62021CC0768
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
P. PIKAMÄE
fremsat den 11. april 2024 (
1
)
Sag C-768/21
TR
mod
Land Hessen
(anmodning om præjudiciel afgørelse indgivet af Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland))
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 57, stk. 1, litra a) og f) – tilsynsmyndighedens opgaver – artikel 58, stk. 2 – tilsynsmyndighedens beføjelser – artikel 77, stk. 1 – ret til at indgive klage – brud på persondatasikkerheden – tilsynsmyndighedens pligt til at fastsætte foranstaltninger«
I. Indledning
1.
Den foreliggende anmodning om præjudiciel afgørelse fra Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland), som er forelagt i henhold til artikel 267 TEUF, vedrører fortolkningen af artikel 57, stk. 1, litra a) og f), artikel 58, stk. 2, og artikel 77, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
2
) (herefter »databeskyttelsesforordningen«).
2.
Anmodningen er indgivet i forbindelse med en tvist mellem TR og Land Hessen (delstaten Hessen, Tyskland), repræsenteret ved Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hessens ansvarlige for databeskyttelse og informationsfrihed, herefter »HBDI«), vedrørende sidstnævntes afslag på at gribe ind over for Sparkasse (herefter »Sparkasse«) som følge af brud på persondatasikkerheden. Den forelæggende ret ønsker oplyst, om tilsynsmyndigheden altid er forpligtet til at gribe ind i henhold til de opgaver, den er blevet tildelt i databeskyttelsesforordningens artikel 58, stk. 2, hvis den konstaterer en databehandling, der krænker en registreret persons rettigheder, eller om den kan afstå fra at gribe ind, selv om der er sket en krænkelse.
3.
Den foreliggende sag rejser flere nye retlige spørgsmål, der giver anledning til grundige overvejelser. Domstolen bør i det væsentlige fastslå, hvilken rolle legalitetsprincippet og opportunitetsprincippet spiller i tilsynsmyndighedernes administrative praksis og navnlig i udførelsen af deres opgave med at føre tilsyn med og håndhæve anvendelsen af databeskyttelsesforordningen. De fortolkningsvejledninger, der vil fremgå af Domstolens praksis vil påvirke denne administrative praksis og dermed bidrage til en ensartet anvendelse af denne forordning inden for Unionen.
II. Retsforskrifter
4.
Databeskyttelsesforordningens 129., 141., 148. og 150. betragtning er affattet således:
»(129)
For at sikre ensartet tilsyn med og håndhævelse af denne forordning i hele Unionen bør tilsynsmyndighederne i hver medlemsstat have samme opgaver og effektive beføjelser, herunder undersøgelsesbeføjelser og beføjelser til at fastsætte korrigerende foranstaltninger og sanktioner samt godkendelses- og rådgivningsbeføjelser, navnlig i tilfælde af klager fra fysiske personer, og med forbehold for de retsforfølgende myndigheders beføjelser i henhold til medlemsstaternes nationale ret, til at indbringe overtrædelser af denne forordning for de judicielle myndigheder og deltage i retssager. Disse beføjelser bør også omfatte beføjelse til midlertidig eller definitivt at begrænse, herunder forbyde, behandling. Medlemsstaterne kan fastsætte andre opgaver, som vedrører beskyttelse af personoplysninger i henhold til denne forordning. Tilsynsmyndighedernes beføjelser bør udøves i overensstemmelse med de fornødne proceduremæssige garantier, der er fastsat i EU-retten og medlemsstaternes nationale ret, uvildigt, retfærdigt og inden for en rimelig frist. Hver foranstaltning bør især være passende, nødvendig og forholdsmæssig for at sikre overholdelse af denne forordning, idet der tages hensyn til omstændighederne i hver enkelt sag, bør overholde enhver persons ret til at blive hørt, inden der træffes en individuel foranstaltning, som vil berøre den pågældende negativt, og bør undgå overflødige udgifter og urimelige ulemper for de berørte personer. [...]
[...]
(141)
Enhver registreret bør have ret til at indgive klage til en enkelt tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted, og have adgang til effektive retsmidler i overensstemmelse med artikel 47 i [Den Europæiske Unions charter om grundlæggende rettigheder, herefter »chartret«], hvis den registrerede finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage, delvist eller helt afslår eller afviser en klage eller ikke handler, hvis handling er nødvendig for at beskytte den registreredes rettigheder. Undersøgelse af en klage bør foretages i det omfang, det er passende i det specifikke tilfælde, med forbehold af domstolskontrol. Tilsynsmyndigheden bør underrette den registrerede om forløbet og resultatet af klagen inden for en rimelig frist. [...]
[...]
(148)
For at styrke håndhævelsen af reglerne i denne forordning bør der pålægges sanktioner, herunder administrative bøder, for overtrædelse af denne forordning i tillæg til eller i stedet for passende foranstaltninger, som tilsynsmyndigheden har pålagt i henhold til denne forordning. I tilfælde af en mindre overtrædelse, eller hvis den bøde, der kunne blive pålagt, ville udgøre en uforholdsmæssig stor byrde for en fysisk person, kan der udstedes en irettesættelse i stedet for en bøde. Der bør dog tages behørigt hensyn til overtrædelsens karakter, alvor og varighed, overtrædelsens eventuelle forsætlige karakter, foranstaltninger, der er truffet for at begrænse den forvoldte skade, graden af ansvar eller eventuelle relevante tidligere overtrædelser, måden, hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, overholdelse af foranstaltninger truffet over for den dataansvarlige eller databehandleren, overholdelse af en adfærdskodeks samt andre skærpende eller formildende faktorer. [...]
[...]
(150)
For at styrke og harmonisere de administrative sanktioner for overtrædelse af denne forordning bør hver tilsynsmyndighed have beføjelse til at pålægge administrative bøder. Denne forordning bør angive overtrædelser og maksimumsbeløb og kriterier for fastsættelse af de tilknyttede administrative bøder, der bør bestemmes af den kompetente tilsynsmyndighed i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation og med behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen og dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. [...]«
5.
Forordningens artikel 33, stk. 1, fastsætter:
»Ved brud på persondatasikkerheden anmelder den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, bruddet på persondatasikkerheden til den tilsynsmyndighed, som er kompetent i overensstemmelse med artikel 55, medmindre at det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. [...]«
6.
Nævnte forordnings artikel 34, stk. 1, bestemmer:
»Når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, underretter den dataansvarlige uden unødig forsinkelse den registrerede om bruddet på persondatasikkerheden.«
7.
Følgende fremgår af samme forordnings artikel 57, stk. 1:
»Uden at dette berører andre opgaver, der er fastsat i denne forordning, skal hver tilsynsmyndighed på sit område:
a)
føre tilsyn med og håndhæve anvendelsen af denne forordning
[...]
f)
behandle klager, der indgives af en registreret eller af et organ, en organisation eller en sammenslutning i overensstemmelse med artikel 80, og, for så vidt det er hensigtsmæssigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist, navnlig hvis yderligere undersøgelse eller koordinering med en anden tilsynsmyndighed er nødvendig
[…]«
8.
Databeskyttelsesforordningens artikel 58 fastsætter følgende:
»1.   Hver tilsynsmyndighed har alle af følgende undersøgelsesbeføjelser:
a)
at give den dataansvarlige og databehandleren samt den dataansvarliges eller databehandlerens eventuelle repræsentant påbud om at give alle oplysninger, der kræves til udførelse af myndighedens opgaver
[...]
2.   Hver tilsynsmyndighed har alle af følgende korrigerende beføjelser:
a)
at udstede advarsler til en dataansvarlig eller en databehandler om, at planlagte behandlingsaktiviteter sandsynligvis vil være i strid med denne forordning
b)
at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med denne forordning
c)
at give den dataansvarlige eller databehandleren påbud om at imødekomme den registreredes anmodninger om at udøve sine rettigheder i henhold til denne forordning
d)
at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i denne forordning og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist
e)
at give den dataansvarlige påbud om at underrette den registrerede om et brud på persondatasikkerheden
f)
midlertidigt eller definitivt at begrænse, herunder forbyde, behandling
[...]
i)
at pålægge en administrativ bøde i henhold til artikel 83 i tillæg til eller i stedet for foranstaltningerne i dette stykke, afhængigt af omstændighederne i hvert enkelt tilfælde,
[...]«
9.
Følgende fremgår af forordningens artikel 77:
»1.   Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har enhver registreret ret til at indgive klage til en tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted eller sit arbejdssted, eller hvor den påståede overtrædelse har fundet sted, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning.
2.   Den tilsynsmyndighed, som klagen er indgivet til, underretter klageren om forløbet og resultatet af klagen, herunder om muligheden for anvendelse af retsmidler, jf. artikel 78.«
10.
Forordningens artikel 78 fastsætter i stk. 1 og 2:
»1.   Uden at det berører andre administrative eller udenretslige klageadgange, har enhver fysisk eller juridisk person ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en tilsynsmyndighed vedrørende vedkommende.
2.   Uden at det berører andre administrative eller udenretslige klageadgange, har den enkelte registrerede adgang til effektive retsmidler, hvis den tilsynsmyndighed, der er kompetent i henhold til artikel 55 og 56, ikke behandler en klage eller undlader at underrette den registrerede om forløbet eller resultatet af en klage, der er indgivet i henhold til artikel 77, inden for tre måneder.«
11.
