C-413/23

EUROOPA KOHTU OTSUS (esimene koda) 4. september 2025 ( *1 ) Apellatsioonkaebus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Krediidiasutuse aktsionäridele ja võlausaldajatele hüvitise maksmise menetlus pärast krediidiasutuse kriisilahendust – Euroopa Andmekaitseinspektori otsus, millega tuvastatakse isikuandmete töötlemisega seotud kohustuste rikkumine Ühtse Kriisilahendusnõukogu poolt – Määrus (EL) 2018/1725 – Artikli 15 lõike 1 punkt d – Kohustus teavitada andmesubjekti – Pseudonümiseeritud andmete edastamine kolmandale isikule – Artikli 3 punkt 1 – Mõiste „isikuandmed“ – Artikli 3 punkt 6 – Mõiste „pseudonümiseerimine“ Kohtuasjas C‑413/23 P, mille ese on Euroopa Liidu Kohtu põhikirja artikli 56 alusel 5. juulil 2023 esitatud apellatsioonkaebus, Euroopa Andmekaitseinspektor, esindajad: P. Candellier, G. Devin, X. Lareo, D. Nardi ja T. Zerdick ning hiljem P. Candellier, X. Lareo, D. Nardi, N. Stolić ja T. Zerdick, apellant, keda toetab: Euroopa Andmekaitsenõukogu, esindajad: C. Foglia, M. Gufflet, G. Le Grand ja I. Vereecken, keda abistasid avocat E. de Lophem, advocaat G. Ryelandt ja avocat P. Vernet, menetlusse astuja apellatsioonimenetluses, teine menetlusosaline: Ühtne Kriisilahendusnõukogu (SRB), esindajad: H. Ehlers, M. Fernández Rupérez ja A. Lapresta Bienz, keda abistasid Rechtsanwälte M. Braun, H.‑G. Kamann ja avocat F. Louis, hageja esimeses kohtuastmes, keda toetab: Euroopa Komisjon, esindajad: A. Bouchagiar ja H. Kranenborg, menetlusse astuja apellatsioonimenetluses, EUROOPA KOHUS (esimene koda), koosseisus: koja president F. Biltgen, Euroopa Kohtu asepresident T. von Danwitz (ettekandja) esimese koja kohtuniku ülesannetes, kohtunikud A. Kumin, I. Ziemele ja S. Gervasoni, kohtujurist: D. Spielmann, kohtusekretär: ametnik M. Longar, arvestades kirjalikku menetlust ja 7. novembri 2024. aasta kohtuistungil esitatut, olles 6. veebruari 2025. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku, on teinud järgmise kohtuotsuse 1 Euroopa Andmekaitseinspektor (edaspidi „andmekaitseinspektor“) palub oma apellatsioonkaebuses tühistada Euroopa Liidu Üldkohtu 26. aprilli 2023. aasta otsuse SRB vs. andmekaitseinspektor (T‑557/20, edaspidi „vaidlustatud kohtuotsus“, EU:T:2023:219), millega Üldkohus tühistas andmekaitseinspektori 24. novembri 2020. aasta muudetud otsuse, mis võeti vastu pärast seda, kui Ühtne Kriisilahendusnõukogu (SRB) oli esitanud taotluse vaadata uuesti läbi andmekaitseinspektori 24. juuni 2020. aasta otsus viie kaebuse kohta, mille olid esitanud mitu kaebajat (juhtumid 2019‑947, 2019‑998, 2019‑999, 2019‑1000 ja 2019‑1122) (edaspidi „vaidlusalune otsus“). I. Õiguslik raamistik 2 Euroopa Parlamendi ja nõukogu 23. oktoobri 2018. aasta määruse (EL) 2018/1725, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist, ning millega tunnistatakse kehtetuks määrus (EÜ) nr 45/2001 ja otsus nr 1247/2002/EÜ (ELT 2018, L 295, lk 39), põhjendused 5, 16, 17 ja 35 on sõnastatud järgmiselt: „(5) Kogu [Euroopa L]iitu hõlmava isikuandmete kaitset käsitleva sidusa lähenemisviisi ja liidus isikuandmete vaba liikumise huvides on ühtlustada võimalikult suures ulatuses liidu institutsioonide, organite ja asutuste andmekaitsenorme liikmesriikides avaliku sektori jaoks kehtestatud andmekaitsenormidega. Kui käesoleva määruse sätted tuginevad samadele põhimõtetele kui [Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta] määruse (EL) 2016/679 [füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „IKÜM“)] sätted, tuleks mõlemaid õigusnormide kogumeid [Euroopa Kohtu] kohtupraktika kohaselt tõlgendada ühetaoliselt, eelkõige seetõttu, et käesoleva määruse ülesehitust tuleks mõista määruse (EL) 2016/679 ülesehituse vastena. […] (16) Andmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes. Pseudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta. Füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada, näiteks teiste hulgast esiletoomine. Selleks et teha kindlaks, kas füüsilise isiku tuvastamiseks võetakse mõistliku tõenäosusega meetmeid, tuleks arvestada kõiki objektiivseid tegureid, näiteks tuvastamise maksumus ja selleks vajalik aeg, võttes arvesse nii andmete töötlemise ajal kättesaadavat tehnoloogiat kui ka tehnoloogia arengut. Andmekaitse põhimõtteid ei tuleks seetõttu kohaldada anonüümse teabe suhtes, mis on teave, mis ei ole seotud tuvastatud või tuvastatava füüsilise isikuga, või isikuandmete suhtes, mis on muudetud anonüümseks, nii et andmesubjekti ei ole võimalik või ei ole enam võimalik tuvastada. Käesolevas määruses ei käsitleta seega sellise anonüümse teabe töötlemist, sealhulgas statistilisel või uuringute eesmärgil. (17) Isikuandmete pseudonümiseerimine võib vähendada asjaomaste andmesubjektide jaoks ohte ning aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi. „Pseudonümiseerimise“ selgesõnaline kasutuselevõtmine käesolevas määruses ei ole mõeldud välistama muid andmekaitsemeetmeid. […] (35) Õiglase ja läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse isikuandmete töötlemise toimingu tegemisest ja selle eesmärkidest. Vastutav töötleja peaks esitama andmesubjektile igasuguse täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti. Lisaks tuleks andmesubjekti teavitada profiilianalüüsi olemasolust ja sellise analüüsi tagajärgedest. Kui isikuandmeid kogutakse andmesubjektilt, tuleks teda teavitada ka sellest, kas ta on kohustatud isikuandmeid esitama, ja selliste andmete esitamata jätmise tagajärgedest. Sellise teabe võib esitada koos standardsete ikoonidega, et anda kavandatavast töötlemisest selgelt nähtaval, arusaadaval ja loetaval viisil sisuline ülevaade. Kui ikoonid esitatakse elektrooniliselt, peaksid need olema masinloetavad.“ 3 Määruse 2018/1725 artikli 3 „Mõisted“ punktides 1, 6, 8 ja 13 on ette nähtud: „Käesolevas määruses kasutatakse järgmisi mõisteid: 1) „isikuandmed“ – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekt“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal; […] 6) „pseudonümiseerimine“ – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid; […] 8) „vastutav töötleja“ – liidu institutsioon või organ, peadirektoraat või muu organisatsiooniline üksus, kes määrab üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud teatava liidu õigusaktiga, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu õiguses; […] 13) „vastuvõtja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kellele isikuandmed avaldatakse, olenemata sellest, kas tegemist on kolmanda isikuga või mitte. Vastuvõtjateks ei peeta siiski avaliku sektori asutusi, kes võivad kooskõlas liidu või liikmesriigi õigusega saada isikuandmeid seoses konkreetse päringuga; nimetatud avaliku sektori asutused töötlevad kõnealuseid isikuandmeid kooskõlas asjaomaste andmekaitsenormidega vastavalt töötlemise eesmärkidele“. 4 Määruse artikli 4 „Isikuandmete töötlemise põhimõtted“ lõikes 2 on sätestatud: „Vastutav töötleja vastutab lõike 1 täitmise eest ja peab olema võimeline selle täitmist tõendama („vastutus“).