62023CC0383
CONCLUSIONES DE LA ABOGADA GENERAL
SRA. LAILA MEDINA
presentadas el 12 de septiembre de 2024 (
1
)
Asunto C‑383/23
Anklagemyndigheden
contra
ILVA A/S
[Petición de decisión prejudicial planteada por el Vestre Landsret (Tribunal de Apelación de la Región Oeste, Dinamarca)]
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 83 — Multas administrativas — Multas distintas de las multas administrativas — Concepto de “empresa” — Artículos 101 TFUE y 102 TFUE — Sociedad matriz y filial — Infracción del Reglamento 2016/679 por una filial — Cálculo del importe de la multa — Consideración del volumen de negocio total del grupo del que forma parte la sociedad en cuestión — Procedimiento penal»
1.
Mediante la presente petición de decisión prejudicial planteada por el Vestre Landsret (Tribunal de Apelación de la Región Oeste, Dinamarca), se solicita la interpretación del artículo 83, apartados 4 a 6, del Reglamento (UE) 2016/679. (
2
) Esta petición se ha presentado en el contexto del procedimiento penal incoado por la Anklagemyndigheden (Fiscalía, Dinamarca) contra la sociedad ILVA A/S (
3
) por el incumplimiento de sus obligaciones derivadas del artículo 5, apartados 1, letra e), y 2, y del artículo 6 del RGPD en su condición de responsable del tratamiento de datos personales de al menos 350000 antiguos clientes.
2.
El asunto versa sobre si el término «empresa» que figura en el artículo 83, apartados 4 a 6, del RGPD debe interpretarse, a la luz del considerando 150 de dicho Reglamento, en el sentido de que equivale al concepto de «empresa» previsto en el Derecho de la competencia de la Unión (artículos 101 TFUE y 102 TFUE). Ello suscita la cuestión de si, al imponer una multa a una sociedad por una infracción del RGPD, es oportuno tener en cuenta el volumen de negocio anual total de la entidad económica (o grupo) del que forma parte la sociedad infractora, y no solo el volumen de negocio anual total de esta sociedad por sí sola.
3.
La particularidad del presente asunto estriba en que, en el litigio principal, la multa no fue impuesta por la autoridad nacional de control de datos en el ejercicio de sus facultades de control, sino por un órgano jurisdiccional en un proceso penal. En efecto, el legislador de la Unión introdujo en el RGPD una disposición específica en este sentido, que es aplicable, en particular, a Dinamarca.
I. Marco jurídico
A.
Derecho de la Unión
4.
De conformidad con los considerandos 150 y 151 del RGPD:
«(150)
A fin de reforzar y armonizar las sanciones administrativas por infracción del presente Reglamento, cada autoridad de control debe estar facultada para imponer multas administrativas. El presente Reglamento debe indicar las infracciones así como el límite máximo y los criterios para fijar las correspondientes multas administrativas, que la autoridad de control competente debe determinar en cada caso individual teniendo en cuenta todas las circunstancias concurrentes en él, atendiendo en particular a la naturaleza, gravedad y duración de la infracción y sus consecuencias y a las medidas tomadas para garantizar el cumplimiento de las obligaciones impuestas por el presente Reglamento e impedir o mitigar las consecuencias de la infracción. Si las multas administrativas se imponen a una empresa, por tal debe entenderse una empresa con arreglo a los artículos 101 [TFUE] y 102 [TFUE]. […]
(151)
Los ordenamientos jurídicos de Dinamarca y Estonia no permiten las multas administrativas según lo dispuesto en el presente Reglamento. Las normas sobre multas administrativas pueden ser aplicadas en Dinamarca de tal manera que la multa sea impuesta por los tribunales nacionales competentes en cuanto sanción penal, y en Estonia de tal manera que la multa sea impuesta por la autoridad de control en el marco de un juicio de faltas, siempre que tal aplicación de las normas en dichos Estados miembros tenga un efecto equivalente a las multas administrativas impuestas por las autoridades de control. Por lo tanto los tribunales nacionales competentes deben tener en cuenta la recomendación de la autoridad de control que incoe la multa. En todo caso, las multas impuestas deben ser efectivas, proporcionadas y disuasorias.»
5.
El artículo 83 del RGPD, titulado «Condiciones generales para la imposición de multas administrativas», dispone:
«1.   Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
2.   Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
[…]
3.   Si un responsable o un encargado del tratamiento incumpliera de forma intencionada o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas, diversas disposiciones del presente Reglamento, la cuantía total de la multa administrativa no será superior a la cuantía prevista para las infracciones más graves.
4.   Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10000000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
[…]
5.   Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20000000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
[…]
6.   El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20000000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.
[…]
8.   El ejercicio por una autoridad de control de sus poderes en virtud del presente artículo estará sujeto a garantías procesales adecuadas de conformidad con el Derecho de la Unión y de los Estados miembros, entre ellas la tutela judicial efectiva y el respeto de las garantías procesales.
[…]»
B.
Derecho nacional
6.
La Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Ley n.o 502 por la que se completa el reglamento de protección en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos), de 23 de mayo de 2018, establece, en su artículo 41:
«[Apartado 1.] A menos que esté justificada una sanción mayor en virtud de otras normas, se impondrá una multa o una pena de privación de libertad de un máximo de seis meses a quien infrinja las normas relativas a:
[…]
(4)
los principios básicos del tratamiento, en particular las condiciones de consentimiento, de los artículos 5 a 7 y 9 del [RGPD],
[…]
Apartado 3. En la imposición de una sanción con arreglo a los apartados 1 y 2, deberá aplicarse el artículo 83, apartado 2, del [RGPD].
[…]
Apartado 6. Las sociedades y demás entidades (personas jurídicas) podrán ser declaradas penalmente responsables con arreglo a las normas establecidas en el capítulo 5 del Código Penal. […]»
II. Hechos que dieron lugar al litigio principal y cuestiones prejudiciales
7.
ILVA está imputada ante los tribunales daneses por el incumplimiento —entre mayo de 2018 y enero de 2019— de sus obligaciones derivadas del artículo 5, apartados 1, letra e), y 2, y del artículo 6 del RGPD, en su condición de responsable del tratamiento en relación con la conservación de datos personales relativos a sus antiguos clientes.
8.
ILVA gestiona una cadena de tiendas de muebles y forma parte del grupo Lars Larsen (en lo sucesivo, «grupo»). En el ejercicio 2016/2017, el volumen de negocio total del grupo ascendió a 6570 millones de coronas danesas (DKK) (aproximadamente 881 millones de euros). De esta cifra, el volumen de negocio de la filial ILVA representó 1800 millones de DKK (en torno a 241 millones de euros).
9.
Siguiendo la recomendación de la Datatilsynet (Agencia de Protección de Datos, Dinamarca), que es la autoridad de protección de datos danesa con arreglo al RGPD (en lo sucesivo, «autoridad de control»), la Fiscalía concluyó que debía imponerse a ILVA una multa de 1,5 millones de DKK (aproximadamente 201000 euros). Para calcular la cuantía de esa multa no se toma como referencia el volumen de negocio de ILVA, sino el volumen de negocio total del grupo en su conjunto.
10.
Mediante sentencia de 12 de febrero de 2021, el Retten i Aarhus (Tribunal de Primera Instancia de Aarhus, Dinamarca) declaró culpable a ILVA de las imputaciones formuladas, pero consideró, en contra de lo defendido por la Fiscalía, que había actuado por negligencia. Ese tribunal condenó a ILVA a pagar una multa de 100000 DKK (en torno a 13400 euros). Además, según dicho tribunal, dado que únicamente se habían formulado imputaciones contra ILVA y no contra el grupo en su totalidad, no era necesario tomar en consideración el volumen de negocio de ese grupo para calcular el importe de la multa. Declaró, asimismo, que ILVA ejercía una actividad independiente de comercio al por menor y que el grupo no había constituido esa filial con el único fin de encomendarle el tratamiento de los datos personales del grupo.
11.
La Fiscalía interpuso recurso de apelación contra esa sentencia ante el Vestre Landsret (Tribunal de Apelación de la Región Oeste), que es el órgano jurisdiccional remitente. Este órgano jurisdiccional desea saber si el término «empresa» del artículo 83, apartados 4 a 6, del RGPD debe interpretarse en el sentido de que, para fijar una multa en caso de infracción del RGPD por una sociedad, es necesario tener en cuenta el volumen de negocio del grupo al que pertenece la sociedad de que se trate.
12.
La Fiscalía afirma que así es. Aduce que del considerando 150 del RGPD se desprende que el mencionado término debe entenderse de conformidad con los artículos 101 TFUE y 102 TFUE.
13.
ILVA, por su parte, alega que, al fijar una multa por infracción del RGPD por una empresa, no debe tenerse en cuenta el volumen de negocio total del grupo al que pertenece la empresa. En este caso concreto, solo se han formulado imputaciones contra ILVA, que es una filial, y no contra la sociedad matriz.
14.
Según el órgano jurisdiccional remitente, la respuesta a esta cuestión no resulta claramente del RGPD.
15.
En tales circunstancias, el Vestre Landsret (Tribunal de Apelación de la Región Oeste) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1)
¿Debe interpretarse que el término “virksomhed” [(empresa, en la versión en español)] que figura en el artículo 83, apartados 4 a 6, del [RGPD] se refiere a una empresa, en el sentido de los artículos 101 TFUE y 102 TFUE, en relación con el considerando 150 de ese mismo Reglamento, y de la jurisprudencia del Tribunal de Justicia de la Unión Europea en materia de Derecho de la competencia de la Unión, de manera que dicho término engloba a toda entidad que desarrolla una actividad económica, al margen de su estatuto jurídico y de la manera en que se financia?
2)
En caso de respuesta afirmativa a la primera cuestión prejudicial, ¿debe interpretarse el artículo 83, apartados 4 a 6, del [RGPD] en el sentido de que, cuando se impone una multa a una empresa, es preciso tener en cuenta el volumen de negocio total anual global del grupo en el que está integrada esa empresa o únicamente el volumen de negocio total anual global de la propia empresa?»
III. Procedimiento ante el Tribunal de Justicia
16.
Han presentado observaciones escritas ILVA y la Comisión Europea. El 19 de junio de 2024, se celebró una vista, en la que ambas partes estuvieron representadas.
IV. Apreciación
A.
Introducción
17.
El contexto de las disposiciones concretas del RGPD que son pertinentes en el presente asunto (
4
) y aplicables en particular a Dinamarca es el hecho de que la Agencia de Protección de Datos no puede, en principio, imponer multas administrativas por infracciones de la legislación de protección de datos. La Agencia de Protección de Datos debe, en cambio, presentar una denuncia ante la Policía si lo estima necesario. (
5
) A continuación, la Policía examina y determina si existen motivos para una imputación formal. De ser así, el asunto se remite a los tribunales, que lo examinan y fijan el nivel de la multa.
B.
Análisis de las cuestiones prejudiciales
18.
En mi opinión, procede examinar conjuntamente las dos cuestiones prejudiciales. Mediante estas cuestiones prejudiciales, el órgano jurisdiccional remitente pregunta, en esencia, si el término «empresa» del artículo 83, apartados 4 a 6, del RGPD debe interpretarse, a la luz del considerando 150 del citado Reglamento, como equivalente al concepto de empresa en el sentido de los artículos 101 TFUE y 102 TFUE. Esto suscita la cuestión de si, a efectos de imponer una multa a una sociedad por infracción del RGPD, es necesario tener en cuenta el volumen de negocio anual total de la empresa en su totalidad (la entidad económica o el grupo, en el caso de autos, el grupo Lars Larsen, es decir, unos 881 millones de euros) de la que forma parte la sociedad, (
6
) y no únicamente el volumen de negocio anual total de esta sociedad por sí sola (ILVA, es decir, aproximadamente 241 millones de euros).
1. Sentencia Deutsche Wohnen
19.
El artículo 83 del RGPD constituye la base legal para la imposición de multas por infracciones de dicho Reglamento. El RGPD no recoge ninguna definición del concepto de «empresa» a tales efectos, pero, según su considerando 150, deben emplearse los principios de Derecho de la competencia de la Unión para interpretar ese concepto. (
7
)
20.
El Tribunal de Justicia ha tenido recientemente ocasión de interpretar algunos (aunque no todos) apartados del artículo 83 del RGPD y de abordar determinados aspectos que guardan relación con las cuestiones prejudiciales planteadas en el presente asunto.
21.
En la sentencia Deutsche Wohnen, (
8
) el Tribunal de Justicia declaró, en particular, que «del artículo 83, apartados 4 a 6, del RGPD, que tiene por objeto el cálculo de las multas administrativas por las infracciones enumeradas en esos apartados, se desprende que, en el supuesto de que el destinatario de la multa administrativa sea una empresa o forme parte de ella, en el sentido de los artículos 101 TFUE y 102 TFUE, el importe máximo de la multa administrativa se calcula sobre la base de un porcentaje del volumen de negocio total anual global del ejercicio financiero anterior de la empresa de que se trate».
22.
El Tribunal de Justicia precisa que el importe máximo de la multa administrativa se basa en el volumen de negocio total anual global (
9
) de la «empresa», de modo que este término debe entenderse conforme al Derecho de la competencia de la Unión (artículos 101 TFUE y 102 TFUE). El Tribunal de Justicia señala, pues, que el legislador de la Unión, al establecer el importe máximo de las multas del RGPD, pretendió tender un puente entre las normas del RGPD y las normas del Derecho de la competencia de la Unión.
23.
En efecto, a este respecto, el artículo 83, apartados 4 a 6, del RGPD se asemeja al artículo 23, apartado 2, del Reglamento (CE) n.o 1/2003, (
10
) en la medida en que ambos establecen un tope máximo legal para las multas impuestas en virtud de los respectivos Reglamentos.
24.
El Tribunal de Justicia amplió su razonamiento y examinó los requisitos aplicables para determinar el importe de la multa administrativa. En el apartado 58 de la sentencia Deutsche Wohnen, el Tribunal de Justicia declaró que «solo una multa administrativa cuya cuantía se determine en función de la capacidad económica real o material de su destinatario, y, por tanto, impuesta por la autoridad de control basándose, por lo que respecta a su importe, en el concepto de unidad económica en el sentido de la jurisprudencia [ (
11
)] […], puede reunir los tres requisitos enunciados en el artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva, proporcionada y disuasoria». Aunque el Tribunal de Justicia se refirió a este respecto al «destinatario» de la multa, recalcando así el vínculo entre la multa y la persona a la que se imputaba específicamente la infracción del RGPD, más adelante volvió a emplear el concepto de «empresa» («unidad económica») en el sentido del Derecho de la competencia de la Unión.
25.
Por otra parte, en el apartado 59 de la citada sentencia, el Tribunal de Justicia señaló que, «cuando una autoridad de control decide, con arreglo a los poderes de que dispone en virtud del artículo 58, apartado 2, del RGPD, imponer a un responsable del tratamiento, que es una empresa o forma parte de ella, en el sentido de los artículos 101 TFUE y 102 TFUE, una multa administrativa con arreglo al artículo 83 del referido Reglamento, esa autoridad está obligada a basarse, en virtud de esta última disposición, interpretada a la luz del considerando 150 de ese mismo Reglamento, al calcular las multas administrativas por las infracciones contempladas en los apartados 4 a 6 de dicho artículo 83, en el concepto de “empresa”, en el sentido de los artículos 101 TFUE y 102 TFUE». (
12
)
26.
Procede concluir que de la sentencia Deutsche Wohnen se desprende que, cuando la infracción del RGPD sea cometida por un responsable o un encargado del tratamiento que sea una empresa (o forme parte de ella), al fijar el importe máximo de la multa, la referencia al volumen de negocio total anual global de la «empresa» ha de entenderse conforme a los artículos 101 TFUE y 102 TFUE. Sin embargo, dicha sentencia no solo aclara la cuestión relativa al importe máximo de la multa que puede imponerse eventualmente al responsable o encargado del tratamiento. Implica, asimismo, que la muy matizada jurisprudencia (y bastante específica en función de los casos) sobre los conceptos de empresa y «unidad económica» resulta pertinente, en cierta medida, también para establecer las condiciones para determinar la multa efectiva impuesta por esa infracción específica del RGPD.
27.
En los puntos siguientes, analizaré la incidencia de la sentencia Deutsche Wohnen en el contexto específico del presente asunto, con el fin de proponer un marco que oriente al órgano jurisdiccional remitente a la hora de determinar la multa de ILVA.
2. Primer paso del análisis a la luz de la sentencia Deutsche Wohnen: análisis general para establecer el importe máximo de la multa
28.
Como se ha indicado en los puntos 25 y 26 anteriores, del tenor del artículo 83 del RGPD, interpretado a la luz del considerando 150 del referido Reglamento, y de la jurisprudencia Deutsche Wohnen se desprende que, cuando el responsable o encargado del tratamiento sea una «empresa» (o forme parte de ella) en el sentido de los artículos 101 TFUE y 102 TFUE, debe utilizarse el volumen de negocio global de la empresa en su totalidad para determinar el importe máximo de la multa.
29.
Según la jurisprudencia del Tribunal de Justicia en materia de Derecho de la competencia, el concepto de empresa «comprende cualquier entidad que ejerza una actividad económica con independencia del estatuto jurídico de dicha entidad y de su modo de financiación». (
13
)
30.
Resulta asimismo de la jurisprudencia del Tribunal de Justicia que el término «empresa» de los artículos 101 TFUE y 102 TFUE puede referirse a una unidad económica única, aunque esté integrada por varias personas físicas o jurídicas. La cuestión de si varias entidades forman una entidad de ese tipo depende en gran medida de si la entidad individual es libre en su toma de decisiones o si una entidad dominante, en particular la sociedad matriz, ejerce una influencia determinante sobre las demás. Los criterios para dilucidar esta cuestión se basan en los vínculos económicos, jurídicos y organizativos entre la sociedad matriz y su filial, por ejemplo, la cuantía de la participación, los vínculos organizativos o de personal, la existencia de instrucciones y de contratos societarios. (
14
)
31.
La jurisprudencia aclara, asimismo, que el ejercicio efectivo de una influencia determinante por parte de la sociedad matriz en el comportamiento de la filial puede deducirse de una acumulación de circunstancias concordantes, aunque ninguna de dichas circunstancias, consideradas aisladamente, sea suficiente para acreditar la existencia de tal influencia. (
15
) Los Tribunales de la Unión han mencionado a este respecto, en particular, la facultad de la sociedad matriz de nombrar a los miembros de los diversos consejos de administración de la filial y la facultad de convocar a los accionistas a las juntas, así como de proponer el cese de consejeros o del consejo de administración de la filial en su totalidad. (
16
)
32.
De reiterada jurisprudencia se desprende que, en el caso específico de que una sociedad matriz sea titular, directa o indirectamente, de la totalidad o de la cuasitotalidad del capital de una filial que ha infringido las normas en materia de competencia, por un lado, esa sociedad matriz puede ejercer una influencia determinante en el comportamiento de la filial en cuestión y, por otro, existe la presunción iuris tantum de que dicha sociedad matriz ejerce efectivamente tal influencia. (
17
)
33.
Según el apartado 2 de la resolución de remisión, ILVA forma parte del grupo Lars Larsen. Si el órgano jurisdiccional remitente considerase que la sociedad matriz de dicho grupo ejerce una influencia determinante sobre ILVA, la empresa a efectos del artículo 83, apartado 5, del RGPD consistiría en: (i) la sociedad matriz de ese grupo; (ii) ILVA, y (iii) cualquier otra compañía sobre la que la sociedad matriz ejerza también una influencia determinante. Esta última categoría incluye potencialmente a las demás sociedades del grupo Lars Larsen.
34.
Se hace referencia expresamente al «volumen de negocio» en el artículo 83, apartados 4 a 6, del RGPD en el contexto del cálculo del importe máximo de la multa que puede imponerse a las sociedades. Dicho importe máximo corresponde a sociedades de tamaño muy grande, ya que el límite no se aplica si la multa es inferior a la cifra absoluta mencionada en esos tres apartados del artículo 83, a saber, 10 millones de euros o 20 millones de euros. Por consiguiente, el tope establecido en función del volumen de negocio solo es pertinente para sociedades con un volumen de negocio total global superior a 500 millones de euros. (
18
)
35.
De ello se deduce que, si el órgano jurisdiccional remitente considerara que la sociedad matriz del grupo Lars Larsen ejerce una influencia determinante sobre ILVA, entonces, de manera abstracta, el importe máximo de la multa que se imponga en el litigio principal deberá calcularse sobre la base del porcentaje del volumen de negocio total anual global en el ejercicio social anterior de la empresa de que se trata, es decir, el grupo Lars Larsen (del que ILVA forma parte).
3. Segundo paso del análisis a la luz de la sentencia Deutsche Wohnen: análisis para establecer la multa efectiva por las infracciones del litigio principal
36.
La cuestión de fijar el importe máximo de la multa, según lo previsto por el legislador de la Unión en el artículo 83, apartados 4 a 6, del RGPD, no debe confundirse ni mezclarse con la ulterior tarea de la autoridad de control, (
19
) consistente en determinar la multa efectiva que ha de imponerse por la infracción o las infracciones concretas del RGPD.
37.
A tal efecto, debe observarse, en primer lugar, que el artículo 83, apartado 1, del RGPD establece tres requisitos esenciales (
20
) que la autoridad de control debe respetar. Cada uno de estos requisitos exige una ponderación individual de todos los elementos de la infracción en cuestión y de la multa efectiva adecuada que ha de imponerse. Asimismo, el artículo 83, apartado 2, obliga a dicha autoridad a cumplir una serie de requisitos al decidir «la imposición de una multa administrativa y [la] cuantía [adecuada de la multa administrativa efectiva]». Por tanto, para entender plenamente la aplicación del artículo 83, apartados 4 a 6, del RGPD en el contexto de la determinación de la multa efectiva en un caso concreto, tales apartados deben interpretarse en relación con el artículo 83, apartados 1 y 2, del citado Reglamento. Reviste especial importancia que esta última disposición enumera los factores específicos que una autoridad de control debe tener en cuenta para determinar el importe efectivo de la multa en un caso concreto.
38.
El propio tenor del apartado 2 del mencionado artículo exige tener debidamente en cuenta varios elementos de «cada caso individual», mientras que, al mismo tiempo, encomienda a la autoridad de control la identificación de los elementos específicos que son pertinentes en el caso del que conoce y la determinación de su relevancia a efectos de fijar la multa efectiva. (
21
)
39.
A diferencia del artículo 83, apartados 4 a 6, del RGPD (véase el punto 34 de las presentes conclusiones), el artículo 83, apartados 2, 1 o 3, de dicho Reglamento (
22
) no menciona el volumen de negocio
de la empresa. De ello se deduce que el legislador de la Unión decidió no incluir el «volumen de negocio» entre los factores específicos para determinar la multa efectiva. En cambio, el artículo 83, apartado 2, enumera otros factores (
23
) que caracterizan el comportamiento de un responsable o encargado del tratamiento al que se imputa una infracción, con el fin de garantizar que cada infracción se aprecie sobre la base de todas las circunstancias individuales pertinentes. En mi opinión, de las consideraciones anteriores cabe deducir que el legislador de la Unión pretendió diferenciar entre los factores que constituyen la base para determinar el importe máximo de la multa (primer paso) y la serie de requisitos que son vinculantes para la autoridad de control al fijar la multa efectiva (segundo paso).
40.
En este sentido, quisiera recordar que el Tribunal de Justicia ha destacado que «una sanción, incluso de carácter no penal, solo puede ser impuesta si se funda en una base legal clara y carente de ambigüedad». (
24
) Esto se aplica, con mayor motivo, en los procedimientos penales, como el del presente asunto. La jurisprudencia del Tribunal de Justicia se refiere al «principio de legalidad [que] exige que la ley defina claramente las infracciones y las penas que las castigan […] [y] los criterios de apreciación de la claridad de la ley según la jurisprudencia del Tribunal Europeo de Derechos Humanos [(en lo sucesivo, “TEDH”)]». (
25
)
41.
A este respecto, la Comisión aduce, en resumen, que, en el presente asunto, el RGPD implica que no solo el importe máximo de la multa debe basarse en el volumen de negocio de la empresa de la que forma parte la sociedad, sino también el cálculo de la multa efectiva. Sin embargo, las consideraciones expuestas en los puntos 37 a 40 de las presentes conclusiones no permiten concluir que el artículo 83, apartados 1 a 6, del RGPD deba interpretarse en el sentido de que las normas para establecer el importe máximo de la multa (primer paso) han de utilizarse también como la referencia principal o única para fijar la multa efectiva (segundo paso).
42.
En segundo lugar, en el marco de los efectos indirectos derivados de establecer un puente entre los dos ámbitos del Derecho, la necesidad de distinguir entre el importe máximo de una multa (primer paso) y la multa efectiva (segundo paso) puede deducirse también del Derecho de la competencia de la Unión. Efectivamente, en el Derecho de la competencia de la Unión, al igual que en el artículo 83 del RGPD, la Comisión utiliza el volumen de negocio para calcular el importe máximo de la multa (que se fija en un 10 % del volumen de negocio total de la empresa por infracción). No obstante, es importante subrayar que la multa de base en sí misma no se determina en función del volumen de negocio. (
26
)
43.
Por el contrario, la multa de base se determina, en esencia, como un porcentaje del valor de las ventas pertinentes (relacionadas directa o indirectamente con la vulneración de la competencia) multiplicado por la duración (años o períodos inferiores a un año), más entre un 15 % y un 25 % del valor de las ventas pertinentes (como elemento disuasorio adicional para los cárteles). A continuación, dicha multa de base se incrementa si concurren circunstancias agravantes o se reduce si existen circunstancias atenuantes. Acto seguido, se aplica a ese importe el límite máximo global del 10 % del volumen de negocio (existe la posibilidad adicional, en su caso, de reducir la multa por razones de clemencia, transacción o incapacidad de pago). Así pues, queda de manifiesto que son los factores que caracterizan directamente la infracción (como las ventas pertinentes, la duración de la infracción y las circunstancias específicas del caso) los que juegan un papel decisivo para fijar la multa efectiva, y no el volumen de negocio total anual global.
44.
Como ya ha señalado la doctrina jurídica, «la metodología de fijación de multas empleada por la Comisión en relación con los artículos 101 TFUE [y] 102 TFUE no es extrapolable al RGPD, ya que las multas de la Unión en materia de competencia persiguen reflejar los efectos de la conducta [anticompetitiva] en el mercado afectado, en lugar de tomar en consideración el volumen de negocio per se. Por ejemplo, en el caso de los cárteles, las multas se basan en el valor de las ventas relacionadas con el “producto objeto del cártel”, en lugar de en el volumen de negocio global». (
27
)
45.
Efectivamente, la jurisprudencia del Tribunal de Justicia confirma que la parte del volumen de negocio global procedente de la venta de los productos que son objeto de la infracción (es decir, el «valor de las ventas») es la que mejor refleja la importancia económica de dicha infracción. (
28
) En cambio, el concepto de «volumen de negocio» del RGPD persigue reflejar la importancia económica de la empresa. (
29
) Estos dos enfoques no deben confundirse, ya que responden a objetivos distintos: el primero pretende apreciar la gravedad de la infracción, mientras que el segundo tiene por objeto valorar la importancia de la empresa.
46.
Así pues, las consideraciones anteriores y la jurisprudencia del Tribunal de Justicia (citada en el punto 40 de las presentes conclusiones) me llevan a concluir que el principio de legalidad debe delimitar el impacto de la jurisprudencia en materia de Derecho de la competencia de la Unión en la imposición de multas efectivas por infracciones del RGPD. En particular, es preciso garantizar que las multas efectivas del RGPD se calculen únicamente en relación con los actos del autor y tengan plenamente en cuenta todas las características de la infracción específica. Por tanto, la interpretación de los conceptos de «volumen de negocio» y de «empresa» a efectos de fijar el importe máximo de la multa no puede trasladarse automáticamente al cálculo de la multa efectiva.
47.
Para que una multa alcance el objetivo del RGPD —reforzar la aplicación de las normas de dicho Reglamento— y habida cuenta de la jurisprudencia del Tribunal de Justicia antes expuesta, la interpretación de los términos «empresa» y «volumen de negocio» a efectos de fijar el importe de la multa efectiva debe cumplir los requisitos siguientes. En la determinación de la multa efectiva, la autoridad de control deberá, en primer término, basarse en todas las circunstancias individuales de cada caso concreto, tal como exige el artículo 83, apartado 2, del RGPD, incluida la relación con la «empresa», tal como establece la jurisprudencia de la Unión en materia de competencia. En segundo término, tras la ponderación de todas las circunstancias pertinentes, tal multa deberá ser efectiva, proporcionada y disuasoria. Por último, es importante señalar que deben respetarse, en su caso, los aspectos de Derecho penal pertinentes en el caso de que se trate.
48.
En lo que respecta al cumplimiento de tales requisitos, desearía recordar los siguientes elementos.
49.
Como observó el Abogado General Pitruzzella, (
30
) en el Derecho de la Unión, el concepto de «empresa» asume un significado y un alcance inherentes a la normativa en la que se inserta y a los distintos objetivos que dicha normativa pretende alcanzar. En el Derecho de la competencia de la Unión, el concepto de «empresa» tiene carácter funcional desde dos puntos de vista. En primer lugar, ese concepto se centra en el tipo de actividad que se desarrolla más que en las características de los agentes que la realizan. La competencia está constituida e influenciada por actividades económicas. Por esta razón, los artículos 101 TFUE y 102 TFUE se refieren de forma genérica a las «empresas», eludiendo cualquier referencia a su estructura jurídica. En segundo lugar, la calificación de una actividad como económica —y, por tanto, de una entidad como «empresa»— a efectos de la aplicación del Derecho de la competencia de la Unión depende del contexto analizado. Asimismo, la identificación de las entidades que están comprendidas en el perímetro de la «empresa» depende del objeto de la infracción reprochada.
50.
Estas observaciones subrayan acertadamente que el Derecho de la competencia de la Unión atribuye primacía a los aspectos económicos, prescindiendo de las estructuras jurídicas de la entidad en cuestión. Dicho esto, el segundo aspecto limita esta tesis en el sentido de que la identificación de la entidad o persona responsable de la infracción y, en consecuencia, la multa efectiva dependen de la infracción reprochada en sí.
51.
En consecuencia, uno de los elementos que caracterizan el concepto de «empresa» que debe tomarse en consideración para determinar la multa de base y su ajuste (con el fin de fijar la multa efectiva) es el grado de participación de las demás sociedades que forman parte de esa empresa en la infracción del RGPD. A este respecto, la jurisprudencia nacional relativa al Derecho de la competencia de la Unión ha sostenido que «desde el punto de vista conceptual, la cuestión de la existencia de una “empresa” y la cuestión de la imputación de la responsabilidad entre las distintas sociedades integrantes de una “empresa” son distintas […] [ (
31
)] [y] una persona no es responsable ipso facto de una infracción del artículo 101 [TFUE] por el único motivo de que sea miembro de la empresa responsable, con arreglo al Derecho de la Unión, de la infracción, cuando esa persona ni participó en la infracción ni ejerció influencia determinante sobre el comportamiento en el mercado relevante de otro u otros miembros de la empresa que sí participaron […]. En tales circunstancias, es muy poco probable que la persona en cuestión sea considerada, de hecho, parte de dicha “empresa”». (
32
)
52.
A mi juicio, los argumentos anteriores son también pertinentes para analizar qué personas están comprendidas en el concepto de «empresa» con el fin de determinar la multa efectiva por la infracción del RGPD. Así sucede, en especial, cuando la autoridad de control haya establecido expresamente que la sociedad matriz no participó como responsable o encargada del tratamiento en la infracción controvertida, (
33
) como ocurre en el litigio principal.
53.
Aun cuando el legislador de la Unión ha establecido, hasta cierto punto, un puente entre los dos ámbitos del Derecho de la Unión a efectos de fijar las multas máximas, las normas del RGPD y las normas de la Unión en materia de competencia persiguen objetivos manifiestamente diferentes. El sistema regulador del RGPD es distinto del de las normas de la Unión en materia de competencia y se basa en el concepto de responsabilidad del responsable (y encargado) del tratamiento lícito de los datos personales. En otras palabras, mientras que el Derecho de la competencia de la Unión se dirige a las «empresas» (establece la prohibición aludiendo a una «empresa»), el RGPD se centra en los «responsables del tratamiento» y los «encargados del tratamiento». Recordaré, asimismo, que, dado que la doctrina de la «unidad económica» no puede separarse del sistema lógico general del Derecho de la competencia de la Unión y su objeto, el Tribunal de Justicia se ha negado en anteriores ocasiones a extender su aplicación por analogía a otros sectores del Derecho de la Unión, por ejemplo, a la responsabilidad extracontractual basada en el artículo 340 TFUE, párrafo segundo. (
34
)
54.
Habida cuenta de estas consideraciones, resulta evidente el motivo por el que el Tribunal de Justicia ha acotado claramente la incidencia del Derecho de la competencia de la Unión en la aplicación del RGPD (y, en particular, de las multas del RGPD). En la sentencia Deutsche Wohnen (apartado 53), el Tribunal de Justicia declaró que el concepto de «empresa», en el sentido de los artículos 101 TFUE y 102 TFUE, «no tiene incidencia sobre si puede imponerse una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento que es una persona jurídica y en qué condiciones, ya que esta cuestión está regulada de forma exhaustiva en los artículos 58, apartado 2, y 83, apartados 1 a 6, del referido Reglamento». A continuación, observó (en el apartado 54) que este concepto «solo es pertinente para determinar el importe de la multa administrativa impuesta en virtud del artículo 83, apartados 4 a 6, del RGPD [que se refiere a la multa máxima] a un responsable del tratamiento» (el subrayado es mío). Además, al señalar (en el apartado 53) que la cuestión de si puede imponerse una multa administrativa y en qué condiciones «está regulada de forma exhaustiva en los artículos 58, apartado 2, y 83, apartados 1 a 6, del referido Reglamento» (el subrayado es mío), el Tribunal de Justicia precisó, asimismo, que, para determinar la multa efectiva, los requisitos del artículo 83, apartados 1 a 6, han de aplicarse en su totalidad, sin que ninguno de estos apartados sea primus inter pares.
55.
Por consiguiente, el «volumen de negocio» de la «empresa» es solo uno de los múltiples elementos que han de tomarse en consideración para imputar responsabilidad a un responsable o encargado del tratamiento e imponer una multa en virtud del RGPD que sea efectiva, proporcionada y disuasoria.
56.
Es cierto que la jurisprudencia del Tribunal de Justicia indica que, conforme al Derecho de la competencia de la Unión, en ciertas situaciones, puede estar justificado tener en cuenta el volumen de negocio de una sociedad —pero solo como un elemento pertinente entre otros— al calcular la cuantía de la multa efectiva (por ejemplo, para incrementar la multa de base con fines disuasorios). (
35
)
57.
Por consiguiente, en mi opinión, debería ser posible invocar el concepto de «empresa» en el sentido de los artículos 101 TFUE y 102 TFUE al fijar la multa efectiva, pero solo cuando ello esté debidamente justificado por los fines de disuasión y efectividad de la multa. En efecto, a este respecto, el uso de dicho concepto debe matizarse e individualizarse en cada caso concreto. Más específicamente, puede utilizarse como un mecanismo de ajuste a la hora de considerar las circunstancias específicas de un caso individual una vez que se ha establecido la multa con arreglo al artículo 83, apartado 2, del RGPD. Por tanto, incumbe al órgano jurisdiccional remitente determinar si, en el caso de autos, concurren circunstancias que justifiquen incrementar la multa de este modo, en particular, con fines disuasorios.
58.
La cuestión de la individualización de las multas del RGPD (
36
) ha sido abordada también por el Comité Europeo de Protección de Datos (CEPD). (
37
) Mediante sus Directrices, (
38
) elaboradas con arreglo al artículo 70, apartado 1, letra k), del RGPD, el CEPD persigue estandarizar la facultad sancionadora de las autoridades de control con arreglo al RGPD en toda la Unión Europea. En particular, el CEPD afirma que «son tres los elementos que constituyen el punto de partida para los cálculos posteriores: la clasificación de las infracciones en función de su naturaleza con arreglo al artículo 83, apartados 4 a 6, del RGPD, la gravedad de la infracción […] y el volumen de negocios de la empresa como elemento importante que debe tenerse en cuenta con vistas a la imposición de una multa efectiva, disuasoria y proporcionada, de conformidad con el artículo 83, apartado 1, del RGPD». Si bien es cierto que dichas Directrices no son vinculantes para el Tribunal de Justicia, estas consideraciones muestran que únicamente un enfoque integral que abarque todos los elementos pertinentes de un caso específico puede garantizar que la multa cumpla los requisitos esenciales contemplados en el artículo 83 del citado Reglamento, en particular, que la multa real impuesta sea efectiva, proporcionada y disuasoria.
59.
En consecuencia, para determinar el importe de la multa efectiva, propongo al Tribunal de Justicia que considere que los siguientes aspectos son pertinentes al aplicar el concepto de «empresa» en el contexto de la fijación de una multa efectiva con arreglo al artículo 83 del RGPD. En primer lugar, debe evaluarse si la sociedad matriz ha ejercido su poder de toma de decisiones con respecto a actividades específicas del responsable o encargado del tratamiento de que se trate en la infracción o infracciones del RGPD. En segundo lugar, es preciso examinar si el concreto tratamiento de datos que infringe el RGPD afecta a la sociedad en cuestión o a todo el grupo. En tercer lugar, es necesario determinar si más de una sociedad que forme parte del grupo participó en la infracción o infracciones del RGPD.
60.
En este sentido, quisiera señalar que resulta pertinente la siguiente lista no exhaustiva de elementos: (i) en el caso de autos (
39
) —a diferencia del asunto en el que recayó la sentencia Deutsche Wohnen—, el grupo Lars Larsen y su sociedad matriz estuvieron al margen del procedimiento penal; (ii) las imputaciones se formularon únicamente contra ILVA, y no contra el grupo, (
40
) y (iii) la infracción del RGPD en el litigio principal se limitó únicamente a los clientes de ILVA y los datos de estos, sin que hubiera indicios de que la infracción fuera cometida en el ámbito del grupo en sí mismo o que el tratamiento de ILVA estuviera relacionado con las demás sociedades del grupo. Es preciso subrayar que, en el asunto que dio lugar a la sentencia Deutsche Wohnen, la «sociedad en cuestión» asumía toda la responsabilidad del tratamiento de datos, es decir, también el tratamiento de datos de otras sociedades del grupo. (
41
)
61.
Sin embargo, corresponde al órgano jurisdiccional remitente —que es el único competente para pronunciarse sobre los hechos— llevar a cabo las comprobaciones necesarias en este sentido y considerar todos esos elementos, así como la importancia y peso que se les debe atribuir en la fijación del importe adecuado de la multa efectiva de ILVA.
4. Observaciones finales
62.
Aunque el órgano jurisdiccional remitente no ha planteado ninguna cuestión en este sentido, considero que —para ofrecerle una respuesta completa— es oportuno abordar brevemente determinados aspectos específicos del presente asunto.
63.
En el litigio principal, la interpretación del artículo 83, apartados 1 a 6, debe realizarse, en particular, en relación con el artículo 83, apartado 9, del RGPD, (
42
) aspecto que no fue abordado por el Tribunal de Justicia en la sentencia Deutsche Wohnen. (
43
) Por tanto, el régimen de fijación de una multa efectiva adecuada con arreglo al artículo 83 del RGPD debe interpretarse, en el presente asunto, de conformidad con las garantías esenciales del proceso penal.
64.
En el marco del análisis del impacto del citado artículo 83, apartado 9, en el presente asunto, es necesario tener en cuenta también el considerando 151 del RGPD, según el cual «los ordenamientos jurídicos de Dinamarca y Estonia [ (
44
)] no permiten las multas administrativas según lo dispuesto en el presente Reglamento». Este considerando proporciona, asimismo, indicaciones sobre la compatibilidad de los diferentes procedimientos con los tres requisitos esenciales de una multa efectiva conforme al régimen del RGPD, es decir, que, «en todo caso, las multas impuestas deben ser efectivas, proporcionadas y disuasorias». Por consiguiente, es preciso examinar brevemente la incidencia del Derecho de la Unión en las multas impuestas en procesos penales, con el fin de garantizar que estos tres requisitos se cumplen también en un caso concreto como el de autos.
65.
En la vista, ILVA invocó, por un lado, el artículo 41 de la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»). Dicho artículo se titula «Derecho a una buena administración» y establece, en particular en su apartado 2, letra c), la «obligación que incumbe a la administración de motivar sus decisiones», pero ILVA no ha formulado alegaciones específicas sobre este extremo.
66.
Por otro lado, ILVA se refirió también al artículo 49 de la Carta. En mi opinión, al interpretar el artículo 83, apartados 1 a 6, del RGPD, ha de tenerse en cuenta dicho artículo de la Carta, que lleva por título «Principios de legalidad y de proporcionalidad de los delitos y las penas» y es pertinente, por tanto, en el litigio principal. El artículo 49, apartado 3, de la Carta dispone, en particular, que la intensidad de las penas no deberá ser desproporcionada en relación con la infracción.
67.
En efecto, de la jurisprudencia del Tribunal de Justicia resulta que el principio de proporcionalidad forma parte de los principios generales del Derecho de la Unión, que constituyen la base de las tradiciones constitucionales comunes a los Estados miembros y que las autoridades nacionales deben respetar al aplicar o transponer el Derecho de la Unión. Este principio obliga a los Estados miembros a adoptar las medidas que sean adecuadas para lograr los objetivos perseguidos y a no ir más allá de lo necesario para alcanzarlos. (
45
)
68.
La gravedad de una sanción debe reflejar la gravedad de la infracción de que se trate, exigencia que no solo resulta del artículo 52, apartado 1, de la Carta, sino también del principio de proporcionalidad de las penas enunciado en el artículo 49, apartado 3, de esta. (
46
)
69.
De las Explicaciones sobre la Carta (
47
) se desprende que, de acuerdo con el artículo 52, apartado 3, de la Carta, puesto que el derecho garantizado en el artículo 49 de esta corresponde igualmente a un derecho garantizado por el Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, hecho en Roma el 4 de noviembre de 1950 (en lo sucesivo, «CEDH»), su sentido y alcance serán iguales a los que establece el CEDH. Por tanto, los requisitos del TEDH en materia de proporcionalidad de las sanciones son aplicables a un supuesto como el del litigio principal por el efecto combinado de los artículos 17, apartado 1, 51, apartado 1, y 52, apartados 1 y 3, de la Carta. (
48
)
70.
La jurisprudencia del Tribunal de Justicia precisa que el principio de proporcionalidad exige, por una parte, que la sanción impuesta refleje la gravedad de la infracción y, por otra, que, al determinar la sanción y fijar el importe de la multa, se tengan en cuenta las circunstancias individuales del caso concreto. (
49
) En cuanto al segundo elemento, la jurisprudencia recalca que el órgano jurisdiccional remitente está obligado a tener en cuenta criterios objetivos como la gravedad y la duración de la infracción, así como las posibles circunstancias agravantes y atenuantes, a fin de garantizar el carácter efectivo, disuasorio y proporcionado de la multa. (
50
)
71.
En segundo lugar, en tales casos, la jurisprudencia del TEDH lleva a cabo una ponderación entre los diversos intereses en juego, teniendo en cuenta la naturaleza, la gravedad y el efecto preventivo resultante de la condena penal del acusado. Dicha jurisprudencia precisa que la obligación de los Estados de aplicar el Derecho penal e imponer castigos (
51
) con el fin de proteger al público (
52
) genera la obligación correspondiente de garantizar que el castigo impuesto no sea excesivo.
72.
El TEDH ha declarado que «el equilibrio requerido no se alcanzará cuando la persona afectada soporte una carga individual y excesiva»; así, «la responsabilidad económica derivada de una multa puede socavar la garantía ofrecida por esa disposición si impone una carga excesiva a la persona o afecta sustancialmente a su situación económica». (
53
)
73.
De ello se deduce que los aspectos procesales específicos del litigio principal, así como el Derecho de la Unión y la jurisprudencia del TEDH sobre las multas impuestas en un procedimiento penal exigen que el órgano jurisdiccional remitente tenga en cuenta todos los elementos pertinentes del caso al fijar la multa efectiva por infracciones del RGPD. Las garantías procesales de la persona acusada y el principio de proporcionalidad, tal como han sido interpretados por la jurisprudencia del Tribunal de Justicia y del TEDH, exigen que las sanciones se correspondan con la gravedad de la infracción y que se tengan en cuenta las circunstancias individuales del caso concreto.
74.
Habida cuenta de estos requisitos, el órgano jurisdiccional remitente debe garantizar que se respete el principio de proporcionalidad en la fijación de la multa efectiva, de modo que se alcance un equilibrio equitativo entre las exigencias del interés general de la comunidad de proteger los datos personales y las exigencias de la protección de los derechos fundamentales (
54
) del responsable o del encargado del tratamiento o de la empresa de la que forma parte.
V. Conclusión
75.
Propongo al Tribunal de Justicia que responda del siguiente modo a las cuestiones prejudiciales planteadas por el Vestre Landsret (Tribunal de Apelación de la Región Oeste, Dinamarca):
«El artículo 83, apartados 4 a 6, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que,
cuando se imponen multas a un responsable o encargado del tratamiento que sea una empresa (o que forme parte de ella), el concepto de “empresa” ha de entenderse como equivalente al concepto de “empresa” en el sentido de los artículos 101 TFUE y 102 TFUE a efectos de fijar el importe máximo de la multa. Por consiguiente, se tiene en cuenta el volumen de negocio anual total global de la empresa de la que forma parte el responsable o encargado del tratamiento.
Sin embargo, para determinar la multa efectiva que ha de imponerse, el concepto de “empresa” debe interpretarse en relación con el artículo 83, apartados 1 y 2, del Reglamento 2016/679 y utilizarse como uno de los elementos pertinentes, entre otros, al considerar las circunstancias específicas del caso concreto. En este sentido, las circunstancias específicas pueden referirse al poder de toma de decisiones de la sociedad matriz, al alcance del tratamiento de datos que infringe las normas del citado Reglamento y al número de entidades de la empresa implicadas en la infracción.
Asimismo, cuando dicha multa sea impuesta, de conformidad con el artículo 83, apartado 9, del Reglamento 2016/679, por un juez nacional en el marco de un procedimiento penal, la multa efectiva deberá apreciarse a la luz de los principios aplicables en Derecho penal. En este contexto, el juez nacional debe garantizar que se respete el principio de proporcionalidad en la fijación de la multa efectiva, de modo que se alcance un equilibrio equitativo entre las exigencias del interés general de la comunidad de proteger los datos personales y las exigencias de la protección de los derechos fundamentales del responsable o encargado del tratamiento, o de la empresa de la que forma parte.»
(
1
)	Lengua original: inglés.
(
2
)	Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; en lo sucesivo, «RGPD»).
(
3
)	En las fuentes nacionales, el asunto objeto del litigio principal también se denomina asunto «IDdesign A/S», pues esta era la antigua denominación social de ILVA.
(
4
)	En particular, el artículo 83, apartado 9, y el considerando 151 del RGPD.
(
5
)	Véase Overby, T., «The Danish adaptation of the GDPR», Blog Droit Européen, junio de 2018, pp. 4 y 5.
(
6
)	La formulación específica de la segunda cuestión prejudicial (véase el punto 15 de las presentes conclusiones) parece adolecer de un error material. No obstante, cabe deducir del contexto que el órgano jurisdiccional remitente no pretendía referirse a la alternativa entre «la entidad económica en la que está integrada la empresa» y «la propia empresa», sino entre «la entidad económica en la que está integrada la sociedad» y la «propia sociedad» (es decir, la persona jurídica que infringió el RGPD).
(
7
)	Dicho considerando se reproduce en el punto 4 de las presentes conclusiones.
(
8
)	Sentencia de 5 de diciembre de 2023, Deutsche Wohnen (C‑807/21, en lo sucesivo, sentencia Deutsche Wohnen o jurisprudencia Deutsche Wohnen, EU:C:2023:950), apartado 57. Véase también la sentencia conexa, dictada en la misma fecha, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949).
(
9
)	Como deja claro la jurisprudencia del Tribunal de Justicia, «el volumen de negocios [, aunque vago e imperfecto,] sigue siendo un criterio adecuado para apreciar el tamaño y el poder económico de las empresas de que se trata». Véase la sentencia de 8 de diciembre de 2011, KME Germany y otros/Comisión (C‑272/09 P, EU:C:2011:810), apartado 52.
(
10
)	Reglamento del Consejo, de 16 de diciembre de 2002, relativo a la aplicación de las normas sobre competencia previstas en los artículos [101 TFUE y 102 TFUE] (DO 2003, L 1, p. 1).
(
11
)	Sentencia de 6 de octubre de 2021, Sumal (C‑882/19, EU:C:2021:800), apartado 41 y jurisprudencia citada.
(
12
)	En la jurisprudencia nacional, véase la sentencia del Landgericht Bonn (Tribunal Regional de lo Civil y Penal de Bonn, Alemania) de 11 de noviembre de 2020 (DE:LGBN:2020:1111.29OWI1.20.00) y la sentencia del Conseil d’État (Consejo de Estado, Francia) de 19 de junio de 2020 (FR:CECHR:2020:430810.20200619). Ambas sentencias son conformes, en esencia, con la interpretación del Tribunal de Justicia (aunque son anteriores a la sentencia dictada por este). Para la interpretación opuesta, véase la sentencia del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo, Austria) de 19 de agosto de 2019 (AT:BVWG:2019:W211.2208885.1.00) y la sentencia del Landgericht Berlin (Tribunal Regional de lo Civil y Penal de Berlín, Alemania) de 18 de febrero de 2021 (DE:LGBE:2021:0218:526OWI.LG212JS.OW.00); esta última es la sentencia que dio lugar finalmente a la sentencia Deutsche Wohnen del Tribunal de Justicia. En cuanto a la jurisprudencia posterior a la citada sentencia del Tribunal de Justicia y que la aplica, véase la sentencia del Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso-Administrativo) de 27 de marzo de 2024 (AT:BVWG:2024:W214.2243436.1.00).
(
13
)	Véase la sentencia de 23 de abril de 1991, Höfner y Elser (C‑41/90, EU:C:1991:161), apartado 21. Véanse también, por ejemplo, las sentencias de 12 de septiembre de 2000, Pavlov y otros (C‑180/98 a C‑184/98, EU:C:2000:428), apartado 74; de 12 de julio de 2012, Compass-Datenbank (C‑138/11, EU:C:2012:449), apartado 35, y de 27 de abril de 2017, Akzo Nobel y otros/Comisión (C‑516/15 P, EU:C:2017:314), apartado 47.
(
14
)	Véase, por ejemplo, la sentencia de 20 de enero de 2011, General Química y otros/Comisión (C‑90/09 P, EU:C:2011:21), apartado 37. El criterio principal para dilucidar esta cuestión es la «influencia determinante», que debe apreciarse basándose en elementos de hecho (vínculos económicos, organizativos y jurídicos).
(
15
)	Sentencia de 27 de enero de 2021, The Goldman Sachs Group/Comisión (C‑595/18 P, EU:C:2021:73), apartado 67 y jurisprudencia citada.
(
16
)	Ibidem, apartado 71.
(
17
)	Ibidem, apartado 32 y jurisprudencia citada.
(
18
)	El 2 % del volumen de negocio total global de una sociedad solo será superior a 10 millones de euros si el volumen de negocio de la sociedad sobrepasa los 500 millones de euros. Del mismo modo, el 4 % del volumen de negocio total global de una sociedad únicamente superará los 20 millones de euros si el volumen de negocio de la sociedad excede de 500 millones de euros.
(
19
)	En las presentes conclusiones, me referiré a la «autoridad de control» en este sentido, pero —teniendo en cuenta el contexto específico del litigio principal— está claro que se aplica también, por extensión, al órgano jurisdiccional remitente (que es el que impone la multa a ILVA, no la autoridad de control).
(
20
)	«Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias» (el subrayado es mío).
(
21
)	Véase, a este respecto, la jurisprudencia citada en el punto 40 de las presentes conclusiones.
(
22
)	Esta última disposición se refiere a los supuestos en los que se infringen al mismo tiempo varias normas del RGPD.
(
23
)	Algunos de esos factores son: la naturaleza, gravedad y duración de la infracción, su intencionalidad o negligencia, las medidas tomadas por el responsable o encargado del tratamiento, el grado de cooperación con la autoridad de control, las categorías de los datos personales afectados, etc.
(
24
)	Sentencia de 25 de septiembre de 1984, Könecke (117/83, EU:C:1984:288), apartado 11.
(
25
)	Sentencia de 18 de julio de 2013, Schindler Holding y otros/Comisión (C‑501/11 P, EU:C:2013:522), apartado 57 y jurisprudencia citada.
(
26
)	Véase el punto 32 («Límite máximo legal») y el punto 13 (relativo al «importe de base de la multa») de las Directrices de la Comisión para el cálculo de las multas impuestas en aplicación del artículo 23, apartado 2, letra a), del Reglamento (CE) n.o 1/2003 (DO 2006, C 210, p. 2; en lo sucesivo, «Directrices de 2006 para el cálculo de multas»).
(
27
)	Mayer Brown, Yaros, O., y otros, GDPR fines — Lessons from competition law, diciembre de 2018, p. 4.
(
28
)	Sentencia de 12 de noviembre de 2014, Guardian Industries y Guardian Europe/Comisión (C‑580/12 P, EU:C:2014:2363), apartado 59.
(
29
)	De conformidad con el punto 30 de las Directrices de 2006 para el cálculo de multas, «la Comisión prestará especial atención a la necesidad de garantizar que las multas presenten un efecto suficientemente disuasorio; con este fin, podrá aumentar la multa impuesta a aquellas empresas que tengan un volumen de negocios particularmente importante más allá de las ventas de bienes y servicios a que se refiere la infracción» (el subrayado es mío). Véase, en este sentido, la sentencia de 6 de febrero de 2014, Elf Aquitaine/Comisión (T‑40/10, EU:T:2014:61), apartados 350 a 357 y jurisprudencia citada.
(
30
)	Estas observaciones fueron formuladas en sus conclusiones presentadas en el asunto Sumal (C‑882/19, EU:C:2021:293), puntos 23 a 25, asunto relativo al Derecho de la competencia.
(
31
)	Véase, por ejemplo, la jurisprudencia anterior al Brexit del Competition Appeal Tribunal (Tribunal de la Competencia, Reino Unido) en el asunto Sainsbury’s Supermarkets Ltd c. Mastercard Incorporated y otros (2016) CAT 11, apartado 363(20‑22).
(
32
)	Ibidem, apartado 363(23).
(
33
)	De los autos que obran en poder del Tribunal de Justicia se desprende que así sucedía en el caso de autos, en la medida en que la Fiscalía no formuló imputaciones contra la sociedad matriz «porque no había fundamento para ello» y la filial (ILVA) «gestiona un negocio minorista independiente y […] la sociedad matriz no ha constituido una filial con la única finalidad de encomendarle el tratamiento de los datos del grupo». Véanse los apartados 5 y 21 de la resolución de remisión.
(
34
)	En la sentencia de 5 de septiembre de 2019, Unión Europea/Guardian Europe y Guardian Europe/Unión Europea (C‑447/17 P y C‑479/17 P, EU:C:2019:672), apartados 105 y 106, el Tribunal de Justicia declaró que el concepto de «empresa», en el sentido de la doctrina de la «unidad económica», se utiliza específicamente para aplicar las disposiciones pertinentes del Derecho de la competencia de la Unión y, en particular, para designar al autor de una infracción de los artículos 101 TFUE y 102 TFUE. En cambio, este concepto no es aplicable en el ámbito de un recurso de indemnización, basado en el artículo 340 TFUE, párrafo segundo. Tal recurso es una acción de Derecho general regulada por normas generales de procedimiento, sujetas, en el presente asunto, al Derecho de sociedades, independientes de la lógica de la responsabilidad a la luz del Derecho de la competencia de la Unión.
(
35
)	Sentencia de 17 de junio de 2010, Lafarge/Comisión (C‑413/08 P, EU:C:2010:346), apartado 102 y jurisprudencia citada. Véase también la nota 29 de las presentes conclusiones.
(
36
)	Esto es, buscar un equilibrio entre la multa y la situación particular del autor de la infracción.
(
37
)	El CEPD es un organismo autónomo de la Unión dotado de personalidad jurídica cuya finalidad consiste en garantizar la aplicación uniforme del RGPD y promover la cooperación entre las autoridades de protección de datos de la Unión.
(
38
)	Directrices 04/2022 sobre el cálculo de las multas administrativas con arreglo al RGPD, versión 2.1, adoptadas el 24 de mayo de 2023, punto 48.
(
39
)	La resolución de remisión del presente asunto indica, en su página 3, que «del principio de enjuiciamiento consagrado en [el Derecho nacional] se desprende que el tribunal no puede condenar por un delito que no figure en el escrito de acusación. Resultaría contrario al principio establecido en esa disposición atribuir relevancia a circunstancias que afectan a otra persona, contra la que no se han presentado cargos, para imponer una sentencia más rigurosa».
(
40
)	Mientras que, de conformidad con las directrices nacionales de fijación de multas, «si el responsable del tratamiento de datos es una filial de un grupo, deberá investigarse si puede exigirse también responsabilidad penal a la sociedad matriz». Véase Bødevejledning — Udmåling af bøder til virksomheder (Guía de multas — Imposición de multas a empresas), enero de 2021, página 3.
(
41
)	En efecto, en el asunto que dio lugar a la sentencia Deutsche Wohnen, las infracciones fueron cometidas en el ámbito del grupo en su conjunto, del que la sociedad en cuestión formaba parte. Véanse las diferencias de hecho entre estos dos asuntos, en particular a la luz de los apartados 10 a 12 de la sentencia Deutsche Wohnen.
(
42
)	Cabe recordar que esa disposición prevé, en particular, que, «cuando el ordenamiento jurídico de un Estado miembro no establezca multas administrativas, el presente artículo podrá aplicarse de tal modo que la incoación de la multa corresponda a la autoridad de control competente y su imposición a los tribunales nacionales competentes, garantizando al mismo tiempo que estas vías de derecho sean efectivas y tengan un efecto equivalente a las multas administrativas impuestas por las autoridades de control. En cualquier caso, las multas impuestas serán efectivas, proporcionadas y disuasorias. […]»
(
43
)	Debido a que esa disposición no era pertinente para la resolución de ese asunto.
(
44
)	Al parecer, en Irlanda, las multas administrativas impuestas por la autoridad de control de datos deben ser confirmadas por un órgano jurisdiccional. Véase la Data Protection Act (Ley de Protección de Datos) de 2018, artículos 141 a 143. Asimismo, a la luz de una resolución del Vrhovno sodišče (Tribunal Supremo, Eslovenia) de 16 de marzo de 2021, parece que Eslovenia tampoco permite las multas administrativas.
(
45
)	Véase, en este sentido, la sentencia de 4 de octubre de 2018, Link Logistik N&N (C‑384/17, en lo sucesivo, «sentencia Link Logistik, EU:C:2018:810), apartado 40 y jurisprudencia citada.
(
46
)	Ibidem, apartado 42 y jurisprudencia citada.
(
47
)	DO 2007, C 303, p. 17.
(
48
)	Véase, también, la sentencia Link Logistik, apartado 43.
(
49
)	Sentencia Link Logistik, apartado 45.
(
50
)	Véase, en este sentido, la sentencia de 10 de noviembre de 2022, Zenith Media Communications (C‑385/21, EU:C:2022:866), apartado 41.
(
51
)	Véase, por ejemplo, TEDH, sentencia de 4 de diciembre de 2003, M. C. c. Bulgaria, CE:ECHR:2003:1204JUD003927298.
(
52
)	Véanse, por ejemplo, TEDH, sentencia de 16 de diciembre de 1999, T. c. Reino Unido, CE:ECHR:1999:1216JUD002472494, § 97, que cita TEDH, sentencias de 23 de septiembre de 1998, A. c. Reino Unido, CE:ECHR:1998:0923JUD002559994, § 22, y de 28 de octubre de 1998, Osman c. Reino Unido, CE:ECHR:1998:1028JUD002345294, § 115.
(
53
)	Véase, por ejemplo, TEDH, sentencia de 27 de octubre de 2015, Konstantin Stefanov c. Bulgaria, CE:ECHR:2015:1027JUD003539905, § 55.
(
54
)	Ibidem, §§ 54, 55, 66, 67, 69 y 70. Véanse también TEDH, sentencias de 5 de julio de 2001, Phillips c. Reino Unido, CE:ECHR:2001:0705JUD004108798, § 35, y de 24 de junio de 2021, Imeri c. Croacia, CE:ECHR:2021:0624JUD007766814, § 71.