法律翻译 | BE诉匈牙利数据保护和信息自由局

译者 | 陈恒星 中国政法大学硕士

一审 | Cindy Wong University Leeds LL.B.

二审 | 廖林风 清华大学法学学士

编辑 | 邵娅绮 浙江工商大学本科

责编 | 戚琳颖 大连海事大学本科

JUDGMENT OF THE COURT

(First Chamber)

法院判决（第一分庭）

12 January 2023

2023年1月12日

（先予裁决请求-个人数据处理中对自然人的保护-欧盟2016/679号条例-第77至79条-救济-平行行使-关系-程序自主-该条例规定的保护规则的有效性-这些规则在整个欧盟的一致和同一性适用-《欧盟基本权利宪章》第47条）

在C132/21号判例中，Fővárosi Törvényszék（匈牙利布达佩斯高等法院）依据《欧盟运作条约》第267条于2021年3月2日作出决定向本院提出先予裁决请求，本院于2021年3月3日在诉讼程序中收到请求。

布达佩斯电气 诉 匈牙利数据保护和信息自由局

利害关系人：布达佩斯电气工程有限公司

本院（第一分庭）由庭长A. Arabadjiev，副庭长L. Bay Larsen，法官P.G. Xuereb, A. Kumin和I. Ziemele（报告员）组成。顾问：J. Richard de la Tour,书记员：I. Illéssy。在考虑代表以下各方提交的意见后，本院进行了书面审理程序，并进一步于2022年5月11日进行了听证：

布达佩斯电气，诉讼代理人为I. Kulcsár律师。匈牙利数据保护和信息自由局，诉讼代理人为G. Barabás律师, G.J. Dudás律师以及Á. Hargita律师。匈牙利政府，诉讼代理人为Zs. Biró-Tóth以及M.Z. Fehér。捷克政府，诉讼代理人为O. Serdula，M. Smolek以及J. Vláčil。意大利政府，诉讼代理人为G. Palmieri，E. De Bonis律师以及M.F. Severi律师。波兰政府，诉讼代理人为B. Majczyna以及J. Sawicka。欧盟委员会，诉讼代理人为H. Kranenborg，Zs. Teleki以及P.J.O. Van Nuffel。

在2022年9月8日的座谈会上听取了顾问的意见后，本院作出以下判决：

Judgment

判决

本先予裁决请求涉及对欧盟2016年4月27日欧洲议会和理事会2016/679号条例：个人数据处理中的自然人保护及个人数据的自由流动，并废除95/46/EC指令（一般数据保护条例）第77条第1款、第78条第1款、第79条第1款的解释（欧盟官方公报2016年第119期，第1页）。

该请求已在布达佩斯电气和Nemzeti Adatvédelmi és Információszabadság Hatóság（匈牙利数据保护和信息自由局；“监管机构”）之间的诉讼程序中提出，具体为拒绝向布达佩斯电气发送他所参加的公司股东大会的录音摘录的请求。

Legal context

适用法

依据《一般数据保护条例》序言第10条、第11条、第141条、第143条：

为了确保对自然人的持续和高水平的保护，并消除个人数据在[欧洲]联盟内流动的障碍，在处理个人数据方面，所有成员国对自然人权利和自由的保护水平应是相同的。在处理个人数据方面，保护自然人基本权利和自由的规则应在整个欧盟范围内得到一致和同质的应用。

……

要在整个欧盟范围内有效保护个人数据，需要加强并详细规定数据主体的权利以及处理和决定个人数据处理主体的义务……

每个数据主体都应有权向单一监管机构提出投诉，特别是在其经常居住地所在的成员国，并且有权依据《欧盟基本权利宪章》第47条获得有效的司法救济，如果数据主体认为其在本条例下的权利受到侵犯，或者监管机构没有对投诉采取行动、部分或全部拒绝或驳回投诉，或不采取为保护数据主体权利而应采取的必要行动。

……

每个自然人或法人都应获得主管国家法院就监管机构对其产生法律效力的决定的有效的司法救济。……针对监管机构的诉讼应提交设立监管机构的成员国法院，并应依据该成员国的程序法进行。这些法院应行使充分管辖权，其中应包括审查与争议有关的所有事实和法律问题的管辖权。

该条例第60条至第63条建立了成员国监管当局之间的合作、互助和一致性机制。

该条例第77条第1款规定：

“不影响任何其他行政或司法救济，在数据主体认为与其有关的个人数据处理违反了本条例的情况下，每个数据主体都有权向监管机构提出投诉，特别是在其经常居住地、工作地或侵权地所在的成员国。”

该条例第78条第1款规定：

“不影响任何其他行政或非司法救济的情况下，在监管机构做出对其具有法律约束力的决定时，每个自然人或法人都有权获得有效的司法救济。”

《一般数据保护条例》第79条第1款规定：

“在不影响任何可用的行政或非司法救济的情况下，包括依据第77条向监管机构提出投诉的权利，当数据主体认为其在本条例下的权利因不符合本条例的个人数据处理活动受到侵犯时，有权获得有效的司法救济。”

该条例第81条“诉讼程序中止”的表述如下：

“1. 如果一个成员国的有管辖权法院获悉正在另一个成员国的法院中处理同一控制者或处理者处理者所涉及的相同标的的诉讼程序信息，应联系另一个成员国的法院以确认该诉讼程序的存在。

2. 如果涉及同一控制者或处理者所处理的相同标的的诉讼程序正在另一个成员国的法院等待审理，任何受理的有管辖权的法院都可以中止其程序，但不包括最先受理的法院。

3. 如果诉讼程序一审未决，且最先受理的法院对涉诉行为有管辖权，并且其所在国法律允许合并审理，经任一方当事人申请，最先受理的法院外的任何法院可以拒绝管辖。”

适用于原诉讼程序争议的《2011年关于信息自决和信息自由的第CXII号法案》文本的第22条规定：

“在行使其权利时，数据主体可以按照第六章的规定：

如果控制者限制了数据主体依据第14条享有的权利的行使，或者拒绝了数据主体行使其权利的请求，则可以要求[监管机构]对控制者采取的措施的合法性展开调查，并且如果数据主体认为，控制者或代表控制者或依据控制者指示行事的处理者在处理其个人数据时，未能满足欧盟立法或有约束力的法案中规定的有关个人数据处理的要求，则可以要求[监管机构]实施行政数据保护程序。”

适用于原诉讼程序争议的《2011年关于信息自决和信息自由的第CXII号法案》文本的第23条规定：

“1. 如果数据主体认为，控制者或代表控制者或依据控制者指示行事的处理者在处理其个人数据时不顾欧盟立法或有约束力的法案中规定的有关个人数据处理的要求，则可以对控制者或就处理者活动范围内的处理操作对处理者提起诉讼。

……

4. 司法诉讼也应允许缺乏诉讼资格的人参加。[监管机构]可以干预这些程序，以支持数据主体的主张。

5. 当法院认可诉讼请求时，应认定侵权行为已发生并命令控制者或处理者：

（a）停止非法的数据处理操作；（b）恢复数据处理的合法性；和/或（c）采取法律明确规定的行为，以确保数据主体能够行使其权利，以及，如有必要，同时对任何物质和非物质损害赔偿要求作出裁决。”

The facts of the dispute in the main proceedings and the questions referred for a preliminary ruling

原诉讼程序中的争议事实和请求先予裁决的问题

2019年4月26日，布达佩斯电气出席其作为股东的一家有限公司的股东大会，并向该公司的董事会成员及出席股东大会的其他人士进行询问。随后，布达佩斯电气要求该公司作为个人数据控制者将在股东大会上录制的录音发给他。

该公司仅向布达佩斯电气提供了该录音中布达佩斯电气发言部分的片段，不包括出席股东大会的其他人士的发言。

布达佩斯电气随后向监管机构提出请求，要求：（i）宣布该公司未能向他提供包括对他的问题的回答在内的录音，该公司的行为违反了《2016/679条例》以及（ii）要求该公司向其发送相关录音。监管机构在2019年11月29日作出的决定中拒绝了该请求。

依据《一般数据保护条例》第78条第1款，布达佩斯电气就监管机构的决定向移送法院提起诉讼，以求改变或者撤销该决定。

在与监管机构展开行政诉讼的同时，布达佩斯电气依据《一般数据保护条例》第79条第1款，就控制者的不予提供其余录音的决定，另行向匈牙利布达佩斯地区上诉法院提起民事诉讼。

尽管与监管机构的行政诉讼仍待移送法院审理，匈牙利布达佩斯地区上诉法院在并行的民事诉讼中已通过终局判决支持了布达佩斯电气的主张，理由是控制者侵犯了布达佩斯电气获取其个人数据的权利。

移送法院指出，其必须重复审查匈牙利布达佩斯地区上诉法院已经作出终局判决的相同的事实和违反《2016/679条例》的指控。问题在于法院应当如何看待民事法庭对个人数据控制者作出决定的合法性评估，如本判决第13段所述，该决定是移送法院审理的案件主题，特别是其中一种救济是否应优先于另一种。

法院认为，同时使用《2016/679条例》第77至第79条所规定的救济措施可能导致对相同事实作出相互矛盾的决定。

该法院认为，这种情况有可能破坏有关个人和监管当局的法律确定性。

移送法院指出，考虑到监管机构的独立性，以及《一般数据保护条例》赋予监管机构的权力在个人数据保护制度中占主导地位的事实，如果监管机构在执法评估中受到依据《一般数据保护条例》第79条第1款在在先受理的基于相同事实的民事法院的裁判的约束，那么这些机构的职能和权力将受到削弱。

由于《一般数据保护条例》没有规定关于第77条至第79条所规定的救济手段之间的任何优先规则，因此，移送法院认为，应由欧洲法院澄清这些救济手段之间的关系。

在上述情形下，匈牙利布达佩斯高等法院决定中止诉讼程序，并将下列问题移送欧洲法院进行先予裁决：

（1）《一般数据保护条例》第77条第1款和第79条第1款是否必须解释为：第77条规定的行政上诉构成行使公共权利的工具，而第79条规定的法律诉讼则构成行使私人权利的工具？若是，这是否会支持如是推论，即负责审理和决定行政上诉的监管机构拥有确定侵权行为存在的优先权？

（2）如果数据主体认为与他有关的个人数据处理违反了《一般数据保护条例》，从而同时行使其依据条例第77条第1款所享有的提出投诉的权利和依据条例第79条第1款提起法律诉讼的权利，则依据《欧盟基本权利宪章》第47条可作出的一个解释为：

（a）监管机构和法院有义务独立审查是否存在侵权行为，因此甚至可能得出不同的结果；或

（b）考虑到《一般数据保护条例》第51条第1款规定的权力以及条例第58条第2款b项和d项赋予的权力，在评估是否存在侵权行为时，监管机构的决定优先？ 

《一般数据保护条例》第51条第1款、第52条第1款所保证的监管机构的独立性，是否必须被解释为，当依据条例第77条进行和裁决投诉程序时，监管机构独立于依据条例第79条具有管辖权的法院的最终判决所作出的任何裁决，甚至可以对同一涉嫌侵权行为作出不同的决定？”

Consideration of the questions referred

审理所移送的问题

欧盟委员会对所移送的问题是否可以受理存有疑问。欧盟委员会认为，从要求先予裁决的请求可以明显看出，在提出该请求之日，监管机构和民事法院均作出了决定，前提是这些问题本身是假设的。委员会认为，实际上，移送法院并不清楚两个匈牙利国家法院，即行政法院和民事法院各自的判决之间的关系。然而，该移送令中没有提出这个问题。

在这方面，应当注意到，由成员国法院在事实和法律双重语境下移送的由法院负责界定的关于欧盟法律解释的问题，解释的准确性不是本院所能决定的问题，法院可进行相关性推定。本院只有在所寻求的欧盟法律的解释与主要诉讼或其目的事实无关、问题是假设的，或者本院没有必需的事实或法律材料来对移送的问题给出有用的答复时，才可以拒绝对成员国法院移送的问题作出裁决（判例引用：2022年2月10日所做的判决，Bezirkshauptmannschaft Hartberg-Fürstenfeld（时效期限），C-219/20, EU:C:2022:89，第20段）。

此外，依据《欧洲法院程序规则》第94条第c项，先予裁决的请求必须包含一份说明，用以说明促使移送法院咨询欧盟法律某些条款的解释的原因，以及这些条款与适用于原诉讼程序的国家立法之间的关系。

在本案中，尽管依据《2016/679条例》第77条第1款接受审理的监管机构在民事法院之前作出了决定，而民事法院对布达佩斯电气依据条例第79条第1款提起的诉讼作出了裁决。从移送法院所陈述的事实可以明显看出，这一行动导致判决终局。此外，提交法院只在移送本院作先予裁决的问题中只提到了这两项规定。

移送法院移送的问题仅涉及欧盟法律的某些条款，然而这并不意味着本院不能就可能有助于判决未决案件的解释要点向国内法院提供全部指导，无论移送法院是否在其问题中提到了这些要点。在这方面，本院应从移送法院提供的所有信息中，特别是从作出移送决定的理由中，提取欧盟法律中需要依据争议主题进行解释的要点（判例引用：2022年2月10日所做的判决，Bezirkshauptmannschaft Hartberg-Fürstenfeld（时效期限），C-219/20, EU:C:2022:89，第34段）。

首先，移送法院指出，依据成员国的程序法，其不受民事法院依据《一般数据保护条例》第79条第1款对布达佩斯电气提起的诉讼作出的最终判决的约束。其次，由于布达佩斯电气没有撤回其依据条例第78条第1款向移送法院提起的诉讼，或者寻求变更或无效本判决第13段所述监管机构的决定，因此应由移送法院裁定该决定的合法性，该决定是在民事法院的判决下达之前作出的。

因此，受理诉讼的移送法院依据《一般数据保护条例》第78条第1款，针对监管机构依据第77条第1款作出的决定，旨在确定，依据条例的规定，法院依据第79条第1款作出的最终判决，对于认定存在或未存在侵犯条例所保障的权利的情况，具有约束力。

在上述背景下，为了针对移送法院的疑问向其提供一个实质有效的答复，应当考虑的问题是，依据《欧盟基本权利宪章》（简称《宪章》）第47条，《一般数据保护条例》第77条第1款、第78条第1款、第79条第1款规定的救济手段，是否可以同时或独立地行使，或者其中一项是否优先于另一项。因此，上述重新提出的问题是可以受理的。

作为一个初步观点，应当明确，依据本院既决判例，在解释欧盟法律的一项规定时，必须综合考虑其文义，上下文以及立法所追求的目标。（判例引用：2021年12月2日所做的判决，Vodafone Kabel Deutschland，C-484/20, EU:C:2021:975，第19段）。

关于本判决第30段中提到的《一般数据保护条例》条款的文义，应当明确：首先，条例第77条第1款规定，在“不影响任何其他行政或司法救济”的前提下，每个数据主体都有权向监管机构提出投诉。其次，依据条例第78条第1款，在“不影响任何其他行政或非司法救济”的前提下，每个自然人或法人都有权对监管机构关于他们的具有法律约束力的决定获得有效的司法救济。最后，条例第79条第1款保障每个数据主体在“不影响任何可用的行政或非司法救济”的前提下获得有效司法救济的权利，包括依据第77条向监管机构提出投诉的权利”。

因此，《一般数据保护条例》的上述条款为声该条例赋予权利被侵犯的人提供了不同的救济手段，但需要理解的是，每一种救济手段都必须能够在“不损害”其他救济手段的情况下行使。

首先，从这些条款的文义来看，《一般数据保护条例》没有规定任何优先权或专属权限或管辖权，也没有规定任何优先规则，以评估监管机构或法院是否存在侵犯条例赋予的权利的情况。条例第78条第1款规定的救济手段，其目的是审查监管机构依据第77条所作出决定的合法性，因此，条例第79条第1款规定的救济可以同时并彼此独立地行使。

其次，这一结论也由《2016/679号条例》相关条款的上下文所得出。

尽管欧盟立法机构已经明确了在几个成员国的监管机构或法院同时受理同一控制者处理个人数据的情形下，《一般数据保护条例》规定的几种救济之间的关系，然而必须注意的是，就条例第77条至第79条规定的救济手段而言，情况并非如此。

《一般数据保护条例》第60条至第63条规定了合作、互助和协调机制，监管机构应在机制下彼此互助、相互通报并开展联合行动，以确保在整个欧盟范围内一致和有效适用该条例的规定。

此外，条例第81条第2款和第3款规定了有关在不同成员国的多个法院审理的案件的情况规则。

然而，《一般数据保护条例》并没有针对在同一成员国内就个人数据处理的同一案件同时向监管机构提出投诉和提起司法诉讼的情况下如何处理制定规则。

此外，依据《一般数据保护条例》第143条解释条例第78条第1款，受理对监管机构所作出的决定提起的诉讼的法院应行使完全管辖权，包括审查与所受理争议有关的所有事实和法律问题的管辖权。

最后，关于《一般数据保护条例》的立法目的，从其序言第10条即可明显看出，条例的目的是确保在欧盟内部处理个人数据时对自然人的高水平保护。此外，条例第11条规定，对个人数据的有效保护需要加强数据主体的权利。正如顾问在其意见第55点所指出的，欧盟立法机关决定赋予数据主体行使条例第77条第1款和第78条第1款规定的救济手段还是第79条第1款规定的救济手段的选择权，两者可同时行使并相互独立，这与条例的立法目的是一致的。

《一般数据保护条例》特别要求成员国当局应确保高度保护《欧盟运作条约》第16条和《欧盟基本权利宪章》第8条所保障的权利（大体参见2021年6月15日所做的判决，Facebook爱尔兰和其他，C-645/19, EU:C:2021:483，第45段）。

提供多种救济手段也强化了《一般数据保护条例》序言第141条所明确的目标，即保障每个认为其在条例项下的权利受到侵犯的数据主体依据《欧盟基本权利宪章》第47条获得有效司法救济手段的权利。

（图片来源于网络）

在没有欧盟规则的情况下，每个成员国都应依据成员国程序自治的原则，制定行政和司法程序的详细规则，以确保对个人从欧盟法律中获得的权利的高水平保护。

因此，应由移送法院依据国家程序相关规定，来决定在原诉讼程序所涉情况中，《一般数据保护条例》规定的救济手段如何实施。

即便如此，执行这些可同时行使并相互独立的救济手段的详细规则不应使人质疑条例所保障的权利的有效性。

上述详细规则不得劣于治理类似国内行动的规则（等效原则）；也不应使欧盟法律赋予的权利实际上不可能行使或行使过于困难（有效性原则）（判例引用：大体参见2022年7月14日所做的判决，EPIC财务咨询，C-274/21和C-275/21, EU:C:2022:565，第73段）。

依据《欧洲联盟条约》第4条第3款规定的精诚合作原则，成员国法院应确保对欧盟法律项下的个人权利的司法保护。此外，《欧洲联盟条约》第19条第1款要求成员国提供足够的救济手段，以确保在欧盟法律所涵盖的领域个人权利内得到有效的司法保护（2017年9月27日所做的判决，Puškár，C-73/16, EU:C:2017:725，第57段）。

特别是当成员国为确保《一般数据保护条例》赋予的权利得到保护而制定法律诉讼的详细程序规则时，它们必须确保遵守《欧盟基本权利宪章》第47条所载的获得有效救济和公平审判的权利，这重申了有效司法保护的原则（参见，类推适用，2017年9月27日所做的判决，Puškár，C-73/16, EU:C:2017:725，第59段）。

因此，成员国必须确保《一般数据保护条例》第77条第1款、第78条第1款和第79条第1款规定的救济的实际行使方案不会不成比例地影响《欧盟基本权利宪章》第47条规定的获得有效司法救济的权利（大体参见，2017年9月27日所做的判决，Puškár，C-73/16, EU:C:2017:725，第76段）。

在本案中，从移送令可以明显看出，匈牙利法律规定的救济制度中《一般数据保护条例》第78条第1款和第79条第1款规定的救济手段是相互独立的。移送法院指出，依据条例，其不受受理法院对依据条例第79条第1款提起的诉讼作出的裁决的约束，即使受理法院的受理的案件事实相同。

因此，不能排除这两个法院的判决可能是相互矛盾的，即一个法院认为条例的规定受到违反，另一个法院则认为没有。

在这种情况下，首先，两项相互矛盾的决定质疑《一般数据保护条例》序言第10条规定的目标，即确保在整个欧盟处理个人数据处理的规矩保持一致和统一，保障自然人基本权利和自由。

根据对基于条例第79条第1款所提起的诉讼的处置决定所给予的保护，认定该条例的规定受到了违反，将与基于条例第78条第1款所提起的诉讼所产生的具有相反结果的第二个司法决定不一致。

其次，这样的结果会是在处理个人数据方面削弱对自然人的保护，因为这种不一致将造成法律上的不确定性。

考虑到上述所有问题，对所移送的问题的答复是，根据《欧盟基本权利宪章》第47条，《一般数据保护条例》第77条第1款、第78条第1款、第79条第1款应当解释为条例第77条第1款和第78条第1款规定的救济手段，以及第79条第1款规定的救济手段，可以同时行使并相互独立。各成员国应依据程序自治原则，就上述救济手段之间的关系制定详细规则，以确保条例所保障的权利，以及《欧盟基本权利宪章》第47条规定的获得有效司法救济的权利得到有效保护，并确保其规定的一致和同一性适用。

Costs

诉讼费用

由于此诉讼程序对主要程序的当事方来说，仅是原诉讼程序中的一个环节，因此关于费用的决定应由国家法院作出。向本院提出意见所产生的费用，除当事各方的费用外，不予追讨。

基于上述理由，本院（第一分庭）特此裁定：

依据《欧盟基本权利宪章》第47条，欧盟2016年4月27日欧洲议会和理事会2016/679号条例：个人数据处理中的自然人保护及个人数据的自由流动，并废除95/46/EC指令（一般数据保护条例）第77条第1款、第78条第1款、第79条第1款，

应当解释为条例第77条第1款和第78条第1款规定的救济手段，以及第79条第1款规定的救济手段，可以同时行使并相互独立。各成员国应依据程序自治原则，就上述救济手段之间的关系制定详细规则，以确保条例所保障的权利，以及《欧盟基本权利宪章》第47条规定的获得有效司法救济的权利得到有效保护，并确保其规定的一致和同一性适用。

原文链接：

https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX:62021CJ0132