C-768/21

62021CJ0768

ROZSUDOK

SÚDNEHO DVORA (prvá komora)

z 26. septembra 2024 ( *1 )

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 57 ods. 1 písm. a) a f) – Úlohy dozorného orgánu – Článok 58 ods. 2 – Nápravné opatrenia – Správna pokuta – Miera voľnej úvahy dozorného orgánu – Hranice“

Vo veci C‑768/21,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Verwaltungsgericht Wiesbaden (Správny súd Wiesbaden, Nemecko) z 10. decembra 2021 a doručený Súdnemu dvoru 14. decembra 2021, ktorý súvisí s konaním:

tajomník: A. Calot Escobar,

so zreteľom na písomnú časť konania,

so zreteľom na pripomienky, ktoré predložili:

–

TR, v zastúpení: F. Wittmaack, Rechtsanwalt,

–

rumunská vláda, v zastúpení: L.‑E. Bažagoi a E. Gane, splnomocnené zástupkyne,

–

nórska vláda, v zastúpení: S.‑E. Jahr Dahl, L.‑M. Moen Jünge a M. Munthe‑Kaas, splnomocnení zástupcovia,

–

Európska komisia, v zastúpení: A. Bouchagiar, M. Heller a H. Kranenborg, splnomocnení zástupcovia,

po vypočutí návrhov generálneho advokáta 11. apríla 2024,

Právny rámec

3

Podľa odôvodnení 6, 7, 10, 129 a 148 GDPR:

„(6)

Rýchly technologický rozvoj a globalizácia so sebou priniesli nové výzvy v oblasti ochrany osobných údajov. Rozsah získavania a zdieľania a osobných údajov sa výrazne zväčšil. …

(7)

… Právomoci dozorných orgánov by sa mali vykonávať v súlade s primeranými procesnými zárukami stanovenými v práve Únie a v práve členského štátu, nestranne, spravodlivo a v primeranej lehote. Predovšetkým by každé opatrenie malo byť vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením, berúc do úvahy okolnosti každého konkrétneho prípadu, malo by rešpektovať právo každej osoby na vypočutie pred prijatím akéhokoľvek individuálneho opatrenia, ktoré by pre ňu mohlo mať nepriaznivé dôsledky, a nemalo by dotknutým osobám spôsobovať zbytočné náklady a neprimerané ťažkosti. …

…

(148)

S cieľom posilniť presadzovanie pravidiel tohto nariadenia by sa okrem primeraných opatrení, ktoré ukladá dozorný orgán podľa tohto nariadenia, alebo namiesto nich, mali ukladať za akékoľvek porušenie tohto nariadenia sankcie vrátane správnych pokút. V prípade menej závažného porušenia, alebo ak by pravdepodobne uložená pokuta predstavovala pre fyzickú osobu neprimeranú záťaž, možno namiesto uloženia pokuty udeliť napomenutie. Náležitým spôsobom by sa mala zohľadniť povaha, závažnosť a trvanie porušenia, jeho úmyselná povaha, opatrenia prijaté na zmiernenie spôsobenej škody, miera zodpovednosti alebo akékoľvek relevantné predchádzajúce porušenia, spôsob, akým sa o porušení dozvedel dozorný orgán, dodržiavanie opatrení uložených voči prevádzkovateľovi alebo sprostredkovateľovi, dodržiavanie kódexu správania a všetky ďalšie priťažujúce alebo poľahčujúce okolnosti. …“

4

Článok 5 tohto nariadenia znie takto:

primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);

d)

správne a podľa potreby aktualizované;… (‚správnosť‘);

e)

uchovávané vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú;… (‚minimalizácia uchovávania‘);

f)

Článok 33 tohto nariadenia stanovuje:

„1. V prípade porušenia ochrany osobných údajov prevádzkovateľ bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín po tom, čo sa o tejto skutočnosti dozvedel, oznámi porušenie ochrany osobných údajov dozornému orgánu príslušnému podľa článku 55 s výnimkou prípadov, keď nie je pravdepodobné, že porušenie ochrany osobných údajov povedie k riziku pre práva a slobody fyzických osôb. …

