C-768/21

proti

Land Hessen

[návrh na začatie prejudiciálneho konania, ktorý podal Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko)]

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 57 ods. 1 písm. a) a f) – Úlohy dozorného orgánu – Článok 58 ods. 2 – Právomoci dozorného orgánu – Článok 77 ods. 1 – Právo podať sťažnosť – Porušenie ochrany osobných údajov – Povinnosť dozorného orgánu prijať opatrenia“

I. Úvod

1.

II. Právny rámec

4.

Odôvodnenia 129, 141, 148 a 150 GDPR znejú:

„(129)

S cieľom zabezpečiť konzistentné monitorovanie a presadzovanie tohto nariadenia v celej Únii by dozorné orgány mali mať vo všetkých členských štátoch rovnaké úlohy a účinné právomoci vrátane právomocí v oblasti vyšetrovania, nápravných opatrení a sankcií a právomocí v oblasti povoľovania a poradenstva, najmä v prípadoch sťažností fyzických osôb, a bez toho, aby boli dotknuté právomoci vyšetrovacích orgánov podľa práva členského štátu, právo upozorniť justičné orgány na porušovanie tohto nariadenia a zúčastniť sa na súdnom konaní. Takéto právomoci by mali tiež zahŕňať právomoc nariadiť dočasné alebo trvalé obmedzenie spracúvania, vrátane zákazu spracúvania. Členské štáty môžu určiť ďalšie úlohy súvisiace s ochranou osobných údajov podľa tohto nariadenia. Právomoci dozorných orgánov by sa mali vykonávať v súlade s primeranými procesnými zárukami stanovenými v práve Únie a v práve členského štátu, nestranne, spravodlivo a v primeranej lehote. Predovšetkým by každé opatrenie malo byť vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením, berúc do úvahy okolnosti každého konkrétneho prípadu, malo by rešpektovať právo každej osoby na vypočutie pred prijatím akéhokoľvek individuálneho opatrenia, ktoré by pre ňu mohlo mať nepriaznivé dôsledky, a nemalo by dotknutým osobám spôsobovať zbytočné náklady a neprimerané ťažkosti. …

…

…

(150)

S cieľom posilniť a harmonizovať správne sankcie za porušovanie tohto nariadenia by každý dozorný orgán mal mať právomoc ukladať správne pokuty. V tomto nariadení by sa mali uviesť porušenia a horná hranica príslušných správnych pokút a kritériá ich stanovenia, ktoré by mal určiť príslušný dozorný orgán v každom jednotlivom prípade, pričom zohľadní všetky relevantné okolnosti konkrétnej situácie s náležitým zreteľom najmä na povahu, závažnosť a trvanie porušenia a jeho následkov, ako aj opatrenia, ktoré sa prijali na zabezpečenie súladu s povinnosťami podľa tohto nariadenia a na predchádzanie následkom porušenia alebo ich zmiernenie. …“

5.

Článok 33 ods. 1 tohto nariadenia stanovuje:

„V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. …“

a)

monitoruje a presadzuje uplatňovanie tohto nariadenia;

…

f)

vybavuje sťažnosti podané dotknutou osobou alebo subjektom, organizáciou alebo združením v súlade s článkom 80, a vyšetruje v primeranom rozsahu podstatu sťažnosti a informuje sťažovateľa o pokroku a výsledkoch vyšetrovania v primeranej lehote, najmä ak je potrebné ďalšie vyšetrovanie alebo koordinácia s iným dozorným orgánom;

…“

2. Každý dozorný orgán má všetky tieto nápravné právomoci:

a)

upozorniť prevádzkovateľa alebo sprostredkovateľa na to, že plánované spracovateľské operácie pravdepodobne porušia ustanovenia tohto nariadenia;

b)

napomenúť prevádzkovateľa alebo sprostredkovateľa, ak spracovateľské operácie porušili ustanovenia tohto nariadenia;

c)

nariadiť dočasné alebo trvalé obmedzenie vrátane zákazu spracúvania;

…

i)

uložiť v závislosti od okolností každého jednotlivého prípadu správnu pokutu podľa článku 83, a to popri opatreniach uvedených v tomto odseku alebo namiesto nich;

…“

9.

2. Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak dozorný orgán, ktorý je príslušný podľa článkov 55 a 56, sťažnosť nevybavil alebo neinformoval dotknutú osobu do troch mesiacov o pokroku alebo výsledku sťažnosti podanej podľa článku 77.“

11.

Článok 83 GDPR vo svojich odsekoch 1 a 2 stanovuje:

„1. Každý dozorný orgán zabezpečí, aby bolo ukladanie správnych pokút podľa tohto článku za porušenia tohto nariadenia uvedené v odsekoch 4, 5 a 6 v každom jednotlivom prípade účinné, primerané a odrádzajúce.

