TJUE clarifica alcance del concepto de datos personales en el marco de la transmisión de información seudonimizada a terceros

El Tribunal de Justicia de la Unión Europea (TJUE) anuló la sentencia del Tribunal General de la Unión Europea (TGUE) que había invalidado una decisión del Supervisor Europeo de Protección de Datos (SEPD) en relación con la transmisión de información seudonimizada a una empresa. Según el fallo, la naturaleza personal de opiniones y puntos de vista expresados por los afectados está intrínsecamente vinculada a su identidad. También estableció que la obligación de informar corresponde al responsable del tratamiento en el momento de la recogida de los datos y no puede depender de la seudonimización posterior ni de la perspectiva de terceros.

Tras una resolución del Banco Popular Español, la Junta Única de Resolución (JUR) adoptó una decisión preliminar relativa a la compensación de antiguos accionistas y acreedores, sin oírlos previamente. Posteriormente, abrió un procedimiento para recabar observaciones, parte de las cuales fueron transmitidas a la empresa Deloitte en forma de datos seudonimizados, con el fin de realizar una valoración sobre los efectos de la resolución.

Varios interesados reclamaron ante el Supervisor Europeo de Protección de Datos (SEPD), alegando falta de información sobre la cesión de datos a Deloitte. El SEPD consideró que Deloitte era destinatario de datos personales y que la JUR incumplió la obligación de información del Reglamento 2018/1725. La JUR interpuso recurso de anulación ante el Tribunal General de la Unión Europea, que estimó parcialmente la demanda y anuló la decisión del SEPD. Posteriormente, la decisión fue recurrida ante el TJUE.