62021CC0807
STANOVISKO GENERÁLNÍHO ADVOKÁTA
MANUELA CAMPOS SÁNCHEZ-BORDONY
přednesené dne 27. dubna 2023 (
1
)
Věc C‑807/21
Deutsche Wohnen SE
proti
Staatsanwaltschaft Berlin
[žádost o rozhodnutí o předběžné otázce položená Kammergericht Berlin (Vrchní zemský soud v Berlíně, Německo)]
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Porušení povinnosti – Přičitatelnost podniku v případě porušení povinnosti, jehož se dopustili jeho zaměstnanci – Možná objektivní odpovědnost – Přenesení pojmů používaných v právu hospodářské soutěže“
1.
Toto řízení o předběžné otázce poskytuje Soudnímu dvoru příležitost vyjádřit se k podmínkám, za nichž lze uložit správní pokutu právnické osobě z důvodu porušení nařízení (EU) 2016/679 (
2
).
2.
Zejména má být určeno:
—
zda je namístě uložit pokutu právnické osobě, aniž je nezbytné předtím konstatovat odpovědnost fyzické osoby.
—
zda je nutné, aby bylo porušení povinnosti, za nějž je uložena sankce, každopádně úmyslné či nedbalostní, nebo zda postačuje pouhé objektivní porušení povinnosti.
I. Právní rámec
A.
Unijní právo. GDPR
3.
Bod 74 odůvodnění zní následovně:
„Měla by být stanovena odpovědnost správce za jakékoliv zpracování osobních údajů prováděné správcem nebo pro něj. Správce by měl být zejména povinen zavést vhodná a účinná opatření a být schopen doložit, že činnosti zpracování jsou v souladu s tímto nařízením, včetně účinnosti opatření. Tato opatření by měla zohledňovat povahu, rozsah, kontext a účely zpracování a riziko pro práva a svobody fyzických osob.“
4.
V bodě 150 odůvodnění je uvedeno:
„Aby byly posíleny a harmonizovány správní sankce za porušení tohoto nařízení, měl by každý dozorový úřad mít pravomoc uložit správní pokuty. V tomto nařízení by měly být uvedeny porušení a maximální hranice a kritéria pro stanovení souvisejících správních pokut, jež by měl v každém jednotlivém případě určit příslušný dozorový úřad při zohlednění všech příslušných okolností konkrétní situace s náležitým přihlédnutím zejména k povaze, závažnosti a době trvání tohoto porušení a k jeho důsledkům a opatřením přijatým v zájmu zajištění souladu s povinnostmi vyplývajícími z tohoto nařízení a v zájmu prevence či zmírnění důsledků tohoto porušení. Pro účely uložení správních pokut podniku by měl být podnik chápán ve smyslu článků 101 a 102 Smlouvy o fungování EU. […] K prosazování důsledného uplatňování správních pokut je možné využít rovněž mechanismus jednotnosti […]“.
5.
Článek 4 („Definice“) stanoví:
„Pro účely tohoto nařízení se rozumí:
[…]
7)
‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
8)
‚zpracovatelem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který zpracovává osobní údaje pro správce;
[…]
18)
‚podnikem‘ jakákoli fyzická nebo právnická osoba vykonávající hospodářskou činnost bez ohledu na její právní formu, včetně osobních společností nebo sdružení, která běžně vykonávají hospodářskou činnost;
[…]“.
6.
Článek 58 („Pravomoci“) v odstavci 2 stanoví:
„Každý dozorový úřad má všechny tyto vyšetřovací pravomoci:
a)
upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují toto nařízení;
b)
udělit napomenutí správci či zpracovateli, jehož operace zpracování porušily toto nařízení;
c)
nařídit správci nebo zpracovateli, aby vyhověli žádostem subjektu údajů o výkon jeho práv podle tohoto nařízení;
d)
nařídit správci či zpracovateli, aby uvedl operace zpracování do souladu s tímto nařízením, a to případně předepsaným způsobem a ve stanovené lhůtě;
[…]
i)
uložit správní pokutu podle článku 83 vedle či namísto opatření uvedených v tomto odstavci, podle okolností každého jednotlivého případu;
[…]“.
7.
Článek 83 („Obecné podmínky pro ukládání správních pokut“) stanoví:
„1.   Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.
2.   Správní pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v čl. 58 odst. 2 písm. a) až h) a j). Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:
a)
povaha, závažnost a délka trvání porušení s přihlédnutím k povaze, rozsahu či účelu dotčeného zpracování, jakož i k počtu dotčených subjektů údajů a míře škody, jež jim byla způsobena;
b)
zda k porušení došlo úmyslně nebo z nedbalosti;
c)
kroky podniknuté správcem či zpracovatelem ke zmírnění škod způsobených subjektům údajů;
d)
míra odpovědnosti správce či zpracovatele s přihlédnutím k technickým a organizačním opatřením jimi zavedeným podle článků 25 a 32;
e)
veškerá relevantní předchozí porušení správcem či zpracovatelem;
f)
míra spolupráce s dozorovým úřadem za účelem nápravy daného porušení a zmírnění jeho možných nežádoucích účinků;
g)
kategorie osobních údajů dotčené daným porušením;
h)
způsob, jakým se dozorový úřad dozvěděl o porušení, zejména zda správce či zpracovatel porušení oznámil, a pokud ano, v jaké míře;
i)
v případě, že vůči danému správci nebo zpracovateli byla v souvislosti s týmž předmětem dříve nařízena opatření uvedená v čl. 58 odst. 2, splnění těchto opatření;
j)
dodržování schválených kodexů chování podle článku 40 nebo schváleného mechanismu pro vydávání osvědčení podle článku 42 a
k)
jakoukoliv jinou přitěžující nebo polehčující okolnost vztahující se na okolnosti daného případu, jako jsou získaný finanční prospěch či zamezení ztrátám, přímo či nepřímo vyplývající z porušení.
3.   Pokud správce nebo zpracovatel úmyslně či z nedbalosti u stejných nebo souvisejících operací zpracování poruší více ustanovení tohoto nařízení, nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení.
4.   Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 10000000 EUR, nebo jedná-li se o podnik, až do výše 2 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší […].
5.   Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 20000000 EUR, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší:
[…]
6.   Za nesplnění příkazu dozorového úřadu podle čl. 58 odst. 2 lze v souladu s odstavcem 2 tohoto článku uložit správní pokuty až do výše 20000000 EUR, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí rozpočtový rok, podle toho, co je vyšší.
[…]
8.   Na výkon pravomocí dozorovým úřadem podle tohoto článku se vztahují vhodné procesní záruky v souladu s právem Unie a členského státu, včetně účinné soudní ochrany a spravedlivého procesu.
[…]“.
B.
Vnitrostátní právo. Ordnungswidrigkeitengesetz (zákon o přestupcích) (
3
)
8.
Ustanovení § 9 odst. 1 stanoví, že jedná-li osoba jakožto a) orgán (nebo člen tohoto orgánu) zmocněný k zastupování právnické osoby, b) společník zmocněný k zastupování osobní společnosti s právní subjektivitou, nebo c) právní zástupce třetí osoby, použije se na ni jakýkoli zákon, podle něhož je možné uložení sankce odůvodněno úkoly, vztahy nebo zvláštními osobními okolnostmi, které se netýkají dané osoby, nýbrž osoby zastupované.
9.
Podle § 9 odst. 2 se výše uvedené použije i na případ vlastníka entity (podniku), jenž v částečném nebo úplném rozsahu pověří jinou osobu, aby tuto entitu vedla nebo aby na vlastní odpovědnost vykonávala úkoly, které náleží vlastníku.
10.
Ustanovení § 30 odst. 1 umožňuje uložit správní pokutu právnické osobě v případě, že se fyzická osoba, jež danou právnickou osobu zastupuje nebo řídí či nese odpovědnost za její správu, dopustila trestného činu nebo nesplnila povinnosti, které náleží právnické osobě.
11.
Podle § 30 odst. 4 uložení samostatné pokuty právnické osobě vyžaduje, aby nebylo zahájeno žádné řízení proti členovi orgánu nebo jednateli právnické osoby, nebo pokud takové řízení bylo zahájeno, aby bylo zastaveno.
12.
Ustanovení § 130 odst. 1 stanoví, že osoba, která jakožto vlastník entity či podniku úmyslně či z nedbalosti nepřijme opatření za účelem dozoru, jež jsou nezbytná k tomu, aby se v dané entitě nebo v daném podniku zabránilo nesplnění povinností, jež náleží jeho vlastníku a jejichž porušení je sankcionováno uložením trestu nebo pokuty, se dopustila přestupku, pokud se tomuto nesplnění povinnosti mohlo zamezit nebo bránit zavedením vhodných opatření za účelem dozoru, mezi něž patří jmenování, pečlivý výběr a sledování osob odpovědných za kontrolní činnost.
II. Skutkový stav, spor a předběžné otázky
13.
Deutsche Wohnen SE (dále jen „Deutsche Wohnen“) je společnost podnikající v oblasti nemovitostí, která je kotovaná na burze a má sídlo v Berlíně (Německo). Prostřednictvím kapitálových účastí nepřímo drží kolem 163000 bytových jednotek a 3000 komerčních prostor.
14.
Vlastníky těchto jednotek a prostor jsou dceřiné společnosti Deutsche Wohnen („vlastnické společnosti“), které uskutečňují běžnou provozní činnost, zatímco Deutsche Wohnen se soustředí na ústřední řízení. Vlastnické společnosti pronajímají bytové jednotky a komerční prostory, jež jsou spravovány dalšími společnostmi skupiny, takzvanými servisními společnostmi.
15.
V rámci své podnikatelské činnosti Deutsche Wohnen a společnosti, které jsou součástí její skupiny, rovněž zpracovávají osobní údaje nájemců nemovitostí. V případě těchto údajů se jedná mj. o průkazy totožnosti, daňové údaje a údaje související se sociálním zabezpečením a zdravotním pojištěním, jakož i údaje týkající se předchozích nájemních vztahů.
16.
Dne 23. června 2017 Berliner Beauftragte für den Datenschutz (berlínská pověřenkyně pro ochranu osobních údajů, dále jen „správní orgán“) v rámci kontroly provedené na místě upozornila Deutsche Wohnen na skutečnost, že společnosti, které jsou součástí její skupiny, ukládají osobní údaje nájemců v elektronickém archivačním systému, u něhož nelze ověřit, zda je dané uložení nezbytné a zda je zaručeno, že dojde k výmazu údajů, které již nejsou nezbytné.
17.
Správní orgán vyzval Deutsche Wohnen, aby do konce roku 2017 vymazala z elektronického archivačního systému určité dokumenty.
18.
Deutsche Wohnen tak odmítla učinit s poukazem, že výmaz není možný z technických ani právních důvodů. Tato námitka byla projednána na schůzce Deutsche Wohnen se správním orgánem, na níž posledně jmenovaný orgán uvedl, že existují technická řešení výmazu těchto údajů. Následně proběhla komunikace, v níž Deutsche Wohnen uvedla, že má v úmyslu zavést nový systém, kterým nahradí dosavadní systém, s nímž správní orgán nesouhlasil.
19.
Dne 5. března 2020 správní orgán provedl kontrolu v ústředí skupiny daného podniku, při které bylo pořízeno celkem šestnáct vzorků uchovávaných údajů. Deutsche Wohnen správnímu orgánu sdělila, že sporný archivační systém již byl vyřazen z provozu a má být neprodleně provedena migrace dat do nového systému.
20.
Správní orgán uložil dne 30. října 2020 společnosti Deutsche Wohnen sankci za to, že
—
mezi 25. květnem 2018 a 5. březnem 2019 úmyslně nepřijala opatření nezbytná za účelem umožnění pravidelného vymazávání údajů nájemců, které již nejsou zapotřebí nebo jsou v jiném ohledu uloženy neoprávněně;
—
stále uchovávala osobní údaje nejméně patnácti blíže určených nájemců, ačkoli bylo známo, že to není nebo již není nezbytné.
21.
Uložené pokuty dosáhly výše 14385000 eur za úmyslné porušení čl. 25 odst. 1 a čl. 5 odst. 1 písm. a), c) a e) GDPR, jakož i výše od 3000 do 17000 eur za patnáct porušení čl. 6 odst. 1 GDPR.
22.
Deutsche Wohnen napadla tyto sankce před Landgericht Berlin (zemský soud v Berlíně, Německo), který žalobě vyhověl.
23.
Staatsanwaltschaft Berlin (Státní zastupitelství v Berlíně, Německo) napadlo rozhodnutí přijaté v prvním stupni před Kammergericht Berlin (Vrchní zemský soud v Berlíně, Německo), který pokládá Soudnímu dvoru tyto předběžné otázky:
„1)
Musí být čl. 83 odst. 4 až 6 GDPR vykládán v tom smyslu, že do vnitrostátního práva začleňuje funkční pojem podniku odpovídající článkům 101 a 102 SFEU a zásadu zástupné odpovědnosti, což má za následek, že při rozšíření zásady identifikace, ze které vychází § 30 [OWiG)], lze řízení o uložení peněžité sankce vést přímo proti podniku a pro účely uložení pokuty není třeba konstatovat, že došlo k přestupku spáchanému identifikovanou fyzickou osobou, který popřípadě naplňuje všechny objektivní i subjektivní znaky deliktu?
2)
V případě kladné odpovědi na první otázku: Musí být čl. 83 odst. 4 až 6 GDPR vykládán v tom smyslu, že je nutné, aby se podnik prostřednictvím zaměstnance zaviněně dopustil protiprávního jednání [viz článek 23 nařízení Rady (ES) č. 1/2003[ (
4
)] (…)], nebo pro účely uložení pokuty podniku v zásadě postačuje již objektivní porušení povinnosti (strict liability), které mu lze přičíst?“
III. Řízení před Soudním dvorem
24.
Žádost o rozhodnutí o předběžné otázce byla zapsána do rejstříku Soudního dvora dne 23. prosince 2021.
25.
Písemná vyjádření předložily Deutsche Wohnen, německá, estonská a norská vláda, jakož i Evropská komise.
26.
Soudní dvůr vyzval dne 9. listopadu 2022 na základě čl. 101 odst. 1 jednacího řádu předkládající soud, aby upřesnil:
—
případný dopad § 130 OWiG na první z položených otázek;
—
důvody, z nichž se považuje za nezbytné zodpovězení druhé předběžné otázky, vzhledem k tomu, že podle předkládacího rozhodnutí byly sankce uloženy za úmyslné porušení některých ustanovení GDPR.
27.
Požadovaná vysvětlení byla zapsána v kanceláři Soudního dvora dne 11. ledna 2023.
28.
Jednání konaného dne 17. ledna 2023 se zúčastnili všichni, kdo předložili písemná vyjádření, jakož i vláda Nizozemska, Evropský parlament a Rada Evropské unie.
IV. Analýza
A.
První předběžná otázka
1. Úvodní poznámky
29.
Podstatou první otázky předkládajícího soudu je, zda je podle unijního práva namístě, aby byla právnické osobě uložena sankce za porušení GDPR, aniž je nutné toto porušení předem přičíst fyzické osobě.
30.
Předkládající soud upozornil nicméně ve své otázce na několik problematických hledisek:
—
uvádí, že právním ustanovením, jehož výklad by mohl být vodítkem k zodpovězení této otázky, je čl. 83 odst. 4 až 6 GDPR;
—
odkazuje na tzv. „funkční pojem podniku odpovídající článkům 101 a 102 SFEU a zásadu zástupné odpovědnosti“.
31.
Předkládající soud tvrdí, že podle vnitrostátních právních předpisů lze podniku uložit sankci pouze v případě, že mu lze přičíst určitá porušení povinnosti spáchaná (pouze) členy jeho vedení, kteří jsou označováni jako „zástupci“ (
5
).
32.
Deutsche Wohnen a německá vláda jsou jiného mínění. Mají za to, že § 30 OWiG musí být vykládán ve spojení s § 9 a § 130 OWiG, s nimiž tvoří soudržnou úpravu sankcí. Podle této úpravy lze podniku uložit správní sankci, aniž je nutné zahájit řízení proti fyzické osobě, která jednala jménem podniku (
6
).
33.
Poté, co byl předkládající soud vyzván Soudním dvorem, aby se vyjádřil k případnému dopadu § 130 OWiG, odpověděl, že tento paragraf není pro první předběžnou otázku relevantní. Svůj postoj odůvodňuje následovně:
—
přestože výše uvedený paragraf umožňuje spolu s § 9 a § 30 OWiG ukládat podniku pokuty, ochrana právních zájmů, kterou poskytuje první z těchto ustanovení, je velmi úzká v porovnání s režimem odpovědnosti vyplývajícím z článků 101 a 102 SFEU;
—
příjemcem § 130 OWiG je vlastník podniku, který nesplnil povinnost dozoru. K prokázání nesplnění povinnosti, které je přičitatelné vlastníku podniku, nepostačuje pouhé konstatování porušení právních zájmů, jehož se dopustil týž podnik. Toto prokázání vyžaduje, aby byly prozkoumány a objasněny vnitřní struktury a procesy (obecné i konkrétní), což může být v mnoha případech nemožné, neboť tyto struktury a procesy jsou nesmírně složité, a to nejen v projednávané věci, ale i u každé skupiny podniků. V této souvislosti je sporné, zda mohou být tyto skupiny ve skutečnosti považovány za podniky, nebo za vlastníky podniků ve smyslu § 130 OWiG.
34.
Z těchto vysvětlení je zřejmé, že předkládající soud vychází v první ze svých předběžných otázek z toho, že na rozdíl od německé vlády chápe vnitrostátní právo v tom smyslu, že zavádí režim odpovědnosti právnických osob, který by mohl být s ohledem na své charakteristiky neslučitelný s unijním právem.
35.
Soudní dvůr musí vycházet z vnitrostátního právního rámce v té podobě, v jaké jej popisuje předkládající soud (
7
), který má pravomoc k výkladu svého vnitrostátního práva. Otázky týkající se výkladu unijního práva, jež položil vnitrostátní soud, musí být zodpovězeny s přihlédnutím ke skutkovému a právnímu rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat (
8
).
36.
První předběžnou otázkou se tedy budu zabývat ve světle výše uvedených předpokladů.
2. Právnické osoby, jimž lze uložit sankci podle GDPR
37.
Podle unijního práva nebrání nic tomu, aby se mělo za to, že se Deutsche Wohnen dopustila protiprávního jednání a současně je adresátem uložené sankce. Tato možnost je obecně obsažena v GDPR a byla konkrétně využita v projednávaném případě:
—
z obecného hlediska a jak vysvětlím níže, možnost uložit sankci přímo právnické osobě za porušení povinnosti v oblasti ochrany údajů je nejen stanovena různými ustanoveními GDPR, ale ve skutečnosti představuje jeden z klíčových nástrojů k zaručení účinnosti tohoto nařízení;
—
konkrétně byla sporná pokuta podle předkládacího rozhodnutí uložena společnosti Deutsche Wohnen z důvodu několika porušení GDPR, jež byla této společnosti přičítána jakožto správci (
9
). Úřad pro ochranu údajů jí zaslal výzvu, na niž odpověděla výše uvedeným způsobem, a poté pokračovala v jednání, které jí zmíněný úřad vytkl. Určení adresáta sankce nebylo tedy nijak obtížné (
10
).
38.
Co se týče obecného hlediska, k tomu, aby byla potvrzena myšlenka, že právnické osobě může být přímo uložena sankce za porušení GDPR, jehož se dopustila, není zapotřebí širších úvah. Tuto myšlenku lze bez výkladových potíží vyvodit ze znění článků 4, 58 a 83 GDPR:
—
v článku 4 jsou definovány pojmy „správce“ a „zpracovatel“, s výslovnou zmínkou, že se mohou vztahovat i na právnické osoby (
11
);
—
v čl. 58 odst. 2 je dozorovým úřadům přiznáno několik „nápravných pravomocí“ ve vztahu ke správcům či zpracovatelům (tj. i ve vztahu k právnickým osobám). Mezi tyto nápravné pravomoci patří i uložení „správní pokuty“ [písmeno i)].
—
výčet kritérií pro určení výše správních pokut, který je uveden v článku 83 GDPR, obsahuje i faktory, jež se mohou snadno objevit i v jednání právnických osob.
39.
Ze všech těchto ustanovení zcela přirozeně vyplývá, že podle GDPR může mezi možné přímé adresáty správních pokut vyplývajících z vlastního porušení povinnosti patřit právnická osoba (
12
). Stejně přirozeně postupují i vnitrostátní orgány příslušné v této oblasti, které neváhají trestat ukládáním někdy i velmi vysokých pokut právnické osoby porušující GDPR (
13
).
40.
Co se týče konkrétního hlediska, znovu opakuji, že úřad pro ochranu osobních údajů vyzval Deutsche Wohnen jakožto správce k tomu, aby vymazala ze svých archivačních systémů některé osobní údaje nájemců, a zmíněný podnik na tuto výzvu po určitou dobu nereagoval, a to do okamžiku, kdy změnil své systémy uchovávání údajů.
3. Nutnost předchozího přičtení fyzické osobě?
41.
Podle předkládajícího soudu vnitrostátní právo stanoví, že podniku může být uložena přímá sankce za porušení GDPR, pouze pokud byla předběžně konstatována odpovědnost fyzické osoby. Vyplývá to z § 30 OWiG: podnikům lze uložit pokuty pouze v případě, že jim lze přičíst určitá porušení povinnosti, jichž se dopustili členové jejich vedení, kteří jsou označováni jako „zástupci“, a k tomu je nezbytné, aby zástupce z hlediska naplnění skutkové podstaty protiprávně a zaviněně porušil normu sankcionovanou peněžitou sankcí (
14
).
42.
Na námitku německé vlády, která se dovolává § 130 OWiG, aby napadla výklad podaný předkládajícím soudem, reagoval předkládající soud způsobem, který jsem již popsal výše v souvislosti s přepisem odpovědi, kterou zmíněný soud poskytl Soudnímu dvoru (
15
). V zásadě tvrdí, že ochrana právních zájmů, kterou poskytuje toto ustanovení, je velmi úzká v porovnání s režimem odpovědnosti vyplývajícím z článků 101 a 102 SFEU.
43.
Pravidlo předchozího prohlášení odpovědnosti fyzické osoby, na nějž upozorňuje předkládající soud, se však nepoužije, pokud by byl v čl. 83 odst. 4 až 6 GDPR zohledněn pojem „funkční pojem podniku“, který je vyjádřen v článcích 101 a 102 SFEU, a to jeho provedením do vnitrostátního práva.
a) Dopad pojmu použitého v článcích 101 a 102 SFEU
44.
Ustanovení čl. 83 odst. 4 až 6 GDPR se týkají určení výše sankcí ukládaných za porušení GDPR, jež jsou v nich vyjmenována. Tyto tři odstavce konkrétně stanoví, že sankcionovaným subjektem může být „podnik“.
45.
Právě v těchto souvislostech musí být chápán odkaz na podnik ve smyslu článků 101 a 102 SFEU, který je uveden v bodě 150 odůvodnění GDPR. Je třeba připomenout, že podle Soudního dvora se „unijní právo v oblasti hospodářské soutěže […] vztahuje na činnosti podniků a pojem ‚podnik‘ zahrnuje jakoukoli jednotku vykonávající hospodářskou činnost nezávisle na právním postavení této jednotky a způsobu jejího financování“ (
16
).
46.
Vzhledem k tomu, že maximální výše pokut ukládaných za porušení GDPR odpovídá v případě podniků, které jsou správci nebo zpracovateli, určitému procentnímu podílu z „celkového ročního obratu celosvětově za předchozí finanční rok“, způsob určení této výše nemůže vycházet z formální právní subjektivity dané společnosti, nýbrž z pojmu „hospodářská jednotka“ ve výše popsaném smyslu.
47.
Je tomu tak proto, že podle čl. 83 odst. 1 GDPR je nutné, aby správní pokuty stanovené v odstavcích 4 až 6 tohoto článku byly „účinné, přiměřené a odrazující“. Těmto třem charakteristikám může odpovídat pouze pokuta, jejíž výše je určena podle skutečných hospodářských či materiálních schopností jejího adresáta. Při výpočtu výše sankce je tedy zapotřebí řídit se spíše hmotněprávním či hospodářským pojmem „podnik“ než pojmem striktně formálním.
48.
Pro určení výše pokut ukládaných za porušení GDPR tedy evropský normotvůrce zvolil faktickou či hmotněprávní definici pojmu „podnik“, která je typická pro právo hospodářské soutěže (
17
). Současně je však třeba zdůraznit, že zmíněný pojem je v GDRP použit výlučně pro výše uvedené účely.
49.
V projednávané věci by tedy pojem „podnik“, který je stanoven v článcích 101 a 102 SFEU, mohl být relevantní pro určení výše pokuty, která by mohla být uložena společnosti Deutsche Wohnen. Otázka, zda bude posledně jmenované společnosti přisouzeno postavení sankcionovaného subjektu (nebo přesněji subjektu, který se dopustil porušení povinnosti), však jako taková nezávisí na použití dvou výše zmíněných článků SFEU.
50.
Výše uvedené nebrání tomu, aby byly obecné zásady upravující sankční režim práva hospodářské soutěže (jehož podrobný výklad již Soudní dvůr podal) obdobně použity i v oblasti odpovědnosti právnických osob za porušení povinnosti v oblasti ochrany osobních údajů (
18
).
b) Přímá přičitatelnost právnické osobě
51.
Je vnitrostátní právní úprava, která podmiňuje ukládání správních sankcí právnickým osobám tím, že bylo předtím zahájeno řízení proti fyzické osobě, slučitelná s GDPR?
52.
Povaha GDPR je podle článku 288 SFEU určena nejen obecnou působností tohoto nařízení, ale i jeho závazností a přímou použitelností ve všech členských státech. Tyto charakteristiky by ztratily smysl, pokud by bylo členským státům povoleno odchýlit se od konečného znění jednotlivých ustanovení, která do GDPR vložil unijní normotvůrce.
53.
Je pravda, že některá z ustanovení GDPR poskytují vzhledem ke zvláštní povaze a k vlastnostem cíle, který sledují, členským státům určitý prostor k uvážení, v rámci něhož mohou zachovat či zavést vnitrostátní předpisy za účelem dále konkretizovat některá z nich. Platí to například:
—
pokud jde o zpracování osobních údajů z důvodu splnění právní povinnosti, provádění určitého úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce (
19
);
—
pokud jde o zpracování zvláštních kategorií osobních údajů, neboť GDPR nevylučuje, aby členské státy stanovily okolnosti konkrétních situací, při nichž dochází ke zpracování, včetně přesnějšího určení podmínek, za nichž je zpracování osobních údajů zákonné (
20
).
54.
Tento prostor k uvážení, jenž náleží členským státům a jenž se stal na jednání předmětem diskuse, nelze podle mého názoru rozšířit natolik, aby byla omezena přičitatelnost právnické osobě v té podobě, v jaké vyplývá podle předkládajícího soudu z § 30 OWiG.
55.
Takové přizpůsobení režimu odpovědnosti právnických osob by umožnilo, aby byla z působnosti režimu ukládání sankcí, jejž zavádí GDPR, vyňata ta porušení povinnosti, jež musí být podle tohoto nařízení přičtena právnické osobě jednající jakožto správce nebo zpracovatel. Tato situace by nastala, pokud by se tohoto porušení povinnosti neúčastnily fyzické osoby, které zastupují, řídí nebo spravují právnickou osobu.
56.
Je třeba znovu zopakovat, že pokud může právnická osoba vystupovat jakožto správce a v tomto postavení se dopustit porušení GDPR, které jí může být přičteno, použití § 30 OWiG by mohlo vést k oslabení nebo neopodstatněnému omezení rozsahu jednání, za něž může být uložena sankce, což se neslučuje s obecnou myšlenkou samotného GDPR.
57.
Právnická osoba, která může být považována za správce nebo zpracovatele, musí z hlediska ukládání sankcí nést následky porušení GDPR, jehož se dopustili nejen její zástupci, vedoucí představitelé či správci, ale i fyzické osoby (myšleno v širokém slova smyslu) jednající v rámci vymezeném podnikatelskou činností dané právnické osoby a pod jejím dohledem.
58.
Tyto fyzické osoby ve skutečnosti kopírují a naplňují vůli dané právnické osoby a dávají jí podobu jednotlivých konkrétních aktů. Tyto zvláštní akty představují konkrétní vyjádření oné vůle, a jsou proto s konečnou platností přičitatelné dané právnické osobě.
59.
Jedná se tudíž o fyzické osoby, které sice nejsou skutečnými zástupci právnické osoby, avšak jsou při svém jednání podřízeny těm, kdo pro zastupování dané právnické osoby nezajistili dostatečný dohled či kontrolu ve vztahu k prvně jmenovaným osobám. V konečném důsledku vede přičitatelnost přímo k právnické osobě, neboť pokud se porušení povinnosti dopustil zaměstnanec jednající z pověření řídících orgánů této právnické osoby, znamená to, že došlo k selhání systému kontroly a dohledu, za nějž nesou tyto orgány přímou odpovědnost.
60.
Výše uvedené vychází ze způsobu, jakým vnitrostátní právo vykládá předkládající soud. Německá vláda však tvrdí, že použití § 9 OWiG ve spojení s § 30 a § 130 OWiG utváří systém, v rámci něhož mohou být ukládány sankce za porušení přičitatelná právnické osobě, jichž se dopustily fyzické osoby, jež nejsou pověřeny řízením ani zastupováním dané právnické osoby, aniž je nutné tyto osoby identifikovat (
21
).
61.
Jak jsem již uvedl výše, je věcí předkládajícího soudu, aby podal výklad ustanovení svého vnitrostátního práva. Otázku, zda je podle vnitrostátní judikatury a právní nauky, jichž se dovolává německá vláda (
22
), v případě těchto ustanovení možný takový výklad vnitrostátního práva, který je v souladu s požadavky kladenými unijním právem, musí vyřešit vnitrostátní soudy.
62.
Pokud by byl tento výklad contra legem a pokud by bylo s ohledem na zvláštní strukturu vnitrostátního systému ukládání sankcí nemožné zajistit, že budou v této oblasti v plném rozsahu používána pravidla obsažená v GDPR, předkládající soud by musel vyloučit používání vnitrostátního právního předpisu neslučitelného s unijním právem, aby zaručil přednost GDPR.
B.
Druhá předběžná otázka
63.
Předkládající soud si přeje zjistit, zda je podle čl. 83 odst. 4 až 6 GDPR „nutné, aby se podnik prostřednictvím zaměstnance zaviněně dopustil protiprávního jednání […], nebo pro účely uložení pokuty podniku v zásadě postačuje již objektivní porušení povinnosti (strict liability), které mu lze přičíst“ (
23
).
64.
Takto formulovaná otázka má hypotetickou povahu, což ji činí nepřípustnou, a to ze dvou důvodů.
65.
Zaprvé z předkládacího rozhodnutí vyplývá, že společnosti Deutsche Wohnen byla uložena sankce za zaviněné (úmyslné) jednání a nikoli za pouhé „objektivní porušení povinnosti“ vyplývající z GDPR. Z výše uvedeného popisu skutečností je zřejmé, že zmíněný podnik vědomě a úmyslně nevyhověl výzvě úřadu pro ochranu osobních údajů a pokračoval ve vytýkaném zpracování údajů. Pro tuto kvalifikaci je irelevantní, že poukázal na různé technické a právní problémy související se změnou jeho systémů zpracování údajů.
66.
Zadruhé poté, co byl předkládající soud vyzván Soudním dvorem, aby upřesnil svou otázku, sdělil, že soud prvního stupně není vázán výroky obsaženými v rozhodnutí o uložení sankce a zmíněný soud by se mohl v budoucnosti vyjádřit k důvodům žaloby, jíž byla sankce napadena. Pokud by dospěl k závěru, že došlo k porušení povinnosti, bude nutné určit, o jaký druh pochybení šlo, což bude záviset na způsobu, jakým bude zodpovězena tato druhá předběžná otázka.
67.
Vycházíme-li z tohoto upřesnění, znovu se prokazuje hypotetická povaha druhé předběžné otázky: posouzení týkající se kvalifikace daného jednání není nezbytné pro vyřešení sporu probíhajícího před předkládajícím soudem, ale jen pro případné vrácení věci k soudu prvního stupně, pokud by se k ní měl v budoucnu vyjádřit.
68.
Každopádně a pro případ, že by se Soudní dvůr rozhodl zabývat se věcí samou, mám za to, že odpověď na tuto otázku nezávisí na výkladu čl. 83 odst. 4 až 6, jejichž předmětem je určení výše správních pokut.
69.
Předkládající soud rozlišuje mezi: a) porušením povinnosti, jehož se dopustil zaměstnanec právnické osoby, a b) účastí právnické osoby na tomto porušení povinnosti, ať již úmyslně či z nedbalosti.
70.
Mám za to, že „porušení povinnosti, jehož se dopustil zaměstnanec“, představuje ve skutečnosti a v souladu s tím, co již bylo uvedeno výše v souvislosti s první otázkou, porušení povinnosti, jehož se dopustila právnická osoba, z jejíhož pověření zaměstnanec jednal.
71.
Pokud bude tedy tato otázka správně formulována, bude se týkat možného uložení sankce právnické osobě za objektivní nesplnění povinností (bez viny), které jí náleží jakožto správci nebo zpracovateli.
72.
Užitečným vodítkem pro zodpovězení této otázky může být judikatura Evropského soudu pro lidská práva (ESLP) ve spojení se zásadou legality trestných činů a trestů, kterou zaručuje článek 7 Evropské úmluvy o ochraně lidských práv a základních svobod (EÚLP).
73.
Přestože EÚLP nepředstavuje právní nástroj, jenž by byl formální součástí unijního právního řádu, a to z důvodu, že Unie k této úmluvě nepřistoupila, základní práva, která jsou zaručena touto úmluvou, tvoří obecné zásady práva Unie (čl. 6 odst. 3 SEU).
74.
Soudní dvůr prohlásil, že „[č]lánek 52 odst. 3 Listiny, jenž uvádí, že práva obsažená v této Listině, která odpovídají právům zaručeným EÚLP, mají stejný smysl a stejný rozsah jako ty, jež jim přikládá uvedená úmluva, má mimoto zajistit nezbytný soulad mezi těmito právy, aniž je narušena autonomie unijního práva a Soudního dvora“ (
24
).
75.
Judikatura ESLP poskytuje v oblasti výkladu článku 7 EÚLP určitá, byť ne zcela soudržná upřesnění:
—
na jednu stranu, přestože v tomto článku není výlučně zmíněna morální souvislost mezi hmotněprávním prvkem daného porušení povinnosti a osobou, o níž se má za to, že se tohoto porušení dopustila, logika sankce i samotný pojem „vina“ hovoří ve prospěch takového výkladu, podle něhož musí být sankce podmíněna vazbou myšlenkové povahy (vědomí a vůle), která umožňuje posoudit prvek odpovědnosti v jednání faktického pachatele daného porušení povinnosti (
25
);
—
na druhou stranu, jak uvedla norská vláda na jednání, ESLP nebrání tomu, aby byly sankcionovány objektivní činy. Ve svém rozsudku ze dne 7. října 1988, Salabiaku v. Francie (
26
), prohlásil, že tak lze činit pouze „v zásadě a za určitých podmínek“, neboť ačkoli EÚLP nebrání vytváření domněnek, „v trestních věcech ukládá smluvním státům povinnost dodržovat stanovené meze“ (
27
).
76.
Pokud by se však dogmatické kategorie trestního práva (nulla poena sine culpa) přenesly do správního práva, za účelem jejich použití v oblasti ukládání sankcí, vznikly by závažné problémy týkající se výkladu. Pojem „vina“ (ve smyslu nedbalosti) se totiž může vztahovat i na případy pouhého nedodržení právního ustanovení, pokud by pachateli tohoto nedodržení náležela povinnost vědět, jaké jednání je od něj požadováno.
77.
Z tohoto hlediska by se mohlo stát, že různé podoby viny, včetně těch závažnějších, jakož i jednotlivé možnosti obvinění (například culpa
in vigilando nebo in eligendo) by mohly být považovány za jednání, které by z jiného úhlu pohledu mohl některý soud považovat za případy objektivní odpovědnosti. Ve správním právu v oblasti sankcí nejsou tedy hranice mezi oběma těmito kategoriemi tak zřetelné, jak by se mohlo usuzovat z předkládacího rozhodnutí.
78.
Je pravda, že co se týče unijního práva, Soudní dvůr v některých případech připustil režim, jemuž přiznal kvalifikaci režimu objektivní odpovědnosti v oblasti sankcí. Učinil tak například v rozsudku ze dne 22. března 2017, Euro-Team a Spirál-Gép, v němž prohlásil:
—
„[p]okud jde zaprvé o slučitelnost zavedení objektivní odpovědnosti se zásadou proporcionality, je třeba konstatovat, že Soudní dvůr již opakovaně rozhodl, že takový systém, který postihuje porušení unijního práva, není sám o sobě s tímto právem neslučitelný“;
—
„zavedení režimu objektivní odpovědnosti není nepřiměřené ve vztahu ke sledovaným cílům, pokud tento režim může vést jeho adresáty k dodržování ustanovení nařízení a pokud cíle sledují obecný zájem, který může odůvodnit zavedení takového režimu“ (
28
).
79.
Výše citovaná judikatura byla nicméně vydána v jiných oblastech, než je ochrana osobních údajů, a sice v souvislosti s nesplněním povinností jednat, jejichž smysl byl spíše formální: jednalo se o sankce uložené za užití úseku dálnice bez úhrady mýtného v předepsané výši (
29
) nebo za nedodržení ustanovení o používání záznamového listu záznamového zařízení nákladního vozidla (
30
).
80.
Co se týče povinností, jež stanoví GDPR – a mezi něž patří i povinnosti související se zpracováním údajů (článek 5 GDPR) a se zákonností tohoto zpracování (článek 6 GDPR) –, zjištění jejich splnění představuje proces hodnocení a posuzování, který svou složitostí přesahuje pouhé zjištění formálního nesplnění.
81.
V každém případě mám za to, že článek 83 GDPR potvrzuje vyloučení režimu objektivní odpovědnosti (bez viny) z oblasti sankcí, což znamená, že tento článek požaduje, aby byl v jednání, za něž může být uložena sankce, přítomen úmysl či nedbalost. Tento závěr vyplývá podle mého mínění z několika odstavců zmíněného článku:
—
podle odstavce 1 musí být zaručeno, že pokuty za porušení povinností budou „přiměřené“. Zásadu přiměřenosti v oblasti sankcí zaručuje článek 49 Listiny a potažmo i judikatura ESLP, která byla zmíněna výše;
—
odst. 2 písm. b) zmiňuje výslovně slovní spojení „zda k porušení došlo úmyslně nebo z nedbalosti“, což představuje rozhodující prvek pro uložení správní pokuty a pro její výši (
31
). Ostatní faktory vyjmenované v písmenech a) až k) téhož odstavce odpovídají konkrétně relevantním okolnostem jednotlivých případů a mnohé z nich obsahují subjektivní prvek (
32
), aniž je v tomto výčtu uvedeno prosté objektivní porušení povinnosti.
—
odstavec 3 stanoví, že pokud správce nebo zpracovatel „úmyslně či z nedbalosti“ poruší více ustanovení GDPR (souběh několika porušení), nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení. Pokládá se tedy za zřejmé, že porušení povinností, jež mají čistě objektivní povahu, jsou pro účely ukládání sankcí irelevantní, neboť nejsou spojena s porušeními povinnosti, k nimž došlo úmyslně či z nedbalosti.
82.
Výše uvedené tvrzení by mohlo být neodůvodněné v případě, že by neexistence výslovných ustanovení, jež by se v GDPR týkala tohoto hlediska, vedla k tomu, že by měly členské státy možnost rozhodnout se mezi systémem subjektivní odpovědnosti (existence úmyslu či nedbalosti) a systémem zahrnujícím i objektivní odpovědnost, na což upozorňují i některé z vlád, které se účastní tohoto řízení.
83.
Připouštím, že postoj těchto vlád má určitou argumentační váhu: vzhledem k tomu, že úmysl či nedbalost nepředstavují podle čl. 83 odst. 2 GDPR nevyhnutelné (základní) prvky protiprávního jednání jako takového, nýbrž pouze faktory zohledňované při určení výše pokuty, toto ustanovení ponechává členským státům možnost upravit tyto základní prvky protiprávního jednání podle jejich svobodné vůle.
84.
Stejně jako Komise se však domnívám, že správný výklad systému ukládání sankcí, jejž zavedlo GDPR a jenž má být zcela nepochybně přímo použitelný, vyžaduje, aby existovalo jednotné a soudržné řešení (
33
) pro všechny členské státy, namísto toho, aby mohl každý z nich sám rozhodnout, zda mají být porušení, za něž lze uložit sankci, rozšířena i o porušení, jež nebyla způsobena úmyslně či z nedbalosti.
85.
Ve prospěch nezbytnosti jednotného řešení (a nevhodnosti jeho roztříštění na jednotlivé postupy) hovoří podle mého mínění i body odůvodnění GDPR, jejichž znění předkládající soud uvádí ve své žádosti o rozhodnutí o předběžné otázce a v nichž je kladen důraz na nutnost rovnocenných sankcí za porušování (
34
). Tato rovnocennost by neexistovala, pokud by bylo každému z členských států umožněno přikládat porušením různou povahu a připustit i ta porušení, jež spočívají v prostém objektivním porušení povinnosti a postrádají jakýkoli prvek úmyslného jednání či nedbalosti.
V. Závěry
86.
S ohledem na výše uvedené skutečnosti navrhuji, aby Soudní dvůr odpověděl Kammergericht Berlin (Vrchní zemský soud v Berlíně, Německo) takto:
„Článek 58 odst. 2 písm. i) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), ve spojení s čl. 4 bodem 7) a s článkem 83 téhož nařízení
musí být vykládáno v tom smyslu, že
právnické osobě, která je správcem, může být uložena správní pokuta, aniž je předem prohlášena existence porušení povinnosti, jehož se dopustila alespoň jedna konkrétní fyzická osoba z pověření zmíněné právnické osoby.
Na základě nařízení 2016/679 mohou být uloženy správní pokuty pouze pod podmínkou, že jednání zakládající porušení, za nějž se tato sankce ukládá, má úmyslnou nebo nedbalostní povahu“.
(
1
) – Původní jazyk: španělština.
(
2
) – Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1). Dále jen „GDPR“.
(
3
) – Zákon ze dne 24. května 1968 (BGBl. I 481; III 454-1), ve znění ze dne 19. února 1987 (BGBl. I, s. 602), který byl změněn zákonem ze dne 19. června 2020 (BGBl. I, s. 1328). Dále jen „OWiG“.
(
4
) – Nařízení Rady ze dne 16. prosince 2002 o provádění pravidel hospodářské soutěže stanovených v článcích 81 a 82 Smlouvy (Úř. věst. 2003, L 1, s. 1; Zvl. vyd. 8/02, s. 205).
(
5
) – Odůvodnění II bod 1 předkládacího rozhodnutí. Viz body 41 a násl. tohoto stanoviska.
(
6
) – Bod 45 písemného vyjádření Deutsche Wohnen a body 24 a 25 písemného vyjádření německé vlády.
(
7
) – V rámci řízení upraveného v článku 267 SFEU, které je založeno na jasném rozdělení funkcí mezi vnitrostátními soudy a Soudním dvorem, je pouze vnitrostátní soud příslušný ke zjištění a posouzení skutkových okolností sporu v původním řízení, jakož i k výkladu a uplatňování vnitrostátního práva. Rozsudek ze dne 26. dubna 2017, Farkas (C‑564/15, EU:C:2017:302, bod 37).
(
8
) – Odmítnutí rozhodnout o předběžné otázce podané vnitrostátním soudem ze strany Soudního dvora je možné pouze tehdy, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny [za všechny rozsudek ze dne 27. září 2017, Puškár (C‑73/16, EU:C:2017:725, bod 50)]. V projednávaném případě žádná z těchto okolností nenastala.
(
9
) – Přestože Deutsche Wohnen na jednání odmítla tuto kvalifikaci připustit, je pravda, že profil této společnosti odpovídá definici „správce“, která je stanovena v článku 4 GDPR. Není přitom podstatné, jakou odpovědnost skutečně nese za porušení, jež jsou jí přičítána jakožto „správci“.
(
10
) – Jinou věcí je to, že pro účely určení výše příslušné sankce bylo nutné případně zohlednit možné zapojení Deutsche Wohnen a jejích dceřiných společností do vyšší hospodářské jednotky. Navzdory určitým náznakům v tomto řízení o předběžné otázce nevyvstávají klasické problémy týkající se určení odpovědnosti mezi mateřskými a dceřinými společnostmi či skupinami společností.
(
11
) – Podle čl. 4 bodu 7 GDPR se pojmem „správce“ pro účely projednávané věci rozumí „[…] právnická osoba […], kter[á] […] [sama] nebo společně s jinými určuje účely a prostředky zpracování osobních údajů“; v bodě 8 výše uvedeného článku je „zpracovatel“ popsán jako „[…] právnická osoba […], kter[á] zpracovává osobní údaje pro správce“.
(
12
) – I právnické osobě samozřejmě náleží právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká (čl. 78 odst. 1 GDPR), a potažmo i proti jakékoli správní pokutě, jež by jí mohla být uložena.
(
13
) – Například irský úřad pro ochranu osobních údajů uložil dne 31. prosince 2022 pokutu ve výši 210 milionů eur společnosti Facebook a pokutu ve výši 180 milionů eur společnosti Instagram.
(
14
) – Odůvodnění II bod 1 předkládacího rozhodnutí.
(
15
) – Viz bod 32 tohoto stanoviska.
(
16
) – Rozsudek ze dne 27. dubna 2017, Akzo Nobel a další v. Komise (C‑516/15 P, EU:C:2017:314, bod 47).
(
17
) – Za všechny rozsudek ze dne 10. dubna 2014, Areva a další v. Komise (C‑247/11 P a C‑253/11 P, EU:C:2014:257, bod 123).
(
18
) – Jak již bylo uvedeno výše, toto řízení o předběžné otázce se netýká problémů souvisejících se vztahem mezi mateřskými a dceřinými společnostmi, pro účely ukládání sankcí. V tomto řízení o předběžné otázce nevyvstaly ani otázky týkající se způsobu prokázání přičítaných činů.
(
19
) – Bod 10 odůvodnění GDPR.
(
20
) – Tamtéž.
(
21
) – Bod 25 písemného vyjádření německé vlády. Na toto tvrzení předkládající soud odpovídá ve výše popsaném smyslu, a sice tak, že opět podle § 9 OWiG ve spojení s jeho § 30 je ochrana právních zájmů, kterou poskytuje vnitrostátní právo, velmi úzká v porovnání s režimem odpovědnosti vyplývajícím z článků 101 a 102 SFEU.
(
22
) – Bod 25 písemného vyjádření německé vlády, poznámky pod čarou 16 až 18.
(
23
) – Spojení strict liability v překladu z běžné angličtiny používané v rozsudcích Soudního dvora odpovídá výrazům responsabilidad objetiva (španělské znění); responsabilité objective (francouzské znění); responsabilità oggettiva (italské znění); responsabilidade objetiva (portugalské znění); objektiven Verantwortlichkeit (německé znění) a objectieve aansprakelijkheid (nizozemské znění).
(
24
) – Za všechny rozsudek ze dne 2. února 2021, Consob (C‑481/19, EU:C:2021:84, bod 36).
(
25
) – ESLP, 20. ledna 2009, Sud Fondi a další v. Itálie, CE:ECHR:2009:0120JUD007590901, bod 116.
(
26
) – CE:ECHR:1988:1007JUD001051983.
(
27
) – ESLP, 7. října 1988, Salabiaku v. Francie, body 27 a 28.
(
28
) – Rozsudek ze dne 22. března 2017, Euro-Team a Spirál-Gép (C‑497/15 a C‑498/15, EU:C:2017:229, body 53 a 54), s citací rozsudku ze dne 9. února 2012, Urbán (C‑210/10, EU:C:2012:64, body 47 a 48).
(
29
) – Rozsudek ze dne 22. března 2017, Euro-Team a Spirál-Gép (C‑497/15 a C‑498/15, EU:C:2017:229).
(
30
) – Rozsudek ze dne 9. února 2012, Urbán (C‑210/10, EU:C:2012:64).
(
31
) – Viz ovšem body 82 a 83 tohoto stanoviska.
(
32
) – V tomto smyslu se například písmeno a) týká účelu zpracování údajů. Písmeno c) se vztahuje na kroky podniknuté ke zmírnění škod. Písmeno d) na míru odpovědnosti s přihlédnutím k zavedeným opatřením. Písmeno f) na míru spolupráce s dozorovým úřadem.
(
33
) – Bod 150 odůvodnění GDPR odkazuje na důsledné uplatňování správních pokut členskými státy. To, „zda a do jaké míry by se měly správní pokuty vztahovat na orgány veřejné moci“, mohou naopak určit členské státy. Výše uvedené nebrání zvláštním ustanovením pro Dánsko a Estonsko, na něž odkazuje bod 151 odůvodnění, ani možnostem uvedeným v bodě 152 odůvodnění.
(
34
) – Bod 10 odůvodnění GDPR vyzývá k „soudržné[mu] a jednotné[mu] uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů“ (kurzivou zvýraznil autor stanoviska). V bodě 11 odůvodnění se vyžadují rovnocenné sankce za porušování a toto slovní spojení je znovu zopakováno v bodě 13 odůvodnění.