“ 5 Määruse artikli 14 „Selge teave, teavitamine ja andmesubjekti õiguste teostamise kord“ lõikes 1 on ette nähtud: „Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 15 ja 16 osutatud teave ning teavitada teda artiklite 17–24 ja 35 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“ 6 Määruse artiklis 15 „Teave, mis tuleb esitada juhul, kui isikuandmed on kogutud andmesubjektilt“ on sätestatud: „1. Kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks kogu järgmise teabe: […] d) asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta; […] 2. Peale lõikes 1 osutatud teabe esitab vastutav töötleja isikuandmete saamise ajal andmesubjektile järgmise täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks: a) isikuandmete säilitamise ajavahemik või, kui see ei ole võimalik, sellise ajavahemiku määramise kriteeriumid; b) teave õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu andmesubjekti puudutavatele isikuandmetele ning nende parandamist või kustutamist või isikuandmete töötlemise piiramist või, kui see on kohaldav, teave õiguse kohta esitada vastuväide isikuandmete töötlemisele või teave isikuandmete ülekandmise õiguse kohta; […] e) teave selle kohta, kas isikuandmete esitamine on õigusaktist või lepingust tulenev kohustus või lepingu sõlmimiseks vajalik nõue, samuti selle kohta, kas andmesubjekt on kohustatud kõnealuseid isikuandmeid esitama, ning selliste andmete esitamata jätmise võimalike tagajärgede kohta, ning […]“. 7 Määruse 2018/1725 artiklis 24 on kindlaks määratud tingimused, mille korral võib üksikotsus põhineda automatiseeritud töötlusel, sealhulgas profiilianalüüsil. 8 Määruse artikli 26 „Vastutava töötleja vastutus“ lõikes 1 on ette nähtud: „Arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid.“ II. Vaidluse taust 9 Vaidluse taust on esitatud vaidlustatud kohtuotsuse punktides 2–32 ja selle võib kokku võtta järgmiselt. 10 Kriisilahendusnõukogu täitevistung võttis 7. juunil 2017 Euroopa Parlamendi ja nõukogu 15. juuli 2014. aasta määruse (EL) nr 806/2014, millega kehtestatakse ühtsed eeskirjad ja ühtne menetlus krediidiasutuste ja teatavate investeerimisühingute kriisilahenduseks ühtse kriisilahenduskorra ja ühtse kriisilahendusfondi raames ning millega muudetakse määrust (EL) nr 1093/2010 (ELT 2014, L 225, lk 1) (edaspidi „ühtse kriisilahenduskorra määrus“), alusel vastu otsuse SRB/EES/2017/08, mis käsitleb Banco Popular Español SA kriisilahenduse skeemi. 11 Asudes seisukohale, et ühtse kriisilahenduskorra määruse artikli 18 lõikes 1 ette nähtud tingimused olid täidetud, otsustas kriisilahendusnõukogu selles otsuses algatada Banco Popular Español SA (edaspidi „Banco Popular“) suhtes kriisilahendusmenetluse. Nii otsustas kriisilahendusnõukogu määruse artikli 21 kohaselt Banco Populari kapitaliinstrumendid alla hinnata ja konverteerida ning kohaldada määruse artikli 24 alusel ettevõtte võõrandamise vahendit aktsiate üleandmisega omandajale. 12 Samal päeval võttis Euroopa Komisjon vastu otsuse (EL) 2017/1246, millega kinnitati Banco Popular Español SA kriisilahenduse skeem (ELT 2017, L 178, lk 15). 13 Banco Populari kriisilahenduse tulemusel tegi kriisilahendusnõukogu audiitor- ja konsultatsiooniettevõtjale Deloitte’ile ülesandeks anda erineva kohtlemise kohta määruse artikli 20 lõigetes 16–18 ette nähtud hinnang, et teha kindlaks, kas Banco Populari aktsionäre ja võlausaldajaid oleks koheldud paremini, kui tema suhtes oleks algatatud tavaline maksejõuetusmenetlus (edaspidi „3. hinnang“). 14. juunil 2018 edastas ta selle hinnangu kriisilahendusnõukogule. 14 Kriisilahendusnõukogu avaldas 6. augustil 2018 oma veebisaidil 2. augusti 2018. aasta teate oma eelotsuse kohta, kas on vaja anda hüvitist aktsionäridele ja võlausaldajatele seoses Banco Populari suhtes võetud kriisilahendusmeetmetega, ning arvamuse avaldamise menetluse algatamise kohta (SRB/EES/2018/132) (edaspidi „eelotsus“), ja 3. hinnangu mittekonfidentsiaalse versiooni. 7. augustil 2018 avaldati teadaanne selle teate kohta Euroopa Liidu Teatajas (ELT 2018, C 277 I, lk 1). 15 Kriisilahendusnõukogu märkis eelotsuses, et lõpliku otsuse tegemiseks selle kohta, kas aktsionäridele ja võlausaldajatele, keda Banco Populari kriisilahendus mõjutab (edaspidi „mõjutatud aktsionärid ja võlausaldajad“), on vaja anda hüvitist ühtse kriisilahenduskorra määruse artikli 76 lõike 1 punkti e alusel, kutsub ta neid üles väljendama huvi kasutada vastavalt Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artikli 41 lõike 2 punktile a oma õigust olla ära kuulatud. A. Arvamuse avaldamise menetlus 16 Eelotsuses esitatud andmete kohaselt pidi arvamuse avaldamise menetlus toimuma kahes etapis. 17 Esimeses etapis (edaspidi „registreerimisetapp“) kutsuti mõjutatud aktsionäre ja võlausaldajaid üles väljendama veebipõhise registreerimisvormi abil kuni 14. septembrini 2018 huvi kasutada oma õigust olla ära kuulatud. Selles etapis pidid mõjutatud aktsionärid ja võlausaldajad, kes soovisid kasutada oma õigust olla ära kuulatud, esitama kriisilahendusnõukogule tõendid selle kohta, et Banco Populari kriisilahenduse kuupäeval oli neil üks või mitu tema kapitaliinstrumenti, mis kriisilahenduse raames hinnati alla või konverteeriti ja anti üle Banco Santander SA‑le. Dokumendid, mis tuli esitada, seisnesid isikut tõendavas dokumendis ja tõendis mõne kapitaliinstrumendi omandiõiguse kohta 6. juuni 2017. aasta seisuga. Seejärel pidi kriisilahendusnõukogu kontrollima, kas iga huvi üles näidanud isik on tegelikult mõjutatud aktsionär või võlausaldaja. 18 6. augustil 2018 ehk registreerimisetapi alguskuupäeval avaldas kriisilahendusnõukogu arvamuse avaldamise menetlusse registreerimise veebilehel ja oma veebisaidil ka konfidentsiaalsusdeklaratsiooni seoses isikuandmete töötlemisega selles menetluses (edaspidi „konfidentsiaalsusdeklaratsioon“). 19 Teises etapis (edaspidi „konsulteerimisetapp“) võisid isikud, kelle seisundit mõjutatud aktsionäride ja võlausaldajatena oli kriisilahendusnõukogu kontrollinud, esitada oma kommentaarid eelotsuse kohta, millele oli lisatud 3. hinnang. Kriisilahendusnõukogu teatas 16. oktoobril 2018 oma veebisaidil, et alates 6. novembrist 2018 palutakse mõjutatud aktsionäridel ja võlausaldajatel esitada eelotsuse kohta oma kirjalikud kommentaarid konsulteerimisetapis. 20 Kriisilahendusnõukogu saatis 6. novembril 2018 e‑posti teel mõjutatud aktsionäridele ja võlausaldajatele ainulaadse isikliku lingi, mis võimaldas neil internetis juurde pääseda teatud vormile, mis sisaldas seitset küsimust koos vastamiseks mõeldud piiratud väljaga, mis võimaldas mõjutatud aktsionäridel ja võlausaldajatel esitada 26. novembriks 2018 kommentaare eelotsuse ja 3. hinnangu mittekonfidentsiaalse versiooni kohta. 21 Kriisilahendusnõukogu analüüsis mõjutatud aktsionäride ja võlausaldajate asjakohaseid kommentaare eelotsuse kohta. Ta palus Deloitte’il sõltumatu hindajana hinnata asjakohaseid kommentaare 3. hinnangu kohta, esitada oma hinnangut sisaldava dokumendi ja analüüsida, kas see hinnang on neid kommentaare arvestades jätkuvalt kehtiv. B. Arvamuse avaldamise menetluses kriisilahendusnõukogu kogutud andmete töötlemine 22 Registreerimisetapis kogutud andmed, nimelt tõendid mõjutatud aktsionäride ja võlausaldajate isikusamasuse ning Banco Populari alla hinnatud või konverteeritud ja üle antud kapitaliinstrumentide omandiõiguse kohta, olid kättesaadavad piiratud arvule kriisilahendusnõukogu teenistujatele, nimelt neile, kes töötlesid neid andmeid, et teha kindlaks, kas neil aktsionäridel ja võlausaldajatel on õigus saada hüvitist. 23 Konsulteerimisetapis saadud kommentaaride töötlemise eest vastutanud kriisilahendusnõukogu töötajatel ei olnud juurdepääsu ei registreerimisetapis kogutud andmetele, kuna need kommentaarid olid eraldatud nende mõjutatud aktsionäride ja võlausaldajate isikuandmetest, kes need esitasid, ega andmevõtmele või teabele, mis võimaldanuks tuvastada aktsionäri või võlausaldaja isiku igale vormi abil esitatud kommentaarile omistatud ainulaadse tähtnumbrilise koodi alusel. Tähtnumbriline kood seisnes ainulaadses 33‑kohalises universaalses identifikaatoris, mis oli vormile vastuse saamise hetkel juhuslikkuse alusel loodud. 