62021CJ0807_RES
Υπόθεση C-807/21
Deutsche Wohnen SE
κατά
Staatsanwaltschaft Berlin
(αίτηση του Kammergericht Berlin για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (τμήμα μείζονος συνθέσεως) της 5ης Δεκεμβρίου 2023
«Προδικαστική παραπομπή – Προστασία των προσωπικών δεδομένων – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 4, σημείο 7 – Έννοια του όρου “υπεύθυνος επεξεργασίας” – Άρθρο 58, παράγραφος 2 – Εξουσίες των εποπτικών αρχών να επιβάλλουν διορθωτικά μέτρα – Άρθρο 83 – Επιβολή διοικητικών προστίμων σε νομικό πρόσωπο – Προϋποθέσεις – Περιθώριο χειρισμού των κρατών μελών – Απαίτηση να έχει διαπραχθεί η παράβαση εκ προθέσεως ή εξ αμελείας»
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Επιβολή διοικητικών προστίμων – Προϋποθέσεις – Τα κράτη μέλη δεν έχουν περιθώριο χειρισμού για να προβλέπουν τις ουσιαστικές προϋποθέσεις σχετικά με την επιβολή διοικητικού προστίμου σε υπεύθυνο επεξεργασίας – Η έννοια της επιχείρησης κατά τα άρθρα 101 και 102 ΣΛΕΕ ασκεί επιρροή μόνον στον υπολογισμό του προστίμου – Εθνική ρύθμιση που εξαρτά τη δυνατότητα επιβολής προστίμου σε νομικό πρόσωπο υπό την ιδιότητά του ως υπευθύνου επεξεργασίας από την προϋπόθεση προηγούμενου καταλογισμού της επίμαχης παράβασης σε ταυτοποιημένο φυσικό πρόσωπο – Δεν επιτρέπεται
(Άρθρα 101, 102, 288, εδ. 2, ΣΛΕΕ· κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογικές σκέψεις 10, 11, 74, 129 και 150 και άρθρα 4, σημείο 7, 58 §§ 2 και 4 και 83)
(βλ. σκέψεις 38, 43-60, διατακτ. 1)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Έννοια του όρου “υπεύθυνος επεξεργασίας” – Νομικό πρόσωπο – Εμπίπτει – Προϋπόθεση – Πραγματική συμμετοχή στον καθορισμό των σκοπών και του τρόπου επεξεργασίας
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 4, σημείο 7)
(βλ. σκέψεις 39-42)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Επιβολή διοικητικών προστίμων – Προϋποθέσεις – Τα κράτη μέλη δεν έχουν περιθώριο χειρισμού για να προβλέπουν τις ουσιαστικές προϋποθέσεις σχετικά με την επιβολή διοικητικού προστίμου σε υπεύθυνο επεξεργασίας – Απαίτηση να έχει διαπραχθεί η παράβαση από τον υπεύθυνο επεξεργασίας εκ προθέσεως ή εξ αμελείας
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογικές σκέψεις 9, 13 και 148, άρθρο 58 § 2 και άρθρο 83)
(βλ. σκέψεις 65-78, 86, διατακτ. 2)
Σύνοψη
Η Deutsche Wohnen SE (στο εξής: DW) είναι εταιρία ακινήτων η οποία κατέχει έμμεσα, μέσω συμμετοχών σε διάφορες εταιρίες, μεγάλο αριθμό εμπορικών και αστικών ακινήτων. Στο πλαίσιο των εμπορικών δραστηριοτήτων της, επεξεργάζεται δεδομένα προσωπικού χαρακτήρα των μισθωτών των ακινήτων αυτών.
Κατόπιν δύο ελέγχων που διενήργησε το 2017 και το 2019, η Berliner Beauftragte für den Datenschutz (αρχή προστασίας δεδομένων του Βερολίνου, Γερμανία) διαπίστωσε σειρά παραβάσεων του ΓΚΠΔ (
1
) εκ μέρους της DW. Για τον λόγο αυτόν, με απόφαση της 30ής Οκτωβρίου 2019, η εν λόγω αρχή επέβαλε εις βάρος της διοικητικά πρόστιμα.
