Ediție provizorie
CONCLUZIILE AVOCATULUI GENERAL
DOMNUL JEAN RICHARD DE LA TOUR
prezentate la 4 septembrie 2025(1)
Cauza C‑414/24
Datenschutzbehörde,
Dr. G S
cu participarea
Bundesministerin für Justiz,
D GmbH
[cerere de decizie preliminară formulată de Verwaltungsgerichtshof (Curtea Administrativă, Austria)]
„ Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolele 77 și 79 – Căi de atac – Exercitare paralelă – Articulare între plângerea administrativă și calea de atac jurisdicțională – Autonomie procedurală a statelor membre – Principiul efectivității ”
I.      Introducere
1.        Prezenta cerere de decizie preliminară privește interpretarea articolului 77 alineatul (1) și a articolului 79 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)(2).
2.        Această cerere a fost formulată în cadrul unui litigiu între doctorul GS (denumit în continuare „GS”), pe de o parte, și Österreichische Datenschutzbehörde (Autoritatea pentru Protecția Datelor, Austria) (denumită în continuare „DSB”), pe de altă parte, în legătură cu respingerea plângerii introduse în fața sa de GS, pentru motivul că acesta sesizase în prealabil o instanță cu privire la aceeași cauză.
3.        Cererea de decizie preliminară respectivă se înscrie în continuarea Hotărârii din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság[(3)], prin care Curtea a statuat că căile de atac prevăzute, pe de o parte, la articolul 77 alineatul (1) și la articolul 78 alineatul (1) din RGPD, precum și, pe de altă parte, la articolul 79 alineatul (1) din acest regulament pot fi exercitate în mod concurent și independent. Acest articol 77 alineatul (1) și acest articol 78 alineatul (1) se referă la dreptul de a depune o plângere la o autoritate de supraveghere(4) și, respectiv, la dreptul la o cale de atac jurisdicțională împotriva deciziei adoptate de această autoritate. În ceea ce privește articolul 79 alineatul (1), acesta privește dreptul la o cale de atac jurisdicțională împotriva unui operator sau a unei persoane împuternicite de operator.
4.        Verwaltungsgerichtshof (Curtea Administrativă, Austria), care este instanța de trimitere, dorește să obțină din partea Curții precizări cu privire la articularea acestor căi de atac și, mai precis, la posibilitatea autorității de supraveghere de a respinge o plângere atunci când o cale de atac jurisdicțională având același obiect a fost introdusă anterior, chiar dacă această procedură rămâne pendinte sau decizia pronunțată cu ocazia acesteia nu este încă definitivă.
5.        Implicațiile acestei chestiuni sunt importante, având în vedere voința legiuitorului Uniunii, pe de o parte, de a impune o obligație specială de diligență autorității de supraveghere și, pe de altă parte, de a consolida dreptul la o protecție jurisdicțională efectivă, consacrat la articolul 47 din Carta drepturilor fundamentale a Uniunii Europene(5).
6.        În prezentele concluzii, vom propune Curții să declare că articolul 77 alineatul (1) și articolul 79 alineatul (1) din RGPD trebuie interpretate în sensul că se opun ca o autoritate de supraveghere care este sesizată cu o plângere în conformitate cu articolul 77 alineatul (1) menționat să o poată respinge pentru motivul că o cale de atac jurisdicțională introdusă în conformitate cu acest articol 79 alineatul (1) și având același obiect a fost formulată anterior și în condițiile în care decizia pronunțată în cadrul acestei căi de atac nu este încă definitivă.
7.        Vom începe analiza noastră amintind caracterul concurent și independent al căilor de atac prevăzute, pe de o parte, la articolul 77 alineatul (1) și la articolul 78 alineatul (1) din RGPD, precum și, pe de altă parte, la articolul 79 alineatul (1) din acest regulament. Vom aminti de asemenea obligația statelor membre de a coordona aceste căi de atac pentru a evita pronunțarea unor hotărâri contradictorii. Vom demonstra că obligația de coordonare respectivă nu poate repune în discuție caracterul concurent și independent al căilor de atac oferite de RGPD, permițând autorității de supraveghere mai degrabă să respingă plângerea cu care este sesizată decât să suspende examinarea acesteia atât timp cât procedura jurisdicțională inițiată în temeiul articolului 79 alineatul (1) din RGPD nu a fost definitiv închisă.
II.    Cadrul juridic
A.      Dreptul Uniunii
8.        Articolul 17 din RGPD, intitulat „Dreptul la ștergerea datelor («dreptul de a fi uitat»)”, prevede la alineatul (1) litera (d):
„Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive:
[…]
(d)      datele cu caracter personal au fost prelucrate ilegal.”
9.        În capitolul VI din RGPD, intitulat „Autorități de supraveghere independente”, secțiunea 1, referitoare la „[s]tatutul independent”, cuprinde articolele 51-54. Potrivit articolului 51 alineatul (1) din RGPD:
„Fiecare stat membru se asigură că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării prezentului regulament, în vederea protejării drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea și în vederea facilitării liberei circulații a datelor cu caracter personal în cadrul Uniunii […]”
10.      Articolul 52 alineatul (1) din RGPD are următorul cuprins:
„Fiecare autoritate de supraveghere beneficiază de independență deplină în îndeplinirea sarcinilor sale și exercitarea competențelor sale în conformitate cu prezentul regulament.”
11.      În capitolul VI secțiunea 2 din RGPD, intitulată „Abilitări, sarcini și competențe” și care cuprinde articolele 55-59, articolul 57 alineatul (1) literele (a) și (f) prevede:
„Fără a aduce atingere altor sarcini stabilite în temeiul prezentului regulament, fiecare autoritate de supraveghere, pe teritoriul său:
(a)      monitorizează și asigură aplicarea prezentului regulament;
[…]
(f)      tratează plângerile depuse de o persoană vizată, un organism, o organizație sau o asociație în conformitate cu articolul 80 și investighează într‑o măsură adecvată obiectul plângerii și informează reclamantul cu privire la evoluția și rezultatul investigației, într‑un termen rezonabil, în special dacă este necesară efectuarea unei investigații mai amănunțite sau coordonarea cu o altă autoritate de supraveghere.”
