–

TR vārdā – F. Wittmaack, Rechtsanwalt,

–

Land Hessen vārdā – M. Kottmann un G. Ziegenhorn, Rechtsanwälte,

–

Austrijas valdības vārdā – J. Schmoll un M.‑T. Rappersberger, pārstāves,

–

Portugāles valdības vārdā – P. Barros da Costa, M. J. Ramos un C. Vieira Guerra, pārstāves,

–

Rumānijas valdības vārdā – L.‑E. Baţagoi un E. Gane, pārstāves,

–

Norvēģijas valdības vārdā – S.‑E. Jahr Dahl, L.‑M. Moen Jünge un M. Munthe‑Kaas, pārstāvji,

–

Eiropas Komisijas vārdā – A. Bouchagiar, M. Heller un H. Kranenborg, pārstāvji,

1

Lūgums sniegt prejudiciālu nolēmumu ir par to, kā interpretēt Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; turpmāk tekstā – “VDAR”) 57. panta 1. punkta a) un f) apakšpunktu, 58. panta 2. punktu, kā arī 77. panta 1. punktu.

2

Šis lūgums ir iesniegts saistībā ar tiesvedību starp TR un Land Hessen (Hesenes federālā zeme, Vācija) par Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs, Vācija; turpmāk tekstā – “HBDI”) atteikumu attiecībā pret Sparkasse X (X krājkase, turpmāk tekstā – “Krājkase”) veikt korektīvos pasākumus.

3

VDAR 6., 7., 10., 129. un 148. apsvērumā ir teikts:

[..]

[..]

[..]

4

Šīs regulas 5. pants ir formulēts šādi:

“1.   Personas dati:

2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”

5

Minētās regulas 24. panta 1. punkts noteic:

“Ņemot vērā apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī dažādas iespējamības un nopietnības pakāpes riskus attiecībā uz fizisku personu tiesībām un brīvībām, pārzinis īsteno atbilstošus tehniskus un organizatoriskus pasākumus, lai nodrošinātu un spētu uzskatāmi parādīt, ka apstrāde notiek saskaņā ar šo regulu. Ja nepieciešams, minētos pasākumus pārskata un atjaunina.”

6

Šīs pašas regulas 33. pants noteic:

“1.   Personas datu aizsardzības pārkāpuma gadījumā pārzinis bez nepamatotas kavēšanās un, ja iespējams, ne vēlāk kā 72 stundu laikā no brīža, kad pārkāpums tam kļuvis zināms, paziņo par personas datu aizsardzības pārkāpumu uzraudzības iestādei, kas ir kompetenta saskaņā ar 55. pantu, izņemot gadījumus, kad ir maz ticams, ka personas datu aizsardzības pārkāpums varētu radīt risku fizisku personu tiesībām un brīvībām. [..]

[..]

3.   Paziņojumā, kas minēts 1. punktā, vismaz:

[..]”

7

VDAR 34. panta 1. punkts noteic:

“Gadījumā, ja personas datu aizsardzības pārkāpums varētu radīt augstu risku fizisku personu tiesībām un brīvībām, pārzinis bez nepamatotas kavēšanās paziņo datu subjektam par personas datu aizsardzības pārkāpumu.”

8

Šīs regulas VI nodaļā “Neatkarīgas uzraudzības iestādes” ir ietverti tās 51.–59. pants.

9

Šīs regulas 51. panta 1. punkts formulēts šādi:

“Katra dalībvalsts paredz, ka viena vai vairākas neatkarīgas publiskas iestādes ir atbildīgas par šīs regulas piemērošanas uzraudzību, lai aizsargātu fizisku personu pamattiesības un pamatbrīvības saistībā ar apstrādi un veicinātu personas datu brīvu apriti Savienībā (“uzraudzības iestāde”).”

10

VDAR 57. panta “Uzdevumi” 1. punkts noteic:

“Neskarot citus uzdevumus, kas noteikti ar šo regulu, ikviena uzraudzības iestāde savā teritorijā:

[..]

[..]”

11

Šīs regulas 58. panta “Pilnvaras” 1. un 2. punkts noteic:

“1.   Katrai uzraudzības iestādei ir visas šādas izmeklēšanas pilnvaras:

[..]

2.   Katrai uzraudzības iestādei ir visas šādas korektīvās pilnvaras:

[..]

[..].”

12

Minētās regulas 77. pants ir formulēts šādi:

“1.   Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.

2.   Uzraudzības iestāde, kurā ir iesniegta sūdzība, informē sūdzības iesniedzēju par sūdzības izskatīšanas virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar 78. pantu.”

13

Šīs pašas regulas 83. panta 1. un 2. punkts noteic:

“1.   Katra uzraudzības iestāde nodrošina, ka par 4., 5. un 6. punktā minētajiem šīs regulas pārkāpumiem saskaņā ar šo pantu paredzēto administratīvo naudas sodu piemērošana katrā konkrētā gadījumā ir iedarbīga, samērīga un atturoša.

2.   Administratīvie naudas sodi atkarībā no katras konkrētās lietas apstākļiem tiek piemēroti, papildinot 58. panta 2. punkta a)–h) apakšpunktā un j) apakšpunktā minētos pasākumus vai šo pasākumu vietā. Lemjot par to, vai piemērot administratīvo naudas sodu, un pieņemot lēmumu par administratīvā naudas soda apmēru, katrā konkrētā gadījumā pienācīgi ņem vērā šādus elementus:

14

Krājkase ir komunāls publisko tiesību uzņēmums, kas īsteno tostarp bankas operācijas un kreditēšanas darījumus. 2019. gada 15. novembrī tā saskaņā ar VDAR 33. pantu paziņoja HBDI par personas datu aizsardzības pārkāpumu, ko veidoja apstāklis, ka viena tās darbiniece vairākkārt bez pilnvarojuma bija aplūkojusi viena no tās klientiem, proti, TR, personas datus. Krājkase atturējās informēt TR par viņa datu aizsardzības pārkāpumu.

15

Pēc tam, kad TR bija nejauši uzzinājis, ka viņa personas dati ir tikuši nepamatoti aplūkoti, viņš 2020. gada 27. jūlijā iesniedza sūdzību HBDI, pamatojoties uz VDAR 77. pantu. Šajā sūdzībā viņš norādīja, ka, neievērojot šīs regulas 34. pantu, viņam netika paziņots par viņa personas datu aizsardzības pārkāpumu. Viņš kritizēja arī Krājkases piekļuves reģistra glabāšanas ilgumu, kas ir noteikts tikai trīs mēnešu garumā, kā arī tās darbiniekiem esošās plašās piekļuves tiesības.

16

TR iesniegtās sūdzības dēļ HBDI rakstveidā un mutvārdos uzklausīja Krājkasi par tai izteiktajiem pārmetumiem. Uzklausīšanas laikā Krājkase norādīja, ka no VDAR 34. pantā noteiktās paziņošanas tā atturējusies tāpēc, ka tās datu aizsardzības speciālista ieskatā nebija augsta riska, ka TR tiesības un brīvības būtu apdraudētas. Proti, pret attiecīgo darbinieci tika veikti disciplināri pasākumi un viņa bija rakstiski apstiprinājusi, ka viņa nav nedz nokopējusi, nedz saglabājusi personas datus, ka viņa tos nav nodevusi trešām personām un ka to nedarīs arī nākotnē. Turklāt, tā kā HBDI bija kritizējusi pārāk īso piekļuves reģistru glabāšanas ilgumu, Krājkase to informēja, ka šis jautājums tiks pārskatīts.

17

Ar 2020. gada 3. septembra lēmumu HBDI informēja TR, ka Krājkase nav pārkāpusi VDAR 34. pantu, jo Krājkases vērtējums, ka izdarītais personas datu pārkāpums nebija tāds, kas radītu augstu risku viņa tiesībām un brīvībām šā panta izpratnē, nav acīmredzami kļūdains. Proti, lai gan darbiniece bija aplūkojusi šos datus, nekas neliecina par to, ka viņa tos būtu nodevusi trešām personām vai izmantojusi, kaitējot TR. Turklāt HBDI norādīja, ka tas ir aicinājis Krājkasi turpmāk glabāt piekļuves reģistrus ilgāk nekā trīs mēnešus. Visbeidzot jautājumā par Krājkases darbinieku piekļuvi personas datiem HBDI noraidīja TR iesniegto sūdzību, uzsverot, ka principā var piešķirt plašas piekļuves tiesības, ja pastāv pārliecība, ka katrs lietotājs ir informēts par nosacījumiem, ar kādiem viņš var piekļūt datiem. Tādējādi HBDI ieskatā, principiāla katra piekļuves fakta pārbaude neesot nepieciešama.

18

TR par šo lēmumu cēla prasību iesniedzējtiesā – Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija), lūdzot, lai tā uzdotu HBDI rīkoties attiecībā pret Krājkasi.

19

Prasības pamatojumam TR apgalvo, ka HBDI nav izskatījis viņa sūdzību atbilstoši tam, kā prasīts VDAR, proti, ņemot vērā visus faktiskos apstākļus, un piebilst, ka HBDI esot bijis jāpiemēro naudas sods Krājkasei, ņemot vērā dažādos Krājkases izdarītos šīs regulas normu – konkrēti tās 5. panta, 12. panta 3. punkta, 15. panta 1. punkta c) apakšpunkta, 33. panta 1. punkta un 33. panta 3. punkta – pārkāpumus. TR ieskatā, ja tiek konstatēts minētās regulas pārkāpums, kā tas ir noticis šajā gadījumā, lietderības princips neesot piemērojams tādējādi, ka HBDI esot tiesīgs nevis izlemt vai rīkoties vai nerīkoties, bet gan, labākajā gadījumā, izvēlēties veicamos pasākumus.

20

Šajā ziņā iesniedzējtiesa būtībā vēlas noskaidrot, vai gadījumā, ja konstatēts personas datu aizsardzības normu pārkāpums, VDAR jāinterpretē tādējādi, ka uzraudzības iestādei jāveic korektīvi pasākumi saskaņā ar šīs regulas 58. panta 2. punktu, piemēram, jāpiemēro administratīvais naudas sods, vai arī tādējādi, ka šai iestādei ir rīcības brīvība, kas tai ļauj atkarībā no apstākļiem atturēties no šādu pasākumu veikšanas.

21

Iesniedzējtiesa izklāsta, ka šī pirmā interpretācija, kuru aizstāv TR, kā arī daļa juridiskās doktrīnas autoru, balstās uz faktu, ka uzraudzības iestādes pilnvaru veikt korektīvus pasākumus mērķis ir atjaunot tiesisko stāvokli gadījumā, ja ar datu apstrādi tiek aizskartas pilsoņu tiesības. VDAR 58. panta 2. punkts esot jāinterpretē kā pienākumu uzliekoša norma, kas piešķir pilsonim tiesības pieprasīt iestāžu rīcību gadījumā, ja kāds uzņēmums vai kāda iestāde ir prettiesiski apstrādājuši pilsoņa personas datus vai kā citādi pārkāpuši tiesības. Tātad, ja tiek konstatēts datu aizsardzības pārkāpums, uzraudzības iestādei esot jāveic korektīvi pasākumi; vienīgā rīcības brīvība, kāda tai esot, ir izvēlēties, kuru no paredzētajiem pasākumiem veikt.

22

Tomēr iesniedzējtiesa šaubās par to, vai šī interpretācija ir pareiza, jo uzskata to par pārāk plašu, un drīzāk sliecas atzīt, ka uzraudzības iestādei ir rīcības brīvība, kas tai ļauj atturēties no korektīva pasākuma veikšanas, konkrēti – soda piemērošanas konstatēta pārkāpuma gadījumā. Lai arī uzraudzības iestādei saskaņā ar VDAR 57. panta 1. punkta f) apakšpunktu esot pienākums rūpīgi izskatīt sūdzības pēc būtības un izskatīt katru konkrēto gadījumu, tai tomēr neesot jāveic korektīvs pasākums ikvienā situācijā. Tai šāda pienākuma neesot, piemēram, tad, ja pagātnē ir pārkāpti personas datu aizsardzības noteikumi, bet pārzinis ir veicis pasākumus, kas liek domāt, ka datu aizsardzības pārkāpums neatkārtosies.

23

Šajos apstākļos Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādu prejudiciālu jautājumu:

“Vai [VDAR] 57. panta 1. punkta a) un f) apakšpunkts un 58. panta 2. punkta a)–j) apakšpunkts, skatot tos kopā ar [VDAR] 77. panta 1. punktu, ir jāinterpretē tādējādi, ka gadījumā, ja uzraudzības iestāde konstatē datu apstrādi, kas aizskar datu subjekta tiesības, uzraudzības iestādei vienmēr ir pienākums rīkoties saskaņā ar [šīs regulas] 58. panta 2. punktu?”

24

TR, tieši gan neapstrīdēdams lūguma sniegt prejudiciālu nolēmumu pieņemamību, apgalvo, ka atbilde uz uzdoto jautājumu nav nepieciešama pamatlietas atrisināšanai. Viņa prasība esot vērsta vienīgi uz to, lai iesniedzējtiesa saskaņā ar VDAR 57. panta 1. punkta f) apakšpunktu uzdotu HBDI lemt par sūdzībā izvirzītajiem iebildumiem, nevis lai tā uzdotu HBDI izmantot pilnvaras, kas tam piešķirtas šīs regulas 58. panta 2. punktā.

25

Šajā ziņā jāatgādina, ka, Tiesai un valsts tiesām sadarbojoties atbilstoši LESD 267. pantam, tikai valsts tiesai, kas izskata lietu un ir atbildīga par pieņemamo tiesas nolēmumu, ņemot vērā lietas īpatnības, jānovērtē gan tas, cik lielā mērā prejudiciālais nolēmums ir nepieciešams tās nolēmuma pieņemšanai, gan Tiesai uzdoto jautājumu nozīmīgums. Līdz ar to Tiesai principā jāsniedz nolēmums, ja uzdotie jautājumi attiecas uz Savienības tiesību interpretāciju (spriedums, 2023. gada 30. novembris, Ministero dell’Istruzione un INPS, C‑270/22, EU:C:2023:933, 33. punkts, kā arī tajā minētā judikatūra).

26

No tā izriet, ka uz jautājumiem par Savienības tiesību interpretāciju, kurus valsts tiesa uzdevusi pašas noteiktā tiesiskā regulējuma un faktisko apstākļu kontekstā, kura pareizība Tiesai nav jāpārbauda, attiecas nozīmīguma prezumpcija. Tiesa var atteikties lemt par valsts tiesas lūgumu tikai tad, ja ir acīmredzams, ka lūgtajai Savienības tiesību interpretācijai nav nekāda sakara ar pamatlietas faktiskajiem apstākļiem vai tās priekšmetu, ja izvirzītā problēma ir hipotētiska vai ja Tiesai nav zināmi faktiskie vai juridiskie apstākļi, kas nepieciešami, lai sniegtu noderīgu atbildi uz tai uzdotajiem jautājumiem (spriedums, 2023. gada 30. novembris, Ministero dell’Istruzione un INPS, C‑270/22, EU:C:2023:933, 34. punkts, kā arī tajā minētā judikatūra).

27

Šajā gadījumā iesniedzējtiesa uzsver, ka TR ir atsaucies uz tiesībām panākt HBDI rīcību un apgalvojis, ka HBDI bija Krājkasei jāpiemēro naudas sods.

28

Līdz ar to nav acīmredzami skaidrs, ka Savienības tiesību interpretācijai nav nekādas saistības ar pamatlietas faktiskajiem apstākļiem vai tās priekšmetu.

29

Tāpēc lūgums sniegt prejudiciālu nolēmumu ir pieņemams.

30

Lai atbildētu uz uzdoto jautājumu, ievadam jāatgādina, ka, interpretējot Savienības tiesību normu, jāņem vērā ne tikai tās teksts, bet arī konteksts un šo normu ietverošā tiesību akta mērķi un nolūks (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 48. punkts, kā arī tajā minētā judikatūra).

31

Jāatgādina arī, ka saskaņā ar Eiropas Savienības Pamattiesību hartas 8. panta 3. punktu, kā arī VDAR 51. panta 1. punktu un 57. panta 1. punkta a) apakšpunktu valsts uzraudzības iestāžu pienākums ir pārbaudīt, vai ir ievēroti Savienības noteikumi par fizisku personu aizsardzību attiecībā uz personas datu apstrādi (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 55. punkts, kā arī tajā minētā judikatūra).

32

Konkrēti – atbilstoši VDAR 57. panta 1. punkta f) apakšpunktam katrai uzraudzības iestādei savā teritorijā jāizskata sūdzības, kuras ikviena persona saskaņā ar šīs regulas 77. panta 1. punktu ir tiesīga iesniegt – ja tā uzskata, ka tās personas datu apstrāde ir veikta, pārkāpjot minēto regulu –, un vajadzīgajā apjomā jāizmeklē jautājums un saprātīgā termiņā jāinformē sūdzības iesniedzējs par lietas virzību un izmeklēšanas rezultātiem. Uzraudzības iestādei šāda sūdzība jāizskata ar visu pienācīgo rūpību (šajā nozīmē skat. spriedumu, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 56. punkts, kā arī tajā minētā judikatūra).

33

Šādi iesniegto sūdzību izskatīšanas mērķiem VDAR 58. panta 1. punktā katrai uzraudzības iestādei ir piešķirtas ievērojamas izmeklēšanas pilnvaras. Ja šī iestāde izmeklēšanas noslēgumā konstatē šīs regulas tiesību normu pārkāpumu, tai pienācīgi jārīkojas, lai novērstu konstatēto nepilnību, un katram pasākumam – kā precizēts minētās regulas 129. apsvērumā – jo īpaši jābūt piemērotam, vajadzīgam un samērīgam, lai nodrošinātu minētās regulas ievērošanu, ņemot vērā katra konkrētā gadījuma apstākļus. Tālab šīs pašas regulas 58. panta 2. punktā ir uzskaitīti dažādi korektīvie pasākumi, ko uzraudzības iestāde var veikt (šajā nozīmē skat. spriedumu, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 57. punkts, kā arī tajā minētā judikatūra).

34

Tādējādi atbilstoši VDAR 58. panta 2. punktam uzraudzības iestādei ir pilnvaras tostarp izteikt rājienu pārzinim vai apstrādātājam, ja ar apstrādes darbībām ir tikuši pārkāpti šīs regulas noteikumi (b) apakšpunkts), izdot rīkojumu pārzinim vai apstrādātājam izpildīt datu subjekta pieprasījumu īstenot viņam saskaņā ar minēto regulu piešķirtās tiesības (c) apakšpunkts), izdot rīkojumu pārzinim vai apstrādātājam saskaņot apstrādes darbības ar šīs regulas noteikumiem, vajadzības gadījumā – konkrētā veidā un konkrētā laikposmā (d) apakšpunkts), vai arī piemērot administratīvu naudas sodu saskaņā ar VDAR 83. pantu, papildinot vai aizstājot šajā 58. panta 2. punktā minētos pasākumus atkarībā no katras konkrētās lietas apstākļiem (i) apakšpunkts).

35

Līdz ar to sūdzību procedūra ir iecerēta kā mehānisms, ar kuru var efektīvi aizsargāt datu subjektu tiesības un intereses (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 58. punkts).

36

Šajā gadījumā no lūguma sniegt prejudiciālu nolēmumu izriet, ka HBDI ir izskatījis pēc būtības sūdzību, ko tam bija iesniedzis prasītājs pamatlietā, un viņu informējis par izmeklēšanas iznākumu. Konkrēti – HBDI ir apstiprinājis, ka Krājkasē noticis prasītāja personas datu aizsardzības pārkāpums, kas izpaudās kā vienas šīs Krājkases darbinieces neatļauta piekļuve šiem datiem. Tomēr sūdzību, ko prasītājs pamatlietā bija iesniedzis jautājumā par Krājkases darbinieku piekļuves tiesībām, HBDI noraidīja. Tas arī secināja, ka nav pamata rīkoties pret Krājkasi saskaņā ar VDAR 58. panta 2. punktu.

37

Šajā ziņā jānorāda, ka VDAR uzraudzības iestādei atstāj rīcības brīvību attiecībā uz veidu, kādā tai jānovērš konstatētā nepilnība, jo šīs regulas 58. panta 2. punktā šai iestādei ir piešķirtas pilnvaras veikt dažādus korektīvus pasākumus. Tādējādi Tiesa jau nospiedusi, ka piemērota un nepieciešama līdzekļa izvēle ir uzraudzības iestādes ziņā, un tai šī izvēle jāizdara, ņemot vērā visus konkrētā gadījuma apstākļus un ar visu pienācīgo rūpību pildot savu uzdevumu nodrošināt, ka VDAR tiek pilnībā ievērota (šajā nozīmē skat. spriedumu, 2020. gada 16. jūlijs, Facebook Ireland un Schrems, C‑311/18, EU:C:2020:559, 112. punkts).

38

Tomēr šo rīcības brīvību ierobežo nepieciešamība nodrošināt personas datu konsekventu un augsta līmeņa aizsardzību, stingri piemērojot noteikumus, kā izriet no VDAR 7. un 10. apsvēruma.

39

Konkrētāk par VDAR 58. panta 2. punkta i) apakšpunktā minētajiem administratīvajiem naudas sodiem no šīs regulas 83. panta 2. punkta izriet, ka šie naudas sodi atkarībā no katras konkrētās lietas apstākļiem tiek piemēroti, papildinot vai aizstājot 58. panta 2. punktā minētos pasākumus. Turklāt 83. panta 2. punktā ir precizēts, ka, lemjot par to, vai jāpiemēro administratīvais naudas sods, un pieņemot lēmumu par tā apmēru, uzraudzības iestādei katrā konkrētajā gadījumā pienācīgi jāņem vērā tādi šīs tiesību normas a)–k) apakšpunktā minētie apstākļi, kā, piemēram, pārkāpuma būtība, smagums un ilgums.

40

Tādējādi Savienības likumdevēja paredzētā sankciju sistēma ļauj uzraudzības iestādēm piemērot atbilstošākās un pamatotākās sankcijas atkarībā no katras lietas apstākļiem (šajā nozīmē skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 75. un 78. punkts), ņemot vērā – kā atgādināts šā sprieduma 37. un 38. punktā – nepieciešamību nodrošināt, ka VDAR tiek pilnībā ievērota, kā arī nodrošināt personas datu konsekventu un augsta līmeņa aizsardzību, stingri piemērojot noteikumus.

41

Līdz ar to ne no VDAR 58. panta 2. punkta, ne no tās 83. panta nav secināms, ka uzraudzības iestādei būtu pienākums visos gadījumos, kad tā konstatē personas datu aizsardzības pārkāpumu, veikt korektīvu pasākumu, konkrēti – piemērot administratīvo naudas sodu, jo šādos apstākļos tās pienākums ir pienācīgi rīkoties, lai novērstu konstatēto nepilnību. Šādos apstākļos, kā secinājumu 81. punktā norāda ģenerāladvokāts, sūdzības iesniedzējam, kura tiesības ir pārkāptas, nav subjektīvu tiesību panākt, lai uzraudzības iestāde pārzinim piemēro administratīvo naudas sodu.

42

Uzraudzības iestādei turpretim ir pienākums rīkoties tad, ja viena vai vairāku VDAR 58. panta 2. punktā paredzēto korektīvo pasākumu veikšana, ņemot vērā visus konkrētā gadījuma apstākļus, ir piemērota, nepieciešama un samērīga, lai novērstu konstatēto nepilnību un nodrošinātu, ka šī regula tiek pilnībā ievērota.

43

Šajā ziņā nav izslēgts, ka izņēmuma kārtā un ņemot vērā konkrētā gadījuma īpašos apstākļus, uzraudzības iestāde var atturēties no korektīva pasākuma veikšanas, lai gan ir konstatēts personas datu aizsardzības pārkāpums. Tā tas varētu būt tostarp tad, ja konstatētais pārkāpums nav turpinājies, piemēram, ja pārzinis – kurš principā bija īstenojis atbilstošus tehniskus un organizatoriskus pasākumus VDAR 24. panta izpratnē –, tiklīdz uzzinājis par šo pārkāpumu, ir veicis atbilstošus un nepieciešamus pasākumus, lai minētais pārkāpums beigtos un neatkārtotos, ņemot vērā pienākumus, kas tam noteikti tostarp šīs regulas 5. panta 2. punktā un 24. pantā.

44

Tādu interpretāciju, atbilstoši kurai uzraudzības iestādei, konstatējot personas datu aizsardzības pārkāpumu, ne vienmēr jāveic korektīvs pasākums saskaņā ar VDAR 58. panta 2. punktu, apstiprina šīs regulas šajā 58. panta 2. punktā, kā arī 83. pantā attiecīgi izvirzītie mērķi.

45

Par VDAR 58. panta 2. punkta mērķi no šīs regulas 129. apsvēruma izriet, ka šī norma ir vērsta uz to, lai ar valsts uzraudzības iestāžu iesaistīšanās palīdzību nodrošinātu, ka personas datu apstrāde notiek atbilstīgi šai regulai, kā arī labot situācijas, kad šī regula tiek pārkāpta, padarot tās par atbilstīgām Savienības tiesībām (spriedums, 2024. gada 14. marts, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, 40. punkts).

46

No tā izriet, ka korektīva pasākuma veikšana, ņemot vērā konkrētā gadījuma īpašos apstākļus, izņēmuma kārtā var nebūt nepieciešama, ja vien VDAR pārkāpuma situācija jau ir novērsta un tiek nodrošināta pārziņa veiktās personas datu apstrādes atbilstība šai regulai, un ka šāda uzraudzības iestādes atturēšanās nav tāda, kas varētu apdraudēt šā sprieduma 38. punktā atgādinātās prasības par noteikumu stingru piemērošanu izpildi.

47

Savukārt administratīvo naudas sodu piemērošanu reglamentējošā VDAR 83. panta mērķis saskaņā ar šīs regulas 148. apsvērumu ir stiprināt šīs regulas noteikumu izpildi. Tomēr šajā pašā apsvērumā teikts, ka par nenozīmīgu šīs regulas pārkāpumu vai tad, ja administratīvais naudas sods, ko varētu piemērot, radītu nesamērīgu slogu fiziskai personai, uzraudzības iestādes drīkst nepiemērot administratīvo naudas sodu un tā vietā izteikt rājienu (šajā nozīmē skat. spriedumu, 2023. gada 5. decembris, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, 76. punkts).

48

Šajā gadījumā no lūguma sniegt prejudiciālu nolēmumu izriet, ka Krājkase saskaņā ar VDAR 33. pantu ir paziņojusi HBDI par prasītāja pamatlietā personas datu aizsardzības pārkāpumu, kas izriet no tā, ka šiem datiem neatļauti piekļuvusi kāda tās darbiniece. Turklāt tā norādījusi, ka attiecībā uz šo darbinieci ir veikti disciplināri pasākumi un ka piekļuves reģistra glabāšanas ilgums tiks pārskatīts. Tieši šie ir apstākļi, kuros HBDI ir atturējies no korektīva pasākuma veikšanas saskaņā ar VDAR 58. panta 2. punktu, proti, administratīvā naudas soda piemērošanas.

49

Tā kā uzraudzības iestādes lēmumi par sūdzību ir pakļauti pilnīgai pārbaudei tiesā (spriedums, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 70. punkts), iesniedzējtiesai jāpārbauda, vai attiecīgo sūdzību HBDI ir izskatījis ar visu pienācīgo rūpību un vai, pieņemot pamatlietā aplūkoto lēmumu, HBDI ir ievērojis tam VDAR 58. panta 2. punktā piešķirtās rīcības brīvības robežas (pēc analoģijas skat. spriedumu, 2023. gada 7. decembris, SCHUFA Holding (Atbrīvošana no atlikušajām parādsaistībām), C‑26/22 un C‑64/22, EU:C:2023:958, 68. un 69. punkts, kā arī tajos minētā judikatūra).

50

Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz uzdoto jautājumu ir atbildams, ka VDAR 57. panta 1. punkta a) un f) apakšpunkts, 58. panta 2. punkts un 77. panta 1. punkts jāinterpretē tādējādi, ka personas datu aizsardzības pārkāpuma konstatēšanas gadījumā uzraudzības iestādei nav pienākuma veikt korektīvu pasākumu, konkrēti – administratīvā naudas soda piemērošanu, saskaņā ar 58. panta 2. punktu tad, ja šāda rīcība nav piemērota, nepieciešama vai samērīga, lai novērstu konstatēto nepilnību un nodrošinātu, ka pilnībā tiek ievērota šī regula.

51

Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.

Ar šādu pamatojumu Tiesa (pirmā palāta) nospriež:

Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 57. panta 1. punkta a) un f) apakšpunkts, 58. panta 2. punkts un 77. panta 1. punkts

jāinterpretē tādējādi, ka

personas datu aizsardzības pārkāpuma konstatēšanas gadījumā uzraudzības iestādei nav pienākuma veikt korektīvu pasākumu, konkrēti – administratīvā naudas soda piemērošanu, saskaņā ar 58. panta 2. punktu tad, ja šāda rīcība nav piemērota, nepieciešama vai samērīga, lai novērstu konstatēto nepilnību un nodrošinātu, ka pilnībā tiek ievērota šī regula.