–

a Tanács által a Törvényszék eljárási szabályzata 130. cikkének (1) bekezdése alapján a Törvényszék Hivatalához 2022. december 12‑én benyújtott külön beadványban felhozott elfogadhatatlansági kifogásra,

–

a Parlament által 2022. december 13‑án benyújtott ellenkérelemre,

–

a Francia Köztársaság által 2022. december 7‑én, a Németországi Szövetségi Köztársaság által 2022. december 9‑én, a Bizottság által 2022. december 20‑án, valamint a Belga Királyság és a Holland Királyság által 2022. december 22‑én benyújtott beavatkozási kérelmekre,

1

Az EUMSZ 263. cikken alapuló keresetében az európai adatvédelmi biztos az (EU) 2016/794 rendeletnek az Europol magánfelekkel folytatott együttműködése, a személyes adatoknak az Europol által a bűnügyi nyomozások támogatása érdekében végzett kezelése, valamint az Europol kutatásban és innovációban betöltött szerepe tekintetében történő módosításáról szóló, 2022. június 8‑i (EU) 2022/991 rendelettel (HL 2022. L 169., 1. o.) módosított, a Bűnüldözési Együttműködés Európai Uniós Ügynökségéről (Europol), valamint a 2009/371/IB, a 2009/934/IB, a 2009/935/IB, a 2009/936/IB és a 2009/968/IB tanácsi határozat felváltásáról és hatályon kívül helyezéséről szóló, 2016. május 11‑i (EU) 2016/794 európai parlamenti és tanácsi rendelet (HL 2016. L 135., 53. o.; a továbbiakban: eredeti Europol‑rendelet) (a továbbiakban: módosított Europol‑rendelet) 74a. és 74b. cikkeinek (a továbbiakban együtt: megtámadott rendelkezések) megsemmisítését kéri.

2

Az európai adatvédelmi biztos – hivatalból indított vizsgálatot és egy 2020. szeptember 17‑i elmarasztaló határozatot követően – 2022. január 3‑án az eredeti Europol‑rendelet 43. cikke (3) bekezdésének e) pontja alapján határozatot hozott a Bűnüldözési Együttműködés Európai Uniós Ügynökségével (Europol) szemben, amelyben megállapította, hogy „[a]z adatkészletek kategorizálás nélküli folyamatos tárolásáról való rendelkezéssel az Europol által benyújtott cselekvési terv nem kezeli a 2020. szeptember 17‑i elmarasztaló határozatban megállapított jogsértést”, és „[a]z Europol által kategorizálás nélkül végzett adatkészlet‑kezelés […] kizárólag a lényeges információk megszerzése céljából az [eredeti] Europol‑rendelet 18. cikkének (3) és (5) bekezdésével, az [eredeti] Europol‑rendelet II. B. mellékletével, valamint az adattakarékosság és korlátozott tárolhatóság elvével (az [eredeti] Europol‑rendelet 28. cikke (1) bekezdésének c) és e) pontja) összhangban a hozzájárulások kézhezvételétől számított hat hónapot nem haladhatja meg”

3

Ezen érvelésében az európai adatvédelmi biztos többek között hangsúlyozta, hogy „[a]z e célból kezelt személyes adatok tárolásának időtartamát meghatározó kifejezett jogszabályi rendelkezés hiányában […] [az eredeti Europol‑]rendelet 18. cikkének (6) bekezdését analógia útján kell értelmezni”.

4

Ezért a 2022. január 3‑i határozat szerint az európai adatvédelmi biztos lényegében arra kötelezte az Europolt, hogy a 2022. január 4‑e után átvett minden egyes hozzájárulás esetében végezze el az érintett személyeknek az eredeti Europol‑rendelet 18. cikkének (5) bekezdése értelmében vett kategorizálását a hozzájárulás kézhezvételétől számított hat hónapon, valamint a 2022. január 3‑án meglévő adatkészletek esetében tizenkét hónapon belül, e határidőkön túl pedig az Europolnak törölnie kellett ezeket az adatokat.

5

2020. december 9‑én az Európai Bizottság benyújtotta az (EU) 2016/794 rendeletnek az Europol magánfelekkel folytatott együttműködése, a személyes adatoknak az Europol által a nyomozások támogatása érdekében végzett kezelése, valamint az Europol kutatásban és innovációban betöltött szerepe tekintetében történő módosításáról szóló európai parlamenti és tanácsi rendeletre irányuló COM(2020) 796 final javaslatot (a továbbiakban: módosító rendeletjavaslat).

6

Az európai adatvédelmi biztos a 4/2021. sz. véleményben – bizonyos fenntartásokkal – támogatta a módosító rendeletjavaslatot.

7

2022. február 1‑jén az utolsó háromoldalú egyeztető tárgyalás eredményeképpen a módosító rendeletjavaslat két új rendelkezéssel egészült ki, nevezetesen a 74a. és a 74b. cikkel, amelyek egy folyamatban lévő bűnügyi nyomozás támogatása céljából történő személyesadat‑kezelésre, és az Europol birtokában lévő személyes adatok kezelésére vonatkozó átmeneti rendelkezések.

8

2022. június 8‑án az Európai Parlament és az Európai Unió Tanácsa elfogadta a módosított Europol‑rendeletet. Ebben a rendeletben megerősítették a 74a. és 74b. cikk megfogalmazását.

9

E rendelkezések lényegében előírják az Europol számára azokat a feltételeket, amelyek alapján meghatározott határidőn belül kategorizálja a módosított Europol‑rendelet hatálybalépésekor birtokában lévő adatkészleteket, és meghatározzák azokat a feltételeket és eljárásokat, amelyek mellett a módosított Europol-rendelet II. mellékletében felsorolt érintettek kategóriáihoz nem tartozó, és az Europol számára 2022. június 28-a előtt továbbított személyek adatok kezelése engedélyezett egy folyamatban lévő bűnügyi nyomozás támogatása céljából.

10

2022. június 15‑én az európai adatvédelmi biztos, mivel úgy ítélte meg, hogy a 2022. január 3‑i határozatának, valamint a módosított Europol‑rendelet 74a. és 74b. cikkének hatálya nem azonos, arra kérte a Parlamentet, a Tanácsot és a Bizottságot, hogy bocsássanak rendelkezésére a módosított Europol‑rendelet rendelkezései és felügyeleti hatásköreinek korábbi gyakorlása közötti kapcsolat fennállására vonatkozó dokumentumokat. A Parlament és a Tanács 2022. július 12‑i, illetve 2022. július 25‑i levelekben válaszolt erre a kérésre.

11

A háromoldalú egyeztetésre való felkészülésről szóló, 2022. január 24‑i 5370/22. sz. tanácsi dokumentum rámutat, hogy „[a]z [európai adatvédelmi biztos] közelmúltbeli határozata, amely az Europol tevékenységére nézve működési következményekkel járhat, megerősíti a rendelet gyors elfogadásának szükségességét”, és hogy „[a]z elnökség egy új 74[a.] cikk elfogadását javasolta a delegációknak, amelynek célja a jelenleg az Europol birtokában lévő adatok helyzetének további tisztázása, különösen az európai adatvédelmi biztos fent említett, 2022. január 3‑i határozatával összefüggésben”, továbbá hogy „[a] 2022. január 19‑i ülésén számos delegáció fogadta kedvezően ennek a javaslatnak az elveit, de annak közelmúltbeli előterjesztésére és az európai adatvédelmi biztos határozatát követően e kérdés tétjére tekintettel bizottsági jóváhagyás szükséges”.

12

2022. július 15‑i levelében az európai adatvédelmi biztos kérdéssel fordult az Europolhoz, hogy a módosított Europol‑rendelet 74a. és 74b. cikkére tekintettel továbbra is végrehajtja‑e a 2022. január 3‑i határozatát, vagy az Europol úgy véli‑e, hogy az említett cikkek e határozat hatályának helyébe léptek vagy azt módosították.

13

2022. augusztus 22‑i levelében az Europol lényegében azt válaszolta az európai adatvédelmi biztosnak, hogy továbbra is végrehajtja a 2022. január 3‑i határozat bizonyos pontjait, de jelenleg nincs abban a helyzetben, hogy észrevételeket fűzzön a 2023. január 3‑i helyzethez és az e határozat szerinti új végrehajtási jelentések benyújtásához. Ez a levél megemlíti azt is, hogy a módosított Europol‑rendelet 74a. és 74b. cikkét nem alkalmazták egyes törölt hozzájárulásokra.

14

Az európai adatvédelmi biztos a keresetlevélben azt kéri, hogy a Törvényszék:

15

A Bizottság az ellenkérelemben azt kéri, hogy a Törvényszék:

16

Az elfogadhatatlansági kifogásban a Tanács azt kéri, hogy a Törvényszék:

17

Az elfogadhatatlansági kifogásra vonatkozó észrevételeiben az európai adatvédelmi biztos azt kéri, hogy a Törvényszék utasítsa el a Tanács által felhozott említett kifogást, és határozzon az ügy érdemében.

18

A Törvényszék eljárási szabályzatának 130. cikke értelmében, ha az alperes külön iratban azt kéri, hogy a Törvényszék az ügy érdemét nem érintve döntsön az elfogadhatatlanság vagy a hatáskör hiánya tárgyában, ez utóbbinak a lehető leghamarabb érdemben döntenie kell a kérelemről, adott esetben az eljárás szóbeli szakaszának megnyitása után. Ezenkívül, az eljárási szabályzat 126. cikke értelmében, ha a Törvényszéknek nyilvánvalóan nincs hatásköre a kereset elbírálására, illetve ha a kereset nyilvánvalóan elfogadhatatlan vagy jogilag nyilvánvalóan megalapozatlan, a Törvényszék az előadó bíró javaslatára – az eljárás folytatása nélkül – az eljárás során bármikor indokolt végzéssel határozhat az ügyben.

19

A jelen ügyben a Törvényszék úgy ítéli meg, hogy az ügy körülményei kellően fel vannak tárva, és e rendelkezések alapján az eljárás folytatása nélkül határoz.

20

A megtámadott rendelkezések megsemmisítése iránti kérelmének alátámasztására az európai adatvédelmi biztos egyetlen jogalapra hivatkozik, amely a jogbiztonság elvének és a jogi aktusok visszaható hatályának a tilalmára vonatkozó elv megsértése miatt a függetlenségének és a felügyeleti hatósági hatásköreinek sérelmén alapul. Az európai adatvédelmi biztos szerint a megtámadott rendelkezések visszamenőleges hatállyal jogszerűvé teszik az Europol vitatott adattárolási gyakorlatát, és gyakorlatilag megsemmisítik a 2022. január 3‑i határozatát. Különösen az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 8. cikke (3) bekezdésének, a természetes személyeknek a személyes adatok uniós intézmények, szervek, hivatalok és ügynökségek általi kezelése tekintetében való védelméről és az ilyen adatok szabad áramlásáról, valamint a 45/2001/EK rendelet és az 1247/2002/EK határozat hatályon kívül helyezéséről szóló, 2018. október 23‑i (EU) 2018/1725 európai parlamenti és tanácsi rendeletnek (HL 2018. L 295., 39. o.; helyesbítés: HL 2018. L 295., 39. o.) a módosított Europol‑rendelet 43. cikkének (1) bekezdésével és (3) bekezdésének e) pontjával összefüggésben értelmezett 55. cikkének megsértésére hivatkozik.

21

A keresete elfogadhatóságával kapcsolatban az európai adatvédelmi biztos egyrészt arra hivatkozik elsődlegesen, hogy az EUMSZ 263. cikk szerinti, megsemmisítés iránti kereshetőségi jogát az indokolja, hogy intézményi előjogainak – különösen a Charta 8. cikkének (3) bekezdése értelmében őt felügyeleti hatóságként megillető függetlenség, valamint a felügyeleti hatóságok és a jogalkotó szerepe közötti intézményi egyensúly – védelme érdekében bírósági jogorvoslattal élhessen. E tekintetben rámutat arra, hogy kereshetőségi joggal rendelkezik a jelen ügyben analógia útján alkalmazandó 1990. május 22‑iParlament kontra Tanács ítéletből (C‑70/88, EU:C:1990:217) eredő ítélkezési gyakorlat értelmében, mivel ez az ítélet bizonyítja, hogy az intézményi előjogok védelme kivételesen lehetővé teszi valamely intézmény számára, hogy megvédje azokat, anélkül hogy meg kellene felelnie az EUMSZ 263. cikk negyedik bekezdése értelmében a természetes vagy jogi személyekre alkalmazandó elfogadhatósági feltételeknek.

22

Másrészt az európai adatvédelmi biztos azt állítja, hogy a megtámadott rendelkezések, amelyek megsemmisítéséhez egyértelmű és tényleges érdeke fűződik, őt közvetlenül és személyében érintik. Ezenkívül utal arra, hogy a jelen keresetet a Törvényszékhez mint hatáskörrel rendelkező bírósághoz nyújtotta be, azonban nem ellenzi annak a Bírósághoz történő esetleges áttételét, ha azt a Törvényszék helyénvalónak ítéli.

23

A Tanács két okból a jelen kereset elfogadhatatlanságára hivatkozik. Azt állítja egyrészt, hogy a kereset elfogadhatatlan azon az alapon, hogy az EUMSZ 263. cikk második és harmadik bekezdése nem említi az európai adatvédelmi biztost, illetve az 1990. május 22‑iParlament kontra Tanács ítélet alapján (C‑70/88, EU:C:1990:217), másrészt pedig az európai adatvédelmi biztos nem érintett közvetlenül és személyében az EUMSZ 263. cikk negyedik bekezdése értelmében.

24

Ezenkívül a Tanács hangsúlyozza, hogy a jelen keresetet a Törvényszékhez, és nem a Bírósághoz nyújtották be, amely pedig kizárólagos hatáskörrel rendelkezik az Európai Unió intézményei által előterjesztett keresetek elbírálására. Ezért a Tanács vitatja, hogy az európai adatvédelmi biztos ugyanazon kereset keretében hivatkozhat arra, hogy egyszerre „privilegizált” és „nem privilegizált” felperes.

25

Elöljáróban, noha az európai adatvédelmi biztos nem kéri, hogy az EUMSZ 263. cikk második és harmadik bekezdésében említett „privilegizált” vagy „kvázi privilegizált” felperesek közé tartozónak tekintsék, mivel az előjogai védelmére vonatkozó különleges kereshetőségi jogra hivatkozik, meg kell vizsgálni, hogy a Törvényszék rendelkezik‑e hatáskörrel a jelen kereset elbírálására.

26

E tekintetben emlékeztetni kell arra, hogy az EUMSZ 263. cikk második és harmadik bekezdése úgy rendelkezik, hogy egyrészt a Bíróság hatáskörrel rendelkezik az olyan keresetek tekintetében, amelyeket valamely tagállam, a Parlament, a Tanács vagy a Bizottság nyújt be hatáskör hiánya, lényeges eljárási szabályok megsértése, a Szerződések vagy az alkalmazásukra vonatkozó bármely jogi rendelkezés megsértése vagy hatáskörrel való visszaélés miatt, másrészt pedig azonos feltételek mellett rendelkezik hatáskörrel a Számvevőszék, az Európai Központi Bank (EKB) és a Régiók Bizottsága által előjogaik megóvása érdekében indított keresetek tekintetében.

27

Mindenekelőtt meg kell állapítani, hogy az európai adatvédelmi biztos nem szerepel az EUMSZ 263. cikk második és harmadik bekezdésében említett felperesek között. Nem szerepel az intézményeknek az EUSZ 13. cikk (1) bekezdésében foglalt listáján sem, amely hét intézményt hoz létre, így a Parlamentet, az Európai Tanácsot, a Tanácsot, a Bizottságot, az Európai Unió Bíróságát, az Európai Központi Bankot és a Számvevőszéket.

28

Az európai adatvédelmi biztos továbbá uniós szerv, amelyet a személyes adatok közösségi intézmények és szervek által történő feldolgozása [helyesen: kezelése] tekintetében az egyének védelméről, valamint az ilyen adatok szabad áramlásáról szóló, 2000. december 18‑i 45/2001/EK európai parlamenti és tanácsi rendelet (HL 2001. L 8., 1. o.; magyar nyelvű különkiadás 13. fejezet, 26. kötet, 102. o.) 41. cikkének (1) bekezdése hozott létre az EK 286. cikk (2) bekezdése alapján.

29

E kérdést illetően emlékeztetni kell arra, hogy az EUSZ 13. cikk (1) bekezdésének megfelelően az „intézmények” fogalma a szervezetek meghatározott listájára utal, amely nem foglalja magában az Unió szerveit és hivatalait, és egyfelől az intézmények, másfelől pedig az Unió szervei és hivatalai közötti különbségtételnek a két Szerződésben átfogóan és egységesen kell érvényesülnie (lásd ebben az értelemben: 2022. július 14‑iOlaszország és Comune di Milano kontra Tanács és Parlament [Az Európai Gyógyszerügynökség székhelye] ítélet, C‑106/19 és C‑232/19, EU:C:2022:568, 113. és 116. pont).

30

Végül a Tanácshoz hasonlóan meg kell állapítani, hogy jóllehet az EUMSZ 263. cikk első bekezdése kifejezetten utal az Unió szerveire és hivatalaira azon jogi aktusok kibocsátóinak listáján, amelyek jogszerűsége megsemmisítés iránti kereset keretében vitatható, ugyanez nem érvényes az EUMSZ 263. cikk második és harmadik bekezdésére.

31

Az Unió szerveinek vagy hivatalainak jogi aktusai megsemmisítés iránti kereset keretében történő vitatásának lehetőségét ugyanis a Lisszaboni Szerződés vezette be. Mindazonáltal meg kell állapítani, hogy az Unió szerveit és hivatalait nem említi az EUMSZ 263. cikk második és harmadik bekezdése.

32

E tekintetben a Lisszaboni Szerződés megalkotói felvették a Régiók Bizottságát az EUMSZ 263. cikk harmadik bekezdésébe az említett felperesek közé. Ebből következik, hogy még ha a Szerződés megszövegezői az intézményeken kívül más jogalanyokat figyelembe is vettek az e rendelkezés értelmében előjogaik védelmére jogosult személyek listáján, úgy döntöttek, hogy az európai adatvédelmi biztos nem tartozik ezek közé.

33

Kétségtelen, hogy az európai adatvédelmi biztos mint független felügyeleti hatóság jogállását említi az EUMSZ 16. cikk (2) bekezdése, amely úgy rendelkezik, hogy a természetes személyeknek a személyes adatok uniós intézmények, szervek és hivatalok által végzett feldolgozása tekintetében történő védelmére vonatkozó szabályok tiszteletben tartását független hatóságok ellenőrzik, valamint a Charta 8. cikkének (3) bekezdése, amely előírja, hogy a személyes adatok védelmére vonatkozó szabályok tiszteletben tartását független hatóságnak kell ellenőriznie.

34

Mindazonáltal az európai adatvédelmi biztost egy másodlagos jogi aktus, nevezetesen a 45/2001 rendelet 41. cikkének (1) bekezdése, nem pedig az elsődleges jog hozta létre.

35

Következésképpen az európai adatvédelmi biztos, noha különleges jogállással rendelkező uniós szerv, nem uniós intézmény, és semmi esetre sem tekinthető úgy, mint amely szerepel az EUMSZ 263. cikk második és harmadik bekezdésében megjelölt felperesek között.

36

A fentiek alapján, mivel az Európai Unió Bírósága alapokmánya 51. cikkének b) pontja szerint a Bíróság hatáskörébe tartozik az EUMSZ 263. cikkén alapuló azon keresetek elbírálása, amelyeket különösen valamely uniós intézmény nyújt be valamely jogalkotási aktussal szemben, és az európai adatvédelmi biztos nem az EUMSZ 263. cikk második és harmadik bekezdése szerinti intézmény vagy felperes, a Törvényszék hatáskörrel rendelkezik a kereset elbírálására.

37

Következésképpen meg kell vizsgálni a Tanács által felhozott elfogadhatatlansági okokat.

38

Először is a Tanács lényegében azt állítja, hogy a Szerződések egymást követő felülvizsgálatai során, amelyekre 1990 óta sor került, a megsemmisítés iránti kereshetőségi jogot jelentős mértékben kiterjesztették az Unió más intézményeire, szerveire és hivatalaira, az európai adatvédelmi biztost azonban nem tekintették olyan szervnek, amelyet a megsemmisítés iránti keresetekhez privilegizált hozzáférésnek kellene megilletni. Másodszor pontosítja, hogy az európai adatvédelmi biztosnak a 2018/1725 rendelet 52. cikkének (3) bekezdése értelmében az a feladata, hogy figyelemmel kísérje a személyes adatok uniós intézmények és szervek általi kezelését, és tanáccsal szolgáljon ezen intézményeknek és szerveknek az adatok védelmével kapcsolatban. Harmadszor, a Tanács azt állítja, hogy az 1990. május 22‑iParlament kontra Tanács ítélet (C‑70/88, EU:C:1990:217) nem alkalmazható a jelen ügyben, mivel az európai adatvédelmi biztost – a Parlamenttel ellentétben ebben az ítéletben – nem fosztották meg a megfelelő és hatékony bírói jogvédelemtől. Negyedszer, a Tanács azzal érvel, hogy az európai adatvédelmi biztos nem hivatkozhat a Charta 8. cikkének (3) bekezdésére és 47. cikkére a kereshetőségi jogának igazolása érdekében.

39

Az európai adatvédelmi biztos vitatja a Tanács érveit.

40

Az európai adatvédelmi biztos azt állítja, hogy az EUMSZ 263. cikk negyedik bekezdésében előírt feltételektől függetlenül kereshetőségi joggal rendelkezik az intézményi előjogai védelme érdekében. Először is rámutat arra, hogy az 1990. május 22‑iParlament kontra Tanács ítéletben (C‑70/88, EU:C:1990:217) értelmezett intézményi egyensúly elve a Charta 8. cikkének (3) bekezdése és az EUMSZ 16. cikk (2) bekezdése értelmében az uniós intézményektől és szervektől független felügyeleti hatóságként őt megillető előjogokat is védi. Másodszor, az európai adatvédelmi biztos úgy véli, hogy a különböző jogorvoslati lehetőségek Tanács általi elemzése megerősíti, hogy ezen eljárások egyike sem alkalmazható ténylegesen arra, hogy önállóan vitassa a jogalkotó olyan aktusát, amely közvetlenül és konkrétan veszélyeztette a felügyelő hatóságoknak a Charta és az EUM‑Szerződés által védett függetlenségét. Harmadszor rámutat, hogy a Charta 8. cikkének (3) bekezdése rögzíti az egyének alapvető jogát a személyes adataik védelmére vonatkozó szabályok alkalmazásának független ellenőrzésére, és hogy az EUMSZ 16. cikk (2) bekezdése megerősítette ezeket a szabályokat. Negyedszer emlékeztet arra, hogy a jelen ügyben az előjogait érintették, mivel a megtámadott rendelkezések alkalmazása jogellenesen és visszaható hatállyal vonatkozik a represszív tevékenységére, és a jogalkotási eljárást eseti intézkedésként e tevékenység elleni fellépésre használták.

41

E tekintetben emlékeztetni kell arra, hogy az 1990. május 22‑iParlament kontra Tanács ítéletben (C‑70/88, EU:C:1990:217) a Bíróság megállapította, hogy az EGK‑Szerződés 173. cikkének szövege semmilyen lehetőséget nem biztosít a Parlament számára arra, hogy az uniós bíróságok előtt vitassa a többi intézmény által elfogadott, a saját előjogait esetlegesen sértő aktusokat, és úgy döntött, hogy ezt a joghézagot az intézményi egyensúly alapelvének alkalmazásával pótolja.

