–

za TR: F. Wittmaack, Rechtsanwalt,

–

za Land Hessen: M. Kottmann a G. Ziegenhorn, Rechtsanwälte,

–

za rakouskou vládu: J. Schmoll a M.-T. Rappersberger, jako zmocněnkyně,

–

za portugalskou vládu: P. Barros da Costa, M. J. Ramos a C. Vieira Guerra, jako zmocněnkyně,

–

za rumunskou vládu: L.-E. Baţagoi a E. Gane, jako zmocněnkyně,

–

za norskou vládu: S.-E. Jahr Dahl, L. M. Moen Jünge a M. Munthe-Kaas, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar, M. Heller a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 57 odst. 1 písm. a) a f), čl. 58 odst. 2 a čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava Úř. věst. 2018, L 127, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi TR a Land Hessen (spolková země Hesensko, Německo), v němž jde o to, že Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hesenský pověřenec pro ochranu údajů a svobodu informací, Německo) (dále jen „HBDI“) nepřijal vůči Sparkasse X (Spořitelna X, dále jen „Sparkasse“) nápravná opatření.

3

Body 6, 7, 10, 129 a 148 odůvodnění GDPR uvádějí:

[…]

[…]

[…]

4

Článek 5 GDPR zní:

„1.   Osobní údaje musí být:

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

5

Článek 24 odst. 1 GDPR stanoví:

„S přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob zavede správce vhodná technická a organizační opatření, aby zajistil a byl schopen doložit, že zpracování je prováděno v souladu s tímto nařízením. Tato opatření musí být podle potřeby revidována a aktualizována.“

6

Článek 33 GDPR stanoví:

„1.   Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu příslušnému podle článku 55, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. […]

[…]

3.   Ohlášení podle odstavce 1 musí přinejmenším obsahovat:

[…]“

7

V článku 34 odst. 1 GDPR se uvádí:

„Pokud je pravděpodobné, že určitý případ porušení zabezpečení osobních údajů bude mít za následek vysoké riziko pro práva a svobody fyzických osob, oznámí správce toto porušení bez zbytečného odkladu subjektu údajů.“

8

Kapitola VI GDPR, nadepsaná „Nezávislé dozorové úřady“, obsahuje články 51 až 59 tohoto nařízení.

9

Článek 51 odst. 1 GDPR zní:

„Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie (dále jen ‚dozorový úřad‘).“

10

Článek 57 GDPR, nadepsaný „Úkoly“, v odstavci 1 stanoví:

„Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:

[…]

[…]“

11

Článek 58 GDPR, nadepsaný „Pravomoci“, v odstavcích 1 a 2 stanoví:

„1.   Každý dozorový úřad má všechny tyto vyšetřovací pravomoci:

[…]

2.   Každý dozorový úřad má všechny tyto nápravné pravomoci:

[…]

[…]“

12

Článek 77 GDPR stanoví:

„1.   Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.

2.   Dozorový úřad, kterému byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 78.“

13

V článku 83 odst. 1 a 2 GDPR se stanoví:

„1.   Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.

2.   Správní pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v čl. 58 odst. 2 písm. a) až h) a j). Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:

14

Sparkasse je komunální veřejnoprávní institucí, která mimo jiné provádí bankovní a úvěrové operace. Dne 15. listopadu 2019 ohlásila Sparkasse HBDI v souladu s článkem 33 GDPR porušení zabezpečení osobních údajů, když jedna z jejích zaměstnankyň opakovaně bez oprávnění nahlížela do osobních údajů TR, jednoho z jejích klientů. Sparkasse neinformovala TR o tom, že došlo k porušení zabezpečení jeho osobních údajů.

