–

TR ved Rechtsanwalt F. Wittmaack,

–

Land Hessen ved Rechtsanwälte M. Kottmann og G. Ziegenhorn,

–

den østrigske regering ved J. Schmoll og M.-T. Rappersberger, som befuldmægtigede,

–

den portugisiske regering ved P. Barros da Costa, M.J. Ramos og C. Vieira Guerra, som befuldmægtigede,

–

den rumænske regering ved L.-E. Baţagoi og E. Gane, som befuldmægtigede,

–

den norske regering ved S.-E. Jahr Dahl, L.-M. Moen Jünge og M. Munthe-Kaas, som befuldmægtigede,

–

Europa-Kommissionen ved A. Bouchagiar, M. Heller og H. Kranenborg, som befuldmægtigede,

1

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 57, stk. 1, litra a) og f), artikel 58, stk. 2, og artikel 77, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

2

Anmodningen er indgivet i forbindelse med en tvist mellem TR og Land Hessen (delstaten Hessen, Tyskland) vedrørende den omstændighed, at Hessischer Beauftragte für Datenschutz und Informationsfreiheit (den tilsynsførende for databeskyttelse og informationsfrihed i delstaten Hessen, Tyskland) (herefter »HBDI«) undlod at træffe korrigerende foranstaltninger over for Sparkasse X (sparekasse i X, herefter »Sparkasse«).

3

6., 7., 10., 129. og 148. betragtning til databeskyttelsesforordningen har følgende ordlyd:

[...]

[...]

[...]

4

Denne forordnings artikel 5 fastsætter følgende:

»1.   Personoplysninger skal:

2.   Den dataansvarlige er ansvarlig for og skal kunne påvise, at stk. 1 overholdes (»ansvarlighed«).«

5

Nævnte forordnings artikel 24, stk. 1, bestemmer:

»Under hensyntagen til den pågældende behandlings karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder gennemfører den dataansvarlige passende tekniske og organisatoriske foranstaltninger for at sikre og for at være i stand til at påvise, at behandling er i overensstemmelse med denne forordning. Disse foranstaltninger skal om nødvendigt revideres og ajourføres.«

6

Samme forordnings artikel 33 foreskriver:

»1.   Ved brud på persondatasikkerheden anmelder den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer, efter at denne er blevet bekendt med det, bruddet på persondatasikkerheden til den tilsynsmyndighed, som er kompetent i overensstemmelse med artikel 55, medmindre […] det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder. [...]

[...]

3.   Den i stk. 1 omhandlede anmeldelse skal mindst:

[...]«

7

Databeskyttelsesforordningens artikel 34, stk. 1, fastsætter følgende:

»Når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, underretter den dataansvarlige uden unødig forsinkelse den registrerede om bruddet på persondatasikkerheden.«

8

Databeskyttelsesforordningens kapitel VI med overskriften »Uafhængige tilsynsmyndigheder« indeholder forordningens artikel 51-59.

9

Den nævnte forordnings artikel 51, stk. 1, har følgende ordlyd:

»Hver medlemsstat sikrer, at en eller flere uafhængige offentlige myndigheder er ansvarlige for at føre tilsyn med anvendelsen af denne forordning, for at beskytte fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling og for at lette fri udveksling af personoplysninger i Unionen (»tilsynsmyndighed«).«

10

Databeskyttelsesforordningens artikel 57 med overskriften »Opgaver« bestemmer følgende i stk. 1:

»Uden at dette berører andre opgaver, der er fastsat i denne forordning, skal hver tilsynsmyndighed på sit område:

[...]

[...]«

11

Denne forordnings artikel 58 med overskriften »Beføjelser« bestemmer følgende i stk. 1 og 2:

»1.   Hver tilsynsmyndighed har alle af følgende undersøgelsesbeføjelser:

[...]

2.   Hver tilsynsmyndighed har alle af følgende korrigerende beføjelser:

[...]

[...]«

12

Den nævnte forordnings artikel 77 har følgende ordlyd:

»1.   Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har enhver registreret ret til at indgive klage til en tilsynsmyndighed, navnlig i den medlemsstat, hvor vedkommende har sit sædvanlige opholdssted eller sit arbejdssted, eller hvor den påståede overtrædelse har fundet sted, hvis den registrerede finder, at behandlingen af personoplysninger vedrørende vedkommende overtræder denne forordning.

