62021CJ0807_RES
Mål C‑807/21
Deutsche Wohnen SE
mot
Staatsanwaltschaft Berlin
(begäran om förhandsavgörande från Kammergericht Berlin)
Domstolens dom (stora avdelningen) av den 5 december 2023
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artikel 4.7 – Begreppet personuppgiftsansvarig – Artikel 58.2 – Tillsynsmyndigheters korrigerande befogenheter – Artikel 83 – Påförande av administrativa sanktionsavgifter på en juridisk person – Villkor – Medlemsstaternas handlingsutrymme – Krav på att överträdelsen ska ha skett uppsåtligen eller av oaktsamhet”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Påförande av administrativa sanktionsavgifter – Villkor – Medlemsstaterna saknar handlingsutrymme för att föreskriva materiella villkor för påförandet av administrativa sanktionsavgifter på en juridisk person – Betydelse av företagsbegreppet i den mening som avses i artiklarna 101 och 102 FEUF begränsas till beräkningen av sanktionsavgifterna – Nationell lagstiftning enligt vilken det endast är möjligt att påföra en juridisk person administrativa sanktionsavgifter i dess egenskap av personuppgiftsansvarig under förutsättning att den ifrågavarande överträdelsen först kan tillskrivas en identifierad fysisk person – Otillåten
(Artiklarna 101, 102 och 288 andra stycket FEUF; Europaparlamentets och rådets förordning 2016/679, skäl 10, 11, 74, 129 och 150 samt artiklarna 4 led 7, 58.2, 58.4 och 83)
(se punkterna 38 och 43-60 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Begreppet personuppgiftsansvarig – Juridisk person – Omfattas – Villkor – Faktiskt medverkande vid bestämmandet av ändamålen och medlen för behandlingen
(Europaparlamentets och rådets förordning 2016/679, artikel 4 led 7)
(se punkterna 39–42)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Påförande av administrativa sanktionsavgifter – Villkor – Medlemsstaterna saknar handlingsutrymme för att föreskriva materiella villkor för påförandet av administrativa sanktionsavgifter på en juridisk person – Krav på att den personuppgiftsansvarige ska ha begått överträdelsen med uppsåt eller genom oaktsamhet
(Europaparlamentets och rådets förordning 2016/679, skälen 9, 13 och 148 samt artiklarna 58.2 och 83)
(se punkterna 65-78 samt punkt 2 i domslutet)
Resumé
Deutsche Wohnen SE (nedan kallat DW) är ett fastighetsbolag som indirekt, genom andelar i olika bolag, innehar ett stort antal affärslokaler och bostäder. Inom ramen för sin affärsverksamhet behandlar DW personuppgifter från fastigheternas hyresgäster.
Till följd av två kontroller på plats, som genomfördes åren 2017 och 2019, konstaterade Berliner Beauftragte für den Datenschutz (ombudsmannen för dataskydd i Berlin, Tyskland) (nedan kallad tillsynsmyndigheten) att DW hade gjort sig skyldig till ett antal överträdelser av dataskyddsförordningen (
1
). Genom beslut av den 30 oktober 2019 påförde tillsynsmyndigheten DW administrativa sanktionsavgifter.
Deutsche Wohnen överklagade detta beslut till Landgericht Berlin (Regionala domstolen i Berlin, Tyskland), som avskrev målet. Nämnda domstol påpekade att enligt tysk rätt (
2
) kan en administrativ överträdelse endast fastställas vad avser en fysisk person och inte en juridisk person. Dessutom kan den juridiska personen endast tillskrivas ansvar för sådana åtgärder som vidtas av dess företrädare eller av medlemmarna i dess ledning. Staatsanwaltschaft Berlin (åklagarmyndigheten i Berlin) överklagade detta beslut till Kammergericht Berlin (Regionala överdomstolen i Berlin, Tyskland). I detta sammanhang begärde den domstolen ett förhandsavgörande från EU-domstolen avseende tolkningen av dataskyddsförordningen (
3
).
I sin dom uttalar sig domstolen (stora avdelningen) om villkoren för att påföra administrativa sanktionsavgifter enligt dataskyddsförordningen. Domstolen prövar först frågan huruvida medlemsstaterna får föreskriva att administrativa sanktionsavgifter endast kan påföras en juridisk person under förutsättning att överträdelsen av denna förordning först har tillskrivits en identifierad fysisk person. Därefter prövar domstolen frågan huruvida den överträdelse av dataskyddsförordningen som beivras ska ha begåtts med uppsåt eller genom oaktsamhet (
4
).
Domstolens bedömning
Vad gäller påförande av administrativa sanktionsavgifter enligt dataskyddsförordningen på en juridisk person, påpekar domstolen inledningsvis att de principer, förbud och skyldigheter som föreskrivs i dataskyddsförordningen särskilt riktar sig till ”personuppgiftsansvariga”, vars ansvar omfattar all personuppgiftsbehandling som de utför själva eller som utförs på deras vägnar. Det är detta ansvar som, vid en överträdelse av dataskyddsförordningen, utgör grunden för att påföra den personuppgiftsansvarige administrativa sanktionsavgifter med tillämpning av artikel 83 i denna förordning. Unionslagstiftaren har emellertid vid fastställandet av ett sådant ansvar inte gjort någon åtskillnad mellan fysiska och juridiska personer. Det enda villkor som gäller för detta ansvar är att dessa personer, var för sig eller tillsammans med andra, bestämmer ändamålen och medlen för behandlingen av personuppgifter (
5
). Följaktligen är i princip varje person som uppfyller detta villkor ansvarig för varje överträdelse av dataskyddsförordningen, som denne begår eller som begås på dess vägnar. Detta innebär att juridiska personer inte bara är ansvariga för överträdelser som begåtts av deras företrädare, direktörer eller förvaltare, utan även av varje annan person som agerar inom ramen för dessa juridiska personers affärsverksamhet och för deras räkning. När juridiska personer kan anses vara personuppgiftsansvariga för den ifrågavarande behandlingen ska de administrativa sanktionsavgifter som för sådana överträdelser föreskrivs i dataskyddsförordningen vidare kunna påföras dessa personer direkt.
Domstolen påpekar att det däremot inte följer av någon bestämmelse i dataskyddsförordningen att en förutsättning för att påföra en juridisk person sanktionsavgifter i egenskap av personuppgiftsansvarig skulle vara att en identifierad fysisk person först har konstaterats vara ansvarig för den ifrågavarande överträdelsen. Unionslagstiftaren har inte heller tillerkänt medlemsstaterna något handlingsutrymme i detta avseende. Den omständigheten att medlemsstaterna enligt dataskyddsförordningen ges möjlighet att föreskriva villkor för det förfarande som tillsynsmyndigheterna ska tillämpa vid påförande av administrativa sanktionsavgifter (
6
) innebär på intet sätt att de även ges behörighet att föreskriva ytterligare materiella krav än dem som fastställs i förordningen.
Domstolen preciserar i detta sammanhang att det skulle strida mot syftet med dataskyddsförordningen om medlemsstaterna tilläts att unilateralt kräva, som ett nödvändigt villkor för att påföra en personuppgiftsansvarig som är en juridisk person administrativa sanktionsavgifter med tillämpning av artikel 83 dataskyddsförordningen, att en identifierad fysisk person först tillskrivs eller kan hållas ansvarig för den aktuella överträdelsen. Ett sådant ytterligare krav skulle dessutom i slutändan riskera att försvaga effektiviteten och den avskräckande verkan av administrativa sanktionsavgifter som påförs juridiska personer i egenskap av personuppgiftsansvariga.
Domstolen understryker slutligen att företagsbegreppet, i den mening som avses i artiklarna 101 och 102 FEUF (
7
), saknar betydelse för frågan huruvida och på vilka villkor administrativa sanktionsavgifter kan påföras en personuppgiftsansvarig som är en juridisk person, med tillämpning av dataskyddsförordningen. Företagsbegreppet är nämligen endast relevant för att fastställa beloppet på de administrativa sanktionsavgifterna.
Domstolen drar således slutsatsen att dataskyddsförordningen (
8
) utgör hinder för nationell lagstiftning enligt vilken administrativa sanktionsavgifter kan påföras en juridisk person i dennes egenskap av personuppgiftsansvarig för en överträdelse av förordningen (
9
) endast om överträdelsen först har tillskrivits en identifierad fysisk person.
Vad gäller frågan huruvida medlemsstaterna får föreskriva att administrativa sanktionsavgifter ska åläggas även när den beivrade överträdelsen inte har begåtts med uppsåt eller genom oaktsamhet, erinrar domstolen om att de materiella krav som en tillsynsmyndighet ska iaktta när den beslutar att påföra en personuppgiftsansvarig administrativa sanktionsavgifter enbart omfattas av unionsrätten och att medlemsstaterna inte medges något handlingsutrymme i detta avseende.
Beträffande dessa krav har domstolen påpekat att i den uppräkning av vilka faktorer som en tillsynsmyndighet ska beakta vid beslut om att påföra en personuppgiftsansvarig administrativa sanktionsavgifter återfinns frågan huruvida ”överträdelsen skett med uppsåt eller genom oaktsamhet” (
10
). Någon hänvisning till en möjlighet att hålla en personuppgiftsansvarig ansvarig utan att överträdelsen skett varken uppsåtligen eller av oaktsamhet görs däremot inte i någon av de faktorer som räknas upp. Det är således endast i fall där en personuppgiftsansvarig har åsidosatt bestämmelserna i förordningen genom ett vållande, det vill säga uppsåtligen eller av oaktsamhet, som det kan bli aktuellt att påföra den personuppgiftsansvarige administrativa sanktionsavgifter med stöd av artikel 83 i förordningen.
Domstolen har tillagt att en sådan tolkning vinner stöd av den allmänna systematiken i och syftet med dataskyddsförordningen. Domstolen har i detta sammanhang preciserat att förekomsten av en sanktionsordning som innebär att tillsynsmyndigheterna ges möjlighet att påföra de sanktioner som är mest lämpliga beroende på omständigheterna i varje enskilt fall skapar ett incitament för personuppgiftsansvariga och personuppgiftsbiträden att följa förordningen och att administrativa sanktionsavgifter, genom sin avskräckande verkan, bidrar till att stärka skyddet för registrerade. Unionslagstiftaren har dock inte ansett att det behöver föreskrivas att administrativa sanktionsavgifter kan påföras även i fall där överträdelsen inte skett vare sig uppsåtligen eller av oaktsamhet. Med hänsyn till att dataskyddsförordningen syftar till att uppnå en både likvärdig och enhetlig skyddsnivå och att det för detta ändamål krävs att förordningen tillämpas på ett konsekvent sätt i hela unionen, skulle det strida mot detta ändamål att tillåta medlemsstaterna att införa en sådan ordning för påförande av administrativa sanktionsavgifter.
Domstolen konstaterar följaktligen att administrativa sanktionsavgifter endast kan påföras med stöd av artikel 83 i dataskyddsförordningen om det visas att den personuppgiftsansvarige, som både är en juridisk person och ett företag, uppsåtligen eller av oaktsamhet har begått en överträdelse av dataskyddsförordningen.
(
1
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).
(
2
)	Gesetz über Ordnungswidrigkeiten (lag om administrativa överträdelser) av den 24 maj 1968 (BGBl. 1968 I, s. 481) i dess lydelse enligt tillkännagivandet av den 19 februari 1987 (BGBl. 1987 I, s. 602), ändrad genom lagen av den 19 juni 2020 (BGBl. 2020 I, s. 1350).
(
3
)	Artiklarna 58.2 och 83 i dataskyddsförordningen.
(
4
)	I detta avseende, se även dom av samma dag Nacionalinis visuomenės sveikatos centras (C‑683/21).
(
5
)	I den mening som avses i artikel 4 led 7 i dataskyddsförordningen.
(
6
)	Såsom framgår av artikel 58.4 och artikel 83.8 i dataskyddsförordningen, jämförda med skäl 129 i samma förordning.
(
7
)	Till vilken hänvisas i skäl 150 i dataskyddsförordningen.
(
8
)	Artiklarna 58.2 i och 83.1-83.6 i dataskyddsförordningen.
(
9
)	En sådan överträdelse som avses i artikel 83.4-83.6 i dataskyddsförordningen.
(
10
)	Artikel 83.2 b i dataskyddsförordningen.