62021CC0768
ĢENERĀLADVOKĀTA PRĪTA PIKAMĒES [PRIIT PIKAMÄE]
SECINĀJUMI
sniegti 2024. gada 11. aprīlī (
1
)
Lieta C‑768/21
TR
pret
Land Hessen
(Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) lūgums sniegt prejudiciālu nolēmumu)
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 57. panta 1. punkta a) un f) apakšpunkts – Uzraudzības iestādes uzdevumi – 58. panta 2. punkts – Uzraudzības iestādes pilnvaras – 77. panta 1. punkts – Tiesības iesniegt sūdzību – Personas datu aizsardzības pārkāpums – Uzraudzības iestādes pienākums veikt pasākumus
I. Ievads
1.
Šis lūgums sniegt prejudiciālu nolēmumu, ko Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) ir iesniegusi atbilstoši LESD 267. pantam, attiecas uz Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (
2
) (turpmāk tekstā – “VDAR”) 57. panta 1. punkta a) un f) apakšpunkta, 58. panta 2. punkta un 77. panta 1. punkta interpretāciju.
2.
Šis lūgums ir iesniegts saistībā ar tiesvedību starp TR un Land Hessen (Hesenes federālā zeme, Vācija), ko pārstāv Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs, Vācija; turpmāk tekstā – “HBDI”), par šā uzraudzītāja atteikumu rīkoties attiecībā pret Krājkasi personas datu aizsardzības pārkāpuma dēļ. Iesniedzējtiesa jautā, vai uzraudzības iestādei, konstatējot datu apstrādi, ar kuru tiek pārkāptas datu subjekta tiesības, ir vienmēr jārīkojas VDAR 58. panta 2. punktā tai piešķirto pilnvaru ietvaros, vai arī kādā konkrētā gadījumā tā drīkst nerīkoties, lai arī ir noticis pārkāpums.
3.
Šajā lietā rodas vairāki vēl nebijuši tiesību jautājumi, kuri ir pamatīgi jāiztirzā. Tiesai būtībā būs jālemj par lomu, kāda ir tiesiskuma un lietderības principiem uzraudzības iestāžu administratīvajā praksē un konkrēti tad, kad šīs iestādes pilda savu uzdevumu uzraudzīt VDAR piemērošanu un nodrošināt tās ievērošanu. No Tiesas judikatūras izrietošās interpretācijas norādes ietekmēs šo administratīvo praksi, tādējādi sekmējot šīs regulas konsekventu piemērošanu Savienībā.
II. Atbilstošās tiesību normas
4.
VDAR 129., 141., 148. un 150. apsvērums ir formulēti šādi:
“(129)
Lai nodrošinātu konsekventu šīs regulas piemērošanas uzraudzību un izpildi visā Savienībā, uzraudzības iestādēm katrā dalībvalstī vajadzētu būt vieniem un tiem pašiem uzdevumiem un faktiskajām pilnvarām, tostarp izmeklēšanas pilnvarām, korektīvām pilnvarām, pilnvarām lemt par sankcijām un atļauju izsniegšanas un padomdevēja pilnvarām, jo īpaši fizisku personu sūdzību gadījumos un neskarot kriminālvajāšanas iestāžu pilnvaras saskaņā ar dalībvalsts tiesību aktiem, lai pievērstu tiesu iestāžu uzmanību šīs regulas pārkāpumiem un iesaistītos tiesvedībā. Šādām pilnvarām būtu jāietver arī pilnvaras uzlikt pagaidu vai galīgu apstrādes ierobežojumu, tostarp aizliegumu. Dalībvalstis var noteikt citus uzdevumus, kas saistīti ar personas datu aizsardzību saskaņā ar šo regulu. Uzraudzības iestāžu pilnvaras būtu jāīsteno objektīvi, taisnīgi un saprātīgā termiņā saskaņā ar atbilstošām procesuālām garantijām, kas izklāstītas Savienības un dalībvalsts tiesību aktos. Jo īpaši, katram pasākumam, kas paredzēts, lai nodrošinātu atbilstību regulai, vajadzētu būt piemērotam, vajadzīgam un samērīgam, ņemot vērā apstākļus katrā atsevišķā gadījumā, tajā būtu jāievēro katras personas tiesības tikt uzklausītai pirms tāda individuāla pasākuma pieņemšanas, kurš viņu nelabvēlīgi ietekmētu, un kurā būtu jāizvairās no nevajadzīgām izmaksām un pārmērīga apgrūtinājuma attiecīgajām personām. [..]
[..]
(141)
Katram datu subjektam vajadzētu būt tiesībām iesniegt sūdzību vienai uzraudzības iestādei, jo īpaši viņa pastāvīgās dzīvesvietas dalībvalstī, un tiesībām uz efektīvu tiesību aizsardzību tiesā saskaņā ar [Eiropas Savienības Pamattiesību hartas, turpmāk tekstā – “Harta”] 47. pantu, ja datu subjekts uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas, vai ja uzraudzības iestāde nereaģē uz sūdzību, daļēji vai pilnībā noraida sūdzību vai nerīkojas, kad šāda rīcība ir nepieciešama, lai aizsargātu datu subjekta tiesības. Uz sūdzības pamata sākta izmeklēšana būtu jāveic tādā apjomā, kāds ir nepieciešams konkrētajā lietā, paredzot iespēju to pārskatīt tiesā. Uzraudzības iestādei saprātīgā termiņā būtu jāinformē datu subjekts par sūdzības izskatīšanas virzību un iznākumu. [..]
[..]
(148)
Lai stiprinātu šīs regulas noteikumu izpildi, papildus atbilstošiem pasākumiem, ko uzraudzības iestāde piemēro saskaņā ar šo regulu, vai to vietā, par šīs regulas pārkāpumiem būtu jāpiemēro sankcijas, tostarp administratīvi naudas sodi. Nenozīmīgu pārkāpumu gadījumā vai ja naudas sods, kādu varētu uzlikt, radītu nesamērīgu slogu fiziskai personai, naudas soda vietā var izteikt rājienu. Tomēr būtu pienācīgi jāņem vērā pārkāpuma būtība, smagums un ilgums, tas, vai pārkāpums izdarīts tīši, darbības, kas veiktas, lai mazinātu ciesto kaitējumu, atbildības pakāpe vai jebkādi attiecīgi iepriekšēji pārkāpumi, veids, kādā uzraudzības iestāde uzzināja par pārkāpumu, atbilstība pasākumiem, kas vērsti pret [pārzini] vai apstrādātāju, rīcības kodeksa ievērošana un jebkādi citi pastiprinoši vai mīkstinoši apstākļi. [..]
[..]
(150)
Lai stiprinātu un saskaņotu administratīvos sodus par šīs regulas pārkāpumiem, katrai uzraudzības iestādei būtu jāpiešķir pilnvaras uzlikt administratīvus naudas sodus. Šajā regulā būtu jānorāda pārkāpumi un jānosaka attiecīgā administratīvā naudas soda maksimālais apmērs un kritēriji tā noteikšanai, kas katrā konkrētā gadījumā būtu jānosaka uzraudzības iestādei, ņemot vērā visus attiecīgos konkrētās situācijas apstākļus un pienācīgi ņemot vērā jo īpaši pārkāpuma būtību, smagumu un ilgumu un tā sekas, kā arī pasākumus, kas veikti, lai nodrošinātu šajā regulā paredzēto pienākumu ievērošanu un novērstu vai mazinātu pārkāpuma sekas. [..]”
5.
Šīs regulas 33. panta 1. punktā ir noteikts:
“Personas datu aizsardzības pārkāpuma gadījumā pārzinis bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums tam kļuvis zināms, paziņo par personas datu aizsardzības pārkāpumu uzraudzības iestādei, kas ir kompetenta saskaņā ar 55. pantu, izņemot gadījumus, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu radīt risku fizisku personu tiesībām un brīvībām. [..]”
6.
Minētās regulas 34. panta 1. punkts noteic:
“Gadījumā, ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis bez nepamatotas kavēšanās paziņo datu subjektam par personas datu aizsardzības pārkāpumu.”
7.
Šīs pašas regulas 57. panta 1. punktā ir noteikts:
“Neskarot citus uzdevumus, kas noteikti ar šo regulu, ikviena uzraudzības iestāde savā teritorijā:
(a)
uzrauga un īsteno šīs regulas piemērošanu;
[..]
f)
izskata kāda datu subjekta, struktūras vai organizācijas, vai apvienības iesniegtās sūdzības saskaņā ar 80. pantu, atbilstošā apjomā izmeklē jautājumu un saprātīgā termiņā informē sūdzības iesniedzēju par lietas virzību un izmeklēšanas rezultātiem, jo īpaši, ja ir nepieciešama papildus izmeklēšana vai koordinācija ar citu uzraudzības iestādi;
[..]”
8.
Saskaņā ar VDAR 58. pantu:
“(1)   Katrai uzraudzības iestādei ir visas šādas izmeklēšanas pilnvaras:
a)
izdot rīkojumu pārzinim un apstrādātājam, un attiecīgā gadījumā pārziņa vai apstrādātāja pārstāvim sniegt visu informāciju, kas nepieciešama tās uzdevumu veikšanai;
[..]
(2)   Katrai uzraudzības iestādei ir visas šādas korektīvās pilnvaras:
a)
brīdināt pārzini vai apstrādātāju, ka ar paredzētajām apstrādes darbībām, iespējams, var tikt pārkāpti šīs regulas noteikumi;
b)
izteikt rājienu pārzinim vai apstrādātājam, ja ar apstrādes darbībām ir tikuši pārkāpti šīs regulas noteikumi;
c)
izdot rīkojumu pārzinim vai apstrādātājam izpildīt datu subjekta pieprasījumu īstenot viņam saskaņā ar šo regulu piešķirtās tiesības;
d)
izdot rīkojumu pārzinim vai apstrādātājam saskaņot apstrādes darbības ar šīs regulas noteikumiem, vajadzības gadījumā – konkrētā veidā un konkrētā laikposmā;
e)
izdot rīkojumu pārzinim paziņot datu subjektam par personas datu aizsardzības pārkāpumu;
f)
uzlikt pagaidu vai galīgu apstrādes ierobežojumu, tostarp aizliegumu;
[..]
i)
piemērot administratīvu naudas sodu saskaņā ar 83. pantu, papildinot vai aizstājot šajā punktā minētos pasākumus atkarībā no katras konkrētās lietas apstākļiem;
[..]”
