62021CJ0768
ROZSUDEK SOUDNÍHO DVORA (prvního senátu)
26. září 2024 (
*1
)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 57 odst. 1 písm. a) a f) – Úkoly dozorového úřadu – Článek 58 odst. 2 – Nápravná opatření – Správní pokuta – Prostor dozorového úřadu pro uvážení – Meze“
Ve věci C‑768/21,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu, Německo) ze dne 10. prosince 2021, došlým Soudnímu dvoru dne 14. prosince 2021, v řízení
TR
proti
Land Hessen,
SOUDNÍ DVŮR (první senát),
ve složení: A. Arabadžev, předseda senátu, T. von Danwitz, P. G. Xuereb, A. Kumin (zpravodaj) a I. Ziemele, soudci,
generální advokát: P. Pikamäe,
za soudní kancelář: A. Calot Escobar, vedoucí,
s přihlédnutím k písemné části řízení,
s ohledem na vyjádření, která předložili:
–
za TR: F. Wittmaack, Rechtsanwalt,
–
za Land Hessen: M. Kottmann a G. Ziegenhorn, Rechtsanwälte,
–
za rakouskou vládu: J. Schmoll a M.-T. Rappersberger, jako zmocněnkyně,
–
za portugalskou vládu: P. Barros da Costa, M. J. Ramos a C. Vieira Guerra, jako zmocněnkyně,
–
za rumunskou vládu: L.-E. Baţagoi a E. Gane, jako zmocněnkyně,
–
za norskou vládu: S.-E. Jahr Dahl, L. M. Moen Jünge a M. Munthe-Kaas, jako zmocněnci,
–
za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 11. dubna 2024,
vydává tento
Rozsudek
1
Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 57 odst. 1 písm. a) a f), čl. 58 odst. 2 a čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava Úř. věst. 2018, L 127, s. 1, dále jen „GDPR“).
2
Tato žádost byla předložena v rámci sporu mezi TR a Land Hessen (spolková země Hesensko, Německo), v němž jde o to, že Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hesenský pověřenec pro ochranu údajů a svobodu informací, Německo) (dále jen „HBDI“) nepřijal vůči Sparkasse X (Spořitelna X, dále jen „Sparkasse“) nápravná opatření.
Právní rámec
3
Body 6, 7, 10, 129 a 148 odůvodnění GDPR uvádějí:
„(6)
Rychlý technologický rozvoj a globalizace s sebou přinesly nové výzvy pro oblast ochrany osobních údajů. Rozsah shromažďování a sdílení osobních údajů významně vzrostl. […]
(7)
Tento vývoj vyžaduje pevný a soudržnější rámec pro ochranu osobních údajů v [Evropské u]nii, jenž by se opíral o důsledné vymáhání práva, a to s ohledem na nezbytnost nastolit důvěru, která umožní rozvoj digitální ekonomiky na celém vnitřním trhu. […]
[…]
(10)
S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. […]
[…]
(129)
[…] Pravomoci dozorových úřadů by měly být vykonávány v souladu s vhodnými procesními zárukami stanovenými v právu Unie a členského státu, nestranně, spravedlivě a v přiměřených lhůtách. Každé opatření by zejména mělo být vhodné, nezbytné a přiměřené, aby byl s přihlédnutím k okolnostem každého jednotlivého případu zajištěn soulad s tímto nařízením, mělo by respektovat právo všech osob být vyslechnuty dříve, než bude přijato jakékoliv individuální opatření, které by na ně mělo nepříznivý dopad, a nemělo by pro dotčené osoby znamenat zbytečné náklady a přílišné obtíže. […]
[…]
(148)
S cílem posílit prosazování pravidel tohoto nařízení by za jakékoliv jeho porušení měly být uloženy sankce včetně správních pokut, a to vedle nebo namísto vhodných opatření uložených dozorovým úřadem podle tohoto nařízení. V méně závažných případech porušení nebo pokud by pokuta, která bude pravděpodobně uložena, představovala pro fyzickou osobu nepřiměřenou zátěž, může být namísto pokuty uloženo napomenutí. Náležitě by se však měla zohlednit povaha, závažnost a doba trvání porušení, úmyslný charakter porušení, kroky, které byly učiněny s cílem zmírnit způsobenou škodu, míra odpovědnosti nebo jakékoli relevantní předchozí porušení, způsob, jakým se dozorový úřad o daném porušení dozvěděl, dodržování opatření, která byla vůči správci nebo zpracovateli nařízena, dodržování kodexu chování nebo jakýkoli jiný přitěžující nebo polehčující faktor. […]“