3. Oznámenie uvedené v odseku 1 musí obsahovať aspoň:

a)

opis povahy porušenia ochrany osobných údajov vrátane, podľa možnosti, kategórií a približného počtu dotknutých osôb, ktorých sa porušenie týka, a kategórií a približného počtu dotknutých záznamov o osobných údajoch;

b)

7

Článok 34 ods. 1 GDPR stanovuje:

„V prípade porušenia ochrany osobných údajov, ktoré pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb, prevádzkovateľ bez zbytočného odkladu oznámi porušenie ochrany osobných údajov dotknutej osobe.“

8

Kapitola VI GDPR s názvom „Nezávislé dozorné orgány“ obsahuje články 51 až 59 tohto nariadenia.

9

monitoruje a presadzuje uplatňovanie tohto nariadenia;

…

f)

vybavuje sťažnosti podané dotknutou osobou alebo subjektom, organizáciou alebo združením v súlade s článkom 80, a vyšetruje v primeranom rozsahu podstatu sťažnosti a informuje sťažovateľa o pokroku a výsledkoch vyšetrovania v primeranej lehote, najmä ak je potrebné ďalšie vyšetrovanie alebo koordinácia s iným dozorným orgánom;

…“

11

a)

upozorniť prevádzkovateľa alebo sprostredkovateľa na to, že plánované spracovateľské operácie pravdepodobne porušia ustanovenia tohto nariadenia;

b)

napomenúť prevádzkovateľa alebo sprostredkovateľa, ak spracovateľské operácie porušili ustanovenia tohto nariadenia;

c)

nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby vyhovel žiadostiam dotknutej osoby o uplatnenie jej práv podľa tohto nariadenia;

…

i)

uložiť v závislosti od okolností každého jednotlivého prípadu správnu pokutu podľa článku 83, a to popri opatreniach uvedených v tomto odseku alebo namiesto nich;

…“

12

Článok 77 tohto nariadenia znie takto:

a)

povaha, závažnosť a trvanie porušenia, pričom sa zohľadní povaha, rozsah alebo účel dotknutého spracúvania, ako aj počet dotknutých osôb, na ktoré malo vplyv, a rozsah škody, ktorú utrpeli;

b)

úmyselný alebo nedbanlivostný charakter porušenia;

c)

akékoľvek kroky, ktoré prevádzkovateľ alebo sprostredkovateľ podnikol s cieľom zmierniť škodu, ktorú dotknuté osoby utrpeli;

g)

kategórie osobných údajov, ktorých sa porušenie týka;

h)

spôsob, akým sa dozorný orgán o porušení dozvedel, a najmä to, či prevádzkovateľ alebo sprostredkovateľ porušenie oznámili, a ak áno, v akom rozsahu;

i)

ak boli predtým voči dotknutému prevádzkovateľovi alebo sprostredkovateľovi v rovnakej veci prijaté opatrenia uvedené v článku 58 ods. 2, splnenie uvedených opatrení;

Sparkasse je miestnym subjektom verejného práva a poskytuje okrem iného bankové a úverové služby. Dňa 15. novembra 2019 oznámila HBDI v súlade s článkom 33 GDPR porušenie osobných údajov spočívajúce v tom, že jedna jej zamestnankyňa opakovane nahliadla do osobných údajov TR, jedného z jej klientov, bez toho, aby bola na to oprávnená. Sparkasse neoznámila TR, že došlo k porušeniu jeho osobných údajov.

15

Po tom, čo sa TR náhodou dozvedel o tom, že bolo neoprávnene nahliadnuté do jeho osobných údajov, podal 27. júla 2020 na HBDI sťažnosť na základe článku 77 GDPR. V tejto sťažnosti uviedol, že porušenie jeho osobných údajov mu nebolo oznámené, čo je v rozpore s článkom 34 tohto nariadenia. Kritizoval tiež dobu uchovávania záznamov o sprístupnení vyhotovovaných zo strany Sparkasse, ktorá bola stanovená len na tri mesiace, ako aj rozsiahle oprávnenia na nahliadnutie, ktoré majú jej zamestnanci.