15

Poté, co se TR náhodně dozvěděl o tom, že bylo neoprávněně nahlíženo do jeho osobních údajů, podal dne 27. července 2020 stížnost k HBDI na základě článku 77 GDPR. V této stížnosti poukazoval na to, že nebyl informován o tom, že došlo k porušení zabezpečení jeho osobních údajů, čímž byl podle něj porušen článek 34 GDPR. Kritizoval rovněž dobu uchovávání záznamů Sparkasse o přístupu, stanovenou pouze na tři měsíce, jakož i skutečnost, že její zaměstnanci mají rozsáhlá práva na nahlížení do osobních údajů.

16

V návaznosti na stížnost podanou TR HBDI písemně a ústně vyslechl Sparkasse k výtkám, které vůči ní byly vzneseny. Sparkasse v průběhu slyšení uvedla, že od oznámení podle článku 34 GDPR upustila, neboť její pověřenec pro ochranu osobních údajů měl za to, že není dáno vysoké riziko pro práva a svobody TR. Byla totiž přijata kárná opatření vůči dotyčné zaměstnankyni a ta písemně potvrdila, že osobní údaje nezkopírovala ani neuložila, nepředala je třetím osobám a neučiní tak ani v budoucnu. Kromě toho Sparkasse HBDI v návaznosti na výtku příliš krátké doby uchovávání záznamů o přístupu informovala, že tuto skutečnost prověří.

17

Rozhodnutím ze dne 3. září 2020 HBDI informoval TR, že Sparkasse neporušila článek 34 GDPR, neboť její konstatování, že porušení zabezpečení osobních údajů, ke kterému došlo, nemohlo způsobit vysoké riziko pro jeho práva a svobody ve smyslu tohoto článku, nebylo zjevně nesprávné. I když zaměstnankyně do těchto údajů nahlédla, nic totiž nenasvědčuje tomu, že by je předala třetím osobám nebo je použila k tíži TR. HBDI mimoto uvedl, že vyzval Sparkasse, aby napříště uchovávala své záznamy o přístupu po dobu delší než tři měsíce. Konečně, pokud jde o otázku přístupu zaměstnanců Sparkasse k osobním údajům, HBDI stížnost podanou TR zamítl, přičemž zdůraznil, že rozsáhlá práva přístupu mohou být v zásadě přiznána, pokud existuje jistota, že každý uživatel je informován o podmínkách, za kterých může mít k údajům přístup. Podle HBDI proto zásadní kontrola každého přístupu není nezbytná.

18

TR podal proti tomuto rozhodnutí žalobu k Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu, Německo), který je předkládajícím soudem, a domáhá se toho, aby byla HBDI uložena povinnost zasáhnout proti Sparkasse.

19

Na podporu své žaloby TR uvádí, že se HBDI nezabýval jeho stížností tak, jak vyžaduje GDPR, tj. že nezohlednil všechny skutkové okolnosti, a dodává, že HBDI měl uložit Sparkasse pokutu za několikeré porušení ustanovení GDPR, zejména jeho článku 5, čl. 12 odst. 3, čl. 15 odst. 1 písm. c) a čl. 33 odst. 1 a 3. Podle TR se v případě prokázaného porušení GDPR, což nastalo v projednávané věci, zásada vhodnosti neuplatní, takže HBDI nemůže rozhodovat o tom, zda bude konat či nikoliv, ale nanejvýš o tom, jaká opatření zvolí.

20

V tomto ohledu se předkládající soud v podstatě zamýšlí nad tím, zda v případě prokázaného porušení ustanovení o ochraně osobních údajů musí být GDPR vykládáno v tom smyslu, že je dozorový úřad povinen přijmout nápravná opatření podle čl. 58 odst. 2 tohoto nařízení, jako je správní pokuta, nebo v tom smyslu, že tento orgán má posuzovací pravomoc, která mu podle okolností umožňuje upustit od přijetí takových opatření.

21

Předkládající soud uvádí, že prvně uvedený výklad, jejž zastává TR i část právní nauky, vychází z toho, že nápravné pravomoci, jimiž je nadán dozorový úřad, slouží k obnově stavu, který je v souladu s právem, jsou-li při zpracování údajů porušena práva občanů. Článek 58 odst. 2 GDPR by tedy měl být pojímán jako ustanovení ukládající povinnost, která zakládá právo občana na to, aby úřady konaly v případě, že podnik nebo úřad protiprávně zpracoval jeho osobní údaje nebo porušil jeho práva jiným způsobem. Je-li prokázáno porušení zabezpečení údajů, je tedy dozorový úřad povinen přijmout nápravná opatření a volné uvážení by měl pouze ohledně toho, které ze stanovených opatření zvolí.

22

Předkládající soud má však pochybnosti o opodstatněnosti tohoto výkladu, jejž považuje za příliš široký, a přiklání se spíše k tomu, aby byl dozorovému úřadu přiznán prostor pro uvážení, který mu v určitých případech umožňuje upustit od přijetí nápravného opatření, zejména uložení sankce, v případě prokázaného porušení. I když má dozorový úřad podle čl. 57 odst. 1 písm. f) GDPR povinnost provést důkladné posouzení stížností a prošetřovat každý jednotlivý případ, není přesto povinen přijmout nápravné opatření v každé situaci. Takové povinnosti například nepodléhá v případě, že byla v minulosti porušena pravidla týkající se ochrany osobních údajů, ale správce přijal opatření, která umožňují předpokládat, že se porušení zabezpečení údajů nebude opakovat.

23

Za těchto podmínek se Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:

„Musí být čl. 57 odst. 1 písm. a) a f) a čl. 58 odst. 2 písm. a) až j) ve spojení s čl. 77 odst. 1 [GDPR] vykládány v tom smyslu, že v případě, že dozorový úřad zjistí, že došlo ke zpracování údajů, které porušuje práva subjektu údajů, je povinen vždy zasáhnout podle čl. 58 odst. 2 [GDPR]?“

24

TR tvrdí, aniž výslovně zpochybňuje přípustnost žádosti o rozhodnutí o předběžné otázce, že odpověď na položenou otázku není nezbytná pro řešení sporu v původním řízení. Uvádí, že se žalobou domáhá pouze toho, aby předkládající soud uložil HBDI povinnost rozhodnout v souladu s čl. 57 odst. 1 písm. f) GDPR o výtkách uplatněných ve stížnosti, a nikoli toho, aby byla HBDI uložena povinnost využít pravomocí, jež mu jsou přiznány článkem 58 odst. 2 GDPR.

25

V tomto ohledu je třeba připomenout, že v rámci spolupráce mezi Soudním dvorem a vnitrostátními soudy založené článkem 267 SFEU je pouze věcí vnitrostátního soudu, kterému byl spor předložen a který musí nést odpovědnost za soudní rozhodnutí, jež bude vydáno, aby s přihlédnutím ke konkrétním okolnostem věci posoudil jak nezbytnost rozhodnutí o předběžné otázce pro vydání rozsudku, tak relevanci otázek, které klade Soudnímu dvoru. Jestliže se tedy položené otázky týkají výkladu unijního práva, je Soudní dvůr v zásadě povinen rozhodnout (rozsudek ze dne 30. listopadu 2023, Ministero dell’Istruzione a INPS, C‑270/22, EU:C:2023:933, bod 33 a citovaná judikatura).

26

Z toho plyne, že se na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí na vlastní odpovědnost a jehož správnost nepřísluší Soudnímu dvoru ověřovat, vztahuje domněnka relevance. Soudní dvůr může odmítnout vydat rozhodnutí o žádosti podané vnitrostátním soudem pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo také jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny (rozsudek ze dne 30. listopadu 2023, Ministero dell’Istruzione a INPS, C‑270/22, EU:C:2023:933, bod 34 a citovaná judikatura).

27

V projednávané věci předkládající soud zdůrazňuje, že TR uplatnil právo na to, aby HBDI zasáhl, a tvrdil, že HBDI je povinen uložit Sparkasse pokutu.

28

Není tedy zjevné, že by žádaný výklad unijního práva neměl žádný vztah k realitě nebo předmětu sporu v původním řízení.

29

Žádost o rozhodnutí o předběžné otázce je tedy přípustná.

30

Pro účely odpovědi na položenou otázku je třeba úvodem připomenout, že výklad ustanovení unijního práva vyžaduje, aby bylo zohledněno nejen znění tohoto ustanovení, ale i kontext, do něhož je zasazeno, jakož i cíle a účel, které sleduje akt, jehož je součástí [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 48 a citovaná judikatura].

31

Je třeba rovněž připomenout, že podle čl. 8 odst. 3 Listiny základních práv Evropské unie, jakož i čl. 51 odst. 1 a čl. 57 odst. 1 písm. a) GDPR jsou vnitrostátní dozorové úřady pověřeny dohlížením na dodržování unijních pravidel týkajících se ochrany fyzických osob v souvislosti se zpracováním osobních údajů [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 55 a citovaná judikatura].

32

Podle čl. 57 odst. 1 písm. f) GDPR má každý dozorový úřad zejména povinnost zabývat se na svém území stížnostmi, které mu má podle čl. 77 odst. 1 tohoto nařízení právo podat každý subjekt údajů, jenž se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení, ve vhodné míře prošetřit předmět stížností a v přiměřené lhůtě informovat stěžovatele o vývoji a výsledku šetření. Dozorový úřad se musí takovou stížností zabývat s veškerou náležitou péčí [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 56 a citovaná judikatura].

33

Za účelem vyřizování podaných stížností přiznává čl. 58 odst. 1 GDPR každému dozorovému úřadu významné vyšetřovací pravomoci. Pokud takovýto orgán na základě svého šetření zjistí porušení ustanovení tohoto nařízení, je povinen přijmout vhodná opatření k nápravě zjištěného nedostatku, jak upřesňuje bod 129 odůvodnění uvedeného nařízení, přičemž každé opatření musí být mimo jiné vhodné, nezbytné a přiměřené, aby bylo zajištěno dodržování uvedeného nařízení s ohledem na okolnosti případu. Pro tyto účely jsou v čl. 58 odst. 2 tohoto nařízení vyjmenovány různé nápravné pravomoci, které dozorový úřad má [v tomto smyslu viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 57 a citovaná judikatura].

34

Podle čl. 58 odst. 2 GDPR má dozorový úřad mimo jiné pravomoc udělit napomenutí správci či zpracovateli, jehož operace zpracování porušily toto nařízení [písm. b)], nařídit správci nebo zpracovateli, aby vyhověli žádostem subjektu údajů o výkon jeho práv podle uvedeného nařízení [písm. c)], nařídit správci nebo zpracovateli, aby uvedl operace zpracování do souladu s tímto nařízením, a to případně předepsaným způsobem a ve stanovené lhůtě [písm. d)], nebo uložit správní pokutu podle článku 83 GDPR vedle či namísto opatření uvedených v tomto čl. 58 odst. 2, podle okolností každého jednotlivého případu [písm. i)].

35

Řízení o stížnosti je tedy koncipováno jako mechanismus schopný účinně chránit práva a zájmy subjektů údajů [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 58].

36

V projednávané věci ze žádosti o rozhodnutí o předběžné otázce vyplývá, že se HBDI meritorně zabýval stížností, kterou jí podal žalobce v původním řízení, a informoval jej o výsledku šetření. Konkrétně HBDI potvrdil, že došlo k porušení zabezpečení osobních údajů žalobce v rámci Sparkasse spočívajícímu v neoprávněném přístupu k těmto údajům jednou z jejích zaměstnankyň. Pokud však jde o právo zaměstnanců Sparkasse na nahlížení do těchto údajů, HBDI stížnost podanou žalobcem v původním řízení zamítl. Kromě toho dospěl k závěru, že není namístě zasáhnout proti Sparkasse podle čl. 58 odst. 2 GDPR.

37

V tomto ohledu je třeba uvést, že GDPR ponechává dozorovému úřadu prostor pro uvážení, pokud jde o způsob, jakým má napravit zjištěné nedostatky, neboť čl. 58 odst. 2 GDPR svěřuje tomuto úřadu různé nápravné pravomoci. Soudní dvůr již například rozhodl, že volba vhodného a nezbytného prostředku přísluší dozorovému úřadu, který ji musí provést s tím, že přihlédne ke všem okolnostem konkrétního případu a s veškerou náležitou péčí splní svůj úkol zajistit plné dodržování GDPR (v tomto smyslu viz rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 112).

38

Tento prostor pro uvážení je však omezen nutností zajistit soudržnou a vysokou úroveň ochrany osobních údajů důsledným vymáháním práva, jak vyplývá z bodů 7 a 10 odůvodnění GDPR.

39

Pokud jde konkrétně o správní pokuty upravené v čl. 58 odst. 2 písm. i) GDPR, z čl. 83 odst. 2 tohoto nařízení vyplývá, že tyto pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v tomto čl. 58 odst. 2. Dále je třeba uvést, že tento čl. 83 odst. 2 upřesňuje, že při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech musí dozorový úřad řádně zohlednit okolnosti uvedené v písm. a) až k) tohoto ustanovení, jako je povaha, závažnost a délka trvání porušení.

40

Systém sankcí upravený unijním normotvůrcem tedy umožňuje dozorovým úřadům ukládat sankce, jež jsou podle okolností každého případu nejvhodnější (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, body 75 a 78), s přihlédnutím – jak bylo připomenuto v bodech 37 a 38 tohoto rozsudku – k nezbytnosti zajistit plné dodržování GDPR a zaručit soudržnou a vysokou úroveň ochrany osobních údajů důsledným vymáháním práva.

41

Z článku 58 odst. 2 GDPR ani z jeho článku 83 tedy nelze dovodit, že by dozorový úřad měl povinnost přijmout ve všech případech, pokud konstatuje porušení zabezpečení osobních údajů, nápravné opatření, včetně správní pokuty, jelikož jeho povinností je za takových okolností vhodným způsobem reagovat za účelem nápravy zjištěného nedostatku. Za těchto podmínek, jak uvedl generální advokát v bodě 81 svého stanoviska, nemá stěžovatel, jehož práva byla porušena, subjektivní právo na to, aby dozorový úřad uložil správci správní pokutu.

42

Dozorový úřad je naproti tomu povinen zasáhnout, pokud je přijetí jednoho nebo více nápravných opatření stanovených v čl. 58 odst. 2 GDPR s ohledem na všechny okolnosti konkrétního případu vhodné, nezbytné a přiměřené k nápravě zjištěného nedostatku a k zajištění plného dodržování tohoto nařízení.

43

V tomto ohledu není vyloučeno, že dozorový úřad může výjimečně a s ohledem na zvláštní okolnosti konkrétního případu upustit od přijetí nápravného opatření, i když bylo zjištěno porušení zabezpečení osobních údajů. Tak by tomu mohlo být zejména v případě, kdy zjištěné porušení nepokračovalo, například pokud správce, který v zásadě zavedl vhodná technická a organizační opatření ve smyslu článku 24 GDPR, přijal, jakmile se o tomto porušení dozvěděl, vhodná a nezbytná opatření k tomu, aby uvedené porušení bylo ukončeno a aby se neopakovalo, s ohledem na povinnosti, které pro něj vyplývají zejména z čl. 5 odst. 2 a článku 24 tohoto nařízení.

44

Výklad, podle kterého dozorový úřad není povinen přijmout v každém případě nápravné opatření podle čl. 58 odst. 2 GDPR, pokud konstatuje porušení zabezpečení osobních údajů, je podpořen cíli sledovanými tímto čl. 58 odst. 2, jakož i článkem 83 tohoto nařízení.

45

Pokud jde o cíl, jejž sleduje čl. 58 odst. 2 GDPR, z bodu 129 odůvodnění tohoto nařízení vyplývá, že cílem tohoto ustanovení je zajistit, aby zpracování osobních údajů bylo v souladu s tímto nařízením a situace, v nichž bylo toto nařízení porušeno, byly napraveny tak, že budou uvedeny do souladu s unijním právem prostřednictvím zásahu vnitrostátních dozorových úřadů (rozsudek ze dne 14. března 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, bod 40).

46

Z toho plyne, že přijetí nápravného opatření nemusí být výjimečně a s ohledem na zvláštní okolnosti konkrétního případu nutné, jestliže situace, v níž došlo k porušení GDPR, již byla napravena, je zajištěn soulad zpracování osobních údajů s tímto nařízením jejich správcem a absence zásahu dozorového úřadu nemůže ohrozit požadavek důsledného vymáhání práva, jak byl připomenut v bodě 38 tohoto rozsudku.

47

Pokud jde o cíl sledovaný článkem 83 GDPR, který se týká ukládání správních pokut, ten podle bodu 148 odůvodnění tohoto nařízení spočívá v posílení prosazování pravidel tohoto nařízení. Tento bod odůvodnění nicméně uvádí, že jedná-li se o méně závažný případ porušení uvedeného nařízení nebo pokud by správní pokuta, která bude pravděpodobně uložena, představovala pro fyzickou osobu nepřiměřenou zátěž, mohou dozorové úřady upustit od uložení správní pokuty a namísto ní uložit napomenutí (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 76).

48

V projednávané věci ze žádosti o rozhodnutí o předběžné otázce vyplývá, že Sparkasse ohlásila HBDI v souladu s článkem 33 GDPR porušení zabezpečení osobních údajů žalobce v původním řízení vyplývající z neoprávněného přístupu k těmto údajům jednou z jejích zaměstnankyň. Kromě toho uvedla, že vůči této zaměstnankyni byla přijata kárná opatření a doba uchovávání záznamů o přístupu bude prověřena. Za těchto podmínek HBDI nepřijal nápravné opatření podle čl. 58 odst. 2 GDPR, a zejména neuložil správní pokutu.

49

Vzhledem k tomu, že rozhodnutí o stížnosti přijatá dozorovým úřadem podléhají úplnému soudnímu přezkumu [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 70], přísluší předkládajícímu soudu ověřit, zda HBDI vyřídil dotyčnou stížnost s veškerou požadovanou řádnou péčí a zda přijetím rozhodnutí dotčeného v původním řízení HBDI dodržel meze prostoru pro uvážení, jejž mu přiznává čl. 58 odst. 2 GDPR [obdobně viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, body 68 a 69, jakož i citovaná judikatura].

50

S ohledem na všechny výše uvedené úvahy je třeba na položenou otázku odpovědět tak, že čl. 57 odst. 1 písm. a) a f), čl. 58 odst. 2 a čl. 77 odst. 1 GDPR musí být vykládány v tom smyslu, že je-li zjištěno porušení zabezpečení osobních údajů, není dozorový úřad povinen přijmout nápravné opatření, včetně správní pokuty, na základě tohoto čl. 58 odst. 2, pokud takový zásah není vhodný, nezbytný nebo přiměřený k nápravě zjištěného nedostatku a k zajištění plného dodržování tohoto nařízení.

51

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:

Článek 57 odst. 1 písm. a) a f), čl. 58 odst. 2 a čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

musí být vykládán v tom smyslu, že

je-li zjištěno porušení zabezpečení osobních údajů, není dozorový úřad povinen přijmout nápravné opatření, včetně správní pokuty, na základě tohoto čl. 58 odst. 2, pokud takový zásah není vhodný, nezbytný nebo přiměřený k nápravě zjištěného nedostatku a k zajištění plného dodržování tohoto nařízení.