62023CC0383
NÁVRHY GENERÁLNEJ ADVOKÁTKY
LAILA MEDINA
prednesené 12. septembra 2024 (
1
)
Vec C‑383/23
Anklagemyndigheden
proti
ILVA A/S
[návrh na začatie prejudiciálneho konania, ktorý podal Vestre Landsret (Západný vyšší súd, Dánsko)]
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 83 – Správne pokuty – Iné pokuty než správne pokuty – Pojem ‚podnik‘ – Články 101 a 102 ZFEÚ – Materská a dcérska spoločnosť – Porušenie nariadenia 2016/679 dcérskou spoločnosťou – Výpočet výšky pokuty – Zohľadnenie celkového obratu skupiny, ktorej je dotknutá spoločnosť súčasťou – Trestné konanie“
1.
Týmto návrhom na začatie prejudiciálneho konania požaduje Vestre Landsret (Západný vyšší súd, Dánsko) výklad článku 83 ods. 4 až 6 nariadenia (EÚ) 2016/679 (
2
). Tento návrh bol podaný v súvislosti s trestným konaním, ktoré začal Anklagemyndigheden (prokurátor, Dánsko) proti spoločnosti ILVA A/S (ďalej len „ILVA“) (
3
) za to, že si v rámci svojej funkcie prevádzkovateľa osobných údajov najmenej 350000 svojich bývalých zákazníkov nesplnila povinnosť vyplývajúcu z článku 5 ods. 1 písm. e), článku 5 ods. 2 a článku 6 GDPR.
2.
Vec sa týka otázky, či sa pojem „podnik“ v článku 83 ods. 4 až 6 GDPR má so zreteľom na odôvodnenie 150 tohto nariadenia vykladať v tom zmysle, že zodpovedá pojmu „podnik“ podľa práva hospodárskej súťaže EÚ (články 101 a 102 ZFEÚ). To vedie k otázke, či je v súvislosti s uložením pokuty za porušenie GDPR spoločnosti primerané zohľadňovať celkový ročný obrat hospodárskeho subjektu (alebo skupiny), ktorého súčasťou je spoločnosť, ktorá sa dopustila porušenia, a nie iba celkový ročný obrat samotnej spoločnosti.
3.
Špecifickosť prejednávanej veci spočíva v skutočnosti, že v konaní vo veci samej pokutu neuložil vnútroštátny dozorný orgán v oblasti ochrany údajov v rámci svojich dozorných právomocí, ale súd v rámci trestného konania. Normotvorca Únie totiž vložil v tomto smere do GDPR osobitné ustanovenie, ktoré sa vzťahuje konkrétne na Dánsko.
I. Právny rámec
A.
Právo Únie
4.
Podľa odôvodnení 150 a 151 GDPR:
„(150)
S cieľom posilniť a harmonizovať správne sankcie za porušovanie tohto nariadenia by každý dozorný orgán mal mať právomoc ukladať správne pokuty. V tomto nariadení by sa mali uviesť porušenia a horná hranica príslušných správnych pokút a kritériá ich stanovenia, ktoré by mal určiť príslušný dozorný orgán v každom jednotlivom prípade, pričom zohľadní všetky relevantné okolnosti konkrétnej situácie s náležitým zreteľom najmä na povahu, závažnosť a trvanie porušenia a jeho následkov, ako aj opatrenia, ktoré sa prijali na zabezpečenie súladu s povinnosťami podľa tohto nariadenia a na predchádzanie následkom porušenia alebo ich zmiernenie. Keď sa správne pokuty ukladajú podniku, podnik by sa mal na tieto účely považovať za podnik v súlade s článkami 101 a 102 ZFEÚ…
(151)
Právne systémy Dánska a Estónska neumožňujú ukladanie správnych pokút stanovených v tomto nariadení. Ustanovenia o správnych pokutách sa môžu uplatňovať tak, že v Dánsku pokuty ukladajú príslušné vnútroštátne súdy ako trestnú sankciu a v Estónsku pokutu ukladá dozorný orgán v rámci konania o prečine, za podmienky, že takéto uplatňovanie ustanovení v týchto členských štátoch má rovnocenný účinok ako správne pokuty ukladané dozornými orgánmi. Príslušné vnútroštátne súdy by preto mali zohľadniť odporúčanie dozorného orgánu, ktorý podal návrh na začatie konania o uložení pokuty. Ukladané pokuty by v každom prípade mali byť účinné, primerané a odrádzajúce.“
5.
V článku 83 GDPR s názvom „Všeobecné podmienky ukladania správnych pokút“ sa stanovuje:
„1.   Každý dozorný orgán zabezpečí, aby bolo ukladanie správnych pokút podľa tohto článku za porušenia tohto nariadenia uvedené v odsekoch 4, 5 a 6 v každom jednotlivom prípade účinné, primerané a odrádzajúce.
2.   Správne pokuty sa v závislosti od okolností každého jednotlivého prípadu ukladajú popri opatreniach uvedených v článku 58 ods. 2 písm. a) až h) a j) alebo namiesto nich. Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:
…
3.   Ak prevádzkovateľ alebo sprostredkovateľ úmyselne alebo z nedbanlivosti tými istými alebo súvisiacimi spracovateľskými operáciami poruší viacero ustanovení tohto nariadenia, celková suma správnej pokuty nesmie presiahnuť výšku stanovenú za najzávažnejšie porušenie.
4.   Za porušenia nasledujúcich ustanovení sa podľa odseku 2 uložia správne pokuty až do výšky 10000000 EUR, alebo v prípade podniku až do výšky 2 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia:
…
5.   Za porušenia nasledujúcich ustanovení sa podľa odseku 2 uložia správne pokuty až do výšky 20000000 EUR, alebo v prípade podniku až do výšky 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia:
…
6.   Za nesplnenie príkazu dozorného orgánu podľa článku 58 ods. 2 sa podľa odseku 2 tohto článku uložia správne pokuty až do výšky 20000000 EUR, alebo v prípade podniku až do výšky 4 % celkového svetového ročného obratu za predchádzajúci účtovný rok, podľa toho, ktorá suma je vyššia.
…
8.   Výkon právomocí dozorného orgánu podľa tohto článku podlieha primeraným procesným zárukám v súlade s právom Únie a právom členského štátu vrátane účinného súdneho prostriedku nápravy a riadneho procesu…“
B.
Vnútroštátne právo
6.
V Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (zákon č. 502 z 23. mája 2018, ktorým sa dopĺňa nariadenie o ochrane v súvislosti so spracovaním osobných údajov a o voľnom pohybe takýchto údajov), sa v odseku 41 stanovuje:
„[Pododsek 1.] Pokuta alebo trest odňatia slobody až do 6 mesiacov, pokiaľ iné právne predpisy neodôvodňujú k vyššej sankcii, sa uloží každému, kto poruší ustanovenia týkajúce sa:
…
(4)
základných zásad spracúvania údajov vrátane podmienok súhlasu uvedených v článkoch 5 až 7 a 9 [GDPR],
…
Pododsek 3. Pri ukladaní sankcie podľa pododsekov 1 a 2 sa musí dodržiavať článok 83 ods. 2 [GDPR].
…
Pododsek 6. Spoločnosti a podobné subjekty (právnické osoby) môžu byť trestne zodpovedné v súlade s pravidlami stanovenými v kapitole 5 Trestného zákona. …“
II. Skutkové okolnosti sporu v konaní vo veci samej a prejudiciálne otázky
7.
ILVA je na dánskych súdoch obžalovaná z toho, že si ako prevádzkovateľ v období od mája 2018 do januára 2019 nesplnila svoje povinnosti podľa článku 5 ods. 1 písm. e), článku 5 ods. 2 a článku 6 GDPR v súvislosti s uchovávaním osobných údajov týkajúcich sa jej bývalých zákazníkov.
8.
ILVA prevádzkuje reťazec predajní nábytku a je súčasťou skupiny Lars Larsen Group (ďalej len „skupina“). Vo finančnom roku 2016/2017 dosiahol celkový obrat skupiny 6,57 miliardy dánskych korún (DKK) (približne 881 miliónov eur). Z toho tvoril obrat dcérskej spoločnosti ILVA 1,8 miliardy DKK (približne 241 miliónov eur).
9.
Na základe odporúčania Datatilsynet (Orgán splnomocnenca pre ochranu údajov, Dánsko, ktorý je dánskym orgánom pre ochranu údajov alebo „dozorným orgánom“ podľa GDPR), prokurátor požadoval uloženie pokuty spoločnosti ILVA vo výške 1,5 milióna DKK (približne 201000 eur). Rámec na vypočítanie výšky pokuty zahŕňajúci obrat nevychádza z obratu spoločnosti ILVA, ale z celkového obratu celej skupiny.
10.
Retten i Aarhus (Okresný súd Aarhus, Dánsko) uznal v rozsudku z 12. februára 2021 ILVA za vinnú z obžaloby, ale rozhodol, že konala z nedbanlivosti, na rozdiel od toho, čo tvrdil prokurátor. Tento súd nariadil spoločnosti ILVA zaplatiť pokutu vo výške 100000 DKK (približne 13400 eur). Súd ďalej uviedol, že keďže bola žaloba podaná len proti spoločnosti ILVA, a nie proti celej skupine, nebolo potrebné na výpočet výšky pokuty zohľadňovať obrat danej skupiny. Takisto poukázal na skutočnosť, že ILVA sa zaoberá nezávislou maloobchodnou činnosťou a že skupina túto dcérsku spoločnosť nezaložila len s jediným cieľom, a to preniesť na ňu spracúvanie údajov skupiny.
11.
Prokurátor sa proti rozsudku odvolal na Vestre Landsret (Západný vyšší súd), ktorý je vnútroštátnym súdom predkladajúcim prejudiciálne otázky. Tento súd žiada o objasnenie toho, či sa pojem „podnik“ uvedený v článku 83 ods. 4 až 6 GDPR má vykladať v tom zmysle, že na stanovenie pokuty v prípade porušenia GDPR spoločnosťou je nutné zohľadniť obrat skupiny, ktorej súčasťou je dotknutá spoločnosť.
12.
Prokurátor tvrdí, že to tak je. Tvrdí, že z odôvodnenia 150 GDPR vyplýva, že uvedený pojem sa má chápať v súlade s článkami 101 a 102 ZFEÚ.
13.
ILVA zase tvrdí, že pri stanovovaní pokuty za porušenie GDPR zo strany podniku by sa nemal brať ohľad na celkový obrat skupiny, ktorej súčasťou je dotknutá spoločnosť. V tomto konkrétnom prípade bola obžaloba vznesená len voči spoločnosti ILVA, ktorá je dcérskou spoločnosťou, a nie voči materskej spoločnosti.
14.
Vnútroštátny súd sa domnieva, že odpoveď na túto otázku nie je z GDPR jasná.
15.
Za týchto okolností Vestre Landsret (Západný vyšší súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Má sa pojem ‚podnik‘ uvedený v článku 83 ods. 4 až 6 [GDPR] chápať ako podnik v zmysle článkov 101 a 102 ZFEÚ v spojení s odôvodnením 150 tohto nariadenia a judikatúrou [Súdneho dvora] týkajúcou sa práva hospodárskej súťaže EÚ tak, že pojem ‚podnik‘ zahŕňa každý subjekt vykonávajúci hospodársku činnosť bez ohľadu na jeho právnu formu a spôsob financovania?
2.
Ak je odpoveď na prvú otázku kladná, má sa článok 83 ods. 4 až 6 [GDPR] vykladať v tom zmysle, že pri ukladaní pokuty podniku treba brať do úvahy celkový celosvetový ročný obrat hospodárskeho subjektu, ktorého je podnik súčasťou, alebo len celkový celosvetový ročný obrat samotného podniku?“
III. Konanie na Súdnom dvore
16.
Písomné pripomienky predložili ILVA a Európska komisia. Dňa 19. júna 2024 sa uskutočnilo pojednávanie, na ktorom boli zastúpené obidve strany.
IV. Posúdenie
A.
Úvod
17.
Dôvodom osobitných ustanovení GDPR, ktoré sú relevantné v prejednávanej veci (
4
) a uplatňujú sa konkrétne na Dánsko, je skutočnosť, že orgán splnomocnenca pre ochranu údajov nemôže v zásade ukladať žiadne správne pokuty za porušenie právnych predpisov v oblasti ochrany údajov. Orgán splnomocnenca pre ochranu údajov to naopak musí nahlásiť polícii, ak to považuje za potrebné. (
5
) Polícia následne prípad vyšetrí a rozhodne, či existujú dôvody na formálne obvinenie. Ak áno, vec sa postúpi súdom, ktoré ju posúdia a stanovia úroveň pokuty.
B.
O prejudiciálnych otázkach
18.
Podľa môjho názoru je vhodné posúdiť obe otázky spoločne. Uvedenými otázkami sa vnútroštátny súd v podstate pýta, či sa pojem „podnik“ v článku 83 ods. 4 až 6 GDPR má so zreteľom na odôvodnenie 150 tohto nariadenia vykladať v tom zmysle, že zodpovedá pojmu „podnik“ v zmysle článkov 101 a 102 ZFEÚ. To vedie k otázke, či je v súvislosti s uložením pokuty za porušenie GDPR spoločnosti nutné zohľadňovať celkový ročný obrat celého podniku (hospodárskeho subjektu alebo skupiny, v tomto prípade skupiny Lars Larsen Group, teda približne 881 miliónov eur), ktorého súčasťou je spoločnosť, ktorá sa dopustila porušenia, (
6
) a nie iba celkový ročný obrat samotnej spoločnosti (ILVA, teda približne 241 miliónov eur).
1. Rozsudok vo veci Deutsche Wohnen
19.
V článku 83 GDPR sa stanovuje právny základ pre ukladanie pokút za porušenie tohto nariadenia. GDPR neobsahuje žiadne vymedzenie pojmu „podnik“ na účely presadzovania práva, ale v odôvodnení 150 tohto nariadenia sa uvádza, že pri výklade tohto pojmu by sa mali použiť zásady práva hospodárskej súťaže Únie. (
7
)
20.
Súdny dvor mal nedávno príležitosť vyložiť niektoré (nie však všetky) odseky článku 83 GDPR a dotknúť sa určitých otázok, ktoré súvisia s prejudiciálnymi otázkami položenými v tejto veci.
21.
V rozsudku Deutsche Wohnen (
8
) Súdny dvor konkrétne rozhodol, že „z článku 83 ods. 4 až 6 GDPR, ktorý sa týka výpočtu správnych pokút za porušenia uvedené v týchto odsekoch, tak vyplýva, že v prípade, ak je adresátom správnej pokuty podnik alebo je tento adresát súčasťou podniku v zmysle článkov 101 a 102 ZFEÚ, maximálna výška správnej pokuty sa vypočíta na základe percentuálneho podielu celkového celosvetového ročného obratu dotknutého podniku za predchádzajúci účtovný rok“.
22.
Súdny dvor jasne uvádza, že maximálna výška správnej pokuty je založená na celkovom celosvetovom ročnom obrate (
9
)„podniku“, pričom tento pojem sa má chápať v súlade s právom hospodárskej súťaže Únie (články 101 a 102 ZFEÚ). Súdny dvor tak konštatuje, že normotvorca Únie sa pri stanovovaní výšky pokút na základe GDPR snažil prepojiť pravidlá GDPR s pravidlami práva hospodárskej súťaže Únie.
23.
V tomto smere je článok 83 ods. 4 až 6 GDPR skutočne podobný článku 23 ods. 2 nariadenia (ES) č. 1/2003 (
10
), keďže v oboch sa stanovuje zákonný strop pre pokuty na základe príslušných nariadení.
24.
Súdny dvor ďalej pokračoval vo svojom odôvodnení a venoval sa podmienkam, ktoré platia pri určovaní výšky správnej pokuty. Súdny dvor v rozsudku Deutsche Wohnen (bod 58) poznamenal, že „len správna pokuta, ktorej výška je určená na základe skutočnej hospodárskej alebo materiálnej schopnosti jej adresáta, a teda uložená dozorným orgánom na základe, pokiaľ ide o jej výšku, pojmu ‚hospodárska jednotka‘ v zmysle judikatúry…[ (
11
)], môže spĺňať tri podmienky uvedené v článku 83 ods. 1 GDPR, a to byť zároveň účinná, primeraná a odrádzajúca“. Hoci Súdny dvor v tomto smere hovoril o „adresátovi [pokuty]“, čím zdôraznil súvislosť s osobou konkrétne obvinenou z porušenia GDPR, neskôr sa vrátil k pojmu „podnik“ („hospodárska jednotka“) podľa práva hospodárskej súťaže Únie.
25.
