62023CC0413
DEAN SPIELMANN
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2025. február 6. (
1
)
C‑413/23. P. sz. ügy
Európai adatvédelmi biztos
kontra
Egységes Szanálási Testület
„Fellebbezés – Személyes adatok kezelése – Hitelezők és részvényesek valamely bank szanálásából következő kárainak megtérítésére irányuló eljárás – Tájékoztatási kötelezettség – Az (EU) 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontja – Az említett hitelezőknek és részvényeseknek a személyes adatok címzettjéről való tájékoztatásának hiánya – Az európai adatvédelmi biztosnak a 2018/1725 rendelet álnevesített személyes adatok kezelésével kapcsolatos megsértését megállapító határozata”
I. Bevezetés
1.
Fellebbezésében az európai adatvédelmi biztos az Európai Unió Törvényszéke 2023. április 26‑i ESZT kontra európai adatvédelmi biztos (T‑557/20, a továbbiakban: megtámadott ítélet, EU:T:2023:219) ítéletének hatályon kívül helyezését kéri, amellyel a Törvényszék megsemmisítette az európai adatvédelmi biztos 2020. november 24‑i felülvizsgált határozatát (a továbbiakban: vitatott határozat), amely a Banco Popular Español SA (a továbbiakban: Banco Popular) bankszanálásával érintett részvényesek és hitelezők által benyújtott öt panaszra vonatkozik, amelyekben azt kifogásolták, hogy nem tájékoztatták őket a személyes adataik továbbításáról.
2.
A jelen ügy alkalmat ad a Bíróságnak arra, hogy az álnevesített adatokkal összefüggésben pontosítsa a „személyes adat” fogalmát és az abból eredő feladatokat a tisztességes és átlátható adatkezelésre vonatkozó kötelezettségeknek való megfelelés érdekében.
II. A jogi háttér
3.
Az (EU) 2018/1725 rendelet (
2
) jelen fellebbezés szempontjából releváns főbb rendelkezései a következők:
4.
E rendelet (16) és (17) preambulumbekezdése a következőképpen szól:
„(16)
Az adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell. Az olyan álnevesített személyes adatokat, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni. Valamely természetes személy azonosíthatóságának meghatározásakor minden olyan módszert figyelembe kell venni – ideértve például a megjelölést –, amelyről észszerűen feltételezhető, hogy az adatkezelő vagy más személy a természetes személy közvetlen vagy közvetett azonosítására felhasználhatja. Annak meghatározásakor, hogy mely eszközökről feltételezhető észszerűen, hogy egy adott természetes személy azonosítására fogják felhasználni, minden objektív tényezőt figyelembe kell venni, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat és a technológia fejlődését. Az adatvédelem elvei ennek megfelelően nem alkalmazhatók az anonim információkra, vagyis az olyan információkra, amelyek nem azonosított vagy nem azonosítható természetes személyre vonatkoznak, valamint az olyan személyes adatokra, amelyeket olyan módon anonimizáltak, hogy annak következtében az érintett nem vagy többé nem azonosítható. Ez a rendelet ezért nem vonatkozik az ilyen anonim információk kezelésére, a statisztikai vagy kutatási célú adatkezelést is ideértve.
(17)
A személyes adatok álnevesítése csökkentheti az érintettek számára a kockázatokat, valamint segíthet az adatkezelőknek és az adatfeldolgozóknak abban, hogy az adatvédelmi kötelezettségeiknek eleget tegyenek. Az „álnevesítés” e rendeletben történő kifejezett bevezetése nem irányul más adatvédelmi intézkedés kizárására.”
5.
E rendelet „Fogalommeghatározások” című 3. cikkének 1. és 6. pontja a következőket írja elő:
„E rendelet alkalmazásában:
1.
»személyes adat«: azonosított vagy azonosítható természetes személyre (’érintett’) vonatkozó bármely információ; azonosítható az a természetes személy, aki közvetlen vagy közvetett módon, különösen valamely azonosító, például név, szám, helymeghatározó adat, online azonosító vagy a természetes személy testi, fiziológiai, genetikai, szellemi, gazdasági, kulturális vagy szociális azonosságára vonatkozó egy vagy több tényező alapján azonosítható;
[…]
6.
»álnevesítés«: a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, feltéve, hogy az ilyen további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni;”
6.
Ugyanezen rendelet „A személyes adatok kezelésére vonatkozó elvek” című 4. cikke (1) bekezdésének a) pontja és (2) bekezdése szerint:
„(1)   A személyes adatok:
a)
kezelését jogszerűen, tisztességesen és az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
[…]
(2)   Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”
7.
A 2018/1725 rendelet „Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” című 15. cikke (1) bekezdésének d) pontja a következőképpen rendelkezik:
„Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:
[…]
d)
a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen.”
III. Az eljárás előzményei
8.
2017. június 7‑én az Egységes Szanálási Testület (ESZT) a hitelintézeteknek és bizonyos befektetési vállalkozásoknak az Egységes Szanálási Mechanizmus keretében történő szanálására vonatkozó egységes szabályok és egységes eljárás kialakításáról, valamint az Egységes Szanálási Alap létrehozásáról és az 1093/2010/EU rendelet módosításáról szóló, 2014. július 15‑i 806/2014/EU európai parlamenti és tanácsi rendelet (
3
) alapján szanálási programot fogadott el a Banco Popularral szemben, amelyet az Európai Bizottság ugyanazon a napon határozatával jóváhagyott, (
4
) ami konkrétan azt jelenti, hogy a bank tőkeinstrumentumait leírták vagy átalakították és a részvények átruházásával értékesítették.
9.
A 806/2014 rendelet 20. cikkének (16)–(18) bekezdése szerint az ESZT a Deloitte‑ot mint „független személyt” (
5
) bízta meg azzal, hogy végezze el az eltérő elbánás értékelését annak megállapítása érdekében, hogy a szanálási intézkedés által ekként érintett részvényesek és hitelezők jobb elbánásban részesültek volna‑e, ha ezen intézmény rendes fizetésképtelenségi eljárás hatálya alá kerül.
10.
A Deloitte az eltérő elbánásról szóló ezen értékelést (a továbbiakban: 3. értékelés) 2018. június 14‑én megküldte az ESZT‑nek. Az ESZT – előzetes határozatban – jelezte, hogy annak érdekében, hogy végleges határozatot hozhasson arról, hogy a 806/2014 rendelet 76. cikke (1) bekezdésének e) pontja alapján kell‑e kártérítést fizetni a Banco Popular szanálásával érintett részvényeseknek és hitelezőknek, a meghallgatáshoz való jogra vonatkozó, az igényüket kinyilvánító felek jogosultságának vizsgálatára irányuló első nyilvántartásba vételi szakaszt, és egy olyan második konzultációs szakaszt magában foglaló eljárást indít, amelynek keretében az érintett részvényesek és hitelezők benyújtották az ESZT előzetes határozatára vonatkozó észrevételeiket, amely határozathoz csatolták a 3. értékelést.
11.
A nyilvántartásba vételi szakaszban gyűjtött adatok, vagyis a résztvevők személyazonosságára, valamint a Banco Popular leírt vagy átalakított és átruházott tőkeinstrumentumainak tulajdonára vonatkozó bizonyítékok az ESZT személyi állományának korlátozott számú tagja számára voltak hozzáférhetők a résztvevők jogosultságának meghatározása érdekében. Ezek az adatok nem voltak láthatók az ESZT személyi állományának a konzultációs szakaszban kapott észrevételek kezelésével megbízott tagjai számára, amelynek során ez utóbbiak kizárólag az űrlapon benyújtott egyes észrevételekhez rendelt alfanumerikus kódra (
6
) való hivatkozással azonosított észrevételeket kaptak.
12.
Az észrevételek összesítése, automatikus szűrése és kategorizálása után az ESZT továbbította a Deloitte‑nak (
7
) a++ 3. értékeléssel kapcsolatos így megszűrt, kategorizált és összesített észrevételeket. A Deloitte‑nak továbbított észrevételek kizárólag a konzultációs szakaszban kapott észrevételek közül valóak voltak, és alfanumerikus kóddal voltak ellátva, amelyet auditálási célból dolgoztak ki annak érdekében, hogy az ESZT utólag ellenőrizhesse és adott esetben bizonyíthassa, hogy az egyes észrevételeket feldolgozták és megfelelően figyelembe vették. E kód útján egyedül az ESZT volt képes összekapcsolni az észrevételeket a nyilvántartásba vételi szakaszban kapott adatokkal. A Deloitte nem rendelkezett és nem is rendelkezik hozzáféréssel a nyilvántartásba vételi szakaszban összeállított adatbázishoz.
13.
A 2018/1725 rendelet alapján érintett részvényesek és hitelezők (a továbbiakban: panaszosok) öt panaszt nyújtottak be az európai adatvédelmi biztoshoz azzal az indokkal, hogy az ESZT által közzétett személyes adatok kezelésére vonatkozó titoktartási nyilatkozat nem tartalmazott tájékoztatást az űrlapon keresztül gyűjtött adatok Deloitte‑nak történő továbbításáról. Azt állították, hogy az ESZT megsértette a személyes adatok e rendelet alapján való kezelésével kapcsolatos – e rendelet 15. cikke (1) bekezdésének d) pontjában előírt – tájékoztatási kötelezettségét.
