Ideiglenes változat
DEAN SPIELMANN
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2025. október 16.(1)
C‑484/24. sz. ügy
NTH Haustechnik GmbH
kontra
EM
(a Landesarbeitsgericht Niedersachsen [alsó‑szászországi munkaügyi fellebbviteli bíróság, Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
„ Előzetes döntéshozatal – A személyes adatok védelme – A munkaügyi bírósági eljárás keretében történő adatkezelés jogszerűsége – A munkavállaló súlyos kötelezettségszegésének bizonyítása céljából a munkáltató által gyűjtött adatok – Jogellenesen szerzett bizonyítékok kezelése – A korlátozott tárolhatóság elve – A tagállamok eljárási autonómiája ”
Bevezetés
1.        A jelen, a Bíróság kérésének megfelelően célzott indítvány tárgyát képező előzetes döntéshozatalra előterjesztett kérdés az (EU) 2016/679 rendelet(2) 5. cikke (1) bekezdése e) pontjának értelmezésére vonatkozik. A Bíróságnak lényegében azzal a kérdéssel kell foglalkoznia, hogy a nemzeti bíróság jogszerűen kezelheti‑e, és ha igen, milyen mértékben a nemzeti bírósági eljárás keretében bizonyítékként szolgáltatott azon személyes adatokat, amelyeket az eredetileg a korlátozott tárolhatóság elvének megsértésével gyűjtött vagy tárolt egyéb személyes adatok felhasználásával gyűjtöttek.
2.        Az előzetes döntéshozatal iránti kérelmet a Landesarbeitsgericht Niedersachsen (alsó‑szászországi munkaügyi fellebbviteli bíróság, Németország) terjesztette elő egy, az NTH Haustechnik GmbH (a továbbiakban: NTH) és annak korábbi alkalmazottja (a továbbiakban: alperes) között folyamatban lévő jogvitában, amelynek tárgya az NTH tulajdonát képező vagyontárgyak alperes általi engedély nélküli online értékesítésével kapcsolatos kár megtérítése iránt indított kártérítési kereset.
Jogi háttér
Az uniós jog
3.        A GDPR‑nak „A személyes adatok kezelésére vonatkozó elvek” című 5. cikkének (1) bekezdése a következőképpen rendelkezik:
„(1)      A személyes adatok:
a)      kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni (»jogszerűség, tisztességes eljárás és átláthatóság«);
[…]
e)      tárolásának olyan formában kell történnie, amely az érintettek azonosítását csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig teszi lehetővé; a személyes adatok ennél hosszabb ideig történő tárolására csak akkor kerülhet sor, amennyiben a személyes adatok kezelésére a 89. cikk (1) bekezdésének megfelelően közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból kerül majd sor, az e rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt megfelelő technikai és szervezési intézkedések végrehajtására is figyelemmel (»korlátozott tárolhatóság«);
[…]”
4.        A GDPR‑nak „Az adatkezelés jogszerűsége” című 6. cikke kimondja, hogy:
„(1)      A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:
[…]
e)      az adatkezelés közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges;
[…]
(2)      Az e rendeletben foglalt, adatkezelésre vonatkozó szabályok alkalmazásának kiigazítása érdekében, a tagállamok az (1) bekezdés c) és e) pontjának való megfelelés céljából fenntarthatnak vagy bevezethetnek konkrétabb rendelkezéseket, amelyekben pontosabban meghatározzák az adatkezelésre vonatkozó konkrét követelményeket, és amelyekben további intézkedéseket tesznek az adatkezelés jogszerűségének és tisztességességének biztosítására, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzeteket is.
(3)      Az (1) bekezdés c) és e) pontja szerinti adatkezelés jogalapját a következőknek kell megállapítania:
a)      az uniós jog, vagy
b)      azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.
Az adatkezelés célját e jogalapra hivatkozással kell meghatározni, illetve az (1) bekezdés e) pontjában említett adatkezelés tekintetében annak szükségesnek kell lennie valamely közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához. Ez a jogalap tartalmazhat az e rendeletben foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, az adatkezelés tárgyát képező adatok típusát, az érintetteket, azokat a jogalanyokat, amelyekkel a személyes adatok közölhetők, illetve az ilyen adatközlés céljait, az adatkezelés céljára vonatkozó korlátozásokat, az adattárolás időtartamát és az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan. Az uniós vagy tagállami jognak közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal.
[…]”
5.        A GDPR „Korlátozások” című 23. cikke előírja:
„(1)      Az adatkezelőre vagy adatfeldolgozóra alkalmazandó uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja a 12–22. cikkben és a 34. cikkben foglalt, valamint a 12–22. cikkben meghatározott jogokkal és kötelezettségekkel összhangban lévő rendelkezései tekintetében az 5. cikkben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint az alábbiak védelméhez szükséges és arányos intézkedés egy demokratikus társadalomban:
[…]
j)      polgári jogi követelések érvényesítése.
[…]”
A német jog
A polgári perrendtartás
6.        Az 1877. január 30‑i Zivilprozessordnung (polgári perrendtartás)(3) „A tények ismertetésének kötelezettség; igazmondási kötelezettség” című 138. §‑ának az alapügyre alkalmazandó változata a következőképpen rendelkezik:
„(1)      A felek a ténybeli körülményekre vonatkozó nyilatkozataikat hiánytalanul és a valóságnak megfelelően teszik meg.
(2)      Valamennyi félnek nyilatkoznia kell az ellenérdekű fél által állított tényekkel kapcsolatban.
(3)      A kifejezetten nem vitatott tényeket elismertnek kell tekinteni, kivéve, ha a fél egyéb nyilatkozataiból kitűnik a vitatás szándéka.
(4)      Az ellenérdekű fél állításai valóságtartalmának nem ismeretére vonatkozó nyilatkozat csak olyan tények tekintetében fogadható el, amelyek sem a fél saját cselekményeinek körébe nem tartoznak, sem a fél saját észlelésének tárgyát nem képezik.”
Az adatvédelemről szóló szövetségi törvény
7.        A 2017. június 30‑i Bundesdatenschutzgesetz (az adatvédelemről szóló szövetségi törvény)(4) „A személyes adatoknak az állami szervek általi kezelése” című 3. §‑ának az alapügyre alkalmazandó változata a következőképpen rendelkezik:
„A személyes adatok állami szerv általi kezelése akkor megengedett, ha az az adatkezelő hatáskörébe tartozó feladat végrehajtásához vagy a rá ruházott közhatalmi jogosítvány gyakorlásához szükséges.”
Az alapeljárás, az előzetes döntéshozatalra előterjesztett kérdések és a Bíróság előtti eljárás
8.        Az NTH egy fűtő‑ és légkondicionáló berendezésekkel foglalkozó vállalkozást működtető társaság. Az alperes a társaság alkalmazásában állt, házastársa e társaság ügyvezetője volt. Az alperesnek és az NTH ügyvezetőjének a fia szintén e társaság alkalmazottja.
9.        Az NTH és az alperes közötti munkaviszony 2019. október 31‑én megszűnt, és a házaspár 2022. június 26‑án különvált. A különválásig azonban az alperes továbbra is beléphetett a társaság helyiségeibe és használhatta az ott található számítógépeket. Vitatott az a kérdés, hogy ezt kizárólag magáncélra tette‑e, vagy továbbra is végzett az NTH számára tevékenységet.
10.      Közvetlenül a házastársak különválását követően az NTH megállapította, hogy az alperes a társaság üzleti eszközeit az eBay online értékesítési platformon keresztül saját számlájára értékesítette, és ezért kártérítést követel tőle.
11.      A kérdést előterjesztő bíróság rámutat, hogy az NTH az alperes privát eBay‑fiókjához való számítógépes hozzáférés révén szerzett tudomást az alperes értékesítési tranzakcióiról. Ehhez az alperesnek és az NTH ügyvezetőjének a fia az alperes eBay felhasználói azonosítóját és jelszavát használta. Vitatott, hogy e személy milyen módon szerzett erről tudomást.
12.      Erre vonatkozóan az NTH azt állítja, hogy az eBay online értékesítési platform alperes általi használatára vonatkozó információkhoz az alperes által használt céges számítógép böngészési előzményeibe való betekintés révén jutott, a jelszót pedig az NTH szerverén létrehozott, a jelszót tároló, úgynevezett „családi mappába” való betekintés révén ismerte meg. Az alperes ezzel szemben kijelenti, hogy nem tárolta a felhasználói jelszavát céges adattároló eszközökön, és azt állítja, hogy az NTH felhasználta a társaság nevére regisztrált, de az alperes által használt mobiltelefont az alperes eBay‑platformon lévő privát felhasználói fiókja jelszavának megváltoztatására, majd a felhasználói fiókhoz való hozzáférésre.
13.      A kérdést előterjesztő bíróság úgy véli, hogy az NTH által végzett adatgyűjtés és ‑tárolás, amelynek révén tudomást szerzett az alperes által az eBay online értékesítési platformon végzett értékesítésekről, jogellenesen valósulhatott meg. Úgy véli továbbá, hogy saját igazságszolgáltatási tevékenysége, és adott esetben az NTH által gyűjtött adatoknak a döntéshozatalához való felhasználása a GDPR értelmében vett adatkezelésnek minősül. E tekintetben a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a nemzeti szabályozásnak milyen feltételeket kell meghatároznia az igazságszolgáltatási feladatok keretében végzett adatkezelési cselekmények tekintetében, valamint hogy melyek azok a jogalapok és anyagi jogi kritériumok, amelyek az ilyen cselekményeket szabályozzák.
14.      E körülmények között határozott úgy a Landesarbeitsgericht Niedersachsen (alsó‑szászországi munkaügyi fellebbviteli bíróság), hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)      Megfelelnek‑e a Grundgesetz (alaptörvény) 92. cikke, a [polgári perrendtartás] 138. §‑a, 286. §‑a, 355. és az azt követő §‑ai [a GDPR] 6. cikke (1) bekezdésének e) pontja és (3) bekezdése hatálya alá tartozó, önálló igazságszolgáltatási adatkezelési tevékenység esetén az alkalmazandó jog pontosságának az Európai Unió Alapjogi Chartája[(5)] 8. cikkének (2) bekezdéséből és 52. cikke (1) bekezdéséből, valamint a [GDPR] 5. cikke (1) bekezdésének c) pontjából fakadó elvének, amennyiben az igazságszolgáltatási adatkezelési tevékenység a fél vagy harmadik személy alapvető jogaiba való beavatkozással jár?
2)      a)      Hivatkozhat‑e a nemzeti bíróság adatok – különösen személyes adatok – kezelése esetén arra, hogy számára az adatkezelést a GDPR 17. cikke (3) bekezdésének e) pontja teszi lehetővé, vagy a GDPR 6. és 9. cikke minősül az igazságszolgáltatási adatkezelési tevékenység kizárólagos jogalapjának?
b)      Amennyiben a GDPR 17. cikke (3) bekezdésének e) pontja képezheti az igazságszolgáltatási adatkezelési tevékenység jogalapját:
aa)      Vonatkozik‑e ez azokra az esetekre is, amikor az adatok eredeti, a peres fél vagy harmadik személy általi gyűjtése nem volt jogszerű?
bb)      Az eredetileg jogellenesen gyűjtött adatoknak a tisztességes eljárás általánosan alkalmazandó elve (GDPR 5. cikk (1) bekezdés a) pontja) szerinti kezelése a másodlagos jog szerint az igazságszolgáltatási adatkezelési tevékenység korlátozásához vezet‑e abban az értelemben, hogy a GDPR 17. cikke (3) bekezdésének e) pontja csak bizonyos feltételek mellett vagy bizonyos korlátok között alkalmazható?
cc)      Úgy kell‑e értelmezni a GDPR 17. cikke (3) bekezdésének e) pontjában foglalt rendelkezést, hogy az eredetileg jogellenesen megszerzett adatok bírósági felhasználásának tilalma mindig kizárt – azaz a bíróságnak mindig fel kell használnia ezeket az adatokat –, ha az eredeti adatgyűjtés nem leplezetten történt, és azt szándékosan elkövetett kötelezettségszegés bizonyítására használták fel?
3)      Függetlenül attól, hogy az igazságszolgáltatási adatkezelési tevékenység a GDPR 17. cikke (3) bekezdése e) pontjának vagy a GDPR 6. cikke (1) bekezdése c) vagy e) pontjának, 6. cikke (3) bekezdésének, illetve 9. cikkének vagy egyéb uniós jogi rendelkezéseknek a hatálya alá tartozik‑e:
a)      A Charta 52. cikke (1) bekezdésének második mondata és a GDPR 5. cikke (1) bekezdésének a) pontja szerinti szükségesség és adattakarékosság adatvédelmi jogi elvei, különösen az eredetileg jogellenesen gyűjtött vagy tárolt adatok kezelése tekintetében, megkövetelik‑e a bíróságok részéről az arányosság átfogó vizsgálatát és mérlegelését?
b)      Milyen hatással van a GDPR 5. cikke (1) bekezdésének e) pontja, amely kimondja, hogy a személyes adatok csak a céljuk eléréséhez szükséges ideig tárolhatók, a későbbi igazságszolgáltatási adatkezelési tevékenységekre, különösen olyan esetekben, amikor
–        az eredeti adatgyűjtés más célokat szolgált, vagy
–        az eredeti jogellenes adatgyűjtés óta már hosszú idő telt el, vagy
–        a jogellenes tárolást hosszabb időn keresztül fenntartották, vagy
–        a jogellenes adatgyűjtés olyan adatokra vonatkozik, amelyeket már hosszú idővel ezelőtt – esetleg jogellenesen – eltároltak, vagy
–        az adatokat kezelő vagy gyűjtő szerv vagy személy egyoldalúan vagy egyedi szerződés vagy kollektív szerződés alapján vállalta, hogy az adatokat meghatározott időn belül törli, de a törlést nem hajtotta végre?
c)      Következik‑e az uniós jogból, különösen a Charta 8. cikkéből, a GDPR 6. cikke (1) bekezdésének c) vagy e) pontjából, illetve 6. cikke (3) bekezdéséből vagy 9. cikkéből, hogy a nemzeti bíróság csak akkor használhatja fel a személyiségi jogok megsértésével szerzett bizonyítékokat, ha a bizonyítási teherrel terhelt félnek a puszta bizonyítási érdeken túlmutató, elismerendő érdeke áll fenn, vagy az uniós jogból e tekintetben nem fakadnak előírások, így a nemzeti jogrendszer feladata, hogy ezt szabályozza?
d)      Következik‑e a Chartának a hatékony jogorvoslathoz és különösen a tisztességes eljáráshoz való jogot biztosító 47. cikkének második bekezdéséből, amely szerint a polgári peres eljárásban részt vevő feleknek főszabály szerint képesnek kell lenniük arra, hogy kellően indokolják és bizonyítsák a jogvédelmi céljukat, hogy a felperes munkavállalónak a munkáltató által jogellenesen gyűjtött személyes adatainak a bíróság általi kezelése csak akkor minősülhet szűkebb értelemben véve nem megfelelőnek és aránytalannak, ha az adatgyűjtés az uniós jog alapján a Charta 7. és 8. cikkének súlyos megsértésének bizonyulna, és a munkáltatóval szemben alkalmazható egyéb szankciók (pl. a GDPR 82. cikke szerinti kártérítés és a GDPR 83. cikke szerinti közigazgatási bírság kiszabása) teljes mértékben elégtelenek lennének, vagy a nem megfelelő jelleg és az aránytalanság már az adatvédelmi jognak az eredeti adatgyűjtés során elkövetett egyéb, kevésbé súlyos megsértései esetén is felmerülhet?
e)      Figyelembe kell‑e vennie a bíróságnak annak eldöntésekor, hogy az eredetileg valamely féltől vagy harmadik személytől gyűjtött adatokat az igazságszolgáltatási adatkezelési tevékenysége keretében felhasználja‑e, hogy az adatgyűjtő eleget tett‑e a GDPR 13. cikke szerinti tájékoztatási kötelezettségének? Ha igen: milyen feltételek mellett és milyen kritériumok szerint kell ezt a bíróságnak figyelembe vennie?
f)      Kiterjed‑e harmadik személy személyes adataira is az a körülmény, hogy az eljáró bíróságot köti a személyes adatok kezelése során a GDPR és a [Charta]? Milyen hatással van az adatvédelmi jognak harmadik személlyel szembeni, az eredeti adatgyűjtés során történt esetleges megsértése a két fél közötti jogvitában a későbbi igazságszolgáltatási adatkezelésre? Hivatkozhat‑e a fél ilyen, nem vele szemben, hanem harmadik személlyel szemben történt jogsértésre, vagy erre nem kerülhet sor?”
15.      Írásbeli észrevételeket az Európai Bizottság, valamint a német, a magyar és a finn kormány nyújtott be. A Bizottság és a német kormány a 2025. július 2‑án tartott tárgyaláson szóbeli észrevételeket terjesztett elő.
Elemzés
Előzetes megfontolások
16.      Az előzetes döntéshozatalra előterjesztett harmadik kérdés b) pontjával, amely a jelen célzott indítvány tárgyát képezi, a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy a GDPR 5. cikke (1) bekezdésének e) pontjában rögzített korlátozott tárolhatóság elvével ellentétes adatkezelések milyen hatással vannak az igazságszolgáltatási tevékenysége keretében végzett, olyan egyéb adatokra vonatkozó „későbbi adatkezelési tevékenységek” jogszerűségére,(6) amelyeket csak ezen első adatok felhasználásával lehetett megszerezni.
17.      Az ügy megértéséhez hasznosnak tartom pontosítani, hogy különbséget kell tenni a személyes adatoknak a jelen ügyben szóban forgó két típusa között. Egyrészt az NTH szerverén és az alperes által használt céges számítógép böngészési előzményeiben, vagy akár az alperes rendelkezésére bocsátott céges telefonon tárolt, az alperesre vonatkozó adatok lehetővé tették az NTH számára, hogy megszerezze az alperes jelszavát és eBay‑azonosítóját annak érdekében, hogy hozzáférjen az alperesnek az eBay értékesítési platformon lévő privát felhasználói fiókjához Az egyszerűség kedvéért a jelen indítványban ezen adatok vonatkozásában az „eredeti adatok” kifejezést használom. Másrészt a továbbiakban a társaság üzleti eszközeinek értékesítésére vonatkozó, az eBay weboldalról kinyert, és az NTH által az alperessel szemben indított kereset alapjául szolgáló adatokat „értékesítési adatoknak” nevezem.
18.      Először is, az eredeti adatokat illetően a kérdést előterjesztő bíróság rámutatott, hogy nem egyértelmű, hogy az alperesnek és az NTH ügyvezetőjének a fia milyen módon szerzett tudomást az alperes eBay‑jelszaváról és ‑azonosítójáról. Mindazonáltal az előzetes döntéshozatalra előterjesztett harmadik kérdés b) pontjával összefüggésben úgy tűnik, hogy e bíróság abból a feltevésből indul ki, hogy ezen adatok gyűjtése és tárolása során megsértették a GDPR 5. cikke (1) bekezdésének e) pontjában meghatározott korlátozott tárolhatóság elvét, amely szerint a személyes adatokat „csak a személyes adatok kezelése céljainak eléréséhez szükséges ideig” lehet tárolni.
19.      E tekintetben a kérdést előterjesztő bíróság arra hivatkozik, hogy „az eredeti adatgyűjtés más célokat szolgált”. Említést tesz továbbá egy olyan jogellenes adatgyűjtésről, amely óta „már hosszú idő telt el”, egy olyan jogellenes tárolásról, amelyet „már hosszú idővel ezelőtt” valósítottak meg, vagy amelyet „hosszabb időn keresztül tartottak fenn”, valamint azon szerződéses kötelezettség megsértését, amelynek értelmében az adatokat „meghatározott időn belül” törölni kell. Értelmezésem szerint itt annak hangsúlyozásáról van szó, hogy az eredeti adatok gyűjtésének célja nem az volt, hogy lehetővé tegye a társaság számára egyéb adatok, nevezetesen az értékesítési adatok későbbi gyűjtését annak érdekében, hogy keresetet indítson az alperessel szemben, továbbá hogy az eredeti adatok tárolásának időtartama meghaladta az eredeti gyűjtésük és tárolásuk céljainak eléréséhez szükséges időtartamot.(7)
20.      Másodszor, ami az értékesítési adatokat illeti, azok véleményem szerint nem tartoznak az olyan eredeti adatgyűjtés körébe, amely „más célokat szolgált”, illetve az olyan tárolás esetei közé, amely óta már hosszú idő telt el, amelyet hosszabb időn keresztül tartottak fenn, vagy amelyet a törlésre irányuló szerződéses kötelezettség megsértésével végeztek. Az ügy irataiból ugyanis egyáltalán nem tűnik ki, hogy ezeket az adatokat az NTH hosszú ideig tárolta volna, vagy hogy ezen adatok NTH általi gyűjtésének az alperessel szembeni keresetindítástól eltérő célja lett volna. Arról sincs szó, hogy az eBayen keresztül megvalósított online értékesítés adataira vonatkozó feltételezett jogellenes adatgyűjtéssel vagy ‑tárolással kellene foglalkozni.
21.      Mindazonáltal véleményem szerint az előzetes döntéshozatal iránti kérelemből az következik, hogy a kérdést előterjesztő bíróság abból a feltevésből indul ki, hogy amennyiben az NTH ténylegesen megsértette a GDPR 5. cikke (1) bekezdésének e) pontjában foglalt elvet az eredeti adatok tekintetében, ugyanezen adatoknak az alperes privát eBay‑fiókjához való hozzáférés céljából történő későbbi felhasználása jogellenes, és ebből következően jogellenes az értékesítési adatoknak az NTH általi gyűjtése is.(8)
22.      A jelen ügy jelentősége tehát az értékesítési adatoknak a kérdést előterjesztő bíróság általi, igazságszolgáltatási tevékenysége keretében történő kezelése jogszerűségében rejlik, mivel a GDPR‑t valamennyi, a kérdést előterjesztő bírósághoz hasonló igazságügyi hatóság által végzett adatkezelési műveletre alkalmazni kell.(9) Ebből következik, hogy az e bíróságnak adandó válaszban figyelembe kell venni a személyes adatok kezelésének jogszerűségére vonatkozóan a GDPR 6. cikkében meghatározott feltételeket.
23.      Ennélfogva a jelen ügy vonatkozásában azt javaslom, hogy a Bíróság fogalmazza át az előzetes döntéshozatalra előterjesztett harmadik kérdés b) pontját oly módon, hogy a Bíróság értékelje, hogy a GDPR 5. cikke (1) bekezdésének e) pontját e rendelet 6. cikkével összefüggésben úgy kell‑e értelmezni, hogy az e rendelkezésben előírt „korlátozott tárolhatóság” elvével ellentétes az, hogy a nemzeti bíróság az igazságszolgáltatási feladatkörében olyan adatokat kezelhet, amelyeket olyan más adatok felhasználásával szereztek meg, amelyek eredeti gyűjtésére vagy tárolására az említett elv megsértésével került sor, és ezen túlmenően ebből az elvből következően különös követelmények vonatkoznak a nemzeti bíróságra e személyes adatok felhasználásának részletes szabályait illetően.
A harmadik kérdés b) pontjáról
24.      Emlékeztetek arra, hogy a személyes adatok kezelésének – beleértve a bíróságokhoz hasonló közhatalmi szervek általi adatkezelést is – összhangban kell lennie a személyes adatok kezelésére vonatkozó elvekkel, valamint az érintettnek a GDPR II., illetve III. fejezetében meghatározott jogaival. Az ilyen adatkezelésének meg kell felelnie különösen az e rendelet 5 cikkében meghatározott elveknek, és – az e cikk (1) bekezdésének a) pontjában előírt, az adatkezelés jogszerűségére vonatkozó elvre tekintettel – meg kell felelnie az említett rendelet 6. cikkében felsorolt jogszerűségi feltételeknek(10). Ez utóbbi rendelkezés az (1) bekezdésében kimerítő és korlátozó jelleggel sorolja fel azokat az eseteket, amelyekben a személyes adatok kezelése jogszerűnek tekinthető. Így ahhoz, hogy azt jogszerűnek lehessen minősíteni, az adatkezelésnek az e rendelkezésben előírt esetek valamelyikébe kell tartoznia.(11)
25.      Közelebbről, a személyes adatoknak az alapügyben szóban forgó kezelése, vagyis azoknak a kérdést előterjesztő bíróság által a bírósági eljárás keretében történő felhasználása a GDPR 6. cikke (1) bekezdése e) pontjának hatálya alá tartozhat, amelynek értelmében az adatkezelés kizárólag akkor és annyiban jogszerű, amennyiben „közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához szükséges”, amely rendelkezés egyébiránt megfelel az adatvédelemről szóló szövetségi törvény 3. §‑ának.(12)
26.      Amint arra a jelen indítvány 16–22. pontjában rámutattam, az alapügyben felmerül a kérdés, hogy a GDPR 5. cikke (1) bekezdésének e) pontjában rögzített korlátozott tárolhatóság elvének az NTH általi megsértései milyen hatással vannak az értékesítési adatoknak az elfogadhatóságára és a kérdést előterjesztő bíróság általi, az igazságszolgáltatási tevékenysége keretében való felhasználására.
27.      E tekintetben emlékeztetek arra, hogy az állandó ítélkezési gyakorlat szerint valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak szövegét, hanem azt a kontextust is figyelembe kell venni, amelybe illeszkedik, valamint azon jogi aktus céljait is, amelynek az a részét képezi(13).
28.      Ami a GDPR 5. cikke (1) bekezdésének e) pontját illeti, a Bíróság már megállapította, hogy e cikk szövegéből egyértelműen kiderül, hogy a „korlátozott tárolhatóság” elve megköveteli, hogy az adatkezelő képes legyen annak igazolására, hogy a személyes adatokat kizárólag azon célok eléréséhez szükséges ideig tárolják, amelyekből azokat gyűjtötték vagy a továbbiakban kezelték. Így idővel még az eredetileg jogszerű adatkezelés is a GDPR‑ral összeegyeztethetetlenné válhat, ha ezek az adatok már nem szükségesek e célok eléréséhez.(14)
29.      Rendszertani szempontból a GDPR 5. cikke (1) bekezdésének e) pontja az adatkezelésre vonatkozó, az e rendelet 5. cikkében foglalt elvek közé tartozik, és az arányosság elvének kifejeződése. Magában foglalja annak értékelését, hogy az idő múlására tekintettel az adatkezelés arányos‑e annak céljával. Így a GDPR (39) preambulumbekezdése kifejezetten kimondja, hogy az adatok tárolásának „a lehető legrövidebb időtartamra [kell] korlátozód[nia]”, és hogy „[a]nnak biztosítása érdekében, hogy a személyes adatok tárolása a szükséges időtartamra korlátozódjon, az adatkezelő törlési vagy rendszeres felülvizsgálati határidőket állapít meg”(15).
30.      A GDPR 5. cikke (1) bekezdésének e) pontja által követett cél – amint az e rendelet (10) preambulumbekezdéséből kitűnik – a természetes személyeknek a személyes adatok kezelése tekintetében történő magas szintű védelmére irányul.(16)
31.      A GDPR 5. cikke (1) bekezdésének e) pontja tehát kizárólag azokról a követelményekről szól, amelyeknek a személyes adatok tárolása során meg kell felelni(17), és így nem teszi lehetővé azon kérdés pontos megválaszolását, hogy a személyes adatok korlátozott tárolhatóságának az első adatkezelő általi megsértése milyen hatással van a személyes adatoknak a nemzeti bíróság által az igazságszolgáltatási tevékenysége keretében végzett kezelésére. Ilyen válasz egyébként véleményem szerint e rendelet egyéb rendelkezéséből sem következik.
32.      Sem a GDPR 5. cikke (1) bekezdésének e) pontja, sem e rendelet 6. cikke (1) bekezdésének e) pontja nem tiltja általános és abszolút jelleggel, hogy a bírósághoz hasonló közhatalmi szerv a nemzeti jogszabály alapján jogosult legyen figyelembe venni a jogvitában részt vevő valamelyik fél által más, olyan személyes adatok felhasználásával megszerzett adatokat, amelyeknek e fél általi kezelése ellentétes volt a korlátozott tárolhatóság elvével.
33.      Márpedig az adott területre vonatkozó uniós szabályozás hiányában a jogalanyok számára biztosított jogok védelmének biztosítására irányuló bírósági felülvizsgálatra vonatkozó eljárási szabályok meghozatala az eljárási autonómia elve alapján az egyes tagállamok belső jogrendjébe tartozik, azzal a feltétellel azonban, hogy e szabályok nem lehetnek kedvezőtlenebbek a hasonló jellegű belső jogi helyzetekre vonatkozókhoz képest (az egyenértékűség elve), és nem tehetik gyakorlatilag lehetetlenné vagy rendkívül nehézzé az uniós jog által biztosított jogok gyakorlását (a tényleges érvényesülés elve).(18) A tagállamoknak továbbá a GDPR‑ban előírt feltételek mellett és korlátok között élniük kell a mérlegelési mozgásterükkel, és oly módon kell jogszabályokat alkotniuk, hogy ne sértsék e rendelet tartalmát és célkitűzéseit(19).
34.      Konkrétabban, a GDPR 6. cikkének az ugyanezen rendelet (10),(20) (20)(21) és (45) preambulumbekezdésével(22) összefüggésben értelmezett (3) bekezdése értelmében az említett rendelet 6. cikke (1) bekezdésének e) pontjában említett adatkezelés alapját képező jogalapnak – legyen szó akár uniós jogról, akár azon tagállami jogról, amelynek hatálya alá az adatkezelő tartozik – közérdekű célt kell szolgálnia, és arányosnak kell lennie az elérni kívánt jogszerű céllal. Ez a jogalap tartalmazhat a GDPR‑ban foglalt szabályok alkalmazását kiigazító rendelkezéseket, ideértve az adatkezelő általi adatkezelés jogszerűségére irányadó általános feltételeket, vagy az adatkezelési műveleteket, valamint egyéb adatkezelési eljárásokat, így a törvényes és tisztességes adatkezelés biztosításához szükséges intézkedéseket is, ideértve a GDPR IX. fejezetben meghatározott egyéb konkrét adatkezelési helyzetekre vonatkozóan(23). Így – amint az az említett rendelet 6. cikkének (2) bekezdéséből kitűnik – a tagállamok jogosultak arra, hogy olyan nemzeti rendelkezéseket tartsanak fenn vagy vezessenek be, amelyek e rendelet szabályai alkalmazásának további pontosítására irányulnak.
35.      Ezen túlmenően a GDPR előírja, hogy a tagállamok eltérhetnek többek között e rendelet 5. cikkétől, amennyiben ez bizonyos fontos közérdekű célok – köztük a jelen ügyben „a polgári jogi követelések érvényesítése” – érdekében szükséges. A GDPR 23. cikke (1) bekezdésének j) pontja(24) ugyanis kimondja, hogy az uniós vagy tagállami jog jogalkotási intézkedésekkel korlátozhatja az e rendelkezésekben foglalt jogok és kötelezettségek hatályát, ha a korlátozás tiszteletben tartja az alapvető jogok és szabadságok lényeges tartalmát, valamint a fent említett célhoz hasonló fontos, általános közérdekű célkitűzései biztosításához szükséges és arányos intézkedés egy demokratikus társadalomban.(25)
36.      Végezetül emlékeztetni kell arra, hogy – amint azt a GDPR (4) preambulumbekezdése kimondja – a magánélethez és a személyes adatok védelméhez való alapvető jog nem abszolút jog, azokat a társadalomban betöltött szerepük függvényében kell figyelembe venni, egyensúlyban más alapvető jogokkal, például a Charta 47. cikkében biztosított hatékony bírói jogvédelemhez való joggal(26).
37.      E jogok tehát korlátozhatók, feltéve, hogy – a Charta 52. cikkének (1) bekezdésével összhangban – e korlátozásokat törvény írja elő, és azok tiszteletben tartják az alapvető jogok lényeges tartalmát, valamint az arányosság elvét. Ezen utóbbi elv értelmében a korlátozásra csak akkor és annyiban kerülhet sor, ha és amennyiben az szükséges, és ténylegesen az Unió által elismert általános érdekű célkitűzéseket vagy mások jogainak és szabadságainak védelmét szolgálja. A korlátozásoknak meg kell jelölnie különösen, hogy milyen körülmények között és milyen feltételek mellett lehet ilyen intézkedést megtenni, biztosítva ezáltal, hogy a beavatkozás a szigorúan szükséges mértékre korlátozódjék. A beavatkozást tartalmazó szabályozásnak egyértelmű és pontos szabályokat kell tartalmaznia a szóban forgó intézkedés hatálya és alkalmazása tekintetében,(27) és minimumkövetelményeket kell előírnia, oly módon, hogy azok a személyek, akik jogainak gyakorlását korlátozzák, elegendő garanciákkal rendelkezzenek, amelyek lehetővé teszik a visszaélések veszélyeivel szembeni hatékony védelmüket(28).
38.      Hozzáteszem, hogy az uniós jog nem szabályozza a bizonyítékok nemzeti bírósági eljárásokban való elfogadhatóságának kérdését, amely a tagállamok eljárási autonómiája elvének megfelelően a nemzeti jog hatálya alá tartozik, többek között az egyenértékűség és a tényleges érvényesülés elvének tiszteletben tartása mellett, amint az a jelen indítvány 33. pontjában szerepel.(29) Az Emberi Jogok Európai Bírósága(30) sem véli úgy, hogy neki kell határoznia a jogellenesen szerzett bizonyítékok elfogadhatóságáról, amely elsősorban a belső jog hatálya alá tartozó kérdés. Az EJEB‑nek az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény(31) 6. cikkére vonatkozó ítélkezési gyakorlatából lényegében kitűnik, hogy az EJEB hatásköre arra a kérdésre vonatkozik, hogy az eljárás – ideértve a bizonyítékok megszerzésének módját is – egészében véve tisztességes‑e. Ez magában foglalja a szóban forgó „jogellenesség” és – amennyiben az ezen egyezmény által védett valamely más jog megsértéséről van szó – a jogsértés jellegének vizsgálatát.(32)
39.      Hasonlóképpen, a Bíróság már megállapította, hogy főszabály szerint kizárólag a nemzeti jog határozza meg az ilyen, uniós joggal ellentétes adatmegőrzéssel szerzett információknak és bizonyítékoknak a súlyos bűncselekmények elkövetésével gyanúsított személyekkel szemben indított büntetőeljárás keretében való megengedhetőségére és értékelésére vonatkozó szabályokat. A személyes adatokat tartalmazó bizonyítékok elfogadhatóságára, kizárására vagy felhasználására vonatkozó nemzeti szabályoknak tehát tiszteletben kell tartaniuk a kontradiktórius eljárás elvét, valamint a tisztességes eljáráshoz való jogot.(33) A polgári eljárás esetében sem lehet más a helyzet.
40.      A fentiekből következik, hogy az e területre vonatkozó uniós szabályok hiányában a személyes adatok nemzeti bíróság általi, az igazságszolgáltatási tevékenysége keretében való felhasználásának elfogadhatóságára és részletes szabályaira vonatkozó kérdéseknek – ideértve azokat az eseteket is, amikor ezek az adatokat közvetetten a megszerzésükhöz használt egyéb személyes adatoknak a korlátozott tárolhatóság elvének megsértésével történő kezelése érinti – a GDPR 6. cikke (3) bekezdésének a 23. cikke (1) bekezdésével összefüggésben értelmezett b) pontja értelmében az adatkezelőre alkalmazandó tagállami jogon kell alapulniuk.
41.      Márpedig az ügy irataiból kitűnik, hogy a társaság üzleti eszközeinek értékesítésére vonatkozó adatok bírósági eljárás keretében bizonyítékként történő benyújtásának egyik jogalapja a polgári perrendtartás 138. §‑a, amely előírja a jogvitában részt vevő felek számára a tények ismertetésének kötelezettségét. Az adatvédelemről szóló szövetségi törvény 3. §‑a lehetővé teszi a közjogi szervek számára, hogy a hatáskörükbe tartozó feladatok ellátásához szükséges személyes adatokat kezeljenek.(34)
42.      A kérdést előterjesztő bíróság egyébiránt megemlítette, hogy sem az adatvédelemről szóló szövetségi törvény, sem a polgári perrendtartás nem tartalmaz szabályokat a teljesítendő feltételekre vagy azon kritériumokra vonatkozóan, amelyeket mérlegelni kell annak megállapítása érdekében, hogy a bíróság köteles‑e, lehetséges vagy megengedett‑e a számára, hogy figyelembe vegye a fél által hivatkozott tényeket, vagy hogy kezelje a fél által felajánlott bizonyítékokat. Különösen arra az esetre vonatkozóan nincs rendelkezés, amikor a fél jogellenesen szerezte meg az általa alapul vett információkat, vagy amikor jogellenesen szerzett bizonyítékokra támaszkodik. A német polgári eljárásban – ideértve a munkaügyi bíróság előtti eljárást is – csak az ítélkezési gyakorlat alapján alkalmaznak az adatok felhasználására vonatkozó tilalmakat.
43.      Az előzetes döntéshozatal iránti kérelemből az is kitűnik, hogy egyrészt a Bundesverfassungsgericht (szövetségi alkotmánybíróság, Németország) állandó ítélkezési gyakorlata szerint a nemzeti bíróságok az igazság megállapításához főszabály szerint kötelesek figyelembe venni a felek által előterjesztett bizonyítékokat, ha és amennyiben valamely tényállítás releváns, és azt a vitatott részében bizonyítani kell.(35)
44.      Másrészt a Bundesarbeitsgericht (szövetségi munkaügyi bíróság, Németország) lényegében úgy ítélte meg, hogy a személyes adatok bíróság általi kezelése még akkor is elképzelhető, ha ezen adatoknak az egyik fél által a pert megelőző vagy bíróságon kívüli szakaszban végzett gyűjtése a GDPR vagy a nemzeti adatvédelmi jog értelmében jogellenesnek bizonyul. Ha azonban a fél adatgyűjtése sérti az érintett személy általános személyiségi jogát, nem elegendő, ha a fél a bizonyításhoz fűződő közérdekre hivatkozik. A nemzeti bíróságnak tehát más tényezőket is figyelembe kell vennie, amelyekből az következik, hogy a bizonyításfelvételhez fűződő érdek védelmet érdemel a személyiség megsértése ellenében is.(36)
45.      Ebből azt a következtetést vonom le, hogy létezik olyan nemzeti jogalap, amely meghatározza a személyes adatok elfogadhatóságának feltételeit, valamint a személyes adatok felhasználásának részletes szabályait az alapügyben szereplőhöz hasonló helyzetben.
46.      A Bíróság ugyanis már leszögezte, hogy közömbös, hogy a személyes adatok kezelése nemzeti anyagi jogi vagy eljárásjogi rendelkezésen alapul‑e(37). Hozzátette, hogy a GDPR 6. cikke (3) bekezdésének b) pontja értelmében vett „azon tagállami jog, amelynek hatálya alá az adatkezelő tartozik.”, vagy az e rendelet 23. cikkében szereplő, „jogalkotási intézkedésre” való hivatkozás nem feltétlenül azt jelenti, hogy valamely parlament jogalkotási aktust fogad el, kiterjed a nemzeti ítélkezési gyakorlatra is, amennyiben az a Bíróság és az EJEB ítélkezési gyakorlatának megfelelően egyértelmű és pontos, és alkalmazása a jogalanyok számára előre látható.(38)
47.      Ennélfogva a kérdést előterjesztő bíróság feladata, hogy azonosítsa a nemzeti jog releváns rendelkezéseit, valamint az érintett tagállam ítélkezési gyakorlatát és alkalmazza azokat, továbbá megvizsgálja, hogy egyrészt megfelelnek‑e az egyenértékűség és a tényleges érvényesülés elvének, és közérdekű célt szolgálnak‑e, másrészt pedig szükségesek és arányosak‑e az említett célkitűzéssel, így a személyadat‑kezelés olyan eseteinek körébe tartozhatnak‑e, amelyek a GDPR 6. cikke (3) bekezdésének a 23. cikke (1) bekezdésével összefüggésben értelmezett b) pontjában foglalt rendelkezések alapján jogszerűnek tekinthetők(39).
48.      Következésképpen a nemzeti jog és a nemzeti ítélkezési gyakorlat értelmezésére kizárólagos hatáskörrel rendelkező kérdést előterjesztő bíróság feladata, hogy meghatározza a személyes adatokat tartalmazó bizonyítékok elfogadhatóságát, valamint azok felhasználásának részletes szabályait, ami az adott ügy körülményeitől és a szóban forgó eljárás típusától függ.
Végkövetkeztetés
49.      A fenti megfontolásokra tekintettel azt javaslom, hogy a Bíróság a Landesarbeitsgericht Niedersachsen (alsó‑szászországi munkaügyi fellebbviteli bíróság, Németország) által előzetes döntéshozatalra előterjesztett harmadik kérdés b) pontját a következőképpen válaszolja meg:
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 5. cikke (1) bekezdésének e) pontját a 6. cikkével összefüggésben
a következőképpen kell értelmezni:
az e rendelkezésben előírt „korlátozott tárolhatóság” elvével nem ellentétes az, hogy a nemzeti bíróság az igazságszolgáltatási feladatkörében olyan adatokat kezelhet, amelyeket olyan más adatok felhasználásával szereztek meg, amelyek eredeti gyűjtésére vagy tárolására ezen elv megsértésével került sor.
A nemzeti bíróság feladata annak biztosítása, hogy e személyes adatok igazságszolgáltatási tevékenysége keretében történő felhasználásának részletes szabályai az alkalmazandó nemzeti jogon alapuljanak, megfeleljenek az egyenértékűség és a tényleges érvényesülés elvének, közérdekű célt szolgáljanak, valamint e célkitűzéshez szükségesek és azzal arányosak legyenek.
1      Eredeti nyelv: francia.
2      A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről (általános adatvédelmi rendelet) szóló, 2016. április 27‑i európai parlamenti és tanácsi rendelet (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR).
3      BGBl. 2005. I, 3202. o.
4      BGBl. 2017. IS, 2097. o.
5      A továbbiakban: Charta.
6      Úgy vélem, hogy az igazságszolgáltatási tevékenység keretében végzett „későbbi adatkezelési tevékenységek” alatt a kérdést előterjesztő bíróság mind a bizonyítékként benyújtott személyes adatoknak a jogvitában való elfogadhatóságát, mind pedig e bíróság határozatának megalapozása érdekében az eljárás során történő felhasználásukat érti.
7      Ugyanakkor kétségeim vannak a kérdést előterjesztő bíróság által hivatkozott hosszú vagy távoli múltbeli időszakokat illetően. Az ügy irataiból ugyanis kitűnik, hogy nem egyértelmű, hogy az NTH és az alperes közötti munkaviszony 2019. október 31‑i megszűnése és a házastársak 2022. június 26‑i különválása között az alperes továbbra is belépett‑e a társaság helyiségeibe, és ott kizárólag üzleti vagy magáncélra használta‑e a számítógépeket. Bár végső soron a kérdést előterjesztő bíróság feladata, hogy e tekintetben állást foglaljon, a jelen indítványban az előzetes döntéshozatalra előterjesztett harmadik kérdés b) pontjának szövegére tekintettel azt a feltevést veszem alapul, hogy az eredeti adatok gyűjtésére és tárolására a korlátozott tárolhatóság elvének megsértésével került sor.
8      Ezzel összefüggésben megjegyzem, hogy amint azt Ćapeta főtanácsnok a Norra Stockholm Bygg (C‑268/21, EU:C:2022:755, 20. pont) ügyben előterjesztett indítványában lényegében megállapítja, elfogadható az a megfontolás, hogy ha ez az első adatkezelés a GDPR alapján jogellenesnek minősülne, akkor az ilyen adatok eltérő célból történő későbbi kezelése is jogellenes lenne.
9      Lásd ebben az értelemben: 2022. március 24‑i Autoriteit Persoonsgegevens ítélet (C‑245/20, EU:C:2022:216, 25. és 34. pont).
10      Lásd: 2022. október 20‑i Digi ítélet (C‑77/21, EU:C:2022:805, a továbbiakban: Digi ítélet, 49. pont, valamint az ott hivatkozott ítélkezési gyakorlat); 2023. március 2‑i Norra Stockholm Bygg ítélet (C‑268/21, EU:C:2023:145, a továbbiakban: Norra Stockholm Bygg ítélet, 29. pont); 2023. május 4‑i Bundesrepublik Deutschland (Elektronikus igazságügyi fiók) ítélet (C‑60/22, EU:C:2023:373, 57. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
11      Lásd: 2024. október 4‑i Koninklijke Nederlandse Lawn Tennisbond ítélet (C‑621/22, EU:C:2024:858, 29. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
12      Megjegyzem, hogy bár a finn kormány azt állítja, hogy az igazságszolgáltatási feladatok keretében végzett adatkezelési cselekmények a GDPR 6. cikke (1) bekezdése c) pontjának hatálya alá tartozó adatkezelésnek minősülnek, és bár a kérdést előterjesztő bíróság megemlíti ezt a rendelkezést az előzetes döntéshozatal iránti kérelemben, az iratokból nem tűnik ki, hogy az alapügyben szóban forgó adatkezelés szükséges az e bíróságot terhelő jogi kötelezettség teljesítéséhez.
13      Lásd: Digi‑ítélet (23. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
14      Lásd: Digi‑ítélet (53. és 54. pont).
15      Lásd: Pikamäe főtanácsnok Digi ügyre vonatkozó indítványa (C‑77/21, EU:C:2022:248, 29., 30., 62. és 64. pont).
16      Lásd: 2009. május 7‑i Rijkeboer ítélet (C‑553/07. EU:C:2009:293, 33. és 35. pontja), amely a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv (HL 1995, L 281., 31. o., magyar nyelvű különkiadás 13. fejezet, 15. kötet, 355. o.) 6. cikke (1) bekezdésének e) pontjára vonatkozott, amely rendelkezésnek megfelelő normát a GDPR 5. cikke (1) bekezdésének e) pontja tartalmazza; lásd még: Digi ítélet (59. pont).
17      Lásd: 2019. december 11‑i Asociaţia de Proprietari bloc M5A‑ScaraA ítélet (C‑708/18, EU:C:2019:1064, 29. pont).
18      Lásd analógia útján: 2021. március 2‑i Prokuratuur (Az elektronikus hírközlési adatokhoz való hozzáférés feltételei) ítélet (C‑746/18, EU:C:2021:152, 42. pont).
19      Lásd: 2025. április 3‑i Ministerstvo zdravotnictví (Jogi személy képviselőjére vonatkozó adatok) ítélet (C‑710/23, EU:C:2025:231, 40. pont).
20      „[…] A tagállamok számára lehetővé kell tenni, hogy az e rendeletben foglalt szabályok alkalmazását pontosító nemzeti rendelkezéseket tartsanak fenn vagy vezessenek be, ha a személyes adatok kezelésére jogi kötelezettség teljesítéséhez, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtásához szükséges. […]”
21      „Bár ezt a rendeletet a bíróságok és más igazságügyi hatóságok tevékenységeire is alkalmazni kell, az uniós, illetve a tagállami jog a személyes adatok kezelésével összefüggésben a bíróságok és más igazságügyi hatóságok által végzett kezelési műveleteket és eljárásokat pontosabban meghatározhatja. […]”
22      „Ha az adatkezelésre az adatkezelőre vonatkozó jogi kötelezettség teljesítése keretében kerül sor, vagy ha az közérdekű feladat végrehajtásához, illetve közhatalmi jogosítvány gyakorlásához szükséges, az adatkezelésnek az uniós jogban vagy valamely tagállam jogában foglalt jogalappal kell rendelkeznie. […]”
23      Lásd: Norra Stockholm Bygg (32. pont); 2025. április 3‑i Ministerstvo zdravotnictví (Jogi személy képviselőjére vonatkozó adatok) ítélet (C‑710/23, EU:C:2025:231, 37. pont).
24      A német kormány hozzáteszi, hogy a személyes adatoknak a kérdést előterjesztő bíróság általi kezelése a GDPR 23. cikke (1) bekezdésének f) pontjában meghatározott, a bírói függetlenség és a bírósági eljárások védelmére irányuló célkitűzés körébe is tartozhat.
25      Lásd ebben az értelemben: 2022. február 24‑i Valsts ieņēmumu dienests ítéletet (Személyes adatok adóügyi célból történő kezelése) ítélet (C‑175/20, a továbbiakban: Valsts ieņēmumu dienests ítélet, EU:C:2022:124, 51. pont); Pikamäe főtanácsnok I. (Adatbázis értékesítése) ügyre vonatkozó indítványa (C‑693/22, EU:C:2024:162, 85–88. pont).
26      Lásd: Norra Stockholm Bygg ítélet (49. pont). A személyes adatok védelméhez való jog és a hatékony bírói jogvédelemhez való jog egymással szembeni mérlegelésének konkrétabb kérdése az előzetes döntéshozatalra előterjesztett harmadik kérdés d) pontjával kapcsolatos, amely nem képezi a jelen célzott indítvány tárgyát.
27      Lásd ebben az értelemben: 2021. június 22‑i Latvijas Republikas Saeima (Büntetőpontok) ítélet (C‑439/19, EU:C:2021:504, 105. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
28      Lásd ebben az értelemben: Valsts ieņēmumu dienests ítélet (83. pont, valamint az ott hivatkozott ítélkezési gyakorlat), amelyben többek között a GDPR 5. cikke (1) bekezdésének c) pontjában kimondott arányosság követelményének való megfelelés kérdése merült fel. E tekintetben megjegyzem, hogy az előzetes döntéshozatalra előterjesztett harmadik kérdés a) pontja, amelyre nem terjed ki a jelen célzott indítvány, konkrétabban az arányosság vizsgálatára vonatkozik.
29      Lásd: 2021. március 2‑i Prokuratuur‑ítélet (Az elektronikus hírközlési adatokhoz való hozzáférés feltételei) ítélet (C‑746/18, EU:C:2021:152, 41–44. pont); 2022. április 5‑i Commissioner of An Garda Síochána és társai ítélet (C‑140/20, EU:C:2022:258, 127. pont).
30      A továbbiakban: EJEB.
31      Rómában, 1950. november 4‑én aláírt egyezmény (kihirdette: az 1993. évi XXXI. törvény).
32      Lásd: EJEB, 2000. május 12., Khan kontra Egyesült Királyság (CE:ECHR:2000:0512JUD003539497, 34. §, valamint az ott hivatkozott ítélkezési gyakorlat); EJEB, 2009. március 10., Bykov kontra Oroszország (CE:ECHR:2009:0310JUD000437802, 88. és 89. §, valamint az ott hivatkozott ítélkezési gyakorlat). Lásd még: EJEB, 2015. január 15., Dragojević kontra Horvátország ítélet (CE:ECHR:2015:0115JUD006895511, 129. §); EJEB, 2021. február 16., Budak kontra Törökország ítélet (CE:ECHR:2021:0216JUD006976212, 71. §), amely ítéletekben az EJEB hozzátette, hogy annak meghatározásához, hogy az eljárás egésze tisztességes volt‑e, meg kell vizsgálni, hogy tiszteletben tartották‑e a védelemhez való jogot, ami magában foglalja többek között annak vizsgálatát, hogy a felperesnek volt‑e lehetősége arra, hogy vitassa a bizonyítékok hitelességét, és ellenezze azok felhasználását, valamint a bizonyítékok minőségének figyelembevételét, különösen pedig azt, hogy a bizonyítékok megszerzésének körülményei kétségessé teszik‑e a bizonyítékok megbízhatóságát vagy pontosságát.
33      Lásd: 2020. október 6‑i La Quadrature du Net és társai ítélet (C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791, 221., 222., 225–227. pont), amely többek között azzal a kérdéssel foglalkozik, hogy az uniós joggal ellentétes‑e az olyan információk és bizonyítékok büntetőeljárás keretében történő felhasználása, amelyeket az elektronikus hírközlési ágazatban a személyes adatok kezeléséről, feldolgozásáról és a magánélet védelméről szóló, 2002. július 12‑i 2002/58/EK európai parlamenti és tanácsi irányelvből (Elektronikus hírközlési adatvédelmi irányelv) (HL 2002. L 201., 37. o.; magyar nyelvű különkiadás 13. fejezet, 29. kötet, 514. o.) eredő követelmények figyelmen kívül hagyásával szereztek.
34      A német kormány hozzáteszi, hogy a polgári perrendtartás 138., 286., 355. és azt követő §‑ai összességükben vonatkoznak az ítélethozatal szempontjából releváns tények megállapítására, és hogy e törvénykönyv 286. §‑a és az alaptörvény 103. cikkének (1) bekezdése együttesen azt jelenti, hogy a bíróságok főszabály szerint kötelesek figyelembe venni a felek által előadott tényeket és az általuk szolgáltatott bizonyítékokat.
35      Lásd: Bundesverfassungsgericht (szövetségi alkotmánybíróság), 2002. október 9‑i határozat (1 BVR 1611/96, BVerfGE 106, 28–51, DE:BVerfG:2002:rs20021009.1bvr161196, 60. pont).
36      A Bundesarbeitsgericht (szövetségi munkaügyi bíróság) második tanácsa így a 2023. június 29‑i ítéletében (2 AZR 297/22, DE:BAG:2023:290623.U.2AZR297.22.0) megállapította, hogy e következtetés egyértelműen a GDPR 17. cikkéből következik. A német kormány megerősíti a szóban forgó ítélet ezen értelmezését. Lényegében hozzáteszi, hogy ezen ítélkezési gyakorlatnak megfelelően a bíróság akkor is mellőzhet bizonyos bizonyítékokat, ha azok felhasználása az eljárásban részt vevő fél alapvető jogainak súlyos megsértését jelentené. E tekintetben pontosítom, hogy az a kérdés, hogy valamely jogalany érvényesítheti‑e jogait, amennyiben jogos érdek fűződik a bizonyításhoz, konkrétabban az előzetes döntéshozatalra előterjesztett harmadik kérdés c) pontjának hatálya alá tartozik, amely nem képezi a jelen célzott indítvány tárgyát.
37      Lásd: Norra Stockholm Bygg ítélet (40. pont).
38      Lásd: a GDPR (41) preambulumbekezdése; e tekintetben: Valsts ieņēmumu dienests ítélet (52. és 56. pont); a 2024. szeptember 12‑i HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV ítélet (C‑17/22 és C‑18/22, EU:C:2024:738, 71. pont).
39      Így a Bíróság már megállapította, hogy a nemzeti jog azon rendelkezései, amelyek valamely dokumentum bizonyítékként történő benyújtására vonatkoznak, olyan eseteinek körébe tartozhatnak, amelyek a GDPR 6. cikkének a 23. cikke (1) bekezdésének f) és j) pontjával összefüggésben értelmezett (3) és (4) bekezdésében foglalt rendelkezések alapján jogszerűnek minősülnek (lásd: Norra Stockholm Bygg ítélet, 45. pont), illetve hogy ha valamely bíróság a nemzeti jog által ráruházott bírósági hatásköröket gyakorolja, a személyes adatok e bíróság által elvégzendő kezelését szükségesnek kell tekinteni az említett rendelet 6. cikke (1) bekezdése első albekezdésének e) pontjában kimondott, közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához kapcsolódó cél eléréséhez (lásd: 2023. május 4‑i Bundesrepublik Deutschland [Elektronikus igazságügyi fiók] ítélet, C‑60/22, EU:C:2023:373, 73. pont).