Ideiglenes változat
MANUEL CAMPOS SÁNCHEZ‑BORDONA
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2025. május 8.(1)
C‑698/23. P. sz. ügy
Európai adatvédelmi biztos
kontra
Európai Parlament,
az Európai Unió Tanácsa;
a Németországi Szövetségi Köztársaság,
a Francia Köztársaság,
az Európai Bizottság
részvételével
„ Fellebbezés – Intézményi jog – Személyes adatok Bűnüldözési Együttműködés Európai Uniós Ügynöksége (Europol) általi kezelése – (EU) 2016/794 rendelet – (EU) 2022/991 rendelet – Az európai adatvédelmi biztos intézményi előjogai – Megsemmisítés iránti kereset – Kereshetőségi jog – EUMSZ 263. cikk ”
1. A jelen fellebbezés tárgya a Törvényszék 2023. szeptember 6‑i Európai adatvédelmi biztos kontra Parlament és Tanács végzése,(2) amely elfogadhatatlannak nyilvánította az európai adatvédelmi biztos által az (EU) 2016/794 rendeletnek(3) az (EU) 2022/991 rendelettel(4) módosított 74a. és 74b. cikke megsemmisítése iránt benyújtott keresetet.
2. A Törvényszékhez benyújtott keresetében az európai adatvédelmi biztos azzal érvelt, hogy a vitatott rendelkezések visszamenőlegesen jogszerűvé teszik a Bűnüldözési Együttműködés Európai Uniós Ügynöksége (Europol) bizonyos adatvédelmi gyakorlatait, amelyekkel szemben az európai adatvédelmi biztos a 2022. január 3‑i határozatában fellépett.
3. A 2016/794 rendeletnek a 2022/991 rendelettel történt módosítása az európai adatvédelmi biztos számára az Europollal szemben 2022. január 3‑án hozott határozatát de facto érvénytelenné tenné. Az európai adatvédelmi biztos álláspontja szerint az új rendelkezések(5) sértik a függetlenségét és aláássák a felügyeleti hatóságként gyakorolt hatáskörét.
4. A megtámadott végzésben a Törvényszék összefoglalóan megállapította, hogy az európai adatvédelmi biztos:
– nem rendelkezik az EUMSZ 263. cikk második és harmadik bekezdése által a tagállamokra és egyes uniós intézményekre ruházott kereshetőségi joggal.
– a megtámadott rendelkezések érvényességét csak az EUMSZ 263. cikk negyedik bekezdésében foglalt feltételek teljesülése esetén vitathatná, ami a jelen ügyben nem áll fenn.
I. A jogvita előzményei
5. A jogvita előzményeit a megtámadott végzés 2–13. pontja ismerteti, amelyek közül a következőket ismertetem:
„2. Az európai adatvédelmi biztos – hivatalból indított vizsgálatot és egy 2020. szeptember 17‑i elmarasztaló határozatot követően – 2022. január 3‑án az eredeti Europol‑rendelet 43. cikke (3) bekezdésének e) pontja alapján határozatot hozott az [Europollal] szemben, amelyben megállapította, hogy »[a]z adatkészletek kategorizálás nélküli folyamatos tárolásáról való rendelkezéssel az Europol által benyújtott cselekvési terv nem [kezelte] a 2020. szeptember 17‑i elmarasztaló határozatban megállapított jogsértést«, és »[a]z Europol által kategorizálás nélkül végzett adatkészlet‑kezelés […] kizárólag a lényeges információk megszerzése céljából az [eredeti] Europol‑rendelet 18. cikkének (3) és (5) bekezdésével, az [eredeti] Europol‑rendelet II. B. mellékletével,[(6)] valamint az adattakarékosság és korlátozott tárolhatóság elvével (az [eredeti] Europol‑rendelet 28. cikke (1) bekezdésének c) és e) pontja) összhangban a hozzájárulások kézhezvételétől számított hat hónapot nem haladhatja meg.«
– 3. Ezen érvelésében az európai adatvédelmi biztos többek között hangsúlyozta, hogy »[a]z e célból kezelt személyes adatok tárolásának időtartamát meghatározó kifejezett jogszabályi rendelkezés hiányában […] [az eredeti Europol‑]rendelet 18. cikkének (6) bekezdését analógia útján kell értelmezni.«[(7)]
– 4 Ezért a 2022. január 3‑i határozat szerint az európai adatvédelmi biztos lényegében arra kötelezte az Europolt, hogy a 2022. január 4‑e után átvett minden egyes hozzájárulás esetében végezze el az érintett személyeknek az eredeti Europol‑rendelet 18. cikkének (5) bekezdése értelmében vett kategorizálását a hozzájárulás kézhezvételétől számított hat hónapon, valamint a 2022. január 3‑án meglévő adatkészletek esetében tizenkét hónapon belül, e határidőkön túl pedig az Europolnak törölnie kellett ezeket az adatokat.
[…]
– 8 2022. június 8‑án az Európai Parlament és az Európai Unió Tanácsa elfogadta a módosított Europol‑rendeletet. Ebben a rendeletben megerősítették a 74a. és 74b. cikk megfogalmazását.
– 9 E rendelkezések lényegében előírják az Europol számára azokat a feltételeket, amelyek alapján meghatározott határidőn belül kategorizálja a módosított Europol‑rendelet hatálybalépésekor birtokában lévő adatkészleteket, és meghatározzák azokat a feltételeket és eljárásokat, amelyek mellett a módosított Europol‑rendelet II. mellékletében felsorolt érintettek kategóriáihoz nem tartozó, és az Europol számára 2022. június 28‑a előtt továbbított személyes adatok kezelése engedélyezett egy folyamatban lévő bűnügyi nyomozás támogatása céljából.
[…]
– 10 2022. június 15‑én az európai adatvédelmi biztos, mivel úgy ítélte meg, hogy a 2022. január 3‑i határozatának, valamint a módosított Europol‑rendelet 74a. és 74b. cikkének hatálya nem azonos, arra kérte a Parlamentet, a Tanácsot és a Bizottságot, hogy bocsássanak rendelkezésére a módosított Europol‑rendelet rendelkezései és felügyeleti hatásköreinek korábbi gyakorlása közötti kapcsolat fennállására vonatkozó dokumentumokat. A Parlament és a Tanács 2022. július 12‑i, illetve 2022. július 25‑i levelekben válaszolt erre a kérésre.
– 11 A háromoldalú egyeztetésre való felkészülésről szóló, 2022. január 24‑i 5370/22. sz. tanácsi dokumentum rámutat, hogy »[a]z [európai adatvédelmi biztos] közelmúltbeli határozata, amely az Europol tevékenységére nézve működési következményekkel járhat, megerősíti a rendelet gyors elfogadásának szükségességét«, és hogy »[a]z elnökség egy új 74[a.] cikk elfogadását javasolta a delegációknak, amelynek célja a jelenleg az Europol birtokában lévő adatok helyzetének további tisztázása, különösen az európai adatvédelmi biztos fent említett, 2022. január 3‑i határozatával összefüggésben«, továbbá hogy »a [2022.] január 19‑i ülésén számos delegáció fogadta kedvezően ennek a javaslatnak az elveit, de annak közelmúltbeli előterjesztésére és az európai adatvédelmi biztos határozatát követően e kérdés tétjére tekintettel bizottsági jóváhagyás szükséges.«
– 12 2022. július 15‑i levelében az európai adatvédelmi biztos kérdéssel fordult az Europolhoz, hogy a módosított Europol‑rendelet 74a. és 74b. cikkére tekintettel továbbra is végrehajtja‑e a 2022. január 3‑i határozatát, vagy az Europol úgy véli‑e, hogy az említett cikkek e határozat hatályának helyébe léptek vagy azt módosították.
– 13 2022. augusztus 22‑i levelében az Europol lényegében azt válaszolta az európai adatvédelmi biztosnak, hogy továbbra is végrehajtja a 2022. január 3‑i határozat bizonyos pontjait, de jelenleg nincs abban a helyzetben, hogy észrevételeket fűzzön a 2023. január 3‑i helyzethez és az e határozat szerinti új végrehajtási jelentések benyújtásához. Ez a levél megemlíti azt is, hogy a módosított Europol‑rendelet 74a. és 74b. cikkét nem alkalmazták egyes törölt hozzájárulásokra.”
II. A Törvényszék előtti eljárás és a megtámadott végzés
6. Az európai adatvédelmi biztos a Törvényszékhez benyújtott keresetében a vitatott átmeneti rendelkezések megsemmisítését kérte.
7. A Parlament válaszbeadványában a kereset elutasítását kérte a Törvényszéktől.
8. A Tanács a keresettel szemben elfogadhatatlansági kifogást emelt „két okból […]. Azt [állította] egyrészt, hogy a kereset elfogadhatatlan azon az alapon, hogy az EUMSZ 263. cikk második és harmadik bekezdése nem említi az európai adatvédelmi biztost, illetve […] a Parlament kontra Tanács ítélet[(8)] alapján, másrészt pedig az európai adatvédelmi biztos nem érintett közvetlenül és személyében az EUMSZ 263. cikk negyedik bekezdése értelmében.”(9)
9. Ezen elfogadhatatlansági kifogással kapcsolatban az európai adatvédelmi biztos a következőket állította:
– „A keresete elfogadhatóságával kapcsolatban az európai adatvédelmi biztos egyrészt arra hivatkozik elsődlegesen, hogy az EUMSZ 263. cikk szerinti, megsemmisítés iránti kereshetőségi jogát az indokolja, hogy intézményi előjogainak – különösen a[z Európai Unió Alapjogi Chartája] (Charta) 8. cikkének (3) bekezdése értelmében őt felügyeleti hatóságként megillető függetlenség, valamint a felügyeleti hatóságok és a jogalkotó szerepe közötti intézményi egyensúly – védelme érdekében bírósági jogorvoslattal élhessen. E tekintetben rámutat arra, hogy kereshetőségi joggal rendelkezik a jelen ügyben analógia útján alkalmazandó [Parlament kontra Tanács] ítéletből eredő ítélkezési gyakorlat értelmében, mivel ez az ítélet bizonyítja, hogy az intézményi előjogok védelme kivételesen lehetővé teszi valamely intézmény számára, hogy megvédje azokat, anélkül hogy meg kellene felelnie az EUMSZ 263. cikk negyedik bekezdése értelmében a természetes vagy jogi személyekre alkalmazandó elfogadhatósági feltételeknek.”(10)
– „[…] [másodlagosan] az európai adatvédelmi biztos azt állítja, hogy a megtámadott rendelkezések, amelyek megsemmisítéséhez egyértelmű és tényleges érdeke fűződik, őt közvetlenül és személyében érintik […].”(11)
10. A Törvényszék a következő okokból utasította el az európai adatvédelmi biztos keresetét:
– Először is, jóllehet az európai adatvédelmi biztos különleges jogállású uniós szerv, nem szerepel sem az EUMSZ 263. cikk második és harmadik bekezdésében említett felperesek között, sem az intézményeknek az EUSZ 13. cikk (1) bekezdésében foglalt listáján.
– Másodsorban, az európai adatvédelmi biztos által a Parlament kontra Tanács ítéletből eredő ítélkezési gyakorlatra tett hivatkozással szemben, a Parlament számára akkoriban biztosított kereshetőségi jogot az abból fakadó joghézag pótlása magyarázza, hogy hiányoztak a Parlament jogorvoslati lehetőségei a többi intézmény által elfogadott, az előjogait esetlegesen sértő jogi aktusok ellen. Az európai adatvédelmi biztos viszont a jelen esetben megsemmisítés iránti keresetet nyújthat be az EUMSZ 263. cikk negyedik bekezdése alapján, mivel valamely másodlagos uniós jogi aktus által létrehozott szerv, amely jogi személynek tekinthető.
– Harmadsorban, az európai adatvédelmi biztos mint uniós szerv az EUMSZ 263. cikkének negyedik bekezdése értelmében jogi személynek tekinthető és mint ilyen, megsemmisítés iránti kereshetőségi joggal rendelkezik a vitatott átmeneti rendelkezésekkel szemben, azzal a feltétellel, hogy ezek közvetlenül és személyében érintik.
– Ez utóbbi vonatkozásban a vitatott átmeneti rendelkezések módosítják az adatvédelem jogi szabályozását, amelynek ellenőrzése az európai adatvédelmi biztos feladata, de nem befolyásolják az uniós jog által a fellebbezőre ruházott hatáskörök jellegét vagy terjedelmét, így a közvetlen érintettség követelménye nem teljesül.
– Következésképpen tekintettel arra, hogy a vitatott átmeneti rendelkezések nem érintik közvetlenül az európai adatvédelmi biztos jogi helyzetét, és a megsemmisíteni kért jogi aktus általi közvetlen érintettség és személyes érintettség feltételének egyszerre kell teljesülnie, a Törvényszék megállapítja, hogy a keresetet részben mint elfogadhatatlant, részben mint nyilvánvalóan elfogadhatatlant el kell utasítani.
III. A fellebbezés és a Bíróság előtti eljárás
11. Az európai adatvédelmi biztos fellebbezésében azt kéri, hogy a Bíróság:
– helyezze hatályon kívül a megtámadott végzést;
– semmisítse meg a vitatott átmeneti rendelkezéseket;
– az elsőfokú eljárás felpereseit kötelezze a fellebbezési eljárás költségeinek viselésére.
12. Az európai adatvédelmi biztos fellebbezését egy fő jogalapra és egy másodlagos jogalapra tagolja:
– Elsődlegesen a Parlament kontra Tanács ítélet értelmében vett intézményi egyensúly elvének megsértésére, valamint a függetlenségének védelme érdekében a hatékony jogorvoslathoz való jogának megsértésére hivatkozik.
– Másodlagosan azt állítja, hogy a Törvényszék tévesen állapította meg, hogy a vitatott átmeneti rendelkezések az európai adatvédelmi biztost nem érintik közvetlenül az EUMSZ 263. cikk negyedik bekezdése által megkövetelt feltételek értelmében.
13. A Parlament azt kéri, hogy a Bíróság:
– utasítsa el a fellebbezést;
– az európai adatvédelmi biztost kötelezze a költségek viselésére.
14. A Tanács azt kéri, hogy a Bíróság:
– utasítsa el a fellebbezést mint nyilvánvalóan elfogadhatatlant, vagy másodlagosan, mint nyilvánvalóan megalapozatlant;
– az európai adatvédelmi biztost kötelezze a költségek viselésére.
15. A Francia Köztársaság és a Bizottság írásbeli észrevételeket nyújtott be a Parlament és a Tanács támogatása végett.
16. A válaszok és viszonválaszok benyújtását követően a 2025. március 11‑i nyilvános tárgyaláson az európai adatvédelmi biztos, a Parlament, a Tanács és a Bizottság vett részt.
IV. Értékelés
A. A fő fellebbezési jogalap
1. A felek érvelése
a) Az elfogadhatóságról
17. A Tanács szerint e jogalap elfogadhatatlan, mivel az európai adatvédelmi biztos az elsőfokú eljárásban előadott érvelésének megismétlésére és a megtámadott végzéssel való egyet nem értésének kifejezésére szorítkozott, a hivatkozott téves jogalkalmazás egyértelmű megjelölése nélkül.
18. Az európai adatvédelmi biztos válasza szerint a fellebbezése konkrétan megjelöli a vitatott pontokat, és ebben a szakaszban elegendő, ha a Törvényszék által végzett jogértelmezést vitatja, amelynek indokolása szerinte egyébként elégtelen.
b) Az ügy érdeméről
19. Az európai adatvédelmi biztos azzal érvel, hogy a vitatott átmeneti rendelkezések megtámadására vonatkozó kereshetőségi jogot a Törvényszék köteles lett volna elismerni számára, az EUMSZ 263. cikk negyedik bekezdésében foglalt követelményektől függetlenül, ellenkező esetben megfosztják a Charta 8. cikkének (3) bekezdése értelmében vett független felügyeleti hatóságot azon jogától, hogy az intézményi egyensúly megőrzése érdekében bírósághoz forduljon.
20. Az európai adatvédelmi biztos ezen állításának alátámasztására hivatkozott a Parlament kontra Tanács ítéletre, amelyet álláspontja szerint a Törvényszék megalapozatlan okokból ítélt irrelevánsnak. Csakúgy, mint a Parlament az említett ítélet alapjául szolgáló ügyben, jelenleg az európai adatvédelmi biztos sem rendelkezik semmiféle jogorvoslati lehetőséggel a személyes adatok védelmének lényeges elemét képező, a Charta 8. cikkének (3) bekezdésében szavatolt függetlenségének megőrzése érdekébent.
21. Mivel a Parlament kontra Tanács ítéletben a Parlamenttől eltérően az európai adatvédelmi biztos jogi személyiséggel rendelkezik, nem fosztható meg azon lehetőségtől, hogy megvédje a vitatott átmeneti rendelkezések visszaható hatálya miatt elkerülhetetlenül veszélyeztetett függetlenségét.
22. Az európai adatvédelmi biztos álláspontja szerint az a döntő – miként a Bíróság megállapította –, hogy a Szerződések által létrehozott hatáskörmegosztási rendszer egységessége biztosított legyen. E feltevés megköveteli, hogy a hatásköri egyensúly elve érdekében ne csak az intézmények számára legyenek elérhető jogorvoslati lehetőségek, hanem az európai adatvédelmi biztoshoz hasonló szervek számára is.
23. Az a tény, hogy a Törvényszék az európai adatvédelmi biztos rendelkezésére álló jogorvoslati lehetőséget az EUMSZ 263. cikk negyedik bekezdésére korlátozta, az európai adatvédelmi biztos szerint joghézagot teremtett a Szerződések által létrehozott joghatósági rendszer egészében. Csak az általános és autonóm kereshetőségi jog biztosíthatja minden körülmények között az európai adatvédelmi biztos előjogainak bírósági védelmét, anélkül, hogy az EUMSZ 263. cikkének negyedik bekezdésében foglaltakhoz hasonló, csak a legkivételesebb esetekben adott feltételek teljesülésétől függene. Az európai adatvédelmi biztos függetlenségére kihathatnak olyan intézkedések, amelyek ugyan közvetlenül és személyében nem érintik őt, ám a „megelőlegezett engedelmeskedés” kockázatával járhatnak.
24. Az európai adatvédelmi biztos kifogásolja továbbá, hogy a Törvényszék „privilegizált” jogot biztosított számára a személyes adatok kezelésére vonatkozó szabályozás megtámadására. Ehhez képest egyetlen szándéka, hogy elismerést nyerjen a függetlensége előjogának védelméhez való joga a Parlament kontra Tanács ítélet értelmében, és e feltétlenül megkívánt mértékben, nagyon különleges körülmények között vitassa egy adott jogalkotási aktus tartalmát.
25. A Parlament és a Tanács – a Bizottság és a francia kormány támogatásával – a kereset fő jogalapjának elutasítását kéri azon az alapon, hogy az európai adatvédelmi biztos az EUMSZ 263. cikk negyedik bekezdésében meghatározott feltételektől eltérően nem indíthat megsemmisítés iránti keresetet.
26. A Parlament és a Tanács álláspontja szerint az EUMSZ 263. cikk rendelkezései szigorúak: a Szerződések megalkotóinak szándéka szerint az európai adatvédelmi biztos nem tartozhat a keresetindításra jogosultak körébe anélkül, hogy megfelelne az említett cikk negyedik bekezdésében foglalt feltételeknek.
27. A Tanács elveti az európai adatvédelmi biztos által hivatkozott joghézag létezését, és fenntartja, hogy az európai adatvédelmi biztos kérésének teljesítése lehetővé tenné számára bármely adatvédelmi jogi aktus esetleges megtámadását, ami megnehezítené a vonatkozó szabályozás módosítását.
28. A Parlament, a Tanács és a Bizottság egyetért a Parlament kontra Tanács ítélet a Törvényszék által elfogadott értelmezésével. Ezen intézmények kiemelik, hogy a Szerződések nem ruháznak az európai adatvédelmi biztosra (amely a másodlagos jog által létrehozott, az adatvédelem területén az uniós jog bizonyos fokú ellenőrzéséért felelős szerv) az említett ügyben vitatotthoz hasonló előjogot.
29. A Bizottság érvelése szerint az európai adatvédelmi biztos által javasolt értelmezés az EUMSZ 263. cikkének negyedik bekezdésében foglalt feltételek rovására mindegyik uniós szervre és ügynökségre alkalmazható lenne. Olyan feltételekről van szó, amelyek a hatékony bírói jogvédelemhez való jog fényében értelmezve nem akadályozzák a személyes adatok – az európai adatvédelmi biztos számára biztosított függetlenség végső okát képező – kellő védelmét, az európai adatvédelmi biztos közvetlen és általános kereshetőségi jogának elismerése pedig szükségtelen.
30. A Parlament mindenesetre fenntartja, hogy az európai adatvédelmi biztos függetlenségén nem esett csorba, csupán a személyes adatok védelmére vonatkozó szabályozási keret módosítására vonatkozó jogalkotási hatáskör jogszerű gyakorlásáról volt szó.
2. Elemzés
a) Az elfogadhatóságról
31. A Tanács álláspontjával ellentétben nem tartom elfogadhatatlannak a fellebbezés fő jogalapját.
32. Való igaz, hogy a Bíróság eljárási szabályzata 168. cikke (1) bekezdésének d) pontjából és 169. cikkének (2) bekezdéséből eredő indokolási követelménynek nem tesz eleget az a fellebbezés, amely a Törvényszék előtt ismertetett jogalapoknak és érveknek az ismétlésére vagy szó szerinti átvételére szorítkozik.(12)
33. A Németország kontra Bizottság ítélet szerint ugyanakkor „ha a fellebbező az uniós jognak a Törvényszék általi értelmezését vagy alkalmazását kifogásolja, az elsőfokú eljárásban megvizsgált jogkérdések a fellebbezés keretében újból vita tárgyát képezhetik.”(13)
34. Jelen ügyben ez a helyzet. Noha az európai adatvédelmi biztos a hatályon kívül helyezés iránti keresete elfogadhatóságának igazolására az elsőfokú eljárásban előadott érveket ismétli meg, ezúttal az EUMSZ 263. cikk Törvényszék általi értelmezését bírálja. Az európai adatvédelmi biztos megnevezi (és kifogásolja) a megtámadott határozat jogi alapjait, pontosan megjelölve a kérelmét alátámasztó jogi érveket.
b) Az ügy érdeméről
35. A megtámadott végzés 26–35. pontja kifejti azon okokat, amelyek miatt a Törvényszék szerint az európai adatvédelmi biztos az EUMSZ 263. cikk negyedik bekezdésében meghatározott feltételek teljesítése nélkül nem indíthat keresetet.
36. A Törvényszék hangsúlyozza, hogy az európai adatvédelmi biztos nem szerepel kifejezetten azon intézmények között, amelyek az EUMSZ 263. cikk értelmében a) keresetet nyújthatnak be hatáskör hiánya, lényeges eljárási szabályok megsértése, a Szerződések vagy az alkalmazásukra vonatkozó bármely jogi rendelkezés megsértése vagy hatáskörrel való visszaélés miatt (második bekezdés); továbbá b) azon meghatározott intézmények között sem, amelyek keresetet indíthatnak előjogaik megóvása érdekében (harmadik bekezdés).
37. A keresetindításra ily módon jogosult felek különösen:
– A tagállamok, a Parlament, a Tanács és a Bizottság, amelyeket az EUMSZ 263. cikk második bekezdése általános kereshetőségi joggal ruház fel.
– A Számvevőszék, az Európai Központi Bank és a Régiók Bizottsága, amelyek az EUMSZ 263. cikkének harmadik bekezdése értelmében keresetet indíthatnak saját előjogaik megóvása érdekében.
38. Azon túl, hogy az európai adatvédelmi biztos nem szerepel az EUMSZ 263. cikk második és harmadik bekezdésében említett felperesek között, nem szerepel az intézmények az EUSZ 13. cikk (1) bekezdésében foglalt listáján sem. A Régiók Bizottsága kivételével ugyanazon intézményekről van szó, amelyek számára az EUM‑Szerződés megadta azon kereshetőségi jogot, amelyre a listán nem szereplő európai adatvédelmi biztos a jelen ügyben igényt formál.(14)
39. Az európai adatvédelmi biztos a másodlagos jog egyik rendelkezésével létrehozott uniós szerv.(15) Mint ilyen, és a Bíróság ítélkezési gyakorlatával összhangban, nem tekinthető az „intézmények” fogalmába tartozónak: az EUSZ 13. cikk (1) bekezdésének megfelelően e fogalom a szervezetek meghatározott listájára utal, amely nem foglalja magában az Unió szerveit és hivatalait.(16)
40. Az EUMSZ 263. cikk első bekezdésének utolsó fordulata értelmében a Bíróság megvizsgálja „az Unió szervei vagy hivatalai által elfogadott, harmadik személyekre joghatással járó jogi aktusok jogszerűségét.” Az ilyen szervek és hivatalok azonban nem tartoznak azon alanyok közé, amelyek az EUMSZ 263. cikkének második és harmadik bekezdése alapján jogosultak a Bíróság igazságszolgáltatási hatáskörének gyakorlását kérni.
41. Szándékos kizárásról van szó, mivel – miként a Törvényszék helyesen jelezte – a Régiók Bizottságának felvétele az EUMSZ 263. cikk harmadik bekezdésében említett felperesek közé azt mutatja, hogy „még ha a Szerződés megszövegezői az intézményeken kívül más jogalanyokat figyelembe is vettek az e rendelkezés értelmében előjogaik védelmére jogosult személyek listáján, úgy döntöttek, hogy az európai adatvédelmi biztos nem tartozik ezek közé.”(17)
42. Az európai adatvédelmi biztos független hatóság, amely az EUMSZ 16. cikkének (2) bekezdése értelmében annak ellenőrzéséért felel, hogy az uniós intézmények, szervek és hivatalok tiszteletben tartják‑e az uniós szabályokat [az adatvédelem] területén.(18) E körülmény alapján az európai adatvédelmi biztos függetlenséget élvező uniós szerv, de nem uniós intézmény.
43. Az európai adatvédelmi biztos nem fellebbezett a Bírósághoz az új rendelkezések megtámadása érdekében, miként uniós intézményként kötelessége lenne. Az Európai Unió Bírósága alapokmánya 51. cikkének b) pontja ténylegesen fenntartja a Bíróság hatáskörét az EUMSZ 263. cikkben említett azon keresetek tekintetében, amelyeket különösen az uniós intézmények valamelyike nyújt be jogalkotási aktus ellen. Az európai adatvédelmi biztos ezen eljárása arról árulkodik, hogy nem tekintette magát uniós intézménynek.
44. Ehelyett az európai adatvédelmi biztos a Törvényszék részéről a megtámadott végzés 38–55. pontjában a Parlament kontra Tanács ítélet analóg alkalmazásának megtagadására kifejtett érveket vitatja.
45. Úgy tűnik tehát, hogy az európai adatvédelmi biztos – legalábbis implicit módon – elfogadja, hogy az EUMSZ 263. cikk második és harmadik bekezdése a megtámadott végzésben elfogadott megoldáshoz vezet. Azonban szerinte e két rendelkezés szó szerinti értelmére tekintettel a Bíróság azon megfontolásainak kell felülkerekedniük, amelyek a Parlament kontra Tanács ítéletben a Parlament vitatott kereshetőségi jogának elismerésére indították.
46. Jómagam viszont a Törvényszék álláspontját osztom e tekintetben.
47. A Törvényszéket a Parlament kontra Tanács ítélet olvasata „emlékeztetni” készteti, hogy ezen ítéletben „a Bíróság megállapította, hogy az EGK‑Szerződés 173. cikkének szövege semmilyen lehetőséget nem biztosít a Parlament számára arra, hogy az uniós bíróságok előtt vitassa a többi intézmény által elfogadott, a saját előjogait esetlegesen sértő aktusokat, és úgy döntött, hogy ezt a joghézagot az intézményi egyensúly alapelvének alkalmazásával pótolja.”(19)
48. A Bíróság a Parlament kontra Tanács ítéletében azt állította, hogy:
– A Parlament előjogai „a Szerződések által létrehozott intézményi egyensúly egyik elemét képezik[, amelyek] az [Unió] különböző intézményei közötti hatáskörmegosztás olyan rendszerét hozták létre, amely [az Unió] intézményi szerkezetén belül és [az Unióra] bízott feladatok megvalósítása terén minden egyes intézményre saját feladatkört ruház.(20)
– Szükséges „biztosítani az intézményi egyensúly fenntartását, és következésképpen a Parlament előjogai tiszteletben tartásának bírósági felülvizsgálatát, ha ez utóbbi a Bírósághoz fordul az általa követett célkitűzésnek megfelelő jogi eszközzel élve.”(21)
– E kötelezettség teljesítése érdekében a Bíróság feladata, hogy „biztosítsa a Szerződések intézményi egyensúlyra vonatkozó rendelkezéseinek teljes körű alkalmazását, és úgy kell eljárnia, hogy a Parlamentet – többi intézményhez hasonlóan – előjogai tekintetében ne érhesse sérelem anélkül, hogy rendelkezésére állna olyan jogorvoslati lehetőség a Szerződésekben meghatározottak között, amelyet bizonyosan és hatékonyan lehet gyakorolni.”(22)
– „A Parlament megsemmisítés iránti keresetindítási jogát meghatározó rendelkezés hiánya a Szerződésekben jelenthet ugyan eljárási hézagot, ugyanakkor nem élvezhet elsőbbséget az Európai Közösségek alapszerződései által meghatározott intézményi egyensúly fenntartásához és tiszteletben tartásához fűződő alapvető érdekkel szemben.”(23)
49. Következésképpen a Bíróság elismerte a Parlament jogát „a Tanács vagy a Bizottság valamely jogi aktusa ellen […] megsemmisítés iránti kereset [benyújtására,] azzal a feltétellel […], hogy ez a kereset kizárólag a Parlament előjogainak védelmére irányul, és kizárólag ezen előjogok sérelmére alapított jogalapokon nyugszik.”(24)
50. Az európai adatvédelmi biztos körülményei nagymértékben eltérnek a Parlament kontra Tanács ítélet kihirdetésének időpontjában fennálló körülményektől.
51. Először is, a Parlament kontra Tanács ítélet „az [Unió] különböző intézményei közötti” hatáskörmegosztással kapcsolatban utal az intézményi egyensúlyra. Miként fent kifejtettem, az európai adatvédelmi biztos nem uniós intézmény.
52. Másodszor, a Parlament kontra Tanács ítéletben vizsgált helyzetben a Parlament az előjogai védelmében csak „hatástalan vagy bizonytalan” jogi eszközökkel rendelkezett. Ezzel szemben a jelen ügyben az európai adatvédelmi biztos hatásos és biztos jogorvoslattal rendelkezik. Az európai adatvédelmi biztos kijelenti,(25) hogy bizonyítani tudja az EUMSZ 263. cikkének negyedik bekezdésében foglalt, kereshetőségi joggal kapcsolatos követelményeknek való megfelelést.(26)
53. Azzal, hogy az európai adatvédelmi biztos éppen a jelen ügyben elismeri ennek lehetőségét, javarészt hatástalanítja az első fellebbezési jogalapját, a Parlament kontra Tanács ítéletben foglalt ítélkezési gyakorlat alkalmazása vonatkozásában. Ismétlem, hogy az említett ítélet kiindulópontja az volt, hogy a Parlament nem rendelkezett hatásos és biztos jogorvoslati eszközökkel.
54. A fentiekre tekintettel kevésbé bír jelentőséggel, hogy léteznek‑e más olyan helyzetek, amelyekben az európai adatvédelmi biztos az EUMSZ 263. cikkének negyedik bekezdése értelmében nem rendelkezne a Bíróság előtti kereshetőségi joggal, ha az előjogai sérülnek.(27) Függetlenül attól, hogy felmerülhetnek‑e az európai adatvédelmi biztos által megjelölt esetek, a jelen ügyben kizárólag a Törvényszék elé terjesztett konkrét és valós eset bír jelentőséggel. Csak ezen esettel kapcsolatban kell tisztázni, hogy az európai adatvédelmi biztos megfelel‑e a vitatott átmeneti rendelkezések megtámadásához szükséges követelményeknek.
55. Összefoglalva, véleményem szerint az európai adatvédelmi biztos nem rendelkezik az EUMSZ 263. cikkének második és harmadik bekezdésében előírt kereshetőségi joggal, ami a fő fellebbezési jogalapjának elutasítását eredményezi.
B. A másodlagos fellebbezési jogalap
1. A felek érvelése
a) Az elfogadhatóságról
56. A Tanács úgy véli, hogy e jogalap is elfogadhatatlan, ugyanazon okokból, amelyeknek a fő jogalap elfogadhatatlanságához kell vezetniük.
b) Az ügy érdeméről
57. Az európai adatvédelmi biztos először is kifogásolja a megtámadott végzés 76. és 77. pontjának kevéssé egyértelmű jellegét, amely kimondja, hogy a 2022. január 3‑i határozat „egy közigazgatási határozat, amely nem lehet hatással [a módosított Europol‑rendelethez] hasonló jogalkotási aktusokra, és nem érintheti azok tartalmát”, és „jóllehet […] a megtámadott rendelkezések módosítják az alkalmazandó jogi keretet, amelynek tiszteletben tartását az európai adatvédelmi biztos feladata ellenőrizni, és nem teljesen azonosak a 2022. január 3‑i határozat hatályával, e rendelkezések azonban nem érintik az európai adatvédelmi biztos jogi helyzetét.”
58. Az európai adatvédelmi biztos véleménye szerint e megállapítások két hibában szenvednek. Egyfelől nem veszik figyelembe, hogy az európai adatvédelmi biztos hatásköreinek gyakorlása jogbiztonságot igényel, és e hatásköröket sértette a visszaható hatályú intézkedések elfogadása. Másfelől nem ismerik el, hogy a vitatott átmeneti rendelkezések célja egy hatályban lévő konkrét határozat semlegesítése, ezért azok címzettje az európai adatvédelmi biztos és az Europol.
59. Az európai adatvédelmi biztos számára éppen a vitatott átmeneti rendelkezések visszaható hatálya kérdőjelezi meg függetlenségét, amelyet semmilyen módon nem érintene, ha a jogszabálymódosítást pro futuro alkalmaznák.
60. Az európai adatvédelmi biztos hozzáteszi, hogy e rendelkezések különös módon is érintik őt az adatvédelem területén betöltött ellenőrzési hatáskörének gyakorlása során. A jelen ügyben személyes adatok forognak kockán, amelyek védelmét az átmeneti rendelkezések veszélyeztetik, éppen ezért szükségszerűen magát az európai adatvédelmi biztost érintik.
61. A Parlament és a Tanács – a Bizottság és a francia kormány támogatásával – lényegében egyetért a Törvényszék érveivel.
62. A Parlament különösen azzal érvel, hogy annak elfogadása, hogy az európai adatvédelmi biztos által már alkalmazott rendelkezések bármely módosítása közvetlenül érinti őt, az EUMSZ 263. cikkel ellentétben, elismeri számára a privilegizált felperes jogállást. Ugyanilyen értelemben a francia kormány arra figyelmeztet, hogy ezáltal kiüresedik a közvetlen érintettség kritériuma.
2. Elemzés
a) Az elfogadhatóságról
63. A fő fellebbezési jogalap elfogadhatatlanságára vonatkozó tanácsi érvelés elutasítására általam kifejtett indokok a másodlagos jogalapra is vonatkoztathatóak.
b) Az ügy érdeméről
64. Mind a Törvényszék, mind a jelen eljárásban részt vevő intézmények egyetértenek abban, hogy az európai adatvédelmi biztost nem illeti meg az EUMSZ 263. cikk második és harmadik bekezdése által biztosított kereshetőségi jog (privilegizált kereshetőségi jog). Abban sincs vita közöttük, hogy az európai adatvédelmi biztos kereshetőségi joga az EUMSZ 263. cikkének negyedik bekezdésében foglalt feltételek teljesülésétől függ. Eddig egyetértek a megállapításaikkal.
65. Azzal azonban nem értek egyet azzal, hogy az európai adatvédelmi biztos a jelen ügyben nem felel meg az EUMSZ 263. cikk negyedik bekezdésében előírt feltételeknek.
66. Mivel kizárt az a privilegizált kereshetőségi jog, amelyre az európai adatvédelmi biztos igényt tartana, úgy vélem, hogy az adatvédelmi szabályozás e szervre ruházott ellenőrzési feladatainak természete az igazságszolgáltatáshoz való hozzáférésre vonatkozó rendes kereshetőségi jogának túl szigorú értelmezése ellen kellene, hogy szóljon.
67. Ugyan korábban kijelentettem, hogy az európai adatvédelmi biztos nem rendelkezik uniós intézmény jogállással, most hangsúlyoznom kell, hogy az EUM‑szerződésben rögzített fontos feladatot lát el annak biztosításában, hogy az uniós intézmények, szervek és hivatalok betartsák a személyes adatok kezelése tekintetében a természetes személyek védelmére vonatkozó szabályokat. E hatáskörök gyakorlása az uniós bíróságok előtti megtámadás szempontjából nem ásható alá kellően alapos indokok nélkül.
68. A következőkben kifejtendő okokból úgy vélem, hogy még az EUMSZ 263. cikk negyedik bekezdése követelményeinek megszorító értelmezése alapján is elismerhető az európai adatvédelmi biztos számára a megtámadott végzésben megtagadott kereshetőségi jog.
69. Az általam javasolt megoldás nem jár a megsemmisítés iránti kereset érdemének előzetes elbírálásával. Egy kereset elfogadhatósága vizsgálatának szakaszában nincs szükség az ügy érdemi eldöntésének előrevetítésére: elegendő annak ellenőrzése, hogy a felperes megfelelően bemutatta‑e azon indokokat, amelyek alapján a vitatott rendelkezés kihat az ő jogi helyzetére.(28)
70. A Törvényszék kizárta, hogy a vitatott átmeneti rendelkezések az EUMSZ 263. cikk negyedik bekezdésében megkövetelt módon közvetlenül érintenék az európai adatvédelmi biztost. Egyrészt azért, mert e rendelkezések alapján az európai adatvédelmi biztos által ellenőrzött jogi szabályozás módosult, a saját hatáskörei azonban változatlanok.(29) Másrészt azért, mert e rendelkezések „bizonyos mérlegelési mozgásteret hagynak az Europol számára.”(30)
71. A Törvényszék által a „közvetlen érintettség” fennállásának megállapítására vonatkozó feltételek kifejtésében elfogadott megközelítés főszabály szerint helyes. A Bíróság kimondta, hogy egy konkrét jogi aktus megtámadása két feltétel együttes teljesülését követeli meg, „nevezetesen egyfelől azt, hogy ez az aktus közvetlen hatást gyakoroljon e személy jogi helyzetére, másfelől pedig azt, hogy ne hagyjon mérlegelési jogkört a végrehajtására kötelezett címzettek számára, mivel az ilyen végrehajtás tisztán automatikus jellegű, és köztes szabályok alkalmazása nélkül, egyedül az Európai Unió szabályozása alapján történik.”(31)
72. Mindazonáltal annak értékelése során, hogy a vitatott átmeneti rendelkezések a jelen ügyben érintik‑e az európai adatvédelmi biztos jogi helyzetét, úgy vélem, hogy a Törvényszék valójában olyasmiről határoz, ami nem a kereset elfogadhatóságra, hanem annak érdemére vonatkozik: a Törvényszék fő szempontjai a vitatott átmeneti rendelkezéseknek az európai adatvédelmi biztos függetlenségére gyakorolt lehetséges hatásait érintik. A Törvényszék különösen azt zárja ki, hogy a vitatott átmeneti rendelkezések (állítólagos) visszaható hatálya veszélyeztetheti az európai adatvédelmi biztos függetlenségét.
73. Véleményem szerint az eljárás említett szakaszában a Törvényszék egyetlen feladata annak megállapítása volt, hogy az európai adatvédelmi biztos megfelelően (vagyis észszerűen és hitelesen) bemutatta-e azon indokokat, amelyek miatt e rendelkezések ilyen hatással járhatnak.
74. Hasonló a helyzet a fent említett második követelménnyel is: a Törvényszék alapul veszi, hogy a vitatott átmeneti rendelkezések mérlegelési jogkört biztosítanak az Europolnak annak eldöntésére, hogy „bizonyos adatok kezelését folytatja‑e, vagy sem”, ami azt mutatja, hogy „e rendelkezések […] nem tisztán automatikus jellegűek.”(32)
75. A Törvényszék azzal a megállapítással utasítja el az európai adatvédelmi biztos kifogását (a 2022. január 3‑i határozatára az e mérlegelési jogkör gyakorlásának következményeivel kapcsolatban), hogy „a megtámadott rendelkezések nem akadályozzák meg az európai adatvédelmi biztost abban, hogy belátása szerint […] saját hatásköreit gyakorolja.”(33)
76. Ez utóbbi értékelés azonban két ellenvetésbe ütközik:
– Egyrészt szintén az ügy érdemében ítélkezik azáltal, hogy az elfogadhatósági vizsgálat szakaszában előre megállapítja a vitatott átmeneti rendelkezések által az azokat megtámadó személyek helyzetére gyakorolt joghatásokat.(34) Ráadásul az Europol egy adott módon való eljárásának elméleti lehetőségével ítélkezik, holott az Europol által az európai adatvédelmi biztosnak 2022. augusztus 22‑én adott válasz(35) azt mutatta, hogy az Europol az európai adatvédelmi biztos 2022. január 3‑i határozatának legalább egy részét már nem alkalmazta.
– Másrészt a probléma lényegét az európai adatvédelmi biztosnak az Europol (jövőbeni) határozataival szembeni lehetséges reakciójára összpontosítja, holott a jogvita megoldásában az a döntő, hogy a vitatott átmeneti rendelkezések önmagukban és ad hoc jelleggel felülírják‑e az európai adatvédelmi biztos által korábban elfogadott, az Europol szintén múltbeli magatartása ellen irányuló egyedi határozatokat. Ilyen körülmények között vitatható, hogy a biztosított „mérlegelési jogkör” eo ipso lehetővé tette az Europol számára az európai adatvédelmi biztos 2022. január 3‑i határozatában foglaltak figyelmen kívül hagyását.
77. A fentiek ellenére egyáltalán nem vagyok biztos abban, hogy a jelen ügy körülményei között a mérlegelési jogkör követelményét vonatkoztatni kell az Europol magatartására. Ha az értelmezésemnek megfelelően a vitatott átmeneti rendelkezések közvetlenül és – miként látjuk majd – személyesen érintik az európai adatvédelmi biztost, az azért van, mert joghatásokat váltanak ki az európai adatvédelmi biztos egy konkrét határozatára nézve, ily mértékben ő azok címzettje. Az európai adatvédelmi biztos semmilyen mozgástérrel nem rendelkezett e határozat tárgyát illetően, hiszen a vitatott átmeneti rendelkezések miatt a feladatköre kötelezően igazodott az e rendelkezésekből következőkhöz.
78. A tényállás európai adatvédelmi biztos általi ismertetéséből és megtámadott végzésben szereplő összefoglalásából véleményem szerint az következik, hogy a vitatott átmeneti rendelkezések közvetlenül érintették az európai adatvédelmi biztost. Az európai adatvédelmi biztos által a Törvényszék előtt felvetett alapprobléma, ismétlem, hogy mindez az európai adatvédelmi biztos hatáskörének megsértésével vagy függetlenségének aláásásával járt‑e.
79. Az európai adatvédelmi biztos 2022. január 3‑i határozata és a vitatott átmeneti rendelkezések közti tartalmi ellentét alapján legalábbis helyénvaló azt állítani, hogy a jogalkotó a módosított Europol‑rendelet útján az európai adatvédelmi biztos (az Europol fellebbezése hiányában) jogerőre emelkedett határozatát kívánta „helyesbíteni”.
80. Csakugyan:
– Egyrészt az európai adatvédelmi biztos arra kötelezte az Europolt, hogy tizenkét hónapon belül végezze el a 2022. január 3‑án birtokában lévő adatkészletek kategorizálását.
– Másrészt a vitatott átmeneti rendelkezések: a) a hatálybalépésük időpontjában, azaz 2022. június 28‑án az Europol birtokában lévő adatok kategorizálására meghatározott időszakot meghosszabbították legfeljebb tizennyolc hónapra, további hosszabbítás lehetősége mellett; valamint b) meghatározták azokat a feltételeket és eljárásokat, amelyek mellett a [módosított] Europol‑rendelet II. mellékletében felsorolt érintettek kategóriáihoz nem tartozó, és az Europol számára 2022. június 28‑a előtt továbbított személyek adatok kezelése engedélyezett egy folyamatban lévő bűnügyi nyomozás támogatása céljából.
81. Az európai adatvédelmi biztos gondosan ügyel arra, hogy nem állítja, hogy kereshetőségi joggal rendelkezne a hatásköreinek tartalmát magában foglaló szabályozási keret bármely módosításának megtámadására. Sőt, hajlik annak elismerésére – miként a tárgyaláson is tette –, hogy semmilyen ellenvetése nem lenne az új szabályozással szemben, ha azt csupán a jövőre nézve alkalmaznák.
82. Az európai adatvédelmi biztos ugyanakkor azt állítja, hogy a jelen ügyben a módosítás annyiban érinti őt, hogy ezáltal megváltozik a hatályos szabályozásnak megfelelően elfogadott korábbi, már jogerős határozatának tartalma, így előidézi az megelőlegezett engedelmeskedés kockázatát, ami megkérdőjelezheti a függetlenségét.
83. A Parlamenthez hasonlóan kétségbe vonható a vitatott átmeneti rendelkezések visszaható hatálya. E rendelkezések visszamenőleges hatályának elismerése esetén is vitatható továbbá, hogy az európai adatvédelmi biztos függetlenségére negatívan hatnak‑e. Általánosságban úgy gondolom, hogy egy közigazgatási szerv függetlenségét nem emiatt ássa alá az e testület által alkalmazandó rendelkezések tárgyi tartalmának a jogalkotó általi módosítása.(36)
84. De ismétlem, hogy ez az európai adatvédelmi biztos által a megsemmisítés iránti keresetben felvetett alapvető kérdés, amely nem kerülhető meg annak előzetes teljes elutasításával. Valójában a Törvényszék előrevetíti a megsemmisítés iránti kereset elutasításáról szóló határozata alapjául szolgáló, az európai adatvédelmi biztos érdemi kérelmére vonatkozó érdemi indokolását.
85. A vitatott átmeneti rendelkezések ad hoc jellege lehetővé teszi a személyes érintettség követelményének teljesülését is, amely szempontról a Törvényszék ugyan nem határozott, az eljárás ezen szakaszában szükséges elbírálni.(37)
86. Véleményem szerint a személyes érintettség eleve kitűnik a vitatott átmeneti rendelkezések elfogadásához vezető jogalkotási eljárás történéseinek ismertetéséből. A Törvényszék ezeket a megtámadott végzés 5–11. pontjában részletezte.
87. E pontokban az olvasható, hogy miként kezdődött a jogalkotási eljárás az európai adatvédelmi biztos 2022. január 3‑i határozatának elfogadása előtt; közelebbről, a 2020. december 9‑én a Bizottság által az eredeti Europol‑rendelet módosítására benyújtott javaslattal. Az európai adatvédelmi biztos a 4/2021. sz. véleményben(38) – bizonyos fenntartásokkal – maga is támogatta e javaslatot.
88. Lényeges, hogy röviddel az európai adatvédelmi biztos 2022. január 3‑i határozatának elfogadása után, 2022. február 1‑jén az utolsó háromoldalú egyeztető tárgyalás eredményeképpen a javaslat kiegészült a megtámadott átmeneti rendelkezésekkel. Minden arra utal, hogy e kiegészítés a háromoldalú egyeztetés előkészítéséről szóló, 2022. január 24‑i 5370/22. sz. tanácsi dokumentumból ered.(39) Ebben az áll, hogy:
– „az [európai adatvédelmi biztos] közelmúltbeli határozata, amely az Europol tevékenységére nézve működési következményekkel járhat, megerősíti a rendelet gyors elfogadásának szükségességét”;
– „az elnökség egy új 74[a.] cikk elfogadását javasolta a delegációknak, amelynek célja a jelenleg az Europol birtokában lévő adatok helyzetének további tisztázása, különösen az európai adatvédelmi biztos fent említett, 2022. január 3‑i határozatával összefüggésben”; és
– „a [2022.] január 19‑i ülésén számos delegáció fogadta kedvezően ennek a javaslatnak az elveit, de annak közelmúltbeli előterjesztésére és az európai adatvédelmi biztos határozatát követően e kérdés tétjére tekintettel bizottsági jóváhagyás szükséges.”(40)
89. Nehéz tagadni, hogy a vitatott átmeneti rendelkezések az európai adatvédelmi biztos 2022. január 3‑i határozatában foglalt intézkedésre válaszolnak, ezért egyénileg az európai adatvédelmi biztosnak címzettek. Olyan szabályokról van szó, amelyek az európai adatvédelmi biztos e – megtámadhatatlan, amennyiben jogerőre emelkedett – határozatának tartalmát és következményeit igyekeznek felülírni annak tétjével szemben.
90. Nem értem, hogy ilyen körülmények között miként lenne elfogadható, hogy a vitatott átmeneti rendelkezések az európai adatvédelmi biztost nem érintik közvetlenül és személyesen, hiszen kifejezetten az általa elfogadott és már jogerőssé vált egyedi határozat ellen irányulnak.
91. Az európai adatvédelmi biztos figyelemmel kíséri és biztosítja az (EU) 2018/1725 rendelet(41) „és bármely más, a természetes személyek alapvető jogainak és szabadságainak védelméről szóló uniós jogi aktus rendelkezéseinek alkalmazását […] a személyes adatok uniós intézmény vagy szerv általi kezelésével kapcsolatban.”(42)
92. Ha az európai adatvédelmi biztos e hatáskörének gyakorlásával egy uniós szervre egyedi kötelezettséget ró, és e (jogerőssé vált) határozattal szemben később kifejezetten e határozat semlegesítésére irányuló szabályt fogadnak el, álláspontom szerint el kell ismerni az európai adatvédelmi biztos jogát arra, hogy az uniós bíróságokhoz forduljon az (új) szabály érvényességének elbírálása érdekében.
93. Összefoglalva, az európai adatvédelmi biztos által a megtámadott átmeneti rendelkezések érvényességével kapcsolatban a Törvényszékhez előterjesztett kérdés érdemének előzetes elbírálása nélkül, álláspontom szerint e rendelkezések kellő mértékben érintik őt a megtámadott végzésben megtagadott kereshetőségi joga fennállásának igazolásához.
C. A jogvita érdemben való eldöntése
94. Az Európai Unió Bírósága alapokmányának 61. cikke értelmében, ha a fellebbezés megalapozott, a Bíróság a Törvényszék határozatát hatályon kívül helyezi, és ha a per állása megengedi, az ügyet maga a Bíróság is érdemben eldöntheti, illetve határozathozatalra visszautalhatja a Törvényszékhez.
95. Az európai adatvédelmi biztos azt kéri, hogy a Bíróság hozzon végleges határozatot az elsőfokú eljárásban előterjesztett érdemi kérdésről.
96. Álláspontom szerint a per állása nem engedi meg, hogy az ügyet maga a Bíróság érdemben eldöntse. Valójában e tényt az európai adatvédelmi biztos is elismeri, aki azt kéri, hogy a Bíróság hozzon „végleges ítéletet azt követően, hogy minden félnek módjában állt az ügy minden vonatkozásával kapcsolatos észrevételeit előterjeszteni.”(43)
97. Az elsőfokú eljárásban folytatott jogvita az európai adatvédelmi biztos által a vitatott átmeneti rendelkezések ellen benyújtott kereset elfogadhatóságára összpontosult. Noha e kérdés az ügy érdeme bizonyos szempontjainak elbírálása előtt eldőlt – miként az imént kifejtettem –, az ügy érdeme nem képezte teljeskörű vita tárgyát, csupán eszközként szolgált az európai adatvédelmi biztos Parlament és Tanács által vitatott kereshetőségi joga fennállása kérdésének elbírálása egyetlen céljához. Ezért az ügyet vissza kell utalni a Törvényszék elé a megfelelő kontradiktórius vitát követő ítélethozatal céljából.
D. A költségekről
98. A Bíróság eljárási szabályzatának 184. cikke értelmében és az európai adatvédelmi biztos kérelmének megfelelően kötelezni kell a Parlamentet és a Tanácsot a költségek viselésére, a Németországi Szövetségi Köztársaságot és a Francia Köztársaságot pedig kötelezni kell a saját költségeik viselésére.
V. Végkövetkeztetés
99. A fentiekre tekintettel azt javaslom a Bíróságnak, hogy:
– adjon helyt a fellebbezésnek;
– helyezze hatályon kívül a Törvényszék 2023. szeptember 6‑i Európai adatvédelmi biztos kontra Parlament és Tanács végzését (T‑578/22, EU:T:2023:522);
– az Európai Unió Bírósága alapokmányának 61. cikke értelmében az ügyet határozathozatalra utalja vissza a Törvényszékhez;
– az Európai Parlamentet és az Európai Unió Tanácsát kötelezze a költségek viselésére;
– a Németországi Szövetségi Köztársaságot és a Francia Köztársaságot kötelezze a saját költségeik viselésére.
1 Eredeti nyelv: spanyol.
2 T‑578/22. sz. ügy, EU:T:2023:522. A továbbiakban: megtámadott végzés.
3 A Bűnüldözési Együttműködés Európai Uniós Ügynökségéről (Europol), valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről szóló, 2016. május 11‑i európai parlamenti és tanácsi rendelet (HL 2016. L 135., 53. o.). A továbbiakban: eredeti Europol‑rendelet.
4 Az (EU) 2016/794 rendeletnek az Europol magánfelekkel folytatott együttműködése, a személyes adatoknak az Europol által a bűnügyi nyomozások támogatása érdekében végzett kezelése, valamint az Europol kutatásban és innovációban betöltött szerepe tekintetében történő módosításáról szóló, 2022. június 8‑i európai parlamenti és tanácsi rendelet (HL 2022. L 169., 1. o.). Az Europol‑rendeletnek e rendelettel módosított változatára a továbbiakban módosított Europol‑rendeletként hivatkozom.
5 A jelen ügy összefüggésében egy folyamatban lévő konkrét bűnügyi nyomozás támogatása céljából történő személyesadat‑kezelésre, illetve az Europol birtokában lévő személyes adatok kezelésére vonatkozó két átmeneti rendelkezésről van szó (74a. és 74b. cikk; a továbbiakban: vitatott átmeneti rendelkezések).
6 Az eredeti Europol‑rendelet 18. cikke („Az információkezelési tevékenységek célja”) a (3)‑(5) bekezdésében kimondta:
„(3) Az (2) bekezdés c) pontja szerinti operatív elemzések céljából végzett adatkezelést operatív elemzési projektek formájában kell végezni, amelyek tekintetében a következő biztosítékok alkalmazandók:
a) minden operatív elemzési projekt esetében az ügyvezető igazgatónak meg kell határoznia az adatkezelés konkrét célját, a kezelt személyes adatok és az érintettek kategóriáit, a résztvevőket, a tárolás időtartamát és az érintett adatokhoz való hozzáférésre és az adatok továbbítására és felhasználására vonatkozó feltételeket, valamint tájékoztatnia kell ezekről az igazgatótanácsot és az európai adatvédelmi biztost;
b) személyes adatok csak az adott operatív elemzési projekt céljából gyűjthetők és kezelhetők. Amennyiben kiderül, hogy egyes személyes adatok egy másik operatív elemzési projekt szempontjából is relevánsak lehetnek, a szóban forgó személyes adatok ilyen további kezelése csak akkor megengedett, ha az szükséges és arányos, valamint a személyes adatok összeegyeztethetők az említett másik elemzési projektre alkalmazandó, az a) pontban foglalt rendelkezésekkel;
c) a projekt körébe tartozó adatokhoz kizárólag erre felhatalmazott személy férhet hozzá és csak ilyen személy kezelheti őket.
[…]
(5) A II. melléklet sorolja fel a személyes adatok kategóriáit, valamint azon érintettek kategóriáit, akik vonatkozásában adatokat lehet gyűjteni és kezelni az (2) bekezdésben említett konkrét célokból.”
7 Az eredeti Europol‑rendelet 18. cikkének (6) bekezdése így rendelkezett: „Az Europol ideiglenes adatkezelést végezhet annak megállapítása céljából, hogy a szóban forgó adatok a feladatai tekintetében jelentőséggel bírnak‑e, és ha igen, az (2) bekezdésben említett mely célból bírnak jelentőséggel. Az ügyvezető igazgató javaslata alapján az igazgatótanács – az európai adatvédelmi biztossal folytatott konzultációt követően –, a 28. cikkben említett elvek megfelelő figyelembevételével tovább pontosítja az ilyen adatok kezelésére vonatkozó feltételeket, különös tekintettel az adatokhoz való hozzáférésre és azok felhasználására, valamint az adatok tárolására és törlésére vonatkozó határidőkre, amelyek nem haladhatják meg a hat hónapot.”
8 1990. május 22‑i Parlament kontra Tanács közbenső ítélet (C‑70/88, EU:C:1990:217; a továbbiakban: Parlament kontra Tanács ítélet).
9 A megtámadott végzés 23. pontja.
10 A megtámadott végzés 21. pontja.
11 A megtámadott végzés 22. pontja.
12 A Tanács által hivatkozott 2020. december 17‑i Németország kontra Bizottság ítélet (C‑475/19 P és C‑688/19 P, EU:C:2020:1036; a továbbiakban: Németország kontra Bizottság ítélet), 33. pont.
13 Uo., az ítélkezési gyakorlatra történő hivatkozással.
14 Erre utal a Törvényszék a megtámadott végzés 27. pontjában.
15 A személyes adatok közösségi intézmények és szervek által történő feldolgozása [helyesen: kezelése] tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló, 2000. december 18‑i európai parlamenti és tanácsi rendelet (HL 2001. L 8., 1. o.; magyar nyelvű különkiadás: 13. fejezet, 26. kötet, 102. o.) 41. cikkének (1) bekezdése.
16 A megtámadott végzés 29. pontja, hivatkozással a 2022. július 14‑i Olaszország és Comune di Milano kontra Tanács és Parlament (Az Európai Gyógyszerügynökség székhelye) ítélet (C‑106/19 és C‑232/19, EU:C:2022:568) 113. és 116. pontjára.
17 A megtámadott végzés 32. pontja.
18 A megtámadott végzés 33. pontja így fogalmaz: „az európai adatvédelmi biztos mint független felügyeleti hatóság jogállását említi az EUMSZ 16. cikk (2) bekezdése, amely úgy rendelkezik, hogy a természetes személyeknek a személyes adatok uniós intézmények, szervek és hivatalok által végzett feldolgozása tekintetében történő védelmére vonatkozó szabályok tiszteletben tartását független hatóságok ellenőrzik, valamint a Charta 8. cikkének (3) bekezdése, amely előírja, hogy a személyes adatok védelmére vonatkozó szabályok tiszteletben tartását független hatóságnak kell ellenőriznie.”
19 A megtámadott végzés 41. pontja. A Parlament kontra Tanács ítélet (16. pontja) elismerte, hogy „hatástalannak vagy bizonytalannak” bizonyulhatnak a Bíróság által az 1988. szeptember 27‑i Parlament kontra Tanács ítéletben (302/87, EU:C:1988:461) a Tanács vagy a Bizottság által a Parlament előjogainak sérelmével hozott jogi aktusok Bíróság elé vitelére elegendőnek ítélt különböző jogi eszközök.
20 Parlament kontra Tanács ítélet, 21. pont.
21 Parlament kontra Tanács ítélet, 23. pont.
22 Parlament kontra Tanács ítélet, 25. pont.
23 Parlament kontra Tanács ítélet, 26. pont.
24 Parlament kontra Tanács ítélet, 27. pont. Kiemelés tőlem.
25 Fellebbezésének 30. pontjában.
26 Ilyen szempontból nincs jelentősége, hogy az európai adatvédelmi biztos számára e követelmények teljesítése a jelen ügy „nagyon kivételes” körülményeiből következik‑e.
27 Fellebbezésének 32. és 33. pontja.
28 2018. november 6‑i Scuola Elementare Maria Montessori kontra Bizottság, Bizottság kontra Scuola Elementare Maria Montessori és Bizottság kontra Ferracci ítélet (C‑622/16 P‑C‑624/16 P, EU:C:2018:873), 47. pont: „ugyanis, mivel a közvetlen érintettség feltétele megköveteli, hogy a megtámadott jogi aktus közvetlen hatást gyakoroljon a felperes jogi helyzetére, az uniós bíróság köteles ellenőrizni, hogy ez utóbbi megfelelően bemutatta‑e azon indokokat, amelyek alapján a Bizottság határozata neki versenyhátrányt okozhat, következésképpen hatást gyakorolhat az ő jogi helyzetére.” Kiemelés tőlem.
29 A megtámadott végzés 74. pontja.
30 A megtámadott végzés 78. pontja.
31 Mindenekelőtt a 2022. július 12‑i Nord Stream 2 kontra Parlament és Tanács ítélet (C‑348/20 P, EU:C:2022:548), 43. és 44. pont, az ítélkezési gyakorlatra hivatkozással.
32 A megtámadott végzés 80. és 82. pontja.
33 A megtámadott végzés 83. pontja.
34 2022. július 12‑i Nord Stream 2 kontra Parlament és Tanács ítélet (C‑348/20 P, EU:C:2022:548), 98. pont, az ítélkezési gyakorlatra hivatkozással.
35 A megtámadott végzés 13. pontja.
36 A tárgyaláson kiterjedt vita bontakozott ki e kérdésről, amely álláspontom szerint az európai adatvédelmi biztos kérelmei érdemi elbírálásának, nem pedig a keresete elfogadhatóságának vizsgálata körébe tartozik.
37 Még ha a Törvényszék ki is zárta a közvetlen érintettség fennállását, az európai adatvédelmi biztos keresetének elutasítására vonatkozó döntése végső soron más jogi indokokkal is igazolható; különösen, ha nem teljesül a személyes érintettség követelménye. Mindenekelőtt: 2018. november 6‑i Scuola Elementare Maria Montessori kontra Bizottság, Bizottság kontra Scuola Elementare Maria Montessori és Bizottság kontra Ferracci ítélet (C‑622/16 P‑C‑624/16 P, EU:C:2018:873), 48. pont, az ítélkezési gyakorlatra hivatkozással; 2021. június 22‑i Venezuela kontra Tanács (Harmadik állam érintettsége) ítélet (C‑872/19 P, EU:C:2021:507), 86. és 87. pont.
38 Az európai adatvédelmi biztos 2021. március 8‑i véleménye az Europol‑rendelet módosítására irányuló javaslatról, elérhető itt: https://www.edps.europa.eu/data-protection/our-work/publications/opinions/edps-opinion-proposal-amendment-europol-regulation_en.
39 A következő oldalon elérhető: https://data.consilium.europa.eu/doc/document/ST-5370-2022-INIT/fr/pdf.
40 A megtámadott végzés 11. pontja.
41 A természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23‑i európai parlamenti és tanácsi rendelet (HL 2018. L 295., 39. o.; helyesbítés: HL 2019. L 290., 42. o.).
42 A 2018/1725 rendelet 52. cikkének (3) bekezdése.
43 A fellebbezés 68. pontjának befejező része.