Začasna izdaja
SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
PRIITA PIKAMÄEJA,
predstavljeni 11. aprila 2024(1)
Zadeva C‑768/21
TR
proti
Land Hessen
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija))
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 57(1)(a) in (f) – Naloge nadzornega organa – Člen 58(2) – Pooblastila nadzornega organa – Člen 77(1) – Pravica do vložitve pritožbe – Kršitev varstva osebnih podatkov – Obveznost nadzornega organa, da sprejme ukrepe“
I. Uvod
1. Ta predlog za sprejetje predhodne odločbe, ki ga je na podlagi člena 267 PDEU vložilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), se nanaša na razlago člena 57(1)(a) in (f), člena 58(2) in člena 77(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)(2) (v nadaljevanju: SUVP).
2. Predlog je bil vložen v okviru spora med osebo TR in Land Hessen (dežela Hessen, Nemčija), ki jo zastopa Hessischer Beauftragte für Datenschutz und Informationsfreiheit (hessenski pooblaščenec za varstvo podatkov in svobodo obveščanja, v nadaljevanju: HBDI), v zvezi z zavrnitvijo tožene stranke, da bi ukrepala proti hranilnici zaradi kršitve varstva osebnih podatkov. Predložitveno sodišče se sprašuje, ali mora nadzorni organ, če ugotovi obdelavo podatkov, pri kateri so kršene pravice posameznika, na katerega se nanašajo osebni podatki, vsekakor ukrepati v okviru pooblastil, ki so mu podeljena s členom 58(2) SUVP, ali pa lahko v posameznem primeru – kljub kršitvi – ne ukrepa.
3. S to zadevo se odpira več še neobravnavanih pravnih vprašanj, ki zahtevajo temeljit premislek. Sodišče se bo moralo v bistvu izreči o vlogi, ki jo imata načeli zakonitosti in smotrnosti v upravni praksi nadzornih organov, še zlasti pri izvajanju njihove naloge nadzora nad uporabo SUVP in zagotavljanja skladnosti s to uredbo. Razlagalne smernice, ki bodo izpeljane iz sodne prakse Sodišča, bodo vplivale na to upravno prakso in tako pripomogle k enotni uporabi navedene uredbe v Uniji.
II. Pravni okvir
4. V uvodnih izjavah 129, 141, 148 in 150 SUVP je navedeno:
„(129) Za zagotovitev doslednega spremljanja in izvajanja te uredbe v vsej Uniji bi morali biti naloge in učinkovita pooblastila nadzornih organov v vseh državah članicah enaki, vključno s pooblastili za preiskovanje, popravljalnimi pooblastili in sankcijami ter pooblastili v zvezi z dovoljenji in svetovalnimi pristojnostmi, zlasti v primerih pritožb posameznikov, hkrati pa ne bi smeli vplivati na pooblastila organov, pristojnih za pregon v skladu s pravom držav članic, da sodne organe opozorijo na kršitve te uredbe in sodelujejo v sodnih postopkih. Taka pooblastila bi morala vključevati tudi pooblastilo za uvedbo začasne ali dokončne omejitve ali prepoved obdelave. Države članice lahko določijo še druge naloge, povezane z varstvom osebnih podatkov v skladu s to uredbo. Pooblastila nadzornih organov bi bilo treba izvajati nepristransko, pravično in v razumnem roku v skladu z ustreznimi postopkovnimi zaščitnimi ukrepi, določenimi v pravu Unije in pravu držav članic. Zlasti bi moral biti vsak ukrep ustrezen, potreben in sorazmeren, da se zagotovi skladnost s to uredbo, pri tem pa se upoštevajo okoliščine posameznega primera, spoštuje pravica vsake osebe, da izrazi svoje mnenje, preden se sprejme kakršen koli posamezen ukrep, ki bi imel zanjo negativne posledice, ter preprečijo nepotrebni stroški in pretirane nevšečnosti za vpletene osebe. […]
[…]
(141) Vsak posameznik, na katerega se nanašajo osebni podatki, bi moral imeti pravico, da vloži pritožbo pri enem nadzornem organu, zlasti v državi članici svojega običajnega prebivališča, in pravico do učinkovitega pravnega sredstva v skladu s členom 47 Listine, kadar meni, da so njegove pravice iz te uredbe kršene, ali če nadzorni organ ne obravnava pritožbe, jo v celoti ali deloma zavrže ali zavrne ali ne ukrepa, kadar je tak ukrep potreben za zaščito pravic posameznika, na katerega se nanašajo osebni podatki. Preiskavo na podlagi pritožbe bi bilo treba izvesti v obsegu, ki je v posamezni zadevi ustrezen, saj je lahko odločitev nadzornega organa predmet sodne presoje. Nadzorni organ bi moral posameznika, na katerega se nanašajo osebni podatki, v ustreznem roku obvestiti o stanju zadeve in odločitvi o pritožbi. […]
[…]
(148) Da bi okrepili izvrševanje pravil te uredbe, bi bilo treba poleg ustreznih ukrepov, ki jih v skladu s to uredbo naloži nadzorni organ, ali namesto njih za vsako kršitev uredbe uvesti kazni, vključno z upravnimi globami. V primeru manjših kršitev ali v primeru, ko bi globa, ki bi bila verjetno naložena, predstavljala nesorazmerno breme za fizično osebo, se lahko namesto globe izreče opomin. Vsekakor pa bi bilo treba ustrezno upoštevati naravo, težo in trajanje kršitve, namernost kršitve, sprejete ukrepe za ublažitev utrpljene škode, stopnjo odgovornosti ali morebitne pomembne predhodne kršitve, način, kako se je s kršitvijo seznanil nadzorni organ, skladnost z ukrepi, odrejenimi zoper upravljavca ali obdelovalca, zavezanost h kodeksu ravnanja in morebitne druge oteževalne ali olajševalne dejavnike. […]
[…]
(150) Za okrepitev in uskladitev upravnih kazni za kršitve te uredbe bi moral imeti vsak nadzorni organ pooblastila za naložitev upravnih glob. Ta uredba bi morala navajati kršitve, zgornjo mejo in merila za določanje s tem povezanih upravnih glob, ki bi jih moral v vsakem posameznem primeru določiti pristojni nadzorni organ ob upoštevanju vseh zadevnih okoliščin v določeni situaciji ter zlasti narave, teže in trajanja kršitve ter njenih posledic in sprejetih ukrepov za zagotavljanje skladnosti z obveznostmi iz te uredbe in za preprečitev ali ublažitev posledic kršitve. […]“
5. Člen 33(1) te uredbe določa:
„V primeru kršitve varstva osebnih podatkov upravljavec brez nepotrebnega odlašanja, po možnosti pa najpozneje v 72 urah po seznanitvi s kršitvijo, o njej uradno obvesti pristojni nadzorni organ v skladu s členom 55, razen če ni verjetno, da bi bile s kršitvijo varstva osebnih podatkov ogrožene pravice in svoboščine posameznikov. […]“
6. Člen 34(1) navedene uredbe določa:
„Kadar je verjetno, da kršitev varstva osebnih podatkov povzroči veliko tveganje za pravice in svoboščine posameznikov, upravljavec brez nepotrebnega odlašanja sporoči posamezniku, na katerega se nanašajo osebni podatki, da je prišlo do kršitve varstva osebnih podatkov.“
7. Člen 57(1) te uredbe določa:
„Brez poseganja v druge naloge, določene v tej uredbi, vsak nadzorni organ na svojem ozemlju:
(a) spremlja in zagotavlja uporabo te uredbe;
[…]
(f) obravnava pritožbe, ki jih vloži posameznik, na katerega se nanašajo osebni podatki, oziroma v skladu s členom 80 telo, organizacija ali združenje, v ustreznem obsegu preuči vsebino pritožbe in v razumnem roku obvesti pritožnika o poteku in rezultatu preiskave, zlasti če je potrebna nadaljnja preiskava ali usklajevanje z drugim nadzornim organom;
[…].“
8. Člen 58 SUVP določa:
„1. Vsak nadzorni organ ima vsa naslednja preiskovalna pooblastila:
(a) da upravljavcu in obdelovalcu ter, če je ustrezno, predstavniku upravljavca ali obdelovalca odredi, naj zagotovi vse informacije, ki jih potrebuje za opravljanje svojih nalog;
[…]
2. Vsak nadzorni organ ima vsa naslednja popravljalna pooblastila:
(a) da izda upravljavcu ali obdelovalcu opozorilo, da bi predvidena dejanja obdelave verjetno kršila določbe te uredbe;
(b) da upravljavcu ali obdelovalcu izreče opomin, kadar so bile z dejanji obdelave kršene določbe te uredbe;
(c) da upravljavcu ali obdelovalcu odredi, naj ugodi zahtevam posameznika, na katerega se nanašajo osebni podatki, glede uresničevanja njegovih pravic na podlagi te uredbe;
(d) da upravljavcu ali obdelovalcu odredi, naj dejanja obdelave, če je to ustrezno, na določen način in v določenem roku uskladi z določbami te uredbe;
(e) da upravljavcu odredi, naj posameznika, na katerega se nanašajo osebni podatki, obvesti o kršitvi varstva osebnih podatkov;
(f) da uvede začasno ali dokončno omejitev obdelave, vključno s prepovedjo obdelave;
[…]
(i) da glede na okoliščine posameznega primera poleg ali namesto ukrepov iz tega odstavka naloži upravno globo v skladu s členom 83;
[…].“
9. Člen 77 te uredbe določa:
„1. Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.