24 Esimeses etapis filtreeris kriisilahendusnõukogu automaatselt 23822 kommentaari, millest igaüks kandis ainulaadset tähtnumbrilist koodi ja mille olid esitanud 2855 menetluses osalejat. Kaks algoritmi võimaldasid tuvastada, et 20101 kommentaari olid identsed. Sel juhul peeti esimesena esitatud kommentaari algseks kommentaariks, mis vaadati läbi analüüsietapis, ning hiljem saadud identsed kommentaarid tähistati kordustena. 25 Teises etapis tegi kriisilahendusnõukogu kindlaks esitatud kommentaarid, mis kuulusid arvamuse avaldamise menetluse kohaldamisalasse, kuna need võisid mõjutada eelotsust või 3. hinnangut. Seejärel jagas ta need kommentaarid nendeks, mille pidi läbi vaatama kriisilahendusnõukogu, kuna need puudutasid eelotsust, ja nendeks, mille pidi läbi vaatama Deloitte, kuna need puudutasid 3. hinnangut. Selle etapi tulemusel tegi kriisilahendusnõukogu kindlaks 3730 kommentaari, mis liigitati nende asjakohasuse ja teema alusel. 26 Kolmandas etapis töötles kriisilahendusnõukogu eelotsuse kohta esitatud kommentaare, ja 3. hinnangu kohta esitatud kommentaarid, mida oli 1104, edastati 17. juunil 2019 Deloitte’ile kriisilahendusnõukogu jaoks ette nähtud turvalise virtuaalse andmeserveri kaudu. Viimane laadis Deloitte’ile edastatavad failid sellesse serverisse üles ning andis neile failidele juurdepääsu piiratud ja kontrollitud arvule Deloitte’i töötajatele, nimelt neile, kes olid otseselt seotud 3. hinnangut puudutavate kommentaaride läbivaatamisega. 27 Deloitte’ile edastatud kommentaarid sõeluti, liigitati kategooriatesse ja koondati. Kui need kujutasid endast varasemate kommentaaride koopiaid, siis edastati Deloitte’ile vaid üks versioon, mistõttu ei olnud konkreetseid korduvaid kommentaare võimalik sama teema raames eristada ning Deloitte’il ei olnud võimalik teada, kas kommentaari oli esitanud üks või mitu arvamuse avaldamise menetluses osalejat. 28 Deloitte’ile edastati üksnes need kommentaarid, mis olid saadud konsulteerimisetapis, ja need kandsid tähtnumbrilist koodi. Kriisilahendusnõukogu oli siiski ainus, kes sai selle koodi abil siduda kommentaarid andmetega, eelkõige kommentaaride esitajate identifitseerimisandmetega, mis saadi registreerimisetapis. Tähtnumbriline kood töötati välja auditi eesmärgil, et oleks võimalik kontrollida ja vajaduse korral kohtumenetluses tõendada, et iga kommentaari käsitleti ja võeti nõuetekohaselt arvesse. Deloitte’il ei olnud juurdepääsu registreerimisetapis ega arvamuse avaldamise menetluses kogutud andmete kogumile ja tal ei olnud sellele juurdepääsu ka vaidlustatud kohtuotsuse kuulutamise kuupäeval. C. Menetlus andmekaitseinspektori juures 29 2019. aasta oktoobris ja detsembris saatsid vormile vastanud mõjutatud aktsionärid ja võlausaldajad andmekaitseinspektorile määruse 2018/1725 alusel viis kaebust. Nendes kaebustes väitsid nad, et rikutud on määruse artikli 15 lõike 1 punkti d, kuna kriisilahendusnõukogu ei teavitanud neid sellest, et vormile antud vastuste abil kogutud andmed edastatakse kolmandatele isikutele, nimelt Deloitte’ile ja Banco Santanderile, rikkudes konfidentsiaalsusdeklaratsiooni tingimusi. 30 Selle menetluse tulemusel, mille käigus kriisilahendusnõukogu esitas andmekaitseinspektori palvel mitmesuguseid selgitusi ja kaebajad esitasid seisukohad, võttis andmekaitseinspektor 24. juunil 2020 vastu otsuse viie kaebuse kohta, mille olid esitanud mitu kaebajat ühtse kriisilahendusnõukogu vastu (juhtumid 2019‑947, 2019‑998, 2019‑999, 2019‑1000 ja 2019‑1122) (edaspidi „algne otsus“). Andmekaitseinspektor leidis selles otsuses, et kriisilahendusnõukogu oli rikkunud määruse 2018/1725 artiklit 15, kuna ta ei teavitanud kaebajaid konfidentsiaalsusdeklaratsioonis võimalusest, et nende isikuandmed edastatakse Deloitte’ile. Seetõttu tegi ta kriisilahendusnõukogule rikkumise eest määruse artikli 58 lõike 2 punkti b alusel noomituse. 31 Kriisilahendusnõukogu palus 22. juulil 2020 andmekaitseinspektoril algne otsus uuesti läbi vaadata vastavalt Euroopa Andmekaitseinspektori 15. mai 2020. aasta otsuse Euroopa Andmekaitseinspektori töökorra vastuvõtmise kohta (ELT 2020, L 204, lk 49) artikli 18 lõikele 1. Kriisilahendusnõukogu kirjeldas muu hulgas üksikasjalikult arvamuse avaldamise menetlust ja nende kommentaaride analüüsi, mille olid konsulteerimisetapis esitanud tuvastatud kaebajatest neli. Ta väitis, et Deloitte’ile edastatud teave ei kujutanud endast isikuandmeid määruse 2018/1725 artikli 3 punkti 1 tähenduses. 32 Andmekaitseinspektor teatas 5. augustil 2020 kriisilahendusnõukogule, et esitatud uusi asjaolusid arvesse võttes on ta otsustanud algse otsuse uuesti läbi vaadata ja selle asendamiseks võtab ta vastu uue otsuse. 33 Uuesti läbivaatamise menetluse tulemusel, mille käigus kaebajad esitasid seisukohad ja kriisilahendusnõukogu esitas andmekaitseinspektori palvel lisateavet, võttis viimane 24. novembril 2020 vastu vaidlusaluse otsuse. 34 Selle otsusega muutis andmekaitseinspektor algset otsust järgmiselt: „1. Andmekaitseinspektor leiab, et andmed, mida kriisilahendusnõukogu Deloitte’iga jagas, olid pseudonümiseeritud andmed nii seetõttu, et [konsulteerimis]etapi kommentaarid olid isikuandmed, kui ka seetõttu, et kriisilahendusnõukogu jagas tähtnumbrilist koodi, mis võimaldas seostada [registreerimis]etapis saadud vastuseid [konsulteerimis]etapis saadud vastustega, kuigi andmeid, mille osalejad esitasid [registreerimis]etapis enda tuvastamiseks, Deloitte’ile ei edastatud. 2. Andmekaitseinspektor leiab, et Deloitte oli kaebajate isikuandmete vastuvõtja määruse 2018/1725 artikli 3 punkti 13 tähenduses. Asjaolu, et Deloitte’i ei olnud kriisilahendusnõukogu konfidentsiaalsusdeklaratsioonis mainitud kriisilahendusnõukogu kui arvamuse avaldamise menetluses vastutava töötleja kogutavate ja töödeldavate isikuandmete võimaliku vastuvõtjana, kujutab endast [määruse 2018/1725] artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustuse rikkumist. 3. Võttes arvesse kõiki tehnilisi ja korralduslikke meetmeid, mille kriisilahendusnõukogu on võtnud, et leevendada ohtu üksikisikute õigusele andmekaitsele arvamuse avaldamise menetluses, otsustab andmekaitseinspektor mitte kasutada [määruse 2018/1725] artikli 58 lõikes 2 ette nähtud õigust võtta parandusmeetmeid. 4. Andmekaitseinspektor soovitab siiski kriisilahendusnõukogul tagada, et tema konfidentsiaalsusdeklaratsioonid tulevastes arvamuse avaldamise menetlustes hõlmavad isikuandmete töötlemist nii registreerimisetapis kui ka konsulteerimisetapis ning et need hõlmavad kõiki kogutud teabe potentsiaalseid vastuvõtjaid, et täielikult täita andmesubjektide teavitamise kohustust vastavalt [määruse 2018/1725] artiklile 15.“ III. Menetlus Üldkohtus ja vaidlustatud kohtuotsus 35 Kriisilahendusnõukogu esitas hagiavalduse, mis saabus Üldkohtu kantseleisse 1. septembril 2020 ning milles ta palus esiteks tühistada vaidlusalune otsus ja teiseks tunnistada algne otsus õigusvastaseks. 36 Kriisilahendusnõukogu põhjendas esimest nõuet kahe väitega, millest esimese kohaselt oli rikutud määruse 2018/1725 artikli 3 punkti 1, kuna Deloitte’ile edastatud teave ei kujutanud endast isikuandmeid, ja teise kohaselt oli rikutud harta artikliga 41 tagatud õigust heale haldusele. 37 Vaidlustatud kohtuotsuses jättis Üldkohus pädevuse puudumise tõttu teise nõude tunnistada algne otsus õigusvastaseks läbi vaatamata, kuna kriisilahendusnõukogu eesmärk oli saavutada deklaratiivne kohtuotsus, mitte akti tühistamine. 38 Seevastu tunnistas Üldkohus esimese nõude vastuvõetavaks. Sisulistes küsimustes nõustus Üldkohus hagi esimese väitega ja tühistas vaidlusaluse otsuse, ilma et ta oleks teist väidet läbi vaadanud. IV. Menetlus Euroopa Kohtus ja poolte nõuded 39 Euroopa Kohtu presidendi 20. oktoobri 2023. aasta otsusega lubati komisjonil astuda menetlusse kriisilahendusnõukogu nõuete toetuseks. Euroopa Kohtu presidendi 29. novembri 2023. aasta määrusega lubati Euroopa Andmekaitsenõukogul astuda menetlusse andmekaitseinspektori nõuete toetuseks. 