62021CJ0807_RES
Asia C-807/21
Deutsche Wohnen SE
vastaan
Staatsanwaltschaft Berlin
(Ennakkoratkaisupyyntö – Kammergericht Berlin)
Unionin tuomioistuimen tuomio (suuri jaosto) 5.12.2023
Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 4 artiklan 7 kohta – Rekisterinpitäjän käsite – 58 artiklan 2 kohta – Valvontaviranomaisen toimivalta määrätä korjaavia toimenpiteitä – 83 artikla – Hallinnollisten seuraamusmaksujen määrääminen oikeushenkilölle – Edellytykset – Jäsenvaltioiden harkintavallan rajat – Vaatimus siitä, että rikkomiseen on syyllistytty tahallaan tai tuottamuksellisesti
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Hallinnollisten seuraamusmaksujen määrääminen – Edellytykset – Jäsenvaltioiden harkintavallan puuttuminen, kun kyse on hallinnollisen seuraamusmaksun määräämiseen rekisterinpitäjälle liittyvien aineellisten edellytysten vahvistamisesta – SEUT 101 ja 102 artiklassa tarkoitetun yrityksen käsitteen merkityksellisyys rajoittuu sakon määrän laskentaan – Kansallinen lainsäädäntö, jossa mahdollisuuden määrätä seuraamusmaksu oikeushenkilölle tämän rekisterinpitäjän ominaisuudessa edellytyksenä on se, kyseessä oleva rikkominen on ensin luettu yksilöidyn luonnollisen henkilön syyksi – Ei voida hyväksyä
(SEUT 101, 102 ja 288 artiklan toinen kohta; Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 10, 11, 74, 129 ja 150 perustelukappale sekä 4 artiklan 7 alakohta, 58 artiklan 2 ja 4 kohta ja 83 artikla)
(ks. 38, 43–60 kohta sekä tuomiolauselman 1 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisterinpitäjän käsite – Oikeushenkilö – Kuuluminen käsitteen alaan – Edellytys – Tosiasiallinen osallistuminen käsittelyn tarkoituksen ja keinojen määrittämiseen
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 4 artiklan 7 alakohta)
(ks. 39–42 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Hallinnollisten seuraamusmaksujen määrääminen – Edellytykset – Jäsenvaltioiden harkintavallan puuttuminen, kun kyse on hallinnollisen seuraamusmaksun määräämiseen rekisterinpitäjälle liittyvien aineellisten edellytysten vahvistamisesta – Vaatimus siitä, että rekisterinpitäjä on syyllistynyt rikkomukseen tahallisesti tai tuottamuksellisesti
(Euroopan parlamentin ja neuvoston direktiivin 2016/679 johdanto-osan 9, 13 ja 148 perustelukappale sekä 58 artiklan 2 kohta ja 83 artikla)
(ks. 65–78 ja 86 kohta sekä tuomiolauselman 2 kohta)
Tiivistelmä
Deutsche Wohnen SE (jäljempänä DW) on kiinteistöyhtiö, joka omistaa välillisesti eri yhtiöissä omistamiensa yhtiöosuuksien välityksellä useita liike- ja asuinhuoneistoja. Se käsittelee liiketoimintansa yhteydessä kyseisten huoneistojen vuokralaisten henkilötietoja.
Kahden paikalla vuosina 2017 ja 2019 tehdyn tarkastuksen jälkeen Berliner Beauftragte für den Datenschutz (tietosuojasta Berliinissä vastaava viranomainen) totesi useita yleisen tietosuoja-asetuksen (
1
) rikkomisia, joihin DW oli syyllistynyt. Tietosuojaviranomainen määräsi 30.10.2020 tekemällään päätöksellä DW:lle tämän vuoksi hallinnollisen seuraamusmaksun.
DW nosti kyseisestä päätöksestä kanteen Landgericht Berlinissä (Berliinin alueellinen alioikeus, Saksa), joka tämän jälkeen lopetti menettelyn. Kyseinen tuomioistuin totesi, että Saksan lain (
2
) mukaan ainoastaan luonnollisen henkilön, eikä oikeushenkilön, voidaan todeta syyllistyneen hallinnolliseen rikkomukseen. Lisäksi oikeushenkilön voidaan katsoa olevan vastuussa ainoastaan sen hallintoelimiin kuuluvan tai sitä edustavan henkilön toimista. Staatsanwaltschaft Berlin (Berliinin syyttäjäviranomainen, Saksa) valitti kyseisestä ratkaisusta Kammergericht Berliniin (Berliinin osavaltion ylioikeus, Saksa). Tässä yhteydessä kyseinen tuomioistuin esitti unionin tuomioistuimelle ennakkoratkaisupyynnön yleisen tietosuoja-asetuksen (
3
) tulkinnasta.
Unionin tuomioistuimen suuri jaosto ottaa tuomiossaan kantaa yleisen tietosuoja-asetuksen mukaisten hallinnollisten seuraamusmaksujen määräämisen edellytyksiin. Ensinnäkin se tarkastelee kysymystä siitä, voivatko jäsenvaltiot asettaa oikeushenkilölle määrättävän hallinnollisen seuraamusmaksun edellytykseksi sen, että kyseisen asetuksen rikkominen luetaan ensin yksilöidyn luonnollisen henkilön syyksi. Toiseksi se tarkastelee kysymystä siitä, onko yleisen tietosuoja-asetuksen säännösten rikkomisen, josta on määrätty seuraamus, oltava tahallista tai tuottamuksellista (
4
).
Unionin tuomioistuimen arviointi asiasta
Siltä osin kuin on kyse hallinnollisen seuraamusmaksun määräämisestä oikeushenkilölle yleisen tietosuoja-asetuksen nojalla, unionin tuomioistuin toteaa aluksi, että yleisessä tietosuoja-asetuksessa säädetyt periaatteet, kiellot ja velvoitteet koskevat erityisesti ”rekisterinpitäjiä”, joiden vastuu ulottuu kaikkeen henkilötietojen käsittelyyn, jota ne suorittavat itse tai joka suoritetaan niiden puolesta. Juuri tämä vastuu muodostaa yleisen tietosuoja-asetuksen säännösten rikkomisen tapauksessa perustan hallinnollisen seuraamusmaksun määräämiselle rekisterinpitäjälle kyseisen asetuksen 83 artiklan nojalla. Unionin lainsäätäjä ei ole kuitenkaan tehnyt kyseisen asetuksen mukaisen vastuun määrittämiseksi eroa luonnollisten henkilöiden ja oikeushenkilöiden välillä, vaan tämän vastuun edellytyksenä on ainoastaan se, että kyseiset henkilöt yksin tai yhdessä toisten kanssa määrittävät henkilötietojen käsittelyn tarkoituksen ja keinot (
5
). Näin ollen lähtökohtaisesti kaikki kyseisen edellytyksen täyttävät henkilöt vastaavat kaikista yleisen tietosuoja-asetuksen rikkomisista, joihin ne ovat syyllistyneet itse tai joihin on syyllistytty niiden puolesta. Tämä merkitsee yhtäältä sitä, että oikeushenkilöt ovat vastuussa paitsi niiden edustajien, johtajien tai hallintoelimen jäsenten tekemistä rikkomuksista myös kaikkien muiden henkilöiden, jotka toimivat kyseisten oikeushenkilöiden liiketoiminnan yhteydessä ja niiden lukuun, tekemistä rikkomuksista. Toisaalta yleisen tietosuoja-asetuksen 83 artiklassa tällaisista rikkomuksista säädetyt hallinnolliset seuraamusmaksut on voitava määrätä suoraan oikeushenkilöille, jos niitä voidaan pitää kyseessä olevina rekisterinpitäjinä.
Unionin tuomioistuin huomauttaa tämän jälkeen, että minkään yleisen tietosuoja-asetuksen säännöksen perusteella ei voida katsoa, että hallinnollisen seuraamusmaksun määrääminen oikeushenkilölle rekisterinpitäjänä edellyttäisi sitä, että ensin todettaisiin, että tähän rikkomiseen on syyllistynyt yksilöity luonnollinen henkilö. Unionin lainsäätäjä ei myöskään ole jättänyt jäsenvaltioille tältä osin harkintavaltaa. Se, että yleisessä tietosuoja-asetuksessa annetaan jäsenvaltioille mahdollisuus säätää vaatimuksista, jotka koskevat menettelyä, jonka mukaisesti valvontaviranomaiset voivat määrätä hallinnollisen seuraamusmaksun (
6
), ei merkitse sitä, että niillä olisi myös toimivalta säätää yleisessä tietosuoja-asetuksessa määrättyihin edellytyksiin nähden ylimääräisistä aineellisista edellytyksistä.
Unionin tuomioistuin täsmentää tältä osin, että se, että jäsenvaltioiden sallittaisiin edellyttää yksipuolisesti ja välttämättömänä edellytyksenä hallinnollisen seuraamusmaksun määräämiselle yleisen tietosuoja-asetuksen 83 artiklan nojalla rekisterinpitäjälle, joka on oikeushenkilö, että kyseessä oleva rikkominen on ensin luettava tai voitava lukea yksilöidyn luonnollisen henkilön syyksi, olisi yleisen tietosuoja-asetuksen tämän tarkoituksen vastaista. Lisäksi tällaisella lisävaatimuksella saatettaisiin viime kädessä heikentää rekisterinpitäjinä toimiville oikeushenkilöille määrättyjen hallinnollisten seuraamusmaksujen tehokkuutta ja varoittavaa vaikutusta.
Lopuksi unionin tuomioistuin korostaa, että SEUT 101 ja SEUT 102 artiklassa (
7
) tarkoitetulla yrityksen käsitteellä ei ole vaikutusta siihen, voidaanko hallinnollinen sakko määrätä yleisen tietosuoja-asetuksen nojalla rekisterinpitäjälle, joka on oikeushenkilö, ja millä edellytyksillä sillä on merkitystä ainoastaan määritettäessä tällaisen sakon määrää.
Näin ollen unionin tuomioistuin toteaa, että yleinen tietosuoja-asetus (
8
) on esteenä kansalliselle säännöstölle, jonka mukaan oikeushenkilölle voidaan tämän rekisterinpitäjän ominaisuudessa määrätä hallinnollinen seuraamusmaksu kyseisen asetuksen rikkomisesta (
9
) vain, jos rikkominen on ensin luettu yksilöidyn luonnollisen henkilön syyksi.
Siitä, voivatko jäsenvaltiot säätää hallinnollisen seuraamusmaksun määräämisestä silloinkin, kun rikkominen, josta on määrätty seuraamus, ei ole tahallista tai tuottamuksellista, unionin tuomioistuin muistuttaa aluksi, että aineelliset edellytykset, joita valvontaviranomaisen on noudatettava määrätessään tällaisen seuraamusmaksun rekisterinpitäjälle, kuuluvat yksinomaan unionin oikeuden soveltamisalaan, ja että jäsenvaltioilla ei ole tältä osin lainkaan harkintavaltaa.
Kyseisten edellytysten osalta unionin tuomioistuin huomauttaa, että niiden yleisessä tietosuoja-asetuksessa lueteltujen seikkojen joukossa, joiden valossa valvontaviranomainen määrää tällaisen seuraamusmaksun, on ”rikkomuksen tahallisuus tai tuottamuksellisuus” (
10
). Yhdessäkään kyseisessä säännöksessä luetelluista seikoista ei sitä vastoin viitata minkäänlaiseen mahdollisuuteen saattaa rekisterinpitäjä vastuuseen, jos rekisterinpitäjä ei ole toiminut tuottamuksellisesti. Ainoastaan rekisterinpitäjän tahallisesti tai tuottamuksellisesti toteuttamat yleisen tietosuoja-asetuksen säännösten rikkomiset voivat johtaa hallinnollisen seuraamusmaksun määräämiseen rekisterinpitäjälle kyseisen asetuksen 83 artiklan nojalla.
Unionin tuomioistuin lisää, että tätä tulkintaa tukevat yleisen tietosuoja-asetuksen yleinen rakenne ja tavoite. Se täsmentää tässä yhteydessä, että se, että on olemassa seuraamusjärjestelmä, joka mahdollistaa hallinnollisen seuraamusmaksun määräämisen kunkin tapauksen erityisten olosuhteiden perusteella, merkitsee rekisterinpitäjille ja henkilötietojen käsittelijöille kannustinta noudattaa kyseistä asetusta, ja että hallinnollisilla seuraamusmaksuilla tehostetaan kyseessä olevien henkilöiden suojelua niiden varoittavan vaikutuksen avulla. Unionin lainsäätäjä ei ole kuitenkaan katsonut tarpeelliseksi säätää tällaisen korkeatasoisen suojelun varmistamiseksi hallinnollisten seuraamusmaksujen määräämisestä, jos menettely ei ole tuottamuksellista. Kun otetaan huomioon se, että yleisellä tietosuoja-asetuksella pyritään sekä samanarvoiseen että yhtenäiseen suojelun tasoon ja että sitä on tässä tarkoituksessa sovellettava johdonmukaisesti kaikkialla unionissa, olisi tämän tarkoituksen vastaista antaa jäsenvaltioille mahdollisuus säätää tällaisesta järjestelmästä seuraamusmaksun määräämisen osalta.
Näin ollen unionin tuomioistuin toteaa, että yleisen tietosuoja-asetuksen 83 artiklan nojalla voidaan määrätä hallinnollinen seuraamusmaksu yksinomaan, jos osoitetaan, että rekisterinpitäjä, joka on oikeushenkilö ja yritys, on syyllistynyt tahallaan tai tuottamuksellisesti kyseiseen asetukseen sisältyvien sääntöjen rikkomiseen.
(
1
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus).
(
2
)	Hallinnollisista rikkomuksista 24.5.1968 annettu laki (Gesetz über Ordnungswidrigkeiten) (BGBl. 1968 I, s. 481), sellaisena kuin se on 19.2.1987 julkaistussa tiedonannossa (BGBl. 1987 I, s. 602), sellaisena kuin se on muutettuna 19.6.2020 annetulla lailla (BGBl. 2020 I, s. 1350).
(
3
)	SEU-sopimuksen 58 artiklan 2 kohta ja 83 artikla.
(
4
)	Ks. tältä osin myös samana päivänä annettu tuomio Nacionalinis visuomenės sveikatos centras (C-683/21).
(
5
)	Yleisen tietosuoja-asetuksen 4 artiklan 7 kohdan mukaan.
(
6
)	Kuten yleisen tietosuoja-asetuksen 58 artiklan 4 kohdasta ja 83 artiklan 8 kohdasta, luettuina yhdessä sen johdanto-osan 129 perustelukappaleen kanssa, ilmenee.
(
7
)	Johon viitataan yleisen tietosuoja-asetuksen johdanto-osan 150 kappaleessa.
(
8
)	Yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan i alakohta ja 83 artiklan 1–6 kohta.
(
9
)	Jota tarkoitetaan yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdassa.
(
10
)	Yleisen tietosuoja-asetuksen 83 artiklan 2 kohdan b alakohta.