9.
Šīs regulas 77. pantā ir noteikts:
“1.   Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.
2.   Uzraudzības iestāde, kurā ir iesniegta sūdzība, informē sūdzības iesniedzēju par sūdzības izskatīšanas virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar 78. pantu.”
10.
Minētās regulas 78. panta 1. un 2. punkts noteic:
“1.   Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katrai fiziskai vai juridiskai personai ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas skar minētās personas.
2.   Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katram datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja uzraudzības iestāde, kas ir kompetenta, ievērojot 55. un 56. pantu, trīs mēnešu laikā neizskata sūdzību vai neinformē datu subjektu par sūdzības, kas iesniegta, ievērojot 77. pantu, izskatīšanas virzību vai rezultātiem.”
11.
VDAR 83. panta 1. un 2. punktā ir noteikts:
“1.   Katra uzraudzības iestāde nodrošina, ka par 4., 5. un 6. punktā minētajiem šīs regulas pārkāpumiem saskaņā ar šo pantu paredzēto administratīvo naudas sodu piemērošana katrā konkrētā gadījumā ir iedarbīga, samērīga un atturoša.
2.   Administratīvie naudas sodi atkarībā no katras konkrētās lietas apstākļiem tiek piemēroti, papildinot 58. panta 2. punkta a)–h) apakšpunktā un j) apakšpunktā minētos pasākumus vai šo pasākumu vietā. Lemjot par to, vai piemērot administratīvo naudas sodu, un pieņemot lēmumu par administratīvā naudas soda apmēru, katrā konkrētā gadījumā pienācīgi ņem vērā šādus elementus:
a)
pārkāpuma būtību, smagumu un ilgumu, ņemot vērā attiecīgo datu apstrādes veidu, apmēru vai nolūku, kā arī ietekmēto datu subjektu skaitu un tiem nodarītā kaitējuma apmēru;
b)
to, vai pārkāpums izdarīts tīši vai neuzmanības dēļ;
c)
jebkādu pārziņa vai apstrādātāja rīcību, lai mazinātu kaitējumu, kas nodarīts datu subjektiem;
d)
pārziņa vai apstrādātāja atbildības līmeni, ņemot vērā tehniskos un organizatoriskos pasākum[us], ko tie īsteno saskaņā ar 25. un 32. pantu;
e)
jebkādus attiecīgus pārziņa vai apstrādātāja iepriekšējus pārkāpumus;
f)
sadarbības pakāpi ar uzraudzības iestādi, lai atlīdzinātu pārkāpumu un mazinātu tā iespējamās nelabvēlīgās sekas;
g)
to, kādu kategoriju personas datus ietekmējis pārkāpums;
h)
veidu, kādā par pārkāpumu uzzināja uzraudzības iestāde, jo īpaši to, vai pārzinis vai apstrādātājs ir ziņojis par pārkāpumu, un šādā gadījumā – kādā apjomā;
i)
ja 58. panta 2. punktā minētie pasākumi iepriekš par šo pašu priekšmetu jau ir tikuši vērsti pret attiecīgo pārzini vai apstrādātāju, kā minētie pasākumi ir tikuši pildīti;
j)
apstiprināto rīcības kodeksu ievērošanu saskaņā ar 40. pantu vai apstiprināto sertifikācijas mehānismu ievērošanu saskaņā ar 42. pantu; un
k)
jebkādu citu pastiprinošu vai mīkstinošu apstākli, kas piemērojams lietas apstākļiem, piemēram, no pārkāpuma tieši vai netieši gūti finansiālie labumi vai novērsti zaudējumi.”
III. Tiesvedības rašanās fakti, tiesvedība pamatlietā un prejudiciālais jautājums
12.
Krājkase ir publisko tiesību komunāls uzņēmums, kas tostarp īsteno bankas operācijas un kreditēšanas darījumus. 2019. gada 15. novembrī tā paziņoja HBDI par personas datu aizsardzības pārkāpumu saskaņā ar VDAR 33. pantu, jo viena no tās darbiniecēm vairākkārt bez pilnvarojuma bija piekļuvusi viena no tās klientiem, proti, TR personas datiem. Tomēr, uzskatot, ka tas nav tāds personas datu aizsardzības pārkāpums, kas varētu izraisīt augstu risku TR, Krājkase atturējās par šo pārkāpumu informēt arī TR atbilstoši šīs regulas 34. pantam.
13.
Kad TR uzzināja par šo atgadījumu, viņš vērsās pie HBDI ar 2020. gada 27. jūlija vēstuli, kurā norādīja uz VDAR 34. panta pārkāpumu un sūdzējās par to, ka Krājkases noteiktais trīs mēnešus ilgais termiņš piekļuves reģistra glabāšanai esot īss un ka ikvienam Krājkases darbiniekam esot plašas piekļuves tiesības.
14.
HBDI notikušajā procedūrā Krājkase norādīja, ka tās datu aizsardzības speciālists esot izvērtējis, ka TR nedraud nekāds risks, jo attiecīgajai darbiniecei esot tikuši piemēroti disciplinārsodi un viņa rakstveidā esot apstiprinājusi, ka nav nedz kopējusi, nedz saglabājusi datus, par kuriem tā esot uzzinājusi, nedz arī tos nosūtījusi trešām personām, kā arī esot apsolījusi to nedarīt arī turpmāk. Turklāt esot jāizvērtē piekļuves datu glabāšanas ilgums.
15.
Ar 2020. gada 3. septembra lēmumu HBDI informēja TR, ka šajā gadījumā Krājkase nav pārkāpusi VDAR 34. pantu. Šī iestāde uzskata, ka saskaņā ar šo tiesību normu pieņemamais lēmums esot prognozējošs. No datu aizsardzības uzraudzības tiesību viedokļa bija jāpārbauda, vai šis lēmums bija acīmredzami kļūdains. Savukārt Krājkase bija paskaidrojusi, ka, lai gan piekļuve datiem bija notikusi, nekas neliecina par to, ka attiecīgā darbiniece tos būtu nodevusi trešām personām vai izmantojusi, lai kaitētu TR. Tāpēc, visticamāk, nepastāvēja augsts risks. Turklāt Krājkase esot tikusi aicināta turpmāk glabāt piekļuves reģistrus ilgāk. HBDI ieskatā nebija nepieciešama rūpīga katra piekļuves fakta pārbaude, jo plašas piekļuves tiesības principā var tikt piešķirtas, ja tiek nodrošināts, ka katrs lietotājs tiek informēts par to, ar kādiem nosacījumiem un kādiem datiem drīkst piekļūt.
16.
TR par 2020. gada 3. septembra lēmumu cēla prasību Verwaltungsgericht
Wiesbaden (Vīsbādenes Administratīvā tiesa), kas ir iesniedzējtiesa, lūdzot, lai tā uzdotu HBDI rīkoties attiecībā pret Krājkasi.
17.
Savas prasības pamatojumam TR norāda, ka HBDI nav izskatījis viņa sūdzību, kā tas prasīts VDAR. Viņš apgalvo, ka viņam esot tiesības, lai sūdzība tiktu izskatīta, un saņemt informāciju par tās izskatīšanas virzību. HBDI esot bijis pienākums noskaidrot faktiskos apstākļus, kurus Krājkase ir ņēmusi vērā savā riska novērtējumā, un tam nav jāaprobežojas ar skaidri prasītajiem pasākumiem vien, kā arī esot bijis jāpiemēro naudas sodi Krājkasei. TR ieskatā, ja pārkāpums tiek pierādīts, lietderības princips neesot piemērojams tādējādi, ka HBDI esot bijis tiesīgs nevis izlemt vai rīkoties vai nerīkoties, bet gan, labākajā gadījumā, izvēlēties, kādus pasākumus tas plāno veikt.
18.
Iesniedzējtiesa precizē, ka šajā gadījumā HBDI uzraudzības iestādes statusā ir secinājis, ka, lai gan ir konstatēts datu aizsardzības noteikumu pārkāpums, rīkošanās saskaņā ar VDAR 58. panta 2. punktu nebija nepieciešama. Taču šāda izturēšanās būtu likumīga tikai tad, ja uzraudzības iestādei nebūtu pienākuma rīkoties pat tad, ja datu aizsardzības pārkāpums ir pierādīts. Sekas tam, ja piekristu TR viedoklim, ka uzraudzības iestādei nav nekādas rīcības brīvības, būtu tādas, ka pierādīta pārkāpuma gadījumā pastāvētu tiesības prasīt rīkošanos un korektīvu pasākumu veikšanu un uzraudzības iestādei visos gadījumos būtu jārīkojas. Atteikuma gadījumā tiesai būtu jāuzdod uzraudzības iestādei veikt kādu konkrētu pasākumu vai izvēlēties no šādu pasākumu klāsta.
19.
Iesniedzējtiesa izklāsta, ka šī argumentācija, kuru aizstāv arī daļa juridiskās literatūras autoru, balstās uz faktu, ka VDAR 58. panta 2. punktā paredzēto korektīvo pilnvaru mērķis ir atjaunot tiesisko situāciju gadījumā, ja ar datu apstrādi tiek aizskartas pilsoņu tiesības. Tādējādi šī tiesību norma esot jāinterpretē kā pienākuma uzlikšanas norma, kas piešķir pilsonim tiesības pieprasīt no iestādes rīcību, ja uzņēmums vai iestāde ir prettiesiski apstrādājusi pilsoņa personas datus vai kā citādi pārkāpusi tiesības. Ja tiek konstatēts datu aizsardzības pārkāpums, uzraudzības iestādei esot jāveic korektīvi pasākumi; vienīgā rīcības brīvība, kāda tai esot, ir izvēlēties, kuru no paredzētajiem pasākumiem veikt.
20.
Tomēr iesniedzējtiesai ir šaubas par šo interpretāciju, kuru tās uzskata par pārāk plašu. Tā drīzāk sliecas atzīt, ka uzraudzības iestādei ir rīcības brīvība, kas tai ļauj arī atturēties no sankciju piemērošanas pierādītu pārkāpumu gadījumā. Proti, VDAR 57. panta 1. punkta f) apakšpunktā esot tikai paredzēts, ka uzraudzības iestāde, kurā ir iesniegta sūdzība, vajadzīgajā apjomā izmeklē jautājumu un saprātīgā termiņā informē sūdzības iesniedzēju par lietas virzību un izmeklēšanas rezultātiem. Tātad uzraudzības iestādei šajā ziņā esot pienākums veikt rūpīgu pārbaudi pēc būtības un izskatīt katru konkrēto gadījumu, taču tas nenozīmējot, ka tai pierādīta pārkāpuma gadījumā vienmēr un bez izņēmuma ir jārīkojas.
