Ideiglenes változat
JEAN RICHARD DE LA TOUR
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2025. szeptember 4.(1)
C‑414/24. sz. ügy
Datenschutzbehörde,
Dr. GS;
a Bundesministerin für Justiz,
a D GmbH
részvételével
(a Verwaltungsgerichtshof [legfelsőbb közigazgatási bíróság, Ausztria] által benyújtott előzetes döntéshozatal iránti kérelem)
„ Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – 77. és 79. cikk – Jogorvoslati lehetőségek – Párhuzamos joggyakorlás – A közigazgatási panasz és a bírósági jogorvoslat közötti kapcsolat – A tagállamok eljárási autonómiája – A tényleges érvényesülés elve ”
I.      Bevezetés
1.        A jelen előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet)(2) 77. cikke (1) bekezdésének és 79. cikke (1) bekezdésének értelmezésére vonatkozik.
2.        E kérelmet a Dr. GS (a továbbiakban: GS) és az Österreichische Datenschutzbehörde (adatvédelmi hatóság, Ausztria; a továbbiakban: DSB) között folyamatban lévő jogvita keretében terjesztették elő, amelynek tárgya a GS által a DSB‑hez benyújtott panasz azzal az indokkal történő elutasítása, hogy GS korábban ugyanezen ügyben bírósághoz fordult.
3.        Az említett előzetes döntéshozatal iránti kérelem a 2023. január 12‑i Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet[(3)] folytatásának tekinthető, amely ítéletben a Bíróság megállapította, hogy az egyrészt a GDPR 77. cikkének (1) bekezdésében és 78. cikkének (1) bekezdésében, másrészt pedig az e rendelet 79. cikkének (1) bekezdésében szereplő jogorvoslatok párhuzamosan és egymástól függetlenül gyakorolhatók. E 77. cikk (1) bekezdése és e 78. cikk (1) bekezdése a felügyeleti hatóságnál(4) történő panasztételhez való jogra, illetve az e hatóság által hozott határozattal szembeni bírósági jogorvoslathoz való jogra vonatkozik. E 79. cikk (1) bekezdése pedig az adatkezelővel vagy az adatfeldolgozóval szembeni bírósági jogorvoslathoz való jogra vonatkozik.
4.        A kérdést előterjesztő bíróság, a Verwaltungsgerichtshof (legfelsőbb közigazgatási bíróság, Ausztria) e jogorvoslati lehetőségek egymáshoz való viszonyáról kér felvilágosítást a Bíróságtól, pontosabban annak lehetőségéről, hogy a felügyeleti hatóság elutasíthassa a panaszt, ha korábban azonos tárgyú bírósági jogorvoslatot nyújtottak be, még akkor is, ha ez az eljárás még folyamatban van, vagy az annak keretében hozott határozat még nem jogerős.
5.        Ez fontos kérdés, tekintettel az uniós jogalkotó azon szándékára, hogy egyrészt különös gondossági kötelezettséget írjon elő a felügyeleti hatóság számára, másrészt pedig megerősítse az Európai Unió Alapjogi Chartájának(5) 47. cikkében biztosított hatékony bírói jogvédelemhez való jogot.
6.        A jelen indítványban azt fogom javasolni a Bíróságnak, hogy állapítsa meg, hogy a GDPR 77. cikkének (1) bekezdését és 79. cikkének (1) bekezdését úgy kell értelmezni, hogy azokkal ellentétes az, hogy a felügyeleti hatóság, amelyhez e 77. cikk (1) bekezdése alapján panaszt nyújtottak be, elutasíthassa a panaszt azzal az indokkal, hogy korábban az e 79. cikk (1) bekezdése szerinti és azonos tárgyú bírósági jogorvoslatot nyújtottak be, és az e jogorvoslat keretében hozott határozat még nem jogerős.
7.        Elemzésemet az egyrészt a GDPR 77. cikkének (1) bekezdésében és 78. cikkének (1) bekezdésében, másrészt az e rendelet 79. cikkének (1) bekezdésében szereplő jogorvoslatok párhuzamos és egymástól független jellegének felidézésével kezdem. Emlékeztetni fogok továbbá a tagállamok azon kötelezettségére, hogy az egymásnak ellentmondó határozatok meghozatalának elkerülése érdekében összehangolják ezeket a jogorvoslati lehetőségeket. Be fogom mutatni, hogy ez az összehangolási kötelezettség nem kérdőjelezheti meg a GDPR által biztosított jogorvoslati lehetőségek párhuzamos és egymástól független jellegét azáltal, hogy lehetővé teszi a felügyeleti hatóság számára, hogy az elé terjesztett panaszt elutasítsa ahelyett, hogy felfüggesztené annak vizsgálatát mindaddig, amíg a GDPR 79. cikkének (1) bekezdése alapján indított bírósági eljárás jogerősen le nem zárul.
II.    Jogi háttér
A.      Az uniós jog
8.        A GDPR „A törléshez való jog (»az elfeledtetéshez való jog«)” című 17. cikke (1) bekezdésének d) pontja a következőket írja elő:
„Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:
[…]
d)      a személyes adatokat jogellenesen kezelték”.
9.        A GDPR „Független felügyeleti hatóságok” című VI. fejezetében a „[f]üggetlen jogállás[ra]” vonatkozó 1. szakasz tartalmazza az 51–54. cikket. A GDPR 51. cikkének (1) bekezdése szerint:
„A természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme, valamint a személyes adatok Unión belüli szabad áramlásának megkönnyítése érdekében minden tagállam előírja, hogy e rendelet alkalmazásának ellenőrzéséért egy vagy több független közhatalmi szerv […] felel.”
10.      A GDPR 52. cikkének (1) bekezdése a következőképpen szól:
„A felügyeleti hatóságok az e rendelet alapján rájuk ruházott feladatok elvégzése és hatáskörök gyakorlása során teljesen függetlenül járnak el.”
11.      A GDPR VI. fejezetének „Illetékesség, feladatok és hatáskörök” című 2. szakaszában, amely az 55–59. cikket foglalja magában, az 57. cikk (1) bekezdésének a) és f) pontja a következőket írja elő:
„Az e rendeletben meghatározott egyéb feladatok sérelme nélkül, a felügyeleti hatóság a saját területén ellátja a következő feladatokat:
a)      nyomon követi és kikényszeríti e rendelet alkalmazását;
[…]
f)      kezeli az érintett vagy valamely szerv, szervezet vagy egyesület által a 80. cikkel összhangban benyújtott panaszokat, a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű határidőn belül tájékoztatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről, különösen, ha további vizsgálat vagy egy másik felügyeleti hatósággal való együttműködés válik szükségessé”.
12.      A GDPR 58. cikkének (4) bekezdése a következőképpen rendelkezik:
„Az e cikk alapján a felügyeleti hatóságra ruházott hatáskörök gyakorlására megfelelő garanciák mellett kerülhet sor, ideértve az uniós és a tagállami jogban a Chartával összhangban meghatározott hatékony bírósági jogorvoslatot és tisztességes eljárást is.”
13.      A a GDPR
-nak „A felügyeleti hatóságnál történő panasztételhez való jog” című 77. cikke értelmében:
„(1)      Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.
(2)      Az a felügyeleti hatóság, amelyhez a panaszt benyújtották, köteles tájékoztatni az ügyfelet a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről, ideértve azt is, hogy a 78. cikk alapján az ügyfél jogosult bírósági jogorvoslattal élni.”
14.      A GDPR-nak „A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog” című 78. cikke az (1) bekezdésében a következőket írja elő:
„Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.”
15.      A GDPR „Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog” című 79. cikkének (1) bekezdése a következőképpen rendelkezik:
„A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 77. cikk szerinti jog – sérelme nélkül, minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait.”
16.      A GDPR „Az eljárás felfüggesztése” című 81. cikkének (2) és (3) bekezdése a következőket mondja ki:
„(2)      Ha ugyanazon adatkezelő vagy adatfeldolgozó adatkezelése tekintetében, ugyanabban a tárgyban egy másik tagállam bírósága előtt eljárás van folyamatban, valamennyi olyan illetékes bíróság, amely előtt az eljárás később indult meg, felfüggesztheti az előtte folyó eljárást.
(3)      Ha ezen eljárások első fokon vannak folyamatban, valamennyi olyan bíróság, amely előtt az eljárás később indult meg, valamely fél kérelmére joghatóságának hiányát is megállapíthatja, ha az említett eljárásokra az a bíróság, amely előtt elsőként indult meg az eljárás, joghatósággal rendelkezik, és a rá vonatkozó jog az eljárások egyesítését lehetővé teszi.”
B.      Az osztrák jog
17.      A Bundes‑Verfassungsgesetz (szövetségi alkotmánytörvény) 94. cikke (1) bekezdésének szövege a következő:
„Valamennyi bírósági fórum független a közigazgatástól.”
18.      Az 1999. augusztus 17‑i Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről szóló szövetségi törvény)(6) alapügyre alkalmazandó változata „Panasztétel az adatvédelmi hatóságnál” című 24. §‑ának (1) és (4) bekezdése kimondja:
„(1)      Minden érintett jogosult arra, hogy panaszt tegyen az adatvédelmi hatóságnál, ha megítélése szerint a rá vonatkozó személyes adatok kezelése sérti a
[a GDPR-] […]
[…]
(4)      A panasz elbírálásához való jog megszűnik, ha a panaszos a panasz tárgyát képező eseményről való tudomásszerzéstől számított egy éven belül, de legkésőbb az esemény állítólagos bekövetkezésétől számított három éven belül nem nyújt be panaszt. A késedelmesen benyújtott panaszokat el kell utasítani.”
III. Az alapeljárás tényállása és az előzetes döntéshozatalra előterjesztett kérdések
19.      2017. július 3‑án GS a GDPR hatálybalépését megelőzően(7) a D GmbH‑tól, amely társaság egy olyan orvoskereső platform üzemeltetője, amely lehetővé teszi harmadik személyek részére, hogy orvosokat véleményezzenek és ajánljanak, személyes adatok törlését kérte. Ezt a törlési kérelmet a 2017. július 10‑i levélben elutasították.
20.      2017 novemberében GS polgári pert indított a D ellen, amelyben többek között az adatvédelemhez való jog megsértésére hivatkozott, és a D által közzétett személyes adatai törlését és az ismételt adatkezelés megszüntetését kérte.
21.      2018. június 22‑én, a GDPR hatálybalépését követően GS ismét kérte a D‑től az utóbbi platformján szereplő személyes adatainak törlését, amit a D a 2018. július 6‑i levélben szintén megtagadott.
22.      Ezért GS 2018. július 26‑án a GDPR 77. cikke alapján különösen e rendeletnek a törléshez való jogot rögzítő 17. cikkére alapított panaszt nyújtott be a DSB‑hez. E panaszban GS kérte, hogy a DSB állapítsa meg jogainak megsértését, és kötelezze a D‑t, hogy a platformján található összes adatot törölje, és tartózkodjon a további adatkezeléstől.
23.      2019. január 4‑i határozatával a DSB elutasította ezt a kérelmet azzal az indokkal, hogy a panasznak és a 2017 novemberében benyújtott polgári jogi keresetnek azonos a tárgya, nevezetesen GS személyes adatainak a D platformjáról való törlése. Márpedig rendszerszintű szempontból ellentétes a GDPR szerinti jogorvoslati mechanizmussal az, hogy ugyanarra a kérdésre vonatkozóan párhuzamosan vagy egymást követően a felügyeleti hatóság előtti panaszt és bírósági jogorvoslati kérelmet nyújtsanak be.
24.      2020. december 4‑i ítéletével a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság, Ausztria) elutasította az e határozat ellen benyújtott fellebbezést. Ezt megelőzően a 2020. július 23‑i ítélettel elutasították a GS által 2017 novemberében egy polgári bírósághoz benyújtott keresetet. Ez az ítélet 2020. december 4‑én még nem emelkedett jogerőre.
25.      Ítéletében a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság) megállapította, hogy a GDPR szándékosan kettős jogvédelmet alakított ki, és hogy következésképpen a DSB e panasz elbírálására vonatkozó döntéshozatali hatáskörének fennállását kell elvi jelleggel megerősíteni. Az említett bíróság ezzel szemben úgy ítélte meg, hogy az adatvédelmi törvény 24. §‑ának (4) bekezdésében előírt egyéves jogvesztő határidő lejárt. Mivel GS 2017. július 3‑án tudomással bírt arról, hogy a D közzétette a személyes adatait, és az újabb eljárásban további lényeges tényre nem hivatkozott, a GDPR 77. cikkére alapított panaszának elbírálásához való joga e panasz 2018. július 26‑i benyújtásakor már megszűnt. A jogi szabályozás megváltozása, vagyis a GDPR hatálybalépése nem szakítja meg a jogvesztő határidőt. Mivel a GDPR 77. cikke szerinti, elkésett panasz is elutasítást eredményez, a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság) szerint GS panaszát jogosan utasították el.
26.      GS és a DSB felülvizsgálati kérelmet nyújtott be ezen ítélettel szemben a Verwaltungsgerichtshofhoz (legfelsőbb közigazgatási bíróság).
27.      E bíróság nem osztja a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság) véleményét GS panaszának elévülését illetően. Tekintettel ugyanis arra, hogy GS a GDPR 2018. június 22‑i hatálybalépését követően élt először az e rendelet 17. cikkének (1) bekezdése szerinti törléshez való jogával, az adatvédelmi törvény 24. §‑ának (4) bekezdése szerinti határidő csak akkor kezdődött, amikor GS tudomást szerzett D‑nek a törlési kérelem elutasítását tartalmazó 2018. július 6‑i e‑mailjéről. A Verwaltungsgerichtshof (legfelsőbb közigazgatási bíróság) tehát úgy véli, hogy a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság) által elfogadott indokolás nem igazolhatja a GS által a GDPR 77. cikkének (1) bekezdése alapján benyújtott panasz DSB általi elutasítását.
28.      A Verwaltungsgerichtshof (legfelsőbb közigazgatási bíróság) mindazonáltal megvizsgálja, hogy e panasz elutasítása nem volt‑e jogilag megalapozott más okok alapján. A kérdést előterjesztő bíróság, miután felidézte a Bíróság által a Nemzeti Adatvédelmi és Információszabadság Hatóság ítéletében és a 2023. december 7‑i SCHUFA Holding (A fennálló tartozás elengedése) ítéletében[(8)] megállapítottakat, többek között a DSB által felhozott, az ugyanazon ügyre vonatkozó, folyamatban lévő bírósági jogorvoslat fennállására vonatkozó indokot vizsgálja. A szövetségi alkotmánytörvény 94. cikkének (1) bekezdése ugyanis úgy rendelkezik, hogy valamennyi bírósági fórum független a közigazgatástól. Amint azt a kérdést előterjesztő bíróság kifejti, e cikk az igazságszolgáltatás és a közigazgatás szétválasztásának elvét biztosítja, amely megköveteli, hogy valamely ügyet teljes egészében a végrehajtás érdekében vagy a bíróságok, vagy a közigazgatási hatóságok elé kell utalni. Az említett cikk tehát nem teszi lehetővé, hogy a bíróságok és a közigazgatási hatóságok párhuzamosan vagy egymás után ugyanabban az ügyben hozzanak határozatot.(9)
29.      A kérdést előterjesztő bíróság először arra keresi a választ, hogy a GDPR 77. cikke alapján a felügyeleti hatósághoz benyújtott panaszt el lehet‑e utasítani azért, mert ugyanabban az ügyben már benyújtották az e rendelet 79. cikke szerinti hatékony bírósági jogorvoslatot, és a bíróság előtti eljárás még mindig folyamatban van.
30.      A kérdést előterjesztő bíróság emlékeztet arra, hogy Nemzeti Adatvédelmi és Információszabadság Hatóság ítéletében a Bíróság megállapította, hogy a GDPR 77–79. cikke lehetővé teszi az egyrészről az e rendelet 77. cikkének (1) bekezdésében és 78. cikkének (1) bekezdésében, másrészről pedig az e rendelet 79. cikkének (1) bekezdésében szereplő jogorvoslatok párhuzamos és egymástól független gyakorlását, és hogy a tagállamok feladata, hogy az eljárási autonómia elvével összhangban meghatározzák az e jogorvoslati lehetőségek közötti kapcsolat részletes szabályait annak érdekében, hogy biztosítsák az ugyanezen rendelet által garantált jogok védelmének hatékonyságát, az utóbbi rendelet rendelkezéseinek következetes és egységes alkalmazását, valamint a Charta 47. cikkében szereplő, a bíróság előtti hatékony jogorvoslathoz való jogot.
31.      E bíróság úgy véli, hogy az egymásnak ellentmondó határozatok meglétének megakadályozása érdekében, mivel az „veszélyeztetné […] a természetes személyeket a személyes adataik kezelése vonatkozásában megillető alapvető jogoknak és szabadságoknak az Unió egész területén történő védelmére vonatkozó szabályok következetes és egységes alkalmazásának biztosítására irányuló célt”,(10) elfogadható az, hogy – a GDPR 81. cikkének (2) és (3) bekezdéséhez hasonló módon – abban az esetben, ha egy és ugyanazon jogalap tekintetében folyik eljárás a polgári bíróság és közigazgatási hatóságok előtt, a később megkeresett szervnek elutasító döntést kelljen hoznia.
32.      Az említett bíróság szerint, még ha a szóban forgó nemzeti szabályok nem is egyeznek meg teljes mértékben a GDPR
-ban a tagállamok közötti viszonyok tekintetében előírt mechanizmusokkal, e cél fényében képviselhetőnek tűnik az az álláspont, hogy e szabályok elfogadhatók.
33.      A kérdést előterjesztő bíróság hozzáteszi, hogy még ha a Bíróság által indoklásként hivatkozott hatékony bírói jogvédelem elve elsősorban a személyes adatok kezelésével érintett, jogorvoslatot igénybe vevő személy helyzetét tartja is szem előtt, az ellenérdekű félként megnevezett adatkezelő részére is biztosítani kell a hatékony eljáráshoz való jogot, amelyet érinthet az, hogy a folyamatban lévő két párhuzamos eljárás nem elhanyagolható terhet jelenthet, többek között az e két eljárásra vonatkozó jogi képviselet költségeit illetően.
34.      Ily módon az, hogy a GDPR 79. cikke alapján valamely bíróság előtt eljárás van folyamatban, már kizárja annak megengedhetőségét, hogy az ügyet a felügyeleti hatóság a GDPR 77. cikke alapján elbírálja, amennyiben a bírósági jogorvoslati kérelem benyújtását követően nyújtottak be hozzá panaszt.
35.      E bíróság ugyanakkor megjegyzi, hogy a GDPR 77. cikke szerinti panasz kizárólag amiatt történő elutasítása esetén, hogy bírósági jogorvoslat van folyamatban, az elutasítás időpontjában még nem született érdemi határozat a személyi adatokkal kapcsolatos állítólagos jogsértést illetően, ezért ebben az időpontban nem áll fenn az egymásnak ellentmondó határozatok kockázata.
36.      Másodszor, az első kérdésére adott nemleges válasz esetén a kérdést előterjesztő bíróság azt kívánja megtudni, hogy elutasítható‑e a felügyeleti hatósághoz a GDPR 77. cikke alapján benyújtott panasz azzal az indokkal, hogy az e rendelet 79. cikke alapján indított eljárásban már született érdemi bírósági határozat.
37.      E bíróság szerint a felügyeleti hatósághoz benyújtott panasznak az időbeli elsőbbség elve alapján, a bírósági eljárásban hozott érdemi határozat meghozatalának időpontjától kezdve történő elutasítása figyelembe veszi az egymásnak ellentmondó határozatok elkerülésére irányuló célkitűzést. Mindazonáltal tekinthető úgy, hogy a nem jogerős határozatra való hivatkozás még nem jelent bizonyosságot az érintett személy számára a határozat meglétét illetően.
38.      E körülmények között a Verwaltungsgerichtshof (legfelsőbb közigazgatási bíróság, Ausztria) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)      Úgy kell‑e értelmezni a Bíróság [Nemzeti Adatvédelmi és Információszabadság Hatóság ítéletére] és [SCHUFA Holding ítéletére] tekintettel a GDPR 77. és 79. cikkét, hogy a felügyeleti hatósághoz benyújtott, a GDPR 77. cikke szerinti panasz elutasításának nemzeti szinten előírt lehetősége a GDPR 79. cikke szerinti bírósági jogorvoslatnak ugyanabban az ügyben korábban történő benyújtása és azon körülmény alapján, hogy e jogorvoslat tárgyában bírósági eljárás van folyamatban, (a Bíróság fent említett ítélkezési gyakorlata értelmében) e jogorvoslati lehetőségek közötti kapcsolat megengedett részletes szabályozásának minősül[?]
2)      Az első kérdésre adott nemleges válasz esetén úgy kell‑e értelmezni a Bíróság [Nemzeti Adatvédelmi és Információszabadság Hatóság ítéletére] és [SCHUFA Holding ítéletére] tekintettel
a GDPR 77. és 79. cikkét, hogy a felügyeleti hatósághoz benyújtott, a GDPR 77. cikke szerinti panasz elutasításának nemzeti szinten előírt lehetősége amiatt, hogy az ugyanabban az ügyben a GDPR 79. cikke szerinti bírósági jogorvoslat tárgyában folyamatban lévő eljárásban már hoztak érdemi (bár még nem jogerős) határozatot, (a Bíróság fent említett ítélkezési gyakorlata értelmében) e jogorvoslati lehetőségek közötti kapcsolat megengedett részletes szabályozásának minősül?”
39.      GS, D, a DSB, az osztrák, az olasz és a magyar kormány, valamint az Európai Bizottság írásbeli észrevételeket nyújtott be.
IV.    Elemzés
40.      A kérdést előterjesztő bíróság, annak érdekében, hogy a hozzá benyújtott keresetről dönteni tudjon, azt kéri, hogy a Bíróság tisztázza egyrészt a GDPR 77. cikkének (1) bekezdése alapján a felügyeleti hatósághoz benyújtott panasz, másrészt az e rendelet 79. cikkének (1) bekezdése alapján benyújtott bírósági jogorvoslat egymáshoz való viszonyát.
41.      Kérdéseivel, amelyek együttes vizsgálatát javaslom, a kérdést előterjesztő bíróság tehát lényegében annak megállapítását kéri a Bíróságtól, hogy a felügyeleti hatóság, amelyhez a GDPR 77. cikkének (1) bekezdése alapján panaszt nyújtottak be, elutasíthatja‑e a panaszt azzal az indokkal, hogy korábban az e rendelet 79. cikkének (1) bekezdése szerinti és azonos tárgyú bírósági jogorvoslatot nyújtottak be (első kérdés), és az e jogorvoslat keretében hozott határozat még nem jogerős (második kérdés).
42.      Véleményem szerint e két kérdésre nemleges választ kell adni. Egyebekben megjegyzem, hogy annak ellenére, hogy a DSB elutasította GS panaszát, mind az osztrák kormány, mind e felügyeleti hatóság osztja ezt az álláspontot.
43.      Elöljáróban emlékeztetni kell arra, hogy a GDPR VIII. fejezete szabályozza többek között azokat a jogorvoslati lehetőségeket, amelyek lehetővé teszik az érintett személy jogainak védelmét, amennyiben a rá vonatkozó személyes adatokat az említett rendelet rendelkezéseivel állítólagosan ellentétes módon kezelték. E jogok védelmét ily módon kérheti közvetlenül – e rendelet 77–79. cikke alapján – az érintett személy, vagy az említett rendelet 80. cikke szerint feljogosított szervezet, akár rendelkezik e célból adott
meghatalmazással, akár nem.(11)
44.      Annak érdekében, hogy iránymutatással szolgáljak a kérdést előterjesztő bíróság számára azzal kapcsolatban, hogy a GDPR 77. cikkének (1) bekezdése alapján a felügyeleti hatósághoz benyújtott panasznak e hatóság általi elutasítása azzal az indokkal, hogy korábban az e rendelet 79. cikkének (1) bekezdése szerinti és azonos tárgyú bírósági jogorvoslatot nyújtottak be, és az e jogorvoslat keretében hozott határozat még nem jogerős, az e jogorvoslati lehetőségek közötti kapcsolat megengedett részletes szabályozásának minősül‑e, emlékeztetni kell arra, hogy valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak kifejezéseit, hanem szövegkörnyezetét, és annak a szabályozásnak a célkitűzéseit is figyelembe kell venni, amelynek az részét képezi.(12)
45.      Ami a GDPR releváns rendelkezéseinek szövegét illeti, mindenekelőtt emlékeztetni kell arra, hogy e rendelet 77. cikkének (1) bekezdése pontosítja, hogy minden érintett az „egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül” jogosult panaszt benyújtani a felügyeleti hatósághoz. Továbbá az említett rendelet 78. cikkének (1) bekezdése értelmében az „egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül”, minden természetes és jogi személy jogosult a hatékony bírósági jogorvoslatra a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben. Végül ugyanezen rendelet 79. cikkének (1) bekezdése biztosítja, hogy a „rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 77. cikk szerinti jog – sérelme nélkül”, minden érintett hatékony bírósági jogorvoslatra jogosult.
46.      A Bíróság szerint a GDPR e rendelkezései különböző jogorvoslati lehetőségeket kínálnak az e rendelet megsértésére hivatkozó személyek számára, azzal, hogy e jogorvoslatok mindegyikének gyakorlását a többi rendelkezés „sérelme nélkül” kell biztosítani.(13) Így a GDPR nem ír elő sem elsődleges vagy kizárólagos hatáskört, sem pedig az abban említett hatóság vagy bíróságok által – az ugyanezen rendelet által biztosított jogok megsértésére vonatkozóan – végzett értékelés elsőbbségéről nem rendelkezik.(14) Másként fogalmazva, az uniós jogalkotó olyan átfogó jogorvoslati rendszert kívánt biztosítani az érintettek számára, amelyben a bírósági jogorvoslathoz való jog és a közigazgatási vagy bíróságon kívüli jogorvoslat gyakorlásának lehetősége önállóan létezik egymás mellett, és egyik sem másodlagos a másikhoz képest.
47.      A GDPR 78. cikkének (1) bekezdésében előírt jogorvoslat, amelynek tárgya a felügyeleti hatóság által az e rendelet 77. cikke alapján elfogadott határozat jogszerűségének vizsgálata, valamint az említett rendelet 79. cikkének (1) bekezdésében előírt jogorvoslat, tehát párhuzamosan és egymástól függetlenül is gyakorolható.(15) Ugyanez vonatkozik a GDPR 77. cikkének (1) bekezdése alapján a felügyeleti hatóságokhoz benyújtott panaszokra.
48.      E megállapítást megerősíti azon szövegösszefüggés, amelybe a GDPR releváns rendelkezései illeszkednek,(16) valamint megerősítik az e rendelet által követett célok is. E tekintetben többek között e rendelet (10) preambulumbekezdéséből kitűnik, hogy e rendelet célja a személyes adatok kezelése vonatkozásában a természetes személyek Unión belüli magas szintű védelmének biztosítása. Az említett rendelet (11) preambulumbekezdése ezenkívül kimondja, hogy ezen adatok hatékony védelme érdekében az érintettek jogainak megerősítése szükséges. Így az uniós jogalkotó azon döntése, hogy lehetővé teszi az érintettek számára az egyrészt a GDPR 77. cikkének (1) bekezdésében és 78. cikkének (1) bekezdésében, másrészt az e rendelet 79. cikkének (1) bekezdésében szereplő jogorvoslatok párhuzamos és egymástól független gyakorlását, összhangban áll az említett rendelet célkitűzésével.(17) A Bíróság azt is hangsúlyozta, hogy az a körülmény, hogy több jogorvoslati lehetőség is rendelkezésre áll, megerősíti a GDPR (141) preambulumbekezdésében kimondott azon célkitűzést, hogy minden olyan érintett, aki úgy véli, hogy az e rendelet által számára biztosított jogokat megsértették, a Charta 47. cikkével összhangban hatékony bírósági jogorvoslathoz való joggal rendelkezzen.(18) Hozzáteszem, hogy ez az értelmezés a GDPR elfogadásához vezető jogalkotási folyamatra tekintettel is megerősítést nyer. Az Osztrák Köztársaság ugyanis az Európai Unió Tanácsában kifejtette, hogy többek között az e rendeletben foglalt jogorvoslati lehetőségek párhuzamosságára tekintettel nem szavazott e szöveg mellett.(19) A jogorvoslati lehetőségek ilyen párhuzamosságát azonban az említett rendelet végleges változatában is fenntartották.
49.      A Bíróság által a Nemzeti Adatvédelmi és Információszabadság Hatóság ítéletében megállapítottakra tekintettel úgy vélem, hogy annak megengedése, hogy a felügyeleti hatóság, amelyhez a GDPR 77. cikkének (1) bekezdése alapján panaszt nyújtottak be, elutasíthassa a panaszt azzal az indokkal, hogy korábban az e rendelet 79. cikkének (1) bekezdése szerinti és azonos tárgyú bírósági jogorvoslatot nyújtottak be, és jóllehet az e jogorvoslat keretében hozott határozat még nem jogerős, sértené a GDPR által az érintettek számára biztosított azon lehetőséget, hogy ugyanazon személyesadat‑kezelés tárgyában párhuzamos jogorvoslati kérelmeket nyújtsanak be.
50.      Igaz, hogy a Nemzeti Adatvédelmi és Információszabadság Hatóság ügyre vonatkozó indítványomban már volt alkalmam hangsúlyozni, hogy ez a lehetőség hátránnyal is járhat, nevezetesen azzal a jogbizonytalansággal, amelyet az egymásnak ellentmondó határozatok egy tagállamon belüli megjelenése okozhat. Márpedig az uniós jogalkotó ebben a GDPR-ben számolt ugyan a különböző tagállamok felügyeleti hatóságai, illetve bíróságai egymásnak ellentmondó határozatainak kockázatával, az ilyen határozatok ugyanazon tagállamon belüli elfogadása esetében viszont nem.(20) E körülmények között az egyes tagállamok feladata, hogy olyan eljárási eszközöket hozzanak létre, amelyek lehetővé teszik annak elkerülését, hogy egymásnak ellentmondó határozatok kerüljenek elfogadásra ugyanazon személyesadat‑kezelés tárgyában.(21)
51.      A Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet alapjául szolgáló ügyben a Bíróság elé terjesztett esetben arról volt szó, hogy a GDPR 78. cikkének (1) bekezdése alapján benyújtott kereset tárgyában eljáró bíróság olyan határozatot hozhatott, amely ellentmondott volna az e rendelet 79. cikkének (1) bekezdése alapján benyújtott kereset tárgyában eljáró bíróság által korábban hozott, jogerőre emelkedett határozatnak.
52.      Ebben az esetben a Bíróság hangsúlyozta, hogy egyrészt ha két egymásnak ellentmondó határozat születne, az veszélyeztetné a GDPR (10) preambulumbekezdésében kimondott, a természetes személyeket a személyes adataik kezelése vonatkozásában megillető alapvető jogoknak és szabadságoknak az Unió egész területén történő védelmére vonatkozó szabályok következetes és egységes alkalmazásának biztosítására irányuló célt.(22) A Bíróság szerint az e rendelet 79. cikkének (1) bekezdése alapján benyújtott kereset alapján meghozott, e rendelet rendelkezéseinek megsértését megállapító határozatnak megfelelően biztosított védelem ugyanis nem lenne összhangban az említett rendelet 78. cikkének (1) bekezdése alapján benyújtott kereset alapján meghozott, ellentétes kimenetelű második bírósági határozattal.(23) Ez másrészt gyengítené a természetes személyeket a személyes adataik kezelése tekintetében megillető védelmet, mivel az összhang ilyen hiánya jogbizonytalanságot eredményezne.(24)
53.      Fontos tehát, hogy minden tagállam biztosítsa, hogy az érintettek által párhuzamosan gyakorolható jogorvoslatok fennállása ne veszélyeztesse a GDPR által az érintettek számára biztosított jogok védelmének hatékonyságát. A tagállamok feladata azon eljárási mechanizmusok megválasztása, amelyek a leginkább megfelelőnek tűnnek számukra az e rendelet 77–79. cikkében előírt jogorvoslatok egymáshoz való harmonikus viszonyának lehetővé tételéhez.
54.      E tekintetben a Bíróság kimondta, hogy ilyen tárgyú uniós szabályozás hiányában az egyes tagállamok feladata a tagállamok eljárási autonómiájának elve alapján meghatározni a közigazgatási eljárás és a bírósági eljárás azon szabályait, amelyek célja, hogy biztosítsák a jogalanyok uniós jogból eredő jogainak magas szintű védelmét.(25) Mindazonáltal e párhuzamos és egymástól független jogorvoslatok gyakorlásának részletes szabályai nem veszélyeztethetik a GDPR által biztosított jogok hatékony érvényesülését és hatékony védelmét.(26) E szabályok ugyanis nem lehetnek kedvezőtlenebbek, mint a belső jogrendből eredő jogok védelme érdekében előírt hasonló jogorvoslatokra vonatkozó szabályok (az egyenértékűség elve), és nem tehetik a gyakorlatban lehetetlenné vagy rendkívül nehézzé az uniós jogrend által biztosított jogok gyakorlását (a tényleges érvényesülés elve).(27) A Bíróság azt is hangsúlyozta, hogy a tagállamoknak biztosítaniuk kell, hogy az e rendelet 77. cikkének (1) bekezdésében, 78. cikkének (1) bekezdésében és 79. cikkének (1) bekezdésében szereplő jogorvoslatok gyakorlására vonatkozó konkrét szabályok ténylegesen megfelelnek a Charta 47. cikkében biztosított hatékony jogorvoslathoz való jogból eredő követelményeknek.(28)
55.      A Nemzeti Adatvédelmi és Információszabadság Hatóság ügyre vonatkozó indítványomban(29) jeleztem többek között, hogy a tagállamok rendelkezhetnének arról a lehetőségről vagy kötelezettségről, hogy az a bíróság, amelyhez a GDPR 79. cikkének (1) bekezdése alapján keresetet nyújtottak be, miközben az e rendelet 77. cikkének (1) bekezdése szerinti panaszeljárás vagy az említett rendelet 78. cikkének (1) bekezdése szerinti bírósági jogorvoslat folyamatban van, felfüggesztheti az előtte folyamatban lévő eljárást, és ez a felfüggesztés mindaddig tarthat, amíg az említett eljárások valamelyikében döntést nem hoznak.(30) Így jeleztem, hogy az eljárás felfüggesztése álláspontom szerint megoldást jelenthet annak elkerülése érdekében, hogy olyan, egymásnak ellentmondó határozatokat fogadjanak el, amelyek sérthetik a jogbiztonságot.(31)
56.      Ez a megoldás a jelen ügy összefüggésében számomra különösen megfelelőnek tűnik. Ezért a felügyeleti hatóságnak, amelyhez a GDPR 77. cikkének (1) bekezdése alapján panaszt nyújtottak be, lehetősége kell legyen arra, hogy felfüggessze a panasz vizsgálatát, ha korábban az e rendelet 79. cikkének (1) bekezdése szerinti és azonos tárgyú bírósági jogorvoslatot nyújtottak be, és az e jogorvoslat keretében hozott határozat még nem jogerős.
57.      Ezzel szemben a panasz ilyen összefüggésben történő elutasítása számomra ellentétesnek tűnik a tényleges érvényesülés elvével, mivel a jogorvoslati lehetőségek közötti kapcsolat ilyen részletes szabályozása alkalmas arra, hogy kétségessé tegye a GDPR által biztosított jogok hatékony védelmét. Az ilyen elutasítás ugyanis számomra ellentétesnek tűnik a párhuzamosan és egymástól függetlenül gyakorolható jogorvoslatok teljes rendszerének magának az elvével. Ráadásul a panasz elutasítása nem feltétlenül jelent megfelelő intézkedést az egymásnak ellentmondó határozatok elfogadásának elkerülésére.
58.      E tekintetben hangsúlyozni kell, hogy amikor a felügyeleti hatóság azzal az indokkal utasít el egy panaszt, hogy a GDPR 79. cikkének (1) bekezdése alapján benyújtott bírósági jogorvoslat még folyamatban van, még nem lehet biztos abban, hogy e jogorvoslat keretében érdemi határozatot fognak hozni. Így e jogorvoslatot eljárási okból, például elfogadhatatlanság miatt, az ügy érdeméről való döntés nélkül is elutasíthatják.
59.      Egyébiránt, még ha az említett jogorvoslat – mint a jelen ügyben – érdemi határozat meghozatalához vezet is, az belső jogorvoslati lehetőségek révén megtámadható lehet. Ezért számomra úgy tűnik, hogy – ellentétben azzal az állásponttal, amelyet a Bizottság az észrevételeiben(32) képviselni látszik – a bírósági határozat jogerős vagy nem jogerős jellege jelentőséggel bír. Véleményem szerint a felügyeleti hatóság nem utasíthatja el eleve a panaszt azzal az indokkal, hogy a GDPR 79. cikkének (1) bekezdése szerinti bírósági jogorvoslat határozathoz vezetett, mindaddig, amíg e határozat jogerőre nem emelkedett, tehát még megtámadható.
60.      Összefoglalva, mindaddig, amíg a GDPR 77. cikkének (1) bekezdése alapján eljáró felügyeleti hatóság által hozott határozat és az e rendelet 79. cikkének (1) bekezdése alapján eljáró bíróság által hozott, még nem jogerős határozat közötti ellentmondás csupán hipotetikus, e hatóság nem utasíthatja el a hozzá benyújtott panaszt az ellentmondás e kockázata alapján.
61.      Ezen értelmezés alátámasztása érdekében hangsúlyozni kell a GDPR 77. cikkének (1) bekezdésében biztosított, a felügyeleti hatóság előtti panasztételhez való jognak az e rendelet által biztosított jogok hatékony védelmének biztosítása szempontjából fennálló jelentőségét. Ez a védelem különösen az említett rendelet által annak érdekében a felügyeleti hatóságra ruházott kiterjedt hatáskörökből ered, hogy az értékelje az érintett személyes adatai jogellenes kezelésének fennállását, és megtegye a megfelelő intézkedéseket annak orvoslása érdekében.
62.      Ebben az összefüggésben a GDPR 51. cikkének (1) bekezdése alapján a tagállamoknak rendelkezniük kell az e rendelet alkalmazásának ellenőrzéséért felelős egy vagy több független közhatalmi szervről. Az ilyen hatóságok tagállamokban való létrehozása, amelyről az elsődleges uniós jog, nevezetesen a Charta 8. cikkének (3) bekezdése és az EUMSZ 16. cikk (2) bekezdése is rendelkezik, lényeges eleme az egyének személyes adatok kezelése tekintetében való védelmének.(33) A GDPR 51. cikkének (1) és (2) bekezdése, valamint 57. cikke (1) bekezdésének a) és g) pontja értelmében a felügyeleti hatóságok fő feladata e rendelet alkalmazásának ellenőrzése és érvényesítésének biztosítása, elősegítve annak az Unió területén történő egységes alkalmazását, a természetes személyek alapvető jogainak és szabadságainak a személyes adataik kezelése tekintetében történő védelme, valamint az ilyen adatok Unión belüli szabad áramlásának megkönnyítése érdekében.(34)
63.      Ezenkívül a GDPR 57. cikke (1) bekezdésének f) pontja értelmében minden felügyeleti hatóság a saját területén köteles kezelni azokat a panaszokat, amelyeket bármely személy e rendelet 77. cikke (1) bekezdésének megfelelően jogosult benyújtani, amennyiben úgy ítéli meg, hogy a rá vonatkozó személyes adatok kezelése sérti az említett rendeletet, továbbá a szükséges mértékben köteles kivizsgálni e panaszok tárgyát. A felügyeleti hatóságnak az ilyen panaszt a kellő gondossággal kell kezelnie.(35) Így a Bíróság hangsúlyozta, hogy noha a megfelelő és szükséges eszköz megválasztása a felügyeleti hatóság feladata, és e hatóságnak e választást a személyes adatok szóban forgó kezelése valamennyi körülményének figyelembevételével kell meghoznia, e hatóságnak a GDPR teljes körű tiszteletben tartásának biztosításában álló feladatát is kellő gondossággal kell ellátnia.(36)
64.      E rendelet alkalmazásának ellenőrzése és érvényesítésének biztosítása érdekében a hatóságok az említett rendelet 58. cikke által rájuk ruházott különböző hatáskörökkel rendelkeznek. Így a GDPR 58. cikkének (1) bekezdése jelentős vizsgálati hatáskörökkel ruházza fel e hatóságokat. Ha az ilyen hatóság a vizsgálata során e rendelet rendelkezéseinek megsértését állapítja meg, köteles megfelelően reagálni a megállapított hiányosság orvoslására. E célból az említett rendelet 58. cikkének (2) bekezdése felsorolja azokat a különböző korrekciós intézkedéseket, amelyeket a felügyeleti hatóság elfogadhat.(37)
65.      A Bíróság ebből azt a következtetést vonta le, hogy a panaszeljárást, amely nem hasonlít a petíciós eljáráshoz, olyan mechanizmusként alakították ki, amely alkalmas az érintett személyek jogainak és érdekeinek hatékony védelmére.(38) Ebből a szempontból a felügyeleti hatóságnak fel kell lépnie, ha a GDPR 58. cikkének (2) bekezdésében előírt egy vagy több korrekciós intézkedés elfogadása – az adott eset valamennyi körülményét figyelembe véve – megfelelő, szükséges és arányos a megállapított hiányosság orvoslása és az e rendeletnek való teljes körű megfelelés biztosítása érdekében.(39)
66.      Véleményem szerint ellentétes lenne ezzel a célkitűzéssel és a felügyeleti hatóságot terhelő gondossági kötelezettséggel, ha az érintettet eleve megfosztanák az ilyen mechanizmusból eredő előnyöktől azáltal, hogy lehetővé tennék e hatóság számára, hogy elutasítsa az érintett panaszát azzal az indokkal, hogy korábban az e rendelet 79. cikke (1) bekezdése szerinti és azonos tárgyú bírósági jogorvoslatot nyújtott be, és az e jogorvoslat keretében hozott határozat még nem jogerős. Ezzel szemben e panasz vizsgálatának a jogerőre emelkedett bírósági határozatig történő felfüggesztése álláspontom szerint megfelel mind a GDPR által biztosított jogok hatékony védelmének biztosítására vonatkozó követelménynek, mind pedig az ugyanazon tagállamon belüli egymásnak ellentmondó határozatok elkerülésére vonatkozó követelménynek.
67.      Kétségtelen, hogy a felügyeleti hatósághoz a GDPR 77. cikkének (1) bekezdése alapján benyújtott panasz ilyen indokkal történő elutasítása nem képezi szükségképpen akadályát annak, hogy az érintett új panaszt nyújtson be e hatósághoz azt követően, hogy a bírósági eljárást eljárási okból jogerősen lezárták, vagy ha az érintett elállt a bírósági jogorvoslati kérelmétől.
68.      Az új panasz benyújtása azonban lehetetlennek bizonyulhat, ha azt a nemzeti jog – mint Ausztriában – elfogadhatósági határidő betartásától teszi függővé, és e határidő már lejárt. Ilyen esetben előfordulhatna, hogy az érintett meg lenne fosztva a hatékony védelemtől, ha a bírósági jogorvoslati kérelmét eljárási okból érdemi vizsgálat nélkül elutasították, vagy ha el kívánna állni a bírósági eljárástól.
69.      Egyébiránt és általánosabban az ilyen megoldás, amely az érintettre hárítja azt a felelősséget, hogy panaszának eredeti elutasítását követően újból a felügyeleti hatósághoz forduljon, számomra ellentétesnek tűnik az e hatóságot terhelő gondossági kötelezettséggel. Ez a kötelezettség ugyanis – amint azt korábban jeleztem – magában foglalja, hogy az említett hatóság a hozzá benyújtott panaszt a kellő gondossággal kezelje. Az említett kötelezettség megköveteli különösen azt, hogy amennyiben a felügyeleti hatósághoz panaszt nyújtanak be, és tájékoztatják a GDPR 79. cikke (1) bekezdésének megfelelően indított, ugyanazon tényállásra vonatkozó bírósági eljárás fennállásáról, e hatóság e panasz vizsgálata keretében figyelemmel legyen a határozatra, amely ezt az eljárást majd véglegesen le fogja zárni. Időközben ezt a vizsgálatot fel kell függeszteni.
V.      Végkövetkeztetés
70.      A fenti megfontolások összességére tekintettel azt javasolom a Bíróságnak, hogy a Verwaltungsgerichtshof (legfelsőbb közigazgatási bíróság, Ausztria) által előzetes döntéshozatalra előterjesztett kérdésekre a következőképpen válaszoljon:
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 77. cikkének (1) bekezdését és 79. cikkének (1) bekezdését
a következőképpen kell értelmezni:
azokkal ellentétes az, hogy a felügyeleti hatóság, amelyhez e 77. cikk (1) bekezdése alapján panaszt nyújtottak be, elutasíthassa a panaszt azzal az indokkal, hogy korábban az e 79. cikk (1) bekezdése szerinti és azonos tárgyú bírósági jogorvoslatot nyújtottak be, és az e jogorvoslat keretében hozott határozat még nem jogerős.
1      Eredeti nyelv: francia.
2      HL 2016. L 119., 1. o., helyesbítések: HL 2021. L 74., 35. o.; HL 2018. L 127., 2. o.; HL 2016. L 314., 72. o.; a továbbiakban: GDPR.
3      C‑132/21, a továbbiakban: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet, EU:C:2023:2.
4      Az általános adatvédelmi rendelet 4. cikkének 21. pontja értelmében a felügyeleti hatóság „egy tagállam által az [rendelet] 51. cikk[é]nek megfelelően létrehozott független közhatalmi szerv”.
5      A továbbiakban: Charta.
6      BGBl. I., 165/1999., a továbbiakban: adatvédelmi törvény.
7      Ez a kérelem a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelven (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás: 13. fejezet, 15. kötet, 355. o.) alapult.
8      C‑26/22 és C‑64/22, a továbbiakban: SCHUFA Holding ítélet, EU:C:2023:958.
9      A kérdést előterjesztő bíróság a Verfassungsgerichtshof (alkotmánybíróság, Ausztria) 1970. október 14‑i G 20/70. sz. ítéletére hivatkozik.
10      A kérdést előterjesztő bíróság a Nemzeti Adatvédelmi és Információszabadság Hatóság ítéletet (54. pont) idézi.
11      Lásd különösen: 2024. október 4‑i Lindenapotheke ítélet (C‑21/23, EU:C:2024:846, 47. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
12      Lásd különösen: 2024. október 4‑i Lindenapotheke ítélet (C‑21/23, EU:C:2024:846, 52. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
13      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (34. pont). Annak lehetőségét illetően, hogy valamely vállalkozás versenytársa polgári bíróság előtt keresetet indítson e vállalkozással szemben a tisztességtelen kereskedelmi gyakorlatok tilalma alapján, mivel az említett vállalkozás állítólagosan megsértette az e rendeletben előírt kötelezettségeket, lásd még: 2024. október 4‑i Lindenapotheke ítélet (C‑21/23, EU:C:2024:846, 53. pont).
14      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (35. pont).
15      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (35. pont és a rendelkező rész); SCHUFA Holding ítélet (66. pont); 2025. április 30‑i Inspektorat kam Visshia sadeben savet ítélet (C‑313/23, C‑316/23 és C‑332/23, EU:C:2025:303, 128. pont).
16      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (36–41. pont).
17      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (42. pont).
18      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (44. pont); SCHUFA Holding ítélet (66. pont). Ez utóbbi ítéletben a Bíróság ebből azt a következtetést vonta le, hogy a GDPR 79. cikkének (1) bekezdése szerinti, az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog fennállása nem befolyásolja a felügyeleti hatóság által a panasz tárgyában hozott határozat feletti – az e rendelet 78. cikkének (1) bekezdése alapján előterjesztett kereset keretében gyakorolt – bírósági felülvizsgálat terjedelmét (az említett ítélet 67. pontja).
19      Lásd a GDPR elfogadására vonatkozó szavazás eredményét a 2016. április 14‑i 7920/16. sz. tanácsi dokumentumban, amely elérhető a következő internetcímen: https://data.consilium.europa.eu/doc/document/ST-7920-2016-INIT/hu/pdf (7. o.). Ezt az értelmezést osztja az Oberster Gerichtshof (legfelsőbb bíróság, Ausztria), amint azt a 2019. május 23‑i 6Ob91/19d sz. ítélete (4.5. pont) is tanúsítja.
20      Lásd: a Nemzeti Adatvédelmi és Információszabadság Hatóság ügyre vonatkozó indítványom (C‑132/21, EU:C:2022:661, 57. pont).
21      Lásd: a Nemzeti Adatvédelmi és Információszabadság Hatóság ügyre vonatkozó indítványom (C‑132/21, EU:C:2022:661, 58. pont).
22      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (54. pont).
23      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (55. pont).
24      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (56. pont).
25      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (45. pont).
26      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (47. pont).
27      Lásd: Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet (48. pont).
28      Lásd különösen: 2025. április 30‑i Inspektorat kam Visshia sadeben savet ítélet (C‑313/23, C‑316/23 és C‑332/23, EU:C:2025:303, 136. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
29      C‑132/21, EU:C:2022:661.
30      Lásd: a Nemzeti Adatvédelmi és Információszabadság Hatóság ügyre vonatkozó indítványom (C‑132/21, EU:C:2022:661, 69. pont).
31      Lásd: a Nemzeti Adatvédelmi és Információszabadság Hatóság ügyre vonatkozó indítványom (C‑132/21, EU:C:2022:661, 70. pont).
32      Lásd a Bizottság észrevételeit (49. pont).
33      Lásd különösen: 2025. április 30‑i Inspektorat kam Visshia sadeben savet ítélet (C‑313/23, C‑316/23 és C‑332/23, EU:C:2025:303, 119. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
34      Lásd különösen: 2025. április 30‑i Inspektorat kam Visshia sadeben savet ítélet (C‑313/23, C‑316/23 és C‑332/23, EU:C:2025:303, 120. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
35      Lásd különösen: SCHUFA Holding ítélet (56. pont, valamint az ott hivatkozott ítélkezési gyakorlat); 2024. szeptember 26‑i Land Hessen (Az adatvédelmi hatóság eljárási kötelezettsége) ítélet (C‑768/21, EU:C:2024:785, 32. pont).
36      Lásd: 2020. július 16‑i Facebook Ireland és Schrems ítélet (C‑311/18, EU:C:2020:559, 112. pont); 2024. szeptember 26‑i Land Hessen (Az adatvédelmi hatóság eljárási kötelezettsége) ítélet (C‑768/21, EU:C:2024:785, 37. pont). Ez utóbbi ítéletben a Bíróság arra is rámutatott, hogy a felügyeleti hatóságot megillető mérlegelési mozgásteret korlátozza annak szükségessége, hogy a szabályok szigorú alkalmazása révén biztosítani kell a személyes adatok következetes és magas szintű védelmét, amint az az általános adatvédelmi rendelet (7) és (10) preambulumbekezdéséből kitűnik (38. pont).
37      Lásd különösen: SCHUFA Holding ítélet (57. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
38      Lásd: SCHUFA Holding ítélet (58. pont).
39      Lásd: 2024. szeptember 26‑i Land Hessen (Az adatvédelmi hatóság eljárási kötelezettsége) ítélet (C‑768/21, EU:C:2024:785, 42. pont); 2025. április 30‑i Inspektorat kam Visshia sadeben savet ítélet (C‑313/23, C‑316/23 és C‑332/23, EU:C:2025:303, 132. pont).