16

V nadväznosti na sťažnosť, ktorú podal TR, HBDI vypočul Sparkasse písomne aj ústne v súvislosti s výhradami, ktoré boli voči nej vznesené. Počas pojednávania Sparkasse uviedla, že neoznámila porušenie podľa článku 34 nariadenia GDPR, pretože jej splnomocnenec zodpovedný za ochranu údajov usudzoval, že neexistovalo vysoké riziko pre práva a slobody TR. Voči dotknutej zamestnankyni boli totiž prijaté disciplinárne opatrenia, pričom táto zamestnankyňa písomne potvrdila, že osobné údaje nekopírovala ani neuchovala, nesprístupnila ich tretím osobám a ani sa takého konania nedopustí v budúcnosti. Okrem toho, keďže HBDI kritizoval príliš krátku dobu uchovávania záznamov o prístupe, Sparkasse ho informovala, že táto otázka bude predmetom preskúmania.

20

V tejto súvislosti sa vnútroštátny súd v podstate pýta, či sa v prípade preukázaného porušenia ustanovení, ktoré sa týkajú ochrany osobných údajov, má GDPR vykladať v tom zmysle, že dozorný orgán je povinný prijať nápravné opatrenia podľa článku 58 ods. 2 tohto nariadenia, akým je správna pokuta, alebo v tom zmysle, že tento orgán disponuje voľnou úvahou, ktorá mu podľa okolností umožňuje zdržať sa prijatia takých opatrení.

21

Vnútroštátny súd uvádza, že prvý výklad, ktorý presadzuje TR, ako aj určitá časť právnej vedy, je založený na skutočnosti, že právomoci dozorného orgánu prijať nápravné opatrenia majú za cieľ obnoviť stav v súlade s právom, ak je spracúvanie údajov občanov v rozpore s ich právami. Článok 58 ods. 2 GDPR by sa teda mal chápať ako zdroj povinnosti, ktorá zakladá právo občana na konanie orgánov, ak podnik alebo orgán protiprávne spracovali osobné údaje občana, alebo iným spôsobom porušili práva. V prípade preukázaného porušenia ochrany osobných údajov je dozorný orgán povinný prijať nápravné opatrenia, pričom jedinou diskrečnou právomocou, ktorá mu zostáva, je možnosť zvoliť si, ktoré z ponúkaných opatrení prijme.

22

Vnútroštátny súd však pochybuje o dôvodnosti tohto výkladu, ktorý považuje za príliš extenzívny, a prikláňa sa skôr k tomu, že dozorný orgán má priestor na voľnú úvahu, ktorá mu v určitých prípadoch umožňuje v prípade preukázaného porušenia zdržať sa prijatia nápravného opatrenia, najmä uloženia sankcie. Aj keď je dozorný orgán podľa článku 57 ods. 1 písm. f) GDPR povinný pozorne meritórne preskúmať sťažnosti a preskúmať každý konkrétny prípad, nie je povinný prijať nápravné opatrenie v každej situácii. Takejto povinnosti nepodlieha vtedy, ak boli už v minulosti porušené pravidlá týkajúce sa ochrany osobných údajov, ale prevádzkovateľ prijal opatrenia, na základe ktorých možno predpokladať, že porušenie ochrany údajov sa už nebude opakovať.

25

V tejto súvislosti treba pripomenúť, že v rámci spolupráce medzi Súdnym dvorom a vnútroštátnymi súdmi zakotvenej v článku 267 ZFEÚ prináleží výlučne vnútroštátnemu súdu, ktorému bol spor predložený a ktorý musí niesť zodpovednosť za následné súdne rozhodnutie, aby s prihliadnutím na osobitosti veci posúdil tak nevyhnutnosť prejudiciálneho rozhodnutia na to, aby mohol vydať svoj rozsudok, ako aj relevantnosť otázok, ktoré kladie Súdnemu dvoru. Súdny dvor je preto v zásade povinný rozhodnúť, keď sa predložené otázky týkajú výkladu práva Únie (rozsudok z 30. novembra 2023, Ministero dell’Istruzione a INPS, C‑270/22 , EU:C:2023:933 , bod 33 , ako aj citovaná judikatúra).