2.   Den tilsynsmyndighed, som klagen er indgivet til, underretter klageren om forløbet og resultatet af klagen, herunder om muligheden for anvendelse af retsmidler, jf. artikel 78.«

13

Følgende fremgår af samme forordnings artikel 83, stk. 1 og 2:

»1.   Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.

2.   Afhængigt af omstændighederne i hver enkelt sag pålægges administrative bøder i tillæg til eller i stedet for foranstaltninger som omhandlet i artikel 58, stk. 2, litra a)-h) og j). Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag, tages der behørigt hensyn til følgende:

14

Sparkasse er en kommunal offentligretlig institution, der bl.a. afvikler bank- og kreditforretninger. Sparkasse anmeldte den 15. september 2019 i henhold til databeskyttelsesforordningens artikel 33 et brud på persondatasikkerheden til HBDI som følge af, at én af selskabets medarbejdere flere gange ubeføjet havde tilgået personoplysninger vedrørende en af Sparkasses klienter, TR. Sparkasse undlod at underrette TR om det brud på persondatasikkerheden, som vedrørte ham.

15

Efter ved en tilfældighed at have fået kendskab til, at hans personoplysninger var blevet tilgået uberettiget, indgav TR den 27. juli 2020 en klage til HBDI på grundlag af databeskyttelsesforordningens artikel 77. I denne klage gjorde han gældende, at han i strid med denne forordnings artikel 34 ikke havde fået meddelelse om det brud på persondatasikkerheden, som vedrørte ham. Han kritiserede ligeledes varigheden af den periode, hvori Sparkasse opbevarede sin adgangsprotokol, og som var fastsat til kun tre måneder, samt de omfattende adgangsrettigheder, som dens ansatte havde.

16

Efter at TR havde indgivet en klage, hørte HBDI skriftligt og mundtligt Sparkasse om de kritikpunkter, der var blevet rejst mod denne. Under høringen anførte Sparkasse, at den havde undladt at foretage en underretning i henhold til databeskyttelsesforordningens artikel 34, eftersom Sparkasses databeskyttelsesrådgiver havde vurderet, at der ikke forelå en høj risiko for TR’s rettigheder og frihedsrettigheder. Der var nemlig blevet truffet disciplinære foranstaltninger over for den pågældende medarbejder, som skriftligt havde bekræftet, at hun hverken havde kopieret eller lagret personoplysningerne, ikke havde overdraget dem til tredjemand og heller ikke ville gøre det i fremtiden. Da HBDI i øvrigt kritiserede, at opbevaringsperioden for adgangsprotokollerne havde været for kort, oplyste Sparkasse, at dette forhold ville blive taget op til fornyet undersøgelse.

17

Ved afgørelse af 3. september 2020 orienterede HBDI TR om, at Sparkasse ikke havde tilsidesat databeskyttelsesforordningens artikel 34, eftersom den af Sparkasse foretagne vurdering, hvorefter det begåede brud på persondatasikkerheden ikke medførte en høj risiko for TR’s rettigheder og frihedsrettigheder som omhandlet i denne artikel, ikke var åbenbart forkert. Selv om oplysningerne var blevet tilgået af medarbejderen, var der intet, der tydede på, at denne havde videregivet dem til tredjemand eller havde udnyttet dem til skade for TR. HBDI anførte endvidere, at HBDI havde opfordret Sparkasse til fremover at opbevare sin adgangsprotokol i en længere periode end tre måneder. Hvad endelig angår spørgsmålet om Sparkasses medarbejderes adgang til personoplysningerne afslog HBDI TR’s klage og fremhævede, at der i princippet kan tildeles omfattende adgangsrettigheder, hvis der er sikkerhed for, at hver bruger er oplyst om, hvilke data der må tilgås og under hvilke betingelser. Ifølge HBDI var det således ikke påkrævet at foretage en principiel kontrol af hver enkelt tilgang.

18

TR har anlagt søgsmål ved Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland), der er den forelæggende ret, til prøvelse af denne afgørelse med påstand om, at denne domstol tilpligter HBDI at gribe ind over for Sparkasse.

19

TR har til støtte for sit søgsmål gjort gældende, at HBDI ikke har behandlet klagen i overensstemmelse med databeskyttelsesforordningen, dvs. under hensyntagen til alle de faktiske omstændigheder, og har tilføjet, at HBDI burde have pålagt Sparkasse en bøde som følge af Sparkasses forskellige overtrædelser af bestemmelserne i denne forordning, navnlig artikel 5, artikel 12, stk. 3, artikel 15, stk. 1, litra c), samt artikel 33, stk. 1 og 3 heri. Når der er konstateret en overtrædelse af forordningen som i det foreliggende tilfælde, gælder opportunitetsprincippet ifølge TR ikke, hvilket indebærer, at HBDI ikke havde mulighed for at vælge, om der skulle gribes ind, men højst, hvilke foranstaltninger der skulle træffes.

20

I denne henseende ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningen, såfremt der konstateres en overtrædelse af bestemmelserne om beskyttelse af personoplysninger, skal fortolkes således, at tilsynsmyndigheden har pligt til at vedtage korrigerende foranstaltninger i henhold til denne forordnings artikel 58, stk. 2, såsom en administrativ bøde, eller således, at denne myndighed råder over en skønsbeføjelse, der efter omstændighederne giver den mulighed for at undlade at træffe sådanne foranstaltninger.

21

Den forelæggende ret har anført, at den første fortolkning, som TR har argumenteret for, og som ligeledes er anført i en del af retslitteraturen, er baseret på den omstændighed, at de beføjelser, som en tilsynsmyndighed har til at vedtage korrigerende foranstaltninger, har til formål at genoprette lovlige tilstande, når borgere oplever, at en databehandling krænker deres rettigheder. Databeskyttelsesforordningens artikel 58, stk. 2, bør således fortolkes som en regel med en forpligtende virkning, på grundlag af hvilken en borger har et krav på, at en myndighed handler, hvis en virksomhed eller en myndighed behandler borgerens personlige oplysninger i strid med lovgivningen eller på anden vis har krænket rettigheder. Såfremt der er konstateret et brud på datasikkerheden, vil tilsynsmyndigheden således være forpligtet til at vedtage korrigerende foranstaltninger, idet den har kun en skønsbeføjelse, der giver den mulighed for at vælge, hvilken af foranstaltningerne der skal træffes.

22

Den forelæggende ret er imidlertid i tvivl om, hvorvidt denne fortolkning – som den finder for vidtgående – er korrekt, og hælder snarere til den opfattelse, at tilsynsmyndigheden har et skøn, der i visse tilfælde giver den mulighed for at afholde sig fra at træffe en korrigerende foranstaltning, navnlig at pålægge en sanktion, når der er konstateret en overtrædelse. Selv om tilsynsmyndigheden i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), er forpligtet til at foretage en grundig materiel undersøgelse af klagerne og af hvert enkelte tilfælde, er den imidlertid ikke forpligtet til at træffe en korrigerende foranstaltning i enhver situation. Den er således ikke underlagt en sådan forpligtelse, når reglerne om beskyttelse af personoplysninger tidligere er blevet tilsidesat, men den dataansvarlige har truffet foranstaltninger, som ikke der giver grund til at formode, at et brud på persondatasikkerheden ikke vil gentage sig.

23

Under disse omstændigheder har Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Skal [databeskyttelsesforordningens] artikel 57, stk. 1, litra a) og f), og artikel 58, stk. 2, litra a)-j), sammenholdt med artikel 77, stk. 1, [heri], fortolkes således, at tilsynsmyndigheden altid er forpligtet til at gribe ind i henhold til [denne forordnings] artikel 58, stk. 2, hvis den konstaterer en databehandling, hvorved en registreret persons rettigheder er blevet krænket[?]«

24

Uden udtrykkeligt at bestride formaliteten vedrørende anmodningen om præjudiciel afgørelse har TR gjort gældende, at et svar på det forelagte spørgsmål ikke er nødvendigt for at løse tvisten i hovedsagen. TR’s søgsmål tilsigter kun, at den forelæggende ret tilpligter HBDI at udtale sig om de klagepunkter, der er fremsat i den klage, som er indbragt for denne i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), og ikke, at den forelæggende ret tilpligter HBDI at anvende de beføjelser, som HBDI er tildelt i medfør af denne forordnings artikel 58, stk. 2.

25

Det skal i denne henseende bemærkes, at det inden for rammerne af det samarbejde, der i medfør af artikel 267 TEUF er indført mellem Domstolen og de nationale retter, udelukkende tilkommer den nationale ret, for hvilken en tvist er indbragt, og som har ansvaret for den retsafgørelse, der skal træffes, på grundlag af omstændighederne i den konkrete sag at vurdere, såvel om en præjudiciel afgørelse er nødvendig for, at den kan afsige dom, som relevansen af de spørgsmål, den forelægger Domstolen. Når de stillede spørgsmål vedrører fortolkningen af EU-retten, er Domstolen derfor principielt forpligtet til at træffe afgørelse (dom af 30.11.2023, Ministero dell’Istruzione og INPS, C-270/22, EU:C:2023:933, præmis 33 og den deri nævnte retspraksis).

26

Det følger heraf, at der gælder en formodning for, at de spørgsmål om fortolkningen af EU-retten, som den nationale ret har stillet på det retlige og faktiske grundlag, som den har fastlagt inden for sit ansvarsområde, er relevante, hvorfor det ikke tilkommer Domstolen at efterprøve rigtigheden heraf. Domstolen kan kun afvise en anmodning fra en national ret, såfremt det klart fremgår, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand, når problemet er hypotetisk, eller når Domstolen ikke råder over de faktiske og retlige oplysninger, som er nødvendige for, at den kan foretage en hensigtsmæssig besvarelse af de stillede spørgsmål (dom af 30.11.2023, Ministero dell’Istruzione og INPS, C-270/22, EU:C:2023:933, præmis 34 og den deri nævnte retspraksis).

27

I det foreliggende tilfælde har den forelæggende ret fremhævet, at TR har anført, at der for HBDI gjaldt en ret til at gribe ind, og at HBDI var forpligtet til at pålægge Sparkasse en bøde.

28

Det fremgår således ikke klart, at den ønskede fortolkning af EU-retten savner enhver forbindelse med realiteten i hovedsagen eller dennes genstand.

29

Anmodningen om præjudiciel afgørelse kan derfor antages til realitetsbehandling.

30

Med henblik på besvarelsen af det forelagte spørgsmål skal det indledningsvis bemærkes, at der ved fortolkningen af en EU-retlig bestemmelse ikke blot skal tages hensyn til dennes ordlyd, men også til den sammenhæng, hvori den indgår, og de mål, der forfølges med den ordning, som den udgør en del af (dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 48 og den deri nævnte retspraksis).

31

Det skal ligeledes bemærkes, at de nationale tilsynsmyndigheder i overensstemmelse med artikel 8, stk. 3 i Den Europæiske Unions charter om grundlæggende rettigheder, og databeskyttelsesforordningens artikel 51, stk. 1, og artikel 57, stk. 1, litra a), er ansvarlige for at føre tilsyn med overholdelsen af EU-reglerne om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger (dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 55 og den deri nævnte retspraksis).

32

Navnlig skal hver tilsynsmyndighed på sit område i henhold til databeskyttelsesforordningens artikel 57, stk. 1, litra f), behandle de klager, som enhver registreret i henhold til denne forordnings artikel 77, stk. 1, har ret til at indgive, når den pågældende finder, at en behandling af personoplysninger vedrørende vedkommende overtræder den nævnte forordning, og, for så vidt det er nødvendigt, undersøge genstanden for klagen og underrette klageren om forløbet og resultatet af undersøgelsen inden for en rimelig frist. Tilsynsmyndigheden skal behandle en sådan klage med den fornødne omhu (jf. i denne retning dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 56 og den deri nævnte retspraksis).

33

Med henblik på behandlingen af de således indgivne klager tillægger databeskyttelsesforordningens artikel 58, stk. 1, hver tilsynsmyndighed væsentlige undersøgelsesbeføjelser. Når en sådan myndighed i forbindelse med sin undersøgelse konstaterer, at der foreligger en tilsidesættelse af denne forordnings bestemmelser, har den pligt til at reagere på en passende måde med henblik på at afhjælpe det konstaterede utilstrækkelige beskyttelsesniveau, idet enhver foranstaltning, som det præciseres i 129. betragtning til den nævnte forordning, bl.a. skal være passende, nødvendig og forholdsmæssig for at sikre overholdelse af denne forordning, idet der tages hensyn til omstændighederne i hver enkelt sag. Med henblik herpå opregnes i samme forordnings artikel 58, stk. 2, de forskellige korrigerende foranstaltninger, som tilsynsmyndigheden kan vedtage (jf. i denne retning dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 57 og den deri nævnte retspraksis).

34

I henhold til databeskyttelsesforordningens artikel 58, stk. 2, har tilsynsmyndigheden således bl.a. beføjelse til at udtale kritik af en dataansvarlig eller en databehandler, hvis behandlingsaktiviteter har været i strid med denne forordning [litra b)], at give den dataansvarlige eller databehandleren påbud om at imødekomme den registreredes anmodninger om at udøve sine rettigheder i henhold til nævnte forordning [litra c)], at give den dataansvarlige eller databehandleren påbud om at bringe behandlingsaktiviteter i overensstemmelse med bestemmelserne i samme forordning og, hvis det er hensigtsmæssigt, på en nærmere angivet måde og inden for en nærmere angivet frist [litra d)] eller at pålægge en administrativ bøde i henhold til databeskyttelsesforordningens artikel 83 i tillæg til eller i stedet for foranstaltningerne i denne artikel 58, stk. 2, afhængigt af omstændighederne i hvert enkelt tilfælde [litra i)].

35

Klageproceduren er således tænkt som en mekanisme, der er egnet til effektivt at beskytte de registreredes rettigheder og interesser (dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 58).

36

I det foreliggende tilfælde fremgår det af anmodningen om præjudiciel afgørelse, at HBDI foretog en grundig materiel undersøgelse af den klage, som sagsøgeren i hovedsagen havde indgivet til HBDI, og underrettede denne om resultatet af undersøgelsen. HBDI bekræftede nærmere bestemt, at der hos Sparkasse var sket et brud på persondatasikkerheden, som vedrørte TR, og som bestod i, at én af Sparkasses medarbejdere uden tilladelse havde haft adgang til disse personoplysninger. Hvad angår de adgangsrettigheder, som Sparkasses ansatte var tildelt, afslog HBDI imidlertid den klage, som sagsøgeren i hovedsagen havde indgivet. HBDI konstaterede endvidere, at der ikke var grundlag for at gribe ind over for Sparkasse i henhold til databeskyttelsesforordningens artikel 58, stk. 2.

37

I denne henseende bemærkes, at databeskyttelsesforordningen overlader tilsynsmyndigheden et skøn med hensyn til den måde, hvorpå den skal afhjælpe den konstaterede mangel, eftersom databeskyttelsesforordningens artikel 58, stk. 2, giver denne myndighed beføjelse til at vedtage forskellige korrigerende foranstaltninger. Som Domstolen allerede har fastslået, er det tilsynsmyndigheden, som skal vælge det middel, som er hensigtsmæssigt og nødvendigt, og som skal foretage dette valg under hensyntagen til samtlige omstændigheder i det konkrete tilfælde og med den fornødne omhu, som kræves af dens opgave bestående i at sikre den fulde overholdelse af databeskyttelsesforordningen (jf. i denne retning dom af 16.7.2020, Facebook Ireland og Schrems, C-311/18, EU:C:2020:559, præmis 112).

38

Dette skøn er imidlertid begrænset af behovet for at sikre et ensartet og højt niveau for beskyttelse af personoplysninger gennem en effektiv håndhævelse, således som det fremgår af syvende og tiende betragtning til databeskyttelsesforordningen.

39

Hvad nærmere bestemt angår administrative bøder som omhandlet i databeskyttelsesforordningens artikel 58, stk. 2, litra i), fremgår det af forordningens artikel 83, stk. 2, at disse, afhængigt af omstændighederne i hver enkelt sag, pålægges i tillæg til eller i stedet for andre foranstaltninger som omhandlet i denne artikel 58, stk. 2. Som det ligeledes præciseres i artikel 83, stk. 2, skal tilsynsmyndigheden, når den træffer afgørelse om, hvorvidt der skal pålægges en administrativ bøde og om den administrativ bødes størrelse i hver enkelt sag, tage behørigt hensyn til de elementer, der er anført i denne bestemmelses litra a)-k), såsom overtrædelsens karakter, alvor og varighed.

40

Det sanktionssystem, som EU-lovgiver har fastsat, gør det således muligt for tilsynsmyndighederne at pålægge de sanktioner, som efter omstændighederne i hvert enkelt tilfælde er de mest hensigtsmæssige og begrundede (jf. i denne retning dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, præmis 75 og 78), idet der, som det blev bemærket i denne doms præmis 37 og 38, tages hensyn til nødvendigheden af at sikre, at databeskyttelsesforordningen overholdes fuldt ud, og at der garanteres et ensartet og højt beskyttelsesniveau for personoplysninger gennem en effektiv håndhævelse, således som det er anført i denne doms præmis 37 og 38.

41

Det kan derfor hverken udledes af databeskyttelsesforordningens artikel 58, stk. 2, eller af dennes artikel 83, at der foreligger en forpligtelse for tilsynsmyndigheden til i alle tilfælde, når den konstaterer et brud på persondatasikkerheden, at vedtage en korrigerende foranstaltning, særligt en administrativ bøde, idet dens forpligtelse under sådanne omstændigheder er at reagere på en passende måde med henblik på at afhjælpe den konstaterede mangel. Under disse omstændigheder har klageren, hvis rettigheder er blevet krænket, således som generaladvokaten har anført i punkt 81 i forslaget til afgørelse, ikke en subjektiv ret til at anmode om, at tilsynsmyndigheden skal pålægge en administrativ bøde.

42

Tilsynsmyndigheden er derimod forpligtet til at gribe ind, når vedtagelsen af en eller flere af de korrigerende foranstaltninger, der er fastsat i databeskyttelsesforordningens artikel 58, stk. 2, under hensyntagen til alle omstændighederne i det konkrete tilfælde er passende, nødvendig og forholdsmæssig med henblik på at afhjælpe den konstaterede mangel og sikre fuld overholdelse af denne forordning.

43

I denne henseende kan det ikke udelukkes, at tilsynsmyndigheden undtagelsesvis og i betragtning af de særlige omstændigheder i det konkrete tilfælde kan undlade at træffe en korrigerende foranstaltning, selv om der er konstateret et brud på persondatasikkerheden. Dette kan navnlig være tilfældet, når den konstaterede overtrædelse ikke har varet ved, f.eks. når den dataansvarlige, der i princippet har gennemført passende tekniske og organisatoriske foranstaltninger som omhandlet databeskyttelsesforordningens i artikel 24, så snart denne er blevet bekendt med overtrædelsen, har truffet passende og nødvendige foranstaltninger for at sikre, at overtrædelsen ophører og ikke gentager sig, under hensyn til sine forpligtelser i henhold til navnlig denne forordnings artikel 5, stk. 2, og artikel 24.

44

Den fortolkning, hvorefter tilsynsmyndigheden, når den konstaterer et brud på persondatasikkerheden, ikke er forpligtet til i alle tilfælde at træffe en korrigerende foranstaltning i henhold til databeskyttelsesforordningens artikel 58, stk. 2, understøttes af de formål, der forfølges med henholdsvis denne forordnings artikel 58, stk. 2, og artikel 83.

45

For så vidt angår det formål, der forfølges med databeskyttelsesforordningens artikel 58, stk. 2, fremgår det af 129. betragtning hertil, at denne bestemmelse tilsigter at sikre, at behandlingen af personoplysninger sker i overensstemmelse med denne forordning, og at tilfælde af brud på sidstnævnte forordning genoprettes for at bringe disse i overensstemmelse med EU-retten ved de nationale tilsynsmyndigheders indgriben (dom af 14.3.2024, Újpesti Polgármesteri Hivatal, C-46/23, EU:C:2024:239, præmis 40).

46

Det følger heraf, at det undtagelsesvis og i betragtning af de særlige omstændigheder i det konkrete tilfælde ikke kan være påkrævet at vedtage en korrigerende foranstaltning, forudsat at den situation, hvori databeskyttelsesforordningen er blevet tilsidesat, allerede er genoprettet, og at det er sikret, at den dataansvarliges behandling af personoplysninger er i overensstemmelse med denne forordning, og at en sådan undladelse fra tilsynsmyndighedens side ikke er af en sådan art, at den tilsidesætter kravet om en effektiv håndhævelse, således som det er anført i denne doms præmis 38.

47

Hvad angår det formål, der forfølges med databeskyttelsesforordningens artikel 83 om pålæggelse af administrative bøder, består dette ifølge forordningens 148. betragtning i at styrke håndhævelsen af forordningens regler. I denne samme betragtning anføres dog bl.a., at tilsynsmyndighederne i tilfælde af en mindre overtrædelse af forordningen eller hvis den administrative bøde, der kunne blive pålagt, ville udgøre en uforholdsmæssig stor byrde for en fysisk person, kan afholde sig fra at pålægge en sådan bøde og i stedet udstede en irettesættelse (jf. i denne retning dom af 5.12.2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, præmis 76).

48

I det foreliggende tilfælde fremgår det af anmodningen om præjudiciel afgørelse, at Sparkasse i henhold til databeskyttelsesforordningens artikel 33 underrettede HBDI om det brud på persondatasikkerheden, som vedrørte sagsøgeren i hovedsagen, og som bestod i, at en af Sparkasses medarbejdere uden tilladelse havde haft adgang til disse oplysninger. Sparkasse har endvidere anført, at der var blevet truffet disciplinære foranstaltninger over for denne medarbejder, og at opbevaringsperioden for adgangsprotokollen ville blive taget op til fornyet undersøgelse. Det var under disse omstændigheder, at HBDI undlod at træffe en korrigerende foranstaltning i henhold til databeskyttelsesforordningens artikel 58, stk. 2, og herunder at pålægge en administrativ bøde.

49

Da klageafgørelser, der er vedtaget af en tilsynsmyndighed, er underlagt en fuldstændig domstolsprøvelse (dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 70), påhviler det den forelæggende ret at efterprøve, om HBDI har behandlet den pågældende klage med den fornødne omhu, og om HBDI ved vedtagelsen af den i hovedsagen omhandlede afgørelse har overholdt grænserne for det skøn, som HBDI er tillagt ved databeskyttelsesforordningens artikel 58, stk. 2 (jf. analogt dom af 7.12.2023, SCHUFA Holding (Gældssanering), C-26/22 og C-64/22, EU:C:2023:958, præmis 68 og 69 og den deri nævnte retspraksis).

50

Henset til samtlige ovenstående betragtninger skal det forelagte spørgsmål besvares med, at databeskyttelsesforordningens artikel 57, stk. 1, litra a) og f), artikel 58, stk. 2, og artikel 77, stk. 1, skal fortolkes således, at tilsynsmyndigheden i tilfælde af, at der konstateres et brud på persondatasikkerheden, ikke er forpligtet til at vedtage en korrigerende foranstaltning, særligt en administrativ bøde, i henhold til artikel 58, stk. 2, når en sådan indgriben ikke er passende, nødvendig eller forholdsmæssig med henblik på at afhjælpe den konstaterede mangel og sikre fuld overholdelse af denne forordning.

51

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret:

Artikel 57, stk. 1, litra a) og f), artikel 58, stk. 2, og artikel 77, stk. 1, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at

tilsynsmyndigheden i tilfælde af, at der konstateres et brud på persondatasikkerheden, ikke er forpligtet til at vedtage en korrigerende foranstaltning, særligt en administrativ bøde, i henhold til artikel 58, stk. 2, når en sådan indgriben ikke er passende, nødvendig eller forholdsmæssig med henblik på at afhjælpe den konstaterede mangel og sikre fuld overholdelse af denne forordning.