62021CJ0768
ROZSUDOK SÚDNEHO DVORA (prvá komora)
z 26. septembra 2024 (
*1
)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 57 ods. 1 písm. a) a f) – Úlohy dozorného orgánu – Článok 58 ods. 2 – Nápravné opatrenia – Správna pokuta – Miera voľnej úvahy dozorného orgánu – Hranice“
Vo veci C‑768/21,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko) z 10. decembra 2021 a doručený Súdnemu dvoru 14. decembra 2021, ktorý súvisí s konaním:
TR
proti
Land Hessen,
SÚDNY DVOR (prvá komora),
v zložení: predseda prvej komory A. Arabadžiev, sudcovia T. von Danwitz, P. G. Xuereb, A. Kumin (spravodajca) a I. Ziemele,
generálny advokát: P. Pikamäe,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
–
TR, v zastúpení: F. Wittmaack, Rechtsanwalt,
–
Land Hessen, v zastúpení: M. Kottmann a G. Ziegenhorn, Rechtsanwälte,
–
rakúska vláda, v zastúpení: J. Schmoll a M.‑T. Rappersberger, splnomocnené zástupkyne,
–
portugalská vláda, v zastúpení: P. Barros da Costa, M. J. Ramos a C. Vieira Guerra, splnomocnené zástupkyne,
–
rumunská vláda, v zastúpení: L.‑E. Baţagoi a E. Gane, splnomocnené zástupkyne,
–
nórska vláda, v zastúpení: S.‑E. Jahr Dahl, L.‑M. Moen Jünge a M. Munthe‑Kaas, splnomocnení zástupcovia,
–
Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,
po vypočutí návrhov generálneho advokáta 11. apríla 2024,
vyhlásil tento
Rozsudok
1
Návrh na začatie prejudiciálneho konania sa týka výkladu článku 57 ods. 1 písm. a) a f), článku 58 ods. 2, ako aj článku 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
2
Tento návrh bol podaný v rámci sporu medzi TR a Land Hessen (spolková krajina Hesensko, Nemecko) vo veci toho, že Hessischer Beauftragte für Datenschutz und Informationsfreiheit (hesenský splnomocnenec na ochranu údajov a slobodný prístup k informáciám, Nemecko) (ďalej len „HBDI“) neprijal nápravné opatrenia voči Sparkasse X (Sporiteľna X, Nemecko, ďalej len „Sparkasse“).
Právny rámec
3
Podľa odôvodnení 6, 7, 10, 129 a 148 GDPR:
„(6)
Rýchly technologický rozvoj a globalizácia so sebou priniesli nové výzvy v oblasti ochrany osobných údajov. Rozsah získavania a zdieľania a osobných údajov sa výrazne zväčšil. …
(7)
Tento vývoj si vyžaduje silný a súdržnejší rámec ochrany údajov v [Európskej ú]nii, ktorý sa bude intenzívne presadzovať vzhľadom na význam vybudovania dôvery, ktorá umožní rozvoj digitálnej ekonomiky v rámci vnútorného trhu. …
…
(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci Únie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. …
…
(129)
… Právomoci dozorných orgánov by sa mali vykonávať v súlade s primeranými procesnými zárukami stanovenými v práve Únie a v práve členského štátu, nestranne, spravodlivo a v primeranej lehote. Predovšetkým by každé opatrenie malo byť vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením, berúc do úvahy okolnosti každého konkrétneho prípadu, malo by rešpektovať právo každej osoby na vypočutie pred prijatím akéhokoľvek individuálneho opatrenia, ktoré by pre ňu mohlo mať nepriaznivé dôsledky, a nemalo by dotknutým osobám spôsobovať zbytočné náklady a neprimerané ťažkosti. …
…
(148)
S cieľom posilniť presadzovanie pravidiel tohto nariadenia by sa okrem primeraných opatrení, ktoré ukladá dozorný orgán podľa tohto nariadenia, alebo namiesto nich, mali ukladať za akékoľvek porušenie tohto nariadenia sankcie vrátane správnych pokút. V prípade menej závažného porušenia, alebo ak by pravdepodobne uložená pokuta predstavovala pre fyzickú osobu neprimeranú záťaž, možno namiesto uloženia pokuty udeliť napomenutie. Náležitým spôsobom by sa mala zohľadniť povaha, závažnosť a trvanie porušenia, jeho úmyselná povaha, opatrenia prijaté na zmiernenie spôsobenej škody, miera zodpovednosti alebo akékoľvek relevantné predchádzajúce porušenia, spôsob, akým sa o porušení dozvedel dozorný orgán, dodržiavanie opatrení uložených voči prevádzkovateľovi alebo sprostredkovateľovi, dodržiavanie kódexu správania a všetky ďalšie priťažujúce alebo poľahčujúce okolnosti. …“
4
Článok 5 tohto nariadenia znie takto:
„1.   Osobné údaje musia byť:
a)
spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
b)
získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi;… (‚obmedzenie účelu‘);
c)
primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
d)
správne a podľa potreby aktualizované;… (‚správnosť‘);
e)
uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú;… (‚minimalizácia uchovávania‘);
f)
spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov… (‚integrita a dôvernosť‘);
2.   Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
5
Článok 24 ods. 1 tohto nariadenia stanovuje:
„S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú.“
6
Článok 33 tohto nariadenia stanovuje:
„1.   V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. …
3.   Oznámenie uvedené v odseku 1 musí obsahovať aspoň:
a)
opis povahy porušenia ochrany osobných údajov vrátane, podľa možnosti, kategórií a približného počtu dotknutých osôb, ktorých sa porušenie týka, a kategórií a približného počtu dotknutých záznamov o osobných údajoch;
b)
meno/názov a kontaktné údaje zodpovednej osoby alebo iného kontaktného miesta, kde možno získať viac informácií;
c)
opis pravdepodobných následkov porušenia ochrany osobných údajov;
d)
opis opatrení prijatých alebo navrhovaných prevádzkovateľom s cieľom napraviť porušenie ochrany osobných údajov vrátane, podľa potreby, opatrení na zmiernenie jeho potenciálnych nepriaznivých dôsledkov.
…“
7
Článok 34 ods. 1 GDPR stanovuje:
„V prípade porušenia ochrany osobných údajov, ktoré pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ bez zbytočného odkladu oznámi porušenie ochrany osobných údajov dotknutej osobe.“
8
Kapitola VI GDPR s názvom „Nezávislé dozorné orgány“ obsahuje články 51 až 59 tohto nariadenia.
9
Článok 51 ods. 1 tohto nariadenia znie takto:
„Každý členský štát stanoví, že za monitorovanie uplatňovania tohto nariadenia je zodpovedný jeden alebo viacero nezávislých orgánov verejnej moci s cieľom chrániť základné práva a slobody fyzických osôb pri spracúvaní a uľahčiť voľný tok osobných údajov v rámci Únie (ďalej len ‚dozorný orgán‘).“
10
Článok 57 GDPR s názvom „Úlohy“ v odseku 1 stanovuje:
„Bez toho, aby boli dotknuté iné úlohy stanovené podľa tohto nariadenia, každý dozorný orgán na svojom území:
a)
monitoruje a presadzuje uplatňovanie tohto nariadenia;
…
f)
vybavuje sťažnosti podané dotknutou osobou alebo subjektom, organizáciou alebo združením v súlade s článkom 80, a vyšetruje v primeranom rozsahu podstatu sťažnosti a informuje sťažovateľa o pokroku a výsledkoch vyšetrovania v primeranej lehote, najmä ak je potrebné ďalšie vyšetrovanie alebo koordinácia s iným dozorným orgánom;
…“
11
Článok 58 tohto nariadenia s názvom „Právomoci“ v odsekoch 1 a 2 stanovuje:
„1.   Každý dozorný orgán má všetky tieto vyšetrovacie právomoci:
a)
nariadiť prevádzkovateľovi a sprostredkovateľovi a v príslušnom prípade zástupcovi prevádzkovateľa alebo sprostredkovateľa, aby poskytli všetky informácie, ktoré vyžaduje na plnenie svojich úloh;
…
2.   Každý dozorný orgán má všetky tieto nápravné právomoci:
a)
upozorniť prevádzkovateľa alebo sprostredkovateľa na to, že plánované spracovateľské operácie pravdepodobne porušia ustanovenia tohto nariadenia;
b)
napomenúť prevádzkovateľa alebo sprostredkovateľa, ak spracovateľské operácie porušili ustanovenia tohto nariadenia;
c)
nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby vyhovel žiadostiam dotknutej osoby o uplatnenie jej práv podľa tohto nariadenia;
d)
nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby svoje spracovateľské operácie zosúladil podľa potreby určeným spôsobom a v rámci určenej lehoty s ustanoveniami tohto nariadenia;
e)
nariadiť prevádzkovateľovi, aby porušenie ochrany osobných údajov oznámil dotknutej osobe;
f)
nariadiť dočasné alebo trvalé obmedzenie vrátane zákazu spracúvania;
…
i)
uložiť v závislosti od okolností každého jednotlivého prípadu správnu pokutu podľa článku 83, a to popri opatreniach uvedených v tomto odseku alebo namiesto nich;
…“
12
Článok 77 tohto nariadenia znie takto:
„1.   Bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením.
