Решение на Съда на ЕС по дело C-768/21
Надзорният орган може да се въздържи от налагане на административна санкция, когато администраторът вече е предприел необходимите мерки по своя инициатива, казва Съдът на ЕС в решението си по дело C-768/21.
В Германия спестовна каса установява, че един от нейните служители е осъществявал неоторизиран достъп до личните данни на клиент, без да е упълномощен за това. Спестовната каса не е информирала клиента за това, тъй като нейният служител по защита на данните е преценил, че няма висок риск за лицето. Служителят потвърждава писмено, че нито е копирал, нито е запазил данните, че не ги е прехвърлял на трети страни и че няма да прави това в бъдеще. Освен това спестовната каса е предприела дисциплинарни мерки. Въпреки това спестовната каса уведомява комисаря за защита на данните на провинция Хесен (HBDI), за това нарушение.
След като случайно разбира за нарушението, клиентът подава жалба до комисаря по защита на данните. HBDI изслушва спестовната каса и информира клиента, че не счита за необходимо да упражнява корективни правомощия по отношение на администратора.
Клиентът завежда дело пред германски съд, като иска от него да нареди на HBDI да предприеме действия срещу спестовната каса и по-специално да й наложи глоба.
Германският съд иска от Съда на ЕС да тълкува Общия регламент относно защитата на данните (GDPR) в това отношение.
Съдът отговаря, че когато е установено нарушение на личните данни, надзорният орган не е длъжен да упражнява коригиращи правомощия, по-специално правомощието да налага административна глоба, когато това не е необходимо за отстраняване на открития недостатък и за да се гарантира, че GDPR се прилага изцяло. Такъв би могъл да бъде случаят, когато, веднага след като администраторът е узнал за нарушението, е предприел необходимите мерки, за да гарантира, че това нарушение е прекратено и няма да се повтори, пише в решението на съда.
GDPR оставя на надзорния орган право на преценка относно начина, по който трябва да отстрани констатирания недостатък. Това право на преценка е ограничено от необходимостта да се осигури последователно и високо ниво на защита на личните данни чрез строго прилагане на GDPR.
Германският съд трябва да установи дали комисарят по защита на данните е спазил тези ограничения.
В съобщението на съда се припомня, че надзорният орган може, наред с другото, да направи официално предупреждение на администратора, да му нареди да изпълни исканията на субекта на данните и да приведе операциите по обработване в съответствие или, в допълнение към или вместо тези мерки, да му наложи административна глоба.