Pseudonymisation as a GDPR Escape Hatch for Recipients? Lessons from EDPS v SRB (C-413/23)

El artículo comenta la sentencia EDPS v SRB (C-413/23) del Tribunal de Justicia de la Unión Europea, que precisa cuándo los datos seudonimizados constituyen datos personales, en particular para terceros destinatarios. Los autores relatan el litigio entre la Junta Única de Resolución y el Supervisor Europeo de Protección de Datos a raíz de opiniones de accionistas y acreedores transmitidas a Deloitte sin la clave de reidentificación, y explican que el Tribunal descartó la teoría objetiva defendida por el EDPS en favor de un examen caso por caso basado en los medios razonablemente disponibles para el destinatario. Subrayan además que la identificabilidad debe valorarse en el momento de la recogida y desde la perspectiva del responsable, de modo que la SRB debía informar de la transferencia en su aviso de privacidad.