62021CJ0768
TIESAS SPRIEDUMS (pirmā palāta)
2024. gada 26. septembrī (
*1
) (
i
)
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 57. panta 1. punkta a) un f) apakšpunkts – Uzraudzības iestādes uzdevumi – 58. panta 2. punkts – Korektīvi pasākumi – Administratīvais naudas sods – Uzraudzības iestādes rīcības brīvība – Robežas
Lietā C‑768/21
par lūgumu sniegt prejudiciālu nolēmumu atbilstoši LESD 267. pantam, ko Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) iesniegusi ar 2021. gada 10. decembra lēmumu un kas Tiesā reģistrēts 2021. gada 14. decembrī, tiesvedībā
TR
pret
Land Hessen,
TIESA (pirmā palāta)
šādā sastāvā: palātas priekšsēdētājs A. Arabadžijevs [A. Arabadjiev], tiesneši T. fon Danvics [T. von Danwitz], P. Dž. Švīrebs [P. G. Xuereb], A. Kumins [A. Kumin] (referents) un I. Ziemele,
ģenerāladvokāts: P. Pikamēe [P. Pikamäe],
sekretārs: A. Kalots Eskobars [A. Calot Escobar],
ņemot vērā rakstveida procesu,
ņemot vērā apsvērumus, ko snieguši:
–
TR vārdā – F. Wittmaack, Rechtsanwalt,
–
Land Hessen vārdā – M. Kottmann un G. Ziegenhorn, Rechtsanwälte,
–
Austrijas valdības vārdā – J. Schmoll un M.‑T. Rappersberger, pārstāves,
–
Portugāles valdības vārdā – P. Barros da Costa, M. J. Ramos un C. Vieira Guerra, pārstāves,
–
Rumānijas valdības vārdā – L.‑E. Baţagoi un E. Gane, pārstāves,
–
Norvēģijas valdības vārdā – S.‑E. Jahr Dahl, L.‑M. Moen Jünge un M. Munthe‑Kaas, pārstāvji,
–
Eiropas Komisijas vārdā – A. Bouchagiar, M. Heller un H. Kranenborg, pārstāvji,
noklausījusies ģenerāladvokāta secinājumus 2024. gada 11. aprīļa tiesas sēdē,
pasludina šo spriedumu.
Spriedums
1
Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 57. panta 1. punkta a) un f) apakšpunktu, 58. panta 2. punktu, kā arī 77. panta 1. punktu.
2
Šis lūgums ir iesniegts saistībā ar tiesvedību starp TR un Land Hessen (Hesenes federālā zeme, Vācija) par Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs, Vācija; turpmāk tekstā – “HBDI”) atteikumu attiecībā pret Sparkasse X (X krājkase, turpmāk tekstā – “Krājkase”) veikt korektīvos pasākumus.
Atbilstošās tiesību normas
3
VDAR 6., 7., 10., 129. un 148. apsvērumā ir teikts:
“(6)
Straujā tehnoloģiju attīstība un globalizācija ir radījusi jaunas problēmas personas datu aizsardzības jomā. Personas datu vākšanas un apmaiņas apjoms ir būtiski pieaudzis. [..]
(7)
Šī notikumu gaita nozīmē, ka ir vajadzīgs stingrāks un saskaņotāks datu aizsardzības regulējums [Eiropas] Savienībā, ko stiprina pienācīga izpilde, ņemot vērā to, cik nozīmīgi ir veidot uzticību, kas ļaus iekšējā tirgū uzplaukt digitālajai ekonomikai. [..]
[..]
(10)
Lai nodrošinātu konsekventu un augsta līmeņa aizsardzību fiziskām personām un novērstu šķēršļus personu datu apritei Savienībā, fiziskas personas tiesību un brīvību aizsardzības līmenim attiecībā uz šādu datu apstrādi visās dalībvalstīs vajadzētu būt vienādam. [..]
[..]
(129)
[..] Uzraudzības iestāžu pilnvaras būtu jāīsteno objektīvi, taisnīgi un saprātīgā termiņā saskaņā ar atbilstošām procesuālām garantijām, kas izklāstītas Savienības un dalībvalst[u] tiesību aktos. Jo īpaši, katram pasākumam, kas paredzēts, lai nodrošinātu atbilstību regulai, vajadzētu būt piemērotam, vajadzīgam un samērīgam, ņemot vērā apstākļus katrā atsevišķā gadījumā, tajā būtu jāievēro katras personas tiesības tikt uzklausītai pirms tāda individuāla pasākuma pieņemšanas, kurš viņu nelabvēlīgi ietekmētu, un kurā būtu jāizvairās no nevajadzīgām izmaksām un pārmērīga apgrūtinājuma attiecīgajām personām. [..]
[..]