26

Z uvedeného vyplýva, že pri otázkach týkajúcich sa výkladu práva Únie položených vnútroštátnym súdom v rámci právnej úpravy a skutkových okolností, ktoré tento súd vymedzí na vlastnú zodpovednosť a ktorých správnosť Súdnemu dvoru neprináleží preverovať, platí prezumpcia relevantnosti. Súdny dvor môže odmietnuť rozhodnúť o návrhu na začatie prejudiciálneho konania podanom vnútroštátnym súdom len vtedy, ak je zjavné, že požadovaný výklad práva Únie nemá nijakú súvislosť s realitou alebo predmetom sporu vo veci samej, ak ide o hypotetický problém alebo ak Súdny dvor nedisponuje skutkovými a právnymi podkladmi potrebnými na užitočné zodpovedanie položených otázok (rozsudok z 30. novembra 2023, Ministero dell’Istruzione a INPS, C‑270/22 , EU:C:2023:933 , bod 34 , ako aj citovaná judikatúra).

27

V prejednávanej veci vnútroštátny súd zdôrazňuje, že TR si uplatnil nárok na to, aby HBDI zasiahol, a tvrdil, že HBDI je povinný uložiť Sparkasse pokutu.

S cieľom odpovedať na položenú otázku treba pripomenúť, že výklad ustanovenia práva Únie si vyžaduje zohľadnenie nielen jeho znenia, ale aj kontextu, do ktorého patrí, a cieľov a účelu právneho aktu, ktorého je súčasťou [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 48 , ako aj citovaná judikatúra)].

31

Treba tiež pripomenúť, že v súlade s článkom 8 ods. 3 Charty základných práv Európskej únie, ako aj článkom 51 ods. 1 a článkom 57 ods. 1 písm. a) GDPR sú vnútroštátne dozorné orgány poverené dohľadom nad dodržiavaním pravidiel Únie týkajúcich sa ochrany fyzických osôb pri spracúvaní osobných údajov [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 55 , ako aj citovaná judikatúra].

32

Konkrétne podľa článku 57 ods. 1 písm. f) GDPR je každý dozorný orgán povinný na svojom území vybavovať sťažnosti, ktoré má v súlade s článkom 77 ods. 1 tohto nariadenia právo podať každá osoba, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením, a v nevyhnutnom rozsahu preskúmať predmet tejto sťažnosti a v primeranej lehote informovať sťažovateľa o pokroku a výsledkoch vyšetrovania. Dozorný orgán musí pristúpiť k vybaveniu takejto sťažnosti so všetkou vyžadovanou náležitou starostlivosťou [pozri v tomto zmysle rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 56 , ako aj citovanú judikatúru].

33

36

V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že HBDI meritórne preskúmal sťažnosť, ktorú podal žalobca vo veci samej, a informoval ho o výsledku vyšetrovania. HBDI konkrétne potvrdil, že došlo k porušeniu osobných údajov žalobcu v Sparkasse, ktoré spočívalo v nepovolenom prístupe k týmto údajom zo strany jednej zamestnankyne. Pokiaľ však ide o právo zamestnancov Sparkasse na nahliadnutie, HBDI zamietol sťažnosť podanú žalobcom vo veci samej. Okrem toho dospel k záveru, že nie je potrebné zasiahnuť proti Sparkasse na základe článku 58 ods. 2 GDPR.

37

V tejto súvislosti treba uviesť, že GDPR ponecháva dozornému orgánu priestor na voľnú úvahu, pokiaľ ide o spôsob, akým má napraviť zistené nedostatky, pretože jeho článok 58 ods. 2 priznáva tomuto orgánu právomoc prijať rôzne nápravné opatrenia. Súdny dvor tak už rozhodol, že voľba vhodného a nevyhnutného prostriedku prináleží dozornému orgánu, ktorý musí vykonať túto voľbu s prihliadnutím na všetky okolnosti konkrétneho prípadu a so všetkou požadovanou starostlivosťou zabezpečiť svoju úlohu spočívajúcu v zabezpečení úplného dodržiavania GDPR (pozri v tomto zmysle rozsudok zo 16. júla 2020, Facebook Ireland a Schrems, C‑311/18 , EU:C:2020:559 , bod 112 ).