14.
Az európai adatvédelmi biztos elfogadott egy 2020. június 24‑i eredeti határozatot, amelyet az ESZT felülvizsgálat iránti kérelmét követően megsemmisített, és 2020. november 24‑én a vitatott határozat váltotta fel, amely a következőképpen szól:
„(1)
„Az európai adatvédelmi biztos úgy véli, hogy az ESZT és a Deloitte között megosztott adatok álnevesített adatok voltak, egyrészt azért, mert a [konzultációs] szakasz észrevételei személyes adatok voltak, másrészt pedig azért, mert az ESZT megosztotta azt az alfanumerikus kódot, amely lehetővé tette a [nyilvántartásba vételi] szakasz során kapott válaszoknak a [konzultációs] szakaszbeli válaszokkal való összekapcsolását, jóllehet a résztvevők által a [nyilvántartásba vételi] szakaszban történő azonosítás érdekében szolgáltatott adatokat nem közölték a Deloitte‑tal.
(2)
Az európai adatvédelmi biztos úgy véli, hogy a Deloitte a panaszosok személyes adatainak a 2018/1725 rendelet 3. cikke 13. pontja értelmében vett címzettje volt. Az a tény, hogy az ESZT titoktartási nyilatkozatában a Deloitte‑ot nem említették az ESZT mint adatkezelő által a meghallgatáshoz való jogra vonatkozó eljárás keretében gyűjtött és kezelt személyes adatok potenciális címzettjeként, a [2018/1725 rendelet] 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség megsértésének minősül.
(3)
Az ESZT által a meghallgatáshoz való jogra vonatkozó eljárásban a személyes adatok védelméhez való jogot érintő kockázatok csökkentése érdekében bevezetett valamennyi technikai és szervezési intézkedés fényében az európai adatvédelmi biztos úgy határoz, hogy nem gyakorolja [a 2018/1725 rendelet] 58. cikkének (2) bekezdése szerinti korrekciós hatáskörét.
(4)
Az európai adatvédelmi biztos mindazonáltal azt ajánlja az ESZT‑nek, hogy gondoskodjon arról, hogy a meghallgatáshoz való joggal kapcsolatos jövőbeli eljárásokban tett titoktartási nyilatkozatai kiterjedjenek a személyes adatok kezelésére mind a nyilvántartásba vételi, mind a konzultációs szakasz során, és tartalmazza az összegyűjtött információk valamennyi lehetséges címzettjét annak érdekében, hogy teljes mértékben tiszteletben tartsa az érintettek tájékoztatására vonatkozó, a [2018/1725 rendelet] 15. cikke szerinti kötelezettséget.”
IV. A megtámadott ítélet
15.
A Törvényszék Hivatalához 2020. szeptember 1‑jén benyújtott keresetlevéllel és 2021. január 29‑én benyújtott kiigazítási beadvánnyal az ESZT egyrészt a vitatott határozat megsemmisítése, másrészt az európai adatvédelmi biztos 2020. június 24‑i eredeti határozata jogellenességének megállapítása iránt keresetet terjesztett elő.
16.
Az ESZT – az első kereseti kérelem alátámasztására (
8
) – két jogalapot terjesztett elő. Az első jogalap a 2018/1725 rendelet 3. cikke 1. pontjának megsértésére vonatkozott, amennyiben a Deloitte‑nak továbbított információk nem minősültek személyes adatoknak, a második jogalap pedig az Európai Unió Alapjogi Chartája 41. cikkében biztosított megfelelő ügyintézéshez való jog megsértésén alapult.
17.
A Törvényszék a megtámadott ítéletben e kereseti kérelmet elfogadhatónak nyilvánította. Az ügy érdemét illetően a Törvényszék helyt adott a kereset első jogalapjának, és megsemmisítette a vitatott határozatot a második jogalap vizsgálata nélkül.
18.
Ami az első jogalapot illeti, a Törvényszék először is megállapította, hogy az európai adatvédelmi biztos – vélelemre támaszkodva, nem vizsgálva a Deloitte‑nak továbbított információknak sem a tartalmát, sem a célját, sem a hatását (
9
) a Nowak ítéletet megsértve (
10
) – úgy vélte, hogy a Deloitte‑nak továbbított információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett természetes személyre „vonatkoznak”.
19.
Másodszor, ami a 2018/1725 rendelet 3. cikkének 1. pontjában foglalt azon feltételt illeti, amely szerint az információnak „azonosított vagy azonosítható„ természetes személyre kell vonatkoznia, a Törvényszék úgy vélte, hogy a jelen esetben az európai adatvédelmi biztosnak meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított észrevételek a Deloitte tekintetében személyes adatoknak minősültek‑e. Márpedig a megtámadott ítélet szerint az európai adatvédelmi biztos ama lehetőség vizsgálatára szorítkozott, hogy az ESZT – nem pedig a Deloitte – szemszögéből újra azonosítsák az észrevételeket tevőket. Következésképpen, mivel az európai adatvédelmi biztos nem vizsgálta meg, hogy a Deloitte rendelkezett‑e olyan jogszerű és a gyakorlatban megvalósítható eszközökkel, amelyek lehetővé tették volna számára, hogy hozzáférjen az észrevételeket előterjesztők újraazonosításához szükséges további információkhoz, az európai adatvédelmi biztos nem juthatott arra a következtetésre, hogy a Deloitte‑nak továbbított információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett „azonosítható természetes személyre” vonatkozó információknak minősültek. (
11
)
V. A Bíróság előtti eljárás és a felek kérelmei
20.
A Bíróság Hivatalához 2023. július 5‑én előterjesztett beadványával az európai adatvédelmi biztos fellebbezést nyújtott be a megtámadott ítélet ellen. A Bíróság elnöke a 2023. november 29‑i végzésével (
12
) megengedte az Európai Adatvédelmi Testület számára, hogy az európai adatvédelmi biztos kérelmeinek támogatása végett, a 2023. október 20‑i határozatával pedig az Európai Bizottság számára, hogy az ESZT támogatása végett az eljárásba beavatkozzon.
21.
Az európai adatvédelmi biztos azt kéri, hogy a Bíróság:
–
helyezze hatályon kívül a megtámadott ítéletet;
–
döntse el érdemben az ügyet;
–
az ESZT‑t kötelezze a fellebbezési eljárásban és a Törvényszék előtti eljárásban felmerült költségek viselésére.
22.
Az európai adatvédelmi biztos támogatása végett beavatkozott Európai Adatvédelmi Testület azt kéri, hogy a Bíróság:
–
helyezze hatályon kívül a megtámadott ítéletet;
–
a vitatott határozat helybenhagyásával döntse el érdemben az ügyet.
23.
Az ESZT azt kéri, hogy a Bíróság:
–
utasítsa el a fellebbezést;
–
másodlagosan semmisítse meg a vitatott határozatot;
–
harmadlagosan utalja vissza az ügyet a Törvényszék elé, és
–
az európai adatvédelmi biztost kötelezze a fellebbezési eljárásban és a Törvényszék előtti eljárásban felmerült költségek viselésére.
24.
Az ESZT támogatása végett beavatkozott Európai Bizottság azt kéri, hogy a Bíróság:
–
utasítsa el a fellebbezést;
–
az európai adatvédelmi biztost kötelezze a költségek viselésére.
VI. A fellebbezésről
25.
Fellebbezésének alátámasztására az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos két jogalapra hivatkozik. Az első a Bíróság ítélkezési gyakorlata által értelmezett 2018/1725 rendelet 3. cikkének (1) és (6) bekezdése értelmében vett „személyes adatok” fogalma – Törvényszék általi – értelmezésének vitatására irányul. A második jogalap az ugyanezen rendelet 4. cikkének (2) bekezdésében és 26. cikkének (1) bekezdésében foglalt elszámoltathatóság elvének megsértésén alapul.
A. Az első fellebbezési jogalapról
26.
Az első jogalap két részre osztható. Az első rész azt a feltételt érinti, amely szerint a vitatott információknak valamely természetes személyre kell „vonatkozniuk„, a második pedig azt a feltételt, hogy ez a személy „azonosított vagy azonosítható„ legyen.
1.
Az arra vonatkozó első részről, hogy az információk valamely természetes személyre „vonatkoznak‑e”
a)
A felek érvelése
27.
Az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos arra hivatkozik, hogy a Törvényszék tévesen alkalmazta a jogot annak megállapításával, hogy az európai adatvédelmi biztos vélelemre támaszkodott azon feltétel értelmezése tekintetében, amely szerint a Deloitte‑nak továbbított információk – a 2018/1725 rendelet 3. cikkének 1. pontja értelmében – valamely természetes személyre vonatkoztak. Véleménye szerint a jelen ügy körülményei között nem volt szükség a részéről alaposabb vizsgálatra.
28.
Az ESZT a maga részéről előadja, hogy ahogy a Törvényszék azt megállapította, az európai adatvédelmi biztos annak jelzésére szorítkozott, hogy a panaszosok által a meghallgatáshoz való jogra vonatkozó eljárás konzultációs szakaszában benyújtott szóban forgó észrevételek tükrözik a véleményüket vagy az álláspontjukat, pedig meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított információk – ahogyan azt a Nowak ítélet megköveteli – tartalmuknál, céljuknál vagy hatásuknál fogva egy adott személyhez kapcsolódtak‑e.
b)
Értékelés
29.
Emlékeztetni kell arra, hogy a Bíróság már többször kimondta, hogy a „bármely információ” kifejezés használata a „személyes adat” fogalmának meghatározása során a jogalkotó részéről azt a célt tükrözi, hogy e fogalomnak olyan tág jelentést adjon, amely potenciálisan magában foglal minden típusú információt, (
13
) legyen az akár objektív, akár vélemény vagy értékelés formájában megjelenő szubjektív információ, feltéve hogy az a szóban forgó személyre „vonatkozik”.
30.
Ebben a tekintetben valamely információ akkor vonatkozik azonosított vagy azonosítható természetes személyre, ha a tartalmánál, céljánál vagy hatásánál fogva egy meghatározott személyhez „kapcsolódik” (
14
).
31.
Ami az olyan véleményeket vagy értékeléseket illeti, mint a panaszosok jelen ügyben szóban forgó észrevételei, úgy tűnik számomra, hogy különbséget kell tenni aszerint, hogy az említett vélemények vagy értékelések „kapcsolódnak‑e” a vélemény vagy értékelés szövege által említett személyhez vagy személyekhez, vagy pedig – mint a jelen ügyben – azt kell megítélni, hogy a szerzőjükhöz kapcsolódnak‑e. Az első esetben az értékelés tárgyát képező személyhez kapcsolódó információ fennállásának megállapításához azt kell elemezni, hogy az értékelés tartalma, célja vagy hatása érinti‑e ezt a személyt. A második esetben viszont annak megállapítása céljából, hogy az értékelés az azt megfogalmazó személyhez kapcsolódik‑e, úgy tűnik számomra, hogy feltételezhető, hogy ez a helyzet áll fenn, és hogy valamely vélemény vagy értékelés szükségszerűen a szerzőjéhez kapcsolódik.
32.
A Nowak ítéletben ekképpen lényegében egy vizsgadolgozatban szereplő információk értékeléséről volt szó. Két személy volt így érintett: a vizsgázó és a vizsgáztató. Tény, hogy a Bíróság megvizsgálta a vizsgázó válaszainak tartalmát, célját és hatását annak a következtetésnek a levonásához ezekből, hogy a válaszok rá vonatkoztak. Ezzel együtt ami konkrétan a vizsgáztató véleményét vagy értékelését tükröző megjegyzéseket illeti, (
15
) noha a Bíróság megvizsgálta a dolgozatban szereplő információk tartalmát, célját és hatását annak a következtetésnek a levonásához, hogy ezek az értékelések a vizsgázóra vonatkoztak, nem végzett ilyen vizsgálatot annak megállapításához, hogy azok a vizsgáztatóra vonatkozó információknak minősültek, aki ezeknek a szerzője volt. (
16
) Álláspontom szerint tehát nem zárható ki teljesen, hogy egy (egyszerű) vélelem alkalmazható annak megítélésekor, hogy valamely vélemény vagy értékelés, vagy – mint a jelen esetben – egy észrevétel a szerzőjére „vonatkozik‑e.”
33.
Ebből azt a következtetést vonom le, hogy – ellenkező bizonyíték hiányában – a jelen ügyben szóban forgó észrevételek, mivel azok a panaszosoktól származnak, és az ő „logikájukat és érvelésüket” mutatják be, tehát „szubjektív véleményük” kifejeződését tükrözik, szükségszerűen az említett panaszosokra „vonatkoztak”, függetlenül az észrevételeik céljától vagy hatásától.
34.
Mindenesetre – a jelen ügyben még ilyen vélelem hiányában is – úgy gondolom, hogy a szóban forgó észrevételek tartalmuk, céljuk és hatásuk alapján a panaszosokhoz „kapcsolódnak”.
35.
E tekintetben az ESZT előadja, hogy a szóban forgó észrevételek célján és összefüggésén alapuló érvek hatástalanok, mivel azokat a vitatott határozatban nem vizsgálták, elfogadhatatlanok, mivel új tényállítást tartalmaznak, és egyébként is tévesek.
36.
Ez az érvelés számomra nem meggyőző. Mind az európai adatvédelmi biztos által a vitatott határozatban elvégzett vizsgálat, mind a Törvényszék értékelése egy olyan jogi kontextus része, amelyet figyelembe vettek, és amely egyértelműen megemlíti a szóban forgó, a meghallgatáshoz való jogra vonatkozó eljárás keretében tett észrevételek célját és hatását. A szóban forgó észrevételek céljával és hatásával kapcsolatos ezen érvek tehát vizsgálhatók és elfogadhatók.
37.
Ami továbbá az ügy érdemét illeti, az alkalmazandó jogi háttérből kitűnik, hogy a meghallgatáshoz való jogra vonatkozó eljárás, amelynek keretében a szóban forgó észrevételeket tették, azt a célt szolgálta, hogy az érintett részvényesek és hitelezők hozzájárulhassanak az eljáráshoz, különösen, hogy az ESZT minden szükséges információval rendelkezhessen ahhoz, hogy végleges döntést hozzon arról, hogy kell‑e kártérítést fizetnie a Banco Popular szanálásával érintett részvényeseknek és hitelezőknek, annak az elvnek az alkalmazásával, hogy egyetlen hitelező sem részesülhet rosszabb elbánásban, mint rendes fizetésképtelenségi eljárás szerinti felszámolás esetén. (
17
) Ezenkívül ezek az észrevételek, azután, hogy az ESZT figyelembe vette őket, hatással lehettek a panaszosok érdekeire és jogaira a pénzügyi kompenzációval kapcsolatban.
38.
Ebből arra következtetek, hogy a szóban forgó észrevételek a jelen ügyben érintett személyekhez kapcsolódnak, beleértve a céljuk és a hatásuk miatt.
39.
Hozzáteszem, hogy a szóban forgó – Deloitte‑nek továbbított – észrevételeket „megszűrték, kategorizálták és összesítették”, így – amint az a Törvényszék által megállapított tényekből kitűnik (
18
) – az egyedi észrevételeket nem lehetett megkülönböztetni egyazon témán belül. Elfogadható azonban, hogy e kollektív észrevételek még összesítve is tartalmukban a 3. értékelésre vonatkozó személyes álláspontokat tükröznek. Olyan vélemények összességét alkotják ugyanis, amelyek – ilyenként – az azokat kifejező személyekre vonatkozó információknak minősülnek. A szűrésük, a kategorizálásuk és az összesítésük nem változtat ezen a megállapításon, mivel ellenkező esetben elegendő lenne több álláspontot összesíteni a valamely természetes személyre „vonatkozó” információval kapcsolatos feltétel alóli kikerülés érdekében. Az, hogy az észrevételek ezen összességén belül nem lehet megkülönböztetni a különböző egyedi véleményeket, úgy tűnik számomra, hogy inkább a jelen jogalap második részének keretében vizsgált második kumulatív, az érintettek azonosíthatóságával kapcsolatos feltételhez tartozik, és nem ahhoz a feltételhez, amely megköveteli, hogy az észrevétel valamely természetes személyhez „kapcsolódjon”.
40.
E körülmények között úgy vélem, hogy e tekintetben a Törvényszék értékelése téves jogalkalmazásnak tekinthető, amennyiben megállapította, hogy az európai adatvédelmi biztos nem tett eleget a Nowak ítélet által előírt vizsgálatnak annak megállapításához, hogy a szóban forgó észrevételek természetes személyekre „vonatkoztak” a 2018/1725 rendelet 3. cikkének 1. pontja értelmében.
41.
Ha a Bíróság úgy határozna, hogy elutasítja ezt az első részt, és megállapítaná, hogy a szóban forgó álnevesített észrevételek nem vonatkoznak a szerzőikre, a jogalap második részének vizsgálata okafogyott, mivel a 2018/1725 rendelet 3. cikkének 1. pontja szerint valamely személyes adat fennállásához szükséges olyan feltételről van szó, amely kumulatív az érintettek ezt követően vizsgált azonosíthatóságának feltételével.
2.
Az érintettek azonosíthatóságának feltételére vonatkozó második részről
42.
Az európai adatvédelmi biztos és az Európai Adatvédelmi Testület lényegében azzal érvel, hogy a Törvényszék két tekintetben – elsőként az „álnevesítés” fogalmával kapcsolatban, másodikként a Breyer ítélet (
19
) értelmezésével kapcsolatban – tévesen alkalmazta a jogot, amit az ESZT és a Bizottság vitat.
a)
Az álnevesítés hatásaira vonatkozó téves jogalkalmazáson alapuló első kifogás
43.
Ez a kifogás az adatvédelmi szabályok hatályának terjedelmére vonatkozó két nagyon eltérő megközelítést illusztrálja. Automatikusan be kell‑e vonni e szabályok hatálya alá az álnevesített adatokat kizárólag azon az alapon, hogy az érintettek azonosíthatóak maradnak, tekintet nélkül a további azonosító adatokhoz való hozzáférhetőségre, vagy úgy kell tekinteni, hogy az álnevesítési eljárást követően az adatok csak azon személyek számára személyesek, akik észszerűen azonosítani tudják az érintetteket?
1) A felek érvelése
44.
Az európai adatvédelmi biztos és az Európai Adatvédelmi Testület lényegében azt állítja, hogy az álnevesített adatok kizárólag azért maradnak személyes adatok, mert az érintettek azonosíthatók maradnak, mivel az azonosításukat lehetővé tevő információk továbbra is léteznek. A Törvényszék megközelítése téves, mivel lehetővé teszi, hogy az álnevesített adatokat a címzett tekintetében anonimizált adatoknak tekintsék, ami kockázatot jelent az érintettek védelmére, valamint az álnevesítés és az anonimizálás összekeveréséhez vezet. Egy ilyen – a 2018/1725 rendelet szövegével és céljával ellentétes – megközelítés lehetővé teszi az adatkezelő számára, hogy indokolatlanul kivonja a személyes adatokat az ilyen adatok védelmére vonatkozó uniós jog hatálya alól.
45.
Az ESZT és a Bizottság a maga részéről előadja, hogy az álnevesített adatok személyes adatok maradnak az álnevesítésüket végző adatkezelő számára, de a címzettek tekintetében meg kell vizsgálni az érintettek azonosíthatóságát. Ezenkívül, még ha a 2018/1725 rendelet 3. cikkének (1) bekezdése nem is pontosítja, hogy kinek kell tudnia azonosítani az érintettet, a (16) preambulumbekezdés fényében és e rendelet itt szóban forgó 15. cikke (1) bekezdésének d) pontja összefüggésében a címzett szemszöge számít. Véleményük szerint ha ezzel a címzettel nem közölnek személyes adatokat, az érintetteknek nem fűződik érdekük az adattovábbításról való tájékoztatásukhoz, mivel a jogaikra nincs hatással.
2) Értékelés
46.
Először is érdemes emlékeztetni arra, hogy az álnevesítés a 2018/1725 rendelet (17) preambulumbekezdésének megfelelően a személyes adatok olyan kezelése, amelynek célja egy adatállomány valamely érintett személyazonosságával való összekapcsolhatóságára vonatkozó „kockázatok csökkentése” és hogy „segítsen az adatkezelőknek és az adatfeldolgozóknak abban, hogy az adatvédelmi kötelezettségeiknek eleget tegyenek.”
47.
A 2018/1725 rendelet 3. cikkének 6. pontja ezért az álnevesítés fogalmát úgy határozza meg, hogy az „a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, [amely] további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni” (
20
).
48.
Az álnevesítés tehát nem része a személyes adat – 2018/1725 rendelet 3. cikkének 1. pontjában az érintett „azonosíthatóságának” fogalmára tekintettel meghatározott – definíciójának. Ahogy a Bizottság továbbá a beavatkozási beadványában rámutatott, a rendelet az „álnevesítés” – és nem az „álnevesített adatok” – fogalmát határozza meg, így valamely védelmi intézkedés vagy technikai és szervezési intézkedés meghozatalára vonatkozó eljárásra utal.
49.
Ezt az értelmezést megerősíti ugyanezen rendelet 3. cikke 6. pontjának és (16) preambulumbekezdésének együttes olvasata, amelynek első mondata emlékeztet, hogy az „adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell.”
50.
A 2018/1725 rendelet e (16) preambulumbekezdését ezenkívül érdemes részletesebben tovább elemezni. (
21
) Tartalmaz ugyanis egy második mondatot, amely kimondja, hogy „az olyan álnevesített személyes adatokat, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni.” Ezt követi a harmadik és a negyedik mondat, amelyek ennek az azonosíthatósági követelménynek a tartalmát pontosítják.
51.
E rendelkezések megfogalmazásából arra következtetek, hogy az álnevesítés nyitva hagyja annak lehetőségét, hogy az érintettek ne legyenek azonosíthatók, ellenkező esetben e (16) preambulumbekezdés szövegének nem volna létjogosultsága. Hozzáteszem, hogy az említett preambulumbekezdés anonimizálásra vonatkozó utolsó mondatai megerősítik ezt az értelmezést: kizárják az anonim (vagy anonimizált) adatokat a 2018/1725 rendelet hatálya alól, (
22
) az álnevesített adatokat azonban csak annyiban, amennyiben az érintettek nem azonosíthatók. Ha az említett személyek azonosítása lehetetlen, akkor jogilag úgy kell tekinteni, hogy az álnevesítési eljárással kellő védelmet élveznek, annak ellenére, hogy a további azonosító adatokat nem törölték teljesen.
52.
Másként fogalmazva, kizárt az álnevesített adatoknak e rendelet hatálya alóli automatikus kivonása. (
23
) E rendelet (16) preambulumbekezdésére tekintettel azonban nem zárható ki, hogy az ilyen adatok bizonyos feltételek mellett kikerülhessenek a „személyes adat” fogalma alól.
53.
Az európai adatvédelmi biztos állításával ellentétben az ilyen megközelítés nem tűnik számomra ellentétesnek a személyes adatok magas szintű védelmének biztosítására irányuló célkitűzéssel, különösen egyrészt az alkalmazandó rendelkezések által támasztott azonosíthatósági követelményekre, másrészt pedig az ítélkezési gyakorlat általi értelmezésükre tekintettel.
54.
Egyrészt a 2018/1725 rendelet (16) preambulumbekezdése az adatkezelő „vagy más személy” általi azonosíthatóságra utal: ez a tág, bár nem korlátlan koncepció (
24
) a személyes adatok védelmére irányuló megközelítésbe illeszkedik.
55.
Hasonlóképpen e (16) preambulumbekezdés előírja, hogy figyelembe kell venni az eszközöket, amelyekről észszerűen feltételezhető, hogy egy adott természetes személy azonosítására fogják közvetlenül vagy közvetetten felhasználni, minden objektív tényezőt tekintetbe véve, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat és a technológia fejlődését, ami a személyes adatok védelmére irányuló, tág meghatározást jelent.
56.
Másrészt az „azonosíthatóság” e fogalmára vonatkozó ítélkezési gyakorlatnak az érintettek újraazonosítására vonatkozó kockázatra összpontosító értelmezése szintén a „személyes adatok” fogalmának tág alkalmazását teszi lehetővé. A Bíróság ezért módszeresen „személyes adatnak” minősítette azokat az adatokat, amelyek – bár a valaki másnál lévő azonosító adatoktól el vannak különítve – a szóban forgó összefüggésben az érintettek újraazonosításának kockázatát hordozhatják. (
25
)
57.
Valamely adat így jogilag csak akkor kerülhet ki a „személyes adatként” való minősítés alól, ha az azonosítás kockázata nem áll fenn vagy jelentéktelen. (
26
)
58.
Nem győznek meg az európai adatvédelmi biztos és az Európai Adatvédelmi Testület érvei a személyes adatok túl szigorú értelmezéséből eredő veszélyekkel kapcsolatban. Az ugyanis, hogy a 2018/1725 rendeletből eredő szabályok nem alkalmazandók a nem azonosítható személyekre vonatkozó adatokra, nem akadályozza meg adott esetben a felróható magatartást tanúsító jogalanyok jogi felelősségre vonását, például az adatok kárt okozó jogosulatlan közlése esetén. Ugyanakkor aránytalannak tűnik számomra egy olyan jogalanyra, amely észszerűen nem azonosíthatja az érintetteket, a 2018/1725 rendeletből eredő kötelezettségeket telepíteni, (
27
) olyan kötelezettségeket, amelyeknek e jogalany feltételezhetően nem tud megfelelni, vagy amelyek pontosan az érintettek azonosításának megkísérlésére köteleznék.
59.
E megfontolásokra tekintettel, a jogvitának a Deloitte‑nak továbbított adatok tekintetében történő elemzése esetén úgy vélem, hogy az európai adatvédelmi biztos állításával ellentétben meg kellett határozni, hogy a szóban forgó adatok álnevesített kezelése kellően erős volt‑e annak megállapításához, hogy a panaszosok – a Deloitte‑nak továbbított információk szerzői – észszerűen nem voltak azonosíthatók. Vagyis ebben az összefüggésben, ha a Deloitte észszerű eszközökkel rendelkezne az említett panaszosok azonosítására, úgy tekinthető, hogy személyes adatokat kezel.
60.
Az európai adatvédelmi biztos által felhozott első kifogást ezért álláspontom szerint el kell utasítani.
b)
A Breyer ítélettel való téves összehasonlításon alapuló második kifogásról
1) A felek érvelése
61.
Az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos szerint a szóban forgó álnevesített adatok az ESZT tekintetében személyes adatok, és ezért az ESZT‑t az érintettekkel szemben a címzettre vonatkozó tájékoztatási kötelezettség terhelte. Lényegében azt állítja, hogy a Törvényszék tévesen értelmezte a Breyer ítéletet, amely eltérő tényállásra vonatkozott.
62.
A Bizottság által támogatott ESZT szerint viszont releváns a Breyer ítélettel való összehasonlítás, ami annak megállapításához vezet, hogy a tájékoztatási kötelezettség csak akkor alkalmazandó, ha a továbbított adatok a címzett, jelen esetben a Deloitte szemszögéből személyes adatok, ami – amint azt a Törvényszék helyesen megállapította – a jelen ügyben nem nyert bizonyítást.
2) Értékelés
63.
Úgy vélem, hogy a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség és a Breyer ítélet párhuzamossága a jelen ügyben a Törvényszékétől eltérő megoldáshoz vezet, amit a jelen kifogás elemzése keretében fejtek ki.
64.
A 2018/1725 rendelet 4. cikke (1) bekezdésének a) pontja a jogszerű, tisztességes és az érintett számára átlátható adatkezelés követelményét támasztja.
65.
Közelebbről e rendelet 15. cikke (1) bekezdésének d) pontja előírja, hogy ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő „a személyes adatok megszerzésének időpontjában” az érintettet tájékoztatja az említett adatok esetleges címzettjeiről. Egyértelmű tehát, hogy ezt a tájékoztatást az adatkezelőnek haladéktalanul, vagyis az adatok gyűjtésének időpontjában kell megadnia. (
28
)
66.
E tájékoztatási kötelezettség tiszteletben tartásának fontosságát a 2018/1725 rendelet (35) preambulumbekezdése is megerősíti, amely kimondja, hogy a tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól, hangsúlyozva, hogy az adatkezelőnek minden olyan további információt is az érintett rendelkezésére kell bocsátania, amely szükséges a tisztességes és átlátható adatkezelés biztosításához, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. (
29
)
67.
Az ilyen tájékoztatási kötelezettség annál inkább fontos, mert az érintett által adott hozzájárulás érvényessége többek között attól függ, hogy e személy előzőleg megkapta‑e a szóban forgó személyes adatok kezelésének valamennyi körülményére vonatkozó, őt a 2018/1725 rendelet alapján megillető és azt lehetővé tévő tájékoztatást, hogy a tények teljes ismeretében adja meg hozzájárulását. (
30
)
68.
Hozzáteszem, hogy a 2018/1725 rendelet 15. cikkének (4) bekezdésében előírt egyetlen kivétel e tájékoztatási kötelezettség alól arra az esetre vonatkozik, amikor az érintett már rendelkezik a szóban forgó információkkal.
69.
Ebből azt a következtetést vonom le, hogy a jelen ügyben e tájékoztatási kötelezettség egyrészt az érintettek, itt a panaszosok, másrészt az ESZT mint adatkezelő között fennálló jogviszony keretébe illeszkedik, és nem az ESZT és a címzett, vagyis a Deloitte közötti viszonyba. A tájékoztatási kötelezettség tehát – a Deloitte‑nak történő továbbítást megelőzően – az ESZT birtokában lévő adatokra vonatkozik. Márpedig nem vitatott, hogy személyes adatokról van szó, mivel az ESZT birtokában vannak az észrevételek és az azokat megfogalmazó személyek azonosítási bázisa.
70.
A „releváns szemszög” (
31
) ilyen megközelítése tehát a Törvényszékétől eltérő megoldásra vezet, még a Breyer ítélettel való összehasonlítás esetén is.
71.
Emlékeztetek arra, hogy az ezen ítéletben előzetes döntéshozatalra előterjesztett kérdés alapjául szolgáló jogvitában P. Breyer azt kérte, hogy tiltsák meg, hogy az adatkezelő (a Németországi Szövetségi Köztársaság) tárolja a dinamikus IP‑címét. A számítógépéhez társított IP‑címen keresztül történő azonosítását lehetővé tevő további információk nem az adatkezelőnél, hanem az internetszolgáltatónál voltak. A kérdés tehát az volt, hogy az adatkezelő által tárolt dinamikus IP‑cím „személyes adatnak” minősülhetett‑e, és ezért a P. Breyer és az említett adatkezelő közötti jogviszony keretében kiváltja‑e utóbbi terhére a tárolással járó kötelezettségeket, jóllehet P. Breyer azonosító adatai az adatkezelőtől eltérő személynél voltak. Lényegében annak kimondására került sor, hogy bár az adatkezelő nem volt birtokában a további azonosító információknak, észszerűen hozzáféréssel rendelkezhetett azokhoz, és a dinamikus IP‑cím ezért „személyes adatnak” minősült.
72.
A jelen ügyben, amint arra korábban emlékeztettem, (
32
) a tájékoztatási kötelezettség az érintettek (a panaszosok) és az adatkezelő (az ESZT) közötti viszonyba illeszkedik: a tájékoztatási kötelezettség akkor merül fel, amikor a szóban forgó adatokat az ESZT összegyűjti, és különösen a címzettre vonatkozó információkat illetően legkésőbb akkor, amikor a címzett ismert. Márpedig amikor ez a mozzanat bekövetkezik, a szóban forgó adatok az ESZT‑nél lévő személyes adatok, amely a további azonosító adatok birtokában van. Tekintettel a szóban forgó tájékoztatási kötelezettségre, és tekintettel arra az időpontra, amikor ez bekövetkezik, a szóban forgó adatok tehát személyes adatoknak minősültek, függetlenül a Deloitte általi azonosíthatóságtól, amelyet nem érint sem a panaszosok és az ESZT közötti jogviszony, amely az egyetlen releváns jogviszony, sem pedig az ESZT‑t terhelő e tájékoztatási kötelezettség.
73.
Úgy tűnik számomra, hogy a Breyer ítélettel való párhuzamot a jelen ügyben ebben kell összevetni.
74.
Ebből az következik, hogy a tájékoztatási kötelezettség a ESZT‑t adatkezelőként és a panaszosokkal – akiktől a szóban forgó adatokat gyűjtötte – fennálló kapcsolatából fakadóan terhelte, függetlenül a Deloitte‑nak továbbított adatok személyes vagy nem személyes jellegétől.
75.
Az ESZT‑nek a tárgyaláson megismételt érvelését, amely szerint a címzett szemszöge releváns, mert vizsgálni kell, hogy „személyes adatok címzettjének” minősül‑e vagy sem, ebben az összefüggésben el kell utasítani.
76.
E tekintetben tény, hogy a 2018/1725 rendelet 15. cikke (1) bekezdése d) pontjának szövege, amely a „személyes adatok címzettjeire„ utal, félrevezető lehet. E rendelkezés hatékony érvényesülése azonban megköveteli, hogy az érintettekkel az információt a lehető leghamarabb és az említett adattovábbítást megelőzően közöljék. (
33
) A jelen esetben, még ha az ESZT‑nek az észrevételek kezdeti gyűjtésekor nem is állt szándékában kikérni a Deloitte véleményét arról, hogy ezek az észrevételek módosítják‑e a 3. értékelést, a Törvényszék előtt vitatott határozatból kitűnik, hogy a Deloitte a meghallgatáshoz való jogra vonatkozó eljárás keretében segítséget nyújtott az ESZT‑nek. (
34
) Az ESZT azon szándéka továbbá, hogy az álnevesített adatokat a Deloitte‑tal közölje, legkésőbb a szóban forgó észrevételek feldolgozásáról szóló döntés meghozatalának időpontjában már fennállónak volt tekinthető, pontosan ezek álnevesítése céljából, (
35
) ellenkező esetben az álnevesítésnek semmiféle indoka nem volna.
77.
Ezért úgy vélem, hogy a tájékoztatási kötelezettségnek való megfelelés ellenőrzése – a címzett szemszögéből a szóban forgó adatok személyesnek vagy nem személyesnek minősítése céljából – abban az időpontban, amikor az ESZT továbbította az adatokat a Deloitte‑nak, az említett ellenőrzés időbeni eltolódását eredményezi. Ezáltal ezen ellenőrzés tévesen lenne elhalasztva, mivel azt a címzettnek már továbbított adatokon végeznék el, holott a tájékoztatási kötelezettség célja az ESZT és a panaszosok közötti kapcsolatra vonatkozik, és az utóbbiak tájékoztatáson alapuló hozzájárulásának lehetővé tételére irányul a továbbítás előtt.
78.
Ami továbbá a panaszosok hozzájárulását illeti, a meghallgatáshoz való jogra vonatkozó eljárásban való részvételük kétségkívül értelmezhető úgy, mint a személyes adatoknak az adatkezelővel való megosztásához való hallgatólagos hozzájárulásuk annak érdekében, hogy észrevételeiket figyelembe vegyék. Álláspontom szerint azonban ez nem elegendő ahhoz, hogy az adatok álnevesítéséhez és a Deloitte‑nak történő továbbításához tájékoztatáson alapuló hozzájárulásnak minősüljön, az ESZT részéről e tekintetben adott előzetes tájékoztatás nélkül. (
36
)
79.
Ebből az következik, hogy álláspontom szerint az ESZT‑t terhelő tájékoztatási kötelezettség alkalmazandó volt a jelen esetben a szóban forgó adatok továbbítását megelőzően és függetlenül a Deloitte‑nál a személyes vagy nem személyes jellegüktől.
80.
Ezért az, hogy az álnevesítés kellően erős és hatékony‑e annak megállapíthatóságához, hogy a Deloitte‑nál lévő adatok személyes adatnak minősülnek‑e vagy sem, számomra végső soron nem tűnik relevánsnak az ESZT‑t terhelő tájékoztatási kötelezettség tekintetében.
81.
Következésképpen a jelen ügyben tiszteletben kellett tartani az ESZT‑t mint adatkezelőt terhelő tájékoztatási kötelezettséget, és a megtámadott ítéletet ezért téves jogalkalmazás miatt hatályon kívül kell helyezni.
82.
Mivel a szóban forgó adatok címzettjének szemszöge a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség tekintetében irreleváns, a felek arra vonatkozó érvei, hogy a Deloitte jogszerű és a gyakorlatban megvalósítható eszközökkel azonosíthatja az érintetteket, hatástalanok, és ezért azokat nem kell megvizsgálni.
83.
Ha a Bíróság nem osztaná ezt az álláspontot, másodlagosan megjegyzem, hogy az európai adatvédelmi biztos e tekintetben vitatja a Törvényszék azon megállapítását, hogy a Deloitte nem rendelkezik hozzáféréssel az azonosító adatokhoz. Különösen az ESZT és a Deloitte között fennálló adattfeldolgozói szerződéses kapcsolatra támaszkodik. Az ESZT és a Bizottság arra hivatkozik, hogy az európai adatvédelmi biztos ezzel olyan új ténybeli állításokat hoz fel, amelyek a fellebbezés szakaszában elfogadhatatlanok. Egyetértek ezzel. Az ESZT és a Deloitte közötti szerződéses kapcsolat fennállása, amely azt bizonyítja, hogy a Deloitte a panaszosok azonosítását kérhette az ESZT‑től, olyan új érv, amelyről a Törvényszék egyébiránt nem határozott. Ebből következik, hogy ezt az érvelést az adott esetben, mint elfogadhatatlant el kell utasítani a Bíróság eljárási szabályzata 170. cikke (1) bekezdésének második mondata értelmében, amely szerint a Törvényszék előtti jogvita tárgyát a fellebbezésben nem lehet megváltoztatni. (
37
)
B. A másodlagosan vizsgált második jogalapról
84.
A 2018/1725 rendelet 4. cikkének (2) bekezdésében és 26. cikkének (1) bekezdésében foglalt elszámoltathatóság elvének megsértésén alapuló második jogalapjával az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos azt állítja, hogy a Törvényszék – az ESZT‑re vonatkozó elszámoltathatóság elvének megsértésével – tévesen állapította meg, hogy neki kellett bizonyítania, hogy a Deloitte‑nak továbbított információk személyes adatoknak minősülnek.
85.
A fentiekre és különösen a fenti 81. és 82. pontra tekintettel úgy vélem, hogy e második jogalapot nem kell megvizsgálni.
86.
Ezért csak röviden, másodlagosan említem meg.
87.
Ami a Törvényszék előtt nem hivatkozott jogalap – ESZT által vitatott – elfogadhatóságát illeti, emlékeztetek arra, hogy a fellebbező előterjeszthet olyan fellebbezést, amelyben a Bíróság előtt a megtámadott ítéletből következő olyan jogalapokra hivatkozik, amelyek ezen ítélet jogi megalapozottságának kifogásolására irányulnak. (
38
) Úgy tűnik számomra, hogy a jelen jogalap vonatkozásában ez a helyzet áll fenn, amely tehát elfogadható.
88.
Ami az ügy érdemét illeti, emlékeztetni kell arra, hogy a Törvényszék megállapította, hogy mivel az európai adatvédelmi biztos nem vizsgálta meg, hogy a Deloitte rendelkezett‑e olyan jogszerű és a gyakorlatban megvalósítható eszközökkel, amelyek lehetővé tették volna számára, hogy hozzáférjen az észrevételeket előterjesztők újraazonosításához szükséges további információkhoz, az európai adatvédelmi biztos nem juthatott arra a következtetésre, hogy a Deloitte‑nak továbbított információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett „azonosítható természetes személyre” vonatkozó információknak minősültek.
89.
Az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos lényegében azt állítja, hogy a Törvényszéknek meg kellett volna vizsgálnia, hogy az ESZT mint adatkezelő bizonyította‑e, hogy a Deloitte tekintetében anonimizálta a vitatott adatokat.
90.
Az ESZT vitatja ezt az érvelést arra hivatkozva, hogy az elszámoltathatóság elve csak személyes adatok esetén alkalmazandó, és hogy jelen ügyben a Deloitte‑nál lévő adatokat anonimizálták.
91.
A Bizottság a maga részéről előadja, hogy először az európai adatvédelmi biztos viseli azon észszerű bizonyítási terhet, hogy a rendelkezésre álló bizonyítékok alapján személyes adatok fennállását bizonyítsa. Ezt követően az érintett adatkezelőnek kell további bizonyítékok benyújtásával megcáfolni ezt a következtetést.
92.
Emlékeztetek, hogy a 2018/1725 rendelet 4. cikke (1) bekezdésének a) pontja szerint a személyes adatok kezelését jogszerűen, tisztességesen és az érintett számára átlátható módon kell végezni. Az említett rendelet 4. cikkének (2) bekezdése előírja, hogy „az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására”. A 4. cikk (2) bekezdésében foglalt és e rendelet 26. cikkének (1) bekezdésében pontosított elszámoltathatóság elvéből tehát az következik, hogy az adatkezelőnek képesnek kell lennie annak igazolására, hogy tiszteletben tartja a 4. cikk (1) bekezdésében foglalt, a személyes adatok kezelésével kapcsolatos elveket. (
39
)
93.
Amennyiben az adatkezelő elegendő bizonyítékot szolgáltatott erre vonatkozóan, akkor úgy tekinthető, hogy teljesítette az őt terhelő bizonyítási kötelezettséget. (
40
)
94.
A jelen ügyben úgy tűnik számomra, hogy az ESZT több tényállási elemre (különösen az észrevételek szűrésének, kategorizálásának és összesítésének a vitatott határozatban és ítéletben bemutatott folyamataira) hivatkozott annak igazolására, hogy az őt terhelő elszámoltathatóság elvének megfelelően a Deloitte számára lehetetlen volt az érintettek azonosítása.
95.
A Törvényszék előtt az európai adatvédelmi biztos e tekintetben az ESZT és nem a Deloitte szemszögét jelentő – és ezért a Deloitte‑nak továbbított észrevételeket „személyes adatnak” minősítő – elvi álláspontot képviselt.
96.
Ha a jelen jogalap másodlagos vizsgálata céljából elfogadjuk, hogy a Deloitte szemszöge releváns volt a jelen ügyben, (
41
) akkor úgy tekinthető, hogy – amint azt a Törvényszék megállapította – az európai adatvédelmi biztosnak kellett bizonyítania, (
42
) hogy az ESZT által a jelen ügyben végrehajtott álnevesítési eljárás milyen – jogi vagy technikai – okból nem volt elégséges, és miért kellett annak megállapítására jutni, hogy a Deloitte személyes adatokat kezelt.
97.
Ezért úgy vélem, hogy az adott esetben a megtámadott ítéletet e második jogalap tekintetében helyben kell hagyni.
VII. A Törvényszékhez benyújtott keresetről
98.
Az Európai Unió Bírósága alapokmánya 61. cikke első bekezdésének értelmében, ha a fellebbezés megalapozott, a Bíróság a Törvényszék határozatát hatályon kívül helyezi. Ha a per állása megengedi, az ügyet maga a Bíróság is érdemben eldöntheti, illetve határozathozatalra visszautalhatja a Törvényszékhez.
99.
Az ESZT által a Törvényszék előtt a vitatott határozattal szemben felhozott első jogalap a 2018/1725 rendelet 3. cikke 1. pontjának megsértésén alapul. A jelen indítvány 63–82. pontjából következik, hogy mivel az ESZT megsértette a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontja alapján őt terhelő tájékoztatási kötelezettséget, a vitatott határozatot álláspontom szerint helyben kell hagyni.
100.
A vitatott határozat elfogadásához vezető eljárás keretében a megfelelő ügyintézéshez való jog európai adatvédelmi biztos általi megsértésén alapuló második jogalap tekintetében azonban úgy tűnik számomra, hogy a per állása nem engedi meg az érdemi döntést.
101.
Az ESZT ugyanis többek között azt állítja, hogy a vitatott határozat meghozatalát megelőző közigazgatási eljárás során az európai adatvédelmi biztos megsértette az iratbetekintéshez való jogát, a meghallgatáshoz való jogát és a fegyveregyenlőség elvét azzal, hogy egyrészt megtagadta tőle az iratbetekintést, és másrészt nem közölte vele a panaszosok észrevételeit vagy azok tartalmát.
102.
Márpedig a Törvényszék úgy ítélte meg, hogy mivel az első jogalapnak helyt kellett adni, az előtte felhozott második jogalapot nem kellett megvizsgálni. Következésképpen e jogalap tekintetében, amely többek között tények értékelését teszi szükségessé, a per állása nem engedi meg az érdemi döntést. Ezért úgy tűnik számomra, hogy az ügyet e tekintetben határozathozatalra a Törvényszékhez kell visszautalni, és a költségekről jelenleg nem kell határozni.
VIII. Végkövetkeztetés
103.
A fenti megfontolások alapján azt javaslom, hogy a Bíróság:
–
helyezze hatályon kívül az Európai Unió Törvényszékének 2023. április 26‑iESZT kontra európai adatvédelmi biztos ítéletét (T‑557/20, EU:T:2023:219);
–
utalja vissza az ügyet a Törvényszék elé az előtte felhozott második jogalapról való határozathozatal céljából;
–
a költségekről jelenleg ne határozzon.
(
1
)	Eredeti nyelv: francia.
(
2
)	A természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23‑i európai parlamenti és tanácsi rendelet (HL 2018. L 295., 39. o.; helyesbítés: HL 2019. L 290., 42. o.).
(
3
)	HL 2014. L 225., 1. o.; helyesbítés: HL 2014. L 372., 9. o.
(
4
)	A Banco Popular Español S. A. szanálási programjának jóváhagyásáról szóló, 2017. június 7‑i (EU) 2017/1246 bizottsági határozat (HL L 178., 15. o.).
(
5
)	A 806/2014/EU rendelet 20. cikkének (1) bekezdése előírja, hogy ez a személy „minden állami hatóságtól – beleértve a Testületet, a nemzeti szanálási hatóságot és az érintett szervezetet is – független”. Az említett rendelet 20. cikkének (16) bekezdése a „független személy” e fogalma tekintetében visszautal a 20. cikk (1) bekezdésére.
(
6
)	Egy 33 számjegyű – véletlenszerűen előállított – egyedi egyetemes azonosítóról van szó.
(
7
)	Az európai adatvédelmi biztos Törvényszék előtt vitatott határozatából kitűnik, hogy a Deloitte független személyként segítette az ESZT‑t a döntéshozatali folyamatban. Az említett határozatból az is kitűnik, hogy az ESZT 2020. március 18‑án úgy határozott, hogy az érintett részvényeseknek és hitelezőknek nem jár kártérítés, és jelezte, hogy ez a döntés a Deloitte által a szanálást követően elvégzett értékelésen, valamint a meghallgatáshoz való jogra vonatkozó eljárás keretében kapott észrevételek elemzésén alapult.
(
8
)	A második kereseti kérelem az eredeti határozat jogellenességének megállapítására irányult. A Törvényszék a megtámadott ítéletben e második kereseti kérelmet hatáskör hiánya miatt elutasította azzal az indokkal, hogy az ESZT ezzel megállapítási ítéletet kért, nem pedig valamely jogi aktus megsemmisítését.
(
9
)	Lásd a megtámadott ítélet 64., 73. és 74. pontját.
(
10
)	2017. december 20‑i ítélet (C‑434/16, EU:C:2017:994, a továbbiakban: Nowak ítélet). A jelen indítványban „analógia útján” kerül sor a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelvet (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) és a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendeletet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) alkalmazó ítéletek hivatkozására. Amint ugyanis az a 2018/1725 rendelet (4) és (5) preambulumbekezdéséből, valamint a GDPR 2. cikkének (3) bekezdéséből és 98. cikkéből kitűnik, az uniós jogalkotó a személyes adatoknak az uniós intézmények, szervek, hivatalok és ügynökségek általi, a GDPR‑rel egyenértékű védelmi rendszerét kívánta létrehozni annak érdekében, hogy biztosítsa a természetes személyek egységes és következetes védelmét személyes adataik Unión belüli kezelése tekintetében (lásd: 2024. március 7‑iOC kontra Bizottság ítélet, C‑479/22 P, EU:C:2024:215, 43. pont).
(
11
)	Lásd a megtámadott ítélet 100., 103. és 105. pontját.
(
12
)	C‑413/23 P, nem tették közzé, EU:C:2023:1036.
(
13
)	Lásd különösen a – nem kimerítő – felsorolást Pitruzzella főtanácsnok Österreichische Datenschutzbehörde és CRIF ügyre (EU:C:2022:1000) vonatkozó indítványának 36. pontjában.
(
14
)	Lásd: Nowak ítélet, 34. és 35. pont. Lásd továbbá: 2023. május 4‑iÖsterreichische Datenschutzbehörde és CRIF ítélet (C‑487/21, EU:C:2023:369, 23. és 24. pont); 2024. március 7‑i OC kontra Bizottság ítélet (C‑479/22 P, EU:C:C:2024:215, 45. pont); 2023. június 22‑iPankki S ítélet (C‑579/21, EU:C:2023:501, 42. és 43. pont) és 2024. március 7‑iIAB Europe ítélet (C‑604/22, EU:C:2024:214, 36. és 37. pont).
(
15
)	Lásd: Nowak ítélet, 43. pont.
(
16
)	Lásd: Nowak ítélet, 44. pont vége.
(
17
)	Lásd e tekintetben a megtámadott ítélet 5–7. pontját és a jelen indítvány 9. pontját.
(
18
)	Lásd a megtámadott ítélet 23. pontját.
(
19
)	2016. október 19‑i Breyer ítélet (C‑582/14, a továbbiakban: Breyer ítélet, EU:C:2016:779).
(
20
)	Lásd még e tekintetben: a személyes adat fogalmáról szóló vélemény (29. cikk szerinti adatvédelmi munkacsoport, 4/2007. sz. vélemény, 2007. június 20., WP 136) és a kifejezetten az anonimizálási és álnevesítési technikákkal foglalkozó vélemény (29. cikk szerinti adatvédelmi munkacsoport, 05/2014. sz. vélemény, 2014. április 10., WP 216). Ez az álnevesítési eljárás így különösen fontos többek között a kutatás és a statisztika szempontjából.
(
21
)	Noha a preambulumbekezdések nem rendelkeznek kötelező jogi erővel, és nem indokolhatnak a 2018/1725 rendelet célkitűzéseivel ellentétes értelmezést, a Bíróság gyakran hivatkozik ezekre valamely uniós jogi aktus rendelkezéseinek értelmezése során (lásd különösen: Szpunar főtanácsnok Planet49 ügyre vonatkozó indítványa, C‑673/17, EU:C:2019:246, 71. pont, és Kokott főtanácsnok Bizottság kontra CK Telecoms UK Investments ügyre vonatkozó indítványa, C‑376/20 P, EU:C:2022:817).
(
22
)	Mindemellett szigorúan technikai szempontból az anonimizálás nem zárja ki az újraazonosítás lehetőségét, ezért az anonimizálási technikákat alkalmazó adatkezelőknek rendszeresen elemezniük kell az újraazonosítással járó kockázatot, esetről esetre értékelve e kockázat súlyosságát és valószínűségét (lásd e tekintetben: O. Tambou, Manuel de droit européen de la protection des données à caractère personnel, Bruylant, 2020., 68. pont és e tekintetben különösen a 162. lábjegyzetben idézett hivatkozások).
(
23
)	Bár az álnevesítés fogalma GDPR‑ba történő bevezetésének eredeti szándéka az volt, hogy rugalmasságot biztosítson az adatvédelemre vonatkozó kötelezettségek enyhítése érdekében (Lásd Kuner, C., Bygave, L. A. és Docksey, C., „Background and Evolution of the EU General Data Protection Regulation (GDPR)”, in Kuner, C., Bygrave, L. A., Docksey, C. és Drechsler, L. (szerk.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020., 1–47. o.), ezt a szándékot a Tanács nem követte a GDPR (26) preambulumbekezdésében, amelynek szövegezését megismételték a 2018/1725 rendelet (16) preambulumbekezdésében.
(
24
)	Amint azt Campos Sánchez‑Bordona főtanácsnok a Breyer ügyre (C‑582/14, EU:C:2016:339) vonatkozó indítványának 64–67. pontjában kifejtette, „soha nem zárható ki abszolút bizonyossággal, hogy nincs olyan kiegészítő adatokat birtokló harmadik személy, amely adatok az adott információval összepárosíthatók, és következésképpen alkalmasak valamely személy azonosságának felfedésére. […] Úgy vélem azonban, hogy ez – az egyébként nagyon is jogos – aggodalom nem vezethet a jogalkotó szabályozási céljainak mellőzéséhez, és hogy a [2018/1725 rendelet (16)] preambulumbekezdésének rendszertani értelmezése nem korlátozódhat az ’olyan módszerekre, amelyeket más személyek valószínűleg felhasználnának’.”
(
25
)	A Breyer ítéletben például az elektronikus médiaszolgáltatónál lévő – bár az internet‑hozzáférést nyújtó szolgáltató által tárolt azonosító adatoktól elkülönült – dinamikus IP‑cím személyes adatnak minősül, mivel az elektronikus médiaszolgáltató rendelkezett olyan módszerrel, amelyet valószínűleg felhasználna az érintettnek ezen IP‑cím alapján történő azonosítására. Hasonlóképpen, a 2023. november 9‑iGesamtverband Autoteile‑Handel (A gépjárművekre vonatkozó információkhoz való hozzáférés) ítéletben (C‑319/22, EU:C:2023:837) valamely jármű VIN‑je szerepelt, amely – a definíciója szerint – a gyártó által abból a célból valamely járműhöz rendelt alfanumerikus kód, hogy e jármű megfelelő azonosítását lehetővé tegye. Bár önmagában nem személyes jellegű, ez a VIN mégis ilyen jelleget ölt bárki számára, aki valószínűsíthetően rendelkezik olyan módszerekkel, amelyek lehetővé teszik az adatnak egy meghatározott személyhez (46. pont), és így valamely azonosított vagy azonosítható természetes személyhez való társítását (49. pont). Hasonlóképpen továbbá az Európai Csaláselleni Hivatal (OLAF) olyan sajtóközleménye, amely a felperes azonosítását lehetővé tevő azonosítókat tartalmaz akár e közlemény objektív olvasata alapján, akár olyan eszközök segítségével, amelyek valamelyik olvasója által „észszerűen felhasználhatók”. személyes adatnak minősül (2024. március 7‑i ítélet, OC kontra Bizottság, C‑479/22 P, EU:C:2024:215). Ugyanígy a 2024. március 7‑iIAB Europe ítéletben (C‑604/22, EU:C:2024:214) az IAB digitális reklám‑ és marketingágazatban tevékenykedő vállalkozásokat képviselő egyesület egy keretet biztosított a honlapok felhasználói – „TC String” révén kódolt (betűk és karakterek kombinációja) – preferenciáinak rögzítéséhez. Ezt a TC Stringet személyes adatnak kellett tekinteni, mivel valamely azonosítóhoz társítva lehetővé tette az érintett internetfelhasználó azonosítását az IAB számára is, amely nem rendelkezett az azonosító elemekkel, de észszerű eszközök révén közvetetten azokhoz hozzáférhetett (az ítélet 48–50. pontja).
(
26
)	A Breyer ítélet 46. pontjából az következik, hogy ez az eset áll fenn, ha az érintett azonosítását törvény tiltaná meg, vagy a gyakorlatban nem lenne megvalósítható, például azon ok miatt, hogy aránytalan idő‑, költség‑ vagy munkaráfordítás lenne hozzá szükséges.
(
27
)	Példaként hivatkozhatók a 2018/1725 rendelet 18. cikkében foglalt, a személyes adatok helyesbítéséhez való jogból eredő kötelezettségek.
(
28
)	Lásd analógia útján: 2019. július 29‑iFashion ID ítélet (C‑40/17, EU:C:2019:629, 104. pont, valamint az ott hivatkozott ítélkezési gyakorlat). Lásd még: Szpunar főtanácsnok Association Mousse ügyre vonatkozó indítványa (C‑394/23, EU:C:2024:610, 58. pont).
(
29
)	Lásd analógia útján: 2015. október 1‑jei Bara és társai ítélet (C‑201/14, EU:C:2015:638, 34. pont); 2019. október 1‑jei Planet49 ítélet (C‑673/17, EU:C:2019:801, 77. pont) és a 2024. július 11‑iMeta Platforms Ireland (Képviseleti kereset) ítélet (C‑757/22, EU:C:2024:598, 57. pont). A 2018/1725 rendelet (36) preambulumbekezdése továbbá pontosítja, hogy „[h]a a személyes adatok jogszerűen közölhetőek más címzettel, arról az érintettet a címzettel történő első közléskor tájékoztatni kell.” Vagyis ha egy új elem merül fel, azt még a „további kezelést” megelőzően az érintettek tudomására kell hozni (lásd ebben az értelemben és analógia útján: 2022. április 27‑iRoos és társai kontra Parlament ítélet, T‑710/21., T‑722/21. és T‑723/21. sz., EU:T:2022:262, 171. pont).
(
30
)	Lásd analógia útján: 2024. július 11‑iMeta Platforms Ireland (Képviseleti kereset) ítélet (C‑757/22, EU:C:2024:598, 60. pont) és Richard de la Tour főtanácsnok ugyanezen ügyre vonatkozó indítványának 47. pontja (EU:C:2024:88). Lásd még a 2018/1725 rendelet 14. cikkének (1) bekezdését, amely szerint „[a]z adatkezelő megfelelő intézkedéseket hoz annak érdekében, hogy az érintett részére a személyes adatok kezelésére vonatkozó, a 15. és a 16. cikkben említett valamennyi információt […] tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva nyújtsa […].”
(
31
)	Amennyiben az nyer megállapítást, hogy e megközelítéssel az írásbeli beadványokban nem foglalkoztak ilyen módon, rámutatok, hogy azon túlmenően, hogy a Bíróság előtti tárgyaláson hivatkoztak rá, e megközelítés a jelen jogvita keretébe illeszkedik, mivel a jelen ügyben szóban forgó tájékoztatási kötelezettség tekintetében a releváns szemszög meghatározására irányul. Ebben az összefüggésben, bár a bírónak csak a felek kérelmeiről kell döntenie, akiknek a feladata a jogvita kereteinek a meghatározása, nem kötheti magát kizárólag a felek által az állításaik alátámasztására felhozott érvekhez, mivel adott esetben arra kényszerülne, hogy határozatát téves jogi megállapításokra alapítsa (lásd: 2010. szeptember 21‑iSvédország és társai kontra API és Bizottság ítélet, C‑514/07 P, C‑528/07 P és C‑532/07 P, EU:C:2010:541, 65. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
32
)	Lásd a jelen indítvány 69. pontját.
(
33
)	A tájékoztatás – tájékoztatáson alapuló hozzájárulást lehetővé tevő – előzetes jellegéről lásd: 2024. július 11‑iMeta Platforms Ireland (Képviseleti kereset) (C‑757/22, EU:C:2024:598, 60. pont).
(
34
)	Lásd a jelen indítvány 12. pontjában szereplő 7. lábjegyzetet.
(
35
)	Lásd a megtámadott ítélet 13. és azt követő pontjait. Lásd még az ESZT válaszait a tárgyaláson feltett kérdésekre.
(
36
)	Az említett tájékoztatás tömör, átlátható, érthető és könnyen hozzáférhető, világosan és közérthetően megfogalmazott jellegéről lásd a 2018/1725 rendelet 14. cikkének (1) bekezdését. Lásd még: 29. cikk szerinti munkacsoport átláthatóságról szóló iránymutatása, 2018. április 11., WP 260, 30. pont: „Amennyiben az információ módosítása az adatkezelés jellegének alapvető módosítására (pl. a címzettek kategóriáinak kibővítése vagy a harmadik országokba történő adattovábbítás bevezetése) vagy olyan módosításra utal, amely az adatkezelési műveletek tekintetében nem alapvető, azonban releváns lehet az érintett számára, és hatással lehet rá, akkor az információt a módosítás tényleges hatálybalépésénél jóval korábban az érintett rendelkezésére kell bocsátani, és az érintett figyelmét pontosan és eredményesen kell felhívni a módosításra. Ezáltal biztosítható, hogy az érintett ne ’maradjon le’ a módosításról, és hogy észszerű idő álljon a rendelkezésére ahhoz, hogy (a) figyelembe vegye a módosítás jellegét és hatását, és (b) gyakorolja a GDPR szerinti, módosítással kapcsolatos jogait (pl. visszavonja a hozzájárulását, vagy tiltakozzon az adatkezelés ellen).”
(
37
)	Lásd különösen: 2024. február 29‑iEuranimi kontra Bizottság ítélet (C‑95/23 P, nem tették közzé, EU:C:2024:177, 53. pont).
(
38
)	Lásd: 2022. január 25‑iBizottság kontra European Food és társai ítélet, (C‑638/19 P, EU:C:2022:50, 77. pont, valamint ott hivatkozott ítélkezési gyakorlat).
(
39
)	Lásd különösen ebben az értelemben: 2023. május 4‑iBundesrepublik Deutschland (Elektronikus igazságügyi fiók) ítélet (C‑60/22, EU:C:2023:373, 53. pont, valamint az ott hivatkozott ítélkezési gyakorlat). Lásd még az adatkezeléshez való hozzájárulásra vonatkozó, az adatkezelőt terhelő bizonyítási teherről: 2020. november 11‑iOrange Romania ítélet (C‑61/19, EU:C:2020:901, 52. pont).
(
40
)	Lásd analógia útján, a GDPR‑on alapuló kártérítési kereset keretében a 2024. január 25‑iMediaMarktSaturn ítéletet (C‑687/21, EU:C:2024:72, 43–45. pont): az adatkezelőt terheli annak bizonyítása, hogy az általa végrehajtott adatbiztonsági intézkedések megfelelőek voltak, és a kártérítés iránti keresetet elbíráló bíróságnak figyelembe kell vennie az adatkezelő által a kötelezettségeinek teljesítése érdekében elfogadott technikai és szervezési intézkedések megfelelőségének bizonyítására szolgáltatott valamennyi bizonyítékot. Az a tény azonban, hogy az adatkezelő alkalmazottai tévedésből személyes adatokat tartalmazó dokumentumot adtak át jogosulatlan harmadik félnek, önmagában nem elegendő annak megállapításához, hogy a szóban forgó, adatkezelő által végrehajtott technikai és szervezési intézkedések nem voltak „megfelelőek”.
(
41
)	Lásd a jelen indítvány 59. és 60. pontját.
(
42
)	Lásd e tekintetben: a Bizottság által elvégzett, az állami támogatások jogával való összehasonlítás a 2023. október 12‑iLarko kontra Bizottság ítéletben (C‑445/22 P, nem tették közzé, EU:C:2023:773, 29. pont); ahogyan egy adott intézkedés állami támogatásnak minősítése az előfeltétele annak, hogy ezen intézkedés az EUMSZ 107. és 108. cikk végrehajtásának biztosítása tekintetében a Bizottság hatáskörébe tartozzon, itt a „személyes adatoknak” minősítés az előfeltétele annak, hogy a 2018/1725 rendelet alkalmazandó legyen, és hogy az európai adatvédelmi biztos hatáskörrel rendelkezzen (lásd e rendelet 52. cikkének (3) bekezdését).