62021CJ0807_RES
Vec C‑807/21
Deutsche Wohnen SE
proti
Staatsanwaltschaft Berlin
(návrh na začatie prejudiciálneho konania, ktorý podal Kammergericht Berlin)
Rozsudok Súdneho dvora (veľká komora) z 5. decembra 2023
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Článok 58 ods. 2 – Právomoci dozorných orgánov uložiť nápravné opatrenia – Článok 83 – Ukladanie správnych pokút právnickej osobe – Podmienky – Rozhodovací priestor členských štátov – Požiadavka úmyselného alebo nedbanlivostného charakteru porušenia“
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Uloženie správnych pokút – Podmienky – Neexistencia rozhodovacieho priestoru členských štátov na stanovenie hmotnoprávnych podmienok týkajúcich sa ukladania správnej pokuty prevádzkovateľovi – Relevantnosť pojmu „podnik“ v zmysle článkov 101 a 102 ZFEÚ obmedzená na výpočet pokuty – Vnútroštátna právna úprava podmieňujúca možnosť uložiť pokutu právnickej osobe ako prevádzkovateľovi predchádzajúcim pripísaním predmetného porušenia identifikovanej fyzickej osobe – Neprípustnosť
(Články 101, 102, článok 288 druhý odsek ZFEÚ; nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenia 10, 11, 74, 129 a 150 a článok 4 bod 7, článok 58 ods. 2 a 4 a článok 83)
(pozri body 38, 43 – 60, bod 1 výroku)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Pojem „prevádzkovateľ“ – Právnická osoba – Zahrnutie – Podmienka – Účinná účasť na určení účelov a prostriedkov spracúvania
(Nariadenie Európskeho parlamentu a Rady 2016/679, článok 4 ods. 7)
(pozri body 39 – 42)
Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie 2016/679 – Ukladanie správnych pokút – Podmienky – Neexistencia rozhodovacieho priestoru členských štátov na stanovenie hmotnoprávnych podmienok týkajúcich sa ukladania správnej pokuty prevádzkovateľovi – Požiadavka porušenia, ktorého sa úmyselne alebo z nedbanlivosti dopustil prevádzkovateľ
(Nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenia 9, 13 a 148 a článok 58 ods. 2 a článok 83)
(pozri body 65 – 78, 86, bod 2 výroku)
Zhrnutie
Deutsche Wohnen SE (ďalej len „DW“) je realitná spoločnosť, ktorá prostredníctvom podielov v rôznych spoločnostiach vlastní nepriamo veľký počet komerčných priestorov a bytových jednotiek. V rámci svojej obchodnej činnosti spracúva osobné údaje nájomcov týchto komerčných priestorov a bytových jednotiek.
V nadväznosti na dve kontroly vykonané v rokoch 2017 a 2019 Berliner Beauftragte für den Datenschutz (dozorný orgán Berlín, Nemecko) konštatoval viaceré porušenia GDPR (
1
), ktorých sa dopustila DW. Rozhodnutím z 30. októbra 2019 jej tento dozorný orgán z tohto dôvodu uložil správne pokuty.
DW podala proti tomuto rozhodnutiu žalobu na Landgericht Berlin (Krajinský súd Berlín, Nemecko), ktorý vec odložil. Tento súd uviedol, že podľa nemeckého zákona (
2
) spáchanie správneho deliktu možno konštatovať len voči fyzickej osobe, a nie voči právnickej osobe. V prípade vzniku zodpovednosti právnickej osoby jej navyše možno pripísať len konanie členov jej orgánov alebo jej zástupcov. Staatsanwaltschaft Berlin (Prokuratúra Berlín, Nemecko) podala proti tomuto rozhodnutiu odvolanie na Kammergericht Berlin (Vyšší krajinský súd Berlín, Nemecko). V tejto súvislosti sa tento súd obrátil na Súdny dvor s návrhom na začatie prejudiciálneho konania týkajúcim sa výkladu GDPR. (
3
)
Súdny dvor zasadajúci vo veľkej komore vo svojom rozsudku rozhodol o podmienkach ukladania správnych pokút podľa GDPR. V prvom rade skúmal otázku, či členské štáty môžu podmieniť uloženie správnej pokuty právnickej osobe tým, aby bolo porušenie tohto nariadenia predtým pripísané identifikovanej fyzickej osobe. V druhom rade sa zaoberá otázkou, či sankcionované porušenie ustanovení GDPR musí byť spáchané úmyselne alebo z nedbanlivosti. (
4
)
Posúdenie Súdnym dvorom
Pokiaľ ide o uloženie správnej pokuty právnickej osobe podľa GDPR, Súdny dvor v prvom rade uvádza, že zásady, zákazy a povinnosti stanovené v GDPR sú určené najmä „prevádzkovateľom“, ktorých zodpovednosť sa vzťahuje na každé spracúvanie osobných údajov, ktoré vykonávajú sami alebo ktoré sa uskutočňuje v ich mene. Práve na základe tejto zodpovednosti sa v prípade porušenia ustanovení GDPR ukladá prevádzkovateľovi podľa článku 83 tohto nariadenia správna pokuta. No na účely určenia takejto zodpovednosti normotvorca Únie nerozlišoval medzi fyzickými a právnickými osobami, pričom táto zodpovednosť je podmienená len tým, že tieto osoby samy alebo v spojení s inými osobami určia účely a prostriedky spracúvania osobných údajov. (
5
) Každá osoba, ktorá spĺňa túto podmienku, je teda v zásade zodpovedná okrem iného za akékoľvek porušenie GDPR, ktorého sa dopustila sama alebo ktoré bolo spáchané v jej mene. Na jednej strane to znamená, že právnické osoby sú zodpovedné nielen za porušenia, ktorých sa dopustili ich zástupcovia, riadiaci pracovníci alebo manažéri, ale aj akákoľvek iná osoba konajúca v rámci obchodnej činnosti týchto právnických osôb a na ich účet. Na druhej strane, pokiaľ možno právnické osoby kvalifikovať ako prevádzkovateľov, musí byť možné im v prípade takýchto porušení priamo uložiť správne pokuty podľa GDPR.
Následne Súdny dvor konštatoval, že žiadne ustanovenie GDPR neumožňuje vyvodiť záver, že uloženie správnej pokuty právnickej osobe ako prevádzkovateľovi je podmienené predchádzajúcim konštatovaním, že tohto porušenia sa dopustila identifikovaná fyzická osoba. Okrem toho normotvorca Únie neponechal členským štátom v tejto súvislosti priestor na voľnú úvahu. Skutočnosť, že GDPR dáva členským štátom možnosť stanoviť požiadavky týkajúce sa postupu, ktorý majú dozorné orgány uplatniť pri ukladaní správnej pokuty (
6
), však vôbec neznamená, že by boli oprávnené stanoviť ďalšie hmotnoprávne podmienky okrem tých, ktoré sú stanovené v GDPR.
V tejto súvislosti Súdny dvor spresnil, že ak by sa členským štátom umožnilo, aby ako nevyhnutnú podmienku na uloženie správnej pokuty prevádzkovateľovi, ktorý je právnickou osobou, podľa článku 83 GDPR, jednostranne požadovali, aby sa predmetné porušenie predtým pripísalo alebo mohlo pripísať identifikovanej fyzickej osobe, bolo by to v rozpore s účelom GDPR. Okrem toho by takáto dodatočná požiadavka v konečnom dôsledku mohla oslabiť účinnosť a odradzujúci účinok správnych pokút uložených právnickým osobám ako prevádzkovateľom.
Napokon Súdny dvor zdôraznil, že pojem „podnik“ v zmysle článkov 101 a 102 ZFEÚ (
7
) nemá nijaký vplyv na otázku, či a za akých podmienok možno prevádzkovateľovi, ktorý je právnickou osobou, uložiť správnu pokutu podľa GDPR, a je relevantný len na stanovenie výšky takejto pokuty.
Súdny dvor tak dospel k záveru, že GDPR (
8
) bráni vnútroštátnej právnej úprave, podľa ktorej možno právnickej osobe ako prevádzkovateľovi uložiť správnu pokutu za porušenie tohto nariadenia (
9
) len v prípade, že toto porušenie bolo predtým pripísané identifikovanej fyzickej osobe.
Pokiaľ ide o otázku, či členské štáty môžu stanoviť uloženie správnej pokuty aj v prípade, že sankcionované porušenie nebolo spáchané úmyselne alebo z nedbanlivosti, Súdny dvor v prvom rade pripomenul, že hmotnoprávne podmienky, ktoré dozorný orgán musí dodržiavať pri ukladaní takejto pokuty prevádzkovateľovi, sú upravené výlučne právom Únie a že členské štáty nemajú v tejto súvislosti nijaký priestor na voľnú úvahu.
Pokiaľ ide o tieto podmienky, Súdny dvor poznamenal, že medzi okolnosti uvedené v GDPR, na základe ktorých dozorný orgán pristúpi k uloženiu takejto pokuty, patrí „úmyselný alebo nedbanlivostný charakter porušenia“ (
10
). Naproti tomu nijaká z okolností neodkazuje na možnosť založiť zodpovednosť prevádzkovateľa v prípade, že nedošlo z jeho strany k zavinenému konaniu. Správna pokuta tak môže byť prevádzkovateľovi podľa článku 83 GDPR uložená len za porušenia ustanovení GDPR, ktorých sa prevádzkovateľ dopustil úmyselne alebo z nedbanlivosti.
Súdny dvor dodal, že tento výklad je podporený všeobecnou štruktúrou a účelom GDPR. V tejto súvislosti spresňuje, že existencia systému sankcií podľa GDPR, ktorý umožňuje uložiť správnu pokutu, ak to odôvodňujú osobitné okolnosti každého jednotlivého prípadu, podnecuje prevádzkovateľov a sprostredkovateľov k dodržiavaniu tohto nariadenia, a že správne pokuty svojím odradzujúcim účinkom prispievajú k posilneniu ochrany dotknutých osôb. Normotvorca Únie však v záujme zabezpečenia takejto vysokej úrovne ochrany nepovažoval za potrebné stanoviť ukladanie správnych pokút v prípade neexistencie zavinenia. Vzhľadom na skutočnosť, že GDPR má za cieľ dosiahnuť rovnocennú a zároveň jednotnú úroveň ochrany a že na tento účel sa musí uplatňovať konzistentne v celej Únii, bolo by v rozpore s týmto cieľom, ak by členské štáty mohli stanoviť takéto pravidlá pre ukladanie pokút.
V dôsledku toho Súdny dvor konštatoval, že podľa článku 83 GDPR správnu pokutu možno uložiť len vtedy, ak sa preukáže, že prevádzkovateľ, ktorý je právnickou osobou a zároveň podnikom, sa úmyselne alebo z nedbanlivosti dopustil porušenia pravidiel obsiahnutých v tomto nariadení.
(
1
)	Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
(
2
)	Gesetz über Ordnungswidrigkeiten (zákon o správnych deliktoch) z 24. mája 1968 (BGBl. 1968 I, s. 481) v znení oznámenia z 19. februára 1987 (BGBl. 1987 I I, s. 602), a zákona z 19. júna 2020 (BGBl. 2020 I, s. 1350).
(
3
)	Článok 58 ods. 2 a článok 83 GDPR.
(
4
)	K tomuto aspektu pozri aj rozsudok Nacionalinis visuomenės sveikatos centras (C‑683/21), ktorý bol vydaný v ten istý deň.
(
5
)	Podľa článku 4 bodu 7 GDPR.
(
6
)	Ako vyplýva z článku 58 ods. 4 a článku 83 ods. 8 GDPR v spojení s jeho odôvodnením 129.
(
7
)	Na ktorú sa odkazuje v odôvodnení 150 GDPR.
(
8
)	Článok 58 ods. 2 písm. i) a článok 83 ods. 1 až 6 GDPR.
(
9
)	Uvedené v článku 83 ods. 4 až 6 GDPR.
(
10
)	Článok 83 ods. 2 písm. b) GDPR.