CONCLUSIE VAN ADVOCAAT-GENERAAL
L. MEDINA
van 12 september 2024 (1)
Zaak C‑383/23
Anklagemyndigheden
tegen
ILVA A/S
[verzoek van de Vestre Landsret (rechter in tweede aanleg voor het westen van Denemarken, Denemarken) om een prejudiciële beslissing]
„ Prejudiciële verwijzing – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 83 – Administratieve geldboeten – Andere boeten dan administratieve geldboeten – Begrip ‚onderneming’ – Artikelen 101 en 102 VWEU – Moedermaatschappij en dochteronderneming – Inbreuk op verordening 2016/679 door een dochteronderneming – Berekening van het bedrag van de boete – Inaanmerkingneming van de totale omzet van de groep waarvan de betrokken vennootschap deel uitmaakt – Strafzaak ”
1.        Het onderhavige verzoek van de Vestre Landsret (rechter in tweede aanleg voor het westen van Denemarken, Denemarken) om een prejudiciële beslissing betreft de uitlegging van artikel 83, leden 4 tot en met 6, van verordening (EU) 2016/679(2). Het verzoek is ingediend in het kader van een strafprocedure die door de Anklagemyndigheden (openbaar ministerie, Denemarken) is ingeleid tegen ILVA A/S(3) omdat deze als verantwoordelijke voor de verwerking van de persoonsgegevens van ten minste 350 000 voormalige klanten niet heeft voldaan aan haar verplichtingen krachtens artikel 5, lid 1, onder e), artikel 5, lid 2, en artikel 6, AVG.
2.        De zaak betreft de vraag of het begrip „onderneming” in artikel 83, leden 4 tot en met 6, AVG in het licht van overweging 150 van die verordening aldus moet worden uitgelegd dat het overeenstemt met het begrip „onderneming” in de zin van het mededingingsrecht van de Unie (artikelen 101 en 102 VWEU). Dit is in verband met de oplegging van een geldboete aan een vennootschap wegens inbreuk op de AVG aanleiding voor de vraag of daarbij rekening moet worden gehouden met de totale jaaromzet van de economische entiteit (of groep) waarvan de inbreukmakende vennootschap deel uitmaakt en niet alleen met de totale jaaromzet van die vennootschap zelf.
3.        De onderhavige zaak is bijzonder omdat de geldboete in het hoofdgeding niet door de nationale toezichthoudende autoriteit in het kader van haar toezichtsbevoegdheden is opgelegd, maar door een rechter in een strafprocedure. De Uniewetgever heeft met betrekking daartoe een specifieke bepaling in de AVG opgenomen die in het bijzonder van toepassing is op Denemarken.
I.      Toepasselijke bepalingen
A.      Unierecht
4.        De overwegingen 150 en 151 AVG luiden als volgt:
„(150) Teneinde de administratieve straffen tegen inbreuken op deze verordening te versterken en te harmoniseren dient iedere toezichthoudende autoriteit bevoegd te zijn om administratieve geldboeten op te leggen. In deze verordening dienen inbreuken te worden benoemd, evenals maxima en criteria voor de vaststelling van de daaraan verbonden administratieve geldboeten, die per afzonderlijk geval dienen te worden bepaald door de bevoegde toezichthoudende autoriteit, rekening houdend met alle relevante omstandigheden van de specifieke situatie, met inachtneming van met name de aard, de ernst en de duur van de inbreuk en van de gevolgen ervan en de maatregelen die zijn genomen om naleving van de verplichtingen uit hoofde van deze verordening te waarborgen en de gevolgen van de inbreuk te voorkomen of te beperken. Wanneer de administratieve geldboeten worden opgelegd aan een onderneming, moet een onderneming in die context worden gezien als een onderneming overeenkomstig de artikelen 101 en 102 van het VWEU. [...]
(151) De rechtssystemen van Denemarken en Estland laten de in deze verordening beschreven administratieve geldboeten niet toe. De regels over administratieve geldboeten kunnen op een zodanige wijze worden toegepast dat de boete in Denemarken als een strafrechtelijke sanctie door een bevoegd gerecht, en in Estland in het kader van een procedure voor strafbare feiten door de toezichthoudende autoriteit wordt opgelegd, op voorwaarde dat deze toepassingen van de regels in die lidstaten eenzelfde werking hebben als administratieve geldboeten die door toezichthoudende autoriteiten worden opgelegd. Daarom dienen de bevoegde nationale gerechten rekening te houden met de aanbeveling van de toezichthoudende autoriteit die de boete heeft geïnitieerd. De boeten dienen in elk geval doeltreffend, evenredig en afschrikkend te zijn.”
5.        Artikel 83 AVG, met als opschrift „Algemene voorwaarden voor het opleggen van administratieve geldboeten”, bepaalt het volgende:
„1.      Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.
2.      Administratieve geldboeten worden, naargelang de omstandigheden van het concrete geval, opgelegd naast of in plaats van de in artikel 58, lid 2, onder a) tot en met h) en onder j), bedoelde maatregelen. Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:
[...]
3.      Indien een verwerkingsverantwoordelijke of een verwerker opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, is de totale geldboete niet hoger dan die voor de zwaarste inbreuk.
4.      Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 10 000 000 EUR of, voor een onderneming, tot 2 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt:
[...]
5.      Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt:
[...]
6.      Niet-naleving van een bevel van de toezichthoudende autoriteit als bedoeld in artikel 58, lid 2, is overeenkomstig lid 2 van dit artikel onderworpen aan administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit een hoger bedrag vertegenwoordigt.
[...]
8.      De uitoefening door de toezichthoudende autoriteit van haar bevoegdheden uit hoofde van dit artikel is onderworpen aan passende procedurele waarborgen overeenkomstig het Unierecht en het lidstatelijke recht, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.
[...]”
B.      Nationaal recht
6.        In § 41 van lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (wet nr. 502 van 23 mei 2018 ter aanvulling van de verordening betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens) wordt het volgende bepaald:
„[Lid 1.] Tenzij een zwaardere straf op grond van een andere wettelijke regeling gerechtvaardigd is, wordt met een geldboete of gevangenisstraf van maximaal zes maanden gestraft eenieder die handelt in strijd met de bepalingen betreffende:
[...]
(4)       de basisbeginselen van verwerking, met inbegrip van de voorwaarden voor toestemming, zoals opgenomen in de artikelen 5 tot en met 7 en 9 [AVG],
[...]
Lid 3. Artikel 83, lid 2, [AVG] moet in acht worden genomen bij het opleggen van een straf overeenkomstig de leden 1 en 2.
[...]
Lid 6. Vennootschappen (en andere rechtspersonen) kunnen strafrechtelijk aansprakelijk worden gesteld volgens de bepalingen van hoofdstuk 5 van het Wetboek van Strafrecht. [...]”
II.    Feiten van het hoofdgeding en de prejudiciële vragen
7.        ILVA is bij de Deense rechterlijke instanties aangeklaagd op grond dat zij in de periode mei 2018 tot januari 2019 niet heeft voldaan aan de verplichtingen die krachtens artikel 5, lid 1, onder e), artikel 5, lid 2, en artikel 6, AVG op haar als verwerkingsverantwoordelijke rusten met betrekking tot het bewaren van persoonsgegevens van haar voormalige klanten.
8.        ILVA exploiteert een keten van meubelwinkels en maakt deel uit van de Lars Larsen Groep (hierna: „groep”). De totale omzet van de groep in boekjaar 2016/2017 bedroeg 6,57 miljard Deense kronen (DKK) (ongeveer 881 miljoen EUR), waarvan 1,8 miljard DKK (ongeveer 241 miljoen EUR) door dochteronderneming ILVA was gerealiseerd.
9.        Op aanbeveling van de Datatilsynet (hierna: „dienst voor gegevensbescherming”, Denemarken; de Deense autoriteit voor gegevensbescherming of „toezichthoudende autoriteit” volgens de AVG) heeft het openbaar ministerie geëist ILVA een geldboete van 1,5 miljoen DKK (ongeveer 201 000 EUR) op te leggen. De omzetgerelateerde grondslag voor de berekening van het bedrag van die boete is niet de omzet van ILVA, maar de totale omzet van de hele groep.
10.      Bij vonnis van 12 februari 2021 heeft de Ret i Aarhus (rechter in eerste aanleg, Aarhus, Denemarken) ILVA schuldig bevonden, maar geoordeeld dat zij, anders dan het openbaar ministerie stelt, nalatig heeft gehandeld. Die rechter heeft ILVA veroordeeld tot betaling van een geldboete van 100 000 DKK (ongeveer 13 400 EUR). Bovendien was het volgens hem niet nodig om de omzet van de groep in aanmerking te nemen voor de berekening van de geldboete, aangezien alleen ILVA en niet de gehele groep was aangeklaagd. De rechter wees er ook op dat ILVA een zelfstandige detailhandelsactiviteit uitoefende en dat de groep die dochteronderneming niet had opgericht met als enige doel haar te belasten met de verwerking van de persoonsgegevens van de groep.
11.      Tegen dit vonnis heeft het openbaar ministerie hoger beroep ingesteld bij de Vestre Landsret, de verwijzende rechter. Deze wenst te vernemen of het begrip „onderneming” in artikel 83, leden 4 tot en met 6, AVG aldus moet worden uitgelegd dat wanneer een vennootschap inbreuk maakt op de AVG, bij de vaststelling van een geldboete rekening moet worden gehouden met de omzet van de groep waarvan de betrokken vennootschap deel uitmaakt.
12.      Het openbaar ministerie betoogt dat dit het geval is. Het stelt dat uit overweging 150 AVG volgt dat dat begrip in overeenstemming met de artikelen 101 en 102 VWEU moet worden opgevat.
13.      ILVA stelt daarentegen dat bij de vaststelling van een geldboete wegens schending van de AVG door een onderneming niet mag worden uitgegaan van de totale omzet van de groep waarvan de vennootschap deel uitmaakt. In dit specifieke geval betreft de aanklacht alleen ILVA, een dochteronderneming, en niet de moedermaatschappij.
14.      De verwijzende rechter is van mening dat uit de AVG geen duidelijk antwoord op deze vraag volgt.
15.      In die omstandigheden heeft de Vestre Landsret de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1)      Moet het begrip ‚onderneming’ in artikel 83, leden 4 tot en met 6, [AVG], in het licht van overweging 150 van die verordening en de rechtspraak van het [Hof] over het mededingingsrecht van de Unie, worden opgevat als een onderneming in de zin van de artikelen 101 en 102 VWEU, zodat het begrip ‚onderneming’ zich uitstrekt tot elke eenheid die een economische activiteit uitoefent, ongeacht haar rechtsvorm en de wijze waarop zij wordt gefinancierd?
2)      Indien de eerste vraag [...] bevestigend wordt beantwoord, moet artikel 83, leden 4 tot en met 6, [AVG] dan aldus worden uitgelegd dat bij het opleggen van een geldboete aan een onderneming rekening moet worden gehouden met de totale wereldwijde jaaromzet van de economische eenheid waarvan de onderneming deel uitmaakt, of alleen met de totale wereldwijde jaaromzet van de onderneming zelf?”
III. Procedure bij het Hof
16.      ILVA en de Europese Commissie hebben schriftelijke opmerkingen ingediend. Op 19 juni 2024 vond een terechtzitting plaats, waarop beide partijen vertegenwoordigd waren.
IV.    Beoordeling
A.      Inleiding
17.      Het feit dat de dienst voor gegevensbescherming in beginsel geen administratieve boeten kan opleggen voor inbreuken op de wetgeving inzake gegevensbescherming, vormt de achtergrond van de specifieke bepalingen van de AVG die in casu relevant(4) zijn en met name op Denemarken toepassing vinden. In plaats daarvan moet de dienst voor gegevensbescherming, indien hij dit nodig acht, een melding doen bij de politie.(5) De politie stelt vervolgens een onderzoek in en bepaalt of er gronden zijn voor een formele aanklacht. In dat geval wordt de zaak verwezen naar de rechter, die de zaak beoordeelt en de hoogte van de geldboete bepaalt.
B.      Beoordeling van de prejudiciële vragen
18.      Het is naar mijn mening dienstig om de twee vragen samen te behandelen. Met deze vragen wenst de verwijzende rechter in wezen te vernemen of het begrip „onderneming” in artikel 83, leden 4 tot en met 6, AVG in het licht van overweging 150 van die verordening aldus moet worden uitgelegd dat het overeenstemt met het begrip „onderneming” in de zin van artikelen 101 en 102 VWEU. Dit geeft aanleiding tot de vraag of bij de oplegging van een geldboete aan een vennootschap wegens een AVG-inbreuk rekening dient te worden gehouden met de totale jaaromzet van de gehele onderneming (de economische entiteit of groep, in casu de Lars Larsen Groep, goed voor circa 881 miljoen EUR), waarvan de inbreukmakende vennootschap deel uitmaakt(6), en niet alleen met de totale jaaromzet van die vennootschap zelf (ILVA, goed voor circa 241 miljoen EUR).
1.      Arrest Deutsche Wohnen
19.      Artikel 83 AVG vormt de rechtsgrond voor het opleggen van geldboeten wegens inbreuken op die verordening. De AVG bevat geen definitie van het begrip „onderneming” voor handhavingsdoeleinden, maar in overweging 150 van deze verordening staat vermeld dat de beginselen van het mededingingsrecht van de Unie moeten worden gebruikt om dit begrip uit te leggen.(7)
20.      Het Hof heeft onlangs de gelegenheid gehad om een aantal (maar niet alle) leden van artikel 83 AVG uit te leggen en in te gaan op bepaalde kwesties die verband houden met de prejudiciële vragen in de onderhavige zaak.
21.      In het arrest Deutsche Wohnen(8) heeft het Hof met name geoordeeld dat blijkens „artikel 83, leden 4 tot en met 6, AVG – dat betrekking heeft op de berekening van administratieve geldboeten die worden opgelegd wegens de in die leden genoemde inbreuken, – wanneer degene aan wie de administratieve geldboete wordt opgelegd een onderneming is of deel uitmaakt van een onderneming in de zin van de artikelen 101 en 102 VWEU, het maximumbedrag van de administratieve geldboete wordt berekend op basis van een percentage van de totale wereldwijde jaaromzet van de betrokken onderneming in het voorafgaande boekjaar”.
22.      Het Hof preciseert dat het maximumbedrag van de administratieve geldboete is gebaseerd op de totale wereldwijde jaaromzet(9) van de „onderneming”, waardoor dit begrip moet worden begrepen in overeenstemming met het mededingingsrecht van de Unie (artikelen 101 en 102 VWEU). Het Hof merkt aldus op dat de Uniewetgever bij de vaststelling van het maximumbedrag van de geldboeten in het kader van de AVG een brug heeft willen slaan tussen de bepalingen van de AVG en die van de mededingingswetgeving van de Unie.
23.      In dit verband is artikel 83, leden 4 tot en met 6, AVG immers vergelijkbaar met artikel 23, lid 2, van verordening (EG) nr. 1/2003(10), voor zover in beide een wettelijk maximum wordt vastgesteld voor geldboeten op grond van de respectieve verordeningen.
24.      Het Hof heeft zijn redenering voortgezet en is ingegaan op de voorwaarden die van toepassing zijn bij het bepalen van het bedrag van de administratieve boete. Het heeft er in zijn arrest Deutsche Wohnen (punt 58) op gewezen dat „alleen een administratieve geldboete waarvan het bedrag door de toezichthoudende autoriteit – aan de hand van de daadwerkelijke of materiële economische draagkracht van degene aan wie deze geldboete wordt opgelegd – wordt vastgesteld met gebruikmaking van het begrip ‚economische eenheid’ in de zin van de [...] rechtspraak[(11)], [kan] voldoen aan de drie voorwaarden van artikel 83, lid 1, AVG, die inhouden dat de administratieve geldboete zowel doeltreffend, evenredig als afschrikkend moet zijn”. Hoewel het Hof in dit verband heeft verwezen naar „degene aan wie deze geldboete wordt opgelegd” en aldus het verband heeft benadrukt tussen de geldboete en de uitdrukkelijk van de AVG-inbreuk beschuldigde persoon, is het Hof daarna nog ingegaan op het begrip „onderneming” („economische eenheid”) in de zin van het mededingingsrecht van de Unie.
25.      In punt 59 van dat arrest heeft het Hof voorts geoordeeld dat „[w]anneer een toezichthoudende autoriteit op grond van de bevoegdheden waarover zij krachtens artikel 58, lid 2, AVG beschikt, besluit om een verwerkingsverantwoordelijke die een onderneming is of die deel uitmaakt van een onderneming in de zin van de artikelen 101 en 102 VWEU, een administratieve geldboete op te leggen overeenkomstig artikel 83 AVG, [...] die autoriteit zich dus krachtens laatstgenoemde bepaling, gelezen in het licht van overweging 150 van deze verordening, bij de berekening van de administratieve geldboeten wegens de in de leden 4 tot en met 6 van dat artikel 83 bedoelde inbreuken [moet] baseren op het begrip ‚onderneming’ in de zin van die artikelen 101 en 102 VWEU”.(12)
26.      Mijns inziens volgt uit het arrest Deutsche Wohnen dat in een geval waarin inbreuk op de AVG is gemaakt door een verwerkingsverantwoordelijke of een verwerker die een onderneming is (of deel uitmaakt van een onderneming), bij de vaststelling van het maximumbedrag van de geldboete de verwijzing naar de totale wereldwijde jaaromzet van de „onderneming” moet worden opgevat in overeenstemming met de artikelen 101 en 102 VWEU. Dit verduidelijkt echter niet alleen de kwestie van het maximumbedrag van de geldboete die eventueel aan die verwerkingsverantwoordelijke of verwerker kan worden opgelegd. Wat het ook betekent is dat de zeer genuanceerde (en nogal casuïstische) rechtspraak over de begrippen „onderneming” en „economische eenheid” tot op zekere hoogte ook relevant wordt voor het vaststellen van de voorwaarden ter bepaling van de geldboete die daadwerkelijk wordt opgelegd voor die specifieke inbreuk op de AVG.
27.      In de volgende punten analyseer ik de invloed van het arrest Deutsche Wohnen in de specifieke context van de onderhavige zaak om te komen tot een kader dat de verwijzende rechter tot richtsnoer zou moeten dienen bij het bepalen van de geldboete van ILVA.
2.      Stap 1 van de analyse na het arrest Deutsche Wohnen: algemene analyse met het oog op de vaststelling van het maximumbedrag van de geldboete
28.      Zoals in punten 25 en 26 van deze conclusie is aangegeven, volgt uit de bewoordingen van artikel 83 AVG, gelezen in het licht van overweging 150 van die verordening, en uit de rechtspraak in de zaak Deutsche Wohnen dat, wanneer de verwerkingsverantwoordelijke of de verwerker (deel van) een „onderneming” in de zin van de artikelen 101 en 102 VWEU is, de totale omzet van een dergelijke onderneming als geheel moet worden gebruikt om het maximumbedrag van de geldboete te bepalen.
29.      In de mededingingsrechtspraak van het Hof is bepaald dat het begrip „onderneming” elke „eenheid [omvat] die een economische activiteit uitoefent, ongeacht haar rechtsvorm en de wijze waarop zij wordt gefinancierd”.(13)
30.      Tevens volgt uit de rechtspraak van het Hof dat het begrip „onderneming” in de artikelen 101 en 102 VWEU één economische eenheid kan aanduiden, ook al bestaat deze economische eenheid uit meerdere natuurlijke of rechtspersonen. Of meerdere entiteiten een dergelijke eenheid vormen, hangt sterk af van de vraag of de individuele entiteit zelf beslissingsbevoegdheid heeft dan wel of een leidende entiteit, namelijk de moedermaatschappij, een beslissende invloed uitoefent op de andere entiteiten. De criteria voor de bepaling hiervan zijn gebaseerd op de economische, juridische en organisatorische banden tussen de moedermaatschappij en haar dochteronderneming, bijvoorbeeld de omvang van de deelneming, de personele of organisatorische banden, instructies en het bestaan van bedrijfsovereenkomsten.(14)
31.      In de rechtspraak wordt ook duidelijk dat uit een reeks onderling overeenstemmende gegevens kan worden afgeleid dat de moedermaatschappij daadwerkelijk beslissende invloed uitoefent op het gedrag van de dochteronderneming, ook al volstaat geen van die gegevens op zichzelf beschouwd om van een dergelijke invloed te kunnen spreken.(15) De Unierechters hebben zich in dit verband onder meer gebaseerd op de bevoegdheid van de moedermaatschappij om de leden van de verschillende raden van bestuur van de dochteronderneming te benoemen, alsmede de bevoegdheid om de aandeelhouders voor de algemene vergaderingen op te roepen en om het ontslag van de bestuurders of van de volledige raad van bestuur voor te stellen.(16)
32.      Uit vaste rechtspraak volgt dat een moedermaatschappij in het bijzondere geval waarin zij direct of indirect in het bezit is van het gehele of nagenoeg gehele kapitaal van haar dochteronderneming die een inbreuk op de mededingingsregels heeft begaan, beslissende invloed kan uitoefenen op het gedrag van deze dochteronderneming en bovendien het weerlegbare vermoeden bestaat dat zij daadwerkelijk dergelijke invloed uitoefent.(17)
33.      Volgens punt 2 van de verwijzingsbeschikking maakt ILVA deel uit van de Lars Larsen Groep. Indien de verwijzende rechter zou vaststellen dat de moedermaatschappij van die groep beslissende invloed uitoefent op ILVA, dan zou de „onderneming” in de zin van artikel 83, lid 5, AVG bestaan uit: i) de moedermaatschappij van die groep, ii) ILVA, en iii) elke andere vennootschap waarop de moedermaatschappij eveneens beslissende invloed uitoefent. Deze laatste categorie omvat mogelijk de andere vennootschappen van de Lars Larsen Groep.
34.      In artikel 83, leden 4 tot en met 6, AVG wordt uitdrukkelijk verwezen naar de „omzet” in het kader van de berekening van het maximumbedrag van de boete die aan ondernemingen kan worden opgelegd. Dat maximumbedrag geldt voor zeer grote ondernemingen, aangezien de limiet niet van toepassing is indien de geldboete lager is dan het absolute bedrag dat in die drie leden van artikel 83 wordt genoemd, namelijk 10 miljoen EUR of 20 miljoen EUR. Het op basis van de omzet vastgestelde plafond is dus alleen relevant voor ondernemingen met een totale wereldwijde omzet van meer dan 500 miljoen EUR.(18)
35.      Indien de verwijzende rechter zou vaststellen dat de moedermaatschappij van de Lars Larsen Groep beslissende invloed uitoefent op ILVA, volgt hieruit dat in dat geval, in abstracte vorm, het maximumbedrag van de in het hoofdgeding op te leggen geldboete moet worden berekend op basis van een percentage van de totale wereldwijde jaaromzet in het voorafgaande boekjaar van de betrokken onderneming, te weten de Lars Larsen Groep (waarvan ILVA deel uitmaakt).
3.      Stap 2 van de analyse na het arrest Deutsche Wohnen: analyse om de daadwerkelijke geldboete vast te stellen voor de inbreuken in het hoofdgeding
36.      De kwestie van het vaststellen van het maximumbedrag van de geldboete, zoals de Uniewetgever in artikel 83, leden 4 tot en met 6, AVG heeft bedoeld, mag niet worden verward of samengevoegd met de daaropvolgende taak van een toezichthoudende autoriteit(19) die erin bestaat de daadwerkelijke geldboete te bepalen die voor de betrokken specifieke inbreuk of inbreuken op de AVG moet worden opgelegd.
37.      Daartoe moet ten eerste worden opgemerkt dat artikel 83, lid 1, AVG drie essentiële voorwaarden noemt(20) die de toezichthoudende autoriteit in acht moet nemen. Elk van deze voorwaarden vereist een individuele afweging van alle elementen van de betrokken inbreuk en van de daadwerkelijk op te leggen passende geldboete. Voorts verplicht artikel 83, lid 2, die autoriteit ertoe een aantal vereisten in acht te nemen om te beslissen „of een administratieve geldboete wordt opgelegd en [wat] de [passende] hoogte [van die feitelijke administratieve boete is]”. Om de toepassing van artikel 83, leden 4 tot en met 6, AVG in de context van de vaststelling van de daadwerkelijke geldboete in een individueel geval volledig te begrijpen, moeten deze leden dus worden gelezen in samenhang met artikel 83, lid 1, en artikel 83, lid 2, van die verordening. Nog belangrijker is dat in dit laatste artikel specifieke elementen worden vermeld waarmee een toezichthoudende autoriteit in een bepaald geval rekening moet houden bij de vaststelling van het concrete bedrag van de boete.
38.      De bewoordingen van lid 2 van dit artikel vereisen dat naar behoren rekening wordt gehouden met diverse elementen van „elk concreet geval”, waarbij het tegelijkertijd aan de toezichthoudende autoriteit wordt overgelaten om die specifieke elementen te benoemen die betrekking hebben op de bij haar aanhangige zaak en om vast te stellen of deze relevant zijn voor de berekening van het daadwerkelijke bedrag van de geldboete.(21)
39.      Anders dan artikel 83, leden 4 tot en met 6, AVG (zie punt 34 van deze conclusie), bevat noch artikel 83, lid 2, noch artikel 83, lid 1, noch artikel 83, lid 3, AVG(22) een verwijzing naar de omzet van de onderneming. Hieruit volgt dat de Uniewetgever ervoor heeft gekozen om de „omzet” niet op te nemen als een specifieke factor voor de vaststelling van de daadwerkelijke geldboete. In plaats daarvan worden in artikel 83, lid 2, andere factoren(23) vermeld die kenmerkend zijn voor het gedrag van een verwerkingsverantwoordelijke of verwerker die van een inbreuk wordt beschuldigd, om ervoor te zorgen dat elke inbreuk op basis van alle relevante individuele omstandigheden wordt beoordeeld. Naar mijn mening kan uit het voorgaande worden afgeleid dat de Uniewetgever een onderscheid heeft willen maken tussen de factoren die ten grondslag liggen aan de vaststelling van het maximumbedrag van de geldboete (stap 1) en de lijst van vereisten waaraan de toezichthoudende autoriteit gebonden is bij het vaststellen van het daadwerkelijke bedrag van de geldboete (stap 2).
40.      In dit verband herinner ik eraan dat het Hof heeft benadrukt dat „al dan niet strafrechtelijke sancties slechts kunnen worden opgelegd indien daarvoor een duidelijke en eenduidige rechtsgrondslag bestaat”.(24) Dat is dus zeker het geval in strafzaken zoals de onderhavige. In de rechtspraak van het Hof wordt verwezen naar „het legaliteitsbeginsel [dat] vereist dat de wet een duidelijke omschrijving geeft van de strafbare feiten en de daarop gestelde straffen [...] [en naar] de criteria die in de rechtspraak van het [Europees Hof voor de Rechten van de Mens (EHRM)] worden gehanteerd”.(25)
41.      De Commissie betoogt in dat verband in wezen dat de AVG in casu inhoudt dat niet alleen het maximumbedrag van de geldboete moet worden gebaseerd op de omzet van de onderneming waartoe de vennootschap behoort, maar ook de berekening van de daadwerkelijke geldboete. Hetgeen is uiteengezet in de punten 37 tot en met 40 van deze conclusie staat echter in de weg aan de bevinding dat artikel 83, leden 1 tot en met 6, AVG aldus moet worden uitgelegd dat de regels voor de vaststelling van het maximumbedrag van de geldboete (stap 1) ook moeten worden gebruikt als voornaamste of enige referentie voor de vaststelling van de daadwerkelijke geldboete (stap 2).
42.      Voorts kan als onderdeel van het afgeleide effect van het slaan van een brug tussen de twee rechtsgebieden de noodzaak om een onderscheid te maken tussen het maximumbedrag van een geldboete (stap 1) en de daadwerkelijke geldboete (stap 2) ook uit het mededingingsrecht van de Unie worden afgeleid., Net als bij artikel 83 AVG gebruikt de Commissie in het mededingingsrecht van de Unie namelijk ook de omzet voor de berekening van het maximumbedrag van de geldboete (dat is vastgesteld op 10 % van de totale omzet van de onderneming per inbreuk). Het is van belang erop te wijzen dat de basisboete zelf niet op grond van de omzet wordt bepaald.(26)
43.      In plaats daarvan wordt de basisboete in wezen vastgesteld als een percentage van de waarde van de betrokken verkopen (die rechtstreeks of indirect verband houden met de mededingingsinbreuk), vermenigvuldigd met de duur (jaren of perioden korter dan een jaar), vermeerderd met 15 tot 25 % van de waarde van de betrokken verkopen (als extra afschrikking voor kartels). Deze basisboete wordt vervolgens verhoogd door middel van verzwarende factoren of verlaagd door middel van verzachtende factoren. Voor dit bedrag geldt vervolgens het algemene plafond van 10 % van de omzet (in voorkomend geval is er een extra mogelijkheid om de geldboete te verlagen op basis van clementie, schikking en/of onvermogen om te betalen). Hieruit blijkt duidelijk dat de factoren die de inbreuk rechtstreeks kenmerken (zoals de betrokken verkopen, de duur van de inbreuk en de specifieke omstandigheden van het geval) centraal staan bij de vaststelling van de daadwerkelijke geldboete, en niet de totale wereldwijde jaaromzet.
44.      Zoals reeds in de rechtsleer is benadrukt, „kan de methode voor de berekening van de geldboeten die de Commissie op grond van de artikelen 101 [en] 102 VWEU gebruikt, niet rechtstreeks in de AVG worden overgenomen, aangezien met de mededingingsrechtelijke geldboeten eerder wordt gepoogd het effect van het [mededingingsverstorende] gedrag op de betrokken markt te vangen dan naar de omzet als zodanig te kijken. Ten aanzien van kartels zijn bijvoorbeeld de geldboeten gebaseerd op de waarde van de verkopen met betrekking tot het ‚product waarop het kartel betrekking heeft’ en niet op de wereldwijde omzet.”(27)
45.      De rechtspraak van het Hof bevestigt immers dat het deel van de totale omzet dat afkomstig is van de verkoop van de producten waarop de inbreuk betrekking heeft (dat wil zeggen „de waarde van de verkopen”), het meest geschikt is om de economische impact van de inbreuk tot uiting te brengen.(28) Wat daarentegen met het begrip „omzet” in de zin van de AVG wordt beoogd is het economische belang van de onderneming weergeven.(29) Deze twee benaderingen mogen niet op één hoop worden gegooid aangezien ze twee verschillende doelen dienen: het eerste criterium is bedoeld om de ernst van de inbreuk te beoordelen, terwijl het tweede criterium is bedoeld om het economische belang van de onderneming te beoordelen.
46.      Op grond van de voorgaande overwegingen en de rechtspraak van het Hof (aangehaald in punt 40 van deze conclusie) kom ik dan ook tot de slotsom dat de invloed die van de mededingingsrechtspraak van de Unie uitgaat voor het opleggen van feitelijke geldboeten voor inbreuken op de AVG moet worden begrensd door het legaliteitsbeginsel. Er moet met name voor worden gezorgd dat de daadwerkelijke AVG-boeten uitsluitend worden berekend met betrekking tot de handelingen van de dader en dat daarbij ten volle rekening wordt gehouden met alle kenmerken van de specifieke inbreuk. Daarom kan de uitlegging van de begrippen „omzet” en „onderneming” die wordt gehanteerd bij de vaststelling van het maximumbedrag van de geldboete niet automatisch worden overgenomen bij de berekening van de daadwerkelijke geldboete.
47.      Wil een geldboete voldoen aan de doelstelling van de AVG, namelijk de handhaving van de regels van deze verordening versterken, en in het licht van de hierboven besproken rechtspraak van het Hof, dan moet de uitlegging van de begrippen „onderneming” en „omzet” bij de vaststelling van het bedrag van de daadwerkelijke geldboete beantwoorden aan de volgende vereisten. Bij de vaststelling van de daadwerkelijke geldboete moet de toezichthoudende autoriteit zich ten eerste baseren op alle individuele omstandigheden van het specifieke geval, zoals artikel 83, lid 2, AVG vereist, met inbegrip van de verhoudingen binnen de „onderneming” zoals bepaald in de mededingingsrechtspraak van de Unie. Ten tweede moet de daadwerkelijke geldboete, na afweging van alle relevante omstandigheden, doeltreffend, evenredig en afschrikkend zijn. Ten slotte, maar nog altijd belangrijk, moeten in voorkomend geval de voor de zaak relevante aspecten van het strafrecht worden nageleefd.
48.      Om aan deze eisen te voldoen, wil ik het volgende in herinnering brengen.
49.      Zoals advocaat-generaal Pitruzzella heeft opgemerkt(30), hangen de betekenis en de omvang van het begrip „onderneming” in het Unierecht af van de regeling waarin dit begrip wordt gebruikt en de verschillende doelstellingen van die regeling. In het mededingingsrecht moet het functionele karakter van het begrip „onderneming” op twee wijzen worden opgevat. Ten eerste laat het Hof zich leiden door de aard van de uitgeoefende activiteit en niet door de kenmerken van degenen die ze uitoefenen. Mededinging bestaat in en wordt beïnvloed door economische activiteiten. Om die reden spreken de artikelen 101 en 102 VWEU in algemene termen van „ondernemingen”, zonder enige verwijzing naar hun juridische structuur. Ten tweede hangt de kwalificatie van een activiteit als economisch – en dus een entiteit als „onderneming” – met het oog op de toepassing van het mededingingsrecht van de Unie af van de onderzochte context. Op dezelfde wijze hangt de vraag welke entiteiten onder het begrip „onderneming” vallen af van het voorwerp van de verweten inbreuk.
50.      In deze overwegingen wordt er terecht op gewezen dat in het mededingingsrecht van de Unie voorrang wordt gegeven aan economische belangen, zonder dat rekening wordt gehouden met de juridische structuren van de betrokken entiteit. Het tweede aspect beperkt dit uitgangspunt dus in die zin dat de identificatie van de voor de inbreuk verantwoordelijke entiteit of persoon en bijgevolg de daadwerkelijke geldboete afhangt van de betrokken inbreuk zelf.
51.      Bijgevolg is een van de kenmerkende factoren voor het begrip „onderneming” die in aanmerking moet worden genomen bij de vaststelling van de basisboete en de aanpassing ervan (om tot de daadwerkelijke geldboete te komen), de mate waarin andere vennootschappen van die onderneming betrokken waren bij de inbreuk op de AVG. In dat verband is in de nationale rechtspraak over het mededingingsrecht van de Unie betoogd dat „conceptueel gezien de vraag naar het bestaan van een ‚onderneming’ en de vraag naar de toerekening van aansprakelijkheid aan verschillende vennootschappen binnen een ‚onderneming’ verschillende vragen zijn[(31)] [en] een persoon is niet noodzakelijkerwijs aansprakelijk voor een inbreuk op artikel 101 [VWEU] op grond van het enkele feit dat hij onderdeel is van een onderneming die volgens het Unierecht verantwoordelijk is voor de inbreuk, in omstandigheden waarin de persoon in kwestie niet aan de inbreuk heeft deelgenomen en evenmin beslissende invloed heeft gehad op het gedrag op de relevante markt van andere onderdelen van de onderneming die wel hebben deelgenomen [...] [I]n dergelijke omstandigheden is de kans klein dat de persoon in kwestie feitelijk wordt geacht deel van die ‚onderneming’ uit te maken”.(32)
52.      Naar mijn mening zijn de bovenstaande argumenten ook van belang bij de bepaling van welke personen onder het begrip „onderneming” vallen voor de vaststelling van de daadwerkelijke geldboete wegens de inbreuk op de AVG. Dit is in het bijzonder het geval wanneer de toezichthoudende autoriteit uitdrukkelijk heeft vastgesteld dat de moedermaatschappij niet als verwerkingsverantwoordelijke of als verwerker bij de litigieuze inbreuk betrokken was(33), zoals in het hoofdgeding.
53.      Hoewel de Uniewetgever voor de vaststelling van maximumboeten tot op zekere hoogte een brug heeft geslagen tussen de twee Unierechtelijke gebieden, worden met de regels voor de AVG en de regels voor het mededingingsrecht van de Unie duidelijk verschillende doelstellingen nagestreefd. Het regelgevingssysteem van de AVG verschilt van dat van de mededingingswetgeving van de Unie en is gebaseerd op het begrip aansprakelijkheid van de verwerkingsverantwoordelijke (en verwerker) voor de rechtmatige verwerking van persoonsgegevens. Met andere woorden, het mededingingsrecht van de Unie is gericht op „ondernemingen” (het in dit recht neergelegde verbod wordt uitgedrukt onder verwijzing naar een „onderneming”), en in de AVG ligt de focus op „verwerkingsverantwoordelijken” en „verwerkers”. Aangezien de theorie van de „economische eenheid” niet los kan worden gezien van de logica en het doel van het mededingingsrecht van de Unie, herinner ik er ook aan dat het Hof eerder heeft geweigerd de toepassing ervan naar analogie uit te breiden tot andere gebieden van het Unierecht, zoals tot de niet-contractuele aansprakelijkheid op grond van artikel 340, tweede alinea, VWEU.(34)
54.      Gelet op deze overwegingen is het duidelijk waarom het Hof de gevolgen van het mededingingsrecht van de Unie voor de handhaving van de AVG (en in het bijzonder de geldboeten van de AVG) duidelijk heeft beperkt. In het arrest Deutsche Wohnen (punt 53) heeft het Hof geoordeeld dat het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU „geen invloed heeft op de beantwoording van de vraag of en onder welke voorwaarden overeenkomstig artikel 83 AVG een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke die een rechtspersoon is, aangezien deze kwestie uitputtend wordt geregeld in artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, van die verordening”. Vervolgens heeft het (in punt 54) opgemerkt dat dit begrip „enkel relevant [is] voor de vaststelling van het bedrag van de administratieve geldboete die krachtens artikel 83, leden 4 tot en met 6, AVG [(dat gaat over de maximumboete)] aan een verwerkingsverantwoordelijke wordt opgelegd” (cursivering van mij). Bovendien heeft het Hof, door (in punt 53) te oordelen dat de vraag of en onder welke voorwaarden een administratieve geldboete kan worden opgelegd „uitputtend wordt geregeld door artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, van die verordening” (cursivering van mij), nog nader gepreciseerd dat bij de vaststelling van de daadwerkelijke geldboete de vereisten van artikel 83, leden 1 tot en met 6, in hun geheel moeten worden toegepast en dat geen van deze leden voorgaat op de andere.
55.      Daarom is de „omzet” van de „onderneming” slechts één van de vele factoren waarmee rekening moet worden gehouden bij het toezien op de aansprakelijkheid van een verwerkingsverantwoordelijke (of een verwerker) en bij het opleggen van een doeltreffende, evenredige en afschrikkende geldboete krachtens de AVG.
56.      Uit de rechtspraak van het Hof blijkt inderdaad dat het in bepaalde situaties volgens het mededingingsrecht van de Unie gerechtvaardigd kan zijn om met de omzet van een onderneming rekening te houden bij de berekening van het daadwerkelijke boetebedrag (bijvoorbeeld bij de verhoging van de basisboete met het oog op een afschrikkende werking), maar slechts als een van meerdere relevante factoren.(35)
57.      Daarom moet naar mijn mening het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU kunnen worden gebruikt om de daadwerkelijke geldboete vast te stellen, maar alleen wanneer dit naar behoren gerechtvaardigd is om de geldboete afschrikkend en doeltreffend te maken. In dat verband moet het gebruik van dat begrip namelijk in elk concreet geval worden genuanceerd en geïndividualiseerd. Meer in het bijzonder kan het als correctiemechanisme worden gebruikt bij de beoordeling van de specifieke omstandigheden van een individueel geval nadat de geldboete overeenkomstig artikel 83, lid 2, AVG is vastgesteld. Het staat derhalve aan de verwijzende rechter om na te gaan of er in casu sprake is van omstandigheden die een dergelijke verhoging van de geldboete zouden rechtvaardigen, met name ter afschrikking.
58.      De kwestie van de individualisering van geldboeten in het kader van de AVG(36) is ook aan de orde gesteld in het Europees Comité voor gegevensbescherming (EDPB).(37) In zijn richtsnoeren voor de berekening van AVG-geldboeten(38), die zijn opgesteld overeenkomstig artikel 70, lid 1, onder k), AVG, streeft de EDPB ernaar de bevoegdheid van de toezichthoudende autoriteiten om geldboeten op grond van de AVG op te leggen in de gehele Europese Unie te standaardiseren. De EDPB vermeldt in het bijzonder dat hij uitgaat van „drie elementen die het vertrekpunt vormen voor verdere berekening: de indeling van inbreuken volgens hun aard op grond van [artikel] 83, leden 4 tot en met 6, AVG, de [ernst] van de inbreuk [...] en de omzet van de onderneming als relevant element om rekening mee te houden met het oog op het opleggen van een doeltreffende, afschrikkende en evenredige geldboete op grond van artikel 83, lid 1, AVG”. Ook al zijn deze richtsnoeren niet bindend voor het Hof, deze overwegingen tonen aan dat alleen een grondige benadering die alle voor een specifiek geval relevante elementen omvat, kan waarborgen dat de geldboete voldoet aan de belangrijkste vereisten van artikel 83 van die verordening, met name dat de daadwerkelijk opgelegde geldboete doeltreffend, evenredig en afschrikkend moet zijn.
59.      Bijgevolg geef ik het Hof in overweging om met het oog op de vaststelling van het bedrag van de daadwerkelijke geldboete te oordelen dat de volgende aspecten in acht moeten worden genomen bij de toepassing van het begrip „onderneming” in het kader van de vaststelling van de daadwerkelijke geldboete op grond van artikel 83 AVG. Ten eerste moet worden beoordeeld of de moedermaatschappij haar beslissingsbevoegdheid heeft uitgeoefend met betrekking tot de specifieke activiteiten van de verwerkingsverantwoordelijke of verwerker die betrokken is bij de inbreuk(en) op de AVG. Ten tweede moet worden onderzocht of een specifieke verwerking van gegevens in strijd met de AVG betrekking heeft op de betrokken onderneming en/of de gehele groep. Ten derde moet worden nagegaan of er meer dan één onderneming van de groep betrokken was bij de inbreuk(en) op de AVG.
60.      In dat verband wijs ik erop dat de volgende niet-limitatieve lijst van elementen relevant is: i) in de onderhavige zaak(39) – anders dan in de zaak die heeft geleid tot het arrest Deutsche Wohnen – blijkt dat de Lars Larsen Groep en/of haar moedermaatschappij niet betrokken was bij de strafprocedure; ii) de aanklacht is alleen tegen ILVA en niet tegen de groep ingediend(40), en iii) de inbreuk op de AVG in het hoofdgeding was beperkt tot de klanten van ILVA en hun gegevens en niets erop wees dat de inbreuk op het niveau van de groep zelf had plaatsgevonden of dat de verwerking van ILVA verband hield met de andere ondernemingen van de groep. Er zij op gewezen dat in de zaak die heeft geleid tot het arrest Deutsche Wohnen de „betrokken vennootschap” volledig verantwoordelijk was voor de verwerking van de gegevens, dat wil zeggen ook voor de verwerking van de gegevens van de andere ondernemingen in de groep.(41)
61.      Het staat evenwel aan de verwijzende rechter, die als enige bevoegd is om uitspraak te doen over de feiten, om dienaangaande het nodige onderzoek te verrichten, om rekening te houden met deze elementen en na te gaan welke relevantie en gewicht eraan moet worden toegekend in het kader van de vaststelling van het passende bedrag van de daadwerkelijke geldboete die aan ILVA moet worden opgelegd.
4.      Slotopmerkingen
62.      Hoewel de verwijzende rechter er geen vragen over heeft gesteld, ben ik van mening dat het voor een volledig antwoord aan deze rechter dienstig is om kort in te gaan op bepaalde specifieke aspecten van de onderhavige zaak.
63.      De uitlegging van artikel 83, leden 1 tot en met 6, in het hoofdgeding dient met name te geschieden in samenhang met artikel 83, lid 9, AVG(42), een kwestie die het Hof niet heeft behandeld in het arrest Deutsche Wohnen.(43) Derhalve moet de regeling voor de vaststelling van een passende daadwerkelijke geldboete op grond van artikel 83 AVG in het onderhavige geval op een wijze worden uitgelegd die in overeenstemming is met de essentiële waarborgen van een strafproces.
64.      Bij de analyse van de gevolgen van artikel 83, lid 9, voor de onderhavige zaak moet ook rekening worden gehouden met overweging 151 AVG, volgens welke „[d]e rechtsstelsels van Denemarken en Estland[(44)] [...] de in deze verordening beschreven administratieve geldboeten [niet toelaten]”. De overweging geeft bovendien aanwijzingen over de verenigbaarheid van verschillende procedures met de drie essentiële voorwaarden voor de daadwerkelijke geldboete op grond van de AVG, namelijk dat „[d]e boeten in elk geval doeltreffend, evenredig en afschrikkend [dienen] te zijn”. Bijgevolg moet kort worden ingegaan op de gevolgen van het Unierecht voor de geldboeten die in het kader van een strafprocedure worden opgelegd, teneinde te waarborgen dat ook in een specifiek geval als het onderhavige aan deze drie voorwaarden is voldaan.
65.      Ter terechtzitting heeft ILVA zich beroepen op artikel 41 van het Handvest van de grondrechten van de Europese Unie (hierna: „Handvest”). Dit artikel heeft als opschrift „Recht op behoorlijk bestuur” en met name in lid 2, onder c), wordt gewezen op „de plicht van de betrokken diensten, hun beslissingen met redenen te omkleden”, maar ILVA heeft in dit verband geen specifieke argumenten aangevoerd.
66.      ILVA heeft ook verwezen naar artikel 49 van het Handvest. Ik ben van mening dat bij de uitlegging van artikel 83, leden 1 tot en met 6, AVG inderdaad rekening moet worden gehouden met dit artikel van het Handvest, dat het opschrift „Legaliteitsbeginsel en evenredigheidsbeginsel inzake delicten en straffen” draagt en dus relevant is in het hoofdgeding. Lid 3 van artikel 49 bepaalt met name dat „[d]e zwaarte van de straf [...] niet onevenredig [mag] zijn aan het strafbare feit”.
67.      Uit de rechtspraak van het Hof blijkt immers dat het evenredigheidsbeginsel een van de algemene beginselen van het Unierecht is die ten grondslag liggen aan de constitutionele tradities die de lidstaten gemeen hebben en die de nationale autoriteiten in acht moeten nemen bij de toepassing of uitvoering van het Unierecht. Het beginsel verlangt dat de lidstaten maatregelen aannemen die geschikt zijn om de nagestreefde doelstellingen te verwezenlijken en niet verder gaan dan voor het bereiken daarvan nodig is.(45)
68.      De zwaarte van een straf moet dus in overeenstemming zijn met de ernst van het betrokken strafbare feit, hetgeen voortvloeit uit zowel artikel 52, lid 1, van het Handvest als het in artikel 49, lid 3, van het Handvest neergelegde beginsel van evenredigheid van straffen.(46)
69.      Uit de toelichtingen bij het Handvest(47) volgt dat overeenkomstig artikel 52, lid 3, van het Handvest, aangezien het door artikel 49 ervan gewaarborgde recht ook correspondeert met een recht dat wordt gewaarborgd door het op 4 november 1950 te Rome ondertekende Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM), de inhoud en reikwijdte van dat recht hetzelfde zijn als die welke er door het EVRM aan worden toegekend. Door de gecombineerde gevolgen van artikel 17, lid 1, artikel 51, lid 1, en artikel 52, leden 1 en 3, van het Handvest zijn de vereisten die het EHRM heeft geformuleerd met betrekking tot de evenredigheid van sancties dan ook van toepassing op een geval als in het hoofdgeding aan de orde is.(48)
70.      Volgens de rechtspraak van het Hof vereist het evenredigheidsbeginsel ten eerste dat de opgelegde sanctie strookt met de ernst van de inbreuk en ten tweede dat bij zowel het vaststellen van de sanctie als het bepalen van de hoogte van de geldboete rekening wordt gehouden met de omstandigheden van het concrete geval.(49) Wat dit tweede aspect betreft, wordt in de rechtspraak benadrukt dat de verwijzende rechter rekening moet houden met objectieve criteria zoals de ernst en de duur van de inbreuk en eventuele verzwarende en verzachtende omstandigheden, om ervoor te zorgen dat de geldboete doeltreffend, evenredig en afschrikkend is.(50)
71.      In de rechtspraak van het EHRM wordt in dergelijke zaken een afweging gemaakt tussen de verschillende op het spel staande belangen en wordt rekening gehouden met de aard, de ernst en de afschrikkende werking van de aan de verzoeker opgelegde strafrechtelijke sanctie. Er wordt duidelijk in gemaakt dat de verplichting van staten om het strafrecht toe te passen en straffen op te leggen(51) teneinde het publiek te beschermen(52), een overeenkomstige verplichting met zich meebrengt om ervoor te zorgen dat de opgelegde straf niet buitensporig is.
72.      Het EHRM heeft geoordeeld dat „het vereiste evenwicht niet wordt gevonden wanneer de betrokkene een individuele en buitensporige last draagt”. Zo kan „een financiële aansprakelijkheid die uit een geldboete voortvloeit, afbreuk doen aan de door deze bepaling geboden waarborg indien die aansprakelijkheid de persoon een buitensporige last oplegt of diens financiële situatie fundamenteel aantast”.(53)
73.      Hieruit volgt dat de specifieke procedurele aspecten van het hoofdgeding en het Unierecht en de rechtspraak van het EHRM met betrekking tot in het kader van een strafprocedure opgelegde geldboeten de verwijzende rechter verplichten om bij de vaststelling van de daadwerkelijke geldboete wegens inbreuk op de AVG rekening te houden met alle relevante elementen van de zaak. De procedurele waarborgen van een beschuldigde en het evenredigheidsbeginsel, zoals uitgelegd in de rechtspraak van het Hof van Justitie en het EHRM, vereisen dat straffen overeenstemmen met de ernst van het strafbare feit en dat rekening wordt gehouden met de individuele omstandigheden van het specifieke geval.
74.      Gelet op die vereisten moet de verwijzende rechter erop toezien dat het evenredigheidsbeginsel in acht wordt genomen bij de vaststelling van de daadwerkelijke geldboete, waarbij een juist evenwicht moet worden gevonden tussen de vereisten van het algemeen belang van de gemeenschap bij de bescherming van persoonsgegevens en de vereisten van de bescherming van de grondrechten(54) van de verwerkingsverantwoordelijke, de verwerker of de onderneming waarvan hij deel uitmaakt.
V.      Conclusie
75.      Ik geef het Hof in overweging de prejudiciële vragen van de Vestre Landsret te beantwoorden als volgt:
„Artikel 83, leden 4 tot en met 6, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
wanneer geldboeten worden opgelegd aan een verwerkingsverantwoordelijke of een verwerker die (deel van) een onderneming is, het begrip ‚onderneming’ aldus moet worden opgevat dat het overeenkomt met het begrip ‚onderneming’ in de zin van de artikelen 101 en 102 VWEU voor de vaststelling van het maximumbedrag van de geldboete. Er wordt dus rekening gehouden met de totale wereldwijde jaaromzet van de onderneming waarvan de verwerkingsverantwoordelijke of de verwerker deel uitmaakt.
Bij de vaststelling van de daadwerkelijk op te leggen geldboete moet het begrip ‚onderneming’ echter worden uitgelegd in samenhang met artikel 83, leden 1 en 2, van verordening 2016/679 en bij het onderzoek van de specifieke omstandigheden van het geval worden gebruikt als een van de relevante elementen. In dat kader kunnen deze omstandigheden betrekking hebben op de beslissingsbevoegdheid van de moedermaatschappij, de omvang van de gegevensverwerking waarmee inbreuk wordt gemaakt op de regels van die verordening en het aantal entiteiten van de onderneming dat bij de inbreuk betrokken is.
Wanneer een dergelijke geldboete in samenhang met artikel 83, lid 9, van verordening 2016/679 door een nationale rechter wordt opgelegd in het kader van een strafprocedure, moet de daadwerkelijke geldboete bovendien worden beoordeeld in het licht van de beginselen die toepasselijk zijn in het strafrecht. In dat verband moet de nationale rechter erop toezien dat bij de vaststelling van de daadwerkelijke geldboete het evenredigheidsbeginsel in acht wordt genomen, waarbij een juist evenwicht moet worden gevonden tussen de vereisten van het algemeen belang van de gemeenschap bij de bescherming van persoonsgegevens en de vereisten van de bescherming van de grondrechten van de verwerkingsverantwoordelijke, de verwerker of de onderneming waarvan hij deel uitmaakt.”
1      Oorspronkelijke taal: Engels.
2      Verordening van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
3      In nationale bronnen wordt het hoofdgeding ook aangeduid als de zaak „IDdesign A/S”, omdat dat de oude handelsnaam van ILVA was.
4      Met name artikel 83, lid 9, en overweging 151 AVG.
5      Zie Overby, T., „The Danish adaptation of the GDPR”, Blog Droit Européen, juni 2018, blz. 4 en 5.
6      De specifieke formulering van de tweede prejudiciële vraag (zie punt 15 van deze conclusie), lijkt een verschrijving te bevatten. Uit de context kan echter worden afgeleid dat de verwijzende rechter niet heeft willen verwijzen naar de keuze tussen „de economische eenheid waartoe de onderneming behoort” en „de onderneming zelf”, maar tussen „de economische eenheid waarvan de vennootschap deel uitmaakt” en „de vennootschap zelf” (dat wil zeggen de rechtspersoon die inbreuk heeft gemaakt op de AVG).
7      Die overweging wordt aangehaald in punt 4 van deze conclusie.
8      Arrest van 5 december 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, punt 57; hierna: „arrest Deutsche Wohnen”). Zie ook het hiermee samenhangende arrest van dezelfde dag, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949).
9      Zoals in de rechtspraak van het Hof duidelijk wordt, is „het criterium inzake de omzet, hoewel het vaag en gebrekkig is, geschikt om de omvang en de economische macht van de betrokken ondernemingen te beoordelen”. Zie arrest van 8 december 2011, KME Germany e.a./Commissie (C‑272/09 P, EU:C:2011:810, punt 52).
10      Verordening van de Raad van 16 december 2002 betreffende de uitvoering van de mededingingsregels van de artikelen [101 en 102 VWEU] (PB 2003, L 1, blz. 1).
11      Arrest van 6 oktober 2021, Sumal (C‑882/19, EU:C:2021:800, punt 41 en aldaar aangehaalde rechtspraak).
12      Zie voor nationale jurisprudentie het Landgericht Bonn (rechter in eerste/tweede aanleg, Bonn, Duitsland) (arrest van 11 november 2020, ECLI:DE:LGBN:2020:1111.29OWI1.20.00) en de Conseil d'Etat (hoogste bestuursrechter, Frankrijk) (arrest van 19 juni 2020, ECLI:FR:CECHR:2020:430810.20200619). Beide zijn in wezen in overeenstemming met de uitlegging van het Hof (hoewel zij dateren van vóór het arrest van het Hof). Zie voor de tegenovergestelde uitlegging het Bundesverwaltungsgericht (federale bestuursrechter in eerste aanleg, Oostenrijk) (arrest van 19 augustus 2019, ECLI:AT:BVWG:2019:W211.2208885.1.00) en het Landgericht Berlin ((rechter in eerste/tweede aanleg, Berlijn, Duitsland) (arrest van 18 februari 2021, ECLI:DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; dit is het arrest dat uiteindelijk aanleiding gaf tot de uitspraak van het Hof in het arrest Deutsche Wohnen). Zie voor latere rechtspraak waarin het arrest van het Hof wordt toegepast, het Bundesverwaltungsgericht (arrest van 27 maart 2024, ECLI:AT:BVWG:2024:W214.2243436.1.00).
13      Zie arrest van 23 april 1991, Höfner en Elser  (C‑41/90, EU:C:1991:161, punt 21). Zie ook bijvoorbeeld arresten van 12 september 2000, Pavlov e.a. (C‑180/98‑C‑184/98, EU:C:2000:428, punt 74); 12 juli 2012, Compass-Datenbank (C‑138/11, EU:C:2012:449, punt 35), en 27 april 2017, Akzo Nobel e.a./Commissie (C‑516/15 P, EU:C:2017:314, punt 47).
14      Zie bijvoorbeeld het arrest van 20 januari 2011, General Química e.a./Commissie (C‑90/09 P, EU:C:2011:21, punt 37). Het belangrijkste criterium om dit vast te stellen is „beslissende invloed”, die met feitelijke bewijzen (economische, organisatorische en juridische banden) moet worden onderbouwd.
15      Arrest van 27 januari 2021, The Goldman Sachs Group/Commissie (C‑595/18 P, EU:C:2021:73, punt 67 en aldaar aangehaalde rechtspraak).
16      Ibidem, punt 71.
17      Ibidem, punt 32 en aldaar aangehaalde rechtspraak.
18      2 % van de totale wereldwijde omzet van een onderneming bedraagt enkel meer dan 10 miljoen EUR indien de omzet van de onderneming meer dan 500 miljoen EUR bedraagt. Evenzo is 4 % van de totale wereldwijde omzet van een onderneming alleen hoger dan 20 miljoen EUR als de omzet van de onderneming meer dan 500 miljoen EUR bedraagt.
19      In deze conclusie spreek ik in dit verband over de/een „toezichthoudende autoriteit”, maar – gelet op de specifieke context van het hoofdgeding – is het wel duidelijk dat dit bij uitbreiding ook geldt voor de verwijzende rechter (die ILVA de geldboete oplegt, niet de toezichthoudende autoriteit).
20      „Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn” (cursivering van mij).
21      Zie in dat verband de in punt 40 van deze conclusie aangehaalde rechtspraak.
22      Deze laatste bepaling heeft betrekking op situaties waarin meerdere bepalingen van de AVG tegelijkertijd worden geschonden.
23      Een aantal van die factoren zijn: de aard, de ernst en de duur van de inbreuk, de opzettelijke of nalatige aard ervan, de genomen maatregelen om de geleden schade te beperken, eerdere inbreuken door de verwerkingsverantwoordelijke of de verwerker, de mate waarin er met de toezichthoudende autoriteit is samengewerkt, de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft, enzovoort.
24      Arrest van 25 september 1984, Könecke (117/83, EU:C:1984:288, punt 11).
25      Arrest van 18 juli 2013, Schindler Holding e.a./Commissie (C‑501/11 P, EU:C:2013:522, punt 57 en aldaar aangehaalde rechtspraak).
26      Zie punt 32 („Wettelijk maximum”) en punt 13 (met betrekking tot het „basisbedrag van de [...] boete”) van de richtsnoeren van de Commissie voor de berekening van geldboeten die uit hoofde van artikel 23, lid 2, onder a), van verordening (EG) nr. 1/2003 worden opgelegd (PB 2006, C 210, blz. 2) (hierna: „richtsnoeren boetetoemeting 2006”).
27      Mayer Brown Yaros, O., e.a.,  „GDPR fines – Lessons from competition law”, december 2018, blz. 4.
28      Arrest van 12 november 2014, Guardian Industries en Guardian Europe/Commissie (C‑580/12 P, EU:C:2014:2363, punt 59).
29      In punt 30 van de richtsnoeren boetetoemeting 2006 staat het volgende: „De Commissie zal er in het bijzonder voor zorgen dat de geldboeten een voldoende afschrikkende werking hebben; hiertoe kan zij de boete verhogen die zij oplegt aan ondernemingen die een bijzonder hoge omzet hebben boven het volume van hun verkopen buiten die waarop de inbreuk betrekking heeft” (cursivering van mij). Zie in dit verband het arrest van 6 februari 2014, Elf Aquitaine/Commissie (T‑40/10, EU:T:2014:61, punten 350‑357 en aldaar aangehaalde rechtspraak).
30      Deze punten zijn aangevoerd in zijn conclusie in een mededingingszaak, Sumal (C‑882/19, EU:C:2021:293, punten 23‑25).
31      Zie bijvoorbeeld de pre-Brexit rechtspraak van het Britse Competition Appeal Tribunal in de zaak Sainsbury’s Supermarkets v Mastercard Inc. [2016] CAT 11, punten 363(20‑22).
32      Ibidem, punt 363(23).
33      Uit de stukken waarover het Hof beschikt blijkt dat dit het geval was in deze zaak, in zoverre dat het openbaar ministerie de moedermaatschappij niet heeft aangeklaagd „omdat er geen grond was om dit te doen” en de dochtonderneming (ILVA) „een zelfstandige detailhandelsactiviteit uitoefent en [...] het niet zo is dat de moedermaatschappij een dochteronderneming heeft opgericht met als enig doel de gegevensverwerking van de groep aan haar door te geven”. Zie de punten 5 en 21 van de verwijzingsbeschikking.
34      Arrest van 5 september 2019, Europese Unie/Guardian Europe en Guardian Europe/Europese Unie (C‑447/17 P en C‑479/17 P, EU:C:2019:672, punten 105 en 106). Het Hof heeft hier geoordeeld dat het begrip „onderneming” in de zin van de theorie van de „economische eenheid” juist wordt gebruikt om de relevante bepalingen van het mededingingsrecht van de Unie ten uitvoer te leggen en meer bepaald om de pleger van een inbreuk op de artikelen 101 en 102 VWEU aan te duiden. Dit begrip is daarentegen niet van toepassing in het kader van een beroep tot schadevergoeding op grond van artikel 340, tweede alinea, VWEU. Een dergelijk beroep is namelijk een gemeenrechtelijke vordering waarop de algemene procedureregels van toepassing zijn, die in het onderhavige geval zijn onderworpen aan het vennootschapsrecht en losstaan van de logica achter de aansprakelijkheid in het mededingingsrecht.
35      Arrest van 17 juni 2010, Lafarge/Commissie (C‑413/08 P, EU:C:2010:346, punt 102 en aldaar aangehaalde rechtspraak). Zie ook voetnoot 29 van deze conclusie.
36      Dat wil zeggen, een evenwicht zoeken tussen de geldboete en de specifieke situatie van de pleger van een inbreuk.
37      De EDPB is een onafhankelijk orgaan van de Unie met rechtspersoonlijkheid dat tot doel heeft een consequente toepassing van de AVG te waarborgen en de samenwerking tussen de gegevensbeschermingsautoriteiten van de Unie te bevorderen.
38      Richtsnoeren 04/2022 voor de berekening van administratieve geldboeten op grond van de AVG, versie 2.1, goedgekeurd op 24 mei 2023, punt 48.
39      In de verwijzingsbeschikking in de onderhavige zaak (blz. 3) wordt erop gewezen dat „uit het in [het nationale recht] verankerde beginsel van vervolging [voortvloeit] dat de rechter geen veroordeling kan uitspreken voor een strafbaar feit dat niet onder de tenlastelegging valt. Het zou in strijd zijn met het in deze bepaling neergelegde beginsel om bij een zwaardere veroordeling belang te hechten aan omstandigheden die verband houden met een andere persoon, tegen wie geen enkele beschuldiging is ingebracht”.
40      Aangezien in de nationale richtsnoeren inzake geldboeten wordt vermeld dat „indien de verwerkingsverantwoordelijke een dochteronderneming van een groep is, moet worden onderzocht of ook de moedermaatschappij strafrechtelijk aansprakelijk kan worden gesteld”. Zie Bødevejledning – Udmåling af bøder til virksomheder (boeterichtlijn – beoordeling van geldboeten voor ondernemingen), januari 2021, blz. 3.
41      In de zaak die heeft geleid tot het arrest Deutsche Wohnen vonden de inbreuken immers plaats op niveau van het gehele concern waarvan de betrokken onderneming deel uitmaakte. Zie de feitelijke verschillen tussen deze twee zaken in het bijzonder ook gezien de punten 10 tot en met 12 van het arrest Deutsche Wohnen.
42      Ik herinner eraan dat in die bepaling met name wordt geregeld dat „[w]anneer het rechtsstelsel van de lidstaat niet voorziet in administratieve geldboeten, [...] dit artikel aldus [kan] worden toegepast dat geldboeten worden geïnitieerd door de bevoegde toezichthoudende autoriteit en opgelegd door bevoegde nationale gerechten, waarbij wordt gewaarborgd dat deze rechtsmiddelen doeltreffend zijn en eenzelfde effect hebben als de door toezichthoudende autoriteiten opgelegde administratieve geldboeten. De boeten zijn in elk geval doeltreffend, evenredig en afschrikkend.”
43      Omdat deze bepaling niet relevant was voor de beslissing in deze zaak.
44      Het blijkt dat in Ierland de door de toezichthoudende autoriteit opgelegde administratieve boeten door een rechterlijke instantie moeten worden bevestigd. Zie Data Protection Act 2018, sections 141‑143. Voorts blijkt dat Slovenië, gezien een beslissing van de Vrhovno sodišče (hoogste rechterlijke instantie, Slovenië) van 16 maart 2021, evenmin administratieve geldboeten toestaat.
45      Zie in die zin arrest van 4 oktober 2018, Link Logistik N&N (C‑384/17, EU:C:2018:810, punt 40 en aldaar aangehaalde rechtspraak; hierna: „arrest Link Logistik”).
46      Ibidem, punt 42 en aldaar aangehaalde rechtspraak.
47      PB 2007, C 303, blz. 17.
48      Zie ook de uitspraak in het arrest Link Logistik, punt 43.
49      Arrest Link Logistik, punt 45.
50      Zie in die zin arrest van 10 november 2022, Zenith Media Communications (C‑385/21, EU:C:2022:866, punt 41).
51      Zie bijvoorbeeld EHRM, 4 december 2003, M.C. tegen Bulgarije, CE:ECHR:2003:1204JUD003927298.
52      Zie bijvoorbeeld EHRM, 16 december 1999, T. tegen het Verenigd Koninkrijk, CE:ECHR:1999:1216JUD002472494, § 97, onder verwijzing naar EHRM, 23 september 1998, A. tegen het Verenigd Koninkrijk, CE:ECHR:1998:0923JUD002559994, § 22, en EHRM, 28 oktober 1998, Osman tegen het Verenigd Koninkrijk, CE:ECHR:1998:1028JUD002345294, § 115.
53      Zie bijvoorbeeld EHRM, 27 oktober 2015, Konstantin Stefanov tegen Bulgarije, CE:ECHR:2015:1027JUD003539905, § 55.
54      Ibidem, §§ 54, 55, 66, 67, 69 en 70. Zie ook EHRM, 5 juli 2001, Phillips tegen het Verenigd Koninkrijk, CE:ECHR:2001:0705JUD004108798, § 35, en EHRM, 24 juni 2021, Imeri tegen Kroatië, CE:ECHR:2021:0624JUD007766814, § 71.