62021CJ0807_RES
Kohtuasi C‑807/21
Deutsche Wohnen SE
versus
Staatsanwaltschaft Berlin
(eelotsusetaotlus, mille on esitanud Kammergericht Berlin)
Euroopa Kohtu (suurkoda) 5. detsembri 2023. aasta otsus
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 4 punkt 7 – Mõiste „vastutav töötleja“ – Artikli 58 lõige 2 – Järelevalveasutuste parandusvolitused – Artikkel 83 – Trahvide määramine juriidilisele isikule – Tingimused – Liikmesriikide otsustusruum –Nõue, et rikkumine peab olema toime pandud tahtlikult või hooletusest
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Trahvide määramine – Tingimused – Liikmesriikide otsustusruumi puudumine vastutavale töötlejale trahvi määramise sisuliste tingimuste kehtestamiseks – ELTL artiklite 101 ja 102 tähenduses mõiste „ettevõtja“ asjakohasus vaid trahvi arvutamisel – Riigisisesed õigusnormid, mis seavad juriidilisele isikule kui vastutavale töötlejale trahvi määramise võimaluse sõltuvusse tingimusest, et kõnealune rikkumine oleks enne omistatud identifitseeritud füüsilisele isikule – Lubamatus
(ELTL artiklid 101 ja 102 ning artikli 288 teine lõik; Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendused 10, 11, 74, 129 ja 150, artikli 4 punkt 7, artikli 58 lõiked 2 ja 4 ning artikkel 83)
(vt punktid 38 ja 43–60 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Mõiste „vastutav töötleja“ – Juriidiline isik – Hõlmamine – Tingimus – Tegelik osalemine töötlemise eesmärkide ja vahendite kindlaksmääramisel
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 4 punkt 7)
(vt punktid 39–42)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Trahvide määramine – Tingimused – Liikmesriikide otsustusruumi puudumine vastutavale töötlejale trahvi määramise sisuliste tingimuste kehtestamiseks – Nõue, et vastutav töötleja oleks pannud rikkumise toime tahtlikult või hooletusest
(Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendused 9, 13 ja 148, artikli 58 lõige 2 ning artikkel 83)
(vt punktid 65–78 ja 86 ning resolutsiooni punkt 2)
Kokkuvõte
Deutsche Wohnen SE (edaspidi „DW“) on kinnisvaraettevõtja, kelle kaudses omandis, st osaluste kaudu mitmes äriühingus, on hulgaliselt eluruume ja äripindu. Äritegevuse raames töötleb ta nende äripindade ja eluruumide üürnike isikuandmeid.
Pärast 2017. ja 2019. aastal toimunud kahte kontrollimist tegi Berliner Beauftragte für den Datenschutz (Berliini andmekaitseametnik, Saksamaa) kindlaks, et DW on pannud toime mitu isikuandmete kaitse üldmääruse (
1
) rikkumist. Seetõttu määras andmekaitseametnik 30. oktoobri 2019. aasta otsusega talle trahvid.
DW esitas selle otsuse peale kaebuse Landgericht Berlinile (Berliini esimese astme kohus, Saksamaa), kes lõpetas menetluse. See kohus märkis, et Saksa seaduse (
2
) kohaselt saab tuvastada üksnes füüsilise isiku, mitte juriidilise isiku haldusõigusrikkumise. Pealegi saab juriidilise isiku vastutuse korral talle omistada vaid tema organite liikmete või esindajate tegusid. Staatsanwaltschaft Berlin (Berliini prokuratuur, Saksamaa) esitas selle otsuse peale kaebuse Kammergericht Berlinile (Berliini liidumaa kõrgeim üldkohus, Saksamaa). Selles kontekstis esitas see kohus Euroopa Kohtule eelotsusetaotluse isikuandmete kaitse üldmääruse (
3
) tõlgendamise kohta.