4
Článek 5 GDPR zní:
„1.   Osobní údaje musí být:
a)
ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b)
shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný […] (‚účelové omezení‘);
c)
přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
d)
přesné a v případě potřeby aktualizované […] (‚přesnost‘);
e)
uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány […] (‚omezení uložení‘);
f)
zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů (‚integrita a důvěrnost‘);
2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“
5
Článek 24 odst. 1 GDPR stanoví:
„S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.“
6
Článek 33 GDPR stanoví:
„1.   Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu příslušnému podle článku 55, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. […]
[…]
3.   Ohlášení podle odstavce 1 musí přinejmenším obsahovat:
a)
popis povahy daného případu porušení zabezpečení osobních údajů včetně, pokud je to možné, kategorií a přibližného počtu dotčených subjektů údajů a kategorií a přibližného množství dotčených záznamů osobních údajů;
b)
jméno a kontaktní údaje pověřence pro ochranu osobních údajů nebo jiného kontaktního místa, které může poskytnout bližší informace;
c)
popis pravděpodobných důsledků porušení zabezpečení osobních údajů;
d)
popis opatření, která správce přijal nebo navrhl k přijetí s cílem vyřešit dané porušení zabezpečení osobních údajů, včetně případných opatření ke zmírnění možných nepříznivých dopadů.
[…]“
7
V článku 34 odst. 1 GDPR se uvádí:
„Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů.“
8
Kapitola VI GDPR, nadepsaná „Nezávislé dozorové úřady“, obsahuje články 51 až 59 tohoto nařízení.
9
Článek 51 odst. 1 GDPR zní:
„Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie (dále jen ‚dozorový úřad‘).“
10
Článek 57 GDPR, nadepsaný „Úkoly“, v odstavci 1 stanoví:
„Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:
a)
monitoruje a vymáhá uplatňování tohoto nařízení;
[…]
f)
zabývá se stížnostmi, které mu podá subjekt údajů nebo subjekt, organizace či sdružení v souladu s článkem 80, a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, zejména v případech, kdy je zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem;
[…]“
11
Článek 58 GDPR, nadepsaný „Pravomoci“, v odstavcích 1 a 2 stanoví:
„1.   Každý dozorový úřad má všechny tyto vyšetřovací pravomoci:
a)
nařídit správci a zpracovateli, případně zástupci správce nebo zpracovatele, aby mu poskytli veškeré informace, které potřebuje k plnění svých úkolů;
[…]
2.   Každý dozorový úřad má všechny tyto nápravné pravomoci:
a)
upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují toto nařízení;
b)
udělit napomenutí správci či zpracovateli, jehož operace zpracování porušily toto nařízení;
c)
nařídit správci nebo zpracovateli, aby vyhověli žádostem subjektu údajů o výkon jeho práv podle tohoto nařízení;
d)
nařídit správci či zpracovateli, aby uvedl operace zpracování do souladu s tímto nařízením, a to případně předepsaným způsobem a ve stanovené lhůtě;
e)
nařídit správci, aby subjektu údajů oznámil případy porušení zabezpečení osobních údajů;
f)
uložit dočasné nebo trvalé omezení zpracování, včetně jeho zákazu;
[…]
i)
uložit správní pokutu podle článku 83 vedle či namísto opatření uvedených v tomto odstavci, podle okolností každého jednotlivého případu;
[…]“
12
Článek 77 GDPR stanoví:
„1.   Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.
2.   Dozorový úřad, kterému byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 78.“
13
V článku 83 odst. 1 a 2 GDPR se stanoví:
„1.   Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.
2.   Správní pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v čl. 58 odst. 2 písm. a) až h) a j). Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:
a)
povaha, závažnost a délka trvání porušení s přihlédnutím k povaze, rozsahu či účelu dotčeného zpracování, jakož i k počtu dotčených subjektů údajů a míře škody, jež jim byla způsobena;
b)
zda k porušení došlo úmyslně nebo z nedbalosti;
c)
kroky podniknuté správcem či zpracovatelem ke zmírnění škod způsobených subjektům údajů;
d)
míra odpovědnosti správce či zpracovatele s přihlédnutím k technickým a organizačním opatřením jimi zavedeným podle článků 25 a 32;
e)
veškerá relevantní předchozí porušení správcem či zpracovatelem;
f)
míra spolupráce s dozorovým úřadem za účelem nápravy daného porušení a zmírnění jeho možných nežádoucích účinků;
g)
kategorie osobních údajů dotčené daným porušením;
h)
způsob, jakým se dozorový úřad dozvěděl o porušení, zejména zda správce či zpracovatel porušení oznámil, a pokud ano, v jaké míře;
i)
v případě, že vůči danému správci nebo zpracovateli byla v souvislosti s týmž předmětem dříve nařízena opatření uvedená v čl. 58 odst. 2, splnění těchto opatření;
j)
dodržování schválených kodexů chování podle článku 40 nebo schváleného mechanismu pro vydávání osvědčení podle článku 42 a
k)
jakoukoliv jinou přitěžující nebo polehčující okolnost vztahující se na okolnosti daného případu, jako jsou získaný finanční prospěch či zamezení ztrátám, přímo či nepřímo vyplývající z porušení.“
Spor v původním řízení a předběžná otázka
14
Sparkasse je komunální veřejnoprávní institucí, která mimo jiné provádí bankovní a úvěrové operace. Dne 15. listopadu 2019 ohlásila Sparkasse HBDI v souladu s článkem 33 GDPR porušení zabezpečení osobních údajů, když jedna z jejích zaměstnankyň opakovaně bez oprávnění nahlížela do osobních údajů TR, jednoho z jejích klientů. Sparkasse neinformovala TR o tom, že došlo k porušení zabezpečení jeho osobních údajů.
15
Poté, co se TR náhodně dozvěděl o tom, že bylo neoprávněně nahlíženo do jeho osobních údajů, podal dne 27. července 2020 stížnost k HBDI na základě článku 77 GDPR. V této stížnosti poukazoval na to, že nebyl informován o tom, že došlo k porušení zabezpečení jeho osobních údajů, čímž byl podle něj porušen článek 34 GDPR. Kritizoval rovněž dobu uchovávání záznamů Sparkasse o přístupu, stanovenou pouze na tři měsíce, jakož i skutečnost, že její zaměstnanci mají rozsáhlá práva na nahlížení do osobních údajů.
16
V návaznosti na stížnost podanou TR HBDI písemně a ústně vyslechl Sparkasse k výtkám, které vůči ní byly vzneseny. Sparkasse v průběhu slyšení uvedla, že od oznámení podle článku 34 GDPR upustila, neboť její pověřenec pro ochranu osobních údajů měl za to, že není dáno vysoké riziko pro práva a svobody TR. Byla totiž přijata kárná opatření vůči dotyčné zaměstnankyni a ta písemně potvrdila, že osobní údaje nezkopírovala ani neuložila, nepředala je třetím osobám a neučiní tak ani v budoucnu. Kromě toho Sparkasse HBDI v návaznosti na výtku příliš krátké doby uchovávání záznamů o přístupu informovala, že tuto skutečnost prověří.
17
Rozhodnutím ze dne 3. září 2020 HBDI informoval TR, že Sparkasse neporušila článek 34 GDPR, neboť její konstatování, že porušení zabezpečení osobních údajů, ke kterému došlo, nemohlo způsobit vysoké riziko pro jeho práva a svobody ve smyslu tohoto článku, nebylo zjevně nesprávné. I když zaměstnankyně do těchto údajů nahlédla, nic totiž nenasvědčuje tomu, že by je předala třetím osobám nebo je použila k tíži TR. HBDI mimoto uvedl, že vyzval Sparkasse, aby napříště uchovávala své záznamy o přístupu po dobu delší než tři měsíce. Konečně, pokud jde o otázku přístupu zaměstnanců Sparkasse k osobním údajům, HBDI stížnost podanou TR zamítl, přičemž zdůraznil, že rozsáhlá práva přístupu mohou být v zásadě přiznána, pokud existuje jistota, že každý uživatel je informován o podmínkách, za kterých může mít k údajům přístup. Podle HBDI proto zásadní kontrola každého přístupu není nezbytná.
18
TR podal proti tomuto rozhodnutí žalobu k Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu, Německo), který je předkládajícím soudem, a domáhá se toho, aby byla HBDI uložena povinnost zasáhnout proti Sparkasse.
19
Na podporu své žaloby TR uvádí, že se HBDI nezabýval jeho stížností tak, jak vyžaduje GDPR, tj. že nezohlednil všechny skutkové okolnosti, a dodává, že HBDI měl uložit Sparkasse pokutu za několikeré porušení ustanovení GDPR, zejména jeho článku 5, čl. 12 odst. 3, čl. 15 odst. 1 písm. c) a čl. 33 odst. 1 a 3. Podle TR se v případě prokázaného porušení GDPR, což nastalo v projednávané věci, zásada vhodnosti neuplatní, takže HBDI nemůže rozhodovat o tom, zda bude konat či nikoliv, ale nanejvýš o tom, jaká opatření zvolí.
20
V tomto ohledu se předkládající soud v podstatě zamýšlí nad tím, zda v případě prokázaného porušení ustanovení o ochraně osobních údajů musí být GDPR vykládáno v tom smyslu, že je dozorový úřad povinen přijmout nápravná opatření podle čl. 58 odst. 2 tohoto nařízení, jako je správní pokuta, nebo v tom smyslu, že tento orgán má posuzovací pravomoc, která mu podle okolností umožňuje upustit od přijetí takových opatření.
21
Předkládající soud uvádí, že prvně uvedený výklad, jejž zastává TR i část právní nauky, vychází z toho, že nápravné pravomoci, jimiž je nadán dozorový úřad, slouží k obnově stavu, který je v souladu s právem, jsou-li při zpracování údajů porušena práva občanů. Článek 58 odst. 2 GDPR by tedy měl být pojímán jako ustanovení ukládající povinnost, která zakládá právo občana na to, aby úřady konaly v případě, že podnik nebo úřad protiprávně zpracoval jeho osobní údaje nebo porušil jeho práva jiným způsobem. Je-li prokázáno porušení zabezpečení údajů, je tedy dozorový úřad povinen přijmout nápravná opatření a volné uvážení by měl pouze ohledně toho, které ze stanovených opatření zvolí.
22
Předkládající soud má však pochybnosti o opodstatněnosti tohoto výkladu, jejž považuje za příliš široký, a přiklání se spíše k tomu, aby byl dozorovému úřadu přiznán prostor pro uvážení, který mu v určitých případech umožňuje upustit od přijetí nápravného opatření, zejména uložení sankce, v případě prokázaného porušení. I když má dozorový úřad podle čl. 57 odst. 1 písm. f) GDPR povinnost provést důkladné posouzení stížností a prošetřovat každý jednotlivý případ, není přesto povinen přijmout nápravné opatření v každé situaci. Takové povinnosti například nepodléhá v případě, že byla v minulosti porušena pravidla týkající se ochrany osobních údajů, ale správce přijal opatření, která umožňují předpokládat, že se porušení zabezpečení údajů nebude opakovat.
23
Za těchto podmínek se Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:
„Musí být čl. 57 odst. 1 písm. a) a f) a čl. 58 odst. 2 písm. a) až j) ve spojení s čl. 77 odst. 1 [GDPR] vykládány v tom smyslu, že v případě, že dozorový úřad zjistí, že došlo ke zpracování údajů, které porušuje práva subjektu údajů, je povinen vždy zasáhnout podle čl. 58 odst. 2 [GDPR]?“
K přípustnosti žádosti o rozhodnutí o předběžné otázce
24
TR tvrdí, aniž výslovně zpochybňuje přípustnost žádosti o rozhodnutí o předběžné otázce, že odpověď na položenou otázku není nezbytná pro řešení sporu v původním řízení. Uvádí, že se žalobou domáhá pouze toho, aby předkládající soud uložil HBDI povinnost rozhodnout v souladu s čl. 57 odst. 1 písm. f) GDPR o výtkách uplatněných ve stížnosti, a nikoli toho, aby byla HBDI uložena povinnost využít pravomocí, jež mu jsou přiznány článkem 58 odst. 2 GDPR.
25
V tomto ohledu je třeba připomenout, že v rámci spolupráce mezi Soudním dvorem a vnitrostátními soudy založené článkem 267 SFEU je pouze věcí vnitrostátního soudu, kterému byl spor předložen a který musí nést odpovědnost za soudní rozhodnutí, jež bude vydáno, aby s přihlédnutím ke konkrétním okolnostem věci posoudil jak nezbytnost rozhodnutí o předběžné otázce pro vydání rozsudku, tak relevanci otázek, které klade Soudnímu dvoru. Jestliže se tedy položené otázky týkají výkladu unijního práva, je Soudní dvůr v zásadě povinen rozhodnout (rozsudek ze dne 30. listopadu 2023, Ministero dell’Istruzione a INPS, C‑270/22, EU:C:2023:933, bod 33 a citovaná judikatura).
26
Z toho plyne, že se na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí na vlastní odpovědnost a jehož správnost nepřísluší Soudnímu dvoru ověřovat, vztahuje domněnka relevance. Soudní dvůr může odmítnout vydat rozhodnutí o žádosti podané vnitrostátním soudem pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo také jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (rozsudek ze dne 30. listopadu 2023, Ministero dell’Istruzione a INPS, C‑270/22, EU:C:2023:933, bod 34 a citovaná judikatura).
27
V projednávané věci předkládající soud zdůrazňuje, že TR uplatnil právo na to, aby HBDI zasáhl, a tvrdil, že HBDI je povinen uložit Sparkasse pokutu.
28
Není tedy zjevné, že by žádaný výklad unijního práva neměl žádný vztah k realitě nebo předmětu sporu v původním řízení.
29
Žádost o rozhodnutí o předběžné otázce je tedy přípustná.
K předběžné otázce
30
Pro účely odpovědi na položenou otázku je třeba úvodem připomenout, že výklad ustanovení unijního práva vyžaduje, aby bylo zohledněno nejen znění tohoto ustanovení, ale i kontext, do něhož je zasazeno, jakož i cíle a účel, které sleduje akt, jehož je součástí [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 48 a citovaná judikatura].
31
Je třeba rovněž připomenout, že podle čl. 8 odst. 3 Listiny základních práv Evropské unie, jakož i čl. 51 odst. 1 a čl. 57 odst. 1 písm. a) GDPR jsou vnitrostátní dozorové úřady pověřeny dohlížením na dodržování unijních pravidel týkajících se ochrany fyzických osob v souvislosti se zpracováním osobních údajů [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 55 a citovaná judikatura].
32
Podle čl. 57 odst. 1 písm. f) GDPR má každý dozorový úřad zejména povinnost zabývat se na svém území stížnostmi, které mu má podle čl. 77 odst. 1 tohoto nařízení právo podat každý subjekt údajů, jenž se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení, ve vhodné míře prošetřit předmět stížností a v přiměřené lhůtě informovat stěžovatele o vývoji a výsledku šetření. Dozorový úřad se musí takovou stížností zabývat s veškerou náležitou péčí [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 56 a citovaná judikatura].
33
Za účelem vyřizování podaných stížností přiznává čl. 58 odst. 1 GDPR každému dozorovému úřadu významné vyšetřovací pravomoci. Pokud takovýto orgán na základě svého šetření zjistí porušení ustanovení tohoto nařízení, je povinen přijmout vhodná opatření k nápravě zjištěného nedostatku, jak upřesňuje bod 129 odůvodnění uvedeného nařízení, přičemž každé opatření musí být mimo jiné vhodné, nezbytné a přiměřené, aby bylo zajištěno dodržování uvedeného nařízení s ohledem na okolnosti případu. Pro tyto účely jsou v čl. 58 odst. 2 tohoto nařízení vyjmenovány různé nápravné pravomoci, které dozorový úřad má [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 57 a citovaná judikatura].
34
Podle čl. 58 odst. 2 GDPR má dozorový úřad mimo jiné pravomoc udělit napomenutí správci či zpracovateli, jehož operace zpracování porušily toto nařízení [písm. b)], nařídit správci nebo zpracovateli, aby vyhověli žádostem subjektu údajů o výkon jeho práv podle uvedeného nařízení [písm. c)], nařídit správci nebo zpracovateli, aby uvedl operace zpracování do souladu s tímto nařízením, a to případně předepsaným způsobem a ve stanovené lhůtě [písm. d)], nebo uložit správní pokutu podle článku 83 GDPR vedle či namísto opatření uvedených v tomto čl. 58 odst. 2, podle okolností každého jednotlivého případu [písm. i)].
35
Řízení o stížnosti je tedy koncipováno jako mechanismus schopný účinně chránit práva a zájmy subjektů údajů [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 58].
