Hotărârea Curții (Camera întâi) din 18 iunie 2026.#Datenschutzbehörde și Dr. G S.#Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolele 77 și 79 – Căi de atac – Exercitare în paralel – Articulare între depunerea unei plângeri la o autoritate națională de supraveghere și exercitarea unei căi de atac judiciare – Risc de decizii contradictorii – Principiul protecției jurisdicționale efective – Autonomia procedurală a statelor membre – Principiul efectivității – Principiul echivalenței.#Cauza C-414/24.

Cererea de decizie preliminară privește interpretarea articolelor 77 și 79 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

Această cerere a fost formulată în cadrul unui litigiu între Dr. G S, pe de o parte, și Datenschutzbehörde (Autoritatea pentru Protecția Datelor, Austria) (denumită în continuare „DSB”), pe de altă parte, în legătură cu respingerea de către această autoritate a plângerii formulate de Dr. G S, în temeiul unei pretinse încălcări a dreptului său la protecția datelor cu caracter personal care o privesc, pentru motivul că persoana vizată formulase în prealabil o cale de atac judiciar având același obiect și care era încă pendinte în fața instanței sesizate.

Potrivit considerentelor (10), (11), (129) și (141) ale RGPD: „(10) Pentru a se asigura un nivel consecvent și ridicat de protecție a persoanelor fizice și pentru a se îndepărta obstacolele din calea circulației datelor cu caracter personal în cadrul Uniunii, nivelul protecției drepturilor și libertăților persoanelor fizice în ceea ce privește prelucrarea unor astfel de date ar trebui să fie echivalent în toate statele membre. Aplicarea consecventă și omogenă a normelor în materie de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal ar trebui să fie asigurată în întreaga Uniune. […] (11) Protecția efectivă a datelor cu caracter personal în întreaga Uniune necesită nu numai consolidarea și stabilirea în detaliu a drepturilor persoanelor vizate și a obligațiilor celor care prelucrează și decid prelucrarea datelor cu caracter personal […]. […] (129) Pentru a se asigura consecvența monitorizării și a aplicării prezentului regulament în întreaga Uniune, autoritățile de supraveghere ar trebui să aibă în fiecare stat membru aceleași sarcini și competențe efective, inclusiv competențe de investigare, competențe corective și sancțiuni, precum și competențe de autorizare și de consiliere, în special în cazul plângerilor depuse de persoane fizice, precum și, fără a aduce atingere competențelor autorităților de urmărire penală în temeiul dreptului intern, de a aduce în atenția autorităților judiciare cazurile de încălcare a prezentului regulament și de a se implica în proceduri judiciare. Aceste competențe ar trebui să includă și competența de a impune o limitare temporară sau definitivă, inclusiv o interdicție, asupra prelucrării. Statele membre pot stabili alte sarcini legate de protecția datelor cu caracter personal în temeiul prezentului regulament. Competențele autorităților de supraveghere ar trebui exercitate în conformitate cu garanții procedurale adecvate prevăzute în dreptul Uniunii și în dreptul intern, în mod imparțial, echitabil și într‑un termen rezonabil. În special, fiecare măsură ar trebui să fie adecvată, necesară și proporțională în scopul de a asigura conformitatea cu dispozițiile prezentului regulament, luând în considerare circumstanțele fiecărui caz în parte, să respecte dreptul oricărei persoane de a fi ascultată înainte de luarea oricărei măsuri individuale care ar putea să îi aducă atingere și să evite costurile inutile și inconvenientele excesive pentru persoanele în cauză. Competențele de investigare în ceea ce privește accesul în incinte ar trebui exercitate în conformitate cu cerințele specifice din dreptul procedural național, cum ar fi obligația de a obține în prealabil o autorizare judiciară. Fiecare măsură obligatorie din punct de vedere juridic luată de autoritatea de supraveghere ar trebui să fie prezentată în scris, să fie clară și lipsită de ambiguitate, să indice autoritatea de supraveghere care a emis măsura, data emiterii măsurii, să poarte semnătura șefului sau a unui membru al autorității de supraveghere autorizat de acesta, să furnizeze motivele pentru care s‑a luat măsura și să facă trimitere la dreptul la o cale de atac eficientă. Acest lucru nu ar trebui să excludă cerințe suplimentare în conformitate cu dreptul procedural național. Adoptarea unor astfel de decizii obligatorii din punct de vedere juridic implică faptul că se poate da naștere unui control jurisdicțional în statul membru al autorității de supraveghere care a adoptat decizia. […] (141) Orice persoană vizată ar trebui să aibă dreptul de a depune o plângere la o singură autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, precum și dreptul la o cale de atac eficientă în conformitate cu articolul 47 din [Carta drepturilor fundamentale a Uniunii Europene, denumită în continuare «carta»], în cazul în care persoana vizată consideră că drepturile sale în temeiul prezentului regulament sunt încălcate sau în cazul în care autoritatea de supraveghere nu reacționează la o plângere, respinge sau refuză parțial sau total o plângere sau nu acționează atunci când o astfel de acțiune este necesară pentru asigurarea protecției drepturilor persoanei vizate. Investigația în urma unei plângeri ar trebui să fie efectuată, sub control judiciar, în măsura în care este necesar, în funcție de caz. Autoritatea de supraveghere ar trebui să informeze persoana vizată cu privire la evoluția și soluționarea plângerii într‑un termen rezonabil. […]”

Articolul 17 din RGPD, intitulat „Dreptul la ștergerea datelor («dreptul de a fi uitat»)”, prevede la alineatul (1) litera (d): „Persoana vizată are dreptul de a obține din partea operatorului ștergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligația de a șterge datele cu caracter personal fără întârzieri nejustificate în cazul în care se aplică unul dintre următoarele motive: […] (d) datele cu caracter personal au fost prelucrate ilegal”.

Capitolul VI din RGPD, intitulat „Autorități de supraveghere independente”, cuprinde articolele 51-59 din acesta.

Articolul 57 din acest capitol, intitulat „Sarcini”, este redactat după cum urmează la alineatul (1) litera (f): „Fără a aduce atingere altor sarcini stabilite în temeiul prezentului regulament, fiecare autoritate de supraveghere, pe teritoriul său: […] (f) tratează plângerile depuse de o persoană vizată, un organism, o organizație sau o asociație în conformitate cu articolul 80 și investighează într‑o măsură adecvată obiectul plângerii și informează reclamantul cu privire la evoluția și rezultatul investigației, într‑un termen rezonabil, în special dacă este necesară efectuarea unei investigații mai amănunțite sau coordonarea cu o altă autoritate de supraveghere”.

Articolul 58 din RGPD, intitulat „Competențe”, prevede la alineatul (2): „Fiecare autoritate de supraveghere are toate următoarele competențe corective: (a) de a emite avertizări în atenția unui operator sau a unei persoane împuternicite de operator cu privire la posibilitatea ca operațiunile de prelucrare prevăzute să încalce dispozițiile prezentului regulament; (b) de a emite avertismente adresate unui operator sau unei persoane împuternicite de operator în cazul în care operațiunile de prelucrare au încălcat dispozițiile prezentului regulament; (c) de a da dispoziții operatorului sau persoanei împuternicite de operator să respecte cererile persoanei vizate de a‑și exercita drepturile în temeiul prezentului regulament; (d) de a da dispoziții operatorului sau persoanei împuternicite de operator să asigure conformitatea operațiunilor de prelucrare cu dispozițiile prezentului regulament, specificând, după caz, modalitatea și termenul‑limită pentru aceasta; (e) de a obliga operatorul să informeze persoana vizată cu privire la o încălcare a protecției datelor cu caracter personal; (f) de a impune o limitare temporară sau definitivă, inclusiv o interdicție asupra prelucrării; (g) de a dispune rectificarea sau ștergerea datelor cu caracter personal sau restricționarea prelucrării, în temeiul articolelor 16, 17 și 18, precum și notificarea acestor acțiuni destinatarilor cărora le‑au fost divulgate datele cu caracter personal, în conformitate cu articolul 17 alineatul (2) și cu articolul 19; (h) de a retrage o certificare sau de a obliga organismul de certificare să retragă o certificare eliberată în temeiul articolului 42 și 43 sau de a obliga organismul de certificare să nu elibereze o certificare în cazul în care cerințele de certificare nu sunt sau nu mai sunt îndeplinite; (i) de a impune amenzi administrative în conformitate cu articolul 83, în completarea sau în locul măsurilor menționate la prezentul alineat, în funcție de circumstanțele fiecărui caz în parte; (j) de a dispune suspendarea fluxurilor de date către un destinatar dintr‑o țară terță sau către o organizație internațională.”

Capitolul VIII din RGPD, intitulat „Căi de atac, răspundere și sancțiuni”, cuprinde articolele 77-84 din acesta.

Articolul 77 din RGPD, intitulat „Dreptul de a depune o plângere la o autoritate de supraveghere”, prevede: „(1) Fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere, în special în statul membru în care își are reședința obișnuită, în care se află locul său de muncă sau în care a avut loc presupusa încălcare, în cazul în care consideră că prelucrarea datelor cu caracter personal care o vizează încalcă prezentul regulament. (2) Autoritatea de supraveghere la care s‑a depus plângerea informează reclamantul cu privire la evoluția și rezultatul plângerii, inclusiv posibilitatea de a exercita o cale de atac judiciară în temeiul articolului 78.”

Articolul 78 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere”, prevede la alineatele (1) și (2): „(1) Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează. (2) Fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care autoritatea de supraveghere care este competentă în temeiul articolelor 55 și 56 nu tratează o plângere sau nu informează persoana vizată în termen de trei luni cu privire la progresele sau la soluționarea plângerii depuse în temeiul articolului 77.”

Articolul 79 din RGPD, intitulat „Dreptul la o cale de atac judiciară eficientă împotriva unui operator sau a unei persoane împuternicite de operator”, prevede: „(1) Fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77, fiecare persoană vizată are dreptul de a exercita o cale de atac judiciară eficientă în cazul în care consideră că drepturile de care beneficiază în temeiul prezentului regulament au fost încălcate ca urmare a prelucrării datelor sale cu caracter personal fără a se respecta prezentul regulament. (2) Acțiunile introduse împotriva unui operator sau unei persoane împuternicite de operator sunt prezentate în fața instanțelor din statul membru unde operatorul sau persoana împuternicită de operator își are un sediu. Alternativ, o astfel de acțiune poate fi prezentată în fața instanțelor din statul membru în care persoana vizată își are reședința obișnuită, cu excepția cazului în care operatorul sau persoana împuternicită de operator este o autoritate publică a unui stat membru ce acționează în exercitarea competențelor sale publice.”

Articolul 81 din RGPD, intitulat „Suspendarea procedurilor”, prevede la alineatele (2) și (3): „(2) Atunci când pe rolul unei instanțe dintr‑un alt stat membru se află o acțiune având același obiect în ceea ce privește activitățile de prelucrare ale aceluiași operator sau ale aceleași persoane împuternicite de operator, orice altă instanță competentă decât instanța sesizată inițial poate suspenda acțiunea aflată la ea pe rol. (3) În cazul în care o astfel de acțiune se judecă în primă instanță, orice instanță sesizată ulterior poate, de asemenea, la cererea uneia dintre părți, să‑și decline competența, cu condiția ca respectiva acțiune să fie de competența primei instanțe sesizate și ca dreptul aplicabil acesteia să permită conexarea acțiunilor.”

Articolul 94 alineatul (1) din Bundes‑Verfassungsgesetz (Legea constituțională federală), republicată la 2 ianuarie 1930 (BGBl. 1/1930), în versiunea aplicabilă situației de fapt din litigiul principal, prevede: „Puterea judecătorească și cea executivă sunt separate în cadrul tuturor nivelurilor de procedură. […]”

Articolul 24 din Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz – DSG [Legea federală privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal (Legea privind protecția datelor – DSG)] din 17 august 1999 (BGBl. I, 165/1999), în versiunea aplicabilă situației de fapt din litigiul principal, intitulată „Plângeri adresate autorității pentru protecția datelor”, prevede la alineatele (1) și (4): „(1) Orice persoană vizată are dreptul de a depune o plângere la Autoritatea pentru Protecția Datelor în cazul în care consideră că prelucrarea datelor cu caracter personal care o privesc constituie o încălcare a RGPD sau a articolului 1 ori a articolului 2 prima parte principală. […] (4) Dreptul la soluționarea unei plângeri se stinge în cazul în care autorul plângerii nu depune plângerea în termen de un an de la luarea la cunoștință a evenimentului care a dat naștere plângerii, dar cel târziu în termen de trei ani de la presupusa producere a evenimentului. Plângerile tardive sunt respinse. […]”

La 3 iulie 2017, Dr. G S, medic, a prezentat societății D, care exploatează o platformă de căutare a medicilor care permitea unor terți să furnizeze evaluări și relatări cu privire la medici, o cerere având ca obiect ștergerea anumitor date cu caracter personal care o privesc, întemeindu‑se pe situația juridică anterioară intrării în vigoare a RGPD. La 10 iulie 2017, societatea D a respins această cerere de ștergere a datelor.

În urma acestui refuz, în noiembrie 2017, Dr. G S a introdus o acțiune la o instanță civilă împotriva acestei societăți, invocând printre altele o încălcare a dreptului la protecția datelor cu caracter personal și solicitând ștergerea datelor publicate care o privesc. În plus, ea a solicitat obligarea acestei societăți la a se abține de la orice prelucrare ulterioară a acestor date.

La 22 iunie 2018, în urma intrării în vigoare a RGPD, Dr. G S a sesizat din nou societatea D cu o cerere prin care urmărea să obțină ștergerea datelor cu caracter personal care o priveau și care au fost publicate pe platforma exploatată de aceasta. Această cerere a fost de asemenea respinsă prin scrisoarea din 6 iulie 2018.

În aceste condiții, la 26 iulie 2018, Dr. G S a depus o plângere la DSB în temeiul articolului 77 alineatul (1) din RGPD, bazată în special pe articolul 17 din acest regulament, care consacră dreptul la ștergerea datelor. Prin această plângere, ea solicita DSB să constate încălcarea dreptului său la protecția datelor cu caracter personal, obligarea societății D să șteargă toate datele cu caracter personal care o privesc de pe platforma sa și să se abțină de la orice prelucrare ulterioară a acestora.

Prin decizia din 4 ianuarie 2019, DSB a respins această plângere pentru motivul că aceasta și acțiunea civilă introdusă în noiembrie 2017, așa cum a fost menționată la punctul 16 din prezenta hotărâre, aveau același obiect, și anume ștergerea datelor cu caracter personal referitoare la Dr. G S, astfel cum au fost publicate pe platforma menționată.

În această privință, DSB a considerat că desfășurarea paralelă sau succesivă a unei proceduri în fața unei autorități de supraveghere și a unei proceduri judiciare ar fi, din punct de vedere sistematic, contrară mecanismului de protecție juridică instituit prin RGPD. În opinia sa, într‑o asemenea situație, autoritatea de supraveghere ar trebui să se pronunțe cu privire la aceeași chestiune ca cea dedusă judecății instanței civile. Or, exercitarea concomitentă a dreptului de a depune o plângere la autoritatea de supraveghere și a dreptului de a exercita o cale de atac judiciară având același obiect nu poate fi admisă.

Dr. G S a contestat decizia DSB din 4 ianuarie 2019 la Bundesverwaltungsgericht (Tribunalul Administrativ Federal, Austria), care, prin hotărârea din 4 decembrie 2020, a respins acțiunea sa într‑un moment în care hotărârea pronunțată de instanța civilă la 23 iulie 2020, prin care s‑a respins cererea formulată de Dr. G S, nu dobândise încă un caracter definitiv.

În această privință, Bundesverwaltungsgericht (Tribunalul Administrativ Federal) a considerat că RGPD instituise în mod deliberat un sistem dublu de protecție juridică. Acesta a amintit că, întrucât acest regulament este direct aplicabil, dispozițiile naționale contrare trebuie lăsate neaplicate. Prin urmare, plângerea formulată de Dr. G S în temeiul articolului 77 alineatul (1) din regulamentul menționat nu putea fi respinsă pentru motivele reținute de DSB, astfel încât trebuia, dimpotrivă, să se confirme competența de principiu a acestei autorități de supraveghere de a se pronunța cu privire la această plângere.

În acest context, instanța amintită a considerat totuși această plângere ca fiind tardivă în măsura în care nu ar fi respectat termenul de decădere de un an prevăzut la articolul 24 alineatul (4) din Legea privind protecția datelor, în versiunea sa aplicabilă faptelor din litigiul principal. Întrucât depunerea tardivă a unei plângeri în temeiul articolului 77 alineatul (1) din RGPD conduce de asemenea la respingerea acesteia, plângerea formulată de Dr. G S ar fi fost respinsă în mod întemeiat.

Ulterior, atât Dr. G S, după ce Verfassungsgerichtshof (Curtea Constituțională, Austria) a refuzat să examineze calea sa de atac, cât și DSB au formulat recurs împotriva hotărârii Bundesverwaltungsgericht (Tribunalul Administrativ Federal) la Verwaltungsgerichtshof (Curtea Administrativă, Austria), care este instanța de trimitere.

Această instanță nu este de acord cu aprecierea Bundesverwaltungsgericht (Tribunalul Administrativ Federal) potrivit căreia plângerea formulată de Dr. G S ar fi tardivă. Aceasta intenționează totuși să examineze dacă respingerea respectivei plângeri nu putea fi întemeiată în mod legal pe alte motive. După ce a amintit jurisprudența rezultată din Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2), și din Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958), această instanță ridică în special problema motivului invocat de DSB, întemeiat pe existența unei căi de atac judiciare pendinte având același obiect ca plângerea menționată. În această privință, instanța de trimitere arată că articolul 94 alineatul (1) din Legea constituțională federală, în versiunea aplicabilă faptelor din litigiul principal, prevede că puterea judecătorească și cea executivă sunt separate în cadrul tuturor nivelurilor de procedură. Potrivit indicațiilor furnizate de instanța de trimitere, această dispoziție consacră un principiu de separare între justiție și administrație, ceea ce implică faptul că o cauză trebuie atribuită în întregime fie instanțelor, fie autorităților administrative în vederea examinării sale. Dispoziția menționată nu ar permite, așadar, instanțelor și autorităților administrative să se pronunțe în paralel sau succesiv asupra aceluiași litigiu.

În acest context, instanța menționată are îndoieli cu privire la aspectul dacă o plângere depusă la autoritatea de supraveghere în temeiul articolului 77 alineatul (1) din RGPD poate fi respinsă pentru motivul că o cale de atac judiciară eficientă, în sensul articolului 79 din acest regulament și având același obiect, a fost introdusă anterior, iar procedura aferentă acesteia este încă pendinte la instanța sesizată.

În această privință, pentru a evita existența unor decizii contradictorii, instanța de trimitere tinde să considere că, inspirându‑se din mecanismul prevăzut la articolul 81 alineatele (2) și (3) din RGPD, s‑ar putea avea în vedere să se admită că, atunci când un litigiu este pendinte în fața instanțelor civile și a autorităților administrative, organul sesizat ulterior este obligat, ca urmare a principiului anteriorității, să respingă cererea persoanei vizate.

Cu toate acestea, ea adaugă că, în cazul respingerii unei plângeri depuse în temeiul articolului 77 alineatul (1) din RGPD pentru simplul motiv că o cale de atac judiciară este pendinte, nu există încă o decizie pronunțată pe fond cu privire la pretinsa încălcare a protecției datelor cu caracter personal la momentul acestei respingeri, astfel încât riscul unor decizii contradictorii nu este încă caracterizat.

Pe baza a ceea ce precedă se ridică problema dacă trebuie să se facă distincție între ipoteza în care o cale de atac judiciară este pendinte și cea în care a fost deja pronunțată o decizie pe fond, chiar dacă aceasta nu este încă definitivă.

În aceste condiții, Verwaltungsgerichtshof (Curtea Administrativă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare: „1) Articolele 77 și 79 din [RGPD, citite] în lumina constatărilor Curții din Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2), și din Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958), trebuie interpretate în sensul că [p]osibilitatea, prevăzută în dreptul intern, de a respinge o plângere depusă la o autoritate de supraveghere în temeiul articolului 77 [din acest regulament], pentru motivul că o cale de atac judiciară în temeiul articolului 79 din [regulamentul menționat] a fost deja formulată în aceeași cauză și că această cale de atac este pendinte în fața acelei instanțe, constituie o modalitate admisibilă de articulare a acestor căi de atac (în sensul jurisprudenței menționate anterior a Curții)? 2) În cazul unui răspuns negativ la prima întrebare, [articolele 77 și 79 din RGPD, citite în lumina constatărilor Curții din Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2), și din Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie) (C‑26/22 și C‑64/22, EU:C:2023:958), trebuie interpretate] în sensul că posibilitatea prevăzută în dreptul intern de a respinge o plângere depusă la o autoritate de supraveghere în temeiul articolului 77 din RGPD, pentru motivul că o decizie pe fond (chiar dacă nu este încă definitivă) a fost deja pronunțată în procedura pendinte în aceeași cauză cu privire la calea de atac judiciară prevăzută la articolul 79 din [acest regulament] […] constituie o modalitate admisibilă de articulare a acestor căi de atac (în sensul jurisprudenței menționate anterior a Curții)?”

Prin intermediul celor două întrebări, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 77 alineatul (1) și articolul 79 alineatul (1) din RGPD trebuie interpretate în sensul că se opun ca o autoritate de supraveghere sesizată cu o plângere în temeiul acestui articol 77 alineatul (1) să o poată respinge pentru simplul motiv că o cale de atac judiciară, introdusă în conformitate cu acest articol 79 alineatul (1) și având același obiect, a fost formulată anterior și în condițiile în care decizia pronunțată în cadrul acestei căi de atac nu a dobândit încă un caracter definitiv.

Cu titlu introductiv, trebuie amintit că, în conformitate cu o jurisprudență constantă, în vederea interpretării unei dispoziții de drept al Uniunii, trebuie să se țină seama nu numai de termenii acesteia, ci și de contextul său și de obiectivele urmărite de reglementarea din care face parte această dispoziție (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 32).

În primul rând, trebuie arătat că articolele 77 și 79 din RGPD fac parte din capitolul VIII din acest regulament, care reglementează printre altele căile de atac care permit protejarea drepturilor persoanei vizate atunci când datele cu caracter personal care o privesc au făcut obiectul unei prelucrări pretins contrare dispozițiilor regulamentului menționat. Protecția acestor drepturi poate fi astfel solicitată, printre altele, direct de persoana vizată, în temeiul articolelor 77-79 din același regulament (a se vedea în acest sens Hotărârea din 4 octombrie 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punctul 47 și jurisprudența citată).

În această privință, în legătură cu modul de redactare a acestor articole 77-79, trebuie amintit, mai întâi, că articolul 77 alineatul (1) din RGPD prevede că, fără a aduce atingere oricăror alte căi de atac administrative sau judiciare, orice persoană vizată are dreptul de a depune o plângere la o autoritate de supraveghere. Apoi, potrivit articolului 78 alineatul (1) din acest regulament, fiecare persoană fizică sau juridică are dreptul de a exercita o cale de atac judiciară eficientă împotriva unei decizii obligatorii din punct de vedere juridic a unei autorități de supraveghere care o vizează, fără a aduce atingere oricăror alte căi de atac administrative sau nejudiciare. În sfârșit, articolul 79 alineatul (1) din regulamentul menționat garantează fiecărei persoane vizate dreptul la o cale de atac judiciară eficientă, fără a aduce atingere vreunei căi de atac administrative sau nejudiciare disponibile, inclusiv dreptului de a depune o plângere la o autoritate de supraveghere în temeiul articolului 77 alineatul (1) din același regulament (Hotărârea din 4 octombrie 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punctul 48 și jurisprudența citată).

Curtea a statuat deja că aceste dispoziții din RGPD oferă diferite căi de atac persoanelor care invocă o încălcare a acestui regulament, fiind de la sine înțeles că fiecare dintre căile de atac respective trebuie să poată fi exercitată „fără a aduce atingere” celorlalte căi de atac (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 34).

Rezultă de aici, după cum a arătat domnul avocat general la punctul 46 din concluzii, că RGPD nu prevede o competență prioritară sau exclusivă și nici nu instituie vreo normă de prioritate a aprecierii efectuate de autoritatea sau de instanțele care sunt vizate de acesta în ceea ce privește existența unei încălcări a drepturilor conferite de acest regulament. Astfel, Curtea a apreciat deja că respectiva cale de atac prevăzută la articolul 78 alineatul (1) din acesta din urmă, al cărei obiect este examinarea legalității deciziei unei autorități de supraveghere adoptate în temeiul articolului 77 din regulamentul menționat, și cea prevăzută la articolul 79 alineatul (1) din același regulament pot fi de asemenea exercitate în mod concomitent și independent (a se vedea în acest sens Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 35).

În al doilea rând, în ceea ce privește contextul în care se înscriu dispozițiile menționate din RGPD, trebuie amintit că, în temeiul articolului 57 alineatul (1) litera (f) din acest regulament, fiecare autoritate de supraveghere este obligată, pe teritoriul său, să trateze plângerile pe care orice persoană, conform articolului 77 alineatul (1) din regulamentul menționat, are dreptul de a le depune în cazul în care consideră că o prelucrare a datelor cu caracter personal care o privește constituie o încălcare a aceluiași regulament, să investigheze într‑o măsură adecvată obiectul acestora și să informeze autorul plângerii cu privire la evoluția și rezultatul investigației într‑un termen rezonabil. Autoritatea de supraveghere trebuie astfel să prelucreze o asemenea plângere cu toată diligența necesară [Hotărârea din 26 septembrie 2024, Land Hessen (Obligația de a acționa a autorității pentru protecția datelor), C‑768/21, EU:C:2024:785, punctul 32 și jurisprudența citată]. După cum confirmă considerentul (129) al RGPD, această autoritate joacă astfel un rol indispensabil în sistemul de protecție a datelor cu caracter personal, contribuind la aplicarea coerentă a regulamentului în cauză în statele membre.

În al treilea rând, această interpretare contextuală este confirmată de obiectivele urmărite de RGPD. În această privință, este necesar să se arate că alegerea legiuitorului Uniunii de a acorda persoanelor vizate de prelucrarea datelor cu caracter personal posibilitatea de a exercita simultan și în mod independent căile de atac prevăzute la articolul 77 alineatul (1) și la articolul 79 alineatul (1) din acest regulament este conformă cu obiectivul urmărit de regulamentul menționat, care constă, după cum reiese din considerentul (10) al acestuia, în asigurarea unui nivel ridicat de protecție a persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal în cadrul Uniunii. Considerentul (11) al aceluiași regulament enunță, în plus, că protecția efectivă a acestor date necesită consolidarea drepturilor persoanelor vizate.

Curtea a statuat deja că punerea la dispoziție a mai multor căi de atac consolidează obiectivul enunțat în considerentul (141) al RGPD de a garanta oricărei persoane vizate care apreciază că îi sunt încălcate drepturile ce îi sunt conferite de acest regulament că dispune de dreptul la o cale de atac eficientă în conformitate cu articolul 47 din cartă (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 44).

Curtea a subliniat de asemenea că alegerea făcută de legiuitorul Uniunii de a lăsa persoanelor vizate posibilitatea de a exercita în mod concurent și independent căile de atac prevăzute, pe de o parte, la articolul 77 alineatul (1) și la articolul 78 alineatul (1) din RGPD și, pe de altă parte, la articolul 79 alineatul (1) din acest regulament se înscrie în obiectivul regulamentului menționat (a se vedea în acest sens Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 42).

Cu toate acestea, în lipsa unei reglementări a Uniunii în materie, revine fiecărui stat membru, în temeiul principiului autonomiei procedurale a statelor membre, atribuția de a stabili modalitățile procedurii administrative și pe cele ale procedurii judiciare destinate să asigure un nivel ridicat de protecție a drepturilor conferite justițiabililor de dreptul Uniunii (Hotărârea din 12 ianuarie 2023, Nemzeti Fogyasztóvédelmi Hatóság, C‑132/21, EU:C:2023:2, punctul 45).

Prin urmare, revine instanței de trimitere sarcina de a stabili, în temeiul dispozițiilor procedurale naționale, modul în care trebuie puse în aplicare căile de atac prevăzute la articolele 77-79 din RGPD (a se vedea în acest sens Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 46).

În special, modalitățile de punere în aplicare a căilor de atac concurente și independente nu trebuie să repună în discuție efectul util și protecția efectivă a drepturilor garantate de acest regulament (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 47).

În această privință, aceste modalități nu trebuie să fie mai puțin favorabile decât cele care privesc unele acțiuni similare prevăzute pentru protecția drepturilor întemeiate pe ordinea juridică internă (principiul echivalenței) și nici să facă practic imposibilă sau excesiv de dificilă exercitarea drepturilor conferite de ordinea juridică a Uniunii (principiul efectivității) (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 48).

În acest context, Curtea a subliniat că, atunci când statele membre definesc modalitățile procedurale ale căilor de atac judiciare menite să asigure protecția drepturilor conferite de RGPD, ele trebuie să garanteze respectarea dreptului la o cale de atac efectivă și de acces la o instanță judecătorească imparțială, consacrat la articolul 47 din cartă, care constituie o reafirmare a principiului protecției jurisdicționale efective (Hotărârea din 12 ianuarie 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, punctul 50).

În speță, din cererea de decizie preliminară reiese că sistemul căilor de atac prevăzut de dreptul austriac se opune ca instanțele și autoritățile administrative să se pronunțe în paralel sau succesiv cu privire la același litigiu. În acest context, se ridică problema dacă o plângere depusă la autoritatea de supraveghere în temeiul articolului 77 alineatul (1) din RGPD poate fi respinsă pentru simplul motiv că o cale de atac judiciară, întemeiată pe articolul 79 din acest regulament și având același obiect, a fost introdusă anterior, iar procedura aferentă acesteia este încă pendinte.

Potrivit instanței de trimitere, o astfel de articulare a căilor de atac ar contribui la evitarea adoptării unor decizii contradictorii în privința aceleiași cereri. Cu toate acestea, ea subliniază că, atunci când DSB respinge o plângere depusă în temeiul articolului 77 alineatul (1) din RGPD pentru motivul că o cale de atac judiciară formulată în conformitate cu articolul 79 alineatul (1) din acest regulament este pendinte în fața instanței sesizate, această autoritate nu poate fi asigurată că o decizie pe fond va fi pronunțată efectiv în cadrul acestei căi de atac. Aceasta ar fi situația în special dacă respectiva cale de atac ar fi respinsă ca inadmisibilă, fără a se statua pe fond.

În această privință, trebuie amintit că, după cum se menționează la punctul 37 din prezenta hotărâre, în temeiul articolului 57 alineatul (1) litera (f) din RGPD, fiecare autoritate de supraveghere este obligată, pe teritoriul său, să trateze plângerile pe care orice persoană, conform articolului 77 alineatul (1) din acest regulament, are dreptul de a le depune în cazul în care consideră că o prelucrare a datelor cu caracter personal care o vizează încalcă regulamentul menționat și să investigheze într‑o măsură adecvată obiectul acestora. Autoritatea de supraveghere trebuie să examineze o astfel de plângere cu toată diligența necesară [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 56, precum și jurisprudența citată].

În cadrul acestei examinări, autoritatea menționată dispune, în ceea ce privește competențele corective enumerate la articolul 58 alineatul (2) din RGPD, de o marjă de apreciere în ceea ce privește alegerea mijloacelor adecvate și necesare [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 68, precum și jurisprudența citată].

În această privință, Curtea a statuat că procedura de plângere, care nu se aseamănă cu cea a unei petiții, este concepută ca un mecanism apt să protejeze în mod eficient drepturile și interesele persoanelor vizate [Hotărârea din 7 decembrie 2023, SCHUFA Holding (Liberare de restul de datorie), C‑26/22 și C‑64/22, EU:C:2023:958, punctul 58].

Astfel, autoritatea de supraveghere este obligată să intervină atunci când exercitarea uneia sau a mai multe dintre competențele corective prevăzute la articolul 58 alineatul (2) din RGPD este adecvată, necesară și proporțională pentru a remedia deficiența constatată și pentru a asigura respectarea deplină a acestui regulament (a se vedea în acest sens Hotărârea din 30 aprilie 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 și C‑332/23, EU:C:2025:303, punctul 132).

Desigur, această obligație de a interveni impune ca, atunci când autoritatea de supraveghere este sesizată cu o plângere în temeiul articolului 77 alineatul (1) din RGPD și este informată cu privire la existența unei proceduri judiciare inițiate în temeiul articolului 79 alineatul (1) din acest regulament și având același obiect, să țină seama în mod corespunzător, în cadrul examinării acestei plângeri, de decizia prin care se va finaliza definitiv această procedură.

Cu toate acestea, ar fi contrar aceleiași obligații ca o persoană vizată de prelucrarea datelor cu caracter personal să fie privată de beneficiul unui astfel de mecanism de protecție, permițând autorității de supraveghere să respingă plângerea sa pentru simplul motiv că o cale de atac judiciară, introdusă în conformitate cu articolul 79 alineatul (1) din RGPD și având același obiect, a fost formulată anterior și în condițiile în care decizia pronunțată în cadrul acestei căi de atac nu a dobândit încă un caracter definitiv.

În acest context, în ceea ce privește riscul ca decizii contradictorii să fie adoptate în privința aceleiași prelucrări a datelor cu caracter personal în același stat membru, după cum a arătat în esență domnul avocat general la punctele 55 și 56 din concluzii, acest stat membru ar putea, într‑o situație precum cea din litigiul principal, să ia în considerare, de exemplu, instituirea unui mecanism de suspendare în temeiul căruia autoritatea de supraveghere, sesizată cu o plângere în temeiul articolului 77 alineatul (1) din RGPD, ar avea posibilitatea sau ar fi ținută să suspende procedura pendinte în fața sa atunci când o cale de atac judiciară, exercitată în conformitate cu articolul 79 alineatul (1) din acest regulament și având același obiect, a fost formulată anterior. O astfel de suspendare ar putea fi menținută până la pronunțarea unei prime hotărâri date în cadrul acestei căi de atac și, dacă este cazul, în cazul unei căi de atac formulate împotriva acestei hotărâri, până când o decizie judecătorească pune capăt definitiv litigiului în cauză.

În această privință, trebuie arătat că eventuala suspendare a examinării unei plângeri depuse în temeiul articolului 77 alineatul (1) din regulamentul menționat la autoritatea de supraveghere în așteptarea unei decizii judecătorești este conformă atât cu cerința de a garanta dreptul la o cale de atac judiciară eficientă, cât și cu cerința de a proteja efectiv drepturile garantate de RGPD și de a evita adoptarea unor decizii contradictorii susceptibile să aducă atingere securității juridice.

În schimb, atunci când autoritatea de supraveghere respinge o plângere pentru simplul motiv că o cale de atac judiciară introdusă în temeiul articolului 79 alineatul (1) din acest regulament este pendinte, pe de o parte, astfel cum se menționează la punctul 47 din prezenta hotărâre, această autoritate nu poate avea certitudinea că o decizie pe fond va fi pronunțată efectiv în cadrul acestei căi de atac judiciare. Pe de altă parte, introducerea unei noi plângeri se poate dovedi imposibilă în ipoteza în care dreptul național o condiționează de respectarea unui termen de admisibilitate, cum este cazul în speță, iar acest termen a expirat deja. Prin urmare, nu se poate exclude ca persoana vizată de prelucrarea datelor cu caracter personal să fie privată de orice protecție efectivă atunci când calea sa de atac judiciară este respinsă pentru un motiv procedural fără a se statua pe fond sau dacă dorește să renunțe la calea sa de atac judiciară.

Prin urmare, după cum a arătat în esență domnul avocat general la punctul 57 din concluzii, respingerea unei plângeri depuse la autoritatea de supraveghere într‑o situație precum cea din litigiul principal ar fi contrară principiului efectivității, din moment ce această modalitate de articulare a căilor de atac este susceptibilă să compromită protecția efectivă a drepturilor garantate de RGPD.

Revine, așadar, instanței de trimitere sarcina de a verifica dacă dispozițiile dreptului național în discuție în litigiul principal sunt de natură să asigure protecția efectivă a drepturilor garantate de RGPD, în special în ceea ce privește articularea căilor de atac concurente și independente aflate la dispoziția persoanelor vizate de prelucrarea datelor cu caracter personal.

Având în vedere considerațiile care precedă, trebuie să se răspundă la prima și la a doua întrebare că articolul 77 alineatul (1) și articolul 79 alineatul (1) din RGPD trebuie interpretate în sensul că se opun ca o autoritate de supraveghere sesizată cu o plângere în temeiul acestui articol 77 alineatul (1) să o poată respinge pentru simplul motiv că o cale de atac judiciară, introdusă în conformitate cu acest articol 79 alineatul (1) și având același obiect, a fost formulată anterior și în condițiile în care decizia pronunțată în cadrul acestei căi de atac nu a dobândit încă un caracter definitiv.

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

HOTĂRÂREA CURȚII (Camera întâi)

18 iunie 2026 ( *1 )

Hotărâre

Cadrul juridic

Dreptul Uniunii

Dreptul austriac

Litigiul principal și întrebările preliminare

Cu privire la întrebările preliminare

Cu privire la cheltuielile de judecată