Euroopa Kohtu suurkoda võttis oma otsuses seisukoha trahvi määramise tingimuste kohta isikuandmete kaitse üldmääruse alusel. Esiteks analüüsis ta küsimust, kas liikmesriigid võivad juriidilisele isikule trahvi määramise tingimuseks seada selle, et määruse rikkumine oleks enne omistatud identifitseeritud füüsilisele isikule. Teiseks käsitles ta küsimust, kas isikuandmete kaitse üldmääruse sätete karistatav rikkumine peab olema toime pandud tahtlikult või hooletusest. (
4
)
Euroopa Kohtu hinnang
Isikuandmete kaitse üldmääruse alusel juriidilisele isikule trahvi määramise kohta märkis Euroopa Kohus kõigepealt, et isikuandmete kaitse üldmääruses ette nähtud põhimõtted, keelud ja kohustused on suunatud eelkõige „vastutavatele töötlejatele“, kelle vastutus hõlmab igasugust isikuandmete töötlemist, mida nad teevad ise või mis toimub nende nimel. Just selle vastutuse alusel määratakse vastutavale töötlejale isikuandmete kaitse üldmääruse sätete rikkumise korral trahv määruse artikli 83 kohaselt. Liidu seadusandja ei teinud sellise vastutuse kindlaksmääramisel siiski vahet füüsilistel ja juriidilistel isikutel, sest vastutuse suhtes kehtib vaid tingimus, et need isikud määravad üksi või koos teistega kindlaks isikuandmete töötlemise eesmärgid ja vahendid (
5
). Järelikult vastutab iga isik, kes vastab nimetatud tingimusele, muu hulgas iga isikuandmete kaitse üldmääruse rikkumise eest, mille on toime pannud ta ise või mis on toime pandud tema nimel. See tähendab esiteks seda, et juriidilised isikud ei vastuta mitte ainult rikkumiste eest, mille on toime pannud nende esindajad, juhid või haldajad, vaid ka rikkumiste eest, mille on toime pannud mis tahes muu isik, kes tegutseb nende juriidiliste isikute äritegevuse raames ja nende nimel. Teiseks peab selliste rikkumiste eest isikuandmete kaitse üldmääruses ette nähtud trahve olema võimalik määrata otse juriidilistele isikutele, kui neid saab pidada vastutavaks töötlejaks.
Seejärel märkis Euroopa Kohus, et ükski isikuandmete kaitse üldmääruse säte ei võimalda asuda seisukohale, et trahvi määramiseks juriidilisele isikule kui vastutavale töötlejale tuleb enne tuvastada, et selle rikkumise on toime pannud identifitseeritud füüsiline isik. Lisaks ei ole liidu seadusandja jätnud liikmesriikidele selles osas kaalutlusruumi. Asjaolu, et isikuandmete kaitse üldmäärus annab liikmesriikidele võimaluse kehtestada nõudeid, mis puudutavad menetlust, mida järelevalveasutused peavad trahvi määramisel järgima, (
6
) ei tähenda mingil juhul seda, et liikmesriikidel oleks õigus kehtestada sisulisi tingimusi, mis täiendavad isikuandmete kaitse üldmääruses sätestatud tingimusi.
Selles kontekstis täpsustas Euroopa Kohus, et isikuandmete kaitse üldmääruse eesmärgiga oleks vastuolus lubada liikmesriikidel ühepoolselt nõuda, et vajalik tingimus isikuandmete kaitse üldmääruse artikli 83 alusel juriidilisest isikust vastutavale töötlejale trahvi määramiseks on see, et kõnealune rikkumine oleks enne omistatud või omistatav identifitseeritud füüsilisele isikule. Pealegi võiks selline lisanõue lõppkokkuvõttes nõrgendada juriidilistele isikutele kui vastutavatele töötlejatele määratud trahvide tõhusust ja heidutavat mõju.
Lõpuks rõhutas Euroopa Kohus, et mõiste „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses (
7
) ei mõjuta küsimust, kas ja millistel tingimustel võib juriidilisest isikust vastutavale töötlejale määrata isikuandmete kaitse üldmääruse alusel trahvi, ning on asjakohane ainult trahvi suuruse kindlaksmääramisel.
Seega otsustas Euroopa Kohus, et isikuandmete kaitse üldmäärusega (
8
) on vastuolus riigisisesed õigusnormid, mille kohaselt saab juriidilisele isikule kui vastutavale töötlejale määrata selle määruse rikkumise eest (
9
) trahvi üksnes siis, kui rikkumine on enne omistatud identifitseeritud füüsilisele isikule.
Seoses küsimusega, kas liikmesriigid võivad ette näha trahvi määramise isegi siis, kui karistatav rikkumine ei ole toime pandud tahtlikult või hooletusest, tuletas Euroopa Kohus kõigepealt meelde, et sisulised tingimused, mida järelevalveasutus peab vastutavale töötlejale trahvi määramisel järgima, kuuluvad üksnes liidu õiguse kohaldamisalasse ning liikmesriikidel ei ole selles osas mingit otsustusruumi.
Nende tingimuste kohta märkis Euroopa Kohus, et isikuandmete kaitse üldmääruses loetletud asjaolude hulgas, mille alusel järelevalveasutus sellise trahvi määrab, on asjaolu, „kas rikkumine pandi toime tahtlikult või hooletusest“ (
10
). Ükski neist asjaoludest ei viita aga mis tahes võimalusele, et vastutava töötleja vastutus tekib ilma tema süülise käitumiseta. Seega üksnes selline isikuandmete kaitse üldmääruse sätete rikkumine, mille vastutav töötleja on toime pannud tahtlikult või hooletusest, võib kaasa tuua talle trahvi määramise selle määruse artikli 83 alusel.
Euroopa Kohus lisas, et seda tõlgendust toetavad isikuandmete kaitse üldmääruse üldine ülesehitus ja eesmärk. Sellega seoses täpsustas ta, et isikuandmete kaitse üldmääruse kohase sanktsioonide süsteemi olemasolu, mis võimaldab määrata trahvi, kui juhtumi konkreetsed asjaolud seda õigustavad, ajendab vastutavaid töötlejaid ja volitatud töötlejaid seda määrust järgima ning trahvid aitavad oma heidutava mõjuga kaasa andmesubjektide paremale kaitsele. Liidu seadusandja ei ole siiski pidanud vajalikuks näha ette trahvide määramist ka süü puudumise korral. Arvestades asjaolu, et isikuandmete kaitse üldmääruse eesmärk on saavutada samaväärne ja ühtlane kaitsetase ning et selleks tuleb määrust kohaldada kogu liidus järjekindlalt, oleks selle eesmärgiga vastuolus, kui liikmesriikidel oleks lubatud ette näha selline kord trahvi määramiseks.
Seetõttu tõdes Euroopa Kohus, et isikuandmete kaitse üldmääruse artikli 83 alusel võib trahvi määrata üksnes siis, kui on tõendatud, et vastutav töötleja, kes on samal ajal nii juriidiline isik kui ka ettevõtja, pani määruses sisalduvate eeskirjade rikkumise toime tahtlikult või hooletusest.
(
1
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“).
(
2
)	24. mai 1968. aasta haldusõigusrikkumiste seadus (Gesetz über Ordnungswidrigkeiten) (BGBl. 1968 I, lk 481) 19. veebruaril 1987 avaldatud redaktsioonis (BGBl. 1987 I, lk 602), mida on kohandatud 19. juuni 2020. aasta seadusega (BGBl. 2020 I, lk 1350).
(
3
)	Isikuandmete kaitse üldmääruse artikli 58 lõige 2 ja artikkel 83.
(
4
)	Selle aspekti kohta vt ka samal päeval tehtud kohtuotsus Nacionalinis visuomenės sveikatos centras (C‑683/21).
(
5
)	Isikuandmete kaitse üldmääruse artikli 4 punkt 7.
(
6
)	Nagu ilmneb isikuandmete kaitse üldmääruse artikli 58 lõikest 4 ja artikli 83 lõikest 8, arvestades määruse põhjendust 129.
(
7
)	Sellele on viidatud isikuandmete kaitse üldmääruse põhjenduses 150.
(
8
)	Isikuandmete kaitse üldmääruse artikli 58 lõike 2 punkt i ja artikli 83 lõiked 1–6.
(
9
)	Isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 nimetatud rikkumised.
(
10
)	Isikuandmete kaitse üldmääruse artikli 83 lõike 2 punkt b.