W niedawno opublikowanej opinii jednego z Rzeczników Trybunału Sprawiedliwości UE wskazano, że do wyłącznych kompetencji organu nadzorczego należy nałożenie administracyjnej kary pieniężnej. Sprawa, w której wypowiadał się Rzecznik, dotyczy pewnego mieszkańca Hesji, który dowiedział się, że jego sąsiadka pracująca, w kasie oszczędnościowej, wielokrotnie i bez upoważnienia “zaglądała” na konto tego obywatela. Podmiot zarządzający kasą oszczędnościową zgłosił organowi nadzorczemu naruszenie ochrony danych osobowych, ale przekazał argumentację, iż w sprawie nie zachodzi wysokie ryzyko dla praw i wolności tego Obywatela, a więc nie zmaterializowała się konieczność jego zawiadomienia. Administrator danych podjęto środki dyscyplinarne wobec pracownicy, której sprawa dotyczy, a ona potwierdziła na piśmie, że nie kopiowała ani nie przechowywała danych, z którymi się zapoznała, nie przekazała ich osobom trzecim oraz zobowiązała się, że nie zrobi tego również w przyszłości. Organ nadzorczy stwierdził, że administrator nie naruszył art. 34 RODO, nie zawiadamiając obywatela, o naruszeniu ochrony oraz wydał decyzję nakazującą dłuższe przechowywanie logów umożliwiających weryfikację poprawności dostępu do danych. Jednakże organ potwierdził, że doszło do naruszenia samego RODO. Obywatel złożył skargę, do sądu administracyjnego w Wiesbaden, żądając podjęcia konkretnych działań przez organ nadzorczy, a w szczególności wykorzystania jednego z przysługujących organowi nadzorczemu uprawnień naprawczych np. nałożenia na administratora administracyjnej kary pieniężnej. Sąd administracyjny w Wiesbaden postanowił zwrócić się do Trybunału z pytaniem, czy art. 57 ust. 1 lit. a) i f) i art. 58 ust. 2 lit. a)–j) w związku z art. 77 ust. 1 [RODO] należy interpretować w ten sposób, że w przypadku stwierdzenia przez organ nadzorczy, iż przetwarzanie danych narusza prawa osoby, której dane dotyczą, organ ten jest zawsze zobowiązany do podjęcia działania zgodnie z art. 58 ust. 2 [tego rozporządzenia]. Rzecznik TSUE zapronował Trybunałowi udzielenie odpowiedzi, iż tak nie jest. Wyłącznie organ nadzorczy posiada autonomiczne uprawnienia do “wykorzystywania” przewidzianych w RODO uprawnień naprawczych. Rzecznik tak sformułował swoją opinię: w przypadku stwierdzenia przez organ nadzorczy, iż przetwarzanie danych narusza prawa osoby, której dane dotyczą, jest on zobowiązany do podjęcia działania zgodnie z art. 58 ust. 2 rozporządzenia 2016/679 w zakresie, w jakim […]