40 Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, palub Euroopa Kohtul: – tühistada vaidlustatud kohtuotsus, – teha vaidluse kohta lõplik otsus ning – mõista apellatsioonimenetluse ja Üldkohtu menetluse kohtukulud välja kriisilahendusnõukogult. 41 Kriisilahendusnõukogu, keda toetab komisjon, palub Euroopa Kohtul: – jätta apellatsioonkaebus rahuldamata; – teise võimalusena tühistada vaidlusalune otsus; – kolmanda võimalusena saata kohtuasi tagasi Üldkohtusse ning – mõista apellatsioonimenetluse ja Üldkohtu menetluse kohtukulud välja andmekaitseinspektorilt. V. Apellatsioonkaebus 42 Andmekaitseinspektor, keda toetab Euroopa Andmekaitsenõukogu, põhjendab oma apellatsioonkaebust kahe väitega, millest esimese kohaselt on eiratud määruse 2018/1725 artikli 3 punkte 1 ja 6, nagu Euroopa Kohus on neid tõlgendanud, ning teise kohaselt on eiratud selle määruse artikli 4 lõiget 2 ja artikli 26 lõiget 1. A. Esimene väide 43 Esimeses väites leiab andmekaitseinspektor sisuliselt, et Üldkohus rikkus määruse 2018/1725 artikli 3 punktide 1 ja 6 tõlgendamisel õigusnormi, kui ta leidis, et andmekaitseinspektor oli vaidlusaluses otsuses ekslikult järeldanud, et käesolevas asjas kõne all olev teave kujutab endast isikuandmeid. Väide jaguneb kaheks osaks. Esimene väiteosa puudutab määruse artikli 3 punktis 1 ette nähtud tingimust, mille kohaselt teave peab olema füüsilise isiku „kohta“, ja teine väiteosa puudutab samas sättes ette nähtud tingimust, et see isik peab olema „tuvastatav“. 1. Esimene väiteosa, mille kohaselt on vääralt tõlgendatud määruse 2018/1725 artikli 3 punktis 1 ette nähtud tingimust, et teave peab olema füüsilise isiku „kohta“ a) Poolte argumendid 44 Esimese väite esimeses osas leiab andmekaitseinspektor, et vastupidi sellele, mida Üldkohus otsustas vaidlustatud kohtuotsuse punktides 60–74, edastati Deloitte’ile teavet füüsilise isiku „kohta“ määruse 2018/1725 artikli 3 punkti 1 tähenduses. 45 Esimesena väidab andmekaitseinspektor, et vastupidi sellele, mis nähtub vaidlustatud kohtuotsuse punktist 70, ei saa andmekaitseasutused olla kohustatud igal juhul analüüsima teabe sisu, eesmärki või toimet, et kontrollida, kas see puudutab füüsilist isikut. Andmekaitseinspektori sõnul ei saanud sellist analüüsi nõuda muu hulgas kommentaaride puhul, mille kriisilahendusnõukogu edastas Deloitte’ile, kuna tema arvates oli selge, et need kommentaarid olid füüsilise isiku „kohta“, kuna need väljendasid Banco Populari teatud võlausaldajate ja aktsionäride isiklikku seisukohta seoses nende võimaliku õigusega saada ühtse kriisilahenduskorra määruse artikli 76 lõike 1 punkti e alusel hüvitist. 46 Teisena väidab andmekaitseinspektor vastupidi vaidlustatud kohtuotsuse punktis 71 esitatud järeldusele, et isikuandmete olemasolu järeldamiseks ei tuginenud ta mitte ainult Deloitte’ile edastatud kommentaaride laadile, vaid ka asjaolule, et sellele äriühingule edastati ka tähtnumbriline kood. 47 Kolmandana väidab andmekaitseinspektor, et vaidlustatud kohtuotsuses on vastuolu, kuna Üldkohus märkis ühelt poolt selle kohtuotsuse punktis 7, et Deloitte’ile edastatud kommentaaride eesmärk oligi võimaldada konkreetsetel füüsilistel isikutel, st mõjutatud aktsionäridel ja võlausaldajatel kasutada oma õigust olla ära kuulatud võimalikku hüvitise saamiseks ühtse kriisilahenduskorra määruse artikli 76 lõike 1 punkti e alusel. Vastuolus selle esimese järeldusega leidis Üldkohus teiselt poolt selle kohtuotsuse punktis 73, et andmekaitseinspektor tugines eeldustele, mille kohaselt kõik Deloitte’ile edastatud kommentaarid kujutasid endast isikuandmeid, tõendamata, et need puudutasid füüsilisi isikuid. 48 Kriisilahendusnõukogu, keda toetab komisjon, väidab, et need argumendid tuleb tagasi lükata. 49 Esiteks võib vastavalt 20. detsembri 2017. aasta kohtuotsusest Nowak (C‑434/16, EU:C:2017:994, punktid 34 ja 35) ning 4. mai 2023. aasta kohtuotsusest Österreichische Datenschutzbehörde ja CRIF (C‑487/21, EU:C:2023:369, punktid 23 ja 24) tulenevale kohtupraktikale objektiivne või subjektiivne teave arvamuste või hinnangute vormis kujutada endast isikuandmeid, tingimusel et see „puudutab“ asjaomast isikut. Lisaks tuleneb sellest kohtupraktikast, et teave puudutab tuvastatud või tuvastatavat füüsilist isikut, kui see on oma sisu, eesmärgi või toime tõttu seotud tuvastatava isikuga. Seega leidis Üldkohus vaidlustatud kohtuotsuse punktides 70–74 õigesti, et andmekaitseinspektor eiras seda kohtupraktikat, kui ta piirdus märkimisega, et Deloitte’ile edastatud kommentaarid peegeldasid mõjutatud aktsionäride ja võlausaldajate arvamusi või seisukohti, ning seega ei analüüsinud, kas need kommentaarid olid oma sisu, eesmärgi või toime poolest seotud tuvastatava isikuga. 50 Teiseks kujutab andmekaitseinspektori väide, et nende kommentaaride eesmärgist tuleneb tingimata see, et tegemist on isikuandmetega, endast uut faktiväidet, mis esitati esimest korda apellatsioonikohtus ja mis on seetõttu vastuvõetamatu. Igal juhul ei saa see väide olla tulemuslik, kuna andmekaitseinspektor ei analüüsinud seda küsimust vaidlusaluses otsuses. 51 Mis puudutab kolmandaks väidetavat vastuolu vaidlustatud kohtuotsuse punktide 7 ja 73 põhjenduste vahel, siis väidab kriisilahendusnõukogu, et selle kohtuotsuse punktis 7 esitatud kirjeldus ei sisalda mingit teavet Deloitte’ile edastatud kommentaaride sisu, eesmärgi ega toime kohta ega ole seega vastuolus selle kohtuotsuse punktis 73 esitatud järeldusega. b) Euroopa Kohtu hinnang 52 Kõigepealt tuleb märkida, et määruse 2018/1725 artikli 3 punktis 1 esineva mõiste „isikuandmed“ määratlus on sisuliselt identne IKÜM artikli 4 punktis 1 sisalduva määratlusega, mille ulatus on omakorda sisuliselt identne sellega, mis sisaldus Euroopa Parlamendi ja nõukogu 24. oktoobri 1995. aasta direktiivi 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (EÜT 1995, L 281, lk 31; ELT eriväljaanne 13/15, lk 355) artikli 2 punktis a. Liidu õiguse ühetaolise ja järjepideva kohaldamise kindlustamiseks tuleb seega tagada määruse 2018/1725 artikli 3 punkti 1, IKÜM artikli 4 punkti 1 ja direktiivi 95/46 artikli 2 punkti a ühesugune tõlgendamine (vt selle kohta 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon, C‑479/22 P, EU:C:2024:215, punkt 43, ning 7. märtsi 2024. aasta kohtuotsus IAB Europe, C‑604/22, EU:C:2024:214, punkt 33 ja seal viidatud kohtupraktika). 53 Määruse 2018/1725 artikli 3 punktis 1 on sätestatud, et isikuandmed on „igasugune teave tuvastatud või tuvastatava füüsilise isiku […] kohta“. 54 Euroopa Kohus on leidnud, et selles sättes ja IKÜM artikli 4 punktis 1 sisalduva mõiste „isikuandmed“ määratluses väljendi „igasugune teave“ kasutamine peegeldab liidu seadusandja eesmärki anda sellele mõistele lai tähendus, mis hõlmab potentsiaalselt igasugust, nii objektiivset kui ka subjektiivset teavet arvamuste või hinnangute vormis, tingimusel et need „puudutavad“ asjaomast isikut (4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, punkt 23 ja seal viidatud kohtupraktika; 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon, C‑479/22 P, EU:C:2024:215, punkt 45, ning 4. oktoobri 2024. aasta kohtuotsus Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punkt 130). 55 Teave puudutab tuvastatud või tuvastatavat füüsilist isikut, kui see on oma sisu, eesmärgi või toime tõttu seotud tuvastatava isikuga (20. detsembri 2017. aasta kohtuotsus Nowak, C‑434/16, EU:C:2017:994, punkt 35; 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon, C‑479/22 P, EU:C:2024:215, punkt 45, ning 7. märtsi 2024. aasta kohtuotsus IAB Europe, C‑604/22, EU:C:2024:214, punkt 37 ja seal viidatud kohtupraktika). 