–

za osobu TR, F. Wittmaack, Rechtsanwalt,

–

za Land Hessen, M. Kottmann i G. Ziegenhorn, Rechtsanwälte,

–

za austrijsku vladu, J. Schmoll i M.-T. Rappersberger, u svojstvu agenata,

–

za portugalsku vladu, P. Barros da Costa, J. Ramos i C. Vieira Guerra, u svojstvu agenata,

–

za rumunjsku vladu, L.-E. Baţagoi i E. Gane, u svojstvu agenata,

–

za norvešku vladu, S.-E. Jahr Dahl, L. M. Moen Jünge i M. Munthe Kaas, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar, M. Heller i H. Kranenborg, u svojstvu agenata,

1

Zahtjev za prethodnu odluku odnosi se na tumačenje članka 57. stavka 1. točaka (a) i (f), članka 58. stavka 2. i članka 77. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravak SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).

2

Zahtjev je podnesen u okviru spora između osobe TR i Landa Hessen (savezna zemlja Hessen, Njemačka), u vezi s odbijanjem Hessischer Beauftragtea für Datenschutz und Informationsfreiheit (službenik za zaštitu podataka i slobodu informiranja savezne zemlje Hessen, Njemačka) (u daljnjem tekstu: HBDI) da donese korektivne mjere u odnosu na Sparkasse X (Štedionica iz X; u daljnjem tekstu: Štedionica).

3

U skladu s uvodnim izjavama 6., 7., 10., 129. i 148. OUZP‑a:

[…]

[…]

[…]

4

Članak 5. te uredbe glasi kako slijedi:

„1.   Osobni podaci moraju biti:

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

5

Člankom 24. stavkom 1. navedene uredbe predviđa se:

„Uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca, voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kako bi osigurao i mogao dokazati da se obrada provodi u skladu s ovom Uredbom. Te se mjere prema potrebi preispituju i ažuriraju.”

6

Članak 33. iste uredbe određuje:

„1.   U slučaju povrede osobnih podataka voditelj obrade bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata nakon saznanja o toj povredi, izvješćuje nadzorno tijelo nadležno u skladu s člankom 55. o povredi osobnih podataka, osim ako nije vjerojatno da će povreda osobnih podataka prouzročiti rizik za prava i slobode pojedinaca. […]

[…]

3.   U izvješćivanju iz stavka 1. mora se barem:

[…]”

7

Članak 34. stavak 1. OUZP‑a glasi:

„U slučaju povrede osobnih podataka koja će vjerojatno prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade bez nepotrebnog odgađanja obavješćuje ispitanika o povredi osobnih podataka.”

8

Poglavlje VI. te uredbe, naslovljeno „Neovisna nadzorna tijela”, sadržava njezine članke 51. do 59.

9

Članak 51. stavak 1. navedene uredbe glasi:

„Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Uredbe kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Unije (‚nadzorno tijelo’).”

10

Člankom 57. OUZP‑a, naslovljenim „Zadaće”, u stavku 1. određuje se:

„Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području:

[…]

[…]”

11

Člankom 58. te uredbe, naslovljenim „Ovlasti”, u stavcima 1. i 2. određuje se:

„1.   Svako nadzorno tijelo ima sve sljedeće istražne ovlasti:

[…]

2.   Svako nadzorno tijelo ima sve sljedeće korektivne ovlasti:

[…]

[…]”

12

Članak 77. navedene uredbe glasi kako slijedi:

„1.   Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.

2.   Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o napretku i ishodu pritužbe, među ostalim o mogućnosti sudskog pravnog lijeka na temelju članka 78.”

13

U članku 83. stavcima 1. i 2. te uredbe navodi se:

„1.   Svako nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu kršenja ove Uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće.

2.   Upravne novčane kazne izriču se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2. točke (j), ovisno o okolnostima svakog pojedinog slučaja. Pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna se pozornost posvećuje sljedećem:

14

Štedionica je lokalna ustanova javnog prava koja obavlja, među ostalim, bankarske i kreditne poslove. Štedionica je 15. studenoga 2019., u skladu s člankom 33. OUZP‑a, izvijestila HBDI o povredi osobnih podataka jer je jedna njezina zaposlenica u više navrata neovlašteno pristupila osobnim podacima osobe TR, jednog od njezinih klijenata. Štedionica je propustila obavijestiti osobu TR o povredi njezinih osobnih podataka.

15

Nakon što je slučajno saznala za činjenicu da je došlo do nepropisnog uvida u njezine osobne podatke, osoba TR je 27. srpnja 2020. podnijela HBDI‑ju pritužbu na temelju članka 77. OUZP‑a. U toj pritužbi ona je prijavila činjenicu da o povredi njezinih osobnih podataka nije bila obaviještena, protivno članku 34. te uredbe. Također je kritizirala i razdoblje čuvanja registra pristupa Štedionice, koje je iznosilo samo tri mjeseca, kao i široka prava na uvid koja uživaju članovi njezina osoblja.

16

Nakon što je osoba TR podnijela pritužbu, HBDI je saslušao Štedionicu pisanim i usmenim putem u vezi s prigovorima koji su podneseni protiv nje. Tijekom saslušanja Štedionica je navela da nije dostavila obavijest u skladu s člankom 34. OUZP‑a jer je njezin službenik za zaštitu podataka smatrao da ne postoji visok rizik u pogledu pravâ i sloboda osobe TR. Naime, protiv zaposlenice o kojoj je riječ poduzete su stegovne mjere te je ona u pisanom obliku potvrdila da nije kopirala ni sačuvala osobne podatke, da ih nije proslijedila trećim osobama i da to neće učiniti u budućnosti. Osim toga, budući da je HBDI kritizirao prekratko razdoblje čuvanja registara pristupa, Štedionica ga je obavijestila da će se to pitanje preispitati.

17

Odlukom od 3. rujna 2020. HBDI je obavijestio osobu TR da Štedionica nije povrijedila članak 34. OUZP‑a jer ocjena Štedionice prema kojoj počinjena povreda osobnih podataka ne može dovesti do visokog rizika u pogledu njezinih pravâ i sloboda, u smislu tog članka, nije očito pogrešna. Naime, iako je zaposlenica pregledala podatke, ništa ne upućuje na to da ih je prenijela trećim osobama ili da ih je koristila na štetu osobe TR. Osim toga, HBDI je naveo da je pozvao Štedionicu da ubuduće svoj registar pristupa čuva tijekom razdoblja duljeg od tri mjeseca. Naposljetku, kad je riječ o pitanju pristupa zaposlenika Štedionice osobnim podacima, HBDI je odbio pritužbu osobe TR naglašavajući da se široka prava pristupa načelno mogu odobriti kada postoji izvjesnost da je svaki korisnik obaviješten o uvjetima u kojima može pristupiti podacima. Stoga, prema mišljenju HBDI‑a, u načelu nije potrebno provoditi nadzor svakog pristupa.

18

Osoba TR podnijela je protiv te odluke tužbu Verwaltungsgerichtu Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), sudu koji je uputio zahtjev, kojom je od tog suda tražila da naloži HBDI‑ju da poduzme radnje protiv Štedionice.

19

U potporu svojoj tužbi osoba TR ističe da HBDI njezinu pritužbu nije obradio u skladu sa zahtjevima OUZP‑a, to jest uzimajući u obzir sve činjenične okolnosti, te dodaje da je HBDI Štedionici trebao izreći novčanu kaznu, s obzirom na njezine različite povrede odredbi te uredbe, posebice njezina članka 5., članka 12. stavka 3., članka 15. stavka 1. točke (c), članka 33. stavka 1. i članka 33. stavka 3. Prema mišljenju osobe TR, u slučaju utvrđene povrede navedene uredbe, kao u ovom predmetu, načelo svrsishodnosti se ne primjenjuje, tako da HBDI nije imao pravo odlučiti hoće li djelovati ili ne, nego je eventualno mogao odabrati mjere koje će poduzeti.

20

U tom se pogledu sud koji je uputio zahtjev u biti pita treba li, u slučaju dokazane povrede odredbi o zaštiti osobnih podataka, OUZP tumačiti na način da je nadzorno tijelo dužno donijeti korektivne mjere na temelju članka 58. stavka 2. te uredbe, poput upravne novčane kazne, ili pak na način da to tijelo raspolaže diskrecijskom ovlašću koja ga ovlašćuje da, ovisno o okolnostima, ne poduzme takve mjere.

21

Sud koji je uputio zahtjev objašnjava da se prvo tumačenje, koje zagovara osoba TR kao i jedan dio pravne teorije, temelji na činjenici da je svrha ovlasti određivanja korektivne mjere kojima raspolaže nadzorno tijelo to da se ponovno uspostavi zakonita situacija ako su obradom podataka povrijeđena prava građana. Stoga bi članak 58. stavak 2. OUZP‑a trebalo smatrati izvorom obveze na temelju kojeg nastaje pravo građanina na djelovanje tijela ako su neki poduzetnik ili neko tijelo nezakonito obrađivali osobne podatke građanina ili su na neki drugi način povrijedili njegova prava. Dakle, u slučaju da se utvrdi povreda zaštite podataka, nadzorno bi tijelo bilo obvezno odrediti korektivne mjere, dok bi jedina diskrecijska ovlast koja bi mu ostala bila u pogledu odabira koju će od predviđenih mjera poduzeti.

22

Međutim, sud koji je uputio zahtjev sumnja u osnovanost tog tumačenja, koje smatra preširokom, i skloniji je priznati nadzornom tijelu marginu prosudbe koja mu u određenim slučajevima dopušta da se suzdrži od poduzimanja korektivne mjere, osobito od izricanja sankcije, u slučaju dokazane povrede. Iako je nadzorno tijelo na temelju članka 57. stavka 1. točke (f) OUZP‑a obvezno pažljivo ispitati meritum pritužbi i ispitati svaki pojedinačni slučaj, ono ipak nije dužno poduzeti korektivne mjere u svim situacijama. Tako ono nema takvu obvezu ako su u prošlosti povrijeđena pravila o zaštiti osobnih podataka, ali je voditelj obrade poduzeo mjere koje upućuju na to da se povreda zaštite podataka neće ponoviti.

23

U tim je okolnostima Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:

„Treba li članak 57. stavak 1. točke (a) i (f) te članak 58. stavak 2. točke (a) do (j) u vezi s člankom 77. stavkom 1. [OUZP‑a] tumačiti na način da je nadzorno tijelo, u slučaju da utvrdi postojanje obrade podataka kojom se povređuju ispitanikova prava, uvijek obvezno djelovati u skladu s člankom 58. stavkom 2. [te uredbe]?”

24

Osoba TR, iako izričito ne osporava dopuštenost zahtjeva za prethodnu odluku, ističe da odgovor na postavljeno pitanje nije nužan za donošenje odluke u glavnom postupku. Ona svojom tužbom traži samo to da sud koji je uputio zahtjev naloži HBDI‑ju da se izjasni o prigovorima istaknutima u pritužbi, u skladu s člankom 57. stavkom 1. točkom (f) OUZP‑a, a ne da se HBDI‑ju naloži da upotrijebi ovlasti koje mu daje članak 58. stavak 2. OUZP‑a.

25

U tom pogledu valja podsjetiti na to da je u okviru suradnje između Suda i nacionalnih sudova koja je uspostavljena člankom 267. UFEU‑a isključivo na nacionalnom sudu pred kojim se vodi postupak i koji mora preuzeti odgovornost za sudsku odluku koja će biti donesena da uvažavajući posebnosti predmeta ocijeni nužnost prethodne odluke za donošenje svoje presude i relevantnost pitanja koja postavlja Sudu. Slijedom toga, ako se postavljena pitanja odnose na tumačenje prava Unije, Sud je načelno dužan donijeti odluku (presuda od 30. studenoga 2023., Ministero dell’Istruzione i INPS, C‑270/22, EU:C:2023:933, t. 33. i navedena sudska praksa).

26

Iz toga slijedi da pitanja o tumačenju prava Unije, koja nacionalni sud uputi u pravnom i činjeničnom okviru koji utvrđuje pod vlastitom odgovornošću i čiju točnost Sud nije dužan provjeravati, uživaju presumpciju relevantnosti. Sud može odbiti odlučiti o zahtjevu za prethodnu odluku koji je uputio nacionalni sud samo ako je očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ni predmetom spora u glavnom postupku, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima da bi mogao dati koristan odgovor na pitanja koja su mu upućena (presuda od 30. studenoga 2023., Ministero dell’Istruzione i INPS, C‑270/22, EU:C:2023:933, t. 34. i navedena sudska praksa).

27

U ovom slučaju sud koji je uputio zahtjev ističe da se osoba TR poziva na pravo na intervenciju HBDI‑ja i tvrdi da je on bio obvezan Štedionici izreći novčanu kaznu.

28

S obzirom na to, nije očito da zatraženo tumačenje prava Unije nema nikakve veze s činjeničnim stanjem ili predmetom spora iz glavnog postupka.

29

Zahtjev za prethodnu odluku stoga je dopušten.

30

Kako bi se odgovorilo na upućeno pitanje, najprije valja podsjetiti na to da pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 48. i navedena sudska praksa).

31

Valja također podsjetiti i da su u skladu s člankom 8. stavkom 3. Povelje Europske unije o temeljnim pravima te člankom 51. stavkom 1. i člankom 57. stavkom 1. točkom (a) OUZP‑a nacionalna nadzorna tijela odgovorna za nadzor poštovanja pravila Unije o zaštiti pojedinaca u vezi s obradom osobnih podataka (presuda od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 55. i navedena sudska praksa).

32

Osobito, na temelju članka 57. stavka 1. točke (f) OUZP‑a, svako nadzorno tijelo dužno je, na svojem području, rješavati pritužbe koje u skladu s člankom 77. stavkom 1. te uredbe može podnijeti svaka osoba kad smatra da obrada osobnih podataka koja se odnosi na nju predstavlja povredu navedene uredbe, ispitati njihov predmet u mjeri u kojoj je to potrebno te podnositelja pritužbe u razumnom roku izvijestiti o napretku i ishodu istrage. Nadzorno tijelo mora postupati s takvom pritužbom uz svu dužnu pažnju (vidjeti, u tom smislu, presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 56. i navedenu sudsku praksu).

33

Kako bi rješavalo podnesene pritužbe, članak 58. stavak 1. OUZP‑a svakom nadzornom tijelu dodjeljuje znatne istražne ovlasti. Kada takvo tijelo po završetku istrage utvrdi povredu odredaba te uredbe, dužno je reagirati na odgovarajući način kako bi otklonilo utvrđeni nedostatak, pri čemu svaka mjera mora, kao što je to navedeno u uvodnoj izjavi 129. navedene uredbe, biti primjerena, nužna i proporcionalna kako bi se zajamčilo poštovanje navedene uredbe, uzimajući u obzir okolnosti slučaja. U tu svrhu, članak 58. stavak 2. te uredbe navodi različite korektivne ovlasti koje nadzorno tijelo može usvojiti (vidjeti, u tom smislu, presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 57. i navedenu sudsku praksu).

34

Tako, na temelju članka 58. stavka 2. OUZP‑a, nadzorno tijelo ima ovlast, među ostalim, izdavati službene opomene voditelju obrade ili izvršitelju obrade ako se postupcima obrade krše odredbe te uredbe (točka (b)), narediti voditelju obrade ili izvršitelju obrade da poštuje zahtjeve ispitanika za ostvarivanje njegovih prava u skladu s navedenom uredbom (točka (c)), narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama te uredbe, prema potrebi na točno određen način i u točno zadanom roku (točka (d)) ili pak izreći upravnu novčanu kaznu u skladu s člankom 83. OUZP‑a, uz mjere iz članka 58. stavka 2. ili umjesto mjera iz tog članka 58. stavka 2., ovisno o okolnostima svakog pojedinog slučaja (točka (i)).

35

Stoga je postupak pritužbe zamišljen kao mehanizam kojim se mogu učinkovito zaštititi prava i interesi ispitanika (presuda od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 58.).

36

U ovom slučaju iz zahtjeva za prethodnu odluku proizlazi da je HBDI ispitao meritum pritužbe koju mu je podnio tužitelj iz glavnog postupka te ga je obavijestio o ishodu istrage. Konkretnije, HBDI je potvrdio da je u Štedionici došlo do povrede tužiteljevih osobnih podataka, koja se sastojala od neovlaštenog pristupa tim podacima od strane jedne zaposlenice Štedionice. Međutim, što se tiče prava na uvid članova osoblja Štedionice, HBDI je odbio pritužbu koju je podnio tužitelj iz glavnog postupka. Usto, zaključio je da nije potrebno djelovati protiv Štedionice na temelju članka 58. stavka 2. OUZP‑a.

37

U tom pogledu valja istaknuti da se OUZP‑om nadzornom tijelu ostavlja margina prosudbe u pogledu načina na koji treba ispraviti utvrđeni nedostatak jer se člankom 58. stavkom 2. te uredbe tom tijelu dodjeljuje ovlast donošenja različitih korektivnih mjera. Tako je Sud već presudio da je izbor prikladnog i nužnog sredstva na nadzornom tijelu, koje mora izvršiti taj izbor uzimajući u obzir sve okolnosti konkretnog slučaja te uz svu dužnu pažnju ispunjavati svoju zadaću nadziranja punog poštovanja OUZP‑a (vidjeti, u tom smislu, presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 112.).

38

Međutim, ta je margina prosudbe ograničena potrebom da se odlučnom provedbom pravila osigura postojana i visoka razina zaštite osobnih podataka, kao što to proizlazi iz uvodnih izjava 7. i 10. OUZP‑a.

39

Kada je, konkretnije, riječ o upravnim novčanim kaznama navedenima u članku 58. stavku 2. točki (i) OUZP‑a, iz članka 83. stavka 2. te uredbe proizlazi da se one izriču, uz mjere ili umjesto mjera iz tog članka 58. stavka 2., ovisno o okolnostima svakog pojedinog slučaja. Usto, u tom istom članku 83. stavku 2. precizira se da, pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o njezinu iznosu, u svakom pojedinom slučaju nadzorno tijelo mora posvećivati dužnu pozornost elementima koji se nalaze u točkama (a) do (k) te odredbe, kao što su priroda, težina i trajanje kršenja.

40

Tako sustav sankcija koji je predvidio zakonodavac Unije nadzornim tijelima omogućuje izricanje najprikladnijih i najopravdanijih sankcija ovisno o okolnostima svakog slučaja (vidjeti, u tom smislu, presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 75. i 78.), uzimajući u obzir, kao što je to navedeno u točkama 37. i 38. ove presude, potrebu da se osigura puno poštovanje OUZP‑a i da se zajamči postojana i visoka razina zaštite osobnih podataka odlučnom primjenom pravila.

41

Stoga se ni iz članka 58. stavka 2. OUZP‑a ni iz njegova članka 83. ne može zaključiti da postoji obveza nadzornog tijela da u svakom slučaju kada utvrdi povredu osobnih podataka donese korektivnu mjeru, posebice upravnu novčanu kaznu, s obzirom na to da je njegova obveza da u takvim okolnostima reagira na odgovarajući način kako bi se ispravio utvrđeni nedostatak. U tim okolnostima, kao što je to nezavisni odvjetnik istaknuo u točki 81. svojeg mišljenja, podnositelj pritužbe čija su prava povrijeđena nema subjektivno pravo zahtijevati da nadzorno tijelo voditelju obrade izrekne upravnu novčanu kaznu.

42

Suprotno tomu, nadzorno tijelo dužno je intervenirati kada je donošenje jedne ili više korektivnih mjera predviđenih člankom 58. stavkom 2. OUZP‑a, s obzirom na sve okolnosti konkretnog slučaja, prikladno, nužno i proporcionalno kako bi se ispravio utvrđeni nedostatak i zajamčilo puno poštovanje te uredbe.

43

U tom pogledu nije isključeno da se, iznimno i uzimajući u obzir posebne okolnosti konkretnog slučaja, nadzorno tijelo može suzdržati od donošenja korektivne mjere iako je utvrđena povreda osobnih podataka. To bi mogao biti slučaj, među ostalim, kada utvrđena povreda nije trajala, primjerice kada je voditelj obrade, koji je, u načelu, proveo odgovarajuće tehničke i organizacijske mjere u smislu članka 24. OUZP‑a, čim je saznao za tu povredu poduzeo odgovarajuće i potrebne mjere kako bi se navedena povreda okončala i kako se ne bi ponovila, uzimajući u obzir obveze koje ima, među ostalim, na temelju članka 5. stavka 2. i članka 24. te uredbe.

44

Tumačenje prema kojem nadzorno tijelo, kada utvrdi povredu osobnih podataka, nije obvezno u svakom slučaju donijeti korektivnu mjeru na temelju članka 58. stavka 2. OUZP‑a potkrijepljeno je ciljevima koji se nastoje postići tim člankom 58. stavkom 2. i člankom 83. te uredbe.

45

Što se tiče cilja koji se nastoji postići člankom 58. stavkom 2. OUZP‑a, iz njegove uvodne izjave 129. proizlazi da je cilj te odredbe osiguravanje usklađenosti obrade osobnih podataka s tom uredbom i rješavanje slučajeva kršenja te uredbe kako bi se uskladili s pravom Unije, kao rezultat intervencije nacionalnih nadzornih tijela (presuda od 14. ožujka 2024., Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, t. 40.).

46

Iz toga slijedi da je moguće – iznimno i uzimajući u obzir posebne okolnosti konkretnog slučaja – da nije potrebno donijeti korektivnu mjeru, pod uvjetom da je situacija povrede OUZP‑a već prestala i da je voditelj obrade već osigurao usklađenost obrade osobnih podataka s tom uredbom te da takvo suzdržavanje nadzornog tijela nije takve naravi da može ugroziti zahtjev odlučne primjene pravila, kako je naveden u točki 38. ove presude.

47

Što se tiče cilja članka 83. OUZP‑a, koji se odnosi na izricanje upravnih novčanih kazni, on se, u skladu s uvodnom izjavom 148. te uredbe, sastoji u poboljšanju izvršavanja pravila te uredbe. Međutim, u toj istoj uvodnoj izjavi navodi se da se, u slučaju lakšeg kršenja ili ako bi moguća novčana kazna nerazmjerno opteretila fizičku osobu, nadzorna tijela mogu suzdržati od izricanja upravne novčane kazne te, umjesto nje, izreći upozorenje (vidjeti, u tom smislu, presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, t. 76.).

48

U ovom slučaju iz zahtjeva za prethodnu odluku proizlazi da je Štedionica HBDI‑ju, u skladu s člankom 33. OUZP‑a, prijavila povredu osobnih podataka tužitelja iz glavnog postupka koja proizlazi iz neovlaštenog pristupa tim podacima od strane jedne njegove zaposlenice. Usto, navela je da su protiv te zaposlenice poduzete stegovne mjere i da će se razdoblje čuvanja pristupnog registra preispitati. U tim okolnostima HBDI se suzdržao od donošenja korektivne mjere na temelju članka 58. stavka 2. OUZP‑a, a osobito od izricanja upravne novčane kazne.

49

Budući da odluke o pritužbama koje je donijelo nadzorno tijelo podliježu sveobuhvatnom sudskom nadzoru merituma (presuda od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 70.), na sudu koji je uputio zahtjev je da provjeri je li HBDI postupao po predmetnoj pritužbi sa svom potrebnom dužnom pažnjom i je li donošenjem odluke o kojoj je riječ u glavnom postupku HBDI poštovao granice margine prosudbe koja mu je dodijeljena člankom 58. stavkom 2. OUZP‑a (vidjeti, po analogiji, presudu od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, EU:C:2023:958, t. 68. i 69. i navedenu sudsku praksu).

50

Imajući u vidu sva prethodna razmatranja, na postavljeno pitanje valja odgovoriti tako da članak 57. stavak 1. točke (a) i (f), članak 58. stavak 2. i članak 77. stavak 1. OUZP‑a treba tumačiti na način da nadzorno tijelo, u slučaju da utvrdi postojanje povrede osobnih podataka, nije obvezno odrediti korektivnu mjeru, posebice upravnu novčanu kaznu, u skladu s tim člankom 58. stavkom 2., ako takva intervencija nije prikladna, nužna ili proporcionalna kako bi se ispravio utvrđeni nedostatak i zajamčilo puno poštovanje te uredbe.

51

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (prvo vijeće) odlučuje:

Članak 57. stavak 1. točke (a) i (f), članak 58. stavak 2. i članak 77. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)

treba tumačiti na način da:

nadzorno tijelo, u slučaju da utvrdi postojanje povrede osobnih podataka, nije obvezno odrediti korektivnu mjeru, posebice upravnu novčanu kaznu, u skladu s tim člankom 58. stavkom 2., ako takva intervencija nije prikladna, nužna ili proporcionalna kako bi se ispravio utvrđeni nedostatak i zajamčilo puno poštovanje te uredbe.