1

Az EUMSZ 263., EUMSZ 265. és EUMSZ 268. cikken alapuló keresetében a felperes Thomas Bindl azt kéri a Törvényszéktől, hogy először is semmisítse meg személyes adatainak olyan harmadik országokba történő továbbítását, ahol nem biztosítanak megfelelő szintű védelmet, másodszor állapítsa meg, hogy az Európai Bizottság jogellenesen járt el, amikor nem foglalt állást a felperes 2022. április 1‑jei tájékoztatáskérésével kapcsolatban, harmadszor pedig térítsék meg azon nem vagyoni kárát, amelyet egyrészt az információkhoz való hozzáféréshez fűződő jogának megsértésével, másrészt pedig a személyes adatainak továbbításával okoztak neki.

2

A felperes német állampolgár, aki érdeklődik az informatika és a személyes adatok védelme iránt.

3

A Bizottság tájékoztatási főigazgatósága a személyesadat‑kezelő az Európa jövőjéről szóló konferencia „https://futureu.europa.eu” címen található honlapján (a továbbiakban: a CAE internetes oldala).

4

A felperes 2021‑ben és 2022‑ben többször is megtekintette a CAE internetes oldalát. Többek között 2022. március 30‑án is megtekintette ezt az internetes oldalt, és a Facebook‑fiókja segítségével regisztrált az oldalon megjelenő „GoGreen” rendezvényre, majd 2022. június 8‑án újból megtekintette az említett internetes oldalt.

5

2021. november 9‑i elektronikus levelével (a továbbiakban: 2021. november 9‑i tájékoztatáskérés) a felperes kérte a Bizottság adatvédelmi tisztviselőjét, hogy adjon részére tájékoztatást a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23‑i (EU) 2018/1725 európai parlamenti és a tanácsi rendelet (HL 2018. L 295., 39. o.; helyesbítés: HL 2019. L 290., 42. o.) alapján.

6

Az említett elektronikus levélben a felperes először is jelezte, hogy amikor felkereste a CAE internetes oldalát, azt észlelte, hogy harmadik fél szolgáltatókkal – például az Amazon Web Services amerikai vállalkozással – fennálló kapcsolatot aktivált; másodszor kérte annak közlését, hogy milyen őt érintő személyes adatokat kezeltek vagy tároltak, és adott esetben továbbítottak harmadik személyeknek; harmadszor információkat kért az ilyen továbbítás jogalapjáról, valamint a nem megfelelő szintű védelmet biztosító harmadik országokba történő adattovábbításra vonatkozó esetleges biztosítékokról.

7

2021. december 3‑i elektronikus levelében a Bizottság tájékoztatási főigazgatósága egy elektronikus linket küldött a felperesnek, és tájékoztatta arról, hogy ezen a linken közvetlenül le tudja hívni a CAE internetes oldalának megtekintése során kezelt személyes adatok listáját. Ezenkívül jelezte a felperesnek egyrészt, hogy személyes adatait nem továbbították Európai Unión kívüli címzetteknek, másrészt pedig, hogy személyes adatait a CAE internetes oldalán tárolják és kezelik, amely a luxembourgi (Luxemburg) székhellyel rendelkező Amazon Web Services EMEA SARL (a továbbiakban: AWS EMEA) által kezelt tartalomszolgáltató hálózatot használja. Ezenfelül pontosította, hogy a Bizottság és az AWS EMEA között létrejött szerződéses megállapodások keretében az adatkezelő nem vett igénybe olyan szolgáltatásokat, amelyek szükségessé tennék az adatoknak az AWS EMEA egyesült államokbeli partnerei részére történő továbbítását, és az adatoknak az Unió területén kívüli továbbítása főszabály szerint nem engedélyezett.

8

[A 2025. június 3‑i végzéssel kijavítva] 2022. április 1‑jei elektronikus levelében a felperes a 2018/1725 rendelet alapján tájékoztatást kért a Bizottságtól adatai kezeléséről (a továbbiakban: 2022. április 1‑jei tájékoztatáskérés). Először is megjegyezte, hogy amikor felkereste a CAE internetes oldalát, harmadik fél szolgáltatókkal, például az AWS EMEA‑val való kapcsolat jött létre, a Meta Platforms vállalkozással pedig akkor jött létre kapcsolat, amikor a Facebook bejelentkezési adatait az internetes oldalon való regisztrációhoz használta. Másodszor azt kérte, hogy közöljék vele, milyen személyes adatokat kezeltek vagy tároltak, és adott esetben továbbítottak harmadik személyeknek. Harmadszor tájékoztatást kért a továbbítás jogalapjáról, valamint a nem megfelelő szintű védelmet biztosító harmadik országokba történő adattovábbításra vonatkozó esetleges biztosítékok fennállásáról. Negyedszer másolatot kért az adatairól, ideértve a Facebookhoz hasonló harmadik felek által tárolt vagy kezelt adatokat is.

9

2022. április 22‑i és 2022. május 2‑i elektronikus levelében a felperes kitartott amellett, hogy a Bizottság adjon választ a 2022. április 1‑jei tájékoztatáskérésre.

10

A Törvényszék Hivatalához 2022. június 9‑én benyújtott keresetlevelével a felperes előterjesztette a jelen keresetet.

11

2022. június 30‑i elektronikus levelében a Bizottság arról tájékoztatta a felperest, hogy véleménye szerint a 2022. április 1‑jei tájékoztatáskérés gyakorlatilag megegyezik a 2021. november 9‑i tájékoztatáskéréssel, és hogy arra már a 2021. december 3‑i elektronikus levelében válaszolt.

12

Az Amazon Web Services az Egyesült Államokban székhellyel rendelkező vállalkozás, az AWS EMEA pedig luxemburgi székhelyű vállalkozás. E két vállalkozás az Amazon.com, Inc. nevű, amerikai jog szerinti vállalkozás leányvállalata.

13

A felperes azt kéri, hogy a Törvényszék:

14

A Bizottság azt kéri, hogy a Törvényszék:

15

Az EUSZ 16. cikk (1) bekezdése és az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 8. cikkének (1) bekezdése kimondja, hogy mindenkinek joga van a rá vonatkozó személyes adatok védelméhez.

16

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.) megállapítja a természetes személyeknek a személyes adatok kezelésével kapcsolatos védelmére, valamint a személyes adatok szabad áramlásának biztosítására vonatkozó különös szabályokat (a 2016/679 rendelet 1. cikkének (1) bekezdése).

17

A 2018/1725 rendelet a személyes adatok uniós intézmények és szervek által történő kezelése tekintetében a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére vonatkozó szabályokat, valamint a személyes adatok ezen intézmények és szervek közötti, vagy az Unión belül letelepedett más címzettekhez irányuló szabad áramlására vonatkozó szabályokat állapít meg (a 2016/679 rendelet 1. cikkének (1) bekezdése). Ez a rendelet a természetes személyek alapvető jogait és szabadságait és különösen a személyes adatok védelméhez való jogukat véd (a 2016/679 rendelet 1. cikkének (2) bekezdése). E rendeletet kell alkalmazni a személyes adatok valamennyi uniós intézmény és szerv általi kezelésére (a 2016/679 rendelet 2. cikkének (1) bekezdése).

18

A 2018/1725 rendelet (5) preambulumbekezdése emlékeztet arra, hogy a Bíróság ítélkezési gyakorlatával összhangban minden olyan esetben, amikor a 2018/1725 rendelet rendelkezései ugyanazokat az elveket követik, mint a 2016/679 rendelet rendelkezései, a két rendelet rendelkezéseit egységesen kell értelmezni, különösen mivel e rendelet struktúrája az (EU) 2016/679 rendelet struktúrájával egyenértékűnek tekintendő. E tekintetben a 2016/679 rendelet 2. cikkének (3) bekezdésében és a 2018/1725 rendelet 99. cikkében foglalt rendelkezések együttes olvasatából az is kitűnik, hogy ez utóbbi rendeletet a 2016/679 rendeletben foglalt elvekhez és szabályokhoz hozzá kell igazítani

19

Első kereseti kérelmével a felperes a személyes adatainak a nem megfelelő szintű védelmet biztosító harmadik országokba 2022. március 30‑án és 2022. június 8‑án történt továbbításának (a továbbiakban: vitatott adattovábbítások) megsemmisítését kéri.

20

Ellenkérelmében a Bizottság e megsemmisítés iránti kérelem elfogadhatatlanságára hivatkozik azzal az indokkal, hogy az nem az EUMSZ 263. cikk értelmében vett megtámadható aktus ellen, hanem a Bizottság eltiltására irányul.

21

A felperes azt állítja, hogy a megsemmisítés iránti kérelem elfogadható, és arra hivatkozik, hogy a vitatott adattovábbítások a jogi helyzetét érintő, kötelező joghatásokat kiváltó aktusok, amelyek sértik a Charta 8. cikkében biztosított, a személyes adatok védelméhez fűződő alapvető jogát. Bármely más értelmezés összeegyeztethetetlen lenne a hatékony bírói jogvédelemhez fűződő alapvető joggal, jóllehet a 2018/1725 rendelet 64. cikkének (1) bekezdése kifejezetten elismeri ezt a jogot.

22

Amint arra a 2018/1725 rendelet 64. cikkének (1) bekezdése és (79) preambulumbekezdése emlékeztet, minden érintett jogosult arra, hogy a Szerződésekkel összhangban hatékony bírósági jogorvoslattal éljen az Európai Unió Bírósága előtt, amennyiben úgy ítéli meg, hogy az említett rendelet értelmében őt megillető jogokat megsértették.

23

Ebből következően a 2018/1725 rendelettel összefüggésben minden érintett jogosult többek között arra, hogy az EUMSZ 263. cikkben meghatározott feltételek mellett megsemmisítés iránti keresetet nyújtson be.

24

Az állandó ítélkezési gyakorlat szerint az EUMSZ 263. cikk szerinti megsemmisítés iránti keresetnek az intézmények által hozott valamennyi olyan jogi aktus vonatkozásában – függetlenül azok formájától – nyitva kell állnia, amelyek olyan kötelező joghatásokat váltanak ki, amelyek a jogi helyzetét jelentősen módosítva érinthetik a felperes érdekeit (lásd: 2017. január 19‑iBizottság kontra Total és Elf Aquitaine ítélet, C‑351/15 P, EU:C:2017:27, 35. és 36. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2020. július 16‑iInclusion Alliance for Europe kontra Bizottság ítélet, C‑378/16 P, EU:C:2020:575, 71. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

25

Annak megállapításához, hogy a megtámadott jogi aktus kivált‑e kötelező joghatásokat, a Bíróság ítélkezési gyakorlatának megfelelően az aktus lényegét kell figyelembe venni, és az említett hatásokat olyan objektív kritériumok alapján kell megítélni, mint az említett aktus tartalma, adott esetben figyelembe véve az utóbbi aktus elfogadásának körülményeit, valamint az elfogadó intézmény, szerv vagy hivatal jogkörét (lásd: 2021. november 23‑iFBF‑ítélet (C‑911/19, EU:C:2006:599, 38. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

26

A jelen ügyben a felperes a vitatott adattovábbítások megsemmisítését kéri, amelyekre szerinte három alkalommal került sor. Először is, a CAE internetes oldalának 2022. március 30‑i megtekintése során (a továbbiakban: a CAE internetes oldalának 2022. március 30‑i megtekintése során történt, vitatott adattovábbítás) a felperes személyes adatait, különösen az IP‑címét, valamint a böngészőjére és a termináljára vonatkozó információkat továbbították az amerikai Amazon Web Services vállalkozásnak, mint az Amazon CloudFront elnevezésű, az említett internetes oldal által használt tartalomszolgáltató hálózat üzemeltetőjének.

27

Másodszor, a felperes által 2022. március 30‑án a Facebook‑fiókja segítségével a Bizottság EU Login felhasználó‑hitelesítési szolgáltatáshoz annak érdekében létrehozott csatlakozás során, hogy a CAE internetes oldalán feliratkozzon a „GoGreen” rendezvényre (a továbbiakban: az EU Loginhoz való 2022. március 30‑i csatlakozás során történt, vitatott adattovábbítás), a felperes személyes adatait, különösen az IP‑címét, valamint a böngészőjére és a termináljára vonatkozó információkat továbbították az amerikai Meta Platforms, Inc. vállalkozásnak.

28

Harmadszor, a CAE internetes oldalának a felperes által 2022. június 8‑án történt megtekintése (a továbbiakban: a CAE internetes oldalának 2022. június 8‑i megtekintései során történt, vitatott adattovábbítás) a felperes személyes adatait továbbították az Amazon CloudFront Newarkban (New Jersey, Egyesült Államok) található szerverére.

29

Egyébiránt a felperes a keresetlevelében megemlíti, hogy 2021. november 9‑én felkereste a CAE internetes oldalát, és ekkor a Facebook‑fiókja segítségével regisztrálta magát a CAE internetes oldalán. Nem hivatkozik azonban egyetlen olyan konkrét elemre sem, amely lehetővé tenné annak megállapítását, hogy a vitatott adattovábbítások megsemmisítése iránti kérelme ezekre a körülményekre vonatkozik. Kizárólag a fenti 26–28. pontban említett vitatott adattovábbításokat kell tehát figyelembe venni.

30

Meg kell jegyezni, hogy a felperes által megsemmisíteni kért, a fenti 26–28. pontban említett, vitatott adattovábbítások – a felperes szerint – olyan informatikai adatmigrálási műveleteknek felelnek meg, amelyeket a Bizottság informatikai rendszerei, illetve szolgáltatásai, különösen a CAE internetes oldala indított az Unió területén kívül letelepedett harmadik vállalkozások szervereire.

31

Igaz, hogy a személyes adatoknak uniós intézményekből vagy szervekből harmadik országba való továbbítása önmagában véve a 2018/1725 rendelet GDPR 3. cikkének 2. pontja értelmében vett, az Unió területén végzett személyesadat‑kezelésnek minősül, amelyre e rendelet a 2. cikkének (5) bekezdése értelmében alkalmazandó (lásd analógia útján: 2020. július 16‑iFacebook Ireland és Schrems ítélet, C‑311/18, a továbbiakban: Schrems II ítélet, EU:C:2020:559, 83. pont).

32

Mindazonáltal nem minden olyan művelet minősül a fenti 24. pontban ismertetett ítélkezési gyakorlat által értelmezett EUMSZ 263. cikk értelmében vett megtámadható jogi aktusnak, amely a 2018/1725 rendelet 3. cikkének 3. pontja értelmében személyes adatok továbbítását eredményezheti.

33

A jelen ügyben, még ha feltételezzük is, hogy a vitatott adattovábbítások bizonyítást nyernek, meg kell állapítani, hogy azok konkrét cselekményeknek, nem pedig jogi aktusoknak minősülnek. A keresetlevélben ismertetett, vitatott adattovábbítások ugyanis az adatoknak az egyik terminálról, illetve szerverről a másik terminálra, illetve szerverre történő migrálására irányuló olyan informatikai műveletek, amelyek a CAE internetes oldalának vagy az EU Login szolgáltatásnak a megtekintése során a felperes és a Bizottság informatikai rendszerei vagy szolgáltatásai közötti interakciókból erednek. Ezzel szemben a vitatott adattovábbítások nem minősülnek a Bizottság kötelező joghatásokat kiváltó aktusainak, azaz nem valamely jogi helyzet szabályozására irányulnak, és – amint az magából a jellegükből is következik – a Bizottságnak egyáltalán nem állt szándékában ilyen hatással felruházni őket.

34

Következésképpen a vitatott adattovábbítások nem válthatnak ki a fenti 24. pontban ismertetett ítélkezési gyakorlatnak megfelelően olyan kötelező joghatásokat, amelyek a jogi helyzetét jelentősen módosítva érinthetik a felperes érdekeit. A vitatott adattovábbítások tehát nem minősülnek az EUMSZ 263. cikk értelmében vett megtámadható jogi aktusnak.

35

Következésképpen a felperes megsemmisítésre irányuló kereseti kérelmeit mint elfogadhatatlanokat el kell utasítani.

36

Második kereseti kérelmével a felperes annak megállapítását kéri a Törvényszéktől, hogy a Bizottság jogellenesen járt el, amikor nem foglalt állást a 2022. április 1‑jei tájékoztatáskéréssel kapcsolatban.

37

Ellenkérelmében a Bizottság az EUMSZ 265. cikk második bekezdése értelmében vett eljárásra való felkérés hiánya miatt az intézményi mulasztás megállapítása iránti kérelem elfogadhatatlanságára hivatkozik. Másodlagosan a Bizottság azzal érvel, hogy a felperesnek a 2022. június 30‑i elektronikus levelében adott válaszára tekintettel az intézményi mulasztás megállapítása iránti kérelemről már nem szükséges határozni.

38

A felperes lényegében azt állítja, hogy a Bizottság továbbra is köteles válaszolni a 2022. április 1‑jei tájékoztatáskérésre, mivel az általa a 2022. június 30‑i elektronikus levelében szolgáltatott információk nem voltak elegendőek és pontosak.

39

Az állandó ítélkezési gyakorlat szerint az EUMSZ 265. cikkben előírt jogorvoslati lehetőség azon az elgondoláson alapul, hogy az eljárás alá vont intézmény jogellenes tétlensége lehetővé teszi az uniós bírósághoz fordulást azért, hogy a Bíróság az eljárás elmulasztását a Szerződéssel ellentétesnek nyilvánítsa, ha az érintett intézmény nem orvosolta e mulasztást (1988. július 12‑iParlament kontra Tanács ítélet, 377/87, EU:C:1988:387, 9. pont; lásd még: 2015. december 16‑iSvédország kontra Bizottság ítélet, T‑521/14, nem tették közzé, EU:T:2015:976, 33. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

40

Abban az esetben, ha azon aktust, amelynek kibocsátása a jogvita tárgyát képezi, a kereset előterjesztését követően, de az ítélet kihirdetését megelőzően fogadták el, az uniós bíróságnak az eredeti mulasztás jogellenességét megállapító döntése már nem vezethet az EUMSZ 266. cikkben előírt következményekhez. Ebből következően ilyen esetben a kereset okafogyottá vált, így arról már nem szükséges határozni (1988. július 12‑iParlament kontra Tanács ítélet, 377/87, EU:C:1988:387, 10. és 11. pont; lásd még: 2000. december 13‑iSodima kontra Bizottság végzés, C‑44/00 P, EU:C:2000:686, 83. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

41

A jelen ügyben meg kell állapítani, hogy a Bizottság a 2022. április 1‑jei tájékoztatáskérésre a 2022. június 30‑i elektronikus levelében válaszolt (lásd a fenti 11. pontot). A Bizottság tehát a jelen kereset benyújtását követően megszüntette a felperes által a keresetben hivatkozott mulasztást. A második kereseti kérelem tehát, amely a 2022. április 1‑jei tájékoztatáskérésre adott válasz hiánya miatt a Bizottság mulasztásának az EUMSZ 265. cikk alapján történő megállapítására irányul, okafogyottá vált.

42

E tekintetben nem releváns az, hogy a Bizottság 2022. június 30‑i elektronikus levelének tartalma nem felel meg a felperes által kívánt válasznak. Az a körülmény ugyanis, hogy ez az intézményi állásfoglalás a felperes számára nem kielégítő, e tekintetben irreleváns, mivel az EUMSZ 265. cikk a döntéshozatal, illetve az állásfoglalás elmulasztásában megjelenő intézményi mulasztást célozza, nem pedig olyan aktus elfogadását, amely eltér attól, amelyet ez a fél kívánt vagy szükségesnek tartott volna (lásd: 2017. április 6‑iBrancheforeningen for Regulerkraft i Danmark kontra Bizottság ítélet, T‑203/16, nem tették közzé, EU:T:2017:279, 22. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

43

Ebből következően a felperes intézményi mulasztás megállapítása iránti kereseti kérelmeiről már nem szükséges határozni, és nem szükséges határozni e kérelmeknek a Bizottság által hivatkozott elfogadhatatlanságáról sem.

44

Harmadik kereseti kérelmével a felperes két kártérítési kérelmet terjeszt elő. Először is 800 euró megfizetését kéri az őt amiatt ért nem vagyoni kár megtérítéseként, hogy a Bizottság nem tartotta tiszteletben az információkhoz való hozzáféréshez fűződő jogát, megsértve ezzel a 2018/1725 rendelet 14. cikkének (3) és (4) bekezdését, valamint 17. cikkének (1) és (2) bekezdését, továbbá az említett rendelet 4. cikke (1) bekezdésének a) pontjában előírt átláthatóság elvét. Másodszor 400 euró megfizetését kéri az őt a 2018/172 rendelet 46. cikkének, 48. cikke (1) bekezdésének és (2) bekezdése b) pontjának megsértésével történt, vitatott adattovábbítások miatt ért nem vagyoni kár megtérítéseként.

45

A Bizottság a kártérítés iránti kérelmek elutasítását kéri.

46

A 2018/1725 rendelet 65. cikke úgy rendelkezik, hogy minden olyan személy, aki a rendelet megsértésének következményeként vagyoni vagy nem vagyoni kárt szenved, az elszenvedett kárért „a Szerződésekben foglalt feltételek” szerint kártérítésre jogosult az uniós intézménytől vagy szervtől.

47

A 2018/1725 rendelet e 65. cikkét úgy kell értelmezni, hogy az előírja, hogy az uniós intézménytől vagy szervtől az e rendelet megsértése miatt elszenvedett kár megtérítéséhez való jog az EUMSZ 340. cikk második bekezdésében foglalt feltételektől függ, amely rendelkezés értelmében az Unió a tagállamok jogában közös általános elveknek megfelelően megtéríti az intézményei vagy alkalmazottai által feladataik teljesítése során okozott károkat.

48

Az állandó ítélkezési gyakorlat szerint az Unió felelősségének megállapításához több feltétel teljesülése szükséges: az intézménynek felrótt magatartás jogellenessége, a kár tényleges fennállása, valamint a magatartás és a hivatkozott kár közötti okozati összefüggés (lásd ebben az értelemben: 2000. július 4‑iBergaderm és Goupil kontra Bizottság ítélet, C‑352/98 P, EU:C:2000:361, 39–42. pont; 2021. október 28‑iVialto Consulting kontra Bizottság ítélet, C‑650/19 P, EU:C:2021:879, 138. pont).

49

E három feltétel kumulatív jellege azt jelenti, hogy ha valamelyik feltétel nem teljesül, a kártérítési keresetet teljes egészében el kell utasítani, anélkül hogy szükség lenne a többi feltétel vizsgálatára (1999. szeptember 9‑iLucaccioni kontra Bizottság ítélet, C‑257/98 P, EU:C:1999:402, 14. és 63. pont; lásd még: 2021. február 25‑iDalli kontra Bizottság ítélet, C‑615/19 P, EU:C:2021:133, 42. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

50

Az első feltétellel kapcsolatban az ítélkezési gyakorlat olyan jogszabály kellően súlyos megsértését követeli meg, amely jogot állapít meg a magánszemélyek javára (lásd: 2000. július 4‑iBergaderm és Goupil kontra Bizottság ítélet, C‑352/98 P, EU:C:2000:361, 42. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

51

Az uniós jog kellően súlyos megsértésére vonatkozó követelmény célja a szóban forgó jogellenes jogi aktus jellegétől függetlenül annak elkerülése, hogy az érintett személyek által állítólagosan elszenvedett károk viselésének kockázata akadályozza a kérdéses intézményt hatáskörének – akár a normatív jellegű, illetve gazdaságpolitikai döntéseket igénylő tevékenységének, akár közigazgatási hatáskörének keretében – a közérdek érdekében való teljes körű gyakorlásában, anélkül azonban, hogy a nyilvánvaló és nem kimenthető mulasztások következményeinek terhe magánszemélyekre hárulna (lásd ebben az értelemben: 2018. december 14‑iEast West Consulting kontra Bizottság ítélet, T‑298/16, EU:T:2018:967, 124. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

52

A döntő tényező annak megállapításához, hogy a jogsértés kellően súlyos‑e, az, hogy az érintett uniós intézmény vagy szerv a mérlegelési jogkörének korlátait nyilvánvalóan és súlyosan túllépte‑e. Amennyiben ez az intézmény, illetve szerv csupán jelentősen korlátozott mérlegelési mozgástérrel rendelkezik, sőt nem is rendelkezik mérlegelési mozgástérrel, már az uniós jog egyszerű megsértése is elegendő lehet a kellően súlyos jogsértés megtörténtének megállapításához (lásd: 2002. december 10‑iBizottság kontra Camar és Tico ítélet, C‑312/00 P, EU:C:2002:736, 54. pont, valamint az ott hivatkozott ítélkezési gyakorlat). Mindazonáltal ez az ítélkezési gyakorlat nem teremt semmiféle automatikus összefüggést egyrészt az érintett intézmény mérlegelési jogkörének hiánya, másrészt pedig az uniós jogot kellően súlyosan sértő jogsértés minősítése között (2010. március 3‑iArtegodan kontra Bizottság ítélet, T‑429/05, EU:T:2010:60, 59. pont). Az érintett intézmény mérlegelési jogkörének terjedelme ugyan meghatározó jellegű, ám nem kizárólagos kritérium. Ezzel kapcsolatosan a Bíróság több ízben is emlékeztetett arra, hogy az általa az EUMSZ 340. cikk második bekezdése alapján kialakított rendszer figyelembe veszi ezen kívül különösen a megoldandó helyzetek összetettségét, és a jogszabályok alkalmazásának, illetve értelmezésének nehézségeit (lásd: 2011. november 23‑iSison kontra Tanács ítélet, T‑341/07, EU:T:2011:687, 36. és 37. pont, valamint az ott hivatkozott ítélkezési gyakorlat), illetve általánosságban azon területet, feltételeket és hátteret, amelyek között az érintett uniós intézmény vagy szerv a megsértett szabály betartására köteles (lásd: 2017. április 4‑iMédiateur kontra Staelen ítélet, C‑337/15 P, EU:C:2017:256, 40. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

53

Ebből következően az olyan szabálytalanság puszta megállapítása alapján, amelyet a szokásosan elővigyázatos és gondos közigazgatási szerv hasonló körülmények között nem követett volna el, megállapítható az Unió felelőssége. Ilyen esetben az uniós bíróság feladata, hogy – miután megállapította, hogy az érintett intézmény rendelkezik‑e mérlegelési mozgástérrel – figyelembe vegye a megoldandó helyzetek összetettségét, és a szövegek alkalmazásának, illetve értelmezésének nehézségeit, a megsértett jogszabály egyértelműségét és pontosságát, valamint azt, hogy a téves jogalkalmazás szándékos, illetve nem kimenthető volt‑e (2010. március 3‑iArtegodan kontra Bizottság ítélet, T‑429/05, EU:T:2010:60, 62. pont).

54

Ami a kár ténylegességére vonatkozó feltételt illeti, a kárnak ténylegesnek és biztosnak kell lennie, amit a felperesnek kell bizonyítania (lásd: 2006. november 9‑iAgraz és társai kontra Bizottság ítélet, C‑243/05 P, EU:C:2006:708, 27. pont, valamint az ott hivatkozott ítélkezési gyakorlat). Ezzel szemben a pusztán feltételezett és meg nem határozott kár nem teremt jogot a kártérítésre (2011. október 26‑iDufour kontra EKB ítélet, T‑436/09, EU:T:2011:634, 192. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

55

Az okozati összefüggésre irányuló feltétel pedig az uniós intézmények magatartása és a kár közötti, kellően közvetlen okozati összefüggés fennállására vonatkozik, amely összefüggést a felperesnek kell bizonyítania oly módon, hogy a kifogásolt magatartás kell, hogy legyen a kár meghatározó oka (lásd: 2018. december 13‑iEurópai Unió kontra ASPLA és Armando Álvarez ítélet, C‑174/17 P és C‑222/17 P, EU:C:2018:1015, 23. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

56

Egyebekben emlékeztetni kell arra, hogy az állandó ítélkezési gyakorlat szerint az EUMSZ 340. cikk második bekezdésén alapuló kártérítési kereset önálló jogorvoslati lehetőségként került létrehozásra, a jogorvoslati rendszerben külön funkciót tölt be, és sajátos tárgyára figyelemmel meghatározott feltételekkel vehető igénybe, így a megsemmisítés iránti kérelem elfogadhatatlannak nyilvánítása nem vonja maga után automatikusan a kártérítési kérelem elfogadhatatlanságát (lásd: 2019. szeptember 5‑iEurópai Unió kontra Guardian Europe és Guardian Europe kontra Európai Unió ítélet, C‑447/17 P és C‑479/17 P, EU:C:2019:672, 49. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

57

Ezért a megsemmisítés iránti és az intézményi mulasztás megállapítása iránti kérelmeknek a fenti 35. és 43. pont szerinti elfogadhatatlanként történő elutasítása nem vonja következésképpen maga után a fenti 44. pontban említett kártérítési kérelmek elfogadhatatlanként történő elutasítását.

58

E megfontolásokra tekintettel kell megvizsgálni a felperes által a kártérítési kérelmeiben hivatkozott kifogásokat.

59

Első kártérítési kérelmével a felperes azt kéri, hogy a Törvényszék kötelezze a Bizottságot 800 euró megfizetésére az információkhoz való hozzáféréshez fűződő jogának megsértése miatt őt ért nem vagyoni kár megtérítéseként.

60

A felperes mindenekelőtt azt rója fel a Bizottságnak, hogy nem válaszolt az előírt határidőn belül a 2022. április 1‑jei tájékoztatáskérésre, és nem közölte vele a válasz elmaradásának okát, megsértve ezzel a 2018/1725 rendelet 14. cikkének (3) és (4) bekezdését, 17. cikkének (1) és (2) bekezdését, valamint a rendelet 4. cikke (1) bekezdésének a) pontjában foglalt átláthatóság elvét. Ezenkívül a Bizottság nem tartotta tiszteletben a 2018/1725 rendelet 17. cikke (1) bekezdésének c) pontját és (2) bekezdését, mivel a CAE internetes oldalán szereplő adatvédelmi nyilatkozat nem tartalmaz a személyes adatok harmadik országokba történő továbbítására és az ehhez szükséges, az említett rendelet 48. cikkében előírt megfelelő garanciákra vonatkozó információkat. Ezenfelül a 2021. december 3‑i elektronikus levélben a Bizottság téves információkat szolgáltatott, amennyiben tagadta, hogy a felperes személyes adatait Egyesült Államokban található címzettek részére továbbították.

61

Ezt követően a felperes azt állítja, hogy a Bizottság jogellenes tétlensége megakadályozta őt abban, hogy ellenőrizze személyes adatainak kezelését, ami a 2018/1725 rendelet (46) preambulumbekezdése értelmében nem vagyoni kárnak minősül. Végül arra hivatkozik, hogy ezt a 800 euróra értékelt nem vagyoni kárt közvetlenül a Bizottság vétkes magatartása okozta.

62

A Bizottság vitatja ezeket az érveket, és lényegében arra hivatkozik, hogy a jelen ügyben a szerződésen kívüli felelősség megállapításának egyik feltétele sem teljesül.

63

Először is a felrótt magatartás jogellenességére vonatkozó feltételt illetően meg kell vizsgálni, hogy a felperes hivatkozott‑e a magánszemélyek számára jogokat keletkeztető jogszabályok megsértésére.

64

E tekintetben meg kell jegyezni, hogy a 2018/1725 rendelet 17. cikke (1) bekezdésének c) pontja megállapítja az érintett hozzáférési jogát az azon címzettekre vonatkozó információkhoz, akikkel, illetve amelyekkel a személyes adatait közölték, ideértve különösen a harmadik országbeli címzetteket. E rendelkezés tehát konkretizálja a 2018/1725 rendelet 4. cikke (1) bekezdésének a) pontjában kimondott azon elvet, amely szerint a személyes adatok kezelésével összefüggő tájékoztatásnak, illetve kommunikációnak könnyen hozzáférhetőnek kell lennie.

65

Ezenkívül a 2018/1725 rendelet 14. cikkének (3) bekezdése egy hónapos határidőt állapít meg a személyesadat‑kezelő számára a tájékoztatáskérés megválaszolására. A rendelet 14. cikkének (4) bekezdése továbbá arra kötelezi a személyesadat‑kezelőt, hogy amennyiben úgy dönt, hogy nem tesz eleget a kérésnek, egy hónapon belül tájékoztassa a kérelmezőt az intézkedés elmaradásának okairól, valamint arról, hogy a kérelmező panaszt nyújthat be az európai adatvédelmi biztoshoz, és élhet bírósági jogorvoslati jogával. E rendelkezések tehát olyan közigazgatási eljárási szabályok, amelyek elősegítik, konkretizálják és kiigazítják az érintett személyes adataira vonatkozó információkhoz való hozzáféréshez fűződő jog végrehajtását. Ezek a rendelkezések továbbá hozzájárulnak a Charta 41. cikke alapján mindenki számára biztosított azon jog érvényesítéséhez, hogy ügyeit az Unió intézményei és szervei észszerű határidőn belül intézzék.

66

Következésképpen a 2018/1725 rendelet 4. cikke (1) bekezdése a) pontjának, 14. cikke (3) és (4) bekezdésének, valamint 17. cikke (1) bekezdése c) pontjának együttesen értelmezett rendelkezései a fenti 50. pontban említett ítélkezési gyakorlat értelmében vett, magánszemélyek számára jogokat keletkeztető jogszabályoknak minősülnek.

67

Ezt követően meg kell vizsgálni, hogy a jelen ügyben megállapítható‑e az, hogy a Bizottság megsértette ezeket a rendelkezéseket.

68

Egyrészt a felperes azt állítja, hogy a Bizottság megsértette a 2018/1725 rendelet 17. cikke (1) bekezdésének c) pontját és (2) bekezdését, mivel a CAE internetes oldalán szereplő adatvédelmi nyilatkozat nem tartalmaz információkat a harmadik országokbeli címzettek részére történő személyesadat‑továbbításról, az ezzel kapcsolatos esetleges megfelelő biztosítékokról, vagy a szerződő feleknek ezen adatok címzettjeiként való azonosításáról.

69

Amint az a fenti 64. pontban is szerepel, a 2018/1725 rendelet 17. cikke (1) bekezdésének c) pontja és (2) bekezdése előírja, hogy az érintettnek joga van többek között arra, hogy tájékoztatást kapjon a harmadik országbeli azon címzettekről, akikkel vagy amelyekkel a személyes adatokat közölték, valamint az adatok e címzettek részére történő továbbítására vonatkozó megfelelő biztosítékokról.

70

Ebből következik, hogy e rendelkezések előírják az érintett személy bizonyos információkhoz való hozzáféréshez fűződő jogát, de azt nem írják elő, hogy az említett információknak kötelezően szerepelniük kell egy adott dokumentumban, akár egy olyan adatvédelmi nyilatkozatban, mint amilyen a CAE internetes oldalán szerepel. Másként fogalmazva, e rendelkezésekből nem következik, hogy a szóban forgó információkat az említett nyilatkozatban hozzáférhetővé kell tenni. Mindemellett a felperes, mint minden érintett, megőrzi az információkhoz való hozzáféréshez fűződő, a 2018/1725 rendelet 17. cikke (1) bekezdésének c) pontjában és (2) bekezdésében meghatározott jogának gyakorlása révén az ilyen információkhoz való hozzáféréshez fűződő jogát, amely kérdés meghaladja a felperes által a Bizottságnak felrótt jogellenesség terjedelmét, amely az adatvédelmi nyilatkozat tartalmára korlátozódik (lásd a fenti 68. pontot).

71

Mindenesetre a jelen ügyben az említett, a keresetlevélhez csatolt adatvédelmi nyilatkozat szövegéből az következik, hogy az a címzettekre vagy a címzettek azon kategóriáira vonatkozó információkat tartalmaz, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják. Így többek között az említett nyilatkozat 7. pontja megemlíti, hogy az adatokhoz való hozzáférést „a [Bizottság] erre felhatalmazott személyi állománya és a szóban forgó adatkezelési művelet elvégzésével megbízott vállalkozások számára a »szükséges ismeret« elvének megfelelően” biztosítják. Ezenkívül a felperes arra alapított érve, hogy az említett nyilatkozat nem tartalmaz a harmadik országokbeli címzettek részére történő személyesadat‑továbbításra vonatkozó információkat, azon a feltételezésen alapul, hogy a CAE internetes oldalának megtekintése a felhasználók személyes adatainak harmadik országba történő továbbítását vonja maga után. Ugyanakkor a jelen kártérítési kérelem az információkhoz való hozzáféréshez fűződő jog megsértésén, nem pedig a személyes adatok harmadik országokba történő továbbítására vonatkozó rendelkezéseknek a megsértésén alapul, amely egyébként a második kártérítési kérelem alapját képezi.

72

Következésképpen a jelen ügyben nem bizonyított, hogy a Bizottság megsértette a 2018/1725 rendelet 17. cikke (1) bekezdésének c) pontját és (2) bekezdését a CAE internetes oldalán szereplő adatvédelmi nyilatkozatot illetően.

73

Másrészt a felperes azt rója fel a Bizottságnak, hogy nem válaszolt az előírt határidőn belül a 2022. április 1‑jei tájékoztatáskérésre, és nem közölte vele a válasz elmaradásának okát, megsértve ezzel a 2018/1725 rendelet 14. cikkének (3) és (4) bekezdését, 17. cikkének (1) és (2) bekezdését, valamint az átláthatóság elvét. Ráadásul a Bizottság a 2021. december 3‑i elektronikus levélben téves információkat közölt vele.

74

Először is meg kell jegyezni, hogy a felperes nem hoz fel konkrét érvet az átláthatóság elve megsértése mellett. Ennek az érvnek tehát nincs önálló tartalma a tájékoztatáskérés megválaszolására nyitva álló határidő be nem tartására és a határidő elmulasztása indokainak közlésére vonatkozó kötelezettség elmulasztására alapított kifogáshoz képest.

75

Ezenkívül a felperesnek a 2018/1725 rendelet 17. cikke (1) és (2) bekezdésének megsértésére, valamint arra alapított érvei, hogy a Bizottság a 2021. december 3‑i elektronikus levélben téves információkat közölt vele, azon a feltételezésen alapulnak, hogy a CAE internetes oldalának megtekintése a felhasználók személyes adatainak harmadik országba történő továbbításával jár együtt. Márpedig, amint az a fenti 71. pontban is szerepel, a jelen kártérítési kérelem az információkhoz való hozzáféréshez fűződő jog megsértésén, nem pedig a személyes adatok harmadik országokba történő továbbítására vonatkozó rendelkezéseknek a megsértésén alapul, amely a második kártérítési kérelem alapját képezi.

76

Következésképpen a jelen ügyben nem bizonyított, hogy a Bizottság megsértette a 2018/1725 rendelet 17. cikkének (1) és (2) bekezdését.

77

Ami a felperesnek a 2018/1725 rendelet 14. cikke (3) és (4) bekezdésének megsértésére alapított kifogását illeti, az iratokból kitűnik, hogy a Bizottság a 2021. november 9‑i tájékoztatáskérésre a 2018/1725 rendelet 14. cikkének (3) bekezdésében előírt egy hónapos határidőn belül válaszolt (lásd a fenti 5. és 7. pontot). Ami a 2022. április 1‑jei tájékoztatáskérést illeti, a Bizottság 2022. június 30‑i elektronikus levelében tájékoztatta a felperest, hogy véleménye szerint a 2022. április 1‑jei tájékoztatáskérés szinte teljesen megegyezik a 2021. november 9‑i tájékoztatáskéréssel, és ez utóbbira már a 2021. december 3‑i elektronikus levelében válaszolt (lásd a fenti 11. pontot).

78

Ebből következik, hogy a 2022. április 1‑jei tájékoztatáskérést illetően a Bizottság nem tartotta tiszteletben a 2018/1725 rendelet 14. cikkének (4) bekezdésében előírt egy hónapos határidőt (lásd a fenti 65. pontot).

79

A fenti 68–78. pontból következik, hogy a jelen ügyben a Bizottságnak felrótt jogellenesség kizárólag a 2018/1725 rendelet 14. cikkének (4) bekezdésében előírt határidő be nem tartása.

80

E körülmények között, függetlenül attól a kérdéstől, hogy az említett határidő Bizottság általi be nem tartása valamely jogszabály kellően súlyos megsértésének minősül‑e, először is meg kell vizsgálni, hogy a határidő be nem tartása okozott‑e a felperesnek a fenti 54. pontban ismertetett ítélkezési gyakorlat értelmében tényleges és biztos nem vagyoni kárt.

81

Az állítólagosan elszenvedett nem vagyoni kár tényleges jellegét illetően emlékeztetni kell arra, hogy bár a bizonyítékok előterjesztése nem minősül szükségszerűen a nem vagyoni kár elismerése feltételének, a felperesnek bizonyítania kell, hogy az érintett intézménnyel szemben kifogásolt magatartás a számára ilyen kárt okozott (2009. július 16‑iSELEX Sistemi Integrati kontra Bizottság ítélet, C‑481/07 P, nem tették közzé, EU:C:2009:461, 38. pont; lásd még:2019. július 2‑iFulmen kontra Tanács ítélet, T‑405/15, EU:T:2019:469, 188. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

82

A jelen ügyben a felperes 800 euró összegű nem vagyoni kár megtérítését kéri arra hivatkozással, hogy a Bizottságnak felrótt magatartás megakadályozta őt abban, hogy ellenőrizze személyes adatainak kezelését.

83

Meg kell azonban állapítani, hogy ilyen nem vagyoni kár a jelen ügyben nem bizonyított. A jelen ügyben megállapított jogellenesség ugyanis kizárólag az, hogy a Bizottság nem tartotta be a 2018/1725 rendelet 14. cikkének (4) bekezdésében előírt egy hónapos határidőt (lásd a fenti 79. pontot). A határidőt azonban csupán két hónappal lépték túl (lásd a fenti 77. pontot). Továbbá a 2021. november 9‑i tájékoztatáskérés és a 2022. április 1‑jei tájékoztatáskérés szinte teljesen megegyezik (lásd a fenti 5. és 8. pontot), és ezért a felperes legalábbis részben már kapott választ 2021. december 3‑án a tájékoztatáskérésére, amikor a Bizottság válaszolt a 2021. november 9‑i tájékoztatáskérésre (lásd a fenti 7. pontot).

84

Egyébiránt a felperesnek a téves információk közlésére alapított érve (lásd a fenti 75. pontot) az információk megalapozottságára, nem pedig azon eljárási szabály tiszteletben tartására vonatkozik, amelynek megsértése a fenti 78. pontban megállapítást nyert, ezért az nem releváns a hivatkozott nem vagyoni kár bizonyítása szempontjából.

85

Ebből következően nem bizonyított, hogy a 2018/1725 rendelet 14. cikkének (4) bekezdésében előírt határidő Bizottság általi be nem tartása a felperesnek az állítólagos nem vagyoni kárt okozhatta.

86

Következésképpen, mivel az Unió szerződésen kívüli felelőssége megállapításának az EUMSZ 340. cikk második bekezdésében előírt kumulatív feltételeinek egyike nem teljesül, a felperes első kártérítési kérelmét el kell utasítani.

87

Második kártérítési kérelmével a felperes 400 euró megfizetését kéri azon nem vagyoni kár megtérítéseként, amelyet a fenti 26–28. pontban említett vitatott adattovábbításokkal – vagyis a CAE internetes oldalának 2022. március 30‑i megtekintése során történt, vitatott adattovábbítással, az EU Loginhoz való 2022. március 30‑i csatlakozás során történt, vitatott adattovábbítással és a CAE internetes oldalának 2022. június 8‑i megtekintései során történt, vitatott adattovábbítással – okoztak neki.

88

A felperes lényegében azt állítja, hogy a vitatott adattovábbításokra az Egyesült Államokban letelepedett címzettek részére került sor, ahol nem biztosítanak megfelelő szintű védelmet. A Bizottság nem hivatkozott ezen adattovábbítások igazolására a 2018/1725 rendelet V. fejezetében előírt egyetlen megfelelő biztosítékra sem, tehát megsértette e rendelet 46. cikkét, 48. cikkének (1) bekezdését és 48. cikke (2) bekezdésének b) pontját, valamint a Charta 7., 8. és 47. cikkét. A vitatott adattovábbítások azzal a kockázattal jártak, hogy ezen ország biztonsági és hírszerző szolgálatai hozzáférnek a felperes adataihoz, következésképpen a 2018/1725 rendelet (46) preambulumbekezdése értelmében nem vagyoni kárt okoztak számára, mivel megfosztották jogaitól és lehetőségeitől, és megakadályozták abban, hogy az adatai felett ellenőrzést gyakoroljon.

89

A Bizottság vitatja ezeket az érveket, és lényegében arra hivatkozik, hogy a jelen ügyben a szerződésen kívüli felelősség megállapításának feltételei nem teljesülnek.

90

Először is meg kell jegyezni, hogy a 2018/1725 rendelet 2. cikkének (5) bekezdése értelmében e rendeletet kell alkalmazni a személyes adatok részben vagy egészben automatizált módon történő kezelésére, valamint azoknak a személyes adatoknak a nem automatizált módon történő kezelésére, amelyek valamely nyilvántartási rendszer részét képezik, vagy amelyeket egy nyilvántartási rendszer részévé kívánnak tenni.

91

Másodszor, a „személyes adat” fogalmát úgy kell értelmezni, hogy az a 2018/1725 rendelet 3. cikke 1. pontjának megfelelően az azonosított vagy azonosítható természetes személyre vonatkozó bármely információnak felel meg.

92

Harmadszor meg kell jegyezni, hogy az adattovábbítás a 2018/1725 rendelet 3. cikkének 3. pontja értelmében vett „adatkezelési” műveletnek minősül.

93

Negyedszer meg kell jegyezni, hogy a „személyes adatok harmadik országok vagy nemzetközi szervezetek részére történő továbbítását” a 2018/1725 rendelet V. fejezete szabályozza, amely azonban nem határozza meg ennek fogalmát.

94

Ugyanakkor a 2018/1725 rendelet (63) preambulumbekezdéséből kitűnik, hogy a rendelet V. fejezetének rendelkezéseiben említett adattovábbítások az uniós intézményektől vagy szervektől harmadik országbeli adatkezelőknek, adatfeldolgozóknak vagy egyéb címzetteknek vagy nemzetközi szervezeteknek továbbított személyes adatokra vonatkoznak.

95

Ezenfelül a 2018/1725 rendelet rendszertani értelmezéséből az következik, hogy a személyes adatok harmadik országokba történő, a rendelet 46. cikke értelmében vett továbbításához először is az szükséges, hogy a szóban forgó adatkezelő valamely uniós intézményhez vagy szervhez tartozzon, és így az említett rendelet hatálya alá tartozzon (a 2018/1725 rendelet 1. cikke); másodszor, hogy az adatkezelő továbbítással vagy más módon személyes adatokat bocsásson a címzett, például egy másik természetes vagy jogi személy rendelkezésére (a 2018/1725 rendelet 3. cikkének 3. és 13. pontja), harmadszor pedig, hogy ez a címzett harmadik országban letelepedett legyen (a 2018/1725 rendelet 46. cikke), vagyis olyan országban, amely nem tagja sem az Uniónak, sem az Európai Gazdasági Térségnek (EGT).

96

Ötödször meg kell állapítani, hogy a személyes adatok harmadik országba vagy nemzetközi szervezetek részére történő továbbítása során a 2018/1725 rendelet V. fejezetének rendelkezései a természetes személyek számára az Unióban biztosított védelem szintjének megőrzésére irányulnak, összhangban a rendelet (63) preambulumbekezdésében meghatározott célkitűzéssel.

97

Hatodszor, a 2018/1725 rendelet 46. cikke azt az általános elvet írja elő, amely szerint a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására csak akkor kerülhet sor, ha – e rendelet egyéb rendelkezéseire is figyelemmel – az adatkezelő és az adatfeldolgozó teljesíti a rendelet V. fejezetében meghatározott feltételeket.

98

Hetedszer, a 2018/1725 rendelet V. fejezetében meghatározott feltételeket illetően meg kell jegyezni, hogy a rendelet 47. cikkének (1) bekezdése előírja, hogy személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítására akkor kerülhet sor, ha a Bizottság a többek között a 2016/679 rendelet 45. cikkének (3) bekezdése alapján elfogadott megfelelőségi határozattal úgy döntött, hogy a szóban forgó ország vagy nemzetközi szervezet megfelelő szintű védelmet biztosít, és ha a személyes adatokat kizárólag az adatkezelő hatáskörébe tartozó feladatok elvégzésének lehetővé tétele érdekében továbbítják.

99

E tekintetben emlékeztetni kell arra, hogy az Egyesült Államokra vonatkozó két bizottsági megfelelőségi határozatot érvénytelennek nyilvánították. Egyrészt a 2015. október 6‑iSchrems ítéletével (C‑362/14, EU:C:2015:650) a Bíróság érvénytelenítette a 95/46/EK európai parlamenti és tanácsi irányelv alapján, az Egyesült Államok Kereskedelmi Minisztériuma által kiadott „biztonságos kikötő” adatvédelmi elvek által biztosított védelem megfelelőségéről és az ezzel kapcsolatos gyakran felvetődő kérdésekről szóló, 2000. július 26‑i 2000/520/EK bizottsági határozatot (HL 2000. L 215., 7. o.; magyar nyelvű különkiadás 16. fejezet, 1. kötet, 119. o.). Másrészt a Schrems II ítélettel a Bíróság érvénytelenítette a 95/46/EK európai parlamenti és tanácsi irányelv alapján, az EU–USA adatvédelmi pajzs által biztosított védelem megfelelőségéről szóló, 2016. július 12‑i (EU) 2016/1250 bizottsági végrehajtási határozatot (HL 2016. L 207., 1. o.).

100

Ebből következik, hogy a vitatott adattovábbítások időpontjában az Egyesült Államok vonatkozásában nem létezett a 2018/1725 rendelet 47. cikke értelmében vett megfelelőségi határozat.

101

Az Egyesült Államok vonatkozásában fennálló bizottsági megfelelőségi határozat hiányában a 2018/1725 rendelet 48. cikkének (1) bekezdését kell alkalmazni, amely szerint az adatkezelő vagy adatfeldolgozó csak abban az esetben továbbíthat személyes adatokat harmadik országba vagy nemzetközi szervezet részére, ha az adatkezelő vagy adatfeldolgozó megfelelő garanciákat nyújtott, és csak azzal a feltétellel, hogy az érintettek számára érvényesíthető jogok és hatékony jogorvoslati lehetőségek állnak rendelkezésre.

102

A 2018/1725 rendelet 48. cikkének (1) bekezdésében említett, a rendelet 48. cikkének (2) és (3) bekezdésében felsorolt megfelelő garanciák különösen a Bizottság által e rendelet 48. cikke (2) bekezdésének b) pontjával összhangban elfogadott általános adatvédelmi kikötések útján biztosíthatók.

103

Ugyanakkor a 2018/1725 rendelet 48. cikke (2) bekezdésének b) pontjában előírt általános adatvédelmi kikötések további intézkedéseket tehetnek szükségessé annak biztosítása érdekében, hogy az uniós jogra tekintettel tiszteletben tartsák a megfelelő szintű védelmet (lásd analógia útján: Schrems II ítélet, 133. és 134. pont).

104

Ezenkívül a 2018/1725 rendelet 48. cikkének (1) bekezdésében említett megfelelő garanciák különösen az említett rendelet 48. cikke (3) bekezdésének a) pontjában említett, az adatkezelő vagy az adatfeldolgozó és a személyes adatok harmadik országbeli adatkezelője, adatfeldolgozója vagy címzettje között létrejött szerződéses feltételek útján is biztosíthatók, az európai adatvédelmi biztos engedélyével.

105

Egyébiránt emlékeztetni kell arra, hogy a Charta 7., 8. és 47. cikke biztosítja a magánélet tiszteletben tartásához való jogot, a személyes adatok védelméhez való jogot, valamint a hatékony jogorvoslathoz és a tisztességes eljáráshoz való jogot.

106

A jelen ügyben először is meg kell jegyezni, hogy a felperes második kártérítési kérelme a 2018/1725 rendelet 46. cikkének, 48. cikke (1) bekezdésének és 48. cikke (2) bekezdése b) pontjának, valamint a Charta 7., 8. és 47. cikkének a Bizottság általi megsértésén alapul. Márpedig a fenti 91–105. pontból az következik, hogy a 2018/1725 rendelet említett rendelkezései a Charta 7. és 8. cikkében megállapítottakhoz hasonló alapvető jogokat konkretizálnak, és összességükben arra irányulnak, hogy a személyes adatok harmadik országba vagy nemzetközi szervezet részére történő továbbítása esetén folyamatosan biztosítva legyen a személyes adatok magas szintű védelme.

107

Ebből következően azok a rendelkezések, amelyek megsértésére a felperes a második kártérítési kérelmének alátámasztása érdekében hivatkozik, az érintett személyek egyéni érdekének védelmére irányulnak, és így a fenti 50. pontban ismertetett ítélkezési gyakorlat értelmében magánszemélyek számára jogokat keletkeztető jogszabályoknak minősülnek.

108

Ezen a ponton azt kell megvizsgálni, hogy a Bizottság szerződésen kívüli felelőssége megállapításának feltételei a fenti 87. pontban említett mindhárom adattovábbítás esetében teljesülnek‑e.

109

Tekintettel arra, hogy a fenti 26. és 28. pontban említett vitatott adattovábbításokra azért került sor, mert a CAE internetes oldala az Amazon CloudFront elnevezésű tartalomszolgáltató hálózatot (angolul: „content delivery network” vagy „CDN”) (a továbbiakban: Amazon CloudFront szolgáltatás) használta, először is e szolgáltatásnak a CAE internetes oldalával összefüggő működési feltételeit kell megvizsgálni.

110

A jelen ügyben nem vitatott, hogy a CAE internetes oldala az Amazon CloudFront tartalomszolgáltató hálózatot használja, és hogy ezt a hálózatot a felhasználók az említett internetes oldal minden egyes megtekintésekor aktiválják.

111

Az iratokból, különösen a felek által a 2023. július 21‑i pervezető intézkedésre adott válaszokból, valamint a 2023. október 17‑i tárgyaláson előadott szóbeli előterjesztéseikből és válaszaikból kitűnik, hogy először is az Amazon CloudFront szolgáltatás olyan internetes szolgáltatás, amely felgyorsítja az internetes tartalmaknak – a jelen esetben a CAE internetes oldal tartalmának – a felhasználókhoz történő eljuttatását. Az Amazon CloudFront szolgáltatás a tartalmat szerverek vagy adatközpontok globális hálózatán keresztül közvetíti, amelyeket „perifériának” vagy „kiszolgáló szervernek” neveznek.

112

Másodszor, az Amazon CloudFront szolgáltatás olyan útvonalválasztási mechanizmuson alapul, amely a CAE internetes oldal felhasználójának kérését a felhasználói terminálhoz való közelség elve alapján a legkisebb késleltetési időt biztosító kiszolgáló szerverre irányítja annak érdekében, hogy a tartalmat a lehető legjobb feltételek mellett továbbítsák a felhasználónak. Ha – többek között műszaki nehézségek miatt – a legkisebb késleltetési időt biztosító kiszolgáló szerver nem áll rendelkezésre, a kapcsolat azonnal a második legkisebb késleltetési időt biztosító kiszolgáló szerverrel jön létre.

113

Harmadszor, az Amazon CloudFront szolgáltatást a CAE internetes oldalán a Bizottság és az AWS EMEA között létrejött 2020‑1742. sz. szerződés alapján használják; az AWS EMEA az amerikai Amazon.com vállalkozás tulajdonában lévő, luxemburgi székhelyű leányvállalat (lásd a fenti 12. pontot).

114

Negyedszer, e szerződés keretében a Bizottság a CAE internetes oldalát illetően az „Észak‑Amerika (Egyesült Államok, Mexikó, Kanada), Európa és Izrael” elnevezésű földrajzi területet választotta. Ez azt jelenti, hogy az internetes oldal tartalmának közvetítése nem az Amazon CloudFront perifériáinak globális hálózatán keresztül történik, hanem kizárólag a fent említett földrajzi területeken, azaz az Egyesült Államokban, Mexikóban, Kanadában, Európában és Izraelben találhatókon keresztül.

115

Ötödször, a fenti 112. pontban említett közelség elve miatt a CAE internetes oldalának az uniós felhasználók általi megtekintésére irányuló kérések általában az Amazon CloudFront hálózat e területen található kiszolgáló szervereire irányulnak, míg olyan esetek, amikor ezek a kérések az Unión kívüli szerverekre irányulnak, ritkán fordulnak elő.

116

Hatodszor, ami az Amazon CloudFront perifériahálózati infrastruktúráját illeti, az iratokból kitűnik, hogy azt olyan vállalkozások szolgáltatják, amelyek közül egyesek az Amazon‑csoporthoz tartoznak, mások pedig harmadik vállalkozások, amelyek listája az Amazon Web Services honlapján az érintett földrajzi területtől függően megtekinthető. Az „Észak‑Amerika (Egyesült Államok, Mexikó, Kanada), Európa és Izrael” elnevezésű földrajzi terület tekintetében az érintett vállalkozások között vannak az uniós tagállamokban, és az Unión kívül is, nevezetesen az Egyesült Államokban, Izraelben, Mexikóban, Svájcban vagy az Egyesült Királyságban székhellyel rendelkező vállalkozások. Minden vállalkozás a székhelye szerinti országban üzemeltet szervereket, következésképpen az Amazon CloudFront szolgáltatás nyújtásában részt vevő szerverek földrajzi elhelyezkedése is az érintett vállalkozások elhelyezkedésétől függ.

117

Hetedszer, a Bizottság és az AWS EMEA közötti szerződés kikötései többek között a következőket írják elő:

118

Nyolcadszor a Bizottság konzultált az európai adatvédelmi biztossal a fent említett szerződési feltételekkel kapcsolatban, de azokat az európai adatvédelmi biztos nem engedélyezte hivatalosan a 2018/1725 rendelet 48. cikke (3) bekezdésének a) pontja alapján.

119

[A 2025. június 3‑i végzéssel kijavítva] A felperes lényegében azt állítja, hogy a CAE internetes oldalának 2022. március 30‑i megtekintése során megállapította, hogy egyes személyes adatait, különösen az IP‑címét, valamint a böngészőjére és a termináljára vonatkozó információkat továbbították az Egyesült Államokba. Először is, az említett internetes oldal az „Amazon CloudFront” elnevezésű tartalomszolgáltató hálózatot használja, amelynek üzemeltetője az Amazon.com amerikai vállalkozás leányvállalata, az Amazon Web Services. Másodszor, az oldal megtekintésekor a felperes személyes adatait megküldték az Amazon CloudFront szolgáltatásnak, pontosabban a seattle‑i (Washington, Egyesült Államok) székhelyű Amazon.com szerverének, amelynek IP‑címe 18.66.192.74. Harmadszor, a CAE internetes oldalán használt biztonsági kulcsot (ún. SSL‑tanúsítvány) az Amazon biztosította, ezért vélelmezni kell, hogy az Amazonnak lehetősége volt arra, hogy dekódolja a felperesnek a szervereire továbbított valamennyi személyes adatát, ideértve az Európa jövőjével kapcsolatos véleményét is. Negyedszer, az Amazon CloudFront szolgáltatást nyújtó vállalkozás az amerikai törvények hatálya alá tartozik, és így köteles információt szolgáltatni az Egyesült Államok biztonsági és felügyeleti szolgálatainak, még abban az esetben is, ha a szerverek ezen országon kívül találhatók. Ráadásul a Bizottság nem fogadott el a Schrems II ítélet értelmében vett „további intézkedéseket” az Egyesült Államokba továbbított adatok megfelelő szintű védelmének biztosítása érdekében.

120

A Bizottság vitatja ezeket az érveket.

121

A CAE internetes oldalának 2022. március 30‑i megtekintését illetően az iratokból kitűnik, hogy a felperes ezen a napon megtekintette ezt az internetes oldalt (lásd a fenti 3. pontot), és a megtekintés során az IP‑címét, valamint a böngészőjére és a termináljára vonatkozó információkat továbbították.

122

E tekintetben meg kell állapítani, hogy az IP‑címet a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett személyes adatnak kell minősíteni, mivel megfelel az ott előírt két feltételnek. Egyrészt ez az információ természetes személyre vonatkozik, másrészt azonosított vagy azonosítható személyre, a jelen esetben a felperesre vonatkozik (lásd ebben az értelemben: 2023. április 26‑iESZT kontra európai adatvédelmi biztos ítélet, T‑557/20, fellebbezés alatt, EU:T:2023:219, 59. pont; lásd még ebben az értelemben és analógia útján: 2011. november 24‑iScarlet Extended ítélet, C‑70/10, EU:C:2011:771, 51. pont; 2016. október 19‑iBreyer ítélet, C‑582/14, EU:C:2016:779, 49. pont). Ugyanis még az úgynevezett „dinamikus” IP‑címek is, amelyek természetüknél fogva változnak, egy adott időpontban – amely jelen esetben egybeesik a CAE honlapja megtekintésének időpontjával – egy meghatározott személyazonosságnak feleltethető meg.

123

Az is bizonyításra került, hogy a fenti 121. pontban említett adattovábbítást a CAE internetes oldala az Amazon CloudFront szolgáltatáson keresztül olyan szerverre indította el, amelynek IP‑címe 18.66.192.74.

124

Az is bizonyításra került, hogy a tényállás időpontjában az IP 18.66.192.74. címet egy müncheni (Németország) szervernek osztották ki, és hogy e szerver a németországi székhelyű A 100 ROW GmbH vállalkozáshoz tartozott, amely a fenti 116. pontban említett vállalkozáslistán szerepelt.

125

Ebből következik, hogy kétségtelen, hogy a CAE 2022. március 30‑i internetes oldalának megtekintésekor a felperes személyes adatainak, többek között IP‑címének a 2018/1725 rendelet 3. cikkének 1. pontja értelmében vett továbbítására került sor.

126

A jelen ügyben azonban nem bizonyított, hogy a CAE honlapjának 2022. március 30‑i megtekintése során a felperes személyes adatait harmadik országba, konkrétan az Egyesült Államokba továbbították.

127

Ezzel szemben a fenti 121–124. pontból az következik, hogy a CAE honlapjának 2022. március 30‑i megtekintése során a CAE internetes oldala az Amazon CloudFront szolgáltatáson keresztül egy müncheni szerverre indította el a személyes adatok továbbítását. Az említett szerver egy németországi székhelyű vállalkozáshoz tartozott, amely a luxemburgi székhelyű AWS EMEA‑val kötött szerződés alapján a Bizottság számára biztosított Amazon CloudFront szolgáltatás infrastruktúrát nyújtó szolgáltatói hálózatának részét képezte.

128

Ebből következik, hogy a CAE 2022. március 30‑i internetes oldalának megtekintése során a felperes személyes adatait az Unióban letelepedett címzettnek továbbították.

129

Ezenkívül, még ha el is fogadjuk, hogy a felperes személyes adatai nem hagyták el az Unió területét, ezeket az adatokat akkor is továbbították az Amazon CloudFront szolgáltatás perifériájához tartozó szerverre, amely a CAE internetes oldala tartalmának közvetítését illetően olyan perifériák hálózatát fedi le, amely nem korlátozódik az EGT területére, hanem azon túl is kiterjed (lásd a fenti 116. pontot).

130

Mindazonáltal a fenti 127. pontban leírt konkrét körülmények nem bizonyítják a személyes adatoknak az EGT területén kívül, különösen az Egyesült Államokban letelepedett címzettek részére történő továbbítását.

131

A CAE internetes oldalának 2022. március 30‑i megtekintése során történt, vitatott adattovábbítás tehát nem felel meg a 2018/1725 rendelet 46. cikke értelmében vett, harmadik országba történő személyesadat‑továbbításnak, mivel a harmadik országba történő továbbítás fogalma megköveteli, hogy a személyes adatokat az EGT‑n kívül letelepedett címzett rendelkezésére bocsássák (lásd a fenti 93. pontot).

132

A felperes arra alapított érve, hogy az AWS EMEA egy amerikai vállalkozás leányvállalataként még akkor is köteles személyes adatokat továbbítani az amerikai hatóságoknak, ha ezeket az adatokat az Unió területén tárolják, nem kérdőjelezi meg ezt a következtetést.

133

Noha igaz, hogy az EGT‑ben valamely harmadik ország hatóságai által ezen ország joga alapján kezelt személyes adatokhoz való hozzáférés a 2018/1725 rendelet 46. cikke értelmében vett személyes adatok harmadik országba történő továbbításának minősül, a jelen ügyben nem bizonyított, hogy ilyen hozzáférésre sor került. A felperes ugyanis nem bizonyította, illetve állította, hogy bármilyen, az amerikai hatóságokhoz tartozó személyes adatát továbbították volna, és azt sem bizonyította, illetve állította, hogy az amerikai hatóságoknak bekértek volna az Amazon CloudFront Münchenben található szerverére továbbított adatokat.

134

Következésképpen a felperes érve nem a 2018/1725 rendelet V. fejezete rendelkezéseinek közvetlen megsértésére vonatkozik, hanem kizárólag az ilyen jogsértés abban az esetben fennálló kockázatára, ha az AWS EMEA egy amerikai vállalkozás leányvállalataként nem tiltakozhatna az amerikai hatóságoknak az EGT területén található szervereken tárolt adatokhoz való hozzáférés iránti kérelmével szemben.

135

Márpedig önmagában a személyes adatokhoz harmadik ország által történő hozzáférés kockázata nem feleltethető meg a 2018/1725 rendeletnek a fenti 93. pontban értelmezett 46. cikke értelmében vett adattovábbításnak, mivel nem bizonyított, hogy a felperes személyes adatait harmadik országban letelepedett címzett részére más módon továbbították, illetve bocsátották rendelkezésre. Másként fogalmazva, az említett 46. cikk megsértésének veszélye nem tekinthető e rendelkezés közvetlen megsértésének.

136

Emlékeztetni kell továbbá arra, hogy a jelen kártérítési kérelem keretében a Törvényszék vizsgálata a Bizottság szerződésen kívüli felelőssége megállapításának feltételeire, és különösen a Bizottság magatartásának jogellenességére vonatkozó feltételre vonatkozik, amely a 2018/1725 rendelet és a Charta felperes által hivatkozott rendelkezéseinek kellően súlyos megsértésének megállapítását követeli meg.

137

E tekintetben önmagában a 2018/1725 rendelet V. fejezetében foglalt rendelkezések megsértésének kockázata semmiképpen nem elegendő a Bizottság vétkes magatartásának megállapításához, amely e rendelkezések kellően súlyos megsértésének feleltethető meg.

138

Ezt a következtetést nem kérdőjelezi meg a felperesnek a Schrems II ítéletre alapított érve. Meg kell ugyanis jegyezni, hogy ebben az ítéletben a Bíróság azokról a feltételekről határozott, amelyek mellett sor kerülhet a személyes adatok Egyesült Államokba történő továbbítására, nem pedig azokról a feltételekről, amelyek mellett az ilyen adatokat az EGT területén az amerikai jog hatálya alá tartozó társaságok leányvállalatai, például az AWS EMEA kezelheti.

139

A fentiek összességéből az következik, hogy a CAE internetes oldalának 2022. március 30‑i megtekintése során történt, vitatott adattovábbítást illetően a felperes nem bizonyította, hogy a Bizottság a fenti 50. pontban ismertetett ítélkezési gyakorlat értelmében kellően súlyosan megsértette a 2018/1725 rendelet 46. cikkében, 48. cikkének (1) bekezdésében és (2) bekezdésének b) pontjában, valamint a Charta 7., 8. és 47. cikkében foglalt rendelkezéseket.

140

Következésképpen, mivel az Unió szerződésen kívüli felelőssége megállapításának az EUMSZ 340. cikk második bekezdésében előírt kumulatív feltételeinek egyike nem teljesül, a CAE internetes oldalának 2022. március 30‑i megtekintése során történt, vitatott adattovábbítást illetően a második kártérítési kérelmet el kell utasítani anélkül, hogy meg kellene vizsgálni a felperes többi érvét.

141

A felperes azt állítja, hogy a CAE internetes oldalának 2022. június 8‑i megtekintései során személyes adatait, többek között IP‑címét továbbították az Amazon CloudFront egyesült államokbeli szervereire. A felperes szerint ezek az adattovábbítások nem az internetes oldal felhasználójaként végzett tevékenységéből erednek, hanem az Amazon CloudFront szolgáltatás működéséből, amellyel összefüggésben az Egyesült Államokba történő adattovábbítás kockázata a szolgáltatás alapját képező globális infrastruktúrában rejlik. A felperes helyzete nem különbözik annak az uniós polgárnak a helyzetétől, aki például az Egyesült Államokba történő üzleti út során megtekinti a CAE internetes oldalát. A Bizottság nem tanúsít kellő gondosságot az Egyesült Államokba történő adattovábbítás elkerülése érdekében, amikor egy kizárólag európai tárhelymegoldás helyett egy globális szintű struktúrán alapuló tartalomszolgáltató hálózat mellett döntött.

142

A felperes szerint az említett személyesadat‑továbbítás a 2018/1725 rendelet (46) preambulumbekezdése értelmében nem vagyoni kárt okozott neki, mivel elvesztette az Egyesült Államokba továbbított és az amerikai hatóságok jogellenes felügyelete alá került adatai feletti ellenőrzését, továbbá megfosztotta őt jogaitól és szabadságaitól.

143

A Bizottság vitatja ezeket az érveket.

144

Előzetesen – figyelembe véve a felperes érvelését – emlékeztetni kell arra, hogy a jelen kártérítési kérelem keretében a Törvényszék vizsgálata nem közvetlenül a Bizottság azon határozatának jogszerűségére vonatkozik, amely alapján az Amazon CloudFront szolgáltatást a CAE internetes oldala tartalmának közvetítésére használják, hanem a Bizottság szerződésen kívüli felelőssége megállapításának a CAE internetes oldalának 2022. június 8‑i megtekintése során történt, vitatott adattovábbítással kapcsolatos feltételeire.

145

A jelen ügyben a Törvényszék célszerűnek tartja először a Bizottság állítólagos vétkes magatartása és a hivatkozott nem vagyoni kár közötti okozati összefüggés fennállására vonatkozó feltételt vizsgálni.

146

A fenti 54. pontban hivatkozott ítélkezési gyakorlatból az következik, hogy az okozati összefüggésre vonatkozó feltétel az intézmény magatartása és a kár közötti, kellően közvetlen okozati összefüggés fennállására vonatkozik, amely összefüggést a felperesnek kell bizonyítania oly módon, hogy a kifogásolt magatartás kell, hogy legyen a kár meghatározó oka.

147

Ezenfelül az ítélkezési gyakorlatból következik, hogy az Unió EUMSZ 340. cikk második bekezdése szerinti szerződésen kívüli felelősségének megalapozásához szükséges okozati összefüggés akkor bizonyított, ha a kár a szóban forgó jogsértés közvetlen következménye (2007. június 28‑iInternationaler Hilfsfonds kontra Bizottság ítélet, C‑331/05 P, EU:C:2007:390, 23. pont).

148

Az okozati összefüggés közvetlen jellegét illetően a Törvényszék már kimondta, hogy a kárnak közvetlenül a hivatkozott jogellenességből kell erednie, nem pedig a felperes arra vonatkozó döntéséből, hogy hogyan reagál az állítólag jogellenes jogi aktusra. Ily módon megállapításra került, hogy önmagában az a tény, hogy a jogellenes magatartás a kár bekövetkezésének szükséges feltételét (conditio sine qua non) képezte abban az értelemben, hogy a kár e magatartás hiányában nem következett volna be, nem elegendő az uniós ítélkezési gyakorlat értelmében vett, kellően közvetlen okozati összefüggés megállapításához (lásd ebben az értelemben és analógia útján: 2011. november 30‑iTransnational Company Kazchrome és ENRC Marketing kontra Tanács és Bizottság ítélet, T‑107/08, EU:T:2011:704, 80. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2019. május 23‑iRemag Metallhandel és Jaschinsky kontra Bizottság ítélet, T‑631/16, nem tették közzé, EU:T:2019:352, 52. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

149

Az ítélkezési gyakorlatból tehát az következik, hogy az ilyen okozati összefüggés nem bizonyított, ha a hivatkozott kár a felperes saját döntésének vagy szabad választásának közvetlen következménye, és ezért nem tudható be az érintett intézménynek vagy szervnek (lásd ebben az értelemben és analógia útján: 2007. június 28‑iInternationaler Hilfsfonds kontra Bizottság ítélet, C‑331/05 P, EU:C:2007:390, 22–29. pont; 2017. február 17‑iNovar kontra EUIPO ítélet, T‑726/14, EU:T:2017:99, 31. és 32. pont; 2018. február 28‑iVakakis kai Synergates kontra Bizottság ítélet, T‑292/15, EU:T:2018:103, 173. pont, valamint az ott hivatkozott ítélkezési gyakorlat.

150

A jelen ügyben tehát azt kell megvizsgálni, hogy a Bizottságnak felrótt magatartás, vagyis az Amazon CloudFront szolgáltatásnak a CAE internetes oldala tartalomszolgáltató hálózataként történő használata közvetlen oka volt‑e a hivatkozott, abból álló nem vagyoni kárnak, hogy a felperes elveszítette az azon személyes adatai feletti ellenőrzést, amelyeket az említett internetes oldal 2022. június 8‑i megtekintései során az Egyesült Államokba továbbítottak.

151

E tekintetben először is az iratokból, valamint a felek által a tárgyaláson feltett kérdésekre adott válaszokból kitűnik, hogy 2022. június 8‑án a felperes Münchenben volt, és többször is megtekintette a CAE internetes oldalát. E megtekintések során a felperes IP‑címe egymás után létesített kapcsolatot az Amazon CloudFront szolgáltatás különböző, földrajzilag egymástól távol eső szervereihez. Így 7 óra 13 perckor egy Münchenben, 11 óra 13 perckor egy Londonban (Egyesült Királyság), 12 óra 56 perckor egy Hillsboróban (Oregon, Egyesült Államok), 13 óra 5 perckor egy Newarkban, 19 óra 12 perckor pedig egy Frankfurt am Mainban (Németország) található szerverrel létesített kapcsolatot.

152

Másodszor, az iratokból kitűnik, hogy a felperes IP‑címét továbbították az Amazon CloudFront szolgáltatásnak a fenti 151. pontban említett különböző szervereire, köztük az Egyesült Államokban található szerverekre.

153

Harmadszor emlékeztetni kell arra, hogy a felperes IP‑címe személyes adatnak minősül.

154

Negyedszer, meg kell jegyezni, hogy 2022. június 8‑án a CAE internetes oldalán 4548 különböző hozzáférést és 18 különböző IP‑címet regisztráltak. Ezek közül csak egy IP‑cím, nevezetesen a felperes IP‑címe hozott létre kapcsolatot Unión kívüli szerverekkel, nevezetesen az Egyesült Államokban és az Egyesült Királyságban található szerverekkel. E tekintetben meg kell jegyezni, hogy nem bizonyították, illetve állították, hogy 2022. június 8‑án az Amazon CloudFront szolgáltatás a CAE internetes oldalán olyan műszaki vagy más jellegű problémákat jelzett volna, amelyek akadályozták volna a közelség elvén alapuló útválasztási mechanizmusának rendes működését, amely a CAE internetes oldalának felhasználói kéréseit a felhasználó földrajzi elhelyezkedésétől függően a legkisebb késleltetési időt biztosító kiszolgáló szerverre irányítja (lásd a fenti 112. pontot).

155

Ötödször, ami a felperes IP‑címe által az Egyesült Államokban található szerverekhez való csatlakozások körülményeit illeti, egyrészt az iratokból, valamint a felek által a tárgyaláson adott válaszokból kitűnik, hogy a felperes azt állítja, hogy a csatlakozásokat az Amazon CloudFront működése eredményezte, nem pedig az általa esetlegesen végrehajtott manipuláció. Másrészt a Bizottság megjegyzi, hogy ezek a csatlakozások atipikusnak mondhatók, és csak a felperes általi technikai manipulációval magyarázhatók.

156

E tekintetben meg kell állapítani, hogy a fenti 151. pontban leírt körülmények bizonyítják, hogy az, hogy azon szerverek eltérő elhelyezkedése, amelyekhez a felperes IP‑címe csatlakozott, nem lehetett a felperes ugyanazon a napon történő fizikai mozgásának eredménye, ami a szóban forgó távolságokra és időintervallumokra tekintettel lehetetlen lenne. Ezen túlmenően az Amazon CloudFront szolgáltatás hibás működését nem bizonyították, illetve állították, ami arra enged következtetni, hogy 2022. június 8‑án ez a szolgáltatás a felhasználói terminálhoz való közelség elve szerint működött, és az útvonalválasztási mechanizmusa a CAE internetes oldaláról a felhasználók kéréseit a legkisebb késleltetési időt biztosító kiszolgáló szerverre irányította.

157

E körülmények között a felperes IP‑címének az Egyesült Államokban található szerverekhez annak ellenére történő csatlakozásai, hogy a felperes Németországban volt, nem az Amazon CloudFront szolgáltatás szokásos működéséből eredhet, hanem inkább a felperes által a látható helymeghatározása módosítása érdekében végzett műszaki beállításból, amelynek köszönhetően a digitális térben úgy jelenhetett meg, mintha ugyanabban a napon egymást követően München, London, Hillsboro, Newark és Frankfurt am Main közelében lett volna.

158

Ebből következik, hogy valóban az Amazon CloudFront szolgáltatás működése – amelynek útvonalválasztási mechanizmusa a közelség elve alapján működik, és amely az EGT‑nél szélesebb földrajzi területre, köztük az Egyesült Államokra is kiterjed (lásd a fenti 112. és 114. pontot) – volt az, amely lehetővé tette, hogy a CAE internetes oldalának megtekintése során a felperes IP‑címe az Amazon CloudFront Egyesült Államokban található szervereihez kapcsolódjon.

159

Mindazonáltal, bár az Amazon CloudFront szolgáltatás Bizottság általi használata a fenti 152. pontban említett, Egyesült Államokba történő személyesadat‑továbbítás szükséges feltétele, e körülmény a jelen ügy körülményei között nem elegendő a felperes által hivatkozott nem vagyoni kár és a Bizottság azon állítólagos jogellenes magatartása közötti kellően közvetlen okozati összefüggés megállapításához, amely abban áll, hogy a 2018/1725 rendelet V. fejezete rendelkezéseinek megsértésével ilyen szolgáltatást vett igénybe.

160

A felperes magatartását kell ugyanis az állítólagos nem vagyoni kár közvetlen és azonnali okának tekinteni, és nem a Bizottság által az Amazon CloudFront szolgáltatás használatával állítólagosan elkövetett hibát.

161

A felperes volt tehát az, aki az Amazon CloudFront szolgáltatás működése révén megteremtette az Egyesült Államokban található szerverekhez való kapcsolódáshoz szükséges feltételeket. A felperes magatartása volt az, amely az Amazon CloudFront szolgáltatás útvonalválasztási mechanizmusát arra késztette, hogy a CAE internetes oldalának megtekintésére irányuló kéréseit az Egyesült Államokban található szerverekre irányítsa át, mivel ezek a szerverek voltak a legkisebb késleltetési időt biztosító szerverek a felperesnek a digitális térben látható elhelyezkedéséhez képest, még akkor is, ha ez a hely nem felelt meg a felperes tényleges helyének.

162

Egyébiránt a felperes nem megalapozottan egy konkrét eredmény előidézésére irányuló magatartást tanúsított (személyes adatainak harmadik országba történő továbbítását), majd ezt követően kérte a magatartásából közvetlenül következő ezen eredmény által állítólagosan okozott kár megtérítését. Így a felperes állításával ellentétben a jelen ügyhöz hasonló kártérítési keresettel összefüggésben az ő helyzete nem értékelhető ugyanúgy, mint egy olyan felhasználóé, aki ténylegesen az Egyesült Államokba utazott, és így ebből az országból lépett be a CAE internetes oldalára.

163

A fentiek összességéből az következik, hogy a CAE internetes oldalának 2022. június 8‑i megtekintése során történt vitatott adattovábbítás tekintetében nem bizonyított a kellően közvetlen okozati összefüggés a Bizottság állítólagos jogellenes magatartása és a hivatkozott nem vagyoni kár között.

164

Mivel az Unió szerződésen kívüli felelőssége megállapításának egyik kumulatív feltétele nem teljesül, a CAE internetes oldalának 2022. június 8‑i megtekintése során történt vitatott adattovábbítással kapcsolatos kártérítési kérelmet el kell utasítani, anélkül hogy az említett felelősség megállapításának többi feltételét meg kellene vizsgálni.

165

A felperes azt állítja, hogy 2022. március 30‑án, amikor a CAE internetes oldalán regisztrált a „GoGreen” eseményre, IP‑címét, valamint a böngészőjére és a termináljára vonatkozó információkat továbbították az Egyesült Államokban székhellyel rendelkező Meta Platforms vállalkozásnak, amely a Facebook közösségi háló tulajdonosa. A regisztráció során ugyanis a felperest az Unió EU Login nevű hitelesítési szolgáltatásához irányították, amely azt is felajánlja, hogy különböző közösségi hálókon keresztül csatlakozzon a felhasználó. A felperes azt választotta, hogy a Facebook‑fiókján keresztül csatlakozik, és amikor rákattintott a Facebookra átirányító hiperlinkre, az ahhoz vezetett, hogy az IP‑címét továbbították a Facebooknak. A felperes a Facebookon csak a „szükséges cookie‑kat” fogadta el. A felperes egyéb személyes adatait, nevezetesen az e‑mail‑címét, családi nevét és utónevét, valamint profilképét a Facebook cookie‑k – többek között a „sb” nevű cookie – segítségével gyűjtötte, és továbbította a Meta Platforms szervereire. Az ítélkezési gyakorlatból kitűnik, hogy a Facebookot a honlapjaikon használó honlapkezelők – mint a Bizottság esetében is – a Facebookkal együttesen felelősek az uniós adatvédelmi jog betartásáért. A Bizottság tehát közös adatkezelőnek minősül a Facebook által tárolt cookie‑k elhelyezésénél. A felperes álláspontja szerint elvesztette az ellenőrzést a Facebooknak továbbított személyes adatai felett, és megfosztották jogaitól és szabadságaitól, ami a 2018/1725 rendelet (46) preambulumbekezdése értelmében vett nem vagyoni kárnak minősül.

166

A Bizottság vitatja ezeket az érveket. Lényegében arra hivatkozik, hogy nem végzett és nem kezdeményezett adattovábbítást a Meta Platforms részére. A „GoGreen” eseményen való részvételhez nem lett volna kötelező az EU Loginon keresztül történő regisztráció, és a felperesnek még az EU Logint használva is különböző hitelesítési lehetőségek álltak volna rendelkezésére, többek között olyanok, amelyek nem igényelték volna a közösségi hálóhoz tartozó fiók használatát. A felperes választása volt tehát, hogy a Facebook‑fiókjával csatlakozott az EU Login szolgáltatáshoz, és ezért ő, és nem a Bizottság kezdeményezte a Facebook weboldalára való belépést. Ráadásul technikai szempontból a Facebook hitelesítési lehetőség az EU Login weboldalon megjelenő hiperlink segítségével történik, amely nem tartalmazza a felhasználó személyes adatait. A felperes állításával ellentétben a Facebook által használt cookie‑kkal gyűjtött adatokat nem továbbítják a Bizottságnak az EU Loginhoz való csatlakozáskor, és azok nem tartoznak a Bizottság adatkezelése körébe. Ezek a cookie‑k a Facebook és – a felperes által adott hozzájárulások alapján – a felperes közötti kommunikációból származnak, amelyben a Bizottság nem vesz részt. A Bizottság továbbá azt állítja, hogy a felperes által hivatkozott ítélkezési gyakorlat a jelen ügyben nem alkalmazható, de mindenesetre a felperesnek a Bizottság és a Meta Platforms közös adatkezelésére vonatkozó érvelése új, a válasz szakaszában először felhozott jogalap, amely következésképpen elfogadhatatlan.

167

A jelen ügyben először is azt a ténybeli hátteret kell megvizsgálni, ahogyan az EU Loginhoz való 2022. március 30‑i csatlakozás során történt, vitatott adattovábbításra sor került, figyelembe véve az ügy irataiból kitűnő elemeket, valamint a felek által a tárgyaláson a Törvényszék által feltett kérdésekre és a 2024. február 9‑i pervezető intézkedés keretében adott válaszokat.

168

E tekintetben meg kell állapítani, hogy a hollandiai központú szervezet által szervezett „GoGreen” eseményt a CAE internetes oldalán jelentették be. Erre az eseményre többek között a CAE internetes oldalán, az EU Login szolgáltatáson keresztül lehetett regisztrálni.

169

A felperes úgy döntött, hogy az EU Logint használva a CAE internetes oldalán regisztrálja magát.

170

Az EU Login a Bizottság felhasználó‑hitelesítési szolgáltatása, amely több száz Unióhoz kapcsolódó internetes oldalt és alkalmazást véd. A jelen ügyben az EU Loginhoz való csatlakozás célja a „GoGreen” rendezvényre történő regisztrálás érdekében annak biztosítása volt, hogy a regisztráció ellenőrzött e‑mail címmel történjen, és ezáltal csökkentsék a hamis felhasználók regisztrációjával, illetve a személyazonossággal való visszaéléssel kapcsolatos kockázatokat.

171

Az EU Login több csatlakozási lehetőséget jelenít meg az internetes oldalán. Az első lehetőség az EU Loginhoz való közvetlen csatlakozás, vagy egy már meglévő EU Login fiók bejelentkezési adatainak megadásával, vagy a szolgáltatáson belül új fiók létrehozásával. A második lehetőség az „eID” elektronikus személyazonosító igazolvány használata, amely egyes tagállamok állampolgárai számára elérhető. A harmadik lehetőség, amely korlátozott számú szolgáltatás esetében áll rendelkezésre, hogy a felhasználó a Facebookon, a Twitteren vagy a Google‑on már meglévő fiókját használja, az EU Login weboldalán megjelenő megfelelő hiperlinkre kattintva.

172

Az, hogy Facebook‑fiókon keresztül is be lehet jelentkezni az EU Loginra, annak köszönhető, hogy a Bizottság úgy ítélte meg, hogy a felhasználóknak lehetőséget kell adni arra, hogy a könnyebb és gyorsabb csatlakozás érdekében a más platformokon található, már meglévő fiókjaikon keresztül jelentkezzenek be az EU Loginra, és ne kelljen EU Login fiókot létrehozniuk a hitelesítéshez, elkerülve ezzel azt, hogy egyre több olyan fiók és jogalany legyen, amelyekkel a felhasználóknak meg kell osztaniuk személyes adataikat. A Bizottság továbbá úgy ítélte meg, hogy a Facebook az általa bevezetett intézkedésekre tekintettel megbízható a felhasználók e‑mail címeinek ellenőrzését illetően. Az a hiperlink azonban, amely lehetővé teszi a felhasználók számára, hogy egy már meglévő Facebook‑fiókon keresztül kapcsolódjanak, csak alapvető biztonsági szintet igénylő weboldalak vagy alkalmazások számára érhető el az EU Loginon.

173

A felperes azt a lehetőséget választotta, hogy az EU Login weboldalán megjelenő „Sign in with Facebook” hiperlink (a továbbiakban: „Bejelentkezés a Facebookkal” hiperlink) használatával a Facebook‑fiókján keresztül jelentkezik be az EU Loginra.

174

A „Bejelentkezés a Facebookkal” hiperlink egy, a Bizottságon kívüli weboldalra mutató linket tartalmaz. Amennyiben ezt a hiperlinket rákattintással aktiválják, hozzáférést biztosít a Facebook internetes oldalának URL‑címéhez, azaz e weboldal egyedi címéhez.

175

A Facebook weboldalának URL‑címéhez való hozzáférés a felhasználó böngészője és az említett weboldal közötti kommunikációhoz vezet, amelynek keretében a böngésző továbbítja a felhasználó IP‑címét a szóban forgó weboldalnak. Ez a továbbítás hasonló ahhoz a továbbításhoz, amelyre akkor kerül sor, amikor a felhasználó közvetlenül beírja valamely weboldal URL‑címét a böngészőjébe, mivel az IP‑címet minden olyan internethasználónak szükségszerűen közölnie kell, aki hozzá kíván férni egy weboldalhoz.

176

Az EU Login a „Bejelentkezés a Facebookkal” hiperlinken keresztül megküld bizonyos, a hitelesítési folyamathoz szükséges információkat a Facebooknak, amelyek a következő példában szereplő formátumban jelennek meg:

177

Konkrétan a „Bejelentkezés a Facebookkal” hiperlinkben szereplő információk a következők:

178

Amint a felhasználó belép a Facebook URL‑címére, az említett weboldalra kerül, ahol először is megjelenik egy ablak, amely arra kéri a felhasználót, hogy fogadja el a cookie‑k Facebook általi használatát. Ezután, ha a cookie‑kat elfogadja, egy másik ablak nyílik meg, ahol a felhasználó megadhatja Facebook‑fiókjának felhasználónevét és jelszavát. Végül, miután bejelentkezett a Facebook‑fiókjába, a felhasználó engedélyezheti a Facebook számára, hogy más alkalmazásokban és weboldalakon is használjon cookie‑kat, ha válaszol a „Allow Facebook to use cookies and similar technologies placed on other apps and websites?” kérdésre. Ha a felhasználó hozzájárul ezek használatához, ezt követően arra kérik, hogy járuljon hozzá ahhoz, hogy a Facebook az EU Login rendelkezésére bocsássa a Facebook‑fiókjához kapcsolódó keresztnevet, vezetéknevet, profilképet és e‑mail címet. Ezenfelül e folyamat során a felhasználó a „Cancel” opció kiválasztásával megszakíthatja a Facebook‑fiókján keresztül történő hitelesítést. Ebben az esetben visszairányítják az EU Login internetes oldalára, ahol ismét megjelenik a bejelentkezési lehetőségeket tartalmazó oldal.

179

A jelen ügyben, amikor a felperes a „Bejelentkezés a Facebookkal” hiperlinkre kattintott, az internetes böngészője a Facebook weboldal URL‑címét érte el, és következésképpen közölte az IP‑címét ezzel a weboldallal. Ezután a Facebook weboldalán a felperes a Facebook számára csak az alapvető cookie‑k használatát engedélyező opciókat választotta, majd bejelentkezett a Facebook‑fiókjába, és végül engedélyezte a Facebooknak, hogy az EU Login számára továbbítsa keresztnevét, vezetéknevét, profilképét és e‑mail címét, ahogyan azokat a Facebook‑fiókjában megadta.

180

A felperes által megadott ezen engedélyeket követően a Facebook a „Bejelentkezés a Facebookkal” hiperlinkben szereplő szereplő jelzéseknek megfelelően az EU Login weboldalára irányította a felperest (lásd a fenti 177. pont első és második franciabekezdését).

181

Ezzel egyidejűleg a Facebook közölte az EU Loginnal a fenti 177. pont negyedik és ötödik franciabekezdésében említett véletlenszerű biztonsági értéket és egyedi kódot. Egyrészt a Facebook e közlése lehetővé tette az EU Login számára, hogy tudomást szerezzen arról, hogy a Facebook által a rendelkezésére bocsátott személyes adatok a hitelesítési eljárást kezdeményező felhasználóra, vagyis a jelen ügyben a felperesre vonatkoznak. Másrészt lehetővé tette az EU Login számára, hogy korlátozott ideig hozzáférjen a fenti 177. pont harmadik franciabekezdésében említett személyes adatokhoz, így a felperes keresztnevéhez, vezetéknevéhez és e‑mail címéhez, ahogyan azokat a felperes a Facebook‑fiókjában megadta. Az adatokat a Facebook az EU Login részére titkosítva kódolt kapcsolaton keresztül továbbította. Az EU Login a Facebook által rendelkezésre bocsátott adatok alapján hitelesítette a felperes e‑mail‑címét.

182

Egyébiránt meg kell jegyezni, hogy a Facebook közösségi háló az Egyesült Államokban székhellyel rendelkező Meta Platforms vállalkozás tulajdonában van.

183

Ezenkívül rá kell mutatni,hogy az EU Login weboldalán e hiperhivatkozás megjelenítésére a Facebook platform általános szerződési feltételei vonatkoznak, amelyeket a „https://developers.facebook.com/terms” weboldalcímen tesznek közzé.

184

E megfontolások fényében kell megvizsgálni, hogy teljesülnek‑e a Bizottság szerződésen kívüli felelősségét megalapozó feltételek.

185

A felperes lényegében arra hivatkozik, hogy amikor 2022. március 30‑án bejelentkezett az EU Login oldalra, a hozzá tartozó személyes adatok – többek között az IP‑címe – a Facebook közösségi háló szervereire kerültek, amelynek tulajdonos vállalkozása az Egyesült Államokban rendelkezik székhellyel. Ezen adattovábbításra a 2018/1725 rendelet 46. cikkének megsértésével került sor, és nem vagyoni kárt okozott a felperesnek azzal, hogy elvesztette az adatai feletti ellenőrzést, valamint megfosztották jogaitól és szabadságaitól.

186

Elöljáróban emlékeztetni kell arra, hogy – amint az a fenti 95. pontból következik – a személyes adatoknak a 2018/1725 rendelet 46. cikke értelmében vett, harmadik országba történő továbbításához fogalmilag az szükséges, hogy az uniós intézmény, szerv, hivatal vagy ügynökség a személyes adatokat továbbítással vagy más módon harmadik országban – azaz olyan országban, amely nem tagja sem az Uniónak, sem az EGT‑nek – letelepedett címzett rendelkezésére bocsássa.

187

A jelen ügyben bizonyítást nyert, hogy a felperes először is az EU Loginba való bejelentkezési lehetőségek közül a Facebook‑fiókjával való bejelentkezést választotta. Másodszor, a „Bejelentkezés a Facebookkal” hiperlink a Facebook weboldalának URL‑címére mutató linket tartalmaz. Harmadszor, amikor a felperes erre a hiperlinkre kattintva aktiválta azt, a böngészője a Facebook weboldalának URL‑címét érte el, és ezt követően továbbította IP‑címét a Facebooknak (lásd a fenti 173–175. pontot).

188

Ebből következik, hogy a Bizottság az EU Login internetes oldalán megjelenő „Bejelentkezés a Facebookkal” hiperlink révén megteremtette annak feltételeit, hogy a felperes IP-címét továbbítani lehessen a Facebooknak. Márpedig ez az IP‑cím a felperes személyes adatainak minősül (lásd a fenti 122. pontot), amelyet az említett hiperlinken keresztül továbbítottak az Egyesült Államokban székhellyel rendelkező Meta Platforms vállalkozásnak. Ez a továbbítás tehát a 2018/1725 rendelet 46. cikke értelmében vett, harmadik országba történő személyesadat‑továbbításnak felel meg.

189

Ezenkívül a jelen ügyben bizonyítást nyert, hogy ezen adattovábbítás időpontjában, azaz 2022. március 30‑án az Egyesült Államok vonatkozásában nem létezett a 2018/1725 rendelet 47. cikke értelmében vett megfelelőségi határozat.

190

Az Egyesült Államok vonatkozásában fennálló bizottsági megfelelőségi határozat hiányában a 2018/1725 rendelet 48. cikkének (1) bekezdésének megfelelően az adatkezelő vagy adatfeldolgozó csak abban az esetben továbbíthat személyes adatokat harmadik országba vagy nemzetközi szervezet részére, ha az adatkezelő vagy adatfeldolgozó megfelelő garanciákat nyújtott, és csak azzal a feltétellel, hogy az érintettek számára érvényesíthető jogok és hatékony jogorvoslati lehetőségek állnak rendelkezésre (lásd a fenti 101. pontot).

191

A jelen ügyben a Bizottság nem bizonyította, illetve állította, hogy létezne megfelelő garancia, például a 2018/1725 rendelet 48. cikkének (2) és (3) bekezdésében előírt feltételek mellett elfogadott általános adatvédelmi kikötés vagy szerződéses rendelkezés (lásd a fenti 102–104. pontot). Ezzel szemben bizonyított, hogy az EU Login weboldalon a „Bejelentkezés a Facebookkal” hiperlink megjelenítésére egyszerűen a Facebook platform általános szerződési feltételei vonatkoznak (lásd a fenti 183. pontot).

192

Következésképpen a Bizottság megteremtette az ahhoz szükséges feltételeket, hogy a felperes személyes adatait harmadik országba továbbítsák, és nem tartotta tiszteletben a 2018/1725 rendelet 46. cikkében megállapított feltételeket.

193

Meg kell tehát állapítani – anélkül, hogy meg kellene vizsgálni a felperes többi érvét –, hogy a Bizottság a fenti 50. pontban ismertetett ítélkezési gyakorlat értelmében kellően súlyosan megsértette a 2018/1725 rendelet 46. cikkét az EU Loginhoz való 2022. március 30‑i csatlakozás során történt, vitatott adattovábbítással kapcsolatban.

194

Ezért meg kell vizsgálni, hogy a jelen esetben teljesülnek‑e a Bizottság szerződésen kívüli felelősségének a kárra és az okozati összefüggésre vonatkozó egyéb feltételei.

195

A felperes azt állítja, hogy az IP‑címének az Egyesült Államokban székhellyel rendelkező vállalkozáshoz történő jogellenes átruházása nem vagyoni kárt okozott neki azzal, hogy elvesztette az adatai feletti ellenőrzést, valamint megfosztották jogaitól és szabadságaitól.

196

E tekintetben meg kell állapítani, hogy a 2018/1725 rendelet 65. cikke nemcsak a vagyoni kár, hanem az e rendelet megsértése miatt elszenvedett nem vagyoni kár megtérítésére is jogot keletkeztet, anélkül hogy szükség lenne bármilyen súlyossági küszöb bizonyítására (lásd ebben az értelemben és analógia útján: 2023. május 4‑iÖsterreichische Post [Személyes adatok kezeléséhez kapcsolódó nem vagyoni kár] ítélet, C‑300/21, EU:C:2023:370, 45. és 51. pont).

197

A jelen ügyben a felperes által hivatkozott nem vagyoni kárt a fenti 54. pontban ismertetett ítélkezési gyakorlat értelmében ténylegesnek és biztosnak kell tekinteni, mivel a fenti 188. pontban említett adattovábbítás, amelyre a 2018/1725 rendelet 46. cikkét megsértve került sor, bizonytalan helyzetbe hozta a felperest személyes adatainak, különösen IP‑címének kezelését illetően.

198

Ezenkívül a fenti 55. pontban ismertetett ítélkezési gyakorlat értelmében vett kellően közvetlen okozati összefüggés áll fenn a 2018/1725 rendelet 46. cikkének Bizottság általi megsértése és a felperesnek okozott nem vagyoni kár között.

199

A jelen ügy körülményei között a Bizottság által okozott nem vagyoni kár összegét méltányosan 400 euróban kell megállapítani.

200

Következésképpen a Bizottságot kötelezni kell arra, hogy az EU Loginhoz való 2022. március 30‑i csatlakozás során történt, vitatott adattovábbítással okozott nem vagyoni kár címén fizessen 400 eurót a felperes részére.

201

A Törvényszék eljárási szabályzata 134. cikkének (3) bekezdése értelmében részleges pernyertesség esetén mindegyik fél maga viseli saját költségeit. Azonban, ha az ügy körülményei alapján indokoltnak látszik, a Törvényszék határozhat úgy, hogy a fél saját költségein felül viseli a másik fél költségeinek egy részét is.

202

A jelen ügyben a felperes pervesztes lett az első és a második kereseti kérelme, valamint harmadik kereseti kérelmének egy része tekintetében. Ugyanakkor a Törvényszék a harmadik kereseti kérelemnek részben helyt adott, és a Bizottságot kötelezi a felperesnek az EU Loginhoz való 2022. március 30‑i csatlakozás során történt, vitatott adattovábbítással okozott nem vagyoni kár megtérítése címén kért kártérítés megfizetésére. E körülmények között úgy kell határozni, hogy a Bizottság maga viseli saját költségeit, valamint a felperes részéről felmerült költségek felét. A felperes maga viseli saját költségeinek felét.

A fenti indokok alapján

A TÖRVÉNYSZÉK (kibővített hatodik tanács)

a következőképpen határozott:

A jogvita előzményei és a kereset előterjesztését követő tényállás

A felek kérelmei

A jogkérdésről

A személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi védelmére vonatkozó előzetes megfontolások

Az elfogadhatóságról

A megsemmisítés iránti kereseti kérelmek elfogadhatósága

Az intézményi mulasztás megállapítása iránti kereseti kérelmek elfogadhatósága

A kártérítés iránti kérelmekről

Az Uniónak a 2018/1725 rendelettel összefüggő szerződésen kívüli felelőssége megállapításának feltételeire vonatkozó előzetes megfontolások

Az információkhoz való hozzáféréshez fűződő jog megsértéséből eredő nem vagyoni kár megtérítése iránti első kérelemről

A vitatott adattovábbításokból eredő nem vagyoni kár megtérítése iránti második kártérítési kérelemről

– A személyes adatok harmadik országba történő továbbítására vonatkozó rendelkezésekre vonatkozó előzetes megfontolások

– Az Amazon CloudFront szolgáltatásnak a CAE internetes oldalával összefüggő működéséről

– A CAE internetes oldalának 2022. március 30‑i megtekintése során történt, vitatott adattovábbítás

– A CAE internetes oldalának 2022. június 8‑i megtekintései során történt, vitatott adattovábbítások

– Az EU Loginhoz való 2022. március 30‑i csatlakozás során történt, vitatott adattovábbítás

A költségekről