62023CC0383
STANOVISKO GENERÁLNÍ ADVOKÁTKY
LAILY MEDINA
přednesené dne 12. září 2024 (
1
)
Věc C‑383/23
Anklagemyndigheden
proti
ILVA A/S
[žádost o rozhodnutí o předběžné otázce, kterou podal Vestre Landsret (odvolací soud pro západní oblast, Dánsko)]
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 83 – Správní pokuty – Jiné než správní pokuty – Pojem ‚podnik‘ – Články 101 a 102 SFEU – Mateřská společnost a dceřiná společnost – Porušení nařízení 2016/679 dceřinou společností – Výpočet výše pokuty – Zohlednění celkového obratu skupiny, jejíž je dotčená společnost součástí – Trestní řízení“
1.
Projednávaná žádost o rozhodnutí o předběžné otázce, kterou podal Vestre Landsret (odvolací soud pro západní oblast, Dánsko), se týká výkladu čl. 83 odst. 4 až 6 nařízení (EU) 2016/679 (
2
). Tato žádost byla podána v rámci trestního řízení, které bylo zahájeno z podnětu Anklagemyndigheden (státní zástupce, Dánsko) proti společnosti ILVA A/S (dále jen „ILVA“) (
3
), protože jako správce osobních údajů nejméně 350000 bývalých zákazníků nesplnila své povinnosti podle čl. 5 odst. 1 písm. e), čl. 5 odst. 2 a článku 6 GDPR.
2.
Věc se týká otázky, zda pojem „podnik“ uvedený v čl. 83 odst. 4 až 6 GDPR musí být vykládán ve světle bodu 150 odůvodnění tohoto nařízení v tom smyslu, že odpovídá pojmu „podnik“ podle unijního práva hospodářské soutěže (články 101 a 102 SFEU). To vyvolává otázku, zda je v rámci ukládání pokuty za porušení GDPR společnosti nutné zohlednit celkový roční obrat hospodářského subjektu (nebo skupiny), jehož je dotčená protiprávně jednající společnost součástí, a nikoli pouze celkový roční obrat této společnosti samotné.
3.
Specifickým rysem projednávané věci je skutečnost, že ve věci v původním řízení nebyla pokuta uložena vnitrostátním dozorovým úřadem pro ochranu osobních údajů v rámci jeho dozorových pravomocí, ale soudem v trestním řízení. Unijní normotvůrce totiž v tomto ohledu vložil do GDPR zvláštní ustanovení, které se vztahuje zejména na Dánsko.
I. Právní rámec
A.
Unijní právo
4.
Body 150 a 151 odůvodnění GDPR uvádějí:
„(150)
Aby byly posíleny a harmonizovány správní sankce za porušení tohoto nařízení, měl by každý dozorový úřad mít pravomoc uložit správní pokuty. V tomto nařízení by měly být uvedeny porušení a maximální hranice a kritéria pro stanovení souvisejících správních pokut, jež by měl v každém jednotlivém případě určit příslušný dozorový úřad při zohlednění všech příslušných okolností konkrétní situace s náležitým přihlédnutím zejména k povaze, závažnosti a době trvání tohoto porušení a k jeho důsledkům a opatřením přijatým v zájmu zajištění souladu s povinnostmi vyplývajícími z tohoto nařízení a v zájmu prevence či zmírnění důsledků tohoto porušení. Pro účely uložení správních pokut podniku by měl být podnik chápán ve smyslu článků 101 a 102 Smlouvy o fungování EU. […]
(151)
Právní systémy Dánska a Estonska neumožňují uložení správních pokut v podobě stanovené tímto nařízením. Pravidla týkající se správních pokut mohou být uplatňována tak, že v Dánsku pokutu uloží příslušný vnitrostátní soud jakožto trestní sankci a v Estonsku pokutu uloží dozorový úřad v přestupkovém řízení, pokud takové uplatnění pravidel má v uvedených členských státech účinek, který je rovnocenný správním pokutám uloženým dozorovými úřady. Příslušné vnitrostátní soudy by tedy měly zohlednit doporučení dozorového úřadu, který dal podnět k uložení pokuty. Uložené pokuty by v každém případě měly být účinné, přiměřené a odrazující.“
5.
Článek 83 GDPR, nadepsaný „Obecné podmínky pro ukládání správních pokut“, stanoví:
„1.   Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.
2.   Správní pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v čl. 58 odst. 2 písm. a) až h) a j). Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:
[…]
3.   Pokud správce nebo zpracovatel úmyslně či z nedbalosti u stejných nebo souvisejících operací zpracování poruší více ustanovení tohoto nařízení, nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení.
4.   Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 10000000 EUR, nebo jedná-li se o podnik, až do výše 2 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší:
[…]
5.   Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 20000000 EUR, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší:
[…]
6.   Za nesplnění příkazu dozorového úřadu podle čl. 58 odst. 2 lze v souladu s odstavcem 2 tohoto článku uložit správní pokuty až do výše 20000000 EUR, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí rozpočtový rok, podle toho, co je vyšší.
[…]
8.   Na výkon pravomocí dozorovým úřadem podle tohoto článku se vztahují vhodné procesní záruky v souladu s právem Unie a členského státu, včetně účinné soudní ochrany a spravedlivého procesu.
[…]“
B.
Vnitrostátní právo
6.
Ustanovení § 41 lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (zákon č. 502 ze dne 23. května 2018, kterým se doplňuje nařízení o ochraně v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů) stanoví:
„[Odstavec 1.] Není-li podle jiných právních předpisů odůvodněna přísnější sankce, uloží se pokuta nebo trest odnětí svobody až na šest měsíců každému, kdo poruší ustanovení týkající se:
[…]
(4)
základních zásad zpracování, včetně podmínek souhlasu, uvedených v článcích 5 až 7 a 9 [GDPR],
[…]
Odstavec 3. Při ukládání sankce podle odstavců 1 a 2 musí být dodržen čl. 83 odst. 2 [GDPR].
[…]
Odstavec 6. Společnosti a další (právnické osoby) mohou být shledány trestně odpovědnými v souladu s pravidly stanovenými v kapitole 5 trestního zákoníku. […]“
II. Skutkové okolnosti sporu v původním řízení a předběžné otázky
7.
Společnost ILVA byla u dánských soudů obžalována z toho, že od května 2018 do ledna 2019 neplnila povinnosti, které pro ni jakožto správce osobních údajů vyplývají z čl. 5 odst. 1 písm. e), čl. 5 odst. 2 a článku 6 GDPR v souvislosti s uchováváním osobních údajů týkajících se jejích bývalých zákazníků.
8.
ILVA provozuje řetězec obchodů s nábytkem a je součástí skupiny Lars Larsen Group (dále jen „skupina“). Celkový obrat skupiny ve finančním roce 2016/2017 činil 6,57 miliardy dánských korun (DKK) (přibližně 881 milion eur). Z toho obrat dceřiné společnosti ILVA činil 1,8 miliardy DKK (přibližně 241 milion eur).
9.
Na doporučení Datatilsynet („Úřad pro ochranu osobních údajů“, Dánsko, který je dánským úřadem pro ochranu osobních údajů, resp. „dozorovým úřadem“ podle GDPR) požadoval státní zástupce uložení pokuty společnosti ILVA ve výši 1,5 milionu DKK (přibližně 201000 eur). Rámec pro výpočet výše této pokuty navázaný na obrat nevychází z obratu společnosti ILVA, ale z celkového obratu celé skupiny.
10.
Rozsudkem ze dne 12. února 2021 shledal Retten i Aarhus (Okresní soud v Aarhusu, Dánsko) společnost ILVA vinnou podle obžaloby, ale rozhodl, že na rozdíl od toho, co tvrdí státní zástupce, se tato společnost dopustila protiprávního jednání z nedbalosti. Uvedený soud uložil společnosti ILVA pokutu ve výši 100000 DKK (přibližně 13400 eur). Retten i Aarhus (Okresní soud v Aarhusu) dále konstatoval, že vzhledem k tomu, že obžaloba byla podána pouze proti společnosti ILVA, nikoli proti celé skupině, nebylo pro účely výpočtu výše pokuty nutné zohledňovat obrat této skupiny. Uvedený soud rovněž zdůraznil, že ILVA provozuje samostatnou maloobchodní činnost a že skupina tuto dceřinou společnost nezřídila pouze za tím účelem, aby ji pověřila zpracováním osobních údajů skupiny.
