–

η ILVA A/S, εκπροσωπούμενη από τον D. B. Geary, advokat,

–

η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους Α. Μπουχάγιαρ, H. Kranenborg και C. Vang,

1

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 83, παράγραφοι 4 έως 6, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).

2

Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ποινικής διαδικασίας που κινήθηκε από την Anklagemyndigheden (εισαγγελική αρχή, Δανία) κατά της ILVA A/S λόγω φερόμενων παραβάσεων των υποχρεώσεων που υπέχει, δυνάμει του ΓΚΠΔ, η εν λόγω εταιρία υπό την ιδιότητά της ως υπευθύνου επεξεργασίας δεδομένων προσωπικού χαρακτήρα πρώην πελατών της.

3

Οι αιτιολογικές σκέψεις 150 και 151 του ΓΚΠΔ έχουν ως εξής:

4

Το άρθρο 5 του ΓΚΠΔ θεσπίζει τις αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα.

5

Το άρθρο 6 του ΓΚΠΔ καθορίζει τις προϋποθέσεις υπό τις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα θεωρείται σύννομη.

6

Το άρθρο 58 του ΓΚΠΔ φέρει τον τίτλο «Εξουσίες» και ορίζει στην παράγραφο 2 τα εξής:

«Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες:

[…]

[…]».

7

Το άρθρο 83 του ΓΚΠΔ φέρει τον τίτλο «Γενικοί όροι επιβολής διοικητικών προστίμων» και προβλέπει στις παραγράφους 1, 2, 4 έως 6 και 9 τα εξής:

«1.   Κάθε εποπτική αρχή μεριμνά ώστε η επιβολή διοικητικών προστίμων σύμφωνα με το παρόν άρθρο έναντι παραβάσεων του παρόντος κανονισμού που αναφέρονται στις παραγράφους 4, 5 και 6 να είναι για κάθε μεμονωμένη περίπτωση αποτελεσματική, αναλογική και αποτρεπτική.

2.   Τα διοικητικά πρόστιμα, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης, επιβάλλονται επιπρόσθετα ή αντί των μέτρων που αναφέρονται στο άρθρο 58 παράγραφος 2 στοιχεία α) έως η) και στο άρθρο 58 παράγραφος 2 στοιχείο ι). Κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος του διοικητικού προστίμου για κάθε μεμονωμένη περίπτωση, λαμβάνονται δεόντως υπόψη τα ακόλουθα:

[…]

4.   Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 10000000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο:

[…]

5.   Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 20000000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο:

[…]

6.   Η μη συμμόρφωση προς εντολή της εποπτικής αρχής όπως αναφέρεται στο άρθρο 58 παράγραφος 2 επισύρει, σύμφωνα με την παράγραφο 2 του παρόντος άρθρου, διοικητικά πρόστιμα έως 20000000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο.

[…]

9.   Όταν το νομικό σύστημα του κράτους μέλους δεν προβλέπει επιβολή διοικητικών προστίμων, το παρόν άρθρο μπορεί να εφαρμόζεται κατά τρόπο ώστε η διαδικασία επιβολής να κινείται από την αρμόδια εποπτική αρχή και να επιβάλλεται από τα αρμόδια εθνικά δικαστήρια, με την ταυτόχρονη διασφάλιση ότι τα εν λόγω ένδικα μέσα είναι αποτελεσματικά και έχουν ισοδύναμο αποτέλεσμα με τα διοικητικά πρόστιμα που επιβάλλονται από τις εποπτικές αρχές. Εν πάση περιπτώσει, τα πρόστιμα που επιβάλλονται είναι αποτελεσματικά, αναλογικά και αποτρεπτικά. Τα εν λόγω κράτη μέλη κοινοποιούν στην [Ευρωπαϊκή] Επιτροπή τις διατάξεις των νόμων τους που θεσπίζουν σύμφωνα με την παρούσα παράγραφο, έως τις 25 Μαΐου 2018 και, χωρίς καθυστέρηση, κάθε επακολουθούντα τροποποιητικό νόμο ή τροποποίησή τους.»

