–

em representação de TR, por F. Wittmaack, Rechtsanwalt,

–

em representação do Land Hessen, por M. Kottmann e G. Ziegenhorn, Rechtsanwälte,

–

em representação do Governo Austríaco, por J. Schmoll e M.‑T. Rappersberger, na qualidade de agentes,

–

em representação do Governo Português, por P. Barros da Costa, J. Ramos e C. Vieira Guerra, na qualidade de agentes,

–

em representação do Governo Romeno, por L.‑E. Baţagoi e. Gane, na qualidade de agentes,

–

em representação do Governo Norueguês, por S.‑E. Jahr Dahl, L.‑M. Moen Jünge e M. Munthe Kaas, na qualidade de agentes,

–

em representação da Comissão Europeia, por A. Bouchagiar, M. Heller e H. Kranenborg, na qualidade de agentes,

1

O pedido de decisão prejudicial tem por objeto a interpretação dos artigos 57.o, n.o 1, alíneas a) e f), 58.o, n.o 2, e 77.o, n.o 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2

Este pedido foi apresentado no âmbito de um litígio que opõe TR ao Land Hessen (Land de Hesse, Alemanha) a respeito da abstenção de o Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Responsável pela proteção de dados e pela liberdade de informação no Land de Hesse, Alemanha) (a seguir «HBDI») tomar medidas de correção em relação à Sparkasse X (Caixa económica de X; a seguir «Sparkasse»).

3

Nos termos dos considerandos 6, 7, 10, 129 e 148 do RGPD:

[…]

[…]

[…]

4

O artigo 5.o deste regulamento tem a seguinte redação:

«1.   Os dados pessoais são:

2.   O responsável pelo tratamento é responsável pelo cumprimento do disposto no n.o 1 e tem de poder comprová‑lo (“responsabilidade”).»

5

O artigo 24.o, n.o 1, do referido regulamento prevê:

«Tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, o responsável pelo tratamento aplica as medidas técnicas e organizativas que forem adequadas para assegurar e poder comprovar que o tratamento é realizado em conformidade com o presente regulamento. Essas medidas são revistas e atualizadas consoante as necessidades.»

6

O artigo 33.o do mesmo regulamento dispõe:

«1.   Em caso de violação de dados pessoais, o responsável pelo tratamento notifica desse facto a autoridade de controlo competente nos termos do artigo 55.o, sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento da mesma, a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares. […]

[…]

3.   A notificação referida no n.o 1 deve, pelo menos:

[…]»

7

O artigo 34.o, n.o 1, do RGPD enuncia:

«Quando a violação dos dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares, o responsável pelo tratamento comunica a violação de dados pessoais ao titular dos dados sem demora injustificada.»

8

O capítulo VI deste regulamento, intitulado «Autoridades de controlo independentes», abrange os artigos 51.o a 59.o do mesmo.

9

O artigo 51.o, n.o 1, do referido regulamento tem a seguinte redação:

«Os Estados‑Membros estabelecem que cabe a uma ou mais autoridades públicas independentes a responsabilidade pela fiscalização da aplicação do presente regulamento, a fim de defender os direitos e liberdades fundamentais das pessoas singulares relativamente ao tratamento e facilitar a livre circulação desses dados na União (“autoridade de controlo”).»

10

O artigo 57.o do RGPD, sob a epígrafe «Atribuições», prevê, no n.o 1:

«Sem prejuízo de outras atribuições previstas nos termos do presente regulamento, cada autoridade de controlo, no território respetivo:

[…]

[…]»

11

O artigo 58.o deste regulamento, sob a epígrafe «Poderes», dispõe, nos n.os 1 e 2:

«1.   Cada autoridade de controlo dispõe dos seguintes poderes de investigação:

[…]

2.   Cada autoridade de controlo dispõe dos seguintes poderes de correção:

[…]

[…]»

12

O artigo 77.o do referido regulamento tem a seguinte redação:

«1.   Sem prejuízo de qualquer outra via de recurso administrativo ou judicial, todos os titulares de dados têm direito a apresentar reclamação a uma autoridade de controlo, em especial no Estado‑Membro da sua residência habitual, do seu local de trabalho ou do local onde foi alegadamente praticada a infração, se o titular dos dados considerar que o tratamento dos dados pessoais que lhe diga respeito viola o presente regulamento.

2.   A autoridade de controlo à qual tiver sido apresentada a reclamação informa o autor da reclamação sobre o andamento e o resultado da reclamação, inclusive sobre a possibilidade de intentar ação judicial nos termos do artigo 78.o.»

13

O artigo 83.o, n.os 1 e 2, do mesmo regulamento enuncia:

«1.   Cada autoridade de controlo assegura que a aplicação de coimas nos termos do presente artigo relativamente a violações do presente regulamento a que se referem os n.os 4, 5 e 6 é, em cada caso individual, efetiva, proporcionada e dissuasiva.

2.   Consoante as circunstâncias de cada caso, as coimas são aplicadas para além ou em vez das medidas referidas no artigo 58.o, n.o 2, alíneas a) a h) e j). Ao decidir sobre a aplicação de uma coima e sobre o montante da coima em cada caso individual, é tido em devida consideração o seguinte:

14

A Sparkasse é uma entidade municipal de direito público que realiza, designadamente, operações bancárias e de crédito. Em 15 de novembro de 2019, notificou o HBDI, em conformidade com o artigo 33.o do RGPD, de uma violação de dados pessoais, constituída pelo facto de uma das suas funcionárias ter consultado várias vezes, sem para isso estar habilitada, dados pessoais de TR, um dos seus clientes. A Sparkasse não comunicou a TR a violação dos seus dados pessoais.

15

Após ter tomado incidentalmente conhecimento de que os seus dados pessoais tinham sido indevidamente consultados, TR apresentou, em 27 de julho de 2020, uma reclamação ao HBDI ao abrigo do artigo 77.o do RGPD. Nessa reclamação, denunciou o facto de a violação dos seus dados pessoais não lhe ter sido comunicada, em violação do artigo 34.o deste regulamento. Criticou também o prazo de conservação do registo de acesso da Sparkasse, fixado em apenas três meses, bem como os amplos direitos de consulta de que dispõem os membros do seu pessoal.

16

Na sequência da reclamação apresentada por TR, o HBDI ouviu a Sparkasse por escrito e oralmente sobre as acusações que lhe foram feitas. Na audição, a Sparkasse indicou que não efetuou uma comunicação nos termos do artigo 34.o do RGPD, uma vez que o seu responsável pela proteção de dados tinha considerado que não havia um risco elevado para os direitos e as liberdades de TR. Com efeito, tinham sido adotadas medidas disciplinares contra a funcionária em causa e esta tinha confirmado por escrito que não tinha copiado nem conservado os dados pessoais, que não os tinha transmitido a terceiros e que não o faria no futuro. Além disso, como o HBDI tinha criticado o facto de os registos de acesso serem conservados durante um período demasiado curto, a Sparkasse informou‑o de que esta questão seria objeto de reapreciação.

17

Por Decisão de 3 de setembro de 2020, o HBDI informou TR de que a Sparkasse não tinha infringido o artigo 34.o do RGPD, uma vez que a apreciação da Sparkasse segundo a qual a violação de dados pessoais cometida não era suscetível de implicar um risco elevado para os seus direitos e liberdades, na aceção desse artigo, não era manifestamente errada. Com efeito, ainda que os dados tivessem sido consultados pela funcionária, nada indicava que esta os tivesse transmitido a terceiros ou os tivesse utilizado em prejuízo de TR. Além disso, o HBDI indicou que tinha convidado a Sparkasse a conservar o seu registo de acesso durante um período mais longo do que três meses. Por último, no que respeita à questão do acesso dos trabalhadores da Sparkasse aos dados pessoais, o HBDI indeferiu a reclamação apresentada por TR, sublinhando que podem, em princípio, ser concedidos amplos direitos de acesso quando exista a certeza de que cada utilizador está informado das condições em que pode aceder aos dados. Assim, segundo o HBDI, não é necessário um controlo de princípio de cada acesso.

18

TR interpôs recurso dessa decisão no Verwaltungsgericht Wiesbaden (Tribunal Administrativo de Wiesbaden, Alemanha), órgão jurisdicional de reenvio, requerendo que este ordenasse à HBDI que interviesse contra a Sparkasse.

19

Em apoio do seu recurso, TR alega que o HBDI não tratou a sua reclamação, como exige o RGPD, ou seja, atendendo a todas as circunstâncias de facto, e acrescenta que o HBDI deveria ter aplicado uma coima à Sparkasse tendo em conta as diferentes violações, por esta, das disposições do referido regulamento, em especial do artigo 5.o, do artigo 12.o, n.o 3, do artigo 15.o, n.o 1, alínea c), do artigo 33.o, n.o 1, e do artigo 33.o, n.o 3, do mesmo. Na opinião de TR, em caso de violação comprovada do referido regulamento, como no caso em apreço, o princípio da oportunidade não é relevante, pelo que não é permitido ao HBDI decidir agir ou não, mas, em rigor, escolher as medidas a adotar.

20

A este respeito, o órgão jurisdicional de reenvio interroga‑se, em substância, sobre a questão de saber se, em caso de violação comprovada de disposições relativas à proteção de dados pessoais, o RGPD deve ser interpretado no sentido de que a autoridade de controlo está obrigada a adotar medidas de correção nos termos do artigo 58.o, n.o 2, deste regulamento, como uma coima, ou no sentido de que esta autoridade dispõe de um poder de apreciação que lhe permite, consoante as circunstâncias, abster‑se de tomar tais medidas.

21

O órgão jurisdicional de reenvio refere que a primeira interpretação, que é a preconizada por TR e por uma parte da doutrina, se baseia no facto de os poderes de que dispõe a autoridade de controlo para adotar medidas de correção visarem restabelecer situações conformes, no caso de os cidadãos assistirem a uma interferência nos seus direitos resultante de um tratamento de dados. O artigo 58.o, n.o 2, do RGPD deverá, por conseguinte, ser entendido como uma fonte de obrigações que fundamenta um direito do cidadão a uma ação das autoridades quando uma empresa ou uma autoridade tiver tratado ilegalmente dados pessoais do cidadão ou violado direitos de outra maneira. Em caso de violação comprovada da proteção de dados, a autoridade de controlo está, portanto, obrigada a adotar medidas de correção, restando‑lhe apenas o poder discricionário de escolher qual das medidas previstas adota.

22

No entanto, o órgão jurisdicional de reenvio duvida da justeza desta interpretação, que considera demasiado extensiva, e tende antes a reconhecer à autoridade de fiscalização uma margem de apreciação que lhe permite, em certos casos, abster‑se de adotar uma medida de correção, em especial a aplicação de uma sanção, em caso de violação comprovada. Ainda que a autoridade de controlo tenha, por força do artigo 57.o, n.o 1, alínea f), do RGPD, a obrigação de proceder a uma atenta apreciação das reclamações quanto ao mérito e de examinar cada caso concreto, não está, todavia, obrigada a adotar uma medida de correção em todas as situações. Assim, não está sujeita a tal obrigação quando no passado tenham sido violadas regras relativas à proteção de dados pessoais, mas o responsável pelo tratamento tenha adotado medidas que não deixem antever que se repita uma violação da proteção de dados.

23

Nestas circunstâncias, o Verwaltungsgericht Wiesbaden (Tribunal Administrativo de Wiesbaden) decidiu suspender a instância e submeter ao Tribunal de Justiça a seguinte questão prejudicial:

«Devem os artigos 57.o, n.o 1, alíneas a) e f), e 58.o, n.o 2, alíneas a) a j), em conjugação com o artigo 77.o, n.o 1, do [RGPD], ser interpretados no sentido de que, quando a autoridade de controlo constata a existência de um tratamento de dados que viola os direitos do interessado, a autoridade de controlo é sempre obrigada a intervir nos termos do artigo 58.o, n.o 2, [deste regulamento]?»

24

Sem contestar expressamente a admissibilidade do pedido de decisão prejudicial, TR alega que não é necessária uma resposta à questão submetida para decidir o litígio no processo principal. O seu recurso destina‑se apenas a que o órgão jurisdicional de reenvio condene o HBDI a pronunciar‑se sobre as acusações suscitadas na reclamação, em conformidade com o artigo 57.o, n.o 1, alínea f), do RGPD, e não a que o condene a fazer uso dos poderes que lhe são conferidos pelo artigo 58.o, n.o 2, deste regulamento.

25

A este respeito, há que recordar que, no âmbito da cooperação entre o Tribunal de Justiça e os órgãos jurisdicionais nacionais instituída pelo artigo 267.o TFUE, o juiz nacional, a quem foi submetido o litígio e que deve assumir a responsabilidade pela decisão judicial a tomar, tem competência exclusiva para apreciar, tendo em conta as especificidades do processo, tanto a necessidade de uma decisão prejudicial para poder proferir a sua decisão como a pertinência das questões que submete ao Tribunal de Justiça. Consequentemente, desde que as questões submetidas sejam relativas à interpretação do direito da União, o Tribunal de Justiça está, em princípio, obrigado a pronunciar‑se (Acórdão de 30 de novembro de 2023, Ministero dell’Istruzione e INPS, C‑270/22, EU:C:2023:933, n.o 33 e jurisprudência referida).

26

Daqui resulta que as questões relativas à interpretação do direito da União submetidas pelo juiz nacional no quadro normativo e factual que este define sob a sua responsabilidade, e cuja exatidão não cabe ao Tribunal de Justiça verificar, gozam de uma presunção de pertinência. O Tribunal de Justiça só se pode recusar pronunciar sobre um pedido de decisão prejudicial apresentado por um órgão jurisdicional nacional se for manifesto que a interpretação do direito da União solicitada não tem nenhuma relação com a realidade ou com o objeto do litígio no processo principal, quando o problema for hipotético ou ainda quando o Tribunal de Justiça não dispuser dos elementos de facto e de direito necessários para dar uma resposta útil às questões que lhe são submetidas (Acórdão de 30 de novembro de 2023, Ministero dell’Istruzione e INPS, C‑270/22, EU:C:2023:933, n.o 34 e jurisprudência referida).

27

No caso em apreço, o órgão jurisdicional de reenvio sublinha que TR invocou um direito à intervenção do HBDI e afirmou que este estava obrigado a aplicar uma coima à Sparkasse.

28

Por conseguinte, não é manifesto que a interpretação do direito da União solicitada não tenha nenhuma relação com a realidade ou com o objeto do litígio no processo principal.

29

O pedido de decisão prejudicial é, portanto, admissível.

30

A fim de responder à questão submetida, importa recordar, a título preliminar, que a interpretação de uma disposição do direito da União exige que se tenha em conta não só os seus termos mas também o contexto em que se insere e os objetivos e a finalidade prosseguidos pelo ato de que faz parte [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.o 48 e jurisprudência referida].

31

Importa igualmente recordar que, em conformidade com o artigo 8.o, n.o 3, da Carta dos Direitos Fundamentais da União Europeia e com os artigos 51.o, n.o 1, e 57.o, n.o 1, alínea a), do RGPD, as autoridades nacionais de controlo estão encarregadas de fiscalizar o cumprimento das regras da União relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.o 55 e jurisprudência referida].

32

Concretamente, por força do artigo 57.o, n.o 1, alínea f), do RGPD, cada autoridade de controlo está obrigada, no território respetivo, a tratar as reclamações que, em conformidade com o artigo 77.o, n.o 1, deste regulamento, qualquer pessoa tem o direito de apresentar quando considere que um tratamento de dados pessoais que lhe diga respeito constitui uma violação do referido regulamento, a examinar o seu objeto, na medida do necessário, e a informar o autor da reclamação sobre o andamento e o resultado da investigação num prazo razoável. A autoridade de controlo deve proceder ao tratamento de uma reclamação dessa natureza com toda a diligência exigida [v., neste sentido, Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.o 56 e jurisprudência referida].

33

Para tratar as reclamações assim apresentadas, o artigo 58.o, n.o 1, do RGPD investe cada autoridade de controlo de importantes poderes de investigação. Quando uma autoridade de controlo considere, no termo da sua investigação, que existe uma violação das disposições desse regulamento, está obrigada a reagir de forma apropriada, a fim de sanar a insuficiência verificada, devendo, como precisa o considerando 129 do referido regulamento, cada medida ser adequada, necessária e proporcionada, a fim de garantir a conformidade com o referido regulamento, tendo em conta as circunstâncias de cada caso concreto. A este respeito, o artigo 58.o, n.o 2, do mesmo regulamento enumera as diferentes medidas de correção que a autoridade de controlo pode adotar [v., neste sentido, Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.o 57 e jurisprudência referida].

34

Assim, por força do artigo 58.o, n.o 2, do RGPD, a autoridade de controlo dispõe do poder, nomeadamente, de repreender o responsável pelo tratamento ou o subcontratante sempre que as operações de tratamento tenham violado as disposições do referido regulamento [alínea b)], ordenar ao responsável pelo tratamento ou ao subcontratante que satisfaça os pedidos de exercício de direitos apresentados pelo titular dos dados nos termos do referido regulamento [alínea c)], ordenar ao responsável pelo tratamento ou ao subcontratante que tome medidas para que as operações de tratamento cumpram as disposições do presente regulamento e, se necessário, de uma forma específica e dentro de um prazo determinado [alínea d)], ou ainda aplicar uma coima nos termos do artigo 83.o do RGPD, além ou em vez das medidas referidas no artigo 58.o, n.o 2, consoante as circunstâncias de cada caso [alínea i)].

35

Por conseguinte, o procedimento de reclamação é concebido como um mecanismo capaz de salvaguardar de maneira eficaz os direitos e interesses dos titulares dos dados [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.o 58].

36

No caso em apreço, resulta do pedido de decisão prejudicial que o HBDI examinou quanto ao mérito a reclamação apresentada ao recorrente no processo principal, tendo‑o informado do resultado do inquérito. Mais especificamente, o HBDI confirmou que tinha havido uma violação dos dados pessoais deste último na Sparkasse, que consistiu no acesso não autorizado a esses dados por uma das suas funcionárias. Todavia, no que respeita aos direitos de consulta dos membros do pessoal da Sparkasse, o HBDI indeferiu a reclamação apresentada pelo recorrente no processo principal. Além disso, concluiu que não havia que intervir contra a Sparkasse nos termos do artigo 58.o, n.o 2, do RGPD.

37

A este respeito, importa salientar que o RGPD deixa à autoridade de controlo uma margem de apreciação quanto ao modo como deve sanar a insuficiência constatada, uma vez que o seu artigo 58.o, n.o 2, confere a esta autoridade o poder de adotar diversas medidas de correção. Assim, o Tribunal de Justiça já declarou que a escolha do meio adequado e necessário cabe à autoridade de controlo, que deve efetuar essa escolha tomando em consideração todas as circunstâncias do caso concreto e cumprindo com toda a diligência exigida a sua missão de velar pelo pleno respeito do RGPD (v., neste sentido, Acórdão de 16 de julho de 2020, Facebook Ireland e Schrems, C‑311/18, EU:C:2020:559, n.o 112).

38

Esta margem de apreciação é, no entanto, limitada pela necessidade de garantir um nível coerente e elevado de proteção dos dados pessoais através de uma aplicação rigorosa das regras, como resulta dos considerandos 7 e 10 do RGPD.

39

No que respeita, mais especificamente, às coimas referidas no artigo 58.o, n.o 2, alínea i), do RGPD, decorre do artigo 83.o, n.o 2, deste regulamento, que estas, consoante as circunstâncias de cada caso, são aplicadas além ou em vez das medidas referidas no artigo 58.o, n.o 2. Além disso, este artigo 83.o, n.o 2, precisa que, ao decidir sobre a aplicação de uma coima e sobre o montante da mesma, a autoridade de controlo deve ter em devida consideração, em cada caso individual, os elementos constantes das alíneas a) a k) desta disposição, como a natureza, a gravidade e a duração da infração.

40

Assim, o sistema de sanções previsto pelo legislador da União permite às autoridades de controlo aplicar as sanções mais adequadas e justificadas segundo as circunstâncias de cada caso (v., neste sentido, Acórdão de 5 de dezembro de 2023, Nacionalinis visuomenės sveikatos centras,C‑683/21, EU:C:2023:949, n.os 75 e 78), tendo em conta, como foi recordado nos n.os 37 e 38 do presente acórdão, a necessidade de assegurar o pleno respeito do RGPD, bem como de garantir um nível coerente e elevado de proteção dos dados pessoais através de uma aplicação rigorosa das regras.

41

Por conseguinte, não se pode deduzir do artigo 58.o, n.o 2, do RGPD nem do artigo 83.o do mesmo a existência de uma obrigação de a autoridade de controlo adotar, em todos os casos, quando constate a existência de uma violação de dados pessoais, uma medida de correção, designadamente uma coima, sendo a sua obrigação, em tais circunstâncias, reagir de forma adequada a fim de sanar a insuficiência constatada. Nestas condições, como salientou o advogado‑geral no n.o 81 das suas conclusões, o autor de uma reclamação cujos direitos foram violados não dispõe de um direito subjetivo a que a autoridade de controlo aplique uma coima ao responsável pelo tratamento.

42

Em contrapartida, a autoridade de controlo está obrigada a intervir quando a adoção de uma ou mais das medidas de correção previstas no artigo 58.o, n.o 2, do RGPD é, tendo em conta todas as circunstâncias do caso concreto, apropriada, necessária e proporcionada a fim de sanar a insuficiência constatada e de garantir o pleno respeito deste regulamento.

43

A este propósito, não está excluído que, a título excecional e tendo em conta as circunstâncias específicas do caso concreto, a autoridade de controlo se possa abster de adotar uma medida de correção, ainda que tenha sido constatada uma violação de dados pessoais. Tal pode ser o caso, nomeadamente, se a violação constatada não tiver persistido, por exemplo, quando o responsável pelo tratamento, que tinha, em princípio, aplicado medidas técnicas e organizativas adequadas na aceção do artigo 24.o do RGPD, tiver adotado, a partir do momento em que teve conhecimento dessa violação, as medidas apropriadas e necessárias para que a referida violação cesse e não se reproduza, tendo em conta as obrigações que lhe incumbem, nomeadamente, por força do artigo 5.o, n.o 2, e do artigo 24.o deste regulamento.

44

A interpretação segundo a qual a autoridade de controlo, quando constata a existência de uma violação de dados pessoais, não está obrigada a adotar em todos os casos uma medida de correção nos termos do artigo 58.o, n.o 2, do RGPD é corroborada pelos objetivos prosseguidos, respetivamente, por este artigo 58.o, n.o 2, e pelo artigo 83.o deste regulamento.

45

No que respeita ao objetivo prosseguido pelo artigo 58.o, n.o 2, do RGPD, resulta do seu considerando 129 que esta disposição visa assegurar a conformidade do tratamento de dados pessoais com este regulamento, bem como o restabelecimento de situações de violação deste último, para as tornar conformes com o direito da União, graças à intervenção das autoridades nacionais de controlo (Acórdão de 14 de março de 2024, Újpesti Polgármesteri Hivatal,C‑46/23, EU:C:2024:239, n.o 40).

46

Daqui resulta que a adoção de uma medida de correção pode, a título excecional e tendo em conta as circunstâncias específicas do caso concreto, não ser exigível, desde que a situação de violação do RGPD já tenha sido sanada, a conformidade dos tratamentos de dados pessoais com este regulamento pelo seu responsável seja assegurada e essa abstenção da autoridade de controlo não seja suscetível de prejudicar a exigência de uma aplicação rigorosa das regras, conforme recordada no n.o 38 do presente acórdão.

47

Quanto ao objetivo prosseguido pelo artigo 83.o do RGPD, relativo à aplicação de coimas, o mesmo consiste, nos termos do considerando 148 do mesmo regulamento, em reforçar a aplicação das regras deste último. Todavia, este mesmo considerando enuncia que, em caso de infração menor do referido regulamento ou se o montante da coima suscetível de ser aplicada constituir um encargo desproporcionado para uma pessoa singular, as autoridades de controlo se podem abster de aplicar uma coima e, em vez disso, fazer uma repreensão (v., neste sentido, Acórdão de 5 de dezembro de 2023, Nacionalinis visuomenės sveikatos centras,C‑683/21, EU:C:2023:949, n.o 76).

48

No caso em apreço, resulta do pedido de decisão prejudicial que a Sparkasse notificou ao HBDI, em conformidade com o artigo 33.o do RGPD, a violação dos dados pessoais do recorrente no processo principal, resultante do acesso não autorizado a esses dados por uma das suas funcionárias. Além disso, indicou que tinham sido tomadas medidas disciplinares contra essa funcionária e que o prazo de conservação do registo de acesso seria objeto de reapreciação. Foi nestas condições que o HBDI se absteve de adotar uma medida de correção nos termos do artigo 58.o, n.o 2, do RGPD e, nomeadamente, de aplicar uma coima.

49

Uma vez que as decisões sobre reclamações adotadas por uma autoridade de controlo estão sujeitas a uma fiscalização jurisdicional plena [Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.o 70], incumbe ao órgão jurisdicional de reenvio verificar se o HBDI procedeu ao tratamento da reclamação em causa com toda a diligência exigida e se, ao adotar a decisão em causa no processo principal, o HBDI respeitou os limites da margem de apreciação que lhe é conferida pelo artigo 58.o, n.o 2, do RGPD [v., por analogia, Acórdão de 7 de dezembro de 2023, SCHUFA Holding (Libertação da dívida remanescente), C‑26/22 e C‑64/22, EU:C:2023:958, n.os 68 e 69 e jurisprudência referida].

50

Tendo em conta todas as considerações precedentes, há que responder à questão submetida que os artigos 57.o, n.o 1, alíneas a) e f), 58.o, n.o 2, e 77.o, n.o 1, do RGPD devem ser interpretados no sentido de que, em caso de constatação da existência de uma violação de dados pessoais, a autoridade de controlo não está obrigada a adotar uma medida de correção, designadamente uma coima, nos termos do referido artigo 58.o, n.o 2, quando essa intervenção não for apropriada, necessária ou proporcionada para sanar a insuficiência constatada e garantir o pleno respeito deste regulamento.

51

Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Primeira Secção) declara:

Os artigos 57.o, n.o 1, alíneas a) e f), 58.o, n.o 2, e 77.o, n.o 1, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

devem ser interpretados no sentido de que:

em caso de constatação da existência de uma violação de dados pessoais, a autoridade de controlo não está obrigada a adotar uma medida de correção, designadamente uma coima, nos termos do referido artigo 58.o, n.o 2, quando essa intervenção não for apropriada, necessária ou proporcionada para sanar a insuficiência constatada e garantir o pleno respeito deste regulamento.