Unión Europea
TJUE clarifica alcance del concepto de datos personales en el marco de la transmisión de información seudonimizada a terceros
Subraya que las opiniones y puntos de vista personales están necesariamente vinculados a la identidad de quien los emite. Además, precisa que la identificabilidad de los datos debe evaluarse desde la perspectiva del responsable del tratamiento y en el momento de la recogida. La obligación de informar a los interesados se mantiene incluso antes de transferir los datos, independientemente de la seudonimización posterior.
El Tribunal de Justicia de la Unión Europea (TJUE) anuló la sentencia del Tribunal General de la Unión Europea (TGUE) que había invalidado una decisión del Supervisor Europeo de Protección de Datos (SEPD) en relación con la transmisión de información seudonimizada a una empresa. Según el fallo, la naturaleza personal de opiniones y puntos de vista expresados por los afectados está intrínsecamente vinculada a su identidad. También estableció que la obligación de informar corresponde al responsable del tratamiento en el momento de la recogida de los datos y no puede depender de la seudonimización posterior ni de la perspectiva de terceros.
Tras una resolución del Banco Popular Español, la Junta Única de Resolución (JUR) adoptó una decisión preliminar relativa a la compensación de antiguos accionistas y acreedores, sin oírlos previamente. Posteriormente, abrió un procedimiento para recabar observaciones, parte de las cuales fueron transmitidas a la empresa Deloitte en forma de datos seudonimizados, con el fin de realizar una valoración sobre los efectos de la resolución.
Varios interesados reclamaron ante el Supervisor Europeo de Protección de Datos (SEPD), alegando falta de información sobre la cesión de datos a Deloitte. El SEPD consideró que Deloitte era destinatario de datos personales y que la JUR incumplió la obligación de información del Reglamento 2018/1725. La JUR interpuso recurso de anulación ante el Tribunal General de la Unión Europea, que estimó parcialmente la demanda y anuló la decisión del SEPD. Posteriormente, la decisión fue recurrida ante el TJUE.
En su análisis de fondo, el Tribunal observa que, “(…) el TGUE incurrió en error de derecho al sostener que el SEPD, para concluir que la información contenida en las observaciones transmitidas a Deloitte “se refería”, en el sentido del Reglamento 2018/1725, a las personas que presentaron dichas observaciones, debía haber examinado el contenido, finalidad o efectos de esas observaciones, cuando era un hecho incontrovertido que expresaban la opinión personal o el punto de vista de sus autores. Esa interpretación desconoce la naturaleza particular de las opiniones o puntos de vista personales que, como expresión del pensamiento de una persona, están necesariamente estrechamente vinculados a ella”.
Agrega que, “(…) el Tribunal General actuó correctamente en la medida en que sostuvo que los datos seudonimizados no deben considerarse, en todos los casos y respecto de toda persona, como datos personales a efectos de la aplicación del Reglamento 2018/1725. De las disposiciones de ese Reglamento, tal como han sido interpretadas por la jurisprudencia, se desprende que la seudonimización puede, según las circunstancias del caso, impedir efectivamente que personas distintas del responsable del tratamiento identifiquen al interesado de tal forma que, para ellas, éste no sea o ya no sea identificable. En ese contexto, se debe recordar cuidadosamente la orientación derivada de su jurisprudencia relativa a la evaluación de la identificabilidad del interesado en situaciones en las que la información que permite identificarlo no se encuentra en poder de otras personas.
Comprueba que, “(…) el TGUE incurrió en error de derecho al sostener que, para evaluar si la JUR había cumplido su obligación de información, el SEPD debía haber examinado si las observaciones transmitidas a Deloitte constituían, desde el punto de vista de Deloitte, datos personales. La jurisprudencia establece claramente que la perspectiva relevante para evaluar la identificabilidad del interesado depende, en esencia, de las circunstancias del tratamiento de los datos en cada caso concreto”
El Tribunal concluye que, “(…) la obligación de información forma parte de la relación jurídica entre el interesado y el responsable del tratamiento y, por tanto, se refiere a la información en relación con ese interesado tal como fue transmitida a dicho responsable, es decir, antes de cualquier eventual transferencia a un tercero. En consecuencia, la identificabilidad del interesado debe evaluarse en el momento de la recogida de los datos y desde el punto de vista del responsable del tratamiento. La obligación de información de la JUR era aplicable antes de la transferencia de los datos controvertidos y con independencia de que esos datos constituyeran o no, desde el punto de vista de Deloitte, datos personales tras una eventual seudonimización”.
Al tenor de lo expuesto, el Tribunal acogió el recurso y anuló la sentencia dictada por el TGUE en todas sus partes.
Temas
Te puede interesar
Suscribirme a Newsletter