62021CJ0807_RES
Byla C‑807/21
Deutsche Wohnen SE
prieš
Staatsanwaltschaft Berlin
(Kammergericht Berlin prašymas priimti prejudicinį sprendimą)
2023 m. gruodžio 5 d. Teisingumo Teismo (didžioji kolegija) sprendimas
„Prašymas priimti prejudicinį sprendimą – Asmens duomenų apsauga – Reglamentas (ES) 2016/679 – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – 58 straipsnio 2 dalis – Priežiūros institucijos įgaliojimai imtis taisomųjų veiksmų – 83 straipsnis – Administracinių baudų skyrimas juridiniam asmeniui – Sąlygos – Valstybių narių diskrecija – Reikalavimas, kad pažeidimas būtų padarytas tyčia arba dėl aplaidumo“
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Administracinių baudų skyrimas – Sąlygos – Valstybių narių diskrecijos numatyti materialines administracinės baudos skyrimo duomenų valdytojui sąlygas nebuvimas – Sąvokos „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, reikšmė, aktuali tik apskaičiuojant baudą – Nacionalinė reglamentavimo tvarka, pagal kurią galimybė skirti baudą juridiniam asmeniui kaip duomenų valdytojui siejama su sąlyga, kad prieš tai atitinkamas pažeidimas būtų priskirtas konkrečiam fiziniam asmeniui – Neleistinumas
(SESV 101, 102 straipsniai ir 288 straipsnio antra pastraipa; Europos Parlamento ir Tarybos reglamento 2016/679 10, 11, 74, 129 ir 150 konstatuojamosios dalys, 4 straipsnio 7 punktas, 58 straipsnio 2 ir 4 dalys ir 83 straipsnis)
(žr. 38, 43–60 punktus ir rezoliucinės dalies 1 punktą)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Duomenų valdytojo sąvoka – Juridinis asmuo – Įtraukimas – Sąlyga – Veiksmingas dalyvavimas nustatant duomenų tvarkymo tikslus ir priemones
(Europos Parlamento ir Tarybos reglamento Nr. 2016/679 4 straipsnio 7 punktas)
(žr. 39–42 punktus)
Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Administracinių baudų skyrimas – Sąlygos – Valstybių narių diskrecijos numatyti materialines administracinės baudos skyrimo duomenų valdytojui sąlygas nebuvimas – Reikalavimas, kad duomenų valdytojas pažeidimą būtų padaręs tyčia arba dėl aplaidumo
(Europos Parlamento ir Tarybos reglamento Nr. 2016/679 9, 13 ir 148 konstatuojamosios dalys, 58 straipsnio 2 dalis ir 83 straipsnis)
(žr. 65–78, 86 punktus ir rezoliucinės dalies 2 punktą)
Santrauka
Deutsche Wohnen SE (toliau – DW) yra nekilnojamojo turto bendrovė, kuri, turėdama įvairių bendrovių kapitalo dalių, netiesiogiai valdo nemažai komercinės ir gyvenamosios paskirties objektų. Vykdydama komercinę veiklą ji tvarko šių objektų nuomininkų asmens duomenis.
2017 ir 2019 m. atlikusi du patikrinimus, Berliner Beauftragter für den Datenschutz (Berlyno duomenų apsaugos institucija, Vokietija) nustatė, kad DW padarė įvairių BDAR (
1
) pažeidimų. Todėl 2019 m. spalio 30 d. sprendimu duomenų apsaugos institucija jai skyrė administracines baudas.
DW šį sprendimą apskundė Landgericht Berlin (Berlyno apygardos teismas, Vokietija), o šis bylą nutraukė. To teismo teigimu, vadovaujantis Vokietijos teise (
2
), tik fizinis, o ne juridinis asmuo gali būti pripažintas padaręs administracinį nusižengimą. Be to, juridinio asmens atsakomybė kyla tik tuomet, kai jam gali būti priskirti jo organų narių ar atstovų veiksmai. Staatsanwaltschaft Berlin (Berlyno prokuratūra, Vokietija) šį sprendimą apskundė Kammergericht Berlin (Berlyno aukštesnysis apygardos teismas, Vokietija). Šiomis aplinkybėmis minėtas teismas kreipėsi į Teisingumo Teismą su prašymu priimti prejudicinį sprendimą dėl BDAR išaiškinimo (
3
).
Teisingumo Teismo didžioji kolegija sprendime pareiškė nuomonę dėl administracinių baudų skyrimo pagal BDAR sąlygų. Pirmiausia, ji nagrinėjo klausimą, ar valstybės narės gali administracinės baudos skyrimą juridiniam asmeniui susieti su sąlyga, kad šio reglamento pažeidimas prieš tai būtų priskirtas konkrečiam fiziniam asmeniui. Antra, ji analizavo, ar BDAR nuostatų pažeidimas, už kurį skiriamos sankcijos, turi būti padarytas tyčia arba dėl aplaidumo (
4
).
Teisingumo Teismo vertinimas
Dėl administracinės baudos skyrimo pagal BDAR juridiniam asmeniui Teisingumo Teismas iš pradžių pažymėjo, kad BDAR numatyti principai, draudimai ir pareigos visų pirma skirti „duomenų valdytojams“, kurių atsakomybė apima bet kokį jų pačių arba jų vardu atliekamą asmens duomenų tvarkymą. Būtent ši atsakomybė BDAR nuostatų pažeidimų atveju yra administracinės baudos skyrimo duomenų valdytojui pagal šio reglamento 83 straipsnį pagrindas. Vis dėlto Sąjungos teisės aktų leidėjas, nustatydamas atsakomybę, nediferencijavo fizinių ir juridinių asmenų, nes ji siejama su vienintele sąlyga, pagal kurią šie asmenys patys arba kartu su kitais turi nustatyti asmens duomenų tvarkymo tikslus ir priemones (
5
). Taigi iš esmės bet kuris šią sąlygą atitinkantis asmuo yra atsakingas už visus savo paties arba jo vardu padarytus BDAR pažeidimus. Tai reiškia, viena vertus, kad juridiniai asmenys yra atsakingi ne tik už savo atstovų, direktorių ar vadovų, bet ir už bet kurio kito asmens, veikiančio įgyvendinant šių juridinių asmenų komercinę veiklą ir jų vardu, padarytus pažeidimus. Kita vertus, BDAR numatytas administracines baudas už tokius pažeidimus turi būti galima skirti tiesiogiai juridiniams asmenims, jeigu jie gali būti laikomi duomenų valdytojais.
Toliau Teisingumo Teismas pažymėjo, kad nė viena BDAR nuostata neleidžia manyti, kad administracinės baudos skyrimas juridiniam asmeniui kaip duomenų valdytojui turi būti siejamas su reikalavimu prieš tai konstatuoti, kad šį pažeidimą padarė konkretus fizinis asmuo. Be to, Sąjungos teisės aktų leidėjas nepaliko valstybėms narėms diskrecijos šiuo klausimu. Tai, kad pagal BDAR joms yra suteikta galimybė numatyti procedūros, kurią turi taikyti priežiūros institucijos skirdamos administracinę baudą, reikalavimus (
6
), visiškai nereiškia, kad jos taip pat yra įgaliotos numatyti materialines sąlygas, papildančias numatytąsias BDAR.
Atsižvelgdamas į tai, Teisingumo Teismas patikslino, kad jeigu valstybėms narėms būtų leidžiama vienašališkai ir kaip būtinos administracinės baudos skyrimo pagal BDAR 83 straipsnį duomenų valdytojui, kuris yra juridinis asmuo, sąlygos reikalauti, kad aptariamas pažeidimas prieš tai būtų priskirtas arba galėtų būti priskiriamas konkrečiam fiziniam asmeniui, tai prieštarautų BDAR tikslui. Be to, toks papildomas reikalavimas galiausiai galėtų susilpninti juridiniams asmenims kaip duomenų valdytojams skiriamų administracinių baudų veiksmingumą ir atgrasomąjį poveikį.
Galiausiai Teisingumo Teismas pabrėžė, kad sąvoka „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius (
7
), neturi įtakos klausimui, ar ir kokiomis sąlygomis administracinė bauda pagal BDAR gali būti skirta duomenų valdytojui, kuris yra juridinis asmuo, ir yra reikšminga tik nustatant tokios baudos dydį.
Taigi Teisingumo Teismas priėjo prie išvados, kad pagal BDAR (
8
) draudžiama tokia nacionalinė reglamentavimo tvarka, pagal kurią administracinė bauda gali būti skiriama juridiniam asmeniui kaip duomenų valdytojui už šio reglamento pažeidimą (
9
) tik jeigu toks pažeidimas prieš tai buvo priskirtas konkrečiam fiziniam asmeniui.
Dėl klausimo, ar valstybės narės gali numatyti administracinių baudų skyrimą net jeigu pažeidimas, už kurį skiriama bauda, nebuvo padarytas tyčia ar dėl aplaidumo, Teisingumo Teismas visų pirma priminė, kad materialinės sąlygos, kurių turi paisyti priežiūros institucija, skirdama administracinę baudą duomenų valdytojui, patenka tik į Sąjungos teisės taikymo sritį, o valstybės narės šiuo klausimu neturi jokios diskrecijos.
Kalbėdamas apie šias sąlygas Teisingumo Teismas pažymėjo, kad tarp BDAR išvardytų veiksnių, į kuriuos atsižvelgdama priežiūros institucija skiria duomenų valdytojui administracinę baudą, nurodyta „tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo“ (
10
). Tačiau nė vienas iš tų veiksnių nepatvirtina galimybės patraukti duomenų valdytoją atsakomybėn nesant jo kaltės. Taigi administracinė bauda pagal šio reglamento 83 straipsnį duomenų valdytojui gali būti skirta tik už tyčia arba dėl aplaidumo padarytus BDAR nuostatų pažeidimus.
Teisingumo Teismas pridūrė, kad tokį aiškinimą patvirtina BDAR bendra sistema ir tikslas. Šiomis aplinkybėmis jis patikslino, kad sankcijų sistema, leidžianti skirti administracinę baudą pagal BDAR 83 straipsnį, kai to reikia atsižvelgiant į konkrečias kiekvieno atvejo aplinkybes, skatina duomenų valdytojus ir duomenų tvarkytojus laikytis šio reglamento, o administracinės baudos dėl atgrasomojo poveikio prisideda prie duomenų subjektų apsaugos stiprinimo. Vis dėlto Sąjungos teisės aktų leidėjas nemanė, kad būtina numatyti administracinių baudų skyrimą nesant kaltės. Atsižvelgiant į tai, kad BDAR siekiama lygiavertės ir vienodos apsaugos ir kad šiuo tikslu jis turi būti nuosekliai taikomas visoje Sąjungoje, šiam tikslui prieštarautų leidimas valstybėms narėms numatyti tokią baudų skyrimo sistemą.
Taigi Teisingumo Teismas konstatavo, kad administracinė bauda pagal BDAR 83 straipsnį gali būti skirta tik tuo atveju, jeigu įrodyta, kad duomenų valdytojas, kuris kartu yra juridinis asmuo ir įmonė, šiame reglamente įtvirtintas nuostatas pažeidė tyčia arba dėl aplaidumo.
(
1
)	2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamentas dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR).
(
2
)	1968 m. gegužės 24 d.Gesetz über Ordnungswidrigkeiten (Administracinių nusižengimų įstatymas; BGBl., 1968 I, p. 481) (1987 m. vasario 19 d. paskelbta redakcija (BGBl., 1987 I, p. 602)), iš dalies pakeistas 2020 m. birželio 19 d. įstatymu (BGBl., 2020 I, p. 1350).
(
3
)	Dėl BDAR 58 straipsnio 2 dalies ir 83 straipsnio.
(
4
)	Šiuo klausimu taip pat žr. tą pačią dieną priimtą Sprendimą Nacionalinis visuomenės sveikatos centras (C‑683/21).
(
5
)	BDAR 4 straipsnio 7 punktas.
(
6
)	Kaip matyti iš BDAR 58 straipsnio 4 dalies ir 83 straipsnio 8 dalies, siejamų su jo 129 konstatuojamąja dalimi.
(
7
)	Nurodyta BDAR 150 konstatuojamojoje dalyje.
(
8
)	BDAR 58 straipsnio 2 dalies i punktas ir 83 straipsnio 1–6 dalys.
(
9
)	Pagal BDAR 83 straipsnio 4–6 dalis.
(
10
)	BDAR 83 straipsnio 2 dalies b punktas.