62021CC0768
NÁVRHY GENERÁLNEHO ADVOKÁTA
PRIIT PIKAMÄE
prednesené 11. apríla 2024 (
1
)
Vec C‑768/21
TR
proti
Land Hessen
[návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko)]
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 57 ods. 1 písm. a) a f) – Úlohy dozorného orgánu – Článok 58 ods. 2 – Právomoci dozorného orgánu – Článok 77 ods. 1 – Právo podať sťažnosť – Porušenie ochrany osobných údajov – Povinnosť dozorného orgánu prijať opatrenia“
I. Úvod
1.
Predmetom tohto návrhu na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko) na základe článku 267 ZFEÚ, je výklad článku 57 ods. 1 písm. a) a f), článku 58 ods. 2 a článku 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (
2
) (ďalej len „GDPR“).
2.
Tento návrh bol podaný v rámci sporu medzi TR a Land Hessen (Spolková krajina Hesensko, Nemecko), zastúpenou Hessischer Beauftragte für Datenschutz und Informationsfreiheit (hesenský splnomocnenec pre ochranu údajov a slobodný prístup k informáciám, ďalej len „HBDI“), ktorý sa týkal odmietnutia tohto splnomocnenca prijať opatrenia voči Sparkasse (Sporiteľňa, Nemecko) z dôvodu porušenia ochrany osobných údajov. Vnútroštátny súd sa pýta, či je dozorný orgán v prípade, že zistí spracúvanie údajov, ktoré porušuje práva dotknutej osoby, v každom prípade povinný zasiahnuť v rámci právomocí, ktoré mu zveruje článok 58 ods. 2 GDPR, alebo či sa v konkrétnom prípade môže – napriek porušeniu – zdržať zásahu.
3.
Tento prípad vyvoláva niekoľko nových právnych otázok, ktoré si vyžadujú dôkladné posúdenie. Súdny dvor sa bude musieť v podstate vyjadriť k úlohe, ktorú zohrávajú zásada zákonnosti a zásada oportunity v správnej praxi dozorných orgánov, a najmä pri plnení ich úlohy spočívajúcej v dozore nad uplatňovaním GDPR, ako aj v dozore nad jeho dodržiavaním. Výkladové usmernenia, ktoré vyplynú z judikatúry Súdneho dvora ovplyvnia túto správnu prax, čím prispejú ku konzistentnému uplatňovaniu tohto nariadenia v rámci Únie.
II. Právny rámec
4.
Odôvodnenia 129, 141, 148 a 150 GDPR znejú:
„(129)
S cieľom zabezpečiť konzistentné monitorovanie a presadzovanie tohto nariadenia v celej Únii by dozorné orgány mali mať vo všetkých členských štátoch rovnaké úlohy a účinné právomoci vrátane právomocí v oblasti vyšetrovania, nápravných opatrení a sankcií a právomocí v oblasti povoľovania a poradenstva, najmä v prípadoch sťažností fyzických osôb, a bez toho, aby boli dotknuté právomoci vyšetrovacích orgánov podľa práva členského štátu, právo upozorniť justičné orgány na porušovanie tohto nariadenia a zúčastniť sa na súdnom konaní. Takéto právomoci by mali tiež zahŕňať právomoc nariadiť dočasné alebo trvalé obmedzenie spracúvania, vrátane zákazu spracúvania. Členské štáty môžu určiť ďalšie úlohy súvisiace s ochranou osobných údajov podľa tohto nariadenia. Právomoci dozorných orgánov by sa mali vykonávať v súlade s primeranými procesnými zárukami stanovenými v práve Únie a v práve členského štátu, nestranne, spravodlivo a v primeranej lehote. Predovšetkým by každé opatrenie malo byť vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením, berúc do úvahy okolnosti každého konkrétneho prípadu, malo by rešpektovať právo každej osoby na vypočutie pred prijatím akéhokoľvek individuálneho opatrenia, ktoré by pre ňu mohlo mať nepriaznivé dôsledky, a nemalo by dotknutým osobám spôsobovať zbytočné náklady a neprimerané ťažkosti. …
…
(141)
Každá dotknutá osoba by mala mať právo podať sťažnosť na jednom dozornom orgáne, a to predovšetkým v členskom štáte svojho obvyklého pobytu, a mať v súlade s článkom 47 [Charty základných práv Európskej únie, ďalej len ‚Charta‘] právo na účinný súdny prostriedok nápravy, ak sa domnieva, že boli porušené jej práva podľa tohto nariadenia, alebo ak dozorný orgán nereaguje na sťažnosť, čiastočne alebo v plnom rozsahu ju odmietne, nevyhovie jej alebo nekoná v prípade, keď je takéto konanie nevyhnutné na ochranu práv dotknutej osoby. Vyšetrovanie na základe sťažnosti by sa s výhradou súdneho preskúmania malo vykonávať v rozsahu primeranom pre konkrétny prípad. Dozorný orgán by mal dotknutú osobu v primeranej lehote informovať o pokroku pri vybavovaní sťažnosti a o výsledku sťažnosti. …
…
(148)
S cieľom posilniť presadzovanie pravidiel tohto nariadenia by sa okrem primeraných opatrení, ktoré ukladá dozorný orgán podľa tohto nariadenia, alebo namiesto nich, mali ukladať za akékoľvek porušenie tohto nariadenia sankcie vrátane správnych pokút. V prípade menej závažného porušenia, alebo ak by pravdepodobne uložená pokuta predstavovala pre fyzickú osobu neprimeranú záťaž, možno namiesto uloženia pokuty udeliť napomenutie. Náležitým spôsobom by sa mala zohľadniť povaha, závažnosť a trvanie porušenia, jeho úmyselná povaha, opatrenia prijaté na zmiernenie spôsobenej škody, miera zodpovednosti alebo akékoľvek relevantné predchádzajúce porušenia, spôsob, akým sa o porušení dozvedel dozorný orgán, dodržiavanie opatrení uložených voči prevádzkovateľovi alebo sprostredkovateľovi, dodržiavanie kódexu správania a všetky ďalšie priťažujúce alebo poľahčujúce okolnosti. …
…
(150)
S cieľom posilniť a harmonizovať správne sankcie za porušovanie tohto nariadenia by každý dozorný orgán mal mať právomoc ukladať správne pokuty. V tomto nariadení by sa mali uviesť porušenia a horná hranica príslušných správnych pokút a kritériá ich stanovenia, ktoré by mal určiť príslušný dozorný orgán v každom jednotlivom prípade, pričom zohľadní všetky relevantné okolnosti konkrétnej situácie s náležitým zreteľom najmä na povahu, závažnosť a trvanie porušenia a jeho následkov, ako aj opatrenia, ktoré sa prijali na zabezpečenie súladu s povinnosťami podľa tohto nariadenia a na predchádzanie následkom porušenia alebo ich zmiernenie. …“
5.
Článok 33 ods. 1 tohto nariadenia stanovuje:
„V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. …“
6.
Článok 34 ods. 1 uvedeného nariadenia stanovuje:
„V prípade porušenia ochrany osobných údajov, ktoré pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ bez zbytočného odkladu oznámi porušenie ochrany osobných údajov dotknutej osobe.“
7.
Článok 57 ods. 1 toho istého nariadenia stanovuje:
„Bez toho, aby boli dotknuté iné úlohy stanovené podľa tohto nariadenia, každý dozorný orgán na svojom území:
a)
monitoruje a presadzuje uplatňovanie tohto nariadenia;
…
f)
vybavuje sťažnosti podané dotknutou osobou alebo subjektom, organizáciou alebo združením v súlade s článkom 80, a vyšetruje v primeranom rozsahu podstatu sťažnosti a informuje sťažovateľa o pokroku a výsledkoch vyšetrovania v primeranej lehote, najmä ak je potrebné ďalšie vyšetrovanie alebo koordinácia s iným dozorným orgánom;
…“
8.
Podľa článku 58 GDPR:
„1.   Každý dozorný orgán má všetky tieto vyšetrovacie právomoci:
a)
nariadiť prevádzkovateľovi a sprostredkovateľovi a v príslušnom prípade zástupcovi prevádzkovateľa alebo sprostredkovateľa, aby poskytli všetky informácie, ktoré vyžaduje na plnenie svojich úloh;
…
2.   Každý dozorný orgán má všetky tieto nápravné právomoci:
a)
upozorniť prevádzkovateľa alebo sprostredkovateľa na to, že plánované spracovateľské operácie pravdepodobne porušia ustanovenia tohto nariadenia;
b)
napomenúť prevádzkovateľa alebo sprostredkovateľa, ak spracovateľské operácie porušili ustanovenia tohto nariadenia;
c)
nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby vyhovel žiadostiam dotknutej osoby o uplatnenie jej práv podľa tohto nariadenia;
d)
nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby svoje spracovateľské operácie zosúladil podľa potreby určeným spôsobom a v rámci určenej lehoty s ustanoveniami tohto nariadenia;
e)
nariadiť prevádzkovateľovi, aby porušenie ochrany osobných údajov oznámil dotknutej osobe;
f)
nariadiť dočasné alebo trvalé obmedzenie vrátane zákazu spracúvania;
…
i)
uložiť v závislosti od okolností každého jednotlivého prípadu správnu pokutu podľa článku 83, a to popri opatreniach uvedených v tomto odseku alebo namiesto nich;
…“
9.
Článok 77 tohto nariadenia stanovuje:
„1.   Bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením.
2.   Dozorný orgán, ktorému sa sťažnosť podala, informuje sťažovateľa o pokroku a výsledku sťažnosti vrátane možnosti podať súdny prostriedok nápravy podľa článku 78.“
10.
Článok 78 uvedeného nariadenia vo svojich odsekoch 1 a 2 stanovuje:
„1.   Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá fyzická alebo právnická osoba má právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.
2.   Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak dozorný orgán, ktorý je príslušný podľa článkov 55 a 56, sťažnosť nevybavil alebo neinformoval dotknutú osobu do troch mesiacov o pokroku alebo výsledku sťažnosti podanej podľa článku 77.“
11.
Článok 83 GDPR vo svojich odsekoch 1 a 2 stanovuje:
„1.   Každý dozorný orgán zabezpečí, aby bolo ukladanie správnych pokút podľa tohto článku za porušenia tohto nariadenia uvedené v odsekoch 4, 5 a 6 v každom jednotlivom prípade účinné, primerané a odrádzajúce.
2.   Správne pokuty sa v závislosti od okolností každého jednotlivého prípadu ukladajú popri opatreniach uvedených v článku 58 ods. 2 písm. a) až h) a j) alebo namiesto nich. Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:
a)
povaha, závažnosť a trvanie porušenia, pričom sa zohľadní povaha, rozsah alebo účel dotknutého spracúvania, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ktorú utrpeli;
b)
úmyselný alebo nedbanlivostný charakter porušenia;
c)
akékoľvek kroky, ktoré prevádzkovateľ alebo sprostredkovateľ podnikol s cieľom zmierniť škodu, ktorú dotknuté osoby utrpeli;
d)
miera zodpovednosti prevádzkovateľa alebo sprostredkovateľa so zreteľom na technické a organizačné opatrenia, ktoré prijali podľa článkov 25 a 32;
e)
akékoľvek relevantné predchádzajúce porušenia zo strany prevádzkovateľa alebo sprostredkovateľa;
f)
miera spolupráce s dozorným orgánom pri náprave porušenia a zmiernení možných nepriaznivých dôsledkov porušenia;
g)
kategórie osobných údajov, ktorých sa porušenie týka;
h)
spôsob, akým sa dozorný orgán o porušení dozvedel, a najmä to, či prevádzkovateľ alebo sprostredkovateľ porušenie oznámili, a ak áno, v akom rozsahu;
i)
ak boli predtým voči dotknutému prevádzkovateľovi alebo sprostredkovateľovi v rovnakej veci prijaté opatrenia uvedené v článku 58 ods. 2, splnenie uvedených opatrení;
j)
dodržiavanie schválených kódexov správania podľa článku 40 alebo schválených mechanizmov certifikácie podľa článku 42 a
k)
akékoľvek iné priťažujúce alebo poľahčujúce okolnosti prípadu, ako napríklad akékoľvek získané finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením.“
III. Skutkové okolnosti sporu, konanie vo veci samej a prejudiciálna otázka
12.
Sparkasse je miestnym subjektom verejného práva a poskytuje okrem iného bankové a úverové služby. Dňa 15. novembra 2019 Sparkasse oznámila HBDI porušenie ochrany osobných údajov v súlade s článkom 33 GDPR, keďže jeden z jej zamestnancov opakovane nahliadol do osobných údajov TR, jedného z jej klientov, bez toho, aby bol na to oprávnený. Keďže sa Sparkasse domnievala, že nešlo o porušenie ochrany osobných údajov, ktoré by mohlo viesť k vysokému riziku pre TR, neoznámila porušenie ani TR, na základe článku 34 tohto nariadenia.
13.
TR sa po oboznámení s týmto incidentom obrátil na HBDI listom z 27. júla 2020, v ktorom namietal porušenie článku 34 GDPR a kritizoval krátku trojmesačnú dobu uchovávania záznamov o sprístupnení vyhotovovaných zo strany Sparkasse, ako aj rozsiahle oprávnenia na nahliadanie do osobných údajov, ktoré majú všetci jej zamestnanci.
14.
V rámci konania na HBDI Sparkasse uviedla, že jej zodpovedná osoba sa domnievala, že neexistuje riziko pre TR, keďže voči dotknutej zamestnankyni boli prijaté disciplinárne opatrenia a táto zamestnankyňa písomne potvrdila, že nevyhotovila kópie ani neuchovávala údaje, s ktorými sa oboznámila, neodovzdala ich tretím osobám a ani sa tohto v budúcnosti nedopustí. Okrem toho doba uchovávania záznamov o prístupe mala byť predmetom preskúmania.
15.
Rozhodnutím z 3. septembra 2020 HBDI informoval TR, že v prejednávanej veci Sparkasse neporušila článok 34 GDPR. Podľa tohto orgánu je rozhodnutie, ktoré malo byť prijaté na základe tohto ustanovenia, preventívne. Vzhľadom na režim dozoru nad ochranou osobných údajov bolo potrebné preskúmať, či je toto rozhodnutie zjavne nesprávne. Sparkasse uviedla, že údaje síce boli sprístupnené, avšak neexistovali nijaké okolnosti, z ktorých by vyplývalo, že dotknutá zamestnankyňa tieto údaje sprístupnila tretím osobám alebo že ich zneužila v neprospech TR. Na základe toho pravdepodobne nevzniklo vysoké riziko. Okrem toho bola Sparkasse vyzvaná, aby si odteraz svoje záznamy o prístupoch uchovávala dlhšiu dobu. Podľa HBDI nebola dôsledná kontrola každého prístupu potrebná, keďže v zásade možno udeliť na prístup rozsiahle práva, ak je isté, že každý používateľ bude informovaný o podmienkach, za ktorých môže mať prístup k daným údajom.
16.
TR podal proti rozhodnutiu z 3. septembra 2020 žalobu na Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, ktorou sa domáhal, aby bol HBDI zaviazaný vstúpiť do konania ako vedľajší účastník proti Sparkasse.
17.
Na podporu svojej žaloby TR tvrdí, že HBDI sa jeho sťažnosťou nezaoberal tak, ako to vyžaduje GDPR. Tvrdí, že má právo na to, aby táto sťažnosť bola vybavená a aby bol informovaný o prijatých opatreniach. HBDI bol povinný preskúmať skutkové okolnosti, za akých sa uskutočnilo posúdenie rizika zo strany Sparkasse, bez toho, aby sa obmedzil na výslovne požadované opatrenia, a mal Sparkasse uložiť pokutu. Podľa TR sa v prípade preukázaného porušenia zásada oportunity neuplatní, a tak HBDI sa nemohol rozhodnúť, či bude konať, alebo nie, ale nanajvýš si zvoliť opatrenia, ktoré zamýšľa prijať.
18.
Vnútroštátny súd spresňuje, že v prejednávanej veci HBDI ako dozorný orgán dospel k záveru, že hoci došlo k porušeniu ustanovení týkajúcich sa ochrany osobných údajov, nebolo potrebné zasiahnuť podľa článku 58 ods. 2 GDPR. Tento prístup by bol však v súlade s právom len vtedy, ak by dozorný orgán nebol povinný zasiahnuť, aj keď sa preukáže porušenie ochrany osobných údajov. Ak by sme vychádzali z názoru TR, podľa ktorého dozorný orgán nemá nijakú mieru voľnej úvahy, malo by to za dôsledok, že v prípade preukázaného porušenia by existovalo právo na zásah a nápravné opatrenia a že dozorný orgán by mal v každom prípade prijať opatrenie. V prípade odmietnutia by vnútroštátny súd musel dozornému orgánu uložiť povinnosť prijať konkrétne opatrenie alebo viacero opatrení.
19.
Vnútroštátny súd uvádza, že táto argumentácia, ktorá je obhajovaná aj časťou právnej vedy, sa opiera o skutočnosť, že cieľom právomoci prijať nápravné opatrenia podľa článku 58 ods. 2 GDPR je obnoviť stav, ktorý je v súlade s právom vtedy, keď je spracúvanie údajov občanov v rozpore s ich právami. Toto ustanovenie by sa teda malo chápať ako zdroj povinnosti, ktorá zakladá právo občana na konanie orgánov, ak podnik alebo orgán protiprávne spracovali osobné údaje občana, alebo iným spôsobom porušili práva. V prípade preukázaného porušenia ochrany osobných údajov je dozorný orgán povinný prijať nápravné opatrenia, pričom jedinou diskrečnou právomocou, ktorá mu zostáva, je možnosť zvoliť si, ktoré z ponúkaných opatrení prijme.
20.
Vnútroštátny súd však má o tomto výklade pochybnosti a považuje ho za príliš extenzívny. Vnútroštátny súd sa prikláňa skôr k priznaniu určitej miery voľnej úvahy dozornému orgánu, ktorá mu tiež umožňuje zdržať sa akejkoľvek sankcie v prípade preukázaných porušení. Článok 57 ods. 1 písm. f) GDPR totiž uvádza len to, že dozorný orgán, na ktorý boli sťažnosti podané, preskúma predmet sťažnosti v potrebnom rozsahu a informuje sťažovateľa o pokroku a výsledku vyšetrovania v primeranej lehote. Dozorný orgán má preto z tohto dôvodu povinnosť vykonať pozorné vecné preskúmanie a preskúmať každý konkrétny prípad, ale nevyplýva z toho povinnosť prijať v prípade zistenia porušenia nevyhnutne a bez výnimky príslušné opatrenie.