2.   Dozorný orgán, ktorému sa sťažnosť podala, informuje sťažovateľa o pokroku a výsledku sťažnosti vrátane možnosti podať súdny prostriedok nápravy podľa článku 78.“
13
Článok 83 ods. 1 a 2 tohto nariadenia stanovuje:
„1.   Každý dozorný orgán zabezpečí, aby bolo ukladanie správnych pokút podľa tohto článku za porušenia tohto nariadenia uvedené v odsekoch 4, 5 a 6 v každom jednotlivom prípade účinné, primerané a odrádzajúce.
2.   Správne pokuty sa v závislosti od okolností každého jednotlivého prípadu ukladajú popri opatreniach uvedených v článku 58 ods. 2 písm. a) až h) a j) alebo namiesto nich. Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:
a)
povaha, závažnosť a trvanie porušenia, pričom sa zohľadní povaha, rozsah alebo účel dotknutého spracúvania, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ktorú utrpeli;
b)
úmyselný alebo nedbanlivostný charakter porušenia;
c)
akékoľvek kroky, ktoré prevádzkovateľ alebo sprostredkovateľ podnikol s cieľom zmierniť škodu, ktorú dotknuté osoby utrpeli;
d)
miera zodpovednosti prevádzkovateľa alebo sprostredkovateľa so zreteľom na technické a organizačné opatrenia, ktoré prijali podľa článkov 25 a 32;
e)
akékoľvek relevantné predchádzajúce porušenia zo strany prevádzkovateľa alebo sprostredkovateľa;
f)
miera spolupráce s dozorným orgánom pri náprave porušenia a zmiernení možných nepriaznivých dôsledkov porušenia;
g)
kategórie osobných údajov, ktorých sa porušenie týka;
h)
spôsob, akým sa dozorný orgán o porušení dozvedel, a najmä to, či prevádzkovateľ alebo sprostredkovateľ porušenie oznámili, a ak áno, v akom rozsahu;
i)
ak boli predtým voči dotknutému prevádzkovateľovi alebo sprostredkovateľovi v rovnakej veci prijaté opatrenia uvedené v článku 58 ods. 2, splnenie uvedených opatrení;
j)
dodržiavanie schválených kódexov správania podľa článku 40 alebo schválených mechanizmov certifikácie podľa článku 42 a
k)
akékoľvek iné priťažujúce alebo poľahčujúce okolnosti prípadu, ako napríklad akékoľvek získané finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením.“
Spor vo veci samej a prejudiciálna otázka
14
Sparkasse je miestnym subjektom verejného práva a poskytuje okrem iného bankové a úverové služby. Dňa 15. novembra 2019 oznámila HBDI v súlade s článkom 33 GDPR porušenie osobných údajov spočívajúce v tom, že jedna jej zamestnankyňa opakovane nahliadla do osobných údajov TR, jedného z jej klientov, bez toho, aby bola na to oprávnená. Sparkasse neoznámila TR, že došlo k porušeniu jeho osobných údajov.
15
Po tom, čo sa TR náhodou dozvedel o tom, že bolo neoprávnene nahliadnuté do jeho osobných údajov, podal 27. júla 2020 na HBDI sťažnosť na základe článku 77 GDPR. V tejto sťažnosti uviedol, že porušenie jeho osobných údajov mu nebolo oznámené, čo je v rozpore s článkom 34 tohto nariadenia. Kritizoval tiež dobu uchovávania záznamov o sprístupnení vyhotovovaných zo strany Sparkasse, ktorá bola stanovená len na tri mesiace, ako aj rozsiahle oprávnenia na nahliadnutie, ktoré majú jej zamestnanci.
