62021CJ0807_RES
Asunto C‑807/21
Deutsche Wohnen SE
contra
Staatsanwaltschaft Berlin
(Petición de decisión prejudicial planteada por el Kammergericht Berlin)
Sentencia del Tribunal de Justicia (Gran Sala) de 5 de diciembre de 2023
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 4, punto 7 — Concepto de “responsable del tratamiento” — Artículo 58, apartado 2 — Poderes de las autoridades de control para imponer medidas correctivas — Artículo 83 — Imposición de multas administrativas a una persona jurídica — Requisitos — Margen de maniobra de los Estados miembros — Necesidad de que la infracción sea intencionada o negligente»
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Imposición de multas administrativas — Requisitos — Inexistencia de margen de maniobra de los Estados miembros para establecer los requisitos materiales relativos a la imposición de una multa administrativa a un responsable del tratamiento — Pertinencia del concepto de empresa en el sentido de los artículos 101 TFUE y 102 TFUE limitada al cálculo de una multa — Normativa nacional que supedita la posibilidad de imponer una multa a una persona jurídica en su condición de responsable del tratamiento al requisito de una imputación previa de la infracción de que se trate a una persona física concreta — Improcedencia
[Arts. 101 TFUE, 102 TFUE y 288 TFUE, párr. 2; Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerandos 10, 11, 74, 129 y 150 y arts. 4, punto 7, 58, aps. 2 y 4, y 83]
(véanse los apartados 38 y 43 a 60 y el punto 1 del fallo)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Concepto de responsable del tratamiento — Persona jurídica — Inclusión — Requisito — Participación efectiva en la determinación de los fines y medios del tratamiento
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, art. 4, punto 7]
(véanse los apartados 39 a 42)
Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Imposición de multas administrativas — Requisitos — Inexistencia de margen de maniobra de los Estados miembros para establecer los requisitos materiales relativos a la imposición de una multa administrativa a un responsable del tratamiento — Exigencia de que el responsable del tratamiento haya cometido una infracción de forma intencionada o negligente
[Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, considerandos 9, 13 y 148 y arts. 58, ap. 2, y 83]
(véanse los apartados 65 a 78 y 86 y el punto 2 del fallo)
Resumen
Deutsche Wohnen SE (en lo sucesivo, «DW») es una sociedad inmobiliaria que posee de forma indirecta, mediante participaciones en diferentes sociedades, numerosos locales comerciales y viviendas. En el marco de su actividad mercantil, lleva a cabo el tratamiento de datos personales de los arrendatarios de esos inmuebles.
A raíz de dos inspecciones realizadas en 2017 y 2019, la Berliner Beauftragte für den Datenschutz (autoridad de control de Berlín, Alemania) constató que DW había cometido varias infracciones del RGPD. (
1
) Mediante decisión de 30 de octubre de 2019, esta autoridad de control le impuso por esa razón una serie de multas administrativas.
DW interpuso recurso contra esta decisión ante el Landgericht Berlin (Tribunal Regional de lo Civil y Penal de Berlín, Alemania), que archivó el procedimiento. Dicho tribunal señaló que, en virtud de la ley alemana, (
2
) solo puede constatarse una infracción administrativa con respecto a una persona física y no con respecto a una persona jurídica. Además, en el supuesto de que se genere la responsabilidad de una persona jurídica, solo se le puede imputar la actuación de los miembros de sus órganos o de sus representantes. La Staatsanwaltschaft Berlin (Fiscalía de Berlín, Alemania) interpuso un recurso contra esta resolución ante el Kammergericht Berlin (Tribunal Superior Regional de lo Civil y Penal de Berlín, Alemania). En este contexto, dicho órgano jurisdiccional planteó al Tribunal de Justicia una petición de decisión prejudicial sobre la interpretación del RGPD. (
3
)
En su sentencia, el Tribunal de Justicia, constituido en Gran Sala, se pronunció sobre los requisitos de imposición de multas administrativas con arreglo al RGPD. En primer lugar, examinó la cuestión de si los Estados miembros pueden supeditar la imposición de una multa administrativa a una persona jurídica al requisito de que la infracción de dicho Reglamento se impute previamente a una persona física concreta. En segundo lugar, trató la cuestión de si la infracción sancionada de las disposiciones del RGPD debe cometerse de forma intencionada o negligente. (
4
)
Apreciación del Tribunal de Justicia
Por lo que respecta a la imposición de una multa administrativa en virtud del RGPD a una persona jurídica, el Tribunal de Justicia señaló, para empezar, que los principios, prohibiciones y obligaciones previstos en el RGPD se dirigen, en particular, a los «responsables del tratamiento», cuya responsabilidad se extiende a cualquier tratamiento de datos personales realizado por ellos mismos o por su cuenta. Es esa responsabilidad la que constituye, cuando se infringen las disposiciones del RGPD, el fundamento de la imposición de una multa administrativa al responsable del tratamiento con arreglo al artículo 83 de dicho Reglamento. Sin embargo, el legislador de la Unión no ha establecido, a efectos de la determinación de tal responsabilidad, una distinción entre las personas físicas y las personas jurídicas, ya que esta responsabilidad está sujeta únicamente al requisito de que estas, solas o conjuntamente con otras, determinen los fines y los medios del tratamiento de datos personales. (
5
) Por tanto, en principio, toda persona que cumpla este requisito será responsable, en particular, de cualquier infracción del RGPD, cometida por ella misma o en su nombre. Ello implica, por una parte, que las personas jurídicas son responsables no solo de las infracciones cometidas por sus representantes, directores o gestores, sino también por cualquier otra persona que actúe en el ámbito de la actividad empresarial de esas personas jurídicas y en su nombre. Por otra parte, las multas administrativas previstas en el RGPD en caso de que se produzcan tales infracciones deben poder imponerse directamente a personas jurídicas cuando estas puedan ser calificadas de responsables del tratamiento.
A continuación, el Tribunal de Justicia observó que ninguna disposición del RGPD permite considerar que la imposición de una multa administrativa a una persona jurídica como responsable del tratamiento esté sujeta a la constatación previa de que esa infracción ha sido cometida por una persona física concreta. Además, el legislador de la Unión no ha dejado a los Estados miembros un margen de apreciación a este respecto. El hecho de que el RGPD conceda a estos la posibilidad de establecer requisitos relativos al procedimiento que deben seguir las autoridades de control para imponer una multa administrativa (
6
) no significa en modo alguno que también estén facultados para establecer requisitos materiales adicionales a los fijados en el RGPD.
En este contexto, el Tribunal de Justicia precisó que permitir a los Estados miembros exigir, de manera unilateral y como condición necesaria para la imposición de una multa administrativa con arreglo al artículo 83 del RGPD a un responsable del tratamiento que es una persona jurídica, que la infracción en cuestión sea imputada o imputable, con carácter previo, a una persona física concreta sería contrario a la finalidad del RGPD. Además, tal exigencia adicional podría, en definitiva, debilitar la efectividad y el efecto disuasorio de las multas administrativas impuestas a personas jurídicas como responsables del tratamiento.
Por último, el Tribunal de Justicia subrayó que el concepto de «empresa», en el sentido de los artículos 101 TFUE y 102 TFUE, (
7
) no tiene incidencia sobre si puede imponerse una multa administrativa en virtud del RGPD a un responsable del tratamiento que es una persona jurídica y en qué condiciones y solo es pertinente para determinar el importe de tal multa.
Así pues, el Tribunal de Justicia concluyó que el RGPD (
8
) se opone a una normativa nacional en virtud de la cual solo puede imponerse una multa administrativa a una persona jurídica en su condición de responsable del tratamiento por una infracción del referido Reglamento (
9
) si dicha infracción ha sido imputada previamente a una persona física concreta.
Por lo que respecta a si los Estados miembros pueden prever la imposición de una multa administrativa aun cuando la infracción sancionada no se haya cometido de forma intencionada o negligente, el Tribunal de Justicia recordó, para empezar, que los requisitos materiales que una autoridad de control debe respetar cuando impone tal multa a un responsable del tratamiento pertenecen únicamente al ámbito del Derecho de la Unión y que los Estados miembros no disponen de ningún margen de maniobra a este respecto.
Por lo que atañe a esos requisitos, el Tribunal de Justicia señaló que entre los factores enumerados en el RGPD que la autoridad de control debe tener en cuenta a la hora de imponer tal multa figura «la intencionalidad o negligencia en la infracción». (
10
) En cambio, ninguno de esos factores menciona la posibilidad de que se genere la responsabilidad del responsable del tratamiento sin una conducta culpable de este. Así pues, únicamente las infracciones de las disposiciones del RGPD cometidas por el responsable del tratamiento de forma intencionada o negligente pueden dar lugar a que se le imponga una multa administrativa con arreglo al artículo 83 de dicho Reglamento.
El Tribunal de Justicia añadió que esta interpretación se ve corroborada por la estructura general y la finalidad del RGPD. En este contexto, precisó que la existencia de un sistema de sanciones en virtud del RGPD que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento y que, con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas afectadas. Sin embargo, el legislador de la Unión no consideró necesario prever la imposición de multas administrativas cuando no exista culpabilidad. Toda vez que el RGPD tiene por objeto un nivel de protección tanto equivalente como homogéneo y que, a tal fin, debe aplicarse de manera coherente en toda la Unión, sería contrario a esta finalidad permitir a los Estados miembros establecer un régimen de esta índole para la imposición de una multa.
Por consiguiente, el Tribunal de Justicia declaró que, en virtud del artículo 83 del RGPD, solo puede imponerse una multa administrativa si se demuestra que el responsable del tratamiento, que es a la vez una persona jurídica y una empresa, cometió, de forma intencionada o negligente, una infracción de las normas contenidas en dicho Reglamento.
(
1
)	Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).
(
2
)	Gesetz über Ordnungswidrigkeiten (Ley de Infracciones Administrativas), de 24 de mayo de 1968 (BGBl. 1968 I, p. 481), en la versión de la comunicación de 19 de febrero de 1987 (BGBl. 1987 I, p. 602), adaptada por la Ley de 19 de junio de 2020 (BGBl. 2020 I, p. 1350).
(
3
)	Artículos 58, apartado 2, y 83 del RGPD.
(
4
)	Sobre este aspecto, véase también la sentencia Nacionalinis visuomenės sveikatos centras (C‑683/21), dictada el mismo día.
(
5
)	Conforme al artículo 4, punto 7, del RGPD.
(
6
)	Como se desprende de los artículos 58, apartado 4, y 83, apartado 8, del RGPD, interpretados a la luz de su considerando 129.
(
7
)	Al que se remite el considerando 150 del RGPD.
(
8
)	Artículos 58, apartado 2, letra i), y 83, apartados 1 a 6, del RGPD.
(
9
)	Contemplada en el artículo 83, apartados 4 a 6, del RGPD.
(
10
)	Artículo 83, apartado 2, letra b), del RGPD.