2. Správne pokuty sa v závislosti od okolností každého jednotlivého prípadu ukladajú popri opatreniach uvedených v článku 58 ods. 2 písm. a) až h) a j) alebo namiesto nich. Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:

a)

miera zodpovednosti prevádzkovateľa alebo sprostredkovateľa so zreteľom na technické a organizačné opatrenia, ktoré prijali podľa článkov 25 a 32;

e)

akékoľvek relevantné predchádzajúce porušenia zo strany prevádzkovateľa alebo sprostredkovateľa;

f)

miera spolupráce s dozorným orgánom pri náprave porušenia a zmiernení možných nepriaznivých dôsledkov porušenia;

g)

dodržiavanie schválených kódexov správania podľa článku 40 alebo schválených mechanizmov certifikácie podľa článku 42 a

k)

akékoľvek iné priťažujúce alebo poľahčujúce okolnosti prípadu, ako napríklad akékoľvek získané finančné výhody alebo straty, ktorým sa zabránilo, priamo alebo nepriamo v súvislosti s porušením.“

III. Skutkové okolnosti sporu, konanie vo veci samej a prejudiciálna otázka

12.

Sparkasse je miestnym subjektom verejného práva a poskytuje okrem iného bankové a úverové služby. Dňa 15. novembra 2019 Sparkasse oznámila HBDI porušenie ochrany osobných údajov v súlade s článkom 33 GDPR, keďže jeden z jej zamestnancov opakovane nahliadol do osobných údajov TR, jedného z jej klientov, bez toho, aby bol na to oprávnený. Keďže sa Sparkasse domnievala, že nešlo o porušenie ochrany osobných údajov, ktoré by mohlo viesť k vysokému riziku pre TR, neoznámila porušenie ani TR, na základe článku 34 tohto nariadenia.

Rozhodnutím z 3. septembra 2020 HBDI informoval TR, že v prejednávanej veci Sparkasse neporušila článok 34 GDPR. Podľa tohto orgánu je rozhodnutie, ktoré malo byť prijaté na základe tohto ustanovenia, preventívne. Vzhľadom na režim dozoru nad ochranou osobných údajov bolo potrebné preskúmať, či je toto rozhodnutie zjavne nesprávne. Sparkasse uviedla, že údaje síce boli sprístupnené, avšak neexistovali nijaké okolnosti, z ktorých by vyplývalo, že dotknutá zamestnankyňa tieto údaje sprístupnila tretím osobám alebo že ich zneužila v neprospech TR. Na základe toho pravdepodobne nevzniklo vysoké riziko. Okrem toho bola Sparkasse vyzvaná, aby si odteraz svoje záznamy o prístupoch uchovávala dlhšiu dobu. Podľa HBDI nebola dôsledná kontrola každého prístupu potrebná, keďže v zásade možno udeliť na prístup rozsiahle práva, ak je isté, že každý používateľ bude informovaný o podmienkach, za ktorých môže mať prístup k daným údajom.

16.

TR podal proti rozhodnutiu z 3. septembra 2020 žalobu na Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, ktorou sa domáhal, aby bol HBDI zaviazaný vstúpiť do konania ako vedľajší účastník proti Sparkasse.

17.

Na podporu svojej žaloby TR tvrdí, že HBDI sa jeho sťažnosťou nezaoberal tak, ako to vyžaduje GDPR. Tvrdí, že má právo na to, aby táto sťažnosť bola vybavená a aby bol informovaný o prijatých opatreniach. HBDI bol povinný preskúmať skutkové okolnosti, za akých sa uskutočnilo posúdenie rizika zo strany Sparkasse, bez toho, aby sa obmedzil na výslovne požadované opatrenia, a mal Sparkasse uložiť pokutu. Podľa TR sa v prípade preukázaného porušenia zásada oportunity neuplatní, a tak HBDI sa nemohol rozhodnúť, či bude konať, alebo nie, ale nanajvýš si zvoliť opatrenia, ktoré zamýšľa prijať.

21.

Za týchto okolností Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden) rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:

„Majú sa článok 57 ods. 1 písm. a) a f) a článok 58 ods. 2 písm. a) až j) v spojení s článkom 77 ods. 1 [GDPR] vykladať v tom zmysle, že v prípade, keď dozorný orgán zistí spracúvanie údajov, ktoré porušuje práva dotknutej osoby, je dozorný orgán za každých okolností povinný prijať opatrenia podľa článku 58 ods. 2 [tohto nariadenia]?“

IV. Konanie na Súdnom dvore

22.

Návrh na začatie prejudiciálneho konania z 10. decembra 2021 bol kancelárii Súdneho dvora doručený 14. decembra 2021.

Úvodné poznámky

25.

Od nadobudnutia účinnosti GDPR museli mnohé subjekty zaviesť súbor opatrení tak, aby sa dostali do súladu s novou právnou úpravou týkajúcou sa spracúvania osobných údajov. Ak uvedené subjekty nedodržiavajú tieto opatrenia, vystavujú sa viac alebo menej prísnym sankciám v závislosti od závažnosti porušenia. Správne pokuty sú jadrom režimu presadzovania zavedeného GDPR. Predstavujú účinný prvok súboru nástrojov, ktorý majú dozorné orgány k dispozícii na vynútenie dodržiavania právnych predpisov, spolu s ostatnými nápravnými opatreniami stanovenými v článku 58 ods. 2 GDPR. Vzhľadom na to, že toto nariadenie umožňuje dozorným orgánom ukladať niekedy veľmi vysoké pokuty, je v záujme právnej istoty vhodné spresniť, aké okolnosti odôvodňujú použitie tohto nápravného opatrenia. Tieto návrhy teda treba chápať ako príspevok k naplneniu tohto cieľa.