8

O lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (νόμος 502 περί θεσπίσεως διατάξεων για τη συμπλήρωση του [ΓΚΠΔ]), της 23ης Μαΐου 2018, ορίζει, στο άρθρο 41, τα εξής:

«1.   Εφόσον δεν προβλέπεται μεγαλύτερη ποινή βάσει άλλου νομοθετήματος, τιμωρείται με πρόστιμο ή με στερητική της ελευθερίας ποινή έως έξι μήνες όποιος παραβιάζει τις διατάξεις που αφορούν:

[…]

4) τις βασικές αρχές της επεξεργασίας δεδομένων, συμπεριλαμβανομένων των προϋποθέσεων για συγκατάθεση οι οποίες προβλέπονται στα άρθρα 5 έως 7 και 9 του [ΓΚΠΔ],

[…]

3.   Το άρθρο 83, παράγραφος, 2 του [ΓΚΠΔ] εφαρμόζεται κατά την επιβολή κύρωσης σύμφωνα με τις παραγράφους 1 και 2.

[…]

6.   Εταιρίες κ.λπ. (νομικά πρόσωπα) μπορούν να υπέχουν ποινική ευθύνη κατ’ εφαρμογήν των διατάξεων του κεφαλαίου 5 του [straffeloven (ποινικού κώδικα)]. […]»

9

Η ILVA διατηρεί αλυσίδα καταστημάτων επίπλων και ανήκει στον όμιλο Lars Larsen Group. Ο συνολικός κύκλος εργασιών του ομίλου για το οικονομικό έτος 2016/2017 ανερχόταν σε 6,57 δισεκατομμύρια δανικές κορώνες (DKK) (περίπου 881 εκατομμύρια ευρώ) και ο κύκλος εργασιών της ILVA ανερχόταν σε περίπου 1,8 δισεκατομμύρια DKK (περίπου 241 εκατομμύρια ευρώ) για το ίδιο οικονομικό έτος.

10

Κατά της ILVA ασκήθηκε ποινική δίωξη ενώπιον των δανικών δικαστηρίων για παράβαση, κατά το χρονικό διάστημα από τον Μάιο του 2018 έως τον Ιανουάριο του 2019, των υποχρεώσεων που υπείχε δυνάμει του ΓΚΠΔ υπό την ιδιότητα του υπευθύνου επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διατήρησης δεδομένων τουλάχιστον 350000 πρώην πελατών της.

11

Κατόπιν συστάσεως της Datatilsynet (Αρχής προστασίας δεδομένων, Δανία), η εισαγγελική αρχή ζήτησε την επιβολή προστίμου 1,5 εκατομμυρίων DKK (περίπου 201000 ευρώ) στην ILVA. Ο υπολογισμός του ποσού αυτού στηρίχθηκε όχι μόνο στον κύκλο εργασιών της ILVA, αλλά και στον συνολικό κύκλο εργασιών του ομίλου Lars Larsen Group.

12

Με απόφαση της 12ης Φεβρουαρίου 2021, το retten i Aarhus (πλημμελειοδικείο Aarhus, Δανία) έκρινε την ILVA ένοχη για τις πράξεις που της προσάπτονταν και την καταδίκασε στην καταβολή προστίμου ύψους 100000 DKK (περίπου 13400 ευρώ). Το εν λόγω δικαστήριο έκρινε ότι η ILVA είχε ενεργήσει εξ αμελείας, αντιθέτως προς όσα είχε υποστηρίξει η εισαγγελική αρχή. Επιπλέον, έκρινε ότι, στο μέτρο που είχε ασκηθεί ποινική δίωξη μόνον κατά της ILVA, δεν έπρεπε να ληφθεί υπόψη ο κύκλος εργασιών του ομίλου Lars Larsen Group για τον καθορισμό του ποσού του προστίμου. Επιπροσθέτως, επισήμανε ότι η ILVA ασκούσε ανεξάρτητη δραστηριότητα λιανικής πώλησης και δεν είχε συσταθεί από τη μητρική εταιρία του ομίλου αυτού με μοναδικό σκοπό τη διασφάλιση της επεξεργασίας των δεδομένων του ομίλου.

13

Η εισαγγελική αρχή άσκησε έφεση κατά της ως άνω απόφασης ενώπιον του Vestre Landsret (εφετείου δυτικής περιφέρειας, Δανία), ήτοι του αιτούντος δικαστηρίου. Η εισαγγελική αρχή υποστηρίζει ότι ο όρος «επιχείρηση» του άρθρου 83, παράγραφοι 4 έως 6, του ΓΚΠΔ έχει την έννοια ότι, για τον καθορισμό του προστίμου σε περίπτωση παράβασης του ΓΚΠΔ από εταιρία, πρέπει να λαμβάνεται υπόψη ο κύκλος εργασιών του ομίλου στον οποίον ανήκει η εν λόγω εταιρία. Ειδικότερα, από την αιτιολογική σκέψη 150 του ΓΚΠΔ συνάγεται ότι ο συγκεκριμένος όρος πρέπει να ερμηνεύεται σύμφωνα με τα άρθρα 101 και 102 ΣΛΕΕ.

14

Αντιθέτως, η ILVA διατείνεται ότι, για τον καθορισμό του προστίμου που επιβάλλεται λόγω παράβασης του ΓΚΠΔ από εταιρία, δεν πρέπει να λαμβάνεται υπόψη ο συνολικός κύκλος εργασιών του ομίλου στον οποίον ανήκει η εταιρία. Εν προκειμένω, ασκήθηκε ποινική δίωξη μόνον κατά της ILVA και όχι και κατά της μητρικής εταιρίας αυτής.

15

Το αιτούν δικαστήριο εκτιμά ότι η επίλυση του ανωτέρω ζητήματος δεν προκύπτει με σαφήνεια από τον ΓΚΠΔ.

16

Υπό τις περιστάσεις αυτές, το Vestre Landsret (εφετείο δυτικής περιφέρειας) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

17

Με τα προδικαστικά ερωτήματα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 150 του κανονισμού, έχει την έννοια ότι ο όρος «επιχείρηση», ο οποίος περιλαμβάνεται στις εν λόγω διατάξεις, αντιστοιχεί στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ, και, ως εκ τούτου, όταν επιβάλλεται πρόστιμο λόγω παράβασης του ΓΚΠΔ σε υπεύθυνο επεξεργασίας δεδομένων προσωπικού χαρακτήρα ο οποίος είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, το ποσό του προστίμου καθορίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ, κατά το προηγούμενο οικονομικό έτος.

18

Εκ προοιμίου, επισημαίνεται ότι το Δικαστήριο είχε ήδη την ευκαιρία να απαντήσει σε ορισμένα ερωτήματα σχετικά με την ερμηνεία του άρθρου 83 του ΓΚΠΔ με την απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, σκέψεις 53 έως 59), η οποία εκδόθηκε μετά την περάτωση της έγγραφης διαδικασίας στην υπό κρίση υπόθεση.

19

Το Δικαστήριο έκρινε ότι η έννοια της «επιχείρησης», κατά τα άρθρα 101 και 102 ΣΛΕΕ, δεν ασκεί επιρροή στο ζήτημα αν και υπό ποιες προϋποθέσεις μπορεί να επιβληθεί διοικητικό πρόστιμο κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ σε υπεύθυνο επεξεργασίας ο οποίος είναι νομικό πρόσωπο, δεδομένου ότι το ζήτημα αυτό ρυθμίζεται εξαντλητικά από το άρθρο 58, παράγραφος 2, και από το άρθρο 83, παράγραφοι 1 έως 6, του κανονισμού (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, σκέψη 53).

20

Πράγματι, η έννοια αυτή ασκεί επιρροή μόνον στον καθορισμό του ύψους του διοικητικού προστίμου που επιβάλλεται στον υπεύθυνο επεξεργασίας δυνάμει του άρθρου 83, παράγραφοι 4 έως 6, του ΓΚΠΔ (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, σκέψη 54).

21

Σε αυτό ακριβώς το ειδικό πλαίσιο του υπολογισμού των διοικητικών προστίμων που επιβάλλονται για τις προβλεπόμενες στο άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ παραβάσεις πρέπει να νοείται η αναφορά της αιτιολογικής σκέψης 150 του κανονισμού αυτού στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, σκέψη 55).

22

Συναφώς, υπογραμμίζεται ότι, για την εφαρμογή των κανόνων ανταγωνισμού των άρθρων 101 και 102 ΣΛΕΕ, η ως άνω έννοια καλύπτει κάθε φορέα ο οποίος ασκεί οικονομική δραστηριότητα, ανεξαρτήτως του νομικού καθεστώτος που τον διέπει και του τρόπου χρηματοδότησής του. Προσδιορίζει, επομένως, μια οικονομική ενότητα, έστω και αν, από νομικής απόψεως, αυτή αποτελείται από περισσότερα φυσικά ή νομικά πρόσωπα. Η οικονομική αυτή ενότητα συνίσταται σε ενιαία οργάνωση προσωπικών, υλικών και άυλων στοιχείων, τα οποία έχουν ταχθεί στη διαρκή επιδίωξη ορισμένου οικονομικού σκοπού (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, σκέψη 56 και εκεί μνημονευόμενη νομολογία).

23

Συνεπώς, από το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, το οποίο αφορά τον υπολογισμό των διοικητικών προστίμων για τις παραβάσεις που απαριθμούνται στις παραγράφους αυτές, προκύπτει ότι, σε περίπτωση που ο αποδέκτης του διοικητικού προστίμου είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ, το ανώτατο ποσό του διοικητικού προστίμου υπολογίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, σκέψη 57).

24

Εντούτοις, ο καθορισμός του ανώτατου ως άνω ποσού πρέπει να διακρίνεται από τον υπολογισμό, αυτόν καθεαυτόν, του ποσού του προστίμου που πρέπει να επιβληθεί από την αρμόδια εποπτική αρχή για τη συγκεκριμένη παράβαση ή τις συγκεκριμένες παραβάσεις του ΓΚΠΔ για τις οποίες επιβάλλεται το πρόστιμο.

25

Συνεπώς, δυνάμει του άρθρου 83, παράγραφος 1, του ΓΚΠΔ, κάθε εποπτική αρχή μεριμνά ώστε τα διοικητικά πρόστιμα που επιβάλλονται δυνάμει του άρθρου 83 για τις παραβάσεις του ΓΚΠΔ που μνημονεύονται στις παραγράφους 4 έως 6 του ίδιου άρθρου να είναι για κάθε μεμονωμένη περίπτωση αποτελεσματικά, αναλογικά και αποτρεπτικά.

26

Πέραν της τήρησης των ως άνω τριών προϋποθέσεων, η παράγραφος 2 του άρθρου 83 του ΓΚΠΔ απαιτεί από την αρμόδια εποπτική αρχή, προκειμένου αυτή να αποφασίσει αν πρέπει να επιβάλει διοικητικό πρόστιμο και προκειμένου να καθορίσει το ύψος του, να λαμβάνει δεόντως υπόψη, για κάθε μεμονωμένη περίπτωση, ορισμένα στοιχεία.

27

Μεταξύ των στοιχείων αυτών περιλαμβάνονται, σύμφωνα με την τελευταία ως άνω διάταξη, ιδίως η φύση, η βαρύτητα και η διάρκεια της παράβασης, ο αριθμός των υποκειμένων των δεδομένων που θίγονται και ο βαθμός της ζημίας που υπέστησαν, ο δόλος ή η αμέλεια που προκάλεσε την παράβαση, οι ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα ή ο εκτελών την επεξεργασία για να μετριάσει την προκληθείσα ζημία, ο βαθμός ευθύνης του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση.

28

Τα ως άνω στοιχεία χαρακτηρίζουν είτε τη συμπεριφορά του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία που κατηγορείται για παραβάσεις ορισμένων διατάξεων του ΓΚΠΔ, είτε τις ίδιες τις παραβάσεις. Επομένως, σκοπός τους είναι να διασφαλίσουν ότι καθεμιά από τις εν λόγω παραβάσεις αξιολογείται βάσει του συνόλου των κρίσιμων ατομικών περιστάσεων και ότι επιτυγχάνονται οι σκοποί που επιδιώκονται με το σύστημα κυρώσεων που προβλέπει ο ΓΚΠΔ.

29

Μολονότι τα ανωτέρω στοιχεία δεν παραπέμπουν στην έννοια της επιχείρησης κατά τα άρθρα 101 και 102 ΣΛΕΕ, το Δικαστήριο έχει κρίνει ότι μόνον πρόστιμο το οποίο λαμβάνει υπόψη όχι μόνον το σύνολο των στοιχείων που χαρακτηρίζουν, κατά τα προεκτεθέντα, τις διαπιστωθείσες παραβάσεις του ΓΚΠΔ, αλλά και, εφόσον συντρέχει περίπτωση, την πραγματική ή ουσιαστική οικονομική ικανότητα του αποδέκτη του διοικητικού προστίμου μπορεί να πληροί τις τρεις προϋποθέσεις του άρθρου 83, παράγραφος 1, του ΓΚΠΔ, ήτοι να είναι συγχρόνως αποτελεσματικό, αναλογικό και αποτρεπτικό. Πλην όμως, για την εκτίμηση των προϋποθέσεων αυτών, πρέπει να ληφθεί υπόψη κατά πόσον ο εν λόγω αποδέκτης αποτελεί μέρος επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ (πρβλ. απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, σκέψη 58).