12.      Articolul 58 alineatul (4) din RGPD prevede:
„Exercitarea competențelor conferite autorității de supraveghere în temeiul prezentului articol face obiectul unor garanții adecvate, inclusiv căi de atac judiciare eficiente și procese echitabile, prevăzute în dreptul Uniunii și în dreptul intern în conformitate cu carta.”
13.      Potrivit articolului 77 din RGPD, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”:
„(1)      Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament.
(2)      Autoritatea de supraveghere la care s‑a depus plângerea informează reclamantul cu privire la evoluția și rezultatul plângerii, inclusiv posibilitatea de a exercita o cale de atac judiciară în temeiul articolului 78.”
14.      Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, prevede la alineatul (1):
„Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează.”
15.      Articolul 79 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau unei persoane împuternicite de operator”, prevede la alineatul (1):
„Fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta prezentul regulament.”
16.      Articolul 81 din RGPD, intitulat „Suspendarea procedurilor”, prevede la alineatele (2) și (3):
„(2)      Atunci când pe rolul unei instanțe dintr‑un alt stat membru se află o acțiune având același obiect în ceea ce privește activitățile de prelucrare ale aceluiași operator sau ale aceleași persoane împuternicite de operator, orice altă instanță competentă decât instanța sesizată inițial poate suspenda acțiunea aflată la ea pe rol.
(3)      În cazul în care o astfel de acțiune se judecă în primă instanță, orice instanță sesizată ulterior poate, de asemenea, la cererea uneia dintre părți, să‑și decline competența, cu condiția ca respectiva acțiune să fie de competența primei instanțe sesizate și ca dreptul aplicabil acesteia să permită conexarea acțiunilor.”
B.      Dreptul austriac
17.      Articolul 94 alineatul (1) din Bundes‑Verfassungsgesetz (Legea constituțională federală) are următorul cuprins:
„Puterile judecătorească și executivă sunt separate în cadrul tuturor nivelurilor de procedură.”
18.      Articolul 24 din Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Legea federală privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal)(6) din 17 august 1999, în versiunea aplicabilă litigiului principal, intitulat „Plângeri depuse la autoritatea pentru protecția datelor”, prevede la alineatele (1) și (4):
„(1)      Orice persoană vizată are dreptul de a depune o plângere la autoritatea pentru protecția datelor în cazul în care consideră că prelucrarea datelor cu caracter personal care o privesc constituie o încălcare a RGPD […]
[…]
(4)      Dreptul la soluționarea unei plângeri se stinge în cazul în care autorul plângerii nu depune plângerea în termen de un an de la luarea la cunoștință a evenimentului care a dat naștere plângerii, dar cel târziu în termen de trei ani de la presupusa producere a evenimentului. Plângerile tardive sunt respinse.”
III. Situația de fapt din litigiul principal și întrebările preliminare
19.      La 3 iulie 2017, GS a solicitat, înainte de intrarea în vigoare a RGPD(7), societății D GmbH, operator al unei platforme online de căutare a medicilor care permite terților să trimită evaluări și opinii despre medici, să șteargă date cu caracter personal. Această cerere de ștergere a datelor a fost respinsă prin scrisoarea din 10 iulie 2017.
20.      În luna noiembrie 2017, GS a introdus o acțiune în fața unei instanțe civile împotriva D, invocând printre altele o încălcare a dreptului la protecția datelor și solicitând
ștergerea datelor sale cu caracter personal publicate de D, precum și obligarea acesteia la a se abține de la o nouă prelucrare a acestor date.
21.      La 22 iunie 2018, după intrarea în vigoare a RGPD, GS a solicitat din nou obligarea
societății D să îi șteargă datele cu caracter personal de pe platforma acesteia, cerere care a fost de asemenea respinsă prin scrisoarea din 6 iulie 2018.
22.      Prin urmare, la 26 iulie 2018, GS a depus o plângere la DSB în temeiul articolului 77 din RGPD, bazată în special pe articolul 17 din acest regulament, care consacră dreptul la ștergerea datelor. În această plângere GS a solicitat ca DSB să constate încălcarea drepturilor sale, precum și să oblige societatea D să șteargă toate datele de pe platforma sa și să se abțină de la orice prelucrare ulterioară a acestor date.
23.      Prin decizia din 4 ianuarie 2019, DSB a respins această cerere pentru motivul că plângerea și acțiunea civilă introdusă în luna noiembrie 2017 aveau același obiect, și anume ștergerea datelor cu caracter personal ale lui GS de pe platforma operată de D. Or, ar fi contrar, din punct de vedere sistematic, mecanismului de protecție juridică al RGPD să se introducă simultan sau succesiv o plângere în fața unei autorități de supraveghere și o cale de atac jurisdicțională cu privire la același aspect.
24.      Prin hotărârea din 4 decembrie 2020, Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria) a respins acțiunea introdusă împotriva acestei decizii. Anterior, prin hotărârea din 23 iulie 2020, fusese respinsă acțiunea introdusă de GS la o instanță civilă în luna noiembrie 2017. Această hotărâre nu era încă definitivă la 4 decembrie 2020.
25.      În hotărâre, Bundesverwaltungsgericht (Tribunalul Administrativ Federal) a constatat că RGPD a instituit în mod intenționat o dublă formă de protecție juridică
și, în consecință, se impunea confirmarea competenței de principiu a DSB de a se pronunța asupra acestei plângeri. În schimb, instanța respectivă a considerat că termenul de decădere de un an prevăzut la articolul 24 alineatul (4) din Legea privind protecția datelor expirase. În măsura în care GS avea cunoștință de publicarea datelor sale cu caracter personal de către D la 3 iulie 2017 și niciun element de fapt esențial suplimentar nu a fost invocat în procedura ulterioară, dreptul de a obține soluționarea plângerii sale întemeiate pe articolul 77 din RGPD era deja stins la momentul depunerii acesteia de către GS, la 26 iulie 2018. Modificarea unei situații juridice, și anume intrarea în vigoare a RGPD, nu determina o întrerupere a perioadei de decădere. Întrucât introducerea tardivă a unei plângeri în temeiul articolului 77 din RGPD conduce de asemenea la respingerea acesteia, plângerea lui GS a fost, în opinia Bundesverwaltungsgericht (Tribunalul Administrativ Federal), respinsă în mod întemeiat.
26.      Atât GS, cât și DSB au formulat recurs împotriva acestei hotărâri la Verwaltungsgerichtshof (Curtea Administrativă).
27.      Această instanță nu împărtășește opinia Bundesverwaltungsgericht (Tribunalul Administrativ Federal) cu privire la decăderea de care ar fi afectată plângerea lui GS. Astfel, dat fiind că GS și‑a exercitat dreptul la ștergerea datelor, în sensul articolului 17 alineatul (1) din RGPD, pentru prima dată după intrarea în vigoare a acestui regulament, la 22 iunie 2018, termenul prevăzut la articolul 24 alineatul (4) din Legea privind protecția datelor nu a început să curgă decât de la data la care GS a luat la cunoștință de e‑mailul societății D din 6 iulie 2018 prin care i s‑a comunicat refuzul acesteia de a admite cererea de ștergere a datelor. Verwaltungsgerichtshof (Curtea Administrativă) apreciază, așadar, că motivarea reținută de Bundesverwaltungsgericht (Tribunalul Administrativ Federal) nu este de natură să justifice respingerea de către DSB a plângerii lui GS, formulată în conformitate cu articolul 77 alineatul (1) din RGPD.
28.      Cu toate acestea, Verwaltungsgerichtshof (Curtea Administrativă) examinează dacă respingerea acestei plângeri nu se întemeia în mod legal pe alte motive. După ce a amintit ceea ce Curtea a statuat în Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság
și în Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie)[(8)], instanța de trimitere ridică în special problema motivului invocat de DSB referitor la existența unei căi de atac jurisdicționale pendinte privind aceeași cauză. Astfel, articolul 94 alineatul (1) din Legea constituțională federală prevede că puterile judecătorească și executivă sunt separate în cadrul tuturor nivelurilor de procedură. Astfel cum explică instanța de trimitere, acest articol garantează principiul separării puterii judecătorești de cea executivă, care impune ca o cauză să fie încredințată în întregime spre soluționare fie instanțelor, fie autorităților administrative. Articolul menționat nu ar permite, așadar, instanțelor și autorităților administrative să se pronunțe în paralel sau succesiv asupra aceleiași chestiuni(9).
29.      Într‑o primă etapă, instanța de trimitere ridică problema dacă o plângere adresată autorității de supraveghere în temeiul articolului 77 din RGPD poate fi respinsă în cazul în care o cale de atac jurisdicțională efectivă în temeiul articolului 79 din RGPD a fost deja introdusă anterior în aceeași cauză, iar procedura aferentă acesteia este încă pendinte în fața instanței sesizate.
30.      Instanța de trimitere amintește că, în Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság, Curtea a statuat că articolele 77-79 din RGPD permit o exercitare în mod concurent și independent a căilor de atac prevăzute, pe de o parte, la articolul 77 alineatul (1) și articolul 78 alineatul (1) din acest regulament, precum și, pe de altă parte, la articolul 79 alineatul (1) din regulamentul menționat și că revine statelor membre, în acord cu principiul autonomiei procedurale, sarcina de a prevedea modalitățile de articulare a acestor căi de atac pentru a asigura efectivitatea protecției drepturilor garantate de același regulament, aplicarea coerentă și omogenă a dispozițiilor acestuia din urmă, precum și dreptul la o cale de atac efectivă în fața unei instanțe judecătorești, vizat la articolul 47 din cartă.
31.      Această instanță consideră că, pentru a evita existența unor decizii contradictorii, ceea ce „ar repune în discuție obiectivul de a asigura o aplicare coerentă și omogenă a normelor de protecție a libertăților și a drepturilor fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în întreaga Uniune”(10), ar fi posibil să se admită, urmând modelul articolului 81 alineatele (2) și (3) din RGPD, că, atunci când același litigiu este pendinte în fața instanțelor civile și a autorităților administrative, organul sesizat ulterior ar trebui să respingă cererea.
32.      Potrivit instanței menționate, chiar dacă modalitatea națională în cauză nu coincide complet
cu mecanismele prevăzute în RGPD pentru situațiile care implică mai multe state membre, pare justificat să fie considerată admisibilă în contextul acestui obiectiv.
33.      Instanța de trimitere adaugă că, chiar dacă principiul protecției jurisdicționale efective invocat de Curte ca justificare vizează în primul rând situația persoanei afectate de prelucrarea datelor cu caracter personal care exercită o cale de atac, se impune de asemenea ca operatorului, în calitate de pârât, să i se recunoască dreptul la o procedură efectivă, care poate fi afectat de faptul că două proceduri paralele pot reprezenta o povară deloc neglijabilă, în special în ceea ce privește costurile de reprezentare juridică pentru aceste două proceduri.
34.      Astfel, simplul fapt că o cauză este pendinte în fața unei instanțe, sesizată în conformitate cu articolul 79 din RGPD, s‑ar opune posibilității ca această cauză să fie tratată în mod valabil de autoritatea de supraveghere, care acționează în temeiul articolului 77 din regulamentul menționat, atunci când aceasta a fost sesizată cu o plângere ulterior introducerii căii de atac jurisdicționale.
35.      Cu toate acestea, instanța respectivă observă că, în cazul respingerii unei plângeri în temeiul articolului 77 din RGPD exclusiv pentru motivul că este pendinte o cale de atac jurisdicțională, nu există încă o decizie de fond privind presupusa încălcare a protecției datelor cu caracter personal la momentul respingerii și, prin urmare, nu există încă un risc de decizii contradictorii.
36.      Într‑o a doua etapă, în cazul unui răspuns negativ la prima întrebare, instanța de trimitere urmărește să afle dacă o plângere adresată autorității de supraveghere în temeiul articolului 77 din RGPD poate fi respinsă deoarece o hotărâre judecătorească de fond a fost deja pronunțată într‑o procedura inițiată în temeiul articolului 79 din RGPD.
37.      Potrivit acestei instanțe, respingerea, ca urmare a principiului anteriorității, a unei plângeri adresate autorității de supraveghere din momentul în care o decizie pe fond a fost adoptată în cadrul procedurii judiciare ține seama de obiectivul de a evita decizii contradictorii. Cu toate acestea, ar fi posibil să se considere că trimiterea la o decizie care nu este definitivă nu presupune, pentru persoana vizată, certitudinea existenței acestei decizii.
38.      În aceste condiții, Verwaltungsgerichtshof (Curtea Administrativă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:
„1)      Articolele 77 și 79 din [RGPD], în lumina constatărilor Curții din Hotărârea [Nemzeti Adatvédelmi és Információszabadság Hatóság], precum și din Hotărârea [SCHUFA Holding], trebuie interpretate în sensul că [p]osibilitatea, prevăzută în dreptul intern, de a respinge o plângere depusă la o autoritate de supraveghere în temeiul articolului 77 din RGPD, pentru motivul că o cale de atac jurisdicționale în temeiul articolului 79 din RGPD a fost deja formulată în aceeași cauză și că această cale de atac este pendinte în fața acelei instanțe, constituie o modalitate admisibilă de reglementare a interacțiunii acestor căi de atac (în sensul jurisprudenței menționate anterior a Curții)?
2)      [Î]n cazul unui răspuns negativ la prima întrebare, articolele 77 și 79 din [RGPD], în lumina constatărilor Curții din Hotărârile [Nemzeti Adatvédelmi és Információszabadság Hatóság]
și [SCHUFA Holding], trebuie interpretate în sensul că posibilitatea prevăzută în dreptul intern de a respinge o plângere depusă la o autoritate de supraveghere în temeiul articolului 77 din RGPD, pentru motivul că o decizie pe fond (chiar dacă nu este încă definitivă) a fost deja pronunțată în procedura pendinte în aceeași cauză cu privire la calea de atac jurisdicțională prevăzută la articolul 79 din RGPD, constituie o modalitate admisibilă de reglementare a interacțiunii acestor căi de atac (în sensul jurisprudenței menționate anterior a Curții)?”
39.      GS, D, DSB, guvernele austriac, italian și maghiar, precum și Comisia Europeană au depus observații scrise.
IV.    Analiză
40.      Pentru a se putea pronunța cu privire la calea de atac cu care este sesizată, instanța de trimitere dorește să obțină din partea Curții precizări cu privire la corelația dintre, pe de o parte, o plângere depusă la o autoritate de supraveghere în temeiul articolului 77 alineatul (1) din RGPD și, pe de altă parte, o cale de atac jurisdicțională introdusă în temeiul articolului 79 alineatul (1) din acest regulament.
41.      Prin intermediul întrebărilor formulate, pe care propunem să le examinăm împreună, instanța de trimitere solicită astfel în esență Curții să declare dacă o autoritate de supraveghere care este sesizată cu o plângere, în conformitate cu articolul 77 alineatul (1) din RGPD, o poate respinge pentru motivul că o cale de atac jurisdicțională, introdusă în conformitate cu articolul 79 alineatul (1) din acest regulament și având același obiect, a fost formulată anterior (prima întrebare) și în timp ce decizia pronunțată în cadrul acestei căi de atac nu este încă definitivă (a doua întrebare).
42.      În opinia noastră, răspunsul la aceste două întrebări ar trebui să fie negativ. Observăm de altfel că, în pofida respingerii de către DSB a plângerii formulate de GS, atât guvernul austriac, cât și autoritatea de supraveghere respectivă împărtășesc această opinie.
43.      Trebuie amintit, cu titlu introductiv, că capitolul VIII din RGPD reglementează printre altele căile de atac care permit protejarea drepturilor persoanei vizate atunci când datele cu caracter personal care o privesc fac obiectul unui tratament pretins contrar dispozițiilor regulamentului menționat. Protecția acestor drepturi poate fi astfel reclamată fie direct de persoana vizată, în temeiul articolelor 77-79 din regulamentul menționat, fie de o entitate abilitată, în prezența sau în lipsa unui mandat în acest sens în temeiul articolului 80 din același regulament(11).
44.      Pentru a lămuri instanța de trimitere cu privire la aspectul dacă respingerea de către autoritatea de supraveghere a unei plângeri care îi este adresată în temeiul articolului 77 alineatul (1) din RGPD, pentru motivul că o cale de atac jurisdicțională introdusă în conformitate cu articolul 79 alineatul (1) din acest regulament și având același obiect a fost formulată anterior, cu toate că decizia pronunțată în cadrul acestei căi de atac nu este încă definitivă, constituie o modalitate admisibilă de articulare a căilor de atac prevăzute de regulamentul menționat, trebuie amintit că, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de termenii acesteia, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție(12).
45.      În ceea ce privește modul de redactare a dispozițiilor relevante din RGPD, trebuie amintit, mai întâi, că articolul 77 alineatul (1) din acest regulament prevede că, „[f]ără a aduce atingere oricăror alte căi de atac administrative sau judiciare”, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere. În continuare, potrivit articolului 78 alineatul (1) din regulamentul menționat, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac jurisdicțională efectivă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează, „[f]ără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare”. În sfârșit, articolul 79 alineatul (1) din același regulament garantează fiecărei persoane vizate dreptul la o cale de atac jurisdicțională efectivă, „[f]ără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77”.
46.      În opinia Curții, aceste dispoziții din RGPD oferă diferite căi de atac persoanelor care invocă o încălcare a acestui regulament, fiind de la sine înțeles că fiecare dintre căile de atac respective trebuie să poată fi exercitată „fără a aduce atingere” celorlalte căi de atac(13). Astfel, RGPD nu prevede o competență prioritară sau exclusivă și nici vreo normă de prioritate a aprecierii efectuate de autoritatea sau de instanța care sunt vizate de acesta cu privire la existența unei încălcări a drepturilor conferite de regulamentul menționat(14). Cu alte cuvinte, legiuitorul Uniunii a dorit să pună la dispoziția persoanelor vizate un sistem complet de căi de atac, în care dreptul la o cale de atac jurisdicțională și posibilitatea de a exercita o cale de atac administrativă sau extrajudiciară coexistă în mod autonom, fără ca una să fie subsidiară în raport cu cealaltă.
47.      Calea de atac prevăzută la articolul 78 alineatul (1) din RGPD, al cărei obiect este examinarea legalității deciziei unei autorități de supraveghere adoptate în temeiul articolului 77 din acest regulament, și cea prevăzută la articolul 79 alineatul (1) din regulamentul menționat pot fi exercitate, așadar, în mod concomitent și independent(15). Acest lucru este valabil și pentru plângerile care sunt adresate autorităților de supraveghere în conformitate cu articolul 77 alineatul (1) din RGPD.
48.      O asemenea constatare este confirmată de contextul în care se înscriu dispozițiile relevante ale RGPD(16) și de obiectivele urmărite de regulamentul menționat. În această privință, reiese în special din considerentul (10) al acestuia din urmă că el urmărește să asigure un nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii. Considerentul (11) al regulamentului menționat enunță, în plus, că o protecție efectivă a acestor date impune consolidarea drepturilor persoanelor vizate. Astfel, alegerea făcută de legiuitorul Uniunii de a lăsa persoanelor vizate posibilitatea de a exercita în mod concurent și independent căile de atac prevăzute, pe de o parte, la articolul 77 alineatul (1) și la articolul 78 alineatul (1) din RGPD, precum și, pe de altă parte, la articolul 79 alineatul (1) din acest regulament se înscrie în obiectivul regulamentului menționat(17). De asemenea, Curtea a subliniat că punerea la dispoziție a mai multor căi de atac consolidează obiectivul enunțat în considerentul (141) al RGPD de a garanta oricărei persoane care consideră că drepturile pe care i le conferă acest regulament sunt încălcate dreptul la o cale de atac jurisdicțională efectivă în conformitate cu articolul 47 din cartă(18). Adăugăm că o asemenea interpretare este confirmată și în raport cu procesul legislativ care a condus la adoptarea RGPD. Astfel, în cadrul Consiliului Uniunii Europene, Republica Austria a explicat refuzul de a vota în favoarea acestui text printre altele în raport cu paralelismul căilor de atac prevăzut de acest regulament(19). Cu toate acestea, un asemenea paralelism al căilor de atac a fost menținut în versiunea finală a regulamentului menționat.
49.      Având în vedere ceea ce Curtea a statuat astfel în Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság, considerăm că faptul de a admite că o autoritate de supraveghere care este sesizată cu o plângere în conformitate cu articolul 77 alineatul (1) din RGPD o poate respinge pentru motivul că o cale de atac jurisdicțională introdusă în conformitate cu articolul 79 alineatul (1) din acest regulament și având același obiect a fost formulată anterior și în timp ce decizia pronunțată în cadrul acestei căi de atac nu este încă definitivă ar aduce atingere posibilității oferite de RGPD persoanelor vizate de a introduce căi de atac paralele în legătură cu aceeași prelucrare a unor date cu caracter personal.
50.      Desigur, am avut ocazia să subliniem în Concluziile noastre prezentate în cauza Nemzeti Adatvédelmi és Információszabadság Hatóság că această posibilitate poate prezenta un inconvenient, și anume insecuritatea juridică pe care o poate genera apariția unor decizii contradictorii în cadrul unui stat membru. Or, deși riscul unor decizii contradictorii ale autorităților de supraveghere sau ale instanțelor din state membre diferite a fost abordat de legiuitorul Uniunii în RGPD, situația este diferită atunci când asemenea decizii sunt adoptate în cadrul aceluiași stat membru(20). În aceste condiții, revine fiecărui stat membru sarcina de a pune în aplicare instrumentele procedurale care permit să se evite adoptarea unor decizii contradictorii cu privire la aceeași prelucrare a unor date cu caracter personal(21).
51.      În cauza în care s‑a pronunțat Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság, ipoteza prezentată Curții era aceea în care instanța sesizată cu o cale de atac introdusă în temeiul articolului 78 alineatul (1) din RGPD putea fi determinată să adopte o decizie în contradicție cu decizia care a dobândit caracter definitiv care fusese adoptată anterior de instanța sesizată cu o acțiune introdusă în temeiul articolului 79 alineatul (1) din acest regulament.
52.      În această ipoteză, Curtea a subliniat, pe de o parte, că existența a două decizii contradictorii ar repune în discuție obiectivul de a asigura o aplicare coerentă și omogenă a normelor de protecție a libertăților și a drepturilor fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în întreaga Uniune, enunțat în considerentul (10) al RGPD(22). Astfel, în opinia Curții, protecția acordată în temeiul unei hotărâri pronunțate în urma unei căi de atac introduse în temeiul articolului 79 alineatul (1) din acest regulament, prin care se constată o încălcare a dispozițiilor acestuia din urmă, nu ar fi în concordanță cu o a doua hotărâre judecătorească ce rezultă dintr‑o cale de atac introdusă în temeiul articolului 78 alineatul (1) din regulamentul menționat, ce are un rezultat opus(23). Pe de altă parte, ar rezulta de aici o slăbire a protecției persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal care le vizează, întrucât o astfel de incoerență ar crea o situație de insecuritate juridică(24).
53.      Prin urmare, este important ca statele membre să se asigure că existența unor căi de atac care pot fi exercitate în paralel de persoanele vizate nu repune în discuție efectivitatea protecției drepturilor pe care RGPD le conferă acestora din urmă. Revine statelor membre sarcina de a alege mecanismele procedurale pe care le consideră cel mai bine adaptate pentru a permite o articulare armonioasă a căilor de atac prevăzute la articolele 77-79 din regulamentul menționat.
54.      În această privință, Curtea a statuat că, în lipsa unei reglementări a Uniunii în materie, revine fiecărui stat membru, în temeiul principiului autonomiei procedurale a statelor membre, atribuția de a stabili modalitățile procedurii administrative și pe cele ale procedurii jurisdicționale destinate să asigure un nivel ridicat de protecție a drepturilor conferite justițiabililor de dreptul Uniunii(25). Cu toate acestea, modalitățile de punere în aplicare a căilor de atac concurente și independente nu ar trebui să repună în discuție efectul util și protecția efectivă a drepturilor garantate de RGPD(26). Astfel, aceste modalități nu trebuie să fie mai puțin favorabile decât cele care privesc unele acțiuni similare prevăzute pentru protecția drepturilor întemeiate pe ordinea juridică internă (principiul echivalenței) și nici să facă practic imposibilă sau excesiv de dificilă exercitarea drepturilor conferite de ordinea juridică a Uniunii (principiul efectivității)(27). De asemenea, Curtea a subliniat că statele membre trebuie să se asigure că modalitățile concrete de exercitare a căilor de atac prevăzute la articolul 77 alineatul (1), la articolul 78 alineatul (1) și la articolul 79 alineatul (1) din acest regulament îndeplinesc efectiv cerințele care decurg din dreptul la o cale de atac efectivă consacrat la articolul 47 din cartă(28).
55.      În Concluziile noastre prezentate în cauza Nemzeti Adatvédelmi és Információszabadság Hatóság(29), am arătat printre altele că statele membre ar putea să prevadă posibilitatea sau obligația unei instanțe care este sesizată cu o cale de atac în temeiul articolului 79 alineatul (1) din RGPD în condițiile în care este pendinte o procedură de plângere în temeiul articolului 77 alineatul (1) din acest regulament sau o cale de atac jurisdicțională în temeiul articolului 78 alineatul (1) din regulamentul menționat de a suspenda procedura aflată pe rolul său și judecarea cauzei până la adoptarea unei decizii în una sau în cealaltă dintre aceste proceduri(30). Astfel, am indicat că suspendarea unei proceduri poate constitui, în opinia noastră, o soluție pentru a evita adoptarea unor decizii contradictorii susceptibile să aducă atingere securității juridice(31).
56.      Considerăm că această soluție este indicată în mod special în contextul prezentei cauze. Astfel, o autoritate de supraveghere care este sesizată cu o plângere, în conformitate cu articolul 77 alineatul (1) din RGPD, ar trebui să fie autorizată să suspende examinarea acesteia atunci când o cale de atac jurisdicțională, introdusă în conformitate cu articolul 79 alineatul (1) din acest regulament și având același obiect, a fost introdusă anterior, iar decizia pronunțată în cadrul acestei căi de atac nu este încă definitivă.
57.      În schimb, considerăm că respingerea unei plângeri într‑un asemenea context este contrară principiului efectivității, în măsura în care această modalitate de articulare a căilor de atac este de natură să repună în discuție protecția efectivă a drepturilor garantate de RGPD. Astfel, considerăm că o asemenea respingere este contrară însuși principiului unui sistem complet de căi de atac care pot fi exercitate în mod concurent și independent. În plus, respingerea unei plângeri nu constituie neapărat o măsură adecvată pentru a se evita adoptarea unor decizii contradictorii.
58.      În această privință, trebuie subliniat că, atunci când autoritatea de supraveghere respinge o plângere pentru motivul că o cale de atac jurisdicțională formulată în conformitate cu articolul 79 alineatul (1) din RGPD este încă pendinte, ea nu poate fi încă sigură că o decizie pe fond va fi pronunțată în cadrul căii de atac respective. Astfel, aceasta poate fi respinsă pentru un motiv procedural, precum inadmisibilitatea, fără a fi soluționată pe fond.
59.      Pe de altă parte, chiar și atunci când calea de atac menționată conduce, precum în speță, la o decizie pe fond, aceasta poate fi repusă în discuție de mecanismul căilor de atac interne. Acesta este motivul pentru care, spre deosebire de ceea ce Comisia pare să considere în observații(32), caracterul definitiv sau nu al hotărârii judecătorești ne pare să aibă importanță. În opinia noastră, autoritatea de supraveghere nu poate respinge de la bun început o plângere pentru motivul că o cale de atac jurisdicțională formulată în conformitate cu articolul 79 alineatul (1) din RGPD a condus la o decizie, atât timp cât aceasta nu a dobândit caracter definitiv încă și, prin urmare, poate fi încă atacată.
60.      Pe scurt, atât timp cât contradicția dintre decizia adoptată de o autoritate de supraveghere sesizată în temeiul articolului 77 alineatul (1) din RGPD și decizia încă nedefinitivă pronunțată de o instanță sesizată în conformitate cu articolul 79 alineatul (1) din acest regulament este doar ipotetică, autoritatea respectivă nu poate respinge plângerea care i‑a fost adresată întemeindu‑se pe acest risc de contradicție.
61.      În susținerea acestei interpretări, trebuie să se insiste asupra importanței dreptului de a depune o plângere la o autoritate de supraveghere, consacrat la articolul 77 alineatul (1) din RGPD, pentru a asigura o protecție efectivă a drepturilor garantate de regulamentul menționat. Această protecție rezultă în special din competențele extinse conferite de regulamentul respectiv autorității de supraveghere pentru a aprecia existența unei prelucrări ilegale a datelor cu caracter personal ale persoanei vizate și pentru a lua măsurile adecvate pentru remedierea acesteia.
62.      În acest context, subliniem că articolul 51 alineatul (1) din RGPD impune statelor membre să se asigure că una sau mai multe autorități publice independente sunt responsabile de monitorizarea aplicării acestui regulament. Instituirea unor astfel de autorități, care este de asemenea prevăzută de dreptul primar al Uniunii, și anume articolul 8 alineatul (3) din cartă și articolul 16 alineatul (2) TFUE, constituie un element esențial al respectării protecției persoanelor în ceea ce privește prelucrarea datelor cu caracter personal(33). Respectivele autorități au ca sarcină principală, în temeiul articolului 51 alineatele (1) și (2), precum și al articolului 57 alineatul (1) literele (a) și (g) din RGPD, monitorizarea aplicării acestui regulament și asigurarea respectării sale, contribuind în același timp la aplicarea sa coerentă în Uniune, în scopul de a proteja drepturile și libertățile fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor lor cu caracter personal și de a facilita libera circulație a unor astfel de date în cadrul Uniunii(34).
63.      În special, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, fiecare autoritate de supraveghere este obligată, pe teritoriul său, să trateze plângerile pe care orice persoană, conform articolului 77 alineatul (1) din acest regulament, are dreptul de a le depune în cazul în care consideră că o prelucrare a datelor cu caracter personal care o vizează încalcă regulamentul menționat și să investigheze într‑o măsură adecvată obiectul acestora. Autoritatea de supraveghere trebuie să soluționeze o astfel de plângere cu toată diligența necesară(35). Astfel, Curtea a subliniat că, deși alegerea mijlocului adecvat și necesar aparține autorității de supraveghere, iar aceasta trebuie să facă alegerea menționată luând în considerare toate împrejurările prelucrării de date cu caracter personal în cauză, autoritatea respectivă este totuși obligată să își îndeplinească cu toată diligența necesară sarcina care constă în a asigura respectarea deplină a RGPD(36).
64.      Pentru a monitoriza aplicarea acestui regulament și pentru a asigura respectarea sa, autoritățile de supraveghere dispun de diferitele competențe care le sunt conferite în temeiul articolului 58 din regulamentul menționat. Astfel, articolul 58 alineatul (1) din RGPD învestește aceste autorități cu competențe importante de investigare. Atunci când o asemenea autoritate constată, la finalul investigației sale, o încălcare a dispozițiilor acestui regulament, ea este obligată să reacționeze în mod corespunzător pentru a remedia insuficiența constatată. În acest scop, articolul 58 alineatul (2) din regulamentul respectiv enumeră diferitele competențe corective pe care le are autoritatea de supraveghere(37).
65.      Curtea a dedus de aici că procedura privind plângerea, care nu se aseamănă cu cea privind o petiție, este concepută ca un mecanism capabil să protejeze în mod eficient drepturile și interesele persoanelor vizate(38). Din această perspectivă, autoritatea de supraveghere este obligată să intervină atunci când exercitarea uneia sau a mai multe dintre competențele corective prevăzute la articolul 58 alineatul (2) din RGPD este, ținând seama de toate împrejurările cazului concret, adecvată, necesară și proporțională pentru a remedia deficiența constatată și pentru a asigura respectarea deplină a acestui regulament(39).
66.      În opinia noastră, ar fi contrar acestui obiectiv și obligației de diligență care revine autorității de supraveghere să priveze de la bun început o persoană vizată de beneficiul unui astfel de mecanism, permițând acestei autorități să îi respingă plângerea pentru motivul că o cale de atac jurisdicțională introdusă în conformitate cu articolul 79 alineatul (1) din acest regulament și având același obiect a fost formulată anterior și în condițiile în care decizia pronunțată în cadrul acestei căi de atac nu este încă definitivă. În schimb, considerăm că suspendarea examinării acestei plângeri în așteptarea unei hotărâri judecătorești care a dobândit caracter definitiv este conformă atât cu cerința de a asigura o protecție efectivă a drepturilor garantate de RGPD, cât și cu cerința de a evita decizii contradictorii în cadrul aceluiași stat membru.
67.      Desigur, este adevărat că respingerea, pentru un astfel de motiv, a plângerii depuse la autoritatea de supraveghere în conformitate cu articolul 77 alineatul (1) din RGPD nu se opune în mod necesar ca persoana vizată să poată depune o nouă plângere la această autoritate după ce procedura jurisdicțională a fost definitiv închisă pentru un motiv procedural sau dacă persoana a renunțat la calea sa de atac jurisdicțională.
68.      Cu toate acestea, introducerea unei noi plângeri se poate dovedi imposibilă dacă dreptul național o condiționează, precum în Austria, de respectarea unui termen de admisibilitate, iar acesta din urmă este depășit. Într‑o astfel de ipoteză, persoana vizată ar putea fi privată de orice protecție efectivă în cazul în care calea de atac jurisdicțională ar fi respinsă pentru un motiv procedural fără a fi soluționată pe fond sau în cazul în care aceasta ar dori să renunțe la procedura jurisdicțională.
69.      Pe de altă parte și într‑un mod mai general, o asemenea soluție, care atribuie persoanei vizate responsabilitatea de a sesiza din nou autoritatea de supraveghere după respingerea inițială a plângerii sale, ne pare contrară obligației de diligență care revine acestei autorități. Astfel, obligația respectivă implică, după cum am arătat anterior, ca autoritatea menționată să soluționeze o plângere depusă în fața ei cu toată diligența necesară. Obligația amintită impune în special ca, atunci când autoritatea de supraveghere este sesizată cu o plângere și este informată cu privire la existența unei proceduri jurisdicționale inițiate în conformitate cu articolul 79 alineatul (1) din RGPD și care privește aceleași fapte, această autoritate să fie atentă, în cadrul examinării plângerii respective, la decizia prin care se va finaliza definitiv această procedură. Între timp, această examinare ar trebui suspendată.
V.      Concluzie
70.      Având în vedere toate considerațiile care precedă, propunem Curții să răspundă la întrebările preliminare adresate de Verwaltungsgerichtshof (Curtea Administrativă, Austria) după cum urmează:
Articolul 77 alineatul (1) și articolul 79 alineatul (1) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor)
trebuie interpretate în sensul că
se opun ca o autoritate de supraveghere care este sesizată cu o plângere în conformitate cu articolul 77 alineatul (1) menționat să o poată respinge pentru motivul că o cale de atac jurisdicțională introdusă în conformitate cu acest articol 79 alineatul (1) și având același obiect a fost formulată anterior și în condițiile în care decizia pronunțată în cadrul acestei căi de atac nu este încă definitivă.
1      Limba originală: franceza.
2      JO 2016, L 119, p. 1, denumit în continuare „RGPD”.
3      C‑132/21, denumită în continuare „Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság”, EU:C:2023:2.
4      Potrivit articolului 4 punctul 21 din RGPD, o autoritate de supraveghere înseamnă „o autoritate publică independentă instituită de un stat membru în temeiul articolului 51 [din acest regulament]”.
5      Denumită în continuare „carta”.
6      BGBl. I, 165/1999, denumită în continuare „Legea privind protecția datelor”.
7      Această cerere se întemeia pe Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO 1995, L 281, p. 31, Ediție specială, 13/vol. 17, p. 10).
8      C‑26/22 și C‑64/22, denumită în continuare „Hotărârea SCHUFA Holding”, EU:C:2023:958.
9      Instanța de trimitere se referă la hotărârea Verfassungsgerichtshof (Curtea Constituțională) din 14 octombrie 1970, G 20/70.
10      Instanța de trimitere citează Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 54).
11      A se vedea în special Hotărârea din 4 octombrie 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, punctul 47 și jurisprudența citată).
12      A se vedea în special Hotărârea din 4 octombrie 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, punctul 52 și jurisprudența citată).
13      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 34). A se vedea de asemenea, în ceea ce privește posibilitatea concurentului unei întreprinderi de a introduce o acțiune împotriva acestei întreprinderi în fața instanțelor civile în temeiul interdicției practicilor comerciale neloiale, ca urmare a încălcării invocate de întreprinderea respectivă a obligațiilor prevăzute de RGPD, Hotărârea din 4 octombrie 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, punctul 53).
14      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 35).
15      A se vedea Hotărârile Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 35 și dispozitiv), SCHUFA Holding (punctul 66), precum și Hotărârea din 30 aprilie 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 și C‑332/23, EU:C:2025:303, punctul 128).
16      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctele 36-41).
17      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 42).
18      A se vedea Hotărârile Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 44) și SCHUFA Holding (punctul 66). În această din urmă hotărâre, Curtea a dedus că existența dreptului la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator, prevăzut la articolul 79 alineatul (1) din RGPD, nu produce efecte asupra întinderii controlului jurisdicțional exercitat, în cadrul unei căi de atac formulate în temeiul articolului 78 alineatul (1) din acest regulament, asupra unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere (punctul 67 din hotărârea menționată).
19      A se vedea rezultatul votului privind adoptarea RGPD în documentul 7920/16 al Consiliului din 14 aprilie 2016, disponibil la următoarea adresă de internet: https://data.consilium.europa.eu/doc/document/ST‑7920-2016-INIT/fr/pdf (p. 7). Această interpretare este împărtășită de Oberster Gerichtshof (Curtea Supremă, Austria), după cum demonstrează hotărârea sa din 23 mai 2019, 6Ob91/19d  (punctul 4.5.).
20      A se vedea Concluziile noastre prezentate în cauza Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punctul 57).
21      A se vedea Concluziile noastre prezentate în cauza Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punctul 58).
22      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 54).
23      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 55).
24      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 56).
25      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 45).
26      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 47).
27      A se vedea Hotărârea Nemzeti Adatvédelmi és Információszabadság Hatóság (punctul 48).
28      A se vedea în special Hotărârea din 30 aprilie 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 și C‑332/23, EU:C:2025:303, punctul 136 și jurisprudența citată).
29      C‑132/21, EU:C:2022:661.
30      A se vedea Concluziile noastre prezentate în cauza Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punctul 69).
31      A se vedea Concluziile noastre prezentate în cauza Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, punctul 70).
32      A se vedea observațiile Comisiei (punctul 49).
33      A se vedea în special Hotărârea din 30 aprilie 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 și C‑332/23, EU:C:2025:303, punctul 119, precum și jurisprudența citată).
34      A se vedea în special Hotărârea din 30 aprilie 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 și C‑332/23, EU:C:2025:303, punctul 120 și jurisprudența citată).
35      A se vedea în special Hotărârea SCHUFA Holding (punctul 56 și jurisprudența citată), precum și Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor) (C‑768/21, EU:C:2024:785, punctul 32).
36      A se vedea Hotărârea din 16 iulie 2020, Facebook Ireland și Schrems (C‑311/18, EU:C:2020:559, punctul 112), și Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor) (C‑768/21, EU:C:2024:785, punctul 37). În această din urmă hotărâre, Curtea a arătat de asemenea că marja de apreciere de care dispune autoritatea de supraveghere este limitată de necesitatea de a asigura un nivel consecvent și ridicat de protecție a datelor cu caracter personal printr‑o aplicare riguroasă a normelor, astfel cum reiese din considerentele (7) și (10) ale RGPD (punctul 38).
37      A se vedea în special Hotărârea SCHUFA Holding (punctul 57 și jurisprudența citată).
38      A se vedea Hotărârea SCHUFA Holding (punctul 58).
39      A se vedea Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor) (C‑768/21, EU:C:2024:785, punctul 42), și Hotărârea din 30 aprilie 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 și C‑332/23, EU:C:2025:303, punctul 132).