V bode 59 tohto rozsudku ďalej Súdny dvor uviedol, že „ak sa… dozorný orgán na základe právomocí, ktoré má podľa článku 58 ods. 2 GDPR, rozhodne uložiť prevádzkovateľovi, ktorý je podnikom alebo súčasťou podniku v zmysle článkov 101 a 102 ZFEÚ, správnu pokutu podľa článku 83 uvedeného nariadenia, je tento orgán povinný podľa tohto posledného uvedeného ustanovenia v spojení s odôvodnením 150 toho istého nariadenia vychádzať pri výpočte správnych pokút za porušenia uvedené v odsekoch 4 až 6 tohto článku 83 z pojmu ‚podnik‘ v zmysle týchto článkov 101 a 102 ZFEÚ“ (
12
).
26.
Dospela som k záveru, že z rozsudku Deutsche Wohnen vyplýva, že v prípade, že sa porušenia GDPR dopustí prevádzkovateľ alebo sprostredkovateľ, ktorý je podnikom (alebo je jeho súčasťou), sa pri stanovovaní maximálnej výšky pokuty odkaz na celkový celosvetový ročný obrat „podniku“ chápe v súlade s článkami 101 a 102 ZFEÚ. Nie je to však jediná otázka týkajúca sa maximálnej výšky pokuty, ktorú možno prevádzkovateľovi alebo sprostredkovateľovi potenciálne uložiť, ktorá sa tak vysvetlí. Vyplýva z toho aj to, že veľmi diferencovaná (a v jednotlivých veciach značne špecifická) judikatúra týkajúca sa pojmov „podnik“ a „hospodárska jednotka“ sa stáva do určitej miery relevantnou aj na stanovenie podmienok pre určenie konkrétnej pokuty uloženej za konkrétne porušenie GDPR.
27.
V nasledujúcich bodoch preskúmam vplyv judikatúry vo veci Deutsche Wohnen v špecifickom kontexte prejednávanej veci, a to s cieľom navrhnúť rámec, ktorým by sa mal vnútroštátny súd riadiť pri určení pokuty pre ILVA.
2. Prvý krok analýzy po rozsudku Deutsche Wohnen: všeobecná analýza s cieľom stanoviť maximálnu výšku pokuty
28.
Ako bolo uvedené v bodoch 25 a 26 vyššie, zo znenia článku 83 GDPR s prihliadnutím na odôvodnenie 150 tohto nariadenia a z judikatúry vo veci Deutsche Wohnen vyplýva, že v prípadoch, keď je prevádzkovateľ alebo sprostredkovateľ „podnikom“ v zmysle článkov 101 a 102 ZFEÚ (alebo jeho súčasťou), mal by sa na účely určenia maximálnej výšky pokuty použiť celkový obrat tohto podniku.
29.
Podľa judikatúry Súdneho dvora týkajúcej sa hospodárskej súťaže pojem „podnik“„zahŕňa každý subjekt vykonávajúci hospodársku činnosť bez ohľadu na jeho právne postavenie a spôsob jeho financovania“ (
13
).
30.
Z judikatúry Súdneho dvora takisto vyplýva, že pojem „podnik“ v článkoch 101 a 102 ZFEÚ môže odkazovať na jedinú hospodársku jednotku aj v prípade, že sa táto hospodárska jednotka skladá z viacerých fyzických alebo právnických osôb. To, či viaceré subjekty tvoria takúto jednotku, závisí vo veľkej miere od toho, či majú jednotlivé subjekty neobmedzenú spôsobilosť prijímať rozhodnutia alebo či má vedúci subjekt, konkrétne materská spoločnosť, nad ostatnými rozhodujúci vplyv. Kritériá na stanovenie uvedenej skutočnosti vychádzajú z hospodárskych, právnych a organizačných väzieb, napríklad z výšky účasti, personálnych alebo organizačných prepojení, pokynov a existencie zmlúv spoločnosti. (
14
)
31.
Z judikatúry takisto jasne vyplýva, že skutočné uplatňovanie rozhodujúceho vplyvu materskej spoločnosti na správanie dcérskej spoločnosti možno vyvodiť zo súboru zhodujúcich sa skutočností, hoci ani jedna z týchto skutočností, posudzovaná samostatne, nepostačuje na preukázanie existencie takéhoto vplyvu. (
15
) Súdy Únie sa v tomto smere opierali okrem iného o právomoc materskej spoločnosti vymenovať členov rôznych predstavenstiev dcérskej spoločnosti a právomoc zvolávať akcionárov na zhromaždenia a navrhovať odvolanie členov predstavenstva alebo celých predstavenstiev dcérskej spoločnosti. (
16
)
32.
Z ustálenej judikatúry vyplýva, že v osobitnom prípade, keď materská spoločnosť priamo alebo nepriamo vlastní 100 % alebo takmer 100 % majetku svojej dcérskej spoločnosti, ktorá sa dopustila porušenia súťažných pravidiel, táto materská spoločnosť môže mať jednak rozhodujúci vplyv na správanie tejto dcérskej spoločnosti a jednak platí vyvrátiteľná domnienka, že táto materská spoločnosť takýto vplyv skutočne vykonáva. (
17
)
33.
Podľa bodu 2 návrhu na začatie prejudiciálneho konania je ILVA súčasťou skupiny Lars Larsen Group. Ak vnútroštátny súd zistí, že materská spoločnosť danej skupiny uplatňuje rozhodujúci vplyv na ILVA, „podnik“ v zmysle článku 83 ods. 5 GDPR by tvorili: i) materská spoločnosť skupiny; ii) ILVA, a iii) akákoľvek iná spoločnosť, na ktorú materská spoločnosť tiež uplatňuje rozhodujúci vplyv. Posledná kategória potenciálne zahŕňa ďalšie spoločnosti v skupine Lars Larsen Group.
34.
„Obrat“ sa v článku 83 ods. 4 až 6 GDPR výslovne uvádza v súvislosti s výpočtom maximálnej výšky pokuty, ktorá by sa mohla spoločnostiam uložiť. Táto maximálna výška sa týka veľmi veľkých spoločností, keďže limit sa neuplatňuje, pokiaľ je pokuta nižšia ako absolútna výška citovaná v uvedených troch odsekoch článku 83, konkrétne 10 miliónov eur alebo 20 miliónov eur. Strop stanovený na základe obratu je preto relevantný len pre spoločnosti s celkovým celosvetovým obratom viac ako 500 miliónov eur. (
18
)
35.
Z uvedeného vyplýva, že ak by vnútroštátny súd zistil, že materská spoločnosť skupiny Lars Larsen Group uplatňuje rozhodujúci vplyv na ILVA, potom sa maximálna výška pokuty, ktorá sa má uložiť v konaní vo veci samej, vypočíta abstraktne na základe percentuálneho podielu z celkového celosvetového ročného obratu dotknutého podniku, t. j. skupiny Lars Larsen Group (ktorej súčasťou je ILVA), za predchádzajúci hospodársky rok.
3. Druhý krok analýzy po rozsudku Deutsche Wohnen: analýza s cieľom stanoviť konkrétnu výšku pokuty za porušenie v konaní vo veci samej
36.
Otázka stanovenia maximálnej výšky pokuty, ako ju predpokladal normotvorca Únie v článku 83 ods. 4 až 6 GDPR, by sa nemala zamieňať ani spájať s nasledujúcou úlohou dozorného orgánu, (
19
) teda so stanovením konkrétnej pokuty, ktorá sa má uložiť za konkrétne dané porušenie(‑a) GDPR.
37.
Na tento účel by sa najprv malo poznamenať, že v článku 83 ods. 1 GDPR sa stanovujú tri kľúčové podmienky (
20
), ktoré musí dozorný orgán dodržať. Každá z týchto podmienok si vyžaduje individuálne vyváženie všetkých prvkov daného porušenia a primeranej konkrétnej pokuty, ktorá sa má uložiť. V článku 83 ods. 2 sa ďalej stanovuje povinnosť, že orgán musí pri rozhodovaní„o uložení správnej pokuty a [vhodnej] výške [konkrétnej správnej pokuty]“ splniť viacero požiadaviek. V dôsledku toho je na úplné pochopenie uplatňovania článku 83 ods. 4 až 6 GDPR v súvislosti so stanovením konkrétnej pokuty v jednotlivých prípadoch potrebné tieto odseky vykladať v spojení s článkom 83 ods. 1, ako aj s článkom 83 ods. 2 uvedeného nariadenia. Čo je dôležitejšie, v druhom odseku článku 83 GDPR sa uvádzajú osobitné faktory, ktoré musí dozorný orgán zohľadniť pri stanovení konkrétnej výšky pokuty v danom prípade.
38.
V samotnom znení odseku 2 tohto článku sa vyžaduje, aby sa náležite zohľadnili viaceré okolnosti „každého jednotlivého prípadu“, pričom zároveň na zostáva dozornom orgáne, aby identifikoval tieto osobitné okolnosti, ktoré sú relevantné pre vec, o ktorej rozhoduje, a aby stanovil ich relevantnosť na účely určenia konkrétnej pokuty. (
21
)
39.
Na rozdiel od článku 83 ods. 4 až 6 GDPR (pozri bod 34 vyššie) jeho článok 83 ods. 2 a ani článok 83 ods. 1 alebo 3 (
22
) neobsahujú žiadny odkaz na obrat podniku. Z toho vyplýva, že normotvorca Únie sa rozhodol nezahrnúť „obrat“ medzi osobitné faktory pre stanovenie konkrétnej ponuky. V článku 83 ods. 2 sa naopak uvádzajú iné faktory (
23
), ktoré charakterizujú správanie prevádzkovateľa alebo sprostredkovateľa, ktorý je obvinený z porušenia, s cieľom zaručiť, že každé porušenie sa posúdi na základe všetkých relevantných individuálnych okolností. Podľa môjho názoru možno z uvedeného vyvodiť, že normotvorca Únie sa snažil rozlišovať medzi faktormi, ktoré tvoria základ pre stanovenie maximálnej výšky pokuty (prvý krok), a zoznamom požiadaviek, ktoré sú záväzné pre dozorný orgán pri stanovení konkrétnej pokuty (druhý krok).
40.
V tejto súvislosti by som pripomenula, že Súdny dvor zdôraznil, že „sankciu, aj keď nie je trestnej povahy, nemožno uložiť, ak sa neopiera o jasný a jednoznačný právny základ“ (
24
). Týka sa to a fortiori trestných konaní, akým je konanie v prejednávanej veci. V judikatúre Súdneho dvora sa odkazuje na „zásadu zákonnosti, [ktorá si] vyžaduje, že zákon musí jasne vymedzovať porušenia a tresty za ne… [a] kritériá posúdenia jasnosti zákona podľa judikatúry Európskeho súdu pre ľudské práva [ESĽP]“ (
25
).
41.
Komisia v tejto súvislosti v podstate tvrdí, že v prejednávanej veci z GDPR vyplýva, že na obrate podniku, do ktorého spoločnosť patrí, musí byť založená nielen maximálna výška pokuty, ale aj výpočet konkrétnej pokuty. Úvahy, ktoré boli uvedené v bodoch 37 až 40 vyššie, však neumožňujú dospieť k záveru, že článok 83 ods. 1 až 6 GDPR sa má vykladať v tom zmysle, že pravidlá pre stanovenie maximálnej výšky pokuty (prvý krok) sa musia použiť aj ako hlavné alebo jediné referenčné kritérium pre stanovenie samotnej pokuty (druhý krok).
42.
Po druhé, v rámci prepojenia dvoch oblastí práva možno z práva hospodárskej súťaže Únie vyvodiť aj potrebu rozlišovania medzi maximálnou výškou pokuty (prvý krok) a konkrétnou pokutou (druhý krok). V práve hospodárskej súťaže Únie totiž Komisia, pokiaľ ide o maximálnu výšku pokuty, podobne ako v článku 83 GDPR používa obrat na výpočet maximálnej výšky pokuty (ktorá je stanovená ako 10 % celkového obratu podniku za porušenie). Je však dôležité upozorniť, že samotná základná pokuta sa na základe obratu nestanovuje. (
26
)
43.
Namiesto toho sa základná pokuta v podstate stanovuje ako percento hodnoty príslušného predaja (ktorý priamo alebo nepriamo súvisel s porušením hospodárskej súťaže) vynásobené trvaním (rokmi alebo obdobiami kratšími ako jeden rok) plus 15 % až 25 % hodnoty príslušného predaja (na ďalšie odstrašenie kartelov). Základná pokuta sa následne na základe priťažujúcich okolností zvýši alebo na základe poľahčujúcich okolností zníži. Táto výška následne podlieha celkovému stropu 10 % obratu (v prípade potreby existuje aj ďalšia možnosť zníženia pokuty na základe zhovievavosti, vyrovnania a/alebo platobnej neschopnosti). Z uvedeného jasne vyplýva, že pri stanovovaní konkrétnej pokuty zohrávajú hlavnú úlohu faktory, ktoré priamo charakterizujú porušenie (ako je príslušný predaj, trvanie porušenia a osobitné okolnosti charakterizujúce prípad), a nie celkový celosvetový ročný obrat.
44.
Ako už poukázali právni komentátori, „neexistuje žiadne priame prepojenie metodiky stanovovania pokút, ktorú Komisia používa v súvislosti s článkami 101 [a] 102 ZFEÚ, s GDPR, keďže pokuty v oblasti hospodárskej súťaže Únie sa snažia zachytiť účinok [protisúťažného] správania na dotknutý trh, a nie sledovať obrat ako taký. Napríklad v prípade kartelov sú pokuty založené na hodnote predaja týkajúceho sa ‚kartelového výrobku‘, a nie na celkovom obrate“ (
27
).
45.
Súdny dvor vo svojej judikatúre skutočne potvrdzuje, že časť celkového obratu pochádzajúca z predaja výrobkov, ktoré sú predmetom porušenia (teda „hodnota predaja“), môže najlepšie odrážať hospodársky význam tohto porušenia. (
28
) Pojem „obrat“ podľa GDPR má naopak odrážať hospodársky význam podniku. (
29
) Tieto dva prístupy nemožno spájať, pretože majú odlišné ciele: prvý sa snaží posúdiť závažnosť porušenia, zatiaľ čo druhý sa snaží zhodnotiť hospodársky význam podniku.
46.
Na základe uvedených úvah a judikatúry Súdneho dvora (citovanej v bode 40 vyššie) som dospela k záveru, že zásada zákonnosti musí ohraničovať vplyv judikatúry týkajúcej sa hospodárskej súťaže Únie na ukladanie konkrétnych pokút za porušenia GDPR. Musí sa najmä zabezpečiť, aby sa konkrétne pokuty na základe GDPR vypočítavali výhradne v súvislosti s činmi páchateľa a plne sa zohľadnili všetky charakteristické vlastnosti konkrétneho porušenia. Výklad pojmov „obrat“ a „podnik“ pri stanovení maximálnej výšky pokuty preto nemožno automaticky prenášať na výpočet konkrétnej pokuty.
47.
Na to, aby pokuta spĺňala cieľ GDPR – posilniť presadzovanie pravidiel tohto nariadenia – so zreteľom na judikatúru Súdneho dvora analyzovanú vyššie, by mal výklad pojmov „podnik“ a „obrat“ pri stanovovaní výšky konkrétnej pokuty spĺňať nasledujúce požiadavky. Pri stanovovaní konkrétnej pokuty musí dozorný orgán vychádzať po prvé zo všetkých individuálnych okolností daného prípadu, ako sa vyžaduje v článku 83 ods. 2 GDPR, vrátane vzťahov v rámci „podniku“, ako sa stanovuje v judikatúre v oblasti hospodárskej súťaže Únie. Po druhé musí byť konkrétna pokuta ako výsledok nájdenia rovnováhy medzi všetkými relevantnými okolnosťami účinná, primeraná a odrádzajúca. A napokon, čo je však rovnako dôležité, musia byť v príslušných prípadoch dodržané relevantné aspekty trestného práva.
48.
Na účely splnenia týchto požiadaviek by som rada pripomenula nasledujúce argumenty.
49.
Ako konštatoval generálny advokát Pitruzzella (
30
), pojem „podnik“ nadobúda v práve Únie význam a rozsah v závislosti od oblasti právnej úpravy, ktorej je súčasťou, a od rôznych cieľov, ktoré sa majú v rámci danej oblasti sledovať. V práve hospodárskej súťaže Únie treba uvedený funkčný charakter pojmu „podnik“ vykladať z dvojakého hľadiska. V prvom rade sa uvedený pojem viaže na druh vykonávanej činnosti, a nie na vlastnosti subjektov, ktoré túto činnosť vykonávajú. Hospodársku súťaž tvorí a ovplyvňuje hospodárska činnosť. Z tohto dôvodu články 101 a 102 ZFEÚ odkazujú všeobecne na „podniky“, pričom nijakým spôsobom nešpecifikujú ich právnu štruktúru. V druhom rade kvalifikácia určitej činnosti ako hospodárskej – teda označenie určitého subjektu za „podnik“ – na účely práva hospodárskej súťaže Únie závisí od skúmaného kontextu. Rovnako identifikácia subjektov patriacich do množiny „podniku“ závisí od predmetu namietaného porušenia.
50.
V týchto pripomienkach sa správne poukazuje na to, že v práve hospodárskej súťaže Únie sa uprednostňujú hospodárske záujmy bez ohľadu na právne štruktúry príslušného subjektu. Druhý aspekt však tento názor obmedzuje v tom zmysle, že určenie subjektu alebo osoby zodpovednej za porušenie, a teda aj konkrétnej pokuty, závisí od samotného sporného porušenia.
51.
V dôsledku toho jedným z prvkov charakterizujúcich pojem „podnik“, ktorý by sa mal zohľadniť pri stanovení základnej pokuty a jej úprave (s cieľom stanoviť konkrétnu pokutu), je miera účasti ostatných spoločností tohto podniku na porušení GDPR. V tejto súvislosti sa vo vnútroštátnej judikatúre týkajúcej sa práva hospodárskej súťaže Únie argumentuje, že „konceptuálne sa otázka existencie ‚podniku‘ a otázka prisúdenia zodpovednosti medzi rôzne spoločnosti v rámci ‚podniku‘ líšia…[ (
31
)] [a] osoba nie je ipso facto zodpovedná za porušenie článku 101 [ZFEÚ] len na základe skutočnosti, že je členom podniku, ktorý je podľa práva Únie zodpovedný za porušenie, za okolností, že sa daná osoba ani nezúčastnila porušovania, ani nemala rozhodujúci vplyv na konanie iných členov podniku, ktorí sa porušovania zúčastnili, na trhu… Za takýchto okolností môže byť nepravdepodobné, že by sa daná osoba skutočne považovala za súčasť tohto ‚podniku‘“ (
32
).
52.
Podľa môjho názoru sú uvedené argumenty dôležité aj pri zvažovaní, ktoré osoby sú zahrnuté pod pojmom „podnik“, s cieľom stanoviť konkrétnu pokutu za porušenie GDPR. To platí najmä v prípade, keď dozorný orgán výslovne stanovil, že materská spoločnosť sa na predmetnom porušení nepodieľala ako prevádzkovateľ alebo sprostredkovateľ, (
33
) ako je to v konaní vo veci samej.
53.
Aj keď normotvorca Únie do určitej miery prepojil tieto dve oblasti práva EÚ na účely stanovenia maximálnych pokút, pravidlá GDPR a pravidlá v oblasti hospodárskej súťaže Únie jednoznačne sledujú odlišné ciele. Regulačná štruktúra GDPR sa líši od pravidiel hospodárskej súťaže Únie a vychádza z koncepcie zodpovednosti prevádzkovateľa (a sprostredkovateľa) za zákonné spracúvanie osobných údajov. Inými slovami, kým právo Únie v oblasti hospodárskej súťaže sa zameriava na „podniky“ (zákaz sa v ňom vyjadruje s odkazom na „podnik“), GDPR sa zameriava na „prevádzkovateľov“ a „sprostredkovateľov“. Takisto pripomínam, že keďže doktrínu „hospodárskej jednotky“ nemožno oddeľovať od širšej logiky práva hospodárskej súťaže Únie a jeho cieľa, Súdny dvor už v minulosti odmietol rozšíriť jej analogické uplatňovanie na iné oblasti práva Únie, napríklad na mimozmluvnú zodpovednosť založenú na článku 340 ods. 2 ZFEÚ. (
34
)
54.
So zreteľom na tieto úvahy je zrejmé, prečo Súdny dvor jasne zúžil dôsledky práva hospodárskej súťaže Únie na presadzovanie GDPR (a najmä na pokuty podľa GDPR). V rozsudku Deutsche Wohnen (bod 53) Súdny dvor uviedol, že pojem „podnik“ v zmysle článkov 101 a 102 ZFEÚ „nemá nijaký vplyv na otázku, či a za akých podmienok možno prevádzkovateľovi, ktorý je právnickou osobou, uložiť správnu pokutu podľa článku 83 GDPR, keďže túto otázku vyčerpávajúcim spôsobom upravuje článok 58 ods. 2 a článok 83 ods. 1 až 6 tohto nariadenia“. Pokračoval konštatovaním (v bode 54), že tento pojem je totiž „relevantný len na účely stanovenia výšky správnej pokuty ukladanej prevádzkovateľovi podľa článku 83 ods. 4 až 6 GDPR [ktorý sa týka maximálnej pokuty]“ (kurzívou zvýraznila generálna advokátka). Navyše rozhodnutím (v bode 53), že otázku, či a za akých podmienok možno uložiť správnu pokutu, „vyčerpávajúcim spôsobom upravuje článok 58 ods. 2 a článok 83 ods. 1 až 6 tohto nariadenia“ (kurzívou zvýraznila generálna advokátka), Súdny dvor ďalej objasnil, že pri stanovení konkrétnej pokuty sa požiadavky článku 83 ods. 1 až 6 musia uplatňovať v plnom rozsahu a žiaden z týchto odsekov nie je primus inter pares.
55.
V dôsledku toho je „obrat“„podniku“ len jedným z viacerých prvkov, ktoré treba zohľadniť pri vymáhaní zodpovednosti prevádzkovateľa (alebo sprostredkovateľa) a uložení účinnej, primeranej a odrádzajúcej pokuty na základe GDPR.
56.
Je pravda, že z judikatúry Súdneho dvora vyplýva, že v práve hospodárskej súťaže Únie môže byť v určitých situáciách pri výpočte výšky konkrétnej pokuty v určitých situáciách zohľadnenie obratu spoločnosti odôvodnené (napríklad pri zvýšení základnej pokuty na účely odstrašenia), ale len ako jedného relevantného prvku medzi ďalšími. (
35
)
57.
Z tohto dôvodu by podľa mňa malo byť možné opierať sa pri stanovení konkrétnej pokuty o pojem „podnik“ v zmysle článkov 101 a 102 ZFEÚ, ale len vtedy, keď je to riadne odôvodnené na účely odstrašujúcej povahy a účinnosti pokuty. V tejto súvislosti sa totiž tento pojem má v jednotlivých prípadoch používať diferencovane a individuálne. Konkrétne sa môže použiť ako mechanizmus úpravy pri posudzovaní osobitných okolností konkrétneho prípadu po stanovení pokuty v súlade s článkom 83 ods. 2 GDPR. Je preto na vnútroštátnom súde, aby overil, či v prejednávanej veci existujú okolnosti, ktoré by odôvodňovali takéto zvýšenie pokuty, najmä na účely odstrašenia.
58.
Otázke individualizácie pokút na základe GDPR (
36
) sa venoval aj Európsky výbor pre ochranu údajov (EDPB) (
37
). Vo svojich usmerneniach týkajúcich sa výpočtu pokút v súlade GDPR (
38
) vypracovaných podľa článku 70 ods. 1 písm. k) GDPR sa EDPB usiluje o štandardizáciu právomoci dozorných orgánov ukladať pokuty podľa GDPR v rámci Európskej únie. EDPB konkrétne uvádza, že sa domnieva, že „východiskový bod pre ďalší výpočet vyplýva z troch prvkov: z kategorizácie porušení podľa povahy v zmysle [článku 83 ods. 4 až 6] GDPR, zo závažnosti porušenia… a z obratu podniku ako jedného z relevantných prvkov, ktoré treba zvážiť na účely uloženia účinnej, odrádzajúcej a primeranej pokuty v zmysle článku 83 ods. 1 [GDPR]“. Hoci je pravda, že tieto úvahy nie sú pre Súdny dvor záväzné, ukazujú, že len komplexný prístup, ktorý zahŕňa všetky prvky relevantné pre konkrétny prípad, môže zaručiť, že pokuta bude spĺňať kľúčové požiadavky podľa článku 83 uvedeného nariadenia, a najmä že konkrétna pokuta bude účinná, primeraná a odrádzajúca.
59.
Na základe uvedeného vyzývam Súdny dvor, aby na účely stanovenia výšky konkrétnej pokuty zvážil, či by pri uplatňovaní pojmu „podnik“ v kontexte stanovenia konkrétnej pokuty podľa článku 83 GDPR mali byť relevantné nasledujúce aspekty. Po prvé by sa malo posúdiť, či materská spoločnosť vykonávala svoju rozhodovaciu právomoc v súvislosti s konkrétnymi činnosťami prevádzkovateľa alebo sprostredkovateľa, ktoré sú predmetom porušenia GDPR. Po druhé by sa malo zvážiť, či sa konkrétne spracovanie údajov, ktorým sa porušuje GDPR, týka dotknutej spoločnosti a/alebo celej skupiny. Po tretie je potrebné preukázať, či bola do porušenia GDPR zapojená viac ako jedna spoločnosť, ktorá je súčasťou skupiny.
60.
V tomto smere by som poukázala na to, že relevantný je nasledujúci neúplný zoznam okolností: i) v prejednávanej veci (
39
) – na rozdiel od veci, ktorá viedla k rozsudku Deutsche Wohnen – sa zdá, že skupina Lars Larsen Group a/alebo jej materská spoločnosť neboli do trestného konania zapojené; ii) obvinenia boli vznesené len proti spoločnosti ILVA, a nie proti skupine, (
40
) a iii) porušenie GDPR v konaní vo veci samej sa obmedzilo len na zákazníkov spoločnosti ILVA a ich údaje, a nič nenasvedčovalo tomu, že k porušeniu dochádzalo na úrovni samotnej skupiny alebo že spracúvanie údajov spoločnosťou ILVA bolo prepojené s ostatnými spoločnosťami v skupine. Je potrebné zdôrazniť, že v prípade, ktorý viedol k rozsudku Deutsche Wohnen, „dotknutá spoločnosť“ prevzala všetku zodpovednosť za spracúvanie údajov, teda aj za spracúvanie údajov ostatných spoločností v skupine. (
41
)
61.
Je však úlohou vnútroštátneho súdu – ktorý má ako jediný právomoc rozhodnúť o skutkových okolnostiach –, aby v tejto súvislosti vykonal potrebné overenia a posúdil tieto okolnosti, ako aj ich význam a váhu, ktorú im treba priznať v súvislosti so stanovením primeranej výšky konkrétnej pokuty pre ILVA.
4. Záverečné poznámky
62.
Hoci vnútroštátny súd v tejto súvislosti nepredložil žiadne otázky, domnievam sa, že v záujme poskytnutia úplnej odpovede tomuto súdu je vhodné stručne sa vyjadriť k niektorým špecifickým aspektom prejednávanej veci.
63.
Výklad článku 83 ods. 1 až 6 vo veci samej sa má vykonať najmä v spojení s článkom 83 ods. 9 GDPR (
42
), čo je otázka, ktorou sa Súdny dvor v rozsudku Deutsche Wohnen nezaoberal. (
43
) V dôsledku toho sa režim stanovenia primeranej konkrétnej pokuty podľa článku 83 GDPR má v tomto prípade vykladať spôsobom, ktorý je v súlade so základnými zárukami trestnoprávneho procesu.
64.
V súvislosti s analýzou vplyvu článku 83 ods. 9 na prejednávanú vec je potrebné zohľadniť aj odôvodnenie 151 GDPR, podľa ktorého „právne systémy Dánska a Estónska[ (
44
)] neumožňujú ukladanie správnych pokút stanovených v tomto nariadení“. V odôvodnení sa ďalej poskytuje usmernenie týkajúce sa zlučiteľnosti rôznych postupov s tromi kľúčovými podmienkami pre konkrétnu pokutu na základe GDPR, teda že „ukladané pokuty by v každom prípade mali byť účinné, primerané a odrádzajúce“. Na základe toho je dôležité stručne preskúmať vplyv práva Únie na pokuty ukladané v trestnom konaní, aby sa zabezpečilo, že tieto tri podmienky budú splnené aj v špecifickej veci, ako je prejednávaná vec.
65.
Na pojednávaní sa ILVA na jednej strane odvolávala na článok 41 Charty základných práv Európskej únie (ďalej len „Charta“). Tento článok má názov „Právo na dobrú správu vecí verejných“ a v článku 41 ods. 2 písm. c) sa konkrétne poukazuje na „povinnosť administratívy odôvodniť svoje rozhodnutia“, ale ILVA v tomto smere neuviedla žiadne konkrétne argumenty.
66.
Na druhej strane ILVA odkazovala aj na článok 49 Charty. Domnievam sa, že pri výklade článku 83 ods. 1 až 6 GDPR by sa skutočne mal zohľadňovať aj uvedený článok Charty, ktorý má názov „Zásady zákonnosti a primeranosti trestných činov a trestov“, a preto je relevantný aj pre vec samu. V článku 49 ods. 3 Charty sa konkrétne stanovuje zásada, že „prísnosť trestov nesmie byť neprimeraná trestnému činu“.
67.
Z judikatúry Súdneho dvora totiž vyplýva, že zásada proporcionality je jednou zo všeobecných zásad práva Únie, ktoré sú základom spoločných ústavných tradícií členských štátov a ktoré musia vnútroštátne orgány dodržiavať pri uplatňovaní alebo vykonávaní práva Únie. Vyžaduje si, aby členské štáty prijali opatrenia, ktoré sú vhodné na dosiahnutie sledovaných cieľov, a neprekračujú rámec toho, čo je potrebné na ich dosiahnutie. (
45
)
68.
Prísnosť sankcie musí zodpovedať závažnosti dotknutého porušenia, pričom táto požiadavka vyplýva tak z článku 52 ods. 1 Charty, ako aj zo zásady primeranosti trestov zakotvenej v jej článku 49 ods. 3 (
46
)
69.
Z vysvetliviek k Charte (
47
) vyplýva, že v súlade s článkom 52 ods. 3 Charty vzhľadom na to, že právo zaručené v jej článku 49 zodpovedá aj právu zaručenému Dohovorom o ochrane ľudských práv a základných slobôd, podpísaným 4. novembra 1950 v Ríme (ďalej len „EDĽP“), má rovnaký význam a rozsah ako právo zaručené EDĽP. Požiadavky ESĽP týkajúce sa primeranosti sankcií sú preto uplatniteľné na prípad, akým je spor vo veci samej, podľa článku 17 ods. 1 v spojení s článkom 51 ods. 1, článkom 52 ods. 1 a 3 Charty. (
48
)
70.
Z judikatúry Súdneho dvora jasne vyplýva, že zásada proporcionality si vyžaduje jednak, aby uložená sankcia zodpovedala závažnosti porušenia a aby jednak pri stanovení sankcie, ako aj výšky pokuty boli zohľadnené osobitné okolnosti prejednávaného prípadu. (
49
) Pokiaľ ide o tento druhý prvok, v judikatúre sa zdôrazňuje, že vnútroštátny súd je povinný zohľadniť objektívne kritériá, ako je závažnosť a dĺžka trvania porušenia, ako aj všetky priťažujúce a poľahčujúce okolnosti, aby zabezpečil, že pokuta bude účinná, primeraná a odrádzajúca. (
50
)
71.
Po druhé sa v judikatúre ESĽP v takýchto prípadoch pristupuje k vyvažovaniu rôznych záujmov, ktoré sú v hre, a zohľadňuje sa povaha, závažnosť a odrádzajúci účinok odsúdenia navrhovateľa v trestnom konaní. Je z nej zrejmé, že povinnosť štátov zaviesť trestné právo a uložiť trest (
51
) s cieľom chrániť verejnosť, (
52
) vedie k zodpovedajúcej povinnosti zabezpečiť, aby uložený trest nebol neprimeraný.
72.
ESĽP rozhodol, že „požadovaná rovnováha sa nedosiahne, ak dotknutá osoba znáša individuálnu a nadmernú záťaž“, a preto „v prípade, že sa pokutou ukladá osobe nadmerná záťaž, alebo ak zásadne ovplyvní jej finančnú situáciu, môže finančný záväzok vyplývajúci z pokuty ohroziť záruku, ktorú poskytuje dané ustanovenie. (
53
)
73.
Z uvedeného vyplýva, že osobitné procesné aspekty prípadu vo veci samej, ako aj právo Únie a judikatúra ESĽP týkajúca sa pokút uložených v trestnom konaní si vyžadujú, aby vnútroštátny súd pri určovaní konkrétnej pokuty za porušenie GDPR zohľadnil všetky relevantné okolnosti veci. Procesné záruky obvinenej osoby, ako aj zásada proporcionality, ako sa vykladá v judikatúre Súdneho dvora a ESĽP, vyžadujú, aby tresty zodpovedali závažnosti trestného činu a aby sa zohľadnili individuálne okolnosti konkrétneho prípadu.
74.
Vzhľadom na tieto požiadavky musí vnútroštátny súd zabezpečiť, aby sa pri stanovení konkrétnej pokuty dodržala zásada proporcionality, podľa ktorej sa dosiahne spravodlivá rovnováha medzi požiadavkami všeobecného záujmu spoločenstva na ochrane osobných údajov a požiadavkami ochrany základných práv (
54
) prevádzkovateľa, sprostredkovateľa alebo podniku, ktorého je súčasťou.
V. Návrh
75.
Navrhujem, aby Súdny dvor odpovedal na otázky, ktoré položil Vestre Landsret (Západný vyšší súd, Dánsko), takto:
Článok 83 ods. 4 ods. 6 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že ak sa pokuty ukladajú prevádzkovateľovi alebo sprostredkovateľovi, ktorý je podnikom (alebo jeho súčasťou), má sa pojem „podnik“ na účely stanovenia maximálnej výšky pokuty vykladať v tom zmysle, že zodpovedá pojmu „podnik“ v zmysle článkov 101 a 102 ZFEÚ. V dôsledku toho sa zohľadňuje celkový ročný celosvetový obrat podniku, ktorého je prevádzkovateľ alebo sprostredkovateľ súčasťou.
Pri určovaní konkrétnej pokuty, ktorá sa má uložiť, sa však pojem „podnik“ má vykladať v spojení s článkom 83 ods. 1 a 2 nariadenia 2016/679 a používať ako jeden z relevantných prvkov pri posudzovaní osobitných okolností jednotlivého prípadu. V tejto súvislosti sa osobitné okolnosti môžu týkať rozhodovacej právomoci materskej spoločnosti, rozsahu spracúvania údajov, ktorým sa porušujú pravidlá uvedeného nariadenia, a počtu subjektov podniku zapojených do porušenia.
Ak navyše takúto pokutu uloží v spojení s článkom 83 ods. 9 nariadenia 2016/679 vnútroštátny súd v rámci trestného konania, konkrétna pokuta sa musí posúdiť na základe zásad, ktoré sa uplatňujú v trestnom práve. V tejto súvislosti musí vnútroštátny súd zabezpečiť, aby sa pri stanovení konkrétnej pokuty dodržala zásada proporcionality, podľa ktorej sa dosiahne spravodlivá rovnováha medzi požiadavkami všeobecného záujmu spoločenstva na ochrane osobných údajov a požiadavkami ochrany základných práv prevádzkovateľa, sprostredkovateľa alebo podniku, ktorého je súčasťou.
(
1
)	Jazyk prednesu: angličtina.
(
2
)	Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
(
3
)	Vo vnútroštátnych zdrojoch sa konanie vo veci samej uvádza aj ako vec „IDdesign A/S“, čo bol bývalý názov spoločnosti ILVA.
(
4
)	Konkrétne článok 83 ods. 9 a odôvodnenie 151 GDPR.
(
5
)	Pozri OVERBY, T.: The Danish adaptation of the GDPR. In: Blog Droit Européen, jún 2018, s. 4 a 5.
(
6
)	Pokiaľ ide o konkrétne znenie druhej položenej otázky (pozri bod 15 vyššie), zdá sa, že je poznačené administratívnou chybou. Z kontextu však možno vyvodiť, že vnútroštátny súd nechcel odkazovať na voľbu medzi „hospodárskym subjektom, ktorého je podnik súčasťou“ a „samotným podnikom“, ale na „hospodársky subjekt, ktorého je spoločnosť súčasťou“ a „samotnú spoločnosť“ (teda právnickú osobu, ktorá porušila GDPR).
(
7
)	Toto odôvodnenie sa cituje v bode 4 vyššie.
(
8
)	Rozsudok z 5. decembra 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, bod 57; ďalej len „rozsudok Deutsche Wohnen“ alebo „judikatúra vo veci Deutsche Wohnen“). Pozri aj súvisiaci rozsudok vydaný v rovnaký deň, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949).
(
9
)	Ako sa jasne uvádza v judikatúre Súdneho dvora, „obrat, hoci nejasný a nedokonalý, ostáva primeraným kritériom na posúdenie veľkosti a hospodárskej sily dotknutých podnikov“. Pozri rozsudok z 8. decembra 2011, KME Germany AG a i./Komisia (C‑272/09 P, EU:C:2011:810, bod 52).
(
10
)	Nariadenie Rady zo 16. decembra 2002 o vykonávaní pravidiel hospodárskej súťaže stanovených v článkoch [101 a 102 ZFEÚ] (Ú. v. ES L 1, 2003, s. 1; Mim. vyd. 08/002, s. 205).
(
11
)	Rozsudok zo 6. októbra 2021, Sumal (C‑882/19, EU:C:2021:800, bod 41 a citovaná judikatúra).
(
12
)	Pozri, čo sa týka vnútroštátnych judikatúr, Landgericht Bonn (Krajinský súd Bonn, Nemecko) (rozsudok z 11. novembra 2020, DE:LGBN:2020:1111.29OWI1.20.00) a Conseil d’État (Štátna rada, Francúzsko) (rozsudok z 19. júna 2020, FR:CECHR:2020:430810.20200619). Obe sú v zásade v súlade s výkladom Súdneho dvora (hoci boli vydané pred jeho rozsudkom). Pozri, pokiaľ ide o opačný výklad, Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko) (rozsudok z 19. augusta 2019, AT:BVWG:2019:W211.2208885.1.00) a Landgericht Berlin (Krajinský súd Berlín, Nemecko) (rozsudok z 18. februára 2021, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; tento rozsudok napokon viedol k rozsudku Súdneho dvora vo veci Deutsche Wohnen). Pozri, čo sa týka judikatúry, ktorá bola prijatá po rozsudku Súdneho dvora a v ktorej sa tento rozsudok uplatňuje, Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko) (rozsudok z 27. marca 2024, AT:BVWG:2024:W214.2243436.1.00).
(
13
)	Pozri rozsudok z 23. apríla 1991, Höfner a Elser (C‑41/90, EU:C:1991:161, bod 21). Pozri tiež napríklad rozsudky z 12. septembra 2000, Pavlov a i. (C‑180/98 až C‑184/98, EU:C:2000:428, bod 74); z 12. júla 2012, Compass‑Datenbank (C‑138/11, EU:C:2012:449, bod 35), a z 27. apríla 2017, Akzo Nobel a i./Komisia (C‑516/15 P, EU:C:2017:314, bod 47).
(
14
)	Pozri tiež rozsudok z 20. januára 2011, General Química a i./Komisia (C‑90/09 P, EU:C:2011:21, bod 37). Hlavným kritériom na preukázanie tejto skutočnosti je „rozhodujúci vplyv“, ktorý by sa mal stanoviť na základe faktických dôkazov (hospodárske, organizačné a právne väzby).
(
15
)	Rozsudok z 27. januára 2021, Goldman Sachs Group/Komisia (C‑595/18 P, EU:C:2021:73, bod 67 a citovaná judikatúra).
(
16
)	Tamže, bod 71.
(
17
)	Tamže, bod 32 a citovaná judikatúra.
(
18
)	2 % celkového celosvetového obratu prevyšujú 10 miliónov eur iba vtedy, ak je obrat spoločnosti vyšší ako 500 miliónov EUR. Podobne 4 % celkového celosvetového obratu prevyšujú 20 miliónov eur iba vtedy, ak je obrat spoločnosti vyšší ako 500 miliónov eur.
(
19
)	V týchto návrhoch budem v tejto súvislosti odkazovať na „dozorný orgán“, ale vzhľadom na osobitný kontext prípadu v konaní vo veci samej je jasné, že to isté sa týka aj vnútroštátneho súdu (ktorý ukladá spoločnosti ILVA pokutu – čo nie je dozorný orgán).
(
20
)	„Každý dozorný orgán zabezpečí, aby bolo ukladanie správnych pokút podľa tohto článku za porušenia tohto nariadenia uvedené v odsekoch 4, 5 a 6 v každom jednotlivom prípade účinné, primerané a odrádzajúce“. (Kurzívou zvýraznila generálna advokátka).
(
21
)	Pozri v tomto smere judikatúru citovanú v bode 40 vyššie.
(
22
)	Posledné uvedené ustanovenie sa týka situácií, v ktorých sa porušuje viacero ustanovení GDPR zároveň.
(
23
)	Medzi tieto faktory patria: povaha, závažnosť a trvanie porušenia, jeho úmyselná alebo nedbanlivostná povaha, kroky prijaté s cieľom zmierniť spôsobenú škodu, predchádzajúce porušenia zo strany prevádzkovateľa alebo sprostredkovateľa, miera spolupráce s dozorným orgánom, kategórie osobných údajov, ktoré boli dotknuté, atď.
(
24
)	Rozsudok z 25. septembra 1984, Könecke (117/83, EU:C:1984:288, bod 11).
(
25
)	Rozsudok z 18. júla 2013, Schindler Holding a i./Komisia (C‑501/11 P, EU:C:2013:522, bod 57 a citovaná judikatúra).
(
26
)	Pozri bod 32 („Maximálna zákonná hranica“) a bod 13 (v súvislosti so „základnou výškou pokuty“) Usmernení Komisie k metóde stanovenia pokút uložených podľa článku 23 ods. 2 písm. a) nariadenia č. 1/2003 (Ú. v. EÚ C 210, 2006, s. 2) (ďalej len „usmernenia k metóde stanovenia pokút z roku 2006).
(
27
)	MAYER BROWN, YAROS, O. a i.: GDPR fines – Lessons from competition law, december 2018, s. 4.
(
28
)	Rozsudok z 12. novembra 2014, Guardian Industries a Guardian Europe/Komisia (C‑580/12 P, EU:C:2014:2363, bod 59).
(
29
)	V bode 30 usmernení k metóde stanovenia pokút z roku 2006 sa uvádza, že „Komisia bude venovať osobitnú pozornosť zabezpečeniu odstrašujúceho účinku pokút“ a „na tento účel môže zvýšiť pokutu uloženú podnikom, ktoré majú zvlášť vysoký obrat mimo tovarov alebo služieb, ktoré sú spojené s porušením“ (kurzívou zvýraznila generálna advokátka). Pozri v tejto súvislosti rozsudok zo 6. februára 2014, Elf Aquitaine/Komisia (T‑40/10, EU:T:2014:61, body 350 až 357 a citovaná judikatúra).
(
30
)	Tieto argumenty boli uvedené v jeho návrhoch vo veci týkajúcej sa práva hospodárskej súťaže, Sumal (C‑882/19, EU:C:2021:293, body 23 až 25).
(
31
)	Pozri napríklad predbrexitovú judikatúru Competition Appeal Tribunal (Odvolací súd pre hospodársku súťaž, Spojené kráľovstvo) vo veci Sainsbury’s Supermarkets Ltd/Mastercard Incorporated a i. (2016), CAT 11, bod 363 ods. 20 až 22.
(
32
)	Tamže, bod 363 ods. 23.
(
33
)	Z dokumentov predložených Súdnemu dvoru vyplýva, že to platilo aj v tomto prípade, keďže prokurátor nevzniesol voči materskej spoločnosti žiadne obvinenia, „keďže na to nebol dôvod“, a dcérska spoločnosť (ILVA) „prevádzkuje nezávislý maloobchodný podnik a… nejde o prípad, keď materská spoločnosť založila dcérsku spoločnosť s jediným cieľom preniesť na ňu spracovanie údajov skupiny“. Pozri body 5 a 21 návrhu na začatie prejudiciálneho konania.
(
34
)	V rozsudku z 5. septembra 2019, Európska únia/Guardian Europe a Guardian Europe/Európska únia (C‑447/17 P and C‑479/17 P, EU:C:2019:672, body 105 a 106), Súdny dvor rozhodol, že pojem „podnik“ v zmysle doktríny „hospodárskej jednotky“ sa používa osobitne na účely vykonania príslušných ustanovení práva Únie v oblasti hospodárskej súťaže, a najmä na účely určenia autora porušenia článkov 101 a 102 ZFEÚ. Tento pojem naproti tomu nie je uplatniteľný v rámci žaloby o náhradu škody založenej na článku 340 druhom odseku ZFEÚ. Takáto žaloba je žalobou podľa verejného práva upravenou všeobecnými procesnými pravidlami, ktoré v prejednávanej veci podliehajú právu obchodných spoločností a ktoré sú nezávislé od logiky zodpovednosti z hľadiska práva hospodárskej súťaže Únie.
(
35
)	Rozsudok zo 17. júna 2010, Lafarge/Komisia (C‑413/08 P, EU:C:2010:346, bod 102 a citovaná judikatúra). Pozri tiež poznámku pod čiarou 29 vyššie.
(
36
)	Teda snahe o dosiahnutie rovnováhy medzi pokutou a konkrétnou situáciou autora porušenia.
(
37
)	EDPB je nezávislý útvar Únie so súdnou subjektivitou, ktorého účelom je zabezpečiť jednotné uplatňovanie GDPR a podporovať spoluprácu medzi orgánmi na ochranu osobných údajov v Európskej únii.
(
38
)	Usmernenia 04/2022 týkajúce sa výpočtu správnych pokút v súlade so všeobecným nariadením o ochrane údajov, verzia 2.1, prijaté 24. mája 2023, bod 48.
(
39
)	V návrhu na začatie prejudiciálneho konania v prejednávanej veci (strana 3) sa poukazuje na to, že „zo zásady trestného konania stanovenej [vo vnútroštátnom práve] vyplýva, že súd nemôže vyniesť rozsudok za žiadny trestný čin, ktorý nie je zahrnutý v obžalobe. Bolo by v rozpore so zásadou stanovenou v tomto ustanovení, ak by sa pri vynesení prísnejšieho rozsudku pripisoval význam okolnostiam týkajúcim sa inej osoby, voči ktorej nebola vznesená obžaloba“.
(
40
)	Hoci vo vnútroštátnych usmerneniach k stanovovaniu pokút sa uvádza, že „ak je prevádzkovateľom údajov dcérska spoločnosť skupiny, malo by sa prešetriť, či je možné uplatniť trestnú zodpovednosť aj voči materskej spoločnosti“. Pozri Bødevejledning – Udmåling af bøder til virksomheder (Usmernenia k stanovovaniu pokút – Posúdenie pokút pre spoločnosti), január 2021, strana 3.
(
41
)	Vo veci, ktorá viedla k rozsudku Deutsche Wohnen, totiž k porušeniam došlo na úrovni celej skupiny, ktorej bola dotknutá spoločnosť súčasťou. Pozri konkrétne skutkové rozdiely medzi týmito dvoma vecami aj vzhľadom na body 10 až 12 rozsudku Deutsche Wohnen.
(
42
)	Pripomínam, že v tomto ustanovení sa konkrétne stanovuje, že „ak sa v právnom systéme členského štátu nestanovujú správne pokuty, tento článok sa môže uplatňovať tak, že uloženie pokuty iniciuje príslušný dozorný orgán a uloží ju príslušný vnútroštátny súd, pričom sa zabezpečí, aby tieto právne prostriedky nápravy boli účinné a mali rovnocenný účinok ako správne pokuty ukladané dozornými orgánmi. Ukladané pokuty musia byť v každom prípade účinné, primerané a odrádzajúce…“
(
43
)	Pretože toto ustanovenie nebolo pre riešenie danej veci relevantné.
(
44
)	Zdá sa, že v Írsku musí správne pokuty uložené dozorným orgánom pre údaje potvrdiť súd. Pozri Data Protection Act 2018 (zákon o ochrane údajov z roku 2018), paragrafy 141 až 143. Navyše sa zdá, že vzhľadom na rozhodnutie Vrhovno sodišče (Najvyšší súd, Slovinsko) zo 16. marca 2021 ani Slovinsko neumožňuje správne pokuty.
(
45
)	Pozri v tomto zmysle rozsudok zo 4. októbra 2018, Link Logistik N&N (C‑384/17, EU:C:2018:810, bod 40 a citovaná judikatúra; ďalej len „rozsudok Link Logistik“).
(
46
)	Tamže, bod 42 a citovaná judikatúra.
(
47
)	Ú. v. EÚ C 303, 2007, s. 17.
(
48
)	Pozri tiež rozsudok Link Logistik, bod 43.
(
49
)	Rozsudok Link Logistik, bod 45.
(
50
)	Pozri v tomto zmysle rozsudok z 10. novembra 2022, Zenith Media Communications (C‑385/21, EU:C:2022:866, bod 41).
(
51
)	Pozri napríklad rozsudok ESĽP, 4. decembra 2003, M.C. v. Bulharsko, CE:ECHR:2003:1204JUD003927298.
(
52
)	Pozri napríklad rozsudok ESĽP, 16. decembra 1999, T. v. Spojené kráľovstvo, CE:ECHR:1999:1216JUD002472494, bod 97, v ktorom sa cituje rozsudok ESĽP, 23. septembra 1998, A. v. Spojené kráľovstvo, CE:ECHR:1998:0923JUD002559994, bod 22, a rozsudok ESĽP, 28. októbra 1998, Osman v. Spojené kráľovstvo, CE:ECHR:1998:1028JUD002345294, bod 115.
(
53
)	Pozri napríklad rozsudok ESĽP, 27. októbra 2015, Konstantin Stefanov v. Bulharsko, CE:ECHR:2015:1027JUD003539905, bod 55.
(
54
)	Tamže, body 54, 55, 66, 67, 69 a 70. Pozri tiež rozsudok ESĽP, 5. júla 2001, Phillips v. Spojené kráľovstvo, CE:ECHR:2001:0705JUD004108798, bod 35, a rozsudok ESĽP, 24. júna 2021, Imeri v. Chorvátsko, CE:ECHR:2021:0624JUD007766814, bod 71.