Anàlisi de la sentència del tribunal de justícia de la unió europea de 26 d'abril sobre l'anonimització de dades
Anàlisi de la sentència del tribunal de justícia de la unió europea de 26 d'abril sobre l'anonimització de dades
El Tribunal de Justícia de la Unió Europea ha analitzat, en el marc de l’assumpte T-557/20, si les dades personals codificades han de ser considerades dades anonimitzades quan, un cop comunicades a un tercer, aquest no disposa de la informació suficient per reidentificar les persones interessades.
El cas té el seu origen en el marc d’una Decisió de la Junta Única de Resolució (JUR), entitat europea de supervisió bancària, en el marc de la venda del Banc Popular. En aquest sentit, es va iniciar un procés per avaluar si els accionistes i creditors haurien rebut millor tractament si el Banc Popular hagués començat un procediment d'insolvència ordinari. En aquest context, la JUR va indicar que el procediment relatiu al dret a ser escoltat es desenvolupés en dues fases:
En una primera fase de registre, es convidava als accionistes i creditors afectats a manifestar el seu interès a exercir el seu dret a ser escoltat mitjançant un formulari de registre en línia.
En un segona fase de consulta, els accionistes i creditors afectats, la condició dels quals havia estat verificada per la JUR, podien presentar els seus comentaris sobre la decisió preliminar.
En la fase de registre, els accionistes i creditors afectats que desitgessin exercir el seu dret a ser escoltats havien d'aportar a la JUR documents justificatius que demostressin que, en la data de la resolució, eren titulars d'un o diversos instruments de capital del Banc Popular que havien estat amortitzats o convertits i transmesos a Banc Santander, S. a., en el marc de la resolució. Els justificants que havien de presentar-se incloïen un document d'identitat i una prova de la titularitat d'un d'aquests instruments de capital a 6 de juny de 2017.
En la data d'inici de la fase de registre, la JUR va publicar també, en la pàgina d'Internet de registre en el procediment relatiu al dret a ser escoltat i en el seu lloc d'Internet, una declaració de confidencialitat sobre el tractament de les dades personals en el procediment relatiu al dret a ser escoltat.
La JUR va examinar els comentaris pertinents dels accionistes i creditors afectats relatius a la decisió preliminar. Posteriorment, va sol·licitar a Deloitte que, com a assessor independent, avalués els comentaris pertinents relatius a la valoració, li facilités un document amb la seva avaluació i examinés si la valoració continuava essent vàlida a la llum d'aquests comentaris.
Les dades recaptades en la fase de registre: proves de la identitat dels participants i de la titularitat d'instruments de capital del Banc Popular amortitzats o convertits i transmesos, eren accessibles a un nombre limitat de membres del personal de la JUR encarregats del tractament d'aquestes dades per a determinar l'admissibilitat dels participants. Aquestes dades no eren visibles per als membres del personal de la JUR encarregats del tractament dels comentaris rebuts en la fase de consulta, en la qual únicament van rebre comentaris identificats amb referència a un codi alfanumèric assignat a cada comentari presentat mitjançant el formulari.
El personal de la JUR encarregat d'analitzar els comentaris no tenia accés a les dades recaptades en la fase de registre —de manera que aquests comentaris estaven dissociats de la informació personal relativa als qui els havien presentat—, ni a la clau de dades ni a la informació que permetia rastrejar la identitat d'un participant per referència al codi alfanumèric únic assignat a cada comentari.
En aquesta fase d'anàlisi, la JUR va comparar tots els comentaris presentats i els va classificar en funció de la pregunta del formulari a la qual responien. Tot seguit, els comentaris van ser apreciats en funció de la seva pertinència i dividits entre, d'una banda, els que estaven compresos en l'àmbit d'aplicació del procediment relatiu al dret a ser escoltat, donat que podien influir en la decisió preliminar o en la valoració i, d'altra banda, els que no estaven compresos en aquest àmbit per referir-se a altres aspectes de la resolució del Banc Popular.
En una tercera etapa, la fase d'examen, els comentaris relatius a la decisió preliminar van ser tractats per la JUR i els relatius a la valoració, van ser transmesos a Deloitte, el 17 de juny de 2019, a través d'un servidor virtual de dades segur i dedicat a la JUR.
El Supervisor Europeu de Protecció de Dades va considerar que les dades que la JUR va compartir amb Deloitte eren dades pseudonimitzades i no anonimitzades, tant perquè els comentaris de la fase de consulta eren dades personals com perquè la JUR va compartir el codi alfanumèric que permetia relacionar les respostes rebudes en la fase de registre amb les rebudes en la fase de consulta.
En resum, el Tribunal de Justícia de la Unió ha considerat que la comunicació de dades pseudonimitzades a un tercer suposa que aquest tercer hagi de considerar aquestes mateixes dades com a anonimitzades, als efectes de l’aplicació del Reglament General de Dades, si no té la possibilitat per si sol de reidentificar les persones interessades.