2. Nadzorni organ, pri katerem je vložena pritožba, obvesti pritožnika o stanju zadeve in odločitvi o pritožbi, vključno z možnostjo pravnega sredstva na podlagi člena 78.“
10. Člen 78 navedene uredbe v odstavkih 1 in 2 določa:
„1. Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.
2. Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar nadzorni organ, ki je pristojen na podlagi členov 55 in 56, ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi, vloženi na podlagi člena 77.“
11. Člen 83 SUVP v odstavkih 1 in 2 določa:
„1. Vsak nadzorni organ zagotovi, da so upravne globe, naložene na podlagi tega člena, v zvezi s kršitvami te uredbe iz odstavkov 4, 5 in 6, v vsakem posameznem primeru učinkovite, sorazmerne in odvračilne.
2. Glede na okoliščine posameznega primera se upravne globe naložijo poleg ali namesto ukrepov iz točk (a) do (h) in (j) člena 58(2). Pri odločanju o tem, ali se naloži upravna globa, in o višini upravne globe za vsak posamezen primer se ustrezno upošteva naslednje:
(a) narava, teža in trajanje kršitve, pri čemer se upoštevajo narava, obseg ali namen zadevne obdelave ter število posameznikov, na katere se nanašajo osebni podatki in ki jih je kršitev prizadela, in raven škode, ki so jo utrpeli;
(b) ali je kršitev naklepna ali posledica malomarnosti;
(c) vsi ukrepi, ki jih je sprejel upravljavec ali obdelovalec, da bi omilil škodo, ki so jo utrpeli posamezniki, na katere se nanašajo osebni podatki;
(d) stopnja odgovornosti upravljavca ali obdelovalca, pri čemer se upoštevajo tehnični in organizacijski ukrepi, ki jih je sprejel v skladu s členoma 25 in 32;
(e) vse zadevne predhodne kršitve upravljavca ali obdelovalca;
(f) stopnja sodelovanja z nadzornim organom pri odpravljanju kršitve in blažitvi morebitnih škodljivih učinkov kršitve;
(g) vrste osebnih podatkov, ki jih zadeva kršitev,
(h) kako je nadzorni organ izvedel za kršitev, zlasti če in v kakšnem obsegu ga je upravljavec ali obdelovalec uradno obvestil o kršitvi;
(i) kadar so bili ukrepi iz člena 58(2) že prej odrejeni zoper zadevnega upravljavca ali obdelovalca v zvezi z enako vsebino, skladnost s temi ukrepi;
(j) zavezanost k odobrenim kodeksom ravnanja v skladu s členom 40 ali odobrenim mehanizmom potrjevanja v skladu s členom 42, in
(k) morebitni drugi oteževalni ali olajševalni dejavniki v zvezi z okoliščinami primera, kot so pridobljene finančne koristi ali preprečene izgube, ki neposredno ali posredno izhajajo iz kršitve.“
III. Dejansko stanje, postopek v glavni stvari in vprašanje za predhodno odločanje
12. Hranilnica je lokalna ustanova javnega prava, ki med drugim opravlja bančne in kreditne posle. Ta ustanova je 15. novembra 2019 v skladu s členom 33 SUVP obvestila HBDI o kršitvi varstva osebnih podatkov, ker je ena od njenih zaposlenih večkrat nepooblaščeno dostopala do osebnih podatkov TR, ene od njenih strank. Ker pa je hranilnica menila, da ne gre za kršitev varstva osebnih podatkov, ki bi lahko povzročila veliko tveganje za TR, je opustila obvestitev TR na podlagi člena 34.
13. Po tem, ko je TR izvedela za ta incident, se je 27. julija 2020 obrnila na HBDI z dopisom, v katerem je prijavila kršitev člena 34 SUVP ter kritizirala kratko trimesečno obdobje hrambe zapisov o dostopu hranilnice in to, da ima vsak njen zaposleni obsežne pravice do dostopa.
14. Med postopkom pred HBDI je hranilnica navedla, da je njena pooblaščena oseba za varstvo podatkov menila, da ni tveganja za TR, saj so bili zoper zadevno zaposleno sprejeti disciplinski ukrepi, ta pa je pisno potrdila, da podatkov, s katerimi se je seznanila, ni niti kopirala ali shranila niti posredovala tretjim osebam, in je obljubila, da tega tudi v prihodnje ne bo storila. Poleg tega je bilo treba preveriti trajanje hrambe podatkov o dostopu.
15. HBDI je z odločbo z dne 3. septembra 2020 TR obvestil, da hranilnica v obravnavanem primeru ni kršila člena 34 SUVP. Po mnenju tega organa je treba odločitev na podlagi te določbe sprejeti na podlagi ocene tveganja. Na podlagi zakonodaje o nadzoru nad varstvom podatkov naj bi bilo treba preizkusiti, ali je bila ta odločitev očitno napačna. Hranilnica pa naj bi navedla, da je sicer prišlo do dostopa, vendar ni bilo nikakršnih indicev za to, da je zadevna zaposlena podatke posredovala tretjim osebam ali uporabila v škodo TR. Zato naj verjetno ne bi bilo velikega tveganja. Poleg tega naj bi bila hranilnica pozvana, naj odslej zapise o dostopu hrani dlje. Po mnenju HBDI načelni nadzor vsakega dostopa ni potreben, saj se lahko načeloma podelijo obsežne pravice do dostopa, če je zagotovljeno, da je vsak uporabnik poučen, pod katerimi pogoji se lahko dostopa do katerih podatkov.
16. TR je zoper odločbo z dne 3. septembra 2020 vložila tožbo pri Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu), ki je predložitveno sodišče, s katero je predlagala, naj se HBDI naloži ukrepanje proti hranilnici.
17. TR v utemeljitev tožbe trdi, da HBDI ni obravnaval njene pritožbe, kot to zahteva SUVP. Trdi, da ima pravico do tega, da se pritožba obravnava in je o tem obveščena. HBDI naj bi moral raziskati dejanske okoliščine, na podlagi katerih je hranilnica ocenila tveganje, in naj ne bi bil omejen na sprejetje ukrepov, ki so izrecno zahtevani, hranilnici pa naj bi moral naložiti globe. Po mnenju TR v primeru ugotovljene kršitve načelo smotrnosti ne velja, tako da HBDI nima diskrecijske pravice pri odločanju, ali bo ukrepal ali ne, temveč jo ima kvečjemu pri izbiri, katere ukrepe namerava sprejeti.