56 Kuigi käesoleval juhul märkis Üldkohus vaidlustatud kohtuotsuse punktis 70, et andmekaitseinspektor ei analüüsinud Deloitte’ile edastatud kommentaaridest nähtuva teabe sisu, eesmärki ega toimet, nähtub selle kohtuotsuse punktidest 71 ja 72 siiski, et järelduseks, et need kommentaarid peegeldasid andmesubjektide arvamusi või seisukohti, oli vaja, et andmekaitseinspektor oleks nende kommentaaride sisu enne analüüsinud. Sellest tõdemusest lähtudes järeldas andmekaitseinspektor, et tegemist on neid isikuid puudutava teabega. Käesoleva kohtuotsuse punktis 55 meenutatud kohtupraktika kohaselt ei pea lisaks teabe sisu analüüsimisele tingimata analüüsima selle teabe eesmärki ja toimet, nagu näitab selles kohtupraktikas viidatud erinevaid kriteeriume ühendava sidesõna „või“ kasutamine. 57 Vaidlustatud kohtuotsuse punktides 73 ja 74 leidis Üldkohus siiski, et andmekaitseinspektor ei saanud Deloitte’ile edastatud kommentaaridest nähtuvat teavet kvalifitseerida isikuandmeteks üksnes selle põhjal, et tegemist oli isiklike arvamuste või seisukohtadega, vaid ta oleks pidanud lisaks analüüsima selliselt väljendatud arvamuste sisu, eesmärki ja toimet, et teha kindlaks, kas need on seotud konkreetse isikuga. 58 See Üldkohtu hinnang eirab isiklike arvamuste või seisukohtade erilist laadi, kuivõrd need on isiku mõtte väljendusena tingimata selle isikuga tihedalt seotud. 59 Eelmises punktis esitatud tõlgendust kinnitab kohtupraktika, mis tuleneb 20. detsembri 2017. aasta kohtuotsusest Nowak (C‑434/16, EU:C:2017:994), mis puudutas muu hulgas eksamineerija märkusi eksaminandi kirjalike vastuste kohta kutsealasel eksamil. Nimelt, kuigi Euroopa Kohus hindas selle kohtuotsuse punktides 42–44 nende märkuste sisu, eesmärki ja toimet ning tuvastas, et need kujutavad endast teavet nendes viidatud eksaminandi kohta, leidis ta sisuliselt, et need märkused puudutavad ka eksamineerijat, kes need koostas, kuna need väljendasid tema arvamust või hinnangut. 60 Sellest järeldub, et Üldkohus rikkus õigusnormi, kui ta otsustas vaidlustatud kohtuotsuse punktides 73 ja 74, et järeldamaks, et Deloitte’ile edastatud kommentaaridest nähtuv teave oli määruse 2018/1725 artikli 3 punkti 1 tähenduses teave kommentaare esitanud isikute „kohta“, oleks andmekaitseinspektor pidanud analüüsima nende kommentaaride sisu, eesmärki või toimet, kuna oli selge, et need väljendasid kommentaaride esitajate isiklikku arvamust või seisukohta. 61 Järelikult tuleb esimese väite esimese osaga nõustuda, ilma et oleks vaja analüüsida käesoleva kohtuotsuse punktides 46 ja 47 kokku võetud argumente. 2. Esimese väite teine osa, mille kohaselt on vääralt tõlgendatud määruse 2018/1725 artikli 3 punktis 1 ette nähtud tingimust, et teave peab olema „tuvastatava“ füüsilise isiku kohta 62 Esimese väite teises osas märgib andmekaitseinspektor, et vaidlustatud kohtuotsuse punktides 76–106 leidis Üldkohus ekslikult, et andmekaitseinspektor ei võinud asuda seisukohale, et Deloitte’ile edastatud kommentaaridest nähtuv teave on „tuvastatava“ füüsilise isiku kohta määruse 2018/1725 artikli 3 punkti 1 tähenduses. See väiteosa koosneb kahest eraldi etteheitest. a) Esimese väite teise osa esimene etteheide 1) Poolte argumendid 63 Kõigepealt tuletab andmekaitseinspektor meelde, et määruse 2018/1725 artikli 3 punkti 1 kohaselt peab vastutaval töötlejal või „kellelgi muul“ olema võimalik tuvastada isik, keda kõnealune teave puudutab. Kuna ei ole märgitud, kellel peab olema võimalik isikut tuvastada, piisab sellest, kui andmesubjekti saab tuvastada. Käesoleval juhul ei ole aga vaidlust selles, et Deloitte’ile edastatud kommentaarid, mis olid kriisilahendusnõukogu käsutuses, kujutavad endast isikuandmeid. Lisaks nähtub selle määruse artikli 3 punktist 6 koostoimes määruse põhjendusega 16, et pseudonümiseeritud andmed on isikuandmed ja seda lihtsalt seetõttu, et on olemas täiendav teave, mis võimaldab neid konkreetse isikuga seostada. 64 Andmekaitseinspektori hinnangul ei võta vaidlustatud kohtuotsuse punktides 90 ja 91 esitatud kaalutlused piisavalt arvesse nende sätete sõnastust ning vahetegemist anonümiseerimise ja pseudonümiseerimise vahel. Sellega seoses täpsustab Euroopa Andmekaitsenõukogu, et Üldkohtu tõlgenduse kohaselt muutub isikuandmete laad, kui need edastatakse vastutavast töötlejast väljaspool olevale üksusele, kellel ei ole täiendavat teavet, mis võimaldaks andmesubjekti tuvastada. Selline tõlgendus võimaldaks vastutaval isikul isikuandmed selliste andmete kaitset reguleeriva liidu õiguse kohaldamisalast alusetult välja jätta ja seda isegi siis, kui töötlemine välise üksuse poolt asetaks andmesubjektid märkimisväärsesse ohtu. 65 Seejärel märgib andmekaitseinspektor, et võttes kasutusele pseudonümiseerimise mõiste, selgitas liidu seadusandja, et isikuandmete väljajätmiseks selliste andmete kaitset reguleeriva liidu õiguse kohaldamisalast ei piisa sellest, et andmed eraldatakse täiendavast teabest, mis võimaldab andmesubjekti tuvastada. 66 Lõpuks tuletab andmekaitseinspektor meelde, et mõistet „isikuandmed“ tuleb tõlgendada laialt, mis on tema arvates vajalik selleks, et andmekaitseõigusel oleks soovitav toime. Kuna Üldkohtu tõlgendus võimaldab ekslikult pidada pseudonümiseeritud andmeid anonüümseteks andmeteks, võib see kahjustada liidu seadusandja taotletavat ja harta kohaselt nõutavat kõrget kaitsetaset. Euroopa Andmekaitsenõukogu sõnul toob Üldkohtu tõlgendus kaasa ka ohu, et pseudonümiseeritud andmeid võidakse töödelda IKÜMist ja määrusest 2018/1725 tulenevate piiranguteta, sealhulgas neid jagada, avaldada ja edastada kolmandatesse riikidesse. 67 Kriisilahendusnõukogu, keda toetab komisjon, vaidleb nendele argumentidele vastu. 2) Euroopa Kohtu hinnang 68 Esimese väite teise osa esimene etteheide põhineb sisuliselt kaalutlusel, et sellised pseudonümiseeritud andmed nagu Deloitte’ile edastatud kommentaarid kujutavad endast igal juhul isikuandmeid ainuüksi seetõttu, et on olemas teave, mis võimaldab andmesubjekti tuvastada, ilma et oleks vaja konkreetselt analüüsida, kas isik, keda need andmed puudutavad, on pseudonümiseerimisest hoolimata tuvastatav. 69 Sellega seoses väärib meeldetuletamist, et juba määruse 2018/1725 artikli 3 punkti 1 sõnastuse kohaselt peab teave käsitlema „tuvastatud või tuvastatavat“ füüsilist isikut, et selle saaks kvalifitseerida isikuandmeteks nimetatud sätte tähenduses. Nii eeldab selle määruse kohaldamine üldjuhul selle analüüsimist, kas isik, keda kõnealune teave puudutab, on tuvastatud või tuvastatav. 70 Seda tõlgendust kinnitavad määruse 2018/1725 põhjenduse 16 viies ja kuues lause, mille kohaselt mõiste „isikuandmed“ määratlus ei kehti „anonüümse teabe suhtes, mis on teave, mis ei ole seotud tuvastatud või tuvastatava füüsilise isikuga“, ega „isikuandmete suhtes, mis on muudetud anonüümseks sellisel viisil, et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada“ (vt analoogia alusel 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, punkt 57). 71 Mis puudutab täpsemalt pseudonümiseeritud andmeid, siis tuleb esiteks märkida, et neid andmeid ei ole mainitud määruse 2018/1725 artikli 3 punktis 1 sisalduva mõiste „isikuandmed“ legaaldefinitsioonis, kuid nende tunnused ilmnevad selle määruse artikli 3 punktist 6. Viimati nimetatud sättes on mõiste „pseudonümiseerimine“ määratletud kui „isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid“. 72 Nagu kohtujurist oma ettepaneku punktides 46 ja 48 sisuliselt märkis, ei ole pseudonümiseerimine seega „isikuandmete“ määratluse osa, vaid see viitab selliste tehniliste ja korralduslike meetmete võtmisele, mille eesmärk on vähendada ohtu, et andmekogum seostatakse andmesubjektide isikuga. Nimetatud määruse põhjenduse 17 kohaselt võib pseudonümiseerimine üksnes „vähendada [nende isikute] jaoks [seostamisega kaasnevaid] ohte“ ning seega „aidata vastutavatel töötlejatel ja volitatud töötlejatel täita oma andmekaitsekohustusi“. 73 Teiseks nähtub määruse 2018/1725 artikli 3 punkti 6 sõnastusest, et mõiste „pseudonümiseerimine“ eeldab sellise teabe olemasolu, mis võimaldab andmesubjekti tuvastada. Ent juba sellise teabe olemasolu välistab selle, et pseudonümiseeritud andmeid võiks igal juhul pidada anonüümseteks andmeteks, mis on selle määruse kohaldamisalast välja jäetud. 74 Samas kolmandaks tähendab määruse artikli 3 punktis 6 ette nähtud nõue hoida tuvastamist võimaldavaid andmeid eraldi ning võtta tehnilisi ja korralduslikke meetmeid „andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks“, et pseudonümiseerimise eesmärk on eelkõige vältida seda, et andmesubjekti saaks tuvastada üksnes pseudonümiseeritud andmete põhjal. 75 Nimelt võib pseudonümiseerimine juhul, kui sellised tehnilised ja korralduslikud meetmed on tõepoolest võetud ja kui need hoiavad ära kõnealuste andmete seostamise andmesubjektiga, nii et andmesubjekti ei ole võimalik tuvastada või ei ole enam võimalik tuvastada, mõjutada seda, kas tegemist on isikuandmetega määruse 2018/1725 artikli 3 punkti 1 tähenduses. 76 Sellega seoses tuleb täpsustada, et nagu tavaliselt pseudonümiseerimise läbi viinud vastutava töötleja puhul, on kriisilahendusnõukogul käesoleval juhul täiendav teave, mis võimaldab seostada Deloitte’ile edastatud kommentaare andmesubjektiga, mistõttu tema jaoks jäävad need kommentaarid pseudonümiseerimisest hoolimata isikuandmeteks. 77 Mis puudutab Deloitte’i, kellele kriisilahendusnõukogu pseudonümiseeritud kommentaarid edastas, siis võivad määruse 2018/1725 artikli 3 punktis 6 osutatud tehnilised ja korralduslikud meetmed – nagu kriisilahendusnõukogu sisuliselt väidab – tuua kaasa selle, et selle äriühingu jaoks ei ole kõnealused kommentaarid isikuandmed. See eeldab siiski ühelt poolt, et Deloitte ei saa neid meetmeid tema kontrolli all toimuval kommentaaride mis tahes töötlemisel kõrvaldada. Teiselt poolt peavad need meetmed tõepoolest takistama Deloitte’il neid kommentaare andmesubjektiga seostamast ka muude identifitseerimisvahendite abil, nagu kattumine teiste andmetega, nii et selle äriühingu jaoks ei ole andmesubjekt tuvastatav või ei ole enam tuvastatav. 78 Seda tõlgendust kinnitab määruse 2018/1725 põhjendus 16, mille esimeses lauses on kõigepealt märgitud, et „[a]ndmekaitse põhimõtteid tuleks kohaldada igasuguse tuvastatud või tuvastatavat füüsilist isikut käsitleva teabe suhtes“, ning seejärel teises lauses leitud, et „[p]seudonümiseeritud andmeid, mida saaks füüsilise isikuga seostada täiendava teabe abil, tuleks käsitada teabena tuvastatava füüsilise isiku kohta“. 79 Pärast neid juhiseid isikuandmete ja pseudonümiseeritud andmete kohta on selle põhjenduse kolmandas lauses nimelt täpsustatud, et füüsilise isiku tuvastatavuse kindlakstegemisel tuleks arvesse võtta „kõiki vahendeid, mida vastutav töötleja või keegi muu võib füüsilise isiku otseseks või kaudseks tuvastamiseks mõistliku tõenäosusega kasutada“. Lisaks on selle põhjenduse neljandas lauses märgitud, et selleks et teha kindlaks, kas füüsilise isiku tuvastamiseks võetakse mõistliku tõenäosusega meetmeid, tuleks arvestada „kõiki objektiivseid tegureid, näiteks tuvastamise maksumus ja selleks vajalik aeg, võttes arvesse nii andmete töötlemise ajal kättesaadavat tehnoloogiat kui ka tehnoloogia arengut“. 80 Ent nagu kohtujurist oma ettepaneku punktis 51 sisuliselt märkis, kaotaksid need täpsustused, mis puudutavad andmesubjekti tuvastatavuse hindamist, kogu soovitava toime, kui pseudonümiseeritud andmeid tuleks määruse 2018/1725 kohaldamisel igal juhul ja iga isiku jaoks pidada isikuandmeteks. 81 Sellega seoses väärib meeldetuletamist, et seoses pressiteatega, mis sisaldas teatud hulka andmeid isiku kohta ilma teda nimeliselt nimetamata, ei piirdunud Euroopa Kohus oma 7. märtsi 2024. aasta kohtuotsuses OC vs. komisjon (C‑479/22 P, EU:C:2024:215, punktid 52–64) tõdemusega, et pressiteate avaldanud liidu asutusel oli kogu teave, mis võimaldas seda isikut tuvastada, vaid analüüsis, kas pressiteates sisaldunud andmed võimaldasid asjaomasel üldsusel mõistlikult selle isiku tuvastada, eelkõige kombineerides neid andmeid internetis kättesaadava teabega. 82 Lisaks on Euroopa Kohus juba leidnud, et andmesubjekti tuvastamiseks ei saa mõistliku tõenäosusega vahendeid kasutada, kui isiku tuvastamise oht näib tegelikkuses vähetähtis, kuna selle isiku tuvastamine on seadusega keelatud või praktikas teostamatu, näiteks seetõttu, et see nõuaks nii ajaliselt, majanduslikult kui ka inimressursside poolest ülemäärast jõupingutust (vt selle kohta 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon, C‑479/22 P, EU:C:2024:215, punkt 51 ja seal viidatud kohtupraktika). See kohtupraktika kinnitab tõlgendust, mille kohaselt ei tähenda andmesubjekti tuvastamist võimaldava täiendava teabe olemasolu iseenesest, et pseudonümiseeritud andmeid tuleb määruse 2018/1725 kohaldamisel igal juhul ja iga isiku jaoks pidada isikuandmeteks. 83 Samamoodi on Euroopa Kohus muu hulgas 19. oktoobri 2016. aasta kohtuotsuses Breyer (C‑582/14, EU:C:2016:779, punktid 44, 47 ja 48) ning 7. märtsi 2024. aasta kohtuotsuses IAB Europe (C‑604/22, EU:C:2024:214, punktid 43 ja 48) sisuliselt leidnud, et andmed, mis iseenesest ei ole isikuandmed, mida vastutav töötleja kogub ja säilitab, on siiski seotud tuvastatava isikuga, kui vastutaval töötlejal on seaduslikud võimalused saada teistelt isikutelt täiendavat teavet, mis võimaldab selle isiku tuvastada. Nimelt ei takistanud sellistel asjaoludel see, et teave, mis võimaldas andmesubjekti tuvastada, oli eri isikute valduses, tegelikult tema tuvastamist sellisel viisil, et ta oleks vastutava töötleja jaoks olnud tuvastamatu. 84 Eelkõige tuleneb 9. novembri 2023. aasta kohtuotsusest Gesamtverband Autoteile-Handel (sõidukiandmete kättesaadavus) (C‑319/22, EU:C:2023:837, punktid 46 ja 49), et andmed, mis iseenesest ei ole isikuandmed, võivad muutuda „isikuandmeteks“, kui vastutav töötleja teeb need kättesaadavaks teistele isikutele, kelle käsutuses on vahendid, mis mõistlikult tõenäoliselt võimaldavad andmesubjekti tuvastada. Viimati nimetatud kohtuotsusest nähtub eelkõige, et sellise kättesaadavaks tegemise kontekstis on need andmed isikuandmed nii nende isikute kui kaudselt ka vastutava töötleja jaoks. 85 Järelikult, arvestades eelmises punktis viidatud kohtupraktikat, väidab andmekaitseinspektor ekslikult, et asjaolu, et pseudonümiseeritud andmed ei ole olenevalt olukorrast isikuandmed isikute jaoks, kellele vastutav töötleja pseudonümiseeritud andmeid edastab, võimaldab need andmed isikuandmete kaitset reguleeriva liidu õiguse kohaldamisalast alusetult välja jätta. Selle kohtupraktika kohaselt ei mõjuta nimetatud asjaolu selle hindamist, kas need andmed on eelkõige nende võimaliku hilisema kolmandatele isikutele edastamise kontekstis isikuandmed. Seega, kuna ei ole välistatud, et kõnealused kolmandad isikud saavad pseudonümiseeritud andmeid andmesubjektiga mõistlikult seostada selliste vahendite abil nagu teiste nende käsutuses olevate andmetega kattuvuse kontrollimine, tuleb asjaomast isikut pidada tuvastatavaks nii nende andmete edastamise kui ka hiljem kolmandate isikute poolt mis tahes töötlemise seisukohast. Sellistel asjaoludel tuleks pseudonümiseeritud andmeid käsitada isikuandmetena. 86 Järelikult vastupidi sellele, mida väidab andmekaitseinspektor, ei tule pseudonümiseeritud andmeid pidada määruse 2018/1725 kohaldamisel igal juhul ja iga isiku jaoks isikuandmeteks, kuna pseudonümiseerimine võib olenevalt juhtumi asjaoludest tõepoolest takistada teistel isikutel peale vastutava töötleja andmesubjekti tuvastada, nii et neil ei ole võimalik või ei ole enam võimalik andmesubjekti tuvastada. 87 Seda tõlgendust ei sea kahtluse alla asjaolu, millele viitab andmekaitseinspektor ja mille kohaselt on määruse 2018/1725 põhjenduse 16 neljandas lauses silmas peetud vastutavat töötlejat või „kedagi muud“. Nimelt tuleneb juba selle lause sõnastusest, mida on meenutatud käesoleva kohtuotsuse punktis 79, et see viitab üksnes isikutele, kelle käsutuses on vahendid või kellel võib olla juurdepääs vahenditele, mida mõistliku tõenäosusega võib kasutada andmesubjekti tuvastamiseks. Ent nagu on märgitud käesoleva kohtuotsuse punktides 75–77, võib pseudonümiseerimine olenevalt juhtumi asjaoludest tõepoolest takistada teistel isikutel peale vastutava töötleja andmesubjekti tuvastada, nii et neil ei ole võimalik või ei ole enam võimalik andmesubjekti tuvastada. 88 Mis puudutab andmekaitseinspektori argumenti, et eesmärk on tagada isikuandmete kaitse kõrge tase, siis kuigi määruse 2018/1725 artikli 3 punkti 1 sõnastus peegeldab liidu seadusandja eesmärki anda mõistele „isikuandmed“ lai tähendus, ei ole see mõiste piiramatu, kuna see säte nõuab eelkõige, et andmesubjekt oleks tuvastatud või tuvastatav. 89 Täpsemalt, nagu kohtujurist oma ettepaneku punktis 58 märkis, sisaldab määrus 2018/1725 selliseid kohustusi nagu määruse artiklis 15 ette nähtud kohustus anda andmesubjektile teavet, mille järgimine eeldab andmesubjekti tuvastamist. Selliseid kohustusi ei saa aga panna üksusele, kellel ei ole kuidagi võimalik andmesubjekti tuvastada. 90 Järelikult tuleb esimese väite teise osa esimene etteheide põhjendamatuse tõttu tagasi lükata. b) Esimese väite teise osa teine etteheide 1) Poolte argumendid 91 Esimese väite teise osa teises etteheites leiab andmekaitseinspektor, et Üldkohus eiras 19. oktoobri 2016. aasta kohtuotsusest Breyer (C‑582/14, EU:C:2016:779) tulenevat kohtupraktikat. 92 Esiteks eiras Üldkohus andmesubjekti „tuvastatavuse“ tingimuse objektiivsust, kui ta otsustas vaidlustatud kohtuotsuse punktides 97, 99 ja 100 eelkõige, et andmekaitseinspektor oleks pidanud analüüsima, kas Deloitte’ile edastatud kommentaarid olid viimase seisukohast isikuandmed. Nimelt tuleneb andmekaitseinspektori hinnangul 19. oktoobri 2016. aasta kohtuotsuse Breyer (C‑582/14, EU:C:2016:779) punktidest 47 ja 48, et ainuüksi sellest, kui on olemas õiguspäraseid vahendeid, mis võimaldavad andmesubjekti tuvastada, piisab, et järeldada, et see isik on tuvastatav. Käesolevas asjas oli kriisilahendusnõukogul aga võimalik andmesubjektid tuvastada – asjaolu, mida Üldkohus ei võtnud sellest kohtuotsusest tuleneva kohtupraktika kohaldamisel piisavalt arvesse. 93 Teiseks väidab andmekaitseinspektor, et nimetatud kohtuotsuses hinnati seda, kas andmesubjekt on tuvastatav või mitte, vastutava töötleja seisukohast, ilma et oleks olnud mingit seost vastutava töötleja ja selle isiku tuvastamist võimaldavat täiendavat teavet valdavate üksuste vahel. Seevastu käesoleval juhul ei ole Deloitte vastutav töötleja ja lisaks on ta kriisilahendusnõukoguga lepingu alusel seotud. Neid erinevusi arvestades leiab andmekaitseinspektor, et ta ei olnud kohustatud täielikult hindama vahendeid, mis mõistliku tõenäosusega võimaldavad Deloitte’il andmesubjekte tuvastada. 94 Igal juhul, kui ta oleks siiski pidanud hindama, kas Deloitte’il oli võimalik tuvastada talle edastatud kommentaaride esitajad, väidab andmekaitseinspektor, et miski ei takistanud Deloitte’il neid tuvastada. 95 Kriisilahendusnõukogu, keda toetab komisjon, vaidleb nendele argumentidele vastu. 96 Esiteks tugines Üldkohus eelkõige vaidlustatud kohtuotsuse punktides 96, 97 ja 100 õigesti lähenemisele, mille kohaselt tuleb andmesubjekti tuvastatavust analüüsida iga asjasse puutuva isiku ja vastutava töötleja seisukohast, kes asjakohast teavet töötleb. Määruse 2018/1725 artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustuse kontekstis peaks see analüüs lähtuma asjaomase teabe saaja seisukohast. 97 Teiseks väidab kriisilahendusnõukogu, et argumendid, mis käsitlevad käesoleva kohtuasja väidetavat erinevust kohtuasjast, milles tehti 19. oktoobri 2016. aasta kohtuotsus Breyer (C‑582/14, EU:C:2016:779), on vastuvõetamatud. Ta leiab, et need argumendid seavad kahtluse alla vaidlustatud kohtuotsuse punktides 94 ja 95 esitatud Üldkohtu tuvastatud faktilised asjaolud, mille kohaselt ei olnud Deloitte’il kaebajate tuvastamiseks vajalikke identifitseerimisandmeid. 2) Euroopa Kohtu hinnang 98 Vaidlustatud kohtuotsuse punktides 97–100 leidis Üldkohus sisuliselt, et vastavalt 19. oktoobri 2016. aasta kohtuotsusest Breyer (C‑582/14, EU:C:2016:779) tulenevale kohtupraktikale oleks andmekaitseinspektor pidanud analüüsima, kas Deloitte’ile edastatud kommentaarid on viimase seisukohast isikuandmed. Sellele järeldusele jõudmiseks märkis Üldkohus muu hulgas, et vaidlusaluses otsuses tuvastatud määruse 2018/1725 artikli 15 lõike 1 punkti d rikkumine puudutas nende kommentaaride edastamist kriisilahendusnõukogu poolt Deloitte’ile, mitte üksnes seda, et need olid kriisilahendusnõukogu valduses. 99 Sissejuhatuseks väärib meeldetuletamist, et määruse 2018/1725 artikli 3 punktis 1 ei ole sõnaselgelt täpsustatud, milline on andmesubjekti tuvastatavuse hindamisel asjakohane vaatepunkt, samas kui määruse põhjenduses 16 on vahet tegemata mainitud „vastutavat töötlejat“ või „kedagi muud“. Lisaks tuleneb väljakujunenud kohtupraktikast, et selleks, et andmeid saaks kvalifitseerida „isikuandmeteks“, ei ole nõutav, et kogu teave, mis võimaldab andmesubjekti tuvastada, peab olema üheainsa isiku valduses (vt selle kohta 19. oktoobri 2016. aasta kohtuotsus Breyer, C‑582/14, EU:C:2016:779, punkt 43, ja 7. märtsi 2024. aasta kohtuotsus OC vs. komisjon, C‑479/22 P, EU:C:2024:215, punkt 48). 100 Vastavalt kohtupraktikale, mis tuleneb eelkõige 19. oktoobri 2016. aasta kohtuotsusest Breyer (C‑582/14, EU:C:2016:779), mida on meenutatud käesoleva kohtuotsuse punktides 81–84, sõltub andmesubjekti tuvastatavuse hindamisel asjakohane vaatepunkt peamiselt igal konkreetsel juhul andmete töötlemist iseloomustavatest asjaoludest. 101 Käesolevas asjas tuleb tähele panna, et andmekaitseinspektor tõdes vaidlusaluses otsuses, et kuna kriisilahendusnõukogu ei maininud kommentaaride kogumise ajal esitatud konfidentsiaalsusdeklaratsioonis Deloitte’i kui kommentaaride võimalikku adressaati, siis rikkus kriisilahendusnõukogu määruse 2018/1725 artikli 15 lõike 1 punktist d tulenevat teavitamiskohustust. 102 Määruse artikli 15 lõikes 1 on kindlaks määratud teave, mille vastutav töötleja peab andmesubjektilt isikuandmete kogumisel andmesubjektile esitama, ning samas on täpsustatud, et see teave tuleb andmesubjektile anda „isikuandmete saamise ajal“. Juba selle sätte sõnastusest tuleneb, et vastutav töötleja peab selle teabe andma kohe, see tähendab andmete kogumise ajal (vt analoogia alusel 29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17, EU:C:2019:629, punkt 104 ja seal viidatud kohtupraktika). 103 Mis puudutab täpsemalt teavet isikuandmete võimalike vastuvõtjate kohta, millele on viidatud määruse artikli 15 lõike 1 punktis d, siis on tegemist teabega, mis muu teabe hulgas tuleb esitada andmesubjektilt andmete kogumisel. 104 Määruse 2018/1725 artikli 14 lõikes 1 on ette nähtud, et vastutav töötleja võtab asjakohased meetmed, tagamaks muu hulgas, et andmesubjektile esitatakse määruse artiklis 15 osutatud teave kokkuvõtlikult, selgelt, arusaadavalt ja lihtsasti kättesaadavas vormis ning selges ja lihtsas keeles, et andmesubjektil oleks võimalik talle esitatud teabe sisu täielikult mõista (vt analoogia alusel 4. mai 2023. aasta kohtuotsus Österreichische Datenschutzbehörde ja CRIF, C‑487/21, EU:C:2023:369, punkt 38, ning 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi), C‑757/22, EU:C:2024:598, punktid 55 ja 56). 