Η DW άσκησε προσφυγή κατά της απόφασης αυτής ενώπιον του Landgericht Berlin (πρωτοδικείου Βερολίνου, Γερμανία), το οποίο έθεσε την υπόθεση στο αρχείο. Το δικαστήριο αυτό έκρινε ότι, βάσει του γερμανικού νόμου (
2
), διοικητική παράβαση μπορεί να διαπιστωθεί μόνον εις βάρος φυσικού προσώπου και όχι εις βάρος νομικού προσώπου. Επιπλέον, σε περίπτωση στοιχειοθέτησης ευθύνης του νομικού προσώπου, μπορούν να του καταλογιστούν μόνον οι πράξεις των μελών των οργάνων του ή των εκπροσώπων του. Η Staatsanwaltschaft Βερολίνου (εισαγγελία Βερολίνου, Γερμανία) άσκησε έφεση κατά της απόφασης αυτής ενώπιον του Kammergericht Berlin (εφετείου Βερολίνου, Γερμανία). Στο πλαίσιο αυτό, το εν λόγω δικαστήριο υπέβαλε στο Δικαστήριο αίτηση προδικαστικής αποφάσεως σχετικά με την ερμηνεία του ΓΚΠΔ (
3
).
Με την απόφασή του, η οποία εκδόθηκε από το τμήμα μείζονος συνθέσεως, το Δικαστήριο αποφαίνεται επί των προϋποθέσεων επιβολής διοικητικών προστίμων βάσει του ΓΚΠΔ. Κατά πρώτον, εξετάζει το ζήτημα αν τα κράτη μέλη μπορούν να εξαρτήσουν την επιβολή διοικητικού προστίμου εις βάρος νομικού προσώπου από την προϋπόθεση η παράβαση του κανονισμού να έχει καταλογιστεί προηγουμένως σε ταυτοποιημένο φυσικό πρόσωπο. Κατά δεύτερον, εξετάζει το ζήτημα αν η παράβαση των διατάξεων του ΓΚΠΔ για την οποία επιβάλλεται κύρωση πρέπει να έχει διαπραχθεί εκ προθέσεως ή εξ αμελείας (
4
).
Εκτίμηση του Δικαστηρίου
Όσον αφορά την επιβολή διοικητικού προστίμου βάσει του ΓΚΠΔ σε νομικό πρόσωπο, το Δικαστήριο επισημαίνει κατ’ αρχάς ότι οι αρχές, οι απαγορεύσεις και οι υποχρεώσεις που προβλέπονται στον ΓΚΠΔ απευθύνονται ειδικότερα στους «υπευθύνους επεξεργασίας» των οποίων η ευθύνη εκτείνεται σε οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα πραγματοποιείται από τους ίδιους ή για λογαριασμό τους. Αυτή ακριβώς η ευθύνη συνιστά τη βάση για την επιβολή διοικητικού προστίμου στον υπεύθυνο της επεξεργασίας κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, σε περίπτωση παράβασης των διατάξεων του κανονισμού αυτού. Ωστόσο, ο νομοθέτης της Ένωσης δεν προέβη, για τη στοιχειοθέτηση της σχετικής ευθύνης, σε διάκριση μεταξύ φυσικών και νομικών προσώπων, καθόσον η ευθύνη αυτή εξαρτάται μόνον από την προϋπόθεση τα εν λόγω πρόσωπα, μόνα ή από κοινού με άλλα, να καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (
5
). Ως εκ τούτου, καταρχήν κάθε πρόσωπο που πληροί την προϋπόθεση αυτή ευθύνεται, μεταξύ άλλων, για κάθε παράβαση του ΓΚΠΔ, η οποία διαπράττεται από το ίδιο ή για λογαριασμό του. Τούτο συνεπάγεται, αφενός, ότι τα νομικά πρόσωπα ευθύνονται όχι μόνον για παραβάσεις που διαπράττονται από τους εκπροσώπους τους, τους διευθυντές ή τους διαχειριστές τους, αλλά και για όσες διαπράττονται από οποιοδήποτε άλλο πρόσωπο ενεργεί στο πλαίσιο της επιχειρηματικής δραστηριότητας των εν λόγω νομικών προσώπων και για λογαριασμό τους. Αφετέρου, τα διοικητικά πρόστιμα που προβλέπονται από τον ΓΚΠΔ σε περίπτωση τέτοιων παραβάσεων πρέπει να μπορούν να επιβάλλονται απευθείας σε νομικά πρόσωπα όταν αυτά μπορούν να χαρακτηριστούν ως υπεύθυνοι επεξεργασίας.
Εν συνεχεία, το Δικαστήριο παρατηρεί ότι από καμία διάταξη του ΓΚΠΔ δεν μπορεί να συναχθεί ότι η επιβολή διοικητικού προστίμου σε νομικό πρόσωπο ως υπεύθυνο επεξεργασίας εξαρτάται από την προηγούμενη διαπίστωση ότι η παράβαση διαπράχθηκε από ταυτοποιημένο φυσικό πρόσωπο. Πέραν τούτου, ο νομοθέτης της Ένωσης δεν κατέλιπε συναφώς στα κράτη μέλη περιθώριο εκτιμήσεως. Το γεγονός ότι ο ΓΚΠΔ παρέχει στα κράτη μέλη τη δυνατότητα να προβλέπουν απαιτήσεις σχετικές με τη διαδικασία που πρέπει να ακολουθούν οι εποπτικές αρχές κατά την επιβολή διοικητικού προστίμου (
6
) ουδόλως σημαίνει ότι τα κράτη μέλη μπορούν επίσης να προβλέπουν και ουσιαστικές προϋποθέσεις επιπλέον των προβλεπόμενων στον ΓΚΠΔ.
Στο πλαίσιο αυτό, το Δικαστήριο διευκρινίζει ότι αν επιτρεπόταν στα κράτη μέλη να απαιτούν μονομερώς και ως αναγκαία προϋπόθεση για την επιβολή διοικητικού προστίμου, κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, σε υπεύθυνο επεξεργασίας ο οποίος είναι νομικό πρόσωπο, να έχει καταλογιστεί ή να μπορεί να καταλογιστεί προηγουμένως η επίμαχη παράβαση σε ταυτοποιημένο φυσικό πρόσωπο, τούτο θα αντέβαινε στον σκοπό του ΓΚΠΔ. Επιπλέον, μια τέτοια πρόσθετη απαίτηση θα ενείχε εν τέλει κίνδυνο αποδυνάμωσης της αποτελεσματικότητας και του αποτρεπτικού αποτελέσματος των διοικητικών προστίμων που επιβάλλονται σε νομικά πρόσωπα ως υπευθύνους επεξεργασίας.
Τέλος, το Δικαστήριο επισημαίνει ότι η έννοια της «επιχείρησης», κατά τα άρθρα 101 και 102 ΣΛΕΕ (
7
), δεν ασκεί επιρροή στο ζήτημα αν και υπό ποιες προϋποθέσεις μπορεί να επιβληθεί διοικητικό πρόστιμο βάσει του ΓΚΠΔ σε υπεύθυνο επεξεργασίας ο οποίος είναι νομικό πρόσωπο, αλλά ασκεί επιρροή μόνον στον καθορισμό του ύψους του προστίμου αυτού.
Επομένως, το Δικαστήριο καταλήγει στο συμπέρασμα ότι ο ΓΚΠΔ (
8
) αντιτίθεται σε εθνική ρύθμιση δυνάμει της οποίας μπορεί να επιβληθεί διοικητικό πρόστιμο σε νομικό πρόσωπο υπό την ιδιότητά του ως υπευθύνου επεξεργασίας για παράβαση του κανονισμού αυτού (
9
) μόνον εφόσον η παράβαση αυτή έχει προηγουμένως καταλογιστεί σε ταυτοποιημένο φυσικό πρόσωπο.
Όσον αφορά το ζήτημα αν τα κράτη μέλη μπορούν να προβλέπουν την επιβολή διοικητικού προστίμου ακόμη και αν η παράβαση για την οποία επιβάλλεται κύρωση δεν διαπράχθηκε εκ προθέσεως ή εξ αμελείας, το Δικαστήριο υπενθυμίζει, κατ’ αρχάς, ότι οι ουσιαστικές προϋποθέσεις τις οποίες πρέπει να τηρεί η εποπτική αρχή κατά την επιβολή ενός τέτοιου προστίμου σε υπεύθυνο επεξεργασίας ρυθμίζονται αποκλειστικά από το δίκαιο της Ένωσης και ότι τα κράτη μέλη δεν διαθέτουν συναφώς κανένα περιθώριο εκτιμήσεως.
Όσον αφορά τις προϋποθέσεις αυτές, το Δικαστήριο επισημαίνει ότι, μεταξύ των απαριθμούμενων στον ΓΚΠΔ στοιχείων βάσει των οποίων η εποπτική αρχή επιβάλλει τέτοια πρόστιμα αναφέρεται «ο δόλος ή η αμέλεια που προκάλεσε την παράβαση» (
10
). Αντιθέτως, σε κανένα από τα στοιχεία αυτά δεν γίνεται λόγος για οποιαδήποτε δυνατότητα στοιχειοθέτησης ευθύνης του υπευθύνου επεξεργασίας αν δεν συντρέχει υπαίτια συμπεριφορά εκ μέρους του. Επομένως, μόνον οι εκ προθέσεως ή εξ αμελείας παραβάσεις των διατάξεων του ΓΚΠΔ εκ μέρους του υπευθύνου επεξεργασίας μπορούν να οδηγήσουν στην επιβολή σε βάρος του διοικητικού προστίμου κατ’ εφαρμογήν του άρθρου 83 του κανονισμού αυτού.
Το Δικαστήριο προσθέτει ότι η ερμηνεία αυτή επιρρωννύεται από τη γενική οικονομία και τον σκοπό του ΓΚΠΔ. Στο ως άνω πλαίσιο, διευκρινίζει ότι η ύπαρξη συστήματος κυρώσεων προβλεπόμενου στον ΓΚΠΔ βάσει του οποίου επιβάλλεται διοικητικό πρόστιμο, όταν τούτο δικαιολογείται από τις ειδικές περιστάσεις κάθε συγκεκριμένης περίπτωσης, δημιουργεί κίνητρο ώστε οι υπεύθυνοι επεξεργασίας και οι εκτελούντες την επεξεργασία να συμμορφώνονται με τον ΓΚΠΔ και ότι, με το αποτρεπτικό τους αποτέλεσμα, τα διοικητικά πρόστιμα συμβάλλουν στην ενίσχυση της προστασίας των υποκειμένων των δεδομένων. Εντούτοις, ο νομοθέτης της Ένωσης δεν έκρινε αναγκαίο να προβλέψει την επιβολή διοικητικών προστίμων σε περίπτωση μη συνδρομής υπαιτιότητας. Λαμβανομένου υπόψη ότι ο ΓΚΠΔ αποσκοπεί σε ισοδύναμο και ομοιογενές επίπεδο προστασίας και ότι, προς τούτο, πρέπει να εφαρμόζεται με συνέπεια σε ολόκληρη την Ένωση, θα ήταν αντίθετο προς τον σκοπό αυτόν να επιτρέπεται στα κράτη μέλη να προβλέπουν τέτοιο καθεστώς για την επιβολή προστίμου.
Κατά συνέπεια, το Δικαστήριο διαπιστώνει ότι, βάσει του άρθρου 83 του ΓΚΠΔ, μπορεί να επιβληθεί διοικητικό πρόστιμο μόνον εάν αποδεικνύεται ότι ο υπεύθυνος επεξεργασίας, ο οποίος είναι νομικό πρόσωπο και συγχρόνως επιχείρηση, διέπραξε εκ προθέσεως ή εξ αμελείας παράβαση των περιεχόμενων στον κανονισμό αυτόν κανόνων.
(
1
)	Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
(
2
)	Gesetz über Ordnungswidrigkeiten (νόμος περί διοικητικών παραβάσεων), της 24ης Μαΐου 1968 (BGBl. 1968 I, σ. 481), όπως ίσχυε κατά την ανακοίνωση της 19ης Φεβρουαρίου 1987 (BGBl. 1987 I, σ. 602), όπως έχει τροποποιηθεί με τον νόμο της 19ης Ιουνίου 2020 (BGBl. 2020 I, σ. 1350).
(
3
)	Άρθρο 58, παράγραφος 2, και άρθρο 83 του ΓΚΠΔ.
(
4
)	Επί του ζητήματος αυτού, βλ. και απόφαση Nacionalinis visuomenės sveikatos centras (C-683/21) της ίδιας ημέρας.
(
5
)	Κατά το άρθρο 4, σημείο 7, του ΓΚΠΔ.
(
6
)	Όπως προκύπτει από το άρθρο 58, παράγραφος 4, και από το άρθρο 83, παράγραφος 8, του ΓΚΠΔ, ερμηνευόμενα υπό το πρίσμα της αιτιολογικής του σκέψης 129.
(
7
)	Στην οποία παραπέμπει η αιτιολογική σκέψη 150 του ΓΚΠΔ.
(
8
)	Άρθρο 58, παράγραφος 2, στοιχείο θʹ, και άρθρο 83, παράγραφοι 1 έως 6, του ΓΚΠΔ.
(
9
)	Για την οποία γίνεται λόγος στο άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ.
(
10
)	Άρθρο 83, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ.