EDPS v SRB (Notion de données à caractère personnel)

De volgende ronde in de SRB-saga. Het HvJ EU vernietigt het arrest van het Gerecht en verwijst deze weer terug naar het Gerecht. (1) Meningen zijn naar hun inhoud persoonsgegevens en 'betreffen' (zie Nowak-criteria) de natuurlijk persoon die deze meningen geuit heeft. Het Gerecht 'gaat voorbij aan de bijzondere aard van persoonlijke meningen of standpunten die, als uitdrukking van iemands gedachte, noodzakelijkerwijs nauw met hem verbonden zijn'. (punt 58). (2) Voor SRB (de verstrekker) zijn de gepseudonimiseerde gegevens persoonsgegevens, maar dat maakt ze niet tevens persoonsgegevens voor Deloitte (de ontvanger). "Voor Deloitte, […] kan […] het gevolg van de [pseudonimisering] zijn dat die opmerkingen niet op een persoon betrekking hebben. Dit veronderstelt echter ten eerste dat Deloitte bij iedere onder haar toezicht verrichte verwerking van deze opmerkingen geen mogelijkheid heeft om deze maatregelen ongedaan te maken. Ten tweede moeten die maatregelen daadwerkelijk van dien aard zijn dat zij Deloitte ook beletten om diezelfde opmerkingen te koppelen aan de betrokken persoon door gebruik te maken van andere identificatiemiddelen, zoals een vergelijking met andere elementen, zodat de betrokkene voor deze vennootschap niet of niet meer identificeerbaar is.” (punt. 77), en (3) Het Gerecht zag het fout door te stellen dat de EDPS had moeten nagaan of de gegevens persoonsgegevens voor Deloitte vormen voordat het kon bepalen of SRB als verstrekker Deloitte moest noemen als 'ontvanger' in de zin van