21.
Za týchto okolností Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden) rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:
„Majú sa článok 57 ods. 1 písm. a) a f) a článok 58 ods. 2 písm. a) až j) v spojení s článkom 77 ods. 1 [GDPR] vykladať v tom zmysle, že v prípade, keď dozorný orgán zistí spracúvanie údajov, ktoré porušuje práva dotknutej osoby, je dozorný orgán za každých okolností povinný prijať opatrenia podľa článku 58 ods. 2 [tohto nariadenia]?“
IV. Konanie na Súdnom dvore
22.
Návrh na začatie prejudiciálneho konania z 10. decembra 2021 bol kancelárii Súdneho dvora doručený 14. decembra 2021.
23.
Účastníci konania vo veci samej, rakúska, portugalská, rumunská a nórska vláda, ako aj Európska komisia predložili písomné pripomienky v lehote stanovenej v článku 23 Štatútu Súdneho dvora Európskej únie.
24.
Na generálnom zasadnutí 16. januára 2024 Súdny dvor rozhodol, že vo veci nenariadi pojednávanie.
V. Právne posúdenie
A.
Úvodné poznámky
25.
Od nadobudnutia účinnosti GDPR museli mnohé subjekty zaviesť súbor opatrení tak, aby sa dostali do súladu s novou právnou úpravou týkajúcou sa spracúvania osobných údajov. Ak uvedené subjekty nedodržiavajú tieto opatrenia, vystavujú sa viac alebo menej prísnym sankciám v závislosti od závažnosti porušenia. Správne pokuty sú jadrom režimu presadzovania zavedeného GDPR. Predstavujú účinný prvok súboru nástrojov, ktorý majú dozorné orgány k dispozícii na vynútenie dodržiavania právnych predpisov, spolu s ostatnými nápravnými opatreniami stanovenými v článku 58 ods. 2 GDPR. Vzhľadom na to, že toto nariadenie umožňuje dozorným orgánom ukladať niekedy veľmi vysoké pokuty, je v záujme právnej istoty vhodné spresniť, aké okolnosti odôvodňujú použitie tohto nápravného opatrenia. Tieto návrhy teda treba chápať ako príspevok k naplneniu tohto cieľa.
26.
Návrhy prednesené v tejto veci takpovediac nadväzujú tam, kde končia moje návrhy prednesené v spojených veciach C‑26/22 a C‑64/22 (SCHUFA Holding) (ďalej len „veci SCHUFA“) (
3
). Zatiaľ čo v uvedených veciach som vysvetlil, aké povinnosti má dozorný orgán v rámci preskúmania sťažnosti podanej podľa článku 77 GDPR, v prejednávanej veci sa budem zaoberať jeho povinnosťami pri zisťovaní porušenia osobných údajov, ako aj jeho právomocou prijať nápravné opatrenia, najmä ukladať správne pokuty. Napokon preskúmam otázku, či GDPR stanovuje povinnosť dozorného orgánu uložiť takúto pokutu vo všetkých prípadoch, alebo aspoň v prípadoch, keď to sťažovateľ výslovne vyžaduje. Na základe zhrnutia mojej analýzy odpoviem na otázku položenú vnútroštátnym súdom týkajúcu sa možnosti dozorného orgánu upustiť od prijatia nápravných opatrení.
B.
O prípustnosti návrhu na začatie prejudiciálneho konania
27.
Pred preskúmaním všetkých týchto hľadísk sa však treba zaoberať tvrdením TR založeným na neprípustnosti návrhu na začatie prejudiciálneho konania. Konkrétnejšie TR tvrdí, že odpoveď na položenú otázku nie je potrebná na rozhodnutie sporu vo veci samej. Jeho žaloba smerovala len k tomu, aby vnútroštátny súd nariadil HBDI rozhodnúť o námietkach uvedených v sťažnosti, ktorá mu bola predložená, a nie k tomu, aby vnútroštátny súd nariadil HBDI využiť právomoci, ktoré sú mu priznané článkom 58 ods. 2 GDPR.
28.
V tejto súvislosti treba pripomenúť, že v rámci spolupráce medzi Súdnym dvorom a vnútroštátnymi súdmi zakotvenej v článku 267 ZFEÚ prináleží iba vnútroštátnemu súdu, ktorý prejednáva spor a ktorý nesie zodpovednosť za súdne rozhodnutie, aby so zreteľom na osobitosti prípadu posúdil tak nevyhnutnosť podania návrhu na začatie prejudiciálneho konania na účely prijatia svojho rozsudku, ako aj dôležitosť otázok, ktoré kladie Súdnemu dvoru. V dôsledku toho v prípade, že sa predložené otázky týkajú výkladu práva Únie, Súdny dvor je v zásade povinný rozhodnúť. (
4
)
29.
Z uvedeného vyplýva, že pri otázkach týkajúcich sa výkladu práva Únie položených vnútroštátnym súdom v rámci právnej úpravy a skutkových okolností, ktoré tento súd vymedzí na vlastnú zodpovednosť a ktorých správnosť Súdnemu dvoru neprináleží preverovať, platí prezumpcia relevantnosti. Súdny dvor môže odmietnuť návrh predložený vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad práva Únie nemá nijakú súvislosť s existenciou alebo predmetom sporu vo veci samej, pokiaľ ide o hypotetický problém, alebo ak Súdny dvor nedisponuje skutkovými ani právnymi okolnosťami potrebnými na poskytnutie užitočnej odpovede na otázky, ktoré mu boli položené. (
5
)
30.
V prejednávanej veci vnútroštátny súd, ktorý jasne uviedol dôvody, pre ktoré sa pýta na výklad ustanovení práva Únie uvedených v jeho prejudiciálnej otázke, spresnil, že odpoveď na túto otázku je rozhodujúca na vyriešenie sporu vo veci samej, keďže TR požiadal HBDI, aby vstúpil do konania ako vedľajší účastník v spore proti Sparkasse. Ako vyplýva z odôvodnenia návrhu na začatie prejudiciálneho konania, TR uplatnil „právo“ požadovať takýto postup. Konkrétne podľa názoru TR „mal HBDI uložiť Sparkasse pokutu“. Práve v tomto kontexte vnútroštátny súd odkazuje na výpočty vykonané TR na účely stanovenia výšky pokút, ktoré sa majú uložiť.
31.
Všetky tieto informácie poskytnuté samotným vnútroštátnym súdom jasne odporujú tvrdeniam TR, pokiaľ ide o údajnú neprípustnosť návrhu na začatie prejudiciálneho konania. Vzhľadom na tieto okolnosti nie sú podľa môjho názoru pochybnosti o tom, že odpoveď na otázku položenú vnútroštátnym súdom je na vyriešenie sporu nevyhnutná. Zdá sa totiž dôležité stanoviť rozsah právomocí dozorného orgánu, ako aj jeho povinností voči sťažovateľovi. V dôsledku toho treba dospieť k záveru, že návrh na začatie prejudiciálneho konania je prípustný.
C.
Preskúmanie prejudiciálnej otázky
32.
Pokiaľ ide o vec samu, cieľom prejudiciálnej otázky je v podstate určiť, aké sú povinnosti dozorného orgánu vtedy, keď bolo zistené porušenie ochrany osobných údajov. Takýto scenár vo všeobecnosti predpokladá, že predmetné porušenie bolo preukázané v rámci vyšetrovania začatého na základe sťažnosti.
33.
Z vyjadrení vnútroštátneho súdu vyplývajú určité nejasnosti, pokiaľ ide o povinnosti, ktoré GDPR ukladá dozornému orgánu pri preskúmavaní sťažnosti, čo je podľa môjho názoru vysvetliteľné tým, že návrh na začatie prejudiciálneho konania bol podaný pred vyhlásením rozsudku vo veciach SCHUFA (
6
), v ktorom Súdny dvor stanovil rad dôležitých zásad, ktorými sa riadi konanie o sťažnostiach. Možno preto dôvodne predpokladať, že súd nemal možnosť oboznámiť sa s touto judikatúrou.
34.
V záujme čo najúplnejšieho možného vysvetlenia právneho rámca, ktorý sa týka režimu dozoru zavedeného GDPR a s cieľom poskytnúť vnútroštátnemu súdu užitočnú odpoveď považujem za nevyhnutné v prvom rade pripomenúť, aké sú zásady uplatniteľné na konanie o sťažnosti, (
7
) a v druhom rade vysvetliť, ako by mal dozorný orgán postupovať pri zistení porušenia ochrany osobných údajov. (
8
)
1. O povinnostiach dozorného orgánu pri vybavovaní sťažnosti
35.
Ako uviedol Súdny dvor v rozsudku SCHUFA, v súlade s článkom 8 ods. 3 Charty, ako aj článkom 51 ods. 1 a článkom 57 ods. 1 písm. a) GDPR sú dohľadom nad dodržiavaním pravidiel Únie, ktoré sa týkajú ochrany fyzických osôb pri spracovaní osobných údajov, poverené vnútroštátne dozorné orgány. (
9
)
36.
Okrem toho podľa článku 57 ods. 1 písm. f) GDPR je každý dozorný orgán povinný na svojom území vybavovať sťažnosti, ktoré má v súlade s článkom 77 ods. 1 tohto nariadenia právo podať každá osoba, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením, a v nevyhnutnom rozsahu preskúmať predmet uvedenej sťažnosti. (
10
)
37.
Dozorný orgán musí pristúpiť k vybaveniu takejto sťažnosti so všetkou vyžadovanou náležitou starostlivosťou. Súdny dvor tiež poznamenal, že článok 58 ods. 1 GDPR udeľuje na účely vybavovania podaných sťažností každému dozornému orgánu rozsiahle vyšetrovacie právomoci. (
11
)
38.
V tomto kontexte treba poznamenať, že Súdny dvor sa stotožnil s výkladom, ktorý som obhajoval v návrhoch prednesených vo veciach SCHUFA, podľa ktorého konanie o sťažnosti, ktoré nie je podobné konaniu o petícii, je koncipované ako mechanizmus, ktorý je spôsobilý účinne chrániť práva a záujmy dotknutých osôb. (
12
)
39.
Okrem toho je potrebné poznamenať, že Súdny dvor sa tiež stotožnil s mojím výkladom článku 78 ods. 1 GDPR, keď sa domnieval, rozhodnutie o sťažnosti prijaté dozorným orgánom podlieha úplnému súdnemu preskúmaniu. (
13
)
2. O povinnostiach dozorného orgánu pri zistení porušenia ochrany osobných údajov
40.
Ak dozorný orgán pri posudzovaní sťažnosti zistí porušenie ochrany osobných údajov, vynára sa otázka, ako má postupovať. Ako vysvetlím nižšie, takéto konštatovanie v prvom rade zakladá povinnosť dozorného orgánu zasiahnuť v záujme zásady zákonnosti. Vo všeobecnosti ide o definovanie najvhodnejšieho nápravného opatrenia alebo nápravných opatrení na nápravu porušenia. (
14
) Tento výklad považujem za primeraný vzhľadom na skutočnosť, že článok 57 ods. 1 písm. a) GDPR zveruje orgánu úlohu „monitor[ovať] uplatňovanie… nariadenia“ a „presadz[ovať] uplatňovanie… nariadenia“. Bolo by nezlučiteľné s týmto poverením, ak by dozorný orgán mal možnosť preukázané porušenie jednoducho ignorovať. (
15
)
41.
Navyše, vyšetrovacie právomoci, ktorými dozorný orgán disponuje podľa článku 58 ods. 1 GDPR by mali len malý význam, ak by bol dozorný orgán nútený obmedziť sa len na vykonanie vyšetrovania napriek zisteniu porušenia práv na ochranu osobných údajov. Výkon práv Únie v oblasti ochrany osobných údajov predstavuje podstatnú zložku pojmu „kontrola“ uvedeného v článku 16 ods. 2 ZFEÚ a článku 8 ods. 3 Charty. (
16
) V tejto súvislosti netreba zabúdať na to, že dozorný orgán koná tiež v záujme osoby alebo subjektu, ktorého práva boli porušené. V tejto súvislosti treba uviesť, že článok 57 ods. 1 písm. f) a článok 77 ods. 2 GDPR ukladajú vo vzťahu k sťažovateľovi určité povinnosti, a to povinnosť „inform[ovať] [ho] o pokroku a výsledku sťažnosti“.
42.
Táto posledná veta znamená, že dozorný orgán musí tiež informovať o opatreniach prijatých v súvislosti s porušením ochrany osobných údajov, ktoré zistil. Je zrejmé, že konanie o sťažnosti by nebolo vôbec užitočné, ak by dozorný orgán mohol zostať pasívny zoči voči situácii, ktorá je v rozpore s právom Únie. Z tohto dôvodu, aby mal dozorný orgán k dispozícii účinné prostriedky na riešenie tohto typu porušenia, článok 58 ods. 2 GDPR stanovuje katalóg nápravných opatrení odstupňovaných podľa intenzity zásahu. Povinnosť zasiahnuť vo všetkých prípadoch bez ohľadu na závažnosť porušenia znamená, že dozorný orgán musí použiť tento katalóg nápravných opatrení s cieľom obnoviť situáciu, ktorá je v súlade s právom Únie. (
17
)
3. O právomoci dozorného orgánu prijať nápravné opatrenia
43.
Vzhľadom na to treba spresniť, že otázku, či orgán musí zasiahnuť v prípade porušenia ochrany osobných údajov, treba jasne odlíšiť od otázky, ako musí tento orgán konkrétne konať. Pokiaľ ide o túto poslednú otázku, viaceré indície umožňujú vyvodiť záver, že dozorný orgán disponuje mierou voľnej úvahy, ktorú však treba vykonávať v súlade s cieľmi GDPR a v medziach stanovených týmto nariadením. Hoci som už uviedol niekoľko argumentov na podporu takéhoto výkladu vo veciach SCHUFA (
18
), zdá sa, že je potrebné zaoberať sa touto otázkou v týchto návrhoch hlbšie.
44.
Na úvod treba poznamenať, že v súlade s článkom 58 ods. 2 GDPR dozorný orgán „má… právomoci“ prijať všetky nápravné opatrenia vymenované v tomto ustanovení, čo znamená existenciu možnosti, ako správne uviedol vnútroštátny súd. Okrem toho sa tento význam nachádza vo všetkých jazykových verziách, ktoré som v rámci mojej analýzy preskúmal. (
19
)
45.
Článok 58 ods. 2 GDPR treba vykladať s prihliadnutím na odôvodnenie 129 tohto nariadenia, z ktorého vyplýva, že „každé opatrenie [musí byť] vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením, berúc do úvahy okolnosti každého konkrétneho prípadu“ (kurzívou zvýraznil generálny advokát). Inými slovami, „právomoc“ priznaná dozornému orgánu na použitie katalógu nápravných opatrení uvedených v tomto ustanovení podlieha sérii podmienok, najmä tomu, aby opatrenie prijaté týmto orgánom bolo „vhodné“. Tento neurčitý právny pojem, ktorý orgánu priznáva určitú mieru voľnej úvahy, vykladám v tom zmysle, že zvolené opatrenie musí vzhľadom na svoje vlastnosti a spôsob účinku umožniť obnoviť situáciu, ktorá je v súlade s právom Únie. (
20
)
46.
Tento výklad priamo vychádza z judikatúry Súdneho dvora, ktorý rozhodol, že keď dozorný orgán zistí, že spracúvanie osobných údajov predstavuje porušenie GDPR, „je povinný reagovať primeraným spôsobom, aby napravil zistený nedostatok“ (
21
). Ako poznamenala Komisia, povinnosť uložená dozornému orgánu sa teda vzťahuje predovšetkým na výsledok, ktorý treba dosiahnuť, konkrétne dosiahnuť nápravu zisteného nedostatku, a to prijatím „vhodné[ho]“ opatrenia na tento účel. Okrem toho treba uviesť, že rozhodnutie týkajúce sa opatrenia, ktoré sa má prijať, závisí od konkrétnych okolností každého jednotlivého prípadu, ako to jasne vyplýva z už citovaného odôvodnenia 129 GDPR. V dôsledku toho sa rozhodnutia prijaté dozorným orgánom v rámci jeho správnej praxe môžu v jednotlivých prípadoch výrazne líšiť v závislosti od situácie.
47.
Keďže článok 58 ods. 2 nariadenia GDPR sa obmedzuje na konštatovanie, že každý dozorný orgán „má… právomoci“ prijať všetky nápravné opatrenia vymenované v tomto ustanovení, dozorný orgán má určitú mieru voľnej úvahy, keďže si v zásade môže vybrať spomedzi týchto nápravných opatrení na nápravu konštatovaného porušenia. Ako Súdny dvor zdôraznil v rozsudku C‑311/18 (Facebook Ireland a Schrems), „výber vhodného a potrebného prostriedku prináleží dozornému orgánu“, ktorý musí tento výber vykonať s prihliadnutím na všetky okolnosti dotknutého prípadu. (
22
)
48.
Priznanie diskrečnej právomoci podľa môjho názoru zahŕňa aj právomoc neprijať žiadne z nápravných opatrení uvedených v článku 58 ods. 2 GDPR, ak je takýto prístup odôvodnený osobitnými okolnosťami konkrétneho prípadu. Vzhľadom na to, že použitie katalógu nápravných opatrení podlieha aj podmienke, že predmetné opatrenie je „potrebné“ na zabezpečenie dodržiavania tohto nariadenia, nemožno vylúčiť, že konkrétny zásah zo strany dozorného orgánu nespĺňa túto podmienku, napríklad ak bol problém medzičasom vyriešený alebo prekonaný a porušenie prestalo existovať. Je zrejmé, že zásah dozorného orgánu by za takýchto okolností nemal zmysel.
49.
Rovnako, ako správne uvádza portugalská vláda, použitie nápravných opatrení už nemusí byť odôvodnené, ak je úroveň odsúdeniahodnosti konania prevádzkovateľa alebo sprostredkovateľa zjavne nízka, alebo ak sú okolnosti prípadu samy osebe poľahčujúce, najmä preto, že určitú časť zodpovednosti má aj sťažovateľ. To však predpokladá, že dozorný orgán má možnosť stanoviť hranicu, pod ktorou sa zásah nepovažuje za „potrebný“ v zmysle GDPR.
50.
V tejto súvislosti si dovoľujem upriamiť pozornosť na odôvodnenie 141 GDPR, v ktorom sa výslovne uvádza možnosť dozorného orgánu rozhodnúť, že nebude konať v prípadoch, v ktorých sa domnieva, že konanie nie je „nevyhnutné“ na zaručenie ochrany práv dotknutej osoby („nekoná v prípade, keď je takéto konanie nevyhnutné“) (kurzívou zvýraznil generálny advokát). V tomto odôvodnení sa spresňuje, že rozhodnutie dozorného orgánu podlieha súdnemu preskúmaniu aj v prípade, že sťažovateľ nesúhlasí s posúdením dozorného orgánu, pokiaľ ide o „potrebu“ konať, okrem iných tam uvedených prípadov, teda keď sú porušené jeho práva, ktoré mu priznáva toto nariadenie, alebo ak dozorný orgán nereaguje na jeho sťažnosť, čiastočne alebo v plnom rozsahu ju odmietne alebo jej nevyhovie.
51.
Z diskrečnej právomoci priznanej dozornému orgánu podľa článku 58 ods. 2 GDPR vyplýva, že je tiež možné napraviť menšie porušenia inými opatreniami prijatými samotným prevádzkovateľom. Ako ukazujú okolnosti prejednávanej veci, nápravné opatrenia, ktoré majú zodpovedné podniky prijať „samostatne“, môžu spočívať v prijatí disciplinárnych opatrení voči zamestnancom, ktorí sa dopustili porušení. Za okolností, za ktorých sa zodpovednosť za porušenie uznala a zabezpečilo sa, aby nedošlo k ďalšiemu porušeniu ochrany osobných údajov, sa uloženie dodatočných nápravných opatrení dozorným orgánom môže javiť ako zbytočné.
52.
Za určitých okolností môže byť dokonca kontraproduktívne využiť voči prevádzkovateľovi právomoc prijímať nápravné opatrenia, a to vtedy, ak to nie je vhodné ani potrebné. Ak by bol dozorný orgán povinný využiť právomoc prijať nápravné opatrenia stanovené v článku 58 ods. 2 GDPR v každom prípade porušenia, viedlo by to k zmenšeniu zdrojov dostupných na riešenie iných prípadov a úloh, ktoré si z hľadiska ochrany údajov zasluhujú väčšiu pozornosť. Z tohto dôvodu sa domnievam, že použitie „samostatných“ opatrení prijatých samotným prevádzkovateľom umožňuje dozornému orgánu sústrediť sa na závažné prípady, ktoré si zasluhujú prioritu, pričom sa zároveň zabezpečuje nepretržitý boj, ale decentralizovaným spôsobom, proti porušovaniu ochrany osobných údajov, konkrétne prostredníctvom čiastočného delegovania úloh dozorného orgánu.
53.
Ak sa aj dozorný orgán rozhodne neuplatniť nápravné opatrenia uvedené v článku 58 ods. 2 GDPR, pričom uprednostní použitie „samostatných“ opatrení prijatých prevádzkovateľom, považujem za nevyhnutné, aby boli splnené určité právne požiadavky. V prvom rade dozorný orgán by mal udeliť výslovný súhlas s takýmto opatrením, aby sa zabránilo akémukoľvek obchádzaniu režimu dozoru zavedeného GDPR. V druhom rade by tomuto súhlasu malo predchádzať dôkladné preskúmanie situácie vzhľadom na podmienky uvedené v odôvodnení 129 GDPR tak, aby dozorný orgán nebol zbavený zodpovednosti dohliadať na dodržiavanie tohto nariadenia. Po tretie v dohode so subjektom, ktorý má vykonať „samostatné“ opatrenie, by sa malo stanoviť právo dozorného orgánu zasiahnuť, ak nebudú dodržané jeho pokyny. Ak by sa Súdny dvor stotožnil s týmto výkladom a domnieval sa, že takéto „samostatné“ opatrenia sú v zásade v súlade s GDPR, zastávam názor, že Súdny dvor by mal v záujme koherencie systému dozoru trvať aj na potrebe dodržiavania vyššie uvedených požiadaviek.
54.
Keďže článok 58 ods. 2 GDPR priznáva dozornému orgánu diskrečnú právomoc, pokiaľ ide o výber „vhodného“ nápravného opatrenia v konkrétnom prípade, je logické vylúčiť akékoľvek právo sťažovateľa požadovať prijatie určitého opatrenia. Hoci totiž sťažovateľ má vo vzťahu k dozornému orgánu v rámci tohto konania určité práva, najmä právo byť v primeranej lehote informovaný o pokroku pri vyšetrovaní a o výsledku vyšetrovania, nič to nemení na tom, že tieto práva nezahŕňajú právo požadovať prijatie konkrétneho opatrenia.
55.
Takéto právo nemožno vyvodiť ani zo skutočnosti, že sťažovateľ má právo na účinný súdny prostriedok nápravy voči dozornému orgánu podľa článku 78 GDPR, pretože hlavná povinnosť tohto orgánu voči sťažovateľovi v rámci konania o sťažnosti spočíva v tom, že dostatočne presne a podrobne odôvodní svoje rozhodnutie, či v prejednávanej veci zasiahnuť, alebo nie, vzhľadom na zistenia uskutočnené v rámci vyšetrovania vedeného orgánom.
56.
Okrem toho treba poznamenať, že v súlade s článkom 78 ods. 2 GDPR možno súdny prostriedok nápravy podať z dôvodu, že príslušný dozorný orgán sťažnosť nevybavil alebo neinformoval dotknutú osobu v lehote troch mesiacov o pokroku alebo výsledku sťažnosti, ktorú podala podľa článku 77 tohto nariadenia. Treba však konštatovať, že zo žiadneho z uvedených dôvodov nevyplýva, že by dotknutá osoba mala v rámci súdneho prostriedku nápravy akékoľvek subjektívne právo domáhať sa prijatia určitého opatrenia.
57.
To isté platí pre možnosť uvedenú v odôvodnení 141 GDPR, a to napadnúť súdnym prostriedkom nápravy posúdenie dozorného orgánu, pokiaľ ide o „potrebu“ konať s cieľom chrániť práva dotknutej osoby. Aj keď o „potrebe“ konať v konkrétnom prípade nakoniec musí rozhodnúť príslušný súd, nevyhnutne to neznamená, že dozorný orgán musí prijať určité opatrenie. Tento dozorný orgán je skôr povinný vykonať svoju diskrečnú právomoc, prípadne s prihliadnutím na posúdenie vykonané týmto súdom.
58.
Napriek tomu treba spresniť, že si možno predstaviť aj to, že dozorný orgán bude ako správny orgán povinný prijať určité opatrenie z dôvodu osobitných okolností prejednávanej veci, najmä ak existuje vážne riziko zásahu do základných práv dotknutej osoby. Presne tento scenár som opísal vo svojich návrhoch, ktoré som predniesol vo veci SCHUFA. (
23
) Tento návrh na začatie prejudiciálneho konania tak ponúka možnosť túto tému rozvinúť.
59.
V tejto súvislosti treba najprv pripomenúť rozsudok C‑311/18 (Facebook Ireland a Schrems), v ktorom Súdny dvor uviedol, že takýto prípad môže skutočne existovať. Súdny dvor konkrétne rozhodol, že dozorný orgán je prípadne
povinný prijať niektoré z opatrení vymenovaných v článku 58 ods. 2 GDPR, a to najmä vtedy, keď sa domnieva, že ochranu vyžadovanú právom Únie nemožno zabezpečiť inými prostriedkami. V dôsledku toho sa v tomto rozsahu diskrečná právomoc dozorného orgánu obmedzuje na niektoré alebo prípadne na jedno z opatrení uvedených v tomto ustanovení. (
24
)
60.
Ako správne uvádza rakúska vláda, môže existovať množstvo podobných prípadov, ktoré vyžadujú prijatie konkrétneho nápravného opatrenia, napríklad prípad, keď dozorný orgán v rámci konania o sťažnosti konštatuje, že existuje povinnosť údaje vymazať a prevádzkovateľ ich ešte nevymazal. V opísanej situácii bude dozorný orgán v každom prípade povinný v súlade s článkom 58 ods. 2 písm. g) GDPR nariadiť vymazanie.
61.
Príklady uvedené v predchádzajúcich bodoch ukazujú, že nemožno vylúčiť, že v závislosti od osobitných okolností konkrétneho prípadu bude možné obnovenie situácie, ktorá je v súlade s právom Únie, dosiahnuť len prijatím konkrétneho nápravného opatrenia. Predovšetkým sa mi zdá, že za okolností, keď by inak existovalo riziko vážneho porušenia práv dotknutej osoby by sa diskrečná právomoc dozorného orgánu mohla obmedziť len na prijatie jediného vhodného opatrenia s cieľom ochrany práv tejto osoby.
62.
Akýkoľvek iný výklad by bol podľa môjho názoru nezlučiteľný s povinnosťou zabezpečiť dodržiavanie základných práv podľa Charty, ktorou sú viazané orgány členských štátov pri vykonávaní práva Únie, v súlade s článkom 51 ods. 1 Charty. Túto povinnosť majú aj dozorné orgány, ako to vyplýva z článku 58 ods. 4 GDPR. (
25
) Z tohto hľadiska je rozumné podporiť názor, že právo Únie priznáva dotknutej osobe subjektívne právo vyžadovať, aby orgán prijal predmetné opatrenie. Musím však zdôrazniť, že v prejednávanej veci nič nenaznačuje, že by podmienky takéhoto obmedzenia diskrečnej právomoci dozorného orgánu boli splnené.
63.
Stručne povedané, dozorný orgán, ktorému bola podaná sťažnosť podľa článku 77 GDPR, je povinný, ak zistí, že došlo k porušeniu práv dotknutej osoby, primerane reagovať s cieľom odstrániť zistené a pretrvávajúce nedostatky a zabezpečiť ochranu práv dotknutej osoby. Ak dozorný orgán v tomto ohľade zasiahne, je povinný spomedzi právomocí uvedených v článku 58 ods. 2 tohto nariadenia vybrať vhodné, potrebné a primerané opatrenie. Táto diskrečná právomoc pri výbere prostriedkov je v dôsledku toho obmedzená, ak požadovanú ochranu možno zabezpečiť len prijatím konkrétnych opatrení.
4. O neexistencii povinnosti dozorného orgánu uložiť správne pokuty vo všetkých prípadoch
64.
Po tomto všeobecnom opise právomoci dozorného orgánu prijať nápravné opatrenia treba preskúmať otázku, či je dozorný orgán povinný uložiť správne pokuty vo všetkých prípadoch. Hoci niektoré aspekty tejto otázky možno objasniť na základe vyššie uvedených úvah, považujem za potrebné uviesť niekoľko ďalších vysvetlení. Hoci totiž normotvorca Únie zahrnul správne pokuty medzi „nápravné opatrenia“ podľa článku 58 ods. 2 GDPR, nič to nemení na tom, že majú v porovnaní s inými opatreniami určité osobitné vlastnosti. Z tohto dôvodu sa táto časť analýzy zameria na osobitné právne pravidlá uvedené v článku 58 ods. 2 písm. i) a článku 83 tohto nariadenia.
65.
Ako nedávno pripomenul Súdny dvor, správna pokuta je súčasťou systému sankcií zavedených
GDPR, čím podnecuje prevádzkovateľov a sprostredkovateľov k dodržiavaniu tohto nariadenia. Správne pokuty svojím odradzujúcim účinkom prispievajú k posilneniu ochrany fyzických osôb pri spracúvaní osobných údajov, a preto predstavujú kľúčový prvok na zabezpečenie dodržiavania práv týchto osôb v súlade s účelom tohto nariadenia, ktorým je zabezpečiť vysokú úroveň ochrany týchto osôb pri spracúvaní osobných údajov. (
26
)
66.
Článok 83 GDPR predpokladá dvojúrovňový systém, pričom výslovne uvádza, že niektoré porušenia sú závažnejšie ako iné. Prvá úroveň zahŕňa porušenie článkov, ktorými sa upravujú zodpovednosti jednotlivých aktérov (prevádzkovateľ, sprostredkovateľ, certifikačné subjekty atď.). Druhá úroveň zahŕňa porušenia takých individuálnych práv chránených týmto nariadením, ako sú základné práva, základné zásady spracúvania, právo dotknutých osôb na informácie, pravidlá prenosu atď. Na oboch stupňoch je potrebné vykonať dve posúdenia: po prvé rozhodnúť, či je potrebné uložiť pokutu, a po druhé rozhodnúť o výške správnej pokuty. Pri oboch posúdeniach musia dozorné orgány zvážiť všetky individuálne faktory uvedené v článku 83 ods. 2 uvedeného nariadenia. Závery dosiahnuté v prvej fáze však možno použiť v druhej fáze týkajúcej sa výšky pokuty tak, aby odpadla potreba vykonať druhé posúdenie na základe rovnakých kritérií. (
27
)
67.
Po týchto úvodných vysvetleniach ďalej preskúmam otázku týkajúcu sa prípadnej povinnosti uložiť správne pokuty vo všetkých prípadoch. V tejto súvislosti treba najprv poznamenať, že článok 58 ods. 2 písm. i) GDPR stanovuje, že dozorný orgán môže uložiť správnu pokutu „v závislosti od okolností každého jednotlivého prípadu“. Toto ustanovenie treba vykladať v spojení s článkom 83 ods. 2 tohto nariadenia, ktorý upravuje nielen rovnaké obmedzenia na účel uplatnenia takéhoto nápravného opatrenia, ale naznačuje, že dozorný orgán sa môže dokonca zdržať uplatnenia takéhoto nápravného opatrenia („pri rozhodovaní o uložení správnej pokuty“) (kurzívou zvýraznil generálny advokát), ak okolnosti takýto prístup odôvodňujú. Táto formulácia sa nachádza – vo viac či menej podobnom znení – v iných jazykových verziách. (
28
) Stručne povedané, znenie samotného článku 83 ods. 2 GDPR naznačuje, že uloženie správnej pokuty nie je povinné vo všetkých prípadoch.
68.
Navyše treba poznamenať, že toto ustanovenie ukladá dozornému orgánu povinnosť zohľadniť v každom jednotlivom prípade rad skutočností pri rozhodovaní o tom, či je potrebné uložiť správnu pokutu. V podstate ide o také priťažujúce a poľahčujúce okolnosti, ktoré majú vplyv na rozhodnutie dozorného orgánu, akými sú povaha, závažnosť a dĺžka trvania porušenia, ale aj okolnosti súvisiace so správaním prevádzkovateľa, ako je skutočnosť, či k porušeniu došlo úmyselne alebo z nedbanlivosti. (
29
)
69.
V tejto súvislosti sa mi druhá a tretia veta odôvodnenia 148 GDPR zdajú byť relevantné na účely výkladu článku 83 ods. 2 tohto nariadenia, keďže poskytujú informácie o charakteristikách, ktoré treba zohľadniť pri prijímaní rozhodnutia. Účinkom tohto odôvodnenia je zavedenie pojmu„menej závažné porušenie“, čo vyvoláva významné dopady pre správnu prax dozorného orgánu. (
30
) Možno sa tam okrem iného dočítať, že „v prípade menej závažného porušenia, alebo ak by pravdepodobne uložená pokuta predstavovala pre fyzickú osobu neprimeranú záťaž, možno namiesto uloženia pokuty udeliť napomenutie“ (kurzívou zvýraznil generálny advokát).
70.
Podľa môjho názoru možno z uvedeného vyvodiť, že normotvorca Únie si bol vedomý skutočnosti, že správna pokuta predstavuje mimoriadne prísne nápravné opatrenie, ktoré netreba uplatniť vo všetkých prípadoch, pretože inak by bola jej účinnosť znížená, ale len ak si to vyžadujú okolnosti konkrétneho prípadu. Odôvodnenie 148 GDPR totiž nepriamo odkazuje na zásadu proporcionality, ktorú majú dozorné orgány dodržiavať pri uplatňovaní tohto nariadenia v osobitnom kontexte sankcií, vrátane správnych pokút. Ako som už uviedol vo svojej analýze, túto zásadu odráža odôvodnenie 129 uvedeného nariadenia, ktoré sa týka prijímania nápravných opatrení vo všeobecnosti. (
31
) Systém sankcií, ktorý mal normotvorca v úmysle zaviesť, je teda umiernený a odstupňovaný. (
32
)
71.
Z výkladu uvedeného článku 83 ods. 2 v spojení s odôvodnením 148 GDPR vyplýva, že aj v prípade konštatovania porušenia môže posúdenie kritérií uvedených v tomto ustanovení viesť dozorný orgán k záveru, že za konkrétnych okolností prejednávanej veci napríklad porušenie nespôsobuje významné riziko pre práva dotknutých osôb a nemá vplyv na podstatu predmetnej povinnosti. V takýchto prípadoch sa pokuta niekedy – ale nie vždy – nahrádza výzvou na odstránenie nedostatkov. (
33
)
72.
Treba však spresniť, že toto odôvodnenie 148 neukladá dozornému orgánu povinnosť nahradiť pokutu výzvou na odstránenie nedostatkov v prípade menej závažného porušenia, ale ponecháva mu možnosť tak urobiť po konkrétnom posúdení všetkých okolností prípadu. Napokon z uvedeného odôvodnenia 148 vyplýva, že dozorný orgán môže upustiť od uloženia pokuty, aj keď je na základe ním vykonaného posúdenia použitie takéhoto nápravného opatrenia a priori potrebné, a to ak táto pokuta predstavuje neprimeranú záťaž pre fyzickú osobu. (
34
)
73.
Osobitné charakteristiky vlastné každému prípadu, ktoré sú uvedené v článku 83 ods. 2 GDPR, tak v konečnom dôsledku určujú, či treba uložiť pokutu, a ak áno, výšku tejto pokuty. Všetky tieto indície potvrdzujú môj názor, že toto rozhodnutie je v konečnom dôsledku diskrečným rozhodnutím dozorného orgánu. (
35
) Dozorný orgán je povinný vykonávať, svedomito a v súlade s požiadavkami GDPR, diskrečnú právomoc, ktorá mu bola zverená. Hranice tejto diskrečnej právomoci vyplývajú zo všeobecných zásad práva Únie a práva členských štátov, najmä zo zásady rovnosti zaobchádzania. Z toho vyplýva potreba rozvíjať administratívnu prax ukladania pokút, ktorá zaobchádza s podobnými prípadmi porovnateľným spôsobom.
74.
Chcel by som tiež poukázať na to, ako je uvedené v odôvodnení 149 GDPR, že v prípade kumulatívneho uloženia finančných sankcií trestnoprávnej povahy existuje dokonca riziko porušenia zásady ne bis in idem, ako ju vykladá Súdny dvor. Táto zásada pritom predstavuje základné právo, ktoré je chránené článkom 50 Charty a možno ho obmedziť len za prísnych podmienok uvedených v článku 52 Charty. Inými slovami, prekážky právnej povahy môžu tiež brániť uloženiu správnych pokút.
