–

UZ képviseletében J. Leuschner Rechtsanwalt,

–

a német kormány képviseletében J. Möller és P.‑L. Krüger, meghatalmazotti minőségben,

–

a cseh kormány képviseletében O. Serdula, M. Smolek és J. Vláčil, meghatalmazotti minőségben,

–

a francia kormány képviseletében A.‑L. Desjonquères és J. Illouz, meghatalmazotti minőségben,

–

az osztrák kormány képviseletében A. Posch, M.‑T. Rappersberger és J. Schmoll, meghatalmazotti minőségben,

–

a lengyel kormány képviseletében B. Majczyna, meghatalmazotti minőségben,

–

az Európai Bizottság képviseletében A. Bouchagiar, F. Erlbacher és H. Kranenborg, meghatalmazotti minőségben,

1

Az előzetes döntéshozatal iránti kérelem a természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (GDPR) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; a továbbiakban: általános adatvédelmi rendelet) 5. cikkének, 17. cikke (1) bekezdése d) pontjának, 18. cikke (1) bekezdése b) pontjának, valamint 26. és 30. cikkének értelmezésére vonatkozik.

2

E kérelem előterjesztésre a harmadik országbeli állampolgár UZ és a Bundesamt für Migration und Flüchtlinge (szövetségi bevándorlási és menekültügyi hivatal, Németország) (a továbbiakban: szövetségi hivatal) által képviselt Bundesrepublik Deutschland (Németországi Szövetségi Köztársaság) között az ezen állampolgár által benyújtott nemzetközi védelem iránti kérelem elbírálása tárgyában folyamatban lévő jogvita keretében került sor.

3

A nemzetközi védelem megadására és visszavonására vonatkozó közös eljárásokról szóló, 2013. június 26‑i 2013/32/EU európai parlamenti és tanácsi irányelv (átdolgozás) (HL 2013. L 180., 60. o.; helyesbítés: HL 2016. L 198., 50. o.) (52) preambulumbekezdése szerint:

„A tagállamok által ezen irányelv alapján végzett személyesadat‑feldolgozás tekintetében a személyes adatok feldolgozása vonatkozásában az egyének védelméről és az ilyen adatok szabad áramlásáról szóló, 1995. október 24‑i 95/46/EK európai parlamenti és tanácsi irányelv [(HL 1995. L 281., 31. o.] az irányadó.”

4

A GDPR (1), (10), (40), (74), (79) és (82) preambulumbekezdésének szövege a következő:

[…]

[…]

[…]

[…]

[…]

5

A GDPR „Általános rendelkezések” című I. fejezete tartalmazza az 1–4. cikket.

6

E rendelet „Tárgy” című 1. cikke értelmében:

„(1)   Ez a rendelet a természetes személyeknek a személyes adatok kezelése tekintetében történő védelmére és a személyes adatok szabad áramlására vonatkozó szabályokat állapít meg.

(2)   Ez a rendelet a természetes személyek alapvető jogait és szabadságait és különösen a személyes adatok védelméhez való jogukat védi.

[…]”

7

Az említett rendelet a „Fogalommeghatározások” című 4. cikkének 2., 7. és 21. pontjában előírja:

[…]

[…]

[…]”

8

A GDPR „Elvek” című II. fejezete tartalmazza e rendelet 5–11. cikkét.

9

E rendeletnek „A személyes adatok kezelésére vonatkozó elvek” című 5. cikke a következőket írja elő:

„(1)   A személyes adatok:

(2)   Az adatkezelő felelős az (1) bekezdésnek való megfelelésért, továbbá képesnek kell lennie e megfelelés igazolására (»elszámoltathatóság«).”

10

Az említett rendeletnek „Az adatkezelés jogszerűsége” című 6. cikke az (1) bekezdésében a következőket írja elő:

„A személyes adatok kezelése kizárólag akkor és annyiban jogszerű, amennyiben legalább az alábbiak egyike teljesül:

Az első albekezdés f) pontja nem alkalmazható a közhatalmi szervek által feladataik ellátása során végzett adatkezelésre.”

11

A GDPR 7. cikke a hozzájárulás feltételeire vonatkozik, míg e rendelet 8. cikke meghatározza a gyermekek hozzájárulására vonatkozó feltételeket az információs társadalommal összefüggő szolgáltatások vonatkozásában.

12

E rendelet „A személyes adatok különleges kategóriáinak kezelése” című 9. cikke tiltja a faji vagy etnikai származásra, politikai véleményre, vallási vagy világnézeti meggyőződésre vagy szakszervezeti tagságra utaló személyes adatok, valamint a természetes személyek egyedi azonosítását célzó genetikai és biometrikus adatok, az egészségügyi adatok és a természetes személyek szexuális életére vagy szexuális irányultságára vonatkozó személyes adatok kezelését.

13

Az említett rendeletnek „A büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelése” című 10. cikke a büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre, illetve a kapcsolódó biztonsági intézkedésekre vonatkozó személyes adatoknak az ugyanezen rendelet 6. cikkének (1) bekezdése alapján történő kezelésére vonatkozik.

14

A GDPR‑nek „Az érintett jogai” című III. fejezete tartalmazza a 12–23. cikket.

15

A GDPR „A törléshez való jog (»az elfeledtetéshez való jog«)” című 17. cikkének szövege a következő:

„(1)   Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:

[…]

[…]

(3)   Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:

[…]

[…]

16

Az említett rendeletnek „Az adatkezelés korlátozásához való jog” című 18. cikke értelmében:

„(1)   Az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az alábbiak valamelyike teljesül:

[…]

[…]

(2)   Ha az adatkezelés az (1) bekezdés alapján korlátozás alá esik, az ilyen személyes adatokat a tárolás kivételével csak az érintett hozzájárulásával, vagy jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez, vagy más természetes vagy jogi személy jogainak védelme érdekében, vagy az Unió, illetve valamely tagállam fontos közérdekéből lehet kezelni.

