Становище на генералния адвокат по дело C-768/21
Според генералния адвокат Priit Pikamäe надзорният орган има задължение да действа, когато открие нарушение в хода на разследване на жалба. Въпреки това, решението какви коригиращи действия да се предприемат зависи от конкретните обстоятелства на всеки отделен случай. Становището му е по дело C-768/21:
Клиент на спестовна банка иска от Комисаря за защита на данните и свободата на информацията за провинция Хесен (Германия) да предприеме действия срещу спестовната банка поради нарушение на личните му данни. Един от служителите на спестовната каса няколко пъти се е запознал с данните му, без да е упълномощен за това.
Комисарят по защита на данните установява нарушение на защитата на данните съгласно Общия регламент относно защитата на данните (GDPR)1. Комисарят обаче заключава, че няма основания за действия срещу спестовна банка, която вече е предприела дисциплинарни мерки срещу съответния служител.
Клиентът оспорва този отказ пред германски съд, като поиска от него да нареди на комисаря по защита на данните да предприеме действия срещу спестовната банка. По-специално той твърди, че комисарят по защита на данните е трябвало да наложи глоби на спестовната банка.
Германският съд отправи запитване към Съда на ЕС относно правомощията и задълженията на комисаря по защита на данните като „надзорен орган“ по смисъла на GDPR.
Генералният адвокат Priit Pikamäe счита, че надзорният орган има задължение да действа, когато установи нарушение на сигурността на личните данни в хода на разследване на жалба. По-специално ще се изисква да се определят най-подходящите коригиращи мерки за отстраняване на нарушението и гарантиране, че правата на субекта на данните се зачитат.
В това отношение, оставяйки известна свобода на преценка на надзорния орган, GDPR ще изисква такива мерки да бъдат подходящи, необходими и пропорционални. Резултатът би бил, от една страна, че свободата на преценка при избора на средства е ограничена, когато изискваната защита може да бъде осигурена само чрез предприемане на специфични мерки2, и, от друга страна, че надзорният орган може при определени условия да се откаже от изброените мерки в GDPR, когато това е оправдано от конкретните обстоятелства на конкретния случай. Такъв може да е случаят по-специално когато администраторът е предприел определени мерки по своя собствена инициатива. Във всеки случай субектът на данните няма да има право да изисква приемането на конкретна мярка3. Тези принципи ще се прилагат и към системата за административни глоби4.
1 GDPR
2 Следователно дори не би било изключено, в зависимост от конкретните обстоятелства на конкретния случай, свободата на преценка да може да бъде ограничена до приемането на единствената подходяща мярка.
3 Освен когато е уместно, когато свободата на преценка, в зависимост от конкретните обстоятелства на конкретния случай, би била ограничена до приемането на единствената подходяща мярка. От друга страна, що се отнася до налагането на глоба, генералният адвокат категорично изключва, поради нейния наказателен характер, всяко субективно право на субекта на данните да бъде наложено такова наказание.
4 По отношение на преценката на надзорния орган генералният адвокат отбелязва, че принципът на равно третиране налага разработването на административна практика за налагане на глоби за подобни случаи по сравним начин.