(148)
Lai stiprinātu šīs regulas noteikumu izpildi, papildus atbilstošiem pasākumiem, ko uzraudzības iestāde piemēro saskaņā ar šo regulu, vai to vietā, par šīs regulas pārkāpumiem būtu jāpiemēro sankcijas, tostarp administratīvi naudas sodi. Nenozīmīgu pārkāpumu gadījumā vai ja naudas sods, kādu varētu uzlikt, radītu nesamērīgu slogu fiziskai personai, naudas soda vietā var izteikt rājienu. Tomēr būtu pienācīgi jāņem vērā pārkāpuma būtība, smagums un ilgums, tas, vai pārkāpums izdarīts tīši, darbības, kas veiktas, lai mazinātu ciesto kaitējumu, atbildības pakāpe vai jebkādi attiecīgi iepriekšēji pārkāpumi, veids, kādā uzraudzības iestāde uzzināja par pārkāpumu, atbilstība pasākumiem, kas vērsti pret [pārzini] vai apstrādātāju, rīcības kodeksa ievērošana un jebkādi citi pastiprinoši vai mīkstinoši apstākļi. [..]”
4
Šīs regulas 5. pants ir formulēts šādi:
“1.   Personas dati:
a)
tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā (“likumīgums, godprātība un pārredzamība”);
b)
tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā [..] (“nolūka ierobežojumi”);
c)
ir adekvāti, atbilstīgi un ietver tikai to, kas nepieciešams to apstrādes nolūkos (“datu minimizēšana”);
d)
ir precīzi un, ja vajadzīgs, atjaunināti [..] (“precizitāte”);
e)
tiek glabāti veidā, kas pieļauj datu subjektu identifikāciju, ne ilgāk kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā [..] (“glabāšanas ierobežojums”);
f)
tiek apstrādāti tādā veidā, lai tiktu nodrošināta atbilstoša personas datu drošība [..] (“integritāte un konfidencialitāte”).
2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”
5
Minētās regulas 24. panta 1. punkts noteic:
“Ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.”
6
Šīs pašas regulas 33. pants noteic:
“1.   Personas datu aizsardzības pārkāpuma gadījumā pārzinis bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums tam kļuvis zināms, paziņo par personas datu aizsardzības pārkāpumu uzraudzības iestādei, kas ir kompetenta saskaņā ar 55. pantu, izņemot gadījumus, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu radīt risku fizisku personu tiesībām un brīvībām. [..]
[..]
3.   Paziņojumā, kas minēts 1. punktā, vismaz:
a)
apraksta personas datu aizsardzības pārkāpuma raksturu, tostarp, ja iespējams, attiecīgo datu subjektu kategorijas un aptuveno skaitu un attiecīgo personas datu ierakstu kategorijas un aptuveno skaitu;
b)
paziņo datu aizsardzības speciālista vārdu un uzvārdu un kontaktinformāciju vai norāda citu kontaktpunktu, kur var iegūt papildu informāciju;
c)
apraksta personas datu aizsardzības pārkāpuma iespējamās sekas;
d)
apraksta pasākumus, ko pārzinis veicis vai ierosinājis veikt, lai novērstu personas datu aizsardzības pārkāpumu, tostarp attiecīgā gadījumā – pasākumus, lai mazinātu tā iespējamās nelabvēlīgās sekas.
[..]”
7
VDAR 34. panta 1. punkts noteic:
“Gadījumā, ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis bez nepamatotas kavēšanās paziņo datu subjektam par personas datu aizsardzības pārkāpumu.”
8
Šīs regulas VI nodaļā “Neatkarīgas uzraudzības iestādes” ir ietverti tās 51.–59. pants.
9
Šīs regulas 51. panta 1. punkts formulēts šādi:
“Katra dalībvalsts paredz, ka viena vai vairākas neatkarīgas publiskas iestādes ir atbildīgas par šīs regulas piemērošanas uzraudzību, lai aizsargātu fizisku personu pamattiesības un pamatbrīvības saistībā ar apstrādi un veicinātu personas datu brīvu apriti Savienībā (“uzraudzības iestāde”).”
10
VDAR 57. panta “Uzdevumi” 1. punkts noteic:
“Neskarot citus uzdevumus, kas noteikti ar šo regulu, ikviena uzraudzības iestāde savā teritorijā:
a)
uzrauga un īsteno šīs regulas piemērošanu;
[..]
f)
izskata kāda datu subjekta [vai saskaņā ar 80. pantu kādas struktūras vai organizācijas, vai apvienības iesniegtās sūdzības], atbilstošā apjomā izmeklē jautājumu un saprātīgā termiņā informē sūdzības iesniedzēju par lietas virzību un izmeklēšanas rezultātiem, jo īpaši, ja ir nepieciešama papildus izmeklēšana vai koordinācija ar citu uzraudzības iestādi;
[..]”
11
Šīs regulas 58. panta “Pilnvaras” 1. un 2. punkts noteic:
“1.   Katrai uzraudzības iestādei ir visas šādas izmeklēšanas pilnvaras:
a)
izdot rīkojumu pārzinim un apstrādātājam, un attiecīgā gadījumā pārziņa vai apstrādātāja pārstāvim sniegt visu informāciju, kas nepieciešama tās uzdevumu veikšanai;
[..]
2.   Katrai uzraudzības iestādei ir visas šādas korektīvās pilnvaras:
a)
brīdināt pārzini vai apstrādātāju, ka ar paredzētajām apstrādes darbībām, iespējams, var tikt pārkāpti šīs regulas noteikumi;
b)
izteikt rājienu pārzinim vai apstrādātājam, ja ar apstrādes darbībām ir tikuši pārkāpti šīs regulas noteikumi;
c)
izdot rīkojumu pārzinim vai apstrādātājam izpildīt datu subjekta pieprasījumu īstenot viņam saskaņā ar šo regulu piešķirtās tiesības;
d)
izdot rīkojumu pārzinim vai apstrādātājam saskaņot apstrādes darbības ar šīs regulas noteikumiem, vajadzības gadījumā – konkrētā veidā un konkrētā laikposmā;
e)
izdot rīkojumu pārzinim paziņot datu subjektam par personas datu aizsardzības pārkāpumu;
f)
uzlikt pagaidu vai galīgu apstrādes ierobežojumu, tostarp aizliegumu;
[..]
i)
piemērot administratīvu naudas sodu saskaņā ar 83. pantu, papildinot vai aizstājot šajā punktā minētos pasākumus atkarībā no katras konkrētās lietas apstākļiem;
[..].”
12
Minētās regulas 77. pants ir formulēts šādi:
“1.   Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.
2.   Uzraudzības iestāde, kurā ir iesniegta sūdzība, informē sūdzības iesniedzēju par sūdzības izskatīšanas virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar 78. pantu.”
13
Šīs pašas regulas 83. panta 1. un 2. punkts noteic:
“1.   Katra uzraudzības iestāde nodrošina, ka par 4., 5. un 6. punktā minētajiem šīs regulas pārkāpumiem saskaņā ar šo pantu paredzēto administratīvo naudas sodu piemērošana katrā konkrētā gadījumā ir iedarbīga, samērīga un atturoša.
2.   Administratīvie naudas sodi atkarībā no katras konkrētās lietas apstākļiem tiek piemēroti, papildinot 58. panta 2. punkta a)–h) apakšpunktā un j) apakšpunktā minētos pasākumus vai šo pasākumu vietā. Lemjot par to, vai piemērot administratīvo naudas sodu, un pieņemot lēmumu par administratīvā naudas soda apmēru, katrā konkrētā gadījumā pienācīgi ņem vērā šādus elementus:
a)
pārkāpuma būtību, smagumu un ilgumu, ņemot vērā attiecīgo datu apstrādes veidu, apmēru vai nolūku, kā arī ietekmēto datu subjektu skaitu un tiem nodarītā kaitējuma apmēru;
b)
to, vai pārkāpums izdarīts tīši vai neuzmanības dēļ;
c)
jebkādu pārziņa vai apstrādātāja rīcību, lai mazinātu kaitējumu, kas nodarīts datu subjektiem;
d)
pārziņa vai apstrādātāja atbildības līmeni, ņemot vērā tehniskos un organizatoriskos pasākum[us], ko tie īsteno saskaņā ar 25. un 32. pantu;
e)
jebkādus attiecīgus pārziņa vai apstrādātāja iepriekšējus pārkāpumus;
f)
sadarbības pakāpi ar uzraudzības iestādi, lai atlīdzinātu pārkāpumu un mazinātu tā iespējamās nelabvēlīgās sekas;
g)
to, kādu kategoriju personas datus ietekmējis pārkāpums;
h)
veidu, kādā par pārkāpumu uzzināja uzraudzības iestāde, jo īpaši to, vai pārzinis vai apstrādātājs ir ziņojis par pārkāpumu, un šādā gadījumā – kādā apjomā;
i)
ja 58. panta 2. punktā minētie pasākumi iepriekš par šo pašu priekšmetu jau ir tikuši vērsti pret attiecīgo pārzini vai apstrādātāju, kā minētie pasākumi ir tikuši pildīti;
j)
apstiprināto rīcības kodeksu ievērošanu saskaņā ar 40. pantu vai apstiprināto sertifikācijas mehānismu ievērošanu saskaņā ar 42. pantu; un
k)
jebkādu citu pastiprinošu vai mīkstinošu apstākli, kas piemērojams lietas apstākļiem, piemēram, no pārkāpuma tieši vai netieši gūti finansiālie labumi vai novērsti zaudējumi.”
Pamatlieta un prejudiciālais jautājums
14
Krājkase ir komunāls publisko tiesību uzņēmums, kas īsteno tostarp bankas operācijas un kreditēšanas darījumus. 2019. gada 15. novembrī tā saskaņā ar VDAR 33. pantu paziņoja HBDI par personas datu aizsardzības pārkāpumu, ko veidoja apstāklis, ka viena tās darbiniece vairākkārt bez pilnvarojuma bija aplūkojusi viena no tās klientiem, proti, TR, personas datus. Krājkase atturējās informēt TR par viņa datu aizsardzības pārkāpumu.
