62021CJ0807_RES
Дело C‑807/21
Deutsche Wohnen SE
срещу
Staatsanwaltschaft Berlin
(Преюдициално запитване, отправено от Kammergericht Berlin)
Решение на Съда (голям състав) от 5 декември 2023 година
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Член 4, точка 7 — Понятие „администратор“ — Член 58, параграф 2 — Корективни правомощия на надзорния орган — Член 83 — Налагане на административно наказание на юридическо лице — Условия — Свобода на действие на държавите членки — Изискване нарушението да е извършено умишлено или по небрежност“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Налагане на административно наказание „глоба“ или „имуществена санкция“ — Условия — Липса на свобода на действие на държавите членки да предвиждат материалноправните условия за налагането на административни наказания на администраторите на данни — Релевантност на понятието за предприятие по смисъла на членове 101 и 102 ДФЕС само за изчисляването на размера на имуществената санкция — Национална правна уредба, съгласно която възможността да се наложи имуществена санкция на юридическо лице в качеството му на администратор на данни зависи от условието преди това да е прието, че нарушението е извършено от идентифицирано физическо лице — Недопустимост
(членове 101 и 102 и член 288, втора алинея ДФЕС; съображения 10, 11, 74, 129 и 150, член 4, точка 7, член 58, параграфи 2 и 4 и член 83 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 38 и 43—60; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Понятие за администратор — Юридическо лице — Включване — Условие — Действително участие в определянето на целите и средствата за обработка на данните
(член 4, точка 7 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 39—42)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Налагане на административно наказание „глоба“ или „имуществена санкция“ — Условия — Липса на свобода на действие на държавите членки да предвиждат материалноправните условия за налагането на административни наказания на администраторите на данни — Изискване да е налице нарушение, извършено от администратора умишлено или по небрежност
(съображения 9, 13 и 148, член 58, параграф 2 и член 83 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 65—78 и 86; т. 2 от диспозитива)
Резюме
Deutsche Wohnen SE (наричано по-нататък „DW“) е дружество за недвижими имоти, което чрез своите дялове в различни дружества непряко притежава много жилищни и търговски обекти. Като част от търговската си дейност то обработва лични данни на наемателите на тези обекти.
След две проверки през 2017 г. и 2019 г. Berliner Beauftragte für den Datenschutz (Берлински орган за защита на личните данни, Германия) констатира редица нарушения на ОРЗД (
1
), извършени от DW. Затова с наказателно постановление от 30 октомври 2019 г. този надзорен орган налага на дружеството имуществени санкции.
DW обжалва наказателното постановление пред Landgericht Berlin (Областен съд Берлин, Германия), който прекратява административно-наказателното производство. Посоченият съд отбелязва, че съгласно германския закон (
2
) извършители на административно нарушение могат да са само физическите, а не и юридическите лица. Същевременно юридическото лице може да отговаря само за действията на членовете на своите органи или на представителите си. Staatsanwaltschaft Berlin (Берлинска прокуратура, Германия) подава протест срещу това съдебно решение до Kammergericht Berlin (Висш областен съд Берлин, Германия). Тази юрисдикция се обръща към Съда с преюдициално запитване за тълкуването на ОРЗД (
3
).
В решението си големият състав на Съда се произнася относно условията за налагане на административни наказания по ОРЗД. На първо място, той разглежда въпроса дали държавите членки могат да обвързват налагането на административно наказание на юридически лица с условието преди това да е прието, че нарушението на този регламент е извършено от идентифицирано физическо лице. На второ място, той се спира на въпроса дали трябва санкционираното нарушение на разпоредбите на ОРЗД да е извършено умишлено или по небрежност (
4
).
Съображения на Съда
По въпроса за налагането на административни наказания по ОРЗД на юридически лица Съдът най-напред отбелязва, че предвидените в ОРЗД принципи, забрани и задължения са адресирани в частност до „администраторите“, а администраторите отговарят за всяко обработване на лични данни, извършено от тях или от тяхно име. В случай на нарушение по разпоредбите на ОРЗД именно тази отговорност е основанието за налагането на административно наказание на администратора съгласно член 83 от този регламент. Законодателят на Съюза обаче не е въвел разграничение между физическите и юридическите лица за целите на определянето на тази отговорност, а тя зависи единствено от условието тези лица, сами или съвместно с други, да определят целите и средствата за обработването на личните данни (
5
). Следователно по принцип всяко лице, което отговаря на това условие, носи отговорност в частност за всяко извършено от него или от негово име нарушение на ОРЗД. Това означава, от една страна, че юридическите лица носят отговорност не само за нарушенията, извършени от техни представители, управители или ръководители, но и за нарушенията, извършени от всяко друго лице, което действа в рамките на търговската дейност на тези юридически лица и от тяхно име. От друга страна, административните наказания, предвидени в ОРЗД в случай на такива нарушения, трябва да може да се определят пряко на юридическите лица, ако същите могат да се окачествят като администратори на данни.
По-нататък Съдът отбелязва, че нито една от разпоредбите на ОРЗД не позволява да се приеме, че определянето на административно наказание на юридическо лице в качеството му на администратор зависи от условието преди това да е констатирано, че това нарушение е извършено от идентифицирано физическо лице. Освен това законодателят на Съюза не е оставил свобода на преценка на държавите членки в това отношение. Фактът, че ОРЗД предоставя на държавите членки възможността да предвидят изисквания относно процедурата, която трябва да следват надзорните органи при налагането на административни наказания (
6
), изобщо не означава, че те са овластени да предвиждат и допълнителни материалноправни условия свръх определените в ОРЗД.
В този контекст Съдът пояснява, че би било в противоречие с целта на ОРЗД да се допусне държавите членки едностранно да изискват като необходимо условие за налагането на административно наказание съгласно член 83 от ОРЗД на администратор — юридическо лице, преди това да е прието или да може да се приеме, че съответното нарушение е извършено от идентифицирано физическо лице. Освен това подобно допълнително изискване в крайна сметка би създало риск от отслабване на ефективността и възпиращия ефект на административните наказания, налагани на юридически лица в качеството им на администратори.
Накрая, Съдът подчертава, че понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС (
7
) няма отражение върху това дали и при какви условия може да се наложи административно наказание съгласно ОРЗД на администратор — юридическо лице, а е релевантно единствено за целите на определянето на размера на административното наказание.
Затова Съдът стига до извода, че ОРЗД (
8
) не допуска национална правна уредба, съгласно която на юридическо лице в качеството му на администратор на данни може да се определи административно наказание за нарушение по този регламент (
9
) само ако преди това е прието, че нарушението е извършено от идентифицирано физическо лице.
Колкото до въпроса дали държавите членки могат да предвиждат налагане на административно наказание дори когато санкционираното нарушение не е извършено умишлено или по небрежност, Съдът най-напред припомня, че материалноправните условия, които трябва да съблюдава надзорният орган, когато налага административно наказание на администратора, се уреждат единствено от правото на Съюза, а държавите членки не разполагат с никаква свобода на действие в това отношение.
Що се отнася до посочените условия, Съдът отбелязва, че един от изброените в ОРЗД елементи, с оглед на които надзорният орган налага такива наказания, е „дали нарушението е извършено умишлено или по небрежност“ (
10
). За сметка на това нито един от тези елементи не се отнася до възможност да се ангажира отговорността на администратора при липса на вина от негова страна. В този смисъл на администратора може да се наложи административно наказание „глоба“ или „имуществена санкция“ съгласно член 83 от Регламента само за нарушенията на разпоредбите на ОРЗД, които той е извършил умишлено или по небрежност.
Съдът добавя, че това тълкуване намира потвърждение в общия разум и целта на ОРЗД. В този контекст той пояснява, че наличието на система от санкции по ОРЗД, която позволява да се наложи административно наказание, когато специфичните обстоятелства по конкретния случай дават основание за това, създава стимул за администраторите на данни и обработващите лични данни да спазват Регламента, а чрез възпиращия си ефект административните наказания спомагат за засилване на защитата на субектите на данните. При все това законодателят на Съюза не е счел за необходимо да предвиди налагане на административно наказание при липса на вина. Като се има предвид, че с ОРЗД се търси равнище на защита, което да е едновременно еквивалентно и еднородно, и че за тази цел той трябва да се прилага последователно навсякъде в Съюза, би се стигнало до противоречие с тази цел, ако се позволи на държавите членки да предвидят такъв режим за налагането на административни наказания.
Затова Съдът констатира, че съгласно член 83 от ОРЗД може да се наложи административно наказание само ако е установено, че администраторът, който е едновременно юридическо лице и предприятие, умишлено или по небрежност е извършил нарушение на съдържащите се в този регламент правила.
(
1
)	Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
(
2
)	Gesetz über Ordnungswidrigkeiten (Закон за административните нарушения) от 24 май 1968 г. (BGBl. 1968 I, стр. 481), в редакцията, обнародвана на 19 февруари 1987 г. (BGBl. 1987 I, стр. 602), и с измененията съгласно Закона от 19 юни 2020 г. (BGBl. 2020 I, стр. 1350).
(
3
)	Член 58, параграф 2 и член 83 от ОРЗД.
(
4
)	По този въпрос вж. и постановеното в същия ден решение Nacionalinis visuomenės sveikatos centras (C‑683/21).
(
5
)	Съгласно член 4, точка 7 от ОРЗД.
(
6
)	Както следва от член 58, параграф 4 и член 83, параграф 8 от ОРЗД, разглеждани в светлината на съображение 129 от него.
(
7
)	Към който препраща съображение 150 от ОРЗД.
(
8
)	Член 58, параграф 2, буква и) и член 83, параграфи 1—6 от ОРЗД.
(
9
)	От посочените в член 83, параграфи 4—6 от ОРЗД.
(
10
)	Член 83, параграф 2, буква б) от ОРЗД.