62021CJ0807_RES
Zaak C‑807/21
Deutsche Wohnen SE
tegen
Staatsanwaltschaft Berlin
[verzoek van het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland) om een prejudiciële beslissing]
Arrest van het Hof (Grote kamer) van 5 december 2023
„Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 4, punt 7 – Begrip ‚verwerkingsverantwoordelijke’ – Artikel 58, lid 2 – Bevoegdheden van de toezichthoudende autoriteiten om corrigerende maatregelen op te leggen – Artikel 83 – Oplegging van administratieve geldboeten aan een rechtspersoon – Voorwaarden – Speelruimte voor de lidstaten – Vereiste dat de inbreuk opzettelijk of nalatig is”
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Oplegging van administratieve geldboeten – Voorwaarden – Geen speelruimte voor de lidstaten om de materiële voorwaarden voor de oplegging van een administratieve geldboete aan een verwerkingsverantwoordelijke vast te stellen – Tot de berekening van een geldboete beperkte relevantie van het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU – Nationale regeling op grond waarvan aan een rechtspersoon als verwerkingsverantwoordelijke slechts een geldboete kan worden opgelegd indien de inbreuk in kwestie voorafgaandelijk wordt toegerekend aan een geïdentificeerde natuurlijke persoon – Ontoelaatbaarheid”
(Art. 101, art. 102 en art. 288, tweede alinea, VWEU; verordening 2016/679 van het Europees Parlement en de Raad, overwegingen 10, 11, 74, 129 en 150 alsook art. 4, punt 7, art. 58, leden 2 en 4, en art. 83)
(zie punten 38, 43‑60, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Begrip „verwerkingsverantwoordelijke” – Rechtspersoon – Daaronder begrepen – Voorwaarde – Daadwerkelijke betrokkenheid bij de vaststelling van het doel van en de middelen voor de verwerking
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 4, punt 7)
(zie punten 39‑42)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Oplegging van administratieve geldboeten – Voorwaarden – Geen speelruimte voor de lidstaten om de materiële voorwaarden voor de oplegging van een administratieve geldboete aan een verwerkingsverantwoordelijke vast te stellen – Vereiste dat de verwerkingsverantwoordelijke opzettelijk of uit nalatigheid een inbreuk heeft begaan
(Verordening 2016/679 van het Europees Parlement en de Raad, overwegingen 9, 13 en 148 alsook art. 58, lid 2, en art. 83)
(zie punten 65‑78, 86, dictum 2)
Samenvatting
Deutsche Wohnen SE (hierna: „DW”) is een vastgoedvennootschap die indirect – via deelnemingen in verschillende vennootschappen – tal van commerciële en wooneenheden bezit. In het kader van haar commerciële activiteiten verwerkt zij persoonsgegevens van de huurders van deze eenheden.
Naar aanleiding van controles die zijn uitgevoerd in 2017 en 2019, heeft de Berliner Beauftragte für den Datenschutz (toezichthoudende autoriteit voor gegevensbescherming Berlijn, Duitsland) vastgesteld dat DW een reeks inbreuken op de AVG (
1
) had begaan. Bij besluit van 30 oktober 2019 heeft deze toezichthoudende autoriteit haar dan ook administratieve geldboeten opgelegd.
DW heeft tegen dat besluit beroep ingesteld bij het Landgericht Berlin (rechter in eerste aanleg Berlijn, Duitsland), dat de procedure heeft stopgezet. Die rechter heeft opgemerkt dat volgens de Duitse wet (
2
) een bestuursrechtelijk te bestraffen gedraging enkel kan worden geconstateerd jegens een natuurlijke persoon en niet jegens een rechtspersoon. Wanneer een rechtspersoon aansprakelijk wordt gesteld, kunnen hem bovendien alleen handelingen van de leden van zijn organen of van zijn vertegenwoordigers worden toegerekend. De Staatsanwaltschaft Berlin (openbaar ministerie Berlijn, Duitsland) heeft tegen die beslissing hoger beroep ingesteld bij het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland). In dit verband heeft die rechter het Hof verzocht om een prejudiciële beslissing over de uitlegging van de AVG. (
3
)
In zijn arrest spreekt de Grote kamer van het Hof zich uit over de voorwaarden voor het opleggen van administratieve geldboeten op grond van de AVG. In de eerste plaats onderzoekt het Hof of de lidstaten de oplegging van een administratieve geldboete aan een rechtspersoon afhankelijk kunnen stellen van de voorwaarde dat de inbreuk op die verordening voorafgaandelijk is toegerekend aan een geïdentificeerde natuurlijke persoon. In de tweede plaats buigt het Hof zich over de vraag of de bestrafte inbreuk op de bepalingen van de AVG opzettelijk dan wel uit nalatigheid moet zijn begaan. (
4
)
Beoordeling door het Hof
Wat de oplegging van een administratieve geldboete aan een rechtspersoon op grond van de AVG betreft, merkt het Hof om te beginnen op dat de in de AVG neergelegde beginselen, verboden en verplichtingen in het bijzonder gericht zijn tot de „verwerkingsverantwoordelijken”, die verantwoordelijk zijn voor elke door of namens hen uitgevoerde verwerking van persoonsgegevens. Deze verantwoordelijkheid vormt, wanneer bepalingen van de AVG zijn geschonden, de grondslag voor de oplegging van een administratieve geldboete aan de verwerkingsverantwoordelijke op grond van artikel 83 van deze verordening. De Uniewetgever heeft bij de vaststelling van die verantwoordelijkheid evenwel geen onderscheid gemaakt tussen natuurlijke personen en rechtspersonen, aangezien voor die verantwoordelijkheid als enige voorwaarde geldt dat die personen, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststellen. (
5
) In beginsel is dus iedere persoon die aan deze voorwaarde voldoet, aansprakelijk voor elke inbreuk op de AVG die door hem of voor zijn rekening is begaan. Dit houdt om te beginnen in dat rechtspersonen niet alleen aansprakelijk zijn voor inbreuken die worden begaan door hun vertegenwoordigers, directeuren of beheerders, maar ook voor de inbreuken die worden begaan door iedere andere persoon die in het kader van de handelsactiviteiten van die rechtspersonen en voor hun rekening optreden. Daarnaast moeten de administratieve geldboeten waarin de AVG voor dergelijke inbreuken voorziet, rechtstreeks aan rechtspersonen kunnen worden opgelegd wanneer deze kunnen worden aangemerkt als verwerkingsverantwoordelijke.
Vervolgens merkt het Hof op dat uit geen enkele bepaling van de AVG kan worden afgeleid dat voor de oplegging van een administratieve geldboete aan een rechtspersoon als verwerkingsverantwoordelijke de voorwaarde geldt dat voorafgaandelijk is geconstateerd dat de inbreuk in kwestie is begaan door een geïdentificeerde natuurlijke persoon. Bovendien heeft de Uniewetgever de lidstaten op dit gebied geen beoordelingsruimte gelaten. Dat de AVG hun de mogelijkheid biedt om eisen te stellen aan de procedure die de toezichthoudende autoriteiten moeten volgen om een administratieve geldboete op te leggen (
6
), betekent geenszins dat zij ook bevoegd zijn om aanvullende materiële voorwaarden vast te stellen naast de materiële voorwaarden die zijn neergelegd in de AVG.
In dit verband verduidelijkt het Hof dat het in strijd met de doelstelling van de AVG zou zijn dat het de lidstaten werd toegestaan om eenzijdig als noodzakelijke voorwaarde voor de oplegging van een administratieve geldboete op grond van artikel 83 AVG aan een verwerkingsverantwoordelijke die een rechtspersoon is, te eisen dat de inbreuk in kwestie vooraf wordt toegerekend of kan worden toegerekend aan een geïdentificeerde natuurlijke persoon. Bovendien zou een dergelijk aanvullend vereiste uiteindelijk afbreuk dreigen te doen aan de doeltreffendheid en de afschrikkende werking van administratieve geldboeten die worden opgelegd aan rechtspersonen als verwerkingsverantwoordelijken.
Ten slotte beklemtoont het Hof dat het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU (
7
) geen invloed heeft op de beantwoording van de vraag of en onder welke voorwaarden op grond van de AVG een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke die een rechtspersoon is, en dat dit begrip enkel relevant is voor de vaststelling van het bedrag van een dergelijke geldboete.
Het Hof komt dan ook tot de slotsom dat de AVG (
8
) zich verzet tegen een nationale regeling op grond waarvan aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke wegens een inbreuk op die verordening (
9
) alleen een administratieve geldboete kan worden opgelegd indien deze inbreuk vooraf is toegerekend aan een geïdentificeerde natuurlijke persoon.
Wat betreft de vraag of de lidstaten de oplegging van een administratieve geldboete ook mogelijk kunnen maken wanneer de bestrafte inbreuk niet opzettelijk of uit nalatigheid is begaan, brengt het Hof om te beginnen in herinnering dat de materiële voorwaarden die een toezichthoudende autoriteit in acht moet nemen wanneer zij een administratieve geldboete oplegt aan een verwerkingsverantwoordelijke, uitsluitend onder het Unierecht vallen en dat de lidstaten op dat gebied geen enkele beoordelingsruimte hebben.
Met betrekking tot deze voorwaarden merkt het Hof op dat een van de in de AVG opgesomde factoren die de toezichthoudende autoriteit in aanmerking neemt wanneer zij een dergelijke geldboete oplegt, bestaat in „de opzettelijke of nalatige aard van de inbreuk”. (
10
) Daarentegen is er bij geen van die factoren sprake van welke mogelijkheid ook om de verwerkingsverantwoordelijke aansprakelijk te stellen wanneer hij geen fout heeft begaan. Bijgevolg kunnen alleen inbreuken op de bepalingen van de AVG die de verwerkingsverantwoordelijke opzettelijk of uit nalatigheid heeft begaan, tot gevolg hebben dat hem een administratieve geldboete wordt opgelegd op grond van artikel 83 van die verordening.
Het Hof voegt daaraan toe dat deze uitlegging steun vindt in de algemene opzet en het doel van de AVG. In dit verband merkt het Hof op dat het bestaan van een sanctieregeling op grond van de AVG die het mogelijk maakt om een administratieve geldboete op te leggen wanneer de specifieke omstandigheden van het concrete geval dit rechtvaardigen, verwerkingsverantwoordelijken en verwerkers ertoe aanzet om die verordening na te leven, en dat administratieve geldboeten door hun afschrikkende werking bijdragen tot een betere bescherming van de betrokkenen. De Uniewetgever heeft het echter niet noodzakelijk geacht om het mogelijk te maken administratieve geldboeten op te leggen wanneer er geen fout is begaan. Aangezien met de AVG zowel een gelijkwaardig als een homogeen beschermingsniveau wordt nagestreefd en deze verordening daartoe in de gehele Unie consequent moet worden toegepast, zou het in strijd met deze doelstelling zijn om de lidstaten toe te staan te voorzien in een dergelijke regeling voor de oplegging van een geldboete.
Het Hof stelt dan ook vast dat krachtens artikel 83 AVG slechts een administratieve geldboete kan worden opgelegd indien vaststaat dat de verwerkingsverantwoordelijke, die zowel een rechtspersoon als een onderneming is, opzettelijk of uit nalatigheid de regels van die verordening heeft geschonden.
(
1
)	Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
(
2
)	Gesetz über Ordnungswidrigkeiten (wet betreffende bestuursrechtelijk te bestraffen gedragingen) van 24 mei 1968 (BGBl. 1968 I, blz. 481), in de op 19 februari 1987 bekendgemaakte versie ervan (BGBl. 1987 I, blz. 602), zoals gewijzigd bij wet van 19 juni 2020 (BGBl. 2020 I, blz. 1350).
(
3
)	Artikel 58, lid 2, en artikel 83 AVG.
(
4
)	Zie dienaangaande ook het arrest nacionalinis visuomenės sveikatos centras (C‑683/21), dat op dezelfde dag is gewezen.
(
5
)	Artikel 4, punt 7, AVG.
(
6
)	Dit blijkt uit artikel 58, lid 4, en artikel 83, lid 8, AVG, gelezen in het licht van overweging 129 van deze verordening.
(
7
)	Naar dat begrip wordt verwezen in overweging 150 van de AVG.
(
8
)	Artikel 58, lid 2, onder i), en artikel 83, leden 1 tot en met 6, AVG.
(
9
)	Als bedoeld in artikel 83, leden 4 tot en met 6, AVG.
(
10
)	Artikel 83, lid 2, onder b), AVG.