21.
Šādos apstākļos Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādu prejudiciālu jautājumu:
“Vai [VDAR] 57. panta 1. punkta a) un f) apakšpunkts un 58. panta 2. punkta a)–j) apakšpunkts, skatot tos kopā ar [VDAR] 77. panta 1. punktu, ir jāinterpretē tādējādi, ka gadījumā, ja uzraudzības iestāde konstatē datu apstrādi, kas aizskar datu subjekta tiesības, uzraudzības iestādei vienmēr ir pienākums rīkoties saskaņā ar [šīs regulas] 58. panta 2. punktu?”
IV. Tiesvedība Tiesā
22.
Iesniedzējtiesas nolēmums, kas pieņemts 2021. gada 10. decembrī, Tiesas kancelejā tika saņemts 2021. gada 14. decembrī.
23.
Eiropas Savienības Tiesas statūtu 23. pantā noteiktajā termiņā rakstveida apsvērumus iesniedza pamatlietas puses, Austrijas, Portugāles, Rumānijas un Norvēģijas valdības, kā arī Eiropas Komisija.
24.
Vispārējā sapulcē, kas notika 2024. gada 16. janvārī, Tiesa nolēma nerīkot tiesas sēdi mutvārdu paskaidrojumu uzklausīšanai.
V. Juridiskā analīze
A.
Ievada apsvērumi
25.
Kopš VDAR stāšanās spēkā daudzām struktūrām ir bijis jāveic virkne pasākumu, lai atbilstu jaunajam tiesiskajam regulējumam par personas datu apstrādi. Ja struktūras neievēro šos pasākumus, tām var piemērot vairāk vai mazāk bargas sankcijas atkarībā no pārkāpuma smaguma. Administratīvie naudas sodi ir VDAR ieviestā šīs regulas piemērošanas režīma centrālais elements. Kopā ar citiem VDAR 58. panta 2. punktā paredzētajiem korektīvajiem pasākumiem šie naudas sodi ir efektīvs elements arsenālā, kas uzraudzības iestāžu rīcībā ir tālab, lai liktu ievērot tiesisko regulējumu. Ņemot vērā, ka šī regula uzraudzības iestādēm ļauj piemērot dažreiz ļoti lielus naudas sodus, tiesiskās drošības interesēs šķiet lietderīgi norādīt, kādi apstākļi pamato šā korektīvā pasākuma izmantošanu. Tādēļ es velētos, lai šie secinājumi tiktu uztverti kā devums šā mērķa sasniegšanai.
26.
Secinājumi šajā lietā zināmā mērā ir turpinājums maniem secinājumiem apvienotajās lietās C‑26/22 un C‑64/22 (SCHUFA Holding) (turpmāk tekstā – “lietas SCHUFA”) (
3
). Šajās nupat minētajās lietās esmu skaidrojis, kādi ir uzraudzības iestādes pienākumi, izskatot sūdzību, kas iesniegta saskaņā ar VDAR 77. pantu, taču šajā lietā aplūkošu, kādi ir tās pienākumi, atklājot personas datu aizsardzības pārkāpumu, kā arī pilnvaras piemērot korektīvos pasākumus, tostarp piemērot administratīvus naudas sodus. Pēc tam iztirzāšu jautājumu par to, vai VDAR ir paredzēts pienākums uzraudzības iestādei piemērot šādu naudas sodu visos gadījumos vai vismaz tad, kad sūdzības iesniedzējs to skaidri pieprasa. Uz mana vērtējuma kopsavilkuma pamata atbildēšu uz iesniedzējtiesas uzdoto jautājumu par uzraudzības iestādes iespēju atteikties no korektīvo pasākumu veikšanas.
B.
Par lūguma sniegt prejudiciālu nolēmumu pieņemamību
27.
Tomēr pirms visu šo aspektu izvērtēšanas ir jāpievēršas TR argumentam par lūguma sniegt prejudiciālu nolēmumu nepieņemamību. Konkrētāk – TR apgalvo, ka atbilde uz uzdoto jautājumu nav nepieciešama pamatlietas izlemšanai. Viņa prasības mērķis esot vienīgi panākt, lai iesniedzējtiesa uzdotu HBDI pieņemt lēmumu par iebildumiem, kuri izvirzīti šai iestādei iesniegtajā sūdzībā, nevis uzdotu HBDI izmantot ar VDAR 58. panta 2. punktu piešķirtās pilnvaras.
28.
Šajā ziņā jāatgādina, ka Tiesai un valsts tiesām sadarbojoties atbilstoši LESD 267. pantam, tikai valsts tiesai, kas izskata lietu un ir atbildīga par pieņemamo tiesas nolēmumu, ņemot vērā lietas īpatnības, ir jānovērtē gan tas, cik lielā mērā prejudiciālais nolēmums ir nepieciešams tās nolēmuma pieņemšanai, gan Tiesai uzdoto jautājumu nozīmīgums. Līdz ar to Tiesai principā ir jāsniedz nolēmums, ja uzdotie jautājumi attiecas uz Savienības tiesību interpretāciju (
4
).
29.
No tā izriet, ka uz jautājumiem par Savienības tiesību interpretāciju, kurus uzdevusi valsts tiesa pašas noteiktā tiesiskā regulējuma un faktisko apstākļu kontekstā un kuru pareizība Tiesai nav jāpārbauda, attiecas nozīmīguma prezumpcija. Tiesa var atteikties lemt par valsts tiesas lūgumu tikai tad, ja ir acīmredzams, ka lūgtajai Savienības tiesību interpretācijai nav nekāda sakara ar pamatlietas faktiskajiem apstākļiem vai tās priekšmetu, ja izvirzītā problēma ir hipotētiska vai ja Tiesai nav zināmi faktiskie vai juridiskie apstākļi, kas nepieciešami, lai sniegtu noderīgu atbildi uz tai uzdotajiem jautājumiem (
5
).
30.
Šajā lietā iesniedzējtiesa, skaidri izklāstot iemeslus, kuru dēļ tai ir šaubas par tās prejudiciālajā jautājumā minēto Savienības tiesību normu interpretāciju, ir precizējusi, ka atbilde uz to ir izšķiroša pamatlietas izspriešanai, jo TR bija lūdzis, lai HBDI rīkotos attiecībā pret Krājkasi. Kā izriet no lūgumā sniegt prejudiciālu nolēmumu izklāstītā pamatojuma, TR atsaucās uz “tiesībām” pieprasīt šādu rīkošanos. Konkrēti TR ieskatā “HBDI esot bijis jāuzliek Krājkasei naudas sodi”. Šāds ir konteksts, kādā iesniedzējtiesa atsaucas uz TR veiktajiem aprēķiniem, lai noteiktu piemērojamo naudas sodu apmēru.
31.
Visa šī informācija, kuru ir sniegusi pati iesniedzējtiesa, ir skaidrā pretrunā TR apgalvojumiem par to, ka lūgums sniegt prejudiciālu nolēmumu esot nepieņemams. Ņemot vērā šos apstākļus, manuprāt, nav nekādu šaubu, ka atbilde uz ieniedzējtiesas jautājumu ir nepieciešama strīda izspriešanai. Proti, ir būtiski noskaidrot, kāds ir uzraudzības iestādes pilnvaru, kā arī pienākumu pret sūdzības iesniedzēju apjoms. Tādēļ jāsecina, ka lūgums sniegt prejudiciālu nolēmumu ir pieņemams.
C.
Prejudiciālā jautājuma analīze
32.
Pēc būtības ar prejudiciālo jautājumu tiek gribēts noskaidrot, kādi ir uzraudzības iestādes pienākumi, ja tiek atklāts personas datu aizsardzības pārkāpums. Šāda situācija parasti rodas tad, ja attiecīgais pārkāpums ir ticis konstatēts uz sūdzības pamata sāktā izmeklēšanā.
33.
Iesniedzējtiesas apgalvojumos ir manāmas dažas neprecizitātes attiecībā uz pienākumiem, ko VDAR noteic uzraudzības iestādei tad, kad tā izskata sūdzību; tas, manuprāt, ir izskaidrojams ar to, ka lūgums sniegt prejudiciālu nolēmumu tika iesniegts, pirms tika pasludināts spriedums lietās SCHUFA (
6
), kurā Tiesa ir noteikusi virkni nozīmīgu principu, kuri reglamentē sūdzību procedūru. Tādēļ ir pamats pieņemt, ka iesniedzējtiesai nav bijis iespējas iepazīties ar šo judikatūru.
34.
Lai pēc iespējas pilnīgāk izklāstītu tiesisko regulējumu, kurš attiecas uz uzraudzības režīmu, kas ieviests ar VDAR, un lai sniegtu iesniedzējtiesai lietderīgu atbildi, uzskatu, ka ir nepieciešams vispirms atgādināt, kādi principi ir piemērojami sūdzību procedūrai (
7
), un pēc tam paskaidrot, kā būtu jārīkojas uzraudzības iestādei, kad tā ir konstatējusi personas datu aizsardzības pārkāpumu (
8
).
1. Par uzraudzības iestādes pienākumiem, izskatot sūdzību
35.
Kā Tiesa ir norādījusi spriedumā SCHUFA, saskaņā ar Hartas 8. panta 3. punktu, kā arī VDAR 51. panta 1. punktu un 57. panta 1. punkta a) apakšpunktu valsts uzraudzības iestāžu pienākums ir pārbaudīt, vai ir ievēroti Savienības noteikumi par fizisku personu aizsardzību attiecībā uz personas datu apstrādi (
9
).
36.
Konkrēti, saskaņā ar VDAR 57. panta 1. punkta f) apakšpunktu katrai uzraudzības iestādei savā teritorijā ir pienākums izskatīt sūdzības, kuras ikviena persona saskaņā ar šīs regulas 77. panta 1. punktu ir tiesīga iesniegt – ja tā uzskata, ka tās personas datu apstrāde ir veikta, pārkāpjot minēto regulu – un ciktāl nepieciešams, izmeklēt attiecīgo jautājumu (
10
).
