EU-domstolen klargör personuppgiftsbegreppet vid överföring av pseudonymiserad data

Den 4 september 2025 meddelade EU-domstolen dom i målet EDPS v Single Resolution Board (C-413/23 P). Domen klargör när pseudonymiserad data utgör personuppgifter och vilka informationsskyldigheter som gäller vid överföring till tredje part.

Single Resolution Board (”SRB”) ansvarade för att hantera den finansiella kris som banken Banco Popular Español befann sig i. I samband med genomförande av resolutionen av banken genomfördes en konsultation med aktieägare och borgenärer, där dessa ombads skicka in sina synpunkter och kommentarer. Synpunkterna skickades sedan vidare till konsultfirman Deloitte för analys, men då helt utan namn eller direkt identifierande uppgifter (pseudonymiserade). Europeiska datatillsynsmannen (EDPS) ansåg att SRB borde ha informerat de berörda om att deras uppgifter skulle delas med Deloitte. Oenigheten om vad som gäller ledde till att frågan hamnade hos EU-domstolen.

Pseudonymiserad data utgör inte alltid personuppgifter för alla aktörer
Domstolen slår fast att pseudonymiserad data inte automatiskt utgör personuppgifter för varje mottagare. Om mottagaren (i aktuellt fall Deloitte) saknar rimliga medel att återidentifiera individerna, kan data för mottagaren falla utanför begreppet personuppgifter och således innebära att dataskyddsförordningen inte blir tillämplig på hanteringen. Bedömningen ska göras från fall till fall och utifrån alla objektiva omständigheter. 

Identifierbarheten ska bedömas vid insamling och ur den personuppgiftsansvariges perspektiv
Möjligheten att identifiera en individ ska utredas vid tidpunkten för insamling utifrån den ursprungliga personuppgiftsansvariges (i aktuellt fall SRB:s) perspektiv – inte enbart utifrån mottagarens perspektiv. Det innebär att även om mottagaren saknar rimliga medel för att identifiera en individ, kan data utgöra personuppgifter för den ursprungliga personuppgiftsansvariga. 

Informations- och transparensskyldigheter gäller oavsett mottagarens möjlighet att identifiera
SRB hade enligt domstolen en skyldighet att informera de registrerade vid insamlingstidpunkten om att deras data kunde komma att delas med Deloitte – även om datan vid en senare tidpunkt pseudonymiserats för Deloitte. Avgörande för informationsskyldigheten gentemot de berörda registrerade är datans status som personuppgifter vid tidpunkten för insamling, utifrån den personuppgiftsansvariges perspektiv. Den personuppgiftsansvariga måste alltså upplysa om överföring till tredje part även om mottagaren inte kan identifiera de registrerade.

Personliga åsikter betraktas alltid som personuppgifter
Domstolen bekräftar att kommentarer eller åsikter som uttrycks av en individ nödvändigtvis relaterar till den personen och därmed är personuppgifter, utan att det krävs en separat analys av innehållets natur eller effekter. 

Domen innebär en nyansering av begreppet personuppgifter i relation till pseudonymiserad data. Slutsatsen är mer praktiskt förankrad än den tidigare syn som applicerats och möjliggör för mer effektiv hantering av stora mängder data mellan olika aktörer, där såväl den överförande som den mottagande parten inte är tvingade att vidta flera praktiska och formella åtgärder (så som datadelningsavtal, konsekvensanalyser, tekniska säkerhetsåtgärder etc.) innan överföringen kan ske. Det som de inblandade parterna dock måste säkerställa är att datan inte kan återidentifieras av mottagaren. Denna bedömning måste genomföras innan överföringen kan påbörjas.

Domen stärker också de informations- och transparensskyldigheter som åligger en personuppgiftsansvarig genom att bekräfta att trots att datan inte alltid utgör personuppgifter för mottagaren, ska den personuppgiftsansvarige fullgöra sina skyldigheter baserat på den status datan har vid tidpunkten för dennes insamling.

KPMG bevakar löpande rättsutvecklingen inom dataskydd. Välkommen att kontakta oss om du har frågor kring domen eller dess praktiska konsekvenser för dig och din verksamhet.