26.

Návrhy prednesené v tejto veci takpovediac nadväzujú tam, kde končia moje návrhy prednesené v spojených veciach C‑26/22 a C‑64/22 (SCHUFA Holding) (ďalej len „veci SCHUFA“) ( 3 ). Zatiaľ čo v uvedených veciach som vysvetlil, aké povinnosti má dozorný orgán v rámci preskúmania sťažnosti podanej podľa článku 77 GDPR, v prejednávanej veci sa budem zaoberať jeho povinnosťami pri zisťovaní porušenia osobných údajov, ako aj jeho právomocou prijať nápravné opatrenia, najmä ukladať správne pokuty. Napokon preskúmam otázku, či GDPR stanovuje povinnosť dozorného orgánu uložiť takúto pokutu vo všetkých prípadoch, alebo aspoň v prípadoch, keď to sťažovateľ výslovne vyžaduje. Na základe zhrnutia mojej analýzy odpoviem na otázku položenú vnútroštátnym súdom týkajúcu sa možnosti dozorného orgánu upustiť od prijatia nápravných opatrení.

29.

Z uvedeného vyplýva, že pri otázkach týkajúcich sa výkladu práva Únie položených vnútroštátnym súdom v rámci právnej úpravy a skutkových okolností, ktoré tento súd vymedzí na vlastnú zodpovednosť a ktorých správnosť Súdnemu dvoru neprináleží preverovať, platí prezumpcia relevantnosti. Súdny dvor môže odmietnuť návrh predložený vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad práva Únie nemá nijakú súvislosť s existenciou alebo predmetom sporu vo veci samej, pokiaľ ide o hypotetický problém, alebo ak Súdny dvor nedisponuje skutkovými ani právnymi okolnosťami potrebnými na poskytnutie užitočnej odpovede na otázky, ktoré mu boli položené. ( 5 )

30.

V prejednávanej veci vnútroštátny súd, ktorý jasne uviedol dôvody, pre ktoré sa pýta na výklad ustanovení práva Únie uvedených v jeho prejudiciálnej otázke, spresnil, že odpoveď na túto otázku je rozhodujúca na vyriešenie sporu vo veci samej, keďže TR požiadal HBDI, aby vstúpil do konania ako vedľajší účastník v spore proti Sparkasse. Ako vyplýva z odôvodnenia návrhu na začatie prejudiciálneho konania, TR uplatnil „právo“ požadovať takýto postup. Konkrétne podľa názoru TR „mal HBDI uložiť Sparkasse pokutu“. Práve v tomto kontexte vnútroštátny súd odkazuje na výpočty vykonané TR na účely stanovenia výšky pokút, ktoré sa majú uložiť.

31.

Všetky tieto informácie poskytnuté samotným vnútroštátnym súdom jasne odporujú tvrdeniam TR, pokiaľ ide o údajnú neprípustnosť návrhu na začatie prejudiciálneho konania. Vzhľadom na tieto okolnosti nie sú podľa môjho názoru pochybnosti o tom, že odpoveď na otázku položenú vnútroštátnym súdom je na vyriešenie sporu nevyhnutná. Zdá sa totiž dôležité stanoviť rozsah právomocí dozorného orgánu, ako aj jeho povinností voči sťažovateľovi. V dôsledku toho treba dospieť k záveru, že návrh na začatie prejudiciálneho konania je prípustný.

34.

V záujme čo najúplnejšieho možného vysvetlenia právneho rámca, ktorý sa týka režimu dozoru zavedeného GDPR a s cieľom poskytnúť vnútroštátnemu súdu užitočnú odpoveď považujem za nevyhnutné v prvom rade pripomenúť, aké sú zásady uplatniteľné na konanie o sťažnosti, ( 7 ) a v druhom rade vysvetliť, ako by mal dozorný orgán postupovať pri zistení porušenia ochrany osobných údajov. ( 8 )

1. O povinnostiach dozorného orgánu pri vybavovaní sťažnosti

35.

Ako uviedol Súdny dvor v rozsudku SCHUFA, v súlade s článkom 8 ods. 3 Charty, ako aj článkom 51 ods. 1 a článkom 57 ods. 1 písm. a) GDPR sú dohľadom nad dodržiavaním pravidiel Únie, ktoré sa týkajú ochrany fyzických osôb pri spracovaní osobných údajov, poverené vnútroštátne dozorné orgány. ( 9 )

36.

Okrem toho je potrebné poznamenať, že Súdny dvor sa tiež stotožnil s mojím výkladom článku 78 ods. 1 GDPR, keď sa domnieval, rozhodnutie o sťažnosti prijaté dozorným orgánom podlieha úplnému súdnemu preskúmaniu . ( 13 )

2. O povinnostiach dozorného orgánu pri zistení porušenia ochrany osobných údajov

40.

Ak dozorný orgán pri posudzovaní sťažnosti zistí porušenie ochrany osobných údajov, vynára sa otázka, ako má postupovať. Ako vysvetlím nižšie, takéto konštatovanie v prvom rade zakladá povinnosť dozorného orgánu zasiahnuť v záujme zásady zákonnosti. Vo všeobecnosti ide o definovanie najvhodnejšieho nápravného opatrenia alebo nápravných opatrení na nápravu porušenia . ( 14 ) Tento výklad považujem za primeraný vzhľadom na skutočnosť, že článok 57 ods. 1 písm. a) GDPR zveruje orgánu úlohu „monitor[ovať] uplatňovanie… nariadenia“ a „presadz[ovať] uplatňovanie… nariadenia“. Bolo by nezlučiteľné s týmto poverením, ak by dozorný orgán mal možnosť preukázané porušenie jednoducho ignorovať. ( 15 )

41.

Navyše, vyšetrovacie právomoci, ktorými dozorný orgán disponuje podľa článku 58 ods. 1 GDPR by mali len malý význam, ak by bol dozorný orgán nútený obmedziť sa len na vykonanie vyšetrovania napriek zisteniu porušenia práv na ochranu osobných údajov. Výkon práv Únie v oblasti ochrany osobných údajov predstavuje podstatnú zložku pojmu „kontrola“ uvedeného v článku 16 ods. 2 ZFEÚ a článku 8 ods. 3 Charty. ( 16 ) V tejto súvislosti netreba zabúdať na to, že dozorný orgán koná tiež v záujme osoby alebo subjektu, ktorého práva boli porušené. V tejto súvislosti treba uviesť, že článok 57 ods. 1 písm. f) a článok 77 ods. 2 GDPR ukladajú vo vzťahu k sťažovateľovi určité povinnosti, a to povinnosť „inform[ovať] [ho] o pokroku a výsledku sťažnosti “.

Na úvod treba poznamenať, že v súlade s článkom 58 ods. 2 GDPR dozorný orgán „má… právomoci“ prijať všetky nápravné opatrenia vymenované v tomto ustanovení, čo znamená existenciu možnosti , ako správne uviedol vnútroštátny súd. Okrem toho sa tento význam nachádza vo všetkých jazykových verziách, ktoré som v rámci mojej analýzy preskúmal. ( 19 )

45.

Článok 58 ods. 2 GDPR treba vykladať s prihliadnutím na odôvodnenie 129 tohto nariadenia, z ktorého vyplýva, že „každé opatrenie [musí byť] vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením, berúc do úvahy okolnosti každého konkrétneho prípadu “ (kurzívou zvýraznil generálny advokát). Inými slovami, „právomoc“ priznaná dozornému orgánu na použitie katalógu nápravných opatrení uvedených v tomto ustanovení podlieha sérii podmienok, najmä tomu, aby opatrenie prijaté týmto orgánom bolo „vhodné“. Tento neurčitý právny pojem, ktorý orgánu priznáva určitú mieru voľnej úvahy, vykladám v tom zmysle, že zvolené opatrenie musí vzhľadom na svoje vlastnosti a spôsob účinku umožniť obnoviť situáciu, ktorá je v súlade s právom Únie . ( 20 )

46.

Tento výklad priamo vychádza z judikatúry Súdneho dvora, ktorý rozhodol, že keď dozorný orgán zistí, že spracúvanie osobných údajov predstavuje porušenie GDPR, „je povinný reagovať primeraným spôsobom, aby napravil zistený nedostatok “ ( 21 ). Ako poznamenala Komisia, povinnosť uložená dozornému orgánu sa teda vzťahuje predovšetkým na výsledok, ktorý treba dosiahnuť, konkrétne dosiahnuť nápravu zisteného nedostatku, a to prijatím „vhodné[ho]“ opatrenia na tento účel. Okrem toho treba uviesť, že rozhodnutie týkajúce sa opatrenia, ktoré sa má prijať, závisí od konkrétnych okolností každého jednotlivého prípadu, ako to jasne vyplýva z už citovaného odôvodnenia 129 GDPR. V dôsledku toho sa rozhodnutia prijaté dozorným orgánom v rámci jeho správnej praxe môžu v jednotlivých prípadoch výrazne líšiť v závislosti od situácie.

50.

V tejto súvislosti si dovoľujem upriamiť pozornosť na odôvodnenie 141 GDPR, v ktorom sa výslovne uvádza možnosť dozorného orgánu rozhodnúť, že nebude konať v prípadoch, v ktorých sa domnieva, že konanie nie je „nevyhnutné“ na zaručenie ochrany práv dotknutej osoby („ nekoná v prípade, keď je takéto konanie nevyhnutné“) (kurzívou zvýraznil generálny advokát). V tomto odôvodnení sa spresňuje, že rozhodnutie dozorného orgánu podlieha súdnemu preskúmaniu aj v prípade, že sťažovateľ nesúhlasí s posúdením dozorného orgánu, pokiaľ ide o „potrebu“ konať , okrem iných tam uvedených prípadov, teda keď sú porušené jeho práva, ktoré mu priznáva toto nariadenie, alebo ak dozorný orgán nereaguje na jeho sťažnosť, čiastočne alebo v plnom rozsahu ju odmietne alebo jej nevyhovie.

