62023CC0169
LAILA MEDINA
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2024. június 6. (
1
)
C‑169/23. sz. [Másdi] (
i
) ügy
Nemzeti Adatvédelmi és Információszabadság Hatóság
kontra
UC
(a Kúria [Magyarország] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal iránti kérelem – A személyes adatok védelme – (EU) 2016/679 rendelet – Covid19‑igazolvány kiállítása céljából végzett adatkezelés – Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg – A 14. cikk (1) bekezdése – A tájékoztatási kötelezettségtől való eltérések – Az uniós vagy tagállami jogban kifejezetten előírt megszerzés vagy közlés – Az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedések – A 14. cikk (5) bekezdésének c) pontja – A felügyeleti hatóságnál történő panasztételhez való jog – 77. cikk”
I. Bevezetés
1.
Az adatkezelő egyik legfontosabb kötelezettsége az érintett tájékoztatására vonatkozó kötelezettség. A Bara ügyre vonatkozó indítványában Cruz Villallón főtanácsnok ékesszólóan fogalmazott, amikor kijelentette, hogy az érintett tájékoztatására vonatkozó kötelezettség „valamennyi adatkezelés átláthatóságát biztosítja”. (
2
) A tájékoztatási kötelezettség az érintett azon alapvető fontosságú jogának felel meg, hogy adatainak kezeléséről tájékoztatást kapjon. A jogtudomány (
3
) rámutat, hogy a tájékoztatáshoz való jog az átláthatóság elvét „példázza” és az összes többi jog tekintetében „fókuszpontot képez”. A széles körre kiterjedő tájékoztatási követelmények kétségkívül lehetővé teszik az adatkezelés érintettje számára, hogy az (EU) 2016/679 rendeletben (
4
) elismert egyéb fontos jogait gyakorolja.
2.
A jelen ügy Covid19‑igazolványok kiállításával összefüggésben merült fel. A Bíróságnak ezen ügyben első alkalommal kell értelmeznie az adatkezelő részére a GDPR 14. cikke (5) bekezdésének c) pontjában előírt tájékoztatási kötelezettségtől való egyik jelentős eltérést. A vonatkozó eltérést a felügyeleti hatóság hatáskörei kapcsán, az érintett által benyújtott panasz összefüggésében elemzem.
II. Jogi háttér
A.
Az uniós jog
3.
A GDPR „Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg” című 14. cikkének (1), (2) és (5) bekezdése a következőket írja elő:
„(1)   Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:
a)
az adatkezelőnek és – ha van ilyen – az adatkezelő képviselőjének a kiléte és elérhetőségei;
b)
az adatvédelmi tisztviselő elérhetőségei, ha van ilyen;
c)
a személyes adatok tervezett kezelésének célja, valamint az adatkezelés jogalapja;
d)
az érintett személyes adatok kategóriái;
e)
a személyes adatok címzettjei, illetve a címzettek kategóriái, ha van ilyen;
f)
adott esetben annak ténye, hogy az adatkezelő valamely harmadik országbeli címzett vagy valamely nemzetközi szervezet részére kívánja továbbítani a személyes adatokat, továbbá a[z Európai] Bizottság megfelelőségi határozatának léte vagy annak hiánya […]
(2)   Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:
a)
a személyes adatok tárolásának időtartama, vagy ha ez nem lehetséges, ezen időtartam meghatározásának szempontjai;
b)
ha az adatkezelés a 6. cikk (1) bekezdésének f) pontján alapul, az adatkezelő vagy harmadik fél jogos érdekeiről;
c)
az érintett azon joga, hogy kérelmezheti az adatkezelőtől a rá vonatkozó személyes adatokhoz való hozzáférést, azok helyesbítését, törlését vagy kezelésének korlátozását, és tiltakozhat a személyes adatok kezelése ellen, valamint az érintett adathordozhatósághoz való joga;
d)
a 6. cikk (1) bekezdésének a) pontján vagy a 9. cikk (2) bekezdésének a) pontján alapuló adatkezelés esetén a hozzájárulás bármely időpontban való visszavonásához való jog, amely nem érinti a visszavonás előtt a hozzájárulás alapján végrehajtott adatkezelés jogszerűségét;
e)
a valamely felügyeleti hatósághoz címzett panasz benyújtásának joga;
f)
a személyes adatok forrása és adott esetben az, hogy az adatok nyilvánosan hozzáférhető forrásokból származnak‑e; és
g)
a 22. cikk (1) és (4) bekezdésében említett automatizált döntéshozatal ténye, ideértve a profilalkotást is, valamint legalább ezekben az esetekben az alkalmazott logikára és arra vonatkozóan érthető információk, hogy az ilyen adatkezelés milyen jelentőséggel, és az érintettre nézve milyen várható következményekkel bír.
[…]
(5)   Az (1)–(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben:
[…]
c)
az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog, amely az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik; […]
[…]”
4.
A GDPR‑nak „Az adatkezelés biztonsága” című 32. cikke az (1) bekezdésében a következőket mondja ki:
„Az adatkezelő és az adatfeldolgozó a tudomány és technológia állása és a megvalósítás költségei, továbbá az adatkezelés jellege, hatóköre, körülményei és céljai, valamint a természetes személyek jogaira és szabadságaira jelentett, változó valószínűségű és súlyosságú kockázat figyelembevételével megfelelő technikai és szervezési intézkedéseket hajt végre annak érdekében, hogy a kockázat mértékének megfelelő szintű adatbiztonságot garantálja […]
[…]”
5.
A GDPR‑nak „A felügyeleti hatóságnál történő panasztételhez való jog” című 77. cikke az (1) bekezdésében a következőképpen rendelkezik:
„Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.”
B.
A magyar jog
6.
A koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet 2. §‑a (1) bekezdésének a)–g) pontja az alapügyre alkalmazandó változatában a következőképpen rendelkezik:
„A védettségi igazolvány tartalmazza:
a)
az érintett nevét,
b)
az érintett útlevelének számát, ha ezzel rendelkezik,
c)
az érintett állandó személyi azonosító igazolványának számát, okmányazonosítóját, ha ezzel rendelkezik,
d)
a védettségi igazolvány sorszámát,
e)
az oltottság tényének igazolása esetén az oltás idejét,
f)
fertőzésből történő felgyógyulás tényének az igazolása esetén az igazolvány érvényességének dátumát,
g)
az a)–f) pont szerinti adatokból képzett, informatikai eszközzel optikailag olvasható adattároló kódot,
[…]”
7.
A 60/2021 rendelet 2. §‑ának (6) és (7) bekezdése értelmében a védettségi igazolványt a jogosult természetes személy részére Budapest Főváros Kormányhivatala (Magyarország, a továbbiakban: Fővárosi Kormányhivatal) hivatalból vagy kérelemre állítja ki.
8.
A 60/2021 rendelet 3. §‑ának (3) bekezdése a következőképpen rendelkezik:
„A [Fővárosi Kormányhivatal] – a 2. § (6) bekezdés c) és d) pontja szerinti esetben –
a)
az EESZT [(Elektronikus Egészségügyi Szolgáltatási Tér)] működtetőjétől az érintett TAJ számát, a 2. § (1) bekezdés e) és g) pontja szerinti adatot, valamint az (1) bekezdés szerinti adatokat,
b)
a személyiadat‑ és lakcímnyilvántartást vezető szervtől az érintett nevét, útlevelének és állandó személyazonosító igazolványának okmányazonosítóját, lakcímét automatikus információátadással – szükség esetén az összerendelési nyilvántartáshoz kapcsolódó szolgáltatás útján – átveszi.
III. Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
9.
A Fővárosi Kormányhivatal védettségi igazolványt állított ki UC természetes személy részére, amely igazolta, hogy az utóbbi Covid19 elleni védőoltást kapott.
10.
UC 2021. április 30‑án panaszt nyújtott be a Nemzeti Adatvédelmi és Információszabadság Hatósághoz (a továbbiakban: magyar felügyeleti hatóság) a GDPR 77. cikkének (1) bekezdése alapján. UC azt kérte e hatóságtól, hogy utasítsa a Fővárosi Kormányhivatalt arra, hogy adatkezelési műveleteit hozza összhangba a GDPR rendelkezéseivel. Panaszában UC többek között kifogásolta, hogy e Kormányhivatal elmulasztotta a védettségi igazolványok kiállításával kapcsolatos adatok kezelésére vonatkozóan az adatkezelési tájékoztatót elkészíteni és közzétenni, és nincs elég információ arról, hogy mi az adatkezelés célja, jogalapja, illetve melyek és hogyan érvényesíthetőek az érintett jogok.
11.
A benyújtott panasz nyomán indított eljárásban a Fővárosi Kormányhivatal kijelentette, hogy a 60/2021 Korm. rendelet 2. §‑a alapján látta el a védettégi igazolások kiadásával kapcsolatos feladatait, és az adatkezelés jogalapja a GDPR 6. cikke (1) bekezdésének e) pontja, a különleges személyes adatok kezelése tekintetében pedig a GDPR a 9. cikke (2) bekezdésének i) pontja volt.
12.
Ezenkívül a Fővárosi Kormányhivatal nyilatkozott arról, hogy az adatkezeléssel érintett adatokat a 60/2021 Korm. rendelet 3. §‑ának (2)–(3) bekezdése szerint automatikus információátadással vette át az Elektronikus Egészségügyi Szolgáltatási Tér működtetőjétől, és a személyi adat‑ és lakcím‑nyilvántartást vezető szervtől. Azt állította, hogy a GDPR 14. cikke (5) bekezdésének c) pontja alapján nem volt köteles tájékoztatást nyújtani az adatkezelésről. A fentiek alapján a vonatkozó adatkezeléssel kapcsolatban adatvédelmi tájékoztatót készített, és azt közzétette a weboldalán.
13.
2021. november 15‑i határozatával a magyar felügyeleti hatóság elutasította a panaszt azzal az indokkal, hogy a Fővárosi Kormányhivatalt nem terhelte tájékoztatási kötelezettség, mivel az adatkezelésre a GDPR 14. cikke (5) bekezdésének c) pontja szerinti eltérés volt alkalmazandó. Konkrétabban, e felügyeleti hatóság megállapította, hogy az adatkezelés jogalapja a 60/2021 Korm. rendelet, és hogy a Fővárosi Kormányhivatal nem maguktól az érintettektől szerezte meg az adatokat. Továbbá azt állította, hogy a 60/2021 rendelet 3. §‑ának (1) bekezdése kifejezetten utasította a Kormányhivatalt az adatgyűjtésre. Jó gyakorlatnak tekintette, hogy a Fővárosi Kormányhivatal függetlenül attól, hogy nem volt jogszabályi kötelezettsége, adatkezelési tájékoztatását weboldalán közzétette.
14.
A magyar felügyeleti hatóság hivatalból vizsgálta a GDPR 14. cikke (5) bekezdésének c) pontjában szereplő, az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedések kérdését, és megállapította, hogy a 60/2021 Korm. rendelet 2. és 3. §‑a, valamint 5–7. §‑a ilyen intézkedéseknek tekintendők.
15.
UC a Fővárosi Törvényszék (Magyarország) előtt megtámadta a magyar felügyeleti hatóság határozatát. E bíróság helyt adott a keresetnek, megsemmisítette a magyar felügyeleti hatóság határozatát, és új eljárás lefolytatására kötelezte.
16.
Ítéletének indokolásában a Fővárosi Törvényszék megállapította, hogy a GDPR 14. cikke (5) bekezdésének c) pontja szerinti eltérés alkalmazásának nem volt helye, mert a védettségi igazolványok tekintetében keletkeznek olyan adatok, amelyeket az adatkezelő nem átvesz más szervtől, hanem maga keletkeztet. Ezen adatok magukban foglalják a védettségi igazolvány sorszámát, az igazolvány érvényességi idejét, a kártyán lévő QR kódot, a vonalkódot és olyan egyéb alfanumerikus kódokat, amelyeket az adatkezelő az eljárása során keletkeztet.
17.
A magyar felügyeleti hatóság rendkívüli felülvizsgálati kérelmet nyújtott be a Fővárosi Törvényszék ezen jogerős ítéletével szemben a Kúriához (Magyarország).
18.
A GDPR 14. cikke (5) bekezdésének c) pontjában szereplő eltérés alkalmazhatóságával összefüggésben a kérdést előterjesztő bíróság megállapítja, hogy az adatkezelés valamennyi olyan formájára vonatkoztatható, amely nem a GDPR 13. cikk szerinti, érintettől megszerzett adatokat jelenti, az adatkezelő által előállított adatokat beleértve.
19.
Amennyiben a kérdést előterjesztő bíróság a GDPR 14. cikke (5) bekezdésének c) pontjának ezen értelmezését követi, kétségek merülnek fel a nemzeti felügyeleti hatóságokat – a GDPR 77. cikkének (1) bekezdése alapján benyújtott panasz összefüggésében – megillető korrekciós hatáskörök terjedelmét illetően. Közelebbről, a kérdést előterjesztő bíróságnak azzal kapcsolatban vannak kétségei, hogy ilyen panasz vonatkozásában a felügyeleti hatóság hatáskörrel rendelkezik‑e az érintett személy jogos érdekeinek védelme érdekében a nemzeti jog által előírt – a GDPR 14. cikke (5) bekezdésének c) pontjában hivatkozott – megfelelő intézkedések vizsgálatára.
20.
Amennyiben úgy kell tekinteni, hogy a felügyeleti hatóság rendelkezik ezzel a jogkörrel, a kérdést előterjesztő bíróság bizonytalan a tekintetben, hogy pontosan hogyan kell értelmezni „az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedések” fogalmát. E tekintetben megjegyzi, hogy megállapítható, hogy a „megfelelő intézkedések” körébe egyrészt beletartozik a GDPR 14. cikke (1) bekezdésének a)–f) pontjában felsorolt tényezők nemzeti jogban való szerepeltetése. Másrészt ezen intézkedések kiterjedhetnek a GDPR 32. cikkében szabályozott adatbiztonsági intézkedések nemzeti jogban való szerepeltetésének számonkérhetőségére. A „megfelelő intézkedések” e felfogása azonban a jogszabályok technikai szabályokkal való terhelésével járna, valamint a normaszöveg érthetősége és a normavilágosság követelménye ellen hatna. Elegendő garancia lenne az is, ha az adatbiztonsági intézkedéseknek – akár a jogszabályban való külön szerepeltetésük nélkül is – eleget tennének.
21.
E körülmények között a Kúria úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)
Úgy kell‑e értelmezni a [GDPR] 14. cikk (5) bekezdés c.) pontját – a GDPR 14. cikk (1) bekezdésére és a 62. preambulum bekezdésére figyelemmel –, hogy a 14. cikk (5) bekezdés c.) pont szerinti kivétel nem vonatkozik az adatkezelő saját eljárásban létrehozott adatra, csak az olyan adatra, melyet az adatkezelő kifejezetten mástól szerzett be?
2)
Amennyiben a GDPR 14. cikk (5) bekezdés c) pontja az adatkezelő saját eljárásában létrehozott adatra is alkalmazandó, akkor úgy kell‑e értelmezni a felügyeleti hatóságnál történő panasztételi jogot szabályozó GDPR 77. cikk (1) bekezdését, hogy a tájékoztatási kötelezettség megsértését állító természetes személy a panasztételi joga gyakorlása során annak vizsgálatát is kezdeményezheti, hogy a GDPR 14. cikk (5) bekezdés c.) pontjában említett tagállami jog az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik‑e?
3)
Amennyiben a 2. kérdésre adott válasz igenlő, akkor a GDPR 14. cikk (5) bekezdés c.) pontja értelmezhető‑e úgy, hogy az abban szereplő »megfelelő intézkedés« a GDPR 32. cikk szerinti adatbiztonsági intézkedések leírását (a jogszabályban) várja el a tagállami jogalkotótól?”
22.
UC, a magyar felügyeleti hatóság, a magyar kormány, valamint a Bizottság nyújtott be írásbeli észrevételeket. A Bíróság az Európai Unió Bírósága alapokmányának 23. cikke alapján írásban megválaszolandó kérdéseket intézett a felekhez és az érdekelt felekhez, amelyekre UC, a cseh kormány, a magyar kormány és a Bizottság válaszolt.
IV. Értékelés
A.
A tájékoztatási kötelezettséggel és a GDPR 14. cikke (5) bekezdésének c) pontja szerinti eltéréssel kapcsolatos előzetes észrevételek
23.
Az érintettek tájékoztatása a GDPR 5. cikke (1) bekezdésének a) pontjában meghatározott átláthatóság elvének központi eleme. Az átláthatóság „lehetővé teszi az érintettek számára, hogy elszámoltassák az adatkezelőket és ‑feldolgozókat”, és így több lehetőséget ad nekik arra, hogy ellenőrzést gyakoroljanak a személyes adataik felett. (
5
) Amint ugyanis azt a fent hivatkozott Bara és társai ügyben hozott ítélet kimondja, „[a] személyes adataik kezelése által érintett személyek tájékoztatására vonatkozó ezen kötelezettség […] annál is inkább fontos, mivel az határozza meg az érintettek részéről a kezelt adatokhoz való hozzáférésre és helyesbítésre irányuló […] joguk gyakorlását”. (
6
) E tekintetben a legfontosabb rendelkezések a GDPR 12., 13. és 14. cikke.
24.
A GDPR 12. cikkének (1) bekezdése szerint az adatkezelőnek megfelelő intézkedéseket kell hoznia annak érdekében, hogy a 13. és 14. cikkben említett információkat „tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva” nyújtsa. Az információkat rendszerint adatkezelési szabályzat, adatkezelési tájékoztató, illetve adatvédelmi nyilatkozat formájában bocsátják rendelkezésre. (
7
)
25.
A tájékoztatási kötelezettség tartalmát és hatályát a GDPR 13. és 14. cikke határozza meg. A 13. cikk szabályozza az abban az esetben rendelkezésre bocsátandó információkat, ha a személyes adatokat az érintettől gyűjtik (közvetlen adatgyűjtés), míg a 14. cikk az abban az esetben rendelkezésre bocsátandó információkat szabályozza, ha a személyes adatokat nem az érintettől szerezték meg (közvetett adatgyűjtés). (
8
) Az e két rendelkezés alapján rendelkezésre bocsátandó információk között jelentős átfedés van. (
9
)
26.
A közvetett adatgyűjtés tekintetében a GDPR 14. cikkének (1) bekezdése a „standard tájékoztatási katalógusba” (
10
) belefoglalja az adatkezelő kilétére, az adatkezelés céljaira, az adatok címzettjeire és az adatok harmadik országbeli címzett részére történő esetleges továbbítására vonatkozó információkat. A tisztességes és átlátható adatkezelés biztosításához szükséges kiegészítő információk között a 14. cikk (2) bekezdése kifejezetten utal a személyes adatok tárolásának időtartamára, az adatkezelő vagy harmadik fél jogos érdekeire, (
11
) illetve az érintett azon jogára, hogy kérelmezheti az adatkezelőtől a személyes adatokhoz való hozzáférést és azok helyesbítését vagy törlését.
27.
Az adatkezelőt a GDPR 14. cikke szerinti közvetett adatgyűjtés esetén terhelő tájékoztatási kötelezettségre az e cikk (5) bekezdésében meghatározott négy eltérés vonatkozik. Az alapeljárás szempontjából releváns eltérés a 14. cikk (5) bekezdésének c) pontjában szerepel, amely „nyitott rendelkezést” tartalmaz. (
12
) Az adatkezelő mentesül a tájékoztatási kötelezettség alól, ha „az adat megszerzését vagy közlését kifejezetten előírja az adatkezelőre alkalmazandó uniós vagy tagállami jog” és ez a jog „az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik”.
28.
A GDPR 14. cikke (5) bekezdése c) pontjának angol nyelvi változata a többi nyelvi változathoz (
13
) hasonlóan nem hivatkozik kifejezetten a „megszerzés[re] vagy közlés[re]” irányuló cselekmény tárgyára. Egyes más nyelvi változatok kifejezetten „adatok” megszerzésére vagy közlésére utalnak. (
14
) Úgy tűnik, hogy csak a francia nyelvi változat utal „információk” megszerzésére vagy közlésére. (
15
)
29.
Mindazonáltal, mivel valamely uniós jogi aktus valamennyi nyelvi változatának főszabály szerint azonos értéket kell tulajdonítani, az e változatok közötti eltérés esetén az érintett rendelkezést azon szabályozás általános rendszere és célja alapján kell értelmezni, amelynek a részét képezi. (
16
)
30.
E tekintetben azon szabályozás általános rendszeréből, amelynek a GDPR 14. cikke (5) bekezdésének c) pontja a részét képezi, kitűnik, hogy a megszerzés vagy közlés személyes adatokra (nem pedig információkra) vonatkozik. Már a 14. cikk címéből is kitűnik, hogy az információkat „rendelkezésre bocsátják”, míg a megszerzési cselekmény „személyes adatokra” vonatkozik. Ezt az értelmezést megerősíti a (61) preambulumbekezdés, amely a más forrásból származó „személyes adatokra” utal, valamint a (62) preambulumbekezdés, amely a „személyes adatok” rögzítésére vagy közlésére utal. Ráadásul, figyelembe véve azt, hogy a GDPR 4. cikkének (2) bekezdése szerinti „adatkezelés”, azaz a személyes adatokon végzett bármely művelet vagy műveletek összességének fogalma tág értelemmel rendelkezik, (
17
) a „megszerzést vagy közlést”személyes adatokon végzett adatkezelési műveletnek kell minősíteni.
31.
Azon szabályok célját illetően, amelyeknek a 14. cikk (5) bekezdésének c) pontja a részét képezi, úgy tűnik, hogy a vonatkozó eltérés azon az alapfeltevésen nyugszik, hogy az uniós vagy tagállami jog azon kötelezettség helyébe lép vagy azon kötelezettséget helyettesíti, amely rendszerint az adatkezelőt az adatok megszerzésére vagy közlésére vonatkozó információk rendelkezésre bocsátása tekintetében terheli. (
18
) A releváns jogi rendelkezés révén az érintettek már kellő ismeretekkel rendelkeznek az adatok megszerzésére vagy közlésére vonatkozóan. (
19
) Az adatkezelőre vonatkozó e jogi rendelkezésnek kifejezetten az adatok megszerzését vagy közlését kell érintenie, továbbá a szóban forgó megszerzésnek vagy közlésnek kötelezőnek kell lennie az adatkezelő számára. (
20
)
32.
A fentiekből tehát egyértelműen következik, hogy a megszerzésre vagy a közlésre vonatkozó eltérés tárgyát a személyes adatok képezik.
33.
Ezen észrevételek fényében vizsgálom tovább az előzetes döntéshozatalra előterjesztett kérdések összefüggésében a GDPR 14. cikke (5) bekezdésének c) pontjában meghatározott eltérést.
B.
Az első kérdés
34.
Első kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 14. cikke (5) bekezdésének c) pontját úgy kell‑e értelmezni, hogy az adatkezelőt terhelő, az érintett tájékoztatására vonatkozó kötelezettségtől való eltérés csak az olyan adatra alkalmazandó, amelyet az adatkezelő kifejezetten mástól szerzett meg, azon adatok kizárásával, amelyeket az adatkezelő saját eljárásban hozott létre.
35.
Ez a kérdés abból ered, hogy az alapügyben a Covid19‑igazolványokban szereplő bizonyos adatokat nem egy másik szerv szerezte meg, hanem azokat a Fővárosi Kormányhivatal hozta létre. (
21
)
36.
Meg kell tehát határozni, hogy a 14. cikk (5) bekezdésének c) pontjában meghatározott „megszerzés” fogalma kizárja‑e az adatkezelő által létrehozott adatokat.
37.
E kérdés megválaszolása érdekében elöljáróban emlékeztetni kell arra, hogy valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak szövegét, hanem a szövegkörnyezetét, és annak a jogi aktusnak a célkitűzéseit is figyelembe kell venni, amelynek az részét képezi. (
22
)
38.
A GDPR 14. cikke (5) bekezdése c) pontjának megfogalmazását illetően, e rendelkezés nem ír elő korlátozást az adatkezelés konkrét típusára vagy azon pontos módszerre vonatkozóan, amelynek útján az adatkezelő megszerzi az adatokat. Az adatok technikai eljárás útján is beszerezhetők, például az adatok adatkezelő általi előállításával.
39.
A „megszerzés” kifejezés tág értelmezését a GDPR (62) preambulumbekezdése is megerősíti. E preambulumbekezdés az adatok „rögzítése” kifejezést használja, amely – amint arra a kérdést előterjesztő bíróság rámutatott – az adatkezelő által végezhető adatkezelési műveletek szélesebb körére utal. A 14. cikk (5) bekezdésének c) pontja nem értelmezhető tehát úgy, hogy az kizárólag a más szervezettől megszerzett adatokra alkalmazandó, az adatkezelő által előállított adatokra azonban nem.
40.
A GDPR 14. cikke (5) bekezdése c) pontjának ezen értelmezését továbbá e rendelkezés szövegkörnyezete, valamint az e rendelkezés által követett célkitűzések is alátámasztják.
41.
E tekintetben meg kell állapítani, hogy a 14. cikk (5) bekezdésében foglalt eltérések ugyanezen cikk (1)–(4) bekezdéséhez kapcsolódnak. A 14. cikk (amelynek a vonatkozó eltérés a részét képezi) tárgyi hatálya a 13. cikkhez képest negatívan került meghatározásra. Míg a 13. cikk a személyes adatoknak az érintettől történő megszerzése esetén rendelkezésre bocsátandó információkat szabályozza, a 14. cikk az információk abban az esetben történő rendelkezésre bocsátásáról rendelkezik, ha a személyes adatokat nem az érintettől szerezték meg. A közvetlen és a közvetett adatgyűjtés kettősségéből következik, hogy minden olyan eset, amikor az adatokat nem az érintettől szerzik meg, a 14. cikk tárgyi hatálya alá tartozik. Nincs jelentősége annak, hogy az adatokat az adatkezelő állította‑e elő, ameddig azokat nem az érintettől szerezték meg. A 14. cikk széles tárgyi hatályát a (61) preambulumbekezdés is megerősíti, amely a „más forrásból gyűjtött”, azaz az érintettől eltérő forrásból származó adatokra hivatkozik.
42.
Egyébiránt, amint arra lényegében a Bizottság és a magyar felügyeleti hatóság rámutatott, a GDPR 13. és 14. cikkében foglalt szabályok olyan átfogó rendszert alkotnak, amely az érintettek minden lehetséges helyzetben történő tájékoztatását szabályozza. Amennyiben a GDPR 14. cikke (5) bekezdésének c) pontjában szereplő „megszerzés” kifejezést úgy kellene értelmezni, hogy az kizárja az adatkezelő által előállított adatokat, e rendelkezés hatálya szűkebb lenne, mint azon 14. cikk hatálya, amelynek a részét képezi.
43.
Ami a szóban forgó eltérés konkrét célját illeti, amint arra a jelen indítvány előzetes észrevételeiben emlékeztettem, az adatkezelőt terhelő tájékoztatási kötelezettség alóli mentesség azon az előfeltevésen alapul, hogy a jogszabály az adatkezelőt rendszerint terhelő tájékoztatási kötelezettség helyébe lép. (
23
) A GDPR 14. cikke (5) bekezdésének c) pontjában előírt eltérés mérlegelési mozgásteret biztosít a tagállamok számára arra vonatkozóan, hogy az érintettet eltérő módon tájékoztassák, és az adatkezelő által egyéni alapon nyújtott tájékoztatáshoz képest tisztességes és átlátható bánásmódot biztosítsanak. Az eltérő jogi megoldásnak azonban továbbra is ugyanarra az eredményre kell vezetnie. Az adatkezelőket terhelő tájékoztatási kötelezettség helyébe lépő jogszabályi rendelkezésnek lehetővé kell tennie az érintett számára, hogy ellenőrzést gyakoroljon az adatai felett, és gyakorolhassa a GDPR szerinti jogait. (
24
)
44.
A 14. cikk (5) bekezdése c) pontjának azon értelmezése, amely kizárja a hatálya alól az adatkezelő által előállított adatokat, korlátozná a tagállamok számára olyan indok alapján meghagyott mérlegelési mozgásteret, amely nem tűnik relevánsnak az érintett jogos érdekeinek védelme szempontjából.
45.
Ráadásul egy ettől eltérő értelmezés – amely kivételt vezetne be a 14. cikk (5) bekezdésének c) pontjában meghatározott eltérés alól abban az esetben, ha az adatokat az adatkezelő állítja elő – azzal a kockázattal járna, hogy az érintett számára a helyzet még bonyolultabbá válna. Az érintett számára lehetővé kell tenni, hogy megtudja, milyen forrásból kap majd tájékoztatást adatainak kezeléséről abban az esetben, ha ezen adatokat nem tőle magától gyűjtik. A vonatkozó jogi rendelkezésnek valamennyi ilyen helyzetben előre láthatóvá kell tennie az érintett számára az adatkezelést. (
25
)
46.
A fentiekből következik, hogy a GDPR 14. cikke (5) bekezdésének c) pontját úgy kell értelmezni, hogy az adatkezelőt terhelő, az érintett tájékoztatására vonatkozó kötelezettségtől való eltérés minden olyan adatra alkalmazandó, amelyet az adatkezelő nem az érintettől szerzett meg. E tekintetben nem releváns, hogy az adatokat kifejezetten más szervtől szerezték‑e be, vagy azokat az adatkezelő saját eljárásában hozta‑e létre.
C.
A második kérdés
47.
Második kérdésével az előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 77. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy panasztételi eljárás keretében a felügyeleti hatóság hatáskörrel rendelkezik annak vizsgálatára, hogy az adatkezelőre alkalmazandó tagállami jog az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedésekről rendelkezik‑e a fenti rendelet 14. cikk (5) bekezdésének c) pontjában meghatározott eltérés alkalmazása szempontjából.
48.
E tekintetben először is emlékeztetni kell arra, hogy a GDPR 77. cikkének (1) bekezdése alapján minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet. (
26
)
49.
Másodszor, az említett rendelet 55. cikkének (1) bekezdése értelmében a felügyeleti hatóság a saját tagállamának területén illetékes az e rendelet alapján ráruházott feladatok végzésére és hatáskörök gyakorlására. (
27
) Ezenfelül, a GDPR 57. cikke (1) bekezdésének a) pontja alapján a felügyeleti hatóság nyomon követi és kikényszeríti a GDPR alkalmazását.
50.
A fenti két pontban említett rendelkezések nem zárják ki a nemzeti felügyeleti hatóságok hatásköréből a GDPR 14. cikke (5) bekezdésének c) pontja szerinti eltérés alkalmazásának feltételeit.
51.
Így, amint azt lényegében a magyar kormány és a Bizottság is állította, a GDPR 77. cikkének (1) bekezdése alapján benyújtott panasz keretében a felügyeleti hatóságok hatáskörébe tartozik annak ellenőrzése, hogy a 14. cikk (5) bekezdésének c) pontjában meghatározott valamennyi feltétel teljesül‑e. Amint az a 14. cikk (5) bekezdésének első fordulatából következik, az abban előírt valamennyi eltérést alkalmazni kell, „ha és amilyen mértékben” az ott meghatározott feltételek teljesülnek.
52.
E tekintetben a felügyeleti hatóságoknak hatáskörrel kell rendelkezniük arra, hogy megvizsgálják egyrészt azt, hogy a jogszabálynak közvetlenül címzettje‑e az adatkezelő, és az adatok megszerzése vagy közlése kötelező‑e az adatkezelő számára. (
28
) Másrészt a felügyeleti hatóságoknak lehetőséggel kell rendelkezniük annak vizsgálatára, hogy az adatkezelő által hivatkozott jogszabály előír‑e „az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket”, és az adatkezelő bizonyítani tudja‑e, hogy a személyes adatok megszerzése vagy közlése megfelel ezeknek az intézkedéseknek. (
29
)
53.
A magyar adatvédelmi hatóság azzal érvel, hogy annak vizsgálata, hogy a nemzeti jog előír‑e az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket, meghaladná a GDPR 57., illetve 58. cikke szerinti feladatait és hatásköreit. E hatóság úgy véli, hogy e rendelkezések nem biztosítanak a felügyeleti hatóságnak nemzeti jogot érintő korrekciós hatásköröket, és nem lehet ilyen hatásköröket gyakorolni olyan adatkezelővel szemben, aki csupán tiszteletben tartotta a nemzeti jogot.
54.
E tekintetben hangsúlyozni kell, hogy azon kérdésnek a nemzeti felügyeleti hatóság általi vizsgálata, hogy a 14. cikk (5) bekezdésének c) pontja szerinti eltérés alkalmazásának valamennyi feltétele teljesül‑e, nem foglalja magában – ahogyan azt a Bizottság helyesen megjegyezte – a nemzeti jog érvényességének vizsgálatát. A felügyeleti hatóság kizárólag azt vizsgálja, hogy az adatkezelő jogosult‑e az eltérésre valamely konkrét helyzetben lévő konkrét érintettel szemben hivatkozni.
55.
Ennélfogva a nemzeti felügyeleti hatóságra hárul az a feladat, hogy megvizsgálja az érintett arra irányuló kérelmét, hogy az adatkezelő ne mentesüljön a tájékoztatási kötelezettség alól azon az alapon, hogy a vonatkozó jogi rendelkezések nem írnak elő az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket.
56.
Amennyiben a nemzeti felügyeleti hatóság arra a következtetésre jut, hogy a panasz megalapozatlan, a panaszt benyújtó és az ezen megállapítást vitató személynek – amint az a GDPR 78. cikkéből kitűnik – olyan bírósági jogorvoslati lehetőségekkel kell rendelkeznie, amelyek lehetővé teszik számára, hogy az ilyen határozatot a nemzeti bíróságok előtt megtámadja.
57.
Amennyiben a nemzeti felügyeleti hatóság úgy ítéli meg, hogy a panasz megalapozott, és az eltérés alkalmazási feltételei nem teljesülnek, hatáskörrel rendelkezik arra, hogy – amint azt lényegében a magyar kormány és a Bizottság állította – az adatkezelőt az érintett kérelmének teljesítésére kötelezze. Ebben az esetben az adatkezelőnek a 14. cikk (1)–(4) bekezdésével összhangban rendelkezésre kell bocsátania az információkat.
58.
A Bíróság által feltett írásbeli kérdésekre válaszolva a cseh kormány arra hivatkozott, hogy az érintett jogos érdekeinek védelmét szolgáló intézkedések megfelelő jellegének vizsgálata nem lehetséges, ha a nemzeti jog célzottan, egy konkrét helyzetre tekintettel kivételt ír elő a tájékoztatási kötelezettség alól. A Schrems ítéletre (
30
) támaszkodva e kormány lényegében arra mutat rá, hogy valamely jogforrás egy másik jogforrással való összeegyeztethetőségének vizsgálata nem valamely közigazgatási hatóság, hanem kizárólag a bíróságok hatáskörébe tartozik.
59.
E tekintetben emlékeztetni kell arra, hogy a Schrems ítéletben felvetett egyik fő kérdés a nemzeti felügyeleti hatóságok azon hatáskörére vonatkozott, hogy megvizsgálják valamely személynek a jogai és szabadságai védelmével kapcsolatos, olyan bizottsági határozattal szemben benyújtott panaszát, amely megállapítja, hogy valamely harmadik ország megfelelő védelmi szintet biztosít. (
31
) A Bíróság lényegében kimondta, hogy a nemzeti felügyeleti hatóságok az ilyen panasz vizsgálata során nem jogosultak az említett határozat érvénytelenségének megállapítására. (
32
) Amennyiben a nemzeti felügyeleti hatóság úgy ítéli meg, hogy a panaszos által felhozott kifogások megalapozottak, e hatóságnak lehetőséggel kell rendelkeznie arra, hogy bírósági eljárást indítson. (
33
)
60.
A Schrems ítélet azonban nem tűnik közvetlenül relevánsnak a felügyeleti hatóságoknak a GDPR 14. cikke (5) bekezdésének c) pontjában előírt eltérés vizsgálatára vonatkozó hatáskörének kérdését illetően. Elöljáróban meg kell állapítani, hogy e vizsgálat keretében a felügyeleti hatóság nem avatkozik bele az adatkezelőt terhelő, a személyes adatok megszerzésére vagy közlésére vonatkozó jogi kötelezettség teljesítésébe. Más szavakkal, a felügyeleti hatóság nem kötelezi az adatkezelőt arra, hogy tartózkodjon a megszerzésre vagy a közlésre vonatkozó azon jogi kötelezettség alkalmazásától, amely az adatkezelőt továbbra is terheli. Amint arra lényegében a Bizottság és a magyar kormány is hivatkozott, ilyen helyzetben a nemzeti felügyeleti hatóság hatásköre arra terjed ki, hogy arra kötelezi az adatkezelőt, hogy közölje az adatvédelmi tájékoztatójára vonatkozó szükséges információkat (
34
) abban az esetben, ha az érintett eltérés feltételei nem teljesülnek. E kötelezés, amint az fentebb megállapításra került, nem érinti az adatkezelőre vonatkozó jogszabályi intézkedés érvényességét.
61.
A felügyeleti hatóságnak az adatkezelő tájékoztatás nyújtására való kötelezésére vonatkozó hatásköre nem érinti e hatóság azon hatáskörét, hogy amennyiben a szóban forgó jogszabályi rendelkezést érvénytelennek ítéli, a GDPR 58. cikkének (5) bekezdése alapján a nemzeti jog által e célból előírt bírósági eljárást kezdeményezze.
62.
Végül, rendszerszinten, amint azt valamennyi érdekelt fél állította, a felügyeleti hatóság hatáskörrel rendelkezik arra, hogy javaslatot tegyen a jogalkotó vagy a végrehajtó szervek számára a vonatkozó jogszabályi intézkedés módosítását illetően, amennyiben úgy ítéli meg, hogy az nem ír elő az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket. E tekintetben emlékeztetni kell arra, hogy a felügyeleti hatóságok feladata, hogy a GDPR 57. cikke (1) bekezdésének c) pontjával összhangban tanácsot adjanak a nemzeti parlamentnek, a kormánynak és más intézményeknek és szerveknek. E hatóságok a GDPR 58. cikke (3) bekezdésének b) pontja szerinti véleményezési hatáskörrel is rendelkeznek.
63.
A fentiekből következik, hogy a GDPR 77. cikkének (1) bekezdését úgy kell értelmezni, hogy a felügyeleti hatóság a panasztételi eljárás keretében jogosult annak vizsgálatára, hogy teljesül‑e az e rendelet 14. cikke (5) bekezdésének c) pontjában foglalt valamennyi feltétel. Közelebbről, hatáskörrel rendelkezik annak vizsgálatára, hogy azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik, az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket ír‑e elő.
D.
A harmadik kérdés
64.
Harmadik kérdésével az előterjesztő bíróság lényegében arra kíván választ kapni, hogy a GDPR 14. cikke (5) bekezdésének c) pontját úgy kell‑e értelmezni, hogy az abban szereplő „megfelelő intézkedések” az említett rendelet 32. cikke szerinti adatbiztonsági intézkedések nemzeti jogban való szerepeltetését várja el a tagállami jogalkotótól?
65.
E tekintetben egyrészt emlékeztetni kell arra, hogy a GDPR 14. cikke (5) bekezdésének c) pontja szerinti, a tájékoztatási kötelezettségtől való eltérés alkalmazhatósága az érintett jogos érdekeinek védelmét szolgáló „megfelelő intézkedések” előírásától függ. Másrészt a GDPR 32. cikkéből az következik, hogy az adatkezelőnek és az adatfeldolgozónak „megfelelő technikai és szervezési intézkedéseket” kell végrehajtania az adatkezelés biztonságának garantálása érdekében.
66.
Mindazonáltal, amint arra a Bizottság hivatkozik, a 14. és 32. cikk hatálya eltérő. A „megfelelő intézkedések” hatályát a GDPR 14. cikkével összefüggésben kell megvizsgálni. Ezért a 14. cikk (5) bekezdésének c) pontja szerinti eltérés alkalmazásának egyik feltétele nem határozható meg a más rendelkezésben szereplő „megfelelő technikai és szervezési intézkedések” fogalmának átvételével. Ezenkívül a GDPR 32. cikke szempontjából nem releváns, hogy az információt az adatkezelő szolgáltatja‑e, vagy hogy a megszerzést vagy közlést jogszabály írja‑e elő. Ennélfogva a felügyeleti hatóság által végzett vizsgálat tárgyát a 14. cikk hatályának kell behatárolnia.
67.
A „megfelelő intézkedések” pontos tartalmát a GDPR 14. cikke (5) bekezdésének c) pontja nem határozza meg. E fogalom elég széles ahhoz, hogy minden olyan intézkedést lefedjen, amelyet a jogalkotó szükségesnek és megfelelőnek tart. A „megfelelő intézkedések” fogalmát, amint arra a Bizottság lényegében rámutatott, a GDPR 5. cikke (1) bekezdésének a) pontjában kimondott átláthatóság elvére tekintettel kell értelmezni. E vonatkozásban figyelembe kell venni azt, hogy a releváns jogszabályi rendelkezés, amint az a jelen indítvány előzetes észrevételeiben (
35
) megállapításra került, „helyettesíti” az adatkezelőt általában terhelő tájékoztatási kötelezettséget. A jogalkotó feladata, hogy meghatározza a megfelelő intézkedéseket, például a megszerzett adatok kategóriája és az adatkezelés körülményei alapján.
68.
A cseh kormány a Bíróság által feltett kérdésre adott válaszában azzal érvelt, hogy a megfelelő intézkedések szélesebb körre terjednek ki, mint a GDPR 14. cikkének (1), (2) és (4) bekezdésében szereplő információk felsorolása.
69.
Egyetértek azzal, hogy az intézkedések megfelelőségét nem lehet kizárólag az adatkezelőnek a GDPR által harmonizált tájékoztatási kötelezettségeivel való „mechanikus” összevetése alapján értékelni. Értelmetlen lenne egy „nyitott rendelkezést” a GDPR 14. cikke (5) bekezdésének c) pontjában, (
36
) és ezzel egyidejűleg pontosan ugyanezen kötelezettséget oly módon előírni, amely nem hagy mérlegelési mozgásteret a jogalkotó számára. Mindemellett a releváns jogszabályi rendelkezésnek a 14. cikk (1)–(4) bekezdésében biztosítottal egyenértékű tisztességes és átlátható adatkezelést kell biztosítania. (
37
) Ahhoz, hogy az érintett értékelni tudja az adatok megszerzésével és feldolgozásával kapcsolatos kockázatokat, (
38
) az adatok kezelésére vonatkozó releváns jogi rendelkezés egyszerű olvasatából egyértelműnek kell ugyanakkor lennie, hogy ki, milyen okból és milyen módon kezeli az adatokat. (
39
) Amint azt fent kifejtettem, (
40
) az eltérő jogi megoldásnak ugyanarra az eredményre kell vezetnie, azaz lehetővé kell tennie az érintett számára, hogy ellenőrzést gyakoroljon az adatai felett, és gyakorolhassa a GDPR szerinti jogait.
70.
Az adatkezelés konkrét jogalapja az adatkezelés sajátos körülményeire vonatkozó „megfelelő intézkedések” meghatározását is befolyásolja. E tekintetben emlékeztetni kell arra, hogy a GDPR 6. cikke (1) bekezdésének c) és e) pontjából következik, hogy az adatkezelés akkor és annyiban jogszerű, amennyiben az az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez szükséges, és ha az adatkezelés közérdekű feladat végrehajtásához szükséges. Ilyen adatkezelés tekintetében a 6. cikk (2) bekezdése szerint a tagállamok fenntarthatnak vagy bevezethetnek konkrétabb rendelkezéseket a GDPR adatkezelésre vonatkozó szabályai alkalmazásának kiigazítása érdekében, amelyekben pontosabban meghatározzák az adatkezelésre vonatkozó konkrét követelményeket, valamint az adatkezelés jogszerűségének és tisztességességének biztosítására szolgáló további intézkedéseket. (
41
) Ezenfelül, a GDPR 9. cikke (2) bekezdésének i) pontja szerint, ha az adatkezelés a népegészségügy területét érintő közérdekből szükséges, a tagállami (vagy uniós) jognak megfelelő és konkrét intézkedéseket kell előírnia az érintett jogainak és szabadságainak védelme érdekében.
71.
Az alapügyben az adatok megszerzését a 60/2021 Korm. rendelet írta elő, amelyet – amint az az ügyiratokból kitűnik – a GDPR 6. cikke (1) bekezdésének c) és e) pontja, valamint a 9. cikke (2) bekezdésének i) pontja alapján fogadtak el. A magyar kormány azzal érvel, hogy a 60/2021 Korm. rendelet – az adatkezelés jogszerűségének biztosítása érdekében elfogadott jogszabályok alapján alkalmazandó általános biztosítékokon túlmenően – további biztosítékokat írt elő. E tekintetben az említett kormány kifejtette, hogy e garanciák egyike abban áll, hogy az e Korm. rendelet által kijelölt alvállalkozók állami tulajdonban működnek, és az állami és önkormányzati szervekre alkalmazandó adatbiztonsági jogszabályok hatálya alá tartoznak. A kérdést előterjesztő bíróság feladata, hogy a megvizsgálja ezeket az állításokat, és fenti megállapítások fényében értékelje, hogy a nemzeti jog megfelelő intézkedéseket ír‑e elő.
72.
A fentiekre tekintettel álláspontom szerint a GDPR 14. cikke (5) bekezdésének c) pontját úgy kell értelmezni, hogy az abban szereplő „megfelelő intézkedések” nem kötelezik a nemzeti jogalkotót az említett rendelet 32. cikkében előírt adatbiztonsági intézkedések nemzeti jogban való szerepeltetésére.
V. Végkövetkeztetések
73.
Az előző megfontolásokra tekintettel azt javasolom a Bíróságnak, hogy a Kúria (Magyarország) által előzetes döntéshozatalra előterjesztett kérdésre a következő választ adja:
1)
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 14. cikke (5) bekezdésének c) pontját
úgy kell értelmezni, hogy az adatkezelőt terhelő, az érintett tájékoztatására vonatkozó kötelezettségtől való eltérés minden olyan adatra alkalmazandó, amelyet az adatkezelő nem az érintettől szerzett meg. E tekintetben nem releváns, hogy az adatokat kifejezetten más szervtől szerezték‑e meg, vagy azokat az adatkezelő saját eljárásában hozta‑e létre.
2)
A 2016/679 rendelet 77. cikkének (1) bekezdését
úgy kell értelmezni, hogy a felügyeleti hatóság a panasztételi eljárás keretében jogosult annak vizsgálatára, hogy teljesül‑e az e rendelet 14. cikke (5) bekezdésének c) pontjában foglalt valamennyi feltétel. Közelebbről, hatáskörrel rendelkezik annak vizsgálatára, hogy azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik, az érintett jogos érdekeinek védelmét szolgáló megfelelő intézkedéseket ír‑e elő.
3)
A 2016/679 rendelet 14. cikke (5) bekezdésének c) pontját
úgy kell értelmezni, hogy az e rendelkezésben említett „megfelelő intézkedések” nem kötelezik a nemzeti jogalkotót az említett rendelet 32. cikkében előírt adatbiztonsági intézkedések nemzeti jogban való szerepeltetésére.
(
1
)	Eredeti nyelv: angol.
(
i
)	A jelen ügy neve fiktív. Az nem egyezik az eljárásban részt vevő egyetlen fél valódi nevével sem.
(
2
)	Cruz Villalón főtanácsnok Bara és társai ügyre vonatkozó indítványa (C‑201/14, EU:C:2015:461, 74. pont, kiemelés tőlem).
(
3
)	Vrabec, U., H., „Data Subject Rights under the GDPR”, Oxford University Press, Oxford, 2021., 64. o.
(
4
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR).
(
5
)	Lásd a 29. cikk szerinti adatvédelmi munkacsoport által 2017. november 29‑én elfogadott, az (EU) 2016/679 rendelet szerinti átláthatóságról szóló iránymutatást (17/HU WP260 rev. 01, a továbbiakban: átláthatósági iránymutatás) 4. pontját. Ezt a munkacsoportot később az Európai Adatvédelmi Testület (EDPB) váltotta fel. Az átláthatósági iránymutatás azonban továbbra is érvényes. Lásd még a 2020. április 21‑én elfogadott, az egészségügyi adatoknak a Covid19‑járvánnyal összefüggésben végzett tudományos kutatás céljából történő kezeléséről szóló 03/2020. sz. EDPB iránymutatás 5.1.2.4. pontját.
(
6
)	2015. október 1‑jei Bara és társai ítélet (C‑201/14, EU:C:2015:638, 33. pont), amely Cruz Villalón főtanácsnok ezen ügyre vonatkozó indítványát idézi.
(
7
)	Az átláthatósági iránymutatás 24. pontja. Lásd továbbá: Vrabec, U., H., Data Subject Rights under the GDPR, a fenti 3. lábjegyzetben i. m., 84. o.
(
8
)	Lásd: Zanfir‑Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject”, in: Kuner, C., Bygrave, L. A. és Docksey, C. (szerk.), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, 435–448. o., 436. o.
(
9
)	Uo., 444. o.
(
10
)	Vrabec, U., H., Data Subject Rights under the GDPR, a fenti 3. lábjegyzetben i. m., 68. o.
(
11
)	Ha az adatkezelés a GDPR 6. cikke (1) bekezdésének f) pontján alapul.
(
12
)	Nyitott rendelkezésként lehetővé teszi a tagállamok számára, hogy további, szigorúbb vagy eltérő nemzeti szabályokat írjanak elő, és mérlegelési mozgásteret hagynak a tagállamok számára e rendelkezések végrehajtásának módját illetően (lásd ebben az értelemben: 2023. március 30‑iHauptpersonalrat der Lehrerinnen und Lehrer ítélet, C‑34/21, EU:C:2023:270, 51. pont). Lásd: Knyrim, R., ‘IV. Ausnahme von der Informationspflicht’, in: Ehmann, E. és Selmayr, M., Datenschutz Grundverordnung, DS – GVO, München, Beck, 2. kiadás, 2018, 14. cikk, 42–48. bekezdés, 47. bekezdés.
(
13
)	Nevezetesen a bolgár, a dán, a német, a görög, a spanyol, az olasz, az angol, a lengyel, a szlovák és a svéd nyelvi változat.
(
14
)	Ez a helyzet többek között az észt (isikuandmed), a litván (duomenų), a magyar (adat), a holland (gegevens), a portugál (dados), a román (datelor) és a finn (tietojen) nyelvi változat esetében.
(
15
)	A francia jogirodalom szerzői rámutatnak, hogy a francia nyelvi változatnak „információk” helyett „adatokat” kellene tartalmaznia, ahogyan az a GDPR 14. cikke (5) bekezdése c) pontjának elődje, azaz a személyes adatok feldolgozása [helyesen: kezelése] vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995. L 281., 31. o.; magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) 11. cikkének (2) bekezdésében is szerepel (lásd: de Terwangne, C. és Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant,” in: Le règlement général
sur la protection des données (RGPD/GDPR), Larcier, Brüsszel, 1. kiadás, 2018, 409–432. o., 132. lábjegyzet).
(
16
)	Lásd e tekintetben: 2024. március 21‑iCobult ítélet (C‑76/23, EU:C:2024:253, 25. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
17
)	Lásd e tekintetben: 2023. október 5‑iMinisterstvo zdravotnictví (Covid‑19‑mobilalkalmazás) ítélet (C‑659/22, EU:C:2023:745, 27. pont).
(
18
)	Ebner, K., „6. Ausschluss der Informationspflicht”, Weniger ist Mehr? Die Informationspflichten der DS‑GVO – Eine kritische Analyse, Nomos, Baden‑Baden, 2022., 272–298. o., 280. o. E szerző arra is rámutat (281. o.), hogy az adatkezelőnek a tájékoztatási kötelezettség alóli, a GDPR 14. cikke (5) bekezdésének c) pontjában szabályozott esetben történő mentesítése annak eszköze, hogy elkerüljék az információs „fáradtságot” vagy az információs „túlterhelést”; Dix, A., ‘DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden‑ g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)’, in: Simitis, S., Hornung, G., és Spiecker, I., Datenschutzrecht DS‑GVO mit BDSG Großkommentar, Beck München__ 2019., 27. és 28. pont, 27. pont, amely a vonatkozó jogszabályi rendelkezést az adatkezelő által szolgáltatott információk „elégséges alternatívájaként”(hinreichendes Surrogat) említi.
(
19
)	Dix, A., a fenti 18. lábjegyzetben i.m.
(
20
)	Az átláthatósági iránymutatás, 66. pont. Így az adatkezelőknek képesnek kell lenniük annak bizonyítására, hogy a szóban forgó jog hogyan alkalmazandó rájuk, és írja elő számukra a szóban forgó személyes adatok beszerzését vagy közlését.
(
21
)	Lásd a jelen indítvány 16. pontját.
(
22
)	2023. december 7‑iSCHUFA Holding (A fennálló tartozás elengedése) ítélet (C‑26/22 és C‑64/22, EU:C:2023:958, 48. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
23
)	Lásd a fenti 31. pontot.
(
24
)	Lásd a fenti 23. pontot.
(
25
)	Dix, A., in: Simitis, S., Hornung, G. és Spiecker, I., a 18. lábjegyzetben i.m. és Ebner, K., „6. Ausschluss der Informationspflicht”, a 18. lábjegyzetben i.m., 281. o.
(
26
)	2024. január 16‑iÖsterreichische Datenschutzbehörde ítélet (C‑33/22, EU:C:2024:46, 61. pont).
(
27
)	Uo.
(
28
)	Lásd: az átláthatósági iránymutatás 66. pontja.
(
29
)	Uo.
(
30
)	2015. október 6‑iSchrems ítélet (C‑362/14, EU:C:2015:650, 65. pont).
(
31
)	A 95/46 irányelv 25. cikkének (6) bekezdése alapján fogadták el.
(
32
)	Lásd e tekintetben: 2015. október 6‑iSchrems ítélet (C‑362/14, EU:C:2015:650, 62. pont).
(
33
)	Uo., 65. pont.
(
34
)	Ez nem érinti azokat a tájékoztatási jogot érintő korlátozásokat, amelyeket a tagállami vagy uniós jog írhat elő a GDPR 23. cikkében meghatározott okok alapján.
(
35
)	A jelen indítvány 31. pontja.
(
36
)	Lásd a jelen indítvány 27. pontját.
(
37
)	Lásd e tekintetben: Ebner, K., „6. Ausschluss der Informationspflicht”, a 18. lábjegyzetben i.m., 281. o., amely összehasonlítható védelmi szintre („vergleichbares Schutzniveau”) utal; Mester, B.‑A., „DS‑GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der érintett Person erhoben wurden‑ 3. Ausdrückliche Regelung (Abs. 5 lit. c)”, in: Taeger, J. és Gabel, D., DSGVO – BDSG – TTDSG, Beck, München, 2022, 26. pont; Paal, B. és Hennemann, M., „DS‑GVO Arts 14 Informationspflicht, wenn die personenbezogenen Daten nicht SLOder betroffenen Person erhoben wurden – III. Sonstige Regelung (lit. c)”, in: Paal, B. és Pauly, D., Datenschutz‑Grundverordnung Bundesdatenschutzgesetz: DS‑GVO BDSG, Beck, München, 2021, 42. pont.
(
38
)	Mester, B.‑A., in: Taeger, J. és Gabel, D., a 37. lábjegyzetben i.m.
(
39
)	Ebner, K., „6. Ausschluss der Informationspflicht, a 18. lábjegyzetben i.m., 281. o.
(
40
)	A jelen indítvány 43. pontja.
(
41
)	E konkrét rendelkezések tartalmazhatják a GDPR 6. cikkének (3) bekezdésében említett elemeket, többek között az alábbiakat: az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a GDPR IX. fejezetében meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan.