Az Európai Unió Bírósága előzetes döntéshozatala során a C-468/10. és C-469/10. sz. egyesített ügyekben az európai adatvédelmi irányelv értelmezése szempontjából mérföldkőnek számító ítéletet hozott meg 2011. november 24. napján. A döntés a méltányossági (jogos érdeken alapuló) jogalapon történő adatkezelés feltételeinek értelmezését érinti, amelyen alapuló irányelvi rendelkezés közvetlen hatályát mondta ki most a Bíróság.

A 95/46 irányelv 7. cikke rögzíti azokat a jogalapokat, melyek alapján a személyes adatok kezelése megengedett. Ezen jogalapok egyike – a hozzájárulás és egyéb jogalapok mellett – az ún. méltányossági alapú adatkezelés, melyet a 7. cikk f) pontja engedélyez, amennyiben „az adatkezelés az adatkezelő, vagy az adatokat megkapó harmadik fél, vagy felek jogos érdekének érvényesítéséhez szükséges, kivéve, ha ezeknél az érdekeknél magasabb rendűek az érintettnek az irányelv 1.cikk (1) bekezdése értelmében védelmet élvező érdekei az alapvető jogok és szabadságok tekintetében.”

A bírósági döntés pikantériáját az jelenti, hogy a magyar jog – az 1992. évi adatvédelmi törvény és az ezen alapuló következetes adatvédelmi biztosi gyakorlat – nem ismerte el a 7. cikk (f) pontja szerinti adatkezelési jogalapot. A döntés alapján tehát a jövőre nézve módosítani szükséges ezt az elutasító álláspontot.

A tényállás

Az előzetes döntéshozatali ügy tényállását tekintve a spanyol adatvédelmi jogot érintette. A spanyol nemzeti bankszövetség (Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)), továbbá a spanyol direkt marketing és elektronikus kereskedelmi szövetség (Federación de Comercio Electrónico y Marketing Directo (FECEMD)) külön-külön közigazgatási keresetet nyújtott be a spanyol adatvédelmi törvény végrehajtását szolgáló királyi rendelet több rendelkezése ellen. A spanyol jog ugyanis leszűkíti a 95/46/EK irányelv 7. cikke f) pontjának hatályát, mivel az az érintett alapvető jogainak és szabadságainak tiszteletben tartásán túl azt a többletkövetelményt támasztja a jogos érdeken alapuló adatkezelés feltételeként, hogy a vonatkozó adatoknak a nyilvánosság számára hozzáférhető forrásokban szükséges szerepelniük.

A spanyol legfelsőbb bíróság, a Tribunal Supremo az eljárás felfüggesztéséről határozott, és előzetes döntéshozatal céljából a következő kérdéseket terjesztette a Bíróság elé:

1) Úgy kell e értelmezni a 95/46 […] irányelv 7. cikkének f) pontját, hogy azzal ellentétes az olyan nemzeti szabályozás, amely az érintett hozzájárulásának hiányában, és annak érdekében, hogy lehetővé tegye az érintett személyes adatainak kezelését – ami az adatkezelő vagy azon harmadik személyek jogos érdekének kielégítéséhez szükséges, akikkel az adatokat közlik –, azt is előírja azonfelül, hogy ne sérüljenek a személy alapvető jogai és szabadságai, hogy adatai a nyilvánosság számára hozzáférhető forrásokban szerepeljenek?

2) Megfelel e a hivatkozott 7. cikk f) pontja azon feltételeknek, amelyeket a Bíróság ítélkezési gyakorlata megkövetel e rendelkezés közvetlen hatályának elismeréséhez?

Az EU Bíróság az első kérdés megválaszolásával összefüggésben megerősítette, hogy a 95/46 irányelv teljes harmonizációt nyújt, tehát a nemzeti jogszabályok harmonizációja az irányelv által nem korlátozódik minimális mértékű harmonizációra (lásd 29. sarokpontot), majd megállapította, hogy a 95/46 irányelv 7. cikke kimerítő és korlátozó jellegű felsorolását írja elő azon eseteknek, amelyekben a személyes adatok kezelése jogszerűnek minősíthető. (30. sarokpont) Ebből következik a Bíróság szerint, hogy a tagállamok nem alkothatnak a személyes adatok kezelésének megengedhetőségére vonatkozó, a 95/46 irányelv 7. cikkében szereplőkhöz képest új elveket, és olyan további követelményeket sem írhatnak elő, amelyek módosítanák az e cikkben előírt hat elv akár egyikének a hatályát. (32. sarokpont)

A Bíróság is elismerte, hogy az irányelv valóban nyújt bizonyos flexibilitást a jogalapok meghatározásában, mivel az 5. cikk értelmében a tagállamok jogosultsága annak meghatározása, hogy a személyes adatok kezelése milyen feltételek mellett jogszerű. Ebben a körben azonban a Bíróság éles különbséget tett az ún. “hatályt módosító rendelkezés”, illetőleg a „pontosító nemzeti intézkedés” között. A Bíróság egyértelműen kimondta, hogy az első típusba tartozó nemzeti intézkedés tilos és a tagállamok kizárólag a második típusba tartozó nemzeti intézkedések keretében rendelkeznek mérlegelési mozgástérrel a 95/46 irányelv 5. cikke értelmében. Ebből következik a Bíróság szerint, hogy a 95/46 irányelv 5. cikke alapján a tagállamok nem vezethetnek be a személyes adatok kezelésének megengedhetőségére vonatkozó, a 95/46 irányelv 5. cikkében előírtaktól eltérő elveket, és további követelmények által nem módosíthatják a hivatkozott 7. cikkben előírt hat elv akár egyikének hatályát sem.

Az irányelv 7. cikk f) pontja két együttes feltételt ír elő ahhoz, hogy az adatok kezelése jogszerű legyen, nevezetesen egyfelől azt a feltételt, hogy a személyes adatok kezelése az adatkezelő, vagy az adatokat megkapó harmadik fél vagy felek jogos érdekének érvényesítéséhez szükséges, másfelől pedig azt, hogy ezeknél ne legyenek magasabb rendűek az érintett személy alapvető jogai és szabadságai. Végül a Bíróság kimondta, hogy a személyes adatok kezelését illetően a 95/46 irányelv 7. cikkének f) pontjával ellentétes bármely olyan nemzeti szabályozás, amely az érintett személy hozzájárulásának hiányában a fenti pontban említett két együttes feltételen túl további követelményeket is előír.

A Bíróság szerint az adatkezelő illetőleg az adatalany jogai közötti súlyozás vonatkozásában semmi nem tiltja tagállamoknak, hogy erre nézve a 95/46 irányelv 5. cikkében rögzített mérlegelési mozgásterük gyakorlása során irányadó elveket állapítsanak meg. Ugyanígy figyelembe vehető, hogy az érintett személy alapvető jogainak adatkezelés általi sérelmének súlyossága vonatkozásában, hogy a szóban forgó adatok szerepelnek e már a nyilvánosság által hozzáférhető forrásokban, vagy sem.

A Bíróság szerint a spanyol jogban nem erről, illetőleg nem pontosításról volt szó, mivel a nemzeti szabályozás a személyes adatok bizonyos kategóriái tekintetében kizárta az adatok kezelésének lehetőségét anélkül, hogy a súlyozás eredményét figyelembe vették volna.

A fenti megfontolásokra figyelemmel az első kérdésre a Bíróság azt a választ adta, hogy a 95/46 irányelv 7. cikkének f) pontját úgy kell értelmezni, hogy azzal ellentétes az olyan nemzeti szabályozás, amely az érintett hozzájárulásának hiányában, és annak érdekében, hogy lehetővé tegye az érintett személyes adatainak feldolgozását – ami az adatkezelő vagy azon harmadik személyek jogos érdekének kielégítéséhez szükséges, akikkel az adatokat közlik –, azt is előírja azonfelül, hogy ne sérüljenek a személy alapvető jogai és szabadságai, hogy adatai a nyilvánosság számára hozzáférhető forrásokban szerepeljenek, kategorikusan és általánosan kizárva ily módon az ilyen forrásokban nem szereplő adatok bármely kezelését.

Ezt követően a Bíróság azt is kimondta, hogy a 95/46 irányelv 7. cikke f) pontjának közvetlen hatálya van. Ennek megfelelően e rendelkezés tartalmára – mivel az feltétlen és kellően pontos –, magánszemélyek a tagállammal szemben hivatkozhatnak, feltéve, hogy az nem ültette át időben ezen irányelvet a nemzeti jogba, vagy amennyiben nem megfelelően ültette azt át.

Következtetések

Az EU Bíróság ASNEF/FECEMD döntésének pikantériája, hogy a Bíróság olyan rendelkezés közvetlen hatályát állapította meg, melyről a magyar jog egyáltalán nem rendelkezik, mivel azt a magyar jogalkotó elmulasztotta átültetni, illetve amely jogalkotói mulasztásról az adatvédelmi biztos sem ismerte el, hogy az az uniós jogba ütközne. (Lásd Abi-652/K/2007-3.) Az ASNEF/FECEMD döntés tehát minden valószínűség szerint alapjaiban forgatja fel az adatalany hozzájárulását mindenhatónak tekintő, illetőleg azt misztifikáló magyar adatvédelmi jogot (és azon alapuló adatvédelmi biztosi gyakorlatot), mivel az nem ismeri el önálló adatkezelési jogalapként az adatkezelő jogos érdekét. A fentiekből következik az, hogy az adatvédelmi biztos, illetve adatvédelmi hatóság gyakorlatának az érdekek súlyozásának hazai elveit is ki kell alakítania, másrészről pedig az adatkezelők – az adatalany hozzájárulása mint adatkezelési jogalap hiányában – az adatvédelmi biztossal és a magyar állammal szemben is közvetlenül hivatkozhatnak a 95/46 irányelv 7. cikke f) pontjának közvetlen hatályára, (feltéve, hogy a személyes adatok irányelv szerinti kezelésének feltételei fennállnak.)