37.
Uzraudzības iestādei šāda sūdzība ir jāizskata ar visu pienācīgo rūpību. Tiesa ir arī norādījusi, ka, lai izskatītu iesniegtās sūdzības, ar VDAR 58. panta 1. punktu katrai uzraudzības iestādei ir piešķirtas ievērojamas izmeklēšanas pilnvaras (
11
).
38.
Šajā kontekstā jānorāda, ka Tiesa ir piekritusi interpretācijai, kuru piedāvāju savos secinājumos lietās SCHUFA, proti, ka sūdzību procedūra, kas nav pielīdzināma lūgumraksta procedūrai, ir izveidota kā mehānisms, ar kuru var efektīvi aizsargāt datu subjektu tiesības un intereses (
12
).
39.
Turklāt jānorāda, ka Tiesa ir arī piekritusi manai VDAR 78. panta 1. punkta interpretācijai, uzskatīdama, ka uzraudzības iestādes lēmums par sūdzību ir pakļauts pilnīgai pārbaudei tiesā (
13
).
2. Par uzraudzības iestādes pienākumiem, konstatējot personas datu aizsardzības pārkāpumu
40.
Ja uzraudzības iestāde sūdzības izskatīšanas gaitā konstatē personas datu aizsardzības pārkāpumu, rodas jautājums par to, kā tai ir jārīkojas. Kā paskaidrošu turpinājumā, šāda konstatācija vispirms nosaka uzraudzības iestādei pienākumu rīkoties tiesiskuma principa interesēs. Vispārīgi tas nozīmē, ka jānosaka atbilstošākais(-ie) korektīvais(-ie) pasākums(-i) pārkāpuma novēršanai (
14
). Šī interpretācija man šķiet jēgpilna, ņemot vērā to, ka ar VDAR 57. panta 1. punktu uzraudzības iestādei ir uzticēts uzdevums “uzrau[dzīt] un īsteno[t] šīs regulas piemērošanu”. Ar šo uzdevumu būtu nesaderīgi, ja uzraudzības iestādei būtu iespēja gluži vienkārši neņemt vērā konstatēto pārkāpumu (
15
).
41.
Turklāt izmeklēšanas pilnvaras, kas ir uzraudzības iestādei saskaņā ar VDAR 58. panta 1. punktu, nebūtu nekā vērtas, ja uzraudzības iestādei būtu pienākums aprobežoties ar izmeklēšanu vien, lai arī tā konstatējusi personas datu aizsardzības tiesību pārkāpumu. Proti, Savienības tiesību piemērošana personas datu aizsardzības jomā ir LESD 16. panta 2. punktā un Hartas 8. panta 3. punktā minētā jēdziena “kontrole” būtiska sastāvdaļa (
16
). Šajā kontekstā nedrīkst aizmirst, ka uzraudzības iestāde rīkojas arī tās personas vai organizācijas interesēs, kuras tiesības ir tikušas pārkāptas. Šajā ziņā ir jānorāda, ka ar VDAR 57. panta 1. punkta f) apakšpunktu un 77. panta 2. punktu ir noteikti zināmi pienākumi attiecībā uz sūdzības iesniedzēju, proti, “informēt [to] par lietas virzību un izmeklēšanas rezultātiem”.
42.
Šis pēdējais teikums nozīmē, ka uzraudzības iestādei arī jāatskaitās par pasākumiem, kas veikti attiecībā uz tās konstatēto personas datu aizsardzības pārkāpumu. Ir acīmredzams, ka sūdzību procedūra nebūtu lietderīga, ja uzraudzības iestāde varētu palikt pasīva, saskaroties ar juridisku situāciju, kas ir pretrunā Savienības tiesībām. Šā iemesla dēļ, lai dotu uzraudzības iestādei efektīvu rīku šāda veida pārkāpumu novēršanai, VDAR 58. panta 2. punkts uzskaita virkni korektīvu pasākumu, kas secīgi ierindoti atkarībā no iejaukšanās intensitātes. Pienākums rīkoties visos gadījumos neatkarīgi no pārkāpuma smaguma nozīmē, ka uzraudzības iestādei ir jāizmanto šis korektīvo pasākumu klāsts, lai atjaunotu Savienības tiesībām atbilstošu situāciju (
17
).
3. Par uzraudzības iestādes pilnvarām veikt korektīvus pasākumus
43.
Tomēr jāprecizē, ka jautājums par to, vai uzraudzības iestādei ir jārīkojas personas datu aizsardzības pārkāpuma gadījumā, ir jānošķir no jautājuma par to, kā tai konkrēti ir jārīkojas. Attiecībā uz šo pēdējo minēto jautājumu vairākas norādes ļauj izsecināt, ka uzraudzības iestādei ir rīcības brīvība, kas tomēr ir jāīsteno atbilstoši VDAR mērķiem un ar to noteiktajās robežās. Lai arī jau esmu sniedzis dažus argumentus, lai pamatotu šādu interpretāciju lietās SCHUFA (
18
), tomēr šķiet, ka šajos secinājumos šim jautājumam jāpievēršas padziļināti.
44.
Vispirms jānorāda, ka saskaņā ar VDAR 58. panta 2. punktu uzraudzības iestādei “ir [..] pilnvaras” veikt visus šajā tiesību normā uzskaitītos korektīvos pasākumus, un tas nozīmē iespējas esamību, kā pamatoti norāda iesniedzējtiesa. Turklāt šī papildu nozīme ir atrodama visu valodu versijās, ko esmu pārbaudījis sava vērtējuma ietvaros (
19
).
45.
VDAR 58. panta 2. punkts ir jāinterpretē šīs regulas 129. apsvēruma gaismā; un no šā apsvēruma izriet, ka “katram pasākumam, kas paredzēts, lai nodrošinātu atbilstību regulai, vajadzētu būt piemērotam, vajadzīgam un samērīgam, ņemot vērā apstākļus katrā atsevišķā gadījumā” (mans izcēlums). Citiem vārdiem sakot, uzraudzības iestādes “pilnvaras” izmantot šajā tiesību normā minēto korektīvo pasākumu klāstu ir pakārtotas virknei nosacījumu, tostarp tam, ka šīs iestādes veiktajam pasākumam ir jābūt “piemērotam”. Šo nenoteikto juridisko jēdzienu, kas uzraudzības iestādei piešķir rīcības brīvību, interpretēju tādējādi, ka izvēlētajam pasākumam tā īpašību un iedarbības veida dēļ ir jāspēj atjaunot Savienības tiesībām atbilstīgu situāciju (
20
).
46.
Šī interpretācija atbilst Tiesas judikatūrai, kurā nospriests, ka, ja uzraudzības iestāde konstatē, ka personas dati ir apstrādāti, pārkāpjot VDAR, “tai ir pienācīgi jārīkojas, lai novērstu konstatēto trūkumu” (
21
). Kā norāda Komisija, uzraudzības iestādei saistošais pienākums tātad vispirms attiecas uz sasniedzamo rezultātu, proti, uz konstatētā pārkāpuma novēršanu, veicot šim nolūkam “piemērotu” pasākumu. Turklāt jānorāda, ka lēmums par veicamo pasākumu ir atkarīgs no katra atsevišķā gadījuma konkrētajiem apstākļiem, kā skaidri izriet no iepriekš minētā VDAR 129. apsvēruma. Tādēļ lēmumi, ko uzraudzības iestāde pieņem savas administratīvās prakses ietvaros, katrā gadījumā var būtiski atšķirties atkarībā no situācijas.
47.
Tā kā VDAR 58. panta 2. punktā ir tikai pausts, ka katrai uzraudzības iestādei “ir [..] pilnvaras” veikt visus šajā tiesību normā uzskaitītos korektīvos pasākumus, uzraudzības iestādei ir rīcības brīvība, jo tā principā var brīvi izvēlēties kādus no šiem korektīvajiem pasākumiem, lai novērstu konstatēto pārkāpumu. Kā Tiesa uzsvērusi lietā C‑311/18 pasludinātajā spriedumā (Facebook Ireland un Schrems), “piemērota un nepieciešama līdzekļa izvēle ir uzraudzības iestādes kompetencē”, kam ir jāveic šī izvēle, ņemot vērā visi konkrētā gadījuma apstākļi (
22
).
48.
Rīcības brīvības atzīšana, manuprāt, nozīmē arī tiesības neveikt nevienu no VDAR 58. panta 2. punktā minētajiem korektīvajiem pasākumiem, ja šādu risinājumu pamato konkrētā gadījuma īpašie apstākļi. Proti, tā kā korektīvo pasākumu klāsta izmantošana arī ir pakārtota nosacījumam, ka attiecīgajam pasākumam ir jābūt “vajadzīgam”, lai nodrošinātu šīs regulas ievērošanu, nav izslēdzams, ka kāda konkrēta uzraudzības iestādes rīcība neatbilst šim nosacījumam, piemēram, ja starplaikā problēma ir tikusi atrisināta vai pārvarēta un pārkāpums vairs nepastāv. Pašsaprotami, ka tādā gadījumā uzraudzības iestādes rīkošanās būtu bezjēdzīga.
49.
Tāpat, kā pamatoti norāda Portugāles valdība, korektīvo pasākumu veikšana var vairs nebūt pamatota, ja pārziņa vai apstrādātāja rīcības nosodāmības pakāpe ir acīmredzami zema, vai ja lietas apstākļi ir paši par sevi mīkstinoši, it īpaši tādēļ, ka pastāv zināma dalīta atbildība ar sūdzības iesniedzēju. Taču tam vajadzīgs, lai uzraudzības iestādei varētu noteikt slieksni, zem kura VDAR izpratnē nav “vajadzīgs” rīkoties.
50.
Šajā kontekstā atļaujos vērst uzmanību uz VDAR 141. apsvērumu, kurā skaidri norādīta iespēja, ka uzraudzības iestāde nolemj nerīkoties gadījumos, kad tā uzskata, ka rīcība nav “nepieciešama”, lai nodrošinātu datu subjekta tiesību aizsardzību (“ja uzraudzības iestāde [..] nerīkojas, kad šāda rīcība ir nepieciešama”) (mans izcēlums). Šajā apsvērumā ir precizēts, ka uzraudzības iestādes lēmumu var pakļaut pārbaudei tiesā arī gadījumā, ja sūdzības iesniedzējs nepiekrīt uzraudzības iestādes vērtējumam attiecībā uz “nepieciešamību” rīkoties, vēl bez citiem tajā uzskaitītajiem gadījumiem, proti, ja saskaņā ar šo regulu datu subjektam piešķirtās tiesības ir pārkāptas, vai ja uzraudzības iestāde nereaģē uz sūdzību, to daļēji vai pilnībā noraida.