105 Sellise teavitamiskohustuse täitmise olulisust kinnitab määruse 2018/1725 põhjendus 35, mille esimeses ja teises lauses on märgitud, et õiglase ja läbipaistva töötlemise põhimõte eeldab, et andmesubjekti teavitatakse isikuandmete töötlemise toimingu tegemisest ja selle eesmärkidest ning vastutav töötleja peaks ka esitama andmesubjektile igasuguse täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks, võttes arvesse isikuandmete töötlemise konkreetseid asjaolusid ja konteksti, nagu on ette nähtud määruse artikli 15 lõikes 2 (vt analoogia alusel 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi), C‑757/22, EU:C:2024:598, punkt 57 ja seal viidatud kohtupraktika). 106 Seega, kui andmesubjektilt selliste andmete kogumine põhineb – nagu käesoleval juhul arvamuse avaldamise menetluses – andmesubjekti nõusolekul, sõltub tema antud nõusoleku kehtivus muu hulgas sellest, kas ta on enne saanud kõigi kõnealuste andmete töötlemisega seotud asjaolude kohta teabe, millele tal oli määruse 2018/1725 artikli 15 alusel õigus ja mis võimaldab tal anda nõusoleku kõiki asjaolusid teades (vt analoogia alusel 11. juuli 2024. aasta kohtuotsus Meta Platforms Ireland (esindushagi), C‑757/22, EU:C:2024:598, punkt 60). 107 Mis puudutab lisaks andmesubjekti kohustust esitada vastutavale töötlejale isikuandmeid, siis on määruse põhjenduse 35 neljandas lauses täpsustatud, et on oluline, et andmesubjekt teaks, kas ta on kohustatud isikuandmeid esitama, ja et teda teavitataks selliste andmete esitamata jätmise tagajärgedest – see kinnitab määruse artiklis 15 nõutud teavitamise olulisust just andmesubjektilt andmete kogumise ajal. 108 Neil asjaoludel ilmneb, et kohustus anda andmesubjektile temaga seotud isikuandmete kogumise ajal teavet nende andmete võimalike vastuvõtjate kohta on mõeldud eelkõige selleks, et võimaldada andmesubjektil kõiki asjaolusid teades otsustada, kas ta esitab temalt kogutud isikuandmed või hoopis keeldub neid esitamast. 109 Tuleb lisada, et nagu komisjon kohtuistungil sisuliselt väitis, on teave andmete võimalike vastuvõtjate kohta kindlasti samuti tingimata vajalik selleks, et andmesubjekt saaks hiljem oma õigusi nende vastuvõtjate suhtes kaitsta. Kohustus esitada see teave isikuandmete kogumise ajal tagab siiski eelkõige selle, et vastutav töötleja ei koguks neid andmeid andmesubjekti tahte vastaselt ega ka ei edastaks neid tema tahte vastaselt kolmandatele isikutele. 110 Sellest järeldub, nagu märkis kohtujurist oma ettepaneku punktis 69, on määruse 2018/1725 artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustus osa andmesubjekti ja vastutava töötleja vahelisest õigussuhtest ning selle ese on seetõttu andmesubjektiga seotud teave, nagu see on edastatud vastutavale töötlejale, seega enne igasugust võimalikku edastamist kolmandale isikule. 111 Järelikult tuleb asuda seisukohale, et määruse 2018/1725 artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustuse kohaldamiseks tuleb andmesubjekti tuvastatavust hinnata andmete kogumise hetkel ja vastutava töötleja seisukohast. 112 Sellest tuleneb, nagu kohtujurist oma ettepaneku punktis 79 sisuliselt märkis, et kriisilahendusnõukogul lasuv teavitamiskohustus kehtis käesolevas asjas enne kommentaaride edastamist ja sõltumata sellest, kas need on Deloitte’i seisukohast pärast nende võimalikku pseudonümiseerimist isikuandmed või mitte. 113 Seda tõlgendust ei sea kahtluse alla kriisilahendusnõukogu argument, mis tugineb määruse 2018/1725 artikli 15 lõike 1 punkti d sõnastusele, milles on viidatud „isikuandmete vastuvõtjatele“. Nimelt, nagu nähtub käesoleva kohtuotsuse punktidest 102–108, reguleerib see säte vastutava töötleja teavitamiskohustust selliste andmete kogumise ajal. Küsimus, kas vastutav töötleja täitis sel hetkel oma teavitamiskohustuse, ei saa aga sõltuda andmesubjekti tuvastamise võimalustest, mis võivad olla pärast kõnealuste andmete hilisemat edastamist andmete võimalikul vastuvõtjal. 114 Nagu kohtujurist oma ettepaneku punktis 77 sisuliselt märkis, tooksid kriisilahendusnõukogu argumendid, mille kohaselt tuleb teavitamiskohustuse täitmise kontrollimisel lähtuda vastuvõtja seisukohast, kaasa selle kontrolli ajalise edasilükkamise. Kuna see kontroll puudutab tingimata isikuandmeid, mis on juba vastuvõtjale edastatud, eiravad need argumendid ka teavitamiskohustuse eset, mis on lahutamatult seotud vastutava töötleja ja andmesubjekti vahelise suhtega. 115 Järelikult rikkus Üldkohus õigusnormi, kui ta vaidlustatud kohtuotsuse punktides 97, 98, 100, 101 ja 103–105 otsustas, et selleks, et hinnata, kas kriisilahendusnõukogu täitis määruse 2018/1725 artikli 15 lõike 1 punktist d tulenevat teavitamiskohustust, oleks andmekaitseinspektor pidanud analüüsima, kas Deloitte’ile edastatud kommentaarid olid viimase seisukohast isikuandmed. 116 Järelikult tuleb esimese väite teise osa teise etteheitega nõustuda, ilma et oleks vaja analüüsida andmekaitseinspektori argumente, mis on kokku võetud käesoleva kohtuotsuse punktides 93 ja 94. B. Teine väide 117 Kuna apellatsioonkaebuse esimese väite esimene osa ja teise osa teine etteheide on põhjendatud, ei ole vaja analüüsida andmekaitseinspektori teist väidet, mille kohaselt on eiratud määruse 2018/1725 artikli 4 lõiget 2 ja artikli 26 lõiget 1. 118 Kuna apellatsioonkaebuse esimese väitega on seega nõustutud, tuleb vaidlustatud kohtuotsus tühistada. VI. Hagi Üldkohtus 119 Euroopa Liidu Kohtu põhikirja artikli 61 esimese lõigu teise lause kohaselt võib Euroopa Kohus teha Üldkohtu otsuse tühistamise korral asja suhtes ise lõpliku kohtuotsuse, kui menetlusstaadium seda lubab. 120 Käesoleval juhul võimaldab menetlusstaadium teha otsuse hagi esimese väite kohta, mis puudutab määruse 2018/1725 artikli 3 punkti 1 väidetavat eiramist andmekaitseinspektori poolt seetõttu, et Deloitte’ile edastatud teave ei kujutanud endast isikuandmeid. Nimelt võis andmekaitseinspektor käesoleva kohtuotsuse punktides 58–60 esitatud kaalutlusi arvestades esiteks asuda õigusnormi rikkumata seisukohale, et Deloitte’ile edastatud kommentaarid kujutasid endast teavet füüsiliste isikute, st nende kommentaaride esitajate kohta. Teiseks, nagu on märgitud käesoleva kohtuotsuse punktis 111, tuleb määruse artikli 15 lõike 1 punktis d ette nähtud teavitamiskohustuse kohaldamisel hinnata andmesubjekti tuvastatavust vastutava töötleja seisukohast. Poolte vahel ei ole aga vaidlust selles, et kriisilahendusnõukogul oli vastutava töötlejana kogu vajalik teave nende kommentaaride esitajate tuvastamiseks. Eeltoodust tuleneb, et vastupidi kriisilahendusnõukogu väidetule kujutab vaidlusalune teave endast isikuandmeid. Seega tuleb hagi esimene väide põhjendamatuse tõttu tagasi lükata. 121 Seevastu ei luba menetlusstaadium teha otsust hagi teise väite kohta, kuna selle väite läbivaatamine eeldab faktilisi hinnanguid, mida Üldkohus ei andnud. 122 Järelikult tuleb kohtuasi teise väite läbivaatamiseks Üldkohtusse tagasi saata. VII. Kohtukulud 123 Kuna kohtuasi saadetakse tagasi Üldkohtusse, tuleb apellatsioonimenetlusega seotud kulude kandmine otsustada edaspidi. Esitatud põhjendustest lähtudes Euroopa Kohus (esimene koda) otsustab: 1. Tühistada Euroopa Liidu Üldkohtu 26. aprilli 2023. aasta kohtuotsus SRB vs . andmekaitseinspektor (T‑557/20, EU:T:2023:219). 2. Saata kohtuasi T‑557/20 tagasi Euroopa Liidu Üldkohtusse. 3. Otsustada kohtukulude kandmine edaspidi. Allkirjad ( *1 ) Kohtumenetluse keel: inglise.