62023CC0383
LAILA MEDINA
FŐTANÁCSNOK INDÍTVÁNYA
Az ismertetés napja: 2024. szeptember 12. (
1
)
C‑383/23. sz. ügy
Anklagemyndigheden
kontra
ILVA A/S
(a Vestre Landsret [nyugati fellebbviteli bíróság, Dánia] által benyújtott előzetes döntéshozatal iránti kérelem)
„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – 83. cikk – Közigazgatási bírságok– Közigazgatási bírságokon kívüli bírságok – A »vállalkozás« fogalma – Az EUMSZ 101. cikk és az EUMSZ 102. cikk – Anyavállalat és leányvállalat – A 2016/679 rendelet leányvállalat általi megsértése – A bírság összegének kiszámítása – Azon csoport teljes forgalmának figyelembevétele, amelynek az érintett társaság tagja – Büntetőeljárás”
1.
A Vestre Landsret (nyugati fellebbviteli bíróság, Dánia) által előterjesztett jelen előzetes döntéshozatal iránti kérelem az (EU) 2016/679 rendelet (
2
) 83. cikke (4)–(6) bekezdésének értelmezésére irányul. Jelen kérelmet az Anklagemyndigheden (ügyészség, Dánia) által az ILVA A/S társaság (a továbbiakban ILVA) (
3
) ellen amiatt indított büntetőeljárás keretében nyújtották be, hogy az legalább 350000 korábbi ügyfélre vonatkozó személyes adat adatkezelőjeként nem teljesítette a GDPR 5. cikke (1) bekezdésének e) pontjából, 5. cikkének (2) bekezdéséből és 6. cikkéből eredő kötelezettségeit.
2.
Az ügy arra a kérdésre vonatkozik, hogy úgy kell‑e értelmezni a GDPR 83. cikkének (4)–(6) bekezdésében foglalt „vállalkozás” fogalmat e rendelet (150) preambulumbekezdésének fényében, hogy az megfelel az uniós versenyjog (az EUMSZ 101. cikk és az EUMSZ 102. cikk) szerinti „vállalkozás” fogalmának. Ez felveti a kérdést, hogy bírságnak valamely társasággal szemben a GDPR megsértése miatti kiszabásával összefüggésben annak a gazdasági egységnek (vagy csoportnak) a teljes éves forgalmát kell‑e figyelembe venni, amelynek a jogsértő társaság tagja, nem pedig csak magának a társaságnak a teljes éves forgalmát.
3.
A jelen ügy sajátossága az, hogy az alapügyben a bírságot nem a felügyeleti jogkörében eljáró nemzeti adatvédelmi hatóság szabta ki, hanem bíróság büntetőeljárás keretében. Az uniós jogalkotó ugyanis e tekintetben külön rendelkezést illesztett a GDPR‑ba, amely különösen Dániára alkalmazandó.
I. Jogi háttér
A.
Az európai uniós jog
4.
A GDPR (150) és (151) preambulumbekezdése értelmében:
„(150)
Az e rendelet megsértése esetén alkalmazott közigazgatási szankciók szigorítása és harmonizálása érdekében minden felügyeleti hatóság hatáskörrel rendelkezik a közigazgatási bírság kiszabására. E rendeletben kell meghatározni a jogsértéseket, valamint a kapcsolódó közigazgatási bírságok összegének felső határát és azok megállapításának szempontjait; a közigazgatási bírságot az egyes esetekben az illetékes felügyeleti hatóság állapítja meg a konkrét helyzet valamennyi releváns körülményét figyelembe véve, és kellő figyelmet fordítva különösen a jogsértés természetére, súlyosságára és időtartamára, továbbá a jogsértés következményeire, valamint az e rendelet szerinti kötelezettségek teljesítésének biztosítása és a jogsértés következményeinek megelőzése vagy enyhítése érdekében tett intézkedésekre. Ha a közigazgatási bírságokat vállalkozásokra szabják ki, akkor a vállalkozás fogalmát e célból az EUMSZ 101. és 102. cikkében meghatározott vállalkozásokra vonatkozó szabályoknak megfelelően kell értelmezni. […]
(151)
Dánia és Észtország jogrendszere nem teszi lehetővé az e rendeletben meghatározott közigazgatási bírságok kiszabását. A közigazgatási bírságokra vonatkozó szabályok Dániában oly módon alkalmazhatók, hogy a bírságot az illetékes nemzeti bíróságok büntetőjogi szankcióként róják ki, Észtországban pedig a felügyeleti hatóság rója ki a bírságot fegyelmi eljárás keretében, feltéve hogy a szabályok ilyen fajta alkalmazása ezekben a tagállamokban a felügyeleti hatóságok által kiszabott közigazgatási bírságokkal azonos joghatással járnak. Ezért az illetékes nemzeti bíróságok figyelembe veszik a bírság kiszabását kezdeményező felügyeleti hatóság ajánlását. A kiszabott bírságoknak minden esetben hatékonynak, arányosnak és visszatartó erejűnek kell lenniük.”
5.
A GDPR‑nak „A közigazgatási bírságok kiszabására vonatkozó általános feltételek” című 83. cikke a következőket írja elő:
„(1)   Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.
(2)   A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van‑e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:
[…]
(3)   Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében – szándékosan vagy gondatlanságból – e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget.
(4)   Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 10000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%‑át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni:
[…]
(5)   Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%‑át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:
[…]
(6)   A felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának be nem tartása – az e cikk (2) bekezdésével összhangban – legfeljebb 20000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%‑át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni.
[…]
(8)   A felügyeleti hatóság e cikk szerinti hatásköreit megfelelő, az uniós és a tagállami joggal összhangban álló eljárási garanciák – ideértve a hatékony jogorvoslat lehetőségét és a tisztességes eljárást – biztosításával gyakorolja.
[…]”
B.
A nemzeti jog
6.
Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (a személyes adatok kezelése tekintetében történő védelemre és az ilyen adatok szabad áramlására vonatkozó szabályozás kiegészítéséről szóló, 2018. május 23‑i 502. sz. törvény) 41. cikke a következőképpen rendelkezik:
„[(1) bekezdés] Kivéve, ha más jogszabály alapján súlyosabb büntetés igazolt, pénzbüntetéssel vagy hat hónapig terjedő szabadságvesztéssel büntetendő, aki megsérti a következőkre vonatkozó jogszabályokat:
[…]
(4)
az adatkezelés [GDPR] 5–7. és 9. cikkében foglalt elvei, ideértve a hozzájárulás feltételeit;
[…]
(3) bekezdés. Az (1) és (2) bekezdés szerinti büntetés kiszabásakor a [GDPR] 83. cikkének (2) bekezdésében foglaltakat kell alkalmazni.
[…]
(6) bekezdés. A társaságok stb. (jogi személyek) büntetőjogi felelőssége a büntető törvénykönyv 5. fejezetében foglalt szabályok szerint állapítható meg. […]”
II. Az alapeljárásbeli jogvita alapjául szolgáló tényállás és az előzetes döntéshozatalra előterjesztett kérdések
7.
Az ILVA‑nak a dán bíróságok előtt felrótták, hogy a 2018. május és 2019. január közötti időszakban korábbi ügyfeleire vonatkozó személyes adatok megőrzésével kapcsolatban nem teljesítette a GDPR 5. cikke (1) bekezdésének e) pontja, 5. cikkének (2) bekezdése és 6. cikke szerinti adatkezelői kötelezettségeit.
8.
Az ILVA bútoráruházláncot működtet, és a Lars Larsen csoport (a továbbiakban: a csoport) tagja. A csoport teljes forgalma a 2016/2017‑es pénzügyi évben 6,57 milliárd dán korona (DKK) (mintegy 881 millió euró) volt. E forgalomból az ILVA leányvállalat forgalma 1,8 milliárd DKK‑t (mintegy 241 millió eurót) tett ki.
9.
A Datatilsynet (adatvédelmi ügynökség, Dánia, amely a dán adatvédelmi hatóság vagy a GDPR szerinti „felügyeleti hatóság”) ajánlása alapján az ügyész 1,5 millió DKK (mintegy 201000 euró) bírság kiszabását kérte az ILVA‑val szemben. Az e bírság összegének kiszámítására szolgáló, a forgalomhoz kapcsolódó keret nem az ILVA forgalmán, hanem az egész csoport teljes forgalmán alapul.
10.
2021. február 12‑i ítéletével a Retten i Aarhus (aarhusi bíróság, Dánia) kimondta, hogy az ILVA elkövette a neki felrótt jogsértést, azonban úgy határozott, hogy az ügyész álláspontjával szemben gondatlanságból járt el. E bíróság az ILVA‑t 100000 DKK (mintegy 13400 euró) bírság megfizetésére kötelezte. Ezen túlmenően, mivel csak az ILVA ellen, nem pedig az egész csoport ellen emeltek vádat, e bíróság szerint a bírság összegének kiszámításához nem kellett figyelembe venni e csoport forgalmát. A bíróság rámutatott arra is, hogy az ILVA önállóan folytatott kiskereskedelmi tevékenységet, és hogy nem arról volt szó, hogy a csoport kizárólag azzal a céllal hozta létre ezt a leányvállalatot, hogy a csoport adatkezelését e vállalatra ruházza át.