51.
VDAR 58. panta 2. punktā uzraudzības iestādei atzītā rīcības brīvība nozīmē, ka ir arī iespējams novērst nenozīmīgus pārkāpumus ar citiem pasākumiem, ko veic pats pārzinis. Kā liecina apstākļi šajā lietā, korektīvie pasākumi, ko atbildīgie uzņēmumi var veikt “patstāvīgi”, var būt disciplinārsodu piemērošana pārkāpumu izdarījušajiem darbiniekiem. Gadījumos, kad atbildība par pārkāpumu ir atzīta vai ir nodrošināts, ka nenotiks jauns datu aizsardzības pārkāpums, uzraudzības iestādes īstenota papildu korektīvo pasākumu piemērošana var šķist nelietderīga.
52.
Zināmos apstākļos, izmantojot pilnvaras piemērot korektīvus pasākumus pārzinim, kur tas nav ne piemēroti, ne nepieciešams, var pat tikt panākts vēlamajam rezultātam gluži pretējais. Ja uzraudzības iestādei būtu pienākums izmantot VDAR 58. panta 2. punktā paredzēto korektīvo pasākumu piemērošanas pilnvaras katrā pārkāpuma gadījumā, mazinātos tie resursi, kas ir pieejami citu lietu izskatīšanai un uzdevumiem, kuriem datu aizsardzības ziņā jāpievērš vairāk uzmanības. Tādēļ uzskatu, ka paša pārziņa veiktu “patstāvīgu” pasākumu izmantošana ļautu uzraudzības iestādei koncentrēties uz nopietniem gadījumiem, kuriem jābūt prioritāriem, vienlaikus nodrošinot nepārtrauktu cīņu pret personas datu aizsardzības pārkāpumiem, taču decentralizētā veidā, proti, uzdevumu daļējas deleģēšanas ceļā.
53.
Ja uzraudzības iestāde izvēlas atturēties no VDAR 58. panta 2. punktā minēto korektīvo pasākumu piemērošanas, dodot priekšroku pārziņa veiktu “patstāvīgu” pasākumu izmantošanai, uzskatu, ka tomēr ir nepieciešams ievērot atsevišķas juridiskas prasības. Pirmām kārtām, uzraudzības iestādei būtu jāsniedz sava tieša piekrišana šādam pasākumam, lai nepieļautu, ka tiek apiets ar VDAR ieviestais uzraudzības režīms. Otrām kārtām, pirms šīs piekrišanas būtu jāveic rūpīga situācijas pārbaude, ņemot vērā VDAR 129. apsvērumā minētos nosacījumus, lai neatbrīvotu uzraudzības iestādi no tās pienākuma uzraudzīt šīs regulas ievērošanu. Trešām kārtām, vienojoties ar organizāciju, kurai ir jāīsteno “patstāvīgais” pasākums, būtu jāparedz uzraudzības iestādes tiesības rīkoties, ja tās norādījumi netiek ievēroti. Ja Tiesa piekristu šādai interpretācijai un uzskatītu, ka šādi “patstāvīgi” pasākumi principā ir atbilstīgi VDAR, uzskatu, ka Tiesai būtu arī jāuzsver nepieciešamība uzraudzības sistēmas konsekvences interesēs ievērot iepriekš minētās prasības.
54.
Tā kā ar VDAR 58. panta 2. punktu uzraudzības iestādei ir atzīta rīcības brīvība attiecībā uz “piemērota” korektīvā pasākuma izvēli konkrētā gadījumā, ir loģiski, ka tiek izslēgtas jebkādas sūdzības iesniedzēja tiesības pieprasīt kāda konkrēta pasākuma piemērošanu. Proti, lai arī šīs procedūras ietvaros sūdzības iesniedzējam ir konkrētas tiesības attiecībā pret uzraudzības iestādi, tostarp, piemēram, būt informētam par lietas virzību un izmeklēšanas rezultātiem saprātīgā termiņā, šīs tiesības tomēr neietver tiesības pieprasīt konkrēta pasākuma veikšanu.
55.
Šādas tiesības arī nevar izsecināt no fakta, ka sūdzības iesniedzējam ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādi saskaņā ar VDAR 78. pantu, jo šīs iestādes galvenais pienākums pret šo personu sūdzību procedūras ietvaros ir pietiekami precīzi un detalizēti pamatot savu lēmumu rīkoties vai nerīkoties konkrētajā gadījumā, ņemot vērā iestādes īstenotās izmeklēšanas gaitā veiktos konstatējumus.
56.
Turklāt jānorāda, ka saskaņā ar VDAR 78. panta 2. punktu tiesību aizsardzību tiesā var izmantot, ja kompetentā uzraudzības iestāde trīs mēnešu laikā neizskata sūdzību vai neinformē datu subjektu par sūdzības, kas iesniegta saskaņā ar šīs regulas 77. pantu, izskatīšanas virzību vai rezultātiem. Taču jākonstatē, ka nevienā no minētajiem iemesliem nav norādīts, ka datu subjektam ir jebkādas subjektīvas tiesības prasīt kāda konkrēta pasākuma piemērošanu, ceļot prasību tiesā.
57.
Tas pats attiecas uz VDAR 141. apsvērumā minēto iespēju apstrīdēt, ceļot prasību tiesā, uzraudzības iestādes vērtējumu attiecībā uz “nepieciešamību” rīkoties, lai aizsargātu datu subjekta tiesības. Pat ja kompetentā tiesa galu galā konstatētu “nepieciešamību” rīkoties konkrētā gadījumā, tas obligāti nenozīmē, ka uzraudzības iestādei būtu jāpiemēro kāds konkrēts pasākums. Uzraudzības iestādei drīzāk būtu pienākums izmantot savu rīcības brīvību, attiecīgajā gadījumā ņemot vērā šīs tiesas vērtējumu.
58.
Tomēr jāprecizē, ka var arī iedomāties, ka uzraudzības iestāde kā administratīva struktūra ir spiesta veikt kādu konkrētu pasākumu lietas īpašo apstākļu dēļ, piemēram, ja pastāv nopietns datu subjekta pamattiesību apdraudējuma risks. Tieši šo scenāriju esmu pieminējis manos secinājumos lietās SCHUFA (
23
). Šis lūgums sniegt prejudiciālu nolēmumu tādējādi sniedz iespēju šo tēmu iztirzāt pamatīgāk.
59.
Šajā ziņā vispirms jāatgādina lietā C‑311/18 (Facebook Ireland un Schrems) pieņemtais spriedums, kurā Tiesa ir ļāvusi nojaust, ka tāds gadījums var faktiski pastāvēt. Konkrētāk – Tiesa nosprieda, ka attiecīgā gadījumā uzraudzības iestādei ir pienākums piemērot noteiktus pasākumus no tiem, kas uzskaitīti VDAR 58. panta 2. punktā, tostarp tad, ja tā uzskata, ka Savienības tiesībās prasīto aizsardzību nav iespējams nodrošināt ar citiem līdzekļiem. Līdz ar to šajā ziņā uzraudzības iestādes rīcības brīvība aprobežojas ar dažiem vai attiecīgā gadījumā ar vienu no šajā tiesību normā minētajiem pasākumiem (
24
).
60.
Kā pamatoti norāda Austrijas valdība, var pastāvēt liels skaits līdzīgu gadījumu, kuros ir jāpiemēro kāds konkrēts korektīvais pasākums, piemēram, gadījums, kad uzraudzības iestāde sūdzību procedūras gaitā konstatē dzēšanas pienākuma esamību un to, ka pārzinis datus vēl nav dzēsis. Aprakstītajā situācijā uzraudzības iestādei būs katrā ziņā pienākums atbilstoši VDAR 58. panta 2. punkta g) apakšpunktam izdot rīkojumu veikt dzēšanu.
61.
No iepriekšējos punktos minētajiem piemēriem ir redzams, ka nav izslēdzams tas, ka atkarībā no konkrētā gadījuma īpašajiem apstākļiem Savienības tiesībām atbilstošas situācijas atjaunošanu var panākt, tikai veicot kādu konkrētu korektīvo pasākumu. Konkrēti, man šķiet, ka apstākļos, kad pretējā gadījumā pastāvētu risks, ka datu subjekta tiesības tiek smagi aizskartas, uzraudzības iestādes rīcības brīvība varētu aprobežoties ar vienīgā piemērotā pasākuma veikšanu, lai aizsargātu šā subjekta tiesības.
62.
Manā ieskatā jebkāda atšķirīga interpretācija būtu nesaderīga ar pienākumu nodrošināt, ka tiek ievērotas Hartā nostiprinātās pamattiesības, kas atbilstoši Hartas 51. panta 1. punktam ir saistošas dalībvalstu iestādēm, kad tās īsteno Savienības tiesību aktus. Šis pienākums jāpilda arī uzraudzības iestādēm, kā tas izriet no VDAR 58. panta 4. punkta (
25
). Skatoties no šāda skatpunkta, ir pamatoti atbalstīt tēzi, ka Savienības tiesību aktos datu subjektam ir piešķirtas subjektīvas tiesības pieprasīt, lai uzraudzības iestāde veiktu attiecīgo pasākumu. Tomēr vēlos uzsvērt, ka šajā lietā nesaskatu neko tādu, kas liecinātu, ka ir izpildīti nosacījumi šādam uzraudzības iestādes rīcības brīvības ierobežojumam.
63.
Rezumējot – jāatzīst, ka uzraudzības iestādei, kurā iesniegta sūdzība atbilstoši VDAR 77. pantam, konstatējot datu subjekta tiesību pārkāpumu, ir pienākums piemēroti rīkoties, lai novērstu konstatētos un pastāvošos trūkumus un nodrošinātu datu subjekta tiesību aizsardzību. Ja uzraudzības iestāde šajā ziņā rīkojas, tās pienākums ir izvēlēties no šīs regulas 58. panta 2. punktā minētajām pilnvarām to pasākumu, kas ir piemērots, vajadzīgs un samērīgs. Līdz ar to šī rīcības brīvība līdzekļu izvēlē ir ierobežota, ja prasīto aizsardzību var nodrošināt, tikai veicot kādus konkrētus pasākumus.
4. Par uzraudzības iestādes pienākuma piemērot administratīvus naudas sodus visos gadījumos neesamību
64.
Pēc šā vispārīgā izklāsta par uzraudzības iestādes pilnvarām veikt korektīvus pasākumus, jāizvērtē jautājums par to, vai uzraudzības iestādei ir pienākums piemērot administratīvus naudas sodus visos gadījumos. Lai arī dažus šā jautājuma aspektus var precizēt, balstoties uz pirmīt minētajiem apsvērumiem, šķiet, ka ir nepieciešami daži papildu skaidrojumi. Proti, lai arī Savienības likumdevējs ir iekļāvis administratīvos naudas sodus “korektīvajos pasākumos” atbilstoši VDAR 58. panta 2. punktam, tiem tomēr piemīt dažas īpašas iezīmes salīdzinājumā ar citiem pasākumiem. Šā iemesla dēļ šī analīzes daļa tiks vērsta uz konkrētām tiesību normām, kuras minētas šīs regulas 58. panta 2. punkta i) apakšpunktā un 83. pantā.
65.
Kā nesen atgādinājusi Tiesa, administratīvais naudas sods iekļaujas ar VDAR ieviestajā sankciju sistēmā, radot stimulu pārziņiem un apstrādātājiem ievērot šo regulu. Administratīvie naudas sodi ar savu preventīvo iedarbību palīdz stiprināt fizisko personu aizsardzību attiecībā uz personas datu apstrādi, un tādējādi tie ir būtisks elements, lai garantētu šo personu tiesību ievērošanu atbilstoši minētās regulas mērķim nodrošināt augstu šādu personu aizsardzības līmeni attiecībā uz personas datu apstrādi (
26
).
66.
VDAR 83. pantā ir paredzēta divu līmeņu sistēma, kurā skaidri norādīts, ka daži pārkāpumi ir smagāki par citiem. Pirmais līmenis aptver to pantu pārkāpumus, ar kuriem tiek reglamentēta dažādu iesaistīto pušu (pārzinis, apstrādātājs, sertifikācijas struktūras u.tml.) atbildība. Otrais līmenis aptver ar šo regulu aizsargātu individuālo tiesību pārkāpumus, piemēram, pamattiesību, apstrādes pamatprincipu, datu subjektu tiesību uz informāciju, pārsūtīšanas noteikumu u.c. pārkāpumus. Abos līmeņos ir jāveic divi vērtējumi: pirmkārt, lai lemtu par to, vai piemērot administratīvo naudas sodu, un, otrkārt, lai lemtu par administratīvā naudas soda apmēru. Abos vērtējumos uzraudzības iestādēm ir jāņem vērā visi minētās regulas 83. panta 2. punktā uzskaitītie individuālie faktori. Tomēr pirmajā posmā gūtos secinājumus var izmantot otrajā posmā attiecībā uz naudas soda apmēru, lai tādējādi novērstu vajadzību vienu un to pašu kritēriju izvērtēt otrreiz (
27
).
67.
Pēc šiem ievada skaidrojumiem vērtēšu jautājumu par iespējamo pienākumu piemērot administratīvos naudas sodus visos gadījumos. Šajā ziņā vispirms jānorāda: VDAR 58. panta 2. punkta i) apakšpunktā ir noteikts, ka uzraudzības iestāde var piemērot administratīvo naudas sodu “atkarībā no katras konkrētās lietas apstākļiem”. Šī tiesību norma ir jāskata kopā ar šīs regulas 83. panta 2. punktu, kurā paredzēts ne tikai tāds pats ierobežojums šāda korektīvā pasākuma piemērošanai, bet norādīts, ka uzraudzības iestāde var pat atturēties to darīt (“lai lemtu par to, vai piemērot administratīvo naudas sodu”) (mans izcēlums), ja apstākļi šādu pieeju pamato. Šis formulējums diezgan līdzīgā formulējumā ir atrodams arī citās valodu versijās (
28
). Rezumējot – VDAR 83. panta 2. punkta jau pats formulējums norāda, ka administratīvā naudas soda piemērošana visos gadījumos nav obligāta.
68.
Turklāt jānorāda, ka šī tiesību norma uzliek pienākumu uzraudzības iestādei katrā atsevišķajā gadījumā ņemt vērā virkni elementu, lemjot par to, vai piemērot administratīvo naudas sodu. Būtībā runa ir par pastiprinošiem un mīkstinošiem apstākļiem, kuri ietekmē uzraudzības iestādes lēmumu, piemēram, pārkāpuma būtība, smagums un ilgums, kā arī par apstākļiem, kas saistīti ar pārziņa rīcību, piemēram, tas, vai pārkāpums izdarīts tīši vai neuzmanības dēļ (
29
).
69.
Šādā kontekstā VDAR 148. apsvēruma otrajam un trešajam teikumam, šķiet, ir nozīme, lai interpretētu šīs regulas 83. panta 2. punktu, jo tajos ir ietverti norādījumi par faktoriem, kas jāņem vērā, pieņemot lēmumu. Ar šo apsvērumu ir ieviests jēdziens “nenozīmīgs pārkāpums”, kas izraisa būtiskas sekas uzraudzības iestādes administratīvajai praksei (
30
). Tajā tostarp ir rakstīts, ka “[n]enozīmīgu pārkāpumu gadījumā vai ja naudas sods, kādu varētu uzlikt, radītu nesamērīgu slogu fiziskai personai, naudas soda vietā var izteikt rājienu” (mans izcēlums).
70.
Manā izpratnē šī norāde ļauj secināt, ka Savienības likumdevējs apzinājās to, ka administratīvs naudas sods ir īpaši bargs korektīvais pasākums, kurš ir jāizmanto nevis visos gadījumos, jo pretējā gadījumā samazinātos tā efektivitāte, bet gan tikai tad, kad to prasa konkrētas lietas apstākļi. Proti, VDAR 148. apsvērumā ir minēts samērīguma princips, kurš uzraudzības iestādēm ir jāievēro, piemērojot šo regulu īpašajā sankciju, tostarp administratīvo naudas sodu kontekstā. Kā jau savā vērtējumā norādīju, šis princips ir atspoguļots minētās regulas 129. apsvērumā, kurš attiecas uz korektīvajiem pasākumiem kopumā (
31
). Tātad likumdevēja iecerētā sankciju sistēma ir elastīga un diferencēta (
32
).
71.
No VDAR 83. panta 2. punkta interpretācijas, lasot to 148. apsvēruma gaismā, izriet, ka, pat, ja tiek konstatēts pārkāpums, šajā tiesību normā minēto kritēriju izvērtēšanas rezultātā uzraudzības iestāde var secināt, ka konkrētajos lietas apstākļos pārkāpums būtiski neapdraud attiecīgo datu subjektu tiesības un neietekmē attiecīgā pienākuma būtību. Tādos gadījumos naudas soda vietā dažkārt (kaut arī ne vienmēr) var izteikt rājienu (
33
).
72.
Tomēr jāprecizē, ka šis 148. apsvērums neliek uzraudzības iestādei nenozīmīga pārkāpuma gadījumā vienmēr aizstāt naudas sodu ar rājienu, bet tā drīzāk ir iespēja pēc konkrētas visu lietas apstākļu izvērtēšanas. Visbeidzot no minētā 148. apsvēruma izriet, ka uzraudzības iestāde var atturēties no naudas soda piemērošanas, pat ja šāda korektīvā pasākuma izmantošana a priori ir nepieciešama, pamatojoties uz tās veikto vērtējumu, ja šis naudas sods rada nesamērīgu slogs fiziskai personai (
34
).
73.
Tādējādi katras konkrētās lietas apstākļi, kuri minēti VDAR 83. panta 2. punktā, galu galā nosaka, vai ir jāpiemēro naudas sods, un apstiprinošas atbildes gadījumā – tās apmēru. Visas šīs norādes pamato manu viedokli, ka galu galā šis lēmums ir lēmums, ko uzraudzības iestāde pieņem pēc saviem ieskatiem (
35
). Uzraudzības iestāde ir atbildīga, lai apzinīgi un atbilstoši VDAR prasībām īstenotu tai piešķirto rīcības brīvību. Šīs rīcības brīvības robežas izriet no Savienības tiesībām un no dalībvalstu tiesībām, it īpaši no vienlīdzīgas attieksmes principa. No tā izriet nepieciešamība izkopt tādu naudas sodu piemērošanas administratīvo praksi, kurā līdzīgos gadījumos piemēro līdzīgu rīcību.
74.
Vēlos arī norādīt, ka krimināltiesiska rakstura naudas sodu kumulatīvas piemērošanas gadījumā – kā izriet no VDAR 149. apsvēruma – pat pastāv risks, ka tiks pārkāpts “ne bis in idem” princips, kā to interpretējusi Tiesa. Šis princips ir pamattiesības, kas aizsargātas ar Hartas 50. pantu, un tās var ierobežot, tikai ievērojot stingrus nosacījumus, kuri norādīti Hartas 52. pantā. Citiem vārdiem sakot, administratīvo naudas sodu piemērošanai var būt arī juridiska rakstura šķēršļi.
5. Par uzraudzības iestādes pienākuma piemērot administratīvos naudas sodus, ja sūdzības iesniedzējs to skaidri pieprasa, neesamību
75.
Pēdējais aspekts, kas jāiztirzā, attiecas uz to, vai uzraudzības iestādei ir pienākums piemērot administratīvos naudas sodus, ja sūdzības iesniedzējs to skaidri pieprasa. Kā norādīju, izvērtējot lūguma sniegt prejudiciālu nolēmumu pieņemamību, no lietas materiāliem izriet, ka TR bija lūdzis, lai HBDI rīkotos attiecībā uz Krājkasi un tai piemērotu administratīvos naudas sodus. Sava lūguma pamatojumam TR bija veicis aprēķinus, lai noteiktu piemērojamo naudas sodu apmēru (
36
). Šķiet, ka šā lūguma pamatā ir viedoklis, ka sūdzības iesniedzējam ir subjektīvas tiesības prasīt uzraudzības iestādei kāda konkrēta pasākuma veikšanu. Tomēr, kā skaidrošu vēlāk, uzskatu, ka šādai nostājai nav nekāda juridiska pamatojuma.
76.
Pirmkārt, mana analīze ir parādījusi, ka uzraudzības iestādei ir rīcības brīvība, lai izvēlētos piemērotu pasākumu katrā atsevišķā lietā. Ja vien nav īpaši apstākļi, kuri var izraisīt šīs rīcības brīvības ierobežošanu, tādi kā personas datu aizsardzības pārkāpuma smagums vai ilgstoša ietekme, kas šajā gadījumā, šķiet, nepastāv, uzraudzības iestāde saglabā šo rīcības brīvību. Ņemot vērā to, ka administratīvie naudas sodi ietilpst tajos korektīvajos pasākumos, kurus uzraudzības iestāde var veikt saskaņā ar VDAR 58. panta 2. punktu, loģiski ir izsecināt, ka šī uzraudzības iestādes rīcības brīvība attiecas arī uz šiem naudas sodiem. No tā izriet, ka uzraudzības iestādei nav nekāda pienākuma rīkoties sūdzības iesniedzēja interesēs, veicot kādu noteiktu korektīvu pasākumu.
77.
Otrkārt, pat gadījumā, ja konkrētās lietas apstākļi atšķirtos tādā mērā, ka tie pamatotu konkrēta korektīvā pasākuma veikšanu, man šķiet, ka nevarētu pamatoti apgalvot, ka ir nepieciešama administratīva naudas soda piemērošana. Tāpat kā Austrijas valdība uzskatu, ka ir jāņem vērā VDAR 58. panta 2. punktā uzskaitīto dažādo korektīvo pasākumu mērķi un it īpaši – administratīvā naudas soda mērķis. Konkrētāk – man šķiet, ka tā juridiskais raksturs ir pretrunā ar datu subjekta subjektīvu tiesību atzīšanu iepriekš minētajā ziņā, jo viens no šā pasākuma mērķiem ir sodīt par rīcību, kas ir pretrunā Savienības tiesībām. Uzskatu, ka, ņemot vērā administratīvajam naudas sodam piemītošo sodīšanas mērķi, vismaz atsevišķās situācijās (
37
), un ņemot vērā tā iespējami augsto bardzības pakāpi, tam var būt krimināltiesisks raksturs (
38
) Jāatgādina, ka tiesības sodīt (“ius puniendi”) ir tikai valstij un tās struktūrām.
78.
Šajā kontekstā ir jānorāda, ka VDAR 83. panta 1. punktā ir tostarp prasīts, lai naudas sodu piemērošana katrā konkrētā gadījumā ir “iedarbīga, samērīga un atturoša”. Vērtējums par to, vai plānotais naudas sods atbilst šiem nosacījumiem konkrētā lietā, ir jāveic uzraudzības iestādei, kura rīkojas uz savu atbildību. Tai ir jālemj, vai konkrētajā gadījumā ir jāizmanto administratīvā naudas soda instruments. Tālab Savienības likumdevējs tai sniedz detalizētu juridisko ietvaru. Tādējādi VDAR 83. pantā ir izstrādāti vispārīgie noteikumi, lai piemērotu šādus naudas sodus; šos noteikumus papildina EDAK atbilstoši šīs regulas 70. panta 1. punkta k) apakšpunktam izstrādātās Pamatnostādnes administratīvo naudas sodu piemērošanai un noteikšanai VDAR vajadzībām. Šajā ziņā jāatzīmē, ka neviens no šiem noteikumiem un pamatnostādnēm neļauj secināt, ka sūdzības iesniedzējam, kura tiesības ir pārkāptas, būtu īpašs juridiskais statuss, kas tam ļautu lūgt uzraudzības iestādei, lai tā piemēro administratīvu naudas sodu pārkāpējam.
79.
Protams, atsevišķi VDAR 83. panta 2. punktā minētie kritēriji, piemēram, nodarītā kaitējuma apmērs liek domāt, ka uzraudzības iestādei, pieņemot lēmumu, ir jāņem vērā arī datu subjekta situācija. Tomēr šie kritēriji paši par sevi nav pietiekama norāde, lai pierādītu subjektīvu tiesību pieprasīt naudas soda piemērošanu pastāvēšanu. Kā izriet no šīs tiesību normas interpretācijas, lasot to šīs regulas 75. apsvēruma gaismā, minēto kritēriju mērķis ir sniegt uzraudzības iestādei lietderīgus elementus, kas tai ļauj novērtēt pārkāpuma būtību, smagumu un ilgumu un izvēlēties piemērotu korektīvo pasākumu (
39
). Tādēļ atkarībā no katras konkrētās lietas uzraudzības iestāde var paredzēt nevis tikai administratīvo naudas sodu, bet gan veikt dažādus korektīvos pasākumus, taču bez iespējas datu subjektam pieprasīt kāda konkrēta pasākuma veikšanu. Uzraudzības iestāde ir vienīgā, kurai jālemj, vai ir jāveic pasākums ar mērķi panākt noteikumu ievērošanu vai sodīt par nelikumīgu rīcību.
80.
Treškārt, atšķirīgu secinājumu nevar arī izdarīt no tā, ka Savienības likumdevējs ir definējis uzraudzības iestādes lomu ar VDAR ieviestajā naudas sodu sistēmā, iedvesmojoties no pilnvarām, kādas ir Komisijai konkurences tiesību jomā (
40
). Šajā ziņā jāatgādina, ka šīs iestādes pilnvaras piemērot naudas sodus uzņēmumiem, kas izdara pārkāpumus LESD 101. un 102. panta izpratnē, ir viens no tai piešķirtajiem līdzekļiem, lai tā varētu izpildīt pienākumu veikt uzraudzību, kas tai paredzēts Savienības tiesībās (
41
). Tomēr, jāatzīmē, ka Komisijai ir rīcības brīvība, kuras īstenošanu ierobežo tikai prasība ievērot vispārīgos Savienības tiesību principus, tostarp samērīguma principu un vienlīdzīgas attieksmes principu (
42
). Turklāt jānorāda, ka Regulā (EK) Nr. 1/2003 par konkurences noteikumu īstenošanu (
43
) sūdzību iesniedzējiem vai trešām personām, kuru intereses var skart lēmums Komisijas uzsāktas administratīvas procedūras ietvaros (
44
), nav paredzētas nekādas tiesības lūgt naudas sodu piemērošanu saskaņā ar tās 23. pantu, jo atbilstoši šīs regulas 27. pantam Komisijai ir tikai pienākums apmierināt iespējamos uzklausīšanas lūgumus, kurus šīs personas izteikušas, pirms tiek piemērota sankcija.
81.
Balstoties uz izklāstītajiem apsvērumiem, uzskatu, ka pašreizējā Savienības tiesību attīstības posmā nav iespējams secināt, ka sūdzības iesniedzējam, kura tiesības ir pārkāptas, būtu subjektīvas tiesības prasīt administratīva naudas soda piemērošanu. Tas gan neliedz iespēju ierosināt šāda korektīva pasākuma izmantošanu, sniedzot argumentus un pierādījumus sava viedokļa pamatojumam. Tomēr galīgo lēmumu pēc saviem ieskatiem pieņemt ir uzraudzības iestādes ziņā.
D.
Prejudiciālā jautājuma analīzes kopsavilkums
82.
No iepriekš minētās analīzes izriet, ka uzraudzības iestādei ir pienākums rīkoties, ja tā sūdzības izskatīšanas gaitā konstatē personas datu aizsardzības pārkāpumu. Konkrēti tai jādefinē visatbilstošākais(-ie) korektīvais(-ie) pasākums(-i), lai novērstu pārkāpumu un nodrošinātu datu subjekta tiesību ievērošanu. Šajā ziņā VDAR ir noteikts, vienlaikus atstājot uzraudzības iestādei zināmu rīcības brīvību, ka šiem pasākumiem ir jābūt piemērotiem, vajadzīgiem un samērīgiem. Ievērojot zināmus nosacījumus, uzraudzības iestāde var atteikties no šīs regulas 58. panta 2. punktā minētajiem pasākumiem par labu paša pārziņa veiktajiem “patstāvīgajiem” pasākumiem. Katrā ziņā datu subjektam nav tiesību pieprasīt, lai tiktu veikts kāds konkrēts pasākums. Šie principi ir piemērojami arī administratīvo naudas sodu režīmam.
VI. Secinājumi
83.
Ņemot vērā iepriekš izklāstītos apsvērumus, ierosinu Tiesai atbildēt uz Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) prejudiciālo jautājumu šādi:
Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 57. panta 1. punkta a) un f) apakšpunkts un 58. panta 2. punkta a)–j) apakšpunkts, skatot tos kopā ar tās 77. panta 1. punktu,
ir jāinterpretē tādējādi, ka
gadījumā, ja uzraudzības iestāde konstatē datu apstrādi, kas aizskar datu subjekta tiesības, tai ir pienākums rīkoties saskaņā ar Regulas 2016/679 58. panta 2. punktu, ciktāl tas ir nepieciešams, lai nodrošinātu šīs regulas pilnīgu ievērošanu. Šajā ziņā tai, ņemot vērā katras lietas konkrētos apstākļus, ir jāizvēlas piemērotais, vajadzīgais un samērīgais līdzeklis, it īpaši, lai novērstu pārkāpumu un nodrošinātu datu subjekta tiesību ievērošanu.
(
1
)	Oriģinālvaloda – franču.
(
2
)	OV 2016, L 119, 1. lpp.
(
3
)	Secinājumi apvienotajās lietās SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, EU:C:2023:222).
(
4
)	Skat. spriedumu, 2020. gada 10. decembris, J & S Service (C‑620/19, EU:C:2020:1011, 31. punkts un tajā minētā judikatūra).
(
5
)	Skat. spriedumu, 2022. gada 14. jūlijs, Sense Visuele Communicatie en Handel vof (C‑36/21, EU:C:2022:556, 22. punkts un tajā minētā judikatūra).
(
6
)	Spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām) (C‑26/22 un C‑64/22, turpmāk tekstā – “spriedums SCHUFA”, EU:C:2023:958).
(
7
)	Skat. šo secinājumu 35.–39. punktu.
(
8
)	Skat. šo secinājumu 40. un nākamos punktus.
(
9
)	Spriedums SCHUFA (55. punkts).
(
10
)	Spriedums SCHUFA (56. punkts).
(
11
)	Spriedums SCHUFA (56. un 57. punkts).
(
12
)	Spriedums SCHUFA (58. punkts).
(
13
)	Spriedums SCHUFA (70. punkts).
(
14
)	Skat. 29. panta Datu aizsardzības darba grupas “Pamatnostādnes administratīvo naudas sodu piemērošanai un noteikšanai [VDAR] vajadzībām”, kas pieņemtas 2017. gada 3. oktobrī, 5. lpp. (turpmāk tekstā – “Pamatnostādnes administratīvo naudas sodu piemērošanai un noteikšanai VDAR vajadzībām”). Vēlāk šo darba grupu aizstāja Eiropas Datu aizsardzības kolēģija (turpmāk tekstā – “EDAK”). Taču šīs pamatnostādnes paliek spēkā.
(
15
)	Šajā nozīmē skat. Chamberlain, J./Reichel, J., “The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation”, Mississippi Law Journal, 2020, sēj. 89(4), 686. lpp.; šie autori balstās uz iepriekš minētajām pamatnostādnēm.
(
16
)	Hijmans_H., “Article 57. Tasks”, Kuner, C., Bygrave, L. A. Docksey_C., (izd.), The EU General Data Protection Regulation (GDPR), Oksforda, 2020, 934. lpp.
(
17
)	Šajā nozīmē skat. Härting, N., Flisek, C., Thiess, L., “DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers”, Computer und Recht, 5/2018, 299. lpp.
(
18
)	Skat. manus secinājumus lietās SCHUFA, 41. un nākamie punkti.
(
19
)	Skat. spāņu valodas versijā (“dispondrá de [..] los [..] poderes correctivos”), dāņu valodas versijā (“har [..] korrigerende beføjelser”), vācu valodas versijā (“verfügt über [..] Abhilfebefugnisse, die es ihr gestatten”), igauņu valodas versijā (“on [..] parandusvolitused”), angļu valodas versijā (“shall have [..] corrective powers”), itāļu valodas versijā (“ha [..] i poteri correttivi”), nīderlandiešu valodas versijā (“heeft [..] bevoegdheden tot het nemen van corrigerende maatregelen”), poļu valodas versijā (“przysługują [..] uprawnienia naprawcze”), portugāļu valodas versijā (“dispõe dos [..] poderes de correção”) un zviedru valodas versijā (“ska ha [..] korrigerande befogenheter”).
(
20
)	Šajā nozīmē skat. Härting, N., Flisek, C., Thiess, L., “DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers”, Computer und Recht, 5/2018, 299. lpp.
(
21
)	Skat. spriedumu SCHUFA (57. punkts) un spriedumu, 2020. gada 16. jūlijs, Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559, 111. punkts). Mans izcēlums.
(
22
)	Spriedums, 2020. gada 16. jūlijs, Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559, 112. punkts). Mans izcēlums.
(
23
)	Skat. minēto secinājumu 42. punktu.
(
24
)	Spriedums, 2020. gada 16. jūlijs, Facebook Ireland un Schrems (C‑311/18, EU:C:2020:559, 113. punkts). Tiesa ir nospriedusi, ka uzraudzības iestādei saskaņā ar VDAR 58. panta 2. punkta f) un j) apakšpunktu ir jāaptur vai jāaizliedz personas datu pārsūtīšana uz trešo valsti, ja tā, ņemot vērā visus ar šo pārsūtīšanu saistītos apstākļus, uzskata, ka datu aizsardzības standartklauzulas šajā trešajā valstī netiek vai nevar tikt ievērotas un ka Savienības tiesībās prasīto pārsūtīto datu aizsardzību nav iespējams nodrošināt ar citiem līdzekļiem, ja Savienībā reģistrētais datu pārzinis vai apstrādātājs paši nav apturējuši vai izbeiguši pārsūtīšanu.
(
25
)	Šajā nozīmē skat. Georgieva, L./Schmidl, M., “Article 58. Powers”, Kuner, C., Bygrave, L. A., Docksey, C. (izd.), The EU General Data Protection Regulation (GDPR), Oksforda, 2020, 945. lpp.
(
26
)	Skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, 78. punkts).
(
27
)	Skat. Pamatnostādnes administratīvo naudas sodu piemērošanai un noteikšanai VDAR vajadzībām, 9. lpp.
(
28
)	Skat. spāņu valodas versiju (“Al decidir la imposición”), dāņu valodas versiju (“Når der træffes afgørelse om, hvorvidt der skal pålægges”), vācu valodas versiju (“Bei der Entscheidung über die Verhängung”), igauņu valodas versiju (“Otsustades igal konkreetsel juhul”), angļu valodas versiju (“When deciding whether to impose”), itāļu valodas versiju (“Al momento di decidere se infliggere”), nīderlandiešu valodas versiju (“Bij het besluit over de vraag of [..] wordt opgelegd”), poļu valodas versiju (“Decydując, czy nałożyć”), portugāļu valodas versiju (“Ao decidir sobre a aplicação”) un zviedru valodas versiju (“Vid beslut om huruvida [..] ska påföras”).
(
29
)	Šajā ziņā skat. spriedumu, 2023. gada 5. decembris, Deutsche Wohnen (C‑807/21, EU:C:2023:950, 61. un nākamie punkti).
(
30
)	Spriedums, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, 76. punkts).
(
31
)	Skat. šo secinājumu 45. punktu.
(
32
)	Skat. ģenerāladvokāta N. Emiliu [N. Emiliou] secinājumus lietā Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:376, 78. punkts), kur viņš skaidro, ka Savienības likumdevējs nav paredzējis, ka administratīvo naudas sodu var piemērot par katru datu aizsardzības noteikumu pārkāpumu.
(
33
)	Skat. Pamatnostādnes administratīvo naudas sodu piemērošanai un noteikšanai VDAR vajadzībām, 9. lpp.
(
34
)	Skat. Pamatnostādnes administratīvo naudas sodu piemērošanai un noteikšanai VDAR vajadzībām, 9. lpp.
(
35
)	Holländer, C., Beck’scher Online‑Kommentar Datenschutzrecht (Wolff/Brink/Ungern‑Sternberg), 46. izdevums, Minhene 2017, VDAR 83. pants, 22. punkts; Frenzel, E., Datenschutz‑Grundverordnung Kommentar (Paal/Pauly/Frenzel), 3. izdevums, Minhene 2021, VDAR 83. pants, 8.–12. punkts, kurā skaidrots, ka uzraudzības iestādei ir rīcības brīvība un tādēļ tai nav pienākuma piemērot administratīvo naudas sodu visos gadījumos.
(
36
)	Skat. šo secinājumu 30. punktu.
(
37
)	Pamatnostādnēs administratīvo naudas sodu piemērošanai un noteikšanai VDAR vajadzībām (6. lpp.), ir norādīts, ka administratīvie naudas sodi ir “korektīvi pasākumi”, kuru mērķis var būt “panākt noteikumu ievērošanu vai sodīt par nelikumīgu uzvedību (vai abi).” Mans izcēlums.
(
38
)	Jāatgādina, ka, lai noskaidrotu, vai sodi pēc sava rakstura ir krimināltiesiski, nozīme ir trīs kritērijiem: pirmais no tiem ir attiecīgā pārkāpuma juridiskā kvalificējamība valsts tiesībās, otrais kritērijs attiecas uz pašu pārkāpuma iedabu un trešais – uz to, cik bargu sodu attiecīgajai personai varētu piespriest (skat. spriedumus, 2012. gada 5. jūnijs, Bonda (C‑489/10, EU:C:2012:319, 37. punkts) un 2021. gada 2. februāris, Consob (C‑481/19, EU:C:2021:84, 42. punkts); skat. arī ECT spriedumu, 1976. gada 8. jūnijs, Engel un citi pret Nīderlandi, CE:ECHR:1976:0608JUD000510071, 82. punkts). Lai naudas sodu uzskatītu par krimināltiesisku, nav jābūt izpildītiem visiem kritērijiem (šajā ziņā skat. ģenerāladvokāta Ī. Bota [Y. Bot] secinājumus lietā ThyssenKrupp Nirosta/Komisija (C‑352/09 P, EU:C:2010:635, 50. punkts un tajā minētā judikatūra).
(
39
)	Skat. Pamatnostādnes administratīvo naudas sodu piemērošanai un noteikšanai VDAR vajadzībām, 10. lpp., no kurām izriet, pirmkārt, ka nodarītā kaitējuma apmērs ir jāņem vērā, “izvēloties korektīvo pasākumu”, kas neizslēdz to, ka tiek piemēroti citi korektīvi pasākumi, kas nav administratīvais naudas sods. Otrkārt, tajās ir teikts, ka “naudas soda piemērošana nav atkarīga no uzraudzības iestādes spējas noteikt cēloņsakarību starp pārkāpumu un materiālajiem zaudējumiem”. No tā izriet, ka lēmums piemērot administratīvu naudas sodu ir atkarīgs no katra individuālā gadījuma, nevis tikai no kaitējuma esamības.
(
40
)	Šajā ziņā skat. ģenerāladvokāta N. Emiliu secinājumus lietā Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:376, 84. punkts), kurš vērš uzmanību uz līdzībām abās sistēmās. Skat. arī spriedumu, 2023. gada 5. decembris, Deutsche Wohnen (C‑807/21, EU:C:2023:950, 55. un nākamie punkti).
(
41
)	Šajā nozīmē skat. spriedumu, 2009. gada 11. jūnijs, X (C‑429/07, EU:C:2009:359, 35. punkts un tajā minētā judikatūra).
(
42
)	Ģenerāladvokātes J. Kokotes [J. Kokott] secinājumi apvienotajās lietās Alliance One International un Standard Commercial Tobacco/Komisija un Komisija/Alliance One International u.c. (C‑628/10 P un C‑14/11 P, EU:C:2012:11, 48. punkts un tajā minētā judikatūra).
(
43
)	Padomes Regula (2002. gada 16. decembris) par to konkurences noteikumu īstenošanu, kas noteikti Līguma 81. un 82. pantā (OV 2003, L 1, 1. lpp.).
(
44
)	Šajā nozīmē skat. Wils W., “Procedural rights and obligations of third parties in antitrust investigation and proceedings by the European Commission”, Concurrences, Nr. 2‑2022, 50. lpp.