T‑343/13. sz. ügy
CN
kontra
Európai Parlament
„Szerződésen kívüli felelősség – A Parlamenthez benyújtott petíció – Bizonyos személyes adatoknak a Parlament honlapján történő terjesztése – Magánszemélyek számára jogokat keletkeztető jogi szabály kellően súlyos megsértésének hiánya”
Összefoglaló – A Törvényszék ítélete (hatodik tanács), 2015. december 3.
1. Szerződésen kívüli felelősség – Feltételek – Jogellenesség – Az uniós jog kellően súlyos megsértése – Az intézmények széles mérlegelési jogköre korlátainak nyilvánvaló és súlyos megsértésére vonatkozó követelmény – A személyes adatok védelmére vonatkozó szabályok megsértése – Bennfoglaltság
(EUMSZ 340. cikk, második bekezdés; az Európai Unió Alapjogi Chartája, 8. cikk; 45/2001 európai parlamenti és tanácsi rendelet)
2. Az Európai Unió intézményei – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 45/2001 rendelet – Az egészséggel kapcsolatos adatok – Fogalom – Tág értelmezés – Korlátok
(45/2001 európai parlamenti és tanácsi rendelet, 10. cikk, (1) bekezdés)
3. Az Európai Unió intézményei – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 45/2001 rendelet – A kezelés jogszerűségének szükségessége – Az érintett személy hozzájárulása – Fogalom – Érzékeny adatokat tartalmazó petíció benyújtása az Európai Parlament honlapján – A petíció benyújtója számára a benyújtás előtt nyújtott azon információk, amelyek lehetővé teszik számára a panaszához való nyilvános hozzáférés felmérését – A kezelés jogszerű jellege
(45/2001 európai parlamenti és tanácsi rendelet, 2. cikk, h) pont, 5. cikk, d) pont, és 10. cikk, (2) bekezdés, a) pont)
4. Szerződésen kívüli felelősség – Feltételek – Jogellenesség – Az uniós jog kellően súlyos megsértése – Harmadik személyek jogainak megsértéséből eredő jogsértésekre való hivatkozás – Megengedhetetlenség
(EUMSZ 340. cikk, második bekezdés)
5. Az Európai Unió intézményei – A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 45/2001 rendelet – Adatok törléséhez való jog – Feltétel – Az érintett adatok jogellenes kezelése – A jogszerűen kezelt adatok figyelmességből való törlése – Ésszerű határidő betartása
(45/2001 európai parlamenti és tanácsi rendelet, 16. cikk)
6. Alapvető jogok – A magánélet tiszteletben tartása – A személyes adatok védelme – Az adatok érintett személy hozzájárulásával való nyilvánosságra hozatala – A magánéletbe való beavatkozás – Hiány
7. Szerződésen kívüli felelősség – Feltételek – Jogellenesség – Kár – Okozati összefüggés – Együttes feltételek – Valamelyik feltétel hiánya – A kártérítési kereset egészének elutasítása
(EUMSZ 340. cikk, második bekezdés)
8. Szerződésen kívüli felelősség – Feltételek – Jogellenes aktus által okozott tényleges és biztos kár – Vagyoni és nem vagyoni kár – Bizonyítási teher
(EUMSZ 340. cikk, második bekezdés)
9. Szerződésen kívüli felelősség – Feltételek – Okozati összefüggés – A pert megelőző eljárás kapcsán felmerülő költségekben megjelenő kár – A felperes szabad választásából származó kár – A kár és az intézmény magatartása közötti okozati összefüggés hiánya
(EUMSZ 340. cikk, második bekezdés)
1. Az Unió szerződésen kívüli felelőssége körében az uniós intézmények jogellenes magatartásával kapcsolatos feltétel megköveteli a magánszemélyek számára jogokat keletkeztető jogi szabály kellően súlyos megsértését. A döntő tényező annak megállapításához, hogy az uniós jog megsértése kellően súlyos‑e, az, hogy az uniós intézmény a mérlegelési jogkörének korlátait nyilvánvalóan és súlyosan túllépte‑e.
E tekintetben mivel a személyes adatok védelméhez való, az Európai Unió Alapjogi Chartájának 8. cikkében rögzített jogot az uniós intézmények és szervek jogi aktusait illetően a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló 45/2001 rendelet és annak az egyes intézmények által elfogadott végrehajtási szabályai dolgozzák ki, e különféle rendelkezések célja, hogy jogokat keletkeztessenek a magánszemélyek számára. Ennélfogva ezekre hivatkozhat a felperes kártérítési keresetében.
(vö. 44., 47. pont)
2. A személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló 45/2001 rendelet 10. cikkének (1) bekezdésében szereplő, az „egészségre vonatkozó adatok” kifejezést tágan kell értelmezni, oly módon, hogy az magában foglal valamely személy egészségének valamennyi – mind fizikai, mind pedig pszichikai – aspektusára vonatkozó információkat. Ez a fogalom azonban nem terjeszthető ki olyan mértékben, hogy az magában foglalja a valamely személy egészségével vagy egészségügyi állapotával kapcsolatos semmiféle adat nyilvánosságra hozatalával nem járó megnyilvánulásokat.
(vö. 50. pont)
3. Mivel a személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló 45/2001 rendelet 2. cikkének h) pontja semmilyen alaki feltételt nem ír elő a személyes adatok kezeléséhez való hozzájárulás tekintetében, az Európai Parlamenthez való petíció benyújtását valamely kívánság érintett személy általi kinyilvánításának lehet tekinteni.
A Parlament által a honlapján a petíciók nyilvánossága tekintetében nyújtott információk figyelmes elolvasásának ugyanis lehetővé kellett volna tennie a petíció ésszerűen figyelmes benyújtója számára, hogy felmérje cselekvésének terjedelmét és annak következményeit. E tekintetben egy olyan petíciót illetően, amelynek tárgya, hogy az uniós intézmény nem vette megfelelően figyelembe a petíció uniós tisztviselő benyújtójának és fiának egészségi állapotát a szakmai előmenetel során, a kívánságnak ez a kinyilvánítása konkrét volt, mivel a Parlament a benyújtáskor tájékoztatta a petíció benyújtóját arról, hogy panaszához hozzá lehet majd férni az interneten, és mivel ez utóbbi kifejezett hozzájárulását adta azáltal, hogy a formanyomtatványnak a nyilvános kezeléssel és az interneten elérhető nyilvántartásba való felvétellel kapcsolatos rubrikáit kitöltötte, anélkül hogy hozzájárulására bármiféle cselekvésből hallgatólagosan következtetni kellett volna. E körülmények között meg kell állapítani, hogy a petíció benyújtója a 45/2001 rendelet 10. cikke (2) bekezdésének a) pontja értelmében véve kifejezetten hozzájárult az egészségével kapcsolatos érzékeny adatok nyilvánosságra hozatalához. E megfontolásokat megfelelően alkalmazni kell a petíció benyújtójának az érzékeny személyes adataitól eltérő személyes adataira.
Egyébiránt ami a 45/2001 rendelet 10. cikkének (1) bekezdésében említettek körében nem szereplő (a petíció benyújtója szakmai előmenetelével kapcsolatosakhoz hasonló) személyes adatokat illeti, azok kezelése az említett rendelet 5. cikkében előírt rendszer hatálya alá tartozik. E rendelet 5. cikkének d) pontja értelmében akkor lehet személyes adatokat kezelni, ha ahhoz az érintett egyértelmű hozzájárulását adta. Más szóval: az adatokat akkor lehet kezelni, ha ahhoz az érintett bizonyosan és egyértelműen hozzájárult. E tekintetben míg a 45/2001 rendelet 10. cikke (2) bekezdésének a) pontja azt követeli meg, hogy a hozzájárulás kifejezett legyen, az említett rendelet 5. cikkének d) pontja az egyértelmű hozzájárulást követeli meg. Logikus úgy vélni, hogy – tekintettel az érzékeny személyes adatok jellegére – a 45/2001 rendelet 5. cikkének d) pontja szerinti hozzájáruláshoz szükséges feltételek nem lehetnek szigorúbbak az említett rendelet 10. cikke (2) bekezdésének a) pontjában előírtaknál.
(vö. 59., 70., 74., 76–79. pont)
4. Az Unió szerződésen kívüli felelőssége körében a magánszemélyek számára jogokat keletkeztető jogi szabály megsértésére vonatkozó feltétel hatékony érvényesülésének biztosításához az szükséges, hogy a hivatkozott szabály által kínált védelem az arra hivatkozó személy vonatkozásában érvényesüljön, tehát az, hogy ez a személy azon személyek körébe tartozzon, akik számára a szóban forgó szabály jogokat keletkeztet. Nem lehet a kártérítés forrásaként elismerni egy olyan szabályt, amely nem azt a magánszemélyt védi az általa hivatkozott jogsértéssel szemben, hanem egy másik magánszemélyt. Ebből következik, hogy kártérítési keresetével összefüggésben a felperes nem hivatkozhat a valamely harmadik személy jogainak állítólagos megsértéséből eredő jogsértésekre.
(vö. 86. pont)
5. A személyes adatok közösségi intézmények és szervek által történő feldolgozása tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló 45/2001 rendelet 16. cikke kizárólag akkor biztosítja a személyes adatok törléséhez való jogot, ha az adatkezelés jogellenesen történt. Ennélfogva erre a rendelkezésre nem lehet hivatkozni a törlési kérelem alátámasztására, amennyiben a kezelés jogszerű. Az, hogy az érintett uniós intézmény úgy határozott, hogy helyt ad a törlési kérelemnek, önmagában nem foglalja magában az első kezelés jogellenességének elismerését.
E tekintetben a 45/2001 rendelet Európai Parlament által elfogadott végrehajtási szabályai 12. cikkének (3) bekezdése előírja, hogy ha a személyes adatok törlése iránti kérelmet elfogadják, azt haladéktalanul végre kell hajtani. Ez a rendelkezés olyan helyzetekre vonatkozik, amelyekben a kérelmet azért fogadják el, mert az megalapozott, azaz azért, mert a kezelés jogellenes. E körülmények között logikus, hogy a kérelmet haladéktalanul végre kell hajtani. Ezzel szemben, amikor a kérelem nem megalapozott, hanem figyelmességből fogadják azt el, nincs ok a haladéktalan végrehajtási kötelezettség előírására. Ez esetben a Parlament pusztán ésszerű határidőn belül köteles eleget tenni kötelezettségvállalásának.
(vö. 90., 100. pont)
6. Személyes adatok uniós intézmény általi nyilvánosságra hozatalát illetően nem lehet úgy vélni, hogy a magánéletbe való, az emberi jogok európai egyezményének 8. cikke értelmében vett hatóság általi beavatkozásra kerül sor, amennyiben az érintett személy hozzájárul e nyilvánosságra hozatalhoz.
(vö. 107. pont)
7. Lásd a határozat szövegét.
(vö. 110. pont)
8. Lásd a határozat szövegét.
(vö. 118., 119. pont)
9. Lásd a határozat szövegét.
(vö. 123., 124. pont)