11.
Az ügyész fellebbezést nyújtott be ezen ítélet ellen a Vestre Landsrethez (nyugati fellebbviteli bíróság), a kérdést előterjesztő bírósághoz. E bíróság azt kívánja megtudni, hogy úgy kell‑e értelmezni a GDPR 83. cikkének (4)–(6) bekezdésében foglalt „vállalkozás” fogalmát, hogy a GDPR valamely társaság általi megsértése esetén kiszabott bírság megállapításához figyelembe kell venni annak a csoportnak a forgalmát, amelynek az érintett társaság tagja.
12.
Az ügyész szerint ez a helyzet áll fenn. A felperes azt állítja, hogy a GDPR (150) preambulumbekezdéséből következik, hogy e fogalmat az EUMSZ 101. cikkel és az EUMSZ 102. cikkel összhangban kell értelmezni.
13.
Az ILVA ezzel szemben azt állítja, hogy a GDPR vállalkozás általi megsértése miatt kiszabott bírság megállapításakor nem kell figyelembe venni annak a csoportnak a teljes forgalmát, amelynek a társaság tagja. Ebben a konkrét esetben csak a leányvállalatnak minősülő ILVA‑val szemben emeltek vádat, az anyavállalattal szemben nem.
14.
A kérdést előterjesztő bíróság úgy véli, hogy az e kérdésre adott válasz nem következik egyértelműen a GDPR‑ból.
15.
E körülmények között a Vestre Landsret (nyugati fellebbviteli bíróság, Dánia) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdéseket terjeszti a Bíróság elé:
„1)
Úgy kell‑e értelmezni [a GDPR] 83. cikkének (4)–(6) bekezdésében foglalt »vállalkozás« fogalmát, mint az e rendelet (150) preambulumbekezdésével és [a Bíróságnak] az uniós versenyjoggal kapcsolatos ítélkezési gyakorlatával összefüggésben értelmezett EUMSZ 101. és EUMSZ 102. cikk értelmében vett vállalkozásét, és így a »vállalkozás« fogalma valamennyi jogalanyt magában foglalja, amely gazdasági tevékenységet folytat, a jogalany jogállásától és finanszírozásának módjától függetlenül?
2)
Amennyiben az első kérdésre adott válasz igenlő, úgy kell‑e értelmezni [a GDPR] 83. cikkének (4)–(6) bekezdését, hogy a bírság vállalkozással szembeni kiszabásakor annak a gazdasági egységnek a teljes éves világpiaci forgalmát kell figyelembe venni, amelynek a vállalkozás tagja, vagy csak magának a vállalkozásnak a teljes éves világpiaci forgalmát?”
III. A Bíróság előtti eljárás
16.
Írásbeli észrevételeket az ILVA és az Európai Bizottság terjesztett elő. A 2024. június 19‑én tartott tárgyaláson mindkét fél képviseltette magát.
IV. Értékelés
A.
Bevezetés
17.
A GDPR jelen ügyben releváns és különösen Dániára alkalmazandó konkrét rendelkezéseinek (
4
) hátterében az áll, hogy az adatvédelmi ügynökség az adatvédelmi jogszabályok megsértése miatt főszabály szerint nem szabhat ki közigazgatási bírságot. Az adatvédelmi ügynökségnek ehelyett – ha azt szükségesnek tartja – feljelentést kell tennie. (
5
) A rendőrség ezután nyomozást folytat, és megállapítja, hogy indokolt‑e a hivatalos vádemelés. Ha igen, az ügyet a bíróságok elé utalják, amelyek elbírálják az ügyet, és meghatározzák a bírság összegét.
B.
Az előzetes döntéshozatalra előterjesztett kérdésekről
18.
Véleményem szerint a két kérdést együttesen kell vizsgálni. E kérdésekkel a kérdést előterjesztő bíróság lényegében arra keresi a választ, hogy úgy kell‑e értelmezni a GDPR 83. cikkének (4)–(6) bekezdésében foglalt „vállalkozás” fogalmát e rendelet (150) preambulumbekezdésének fényében, hogy az megfelel az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett „vállalkozás” fogalmának. Ez felveti azt a kérdést, hogy bírságnak a GDPR társaság általi megsértése miatti kiszabásával összefüggésben annak az egész vállalkozásnak (gazdasági egységnek vagy csoportnak, jelen ügyben a Lars Larsen csoportnak) a teljes éves forgalmát (amely mintegy 881 millió euró) kell‑e figyelembe venni, amelynek a jogsértő társaság tagja, (
6
) nem pedig csak magának a társaságnak (az ILVA‑nak) a teljes éves forgalmát (amely mintegy 241 millió euró).
1. A Deutsche Wohnen ítélet
19.
A GDPR 83. cikke jogalapot biztosít a bírságok e rendelet megsértése esetén történő kiszabására. A GDPR nem végrehajtás céljából tartalmazza a „vállalkozás” fogalmának meghatározását, azonban e rendelet (150) preambulumbekezdése kimondja, hogy e fogalom értelmezéséhez az uniós versenyjog elveit kell alkalmazni. (
7
)
20.
A Bíróságnak a közelmúltban volt alkalma értelmezni a GDPR 83. cikkének egyes (de nem valamennyi) bekezdését, és foglalkozni egyes, a jelen ügyben előzetes döntéshozatalra előterjesztett kérdésekhez kapcsolódó problémákkal.
21.
A Deutsche Wohnen ítéletében (
8
) a Bíróság különösen azt állapította meg, hogy „a GDPR 83. cikkének (4)–(6) bekezdéséből – amelyek az e bekezdésekben felsorolt jogsértések miatt kiszabott közigazgatási bírságok kiszámítására vonatkoznak – kitűnik, hogy abban az esetben, ha a közigazgatási bírság címzettje az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett vállalkozásnak minősül, vagy ilyen vállalkozás részét képezi, a közigazgatási bírság legmagasabb összegét az érintett vállalkozás előző pénzügyi évben elért teljes éves világpiaci forgalmának százalékos aránya alapján kell kiszámítani”.
22.
A Bíróság egyértelművé teszi, hogy a közigazgatási bírság maximális összege a „vállalkozás” teljes éves világpiaci forgalmán alapul, (
9
) amely fogalmat az uniós versenyjoggal (az EUMSZ 101. cikk és az EUMSZ 102. cikk) összhangban kell értelmezni. A Bíróság tehát megállapítja, hogy az uniós jogalkotó a GDPR szerinti bírságok maximális összegének meghatározásakor hidat igyekezett képezni a GDPR szabályai és az uniós versenyjogi szabályok között.
23.
E tekintetben GDPR 83. cikkének (4)–(6) bekezdése valóban hasonlít az 1/2003/EK rendelet (
10
) 23. cikkének (2) bekezdésére annyiban, amennyiben mindkét rendelkezés a vonatkozó rendeletek szerinti bírságok jogszabályi felső határát állapítja meg.
24.
A Bíróság továbbfejlesztette érvelését, és megvizsgálta a közigazgatási bírság összegének meghatározására alkalmazandó feltételeket. A Bíróság a Deutsche Wohnen ítéletben (58. pont) megállapította, hogy „csak az olyan közigazgatási bírság felelhet meg a GDPR 83. cikkének (1) bekezdésében rögzített három feltételnek – amelyek szerint a bírságnak egyszerre kell hatékonynak, arányosnak és visszatartó erejűnek lennie –, amelynek összegét a címzettjének tényleges gazdasági képessége vagy anyagi kapacitása alapján határozzák meg, vagyis amelyet a felügyeleti hatóság akként szabott ki, hogy annak összegét illetően a gazdasági egységnek […] [az] ítélkezési gyakorlat[ (
11
)] értelmében vett fogalmára támaszkodott”. Jóllehet a Bíróság e tekintetben „a [bírság] címzettjére” hivatkozott, ezáltal hangsúlyozva a bírság és a konkrétan a GDPR megsértésével megvádolt személy közötti kapcsolatot, a Bíróság később visszatért a „vállalkozás” („gazdasági egység”) uniós versenyjog szerinti fogalmához.
25.
Ezenfelül a Bíróság ezen ítélet 59. pontjában kimondta, hogy „ha a felügyeleti hatóság a GDPR 58. cikkének (2) bekezdése alapján őt megillető hatáskörök alapján úgy határoz, hogy az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett vállalkozásnak minősülő vagy ilyen vállalkozás részét képező adatkezelővel szemben az említett rendelet 83. cikke alapján közigazgatási bírságot szab ki, e hatóság ez utóbbi rendelkezés értelmében – összefüggésben értelmezve azt ugyanezen rendelet (150) preambulumbekezdésével – köteles arra, hogy az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett »vállalkozás« fogalmára támaszkodjon, amikor kiszámítja az e 83. cikk (4)–(6) bekezdésében említett jogsértésekért kiszabott közigazgatási bírságokat”. (
12
)
26.
Arra a következtetésre jutok, hogy a Deutsche Wohnen ítéletből az következik, hogy amennyiben a GDPR‑t olyan adatkezelő vagy adatfeldolgozó sérti meg, amely vállalkozás (vagy annak tagja), a bírság maximális összegének megállapításakor a „vállalkozás” teljes éves világpiaci forgalmára való hivatkozást az EUMSZ 101. cikkel és az EUMSZ 102. cikkel összhangban kell értelmezni. Ugyanakkor ezáltal nem csak az ilyen adatkezelővel vagy adatfeldolgozóval szemben potenciálisan kiszabható bírság maximális összegével kapcsolatos kérdés válik egyértelművé. Ez azt is jelenti, hogy a „vállalkozás” és a „gazdasági egység” fogalmával kapcsolatos rendkívül árnyalt (és nagyrészt konkrét ügyekre vonatkozó) ítélkezési gyakorlat bizonyos mértékben a GDPR konkrét megsértése miatt kiszabott tényleges bírság meghatározásának feltételei szempontjából is relevánssá válik.
27.
A következő pontokban elemezni fogom a Deutsche Wohnen ügyben kidolgozott ítélkezési gyakorlatnak a jelen ügy konkrét összefüggésében kifejtett hatását annak érdekében, hogy javaslatot tegyek egy olyan keretrendszerre, amely a kérdést előterjesztő bíróság számára iránymutatásul szolgálhat az ILVA‑val szembeni bírság megállapításakor.
2. A Deutsche Wohnen ítéletet követő elemzés 1. lépése: általános elemzés a bírság maximális összegének megállapításához
28.
Amint azt a fenti 25. és 26. pontban kifejtettem, a GDPR 83. cikkének az e rendelet (150) preambulumbekezdésével összefüggésben értelmezett szövegéből és a Deutsche Wohnen ügyben kidolgozott ítélkezési gyakorlatból az következik, hogy azokban az esetekben, amikor az adatkezelő vagy az adatfeldolgozó az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett „vállalkozás” (annak tagja), a bírság maximális összegének meghatározásához e vállalkozás teljes forgalmát kell figyelembe venni.
29.
A Bíróság versenyjogi ítélkezési gyakorlata egyértelművé tette, hogy a „vállalkozás” fogalma „minden gazdasági tevékenységet folytató jogalanyra kiterjed, függetlenül azok jogállásától és finanszírozási módjuktól”. (
13
)
30.
A Bíróság ítélkezési gyakorlatából az is következik, hogy az EUMSZ 101. cikkben és az EUMSZ 102. cikkben szereplő „vállalkozás” fogalma egyetlen gazdasági egységet is jelenthet, még akkor is, ha e gazdasági egység több természetes vagy jogi személyből áll. Az, hogy több jogalany alkot‑e egy ilyen egységet, jelentős mértékben attól a kérdéstől függ, hogy az egyes jogalanyok szabadon hozhatnak‑e döntéseket, vagy egy vezető jogalany, nevezetesen az anyavállalat meghatározó befolyást gyakorol a többiekre. Ennek megállapításának szempontjai az anyavállalatot a leányvállalathoz fűző gazdasági, jogi és szervezeti kapcsolatokon, például a részesedés mértékén, a személyi vagy szervezeti kapcsolatokon, az utasításokon és a társasági szerződések meglétén alapulnak. (
14
)
31.
Az ítélkezési gyakorlat azt is egyértelművé teszi, hogy az anyavállalatnak a leányvállalat magatartására vonatkozó meghatározó befolyás tényleges gyakorlására egybevágó elemek csoportjából is lehet következtetni, még abban az esetben is, ha – elszigetelten vizsgálva – ezen elemek egyike sem elegendő az ilyen befolyás fennállásának bizonyításához. (
15
) Az uniós bíróságok e tekintetben többek között az anyavállalatnak a leányvállalat különböző ügyvezető testületei tagjainak kinevezésére vonatkozó jogkörére, továbbá a részvényesi közgyűlés összehívására vonatkozó jogkörére, valamint a tisztségviselők, illetve az egész ügyvezető testület visszahívására irányuló javaslattételi jogkörére hivatkoztak. (
16
)
32.
Az állandó ítélkezési gyakorlatból kitűnik, hogy abban a különös esetben, ha az anyavállalat a versenyszabályokat megsértő leányvállalatában közvetlenül vagy közvetve kizárólagos vagy közel kizárólagos tőkerészesedéssel rendelkezik, egyrészről ezen anyavállalat meghatározó befolyást gyakorolhat e leányvállalat magatartására, másrészről pedig fennáll azon megdönthető vélelem, amely szerint az említett anyavállalat ténylegesen ilyen befolyást gyakorol. (
17
)
33.
Az előzetes döntéshozatalra utaló határozat 2. pontja szerint az ILVA a Lars Larsen Group tagja. Amennyiben a kérdést előterjesztő bíróság megállapítja, hogy e csoport anyavállalata meghatározó befolyást gyakorol az ILVA felett, akkor a GDPR 83. cikkének (5) bekezdése értelmében vett „vállalkozás” a következőkből állna: i. e csoport anyavállalata; ii. az ILVA; és iii. bármely más olyan társaság, amely felett az anyavállalat szintén meghatározó befolyást gyakorol. Ez utóbbi kategóriába esetlegesen a Lars Larsen csoport többi társasága is beletartozik.
34.
A „forgalmat” a GDPR 83. cikkének (4)–(6) bekezdése kifejezetten a társaságokra kiszabható bírság maximális összegének kiszámításával összefüggésben említi. Ez a maximális összeg a nagyon nagy társaságokra vonatkozik, mivel ez a határ nem alkalmazható, ha a bírság alacsonyabb, mint a 83. cikk e három bekezdésében említett legmagasabb összeg, azaz 10 millió euró, illetve 20 millió euró. A forgalom alapján megállapított felső határ tehát csak azon társaságok esetében lényeges, amelyeknek a teljes világpiaci forgalma meghaladja az 500 millió eurót. (
18
)
35.
Ebből következik, hogy amennyiben a kérdést előterjesztő bíróság megállapítja, hogy a Lars Larsen csoport anyavállalata meghatározó befolyást gyakorol az ILVA felett, akkor absztrakt módon az alapügyben kiszabandó bírság maximális összegét az érintett vállalkozás, azaz a Lars Larsen csoport (amelynek az ILVA tagja) előző üzleti évben elért teljes éves világpiaci forgalmának százalékos aránya alapján kell kiszámítani.
3. A Deutsche Wohnen ítéletet követő elemzés 2. lépése: elemzés az alapeljárásban elkövetett jogsértésekért kiszabott tényleges bírság megállapításához
36.
A bírságnak az uniós jogalkotó által a GDPR 83. cikkének (4)–(6) bekezdésében szabályozott maximális összege megállapításának kérdése nem tévesztendő össze és nem keverendő össze a felügyeleti hatóság (
19
) későbbi feladatával, azaz a GDPR konkrét megsértése(i) miatt kiszabandó tényleges bírság meghatározásával.
37.
E célból először is meg kell jegyezni, hogy a GDPR 83. cikkének (1) bekezdése három kulcsfontosságú feltételt határoz meg, (
20
) amelyeket a felügyeleti hatóságnak be kell tartania. E feltételek mindegyikéhez a szóban forgó jogsértés valamennyi elemének és a kiszabandó tényleges és megfelelő bírságnak az egyedi mérlegelése szükséges. A 83. cikk (2) bekezdése továbbá arra kötelezi ezt a hatóságot, hogy számos követelménynek feleljen meg annak érdekében, hogy eldönthesse, „hogy szükség van‑e közigazgatási bírság kiszabására, illetve [hogy mi] a [tényleges] közigazgatási bírság [megfelelő összege]”. Ezért a GDPR 83. cikke (4)–(6) bekezdése alkalmazásának az egyedi ügyben kiszabott tényleges bírság megállapításával összefüggésben történő teljes körű megértéséhez e bekezdéseket e rendelet 83. cikkének (1) és (2) bekezdésével összefüggésben kell értelmezni. Ez utóbbi, ami még fontosabb, felsorolja azokat a konkrét tényezőket, amelyeket a felügyeleti hatóságnak figyelembe kell vennie, amikor adott ügyben meghatározza a bírság tényleges összegét.
38.
E cikk (2) bekezdésének szövege maga is megköveteli, hogy „minden egyes eset” több körülményét is kellőképpen figyelembe vegyék, ugyanakkor a felügyeleti hatóságra bízza azt, hogy azonosítsa az előtte folyamatban lévő ügyben releváns konkrét körülményeket, és megállapítsa a tényleges bírság összegének meghatározása szempontjából fennálló relevanciájukat. (
21
)
39.
A GDPR 83. cikkének (4)–(6) bekezdésével ellentétben (lásd a jelen indítvány 34. pontját), e rendelet 83. cikkének (2) bekezdése, vagy ami azt illeti, 83. cikkének (1) vagy (3) bekezdése (
22
) sem hivatkozik a vállalkozás forgalmára. Ebből következik, hogy az uniós jogalkotó úgy döntött, hogy a „forgalmat” nem veszi figyelembe a tényleges bírságot meghatározó konkrét tényezőként. Ehelyett a 83. cikk (2) bekezdése felsorolja azokat az egyéb tényezőket, (
23
) amelyek a jogsértéssel vádolt adatkezelő vagy adatfeldolgozó magatartását jellemzik, annak biztosítása érdekében, hogy minden egyes jogsértést az összes releváns egyedi körülmény alapján értékeljenek. Véleményem szerint a fentiekből arra lehet következtetni, hogy az uniós jogalkotó különbséget kívánt tenni a bírság maximális összege meghatározásának alapjául szolgáló tényezők (1. lépés) és a tényleges bírság megállapításakor a felügyeleti hatóságra nézve kötelező követelmények listája (2. lépés) között.
40.
Ezzel kapcsolatban rámutatok arra, hogy a Bíróság hangsúlyozta, „a szankció, még akkor is, ha nem büntető jellegű, csak akkor szabható ki, ha világos és egyértelmű jogalapon nyugszik”. (
24
) Még inkább ez a helyzet a jelen ügyhöz hasonló büntetőjogi eljárásokban. A Bíróság ítélkezési gyakorlata „a törvényesség elv[ére hivatkozik, amely] megköveteli, hogy a törvény egyértelműen meghatározza a jogsértéseket és az azokat megtorló büntetéseket […] [, valamint] az Emberi Jogok Európai Bíróságának [(a továbbiakban: EJEB)] ítélkezési gyakorlata szerint a törvény egyértelműségének értékelésére vonatkozó kritériumokra”. (
25
)
41.
E tekintetben a Bizottság lényegében azzal érvel, hogy a jelen ügyben a GDPR‑ból az következik, hogy nemcsak a bírság maximális összegének kell azon vállalkozás forgalmán alapulnia, amelynek a társaság tagja, hanem a tényleges bírság kiszámításának is. A jelen indítvány 37–40. pontjában kifejtett megfontolások azonban nem teszik lehetővé azon következtetés levonását, hogy a GDPR 83. cikkének (1)–(6) bekezdését úgy kell értelmezni, hogy a bírság maximális összegének megállapítására (1. lépés) vonatkozó szabályokat kell a tényleges bírság megállapításakor is (2. lépés) fő vagy egyetlen hivatkozásként használni.
42.
Másodszor, a két jogterület közötti híd képzéséből eredő tovagyűrűző hatás részeként a bírság maximális összege (1. lépés) és a tényleges bírság (2. lépés) megkülönböztetésének szükségessége az uniós versenyjogból is levezethető. Az uniós versenyjogban ugyanis a bírság maximális összegének kiszámítását illetően a Bizottság – a GDPR 83. cikkéhez hasonlóan – a forgalmat használja a bírság maximális összegének kiszámításához (amelyet jogsértésenként a vállalkozás teljes forgalmának 10%‑ában határozták meg). Hangsúlyozni kell azonban, hogy magát az alapbírságot nem a forgalom alapján határozzák meg. (
26
)
43.
Ehelyett az alapbírságot lényegében úgy állapítják meg, hogy (a versenyjogi jogsértés által közvetlenül vagy közvetve érintett) szóban forgó eladások értékének százalékos arányát megszorozzák az időtartammal (évek vagy egy évnél rövidebb időszakok), és ahhoz hozzáadják a releváns eladások értékének 15–25%‑át (a kartellek esetében további elrettentő hatásként). Ezt követően ezt az alapbírságot súlyosbító tényezők alapján növelik, illetve enyhítő tényezők alapján csökkentik. Erre az összegre ezt követően a forgalom 10%‑ában meghatározott általános felső határ vonatkozik (adott esetben további lehetőségként a bírság engedékenység, egyezség és/vagy a fizetésképtelenség alapján csökkenthető). Ez egyértelműen azt mutatja, hogy a tényleges bírság megállapításakor a jogsértést közvetlenül jellemző tényezők (például a szóban forgó eladások, a jogsértés időtartama és az ügyre jellemző sajátos körülmények), nem pedig a teljes éves világpiaci forgalom kap központi szerepet.
44.
Amint arra a jogtudományban már rámutattak, „a Bizottság által az EUMSZ 101. cikk [és] az EUMSZ 102. cikk tekintetében alkalmazott bírságolási módszertan nem vonatkoztatható közvetlenül a GDPR‑ra, mivel az uniós versenyjogi bírságok inkább a [versenyellenes] magatartásnak az érintett piacra gyakorolt hatását igyekeznek figyelembe venni, minthogy önmagában a forgalmat vennék alapul. Például a kartellek tekintetében a bírságok a »kartell tárgyát képező termékkel« kapcsolatos eladások értékén, nem pedig a teljes forgalmon alapulnak”. (
27
)
45.
A Bíróság ítélkezési gyakorlata ugyanis megerősíti, hogy a teljes forgalomnak a szóban forgó jogsértéssel érintett termékek eladásából származó része (azaz az „eladások értéke”) tükrözi a legjobban e jogsértés gazdasági jelentőségét. (
28
) Ezzel szemben a GDPR szerinti „forgalom” fogalma a vállalkozás gazdasági jelentőségét kívánja tükrözni. (
29
) E két megközelítés nem keverhető össze, mivel különböző célokat szolgál: az előbbi a jogsértés súlyosságának, míg az utóbbi a vállalkozás gazdasági jelentőségének értékelésére irányul.
46.
A fenti megfontolások és a Bíróság (jelen indítvány 40. pontjában hivatkozott) ítélkezési gyakorlata alapján tehát azt a következtetést vonom le, hogy a törvényesség elvének meg kell határoznia az uniós versenyjogi ítélkezési gyakorlatnak a tényleges bírságok GDPR megsértése esetén történő kiszabására gyakorolt hatásának kereteit. Különösen azt kell biztosítani, hogy a GDPR szerinti tényleges bírságokat kizárólag a jogsértés elkövetőjének cselekményei alapján számítsák ki, és vegyék teljes mértékben figyelembe a konkrét jogsértés valamennyi jellemzőjét. Ezért a „forgalom” és a „vállalkozás” fogalmának a bírság maximális összegének megállapításakor adott értelmezése nem ültethető át automatikusan a tényleges bírság kiszámítására.
47.
Ahhoz, hogy a bírság megfeleljen a GDPR célkitűzésének – e rendelet által előírt szabályok betartatásának erősítése –, és a Bíróság fentiekben ismertetett ítélkezési gyakorlatára tekintettel a tényleges bírság összegének megállapítása során a „vállalkozás” és a „forgalom” fogalma értelmezésének az alábbi követelményeknek kell megfelelnie. A tényleges bírság megállapítása során a felügyeleti hatóságnak először is a GDPR 83. cikkének (2) bekezdésében előírtaknak megfelelően az adott eset összes egyedi körülményét kell alapul vennie, beleértve az uniós versenyjogi ítélkezési gyakorlat által meghatározott „vállalkozáson” belüli kapcsolatot. Másodszor, az összes lényeges körülmény mérlegelésének eredményeként a tényleges bírságnak hatékonynak, arányosnak és visszatartó erejűnek kell lennie. Végül, ami még mindig fontosabb, adott esetben tiszteletben kell tartani az ügy szempontjából lényeges büntetőjogi szempontokat.
48.
E követelmények teljesítése érdekében a következő tényezőkre szeretnék emlékeztetni.
49.
Amint azt Pitruzzella főtanácsnok megjegyezte, (
30
) az uniós jogban a „vállalkozás” fogalma olyan jelentéssel és terjedelemmel bír, amely azon szabályozást jellemzi, amelybe illeszkedik, és amely az e szabályozás által elérni kívánt különböző célokhoz kapcsolódik. A versenyjogban a „vállalkozás” fogalmának funkcionális jellegét két szempontból kell érteni. Először is, ez a fogalom a végzett tevékenység típusára, nem pedig az e tevékenységet végző személyek jellemzőire helyezi a hangsúlyt. A versenyt a gazdasági tevékenységek alkotják és befolyásolják. Ezért az EUMSZ 101. és EUMSZ 102. cikk általános értelemben utal a „vállalkozásokra”, a jogi szerkezetükre való hivatkozás nélkül. Másodszor, a tevékenység gazdasági jellegűnek – és ennélfogva valamely jogalany vállalkozásnak – való minősítése az uniós versenyjog alkalmazásában a vizsgált környezettől függ. Hasonlóképpen, azon jogalanyok meghatározása, amelyek a vállalkozás hatálya alá tartoznak, a vitatott jogsértés tárgyától függ.
50.
Ezen észrevételek helyesen mutatnak rá arra, hogy az uniós versenyjogban a gazdasági szempontokat kell elsődlegesnek tekinteni, és figyelmen kívül kell hagyni a szóban forgó jogalany jogi szerkezetét. Mindezek kifejtését követően a második szempont ezt a nézetet arra korlátozza, hogy a jogsértésért felelős jogalany vagy személy azonosítása és következésképpen a tényleges bírság magától a vitatott jogsértéstől függ.
51.
Következésképpen a „vállalkozás” fogalmát meghatározó egyik olyan elem, amelyet az alapbírság megállapítása és (a tényleges bírság megállapítása érdekében történő) módosítása során figyelembe kell venni, az, hogy e vállalkozás más társaságai milyen mértékben vesznek részt a GDPR megsértésében. E tekintetben az uniós versenyjoggal kapcsolatos nemzeti ítélkezési gyakorlatban azzal érveltek, hogy „fogalmilag a »vállalkozás« létezésének kérdése és a felelősség »vállalkozáson« belüli különböző társaságok közötti megosztásának kérdése elkülönül egymástól, […] [ (
31
)] [és] adott személy nem felelős ipso facto az [EUMSZ] 101. cikk megsértéséért pusztán amiatt, hogy az uniós jog alapján a jogsértésért felelős vállalkozásnak tagja, amennyiben a szóban forgó személy nem vett részt a jogsértésben, és nem gyakorolt meghatározó befolyást a vállalkozás más, jogsértésben részt vevő tagja(i) érintett piacon tanúsított magatartására […]. [I]lyen körülmények között nem valószínű, hogy a szóban forgó személyt valóban e »vállalkozás« tagjának tekintik.” (
32
)
52.
Véleményem szerint a fenti érvek annak vizsgálata során is lényegesek, hogy a GDPR megsértése miatt kiszabott tényleges bírság meghatározása érdekében mely személyek tartoznak a „vállalkozás” fogalmának hatálya alá. Ez a helyzet többek között akkor, ha a felügyeleti hatóság kifejezetten megállapította, hogy az anyavállalat – az alapügyhöz hasonlóan – nem vett részt adatkezelőként vagy adatfeldolgozóként a szóban forgó jogsértésben. (
33
)
53.
Noha az uniós jogalkotó – korlátozott mértékben – a maximális bírságok megállapítása céljából hidat képzett a két uniós jogterület között, a GDPR szabályai és az uniós versenyszabályok egyértelműen különböző célokat valósítanak meg. A GDPR szabályozási rendszere eltér az uniós versenyszabályokétól, és az adatkezelő (és adatfeldolgozó) személyes adatok jogszerű kezelésért fennálló felelősségének fogalmán alapul. Más szóval, míg az uniós versenyjog a „vállalkozásokra” irányul (a tilalmat a „vállalkozásra” való hivatkozással mondja ki), addig a GDPR az „adatkezelőkre” és az „adatfeldolgozókra” helyezi a hangsúlyt. Emlékeztetek arra is, hogy mivel a „gazdasági egység” elmélete nem választható el az uniós versenyjog tágabb logikájától és tárgyától, a Bíróság korábban elutasította, hogy analógia útján kiterjessze az uniós versenyjog alkalmazását az uniós jog más területeire, például az EUMSZ 340. cikk második bekezdésére alapított, szerződésen kívüli felelősségre. (
34
)
54.
E megfontolásokat szem előtt tartva nyilvánvalóvá válik, hogy a Bíróság miért pontosította és korlátozta egyértelműen az uniós versenyjognak a GDPR végrehajtására (és különösen a GDPR szerinti bírságokra) gyakorolt hatását. A Deutsche Wohnen ítéletben (53. pont) a Bíróság megállapította, hogy a „vállalkozásnak” az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett fogalma „nem befolyásolja azt a kérdést, hogy a GDPR 83. cikke alapján kiszabható‑e közigazgatási bírság a jogi személy adatkezelővel szemben, és ha igen, milyen feltételek mellett, mivel e kérdést e rendelet 58. cikkének (2) bekezdése és 83. cikkének (1)–(6) bekezdése kimerítően szabályozza”. A Bíróság ezt követően rámutatott (54. pont), hogy e fogalom „csak [a GDPR] 83. cikkének [a maximális bírsággal foglalkozó] (4)–(6) bekezdése alapján az adatkezelővel szemben kiszabott közigazgatási bírság összegének meghatározása szempontjából releváns” (kiemelés tőlem). Továbbá, amikor a Bíróság (az 53. pontban) úgy határozott, hogy azt a kérdést, hogy kiszabható‑e közigazgatási bírság, és ha igen, milyen feltételek mellett, „e rendelet 58. cikkének (2) bekezdése és 83. cikkének (1)–(6) bekezdése kimerítően szabályozza” (kiemelés tőlem), azt is pontosította, hogy a tényleges bírság meghatározásakor a 83. cikk (1)–(6) bekezdésének követelményeit teljes egészében alkalmazni kell, és e rendelkezések egyike sem primus inter pares.
55.
Ezért a „vállalkozás”„forgalma” csak egy azon számos elem közül, amelyet figyelembe kell venni az adatkezelő (vagy adatfeldolgozó) felelősségre vonása során és a GDPR szerinti hatékony, arányos és visszatartó erejű bírság kiszabásánál.
56.
Igaz, hogy a Bíróság ítélkezési gyakorlata szerint az uniós versenyjogban bizonyos helyzetekben indokolt lehet a társaság forgalmát – azonban csak mint egy releváns tényezőt a sok között – figyelembe venni a tényleges bírság összegének kiszámításakor (például az alapbírság elrettentés céljából történő megemelése esetén). (
35
)
57.
Ezért véleményem szerint a tényleges bírság megállapításakor lehet hivatkozni az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett „vállalkozás” fogalmára, azonban csak abban az esetben, ha ez kellően indokolt a bírság visszatartó ereje és hatékonysága érdekében. E tekintetben e fogalom használatát minden egyes esetben árnyaltan és egyedileg kell megközelíteni. Konkrétabban, e fogalom kiigazítási mechanizmusként használható az egyedi eset konkrét körülményeinek figyelembevételekor azt követően, hogy a bírságot a GDPR 83. cikkének (2) bekezdésével összhangban megállapították. Ezért a kérdést előterjesztő bíróság feladata annak megállapítása, hogy a jelen ügyben fennállnak‑e olyan körülmények, amelyek igazolnák a bírság ily módon, különösen elrettentés céljából történő megemelését.
58.
A GDPR szerinti bírságok egyéniesítésének kérdésével (
36
) az Európai Adatvédelmi Testület (a továbbiakban: EDPB) is foglalkozott. (
37
) A GDPR szerinti bírságok kiszámításáról szóló, a GDPR 70. cikke (1) bekezdésének k) pontja alapján kidolgozott iránymutatásában (
38
) az EDPB arra törekszik, hogy az Európai Unió egész területén egységesítse a felügyeleti hatóságok GDPR szerinti bírságolási jogkörét. Az EDPB különösen azt állítja, hogy úgy véli, hogy „a további számítás kiindulópontját három elem képezi: a jogsértéseknek [a GDPR] 83. cikkének (4)–(6) bekezdése szerinti jelleg alapján történő kategorizálása, a jogsértés súlyossága […] és a vállalkozás forgalma [a GDPR] 83. cikkének (1) bekezdése szerinti hatékony, visszatartó erejű és arányos bírság kiszabása céljából figyelembe veendő releváns elemként”. Ez az iránymutatás, noha nem kötelező a Bíróságra nézve, azt mutatja, hogy csak az átfogó, az adott eset szempontjából lényeges valamennyi elemre kiterjedő megközelítés biztosíthatja, hogy a bírság megfeleljen az e rendelet 83. cikkében foglalt kulcsfontosságú követelményeknek, különösen annak, hogy a ténylegesen kiszabott bírság hatékony, arányos és visszatartó erejű legyen.
59.
Következésképpen a tényleges bírság összegének meghatározása céljából annak megállapítására kérem a Bíróságot, hogy a „vállalkozás” fogalmának a tényleges bírság GDPR 83. cikke szerinti megállapításával összefüggésben történő alkalmazása során a következő szempontoknak kell jelentőséggel bírniuk. Először is értékelni kell, hogy az anyavállalat gyakorolta‑e döntéshozatali jogkörét az adatkezelő vagy az adatfeldolgozó azon konkrét tevékenységei tekintetében, amelyek a GDPR megsértésének(megsértéseinek) tárgyát képezik. Másodszor, meg kell vizsgálni, hogy a GDPR‑t sértő konkrét adatkezelés az érintett társaságot és/vagy a teljes csoportot érinti‑e. Harmadszor, meg kell állapítani, hogy a csoport egynél több társasága is részt vette‑e a GDPR megsértése(i)ben.
60.
E tekintetben rámutatok arra, hogy az elemek következő, nem kimerítő felsorolása releváns: i. úgy tűnik, hogy a jelen ügyben (
39
) – ellentétben a Deutsche Wohnen ítélet alapjául szolgáló üggyel – a Lars Larsen csoport és/vagy annak anyavállalata nem vett részt a büntetőeljárásban; ii. kizárólag az ILVA ellen emeltek vádat, nem pedig a csoport ellen; (
40
) valamint iii. az alapeljárásban a GDPR megsértése csak az ILVA ügyfeleire és azok adataira korlátozódott, és nem merült fel, hogy a jogsértésre magára a csoport szintjén került volna sor, vagy hogy az ILVA által végzett adatkezelés a csoport többi társaságához kapcsolódott volna. Hangsúlyozni kell, hogy a Deutsche Wohnen ítélet alapjául szolgáló ügyben az „érintett társaság” minden felelősséget magára vállalt az adatkezeléssel kapcsolatban, azaz a csoport többi társaságának adatkezeléséért fennállót is. (
41
)
61.
Ugyanakkor a tényállás elbírálására kizárólagos hatáskörrel rendelkező, kérdést előterjesztő bíróság feladata az e tekintetben szükséges vizsgálatok lefolytatása és ezen elemek mérlegelése, valamint az, hogy az ILVA‑val szemben kiszabott tényleges bírság megfelelő összegének megállapítása során milyen jelentőséget és súlyt kell tulajdonítani ezen elemeknek.
4. Végső észrevételek
62.
Noha a kérdést előterjesztő bíróság e tekintetben nem terjesztett elő kérdéseket, úgy vélem, hogy – annak érdekében, hogy e bíróságnak teljes körű választ lehessen adni – célszerű röviden kitérni a jelen ügy egyes konkrét szempontjaira.
63.
Az alapügyben a 83. cikk (1)–(6) bekezdését különösen a GDPR 83. cikkének (9) bekezdésével (
42
) összefüggésben kell értelmezni; ezzel a kérdéssel a Bíróság a Deutsche Wohnen ítéletében nem foglalkozott. (
43
) Ezért a GDPR 83. cikke szerinti megfelelő tényleges bírság megállapítására vonatkozó szabályozást a jelen ügyben úgy kell értelmezni, hogy az összhangban legyen a büntetőjogi eljárás alapvető garanciáival.
64.
A 83. cikk (9) bekezdése által a jelen ügyre gyakorolt hatás elemzésével összefüggésben a GDPR (151) preambulumbekezdését is figyelembe kell venni, amely szerint „Dánia és Észtország jogrendszere[ (
44
)] nem teszi lehetővé az e rendeletben meghatározott közigazgatási bírságok kiszabását”. A preambulumbekezdés továbbá iránymutatást ad azzal kapcsolatban, hogy a különböző eljárások összeegyeztethetők legyenek a GDPR szerinti szabályozás alapján kiszabott tényleges bírság három kulcsfontosságú feltételével, azaz azzal, hogy „a kiszabott bírságoknak minden esetben hatékonynak, arányosnak és visszatartó erejűnek kell lenniük”. Ezért célszerű röviden foglalkozni az uniós jog által a büntetőeljárásokban kiszabott bírságokra gyakorolt hatással annak biztosítása érdekében, hogy e három feltétel a jelen ügyhöz hasonló konkrét ügyben is teljesüljön.
65.
A tárgyaláson az ILVA egyrészt az Európai Unió Alapjogi Chartája (a továbbiakban: Charta) 41. cikkére hivatkozott. E cikk címe „A megfelelő ügyintézéshez való jog”, és különösen a 41. cikk (2) bekezdésének c) pontja rámutat „az igazgatási szervek azon kötelezettségé[re], hogy döntéseiket indokolják”, az ILVA azonban e tekintetben nem terjesztett elő konkrét érveket.
66.
Másrészt az ILVA a Charta 49. cikkére is hivatkozott. Úgy vélem, hogy a GDPR 83. cikke (1)–(6) bekezdésének értelmezése során figyelembe kell venni a Charta e cikkét, amelynek címe „A bűncselekmények és büntetések törvényességének és arányosságának elvei”, és amely ezért az alapügy szempontjából releváns. A Charta 49. cikkének (3) bekezdése különösen azt mondja ki, hogy „[a] büntetések súlyossága nem lehet aránytalan a bűncselekményhez mérten”.
67.
A Bíróság ítélkezési gyakorlatából ugyanis az következik, hogy az arányosság elve az uniós jog általános elvei közé tartozik, amelyek a tagállamok közös alkotmányos hagyományainak alapját képezik, és amelyeket az uniós jog alkalmazása során a nemzeti hatóságoknak tiszteletben kell tartaniuk. Az arányosság elve megköveteli a tagállamoktól, hogy a kitűzött cél megvalósítására alkalmas intézkedéseket fogadjanak el, amelyek nem lépik túl az elérni kívánt cél megvalósításához szükséges mértéket. (
45
)
68.
Így a szankció súlyosságának meg kell felelnie az adott jogsértés súlyának, mivel e követelmény a Charta 52. cikkének (1) bekezdéséből és a Charta 49. cikkének (3) bekezdésében rögzített, a büntetések arányosságának elvéből is következik. (
46
)
69.
A Chartához fűzött magyarázatokból (
47
) kiderül, hogy mivel a Charta 49. cikkében biztosított jog megfelel az emberi jogok és alapvető szabadságok védelméről szóló, Rómában, 1950. november 4‑én aláírt európai egyezményben (a továbbiakban: EJEE) biztosított jognak is, a Charta 52. cikkének (3) bekezdésével összhangban annak tartalma és terjedelme az EJEE által biztosított jogéval azonos. Így az EJEB‑nek a szankciók arányosságára vonatkozó követelményei a Charta 17. cikkének (1) bekezdése, 51. cikkének (1) bekezdése, 52. cikkének (1) bekezdése és (3) bekezdése együttes rendelkezései alapján alkalmazandók az olyan ügyben, mint amely az alapeljárás tárgya. (
48
)
70.
A Bíróság ítélkezési gyakorlata egyértelművé teszi, hogy az arányosság elve megköveteli egyrészt, hogy a kiszabott szankció megfeleljen a jogsértés súlyának, másrészt hogy a szankció meghatározásakor és a bírság összegének megállapításakor figyelembe vegyék az adott ügy egyedi körülményeit. (
49
) E második elem tekintetében az ítélkezési gyakorlat hangsúlyozza, hogy a kérdést előterjesztő bíróságnak olyan objektív szempontokat kell figyelembe vennie, mint a jogsértés súlyossága és időtartama, valamint az esetleges súlyosbító és enyhítő körülmények, annak biztosítása érdekében, hogy e bírság hatékony, arányos és visszatartó erejű. (
50
)
71.
Másodszor, az EJEB ítélkezési gyakorlata ilyen ügyekben mérlegeli a szóban forgó különböző érdekeket, és figyelembe veszi a kérelmező elítélésének jellegét, súlyosságát és visszatartó erejét. Ez egyértelművé teszi, hogy az államok azon kötelezettsége, hogy a büntetőjogot alkalmazzák, és büntetéseket szabjanak ki (
51
) a közérdek védelme érdekében, (
52
) megteremti az annak biztosítására vonatkozó kötelezettséget, hogy a kiszabott büntetés ne legyen túlzott mértékű.
72.
Az EJEB megállapította, hogy „a megkövetelt egyensúly nem valósul meg, ha az érintettnek önálló és túlzott terhet kell viselnie”; így „a bírságból eredő pénzügyi kötelezettség veszélyeztetheti az e rendelkezés által nyújtott garanciát, ha túlzott terhet ró az érintettre, vagy jelentős mértékben érinti a pénzügyi helyzetét”. (
53
)
73.
Ebből következik, hogy az alapügy sajátos eljárási szempontjai, valamint a büntetőeljárásban kiszabott bírságokkal kapcsolatos uniós jog és EJEB‑ítélkezési gyakorlat megköveteli, hogy a kérdést előterjesztő bíróság a GDPR megsértése miatt kiszabott tényleges bírság megállapításakor vegye figyelembe az ügy valamennyi lényeges elemét. A megvádolt személy eljárási garanciái, valamint a Bíróság és az EJEB ítélkezési gyakorlata által értelmezett arányosság elve megköveteli, hogy a szankciók megfeleljenek a bűncselekmény súlyosságának, és hogy vegyék figyelembe a konkrét ügy egyedi körülményeit.
74.
E követelmények fényében a kérdést előterjesztő bíróságnak biztosítania kell, hogy a tényleges bírság megállapítása során tartsák tiszteletben az arányosság elvét, és ezáltal alakítsanak ki megfelelő egyensúlyt a személyes adatok védelméhez fűződő közérdek követelményei és az adatkezelő, az adatfeldolgozó, illetve azon vállalkozás alapjogainak védelmére vonatkozó követelmények (
54
) között, amelynek az adatkezelő vagy adatfeldolgozó tagja.
V. Végkövetkeztetések
75.
Azt javaslom, hogy a Bíróság a Vestre Landsret (nyugati fellebbviteli bíróság, Dánia) által előzetes döntéshozatal céljából előterjesztett kérdésekre a következő választ adja:
A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 83. cikkének (4)–(6) bekezdését
úgy kell értelmezni, hogy amennyiben olyan adatkezelővel vagy adatfeldolgozóval szemben szabnak ki bírságot, amely vállalkozás (vagy annak tagja), a „vállalkozás” fogalmát úgy kell értelmezni, hogy az a bírság maximális összegének megállapítása céljából megfelel az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett „vállalkozás” fogalmának. Ezért annak a vállalkozásnak a teljes éves világpiaci forgalmát kell figyelembe venni, amelynek az adatkezelő vagy adatfeldolgozó tagja.
A ténylegesen kiszabandó bírság meghatározásakor azonban a „vállalkozás” fogalmát a 2016/679 rendelet 83. cikkének (1) és (2) bekezdésével összefüggésben kell értelmezni és az adott ügy konkrét körülményeinek vizsgálata során a több releváns elem egyikeként kell figyelembe venni. Ebben az összefüggésben a konkrét körülmények az anyavállalat döntéshozatali jogkörére, az említett rendelet szabályait sértő adatkezelés terjedelmére és a vállalkozáshoz tartozó, a jogsértésben érintett jogalanyok számára vonatkozhatnak.
Ezenfelül, ha a 2016/679 rendelet 83. cikkének (9) bekezdésével összefüggésben a nemzeti bíróság büntetőeljárás keretében szab ki ilyen bírságot, a tényleges bírságot a büntetőjogban alkalmazandó elvek alapján kell értékelni. Ebben az összefüggésben a nemzeti bíróságnak biztosítania kell, hogy a tényleges bírság megállapítása során tartsák tiszteletben az arányosság elvét, és ezáltal alakítsanak ki megfelelő egyensúlyt a személyes adatok védelméhez fűződő közérdek követelményei és az adatkezelő, az adatfeldolgozó vagy azon vállalkozás alapjogainak védelmére vonatkozó követelmények között, amelynek az adatkezelő vagy adatfeldolgozó tagja.
(
1
)	Eredeti nyelv: angol.
(
2
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.) (a továbbiakban: GDPR).
(
3
)	A nemzeti források az alapügyet „IDdesign A/S” ügyként is említik, mivel ez volt az ILVA korábbi cégneve.
(
4
)	Különösen a GDPR 83. cikkének (9) bekezdése és (151) preambulumbekezdése.
(
5
)	Lásd: Overby, T., „The Danish adaptation of the GDPR”, Blog Droit Européen, 2018. június, 4. és 5. o.
(
6
)	Ami az előzetes döntéshozatalra előterjesztett második kérdés konkrét megfogalmazását illeti (lásd a jelen indítvány 15. pontját), úgy tűnik, hogy abban elírás történt. A szövegkörnyezet azonban arra enged következtetni, hogy a kérdést előterjesztő bíróság nem „a gazdasági egység, amelynek a vállalkozás tagja” és „maga a vállalkozás” közötti választásra, hanem „a gazdasági egység, amelynek a társaság tagja” és „maga a társaság” (azaz a GDPR‑t megsértő jogi személy) közötti választásra kívánt utalni.
(
7
)	E preambulumbekezdést a jelen indítvány 4. pontja említi.
(
8
)	2023. december 5‑iDeutsche Wohnen ítélet (C‑807/21, EU:C:2023:950, 57. pont; a továbbiakban: Deutsche Wohnen ítélet vagy Deutsche Wohnen ügyben kidolgozott ítélkezési gyakorlat). Lásd még: a kapcsolódó, ugyanazon a napon hozott Nacionalinis visuomenės sveikatos centras ítélet (C‑683/21, EU:C:2023:949).
(
9
)	Amint azt a Bíróság ítélkezési gyakorlata egyértelművé teszi, „a forgalom – ha mégoly hozzávetőleges és tökéletlen is – az érintett vállalkozások méretének és gazdasági erejének értékeléséhez megfelelő kritérium marad”. Lásd: 2011. december 8‑iKME Germany és társai kontra Bizottság ítélet (C‑272/09 P, EU:C:2011:810, 52. pont).
(
10
)	[Az EUMSZ 101. és EUMSZ 102. cikkben] meghatározott versenyszabályok végrehajtásáról szóló, 2002. december 16‑i tanácsi rendelet (HL 2003. L 1., 1. o.; magyar nyelvű különkiadás 8. fejezet, 2. kötet, 205. o.).
(
11
)	2021. október 6‑iSumal ítélet (C‑882/19, EU:C:2021:800, 41. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
12
)	A nemzeti ítélkezési gyakorlatot illetően lásd: a Landgericht Bonn (bonni regionális bíróság, Németország) (2020. november 11‑i ítélet, DE:LGBN:2020:1111.29OWI1.20.00) és a Conseil d’État (államtanács, Franciaország) (2020. június 19‑i ítélet, FR:CECHR:2020:430810.20200619). Mindkét ítélet lényegében megfelel a Bíróság értelmezésének (bár azokat a Bíróság ítéletét megelőzően hozták meg). Ezzel ellentétes értelmezést illetően lásd: a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság, Ausztria) (2019. augusztus 19‑i ítélet, AT:BVWG:2019:W211.2208885.1.00) és a Landgericht Berlin (berlini regionális bíróság, Németország) (2021. február 18‑i ítélet, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; ez az az ítélet, amely végül a Bíróság Deutsche Wohnen ítéletéhez vezetett). A Bíróság ítéletét követő és azt alkalmazó ítélkezési gyakorlatot illetően lásd: a Bundesverwaltungsgericht (szövetségi közigazgatási bíróság, Ausztria) (2024. március 27‑i ítélet, AT:BVWG:2024:W214.2243436.1.00).
(
13
)	Lásd: 1991. április 23‑iHöfner és Elser ítélet (C‑41/90, EU:C:1991:161, 21. pont). Lásd még például: 2000. szeptember 12‑iPavlov és társai ítélet (C‑180/98–C‑184/98, EU:C:2000:428, 74. pont); 2012. július 12‑iCompass‑Datenbank ítélet (C‑138/11, EU:C:2012:449, 35. pont); 2017. április 27‑iAkzo Nobel és társai kontra Bizottság ítélet (C‑516/15 P, EU:C:2017:314, 47. pont).
(
14
)	Lásd például: 2011. január 20‑iGeneral Química és társai kontra Bizottság ítélet (C‑90/09 P, EU:C:2011:21, 37. pont). Ennek megállapításának fő szempontja a „meghatározó befolyás”, amelyet tényszerű bizonyítékok (gazdasági, szervezeti és jogi kapcsolatok) alapján kell meghatározni.
(
15
)	2021. január 27‑iThe Goldman Sachs Group kontra Bizottság ítélet (C‑595/18 P, EU:C:2021:73, 67. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
16
)	Uo., 71. pont.
(
17
)	Uo., 32. pont, valamint az ott hivatkozott ítélkezési gyakorlat.
(
18
)	A társaság teljes világpiaci forgalmának 2%‑a csak abban az esetben haladja meg a 10 millió eurót, ha a társaság forgalma meghaladja az 500 millió eurót. Hasonlóképpen, valamely társaság teljes világpiaci forgalmának 4%‑a csak abban az esetben haladja meg a 20 millió eurót, ha a társaság forgalma meghaladja az 500 millió eurót.
(
19
)	A jelen indítványban ebben az összefüggésben végig „felügyeleti hatóságra” hivatkozom, azonban az alapügy sajátos összefüggéseire tekintettel egyértelmű, hogy kiterjesztés révén ugyanez vonatkozik a kérdést előterjesztő bíróságra is (ő szabja ki az ILVA‑val szemben a bírságot, nem pedig a felügyeleti hatóság).
(
20
)	„Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.” (Kiemelés tőlem).
(
21
)	Lásd e tekintetében a jelen indítvány 40. lábjegyzetében hivatkozott ítélkezési gyakorlatot.
(
22
)	Az utóbbi rendelkezés azokra a helyzetekre vonatkozik, amikor egyidejűleg a GDPR több rendelkezését is megsértik.
(
23
)	Néhány e tényezők közül: a jogsértés jellege, súlyossága és időtartama, szándékos vagy gondatlan jellege, az elszenvedett kár enyhítése érdekében tett intézkedések, az adatkezelő vagy az adatfeldolgozó által korábban elkövetett jogsértések, a felügyeleti hatósággal folytatott együttműködés mértéke, az érintett személyes adatok kategóriái stb.
(
24
)	1984. szeptember 25‑iKönecke ítélet (117/83, EU:C:1984:288, 11. pont).
(
25
)	2013. július 18‑iSchindler Holding és társai kontra Bizottság ítélet (C‑501/11 P, EU:C:2013:522, 57. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
26
)	Lásd az 1/2003/EK rendelet 23. cikke (2) bekezdésének a) pontja alapján kiszabott bírságok megállapításáról szóló iránymutatás (HL 2006. C 210., 2. o.) (a továbbiakban: 2006. évi bírságkiszabási iránymutatás) 32. pontját („Jogszabályban meghatározott felső határ”) és 13. pontját (amely a „bírság alapösszegére” vonatkozik).
(
27
)	Mayer Brown, Yaros, O. és mások: „GDPR fines ‑ Lessons from competition law”, 2018. december, 4. o.
(
28
)	2014. november 12‑iGuardian Industries és Guardian Europe kontra Bizottság ítélet (C‑580/12 P, EU:C:2014:2363, 59. pont).
(
29
)	A 2006. évi bírságkiszabási iránymutatás 30. pontja kimondja, hogy „a Bizottság különös figyelmet fog fordítani annak biztosítására, hogy a bírságok megfelelő elrettentő hatással bírjanak; ennek érdekében növelheti az olyan vállalkozásokra kirótt bírságot, melyek a jogsértés által érintett áruk és szolgáltatások értékesítésén túl különösen jelentős forgalmat bonyolítanak” (kiemelés tőlem). Lásd e tekintetben: 2014. február 6‑iElf Aquitaine kontra Bizottság ítélet (T‑40/10, EU:T:2008:61, 350–357. pont, valamint az ott hivatkozott ítélkezési gyakorlat).
(
30
)	E tényezőket Pitruzzella főtanácsnok egy versenyjogi ügyre, a Sumal ügyre vonatkozó indítványában (C‑882/19, EU:C:2021:293, 23-25. pont) fejtette ki.
(
31
)	Lásd például az egyesült királysági Competition Appeal Tribunal (versenyjogi fellebbviteli bíróság) Brexit előtti ítélkezési gyakorlatát a Sainsbury’s Supermarkets kontra Mastercard Incorporated ügyben, [2016] CAT 11, a 363. pont 20–22. alpontja.
(
32
)	Uo., a 363. pont 23. alpontja.
(
33
)	A Bíróság rendelkezésére álló iratokból kiderül, hogy jelen ügyben ez a helyzet állt fenn, mivel az ügyészség nem emelt vádat az anyavállalat ellen, „mert ennek nem volt jogalapja”, és a leányvállalat (ILVA) „önálló kiskereskedelmi vállalkozást működtet, és […] nem arról van szó, hogy az anyavállalat kizárólag azzal a céllal hozott létre leányvállalatot, hogy a csoport adatkezelését e vállalatra ruházza át”. Lásd az előzetes döntéshozatalra utaló határozat 5. és 21. pontját.
(
34
)	A 2019. szeptember 5‑iEurópai Unió kontra Guardian Europe és Guardian Europe kontra Európai Unió ítéletben (C‑447/17 P és C‑479/17 P, EU:C:2019:672, 105. és 106. pont) a Bíróság kimondta, hogy a „gazdaság egység” elmélete szerint a „vállalkozás” fogalma konkrétan az uniós versenyjog releváns rendelkezéseinek alkalmazása céljából, és különösen az EUMSZ 101. és EUMSZ 102. cikkbe ütköző jogsértés elkövetőjének megjelölésére alkalmazandó. E fogalom ezzel szemben nem alkalmazható az EUMSZ 340. cikk második bekezdésére alapított kártérítési keresetek keretében. Az ilyen kereset egy általános jogi kereset, amelyre általános, a jelen esetben a társasági jog hatálya alá tartozó eljárási szabályok vonatkoznak, amelyek függetlenek az uniós versenyjog tekintetében fennálló felelősségre vonatkozó megközelítéstől.
(
35
)	2010. június 17‑iLafarge kontra Bizottság ítélet (C‑413/08 P, EU:C:2010:346, 102. pont, valamint az ott hivatkozott ítélkezési gyakorlat). Lásd még a jelen indítvány 29. lábjegyzetét.
(
36
)	Azaz az EDPB a bírság és a jogsértés elkövetőjének sajátos helyzete közötti egyensúly megteremtésére törekszik.
(
37
)	Az EDPB egy független, jogi személyiséggel rendelkező uniós szerv, amelynek célja a GDPR következetes alkalmazásának biztosítása és az Európai Unión belüli adatvédelmi hatóságok közötti együttműködés támogatása.
(
38
)	A 04/2022. sz. iránymutatás az általános adatvédelmi rendelet szerinti közigazgatási bírságok kiszámításáról, 2.1. változat, elfogadás: 2023. május 24, 48. pont.
(
39
)	A jelen ügyben az előzetes döntéshozatalra utaló határozat (3. oldal) emlékeztet arra, hogy „[a nemzeti jogban] foglalt vádelvből következik, hogy a bíróság nem hozhat büntetőjogi felelősséget megállapító ítéletet olyan bűncselekmény miatt, amelyre a vádirat nem terjed ki. Ellentétes lenne az e rendelkezésben foglalt elvvel, ha szigorúbb büntetés kiszabásakor jelentőséget tulajdonítanának olyan más személyhez kapcsolódó körülményeknek, aki ellen nem emeltek vádat”.
(
40
)	Ugyanakkor a bírságok kiszabásával kapcsolatos nemzeti iránymutatás szerint „ha az adatkezelő valamely vállalatcsoport leányvállalata, meg kell vizsgálni, hogy az anyavállalattal szemben is felmerül‑e büntetőjogi felelősség”. Lásd: Bødevejledning ‑ Udmåling af bøder til virksomheder (A bírságokról szóló iránymutatás ‑ a társaságokkal szembeni bírságok értékelése), 2021. január, 3. o.
(
41
)	A Deutsche Wohnen ítélet alapjául szolgáló ügyben a jogsértéseket annak a teljes csoportnak a szintjén követték el, amelynek az érintett társaság tagja volt. Lásd a két ügy közötti ténybeli különbségeket, különös tekintettel a Deutsche Wohnen ítélet 10–12. pontjára.
(
42
)	Emlékeztetek arra, hogy e rendelkezés különösen azt írja elő, hogy „[h]a tagállam jogrendszere nem rendelkezik közigazgatási bírságokról, e cikk oly módon alkalmazható, hogy a bírságot az illetékes felügyeleti hatóság kezdeményezésére az illetékes nemzeti bíróság rója ki e jogorvoslatok hatékonyságának és a felügyeleti hatóságok által kiszabott közigazgatási bírságokéval megegyező hatásának biztosítása mellett. A kiszabott bírságoknak minden esetben hatékonynak, arányosnak és visszatartó erejűnek kell lenniük. […]”.
(
43
)	Tekintettel arra, hogy e rendlkezés nem volt releváns az említett ügy megoldása szempontjából.
(
44
)	Úgy tűnik, hogy Írországban az adatfelügyeleti hatóság által kiszabott közigazgatási bírságokat bíróságnak kell jóváhagynia. Lásd a Data Protection Act 2018 (2018. évi adatvédelmi törvény) 141–143. §‑át. Úgy tűnik továbbá, hogy a Vrhovno sodišče (legfelsőbb bíróság, Szlovénia) 2021. március 16‑i határozatának fényében Szlovénia sem teszi lehetővé a közigazgatási bírságok kiszabását.
(
45
)	Lásd ebben az értelemben: 2018. október 4‑iLink Logistik N & N ítélet (C‑384/17, EU:C:2018:810, 40. pont, valamint az ott hivatkozott ítélkezési gyakorlat; a továbbiakban: Link Logistik ítélet).
(
46
)	Uo., 42. pont, valamint az ott hivatkozott ítélkezési gyakorlat.
(
47
)	HL 2007. C 303., 17. o.
(
48
)	Lásd még: Link Logistik ítélet (43. pont).
(
49
)	Link Logistik ítélet, 45. pont.
(
50
)	Lásd e tekintetben: 2022. november 10‑iZenith Media Communications ítélet (C‑385/21, EU:C:2022:866, 41. pont).
(
51
)	Lásd például: EJEB, 2003. december 4., M. C. kontra Bulgária, CE:ECHR:2003:1204JUD003927298.
(
52
)	Lásd például: EJEB, 1999. december 16., T. kontra Egyesült Királyság, CE:ECHR:1999:1216JUD002472494, 97. §, idézve a következőket: EJEB, 1998. szeptember 23., A. kontra Egyesült Királyság, CE:ECHR:1998:0923JUD002559994, 22. §; EJEB, 1998. október 28., Osman kontra Egyesült Királyság, CE:ECHR:1998:1028JUD002345294, 115. §.
(
53
)	Lásd például: EJEB, 2015. október 27., Konstantin Stefanov kontra Bulgária, CE:ECHR:2015:1027JUD003539905, 55. §.
(
54
)	Uo., 54., 55., 66., 67., 69. és 70. §. Lásd még: EJEB, 2001. július 5., Phillips kontra Egyesült Királyság, CE:ECHR:2001:0705JUD004108798, 35. §; EJEB, 2021. június 24., Imeri kontra Horvátország, CE:ECHR:2021:0624JUD007766814, 71. §.