11.
Státní zástupce podal proti tomuto rozsudku odvolání k Vestre Landsret (odvolací soud pro západní oblast, Dánsko), který je předkládajícím soudem. Předkládající soud se táže, zda pojem „podnik“ uvedený v čl. 83 odst. 4 až 6 GDPR musí být chápán v tom smyslu, že pro stanovení pokuty za porušení GDPR ze strany společnosti je třeba zohlednit obrat skupiny, jejíž je dotčená společnost součástí.
12.
Státní zástupce tvrdí, že tomu tak je. Tvrdí, že z bodu 150 odůvodnění GDPR vyplývá, že tento pojem musí být vykládán v souladu s články 101 a 102 SFEU.
13.
ILVA naproti tomu namítá, že při stanovení pokuty za porušení GDPR ze strany podniku by neměl být zohledňován celkový obrat skupiny, jejíž je společnost součástí. V tomto konkrétním případě byla obžaloba podána pouze proti společnosti ILVA, která je dceřinou společností, nikoli proti mateřské společnosti.
14.
Předkládající soud má za to, že odpověď na tuto otázku z GDPR nevyplývá.
15.
Za těchto okolností se Vestre Landsret (odvolací soud pro západní oblast, Dánsko) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být pojem ‚podnik‘ uvedený v čl. 83 odst. 4 a 6 [GDPR] chápán jako podnik ve smyslu článků 101 a 102 SFEU, ve spojení s bodem 150 odůvodnění uvedeného nařízení a judikaturou [Soudního dvora] týkající se unijního práva hospodářské soutěže tak, že pojem ‚podnik‘ zahrnuje jakýkoli subjekt vykonávající hospodářskou činnost bez ohledu na právní postavení tohoto subjektu a způsob jeho financování?
2)
V případě kladné odpovědi na první otázku musí být čl. 83 odst. 4 a 6 [GDPR] vykládán v tom smyslu, že při ukládání pokuty podniku je třeba zohlednit celkový celosvětový roční obrat hospodářského subjektu, jehož je podnik součástí, nebo pouze celkový celosvětový roční obrat samotného podniku?“
III. Řízení před Soudním dvorem
16.
Písemná vyjádření předložily ILVA a Evropská komise. Dne 19. června 2024 se konalo jednání, na němž byly zastoupeny obě účastnice řízení.
IV. Posouzení
A.
Úvod
17.
V pozadí specifických ustanovení GDPR, která jsou v projednávané věci relevantní (
4
) a použitelná zejména na Dánsko, stojí skutečnost, že úřad pro ochranu osobních údajů v zásadě nemůže ukládat žádné správní pokuty za porušení právních předpisů na ochranu osobních údajů. Úřad pro ochranu osobních údajů musí místo toho podat trestní oznámení na policii, pokud takový postup považuje za nutný (
5
). Policie poté provede vyšetřování a rozhodne, zda existují důvody pro formální podání obžaloby. V případě kladného rozhodnutí je věc předána soudům, které věc posoudí a určí výši pokuty.
B.
Posouzení předběžných otázek
18.
Podle mého názoru je namístě posuzovat obě otázky společně. Svými předběžnými otázkami se předkládající soud v podstatě táže, zda pojem „podnik“ uvedený v čl. 83 odst. 4 až 6 GDPR musí být vykládán ve světle bodu 150 odůvodnění tohoto nařízení v tom smyslu, že odpovídá pojmu „podnik“ ve smyslu článků 101 a 102 SFEU. To vyvolává otázku, zda je v rámci ukládání pokuty společnosti za porušení GDPR nutné zohlednit celkový roční obrat celého podniku (hospodářského subjektu nebo skupiny, v tomto případě skupiny Lars Larsen Group, tj. přibližně 881 milion eur), jehož součástí je dotčená protiprávně jednající společnost (
6
), a nikoli pouze celkový roční obrat této společnosti samotné (společnosti ILVA, tj. přibližně 241 milion eur).
1. Rozsudek ve věci Deutsche Wohnen
19.
Článek 83 GDPR stanoví právní základ pro ukládání pokut za porušení tohoto nařízení. GDPR sice pro účely vymáhání neobsahuje žádnou definici pojmu „podnik“, ale bod 150 odůvodnění tohoto nařízení uvádí, že pro výklad tohoto pojmu by měly být použity zásady unijního práva hospodářské soutěže (
7
).
20.
Soudní dvůr měl nedávno příležitost poskytnout výklad některých (nikoli však všech) odstavců článku 83 GDPR a zabývat se určitými otázkami, které souvisejí s předběžnými otázkami položenými v projednávané věci.
21.
V rozsudku vydaném ve věci Deutsche Wohnen (
8
) rozhodl Soudní dvůr zejména, že „[z] článku 83 odst. 4 až 6 nařízení GDPR, který se týká výpočtu správních pokut za porušení vyjmenovaná v těchto odstavcích, […] vyplývá, že je-li entita, jíž je správní pokuta uložena, podnikem nebo součástí podniku ve smyslu článků 101 a 102 SFEU, maximální výše správní pokuty se vypočítá na základě procentního podílu celkového celosvětového ročního obratu dotyčného podniku za předchozí finanční rok“.
22.
Soudní dvůr jasně konstatuje, že maximální výše správní pokuty vychází z celkového celosvětového ročního obratu (
9
)„podniku“, přičemž tento pojem musí být chápán v souladu s unijním právem hospodářské soutěže (články 101 a 102 SFEU). Soudní dvůr tak uvádí, že unijní normotvůrce při určování maximální výše pokut podle GDPR usiloval o propojení pravidel GDPR a pravidel unijního práva hospodářské soutěže.
23.
V tomto ohledu je totiž čl. 83 odst. 4 až 6 GDPR podobný čl. 23 odst. 2 nařízení (ES) č. 1/2003 (
10
), když obě ustanovení stanoví zákonnou horní hranici pro pokuty ukládané podle těchto nařízení.
24.
Soudní dvůr své odůvodnění dále rozvinul a zabýval se podmínkami použitelnými pro stanovení výše správní pokuty. Soudní dvůr v rozsudku Deutsche Wohnen (bod 58) podotkl, že „všechny tři podmínky uvedené v čl. 83 odst. 1 nařízení GDPR, a sice že pokuta musí být účinná, přiměřená a odrazující, může v konečném důsledku splnit pouze správní pokuta, jejíž výše je stanovena v závislosti na skutečné hospodářské či materiální schopnosti entity, jíž je určena, a která je dozorovým úřadem uložena – pokud jde o její výši – na základě pojmu ‚hospodářská jednotka‘ ve smyslu judikatury [ (
11
)]“. Soudní dvůr sice odkázal v tomto ohledu na „entitu, jíž je [pokuta] určena“, čímž zdůraznil spojení mezi pokutou a osobou, která je konkrétně obviněna z porušení GDPR, nicméně později se Soudní dvůr vrátil k pojmu „podnik“ („hospodářská jednotka“) podle unijního práva hospodářské soutěže.
25.
Kromě toho v bodě 59 uvedeného rozsudku Soudní dvůr rozhodl, že „[p]okud se […] dozorový úřad na základě pravomocí, které má podle čl. 58 odst. 2 nařízení GDPR, rozhodne uložit správci, který je podnikem nebo součástí podniku ve smyslu článků 101 a 102 SFEU, správní pokutu podle článku 83 uvedeného nařízení, je na základě posledně zmíněného ustanovení vykládaného ve světle bodu 150 odůvodnění tohoto nařízení povinen vycházet při výpočtu správních pokut za porušení uvedená v odstavcích 4 až 6 tohoto článku 83 z pojmu ‚podnik‘ ve smyslu těchto článků 101 a 102 SFEU“ (
12
).
26.
Docházím k závěru, že z rozsudku Deutsche Wohnen vyplývá, že v případě, kdy se porušení GDPR dopustí správce nebo zpracovatel, který je podnikem (nebo součástí podniku), je odkaz na celkový celosvětový roční obrat „podniku“ při stanovení maximální výše pokuty chápán v souladu s články 101 a 102 SFEU. Tímto závěrem však není objasněna pouze otázka týkající se maximální výše pokuty, která může být případně uložena tomuto správci nebo zpracovateli. Tento závěr rovněž znamená, že ona vysoce diferencovaná (a poměrně kazuistická) judikatura týkající se pojmů „podnik“ a „hospodářská jednotka“ se do určité míry stává relevantní i pro stanovení podmínek pro určení pokuty, která má být za toto konkrétní porušení GDPR skutečně uložena.
27.
V následujících bodech budu analyzovat dopad judikatury Deutsche Wohnen na konkrétní kontext projednávané věci, aby bylo možno navrhnout rámec, který by měl být pro předkládající soud vodítkem při stanovení pokuty společnosti ILVA.
2. První krok v rámci analýzy prováděné po vydání rozsudku Deutsche Wohnen: obecná analýza za účelem stanovení maximální výše pokuty
28.
Jak je uvedeno v bodech 25 a 26 výše, ze znění článku 83 GDPR vykládaného ve světle bodu 150 odůvodnění tohoto nařízení a z judikatury Deutsche Wohnen vyplývá, že v případech, kdy je správce nebo zpracovatel „podnikem“ (či součástí „podniku“) ve smyslu článků 101 a 102 SFEU, je třeba pro stanovení maximální výše pokuty použít celkový obrat takového podniku jako celku.
29.
Podle judikatury Soudního dvora ve věcech týkajících se hospodářské soutěže označuje pojem „podnik“„jakýkoliv subjekt vykonávající hospodářskou činnost, nezávisle na právním postavení tohoto subjektu a způsobu jeho financování“ (
13
).
30.
Z judikatury Soudního dvora rovněž vyplývá, že pojem „podnik“ uvedený v článcích 101 a 102 SFEU může odkazovat na jedinou hospodářskou jednotku, i když se tato hospodářská jednotka skládá z několika fyzických nebo právnických osob. To, zda několik subjektů tvoří takovou jednotku, závisí do značné míry na tom, zda má daný individuální subjekt v rámci svého rozhodování volnost nebo zda vedoucí subjekt, tedy mateřská společnost, vykonává rozhodující vliv na ostatní subjekty. Kritéria pro toto rozlišování vycházejí z ekonomických, právních a organizačních vazeb mezi mateřskou společností a její dceřinou společností, například z výše účasti, personálních nebo organizačních vazeb, pokynů a existence podnikových smluv (
14
).
31.
Z judikatury rovněž jasně vyplývá, že skutečný výkon rozhodujícího vlivu mateřské společnosti na chování dceřiné společnosti lze dovodit ze souboru shodujících se okolností, třebaže žádná z těchto okolností sama o sobě k prokázání existence takového vlivu nepostačuje (
15
). Unijní soudy se v tomto ohledu opíraly zejména o pravomoc mateřské společnosti jmenovat členy jednotlivých správních rad dceřiné společnosti, jakož i pravomoc svolávat akcionáře na valné hromady a navrhovat odvolání jednotlivých členů správních rad nebo celých správních rad dceřiné společnosti (
16
).
32.
Z ustálené judikatury vyplývá, že ve zvláštním případě, kdy mateřská společnost přímo, nebo nepřímo vlastní veškerý nebo téměř veškerý kapitál své dceřiné společnosti, která porušila pravidla v oblasti hospodářské soutěže, může tato mateřská společnost vykonávat rozhodující vliv na chování této dceřiné společnosti, a dále existuje vyvratitelná domněnka, podle níž uvedená mateřská společnost skutečně vykonává rozhodující vliv na chování dceřiné společnosti (
17
).
33.
Podle bodu 2 předkládacího rozhodnutí je ILVA součástí skupiny Lars Larsen Group. Pokud by předkládající soud zjistil, že mateřská společnost této skupiny vykonává rozhodující vliv na společnost ILVA, „podnik“ ve smyslu čl. 83 odst. 5 GDPR by sestával z: i) mateřské společnosti této skupiny, ii) společnosti ILVA a iii) jakékoli jiné společnosti, na kterou mateřská společnost rovněž vykonává rozhodující vliv. Posledně uvedená kategorie potenciálně zahrnuje ostatní společnosti ze skupiny Lars Larsen Group.
34.
Na „obrat“ se výslovně odkazuje v čl. 83 odst. 4 až 6 GDPR v souvislosti s výpočtem maximální výše pokuty, která může být společnostem uložena. Tato maximální výše se týká velmi velkých společností, neboť stanovené omezení se nepoužije, pokud je pokuta nižší než absolutní částka uvedená v těchto třech odstavcích článku 83, a sice 10 milionů eur, resp. 20 milionů eur. Maximální částka stanovená na základě obratu je tudíž relevantní pouze pro společnosti s celkovým celosvětovým obratem vyšším než 500 milionů eur (
18
).
35.
Z toho vyplývá, že pokud by předkládající soud zjistil, že mateřská společnost skupiny Lars Larsen Group vykonává rozhodující vliv na společnost ILVA, pak by se maximální výše pokuty, která má být uložena ve věci v původním řízení, teoreticky vypočítala na základě procentního podílu z celkového celosvětového ročního obratu, kterého za předchozí finanční rok dosáhl dotčený podnik, tedy skupina Lars Larsen Group (jejíž součástí je společnost ILVA).
3. Druhý krok v rámci analýzy prováděné po vydání rozsudku Deutsche Wohnen: analýza za účelem stanovení pokuty, která má být skutečně uložena za porušení dotčená v původním řízení
36.
Otázka stanovení maximální výše pokuty předvídané unijním normotvůrcem v čl. 83 odst. 4 až 6 GDPR by neměla být zaměňována ani směšována s následným úkolem dozorového úřadu (
19
), tedy určením pokuty, která má být skutečně uložena za konkrétní porušení GDPR dotčené v dané věci.
37.
Za tímto účelem je nutno zaprvé uvést, že čl. 83 odst. 1 GDPR stanoví tři klíčové podmínky (
20
), které musí dozorový úřad dodržet. Každá z těchto podmínek vyžaduje individuální vyvažování všech aspektů dotčeného porušení na jedné straně a náležité pokuty, která má být skutečně uložena, na druhé straně. Odstavec 2 článku 83 navíc tomuto orgánu ukládá povinnost splnit řadu požadavků při rozhodování o tom, „zda uložit správní pokutu, a […] o [náležité] výši [skutečně ukládané] správní pokuty“. Aby tedy bylo možné plně pochopit uplatnění čl. 83 odst. 4 až 6 GDPR v souvislosti se stanovením skutečně ukládané pokuty v daném konkrétním případě, je třeba tyto odstavce vykládat ve spojení s čl. 83 odst. 1, jakož i s čl. 83 odst. 2 tohoto nařízení. Je důležité zdůraznit, že odstavec 2 článku 83 GDPR specifikuje konkrétní faktory, které musí dozorový úřad zohlednit při rozhodování o skutečné výši pokuty ukládané v dané věci.
38.
Samotné znění odstavce 2 tohoto článku vyžaduje, aby bylo v „jednotlivých případech“ náležitě přihlédnuto k vícero okolnostem, přičemž je zároveň ponecháno na dozorovém úřadu, aby tyto konkrétní okolnosti, které jsou pro spor, jenž mu byl předložen, relevantní, určil a prokázal jejich relevanci pro výpočet skutečně ukládané pokuty (
21
).
39.
Na rozdíl od čl. 83 odst. 4 až 6 GDPR (viz bod 34 tohoto stanoviska) neobsahuje čl. 83 odst. 2 GDPR, a v tomto ohledu ani čl. 83 odst. 1 nebo 3 GDPR (
22
), žádný odkaz na obrat podniku. Z toho vyplývá, že unijní normotvůrce úmyslně nezahrnul „obrat“ mezi zvláštní faktory relevantní pro výpočet skutečně ukládané pokuty. Místo toho čl. 83 odst. 2 vyjmenovává jiné faktory (
23
), které charakterizují chování správce nebo zpracovatele obviněného z porušení, aby bylo zajištěno, že každé porušení bude posuzováno na základě všech relevantních individuálních okolností. Z výše uvedeného lze podle mého názoru vyvodit, že unijní normotvůrce zamýšlel rozlišovat mezi faktory, které jsou základem pro určení maximální výše pokuty (krok 1), a množinou požadavků, které jsou pro dozorový úřad závazné při určování skutečně ukládané pokuty (krok 2).
40.
V této souvislosti připomínám, že Soudní dvůr zdůraznil, že „sankce, a to i mimotrestní povahy, může být uvalena pouze v případě, že spočívá na jasném a jednoznačném právním základě“ (
24
). To platí tím spíše v případě trestního řízení, jako je řízení v projednávané věci. Soudní dvůr ve své judikatuře odkazuje na „zásad[u] legality trestů[, která] vyžaduje, aby zákon jasně stanovil trestné činy a tresty, které za ně hrozí […] [, a] kritéria posouzení jasnosti zákona podle judikatury Evropského soudu pro lidská práva [(ESLP)]“ (
25
).
41.
V tomto ohledu Komise v podstatě tvrdí, že v projednávané věci z nařízení GDPR vyplývá nejen to, že maximální výše pokuty musí vycházet z obratu podniku, ke kterému společnost patří, ale že totéž platí i pro výpočet skutečně ukládané pokuty. Teze předestřené v bodech 37 až 40 tohoto stanoviska však neumožňují dospět k závěru, že čl. 83 odst. 1 až 6 GDPR musí být vykládán v tom smyslu, že pravidla pro stanovení maximální výše pokuty (krok 1) musí být použita i jako hlavní nebo jediný podklad i pro určení skutečně ukládané pokuty (krok 2).
42.
Zadruhé, vzhledem k existenci přesahu vzniklého v důsledku propojení těchto dvou oblastí práva, lze nutnost rozlišovat mezi maximální výší pokuty (krok 1) a skutečně uloženou pokutou (krok 2) vyvodit i z unijního práva hospodářské soutěže. Pokud jde totiž o maximální výši pokuty, v unijním právu hospodářské soutěže, podobně jako v článku 83 GDPR, používá Komise obrat pro účely výpočtu maximální výše pokuty (která je stanovena jako 10 % celkového obratu podniku za každé porušení). Samotná základní pokuta, a to je nutno zdůraznit, však na základě obratu určena není (
26
).
43.
Základní pokuta je namísto toho v podstatě stanovena jako procentní podíl hodnoty relevantních tržeb (které přímo, nebo nepřímo souvisejí s protiprávním jednáním porušujícím hospodářskou soutěž) vynásobený dobou trvání (roky nebo období kratší než jeden rok) plus 15 až 25 % hodnoty relevantních tržeb (jako dodatečný odrazující faktor v případě kartelů). Tato základní pokuta je poté zvýšena v důsledku přitěžujících okolností nebo snížena v důsledku polehčujících okolností. Na tuto částku se pak vztahuje celková horní hranice 10 % obratu (v relevantních případech existuje další možnost snížení pokuty na základě shovívavosti, narovnání nebo platební neschopnosti). Z toho jasně vyplývá, že při určování skutečně ukládané pokuty hrají ústřední roli faktory, které přímo charakterizují dotčené protiprávní jednání (jako relevantní tržby, doba trvání protiprávního jednání a zvláštní okolnosti charakterizující daný případ), a nikoli celkový celosvětový roční obrat.
44.
Jak již bylo zdůrazněno v akademické literatuře, „neexistuje žádná přímá korelace mezi metodikou ukládání pokut používanou Komisí ve vztahu k článkům 101 [a] 102 SFEU a GDPR, neboť unijní pokuty v oblasti hospodářské soutěže mají za cíl podchytit účinek [protisoutěžního jednání] na dotčený trh, nikoli zkoumat obrat sám o sobě. Pokud jde například o kartely, vycházejí pokuty z hodnoty tržeb vztahujících se k ‚výrobku, na který se vztahuje kartelová dohoda‘, nikoli z celosvětového obratu“ (
27
).
45.
Judikatura Soudního dvora ostatně potvrzuje, že podíl celkového obratu pocházejícího z prodeje produktů, které jsou předmětem protiprávního jednání (tedy „hodnota tržeb“), nejlépe odráží jeho ekonomický význam (
28
). Naproti tomu pojem „obrat“ podle GDPR má odrážet ekonomický význam podniku (
29
). Tyto dva přístupy nelze směšovat, neboť sledují různé cíle: první přístup usiluje o posuzování závažnosti protiprávního jednání, zatímco druhý přístup se snaží hodnotit ekonomický význam podniku.
46.
Výše uvedené úvahy a judikatura Soudního dvora (citovaná v bodě 40 tohoto stanoviska) mne tedy vedou k závěru, že omezení dopadu unijní judikatury z oblasti hospodářské soutěže na pokuty, které jsou skutečně ukládány za porušení GDPR, musí být zasazeno do rámce zásady legality. Zejména je nutno zajistit, aby skutečně ukládané pokuty podle GDPR byly počítány pouze ve vztahu k jednání pachatele a plně zohledňovaly všechny charakteristiky daného konkrétního porušení. Výklad pojmů „obrat“ a „podnik“ při určování maximální výše pokuty tedy nelze automaticky přenášet na výpočet skutečně ukládané pokuty.
47.
Aby pokuta splnila cíl GDPR – posílit vymáhání pravidel tohoto nařízení – je nutné, a to i s ohledem na výše analyzovanou judikaturu Soudního dvora, aby výklad pojmů „podnik“ a „obrat“ při určování výše skutečně ukládané pokuty splňoval následující požadavky. Při určování skutečně ukládané pokuty musí dozorový úřad zaprvé vycházet ze všech individuálních okolností konkrétní věci, jak požaduje čl. 83 odst. 2 GDPR, včetně vztahu v rámci „podniku“, jak stanoví unijní judikatura v oblasti hospodářské soutěže. Zadruhé musí být na základě vzájemného zvážení všech relevantních okolností skutečně ukládaná pokuta účinná, přiměřená a odrazující. A konečně posledním, neméně důležitým požadavkem je, aby byly v relevantních případech respektovány trestněprávní aspekty relevantní pro daný případ.
48.
Pokud jde o nutnost splnění těchto požadavků, dovoluji si připomenout následující teze.
49.
Jak podotkl generální advokát G. Pitruzzella (
30
), v unijním právu má pojem „podnik“ význam a rozsah vlastní právní úpravě, do které je vložen, a rozdílným cílům, které má tato právní úprava sledovat. V unijním právu hospodářské soutěže existují dva aspekty funkční povahy pojmu „podnik“. Zaprvé se tento pojem zaměřuje na druh vykonávané činnosti, a nikoliv na vlastnosti subjektů, které tuto činnost vykonávají. Hospodářská soutěž je tvořena a ovlivňována hospodářskými činnostmi. Z tohoto důvodu články 101 a 102 SFEU obecně odkazují na „podniky“, přičemž opomíjejí jakýkoli odkaz na jejich právní strukturu. Zadruhé kvalifikace činnosti jako hospodářské činnosti – a tedy subjektu jako „podniku“ – pro účely unijního práva hospodářské soutěže závisí na zkoumaném kontextu. Stejně tak identifikace subjektů spadajících do perimetru „podniku“ závisí na předmětu vytýkaného protiprávního jednání.
50.
Z těchto tezí správně vyplývá, že v unijním právu hospodářské soutěže je dávána přednost hospodářským faktorům, aniž jsou brány v úvahu právní struktury dotčeného subjektu. Druhý aspekt nicméně tento náhled omezuje v tom smyslu, že určení subjektu nebo osoby odpovědné za protiprávní jednání, a tudíž i výše skutečně ukládané pokuty, závisí na samotném vytýkaném protiprávním jednání.
51.
V důsledku toho je jedním z aspektů charakterizujících pojem „podnik“, který by měl být zohledněn při stanovení základní pokuty a její úpravy (za účelem stanovení skutečně ukládané pokuty), míra účasti jiných společností tohoto podniku na porušení GDPR. V tomto ohledu bylo ve vnitrostátní judikatuře týkající se unijního práva hospodářské soutěže konstatováno, že „pojmově je otázka existence ‚podniku‘ oddělená od otázky rozdělení odpovědnosti mezi různé společnosti v rámci ‚podniku‘ […] (
31
) [a] osoba nenese ipso facto odpovědnost za porušení článku 101 [SFEU] pouze z toho důvodu, že je členem podniku, který podle unijního práva nese za protiprávní jednání odpovědnost, pokud se dotčená osoba nepodílela na protiprávním jednání ani neměla na relevantním trhu rozhodující vliv na jednání jiného člena (či členů) podniku, který se na protiprávním jednání podílel […] Za těchto okolností se může jednoduše stát, že dotčená osoba pravděpodobně nebude ve skutečnosti považována za součást tohoto ‚podniku‘ “ (
32
).
52.
Podle mého názoru jsou výše uvedené argumenty relevantní i při posuzování toho, které osoby spadají pod pojem „podnik“ pro účely stanovení pokuty, která má být skutečně uložena za porušení GDPR. To platí především v případě, kdy dozorový úřad výslovně konstatoval, že mateřská společnost se na dotčeném protiprávním jednání nepodílela jako správce či zpracovatel (
33
), jako je tomu ve věci v původním řízení.
53.
Unijní normotvůrce sice v jistém omezeném rozsahu tyto dvě oblasti unijního práva propojil pro účely stanovení maximálních pokut, nicméně pravidla GDPR a unijní pravidla hospodářské soutěže zjevně sledují odlišné cíle. Regulační systém GDPR je odlišný od režimu unijních pravidel hospodářské soutěže a je založen na tezi odpovědnosti správce (a zpracovatele) za zákonné zpracování osobních údajů. Jinými slovy, zatímco unijní právo hospodářské soutěže je zacíleno na„podniky“ (zákaz v něm stanovený vyjadřuje odkazem na „podnik“), GDPR se zaměřuje na „správce“ a „zpracovatele“. Připomínám rovněž, že vzhledem k tomu, že doktrínu „hospodářské jednotky“ nelze oddělit od extenzivní logiky unijního práva hospodářské soutěže a jeho cíle, odmítl Soudní dvůr již dříve rozšířit její použití per analogiam na další oblasti unijního práva, například na mimosmluvní odpovědnost na základě druhého pododstavce článku 340 SFEU (
34
).
54.
S ohledem na tyto úvahy je nyní zřejmé, proč Soudní dvůr jasně omezil oblast vlivu unijního práva hospodářské soutěže na vymáhání podle GDPR (a zejména ukládání pokut podle GDPR). V rozsudku Deutsche Wohnen (bod 53) rozhodl Soudní dvůr, že „na otázku, zda a za jakých podmínek může být správci, který je právnickou osobou, uložena podle článku 83 nařízení GDPR správní pokuta, nemá pojem ‚podnik‘ ve smyslu článků 101 a 102 SFEU žádný vliv, jelikož tato otázka je vyčerpávajícím způsobem upravena v čl. 58 odst. 2 a čl. 83 odst. 1 až 6 tohoto nařízení“. Soudní dvůr dále uvedl (v bodě 54), že tento pojem je „relevantní pouze při určování výše správní pokuty ukládané správci na základě čl. 83 odst. 4 až 6 nařízení GDPR [který upravuje maximální pokutu]“ (kurzivou zvýraznil autor tohoto stanoviska). Soudní dvůr navíc konstatováním (v bodě 53), že otázka, zda a za jakých podmínek může být správní pokuta uložena, „je vyčerpávajícím způsobem upravena v čl. 58 odst. 2 a čl. 83 odst. 1 až 6 tohoto nařízení“ (kurzivou zvýraznil autor tohoto stanoviska), dále upřesnil, že při určování výše skutečně ukládané pokuty musí být požadavky čl. 83 odst. 1 až 6 uplatněny v plném rozsahu a žádný z těchto odstavců není primus inter pares.
55.
„Obrat“ dosažený „podnikem“ je tudíž pouze jedním z více aspektů, které musí být zohledněny při vymáhání odpovědnosti správce (či zpracovatele) a ukládání pokuty podle GDPR, která je účinná, přiměřená a odrazující.
56.
Je pravda, že z judikatury Soudního dvora vyplývá, že v unijním právu hospodářské soutěže může být v určitých situacích při výpočtu výše skutečně ukládané pokuty (například při zvyšování základní pokuty za účelem odrazení) zohlednění obratu společnosti odůvodněné – avšak pouze jako jednoho z několika relevantních aspektů (
35
).
57.
Mám tedy za to, že při určování výše skutečně ukládané pokuty by mělo být možné vycházet z pojmu „podnik“ ve smyslu článků 101 a 102 SFEU, ale pouze tehdy, je-li to řádně odůvodněno odrazujícím účinkem a účinností pokuty. V tomto ohledu musí být totiž použití tohoto pojmu v každém jednotlivém případě odlišeno a individualizováno. Konkrétněji lze říci, že tohoto pojmu lze využít jako adaptačního mechanismu při zohledňování konkrétních okolností daného individuálního případu, jakmile byla pokuta stanovena v souladu s čl. 83 odst. 2 GDPR. Je tedy na předkládajícím soudu, aby zjistil, zda jsou v projednávané věci dány okolnosti, které by odůvodňovaly takovéto zvýšení pokuty, zejména za účelem odrazení.
58.
Problematikou individualizace pokut podle GDPR (
36
) se zabýval i Evropský sbor pro ochranu osobních údajů (dále jen „sbor“) (
37
). Ve svých pokynech k výpočtu pokut podle GDPR (
38
) vypracovaných podle čl. 70 odst. 1 písm. k) GDPR usiluje sbor o standardizaci pravomoci dozorových úřadů ukládat pokuty podle GDPR v rámci celé Unie. Sbor zejména uvádí, že je toho názoru, že „výchozí bod pro další výpočet tvoří tři prvky: kategorizace porušení na základě povahy podle čl. 83 odst. 4 až 6 GDPR, závažnost porušení […] a obrat podniku jako jeden z relevantních prvků, který je třeba zohlednit za účelem uložení účinné, odrazující a přiměřené pokuty podle čl. 83 odst. 1 GDPR“. I když je pravda, že tyto pokyny nejsou pro Soudní dvůr závazné, tyto úvahy ukazují, že pouze komplexní přístup, který zahrnuje všechny relevantní prvky daného konkrétního případu, může zajistit, aby pokuta splňovala klíčové požadavky článku 83 tohoto nařízení, zejména aby byla skutečně uložená pokuta účinná, přiměřená a odrazující.
59.
Navrhuji tak Soudnímu dvoru, aby měl pro účely určování výše skutečně ukládané pokuty za to, že při použití pojmu „podnik“ v souvislosti s výpočtem skutečně ukládané pokuty podle článku 83 GDPR je namístě považovat za relevantní následující aspekty. Zaprvé by mělo být předmětem posouzení to, zda mateřská společnost vykonávala svou rozhodovací pravomoc ve vztahu ke konkrétním činnostem správce nebo zpracovatele souvisejícím s porušením či porušeními GDPR. Zadruhé je třeba zvážit, zda se konkrétní zpracování údajů porušující GDPR týká dotčené společnosti nebo celé skupiny. Zatřetí je nutno určit, zda se na porušení či porušeních GDPR podílela více než jedna společnost tvořící část skupiny.
60.
V tomto ohledu zdůrazňuji, že relevantní je demonstrativní výčet následujících skutečností: i) v projednávané věci (
39
) – na rozdíl od věci, v níž byl vydán rozsudek Deutsche Wohnen – lze podle všeho říci, že skupiny Lars Larsen Group nebo její mateřské společnosti se trestní řízení netýkalo; ii) obžaloba byla podána pouze proti společnosti ILVA, nikoli proti skupině (
40
); a iii) porušení GDPR ve věci v původním řízení bylo omezeno pouze na zákazníky společnosti ILVA a jejich údaje, přičemž nic nenasvědčovalo tomu, že k porušení došlo na úrovni samotné skupiny nebo že bylo zpracování údajů společností ILVA spojeno s ostatními společnostmi ve skupině. Je třeba zdůraznit, že ve věci, v níž byl vydán rozsudek Deutsche Wohnen, převzala „dotyčná společnost“ veškerou odpovědnost za zpracování údajů, tedy i za zpracování údajů prováděné ostatními společnostmi ze skupiny (
41
).
61.
Je nicméně na předkládajícím soudu – který je jako jediný příslušný rozhodnout o skutkových okolnostech – aby v tomto ohledu provedl nezbytná ověření a zvážil jak tyto aspekty, tak i relevanci a váhu, které by jim měly být přiznány, a to v rámci určování náležité výše pokuty, která by měla být skutečně uložena společnosti ILVA.
4. Závěrečné poznámky
62.
Předkládající soud sice v tomto ohledu žádné předběžné otázky nepoložil, nicméně já se domnívám, že – pro potřeby poskytnutí úplné odpovědi tomuto soudu – je namístě se stručně zabývat některými specifickými aspekty projednávané věci.
63.
Zaprvé výklad čl. 83 odst. 1 až 6 ve věci v původním řízení musí být proveden zejména ve spojení s čl. 83 odst. 9 GDPR (
42
) – což je věc, kterou se Soudní dvůr v rozsudku Deutsche Wohnen nezabýval (
43
). Výklad režimu určování náležité výše skutečně ukládané pokuty podle článku 83 GDPR tak musí být v projednávané věci v souladu se základními zárukami trestního řízení.
64.
V souvislosti s analýzou dopadu čl. 83 odst. 9 na projednávanou věc je nutno zohlednit i bod 151 odůvodnění GDPR, podle kterého „[p]rávní systémy Dánska a Estonska[ (
44
)] neumožňují uložení správních pokut v podobě stanovené tímto nařízením“. Tento bod odůvodnění dále specifikuje pokyny týkající se slučitelnosti různých řízení se třemi klíčovými podmínkami pro určení skutečně ukládané pokuty podle režimu GDPR, když uvádí, že „[u]ložené pokuty by v každém případě měly být účinné, přiměřené a odrazující“. Je proto namístě věnovat se stručně vlivu unijního práva na pokuty ukládané v trestním řízení, aby bylo zajištěno, že tyto tři podmínky jsou splněny i v takovém specifickém případě, jako je projednávaná věc.
65.
Na jednání se ILVA dovolávala článku 41 Listiny základních práv Evropské unie (dále jen „Listina“). Tento článek je nadepsán „Právo na řádnou správu“ a konkrétně v čl. 41 odst. 2 písm. c) je zdůrazněna „povinnost správních orgánů odůvodňovat svá rozhodnutí“, nicméně ILVA nevznesla v tomto ohledu žádná konkrétní tvrzení.
66.
ILVA rovněž odkázala na článek 49 Listiny. Mám za to, že při výkladu čl. 83 odst. 1 až 6 GDPR je vskutku nutno zohlednit článek Listiny, nadepsaný „Zásady zákonnosti a přiměřenosti trestných činů a trestů“, který je tak pro věc v původním řízení relevantní. Článek 49 odst. 3 Listiny konkrétně stanoví, že „[v]ýše trestu nesmí být nepřiměřená trestnému činu“.
67.
Z judikatury Soudního dvora totiž vyplývá, že zásada proporcionality patří k obecným zásadám unijního práva, které jsou základem ústavních tradic společných členským státům a musí být respektovány vnitrostátními orgány při uplatňování nebo provádění unijního práva. Tato zásada členským státům ukládá, aby přijímaly opatření, která jsou přiměřená k dosažení sledovaných cílů a nejdou nad rámec toho, co je nezbytné k jejich dosažení (
45
).
68.
Přísnost sankce tak musí odpovídat závažnosti předmětného protiprávního jednání, přičemž takový požadavek vyplývá jak z čl. 52 odst. 1 Listiny, tak ze zásady přiměřenosti trestů zakotvené v čl. 49 odst. 3 Listiny (
46
).
69.
Z vysvětlení k Listině vyplývá (
47
), že v souladu s čl. 52 odst. 3 Listiny vzhledem k tomu, že právo zaručené jejím článkem 49 odpovídá i právu zaručenému Evropskou úmluvou o ochraně lidských práv a základních svobod, podepsanou v Římě dne 4. listopadu 1950 (dále jen „EÚLP“), má stejný smysl a rozsah jako právo zaručené EÚLP. Požadavky ESLP týkající se přiměřenosti sankcí jsou tedy v takové věci, jako je věc, která je předmětem původního řízení, použitelné na základě čl. 17 odst. 1 Listiny ve spojení s čl. 51 odst. 1 a čl. 52 odst. 1 a 3 Listiny (
48
).
70.
Zaprvé z judikatury Soudního dvora vyplývá, že zásada proporcionality vyžaduje, aby uložená sankce odpovídala závažnosti protiprávního jednání a aby byly při stanovení sankce i při určení výše pokuty zohledněny individuální okolnosti daného případu (
49
). Pokud jde o tento druhý aspekt, judikatura zdůrazňuje, že předkládající soud je povinen přihlédnout k objektivním kritériím, jako je závažnost a doba trvání protiprávního jednání, jakož i případným přitěžujícím a polehčujícím okolnostem, aby byla zajištěna účinná, odrazující a přiměřená povaha této pokuty (
50
).
71.
Zadruhé judikatura ESLP v takových případech přistupuje k poměřování různých dotčených zájmů a zohledňuje povahu, závažnost a odrazující účinek odsouzení stěžovatele k trestní sankci. Jednoznačně uvádí, že povinnost států vymáhat trestní právo a ukládat tresty (
51
) za účelem ochrany veřejnosti (
52
) vyvolává odpovídající povinnost zajistit, aby uložený trest nebyl nepřiměřený.
72.
ESLP rozhodl, že „nebude dosaženo nezbytné rovnováhy, pokud dotyčná osoba nese individuální a nadměrnou zátěž“; z tohoto důvodu platí, že „finanční závazek vyplývající z pokuty může ohrozit záruku poskytovanou tímto ustanovením, pokud dotčenou osobu nadměrně zatěžuje nebo zásadně zasahuje do její finanční situace“ (
53
).
73.
Z toho vyplývá, že specifické procesní aspekty věci v původním řízení, unijní právo i judikatura ESLP týkající se pokut ukládaných v trestním řízení vyžadují, aby předkládající soud při určování pokuty, která má být za porušení GDPR skutečně uložena, zohlednil všechny relevantní aspekty věci. Procesní záruky obviněné osoby, jakož i zásada proporcionality, jak je vykládána v judikatuře Soudního dvora a ESLP, vyžadují, aby sankce odpovídaly závažnosti protiprávního jednání a aby byly zohledněny individuální okolnosti konkrétní věci.
74.
S ohledem na tyto požadavky musí předkládající soud zajistit, aby byla při výpočtu skutečně ukládané pokuty dodržena zásada proporcionality tak, aby byla nastolena spravedlivá rovnováha mezi požadavky obecného zájmu společenství na ochraně osobních údajů a požadavky na ochranu základních práv (
54
) správce, zpracovatele nebo podniku, jehož je součástí.
V. Závěry
75.
Navrhuji Soudnímu dvoru, aby na předběžné otázky, které položil Vestre Landsret (odvolací soud pro západní oblast, Dánsko), odpověděl následovně:
„Článek 83 odst. 4 až 6 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že pokud jsou pokuty ukládány správci nebo zpracovateli, který je podnikem (nebo je jeho součástí), musí být pojem ‚podnik‘ pro účely výpočtu maximální výše pokuty vykládán v tom smyslu, že odpovídá pojmu ‚podnik‘ ve smyslu článků 101 a 102 SFEU. Z tohoto důvodu se zohledňuje celkový celosvětový roční obrat podniku, jehož je správce nebo zpracovatel součástí.
Při určování výše pokuty, která má být skutečně uložena, však musí být pojem ‚podnik‘ vykládán ve spojení s čl. 83 odst. 1 a 2 nařízení 2016/679 a použit jako jeden z více relevantních aspektů při posuzování specifických okolností konkrétní věci. V tomto ohledu se mohou specifické okolnosti týkat rozhodovací pravomoci mateřské společnosti, rozsahu zpracování údajů, kterým jsou porušována pravidla uvedeného nařízení a počtu subjektů podniku, které se na protiprávním jednání podílejí.
Pokud je navíc taková pokuta ve spojení s čl. 83 odst. 9 nařízení 2016/679 ukládána vnitrostátním soudem v rámci trestního řízení, musí být skutečně ukládaná pokuta posuzována ve světle zásad použitelných v trestním právu. V této souvislosti musí vnitrostátní soud zajistit, aby byla při výpočtu skutečně ukládané pokuty dodržena zásada proporcionality tak, aby byla nastolena spravedlivá rovnováha mezi požadavky obecného zájmu společenství na ochraně osobních údajů a požadavky na ochranu základních práv správce, zpracovatele nebo podniku, jehož je součástí.“
(
1
) – Původní jazyk: angličtina.
(
2
) – Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“).
(
3
) – Ve vnitrostátních zdrojích je věc v původním řízení rovněž označována jako „IDdesign A/S“, neboť toto byla dřívější obchodní firma společnosti ILVA.
(
4
) – Zejména čl. 83 odst. 9 a bod 151 odůvodnění GDPR.
(
5
) – Viz Overby, T., „The Danish adaptation of the GDPR“, Blog Droit Européen, červen 2018, s. 4 a 5.
(
6
) – Pokud jde o konkrétní formulaci druhé předběžné otázky (viz bod 15 tohoto stanoviska), znění je patrně stiženo chybou v psaní. Z kontextu však lze vyvodit, že předkládající soud neměl v úmyslu odkazovat na volbu mezi „hospodářským subjektem, jehož je podnik součástí“, a „samotným podnikem“, ale mezi „hospodářským subjektem, jehož je společnost součástí“, a „samotnou společností“ (tj. právnickou osobou, která se dopustila porušení GDPR).
(
7
) – Tento bod odůvodnění je citován v bodě 4 tohoto stanoviska.
(
8
) – Rozsudek ze dne 5. prosince 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, bod 57; dále jen „rozsudek Deutsche Wohnen“ nebo „judikatura Deutsche Wohnen“). Viz též související rozsudek vydaný téhož dne, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949).
(
9
) – Jak vyplývá z judikatury Soudního dvora, „obrat, ač neurčitý a nedokonalý, zůstává vhodným kritériem k posouzení velikosti a hospodářské síly dotyčných podniků“. Viz rozsudek ze dne 8. prosince 2011, KME Germany a další v. Komise (C‑272/09 P, EU:C:2011:810, bod 52).
(
10
) – Nařízení Rady ze dne 16. prosince 2002 o provádění pravidel hospodářské soutěže stanovených v článcích [101 a 102 SFEU] (Úř. věst. 2003, L 1, s. 1; Zvl. vyd. 08/02, s. 205).
(
11
) – Rozsudek ze dne 6. října 2021, Sumal (C‑882/19, EU:C:2021:800, bod 41 a citovaná judikatura).
(
12
) – Pokud jde o vnitrostátní judikaturu, viz Landgericht Bonn (zemský soud v Bonnu, Německo) (rozsudek ze dne 11. listopadu 2020, DE:LGBN:2020:1111.29OWI1.20.00) a Conseil d’État (Státní rada, Francie) (rozsudek ze dne 19. června 2020, FR:CECHR:2020:430810.20200619). Oba rozsudky jsou v podstatě v souladu s výkladem Soudního dvora (přestože předcházejí dni vydání rozsudku Soudního dvora). Pokud jde o opačný výklad, viz Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) (rozsudek ze dne 19. srpna 2019, AT:BVWG:2019:W211.2208885.1.00) a Landgericht Berlin (zemský soud v Berlíně, Německo) (rozsudek ze dne 18. února 2021, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; jedná se o rozsudek, který nakonec vedl k vydání rozsudku Soudního dvora ve věci Deutsche Wohnen). Pokud jde o judikaturu, která vznikla až po vydání rozsudku Soudního dvora a uplatňuje jej, viz Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) (rozsudek ze dne 27. března 2024, AT:BVWG:2024:W214.2243436.1.00).
(
13
) – Viz rozsudek ze dne 23. dubna 1991, Höfner a Elser (C-41/90, EU:C:1991:161, bod 21). Viz také například rozsudky ze dne 12. září 2000, Pavlov a další (C‑180/98 až C‑184/98, EU:C:2000:428, bod 74); ze dne 12. července 2012, Compass-Datenbank (C‑138/11, EU:C:2012:449, bod 35); a ze dne 27. dubna 2017, Akzo Nobel a další v. Komise (C‑516/15 P, EU:C:2017:314, bod 47).
(
14
) – Viz například rozsudek ze dne 20. ledna 2011, General Química a další v. Komise (C‑90/09 P, EU:C:2011:21, bod 37). Hlavním kritériem pro toto určení je „rozhodující vliv“, který by měl být vykládán na základě faktických důkazů (hospodářských, organizačních a právních vazeb).
(
15
) – Rozsudek ze dne 27. ledna 2021, The Goldman Sachs Group v. Komise (C‑595/18, EU:C:2021:73, bod 67 a citovaná judikatura).
(
16
) – Tamtéž, bod 71.
(
17
) – Tamtéž, bod 32 a citovaná judikatura.
(
18
) – Dvě procenta celkového celosvětového obratu společnosti překročí 10 milionů eur pouze v případě, že je obrat společnosti vyšší než 500 milionů eur. Podobně platí, že 4 % celkového celosvětového obratu společnosti překročí 20 milionů eur pouze v případě, že je obrat společnosti vyšší než 500 milionů eur.
(
19
) – V celém tomto stanovisku budu v této souvislosti odkazovat na „dozorový úřad“, nicméně – vzhledem ke specifickému kontextu věci v původním řízení – je zřejmé, že totéž lze vztáhnout i na předkládající soud (který ukládá pokutu společnosti ILVA – nikoli dozorový úřad).
(
20
) – „Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující“ (kurzivou zvýraznil autor tohoto stanoviska).
(
21
) – V tomto ohledu viz judikatura citovaná v bodě 40 tohoto stanoviska.
(
22
) – Posledně uvedené ustanovení se týká situací, kdy je současně porušeno několik ustanovení GDPR.
(
23
) – Mezi tyto faktory patří například: povaha, závažnost a délka trvání porušení, zda k porušení došlo úmyslně nebo z nedbalosti, kroky podniknuté ke zmírnění způsobených škod, předchozí porušení správcem či zpracovatelem, míra spolupráce s dozorovým úřadem, kategorie dotčených osobních údajů atd.
(
24
) – Rozsudek ze dne 25. září 1984, Könecke (117/83, EU:C:1984:288, bod 11).
(
25
) – Rozsudek ze dne 18. července 2013, Schindler Holding a další v. Komise (C‑501/11, EU:C:2013:522, bod 57 a citovaná judikatura).
(
26
) – Viz bod 32 „Maximální limit stanovený právními předpisy“ a bod 13 (ve vztahu k „základní výši pokuty“) pokynů Komise pro výpočet pokut uložených podle čl. 23 odst. 2 písm. a) nařízení č. 1/2003 (Úř. věst. 2006, C 210, s. 2) (dále jen „pokyny pro výpočet pokut z roku 2006“).
(
27
) – Mayer Brown, Yaros, O. a další, „GDPR fines – Lessons from competition law“, prosinec 2018, s. 4.
(
28
) – Rozsudek ze dne 12. listopadu 2014, Guardian Industries a Guardian Europe v. Komise (C‑580/12 P, EU:C:2014:2363, bod 59).
(
29
) – Pokyny pro výpočet pokut z roku 2006 v bodě 30 stanoví, že „Komise bude věnovat zvláštní pozornost potřebě zajistit, aby pokuty měly dostatečně odrazující účinek; může proto zvýšit pokutu ukládanou podnikům, které mají zvláště vysoký obrat přesahující tržby za zboží a služby, jichž se dané protiprávní jednání týká“ (kurzivou zvýraznil autor tohoto stanoviska). V této souvislosti viz rozsudek ze dne 6. února 2014, Elf Aquitaine v. Komise (T‑40/10, EU:T:2014:61, body 350 až 357 a citovaná judikatura).
(
30
) – Tyto teze vyslovil generální advokát G. Pitruzzella ve svém stanovisku ve věci týkající se práva hospodářské soutěže, Sumal (C‑882/19, EU:C:2021:293, body 23 až 25).
(
31
) – Viz například judikatura Competition Appeal Tribunal (odvolací soud ve věcech hospodářské soutěže, Spojené království) z doby před Brexitem, Sainsbury’s Supermarkets v. Mastercard Inc. [2016] CAT 11, body 363(20-22).
(
32
) – Tamtéž, bod 363(23).
(
33
) – Ze spisu, který má Soudní dvůr k dispozici, vyplývá, že tomu tak v projednávané věci bylo, jelikož státní zástupce nevznesl obžalobu proti mateřské společnosti, „neboť k tomu nebyl důvod“ a dceřiná společnost (ILVA) „provozuje samostatnou maloobchodní činnost a nejedná se […] o případ, kdy mateřská společnost zřídí dceřinou společnost pouze za účelem předat jí zpracování osobních údajů skupiny“. Viz body 5 a 21 předkládacího rozhodnutí.
(
34
) – V rozsudku ze dne 5. září 2019, Evropská unie v. Guardian Europe a Guardian Europe v. Evropská unie (C‑447/17 P a C‑479/17 P, EU:C:2019:672, body 105 a 106), kde Soudní dvůr rozhodl, že pojem „podnik“ ve smyslu doktríny „hospodářské jednotky“ je použit specificky pro účely uplatňování relevantních ustanovení unijního práva hospodářské soutěže, a zejména pro účely určení osoby, která porušila články 101 a 102 SFEU. Tento pojem se naopak nepoužije v rámci žaloby na náhradu škody na základě druhého pododstavce článku 340 SFEU. Taková žaloba je žalobou podle obecného práva upravenou obecnými procesními předpisy, které podléhají v projednávané věci právu obchodních společností a jsou nezávislé na logice odpovědnosti platné podle unijního práva hospodářské soutěže.
(
35
) – Rozsudek ze dne 17. června 2010, Lafarge v. Komise (C‑413/08 P, EU:C:2010:346, bod 102 a citovaná judikatura). Viz též poznámka pod čarou 29 tohoto stanoviska.
(
36
) – Tím se rozumí snaha nalézt rovnováhu mezi pokutou a konkrétní situací pachatele protiprávního jednání.
(
37
) – Sbor je nezávislým subjektem Unie s právní subjektivitou, jehož účelem je zajistit jednotné uplatňování GDPR a podporovat spolupráci mezi unijními úřady pro ochranu osobních údajů.
(
38
) – Pokyny 04/2022 k výpočtu správních pokut podle GDPR, verze 2.1, přijato dne 24. května 2023, bod 48.
(
39
) – Předkládací rozhodnutí v projednávané věci (strana 3) zdůrazňuje, že „[z] obžalovací zásady stanovené [ve] [vnitrostátním právu] vyplývá, že soud nesmí nikoho odsoudit za trestný čin, který není uveden v obžalobě. Bylo by v rozporu se zásadou stanovenou v tomto ustanovení přikládat při ukládání přísnějšího trestu význam okolnostem týkajícím se jiné osoby, proti níž nebyla obžaloba podána“.
(
40
) – Přičemž vnitrostátní pokyny pro ukládání pokut stanoví, že „je-li správce údajů dceřinou společností skupiny, mělo by být vyšetřeno, zda lze uplatnit trestní odpovědnost i vůči mateřské společnosti“. Viz Bødevejledning – Udmåling af bøder til virksomheder (Pokyny pro ukládání pokut – Posuzování pokut ukládaných společnostem), leden 2021, strana 3.
(
41
) – Ve věci, která vedla k vydání rozsudku Deutsche Wohnen, totiž k protiprávním jednáním došlo na úrovni celé skupiny, jejíž součástí byla dotčená společnost. Viz faktické rozdíly mezi těmito dvěma věcmi, zejména též s ohledem na body 10 až 12 rozsudku Deutsche Wohnen.
(
42
) – Připomínám, že toto ustanovení zejména stanoví, že „[n]eumožňuje-li právo členského státu uložení správních pokut, může se použít tento článek tak, aby podnět k uložení pokuty dal příslušný dozorový úřad a aby pokuta byla uložena příslušnými vnitrostátními soudy, a současně je třeba zajistit, aby tyto prostředky právní ochrany byly účinné a aby jejich účinek byl rovnocenný se správními pokutami, jež ukládají dozorové úřady. Uložené pokuty musí být v každém případě účinné, přiměřené a odrazující“.
(
43
) – Vzhledem k tomu, že toto ustanovení nebylo pro vyřešení této věci relevantní.
(
44
) – V Irsku podle všeho platí, že správní pokuty uložené dozorovým úřadem pro ochranu osobních údajů musí být potvrzeny soudem. Viz Data Protection Act 2018 (zákon o ochraně osobních údajů z roku 2018) § 141 až 143. Navíc lze patrně říci, že ani Slovinsko správní pokuty nepřipouští, a to s ohledem na rozhodnutí Nejvyššího soudu (Vrhovno sodišče, Slovinsko) ze dne 16. března 2021.
(
45
) – V tomto smyslu viz rozsudek ze dne 4. října 2018, Link Logistik N&N (C‑384/17, EU:C:2018:810, bod 40 a citovaná judikatura; dále jen „rozsudek Link Logistik“).
(
46
) – Tamtéž, bod 42 a citovaná judikatura.
(
47
) – Úř. věst. 2007, C 303, s. 17.
(
48
) – Viz též rozsudek Link Logistik, bod 43.
(
49
) – Rozsudek Link Logistik, bod 45.
(
50
) – V tomto smyslu viz rozsudek ze dne 10. listopadu 2022, Zenith Media Communications (C‑385/21, EU:C:2022:866, bod 41).
(
51
) – Viz například rozsudek ESLP ze dne 4. prosince 2003, M. C. v. Bulharsko, CE:ECHR:2003:1204JUD003927298.
(
52
) – Viz například rozsudek ESLP ze dne 16. prosince 1999, T. v. Spojené království, CE:ECHR:1999:1216JUD002472494, bod 97, který cituje rozsudek ESLP ze dne 23. září 1998, A. v. Spojené království, CE:ECHR:1998:0923JUD002559994, bod 22; a rozsudek ESLP ze dne 28. října 1998, Osman v. Spojené království, CE:ECHR:1998:1028JUD002345294, bod 115.
(
53
) – Viz například rozsudek ESLP ze dne 27. října 2015, Konstantin Stefanov v. Bulharsko, CE:ECHR:2015:1027JUD003539905, bod 55.
(
54
) – Tamtéž, body 54, 55, 66, 67, 69 a 70. Viz též rozsudek ESLP ze dne 5. července 2001, Phillips v. Spojené království, CE:ECHR:2001:0705JUD004108798, bod 35, a rozsudek ESLP ze dne 24. června 2021, Imeri v. Chorvatsko, CE:ECHR:2021:0624JUD007766814, bod 71.