62021CJ0807_RES
Sag C-807/21
Deutsche Wohnen SE
mod
Staatsanwaltschaft Berlin
(anmodning om præjudiciel afgørelse indgivet af Kammergericht Berlin)
Domstolens dom (Store Afdeling) af 5. december 2023
»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 4, nr. 7) – begrebet »dataansvarlig« – artikel 58, stk. 2 – tilsynsmyndighedernes beføjelser til at pålægge korrigerende foranstaltninger – artikel 83 – muligheden for at pålægge en juridisk person administrative bøder – betingelser – medlemsstaternes manøvremargen – kravet om, at overtrædelsen skal være forsætlig eller uagtsom«
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – pålæggelse af administrative bøder – betingelser – ingen manøvremargen for medlemsstaterne til at fastsætte de materielle betingelser for, at en dataansvarlig kan pålægges en administrativ bøde – relevansen af begrebet virksomhed som omhandlet i artikel 101 TEUF og 102 TEUF begrænset til beregningen af bøden – national lovgivning, hvorefter muligheden for at pålægge en juridisk person en bøde i dennes egenskab af dataansvarlig er betinget af, at den omhandlede overtrædelse forudgående er tilregnet en identificeret fysisk person – ikke tilladt
[Art. 101 TEUF og 102 TEUF samt art. 288, stk. 2, TEUF; Europa-Parlamentets og Rådets forordning 2016/679, 10., 11., 74., 129. og 150. betragtning samt art. 4, nr. 7), art. 58, stk. 2 og 4, og art. 83]
(jf. præmis 38 og 43-60 samt domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – begrebet dataansvarlig – juridisk person – omfattet – betingelse – faktisk deltagelse i fastlæggelsen af formålene med og hjælpemidlerne til behandlingen
[Europa-Parlamentets og Rådets forordning 2016/679, art. 4, nr. 7)]
(jf. præmis 39-42)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – pålæggelse af administrative bøder – betingelser – ingen manøvremargen for medlemsstaterne til at fastsætte de materielle betingelser for, at en dataansvarlig kan pålægges en administrativ bøde – krav om, at en overtrædelse er begået forsætligt eller uagtsomt af den dataansvarlige
(Europa-Parlamentets og Rådets forordning 2016/679, 9., 13. og 148. betragtning samt art. 58, stk. 2, og art. 83)
(jf. præmis 65-78 og 86 samt domskonkl. 2)
Resumé
Deutsche Wohnen SE (herefter »DW«) er et ejendomsselskab, der indirekte gennem aktier i forskellige selskaber ejer talrige bolig- og erhvervsenheder. Selskabet behandler i forbindelse med sine forretningsaktiviteter personoplysninger om lejerne af disse enheder.
I forbindelse med to kontroller foretaget i 2017 og 2019 konstaterede Berliner Beauftragte für den Datenschutz (tilsynsmyndigheden i Berlin, Tyskland) en række overtrædelser af databeskyttelsesforordningen (
1
) begået af DW. Ved afgørelse af 30. oktober 2019 pålagde denne tilsynsmyndighed DW administrative bøder for disse overtrædelser.
DW anlagde sag til prøvelse af denne afgørelse ved Landgericht Berlin (den regionale ret i første instans i Berlin, Tyskland), der henlagde sagen. Denne ret anførte, at i henhold til tysk lovgivning (
2
) kan en administrativ forseelse kun fastslås i forhold til en fysisk person og ikke i forhold til en juridisk person. Såfremt en juridisk person pålægges et ansvar, kan denne person desuden alene tilregnes handlinger, der er begået af medlemmer af dens organer eller af dens repræsentanter. Staatsanwaltschaft Berlin (anklagemyndigheden i Berlin, Tyskland) iværksatte appel til prøvelse af denne afgørelse ved Kammergericht Berlin (den regionale appeldomstol i Berlin, Tyskland). I forbindelse hermed anmodede denne appeldomstol Domstolen om en præjudiciel afgørelse vedrørende fortolkningen af databeskyttelsesforordningen (
3
).
Domstolen (Store Afdeling) udtalte sig i sin dom om betingelserne for pålæggelse af administrative bøder i henhold til databeskyttelsesforordningen. For det første undersøgte den spørgsmålet om, hvorvidt medlemsstaterne kan betinge pålæggelse af en administrativ bøde over for juridisk person af, at overtrædelsen af denne forordning forudgående er tilregnet en identificeret fysisk person. For det andet behandlede den spørgsmålet om, hvorvidt den overtrædelse af databeskyttelsesforordningens bestemmelser, der sanktioneres, skal være begået forsætligt eller uagtsomt (
4
).
Domstolens bemærkninger
Hvad angår muligheden for at pålægge en juridisk person en administrativ bøde i henhold til databeskyttelsesforordningen anførte Domstolen indledningsvis, at de principper, forbud og forpligtelser, der er fastsat i databeskyttelsesforordningen, især er rettet mod de »dataansvarlige«, hvis ansvar omfatter enhver behandling af personoplysninger, der foretages af de dataansvarlige eller på de dataansvarliges vegne. Det er dette ansvar, der i tilfælde af overtrædelse af databeskyttelsesforordningens bestemmelser udgør grundlaget for at pålægge den dataansvarlige en administrativ bøde i henhold til forordningens artikel 83. Imidlertid har EU-lovgiver med henblik på fastlæggelse af et sådant ansvar ikke foretaget en sondring mellem fysiske og juridiske personer, idet dette ansvar er underlagt den ene betingelse, at de fysiske eller juridiske personer alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger (
5
). Følgelig er enhver person, der opfylder denne betingelse, principielt bl.a. ansvarlig for enhver overtrædelse af databeskyttelsesforordningen, som er begået af den pågældende selv eller på dennes vegne. Dette indebærer for det første, at juridiske personer ikke alene er ansvarlige for overtrædelser begået af deres repræsentanter, direktører eller forvaltere, men ligeledes af enhver anden person, der handler inden for rammerne af disse juridiske personers forretningsaktivitet og på deres vegne. For det andet skal de administrative bøder, der er fastsat i databeskyttelsesforordningen, i tilfælde af sådanne overtrædelser kunne pålægges juridiske personer direkte, når disse kan kvalificeres som ansvarlige for behandlingen.
Dernæst bemærkede Domstolen, at der ikke er nogen bestemmelse i databeskyttelsesforordningen, der gør det muligt at antage, at muligheden for at pålægge en juridisk person en administrativ bøde som dataansvarlig er betinget af en forudgående konstatering af, at denne overtrædelse er blevet begået af en identificeret fysisk person. Desuden har EU-lovgiver ikke overladt medlemsstaterne en skønsmargen i denne henseende. Det forhold, at databeskyttelsesforordningen giver medlemsstaterne mulighed for at fastsætte krav vedrørende den procedure, som tilsynsmyndighederne skal følge ved pålæggelse af en administrativ bøde (
6
), betyder på ingen måde, at de også kan fastsætte yderligere materielle betingelser ud over dem, der er fastsat i databeskyttelsesforordningen.
Domstolen præciserede i denne forbindelse, at det ville være i strid med formålet med databeskyttelsesforordningen, såfremt medlemsstaterne ensidigt og som forudsætning for at kunne pålægge en dataansvarlig, der er en juridisk person, en administrativ bøde i henhold til forordningens artikel 83, kunne kræve, at den pågældende overtrædelse forudgående er tilregnet eller kan tilregnes en identificeret fysisk person. Desuden ville et sådant yderligere krav endelig risikere at svække effektiviteten og den afskrækkende virkning af de administrative bøder, der pålægges juridiske personer i deres egenskab af dataansvarlige.
Endelig fremhævede Domstolen, at begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF (
7
) ikke har betydning for spørgsmålet om, hvorvidt og på hvilke betingelser en administrativ bøde kan pålægges en dataansvarlig, der er en juridisk person, men kun er relevant ved fastsættelsen af størrelsen af en sådan bøde.
Domstolen konkluderede således, at databeskyttelsesforordningen (
8
) er til hinder for en national lovgivning, hvorefter en administrativ bøde kun kan pålægges en juridisk person i dennes egenskab af dataansvarlig for en overtrædelse af denne forordning (
9
), for så vidt som denne overtrædelse forudgående er blevet tilregnet en identificeret fysisk person.
Hvad angår spørgsmålet om, hvorvidt medlemsstaterne kan fastsætte pålæggelse af en administrativ bøde, selv når den overtrædelse, der sanktioneres, ikke er blevet begået forsætligt eller uagtsomt, bemærkede Domstolen indledningsvis, at de materielle betingelser, som en tilsynsmyndighed skal overholde, når den pålægger en dataansvarlig en sådan bøde, udelukkende hører under EU-retten, og at medlemsstaterne ikke er overladt en skønsmargen i denne henseende.
Med hensyn til disse betingelser bemærkede Domstolen, at der blandt de forhold, som er opregnet i databeskyttelsesforordningen, på baggrund af hvilke tilsynsmyndigheden pålægger en sådan bøde, er nævnt, at der tages hensyn til, »hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt« (
10
). Derimod henvises der i ingen af disse forhold til en eventuel mulighed for at drage den dataansvarlige til ansvar, hvis denne ikke har handlet culpøst. Det er således kun overtrædelser af databeskyttelsesforordningens bestemmelser, der er begået forsætligt eller uagtsomt af den dataansvarlige, der kan føre til, at denne pålægges en administrativ bøde i henhold til denne forordnings artikel 83.
Domstolen tilføjede, at denne fortolkning understøttes af den almindelige opbygning af og formålet med databeskyttelsesforordningen. Den præciserede i denne forbindelse, at den omstændighed, at der findes en sanktionsordning i henhold til databeskyttelsesforordningen, der – når de særlige omstændigheder i den enkelte sag begrunder det – gør det muligt at pålægge en administrativ bøde, skaber et incitament for de dataansvarlige og databehandlerne til at overholde forordningen, og at de administrative bøder på grund af deres afskrækkende virkning bidrager til at styrke beskyttelsen af de registrerede. EU-lovgiver har imidlertid ikke fundet det nødvendigt at fastsætte pålæggelse af administrative bøder, når der ikke foreligger skyld. Henset til den omstændighed, at databeskyttelsesforordningen tager sigte på et beskyttelsesniveau, der både er tilsvarende og ensartet, og at den med henblik herpå skal anvendes på en ensartet måde i hele EU, ville det være i strid med dette formål at give medlemsstaterne mulighed for at fastsætte en sådan ordning for pålæggelse af en bøde.
Domstolen fastslog derfor, at en administrativ bøde i henhold til databeskyttelsesforordningens artikel 83 kun kan pålægges, hvis det godtgøres, at den dataansvarlige, som både er en juridisk person og en virksomhed, forsætligt eller uagtsomt har begået en overtrædelse af forordningens bestemmelser.
(
1
) – Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
(
2
) – Gesetz über Ordnungswidrigkeiten (lov om administrative forseelser) af 24.5.1968 (BGBl. 1968 I, s. 481), som affattet ved bekendtgørelse af 19.2.1987 (BGBl. 1987 I, s. 602), og som ændret ved lov af 19.6.2020 (BGBl. 2020 I, s. 1350).
(
3
) – Databeskyttelsesforordningens artikel 58, stk. 2, og artikel 83.
(
4
) – Jf. vedrørende dette aspekt ligeledes dommen i sagen Nacionalinis visuomenės sveikatos centras (C-683/21), der blev afsagt samme dag.
(
5
) – Ifølge databeskyttelsesforordningens artikel 4, nr. 7).
(
6
) – Således som det fremgår af databeskyttelsesforordningens artikel 58, stk. 4, og artikel 83, stk. 8, sammenholdt med 129. betragtning til forordningen.
(
7
) – Hvilket begreb der henvises til i 150. betragtning til databeskyttelsesforordningen.
(
8
) – Databeskyttelsesforordningens artikel 58, stk. 2, litra i), og artikel 83, stk. 1-6.
(
9
) – En overtrædelse som omhandlet i databeskyttelsesforordningen artikel 83, stk. 4-6.
(
10
) – Databeskyttelsesforordningens artikel 83, stk. 2, litra b).