62022CJ0333
A BÍRÓSÁG ÍTÉLETE (ötödik tanács)
2023. november 16. (
*1
)
„Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/680 irányelv – 17. cikk – Az érintett személy jogainak a felügyeleti hatóság közreműködésével történő gyakorlása – Az adatkezelés jogszerűségének ellenőrzése – A 17. cikk (3) bekezdése – Az érintett személy tájékoztatására vonatkozó minimumkövetelmény – Terjedelem – Érvényesség – 53. cikk – A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog – A »jogilag kötelező erejű döntés« fogalma – Az Európai Unió Alapjogi Chartája – A 8. cikk (3) bekezdése – Független hatóság általi felügyelet – 47. cikk – A hatékony bírói jogvédelemhez való jog”
A C‑333/22. sz. ügyben,
az EUMSZ 267. cikk alapján benyújtott előzetes döntéshozatal iránti kérelem tárgyában, amelyet a cour d’appel de Bruxelles (brüsszeli fellebbviteli bíróság, Belgium) a Bírósághoz 2022. május 20‑án érkezett, 2022. május 9‑i határozatával terjesztett elő
a Ligue des droits humains ASBL,
BA
és
az Organe de contrôle de l’information policière
között folyamatban lévő eljárásban,
A BÍRÓSÁG (ötödik tanács),
tagjai: E. Regan tanácselnök, Csehi Z., M. Ilešič, I. Jarukaitis és D. Gratsias (előadó) bírák,
főtanácsnok: L. Medina,
hivatalvezető: M. Siekierzyńska tanácsos,
tekintettel az írásbeli szakaszra és a 2023. március 29‑i tárgyalásra,
figyelembe véve a következők által előterjesztett észrevételeket:
–
a Ligue des droits humains ASBL és BA képviseletében C. Forget avocate,
–
az Organe de contrôle de l’information policière (OCIP) képviseletében J. Bosquet és J.‑F. De Bock advocaten,
–
a belga kormány képviseletében P. Cottin, J.‑C. Halleux, C. Pochet és A. Van Baelen, meghatalmazotti minőségben, segítőik: N. Cariat, C. Fischer, B. Lombaert és J. Simba avocats,
–
a cseh kormány képviseletében O. Serdula, M. Smolek és J. Vláčil, meghatalmazotti minőségben,
–
a francia kormány képviseletében J. Illouz, meghatalmazotti minőségben,
–
az Európai Parlament képviseletében S. Alonso de León, O. Hrstková Šolcová, P. López‑Carceller és M. Thibault, meghatalmazotti minőségben,
–
az Európai Bizottság képviseletében A. Bouchagiar, H. Kranenborg, A.‑C. Simon és F. Wilman, meghatalmazotti minőségben,
a főtanácsnok indítványának a 2023. június 15‑i tárgyaláson történt meghallgatását követően,
meghozta a következő
Ítéletet
1
Az előzetes döntéshozatal iránti kérelem egyrészt az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 8. cikke (3) bekezdésének és 47. cikkének az értelmezésére, másrészt a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv (HL 2016. L 119., 89. o.) 17. cikkének a Charta fent hivatkozott rendelkezései fényében fennálló érvényességére vonatkozik.
2
E kérelmet a Ligue des droits humains ASBL, BA és az Organe de contrôle de l’information policière (rendőrségi információs felügyeleti testület, Belgium, a továbbiakban: OCIP) között, BA‑nak az őt érintő és a belga rendőrség szolgálatai által kezelt személyes adatokra vonatkozó jogainak e testület közreműködésével való gyakorlása tárgyában folyamatban lévő jogvitában terjesztették elő, amely adatok alapján az Autorité nationale de sécurité (nemzeti biztonsági hatóság, Belgium) elutasította az e személy által benyújtott biztonsági tanúsítvány iránti kérelmet.
Jogi háttér
Az uniós jog
3
A 2016/680 irányelv (7), (10), (43), (46), (48), (75), (82), (85) és (86) preambulumbekezdése a következőket mondja ki:
„(7)
A büntetőügyekben folytatott hatékony igazságügyi együttműködés és rendőrségi együttműködés biztosítása érdekében alapvető fontosságú a természetes személyek személyes adatainak következetes és magas szintű védelme, valamint a tagállamok illetékes hatóságai között a személyes adatok cseréjének elősegítése. Ebből a célból az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – érdekében végzett személyesadat‑kezeléssel összefüggésben a természetes személyek jogait és szabadságait minden tagállamban azonos szintű védelemben kell részesíteni. A személyes adatok [európai] Unió egészére kiterjedő hatékony védelme érdekében mind az érintettek jogait, mind a személyes adatok kezelőinek kötelezettségeit megerősíteni szükséges, valamint a tagállamokban a személyes adatok védelmére vonatkozó szabályok betartásának ellenőrzéséhez és biztosításához egyenértékű hatásköröket kell biztosítani.
[…]
(10)
A Lisszaboni Szerződést elfogadó kormányközi konferencia zárónyilatkozatához csatolt, a büntetőügyekben folytatott igazságügyi, valamint a rendőrségi együttműködés területén a személyes adatok védelméről szóló 21. sz. nyilatkozatban a konferencia elismerte, hogy az EUMSZ 16. cikke alapján a büntetőügyekben folytatott igazságügyi együttműködés és a rendőrségi együttműködés területén – e területek sajátos természetéből adódóan – a személyes adatok védelmére és a személyes adatok szabad áramlására vonatkozóan különös szabályok válhatnak szükségessé.
[…]
(43)
Minden természetes személy jogosult arra, hogy hozzáférjen a rá vonatkozóan gyűjtött adatokhoz, valamint ahhoz, hogy e joggal egyszerűen és észszerű időközönként élhessen az adatkezelés jogszerűségének megállapítása és ellenőrzése céljából. […]
(46)
Bármely, az érintett jogaira vonatkozó korlátozásnak meg kell felelnie a Chartának, valamint a [Rómában, 1950. november 4‑én aláírt, az emberi jogok és alapvető szabadságok védelméről szóló európai egyezménynek], a Bíróság, illetve az Emberi Jogok Európai Bíróságának ítélkezési gyakorlata szerinti értelmezésnek megfelelően, és mindenekelőtt tiszteletben kell tartania az említett jogok és szabadságok lényeges tartalmát.
[…]
(48)
Ha az adatkezelő megtagadja az érintettől a tájékoztatáshoz, hozzáféréshez, helyesbítéshez, törléshez, illetve az adatkezelés korlátozásához való jog gyakorlását, az érintett jogosult arra, hogy kérje az adatkezelés jogszerűségének vizsgálatát a nemzeti felügyeleti hatóságtól. […]
[…]
(75)
Ahhoz, hogy a természetes személyek a személyes adataik kezelése tekintetében megfelelő védelemben részesüljenek, elengedhetetlen, hogy a tagállamokban a feladataikat teljes mértékben függetlenül ellátó felügyeleti hatóságok jöjjenek létre. A felügyeleti hatóságok a természetes személyek személyes adataik kezelése tekintetében történő védelmének biztosítása érdekében figyelemmel kísérik ezen irányelv alapján elfogadott rendelkezések alkalmazását, és hozzájárulnak annak az Unió egész területén történő egységes alkalmazásához. […]
[…]
(82)
Annak érdekében, hogy a Bíróság által értelmezett EUMSZ‑nek megfelelően az Unió egészében hatékonyan, megbízhatóan és következetesen nyomon lehessen követni ezen irányelv végrehajtását és az ezen irányelvnek való megfelelést, a felügyeleti hatóságokat a tagállamokban ugyanazokkal a feladatokkal és tényleges hatáskörökkel kell felruházni, ideértve a feladatok elvégzéséhez szükséges vizsgálati, korrekciós és tanácsadási hatáskört. […]
[…]
(85)
Minden érintett jogosult, hogy panaszt tegyen egyetlen felügyeleti hatóságnál, és a Charta 47. cikkével összhangban hatékony bírósági jogorvoslattal éljen, ha az érintett úgy ítéli meg, hogy az ezen irányelv alapján elfogadott rendelkezések értelmében őt megillető jogokat megsértették, vagy ha a felügyeleti hatóság nem jár el valamely panasza alapján, illetve részben vagy egészben elutasítja vagy megalapozatlannak tekinti a panaszát, vagy nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges. […]
(86)
Minden természetes vagy jogi személy számára biztosítani kell, hogy a valamely felügyeleti hatóság által hozott és az említett természetes vagy jogi személyekre nézve jogkövetkezményekkel járó döntéssel szemben hatékony bírósági jogorvoslattal élhessen valamely illetékes tagállami bíróság előtt. Ide tartoznak különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntések. Mindazonáltal ez a jog nem vonatkozik a felügyeleti hatóságok egyéb, jogilag kötelező erővel nem bíró intézkedéseire, például a felügyeleti hatóság által kibocsátott véleményekre vagy általa adott tanácsokra. A felügyeleti hatósággal szembeni eljárást a felügyeleti hatóság székhelye szerinti tagállam bírósága előtt kell megindítani, és az eljárást a tagállami jog szerint kell lefolytatni. Ezek a bíróságok teljes körű joghatósággal rendelkeznek, amely magában foglalja a tárgyalt jogvita szempontjából releváns összes ténybeli és jogi körülmény vizsgálatát”.
4
Ezen irányelv „Tárgy és célok” című 1. cikkének (1) és (2) bekezdése a következőképpen rendelkezik:
„(1)   Ez az irányelv szabályokat állapít meg a természetes személyek védelmére a személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása – így többek között a közbiztonságot fenyegető veszélyekkel szembeni védelem és e veszélyek megelőzése – céljából végzett kezelése tekintetében.
(2)   A tagállamok ezen irányelvvel összhangban:
a)
védik a természetes személyek alapvető jogait és szabadságait, különösen a személyes adatok védelméhez való jogukat, és
b)
biztosítják, hogy a személyes adatok illetékes hatóságok közötti, Unión belüli cseréje – ha e cserét az uniós vagy tagállami jog írja elő – ne legyen korlátozás vagy tiltás tárgya a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmével összefüggő okokból”.
5
Az említett irányelv tartalmazza „Az érintett jogai” című III. fejezetet, amely magában foglalja többek között a 13–17. cikket. „Az érintett rendelkezésére bocsátandó vagy számára nyújtandó információk” címet viselő 13. cikk (1) bekezdésében kimondja a tagállamok annak előírására vonatkozó kötelezettségét, hogy az adatkezelőnek az érintett rendelkezésére kell bocsátania legalább bizonyos információkat, mint amilyenek például az adatkezelő személye és elérhetőségei. E cikk (2) bekezdésében felsorolja ezenfelül azon további információkat, amelyek címzettnek való közlését a tagállamoknak jogszabályban kell előírniuk az adatkezelőnek annak érdekében, hogy az érintett gyakorolni tudja jogait. E cikk (3) és (4) bekezdésében az alábbiakat mondja ki:
„(3)   A tagállamok jogalkotási intézkedéseket fogadhatnak el az érintett (2) bekezdés szerinti tájékoztatásának annyiban és addig történő késleltetésére, korlátozására vagy mellőzésére, amennyiben és ameddig az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül annak érdekében, hogy:
a)
ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;
b)
ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása;
c)
biztosított legyen a közbiztonság védelme;
d)
biztosított legyen a nemzetbiztonság védelme;
e)
biztosított legyen mások jogainak és szabadságainak védelme.
(4)   A tagállamok jogalkotási intézkedéseket fogadhatnak el abból a célból, hogy meghatározzák, mely adatkezelési kategóriák tartozhatnak teljesen vagy részlegesen a (3) bekezdés valamely pontjának hatálya alá.”
6
Ugyanezen irányelvnek „Az érintett hozzáférési joga” című 14. cikke a következőképpen rendelkezik:
„A 15. cikkre is figyelemmel a tagállamok előírják, hogy az érintett jogosult arra, hogy az adatkezelőtől visszajelzést kapjon arra vonatkozóan, hogy személyes adatainak kezelése folyamatban van‑e és ha ilyen adatkezelés folyamatban van, jogosult arra, hogy a személyes adatokhoz és a következő információkhoz hozzáférést kapjon.”
7
A 2016/680 irányelvnek „A hozzáférési jog korlátozása” című 15. cikke értelmében:
„(1)   A tagállamok jogalkotási intézkedéseket fogadhatnak el az érintettek hozzáférési jogának annyiban és addig történő teljes vagy részleges korlátozására, amennyiben és ameddig e részleges vagy teljes korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül annak érdekében, hogy:
a)
ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;
b)
ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása;
c)
biztosított legyen a közbiztonság védelme;
d)
biztosított legyen a nemzetbiztonság védelme;
e)
biztosított legyen mások jogainak és szabadságainak védelme.
(2)   A tagállamok jogalkotási intézkedéseket fogadhatnak el abból a célból, hogy meghatározzák, mely adatkezelési kategóriák tartozhatnak teljesen vagy részlegesen az (1) bekezdés a)–e) pontjának hatálya alá.
(3)   A tagállamok előírják, hogy az (1) és (2) bekezdésben említett esetekben az adatkezelőnek írásban haladéktalanul tájékoztatnia kell az érintettet a hozzáférés megtagadásáról vagy korlátozásáról és a megtagadás vagy korlátozás indokairól. Az ilyen tájékoztatás elhagyható abban az esetben, ha e tájékoztatás nyújtása ellentétes lenne az (1) bekezdésbe foglalt valamelyik céllal. A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell az érintettet a felügyeleti hatósághoz címezhető panasz benyújtásának jogáról, illetve a bírósági jogorvoslat lehetőségéről.
(4)   A tagállamok előírják, hogy az adatkezelőnek nyilván kell tartania a döntés ténybeli vagy jogi indokait. Ezeket az információkat a felügyeleti hatóságok rendelkezésére kell bocsátani”.
8
Ugyanezen irányelvnek „A személyes adatok helyesbítéséhez, törléséhez és kezelésének korlátozásához való jog” című 16. cikkének (1) bekezdése a következőket mondja ki:
„(1)   A tagállamok előírják, hogy az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül helyesbítse a rá vonatkozó pontatlan személyes adatokat. Figyelembe véve az adatok kezelésének célját, a tagállamok előírják, hogy az érintett jogosult arra, hogy kérje a hiányos személyes adatok – egyebek mellett kiegészítő nyilatkozat útján történő – kiegészítését.
(2)   A tagállamok előírják, hogy az adatkezelőnek indokolatlan késedelem nélkül törölnie kell a személyes adatokat, az érintett pedig jogosult arra, hogy kérésére a rá vonatkozó személyes adatokat az adatkezelő indokolatlan késedelem nélkül törölje, ha az adatkezelés sérti a 4., 8. vagy 10. cikk alapján elfogadott rendelkezéseket, vagy ha a személyes adatokat az adatkezelőre vonatkozó jogi kötelezettség teljesítéséhez törölni kell.
(3)   Az adatkezelő törlés helyett korlátozza az adatkezelést, ha:
a)
az érintett vitatja a személyes adatok pontosságát, és azok pontossága vagy pontatlansága nem állapítható meg egyértelműen; vagy
b)
a személyes adatokat bizonyítás céljából meg kell őrizni.
[…]
(4)   A tagállamok előírják, hogy az adatkezelőnek az érintettet írásban tájékoztatnia kell a helyesbítésnek, a törlésnek vagy az adatkezelés korlátozásának a megtagadásáról és a megtagadás indokairól. A tagállamok jogalkotási intézkedéseket fogadhatnak el az ilyen információkra vonatkozó tájékoztatási kötelezettség annyiban történő teljes vagy részleges korlátozására, amennyiben e korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül ahhoz, hogy:
a)
ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé;
b)
ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása;
c)
biztosított legyen a közbiztonság védelme;
d)
biztosított legyen a nemzetbiztonság védelme;
e)
biztosított legyen mások jogainak és szabadságainak védelme.
A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell az érintettet a felügyeleti hatósághoz címezhető panasz benyújtásának jogáról, illetve a bírósági jogorvoslat lehetőségéről.
[…]”
9
A 2016/680 irányelv „Az érintett jogainak gyakorlása és a felügyeleti hatóság általi ellenőrzés” címet viselő 17. cikke értelmében:
„(1)   A 13. cikk (3) bekezdése, a 15. cikk (3) bekezdése és a 16. cikk (4) bekezdése szerinti esetekben a tagállamok olyan rendelkezéseket fogadnak el, amelyek értelmében az érintett jogainak gyakorlására az illetékes felügyeleti hatóság közreműködésével is sor kerülhet.
(2)   A tagállamok előírják, hogy az adatkezelőnek tájékoztatnia kell az érintettet arról, hogy jogait a felügyeleti hatóság közreműködésével is gyakorolhatja az (1) bekezdésnek megfelelően.
(3)   Amennyiben az (1) bekezdés szerinti jog gyakorlására sor kerül, a felügyeleti hatóság az érintettet tájékoztatja legalább arról, hogy minden szükséges ellenőrzést, illetve felülvizsgálatot elvégzett. A felügyeleti hatóság az érintetett a bírósági jogorvoslathoz való jogáról is tájékoztatja.”
10
Ugyanezen irányelv „Függetlenség” címet viselő 42. cikke az (1) bekezdésében a következőket írja elő:
„A tagállamok előírják, hogy felügyeleti hatóságaik az ezen irányelvvel összhangban rájuk ruházott feladatok végzése és hatásköreik gyakorlása során teljesen függetlenül kell, hogy eljárjanak”.
11
A 2016/680 irányelv „Feladatok” címet viselő 46. cikkének (1) bekezdése a következőképpen rendelkezik:
„Valamennyi tagállam rendelkezik arról, hogy a területén felügyeleti hatóság:
a)
nyomon követi és érvényre juttatja az ezen irányelv alapján elfogadott rendelkezések és az azt végrehajtó intézkedések alkalmazását;
[…]
f)
kezeli az érintett […] által […] benyújtott panaszokat, a panasz tárgyát a szükséges mértékben kivizsgálja, továbbá észszerű határidőn belül tájékoztatja a panaszost a vizsgálattal kapcsolatos fejleményekről és eredményekről […];
g)
a 17. cikkel összhangban ellenőrzi az adatkezelés jogszerűségét, valamint észszerű határidőn belül tájékoztatja az érintettet az említett cikk (3) bekezdése szerinti ellenőrzés eredményéről vagy az ellenőrzés elmaradásának okairól;
[…]”
12
Az említett irányelv „Hatáskörök” című 47. cikke értelmében:
„(1)   Valamennyi tagállam jogszabályban írja elő, hogy minden felügyeleti hatóság tényleges vizsgálati hatáskörrel rendelkezik. E hatáskörök magukban foglalják legalább azt, hogy a felügyeleti hatóság hozzáférjen az adatkezelő és az adatfeldolgozó által valamennyi kezelt személyes adathoz és a feladatainak teljesítéséhez szükséges valamennyi információhoz.
(2)   Valamennyi tagállam jogszabályban írja elő, hogy minden felügyeleti hatóság olyan tényleges korrekciós hatáskörökkel rendelkezik, mint például:
a)
az adatkezelő vagy az adatfeldolgozó figyelmeztetése azzal kapcsolatban, hogy a tervezett adatkezelési tevékenységei valószínűleg sértik az ezen irányelv alapján elfogadott rendelkezéseket;
b)
az adatkezelő vagy az adatfeldolgozó utasítása arra, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba ezzel az irányelv alapján elfogadott rendelkezésekkel, különösen a 16. cikkben foglaltaknak megfelelően a személyes adat helyesbítésének vagy törlésének, vagy az adatkezelés korlátozásának elrendelésével;
c)
az adatkezelés átmeneti vagy végleges korlátozásának, többek között tilalmának elrendelése.
[…]
(4)   Az e cikk szerint a felügyeleti hatóságra ruházott hatáskörök gyakorlására megfelelő garanciák mellett kerülhet sor, ideértve az uniós és a tagállami jogban a Chartának megfelelően előírt hatékony bírósági jogorvoslatot és tisztességes eljárást is
[…]”.
13
Az említett irányelvnek „A felügyeleti hatóságnál történő panasztételhez való jog” című 52. cikke az (1) bekezdésében a következőképpen rendelkezik:
„Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül a tagállamok előírják, hogy minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti az ezen irányelv alapján elfogadott rendelkezéseket”.
14
Ugyanezen irányelvnek „A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog” című 53. cikke az (1) bekezdésében a következőképpen rendelkezik:
„Az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül a tagállamok úgy rendelkeznek, hogy minden természetes és jogi személy hatékony bírósági jogorvoslatra jogosult a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben”.
15
A 2016/680 irányelvnek „Az adatkezelővel vagy adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog” című 54. cikke értelmében:
„A rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok – köztük a felügyeleti hatóságnál történő panasztételhez való, 52. cikk szerinti jog – sérelme nélkül, a tagállamok előírják, hogy az érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint, a személyes adatainak az ezen irányelv alapján elfogadott rendelkezésekkel ellentétes kezelése következtében megsértették az e rendelkezések szerinti jogait”.
A belga jog
16
A 2018. július 30‑i loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (a személyes adatok kezelése tekintetében a természetes személyek védelméről szóló törvény; Moniteur belge, 2018. szeptember 5., 68616. o.; a továbbiakban: LPD) ülteti át 2. címében a 2016/680 irányelvet. Az ezen irányelv 13–16. cikkében kimondott jogokat az említett törvény hivatkozott címének III. fejezete, pontosabban 37–39. cikke írja elő.
17
Az LPD 42. cikke a következőképpen rendelkezik:
„Az e fejezetben említett jogok gyakorlására irányuló kérelmet a rendőrségi szolgálatokkal […] vagy a szövetségi rendőrség főfelügyelőségével és a helyi rendőrséggel szemben a 71. cikkben említett felügyeleti hatósághoz kell benyújtani.
A 37. cikk 2. §‑ában, a 38. cikk 2. §‑ában [és] a 39. cikk 4. §‑ában […] említett esetekben a 71. cikkben említett felügyeleti hatóság csak arról tájékoztatja az érintettet, hogy a szükséges ellenőrzéseket elvégezték.
A második bekezdéstől eltérve a 71. cikkben említett felügyeleti hatóság közölhet bizonyos háttér‑információkat az érintett személlyel.
A Király a 71. cikkben említett felügyeleti hatóság véleményének kikérését követően meghatározza az érintett személlyel e hatóság által közölhető háttér‑információk kategóriáit.”
18
A cour d’appel de Bruxelles (brüsszeli fellebbviteli bíróság, Belgium), a kérdést előterjesztő bíróság szerint egyetlen királyi rendeletet sem hoztak az LPD 42. cikke negyedik bekezdésének végrehajtása céljából.
19
Az LPD 71. §‑ának (1) bekezdése szerint:
„A képviselőház mellett létrejön a rendőrségi információk független felügyeleti hatósága, az Organe de contrôle de l’information policière [rendőrségi információs felügyeleti testület, Belgium].
[…]
E testület […] feladata:
1° e cím alkalmazásának felügyelete […];
2° az 1992. augusztus 5‑i loi sur la fonction de police [a rendőrségről szóló törvény] 44/1–44/11/13. cikkében említett információk és személyes adatok, ideértve az ugyanezen törvény 44/2. cikkében említett adatbankokban foglalt adatok kezelésének felügyelete;
3° más törvény által vagy alapján előírt minden más feladat”.
20
Az LPD 5. címének I. fejezete a „Jogsértés megszüntetésére irányuló kereset” címet viseli. Az e fejezetben foglalt 209. cikk szövege a következő:
„Az elsőfokú bíróság elnöke – bármely más bírósági, közigazgatási vagy bíróságon kívüli jogorvoslat sérelme nélkül – ideiglenes intézkedéssel megállapítja a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére vonatkozó törvényi vagy rendeleti rendelkezések megsértését jelentő adatkezelés fennállását, és elrendeli annak megszüntetését.
Az elsőfokú bíróság elnöke ideiglenes intézkedéssel határoz minden olyan kérelemről, amely a személyes adatokhoz való hozzáféréshez való, törvényben vagy törvény alapján biztosított joggal kapcsolatos, valamint minden olyan személyes adat helyesbítésére, törlésére vagy felhasználásának megtiltására irányuló kérelemről, amely pontatlan, vagy az adatkezelés céljára tekintettel hiányos vagy irreleváns, vagy amelynek rögzítése, közlése vagy tárolása tilos, vagy amelynek kezelése ellen az érintett tiltakozott, vagy amelyet a megengedett időtartamot meghaladóan tároltak.”
21
Az LPD 240. cikkének (4) bekezdése értelmében
„[Az OCIP]
4° kezeli a panaszokat, a panasz tárgyát a szükséges mértékben kivizsgálja, és észszerű határidőn belül tájékoztatja a panaszost a vizsgálat fejleményeiről és eredményéről, különösen, ha további vizsgálat vagy másik felügyeleti hatósággal való együttműködés válik szükségessé […]”.
Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
22
2016‑ban BA, aki akkoriban egy nonprofit egyesület részmunkaidőben foglalkoztatott munkavállalója volt, biztonsági tanúsítványért fordult a nemzeti biztonsági hatósághoz, hogy részt vehessen a Brüsszelben (Belgium) tizedik alkalommal megrendezett „Európai Fejlesztési Napok” installációinak felállításában és lebontásában.
23
E hatóság 2016. június 22‑i levelében megtagadta a biztonsági tanúsítvány kiadását azzal az indokkal, hogy a rendelkezésére bocsátott személyes adatokból kitűnik, hogy e személy 2007 és 2016 között tíz demonstráción vett részt, és az alkalmazandó szabályozás értelmében e tényezők nem teszik lehetővé a biztonsági tanúsítvány megadását többek között állambiztonsági, valamint az alkotmányos demokratikus rend fenntarthatóságával kapcsolatos okokból. BA nem támadta meg e határozatot.
24
2020. február 4‑én BA jogi tanácsadója kérte az OCIP‑ot, hogy azonosítsa a személyes adatok vitatott kezeléséért felelős személyeket, és kötelezze őket arra, hogy biztosítsák az ügyfele számára a rá vonatkozó valamennyi információhoz történő hozzáférést, lehetővé téve számára jogainak a megfelelő határidőn belül gyakorlását.
25
2020. február 6‑i elektronikus levelében az OCIP visszaigazolta e kérelem kézhezvételét. Rámutatott, hogy BA csak közvetett hozzáférési joggal rendelkezik ezen adatokhoz, biztosította őt ugyanakkor arról, hogy ellenőrizni fogja BA személyes adatait annak érdekében, hogy garantálja a Banque de données nationale générale‑ban, azaz a nemzeti rendőrségi szolgálatok egésze által használt adatbázisban nyilvántartott adatok esetleges kezelésének jogszerűségét. Az OCIP ezenfelül rámutatott, hogy hatáskörrel rendelkezik arra, hogy szükség esetén a rendőrséget az adatok törlésére vagy módosítására utasítsa, és hogy ezen ellenőrzés befejezését követően tájékoztatni fogja BA‑t a szükséges ellenőrzések elvégzésének tényéről.
26
2020. június 22‑i elektronikus levelében az OCIP a következőket közölte BA tanácsadójával:
„[…]
A[z LPD] 42. cikkével összhangban tájékoztatom, hogy a[z OCIP] elvégezte a szükséges ellenőrzéseket.
Ez azt jelenti, hogy ügyfele személyes adatait ellenőrizték a rendőrségi adatbázisokban az esetleges adatkezelés jogszerűségének biztosítása érdekében.
Szükség esetén a személyes adatokat módosították vagy törölték.
Amint azt a június [2]‑i elektronikus levelemben kifejtettem, az LPD 42. cikke nem teszi lehetővé, hogy az [OCIP] több információt közöljön.”
27
2020. szeptember 2‑án a Ligue des droits humains és BA az LPD 209. cikkének második bekezdése alapján ideiglenes intézkedés iránti kérelmet nyújtott be a tribunal de première instance francophone de Bruxelles (brüsszeli francia nyelvű elsőfokú bíróság, Belgium) előtt.
28
Az alapeljárás felperesei azt kérték először, hogy e bíróság kérelmüket nyilvánítsa elfogadhatónak, másodlagosan pedig, hogy e bíróság terjessze lényegében azt a kérdést a Bíróság elé, hogy a 2016/680 irányelv 47. cikkének (4) bekezdésével, ugyanezen irányelv (85) és (86) preambulumbekezdésének fényében és a Charta 8. cikkének (3) bekezdésével, valamint 47. cikkével összefüggésben értelmezve, ellentétes‑e az LPD 42. és 71. cikke, amennyiben azok nem biztosítanak jogorvoslati lehetőséget az OCIP által hozott határozatokkal szemben.
29
Másodszor, kérelmük érdemi részét tekintve, az alapeljárás felperesei kérték a BA‑ra vonatkozó valamennyi személyes adathoz az OCIP közreműködésével való hozzáférést, továbbá azt kérték, hogy a bíróság kötelezze az OCIP‑ot az adatkezelők és ezen adatok lehetséges címzettjeinek azonosítására.
30
Arra az esetre, ha az eljáró bíróság azt állapítaná meg, hogy az LPD 42. cikkének (2) bekezdése lehetővé teszi a rendőrség szolgálatai által kezelt személyes adatokhoz való hozzáférés rendszeres korlátozását, az alapeljárás felperesei másodlagosan lényegében azon kérdésnek a Bíróság elé terjesztését kérték, hogy a 2016/680 irányelv 14., 15. és 17. cikkét, összefüggésben a Charta 8. és 47. cikkével, valamint 52. cikkének (1) bekezdésével, úgy kell‑e értelmezni, hogy azzal ellentétes az olyan nemzeti szabályozás, amely a személyes adatokhoz való hozzáférés jogától való általános és rendszeres eltérést ír elő, amennyiben egyrészt e jog gyakorlása egy felügyeleti hatóság közreműködésével történik, másrészt e felügyeleti hatóság szorítkozhat az érintett személy arról való tájékoztatására, hogy a hatóság elvégezte a szükséges ellenőrzéseket, anélkül hogy közölné, mely személyes adatok képezik kezelés tárgyát és kik a címzettek, a követett céltól függetlenül.
31
2021. május 17‑i végzésével a tribunal de première instance francophone de Bruxelles (brüsszeli francia nyelvű elsőfokú bíróság) megállapította a hatáskörének hiányát ezen, ideiglenes intézkedés iránti kérelem elbírálása tekintetében.
32
A cour d’appel de Bruxelles (Brüsszeli fellebbviteli bíróság), a kérdést előterjesztő bíróság előtt 2021. június 15‑én benyújtott fellebbezésükkel az alapeljárás felperesei megtámadták e végzést. Fellebbezésükben lényegében fenntartották az elsőfokú eljárásban előterjesztett kérelmeiket.
33
Ezzel összefüggésben a kérdést előterjesztő bíróság kiemeli lényegében különösen azt, hogy amennyiben valamely személy nem jogosult a 2016/680 irányelv által előírt jogainak személyes gyakorlására, az LPD 209. és azt követő cikkeiben előírt, jogsértés megszüntetésére irányuló kereset nem alkalmazható. Ugyanis, először is az ilyen keresetet az adatkezelővel szemben kell megindítani, nem magával a felügyeleti hatósággal szemben. Továbbá ilyen keresetet e személy, a jelen ügyben BA, nem indíthat az adatkezelővel szemben, mivel jogai gyakorlását az említett hatóságra bízták. Végül, az OCIP által adott BA-nak nyújtott különösen tömör tájékoztatás nem teszi lehetővé sem BA, sem a bíróság számára annak értékelését, hogy e felügyeleti hatóság megfelelően gyakorolta‑e az említett személy jogait. A kérdést előterjesztő bíróság hozzáteszi, hogy jóllehet az LPD úgy rendelkezik, hogy e jogsértés megszüntetésére irányuló kereset bármely más bírósági, közigazgatási vagy bíróságon kívüli jogorvoslat sérelme nélkül benyújtható, egy BA által benyújtott bármely más jogorvoslati kérelem ugyanezen akadályokba ütközne.
34
E körülmények között a cour d’appel de Bruxelles (brüsszeli fellebbviteli bíróság) úgy határozott, hogy az felfüggeszti eljárást, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)
[A Charta] 47. cikke és 8. cikkének (3) bekezdése megköveteli‑e, hogy a [z OCIP‑hoz] hasonló független felügyeleti hatósággal szemben bírósági jogorvoslatot kell biztosítani, amennyiben e szerv gyakorolja az érintett jogait az adatkezelővel szemben?
2)
Összhangban van‑e a 2016/680 irányelv 17. cikke [a Chartának] a Bíróság által értelmezett 47. cikkével és 8. cikkének (3) bekezdésével, amennyiben az csupán azt írja elő, hogy a felügyeleti hatóság – amely az érintett jogait gyakorolja az adatkezelővel szemben – tájékoztassa e személyt »arról, hogy elvégezte az összes szükséges ellenőrzést vagy vizsgálatot«, valamint »a bírósági jogorvoslathoz való jogáról«, ugyanakkor az ilyen információk nem teszik lehetővé a felügyeleti hatóságnak az érintett adataira és az adatkezelő kötelezettségeire vonatkozó intézkedésének és értékelésének utólagos felülvizsgálatát?”
Az előzetes döntéshozatalra előterjesztett kérdésekről
Az első kérdésről
35
Először is, az előzetes döntéshozatal iránti kérelemből kitűnik, hogy a kérdést előterjesztő bíróság kérdései a tagállamokat a 2016/680 irányelv 53. cikkének a Charta 47. cikkével összefüggésben értelmezett (1) bekezdése alapján terhelő azon kötelezettség fennállására vonatkoznak, amely szerint hatékony bírósági jogorvoslatot kell biztosítaniuk az illetékes nemzeti felügyeleti hatósággal szemben, amennyiben e szerv gyakorolja az érintett jogait az adatkezelővel szemben azon nemzeti jogi rendelkezés végrehajtása során, amely ezen irányelv 17. cikkét ülteti át a nemzeti jogba, amely cikk szerint a 13. cikk (3) bekezdése, a 15. cikk (3) bekezdése és a 16. cikk (4) bekezdése szerinti esetekben a tagállamok olyan rendelkezéseket fogadnak el, amelyek értelmében az érintett jogainak gyakorlására az illetékes felügyeleti hatóság közreműködésével is sor kerülhet.
36
Ezenkívül meg kell jegyezni, hogy az e kérdésre adandó válasz a felügyeleti hatóságot a 2016/680 irányelv 17. cikke alapján az érintett személy jogai gyakorlásának keretében terhelő feladatok és megillető jogkörök jellegétől és terjedelmétől függ. Márpedig mindezeket az irányelv 46. cikke (1) bekezdésének g) pontja, valamint 47. cikkének (1) és (2) bekezdése határozza meg, és a Charta 8. cikkében (3) bekezdése fényében kell értékelni, amely megköveteli, hogy a személyes adatok védelmére vonatkozó – e 8. cikk (1) és (2) bekezdésében foglalt – szabályok tiszteletben tartását független hatóságnak kell ellenőriznie.
37
Következésképpen az első kérdést úgy kell érteni, hogy azzal a kérdést előterjesztő bíróság lényegében arra keres választ, hogy a 2016/680 irányelv 17. cikkét, ezen irányelv 46. cikke (1) bekezdésének g) pontjával, 47. cikkének (1) és (2) bekezdésével és 53. cikkének (1) bekezdésével, valamint a Charta 8. cikkének (3) bekezdésével és 47. cikkével összefüggésben úgy kell‑e értelmezni, hogy amennyiben valamely személy jogainak gyakorlására az említett 17. cikke alkalmazásában az illetékes felügyeleti hatóság közreműködésével kerül sor, e személy számára biztosítani kell az említett hatósággal szembeni hatékony bírósági jogorvoslatot.
38
Elöljáróban emlékeztetni kell arra, hogy a 2016/680 irányelv 53. cikkének (1) bekezdése értelmében a tagállamoknak úgy kell rendelkezniük, hogy minden természetes és jogi személy hatékony bírósági jogorvoslatra jogosult a felügyeleti hatóság rá vonatkozó, jogilag kötelező erejű döntésével szemben.
39
Azt kell meghatározni tehát, hogy egy felügyeleti hatóság ilyen döntést hoz‑e akkor, amikor ezen irányelv 17. cikkének alkalmazásában az érintett személyek ezen irányelvben kimondott jogainak gyakorlására e felügyeleti hatóság közreműködésével kerül sor.
40
E tekintetben meg kell jegyezni, hogy a 2016/680 irányelv 17. cikkének (1) bekezdése szerint „a 13. cikk (3) bekezdése, a 15. cikk (3) bekezdése és a 16. cikk (4) bekezdése szerinti esetekben” a tagállamoknak olyan rendelkezéseket kell elfogadniuk, „amelyek értelmében az érintett jogainak gyakorlására az illetékes felügyeleti hatóság közreműködésével is sor kerülhet”.
41
Amint azt az „is” szó használata mutatja, és amint azt lényegében a főtanácsnok is kiemelte indítványának 41. és 42. pontjában, az érintett személy jogainak a felügyeleti hatóság közreműködésével történő, e rendelkezésben előírt közvetett gyakorlása további garanciát nyújt e személy számára a tekintetben, hogy adatait jogszerűen kezelik, amikor nemzeti jogszabályi rendelkezések a 2016/680 irányelv 13. cikkének (2) bekezdése szerinti azon jognak, hogy az érintett az adatkezelőtől további tájékoztatást kapjon, az ezen irányelv 14. cikkében foglalt, az ezen adatokhoz való hozzáférésre vonatkozó jognak, vagy az ezen adatok helyesbítésére, törlésére vagy kezelésének korlátozására vonatkozó, az említett irányelv 16. cikkének (1)–(3) bekezdésében kimondott jognak korlátozzák a közvetlen gyakorlását.
42
Ugyanis, tekintettel azon célok speciális jellegére, amelyek miatt az ezen irányelv hatálya alá tartozó adatkezelésekre egyáltalán sor kerül, és amelyeket különösen ezen irányelv (10) preambulumbekezdése emel ki, a 2016/680 irányelv 13. cikkének (3) bekezdése és 15. cikkének (1) bekezdése felhatalmazza a nemzeti jogalkotót arra, hogy korlátozza egyrészt a tájékoztatáshoz való jog, másrészt a hozzáféréshez való jog közvetlen gyakorlását, „amennyiben és ameddig az említett intézkedés – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül, annak érdekében, hogy „ne gördüljenek akadályok a hivatalos vagy jogi vizsgálatok, nyomozások vagy eljárások elé”; „ne szenvedjen sérelmet a bűncselekmények megelőzése, felderítése, nyomozása vagy a vádeljárás lefolytatása, illetve a büntetőjogi szankciók végrehajtása”; „biztosított legyen a közbiztonság védelme”; és „biztosított legyen a nemzetbiztonság védelme”. Ezenkívül ugyanezen irányelv 15. cikkének (3) bekezdése akként rendelkezik, hogy az adatkezelő eltekinthet az érintett személynek a hozzáférés bármely megtagadásáról vagy korlátozásáról való tájékoztatásáról abban az esetben, ha e tájékoztatás nyújtása ellentétes lenne a fent hivatkozott valamelyik céllal.
43
Ehhez hasonlóan az említett irányelv 16. cikkének (4) bekezdése felhatalmazza a nemzeti jogalkotót arra, hogy ugyanezen közérdekű okokból korlátozza az adatkezelő kötelezettségét, amely szerint „az érintettet írásban tájékoztatnia kell a helyesbítésnek, a törlésnek vagy az adatkezelés korlátozásának a megtagadásáról és a megtagadás indokairól”, amennyiben e korlátozás – kellő tekintettel az érintett természetes személy alapvető jogaira és jogos érdekeire – egy demokratikus társadalomban szükséges és arányos intézkedésnek minősül”.
44
Tehát ennek keretében, amint az ugyanezen irányelv (48) preambulumbekezdéséből is kitűnik, a jelen ítélet 41. pontjában említett jogok illetékes felügyeleti hatóság közreműködésével történő közvetett gyakorlását az e jogok védelméhez szükségesnek kell tekinteni, amennyiben e jogoknak az adatkezelőnél történő közvetlen gyakorlása nehéznek vagy akár lehetetlennek bizonyul.
45
E célból ezen irányelv 46. cikke (1) bekezdésének g) pontja megköveteli azon feladatnak a nemzeti hatóság számára történő előírását, hogy a 2016/680 irányelv 17. cikkével összhangban, azaz ezen utóbbi rendelkezés alapján benyújtott kérelmet követően ellenőrizze az adatkezelés jogszerűségét.
46
Egyébiránt különösen az említett irányelv 47. cikkének (1) és (2) bekezdéséből az következik, hogy minden felügyeleti hatóságnak rendelkeznie kell a nemzeti jogszabályok értelmében nemcsak „tényleges vizsgálati hatáskörrel”, hanem „tényleges korrekciós hatáskörökkel” is.
47
E rendelkezéseket a Charta 8. cikkének (3) bekezdésében foglalt, azon követelmény fényében kell értelmezni, amely szerint a személyes adatok mindenkit megillető védelmére vonatkozó, e cikk (1) és (2) bekezdésében foglalt szabályok – köztük az e cikk említett (2) bekezdésének első mondatában foglalt azon szabály, amely szerint „[m]indenkinek joga van ahhoz, hogy a róla gyűjtött adatokat megismerje, és joga van azokat kijavíttatni” – tiszteletben tartását független hatóságnak kell ellenőriznie. Ugyanis, amint azt az állandó ítélkezési gyakorlata megerősíti, a független felügyeleti hatóság létrehozásának célja a személyes adatok kezelése vonatkozásában a természetes személyek védelmére vonatkozó rendelkezések tiszteletben tartása ellenőrzése hatékonyságának és megbízhatóságának biztosítása, és e függetlenséget e célkitűzés fényében kell értelmezni (lásd ebben az értelemben: 2017. július 26‑i 1/15 (EU–Kanada PNR‑megállapodás) vélemény (EU:C:2017:592, 229. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
48
Tehát amikor egy ilyen felügyeleti hatóság az érintett személy jogai gyakorlásának biztosítása érdekében a 2016/680 irányelv 17. cikke alapján jár el, feladata teljes egészében illeszkedik szerepének az elsődleges uniós jog által adott meghatározásába, mivel e meghatározás magában foglalja többek között az érintett személy hozzáféréshez és helyesbítéshez való joga tiszteletben tartásának ellenőrzését. Következésképpen e speciális feladat teljesítése során, minden más feladat teljesítéséhez hasonlóan, a felügyeleti hatóságnak módjában kell, hogy álljon az ezen irányelv 47. cikke alapján ráruházott hatásköröknek a gyakorlása, amelynek során a Chartával összhangban teljes mértékben függetlenül jár el, amint azt az említett irányelv (75) preambulumbekezdése kimondja.
49
Ezenkívül az adatkezelés jogszerűségének ellenőrzését követően az illetékes felügyeleti hatóságnak ugyanezen irányelv 17. cikke (3) bekezdésének első mondata értelmében az érintettet tájékoztatnia kell „legalább” arról, hogy „minden szükséges ellenőrzést, illetve felülvizsgálatot elvégzett”.
50
Amint azt lényegében a főtanácsnok kiemelte indítványának 65. pontjában, e rendelkezések összességéből azt a következtetést kell levonni, hogy amikor az illetékes felügyeleti hatóság tájékoztatja az érintettet az általa elvégzett ellenőrzés eredményéről, e személy tudomására hozza azt a döntést, amelyet őt illetően az ellenőrzési folyamat lezárásaként hozott, amely döntés szükségképpen hatást gyakorol e személy jogi helyzetére. E döntés e személy tekintetében tehát „jogilag kötelező erejű döntésnek” minősül a 2016/680 irányelv 53. cikkének (1) bekezdése értelmében, függetlenül attól, hogy e hatóság megállapította‑e az e személyt érintő adatkezelés jogellenességét, és ha igen, milyen mértékben, és hozott‑e korrekciós intézkedéseket.
51
Egyébiránt ezen irányelv (86) preambulumbekezdése kimondja, hogy a „jogilag kötelező erejű döntés” ezen irányelv értelmében vett fogalma alatt „az említett természetes vagy jogi személyekre nézve jogkövetkezményekkel járó döntést” kell érteni, különösen a felügyeleti hatóság vizsgálati, korrekciós és engedélyezési hatásköreinek gyakorlására, illetve a panaszok megalapozatlannak tekintésére vagy elutasítására vonatkozó döntéseket.
52
Következésképpen az érintett személy számára a 2016/680 irányelv 53. cikkének (1) bekezdése alapján biztosítani kell az ilyen döntés megalapozottságának bírósági felülvizsgálatát, különösen annak felülvizsgálatát, hogy a felügyeleti hatóság miként tett eleget az ezen irányelv 17. cikkéből eredő kötelezettségének, amelyre az említett irányelv 46. cikke (1) bekezdésének g) pontja utal, és amely szerint e hatóság „a 17. cikkel összhangban ellenőrzi az adatkezelés jogszerűségét, valamint észszerű határidőn belül tájékozatja az érintettet az említett cikk (3) bekezdése szerinti ellenőrzés eredményéről vagy az ellenőrzés elmaradásának okairól”.
53
Ezt a megállapítást végeredményben alátámasztja a 2016/680 irányelv (85) preambulumbekezdése, amelyből az következik, hogy minden érintett jogosult arra, hogy egyetlen felügyeleti hatóságnál hatékony bírósági jogorvoslattal éljen, ha a felügyeleti hatóság „nem jár el olyan esetben, amikor fellépése az érintett jogainak védelmében szükséges”.
54
Végül, ez az értelmezés összhangban áll a Charta 47. cikkével, mivel, amint az az ítélkezési gyakorlatból kitűnik, ez a jog minden olyan személyt megillet, aki az uniós jog által részére biztosított jogokra vagy szabadságokra hivatkozik az őt hátrányosan érintő, e jogokat vagy szabadságokat sértő határozattal szemben (lásd ebben az értelemben: 2023. január 26‑iMinisterstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 87. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
55
A fenti megfontolások összességének fényében az első kérdésre azt a választ kell adni, hogy a 2016/680 irányelv 17. cikkét, ezen irányelv 46. cikke (1) bekezdésének g) pontjával, 47. cikkének (1) és (2) bekezdésével és 53. cikkének (1) bekezdésével, valamint a Charta 8. cikkének (3) bekezdésével és 47. cikkével összefüggésben úgy kell‑e értelmezni, hogy amennyiben valamely személy jogainak gyakorlására az említett 17. cikk alkalmazásában az illetékes felügyeleti hatóság közreműködésével kerül sor, és e hatóság tájékoztatja az említett személyt az elvégzett ellenőrzések eredményéről, e személy számára biztosítani kell az említett hatóságnak az ellenőrzési eljárást lezáró döntésével szembeni hatékony bírósági jogorvoslatot.
A második kérdésről
56
Második kérdésével a kérdést előterjesztő bíróság lényegében arra keres választ, hogy érvényes‑e a 2016/680 irányelv 17. cikkének (3) bekezdése a Charta 8. cikke (3) bekezdésére és 47. cikkére tekintettel, amennyiben csupán azt írja elő, hogy a felügyeleti hatóságnak tájékoztatnia kell az érintett személyt egyrészt arról, hogy elvégezte az összes szükséges ellenőrzést vagy vizsgálatot, másrészt arról, hogy e személyt megilleti a bírósági jogorvoslathoz való jog, ugyanakkor e tájékoztatás nem teszi lehetővé a felügyeleti hatóság kezelt adatokra és az adatkezelő kötelezettségeire vonatkozó intézkedésének és értékelésének bírósági felülvizsgálatát.
57
E tekintetben egyrészt emlékeztetni kell arra, hogy egy általános értelmezési elv szerint valamely uniós jogi aktust – amennyiben lehetséges – úgy kell értelmezni, hogy ne váljon kérdésessé annak érvényessége, és hogy megfeleljen az elsődleges jog egészének, különösen a Charta rendelkezéseinek. Ily módon, ha a másodlagos uniós jogszabály szövege többféleképpen értelmezhető, azt az értelmezést kell előnyben részesíteni, amelynek alapján a rendelkezés összeegyeztethető az elsődleges joggal, szemben azzal, amely az azzal való összeegyeztethetetlenség megállapításához vezetne (2022. június 21‑iLigue des droits humains ítélet, C‑817/19, EU:C:2022:491, 86. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
58
Másrészt a Charta 47. cikkében biztosított bírósági jogorvoslat hatékonysága főszabály szerint megköveteli, hogy az érintett megismerhesse a rá vonatkozóan hozott határozat alapjául szolgáló indokokat annak érdekében, hogy lehetővé tegye számára jogainak lehető legjobb feltételek mellett történő védelmét, és az ügy teljes ismeretében annak eldöntését, hogy hasznos‑e az illetékes bírósághoz fordulni, valamint ahhoz, hogy utóbbinak teljes mértékben lehetővé tegye a szóban forgó nemzeti határozat jogszerűségére vonatkozó felülvizsgálat gyakorlását (lásd ebben az értelemben: 2013. június 4‑iZZ ítélet, C‑300/11, EU:C:2013:363, 53. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
59
Noha e jog nem jelent korlátlan jogosultságot, és az a Charta 52. cikke (1) bekezdésének megfelelően korlátozható, ennek az a feltétele, hogy először is, azt törvény írja elő, másodszor, arra a szóban forgó jogok és szabadságok lényeges tartalmának tiszteletben tartásával kerül sor, harmadszor pedig, az arányosság elvére figyelemmel e korlátozás elengedhetetlen és ténylegesen az Unió által elismert általános érdekű célkitűzéseket vagy mások jogainak és szabadságainak védelmét szolgálja (2023. január 26‑iMinisterstvo na vatreshnite raboti [A biometrikus és genetikai adatok rendőrség általi nyilvántartásba vétele] ítélet, C‑205/21, EU:C:2023:49, 89. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
60
A jelen ügyben ki kell emelni, hogy ami az illetékes felügyeleti hatóságnak a jelen ítélet 50. pontjában meghatározott döntését illeti, a 2016/680 irányelv 17. cikkének (3) bekezdése e felügyeleti hatóságra tájékoztatási minimálkövetelményt ró annak előírásával, hogy az érintettet tájékoztatnia kell „legalább arról, hogy minden szükséges ellenőrzést, illetve felülvizsgálatot elvégzett”, valamint „a bírósági jogorvoslathoz való jogáról”.
61
Következésképpen, mivel e rendelkezéssel nem ellentétes, hogy bizonyos esetekben, a nemzeti jogalkotó által ennek végrehajtása céljából elfogadott szabályokkal összhangban, a felügyeleti hatóságnak lehetősége vagy akár kötelezettsége álljon fenn a tekintetben, hogy a jelen ítélet előző pontjában említett minimális információkra szorítkozzon, további pontosítás nélkül, különösen amikor e szabályok az említett irányelv 13. cikkének (3) bekezdésében, 15. cikkének (1) bekezdésében és 16. cikkének (4) bekezdésében foglalt közérdekű célok veszélyeztetésének elkerülésére irányulnak, amint azokat a jelen ítélet 42. és 43. pontja bemutatja, e rendelkezés vezethet a hatékony bírósági jogorvoslathoz való, a Charta 47. cikkében biztosított jog korlátozásához.
62
Mindemellett először is meg kell állapítani, hogy a 2016/680 irányelv kifejezetten rendelkezik ilyen korlátozásról, és ezzel teljesíti a Charta 52. cikkének (1) bekezdésében kimondott feltételt, amely szerint az alapjogok gyakorlása csak „törvény által” korlátozható.
63
Másodszor, az, hogy a 2016/680 irányelv 17. cikkének (3) bekezdése lehetővé teszi a tagállamok számára, hogy e döntések indokolását bizonyos esetekben az e rendelkezésben foglalt minimális információkra korlátozza, nem jelenti azt, amint arra rámutat lényegében a főtanácsnok indítványának 89. pontjában, hogy az érintett személy tájékoztatását minden körülmények között e tényezőkre kell korlátozni.
64
E rendelkezést ugyanis a Charta 52. cikke (1) bekezdésének fényében kell értelmezni, úgy, hogy az abban meghatározott többi kritérium teljesüljön. Mindebből megállapítható, hogy e rendelkezés a tagállamok számára annak biztosítását írja elő, hogy az ezt végrehajtó nemzeti jogi rendelkezések egyrészt tiszteletben tartják hatékony bírói jogvédelemhez való jogának lényeges tartalmát, másrészt az e tájékoztatás korlátozását igazoló közérdekek és e személy alapvető jogainak és jogos érdekeinek objektív, a szükségesség és arányosság elvét tiszteletben tartó mérlegelésén alapulnak, hasonlóan ahhoz a mérlegeléshez, amelyet a nemzeti jogalkotónak kell elvégeznie az ugyanezen irányelv 13. cikkének (3) bekezdésében, 15. cikkének (3) bekezdésében és 16. cikkének (4) bekezdésében előírt korlátozások végrehajtása során.
65
A tagállamoknak különösen akkor kell előírniuk, hogy az érintett személy tájékoztatása meghaladhatja az ezen irányelv 17. cikkének (3) bekezdésében előírt minimális információkat, lehetővé téve a számára jogainak lehető legjobb feltételek mellett történő védelmét, és az ügy teljes ismeretében annak eldöntését, hogy hasznos‑e az illetékes bírósághoz fordulni, amikor egyrészt az érintett személynek az ellenőrzési eljárást lezáró döntéssel szembeni hatékony bírósági jogorvoslathoz való jogának védelme azt megköveteli, másrészt az a 2016/680 irányelv 13. cikkének (3) bekezdésében, 15. cikkének (3) bekezdésében és 16. cikkének (4) bekezdésében előírt közérdekű célokkal nem ellentétes.
66
Ehhez hasonló módon az említett irányelv e rendelkezését végrehajtó nemzeti intézkedéseknek az illetékes hatóság számára, azon függetlenséggel összhangban, amely őt a Charta 8. cikkének (3) bekezdésének megfelelően jellemzi, lehetőség szerint bizonyos mozgásteret kell biztosítaniuk annak meghatározása céljából, hogy a nemzeti jogszabályok által a jelen ítélet 65. pontjában kiemelt követelményekkel összhangban létrehozott kerettel nem ellentétes‑e, hogy az illetékes hatóság e személlyel legalább tömören közölje az ellenőrzések eredményeit, valamint adott esetben az általa hozott korrekciós intézkedéseket. E tekintetben, amint arra a főtanácsnok lényegében rámutatott indítványának 73. és 74. pontjában, e hatóságnak a nemzeti jogszabályi kereten belül bizalmas párbeszédet kell folytatnia az adatkezelővel, és e párbeszédet követően el kell döntenie, hogy melyek azok, az érintett személy hatékony bírósági jogorvoslathoz való jogának gyakorlásához szükséges információk, amelyeket közölhet a jelen ítélet 65. pontjában említett közérdekű célok veszélyeztetése nélkül.
67
Egyébiránt olyan esetekben, ha az említett jogszabályi keret értelmében a felügyeleti hatóságnak a 2016/680 irányelv 17. cikkének (3) bekezdésében foglaltakra kell korlátoznia az általa nyújtott tájékoztatást, a tagállamoknak mindazonáltal, eljárási autonómiájuk keretében, meg kell tenniük a szükséges intézkedéseket – ezen irányelv 53. cikkének (1) bekezdésével összhangban – a hatékony bírósági felülvizsgálat biztosítására mind az ezen információk korlátozását igazoló okok fennállására és megalapozottságára, mind arra vonatkozóan, hogy az adatkezelés jogszerűségének ellenőrzésére vonatkozó feladatát a felügyeleti hatóság megfelelő módon teljesítette. E tekintetben a „hatékony bírósági jogorvoslat” ezen utóbbi rendelkezésben említett fogalmát az említett irányelv (86) preambulumbekezdésének fényében kell értelmezni, amely úgy szól, hogy azon bíróságok, amelyek előtt a felügyeleti hatósággal szemben eljárást indítottak, „teljes körű joghatósággal rendelkeznek, amely magában foglalja a tárgyalt jogvita szempontjából releváns összes ténybeli és jogi körülmény vizsgálatát”.
68
Közelebbről a tagállamoknak gondoskodniuk kell arról, hogy az illetékes bíróság az eljárásjog olyan technikáival és szabályaival rendelkezzen – és azokat alkalmazza –, amelyek lehetővé teszik egyrészről a 2016/680 irányelv 13. cikkének (3) bekezdésében, 15. cikkének (3) bekezdésében és 16. cikkének (4) bekezdésében említett közérdekű célokra – amely célokat a nemzeti jogalkotó figyelembe vette az érintett személynek nyújtott információk korlátozása céljából – vonatkozó jogszerű megfontolások, másfelől pedig azon szükséglet összehangolását, hogy a jogalanynak kellően biztosítsák eljárási jogai – mint a meghallgatáshoz való jog és a kontradiktórius eljárás elve – tiszteletben tartását (lásd ebben az értelemben: 2013. június 4‑iZZ ítélet, C‑300/11, EU:C:2013:363, 57. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
69
Az ezen irányelv 17. cikke megfelelő alkalmazásának bírósági felülvizsgálata keretében a tagállamok feladata olyan szabályok előírása, amelyek lehetővé teszik az illetékes bíróság számára, hogy megismerje mind azon okok és ezekkel kapcsolatos bizonyítékok összességének megismerését, amelyek alapján e hatóság ennek keretében a szóban forgó adatkezelés jogszerűségét ellenőrizte, mind azon következtetéseket, amelyeket azokból levont (lásd ebben az értelemben: 2013. június 4‑iZZ ítélet, C‑300/11, EU:C:2013:363, 59. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
70
E tekintetben, amint arra az Európai Parlament észrevételeiben rámutatott, a 2016/680 irányelv 15. cikkének (4) bekezdése szerint az adatkezelőnek nyilván kell tartania azon döntés ténybeli vagy jogi indokait, amely az érintett személy hozzáférési jogát részben vagy teljes egészében korlátozza, és ezeket az információkat a felügyeleti hatóságok rendelkezésére kell bocsátania. Amint arra ezen intézmény rámutatott, e rendelkezés, ezen irányelv 17. és 53. cikkével összefüggésben, valamint a Chartának a jelen ítélet 68. és 69. pontjában felidézett ítélkezési gyakorlat által értelmezett 47. cikkének fényében azt írja elő, hogy ezen információkat a felügyeleti hatósággal szemben, az említett 17. cikk megfelelő alkalmazásának ellenőrzése iránt benyújtott jogorvoslati kérelem tárgyában eljáró bíróságnak is a rendelkezésére kell bocsátani.
71
Ekként a jelen ítélet 63‑70. pontjából az következik, hogy a 2016/680 irányelv 17. cikkében előírt korlátozás tiszteletben tartja az érintett személynek a felügyeleti hatóság e rendelkezés szerinti eljárást lezáró döntésével szembeni hatékony bírósági jogorvoslathoz való jogának tartalmát, valamint, a Charta 52. cikkének (1) bekezdésével összhangban, a szükségesség és az arányosság elvét.
72
A fenti megfontolásokra tekintettel meg kell állapítani, hogy a második kérdés vizsgálata nem tárt fel egyetlen olyan tényezőt sem, amely a 2016/680 irányelv 17. cikke (3) bekezdésének érvényességét érinthetné.
A költségekről
73
Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.
A fenti indokok alapján a Bíróság (ötödik tanács) a következőképpen határozott:
1)
A személyes adatoknak az illetékes hatóságok által a bűncselekmények megelőzése, nyomozása, felderítése, a vádeljárás lefolytatása vagy büntetőjogi szankciók végrehajtása céljából végzett kezelése tekintetében a természetes személyek védelméről és az ilyen adatok szabad áramlásáról, valamint a 2008/977/IB tanácsi kerethatározat hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/680 európai parlamenti és tanácsi irányelv 17. cikkét, ezen irányelv 46. cikke (1) bekezdésének g) pontjával, 47. cikkének (1) és (2) bekezdésével és 53. cikkének (1) bekezdésével, valamint az Európai Unió Alapjogi Chartája 8. cikkének (3) bekezdésével és 47. cikkével összefüggésben
a következőképpen kell értelmezni:
amennyiben valamely személy jogainak gyakorlására az említett 17. cikk alkalmazásában az illetékes felügyeleti hatóság közreműködésével kerül sor, és e hatóság tájékoztatja az említett személyt az elvégzett ellenőrzések eredményéről, e személy számára biztosítani kell az említett hatóságnak az ellenőrzési eljárást lezáró döntésével szembeni hatékony bírósági jogorvoslatot.
2)
A második kérdés vizsgálata nem tárt fel egyetlen olyan tényezőt sem, amely a 2016/680 irányelv 17. cikke (3) bekezdésének érvényességét érinthetné.
Aláírások
(
*1
)	Az eljárás nyelve: francia.