62021CJ0807_RES
Věc C‑807/21
Deutsche Wohnen SE
v.
Staatsanwaltschaft Berlin
(žádost o rozhodnutí o předběžné otázce, kterou podal Kammergericht Berlin)
Rozsudek Soudního dvora (velkého senátu) ze dne 5. prosince 2023
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 4 bod 7 – Pojem ‚správce‘ – Článek 58 odst. 2 – Nápravné pravomoci dozorových úřadů – Článek 83 – Ukládání správních pokut právnické osobě – Podmínky – Rozhodovací prostor členských států“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Ukládání správních pokut – Podmínky – Neexistence rozhodovacího prostoru členských států, pokud jde o stanovení hmotněprávních podmínek pro uložení správní pokuty správci – Relevance pojmu „podnik“ ve smyslu článků 101 a 102 SFEU pouze při výpočtu pokuty – Vnitrostátní právní úprava, která podmiňuje možnost uložit pokutu právnické osobě jakožto správci tím, že dotčené porušení bylo předtím přičteno identifikované fyzické osobě – Nepřípustnost
(Články 101, 102, čl. 288 druhý pododstavec SFEU; nařízení Evropského parlamentu a Rady 2016/679, body 10, 11, 74, 129 a 150 odůvodnění a čl. 4 bod 7, čl. 58 odst. 2 a 4 a článek 83)
(viz body 38, 43–60, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Pojem „správce“ – Právnická osoba – Zahrnutí – Podmínka – Skutečná účast na určení účelů a prostředků zpracování
(Nařízení Evropského parlamentu a Rady 2016/679, čl. 4 bod 7)
(viz body 39–42)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Ukládání správních pokut – Podmínky – Neexistence rozhodovacího prostoru členských států, pokud jde o stanovení hmotněprávních podmínek pro uložení správní pokuty správci – Požadavek, podle něhož se správce musí porušení dopustit úmyslně nebo z nedbalosti
(Nařízení Evropského parlamentu a Rady 2016/679, body 9, 13 a 148 odůvodnění, čl. 58 odst. 2 a článek 83)
(viz body 65–78, 86, výrok 2)
Shrnutí
Deutsche Wohnen SE (dále jen „společnost DW“) je realitní společnost, která má prostřednictvím podílů v různých společnostech nepřímo v majetku řadu komerčních prostor a bytových jednotek. V souvislosti se svojí podnikatelskou činností zpracovává osobní údaje nájemců těchto prostor a jednotek.
V návaznosti na dvě kontroly provedené v letech 2017 a 2019 Berliner Beauftragte für den Datenschutz (dozorový úřad v Berlíně, Německo) zjistil, že se společnost DW dopustila několika porušení nařízení GDPR (
1
). Tento dozorový úřad proto rozhodnutím ze dne 30. října 2019 uložil této společnosti správní pokuty.
Společnost DW podala proti tomuto rozhodnutí žalobu k Landgericht Berlin (Zemský soud v Berlíně, Německo), který věc odložil. Tento soud uvedl, že podle německého zákona (
2
) lze spáchání správního deliktu konstatovat pouze vůči fyzické osobě, a nikoli vůči osobě právnické. Kromě toho podotkl, že v případě založení odpovědnosti právnické osoby lze této osobě přičíst pouze jednání členů jejích orgánů nebo jejích zástupců. Staatsanwaltschaft Berlin (Státní zastupitelství v Berlíně, Německo) podalo proti tomuto rozhodnutí odvolání u Kammergericht Berlin (Vrchní zemský soud v Berlíně, Německo). Tento soud v těchto souvislostech předložil Soudnímu dvoru žádost o rozhodnutí o předběžné otázce týkající se výkladu nařízení GDPR (
3
).
Velký senát Soudního dvora se v rozsudku vyjádřil k podmínkám uložení správních pokut na základě nařízení GDPR. V prvé řadě se zabýval otázkou, zda členské státy mohou uložení správní pokuty právnické osobě podmínit tím, že porušení tohoto nařízení bylo předtím přičteno identifikované fyzické osobě. Ve druhé řadě řešil otázku, zda musí k sankcionovanému porušení ustanovení nařízení GDPR dojít úmyslně nebo z nedbalosti (
4
).
Závěry Soudního dvora
Pokud jde o ukládání správní pokuty na základě nařízení GDPR právnické osobě, Soudní dvůr nejprve uvedl, že zásady, zákazy a povinnosti stanovené v nařízení GDPR jsou určeny zejména „správcům“, jejichž odpovědnost se vztahuje na jakékoli zpracování osobních údajů prováděné správci nebo pro ně. Právě na základě této odpovědnosti se v případě porušení ustanovení nařízení GDPR ukládá správci podle článku 83 tohoto nařízení správní pokuta. Unijní normotvůrce ovšem neprovedl pro účely určování takové odpovědnosti rozlišení mezi fyzickými a právnickými osobami; tato odpovědnost je podmíněna pouze tím, že tyto osoby samy nebo společně s jinými určují účely a prostředky zpracování osobních údajů (
5
). Každá osoba splňující tuto podmínku tedy v zásadě odpovídá mimo jiné za jakékoli porušení nařízení GDPR, kterého se dopustila sama nebo bylo spácháno jejím jménem. To znamená, že právnické osoby jsou odpovědné nejen za porušení, kterých se dopustili jejich zástupci, řídící pracovníci nebo manažeři, ale i jakékoliv jiné osoby, které jednají v rámci obchodní činnosti těchto právnických osob jejich jménem. Pokud lze právnické osoby považovat za správce, musí být možné jim v případě takových porušení přímo uložit správní pokuty podle nařízení GDPR.
Soudní dvůr dále poznamenal, že z žádného ustanovení nařízení GDPR nelze dovodit, že by podmínkou uložení správní pokuty právnické osobě jakožto správci bylo dřívější konstatování, že se tohoto porušení dopustila identifikovaná fyzická osoba. Unijní normotvůrce nadto v tomto ohledu neponechal členským státům prostor pro uvážení. Skutečnost, že nařízení GDPR členským státům umožňuje stanovit požadavky týkající se postupu, který mají dozorové úřady uplatnit při ukládání správní pokuty (
6
), v žádném případě neznamená, že by tyto státy mohly stanovit i hmotněprávní podmínky doplňující ty, jež jsou stanoveny v nařízení GDPR.
V této souvislosti Soudní dvůr upřesnil, že kdyby bylo členským státům umožněno, aby jakožto nezbytnou podmínku pro uložení správní pokuty správci, který je právnickou osobou, podle článku 83 nařízení GDPR, jednostranně požadovaly, aby dotčené porušení předtím bylo nebo mohlo být přičteno identifikované fyzické osobě, bylo by to v rozporu s účelem nařízení GDPR. Takový doplňující požadavek by mimoto v konečném důsledku mohl oslabit účinnost a odrazující účinek správních pokut uložených právnickým osobám jako správcům.
Soudní dvůr konečně zdůraznil, že na otázku, zda a za jakých podmínek může být správci, který je právnickou osobou, uložena podle nařízení GDPR správní pokuta, nemá žádný vliv pojem „podnik“ ve smyslu článků 101 a 102 SFEU (
7
) a tento pojem je relevantní pouze při určování výše takové pokuty.
Soudní dvůr tedy dospěl k závěru, že nařízení GDPR (
8
) brání vnitrostátní právní úpravě, podle které lze uložit správní pokutu právnické osobě jakožto správci za porušení tohoto nařízení (
9
) pouze tehdy, pokud bylo toto porušení předtím přičteno identifikované fyzické osobě.
Pokud jde o otázku, zda členské státy mohou stanovit uložení správní pokuty i v případě, že k sankcionovanému porušení nedošlo úmyslně nebo z nedbalosti, Soudní dvůr nejprve připomněl, že hmotněprávní podmínky, které musí dodržovat dozorový úřad při ukládání takové pokuty správci, jsou upraveny výlučně unijním právem a členské státy v tomto ohledu nemají žádný rozhodovací prostor.
Pokud jde o tyto podmínky, Soudní dvůr poznamenal, že mezi okolnostmi, které jsou uvedeny v nařízení GDPR a jež má dozorový úřad zohlednit při ukládání takové pokuty, figuruje skutečnost, „zda k porušení došlo úmyslně nebo z nedbalosti“ (
10
). Naproti tomu žádná z těchto okolností neodkazuje na možnost založit odpovědnost správce při neexistenci zavinění z jeho strany. Správní pokuta tedy může být správci na základě článku 83 nařízení GDPR uložena pouze za porušení ustanovení tohoto nařízení, kterých se dopustil úmyslně nebo z nedbalosti.
Soudní dvůr dodal, že obecná systematika a účel nařízení GDPR tento výklad potvrzují. V tomto kontextu upřesnil, že existence systému sankcí podle nařízení GDPR umožňujícího uložit správní pokutu, je-li to odůvodněno konkrétními okolnostmi každého případu, podněcuje správce a zpracovatele k dodržování tohoto nařízení a správní pokuty svým odrazujícím účinkem přispívají k posílení ochrany subjektů údajů. Unijní normotvůrce nicméně nepovažoval za nutné stanovit uložení správních pokut při neexistenci zavinění. S ohledem na skutečnost, že nařízení GDPR usiluje o rovnocennou a zároveň jednotnou úroveň ochrany a musí být za tímto účelem uplatňováno soudržně v celé Unii, by bylo v rozporu s tímto účelem, kdyby členské státy mohly stanovit taková pravidla pro ukládání pokut.
Soudní dvůr tudíž konstatoval, že správní pokutu lze na základě článku 83 nařízení GDPR uložit pouze tehdy, je-li prokázáno, že správce, který je zároveň právnickou osobou a podnikem, porušil pravidla obsažená v tomto nařízení úmyslně nebo z nedbalosti.
(
1
) – Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „nařízení GDPR“).
(
2
) – Gesetz über Ordnungswidrigkeiten (zákon o správních deliktech) ze dne 24. května 1968 (BGBl. 1968 I, s. 481), ve znění sdělení ze dne 19. února 1987 (BGBl. 1987 I, s. 602) a zákona ze dne 19. června 2020 (BGBl. 2020 I, s. 1350).
(
3
) – Článku 58 odst. 2 a článku 83 nařízení GDPR.
(
4
) – K tomuto aspektu viz rovněž rozsudek Nacionalinis visuomenės sveikatos centras (C‑683/21), vydaný téhož dne.
(
5
) – Podle čl. 4 bodu 7 nařízení GDPR.
(
6
) – Jak plyne z čl. 58 odst. 4 a čl. 83 odst. 8 nařízení GDPR, vykládaných ve světle bodu 129 jeho odůvodnění.
(
7
) – Na který je odkázáno v bodě 150 odůvodnění nařízení GDPR.
(
8
) – Článek 58 odst. 2 písm. i) a čl. 83 odst. 1 až 6 nařízení GDPR.
(
9
) – Uvedeného v čl. 83 odst. 4 až 6 nařízení GDPR.
(
10
) – Článek 83 odst. 2 písm. b) nařízení GDPR.