Comentario jurídico — Sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera), 4 de septiembre de 2025

por  Profesor Santiago Carretero, Profesor titular de Filosofía del Derecho, URJC — blogdelaiaactual.blogspot.com.
Fecha: 4 de septiembre de 2025.

Resumen ejecutivo (ideas nucleares)

El Tribunal de Justicia delibera sobre si unos comentarios remitidos por la SRB a un perito externo constituían datos personales pseudonimizados y, en consecuencia, si la SRB incurrió en la infracción del deber de información previsto en el artículo 15.1.d) del Reglamento (UE) 2018/1725 (Regulation (EU) 2018/1725 on protection of personal data).

El Tribunal anula la sentencia del Tribunal General que había exonerado a la SRB, sosteniendo que:

• Las opiniones o valoraciones son información que puede “referirse” a una persona y, por tanto, integrarse en la noción amplia de dato personal.
• La pseudonimización no transforma automáticamente los datos en anónimos: es preciso valorar, desde la perspectiva del responsable del tratamiento y en el momento de la recogida, si la información permite identificar a la persona.
• El deber de información (art. 15.1.d del Reglamento 2018/1725) debe cumplirse en el momento de la obtención de los datos y desde la posición del controlador, independientemente de que un tercero receptor, tras medidas técnicas, no pueda identificar a las personas.

Hechos materiales y procedimiento

Tras la resolución del Banco Popular Español S.A., la SRB abrió un procedimiento de “right to be heard” (derecho de audiencia). Durante la fase de consulta, los participantes remitieron comentarios mediante formulario; dichos comentarios se asociaron a un código alfanumérico (identifier) y una parte de los mismos (relativos a la valoración pericial, «Valuation 3») fueron transferidos a Deloitte, accesible mediante servidor virtual seguro.

Varios interesados presentaron reclamaciones ante el EDPS alegando vulneración del artículo 15.1.d) del Reglamento 2018/1725 por omisión de Deloitte como destinatario en la declaración de privacidad. El EDPS calificó los datos remitidos de pseudonimizados y sancionó con una amonestación administrativa; el Tribunal General anuló esa decisión. El EDPS recurrió ante el TJUE.

Fundamentos jurídicos esenciales

El Tribunal articula su pronunciamiento sobre tres pilares jurídicos:

1. Concepto de dato personal: remite a la definición del artículo 3.1 del Reglamento 2018/1725, homogénea con el artículo 4.1 del RGPD (Reglamento General de Protección de Datos — General Data Protection Regulation, GDPR), y que cubre “cualquier información” que se refiera a una persona identificada o identificable.
2. Opiniones como información personal: siguiendo la jurisprudencia (p. ej. Nowak, IAB Europe), el Tribunal sostiene que la expresión de una opinión vinculada a una persona es, por su propia naturaleza, información referida a su autor.
3. Pseudonimización y momento de la obligación de información: aunque la pseudonimización implica la existencia de información adicional (art. 3.6 del Reglamento 2018/1725), la obligación de informar sobre destinatarios debe valorarse desde la posición del controlador (SRB) en el momento de la recogida, puesto que el consentimiento y la transparencia requieren conocimiento previo de las cesiones previstas.

Consecuencias prácticas y doctrinales

La sentencia tiene efectos prácticos inmediatos:

• La mera pseudonimización no exonera al responsable del deber de información: resulta obligatorio incluir, en la política de privacidad o aviso, todos los destinatarios potenciales relevantes aunque la cesión se realice con medidas de separación de datos.
• Las instituciones de la UE y entes públicos que compartan datos con auditores y peritos externos deberán documentar y justificar técnica y jurídicamente la separación de las claves de reidentificación, y reflejarlo expresamente en los avisos a los interesados.
• Refuerza el principio de accountability (responsabilidad proactiva) y la exigencia de transparencia en procedimientos administrativos que afecten derechos patrimoniales y procesales de terceros.

Notas críticas

Desde una perspectiva crítica, la sentencia equilibra tutela y practicidad, pero provoca desafíos operativos: la obligación de listar posibles destinatarios podría ser rígida en procesos dinámicos o en proyectos de auditoría cuyo elenco de colaboradores evolucione. No obstante, la ratio protetora del Tribunal privilegia el derecho a conocer el destino de la propia información frente a la flexibilidad operativa de la administración.

Conclusión

El TJUE consolida una lectura garantista: las opiniones y valoraciones son susceptibles de protección y la pseudonimización no desactiva, por sí sola, las obligaciones de información del responsable. Para el control institucional de datos la sentencia impone una elevada carga de transparencia y documentación técnica sobre las cesiones a terceros.

Referencia: Sentencia del Tribunal de Justicia (Sala Primera), 4 de septiembre de 2025, C‑413/23 P, EDPS c. SRB. Para consulta del texto completo y cotejo, consúltese la fuente oficial del TJUE.

Siglas empleadas (primera aparición): EDPS — Supervisor Europeo de Protección de Datos (English: European Data Protection Supervisor); SRB — Junta Única de Resolución (English: Single Resolution Board); TJUE — Tribunal de Justicia de la Unión Europea (English: Court of Justice of the European Union, CJEU); RGPD — Reglamento General de Protección de Datos (English: General Data Protection Regulation, GDPR); Reglamento (UE) 2018/1725 — Reglamento relativo a la protección de las personas respecto del tratamiento de datos personales por las instituciones de la UE (English: Regulation (EU) 2018/1725 on the protection of personal data); SRM — Mecanismo Único de Resolución (English: Single Resolution Mechanism).