TSUE rozstrzyga: dane pseudonimizowane mogą pozostać danymi osobowymi przy przekazaniu stronom trzecim

18/12/2025

Tsue, Dane Osobowe, Pseudonimizacja, Obowiązek Informacyjny,

Trybunał Sprawiedliwości Unii Europejskiej uchylił wyrok Sądu ogólnego w sprawie C-413/23 P dotyczącej przekazania danych pseudonimizowanych firmie Deloitte przez Jednolitą Radę ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB). Orzeczenie precyzuje, kiedy dane pseudonimizowane należy traktować jako dane osobowe oraz kto ponosi obowiązek informacyjny wobec osób, których dane dotyczą.

TSUE rozstrzyga: dane pseudonimizowane mogą pozostać danymi osobowymi przy przekazaniu stronom trzecim

Akcjonariusze i wierzyciele złożyli skargę do EIOD w związku z przekazaniem pseudonimizowanych danych do Deloitte

Firma Deloitte miała ocenić skutki procedury restrukturyzacyjnej dla akcjonariuszy i wierzycieli. W związku z tym po tym, jak SRB wydała decyzję dotyczącą konieczności wypłaty odszkodowań, pozwoliła, by akcjonariusze i wierzyciele zgłosili uwagi do tej decyzji. Część z nich w formie pseudonimizowanej przekazała następnie do Deloitte bez informowania o tym autorów wspomnianych uwag.

W reakcji na to akcjonariusze i wierzyciele złożyli skargę do EIOD. Ten uznał, że SRB naruszyła obowiązek informacyjny określony w rozporządzeniu 2018/1725. Sprawa trafiła następnie przed Sąd ogólny, a ostatecznie przed TSUE.

Zdaniem TSUE pseudonimizacja nie zwalnia automatycznie z obowiązku informacyjnego dotyczącego danych osobowych

TSUE zwrócił uwagę na 3 ważne kwestie:

EIOD nie musiał badać treści, celu i skutków uwag przekazanych do Deloitte, by stwierdzić, czy dotyczyło one osób, które je złożyły.
Identyfikowalność osoby, której dane dotyczą, należy oceniać w momencie zbierania danych i z perspektywy administratora. Oceny tej powinien więc dokonać SRB jeszcze przed przekazaniem danych Deloitte.
W rezultacie obowiązek informacyjny SRB miał miejsce przed przekazaniem danych Deloitte i niezależnie od tego, czy dane te były uznawane za dane osobowe z punktu widzenia firmy audytorskiej (po pseudonimizacji).

Źródło: Biuletyn UODO nr11/11/ 25 str. 28-29

Masz pytania?

Jeśli masz więcej pytań dotyczących RODO i sztucznej inteligencji- więcej informacji znajdziesz w naszym serwisie. Przejrzyj nasze zasoby!

Jeżeli chcesz być na bieżąco z tematyką RODO, prawa nowych technologii i AI obserwuj nas!

Facebook https://www.facebook.com/odoserwis.pl.2016/

Linkedin https://www.linkedin.com/company/odoserwis-pl/

Wydawcą odoserwis.pl jest firma JDS Consulting świadcząca usługi outsourcingu Inspektora ochrony danych, doradztwa i audytu RODO; www.jds.com.pl

Jeżeli chciałbyś skorzystać z opinii lub porady prawnej nie wahaj się skontaktować z nami office@jds.com.pl ; www.jds.com.pl

Tsue, Dane Osobowe, Pseudonimizacja, Obowiązek Informacyjny,

Zobacz również

Orzeczenia TSUE

Decyzja TSUE dotycząca przepisów o praniu pieniędzy - wpływ na Polskie regulacje

Mirosław Wróblewski rekomenduje udział Polski w postępowaniu przed TSUE, w którym to Trybunał odpowie na pytania dotyczące przetwarzania danych przez jednostkę analityki finansowej. Zdaniem Prezesa UODO estońska sprawa o sygnaturze C-222/25 może mieć duże znaczenie takż(...)

Orzeczenia TSUE

TSUE publikuje przegląd kluczowych orzeczeń dotyczących ochrony danych osobowych

Trybunał Sprawiedliwości Unii Europejskiej (TSUE) opublikował 28 kwietnia 2025 roku dokument informacyjny (fact sheet), który zawiera zestawienie 26 najważniejszych orzeczeń dotyczących ochrony danych osobowych w Unii Europejskiej. Dokument ten obejmuje zarówno orzeczni(...)

Orzeczenia TSUE

Wyrok TSUE: Nakaz usunięcia danych

Organ nadzorczy państwa członkowskiego może nakazać usunięcie danych przetwarzanych niezgodnie z prawem, nawet bez żądania osoby, której dane dotyczą. Takie usunięcie może dotyczyć zarówno danych uzyskanych od tej osoby, jak i danych pochodzących z innego źródła