62021CJ0807_RES
C‑807/21. sz. ügy
Deutsche Wohnen SE
kontra
Staatsanwaltschaft Berlin
(a Kammergericht Berlin [Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (nagytanács), 2023. december 5.
„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – A 4. cikk 7. pontja – Az »adatkezelő« fogalma – Az 58. cikk (2) bekezdése – A felügyeleti hatóságok korrekciós intézkedések előírására vonatkozó hatásköre – 83. cikk – Közigazgatási bírságok jogi személlyel szembeni kiszabása – Feltételek – A tagállamok mérlegelési mozgástere – A jogsértés szándékos vagy gondatlan jellegének követelménye”
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Közigazgatási bírságok kiszabása – Feltételek – A tagállamok arra vonatkozó mérlegelési mozgásterének hiánya, hogy meghatározzák a közigazgatási bírság adatkezelővel szembeni kiszabására vonatkozó anyagi jogi feltételeket – Az EUMSZ 101. és az EUMSZ 102. cikk értelmében vett vállalkozás fogalmának a bírság kiszámítására korlátozódó relevanciája – Nemzeti szabályozás, amely a valamely jogi személlyel mint adatkezelővel szembeni bírság kiszabásának lehetőségét attól a feltételtől teszi függővé, hogy a szóban forgó jogsértést ezt megelőzően betudják egy azonosított természetes személynek – Megengedhetetlenség
(EUMSZ 101. cikk, EUMSZ 102. cikk, EUMSZ 288. cikk, második bekezdés; 2016/679 európai parlamenti és tanácsi rendelet, (10), (11), (74), (129) és (150) preambulumbekezdés, 4. cikk, 7) pont, 58. cikk, (2) és (4) bekezdés és 83. cikk)
(lásd: 38., 43–60. pont és a rendelkező rész 1) pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az adatkezelő fogalma – Jogi személy – Bennfoglaltság – Feltétel – Az adatkezelés céljainak és eszközeinek meghatározásában való tényleges részvétel
(2016/679 európai parlamenti és tanácsi rendelet, 4. cikk, 7) pont)
(lásd: 39–42. pont)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Közigazgatási bírságok kiszabása – Feltételek – A tagállamok arra vonatkozó mérlegelési mozgásterének hiánya, hogy meghatározzák a közigazgatási bírság adatkezelővel szembeni kiszabására vonatkozó anyagi jogi feltételeket – Az adatkezelő által szándékosan vagy gondatlanságból elkövetett jogsértés követelménye
(2016/679 európai parlamenti és tanácsi irányelv, (9), (13) és (148) preambulumbekezdés, 58. cikk, (2) bekezdés és 83. cikk)
(lásd: 65–78., 86. pont és a rendelkező rész 2) pontja)
Összefoglalás
A Deutsche Wohnen SE (a továbbiakban: DW) olyan ingatlanvállalkozás, amely közvetve, különböző társaságokban fennálló részesedések révén számos kereskedelmi és lakóegységgel rendelkezik. Üzleti tevékenysége keretében ezen egységek bérlőinek személyes adatait kezeli.
A 2017‑ben és 2019‑ben végzett két ellenőrzést követően a Berliner Beauftragte für den Datenschutz (berlini felügyeleti hatóság, Németország) megállapította, hogy a DW több alkalommal is megsértette a GDPR‑t. (
1
)2019. október 30‑i határozatával e felügyeleti hatóság e jogcímen közigazgatási bírságokat szabott ki a DW‑vel szemben.
A DW e határozattal szemben keresetet nyújtott be a Landgericht Berlinhez (berlini regionális bíróság, Németország), amely az eljárást további intézkedés nélkül megszüntette. E bíróság megállapította, hogy a német jogszabályok (
2
) értelmében szabálysértés csak természetes személlyel szemben állapítható meg, jogi személlyel szemben azonban nem. Ezenkívül, ha megállapítást nyer valamely jogi személy felelőssége, kizárólag a szervei tagjainak vagy a képviselőinek cselekményei tudhatók be neki. A Staatsanwaltschaft Berlin (berlini ügyészség, Németország) jogorvoslattal élt e határozattal szemben a Kammergericht Berlin (berlini regionális felsőbíróság, Németország) előtt. Ebben az összefüggésben e bíróság előzetes döntéshozatal iránti kérelemmel fordult a Bírósághoz a GDPR (
3
) értelmezésével kapcsolatban.
Ítéletében a nagytanácsban eljáró Bíróság arról foglal állást, hogy milyen feltételek mellett lehet a GDPR alapján közigazgatási bírságokat kiszabni. Először is azt a kérdést vizsgálja, hogy a tagállamok a közigazgatási bírság jogi személlyel szembeni kiszabását függővé tehetik‑e attól a feltételtől, hogy e rendelet megsértését ezt megelőzően betudják egy azonosított természetes személynek. Másodszor azt a kérdést vizsgálja, hogy a GDPR rendelkezéseinek szankcionált megsértését szándékosan vagy gondatlanságból kell‑e elkövetni. (
4
)
A Bíróság álláspontja
Ami a GDPR alapján közigazgatási bírság jogi személlyel szembeni kiszabását illeti, a Bíróság mindenekelőtt megállapítja, hogy a GDPR‑ben meghatározott elvek, tilalmak és kötelezettségek címzettjei különösen az „adatkezelők”, amelyek felelőssége kiterjed a személyes adatok minden olyan kezelésére, amelyet ők maguk végeznek, vagy amelyeket az ő nevükben végeznek. A GDPR rendelkezéseinek megsértése esetén ez a felelősség képezi az alapját annak, hogy e rendelet 83. cikke alapján az adatkezelővel szemben közigazgatási bírságot szabjanak ki. Ugyanakkor az uniós jogalkotó az ilyen felelősség meghatározása szempontjából nem tett különbséget a természetes és a jogi személyek között, mivel e felelősségnek kizárólag az a feltétele, hogy a természetes és jogi személyek önállóan vagy másokkal együtt meghatározzák a személyes adatok kezelésének céljait és eszközeit. (
5
) Ennélfogva főszabály szerint az e feltételnek megfelelő valamennyi személy felelősséggel tartozik többek között a GDPR általa vagy a nevében elkövetett minden megsértéséért. Ez magában foglalja egyrészt azt, hogy a jogi személyek nemcsak a képviselőik, igazgatóik vagy vezetőik által elkövetett jogsértésekért felelősek, hanem az e jogi személyek kereskedelmi tevékenysége keretében és azok nevében eljáró bármely más személy által elkövetett jogsértésekért is. Másrészt, a GDPR‑ben az ilyen jogsértések esetére előírt közigazgatási bírságoknak közvetlenül a jogi személyekkel szemben kiszabhatóknak kell lenniük, amennyiben e jogi személyek adatkezelőknek minősíthetők.
Ezt követően a Bíróság megjegyzi, hogy a GDPR egyetlen rendelkezése sem teszi lehetővé annak megállapítását, hogy a közigazgatási bírság valamely jogi személlyel mint adatkezelővel szemben történő kiszabása annak előzetes megállapításától függene, hogy e jogsértést valamely azonosított természetes személy követte el. Ezenkívül az uniós jogalkotó e tekintetben nem hagyott mérlegelési mozgásteret a tagállamok számára. Az, hogy a GDPR lehetőséget biztosít a tagállamoknak arra, hogy követelményeket írjanak elő a felügyeleti hatóságok által a közigazgatási bírság kiszabása érdekében követendő eljárásra vonatkozóan, (
6
) egyáltalán nem jelenti azt, hogy további anyagi jogi feltételeket is előírhatnának a GDPR‑ben meghatározott feltételekhez képest.
Ebben az összefüggésben a Bíróság pontosítja, hogy annak lehetővé tétele, hogy a tagállamok egyoldalúan, továbbá a közigazgatási bírságnak a GDPR 83. cikke alapján valamely jogi személy adatkezelővel szembeni kiszabásához szükséges feltételként előírják, hogy a szóban forgó jogsértést ezt megelőzően betudják egy azonosított természetes személynek, vagy az betudható legyen neki, ellentétes lenne a GDPR céljával. Ezenkívül az ilyen további követelmény végső soron azzal a kockázattal járna, hogy gyengítené a jogi személyekkel mint adatkezelőkkel szemben kiszabott közigazgatási bírságok hatékonyságát és elrettentő hatását.
A Bíróság végül hangsúlyozza, hogy a „vállalkozásnak” az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett fogalma (
7
) nem befolyásolja azt a kérdést, hogy a GDPR alapján ki lehet‑e szabni közigazgatási bírságot egy jogi személy adatkezelővel szemben, és ha igen, milyen feltételek mellett; e fogalom csak az ilyen bírság összegének meghatározása szempontjából releváns.
Így a Bíróság megállapítja, hogy a GDPR‑rel (
8
) ellentétes az olyan nemzeti szabályozás, amelynek értelmében valamely jogi személlyel mint adatkezelővel szemben csak akkor lehet közigazgatási bírságot kiszabni e rendelet megsértése (
9
) miatt, ha e jogsértést ezt megelőzően betudták egy azonosított természetes személynek.
Azon kérdést illetően, hogy a tagállamok előírhatják‑e közigazgatási bírság kiszabását akkor is, ha a szankcionált jogsértést nem szándékosan vagy gondatlanságból követték el, a Bíróság mindenekelőtt emlékeztet arra, hogy azok az anyagi jogi feltételek, amelyeket a felügyeleti hatóságnak tiszteletben kell tartania, amikor ilyen bírságot szab ki az adatkezelővel szemben, kizárólag az uniós jog hatálya alá tartoznak, a tagállamok pedig e tekintetben nem rendelkeznek semmilyen mérlegelési mozgástérrel.
E feltételeket illetően a Bíróság megjegyzi, hogy a GDPR‑ben felsorolt azon tényezők között, amelyek alapján a felügyeleti hatóság ilyen bírságot szab ki, szerepel „a jogsértés szándékos vagy gondatlan jellege”. (
10
) Ezzel szemben e tényezők egyike sem utal bármiféle olyan lehetőségre, hogy az adatkezelő vétkes magatartása hiányában megállapítható lenne az adatkezelő felelőssége. Így a GDPR rendelkezéseinek kizárólag olyan megsértései vezethetnek az adatkezelővel szemben e rendelet 83. cikke alapján közigazgatási bírság kiszabásához, amelyeket az adatkezelő szándékosan vagy gondatlanságból követett el.
A Bíróság hozzáteszi, hogy ezt az értelmezést a GDPR általános felépítése és célja is alátámasztja. Ebben az összefüggésben a Bíróság pontosítja, hogy a GDPR szerinti olyan szankciórendszer létezése, amely lehetővé teszi, hogy amennyiben azt az egyes ügyek sajátos körülményei indokolják, közigazgatási bírságot szabjanak ki, az adatkezelők és az adatfeldolgozók számára ösztönzést jelent az e rendeletnek való megfelelésre, továbbá hogy visszatartó hatásuk révén a közigazgatási bírságok hozzájárulnak az érintett személyek védelmének megerősítéséhez. Ugyanakkor az uniós jogalkotó nem tartotta szükségesnek, hogy vétkesség hiányában is közigazgatási bírságok kiszabását írja elő. Figyelemmel arra, hogy a GDPR egyszerre irányul egyenértékű és egységes védelmi szintre, továbbá hogy azt e célból az Unió egész területén következetesen kell alkalmazni, ellentétes lenne e céllal, ha lehetővé tennék a tagállamok számára, hogy ilyen bírságkiszabási rendszert írjanak elő.
Következésképpen a Bíróság megállapítja, hogy a GDPR 83. cikke értelmében közigazgatási bírság csak akkor szabható ki, ha megállapítást nyer, hogy az adatkezelő, amely egyszerre jogi személy és vállalkozás is, szándékosan vagy gondatlanságból sértette meg az e rendeletben foglalt szabályokat.
(
1
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 4. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR).
(
2
)	Az 1968. május 24‑i Gesetz über Ordnungswidrigkeiten (a szabálysértésekről szóló törvény; BGBl. 1968. I., 481. o.), az 1987. február 19‑i közlemény szerinti változatában (BGBl. 1987. I., 602. o.), ahogyan azt a 2020. június 19‑i törvény (BGBl. 2020. I, 1350. o.) kiigazította.
(
3
)	A GDPR 58. cikkének (2) bekezdése és 83. cikke.
(
4
)	Ezzel kapcsolatban lásd továbbá az ugyanezen a napon hozott Nacionalinis visuomenės sveikatos centras ítéletet (C‑683/21).
(
5
)	A GDPR 4. cikkének 7) pontja szerint.
(
6
)	Mint az kitűnik a GDPR (129) preambulumbekezdésével összefüggésben értelmezett 58. cikkének (4) bekezdéséből és 83. cikkének (8) bekezdéséből.
(
7
)	Amelyre a GDPR (150) preambulumbekezdése utal.
(
8
)	A GDPR 58. cikke (2) bekezdésének i) pontja és 83. cikkének (1)–(6) bekezdése.
(
9
)	A GDPR 83. cikkének (4)–(6) bekezdésében említett jogsértésről van szó.
(
10
)	A GDPR 83. cikke (2) bekezdésének b) pontja.