CJEU Clarifies When Pseudonymized Data Cease to Be Personal Data (EDPS v SRB)

El texto comenta la sentencia del Tribunal de Justicia de la Unión Europea en el asunto C-413/23 P, dictada a comienzos de septiembre de 2025, sobre el carácter personal de los datos seudonimizados. El conflicto surgió de la decisión del Supervisor Europeo de Protección de Datos que reprochó a la Junta Única de Resolución haber transmitido a Deloitte opiniones de accionistas y acreedores sin informar a los interesados. Los autores explican que el Tribunal confirmó la infracción del deber de información y sostuvo que las opiniones personales constituyen datos personales, pero que el carácter personal es relativo: para el responsable que conserva la clave de reidentificación los datos siguen siendo personales, mientras que para el destinatario sin medios lícitos de reidentificación pueden dejar de serlo. Destacan tres conclusiones prácticas: la opinión de una persona es dato personal, la seudonimización sin clave puede excluir esa calificación en el receptor, y el responsable debe informar de toda comunicación a terceros aunque el receptor no maneje datos personales.