5. O neexistencii povinnosti dozorného orgánu uložiť správne pokuty, ak to sťažovateľ výslovne vyžaduje
75.
Posledné hľadisko, ktoré treba preskúmať, sa týka otázky, či je dozorný orgán povinný uložiť správne pokuty, ak to výslovne požaduje sťažovateľ. Ako som uviedol pri preskúmaní prípustnosti návrhu na začatie prejudiciálneho konania, zo spisu vyplýva, že TR požiadal HBDI, aby konal proti Sparkasse a uložil jej správne pokuty. Na podporu svojej žiadosti TR uskutočnil výpočty s cieľom určiť sumu pokuty, ktorú treba uložiť. (
36
) Táto žiadosť je očividne založená na názore, podľa ktorého má sťažovateľ voči dozornému orgánu subjektívne právo požadovať prijatie konkrétneho opatrenia. Ako však vysvetlím nižšie, domnievam sa, že toto stanovisko nemá nijaký právny základ.
76.
Po prvé moja analýza ukázala, že dozorný orgán má pri výbere vhodného opatrenia v každom jednotlivom prípade diskrečnú právomoc. S výnimkou osobitných okolností, ktoré môžu viesť k obmedzeniu tejto diskrečnej právomoci, akými sú závažnosť alebo pretrvávajúci dosah porušenia ochrany osobných údajov – ktoré podľa môjho názoru v prejednávanej veci nie sú splnené – si dozorný orgán túto diskrečnú právomoc zachováva. Vzhľadom na to, že správne pokuty patria medzi nápravné opatrenia, ktoré môže dozorný orgán prijať podľa článku 58 ods. 2 GDPR, je logické vyvodiť, že táto diskrečná právomoc sa vzťahuje aj na správne pokuty. Z toho vyplýva, že dozorný orgán nemá vôbec povinnosť konať v záujme sťažovateľa prijatím konkrétneho nápravného opatrenia.
77.
Po druhé aj za predpokladu, že by okolnosti prejednávanej veci boli odlišné do tej miery, že by odôvodňovali prijatie konkrétneho nápravného opatrenia, zdá sa mi, že nemožno platne tvrdiť, že uloženie správnej pokuty je nevyhnutné. Rovnako ako rakúska vláda sa domnievam, že je potrebné zohľadniť ciele, ktoré sledujú rôzne nápravné opatrenia vymenované v článku 58 ods. 2 GDPR, najmä správna pokuta. Konkrétne sa mi zdá, že jej právna povaha bráni uznaniu subjektívneho práva dotknutej osoby vo vyššie uvedenom zmysle, pretože jedným z cieľov tohto opatrenia je sankcionovať správanie, ktoré sa považuje za odporujúce právu Únie. Domnievam sa, že vzhľadom na represívny účel správnej pokuty, prinajmenšom v určitých situáciách, (
37
) a vzhľadom na vysoký stupeň prísnosti, ktorý môže vykazovať, môže mať správna pokuta trestnoprávnu povahu. (
38
) Treba však pripomenúť, že právo trestať (ius puniendi) patrí výlučne štátu a jeho orgánom.
78.
V tejto súvislosti treba poznamenať, že článok 83 ods. 1 GDPR okrem iného vyžaduje, aby pokuty boli v každom prípade „účinné, primerané a odrádzajúce“. Posúdenie otázky, či zamýšľaná pokuta v danom prípade spĺňa tieto podmienky prináleží dozornému orgánu, ktorý koná na vlastnú zodpovednosť. Je jeho úlohou rozhodnúť, či je v konkrétnom prípade potrebné použiť nástroj správnej pokuty. Na tento účel mu normotvorca Únie poskytuje podrobný právny rámec. Článok 83 GDPR tak stanovuje všeobecné podmienky na ukladanie takýchto pokút, ktoré sú doplnené Usmerneniami týkajúcimi sa používania a stanovovania správnych pokút na účely GDPR, ktoré vypracoval EDPB v súlade s článkom 70 ods. 1 písm. k) nariadenia. V tejto súvislosti treba poznamenať, že zo žiadneho z týchto pravidiel a usmernení nemožno vyvodiť, že by sťažovateľ, ktorého práva boli porušené, mal osobitné právne postavenie, ktoré by mu umožňovalo požiadať dozorný orgán o uloženie správnej pokuty porušovateľovi.
79.
Je pravda, že niektoré kritériá uvedené v článku 83 ods. 2 GDPR – ako napríklad úroveň vzniknutej škody – naznačujú, že dozorný orgán musí pri prijímaní rozhodnutia zohľadniť aj situáciu dotknutej osoby. Tieto kritériá však samy osebe nepredstavujú dostatočný nepriamy dôkaz na preukázanie existencie subjektívneho práva požadovať uloženie pokuty. Ako vyplýva z výkladu tohto ustanovenia v spojení s odôvodnením 75 tohto nariadenia, cieľom uvedených kritérií je poskytnúť dozornému orgánu užitočné informácie, ktoré mu umožnia posúdiť povahu, závažnosť a trvanie porušenia a zvoliť vhodné nápravné opatrenie. (
39
) V dôsledku toho prichádzajú, v závislosti od každého jednotlivého prípadu, pre dozorný orgán do úvahy rôzne nápravné opatrenia – a nielen správna pokuta – bez toho však, aby sa dotknutá osoba mohla domáhať prijatia konkrétneho opatrenia. Jedine dozornému orgánu prináleží rozhodnúť, či je potrebné prijať opatrenie s cieľom obnoviť dodržiavanie pravidiel alebo sankcionovať protiprávne konanie.
80.
Po tretie odlišný záver nemožno vyvodiť ani zo skutočnosti, že normotvorca Únie definoval úlohu dozorného orgánu v systéme pokút vytvorenom GDPR tak, že sa inšpiroval právomocami, ktoré má Komisia v oblasti práva hospodárskej súťaže. (
40
) V tejto súvislosti pripomeniem, že právomoc tejto inštitúcie ukladať pokuty podnikom, ktoré sa dopustili v zmysle článkov 101 a 102 ZFEÚ protiprávneho konania, predstavuje jeden z prostriedkov priznaných tejto inštitúcii s cieľom umožniť jej plniť dozorné poslanie, ktoré jej ukladá právo Únie. (
41
) Treba však poznamenať, že Komisia má diskrečnú právomoc, ktorej výkon je obmedzený len dodržiavaním všeobecných zásad práva Únie, vrátane zásad proporcionality a rovnosti zaobchádzania. (
42
) Okrem toho treba poznamenať, že nariadenie Rady (ES) č. 1/2003 o vykonávaní pravidiel hospodárskej súťaže (
43
), neupravuje žiadne právo požadovať uloženie pokút na základe jeho článku 23 pre sťažovateľov alebo pre tretie osoby, ktorých záujmy mohli byť dotknuté rozhodnutím v rámci správneho konania začatého Komisiou, (
44
) pričom Komisia je na základe článku 27 tohto nariadenia jednoducho povinná vyhovieť možným žiadostiam o vypočutie predneseným uvedenými osobami pred prijatím sankcie.
81.
Na základe už uvedených skutočností sa domnievam, že za súčasného stavu vývoja práva Únie nie je možné dospieť k záveru, že sťažovateľ, ktorého práva boli porušené, má subjektívne právo domáhať sa uloženia správnej pokuty. Tým nie je dotknutá jeho možnosť navrhnúť použitie takéhoto nápravného opatrenia tým, že poskytne argumenty a dôkazy na podporu svojho stanoviska. Konečné rozhodnutie však patrí do diskrečnej právomoci dozorného orgánu.
D.
Zhrnutie preskúmania prejudiciálnej otázky
82.
Z vyššie uvedenej analýzy vyplýva, že dozorný orgán má povinnosť zasiahnuť vtedy, keď v rámci preskúmania sťažnosti konštatuje porušenie ochrany osobných údajov. Predovšetkým musí vymedziť najvhodnejšie nápravné opatrenie alebo nápravné opatrenia na nápravu porušenia a vynútenie dodržiavania práv dotknutej osoby. V tejto súvislosti GDPR vyžaduje, pričom dozornému orgánu ponecháva určitú diskrečnú právomoc, aby tieto opatrenia boli vhodné, potrebné a primerané. Dozorný orgán môže za určitých podmienok upustiť od opatrení uvedených v článku 58 ods. 2 tohto nariadenia v prospech „samostatných“ opatrení prijatých samotným prevádzkovateľom. V každom prípade dotknutá osoba nemá právo požadovať prijatie určitého konkrétneho opatrenia. Tieto zásady sa uplatňujú aj na systém správnych pokút.
VI. Návrh
83.
Vzhľadom na všetky vyššie uvedené úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálnu otázku, ktorú položil Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), takto:
Ustanovenia článku 57 ods. 1 písm. a) a f) v spojení s článkom 58 ods. 2 písm. a) až j) a článkom 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa majú vykladať v tom zmysle, že:
ak dozorný orgán zistí spracúvanie údajov, ktoré zasahuje do práv dotknutej osoby, je povinný zasiahnuť podľa článku 58 ods. 2 nariadenia 2016/679 v rozsahu, ktorý je potrebný na zabezpečenie plného dodržiavania nariadenia. V tejto súvislosti je povinný vybrať, s prihliadnutím na konkrétne okolnosti každého prípadu, vhodný, potrebný a primeraný prostriedok, najmä na účely nápravy porušenia a zabezpečenia dodržiavania práv dotknutej osoby.
(
1
)	Jazyk prednesu: francúzština.
(
2
)	Ú. v. EÚ L 119, 2016, s. 1.
(
3
)	Návrhy prednesené v spojených veciach SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, EU:C:2023:222).
(
4
)	Pozri rozsudok z 10. decembra 2020, J & S Service (C‑620/19, EU:C:2020:1011, bod 31 a citovaná judikatúra).
(
5
)	Pozri rozsudok zo 14. júla 2022, Sense Visuele Communicatie en Handel vof (C‑36/21, EU:C:2022:556, bod 22 a citovaná judikatúra).
(
6
)	Rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, ďalej len „rozsudok SCHUFA, EU:C:2023:958).
(
7
)	Pozri body 35 až 39 nižšie.
(
8
)	Pozri bod 40 nižšie a nasl.
(
9
)	Rozsudok SCHUFA (bod 55).
(
10
)	Rozsudok SCHUFA (bod 56).
(
11
)	Rozsudok SCHUFA (body 56 a 57).
(
12
)	Rozsudok SCHUFA (bod 58).
(
13
)	Rozsudok SCHUFA (bod 70).
(
14
)	Pozri „Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely [GDPR]“ pracovnej skupiny článku 29 pre ochranu údajov, prijaté 3. októbra 2017, s. 5 (ďalej len „Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR“). Túto pracovnú skupinu následne nahradil Európsky výbor pre ochranu údajov (ďalej len „EDPB). Jej usmernenia však naďalej platia.
(
15
)	Pozri v tomto zmysle CHAMBERLAIN, J., REICHEL, J.:The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation. In: Mississippi Law Journal, 2020, zv. 89(4), s. 686, ktorí sa opierajú o vyššie uvedené usmernenia.
(
16
)	HIJMANS, H.: Article 57. Tasks. In: KUNER, C., BYGRAVE, L. A., DOCKSEY, C., (eds.): The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 934.
(
17
)	Pozri v tomto zmysle HÄRTING, N., FLISEK, C., THEISS, L.: DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers. In: Computer und Recht, 5/2018, s. 299.
(
18
)	Pozri moje návrhy, ktoré som predniesol vo veciach SCHUFA, bod 41 a nasl.
(
19
)	Pozri španielsku („dispondrá de... los... poderes correctivos“), dánsku („har... korrigerende beføjelser“), nemeckú („verfügt über... Abhilfebefugnisse, die es ihr gestatten“), estónsku („on... parandusvolitused“), anglickú („shall have... corrective powers“), taliansku („ha... i poteri correttivi“), holandskú („heeft... bevoegdheden tot het nemen van corrigerende maatregelen“), poľskú („przysługują... uprawnienia naprawcze“), portugalskú („dispõe dos... poderes de correção“) a švédsku („ska ha... korrigerande befogenheter“) jazykovú verziu.
(
20
)	Pozri v tomto zmysle HÄRTING, N., FLISEK, C., THEISS, L.: DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers. In: Computer und Recht, 5/2018, s. 299.
(
21
)	Pozri rozsudok SCHUFA (bod 57), a rozsudok zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 111). Kurzívou zvýraznil generálny advokát.
(
22
)	Rozsudok zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 112). Kurzívou zvýraznil generálny advokát.
(
23
)	Pozri bod 42 vyššie.
(
24
)	Rozsudok zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 113). Súdny dvor rozhodol, že dozorný orgán je podľa článku 58 ods. 2 písm. f) a j) GDPR povinný pozastaviť alebo zakázať prenos osobných údajov do tretej krajiny, ak sa vzhľadom na všetky osobitné okolnosti tohto prenosu domnieva, že štandardné doložky ochrany údajov nie sú alebo nemôžu byť v tejto tretej krajine dodržané a že ochrana prenášaných údajov, ktorú vyžaduje právo Únie, nemôže byť zabezpečená inými prostriedkami, pokiaľ prevádzkovateľ alebo jeho sprostredkovateľ so sídlom v Únii sám tento prenos nepozastaví alebo neukončí.
(
25
)	Pozri v tomto zmysle GEORGIEVA, L., SCHMIDL, M.: Article 58. Powers. In: KUNER, C., BYGRAVE, L. A., DOCKSEY, C. (eds.): The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 945.
(
26
)	Pozri rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, bod 78).
(
27
)	Pozri Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR, s. 9.
(
28
)	Pozri španielsku („Al decidir la imposición“), dánsku („Når der træffes afgørelse om, hvorvidt der skal pålægges“), nemeckú („Bei der Entscheidung über die Verhängung“), estónsku („Otsustades igal konkreetsel juhul“), anglickú („When deciding whether to impose“), taliansku („Al momento di decidere se infliggere“), holandskú („Bij het besluit over de vraag of... wordt opgelegd“), poľskú („Decydując, czy nałożyć“), portugalskú („Ao decidir sobre a aplicação“) a švédsku („Vid beslut om huruvida... ska påföras“) jazykovú verziu.
(
29
)	Pozri v tejto súvislosti rozsudok z 5. decembra 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, bod 61 a nasl.).
(
30
)	Rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, bod 76).
(
31
)	Pozri bod 45 vyššie.
(
32
)	Pozri návrhy, ktoré predniesol generálny advokát Emiliou vo veci Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:376, bod 78), v ktorých vysvetľuje, že pri prijímaní GDPR nemal normotvorca Únie v úmysle potrestať správnou pokutou každé porušenie pravidiel v oblasti ochrany osobných údajov.
(
33
)	Pozri Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR, s. 9.
(
34
)	Pozri Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR, s. 9.
(
35
)	HOLLÄNDER, C.: Beck’scher Online‑Kommentar Datenschutzrecht (Wolff/Brink/Ungern‑Sternberg), 46. vyd., Mníchov 2017, článok 83 GDPR, bod 22; FRENZEL, E.: Datenschutz‑Grundverordnung Kommentar (Paal/Pauly/Frenzel), 3. vyd., Mníchov 2021, článok 83 GDPR, body 8 až 12, ktoré vysvetľujú, že dozorné orgány majú diskrečnú právomoc, a v dôsledku toho nie sú povinné uložiť v každom jednom prípade správnu pokutu.
(
36
)	Pozri bod 30 vyššie.
(
37
)	Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR (s. 6) uvádzajú, že správne pokuty sú „nápravnými opatreniami“, ktorých cieľom môže byť „obnoviť dodržiavanie pravidiel alebo sankcionovať protiprávne správanie (alebo oboje)“. Kurzívou zvýraznil generálny advokát.
(
38
)	Pripomínam, že na posúdenie toho, či majú sankcie trestnú povahu, sú relevantné tri kritériá: prvým je právna kvalifikácia porušenia vo vnútroštátnom práve, druhé sa týka samotnej povahy porušenia a tretie sa týka stupňa prísnosti sankcie, ktorý dotknutej osobe hrozí [pozri rozsudky z 5. júna 2012, Bonda (C‑489/10, EU:C:2012:319, bod 37), a z 2. februára 2021, Consob (C‑481/19, EU:C:2021:84, bod 42)]; pozri tiež ESĽP, 8. júna 1976, Engel a i. v. Holandsko, CE:ECHR:1976:0608JUD000510071, § 82. Nie všetky kritériá musia byť splnené, aby sa mohlo predpokladať, že pokuta má trestnú povahu [pozri v tejto súvislosti návrhy, ktoré predniesol generálny advokát Bot vo veci ThyssenKrupp Nirosta/Komisia (C‑352/09 P, EU:C:2010:635, bod 50 a citovaná judikatúra)].
(
39
)	Pozri usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR (s. 12), z ktorých vyplýva na jednej strane, že úroveň ujmy sa musí vziať do úvahy „pri výbere nápravného opatrenia“, čo nevylučuje prijatie iných nápravných opatrení, ako je správna pokuta. Na druhej strane sa v ňom uvádza, že „uloženie pokuty nezávisí od schopnosti dozorného orgánu preukázať príčinnú súvislosť medzi porušením a majetkovou ujmou“. Z toho vyplýva, že rozhodnutie o uložení správnej pokuty závisí od každého jednotlivého prípadu, a nielen od existencie škody.
(
40
)	Pozri v tejto súvislosti návrhy, ktoré predniesol generálny advokát Emiliou vo veci Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:376, bod 84), ktoré upriamujú pozornosť na podobnosť týchto dvoch systémov. Pozri tiež rozsudok z 5. decembra 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, bod 55 a nasl.).
(
41
)	Pozri v tomto zmysle rozsudok z 11. júna 2009, X (C‑429/07, EU:C:2009:359, bod 35 a citovaná judikatúra).
(
42
)	Návrhy, ktoré predniesla generálna advokátka Kokott v spojených veciach Alliance One International a Standard Commercial Tobacco/Komisia a Komisia/Alliance One International a i. (C‑628/10 P a C‑14/11 P, EU:C:2012:11, s. 48 a citovaná judikatúra).
(
43
)	Nariadenie Rady zo 16. decembra 2002 o vykonávaní pravidiel hospodárskej súťaže stanovených v článkoch 81 a 82 Zmluvy (Ú. v. ES L 1, 2003, s. 1; Mim. vyd. 08/002, s 205).
(
44
)	Pozri v tomto zmysle WILS W.: Procedural rights and obligations of third parties in antitrust investigation and proceedings by the European Commission. In: Concurrences, č. 2‑2022, s. 50.