–

IP képviseletében M. Rodenhausen Rechtsanwältin,

–

a Quirin Privatbank AG képviseletében F. Buchmann Rechtsanwalt,

–

az Európai Bizottság képviseletében A. Bouchagiar és M. Heller, meghatalmazotti minőségben,

1

Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR) 17., 18., 79., 82. és 84. cikkének értelmezésére vonatkozik.

2

E kérelmet IP természetes személy és a Quirin Privatbank AG társaság között e személy arra irányuló kérelme tárgyában folyamatban lévő jogvita keretében terjesztették elő, hogy egyrészt kötelezzék e társaságot IP személyes adatainak harmadik fél részére történő ismételt jogosulatlan közlésétől való tartózkodásra, másrészt pedig e személyes adatok eredeti közlése következtében állítólagosan elszenvedett nem vagyoni kár megtérítésére.

Jogi háttér

Az uniós jog

3

A GDPR (1), (10), (11), (75), (85) és (146) preambulumbekezdése a következőképpen szól:

4

A GDPR „Tárgy” című 1. cikke a (2) bekezdésében a következőképpen rendelkezik:

5

E rendelet „Fogalommeghatározások” című 4. cikke a következőket írja elő:

6

A GDPR „Elvek” című II. fejezete tartalmazza e rendelet 5–11. cikkét.

7

Az említett rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke a következőket írja elő:

8

Ugyanezen rendeletnek „Az adatkezelés jogszerűsége” című 6. cikke az (1) bekezdésében a következőképpen rendelkezik:

9

A GDPR‑nak „Az érintett jogai” című III. fejezete tartalmazza e rendelet 12–23. cikkét.

10

Az említett rendeletnek e III. fejezet „Helyesbítés és törlés” című 3. szakaszában szereplő, „A törléshez való jog (»az elfeledtetéshez való jog«)” című 17. cikke az (1) bekezdésében a következőket írja elő:

11

Ugyanezen rendeletnek a szintén e 3. szakaszában szereplő, „Az adatkezelés korlátozásához való jog” című 18. cikke az (1) bekezdésében a következőképpen rendelkezik:

12

A GDPR „Jogorvoslat, felelősség és szankciók” című VIII. fejezete tartalmazza e rendelet 77–84. cikkét.

13

A GDPR 77. cikke „A felügyeleti hatóságnál történő panasztételhez való jog” címet viseli, e rendelet 78. cikke pedig „A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog” címet viseli.

14

Az említett rendeletnek „Az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jog” című 79. cikke az (1) bekezdésében a következőket írja elő:

15

A GDPR‑nak „A kártérítéshez való jog és a felelősség” című 82. cikke értelmében:

16

E rendeletnek „A közigazgatási bírságok kiszabására vonatkozó általános feltételek” című 83. cikke a (2) bekezdésében a következőképpen rendelkezik:

17

Az említett rendelet „Szankciók” című 84. cikke az (1) bekezdésében a következőket írja elő:

A német jog

18

Az 1949. május 23‑i Grundgesetz für die Bundesrepublik Deutschland (a Németországi Szövetségi Köztársaság alaptörvénye; BGBl. 1949 I., 1. o.) alapügyre alkalmazandó változata 2. cikkének (1) bekezdése a következőképpen szól:

19

A Bürgerliches Gesetzbuch (polgári törvénykönyv) „Nem vagyoni kár” című 253. §‑a, az alapeljárásra alkalmazandó változatában (a továbbiakban: BGB), a következőket írja elő:

20

A BGB „Kártérítési kötelezettség” című 823. §‑a a következőképpen rendelkezik:

21

A BGB „Megszüntetésre és tartózkodásra kötelezés iránti igény” 1004. §‑a az (1) bekezdésében a következőket írja elő:

22

Az előzetes döntéshozatalra utaló határozat szerint a BGB 1004. §‑a analógia útján alkalmazandó az alapeljárásban az abszolút jogok megsértésére vagy az e törvénykönyv 823. §‑ának (1) és (2) bekezdése értelmében vett, mások védelmére irányuló törvény megsértésére.

Az alapeljárás és az előzetes döntéshozatalra előterjesztett kérdések

23

Az alapeljárás felperese egy online szakmai közösségi hálózaton keresztül egy állásra jelentkezett a Quirin Privatbanknál, egy német jog szerinti társaságnál. Ezt követően e társaság egyik alkalmazottja e hálózat e‑mail‑szolgáltatásán keresztül elküldött e felvételi eljárással nem érintett harmadik félnek egy kizárólag az alapeljárás felperesének szánt üzenetet, amelyben e felperest tájékoztatta a munkabérigényének elutasításáról, és más díjazást ajánlott neki (a továbbiakban: szóban forgó üzenet). E harmadik személy, aki ismerte az alapeljárás felperesét, mivel azelőtt vele dolgozott, továbbította neki ezt az üzenetet, és megkérdezte tőle, hogy állást keres‑e.

24

Az alapeljárás felperese keresetet indított a Landgericht Darmstadt (darmstadti regionális bíróság, Németország) előtt arra vonatkozóan, hogy egyrészt kötelezzék a Quirin Privatbankot a rá vonatkozó személyes adatoknak a pályázatával összefüggő minden olyan kezelésétől való tartózkodásra, amely megismétli e személyes adatok jogosulatlan közlését a szóban forgó üzenet elküldését követően, másrészt pedig az ezen eseményből eredő nem vagyoni kártérítés megfizetésére. Az alapeljárás felperese lényegében azt állította, hogy ez a kár az abból eredő aggodalmaiból fakad, hogy legalább egy, őt ismerő és ugyanabban a szakmai ágazatban dolgozó harmadik személy számára lehetővé vált, hogy e bizalmas adatokat korábbi vagy potenciális munkáltatóknak továbbítsa, az álláskeresés tekintetében egy lehetséges versenyhelyzetben előnyhöz jusson vele szemben, és tanúja legyen a bértárgyalásai kudarca során érzett megaláztatásnak.

25

2020. május 26‑i ítéletével az elsőfokú bíróság arra kötelezte a Quirin Privatbankot, hogy tartózkodjon a kérelemben foglalt cselekményektől, és fizessen az alapeljárás felperese részére 1000 euró összegű kártérítést, valamint annak kamatait. A Quirin Privatbank fellebbezést nyújtott be ezen ítélettel szemben.

26

2022. március 2‑i ítéletével az Oberlandesgericht Frankfurt (frankfurti regionális felsőbíróság, Németország) részben megváltoztatta az említett ítéletet. Megállapította, hogy az alapeljárás felperese – a GDPR 17. cikkének (1) bekezdése alapján – jogosult azt követelni, hogy a Quirin Privatbank a jövőben tartózkodjon a személyes adatainak a szóban forgó üzenethez hasonló formában való kezelésétől, és hogy e tekintetben az ismétlődés veszélye fennáll. Elutasította viszont az e rendelet 82. cikke szerinti kártérítési kérelmet azzal az indokkal, hogy kétségkívül megsértették a személyes adatok védelmére vonatkozó szabályokat az ilyen adatok nem érintett harmadik fél részére történő továbbításával, konkrét kárra vonatkozó bizonyítékot azonban az alapeljárás felperese nem szolgáltatott, és még azt feltételezve is, hogy megaláztatást élt át, azt nem lehet nem vagyoni kárnak minősíteni.

27

Ezen ítélettel szemben mind az alapeljárás felperese, mind a Quirin Privatbank felülvizsgálati kérelmet nyújtott be a kérdést előterjesztő bírósághoz, a Bundesgerichtshofhoz (szövetségi legfelsőbb bíróság, Németország). E bíróság előtt az alapeljárás felperese fenntartja az eredeti kérelmeit, míg a Quirin Privatbank azok teljes egészükben történő elutasítását kéri.

28

A kérdést előterjesztő bíróság megállapítja, hogy az alapeljárás felperese által vitatott műveletek a GDPR hatálya alá tartoznak. Rámutat, hogy e műveletek az „érintett” „személyes adatai” „kezelésének” minősülnek, és hogy a Quirin Privatbank az e rendelet 4. cikkének 1., 2. és 7. pontja értelmében vett „adatkezelő”. Álláspontja szerint nem vitatott, hogy az említett műveletek, amelyek az ilyen adatoknak a GDPR 4. cikkének 10. pontja értelmében vett „harmadik fél” részére történő jogosulatlan továbbításának formájában jelentek meg, megsértették e rendelet rendelkezéseit, és e rendelet 6. cikkének (1) bekezdése alapján jogellenesek, különösen azért, mert az alapeljárás felperese ahhoz nem járult hozzá.

29

E bíróság először is arra keresi a választ, hogy a GDPR jogot biztosít‑e azon személy számára, akinek a személyes adatait jogellenesen kezelték, hogy azt követelje az adatkezelőtől, hogy tartózkodjon ezen adatkezelés megismétlésétől, ideértve, ha e személy nem kéri az adatainak törlését. A nemzeti ítélkezési gyakorlatra és az erre vonatkozó jogtudományi vitákra tekintettel az említett bíróság azt kívánja megtudni, hogy ez a jog, amellyel kapcsolatban pontosítja, hogy azt tisztán megelőző jelleggel gyakorolják, következhet‑e ezen rendeletnek az ilyen törléshez való jogra vonatkozó 17. cikkéből, az adatkezelés korlátozásához való jogra vonatkozó 18. cikkéből, az említett rendeletnek az adatkezelővel vagy az adatfeldolgozóval szembeni hatékony bírósági jogorvoslathoz való jogról szóló 79. cikkéből, vagy ugyanezen rendelet bármely más rendelkezéséből.

30

Másodszor, az e kérdésekre adott igenlő válasz esetén a kérdést előterjesztő bíróság a Németországi Szövetségi Köztársaság alaptörvényének 2. cikkén, valamint a BGB 823. §‑ának és 1004. §‑ának együttes alkalmazásán alapuló saját ítélkezési gyakorlatára tekintettel egyrészt azt kívánja meghatározni, hogy az annak megkövetelésére vonatkozó ilyen jog, hogy az adatkezelő tartózkodjon a GDPR ismételt megsértésétől függ‑e az ismétlődés veszélyének fennállásától, másrészt pedig azt, hogy ez utóbbit – adott esetben – az eredeti jogsértésre tekintettel vélelmezni kell‑e.

31

Harmadszor, fordított esetben, ha az első kérdésének két részére nemleges választ kell adni, e bíróság azt kívánja megtudni, hogy a GDPR‑nak az adatkezelővel szembeni hatékony bírósági jogorvoslathoz való jogra vonatkozó 79. cikkének, illetve az e rendelet megsértése esetén alkalmazandó szankciókra vonatkozó 84. cikkének együttes olvasatából az következik‑e, hogy a tagállami bíróság a nemzeti rendelkezések alapján az adatkezelőt ilyen tartózkodásra kötelezheti, miközben az érintett számára biztosítja az említett rendelet 17., 18. és 82. cikkében biztosított jogok gyakorlását.

32

Negyedszer, a kérdést előterjesztő bíróság kérdése azokra a feltételekre vonatkozik, amelyektől a GDPR (75) és (85) preambulumbekezdésével összefüggésben értelmezett 82. cikkének (1) bekezdése szerinti kártérítéshez való jog függ. A kérdést előterjesztő bíróság közelebbről azt kérdezi, hogy melyek azok a tények, amelyek lehetővé teszik az e 82. cikk (1) bekezdése értelmében vett „nem vagyoni kár” megállapítását abban az esetben, ha az érintett kizárólag negatív érzésekre hivatkozik, amelyek – e bíróság szerint – a mindennapi élet általános veszélyeinek körébe tartoznak.

33

Ötödször, az említett bíróság arra keresi a választ, hogy az adatkezelő vétkességének súlyosságát figyelembe kell‑e venni a GDPR 82. cikkének (1) bekezdése alapján járó nem vagyoni kár megtérítésének értékelése során. Rámutat, hogy a német jogban a nem vagyoni kár pénzbeli megtérítése megköveteli – többek között – a károkozó vétkessége súlyosságának figyelembevételét, mivel – a BGB 253. §‑ával kapcsolatos ítélkezési gyakorlatnak megfelelően – e kártérítés egyszerre tölti be a károsult személy által elszenvedett kár megtérítésének funkcióját és az e károkozó részéről neki járó elégtételi funkciót.

34

Hatodszor, az első kérdése két részének egyikére vagy a harmadik kérdésére adott igenlő válasz esetén a kérdést előterjesztő bíróság azt kívánja megtudni, hogy az érintett azon joga, hogy azt követelje, hogy az adatkezelő tartózkodjon a GDPR ismételt megsértésétől, releváns kritériumnak minősül‑e az e rendelet 82. cikkének (1) bekezdése szerinti nem vagyoni kár megtérítésének csökkentéséhez, vagy akár kizárásához, hasonlóan ahhoz, ami a német jog alapján lehetséges.

35

E körülmények között a Bundesgerichtshof (szövetségi legfelsőbb bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

Az előzetes döntéshozatalra előterjesztett kérdésekről

Az első, a második és a harmadik kérdésről

36

Az első, második és harmadik kérdésével, amelyeket célszerű együttesen vizsgálni, a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a GDPR rendelkezéseit úgy kell‑e értelmezni, hogy azok a személyes adatok jogellenes kezelésével érintett javára – abban az esetben, ha e személy nem kéri az adatainak törlését – olyan bírósági jogorvoslatot biztosítanak, amely megelőző jelleggel lehetővé teszi számára, hogy az adatkezelőt az ismételt jogellenes adatkezeléstől való tartózkodásra kötelezzék a jövőben, és nemleges válasz esetén, hogy e rendelkezések megakadályozzák‑e a tagállamokat abban, hogy saját jogrendjükben biztosítsanak ilyen jogorvoslatot.

37

Elöljáróban emlékeztetni kell arra, hogy valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak kifejezéseit, hanem szövegkörnyezetét, és annak a szabályozásnak a célkitűzéseit is figyelembe kell venni, amelynek az részét képezi (2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 52. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

38

E tekintetben először is meg kell állapítani, hogy a GDPR a minden természetes személy számára elismert azon jog fennállásán alapul, hogy a rá vonatkozó személyes adatok kezelése tekintetében védelemben részesüljön. E védelem a Charta 8. cikkének – a GDPR (1) preambulumbekezdésében hivatkozott – (1) bekezdésében biztosított alapvető jognak minősül. Ezen alapvető jog hatékonyságának és minden tagállamban a magas és azonos szintű védelem biztosítására vonatkozó célkitűzés e rendelet alapját képezi, amint az a GDPR 1. cikkéből és (10) preambulumbekezdéséből következik (lásd ebben az értelemben: 2023. október 5‑i Ministerstvo zdravotnictví [Covid‑19‑mobilalkalmazás] ítélet, C‑659/22, EU:C:2023:745, 28. pont; 2024. október 4‑i Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, 28. pont; 2025. április 3‑i Ministerstvo zdravotnictví [Jogi személy képviselőjére vonatkozó adatok], C‑710/23, EU:C:2025:231, 29. pont).

39

A Bíróság állandó ítélkezési gyakorlata szerint a személyes adatok kezelése során tiszteletben kell tartani az ilyen adatok kezelésére vonatkozó elveket, valamint a GDPR 4. cikkének 1. pontja értelmében vett „érintettnek” e rendelet II., illetve III. fejezetében rögzített jogait. Különösen meg kell felelnie az ezen adatok kezelésére vonatkozó, az említett rendelet 5. cikkében előírt elveknek, és meg kell felelnie a 6. cikkében felsorolt, az adatkezelés jogszerűségére vonatkozó feltételeknek (lásd ebben az értelemben: 2024. december 19‑i K GmbH ítéletet [A munkavállalók személyes adatainak kezelése], C‑65/23, EU:C:2024:1051, 46. pont; 2025. április 3‑i Ministerstvo zdravotnictví ítéletet [Jogi személy képviselőjére vonatkozó adatok], C‑710/23, EU:C:2025:231, 33. pont).

40

Amint arra a főtanácsnok az indítványának 32., 34. és 38. pontjában lényegében rámutatott, a Charta 8. cikke az (1) bekezdésében kimondja a személyes adatok védelméhez való jogot, de a (2) bekezdésében azt is előírja, hogy ezeket az adatokat bizonyos feltételek tiszteletben tartása mellett kezeljék, amelyektől a vizsgált adatkezelés jogszerűsége függ. Hasonlóképpen, a GDPR II. fejezetében meghatározott, az adatkezelőt terhelő kötelezettségekkel az e rendelet által előírt, az érintettek számára biztosított konkrét jogok állnak szemben. Így ez utóbbiakat megilleti a személyes adataik jogszerű kezeléséhez való jog, amely az ezen adatkezelőt terhelő azon általános kötelezettség velejárója, hogy az ilyen adatokat ne kezelje az említett rendelet követelményeivel összhangban nem álló módon.

41

Másodszor, a Bíróság több alkalommal kimondta, hogy az uniós jog, ideértve a Charta rendelkezéseit is, nem kötelezi a tagállamokat arra, hogy a nemzeti jogban megállapítottaktól eltérő jogorvoslati lehetőségeket hozzanak létre, kivéve azonban azt az esetet, ha a szóban forgó nemzeti jogrend egészéből az következik, hogy nem létezik olyan bírósági jogorvoslat, amellyel akár közvetett módon biztosítható lenne a jogalanyok uniós jogból eredő jogainak tiszteletben tartása (2025. május 8‑i Barało ítélet, C‑530/23, EU:C:2025:322, 99. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

42

A jelen ügyben először is hangsúlyozni kell, hogy az alapügyben szóban forgó helyzet nem a nemzeti bíróság azon lehetőségére vonatkozik, hogy ideiglenes intézkedéseket fogadjon el, hanem az érintett azon esetleges lehetőségére, hogy megelőző jellegű keresettel érdemben az adatkezelőt e jogok ismételt megsértésétől való eltiltásra kötelezzék.

43

E tekintetben meg kell állapítani, hogy a GDPR nem tartalmaz olyan rendelkezéseket, amelyek kifejezetten vagy hallgatólagosan azt biztosítják, hogy az érintett – amint azt a kérdést előterjesztő bíróság felveti – megelőző jelleggel, bírósági kereset útján jogosult legyen arra, hogy a személyes adatok kezelőjét arra kötelezzék, hogy a jövőben tartózkodjon e rendelet rendelkezéseinek megsértésétől, különösen a jogellenes adatkezelés megismétlése formájában. Amint arra különösen a főtanácsnok az indítványának 54–69. pontjában rámutatott, ilyen jog nem vezethető le sem az említett rendelet 17. cikkéből, sem annak 18. cikkéből.

44

Ami a GDPR VIII. fejezetét illeti, emlékeztetni kell arra, hogy e fejezet szabályozza többek között azokat a jogorvoslati lehetőségeket, amelyek lehetővé teszik az érintett jogainak védelmét, amennyiben a rá vonatkozó személyes adatokat állítólag e rendelet rendelkezéseivel ellentétes módon kezelték. E jogok védelmét ily módon különösen kérheti közvetlenül az érintett az említett rendelet 77–79. cikke alapján, amelyek különböző jogorvoslati eszközöket biztosítanak, amelyeket e személy párhuzamosan és egymástól függetlenül is gyakorolhat (lásd ebben az értelemben: 2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 47. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2025. április 30‑i Inspektorat kam Visshia sadeben savet ítélet, C‑313/23, C‑316/23 és C‑332/23, EU:C:2025:303, 128. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

45

A GDPR VIII. fejezete rendelkezéseinek szövegéből kitűnik, hogy ezek egyike sem kötelezi a tagállamokat arra, hogy a jelen ítélet 42. pontjában leírthoz hasonló megelőző keresetet biztosítsanak. Közelebbről, e rendelet 79. cikke (1) bekezdésének szövege annak előírására szorítkozik, hogy a rendelkezésre álló közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, minden érintett hatékony bírósági jogorvoslatra jogosult, ha megítélése szerint a személyes adatainak e rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait. E rendelkezés szövege nem kötelezi a tagállamokat arra, hogy olyan különleges jogorvoslati lehetőséget biztosítsanak, amely kereset útján lehetővé teszi a kérdést előterjesztő bíróság által felvázolthoz hasonló, megelőző jellegű tartózkodásra kötelezést.

46

Mindemellett, tekintettel a GDPR VIII. fejezete rendelkezéseinek szövegére, és különösen arra, hogy a 79. cikkének (1) bekezdése elismeri minden érintett hatékony bírósági jogorvoslathoz való jogát ha megítélése szerint a személyes adatainak az említett rendeletnek nem megfelelő kezelése következtében megsértették az e rendelet szerinti jogait az egyéb közigazgatási vagy nem bírósági útra tartozó jogorvoslatok sérelme nélkül, meg kell állapítani, hogy a tagállamok nem akadályozhatók meg abban, hogy ilyen megelőző jogorvoslatot biztosítsanak az adatkezelő arra való kötelezése érdekében, hogy tartózkodjon e jogok ismételt megsértésétől (lásd ebben az értelemben: 2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 53. pont).

47

E tekintetben hangsúlyozni kell, hogy bár a GDPR célja a személyes adatok védelmére vonatkozó nemzeti jogszabályok főszabály szerint teljes harmonizációjának biztosítása, e rendelet több rendelkezése lehetőséget ad a tagállamok számára, hogy további, szigorúbb vagy eltérést engedő nemzeti szabályokat írjanak elő, amelyek mérlegelési mozgásteret hagynak a tagállamok számára e rendelkezések végrehajtásának módját illetően („engedő rendelkezések”) (2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 57. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

48

Kétségtelen, hogy a GDPR VIII. fejezetének rendelkezései nem tartalmaznak konkrétan ilyen engedő rendelkezést, amely kifejezetten lehetővé tenné a tagállamoknak, hogy lehetőséget adjanak az érintett számára, aki meg kívánja akadályozni az adatkezelőt az e rendelet anyagi jogi rendelkezéseinek megsértésében, hogy keresetet indítson vele szemben ilyen irányú tartózkodásra kötelezés elrendelése érdekében. Mindazonáltal az uniós jogalkotó nem kívánta kimerítően harmonizálni az említett rendelkezéseinek megsértése esetén nyitva álló jogorvoslati lehetőségeket, és különösen nem zárt ki ilyen jogorvoslati lehetőséget (lásd ebben az értelemben: 2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 59. és 60. pont).

49

Ezt az értelmezést megerősítik a GDPR által követett célkitűzések. E rendelet célja ugyanis, amint az többek között annak (10) preambulumbekezdéséből kitűnik, a természetes személyek egységes és magas szintű védelmének biztosítása a rájuk vonatkozó személyes adatok kezelése tekintetében. Az említett rendelet (11) preambulumbekezdése ezenkívül konkrétan kimondja, hogy ahhoz, hogy ezen adatok hatékony védelemben részesüljenek, szükséges megerősíteni az érintettek jogait, valamint a személyes adatokat kezelő, illetve az adatkezelést meghatározó személyek kötelezettségeit (lásd ebben az értelemben: 2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 61. pont).

50

Márpedig az érintett azon lehetősége, hogy keresetet indítson az adatkezelő arra való kötelezése iránt, hogy a jövőben tartózkodjon a GDPR anyagi jogi rendelkezései megsértésétől, nem csupán nem sérti e célokat, hanem éppen ellenkezőleg, erősíti e rendelkezések hatékony érvényesülését, és ezáltal az érintettek számára személyes adataik kezelése tekintetében az e rendelet által biztosított magas szintű védelmet. Ezért a GDPR VIII. fejezetének rendelkezéseivel nem ellentétes az olyan nemzeti szabályozás, amely az érintettet ilyen megelőző kereset lehetőségére jogosítja fel (lásd ebben az értelemben: 2024. október 4‑i Lindenapotheke ítélet, C‑21/23, EU:C:2024:846, 62. és 73. pont).

51

Ebből következik, hogy a GDPR‑ral nem ellentétes, hogy valamely tagállam jogának – az eljáró nemzeti bíróság előtt alkalmazandó – rendelkezései alapján olyan jogorvoslathoz való jog álljon rendelkezésre, amely olyan kötelezésre irányul, hogy e rendelet anyagi jogi rendelkezéseinek esetleges, különösen a jogellenes adatkezelés potenciális megismétlésével történő megsértését megakadályozza.

52

A fenti indokok összességére tekintettel az első, a második és a harmadik kérdésre azt a választ kell adni, hogy a GDPR rendelkezéseit úgy kell értelmezni, hogy azok – abban az esetben, ha e személy nem kéri az adatainak törlését – a személyes adatok jogellenes kezelésével érintett javára nem biztosítanak olyan bírósági jogorvoslatot, amely lehetővé tenné számára, hogy megelőző jelleggel az adatkezelőt arra kötelezzék, hogy a jövőben tartózkodjon az ismételt jogellenes adatkezeléstől. E rendelkezések azonban nem akadályozzák meg a tagállamokat abban, hogy a saját jogrendjükben ilyen jogorvoslatot biztosítsanak.

A negyedik kérdésről

53

Negyedik kérdésével a kérdést előterjesztő bíróság lényegében azt kérdezi, hogy a GDPR 82. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy az e rendelkezésben szereplő „nem vagyoni kár” fogalma magában foglalja az érintett által a személyes adatainak harmadik fél részére történő jogosulatlan továbbítása következtében megtapasztalt – az ezen adatok feletti rendelkezés elvesztése, azok esetleges visszaélésszerű felhasználása vagy a jóhírnevének sérelme által kiváltott – olyan negatív érzéseket, mint a félelem vagy a harag.

54

Emlékeztetni kell arra, hogy a GDPR 82. cikkének (1) bekezdése előírja, hogy minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.

55

Az állandó ítélkezési gyakorlat szerint tekintettel arra, hogy a GDPR 82. cikkének (1) bekezdése egyáltalán nem utal a tagállamok belső jogára, a „nem vagyoni kár” e rendelkezés értelmében vett fogalmának az uniós jog saját fogalmaként önálló és egységes definíciót kell adni (lásd ebben az értelemben: 2024. január 25‑i MediaMarktSaturn ítélet, C‑687/21, EU:C:2024:72, 64. pont; 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 139. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

56

E tekintetben a Bíróság – különösen a GDPR (75), (85) és (146) preambulumbekezdésével összefüggésben – több alkalommal kimondta, hogy a GDPR 82. cikkének (1) bekezdése alapján e rendelet puszta megsértése nem elegendő ahhoz, hogy kártérítési jogot keletkeztessen. A vagyoni vagy nem vagyoni „kár” vagy az „elszenvedett kár” megléte, akárcsak az említett rendelet rendelkezései megsértésének fennállása, valamint az e kár és az e jogsértés közötti okozati kapcsolat megléte képezi e kártérítéshez való jog három kumulatív, szükséges és elégséges feltételét. Tehát e 82. cikk (1) bekezdése alapján a nem vagyoni kára megtérítését kérő érintett nemcsak e rendelet megsértését köteles bizonyítani, hanem azt is, hogy e jogsértés ténylegesen ilyen kárt okozott neki (lásd ebben az értelemben: 2023. május 4‑i Österreichische Post [Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár] ítélet, C‑300/21, EU:C:2023:370, 32., 33., 37. és 42. pont; 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 140–142. pont; 2024. október 4–i Patērētāju tiesību aizsardzības centrs ítélet, C‑507/23, EU:C:2024:854, 24. és 25. pont).

57

A jelen ügyben a kérdést előterjesztő bíróság kifejti, hogy az alapeljárás felperese az általa a GDPR szóban forgó megsértése miatt – állítása szerint – elszenvedett nem vagyoni kár címén lényegében „az adatoknak az ugyanazon ágazatban dolgozó harmadik fél részére történő továbbításától való félelemre, arra, hogy egy személy főszabály szerint kötelező titoktartás alá eső információkat tudott meg, [valamint] a munkabérigényének elutasításához kapcsolódó megaláztatásra és harmadik fél erről való tudomásszerzésére” hivatkozik. E bíróság azt kívánja megtudni, hogy az e rendelet 82. cikke értelmében vett „nem vagyoni kár” fennállásának megállapításához elegendők‑e olyan „negatív érzések”, mint „a harag, kedvetlenség, elégedetlenség, aggodalom és félelem”, amelyeket „az élettel velejáró veszélyeknek” minősít, vagy az is szükséges, hogy az érintett ezen érzéseket meghaladó hátrányt szenvedjen el.

58

E tekintetben a Bíróság ítélkezési gyakorlatából kitűnik, hogy a GDPR 82. cikkének (1) bekezdésével ellentétes az olyan nemzeti szabály vagy gyakorlat, amely az e rendelkezés értelmében vett nem vagyoni kár megtérítését annak a feltételnek rendeli alá, hogy az érintett által elszenvedett kárnak el kell érnie egy bizonyos súlyossági küszöböt. Az említett rendelkezés nem követeli meg, hogy az érintett által hivatkozott nem vagyoni kárnak el kell érnie egy „minimimális küszöbértéket” a kártérítéshez való jogosultsághoz (lásd ebben az értelemben: 2023. május 4‑i Österreichische Post [Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár] ítélet, C‑300/21, EU:C:2023:370, 51. pont; 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 147. és 149. pont).

59

Másodszor, amint arra az Európai Bizottság az írásbeli észrevételeiben rámutatott, az alapjogvitában hivatkozottakhoz hasonló, a személyes adatok megsértéséből eredő „jó hírnév sérelmére” vagy az ilyen adatok feletti „rendelkezés elvesztésére” vonatkozó helyzetek kifejezetten szerepelnek a lehetséges károknak a GDPR (75) és (85) preambulumbekezdésében felsorolt példái között.

60

Közelebbről, a Bíróság hangsúlyozta, hogy az érintettek által esetlegesen elszenvedett „károknak” a GDPR (85) preambulumbekezdésének első mondatában szereplő, példálózó felsorolásából kitűnik, hogy az uniós jogalkotó e fogalomba bele kívánta foglalni többek között a saját személyes adataik feletti „rendelkezésnek” az e rendelet megsértése miatti egyszerű „elvesztését” is, még akkor is, ha a szóban forgó adatokkal való visszaélésre ténylegesen nem került sor. Az ilyen rendelkezés elvesztése elegendő lehet ahhoz, hogy az említett rendelet 82. cikkének (1) bekezdése értelmében vett „nem vagyoni kárt” okozzon, amennyiben az érintett bizonyítja, hogy ténylegesen ilyen – akár csekély mértékű – kár érte, és a „nem vagyoni kár” e fogalma nem igényli további érzékelhető negatív következmények fennállásának bizonyítását (lásd ebben az értelemben: 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 145., 150. és 156. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

61

Harmadszor, a Bíróság már kimondta, hogy az érintett által érzett azon félelem, hogy a jövőben a GDPR megsértése miatt a személyes adatait visszaélésszerűen használják fel, önmagában alkalmas arra, hogy a 82. cikkének (1) bekezdése értelmében vett „nem vagyoni kárnak” minősüljön, amennyiben e félelem – annak negatív következményeivel együtt – megfelelően bizonyított, aminek vizsgálata az eljáró bíróság feladata (lásd ebben az értelemben: 2024. június 20‑i PS [Téves cím] ítélet, C‑590/22, EU:C:2024:536, 32., 35. és 36. pont; 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 143., 144. és 155. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

62

Így, noha a kérdést előterjesztő bíróság által említett érzések, különösen a félelem vagy a harag, egyébként a mindennapi élet velejáró veszélyei is lehetnek, amint azt e bíróság maga is megjegyzi, az ilyen negatív érzések a GDPR 82. cikkének (1) bekezdése értelmében vett „nem vagyoni kárnak” minősülhetnek, amennyiben az okozati összefüggésnek a jelen ítélet 56. pontjában felidézett követelményének megfelelően az érintett bizonyítja, hogy éppen e rendelet szóban forgó megsértése, mint a személyes adatainak harmadik fél részére történő, a visszaélésszerű felhasználásuk veszélyét hordozó jogosulatlan továbbítása miatt tapasztalt meg ilyen érzéseket azok negatív következményeivel együtt, aminek értékelése az eljáró nemzeti bíróságok feladata.

63

Negyedszer és utolsósorban, ez az értelmezés megfelel a GDPR 82. cikke (1) bekezdésének az e rendelet (85) és (146) preambulumbekezdésének fényében értelmezett szövegének, amely preambulumbekezdések az e 82. cikk (1) bekezdése értelmében vett „nem vagyoni kár” fogalmának tág értelmezését írják elő. Ezt az értelmezést megerősíti továbbá az említett rendeletnek – az 1. cikkéből, valamint az (1) és (10) preambulumbekezdéséből kitűnő – a természetes személyeknek a személyes adatok kezelése tekintetében történő magas szintű védelmére irányuló célkitűzése (lásd analógia útján: 2023. december 14‑i Gemeinde Ummendorf ítélet, C‑456/22, EU:C:2023:988, 19. és 20. pont; 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 144. és 146. pont).

64

A fenti indokokra tekintettel a negyedik kérdésre azt a választ kell adni, hogy a GDPR 82. cikkének (1) bekezdését úgy kell értelmezni, hogy a „nem vagyoni kárnak” e rendelkezésben szereplő fogalma magában foglalja az érintett által a személyes adatainak harmadik személy részére történő jogosulatlan továbbítása következtében megtapasztalt olyan negatív érzéseket, mint a félelem vagy a harag, amelyeket az ezen adatok feletti rendelkezés elvesztése, azok esetleges visszaélésszerű felhasználása vagy a jóhírnevének sérelme vált ki, amennyiben az érintett bizonyítja, hogy e rendelet szóban forgó megsértése miatt tapasztalt meg – a negatív következményeikkel együtt – ilyen érzéseket.

Az ötödik kérdésről

65

Ötödik kérdésével a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 82. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy az lehetővé teszi az e 82. cikk (1) bekezdése alapján járó nem vagyoni kár megtérítésének értékelése céljából, hogy figyelembe vegyék az adatkezelő vétkességének súlyosságát.

66

E tekintetben a Bíróság ítélkezési gyakorlatából kitűnik, hogy mivel a GDPR nem tartalmaz az e rendelet 82. cikkében biztosított kártérítéshez való jog alapján járó kártérítés meghatározására vonatkozó rendelkezéseket, e célból a nemzeti bíróságoknak az egyes tagállamok pénzbeli kártérítés mértékére vonatkozó belső szabályait kell alkalmazniuk, az uniós jog szerinti egyenértékűség és hatékony érvényesülés elveinek tiszteletben tartása mellett (lásd ebben az értelemben: 2023. május 4‑i Österreichische Post [Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár] ítélet, C‑300/21, EU:C:2023:370, 54. és 59. pont; 2024. október 4‑i Patērētāju tiesību aizsardzības centrs ítélet, C‑507/23, EU:C:2024:854, 32. pont).

67

A jelen ügyben a kérdést előterjesztő bíróság arra keresi a választ, hogy a károkozó vétkességének súlyossága, amely a német jogban előírt – a nem vagyoni károk pénzbeli megtérítésének értékelésére vonatkozó – kritérium, alkalmazható‑e a nem vagyoni kárnak a GDPR 82. cikkén alapuló megtérítése tekintetében is.

68

A Bíróság ítéleteiből, amelyek közül néhányat a jelen előzetes döntéshozatal iránti kérelem benyújtását követően hoztak, az következik, hogy erre az ötödik kérdésre nemleges választ kell adni.

69

A Bíróság ugyanis már kimondta, hogy figyelembe véve a GDPR 82. cikkében megállapított kártérítéshez való jog kompenzációs szerepét, a nemzeti bíróságok – az e rendelet (146) preambulumbekezdésében foglaltak szerint – az elszenvedett kár „teljes és tényleges” megtérítését kötelesek biztosítani, anélkül hogy az ilyen teljes egészében való kompenzáláshoz szükséges lenne büntető jellegű kártérítést előírni (lásd ebben az értelemben: 2023. május 4‑i Österreichische Post [Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár] ítélet, C‑300/21, EU:C:2023:370, 57. és 58. pont; 2024. október 4‑i Patērētāju tiesību aizsardzības centrs ítélet, C‑507/23, EU:C:2024:854, 34. pont).

70

A GDPR 83. cikke alapján alkalmazandó közigazgatási bírságokkal szemben, amelyek kritériumai e rendelet 82. cikkének keretében mutatis mutandis nem alkalmazhatóak, a 82. cikkben – különösen nem vagyoni kár esetén – biztosított kártérítéshez való jog kizárólag kompenzációs funkciót, és nem elrettentő vagy büntető funkciót tölt be, mivel az említett 82. cikken alapuló pénzbeli kártérítésnek lehetővé kell tennie az említett rendelet megsértése következtében ténylegesen elszenvedett kár teljes megtérítését (lásd ebben az értelemben: 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 153. pont; 2024. október 4‑i Patērētāju tiesību aizsardzības centrs ítélet, C‑507/23, EU:C:2024:854, 39–41. pont).

71

Egyrészt tehát az adatkezelő GDPR 82. cikke szerinti felelősségének megállapításához szükséges a vétkessége, amelyet vélelmezni kell, kivéve ha bizonyítja, hogy a kárt okozó esemény neki semmilyen módon nem róható fel, és másrészt e cikk nem követeli meg e vétkesség súlyossági fokának a nem vagyoni kár megtérítéseként e cikk alapján megítélt kártérítés összegének meghatározásakor való figyelembevételét (2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 154. pont).

72

Közelebbről, a GDPR 82. cikkének (1) bekezdésében foglalt kártérítéshez való jog kizárólag kompenzációs funkciójával ellentétes, hogy e rendelet adatkezelő általi megsértésének súlyossági fokát és esetleges szándékosságát figyelembe vegyék az ez alapján megítélendő kártérítés szempontjából. Ebből az következik, hogy e rendelkezés keretében, adott esetben, az adatkezelő magatartását és motivációját nem lehet figyelembe venni annak érdekében, hogy az érintett által elszenvedett kárnál alacsonyabb kártérítést ítéljenek meg, legyen szó akár e kártérítés összegéről vagy formájáról (lásd ebben az értelemben: 2024. október 4‑i Patērētāju tiesību aizsardzības centrs ítélet, C‑507/23, EU:C:2024:854, 42–45. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

73

A fenti indokokra tekintettel az ötödik kérdésre azt a választ kell adni, hogy a GDPR 82. cikkének (1) bekezdését úgy kell értelmezni, hogy azzal ellentétes, hogy az adatkezelő vétkességének súlyosságát figyelembe vegyék az e cikk alapján járó nem vagyoni kár megtérítésének értékelése céljából.

A hatodik kérdésről

74

A hatodik kérdést arra az esetre terjesztették elő, ha a Bíróság igenlő választ adna akár az első kérdés részeinek egyikére, akár a harmadik kérdésre, vagyis ha lényegében úgy kellene tekinteni, a GDPR – közvetlenül, a rendelkezései alapján, vagy az e rendelet által megengedett nemzeti rendelkezések alkalmazása révén – elismeri az érintett javára azt a jogot, hogy az adatkezelőtől azt követelje, hogy tartózkodjon a személyes adatok ismételt megsértésétől. Az első, második és harmadik kérdésre együttesen adott, a jelen ítélet 52. pontjában szereplő válaszra tekintettel e hatodik kérdést meg kell válaszolni.

75

Ezen utolsó kérdés tárgyának pontosítása érdekében a kérdést előterjesztő bíróság megjegyzi, hogy a német jog és a saját ítélkezési gyakorlata szerint az a körülmény, hogy a nem vagyoni kárt szenvedett személy kérte, sőt jogosulttá vált arra, hogy a károkozó köteles legyen tartózkodni az ismételt kárt okozó cselekményektől, figyelembe vehető az e kár címén járó pénzbeli kártérítés csökkentése, sőt kizárása érdekében. A kérdést előterjesztő bíróság azt kívánja megtudni, hogy a kártérítés értékelésének e kritériuma alkalmazható‑e – különös tekintettel az uniós jog tényleges érvényesülésének elvére – a GDPR keretében is, és ha igen, milyen mértékben.

76

A kérdésével tehát a kérdést előterjesztő bíróság lényegében arra vár választ, hogy a GDPR 82. cikkének (1) bekezdését úgy kell‑e értelmezni, hogy az a körülmény, hogy az érintett az alkalmazandó nemzeti jog alapján jogosulttá vált az e rendelet megsértésének megismétlésétől való, az adatkezelővel szemben érvényesíthető tartózkodásra kötelezésre, figyelembe vehető az e 82. cikk (1) bekezdése alapján járó nem vagyoni kár pénzbeli megtérítése mértékének csökkentése vagy akár e kártérítés helyettesítése érdekében.

77

E tekintetben emlékeztetni kell arra, hogy – amint az a jelen ítélet 66. pontjában említésre került – a GDPR nem tartalmaz az e rendelet 82. cikke alapján járó kártérítés meghatározására vonatkozó rendelkezéseket, így a nemzeti bíróságoknak az egyes tagállamok pénzbeli kártérítés mértékére vonatkozó belső szabályait kell alkalmazniuk, az uniós jog szerinti egyenértékűség és hatékony érvényesülés elveinek tiszteletben tartása mellett.

78

Különösen hangsúlyozni kell, hogy a GDPR 82. cikke alapján a jogalanyokat megillető jogok védelmének biztosítására szolgáló keresetek keretében megítélendő kártérítés – egyes tagállamokban meghatározott – értékelési szempontjainak biztosítaniuk kell az érintett által e rendelet megsértése következtében elszenvedett kár teljes és tényleges megtérítését (lásd ebben az értelemben: 2024. október 4‑i Agentsia po vpisvaniyata ítélet, C‑200/23, EU:C:2024:827, 152. pont; 2024. október 4‑i Patērētāju tiesību aizsardzības centrs ítélet, C‑507/23, EU:C:2024:854, 34. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

79

A Bíróság már elismerte, hogy a tényleges érvényesülés elvéből eredő korlátok között bizonyos körülmények befolyásolhatják a GDPR 82. cikke alapján járó kártérítés értékelését, különösen e kártérítés korlátozása tekintetében. Kimondta, hogy ha az érintettet nem érte súlyos kár, a nemzeti bíróság e személynek csekély kártérítést ítélhet meg, amennyiben az így megállapított kártérítés alacsony összege lehetővé teszi e kár teljes megtérítését, aminek a vizsgálata e bíróság feladata. Hasonlóképpen a bocsánatkérés e 82. cikk alapján megfelelő kártérítés lehet, különösen akkor, ha az e kár bekövetkezését megelőző állapot helyreállítása lehetetlen, amennyiben a kártérítés e formája, amennyiben a nemzeti jog ezt előírja, lehetővé teszi az érintett által elszenvedett kár teljes megtérítését (lásd ebben az értelemben: 2024. október 4‑i Patērētāju tiesību aizsardzības centrs ítélet, C‑507/23, EU:C:2024:854, 35–37. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

80

A jelen ügyben az előterjesztett kérdés annak meghatározására irányul, hogy a GDPR 82. cikkének alkalmazási körében a nemzeti bíróságnak van‑e lehetősége az érintettet megillető tartózkodásra kötelezés figyelembevételére a nem vagyoni kár címén e személynek megállapítható kártérítés csökkentése érdekében, így e bíróság a gyakorlatban az ilyen kár megtérítését részben pénzbeli formában, részben pedig e kötelezés formájában, sőt kizárólag ez utóbbi formájában rendelné el.

81

Márpedig a jelen ítélet 78. és 79. pontjában említett ítélkezési gyakorlatból kitűnik, hogy az alkalmazandó nemzeti jogban előírt kártérítési formát csak akkor lehet a GDPR‑ral összeegyeztethetőnek tekinteni, ha e forma tiszteletben tartja az uniós jog egyenértékűségének és tényleges érvényesülésének elvét, ami többek között azt feltételezi, hogy alkalmas az érintett által elszenvedett kár teljes és tényleges kártérítésének biztosítására.

82

Konkrétan az e rendelet 82. cikke alapján járó kártérítés nem állapítható meg – részben vagy egészben – tartózkodásra kötelezés formájában, mivel az e 82. cikkben előírt kártérítéshez való jog kizárólag kompenzációs funkciót tölt be, amint arra a jelen ítélet 70. pontja emlékeztet, míg a károkozóval szemben érvényesített tartózkodásra kötelezésnek tisztán megelőző célja van. Amint ugyanis arra a főtanácsnok az indítványának 86. pontjában lényegében rámutatott, a kárt okozó cselekmények megismétlődésének megakadályozására irányuló, a további károkozás elkerülése érdekében való ilyen kötelezés az érintett által már elszenvedett kárt nem orvosolja.

83

A fenti indokokra tekintettel a hatodik kérdésre azt a választ kell adni, hogy a GDPR 82. cikkének (1) bekezdését úgy kell értelmezni, hogy azzal ellentétes, hogy az e cikk alapján járó nem vagyoni kár pénzbeli megtérítése mértékének csökkentése, vagy a fortiori e kártérítés helyettesítése érdekében figyelembe vegyék azt a körülményt, hogy az érintett – az alkalmazandó nemzeti jog alapján – az e rendelet megsértésének megismétlésétől való, az adatkezelővel szemben érvényesíthető tartózkodásra kötelezésre jogosult.

A költségekről

84

Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.

1)

A természetes személyeknek a személyes adatok kezelése vonatkozásában történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) rendelkezéseit

2)

A 2016/679 irányelv 82. cikkének (1) bekezdését

3)

A 2016/679 irányelv 82. cikkének (1) bekezdését

4)

A 2016/679 irányelv 82. cikkének (1) bekezdését