51.

Z diskrečnej právomoci priznanej dozornému orgánu podľa článku 58 ods. 2 GDPR vyplýva, že je tiež možné napraviť menšie porušenia inými opatreniami prijatými samotným prevádzkovateľom . Ako ukazujú okolnosti prejednávanej veci, nápravné opatrenia, ktoré majú zodpovedné podniky prijať „samostatne“, môžu spočívať v prijatí disciplinárnych opatrení voči zamestnancom, ktorí sa dopustili porušení. Za okolností, za ktorých sa zodpovednosť za porušenie uznala a zabezpečilo sa, aby nedošlo k ďalšiemu porušeniu ochrany osobných údajov, sa uloženie dodatočných nápravných opatrení dozorným orgánom môže javiť ako zbytočné .

52.

Za určitých okolností môže byť dokonca kontraproduktívne využiť voči prevádzkovateľovi právomoc prijímať nápravné opatrenia, a to vtedy, ak to nie je vhodné ani potrebné. Ak by bol dozorný orgán povinný využiť právomoc prijať nápravné opatrenia stanovené v článku 58 ods. 2 GDPR v každom prípade porušenia, viedlo by to k zmenšeniu zdrojov dostupných na riešenie iných prípadov a úloh, ktoré si z hľadiska ochrany údajov zasluhujú väčšiu pozornosť. Z tohto dôvodu sa domnievam, že použitie „samostatných“ opatrení prijatých samotným prevádzkovateľom umožňuje dozornému orgánu sústrediť sa na závažné prípady, ktoré si zasluhujú prioritu , pričom sa zároveň zabezpečuje nepretržitý boj, ale decentralizovaným spôsobom, proti porušovaniu ochrany osobných údajov, konkrétne prostredníctvom čiastočného delegovania úloh dozorného orgánu.

55.

Takéto právo nemožno vyvodiť ani zo skutočnosti, že sťažovateľ má právo na účinný súdny prostriedok nápravy voči dozornému orgánu podľa článku 78 GDPR, pretože hlavná povinnosť tohto orgánu voči sťažovateľovi v rámci konania o sťažnosti spočíva v tom, že dostatočne presne a podrobne odôvodní svoje rozhodnutie, či v prejednávanej veci zasiahnuť, alebo nie, vzhľadom na zistenia uskutočnené v rámci vyšetrovania vedeného orgánom.

56.

Okrem toho treba poznamenať, že v súlade s článkom 78 ods. 2 GDPR možno súdny prostriedok nápravy podať z dôvodu, že príslušný dozorný orgán sťažnosť nevybavil alebo neinformoval dotknutú osobu v lehote troch mesiacov o pokroku alebo výsledku sťažnosti, ktorú podala podľa článku 77 tohto nariadenia. Treba však konštatovať, že zo žiadneho z uvedených dôvodov nevyplýva, že by dotknutá osoba mala v rámci súdneho prostriedku nápravy akékoľvek subjektívne právo domáhať sa prijatia určitého opatrenia.

57.

To isté platí pre možnosť uvedenú v odôvodnení 141 GDPR, a to napadnúť súdnym prostriedkom nápravy posúdenie dozorného orgánu, pokiaľ ide o „potrebu“ konať s cieľom chrániť práva dotknutej osoby. Aj keď o „potrebe“ konať v konkrétnom prípade nakoniec musí rozhodnúť príslušný súd, nevyhnutne to neznamená, že dozorný orgán musí prijať určité opatrenie. Tento dozorný orgán je skôr povinný vykonať svoju diskrečnú právomoc , prípadne s prihliadnutím na posúdenie vykonané týmto súdom.

61.

Príklady uvedené v predchádzajúcich bodoch ukazujú, že nemožno vylúčiť, že v závislosti od osobitných okolností konkrétneho prípadu bude možné obnovenie situácie, ktorá je v súlade s právom Únie, dosiahnuť len prijatím konkrétneho nápravného opatrenia . Predovšetkým sa mi zdá, že za okolností, keď by inak existovalo riziko vážneho porušenia práv dotknutej osoby by sa diskrečná právomoc dozorného orgánu mohla obmedziť len na prijatie jediného vhodného opatrenia s cieľom ochrany práv tejto osoby.

62.

Akýkoľvek iný výklad by bol podľa môjho názoru nezlučiteľný s povinnosťou zabezpečiť dodržiavanie základných práv podľa Charty, ktorou sú viazané orgány členských štátov pri vykonávaní práva Únie, v súlade s článkom 51 ods. 1 Charty. Túto povinnosť majú aj dozorné orgány, ako to vyplýva z článku 58 ods. 4 GDPR. ( 25 ) Z tohto hľadiska je rozumné podporiť názor, že právo Únie priznáva dotknutej osobe subjektívne právo vyžadovať, aby orgán prijal predmetné opatrenie . Musím však zdôrazniť, že v prejednávanej veci nič nenaznačuje, že by podmienky takéhoto obmedzenia diskrečnej právomoci dozorného orgánu boli splnené.

