62022TO0578_RES
T‑578/22. sz. ügy
Európai adatvédelmi biztos
kontra
Európai Parlamentésaz Európai Unió Tanácsa
A Törvényszék végzése (kibővített első tanács), 2023. szeptember 6.
„Megsemmisítés iránti kereset – Intézményi jog – A személyes adatok Europol általi kezelése – (EU) 2016/794 rendelet – Az európai adatvédelmi biztos intézményi előjogai – Kereshetőségi jog – Részben elfogadhatatlan és részben nyilvánvalóan elfogadhatatlan kereset”
Megsemmisítés iránti kereset – Az uniós bíróság hatásköre – Uniós szerv által benyújtott kereset – Az európai adatvédelmi biztos által benyújtott kereset – A kereset alátámasztására felhozott, az intézményi előjogai védelmére vonatkozó kereshetőségi jog
(EUMSZ 263. cikk; 45/2001 európai parlamenti és tanácsi rendelet, 41. cikk, (1) bekezdés)
(lásd: 26–36. pont)
Megsemmisítés iránti kereset – Természetes vagy jogi személyek – Az eljáráshoz fűződő érdek – Kereshetőségi jog – Az európai adatvédelmi biztos által benyújtott kereset – Az intézményi előjogai védelmére vonatkozó kereshetőségi jog – Hiány – A kereshetőségi jog és az eljáráshoz fűződő érdek bizonyításától függő elfogadhatóság
(EUMSZ 263. cikk, negyedik bekezdés)
(lásd: 41–48., 54–57. pont)
Megsemmisítés iránti kereset – Kereshetőségi jog – Jogi személyek – Fogalom – Európai adatvédelmi biztos – Uniós szerv – Bennfoglaltság – Feltételek
(EUMSZ 263. cikk, negyedik bekezdés)
(lásd: 60–65. pont)
Megsemmisítés iránti kereset – Természetes vagy jogi személyek – Az e személyeket közvetlenül és személyükben érintő jogi aktusok – A személyes adatok Europol általi kezelésével kapcsolatos rendelkezések – Az európai adatvédelmi biztos által az Europollal szemben hozott határozat – Az említett rendelkezések által az említett határozatra és az európai adatvédelmi biztos hatásköreire gyakorolt hatás hiánya – Közvetlen érintettség hiánya – Elfogadhatatlanság
(EUMSZ 16. cikk, (2) bekezdés, és EUMSZ 263. cikk, negyedik bekezdés; a 2022/991 rendelettel módosított 2016/794 európai parlamenti és tanácsi rendelet, 74a. és 74b. cikk)
(lásd: 66., 68–76., 78–82., 84., 85. pont)
Összefoglalás
2022. január 3‑án az európai adatvédelmi biztos hivatalból indított vizsgálatot követően határozatot hozott a Bűnüldözési Együttműködés Európai Uniós Ügynökségével (Europol) szemben. (
1
) Ezzel a határozattal lényegében arra kötelezte az Europolt, hogy a 2022. január 4‑e után átvett minden egyes hozzájárulás esetében végezze el az érintett személyek kategorizálását a hozzájárulás kézhezvételétől számított hat hónapon, valamint az említett határozat időpontjában meglévő adatkészletek esetében tizenkét hónapon belül, e határidőkön túl pedig az Europolnak törölnie kellett ezeket az adatokat.
2022. június 8‑án az Európai Parlament és a Tanács elfogadta a módosított Europol‑rendeletet. (
2
) Utóbbi két átmeneti rendelkezéssel (
3
) lényegében előírja az Europol számára azokat a feltételeket, amelyek alapján meghatározott határidőn belül kategorizálja a módosított Europol‑rendelet hatálybalépésekor birtokában lévő adatkészleteket, és meghatározzák azokat a feltételeket és eljárásokat, amelyek mellett a módosított Europol‑rendelet II. mellékletében felsorolt érintettek kategóriáihoz nem tartozó, és az Europol számára 2022. június 28‑a előtt továbbított személyes adatok kezelése engedélyezett egy folyamatban lévő bűnügyi nyomozás támogatása céljából.
Az európai adatvédelmi biztos úgy vélte, hogy a megtámadott rendelkezések sértik a függetlenségét és a felügyeleti hatósági hatásköreit, mivel álláspontja szerint azok visszamenőleges hatállyal jogszerűvé teszik az Europol vitatott adattárolási gyakorlatát, és gyakorlatilag megsemmisítik a 2022. január 3‑i határozatát. Így az EUMSZ 263. cikk alapján a Törvényszéktől azok megsemmisítését kérte. Állítása szerint kereshetőségi jogát az indokolja, hogy intézményi előjogainak – különösen az őt felügyeleti hatóságként megillető függetlenség – védelme érdekében bírósági jogorvoslattal élhessen.
A jelen ügyben az európai adatvédelmi biztos a Törvényszékhez első alkalommal fordult megsemmisítés iránti keresettel a Tanács és a Parlament jogalkotási aktusával szemben, ami felveti többek között a Törvényszéknek az említett kereset elbírálására vonatkozó hatáskörének, a Parlament kontra Tanács ítélet (C‑70/88) (
4
) jelen ügyre analógia útján történő alkalmazásának, valamint az európai adatvédelmi biztosnak az EUMSZ 263. cikk negyedik bekezdése alapján valamely jogi személyhez hasonló közvetlen érintettségének kérdését.
A Törvényszék álláspontja
Először is a Törvényszék megvizsgálja az európai adatvédelmi biztos által benyújtott kereset elbírálására vonatkozó hatáskörét, és mindenekelőtt megjegyzi, hogy az európai adatvédelmi biztos nem szerepel az EUMSZ 263. cikk második és harmadik bekezdésében (
5
) említett felperesek között és az intézményeknek az EUSZ 13. cikk (1) bekezdésében foglalt listáján sem. (
6
) Ezt követően rámutat, hogy jóllehet az EUMSZ 263. cikk első bekezdése kifejezetten utal az Unió szerveire és hivatalaira azon jogi aktusok kibocsátóinak listáján, amelyek jogszerűsége megsemmisítés iránti kereset keretében vitatható, ugyanez nem érvényes az EUMSZ 263. cikk második és harmadik bekezdésére. Így a Törvényszék pontosítja, hogy bár az európai adatvédelmi biztos jogállását független felügyeleti hatóságként mind az EUM‑Szerződés, mind a Charta (
7
) elismeri, uniós szervként másodlagos, (
8
) és nem elsődleges jogi aktus hozta létre. Következésképpen az európai adatvédelmi biztos, noha különleges jogállással rendelkező uniós szerv, nem uniós intézmény, és semmi esetre sem tekinthető úgy, mint amely szerepel az EUMSZ 263. cikk második és harmadik bekezdésében megjelölt felperesek között. Végül a Törvényszék arra a következtetésre jut, hogy hatáskörrel rendelkezik a kereset elbírálására, mivel a Bíróság hatáskörébe az EUMSZ 263. cikkén alapuló azon keresetek elbírálása tartozik, amelyeket különösen valamely uniós intézmény nyújt be valamely jogalkotási aktussal szemben, (
9
) és az európai adatvédelmi biztos nem az EUMSZ 263. cikk második és harmadik bekezdése szerinti intézmény vagy felperes.
Másodsorban a Törvényszék azt vizsgálja, hogy az európai adatvédelmi biztos rendelkezik‑e kereshetőségi joggal a Parlament kontra Tanács ítéletből (C‑70/88) eredő ítélkezési gyakorlat értelmében. Megjegyzi, hogy ebben – az európai adatvédelmi biztos által az intézményi előjogai védelmére irányuló különleges kereshetőségi joga alátámasztására hivatkozott – ítéletben a Bíróság azt állapította meg, hogy a Parlamentnek semmilyen lehetősége nem volt arra, hogy az uniós bíróságok előtt vitassa a többi intézmény által elfogadott, a saját előjogait esetlegesen sértő aktusokat, és úgy döntött, hogy ezt a joghézagot az intézményi egyensúly alapelvének alkalmazásával pótolja. Ezzel szemben az európai adatvédelmi biztos megsemmisítés iránti keresetet nyújthat be az EUMSZ 263. cikk negyedik bekezdése alapján, mivel valamely másodlagos uniós jogi aktus által létrehozott szerv, amely jogi személynek tekinthető. A Törvényszék egyebekben pontosítja, hogy bár az európai adatvédelmi biztos különleges jogállását az EUM‑Szerződés és a Charta is elismeri, és a független felügyeleti hatóságok létrehozása az egyének személyes adataira vonatkozó védelmének alapvető eleme, a függetlenségnek, amellyel az európai adatvédelmi biztosnak a feladatait a gyakorlatban el kell látnia, nem célja az uniós jogalkotó hatásköreinek korlátozása. (
10
) Következésképpen az európai adatvédelmi biztos teljesen függetlenül köteles a feladatait és hatásköreit gyakorolni, valamint a Parlament és a Tanács által együttesen elfogadott jogalkotási aktusok keretében és ezeknek megfelelően ellenőrzi a természetes személyeknek az uniós intézmények, szervek és hivatalok által a személyes adataik kezelése tekintetében történő védelmére vonatkozó szabályok tiszteletben tartását. A Törvényszék megállapítja, hogy a Parlament kontra Tanács ítélet (C‑70/88) nem alkalmazható analógia útján az európai adatvédelmi biztos helyzetére, aki ezen ítélet értelmében nem rendelkezik kereshetőségi joggal, és olyan felperesnek kell tekinteni, akinek teljesítenie kell az EUMSZ 263. cikk negyedik bekezdésében előírt elfogadhatósági feltételeket.
Harmadsorban, az európai adatvédelmi biztos EUMSZ 263. cikk negyedik bekezdése szerinti kereshetőségi jogának vizsgálata keretében a Törvényszék előzetesen azt elemzi, hogy az európai adatvédelmi biztos mint uniós szerv ezen cikk értelmében jogi személynek tekinthető‑e. Rámutat, hogy e rendelkezésnek a hatékony bírósági felülvizsgálat és a jogállamiság elve fényében történő értelmezése alapján az olyan uniós szerv, mint az európai adatvédelmi biztos, „jogi személyként” megsemmisítés iránti kereshetőségi joggal rendelkezik a megtámadott rendelkezésekkel szemben, azzal a feltétellel, hogy az említett rendelkezés értelmében ezek közvetlenül és személyében érintik. Az ilyen jogi személy jogait vagy érdekeit ugyanis valamely uniós jogi aktus ugyanúgy érintheti kedvezőtlenül, mint más személyek vagy szervezetek jogait vagy érdekeit, így e feltételek tiszteletben tartása mellett lehetővé kell tenni számára, hogy az ilyen jogi aktus megsemmisítését kérje.
Ami azt a feltételt illeti, amely szerint valamely jogi személynek közvetlenül érintettnek kell lennie, a Törvényszék emlékeztet arra, hogy ez alapján két kritériumnak kell együttesen teljesülnie. Ami először is az európai adatvédelmi biztos jogi helyzetére gyakorolt hatásra vonatkozó kritériumot illeti, a Törvényszék hangsúlyozza, hogy az európai adatvédelmi biztos feladata, hogy figyelemmel kísérje a személyes adatok védelmére vonatkozó szabályoknak az uniós intézmények, szervek vagy hivatalok általi alkalmazását. (
11
) A jelen ügyben a megtámadott rendelkezések módosítják az eredeti Europol rendeletet, és nem befolyásolják az uniós jogszabályok által az európai adatvédelmi biztosra ruházott feladatok jellegét vagy terjedelmét. Igaz ugyan, hogy az európai adatvédelmi biztos által ellenőrzött jogi szabályozás módosult, a saját hatáskörei azonban változatlanok, mivel önmagában azt a módot, ahogy utóbbiakat jogszerűen gyakorolhatja, nem módosították. Következésképpen az európai adatvédelmi biztost nem érintik közvetlenül a megtámadott rendelkezések, mivel e rendelkezések nem érintették a jogait, kötelezettségeit vagy hatásköreit. Ezenkívül, ami a megtámadott rendelkezéseknek a 2022. január 3‑i határozatra gyakorolt hatásait illeti, a Törvényszék pontosítja, hogy egy közigazgatási határozatról van szó, amely nem lehet hatással a módosított Europol‑rendelethez hasonló jogalkotási aktusokra, és nem érintheti azok tartalmát.
Másodszor a megtámadott rendelkezések végrehajtásával megbízott címzettek mérlegelési mozgásterére vonatkozó feltételt illetően a Törvényszék megállapítja, hogy e rendelkezések bizonyos mérlegelési mozgásteret hagynak az Europol számára. E rendelkezések tehát nem tisztán automatikus jellegűek, és köztes szabályok alkalmazása nélkül, kizárólag az európai adatvédelmi biztosra vonatkozó uniós szabályozásból erednek.
Következésképpen tekintettel arra, hogy a megtámadott rendelkezések nem érintik közvetlenül az európai adatvédelmi biztos jogi helyzetét, és a megsemmisíteni kért jogi aktussal való közvetlen érintettség és személyes érintettség feltételének egyszerre kell teljesülnie, a Törvényszék megállapítja, hogy a keresetet mint elfogadhatatlant el kell utasítani.
(
1
)	A Bűnüldözési Együttműködés Európai Uniós Ügynökségéről (Europol), valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről szóló, 2016. május 11‑i (EU) 2016/794 európai parlamenti és tanácsi rendelet (HL 2016. L 135., 53. o.; a továbbiakban: eredeti Europol‑rendelet) 43. cikke (3) bekezdésében e) pontja alapján.
(
2
)	Az (EU) 2016/794 rendeletnek az Europol magánfelekkel folytatott együttműködése, a személyes adatoknak az Europol által a bűnügyi nyomozások támogatása érdekében végzett kezelése, valamint az Europol kutatásban és innovációban betöltött szerepe tekintetében történő módosításáról szóló, 2022. június 8‑i (EU) 2022/991 rendelet (HL 2022. L 169., 1. o.; a továbbiakban: módosított Europol‑rendelet), amely az eredeti Europol‑rendeletet módosítja.
(
3
)	A módosított Europol‑rendelet 74a. és 74b. cikke (a továbbiakban: megtámadott rendelkezések).
(
4
)	1990. május 22‑iParlament kontra Tanács ítélet (C‑70/88, EU:C:1990:217).
(
5
)	E rendelkezés értelmében a Bíróság hatáskörrel rendelkezik az olyan keresetek tekintetében, amelyeket egyrészt valamely tagállam, a Parlament, a Tanács vagy a Bizottság, másrészt pedig a Számvevőszék, az Európai Központi Bank (EKB) és a Régiók Bizottsága nyújt be.
(
6
)	Az e rendelkezés által említett hét intézmény a Parlament, az Európai Tanács, a Tanács, a Bizottság, az Európai Unió Bírósága, az Európai Központi Bank és a Számvevőszék.
(
7
)	Az EUMSZ 16. cikk (2) bekezdésének és az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 8. cikkének (3) bekezdése értelmében a természetes személyeknek a személyes adatok uniós intézmények, szervek és hivatalok által végzett feldolgozása tekintetében történő védelmére vonatkozó szabályok tiszteletben tartását független hatóságok ellenőrzik.
(
8
)	A személyes adatok közösségi intézmények és szervek által történő feldolgozása [helyesen: kezelése] tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló, 2000. december 18‑i 45/2001/EK európai parlamenti és tanácsi rendelet (HL 2001. L 8., 1. o.; magyar nyelvű különkiadás 13. fejezet, 26. kötet, 102. o.) 41. cikkének (1) bekezdése.
(
9
)	Az Európai Unió Bírósága alapokmánya 51. cikkének b) pontja értelmében.
(
10
)	Ahogy ezt az EUSZ 14. cikk (1) bekezdése és az EUSZ 16. cikk (1) bekezdése előírja.
(
11
)	A természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23‑i (EU) 2018/1725 európai parlamenti és tanácsi rendelet (HL 2018. L 295., 39. o.; helyesbítés: HL 2018. L 295., 39. o.) 1. cikkének (3) bekezdése, valamint az eredeti Europol‑rendelet 43. cikkének (1) bekezdése értelmében.