42

Először is az 1990. május 22‑iParlament kontra Tanács ítélet (C‑70/88, EU:C:1990:217), miután a 13. pontban rámutatott, hogy az EGK‑Szerződés 173. cikkének első bekezdése vagy az EAK‑Szerződés 146. cikkének első bekezdése nem említi a Parlamentet azon intézmények között, amelyek – a tagállamok mellett – másik intézmény valamely jogi aktusának megsemmisítését kezdeményezhetik, a Bíróság a 14. pontban megállapította, hogy a Parlament nem jogi személy, és így nem fordulhat a Bírósághoz az EK 230. cikkel, majd az EUMSZ 263. cikkel felváltott EGK‑Szerződés 173. cikk második bekezdése alapján, amely lényegében az EUMSZ 263. cikk negyedik bekezdésének felel meg.

43

Márpedig a jelen ügyben, amint az az 59–66. pontban kifejtésre kerül a továbbiakban, valamely másodlagos uniós jogi aktus által létrehozott szerv vagy hivatal jogi személynek tekinthető, és ennélfogva megsemmisítés iránti keresetet nyújthat be az EUMSZ 263. cikk negyedik bekezdése alapján.

44

Másodszor, a Bíróság az 1990. május 22‑iParlament kontra Tanács ítélet (C‑70/88, EU:C:1990:217) 21. és 22. pontjában azt is megállapította, hogy a Parlament előjogai „a Szerződések által létrehozott intézményi egyensúly egyik elemét képezik”, és hogy „[a]z intézményi egyensúly tiszteletben tartásából az következik, hogy valamennyi intézmény úgy gyakorolja a hatásköreit, hogy közben a többi intézmény hatáskörét tiszteletben tartja, [továbbá] megköveteli, hogy e szabály be nem tartását, amennyiben ez előfordul, szankcionálni lehessen”.

45

Így a Bíróság úgy ítélte meg, hogy köteles biztosítani az intézményi egyensúly fenntartását, és következésképpen a Parlament előjogai tiszteletben tartásának bírósági felülvizsgálatát, ha a Parlament a Bírósághoz fordul az általa követett célkitűzésnek megfelelő jogi eszközzel élve (lásd ebben az értelemben: 1990. május 22‑iParlament kontra Tanács ítélet, C‑70/88, EU:C:1990:217, 23. pont).

46

Mindazonáltal a fenti 25–36. pontban megállapítást nyert, hogy az európai adatvédelmi biztos nem tekinthető intézménynek, hanem az EUMSZ 263. cikk második és harmadik bekezdésében nem említett uniós szerv.

47

Kétségtelen, hogy az európai adatvédelmi biztos különleges jogállással rendelkezik, mivel az EUMSZ 16. cikk (2) bekezdése szerint a természetes személyek személyes adatainak uniós intézmények, szervek és hivatalok által végzett feldolgozása tekintetében történő védelmére vonatkozó szabályok tiszteletben tartását független hatóságok ellenőrzik, valamint a Charta 8. cikkének (3) bekezdésében úgy rendelkezik, hogy a személyes adatok védelmére vonatkozó szabályok tiszteletben tartását független hatóságnak kell ellenőriznie.

48

Ugyanakkor, bár nem vitatott, hogy a független felügyeleti hatóságok létrehozása az egyének személyes adataira vonatkozó védelmének alapvető eleme, annak a függetlenségnek, amellyel az európai adatvédelmi biztosnak a feladatait a gyakorlatban el kell látnia, nem célja az uniós jogalkotó hatásköreinek korlátozása.

49

E kérdést illetően meg kell állapítani, hogy az EUSZ 14. cikk (1) bekezdésében és az EUSZ 16. cikk (1) bekezdésében a Parlament és a Tanács részére fenntartott jogalkotási hatáskör, amely a hatáskörök megosztásának az EUSZ 13. cikk (2) bekezdésében megállapított elvébe, tágabban pedig az Unió intézményi struktúrájára jellemző intézményi egyensúly elvébe illeszkedik, azt jelenti, hogy a jogalkotási aktus tartalmának meghatározása kizárólag ezen intézmények feladata (lásd: 2022. július 14‑iOlaszország és Comune di Milano kontra Tanács és Parlament [Az Európai Gyógyszerügynökség székhelye] ítélet, C‑106/19 és C‑232/19, EU:C:2022:568, 146. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

50

E tekintetben az EUMSZ 16. cikk (2) bekezdésének első mondata előírja, hogy „[a] természetes személyeknek az uniós intézmények, szervek és hivatalok által a személyes adataiknak a feldolgozása tekintetében történő védelmére vonatkozó szabályokat rendes jogalkotási eljárás keretében az Európai Parlament és a Tanács állapítja meg”, a második mondatban pedig azt, hogy „[e] szabályok tiszteletben tartását független hatóságok ellenőrzik”.

51

Következésképpen az európai adatvédelmi biztos teljesen függetlenül, de a Parlament és a Tanács által együttesen elfogadott jogalkotási aktusok keretében és ezeknek megfelelően köteles a feladatait és hatásköreit gyakorolni. Az európai adatvédelmi biztos független hatóságként így e két intézmény által elfogadott jogalkotási aktusok alkalmazása keretében ellenőrzi a természetes személyeknek az uniós intézmények, szervek és hivatalok által a személyes adataik kezelése tekintetében történő védelmére vonatkozó szabályok tiszteletben tartását.

52

E kérdést illetően a Tanácshoz hasonlóan meg kell jegyezni, hogy az uniós jogalkotó a 2018/1725 rendelet 58. cikkének (4) bekezdésében pontosította, hogy „[a]z európai adatvédelmi biztos jogosult a Bíróság elé utalni az ügyet a Szerződésekben meghatározott feltételek mellett, továbbá beavatkozni a Bíróság előtt indított keresetekbe”.

53

Ezt a következtetést nem kérdőjelezheti meg az európai adatvédelmi biztos arra vonatkozó érvelése, hogy a jelen ügyben a függetlenségét a jogalkotói hatáskörök arra irányuló alkalmazása érintette, hogy visszaható hatállyal módosítsák az időbeli hatályuk folytán alkalmazandó szabályok alapján elfogadott határozattal véglegesen elbírált helyzetet.

54

E tekintetben meg kell állapítani, hogy a 2022. január 3‑i határozatot, amelynek joghatásait az európai adatvédelmi biztos szerint a megtámadott rendelkezések visszaható hatállyal megsemmisítették, az európai adatvédelmi biztos azon feladatának keretében fogadta el, hogy az EUMSZ 16. cikk (2) bekezdésében előírtak szerint ellenőrizze a természetes személyeknek az uniós intézmények, szervek és hivatalok által a személyes adataiknak a kezelése tekintetében történő védelmére vonatkozó szabályok tiszteletben tartását.

55

Az a tény, hogy a jogalkotó módosította a fent említett szabályokat, nem érinti önmagában az európai adatvédelmi biztos függetlenségét, hanem módosítja azt a keretet, amelyben független hatóságként az említett szabályok tekintetében az ellenőrzést gyakorolnia kell.

56

Következésképpen az 1990. május 22‑iParlament kontra Tanács ítélet (C‑70/88, EU:C:1990:217) nem alkalmazható analógia útján a jelen ügyre, és az európai adatvédelmi biztos ezen ítélet értelmében nem rendelkezik kereshetőségi joggal.

57

Következésképpen az európai adatvédelmi biztost olyan felperesnek kell tekinteni, akinek teljesítenie kell az EUMSZ 263. cikk negyedik bekezdésében előírt feltételeket.

58

Az EUMSZ 263. cikk negyedik bekezdésének második fordulata szerint bármely természetes vagy jogi személy eljárást indíthat az őt közvetlenül és személyében érintő jogi aktusok ellen.

59

Előzetesen meg kell tehát vizsgálni, hogy az európai adatvédelmi biztos mint uniós szerv az EUMSZ 263. cikk negyedik bekezdése értelmében vett jogi személynek tekinthető‑e.

60

E tekintetben a Bíróság kimondta, hogy a „jogi személynek” az EUMSZ 263. cikk negyedik bekezdésében használt fogalmát nem lehet megszorítóan értelmezni (2021. június 22‑iVenezuela kontra Tanács [Harmadik állam érintettsége] ítélet, C‑872/19 P, EU:C:2021:507, 44. pont).

61

Egyébiránt általánosabban az ítélkezési gyakorlatból az következik, hogy nemcsak a magánjogi jogi személyek, hanem a közjogi jogalanyok is kereshetőségi joggal rendelkeznek az EUMSZ 263. cikk negyedik bekezdése szerint (2021. június 22‑iVenezuela kontra Tanács [Harmadik állam érintettsége] ítélet, C‑872/19 P, EU:C:2021:507, 46. pont).

62

Az ítélkezési gyakorlat azt is megállapította, hogy valamely szervezet, amennyiben jogi személyiséggel rendelkezik, főszabály szerint benyújthat az EUMSZ 263. cikk negyedik bekezdése alapján megsemmisítés iránti keresetet (2021. június 22‑iVenezuela kontra Tanács [Harmadik állam érintettsége] ítélet, C‑872/19 P, EU:C:2021:507, 45. pont; 2020. szeptember 10‑iKambodzsa és CRF kontra Bizottság végzés, T‑246/19, EU:T:2020:415, 48. pont).

63

E tekintetben a jogi személyiség alapelemeiként azonosították többek között az autonómiát és a felelősséget, még ha korlátozottak is (lásd ebben az értelemben: 1963. november 14‑iLassalle kontra Parlament végzés, 15/63, EU:C:1963:47, 100. o.).

64

A jelen ügyben a 2018/1725 rendelet 54. cikkének (2) bekezdése értelmében az európai adatvédelmi biztos rendelkezik a feladatai elvégzéséhez szükséges személyi és anyagi erőforrásokkal. Egyébiránt ugyanezen rendelet 58. cikkének (4) és (5) bekezdése alapján az uniós bírósághoz fordulhat, és hatásköreinek gyakorlása hatékony bírósági jogorvoslat tárgya lehet.

65

E körülmények között az EUMSZ 263. cikk negyedik bekezdésének a hatékony bírósági felülvizsgálat és a jogállamiság elve fényében történő értelmezése azon álláspont mellett szól, amely szerint úgy kell tekinteni, hogy az olyan uniós szerv, mint az európai adatvédelmi biztos, az EUMSZ 263. cikk negyedik bekezdése értelmében vett „jogi személyként” kereshetőségi joggal rendelkezik, amennyiben az e rendelkezésben előírt többi feltétel teljesül. Az ilyen jogi személy jogait vagy érdekeit ugyanis valamely uniós jogi aktus ugyanúgy érintheti kedvezőtlenül, mint más személyek vagy szervezetek jogait vagy érdekeit, így e feltételek tiszteletben tartása mellett lehetővé kell tenni a számára, hogy az ilyen jogi aktus megsemmisítését kérje (lásd ebben az értelemben: 2021. június 22‑iVenezuela kontra Tanács [Harmadik állam érintettsége] ítélet, C‑872/19 P, EU:C:2021:507, 50. pont).

66

Ebből az következik, hogy az EUMSZ 263. cikk negyedik bekezdése értelmében az európai adatvédelmi biztos kereshetőségi joggal rendelkezik a megtámadott rendelkezésekkel szemben, feltéve hogy azok közvetlenül és személyében érintik e cikkek értelmében.

67

Mivel a Tanács az európai adatvédelmi biztos közvetlen és személyes érintettségének hiánya miatt a kereset elfogadhatatlanságára hivatkozik, meg kell vizsgálni, hogy a kereset e feltételekre tekintettel elfogadható‑e.

68

A közvetlen érintettséget illetően a Tanács lényegében azzal érvel, hogy a megtámadott rendelkezések nem érintik sem az európai adatvédelmi biztos hatásköreit, sem a 2022. január 3‑i határozatát, és mérlegelési jogkört biztosítanak címzettjeik számára.

69

Az európai adatvédelmi biztos vitatja a Tanács érveit, és lényegében arra hivatkozik, hogy a megtámadott rendelkezések olyan precedenst teremtenek, amelynek értelmében a jogalkotó indokolatlan nyomást gyakorol a felügyeleti hatóságra, hogy a megtámadott rendelkezések a 2022. január 3‑i határozatot megfosztották érvényesülésétől, és az Europol vagy a tagállamok bármely intézkedésétől függetlenül a megtámadott rendelkezések az akkor hatályos, és az e határozat által értelmezett jogszabályból eredő joghatásokkal ellentétes joghatásokat váltanak ki.

70

Ami azt a feltételt illeti, amely szerint valamely jogi személynek közvetlenül érintettnek kell lennie, az az állandó ítélkezési gyakorlat szerint két kritérium együttes teljesülését követeli meg, vagyis azt, hogy a vitatott intézkedés egyrészt közvetlen hatást gyakoroljon a felperes jogi helyzetére, másrészt pedig azt, hogy ne hagyjon semmiféle mérlegelési jogkört az intézkedés végrehajtására kötelezett címzettek számára, mivel a végrehajtása tisztán automatikus jellegű, és köztes szabályok alkalmazása nélkül, kizárólag az uniós szabályozás alapján történik (lásd: 2022. január 13‑iNémetország – Ville de Paris és társai kontra Bizottság ítélet, C‑177/19 P‑C‑179/19 P, EU:C:2022:10, 72. pont, valamint az ott hivatkozott ítélkezési gyakorlat).

71

Ezenkívül annak meghatározásához, hogy valamely jogi aktus joghatásokat vált‑e ki, különösen tárgyának, tartalmának, hatályának, lényegének, valamint meghozatala jogi és ténybeli hátterének kell jelentőséget tulajdonítani (2021. június 22‑iVenezuela kontra Tanács [Harmadik állam érintettsége] ítélet, C‑872/19 P, EU:C:2021:507, 66. pont).

72

Közelebbről megállapítást nyert, hogy az olyan uniós jogi aktus, amely valamely közjogi jogi személyt megakadályoz abban, hogy saját szándékának megfelelően gyakorolja az őt megillető hatásköröket, közvetlenül érinti e jogi személy jogi helyzetét, és ennélfogva úgy kell tekinteni, hogy e jogi aktus az EUMSZ 263. cikk negyedik bekezdése értelmében közvetlenül érinti őt (lásd: 2022. január 13‑iNémetország–Ville de Paris és társai kontra Bizottság ítélet, C‑177/19 P‑C‑179/19 P, EU:C:2022:10, 73. pont; lásd még ebben az értelemben: 2021. június 22‑iVenezuela kontra Tanács [Harmadik állam érintettsége] ítélet, C‑872/19 P, EU:C:2021:507, 69. pont).

73

Ami először is az európai adatvédelmi biztos jogi helyzetére gyakorolt hatásra vonatkozó feltételt illeti, először is meg kell állapítani, hogy a 2018/1725 rendelet 1. cikkének (3) bekezdéséből és az eredeti Europol‑rendelet 43. cikkének (1) bekezdéséből kitűnik, hogy az európai adatvédelmi biztos feladata, hogy figyelemmel kísérje a személyes adatok védelmére vonatkozó szabályoknak az uniós intézmények, szervek vagy hivatalok általi alkalmazását. A jelen ügyben a megtámadott rendelkezések módosítják az eredeti Europol‑rendeletet, és elsősorban ez utóbbit érintik. Így ez utóbbiak nem befolyásolják az uniós jogszabályok által az európai adatvédelmi biztosra ruházott feladatok jellegét vagy terjedelmét.

74

Igaz ugyan, hogy az európai adatvédelmi biztos által ellenőrzött jogi szabályozás módosult, a saját hatáskörei azonban változatlanok, mivel önmagában azt a módot, ahogy utóbbiakat jogszerűen gyakorolhatja, nem módosították.

75

Így az európai adatvédelmi biztost nem érintik közvetlenül a megtámadott rendelkezések, mivel e rendelkezések nem érintették a jogait, kötelezettségeit vagy hatásköreit.

76

Másodszor, ami a megtámadott rendelkezéseknek a 2022. január 3‑i határozatra gyakorolt hatásait illeti, meg kell állapítani, hogy átfedés van az e határozatban és a megtámadott rendelkezésekben foglalt adatkészlet között. A 2022. január 3‑i határozat azonban egy közigazgatási határozat, amely nem lehet hatással a módosított Europol‑rendelethez hasonló jogalkotási aktusokra, és nem érintheti azok tartalmát.

77

E következtetést nem kérdőjelezheti meg az európai adatvédelmi biztos azon érve, amely szerint a megtámadott rendelkezések olyan precedenst teremtenek, amelynek értelmében a jogalkotó indokolatlan nyomást gyakorolhat a felügyeleti hatóságra. Jóllehet ugyanis a megtámadott rendelkezések módosítják az alkalmazandó jogi keretet, amelynek tiszteletben tartását az európai adatvédelmi biztos feladata ellenőrizni, és nem teljesen azonosak a 2022. január 3‑i határozat hatályával, e rendelkezések azonban nem érintik az európai adatvédelmi biztos jogi helyzetét.

78

Másodszor és mindenesetre a megtámadott rendelkezések végrehajtásával megbízott címzettek mérlegelési mozgásterére vonatkozó feltételt illetően meg kell állapítani, hogy e rendelkezések bizonyos mérlegelési mozgásteret hagynak az Europol számára.

79

A megtámadott rendelkezéseknek megfelelően ugyanis az Europol feladata eldönteni, hogy miként kell kezelni a valamely tagállam vagy más szervezet által részére továbbított és a módosított Europol‑rendelet hatálybalépésének időpontjában birtokában lévő adatkészleteket. Az Europol feladata, hogy kategorizálja a módosított Europol-rendelet hatályba lépésének időpontjában birtokában volt adatkészletet, és döntsön arról, hogy folyamatban lévő bűnügyi nyomozások támogatása céljából továbbra is kezelje‑e a módosított Europol‑rendelet II. mellékletének hatályán kívül eső érintettek kategóriáihoz tartozó, egy másik tagállam vagy más szervek által részére továbbított adatkészleteket.

80

Így az Europolnak kell döntenie arról, hogy bizonyos adatok kezelését folytatja‑e, vagy sem. Következésképpen az európai adatvédelmi biztosnak a megtámadott rendelkezésekkel kapcsolatos felügyeleti feladata az Europol, a tagállamok vagy más szervezetek elsődleges beavatkozását követi.

81

Egyrészt ugyanis a módosított Europol‑rendelet 74a. cikke előírja, hogy az Europol tájékoztatás céljából megküldi az európai adatvédelmi biztosnak az e rendelet 74a. cikke (1) bekezdésének c) pontjában és (3) bekezdésének d) pontjában említett értékelést. Másrészt a módosított Europol‑rendelet 74b. cikke lényegében azt írja elő, hogy az Europol, az adatok első kézhezvételének napjától számított legfeljebb 18 hónapig, vagy indokolt esetekben és az európai adatvédelmi biztos előzetes engedélyével ennél hosszabb ideig is, elvégezheti a 2022. június 28. előtt kapott személyes adatok előzetes elemzését.

82

Így a megtámadott rendelkezések mérlegelési jogkört biztosítanak a címzettjeik számára. E rendelkezések tehát nem tisztán automatikus jellegűek, és köztes szabályok alkalmazása nélkül, kizárólag az európai adatvédelmi biztosra vonatkozó uniós szabályozásból erednek.

83

Ezt a következtetést nem kérdőjelezheti meg az európai adatvédelmi biztos azon érve, amely szerint önmagában az a tény, hogy a tagállamoknak vagy az uniós ügynökségeknek választási lehetőségük van arra, hogy engedélyezzék az adatkezelés kategorizálás nélküli folytatását, közvetlenül sérti a 2022. január 3‑i határozatot. E kérdést illetően ugyanis meg kell állapítani, hogy a megtámadott rendelkezések nem akadályozzák meg az európai adatvédelmi biztost abban, hogy belátása szerint a fenti 72. pontban hivatkozott ítélkezési gyakorlat értelmében saját hatásköreit gyakorolja.

84

Következésképpen a megtámadott rendelkezések nem érintik közvetlenül az európai adatvédelmi biztos jogi helyzetét.

85

Ezért, mivel a megsemmisíteni kért jogi aktussal való közvetlen érintettség és személyes érintettség feltételeinek egyszerre kell teljesülniük, az, hogy e feltételek egyike a felperes esetében nem teljesül, azzal a következménnyel jár, hogy a felperes által e jogi aktus ellen benyújtott megsemmisítés iránti keresetet elfogadhatatlannak kell tekinteni (2013. október 3‑iInuit Tapiriit Kanatami és társai kontra Parlament és Tanács ítélet, C‑583/11 P, EU:C:2013:625, 76. pont).

86

A fentiekre tekintettel a Tanács által felhozott elfogadhatatlansági kifogásnak helyt kell adni, és a vele szemben előterjesztett kereseti kérelmeket mint elfogadhatatlanokat az eljárási szabályzat 130. cikke alapján el kell utasítani.

87

Ezért a Parlamenttel szemben előterjesztett, az utóbbi által is kibocsátott megtámadott rendelkezések megsemmisítésére irányuló kereseti kérelmeket mint nyilvánvalóan elfogadhatatlanokat az eljárási szabályzat 126. cikke értelmében el kell utasítani.

88

Ezen kívül az eljárási szabályzat 144. cikkének (3) bekezdése értelmében, ha az alperes ugyanezen szabályzat 130. cikk (1) bekezdése szerinti, elfogadhatatlansági vagy hatáskör hiányára alapozott kifogást nyújt be, a beavatkozási kérelemről csak e kifogás elutasítása vagy az eljárást befejező határozatban való eldöntéséről szóló határozat meghozatala után lehet határozni. Ezenkívül ugyanezen szabályzat 142. cikkének (2) bekezdésének megfelelően a beavatkozás okafogyottá válik többek között akkor, ha a keresetlevél elfogadhatatlanságát állapítják meg. A jelen ügyben, mivel a Törvényszék a keresetet mint elfogadhatatlant teljes egészében elutasította, a Francia Köztársaság, a Németországi Szövetségi Köztársaság, a Bizottság, a Belga Királyság és a Holland Királyság beavatkozási kérelméről nem szükséges határozni.

89

Az eljárási szabályzat 134. cikkének (1) bekezdése alapján a Törvényszék a pervesztes felet kötelezi a költségek viselésére, ha a pernyertes fél ezt kérte.

90

Mivel az európai adatvédelmi biztos pervesztes lett, a Tanács és a Parlament kérelmének megfelelően kötelezni kell a Tanács és a Parlament részéről felmerült költségek viselésére, a beavatkozási kérelmekkel kapcsolatos költségek kivételével.

91

Az eljárási szabályzat 144. cikkének (10) bekezdése alapján, ha az alapügyben a beavatkozási kérelemről történő határozathozatalt megelőzően befejeződik az eljárás, a beavatkozást kérelmező, valamint a felperes és az alperes maguk viselik a beavatkozási kérelemmel összefüggésben felmerült saját költségeiket. Következésképpen az európai adatvédelmi biztos, a Tanács és a Parlament, valamint a Bizottság, a Belga Királyság, a Németországi Szövetségi Köztársaság, a Francia Köztársaság és a Holland Királyság maga viseli a beavatkozási kérelmével összefüggésben felmerült saját költségeit.

A fenti indokok alapján

A TÖRVÉNYSZÉK (kibővített első tanács)

a következőképpen határozott: