62023CC0383
KOHTUJURISTI ETTEPANEK
LAILA MEDINA
esitatud 12. septembril 2024 (
1
)
Kohtuasi C‑383/23
Anklagemyndigheden
versus
ILVA A/S
(eelotsusetaotlus, mille on esitanud Vestre Landsret (läänepiirkonna apellatsioonikohus, Taani))
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikkel 83 – Haldustrahvid – Muud trahvid kui haldustrahvid – Mõiste „ettevõtja“ – ELTL artiklid 101 ja 102 – Emaettevõtja ja tütarettevõtja – Määruse 2016/679 rikkumine tütarettevõtja poolt – Trahvisumma arvutamine – Selle kontserni kogukäibe arvessevõtmine, millesse asjaomane äriühing kuulub – Kriminaalmenetlus
1.
Eelotsusetaotlusega, mille on esitanud Vestre Landsret (läänepiirkonna apellatsioonikohus, Taani), palutakse tõlgendada määruse (EL) 2016/679 (
2
) artikli 83 lõikeid 4–6. Taotlus on esitatud seoses kriminaalmenetlusega, mille Anklagemyndigheden (prokurör, Taani) algatas äriühingu ILVA A/S (edaspidi „ILVA“) (
3
) vastu, kuna vähemalt 350000 endise kliendi isikuandmete vastutava töötlejana ei täitnud see äriühing isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktist e, artikli 5 lõikest 2 ja artiklist 6 tulenevaid kohustusi.
2.
Kohtuasi puudutab küsimust, kas isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 kasutatud mõistet „ettevõtja“ tuleb selle määruse põhjendust 150 arvestades tõlgendada nii, et see vastab mõistele „ettevõtja“ liidu konkurentsiõiguse (ELTL artiklid 101 ja 102) tähenduses. Sellest tuleneb küsimus, kas äriühingule isikuandmete kaitse üldmääruse rikkumise eest trahvi määramisel on õige lähtuda selle majandusüksuse (või kontserni) aastasest kogukäibest, mille osaks on rikkumise toime pannud äriühing, mitte üksnes asjaomase äriühingu enda aastasest kogukäibest.
3.
Käesoleva kohtuasja eripära seisneb selles, et põhikohtuasjas ei määranud trahvi mitte liikmesriigi andmekaitseasutus oma järelevalvepädevuse raames, vaid seda tegi kohus kriminaalmenetluses. Nimelt lisas liidu seadusandja isikuandmete kaitse üldmäärusesse sellekohase erisätte, mis on kohaldatav muu hulgas Taani suhtes.
I. Õiguslik raamistik
A.
Euroopa Liidu õigus
4.
Isikuandmete kaitse üldmääruse põhjendustes 150 ja 151 on sätestatud:
„(150)
Selleks et tugevdada ja ühtlustada väärteokaristusi käesoleva määruse rikkumise korral, peaksid igal järelevalveasutusel olema volitused määrata trahve. Käesolevas määruses tuleks loetleda rikkumised, sätestada asjaomaste trahvide ülemmäär ja nende määramise kriteeriumid, mille üle peaks iga juhtumi puhul eraldi otsustama pädev järelevalveasutus, võttes arvesse konkreetse olukorra kõiki asjakohaseid asjaolusid, pidades eelkõige silmas rikkumise laadi, raskusastet, ajalist kestvust ja tagajärgi ning meetmeid, mis võetakse käesoleva määruse kohaste kohustuste täitmise tagamiseks ja rikkumise tagajärgede vältimiseks või leevendamiseks. Kui trahv on määratud ettevõtjale, tuleks ettevõtja määratlemisel lähtuda ELi toimimise lepingu artiklites 101 ja 102 toodud määratlusest. […]
(151)
Taani ja Eesti õigussüsteem ei võimalda määrata trahve käesolevas määruses sätestatu kohaselt. Trahve käsitlevaid eeskirju saab kohaldada selliselt, et Taanis määrab trahvi pädev riiklik kohus kriminaalkaristusena ning Eestis määrab trahvi järelevalveasutus väärteomenetluse raames, tingimusel et eeskirjade sellisel kohaldamisel nimetatud liikmesriikides on samaväärne toime nagu järelevalveasutuste määratud trahvidel. Sellepärast peaksid pädevad riiklikud kohtud võtma arvesse trahvi algatava järelevalveasutuse soovitust. Igal juhul peaksid määratavad trahvid olema tõhusad, proportsionaalsed ja heidutavad.“
5.
Isikuandmete kaitse üldmääruse artiklis 83 „Trahvide määramise üldtingimused“ on sätestatud:
„1.   Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.
2.   Trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks artikli 58 lõike 2 punktides a–h ja j osutatud meetmetele või nende asemel. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:
[…]
3.   Kui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega.
4.   Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 10000000 eurot või ettevõtja puhul kuni 2% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem:
[…]
5.   Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem:
[…]
6.   Artikli 58 lõikes 2 osutatud järelevalveasutuse korralduse täitmatajätmise korral määratakse kooskõlas käesoleva artikli lõikega 2 trahv, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.
[…]
8.   Käesoleva artikli kohaste volituste kasutamise suhtes järelevalveasutuse poolt kohaldatakse kooskõlas liidu ja liikmesriigi õigusega asjakohaseid menetluslikke kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust.
[…]“.
B.
Liikmesriigi õigus
6.
23. mai 2018. aasta seaduse nr 502, millega täiendatakse määrust füüsiliste isikute kaitse kohta seoses isikuandmete töötlemisega ja selliste andmete vaba liikumise kohta (Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger) §‑s 41 on sätestatud:
„[Lõige 1.] Kui muude õigusaktidega ei ole ette nähtud suuremat karistust, määratakse rahatrahv või kuni kuue kuu pikkune vabadusekaotuslik karistus igaühele, kes rikub sätteid, mis käsitlevad:
[…]
4)
[isikuandmete kaitse üldmääruse] artiklites 5–7 ja 9 sätestatud töötlemise aluspõhimõtteid, sealhulgas nõusoleku andmise tingimusi;
[…]
Lõige 3. Lõigete 1 ja 2 alusel karistuse määramisel tuleb järgida [isikuandmete kaitse üldmääruse] artikli 83 lõiget 2.
[…]
Lõige 6. Äriühinguid jms (juriidilisi isikuid) võib kriminaalvastutusele võtta karistusseadustiku 5. peatüki sätete kohaselt. […]“.
II. Põhikohtuasja asjaolud ja eelotsuse küsimused
7.
ILVAt süüdistatakse Taani kohtutes selles, et ajavahemikul 2018. aasta maist kuni 2019. aasta jaanuarini ei täitnud ta oma endiste klientide isikuandmete säilitamisel vastutava töötleja kohustusi, mis tulenevad isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktist e, artikli 5 lõikest 2 ja artiklist 6.
8.
ILVA käitab mööblikaupluste ketti ja kuulub Lars Larseni kontserni (edaspidi „kontsern“). Kontserni 2016/2017. majandusaasta kogukäive oli 6,57 miljardit Taani krooni (DKK) (ligikaudu 881 miljonit eurot). Tütarettevõtja ILVA käive moodustas sellest veidi alla 1,8 miljardi krooni (ligikaudu 241 miljonit eurot).
9.
Datatilsyneti (Taani andmekaitseamet, kes on Taani andmekaitseasutus või isikuandmete kaitse üldmääruse kohane „järelevalveasutus“) soovitusel nõudis prokurör 1,5 miljoni krooni (ligikaudu 201000 euro) suuruse trahvi määramist ILVA‑le. Selle trahvi arvutamisel ei lähtutud mitte ILVA käibest, vaid kontserni kogukäibest.
10.
Retten i Århus (Århusi esimese astme kohus, Taani) tunnistas oma 12. veebruari 2021. aasta otsusega ILVA süüdi, kuid erinevalt prokuröri väidetust leidis ta, et ILVA rikkumine oli tingitud hooletusest. See kohus määras ILVA-le trahvi summas 100000 krooni (ligikaudu 13400 eurot). Lisaks otsustas see kohus, et kuivõrd süüdistus oli esitatud ainult ILVA, mitte kogu kontserni vastu, ei olnud trahvisumma arvutamisel vaja lähtuda kogu kontserni käibest. Ta märkis ka, et ILVA tegeleb iseseisva jaemüügiga ja et kontsern ei asutanud seda tütarettevõtjat ainsa eesmärgiga teha talle ülesandeks kontsernisisene isikuandmete töötlemine.
11.
Prokurör esitas selle kohtuotsuse peale apellatsioonkaebuse Vestre Landsretile (läänepiirkonna apellatsioonikohus, Taani), mis on eelotsusetaotluse esitanud kohus. See kohus soovib teada, kas isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 kasutatud mõistet „ettevõtja“ tuleb mõista nii, et kui äriühing rikub isikuandmete kaitse üldmäärust, tuleb trahvi määramisel lähtuda selle kontserni käibest, millesse see äriühing kuulub.
12.
Prokuröri arvates on see nii. Tema väitel tuleneb üldmääruse põhjendusest 150, et seda mõistet tuleb tõlgendada kooskõlas ELTL artiklitega 101 ja 102.
13.
ILVA seevastu leiab, et ettevõtjale isikuandmete kaitse üldmääruse rikkumise eest trahvi määramisel ei tuleks arvesse võtta selle kontserni kogukäivet, millesse see ettevõtja kuulub. Antud juhul on süüdistus esitatud ainult ILVA-le, kes on tütarettevõtja, mitte aga tema emaettevõtjale.
14.
Eelotsusetaotluse esitanud kohus leiab, et isikuandmete kaitse üldmäärus ei anna selget vastust sellele küsimusele.
15.
Neil asjaoludel otsustas Vestre Landsret (läänepiirkonna apellatsioonikohus, Taani) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:
„1.
Kas isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 kasutatud mõistet „ettevõtja“ tuleb käsitada ettevõtjana ELTL artiklite 101 ja 102 (koostoimes selle määruse põhjendusega 150) ning Euroopa Kohtu konkurentsiõigust käsitleva kohtupraktika tähenduses, nii et mõiste „ettevõtja“ hõlmab igasugust majandustegevusega tegelevat üksust, sõltumata selle üksuse õiguslikust seisundist ja rahastamisviisist?
2.
Kui vastus esimesele küsimusele on jaatav, siis kas isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6 tuleb tõlgendada nii, et ettevõtjale trahvi määramisel tuleb arvesse võtta selle majandusüksuse ülemaailmset aastast kogukäivet, millesse ettevõtja kuulub, või üksnes ettevõtja enda ülemaailmset aastast kogukäivet?“
III. Menetlus Euroopa Kohtus
16.
Kirjalikud seisukohad esitasid ILVA ja Euroopa Komisjon. Kohtuistung, kus olid esindatud mõlemad pooled, toimus 19. juunil 2024.
IV. Õiguslik analüüs
A.
Sissejuhatus
17.
Käesoleval juhul asjakohaste ja muu hulgas Taani suhtes kohaldatavate isikuandmete kaitse üldmääruse sätete (
4
) kontekstiks on asjaolu, et andmekaitseamet ei saa põhimõtteliselt määrata haldustrahve andmekaitsealaste õigusnormide rikkumise eest. Selle asemel peab andmekaitseamet edastama rikkumise kohta teate politseile, kui ta peab seda vajalikuks (
5
). Seejärel uurib politsei asja ja otsustab, kas on alust ametliku süüdistuse esitamiseks. Kui on, siis saadetakse asi kohtusse ning kohus hindab rikkumist ja määrab kindlaks trahvi suuruse.
B.
Eelotsuse küsimuste käsitlemine
18.
Minu arvates on asjakohane käsitleda neid kahte küsimust koos. Nende küsimustega soovib eelotsusetaotluse esitanud kohus sisuliselt teada, kas isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 kasutatud mõistet „ettevõtja“ tuleb selle määruse põhjendust 150 arvestades tõlgendada nii, et see vastab mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses. Sellest tuleneb küsimus, kas äriühingule isikuandmete kaitse üldmääruse rikkumise eest trahvi määramisel tuleb lähtuda kogu selle ettevõtja (majandusüksuse või kontserni) aastasest kogukäibest, mille koosseisu rikkumise toime pannud äriühing kuulub (
6
) (käesoleval juhul Lars Larseni kontsern, ligikaudu 881 miljonit eurot), mitte üksnes asjaomase äriühingu enda aastasest kogukäibest (ILVA, ligikaudu 241 miljonit eurot).
1. Kohtuotsus Deutsche Wohnen
19.
Isikuandmete kaitse üldmääruse artiklis 83 on sätestatud õiguslik alus trahvide määramiseks selle määruse rikkumise korral. Täitmise tagamise kontekstis ei ole mõistet „ettevõtja“ isikuandmete kaitse üldmääruses määratletud, kuid määruse põhjenduses 150 on täpsustatud, et selle mõiste tõlgendamisel tuleks lähtuda liidu konkurentsiõiguse põhimõtetest (
7
).
20.
Euroopa Kohtul oli hiljuti võimalus tõlgendada isikuandmete kaitse üldmääruse artikli 83 mõningaid (kuid mitte kõiki) lõikeid ja käsitleda teatavaid küsimusi, mis on seotud käesolevas kohtuasjas esitatud küsimustega.
21.
Kohtuotsuses Deutsche Wohnen (
8
) sedastas Euroopa Kohus muu hulgas, et „nii nähtub isikuandmete kaitse üldmääruse artikli 83 lõigetest 4–6, mis käsitlevad nendes lõigetes loetletud rikkumiste eest määratavate trahvide arvutamist, et juhul, kui trahvi adressaat on ettevõtja või osa ettevõtjast ELTL artiklite 101 ja 102 tähenduses, arvutatakse trahvi ülemmäär protsendina asjaomase ettevõtja eelneva majandusaasta ülemaailmsest aastasest kogukäibest“.
22.
Euroopa Kohus märkis selgelt, et trahvi ülemmäära aluseks on „ettevõtja“ ülemaailmne aastane kogukäive, (
9
) kusjuures mõistet „ettevõtja“ tuleb tõlgendada vastavalt liidu konkurentsiõigusele (ELTL artiklid 101 ja 102). Euroopa Kohus nentis seega, et isikuandmete kaitse üldmääruse kohaste trahvide ülemmäära kindlaksmääramisel soovis liidu seadusandja luua silla isikuandmete kaitse üldmääruse normide ja liidu konkurentsiõiguse normide vahel.
23.
Nimelt sarnanevad isikuandmete kaitse üldmääruse artikli 83 lõiked 4–6 määruse (EÜ) nr 1/2003 (
10
) artikli 23 lõikega 2: mõlemal juhul on nähtud ette vastavate määruste alusel määratavate trahvide seaduslik ülemmäär.
24.
Seejärel arendas Euroopa Kohus oma arutluskäiku edasi, käsitledes trahvi suuruse kindlaksmääramise tingimusi. Kohtuotsuses Deutsche Wohnen (punktis 58) märkis Euroopa Kohus, et „lõppkokkuvõttes [saab] üksnes selline trahv, mille suuruse määrab järelevalveasutus kindlaks trahvi adressaadi tegeliku või materiaalse majandusliku võimekuse alusel, lähtudes trahvisumma puhul majandusüksuse mõistest […] kohtupraktika[ (
11
)] tähenduses, vastata isikuandmete kaitse üldmääruse artikli 83 lõikes 1 sätestatud kolmele tingimusele: olla ühtaegu tõhus, proportsionaalne ja heidutav“. Kuigi Euroopa Kohus viitas sellega seoses „trahvi adressaadile“, rõhutades seega seost trahvi ja isikuandmete kaitse üldmääruse rikkumises süüdistatava isiku vahel, kasutas ta seejärel mõistet „ettevõtja“ („majandusüksus“) liidu konkurentsiõiguse tähenduses.
25.
Lisaks leidis Euroopa Kohus selle kohtuotsuse punktis 59, et „kui järelevalveasutus otsustab volituste alusel, mis tal isikuandmete kaitse üldmääruse artikli 58 lõike 2 alusel on, määrata vastutavale töötlejale, kes on ettevõtja või osa ettevõtjast ELTL artiklite 101 ja 102 tähenduses, selle määruse artikli 83 alusel trahvi, peab järelevalveasutus vastavalt viimati mainitud sättele, arvestades sama määruse põhjendust 150, lähtuma artikli 83 lõigetes 4–6 nimetatud rikkumiste eest määratavate trahvide arvutamisel mõistest „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses“ (
12
).
26.
Järeldan, et kohtuotsusest Deutsche Wohnen tuleneb, et juhul, kui isikuandmete kaitse üldmääruse rikkumise on toime pannud vastutav töötleja või volitatud töötleja, kes on ettevõtja (või osa ettevõtjast), käsitatakse trahvi maksimaalse võimaliku suuruse kindlaksmääramisel viidet „ettevõtja“ ülemaailmsele aastasele kogukäibele kooskõlas ELTL artiklitega 101 ja 102. See järeldus ei selgita mitte ainult küsimust maksimaalse trahvisumma kohta, mille saab sellisele vastutavale töötlejale või volitatud töötlejale potentsiaalselt määrata. See tähendab ka, et väga nüansirikas (ja üsna juhtumipõhine) kohtupraktika, milles käsitletakse mõisteid „ettevõtja“ ja „majandusüksus“, omandab teatava tähtsuse ka nende tingimuste seisukohast, mille kohaselt määratakse kindlaks isikuandmete kaitse üldmääruse sama rikkumise korral määratava trahvi
tegelik suurus.
27.
Järgnevates punktides analüüsin Deutsche Wohneni kohtupraktika mõju käesoleva kohtuasja konkreetses kontekstis, et pakkuda välja raamistik, millest eelotsusetaotluse esitanud kohus peaks ILVA-le trahvi määramisel juhinduma.
2. Pärast kohtuotsust Deutsche Wohnen tehtava analüüsi 1. etapp: üldine analüüs trahvi maksimaalse suuruse kindlaksmääramiseks
28.
Nagu on märgitud käesoleva ettepaneku punktides 25 ja 26, tuleneb isikuandmete kaitse üldmääruse artikli 83 sõnastusest, tõlgendatuna koostoimes selle määruse põhjendusega 150, ja Deutsche Wohneni kohtupraktikast, et kui vastutav töötleja või volitatud töötleja on (osa) „ettevõtjast“ ELTL artiklite 101 ja 102 tähenduses, tuleb trahvi maksimaalse suuruse kindlaksmääramisel lähtuda sellise ettevõtja kui terviku kogukäibest.
29.
Euroopa Kohtu konkurentsialases kohtupraktikas on sedastatud, et mõiste „ettevõtja“ hõlmab iga üksust, mis tegeleb majandustegevusega, sõltumata selle üksuse õiguslikust vormist ja rahastamisviisist (
13
).
30.
Samuti tuleneb Euroopa Kohtu praktikast, et ELTL artiklites 101 ja 102 kasutatud mõiste „ettevõtja“ võib tähendada ühte majandusüksust, isegi kui see majandusüksus koosneb mitmest füüsilisest või juriidilisest isikust. See, kas mitu isikut moodustavad sellise üksuse, sõltub suuresti sellest, kas üksikud isikud on oma otsuste tegemisel vabad või kas juhtiv isik, st emaettevõtja, omab teiste isikute üle otsustavat mõju. Selle asjaolu kindlaksmääramise kriteeriumid põhinevad emaettevõtja ja tema tütarettevõtja vahelistel majanduslikel, juriidilistel ja organisatsioonilistel seostel, näiteks osaluse suurusel, personali- või organisatsioonilistel sidemetel, juhiste andmisel ja äriühingu lepingute olemasolul (
14
).
31.
Kohtupraktikast selgub ka, et emaettevõtja poolt tütarettevõtja tegevusele otsustava mõju tegelikku avaldamist saab järeldada omavahel kooskõlas olevate tõendite kogumist, isegi kui ükski neist tõenditest ei ole eraldi võetuna piisav, et sellise mõju esinemist kinnitada (
15
). Selles osas tuginesid Euroopa Liidu kohtud muu hulgas emaettevõtja õigusele nimetada tütarettevõtja juhtorganite liikmeid ning õigusele kutsuda kokku aktsionäride üldkoosolek ja teha ettepanek kutsuda tagasi juhtorgani liikmeid või kogu juhtorgan (
16
).
32.
Väljakujunenud kohtupraktikast tuleneb, et kui emaettevõtja omab konkurentsieeskirju rikkunud tütarettevõtja aktsia- või osakapitalis otseselt või kaudselt ainuosalust või peaaegu ainuosalust, võib esiteks see emaettevõtja selle tütarettevõtja tegevusele otsustavat mõju avaldada ja teiseks esineb ümberlükatav eeldus, et nimetatud emaettevõtja avaldabki tegelikult sellist mõju (
17
).
33.
Eelotsusetaotluse punkti 2 kohaselt on ILVA osa Lars Larseni kontsernist. Kui eelotsusetaotluse esitanud kohus peaks tuvastama, et selle kontserni emaettevõtjal on ILVA üle otsustav mõju, hõlmaks „ettevõtja“ isikuandmete kaitse üldmääruse artikli 83 lõike 5 tähenduses i) kontserni emaettevõtjat ja ii) ILVAt ning iii) iga muud äriühingut, mille üle emaettevõtjal on samuti otsustav mõju. Viimati nimetatud kategooriasse võivad kuuluda muud Lars Larseni kontserni äriühingud.
34.
„Käivet“ on isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 sõnaselgelt nimetatud äriühingutele määratava trahvi maksimaalse suuruse arvutamise kontekstis. See maksimaalne suurus puudutab väga suuri äriühinguid, sest ülemmäära ei kohaldata, kui trahv on väiksem kui neis artikli 83 kolmes lõikes nimetatud absoluutne summa, nimelt 10 miljonit eurot või 20 miljonit eurot. Käibel põhinev ülemmäär on seega asjakohane üksnes nende ettevõtjate puhul, kelle ülemaailmne kogukäive on suurem kui 500 miljonit eurot (
18
).
35.
Sellest järeldub, et kui eelotsusetaotluse esitanud kohus peaks tuvastama, et Lars Larsen kontserni emaettevõtjal on ILVA üle otsustav mõju, siis tuleks põhikohtuasjas määratava trahvi abstraktse
maksimaalse suuruse arvutamisel võtta aluseks asjakohane protsent asjaomase ettevõtja, st Lars Larseni kontserni (mille osa on ILVA) eelmise majandusaasta ülemaailmsest aastasest kogukäibest.
3. Pärast kohtuotsust Deutsche Wohnen tehtava analüüsi 2. etapp: analüüs põhikohtuasjas rikkumiste eest määratava tegeliku trahvi kindlaksmääramiseks
36.
Liidu seadusandja poolt isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 ette nähtud trahvi maksimaalse suuruse kindlaksmääramist ei tohiks segi ajada järelevalveasutuse (
19
) edasise ülesandega, milleks on isikuandmete kaitse üldmääruse konkreetse(te) rikkumis(t)e eest määratava tegeliku trahvi kindlaksmääramine.
37.
Seejuures tuleb esiteks tähele panna, et isikuandmete kaitse üldmääruse artikli 83 lõikes 1 on sätestatud kolm põhitingimust, (
20
) mida järelevalveasutus peab järgima. Kõik need tingimused eeldavad kõne all oleva rikkumise kõigi elementide ja määratava asjakohase tegeliku trahvi eraldi kaalumist. Lisaks kohustab artikli 83 lõige 2 seda asutust „trahvi määramise ja [tegeliku trahvi asjakohase] suuruse üle“ otsustamisel järgima teatavaid nõudeid. Seega selleks, et täielikult mõista isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 kohaldamist konkreetsel juhul tegeliku trahvi määramise kontekstis, tuleb neid lõikeid tõlgendada koostoimes selle määruse artikli 83 lõikega 1 ja artikli 83 lõikega 2. Mis veelgi olulisem, viimases on loetletud konkreetsed tegurid, mida järelevalveasutus peab konkreetsel juhul trahvi tegeliku suuruse kindlaksmääramisel arvesse võtma.
38.
Juba selle artikli lõike 2 sõnastusest tuleneb, et „iga üksiku juhtumi“ puhul tuleb arvesse võtta mitut elementi, kusjuures järelevalveasutuse ülesandeks on tegeliku trahvi suuruse kindlaksmääramisel teha kindlaks tema menetletava juhtumi puhul asjakohased konkreetsed elemendid ja nende olulisus (
21
).
39.
Erinevalt isikuandmete kaitse üldmääruse artikli 83 lõigetest 4–6 (vt käesoleva ettepaneku punkt 34) ei sisalda artikli 83 lõige 2 ega artikli 83 lõige 1 (ega ka mitte artikli 83 lõige 3 (
22
)) ühtegi viidet ettevõtja käibele. Järelikult tegi liidu seadusandja otsuse mitte lisada käivet tegeliku trahvi määramisel arvesse võetava konkreetse tegurina. Selle asemel on artikli 83 lõikes 2 loetletud muud rikkumises süüdistatava vastutava töötleja või volitatud töötleja käitumist iseloomustavad tegurid, (
23
) et tagada iga rikkumise hindamine kõigi asjakohaste konkreetsete asjaolude põhjal. Minu arvates võib eelnevast järeldada, et liidu seadusandja soovis eristada tegureid, mis on aluseks trahvi maksimaalse suuruse kindlaksmääramisel (1. etapp), ja nõudeid, mida järelevalveasutus peab trahvi tegeliku suuruse kindlaksmääramisel järgima (2. etapp).
