A BÍRÓSÁG ÍTÉLETE (nyolcadik tanács)
2025. február 27.(*)
„ Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – A 4. cikk 7. pontja – Az »adatkezelő« fogalma – Az adatkezelőnek a nemzeti jog általi közvetlen kijelölése – Regionális kormányzat kisegítő közigazgatási szerve – A jogi személyiség hiánya – A saját jogképesség hiánya – Az adatkezelés céljainak és eszközeinek meghatározása ”
A C‑638/23. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a Verwaltungsgerichtshof (legfelsőbb közigazgatási bíróság, Ausztria) a Bírósághoz 2023. október 24‑én érkezett, 2023. augusztus 23‑i határozatával terjesztett elő
az Amt der Tiroler Landesregierung
és
a Datenschutzbehörde
között,
a Bundesministerin für Justiz,
CW
részvételével folyamatban lévő eljárásban,
A BÍRÓSÁG (nyolcadik tanács),
tagjai: N. Jääskinen, a kilencedik tanács elnöke, a nyolcadik tanács elnökeként eljárva, M. Gavalec (előadó) és N. Piçarra bírák,
főtanácsnok: M. Campos Sánchez‑Bordona,
hivatalvezető: A. Calot Escobar,
tekintettel az írásbeli szakaszra,
figyelembe véve a következők által előterjesztett észrevételeket:
–        a Datenschutzbehörde képviseletében M. Schmidl és E. Wagner, meghatalmazotti minőségben,
–        a Bundesministerin für Justiz képviseletében E. Riedl, meghatalmazotti minőségben,
–        az osztrák kormány képviseletében A. Posch, J. Schmoll és C. Gabauer, meghatalmazotti minőségben,
–        az Európai Bizottság képviseletében A. Bouchagiar és M. Heller, meghatalmazotti minőségben,
tekintettel a főtanácsnok meghallgatását követően hozott határozatra, miszerint az ügy elbírálására a főtanácsnok indítványa nélkül kerül sor,
meghozta a következő
Ítéletet
1        Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 7. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 4. cikke 7. pontjának az értelmezésére vonatkozik.
2        E kérelmet az Amt der Tiroler Landesregierung (tiroli tartományi kormányhivatal, Ausztria, a továbbiakban: Hivatal) és a Datenschutzbehörde (adatvédelmi hatóság, Ausztria) között folyamatban lévő jogvita keretében terjesztették elő, amelynek tárgya egy természetes személy személyes adatainak a Hivatal általi, állítólagosan jogellenes kezelése.
Jogi háttér
Az uniós jog
3        A GDPR (1), (7), (10), (45) és (74) preambulumbekezdésének szövege a következő:
„(1)      A természetes személyek személyes adataik kezelésével összefüggő védelme alapvető jog. Az Európai Unió Alapjogi Chartája […] 8. cikkének (1) bekezdése és az [EUMSZ] 16. cikk […] (1) bekezdése rögzíti, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.
[…]
(7)      […] A természetes személyek számára biztosítani kell, hogy saját személyes adataik felett maguk rendelkezzenek. A természetes személyek, a gazdasági szereplők és a közhatalmi szervek számára a jogbiztonságot és a gyakorlati biztonságot fokozni kell.
[…]
(10)      A természetes személyek következetes és magas szintű védelmének biztosítása és a személyes adatok [Európai] Unión belüli áramlása előtti akadályok elhárítása érdekében a természetes személyeknek az ilyen adatok kezelésével összefüggésben fennálló jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazását az Unió egész területén biztosítani kell. […]
[…]
(45)      Ha az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. Ez a rendelet nem követeli meg, hogy az egyes konkrét adatkezelési műveletekre külön‑külön jogszabály vonatkozzon. Elegendő lehet az is, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az adatkezelőre vonatkozó jogi kötelezettségen alapul, illetve amelyre közérdekből végzett feladat ellátásához vagy közhatalmi jogosítvány gyakorlásához van szükség. Az adatkezelés célját is uniós vagy tagállami jogban kell meghatározni. E rendeletnek a személyes adatok kezelésének jogszerűségére vonatkozó általános feltételeit ezen túlmenően ezek pontosíthatják, az adatkezelő megjelölésére vonatkozó pontos szabályokat, az adatkezelés tárgyát képező személyes adatok típusát, az érintetteket, azokat a szervezeteket, amelyekkel a személyes adatok közölhetők, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát, valamint egyéb, a jogszerű és tisztességes adatkezelés biztosításához szükséges intézkedéseket is meghatározhatják. Uniós vagy tagállami jog határozza meg továbbá, hogy a közérdekű vagy közhatalmi feladatot teljesítő adatkezelőnek közhatalmi szervnek vagy egyéb, a közjog hatálya alá tartozó természetes vagy jogi személynek, vagy ha ezt a közérdek egészségügyi célok, mint például a népegészségügyi, illetve szociális védelmi és az egészségügyi szolgálatok irányítása miatt indokolttá teszi, a magánjog hatálya alá tartozó szervnek – például szakmai egyesületnek – kell‑e lennie.
[…]
(74)      A személyes adatoknak az adatkezelő által vagy az adatkezelő nevében végzett bármilyen jellegű kezelése tekintetében az adatkezelő hatáskörét és felelősségét szabályozni kell. Az adatkezelőt kötelezni kell különösen arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek e rendeletnek megfelelnek, és az alkalmazott intézkedések hatékonysága is az e rendelet által előírt szintű. Ezeket az intézkedéseket az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni.”
4        E rendelet „Tárgy” című 1. cikkének (2) bekezdése a következőképpen rendelkezik:
„Ez a rendelet a természetes személyek alapvető jogait és szabadságait és különösen a személyes adatok védelméhez való jogukat védi.”
5        Az említett rendelet „Fogalommeghatározások” című 4. cikkének szövege a következő:
„E rendelet alkalmazásában:
[…]
2.      »adatkezelés«: a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közléstovábbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés;
[…]
7.      »adatkezelő«: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;
[…]”
6        Az említett rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke szerint:
„(1)      A személyes adatok:
a)      kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
b)      gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon; a 89. cikk (1) bekezdésének megfelelően nem minősül az eredeti céllal össze nem egyeztethetőnek a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból történő további adatkezelés (»célhoz kötöttség«);
c)      az adatkezelés céljai szempontjából megfelelőek és relevánsak kell, hogy legyenek, és a szükségesre kell korlátozódniuk (»adattakarékosság«);
d)      pontosnak és szükség esetén naprakésznek kell lenniük; minden észszerű intézkedést meg kell tenni annak érdekében, hogy az adatkezelés céljai szempontjából pontatlan személyes adatokat haladéktalanul töröljék vagy helyesbítsék (»pontosság«);
e)      tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel (»korlátozott tárolhatóság«);
f)      kezelését oly módon kell végezni, hogy megfelelő technikai vagy szervezési intézkedések alkalmazásával biztosítva legyen a személyes adatok megfelelő biztonsága, az adatok jogosulatlan vagy jogellenes kezelésével, véletlen elvesztésével, megsemmisítésével vagy károsodásával szembeni védelmet is ideértve (»integritás és bizalmas jelleg«).
(2)      Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”
7        A GDPR‑nak „Az adatkezelés jogszerűsége” című 6. cikke az (1) és (3) bekezdésében a következőképpen rendelkezik:
„(1)      A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
[…]
c)      az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges;
[…]
e)      az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
[…]
(3)      Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
a)      az uniós jog, vagy
b)      azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. […]”
Az osztrák jog
Tirol tartomány 1989. évi rendelete
8        Az 1988. szeptember 21‑i Landesverfassungsgesetz über die Verfassung des Landes Tirol (Tiroler Landesordnung 1989) (Tirol tartomány alkotmányáról szóló regionális törvény [1989. évi tiroli tartományi alkotmány]) az alapügyre alkalmazandó változatában (a továbbiakban: 1989. évi tiroli tartományi alkotmány) a „Landeshauptmann [tartományi kormányzó, Ausztria; a továbbiakban: kormányzó]” című 56. cikkének (1) bekezdésében a következőket írja elő:
„A [kormányzó] képviseli Tirol tartományt.”
9        Az 1989. évi tiroli tartományi alkotmány „[Hivatal]” című 58. cikkének (1) bekezdése a következőképpen rendelkezik:
„A [kormányzónak], a tartományi kormánynak és annak tagjainak a feladataikat a [Hivatalon] keresztül kell ellátniuk. A [Hivatal] elnöke a [kormányzó].”
A TDVG
10      A Tiroler Datenverarbeitungsgesetz (Tirol tartomány adatkezelésről szóló törvénye, a továbbiakban: TDVG) 2. §‑a a következőképpen rendelkezik:
„(1)      A [GDPR] 4. cikkének 7. pontja értelmében vett adatkezelőnek minősül:
a)      a [Hivatal];
[…]
(3)      Ha Tirol tartomány adatkezelést végez, vagy azt megrendeli, a [Hivatalt] minden esetben adatkezelőnek kell tekinteni, amennyiben
a)      nem áll fenn az (1) bekezdés b) vagy c) pontja szerinti közös adatkezelés, és
b)      nem kerül sor az 5. cikk értelmében vett, adatkezeléssel való megbízásra.”
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdés
11      A Covid19‑világjárvány elleni küzdelemre irányuló intézkedések keretében a Hivatal, amely Tirol tartomány kormányzójának és kormányának kisegítő közigazgatási szerve, „oltásra vonatkozó felhívó levelet” küldött a Tirol tartományban lakóhellyel rendelkező minden olyan nagykorú személynek, akit még nem oltottak be e vírus ellen. E levelek címzettjeinek azonosítása érdekében a Hivatal két magánvállalkozást bízott meg, amelyek az oltásokról vezetett központi nyilvántartásában szereplő adatokat összevetették a betegekről vezetett, a lakóhelyüket is tartalmazó nyilvántartásban szereplő adatokkal.
12      2021. december 21‑én e címzettek egyike, CW a személyes adatainak jogellenes kezelése miatt panaszt nyújtott be a Hivatal ellen az adatvédelmi hatósághoz. A Hivatal közölte e hatósággal, hogy ő minősül „adatkezelőnek”, és a CW‑nek küldött levél tőle származott.
13      Az említett hatóság a 2022. augusztus 22‑i határozatával megállapította, hogy a Hivatal megsértette a CW‑t a személyes adatainak védelmére vonatkozóan megillető jogot, mivel az „oltásra vonatkozó felhívó levél” kiküldéséhez a Hivatal betekintett az érintettnek az oltási nyilvántartásban szereplő adataiba, annak ellenére, hogy nem volt jogosult az említett nyilvántartáshoz és a betegnyilvántartáshoz való hozzáférésre. CW személyes adatainak kezelése tehát jogellenes volt.
14      A Hivatal keresetet indított e határozattal szemben a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság, Ausztria) előtt. Ezen utóbbi megállapította, hogy az alkalmazandó nemzeti jog szerint a Hivatal volt az adatkezelő, de nem volt jogosult arra, hogy az oltási nyilvántartásba betekintsen olyan felhívó levél kiküldéséhez, mint amelyet CW‑nek kézbesítettek. A Hivatal, miután e bíróság elutasította a keresetét, az ítélettel szemben felülvizsgálati kérelmet terjesztett a Verwaltungsgerichtshof (legfelsőbb közigazgatás bíróság, Ausztria), azaz, a kérdést előterjesztő bíróság elé.
15      E bíróság úgy véli, hogy az előtte folyamatban lévő ügyben való határozathozatalhoz el kell dönteni, hogy a Hivatal ezen ügy kontextusában a GDPR 4. cikkének 7. pontja értelmében vett „adatkezelőnek” minősül‑e.
16      E tekintetben a kérdést előterjesztő bíróság hangsúlyozza, hogy a Hivatal csupán javaslatot terjesztett a kormányzó elé az „oltásra vonatkozó felhívó levél” kiküldését érintően, a kormányzó pedig e javaslatot a Hivatal elnökeként és Tirol tartomány képviselőjeként az 1989. évi tiroli tartományi alkotmány 58. cikke és 56. cikkének (1) bekezdése alapján jóváhagyta. A Hivatal tehát csupán közölte a kormányzóval egyrészt a személyes adatok tervezett kezelésének célját – azaz, a beoltottak arányának a növelését –, másrészt pedig az említett adatkezelés alapján igénybe vett eszközöket – azaz, azt, hogy a központi oltási nyilvántartás és a betegnyilvántartás adatainak felhasználásával ilyen „oltásra vonatkozó felhívó levelek” kiküldésére kerül sor.
17      A kérdést előterjesztő bíróság álláspontja szerint a kormányzó e jóváhagyására tekintettel kizárólag ezen utóbbi határozott a személyes adatok kezelésének céljáról és eszközeiről, így a Hivatal nem minősülhet a GDPR 4. cikke 7. pontjának első mondata értelmében vett „adatkezelőnek”.
18      E bíróság azonban arra keresi a választ, hogy a Hivatalt jogszerűen kijelölhette‑e adatkezelőnek a nemzeti jog valamely rendelkezése, nevezetesen a TDVG 2. §‑a (1) bekezdésének a) pontja.
19      A Hivatal ugyanis nem minősül az „oltásra vonatkozó felhívó levél” CW‑nek való megküldése alapjául szolgáló személyes adatok kezeléséért felelős jogi személynek vagy hatóságnak. A Hivatal ezen adatkezelésben egy közhatalmi szervet kisegítő közigazgatási szervként vett részt, és nem rendelkezik jogi személyiséggel vagy saját jogképességgel. Meg kell tehát állapítani, hogy a Hivatal ilyen körülmények között tekinthető‑e a GDPR 4. cikke 7. pontjának első mondata értelmében vett olyan „ügynökségnek vagy bármely egyéb szervnek”, amelyet e rendelet 4. cikke 7. pontjának második mondata alapján a nemzeti jog adatkezelőnek jelölhetett ki.
20      Ezenkívül az említett bíróság emlékeztet arra, hogy a GDPR 4. cikke 7. pontjának második mondata értelmében az adatkezelőt csak akkor lehet közvetlenül kijelölni, ha az érintett személyes adatok kezelésének céljait és eszközeit a nemzeti jog határozza meg. Márpedig, bár a TDVG 2. §‑a (1) bekezdésének a) pontja a Hivatalt jelöli ki adatkezelőként, nem jelöli meg konkrétan sem azt, hogy a Hivatal milyen típusú személyesadat‑kezelést végezhet, sem azokat a célokat, amelyekre ezen adatkezeléseknek irányulniuk kell, sem pedig azokat az eszközöket, amelyeket a Hivatal e célból igénybe vehet.
21      A kérdést előterjesztő bíróság hozzáteszi, hogy a GDPR 6. cikke (1) bekezdésének c) és e) pontjából az következik, hogy a személyes adatok kezelése akkor jogszerű, ha az adatkezelés az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez, vagy közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges. A jogszerűség e feltételeiből, valamint a GDPR 4. cikkének 7. pontja által követett, az érintettek hatékony és széles körű védelmének biztosítására irányuló célkitűzésből az következik, hogy a tagállamok csak olyan személyt vagy szervet jelölhetnek ki adatkezelőnek, aki vagy amely képes meghatározni a személyes adatok kezelésének céljait és eszközeit, vagy legalábbis képes részt venni azok meghatározásában.
22      Ilyen körülmények között a Verwaltungsgerichtshof (legfelsőbb közigazgatási bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdést terjeszti a Bíróság elé:
„Úgy kell‑e értelmezni a [GDPR] 4. cikkének 7. pontját, hogy azzal ellentétes a nemzeti jog olyan rendelkezése (mint a jelen esetben a [TDVG] 2. §‑ának (1) bekezdése), amely ugyan meghatároz egy adott adatkezelőt a [GDPR] 4. cikke 7. pontjának második mondata értelmében, de
–        az csupán egy hivatal (mint a jelen esetben [a Hivatal]), amely bár törvény által létrehozott szerv, de nem természetes vagy jogi személy, és a jelen esetben nem is közhatalmi szerv, hanem csak egy közhatalmi szerv kisegítő hivatali apparátusaként működik, és nem rendelkezik saját (részleges) jogképességgel;
–        a kijelölése konkrét személyesadat‑kezelésre való hivatkozás nélkül történik, és ezért a tagállam joga nem határozza meg a konkrét személyesadat‑kezelés céljait és eszközeit;
–        az a konkrét esetben sem önállóan, sem másokkal együtt nem határozta meg a szóban forgó személyesadat‑kezelés céljait és eszközeit?”
Az előzetes döntéshozatalra előterjesztett kérdésről
23      A kérdést előterjesztő bíróság a kérdésével lényegében arra vár választ, hogy a GDPR 4. cikkének 7. pontját úgy kell‑e értelmezni, hogy azzal ellentétes az olyan nemzeti szabályozás, amely egy jogi személyiséggel, valamint saját jogképességgel nem rendelkező kisegítő közigazgatási szervet jelöl ki adatkezelőnek, anélkül hogy konkrétan meghatározná azokat a konkrét személyesadat‑kezelési műveleteket, amelyekért e szerv felelős, vagy e műveletek célját. E bíróság azt is meg kívánja tudni, hogy a GDPR 4. cikkének 7. pontját úgy kell‑e értelmezni, hogy az e rendelkezéssel összhangban a nemzeti jog által adatkezelőként kijelölt szervnek ténylegesen meg kell határoznia a személyes adatok kezelésének céljait és eszközeit ahhoz, hogy adatkezelőként köteles legyen arra, hogy az érintettek által a GDPR‑ból eredő jogaik alapján hozzá intézett kérelmekre válaszoljon.
24      Először is emlékeztetni kell arra, hogy az „adatkezelőnek” a GDPR 4. cikkének 7. pontja értelmében vett fogalma azokat a természetes vagy jogi személyeket, közhatalmi szerveket, ügynökségeket vagy bármely egyéb szervet foglalja magában, amelyek önállóan vagy másokkal együtt meghatározzák az adatkezelés céljait és eszközeit. E rendelkezés azt is előírja, hogy ha az adatkezelés céljait és eszközeit többek között a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat e jog is meghatározhatja.
25      A Bíróság ítélkezési gyakorlatából következik, hogy az említett rendelkezésnek az „adatkezelő” fogalmának tág meghatározásával az érintettek hatékony és teljes védelmének biztosítása a célja (lásd ebben az értelemben: 2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 29. pont; 2023. december 5‑i Deutsche Wohnen ítélet, C‑807/21, EU:C:2023:950, 40. pont).
26      A GDPR által követett, a rendelet 1. cikkéből, valamint (1) és (10) preambulumbekezdéséből következő célkitűzés többek között arra irányul, hogy a személyes adatok kezelése tekintetében biztosítsa a természetes személyek szabadságainak és alapvető jogainak – különösen a magánélet tiszteletben tartásához való jognak – a magas szintű védelmét, amelyet a Charta 8. cikkének (1) bekezdése és az EUMSZ 16. cikk (1) bekezdése ír elő (2024. március 7‑i IAB Europe ítélet, C‑604/22, EU:C:2024:214, 53. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
27      A GDPR 4. cikke 7. pontjának az e céllal összefüggésben értelmezett szövegét figyelembe véve egyértelmű, hogy annak meghatározásához, hogy valamely személyt vagy szervet az e rendelkezés értelmében vett „adatkezelőnek” kell‑e minősíteni, azt kell megvizsgálni, hogy e személy vagy szerv – önállóan vagy másokkal együtt – meghatározza‑e az adatkezelés céljait és eszközeit, vagy azokat a nemzeti jog határozza meg. Amennyiben azt a nemzeti jog határozza meg, meg kell vizsgálni, hogy e jog kijelöli‑e az adatkezelőt, vagy meghatározza‑e a kijelölésére vonatkozó különös szempontokat (2024. január 11‑i État belge [Hivatalos lap által kezelt adatok] ítélet, C‑231/22, EU:C:2024:7, 29. pont).
28      E tekintetben pontosítani kell, hogy az „adatkezelőnek” az általános adatvédelmi rendelet 4. cikkének 7. pontja szerinti fogalmára vonatkozó tág meghatározásra tekintettel az adatkezelés céljainak és eszközeinek meghatározása – és adott esetben ezen adatkezelőnek a nemzeti jog általi kijelölése – nem csupán kifejezett, hanem hallgatólagos is lehet. Ez utóbbi esetben azonban szükséges, hogy e meghatározás kellő bizonyossággal következzen az érintett személy vagy szerv szerepéből, feladataiból és hatásköreiből (2024. január 11‑i État belge [Hivatalos lap által kezelt adatok] ítélet, C‑231/22, EU:C:2024:7, 30. pont).
29      Az előterjesztett kérdést ezen előzetes megfontolásokra tekintettel kell megvizsgálni. Ennek keretében először is meg kell határozni, hogy a nemzeti jogalkotó mennyiben jelölhet ki jogszerűen egy közhatalmi szervet kisegítő közigazgatási szervet a GDPR 4. cikke 7. pontjának második mondata értelmében vett adatkezelőnek, ha az említett szerv nem rendelkezik jogi személyiséggel, valamint saját jogképességgel.
30      E tekintetben rá kell mutatni egyrészt arra, hogy a Bíróság már megállapította, hogy a GDPR 4. cikke 7. pontjának egyértelmű szövegéből kitűnik, hogy az adatkezelő nemcsak természetes vagy jogi személy, hanem közhatalmi szerv, ügynökség vagy egyéb szerv is lehet, és az ilyen szervek a nemzeti jog alapján nem feltétlenül rendelkeznek jogi személyiséggel (lásd ebben az értelemben: 2024. január 11‑i État belge [Hivatalos lap által kezelt adatok] ítélet, C‑231/22, EU:C:2024:7, 36. pont).
31      Így nem zárható ki, hogy valamely szerv az e rendelkezés értelmében vett „adatkezelőnek” minősülhet még akkor is, ha nem rendelkezik jogi személyiséggel.
32      Másrészt, ami azt a kérdést illeti, hogy valamely szerv „adatkezelőnek” minősítése megköveteli‑e, hogy e szerv saját jogképességgel rendelkezzen, vagy ehhez elegendő, ha az érintett szerv a személyes adatok védelme keretében bizonyos döntéshozatali és cselekvési képességgel rendelkezik, emlékeztetni kell arra, hogy a GDPR (74) preambulumbekezdéséből az következik, hogy az uniós jogalkotó szándéka az volt, hogy az adatkezelőt terhelő felelősség a személyes adatok általa végzett kezelésének módjától függetlenül azonos legyen, akár ő maga végzi az adatkezelést, akár az ő nevében valamely harmadik személy. E jogalkotó azt is biztosítani kívánta, hogy az adatkezelő köteles legyen megfelelő és hatékony intézkedések végrehajtására, és bizonyítani tudja, hogy az adatkezelési tevékenységek megfelelnek e rendeletnek, többek között a szóban forgó intézkedések hatékonyságát érintően is, és ezen intézkedéseknek figyelembe kell venniük az adatkezelés jellegét, hatókörét, kontextusát és céljait, valamint azt a kockázatot is, amelyet az adatkezelés a természetes személyek jogaira és szabadságaira nézve jelent.
33      A GDPR 5. cikkének (2) bekezdése e tekintetben rögzíti az elszámoltathatóság elvét, amelynek értelmében az adatkezelő felelős az ezen 5. cikk (1) bekezdésében foglalt, a személyes adatok kezelésére vonatkozó elveknek való megfelelésért, és előírja, hogy az adatkezelőnek képesnek kell lennie annak bizonyítására, hogy ezen elveket tiszteletben tartották.
34      Azon jogi kötelezettségekre tekintettel, amelyek tehát a GDPR 4. cikkének 7. pontjában említett adatkezelőt terhelik, ezen adatkezelőnek a tagállamának szabályozásában előírt részletes szabályok szerint képesnek kell lennie arra, hogy ténybeli és jogi szempontból eleget tegyen e kötelezettségeknek, és e tekintetben nincs jelentősége annak, hogy e szerv rendelkezik‑e jogi személyiséggel, vagy saját jogképességgel.
35      A jelen ügyben a kérdést előterjesztő bíróság feladata annak vizsgálata, hogy az osztrák jog felhatalmazza‑e a Hivatalt arra, hogy átvállalja a GDPR által az adatkezelőre rótt feladatokat és kötelezettségeket, tekintettel többek között arra az alapeljárásban eljáró nemzeti bíróságok előtt nem vitatott körülményre, hogy a Hivatal keresetet indíthat az adatvédelmi hatóság határozatával szemben, és vele szemben panasz terjeszthető e hatóság elé. A kérdést előterjesztő bíróság azt is figyelembe veheti, hogy a Hivatal két magánvállalkozást bízott meg a központi oltási nyilvántartásban és a Tirol tartományban lakóhellyel rendelkező betegek nyilvántartásában szereplő személyes adatok kezelésével.
36      Másodszor a kérdést előterjesztő bíróság arra keresi a választ, hogy a nemzeti jogalkotó a GDPR 4. cikke 7. pontjának második mondata alapján kijelölhet‑e egy szervet adatkezelőnek anélkül, hogy konkrétan meghatározná a személyes adatok kezelését, amelynek elvégzésére e szerv köteles lehet, vagy azok célját, illetve azokat a pontos eszközöket, amelyeket a szerv ezen adatkezelés céljából igénybe vehet.
37      Amint arra a jelen ítélet 28. pontja emlékeztet, amennyiben a nemzeti jog valamely szervet adatkezelőnek jelöl ki, az adatkezelés céljainak és eszközeinek e jog általi meghatározása lehet hallgatólagos is, feltéve hogy ez a meghatározás kellő bizonyossággal következik az e szervre ruházott szerepből, feladatból és hatáskörökből. E feltétel akkor teljesül, ha e célok és eszközök lényegében kitűnnek az említett szerv tevékenységét szabályozó nemzeti jogi rendelkezésekből.
38      Valamely szervnek a nemzeti jogalkotó által adatkezelőként történő közvetlen kijelölése hozzájárul a jogbiztonság célkitűzéséhez, amelyet – amint az a (7) preambulumbekezdéséből kitűnik – a GDPR is követ, azáltal, hogy lehetővé teszi azon természetes személyek számára, akiknek a személyes adatait kezelik, hogy könnyen azonosítsák az e rendelet által számukra biztosított jogok tiszteletben tartásának biztosításáért felelős szervet.
39      Az ilyen kijelölés érvényessége ugyanakkor ahhoz a feltételhez van kötve, hogy a nemzeti szabályozás meghatározza azon személyesadat‑ kezelések terjedelmét, amelyekre e szervezetet kijelölték, de nem szükséges, hogy e jogalkotó kimerítően felsorolja mindazokat az adatkezelési műveleteket, amelyekre az említett szervezetet ily módon kijelölték. Amint az e rendelet (45) preambulumbekezdéséből kitűnik, „[e]legendő lehet az is, ha egyetlen jogszabály szolgál jogalapul több olyan adatkezelési művelethez is, amely az adatkezelőre vonatkozó jogi kötelezettségen alapul, illetve amelyre közérdekből végzett feladat ellátásához vagy közhatalmi jogosítvány gyakorlásához van szükség”.
40      Ebből következik, hogy a GDPR 4. cikkének 7. pontjával összeegyeztethető az olyan nemzeti szabályozás, amely egy szervet oly módon jelöl ki adatkezelőnek, hogy nem sorolja fel kifejezetten a személyes adatok kezelésére irányuló azon konkrét műveleteket, amelyekért e szerv felelős, és ezen adatkezelési műveletek célját sem, feltéve, hogy e szabályozás kifejezetten vagy legalábbis hallgatólagosan meghatározza azon személyesadat‑kezelések terjedelmét, amelyek elvégzésére e szervet kijelölték.
41      A jelen ügyben a kérdést előterjesztő bíróságnak kell megvizsgálnia egyrészt azt, hogy a személyes adatok kezelése, amelyet a Hivatal végzett az alapügy tárgyát képező „oltásra vonatkozó felhívó levelek” elkészítése és elküldése céljából, összeegyeztethető‑e azokkal – a Hivatal tevékenységét szabályozó nemzeti jogi rendelkezések összességéből legalábbis hallgatólagosan következő – célokkal, amelyekre azon személyesadat‑kezelési műveleteknek kell irányulniuk, amelyek elvégzésére a Hivatalt kijelölték, és másrészt azokat az eszközöket, amelyeket a Hivatal e célból igénybe vehet. Önmagában az a körülmény, hogy e nemzeti rendelkezések adott esetben nem határozzák meg konkrétan azokat az adatkezelési műveleteket, amelyeket a Hivatal végezhet, nem zárhatja ki, hogy az olyan szerv, mint a Hivatal, a GDPR 4. cikkének 7. pontja értelmében vett adatkezelőnek minősüljön.
42      Harmadszor, a kérdést előterjesztő bíróság arra keresi a választ, hogy a nemzeti szabályozás által a GDPR 4. cikke 7. pontjának második mondata alapján adatkezelőként kijelölt szervnek ahhoz, hogy e minőségében köteles legyen válaszolni az érintettek által a GDPR‑ből eredő jogaik alapján hozzá intézett kérelmekre, döntenie is kell‑e – egyedül vagy más illetékes hatóságokkal együtt – azon személyesadat‑kezelés céljairól és eszközeiről, amelyek elvégzésére kijelölték.
43      E tekintetben elegendő megjegyezni, hogy azt, hogy valamely szerv a saját céljai érdekében ténylegesen befolyást gyakorolt‑e ezen adatkezelés céljainak és eszközeinek meghatározására, annak megállapításához kell megvizsgálni, hogy valamely szerv a GDPR 4. cikke 7. pontjának első mondata értelmében vett adatkezelőnek minősül‑e (lásd ebben az értelemben: 2023. december 5‑i Nacionalinis visuomenės sveikatos centras ítélet, C‑683/21, EU:C:2023:949, 30. és 31. pont).
44      Annak megállapításához azonban, hogy valamely szerv a GDPR 4. cikke 7. pontjának második mondata értelmében vett adatkezelőnek minősül – amint az e rendelkezés egyértelmű szövegéből kitűnik –, nem szükséges, hogy e szerv befolyást gyakoroljon ezen adatkezelés céljainak és eszközeinek meghatározására.
45      A nemzeti jog által adatkezelőként kijelölt ilyen szervnek tehát nem kell magának határoznia a személyesadat‑kezelés céljait és módjait ahhoz, hogy adatkezelőként köteles legyen válaszolni az érintettek által a GDPR‑ból eredő jogaik alapján hozzá intézett kérelmekre.
46      E tekintetben a Bíróság már megállapította, hogy a közvetlen kijelölés érvényességét nem érinti az a körülmény, hogy az adatkezelőnek kijelölt szerv a nemzeti jog értelmében nem gyakorol semmilyen ellenőrzést az általa kezelendő személyes adatok felett (lásd ebben az értelemben: 2024. január 11‑i État belge [Hivatalos lap által kezelt adatok] ítélet, C‑231/22, EU:C:2024:7, 37. és 38. pont).
47      Ez az értelmezés megfelel a GDPR által követett jogbiztonsági célnak. Amint azt az Európai Bizottság írásbeli észrevételeiben hangsúlyozta, e cél veszélybe kerülne, ha ahhoz, hogy a nemzeti jogalkotó által végzett ezen kijelölést érvényesnek lehessen tekinteni, az érintetteknek ellenőrizniük kellene, hogy a személyes adataik tekintetében adatkezelőnek kijelölt szerv jogosult‑e arra, hogy maga határozza meg az ilyen adatkezelés céljait és eszközeit.
48      Hozzá kell tenni továbbá, hogy az, hogy a nemzeti jog által adatkezelőnek kijelölt szervnek ahhoz, hogy adatkezelőként köteles legyen válaszolni az érintettek által a GDPR‑ból eredő jogaik alapján hozzá intézett kérelmekre, nem szükséges jogosultnak lennie arra, hogy maga döntsön a személyes adatok kezelésének céljairól és eszközeiről, nem fosztja meg e személyeket attól a lehetőségtől, hogy e kérelmeket más olyan szervhez intézzék, amelyet személyes adataik tekintetében adatkezelőnek vagy az adatkezelésben részt vevő szervnek tekintenek amiatt, hogy e más szerv befolyást gyakorolt a szóban forgó adatkezelés céljainak és eszközeinek meghatározására.
49      A fenti indokokra tekintettel az előterjesztett kérdésre azt a választ kell adni, hogy a GDPR 4. cikkének 7. pontját úgy kell értelmezni, hogy az olyan nemzeti szabályozás, amely egy jogi személyiséggel, valamint saját jogképességgel nem rendelkező kisegítő közigazgatási szervet jelöl ki adatkezelőnek, anélkül hogy konkrétan meghatározná azokat a konkrét személyesadat‑kezelési műveleteket, amelyekért e szerv felelős, vagy e műveletek célját, nem ellentétes e rendelkezéssel, feltéve, hogy egyrészt az ilyen szerv e nemzeti szabályozás alapján képes eleget tenni az adatkezelőt az érintettek felé terhelő, a személyes adatok védelmével kapcsolatos kötelezettségeknek, és másrészt az említett nemzeti szabályozás kifejezetten vagy legalábbis hallgatólagosan meghatározza azon személyesadat‑kezelés terjedelmét, amelyért e szerv felelős.
A költségekről
50      Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (nyolcadik tanács) a következőképpen határozott:
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 4. cikkének 7. pontját
a következőképpen kell értelmezni:
az olyan nemzeti szabályozás, amely egy jogi személyiséggel, valamint saját jogképességgel nem rendelkező kisegítő közigazgatási szervet jelöl ki adatkezelőnek, anélkül hogy konkrétan meghatározná azokat a konkrét személyesadat‑kezelési műveleteket, amelyekért e szerv felelős, vagy e műveletek célját, nem ellentétes e rendelkezéssel, feltéve, hogy egyrészt az ilyen szerv e nemzeti szabályozás alapján képes eleget tenni az adatkezelőt az érintettek felé terhelő, a személyes adatok védelmével kapcsolatos kötelezettségeknek, és másrészt az említett nemzeti szabályozás kifejezetten vagy legalábbis hallgatólagosan meghatározza azon személyesadat‑kezelés terjedelmét, amelyért e szerv felelős.
Aláírások
*      Az eljárás nyelve: német.