18. Predložitveno sodišče pojasnjuje, da je v obravnavani zadevi HBDI kot nadzorni organ ugotovil, da sicer gre za kršitev določb o varstvu podatkov, vendar da ukrepanje na podlagi člena 58(2) SUVP vseeno ni potrebno. To ravnanje pa naj bi bilo zakonito le, če nadzorni organ, tudi kadar ugotovi kršitev varstva podatkov, ni dolžan ukrepati. Če se sprejme stališče TR, da nadzorni organ nima diskrecijske pravice, naj bi to pomenilo, da bi v primeru ugotovljene kršitve obstajala pravica do ukrepanja in poprave, nadzorni organ pa bi moral v vseh primerih sprejeti ukrep. Če nadzorni organ tega ne bi storil, naj bi mu moralo sodišče naložiti sprejetje ukrepa ali izbor ukrepov.
19. Predložitveno sodišče navaja, da to stališče, ki ga zagovarja tudi del pravnih teoretikov, temelji na tem, da je namen pooblastil za sprejetje popravljalnih ukrepov na podlagi člena 58(2) SUVP ponovna vzpostavitev zakonitega položaja, kadar so državljanom z obdelavo podatkov kršene pravice. To določbo naj bi bilo torej treba razumeti kot zavezovalno določbo, ki je podlaga za pravico državljana do ukrepanja organov, kadar sta podjetje ali organ nezakonito obdelovala osebne podatke tega državljana ali na drug način kršila njegove pravice. Nadzorni organ naj bi imel, kadar ugotovi kršitev varstva podatkov, dolžnost sprejeti popravljalne ukrepe, pri čemer naj bi bila edina diskrecijska pravica, ki jo ima, ta, da izbere, katerega od predvidenih ukrepov bo sprejel.
20. Vendar predložitveno sodišče dvomi o tej razlagi in meni, da je preširoka. Nagiba se namreč k temu, da je treba nadzornemu organu priznati nekaj manevrskega prostora, da tudi v primeru ugotovljenih kršitev ne izreče sankcij. Člen 57(1)(f) SUVP naj bi namreč določal le, da nadzorni organ obravnava pritožbe, v ustreznem obsegu preuči vsebino pritožbe in v razumnem roku obvesti pritožnika o poteku in rezultatu preiskave. Zato naj bi imel nadzorni organ v zvezi s tem obveznost, da opravi skrben vsebinski preizkus in preuči vsak posamezen primer, vendar naj iz tega ne bi izhajalo, da je, kadar se ugotovi kršitev, vselej in brez izjeme potrebno njegovo nadaljnje ukrepanje.
21. V teh okoliščinah je Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:
„Ali je treba člen 57(1)(a) in (f) ter člen 58(2), od (a) do (j), v povezavi s členom 77(1) [SUVP] razlagati tako, da mora nadzorni organ, če ugotovi, da se z obdelavo podatkov kršijo pravice posameznika, na katerega se nanašajo osebni podatki, vselej ukrepati na podlagi člena 58(2) [te uredbe]?“
IV. Postopek pred Sodiščem
22. Predložitvena odločba z dne 10. decembra 2021 je v sodno tajništvo Sodišča prispela 14. decembra 2021.
23. Stranki v postopku v glavni stvari, avstrijska, portugalska, romunska in norveška vlada ter Evropska komisija so pisna stališča predložile v roku, določenem v členu 23 Statuta Sodišča Evropske unije.
24. Sodišče je na upravni seji 16. januarja 2024 odločilo, da se obravnava ne opravi.
V. Pravna presoja
A. Uvodna pojasnila
25. Od začetka veljavnosti SUVP so morali številni subjekti vzpostaviti vrsto ukrepov za zagotovitev skladnosti z novo zakonodajo, ki ureja obdelavo osebnih podatkov. Če teh ukrepov ne upoštevajo, so zagrožene sankcije, ki so lahko glede na težo kršitve bolj ali manj stroge. V središču izvedbene ureditve, uvedene s SUVP, so upravne globe. Vzporedno z drugimi popravljalnimi ukrepi, določenimi s členom 58(2) SUVP, so učinkovit sestavni del nabora, ki ga imajo na voljo nadzorni organi za zagotovitev spoštovanja zakonodaje. Ker je s to uredbo nadzornim organom dovoljena naložitev včasih zelo visokih glob, je zaradi zagotovitve pravne varnosti primerno pojasniti, v katerih okoliščinah je uporaba tega popravljalnega ukrepa upravičena. Te sklepne predloge je treba torej razumeti kot prispevek k temu cilju.
26. Lahko bi rekel, da se sklepni predlogi v tej zadevi nadaljujejo tam, kjer so se končali moji sklepni predlogi v združenih zadevah C‑26/22 in C‑64/22 (SCHUFA Holding) (v nadaljevanju: zadevi SCHUFA).(3) Medtem ko sem v navedenih zadevah pojasnil, katere obveznosti so naložene nadzornemu organu v okviru obravnave pritožbe, vložene na podlagi člena 77 SUVP, bom v tej zadevi obravnaval njegove obveznosti v primeru ugotovitve kršitve varstva osebnih podatkov in njegovo pooblastilo za sprejetje popravljalnih ukrepov, zlasti naložitev upravnih glob. Nato bom preučil vprašanje, ali SUVP določa obveznost za nadzorni organ, da tako globo naloži v vseh primerih oziroma vsaj v primerih, ko pritožnik to izrecno zahteva. V povzetku analize bom odgovoril na vprašanje, ki ga je postavilo predložitveno sodišče v zvezi z možnostjo nadzornega organa, da ne sprejme popravljalnih ukrepov.
B. Dopustnost predloga za sprejetje predhodne odločbe
27. Pred preučitvijo vseh teh vidikov je treba obravnavati trditev TR, da je predlog za sprejetje predhodne odločbe nedopusten. Natančneje, TR trdi, da odgovor na postavljeno vprašanje ni potreben za rešitev spora o glavni stvari. V tožbi naj bi predložitvenemu sodišču le predlagala, naj HBDI naloži, da se izreče o očitkih iz njene pritožbe, ki je bila vložena pri njem, ne pa, naj temu organu naloži uporabo pooblastil, ki jih ima na podlagi člena 58(2) SUVP.
28. V zvezi s tem je treba opozoriti, da je v okviru sodelovanja med Sodiščem in nacionalnimi sodišči, določenega v členu 267 PDEU, le nacionalno sodišče, ki odloča o sporu in ki mora prevzeti odgovornost za sodno odločbo, ki bo izdana, pristojno, da ob upoštevanju posebnosti zadeve presodi potrebo po izdaji predhodne odločbe, da bi lahko izdalo sodbo, in tudi upoštevnost vprašanj, ki jih postavi Sodišču. Zato je Sodišče, kadar se predložena vprašanja nanašajo na razlago prava Unije, načeloma dolžno odločati.(4)
29. Iz tega sledi, da za vprašanja v zvezi z razlago prava Unije, ki jih postavi nacionalno sodišče v pravnem in dejanskem okviru, za opredelitev katerega je samo odgovorno in katerega pravilnost ni predmet presoje Sodišča, velja domneva upoštevnosti. Sodišče lahko predlog nacionalnega sodišča zavrne samo, če je očitno, da zahtevana razlaga prava Unije nima nobene zveze z dejanskim stanjem ali predmetom spora v postopku v glavni stvari, če je problem hipotetičen ali če Sodišče nima na voljo dejanskih in pravnih elementov, da bi lahko na zastavljena vprašanja dalo koristne odgovore.(5)
30. V obravnavani zadevi je predložitveno sodišče jasno navedlo razloge, iz katerih se sprašuje o razlagi določb prava Unije, na katere se nanaša vprašanje za predhodno odločanje, in pojasnilo, da je odgovor na to vprašanje odločilen za rešitev spora o glavni stvari, saj je TR od HBDI zahtevala, naj ukrepa zoper hranilnico. Kot je razvidno iz obrazložitve predloga za sprejetje predhodne odločbe, je TR trdila, da ima „pravico“ zahtevati tako ukrepanje. Natančneje, po mnenju TR „bi moral HBDI hranilnici naložiti globe“. V teh okoliščinah predložitveno sodišče napotuje na izračune, ki jih je za določitev višine glob, ki jih je treba naložiti, opravila TR.