40.
Tuletaksin sellega seoses meelde, et Euroopa Kohus on rõhutanud, et karistuse võib määrata üksnes juhul, kui selleks on olemas selge ja üheselt mõistetav õiguslik alus, isegi kui tegemist ei ole kriminaalõigusest tuleneva karistusega (
24
). Seda enam kehtib see põhimõte kriminaalmenetluses, nagu käesolevas asjas. Euroopa Kohtu praktikas viidatakse seaduslikkuse põhimõttele, mis „nõuab, et seadus peab selgelt määratlema rikkumised ja nende eest määratavad karistused“ [ning] „seaduse selguse hindamiskriteerium[id] vastavalt Euroopa Inimõiguste Kohtu [edaspidi „EIK“] praktikale“ (
25
).
41.
Sellega seoses väidab komisjon sisuliselt, et isikuandmete kaitse üldmääruse kohaselt peab lisaks trahvi maksimaalsele suurusele ka tegeliku trahvi arvutamine käesolevas asjas põhinema selle ettevõtja käibel, mille osaks äriühing on. Käesoleva ettepaneku punktides 37–40 esitatud kaalutlused ei võimalda siiski järeldada, et isikuandmete kaitse üldmääruse artikli 83 lõikeid 1–6 tuleb tõlgendada nii, et trahvi maksimaalse suuruse kindlaksmääramise (1. etapp) norme tuleb peamise või ainsa alusena kasutada ka tegeliku trahvi kindlaksmääramisel (2. etapp).
42.
Teiseks – osaliselt kahe õigusvaldkonna vahelise silla loomise ülekanduva mõju tõttu – on vajadus eristada trahvi maksimaalset suurust (1. etapp) ja tegelikku trahvi (2. etapp) tuletatav ka liidu konkurentsiõigusest. Nimelt kasutab komisjon liidu konkurentsiõiguse kohaldamisel trahvi maksimaalse suuruse arvutamiseks käivet (maksimaalne trahv on 10% ettevõtja kogukäibest rikkumise kohta), nagu seda tehakse ka isikuandmete kaitse üldmääruse artiklis 83. Siiski on oluline rõhutada, et trahvi põhisummat ennast ei määrata kindlaks käibe alusel (
26
).
43.
Selle asemel määratakse põhisumma sisuliselt kindlaks protsendina asjaomase müügi (mis on otseselt või kaudselt seotud konkurentsiõiguse rikkumisega) väärtusest, mis korrutatakse rikkumise kestusega (aastad või aastast lühemad perioodid), millele lisandub 15–25% asjaomase müügi väärtusest (täiendava hoiatava mõju tagamiseks kartellide puhul). Seejärel suurendatakse selliselt arvutatud trahvi põhisummat raskendavate asjaolude tõttu või vähendatakse seda kergendavate asjaolude tõttu. Saadud summale kohaldatakse ülempiiri, milleks on 10% käibest (vajaduse korral saab kasutada täiendavat võimalust vähendada trahvi leebema kohtlemise, kokkuleppe ja/või maksevõimetuse alusel). See näitab selgelt, et tegeliku trahvi kindlaksmääramisel on keskne roll otseselt rikkumist iseloomustavatel teguritel (näiteks asjaomane müük, rikkumise kestus ja juhtumit iseloomustavad erilised asjaolud), mitte ülemaailmsel aastasel kogukäibel.
44.
Õiguskirjanduses on juba välja toodud, et trahvimismetoodikast, mida komisjon kasutab seoses ELTL artiklitega 101 ja 102, ei saa teha otseseid järeldusi isikuandmete kaitse üldmääruse kohta, kuna liidu konkurentsitrahvide määramisel lähtutakse [konkurentsivastase] tegevuse mõjust asjaomasel turul, mitte käibest kui niisugusest. Näiteks kartellide puhul põhinevad trahvid pigem „kartellitootega“ seotud müügi väärtusel kui ülemaailmsel käibel (
27
).
45.
Euroopa Kohtu praktikas kinnitatakse, et see osa kogukäibest, mis tekkis rikkumise esemeks olevate kaupade müügist (st „müügi väärtus“), kajastab kõige paremini rikkumise majanduslikku tähtsust (
28
). Seevastu isikuandmete kaitse üldmääruses soovitakse mõistega „käive“ kajastada ettevõtja majanduslikku tähtsust (
29
). Neid kahte lähenemisviisi ei tohi segamini ajada, kuna need teenivad erinevaid eesmärke: kui esimese eesmärk on hinnata rikkumise raskust, siis teise eesmärk on hinnata ettevõtja majanduslikku tähtsust.
46.
Seega jõuan ma eelnevate kaalutluste ja Euroopa Kohtu praktika (tsiteeritud käesoleva ettepaneku punktis 40) põhjal järeldusele, et liidu konkurentsialase kohtupraktika mõju piirid isikuandmete kaitse üldmääruse rikkumiste eest tegelike trahvide määramisele peavad olema piiritletud seaduslikkuse põhimõttega. Eelkõige tuleks tagada, et isikuandmete kaitse üldmääruse kohaselt määratavad tegelikud trahvid arvutatakse üksnes rikkumise toimepanija tegude põhjal ja nende puhul võetakse täiel määral arvesse konkreetse rikkumise kõiki omadusi. Seetõttu ei saa mõistete „käive“ ja „ettevõtja“ tõlgendamist, millest lähtutakse trahvi maksimaalse suuruse kindlaksmääramisel, automaatselt üle kanda tegeliku trahvi arvutamisele.
47.
Selleks et trahv vastaks isikuandmete kaitse üldmääruse eesmärgile, milleks on tugevdada selle määruse normide täitmise tagamist, ja võttes arvesse eespool käsitletud Euroopa Kohtu praktikat, peaks mõistete „ettevõtja“ ja „käive“ tõlgendamine tegeliku trahvisumma kindlaksmääramisel vastama järgmistele nõuetele. Esiteks peab järelevalveasutus tegeliku trahvi kindlaksmääramisel vastavalt isikuandmete kaitse üldmääruse artikli 83 lõikele 2 võtma aluseks konkreetse juhtumi kõiki individuaalseid asjaolusid, sealhulgas liidu konkurentsialases kohtupraktikas määratletud „ettevõtja“ siseseid seoseid. Teiseks peab kõikide asjasse puutuvate asjaolude kaalumise tulemusel määratav tegelik trahv olema tõhus, proportsionaalne ja heidutav. Lõpuks on oluline vajaduse korral silmas pidada konkreetse rikkumise korral asjakohaseid karistusõiguse aspekte.
48.
Seoses nende nõuete täitmisega tahaksin meelde tuletada järgmisi kaalutlusi.
49.
Nagu märkis kohtujurist Pitruzzella, (
30
) on liidu õiguses mõiste „ettevõtja“ tähendus ja ulatus olemuslikult seotud normistikuga, mille konteksti see mõiste kuulub, ning eri eesmärkidega, mida nende normidega püütakse saavutada. Liidu konkurentsiõiguses tuleb seda, et „ettevõtja“ mõiste on olemuselt funktsionaalne, mõista kahest aspektist. Esiteks keskendub see mõiste tegevuse laadile, mitte selles tegevuses osalejate omadustele. Konkurents kujuneb majandustegevuses ja on sellest mõjutatud. Sel põhjusel viidatakse ELTL artiklites 101 ja 102 üldiselt „ettevõtjatele“, jättes nende õigusliku struktuuri täiesti kõrvale. Teiseks sõltub see, kas mingit tegevust saab liidu konkurentsiõiguse kohaldamisel majandustegevuseks ja seega mõnd üksust ettevõtjaks kvalifitseerida, vaadeldavast kontekstist. Samuti sõltub „ettevõtjasse“ kuuluvate üksuste kindlakstegemine vaidlusaluse rikkumise sisust.
50.
Eeltoodud kaalutlustes on õigesti esile toodud, et liidu konkurentsiõiguses seatakse esikohale majanduslikud küsimused, jättes asjaomase üksuse juriidilise struktuuri tähelepanuta. Samas piirab teine aspekt seda seisukohta nii, et rikkumise eest vastutav üksus või isik ja seega tegelik trahv sõltub vaidlusalusest rikkumisest endast.
51.
Järelikult on üks mõistet „ettevõtja“ iseloomustav element, mida tuleks trahvi põhisumma kindlaksmääramisel ja kohandamisel (tegeliku trahvi kindlaksmääramiseks) arvesse võtta, selle ettevõtja koosseisu kuuluvate teiste äriühingute osalemise määr isikuandmete kaitse üldmääruse rikkumises. Sellega seoses on liidu konkurentsiõigust käsitlevas riigisiseses kohtupraktikas väidetud, et kontseptuaalselt on „ettevõtja“ olemasolu küsimus ja „ettevõtja“ koosseisu kuuluvatele eri äriühingutele vastutuse omistamise küsimus eraldiseisvad (
31
) ning isik ei ole ipso facto ELTL artikli 101 rikkumise eest vastutav ainuüksi seetõttu, et ta kuulub liidu õiguse alusel rikkumise eest vastutava ettevõtja koosseisu, kui see isik ei osalenud rikkumises ega omanud otsustavat mõju selle ettevõtja teiste liikmete tegevusele asjaomasel turul, kes rikkumises osalesid. […] [S]ellistel asjaoludel võib olla ebatõenäoline, et kõnealune isik loetakse tegelikult selle „ettevõtja“ osaks (
32
).
52.
Minu arvates on eespool esitatud argumendid asjakohased ka selle kaalumisel, millised isikud kuuluvad mõiste „ettevõtja“ alla, et määrata kindlaks tegelik trahv isikuandmete kaitse üldmääruse rikkumise eest. Seda enam on see nii siis, kui järelevalveasutus on ühemõtteliselt kindlaks teinud, et emaettevõtja ei osalenud kõnealuses rikkumises vastutava töötleja või volitatud töötlejana, nagu see on põhikohtuasjas (
33
).
53.
Kuigi liidu seadusandja on trahvide maksimaalse suuruse kindlaksmääramise kontekstis loonud liidu õiguse nende kahe valdkonna vahel teatava silla, on isikuandmete kaitse üldmääruse sätetel ja liidu konkurentsieeskirjadel ilmselgelt erinevad eesmärgid. Isikuandmete kaitse üldmääruse reguleerimissüsteem erineb liidu konkurentsieeskirjade süsteemist ja selle aluseks on vastutava töötleja (ja volitatud töötleja) vastutus isikuandmete seadusliku töötlemise eest. Teisisõnu, kui liidu konkurentsiõigus on suunatud „ettevõtjatele“ (keeldude sõnastamisel on viidatud „ettevõtjale“), siis isikuandmete kaitse üldmääruses keskendutakse „vastutavatele töötlejatele“ ja „volitatud töötlejatele“. Meenutan ka, et kuna „majandusüksuse“ doktriini ei saa lahutada liidu konkurentsiõiguse ülesehitusest ja eesmärgist, on Euroopa Kohus keeldunud laiendamast selle kohaldamist analoogia alusel muudele liidu õiguse valdkondadele, näiteks ELTL artikli 340 teisel lõigul põhinevale lepinguvälisele vastutusele (
34
).
54.
Neid kaalutlusi silmas pidades on ilmne, miks Euroopa Kohus on selgelt piiranud liidu konkurentsiõiguse mõju isikuandmete kaitse üldmääruse rakendamisele (ja eelkõige selles sätestatud trahvide määramisele). Kohtuotsuses Deutsche Wohnen (punktis 53) sedastas Euroopa Kohus, et mõiste „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses ei mõjuta küsimust, kas ja millistel tingimustel võib juriidilisest isikust vastutavale töötlejale määrata isikuandmete kaitse üldmääruse artikli 83 alusel trahvi, sest seda küsimust reguleerivad ammendavalt määruse artikli 58 lõige 2 ja artikli 83 lõiked 1–6. Ta jätkas, märkides (punktis 54), et see mõiste on „asjakohane ainult isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 [mis käsitlevad maksimaalset trahvi] alusel vastutavale töötlejale määratava trahvi suuruse kindlaksmääramisel“ (kohtujuristi kursiiv). Osutades (punktis 53), et seda, kas ja millistel tingimustel võib haldustrahvi määrata, „reguleerivad ammendavalt määruse artikli 58 lõige 2 ja artikli 83 lõiked 1–6“ (kohtujuristi kursiiv), selgitas Euroopa Kohus, et tegeliku trahvi kindlaksmääramisel tuleb artikli 83 lõigete 1–6 nõudeid kohaldada tervikuna ja et ükski neist lõigetest ei ole primus inter pares.
55.
Järelikult on „ettevõtja“„käive“ vaid üks paljudest elementidest, mida tuleb vastutava töötleja (või volitatud töötleja) vastutusele võtmisel ja isikuandmete kaitse üldmääruse kohase tõhusa, proportsionaalse ja heidutava trahvi määramisel arvesse võtta.
56.
On tõsi, et Euroopa Kohtu praktika kohaselt võib liidu konkurentsiõiguse kohaldamisel teatavates olukordades olla põhjendatud võtta äriühingu käivet arvesse trahvi tegeliku suuruse arvutamisel (näiteks hoiatamise eesmärgil trahvi põhisumma suurendamisel) – kuid ainult ühe asjakohase elemendina teiste seas (
35
).
57.
Seetõttu peaks minu arvates tegeliku trahvi suuruse kindlaksmääramisel olema võimalik tugineda mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses, kuid ainult siis, kui see on nõuetekohaselt põhjendatud trahvi hoiatava mõju ja tõhususe tagamisega ning vastutava töötleja, volitatud töötleja või ettevõtja majandusliku tähtsuse arvessevõtmisega. Sellele mõistele tuginemine peab olema nüansseeritud ja arvestada tuleb iga konkreetse juhtumi asjaolusid. Täpsemalt võib seda kasutada kohandamismehhanismina juhtumi konkreetsete asjaolude kaalumisel pärast seda, kui trahv on isikuandmete kaitse üldmääruse artikli 83 lõike 2 kohaselt kindlaks määratud. Seega peab eelotsusetaotluse esitanud kohus kontrollima, kas käesoleval juhul esinevad asjaolud, mis õigustavad trahvi sel viisil suurendamist, eelkõige hoiatamise eesmärgil.
58.
Isikuandmete kaitse üldmääruse alusel määratavate trahvide individualiseerimise (
36
) küsimust on käsitlenud ka Euroopa Andmekaitsenõukogu (
37
). Oma suunistega isikuandmete kaitse üldmääruse kohaste trahvide arvutamise kohta, (
38
) mis on koostatud vastavalt isikuandmete kaitse üldmääruse artikli 70 lõike 1 punktile k, peab Euroopa Andmekaitsenõukogu silmas eesmärki ühtlustada isikuandmete kaitse üldmääruse kohaste järelevalveasutuste trahvimisvolitusi liidus. Muu hulgas märgib Euroopa Andmekaitsenõukogu, et „edasise arvutuse lähtepunkti moodustavad kolm elementi: rikkumise liigitus vastavalt selle laadile, mis on sätestatud üldmääruse artikli 83 lõigetes 4–6, rikkumise raskusaste […] ja ettevõtja käive kui üks oluline element, mida tuleb arvesse võtta tõhusa, heidutava ja proportsionaalse trahvi määramisel vastavalt üldmääruse artikli 83 lõikele 1“. Sellised suunised ei ole siiski Euroopa Kohtule siduvad. Kuigi on tõsi, et need ei ole Euroopa Kohtule siduvad, näitavad need kaalutlused, et ainult terviklik lähenemisviis, mille puhul võetakse arvesse juhtumi kõiki asjasse puutuvaid asjaolusid, saab tagada, et trahv vastab kõnealuse määruse artikli 83 põhinõuetele, tagades, et tegelik määratud trahv on tõhus, proportsionaalne ja heidutav.
59.
Seetõttu teen Euroopa Kohtule ettepaneku asuda seisukohale, et isikuandmete kaitse üldmääruse artikli 83 alusel tegeliku trahvi suuruse kindlaksmääramise kontekstis mõiste „ettevõtja“ kohaldamisel tuleks asjakohaseks pidada järgmisi aspekte. Esiteks tuleks hinnata, kas emaettevõtja on kasutanud oma otsustusõigust seoses vastutava töötleja või volitatud töötleja asjaomase tegevusega, mis hõlmas isikuandmete kaitse üldmääruse rikkumist. Teiseks tuleb uurida, kas konkreetne isikuandmete kaitse üldmäärusega vastuolus olev andmete töötlemine on seotud asjaomase äriühinguga ja/või kogu kontserniga. Kolmandaks on vaja kindlaks teha, kas isikuandmete kaitse üldmääruse rikkumis(t)es osales mitu kontserni osaks olevat äriühingut.
60.
Sellega seoses märgiksin, et asjakohane on järgmine mitteammendav elementide loetelu: i) käesolevas kohtuasjas (
39
) (erinevalt kohtuasjast, milles tehti kohtuotsus Deutsche Wohnen) näib, et Lars Larseni kontsern ja/või tema emaettevõtja ei osalenud kriminaalmenetluses; ii) süüdistus esitati ainult ILVA-le, mitte kontsernile, (
40
) ja iii) põhikohtuasjas piirdus isikuandmete kaitse üldmääruse rikkumine ainult ILVA klientide ja nende andmetega ning ei olnud mingit alust arvata, et rikkumine pandi toime kontserni tasandil või et andmete töötlemine ILVA poolt oli seotud teiste kontserni äriühingutega. Tuleb rõhutada, et kohtuasjas, milles tehti kohtuotsus Deutsche Wohnen, võttis „asjaomane äriühing“ kogu vastutuse andmete töötlemise eest, st ka kontserni teiste äriühingute andmete töötlemise eest (
41
).
61.
Kuna aga ainult eelotsusetaotluse esitanud kohus on pädev asjaolude üle otsustama, on tal ka ülesanne teha selles osas vajalik kontroll ja võtta neid elemente ning nende asjakohasust ja kaalu arvesse ILVA tegeliku trahvisumma kindlaksmääramisel.
4. Lõppmärkused
62.
Kuigi eelotsusetaotluse esitanud kohus ei ole nende kohta küsimusi esitanud, leian, et sellele kohtule täieliku vastuse andmiseks on asjakohane lühidalt käsitleda käesoleva kohtuasja teatavaid spetsiifilisi aspekte.
63.
Põhikohtuasjas isikuandmete kaitse üldmääruse artikli 83 lõikeid 1–6 tuleb tõlgendada muu hulgas koostoimes artikli 83 lõikega 9, (
42
) mida Euroopa Kohus kohtuotsuses Deutsche Wohnen ei käsitlenud (
43
). Seega tuleb isikuandmete kaitse üldmääruse artikli 83 alusel asjakohase tegeliku trahvi kindlaksmääramise korda käesoleval juhul tõlgendada viisil, mis on kooskõlas kriminaalmenetluse oluliste tagatistega.
64.
Analüüsides artikli 83 lõike 9 mõju käesolevale kohtuasjale, tuleks arvesse võtta ka isikuandmete kaitse üldmääruse põhjendust 151, milles on märgitud, et „Taani ja Eesti õigussüsteem[ (
44
)] ei võimalda määrata trahve käesolevas määruses sätestatu kohaselt“. Seejärel antakse selles põhjenduses suuniseid erinevate menetluste vastavuse kohta isikuandmete kaitse üldmääruse alusel määratavate tegelike trahvide kolmele põhitingimusele, mille kohaselt „igal juhul peaksid määratavad trahvid olema tõhusad, proportsionaalsed ja heidutavad“. Seetõttu on asjakohane lühidalt käsitleda liidu õiguse mõju kriminaalmenetluses määratavatele trahvidele, et tagada nende kolme tingimuse täitmine ka sellisel juhul nagu käesolev juhtum.
65.
ILVA tugines kohtuistungil esiteks Euroopa Liidu põhiõiguste harta (edaspidi „harta“) artiklile 41. See artikkel kannab pealkirja „Õigus heale haldusele“ ja selle lõike 2 punktis c rõhutatakse „asutuste kohustust põhjendada oma otsuseid“, kuid ILVA ei ole sellega seoses konkreetseid argumente esitanud.
66.
Teiseks viitas ILVA ka harta artiklile 49. Minagi leian, et isikuandmete kaitse üldmääruse artikli 83 lõigete 1–6 tõlgendamisel tuleb arvesse võtta harta seda artiklit, mis kannab pealkirja „Kuritegude ja karistuste seaduslikkuse ja proportsionaalsuse põhimõte“ ja mis on seega põhikohtuasjas asjakohane. Harta artikli 49 lõikes 3 on sätestatud, et „karistuste raskus ei tohi olla kuriteo suhtes ebaproportsionaalne“.
67.
Nimelt nähtub Euroopa Kohtu praktikast, et proportsionaalsuse põhimõte on üks liidu õiguse üldpõhimõtteid, mille aluseks on liikmesriikide ühised põhiseaduslikud tavad ning mida liikmesriikide ametiasutused peavad liidu õiguse kohaldamisel või rakendamisel järgima. See paneb liikmesriikidele kohustuse vastu võtta meetmeid, mis on sobivad taotletavate eesmärkide saavutamiseks ega lähe kaugemale sellest, mis on nende saavutamiseks vajalik. (
45
)
68.
Seega peab karistuse raskus vastama asjaomase süüteo raskusele; see nõue tuleneb nii harta artikli 52 lõikest 1 kui ka harta artikli 49 lõikes 3 sätestatud karistuste proportsionaalsuse põhimõttest (
46
).
69.
Selgitustest põhiõiguste harta kohta (
47
) nähtub, et kui harta artikliga 49 tagatud õigus vastab 4. novembril 1950 Roomas allkirjastatud Euroopa inimõiguste ja põhivabaduste kaitse konventsiooniga (edaspidi „EIÕK“) tagatud õigusele, on sellise õiguse tähendus ja ulatus vastavalt harta artikli 52 lõikele 3 samad, mis neile EIÕK-ga ette on nähtud. Järelikult on EIK nõuded karistuste proportsionaalsuse kohta harta artikli 17 lõike 1, artikli 51 lõike 1 ning artikli 52 lõigete 1 ja 3 koostoimest tulenevalt kohaldatavad sellises kohtuasjas nagu põhikohtuasi (
48
).
70.
Euroopa Kohtu praktikast tuleneb, et proportsionaalsuse põhimõte nõuab esiteks seda, et määratud karistus vastaks süüteo raskusele, ning teiseks seda, et karistuse ja trahvisumma kindlaksmääramisel tuleb arvesse võtta kõiki konkreetse juhtumi asjaolusid (
49
). Selle teise elemendi kohta on kohtupraktikas rõhutatud, et eelotsusetaotluse esitanud kohus peab trahvi tõhususe, proportsionaalsuse ja heidutavuse tagamiseks võtma arvesse selliseid objektiivseid kriteeriume nagu rikkumise raskus ja kestus ning võimalikud raskendavad ja kergendavad asjaolud (
50
).
71.
EIK kaalub oma praktikas sellistel juhtudel erinevaid kaalul olevaid huve ning võtab arvesse avalduse esitaja kriminaalkaristuse laadi, raskust ja heidutavat mõju. Ta on sedastanud, et riikide kohustusest kehtestada karistusõigus ja määrata karistusi, (
51
) et kaitsta üldsust, (
52
) tuleneb kohustus tagada, et määratavad karistused ei oleks ülemäärased.
72.
EIK on otsustanud, et vajalikku tasakaalu ei saavutata, kui asjaomasele isikule pannakse individuaalne ja ülemäärane koorem; nii võib trahvist tulenev finantskohustus kahjustada selle sättega antud tagatist, kui sellega pannakse isikule ülemäärane koorem või kahjustatakse oluliselt tema finantsolukorda (
53
).
73.
Sellest järeldub, et põhikohtuasja menetluslikust eripärast ning liidu õigusest ja EIK praktikast kriminaalmenetluses määratud trahvide valdkonnas tuleneb eelotsusetaotluse esitanud kohtule kohustus võtta isikuandmete kaitse üldmääruse rikkumise eest tegeliku trahvi kindlaksmääramisel arvesse juhtumi kõiki asjasse puutuvaid asjaolusid. Süüdistatava menetluslikud tagatised ja proportsionaalsuse põhimõte, nagu seda on tõlgendatud Euroopa Kohtu ja EIK praktikas, nõuavad, et karistused vastaksid süüteo raskusele ja et võetaks arvesse juhtumi konkreetseid asjaolusid.
74.
Neid nõudeid arvestades peab eelotsusetaotluse esitanud kohus veenduma, et tegeliku trahvi kindlaksmääramisel järgitakse proportsionaalsuse põhimõtet, tagades õiglase tasakaalu ühelt poolt isikuandmete kaitse üldisest huvist tulenevate vajaduste ning teiselt poolt vastutava töötleja, volitatud töötleja või selle ettevõtja, mille osaks see töötleja on, põhiõiguste kaitse (
54
) nõuete vahel.
V. Ettepanek
75.
Teen Euroopa Kohtule ettepaneku vastata Vestre Landsreti (läänepiirkonna apellatsioonikohus, Taani) eelotsuse küsimustele järgmiselt:
Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 83 lõikeid 4–6
tuleb tõlgendada nii, et kui trahv määratakse vastutavale töötlejale või volitatud töötlejale, kes on ettevõtja (või osa ettevõtjast), siis trahvi maksimaalse suuruse kindlaksmääramisel tuleb mõistet „ettevõtja“ tõlgendada nii, et see vastab mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses. Seega võetakse arvesse selle ettevõtja ülemaailmset kogukäivet, mille koosseisu vastutav töötleja või volitatud töötleja kuulub.
Seevastu määratava trahvi tegeliku suuruse kindlaksmääramisel tuleb mõistet „ettevõtja“ tõlgendada koostoimes määruse (EÜ) 2016/679 artikli 83 lõigetega 1 ja 2 ning seda tuleb juhtumi konkreetsete asjaolude kaalumisel kasutada ühe asjakohase elemendina teiste seas. Konkreetsed asjaolud võivad hõlmata emaettevõtja otsustuspädevust, kõnealuse määrusega vastuolus oleva andmetöötluse ulatust ja ettevõtja nende üksuste arvu, kes rikkumises osalesid.
Kui vastavalt määruse 2016/679 artikli 83 lõikele 9 määrab sellise trahvi kriminaalmenetluses liikmesriigi kohus, tuleb tegeliku trahvi kindlaksmääramisel võtta arvesse karistusõiguses kohaldatavaid põhimõtteid. Selles kontekstis peab liikmesriigi kohus veenduma, et tegeliku trahvi kindlaksmääramisel järgitakse proportsionaalsuse põhimõtet, tagades õiglase tasakaalu ühelt poolt isikuandmete kaitse üldisest huvist tulenevate vajaduste ning teiselt poolt vastutava töötleja, volitatud töötleja või selle ettevõtja, mille osaks see töötleja on, põhiõiguste kaitse nõuete vahel.
(
1
)	Algkeel: inglise.
(
2
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1) (edaspidi „isikuandmete kaitse üldmäärus“).
(
3
)	Riigisisestes materjalides nimetatakse põhikohtuasja ka IDdesign A/S‑i kohtuasjaks, kuna IDdesign A/S oli ILVA A/S‑i eelmine ärinimi.
(
4
)	Eelkõige isikuandmete kaitse üldmääruse artikli 83 lõige 9 ja põhjendus 151.
(
5
)	Vt Overby, T., „The Danish adaptation of the GDPR“, Blog Droit Européen, juuni 2018, lk 4 ja 5.
(
6
)	Mis puudutab eelotsuse teise küsimuse konkreetset sõnastust (vt käesoleva ettepaneku punkt 15), siis selle sõnastuses näib olevat tehtud kirjaviga. Kontekstist võib siiski järeldada, et eelotsusetaotluse esitanud kohus ei pidanud silmas mitte valikut „majandusüksuse, millesse ettevõtja kuulub“ ja „ettevõtja enda“ vahel, vaid „majandusüksuse, millesse äriühing kuulub“ ja „äriühingu enda“ (st isikuandmete kaitse üldmäärust rikkunud juriidilise isiku) vahel.
(
7
)	See põhjendus on esitatud käesoleva ettepaneku punktis 4.
(
8
)	5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen (C‑807/21, EU:C:2023:950, punkt 57; edaspidi „kohtuotsus Deutsche Wohnen“ või „Deutsche Wohneni kohtupraktika“). Vt ka samal päeval tehtud seotud kohtuotsus Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949).
(
9
)	Euroopa Kohtu praktikast tuleneb, et „kuigi käive on ebamäärane ja ebatäielik kriteerium, on see asjaomaste ettevõtjate suuruse ja majandusliku võimsuse hindamisel kohane“. Vt 8. detsembri 2011. aasta kohtuotsus KME Germany jt vs. komisjon (C‑272/09 P, EU:C:2011:810, punkt 52).
(
10
)	Nõukogu 16. detsembri 2002. aasta määrus [ELTL artiklites 101 ja 102] sätestatud konkurentsieeskirjade rakendamise kohta (EÜT 2003, L 1, lk 1; ELT eriväljaanne 08/02, lk 205).
(
11
)	6. oktoobri 2021. aasta kohtuotsus Sumal (C‑882/19, EU:C:2021:800, punkt 41 ja seal viidatud kohtupraktika).
(
12
)	Liikmesriikide kohtupraktika kohta vt Landgericht Bonn (Bonni esimese astme kohus, Saksamaa) (11. novembri 2020. aasta kohtuotsus, DE:LGBN:2020:1111.29OWI1.20.00) ja Conseil d’État (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu) (19. juuni 2020. aasta kohtuotsus, FR:CECHR:2020:430810.20200619). Sisuliselt järgitakse mõlemas kohtuotsuses Euroopa Kohtu tõlgendust (kuigi need on Euroopa Kohtu otsusest varasemad). Vastupidise tõlgenduse kohta vt Bundesverwaltungsgericht (föderaalne halduskohus, Austria) (19. augusti 2019. aasta kohtuotsus, AT:BVWG:2019:W211.2208885.1.00) ja Landgericht Berlin (Berliini esimese astme kohus, Saksamaa) (18. veebruari 2021. aasta kohtuotsus, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; see oli otsus, mis viis lõpuks Euroopa Kohtu kohtuotsuseni Deutsche Wohnen). Hilisema kohtupraktika kohta, mis oli kõnealusest Euroopa Kohtu otsusest hilisem ja milles seda otsust kohaldati, vt Bundesverwaltungsgericht (föderaalne halduskohus, Austria) (27. märtsi 2024. aasta kohtuotsus, AT:BVWG:2024:W214.2243436.1.00).
(
13
)	Vt 23. aprilli 1991. aasta kohtuotsus Höfner ja Elser (C‑41/90, EU:C:1991:161, punkt 21). Vt samuti näiteks 12. septembri 2000. aasta kohtuotsus Pavlov jt (C‑180/98–C‑184/98, EU:C:2000:428, punkt 74); 12. juuli 2012. aasta kohtuotsus Compass-Datenbank (C‑138/11, EU:C:2012:449, punkt 35) ja 27. aprilli 2017. aasta kohtuotsus Akzo Nobel jt vs. komisjon (C‑516/15 P, EU:C:2017:314, punkt 47).
(
14
)	Vt näiteks 20. jaanuari 2011. aasta kohtuotsus General Química jt vs. komisjon (C‑90/09 P, EU:C:2011:21, punkt 37). Peamine kriteerium selle asjaolu kindlakstegemiseks on „otsustav mõju“, mille üle tuleks otsustada faktiliste asjaolude (majanduslike, organisatsiooniliste ja juriidiliste seoste) alusel.
(
15
)	27. jaanuari 2021. aasta kohtuotsus The Goldman Sachs Group vs. komisjon (C‑595/18 P, EU:C:2021:73, punkt 67 ja seal viidatud kohtupraktika).
(
16
)	Ibid., punkt 71.
(
17
)	Ibid., punkt 32 ja seal viidatud kohtupraktika.
(
18
)	2% äriühingu ülemaailmsest kogukäibest ületab 10 miljonit eurot ainult siis, kui äriühingu käive on üle 500 miljoni euro. Samamoodi ületab 4% äriühingu ülemaailmsest kogukäibest 20 miljonit eurot ainult siis, kui äriühingu käive on üle 500 miljoni euro.
(
19
)	Kogu käesolevas ettepanekus viitan ma sellega seoses „järelevalveasutusele“, kuid põhikohtuasja konkreetset konteksti arvestades on ilmne, et sama laieneb eelotsusetaotluse esitanud kohtule (sest järelevalveasutuse asemel määrab ILVA-le trahvi see kohus).
(
20
)	„Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav“ (kohtujuristi kursiiv).
(
21
)	Vt selle kohta käesoleva ettepaneku punktis 40 viidatud kohtupraktika.
(
22
)	See säte puudutab olukordi, kus rikutakse korraga mitut isikuandmete kaitse üldmääruse sätet.
(
23
)	Need tegurid on näiteks rikkumise laad, raskus ja kestus; see, kas rikkumine pandi toime tahtlikult või hooletusest; kantava kahju leevendamiseks võetud meetmed; vastutava töötleja või volitatud töötleja varasemad rikkumised; järelevalveasutusega tehtava koostöö määr; mõjutatud isikuandmete liigid jne.
(
24
)	25. septembri 1984. aasta kohtuotsus Könecke (117/83, EU:C:1984:288, punkt 11).
(
25
)	18. juuli 2013. aasta kohtuotsus Schindler Holding jt vs. komisjon (C‑501/11 P, EU:C:2013:522, punkt 57 ja seal viidatud kohtupraktika).
(
26
)	Vt komisjoni suunised määruse nr 1/2003 artikli 23 lõike 2 punkti a kohaselt määratavate trahvide arvutamise meetodi kohta (ELT 2006, C 210, lk 2) (edaspidi „2006. aasta trahvimissuunised“): punkt 32 („Juriidiline ülemmäär“) ja punkt 13 (mis käsitleb „trahvi põhisummat“).
(
27
)	Mayer Brown, Yaros, O. jt, „GDPR fines – Lessons from competition law“, detsember 2018, lk 4.
(
28
)	12. novembri 2014. aasta kohtuotsus Guardian Industries ja Guardian Europe vs. komisjon (C‑580/12 P, EU:C:2014:2363, punkt 59).
(
29
)	2006. aasta trahvimissuuniste punktis 30 on märgitud, et „komisjon pöörab erilist tähelepanu sellele, et oleks tagatud trahvide piisavalt hoiatav mõju“, ning „seepärast võib ta suurendada nendele ettevõtjatele määratavat trahvi, kellel on lisaks rikkumisega seotud kaupade ja teenuste müügile ka erakordselt suur käive“ (kohtujuristi kursiiv). Vt selle kohta 6. veebruari 2014. aasta kohtuotsus Elf Aquitaine vs. komisjon (T‑40/10, EU:T:2014:61, punktid 350–357 ja seal viidatud kohtupraktika).
(
30
)	Need seisukohad on esitatud tema ettepanekus konkurentsiõigust puudutavas kohtuasjas Sumal (C‑882/19, EU:C:2021:293, punktid 23–25).
(
31
)	Vt näiteks Ühendkuningriigi Competition Appeal Tribunali (konkurentsikohus) Brexiti-eelne otsus kohtuasjas Sainsbury’s Supermarkets Ltd vs. Mastercard Incorporated jt ((2016) CAT 11, punktid 363(20–22).
(
32
)	Ibid., punkt 363(23).
(
33
)	Euroopa Kohtule esitatud dokumentidest nähtub, et see oli kõnealusel juhul nii, kuivõrd prokurör ei esitanud emaettevõtja vastu süüdistust, „kuna selleks ei ole alust“, ning tütarettevõtja (ILVA) „tegeleb iseseisva jaemüügiga“ ja „emaettevõtja ei ole asutanud tütarettevõtjat ainsa eesmärgiga anda sellele üle kogu kontserni andmetöötlus“. Vt eelotsusetaotluse punktid 5 ja 21.
(
34
)	5. septembri 2019. aasta kohtuotsuses Euroopa Liit vs. Guardian Europe ja Guardian Europe vs. Euroopa Liit (C‑447/17 P ja C‑479/17 P, EU:C:2019:672, punktid 105 ja 106) sedastas Euroopa Kohus, et mõistet „ettevõtja“ kasutatakse „majandusüksuse“ tähenduses spetsiifiliselt selleks, et rakendada liidu konkurentsiõiguse asjasse puutuvaid sätteid, ja eelkõige selleks, et tuvastada ELTL artiklite 101 ja 102 rikkuja. See mõiste ei ole aga kohaldatav ELTL artikli 340 teise lõigu alusel esitatud kahju hüvitamise hagi raames. Niisuguse hagi puhul on tegemist õiguse üldnormide alusel esitatud hagiga, mida reguleerivad menetluse üldnormid, mille suhtes kohaldatakse kõnealusel juhul äriühinguõigust ja mis ei sõltu vastutuse loogikast liidu konkurentsiõiguses.
(
35
)	17. juuni 2010. aasta kohtuotsus Lafarge vs. komisjon (C‑413/08 P, EU:C:2010:346, punkt 102 ja seal viidatud kohtupraktika). Vt ka käesoleva ettepaneku 29. joonealune märkus.
(
36
)	Tasakaalu saavutamine trahvi ja rikkuja konkreetse olukorra vahel.
(
37
)	Euroopa Andmekaitsenõukogu on liidu sõltumatu juriidilise isiku staatusega asutus, mille eesmärk on tagada isikuandmete kaitse üldmääruse järjepidev kohaldamine ja edendada koostööd liidu andmekaitseasutuste vahel.
(
38
)	Suunised 04/2022 isikuandmete kaitse üldmääruse alusel trahvisummade arvutamise kohta, versioon 2.1, vastu võetud 24. mail 2023, punkt 48.
(
39
)	Käesolevas kohtuasjas esitatud eelotsusetaotluses (lk 3) on märgitud, et „[riigisiseses õiguses] ette nähtud süüdistusakti põhimõttest tuleneb, et kohus ei saa süüdi mõista süüteos, mida süüdistusakt ei hõlma. Nimelt oleks selle sätte kohase põhimõttega vastuolus omistada rangemat karistust määrates tähtsust asjaoludele, mis on seotud teise isikuga, kelle suhtes süüdistust ei esitatud.“
(
40
)	Samas on liikmesriigi trahvimissuunistes märgitud, et kui vastutav töötleja on kontserni tütarettevõtja, tuleks uurida, kas ka emaettevõtja suhtes saab kohaldada kriminaalvastutust. Vt Bødevejledning – Udmåling af bøder til virksomheder (trahvimissuunised – äriühingutele trahvide määramine), jaanuar 2021, lk 3.
(
41
)	Kohtuasjas, milles tehti kohtuotsus Deutsche Wohnen, leidsid rikkumised aset kogu selle kontserni tasandil, millesse asjaomane äriühing kuulus. Vt nende kahe kohtuasja faktiliste erinevuste kohta eelkõige kohtuotsuse Deutsche Wohnen punkte 10–12.
(
42
)	Tuletan meelde, et selles sättes on muu hulgas ette nähtud, et „kui liikmesriigi õigussüsteemis ei ole haldustrahve ette nähtud, võib käesolevat artiklit kohaldada sellisel viisil, et trahvi algatab pädev järelevalveasutus ning selle määravad pädevad riiklikud kohtud, tagades seejuures, et need õiguskaitsevahendid on tõhusad ja järelevalveasutuste poolt määratud haldustrahvidega samaväärse mõjuga. Igal juhul on määratavad trahvid tõhusad, proportsionaalsed ja heidutavad. […]“.
(
43
)	Kuna see säte ei olnud selle kohtuasja lahendamisel asjakohane.
(
44
)	Iirimaal peab andmekaitseasutuse määratud haldustrahvid kinnitama kohus. Vt Data Protection Act 2018, paragrahvid 141–143. Vrhovno sodišče (Sloveenia kõrgeim kohus) 16. märtsi 2021. aasta otsust arvestades ei ole ka Sloveenias haldustrahvide määramine võimalik.
(
45
)	Vt selle kohta 4. oktoobri 2018. aasta kohtuotsus Link Logistik N&N (C‑384/17, EU:C:2018:810, punkt 40 ja seal viidatud kohtupraktika; edaspidi „kohtuotsus Link Logistik“).
(
46
)	Ibid., punkt 42 ja seal viidatud kohtupraktika.
(
47
)	ELT 2007, C 303, lk 17.
(
48
)	Vt ka kohtuotsus Link Logistik (punkt 43).
(
49
)	Kohtuotsus Link Logistik (punkt 45).
(
50
)	Vt selle kohta 10. novembri 2022. aasta kohtuotsus Zenith Media Communications (C‑385/21, EU:C:2022:866, punkt 41).
(
51
)	Vt nt EIK 4. detsembri 2003. aasta otsus M.C. vs. Bulgaaria, CE:ECHR:2003:1204JUD003927298.
(
52
)	Vt nt EIK 16. detsembri 1999. aasta otsus T. vs. Ühendkuningriik, CE:ECHR:1999:1216JUD002472494, punkt 97, milles viidatakse EIK 23. septembri 1998. aasta otsusele A. vs. Ühendkuningriik, CE:ECHR:1998:0923JUD002559994 (punkt 22), ja EIK 28. oktoobri 1998. aasta otsus Osman vs. Ühendkuningriik, CE:ECHR:1998:1028JUD002345294, punkt 115.
(
53
)	Vt nt EIK 27. oktoobri 2015. aasta otsus Konstantin Stefanov vs. Bulgaaria, CE:ECHR:2015:1027JUD003539905, punkt 55.
(
54
)	Ibid., punktid 54, 55, 66, 67, 69 ja 70. Vt ka EIK 5. juuli 2001. aasta otsus Phillips vs. Ühendkuningriik, CE:ECHR:2001:0705JUD004108798, punkt 35, ja EIK 24. juuni 2021. aasta otsus Imeri vs. Horvaatia, CE:ECHR:2021:0624JUD007766814, punkt 71.