62021CJ0807_RES
Sprawa C‑807/21
Deutsche Wohnen SE
przeciwko
Staatsanwaltschaft Berlin,
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Kammergericht Berlin)
Wyrok Trybunału (wielka izba) z dnia 5 grudnia 2023 r.
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 4 pkt 7 – Pojęcie „administratora” – Artykuł 58 ust. 2 – Uprawnienia naprawcze przysługujące organom nadzorczym – Artykuł 83 – Nakładanie administracyjnych kar pieniężnych na osobę prawną – Przesłanki – Zakres swobody państw członkowskich – Wymóg umyślnego lub nieumyślnego charakteru naruszenia
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Nakładanie administracyjnych kar pieniężnych – Przesłanki – Brak zakresu swobody państw członkowskich do ustanawiania przesłanek materialnych dotyczących nakładania administracyjnej kary pieniężnej na administratora – Znaczenie pojęcie przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE ograniczone do obliczania kary pieniężnej – Uregulowanie krajowe uzależniające możliwość nałożenia kary pieniężnej na osobę prawną będącą administratorem pod warunkiem uprzedniego przypisania danego naruszenia zidentyfikowanej osobie fizycznej – Niedopuszczalność
(art. 101, 102, 288 akapit drugi TFUE; rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motywy 10, 11, 74, 129, 150, art. 4 pkt 7, art. 58 ust. 2, 4, art. 83)
(zob. pkt 38, 43–60; pkt 1 sentencji)
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Pojęcie administratora – Osoba prawna – Włączenie – Przesłanka – Skuteczne uczestnictwo w określaniu celów i sposobów przetwarzania
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 4 pkt 7)
(zob. pkt 39–42)
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Nakładanie administracyjnych kar pieniężnych – Przesłanki – Brak zakresu swobody państw członkowskich do ustanawiania przesłanek materialnych dotyczących nakładania administracyjnej kary pieniężnej na administratora – Wymóg umyślnego lub nieumyślnego naruszenia popełnionego przez administratora
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motywy 9, 13 i 148, art. 58 ust. 2, art. 83)
(zob. pkt 65–78, 86, pkt 2 sentencji)
Streszczenie
Deutsche Wohnen SE (zwana dalej „DW”) jest spółką nieruchomościową, która posiada pośrednio, poprzez udziały w różnych spółkach, liczne lokale użytkowe i mieszkalne. W ramach swojej działalności gospodarczej przetwarza ona dane osobowe najemców tych lokali.
W następstwie dwóch kontroli przeprowadzonych w 2017 r. i 2019 r. Berliner Beauftragte für den Datenschutz (organ nadzorczy w Berlinie, Niemcy) stwierdził szereg naruszeń RODO (
1
) popełnionych przez DW. Decyzją z dnia 30 października 2019 r. ten organ nadzorczy nałożył na nią z tego tytułu administracyjne kary pieniężne.
DW wniosła skargę na tę decyzję do Landgericht Berlin (sądu krajowego w Berlinie, Niemcy), który umorzył postępowanie. Sąd ten wskazał, że zgodnie z prawem niemieckim (
2
), wykroczenie administracyjne może zostać stwierdzone wyłącznie przeciwko osobie fizycznej, a nie przeciwko osobie prawnej. Ponadto w przypadku powstania odpowiedzialności osoby prawnej można jej przypisać jedynie działania członków jej organów lub jej przedstawicieli. Staatsanwaltschaft Berlin (prokuratura w Berlinie, Niemcy) wniosła skargę na tę decyzję do Kammergericht Berlin (wyższego sądu krajowego w Berlinie, Niemcy). W tym kontekście sąd ten zwrócił się do Trybunału z wnioskiem o wydanie orzeczenia w trybie prejudycjalnym w przedmiocie wykładni RODO (
3
).
W swoim wyroku Trybunał, orzekający w składzie wielkiej izby, wypowiedział się w przedmiocie przesłanek nałożenia administracyjnych kar pieniężnych na podstawie RODO. W pierwszej kolejności zbadał on kwestię, czy państwa członkowskie mogą uzależnić nałożenie administracyjnej kary pieniężnej na osobę prawną od uprzedniego przypisania naruszenia tego rozporządzenia zidentyfikowanej osobie fizycznej. W drugiej kolejności sąd ten rozważył kwestię, czy podlegające sankcji naruszenie przepisów RODO musi zostać popełnione umyślnie lub nieumyślnie (
4
).
Ocena Trybunału
Co się tyczy nakładania administracyjnej kary pieniężnej na podstawie RODO na osobę prawną, Trybunał zauważył przede wszystkim, że zasady, zakazy i obowiązki przewidziane w RODO są skierowane w szczególności do „administratorów”, których odpowiedzialność obejmuje wszelkie przetwarzanie danych osobowych przez nich samych lub w ich imieniu. To właśnie ta odpowiedzialność stanowi, w przypadku naruszeń przepisów RODO, podstawę nałożenia administracyjnej kary pieniężnej na administratora na podstawie art. 83 tego rozporządzenia. Jednakże prawodawca Unii nie dokonał w celu ustalenia takiej odpowiedzialności, rozróżnienia między osobami fizycznymi a osobami prawnymi, uzależniając tę odpowiedzialność wyłącznie od warunku, że osoby te, samodzielnie lub wspólnie z innymi osobami, określają cele i sposoby przetwarzania danych osobowych (
5
). W związku z tym co do zasady każda osoba spełniająca ten warunek ponosi odpowiedzialność w szczególności za wszelkie naruszenia RODO popełnione przez nią lub w jej imieniu. Oznacza to, po pierwsze, że osoby prawne ponoszą odpowiedzialność nie tylko za naruszenia popełnione przez ich przedstawicieli, dyrektorów lub osoby zarządzające, lecz również przez każdą inną osobę działającą w ramach działalności gospodarczej tych osób prawnych i w ich imieniu. Po drugie, administracyjne kary pieniężne przewidziane w RODO w przypadku takich naruszeń powinny móc być nakładane bezpośrednio na osoby prawne, jeżeli można je uznać za administratorów.
Następnie Trybunał zauważył, że żaden przepis RODO nie pozwala uznać, że nałożenie administracyjnej kary pieniężnej na osobę prawną działającą w charakterze administratora jest uzależnione od uprzedniego stwierdzenia, że naruszenie to zostało popełnione przez zidentyfikowaną osobę fizyczną. Ponadto prawodawca Unii nie pozostawił państwom członkowskim zakresu uznania w tym względzie. Okoliczność, że RODO daje im możliwość ustanowienia wymogów dotyczących procedury, jaką powinny stosować organy nadzorcze w celu nałożenia administracyjnej kary pieniężnej (
6
), w żaden sposób nie oznacza, że są one również uprawnione do ustanowienia przesłanek materialnych dodatkowych w stosunku do tych określonych w RODO.
W tym kontekście Trybunał wyjaśnił, że zezwolenie państwom członkowskim na jednostronne nałożenie wymogu, będącego konieczną przesłanką nałożenia administracyjnej kary pieniężnej na podstawie art. 83 RODO na administratora będącego osobą prawną, aby dane naruszenie zostało uprzednio przypisane lub mogło zostać przypisane zidentyfikowanej osobie fizycznej, byłoby sprzeczne z celem RODO. Ponadto taki dodatkowy wymóg mógłby ostatecznie osłabić skuteczność i odstraszający skutek administracyjnych kar pieniężnych nakładanych na osoby prawne jako administratorów.
Wreszcie Trybunał podkreślił, że pojęcie „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE (
7
) nie ma wpływu na to, czy i na jakich warunkach administracyjna kara pieniężna może zostać nałożona na podstawie RODO na administratora będącego osobą prawną i ma znaczenie wyłącznie dla ustalenia kwoty takiej kary pieniężnej.
Trybunał stwierdził zatem, że RODO (
8
) stoi na przeszkodzie uregulowaniu krajowemu, na mocy którego administracyjna kara pieniężna może zostać nałożona na osobę prawną działającą w charakterze administratora za naruszenie przepisów tego rozporządzenia (
9
), tylko wtedy, gdy naruszenie to zostało uprzednio przypisane zidentyfikowanej osobie fizycznej.
W odniesieniu do kwestii, czy państwa członkowskie mogą przewidzieć nałożenie administracyjnej kary pieniężnej, nawet jeżeli sankcjonowane naruszenie nie zostało popełnione umyślnie lub nieumyślnie, Trybunał przypomniał przede wszystkim, że przesłanki materialne, których organ nadzorczy musi przestrzegać przy nakładaniu administracyjnej kary pieniężnej na administratora, są regulowane wyłącznie prawem Unii i że państwa członkowskie nie dysponują w tym względzie żadnym marginesem swobody.
W odniesieniu do tych przesłanek Trybunał zauważył, że wśród wymienionych w RODO elementów, w świetle których organ nadzorczy nakłada taką karę pieniężną, znajduje się „umyślny lub nieumyślny charakter naruszenia” (
10
). Natomiast żaden z elementów nie wskazuje na jakąkolwiek możliwość pociągnięcia do odpowiedzialności administratora w braku jego zawinionego zachowania. Tak więc jedynie naruszenia przepisów RODO popełnione umyślnie lub nieumyślnie mogą prowadzić do nałożenia na niego administracyjnej kary pieniężnej na podstawie art. 83 tego rozporządzenia.
Trybunał dodał, że wykładnia ta znajduje potwierdzenie w ogólnej systematyce i celu RODO. W tym kontekście wyjaśnił on, że istnienie systemu kar na podstawie RODO pozwalającego na nakładanie, o ile uzasadniają to szczególne okoliczności danej sprawy, administracyjnej kary pieniężnej, stanowi zachętę dla administratorów i podmiotów przetwarzających do przestrzegania tego rozporządzenia oraz że ze względu na swój odstraszający skutek administracyjne kary pieniężne przyczyniają się do wzmocnienia ochrony osób, których dane dotyczą. Jednakże prawodawca Unii nie uznał za konieczne aby przewidzieć nakładanie administracyjnych kar pieniężnych w przypadku braku winy. Biorąc pod uwagę fakt, że RODO ma na celu równoważny i jednolity poziom ochrony oraz że w tym celu należy je stosować w sposób spójny w całej Unii, umożliwienie państwom członkowskim ustanowienia takiego systemu nakładania kary pieniężnej byłoby sprzeczne z tym celem.
W związku z tym Trybunał stwierdził, że zgodnie z art. 83 RODO administracyjna kara pieniężna może zostać nałożona tylko wtedy, gdy zostanie wykazane, że administrator, będący jednocześnie osobą prawną i przedsiębiorstwem, dopuścił się, umyślnie lub nieumyślnie, naruszenia przepisów zawartych w tym rozporządzeniu.
(
1
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwane dalej „RODO”).
(
2
)	Gesetz über Ordnungswidrigkeiten (ustawa o wykroczeniach administracyjnych) z dnia 24 maja 1968 r. (BGBl. 1968 I, s. 481), w wersji komunikatu z dnia 19 lutego 1987 r. (BGBl. 1987 I, s. 602), zmieniona ustawą z dnia 19 czerwca 2020 r. (BGBl. 2020 I, s. 1350).
(
3
)	Art. 58 ust. 2 i art. 83 RGPD.
(
4
)	W tym względzie zob. także wydany w tym samym dniu wyrok Nacionalinis visuomenės sveikatos centras (C-683/21).
(
5
)	Zgodnie z art. 4 pkt 7 RODO.
(
6
)	Jak wynika z art. 58 ust. 4 i art. 83 ust. 8 RODO w świetle motywu 129 RODO.
(
7
)	Do którego odsyła motyw 150 RODO.
(
8
)	Artykuł 58 ust. 2 lit. i) i art. 83 ust. 1-6 RODO.
(
9
)	Wskazanych w art. 83 ust. 4-6 RODO.
(
10
)	Artykuł 83 ust. 2 lit. b) RODO.