63.

Stručne povedané, dozorný orgán, ktorému bola podaná sťažnosť podľa článku 77 GDPR, je povinný, ak zistí, že došlo k porušeniu práv dotknutej osoby, primerane reagovať s cieľom odstrániť zistené a pretrvávajúce nedostatky a zabezpečiť ochranu práv dotknutej osoby . Ak dozorný orgán v tomto ohľade zasiahne, je povinný spomedzi právomocí uvedených v článku 58 ods. 2 tohto nariadenia vybrať vhodné, potrebné a primerané opatrenie. Táto diskrečná právomoc pri výbere prostriedkov je v dôsledku toho obmedzená, ak požadovanú ochranu možno zabezpečiť len prijatím konkrétnych opatrení.

Článok 83 GDPR predpokladá dvojúrovňový systém, pričom výslovne uvádza, že niektoré porušenia sú závažnejšie ako iné. Prvá úroveň zahŕňa porušenie článkov, ktorými sa upravujú zodpovednosti jednotlivých aktérov (prevádzkovateľ, sprostredkovateľ, certifikačné subjekty atď.). Druhá úroveň zahŕňa porušenia takých individuálnych práv chránených týmto nariadením, ako sú základné práva, základné zásady spracúvania, právo dotknutých osôb na informácie, pravidlá prenosu atď. Na oboch stupňoch je potrebné vykonať dve posúdenia: po prvé rozhodnúť, či je potrebné uložiť pokutu , a po druhé rozhodnúť o výške správnej pokuty. Pri oboch posúdeniach musia dozorné orgány zvážiť všetky individuálne faktory uvedené v článku 83 ods. 2 uvedeného nariadenia. Závery dosiahnuté v prvej fáze však možno použiť v druhej fáze týkajúcej sa výšky pokuty tak, aby odpadla potreba vykonať druhé posúdenie na základe rovnakých kritérií. ( 27 )

67.

70.

Podľa môjho názoru možno z uvedeného vyvodiť, že normotvorca Únie si bol vedomý skutočnosti, že správna pokuta predstavuje mimoriadne prísne nápravné opatrenie, ktoré netreba uplatniť vo všetkých prípadoch , pretože inak by bola jej účinnosť znížená, ale len ak si to vyžadujú okolnosti konkrétneho prípadu . Odôvodnenie 148 GDPR totiž nepriamo odkazuje na zásadu proporcionality, ktorú majú dozorné orgány dodržiavať pri uplatňovaní tohto nariadenia v osobitnom kontexte sankcií, vrátane správnych pokút. Ako som už uviedol vo svojej analýze, túto zásadu odráža odôvodnenie 129 uvedeného nariadenia, ktoré sa týka prijímania nápravných opatrení vo všeobecnosti. ( 31 ) Systém sankcií, ktorý mal normotvorca v úmysle zaviesť, je teda umiernený a odstupňovaný. ( 32 )

71.

Z výkladu uvedeného článku 83 ods. 2 v spojení s odôvodnením 148 GDPR vyplýva, že aj v prípade konštatovania porušenia môže posúdenie kritérií uvedených v tomto ustanovení viesť dozorný orgán k záveru, že za konkrétnych okolností prejednávanej veci napríklad porušenie nespôsobuje významné riziko pre práva dotknutých osôb a nemá vplyv na podstatu predmetnej povinnosti. V takýchto prípadoch sa pokuta niekedy – ale nie vždy – nahrádza výzvou na odstránenie nedostatkov. ( 33 )

72.

Treba však spresniť, že toto odôvodnenie 148 neukladá dozornému orgánu povinnosť nahradiť pokutu výzvou na odstránenie nedostatkov v prípade menej závažného porušenia, ale ponecháva mu možnosť tak urobiť po konkrétnom posúdení všetkých okolností prípadu. Napokon z uvedeného odôvodnenia 148 vyplýva, že dozorný orgán môže upustiť od uloženia pokuty, aj keď je na základe ním vykonaného posúdenia použitie takéhoto nápravného opatrenia a priori potrebné, a to ak táto pokuta predstavuje neprimeranú záťaž pre fyzickú osobu. ( 34 )

Posledné hľadisko, ktoré treba preskúmať, sa týka otázky, či je dozorný orgán povinný uložiť správne pokuty, ak to výslovne požaduje sťažovateľ. Ako som uviedol pri preskúmaní prípustnosti návrhu na začatie prejudiciálneho konania, zo spisu vyplýva, že TR požiadal HBDI, aby konal proti Sparkasse a uložil jej správne pokuty. Na podporu svojej žiadosti TR uskutočnil výpočty s cieľom určiť sumu pokuty, ktorú treba uložiť. ( 36 ) Táto žiadosť je očividne založená na názore, podľa ktorého má sťažovateľ voči dozornému orgánu subjektívne právo požadovať prijatie konkrétneho opatrenia. Ako však vysvetlím nižšie, domnievam sa, že toto stanovisko nemá nijaký právny základ.

76.

Po prvé moja analýza ukázala, že dozorný orgán má pri výbere vhodného opatrenia v každom jednotlivom prípade diskrečnú právomoc . S výnimkou osobitných okolností, ktoré môžu viesť k obmedzeniu tejto diskrečnej právomoci, akými sú závažnosť alebo pretrvávajúci dosah porušenia ochrany osobných údajov – ktoré podľa môjho názoru v prejednávanej veci nie sú splnené – si dozorný orgán túto diskrečnú právomoc zachováva. Vzhľadom na to, že správne pokuty patria medzi nápravné opatrenia, ktoré môže dozorný orgán prijať podľa článku 58 ods. 2 GDPR, je logické vyvodiť, že táto diskrečná právomoc sa vzťahuje aj na správne pokuty. Z toho vyplýva, že dozorný orgán nemá vôbec povinnosť konať v záujme sťažovateľa prijatím konkrétneho nápravného opatrenia.

77.

V tejto súvislosti treba poznamenať, že článok 83 ods. 1 GDPR okrem iného vyžaduje, aby pokuty boli v každom prípade „účinné, primerané a odrádzajúce“. Posúdenie otázky, či zamýšľaná pokuta v danom prípade spĺňa tieto podmienky prináleží dozornému orgánu, ktorý koná na vlastnú zodpovednosť . Je jeho úlohou rozhodnúť, či je v konkrétnom prípade potrebné použiť nástroj správnej pokuty. Na tento účel mu normotvorca Únie poskytuje podrobný právny rámec. Článok 83 GDPR tak stanovuje všeobecné podmienky na ukladanie takýchto pokút, ktoré sú doplnené Usmerneniami týkajúcimi sa používania a stanovovania správnych pokút na účely GDPR, ktoré vypracoval EDPB v súlade s článkom 70 ods. 1 písm. k) nariadenia. V tejto súvislosti treba poznamenať, že zo žiadneho z týchto pravidiel a usmernení nemožno vyvodiť, že by sťažovateľ, ktorého práva boli porušené, mal osobitné právne postavenie, ktoré by mu umožňovalo požiadať dozorný orgán o uloženie správnej pokuty porušovateľovi.

79.

Po tretie odlišný záver nemožno vyvodiť ani zo skutočnosti, že normotvorca Únie definoval úlohu dozorného orgánu v systéme pokút vytvorenom GDPR tak, že sa inšpiroval právomocami, ktoré má Komisia v oblasti práva hospodárskej súťaže. ( 40 ) V tejto súvislosti pripomeniem, že právomoc tejto inštitúcie ukladať pokuty podnikom, ktoré sa dopustili v zmysle článkov 101 a 102 ZFEÚ protiprávneho konania, predstavuje jeden z prostriedkov priznaných tejto inštitúcii s cieľom umožniť jej plniť dozorné poslanie, ktoré jej ukladá právo Únie. ( 41 ) Treba však poznamenať, že Komisia má diskrečnú právomoc , ktorej výkon je obmedzený len dodržiavaním všeobecných zásad práva Únie, vrátane zásad proporcionality a rovnosti zaobchádzania. ( 42 ) Okrem toho treba poznamenať, že nariadenie Rady (ES) č. 1/2003 o vykonávaní pravidiel hospodárskej súťaže ( 43 ), neupravuje žiadne právo požadovať uloženie pokút na základe jeho článku 23 pre sťažovateľov alebo pre tretie osoby, ktorých záujmy mohli byť dotknuté rozhodnutím v rámci správneho konania začatého Komisiou, ( 44 ) pričom Komisia je na základe článku 27 tohto nariadenia jednoducho povinná vyhovieť možným žiadostiam o vypočutie predneseným uvedenými osobami pred prijatím sankcie.

81.

Na základe už uvedených skutočností sa domnievam, že za súčasného stavu vývoja práva Únie nie je možné dospieť k záveru, že sťažovateľ, ktorého práva boli porušené, má subjektívne právo domáhať sa uloženia správnej pokuty. Tým nie je dotknutá jeho možnosť navrhnúť použitie takéhoto nápravného opatrenia tým, že poskytne argumenty a dôkazy na podporu svojho stanoviska . Konečné rozhodnutie však patrí do diskrečnej právomoci dozorného orgánu.

Vzhľadom na všetky vyššie uvedené úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálnu otázku, ktorú položil Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko), takto:

Ustanovenia článku 57 ods. 1 písm. a) a f) v spojení s článkom 58 ods. 2 písm. a) až j) a článkom 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa majú vykladať v tom zmysle, že:

ak dozorný orgán zistí spracúvanie údajov, ktoré zasahuje do práv dotknutej osoby, je povinný zasiahnuť podľa článku 58 ods. 2 nariadenia 2016/679 v rozsahu, ktorý je potrebný na zabezpečenie plného dodržiavania nariadenia. V tejto súvislosti je povinný vybrať, s prihliadnutím na konkrétne okolnosti každého prípadu, vhodný, potrebný a primeraný prostriedok, najmä na účely nápravy porušenia a zabezpečenia dodržiavania práv dotknutej osoby.

( 1 ) Jazyk prednesu: francúzština.

( 2 ) Ú. v. EÚ L 119, 2016, s. 1 .

( 9 ) Rozsudok SCHUFA (bod 55).

( 10 ) Rozsudok SCHUFA (bod 56).

( 11 ) Rozsudok SCHUFA (body 56 a 57).

( 12 ) Rozsudok SCHUFA (bod 58).

( 13 ) Rozsudok SCHUFA (bod 70).

( 14 ) Pozri „Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely [GDPR]“ pracovnej skupiny článku 29 pre ochranu údajov, prijaté 3. októbra 2017, s. 5 (ďalej len „Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR“). Túto pracovnú skupinu následne nahradil Európsky výbor pre ochranu údajov (ďalej len „EDPB). Jej usmernenia však naďalej platia.

( 21 ) Pozri rozsudok SCHUFA (bod 57), a rozsudok zo 16. júla 2020, Facebook Ireland a Schrems ( C‑311/18 , EU:C:2020:559 , bod 111 ). Kurzívou zvýraznil generálny advokát.

( 22 ) Rozsudok zo 16. júla 2020, Facebook Ireland a Schrems ( C‑311/18 , EU:C:2020:559 , bod 112 ). Kurzívou zvýraznil generálny advokát.

( 23 ) Pozri bod 42 vyššie.

( 24 ) Rozsudok zo 16. júla 2020, Facebook Ireland a Schrems ( C‑311/18 , EU:C:2020:559 , bod 113 ). Súdny dvor rozhodol, že dozorný orgán je podľa článku 58 ods. 2 písm. f) a j) GDPR povinný pozastaviť alebo zakázať prenos osobných údajov do tretej krajiny, ak sa vzhľadom na všetky osobitné okolnosti tohto prenosu domnieva, že štandardné doložky ochrany údajov nie sú alebo nemôžu byť v tejto tretej krajine dodržané a že ochrana prenášaných údajov, ktorú vyžaduje právo Únie, nemôže byť zabezpečená inými prostriedkami, pokiaľ prevádzkovateľ alebo jeho sprostredkovateľ so sídlom v Únii sám tento prenos nepozastaví alebo neukončí.

( 25 ) Pozri v tomto zmysle GEORGIEVA, L., SCHMIDL, M.: Article 58. Powers. In: KUNER, C., BYGRAVE, L. A., DOCKSEY, C. (eds.): The EU General Data Protection Regulation (GDPR) , Oxford, 2020, s. 945.

( 26 ) Pozri rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras ( C‑683/21 , EU:C:2023:949 , bod 78 ).

( 33 ) Pozri Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR, s. 9.

( 34 ) Pozri Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR, s. 9.

( 35 ) HOLLÄNDER, C.: Beck’scher Online‑Kommentar Datenschutzrecht (Wolff/Brink/Ungern‑Sternberg), 46. vyd., Mníchov 2017, článok 83 GDPR, bod 22; FRENZEL, E.: Datenschutz‑Grundverordnung Kommentar (Paal/Pauly/Frenzel), 3. vyd., Mníchov 2021, článok 83 GDPR, body 8 až 12, ktoré vysvetľujú, že dozorné orgány majú diskrečnú právomoc, a v dôsledku toho nie sú povinné uložiť v každom jednom prípade správnu pokutu.

( 36 ) Pozri bod 30 vyššie.

( 37 ) Usmernenia týkajúce sa používania a stanovovania správnych pokút na účely GDPR (s. 6) uvádzajú, že správne pokuty sú „nápravnými opatreniami“, ktorých cieľom môže byť „obnoviť dodržiavanie pravidiel alebo sankcionovať protiprávne správanie (alebo oboje)“. Kurzívou zvýraznil generálny advokát.

( 38 ) Pripomínam, že na posúdenie toho, či majú sankcie trestnú povahu, sú relevantné tri kritériá: prvým je právna kvalifikácia porušenia vo vnútroštátnom práve, druhé sa týka samotnej povahy porušenia a tretie sa týka stupňa prísnosti sankcie, ktorý dotknutej osobe hrozí [pozri rozsudky z 5. júna 2012, Bonda ( C‑489/10 , EU:C:2012:319 , bod 37 ), a z 2. februára 2021, Consob ( C‑481/19 , EU:C:2021:84 , bod 42 )]; pozri tiež ESĽP, 8. júna 1976, Engel a i. v. Holandsko, CE:ECHR:1976:0608JUD000510071, § 82. Nie všetky kritériá musia byť splnené, aby sa mohlo predpokladať, že pokuta má trestnú povahu [pozri v tejto súvislosti návrhy, ktoré predniesol generálny advokát Bot vo veci ThyssenKrupp Nirosta/Komisia ( C‑352/09 P , EU:C:2010:635 , bod 50 a citovaná judikatúra)].