62021CJ0807_RES
Predmet C-807/21
Deutsche Wohnen SE
protiv
Staatsanwaltschaft Berlin
(zahtjev za prethodnu odluku koji je uputio Kammergericht Berlin)
Presuda Suda (veliko vijeće) od 5. prosinca 2023.
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Članak 58. stavak 2. – Ovlasti nadzornih tijela za izricanje korektivnih mjera – Članak 83. – Izricanje upravnih novčanih kazni pravnoj osobi – Uvjeti – Manevarski prostor država članica – Zahtjev namjernog kršenja ili kršenja iz nepažnje”
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Izricanje upravnih novčanih kazni – Pretpostavke – Nepostojanje manevarskog prostora država članica radi predviđanja materijalnih pretpostavki za izricanje upravne novčane kazne voditelju obrade – Relevantnost pojma poduzetnika u smislu članaka 101. i 102. UFEU-a koja je ograničena na izračun novčane kazne – Nacionalni propis koji mogućnost izricanja novčane kazne pravnoj osobi u svojstvu voditelja obrade podvrgava uvjetu prethodne pripisivosti predmetne povrede identificiranoj fizičkoj osobi – Nedopuštenost
(čl. 101., 102., čl. 288. drugi st. UFEU-a; Uredba 2016/679 Europskog parlamenta i Vijeća, uv. izj. 10., 11., 74., 129. i 150. te čl. 4. t. 7., čl. 58. st. 2. i 4. i čl. 83.)
(t. 38., 43.-60. i t. 1. izreke)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Pojam voditelja obrade – Pravna osoba – Uključenost – Uvjet – Djelotvorno sudjelovanje u određivanju svrha i sredstava obrade
(Uredba 2016/679 Europskog parlamenta i Vijeća, čl. 4. t. 7.)
(t. 39.-42.)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Izricanje upravnih novčanih kazni – Pretpostavke – Nepostojanje manevarskog prostora država članica radi predviđanja materijalnih pretpostavki za izricanje upravne novčane kazne voditelju obrade – Zahtjev namjernog kršenja ili kršenja iz nepažnje koje je počinio voditelj obrade
(Uredba 2016/679 Europskog parlamenta i Vijeća, uv. izj. 9., 13. i 148. te čl. 58. st. 2. i čl. 83.)
(t. 65.-78., 86. i t. 2. izreke)
Kratak prikaz
Deutsche Wohnen SE (u daljnjem tekstu: DW) društvo je za poslovanje nekretninama koje neizravno, preko udjela u različitim društvima, raspolaže mnogobrojnim poslovnim i stambenim jedinicama. U okviru svojih poslovnih djelatnosti obrađuje osobne podatke zakupoprimaca i najmoprimaca tih jedinica.
Nakon dviju kontrola provedenih 2017. i 2019., Berliner Beauftragte für den Datenschutz (službenik za zaštitu podataka u Berlinu, Njemačka) utvrdio je niz kršenja OUZP-a (
1
) koja je počinio DW. Odlukom od 30. listopada 2019. taj mu je službenik za zaštitu podataka u tom pogledu izrekao upravne novčane kazne.
DW je podnio tužbu protiv te odluke Landgerichtu Berlin (Zemaljski sud u Berlinu, Njemačka), koji je obustavio postupak. Taj je sud istaknuo da se na temelju njemačkog prava (
2
) upravni prekršaj može utvrditi samo protiv fizičke osobe, a ne protiv pravne osobe. Osim toga, u slučaju utvrđivanja odgovornosti pravne osobe mogu joj se pripisati samo akti članova njezinih tijela ili njezinih zastupnika. Staatsanwaltschaft Berlin (Državno odvjetništvo u Berlinu, Njemačka) podnio je žalbu protiv te odluke Kammergerichtu Berlin (Visoki zemaljski sud u Berlinu, Njemačka). U tom je kontekstu taj sud uputio Sudu zahtjev za prethodnu odluku o tumačenju OUZP-a (
3
).
Sud, zasjedajući u velikom vijeću, u svojoj presudi odlučuje o uvjetima izricanja upravnih novčanih kazni na temelju OUZP-a. Kao prvo, sud koji je uputio zahtjev ispituje mogu li države članice izricanje upravne novčane kazne pravnoj osobi uvjetovati time da se kršenje te uredbe prethodno pripiše identificiranoj fizičkoj osobi. Kao drugo, bavi se pitanjem treba li sankcionirano kršenje odredbi OUZP-a biti počinjeno namjerno ili nepažnjom (
4
).
Ocjena Suda
Što se tiče izricanja upravne novčane kazne na temelju OUZP-a pravnoj osobi, Sud najprije ističe da se načela, zabrane i obveze predviđene OUZP-om osobito odnose na „voditelje obrade” čija se odgovornost proteže na svaku obradu osobnih podataka koju sami provode ili koja se provodi u njihovo ime. Ta je odgovornost, u slučaju kršenja odredbi OUZP-a, temelj za izricanje upravne novčane kazne voditelju obrade u skladu s člankom 83. te uredbe. Međutim, zakonodavac Unije u svrhu utvrđivanja takve odgovornosti nije napravio razliku između fizičkih i pravnih osoba jer je ta odgovornost uvjetovana samo time da one same ili zajedno s drugima određuju svrhe i sredstva obrade osobnih podataka (
5
). Stoga je u načelu svaka osoba koja ispunjava taj uvjet osobito odgovorna za svako kršenje OUZP-a koje počini sama ili koje je počinjeno u njezino ime. To znači, s jedne strane, da su pravne osobe odgovorne za kršenja koja su počinili ne samo njihovi zastupnici, direktori ili rukovoditelji nego i sve druge osobe koje djeluju u okviru poslovne aktivnosti tih pravnih osoba i u njihovo ime. S druge strane, upravne novčane kazne predviđene OUZP-om u slučaju takvih kršenja moraju se moći izravno izreći pravnim osobama ako se mogu smatrati voditeljima obrade.
Nadalje, Sud primjećuje da nijedna odredba OUZP-a ne omogućuje zaključak da izricanje upravne novčane kazne pravnoj osobi kao voditelju obrade podliježe prethodnom utvrđenju da je to kršenje počinila identificirana fizička osoba. Osim toga, zakonodavac Unije nije državama članicama ostavio marginu prosudbe u tom pogledu. Činjenica da im OUZP daje mogućnost da predvide zahtjeve u pogledu postupka koji nadzorna tijela trebaju slijediti radi izricanja upravne novčane kazne (
6
) nipošto ne znači da su također ovlaštene predvidjeti dodatne materijalne uvjete uz one određene OUZP-om.
U tom kontekstu Sud pojašnjava da bi dopustiti državama članicama da jednostrano i kao nužan uvjet za izricanje upravne novčane kazne u skladu s člankom 83. OUZP-a voditelju obrade koji je pravna osoba zahtijevaju da se predmetno kršenje prethodno pripiše ili da se prethodno može pripisati identificiranoj fizičkoj osobi bilo protivno svrsi OUZP-a. Usto, takav bi dodatni zahtjev u konačnici mogao oslabiti djelotvornost i odvraćajući učinak upravnih novčanih kazni izrečenih pravnim osobama kao voditeljima obrade.
Naposljetku, Sud naglašava da pojam „poduzetnik” u smislu članaka 101. i 102. UFEU-a (
7
) ne utječe na pitanje može li se i pod kojim uvjetima voditelju obrade koji je pravna osoba izreći upravna novčana kazna u skladu s OUZP-om te je relevantan samo za određivanje iznosa takve novčane kazne.
Stoga Sud zaključuje da se OUZP-u (
8
) protivi nacionalni propis na temelju kojeg se pravnoj osobi u svojstvu voditelja obrade može izreći upravna novčana kazna za kršenje te uredbe (
9
) samo ako je to kršenje prethodno pripisano identificiranoj fizičkoj osobi.
Što se tiče pitanja mogu li države članice predvidjeti izricanje upravne novčane kazne čak i ako sankcionirano kršenje nije počinjeno namjerno ili nepažnjom, Sud najprije podsjeća na to da su materijalni uvjeti koje nadzorno tijelo mora poštovati kada izriče upravnu novčanu kaznu voditelju obrade obuhvaćeni samo pravom Unije i da države članice u tom pogledu nemaju nikakvi manevarski prostor.
Što se tiče tih uvjeta, Sud napominje da se među elementima navedenima u OUZP-u, na temelju kojih nadzorno tijelo izriče takvu novčanu kaznu, nalazi činjenica „ima li kršenje obilježje namjere ili nepažnje” (
10
). Nasuprot tomu, nijedan od tih elemenata ne upućuje ni na kakvu mogućnost utvrđivanja odgovornosti voditelja obrade ako nije postojalo njegovo skrivljeno postupanje. Stoga samo kršenja odredbi OUZP-a koja je počinio voditelj obrade namjerno ili nepažnjom mogu dovesti do izricanja upravne novčane kazne potonjem u skladu s člankom 83. te uredbe.
Sud dodaje da je to tumačenje potkrijepljeno općom strukturom i svrhom OUZP-a. U tom kontekstu pojašnjava da postojanje sustava sankcija na temelju OUZP-a koji omogućuje da se, kada to opravdavaju posebne okolnosti svakog pojedinog slučaja, izrekne upravna novčana kazna potiče voditelje obrade i izvršitelje obrade da postupaju u skladu s tom uredbom te da upravne novčane kazne svojim odvraćajućim učinkom pridonose jačanju zaštite pojedinaca. Međutim, zakonodavac Unije nije smatrao potrebnim predvidjeti izricanje upravnih novčanih kazni ako ne postoji krivnja. Uzimajući u obzir činjenicu da se OUZP istodobno odnosi na jednaku i homogenu razinu zaštite i da se u tu svrhu mora dosljedno primjenjivati u cijeloj Uniji, bilo bi protivno toj svrsi dopustiti državama članicama da predvide takav sustav za izricanje novčane kazne.
Slijedom toga, Sud utvrđuje da se na temelju članka 83. OUZP-a upravna novčana kazna može izreći samo ako se dokaže da je voditelj obrade, koji je istodobno pravna osoba i poduzetnik, namjerno ili nepažnjom prekršio pravila sadržana u toj uredbi.
(
1
)	Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP)
(
2
)	Gesetz über Ordnungswidrigkeiten (Zakon o upravnim prekršajima) od 24. svibnja 1968. (BGBl. 1968. I, str. 481.), u verziji prema Obavijesti od 19. veljače 1987. (BGBl. 1987. I, str. 602.), kako je prilagođen Zakonom od 19. lipnja 2020. (BGBl. 2020. I, str. 1350.)
(
3
)	Članak 58. stavak 2. i članak 83. OUZP-a
(
4
)	O tom aspektu vidjeti i presudu Nacionalinis visuomenės sveikatos centras (C-683/21), donesenu istog dana.
(
5
)	U skladu s člankom 4. točkom 7. OUZP-a
(
6
)	Kao što to proizlazi iz članka 58. stavka 4. i članka 83. stavka 8. OUZP-a, u vezi s njegovom uvodnom izjavom 129.
(
7
)	Na koji se upućuje u uvodnoj izjavi 150. OUZP-a.
(
8
)	Članak 58. stavak 2. točka (i) i članak 83. stavci 1. do 6. OUZP-a
(
9
)	Iz članka 83. stavaka 4. do 6. OUZP-a
(
10
)	Članak 83. stavak 2. točka (b) OUZP-a