Databeskyttelsesforordningens artikel 83 bestemmer i stk. 1 og 2:
»1.   Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.
2.   Afhængigt af omstændighederne i hver enkelt sag pålægges administrative bøder i tillæg til eller i stedet for foranstaltninger som omhandlet i artikel 58, stk. 2, litra a)-h) og j). Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag, tages der behørigt hensyn til følgende:
a)
overtrædelsens karakter, alvor og varighed under hensyntagen til pågældende behandlings karakter, omfang eller formål samt antal registrerede, der er berørt, og omfanget af den skade, som de har lidt
b)
hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt
c)
eventuelle foranstaltninger, der er truffet af den dataansvarlige eller databehandleren for at begrænse den skade, som den registrerede har lidt
d)
den dataansvarliges eller databehandlerens grad af ansvar under hensyntagen til tekniske og organisatoriske foranstaltninger, som de har gennemført i henhold til artikel 25 og 32
e)
den dataansvarliges eller databehandlerens eventuelle relevante tidligere overtrædelser
f)
graden af samarbejde med tilsynsmyndigheden for at afhjælpe overtrædelsen og begrænse de negative konsekvenser, som overtrædelsen måtte have givet anledning til
g)
de kategorier af personoplysninger, der er berørt af overtrædelsen
h)
den måde, hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, navnlig om den dataansvarlige eller databehandleren har underrettet om overtrædelsen, og i givet fald i hvilket omfang
i)
overholdelse af de foranstaltninger, der er omhandlet i artikel 58, stk. 2, hvis der tidligere over for den pågældende dataansvarlige eller databehandler er blevet truffet sådanne foranstaltninger med hensyn til samme genstand
j)
overholdelse af godkendte adfærdskodekser i henhold til artikel 40 eller godkendte certificeringsmekanismer i henhold til artikel 42, og
k)
om der er andre skærpende eller formildende faktorer ved sagens omstændigheder, såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen.«
III. De faktiske omstændigheder i sagen, retsforhandlingerne i hovedsagen og det præjudicielle spørgsmål
12.
Sparkasse er en kommunal offentligretlig institution, der bl.a. afvikler bank- og kreditforretninger. Sparkasse anmeldte den 15. september 2019 et brud på persondatasikkerheden til HBDI, i henhold til databeskyttelsesforordningens artikel 33, idet en af Sparkasses medarbejdere flere gange ubeføjet havde tilgået personoplysninger på en af Sparkasses klienter, TR. Sparkasse undlod dog også at underrette TR i henhold til forordningens artikel 34, idet den fandt, at der ikke var tale om et brud på persondatasikkerheden, der sandsynligvis ville indebære en høj risiko for TR.
13.
Efter at være blevet bekendt med hændelsen henvendte TR ved brev af 27. juli 2020 sig til HBDI og påpegede en overtrædelse af databeskyttelsesforordningens artikel 34 samt kritiserede den korte opbevaringsperiode på tre måneder for Sparkasses adgangsprotokol og de omfattende adgangsrettigheder, som alle medarbejderne havde.
14.
I sagen for HBDI angav Sparkasse, at dennes databeskyttelsesrådgiver havde vurderet, at der ikke var nogen risiko for TR, eftersom der var truffet disciplinære foranstaltninger over for den pågældende medarbejder, og denne skriftligt havde bekræftet, at hun hverken havde kopieret eller lagret de oplysninger, hun havde fået kendskab til, ikke havde overdraget dem til tredjemand og heller ikke ville gøre det i fremtiden. Derudover skulle opbevaringsperioden for adgangsoplysningerne undersøges.
15.
Ved afgørelse af 3. september 2020 orienterede HBDI TR om, at Sparkasse i det foreliggende tilfælde ikke havde overtrådt databeskyttelsesforordningens artikel 34. Sparkasse skulle ifølge HBDI foretage en prognoseafgørelse i henhold til denne bestemmelse. Ud fra en databeskyttelsestilsynsretlig betragtning skulle det vurderes, om prognoseafgørelsen havde været åbenbart forkert. Sparkasse havde imidlertid forklaret, at selv om oplysningerne var blevet tilgået, var der intet, der indikerede, at den medarbejder, der havde tilgået oplysningerne, havde videregivet dem til tredjemand eller udnyttet dem til skade for TR. Der forelå således sandsynligvis ikke en høj risiko. Sparkasse var desuden blevet opfordret til at opbevare adgangsprotokollen i længere tid. En principiel kontrol af hver adgang var ifølge HBDI ikke påkrævet, idet omfattende adgangsrettigheder principielt kan tildeles, hvis man har sikkerhed for, at hver bruger er oplyst om, hvilke data der må tilgås og under hvilke betingelser.
16.
TR har anlagt søgsmål ved Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden), den forelæggende ret, til prøvelse af afgørelsen af 3. september 2020 med påstand om, at retten tilpligter HBDI at gribe ind over for Sparkasse.
17.
TR har til støtte for søgsmålet gjort gældende, at HBDI ikke har behandlet klagen i overensstemmelse med databeskyttelsesforordningen. TR hævder, at han har krav på, at klagen behandles, og at han underrettes herom. HBDI var forpligtet til at undersøge de faktiske omstændigheder ved Sparkasses vurdering af risikoen uden at være begrænset til de foranstaltninger, som der udtrykkeligt er blevet anmodet om, og HBDI burde have pålagt Sparkasse bøder. Når der er konstateret en overtrædelse, gælder opportunitetsprincippet ifølge TR ikke, men HBDI kunne i et sådan tilfælde vælge, ikke hvorvidt der skulle gribes ind, men hvilke foranstaltninger den påtænkte at træffe.
18.
Den forelæggende ret har præciseret, at HBDI som tilsynsmyndighed, i det foreliggende tilfælde konkluderede, at selv om der var sket en overtrædelse af bestemmelserne om databeskyttelse, var der ikke anledning til at gribe ind i medfør af databeskyttelsesforordningens artikel 58, stk. 2. Denne tilgang ville dog kun være korrekt, hvis en tilsynsmyndighed ikke var forpligtet til at gribe ind, selv i tilfælde hvor et brud på datasikkerheden er konstateret. Hvis vi skulle følge TR’s synspunkt, hvorefter tilsynsmyndigheden ingen skønsmargen har, ville det have som konsekvens, at der gjaldt en ret til at gribe ind og fastsætte korrigerende foranstaltninger i tilfælde af et konstateret brud, og tilsynsmyndigheden skulle i alle tilfælde træffe en foranstaltning. Hvis tilsynsmyndigheden nægter at gøre dette, ville retten skulle pålægge myndigheden en foranstaltning eller en række foranstaltninger.
19.
Den forelæggende ret har anført, at denne argumentation, som ligeledes fremgår af en del af retslitteraturen, henviser til den omstændighed, at mulighederne for at iværksætte korrigerende foranstaltninger i henhold til databeskyttelsesforordningens artikel 58, stk. 2, sigter mod at genoprette lovlige tilstande, når borgere oplever, at en databehandling krænker deres rettigheder. Denne bestemmelse burde således tolkes som en regel med en forpligtende virkning, på grundlag af hvilken en borger har et krav på, at en myndighed handler, hvis en virksomhed eller en myndighed behandler borgerens personlige oplysninger i strid med lovgivningen eller på anden vis har krænket rettigheder. Såfremt der er konstateret et brud på datasikkerheden, vil tilsynsmyndigheden være forpligtet til at foretage en korrektion; den har kun et skøn til at vælge, hvilken af foranstaltningerne den træffer.
20.
Den forelæggende ret er imidlertid usikker på denne fortolkning og finder den for vidtgående. Retten skønner nærmere, at tilsynsmyndigheden har en skønsmargen, hvilket betyder, at myndigheden også vil kunne afholde sig fra at fastsætte sanktioner ved konstaterede brud. Databeskyttelsesforordningens artikel 57, stk. 1, litra f), bestemmer nemlig blot, at den tilsynsmyndighed, der har fået en klage, for så vidt det er hensigtsmæssigt, skal undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist. Heraf følger det, at der gælder en pligt for tilsynsmyndigheden til at foretage en omhyggelig indholdsmæssig undersøgelse og vurdere hvert enkelt hændelse, men ikke, at der altid og uden undtagelse skal gribes ind, hvis der konstateres en overtrædelse.
21.
Under disse omstændigheder har Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»Skal artikel 57, stk. 1, litra a) og f), artikel 58, stk. 2, litra a)-j), sammenholdt med artikel 77, stk. 1, i [databeskyttelsesforordningen,] fortolkes således, at tilsynsmyndigheden altid er forpligtet til at gribe ind i henhold til [denne forordnings] artikel 58, stk. 2, hvis den konstaterer en databehandling, hvorved en registreret persons rettigheder er blevet krænket?«
IV. Retsforhandlingerne for Domstolen
22.
Forelæggelsesafgørelsen af 10. december 2021 er indgået til Domstolens Justitskontor den 14. december 2021.
23.
Parterne i hovedsagen, den østrigske, den portugisiske, den rumænske og den norske regering samt Europa-Kommissionen har indgivet skriftlige indlæg inden for den frist, der er fastsat i artikel 23 i statutten for Den Europæiske Unions Domstol.
24.
På det almindelige møde den 16. januar 2024 har Domstolen besluttet ikke at afholde mundtlig forhandling.