16
V nadväznosti na sťažnosť, ktorú podal TR, HBDI vypočul Sparkasse písomne aj ústne v súvislosti s výhradami, ktoré boli voči nej vznesené. Počas pojednávania Sparkasse uviedla, že neoznámila porušenie podľa článku 34 nariadenia GDPR, pretože jej splnomocnenec zodpovedný za ochranu údajov usudzoval, že neexistovalo vysoké riziko pre práva a slobody TR. Voči dotknutej zamestnankyni boli totiž prijaté disciplinárne opatrenia, pričom táto zamestnankyňa písomne potvrdila, že osobné údaje nekopírovala ani neuchovala, nesprístupnila ich tretím osobám a ani sa takého konania nedopustí v budúcnosti. Okrem toho, keďže HBDI kritizoval príliš krátku dobu uchovávania záznamov o prístupe, Sparkasse ho informovala, že táto otázka bude predmetom preskúmania.
17
Rozhodnutím z 3. septembra 2020 HBDI informoval TR, že Sparkasse neporušila článok 34 GDPR, pretože posúdenie Sparkasse, podľa ktorého porušenie osobných údajov, ku ktorému došlo, nemohlo viesť k vysokému riziku pre jeho práva a slobody v zmysle tohto článku, nebolo zjavne nesprávne. Aj keď zamestnankyňa nahliadla do údajov, nič totiž nenasvedčovalo tomu, že by tieto údaje odovzdala tretím osobám alebo ich zneužila v neprospech TR. Okrem toho HBDI uviedol, že vyzval Sparkasse, aby uchovávala svoje záznamy o prístupe počas obdobia dlhšieho ako tri mesiace. Pokiaľ ide napokon o otázku prístupu zamestnancov Sparkasse k osobným údajom, HBDI zamietol sťažnosť, ktorú podal TR, pričom zdôraznil, že v zásade možno priznať rozsiahle prístupové práva, ak existuje istota, že každý používateľ bude informovaný o podmienkach, za ktorých môže mať prístup k údajom. Podľa HBDI teda zásadná kontrola každého prístupu nie je nevyhnutná.
18
TR podal proti tomuto rozhodnutiu žalobu na Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), vnútroštátny súd podávajúci návrh na začatie prejudiciálneho konania, ktorou sa domáhal, aby tento súd uložil HBDI povinnosť vstúpiť do konania ako vedľajší účastník proti Sparkasse.
19
Na podporu svojej žaloby TR tvrdí, že HBDI sa jeho sťažnosťou nezaoberal tak, ako to vyžaduje GDPR, teda s prihliadnutím na všetky skutkové okolnosti, a dodáva, že HBDI mal Sparkasse uložiť pokutu vzhľadom na viaceré porušenia ustanovení tohto nariadenia, najmä jeho článku 5, článku 12 ods. 3, článku 15 ods. 1 písm. c), článku 33 ods. 1 a článku 33 ods. 3 Podľa stanoviska TR sa v prípade preukázaného porušenia zásada oportunity, ako to je v prejednávanej veci, neuplatní, a HBDI sa teda nemohol rozhodnúť, či bude konať alebo nie, ale nanajvýš o tom, aké opatrenia si zvoliť.
20
V tejto súvislosti sa vnútroštátny súd v podstate pýta, či sa v prípade preukázaného porušenia ustanovení, ktoré sa týkajú ochrany osobných údajov, má GDPR vykladať v tom zmysle, že dozorný orgán je povinný prijať nápravné opatrenia podľa článku 58 ods. 2 tohto nariadenia, akým je správna pokuta, alebo v tom zmysle, že tento orgán disponuje voľnou úvahou, ktorá mu podľa okolností umožňuje zdržať sa prijatia takých opatrení.
21
Vnútroštátny súd uvádza, že prvý výklad, ktorý presadzuje TR, ako aj určitá časť právnej vedy, je založený na skutočnosti, že právomoci dozorného orgánu prijať nápravné opatrenia majú za cieľ obnoviť stav v súlade s právom, ak je spracúvanie údajov občanov v rozpore s ich právami. Článok 58 ods. 2 GDPR by sa teda mal chápať ako zdroj povinnosti, ktorá zakladá právo občana na konanie orgánov, ak podnik alebo orgán protiprávne spracovali osobné údaje občana, alebo iným spôsobom porušili práva. V prípade preukázaného porušenia ochrany osobných údajov je dozorný orgán povinný prijať nápravné opatrenia, pričom jedinou diskrečnou právomocou, ktorá mu zostáva, je možnosť zvoliť si, ktoré z ponúkaných opatrení prijme.
22
Vnútroštátny súd však pochybuje o dôvodnosti tohto výkladu, ktorý považuje za príliš extenzívny, a prikláňa sa skôr k tomu, že dozorný orgán má priestor na voľnú úvahu, ktorá mu v určitých prípadoch umožňuje v prípade preukázaného porušenia zdržať sa prijatia nápravného opatrenia, najmä uloženia sankcie. Aj keď je dozorný orgán podľa článku 57 ods. 1 písm. f) GDPR povinný pozorne meritórne preskúmať sťažnosti a preskúmať každý konkrétny prípad, nie je povinný prijať nápravné opatrenie v každej situácii. Takejto povinnosti nepodlieha vtedy, ak boli už v minulosti porušené pravidlá týkajúce sa ochrany osobných údajov, ale prevádzkovateľ prijal opatrenia, na základe ktorých možno predpokladať, že porušenie ochrany údajov sa už nebude opakovať.
23
Za týchto okolností Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden) rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:
„Majú sa článok 57 ods. 1 písm. a) a f) a článok 58 ods. 2 písm. a) až j) v spojení s článkom 77 ods. 1 [GDPR] vykladať v tom zmysle, že v prípade, keď dozorný orgán zistí spracúvanie údajov, ktoré porušuje práva dotknutej osoby, je dozorný orgán za každých okolností povinný prijať opatrenia podľa článku 58 ods. 2 [tohto nariadenia]?“
O prípustnosti návrhu na začatie prejudiciálneho konania
24
TR tvrdí – bez toho, aby výslovne spochybnil prípustnosť návrhu na začatie prejudiciálneho konania –, že odpoveď na položenú otázku nie je potrebná na rozhodnutie sporu vo veci samej. Jeho žaloba smeruje len k tomu, aby vnútroštátny súd uložil HBDI povinnosť rozhodnúť o výhradách uvedených v sťažnosti v súlade s článkom 57 ods. 1 písm. f) GDPR, a nie k tomu, aby sa mu uložila povinnosť využiť právomoci, ktoré mu priznáva článok 58 ods. 2 tohto nariadenia.
25
V tejto súvislosti treba pripomenúť, že v rámci spolupráce medzi Súdnym dvorom a vnútroštátnymi súdmi zakotvenej v článku 267 ZFEÚ prináleží výlučne vnútroštátnemu súdu, ktorému bol spor predložený a ktorý musí niesť zodpovednosť za následné súdne rozhodnutie, aby s prihliadnutím na osobitosti veci posúdil tak nevyhnutnosť prejudiciálneho rozhodnutia na to, aby mohol vydať svoj rozsudok, ako aj relevantnosť otázok, ktoré kladie Súdnemu dvoru. Súdny dvor je preto v zásade povinný rozhodnúť, keď sa predložené otázky týkajú výkladu práva Únie (rozsudok z 30. novembra 2023, Ministero dell’Istruzione a INPS, C‑270/22, EU:C:2023:933, bod 33, ako aj citovaná judikatúra).
26
Z uvedeného vyplýva, že pri otázkach týkajúcich sa výkladu práva Únie položených vnútroštátnym súdom v rámci právnej úpravy a skutkových okolností, ktoré tento súd vymedzí na vlastnú zodpovednosť a ktorých správnosť Súdnemu dvoru neprináleží preverovať, platí prezumpcia relevantnosti. Súdny dvor môže odmietnuť rozhodnúť o návrhu na začatie prejudiciálneho konania podanom vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad práva Únie nemá nijakú súvislosť s realitou alebo predmetom sporu vo veci samej, ak ide o hypotetický problém alebo ak Súdny dvor nedisponuje skutkovými a právnymi podkladmi potrebnými na užitočné zodpovedanie položených otázok (rozsudok z 30. novembra 2023, Ministero dell’Istruzione a INPS, C‑270/22, EU:C:2023:933, bod 34, ako aj citovaná judikatúra).
27
V prejednávanej veci vnútroštátny súd zdôrazňuje, že TR si uplatnil nárok na to, aby HBDI zasiahol, a tvrdil, že HBDI je povinný uložiť Sparkasse pokutu.
28
Nie je teda zjavné, že by požadovaný výklad práva Únie nemal žiadnu súvislosť s existenciou alebo predmetom sporu vo veci samej.
29
Návrh na začatie prejudiciálneho konania je preto prípustný.
O prejudiciálnej otázke
30
S cieľom odpovedať na položenú otázku treba pripomenúť, že výklad ustanovenia práva Únie si vyžaduje zohľadnenie nielen jeho znenia, ale aj kontextu, do ktorého patrí, a cieľov a účelu právneho aktu, ktorého je súčasťou [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 48, ako aj citovaná judikatúra)].
31
Treba tiež pripomenúť, že v súlade s článkom 8 ods. 3 Charty základných práv Európskej únie, ako aj článkom 51 ods. 1 a článkom 57 ods. 1 písm. a) GDPR sú vnútroštátne dozorné orgány poverené dohľadom nad dodržiavaním pravidiel Únie týkajúcich sa ochrany fyzických osôb pri spracúvaní osobných údajov [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 55, ako aj citovaná judikatúra].
32
Konkrétne podľa článku 57 ods. 1 písm. f) GDPR je každý dozorný orgán povinný na svojom území vybavovať sťažnosti, ktoré má v súlade s článkom 77 ods. 1 tohto nariadenia právo podať každá osoba, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením, a v nevyhnutnom rozsahu preskúmať predmet tejto sťažnosti a v primeranej lehote informovať sťažovateľa o pokroku a výsledkoch vyšetrovania. Dozorný orgán musí pristúpiť k vybaveniu takejto sťažnosti so všetkou vyžadovanou náležitou starostlivosťou [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 56, ako aj citovanú judikatúru].
33
Článok 58 ods. 1 GDPR udeľuje na účely vybavovania podaných sťažností každému dozornému orgánu rozsiahle vyšetrovacie právomoci. Ak takýto orgán po skončení vyšetrovania konštatuje, že došlo k porušeniu ustanovení tohto nariadenia, je povinný prijať vhodné opatrenia na nápravu zistených nedostatkov, pričom každé opatrenie musí byť, ako to spresňuje odôvodnenie 129 tohto nariadenia, predovšetkým vhodné, potrebné a primerané na zabezpečenie súladu s týmto nariadením, berúc do úvahy okolnosti daného prípadu. Na tento účel článok 58 ods. 2 tohto nariadenia uvádza rôzne nápravné opatrenia, ktoré môže dozorný orgán prijať [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 57, ako aj citovanú judikatúru].
34
Podľa článku 58 ods. 2 GDPR má dozorný orgán právomoc najmä napomenúť prevádzkovateľa alebo sprostredkovateľa, ak jeho spracovateľské operácie porušili ustanovenia tohto nariadenia [písm. b)], nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby vyhovel žiadostiam dotknutej osoby o uplatnenie jej práv podľa tohto nariadenia [písm. c)], nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby svoje spracovateľské operácie zosúladil podľa potreby určeným spôsobom a v rámci určenej lehoty s ustanoveniami tohto nariadenia [písm. d)], alebo uložiť správnu pokutu podľa článku 83 GDPR, a to popri opatreniach uvedených v tomto článku 58 ods. 2 alebo namiesto nich, podľa okolností každého prípadu [bod i)].
35
Konanie o sťažnosti je teda koncipované ako mechanizmus, ktorý je spôsobilý účinne chrániť práva a záujmy dotknutých osôb [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 58].
36
V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že HBDI meritórne preskúmal sťažnosť, ktorú podal žalobca vo veci samej, a informoval ho o výsledku vyšetrovania. HBDI konkrétne potvrdil, že došlo k porušeniu osobných údajov žalobcu v Sparkasse, ktoré spočívalo v nepovolenom prístupe k týmto údajom zo strany jednej zamestnankyne. Pokiaľ však ide o právo zamestnancov Sparkasse na nahliadnutie, HBDI zamietol sťažnosť podanú žalobcom vo veci samej. Okrem toho dospel k záveru, že nie je potrebné zasiahnuť proti Sparkasse na základe článku 58 ods. 2 GDPR.
37
V tejto súvislosti treba uviesť, že GDPR ponecháva dozornému orgánu priestor na voľnú úvahu, pokiaľ ide o spôsob, akým má napraviť zistené nedostatky, pretože jeho článok 58 ods. 2 priznáva tomuto orgánu právomoc prijať rôzne nápravné opatrenia. Súdny dvor tak už rozhodol, že voľba vhodného a nevyhnutného prostriedku prináleží dozornému orgánu, ktorý musí vykonať túto voľbu s prihliadnutím na všetky okolnosti konkrétneho prípadu a so všetkou požadovanou starostlivosťou zabezpečiť svoju úlohu spočívajúcu v zabezpečení úplného dodržiavania GDPR (pozri v tomto zmysle rozsudok zo 16. júla 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 112).
38
Táto miera voľnej úvahy je však obmedzená potrebou zabezpečiť konzistentnú a vysokú úroveň ochrany osobných údajov dôsledným uplatňovaním pravidiel, ako to vyplýva z odôvodnení 7 a 10 GDPR.
39
Pokiaľ ide konkrétne o správne pokuty podľa článku 58 ods. 2 písm. i) GDPR, z článku 83 ods. 2 tohto nariadenia vyplýva, že tieto pokuty sa ukladajú v závislosti od okolností každého jednotlivého prípadu popri opatreniach uvedených v tomto článku 58 ods. 2, alebo namiesto nich. Okrem toho článok 83 ods. 2 spresňuje, že pri rozhodovaní o uložení správnej pokuty a jej výške musí dozorný orgán v každom jednotlivom prípade náležite zohľadniť faktory uvedené v písmenách a) až k) tohto ustanovenia, akými sú povaha, závažnosť a trvanie porušenia.
40
Systém sankcií stanovený normotvorcom Únie tak umožňuje dozorným orgánom uložiť najvhodnejšie a odôvodnené sankcie podľa okolností každého prípadu (pozri v tomto zmysle rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, body 75 a 78), s prihliadnutím, ako bolo pripomenuté v bodoch 37 a 38 tohto rozsudku, na potrebu zabezpečiť úplné dodržiavanie GDPR, ako aj na zabezpečenie konzistentnej a vysokej úrovne ochrany osobných údajov prísnym uplatňovaním pravidiel.
41
Ani z článku 58 ods. 2 GDPR, ani z jeho článku 83 preto nemožno vyvodiť existenciu povinnosti dozorného orgánu prijať vo všetkých prípadoch, keď konštatuje porušenie osobných údajov, nápravné opatrenie, konkrétne správnu pokutu, keďže jeho povinnosťou je za takýchto okolností primerane reagovať s cieľom napraviť zistené nedostatky. Za týchto podmienok, ako uviedol generálny advokát v bode 81 svojich návrhov, sťažovateľ, ktorého práva boli porušené, nemá subjektívne právo domáhať sa toho, aby dozorný orgán uložil prevádzkovateľovi správnu pokutu.
42
Dozorný orgán je naopak povinný zasiahnuť, ak je prijatie jedného alebo viacerých nápravných opatrení stanovených v článku 58 ods. 2 GDPR vzhľadom na všetky okolnosti konkrétneho prípadu vhodné, potrebné a primerané na nápravu zisteného nedostatku a zabezpečenie úplného dodržiavania tohto nariadenia.
43
V tejto súvislosti nie je vylúčené, že dozorný orgán môže výnimočne a vzhľadom na osobitné okolnosti konkrétneho prípadu upustiť od prijatia nápravného opatrenia, hoci bolo zistené porušenie ochrany osobných údajov. Mohlo by to tak byť najmä v prípade, keď zistené porušenie nepretrvávalo, napríklad keď prevádzkovateľ, ktorý v zásade zaviedol primerané technické a organizačné opatrenia v zmysle článku 24 GDPR, prijal hneď, ako sa o tomto porušení dozvedel, vhodné a potrebné opatrenia na to, aby sa toto porušenie ukončilo a neopakovalo, vzhľadom na povinnosti, ktoré mu vyplývajú najmä z článku 5 ods. 2 a článku 24 tohto nariadenia.
44
Výklad, podľa ktorého dozorný orgán nie je povinný v každom prípade prijať nápravné opatrenie podľa článku 58 ods. 2 GDPR, ak zistí porušenie osobných údajov, potvrdzujú ciele sledované týmto článkom 58 ods. 2, ako aj článkom 83 tohto nariadenia.
45
Pokiaľ ide o cieľ sledovaný článkom 58 ods. 2 GDPR, z jeho odôvodnenia 129 vyplýva, že cieľom tohto ustanovenia je zabezpečiť súlad spracúvania osobných údajov s týmto nariadením, ako aj nápravu situácií porušenia tohto nariadenia s cieľom zosúladiť ich s právom Únie vďaka zásahu vnútroštátnych dozorných orgánov (rozsudok zo 14. marca 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, bod 40).
46
Z uvedeného vyplýva, že prijatie nápravného opatrenia výnimočne a vzhľadom na osobitné okolnosti konkrétneho prípadu nemusí byť nevyhnutné, pokiaľ situácia, pri ktorej došlo k porušeniu GDPR, už bola napravená, je zabezpečený súlad spracúvania osobných údajov s týmto nariadením zo strany ich prevádzkovateľa a absencia zásahu dozorného orgánu už nemôže ohroziť požiadavku dôsledného uplatnenia pravidiel, ako je pripomenutá v bode 38 tohto rozsudku.
47
Pokiaľ ide o cieľ sledovaný článkom 83 GDPR, ktorý sa týka ukladania správnych pokút, podľa odôvodnenia 148 tohto nariadenia spočíva v posilnení uplatňovania pravidiel tohto nariadenia. V tomto odôvodnení sa však uvádza, že v prípade menej významného porušenia tohto nariadenia, alebo v prípade, že by správna pokuta, ktorá by mohla byť uložená, predstavovala neprimeranú záťaž pre fyzickú osobu, dozorné orgány môžu upustiť od uloženia správnej pokuty a namiesto nej uložiť napomenutie (pozri v tomto zmysle rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 76).
48
V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že Sparkasse v súlade s článkom 33 GDPR oznámila HBDI porušenie osobných údajov žalobcu vo veci samej, ktoré vyplývalo z neoprávneného prístupu jej zamestnankyne k týmto údajom. Okrem toho uviedla, že voči tejto zamestnankyni boli prijaté disciplinárne opatrenia a že doba uchovávania záznamov o sprístupnení bude predmetom preskúmania. Za týchto okolností HBDI neprijal nápravné opatrenie podľa článku 58 ods. 2 GDPR a ani neuložil správnu pokutu.
49
Keďže rozhodnutia o sťažnostiach prijaté dozorným orgánom podliehajú úplnému súdnemu preskúmaniu [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 70], prináleží vnútroštátnemu súdu, aby overil, či HBDI vybavoval dotknutú sťažnosť so všetkou požadovanou starostlivosťou a či prijatím rozhodnutia, o ktoré ide vo veci samej, dodržal hranice voľnej úvahy, ktorú mu priznáva článok 58 ods. 2 GDPR [pozri analogicky rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, body 68 a 69, ako aj citovanú judikatúru].
50
Vzhľadom na všetky predchádzajúce úvahy treba na položenú otázku odpovedať tak, že článok 57 ods. 1 písm. a) a f), článok 58 ods. 2 a článok 77 ods. 1 GDPR sa majú vykladať v tom zmysle, že v prípade, že sa zistí porušenie osobných údajov, dozorný orgán nie je povinný prijať nápravné opatrenia, konkrétne správnu pokutu, na základe tohto článku 58 ods. 2, pokiaľ taký zásah nie je vhodný, potrebný a primeraný na nápravu zisteného nedostatku a zabezpečenie úplného dodržiavania tohto nariadenia.
O trovách
51
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (prvá komora) rozhodol takto:
Článok 57 ods. 1 písm. a) a f), článok 58 ods. 2 a článok 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa majú vykladať v tom zmysle, že:
v prípade, že sa zistí porušenie osobných údajov, dozorný orgán nie je povinný prijať nápravné opatrenia, konkrétne správnu pokutu, na základe tohto článku 58 ods. 2, pokiaľ taký zásah nie je vhodný, potrebný a primeraný na nápravu zisteného nedostatku a zabezpečenie úplného dodržiavania tohto nariadenia.
Podpisy
(
*1
)	Jazyk konania: nemčina.