62023CJ0383
РЕШЕНИЕ НА СЪДА (пети състав)
13 февруари 2025 година (
*1
)
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Член 83, параграфи 4—6 и 9 — Понятието „предприятие“ — Дружество майка и дъщерно дружество — Нарушение на този регламент от дъщерно дружество — Изчисляване на размера на имуществената санкция — Вземане предвид на общия оборот на групата, в която участва това дъщерно дружество“
По дело C‑383/23
с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Vestre Landsret (Западен областен съд, Дания) с акт от 3 май 2023 г., постъпил в Съда на 21 юни 2023 г., в рамките на наказателно производство срещу
ILVA A/S,
СЪДЪТ (пети състав),
състоящ се от: I. Jarukaitis, председател на четвърти състав, изпълняващ функцията на председател на пети състав, D. Gratsias и Z. Csehi (докладчик), съдии,
генерален адвокат: L. Medina,
секретар: C. Strömholm, администратор,
предвид изложеното в писмената фаза на производството и в съдебното заседание от 19 юни 2024 г.,
като има предвид становищата, представени:
–
за ILVA A/S, от D. B. Geary, advokat,
–
за Европейската комисия, от A. Bouchagiar, H. Kranenborg и C. Vang, в качеството на представители,
след като изслуша заключението на генералния адвокат, представено в съдебното заседание от 12 септември 2024 г.,
постанови настоящото
Решение
1
Преюдициалното запитване се отнася до тълкуването на член 83, параграфи 4—6 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).
2
Запитването е отправено в рамките на наказателно производство, образувано срещу ILVA A/S от Anklagemyndigheden (прокуратура, Дания), която обвинява това дружество, че в качеството си на администратор на лични данни на бивши клиенти не е изпълнило задълженията си по ОРЗД.
Правна уредба
Правото на Съюза
3
Съображения 150 и 151 от ОРЗД гласят следното:
„(150)
С цел да се засилят и хармонизират административните наказания за нарушения на настоящия регламент, всеки надзорен орган следва да има правомощието да налага административни наказания „глоба“ или „имуществена санкция“. В настоящия регламент следва да се посочат нарушенията и максималният размер и критериите за определяне на съответните административни наказания „глоба“ или „имуществена санкция“, които следва да се определят от компетентния надзорен орган във всеки отделен случай, като се вземат предвид всички обстоятелства, свързани с конкретната ситуация, по-специално при надлежно отчитане на естеството, тежестта и продължителността на нарушението и на последиците от него, както и на мерките, предприети, за да се гарантира спазване на задълженията по настоящия регламент и за да се предотвратят или смекчат последиците от нарушението. Когато имуществената санкция се налага на предприятие, понятието „предприятие“ следва да се разбира като предприятие в съответствие с членове 101 и 102 от ДФЕС за тези цели. […]
(151)
Правните системи на Дания и Естония не позволяват налагането на административните наказания „глоба“ или „имуществена санкция“, посочени в настоящия регламент. Правилата относно административните наказания „глоба“ или „имуществена санкция“ могат да се прилагат по такъв начин, че в Дания глобата или имуществената санкция да се налага от компетентни национални съдилища като наказание, а в Естония глобата или имуществената санкция да се налага от надзорния орган в рамките на процедура за нарушение, при условие че това прилагане на правилата в посочените държави членки има ефект, равностоен на административни наказания „глоба“ или „имуществена санкция“, налагани от надзорни органи. Поради това компетентните национални съдилища следва да вземат под внимание препоръката на надзорния орган, иницииращ глобата или имуществената санкция. Във всички случаи наложените глоби или имуществени санкции следва да са ефективни, пропорционални и възпиращи“.
4
В член 5 от ОРЗД са закрепени принципите, свързани с обработването на лични данни.
5
В член 6 от ОРЗД са определени условията, при които обработването на лични данни се счита за законосъобразно.
6
Член 58 („Правомощия“), параграф 2 от ОРЗД предвижда:
„Всеки надзорен орган има всички от посочените по-долу корективни правомощия:
[…]
и)
да налага административно наказание „глоба“ или „имуществена санкция“ съгласно член 83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай;
[…]“.
7
Член 83 („Общи условия за налагане на административни наказания „глоба“ или „имуществена санкция“), параграфи 1, 2, 4—6 и 9 от ОРЗД гласи:
„1.   Всеки надзорен орган гарантира, че наложените административни наказания „глоба“ или „имуществена санкция“ в съответствие с настоящия член за извършени нарушения на настоящия регламент, посочени в параграфи 4, 5 и 6, във всеки конкретен случай са ефективни, пропорционални и възпиращи.
2.   В зависимост от обстоятелствата във всеки конкретен случай административните наказания „глоба“ или „имуществена санкция“ се налагат в допълнение към мерките, посочени в член 58, параграф 2, букви а)—з) и й), или вместо тях. Когато се взема решение дали да бъде наложено административно наказание „глоба“ или „имуществена санкция“ и се определя нейният размер, във всеки конкретен случай надлежно се разглеждат следните елементи:
а)
естеството, тежестта и продължителността на нарушението, като се взема предвид естеството, обхватът или целта на съответното обработване, както и броят на засегнатите субекти на данни и степента на причинената им вреда;
б)
дали нарушението е извършено умишлено или по небрежност;
в)
действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от вредите, претърпени от субектите на данни;
г)
степента на отговорност на администратора или обработващия лични данни като се вземат предвид технически и организационни мерки, въведени от тях в съответствие с членове 25 и 32;
д)
евентуални свързани предишни нарушения, извършени от администратора или обработващия лични данни;
е)
степента на сътрудничество с надзорния орган с цел отстраняване на нарушението и смекчаване на евентуалните неблагоприятни последици от него;
ж)
категориите лични данни, засегнати от нарушението;
з)
начина, по който нарушението е станало известно на надзорния орган, по-специално дали и до каква степен администраторът или обработващият лични данни е уведомил за нарушението;
и)
когато на засегнатия администратор или обработващ лични данни преди са налагани мерки, посочени в член 58, параграф 2, във връзка със същия предмет на обработването, дали посочените мерки са спазени;
й)
придържането към одобрени кодекси на поведение съгласно член 40 или одобрени механизми за сертифициране съгласно член 42; и
к)
всякакви други утежняващи или смекчаващи фактори, приложими към обстоятелствата по случая, като пряко или косвено реализирани финансови ползи или избегнати загуби вследствие на нарушението.
[…]
4.   Нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба“ или „имуществена санкция“ в размер до 10000000 [евро] или, в случай на предприятие — до 2 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока:
[…]
5.   Нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20000000 [евро] или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока:
[…]
6.   Неспазването на разпореждане на надзорния орган, както е посочено в член 58, параграф 2, подлежи, в съответствие с параграф 2 от настоящия член, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20000000 [евро] или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока.
[…]
9.   Когато в правната система на държавата членка не са предвидени административни наказания „глоба“ или „имуществена санкция“, настоящият член може да се прилага по такъв начин, че глобата да се инициира от компетентния назорен орган и да се налага от компетентните национални съдилища, като в същото време се гарантира, че тези правни средства за защита са ефективни и имат ефект, равностоен на административните наказания „глоба“ или „имуществена санкция“, налагани от надзорните органи. Във всички случаи наложените глоби или имуществени санкции са ефективни, пропорционални и възпиращи. Посочените държави членки уведомяват [Европейската комисия] за разпоредбите в правото си, които при[е]мат съгласно настоящия параграф, най-късно до 25 май 2018 г., и я уведомяват незабавно за всеки последващ закон за изменение или за всяко изменение, които ги засягат“.
Датското право
8
Член 41 от Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Закон № 502 от 23 май 2018 г. за определяне на допълнителни правила към [ОРДЗ]) гласи:
„1.   Ако не подлежи на по-тежко наказание по друг закон, с глоба/имуществена санкция или с лишаване от свобода до шест месеца се наказва всеки, който наруши разпоредбите относно:
[…]
4) съдържащите се в членове 5—7 и 9 от [ОРЗД] основни принципи на обработването, включително условията за даване на съгласие
[…]
3.   При налагането на наказание по параграфи 1 и 2 се прилагат разпоредбите на член 83, параграф 2 от [ОРЗД].
[…]
6.   Дружествата и др. (юридически лица) може да носят наказателна отговорност по реда на глава 5 от [Straffeloven (Наказателен кодекс)] […]“.
Спорът в главното производство и преюдициалните въпроси
9
ILVA управлява верига от мебелни магазини и е част от групата Lars Larsen Group. Общият оборот на групата за финансовата 2016/2017 г. възлиза на 6,57 млрд. датски крони (DKK) (около 881 млн. евро), а оборотът на ILVA за същата година — на 1,8 млрд. DKK (около 241 млн. евро).
10
Срещу ILVA е внесено обвинение пред датските съдилища за това, че в периода от май 2018 г. до януари 2019 г. е нарушило задълженията си по ОРЗД в качеството си на администратор на лични данни във връзка със съхраняването на данни на не по-малко от 350000 бивши клиенти.
11
По препоръка на Datatilsynet (Агенция за защита на данните, Дания) прокуратурата иска на ILVA да бъде наложена имуществена санкция в размер на 1,5 млн. DKK (около 201000 евро). За изчисляването на този размер е взет предвид не само оборотът на ILVA, но и общият оборот на групата Lars Larsen Group.
12
С решение от 12 февруари 2021 г. Retten i Aarhus (Първоинстанционен съд, Орхус) признава ILVA за виновно по повдигнатото обвинение и го осъжда да заплати имуществена санкция в размер на 100000 DKK (около 13400 евро). Този съд преценява, че ILVA е действало по небрежност, противно на твърденията на прокуратурата. Освен това според този съд, доколкото обвиненията са повдигнати само срещу ILVA, за изчисляването на размера на имуществената санкция не следва да се взема предвид оборотът на групата Lars Larsen Group. Той посочва също така, че ILVA е извършвало самостоятелна дейност по търговия на дребно и че дружеството майка на тази група не е създало ILVA единствено с цел да му възложи обработката на данните на групата.
13
Прокуратурата протестира това решение пред Vestre Landsret (Западен областен съд, Дания), който е запитващата юрисдикция. Прокуратурата поддържа, че терминът „предприятие“, съдържащ се в член 83, параграфи 4—6 от ОРЗД, трябва да се разбира в смисъл, че за определянето на имуществената санкция в случай на извършено от дружество нарушение на ОРЗД следва да се взема предвид оборотът на групата, от която е част това дружество. От съображение 150 от ОРЗД всъщност следвало, че въпросният термин трябва да се тълкува в съответствие с членове 101 и 102 ДФЕС.
14
От своя страна ILVA смята, че при определянето на имуществената санкция за извършено от дружество нарушение на ОРЗД не следва да се взема предвид общият оборот на групата, от която е част това дружество. В случая обвинение е повдигнато само срещу ILVA, а не и срещу дружеството му майка.
15
Запитващата юрисдикция счита, че ОРЗД не дава ясен отговор на този въпрос.
16
При това положение Vestre Landsret (Западен областен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:
„1)
Трябва ли терминът „предприятие“, съдържащ се в член 83, параграфи 4—6 от [ОРЗД], да се разбира като предприятие по смисъла на членове 101 и 102 ДФЕС, разглеждани във връзка със съображение 150 от този регламент, както и на практиката на [Съда] в областта на конкурентното право на Съюза, така че терминът „предприятие“ да обхваща всеки субект, който извършва икономическа дейност, независимо от правния му статут и начин на финансиране?
2)
При утвърдителен отговор на въпрос 1, трябва ли член 83, параграфи 4—6 от [ОРЗД] да се тълкува в смисъл, че при налагането на имуществена санкция на предприятие следва да се взема предвид общият годишен световен оборот на стопанския субект, част от който е предприятието, или трябва да се взема предвид само общият годишен световен оборот на самото предприятие?“.
По преюдициалните въпроси
17
С въпросите си, които следва да се разгледат заедно, запитващата юрисдикция по същество иска да се установи дали член 83, параграфи 4—6 във връзка със съображение 150 от ОРЗД трябва да се тълкува в смисъл, че съдържащият се в тези разпоредби термин „предприятие“ съответства на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, така че когато на администратор на лични данни, който е предприятие или част от предприятие, се налага имуществена санкция за нарушение на ОРЗД, размерът на същата се определя въз основа на процент от общия годишен световен оборот на предприятието по смисъла на тези членове 101 и 102 ДФЕС за предходната финансова година.
18
Като начало следва да се отбележи, че Съдът вече е имал повод да отговори на някои въпроси, свързани с тълкуването на член 83 от ОРЗД, в решение от 5 декември 2023 г., Deutsche Wohnen (C‑807/21, EU:C:2023:950, т. 53—59), постановено след приключването на писмената фаза на производството по настоящото дело.
19
Съдът е постановил, че понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС няма отражение върху това дали и при какви условия може да се наложи административно наказание съгласно член 83 от ОРЗД на администратор — юридическо лице, тъй като този въпрос е уреден изчерпателно в член 58, параграф 2 и член 83, параграфи 1—6 от Регламента (решение от 5 декември 2023 г., Deutsche Wohnen, C‑807/21, EU:C:2023:950, т. 53).
20
Всъщност това понятие е релевантно единствено за целите на определянето на размера на административното наказание, налагано на администратора съгласно член 83, параграфи 4—6 от ОРЗД (решение от 5 декември 2023 г., Deutsche Wohnen, C‑807/21, EU:C:2023:950, т. 54).
21
Препращането в съображение 150 от ОРЗД към понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС следва да се разбира именно в специфичния контекст на изчисляването на административните наказания, налагани за нарушенията по член 83, параграфи 4—6 от Регламента (решение от 5 декември 2023 г., Deutsche Wohnen, C‑807/21, EU:C:2023:950, т. 55).
22
В това отношение следва да се подчертае, че за целите на прилагането на правилата за конкуренция по членове 101 и 102 ДФЕС това понятие обхваща всеки субект, който извършва икономическа дейност, независимо от неговия правен статут и начин на финансиране. В този смисъл то обозначава стопанска единица, макар и от правна гледна точка тази стопанска единица да е съставена от няколко физически или юридически лица. Тази стопанска единица се състои в единна организация на персонални, материални и нематериални активи, която трайно преследва определена икономическа цел (решение от 5 декември 2023 г., Deutsche Wohnen, C‑807/21, EU:C:2023:950, т. 56 и цитираната съдебна практика).
23
В този смисъл от член 83, параграфи 4—6 от ОРЗД, който урежда изчисляването на административните наказания за изброените в тези параграфи нарушения, следва, че ако адресатът на административното наказание е предприятие или част от предприятие по смисъла на членове 101 и 102 ДФЕС, максималният размер на имуществената му санкция ще се изчислява като процент от общия годишен световен оборот на съответното предприятие за предходната финансова година (решение от 5 декември 2023 г., Deutsche Wohnen, C‑807/21, EU:C:2023:950, т. 57)
24
Определянето на този максимален размер обаче трябва да се разграничава от самото изчисляване на размера на имуществената санкция, която трябва да наложи надзорният орган, компетентен по конкретното(ите) нарушение(я) на ОРЗД, санкционирано(и) с тази имуществена санкция.
25
Така съгласно член 83, параграф 1 от ОРЗД всеки надзорен орган гарантира, че наложените административни наказания „глоба“ или „имуществена санкция“ в съответствие с този член 83 за извършени нарушения на ОРЗД, посочени в параграфи 4, 5 и 6, във всеки конкретен случай са ефективни, пропорционални и възпиращи.
26
Освен изпълнението на тези три условия, член 83, параграф 2 изисква от компетентния надзорен орган, когато решава дали да наложи наказание „глоба“ или „имуществена санкция“ и в какъв размер, да вземе надлежно предвид във всеки конкретен случай определен брой фактори.
27
Съгласно последната разпоредба сред тези фактори са в частност естеството, тежестта и продължителността на нарушението, броят на засегнатите субекти на данни и степента на причинената им вреда, това дали нарушението е извършено умишлено или по небрежност, действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от претърпените вреди, степента на отговорност на администратора или обработващия лични данни и категориите засегнати лични данни.
28
Въпросните фактори характеризират било поведението на обвинения в нарушения на някои разпоредби на ОРЗД администратор или обработващ лични данни, било самите тези нарушения. Съответно предназначението им е да се гарантира, че всяко от въпросните нарушения се оценява въз основа на всички относими конкретни обстоятелства и че целите, преследвани с предвидената в ОРЗД санкционна система, са постигнати.
29
Макар във връзка с тези фактори да не се споменава понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, Съдът вече е постановил, че административното наказание е годно да изпълни трите условия, посочени в член 83, параграф 1 от ОРЗД, а именно да е едновременно ефективно, пропорционално и възпиращо, само ако размерът му, освен всички обстоятелства около констатираните нарушения на ОРЗД, отчита и действителните или обективни икономически възможности на адресата. За да се прецени изпълнението на тези условия, следва да се вземе предвид дали този адресат е част от предприятие по смисъла на членове 101 и 102 ДФЕС (вж. в този смисъл решение от 5 декември 2023 г., Deutsche Wohnen, C‑807/21, EU:C:2023:950, т. 58).
30
Тълкуването на член 83 от ОРЗД, което следва от точки 25—29 от настоящото решение, е приложимо и когато установените нарушения на ОРЗД се санкционират не с административно наказание „глоба“ или „имуществена санкция“, а с глоба или имуществена санкция, налагана от компетентните национални съдилища по наказателен ред.
31
Както се посочва в съображение 151 от ОРЗД, някои национални правни системи, сред които тази на Кралство Дания, не позволяват налагането на административни наказания „глоба“ или „имуществена санкция“, както предвижда ОРЗД.
32
За да се уреди тази хипотеза, член 83, параграф 9 от ОРЗД предвижда, че когато в правната система на държавата членка не са предвидени административни наказания „глоба“ или „имуществена санкция“, този член 83 може да се прилага по такъв начин, че както в случая, глобата или имуществената санкция да се инициира от компетентния назорен орган и да се налага от компетентните национални съдилища.
33
Освен това в член 83, параграф 9, както и в съображение 151 от този регламент се уточнява, че е необходимо въпросните правни средства за защита да са ефективни и да имат ефект, равностоен на налаганите от надзорните органи административни наказания „глоба“ или „имуществена санкция“ и че във всички случаи наложените глоби или имуществени санкции трябва да са ефективни, пропорционални и възпиращи.
34
Фактът обаче, че глобата или имуществената санкция се налага от наказателен съд в рамките на наказателно производство, означава, че този съд трябва във всеки един момент да спазва приложимите наказателноправни норми, сред които по-специално процесуалните права, от които се ползва обвиненото лице, и принципът на пропорционалност на наказанието, гарантирани с Хартата на основните права на Европейския съюз.
35
В това отношение, както генералният адвокат посочва в точка 74 от заключението си, член 83 от ОРЗД изисква компетентните надзорни органи да гарантират без изключение спазването на принципа на пропорционалност при изчисляването на действителния размер на налаганата имуществена санкция, осигурявайки справедлив баланс между нуждите на общия интерес от защита на личните данни и нуждите на защитата на правата на администратора, обработващия лични данни или предприятието, от което те са част. От това следва, че за прилагането на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС в контекста на член 83, параграфи 4—6 от ОРЗД не изглежда да има принципни пречки в хипотезите, когато нарушенията на ОРЗД се санкционират не с административно наказание „имуществена санкция“, а с имуществена санкция, налагана от наказателни съдилища.
36
С оглед на изложените по-горе съображения на поставените въпроси следва да се отговори, че член 83, параграфи 4—6 във връзка със съображение 150 от ОРЗД трябва да се тълкува в смисъл, че съдържащият се в тези разпоредби термин „предприятие“ съответства на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, така че когато на администратор на лични данни, който е предприятие или част от предприятие, се налага имуществена санкция за нарушение на ОРЗД, максималният ѝ размер се определя въз основа на процент от общия годишен световен оборот на предприятието за предходната финансова година. Понятието „предприятие“ трябва да се взема предвид и за да се преценят действителните или обективни икономически възможности на адресата на имуществената санкция и съответно да се провери дали същата е едновременно ефективна, пропорционална и възпираща.
По съдебните разноски
37
С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.
По изложените съображения Съдът (пети състав) реши:
Член 83, параграфи 4—6 във връзка със съображение 150 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че
съдържащият се в тези разпоредби термин „предприятие“ съответства на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, така че когато на администратор на лични данни, който е предприятие или част от предприятие, се налага имуществена санкция за нарушение на Регламент 2016/679, максималният ѝ размер се определя въз основа на процент от общия годишен световен оборот на предприятието за предходната финансова година. Понятието „предприятие“ трябва да се взема предвид и за да се преценят действителните или обективни икономически възможности на адресата на имуществената санкция и съответно да се провери дали същата е едновременно ефективна, пропорционална и възпираща.
Подписи
(
*1
)	Език на производството: датски.