V. Retlig bedømmelse
A.
Indledende bemærkninger
25.
Siden databeskyttelsesforordningen trådte i kraft, har mange organer skullet iværksætte en række foranstaltninger med henblik på at sikre, at den nye databeskyttelseslovgivning overholdes. Såfremt organerne ikke respekterer disse foranstaltninger, udsætter de sig for mere eller mindre indgribende sanktioner afhængig af alvorligheden af tilsidesættelsen. Administrative bøder er kernen i den håndhævelsesordning, der følger af databeskyttelsesforordningen. De udgør et effektivt element i den værktøjskasse, som tilsynsmyndighederne har til rådighed for at sikre, at forordningen bliver overholdt, sammen med de øvrige korrigerende foranstaltninger, der er fastsat i databeskyttelsesforordningens artikel 58, stk. 2. Idet denne forordning giver tilsynsmyndighederne tilladelse til at udstede til tider meget store bøder, forekommer det hensigtsmæssigt af hensyn til retssikkerheden at præcisere, hvilke omstændigheder der godtgør anvendelse af denne korrigerende foranstaltning. Dette forslag til afgørelse skal derfor anses for et bidrag til dette mål.
26.
Forslaget til afgørelse i nærværende sag fortsætter så at sige der, hvor mit forslag til afgørelse i de forenede sager C-26/22 og C-64/22 (SCHUFA Holding) (herefter »SCHUFA-sagen«) (
3
) sluttede. Mens jeg i den sidstnævnte sag forklarede, hvilke forpligtelser der påhviler tilsynsmyndigheden i forbindelse med behandlingen af en klage, der er indgivet i henhold til databeskyttelsesforordningens artikel 77, vil jeg i nærværende sag behandle dens forpligtelser ved konstateringen af et brud på persondatasikkerheden samt dens beføjelse til at fastsætte korrigerende foranstaltninger, herunder udstedelse af administrative bøder. Derefter vil jeg undersøge spørgsmålet om, hvorvidt databeskyttelsesforordningen fastsætter en forpligtelse for tilsynsmyndigheden til at udstede en sådan bøde i alle tilfælde, eller, som minimum, når klageren udtrykkeligt kræver det. På baggrund af et sammendrag af min analyse vil jeg besvare det spørgsmål, som den forelæggende ret har stillet om tilsynsmyndighedens mulighed for at afslå af fastsætte korrigerende foranstaltninger.
B.
Formaliteten vedrørende den præjudicielle forelæggelse
27.
Inden alle disse elementer undersøges, skal vi se på TR’s argument om afvisning af anmodningen om præjudiciel afgørelse. TR gør nærmere bestemt gældende, at et svar på det forelagte spørgsmål ikke er nødvendigt for at løse tvisten i hovedsagen. TR’s søgsmål tilsigter kun, at den forelæggende ret tilpligter HBDI at udtale sig om de klagepunkter, der er fremsat i den klage, der er indbragt for den, og ikke, at HBDI tilpligtes at anvende de beføjelser, den er tildelt i medfør af databeskyttelsesforordningens artikel 58, stk. 2.
28.
Det skal i den forbindelse anføres, at inden for rammerne af det samarbejde, der i henhold til artikel 267 TEUF er indført mellem Domstolen og de nationale retter, tilkommer det udelukkende den nationale ret, for hvilken tvisten er indbragt, og som har ansvaret for den retsafgørelse, der skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere, både om en præjudiciel afgørelse er nødvendig for, at den kan afsige dom, og relevansen af de spørgsmål, den forelægger Domstolen. Når de stillede spørgsmål vedrører fortolkningen af EU-retten, er Domstolen derfor principielt forpligtet til at træffe afgørelse (
4
).
29.
Det følger heraf, at de spørgsmål om en fortolkning af EU-retten, som den nationale ret har stillet på det retlige og faktiske grundlag, som den har fastlagt inden for sit ansvarsområde, er relevante, hvorfor det ikke tilkommer Domstolen at efterprøve rigtigheden heraf. Domstolen kan kun afvise at afsige dom vedrørende en anmodning fra en national ret, såfremt det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er hypotetisk, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en sagligt korrekt besvarelse af de stillede spørgsmål (
5
).
30.
I det foreliggende tilfælde har den forelæggende ret præciseret, at svaret på det præjudicielle spørgsmål er afgørende for løsningen af tvisten i hovedsagen, for så vidt som TR havde anmodet HBDI om at gribe ind over for Sparkasse, selv om den forelæggende ret klart har redegjort for grundene til, at den sætter spørgsmålstegn ved fortolkningen af de EU-retlige bestemmelser, der er nævnt i dens præjudicielle spørgsmål. Som det fremgår af begrundelsen i anmodningen om præjudiciel afgørelse, havde TR gjort gældende, at han havde en »ret« til at kræve et sådant indgreb. Ifølge TR »burde HBDI [navnlig] have pålagt Sparkasse bøder«. Det er i denne sammenhæng, at den forelæggende ret henviser til de beregninger, TR har foretaget for at fastsætte størrelsen af de bøder, der skal pålægges.
31.
Alle disse oplysninger, som den forelæggende ret selv har afgivet, modsiger klart TR’s påstande vedrørende den hævdede afvisning af anmodningen om en præjudiciel afgørelse. På baggrund af disse omstændigheder er der efter min opfattelse ingen tvivl om, at en besvarelse af det spørgsmål, den forelæggende ret har stillet, er nødvendigt for at løse tvisten. Det forekommer faktisk væsentligt at fastlægge omfanget af tilsynsmyndighedens beføjelser samt dens forpligtelser over for indgiveren af en klage. Anmodningen om præjudiciel afgørelse kan følgelig antages til realitetsbehandling.
C.
Om det præjudicielle spørgsmål
32.
Hvad angår realiteten sigter det præjudicielle spørgsmål i det væsentlige på at afgøre, hvilke forpligtelser tilsynsmyndigheden har, når der er konstateret et brud på persondatasikkerheden. Dette forudsætter generelt, at den pågældende overtrædelse er konstateret inden for rammerne af en undersøgelse, der er indledt efter en klage.
33.
Den forelæggende rets udtalelser viser nogle unøjagtigheder for så vidt angår de forpligtelser, som databeskyttelsesforordningen pålægger tilsynsmyndigheden ved behandlingen af en klage, hvilket efter min vurdering skal forklares med, at anmodningen om præjudiciel afgørelse blev indgivet, før der blev afsagt dom i SCHUFA-sagen (
6
), hvori Domstolen fastslog en række vigtige principper for klageproceduren. Vi kan således med rimelighed antage, at retten ikke havde mulighed for at få kendskab til denne retspraksis.
34.
For på den mest fuldstændige måde at præsentere den retlige ramme vedrørende den tilsynsordning, der er etableret i databeskyttelsesforordningen, og for at give et brugbart svar til den forelæggende ret forekommer det mig væsentligt for det første at minde om, hvilke principper der gælder for klageproceduren (
7
), og for det andet at forklare, hvordan en tilsynsmyndighed skal forholde sig, når den har identificeret et brud på persondatasikkerheden (
8
).
1. Tilsynsmyndighedens forpligtelser ved behandlingen af en klage
35.
Som Domstolen fastslog i SCHUFA-dommen, er de nationale tilsynsmyndigheder i overensstemmelse med chartrets artikel 8, stk. 3, og databeskyttelsesforordningens artikel 51, stk. 1, og artikel 57, stk. 1, litra a), ansvarlige for at føre tilsyn med overholdelsen af EU-reglerne om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (
9
).
36.
Navnlig skal hver tilsynsmyndighed på sit område i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), behandle de klager, som enhver registreret i henhold til denne forordnings artikel 77, stk. 1, har ret til at indgive, når den pågældende finder, at en behandling af personoplysninger vedrørende vedkommende overtræder den nævnte forordning, og, for så vidt det er nødvendigt, undersøge genstanden for klagen (
10
).
37.
Tilsynsmyndigheden skal behandle en sådan klage med den fornødne omhu. Domstolen har ligeledes fastslået, at databeskyttelsesforordningens artikel 58, stk. 1, med henblik på behandlingen af de indgivne klager tillægger hver tilsynsmyndighed væsentlige undersøgelsesbeføjelser (
11
).
38.
Det skal i den forbindelse påpeges, at Domstolen støttede den fortolkning, som jeg argumenterede for i mit forslag til afgørelse i SCHUFA-sagen, hvorefter klageproceduren, der ikke er en andragendelignende procedure, er tænkt som en mekanisme, der er egnet til effektivt at beskytte de registreredes rettigheder og interesser (
12
).
39.
Det skal desuden fastslås, at Domstolen ligeledes delte min fortolkning af databeskyttelsesforordningens artikel 78, stk. 1, hvorefter en klageafgørelse, der er vedtaget af en tilsynsmyndighed, er underlagt en fuldstændig domstolsprøvelse (
13
).
2. Tilsynsmyndighedens forpligtelse ved konstatering af et brud på persondatasikkerheden
40.
Hvis tilsynsmyndigheden konstaterer et brud på persondatasikkerheden i forbindelse med behandlingen af en klage, er spørgsmålet, hvordan myndigheden skal agere. Som jeg vil forklare nedenfor, medfører en sådan konstatering en pligt til, for tilsynsmyndigheden, at handle af hensyn til legalitetsprincippet. Helt generelt handler det om at udpege den mest hensigtsmæssige korrigerende foranstaltning for at imødegå overtrædelsen (
14
). Denne fortolkning giver i min optik mening, idet databeskyttelsesforordningens artikel 57, stk. 1, litra a), giver myndigheden beføjelse til at »føre tilsyn med [denne forordning]« og at »håndhæve anvendelsen af [den]«. Det ville ikke være i overensstemmelse med denne beføjelse, hvis tilsynsmyndigheden blot kunne ignorere den konstaterede overtrædelse (
15
).
41.
Desuden ville de undersøgelsesbeføjelser, som tilsynsmyndigheden råder over i henhold til databeskyttelsesforordningens artikel 58, stk. 1, ikke være meget værd, hvis tilsynsmyndigheden var begrænset til kun at kunne foretage en undersøgelse til trods for, at der var konstateret et brud på persondatasikkerheden. Gennemførelsen af EU-retten for så vidt angår beskyttelse af persondata udgør en væsentlig del af begrebet »kontrol« som omhandlet i artikel 16, stk. 2, TEUF og i chartrets artikel 8, stk. 3 (
16
). Det må i den forbindelse ikke glemmes, at tilsynsmyndigheden også handler i den persons eller enheds interesse, hvis rettigheder er blevet krænket. Det skal i den forbindelse påpeges, at databeskyttelsesforordningens artikel 57, stk. 1, litra f), og artikel 77, stk. 2, fastsætter visse forpligtelser for myndigheden over for klageren, nemlig at »underrette [den pågældende] om forløbet og resultatet af undersøgelsen«.
42.
Denne sidste sætning indebærer, at tilsynsmyndigheden også skal underrette om de foranstaltninger, der er truffet med henblik på at afhjælpe det konstaterede brud på persondatasikkerheden. Det er indlysende, at klageproceduren ikke ville være til nogen nytte, hvis tilsynsmyndigheden kunne forholde sig passivt over for en retlig situation, der er i strid med EU-retten. Dette er grunden til, at databeskyttelsesforordningens artikel 58, stk. 2, for at give tilsynsmyndigheden et effektivt middel til at håndtere denne type overtrædelser indeholder en samling af korrigerende foranstaltninger, oplistet efter indgrebets strenghed. Forpligtelsen til at gribe ind i alle tilfælde, uanset hvor alvorlig overtrædelsen er, betyder, at tilsynsmyndigheden skal anvende denne samling af korrigerende foranstaltninger for at genoprette en situation i overensstemmelse med EU-retten (
17
).
3. Tilsynsmyndighedens beføjelser til at fastsætte korrigerende foranstaltninger
43.
Når det er sagt, skal det præciseres, at spørgsmålet om, hvorvidt myndigheden skal gribe ind ved brud på persondatasikkerheden, tydeligt skal adskilles fra spørgsmålet om, hvordan myndigheden helt konkret skal handle. For så vidt angår det sidste spørgsmål kan det ud fra flere elementer udledes, at tilsynsmyndigheden råder over et vist skøn, der skal udøves i henhold til databeskyttelsesforordningens mål og begrænsninger. Selv om jeg allerede i SCHUFA-sagen (
18
) har fremsat nogle af disse argumenter til støtte for en sådan fortolkning, er det tilsyneladende nødvendigt at gennemgå spørgsmålet mere dybdegående i dette forslag til afgørelse.
44.
Det skal indledningsvis anføres, at tilsynsmyndigheden i medfør af databeskyttelsesforordningens artikel 58, stk. 2, »har« alle af de korrigerende beføjelser, der er oplistet i denne bestemmelse, hvilket betyder, at der eksisterer en mulighed for at handle, som den forelæggende ret med rette har gjort gældende. Desuden findes denne konnotation i alle de sprogversioner, som jeg har undersøgt i forbindelse med min analyse (
19
).
45.
Databeskyttelsesforordningens artikel 58, stk. 2, skal fortolkes i lyset af 129. betragtning til forordningen, hvoraf det følger, at »hver foranstaltning [skal] […] være passende, nødvendig og forholdsmæssig for at sikre overholdelse af denne forordning, idet der tages hensyn til omstændighederne i hver enkelt sag« (min fremhævelse). Med andre ord er den »beføjelse«, der er tildelt tilsynsmyndigheden, til at bruge den samling af korrigerende foranstaltninger, der er oplistet i denne bestemmelse, underlagt en række betingelser, navnlig at den af tilsynsmyndigheden fastsatte foranstaltning skal være »passende«. Jeg fortolker dette ubestemte retlige begreb, der giver myndigheden en skønsmargen, således, at den valgte foranstaltning på grund af dens kvaliteter og anvendelsesmåde skal kunne genoprette en situation i overensstemmelse med EU-retten (
20
).
46.
Denne fortolkning flugter med Domstolens praksis, hvoraf det fremgår, at når en tilsynsmyndighed i forbindelse med sin undersøgelse konstaterer, at en behandling af personoplysninger udgør et brud på databeskyttelsesforordningen, »har den pligt til at reagere på en passende måde med henblik på at afhjælpe det konstaterede utilstrækkelige beskyttelsesniveau« (
21
). Som Kommissionen har påpeget, vedrører den forpligtelse, der er bindende for tilsynsmyndigheden, derfor først og fremmest det resultat, der skal opnås, nemlig at afhjælpe det konstaterede brud ved at træffe den foranstaltning, der er »passende« til dette formål. Det skal endvidere fastslås, at beslutningen vedrørende den foranstaltning, der skal træffes, afhænger af de konkrete omstændigheder i hver sag, som det fremgår af databeskyttelsesforordningens førnævnte 129. betragtning. De afgørelser, som tilsynsmyndigheden træffer i forbindelse med sin administrative praksis, kan derfor variere betydeligt fra sag til sag afhængigt af situationen.
47.
For så vidt som databeskyttelsesforordningens artikel 58, stk. 2, er begrænset til at fastslå, at hver tilsynsmyndighed »råder over beføjelser« til at fastsætte alle de korrigerende foranstaltninger, der er oplistet i bestemmelsen, råder tilsynsmyndigheden over en skønsmargen, idet den i princippet frit kan vælge mellem disse foranstaltninger til at afhjælpe det konstaterede brud. Som Domstolen fremhævede det i dommen i sag C-311/18 (Facebook Ireland og Schrems), »er [det] op til tilsynsmyndigheden at vælge det middel, som er hensigtsmæssigt og nødvendigt«, og myndigheden skal foretage dette valg under hensyntagen til samtlige omstændigheder i den konkrete sag (
22
).
48.
Anerkendelsen af en skønsbeføjelse omfatter efter min opfattelse også beføjelsen til ikke at fastsætte nogen af de korrigerende foranstaltninger, der er nævnt i databeskyttelsesforordningens artikel 58, stk. 2, når en sådan tilgang er begrundet i den konkrete sags særlige omstændigheder. Da anvendelsen af listen af korrigerende foranstaltninger også er betinget af, at den pågældende foranstaltning er »nødvendig« for at sikre overholdelse af databeskyttelsesforordningen, kan det faktisk ikke udelukkes, at en konkret indgriben fra tilsynsmyndighedens side ikke opfylder denne betingelse, f.eks. hvis problemet i mellemtiden er løst eller afhjulpet, og overtrædelsen ikke længere eksisterer. Det er indlysende, at indgreb fra tilsynsmyndigheden under sådanne omstændigheder ville være meningsløst.
49.
På samme måde som den portugisiske regering med rette har påpeget, kan det ikke længere være berettiget at anvende korrigerende foranstaltninger, hvis graden af forkastelighed af den dataansvarliges eller databehandlerens adfærd er åbenbart lav, eller hvis omstændighederne i sagen i sig selv er formildende, navnlig hvis der er en vis ansvarsdeling med klageren. Dette forudsætter dog, at tilsynsmyndigheden har mulighed for at sætte en tærskel, under hvilken et indgreb ikke anses for værende »nødvendigt« i databeskyttelsesforordningens forstand.
50.
Jeg vil i denne sammenhæng gerne lede opmærksomheden hen på databeskyttelsesforordningens 141. betragtning, som udtrykkeligt nævner muligheden for, at tilsynsmyndigheden beslutter ikke at handle i de tilfælde, hvor myndigheden vurderer, at en handling ikke er »nødvendig« for at sikre beskyttelsen af den registreredes rettigheder (»hvis myndigheden ikke handler, hvis handling er nødvendig«) (min fremhævelse). Denne betragtning præciserer, at tilsynsmyndighedens afgørelse er genstand for domstolsprøvelse også i tilfælde af, at klageren ikke deler tilsynsmyndighedens vurdering for så vidt angår »nødvendigheden« af at handle, foruden de andre oplistede tilfælde, altså når klagerens rettigheder i henhold til denne forordning er blevet krænket, eller hvis tilsynsmyndigheden ikke reagerer på en klage, delvist eller helt afslår eller afviser den.
51.
Den skønsmæssige beføjelse, der er givet tilsynsmyndigheden i henhold til databeskyttelsesforordningens artikel 58, stk. 2, indebærer, at det også er muligt at afhjælpe mindre overtrædelser med andre foranstaltninger, som den dataansvarlige selv fastsætter. Som omstændighederne i denne sag viser, kan korrigerende foranstaltninger, der »selvstændigt« skal fastsættes af ansvarlige virksomheder, bestå i vedtagelse af disciplinære foranstaltninger mod medarbejdere, der har begået lovovertrædelser. I tilfælde, hvor ansvaret for bruddet er blevet anerkendt, og hvor det er blevet sikret, at der ikke vil ske yderligere databrud, kan det virke unødvendigt for tilsynsmyndigheden at fastsætte yderligere korrigerende foranstaltninger.
52.
Under visse omstændigheder kan det endda virke kontraproduktivt at bruge beføjelsen til at fastsætte korrigerende foranstaltninger over for en dataansvarlig, når dette hverken er passende eller nødvendigt. Hvis tilsynsmyndigheden var forpligtet til at bruge sine beføjelser til at fastsætte korrigerende foranstaltninger som omhandlet i databeskyttelsesforordningens artikel 58, stk. 2, ved hvert tilfælde af brud, ville det medføre færre ressourcer til andre sager og opgaver, som ud fra et databeskyttelsessynspunkt fortjener mere opmærksomhed. Derfor mener jeg, at brugen af »selvstændige« foranstaltninger fastsat af den dataansvarlige selv vil gøre det muligt for tilsynsmyndigheden at koncentrere sig om alvorlige sager, der bør prioriteres, samtidig med at der sikres en kontinuerlig, men decentral bekæmpelse af brud på persondatasikkerheden, nemlig ved en delvis delegering af myndighedens opgaver.
53.
Hvis tilsynsmyndigheden vælger at afstå fra at anvende korrigerende foranstaltninger som omhandlet i databeskyttelsesforordningens artikel 58, stk. 2, samtidig med at den favoriserer brugen af »selvstændige« foranstaltninger fastsat af den dataansvarlige, forekommer det mig imidlertid ufravigeligt at respektere visse lovkrav. For det første bør tilsynsmyndigheden give sit udtrykkelige samtykke til en sådan foranstaltning for at undgå enhver omgåelse af databeskyttelsesforordningens overvågningsordning. For det andet bør der forud for dette samtykke foretages en grundig undersøgelse af situationen for så vidt angår de betingelser, der fremgår af databeskyttelsesforordningens 129. betragtning, for ikke at fritage tilsynsmyndigheden for dens ansvar for at sikre overholdelse af forordningen. For det tredje bør aftalen med den enhed, der skal gennemføre den »selvstændige« foranstaltning, fastslå, at tilsynsmyndigheden kan gribe ind, hvis dens instruktioner ikke overholdes. Såfremt Domstolen skulle følge denne fortolkning og vurdere, at sådanne »selvstændige« foranstaltninger principielt er i overensstemmelse med databeskyttelsesforordningen, er det min vurdering, at Domstolen ligeledes bør understrege behovet for, at de ovennævnte betingelser overholdes af hensyn til overvågningsordningens sammenhæng.
54.
Da databeskyttelsesforordningens artikel 58, stk. 2, anerkender, at tilsynsmyndigheden har en skønsbeføjelse med hensyn til valget af den »passende« korrigerende foranstaltning i det konkrete tilfælde, er det logisk at udelukke enhver ret for klageren til at kræve, at en specifik foranstaltning fastsættes. Selv om klageren har visse rettigheder med hensyn til tilsynsmyndigheden inden for rammerne af denne procedure, navnlig retten til at blive underrettet om forløbet og resultatet af undersøgelsen inden for en rimelig frist, omfatter disse dog ikke retten til at kræve, at en bestemt foranstaltning fastsættes.
55.
En sådan rettighed kan heller ikke udledes af den omstændighed, at klageren har ret til et effektivt retsmiddel mod en tilsynsmyndighed i medfør af databeskyttelsesforordningens artikel 78, da denne myndigheds hovedforpligtelse med hensyn til klageren i forbindelse med klageproceduren består i på en tilstrækkelig præcis og detaljeret måde at begrunde sin beslutning om at gribe ind i sagen eller ej under hensyntagen til de konstateringer, der er gjort i forbindelse med myndighedens undersøgelse.
56.
Det skal endvidere påpeges, at der i overensstemmelse med databeskyttelsesforordningens artikel 78, stk. 2, er adgang til effektive retsmidler, hvis den kompetente tilsynsmyndighed ikke behandler en klage eller undlader at underrette den registrerede om forløbet eller resultatet af en klage, der er indgivet i henhold til denne forordnings artikel 77, inden for tre måneder. Det skal dog anføres, at ingen af de nævnte begrundelser peger på, at den registrerede inden for rammerne af et retsmiddel har nogen subjektiv ret til at anmode om, at en konkret foranstaltning fastsættes.
57.
Det samme gælder den mulighed, der er anført i databeskyttelsesforordningens 141. betragtning, for ved retslige skridt at anfægte tilsynsmyndighedens vurdering af »nødvendigheden« af en handling til beskyttelse af den registreredes rettigheder. Selv hvis den kompetente ret i sidste ende skulle fastslå, at det var »nødvendigt« at gribe ind i en bestemt sag, betyder det ikke nødvendigvis, at tilsynsmyndigheden skulle have fastsat en bestemt foranstaltning. Sidstnævnte ville snarere være forpligtet til at udøve sin skønsbeføjelse, hvor det er relevant, under hensyntagen til den vurdering, som denne ret har foretaget.
58.
Når det er sagt, skal det påpeges, at det også kan tænkes, at tilsynsmyndigheden i sin egenskab af administrativ myndighed tvinges til at vedtage en bestemt foranstaltning på grund af de særlige omstændigheder i en given sag, navnlig når der er en alvorlig risiko for overtrædelse af den registreredes grundlæggende rettigheder. Jeg nævnte netop dette scenario i mit forslag til afgørelse i SCHUFA-sagen (
23
). Nærværende anmodning om præjudiciel afgørelse giver således anledning til at se nærmere på dette emne.
59.
Der skal i denne forbindelse først og fremmest henvises til dommen i sag C-311/18 (Facebook Ireland og Schrems), hvori Domstolen antydede, at et sådant scenario faktisk kunne eksistere. Mere konkret fastslog Domstolen, at tilsynsmyndigheden i givet fald er forpligtet til at træffe visse af de foranstaltninger, der er anført i databeskyttelsesforordningens artikel 58, stk. 2, og særligt når myndigheden vurderer, at den af EU-retten påkrævede beskyttelse ikke kan sikres med andre midler. Derfor er tilsynsmyndighedens skønsbeføjelse i dette omfang begrænset til visse eller i givet fald en af de foranstaltninger, der er oplistet i denne bestemmelse (
24
).
60.
Som den østrigske regering med rette har anført, kan der findes flere lignende tilfælde, der kræver, at en bestemt korrigerende foranstaltning vedtages, som f.eks. når tilsynsmyndigheden i forbindelse med en klage konstaterer, at der er pligt til at slette oplysninger, og at den dataansvarlige endnu ikke har slettet oplysningerne. I den beskrevne situation vil tilsynsmyndigheden i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra g), under alle omstændigheder være forpligtet til at give påbud om sletning.
61.
De eksempler, der fremgår af punkterne ovenfor, viser, at det ikke kan udelukkes, at genoprettelse af en situation i overensstemmelse med EU-retten, afhængigt af omstændighederne i den konkrete sag, kun kan opnås ved at vedtage en specifik korrigerende foranstaltning. Jeg antager særligt, at tilsynsmyndighedens skønsbeføjelse i de tilfælde, hvor der ellers ville være en risiko for en alvorlig overtrædelse af den registreredes rettigheder, vil kunne begrænses til vedtagelse af den eneste passende foranstaltning til beskyttelse af den pågældendes rettigheder.
62.
Enhver anden fortolkning ville efter min opfattelse være uforenelig med forpligtelsen til at garantere overholdelsen af chartrets grundlæggende rettigheder, som medlemsstaternes myndigheder i henhold til chartrets artikel 51, stk. 1, er bundet af, når de gennemfører EU-retten. Denne forpligtelse påhviler også tilsynsmyndighederne, således som det følger af databeskyttelsesforordningens artikel 58, stk. 4 (
25
). Set fra denne vinkel er det rimeligt at støtte tesen om, at EU-retten giver den registrerede en subjektiv ret til at kræve, at myndigheden træffer den pågældende foranstaltning. Jeg vil dog understrege, at jeg i den foreliggende sag ikke ser nogen bevis for, at betingelserne for en sådan begrænsning af tilsynsmyndighedens skønsbeføjelse er opfyldt.
63.
Sammenfattende skal det erindres, at en tilsynsmyndighed, der modtager en klage i henhold til databeskyttelsesforordningens artikel 77, er forpligtet til, når den konstaterer en overtrædelse af den registreredes rettigheder, at handle på passende vis med henblik på at afhjælpe de konstaterede og vedvarende mangler og at sikre beskyttelsen af den registreredes rettigheder. Når tilsynsmyndigheden i denne forbindelse griber ind, er den forpligtet til blandt de beføjelser, der er nævnt i forordningens artikel 58, stk. 2, at vælge den passende, nødvendige og forholdsmæssige foranstaltning. Denne skønsmæssige beføjelse til at vælge midler er dog begrænset, når den nødvendige beskyttelse kun kan sikres ved at vedtage specifikke foranstaltninger.
4. Ingen forpligtelse for tilsynsmyndigheden til i alle tilfælde at pålægge administrative bøder
64.
Efter denne generelle udtalelse om tilsynsmyndighedens beføjelse til at vedtage korrigerende foranstaltninger skal spørgsmålet om, hvorvidt tilsynsmyndigheden i alle tilfælde er forpligtet til at pålægge administrative bøder, undersøges. Selv om nogle aspekter af dette spørgsmål kan afklares på grundlag af ovenstående betragtninger, forekommer det mig nødvendigt at forklare yderligere. Selv om EU-lovgiver har inkluderet administrative bøder blandt de »korrigerende foranstaltninger« som omhandlet i databeskyttelsesforordningens artikel 58, stk. 2, har disse dog nogle særlige karakteristika i forhold til de øvrige foranstaltninger. Derfor vil denne del af analysen fokusere på de specifikke bestemmelser, der er nævnt i forordningens artikel 58, stk. 2, litra i), og artikel 83.
65.
Som Domstolen for nyligt har fastslået, udgør de administrative bøder en del af den sanktionsordning, der er etableret i databeskyttelsesforordningen, og skaber et incitament for de dataansvarlige og databehandlerne til at overholde denne forordning. De administrative bøder bidrager på grund af deres afskrækkende virkning til at styrke beskyttelsen af fysiske personer i forbindelse med behandling af personoplysninger og udgør derfor et centralt element til at sikre overholdelsen af disse personers rettigheder i overensstemmelse med forordningens formål om at sikre et højt beskyttelsesniveau for sådanne personer i forbindelse med behandling af personoplysninger (
26
).
66.
Databeskyttelsesforordningens artikel 83 oplister en ordning i to niveauer, hvilket udtrykkeligt demonstrerer, at visse overtrædelser er værre end andre. Det første niveau omfatter overtrædelser af de bestemmelser, der regulerer ansvaret for de forskellige aktører (dataansvarlig, databehandler, certificeringsorganer mv.). Det andet niveau omfatter overtrædelser af individuelle rettigheder beskyttet af denne forordning, som f.eks. de grundlæggende rettigheder, de grundlæggende behandlingsprincipper, den registreredes ret til information, bestemmelserne om overførsel mv. Der skal på de to niveauer foretages to undersøgelser: den første for at afklare, om der skal pålægges en bøde, og den anden for at afklare størrelsen af den administrative bøde. I forbindelse med de to undersøgelser skal tilsynsmyndigheden tage hensyn til alle de konkrete faktorer, der er oplistet i forordningens artikel 83, stk. 2. Resultaterne af den første undersøgelse kan imidlertid anvendes i forbindelse med den anden undersøgelse vedrørende bødestørrelsen med henblik på at undgå at skulle foretage en ny undersøgelse på baggrund af de samme kriterier (
27
).
67.
Efter disse indledende forklaringer vil jeg nedenfor undersøge spørgsmålet om den eventuelle forpligtelse til at pålægge administrative bøder i alle tilfælde. I den forbindelse skal det indledningsvis anføres, at databeskyttelsesforordningens artikel 58, stk. 2, litra i), bestemmer, at tilsynsmyndigheden kan pålægge en administrativ bøde »afhængigt af omstændighederne i hvert enkelt tilfælde«. Denne bestemmelse skal læses sammenholdt med forordningens artikel 83, stk. 2, som ikke kun fastsætter samme begrænsning for anvendelsen af sådanne korrigerende foranstaltninger, men endda foreslår, at tilsynsmyndigheden kan undlade at gøre det (»når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde«) (min fremhævelse), hvis omstændighederne taler for en sådan tilgang. Denne formulering findes i mere eller mindre ens vendinger i andre sprogversioner (
28
). Sammenfattende indikerer ordlyden af databeskyttelsesforordningens artikel 83, stk. 2, selv, at der ikke er pligt til at pålægge en administrativ bøde i alle tilfælde.
68.
Det skal endvidere fastslås, at denne bestemmelse kræver, at tilsynsmyndigheden i hvert enkelt tilfælde tager hensyn til en række elementer for at afgøre, om det er hensigtsmæssigt at pålægge en administrativ bøde. Der er i det væsentlige tale om omstændigheder – skærpende og formildende – som har indflydelse på tilsynsmyndighedens afgørelse, såsom overtrædelsens karakter, alvor og varighed, men også omstændigheder knyttet til den behandlingsansvarliges adfærd, som f.eks. om overtrædelsen er begået forsætligt eller uagtsomt (
29
).
69.
I denne sammenhæng finder jeg anden og tredje sætning i databeskyttelsesforordningens 148. betragtning relevante i forbindelse med fortolkningen af forordningens artikel 83, stk. 2, for så vidt som sætningerne giver nogle indikationer på, hvad der bør tages hensyn til, når der træffes afgørelse. Denne betragtning indfører begrebet »mindre overtrædelse«, hvilket har store konsekvenser for tilsynsmyndighedens administrative praksis (
30
). Det kan bl.a. i betragtningen læses, at »[i] tilfælde af en mindre overtrædelse, eller hvis den bøde, der kunne blive pålagt, ville udgøre en uforholdsmæssig stor byrde for en fysisk person, kan der udstedes en irettesættelse i stedet for en bøde« (min fremhævelse).
70.
Efter min mening kan det heraf udledes, at EU-lovgiver var bevidst om, at en administrativ bøde udgør en særlig streng korrigerende foranstaltning, som ikke bør anvendes i alle tilfælde, men kun når omstændighederne i en bestemt sag kræver det, da den ellers ville blive undermineret. Databeskyttelsesforordningens 148. betragtning henviser faktisk til proportionalitetsprincippet, hvilket tilsynsmyndighederne skal respektere, når de anvender denne forordning konkret i forhold til sanktioner, herunder administrative bøder. Som jeg allerede har påpeget i min analyse, afspejles dette princip i forordningens 129. betragtning vedrørende fastsættelse af korrigerende foranstaltninger generelt (
31
). Den sanktionsordning, som lovgiver havde til hensigt at oprette, er derfor fleksibel og differentieret (
32
).
71.
Det følger af fortolkningen af nævnte artikel 83, stk. 2, læst i lyset af databeskyttelsesforordningens 148. betragtning, at vurderingen af kriterierne i denne bestemmelse, selv når der er konstateret en overtrædelse, kan medføre, at tilsynsmyndigheden vurderer, at overtrædelsen i den konkrete sag ikke medfører en høj risiko for eksempelvis den registreredes rettigheder, og at den ikke berører kernen af den pågældende forpligtelse. I sådanne tilfælde bliver bøden nogle gange, men ikke altid, erstattet af irettesættelse (
33
).
72.
Det skal dog præciseres, at denne 148. betragtning ikke forpligter tilsynsmyndigheden til automatisk at erstatte bøden med en irettesættelse i tilfælde af en mindre overtrædelse, men giver myndigheden mulighed for at gøre det ud fra en konkret vurdering af sagens omstændigheder. Endelig følger det af nævnte 148. betragtning, at tilsynsmyndigheden kan undlade at pålægge en bøde, selv om en sådan korrigerende foranstaltning a priori er nødvendig på grundlag af den vurdering, myndigheden har foretaget, hvis denne bøde udgør en uforholdsmæssig stor byrde for en fysisk person (
34
).
73.
De særlige omstændigheder i hver sag, som er omfattet af databeskyttelsesforordningens artikel 83, stk. 2, afgør i sidste ende, om der er grundlag for at pålægge en bøde, og i bekræftende fald bødestørrelsen. Alle disse betragtninger understøtter mit synspunkt, nemlig at denne beslutning i sidste ende udgør tilsynsmyndighedens skønsmæssige beslutning (
35
). Sidstnævnte er ansvarlig for på en samvittighedsfuld måde og i overensstemmelse med kravene i databeskyttelsesforordningen at udøve den skønsbeføjelse, den er tildelt. Begrænsningerne i denne skønsbeføjelse følger af de almindelige principper i EU-retten og i medlemsstaternes nationale lovgivning, navnlig princippet om ligebehandling. Dette medfører et behov for at udvikle en administrativ praksis for bødepålæggelse, hvorefter sammenlignelige sager behandles ens.
74.
Jeg vil også gerne anføre, sådan som det fremgår af databeskyttelsesforordningens 149. betragtning, at der i tilfælde af fastsættelse af flere økonomiske sanktioner af strafferetlig karakter også er en risiko for at bryde princippet om »ne bis in idem«, således som det er blevet fortolket af Domstolen. Dette princip udgør imidlertid en grundlæggende rettighed, som er beskyttet af chartrets artikel 50, og kan kun begrænses under strenge betingelser, i henhold til chartrets artikel 52. Med andre ord kan juridiske barrierer også forhindre pålæggelse af administrative bøder.
5. Ingen forpligtelse for tilsynsmyndigheden til at pålægge administrative bøder, selv om klageren udtrykkeligt kræver det
75.
Det sidste forhold, der skal vurderes, er, hvorvidt tilsynsmyndigheden er forpligtet til at pålægge administrative bøder, når klageren udtrykkeligt kræver det. Som jeg bemærkede det i forbindelse med undersøgelsen af, om anmodningen om præjudiciel afgørelse kan antages til realitetsbehandling, fremgår det af sagen, at TR havde anmodet HBDI om at gribe ind over for Sparkasse og pålægge den administrative bøder. TR havde til støtte for sin anmodning foretaget beregninger for at fastsætte størrelsen af de bøder, der skulle pålægges (
36
). Denne anmodning er efter alt at dømme baseret på det synspunkt, hvorefter en klager skulle have en subjektiv ret over for tilsynsmyndigheden til at anmode om, at en specifik foranstaltning fastsættes. Som jeg imidlertid vil forklare nedenfor, er det min vurdering, at der ikke er noget retsgrundlag for denne holdning.
76.
For det første har min analyse vist, at tilsynsmyndigheden har skønsbeføjelser til at vælge den passende foranstaltning i hvert enkelt tilfælde. Bortset fra særlige omstændigheder, der kan føre til en begrænsning af denne skønsbeføjelse, såsom alvoren af eller den vedvarende virkning af et brud på persondatasikkerheden, som efter min mening ikke er til stede i denne sag, opretholder tilsynsmyndigheden denne skønsbeføjelse. I betragtning af, at administrative bøder er blandt de korrigerende foranstaltninger, som tilsynsmyndigheden kan vedtage i henhold til databeskyttelsesforordningens artikel 58, stk. 2, er det logisk at udlede, at skønsbeføjelsen også omfatter disse. Det følger heraf, at der ikke er nogen forpligtelse til for tilsynsmyndigheden at handle i klagerens interesse ved at vedtage en specifik korrigerende foranstaltning.
77.
For det andet, selv om omstændighederne i den foreliggende sag måtte have været anderledes og således godtgjort, at en specifik korrigerende foranstaltning blev vedtaget, er det min vurdering, at man ikke ville kunne hævde, at det ville være nødvendigt at pålægge en administrativ bøde. Jeg finder, ligesom den østrigske regering, at der bør tages hensyn til de mål, der forfølges med de forskellige korrigerende foranstaltninger, der er oplistet i databeskyttelsesforordningens artikel 58, stk. 2, og navnlig med den administrative bøde. Mere konkret forekommer det mig, at denne bødes juridiske karakter er i strid med anerkendelsen af den registreredes subjektive rettigheder i den forstand, der fremgår ovenfor, da et af formålene med denne foranstaltning er at sanktionere adfærd, der anses for at være i strid med EU-retten. Det er min vurdering, at den administrative bøde på grund af sit strafferetlige formål, i det mindste i nogle situationer (
37
), og i betragtning af sanktionens strenghed, vil kunne få en strafferetlig karakter (
38
). Det påpeges, at retten til at straffe (»ius puniendi«) udelukkende tilhører staten og dens organer.
78.
I denne sammenhæng skal det fastslås, at databeskyttelsesforordningens artikel 83, stk. 1, bl.a. kræver, at bøder i hver enkelt sag er »effektive, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning«. Det er op til tilsynsmyndigheden, der handler på eget ansvar, at vurdere, hvorvidt den påtænkte bøde i en given sag opfylder disse betingelser. Det er op til myndigheden at afgøre, om det i en konkret sag er nødvendigt at anvende en bøde som middel. EU-lovgiver har til dette formål fastsat en detaljeret retlig ramme. Databeskyttelsesforordningens artikel 83 fastsætter således de generelle betingelser for at pålægge sådanne bøder, og disse suppleres af retningslinjerne vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med databeskyttelsesforordningen, der er udviklet af databeskyttelsesrådet i medfør af denne forordnings artikel 70, stk. 1, litra k). Det skal i den forbindelse påpeges, at det ikke ud fra disse regler og retningslinjer kan udledes, at klageren, hvis rettigheder er blevet krænket, har en særlig juridisk status, der giver den pågældende mulighed for at anmode tilsynsmyndigheden om at pålægge den krænkende part en administrativ bøde.
79.
Visse af de kriterier, der er omhandlet i databeskyttelsesforordningens artikel 83, stk. 2, som f.eks. omfanget af den lidte skade, tyder ganske vist på, at tilsynsmyndigheden også skal tage hensyn til den registreredes situation, når den træffer en beslutning. Disse kriterier er imidlertid ikke i sig selv tilstrækkelige til at fastslå, at der er en subjektiv ret til at anmode om, at der pålægges en bøde. Som det følger af en fortolkning af denne bestemmelse, læst i lyset af forordningens 75. betragtning, er formålet med de nævnte kriterier at give tilsynsmyndigheden nyttige værktøjer til at vurdere overtrædelsens karakter, alvor og varighed og vælge den passende korrigerende foranstaltning (
39
). Tilsynsmyndigheden kan derfor i hver enkelt sag overveje forskellige korrigerende foranstaltninger og ikke kun en administrativ bøde, uden at den registrerede kan kræve, at en konkret foranstaltning vedtages. Det er alene op til tilsynsmyndigheden at afgøre, om det er hensigtsmæssigt at træffe en foranstaltning med henblik på at genoprette overholdelsen af reglerne eller at sanktionere ulovlig adfærd.
80.
For det tredje kan den omstændighed, at EU-lovgiver, med inspiration fra de beføjelser, som Kommissionen har inden for konkurrenceretten, har defineret tilsynsmyndighedens rolle i databeskyttelsesforordningens bødeordning, ikke føre til en anden konklusion (
40
). Det skal i den forbindelse erindres, at Kommissionens kompetence til at pålægge bøder til virksomheder, der begår lovovertrædelser som omhandlet i artikel 101 TEUF og 102 TEUF, er et af de midler, denne institution har fået tildelt, for at den kan udføre sin tilsynsopgave ifølge EU-retten (
41
). Det skal dog anføres, at Kommissionen har en skønsbeføjelse, som kun er begrænset af overholdelsen af de generelle retsprincipper i EU-retten, herunder proportionalitetsprincippet og ligebehandlingsprincippet (
42
). Det skal endvidere anføres, at forordning (EF) nr. 1/2003 om gennemførelse af konkurrencereglerne (
43
)ikke fastsætter nogen ret til at kræve, at der pålægges bøder i medfør af forordningens artikel 23, for klagere eller tredjemand, hvis interesser kan være berørt af en afgørelse, der er truffet i forbindelse med administrativ procedure indledt af Kommissionen (
44
), idet sidstnævnte i henhold til denne forordnings artikel 27 alene er forpligtet til at høre parterne inden vedtagelsen af en sanktion.
81.
På grundlag af de gennemgåede elementer er det min vurdering, at det på det nuværende stadie af EU-rettens udvikling ikke er muligt at fastslå, at en klager, hvis rettigheder er blevet overtrådt, har en subjektiv ret til at anmode om, at der pålægges en administrativ bøde. Dette berører ikke muligheden for at foreslå, at en sådan korrigerende foranstaltning vedtages, og fremlægge argumenter og beviser til støtte for sit synspunkt. Den endelige afgørelse falder dog inden for tilsynsmyndighedens skønsbeføjelse.
D.
Sammenfatning af vurderingen af det præjudicielle spørgsmål
82.
Det følger af ovenstående analyse, at tilsynsmyndigheden har pligt til at gribe ind, når den konstaterer et brud på persondatasikkerheden i forbindelse med behandlingen af en klage. Navnlig er myndigheden forpligtet til at fastsætte den eller de mest passende foranstaltninger med henblik på at afhjælpe overtrædelsen og respektere den registreredes rettigheder. Databeskyttelsesforordningen kræver i den forbindelse, alt imens den overlader en vis skønsbeføjelse til tilsynsmyndigheden, at disse foranstaltninger er passende, nødvendige og forholdsmæssige. Under visse betingelser kan tilsynsmyndigheden give afkald på de foranstaltninger, der er omhandlet i databeskyttelsesforordningens artikel 58, stk. 2, til fordel for »selvstændige« foranstaltninger, som den dataansvarlige selv træffer. Under alle omstændigheder har den registrerede ikke ret til at kræve, at der træffes en konkret foranstaltning. Disse principper gælder også for ordningen for administrative bøder.
VI. Forslag til afgørelse
83.
På baggrund af ovenstående betragtninger foreslår jeg Domstolen at besvare det af Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland) forelagte præjudicielle spørgsmål som følger:
»Artikel 57, stk. 1, litra a) og f), og artikel 58, stk. 2, litra a)-j), i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), sammenholdt med forordningens artikel 77, stk. 1,
skal fortolkes således, at
hvis tilsynsmyndigheden konstaterer en databehandling, hvorved en registreret persons rettigheder er blevet krænket, skal myndigheden gribe ind i henhold til artikel 58, stk. 2, i forordning 2016/679 i det omfang, dette er nødvendigt for at sikre fuld overholdelse af denne forordning. Myndigheden er i denne henseende forpligtet til, under hensyntagen til omstændighederne i hver enkelt sag, at vælge det middel, der er passende, nødvendigt og forholdsmæssigt, navnlig med henblik på at afhjælpe overtrædelsen og respektere den registreredes rettigheder.«
(
1
) – Originalsprog: fransk.
(
2
) – EUT 2016, L 119, s. 1.
(
3
) – Forslag til afgørelse SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, EU:C:2023:222).
(
4
) – Jf. dom af 10.12.2020, J & S Service (C-620/19, EU:C:2020:1011, præmis 31 og den deri nævnte retspraksis).
(
5
) – Jf. dom af 14.7.2022, Sense Visuele Communicatie en Handel vof (C-36/21, EU:C:2022:556, præmis 22 og den deri nævnte retspraksis).
(
6
) – Dom af 7.12.2023, SCHUFA Holding (Gældssanering) (C-26/22 og C-64/22, herefter »SCHUFA-dommen«, EU:C:2023:958).
(
7
) – Jf. punkt 35-39 i dette forslag til afgørelse.
(
8
) – Jf. punkt 40 ff. i dette forslag til afgørelse.
(
9
) – SCHUFA-dommen (præmis 55).
(
10
) – SCHUFA-dommen (præmis 56).
(
11
) – SCHUFA-dommen (præmis 56 og 57).
(
12
) – SCHUFA-dommen (præmis 58).
(
13
) – SCHUFA-dommen (præmis 70).
(
14
) – Jf. »Retningslinjer vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med [databeskyttelsesforordningen]« fra Artikel 29-gruppen vedrørende databeskyttelse, vedtaget den 3.10.2017, s. 5 (herefter »Retningslinjer vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med databeskyttelsesforordningen«). Denne arbejdsgruppe er senere blevet erstattet af Det Europæiske Databeskyttelsesråd (herefter »databeskyttelsesrådet«). Retningslinjerne er dog fortsat gyldige.
(
15
) – Jf. i denne retning J. Chamberlain og J. Reichel, »The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation«, Mississippi Law Journal, 2020, bind 89(4), s. 686, som tager udgangspunkt i de førnævnte retningslinjer.
(
16
) – H. Hijmans, »Article 57. Tasks«, i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 934.
(
17
) – Jf. i denne retning N. Härting, C. Flisek og L. Thiess, »DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers«, Computer und Recht, 5/2018, s. 299.
(
18
) – Jf. mit forslag til afgørelse i SCHUFA-sagen, punkt 41 ff.
(
19
) – Jf. udgaverne på spansk (»dispondrá de […] los […] poderes correctivos«), dansk (»har […] korrigerende beføjelser«), tysk (»verfügt über […] Abhilfebefugnisse, die es ihr gestatten«), estisk (»on […] parandusvolitused«), engelsk (»shall have […] corrective powers«), italiensk (»ha […] i poteri correttivi«), nederlandsk (»heeft […] bevoegdheden tot het nemen van corrigerende maatregelen«), polsk (»przysługują […] uprawnienia naprawcze«), portugisisk (»dispõe dos […] poderes de correção«) og svensk (»ska ha […] korrigerande befogenheter«).
(
20
) – Jf. i denne retning N. Härting, C. Flisek og L. Thiess, »DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers«, Computer und Recht, 5/2018, s. 299.
(
21
) – Jf. SCHUFA-dommen (præmis 57) og dom af 16.7.2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559, præmis 111). Min fremhævelse.
(
22
) – Dom af 16.7.2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559, præmis 112). Min fremhævelse.
(
23
) – Jf. punkt 42 i det nævnte forslag til afgørelse.
(
24
) – Dom af 16.7.2020, Facebook Ireland og Schrems (C-311/18, EU:C:2020:559, præmis 113). Domstolen fastslog, at tilsynsmyndigheden i henhold til databeskyttelsesforordningens artikel 58, stk. 2, litra f) og j), har pligt til at suspendere eller forbyde en overførsel af personoplysninger til et tredjeland, såfremt den i lyset af samtlige de omstændigheder, der kendetegner denne overførsel, finder, at standardbestemmelserne om databeskyttelse ikke er overholdt eller ikke kan overholdes i dette tredjeland, og at det ikke er muligt ved andre midler at sikre den beskyttelse af de overførte oplysninger, som kræves efter EU-retten, hvis den dataansvarlige eller dennes databehandler, som er etableret i Unionen, ikke selv har suspenderet overførslen eller bragt den til ophør.
(
25
) – Jf. i denne retning L. Georgieva og M. Schmidl, »Article 58. Powers«, i C. Kuner, L.A. Bygrave og C. Docksey (red.), The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 945.
(
26
) – Jf. dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:949, præmis 78).
(
27
) – Jf. »Retningslinjer vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med [databeskyttelsesforordningen]«, s. 9.
(
28
) – Jf. versionerne på spansk (»Al decidir la imposición«), dansk (»Når der træffes afgørelse om, hvorvidt der skal pålægges«), tysk (»Bei der Entscheidung über die Verhängung«), estisk (»Otsustades igal konkreetsel juhul«), engelsk (»When deciding whether to impose«), italiensk (»Al momento di decidere se infliggere«), nederlandsk (»Bij het besluit over de vraag of […] wordt opgelegd«), polsk (»Decydując, czy nałożyć«), portugisisk (»Ao decidir sobre a aplicação«) og svensk (»Vid beslut om huruvida […] ska påföras«).
(
29
) – Jf. i denne retning dom af 5.12.2023, Deutsche Wohnen (C-807/21, EU:C:2023:950, præmis 61 ff.).
(
30
) – Dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:949, præmis 76).
(
31
) – Jf. punkt 45 i dette forslag til afgørelse.
(
32
) – Jf. generaladvokat Emilious forslag til afgørelse Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:376, punkt 78), hvori han forklarer, at EU-lovgiver ved vedtagelsen af databeskyttelsesforordningen ikke tilsigtede, at alle overtrædelser af databeskyttelsesreglerne skulle straffes med en administrativ bøde.
(
33
) – Jf. »Retningslinjer vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med [databeskyttelsesforordningen]«, s. 9.
(
34
) – Jf. »Retningslinjer vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med [databeskyttelsesforordningen]«, s. 9.
(
35
) – C. Holländer, Beck’scher Online-Kommentar Datenschutzrecht (Wolff/Brink/Ungern-Sternberg), 46. udgave, München 2017, databeskyttelsesforordningens artikel 83, punkt 22, E. Frenzel, Datenschutz-Grundverordnung Kommentar (Paal/Pauly/Frenzel), 3. udgave, München 2021, databeskyttelsesforordningens artikel 83, punkt 8-12, hvori det fremgår, at tilsynsmyndigheden har en skønsbeføjelse og derfor ikke er forpligtet til at pålægge en administrativ bøde i alle tilfælde.
(
36
) – Jf. punkt 30 i dette forslag til afgørelse.
(
37
) – Det fremgår af retningslinjerne vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med databeskyttelsesforordningen (s. 6), at administrative bøder er »korrigerende foranstaltninger« hvis mål kan være »at sikre overholdelsen af reglerne og/eller at straffe ulovlig adfærd«. Min fremhævelse.
(
38
) – Jeg gør opmærksom på, at tre kriterier er relevante for bedømmelsen af, om sanktioner har strafferetlig karakter: Det første e den retlige kvalificering af lovovertrædelsen i national ret, det andet vedrører selve lovovertrædelsens art, og det tredje angår karakteren og strengheden af den sanktion, som den pågældende risikerer at blive pålagt (jf. dom af 5.6.2012, Bonda, C-489/10, EU:C:2012:319, præmis 37, og dom af 2.2.2021, Consob, C-481/19, EU:C:2021:84, præmis 42); jf. ligeledes Menneskerettighedsdomstolens dom af 8.6.1976, Engel m.fl. mod Nederlandene, CE:ECHR:1976:0608JUD000510071, § 82. Alle disse kriterier behøver ikke være opfyldt, for at en bøde kan anses for at have strafferetlig karakter (jf. i denne retning generaladvokat Bots forslag til afgørelse ThyssenKrupp Nirosta mod Kommissionen, C-352/09 P, EU:C:2010:635, punkt 50 og den deri nævnte retspraksis).
(
39
) – Jf. retningslinjerne vedrørende anvendelse og fastsættelse af administrative bøder i overensstemmelse med databeskyttelsesforordningen (s. 11), hvoraf det fremgår dels, at tilsynsmyndigheden i forbindelse med »sit valg af korrigerende foranstaltning« skal tage hensyn til skadeniveauet, hvilket ikke udelukker, at der fastsættes andre korrigerende foranstaltninger end en administrativ bøde. Dels fremgår det af retningslinjerne, at »pålæggelsen af en bøde [ikke] afhænger […] af tilsynsmyndighedens evne til at fastlægge en årsagsforbindelse mellem overtrædelsen og det materielle tab«. Det følger heraf, at beslutningen om at pålægge en administrativ bøde afhænger af hver enkelt sag og ikke kun af, om der er en skade.
(
40
) – Jf. i denne retning generaladvokat Emilious forslag til afgørelse Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:376, punkt 84), som fremhæver lighederne mellem de to ordninger. Jf. også dom af 5.12.2023, Deutsche Wohnen (C-807/21, EU:C:2023:950, præmis 55 ff.).
(
41
) – Jf. i denne retning dom af 11.6.2009, X (C-429/07, EU:C:2009:359, præmis 35 og den deri nævnte retspraksis).
(
42
) – Generaladvokat Kokotts forslag til afgørelse Alliance One International og Standard Commercial Tobacco mod Kommissionen og Kommissionen mod Alliance One International m.fl. (C-628/10 P og C-14/11 P, EU:C:2012:11, punkt 48 og den deri nævnte retspraksis).
(
43
) – Rådets forordning af 16.12.2002 om gennemførelse af konkurrencereglerne i traktatens artikel 81 og 82 (EFT 2003, L 1, s. 1).
(
44
) – Jf. i denne retning W. Wils, »Procedural rights and obligations of third parties in antitrust investigation and proceedings by the European Commission«, Concurrences, nr. 2-2022, s. 50.