38

Táto miera voľnej úvahy je však obmedzená potrebou zabezpečiť konzistentnú a vysokú úroveň ochrany osobných údajov dôsledným uplatňovaním pravidiel, ako to vyplýva z odôvodnení 7 a 10 GDPR.

42

Dozorný orgán je naopak povinný zasiahnuť, ak je prijatie jedného alebo viacerých nápravných opatrení stanovených v článku 58 ods. 2 GDPR vzhľadom na všetky okolnosti konkrétneho prípadu vhodné, potrebné a primerané na nápravu zisteného nedostatku a zabezpečenie úplného dodržiavania tohto nariadenia.

43

V tejto súvislosti nie je vylúčené, že dozorný orgán môže výnimočne a vzhľadom na osobitné okolnosti konkrétneho prípadu upustiť od prijatia nápravného opatrenia, hoci bolo zistené porušenie ochrany osobných údajov. Mohlo by to tak byť najmä v prípade, keď zistené porušenie nepretrvávalo, napríklad keď prevádzkovateľ, ktorý v zásade zaviedol primerané technické a organizačné opatrenia v zmysle článku 24 GDPR, prijal hneď, ako sa o tomto porušení dozvedel, vhodné a potrebné opatrenia na to, aby sa toto porušenie ukončilo a neopakovalo, vzhľadom na povinnosti, ktoré mu vyplývajú najmä z článku 5 ods. 2 a článku 24 tohto nariadenia.

44

Výklad, podľa ktorého dozorný orgán nie je povinný v každom prípade prijať nápravné opatrenie podľa článku 58 ods. 2 GDPR, ak zistí porušenie osobných údajov, potvrdzujú ciele sledované týmto článkom 58 ods. 2, ako aj článkom 83 tohto nariadenia.

48

V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že Sparkasse v súlade s článkom 33 GDPR oznámila HBDI porušenie osobných údajov žalobcu vo veci samej, ktoré vyplývalo z neoprávneného prístupu jej zamestnankyne k týmto údajom. Okrem toho uviedla, že voči tejto zamestnankyni boli prijaté disciplinárne opatrenia a že doba uchovávania záznamov o sprístupnení bude predmetom preskúmania. Za týchto okolností HBDI neprijal nápravné opatrenie podľa článku 58 ods. 2 GDPR a ani neuložil správnu pokutu.

49

Keďže rozhodnutia o sťažnostiach prijaté dozorným orgánom podliehajú úplnému súdnemu preskúmaniu [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , bod 70 ], prináleží vnútroštátnemu súdu, aby overil, či HBDI vybavoval dotknutú sťažnosť so všetkou požadovanou starostlivosťou a či prijatím rozhodnutia, o ktoré ide vo veci samej, dodržal hranice voľnej úvahy, ktorú mu priznáva článok 58 ods. 2 GDPR [pozri analogicky rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22 , EU:C:2023:958 , body 68 a 69 , ako aj citovanú judikatúru].

50

Vzhľadom na všetky predchádzajúce úvahy treba na položenú otázku odpovedať tak, že článok 57 ods. 1 písm. a) a f), článok 58 ods. 2 a článok 77 ods. 1 GDPR sa majú vykladať v tom zmysle, že v prípade, že sa zistí porušenie osobných údajov, dozorný orgán nie je povinný prijať nápravné opatrenia, konkrétne správnu pokutu, na základe tohto článku 58 ods. 2, pokiaľ taký zásah nie je vhodný, potrebný a primeraný na nápravu zisteného nedostatku a zabezpečenie úplného dodržiavania tohto nariadenia.

v prípade, že sa zistí porušenie osobných údajov, dozorný orgán nie je povinný prijať nápravné opatrenia, konkrétne správnu pokutu, na základe tohto článku 58 ods. 2, pokiaľ taký zásah nie je vhodný, potrebný a primeraný na nápravu zisteného nedostatku a zabezpečenie úplného dodržiavania tohto nariadenia.

Podpisy

( *1 ) Jazyk konania: nemčina.