36
V projednávané věci ze žádosti o rozhodnutí o předběžné otázce vyplývá, že se HBDI meritorně zabýval stížností, kterou jí podal žalobce v původním řízení, a informoval jej o výsledku šetření. Konkrétně HBDI potvrdil, že došlo k porušení zabezpečení osobních údajů žalobce v rámci Sparkasse spočívajícímu v neoprávněném přístupu k těmto údajům jednou z jejích zaměstnankyň. Pokud však jde o právo zaměstnanců Sparkasse na nahlížení do těchto údajů, HBDI stížnost podanou žalobcem v původním řízení zamítl. Kromě toho dospěl k závěru, že není namístě zasáhnout proti Sparkasse podle čl. 58 odst. 2 GDPR.
37
V tomto ohledu je třeba uvést, že GDPR ponechává dozorovému úřadu prostor pro uvážení, pokud jde o způsob, jakým má napravit zjištěné nedostatky, neboť čl. 58 odst. 2 GDPR svěřuje tomuto úřadu různé nápravné pravomoci. Soudní dvůr již například rozhodl, že volba vhodného a nezbytného prostředku přísluší dozorovému úřadu, který ji musí provést s tím, že přihlédne ke všem okolnostem konkrétního případu a s veškerou náležitou péčí splní svůj úkol zajistit plné dodržování GDPR (v tomto smyslu viz rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 112).
38
Tento prostor pro uvážení je však omezen nutností zajistit soudržnou a vysokou úroveň ochrany osobních údajů důsledným vymáháním práva, jak vyplývá z bodů 7 a 10 odůvodnění GDPR.
39
Pokud jde konkrétně o správní pokuty upravené v čl. 58 odst. 2 písm. i) GDPR, z čl. 83 odst. 2 tohoto nařízení vyplývá, že tyto pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v tomto čl. 58 odst. 2. Dále je třeba uvést, že tento čl. 83 odst. 2 upřesňuje, že při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech musí dozorový úřad řádně zohlednit okolnosti uvedené v písm. a) až k) tohoto ustanovení, jako je povaha, závažnost a délka trvání porušení.
40
Systém sankcí upravený unijním normotvůrcem tedy umožňuje dozorovým úřadům ukládat sankce, jež jsou podle okolností každého případu nejvhodnější (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, body 75 a 78), s přihlédnutím – jak bylo připomenuto v bodech 37 a 38 tohoto rozsudku – k nezbytnosti zajistit plné dodržování GDPR a zaručit soudržnou a vysokou úroveň ochrany osobních údajů důsledným vymáháním práva.
41
Z článku 58 odst. 2 GDPR ani z jeho článku 83 tedy nelze dovodit, že by dozorový úřad měl povinnost přijmout ve všech případech, pokud konstatuje porušení zabezpečení osobních údajů, nápravné opatření, včetně správní pokuty, jelikož jeho povinností je za takových okolností vhodným způsobem reagovat za účelem nápravy zjištěného nedostatku. Za těchto podmínek, jak uvedl generální advokát v bodě 81 svého stanoviska, nemá stěžovatel, jehož práva byla porušena, subjektivní právo na to, aby dozorový úřad uložil správci správní pokutu.
42
Dozorový úřad je naproti tomu povinen zasáhnout, pokud je přijetí jednoho nebo více nápravných opatření stanovených v čl. 58 odst. 2 GDPR s ohledem na všechny okolnosti konkrétního případu vhodné, nezbytné a přiměřené k nápravě zjištěného nedostatku a k zajištění plného dodržování tohoto nařízení.
43
V tomto ohledu není vyloučeno, že dozorový úřad může výjimečně a s ohledem na zvláštní okolnosti konkrétního případu upustit od přijetí nápravného opatření, i když bylo zjištěno porušení zabezpečení osobních údajů. Tak by tomu mohlo být zejména v případě, kdy zjištěné porušení nepokračovalo, například pokud správce, který v zásadě zavedl vhodná technická a organizační opatření ve smyslu článku 24 GDPR, přijal, jakmile se o tomto porušení dozvěděl, vhodná a nezbytná opatření k tomu, aby uvedené porušení bylo ukončeno a aby se neopakovalo, s ohledem na povinnosti, které pro něj vyplývají zejména z čl. 5 odst. 2 a článku 24 tohoto nařízení.
44
Výklad, podle kterého dozorový úřad není povinen přijmout v každém případě nápravné opatření podle čl. 58 odst. 2 GDPR, pokud konstatuje porušení zabezpečení osobních údajů, je podpořen cíli sledovanými tímto čl. 58 odst. 2, jakož i článkem 83 tohoto nařízení.
45
Pokud jde o cíl, jejž sleduje čl. 58 odst. 2 GDPR, z bodu 129 odůvodnění tohoto nařízení vyplývá, že cílem tohoto ustanovení je zajistit, aby zpracování osobních údajů bylo v souladu s tímto nařízením a situace, v nichž bylo toto nařízení porušeno, byly napraveny tak, že budou uvedeny do souladu s unijním právem prostřednictvím zásahu vnitrostátních dozorových úřadů (rozsudek ze dne 14. března 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, bod 40).
46
Z toho plyne, že přijetí nápravného opatření nemusí být výjimečně a s ohledem na zvláštní okolnosti konkrétního případu nutné, jestliže situace, v níž došlo k porušení GDPR, již byla napravena, je zajištěn soulad zpracování osobních údajů s tímto nařízením jejich správcem a absence zásahu dozorového úřadu nemůže ohrozit požadavek důsledného vymáhání práva, jak byl připomenut v bodě 38 tohoto rozsudku.
47
Pokud jde o cíl sledovaný článkem 83 GDPR, který se týká ukládání správních pokut, ten podle bodu 148 odůvodnění tohoto nařízení spočívá v posílení prosazování pravidel tohoto nařízení. Tento bod odůvodnění nicméně uvádí, že jedná-li se o méně závažný případ porušení uvedeného nařízení nebo pokud by správní pokuta, která bude pravděpodobně uložena, představovala pro fyzickou osobu nepřiměřenou zátěž, mohou dozorové úřady upustit od uložení správní pokuty a namísto ní uložit napomenutí (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 76).
48
V projednávané věci ze žádosti o rozhodnutí o předběžné otázce vyplývá, že Sparkasse ohlásila HBDI v souladu s článkem 33 GDPR porušení zabezpečení osobních údajů žalobce v původním řízení vyplývající z neoprávněného přístupu k těmto údajům jednou z jejích zaměstnankyň. Kromě toho uvedla, že vůči této zaměstnankyni byla přijata kárná opatření a doba uchovávání záznamů o přístupu bude prověřena. Za těchto podmínek HBDI nepřijal nápravné opatření podle čl. 58 odst. 2 GDPR, a zejména neuložil správní pokutu.
49
Vzhledem k tomu, že rozhodnutí o stížnosti přijatá dozorovým úřadem podléhají úplnému soudnímu přezkumu [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 70], přísluší předkládajícímu soudu ověřit, zda HBDI vyřídil dotyčnou stížnost s veškerou požadovanou řádnou péčí a zda přijetím rozhodnutí dotčeného v původním řízení HBDI dodržel meze prostoru pro uvážení, jejž mu přiznává čl. 58 odst. 2 GDPR [obdobně viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, body 68 a 69, jakož i citovaná judikatura].
50
S ohledem na všechny výše uvedené úvahy je třeba na položenou otázku odpovědět tak, že čl. 57 odst. 1 písm. a) a f), čl. 58 odst. 2 a čl. 77 odst. 1 GDPR musí být vykládány v tom smyslu, že je-li zjištěno porušení zabezpečení osobních údajů, není dozorový úřad povinen přijmout nápravné opatření, včetně správní pokuty, na základě tohoto čl. 58 odst. 2, pokud takový zásah není vhodný, nezbytný nebo přiměřený k nápravě zjištěného nedostatku a k zajištění plného dodržování tohoto nařízení.
K nákladům řízení
51
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:
Článek 57 odst. 1 písm. a) a f), čl. 58 odst. 2 a čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
je-li zjištěno porušení zabezpečení osobních údajů, není dozorový úřad povinen přijmout nápravné opatření, včetně správní pokuty, na základě tohoto čl. 58 odst. 2, pokud takový zásah není vhodný, nezbytný nebo přiměřený k nápravě zjištěného nedostatku a k zajištění plného dodržování tohoto nařízení.
Podpisy.
(
*1
) – Jednací jazyk: němčina.