31. Vse te informacije, ki jih je predložilo samo predložitveno sodišče, jasno nasprotujejo trditvam TR o domnevni nedopustnosti predloga za sprejetje predhodne odločbe. Ob upoštevanju teh okoliščin menim, da ni nobenega dvoma o tem, da je odgovor na vprašanje, ki ga je postavilo predložitveno sodišče, potreben za rešitev spora. Bistveno je namreč opredeliti obseg pooblastil nadzornega organa in njegovih obveznosti do pritožnika. Zato je treba ugotoviti, da je predlog za sprejetje predhodne odločbe dopusten.
C. Preučitev vprašanja za predhodno odločanje
32. Z vsebinskega vidika je namen vprašanja za predhodno odločanje v bistvu opredeliti, katere so obveznosti nadzornega organa, kadar je bila ugotovljena kršitev varstva osebnih podatkov. Taka predpostavka običajno pomeni, da je bila zadevna kršitev ugotovljena v okviru preiskave na podlagi pritožbe.
33. Izjave predložitvenega sodišča vsebujejo nekaj nenatančnosti v zvezi z obveznostmi, ki jih SUVP nalaga nadzornemu organu pri obravnavi pritožbe, kar je po mojem mnenju mogoče pojasniti s tem, da je bil predlog za sprejetje predhodne odločbe vložen pred izrekom sodbe v zadevah SCHUFA,(6) v kateri je Sodišče izoblikovalo vrsto pomembnih načel, ki urejajo pritožbeni postopek. Torej je mogoče razumno domnevati, da sodišče ni imelo možnosti, da bi se seznanilo s to sodno prakso.
34. Da bi čim popolneje predstavil pravni okvir v zvezi z nadzorstveno ureditvijo, izoblikovano s SUVP, in predložitvenemu sodišču zagotovil koristen odgovor, je po mojem mnenju nujno na prvem mestu opozoriti na načela, ki se uporabljajo za pritožbeni postopek(7), na drugem mestu pa še pojasniti, kako mora nadzorni organ ukrepati, kadar ugotovi kršitev varstva osebnih podatkov(8).
1. Obveznosti nadzornega organa pri obravnavi pritožbe
35. Kot je Sodišče navedlo v sodbi SCHUFA, so nacionalni nadzorni organi v skladu s členom 8(3) Listine ter členom 51(1) in členom 57(1)(a) SUVP pristojni za nadzor nad spoštovanjem pravil Unije, ki se nanašajo na varstvo posameznikov pri obdelavi osebnih podatkov.(9)
36. Zlasti mora na podlagi člena 57(1)(f) SUVP vsak nadzorni organ na svojem ozemlju obravnavati pritožbe, ki jih lahko v skladu s členom 77(1) te uredbe vloži vsaka oseba, kadar meni, da obdelava osebnih podatkov, ki se nanašajo nanjo, pomeni kršitev navedene uredbe, in v ustreznem obsegu preučiti vsebino pritožbe.(10)
37. Nadzorni organ mora tako pritožbo obravnavati z vso potrebno skrbnostjo. Sodišče je ugotovilo tudi, da daje člen 58(1) SUVP vsakemu nadzornemu organu obširna preiskovalna pooblastila za obravnavo vloženih pritožb.(11)
38. V tem okviru je treba ugotoviti, da se je Sodišče strinjalo z razlago, ki sem jo zagovarjal v sklepnih predlogih, predstavljenih v zadevah SCHUFA, v skladu s katero je pritožbeni postopek, ki ni podoben postopku peticije, zasnovan kot mehanizem, ki lahko učinkovito zavaruje pravice in interese posameznikov, na katere se nanašajo osebni podatki.(12)
39. Poleg tega je treba ugotoviti, da se je Sodišče strinjalo tudi z mojo razlago člena 78(1) SUVP, saj je menilo, da je odločitev o pritožbi, ki jo sprejme nadzorni organ, predmet celovitega sodnega nadzora.(13)
2. Obveznosti nadzornega organa ob ugotovitvi kršitve varstva osebnih podatkov
40. Kadar nadzorni organ pri obravnavi pritožbe ugotovi kršitev varstva osebnih podatkov, se postavlja vprašanje, kako naj ukrepa. Kot bom pojasnil v nadaljevanju, zaradi take ugotovitve najprej nastane obveznost nadzornega organa, da ukrepa zaradi zagotovitve skladnosti z načelom zakonitosti. Na splošno gre za opredelitev najustreznejšega popravljalnega ukrepa ali ukrepov za odpravo kršitve.(14) Ta razlaga se mi zdi razumna glede na to, da je s členom 57(1)(a) SUVP organu zaupana naloga, da „spremlja in zagotavlja uporabo te uredbe“. S tem pooblastilom ne bi bilo združljivo, če bi imel nadzorni organ možnost preprosto prezreti ugotovljeno kršitev.(15)
41. Poleg tega preiskovalna pooblastila, ki jih ima nadzorni organ v skladu s členom 58(1) SUVP, ne bi imela velike teže, če bi se moral ta omejiti na izvedbo preiskave, tudi če bi ugotovil kršitev pravic v zvezi z osebnimi podatki. Izvajanje prava Unije v zvezi z varstvom osebnih podatkov je namreč bistveni sestavni del pojma „nadzor“ iz člena 16(2) PDEU in člena 8(3) Listine.(16) V tem okviru se ne sme pozabiti, da nadzorni organ deluje tudi v interesu osebe ali subjekta, katerega pravice so bile kršene. Glede tega je treba ugotoviti, da člen 57(1)(f) in člen 77(2) SUVP nalagata nekatere obveznosti do pritožnika, in sicer to, da se „obvesti […] o poteku in rezultatu preiskave“.
42. Zadnji stavek pomeni, da mora nadzorni organ poročati tudi o ukrepih, sprejetih v zvezi s kršitvijo varstva osebnih podatkov, ki jih je ugotovil. Očitno je, da ne bi bil pritožbeni postopek v ničemer koristen, če bi lahko nadzorni organ kljub ugotovitvi pravnega položaja, ki je v nasprotju s pravom Unije, ostal pasiven. Iz tega razloga – da bi se nadzornemu organu zagotovilo učinkovito sredstvo za spopadanje s tovrstnimi kršitvami – člen 58(2) SUVP določa nabor popravljalnih ukrepov, ki se stopnjujejo glede na intenzivnost ukrepanja. Obveznost ukrepanja v vseh primerih ne glede na težo kršitve pomeni, da mora nadzorni organ za ponovno vzpostavitev položaja, ki je v skladu s pravom Unije, uporabiti ta nabor popravljalnih ukrepov.(17)
3. Pooblastilo nadzornega organa za sprejetje popravljalnih ukrepov
43. Vendar je treba k temu dodati, da je treba vprašanje, ali mora organ v primeru kršitve varstva osebnih podatkov ukrepati, jasno razlikovati od vprašanja, kako mora konkretno ukrepati. V zvezi z zadnjenavedenim vprašanjem je mogoče na podlagi več indicev sklepati, da ima nadzorni organ nekaj manevrskega prostora, ki pa ga je treba kljub temu izvajati v skladu s cilji SUVP in v mejah, ki jih ta določa. Čeprav sem nekaj trditev v podporo taki razlagi navedel že v zadevah SCHUFA,(18) se kljub vsemu zdi, da je treba v teh sklepnih predlogih to vprašanje poglobljeno obravnavati.
