” fogalmának tág jelentést adjon, e fogalom nem korlátlan, mivel e rendelkezés többek között megköveteli, hogy az érintett azonosított vagy azonosítható legyen.

89

Különösen, amint arra a főtanácsnok az indítványának 58. pontjában rámutatott, a 2018/1725 rendelet olyan kötelezettségeket tartalmaz – mint e rendelet 15. cikkében az érintett számára információk rendelkezésre bocsátásának kötelezettsége –, amelyek tiszteletben tartása feltételezi az érintett azonosítását. Márpedig ilyen kötelezettségek nem telepíthetők egy olyan jogalanyra, amely egyáltalán nem képes ezt az azonosítást elvégezni.

90

Következésképpen az első jogalap második részének első kifogását mint megalapozatlant el kell utasítani.

91

Az első jogalap második részének második kifogásában az európai adatvédelmi biztos arra hivatkozik, hogy a Törvényszék nem vette figyelembe a 2016. október 19‑iBreyer ítéletből (C‑582/14, EU:C:2016:779) eredő ítélkezési gyakorlatot.

92

Először is a Törvényszék nem vette figyelembe az érintett „azonosíthatóságára” vonatkozó feltétel objektív jellegét, többek között annak megállapításával a megtámadott ítélet 97., 99. és 100. pontjában, hogy az európai adatvédelmi biztosnak meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított észrevételek ez utóbbi szemszögéből személyes adatoknak minősültek‑e. Az európai adatvédelmi biztos szerint ugyanis a 2016. október 19‑iBreyer ítélet (C‑582/14, EU:C:2016:779) 47. és 48. pontjából az következik, hogy az érintett azonosítását lehetővé tévő jogi eszközök puszta létezése elegendő annak megállapításához, hogy e személy azonosítható. Márpedig a jelen ügyben az ESZT képes volt azonosítani az érintetteket, amely körülményt a Törvényszék nem vett kellőképpen figyelembe az ezen ítéletből eredő ítélkezési gyakorlat alkalmazása során.

93

Másodszor, az európai adatvédelmi biztos azt állítja, hogy az említett ítéletben az érintett azonosíthatóságát vagy azonosíthatatlanságát az adatkezelő szemszögéből értékelték, mégpedig az ezen adatkezelő és az e személy azonosítását lehetővé tévő további információkkal rendelkező jogalanyok közötti bármilyen kapcsolat hiányában. Ezzel szemben a jelen ügyben a Deloitte nem adatkezelő, továbbá szerződésben áll az ESZT‑vel. E különbségekre tekintettel az európai adatvédelmi biztos úgy véli, hogy nem volt köteles elvégezni azon módszerek teljes körű értékelését, amelyekről észszerűen feltételezhető, hogy a Deloitte számára lehetővé tehetik az érintettek azonosítását.

94

Mindenesetre, abban az esetben, ha mégis értékelnie kellett volna, hogy a Deloitte képes volt‑e azonosítani a részére továbbított észrevételek szerzőit, az európai adatvédelmi biztos azt állítja, hogy semmi sem akadályozta meg a Deloitte‑ot ezen azonosítás elvégzésében.

95

A Bizottság által támogatott ESZT vitatja ezt az érvelést.

96

Először is, többek között a megtámadott ítélet 96., 97. és 100. pontjában a Törvényszék helyesen támaszkodott olyan megközelítésre, amely szerint az érintett azonosíthatóságát minden egyes – releváns információkat kezelő – személy és érintett adatkezelő vonatkozásában kell megvizsgálni. Márpedig a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettséggel összefüggésben e vizsgálatot a szóban forgó információk címzettje szemszögéből kell elvégezni.

97

Másodszor, az ESZT azt állítja, hogy a jelen ügy és a 2016. október 19‑iBreyer ítélet (C‑582/14, EU:C:2016:779) alapjául szolgáló ügy közötti állítólagos különbségeken alapuló érvelés elfogadhatatlan. Úgy véli, hogy ez az érvelés megkérdőjelezi a Törvényszéknek a megtámadott ítélet 94. és 95. pontjában szereplő azon ténybeli megállapításait, amelyek szerint a Deloitte nem fért hozzá a panaszosok azonosításához szükséges azonosító információkhoz.

98

A megtámadott ítélet 97–100. pontjában a Törvényszék többek között lényegében kimondta, hogy a 2016. október 19‑iBreyer ítéletből (C‑582/14, EU:C:2016:779) eredő ítélkezési gyakorlatnak megfelelően az európai adatvédelmi biztosnak meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított észrevételek ez utóbbi szemszögéből személyes adatoknak minősültek‑e. E következtetés levonásához a Törvényszék többek között rámutatott arra, hogy a 2018/1725 rendelet 15. cikke (1) bekezdése d) pontjának a vitatott határozatban megállapított megsértése arra vonatkozott, hogy az ESZT ezeket az észrevételeket továbbította a Deloitte‑nak, és nem csupán arra, hogy azok az ESZT birtokában voltak.

99

Elöljáróban emlékeztetni kell arra, hogy a 2018/1725 rendelet 3. cikkének 1. pontja nem pontosítja kifejezetten az érintett azonosíthatóságának értékelése tekintetében releváns szemszöget, míg e rendelet (16) preambulumbekezdése különbségtétel nélkül vonatkozik az „adatkezelőre” vagy „más személyre”. Az állandó ítélkezési gyakorlat szerint ugyanis annak érdekében, hogy valamely adatot „személyes adatnak” minősítsenek, nem követelmény, hogy az érintett személy azonosítását lehetővé tévő minden adat egy személy kezében legyen (lásd ebben az értelemben: 2016. október 19‑iBreyer ítélet, C‑582/14, EU:C:2016:779, 43. pont; 2024. március 7‑iOC kontra Bizottság ítélet, C‑479/22 P, EU:C:2024:215, 48. pont).

100

A többek között a 2016. október 19‑iBreyer ítéletből (C‑582/14, EU:C:2016:779) eredő, a jelen ítélet 81–84. pontjában felidézett ítélkezési gyakorlat szerint az érintett azonosíthatóságának értékelése tekintetében releváns szemszög alapvetően minden egyes konkrét esetben az adatkezelés sajátos körülményeitől függ.

101

A jelen ügyben emlékeztetni kell arra, hogy a vitatott határozatban az európai adatvédelmi biztos megállapította, hogy az ESZT azáltal, hogy elmulasztotta megemlíteni a Deloitte‑ot az észrevételek összegyűjtésének időpontjában benyújtott titoktartási nyilatkozatban az észrevételek potenciális címzettjeként, megsértette a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjából eredő tájékoztatási kötelezettségét.

102

E rendelet 15. cikkének (1) bekezdése meghatározza azokat az információkat, amelyeket az adatkezelőnek az érintett rendelkezésére kell bocsátania, ha a személyes adatokat tőle gyűjtik, azzal pontosítva, hogy ezeket az információkat „a személyes adatok megszerzésének időpontjában” kell ezen érintett rendelkezésére bocsátani. E rendelkezés szövege szerint ezeket az információkat az adatkezelőnek azonnal, már ezen adatok gyűjtésének időpontjában rendelkezésre kell bocsátania (lásd analógia útján: 2019. július 29‑iFashion ID ítélet, C‑40/17, EU:C:2019:629, 104. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

103

Ami közelebbről a személyes adatok esetleges címzettjeire vonatkozó, az említett rendelet 15. cikke (1) bekezdésének d) pontjában említett információt illeti, az érintettől való adatgyűjtéskor rendelkezésre bocsátandó egyik információról van szó.

104

A 2018/1725 rendelet 14. cikkének (1) bekezdése előírja, hogy az adatkezelő megfelelő intézkedéseket hoz többek között annak érdekében, hogy az érintett részére különösen e rendelet 15. cikkében említett információkat tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa, hogy ezen érintett olyan helyzetben legyen, hogy teljes mértékben megértse a részére megküldött információkat (lásd analógia útján: 2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet, C‑487/21, EU:C:2023:369, 38. pont; 2024. július 11‑iMeta Platforms Ireland [Képviseleti kereset] ítélet, C‑757/22, EU:C:2024:598, 55. és 56. pont).

105

E tájékoztatási kötelezettség tiszteletben tartásának fontosságát a 2018/1725 rendelet (35) preambulumbekezdése is megerősíti, amelynek első és második mondata kimondja, hogy a tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól, kiemelve, hogy az adatkezelő azokat a további információkat is az érintett rendelkezésére bocsátja, amelyek a tisztességes és átlátható adatkezelés biztosításához szükségesek, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát, ahogy azt e rendelet 15. cikkének (2) bekezdése előírja (lásd analógia újtán: 2024. július 11‑iMeta Platforms Ireland [Képviseleti kereset] ítélet, C‑757/22, EU:C:2024:598, 57. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

106

Így, ha az ilyen adatoknak az érintettől történő gyűjtése – mint a jelen ügyben a meghallgatáshoz való jogra vonatkozó eljárás keretében – ezen érintett hozzájárulásán alapul, az említett érintett által adott hozzájárulás érvényessége többek között attól függ, hogy e személy előzőleg megkapta‑e a szóban forgó személyes adatok kezelésének valamennyi körülményére vonatkozó, őt a 2018/1725 rendelet 15. cikke alapján megillető és azt lehetővé tévő tájékoztatást, hogy a tények teljes ismeretében adja meg hozzájárulását (lásd analógia útján: 2024. július 11‑iMeta Platforms Ireland [Képviseleti kereset] ítélet, C‑757/22, EU:C:2024:598, 60. pont).

107

Ami azt az esetet illeti továbbá, amikor az érintett köteles személyes adatokat közölni az adatkezelővel, e rendelet (35) preambulumbekezdésének negyedik mondata pontosítja, hogy az érintettet arról is tájékoztatni kell, hogy köteles‑e e személyes adatokat közölni, valamint hogy az adatszolgáltatás elmaradása milyen következményekkel jár, ami megerősíti az említett rendelet 15. cikkében előírt tájékoztatás jelentőségét már az érintettől való adatgyűjtés időpontjában.

108

E körülmények között úgy tűnik, hogy az arra vonatkozó kötelezettség, hogy – a rá vonatkozó személyes adatok gyűjtésének időpontjában – az ezen adatok esetleges címzettjeire vonatkozó információt az érintett rendelkezésére bocsássák, többek között azt a célt szolgálja, hogy lehetővé tegye e személy számára, hogy a tények teljes ismeretében döntsön arról, hogy a tőle gyűjtött személyes adatokat közli‑e vagy éppen ellenkezőleg, megtagadja azok szolgáltatását.

109

Hozzá kell tenni, hogy – amint azt lényegében a Bizottság állította a tárgyaláson – az esetleges címzettekre vonatkozó információ kétségkívül elengedhetetlen ahhoz, hogy az érintett később megvédhesse a jogait e címzettekkel szemben. Mindazonáltal az arra vonatkozó kötelezettség, hogy ezt az információt a személyes adatok gyűjtésének időpontjában bocsássák rendelkezésre, biztosítja többek között azt, hogy ezeket az adatokat az adatkezelő ne az érintett akarata ellenére gyűjtse, vagy akár akarata ellenére továbbítsa harmadik félnek.

110

Ebből az következik, hogy – amint arra a főtanácsnok az indítványának 69. pontjában rámutatott – a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség az érintett és az adatkezelő között fennálló jogviszony keretébe illeszkedik, és ezért az e személyre vonatkozó – ezen adatkezelőnek átadott – információkra vonatkozik, tehát minden harmadik félnek történt esetleges továbbítást megelőzően.

111

Következésképpen meg kell állapítani, hogy a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség alkalmazásában az érintett azonosíthatóságát az adatgyűjtés időpontjában és az adatkezelő szemszögéből kell értékelni.

112

Ebből az következik, hogy – amint arra a főtanácsnok az indítványának 79. pontjában lényegében rámutatott – az ESZT‑t terhelő tájékoztatási kötelezettség a jelen esetben a szóban forgó észrevételek továbbítását megelőzően, és függetlenül – a Deloitte szemszögéből – a személyes vagy nem személyes jellegüktől az esetleges álnevesítésüket követően alkalmazandó volt.

113

Ezt az értelmezést nem kérdőjelezi meg az ESZT‑nek a 2018/1725 rendelet 15. cikke (1) bekezdése d) pontjának szövegén alapuló azon érve, amely a „személyes adatok címzettjeire” hivatkozik. Amint ugyanis az a jelen ítélet 102–108. pontjából kitűnik, e rendelkezés az adatkezelőt az ilyen adatok gyűjtésének időpontjában terhelő tájékoztatási kötelezettséget szabályozza. Márpedig az, hogy az adatkezelő ebben az időpontban eleget tett‑e tájékoztatási kötelezettségének, nem függhet az érintett azonosításának lehetőségeitől, amelyekkel adott esetben a szóban forgó adatok későbbi továbbítását követően egy esetleges címzett rendelkezik.

114

Amint arra a főtanácsnok az indítványának 77. pontjában lényegében rámutatott, az ESZT azon érvelése, amely szerint a címzett szemszögét kellene figyelembe venni e tájékoztatási kötelezettségnek való megfelelés ellenőrzése érdekében, ezen ellenőrzés időbeli elhalasztását eredményezné. Mivel az említett ellenőrzés szükségszerűen a címzettnek már továbbított személyes adatokra vonatkozna, ez az érvelés a tájékoztatási kötelezettség célját sem veszi figyelembe, amely elválaszthatatlanul kapcsolódik az adatkezelő és az érintett közötti kapcsolathoz.

115

Következésképpen a Törvényszék tévesen alkalmazta a jogot, amikor a megtámadott ítélet 97., 98., 100., 101. és 103–105. pontjában azt állapította meg, hogy annak értékeléséhez, hogy az ESZT eleget tett‑e a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontja szerinti tájékoztatási kötelezettségének, az európai adatvédelmi biztosnak meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított észrevételek ez utóbbi szemszögéből személyes adatoknak minősültek‑e.

116

Ebből következik, hogy anélkül, hogy az európai adatvédelmi biztosnak a jelen ítélet 93. és 94. pontjában összefoglalt érveit meg kellene vizsgálni, az első jogalap második része második kifogásának helyt kell adni.

117

Mivel a fellebbezés első jogalapjának első része és második részének második kifogása megalapozott, nem kell megvizsgálni az európai adatvédelmi biztosnak a 2018/1725 rendelet 4. cikke (2) bekezdésének és 26. cikke (1) bekezdésének megsértésén alapuló, második jogalapját.

118

Mivel tehát a fellebbezés első jogalapjának helyt kell adni, a megtámadott ítéletet hatályon kívül kell helyezni.

119

Az Európai Unió Bírósága alapokmánya 61. cikke első bekezdésének második mondata értelmében a Bíróság a Törvényszék határozatának hatályon kívül helyezése esetén az ügyet érdemben maga is eldöntheti, amennyiben a per állása megengedi.

120

A jelen ügyben a per állása megengedi a határozathozatalt a kereset első, a 2018/1725 rendelet 3. cikkének 1. pontjának európai adatvédelmi biztos általi arra vonatkozó állítólagos megsértésén alapuló jogalapját illetően, hogy a Deloitte‑nak továbbított információk nem minősültek személyes adatoknak. A jelen ítélet 58–60. pontjában szereplő megfontolásokra tekintettel ugyanis az európai adatvédelmi biztos egyrészt téves jogalkalmazás nélkül állapíthatta meg, hogy a Deloitte‑nak továbbított észrevételek természetes személyekre, azaz ezen észrevételek szerzőire vonatkozó információknak minősültek. Másrészt, amint az ezen ítélet 111. pontjában megállapításra került, az e rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség alkalmazása keretében az érintett azonosíthatóságát az adatkezelő szemszögéből kell értékelni. Márpedig a felek között nem vitatott, hogy az ESZT adatkezelőként rendelkezett az említett észrevételek szerzőinek azonosításához szükséges valamennyi információval. A fentiekből az következik, hogy a vitatott információk – az ESZT állításával ellentétben – személyes adatoknak minősülnek. Következésképpen a kereset első jogalapját – mint megalapozatlant – el kell utasítani.

121

Ezzel szemben a per állása a kereset második jogalapját illetően nem engedi meg az ügy eldöntését, mivel e jogalap olyan ténybeli értékeléseket von maga után, amelyeket a Törvényszék nem végzett el.

122

Következésképpen az ügyet vissza kell utalni a Törvényszékhez a második jogalap vizsgálata céljából.

123

Mivel a Bíróság az ügyet visszautalja a Törvényszék elé, a jelen fellebbezési eljárás költségeiről jelenleg nem kell határozni.

A fenti indokok alapján a Bíróság (első tanács) a következőképpen határozott: