Förslag till avgörande av generaladvokat Pikamäe – Mål C‑768/21 Land Hessen (tillsynsmyndighetens skyldighet att agera)
I. Inledning
1. Förevarande begäran om förhandsavgörande från Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) som har framställts med stöd av artikel 267 FEUF avser tolkningen av artikel 57.1 a och f, artikel 58.2 och artikel 77.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (nedan kallad den allmänna dataskyddsförordningen).
2. Begäran har framställts i ett mål mellan TR och Land Hessen (delstaten Hessen, Tyskland), företrädd av Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Delstaten Hessens dataskydds och informationsfrihetsombudsman) (nedan kallad HBDI). Målet rör HBDI:s beslut att inte agera mot Sparkasse till följd av en personuppgiftsincident. Den hänskjutande domstolen vill få klarhet i huruvida tillsynsmyndigheten, i en situation där den konstaterar att en behandling som kränker den registrerades rättigheter har skett alltid är skyldig att vidta åtgärder enligt artikel 58.2 i nämnda förordning, under alla omständigheter är skyldig att vidta åtgärder inom ramen för sina befogenheter enligt artikel 58.2 i den allmänna dataskyddsförordningen eller om den i ett enskilt fall kan avstå från att vidta åtgärder, trots att en incident har ägt rum.
3. Förevarande mål ger upphov flera rättsfrågor som inte har prövats tidigare som kräver en djupgående diskussion. EU-domstolen ska i huvudsak uttala sig om den roll som legalitetsprincipen och principen om fakultativ lagföring har i tillsynsmyndigheternas administrativa praxis och, i synnerhet, vid fullgörandet av deras uppgift att övervaka tillämpningen av förordningen och säkerställa att den efterlevs. De tolkningsriktlinjer som kommer att utarbetas i EU-domstolens praxis kommer att påverka denna administrativa praxis och på så sätt bidra till en enhetlig tillämpning av den allmänna dataskyddsförordningen inom unionen.
II. Tillämpliga bestämmelser
4. Skälen 129, 141, 148 och 150 i den allmänna dataskyddsförordningen har följande lydelse:
(”(129) För att denna förordning ska övervakas och verkställas på ett enhetligt sätt i hela unionen bör tillsynsmyndigheterna i alla medlemsstater ha samma uppgifter och effektiva befogenheter, bland annat undersökningsbefogenheter, korrigerande befogenheter och befogenheter att ålägga sanktioner samt befogenheter att utfärda tillstånd och ge råd, särskilt vid klagomål från fysiska personer och, utan att det påverkar åklagarmyndigheternas befogenheter enligt medlemsstaternas nationella rätt, att upplysa de rättsliga myndigheterna om överträdelser av denna förordning och delta i rättsliga förfaranden. Dessa befogenheter bör även omfatta en befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive förbud mot, behandling. Medlemsstaterna får fastställa andra uppgifter med anknytning till skyddet av personuppgifter enligt denna förordning. Tillsynsmyndigheternas befogenheter bör utövas opartiskt, rättvist och inom rimlig tid i överensstämmelse med lämpliga rättssäkerhetsgarantier i unionsrätten och i medlemsstaternas nationella rätt. Framför allt bör varje åtgärd vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall, samt respektera varje persons rätt att bli hörd innan några enskilda åtgärder som påverkar honom eller henne negativt vidtas och vara utformad så att onödiga kostnader och alltför stora olägenheter för de berörda personerna undviks. …
…
(141) Alla registrerade bör ha rätt att lämna in ett klagomål till en enda tillsynsmyndighet, särskilt i den medlemsstat där den registrerade har sin hemvist, och ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i stadgan, om den registrerade anser att hans eller hennes rättigheter enligt denna förordning har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter. Utredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet. Tillsynsmyndigheten bör inom rimlig tid informera den registrerade om hur arbetet med klagomålet fortskrider och vad resultatet blir. …
…
(148) För att stärka verkställigheten av denna förordning bör det utdömas sanktioner, inbegripet administrativa sanktionsavgifter, för överträdelser av denna förordning utöver eller i stället för de lämpliga åtgärder som tillsynsmyndigheten vidtar i enlighet med denna förordning. Vid en mindre överträdelse eller om den sanktionsavgift som sannolikt skulle utdömas skulle innebära en oproportionell börda för en fysisk person får en reprimand utfärdas i stället för sanktionsavgifter. Vederbörlig hänsyn bör dock tas till överträdelsens karaktär, svårighetsgrad och varaktighet och huruvida den har skett uppsåtligen, vilka åtgärder som vidtagits för att lindra skadan, graden av ansvar eller eventuella tidigare överträdelser av relevans, det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, efterlevnad av åtgärder som förordnats mot den personuppgiftsansvarige eller personuppgiftsbiträdet, tillämpning av en uppförandekod och eventuella andra försvårande eller förmildrande faktorer. …
…
(150) För att förstärka och harmonisera de administrativa sanktionerna för överträdelser av denna förordning bör samtliga tillsynsmyndigheter ha befogenhet att utfärda administrativa sanktionsavgifter. Det bör i denna förordning anges vilka överträdelserna är, den övre gränsen för och kriterierna för fastställande av de administrativa sanktionsavgifterna, som i varje enskilt fall bör bestämmas av den behöriga tillsynsmyndigheten med beaktande av alla relevanta omständigheter i det särskilda fallet, med vederbörlig hänsyn bland annat till överträdelsens karaktär, svårighetsgrad och varaktighet samt till dess följder och till de åtgärder som vidtas för att sörja för fullgörandet av skyldigheterna enligt denna förordning och för att förebygga eller lindra konsekvenserna av överträdelsen. …”
5. I artikel 33.1 i förordningen föreskrivs följande:
”Vid en personuppgiftsincident ska den personuppgiftsansvarige utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den, anmäla personuppgiftsincidenten till den tillsynsmyndighet som är behörig i enlighet med artikel 55, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. …”
6. I artikel 34.1 i nämnda förordning anges följande:
”Om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten.”
7. Artikel 57.1 i samma förordning har följande lydelse:
”Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande:
a) Övervaka och verkställa tillämpningen av denna förordning.
…
f) Behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt artikel 80, och där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet.”
8. Artikel 58 i den allmänna dataskyddsförordningen har följande lydelse:
”1. Varje tillsynsmyndighet ska ha samtliga följande utredningsbefogenheter
a) Beordra den personuppgiftsansvarige eller personuppgiftsbiträdet, och i tillämpliga fall den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare, att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter.
…
2. Varje tillsynsmyndighet ska ha samtliga följande korrigerande befogenheter
a) Utfärda varningar till en personuppgiftsansvarig eller personuppgiftsbiträdet om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i denna förordning.
b) Utfärda reprimander till en personuppgiftsansvarig eller personuppgiftsbiträdet om behandling bryter mot bestämmelserna i denna förordning.
c) Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt denna förordning.
d) Förelägga en personuppgiftsansvarig eller ett personuppgiftsbiträde att se till att behandlingen sker i enlighet med bestämmelserna i denna förordning och om så krävs på ett specifikt sätt och inom en specifik period,
e) Förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident har inträffat.
f) Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling.
…
i) Påföra administrativa sanktionsavgifter i enlighet med artikel 83 utöver eller i stället för de åtgärder som avses i detta stycke, beroende på omständigheterna i varje enskilt fall.
…”
9. I artikel 77 i förordningen föreskrivs följande:
”1. Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.
2. Den tillsynsmyndighet till vilken klagomålet har ingetts ska underrätta den enskilde om hur arbetet med klagomålet fortskrider och vad resultatet blir, inbegripet möjligheten till rättslig prövning enligt artikel 78.”
10. Artikel 78.1 och 78.2 i förordningen har följande lydelse:
”1. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.
2. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, ska varje registrerad person ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det klagomål som ingetts med stöd av artikel 77 eller vilket beslut som har fattats med anledning av det.”
11. I artikel 83.1 och 83.2 i den allmänna dataskyddsförordningen anges följande:
”1. Varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med denna artikel för sådana överträdelser av denna förordning som avses i punkterna 4, 5 och 6 i varje enskilt fall är effektivt, proportionellt och avskräckande.
2. Administrativa sanktionsavgifter ska, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a–h och j. Vid beslut om huruvida administrativa sanktionsavgifter ska påföras och om beloppet för de administrativa sanktionsavgifterna i varje enskilt fall ska vederbörlig hänsyn tas till följande:
a) Överträdelsens karaktär, svårighetsgrad och varaktighet med beaktande av den aktuella uppgiftsbehandlingens karaktär, omfattning eller syfte samt antalet berörda registrerade och den skada som de har lidit.
b) Om överträdelsen skett med uppsåt eller genom oaktsamhet.
c) De åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit för att lindra den skada som de registrerade har lidit.
d) Graden av ansvar hos den personuppgiftsansvarige eller personuppgiftsbiträdet med beaktande av de tekniska och organisatoriska åtgärder som genomförts av dem i enlighet med artiklarna 25 och 32.
e) Eventuella relevanta tidigare överträdelser som den personuppgiftsansvarige eller personuppgiftsbiträdet gjort sig skyldig till.
f) Graden av samarbete med tillsynsmyndigheten för att komma till rätta med överträdelsen och minska dess potentiella negativa effekter.
g) De kategorier av personuppgifter som påverkas av överträdelsen.
h) Det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, särskilt huruvida och i vilken omfattning den personuppgiftsansvarige eller personuppgiftsbiträdet anmälde överträdelsen.
i) När åtgärder enligt artikel 58.2 tidigare har förordnats mot den berörda personuppgiftsansvarige eller personuppgiftsbiträdet vad gäller samma sakfråga, efterlevnad av dessa åtgärder.
j) Tillämpandet av godkända uppförandekoder i enlighet med artikel 40 eller godkända certifieringsmekanismer i enlighet med artikel 42.
k) Eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet, såsom ekonomisk vinst som görs eller förlust som undviks, direkt eller indirekt, genom överträdelsen.”
III. Bakgrund, målet vid den nationella domstolen och tolkningsfrågan
12. Sparkasse är ett offentligt kommunalt organ som bland annat tillhandahåller bank- och kredittjänster. Den 15 november 2019 anmälde Sparkasse en personuppgiftsincident till HBDI, i enlighet med artikel 33 i den allmänna dataskyddsförordningen, eftersom en av dess medarbetare vid flera tillfällen obehörigen hade skaffat sig åtkomst till TR:s personuppgifter, vilken var en av dess kunder. Eftersom Sparkasse ansåg att personuppgiftsincidenten sannolikt inte skulle leda till en hög risk för TR, underlät den att även lämna information till TR i enlighet med artikel 34 i den allmänna dataskyddsförordningen.
13. Efter att ha fått kännedom om denna incident vände sig TR till HBDI genom en skrivelse den 27 juli 2020 och anmälde ett brott mot artikel 34 i den allmänna dataskyddsförordningen och riktade kritik mot att lagringsperioden för åtkomstprotokoll på tre månader vid Sparkasse var kort och mot att alla anställda hade omfattande åtkomstbehörigheter.
14. Inom ramen för förfarandet vid HBDI uppgav Sparkasse att dataskyddsombudet hos Sparkasse ansåg att det inte förelåg en hög risk för TR, eftersom disciplinåtgärder redan vidtagits mot medarbetaren i fråga och hon skriftligen bekräftat att hon varken kopierat eller lagrat de personuppgifter som hon fått kännedom om och inte heller överfört dem till tredje man, samt försäkrat att hon inte heller i framtiden skulle göra det. Dessutom skulle lagringsperioden för åtkomstprotokoll kontrolleras.
15. Genom beslut av den 3 september 2020 meddelade HBDI TR att Sparkasse i förevarande fall inte brutit mot bestämmelserna i artikel 34 i den allmänna dataskyddsförordningen. Enligt denna myndighet skulle det beslut som fattas inom ramen för denna bestämmelse vara baserat på en prognos. Det ankommer på tillsynsmyndigheten att utifrån dataskyddslagstiftningen pröva huruvida detta beslut var uppenbart felaktigt. Sparkasse har emellertid anfört att det visserligen skett åtkomst till uppgifterna, men att det inte fanns några tecken på att den berörda medarbetaren överfört uppgifterna till tredje man eller använt dem till TR:s nackdel. Det kan således inte anses föreligga en hög risk. Sparkasse anmodades dessutom att förlänga lagringsperioden för åtkomstprotokoll. Det var enligt HBDI i princip inte nödvändigt att kontrollera varje enskild åtkomst, eftersom det i princip är tillåtet att medge omfattande åtkomsträttigheter så länge det säkerställs att varje användare har utbildats i vilka omständigheter som ska föreligga för att det ska vara tillåtet att hämta specifika uppgifter.
16. TR väckte talan mot beslutet av den 3 september 2020 vid Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland), den hänskjutande domstolen, med yrkande om att domstolen skulle förplikta HBDI att agera mot Sparkasse.
17. TR har till stöd för sin talan gjort gällande att HBDI inte har behandlat hans klagomål på det sätt som krävs enligt den allmänna dataskyddsförordningen. Han har hävdat att han har rätt att få klagomålet behandlat och att underrättas om handläggningen av ärendet. HBDI var skyldig att utreda de faktiska omständigheterna för att bedöma risken som Sparkasses agerande inneburit utan att vara begränsad till att endast vidta sådana åtgärder som uttryckligen angavs i klagomålet och var skyldig att ålägga Sparkasse administrativa sanktionsavgifter. När en överträdelse fastställts gäller enligt TR inte principen om fakultativ lagföring och HBDI har inte något utrymme för skönsmässig bedömning i frågan huruvida sanktioner ska åläggas, utan på sin höjd handlingsfrihet vad gäller valet av sanktioner.
18. Den hänskjutande domstolen påpekar att HBDI, i egenskap av tillsynsmyndighet, i förevarande fall har dragit slutsatsen att det visserligen skett en överträdelse av dataskyddsreglerna, men att det ändå inte är nödvändigt att vidta åtgärder enligt artikel 58.2 i den allmänna dataskyddsförordningen. Detta agerande är emellertid endast lagligt om tillsynsmyndigheten inte är skyldig att handla trots att en överträdelse av dataskyddsreglerna konstaterats. Om man godtog TR:s argument, att tillsynsmyndigheten inte har något utrymme för skönsmässig bedömning, skulle det få till följd att det finns en rätt att begära att tillsynsmyndigheten reagerar och vidtar korrigerande åtgärder om en överträdelse fastställts och att tillsynsmyndigheten under alla omständigheter är skyldig att besluta om åtgärder. För det fall att tillsynsmyndigheten vägrar att besluta om sådana åtgärder skulle domstolen vara skyldig att ålägga tillsynsmyndigheten att vidta en konkret åtgärd eller välja vilken åtgärd som ska vidtas.
19. Den hänskjutande domstolen har angett att denna argumentation som också har framförts i en del av doktrinen grundas på att syftet med de korrigerande befogenheterna enligt artikel 58.2 i den allmänna dataskyddsförordningen är att återställa en rättsenlig situation när enskildas rättigheter kränkts genom behandling av deras personuppgifter. Denna bestämmelse ska enligt detta resonemang därför förstås som en bestämmelse som ger enskilda rätt att utverka åtgärder från en tillsynsmyndighet när ett företag eller en myndighet behandlar deras personuppgifter på ett lagstridigt sätt eller på andra sätt kränkt deras rättigheter. Om ett personuppgiftsbrott konstateras är tillsynsmyndigheten skyldig att vidta korrigerande åtgärder. Myndigheten har endast ett skönsmässigt utrymme vad gäller valet av de åtgärder som den vidtar.
20. Den hänskjutande domstolen hyser emellertid tvivel angående denna tolkning och anser att den är alltför långtgående. Den hänskjutande domstolen anser snarare att tillsynsmyndigheten ska tillerkännas ett handlingsutrymme som låter den avstå från att påföra sanktioner även för det fall att överträdelser fastställts. I artikel 57.1 f i den allmänna dataskyddsförordningen föreskrivs endast att tillsynsmyndigheten ska ansvara för att behandla klagomål, där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet. Bestämmelsen medför en skyldighet för tillsynsmyndigheten att genomföra en noggrann prövning i sak, och pröva omständigheterna i det enskilda fallet, men däremot inte en skyldighet att alltid och ovillkorligen vidta åtgärder om en överträdelse fastställs.
21. Mot denna bakgrund beslutade Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden) att vilandeförklara målet och ställa följande fråga till EU-domstolen:
”Ska artikel 57.1 a och f samt artikel 58.2 a–j jämförda med artikel 77.1 i [den allmänna dataskyddsförordningen] tolkas på så sätt att tillsynsmyndigheten i en situation där den konstaterar att en behandling som kränker den registrerades rättigheter har skett alltid är skyldig att vidta åtgärder enligt artikel 58.2 i nämnda förordning?”
IV. Förfarandet vid domstolen
22. Beslutet om hänskjutande av den 10 december 2021 inkom till domstolens kansli den 14 december 2021.
23. Parterna i de nationella målen, den österrikiska, den portugisiska, den rumänska och den norska regeringen samt Europeiska kommissionen har inkommit med skriftliga yttranden inom den frist som anges i artikel 23 i stadgan för Europeiska unionens domstol.
24. Vid sammanträdet i administrativt plenum den 16 januari 2024 beslutade domstolen att ingen muntlig förhandling skulle hållas.
V. Rättslig bedömning
A. Inledande anmärkningar
25. Sedan den allmänna dataskyddsförordningen trädde i kraft har många organ varit tvungna att införa ett antal åtgärder för att skapa överensstämmelse med de nya bestämmelserna om behandling av personuppgifter. Om organen underlåter att beakta dessa åtgärder riskerar de straffrättsliga påföljder som är mer eller mindre betungande beroende på överträdelsens svårighetsgrad. Administrativa sanktionsavgifter utgör kärnan i den tillämpningsordning som införts genom den allmänna dataskyddsförordningen. De utgör en effektiv del av den verktygslåda som tillsynsmyndigheterna förfogar över för att säkerställa att lagstiftningen efterlevs, parallellt med övriga korrigerande åtgärder som föreskrivs i artikel 58.2 i den allmänna dataskyddsförordningen. Eftersom den allmänna dataskyddsförordningen gör det möjligt för tillsynsmyndigheterna att ålägga ibland mycket höga sanktionsavgifter är det lämpligt att i rättssäkerhetens intresse klargöra vilka omständigheter som motiverar att denna korrigerande åtgärd tillämpas. Detta förslag till avgörande ska således förstås som ett bidrag till detta mål.
26. Förslaget till avgörande i förevarande mål tar så att säga vid där mitt förslag till avgörande i de förenade målen C‑26/22 och C‑64/22 (SCHUFA Holding) (nedan kallade SCHUFA-målen) slutar. Medan jag i det sistnämnda målet har förklarat vilka skyldigheter som åligger tillsynsmyndigheten i samband med prövningen av ett klagomål som ingetts enligt artikel 77 i dataskyddsförordningen, kommer jag i förevarande mål att behandla dess skyldigheter vid upptäckten av en överträdelse av personuppgifter och dess befogenhet att vidta korrigerande åtgärder, bland annat utdömande av administrativa sanktionsavgifter. Medan jag i de senare målen förklarade vilka skyldigheter tillsynsmyndigheten har vid prövningen av ett klagomål som ingetts enligt artikel 77 i den allmänna dataskyddsförordningen, kommer jag i detta mål att behandla dess skyldigheter när en personuppgiftsincident har upptäckts, och dess befogenhet att vidta korrigerande åtgärder, bland annat utdömande av administrativa sanktionsavgifter. Slutligen kommer jag att pröva om det i den allmänna dataskyddsförordningen föreskrivs en skyldighet för tillsynsmyndigheten att utdöma en sådan sanktionsavgift i samtliga fall eller åtminstone när den person som ingett ett klagomål uttryckligen begär det. På grundval av en sammanfattning av min bedömning kommer jag att besvara den hänskjutande domstolens fråga om tillsynsmyndigheten kan underlåta att vidta korrigerande åtgärder.
B. Huruvida begäran om förhandsavgörande kan tas upp till sakprövning
27. Innan alla dessa aspekter undersöks är det emellertid nödvändigt att ta ställning till TR:s argument att begäran om förhandsavgörande inte kan tas upp till sakprövning. TR har närmare bestämt gjort gällande att ett svar på den ställda frågan inte är nödvändigt för att avgöra det nationella målet. Syftet med TR:s talan är endast att den hänskjutande domstolen ska förplikta HBDI att uttala sig om de invändningar som framställts i det klagomål som anhängiggjorts vid den, och inte att HBDI ska förpliktas att utöva sina befogenheter enligt artikel 58.2 i den allmänna dataskyddsförordningen.
28. I detta sammanhang ska det erinras om att det inom ramen för det samarbete mellan EU-domstolen och de nationella domstolarna som har införts genom artikel 267 FEUF uteslutande ankommer på den nationella domstolen, vid vilken målet anhängiggjorts och som har ansvaret för det rättsliga avgörandet, att mot bakgrund av de särskilda omständigheterna i målet bedöma såväl om ett förhandsavgörande är nödvändigt för att döma i saken som relevansen av de frågor som ställs till EU-domstolen. EU-domstolen är följaktligen i princip skyldig att meddela ett förhandsavgörande när de frågor som ställts avser tolkningen av unionsrätten.
29. Följaktligen presumeras den nationella domstolens frågor om tolkningen av unionsrätten vara relevanta. Dessa frågor ställs mot bakgrund av den beskrivning av omständigheterna i målet och tillämplig lagstiftning som den nationella domstolen på eget ansvar har lämnat och vars riktighet det inte ankommer på EU‑domstolen att pröva. En begäran från en nationell domstol kan bara avvisas då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet, då frågeställningen är hypotetisk eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den.
30. I förevarande fall har den hänskjutande domstolen, samtidigt som den tydligt har redogjort för skälen till att den vill få klarhet i hur de unionsrättsliga bestämmelser som avses i tolkningsfrågan ska tolkas, preciserat att svaret på denna fråga var avgörande för utgången i det nationella målet, eftersom TR hade begärt att HBDI skulle vidta åtgärder mot Sparkasse. Såsom framgår av motiveringen till begäran om förhandsavgörande hade TR gjort gällande att han hade ”rätt” att kräva ett sådant agerande. Enligt TR var i synnerhet ”HBDI … skyldig att ålägga Sparkasse administrativa sanktionsavgifter”. Det är i detta sammanhang som den hänskjutande domstolen har hänvisat till de beräkningar som TR har gjort för att fastställa storleken på de administrativa sanktionsavgifter som ska åläggas.
31. Alla dessa uppgifter, som den hänskjutande domstolen själv har lämnat, motsäger klart TR:s påståenden om att begäran om förhandsavgörande inte kan tas upp till sakprövning. Mot bakgrund av dessa omständigheter råder det enligt min mening ingen tvekan om att ett svar på den fråga som den hänskjutande domstolen har ställt är nödvändigt för att avgöra tvisten. Det framstår som väsentligt att fastställa omfattningen av tillsynsmyndighetens befogenheter och dess skyldigheter gentemot den person som ingett ett klagomål. Begäran om förhandsavgörande ska följaktligen tas upp till sakprövning.
C. Prövning av tolkningsfrågan
32. När det gäller sakfrågan syftar begäran om förhandsavgörande i huvudsak till att fastställa vilka skyldigheter tillsynsmyndigheten har när en personuppgiftsincident har upptäckts. Detta förutsätter i allmänhet att den aktuella överträdelsen har fastställts i en undersökning som inletts till följd av ett klagomål.
33. Den hänskjutande domstolens uttalanden visar på vissa oklarheter vad gäller de skyldigheter som tillsynsmyndigheten har enligt den allmänna dataskyddsförordningen inom ramen för prövningen av ett klagomål, vilket enligt min mening förklaras av att begäran om förhandsavgörande framställdes till EU-domstolen innan domen i SCHUFA-målen meddelades, i vilken domstolen fastställde en rad viktiga principer för klagomålsförfarandet. Det är därför rimligt att anta att den hänskjutande domstolen inte har haft möjlighet att ta del av denna rättspraxis.
34. För att på ett så uttömmande sätt som möjligt redogöra för den rättsliga ramen för den övervakningsordning som inrättats genom den allmänna dataskyddsförordningen och för att kunna ge den hänskjutande domstolen ett användbart svar, anser jag att det är nödvändigt att för det första erinra om vilka principer som är tillämpliga på klagomålsförfarandet och för det andra förklara hur en tillsynsmyndighet ska förfara när den har konstaterat en personuppgiftsincident.
1. Tillsynsmyndighetens skyldigheter vid behandlingen av ett klagomål
35. Såsom EU-domstolen påpekade i SCHUFA-domen har de nationella tillsynsmyndigheterna i enlighet med artikel 8.3 i stadgan och artiklarna 51.1 och 57.1 a i den allmänna dataskyddsförordningen till uppgift att övervaka efterlevnaden av unionsbestämmelserna om skyddet av enskilda personer med avseende på behandling av personuppgifter.
36. I synnerhet är varje tillsynsmyndighet enligt artikel 57.1 f i den allmänna dataskyddsförordningen skyldig att inom sitt territorium behandla klagomål som var och en enligt artikel 77.1 i förordningen har rätt att inge när vederbörande anser att en behandling av personuppgifter som rör honom eller henne utgör ett åsidosättande av nämnda förordning, och i den utsträckning det är nödvändigt pröva syftet med behandlingen.
37. Tillsynsmyndigheten ska med vederbörlig omsorg utreda ett sådant klagomål. EU-domstolen påpekade även att för att behandla inkomna klagomål tillerkänns varje tillsynsmyndighet enligt artikel 58.1 i den allmänna dataskyddsförordningen betydande utredningsbefogenheter.
38. Det ska i detta sammanhang påpekas att EU-domstolen följde den tolkning som jag förespråkade i mitt förslag till avgörande i de SCHUFA-målen, enligt vilken, att klagomålsförfarandet, som inte liknar förfarandet för en framställning, är utformat som en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen.
39. Det bör dessutom det noteras att EU-domstolen också delade min tolkning av artikel 78.1 i den allmänna dataskyddsförordningen, när den fann att ett beslut angående ett klagomål som fattats av en tillsynsmyndighet omfattas av en fullständig domstolsprövning.
2. Tillsynsmyndighetens skyldigheter när en personuppgiftsincident konstateras
40. När tillsynsmyndigheten vid prövningen av ett klagomål konstaterar att en personuppgiftsincident har ägt rum uppkommer frågan hur den ska förfara. Såsom jag kommer att förklara nedan medför ett sådant konstaterande en skyldighet för tillsynsmyndigheten att agera med hänsyn till legalitetsprincipen. Allmänt sett är det fråga om att fastställa vilken eller vilka korrigerande åtgärder som är lämpligast för att komma till rätta med överträdelsen. Jag anser att detta är en rimlig tolkning, eftersom myndigheten enligt artikel 57.1 a i den allmänna dataskyddsförordningen ska ”övervaka tillämpningen av förordningen” och ”se till att den följs”. Det skulle vara oförenligt med detta mandat om tillsynsmyndigheten hade möjlighet att helt enkelt bortse från den fastställda överträdelsen.
41. De utredningsbefogenheter som tillsynsmyndigheten har enligt artikel 58.1 i den allmänna dataskyddsförordningen skulle dessutom inte vara mycket värda om tillsynsmyndigheten var tvungen att begränsa sig till att genomföra en utredning trots att det konstaterats att det skett ett åsidosättande av rätten till personuppgifter. Genomförandet av unionsrätten om skydd av personuppgifter utgör en väsentlig del av begreppet kontrollera i artikel 16.2 FEUF och artikel 8.3 i stadgan. I detta sammanhang bör man inte glömma att tillsynsmyndigheten även agerar i den persons eller enhets intresse vars rättigheter har kränkts. Det ska i detta hänseende påpekas att det i artikel 57.1 f och artikel 77.2 i den allmänna dataskyddsförordningen föreskrivs vissa skyldigheter i förhållande till den som har ingett ett klagomål, nämligen att underrätta ”den enskilde om hur arbetet med klagomålet fortskrider och vad resultatet blir”.
42. Den sista meningen innebär att tillsynsmyndigheten även ska rapportera om de åtgärder som vidtagits med avseende på den personuppgiftsincident som den fastställt. Det är uppenbart att klagomålsförfarandet inte skulle vara till någon nytta om tillsynsmyndigheten kunde förhålla sig passiv inför ett rättsläge som strider mot unionsrätten. Detta är skälet till att det i artikel 58.2 i den allmänna dataskyddsförordningen, för att ge tillsynsmyndigheten ett effektivt sätt att hantera sådana överträdelser, föreskrivs en katalog av korrigerande åtgärder, som är anpassade till hur ingripande åtgärden är. Skyldigheten att agera i samtliga fall, oavsett överträdelsens svårighetsgrad, innebär att tillsynsmyndigheten ska använda sig av denna katalog av korrigerande åtgärder för att återställa en situation som är förenlig med unionsrätten.
3. Tillsynsmyndighetens befogenhet att vidta korrigerande åtgärder
43. Det ska i det sammanhanget klargöras att frågan om myndigheten ska agera vid en personuppgiftsincident tydligt måste skiljas från frågan hur den ska agera konkret. När det gäller den sista frågan finns det flera indicier som gör det möjligt att dra slutsatsen att tillsynsmyndigheten har ett handlingsutrymme, som ändå måste utövas i enlighet med målen i den allmänna dataskyddsförordningen och inom de gränser som fastställs i detta. Även om jag redan har lagt fram vissa argument till stöd för en sådan tolkning i SCHUFA-målen, förefaller det ändå nödvändigt att pröva denna fråga i detalj i detta förslag till avgörande.
44. Det ska inledningsvis påpekas att enligt artikel 58.2 i den allmänna dataskyddsförordningen ska tillsynsmyndigheten ”ha … befogenheter” att vidta samtliga korrigerande åtgärder som räknas upp i denna bestämmelse, vilket innebär att det finns en möjlighet, såsom den hänskjutande domstolen mycket riktigt har påpekat. Denna konnotation återfinns dessutom i alla de språkversioner som jag har granskat inom ramen för min bedömning.
45. Artikel 58.2 i den allmänna dataskyddsförordningen ska tolkas mot bakgrund av skäl 129 i denna förordning, enligt vilket ”varje åtgärd [bör] vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall” (min kursivering). Den ”befogenhet” som tillsynsmyndigheten har att använda den katalog av korrigerande befogenheter som avses i denna bestämmelse är med andra ord förenad med en rad villkor, bland annat att den åtgärd som myndigheten vidtar är ”lämplig”. Jag tolkar detta obestämda rättsliga begrepp, som ger myndigheten ett handlingsutrymme, på så sätt att den valda åtgärden, med hänsyn till dess egenskaper och verkningssätt, måste kunna återställa en situation som är förenlig med unionsrätten.
46. Denna tolkning är i linje med EU-domstolens praxis, enligt vilken en tillsynsmyndighet, i en situation där den konstaterar att en behandling av personuppgifter utgjorde ett åsidosättande av den allmänna dataskyddsförordningen, ”är … skyldig att vidta lämpliga åtgärder för att avhjälpa den konstaterade bristen”. Såsom kommissionen har påpekat avser den skyldighet som åligger tillsynsmyndigheten således i första hand det resultat som ska uppnås, det vill säga att avhjälpa den konstaterade överträdelsen, genom att anta den ”lämpliga” åtgärden i detta syfte. Det ska vidare påpekas att beslutet om vilken åtgärd som ska vidtas är beroende av de konkreta omständigheterna i det enskilda fallet, vilket klart framgår av skäl 129 i den ovannämnda allmänna dataskyddsförordningen. De beslut som tillsynsmyndigheten fattat inom ramen för sin administrativa praxis kan följaktligen variera avsevärt från fall till fall beroende på situationen.
47. I den mån det i artikel 58.2 i den allmänna dataskyddsförordningen endast anges att varje tillsynsmyndighet ”ska ha … befogenheter” att vidta samtliga korrigerande åtgärder som anges i denna bestämmelse, har tillsynsmyndigheten ett handlingsutrymme genom att den i princip är fri att välja bland dessa korrigerande åtgärder för att avhjälpa den konstaterade överträdelsen. Såsom EU-domstolen underströk i sin dom i mål C‑311/18 (Facebook Ireland och Schrems) ”ankommer [det] på tillsynsmyndigheten att välja en lämplig och nödvändig åtgärd”, som ska göra detta val med beaktande av samtliga omständigheter i det enskilda fallet.
48. Tillerkännandet av ett utrymme för skönsmässig bedömning innebär enligt min mening även en befogenhet att inte vidta någon av de korrigerande åtgärder som avses i artikel 58.2 i den allmänna dataskyddsförordningen när ett sådant tillvägagångssätt är motiverat av de särskilda omständigheterna i det enskilda fallet. Eftersom användningen av katalogen av korrigerande åtgärder också är förenat med villkoret att åtgärden i fråga är ”nödvändig” för att säkerställa efterlevnad av denna förordning, kan det inte uteslutas att ett konkret ingripande från tillsynsmyndighetens sida inte uppfyller detta villkor, till exempel om problemet under tiden har lösts eller övervunnits och överträdelsen har upphört att existera. Det är uppenbart att ett ingripande från tillsynsmyndigheten skulle vara meningslöst under sådana omständigheter.
49. Såsom den portugisiska regeringen påpekat kan det inte längre vara motiverat att vidta korrigerande åtgärder om det är uppenbart att den grad i vilken den personuppgiftsansvarige eller personuppgiftsbiträden kan klandras är låg, eller om omständigheterna i målet i sig är förmildrande, särskilt om det finns ett visst delat ansvar med den som ingett klagomålet. Detta förutsätter emellertid att tillsynsmyndigheten har möjlighet att fastställa ett tröskelvärde under vilket ett ingripande inte anses vara ”nödvändigt” i den mening som avses i den allmänna dataskyddsförordningen.
50. I detta sammanhang vill jag rikta uppmärksamheten på skäl 141 i den allmänna dataskyddsförordningen, där det uttryckligen hänvisas till möjligheten för tillsynsmyndigheten att besluta att inte agera i fall där den anser att en åtgärd inte är ”nödvändig” för att garantera skyddet av den registrerades rättigheter (”inte agerar när så är nödvändigt”) (min kursivering). I detta skäl anges att tillsynsmyndighetens beslut också är föremål för domstolsprövning om den som har ingett ett klagomål inte delar tillsynsmyndighetens bedömning av ”nödvändigheten” av att agera, utöver de andra fall som anges där, nämligen om de rättigheter som tilldelas den som ingett ett klagomål enligt denna förordning har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål.
51. Det utrymme för skönsmässig bedömning som tillsynsmyndigheten har enligt artikel 58.2 i den allmänna dataskyddsförordningen innebär att även mindre överträdelser kan avhjälpas genom andra åtgärder som vidtas av den personuppgiftsansvarige själv. Såsom framgår av omständigheterna i förevarande fall kan de korrigerande åtgärder som ska vidtas ”självständigt” av ansvariga företag bestå i disciplinära åtgärder mot anställda som har gjort sig skyldiga till överträdelser. Under omständigheter där ansvaret för överträdelsen har erkänts och där det har säkerställts att en ny uppgiftsincident inte kommer att inträffa, kan det förefalla onödigt att tillsynsmyndigheten vidtar ytterligare korrigerande åtgärder.
52. Under vissa omständigheter kan det till och med visa sig vara kontraproduktivt att använda befogenheten att vidta korrigerande åtgärder mot en personuppgiftsansvarig när detta varken är lämpligt eller nödvändigt. Om tillsynsmyndigheten var skyldig att vidta de korrigerande åtgärder som föreskrivs i artikel 58.2 i den allmänna dataskyddsförordningen i varje fall av överträdelse, skulle detta leda till en minskning av de resurser som är tillgängliga för att följa upp andra ärenden och uppgifter som förtjänar större uppmärksamhet ur dataskyddssynpunkt. Jag anser därför att tillsynsmyndigheten genom att använda ”autonoma” åtgärder som vidtagits av den personuppgiftsansvarige själv skulle kunna fokusera på allvarliga fall som förtjänar att prioriteras, samtidigt som den garanterar en kontinuerlig men decentraliserad kamp mot personuppgiftsincidenter, nämligen genom en partiell delegering av dess uppgifter.
53. Om tillsynsmyndigheten väljer att avstå från att tillämpa de korrigerande åtgärder som avses i artikel 58.2 i den allmänna dataskyddsordningen, och i stället föredrar att tillgripa ”autonoma” åtgärder som vidtas av den personuppgiftsansvarige, förefaller det mig emellertid nödvändigt att vissa rättsliga krav är uppfyllda. För det första ska tillsynsmyndigheten ge sitt uttryckliga samtycke till en sådan åtgärd för att undvika varje kringgående av den övervakningsordning som införts genom den allmänna dataskyddsordningen. För det andra ska samtycket föregås av en noggrann granskning av situationen mot bakgrund av de villkor som avses i skäl 129 i den allmänna dataskyddsförordningen, för att tillsynsmyndigheten inte ska befrias från sitt ansvar att se till att förordningen följs. För det tredje ska avtalet med den enhet som ska verkställa den ”autonoma” åtgärden innehålla bestämmelser om tillsynsmyndighetens rätt att ingripa om dess instruktioner inte följs. Om EU-domstolen skulle anamma denna tolkning och anse att sådana ”autonoma” åtgärder i princip är förenliga med den allmänna dataskyddsförordningen, anser jag att EU-domstolen också bör insistera på behovet av att ovanstående krav iakttas för att säkerställa en enhetlig övervakningsordning.
54. Eftersom tillsynsmyndigheten enligt artikel 58.2 i den allmänna dataskyddsförordningen har ett utrymme för skönsmässig bedömning när det gäller valet av ”lämplig” korrigerande åtgärd i det enskilda fallet, är det logiskt att utesluta varje rätt för den som ingett ett klagomål att kräva att en viss åtgärd ska vidtas. Även om den som ingett ett klagomål har vissa rättigheter i förhållande till tillsynsmyndigheten inom ramen för detta förfarande, bland annat rätten att inom rimlig tid underrättas om hur undersökningen fortskrider och om resultatet, inbegriper dessa rättigheter inte rätten att kräva att en specifik åtgärd vidtas.
55. En sådan rätt kan inte heller härledas ur den omständigheten att den som ingett klagomålet har rätt till ett effektivt rättsmedel mot en tillsynsmyndighet enligt artikel 78 i den allmänna dataskyddsförordningen, eftersom myndighetens huvudsakliga skyldighet gentemot den som ingett klagomålet inom ramen för klagomålsförfarandet består i att på ett tillräckligt precist och detaljerat sätt motivera sitt beslut att ingripa eller inte i förevarande fall, med beaktande av de konstateranden som gjorts inom ramen för myndighetens utredning.
56. Det bör vidare noteras att en rätt till ett rättsmedel, i enlighet med artikel 78.2 i den allmänna dataskyddsordningen, finns om den tillsynsmyndighet som är behörig underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det klagomål som ingetts med stöd av artikel 77 i denna förordning eller vilket beslut som har fattats med anledning av det. Inget av de angivna skälen tyder emellertid på att den registrerade har någon subjektiv rätt att begära att en viss åtgärd ska vidtas inom ramen för en rättslig prövning.
57. Detsamma gäller den möjlighet som anges i skäl 141 i den allmänna dataskyddsförordningen att genom ett rättsmedel ifrågasätta tillsynsmyndighetens bedömning av om det är ”nödvändigt” att vidta åtgärder för att skydda den registrerades rättigheter. Även om ”nödvändigheten” av åtgärder i ett visst fall slutligen skulle fastställas av den behöriga domstolen, innebär detta inte nödvändigtvis att en viss åtgärd skulle behöva vidtas av tillsynsmyndigheten. Tillsynsmyndigheten är snarare skyldig att utöva sitt utrymme för skönsmässig bedömning, i förekommande fall, med beaktande av den bedömning som denna domstol har gjort.
58. Det ska emellertid klargöras att det även är tänkbart att tillsynsmyndigheten, i egenskap av administrativt organ, kan vara skyldig att vidta en viss åtgärd på grund av de särskilda omständigheterna i det enskilda fallet, särskilt om det finns en allvarlig risk för kränkning av den registrerades grundläggande rättigheter. Jag har nämnt just detta scenario i mitt förslag till avgörande i målen SCHUFA. Förevarande begäran om förhandsavgörande ger således möjlighet att utveckla detta.
59. Det ska i detta avseende erinras om domen i mål C‑311/18 (Facebook Ireland et Schrems), i vilken EU-domstolen pekade på att ett sådant fall faktiskt kan föreligga. EU-domstolen slog närmare bestämt fast att tillsynsmyndigheten är skyldig att i förekommande fall vidta vissa av de åtgärder som anges i artikel 58.2 i den allmänna dataskyddsförordningen, särskilt när den anser att det skydd som krävs enligt unionsrätten inte kan säkerställas med andra medel. Följaktligen är tillsynsmyndighetens utrymme för skönsmässig bedömning i detta avseende begränsat till vissa eller till och med, i förekommande fall, en av de åtgärder som avses i denna bestämmelse.
60. Som den österrikiska regeringen har påpekat kan det finnas en mängd liknande fall som kräver att en viss korrigerande åtgärd vidtas, exempelvis när tillsynsmyndigheten inom ramen för ett klagomålsförfarande konstaterar att det föreligger en skyldighet att radera uppgifterna och att den personuppgiftsansvarige ännu inte har raderat dem. I den beskrivna situationen är tillsynsmyndigheten enligt artikel 58.2 g i den allmänna dataskyddsförordningen under alla omständigheter skyldig att förelägga om radering.
61. De exempel som nämns i föregående punkter visar att det inte kan uteslutas att en situation som är förenlig med unionsrätten, beroende på de särskilda omständigheterna i det enskilda fallet, endast kan uppnås genom att en viss korrigerande åtgärd vidtas. Det förefaller mig särskilt som om tillsynsmyndighetens utrymme för skönsmässig bedömning, under omständigheter där det annars skulle finnas en risk för en allvarlig överträdelse av den registrerades rättigheter, skulle kunna begränsas till att vidta den enda åtgärd som är lämplig för att skydda den personens rättigheter.
62. Varje annan tolkning skulle enligt min mening vara oförenlig med skyldigheten att säkerställa respekten för de grundläggande rättigheterna i stadgan, som medlemsstaternas myndigheter är bundna av när de tillämpar unionsrätten, i enlighet med artikel 51.1 i stadgan. Denna skyldighet åligger även tillsynsmyndigheterna, såsom framgår av artikel 58.4 i den allmänna dataskyddsförordningen. Mot denna bakgrund är det rimligt att hävda att unionsrätten ger den registrerade en subjektiv rätt att kräva att myndigheten vidtar den aktuella åtgärden. Jag vill emellertid understryka att jag i förevarande fall inte kan se att det finns något som tyder på att villkoren för en sådan begränsning av tillsynsmyndighetens utrymme för skönsmässig bedömning är uppfyllda.
63. Sammanfattningsvis kan det konstateras att en tillsynsmyndighet som har mottagit ett klagomål enligt artikel 77.1 i den allmänna dataskyddsförordningen är skyldig att, när den konstaterar en överträdelse av den registrerades rättigheter, reagera på lämpligt sätt för att avhjälpa de konstaterade och bestående bristerna och säkerställa skyddet för den registrerades rättigheter. När tillsynsmyndigheten ingriper i detta avseende är den skyldig att bland de befogenheter som avses i artikel 58.2 i den allmänna dataskyddsförordningen välja en lämplig, nödvändig och proportionerlig åtgärd. Detta utrymme för skönsmässig bedömning när det gäller valet av medel är följaktligen begränsat när det skydd som krävs endast kan säkerställas genom att specifika åtgärder vidtas.
4. Avsaknaden av en skyldighet för tillsynsmyndigheten att i samtliga fall ålägga administrativa sanktionsavgifter
64. Efter denna allmänna redogörelse för tillsynsmyndighetens befogenhet att vidta korrigerande åtgärder ska det prövas huruvida tillsynsmyndigheten är skyldig att ålägga administrativa sanktionsavgifter i samtliga fall. Även om vissa aspekter av denna fråga kan klargöras på grundval av de föregående anmärkningarna, anser jag att några ytterligare förklaringar är nödvändiga. Även om unionslagstiftaren har inkluderat administrativa sanktionsavgifter bland de ”korrigerande åtgärder” som avses i artikel 58.2 i denna förordning, uppvisar de ändå vissa särdrag jämfört med andra åtgärder. Detta är orsaken till att denna del av bedömningen kommer att inriktas på de särskilda bestämmelser som avses i artiklarna 58.2 i och 83 i denna förordning.
65. Såsom EU-domstolen nyligen konstaterade är administrativa sanktionsavgifter en del av den sanktionsordning som införts genom den allmänna dataskyddsförordningen, vilket skapar ett incitament för personuppgiftsansvariga och personuppgiftsbiträden att följa bestämmelserna i förordningen. Administrativa sanktionsavgifter bidrar genom sin avskräckande verkan till att stärka skyddet för fysiska personer vid behandling av personuppgifter och utgör därför en nyckelfaktor för att säkerställa att dessa personers rättigheter iakttas, vilket ligger i linje med förordningens syfte att säkerställa en hög skyddsnivå för fysiska personer vid behandling av personuppgifter.
66. I artikel 83 i den allmänna dataskyddsförordningen föreskrivs ett tvåstegs-system, där det uttryckligen anges att vissa överträdelser är allvarligare än andra. Det första steget omfattar ett åsidosättande av de artiklar som reglerar de olika aktörernas ansvar (personuppgiftsansvarig, personuppgiftsbiträde, certifieringsorgan etcetera). Det andra steget omfattar överträdelser av individuella rättigheter som skyddas av den allmänna dataskyddsförordningen, såsom grundläggande rättigheter, de grundläggande principerna för behandling, de registrerades rätt till information, överföringsregler etcetera I båda stegen måste två bedömningar göras: För det första för att avgöra om sanktionsavgifter ska påföras och för det andra för att fastställa beloppet för de administrativa sanktionsavgifterna. I båda bedömningarna måste tillsynsmyndigheterna beakta alla de enskilda faktorer som anges i artikel 83.2 i denna förordning. De slutsatser som dragits i det första skedet kan emellertid användas i den andra etappen avseende sanktionsavgiftsbeloppet, för att inte behöva göra en andra bedömning på grundval av samma kriterier.
67. Efter dessa inledande förklaringar kommer jag nedan att pröva frågan om det föreligger en eventuell skyldighet att ålägga administrativa sanktionsavgifter i samtliga fall. Det ska i detta hänseende först noteras att det i artikel 58.2 i) i den allmänna dataskyddsförordningen föreskrivs att tillsynsmyndigheten får påföra administrativa sanktionsavgifter ”beroende på omständigheterna i varje enskilt fall”. Denna bestämmelse ska läsas tillsammans med artikel 83.2 i den allmänna dataskyddsförordningen, som inte bara föreskriver samma begränsning av tillämpningen av en sådan korrigerande åtgärd, utan antyder att tillsynsmyndigheten till och med kan avstå från att göra det (”[v]id beslut om huruvida administrativa sanktionsavgifter ska påföras”) (min kursivering) om omständigheterna motiverar ett sådant tillvägagångssätt. Denna formulering återfinns – i mer eller mindre likartade ordalag – i andra språkversioner. Sammanfattningsvis framgår det av själva ordalydelsen i artikel 83.2 i den allmänna dataskyddsförordningen att det inte är obligatoriskt att i samtliga fall påföra en administrativ sanktionsavgift.
68. Det ska dessutom påpekas att tillsynsmyndigheten enligt denna bestämmelse är skyldig att i varje enskilt fall beakta en rad faktorer vid beslutet om huruvida administrativa sanktionsavgifter ska påföras. Det rör sig i huvudsak om försvårande och förmildrande omständigheter som påverkar tillsynsmyndighetens beslut, såsom överträdelsens karaktär, svårighetsgrad och varaktighet, men även omständigheter som rör den personuppgiftsansvariges beteende, såsom om överträdelsen skett med uppsåt eller genom oaktsamhet.
69. I detta sammanhang förefaller den andra och tredje meningen i skäl 148 i den allmänna dataskyddsförordningen vara relevanta för tolkningen av artikel 83.2 i sammaförordning, i den mån de ger vägledning om de omständigheter som ska beaktas när ett beslut fattas. Genom detta skäl införs begreppet mindre överträdelse som har betydande konsekvenser för tillsynsmyndighetens administrativa praxis. Där anges bland annat att ”[v]id en mindre överträdelse eller om den sanktionsavgift som sannolikt skulle utdömas skulle innebära en oproportionell börda för en fysisk person får en reprimand utfärdas i stället för sanktionsavgifter” (min kursivering).
70. Enligt min mening kan av denna vägledning slutsatsen dras att unionslagstiftaren var medveten om att administrativa sanktionsavgifter är en särskilt sträng korrigerande åtgärd som inte bör användas i samtliga fall, eftersom dess effektivitet annars skulle minska, utan endast när omständigheterna i det enskilda fallet så kräver. I skäl 148 i den allmänna dataskyddsförordningen hänvisas till proportionalitetsprincipen som tillsynsmyndigheterna ska respektera när de tillämpar denna förordning särskilt i samband med sanktioner, inbegripet administrativa sanktionsavgifter. Som jag redan har påpekat i min bedömning återspeglas denna princip i skäl 129 i samma förordning, som avser antagandet av korrigerande befogenheter i allmänhet. Den sanktionsordning lagstiftaren har avsett att föreskriva är således flexibel och differentierad.
71. Det följer av tolkningen av nämnda artikel 83.2, jämförd med skäl 148 i den allmänna dataskyddsförordningen, att även om en överträdelse har konstaterats, kan bedömningen av de kriterier som anges i denna bestämmelse leda till att tillsynsmyndigheten anser att överträdelsen, under de konkreta omständigheterna i det enskilda fallet, inte ger upphov till en betydande risk för de registrerades rättigheter, till exempel, och att den inte påverkar den berörda skyldighetens kärna. I sådana fall ersätts sanktionsavgifterna ibland – men inte alltid – med en reprimand.
72. Det ska emellertid preciseras att skäl 148 inte ålägger tillsynsmyndigheten att på eget initiativ ersätta en sanktionsavgift med en reprimand vid en mindre överträdelse, utan ger den möjlighet att göra detta efter en konkret bedömning av samtliga omständigheter i fallet. Slutligen framgår det av skäl 148 att tillsynsmyndigheten får avstå från att påföra en sanktionsavgift, även om en sådan korrigerande åtgärd a priori är nödvändig på grundval av den bedömning som den har gjort, om denna sanktionsavgift skulle innebära en oproportionell börda för en fysisk person.
73. Det är således omständigheterna i varje enskilt fall, som avses i artikel 83.2 i den allmänna dataskyddsförordningen, som i slutändan avgör om sanktionsavgifter ska påföras och, om så är fallet, avgiftsbeloppet. Alla dessa indicier stöder min uppfattning att detta beslut i slutändan är ett skönsmässigt beslut från tillsynsmyndigheten. Tillsynsmyndigheten är ansvarig för att utöva det utrymme för skönsmässig bedömning som den tilldelats på ett samvetsgrant sätt och i enlighet med kraven i den allmänna dataskyddsförordningen. Gränserna för detta utrymme för skönsmässig bedömning följer av unionsrättens och medlemsstaternas allmänna rättsprinciper, särskilt principen om likabehandling. Av detta följer att det är nödvändigt att utveckla en administrativ praxis för utdömande av sanktionsavgifter enligt vilken liknande fall behandlas på ett jämförbart sätt.
74. Slutligen vill jag även påpeka att det vid kumulering av ekonomiska påföljder av straffrättslig karaktär till och med finns en risk för att principen ne bis in idem, såsom den har tolkats av EU-domstolen, åsidosätts, såsom framgår av skäl 149 i den allmänna dataskyddsförordningen. Denna princip utgör emellertid en grundläggande rättighet som skyddas av artikel 50 i stadgan och som endast får begränsas under stränga villkor, vilka anges i artikel 52 i stadgan. Med andra ord kan det också finnas rättsliga hinder för utdömande av administrativa sanktionsavgifter.
5. Avsaknaden av en skyldighet för tillsynsmyndigheten att påföra administrativa sanktionsavgifter när den som ingett ett klagomål uttryckligen begär detta
75. Den sista aspekt som ska prövas är huruvida tillsynsmyndigheten är skyldig att påföra administrativa sanktionsavgifter när den som ingett klagomålet uttryckligen kräver det. Såsom jag påpekade vid prövningen av huruvida begäran om förhandsavgörande kunde tas upp till sakprövning, framgår det av handlingarna i målet att TR hade begärt att HBDI skulle agera mot Sparkasse och utdöma administrativa sanktionsavgifter. Till stöd för sin begäran hade TR gjort beräkningar för att fastställa storleken på de sanktionsavgifter som skulle påföras. Denna begäran grundar sig uppenbarligen på uppfattningen att en person som har ingett ett klagomål har en subjektiv rätt gentemot tillsynsmyndigheten att begära att en specifik åtgärd vidtas. Såsom jag kommer att förklara nedan anser jag emellertid att denna ståndpunkt saknar rättslig grund.
76. För det första har min bedömning visat att tillsynsmyndigheten har ett utrymme för skönsmässig bedömning när det gäller att välja lämplig åtgärd i varje enskilt fall. Om inga särskilda omständigheter föreligger som skulle kunna leda till en begränsning av detta utrymme för skönsmässig bedömning, såsom allvaret eller den över tid bestående effekten av en personuppgiftsincident - vilket enligt min mening inte är fallet i förevarande fall - behåller tillsynsmyndigheten detta utrymme för skönsmässig bedömning. Med hänsyn till att administrativa sanktionsavgifter ingår bland de korrigerande åtgärder som tillsynsmyndigheten kan vidta enligt artikel 58.2 i den allmänna dataskyddsförordningen, är det logiskt att dra slutsatsen att detta utrymme för skönsmässig bedömning även omfattar dessa. Härav följer att det inte finns någon skyldighet för tillsynsmyndigheten att agera i den klagandes intresse genom att vidta en viss korrigerande åtgärd. Härav följer att det inte finns någon skyldighet för tillsynsmyndigheten att agera i den enskildes intresse genom att vidta en viss korrigerande åtgärd.
77. För det andra, även om omständigheterna i fallet skulle vara så olika att det skulle vara motiverat att vidta en specifik korrigerande åtgärd, förefaller det mig som om det inte skulle vara möjligt att med fog hävda att det skulle vara nödvändigt att påföra administrativa sanktionsavgifter. I likhet med den österrikiska regeringen anser jag att det ska tas hänsyn till de mål som eftersträvas med de olika korrigerande åtgärder som anges i artikel 58.2 i den allmänna dataskyddsförordningen och i synnerhet med de administrativa sanktionsavgifterna. Närmare bestämt anser jag att deras rättsliga karaktär utgör hinder för att tillerkänna den registrerade en subjektiv rättighet i ovannämnda mening, eftersom ett av syftena med denna åtgärd är att bestraffa ett beteende som anses strida mot unionsrätten. Jag anser att administrativa sanktionsavgifter, på grund av deras bestraffande syfte, åtminstone i vissa situationer, och med hänsyn till att de kan vara stränga, kan vara av straffrättslig karaktär. Det ska erinras om att bestraffningsrätten (”ius puniendi”) uteslutande tillkommer medlemsstaten och dess organ.
78. Det ska i detta sammanhang påpekas att det enligt artikel 83.1 i den allmänna dataskyddsförordningen bland annat krävs att straffavgifterna i varje enskilt fall är ”effektiv[a], proportionell[a]och avskräckande”. Bedömningen av huruvida den påtänkta sanktionsavgiften uppfyller dessa villkor i ett visst fall ankommer på tillsynsmyndigheten, som agerar på eget ansvar. Det ankommer på tillsynsmyndigheten att avgöra huruvida administrativa sanktionsavgifter ska påföras i ett enskilt fall. Unionslagstiftaren har för detta ändamål tillhandahållit den ett detaljerat juridiskt regelverk. I artikel 83 i den allmänna dataskyddsförordningen fastställs således de allmänna villkoren för att påföra sådana sanktionsavgifter, vilka kompletteras av riktlinjerna för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med den allmänna dataskyddsförordningen, vilka har utarbetats av EDPB i enlighet med artikel 70.1 k i förordningen. Det ska i detta avseende påpekas att ingen av dessa regler och riktlinjer gör det möjligt att dra slutsatsen att den som ingett ett klagomål om att hans eller hennes rättigheter har åsidosatts har en särskild rättslig ställning som gör det möjligt för honom eller henne att begära att tillsynsmyndigheten påför den som har begått överträdelsen administrativa sanktionsavgifter.
79. Visserligen tyder vissa kriterier i artikel 83.2 i den allmänna dataskyddsförordningen – såsom den skada som åsamkats – på att tillsynsmyndigheten även måste ta hänsyn till den registrerades situation när den fattar ett beslut. Dessa kriterier utgör emellertid inte i sig en tillräcklig indikation på att styrka att det föreligger en subjektiv rätt att begära att straffavgifter ska påföras. Såsom följer av en tolkning av denna bestämmelse, jämförd med skäl 75 i denna förordning, är syftet med nämnda kriterier att ge tillsynsmyndigheten användbara uppgifter för att göra det möjligt för den att bedöma överträdelsens art, svårighetsgrad och varaktighet och att välja lämplig korrigerande åtgärd. Utifrån varje enskilt fall kan följaktligen olika korrigerande åtgärder övervägas av tillsynsmyndigheten och inte enbart administrativa straffavgifter, utan att den registrerade kan kräva att en viss åtgärd vidtas. Det ankommer uteslutande på tillsynsmyndigheten att besluta om en åtgärd ska vidtas för att se till att reglerna efterlevs eller att bestraffa olagligt beteende.
80. För det tredje kan inte heller en annan slutsats dras av den omständigheten att unionslagstiftaren har definierat tillsynsmyndighetens roll i den sanktionsavgiftsordning som inrättats genom den allmänna dataskyddsförordningen på grundval av kommissionens konkurrensrättsliga befogenheter. Det ska i detta avseende erinras om att denna institutions befogenhet att påföra företag som begår överträdelser i den mening som avses i artiklarna 101 och 102 FEUF sanktionsavgifter utgör ett av de medel som den tilldelats för att möjliggöra för den att utföra den övervakningsuppgift som det tilldelas genom unionsrätten. Det bör emellertid noteras att kommissionen har ett utrymme för skönsmässig bedömning vars utövande enbart begränsas av efterlevnaden av unionsrättens allmänna principer, inbegripet proportionalitetsprincipen och principen om likabehandling. Det bör vidare noteras att det i förordning (EG) nr 1/2003 om tillämpning av konkurrensreglerna inte föreskrivs någon rättighet att begära utdömande av böter enligt artikel 23 för klagandena eller för tredje man vars intressen kan beröras av ett beslut inom ramen för ett administrativt förfarande som inletts av kommissionen, som enligt artikel 27 i nämnda förordning enbart är skyldig att bifalla möjliga begäranden om förhör som framställts av denna innan en sanktionsavgift utdömts.
81. Mot bakgrund av vad som anförts ovan anser jag att det med hänsyn till unionsrättens nuvarande utvecklingsstadium inte är möjligt att dra slutsatsen att en person som ingett ett klagomål om att hans eller hennes rättigheter har kränkts har en subjektiv rätt att begära att en administrativ sanktionsavgift ska åläggas. Detta påverkar inte möjligheten till att föreslå att en sådan korrigerande åtgärd ska vidtas genom framläggande av argument och bevis till stöd för sin ståndpunkt. Det slutliga beslutet omfattas emellertid av tillsynsmyndighetens utrymme för skönsmässig bedömning.
D. Resumé av prövningen av den fråga som hänskjutits för förhandsavgörande
82. Av ovanstående bedömning följer att tillsynsmyndigheten har en skyldighet att agera när den konstaterat att det föreligger en personuppgiftsincident inom ramen för prövningen av ett klagomål. Den är i synnerhet skyldig att fastställa vilken eller vilka korrigerande åtgärder som är lämpligast för att åtgärda incidenten och säkerställa respekten för den registrerades rättigheter. I detta avseende kräver den allmänna dataskyddsförordningen, samtidigt som den ger tillsynsmyndigheten ett visst utrymme för skönsmässig bedömning, att dessa åtgärder är lämpliga, nödvändiga och proportionella. Tillsynsmyndigheten kan, under särskilda villkor, avstå från att vidta de åtgärder som avses i artikel 58.2 i denna förordning till förmån för ”autonoma” åtgärder som vidtas av den personuppgiftsansvarige själv. Den registrerade har inte under några omständigheter rätt att begära att en viss åtgärd vidtas. Dessa principer är också tillämpliga på systemet med administrativa sanktionsavgifter.
VI. Förslag till avgörande
83. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen ska besvara tolkningsfrågan från Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) på följande sätt: Artikel 57.1 a och f samt artikel 58.2 a–j jämförda med artikel 77.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), ska tolkas så, att tillsynsmyndigheten, i en situation där den konstaterar att en behandling som kränker den registrerades rättigheter har skett, är skyldig att vidta åtgärder enligt artikel 58.2 i förordning 2016/679 i den mån det är nödvändigt för att säkerställa full efterlevnad av denna förordning. Den är i detta avseende skyldig att, med beaktande av de konkreta omständigheterna i varje enskilt fall, välja ett lämpligt, nödvändigt och proportionellt sätt, särskilt för att åtgärda incidenten och säkerställa respekten för den registrerades rättigheter.
1 Originalspråk: franska.
2 EUT L 119, 2016, s. 1.
3 Förslag till avgörande i de förenade målen SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:222).
4 Se dom av den 10 december 2020, J & S Service ( C‑620/19, EU:C:2020:1011, punkt 31 och där angiven rättspraxis).
5 Se dom av den 14 juli 2022, Sense Visuele Communicatie en Handel vof ( C‑36/21, EU:C:2022:556, punkt 22 och där angiven rättspraxis).
6 Dom av den 7 december 2023, SCHUFA Holding (Skuldsanering) ( C‑26/22 och C‑64/22, EU:C:2023:958) (nedan kallad ”SCHUFA-domen”).
7 Se punkterna 35–39 i förevarande förslag till avgörande.
8 Se punkt 40 och följande punkter i förevarande förslag till avgörande.
9 SCHUFA-domen (punkt 55).
10 SCHUFA-domen (punkt 56).
11 SCHUFA-domen (punkterna 56 och 57).
12 SCHUFA-domen (punkt 58).
13 SCHUFA-domen (punkt 70).
14 Se ”Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med [dataskydds]förordning[en]”, antagna den 3 oktober 2017 av artikel 29-arbetsgruppen för skydd av personuppgifter, s. 5 (nedan kallade riktlinjerna för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med dataskyddsförordningen). Den arbetsgruppen har sedermera ersatts av Europeiska dataskyddsstyrelsen (EDPB), men dess riktlinjer är fortfarande giltiga.
15 Se, för ett liknande resonemang, Chamberlain, J./Reichel, J., ”The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation”, Mississippi law journal, 2020, band 89(4), s. 686, som grundar sig på ovannämnda riktlinjer.
16 Hijmans, H., ”Article 57. Tasks”, Kuner, C., Bygrave, L.A. Docksey, C., (utgivare), The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 934.
17 Se, för ett liknande resonemang, Härting, N., Flisek, C., Thiess, L., ”DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers”, Computer und Recht, 5/2018, s. 299.
18 Se mitt förslag till avgörande i de förenade målen SCHUFA, punk 41 och följande punkter.
19 Se den spanska (”dispondrá de … los … poderes correctivos ”), den danska (”har … korrigerende beføjelser”), den tyska (”verfügt über … Abhilfebefugnisse, die es ihr gestatten”), den estniska (”on … parandusvolitused”), den engelska (”shall have … corrective powers”), den italienska (”ha … i poteri correttivi”), den nederländska (”heeft … bevoegdheden tot het nemen van corrigerende maatregelen”), den polska (”przysługują … uprawnienia naprawcze”), den portugisiska (”dispõe dos … poderes de correção”) och den svenska (”ska ha … korrigerande befogenheter”) språkversionen.
20 Se, för ett liknande resonemang, Härting, N., Flisek, C., Thiess, L., ”DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht des Bürgers”, Computer und Recht, 5/2018, s. 299.
21 Se SCHUFA-domen (punkt 57) och dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkt 111) (min kursivering).
22 Dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkt 112) (min kursivering).
23 Se punkt 42 i förslaget till den domen.
24 Dom av den 16 juli 2020, Facebook Ireland och Schrems ( C‑311/18, EU:C:2020:559, punkt 113). EU-domstolens slog fast att tillsynsmyndigheten enligt artikel 58.2 f och j i den allmänna dataskyddsförordningen är skyldig att avbryta eller förbjuda en överföring av personuppgifter till ett tredjeland om den, mot bakgrund av samtliga omständigheter i samband med överföring, anser att de standardiserade dataskyddsbestämmelserna inte iakttas eller inte kan iakttas i det tredjelandet, och att det skydd för personuppgifter som krävs enligt unionsrätten inte kan säkerställas med andra medel, förutsatt att den personuppgiftsansvarige eller dennes personuppgiftsbiträde som är etablerade i unionen inte själv har avbrutit eller upphört med överföringen.
25 Se, för ett liknande resonemang, Georgieva, L./Schmidl, M., ”Article 58. Powers”, Kuner, C., Bygrave, L.A. Docksey, C., (utg.), The EU General Data Protection Regulation (GDPR), Oxford, 2020, s. 945.
26 Se dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:949, punkt 78).
27 Se ”Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med [dataskydds]förordning[en]”, s. 9.
28 Se den spanska (”Al decidir la imposición”), den danska (”Når der træffes afgørelse om, hvorvidt der skal pålægges”), den tyska (”Bei der Entscheidung über die Verhängung”), den estniska (”Otsustades igal konkreetsel juhul”), den engelska (”When deciding whether to impose”), den italienska (”Al momento di decidere se infliggere”), den nederländska (”Bij het besluit over de vraag of … wordt opgelegd”), den polska (”Decydując, czy nałożyć”), den portugisiska (”Ao decidir sobre a aplicação”) och den svenska (”Vid beslut om huruvida … ska påföras”) språkversionen.
29 Se, i detta avseende, dom av den 5 december 2023, Deutsche Wohnen ( C‑807/21, EU:C:2023:950, punkt 61 och följande punkter).
30 Dom av den 5 december 2023, Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:949, punkt 76).
31 Se punkt 45 i förevarande förslag till avgörande.
32 Se förslag till avgörande av generaladvokaten Emiliou i målet Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:376, punkt 78), i vilket han förklarar att unionslagstiftarens avsikt i samband med antagandet av den allmänna dataskyddsförordningen inte var att varje överträdelse av dataskyddsreglerna skulle bestraffas med en administrativ sanktionsavgift.
33 Se ”riktlinjerna för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med dataskyddsförordningen”, s. 9.
34 Se ”riktlinjerna för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med dataskyddsförordningen”, s. 9.
35 Holländer, C., Beck’scher Online-Kommentar Datenschutzrecht (Wolff/Brink/Ungern-Sternberg), 46:e utgåvan, München 2017, artikel 83 i den allmänna dataskyddsförordningen, punkt 22, Frenzel, E. Datenschutz-Grundverordnung Kommentar (Paal/Pauly/Frenzel), tredje utgåvan, München 2021, artikel 83 i den allmänna dataskyddsförordningen, punkterna 8–12, där det förklaras att tillsynsmyndigheten har ett utrymme för skönsmässig bedömning och därför inte är skyldig att utdöma administrativa sanktionsavgifter i samtliga fall.
36 Se punkt 30 i förevarande förslag till avgörande.
37 I ”Riktlinjer för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med [den allmänna dataskyddsförordningen”, s. 6 anges att administrativa sanktionsavgifter är ”korrigerande åtgärder” vilkas syfte kan vara ”antingen … att se till att reglerna efterlevs eller att bestraffa olagligt beteende (eller båda delarna)” (min kursivering).
38 Jag vill erinra om att tre kriterier är relevanta vid bedömning av huruvida en sanktion är av straffrättslig karaktär. Det första av dessa är den rättsliga kvalificeringen av överträdelsen i nationell rätt, det andra är själva överträdelsens art och det tredje är arten av och strängheten i den sanktion som den berörde kan åläggas (se dom av den 5 juni 2012, Bonda, C‑489/10, EU:C:2012:319, punkt 37, och dom av den 2 februari 2021, Consob C‑481/19, EU:C:2021:84, punkt 42, se även Europadomstolen, 8 juni 1976, Engel m.fl. mot Nederländerna, CE:ECHR:1976:0608JUD000510071, § 82). Det är inte nödvändigt att alla kriterierna är uppfyllda för att böter eller sanktionsavgifter ska anses vara av straffrättslig karaktär (se, i detta avseende, förslag till avgörande av generaladvokaten Bot i målet ThyssenKrupp Nirosta/kommissionen, C‑352/09 P, EU:C:2010:635, punkt 50 och där angiven rättspraxis).
39 Se ”riktlinjerna för tillämpning och fastställande av administrativa sanktionsavgifter i enlighet med dataskyddsförordningen”, s. 12 av vilka det för det första framgår att den skada som åsamkats ska beaktas ”vid valet av korrigerande åtgärd”, vilket inte utesluter att andra korrigerande åtgärder än administrativa sanktionsavgifter kan vidtas. För det andra anges där att ”utdömandet av straffavgifter inte är beroende av tillsynsmyndighetens förmåga att fastställa ett orsakssamband mellan överträdelsen och den materiella skadan”. Härav följer att beslutet att ålägga administrativa sanktionsavgifter beror på varje enskilt fall och inte enbart på förekomsten av en skada.
40 Se, i detta avseende, förslag till avgörande av generaladvokaten Emiliou i målet Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:376, punkt 84), som framhåller likheterna mellan de två systemen. Se även dom av den 5 december 2023, Deutsche Wohnen ( C‑807/21, EU:C:2023:950, punkt 55 och följande punkter).
41 Se, för ett liknande resonemang, dom av den 11 juni 2009, X ( C‑429/07, EU:C:2009:359, punkt 35 och där angiven rättspraxis).
42 Generaladvokaten Kokotts förslag till begäran om avgörande i de förenade målen Alliance One International och Standard Commercial Tobacco/kommissionen och kommissionen/Alliance One International m.fl. ( C‑628/10 P och C‑14/11 P, EU:C:2012:11, s. 48 och där angiven rättspraxis).
43 Rådets förordning av den 16 december 2002 om tillämpning av konkurrensreglerna i artiklarna 81 och 82 i fördraget (EGT L 1, 2003, s. 1).
44 Se, för ett liknande resonemang, Wils W., ”Procedural rights and obligations of third parties in antitrust investigation and proceedings by the European Commission”, Concurrence, nr 2–2022, s. 50.