TSUE o Pseudonimizacji Danych: Ważny Wyrok w Sprawie RODO

Kluczowy Wyrok TSUE w Sprawie Ochrony Danych

Trybunał Sprawiedliwości Unii Europejskiej (TSUE) wydał istotny wyrok, który precyzuje rozumienie danych osobowych w kontekście pseudonimizacji. Sprawa dotyczyła Jednolitej Rady ds. Restrukturyzacji i Uporządkowanej Likwidacji (SRB), która przekazała spseudonimizowane dane akcjonariuszy i wierzycieli banku Banco Popular Español firmie Deloitte.

Pseudonimizacja to Nie Anonimizacja

TSUE uznał, że SRB naruszyła przepisy o ochronie danych. Mimo że przekazane dane nie zawierały bezpośrednich identyfikatorów, takich jak imiona i nazwiska, wciąż były uznawane za dane osobowe. Kluczowy był fakt, że SRB posiadała dodatkowe informacje, które umożliwiały przypisanie tych danych do konkretnych, zidentyfikowanych osób.

Trybunał podkreślił, że pseudonimizacja jest jedynie środkiem zabezpieczającym i nie pozbawia danych ich „osobowego” charakteru, jeśli administrator dysponuje „kluczem” do ich ponownej identyfikacji.

Obowiązek Informacyjny

Dodatkowo, TSUE stwierdził, że opinie i uwagi akcjonariuszy również stanowią dane osobowe. SRB miała obowiązek poinformować osoby, których dane zbierała, o wszystkich potencjalnych odbiorcach tych danych (w tym przypadku firmie Deloitte), czego nie uczyniła.

Sprawa wraca teraz do Sądu UE w celu dalszego zbadania pozostałych zarzutów.

Zobacz także: Dyrektywa NIS2 - co musisz wiedzieć oraz Norma ISO 27001 - bezpieczeństwo informacji.