[…]”

17

A GDPR‑nek „Az adatkezelő és az adatfeldolgozó” című IV. fejezete tartalmazza a 24–43. cikket.

18

E rendelet „Közös adatkezelők” című 26. cikke, amely az említett fejezet „Általános kötelezettségek” című 1. szakaszában található, kimondja:

„(1)   Ha az adatkezelés céljait és eszközeit két vagy több adatkezelő közösen határozza meg, azok közös adatkezelőknek minősülnek. A közös adatkezelők átlátható módon, a közöttük létrejött megállapodásban határozzák meg az e rendelet szerinti kötelezettségek teljesítéséért fennálló, különösen az érintett jogainak gyakorlásával és a 13. és a 14. cikkben említett információk rendelkezésre bocsátásával kapcsolatos feladataikkal összefüggő felelősségük megoszlását, kivéve azt az esetet és annyiban, ha és amennyiben az adatkezelőkre vonatkozó felelősség megoszlását a rájuk alkalmazandó uniós vagy tagállami jog határozza meg. A megállapodásban az érintettek számára kapcsolattartót lehet kijelölni.

(2)   Az (1) bekezdésben említett megállapodásnak megfelelően tükröznie kell a közös adatkezelők érintettekkel szembeni szerepét és a velük való kapcsolatukat. A megállapodás lényegét az érintett rendelkezésére kell bocsátani.

(3)   Az érintett az (1) bekezdésben említett megállapodás feltételeitől függetlenül mindegyik adatkezelő vonatkozásában vagy mindegyik adatkezelővel szemben gyakorolhatja az e rendelet szerinti jogait.”

19

Az említett rendeletnek „Az adatkezelési tevékenységek nyilvántartása” című 30. cikke előírja:

„(1)   Minden adatkezelő és – ha van ilyen – az adatkezelő képviselője a felelősségébe tartozóan végzett adatkezelési tevékenységekről nyilvántartást vezet. E nyilvántartás a következő információkat tartalmazza:

[…]

4.   Az adatkezelő vagy az adatfeldolgozó, valamint – ha van ilyen – az adatkezelő vagy az adatfeldolgozó képviselője megkeresés alapján a felügyeleti hatóság részére rendelkezésére bocsátja a nyilvántartást.

[…]”

20

A GDPR‑nek a „Független felügyeleti hatóságok” című VI. fejezetében szereplő, „Hatáskörök” című 58. cikke a (2) bekezdésében a következőképpen rendelkezik:

„A felügyeleti hatóság korrekciós hatáskörében eljárva:

21

A GDPR „Jogorvoslat, felelősség és szankciók” című VIII. fejezete tartalmazza a 77–84. cikket.

22

A GDPR‑nek „A felügyeleti hatóságnál történő panasztételhez való jog” című 77. cikke az (1) bekezdésében a következőképpen rendelkezik:

„Az egyéb közigazgatási vagy bírósági jogorvoslatok sérelme nélkül, minden érintett jogosult arra, hogy panaszt tegyen egy felügyeleti hatóságnál – különösen a szokásos tartózkodási helye, a munkahelye vagy a feltételezett jogsértés helye szerinti tagállamban –, ha az érintett megítélése szerint a rá vonatkozó személyes adatok kezelése megsérti e rendeletet.”

23

A GDPR „A kártérítéshez való jog és a felelősség” című 82. cikkének (1) és (2) bekezdése értelmében:

„(1)   Minden olyan személy, aki e rendelet megsértésének eredményeként vagyoni vagy nem vagyoni kárt szenvedett, az elszenvedett kárért az adatkezelőtől vagy az adatfeldolgozótól kártérítésre jogosult.

(2)   Az adatkezelésben érintett valamennyi adatkezelő felelősséggel tartozik minden olyan kárért, amelyet az e rendeletet sértő adatkezelés okozott. Az adatfeldolgozó csak abban az esetben tartozik felelősséggel az adatkezelés által okozott károkért, ha nem tartotta be az e rendeletben meghatározott, kifejezetten az adatfeldolgozókat terhelő kötelezettségeket, vagy ha az adatkezelő jogszerű utasításait figyelmen kívül hagyta vagy azokkal ellentétesen járt el.”

24

E rendelet „A közigazgatási bírságok kiszabására vonatkozó általános feltételek” című 83. cikkének (4), (5) és (7) bekezdése kimondja:

(4)   Az alábbi rendelkezések megsértése – a (2) bekezdéssel összhangban – legfeljebb 10000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%‑át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:

[…]

(5)   Az alábbi rendelkezések megsértése – a (2) bekezdéssel összhangban – legfeljebb 20000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%‑át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:

[…]

(7)   A felügyeleti hatóságok 58. cikk (2) bekezdése szerinti korrekciós hatáskörének sérelme nélkül, minden egyes tagállam megállapíthatja az arra vonatkozó szabályokat, hogy az adott tagállami székhelyű közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabható‑e közigazgatási bírság, és ha igen, milyen mértékű.”

25

Az említett rendelet „Záró rendelkezések” című XI. fejezetében szereplő, „A 95/46/EK irányelv hatályon kívül helyezése” című 94. cikk a következőképpen rendelkezik:

„(1)   A 95/46/ CE irányelv 2018. május 25‑i hatállyal hatályát veszti.

(2)   A hatályon kívül helyezett irányelvre történő hivatkozásokat az e rendeletre történő hivatkozásnak kell tekinteni. A 95/46/EK irányelv 29. cikke által létrehozott, a természetes személyeknek a személyes adatok feldolgozása tekintetében való védelmével foglalkozó munkacsoportra történő hivatkozást az e rendelet által létrehozott Európai Adatvédelmi Testületre történő hivatkozásnak kell tekinteni.”

26

Az 1990. december 20‑i Bundesdatenschutzgesetz (az adatvédelemről szóló szövetségi törvény, BGBl. 1990 I, 2954. o.) alapügyre alkalmazandó változatának (a továbbiakban: BDSG) „A közigazgatási bírságokra vonatkozó rendelkezések” című 43. cikke a (3) bekezdésében kimondja:

„A [BDSG] 2. §‑ának (1) bekezdése alapján semmilyen közigazgatási bírság nem szabható ki hatóságokra és más közjogi szervekre.”

27

2019. május 7‑én az alapeljárás felperese nemzetközi védelem iránti kérelmet nyújtott be a szövetségi hivatalhoz, amely e kérelmet elutasította.

28

Az elutasító határozat (a továbbiakban: vitatott határozat) meghozatala során a szövetségi hivatal az általa létrehozott „MARIS” elektronikus aktára támaszkodott, amely az alapeljárás felperesére vonatkozó személyes adatokat tartalmazza.

29

Ez utóbbi keresetet indított a vitatott határozattal szemben a Verwaltungsgericht Wiesbaden előtt (wiesbadeni közigazgatási bíróság, Németország), amely a jelen ügyben a kérdést előterjesztő bíróság. A „MARIS” elektronikus aktát ezt követően a GDPR 26. cikke szerinti közös eljárás keretében megküldték e bíróságnak a bírósági és közigazgatási elektronikus postafiókon (Elektronische Gerichts‑und Verwaltungspostfach) keresztül, amelyet a végrehajtó hatalom részét képező állami szerv kezel.

30

A kérdést előterjesztő bíróság rámutat, hogy a 2013/32 irányelv (52) preambulumbekezdéséből kitűnik, hogy a személyes adatoknak a tagállamok által a nemzetközi védelem megadására irányuló eljárások keretében végzett kezelését a GDPR szabályozza.

31

E bíróságnak ugyanakkor kétségei vannak azzal kapcsolatban, hogy a szövetségi hivatal által készített elektronikus akta megőrzése és ezen iratok bírósági és közigazgatási elektronikus postafiók útján történő megküldése megfelel‑e ezen rendeletnek.

32

Egyrészt, ami az elektronikus akta megőrzését illeti, nem nyert bizonyítást, hogy a szövetségi hivatal megfelel a GDPR 5. cikke (1) bekezdésének és 30. cikkének együttesen értelmezett rendelkezéseinek. A kérdést előterjesztő bíróság erre irányuló kérelme ellenére ugyanis a szövetségi hivatal nem nyújtotta be az ezen aktára vonatkozó adatkezelési tevékenységek teljes körű nyilvántartását. Márpedig az ilyen nyilvántartást az alapeljárás felperesére vonatkozó személyes adatok kezelésének időpontjában, vagyis a nemzetközi védelem iránti kérelme benyújtásának időpontjában kellett volna létrehozni. A szövetségi hivatalt meg kellene hallgatni a GDPR 5. cikkének (2) bekezdése szerinti elszámoltathatósága kérdésében, miután a Bíróság határozatot hozott a jelen előzetes döntéshozatal iránti kérelemről.

33

Másrészt, ami az elektronikus akta bírósági és közigazgatási elektronikus postafiókon keresztül történő továbbítását illeti, az ilyen továbbítás a GDPR 4. cikkének 2. pontja értelmében vett olyan „adatkezelésnek” minősül, amelynek meg kell felelnie az e rendelet 5. cikkében rögzített elveknek. Márpedig az említett rendelet 26. cikkét megsértve semmilyen nemzeti szabályozás nem szabályozza a közigazgatási hatóságok és bíróságok közötti továbbítási eljárást a közös adatkezelők felelősségi körének meghatározásával, és a szövetségi hivatal nem nyújtott be ilyen értelmű megállapodást a kérdést előterjesztő bíróság erre irányuló kérelme ellenére sem. Ez utóbbi bíróságban tehát felmerül az adatoknak a bírósági és közigazgatási elektronikus postafiókon keresztül történő továbbításának jogszerűségével kapcsolatos kérdés.

34

A kérdést előterjesztő bíróság szerint különösen azt kell meghatározni, hogy a GDPR 5., 26. és 30. cikkében előírt kötelezettségek megsértését, amelyből a személyes adatok kezelésének jogellenessége következik, ezen adatoknak az e rendelet 17. cikke (1) bekezdésének d) pontja szerinti törlésével vagy az adatkezelésnek az említett rendelet 18. cikke (1) bekezdése b) pontjának megfelelő korlátozásával kell‑e szankcionálni. Ilyen szankciókat kellene legalábbis az érintett személy kérelme esetén figyelembe venni. Ennek hiányában e bíróság köteles lenne részt venni az említett adatok bírósági eljárás keretében történő jogellenes kezelésében. Ilyen esetben kizárólag a felügyeleti hatóság avatkozhat be, a GDPR 58. cikke alapján, az érintett közhatalmi szervekkel szemben e rendelet 83. cikke (5) bekezdésének a) pontja alapján közigazgatási bírság kiszabásával. Mindazonáltal a BDSG 43. §–ának (3) bekezdése értelmében, amely az említett rendelet 83. cikkének (7) bekezdését ülteti át, nemzeti szinten semmilyen közigazgatási bírság nem szabható ki közhatalmi vagy egyéb, közfeladatot ellátó szervekre. Ebből következik, hogy sem a 2013/32 irányelvet, sem a GDPR‑t nem tartják tiszteletben.

35

Egyébiránt a kérdést előterjesztő bíróság szerint az alapügyben szereplő adatkezelés nem tartozik a GDPR 17. cikke (3) bekezdése e) pontjának hatálya alá, amely lehetővé teszi a személyes adatok felhasználását az alperes jogi igényei előterjesztéséhez, érvényesítéséhez, illetve védelméhez. Kétségtelen, hogy a jelen ügyben a szövetségi hivatal az adatokat e rendelet 17. cikke (3) bekezdése b) pontjának megfelelően a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából használja fel. Mindazonáltal e rendelkezés alkalmazása az adatvédelmi jogszabályokkal ellentétes gyakorlat tartós jogszerűvé tételét jelentené.

36

E bíróság ennélfogva arra keres választ, hogy az igazságszolgáltatási tevékenysége keretében milyen mértékben veheti figyelembe a végrehajtó hatalom körébe tartozó ilyen eljárás keretében szolgáltatott személyes adatokat. Ha ugyanis az elektronikus akta megőrzését vagy annak a bírósági és közigazgatási elektronikus postafiókba történő továbbítását a GDPR‑re tekintettel jogellenes adatkezelésnek kellene minősíteni, az említett bíróság az ilyen figyelembevétellel részt vesz a szóban forgó jogellenes adatkezelésben, ami ellentétes lenne az e rendelet által követett céllal, amely a természetes személyek alapvető jogainak és szabadságainak, és különösen a személyes adatok védelméhez való joguknak a védelmére irányul.

37

E tekintetben a kérdést előterjesztő bíróság arra is választ keres, hogy az a körülmény, hogy az érintett személy kifejezetten hozzájárul vagy ellenzi személyes adatainak bírósági eljárás keretében történő felhasználását, befolyásolhatja‑e ezen adatok figyelembevételének lehetőségét. Abban az esetben, ha e bíróság nem veheti figyelembe a „MARIS” elektronikus aktában szereplő adatokat az ezen akta megőrzését és továbbítását érintő jogellenességek miatt, e jogsértések esetleges orvoslásáig semmiféle jogalap nem állna fenn az alapeljárás felperesének a menekült jogállás elismerése iránti kérelméről szóló határozat meghozatalához. Következésképpen az említett bíróságnak meg kellene semmisítenie a vitatott határozatot.

38

E körülmények között a Verwaltungsgericht Wiesbaden (wiesbadeni közigazgatási bíróság) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:

39

A német kormány anélkül, hogy formálisan elfogadhatatlansági kifogást emelt volna, kétségeit fejezi ki azzal kapcsolatban, hogy az előzetes döntéshozatalra előterjesztett kérdések relevánsak‑e az alapeljárás kimenetele szempontjából. Mindenekelőtt az előzetes döntéshozatalra utaló határozatból kitűnik, hogy a GDPR 5. cikke (2) bekezdésének a szövetségi hivatal általi megsértése nem nyert jogerősen megállapítást, a kérdést előterjesztő bíróság annak vélelmezésére szorítkozott. Továbbá e bíróság nem állította, hogy a szövetségi hivatal aktái – feltéve, hogy nem jogosult azok felhasználására – kizárólag meghatározóak lennének e jogvita megoldása szempontjából. A kérdést előterjesztő bíróság ugyanis más információforrásokkal is rendelkezik, amelyeket a hivatalból történő vizsgálat elve alapján teljes mértékben ki kell használni, ha valamely hatóság nem nyújt be iratokat, vagy azok hiányosak. Végül a harmadik kérdés nyilvánvalóan hipotetikus, mivel az előzetes döntéshozatalra utaló határozatból nem tűnik ki, hogy az alapeljárás felperese hozzájárult volna vagy hozzájárulna személyes adatainak a kérdést előterjesztő bíróság általi kezeléséhez.

40

Emlékeztetni kell arra, hogy a Bíróság állandó ítélkezési gyakorlata értelmében az uniós jogra vonatkozó kérdések releváns voltát vélelmezni kell. A Bíróság csak akkor utasíthatja el a nemzeti bíróság által előzetes döntéshozatalra előterjesztett kérdést, ha az uniós jog kért értelmezése nyilvánvalóan semmilyen összefüggésben nincs az alapügy tényállásával vagy tárgyával, ha a probléma hipotetikus jellegű, vagy ha nem állnak a Bíróság rendelkezésére azok a ténybeli vagy jogi elemek, amelyek szükségesek ahhoz, hogy az elé terjesztett kérdésekre hasznos választ adhasson. Ráadásul az EUMSZ 267. cikkben említett eljárás keretében, amely a nemzeti bíróságok és a Bíróság feladatainak világos szétválasztásán alapul, az ügy konkrét tényállásának a megállapítása és megítélése, valamint a nemzeti jog értelmezése és alkalmazása kizárólag a nemzeti bíróság hatáskörébe tartozik (lásd különösen: 2022. március 24‑iAutoriteit Persoonsgegevens ítélet, C‑245/20, EU:C:2022:216, 20. és 21. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

41

Ahogyan az az EUMSZ 267. cikk második bekezdéséből egyértelműen kitűnik, a nemzeti bíróságok és a Bíróság közötti, a feladatmegosztáson alapuló szoros együttműködés keretében a kérdést előterjesztő bíróság feladata annak eldöntése, hogy az eljárás mely szakaszában terjesszen kérdést a Bíróság elé előzetes döntéshozatalra (2008. július 17‑iColeman ítélet, C‑303/06, EU:C:2008:415, 29. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

42

Közelebbről, a Bíróság e tekintetben már kimondta, hogy az a körülmény, hogy a ténykérdések még nem képezték kontradiktórius bizonyításfelvételi eljárás tárgyát, önmagában nem teszi elfogadhatatlanná az előzetes döntéshozatalra előterjesztett kérdést (lásd ebben az értelemben: 2014. szeptember 11‑iÖsterreichischer Gewerkschaftsbund ítélet, C‑328/13, EU:C:2014:2197, 19. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

43

Márpedig a jelen ügyben, noha az előzetes döntéshozatal iránti kérelemből kitűnik, hogy a kérdést előterjesztő bíróság nem határozott jogerősen arról, hogy a szövetségi hivatal megsértette‑e a GDPR 5. cikkének az e rendelet 26. és 30. cikkével összefüggésben értelmezett (2) bekezdéséből eredő kötelezettségeit, ezért az alapeljárás e szempontjának az e kérelemben szolgáltatott információk szerint még kontradiktórius vita tárgyát kell képeznie, ez nem változtat azon, hogy e bíróság megállapította, hogy sem a közös adatkezelésről szóló megállapodást, sem az e két utóbbi rendelkezésben említett, az adatkezelési tevékenységekre vonatkozó nyilvántartást nem nyújtotta be a szövetségi hivatal adatkezelőként, annak ellenére, hogy erre irányuló kérelmet intéztek hozzá.

44

Egyébiránt az előzetes döntéshozatalra utaló határozatból kitűnik, hogy az említett bíróság véleménye szerint, amely bíróságnak kizárólagos feladata a tényállás megállapítása és értékelése, a vitatott határozatot kizárólag a szövetségi hivatal által összeállított elektronikus iratok alapján fogadták el, amelynek megőrzése és továbbítása sértheti az említett rendeletben foglalt szabályokat, így e határozatot ezen okból meg kell semmisíteni.

45

Végül, ami az alapeljárás felperesének a személyes adatainak a bírósági eljárás keretében történő felhasználásához való hozzájárulását illeti, elegendő megállapítani, hogy az előzetes döntéshozatalra előterjesztett harmadik kérdés pontosan annak meghatározására irányul, hogy a jelen ügyben szükséges‑e ilyen hozzájárulás megadása ahhoz, hogy a kérdést előterjesztő bíróság jogosult legyen ezen adatok figyelembevételére.

46

E körülmények között, mivel a Bírósághoz az uniós jog értelmezésére irányuló olyan kérelemmel fordultak, amely nem nyilvánvalóan irreleváns az alapeljárás tényállása vagy tárgya vonatkozásában, és a Bíróság rendelkezik az ahhoz szükséges információkkal, hogy hasznos választ adjon a GDPR alapeljárásra gyakorolt hatásával kapcsolatban elé terjesztett kérdésekre, azokra válaszolnia kell, anélkül hogy maga a kérdést előterjesztő bíróság által vélelmezett tényállást vizsgálná, amely tényállást utóbb e bíróságnak kell majd felülvizsgálnia, ha az szükségessé válik (lásd analógia útján: 2008. július 17‑iColeman ítélet, C‑303/06, EU:C:2008:415, 31. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

47

Következésképpen meg kell állapítani, hogy a jelen előzetes döntéshozatal iránti kérelem elfogadható, és válaszolni kell az előterjesztő bíróság által feltett kérdésekre, ugyanakkor ez utóbbinak meg kell vizsgálnia, hogy a szövetségi hivatal megsértette‑e a GDPR 26. és 30. cikkében előírt kötelezettségeket.

48

Első kérdésével az előterjesztő bíróság lényegében arra keres választ, hogy a GDPR 17. cikke (1) bekezdésének d) pontját és 18. cikke (1) bekezdésének b) pontját úgy kell‑e értelmezni, hogy az e rendelet 26. és 30. cikkében előírt, az adatkezelésért való közös felelősséget meghatározó megállapodás megkötésére és az adatkezelési tevékenységekkel kapcsolatos nyilvántartás vezetésére vonatkozó kötelezettség adatkezelő általi megsértése jogellenes adatkezelésnek minősül, amely az érintettet az adatok törléséhez vagy az adatkezelés korlátozásához való joggal ruházza fel, mivel az ilyen jogsértés magában foglalja az említett rendelet 5. cikkének (2) bekezdésében meghatározott „elszámoltathatóság” elvének adatkezelő általi megsértését.

49

A Bíróság állandó ítélkezési gyakorlata szerint valamely uniós jogi rendelkezés értelmezéséhez nemcsak annak szövegét, hanem szövegkörnyezetét, és annak a szabályozásnak a célkitűzéseit is figyelembe kell venni, amelynek az részét képezi (lásd ebben az értelemben különösen: 2023. január 12‑iNemzeti Adatvédelmi és Információszabadság Hatóság ítélet, C‑132/21, EU:C:2023:2, 32. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

50

Ami először is a vonatkozó uniós jogi rendelkezések szövegét illeti, emlékeztetni kell arra, hogy a GDPR 17. cikke (1) bekezdésének d) pontja értelmében az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha a személyes adatokat „jogellenesen kezelték”.

51

Hasonlóképpen, a GDPR 18. cikke (1) bekezdésének b) pontja értelmében, amennyiben „az adatkezelés jogellenes”, az érintett jogosult arra, hogy kérésére az adatkezelő korlátozza az adatkezelést, ha az érintett ellenzi az adatok törlését, és ehelyett kéri azok felhasználásának korlátozását.

52

Az előző két pontban említett rendelkezéseket e rendelet 5. cikkének (1) bekezdésével összefüggésben kell értelmezni, amely szerint a személyes adatok kezelésének meg kell felelniük az e rendelkezésben kimondott bizonyos elveknek, köztük az említett rendelet 5. cikke (1) bekezdésének a) pontjában szereplő elvnek, melynek értelmében a személyes adatok kezelését „jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni”.

53

A GDPR 5. cikkének (2) bekezdése értelmében az adatkezelő az e rendelkezésben foglalt „elszámoltathatóság” elvének megfelelően felelős az e cikk (1) bekezdésének való megfelelésért, továbbá képesnek kell lennie annak igazolására, hogy tiszteletben tartja az ezen (1) bekezdésben rögzített összes elvet, így ennek bizonyítása rá hárul (lásd ebben az értelemben: 2022. február 24‑iValsts ieņēmumu dienests [Személyes adatok adóügyi célból történő kezelése] ítélet, C‑175/20, EU:C:2022:124, 77., 78. és 81. pont).

54

Ebből következik, hogy az említett rendelet 5. cikkének az e cikk (1) bekezdésének a) pontjával összefüggésben értelmezett (2) bekezdése alapján az adatkezelőnek meg kell győződnie az általa végzett adatkezelés „jogszerű” jellegéről.

55

Márpedig meg kell állapítani, hogy az adatkezelés jogszerűségére pontosan a GDPR 6. cikke vonatkozik – ahogyan az magából a címéből kitűnik –, amely előírja, hogy az adatkezelés csak akkor jogszerű, ha az e cikk (1) bekezdése első albekezdésének a)–f) pontjában meghatározott feltételek közül legalább egy teljesül, vagyis – amint az e rendelet (40) preambulumbekezdéséből is kitűnik – ha akár az érintett hozzájárulását adta személyes adatainak egy vagy több konkrét célból történő kezeléséhez akár az adatkezelés az egyik említett célból szükséges, amelyek a következők: olyan szerződés teljesítése, amelyben az érintett az egyik fél, vagy az a szerződés megkötését megelőzően az érintett kérésére történő lépések megtétele; az adatkezelőre vonatkozó jogi kötelezettség teljesítése; az érintett vagy egy másik természetes személy létfontosságú érdekeinek védelme; közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtása; valamint az adatkezelő vagy egy harmadik fél jogos érdekeinek érvényesítése, kivéve, ha ezen érdekekkel szemben elsőbbséget élveznek az érintett érdekei vagy alapvető jogai és szabadságai.

56

Azon esetek e felsorolása, amelyekben a személyes adatok kezelése jogszerűnek tekinthető, kimerítő és korlátozó jellegű, így ahhoz, hogy az adatkezelést jogszerűnek lehessen tekinteni, annak a GDPR 6. cikke (1) bekezdésének első albekezdésében előírt esetek valamelyikébe kell tartoznia (lásd ebben az értelemben: 2021. június 22‑iLatvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 99. pont, valamint az ott hivatkozott ítélkezési gyakorlat; 2022. december 8‑iInspektor v Inspektorata kam Visshia sadeben savet [A személyes adatok kezelésének céljai – nyomozás]C‑180/21, EU:C:2022:967, 83. pont).

57

Így a Bíróság ítélkezési gyakorlata szerint a személyes adatok bármely kezelésének meg kell felelnie az e rendelet 5. cikkének (1) bekezdésében foglalt, az adatkezelésre vonatkozó elveknek, és meg kell felelnie az említett rendelet 6. cikkében felsorolt, az adatkezelés jogszerűségére vonatkozó feltételeknek (lásd különösen: 2020. október 6‑iLa Quadrature du Net és társai ítélet, C‑511/18, C‑512/18 és C‑520/18, EU:C:2020:791, 208. pont; 2021. június 22–iLatvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 96. pont; 2022. október 20–iDigi ítélet, C‑77/21, EU:C:2022:805, 49. és 56. pont).

58

Egyébiránt, mivel a GDPR 7–11. cikkének – amely a rendelet 5. és 6. cikkéhez hasonlóan e rendeletnek az elvekre vonatkozó II. fejezetében szerepel – az a célja, hogy pontosítsa az adatkezelőt az említett rendelet 5. cikke (1) bekezdésének a) pontja és 6. cikkének (1) bekezdése alapján terhelő kötelezettségek terjedelmét, a személyes adatok kezelésének, ahhoz, hogy jogszerű legyen – ahogyan az a Bíróság ítélkezési gyakorlatából kitűnik – az említett fejezet ezen egyéb rendelkezéseit is tiszteletben kell tartania, amelyek lényegében a hozzájárulásra, az érzékeny személyes adatok különleges kategóriáinak kezelésére, valamint a büntetőjogi felelősség megállapítására vonatkozó határozatokra és a bűncselekményekre vonatkozó személyes adatok kezelésére vonatkoznak (lásd ebben az értelemben: 2019. szeptember 24‑iGC és társai [Különleges adatokra mutató linkek törlése] ítélet, C‑136/17, EU:C:2019:773, 72–75. pont; 2021. június 22‑iLatvijas Republikas Saeima [Büntetőpontok] ítélet, C‑439/19, EU:C:2021:504, 100., 102. és 106. pont).

59

Márpedig az írásbeli észrevételt előterjesztő összes kormányhoz, valamint az Európai Bizottsághoz hasonlóan meg kell állapítani, hogy az adatkezelésért való közös felelősséget meghatározó megállapodás megkötésére vonatkozó, a GDPR 26. cikkében előírt kötelezettség, valamint az adatkezelési tevékenységek nyilvántartásának vezetésére vonatkozó, az e rendelet 30. cikkében előírt kötelezettség adatkezelő általi tiszteletben tartása nem szerepel az adatkezelés jogszerűségének az említett rendelet 6. cikke (1) bekezdésének első albekezdésében felsorolt indokai között.

60

Ezenkívül a GDPR 7–11. cikkétől eltérően e rendelet 26. és 30. cikkének nem célja az említett rendelet 5. cikke (1) bekezdésének a) pontjában és 6. cikkének (1) bekezdésében foglalt követelmények terjedelmének pontosítása.

61

Ennélfogva magából a GDPR 5. cikke (1) bekezdése a) pontjának és 6. cikke (1) bekezdése első albekezdésének szövegéből az következik, hogy az e rendelet 26. és 30. cikkében előírt kötelezettségek adatkezelő általi megsértése nem minősül az említett rendelet 17. cikke (1) bekezdésének d) pontja és 18. cikke (1) bekezdésének b) pontja értelmében vett olyan „jogellenes adatkezelésnek”, amely abból ered, hogy az adatkezelő megsértette az ugyanezen rendelet 5. cikkének (2) bekezdésében meghatározott „elszámoltathatóság” elvét.

62

Ezt az értelmezést másodsorban az a szövegkörnyezet is megerősíti, amelybe e különböző rendelkezések illeszkednek. A GDPR szerkezetéből, és ennélfogva annak rendszeréből ugyanis egyértelműen kitűnik, hogy az különbséget tesz egyrészt a többek között e rendelet 5. és 6. cikkét tartalmazó II. fejezetének tárgyát képező „elvek”, másrészt pedig az említett rendelet IV. fejezete 1. szakaszának részét képező, az adatkezelőkre vonatkozó „általános kötelezettségek” között, amelyek között szerepelnek az ugyanezen rendelet 26. és 30. cikkében említett kötelezettségek.

63

E különbségtétel egyébiránt tükröződik a GDPR szankciókra vonatkozó VIII. fejezetében, mivel egyrészt e rendelet 26. és 30. cikkének, másrészt 5. és 6. cikkének megsértése az említett rendelet 83. cikkének (4) és (5) bekezdése szerint bizonyos összeghatárig terjedő közigazgatási bírsággal sújtható, amely összeg a szóban forgó bekezdés szerint az adott jogsértés súlyossága miatt eltérő, amit az uniós jogalkotó elismer.

64

Harmadszor és utolsósorban, a GDPR‑nek a jelen ítélet 61. pontjában kifejtett szó szerinti értelmezését megerősíti az e rendelet által követett, a rendelet 1. cikkéből, valamint (1) és (10) preambulumbekezdéséből következő célkitűzés, amely többek között arra irányul, hogy biztosítsa a természetes személyek alapvető jogainak és szabadságainak, különösen a magánélet tiszteletben tartásához való jognak a magas szintű védelmét a személyes adatok kezelése tekintetében, amelyet az Európai Unió Alapjogi Chartája 8. cikkének (1) bekezdése és az EUMSZ 16. cikk (1) bekezdése rögzít (lásd ebben az értelemben: 2022. augusztus 1‑jei Vyriausioji tarnybinės ésikos komisija ítélet, C‑184/20, EU:C:2022:601, 125. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

65

A GDPR 26. cikke szerinti közös felelősséget meghatározó megállapodás vagy az e rendelet 30. cikke értelmében vett, az adatkezelési tevékenységek nyilvántartásának hiánya önmagában nem elegendő a személyes adatok védelméhez való alapvető jog megsértésének megállapításához. Közelebbről, igaz ugyan, hogy – amint az a GDPR (79) és (82) preambulumbekezdéséből kitűnik – a közös adatkezelők közötti egyértelmű felelősségmegosztás és az adatkezelési tevékenységek nyilvántartása olyan eszközök, amelyek biztosítják, hogy ezen adatkezelők tiszteletben tartsák az említett rendeletben az érintettek jogainak és szabadságainak védelme érdekében előírt garanciákat, ez nem változtat azon, hogy az ilyen nyilvántartás vagy megállapodás hiánya önmagában nem bizonyítja, hogy e jogokat és szabadságokat megsértették.

66

Ebből következik, hogy a GDPR 26. és 30. cikkének az adatkezelő általi megsértése nem minősül az e rendelet 5. cikke (1) bekezdésének a) pontjával és 6. cikke (1) bekezdésének első albekezdésével összefüggésben értelmezett 17. cikke (1) bekezdésének d) pontja vagy 18. cikke (1) bekezdésének b) pontja értelmében vett „jogellenes adatkezelésnek”, amely az érintettet a törléshez vagy az adatkezelés korlátozásához való joggal ruházza fel.

67

Ahogyan arra az írásbeli észrevételt előterjesztő összes kormány és a Bizottság hivatkozott, az ilyen jogsértést tehát a GDPR‑ben előírt más intézkedések alkalmazásával kell orvosolni, mint például az e rendelet 58. cikkének (2) bekezdése értelmében vett „korrekciós intézkedések” felügyeleti hatóság általi elfogadása révén, többek között e rendelkezés d) pontjának megfelelően az adatkezelési műveletek összhangba hozatalával, a felügyeleti hatósághoz az e rendelet 77. cikkének (1) bekezdése szerinti panasz benyújtásával, vagy e rendelet 82. cikke alapján az adatkezelő által esetlegesen okozott kár megtérítésével.

68

Végül, a kérdést előterjesztő bíróság által kifejtett aggályokra tekintettel, pontosítani kell továbbá, hogy az a körülmény, amely szerint a jelen ügyben kizárt a GDPR 58. cikke (2) bekezdésének i) pontja és 83. cikke szerinti közigazgatási bírság kiszabása, mivel a nemzeti jog tiltja az ilyen szankció alkalmazását a szövetségi hivatallal szemben, nem akadályozhatja meg e rendelet hatékony alkalmazását. E tekintetben ugyanis elegendő megállapítani, hogy az említett rendelet 83. cikkének (7) bekezdése kifejezetten lehetőséget biztosít a tagállamoknak arra, hogy meghatározzák, hogy lehet‑e ilyen bírságot közhatalmi vagy egyéb, közfeladatot ellátó szervvel szemben kiszabni, és ha igen, milyen mértékben. Végeredményben a GDPR‑ben előírt, az előző pontban felidézett különböző alternatív intézkedések lehetővé teszik az ilyen hatékony alkalmazás biztosítását.

69

Következésképpen az első kérdésre azt a választ kell adni, hogy a GDPR 17. cikke (1) bekezdésének d) pontját és 18. cikke (1) bekezdésének b) pontját úgy kell értelmezni, hogy az e rendelet 26. és 30. cikkében előírt, az adatkezelésért való közös felelősséget meghatározó megállapodás megkötésére és az adatkezelési tevékenységekkel kapcsolatos nyilvántartás vezetésére vonatkozó kötelezettség adatkezelő általi megsértése nem minősül jogellenes adatkezelésnek, amely az érintettet az adatok törléséhez vagy az adatkezelés korlátozásához való joggal ruházza fel, mivel az ilyen jogsértés önmagában nem foglalja magában az említett rendelet 5. cikke (1) bekezdésének a) pontjával és 6. cikke (1) bekezdésének első albekezdésével összefüggésben értelmezett 5. cikkének (2) bekezdésében meghatározott „elszámoltathatóság” elvének adatkezelő általi megsértését.

70

Figyelembe véve az első kérdésre adott választ, a második kérdésre nem szükséges válaszolni.

71

Harmadik kérdésével az előterjesztő bíróság lényegében arra keres választ, hogy az uniós jogot úgy kell‑e értelmezni, hogy amennyiben a személyes adatok kezelője megsértette a GDPR 26. vagy 30. cikkéből eredő kötelezettségeit, az ilyen adatok nemzeti bíróság általi figyelembevételének jogszerűsége az érintett hozzájárulásától függ.

72

E tekintetben meg kell állapítani, hogy magából e rendelet 6. cikke (1) bekezdése első albekezdésének szövegéből egyértelműen kitűnik, hogy az érintettnek az ezen albekezdés a) pontjában említett hozzájárulása az adatkezelés jogszerűségének csupán egyik indokát képezi, ezzel szemben az ilyen hozzájárulást nem követelik meg az említett albekezdés b)–f) pontjában felsorolt egyéb jogszerűségi okok, amelyek lényegében az adatkezelés meghatározott célok eléréséhez való szükségességén alapulnak (lásd analógia útján: 2019. december 11‑iAsociaţia de Proprietari bloc M5A‑ScaraA ítélet, C‑708/18, EU:C:2019:1064, 41. pont).

73

Márpedig, ha valamely bíróság a nemzeti jog által ráruházott bírósági hatásköröket gyakorolja, a személyes adatok e bíróság által elvégzendő kezelését szükségesnek kell tekinteni az említett rendelet 6. cikke (1) bekezdése első albekezdésének e) pontjában kimondott, közérdekű vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlásának keretében végzett feladat végrehajtásához kapcsolódó cél eléréséhez.

74

Mivel egyrészt ahhoz, hogy a személyes adatok kezelését jogszerűnek lehessen tekinteni, elegendő, ha az általános adatvédelmi rendelet 6. cikkének (1) bekezdésében előírt feltételek valamelyike teljesül, másrészt pedig, ahogyan az a jelen ítélet 61. pontjában megállapítást nyert, e rendelet 26. és 30. cikkének megsértése nem minősül jogellenes adatkezelésnek, a szövetségi hivatal által az utóbbi cikkekben előírt kötelezettségek megsértésével kezelt személyes adatok kérdést előterjesztő bíróság általi figyelembevétele nem függ az érintett hozzájárulásától.

75

Következésképpen a harmadik kérdésre azt a választ kell adni, hogy az uniós jogot úgy kell értelmezni, hogy amennyiben a személyes adatok kezelője megsértette a GDPR 26. vagy 30. cikkéből eredő kötelezettségeit, az ilyen adatok nemzeti bíróság általi figyelembevételének jogszerűsége nem függ az érintett hozzájárulásától.

76

Mivel ez az eljárás az alapeljárásban részt vevő felek számára a kérdést előterjesztő bíróság előtt folyamatban lévő eljárás egy szakaszát képezi, ez a bíróság dönt a költségekről. Az észrevételeknek a Bíróság elé terjesztésével kapcsolatban felmerült költségek, az említett felek költségeinek kivételével, nem téríthetők meg.

A fenti indokok alapján a Bíróság (ötödik tanács) a következőképpen határozott: