I.

Bevezetés

1.

Fellebbezésében az európai adatvédelmi biztos az Európai Unió Törvényszéke 2023. április 26‑i ESZT kontra európai adatvédelmi biztos (T‑557/20, a továbbiakban: megtámadott ítélet, EU:T:2023:219) ítéletének hatályon kívül helyezését kéri, amellyel a Törvényszék megsemmisítette az európai adatvédelmi biztos 2020. november 24‑i felülvizsgált határozatát (a továbbiakban: vitatott határozat), amely a Banco Popular Español SA (a továbbiakban: Banco Popular) bankszanálásával érintett részvényesek és hitelezők által benyújtott öt panaszra vonatkozik, amelyekben azt kifogásolták, hogy nem tájékoztatták őket a személyes adataik továbbításáról.

2.

A jelen ügy alkalmat ad a Bíróságnak arra, hogy az álnevesített adatokkal összefüggésben pontosítsa a „személyes adat” fogalmát és az abból eredő feladatokat a tisztességes és átlátható adatkezelésre vonatkozó kötelezettségeknek való megfelelés érdekében.

II.

A jogi háttér

3.

Az (EU) 2018/1725 rendelet ( 2 ) jelen fellebbezés szempontjából releváns főbb rendelkezései a következők:

4.

E rendelet (16) és (17) preambulumbekezdése a következőképpen szól:

5.

E rendelet „Fogalommeghatározások” című 3. cikkének 1. és 6. pontja a következőket írja elő:

6.

Ugyanezen rendelet „A személyes adatok kezelésére vonatkozó elvek” című 4. cikke (1) bekezdésének a) pontja és (2) bekezdése szerint:

7.

A 2018/1725 rendelet „Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik” című 15. cikke (1) bekezdésének d) pontja a következőképpen rendelkezik:

III.

Az eljárás előzményei

8.

2017. június 7‑én az Egységes Szanálási Testület (ESZT) a hitelintézeteknek és bizonyos befektetési vállalkozásoknak az Egységes Szanálási Mechanizmus keretében történő szanálására vonatkozó egységes szabályok és egységes eljárás kialakításáról, valamint az Egységes Szanálási Alap létrehozásáról és az 1093/2010/EU rendelet módosításáról szóló, 2014. július 15‑i 806/2014/EU európai parlamenti és tanácsi rendelet ( 3 ) alapján szanálási programot fogadott el a Banco Popularral szemben, amelyet az Európai Bizottság ugyanazon a napon határozatával jóváhagyott, ( 4 ) ami konkrétan azt jelenti, hogy a bank tőkeinstrumentumait leírták vagy átalakították és a részvények átruházásával értékesítették.

9.

A 806/2014 rendelet 20. cikkének (16)–(18) bekezdése szerint az ESZT a Deloitte‑ot mint „független személyt” ( 5 ) bízta meg azzal, hogy végezze el az eltérő elbánás értékelését annak megállapítása érdekében, hogy a szanálási intézkedés által ekként érintett részvényesek és hitelezők jobb elbánásban részesültek volna‑e, ha ezen intézmény rendes fizetésképtelenségi eljárás hatálya alá kerül.

10.

A Deloitte az eltérő elbánásról szóló ezen értékelést (a továbbiakban: 3. értékelés) 2018. június 14‑én megküldte az ESZT‑nek. Az ESZT – előzetes határozatban – jelezte, hogy annak érdekében, hogy végleges határozatot hozhasson arról, hogy a 806/2014 rendelet 76. cikke (1) bekezdésének e) pontja alapján kell‑e kártérítést fizetni a Banco Popular szanálásával érintett részvényeseknek és hitelezőknek, a meghallgatáshoz való jogra vonatkozó, az igényüket kinyilvánító felek jogosultságának vizsgálatára irányuló első nyilvántartásba vételi szakaszt, és egy olyan második konzultációs szakaszt magában foglaló eljárást indít, amelynek keretében az érintett részvényesek és hitelezők benyújtották az ESZT előzetes határozatára vonatkozó észrevételeiket, amely határozathoz csatolták a 3. értékelést.

11.

A nyilvántartásba vételi szakaszban gyűjtött adatok, vagyis a résztvevők személyazonosságára, valamint a Banco Popular leírt vagy átalakított és átruházott tőkeinstrumentumainak tulajdonára vonatkozó bizonyítékok az ESZT személyi állományának korlátozott számú tagja számára voltak hozzáférhetők a résztvevők jogosultságának meghatározása érdekében. Ezek az adatok nem voltak láthatók az ESZT személyi állományának a konzultációs szakaszban kapott észrevételek kezelésével megbízott tagjai számára, amelynek során ez utóbbiak kizárólag az űrlapon benyújtott egyes észrevételekhez rendelt alfanumerikus kódra ( 6 ) való hivatkozással azonosított észrevételeket kaptak.

12.

Az észrevételek összesítése, automatikus szűrése és kategorizálása után az ESZT továbbította a Deloitte‑nak ( 7 ) a++ 3. értékeléssel kapcsolatos így megszűrt, kategorizált és összesített észrevételeket. A Deloitte‑nak továbbított észrevételek kizárólag a konzultációs szakaszban kapott észrevételek közül valóak voltak, és alfanumerikus kóddal voltak ellátva, amelyet auditálási célból dolgoztak ki annak érdekében, hogy az ESZT utólag ellenőrizhesse és adott esetben bizonyíthassa, hogy az egyes észrevételeket feldolgozták és megfelelően figyelembe vették. E kód útján egyedül az ESZT volt képes összekapcsolni az észrevételeket a nyilvántartásba vételi szakaszban kapott adatokkal. A Deloitte nem rendelkezett és nem is rendelkezik hozzáféréssel a nyilvántartásba vételi szakaszban összeállított adatbázishoz.

13.

A 2018/1725 rendelet alapján érintett részvényesek és hitelezők (a továbbiakban: panaszosok) öt panaszt nyújtottak be az európai adatvédelmi biztoshoz azzal az indokkal, hogy az ESZT által közzétett személyes adatok kezelésére vonatkozó titoktartási nyilatkozat nem tartalmazott tájékoztatást az űrlapon keresztül gyűjtött adatok Deloitte‑nak történő továbbításáról. Azt állították, hogy az ESZT megsértette a személyes adatok e rendelet alapján való kezelésével kapcsolatos – e rendelet 15. cikke (1) bekezdésének d) pontjában előírt – tájékoztatási kötelezettségét.

14.

Az európai adatvédelmi biztos elfogadott egy 2020. június 24‑i eredeti határozatot, amelyet az ESZT felülvizsgálat iránti kérelmét követően megsemmisített, és 2020. november 24‑én a vitatott határozat váltotta fel, amely a következőképpen szól:

IV.

A megtámadott ítélet

15.

A Törvényszék Hivatalához 2020. szeptember 1‑jén benyújtott keresetlevéllel és 2021. január 29‑én benyújtott kiigazítási beadvánnyal az ESZT egyrészt a vitatott határozat megsemmisítése, másrészt az európai adatvédelmi biztos 2020. június 24‑i eredeti határozata jogellenességének megállapítása iránt keresetet terjesztett elő.

16.

Az ESZT – az első kereseti kérelem alátámasztására ( 8 ) – két jogalapot terjesztett elő. Az első jogalap a 2018/1725 rendelet 3. cikke 1. pontjának megsértésére vonatkozott, amennyiben a Deloitte‑nak továbbított információk nem minősültek személyes adatoknak, a második jogalap pedig az Európai Unió Alapjogi Chartája 41. cikkében biztosított megfelelő ügyintézéshez való jog megsértésén alapult.

17.

A Törvényszék a megtámadott ítéletben e kereseti kérelmet elfogadhatónak nyilvánította. Az ügy érdemét illetően a Törvényszék helyt adott a kereset első jogalapjának, és megsemmisítette a vitatott határozatot a második jogalap vizsgálata nélkül.

18.

Ami az első jogalapot illeti, a Törvényszék először is megállapította, hogy az európai adatvédelmi biztos – vélelemre támaszkodva, nem vizsgálva a Deloitte‑nak továbbított információknak sem a tartalmát, sem a célját, sem a hatását ( 9 ) a Nowak ítéletet megsértve ( 10 ) – úgy vélte, hogy a Deloitte‑nak továbbított információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett természetes személyre „vonatkoznak”.

19.

Másodszor, ami a 2018/1725 rendelet 3. cikkének 1. pontjában foglalt azon feltételt illeti, amely szerint az információnak „azonosított vagy azonosítható„ természetes személyre kell vonatkoznia, a Törvényszék úgy vélte, hogy a jelen esetben az európai adatvédelmi biztosnak meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított észrevételek a Deloitte tekintetében személyes adatoknak minősültek‑e. Márpedig a megtámadott ítélet szerint az európai adatvédelmi biztos ama lehetőség vizsgálatára szorítkozott, hogy az ESZT – nem pedig a Deloitte – szemszögéből újra azonosítsák az észrevételeket tevőket. Következésképpen, mivel az európai adatvédelmi biztos nem vizsgálta meg, hogy a Deloitte rendelkezett‑e olyan jogszerű és a gyakorlatban megvalósítható eszközökkel, amelyek lehetővé tették volna számára, hogy hozzáférjen az észrevételeket előterjesztők újraazonosításához szükséges további információkhoz, az európai adatvédelmi biztos nem juthatott arra a következtetésre, hogy a Deloitte‑nak továbbított információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett „azonosítható természetes személyre” vonatkozó információknak minősültek. ( 11 )

V.

A Bíróság előtti eljárás és a felek kérelmei

20.

A Bíróság Hivatalához 2023. július 5‑én előterjesztett beadványával az európai adatvédelmi biztos fellebbezést nyújtott be a megtámadott ítélet ellen. A Bíróság elnöke a 2023. november 29‑i végzésével ( 12 ) megengedte az Európai Adatvédelmi Testület számára, hogy az európai adatvédelmi biztos kérelmeinek támogatása végett, a 2023. október 20‑i határozatával pedig az Európai Bizottság számára, hogy az ESZT támogatása végett az eljárásba beavatkozzon.

21.

Az európai adatvédelmi biztos azt kéri, hogy a Bíróság:

–

helyezze hatályon kívül a megtámadott ítéletet;

–

döntse el érdemben az ügyet;

–

az ESZT‑t kötelezze a fellebbezési eljárásban és a Törvényszék előtti eljárásban felmerült költségek viselésére.

22.

Az európai adatvédelmi biztos támogatása végett beavatkozott Európai Adatvédelmi Testület azt kéri, hogy a Bíróság:

–

helyezze hatályon kívül a megtámadott ítéletet;

–

a vitatott határozat helybenhagyásával döntse el érdemben az ügyet.

23.

Az ESZT azt kéri, hogy a Bíróság:

–

utasítsa el a fellebbezést;

–

másodlagosan semmisítse meg a vitatott határozatot;

–

harmadlagosan utalja vissza az ügyet a Törvényszék elé, és

–

az európai adatvédelmi biztost kötelezze a fellebbezési eljárásban és a Törvényszék előtti eljárásban felmerült költségek viselésére.

24.

Az ESZT támogatása végett beavatkozott Európai Bizottság azt kéri, hogy a Bíróság:

–

utasítsa el a fellebbezést;

–

az európai adatvédelmi biztost kötelezze a költségek viselésére.

VI.

A fellebbezésről

25.

Fellebbezésének alátámasztására az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos két jogalapra hivatkozik. Az első a Bíróság ítélkezési gyakorlata által értelmezett 2018/1725 rendelet 3. cikkének (1) és (6) bekezdése értelmében vett „személyes adatok” fogalma – Törvényszék általi – értelmezésének vitatására irányul. A második jogalap az ugyanezen rendelet 4. cikkének (2) bekezdésében és 26. cikkének (1) bekezdésében foglalt elszámoltathatóság elvének megsértésén alapul.

A.

Az első fellebbezési jogalapról

26.

Az első jogalap két részre osztható. Az első rész azt a feltételt érinti, amely szerint a vitatott információknak valamely természetes személyre kell „vonatkozniuk„, a második pedig azt a feltételt, hogy ez a személy „azonosított vagy azonosítható„ legyen.

1.

Az arra vonatkozó első részről, hogy az információk valamely természetes személyre „vonatkoznak‑e”

a)

A felek érvelése

27.

Az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos arra hivatkozik, hogy a Törvényszék tévesen alkalmazta a jogot annak megállapításával, hogy az európai adatvédelmi biztos vélelemre támaszkodott azon feltétel értelmezése tekintetében, amely szerint a Deloitte‑nak továbbított információk – a 2018/1725 rendelet 3. cikkének 1. pontja értelmében – valamely természetes személyre vonatkoztak. Véleménye szerint a jelen ügy körülményei között nem volt szükség a részéről alaposabb vizsgálatra.

28.

Az ESZT a maga részéről előadja, hogy ahogy a Törvényszék azt megállapította, az európai adatvédelmi biztos annak jelzésére szorítkozott, hogy a panaszosok által a meghallgatáshoz való jogra vonatkozó eljárás konzultációs szakaszában benyújtott szóban forgó észrevételek tükrözik a véleményüket vagy az álláspontjukat, pedig meg kellett volna vizsgálnia, hogy a Deloitte‑nak továbbított információk – ahogyan azt a Nowak ítélet megköveteli – tartalmuknál, céljuknál vagy hatásuknál fogva egy adott személyhez kapcsolódtak‑e.

b)

Értékelés

29.

Emlékeztetni kell arra, hogy a Bíróság már többször kimondta, hogy a „bármely információ” kifejezés használata a „személyes adat” fogalmának meghatározása során a jogalkotó részéről azt a célt tükrözi, hogy e fogalomnak olyan tág jelentést adjon, amely potenciálisan magában foglal minden típusú információt, ( 13 ) legyen az akár objektív, akár vélemény vagy értékelés formájában megjelenő szubjektív információ, feltéve hogy az a szóban forgó személyre „vonatkozik”.

30.

Ebben a tekintetben valamely információ akkor vonatkozik azonosított vagy azonosítható természetes személyre, ha a tartalmánál, céljánál vagy hatásánál fogva egy meghatározott személyhez „kapcsolódik” ( 14 ).

31.

Ami az olyan véleményeket vagy értékeléseket illeti, mint a panaszosok jelen ügyben szóban forgó észrevételei, úgy tűnik számomra, hogy különbséget kell tenni aszerint, hogy az említett vélemények vagy értékelések „kapcsolódnak‑e” a vélemény vagy értékelés szövege által említett személyhez vagy személyekhez, vagy pedig – mint a jelen ügyben – azt kell megítélni, hogy a szerzőjükhöz kapcsolódnak‑e. Az első esetben az értékelés tárgyát képező személyhez kapcsolódó információ fennállásának megállapításához azt kell elemezni, hogy az értékelés tartalma, célja vagy hatása érinti‑e ezt a személyt. A második esetben viszont annak megállapítása céljából, hogy az értékelés az azt megfogalmazó személyhez kapcsolódik‑e, úgy tűnik számomra, hogy feltételezhető, hogy ez a helyzet áll fenn, és hogy valamely vélemény vagy értékelés szükségszerűen a szerzőjéhez kapcsolódik.

32.

A Nowak ítéletben ekképpen lényegében egy vizsgadolgozatban szereplő információk értékeléséről volt szó. Két személy volt így érintett: a vizsgázó és a vizsgáztató. Tény, hogy a Bíróság megvizsgálta a vizsgázó válaszainak tartalmát, célját és hatását annak a következtetésnek a levonásához ezekből, hogy a válaszok rá vonatkoztak. Ezzel együtt ami konkrétan a vizsgáztató véleményét vagy értékelését tükröző megjegyzéseket illeti, ( 15 ) noha a Bíróság megvizsgálta a dolgozatban szereplő információk tartalmát, célját és hatását annak a következtetésnek a levonásához, hogy ezek az értékelések a vizsgázóra vonatkoztak, nem végzett ilyen vizsgálatot annak megállapításához, hogy azok a vizsgáztatóra vonatkozó információknak minősültek, aki ezeknek a szerzője volt. ( 16 ) Álláspontom szerint tehát nem zárható ki teljesen, hogy egy (egyszerű) vélelem alkalmazható annak megítélésekor, hogy valamely vélemény vagy értékelés, vagy – mint a jelen esetben – egy észrevétel a szerzőjére „vonatkozik‑e.”

33.

Ebből azt a következtetést vonom le, hogy – ellenkező bizonyíték hiányában – a jelen ügyben szóban forgó észrevételek, mivel azok a panaszosoktól származnak, és az ő „logikájukat és érvelésüket” mutatják be, tehát „szubjektív véleményük” kifejeződését tükrözik, szükségszerűen az említett panaszosokra „vonatkoztak”, függetlenül az észrevételeik céljától vagy hatásától.

34.

Mindenesetre – a jelen ügyben még ilyen vélelem hiányában is – úgy gondolom, hogy a szóban forgó észrevételek tartalmuk, céljuk és hatásuk alapján a panaszosokhoz „kapcsolódnak”.

35.

E tekintetben az ESZT előadja, hogy a szóban forgó észrevételek célján és összefüggésén alapuló érvek hatástalanok, mivel azokat a vitatott határozatban nem vizsgálták, elfogadhatatlanok, mivel új tényállítást tartalmaznak, és egyébként is tévesek.

36.

Ez az érvelés számomra nem meggyőző. Mind az európai adatvédelmi biztos által a vitatott határozatban elvégzett vizsgálat, mind a Törvényszék értékelése egy olyan jogi kontextus része, amelyet figyelembe vettek, és amely egyértelműen megemlíti a szóban forgó, a meghallgatáshoz való jogra vonatkozó eljárás keretében tett észrevételek célját és hatását. A szóban forgó észrevételek céljával és hatásával kapcsolatos ezen érvek tehát vizsgálhatók és elfogadhatók.

37.

Ami továbbá az ügy érdemét illeti, az alkalmazandó jogi háttérből kitűnik, hogy a meghallgatáshoz való jogra vonatkozó eljárás, amelynek keretében a szóban forgó észrevételeket tették, azt a célt szolgálta, hogy az érintett részvényesek és hitelezők hozzájárulhassanak az eljáráshoz, különösen, hogy az ESZT minden szükséges információval rendelkezhessen ahhoz, hogy végleges döntést hozzon arról, hogy kell‑e kártérítést fizetnie a Banco Popular szanálásával érintett részvényeseknek és hitelezőknek, annak az elvnek az alkalmazásával, hogy egyetlen hitelező sem részesülhet rosszabb elbánásban, mint rendes fizetésképtelenségi eljárás szerinti felszámolás esetén. ( 17 ) Ezenkívül ezek az észrevételek, azután, hogy az ESZT figyelembe vette őket, hatással lehettek a panaszosok érdekeire és jogaira a pénzügyi kompenzációval kapcsolatban.

38.

Ebből arra következtetek, hogy a szóban forgó észrevételek a jelen ügyben érintett személyekhez kapcsolódnak, beleértve a céljuk és a hatásuk miatt.

39.

Hozzáteszem, hogy a szóban forgó – Deloitte‑nek továbbított – észrevételeket „megszűrték, kategorizálták és összesítették”, így – amint az a Törvényszék által megállapított tényekből kitűnik ( 18 ) – az egyedi észrevételeket nem lehetett megkülönböztetni egyazon témán belül. Elfogadható azonban, hogy e kollektív észrevételek még összesítve is tartalmukban a 3. értékelésre vonatkozó személyes álláspontokat tükröznek. Olyan vélemények összességét alkotják ugyanis, amelyek – ilyenként – az azokat kifejező személyekre vonatkozó információknak minősülnek. A szűrésük, a kategorizálásuk és az összesítésük nem változtat ezen a megállapításon, mivel ellenkező esetben elegendő lenne több álláspontot összesíteni a valamely természetes személyre „vonatkozó” információval kapcsolatos feltétel alóli kikerülés érdekében. Az, hogy az észrevételek ezen összességén belül nem lehet megkülönböztetni a különböző egyedi véleményeket, úgy tűnik számomra, hogy inkább a jelen jogalap második részének keretében vizsgált második kumulatív, az érintettek azonosíthatóságával kapcsolatos feltételhez tartozik, és nem ahhoz a feltételhez, amely megköveteli, hogy az észrevétel valamely természetes személyhez „kapcsolódjon”.

40.

E körülmények között úgy vélem, hogy e tekintetben a Törvényszék értékelése téves jogalkalmazásnak tekinthető, amennyiben megállapította, hogy az európai adatvédelmi biztos nem tett eleget a Nowak ítélet által előírt vizsgálatnak annak megállapításához, hogy a szóban forgó észrevételek természetes személyekre „vonatkoztak” a 2018/1725 rendelet 3. cikkének 1. pontja értelmében.

41.

Ha a Bíróság úgy határozna, hogy elutasítja ezt az első részt, és megállapítaná, hogy a szóban forgó álnevesített észrevételek nem vonatkoznak a szerzőikre, a jogalap második részének vizsgálata okafogyott, mivel a 2018/1725 rendelet 3. cikkének 1. pontja szerint valamely személyes adat fennállásához szükséges olyan feltételről van szó, amely kumulatív az érintettek ezt követően vizsgált azonosíthatóságának feltételével.

2.

Az érintettek azonosíthatóságának feltételére vonatkozó második részről

42.

Az európai adatvédelmi biztos és az Európai Adatvédelmi Testület lényegében azzal érvel, hogy a Törvényszék két tekintetben – elsőként az „álnevesítés” fogalmával kapcsolatban, másodikként a Breyer ítélet ( 19 ) értelmezésével kapcsolatban – tévesen alkalmazta a jogot, amit az ESZT és a Bizottság vitat.

a)

Az álnevesítés hatásaira vonatkozó téves jogalkalmazáson alapuló első kifogás

43.

Ez a kifogás az adatvédelmi szabályok hatályának terjedelmére vonatkozó két nagyon eltérő megközelítést illusztrálja. Automatikusan be kell‑e vonni e szabályok hatálya alá az álnevesített adatokat kizárólag azon az alapon, hogy az érintettek azonosíthatóak maradnak, tekintet nélkül a további azonosító adatokhoz való hozzáférhetőségre, vagy úgy kell tekinteni, hogy az álnevesítési eljárást követően az adatok csak azon személyek számára személyesek, akik észszerűen azonosítani tudják az érintetteket?

1)

A felek érvelése

44.

Az európai adatvédelmi biztos és az Európai Adatvédelmi Testület lényegében azt állítja, hogy az álnevesített adatok kizárólag azért maradnak személyes adatok, mert az érintettek azonosíthatók maradnak, mivel az azonosításukat lehetővé tevő információk továbbra is léteznek. A Törvényszék megközelítése téves, mivel lehetővé teszi, hogy az álnevesített adatokat a címzett tekintetében anonimizált adatoknak tekintsék, ami kockázatot jelent az érintettek védelmére, valamint az álnevesítés és az anonimizálás összekeveréséhez vezet. Egy ilyen – a 2018/1725 rendelet szövegével és céljával ellentétes – megközelítés lehetővé teszi az adatkezelő számára, hogy indokolatlanul kivonja a személyes adatokat az ilyen adatok védelmére vonatkozó uniós jog hatálya alól.

45.

Az ESZT és a Bizottság a maga részéről előadja, hogy az álnevesített adatok személyes adatok maradnak az álnevesítésüket végző adatkezelő számára, de a címzettek tekintetében meg kell vizsgálni az érintettek azonosíthatóságát. Ezenkívül, még ha a 2018/1725 rendelet 3. cikkének (1) bekezdése nem is pontosítja, hogy kinek kell tudnia azonosítani az érintettet, a (16) preambulumbekezdés fényében és e rendelet itt szóban forgó 15. cikke (1) bekezdésének d) pontja összefüggésében a címzett szemszöge számít. Véleményük szerint ha ezzel a címzettel nem közölnek személyes adatokat, az érintetteknek nem fűződik érdekük az adattovábbításról való tájékoztatásukhoz, mivel a jogaikra nincs hatással.

2)

Értékelés

46.

Először is érdemes emlékeztetni arra, hogy az álnevesítés a 2018/1725 rendelet (17) preambulumbekezdésének megfelelően a személyes adatok olyan kezelése, amelynek célja egy adatállomány valamely érintett személyazonosságával való összekapcsolhatóságára vonatkozó „kockázatok csökkentése” és hogy „segítsen az adatkezelőknek és az adatfeldolgozóknak abban, hogy az adatvédelmi kötelezettségeiknek eleget tegyenek.”

47.

A 2018/1725 rendelet 3. cikkének 6. pontja ezért az álnevesítés fogalmát úgy határozza meg, hogy az „a személyes adatok olyan módon történő kezelése, amelynek következtében további információk felhasználása nélkül többé már nem állapítható meg, hogy a személyes adat mely konkrét természetes személyre vonatkozik, [amely] további információt külön tárolják, és technikai és szervezési intézkedések megtételével biztosított, hogy azonosított vagy azonosítható természetes személyekhez ezt a személyes adatot nem lehet kapcsolni” ( 20 ).

48.

Az álnevesítés tehát nem része a személyes adat – 2018/1725 rendelet 3. cikkének 1. pontjában az érintett „azonosíthatóságának” fogalmára tekintettel meghatározott – definíciójának. Ahogy a Bizottság továbbá a beavatkozási beadványában rámutatott, a rendelet az „álnevesítés” – és nem az „álnevesített adatok” – fogalmát határozza meg, így valamely védelmi intézkedés vagy technikai és szervezési intézkedés meghozatalára vonatkozó eljárásra utal.

49.

Ezt az értelmezést megerősíti ugyanezen rendelet 3. cikke 6. pontjának és (16) preambulumbekezdésének együttes olvasata, amelynek első mondata emlékeztet, hogy az „adatvédelem elveit minden azonosított vagy azonosítható természetes személyre vonatkozó információ esetében alkalmazni kell.”

50.

A 2018/1725 rendelet e (16) preambulumbekezdését ezenkívül érdemes részletesebben tovább elemezni. ( 21 ) Tartalmaz ugyanis egy második mondatot, amely kimondja, hogy „az olyan álnevesített személyes adatokat, amelyeket további információ felhasználásával valamely természetes személlyel kapcsolatba lehet hozni, azonosítható természetes személyre vonatkozó adatnak kell tekinteni.” Ezt követi a harmadik és a negyedik mondat, amelyek ennek az azonosíthatósági követelménynek a tartalmát pontosítják.

51.

E rendelkezések megfogalmazásából arra következtetek, hogy az álnevesítés nyitva hagyja annak lehetőségét, hogy az érintettek ne legyenek azonosíthatók, ellenkező esetben e (16) preambulumbekezdés szövegének nem volna létjogosultsága. Hozzáteszem, hogy az említett preambulumbekezdés anonimizálásra vonatkozó utolsó mondatai megerősítik ezt az értelmezést: kizárják az anonim (vagy anonimizált) adatokat a 2018/1725 rendelet hatálya alól, ( 22 ) az álnevesített adatokat azonban csak annyiban, amennyiben az érintettek nem azonosíthatók. Ha az említett személyek azonosítása lehetetlen, akkor jogilag úgy kell tekinteni, hogy az álnevesítési eljárással kellő védelmet élveznek, annak ellenére, hogy a további azonosító adatokat nem törölték teljesen.

52.

Másként fogalmazva, kizárt az álnevesített adatoknak e rendelet hatálya alóli automatikus kivonása. ( 23 ) E rendelet (16) preambulumbekezdésére tekintettel azonban nem zárható ki, hogy az ilyen adatok bizonyos feltételek mellett kikerülhessenek a „személyes adat” fogalma alól.

53.

Az európai adatvédelmi biztos állításával ellentétben az ilyen megközelítés nem tűnik számomra ellentétesnek a személyes adatok magas szintű védelmének biztosítására irányuló célkitűzéssel, különösen egyrészt az alkalmazandó rendelkezések által támasztott azonosíthatósági követelményekre, másrészt pedig az ítélkezési gyakorlat általi értelmezésükre tekintettel.

54.

Egyrészt a 2018/1725 rendelet (16) preambulumbekezdése az adatkezelő „vagy más személy” általi azonosíthatóságra utal: ez a tág, bár nem korlátlan koncepció ( 24 ) a személyes adatok védelmére irányuló megközelítésbe illeszkedik.

55.

Hasonlóképpen e (16) preambulumbekezdés előírja, hogy figyelembe kell venni az eszközöket, amelyekről észszerűen feltételezhető, hogy egy adott természetes személy azonosítására fogják közvetlenül vagy közvetetten felhasználni, minden objektív tényezőt tekintetbe véve, így például az azonosítás költségeit és időigényét, számításba véve az adatkezeléskor rendelkezésre álló technológiákat és a technológia fejlődését, ami a személyes adatok védelmére irányuló, tág meghatározást jelent.

56.

Másrészt az „azonosíthatóság” e fogalmára vonatkozó ítélkezési gyakorlatnak az érintettek újraazonosítására vonatkozó kockázatra összpontosító értelmezése szintén a „személyes adatok” fogalmának tág alkalmazását teszi lehetővé. A Bíróság ezért módszeresen „személyes adatnak” minősítette azokat az adatokat, amelyek – bár a valaki másnál lévő azonosító adatoktól el vannak különítve – a szóban forgó összefüggésben az érintettek újraazonosításának kockázatát hordozhatják. ( 25 )

57.

Valamely adat így jogilag csak akkor kerülhet ki a „személyes adatként” való minősítés alól, ha az azonosítás kockázata nem áll fenn vagy jelentéktelen. ( 26 )

58.

Nem győznek meg az európai adatvédelmi biztos és az Európai Adatvédelmi Testület érvei a személyes adatok túl szigorú értelmezéséből eredő veszélyekkel kapcsolatban. Az ugyanis, hogy a 2018/1725 rendeletből eredő szabályok nem alkalmazandók a nem azonosítható személyekre vonatkozó adatokra, nem akadályozza meg adott esetben a felróható magatartást tanúsító jogalanyok jogi felelősségre vonását, például az adatok kárt okozó jogosulatlan közlése esetén. Ugyanakkor aránytalannak tűnik számomra egy olyan jogalanyra, amely észszerűen nem azonosíthatja az érintetteket, a 2018/1725 rendeletből eredő kötelezettségeket telepíteni, ( 27 ) olyan kötelezettségeket, amelyeknek e jogalany feltételezhetően nem tud megfelelni, vagy amelyek pontosan az érintettek azonosításának megkísérlésére köteleznék.

59.

E megfontolásokra tekintettel, a jogvitának a Deloitte‑nak továbbított adatok tekintetében történő elemzése esetén úgy vélem, hogy az európai adatvédelmi biztos állításával ellentétben meg kellett határozni, hogy a szóban forgó adatok álnevesített kezelése kellően erős volt‑e annak megállapításához, hogy a panaszosok – a Deloitte‑nak továbbított információk szerzői – észszerűen nem voltak azonosíthatók. Vagyis ebben az összefüggésben, ha a Deloitte észszerű eszközökkel rendelkezne az említett panaszosok azonosítására, úgy tekinthető, hogy személyes adatokat kezel.

60.

Az európai adatvédelmi biztos által felhozott első kifogást ezért álláspontom szerint el kell utasítani.

b)

A Breyer ítélettel való téves összehasonlításon alapuló második kifogásról

1)

A felek érvelése

61.

Az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos szerint a szóban forgó álnevesített adatok az ESZT tekintetében személyes adatok, és ezért az ESZT‑t az érintettekkel szemben a címzettre vonatkozó tájékoztatási kötelezettség terhelte. Lényegében azt állítja, hogy a Törvényszék tévesen értelmezte a Breyer ítéletet, amely eltérő tényállásra vonatkozott.

62.

A Bizottság által támogatott ESZT szerint viszont releváns a Breyer ítélettel való összehasonlítás, ami annak megállapításához vezet, hogy a tájékoztatási kötelezettség csak akkor alkalmazandó, ha a továbbított adatok a címzett, jelen esetben a Deloitte szemszögéből személyes adatok, ami – amint azt a Törvényszék helyesen megállapította – a jelen ügyben nem nyert bizonyítást.

2)

Értékelés

63.

Úgy vélem, hogy a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség és a Breyer ítélet párhuzamossága a jelen ügyben a Törvényszékétől eltérő megoldáshoz vezet, amit a jelen kifogás elemzése keretében fejtek ki.

64.

A 2018/1725 rendelet 4. cikke (1) bekezdésének a) pontja a jogszerű, tisztességes és az érintett számára átlátható adatkezelés követelményét támasztja.

65.

Közelebbről e rendelet 15. cikke (1) bekezdésének d) pontja előírja, hogy ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő „a személyes adatok megszerzésének időpontjában” az érintettet tájékoztatja az említett adatok esetleges címzettjeiről. Egyértelmű tehát, hogy ezt a tájékoztatást az adatkezelőnek haladéktalanul, vagyis az adatok gyűjtésének időpontjában kell megadnia. ( 28 )

66.

E tájékoztatási kötelezettség tiszteletben tartásának fontosságát a 2018/1725 rendelet (35) preambulumbekezdése is megerősíti, amely kimondja, hogy a tisztességes és átlátható adatkezelés elve megköveteli, hogy az érintett tájékoztatást kapjon az adatkezelés tényéről és céljairól, hangsúlyozva, hogy az adatkezelőnek minden olyan további információt is az érintett rendelkezésére kell bocsátania, amely szükséges a tisztességes és átlátható adatkezelés biztosításához, figyelembe véve a személyes adatok kezelésének konkrét körülményeit és kontextusát. ( 29 )

67.

Az ilyen tájékoztatási kötelezettség annál inkább fontos, mert az érintett által adott hozzájárulás érvényessége többek között attól függ, hogy e személy előzőleg megkapta‑e a szóban forgó személyes adatok kezelésének valamennyi körülményére vonatkozó, őt a 2018/1725 rendelet alapján megillető és azt lehetővé tévő tájékoztatást, hogy a tények teljes ismeretében adja meg hozzájárulását. ( 30 )

68.

Hozzáteszem, hogy a 2018/1725 rendelet 15. cikkének (4) bekezdésében előírt egyetlen kivétel e tájékoztatási kötelezettség alól arra az esetre vonatkozik, amikor az érintett már rendelkezik a szóban forgó információkkal.

69.

Ebből azt a következtetést vonom le, hogy a jelen ügyben e tájékoztatási kötelezettség egyrészt az érintettek, itt a panaszosok, másrészt az ESZT mint adatkezelő között fennálló jogviszony keretébe illeszkedik, és nem az ESZT és a címzett, vagyis a Deloitte közötti viszonyba. A tájékoztatási kötelezettség tehát – a Deloitte‑nak történő továbbítást megelőzően – az ESZT birtokában lévő adatokra vonatkozik. Márpedig nem vitatott, hogy személyes adatokról van szó, mivel az ESZT birtokában vannak az észrevételek és az azokat megfogalmazó személyek azonosítási bázisa.

70.

A „releváns szemszög” ( 31 ) ilyen megközelítése tehát a Törvényszékétől eltérő megoldásra vezet, még a Breyer ítélettel való összehasonlítás esetén is.

71.

Emlékeztetek arra, hogy az ezen ítéletben előzetes döntéshozatalra előterjesztett kérdés alapjául szolgáló jogvitában P. Breyer azt kérte, hogy tiltsák meg, hogy az adatkezelő (a Németországi Szövetségi Köztársaság) tárolja a dinamikus IP‑címét. A számítógépéhez társított IP‑címen keresztül történő azonosítását lehetővé tevő további információk nem az adatkezelőnél, hanem az internetszolgáltatónál voltak. A kérdés tehát az volt, hogy az adatkezelő által tárolt dinamikus IP‑cím „személyes adatnak” minősülhetett‑e, és ezért a P. Breyer és az említett adatkezelő közötti jogviszony keretében kiváltja‑e utóbbi terhére a tárolással járó kötelezettségeket, jóllehet P. Breyer azonosító adatai az adatkezelőtől eltérő személynél voltak. Lényegében annak kimondására került sor, hogy bár az adatkezelő nem volt birtokában a további azonosító információknak, észszerűen hozzáféréssel rendelkezhetett azokhoz, és a dinamikus IP‑cím ezért „személyes adatnak” minősült.

72.

A jelen ügyben, amint arra korábban emlékeztettem, ( 32 ) a tájékoztatási kötelezettség az érintettek (a panaszosok) és az adatkezelő (az ESZT) közötti viszonyba illeszkedik: a tájékoztatási kötelezettség akkor merül fel, amikor a szóban forgó adatokat az ESZT összegyűjti, és különösen a címzettre vonatkozó információkat illetően legkésőbb akkor, amikor a címzett ismert. Márpedig amikor ez a mozzanat bekövetkezik, a szóban forgó adatok az ESZT‑nél lévő személyes adatok, amely a további azonosító adatok birtokában van. Tekintettel a szóban forgó tájékoztatási kötelezettségre, és tekintettel arra az időpontra, amikor ez bekövetkezik, a szóban forgó adatok tehát személyes adatoknak minősültek, függetlenül a Deloitte általi azonosíthatóságtól, amelyet nem érint sem a panaszosok és az ESZT közötti jogviszony, amely az egyetlen releváns jogviszony, sem pedig az ESZT‑t terhelő e tájékoztatási kötelezettség.

73.

Úgy tűnik számomra, hogy a Breyer ítélettel való párhuzamot a jelen ügyben ebben kell összevetni.

74.

Ebből az következik, hogy a tájékoztatási kötelezettség a ESZT‑t adatkezelőként és a panaszosokkal – akiktől a szóban forgó adatokat gyűjtötte – fennálló kapcsolatából fakadóan terhelte, függetlenül a Deloitte‑nak továbbított adatok személyes vagy nem személyes jellegétől.

75.

Az ESZT‑nek a tárgyaláson megismételt érvelését, amely szerint a címzett szemszöge releváns, mert vizsgálni kell, hogy „személyes adatok címzettjének” minősül‑e vagy sem, ebben az összefüggésben el kell utasítani.

76.

E tekintetben tény, hogy a 2018/1725 rendelet 15. cikke (1) bekezdése d) pontjának szövege, amely a „személyes adatok címzettjeire„ utal, félrevezető lehet. E rendelkezés hatékony érvényesülése azonban megköveteli, hogy az érintettekkel az információt a lehető leghamarabb és az említett adattovábbítást megelőzően közöljék. ( 33 ) A jelen esetben, még ha az ESZT‑nek az észrevételek kezdeti gyűjtésekor nem is állt szándékában kikérni a Deloitte véleményét arról, hogy ezek az észrevételek módosítják‑e a 3. értékelést, a Törvényszék előtt vitatott határozatból kitűnik, hogy a Deloitte a meghallgatáshoz való jogra vonatkozó eljárás keretében segítséget nyújtott az ESZT‑nek. ( 34 ) Az ESZT azon szándéka továbbá, hogy az álnevesített adatokat a Deloitte‑tal közölje, legkésőbb a szóban forgó észrevételek feldolgozásáról szóló döntés meghozatalának időpontjában már fennállónak volt tekinthető, pontosan ezek álnevesítése céljából, ( 35 ) ellenkező esetben az álnevesítésnek semmiféle indoka nem volna.

77.

Ezért úgy vélem, hogy a tájékoztatási kötelezettségnek való megfelelés ellenőrzése – a címzett szemszögéből a szóban forgó adatok személyesnek vagy nem személyesnek minősítése céljából – abban az időpontban, amikor az ESZT továbbította az adatokat a Deloitte‑nak, az említett ellenőrzés időbeni eltolódását eredményezi. Ezáltal ezen ellenőrzés tévesen lenne elhalasztva, mivel azt a címzettnek már továbbított adatokon végeznék el, holott a tájékoztatási kötelezettség célja az ESZT és a panaszosok közötti kapcsolatra vonatkozik, és az utóbbiak tájékoztatáson alapuló hozzájárulásának lehetővé tételére irányul a továbbítás előtt.

78.

Ami továbbá a panaszosok hozzájárulását illeti, a meghallgatáshoz való jogra vonatkozó eljárásban való részvételük kétségkívül értelmezhető úgy, mint a személyes adatoknak az adatkezelővel való megosztásához való hallgatólagos hozzájárulásuk annak érdekében, hogy észrevételeiket figyelembe vegyék. Álláspontom szerint azonban ez nem elegendő ahhoz, hogy az adatok álnevesítéséhez és a Deloitte‑nak történő továbbításához tájékoztatáson alapuló hozzájárulásnak minősüljön, az ESZT részéről e tekintetben adott előzetes tájékoztatás nélkül. ( 36 )

79.

Ebből az következik, hogy álláspontom szerint az ESZT‑t terhelő tájékoztatási kötelezettség alkalmazandó volt a jelen esetben a szóban forgó adatok továbbítását megelőzően és függetlenül a Deloitte‑nál a személyes vagy nem személyes jellegüktől.

80.

Ezért az, hogy az álnevesítés kellően erős és hatékony‑e annak megállapíthatóságához, hogy a Deloitte‑nál lévő adatok személyes adatnak minősülnek‑e vagy sem, számomra végső soron nem tűnik relevánsnak az ESZT‑t terhelő tájékoztatási kötelezettség tekintetében.

81.

Következésképpen a jelen ügyben tiszteletben kellett tartani az ESZT‑t mint adatkezelőt terhelő tájékoztatási kötelezettséget, és a megtámadott ítéletet ezért téves jogalkalmazás miatt hatályon kívül kell helyezni.

82.

Mivel a szóban forgó adatok címzettjének szemszöge a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség tekintetében irreleváns, a felek arra vonatkozó érvei, hogy a Deloitte jogszerű és a gyakorlatban megvalósítható eszközökkel azonosíthatja az érintetteket, hatástalanok, és ezért azokat nem kell megvizsgálni.

83.

Ha a Bíróság nem osztaná ezt az álláspontot, másodlagosan megjegyzem, hogy az európai adatvédelmi biztos e tekintetben vitatja a Törvényszék azon megállapítását, hogy a Deloitte nem rendelkezik hozzáféréssel az azonosító adatokhoz. Különösen az ESZT és a Deloitte között fennálló adattfeldolgozói szerződéses kapcsolatra támaszkodik. Az ESZT és a Bizottság arra hivatkozik, hogy az európai adatvédelmi biztos ezzel olyan új ténybeli állításokat hoz fel, amelyek a fellebbezés szakaszában elfogadhatatlanok. Egyetértek ezzel. Az ESZT és a Deloitte közötti szerződéses kapcsolat fennállása, amely azt bizonyítja, hogy a Deloitte a panaszosok azonosítását kérhette az ESZT‑től, olyan új érv, amelyről a Törvényszék egyébiránt nem határozott. Ebből következik, hogy ezt az érvelést az adott esetben, mint elfogadhatatlant el kell utasítani a Bíróság eljárási szabályzata 170. cikke (1) bekezdésének második mondata értelmében, amely szerint a Törvényszék előtti jogvita tárgyát a fellebbezésben nem lehet megváltoztatni. ( 37 )

B.

A másodlagosan vizsgált második jogalapról

84.

A 2018/1725 rendelet 4. cikkének (2) bekezdésében és 26. cikkének (1) bekezdésében foglalt elszámoltathatóság elvének megsértésén alapuló második jogalapjával az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos azt állítja, hogy a Törvényszék – az ESZT‑re vonatkozó elszámoltathatóság elvének megsértésével – tévesen állapította meg, hogy neki kellett bizonyítania, hogy a Deloitte‑nak továbbított információk személyes adatoknak minősülnek.

85.

A fentiekre és különösen a fenti 81. és 82. pontra tekintettel úgy vélem, hogy e második jogalapot nem kell megvizsgálni.

86.

Ezért csak röviden, másodlagosan említem meg.

87.

Ami a Törvényszék előtt nem hivatkozott jogalap – ESZT által vitatott – elfogadhatóságát illeti, emlékeztetek arra, hogy a fellebbező előterjeszthet olyan fellebbezést, amelyben a Bíróság előtt a megtámadott ítéletből következő olyan jogalapokra hivatkozik, amelyek ezen ítélet jogi megalapozottságának kifogásolására irányulnak. ( 38 ) Úgy tűnik számomra, hogy a jelen jogalap vonatkozásában ez a helyzet áll fenn, amely tehát elfogadható.

88.

Ami az ügy érdemét illeti, emlékeztetni kell arra, hogy a Törvényszék megállapította, hogy mivel az európai adatvédelmi biztos nem vizsgálta meg, hogy a Deloitte rendelkezett‑e olyan jogszerű és a gyakorlatban megvalósítható eszközökkel, amelyek lehetővé tették volna számára, hogy hozzáférjen az észrevételeket előterjesztők újraazonosításához szükséges további információkhoz, az európai adatvédelmi biztos nem juthatott arra a következtetésre, hogy a Deloitte‑nak továbbított információk a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett „azonosítható természetes személyre” vonatkozó információknak minősültek.

89.

Az Európai Adatvédelmi Testület által támogatott európai adatvédelmi biztos lényegében azt állítja, hogy a Törvényszéknek meg kellett volna vizsgálnia, hogy az ESZT mint adatkezelő bizonyította‑e, hogy a Deloitte tekintetében anonimizálta a vitatott adatokat.

90.

Az ESZT vitatja ezt az érvelést arra hivatkozva, hogy az elszámoltathatóság elve csak személyes adatok esetén alkalmazandó, és hogy jelen ügyben a Deloitte‑nál lévő adatokat anonimizálták.

91.

A Bizottság a maga részéről előadja, hogy először az európai adatvédelmi biztos viseli azon észszerű bizonyítási terhet, hogy a rendelkezésre álló bizonyítékok alapján személyes adatok fennállását bizonyítsa. Ezt követően az érintett adatkezelőnek kell további bizonyítékok benyújtásával megcáfolni ezt a következtetést.

92.

Emlékeztetek, hogy a 2018/1725 rendelet 4. cikke (1) bekezdésének a) pontja szerint a személyes adatok kezelését jogszerűen, tisztességesen és az érintett számára átlátható módon kell végezni. Az említett rendelet 4. cikkének (2) bekezdése előírja, hogy „az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására”. A 4. cikk (2) bekezdésében foglalt és e rendelet 26. cikkének (1) bekezdésében pontosított elszámoltathatóság elvéből tehát az következik, hogy az adatkezelőnek képesnek kell lennie annak igazolására, hogy tiszteletben tartja a 4. cikk (1) bekezdésében foglalt, a személyes adatok kezelésével kapcsolatos elveket. ( 39 )

93.

Amennyiben az adatkezelő elegendő bizonyítékot szolgáltatott erre vonatkozóan, akkor úgy tekinthető, hogy teljesítette az őt terhelő bizonyítási kötelezettséget. ( 40 )

94.

A jelen ügyben úgy tűnik számomra, hogy az ESZT több tényállási elemre (különösen az észrevételek szűrésének, kategorizálásának és összesítésének a vitatott határozatban és ítéletben bemutatott folyamataira) hivatkozott annak igazolására, hogy az őt terhelő elszámoltathatóság elvének megfelelően a Deloitte számára lehetetlen volt az érintettek azonosítása.

95.

A Törvényszék előtt az európai adatvédelmi biztos e tekintetben az ESZT és nem a Deloitte szemszögét jelentő – és ezért a Deloitte‑nak továbbított észrevételeket „személyes adatnak” minősítő – elvi álláspontot képviselt.

96.

Ha a jelen jogalap másodlagos vizsgálata céljából elfogadjuk, hogy a Deloitte szemszöge releváns volt a jelen ügyben, ( 41 ) akkor úgy tekinthető, hogy – amint azt a Törvényszék megállapította – az európai adatvédelmi biztosnak kellett bizonyítania, ( 42 ) hogy az ESZT által a jelen ügyben végrehajtott álnevesítési eljárás milyen – jogi vagy technikai – okból nem volt elégséges, és miért kellett annak megállapítására jutni, hogy a Deloitte személyes adatokat kezelt.

97.

Ezért úgy vélem, hogy az adott esetben a megtámadott ítéletet e második jogalap tekintetében helyben kell hagyni.

VII.

A Törvényszékhez benyújtott keresetről

98.

Az Európai Unió Bírósága alapokmánya 61. cikke első bekezdésének értelmében, ha a fellebbezés megalapozott, a Bíróság a Törvényszék határozatát hatályon kívül helyezi. Ha a per állása megengedi, az ügyet maga a Bíróság is érdemben eldöntheti, illetve határozathozatalra visszautalhatja a Törvényszékhez.

99.

Az ESZT által a Törvényszék előtt a vitatott határozattal szemben felhozott első jogalap a 2018/1725 rendelet 3. cikke 1. pontjának megsértésén alapul. A jelen indítvány 63–82. pontjából következik, hogy mivel az ESZT megsértette a 2018/1725 rendelet 15. cikke (1) bekezdésének d) pontja alapján őt terhelő tájékoztatási kötelezettséget, a vitatott határozatot álláspontom szerint helyben kell hagyni.

100.

A vitatott határozat elfogadásához vezető eljárás keretében a megfelelő ügyintézéshez való jog európai adatvédelmi biztos általi megsértésén alapuló második jogalap tekintetében azonban úgy tűnik számomra, hogy a per állása nem engedi meg az érdemi döntést.

101.

Az ESZT ugyanis többek között azt állítja, hogy a vitatott határozat meghozatalát megelőző közigazgatási eljárás során az európai adatvédelmi biztos megsértette az iratbetekintéshez való jogát, a meghallgatáshoz való jogát és a fegyveregyenlőség elvét azzal, hogy egyrészt megtagadta tőle az iratbetekintést, és másrészt nem közölte vele a panaszosok észrevételeit vagy azok tartalmát.

102.

Márpedig a Törvényszék úgy ítélte meg, hogy mivel az első jogalapnak helyt kellett adni, az előtte felhozott második jogalapot nem kellett megvizsgálni. Következésképpen e jogalap tekintetében, amely többek között tények értékelését teszi szükségessé, a per állása nem engedi meg az érdemi döntést. Ezért úgy tűnik számomra, hogy az ügyet e tekintetben határozathozatalra a Törvényszékhez kell visszautalni, és a költségekről jelenleg nem kell határozni.

VIII.

Végkövetkeztetés

103.

A fenti megfontolások alapján azt javaslom, hogy a Bíróság:

–

helyezze hatályon kívül az Európai Unió Törvényszékének 2023. április 26‑i ESZT kontra európai adatvédelmi biztos ítéletét (T‑557/20, EU:T:2023:219);

–

utalja vissza az ügyet a Törvényszék elé az előtte felhozott második jogalapról való határozathozatal céljából;

–

a költségekről jelenleg ne határozzon.