62021CC0807
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
M. CAMPOS SÁNCHEZ-BORDONA
представено на 27 април 2023 година (
1
)
Дело C‑807/21
Deutsche Wohnen SE
срещу
Staatsanwaltschaft Berlin
(Преюдициално запитване, отправено от Kammergericht Berlin (Висш областен съд Берлин, Германия)
„Преюдициално запитване — Защита на личните данни — Регламент (ЕС) 2016/679 — Нарушения — Ангажиране на отговорността на предприятие за нарушение, извършено от негови служители — Евентуална обективна отговорност — Транспониране на разработени в конкурентното право понятия“
1.
Настоящото преюдициално запитване предоставя възможност на Съда да се произнесе относно условията, при които може да се наложи имуществена санкция на юридическо лице за нарушения на Регламент (ЕС) 2016/679 (
2
).
2.
По-конкретно трябва да се установи дали:
—
може да се санкционира юридическо лице, без да е необходимо преди това да се установява отговорността на физическо лице,
—
санкционираното нарушение трябва при всички случаи да е извършено умишлено или по небрежност или е достатъчно и само да е налице обективно неизпълнение на задължения.
I. Правна уредба
А.
Правото на Съюза. ОРЗД
3.
Съображение 74 гласи:
„Следва да бъдат установени отговорностите и задълженията на администратора за всяко обработване на лични данни, извършено от администратора или от негово име. По-специално, администраторът следва да е длъжен да прилага подходящи и ефективни мерки и да е в състояние да докаже, че дейностите по обработването са в съответствие с настоящия регламент, включително ефективността на мерките. Тези мерки следва да отчитат естеството, обхвата, контекста и целите на обработването, както и риска за правата и свободите на физическите лица“.
4.
Съображение 150 гласи:
„С цел да се засилят и хармонизират административните наказания за нарушения на настоящия регламент, всеки надзорен орган следва да има правомощието да налага административни наказания „глоба“ или „имуществена санкция“. В настоящия регламент следва да се посочат нарушенията и максималният размер и критериите за определяне на съответните административни наказания „глоба“ или „имуществена санкция“, които следва да се определят от компетентния надзорен орган във всеки отделен случай, като се вземат предвид всички обстоятелства, свързани с конкретната ситуация, по-специално при надлежно отчитане на естеството, тежестта и продължителността на нарушението и на последиците от него, както и на мерките, предприети, за да се гарантира спазване на задълженията по настоящия регламент и за да се предотвратят или смекчат последиците от нарушението. Когато имуществената санкция се налага на предприятие, понятието „предприятие“ следва да се разбира като предприятие в съответствие с членове 101 и 102 [] ДФЕС за тези цели. […] Механизмът за съгласуваност може да се използва също за утвърждаването на съгласувано прилагане на административните наказания „глоба“ или „имуществена санкция“.
5.
Член 4 („Определения“) предвижда:
„За целите на настоящия регламент:
[…]
7)
„администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;
8)
„обработващ лични данни“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора;
[…]
18)
„дружество“ означава физическо или юридическо лице, което осъществява икономическа дейност, независимо от правната му форма, включително партньорствата или сдруженията, които редовно осъществяват икономическа дейност;
[…]“.
6.
Член 58 („Правомощия“) в параграф 2 предвижда:
„Всеки надзорен орган има всички от посочените по-долу корективни правомощия:
а)
да отправя предупреждения до администратора или обработващия лични данни, когато има вероятност операции по обработване на данни, които те възнамеряват да извършат, да нарушат разпоредбите на настоящия регламент;
б)
да отправя официално предупреждение до администратора или обработващия лични данни, когато операции по обработване на данни са нарушили разпоредбите на настоящия регламент;
в)
да разпорежда на администратора или обработващия лични данни да изпълнят исканията на субекта на данни да упражнява правата си съгласно настоящия регламент;
г)
да разпорежда на администратора или обработващия лични данни да съобразят операциите по обработване на данни с разпоредбите на настоящия регламент и, ако е целесъобразно, това да стане по указан начин и в определен срок;
[…]
и)
да налага административно наказание „глоба“ или „имуществена санкция“ съгласно член 83, в допълнение към мерките, посочени в настоящия параграф, или вместо тях, в зависимост от особеностите на всеки отделен случай;
[…]“.
7.
Член 83 („Общи условия за налагане на административни наказания „глоба“ или „имуществена санкция“) гласи:
„1.   Всеки надзорен орган гарантира, че наложените административни наказания „глоба“ или „имуществена санкция“ в съответствие с настоящия член за извършени нарушения на настоящия регламент, посочени в параграфи 4, 5 и 6, във всеки конкретен случай са ефективни, пропорционални и възпиращи.
2.   В зависимост от обстоятелствата във всеки конкретен случай административните наказания „глоба“ или „имуществена санкция“ се налагат в допълнение към мерките, посочени в член 58, параграф 2, букви а)—з) и й), или вместо тях. Когато се взема решение дали да бъде наложено административно наказание „глоба“ или „имуществена санкция“ и се определя нейният размер, във всеки конкретен случай надлежно се разглеждат следните елементи:
а)
естеството, тежестта и продължителността на нарушението, като се взема предвид естеството, обхватът или целта на съответното обработване, както и броят на засегнатите субекти на данни и степента на причинената им вреда;
б)
дали нарушението е извършено умишлено или по небрежност;
в)
действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от вредите, претърпени от субектите на данни;
г)
степента на отговорност на администратора или обработващия лични данни като се вземат предвид технически и организационни мерки, въведени от тях в съответствие с членове 25 и 32;
д)
евентуални свързани предишни нарушения, извършени от администратора или обработващия лични данни;
е)
степента на сътрудничество с надзорния орган с цел отстраняване на нарушението и смекчаване на евентуалните неблагоприятни последици от него;
ж)
категориите лични данни, засегнати от нарушението;
з)
начина, по който нарушението е станало известно на надзорния орган, по-специално дали и до каква степен администраторът или обработващият лични данни е уведомил за нарушението;
и)
когато на засегнатия администратор или обработващ лични данни преди са налагани мерки, посочени в член 58, параграф 2, във връзка със същия предмет на обработването, дали посочените мерки са спазени;
й)
придържането към одобрени кодекси на поведение съгласно член 40 или одобрени механизми за сертифициране съгласно член 42; и
к)
всякакви други утежняващи или смекчаващи фактори, приложими към обстоятелствата по случая, като пряко или косвено реализирани финансови ползи или избегнати загуби вследствие на нарушението.
3.   Ако администратор или обработващ лични данни умишлено или по небрежност наруши няколко разпоредби на настоящия регламент при една и съща операция по обработване или при свързани операции, общият размер на административната глоба или имуществената санкция не може да надвишава сумата, определена за най-тежкото нарушение.
4.   Нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба“ или „имуществена санкция“ в размер до 10000000 EUR или, в случай на предприятие — до 2 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока […].
5.   Нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20000000 EUR или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока:
[…]
6.   Неспазването на разпореждане на надзорния орган, както е посочено в член 58, параграф 2, подлежи, в съответствие с параграф 2 от настоящия член, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20000000 EUR или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока.
[…]
8.   Упражняването от надзорния орган на правомощията му по настоящия член зависи от съответните процедурни гаранции в съответствие с правото на Съюза и правото на държавата членка, включително ефективна съдебна защита и справедлив съдебен процес.
[…]“.
Б.
Националното право. Ordnungswidrigkeitengesetz (Закон за административните нарушения) (
3
)
8.
Съгласно член 9, параграф 1, когато лице действа в качеството на: а) орган (или член на орган), овластен да представлява юридическо лице, б) партньор, овластен да представлява партньорство, или в) законен представител на трето лице, спрямо него се прилага всеки закон, съгласно който конкретните функции, отношения или лични обстоятелства обосновават евентуално санкциониране, когато тези обстоятелства са налице не по отношение на него, а по отношение на представляваното лице.
9.
Въз основа на член 9, параграф 2 гореизложеното се прилага и за собственика на стопански субект (предприятие), възложил изцяло или отчасти на друго лице управлението му или изпълнението на негова отговорност на функциите на собственика.
10.
Член 30, параграф 1 позволява да се наложи имуществена санкция на юридическо лице, когато физическото лице, което го представлява, управлява или отговаря за неговото управление, е извършило престъпление или не е изпълнило задълженията на юридическото лице.
11.
Съгласно член 30, параграф 4 самостоятелното налагане на имуществена санкция на юридическо лице изисква да не е образувано каквото и да било производство срещу члена на органа или представителя на физическото лице или, ако такова производство е образувано, то да е било прекратено.
12.
Съгласно член 130, параграф 1, който в качеството си на собственик на стопанско или търговско предприятие не предприеме умишлено или по небрежност необходимите мерки за надзор, за да възпрепятства в рамките на стопанското или търговското предприятие неизпълнението на задълженията на неговия собственик и за което нарушение се предвижда наказание или глоба, извършва административно нарушение, ако неизпълнението е могло да бъде възпрепятствано или затруднено чрез подходящи мерки за надзор, сред които е назначаването, внимателният подбор на лицата, отговарящи за контрола, и извършваният от тях контрол.
II. Фактите, спорът и преюдициалните въпроси
13.
Deutsche Wohnen SE (наричано по-нататък „Deutsche Wohnen“) е регистрирано на борсата дружество за недвижими имоти със седалище в Берлин (Германия). Чрез дялови участия то притежава непряко около 163000 жилищни и 3000 търговски обекта.
14.
Собственици на тези недвижими имоти са свързани с Deutsche Wohnen дъщерни дружества (наричани по-нататък „дружества собственици“), които осъществяват оперативната дейност, докато Deutsche Wohnen извършва общото управление на групата. Дружествата собственици отдават под наем жилищните и търговските обекти, които се управляват от други дружества от групата, т.нар. обслужващи дружества.
15.
В рамките на търговската си дейност Deutsche Wohnen и дружествата от групата обработват лични данни на наемателите на недвижимите имоти. Тези данни включват в частност документи за самоличност, данъчни, социалноосигурителни и здравноосигурителни данни, както и данни за предишни наемни правоотношения.
16.
На 23 юни 2017 г. при проверка на място Berliner Beauftragte für den Datenschutz (Берлински орган за защита на личните данни, Германия, наричан по-нататък „органът за защита на данните“) обръща внимание на Deutsche Wohnen, че дружествата от неговата група съхраняват лични данни за наемателите в електронна архивна система, за която не може да се проследи дали съхраняването на данните е необходимо и дали е гарантирано заличаването на данните, които вече не са необходими.
17.
Впоследствие органът за защита на данните изисква от Deutsche Wohnen до края на 2017 г. да заличи определени документи от електронната архивна система.
18.
Deutsche Wohnen отказва да направи това, като посочва, че заличаването е невъзможно по технически и правни причини. Този довод е обсъден на среща на Deutsche Wohnen с органа за защита на данните, по време на която последният посочва, че има технически решения за заличаване на данните. Разговорите продължават и Deutsche Wohnen заявява, че обмисля да въведе нова система, която да замени неодобрената от органа за защита на данните.
19.
На 5 март 2020 г. органът за защита на данните извършва проверка в седалището на предприятието, при която са взети общо 16 извадки от базата данни. Същевременно Deutsche Wohnen съобщава на органа, че оспорваната архивна система вече е изведена от употреба и че непосредствено предстои миграцията на данните в новата система.
20.
На 30 октомври 2020 г. органът за защита на данните санкционира Deutsche Wohnen за това, че:
—
от 25 май 2018 г. до 5 март 2019 г. умишлено не е предприело необходимите мерки, така че редовно да заличава данните за наематели, които вече не са необходими или чието съхраняване е неправомерно по други причини,
—
е продължило да съхранява данните за най-малко 15 конкретно посочени наематели, въпреки че му е било известно, че необходимостта от тези данни липсва или е отпаднала.
21.
Наложените имуществени санкции възлизат на 14385000 евро за умишленото нарушение на член 25, параграф 1 и член 5, параграф 1, букви а), в) и д) от ОРЗД, и на 3000 до 17000 евро за петнадесетте нарушения на член 6, параграф 1 от ОРЗД.
22.
Deutsche Wohnen обжалва санкциите пред Landgericht Berlin (Областен съд Берлин, Германия), който съдебен орган уважава жалбата.
23.
Staatsanwaltschaft Berlin (Берлинска прокуратура, Германия) подава протест срещу първоинстанционното решение пред Kammergericht Berlin (Висш областен съд Берлин, Германия), който отправя до Съда следните преюдициални въпроси:
„1)
Трябва ли член 83, параграфи 4—6 от [ОРЗД] да се тълкува в смисъл, че въвежда в националното право характерното за членове 101 и 102 ДФЕС функционално понятие за предприятие и принципа на отговорността на функционалната единица, като последица от което чрез разширяване на залегналия в член 30 от [OWiG] принцип на отговорността на правния субект производството по налагане на административни наказания може да се води пряко срещу предприятия и за санкционирането на последните не е необходимо да се установява наличието на административно нарушение, извършено от идентифицирано физическо лице, евентуално при наличие на всички признаци от обективна и субективна страна?
2)
Ако отговорът на първия въпрос е утвърдителен: трябва ли член 83, параграфи 4—6 от [ОРЗД] да се тълкува в смисъл, че предприятието трябва да е извършило виновно нарушението, опосредствано от негов служител (срв. член 23 от Регламент (ЕО) № 1/2003[ (
4
)] […]), или за санкционирането на предприятието по принцип е достатъчно и само да е налице обективно неизпълнение на задължения от негова страна (обективна отговорност)?“.
III. Производството пред Съда
24.
Преюдициалното запитване постъпва в Съда на 23 декември 2021 г.
25.
Писмени становища представят Deutsche Wohnen, германското, естонското и норвежкото правителство, както и Европейската комисия.
26.
На 9 ноември 2022 г. на основание член 101, параграф 1 от Процедурния правилник Съдът приканва запитващата юрисдикция да уточни:
—
евентуалното значение на член 130 от OWiG за първия от преюдициалните въпроси,
—
причините, поради които счита за необходим отговора на втория преюдициален въпрос, като се има предвид, че според акта за преюдициално запитване санкциите са наложени за умишлено нарушение на няколко разпоредби на ОРЗД.
27.
Поисканите разяснения постъпват в Съда на 11 януари 2023 г.
28.
На проведеното на 17 януари 2023 г. съдебно заседание се явяват, освен представилите писмени становища, нидерландското правителство, Европейският парламент и Съветът на Европейския съюз.
IV. Анализ
А.
По първия преюдициален въпрос
1. Предварителни бележки
29.
Първият въпрос, отправен от запитващата юрисдикция, е накратко, дали съгласно правото на Съюза може да се санкционира юридическо лице за нарушение на ОРЗД, без да е необходимо преди това да се търси отговорност за това нарушение от физическо лице.
30.
Запитващата юрисдикция обаче внася някои усложнения във въпроса си:
—
установява в член 83, параграфи 4—6 от ОРЗД правило, чието тълкуване може да даде отговор на въпроса ѝ,
—
посочва т.нар. от нея „характерното за членове 101 и 102 ДФЕС и […] принципа на отговорността предприятието като функционална единица“.
31.
Запитващата юрисдикция посочва, че вътрешната правна уредба позволява да се наложи имуществена санкция на предприятие само когато от него може да се търси отговорност за определени административни нарушения, чиито извършители са (само) определените да го представляват негови ръководители (
5
).
32.
Deutsche Wohnen и германското правителство не са съгласни с тази формулировка. Според тях член 30 от OWiG трябва да се тълкува във връзка с членове 9 и 130 от OWiG, с които представлява съгласувана система от санкции. Съгласно тази система административнонаказателни санкции може да се налагат на предприятия, без да е необходимо да се образува производство срещу физическото лице, което е действало за сметка на предприятието (
6
).
33.
На отправеното от Съда искане да изрази становище относно евентуалното значение на член 130 от OWiG запитващата юрисдикция отговаря, че той не е релевантен за първия преюдициален въпрос. В подкрепа на становището си тя посочва, че:
—
въпреки че този член, наред с членове 9 и 30 от OWiG, позволява да се налагат имуществени санкции на предприятия, защитата на правните интереси, предоставена от първата от тези разпоредби, е много ограничена в сравнение с режима на отговорност, който следва от членове 101 и 102 ДФЕС,
—
адресатът на член 130 от OWiG е собственикът на предприятие, който не е изпълнил задължението за надзор. Доказването на неизпълнението на задълженията, за което отговорност носи собственикът на предприятието, надхвърля установяването на извършено от предприятието нарушение на правните интереси. Доказването изисква да се проучат и изяснят вътрешните структури и процедури (общи и специални), които не само в настоящия случай, но и при всяка група са изключително сложни, което много често е невъзможно. В това отношение се поставя въпросът дали групите в действителност могат да се определят като предприятия или като собственици на предприятия по смисъла на член 130 от OWiG.
34.
От тези разяснения става ясно, че първият от преюдициалните въпроси на запитващата юрисдикция отразява разбиране на националното право, според което, обратно на виждането на германското правителство, е налице режим на отговорност на юридическите лица, чиито характеристики го правят евентуално несъвместим с правото на Съюза.
35.
Съдът трябва да се придържа към националната правна уредба, както е описана от запитващата юрисдикция (
7
), която е оправомощеният тълкувател на вътрешното ѝ право. Въпросите, свързани с тълкуването на правото на Съюза, поставени от националния съд, следва да се разрешат с оглед на нормативната и фактическата рамка, която той определя съгласно своите правомощия и проверката на чиято точност не е задача на Съда (
8
).
36.
Поради това ще анализирам първия преюдициален въпрос въз основа на тези предпоставки.
2. Юридически лица — адресати на санкцията по ОРЗД
37.
Съгласно правото на Съюза няма пречки Deutsche Wohnen да се счита за извършител на нарушението и адресат на наложената санкция. Тази възможност се съдържа, абстрактно, в ОРЗД и, конкретно, е използвана в настоящия случай:
—
абстрактно, както ще разясня по-нататък, възможността юридическо лице да бъде санкционирано пряко за нарушения в областта на защитата на данните не само е предвидена в няколко разпоредби на ОРЗД, но и в действителност представлява един от основните механизми за гарантиране на ефикасността на този регламент;
—
конкретно, според акта за преюдициално запитване спорната имуществена санкция е наложена на Deutsche Wohnen за няколко нарушения на ОРЗД, извършени от посоченото дружество в качеството му на администратор (
9
). Към него е отправено разпореждането на органа за защита на данните, на което отговаря по посочения по-горе начин, за да продължи впоследствие да извършва действията, за които този орган го упреква. Следователно не е имало проблеми по отношение на установяването на адресата на санкцията (
10
).
38.
Що се отнася до абстрактния подход, не са нужни много съображения, за да се потвърди изводът, че юридическо лице може да бъде пряко санкционирано за нарушение на ОРЗД. До този извод се стига без тълкувателни затруднения от прочита на членове 4, 58 и 83 от ОРЗД:
—
в член 4 са определени понятията „администратор“ или „обработващ лични данни“, като е посочено изрично, че юридическите лица могат да бъдат такива (
11
);
—
в член 58, параграф 2 на надзорните органи се предоставят редица „корективни правомощия“ спрямо администраторите или обработващите лични данни (т.е. и спрямо юридическите лица). Едно от тези корективни правомощия е налагането на „административно наказание „глоба“ или „имуществена санкция“ (буква и);
—
при изброяването на критериите за определяне на размера на административните наказания „глоба“ или „имуществена санкция“ в член 83 от ОРЗД са посочени фактори, които могат без затруднения да са налице при действията на юридическите лица.
39.
От всички тези разпоредби съвсем логично следва, че съгласно ОРЗД пряк адресат на административните наказания „глоба“ или „имуществена санкция“ за неговото нарушаване може да е юридическо лице (
12
). Същата логика следват компетентните в тази област национални органи, които не са се поколебали да наложат имуществени санкции, особено високи в някои случаи, на юридически лица, извършили нарушение на ОРЗД (
13
).
40.
Що се отнася до конкретния подход, органът за защита на данните, повтарям, отправя до Deutsche Wohnen в качеството му на администратор разпореждането да заличи от архивите си определени лични данни на наемателите, което посоченото предприятие пренебрегва за определен период от време, докато не смени системите си за съхранение.
3. Необходимо ли е преди това да се търси отговорност от физическо лице?
41.
Според запитващата юрисдикция за пряко санкциониране на предприятие за нарушение на ОРЗД вътрешното право изисква преди това да се установи отговорността на физическо лице. Това следва от член 30 от OWiG: имуществена санкция може да се наложи на предприятие само когато от него може да се търси отговорност за определени административни нарушения, чиито извършители са определените да го представляват негови ръководители, за която цел трябва представляващият да е извършил съставомерно, противоправно и виновно деяние, наказуемо съгласно закона с административно наказание (
14
).
42.
В отговор на възражението на германското правителство, което се позовава на член 130 от OWiG, за да обори тълкуването на запитващата юрисдикция, тя излага становището, което посочих по-горе при възпроизвеждането на отговора ѝ до Съда (
15
). Накратко тя твърди, че защитата на правните интереси, предоставена от посочената разпоредба, е много ограничена в сравнение с режима на отговорност, който следва от членове 101 и 102 ДФЕС.
43.
Правилото за предварително установяване на отговорност на физическо лице, което запитващата юрисдикция изтъква, обаче не би се прилагало, ако член 83, параграфи 4—6 от ОРЗД възприема, въвеждайки го в националното право, характерното за членове 101 и 102 ДФЕС „функционално понятие за предприятие“.
а) Значение на понятието, използвано в членове 101 и 102 ДФЕС
44.
Член 83, параграфи 4—6 от ОРЗД има за цел определянето на размера на санкциите за посочените в него нарушения на ОРЗД. По-конкретно тези три параграфа предвиждат, че санкционираното лице може да е „предприятие“.
45.
Препращането в съображение 150 от ОРЗД към понятието за предприятие по смисъла на членове 101 и 102 ДФЕС следва да се разбира в този контекст. Припомням, че според Съда „правото на Съюза в областта на конкуренцията се отнася до дейността на предприятията и […] понятието за предприятие обхваща всеки субект, който извършва икономическа дейност, независимо от неговия правен статут и начин на финансиране“ (
16
).
46.
Доколкото най-високият размер на санкциите за нарушение на ОРЗД в случай на предприятия — администратори или обработващи лични данни, е определен като процент от „общия [им] годишен световен оборот за предходната финансова година“, този размер не може да се определя въз основа на формалната правосубектност на дружеството, а на „стопанската единица“ в посочения по-горе смисъл.
47.
Това е така, защото съгласно член 83, параграф 1 от ОРЗД предвидените в параграфи 4—6 от него административни наказания „глоба“ или „имуществена санкция“ следва да са „ефективни, пропорционални и възпиращи“. Това са единствените три характеристики, които могат да бъдат придадени на глоба или имуществена санкция, чийто размер се определя в зависимост от действителното или материалното икономическо състояние на нейния адресат. Поради това за определянето на размера на санкцията е необходимо да се използва материално или икономическо понятие за „предприятие“, а не чисто формално понятие.
48.
Поради това европейският законодател е възприел характерното за конкурентното право действително или материално определение за „предприятие“ (
17
) за определянето на размера на глобите или имуществените санкции за нарушение на ОРЗД. ОРЗД обаче, повтарям, въвежда посоченото понятие само за тези цели.
49.
Следователно в настоящия случай съдържащото се в членове 101 и 102 ДФЕС понятие би могло да е от значение за определянето на размера на имуществената санкция на Deutsche Wohnen. Въпросът дали последното може да бъде санкционирано (или по-точно извършител на нарушение) не зависи изцяло от прилагането на посочените два члена от Договора за функционирането на ЕС.
50.
Горното не пречи по аналогия общите принципи, уреждащи санкционния режим на конкурентното право (за който има изобилна практика на Съда), да се прилагат mutatis mutandis към отговорността на юридическите лица за извършени от тях нарушения в областта на защитата на личните данни (
18
).
б) Пряко санкциониране на юридическо лице
51.
В съответствие ли е с ОРЗД национална правна уредба, която подчинява налагането на административни наказания на юридически лица на изискването да се ангажира преди това отговорността на физическо лице?
52.
Естеството на ОРЗД предполага, освен общото му приложение, неговата задължителна сила и пряка приложимост във всяка държава членка съгласно член 288 ДФЕС. Тези характеристики биха били поставени под въпрос, ако държавите членки можеха да се отклоняват от окончателно определените изисквания, установени в ОРЗД от законодателя на Съюза.
53.
Вярно е, че именно поради особеността и характеристиките на неговия предмет някои разпоредби на ОРЗД предоставят известна свобода на действие на държавите членки да запазят или въведат национални правила, които да уточняват по-нататък някои от тях. Това е така например:
—
по отношение на обработването на лични данни, необходимо за спазване на правно задължение, за изпълнение на задача от обществен интерес или при упражняване на официалните правомощия, които са предоставени на администратора (
19
);
—
по отношение на обработването на специални категории лични данни, тъй като ОРЗД не изключва определянето от държавите членки на обстоятелствата за специални случаи на обработване, включително по-точно определяне на условията за неговата законосъобразност (
20
).
54.
Според мен тази свобода на преценка на държавите членки, обсъждана в съдебното заседание, не може да се разшири до такава степен, че да се намали отговорността на юридическите лица, както според запитващата юрисдикция следва от член 30 от OWiG.
55.
Подобно определяне на режима на отговорност на юридическите лица би позволило да се изключат от обхвата на системата от санкции на ОРЗД нарушения, за които съгласно този регламент следва да се ангажира отговорността на юридическото лице в качеството му на администратор или обработващ лични данни. Това би било така, когато в извършването на тези нарушения не са участвали физическите лица, които представляват, управляват или са поели управлението на юридическото лице.
56.
Доколкото, повтарям, юридическо лице може да е администратор и в това качество да извърши нарушения на ОРЗД, за които носи отговорност, прилагането на член 30 от OWiG би могло да доведе до необосновано стесняване или намаляване на обхвата на наказуемите нарушения, което не съответства на общата разпоредба на самия ОРЗД.
57.
Юридическо лице, което може да се квалифицира като администратор или обработващ лични данни, следва да понесе последиците, изразяващи се в налагане на санкции, от нарушенията на ОРЗД, извършени не само от неговите представители, ръководители или управители, но и от физическите лица (служители в широкия смисъл на думата), действащи в самата област на неговата стопанска дейност и под техен надзор.
58.
Тези физически лица всъщност формират и определят волята на юридическото лице, като я материализират със специфични и конкретни действия. Тези специфични действия като конкретен израз на посочената воля се извършват в крайна сметка от самото юридическо лице.
59.
Всъщност става въпрос за физически лица, които, без да са същински представители на юридическото лице, действат под ръководството на лицата, които, представлявайки юридическото лице, не са упражнили надзор или контрол върху тях. В крайна сметка отговорността се носи от самото юридическо лице, доколкото нарушението на служителя, действащ под ръководството на неговите управителни органи, е недостатък в системата за контрол и надзор, за която те са пряко отговорни.
60.
Гореизложеното е в съответствие с извършения от запитващата юрисдикция прочит на вътрешното ѝ право. Германското правителство обаче твърди, че съвместното прилагане на членове 9, 30 и 130 от OWiG формира система, при която могат да се санкционират нарушения, за които носи отговорност юридическото лице, извършени от физически лица, които не го управляват или представляват, без да е необходимо да са идентифицирани (
21
).
61.
Както посочих по-горе, запитващата юрисдикция е компетентна да тълкува разпоредбите от вътрешното ѝ право. Въпросът дали съгласно националната съдебна практика и доктрина, на които се позовава германското правителство (
22
), тези разпоредби допускат тълкуване на вътрешното право в съответствие с изискванията на правото на Съюза, следва да се разреши от националните юрисдикции.
62.
В случай че това тълкуване е contra legem и поради особената структура на националната ѝ система от санкции пълното прилагане на правилата на ОРЗД в тази област е невъзможно, националната юрисдикция трябва да остави без приложение несъвместимата с правото на Съюза национална норма, за да се гарантира предимството на ОРЗД.
Б.
По втория преюдициален въпрос
63.
Запитващата юрисдикция иска да се установи дали съгласно член 83, параграфи 4—6 от ОРЗД „предприятието трябва да е извършило виновно нарушението, опосредствано от негов служител […], или за санкционирането на предприятието по принцип е достатъчно и само да е налице обективно неизпълнение на задължения от негова страна (обективна отговорност)“ (
23
).
64.
Така формулираният въпрос има хипотетичен характер, което го прави недопустим по две причини.
65.
На първо място, според акта за преюдициално запитване санкцията е наложена на Deutsche Wohnen за виновно нарушение (умишлено), а не за „обективно неизпълнение“ на ОРЗД. От изложената по-горе фактическа обстановка е видно, че посоченото предприятие не е изпълнило съзнателно и умишлено разпореждането на органа за защита на данните и е продължило да извършва санкционираното обработване на данните. За тази квалификация няма значение, че то изтъква редица технически и правни затруднения при промяната на системите му за обработване на данни.
66.
На второ място, в отговор на искането на Съда да разясни въпроса си запитващата юрисдикция посочва, че първоинстанционният съд не е обвързан от констатациите в решението за налагане на административно наказание и в бъдеще този съд може да се произнесе по основанията на жалбата срещу административното наказание. Ако стигне до убеждението, че нарушението е извършено, е необходимо да установи вида му, което зависи от отговора на този втори преюдициален въпрос.
67.
От това разяснение става ясно, че и вторият преюдициален въпрос е хипотетичен: преценката относно квалификацията на нарушението не е необходима за разрешаването на спора пред запитващата юрисдикция, а евентуално след връщането на делото на първоинстанционния съд, за да се произнесе в бъдеще.
68.
При всички случаи, и ако Съдът реши да го разгледа по същество, считам, че отговорът на този въпрос не зависи от тълкуването на член 83, параграфи 4—6 от ОРЗД, чийто предмет е определянето на размера на административните наказания „глоба“ или „имуществена санкция“.
69.
Запитващата юрисдикция прави разграничение между: а) нарушението, опосредствано от служителя на юридическото лице, и б) наличието на умисъл и небрежност на юридическото лице при извършването на това нарушение.
70.
Според мен „нарушението, опосредствано от служителя“, в действителност и с оглед на посоченото по-горе във връзка с първия въпрос е нарушение, извършено от юридическото лице, под чието ръководство той е действал.
71.
Следователно при правилно формулиране на въпроса той се отнася до възможността юридическо лице да бъде санкционирано за обективно неизпълнение (безвиновно) на задълженията му като администратор или обработващ лични данни.
72.
За да се отговори на този въпрос, може да е от полза препращането към практиката на Европейския съд по правата на човека (ЕСПЧ) във връзка с принципа на законоустановеност на наказанието, гарантирано от член 7 от Европейската конвенция за защита на правата на човека и основните свободи (ЕКПЧ).
73.
Макар, докато Съюзът не се присъедини към ЕКПЧ, тя да не представлява правен акт, формално интегриран в правния му ред, признатите от тази конвенция основни права са част от правото на Съюза като общи принципи (член 6, параграф 3 ДЕС).
74.
Според Съда „член 52, параграф 3 от Хартата — който гласи, че съдържащите се в нея права, съответстващи на права, гарантирани от ЕКПЧ, имат същия смисъл и обхват като дадените им в посочената конвенция — има за цел да осигури необходимата съгласуваност между съответните права, без да засяга автономността на правото на Съюза и на Съда“ (
24
).
75.
Практиката на ЕСПЧ при тълкуването му на член 7 от ЕКПЧ обаче съдържа не съвсем съвпадащи нюанси:
—
от една страна, въпреки че в този член не се посочва изрично моралната връзка между обективния елемент на нарушението и лицето, сочено за негов извършител, логиката на санкцията и самото понятие за вина водят до тълкуване, според което като условие за санкционирането се изисква наличието на субективна връзка (съзнание и воля), която позволява да се установи елемент на вина в поведението на фактическия извършител на нарушението (
25
),
—
от друга страна, както посочва норвежкото правителство в съдебното заседание, ЕСПЧ допуска да се санкционират обективни факти. В решението му от 7 октомври 1988 г., Salabiaku с/у Франция (
26
), той приема, че това е така само „по принцип и при определени условия“, тъй като, ако ЕКПЧ допуска презумпциите, в областта на наказателното право задължава договарящите държави да не превишават определени граници“ (
27
).
76.
Всъщност внасянето на догматични категории от наказателното право (nulla poena sine culpa) за прилагането им в административнонаказателното право поражда значителни тълкувателни затруднения. Понятието за вина (в нейната форма на небрежност) може да включва случаи на обикновено нарушение на законова разпоредба, когато извършителят му е бил длъжен да знае изискваното от него поведение.
77.
От тази гледна точка различните форми на вината, включително по-леките, както и различните основания за търсене на отговорност (например culpa in vigilando или in eligendo) биха могли да бъдат отнесени към нарушения, които, погледнати от друг ъгъл, могат да бъдат квалифицирани от съд като случаи на обективна отговорност. Следователно границата между двете категории не е толкова ясна в административнонаказателното право, колкото, изглежда, следва от акта за преюдициално запитване.
78.
Наистина, що се отнася до правото на Съюза, Съдът е допуснал в някои случаи режим на обективна отговорност по отношение на санкциите. Например той допуска това в решение от 22 март 2017 г., Euro-Team и Spirál-Gép по следния начин:
—
„що се отнася до съвместимостта на въвеждането на обективна отговорност с принципа на пропорционалност, следва да се посочи, че Съдът многократно се е произнесъл, че подобен режим за санкциониране на нарушение на правото на Съюза сам по себе си не е несъвместим с това право“;
—
„въвеждането на режим на обективна отговорност не е непропорционално по отношение на преследваните цели, когато този режим може да подтикне съответните лица към спазване на разпоредбите на регламент и когато преследваните цели са от общ интерес, който може да обоснове въвеждането на подобен режим“ (
28
).
79.
Посочената практика обаче е установена в области, различни от защитата на данните, във връзка с неизпълнение на задължения за действие с предимно формален характер: става въпрос за наложени санкции за използване на участък от магистрала, без да е заплатена необходимата ТОЛ такса (
29
), или за неспазване на разпоредбите за използването на тахографския лист на контролния уред на тежкотоварен автомобил (
30
).
80.
При установените с ОРЗД задължения — включително задълженията, представляващи условие за обработването на данни (член 5 от ОРЗД) и за неговата законосъобразност (член 6 от ОРЗД) — преценката за тяхното изпълнение включва сложен процес от оценка и постановяване на решение, което надхвърля обикновеното установяване на формално нарушение.
81.
При всички случаи считам, че член 83 от ОРЗД потвърждава изключването на режим на обективна отговорност (безвиновна) по отношение на санкциите, т.е. изисква наказуемото нарушение да е извършено умишлено или по небрежност. Според мен това следва от няколко параграфа от този член:
—
съгласно параграф 1 следва да се гарантира, че глобите или имуществените санкции за извършените нарушения са „пропорционални“. Принципът на пропорционалност на санкциите е гарантиран от член 49 от Хартата и съответно от практиката на ЕСПЧ, която посочих по-горе;
—
в параграф 2, буква б) се посочва изрично „дали нарушението е извършено умишлено или по небрежност“ като определящ елемент за налагането на административно наказание „глоба“ или „имуществена санкция“ и нейния размер (
31
). Останалите фактори, изброени в букви а)—к) от същия параграф индивидуализират релевантните обстоятелства във всеки конкретен случай и някои от тях съдържат субективен елемент (
32
), без в този списък да фигурира само обективният характер на нарушението;
—
параграф 3 предвижда, че ако администраторът или обработващият лични данни извърши „умишлено или по небрежност“ нарушение едновременно на няколко разпоредби на ОРЗД (съвкупност от нарушения), размерът на глобата или имуществената санкция не може да надвишава сумата, определена за най-тежкото нарушение. Следователно този параграф предполага, че нарушенията с чисто обективен характер са ирелевантни за налагането на санкции, доколкото не са съчетани с нарушения, извършени умишлено или по небрежност.
82.
Тезата, която току-що изложих, би могла да е неправилна, ако, както посочват някои от участващите правителства, липсата на изрични разпоредби в това отношение в ОРЗД означава, че на държавите членки е предоставена възможност да изберат режим на субективна отговорност (умисъл или небрежност) или режим, включващ и обективната отговорност.
83.
Признавам, че виждането на тези правителства е подкрепено с известни аргументи: доколкото в член 83, параграф 2 от ОРЗД умисълът или небрежността са посочени като фактори за определяне на размера на глобата или имуществената санкция, а не като задължителни (основни) елементи от самото нарушение, разпоредбата дава възможност на държавите членки да определят по своя преценка тези основни елементи на нарушението.
84.
Считам обаче, подобно на Комисията, че правилният прочит на системата от санкции, въведена с ОРЗД, чието предназначение да бъде пряко прилаган не може да се отрече, е в подкрепа на единно и съгласувано решение (
33
) за всички държави членки, а не всяка от тях да решава самостоятелно дали наказуемите нарушения следва да включват нарушения, които не са извършени умишлено или по небрежност.
85.
Според мен целесъобразността на единното решение (и невъзможността за различни решения) се потвърждава от съображенията на ОРЗД, посочени от запитващата юрисдикция в акта ѝ за преюдициално запитване, в които се повтаря необходимостта от еквивалентни санкции за нарушенията (
34
). Не би имало еквивалентност, ако всяка държава членка си позволи да установи нарушения от различно естество, като признае за такива представляващите само обективно неизпълнение на задължения без никакъв умисъл или небрежност.
V. Заключение
86.
С оглед на гореизложеното предлагам на Съда да отговори на Kammergericht Berlin (Висш областен съд Берлин, Германия) по следния начин:
„Член 58, параграф 2, буква и) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) във връзка с член 4, точка 7 и член 83 от същия регламент
следва да се тълкува в смисъл, че
за налагането на имуществена санкция на юридическо лице администратор не се изисква преди това да се установява наличието на нарушение, извършено от едно или повече конкретни физически лица, служители на посоченото юридическо лице.
За административните наказания „глоба“ или „имуществена санкция“, които могат да бъдат наложени съгласно Регламент 2016/679, се изисква санкционираното нарушение да е извършено умишлено или по небрежност“.
(
1
)	Език на оригиналния текст: испански.
(
2
)	Регламент на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1). Наричан по-нататък „ОРЗД“.
(
3
)	Закон от 24 май 1968 г. (BGBl. I 481; III 454‑1) в редакцията му от 19 февруари 1987 г. (BGBl. I, стр. 602), изменен със Закона от 19 юни 2020 г. (BGBl. I, стр. 1328). Наричан по-нататък „OWiG“.
(
4
)	Регламент на Съвета от 16 декември 2002 година относно изпълнението на правилата за конкуренция, предвидени в членове 81 и 82 от Договора (ОВ L 1, 2003 г., стр. 1; Специално издание на български език, 2007 г., глава 8, том 1, стр. 167).
(
5
)	Точка II.1 от акта за преюдициално запитване. Вж. точка 41 и сл. от настоящото заключение.
(
6
)	Точка 45 от писменото становище на Deutsche Wohnen и точки 24 и 25 от писменото становище на германското правителство.
(
7
)	В рамките на производство по член 267 ДФЕС, основано на ясно разделение на правомощията между националните юрисдикции и Съда, само националният съд е компетентен да установи и извърши преценка на фактите по спора в главното производство, както и да тълкува и прилага националното право. Решение от 26 април 2017 г., Farkas (C‑564/15, EU:C:2017:302, т. 37).
(
8
)	Съдът може да откаже да се произнесе по преюдициално запитване само ако е съвсем очевидно, че исканото тълкуване на правото на Съюза няма никаква връзка с действителността или с предмета на спора в главното производство, когато проблемът е от хипотетично естество или когато Съдът не разполага с необходимите данни от фактическа и правна страна, за да бъде полезен с отговора на поставените му въпроси (по-специално решение от 27 септември 2017 г., Puškár, C‑73/16, EU:C:2017:725, т. 50). В настоящия случай не е налице никое от тези обстоятелства.
(
9
)	Въпреки нежеланието на Deutsche Wohnen да приеме това качество в съдебното заседание, неговият профил несъмнено отговаря на определението за „администратор“, установено в член 4 от ОРЗД. Това е така независимо от отговорността, която действително носи за установените нарушения в качеството му на „администратор“.
(
10
)	Друг е въпросът, че за определянето на размера на съответната санкция следва да се вземе предвид евентуалната принадлежност на Deutsche Wohnen и неговите дъщерни дружества към висшестояща стопанска единица. Въпреки първоначалното впечатление в настоящото преюдициално запитване не са налице същинските класически проблеми при разпределянето на отговорността между дружества майки и дъщерни дружества или групи дружества.
(
11
)	Член 4, точка 7 от ОРЗД определя като „администратор“ за целите на настоящото производство „юридическо лице, ко[е]то сам[о] или съвместно с други определя целите и средствата за обработването на лични данни“; съгласно точка 8 от същия член „обработващ лични данни“ е „юридическо лице, ко[е]то обработва лични данни от името на администратора“.
(
12
)	Естествено то попада и в обхвата на правото на ефективна съдебна защита срещу отнасящо се до него решение със задължителен характер на надзорен орган (член 78, параграф 1 от ОРЗД), следователно и срещу всяка имуществена санкция, която може да му бъде наложена.
(
13
)	Така например ирландският надзорен орган за защита на данните налага на 31 декември 2022 г. имуществена санкция от 210 милиона евро на Facebook и 180 милиона евро на Instagram.
(
14
)	Точка II.1 от акта за преюдициално запитване.
(
15
)	Вж. точка 32 от настоящото заключение.
(
16
)	Решение от 27 април 2017 г., Akzo Nobel и др./Комисия (C‑516/15 P, EU:C:2017:314, т. 47).
(
17
)	По-специално решение от 10 април 2014 г., Areva и др./Комисия (C‑247/11 P и C‑253/11 P, EU:C:2014:257, т. 123).
(
18
)	Както посочих по-горе, в настоящото преюдициално производство остават настрана проблемите относно отношенията между дружества майки и дъщерни дружества по отношение на санкциите. В преюдициалното запитване не са поставени и въпроси относно тежестта на доказване на твърдените факти.
(
19
)	Съображение 10 от ОРЗД.
(
20
)	Пак там.
(
21
)	Точка 25 от писменото становище на германското правителство. В противовес на тази теза запитващата юрисдикция застъпва становището по посочения по-горе начин, че дори в комбинация с членове 9 и 30 от OWiG предоставената от вътрешното право защита на правните интереси е много ограничена в сравнение с режима на отговорност, който следва от членове 101 и 102 ДФЕС.
(
22
)	Точка 25 от писменото становище на германското правителство, бележки под линия 16—18.
(
23
)	В обичайния превод на английски език на решенията на Съда изразът strict liability съответства на изразите responsabilidad objetiva (на испански език); responsabilité objective (на френски език); responsabilità oggettiva (на италиански език); responsabilidade objetiva (на португалски език); objektiven Verantwortlichkeit (на немски език) и objectieve aansprakelijkheid (на нидерландски език).
(
24
)	По-специално решение от 2 февруари 2021 г., Consob (C‑481/19, EU:C:2021:84, т. 36).
(
25
)	Решение на ЕСПЧ от 20 януари 2009 г., Sud Fondi и др. с/у Италия (CE:ECHR:2009:0120JUD007590901, § 116).
(
26
)	CE:ECHR:1988:1007JUD001051983.
(
27
)	Решение на ЕСПЧ от 7 октомври 1988 г., Salabiaku с/у Франция, § 27 и 28.
(
28
)	Решение от 22 март 2017 г., Euro-Team и Spirál-Gép (C‑497/15 и C‑498/15, EU:C:2017:229, т. 53 и 54), където се цитира решение от 9 февруари 2012 г., Urbán (C‑210/10, EU:C:2012:64, съответно т. 47 и 48).
(
29
)	Решение от 22 март 2017 г., Euro-Team и Spirál-Gép (C‑497/15 и C‑498/15, EU:C:2017:229).
(
30
)	Решение от 9 февруари 2012 г., Urbán (C‑210/10, EU:C:2012:64).
(
31
)	Вж. обаче точки 82 и 83 от настоящото заключение.
(
32
)	Така например буква а) се отнася до целта на обработването. Буква в) — до действията, предприети за смекчаване на последиците от вредите. Буква г) — до степента на отговорност в зависимост от въведените мерки. Буква е) — до степента на сътрудничество с надзорния орган.
(
33
)	В съображение 150 от ОРЗД се посочва съгласувано прилагане на административните наказания „глоба“ или „имуществена санкция“ от държавите членки. Обратно, последните могат да определят „дали и до каква степен публичните органи следва да подлежат на административни наказания „глоба“ или „имуществена санкция“. Горното не засяга специалните разпоредби за Дания и Естония, посочени в съображение 151, и хипотезите, съдържащи се в съображение 152.
(
34
)	В съображение 10 от ОРЗД се посочва „последователно и еднородно прилагане […] на правилата за защита на основните права и свободи на физическите лица във връзка с обработването на лични данни“ (курсивът е мой). Съображение 11 предвижда, че санкциите за нарушенията следва да са еквивалентни, който израз се повтаря дословно в съображение 13.