Ideiglenes változat
RIMVYDAS NORKUS
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2026. április 16.(1)
C‑205/25. sz. ügy
Joachim Lindenberg
kontra
Bayerisches Landesamt für Datenschutzaufsicht
(a Bayerisches Verwaltungsgericht Ansbach [ansbachi bajor közigazgatási bíróság, Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
„ Előzetes döntéshozatal – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – (EU) 2016/679 rendelet – 15. cikk – Az érintettnek a személyes adataihoz való hozzáférés iránti kérelme – 77. cikk – A panaszeljárás keretében eljáró felügyeleti hatóság ügyirataiban szereplő adatok – A 4. cikk 7. pontja – Az »adatkezelő« fogalma – 23. cikk – A hozzáférési jogra vonatkozó korlátozások – A ügyiratokhoz való hozzáférést teljes mértékben kizáró nemzeti szabályozás ”
I.      Bevezetés
1.        A Bayerisches Verwaltungsgericht Ansbach (ansbachi bajor közigazgatási bíróság, Németország) által az EUMSZ 267. cikk alapján előterjesztett jelen előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet)(2) (a továbbiakban: GDPR) 4. cikke 7. és 21. pontjának, valamint 15., 23. és 77. cikkének az értelmezésére vonatkozik.
2.        Ez az előzetes döntéshozatal iránti kérelem egy adatvédelemre szakosodott újságíró,
Joachim Lindenberg és a Bayerisches Landesamt für Datenschutzaufsicht (bajorországi adatvédelmi felügyeleti hivatal, Németország, a továbbiakban: Landesamt) között folyamatban lévő jogvita keretébe illeszkedik, amelynek tárgya, hogy e hatóság megtagadta, hogy a GDPR 15. cikke alapján teljes körű hozzáférést biztosítson J. Lindenberg számára az utóbbi által egy harmadik féllel szemben benyújtott panasz alapján indított eljárás ügyirataihoz. A Landesamt az elutasítást egy bajor rendelkezéssel indokolta, amely kizárja a felügyeleti hatóságok ügyirataihoz való nyilvános hozzáférést. A J. Lindenberg által benyújtott keresetet követően a hatóság végül elektronikus úton hozzáférést biztosított az ügyiratokhoz anélkül, hogy elismerte volna a téves jogalkalmazást, míg a felperes továbbra is kéri az eredeti elutasítás jogellenességének megállapítását. Mivel a kérdést előterjesztő bíróság úgy ítélte meg, hogy a jogvita megoldása a GDPR vonatkozó rendelkezéseinek értelmezését, valamint a bajor szabályozás uniós joggal való összeegyeztethetőségének vizsgálatát feltételezi, úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából két kérdést terjeszt a Bíróság elé.
3.        A Bíróságnak arról kell határoznia, hogy egy adatvédelmi felügyeleti hatóság a GDPR 77. cikke alapján indított panaszeljárás keretében a GDPR 4. cikkének 7. pontja értelmében vett „adatkezelőnek” minősülhet‑e, és hogy e hatóság milyen mértékben köteles megfelelni a GDPR 15. cikkében előírt hozzáférési kötelezettségeknek. A Bíróságot többek között annak vizsgálatára kérik fel, hogy az uniós joggal ellentétes‑e az olyan nemzeti szabályozás, amely teljes mértékben kizárja az érintetteket megillető, az ügyiratokhoz való hozzáférési jogot. Ezt az értékelést a GDPR 23. cikkének fényében kell elvégezni, amely bizonyos közérdekű indokok alapján lehetővé teszi az e rendeletben előírt hozzáférési kötelezettségek korlátozását, valamint az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 8. cikkének (2) bekezdése fényében, amely mindenki számára biztosítja a rá vonatkozóan gyűjtött adatokhoz való hozzáféréshez való jogot. E tekintetben a Bíróságnak mérlegelnie kell egyrészt a közigazgatási szervek eljárásai átláthatóságának követelményét, másrészt pedig az adatvédelmi vizsgálatok hatékonysága biztosításának szükségességét.
II.    Jogi háttér
A.      Az uniós jog
4.        A jelen ügy keretében a Charta 8. és 52. cikke, az EUMSZ 16. cikk, valamint a GDPR 4. cikkének 1., 2., 7. és 9. pontja, továbbá 5., 15., 23., 51., 57., 58. és 77. cikke releváns.
B.      A német jog
5.        A Bayerisches Datenschutzgesetz (az adatvédelemről szóló bajor törvény, a továbbiakban: BayDSG) 18. cikke értelmében a Landesamt a nem állami szervezetek tekintetében hatáskörrel rendelkező felügyeleti hatóság.
6.        A BayDSG 20. cikke a következőket írja elő:
„(1) Bárki a felügyeleti hatóságokhoz fordulhat azzal az állítással, hogy személyes adatainak kezelése során megsértették a jogait. Az érintettet nem érheti hátrány a felügyeleti hatóságokhoz fordulás miatt.
(2)      A felügyeleti hatóságok ügyiratai és fájljai tekintetében nem áll fenn hozzáférési vagy betekintési jog”.
7.        A BayDSG 20. cikkének (2) bekezdéséhez fűzött indokolásban az szerepel, hogy e rendelkezés minden olyan esetben alkalmazandó, és kizárja a GDPR 15. cikke szerinti hozzáférési jogot, amikor e jogot a Landesamttal szemben érvényesítik annak ügyiratai és fájljai tekintetében.
III. Az alapeljárás tényállása, az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések
8.        J. Lindenberg újságíró, és blogot vezet, amely többek között az adatvédelemmel foglalkozik. 2021 óta több panaszeljárást is indított a Landesamtnál.
9.        Miután J. Lindenberg 2022. május 13‑án adatvédelmi panaszt nyújtott be a Landesamthoz, a Landesamt felügyeleti panaszeljárást indított egy harmadik féllel szemben. 2022. október 11‑i elektronikus levelében a Landesamt arról tájékoztatta J. Lindenberget, hogy ezzel összefüggésben azt állapította meg, hogy a panaszeljárásban ellenérdekű fél adatvédelmi jogsértéseket követett el. A Landesamt hozzátette, hogy a jogsértések megszüntetésére szabott határidő lejártát követően a panaszeljárásban ellenérdekű fél általi újbóli jogsértések esetén fizetési kötelezettséggel járó figyelmeztetésben fogja részesíteni az ellenérdekű felet. Ugyanaznap megküldött elektronikus levelében J. Lindenberg további részletek közlését kérte a Landesamt által tett intézkedésekről. Miután a Landesamt nem tett eleget e kérésnek, 2022. október 11‑i elektronikus levelében J. Lindenberg teljes hozzáférést kért a GDPR 15. cikkének (1) és (3) bekezdése alapján.
10.      2022. október 20‑i elektronikus levelében és határozatában a Landesamt elutasította a GDPR 15. cikkének (1) és (3) bekezdése szerinti hozzáférés iránti kérelmet. Az elutasítást azzal indokolta, hogy a BayDSG 20. cikkének (2) bekezdésében foglalt kifejezett rendelkezés szerint a felügyeleti hatóságok ügyiratai és fájljai tekintetében nem áll fenn hozzáférési vagy betekintési jog.
11.      J. Lindenberg keresetet indított e határozattal szemben a Bayerisches Verwaltungsgericht Ansbach (ansbachi bajor közigazgatási bíróság) előtt, és azt kérte, hogy e bíróság kötelezze a Landesamtot arra, hogy az bocsássa rendelkezésére a 2022. május 13‑án indított panaszeljárás ügyirataiban szereplő összes adat másolatát.
12.      2024. február 23‑án a Landesamt – mindazonáltal a vonatkozó jogi kötelezettség elismerése nélkül – elektronikus úton betekintést biztosított a J. Lindenberg által kezdeményezett panaszeljárás ügyirataiba.
13.      J. Lindenberg immár kizárólag annak megállapítását kéri, hogy jogellenes volt a 2022. október 20‑i határozat, amellyel a Landesamt elutasította a hozzáférés iránti kérelmét.
14.      A kérdést előterjesztő bíróság rámutat arra, hogy ha egy panaszos – mint J. Lindenberg – panaszeljárást indít a GDPR 77. cikke alapján valamely adatvédelmi felügyeleti hatóságnál – így a Landesamtnál –, akkor e hatóság a GDPR 4. cikkének 21. pontja értelmében vett felügyeleti hatóságként jár el a panaszos vonatkozásában. Egyesek, köztük a Landesamt, úgy vélik, hogy ez kizárja, hogy az adatvédelmi felügyeleti hatóság a panaszos vonatkozásában a GDPR 4. cikkének 7. pontjával összefüggésben értelmezett 15. cikke értelmében vett „adatkezelő” legyen, ami eleve kizárja, hogy a panaszost hozzáférési jog illesse meg az adatvédelmi felügyeleti hatósággal szemben a panaszeljárással kapcsolatos személyes adatok tekintetében.
15.      A kérdést előterjesztő bíróság ezzel szemben abból indul ki, hogy az adatvédelmi felügyeleti hatóság a GDPR 4. cikkének 21. pontja értelmében vett felügyeleti hatóság és a GDPR 4. cikkének 7. pontjával összefüggésben értelmezett 15. cikke értelmében vett adatkezelő és kötelezett is lehet egyben.
16.      A kérdést előterjesztő bíróság úgy véli, hogy ha ez a helyzet, felmerül a kérdés, hogy a felügyeleti hatóság ügyirataihoz és fájljaihoz való hozzáférés jogának ennyire általános – a BayDSG 20. cikkének (2) bekezdésében előírthoz hasonló – kizárása megfelel‑e a GDPR 23. cikkének (1) bekezdése szerinti, korlátozások előírását engedő rendelkezés feltételeinek.
17.      Ilyen körülmények között a Bayerisches Verwaltungsgericht Ansbach (ansbachi bajor közigazgatási bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)      Úgy kell‑e értelmezni [a GDPR] 4. cikkének 7. pontjával összefüggésben, hogy az e rendelet 4. cikkének 21. pontja szerinti, egy érintett által az e rendelet 77. cikke alapján indított panaszeljárás keretében eljáró felügyeleti hatóság az e rendelet 4. cikkének 7. pontjával összefüggésben értelmezett 15. cikke értelmében vett »adatkezelő« is egyben, és így [a GDPR] 15. cikke alapján köteles hozzáférést biztosítani az érintett számára?
2)      Az első kérdésre adandó igenlő válasz esetén: Úgy kell‑e értelmezni az uniós jogot, különösen [a GDPR] 23. cikkét, hogy azzal ellentétes a [BayDSG] 20. cikkének az alapügyben vitatott (2) bekezdéséhez hasonló olyan nemzeti szabályozás, amely szerint [a GDPR] 4. cikkének 21. pontja szerinti felügyeleti hatóságok ügyiratai és fájljai tekintetében általános jelleggel nem áll fenn hozzáférési vagy betekintési jog?”
IV.    A Bíróság előtti eljárás
18.      A 2025. február 19‑én kelt előzetes döntéshozatalra utaló határozat 2025. március 17‑én érkezett meg a Bíróság Hivatalához.
19.      Írásbeli észrevételeket a Landesamt, a bolgár és a lett kormány, valamint az Európai Bizottság nyújtott be az Európai Unió Bírósága alapokmányának 23. cikkében előírt határidőn belül.
20.      A 2026. január 22‑i tárgyaláson J. Lindenberg jogi képviselője, valamint a Landesamt, a bolgár kormány és a Bizottság meghatalmazottjai terjesztettek elő észrevételeket.
V.      Jogi elemzés
A.      Előzetes megjegyzések
21.      A jelen ügy a felügyeleti hatóságok jogállásával kapcsolatos elvi kérdést vet fel, tekintettel a GDPR által elismert jogokra, és különösen az annak 15. cikkében biztosított hozzáférési jogra. Annak meghatározásáról van szó, hogy a felügyeleti hatóság a GDPR 77. cikke alapján benyújtott panasz kivizsgálása során az ennek keretében kezelt adatok tekintetében az e rendelet 4. cikkének 7. pontja értelmében vett „adatkezelőnek” minősíthető‑e. Ez a minősítés meghatározó, mivel ettől függ az adatkezelővel szemben érvényesíthető hozzáférési kötelezettségek alkalmazhatósága, és tágabb értelemben az egyéni jogok védelme és a felügyeleti feladatok ellátásának sajátos jellemzői közötti egyensúly kérdését veti fel, amely feladatok a döntéshozatali függetlenségen, a vizsgálat bizalmas jellegén és a vizsgálati hatáskörök hatékonyságán alapulnak.
22.      Abban az esetben, ha a Bíróság azt állapítaná meg, hogy a felügyeleti hatóság főszabály szerint köteles lehet a GDPR 15. cikkének tiszteletben tartására, ez egy második, normatív jellegű kérdést vetne fel, amely a közigazgatási ügyiratokhoz való hozzáférési jog általános és abszolút kizárásának az uniós jogi kerettel való összeegyeztethetőségére vonatkozik. Az ilyen nemzeti szabályozást a GDPR 23. cikkében előírt követelmények szempontjából kell vizsgálni, amely cikk szigorúan körülhatárolja az e rendelet által biztosított jogok tekintetében elfogadható korlátozásokat, és azokat a jogalappal, a szükségességgel, az arányossággal és az Unió által elismert közérdekű célkitűzések védelmével kapcsolatos együttes feltételek tiszteletben tartásától teszi függővé. Ebbe az elemzésbe az elsődleges jogból eredő, különösen az alapvető jogok tiszteletben tartására és a jogorvoslati lehetőségek hatékonyságára vonatkozó biztosítékokat is be kell vonni.
23.      A jogi elemzés tehát két egymást követő szakaszra tagolódik. Egyrészt meg kell határozni, hogy valamely felügyeleti hatóság a panaszeljárás keretében „adatkezelőnek” tekinthető‑e, ekként vonatkoznak‑e rá a GDPR‑ban foglalt hozzáférési kötelezettségek, és ha igen, milyen mértékben.(3) Másrészt – és kizárólag igenlő válasz esetén – azt kell értékelni, hogy a felügyeleti hatóságok ügyirataihoz való hozzáférés jogának általános, különbségtétel nélküli és megelőző jellegű kizárása összeegyeztethető‑e a GDPR harmonizált rendszerével a közigazgatás átláthatósága, az adatvédelem, az intézményi függetlenség és a felügyeleti mechanizmusok hatékonyságának követelményeire tekintettel, amelyek között úgy kell egyensúlyt teremteni, hogy e követelmények egyike se üresedjen ki.(4)
B.      Az első kérdésről
1.      A felügyeleti hatóság „adatkezelőnek” minősítéséről a GDPR 4. cikkének 7. pontja alapján
24.      Ami egy felügyeleti hatóság esetleges „adatkezelőnek” minősítését illeti, amely az előzetes döntéshozatalra előterjesztett első kérdés tárgyát képezi, elöljáróban emlékeztetni kell e fogalomnak a GDPR 4. cikkének 7. pontjában foglalt jogszabályi meghatározására. E rendelkezés értelmében „adatkezelőnek” minősül minden olyan „természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza”. E tekintetben emlékeztetni kell arra, hogy a Bíróság állandó ítélkezési gyakorlata szerint az említett fogalmat tágan kell értelmezni.(5)
25.      Elsősorban meg kell állapítani, hogy ez a jogszabályi meghatározás kifejezetten vonatkozik a „közhatalmi szervekre”. A GDPR 4. cikke 7. pontjának szövege tehát egyáltalán nem zárja ki annak lehetőségét, hogy valamely felügyeleti hatóság „adatkezelőnek” minősüljön. Az uniós jogalkotó szándékosan tartózkodott attól, hogy különbséget tegyen a magánjogi és a közjogi jogalanyok között, amint arról több preambulumbekezdés is tanúskodik, amelyek kifejezetten hivatkoznak a személyes adatok hatóságok általi kezelésére. Egyébiránt az a tény, hogy a GDPR 4. cikkének 21. pontja a felügyeleti hatóságot egy tagállam által az 51. cikknek megfelelően létrehozott független közhatalmi szervként határozza meg, a rendelet által az „adatkezelő” fogalmának tulajdonított tág és funkcionális hatályra(6) tekintettel nem értelmezhető úgy, hogy az megakadályozná, hogy a felügyeleti hatóság esetlegesen ekként minősülhessen.
26.      Másodsorban meg kell állapítani, hogy amikor az ilyen felügyeleti hatóság ellátja a GDPR 77. cikke által ráruházott feladatokat – többek között az adatvédelmi szabályok esetleges megsértésére vonatkozó panaszok kivizsgálását –, neki magának is személyes adatokat kell kezelnie. A hatóság nem csupán megkapja ezeket az adatokat; a rendelet által ráruházott vizsgálati és végrehajtási hatáskörök önálló gyakorlása keretében tagolja, elemzi, tárolja és felhasználja azokat. Számomra úgy tűnik, hogy az ilyen műveletek a GDPR 4. cikke 2. pontjának hatálya alá tartoznak, amely rendelkezés az „adatkezelés” fogalmát tágan, bármely sajátos kontextustól függetlenül értelmezi, oly módon, hogy az az adatokon végzett valamennyi műveletet lefedje.
27.      Ezen elemzés alátámasztása érdekében az alábbiakban bemutatom egyrészt a GDPR 77. cikkében előírt panaszeljárás alapvető jellemzőit, másrészt pedig a személyes adatok azon kategóriáit, amelyeket a felügyeleti hatóságoknak ennek keretében rendszeresen és konkrétan kezelniük kell. Ez az ismertetés lehetővé fogja tenni a felügyeleti hatóságok által az ilyen eljárás lefolytatása során ellátott feladatok jellegének és terjedelmének jobb megértését.
a)      A GDPR 77. cikkében előírt „panaszeljárás” alapvető jellemzői
28.      A GDPR 77. cikke által létrehozott panaszeljárás(7) azon uniós rendszer központi mechanizmusát alkotja, amelynek célja, hogy biztosítsa a természetes személyek védelmét személyes adataik kezelése tekintetében. Ez az eljárás szerepet játszik a Charta 8. cikkének (3) bekezdésében foglalt azon elv gyakorlati megvalósításában, amely szerint az adatvédelmi szabályok tiszteletben tartását független hatóságnak kell ellenőriznie. A Bíróság többször hangsúlyozta, hogy ez az ellenőrzési mechanizmus nem tisztán formális jellegű, hanem az alapvető jogok hatékony és tényleges védelmének biztosítására irányul.(8)
29.      A GDPR 77. cikkének (1) bekezdése minden érintett számára biztosítja azt a jogot, hogy – konkrét alaki követelmények és költségek kockázata nélkül – panaszt tegyen különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállam felügyeleti hatóságánál. Mivel ez a jog az e rendelet által létrehozott védelmi rendszer lényeges elemét képezi, nem lehet úgy értelmezni és alkalmazni, hogy az gyakorlatilag lehetetlenné vagy rendkívül nehézzé tegye e jog gyakorlását.(9)
30.      Hangsúlyozni kell, hogy a panasz benyújtása nem pusztán a vizsgálatra való általános lehetőséget biztosít a felügyeleti hatóság számára, hanem arra vonatkozó konkrét kötelezettséget ró rá, hogy teljeskörűen, gondosan és pártatlanul vizsgálja ki az ügyet. A Bíróság ítélkezési gyakorlatából ugyanis kitűnik, hogy a GDPR 57. cikke (1) bekezdése f) pontjának megfelelően minden felügyeleti hatóság köteles kezelni a saját területén benyújtott panaszokat, köteles a szükséges mértékben kivizsgálni azok jellegét, és a kellő gondossággal kezelni azokat.(10)
31.      Ebből következik, hogy a felügyeleti hatóság nem tekinthet el a panasz kezelésétől kizárólag a közigazgatási gazdaságossággal vagy célszerűségi megfontolásokkal összefüggő okokból. Hasonlóképpen tilos számára a beavatkozását informális közvetítésre vagy egyszerű közvetítői szerepre korlátozni. Ellenkezőleg, köteles az állítólagos jogsértést ténybeli és jogi szempontból kivizsgálni, és adott esetben ténylegesen gyakorolni az uniós jog által ráruházott korrekciós hatásköröket.(11)
32.      Az ítélkezési gyakorlat szerint a GDPR 58. cikkében felsorolt hatásköröket céljukra, azaz e rendelet teljes érvényesülésének biztosítására tekintettel kell értelmezni. A Bíróság hangsúlyozta, hogy a felügyeleti hatóságoknak a megállapított jogsértések esetén „megfelelő és szükséges” korrekciós intézkedéseket kell elfogadniuk, és a rendelkezésükre álló valamennyi eszközt fel kell használniuk. Ez a követelmény magában foglalja a végrehajtási intézkedéseket is, mivel a tétlenség veszélyeztetheti az említett rendelet hatékony érvényesülését.(12)
33.      A GDPR 77. cikkének (2) bekezdése előírja továbbá, hogy a panaszost tájékoztatni kell a panasszal kapcsolatos eljárási fejleményekről és annak eredményéről. Ez a kötelezettség csak akkor teljesül, ha az adott válasz lehetővé teszi annak megállapítását, hogy a panaszt ténybeli és jogi szempontból ténylegesen megvizsgálták, és az tartalmazza a hatékony bírósági felülvizsgálat gyakorlásához szükséges elemeket. Az eljárás tehát nem korlátozódhat pusztán formális határozatra, hanem részletes, kellően indokolt és a GDPR 78. cikkének (1) bekezdése alapján eljáró bíróság által felülvizsgálható értékeléshez kell vezetnie. A felügyeleti hatóság által elfogadott, panaszról szóló valamennyi határozat ugyanis teljes körű bírósági felülvizsgálat alá tartozik.(13)
34.      Összességében értékelve a GDPR 77. cikke szerinti eljárás nem egyszerű közigazgatási cselekménynek, hanem az uniós jog által létrehozott önálló jogorvoslatnak minősül, amely egyszerre járul hozzá az egyéni jogok védelméhez és az adatvédelem területén a jogrend objektív védelméhez. A Bíróság az alapvető jogok strukturális védelmi rendszerében betöltött
intézményi biztosíték státuszt tulajdonít a felügyeleti hatóságoknak, amelyek feladata nem korlátozódik a panaszok passzív fogadására, hanem az adatvédelmi szabályok aktív alkalmazását foglalja magában.
b)      A személyes adatoknak a felügyeleti hatóság által a panaszeljárás keretében végzett „kezelése”
35.      A panaszeljárás alapvető jellemzőinek felidézését követően meg kell vizsgálni, hogy a felügyeleti hatóságok tevékenysége mennyiben tartozik a GDPR 4. cikkének 2. pontja értelmében vett „adatkezelés” körébe. Ez a fogalom úgy kerül meghatározásra, mint „a személyes adatokon vagy adatállományokon automatizált vagy nem automatizált módon végzett bármely művelet vagy műveletek összessége, így a gyűjtés, rögzítés, rendszerezés, tagolás, tárolás, átalakítás vagy megváltoztatás, lekérdezés, betekintés, felhasználás, közlés továbbítás, terjesztés vagy egyéb módon történő hozzáférhetővé tétel útján, összehangolás vagy összekapcsolás, korlátozás, törlés, illetve megsemmisítés”.
36.      E tekintetben hangsúlyozni kell, hogy a GDPR 77. cikkén alapuló eljárás keretében a felügyeleti hatóság nem csupán adatokat kap. Éppen ellenkezőleg, a jogszabályban előírt vizsgálati, kivizsgálási és felügyeleti feladatának ellátása céljából önálló és strukturált műveletek összeségét végzi. Az adatkezelés ugyanis a panasz benyújtásakor kezdődik, amely panasz a panaszosra és adott esetben az érintett adatkezelőre vagy azonosítható harmadik felekre vonatkozó adatokat tartalmaz. Ezeket az információkat – amelyek a GDPR 4. cikkének 1. pontja értelmében vett „személyes adat” fogalmába tartoznak – rögzítik, aktába foglalják, és a felügyeleti hatóság belső rendszereiben tárolják, ami már „adatkezelésnek” minősülő fizikai és szervezési műveleteket foglal magában.(14)
37.      E műveletek a GDPR 57. cikkének (1) bekezdése által a felügyeleti hatóságokra ruházott, a jelen indítványban ismertetett feladatok részét képezik. E feladatok közé tartozik többek között a panaszok kivizsgálása (f) pont), valamint a vizsgálati és döntéshozatali hatáskörök gyakorlása (h) pont). E feladatok ellátása során a hatóságok az uniós jog által biztosított funkcionális és döntéshozatali autonómia keretében járnak el, amely autonómia konkrét kifejeződését a panaszok kivizsgálásának és az abból eredő felügyeleti hatáskörök gyakorlásának módja jelenti.
38.      Az eljárás során a felügyeleti hatóság elvégzi az elé terjesztett körülmények ténybeli és jogi szempontból történő vizsgálatát. Az alkalmazandó szabályozási keretre tekintettel gyűjti, rendszerezi, elemzi és értékeli az adatokat. További adatkezelési műveletekre is sor kerül akkor, amikor a hatóság további információkat kér az adatkezelőtől – aki ellen panaszt nyújtottak be és aki vizsgálat tárgyát képezi –, vagy amikor betekint további dokumentumokba, amelyek maguk is tartalmazhatnak személyes adatokat. Ezeket az információkat a felügyeleti hatóság ezt követően megkapja, rögzíti, elemzi és tárolja. Hasonlóképpen, ezen elemeknek az esetleges, már meglévő ügyiratokkal vagy információkkal való összekapcsolása „adatkezelési” műveletnek tekinthető.
39.      Az így kezelt adatokat a felügyeleti hatóság vizsgálati és döntéshozatali hatásköreinek önálló gyakorlása céljából használják fel.(15) Ezen adatok a tények megállapítására, jogi minősítésére, a lehetséges korrekciós intézkedések értékelésére, valamint adott esetben kötelező erejű határozatok vagy utasítások meghozatalára szolgálnak. Az adatokat felhasználják továbbá a felekhez intézett eljárási közlések keretében is, különösen a panaszosnak vagy az adatkezelőnek az eljárás kimeneteléről való tájékoztatása során.
40.      E tényezők összességéből az következik, hogy a felügyeleti hatóság nem tekinthető az adatok GDPR 4. cikkének 9. pontja értelmében vett egyszerű „címzettjének”. Mivel a jogszabállyal rá bízott feladatok ellátása céljából önállóan dönt ezen adatok gyűjtésének, elemzésének, rendszerezésének és felhasználásának módjairól,
a GDPR 4. cikke 2. pontjának legteljesebb értelmében „adatkezelést” végző szereplőként jár el. Ezt a szempontot a következő szakaszban részletesebben meg kell vizsgálni.
2.      A felügyeleti hatóság azon lehetőségéről, hogy az „adatok kezelésének céljait és eszközeit […] meghatározza”
41.      Ahhoz, hogy egy felügyeleti hatóságot a GDPR 4. cikkének 7. pontja értelmében vett „adatkezelőnek” lehessen minősíteni, az is szükséges, hogy hatáskörrel rendelkezzen a személyes adatok kezelése céljainak és eszközeinek meghatározására.
42.      Amint azt korábban jeleztem, a felügyeleti hatóság szerepe a GDPR 77. cikkén alapuló panaszeljárásban nem korlátozódik arra, hogy pusztán passzívan információkat kapjon. E hatóság valójában meghatározza az adatkezelés célját, amennyiben úgy dönt, hogy az adatokat az adatvédelmi szabályok esetleges megsértésének vizsgálatához, a tények megállapításához, valamint adott esetben a felügyeleti intézkedések előkészítéséhez és elfogadásához fogja felhasználni. A cél e meghatározása nemcsak jogszabály által előre meghatározott, hanem azt is szükségessé teszi, hogy a hatóság esetről esetre önállóan konkretizálja különösen a felügyelet terjedelmét, a vizsgálat pontos tárgyát és a felhozott kifogások jogi minősítését.(16)
43.      A felügyeleti hatóság lényegi kérdéseket illetően önállóan dönt az adatkezelés eszközeiről is. Meghatározza, hogy mely személyes adatokat gyűjtik, milyen formában rögzítik, tagolják és tárolják azokat, milyen kritériumok alapján állítják össze az ügyiratokat, szervezik a digitális archívumokat vagy tartják nyilván a bizonyítékokat, valamint meghatározza az adatok elemzéséhez, további kezeléséhez vagy belső rendelkezésre bocsátásához alkalmazott technikai vagy szervezési eljárásokat. Hasonlóképpen eldönti, hogy információkéréseket kell‑e intézni a bepanaszolt személyhez, milyen további információkat kell kérni, milyen módszerek szerint fogja ezeket az információkat összekapcsolni, és mennyi ideig tárolja azokat. Ez a kiválasztási és szervezési jogkör nyilvánvalóan meghaladja egy járulékos vagy alárendelt feladat puszta végrehajtását.
44.      A ténylegesen elvégzett adatkezelési műveletek megerősítik ezt a döntéshozatali autonómiát. A hatóság nyilvántartásba veszi a panaszt, megnyitja saját ügyiratait, tárolja és rendszerezi a kapott, valamint az általa gyűjtött adatokat, elvégzi azok ténybeli és jogi értékelését, további dokumentumokat kér, dokumentálja a vizsgálati cselekményeket, valamint saját elemzése alapján eljárási és érdemi döntéseket hoz. Az adatkezelés tehát nem kizárólag valamely közigazgatási ügyirat technikai kezelését szolgálja, hanem egyúttal olyan önálló vizsgálati, értékelési és döntéshozatali tevékenység alapját képezi, amelyet az uniós jog kizárólag a felügyeleti hatóságra ruház.
45.      Az a körülmény, hogy e tevékenység jogszabályi feladat ellátásának körébe illeszkedik, nem szünteti meg az „adatkezelői” minőséget. A Bíróság többször emlékeztetett arra, hogy a hatóságok „adatkezelőnek” minősülhetnek, ha az adatkezelés konkrét módjait illetően döntéshozatali mozgástérrel rendelkeznek.(17) E tekintetben megjegyzendő, hogy a Landesamt a tárgyaláson maga is elismerte, hogy mérlegelési mozgástérrel rendelkezik a feladatainak meghatározását illetően, a panaszok kezelésének keretében is,(18) és ez a mozgástér az autonómiájának a kifejeződése.
46.      A célok és eszközök meghatározása tekintetében fennálló alárendeltség hiányában az „adatfeldolgozóként” való minősítést is el kell utasítani, mivel a hatóság nem harmadik fél utasítására, hanem saját jogkörének gyakorlása keretében jár el. Közelebbről, a felügyeleti hatóság egyáltalán nem a panasszal érintett adatkezelő nevében jár el, hanem az uniós jog tiszteletben tartásának biztosítása érdekében ráruházott közhatalmi jogosítványt gyakorol.
47.      Bár a szóban forgó adatkezelés főszabály szerint a GDPR 57. cikke (1) bekezdésének f) és h) pontjával összefüggésben értelmezett 6. cikke (1) bekezdésének e) pontján alapul, a jogalap fennállása kizárólag az adatkezelés jogszerűségét biztosítja, azonban nem zárja ki az „adatkezelői” minőséget. Éppen ellenkezőleg, az a tény, hogy a jogszabály felügyeleti feladatok ellátásával bízza meg a hatóságot, megerősíti, hogy a hatóság az adatokat saját jogi kötelezettségeinek teljesítése során és saját maga által meghatározott módon kezeli. „Adatkezelőként” tehát főszabály szerint továbbra is vonatkoznak rá a GDPR szerinti általános kötelezettségek, különösen az e rendelet 5. cikkében foglalt elvek és a személyek III. fejezetben felsorolt jogai, amennyiben azokat nem korlátozta érvényesen valamely kellően egyértelmű és arányos jogszabályi rendelkezés a GDPR 23. cikkének megfelelően.
48.      A felügyeleti hatóságoknak a GDPR 52. cikkében rögzített és a (117) preambulumbekezdésben megismételt függetlensége szükségessé teszi, hogy ezek a hatóságok a jogszabályban előírt feladataik ellátása során végzett, személyes adatokra vonatkozó műveletek tekintetében „adatkezelőnek” minősüljenek. Kizárólag az érintett adatkezelések céljainak és eszközeinek önálló meghatározása, valamint az ebből következő felelősség teszi lehetővé számukra, hogy az általuk felügyelt jogalanyok tekintetében teljesen függetlenül gyakorolják felügyeleti és a megfelelés biztosítására irányuló hatáskörüket. Ha a felügyeleti hatóságokat a panaszok kezelése keretében a harmadik felek által meghatározott célok egyszerű végrehajtóinak tekintenék, az sértené intézményi autonómiájukat, a vizsgált adatkezelőkkel szemben függőségi viszonyba helyezné őket, és kiüresítené az uniós jog által előírt elszámoltathatósági követelményt. A felügyeleti hatóságnak tehát önálló felelősséget kell vállalnia a személyes adatok panaszeljárás keretében történő kezeléséért, mivel az érintettek GDPR szerinti jogai teljes mértékben alkalmazandóak vele szemben.(19)
49.      Végül, ha a felügyeleti hatóság nem minősülne „adatkezelőnek” a panaszok kezelése keretében, az érintettet nagyrészt megfosztanák a védelemtől az adatai kezelésének egyik központi eleme tekintetében. Az érintettek GDPR 12–22. cikkében előírt jogai, különösen a 15. cikk szerinti hozzáférési jog ugyanis csak az adatkezelővel szemben gyakorolható. E minősítés nélkül az érintett nem tudhatná, hogy a hatóság milyen adatokat gyűjt és kezel a panasz keretében, és nem kérhetné azok helyesbítését, törlését vagy korlátozását sem. A hatóság által végzett adatkezelés így mentesülne az átláthatóságra és az elszámoltathatóságra vonatkozó minden követelmény alól, jóllehet e hatóság feladata éppen az érintettek jogai védelmének biztosítása. Az „adatkezelőnek” minősülés hiánya tehát strukturális hiányosságot idézne elő a védelemben, megfosztva az érintettet a felügyeleti hatósághoz fűződő viszonyában a GDPR‑ban előírt alapvető garanciáktól.(20)
50.      Ebből következik, hogy a felügyeleti hatóság a GDPR 77. cikke alapján benyújtott panaszok kezelése keretében meghatározza az adatkezelés céljait és eszközeit, és nem csupán harmadik fél által meghatározott adatokat fogad vagy kezel. Önálló szereplőként jár el, aki a személyes adatokat a közhatalom gyakorlásának körébe tartozó döntések alapjaként gyűjti, rendszerezi, elemzi és használja fel. Ennélfogva a GDPR 4. cikkének 7. pontjában szereplő tág meghatározás értelmében „adatkezelőnek” kell minősíteni.(21)
51.      A teljesség kedvéért meg kell jegyezni, hogy az a tény, hogy az uniós jogalkotó nem rendelkezett kifejezetten arról az esetről, amikor a felügyeleti hatóság a panaszeljárás keretében egyidejűleg a GDPR 4. cikkének 7. pontja értelmében vett „adatkezelőként” is eljár, nem jelent olyan releváns érvet, amely kizárná az ilyen minősítést. Éppen ellenkezőleg, a meghatározó tényezőt az jelenti, hogy e hatóság megfelel‑e az e rendelkezésben előírt tartalmi feltételeknek. Márpedig, amint az a fenti elemzésből kitűnik, a jelen ügyben nyilvánvalóan ez a helyzet.
52.      Ebben az összefüggésben a Landesamt azon érvének sem lehet helyt adni, amely szerint a GDPR bizonyos rendelkezései szükségszerűen egyrészről a felügyeleti hatóság, és másrészről az „adatkezelő” közötti szigorú különbségtételt feltételeznek. Ezek a rendelkezések kizárólag az uniós jogalkotó által felvázolt, főszabály szerinti helyzetre vonatkoznak, amelyben e két szerep nem keveredik össze. Nem zárják azonban ki, hogy a felügyeleti hatóság bizonyos körülmények között – mint amilyenek az alapügyben fennállnak – egyidejűleg az „adatkezelőnek” minősüléshez szükséges feltételeknek is megfeleljen.
53.      Mivel a GDPR egyes rendelkezései, különösen a 31. és 36. cikk, az „adatkezelő” és a felügyeleti hatóság közötti „együttműködést” vagy „konzultációt” írnak elő, az esetleges összeütközés, amely e szerepek átfedéséből eredhet, e rendelet teleologikus értelmezése útján oldható fel. Az ilyen értelmezés azt vonja maga után, hogy a felügyeleti hatóság belső eljárásait úgy kell megszervezni és koordinálni, hogy biztosítsák az érintett rendelkezések által követett célok hatékony megvalósítását.
3.      A panaszos GDPR 15. cikkén alapuló hozzáférési jogának fennállásáról
54.      Amint arra a jelen indítványban rámutattam, a felügyeleti hatóság „adatkezelőnek” minősítése e hatóság számára arra vonatkozó kötelezettséget von maga után, hogy biztosítsa az érintettek számára a GDPR III. fejezetében elismert jogok tiszteletben tartását. E jogok között szerepel többek között az e rendelet 15. cikkében foglalt hozzáférési jog.
55.      A GDPR 77. cikke alapján indított eljárás keretében a panaszos főszabály szerint az e rendelet értelmében vett „érintettnek” is minősül. Ennek alapján megkövetelheti a felügyeleti hatóságtól, hogy adjon visszajelzést számára arra vonatkozóan, hogy személyes adatait kezelik‑e. Kedvező válasz esetén a hozzáférési jog magában foglalja a GDPR 15. cikke (1) bekezdésének a)–h) pontjában kimerítően felsorolt valamennyi információt, amelyek között szerepelnek különösen az adatkezelés céljai, az érintett adatok kategóriái, a címzettek vagy a címzettek kategóriái, a tárolás időtartama, valamint az érintettet megillető jogokra vonatkozó tájékoztatás.
a)      A GDPR 15. cikkének (3) bekezdése szerinti, „másolat” rendelkezésre bocsátásához való jog
56.      A hozzáférési jog magában foglalja többek között az érintett azon jogát, hogy a GDPR 15. cikkének (3) bekezdése alapján rendelkezésére bocsássák az adatok másolatát. E rendelkezés arra kötelezi az adatkezelőt, hogy az érintettel közölje személyes adatainak érthető formában történő reprodukcióját, amely lehetővé teszi azok kezelése terjedelmének és módjainak pontos megértését. E jog célja, hogy az érintett számára lehetővé tegye annak ellenőrzését, hogy mely adatait kezelik, azok forrásának azonosítását, céljainak megértését és az esetleges címzettek megismerését.(22)
57.      A Bíróság kimondta, hogy a másolatot olyan feltételek mellett kell rendelkezésre bocsátani, amelyek lehetővé teszik az adatkezelés jogszerűségének tényleges ellenőrzését, valamint a GDPR‑ban biztosított egyéb jogok hatékony gyakorlását.(23) A „másolat” kifejezés nem valamely dokumentumra mint olyanra, hanem az abban foglalt személyes adatokra vonatkozik; az a fontos, hogy ezeket az adatokat teljeskörűen, világosan és a jelentés visszaadására alkalmas módon közöljék. E jog tényleges érvényesülésének biztosítása érdekében elengedhetetlennek bizonyulhat olyan dokumentumkivonatok, sőt egész dokumentumok, vagy akár olyan adatbázis‑kivonatok reprodukciója, amelyek többek között az adatkezelés tárgyát képező személyes adatokat tartalmazzák.(24)
58.      E jog terjedelmét azonban továbbra is szigorúan körülhatárolja annak funkciója. Az csak az érintett „személyes adataira” terjed ki, és a GDPR 4. cikkének 1. pontja értelmében magában foglalja a rá vonatkozó vagy az azonosítását lehetővé tevő valamennyi információt. Amennyiben az a kontextus, amelyben ezek az adatok megjelennek, szükséges azok teljes megértéséhez, a közlési kötelezettség – az átláthatósági követelmények teljesítéséhez szükséges mértékben – magában foglalhatja megfelelő kivonatnak vagy az adatok kontextusba helyezett bemutatásának továbbítását. A másolat rendelkezésre bocsátásához való jog tehát a GDPR által létrehozott információs önrendelkezési mechanizmus egyik központi elemét képezi, mivel az az érintett számára érdemi ellenőrzést biztosít adatainak kezelése felett, és lehetővé teszi számára annak ellenőrzését, hogy ez az adatkezelés megfelel‑e az uniós jog követelményeinek.
b)      A GDPR 15. cikke nem „a közigazgatási ügyirathoz való általános hozzáférési jogot” ír elő
59.      Mindazonáltal a GDPR 15. cikkében előírt ezen, a személyes adatok védelmi rendszerére jellemző hozzáférési jog nem tekinthető sem a közigazgatási ügyirathoz való általános hozzáférési jognak, sem pedig a közigazgatás átláthatóságára vonatkozó, általános hatályú követelménynek. E rendelkezés célja kizárólag az adatkezelés átláthatóságának biztosítása annak érdekében, hogy lehetővé tegye az érintett számára az adatkezelés jogszerűségének ellenőrzését, valamint azt, hogy hatékonyan gyakorolhassa az ebből eredő jogait, különösen a helyesbítéshez, a törléshez („az elfeledtetéshez való jog”), az adatkezelés korlátozásához vagy a tiltakozáshoz való jogot.(25) Ezzel szemben nem biztosít sem a közigazgatás birtokában lévő információhoz való hozzáféréshez való általános jogot vagy a belső dokumentumokba való betekintéshez való jogot, sem pedig a fortiori a hatóság belső tanácskozási vagy döntéshozatali folyamatának körébe tartozó információk hozzáférhetővé tételéhez való jogot. Ez nyilvánvalóvá válik, ha a GDPR 15. cikke szerinti hozzáférési jogot összevetjük az uniós jog és a nemzeti jogok által biztosított más hozzáférési jogokkal.
60.      Először is, a GDPR 15. cikke és 77. cikkének (2) bekezdése eltérő célokat szolgál, ezért azokat szigorúan el kell különíteni. A 77. cikk (2) bekezdése a panasz kezelésével kapcsolatos eljárási fejleményekről és annak eredményéről való tájékoztatáshoz való eljárási jogot biztosít, nem biztosít azonban az adatokhoz vagy dokumentumokhoz való hozzáférési jogot az adatvédelmi szabályok alapján. Ily módon, míg a 15. cikk annak biztosítására irányul, hogy az egyén rendelkezhessen a saját személyes adatai felett, a 77. cikk (2) bekezdése a panaszok közigazgatási kezelése során érvényesülő eljárási átláthatósági követelményhez kapcsolódik. E rendelkezések, amelyek tárgyukat és hatályukat tekintve önállóak, nem keverhetők össze, és nem helyettesíthetők egymással. Önálló jogi szabályozásokról van szó, amelyek eltérő normatív logikát követnek, sajátos működési feltételeknek felelnek meg, és amelyeknek nem célja, hogy egymást átfedjék vagy helyettesítsék.
61.      Másodszor, a GDPR 15. cikke kizárólag a személyes adatokhoz való hozzáférési jogot állapít meg, és nem biztosít sem a közigazgatási ügyirathoz való hozzáférési jogot, sem a hatóság birtokában lévő dokumentumokba való betekintési jogot.(26) Tárgyi hatálya az adatkezelés tárgyát képező személyes adatok közlésére korlátozódik, és nem vonatkozik sem a közigazgatás átláthatóságára, sem a belső döntéshozatali eljárásokhoz való hozzáférésre. Az ügyirathoz való hozzáférési jog tehát – az uniós jog ágazati rendelkezéseinek hiányában – továbbra is a tagállamok normatív hatáskörébe tartozik, ahol azt általában az általános közigazgatási eljárásra vonatkozó jogszabályok, különös eljárási szabályok, az információszabadságról és az átláthatóságról szóló törvények, vagy pedig különös szakmai vagy ágazati szabályok szabályozzák.(27)
62.      Ebből következik, hogy a GDPR 15. cikke nem keletkeztet jogot a közigazgatási ügyiratnak mint olyannak a közléséhez vagy az abba való betekintéshez. A hozzáférési jog hatálya különösen nem terjed ki a belső jogi elemzésekre, véleményekre, megjegyzésekre, szolgálati feljegyzésekre, előkészítő dokumentumokra, illetve általánosabban a közigazgatási határozat belső kidolgozási vagy indokolási folyamatának körébe tartozó elemekre. Amennyiben a hatóság birtokában lévő valamely dokumentum a panaszosra vonatkozó személyes adatokat tartalmaz, a hozzáférési kötelezettség az ilyen adatok közlésére korlátozódik, nem pedig az azokat tartalmazó dokumentum teljes átadására vagy reprodukálására. Végül, az érintettel közvetlen vagy közvetett, azonosító jellegű kapcsolatban nem álló információk jellegüknél fogva nem tartoznak a GDPR 15. cikkének tárgyi hatálya alá.
63.      Ezenkívül emlékeztetni kell arra, hogy a GDPR 15. cikkében előírt hozzáférési jogra e rendelet 23. cikkének (1) bekezdése értelmében bizonyos korlátozások vonatkozhatnak, amennyiben az ez utóbbi cikkben foglalt feltételek teljesülnek. Ez a szempont képezi az előzetes döntéshozatalra előterjesztett második kérdés tárgyát, amellyel a következő részben foglalkozom.
4.      Közbenső következtetés
64.      A fenti megfontolásokra tekintettel úgy vélem, hogy az első kérdésre azt a választ kell adni, hogy a GDPR 15. cikkét a 4. cikkének 7. pontjával összefüggésben úgy kell értelmezni, hogy az e rendelet 77. cikkén alapuló panaszeljárás keretében eljáró, az említett rendelet 4. cikkének 21. pontja szerinti felügyeleti hatóság az ugyanezen rendelet értelmében vett „adatkezelőnek” is minősül, és így köteles biztosítani az érintett számára a GDPR 15. cikkében előírt hozzáférési jogot.
C.      A második kérdésről
1.      A személyes adatokhoz való hozzáférés jogának a GDPR 23. cikkében felsorolt korlátozásai
65.      Második kérdésével az előterjesztő bíróság a GDPR 23. cikke és egy olyan nemzeti rendelkezés között fennálló kapcsolat tisztázását kéri, amely a BayDSG 20. cikkének (2) bekezdéséhez hasonlóan az adatvédelmi felügyeleti hatósággal szemben általános jelleggel kizárja a hozzáférési vagy betekintési jogot. Az e kérdésre adandó válasz a GDPR – annak szövegéből, céljából és a vonatkozó preambulumbekezdésekből kitűnő – rendszerének alapos elemzését, valamint a Bíróság által az érintettek jogainak lehetséges korlátozására vonatkozóan kialakított elvek alkalmazását teszi szükségessé.
66.      A GDPR 23. cikke előírja, hogy az adatkezelőre vonatkozó uniós vagy tagállami jogalkotási intézkedések korlátozhatják többek között az e rendelet 15. cikkében biztosított hozzáférési jogot, feltéve, hogy az ilyen korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, és egy demokratikus társadalomban az e rendelkezés a)–j) pontjában felsorolt jogszerű célok valamelyikének eléréséhez szükséges és arányos intézkedésnek minősül. A GDPR 23. cikkének (1) bekezdése azonban nem értelmezhető úgy, mint amely felhatalmazza a nemzeti jogalkotót arra, hogy szabadon a saját rendszerével helyettesítse az említett rendelet 12–22. cikkének rendelkezéseit. Éppen ellenkezőleg, e rendelkezés az engedő rendelkezések kimerítő felsorolását állapítja meg, lehetővé téve a nemzeti jogalkotó számára, hogy pontosan felsorolt indokokból korlátozza az e cikkek alapján az érintetteket megillető jogokat, illetve az adatkezelőt terhelő kötelezettségeket.(28)
67.      A GDPR 23. cikke tehát eltérést engedő rendszert vezet be az ott említett területeket illetően, amelyek lényegében egyes közfeladatok ellátására és olyan,
közérdekkel összefüggő követelmények teljesítésére vonatkoznak, amelyek igazolhatják az érintettek jogainak más tevékenységi ágazatokhoz képest történő korlátozását. E tekintetben figyelembe kell venni a GDPR (4) preambulumbekezdésének első és második mondatát, amely előírja a szóban forgó alapvető jogok közötti egyensúly megteremtését, valamint annak biztosítását, hogy a tervezett korlátozások a versengő jogok és érdekek szempontjából indokoltak, szükségesek és arányosak legyenek.
68.      Az előzetes döntéshozatalra utaló határozatból kitűnik, hogy noha a bajor törvény indokolása kifejezetten a GDPR 23. cikkét jelöli meg a BayDSG 20. cikke (2) bekezdésének jogalapjaként, nem hivatkozik az e rendelkezésben felsorolt célok valamelyikére. Az indokolás csak azt rögzíti, hogy e norma az adatvédelmi felügyeleti tevékenységek során szerzett információk különleges célhoz kötöttségét tükrözi. A kérdést előterjesztő bíróság ugyanakkor megjegyzi, hogy a Landesamtnak az alapeljárásban tett észrevételei szerint e rendelkezés valójában két fő célt követ: egyrészt a harmadik felek személyes adatai bizalmas jellegének megőrzését, másrészt pedig a felügyeleti hatóság megfelelő működésének és függetlenségének biztosítását.
69.      Az EUMSZ 267. cikk által létrehozott, az uniós bíróság és a nemzeti bíróságok közötti együttműködési mechanizmusra irányadó elveknek megfelelően – amelyek értelmében a belső jog értelmezése kizárólag a kérdést előterjesztő bíróságok hatáskörébe tartozik,(29) és e jog tartalmát és hatályát illetően a Bíróságnak az e bíróságok által tett pontosításokra kell támaszkodnia(30) – elemzésem alapjaként ezeket a körülményeket fogom figyelembe venni.
2.      A GDPR 15. cikke szerinti hozzáférési jog általános kizárásának az e rendelet 23. cikkével való összeegyeztethetősége
70.      A jelen indítvány további részében meg fogom határozni, hogy a GDPR 15. cikkében előírt hozzáférési jog általános kizárása igazolható‑e a fent említett jogalkotási célokra tekintettel. Azt is elemezni fogom, hogy az ilyen szabályozás megfelel‑e azoknak a további követelményeknek, amelyeket a GDPR 23. cikke e jog bármely korlátozására vonatkozóan előír.
a)      A jogszerű cél fennállása
1)      Harmadik felek személyes adatai bizalmas jellegének védelme
71.      A harmadik felek személyes adatai bizalmas jellegének védelme a GDPR értelmében vett jogszerű célnak minősül, amely főszabály szerint igazolhatja az érintettek számára biztosított jogok korlátozását. E tekintetben megjegyzendő, hogy a GDPR 15. cikkében előírt hozzáférési jogot illetően e rendelet (63) preambulumbekezdése pontosítja, hogy „[e]z a jog nem érintheti hátrányosan mások jogait és szabadságait”. Figyelembevételre kerül tehát, hogy – amint az az említett rendelet (4) preambulumbekezdéséből kitűnik – a személyes adatok védelméhez való jog nem abszolút jog, mivel azt a társadalomban betöltött szerepére tekintettel kell megítélni, biztosítva, hogy egyensúlyban legyen más alapvető jogokkal.(31)
72.      A GDPR 23. cikke (1) bekezdésének i) pontja kifejezetten hivatkozik „mások jogainak és szabadságainak” védelmére, amint azt e rendelet (73) preambulumbekezdése is megerősíti. Következésképpen, amennyiben közigazgatási alkalmazottak vagy magánszemélyek személyes adatairól van szó, a nemzeti jogalkotó érvényesen hivatkozhat arra, hogy hozzáférhetővé tételük sértené a személyiségi jogokat, és fennáll a védelem szükségessége, amelyet egyensúlyba kell hozni a panaszos hozzáférési jogával.
2)      A felügyeleti hatóságok megfelelő működésének és függetlenségének védelme
73.      A felügyeleti hatóságok megfelelő működésének és döntéshozatali függetlenségének megőrzése szintén a GDPR 23. cikkének (1) bekezdése értelmében vett jogszerű célnak minősül. Az uniós jogalkotó ugyanis az európai adatvédelmi rendszerben vezető szerepet biztosít számukra, amint azt egyrészt e rendelet – teljes függetlenségüket garantáló – 52. cikke, másrészt pedig az említett rendelet 57. és 58. cikkében előírt vizsgálati és korrekciós hatáskörök terjedelme is tanúsítja.(32) E tekintetben a Bíróság ítélkezési gyakorlatában hangsúlyozta, hogy biztosítani kell e hatóságok megfelelő működését, többek között annak biztosításával, hogy azt ne akadályozzák a GDPR 57. cikkének (4) bekezdése értelmében vett egyértelműen megalapozatlan vagy túlzó panaszok.(33)
74.      Ennélfogva és a GDPR 23. cikke (1) bekezdésének h) pontjára tekintettel, amely lehetővé teszi korlátozások elfogadását, amennyiben azok a közhatalmi feladatok ellátásához kapcsolódó „ellenőrzési” és „vizsgálati” tevékenység folytatásához szükségesek, a hozzáférési jog korlátozása főszabály szerint igazolható lehet. Egyébiránt a meglévő párhuzamosságokra tekintettel figyelembe kell venni a GDPR 23. cikke (1) bekezdésének f) pontjában meghatározott és e rendelet (73) preambulumbekezdésében pontosított, az igazságszolgáltatás függetlenségének biztosítására és a bírósági eljárások lefolytatásának védelmére irányuló célkitűzést is. Kétségtelen, hogy a felügyeleti hatóságok nem tartoznak az igazságszolgáltatási rendszerhez; a jogalkalmazásért felelős állami szervekhez hasonlóan azonban lényeges szerepet játszanak a személyes adatok védelmére vonatkozó jogszabályok megsértésének felderítésében és szankcionálásában. Ebből következik, hogy e rendelkezés analógia útján történő alkalmazása mindenesetre elképzelhető.
3)      A közbiztonság védelme
75.      A teljesség kedvéért meg kell jegyezni, hogy az előzetes döntéshozatalra utaló határozat a GDPR 23. cikke (1) bekezdésének c) pontja értelmében vett közbiztonság védelmére is hivatkozik esetleges igazolási okként, anélkül azonban, hogy pontosabb információkkal szolgálna. Egyet kell azonban érteni a kérdést előterjesztő bíróság és a Bizottság azon értékelésével, amely szerint az ilyen hivatkozás nyilvánvalóan nem megalapozott. Az alapügynek a kérdést előterjesztő bíróság által ismertetett tényállására tekintettel ugyanis az ilyen korlátozás nyilvánvalóan nem tűnik relevánsnak. Következésképpen ezt az igazoló okot ki kell zárni az alábbi elemzésből.
b)      A GDPR szabályozási kerete által támasztott követelmények
76.      Egyrészt meg kell állapítani, hogy a harmadik felek személyes adatainak bizalmas jellegéhez fűződő érdeket a BayDSG 20. cikkének (2) bekezdéséhez hasonló nemzeti szabályozás megfelelően figyelembe veszi, amennyiben kategorikusan tiltja az ilyen adatok közlését. Ezenkívül nem zárható ki, hogy a felügyeleti hatóságoknak a hozzáférés iránti kérelmek kezelése keretében történő együttműködésének hiánya az emberi és anyagi erőforrások más tevékenységi területekre történő átcsoportosításához vezethet, amely adott esetben bizonyos hatékonyságnövekedést eredményezhet.
77.      Másrészt kétségeket vet fel, hogy az ilyen körülmények megfelelnek‑e az uniós jogalkotó által a GDPR elfogadásakor létrehozott szabályozási keretnek, és különösen e rendelet általános rendszerének, amely több érdek – az adatkezelés átláthatósága, szükség esetén bizalmas jellegének megőrzése, valamint ezen érdekek felügyeleti hatóságok általi hatékony védelme – közötti egyensúlyon alapul. Az olyan nemzeti szabályozás tehát, amely nem tükrözi megfelelően az ezen érdekek között megteremtett egyensúlyt, nem felelhet meg a GDPR 23. cikkének (1) bekezdésében foglalt követelményeknek. Ugyanez vonatkozik arra az esetre is, ha nyilvánvaló, hogy az alapvető jogokat kevésbé sértő, de a kitűzött célok elérése szempontjából ugyanolyan hatékony intézkedések is elképzelhetők.(34)
78.      E tekintetben emlékeztetni kell arra, hogy a GDPR a 15. cikkében előírt hozzáférési jogot az átláthatóság elvének lényegi elemeként alakította ki. Ez a minősítés egyértelműen kitűnik e rendelet (63) preambulumbekezdéséből, amely szerint az érintett számára lehetővé kell tenni „az adatkezelés […] megállapítás[át]” annak érdekében, hogy biztosítsák az említett rendelet által rá ruházott jogok tényleges érvényesülését. A Bíróság ezt többször megerősítette, megállapítva, hogy a hozzáférési jog központi helyet foglal el az ugyanezen rendelet által létrehozott szabályozás általános rendszerében. Az olyan nemzeti rendelkezés tehát, amely általános jelleggel és különbségtétel nélkül megfosztja az érintettet ettől a jogtól, sérti az uniós jogalkotó által létrehozott védelmi rendszer lényegét.
79.      Igaz ugyan, hogy a GDPR 23. cikke lehetővé teszi az érintettek jogainak, köztük a hozzáférési jognak közérdekből történő korlátozását, ugyanakkor megköveteli, hogy az ilyen korlátozások kellően pontos jogalapon alapuljanak. Ennek az alapnak egyértelműen meg kell határoznia a korlátozás jellegét, hatályát és korlátait, valamint a visszaélések kockázatának megelőzéséhez szükséges garanciákat. E rendelet (41) preambulumbekezdése ebben az értelemben pontosítja, hogy az említett rendelet által biztosított valamely jog korlátozásának „világosnak és pontosnak”, és az érintett számára „előreláthatónak” kell lennie, az érintettnek továbbá képesnek kell lennie arra, hogy meghatározza a jogai lehetséges korlátozásának mértékét.(35) Az olyan nemzeti rendelkezés, amely anélkül írja elő a hozzáférési jog teljes kizárását, hogy meghatározná e kizárás tárgyi vagy személyi hatályát, vagy biztosítékokat írna elő, nem felelhet meg az így támasztott követelményeknek.
80.      Ezenkívül a GDPR (60) preambulumbekezdése emlékeztet arra, hogy az átláthatóság a személyes adatok kezelésének egyik alapelve, amely a hatóságok tevékenységére is alkalmazandó. Bár bizonyos információk ideiglenesen kivonhatók a panaszeljárás keretében történő közlés köréből, különösen annak érdekében, hogy ne veszélyeztessék a jogsértések megelőzését, felderítését vagy kivizsgálását,(36) e fenntartásnak szigorúan szükségesnek és arányosnak kell maradnia, és nem vezethet az átláthatóság érintett személy vonatkozásában történő teljes semlegesítéséhez. Az olyan nemzeti rendelkezés tehát, amely kizárja a hozzáférés minden formáját anélkül, hogy különbséget tenne a személyes adatok és a belső dokumentumok között, sérti a GDPR rendszerét.
81.      A Bíróság a Charta 52. cikkének (1) bekezdésére tekintettel azt is kimondta, hogy valamely alapvető jog korlátozásának nemcsak a jogszerűség és az arányosság elvének, hanem a szóban forgó jog „lényeges tartalmának” tiszteletben tartását előíró elvnek is meg kell felelnie.(37) A GDPR (4) preambulumbekezdése megerősíti, hogy a személyes adatok védelme a Charta 8. cikkében rögzített alapvető jog, amelynek korlátozására csak az arányosság elvének tiszteletben tartása mellett kerülhet sor. A hozzáférési jog teljes kizárása azonban azt eredményezi, hogy az érintettet megfosztják e jog lényegétől, megakadályozva őt abban, hogy akár minimális mértékben is ellenőrizze a rá vonatkozó adatkezelést.
82.      A GDPR (75) preambulumbekezdése kiegészítő jelleggel hangsúlyozza, hogy az átláthatóság hiánya vagy elégtelensége önmagában olyan kockázatot jelent, amely súlyosan érintheti az érintettek jogait és szabadságait. Az olyan szabályozás, amely teljes mértékben megfosztja az érintettet attól a lehetőségtől, hogy megismerje a rá vonatkozóan végzett adatkezelést, éppen azt a kockázati helyzetet hozza létre, amelyet a jogalkotó meg kívánt előzni.
83.      Hozzá kell tenni, hogy a GDPR (129) preambulumbekezdése a felügyeleti hatóságokat olyan független szervekként határozza meg, amelyek felelősek e rendelet végrehajtásáért és az érintettek jogainak védelméért. Ez a feladat, valamint a GDPR által létrehozott felügyeleti mechanizmusban betöltött helyük azonban nem jelenti azt, hogy mentesülnének az e mechanizmusból eredő valamennyi kötelezettség alól. Épp ellenkezőleg, a GDPR olyan koherens jogi keretet hoz létre, amelyben a felügyeleti hatóságokra jogkörük gyakorlása során továbbra is teljes mértékben vonatkoznak az e rendelet által megállapított szabályok, különösen az érintettek jogaira vonatkozó szabályok. Az olyan nemzeti rendelkezés, amely teljes mértékben kizárja az érintettre vonatkozó adatok közlését, aláássa ezt az egyensúlyt, és sérti a felügyeleti hatóságok elszámoltathatóságának követelményét.
84.      A hozzáférési jog teljes kizárása ezenkívül nyilvánvalóan összeegyeztethetetlen
a GDPR azon célkitűzésével, hogy magas szintű adatvédelmet biztosítson a természetes személyek számára, amint arra e rendelet (10) preambulumbekezdése emlékeztet.(38) Az így elérni kívánt védelmi szint alapvetően az átláthatóságon és az érintett azon lehetőségén alapul, hogy ellenőrizze a rá vonatkozó adatkezelési műveleteket. Az említett rendelet 15. cikkében előírt hozzáférési jog e tekintetben elengedhetetlen tényezőnek minősül, mivel megalapozza az érintettek valamennyi egyéb jogának tényleges gyakorlását.(39) E jog általános jelleggel történő kizárása bizonyos adatkezeléseket minden egyedi ellenőrzés alól kivonna, és így veszélyeztetné az uniós jogalkotó által elérni kívánt magas szintű védelem hatékonyságát.
85.      A hozzáférési jog korlátozásának igazolása érdekében hivatkozott, a harmadik felek jogainak és szabadságainak védelmére irányuló célkitűzést illetően emlékeztetni kell arra, hogy a Bíróság kimondta, hogy a hozzáférési jog és mások jogai vagy szabadságai közötti ellentét esetén a hatóságoknak egyensúlyt kell teremteniük a fennálló érdekek között. A GDPR (63) preambulumbekezdéséből kifejezetten kitűnik, hogy ez az egyensúlyteremtés semmi esetre sem igazolhatja a hozzáféréstől való teljes megfosztást.(40) Megfelelő intézkedések, így például az adatok részleges közlése, kitakarása vagy anonimizálása, a bejelentők személyazonosságának védelme, a dokumentumok kategóriái szerinti eltérő kezelés vagy a strukturált, nem egyénített információk közlése lehetővé teszik a szóban forgó érdekeknek a hozzáférési jog teljes megszüntetése nélkül történő összeegyeztetését.
86.      Ami a felügyeleti hatóságok feladatainak független és hatékony gyakorlása biztosításának hivatkozott szükségességét illeti, nem világos, hogy a GDPR 15. cikkében előírt hozzáférési jog gyakorlása mennyiben veszélyeztetné ezt a célt. Egyet kell érteni a kérdést előterjesztő bíróság azon értékelésével, amely szerint a felügyeleti hatóságok függetlensége egyáltalán nem jelenti azt, hogy az általuk végzett személyesadat‑kezelés jogszerűségét ki kellene vonni az érintett ellenőrzése alól. Az információhoz való hozzáférés által adott esetben előmozdított „befolyás” Landesamt által hivatkozott veszélyét ezért el kell utasítani.
87.      Egyébiránt, amint azt a jelen indítványban kifejtettem, a GDPR 15. cikke nem biztosít az ügyirathoz való általános hozzáférési jogot,(41) így az ebből eredő adminisztratív tehernek korlátozottnak kell maradnia. Ettől függetlenül meg kell jegyezni, hogy e rendelet 12. cikkének (5) bekezdése megfelelő eszközt biztosít a felügyeleti hatóságok számára a visszaélésszerű vagy túlzó kérelmek kezelésére.(42) A hatóságok hatáskörrel rendelkeznek arra is, hogy különböző ügykezelési intézkedéseket fogadjanak el, például az eljárás során ideiglenesen tartózkodjanak az információszolgáltatástól, kizárjanak bizonyos belső dokumentumokat a hozzáférhetővé tételből, különbséget tegyenek a különböző típusú eljárások között, csak a már lezárt szakaszokra vonatkozó információkat közöljenek, vagy olyan szervezeti mechanizmusokat vezessenek be, amelyek biztosítják, hogy a hozzáférés iránti kérelmek ne zavarják meg a belső folyamatokat. Az ilyen intézkedések lehetővé teszik a felügyeleti hatóságok megfelelő működésének biztosítását, anélkül azonban, hogy teljes mértékben kizárnák a GDPR 15. cikkében előírt hozzáférési jogot.
88.      Arra is emlékeztetni kell, hogy a felügyeleti hatóságok hatékonysága meghatározó módon a feladataik és hatásköreik eredményes ellátásához, illetve gyakorlásához szükséges eszközöknek, vagyis emberi, műszaki és pénzügyi forrásoknak, helyiségeknek és infrastruktúrának a rendelkezésükre bocsátásától függ.(43) A GDPR 52. cikkének (4) bekezdése kifejezetten előírja a tagállamok számára, hogy ezt biztosítsák. Ebből a szempontból a felügyeleti hatóságok működőképességének kérdése nem korlátozható kizárólag a GDPR 15. cikkén alapuló hozzáférés iránti kérelmek számára. A hatóságok számára biztosított eszközök elégtelensége semmilyen körülmények között nem vezethet a személyes adatok védelmi szintjének csökkenéséhez.
89.      Az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a BayDSG 20. cikkének (2) bekezdése a német jogrendben egyedinek minősül, mivel egyetlen más tartomány sem írja elő a hozzáférési jog hasonló kizárását. Az ilyen normatív elszigeteltség erősen valószínűsíti, hogy az ilyen terjedelmű korlátozás nem tekinthető szükségesnek vagy arányosnak a GDPR 23. cikkének (1) bekezdése értelmében. Mivel az összes többi felügyeleti hatóság az érintettek jogainak általános megvonása nélkül látja el feladatait, nehezen állítható, hogy az ilyen intézkedés elengedhetetlen lenne a hatóság megfelelő működéséhez vagy harmadik felek jogainak védelméhez. Úgy tűnik, hogy egy csupán egyetlen tartományban fennálló szabályozás, amely lényegesen nagyobb mértékben korlátozza a GDPR által biztosított jogokat, mint az ország területének többi részén elfogadott szabályozások, nem felel meg a koherencia, a szükségesség és az arányosság uniós jogból eredő követelményeinek.
90.      Meg kell tehát állapítani, hogy a hivatkozott két cél – a harmadik felek jogainak védelme és a felügyeleti hatóságok feladatai megfelelő ellátásának fenntartása – tekintetében kevésbé korlátozó, differenciált és az uniós jognak megfelelő intézkedések is lehetővé teszik a kívánt eredmények elérését anélkül, hogy megszüntetnék a hozzáférési jog lényegét, megszüntetnék az érintettel szemben megkövetelt átláthatóságot, és akadályoznák az elvégzett adatkezelés jogszerűsége felülvizsgálatának lehetőségét.
91.      További meghatározó szempontot jelent az, hogy a BayDSG 20. cikkének (2) bekezdése nem teszi lehetővé a nemzeti jogalkotó által követett cél azonosítását. Amint az a kérdést előterjesztő bíróság által szolgáltatott információkból kitűnik, az előkészítő anyagok a GDPR 23. cikkének jogalapként való említésére szorítkoznak, anélkül azonban, hogy az e rendelkezésben felsorolt célok valamelyikére hivatkoznának. Márpedig e 23. cikk megköveteli, hogy a korlátozás célja magából a rendelkezésből egyértelműen kitűnjön, ami szükséges feltétele a szükségesség és az arányosság elve tiszteletben tartása hatékony felülvizsgálatának.
92.      Az egyértelműség e követelménye nem orvosolható az EUMSZ 267. cikk szerinti előzetes döntéshozatali eljárásban részt vevő fél által utólag előterjesztett igazolások révén, különösen akkor, ha a szóban forgó korlátozás e fél érdekeit szolgálja. E lehetőség elfogadása azt jelentené, hogy a demokratikus felelősséggel tartozó jogalkotó akaratát egy peres eljárás keretében kialakított érvelési konstrukcióval helyettesítenék, ami összeegyeztethetetlen a GDPR 23. cikkének (1) és (2) bekezdéséből eredő előreláthatóság, normatív átláthatóság és jogbiztonság követelményeivel.
93.      E körülmények között meg kell állapítani, hogy a hozzáférési jog BayDSG 20. cikkének (2) bekezdésében előírthoz hasonló általános és különbségtétel nélküli kizárása nem felel meg a GDPR 23. cikkében foglalt követelményeknek, mivel nem tartalmazza az e cikk (2) bekezdésében kifejezetten megkövetelt elemek egyikét sem, és nem tartja tiszteletben e rendelet releváns preambulumbekezdésekből következő rendszerét és célját. Az ilyen rendelkezés nyilvánvalóan aránytalan és nem kellően meghatározott, és alkalmas arra, hogy megfossza a hozzáférési jogot lényeges tartalmától.
3.      Közbenső következtetés
94.      A fent kifejtett okokból úgy vélem, hogy a GDPR 23. cikkét úgy kell értelmezni, hogy azzal ellentétes a BayDSG 20. cikkének (2) bekezdéséhez hasonló nemzeti szabályozás, amennyiben az a felügyeleti hatóság vonatkozásában kizárja az e rendelet 15. cikkén alapuló hozzáférési jog mint olyan fennállását.
VI.    Végkövetkeztetés
95.      A fenti megfontolásokra tekintettel azt javaslom, hogy a Bíróság a Bayerisches Verwaltungsgericht Ansbach (ansbachi bajor közigazgatási bíróság, Németország) által előzetes döntéshozatalra előterjesztett kérdésekre a következő választ adja:
1)      A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 15. cikkét a rendelet 4. cikkének 7. pontjával összefüggésben
a következőképpen kell értelmezni:
az e rendelet 77. cikkén alapuló panaszeljárás keretében eljáró, az említett rendelet 4. cikkének 21. pontja szerinti felügyeleti hatóság az ugyanezen rendelet értelmében vett „adatkezelőnek” is minősül, és így köteles biztosítani az érintett számára az ugyanezen 2016/679 rendelet 15. cikkében előírt hozzáférési jogot.
2)      A 2016/679 rendelet 23. cikkét
a következőképpen kell értelmezni:
azzal ellentétes a bajor adatvédelmi törvény 20. cikkének (2) bekezdésében foglalthoz hasonló nemzeti szabályozás, amely a bajor adatvédelmi felügyeleti hatóság vonatkozásában kizárja az e rendelet 15. cikkén alapuló hozzáférési jog mint olyan fennállását.
1      Eredeti nyelv: francia.
2      HL 2016 L 119., 1 o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.
3      Lásd a jelen indítvány 24. és azt követő pontjait.
4      Lásd a jelen indítvány 65. és azt követő pontjait.
5      Lásd: 2019. július 29‑i Fashion ID ítélet (C‑40/17, EU:C:2019:629, 65. és 66. pont).
6      A Bíróság ítéletében egyenesen azt állapította meg, hogy minősülhet „adatkezelőnek” az a természetes vagy jogi személy, aki vagy amely – saját céljaiból – befolyást gyakorol a személyes adatok kezelésére és emiatt részt vesz a kezelés céljainak és módjának meghatározásában (lásd: 2018. július 10‑i Jehovan todistajat ítélet, C‑25/17, [EU:C:2018:551, 68. pont]; 2019. július 29‑i Fashion ID ítélet, C‑40/17 [EU:C:2019:629, 68. pont]).
7      A
GDPRt nem határozza meg kifejezetten, hogy mi a „panasz”, de a 77. cikk szövege első támponttal szolgál erre vonatkozóan. Az Európai Adatvédelmi Testület iránymutatásai szerint a panasz egy olyan, azonosított természetes személy – vagy a 80. cikk feltételeinek megfelelő szerv – által a felügyeleti hatósághoz intézett beadvány, akinek vagy amelynek a megítélése szerint az adatainak kezelése sérti a GDPR‑t. Az Európai Adatvédelmi Testület pontosítja, hogy ez a fogalom nem korlátozódik a III. fejezetben foglalt jogok megsértésére, hanem tágabb értelemben magában foglalja a rendeletnek a panaszos személyes adatainak kezeléséből eredő bármely megsértését (Európai Adatvédelmi Testület, Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, elfogadva 2020. december 15‑én, 3. o.).
8      Lásd: 2023. december 7‑i SCHUFA Holding (A fennálló tartozás elengedése) ítélet (C‑26/22 és C‑64/22, EU:C:2023:958, 58. pont); 2024. szeptember 26‑i Land Hessen (Az adatvédelmi hatóság eljárási kötelezettsége) ítélet (C‑768/21, EU:C:2024:785, 35. pont); 2025. január 9‑i Österreichische Datenschutzbehörde (Túlzó kérelmek) ítélet (C‑416/23, EU:C:2025:3, 39. pont).
9      Lásd: az EFTA‑Bíróság 2020. december 10‑i Adpublisher AG kontra J & K ítélete (E‑11/19 és E‑112/19 egyesített ügyek, 45. pont).
10      Lásd: 2015. október 6‑i Schrems ítélet (C‑362/14, EU:C:2015:650, 63. pont); 2020. július 16‑i Facebook Ireland és Schrems ítélet (C‑311/18, EU:C:2020:559, 107. pont); 2023. december 7‑i SCHUFA Holding (A fennálló tartozás elengedése) ítélet (C‑26/22 és C‑64/22, EU:C:2023:958, 56. pont); 2024. szeptember 26‑i Land Hessen (Az adatvédelmi hatóság eljárási kötelezettsége) ítélet (C‑768/21, EU:C:2024:785, 32. pont).
11      Ebben az összefüggésben emlékeztetni kell Pikamäe főtanácsnok SCHUFA Holding (A fennálló tartozás elengedése) egyesített ügyekre vonatkozó indítványára (C‑26/22 és C‑64/22, EU:C:2023:222, 42. pont), amelyben a főtanácsnok hangsúlyozta, hogy az uniós jogalkotó nem kívánta a panaszeljárást egyszerű „petícióhoz” hasonló mechanizmussá tenni. Éppen ellenkezőleg, a cél egy olyan mechanizmus létrehozása volt, amely képes hatékonyan megvédeni a panaszosok jogait és érdekeit. Közelebbről, a GDPR 57. cikke (1) bekezdésének f) pontjában foglalt kötelezettségek, amelyek e panaszok kezelése keretében a felügyeleti hatóságot terhelik, és amelyek a „megfelelő ügyintézés” elvének körébe tartoznak, a jogalkotó azon szándékát tanúsítják, hogy ezt az eljárást egy „valódi közigazgatási jogorvoslati eszköz” lényegével ruházza fel.
12      Lásd: 2024. szeptember 26‑i Land Hessen (Az adatvédelmi hatóság eljárási kötelezettsége) ítélet (C‑768/21, EU:C:2024:785, 42. pont).
13      Lásd: 2023. december 7‑i SCHUFA Holding (A fennálló tartozás elengedése) ítélet (C‑26/22 és C‑64/22, EU:C:2023:958, 70. pont); 2024. szeptember 26‑i Land Hessen (Az adatvédelmi hatóság eljárási kötelezettsége) ítélet (C‑768/21, EU:C:2024:785, 49. pont).
14      Az uniós jogban nincsenek egységes rendelkezések a panaszok felügyeleti hatóságok általi konkrét kezelésére vonatkozóan. A közigazgatási gyakorlat ezért bizonyos eltéréseket mutat a tagállamok között. Mindazonáltal az Európai Adatvédelmi Testület iránymutatások és „legjobb gyakorlatok” kidolgozása révén törekszik az felügyeleti tevékenység és az eljárási szabályok bizonyos fokú összehangolására, különösen a panaszok befogadása vagy archiválása, a békés vitarendezés stb. tekintetében (lásd e tekintetben: Európai Adatvédelmi Testület, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, elfogadták 2020. december 15‑én).
15      Amint arra az EFTA‑Bíróság 2020. december 10‑i Adpublisher AG kontra J & K ítéletében (E‑11/19. és E‑12/19. sz.
egyesített ügyek, 60. pont) rámutatott, a felügyeleti hatóság a GDPR 57. cikke (1) bekezdésének h) pontja értelmében jogosult arra, hogy hivatalból vizsgálatot indítson. Ennélfogva a panasz vizsgálata keretében más kérelmekről vagy a jogvita más tárgyáról is határozhat, mint amelyekre a panaszos hivatkozott. A panaszeljárás hatékonysága megköveteli, hogy a felügyeleti hatóságot vizsgálati hatáskörének gyakorlása során ne korlátozza az, ahogyan a panaszos a panaszában a releváns jogkérdéseket megfogalmazta.
16      Úgy tűnik, hogy a felügyeleti hatóságok a panaszokat vagy a nemzeti jog rendelkezései alapján, vagy saját mérlegelési mozgásterüktől függően kezelik. Úgy tűnik továbbá, hogy különbségek vannak a panaszoknak pragmatikus kritériumok alapján vagy egyszerűsített eljárás keretében történő kezelése tekintetében is (lásd e tekintetben: González Fuster, G. és mások, „The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR”, Access Now, Open Universiteit, 2022, 30. o.).
17      Lásd: 2024. január 11‑i État belge (Hivatalos lap által kezelt adatok) ítélet (C‑231/22, EU:C:2024:7, 39. pont); 2025. február 27‑i Amt der Tiroler Landesregierung ítélet (C‑638/23, EU:C:2025:127, 49. pont).
18      A Bíróság kérésére a Landesamt ismertette a panaszok kezelésével kapcsolatos közigazgatási gyakorlatát. E tekintetben pontosította, hogy a panaszosok – akár elektronikus úton is – kérelmeket intézhetnek a Landesamt illetékes tisztviselőihez, és kérhetnek az ügyiratokhoz való hozzáférést. Ebből az ismertetésből egyértelműen kitűnik, hogy azok a szabályok, amelyek szerint a Landesamt a panaszokat kezeli, különösen a gyűjtött adatok, az elfogadott szervezési intézkedések és az elvégzett vizsgálatok tekintetében, a GDPR által a feladatai ellátása során számára biztosított autonómia körébe tartoznak.
19      Möhle, J.‑P., „Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht”, Die Öffentliche Verwaltung, 2023, 3. szám, 108. o., kifejti, hogy az adatvédelmi jogból eredő kötelezettségek (például a tájékoztatási, az együttműködési vagy az elszámoltathatóságra vonatkozó kötelezettség) csak a befolyás gyakorlására ténylegesen képes, vagyis olyan személyt terhelhetik, aki képes a jövőben megelőzni az adatvédelmi szabályok megsértését. Véleményem szerint nem kétséges, hogy a panaszeljárás keretében csak a felügyeleti hatóság felelhet meg ennek a meghatározásnak.
20      Márpedig, amint azt a Bíróság kimondta, az „adatkezelő” fogalmának tág meghatározása révén elérni kívánt cél éppen az érintettek hatékony és teljes védelmének biztosítása (lásd: 2014. május 13‑i Google Spain és Google ítélet C‑131/12, EU:C:2014:317, 34. pont; 2019. július 29‑i Fashion ID ítélet, C‑40/17, EU:C:2019:629, 66. pont; 2018. június 5‑i Wirtschaftsakademie Schleswig‑Holstein ítélet, C‑210/16, EU:C:2018:388, 28. pont).
21      Lásd ebben az értelemben: Kunert, J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG”, GRUR‑Prax, 2025, 9. szám, 324. o.
22      Lásd: 2023. június 22‑i Pankki S ítélet (C‑579/21, EU:C:2023:501, 50. pont).
23      Lásd: 2023. május 4‑i Österreichische Datenschutzbehörde és CRIF ítélet (C‑487/21, EU:C:2023:369, 33. és 34. pont).
24      Lásd: 2023. május 4‑i Österreichische Datenschutzbehörde és CRIF ítélet (C‑487/21, EU:C:2023:369, 41. pont).
25      Lásd: 2017. december 20‑i Nowak ítélet (C‑434/16, EU:C:2017:994, 57. pont); 2023. január 12‑i Österreichische Post (A személyes adatok címzettjeire vonatkozó információk) ítélet (C‑154/21, EU:C:2023:3, 38. pont); 2023. május 4‑i Österreichische Datenschutzbehörde és CRIF ítélet (C‑487/21, EU:C:2023:369, 35. pont).
26      Zanfir‑Fortuna, G., „Article 15. Right of access by the data subject”, in:
Kuner, C., Bygrave, L. A. & Docksey, C. (szerk.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, 452. o., hangsúlyozza, hogy különbséget kell tenni a GDPR 15. cikkében rögzített, a saját személyes adatokhoz való hozzáférési jog és a nyilvános információkhoz való hozzáférési jog között. E két jog eltérő normatív célokon alapul: az első célja az átláthatóságnak azon személy tekintetében történő biztosítása, akinek az adatait valamely adatkezelő gyűjti és kezeli (inter partes átláthatóság), míg a második a nyilvánosság számára értékkel bíró vagy közérdekű információkra vonatkozóan a nyilvánosság tekintetében irányul az átláthatóság biztosítására (erga omnes átláthatóság).
27      Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia”, Juridical Tribune – Review of Comparative and International Law, 13. kötet, 2. szám (2023), 210. o., az információkhoz való hozzáférés szabadságára vonatkozó hatályos törvényekre hivatkozik.
28      Schemmer, F., „Der Auskunftsanspruch der DS‑GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS‑GVO und dessen Grenzen”, Zeitschrift für das gesamte Informationsrecht, 2024, 5. szám, 210. o.
29      Lásd: 2007. március 6‑i Placanica és társai ítélet (C‑338/04, C‑359/04 és C‑360/04, EU:C:2007:133, 34. pont); 2022. június 21‑i Ligue des droits humains ítélet (C‑817/19, EU:C:2022:491, 240. pont).
30      Lásd: 2001. október 25‑i Ambulanz Glöckner ítélet (C‑475/99, EU:C:2001:577, 10. pont); 2024. november 14‑i S. (Az ítélkező testület módosítása) ítélet (C‑197/23, EU:C:2024:956, 43. pont).
31      Lásd: 2020. július 16‑i Facebook Ireland és Schrems ítélet (C‑311/18, EU:C:2020:559, 172. pont); 2023. január 12‑i Österreichische Post (A személyes adatok címzettjeire vonatkozó információk) ítélet (C‑154/21, EU:C:2023:3, 47. pont); 2024. március 21‑i Landeshauptstadt Wiesbaden ítélet (C‑61/22, EU:C:2024:251, 75. pont).
32      Giurgiu, A./Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More »European«
DPAs as Guardians of Consistency?”, European Data Protection Law Review, 3. szám (2016), 352. o., a felügyeleti hatóságokat az egyének jogai fő biztosítékainak tekintik a GDPR által előírt adatvédelmi szabályok felügyelete és alkalmazása terén betöltött központi szerepük miatt. Hangsúlyozzák annak fontosságát, hogy e hatóságok számára megfelelő személyzetet és pénzügyi eszközöket biztosítsanak ahhoz, hogy hatékonyan el tudják látni feladataikat.
33      Lásd: 2025. január 9‑i Österreichische Datenschutzbehörde (Túlzó kérelmek) ítélet (C‑416/23, EU:C:2025:3, 40. pont).
34      Lásd: 2022. augusztus 1‑jei Vyriausioji tarnybinės etikos komisija ítélet (C‑184/20, EU:C:2022:601, 85. pont).
35      Lásd: 2022. február 24‑i Valsts ieņēmumu dienests (Személyes adatok adóügyi célból történő kezelése) ítélet (C‑175/20, EU:C:2022:124, 56. pont).
36      Lásd e tekintetben: Európai Adatvédelmi Testület, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), elfogadták 2021. október 13‑án, 65–67. és 82. pont, amely a közigazgatási vizsgálatok veszélyeztetésének elkerülése érdekében az érintettek bizonyos jogainak gyakorlására vonatkozó ideiglenes korlátozásokat ajánl.
37      Lásd: 2014. április 8‑i Digital Rights Ireland és társai ítélet (C‑293/12 és C‑594/12, EU:C:2014:238, 38. pont); 2015. október 6‑i Schrems ítélet (C‑362/14, EU:C:2015:650, 94. pont); 2020. július 16‑i Facebook Ireland és Schrems ítélet (C‑311/18, EU:C:2020:559, 174. pont); 2020. október 6‑i La Quadrature du Net és társai ítélet (C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791, 121. pont).
38      A Bíróság állandó ítélkezési gyakorlatában emlékeztetett e célkitűzésre, és hangsúlyozta, hogy a személyes adatok védelmét mind az EUMSZ 16. cikk, mind pedig a Charta 8. cikke biztosítja, így e jogot az elsődleges uniós jog két rendelkezése rögzíti (lásd: 2023. január 12‑i Nemzeti Adatvédelmi és Információszabadság Hatóság ítélet, C‑132/21, EU:C:2023:2, 43. pont).
39      Lásd: 2023. június 22‑i Pankki S ítélet (C‑579/21, EU:C:2023:501, 53. és azt követő pontok).
40      Lásd: 2023. május 4‑i Österreichische Datenschutzbehörde és CRIF ítélet (C‑487/21, EU:C:2023:369, 44. pont).
41      Lásd a jelen indítvány 59. és azt követő pontjait.
42      Lásd: 2023. január 12‑i Österreichische Post (A személyes adatok címzettjeire vonatkozó információk) ítélet (C‑154/21, EU:C:2023:3, 49. pont). Amint azt a Bíróság hangsúlyozta, a hozzáférés iránti kérelem GDPR 12. cikkének (5) bekezdése értelmében nyilvánvalóan megalapozatlan vagy túlzó jellegének bizonyítása az adatkezelőt terheli.
43      Lásd e tekintetben: Az Európai Unió Alapjogi Ügynöksége (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxembourg, 2024. június 11., 21. o., amely az évek során a felügyeleti hatóságok rendelkezésére álló forrásokat „általában véve elégtelenként” írja le. A GDPR alkalmazásának Bizottság általi első értékelését követően az Európai Parlament állásfoglalást fogadott el, amelyben felszólította a tagállamokat, hogy tegyenek eleget a GDPR 52. cikkének (4) bekezdése szerinti azon kötelezettségüknek, hogy elegendő erőforrásokat biztosítsanak felügyeleti hatóságaik számára ahhoz, hogy feladataikat a lehető legjobban tudják ellátni, és európai szinten egyenlő versenyfeltételeket biztosítsanak a GDPR alkalmazása tekintetében.