Soudní dvůr EU objasnil, kdy mohou být pseudonymizované údaje považovány za osobní údaje

Nedávno vydal Soudní dvůr Evropské unie rozsudek ve věci T-557/20. Soudní dvůr rozhodl, že pseudonymizované údaje předávané příjemci údajů nemusí být nutně považovány za osobní údaje, pokud příjemce údajů nemá prostředky k opětovné identifikaci subjektů údajů. Soudní dvůr rovněž objasnil, že názory jednotlivce nelze považovat za osobní údaje; Místo toho je nutné posouzení každého jednotlivého případu.

Jednotný výbor pro řešení krizí (SRB) použil elektronický formulář, v němž zúčastněné strany vyjádřily svá stanoviska, a obdržené odpovědi sdílel s poradenskou firmou Deloitte. Před sdílením odpovědí nahradil SRB jméno každého respondenta bezvýznamovým identifikátorem. Na základě několika stížností evropský inspektor ochrany údajů (EDPS) rozhodl, že SRB sdílí pseudonymizované osobní údaje s poradenskou firmou, aniž by o tomto sdílení informoval dotčené osoby. SRB měl za to, že poskytnutí těchto informací není nutné, protože předané údaje nelze považovat za osobní údaje příjemce údajů.

Pseudonymní nebo anonymní údaje? Soudní dvůr EU zdůraznil, že v souladu s jeho rozhodnutím ve věci Breyer je pro určení, zda pseudonymizovaná informace předávaná příjemci údajů představuje osobní údaje, nezbytné zvážit perspektivu příjemce údajů. Pokud příjemce údajů nemá žádné další informace, které by mu umožnily znovu identifikovat subjekty údajů, a nemá k dispozici žádné legální prostředky pro přístup k těmto informacím, lze přenášené údaje považovat za anonymizované, a proto nejsou osobními údaji. Skutečnost, že předávající  má prostředky k opětovné identifikaci subjektů údajů, je irelevantní a neznamená to, že přenášené údaje jsou automaticky také osobními údaji příjemce.

Soudní dvůr také rozhodl, že i když osobní názory mohou představovat osobní údaje, nelze je předpokládat; místo toho je třeba případ od případu posoudit "na základě zkoumání, zda je názor svým obsahem, účelem nebo účinkem spojen s konkrétní osobou".

Zdroj: InfoCuria