44. Uvodoma je treba ugotoviti, da člen 58(2) SUVP določa, da „ima [nadzorni organ] vsa […] popravljalna pooblastila“, navedena v tej določbi, kar pomeni – kot je upravičeno navedlo predložitveno sodišče – obstoj možnosti. Taka konotacija je poleg tega razvidna iz vseh jezikovnih različic, ki sem jih preučil v okviru analize.(19)
45. Člen 58(2) SUVP je treba razlagati ob upoštevanju uvodne izjave 129 te uredbe, iz katere izhaja, da „bi moral biti vsak ukrep ustrezen, potreben in sorazmeren, da se zagotovi skladnost s to uredbo, pri tem pa se upoštevajo okoliščine posameznega primera“. Drugače povedano, za „pooblastilo“, ki je bilo priznano nadzornemu organu za uporabo nabora popravljalnih ukrepov iz te določbe, mora biti izpolnjena vrsta pogojev, zlasti to, da je ukrep, ki ga sprejme navedeni organ, „ustrezen“. Ta nedoločen pravni pojem, ki organu dopušča manevrski prostor, razlagam tako, da mora biti mogoče z izbranim ukrepom zaradi njegovih lastnosti in načina delovanja znova vzpostaviti položaj, ki je v skladu s pravom Unije.(20)
46. Ta razlaga je v skladu s sodno prakso Sodišča, ki je razsodilo, da se mora nadzorni organ, kadar ugotovi, da obdelava osebnih podatkov pomeni kršitev SUVP, „ustrezno odzvati, da bi odpravil ugotovljeno pomanjkljivost“.(21) Torej se je treba strinjati z ugotovitvijo Komisije, da se obveznost, ki zavezuje nadzorni organ, nanaša predvsem na rezultat, ki ga je treba doseči, to je odpravo ugotovljene kršitve s sprejetjem za to „ustreznega“ ukrepa. Poleg tega je treba ugotoviti, da je odločitev o ukrepu, ki ga je treba sprejeti, odvisna od dejanskih okoliščin posameznega primera, kot je to jasno razvidno iz zgoraj navedene uvodne izjave 129 SUVP. Torej se lahko odločitve, ki jih nadzorni organ sprejme v okviru svoje upravne prakse, glede na položaj od primera do primera med seboj občutno razlikujejo.
47. Ker člen 58(2) SUVP zgolj določa, da „ima“ vsak nadzorni organ vsa popravljalna „pooblastila“, to je pooblastila za sprejetje popravljalnih ukrepov, navedenih v tej določbi, ima ta organ na voljo manevrski prostor, saj lahko načeloma za odpravo ugotovljene kršitve prosto izbere med temi popravljalnimi ukrepi. Kot je Sodišče poudarilo v sodbi v zadevi C‑311/18 (Facebook Ireland in Schrems), „je za izbiro ustreznega in potrebnega sredstva pristojen nadzorni organ“, ki mora to izbiro opraviti ob upoštevanju vseh okoliščin konkretnega primera.(22)
48. Priznanje diskrecijske pravice po mojem mnenju pomeni tudi pooblastilo, da se ne sprejme nobeden od popravljalnih ukrepov iz člena 58(2) SUVP, če je tak pristop utemeljen s posebnimi okoliščinami posameznega primera. Ker se namreč uporaba nabora popravljalnih ukrepov pogojuje tudi s tem, da je zadevni ukrep „potreben“, da se zagotovi skladnost s to uredbo, ni mogoče izključiti, da konkretno ukrepanje nadzornega organa ne izpolnjuje tega pogoja, na primer če je bila težava medtem odpravljena ali presežena in je kršitev prenehala obstajati. Očitno je, da bi bilo ukrepanje nadzornega organa v takih okoliščinah nesmiselno.
49. Prav tako – kot upravičeno navaja portugalska vlada – lahko uporaba popravljalnih ukrepov ni več utemeljena, če je očitno, da ravnanje upravljavca ali obdelovalca, zaradi katerega bi bilo mogoče naložiti sankcijo, očitno nima velike teže ali če so okoliščine zadeve same po sebi olajševalne, zlasti ker del odgovornosti za kršitev nosi pritožnik. To pa pomeni, da ima nadzorni organ možnost določiti prag, pod katerim se ukrepanje ne šteje za „potrebno“ v smislu SUVP.
50. V tem okviru si dovoljujem napotilo na uvodno izjavo 141 SUVP, v kateri je izrecno navedena možnost, ki jo ima nadzorni organ, da se odloči ne ukrepati v primerih, ko meni, da ukrepanje ni „potrebno“ za zagotovitev varstva pravic posameznika, na katerega se nanašajo osebni podatki („[če] ne ukrepa, kadar je tak ukrep potreben“) (moj poudarek). V tej uvodni izjavi je pojasnjeno, da je lahko odločitev nadzornega organa predmet sodne presoje, tudi kadar se pritožnik ne strinja s presojo nadzornega organa glede „potrebe“ po ukrepanju, in sicer poleg drugih tam navedenih primerov, to je kadar so njegove pravice iz te uredbe kršene ali če nadzorni organ ne obravnava pritožbe, jo v celoti ali deloma zavrže ali zavrne.
51. Diskrecijska pravica, priznana nadzornemu organu v skladu s členom 58(2) SUVP, pomeni tudi to, da lahko manjše kršitve odpravi sam upravljavec z drugimi ukrepi, ki jih sprejme. Kot je razvidno iz okoliščin obravnavane zadeve, lahko popravljalni ukrepi, ki jih morajo „samostojno“ sprejeti odgovorna podjetja, zajemajo sprejetje disciplinskih ukrepov zoper zaposlene, ki so storili kršitve. V okoliščinah, v katerih je bila odgovornost za kršitev priznana in je bilo zagotovljeno, da se ne bo zgodila nova kršitev varstva podatkov, se lahko zdi naložitev dodatnih popravljalnih ukrepov s strani nadzornega organa nekoristna.
52. V nekaterih okoliščinah se lahko uporaba pooblastila za sprejetje popravljalnih ukrepov zoper upravljavca, kadar to ni niti ustrezno niti potrebno, izkaže celo za kontraproduktivno. Če bi moral nadzorni organ pooblastila za sprejetje popravljalnih ukrepov iz člena 58(2) SUVP uporabiti v vsakem primeru kršitve, bi se s tem zmanjšala razpoložljiva sredstva za spremljanje drugih zadev in nalog, ki z vidika varstva podatkov zaslužijo več pozornosti. Zato menim, da bi uporaba „samostojnih“ ukrepov, ki jih sprejme sam upravljavec, nadzornemu organu omogočila, da se osredotoči na resne primere, ki zahtevajo prednostno obravnavo, in hkrati zagotovi stalen, vendar decentraliziran boj proti kršitvam varstva osebnih podatkov, to je z delnim prenosom svojih nalog.
53. Če se nadzorni organ odloči, da ne bo uporabil popravljalnih ukrepov iz člena 58(2) SUVP, in ob tem da prednost uporabi „samostojnih“ ukrepov, ki jih sprejme upravljavec, se mi zdi kljub vsemu nujno, da je pri tem izpolnjenih nekaj pravnih zahtev. Na prvem mestu bi moral dati nadzorni organ izrecno soglasje za tak ukrep, da se tako prepreči izogibanje nadzorstveni ureditvi, vzpostavljeni s SUVP. Na drugem mestu bi bilo treba pred tem soglasjem temeljito preučiti položaj z vidika pogojev iz uvodne izjave 129 SUVP, da nadzorni organ tako ostane odgovoren za zagotavljanje skladnosti s to uredbo. Na tretjem mestu bi moral sporazum s subjektom, ki mora izvesti „samostojni“ ukrep, vključevati pravico nadzornega organa, da ukrepa, če se njegova navodila ne upoštevajo. Če bo Sodišče sprejelo to razlago in menilo, da so taki „samostojni“ ukrepi načeloma skladni s SUVP, menim, da bi moralo pri potrebi po izpolnjevanju zgoraj navedenih zahtev vztrajati tudi v interesu usklajenosti nadzorstvenega sistema.
54. Ker je s členom 58(2) SUVP nadzornemu organu priznana diskrecijska pravica, da v posameznem primeru izbere „ustrezen“ popravljalni ukrep, je logično, da je treba izključiti kakršno koli pravico pritožnika, da zahteva sprejetje določenega ukrepa. Čeprav ima namreč pritožnik v odnosu do nadzornega organa v okviru tega postopka nekaj pravic, zlasti pravico, da je v razumnem roku obveščen o poteku in rezultatu preiskave, nič manj ne drži, da med temi pravicami ni pravice zahtevati sprejetje določenega posebnega ukrepa.
55. Take pravice ni mogoče izpeljati niti iz dejstva, da ima pritožnik v skladu s členom 78 SUVP pravico do učinkovitega pravnega sredstva zoper nadzorni organ, saj je glavna obveznost tega organa v odnosu do pritožnika v okviru pritožbenega postopka ta, da dovolj natančno in podrobno obrazloži svojo odločitev, da v obravnavani zadevi – ob upoštevanju ugotovitev, do katerih je prišel v okviru preiskave – bo ali ne bo ukrepal.
56. Poleg tega je treba ugotoviti, da je v skladu s členom 78(2) SUVP mogoče vložiti pravno sredstvo, če pristojni nadzorni organ ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi, ki jo je vložil na podlagi člena 77 SUVP. Treba pa je ugotoviti, da iz nobenega od omenjenih razlogov ne izhaja, da ima posameznik, na katerega se nanašajo osebni podatki, kakršno koli subjektivno pravico, da v okviru tožbe zahteva sprejetje določenega ukrepa.
57. Enako velja za možnost iz uvodne izjave 141 SUVP, da se s tožbo pred sodiščem izpodbija presoja nadzornega organa, kar zadeva „potrebo“ po ukrepanju za zaščito pravic posameznika, na katerega se nanašajo osebni podatki. Tudi če bi pristojno sodišče konec koncev dokazalo, da bi bilo v posameznem primeru „treba“ ukrepati, to ne pomeni nujno, da bi moral nadzorni organ sprejeti določen ukrep. Prej kot to bi moral navedeni organ izvrševati svojo diskrecijsko pravico, po potrebi ob upoštevanju presoje tega sodišča.
58. Ob tem je treba pojasniti, da si je prav tako mogoče predstavljati, da mora nadzorni organ kot upravni organ zaradi posebnih okoliščin obravnavane zadeve sprejeti določen ukrep, med drugim kadar obstaja resna nevarnost poseganja v temeljne pravice posameznika, na katerega se nanašajo osebni podatki. Ta scenarij sem posebej navedel v sklepnih predlogih v zadevah SCHUFA.(23) Ta predlog za sprejetje predhodne odločbe tako ponuja priložnost za nadaljnji razvoj te tematike.
59. V zvezi s tem je treba najprej spomniti na sodbo v zadevi C‑311/18 (Facebook Ireland in Schrems), v kateri je Sodišče menilo, da tak primer dejansko lahko obstaja. Natančneje, Sodišče je razsodilo, da mora nadzorni organ po potrebi sprejeti nekatere ukrepe, naštete v členu 58(2) SUVP, zlasti če meni, da varstva, kot se zahteva v pravu Unije, ni mogoče zagotoviti na noben drug način. Torej je v tem obsegu diskrecijska pravica nadzornega organa omejena na nekatere ali, če je to primerno, na enega od ukrepov iz te določbe.(24)
60. Kot upravičeno navaja avstrijska vlada, je morda treba v številnih podobnih primerih sprejeti določen popravljalni ukrep, na primer če nadzorni organ v okviru pritožbenega postopka ugotovi, da obstaja obveznost izbrisa, upravljavec pa podatkov še ni izbrisal. V opisanem primeru bo moral nadzorni organ v skladu s členom 58(2)(g) SUVP vsekakor odrediti izbris.
61. Primeri, navedeni v prejšnjih točkah, kažejo, da ni mogoče izključiti, da se lahko v posebnih okoliščinah posameznega primera položaj ponovno uskladi s pravom Unije le s sprejetjem določenega popravljalnega ukrepa. Natančneje, zdi se mi, da bi bila lahko v okoliščinah, v katerih bi sicer obstajala nevarnost resne kršitve pravic posameznika, na katerega se nanašajo osebni podatki, diskrecijska pravica nadzornega organa omejena na sprejetje edinega ukrepa, ustreznega za zaščito pravic tega posameznika.
62. Menim, da bi bila kakršna koli drugačna razlaga nezdružljiva z obveznostjo, da se zagotovijo temeljne pravice iz Listine, ki v skladu z njenim členom 51(1) zavezujejo organe držav članic, ko izvajajo pravo Unije. Kot izhaja iz člena 58(4) SUVP, se ta obveznost uporablja tudi za nadzorne organe.(25) S tega vidika je razumno zagovarjati tezo, da je s pravom Unije posamezniku, na katerega se nanašajo osebni podatki, podeljena subjektivna pravica, da od organa zahteva sprejetje zadevnega ukrepa. Vendar želim poudariti, da v obravnavani zadevi ne vidim ničesar, kar bi kazalo na to, da so pogoji za tako omejitev diskrecijske pravice nadzornega organa izpolnjeni.
63. Če povzamem, treba je upoštevati, da se mora nadzorni organ, pri katerem je vložena pritožba v skladu s členom 77 SUVP, kadar ugotovi kršitev pravic posameznika, na katerega se nanašajo osebni podatki, ustrezno odzvati, da odpravi ugotovljene in trajajoče pomanjkljivosti ter da zagotovi zaščito pravic takega posameznika. Kadar nadzorni organ ukrepa v zvezi s tem, mora med pooblastili iz člena 58(2) te uredbe izbrati ustrezen, potreben in sorazmeren ukrep. Ta diskrecijska pravica pri izbiri sredstev je torej omejena, če je mogoče zahtevano varstvo zagotoviti le s sprejetjem točno določenih ukrepov.
4. Neobstoj obveznosti nadzornega organa, da v vseh primerih naloži upravne globe
64. Po tem splošnem pregledu pooblastila, ki ga ima na voljo nadzorni organ, da sprejme popravljalne ukrepe, je treba preučiti vprašanje, ali mora ta organ v vseh primerih naložiti upravne globe. Čeprav je mogoče nekatere vidike tega vprašanja razjasniti na podlagi že navedenega, menim, da je potrebnih nekaj dodatnih pojasnil. Čeprav je namreč zakonodajalec Unije upravne globe vključil med „popravljalne ukrepe“ v skladu s členom 58(2) SUVP, nič manj ne drži, da imajo v primerjavi z drugimi ukrepi nekaj posebnosti. Zato bo ta del analize osredotočen na posebne predpise, ki jih vsebujeta člen 58(2)(i) in člen 83 te uredbe.
65. Kot je pred kratkim opozorilo Sodišče, je upravna globa del sistema sankcij, vzpostavljenega s SUVP, ki spodbuja upravljavce in obdelovalce, da ravnajo v skladu s to uredbo. Upravne globe z odvračilnim učinkom prispevajo h krepitvi varstva posameznikov pri obdelavi osebnih podatkov in so zato ključni element za zagotavljanje spoštovanja pravic teh posameznikov v skladu s ciljem navedene uredbe, da se zagotovi visoka raven varstva takih posameznikov pri obdelavi osebnih podatkov.(26)
66. Člen 83 SUVP določa dvostopenjski sistem in izrecno navaja, da so nekatere kršitve resnejše od drugih. Prva stopnja zajema kršitev členov, ki urejajo dolžnosti različnih akterjev (upravljavca, obdelovalca, organov za potrjevanje). Druga stopnja zajema kršitve individualnih pravic, zaščitenih s to uredbo, kot so temeljne pravice, osnovna načela obdelave, pravice posameznikov, na katere se nanašajo osebni podatki, do obveščenosti, pravila glede prenosa itd. Na obeh stopnjah je treba opraviti dve oceni: prvič, da se odloči, ali je treba naložiti globo, in drugič, da se določi višina upravne globe. Nadzorni organi morajo pri obeh ocenah upoštevati vse posamezne dejavnike iz člena 83(2) navedene uredbe. Vendar se lahko ugotovitve iz prve faze uporabijo v drugem delu, ki se nanaša na višino globe, s čimer se je mogoče izogniti potrebi po ponovni oceni na podlagi enakih meril.(27)
67. Po teh uvodnih pojasnilih bom v nadaljevanju preučil vprašanje glede morebitne obveznosti, da se v vseh primerih naložijo upravne globe. V zvezi s tem je treba za začetek ugotoviti, da člen 58(2)(i) SUVP določa, da lahko nadzorni organ naloži upravno globo „glede na okoliščine posameznega primera“. To določbo je treba razlagati v povezavi s členom 83(2) te uredbe, ki določa ne le enako omejitev za uporabo takega popravljalnega ukrepa, ampak je v njem tudi nakazano, da se lahko nadzorni organ temu celo odpove („[p]ri odločanju o tem, ali se naloži upravna globa“) (moj poudarek), če okoliščine utemeljujejo tak pristop. To formulacijo srečamo – njeno besedilo je bolj ali manj enako – še v drugih jezikovnih različicah.(28) Skratka, iz samega besedila člena 83(2) SUVP je razvidno, da naložitev upravne globe ni obvezna v vseh primerih.
68. Poleg tega je treba ugotoviti, da je s to določbo nadzornemu organu naloženo, da v vsakem primeru pri odločanju, ali je treba naložiti upravno globo, upošteva vrsto elementov. V bistvu gre za – obteževalne in olajševalne – okoliščine, ki vplivajo na odločitev nadzornega organa, kot so narava, teža in trajanje kršitve, pa tudi okoliščine, povezane z ravnanjem upravljavca, kot je to, ali je kršitev naklepna ali posledica malomarnosti.(29)
69. V tem okviru menim, da sta pri razlagi člena 83(2) SUVP upoštevna drugi in tretji stavek uvodne izjave 148 te uredbe, saj so v njiju nakazane značilnosti, ki jih je treba upoštevati pri odločanju. S to uvodno izjavo je uveden pojem „manjša kršitev“, kar ima velike posledice za upravno prakso nadzornega organa.(30) V njej je med drugim navedeno, da se lahko „[v] primeru manjših kršitev ali v primeru, ko bi globa, ki bi bila verjetno naložena, predstavljala nesorazmerno breme za fizično osebo, […] namesto globe izreče opomin“ (moj poudarek).
70. Menim, da je mogoče iz te navedbe izpeljati, da se je zakonodajalec Unije zavedal, da je upravna globa posebej strog popravljalni ukrep, ki naj se ne uporabi v vseh primerih, saj bi se sicer zmanjšala njegova učinkovitost, ampak le, če tako zahtevajo okoliščine posameznega primera. V uvodni izjavi 148 SUVP je namreč napoteno na načelo sorazmernosti, v skladu s katerim morajo ravnati nadzorni organi pri uporabi te uredbe v posebnih okoliščinah sankcij, vključno z upravnimi globami. Kot sem že navedel v analizi, je to načelo izraženo v uvodni izjavi 129 navedene uredbe, ki se nanaša na sprejetje popravljalnih ukrepov na splošno.(31) Sistem sankcij, ki ga je zakonodajalec želel določiti, je torej prožen in raznolik.(32)
71. Iz razlage navedenega člena 83(2) v povezavi z uvodno izjavo 148 SUVP je razvidno, da lahko nadzorni organ, tudi če ugotovi kršitev, na podlagi ocene meril iz te določbe ugotovi, da v dejanskih okoliščinah primera na primer kršitev ne ogroža resneje pravic posameznikov, na katere se nanašajo osebni podatki, in ne vpliva na bistvo zadevne obveznosti. V takih primerih – ne pa vedno – se lahko globa nadomesti z opominom.(33)
72. Vendar je pomembno pojasniti, da uvodna izjava 148 nadzornega organa ne zavezuje, da bi moral v primeru manjše kršitve globo vedno nadomestiti z opominom, ampak mu to le omogoča, glede na konkretno oceno vseh okoliščin primera. Nazadnje, iz navedene uvodne izjave 148 izhaja, da nadzorni organ lahko ne naloži globe, tudi če bi bila uporaba takega popravljalnega ukrepa na podlagi ocene, ki jo je opravil, a priori potrebna, če bi ta globa predstavljala nesorazmerno breme za fizično osebo.(34)
73. Tako so okoliščine posameznega primera, na katere se nanaša člen 83(2) SUVP, tiste, ki na zadnji stopnji odločajo o tem, ali je treba naložiti globo in, če je odgovor pritrdilen, kako visoka naj bo. Vse to potrjuje moje stališče, da je ta odločitev konec koncev diskrecijska odločitev nadzornega organa.(35) V njegovi pristojnosti je, da skrbno in v skladu z zahtevami SUVP izvaja diskrecijsko pravico, ki mu je bila podeljena. Meje te pravice izhajajo iz splošnih načel prava Unije in prava držav članic, zlasti načela enakega obravnavanja. To pomeni, da je treba izoblikovati upravno prakso nalaganja glob, v okviru katere se podobni primeri obravnavajo primerljivo.
74. Želel bi še poudariti, da v primeru kumulativne naložitve kaznovalnih denarnih sankcij obstaja celo nevarnost kršitve načela „ne bis in idem“, kot ga razlaga Sodišče in kot izhaja iz uvodne izjave 149 SUVP. To načelo pa je temeljna pravica, ki je varovana s členom 50 Listine in jo je mogoče omejiti le pod strogimi pogoji iz člena 52 Listine. Drugače povedano, naložitev upravnih glob lahko preprečujejo tudi pravne ovire.
5. Neobstoj obveznosti nadzornega organa, da naloži upravne globe, če pritožnik to izrecno zahteva
75. Zadnji vidik, ki ga je treba preučiti, je ta, ali mora nadzorni organ naložiti upravne globe, če pritožnik to izrecno zahteva. Kot sem navedel med preizkusom dopustnosti predloga za sprejetje predhodne odločbe, je iz spisa razvidno, da je TR od HBDI zahtevala, naj ukrepa zoper hranilnico in ji naloži upravne globe. V podporo svoji zahtevi je z izračuni določila višino glob, ki naj se naložijo.(36) Ta zahteva po vsej verjetnosti temelji na stališču, da ima pritožnik subjektivno pravico od nadzornega organa zahtevati, naj sprejme poseben ukrep. Kot pa bom pojasnil v nadaljevanju, menim, da je to stališče brez vsakršne pravne podlage.
76. Prvič, iz moje analize je razvidno, da ima nadzorni organ diskrecijsko pravico, da v vsakem posameznem primeru izbere ustrezen ukrep. Nadzorni organ razen v posebnih okoliščinah, ki lahko privedejo do omejitve te diskrecijske pravice, kot sta teža kršitve varstva osebnih podatkov ali njen trajajoči vpliv – za katere pa se mi v obravnavani zadevi ne zdi, da bi obstajale – obdrži to diskrecijsko pravico. Ker spadajo upravne globe med popravljalne ukrepe, ki jih lahko nadzorni organ sprejme v skladu s členom 58(2) SUVP, je logično izpeljati, da navedena diskrecijska pravica zajema tudi te ukrepe. Iz tega sledi, da ne obstaja nikakršna obveznost nadzornega organa, da v interesu pritožnika ukrepa tako, da sprejme določen popravljalni ukrep.
77. Drugič, tudi ob predpostavki, da bi bile okoliščine obravnavane zadeve tako zelo drugačne, da bi upravičevale sprejetje posebnega popravljalnega ukrepa, menim, da ne bi bilo mogoče uspeti s trditvijo, da bi bila potrebna naložitev upravne globe. Podobno kot avstrijska vlada menim, da je treba upoštevati cilje, ki se uresničujejo z različnimi popravljalnimi ukrepi, navedenimi v členu 58(2) SUVP, še zlasti z upravno globo. Konkretneje, zdi se mi, da njena pravna narava nasprotuje priznanju subjektivne pravice osebe, na katero se nanašajo osebni podatki, v zgoraj navedenem smislu, saj je eden od ciljev tega ukrepa sankcionirati ravnanje, za katero se šteje, da je v nasprotju s pravom Unije. Menim, da lahko upravna globa, ker je njen cilj vsaj v nekaterih položajih kaznovalen(37) in ker je lahko včasih visoka, predstavlja kazensko sankcijo(38). Ob tem je treba opozoriti, da je kaznovalno pravo („ius puniendi“) v izključni pristojnosti države in njenih organov.
78. V tem okviru je treba ugotoviti, da člen 83(1) SUVP med drugim zahteva, da so globe v vsakem posameznem primeru „učinkovite, sorazmerne in odvračilne“. Presoja, ali predvidena globa v danem primeru izpolnjuje te pogoje, je v pristojnosti nadzornega organa, ki deluje v okviru lastne odgovornosti. Odločiti mora, ali je v posameznem primeru treba uporabiti instrument upravne globe. V ta namen mu zakonodajalec Unije zagotavlja podroben pravni okvir. Tako člen 83 SUVP določa splošne pogoje za naložitev takih glob, ki so dopolnjeni s Smernicami o uporabi in določanju upravnih glob za namene SUVP, ki jih je pripravil EOVP v skladu s členom 70(1)(k) te uredbe. V zvezi s tem je treba pripomniti, da ni mogoče iz nobenega od teh pravil in smernic izpeljati, da ima pritožnik, katerega pravice so bile kršene, poseben pravni status, zaradi katerega bi od nadzornega organa lahko zahteval, naj kršitelju naloži upravno globo.
79. Nekatera merila iz člena 83(2) SUVP – kot je raven škode, ki so jo posamezniki, na katere se nanašajo osebni podatki, utrpeli – kažejo na to, da mora nadzorni organ pri sprejetju odločitve upoštevati tudi položaj tega posameznika. Vendar ta merila sama po sebi ne morejo predstavljati zadostnega indica, ki bi dokazoval obstoj subjektivne pravice zahtevati naložitev globe. Kot pa je razvidno iz razlage te določbe v povezavi z uvodno izjavo 75 zadevne uredbe, je cilj navedenih meril nadzornemu organu zagotoviti koristne elemente, na podlagi katerih lahko presodi o naravi, teži in trajanju kršitve ter izbere ustrezen popravljalni ukrep.(39) Torej lahko nadzorni organ glede na vsak posamezni primer predvidi različne popravljalne ukrepe – in ne le upravno globo – ne da bi lahko posameznik, na katerega se nanašajo osebni podatki, zahteval sprejetje določenega ukrepa. Le nadzorni organ je pristojen za to, da odloči, ali je treba sprejeti enega od ukrepov z namenom, da se ponovno vzpostavi spoštovanje pravil ali da se sankcionira nezakonito ravnanje.
80. Tretjič, drugačne ugotovitve ni mogoče izpeljati niti iz dejstva, da je zakonodajalec Unije vlogo nadzornega organa v sistemu glob, vzpostavljenem s SUVP, opredelil po zgledu pooblastil, ki jih ima Komisija v konkurenčnem pravu.(40) V zvezi s tem je treba opozoriti, da je pooblastilo te institucije, da podjetjem, ki storijo kršitve v smislu členov 101 in 102 PDEU, naloži globe, eno od sredstev, ki ji omogočajo, da izpolni nadzorstveno vlogo, ki ji jo dodeljuje pravo Unije.(41) Vendar je treba ugotoviti, da ima Komisija diskrecijsko pravico, katere izvajanje je omejeno le s splošnimi načeli prava Unije, vključno z načeloma sorazmernosti in enakega obravnavanja.(42) Poleg tega je treba ugotoviti, da Uredba (ES) št. 1/2003 o izvajanju pravil konkurence(43)ne določa nikakršne pravice, da se zahteva naložitev glob v skladu s členom 23 te uredbe, ki bi jo imeli pritožniki ali tretje osebe, na interese katerih bi lahko vplivala odločitev, sprejeta v okviru upravnega postopka, ki ga je začela Komisija(44), saj mora ta v skladu s členom 27 te uredbe pred sprejetjem sankcije zgolj ugoditi morebitnim zahtevam za zaslišanje, ki jih predložijo te osebe.
81. Na podlagi navedenega menim, da v trenutnem stanju razvoja prava Unije ni mogoče ugotoviti, da ima pritožnik, čigar pravice so bile kršene, subjektivno pravico, da zahteva naložitev upravne globe. To ne vpliva na možnost, da predlaga uporabo takega popravljalnega ukrepa ter da svoje stališče utemelji z navedbo trditev in predložitvijo dokazov. Vendar je končna odločitev v diskrecijski pristojnosti nadzornega organa.
D. Povzetek preučitve vprašanja za predhodno odločanje
82. Iz zgornje analize izhaja, da je nadzornemu organu, če med obravnavo pritožbe ugotovi kršitev varstva osebnih podatkov, naložena obveznost ukrepanja. Natančneje, opredeliti mora najustreznejši popravljalni ukrep ali popravljalne ukrepe za odpravo kršitve in zagotovitev spoštovanja pravic posameznika, na katerega se nanašajo osebni podatki. V zvezi s tem se na podlagi SUVP – v skladu s katero ima nadzorni organ določeno diskrecijsko pravico – zahteva, da so ti ukrepi ustrezni, potrebni in sorazmerni. Nadzorni organ lahko pod nekaterimi pogoji ne sprejme ukrepov iz člena 58(2) te uredbe, če namesto tega upravljavec sam sprejme „samostojne“ ukrepe. Vsekakor pa oseba, na katero se nanašajo osebni podatki, nima pravice zahtevati sprejetja določenega ukrepa. Ta načela veljajo tudi za sistem upravnih glob.
VI. Predlog
83. Glede na navedeno Sodišču predlagam, naj na vprašanje za predhodno odločanje, ki ga je postavilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), odgovori:
Člen 57(1)(a) in (f) v povezavi s členom 58(2), od (a) do (j), in členom 77(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
mora nadzorni organ, če ugotovi, da se z obdelavo podatkov kršijo pravice posameznika, na katerega se nanašajo osebni podatki, ukrepati na podlagi člena 58(2) Uredbe 2016/679 v obsegu, potrebnem, da se zagotovi polna skladnost s to uredbo. V zvezi s tem mora ob upoštevanju dejanskih okoliščin posameznega primera izbrati ustrezno, potrebno in sorazmerno sredstvo, s katerim se zlasti odpravi kršitev in se zagotovi spoštovanje pravic posameznika, na katerega se nanašajo osebni podatki.