62023CC0383
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
L. MEDINA
fremsat den 12. september 2024 (
1
)
Sag C-383/23
Anklagemyndigheden
mod
ILVA A/S
(anmodning om præjudiciel afgørelse indgivet af Vestre Landsret (Danmark))
»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 83 – administrative bøder – andre bøder end administrative bøder – begrebet »virksomhed« – artikel 101 TEUF og 102 TEUF – moderselskab og datterselskab – et datterselskabs tilsidesættelse af forordning 2016/679 – beregning af bødens størrelse – hensyntagen til den samlede omsætning for den koncern, som det pågældende selskab er en del af – straffesag«
1.
Den foreliggende anmodning om præjudiciel afgørelse fra Vestre Landsret (Danmark) vedrører fortolkningen af artikel 83, stk. 4-6, i forordning (EU) 2016/679 (
2
). Den er blevet indgivet i forbindelse med en straffesag indledt af anklagemyndigheden (Danmark) mod selskabet ILVA A/S (herefter »ILVA«) (
3
) med påstand om, at dette selskab har tilsidesat sine forpligtelser i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra e), artikel 5, stk. 2, og artikel 6 i sin egenskab af dataansvarlig for personoplysninger vedrørende mindst 350000 tidligere kunder.
2.
Sagen vedrører spørgsmålet om, hvorvidt begrebet »virksomhed« i databeskyttelsesforordningens artikel 83, stk. 4-6, i lyset af 150. betragtning til denne forordning skal fortolkes således, at det svarer til begrebet »virksomhed« som omhandlet i EU-konkurrenceretten (artikel 101 TEUF og 102 TEUF). Dette rejser spørgsmålet om, hvorvidt der i forbindelse med pålæggelsen af en bøde for en overtrædelse af databeskyttelsesforordningen over for et selskab skal tages hensyn til den samlede årlige omsætning for den økonomiske enhed (eller koncern), som det selskab, der har overtrådt forordningen, er en del af, og ikke kun dette selskabs samlede årlige omsætning.
3.
Det særlige ved den foreliggende sag er, at bøden i hovedsagen ikke er blevet pålagt af den nationale datatilsynsmyndighed inden for rammerne af dens tilsynsbeføjelser, men af en domstol inden for rammerne af en straffesag. EU-lovgiver har faktisk indsat en specifik bestemmelse i databeskyttelsesforordningen i denne henseende, der især finder anvendelse i Danmark.
I. Retsforskrifter
A.
EU-retten
4.
Databeskyttelsesforordningens 150. og 151. betragtning lyder således:
»(150)
For at styrke og harmonisere de administrative sanktioner for overtrædelse af denne forordning bør hver tilsynsmyndighed have beføjelse til at pålægge administrative bøder. Denne forordning bør angive overtrædelser og maksimumsbeløb og kriterier for fastsættelse af de tilknyttede administrative bøder, der bør bestemmes af den kompetente tilsynsmyndighed i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation og med behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen og dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. Når en virksomhed pålægges administrative bøder, forstås en virksomhed i denne forbindelse som en virksomhed som omhandlet i artikel 101 [TEUF] og 102 […] TEUF. [...]
(151)
Retssystemerne i Danmark og Estland giver ikke mulighed for administrative bøder som fastsat i denne forordning. Reglerne om administrative bøder kan i Danmark anvendes ved, at bøder pålægges af de kompetente nationale domstole som en strafferetlig sanktion, og i Estland ved, at bøder pålægges af tilsynsmyndigheden inden for rammerne af en forseelsesprocedure, forudsat at en sådan anvendelse af reglerne i disse medlemsstater har en virkning, der svarer til virkningen af administrative bøder, som tilsynsmyndighederne pålægger. De kompetente nationale domstole bør derfor tage hensyn til en anbefaling fra den tilsynsmyndighed, der har taget skridt til en bøde. De pålagte bøder bør under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.«
5.
Databeskyttelsesforordningens artikel 83 med overskriften »Generelle betingelser for pålæggelse af administrative bøder« fastsætter følgende:
»1.   Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.
2.   Afhængigt af omstændighederne i hver enkelt sag pålægges administrative bøder i tillæg til eller i stedet for foranstaltninger som omhandlet i artikel 58, stk. 2, litra a)-h) og j). Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag, tages der behørigt hensyn til følgende:
[...]
3.   Hvis en dataansvarlig eller en databehandler forsætligt eller uagtsomt i forbindelse med de samme eller forbundne behandlingsaktiviteter overtræder flere bestemmelser i denne forordning, må den administrative bødes samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse.
4.   Overtrædelse af følgende bestemmelser straffes i overensstemmelse med stk. 2 med administrative bøder på op til 10000000 EUR, eller hvis det drejer sig om en virksomhed, med op til 2% af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:
[...]
Overtrædelse af følgende bestemmelser straffes i overensstemmelse med stk. 2 med administrative bøder på op til 20000000 EUR, eller hvis det drejer sig om en virksomhed, med op til 4% af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:
[...]
Manglende overholdelse af et påbud fra tilsynsmyndigheden som omhandlet i artikel 58, stk. 2, straffes i overensstemmelse med nærværende artikels stk. 2 med administrative bøder på op til 20000000 EUR, eller hvis det drejer sig om en virksomhed, med op til 4% af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere.
[...]
Tilsynsmyndighedens udøvelse af beføjelser i henhold til denne artikel skal være underlagt fornødne proceduremæssige garantier i overensstemmelse med EU-retten og medlemsstaternes nationale ret, bl.a. effektive retsmidler og retfærdig procedure.
[...]«
B.
National lovgivning
6.
§ 41 i lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger bestemmer:
»Medmindre højere straf er forskyldt efter den øvrige lovgivning, straffes med bøde eller fængsel indtil 6 måneder den, der overtræder bestemmelserne om
[...]
(4)
de grundlæggende principper for behandling, herunder betingelserne for samtykke, i databeskyttelsesforordningens artikel 5-7 og 9,
[...]
Stk. 3. Databeskyttelsesforordningens artikel 83, stk. 2, skal følges ved pålæggelse af straf efter stk. 1 og 2.
[...]
Stk. 6. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel.
[...]«
II. De faktiske omstændigheder, som har givet anledning til tvisten i hovedsagen, og de præjudicielle spørgsmål
7.
ILVA er ved de danske domstole tiltalt for – fra maj 2018 til januar 2019 – at have tilsidesat sine forpligtelser i henhold til databeskyttelsesforordningens artikel 5, stk. 1, litra e), artikel 5, stk. 2, og artikel 6 som dataansvarlig for så vidt angår opbevaring af personoplysninger om selskabets tidligere kunder.
8.
ILVA driver en kæde af møbelforretninger og er en del af Lars Larsen Group (herefter »koncernen«). Koncernens samlede omsætning i regnskabsåret 2016/2017 udgjorde 6,57 mia. kr. (DKK) (ca. 881 mio. EUR). Heraf udgjorde datterselskabet ILVA’s omsætning 1,8 mia. DKK (ca. 241 mio. EUR).
9.
Efter indstilling fra Datatilsynet nedlagde anklagemyndigheden påstand om, at ILVA blev idømt en bøde på 1,5 mio. DKK (ca. 201000 EUR). Den omsætningsmæssige ramme bag skønnet over denne bødes størrelse var ikke baseret på ILVA’s omsætning, men på den samlede omsætning for hele koncernen.
10.
Ved dom af 12. februar 2021 fandt Retten i Aarhus (Danmark) ILVA skyldig i den rejste tiltale, men fastslog i modsætning til, hvad anklagemyndigheden havde gjort gældende, at ILVA havde handlet uagtsomt. Denne ret idømte ILVA en bøde på 100000 DKK (ca. 13400 EUR). For så vidt som der kun var blevet rejst tiltale mod ILVA og ikke mod hele koncernen, var det ifølge denne ret desuden ikke nødvendigt at tage hensyn til koncernens omsætning ved beregningen af bødens størrelse. Den anførte ligeledes, at ILVA drev selvstændig detailhandelsvirksomhed, og at koncernen ikke havde oprettet dette datterselskab med det ene formål at betro det behandlingen af koncernens personoplysninger.
11.
Anklagemyndigheden har iværksat appel til prøvelse af denne dom ved Vestre Landsret (Danmark), som er den forelæggende ret. Denne ret ønsker oplyst, om begrebet »virksomhed« i databeskyttelsesforordningens artikel 83, stk. 4-6, skal forstås således, at der med henblik på at fastsætte en bøde i tilfælde af, at et selskab overtræder databeskyttelsesforordningen, skal tages hensyn til omsætningen i den koncern, som det pågældende selskab er en del af.
12.
Anklagemyndigheden har gjort gældende, at dette er tilfældet. Den har anført, at det følger af 150. betragtning til databeskyttelsesforordningen, at dette begreb skal forstås i overensstemmelse med artikel 101 TEUF og 102 TEUF.
13.
ILVA har derimod gjort gældende, at der ved fastsættelsen af en bøde for en virksomheds overtrædelse af databeskyttelsesforordningen ikke skal lægges vægt på den samlede omsætning i den koncern, som virksomheden indgår i. Der er i den konkrete sag alene blevet rejst tiltale mod ILVA, der er et datterselskab, og ikke tillige mod moderselskabet.
14.
Den forelæggende ret er af den opfattelse, at svaret på dette spørgsmål ikke fremgår klart af databeskyttelsesforordningen.
15.
På denne baggrund har Vestre Landsret (Danmark) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»1)
Skal begrebet »virksomhed« i artikel 83, stk. 4-6, i databeskyttelsesforordningen forstås som en virksomhed som omhandlet i artikel 101 [TEUF] og 102 [...] TEUF, jf. [150. betragtning til] databeskyttelsesforordningen, og EU-Domstolens [praksis] inden for EU-konkurrencerettens område, således at begrebet »virksomhed« omfatter enhver enhed, som udøver økonomisk virksomhed, uanset denne enheds retlige status og dens finansieringsmåde?
2)
Såfremt det første spørgsmål besvares bekræftende: Skal artikel 83, stk. 4-6, i databeskyttelsesforordningen fortolkes således, at der ved udmåling af en bøde til en virksomhed skal lægges vægt på den samlede globale årlige omsætning i den økonomiske enhed, som virksomheden måtte indgå i, eller alene på den samlede globale årlige omsætning i virksomheden selv?«
III. Retsforhandlingerne for Domstolen
16.
ILVA og Europa-Kommissionen har indgivet skriftlige indlæg. Der blev afholdt retsmøde den 19. juni 2024, hvor begge parter var repræsenteret.
IV. Bedømmelse
A.
Indledning
17.
Baggrunden for de specifikke bestemmelser i databeskyttelsesforordningen, som er relevante for den foreliggende sag (
4
), og som særligt finder anvendelse i Danmark, er, at Datatilsynet principielt ikke kan pålægge administrative bøder for overtrædelser af databeskyttelseslovgivningen. Datatilsynet skal i stedet indgive en politianmeldelse, hvis det finder det nødvendigt (
5
). Politiet efterforsker derefter sagen og afgør, om der skal rejses formel tiltale. I bekræftende fald indbringes sagen for domstolene, der behandler sagen og fastsætter bødens størrelse.
B.
Om de præjudicielle spørgsmål
18.
Efter min opfattelse skal de to spørgsmål behandles samlet. Med disse spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om begrebet »virksomhed« i databeskyttelsesforordningens artikel 83, stk. 4-6, i lyset af 150. betragtning til denne forordning skal fortolkes således, at det svarer til begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF. Dette rejser spørgsmålet om, hvorvidt der i forbindelse med pålæggelsen af en bøde for overtrædelse af databeskyttelsesforordningen til et selskab skal tages hensyn til den samlede årlige omsætning for hele virksomheden (den økonomiske enhed eller koncernen, i dette tilfælde Lars Larsen Group, dvs. ca. 881 mio. EUR), som det selskab, der har overtrådt forordningen, er en del af (
6
), og ikke kun det pågældende selskabs samlede årlige omsætning (ILVA, dvs. ca. 241 mio. EUR).
1. Deutsche Wohnen-dommen
19.
Databeskyttelsesforordningens artikel 83 udgør retsgrundlaget for at pålægge bøder for overtrædelser af denne forordning. Databeskyttelsesforordningen indeholder ingen definition af begrebet »virksomhed« med henblik på håndhævelse, men det præciseres i 150. betragtning til denne forordning, at principperne i EU-konkurrenceretten bør anvendes til at fortolke dette begreb (
7
).
20.
Domstolen har for nylig haft lejlighed til at fortolke visse stykker (men ikke alle) i databeskyttelsesforordningens artikel 83 og til at behandle visse spørgsmål, der er relateret til de spørgsmål, der er forelagt i den foreliggende sag.
21.
I Deutsche Wohnen-dommen (
8
) fastslog Domstolen navnlig, at »[d]et fremgår [...] af databeskyttelsesforordningens artikel 83, stk. 4-6, der omhandler beregningen af administrative bøder for de overtrædelser, der er anført i disse stykker, at såfremt modtageren af den administrative bøde er en virksomhed eller en del af en virksomhed som omhandlet i artikel 101 TEUF og 102 TEUF, beregnes den administrative bødes maksimumsbeløb på grundlag af en procentdel af den pågældende virksomheds samlede globale årlige omsætning i det foregående regnskabsår«.
22.
Domstolen præciserede, at den administrative bødes maksimumsbeløb er baseret på »virksomhedens« samlede globale årlige omsætning (
9
), idet dette begreb skal forstås i overensstemmelse med EU-konkurrenceretten (artikel 101 TEUF og 102 TEUF). Domstolen anførte således, at EU-lovgiver havde til hensigt at skabe en forbindelse mellem databeskyttelsesforordningens regler og EU-konkurrencereglerne ved fastsættelsen af den maksimale størrelse af bøderne i henhold til databeskyttelsesforordningen.
23.
I denne henseende ligner databeskyttelsesforordningens artikel 83, stk. 4-6, nemlig artikel 23, stk. 2, i forordning (EF) nr. 1/2003 (
10
), for så vidt som de begge fastsætter et lovbestemt loft for bøder i henhold til de respektive forordninger.
24.
Domstolen videreudviklede sin argumentation og behandlede de betingelser, der gælder for fastsættelsen af den administrative bødes størrelse. Domstolen bemærkede i Deutsche Wohnen-dommen (præmis 58), at »det [...] kun [er] en administrativ bøde, hvis størrelse fastsættes på grundlag af bødemodtagerens reelle eller faktiske økonomiske formåen, og som tilsynsmyndigheden, hvad angår bødens størrelse, således pålægger med udgangspunkt i begrebet økonomisk enhed som omhandlet i [...] retspraksis [ (
11
)], der kan opfylde de tre betingelser, der er fastsat i databeskyttelsesforordningens artikel 83, stk. 1, nemlig at den både skal være effektiv, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning«. Selv om Domstolen i denne henseende henviste til en »bødemodtager«, og således fremhævede forbindelsen mellem bøden og den person, der specifikt anklages for overtrædelsen af databeskyttelsesforordningen, henviste den stadig til begrebet »virksomhed« (»økonomisk enhed«) i henhold til EU-konkurrenceretten.
25.
I denne doms præmis 59 anførte Domstolen endvidere, at »[n]år en tilsynsmyndighed i medfør af sine beføjelser i henhold til databeskyttelsesforordningens artikel 58, stk. 2, beslutter at pålægge en dataansvarlig, som er en virksomhed eller en del af en virksomhed som omhandlet i artikel 101 TEUF og 102 TEUF, en administrativ bøde i henhold til forordningens artikel 83, skal denne myndighed [...] i henhold til sidstnævnte bestemmelse, sammenholdt med 150. betragtning til samme forordning, tage udgangspunkt i begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF ved beregningen af de administrative bøder for de overtrædelser, der er omhandlet i artikel 83, stk. 4-6« (
12
).
26.
Jeg konkluderer, at det følger af Deutsche Wohnen-dommen, at i et tilfælde, hvor en dataansvarlig eller databehandler, som er (eller er en del af) en virksomhed, begår en overtrædelse af databeskyttelsesforordningen, skal henvisningen til »virksomhedens« samlede globale årlige omsætning ved fastsættelsen af bødens maksimumsbeløb forstås i overensstemmelse med artikel 101 TEUF og 102 TEUF. Det er imidlertid ikke kun spørgsmålet om maksimumsbeløbet for bøden, der eventuelt kan pålægges denne dataansvarlige eller databehandler, der dermed er afklaret. Dette betyder også, at den meget nuancerede (og ret sagsspecifikke) retspraksis vedrørende begreberne »virksomhed« og »økonomisk enhed« i et vist omfang også er relevant for at fastlægge betingelserne for fastsættelse af den faktiske bøde, der pålægges for denne specifikke overtrædelse af databeskyttelsesforordningen.
27.
I de følgende punkter vil jeg analysere betydningen af Deutsche Wohnen-praksissen i den specifikke sammenhæng, som den foreliggende sag indgår i, med henblik på at foreslå en ramme, som skal vejlede den forelæggende ret ved fastsættelsen af ILVA’s bøde.
2. Trin 1 i analysen efter Deutsche Wohnen-dommen: generel analyse med henblik på at fastsætte bødens maksimumsbeløb
28.
Som det er anført i punkt 25 og 26 ovenfor, følger det af ordlyden af databeskyttelsesforordningens artikel 83, sammenholdt med 150. betragtning til denne forordning, og af Deutsche Wohnen-dommen, at i de tilfælde, hvor den dataansvarlige eller databehandleren er (en del af) en »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF, bør en sådan virksomheds samlede omsætning som helhed anvendes til at fastsætte bødens maksimumsbeløb.
29.
I Domstolens praksis på konkurrenceområdet er det fastslået, at begrebet »virksomhed« omfatter »enhver enhed, som udøver økonomisk virksomhed, uanset denne enheds retlige status og dens finansieringsmåde« (
13
).
30.
Det følger ligeledes af Domstolens praksis, at begrebet »virksomhed« i artikel 101 TEUF og 102 TEUF kan henvise til enkelt økonomisk enhed, også når denne økonomiske enhed udgøres af flere fysiske eller juridiske personer. Spørgsmålet om, hvorvidt flere enheder udgør en sådan enhed, afhænger i vidt omfang af, om den individuelle enhed frit kan træffe beslutninger, eller om en øverste enhed, dvs. moderselskabet, udøver en afgørende indflydelse på de andre. Kriterierne til fastlæggelse er baseret på de økonomiske, juridiske og organisatoriske forbindelser mellem moderselskabet og datterselskabet, f.eks. deltagelsens størrelse, personalemæssige eller organisatoriske forbindelser, instrukser og eksistensen af selskabskontrakter (
14
).
31.
Det fremgår også klart af retspraksis, at moderselskabets faktiske udøvelse af en afgørende indflydelse på datterselskabets adfærd kan udledes af en række sammenfaldende omstændigheder, selv om ingen af disse elementer isoleret set er tilstrækkelige til at fastslå, at der er tale om en sådan indflydelse (
15
). Unionens retsinstanser har i denne forbindelse bl.a. støttet sig på moderselskabets beføjelse til at udnævne medlemmene af datterselskabets forskellige bestyrelser og beføjelsen til at indkalde aktionærerne til generalforsamlinger og til at foreslå afskedigelse af bestyrelsesmedlemmer eller af alle datterselskabets bestyrelser (
16
).
32.
Det fremgår af fast retspraksis, at med hensyn til det særlige tilfælde, hvor et moderselskab direkte eller indirekte besidder hele eller næsten hele kapitalen i et datterselskab, som har begået en overtrædelse af konkurrencereglerne, kan moderselskabet udøve en afgørende indflydelse på datterselskabets adfærd, og der foreligger en afkræftelig formodning for, at moderselskabet faktisk udøver en afgørende indflydelse på datterselskabets adfærd (
17
).
33.
Ifølge præmis 2 i forelæggelsesafgørelsen er ILVA en del af Lars Larsen Group. Såfremt den forelæggende ret finder, at moderselskabet i denne koncern udøver afgørende indflydelse på ILVA, består »virksomheden« som omhandlet i databeskyttelsesforordningens artikel 83, stk. 5, af: (i) moderselskabet i denne koncern, (ii) ILVA og (iii) ethvert andet selskab, som moderselskabet også udøver afgørende indflydelse på. Sidstnævnte kategori omfatter potentielt de øvrige selskaber i Lars Larsen Group.
34.
Der er udtrykkeligt henvist til »omsætning« i databeskyttelsesforordningens artikel 83, stk. 4-6, i forbindelse med beregningen af maksimumsbeløbet for den bøde, der kan pålægges selskaber. Dette maksimumsbeløb vedrører meget store selskaber, eftersom denne grænse ikke finder anvendelse, hvis bøden er mindre end det absolutte beløb, der er nævnt i disse tre stykker i artikel 83, nemlig 10 mio. EUR eller 20 mio. EUR. Det loft, der er fastsat på grundlag af omsætningen, er derfor kun relevant for selskaber med en samlet global omsætning på over 500 mio. EUR (
18
).
35.
Det følger heraf, at såfremt den forelæggende ret måtte fastslå, at moderselskabet i Lars Larsen-koncernen udøver afgørende indflydelse på ILVA, beregnes maksimumsbeløbet af bøden, der skal pålægges i hovedsagen, abstrakt på grundlag af en procentdel af den samlede globale årlige omsætning i det sidste regnskabsår i den berørte virksomhed, dvs. Lars Larsen Group (som ILVA er en del af).
3. Trin 2 i analysen efter Deutsche Wohnen-dommen: analyse med henblik på at fastsætte den faktiske bøde for overtrædelserne i hovedsagen
36.
Spørgsmålet om fastsættelse af bødens maksimumsbeløb, således som EU-lovgiver har fastsat det i databeskyttelsesforordningens artikel 83, stk. 4-6, bør hverken forveksles eller sammenblandes med en tilsynsmyndigheds efterfølgende opgave (
19
), nemlig at fastsætte den faktiske bøde, der skal pålægges for den eller de omhandlede specifikke overtrædelse(r) af databeskyttelsesforordningen.
37.
Med henblik herpå vil jeg for det første gøre opmærksom på, at databeskyttelsesforordningens artikel 83, stk. 1, fastsætter tre væsentlige betingelser (
20
), som tilsynsmyndigheden skal opfylde. Hver af disse betingelser indebærer en individuel afvejning af alle elementerne i den pågældende overtrædelse og af den passende faktiske bøde, der skal pålægges. Desuden forpligter artikel 83, stk. 2, denne myndighed til at overholde en række krav med henblik på at afgøre, »hvorvidt der skal pålægges en administrativ bøde, og [hvad der er en passende størrelse af den faktiske] administrative bøde«. For fuldt ud at forstå anvendelsen af databeskyttelsesforordningens artikel 83, stk. 4-6, i forbindelse med fastsættelsen af den faktiske bøde i et konkret tilfælde skal disse stykker derfor sammenholdes med denne forordnings artikel 83, stk. 1, og artikel 83, stk. 2. Sidstnævnte opregner – hvad der er endnu vigtigere – specifikke faktorer, som en tilsynsmyndighed skal tage hensyn til ved fastsættelsen af bødens faktiske størrelse i en given sag.
38.
Selve ordlyden af artikel 83, stk. 2, kræver, at der tages behørigt hensyn til mange elementer i »hver enkelt sag«, samtidig med at det overlades til tilsynsmyndigheden at identificere de specifikke forhold, der er relevante for den sag, som er indbragt for den, og at fastslå relevansen heraf med henblik på at fastsætte den faktiske bøde (
21
).
39.
I modsætning til databeskyttelsesforordningens artikel 83, stk. 4-6 (jf. punkt 34 i dette forslag til afgørelse), indeholder forordningens artikel 83, stk. 2, eller artikel 83, stk. 1, eller for den sags skyld artikel 83, stk. 3 (
22
), ingen henvisning til virksomhedens omsætning. Det følger heraf, at EU-lovgiver har valgt ikke at medtage »omsætning« som en specifik faktor til fastsættelsen af den faktiske bøde. I stedet opregner artikel 83, stk. 2, andre faktorer (
23
), der kendetegner adfærden for en dataansvarlig eller databehandler, som er tiltalt for en overtrædelse, for at sikre, at hver enkelt overtrædelse vurderes på grundlag af alle relevante individuelle omstændigheder. Efter min opfattelse kan det udledes af det ovenstående, at EU-lovgiver havde til hensigt at sondre mellem de faktorer, der ligger til grund for fastsættelsen af bødens maksimumsbeløb (trin 1), og listen over de krav, som tilsynsmyndigheden skal opfylde, når den fastsætter den faktiske bøde (trin 2).
40.
Jeg vil i denne forbindelse fremhæve, at Domstolen har fremhævet, at »en sanktion, også selv om den ikke har karakter af straf, kun kan pålægges, hvis den har en klar og utvetydig hjemmel« (
24
). Dette er så meget desto mere tilfældet i en straffesag som den foreliggende. I Domstolens praksis henvises der til »legalitetsprincippet[, som] kræver, at loven klart definerer de overtrædelser og de straffe, den fastsætter [...] [og] kriterierne for bedømmelsen af lovens klarhed ifølge Den Europæiske Menneskerettighedsdomstols [(Menneskerettighedsdomstolen)] praksis« (
25
).
41.
I denne henseende har Kommissionen i det væsentlige gjort gældende, at databeskyttelsesforordningen i det foreliggende tilfælde indebærer, at bødens maksimumsbeløb ikke alene skal baseres på omsætningen for den virksomhed, som selskabet tilhører, men at beregningen af den faktiske bøde også skal baseres herpå. De betragtninger, der er anført i punkt 37-40 i dette forslag til afgørelse, gør det imidlertid ikke muligt at konkludere, at databeskyttelsesforordningens artikel 83, stk. 1-6, skal fortolkes således, at reglerne om fastsættelse af bødens maksimumsbeløb (trin 1) også skal anvendes som den primære eller eneste reference for fastsættelsen af den faktiske bøde (trin 2).
42.
For det andet kan behovet for at sondre mellem maksimumsbødebeløbet (trin 1) og den faktiske bøde (trin 2) som en del af den afsmittende virkning af at skabe en forbindelse mellem de to retsområder ligeledes udledes af EU-konkurrenceretten. For så vidt angår bødens maksimumsbeløb anvender Kommissionen nemlig i EU-konkurrenceretten i lighed med databeskyttelsesforordningens artikel 83 omsætningen ved beregningen af bødens maksimumsbeløb (som er fastsat til 10% af virksomhedens samlede omsætning pr. overtrædelse). Det skal imidlertid fremhæves, at selve grundbøden ikke fastsættes på grundlag af omsætningen (
26
).
43.
I stedet fastsættes grundbøden i det væsentlige som en procentdel af værdien af den pågældende afsætning (som er direkte eller indirekte forbundet med overtrædelsen på konkurrenceområdet) multipliceret med varigheden (år eller perioder på under et år), forhøjet med 15-25% af værdien af den pågældende afsætning (som en yderligere afskrækkelse for karteller). Denne grundbøde forhøjes derefter på grund af skærpende faktorer eller nedsættes som følge af formildende faktorer. Dette beløb er derefter underlagt det samlede loft på 10% af omsætningen (der er en yderligere mulighed for – hvor det er relevant – at nedsætte bøden på grundlag af samarbejde, forlig og/eller manglende betalingsevne). Dette viser klart, at det er de faktorer, der direkte karakteriserer overtrædelsen (såsom den pågældende afsætning, overtrædelsens varighed og de særlige omstændigheder i sagen), der spiller en central rolle ved fastsættelsen af den faktiske bøde, og ikke den samlede globale årlige omsætning.
44.
Som det allerede er blevet fremhævet i retslitteraturen, »er der ingen direkte analogislutninger fra den metode til beregning af bøder, som Kommissionen har anvendt i henhold til artikel 101 TEUF [og] 102 TEUF, til databeskyttelsesforordningen, eftersom bøder i konkurrencesager i EU har til formål at tage højde for [den konkurrencebegrænsende adfærds] indvirkning på det pågældende marked snarere end at se på omsætningen i sig selv. For så vidt angår karteller er bøderne f.eks. baseret på værdien af afsætningen af »det kartelomfattede produkt« snarere end på den globale omsætning« (
27
).
45.
Domstolens praksis bekræfter således, at den del af den samlede omsætning, der hidrører fra salget af varer, som er genstand for overtrædelsen (dvs. »værdien af afsætningen«), bedst kan afspejle overtrædelsens økonomiske betydning (
28
). Det, som begrebet »omsætning« som omhandlet i databeskyttelsesforordningen tilsigter at afspejle, er derimod virksomhedens økonomiske betydning (
29
). Disse to tilgange må ikke sammenblandes, da de tjener forskellige mål: Det første har til formål at bedømme overtrædelsens alvor, mens det andet tilsigter at vurdere virksomhedens økonomiske betydning.
46.
Ovenstående betragtninger og Domstolens praksis (nævnt i punkt 40 i dette forslag til afgørelse) foranlediger mig således til at konkludere, at legalitetsprincippet skal regulere grænserne for indvirkningen af EU-retspraksis på konkurrenceområdet på pålæggelsen af faktiske bøder for overtrædelser af databeskyttelsesforordningen. Det bør navnlig sikres, at de faktiske bøder i henhold til databeskyttelsesforordningen udelukkende beregnes i forhold til ophavsmandens handlinger og fuldt ud tager hensyn til alle karakteristikaene i den specifikke overtrædelse. Fortolkningen af begreberne »omsætning« og »virksomhed« i forbindelse med fastsættelsen af bødens maksimumsbeløb kan derfor ikke automatisk podes på beregningen af den faktiske bøde.
47.
For at en bøde kan opfylde databeskyttelsesforordningens formål – at styrke håndhævelsen af denne forordnings bestemmelser – og i lyset af den praksis fra Domstolen, der er gennemgået ovenfor, skal fortolkningen af begreberne »virksomhed« og »omsætning« ved fastsættelsen af den faktiske bøde overholde følgende krav. I forbindelse med fastsættelsen af den faktiske bøde skal tilsynsmyndigheden for det første basere sig på alle de individuelle omstændigheder i dette konkrete tilfælde, således som det kræves i henhold til databeskyttelsesforordningens artikel 83, stk. 2, herunder forholdet inden for »virksomheden« som fastlagt i EU-retspraksis på konkurrenceområdet. For det andet skal den faktiske bøde efter afvejningen af alle relevante omstændigheder være effektiv, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Endelig skal navnlig de strafferetlige aspekter, der er relevante i den foreliggende sag, i givet fald respekteres.
48.
For at opfylde disse krav vil jeg henvise til følgende forhold.
49.
Som generaladvokat Pitruzzella har anført (
30
), varierer betydningen og rækkevidden af begrebet »virksomhed« i EU-retten i forhold til den regulering, hvori det anvendes, og de af denne regulering forfulgte formål. I EU-konkurrenceretten skal den funktionelle karakter af begrebet »virksomhed« opfattes ud fra to synspunkter. For det første fokuserer dette begreb på den type af virksomhed, der udøves, snarere end på kendetegnene ved de aktører, som udøver den. Konkurrencen består i og påvirkes af økonomiske aktiviteter. Af denne grund omhandler artikel 101 TEUF og 102 TEUF »virksomheder« generelt uanset deres retlige struktur. For det andet afhænger spørgsmålet, om en aktivitet skal betegnes som økonomisk – og således, om en enhed skal betegnes som »virksomhed« – i konkurrencerettens forstand af den vurderede kontekst. På tilsvarende måde afhænger fastlæggelsen af de enheder, som befinder sig inden for »virksomhedens« grænser, af genstanden for den foreholdte overtrædelse.
50.
Disse bemærkninger fremhæver med rette, at der i EU-konkurrenceretten tillægges økonomiske hensyn forrang, idet der ses bort fra den pågældende enheds retlige strukturer. Når dette er sagt, begrænser det andet synspunkt denne holdning således, at identificeringen af den enhed eller person, der er ansvarlig for overtrædelsen, og dermed den faktiske bøde, afhænger af selve den omtvistede overtrædelse.
51.
Et af de elementer, der karakteriserer begrebet »virksomhed«, og som skal tages i betragtning ved fastsættelsen af grundbøden og justeringen heraf (for at fastsætte den faktiske bøde), er graden af deltagelse fra andre selskaber i denne virksomhed i overtrædelsen af databeskyttelsesforordningen. I denne henseende er der i national retspraksis vedrørende EU-konkurrenceretten blevet argumenteret med, at »spørgsmålet om, hvorvidt der foreligger en »virksomhed«, og spørgsmålet om tilregnelse af ansvar mellem forskellige selskaber inden for en »virksomhed« på det begrebsmæssige plan er forskellige, [...][ (
31
)] [og] at en person ikke ipso facto er ansvarlig for en overtrædelse af artikel 101 [TEUF] alene på grund af den omstændighed, at han eller hun er medlem af en virksomhed, der i henhold til EU-retten er ansvarlig for overtrædelsen, under omstændigheder, hvor den pågældende person hverken har deltaget i overtrædelsen eller har udøvet en afgørende indflydelse på adfærden på det relevante marked for andre medlemmer af virksomheden, der deltog i overtrædelsen. [...] Under sådanne omstændigheder kan det meget vel være usandsynligt, at den pågældende person faktisk ville blive anset for at være en del af denne »virksomhed« (
32
).
52.
Efter min opfattelse er ovenstående argumenter også relevante for afgørelsen af, hvilke personer der er omfattet af begrebet »virksomhed«, med henblik på at fastsætte den faktiske bøde for overtrædelsen af databeskyttelsesforordningen. Dette er så meget desto mere tilfældet, når tilsynsmyndigheden udtrykkeligt har fastslået, at moderselskabet ikke var involveret i den pågældende overtrædelse som dataansvarlig eller databehandler (
33
), således som det er tilfældet i hovedsagen.
53.
Selv om EU-lovgiver i et vist omfang har skabt en forbindelse mellem de to EU-retlige områder med henblik på fastsættelsen af maksimale bøder, er det klart, at databeskyttelsesforordningens regler og EU-konkurrencereglerne forfølger forskellige formål. Databeskyttelsesforordningens reguleringssystem adskiller sig fra EU’s konkurrencereglers reguleringssystem og er baseret på begrebet den dataansvarliges (og databehandlerens) ansvar for lovlig behandling af personoplysninger. Med andre ord: Mens EU’s konkurrenceret er rettet mod »virksomheder« (den udtrykker sit forbud med henvisning til en »virksomhed«), fokuserer databeskyttelsesforordningen på »dataansvarlige« og »databehandlere«. Jeg minder ligeledes om, at eftersom doktrinen om »økonomisk enhed« ikke kan adskilles fra opbygningen af EU-konkurrenceretten og dens formål, har Domstolen tidligere afvist at udvide dens anvendelse analogt til andre områder af EU-retten, f.eks. til ansvar uden for kontraktforhold på grundlag af artikel 340, stk. 2, TEUF (
34
).
54.
På baggrund af disse betragtninger fremgår det tydeligt, hvorfor Domstolen klart har indskrænket konsekvenserne af EU-konkurrenceretten for håndhævelsen af databeskyttelsesforordningen (og navnlig bøder i henhold til databeskyttelsesforordningen). I Deutsche Wohnen-dommen (præmis 53) udtalte Domstolen, at begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF ikke har betydning for spørgsmålet om, hvorvidt og på hvilke betingelser en administrativ bøde kan pålægges en dataansvarlig, der er en juridisk person, i henhold til databeskyttelsesforordningens artikel 83, idet dette spørgsmål er udtømmende reguleret i denne forordnings artikel 58, stk. 2, og artikel 83, stk. 1-6. Den fortsatte med at bemærke (i præmis 54), at dette begreb »kun [er] relevant ved fastsættelsen af størrelsen af den administrative bøde, der pålægges en dataansvarlig i henhold til databeskyttelsesforordningens artikel 83, stk. 4-6[, som vedrører den maksimale bøde]« (min fremhævelse). Ved at fastslå (i præmis 53), at spørgsmålet om, hvorvidt og på hvilke betingelser en administrativ bøde kan pålægges, »er udtømmende reguleret i denne forordnings artikel 58, stk. 2, og i artikel 83, stk. 1-6« (min fremhævelse), har Domstolen endvidere præciseret, at kravene i artikel 83, stk. 1-6, ved fastsættelsen af den faktiske bøde skal anvendes i deres helhed, og ingen af disse stykker går forud for hinanden.
55.
Derfor er »virksomhedens omsætning« kun ét af de mange elementer, der skal tages i betragtning ved håndhævelsen af en dataansvarligs (eller databehandlers) ansvar og pålæggelsen af en bøde i henhold til databeskyttelsesforordningen, der er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.
56.
Det er korrekt, at det fremgår af Domstolens praksis, at det i EU-konkurrenceretten i visse situationer kan være begrundet at tage hensyn til et selskabs omsætning – men kun som et relevant element blandt andre – ved beregningen af den faktiske bøde (f.eks. i forbindelse med forhøjelsen af grundbøden med henblik på afskrækkelse) (
35
).
57.
Begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF bør derfor efter min opfattelse kunne påberåbes ved fastsættelsen af den faktiske bøde, men kun når det er behørigt begrundet med henblik på bødens afskrækkende virkning og effektivitet. I denne henseende skal anvendelsen af dette begreb nemlig nuanceres og individualiseres i hvert enkelt tilfælde. Mere specifikt kan det anvendes som en justeringsmekanisme, når der tages hensyn til de specifikke omstændigheder i en individuel sag, efter at bøden i henhold til databeskyttelsesforordningens artikel 83, stk. 2, er blevet fastsat. Det påhviler således den forelæggende ret at afgøre, om der i det foreliggende tilfælde foreligger omstændigheder, som kan begrunde en sådan forhøjelse af bøden, navnlig med henblik på afskrækkelse.
58.
Spørgsmålet om individualisering af bøder i henhold til databeskyttelsesforordningen (
36
) er også blevet behandlet af Det Europæiske Databeskyttelsesråd (EDPB) (
37
). EDPB søger i sine retningslinjer om beregning af bøder (
38
) i henhold til databeskyttelsesforordningens artikel 70, stk. 1, litra k), at standardisere tilsynsmyndighedernes bødebeføjelser i henhold til databeskyttelsesforordningen i hele Den Europæiske Union. EDPB anfører navnlig, at rådet anser »tre elementer for at udgøre udgangspunktet for yderligere beregning: kategoriseringen af overtrædelser efter karakter i henhold til artikel 83, stk. 4-6, i [databeskyttelsesforordningen], overtrædelsens alvor [...] og virksomhedens omsætning som et relevant element, der skal tages i betragtning med henblik på at pålægge en effektiv, afskrækkende og forholdsmæssig bøde i henhold til artikel 83, stk. 1, i [databeskyttelsesforordningen]«. Selv om det er sandt, at disse overvejelser ikke er bindende for Domstolen, viser de, at kun en samlet tilgang, der omfatter alle de relevante elementer i en specifik sag, kan sikre, at bøden opfylder de væsentligste krav i denne forordnings artikel 83, navnlig at den faktisk pålagte bøde er effektiv, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning.
59.
Med henblik på fastsættelsen af beløbet for den faktiske bøde opfordrer jeg derfor Domstolen til at fastslå, at følgende aspekter bør være relevante ved anvendelsen af begrebet »virksomhed« i forbindelse med fastsættelsen af den faktiske bøde i henhold til databeskyttelsesforordningens artikel 83. For det første skal det vurderes, om moderselskabet har udøvet sin beslutningskompetence med hensyn til den dataansvarliges eller databehandlerens specifikke aktiviteter i forbindelse med overtrædelsen eller overtrædelserne af databeskyttelsesforordningen. For det andet skal det undersøges, om en specifik behandling af oplysninger i strid med databeskyttelsesforordningen vedrører det pågældende selskab og/eller hele koncernen. For det tredje er det nødvendigt at fastslå, om flere end ét selskab, der indgår i koncernen, var involveret i overtrædelsen eller overtrædelserne af databeskyttelsesforordningen.
60.
Jeg vil i denne forbindelse fremhæve, at følgende ikke-udtømmende liste over elementer er relevant: (i) I den foreliggende sag (
39
) fremgår det – i modsætning til den sag, der gav anledning til Deutsche Wohnen-dommen – at Lars Larsen-koncernen og/eller dets moderselskab ikke var involveret i straffesagen, (ii) at der kun blev rejst tiltale mod ILVA og ikke mod koncernen (
40
), og iii) at tilsidesættelsen af databeskyttelsesforordningen i hovedsagen var begrænset til ILVA’s kunder og deres oplysninger, og der var intet, der tydede på, at overtrædelsen var blevet begået på koncernniveau, eller at ILVA’s behandling var knyttet til de øvrige selskaber i koncernen. Det skal fremhæves, at i den sag, der gav anledning til Deutsche Wohnen-dommen, havde »det pågældende selskab« det fulde ansvar for behandlingen af oplysninger, dvs. også for behandlingen af oplysninger tilhørende de andre selskaber i koncernen (
41
).
61.
Det tilkommer imidlertid den forelæggende ret – der alene har kompetence til at træffe afgørelse om de faktiske omstændigheder – at foretage den nødvendige efterprøvelse i denne henseende og at tage hensyn til disse forhold samt til den relevans og vægt, som de skal tillægges i forbindelse med fastsættelsen af det passende beløb for ILVA’s faktiske bøde.
4. Afsluttende bemærkninger
62.
Selv om den forelæggende ret ikke har stillet spørgsmål derom, er jeg af den opfattelse, at det – for at give den et fyldestgørende svar – er nødvendigt kort at behandle visse specifikke aspekter af den foreliggende sag.
63.
Fortolkningen af databeskyttelsesforordningens artikel 83, stk. 1-6, i hovedsagen skal navnlig foretages sammenholdt med databeskyttelsesforordningens artikel 83, stk. 9 (
42
) – et spørgsmål, som Domstolen ikke behandlede i Deutsche Wohnen-dommen (
43
). Ordningen for fastsættelse af en passende faktisk bøde i henhold til databeskyttelsesforordningens artikel 83 skal derfor i det foreliggende tilfælde fortolkes på en måde, der er i overensstemmelse med de væsentlige garantier i en straffesag.
64.
I forbindelse med analysen af indvirkningen af databeskyttelsesforordningens artikel 83, stk. 9, på den foreliggende sag skal der også tages hensyn til 151. betragtning til databeskyttelsesforordningen, hvori det hedder, at »[r]etssystemerne i Danmark og Estland[ (
44
)] [ikke] giver [...] mulighed for administrative bøder som fastsat i denne forordning«. Betragtningen giver endvidere vejledning om forskellige procedurers forenelighed med de tre væsentligste betingelser for den faktiske bøde i henhold til databeskyttelsesforordningen, nemlig at »[d]e pålagte bøder [...] under alle omstændigheder [bør] være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning«. Det er derfor relevant kort at undersøge EU-rettens indvirkning på bøder, der pålægges i en straffesag, for at sikre, at disse tre betingelser ligeledes er opfyldt i et konkret tilfælde som den foreliggende sag.
65.
ILVA har i retsmødet for det første påberåbt sig artikel 41 i Den Europæiske Unions charter om grundlæggende rettigheder (herefter »chartret«). Denne artikel har overskriften »Ret til god forvaltning««, og navnlig artikel 41, stk. 2, litra c), fremhæver »pligt for forvaltningen til at begrunde sine beslutninger«, men ILVA har ikke fremsat specifikke argumenter i denne henseende.
66.
For det andet har ILVA ligeledes henvist til chartrets artikel 49. Jeg finder, at der ved fortolkningen af databeskyttelsesforordningens artikel 83, stk. 1-6, skal tages hensyn til denne artikel i chartret, som har overskriften »Legalitetsprincippet og princippet om proportionalitet mellem lovovertrædelse og straf«, og som således er relevant i hovedsagen. Chartrets artikel 49, stk. 3, fastslår særligt, at »[s]traffens omfang skal stå i rimeligt forhold til overtrædelsen«.
67.
Det følger faktisk af Domstolens praksis, at proportionalitetsprincippet hører til EU-rettens almindelige grundsætninger, som har grundlag i medlemsstaternes fælles forfatningsmæssige traditioner, og som skal overholdes af de nationale myndigheder, når de anvender eller gennemfører EU-retten. Det kræver, at medlemsstaterne vedtager foranstaltninger, der er egnede til at opnå det fulgte mål, og som ikke går videre end nødvendigt (
45
).
68.
Således skal strengheden af den pålagte sanktion svare til den pågældende overtrædelses alvor, idet et sådant krav følger af såvel chartrets artikel 52, stk. 1, som af princippet om straffes proportionalitet i chartrets artikel 49, stk. 3 (
46
).
69.
Det følger af forklaringerne til chartret (
47
) i overensstemmelse med chartrets artikel 52, stk. 3, at i det omfang den i chartrets artikel 49 sikrede rettighed også svarer til en rettighed, der er sikret i den europæiske konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder, undertegnet i Rom den 4. november 1950 (herefter »EMRK«), er dens betydning og rækkevidde den samme som den, der er fastsat i EMRK. Som følge heraf finder Menneskerettighedsdomstolens krav i forbindelse med forholdsmæssigheden af sanktioner anvendelse i et tilfælde som det i hovedsagen omhandlede, jf. chartrets artikel 17, stk. 1, sammenholdt med artikel 51, stk. 1, og artikel 52, stk. 1 og 3 (
48
).
70.
Det fremgår klart af Domstolens praksis, at proportionalitetsprincippet kræver, dels at den pålagte sanktion svarer til overtrædelsens alvor, dels at der tages hensyn til de konkrete omstændigheder i sagen ved fastsættelsen af sanktionen og bødens størrelse (
49
). Hvad angår dette andet element fremhæves det i retspraksis, at den forelæggende ret har pligt til at tage hensyn til objektive kriterier såsom overtrædelsens alvor og varighed, samt til eventuelle skærpende og formildende omstændigheder med henblik på at sikre, at bøden er effektiv, forholdsmæssig og afskrækkende (
50
).
71.
For det andet foretages der i Menneskerettighedsdomstolens praksis i sådanne sager en afvejning af de forskellige involverede interesser, og der tages hensyn til arten, alvoren og den afskrækkende virkning af den strafferetlige sanktion, som sagsøgeren er blevet idømt. Den gør det klart, at staternes forpligtelse til at håndhæve strafferetten og pålægge strafferetlige sanktioner (
51
) for at beskytte offentligheden (
52
) medfører en tilsvarende forpligtelse til at sikre, at den pålagte sanktion ikke er uforholdsmæssig.
72.
Menneskerettighedsdomstolen har udtalt, at »the requisite balance will not be struck where the person concerned bears an individual and excessive burden« og at »a financial liability arising out of a fine may undermine the guarantee afforded by that provision if it places an excessive burden on the person or fundamentally interferes with his or her financial position« (
53
).
73.
Det følger heraf, at de specifikke processuelle aspekter i hovedsagen, EU-retten og Menneskerettighedsdomstolens praksis på området for bøder, der pålægges inden for rammerne af en straffesag, pålægger tilsynsmyndigheden eller den forelæggende ret at tage hensyn til alle de relevante forhold i sagen ved fastsættelsen af den faktiske bøde for overtrædelser af databeskyttelsesforordningen. De processuelle garantier for en tiltalt og proportionalitetsprincippet som fortolket i Domstolens og Menneskerettighedsdomstolens praksis kræver, at straffene svarer til overtrædelsens alvorlighed, og at der tages hensyn til den konkrete sags individuelle omstændigheder.
74.
Henset til disse krav skal den forelæggende ret sikre, at proportionalitetsprincippet er overholdt ved fastsættelsen af den faktiske bøde, idet der sikres en rimelig balance mellem de krav, der følger af samfundets almene interesse i beskyttelsen af personoplysninger, og kravene til beskyttelse af de grundlæggende rettigheder (
54
) for den dataansvarlige, databehandleren eller den virksomhed, som denne er en del af.
V. Forslag til afgørelse
75.
Jeg foreslår, at Domstolen besvarer de præjudicielle spørgsmål, som Vestre Landsret (Danmark) har forelagt, på følgende måde:
»Artikel 83, stk. 4-6, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)
skal fortolkes således, at
når en dataansvarlig eller en databehandler, som er (eller indgår i) en virksomhed, pålægges bøder, skal begrebet »virksomhed« fortolkes således, at det svarer til begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF med henblik på fastsættelsen af bødens maksimumsbeløb. Der tages derfor hensyn til den samlede årlige globale omsætning for den virksomhed, som den dataansvarlige eller databehandleren er en del af.
Ved fastsættelsen af den faktiske bøde, der skal pålægges, skal begrebet »virksomhed« imidlertid fortolkes i sammenhæng med artikel 83, stk. 1 og 2, i forordning 2016/679 og anvendes som et relevant element blandt andre, når der tages hensyn til de særlige omstændigheder i den konkrete sag. I denne forbindelse kan særlige omstændigheder vedrøre omfanget af moderselskabets indflydelse på beslutninger, omfanget af behandlingen af oplysninger, der er i strid med reglerne i nævnte forordning, og antallet af enheder i virksomheden, der er involveret i overtrædelsen.
Når en sådan bøde pålægges, sammenholdt med artikel 83, stk. 9, i forordning 2016/679, af en national domstol i forbindelse med en straffesag, skal den faktiske bøde desuden vurderes i lyset af de principper, der finder anvendelse i strafferetten. I denne sammenhæng skal den nationale domstol sikre, at proportionalitetsprincippet er overholdt ved fastsættelsen af den faktiske bøde, idet der sikres en rimelig balance mellem de krav, der følger af samfundets almene interesse i beskyttelsen af personoplysninger, og kravene til beskyttelse af de grundlæggende rettigheder for den dataansvarlige, databehandleren eller den virksomhed, som denne er en del af.«
(
1
) – Originalsprog: engelsk.
(
2
) – Europa-Parlamentets og Rådets forordning af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1) (»databeskyttelsesforordningen«).
(
3
) – I nationale kilder benævnes hovedsagen også »IDdesign A/S«, da dette var ILVA’s tidligere selskabsnavn.
(
4
) – Navnlig databeskyttelsesforordningens artikel 83, stk. 9, og 151. betragtning.
(
5
) – Jf. T. Overby, The Danish adaptation of the GDPR, Blog Droit Européen, juni 2018, s. 4 og 5.
(
6
) – Hvad angår den specifikke ordlyd af det andet præjudicielle spørgsmål (jf. punkt 15 i dette forslag til afgørelse) synes denne ordlyd at være behæftet med en skrivefejl. Det kan imidlertid udledes af sammenhængen, at den forelæggende ret ikke ønskede at henvise til valget mellem »den økonomiske enhed, som virksomheden måtte indgå i«, og »virksomheden selv«, men til valget mellem »den økonomiske enhed, som selskabet måtte indgå i«, og »selskabet selv« (dvs. den juridiske person, der har overtrådt databeskyttelsesforordningen).
(
7
) – Denne betragtning er citeret i punkt 4 i dette forslag til afgørelse.
(
8
) – Dom af 5.12.2023, Deutsche Wohnen (C-807/21, EU:C:2023:950, præmis 57, herefter »Deutsche Wohnen-dommen« eller »Deutsche Wohnen-praksis«). Se også den relaterede dom, der blev afsagt samme dag, Nacionalinis visuomenės sveikatos centras (C-683/21, EU:C:2023:949).
(
9
) – Som det fremgår klart af Domstolens praksis, »[forbliver] omsætningen, om end det er et vagt og ufuldstændigt kriterium, [...] et passende kriterium med henblik på at bedømme de berørte virksomheders størrelse og økonomiske vægt«. Jf. dom af 8.12.2011, KME Germany m.fl. mod Kommissionen (C-272/09 P, EU:C:2011:810, præmis 52).
(
10
) – Rådets forordning af 16.12.2002 om gennemførelse af konkurrencereglerne i [artikel 101 TEUF og 102 TEUF] (EFT 2003, L 1, s. 1).
(
11
) – Dom af 6.10.2021, Sumal (C-882/19, EU:C:2021:800, præmis 41 og den deri nævnte retspraksis).
(
12
) – Jf. med hensyn til national retspraksis Landgericht Bonn (den regionale ret i første instans i Bonn, Tyskland) (dom af 11.11.2020, DE:LGBN:2020:1111 29OWI1.20.00) og Conseil d’État (den øverste domstol i forvaltningsretlige sager, Frankrig) (dom af 19.6.2020, FR:CECHR:2020:430810 20200619). Begge domme er i det væsentlige i overensstemmelse med Domstolens fortolkning (selv om de er afsagt før Domstolens dom). For den modsatte fortolkning se Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig) (dom af 19.8.2019, AT:BVWG:2019:W211.2208885.1.00) og Landgericht Berlin (den regionale ret i første instans i Berlin, Tyskland) (dom af 18.2.2021, DE:LGBE:2021:0218 526OWI.LG212JS.OW.00; det var denne dom, der i sidste ende gav anledning til Domstolens dom i Deutsche Wohnen-sagen). Med hensyn til retspraksis, der ligger efter og anvender Domstolens dom, jf. Bundesverwaltungsgericht (forbundsdomstol i forvaltningsretlige sager, Østrig) (dom af 27.3.2024, AT:BVWG:2024:W214.2243436.1.00).
(
13
) – Jf. dom af 23.4.1991, Höfner og Elser (C-41/90, EU:C:1991:161, præmis 21). Jf. også f.eks. dom af 12.9.2000, Pavlov m.fl. (C-180/98 – C-184/98, EU:C:2000:428, præmis 74), af 12.7.2012, Compass-Datenbank (C-138/11, EU:C:2012:449, præmis 35), og af 27.4.2017, Akzo Nobel m.fl. mod Kommissionen (C-516/15 P, EU:C:2017:314, præmis 47).
(
14
) – Jf. f.eks. dom af 20.1.2011, General Química m.fl. mod Kommissionen (C-90/09 P, EU:C:2011:21, præmis 37). Det vigtigste kriterium for at fastslå dette er den »afgørende indflydelse«, der skal beregnes på grundlag af faktuelle elementer (økonomiske, organisatoriske og juridiske forbindelser).
(
15
) – Dom af 27.1.2021, The Goldman Sachs Group mod Kommissionen (C-595/18 P, EU:C:2021:73, præmis 67 og den deri nævnte retspraksis).
(
16
) – Ibidem, præmis 71.
(
17
) – Ibidem, præmis 32 og den deri nævnte retspraksis.
(
18
) – 2% af en virksomheds samlede globale omsætning overstiger kun 10 mio. EUR, hvis virksomhedens omsætning overstiger 500 mio. EUR. Tilsvarende overstiger 4% af en virksomheds samlede globale omsætning kun 20 mio. EUR, hvis virksomhedens omsætning overstiger 500 mio. EUR.
(
19
) – I dette forslag til afgørelse vil jeg i denne forbindelse henvise til »tilsynsmyndigheden« eller »en tilsynsmyndighed«, men i betragtning af hovedsagens særlige kontekst er det klart, at det samme gælder for den forelæggende ret (som pålægger ILVA bøden – og ikke tilsynsmyndigheden).
(
20
) – »Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning« (min fremhævelse).
(
21
) – Jf. i denne henseende den retspraksis, der er nævnt i punkt 40 i dette forslag til afgørelse.
(
22
) – Sidstnævnte bestemmelse omhandler situationer, hvor flere bestemmelser i databeskyttelsesforordningen overtrædes på samme tid.
(
23
) – Nogle af disse faktorer er: overtrædelsens karakter, alvor og varighed, spørgsmålet, om den er forsætlig eller uagtsom, de foranstaltninger, der er truffet for at afbøde den lidte skade, den dataansvarliges eller databehandlerens tidligere overtrædelser, graden af samarbejde med tilsynsmyndigheden, de berørte kategorier af personoplysninger osv.
(
24
) – Dom af 25.9.1984, Könecke (117/83, EU:C:1984:288, præmis 11).
(
25
) – Dom af 18.7.2013, Schindler Holding m.fl. mod Kommissionen (C-501/11 P, EU:C:2013:522, præmis 57 og den deri nævnte retspraksis).
(
26
) – Jf. punkt 32 (»Retligt fastsat loft«) og punkt 13 (i forbindelse med »bødens grundbeløb«) i Kommissionens Retningslinjer for beregning af bøder efter artikel 23, stk. 2, litra a), i forordning nr. 1/2003 (EUT 2006, C 210, s. 2) (»Bøderetningslinjerne fra 2006«).
(
27
) – Mayer Brown, O. Yaros m.fl., »GDPR fines – Lessons from competition law«, december 2018, s. 4.
(
28
) – Dom af 12.11.2014, Guardian Industries og Guardian Europe mod Kommissionen (C-580/12 P, EU:C:2014:2363, præmis 59).
(
29
) – Bøderetningslinjerne fra 2006 bestemmer i punkt 30, at »Kommissionen vil være særligt opmærksom på behovet for at sikre, at bøderne virker tilstrækkeligt afskrækkende. Den kan derfor forhøje bøden for virksomheder, der har en særligt stor omsætning ud over deres afsætning af de af overtrædelsen omfattede varer og tjenesteydelser« (min fremhævelse). Jf. i denne sammenhæng dom af 6.2.2014, Elf Aquitaine mod Kommissionen (T-40/10, EU:T:2014:61, præmis 350-357 og den deri nævnte retspraksis).
(
30
) – Disse punkter blev anført i hans forslag til afgørelse i en sag vedrørende konkurrenceretten, Sumal (C-882/19, EU:C:2021:293, punkt 23-25).
(
31
) – Jf. f.eks. retspraksis fra tiden før Brexit fra United Kingdom Competition Appeal Tribunal i sagen Sainsbury’s Supermarkets mod Mastercard Incorporatd and Others (2016) CAT 11, præmis 363(20)-(22).
(
32
) – Ibidem, præmis 363(23).
(
33
) – Det fremgår af de dokumenter, der er blevet forelagt for Domstolen, at dette var tilfældet her, for så vidt som anklagemyndigheden ikke har rejst tiltale mod moderselskabet, »da der ikke var noget grundlag herfor«, og datterselskabet (ILVA) »driver selvstændig detailvirksomhed, og […] der […] ikke er tale om, at moderselskabet har oprettet et datterselskab med det ene formål at henføre koncernens databehandling hertil«. Jf. præmis 5 og 21 i forelæggelsesafgørelsen.
(
34
) – I dom af 5.9.2019, Den Europæiske Union mod Guardian Europe og Guardian Europe mod Den Europæiske Union (C-447/17 P og C-479/17 P, EU:C:2019:672, præmis 105 og 106), fastslog Domstolen, at begrebet »virksomhed« som omhandlet i teorien om »økonomisk enhed« anvendes specifikt med henblik på gennemførelsen af de relevante bestemmelser i EU-konkurrenceretten, herunder navnlig med henblik på udpegelsen af ophavsmanden til en tilsidesættelse af artikel 101 TEUF og 102 TEUF. Dette begreb finder derimod ikke anvendelse i forbindelse med et erstatningssøgsmål i henhold til artikel 340, stk. 2, TEUF. Et sådant søgsmål er et søgsmål i henhold til almindelige retsregler, der er reguleret af de generelle procedureregler, som i det foreliggende tilfælde er underlagt selskabsretten og er uafhængige af logikken med hensyn til fordeling af ansvaret i EU-konkurrenceretten.
(
35
) – Dom af 17.6.2010, Lafarge mod Kommissionen (C-413/08 P, EU:C:2010:346, præmis 102 og den deri nævnte retspraksis). Jf. også fodnote 29 til dette forslag til afgørelse.
(
36
) – Dvs., at man søger at finde en balance mellem bøden og den særlige situation, som den, der er ophavsmand til en overtrædelse, befinder sig i.
(
37
) – EDPB er et uafhængigt EU-organ med status som juridisk person, der har til formål at sikre en konsekvent anvendelse af databeskyttelsesforordningen og fremme samarbejdet mellem Den Europæiske Unions databeskyttelsesmyndigheder.
(
38
) – Retningslinjer 04/2022 om beregning af administrative bøder i henhold til databeskyttelsesforordningen, udgave 2.1, vedtaget den 24.5.2023, punkt 48.
(
39
) – Det fremgår af forelæggelsesafgørelsen i den foreliggende sag (s. 3), at »[d]et følger af anklageprincippet i [national lovgivning], at retten ikke kan domfælde for noget forhold, der ikke omfattes af tiltalen. Det vil stride mod princippet i denne bestemmelse at tillægge omstændigheder, der er knyttet til et andet retssubjekt, imod hvilket tiltale er undladt, betydning ved strafudmålingen i en skærpende retning«.
(
40
) – Mens det i den nationale bødevejledning bemærkes, at »hvis den dataansvarlige er et datterselskab i en koncern, bør det undersøges, hvorvidt der tillige kan gøres et strafferetligt ansvar gældende over for moderselskabet«. Jf. Bødevejledning – Udmåling af bøder til virksomheder, januar 2021, s. 3.
(
41
) – I den sag, der gav anledning til Deutsche Wohnen-dommen, vedrørte overtrædelserne faktisk hele den koncern, som det pågældende selskab var en del af. Se de faktiske forskelle mellem disse to sager, navnlig henset til præmis 10-12 i Deutsche Wohnen-dommen.
(
42
) – Jeg minder om, at denne bestemmelse navnlig fastsætter, at »[h]vis en medlemsstats retssystem ikke giver mulighed for at pålægge administrative bøder, kan denne artikel anvendes på en sådan måde, at den kompetente tilsynsmyndighed tager skridt til bøder, og de kompetente nationale domstole pålægger dem, idet det sikres, at disse retsmidler er effektive, og at deres virkning svarer til virkningen af administrative bøder, som pålægges af tilsynsmyndighederne. Bøder skal under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning […]«.
(
43
) – Da denne bestemmelse ikke var relevant for løsningen af denne sag.
(
44
) – Det ser ud til, at de administrative bøder, der pålægges af datatilsynsmyndigheden, i Irland skal bekræftes af en domstol. Se Data Protection Act 2018, navnlig sections 141 til 143. Det ser endvidere ud til, at Slovenien i lyset af en afgørelse fra Vrhovno sodišče (øverste domstol, Slovenien) af 16.3.2021 heller ikke tillader administrative bøder.
(
45
) – Jf. i denne retning dom af 4.10.2018, Link Logistik N&N (C-384/17, EU:C:2018:810, præmis 40 og den deri nævnte retspraksis, »Link Logistik-dommen«).
(
46
) – Ibidem, præmis 42 og den deri nævnte retspraksis.
(
47
) – EUT 2007, C 303, s. 17.
(
48
) – Jf. også Link Logistik-dommen, præmis 43.
(
49
) – Link Logistik-dommen, præmis 45.
(
50
) – Jf. i denne retning dom af 10.11.2022, Zenith Media Communications (C-385/21, EU:C:2022:866, præmis 41).
(
51
) – Jf. f.eks. Menneskerettighedsdomstolen, 4.12.2003, M.C. mod Bulgarien (CE:ECHR:2003:1204JUD003927298).
(
52
) – Jf. f.eks. Menneskerettighedsdomstolen, 16.12.1999, T. mod Det Forenede Kongerige (CE:ECHR:1999:1216JUD002472494, § 97), der citerer Menneskerettighedsdomstolen, 23.9.1998, A. mod Det Forenede Kongerige (CE:ECHR:1998:0923JUD002559994, § 22), og Menneskerettighedsdomstolen, 28.10.1998, Osman mod the United Kingdom (CE:ECHR:1998:1028JUD002345294, § 115).
(
53
) – Jf. f.eks. Menneskerettighedsdomstolen, 27.10.2015, Konstantin Stefanov mod Bulgarien (CE:ECHR:2015:1027JUD003539905, § 55).
(
54
) – Ibidem, §§ 54, 55, 66, 67, 69 og 70. Jf. også Menneskerettighedsdomstolen, 5.7.2001, Phillips mod Det Forenede Kongerige (CE:ECHR:2001:0705JUD004108798, § 35), og Menneskerettighedsdomstolen, 24.6.2021, Imeri mod Kroatien (CE:ECHR:2021:0624JUD007766814, § 71).