15
Pēc tam, kad TR bija nejauši uzzinājis, ka viņa personas dati ir tikuši nepamatoti aplūkoti, viņš 2020. gada 27. jūlijā iesniedza sūdzību HBDI, pamatojoties uz VDAR 77. pantu. Šajā sūdzībā viņš norādīja, ka, neievērojot šīs regulas 34. pantu, viņam netika paziņots par viņa personas datu aizsardzības pārkāpumu. Viņš kritizēja arī Krājkases piekļuves reģistra glabāšanas ilgumu, kas ir noteikts tikai trīs mēnešu garumā, kā arī tās darbiniekiem esošās plašās piekļuves tiesības.
16
TR iesniegtās sūdzības dēļ HBDI rakstveidā un mutvārdos uzklausīja Krājkasi par tai izteiktajiem pārmetumiem. Uzklausīšanas laikā Krājkase norādīja, ka no VDAR 34. pantā noteiktās paziņošanas tā atturējusies tāpēc, ka tās datu aizsardzības speciālista ieskatā nebija augsta riska, ka TR tiesības un brīvības būtu apdraudētas. Proti, pret attiecīgo darbinieci tika veikti disciplināri pasākumi un viņa bija rakstiski apstiprinājusi, ka viņa nav nedz nokopējusi, nedz saglabājusi personas datus, ka viņa tos nav nodevusi trešām personām un ka to nedarīs arī nākotnē. Turklāt, tā kā HBDI bija kritizējusi pārāk īso piekļuves reģistru glabāšanas ilgumu, Krājkase to informēja, ka šis jautājums tiks pārskatīts.
17
Ar 2020. gada 3. septembra lēmumu HBDI informēja TR, ka Krājkase nav pārkāpusi VDAR 34. pantu, jo Krājkases vērtējums, ka izdarītais personas datu pārkāpums nebija tāds, kas radītu augstu risku viņa tiesībām un brīvībām šā panta izpratnē, nav acīmredzami kļūdains. Proti, lai gan darbiniece bija aplūkojusi šos datus, nekas neliecina par to, ka viņa tos būtu nodevusi trešām personām vai izmantojusi, kaitējot TR. Turklāt HBDI norādīja, ka tas ir aicinājis Krājkasi turpmāk glabāt piekļuves reģistrus ilgāk nekā trīs mēnešus. Visbeidzot jautājumā par Krājkases darbinieku piekļuvi personas datiem HBDI noraidīja TR iesniegto sūdzību, uzsverot, ka principā var piešķirt plašas piekļuves tiesības, ja pastāv pārliecība, ka katrs lietotājs ir informēts par nosacījumiem, ar kādiem viņš var piekļūt datiem. Tādējādi HBDI ieskatā, principiāla katra piekļuves fakta pārbaude neesot nepieciešama.
18
TR par šo lēmumu cēla prasību iesniedzējtiesā – Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija), lūdzot, lai tā uzdotu HBDI rīkoties attiecībā pret Krājkasi.
19
Prasības pamatojumam TR apgalvo, ka HBDI nav izskatījis viņa sūdzību atbilstoši tam, kā prasīts VDAR, proti, ņemot vērā visus faktiskos apstākļus, un piebilst, ka HBDI esot bijis jāpiemēro naudas sods Krājkasei, ņemot vērā dažādos Krājkases izdarītos šīs regulas normu – konkrēti tās 5. panta, 12. panta 3. punkta, 15. panta 1. punkta c) apakšpunkta, 33. panta 1. punkta un 33. panta 3. punkta – pārkāpumus. TR ieskatā, ja tiek konstatēts minētās regulas pārkāpums, kā tas ir noticis šajā gadījumā, lietderības princips neesot piemērojams tādējādi, ka HBDI esot tiesīgs nevis izlemt vai rīkoties vai nerīkoties, bet gan, labākajā gadījumā, izvēlēties veicamos pasākumus.
20
Šajā ziņā iesniedzējtiesa būtībā vēlas noskaidrot, vai gadījumā, ja konstatēts personas datu aizsardzības normu pārkāpums, VDAR jāinterpretē tādējādi, ka uzraudzības iestādei jāveic korektīvi pasākumi saskaņā ar šīs regulas 58. panta 2. punktu, piemēram, jāpiemēro administratīvais naudas sods, vai arī tādējādi, ka šai iestādei ir rīcības brīvība, kas tai ļauj atkarībā no apstākļiem atturēties no šādu pasākumu veikšanas.
21
Iesniedzējtiesa izklāsta, ka šī pirmā interpretācija, kuru aizstāv TR, kā arī daļa juridiskās doktrīnas autoru, balstās uz faktu, ka uzraudzības iestādes pilnvaru veikt korektīvus pasākumus mērķis ir atjaunot tiesisko stāvokli gadījumā, ja ar datu apstrādi tiek aizskartas pilsoņu tiesības. VDAR 58. panta 2. punkts esot jāinterpretē kā pienākumu uzliekoša norma, kas piešķir pilsonim tiesības pieprasīt iestāžu rīcību gadījumā, ja kāds uzņēmums vai kāda iestāde ir prettiesiski apstrādājuši pilsoņa personas datus vai kā citādi pārkāpuši tiesības. Tātad, ja tiek konstatēts datu aizsardzības pārkāpums, uzraudzības iestādei esot jāveic korektīvi pasākumi; vienīgā rīcības brīvība, kāda tai esot, ir izvēlēties, kuru no paredzētajiem pasākumiem veikt.
22
Tomēr iesniedzējtiesa šaubās par to, vai šī interpretācija ir pareiza, jo uzskata to par pārāk plašu, un drīzāk sliecas atzīt, ka uzraudzības iestādei ir rīcības brīvība, kas tai ļauj atturēties no korektīva pasākuma veikšanas, konkrēti – soda piemērošanas konstatēta pārkāpuma gadījumā. Lai arī uzraudzības iestādei saskaņā ar VDAR 57. panta 1. punkta f) apakšpunktu esot pienākums rūpīgi izskatīt sūdzības pēc būtības un izskatīt katru konkrēto gadījumu, tai tomēr neesot jāveic korektīvs pasākums ikvienā situācijā. Tai šāda pienākuma neesot, piemēram, tad, ja pagātnē ir pārkāpti personas datu aizsardzības noteikumi, bet pārzinis ir veicis pasākumus, kas liek domāt, ka datu aizsardzības pārkāpums neatkārtosies.
23
Šajos apstākļos Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādu prejudiciālu jautājumu:
“Vai [VDAR] 57. panta 1. punkta a) un f) apakšpunkts un 58. panta 2. punkta a)–j) apakšpunkts, skatot tos kopā ar [VDAR] 77. panta 1. punktu, ir jāinterpretē tādējādi, ka gadījumā, ja uzraudzības iestāde konstatē datu apstrādi, kas aizskar datu subjekta tiesības, uzraudzības iestādei vienmēr ir pienākums rīkoties saskaņā ar [šīs regulas] 58. panta 2. punktu?”
Par lūguma sniegt prejudiciālu nolēmumu pieņemamību
24
TR, tieši gan neapstrīdēdams lūguma sniegt prejudiciālu nolēmumu pieņemamību, apgalvo, ka atbilde uz uzdoto jautājumu nav nepieciešama pamatlietas atrisināšanai. Viņa prasība esot vērsta vienīgi uz to, lai iesniedzējtiesa saskaņā ar VDAR 57. panta 1. punkta f) apakšpunktu uzdotu HBDI lemt par sūdzībā izvirzītajiem iebildumiem, nevis lai tā uzdotu HBDI izmantot pilnvaras, kas tam piešķirtas šīs regulas 58. panta 2. punktā.
25
Šajā ziņā jāatgādina, ka, Tiesai un valsts tiesām sadarbojoties atbilstoši LESD 267. pantam, tikai valsts tiesai, kas izskata lietu un ir atbildīga par pieņemamo tiesas nolēmumu, ņemot vērā lietas īpatnības, jānovērtē gan tas, cik lielā mērā prejudiciālais nolēmums ir nepieciešams tās nolēmuma pieņemšanai, gan Tiesai uzdoto jautājumu nozīmīgums. Līdz ar to Tiesai principā jāsniedz nolēmums, ja uzdotie jautājumi attiecas uz Savienības tiesību interpretāciju (spriedums, 2023. gada 30. novembris, Ministero dell’Istruzione un INPS, C‑270/22, EU:C:2023:933, 33. punkts, kā arī tajā minētā judikatūra).
26
No tā izriet, ka uz jautājumiem par Savienības tiesību interpretāciju, kurus valsts tiesa uzdevusi pašas noteiktā tiesiskā regulējuma un faktisko apstākļu kontekstā, kura pareizība Tiesai nav jāpārbauda, attiecas nozīmīguma prezumpcija. Tiesa var atteikties lemt par valsts tiesas lūgumu tikai tad, ja ir acīmredzams, ka lūgtajai Savienības tiesību interpretācijai nav nekāda sakara ar pamatlietas faktiskajiem apstākļiem vai tās priekšmetu, ja izvirzītā problēma ir hipotētiska vai ja Tiesai nav zināmi faktiskie vai juridiskie apstākļi, kas nepieciešami, lai sniegtu noderīgu atbildi uz tai uzdotajiem jautājumiem (spriedums, 2023. gada 30. novembris, Ministero dell’Istruzione un INPS, C‑270/22, EU:C:2023:933, 34. punkts, kā arī tajā minētā judikatūra).
27
Šajā gadījumā iesniedzējtiesa uzsver, ka TR ir atsaucies uz tiesībām panākt HBDI rīcību un apgalvojis, ka HBDI bija Krājkasei jāpiemēro naudas sods.
28
Līdz ar to nav acīmredzami skaidrs, ka Savienības tiesību interpretācijai nav nekādas saistības ar pamatlietas faktiskajiem apstākļiem vai tās priekšmetu.
29
Tāpēc lūgums sniegt prejudiciālu nolēmumu ir pieņemams.
Par prejudiciālo jautājumu
30
Lai atbildētu uz uzdoto jautājumu, ievadam jāatgādina, ka, interpretējot Savienības tiesību normu, jāņem vērā ne tikai tās teksts, bet arī konteksts un šo normu ietverošā tiesību akta mērķi un nolūks (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 48. punkts, kā arī tajā minētā judikatūra).
31
Jāatgādina arī, ka saskaņā ar Eiropas Savienības Pamattiesību hartas 8. panta 3. punktu, kā arī VDAR 51. panta 1. punktu un 57. panta 1. punkta a) apakšpunktu valsts uzraudzības iestāžu pienākums ir pārbaudīt, vai ir ievēroti Savienības noteikumi par fizisku personu aizsardzību attiecībā uz personas datu apstrādi (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 55. punkts, kā arī tajā minētā judikatūra).
32
Konkrēti – atbilstoši VDAR 57. panta 1. punkta f) apakšpunktam katrai uzraudzības iestādei savā teritorijā jāizskata sūdzības, kuras ikviena persona saskaņā ar šīs regulas 77. panta 1. punktu ir tiesīga iesniegt – ja tā uzskata, ka tās personas datu apstrāde ir veikta, pārkāpjot minēto regulu –, un vajadzīgajā apjomā jāizmeklē jautājums un saprātīgā termiņā jāinformē sūdzības iesniedzējs par lietas virzību un izmeklēšanas rezultātiem. Uzraudzības iestādei šāda sūdzība jāizskata ar visu pienācīgo rūpību (šajā nozīmē skat. spriedumu, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 56. punkts, kā arī tajā minētā judikatūra).
33
Šādi iesniegto sūdzību izskatīšanas mērķiem VDAR 58. panta 1. punktā katrai uzraudzības iestādei ir piešķirtas ievērojamas izmeklēšanas pilnvaras. Ja šī iestāde izmeklēšanas noslēgumā konstatē šīs regulas tiesību normu pārkāpumu, tai pienācīgi jārīkojas, lai novērstu konstatēto nepilnību, un katram pasākumam – kā precizēts minētās regulas 129. apsvērumā – jo īpaši jābūt piemērotam, vajadzīgam un samērīgam, lai nodrošinātu minētās regulas ievērošanu, ņemot vērā katra konkrētā gadījuma apstākļus. Tālab šīs pašas regulas 58. panta 2. punktā ir uzskaitīti dažādi korektīvie pasākumi, ko uzraudzības iestāde var veikt (šajā nozīmē skat. spriedumu, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 57. punkts, kā arī tajā minētā judikatūra).
34
Tādējādi atbilstoši VDAR 58. panta 2. punktam uzraudzības iestādei ir pilnvaras tostarp izteikt rājienu pārzinim vai apstrādātājam, ja ar apstrādes darbībām ir tikuši pārkāpti šīs regulas noteikumi (b) apakšpunkts), izdot rīkojumu pārzinim vai apstrādātājam izpildīt datu subjekta pieprasījumu īstenot viņam saskaņā ar minēto regulu piešķirtās tiesības (c) apakšpunkts), izdot rīkojumu pārzinim vai apstrādātājam saskaņot apstrādes darbības ar šīs regulas noteikumiem, vajadzības gadījumā – konkrētā veidā un konkrētā laikposmā (d) apakšpunkts), vai arī piemērot administratīvu naudas sodu saskaņā ar VDAR 83. pantu, papildinot vai aizstājot šajā 58. panta 2. punktā minētos pasākumus atkarībā no katras konkrētās lietas apstākļiem (i) apakšpunkts).
35
Līdz ar to sūdzību procedūra ir iecerēta kā mehānisms, ar kuru var efektīvi aizsargāt datu subjektu tiesības un intereses (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 58. punkts).
36
Šajā gadījumā no lūguma sniegt prejudiciālu nolēmumu izriet, ka HBDI ir izskatījis pēc būtības sūdzību, ko tam bija iesniedzis prasītājs pamatlietā, un viņu informējis par izmeklēšanas iznākumu. Konkrēti – HBDI ir apstiprinājis, ka Krājkasē noticis prasītāja personas datu aizsardzības pārkāpums, kas izpaudās kā vienas šīs Krājkases darbinieces neatļauta piekļuve šiem datiem. Tomēr sūdzību, ko prasītājs pamatlietā bija iesniedzis jautājumā par Krājkases darbinieku piekļuves tiesībām, HBDI noraidīja. Tas arī secināja, ka nav pamata rīkoties pret Krājkasi saskaņā ar VDAR 58. panta 2. punktu.
37
Šajā ziņā jānorāda, ka VDAR uzraudzības iestādei atstāj rīcības brīvību attiecībā uz veidu, kādā tai jānovērš konstatētā nepilnība, jo šīs regulas 58. panta 2. punktā šai iestādei ir piešķirtas pilnvaras veikt dažādus korektīvus pasākumus. Tādējādi Tiesa jau nospiedusi, ka piemērota un nepieciešama līdzekļa izvēle ir uzraudzības iestādes ziņā, un tai šī izvēle jāizdara, ņemot vērā visus konkrētā gadījuma apstākļus un ar visu pienācīgo rūpību pildot savu uzdevumu nodrošināt, ka VDAR tiek pilnībā ievērota (šajā nozīmē skat. spriedumu, 2020. gada 16. jūlijs, Facebook Ireland un Schrems, C‑311/18, EU:C:2020:559, 112. punkts).
38
Tomēr šo rīcības brīvību ierobežo nepieciešamība nodrošināt personas datu konsekventu un augsta līmeņa aizsardzību, stingri piemērojot noteikumus, kā izriet no VDAR 7. un 10. apsvēruma.
39
Konkrētāk par VDAR 58. panta 2. punkta i) apakšpunktā minētajiem administratīvajiem naudas sodiem no šīs regulas 83. panta 2. punkta izriet, ka šie naudas sodi atkarībā no katras konkrētās lietas apstākļiem tiek piemēroti, papildinot vai aizstājot 58. panta 2. punktā minētos pasākumus. Turklāt 83. panta 2. punktā ir precizēts, ka, lemjot par to, vai jāpiemēro administratīvais naudas sods, un pieņemot lēmumu par tā apmēru, uzraudzības iestādei katrā konkrētajā gadījumā pienācīgi jāņem vērā tādi šīs tiesību normas a)–k) apakšpunktā minētie apstākļi, kā, piemēram, pārkāpuma būtība, smagums un ilgums.
40
Tādējādi Savienības likumdevēja paredzētā sankciju sistēma ļauj uzraudzības iestādēm piemērot atbilstošākās un pamatotākās sankcijas atkarībā no katras lietas apstākļiem (šajā nozīmē skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 75. un 78. punkts), ņemot vērā – kā atgādināts šā sprieduma 37. un 38. punktā – nepieciešamību nodrošināt, ka VDAR tiek pilnībā ievērota, kā arī nodrošināt personas datu konsekventu un augsta līmeņa aizsardzību, stingri piemērojot noteikumus.
41
Līdz ar to ne no VDAR 58. panta 2. punkta, ne no tās 83. panta nav secināms, ka uzraudzības iestādei būtu pienākums visos gadījumos, kad tā konstatē personas datu aizsardzības pārkāpumu, veikt korektīvu pasākumu, konkrēti – piemērot administratīvo naudas sodu, jo šādos apstākļos tās pienākums ir pienācīgi rīkoties, lai novērstu konstatēto nepilnību. Šādos apstākļos, kā secinājumu 81. punktā norāda ģenerāladvokāts, sūdzības iesniedzējam, kura tiesības ir pārkāptas, nav subjektīvu tiesību panākt, lai uzraudzības iestāde pārzinim piemēro administratīvo naudas sodu.
42
Uzraudzības iestādei turpretim ir pienākums rīkoties tad, ja viena vai vairāku VDAR 58. panta 2. punktā paredzēto korektīvo pasākumu veikšana, ņemot vērā visus konkrētā gadījuma apstākļus, ir piemērota, nepieciešama un samērīga, lai novērstu konstatēto nepilnību un nodrošinātu, ka šī regula tiek pilnībā ievērota.
43
Šajā ziņā nav izslēgts, ka izņēmuma kārtā un ņemot vērā konkrētā gadījuma īpašos apstākļus, uzraudzības iestāde var atturēties no korektīva pasākuma veikšanas, lai gan ir konstatēts personas datu aizsardzības pārkāpums. Tā tas varētu būt tostarp tad, ja konstatētais pārkāpums nav turpinājies, piemēram, ja pārzinis – kurš principā bija īstenojis atbilstošus tehniskus un organizatoriskus pasākumus VDAR 24. panta izpratnē –, tiklīdz uzzinājis par šo pārkāpumu, ir veicis atbilstošus un nepieciešamus pasākumus, lai minētais pārkāpums beigtos un neatkārtotos, ņemot vērā pienākumus, kas tam noteikti tostarp šīs regulas 5. panta 2. punktā un 24. pantā.
44
Tādu interpretāciju, atbilstoši kurai uzraudzības iestādei, konstatējot personas datu aizsardzības pārkāpumu, ne vienmēr jāveic korektīvs pasākums saskaņā ar VDAR 58. panta 2. punktu, apstiprina šīs regulas šajā 58. panta 2. punktā, kā arī 83. pantā attiecīgi izvirzītie mērķi.
45
Par VDAR 58. panta 2. punkta mērķi no šīs regulas 129. apsvēruma izriet, ka šī norma ir vērsta uz to, lai ar valsts uzraudzības iestāžu iesaistīšanās palīdzību nodrošinātu, ka personas datu apstrāde notiek atbilstīgi šai regulai, kā arī labot situācijas, kad šī regula tiek pārkāpta, padarot tās par atbilstīgām Savienības tiesībām (spriedums, 2024. gada 14. marts, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, 40. punkts).
46
No tā izriet, ka korektīva pasākuma veikšana, ņemot vērā konkrētā gadījuma īpašos apstākļus, izņēmuma kārtā var nebūt nepieciešama, ja vien VDAR pārkāpuma situācija jau ir novērsta un tiek nodrošināta pārziņa veiktās personas datu apstrādes atbilstība šai regulai, un ka šāda uzraudzības iestādes atturēšanās nav tāda, kas varētu apdraudēt šā sprieduma 38. punktā atgādinātās prasības par noteikumu stingru piemērošanu izpildi.
47
Savukārt administratīvo naudas sodu piemērošanu reglamentējošā VDAR 83. panta mērķis saskaņā ar šīs regulas 148. apsvērumu ir stiprināt šīs regulas noteikumu izpildi. Tomēr šajā pašā apsvērumā teikts, ka par nenozīmīgu šīs regulas pārkāpumu vai tad, ja administratīvais naudas sods, ko varētu piemērot, radītu nesamērīgu slogu fiziskai personai, uzraudzības iestādes drīkst nepiemērot administratīvo naudas sodu un tā vietā izteikt rājienu (šajā nozīmē skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 76. punkts).
48
Šajā gadījumā no lūguma sniegt prejudiciālu nolēmumu izriet, ka Krājkase saskaņā ar VDAR 33. pantu ir paziņojusi HBDI par prasītāja pamatlietā personas datu aizsardzības pārkāpumu, kas izriet no tā, ka šiem datiem neatļauti piekļuvusi kāda tās darbiniece. Turklāt tā norādījusi, ka attiecībā uz šo darbinieci ir veikti disciplināri pasākumi un ka piekļuves reģistra glabāšanas ilgums tiks pārskatīts. Tieši šie ir apstākļi, kuros HBDI ir atturējies no korektīva pasākuma veikšanas saskaņā ar VDAR 58. panta 2. punktu, proti, administratīvā naudas soda piemērošanas.
49
Tā kā uzraudzības iestādes lēmumi par sūdzību ir pakļauti pilnīgai pārbaudei tiesā (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 70. punkts), iesniedzējtiesai jāpārbauda, vai attiecīgo sūdzību HBDI ir izskatījis ar visu pienācīgo rūpību un vai, pieņemot pamatlietā aplūkoto lēmumu, HBDI ir ievērojis tam VDAR 58. panta 2. punktā piešķirtās rīcības brīvības robežas (pēc analoģijas skat. spriedumu, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 68. un 69. punkts, kā arī tajos minētā judikatūra).
50
Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz uzdoto jautājumu ir atbildams, ka VDAR 57. panta 1. punkta a) un f) apakšpunkts, 58. panta 2. punkts un 77. panta 1. punkts jāinterpretē tādējādi, ka personas datu aizsardzības pārkāpuma konstatēšanas gadījumā uzraudzības iestādei nav pienākuma veikt korektīvu pasākumu, konkrēti – administratīvā naudas soda piemērošanu, saskaņā ar 58. panta 2. punktu tad, ja šāda rīcība nav piemērota, nepieciešama vai samērīga, lai novērstu konstatēto nepilnību un nodrošinātu, ka pilnībā tiek ievērota šī regula.
Par tiesāšanās izdevumiem
51
Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.
Ar šādu pamatojumu Tiesa (pirmā palāta) nospriež:
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 57. panta 1. punkta a) un f) apakšpunkts, 58. panta 2. punkts un 77. panta 1. punkts
jāinterpretē tādējādi, ka
personas datu aizsardzības pārkāpuma konstatēšanas gadījumā uzraudzības iestādei nav pienākuma veikt korektīvu pasākumu, konkrēti – administratīvā naudas soda piemērošanu, saskaņā ar 58. panta 2. punktu tad, ja šāda rīcība nav piemērota, nepieciešama vai samērīga, lai novērstu konstatēto nepilnību un nodrošinātu, ka pilnībā tiek ievērota šī regula.
[Paraksti]
(
*1
)	Tiesvedības valoda – vācu.
(
i
)	Teksta rezolutīvajā pēc sākotnējās elektroniskās publikācijas ir veikts valodisks labojums.