30

Η ερμηνεία του άρθρου 83 του ΓΚΠΔ που προκύπτει από τις σκέψεις 25 έως 29 της παρούσας απόφασης έχει επίσης εφαρμογή στην περίπτωση που οι διαπιστωθείσες παραβάσεις του ΓΚΠΔ δεν τιμωρούνται με διοικητικό πρόστιμο, αλλά με πρόστιμο που επιβάλλεται από τα αρμόδια εθνικά δικαστήρια ως ποινική κύρωση.

31

Όπως επισημαίνεται στην αιτιολογική σκέψη 151 του ΓΚΠΔ, ορισμένα εθνικά νομικά συστήματα, μεταξύ των οποίων και αυτό του Βασιλείου της Δανίας, δεν προβλέπουν διοικητικά πρόστιμα όπως αυτά καθορίζονται στον ΓΚΠΔ.

32

Για τη ρύθμιση της περίπτωσης αυτής, το άρθρο 83, παράγραφος 9, του ΓΚΠΔ ορίζει ότι, όταν το νομικό σύστημα κράτους μέλους δεν προβλέπει επιβολή διοικητικών προστίμων, το εν λόγω άρθρο 83 μπορεί να εφαρμόζεται κατά τρόπο ώστε, όπως εν προκειμένω, η διαδικασία επιβολής προστίμου να κινείται από την αρμόδια εποπτική αρχή και το πρόστιμο να επιβάλλεται από τα αρμόδια εθνικά δικαστήρια.

33

Επιπλέον, στο άρθρο 83, παράγραφος 9, όπως και στην αιτιολογική σκέψη 151 του κανονισμού, διευκρινίζεται ότι οι εν λόγω διαδικασίες πρέπει να είναι αποτελεσματικές και να έχουν ισοδύναμο αποτέλεσμα με τα διοικητικά πρόστιμα που επιβάλλονται από τις εποπτικές αρχές και ότι, εν πάση περιπτώσει, τα πρόστιμα που επιβάλλονται πρέπει να είναι αποτελεσματικά, αναλογικά και αποτρεπτικά.

34

Τούτου λεχθέντος, το γεγονός ότι το πρόστιμο επιβάλλεται από ποινικό δικαστήριο στο πλαίσιο ποινικής δίκης συνεπάγεται ότι το δικαστήριο αυτό οφείλει ανά πάσα στιγμή να τηρεί τους εφαρμοστέους σε ποινικές υποθέσεις κανόνες, στους οποίους περιλαμβάνονται, ειδικότερα, τα δικονομικά δικαιώματα των οποίων απολαύει ο κατηγορούμενος και η αρχή της αναλογικότητας της ποινής, όπως αυτά κατοχυρώνονται από τον Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.

35

Συναφώς, όπως επισήμανε η γενική εισαγγελέας στο σημείο 74 των προτάσεών της, το άρθρο 83 του ΓΚΠΔ απαιτεί από τις αρμόδιες εποπτικές αρχές να διασφαλίζουν, σε όλες ανεξαιρέτως τις περιπτώσεις, ότι κατά τον καθορισμό του πραγματικού ποσού του επιβαλλόμενου προστίμου τηρείται η αρχή της αναλογικότητας, επιτυγχάνοντας μια δίκαιη εξισορρόπηση μεταξύ των απαιτήσεων του γενικού συμφέροντος για την προστασία δεδομένων προσωπικού χαρακτήρα και των απαιτήσεων προστασίας των δικαιωμάτων του υπευθύνου επεξεργασίας τέτοιων δεδομένων, του εκτελούντος την επεξεργασία ή της επιχείρησης στην οποία αυτοί ανήκουν. Ως εκ τούτου, δεν κωλύεται για λόγους αρχής η εφαρμογή της έννοιας της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ, στο πλαίσιο της εφαρμογής του άρθρου 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, όταν οι παραβάσεις του ΓΚΠΔ δεν τιμωρούνται με διοικητικά πρόστιμα, αλλά με πρόστιμα που επιβάλλονται από ποινικά δικαστήρια.

36

Λαμβανομένων υπόψη των προεκτεθέντων, στα υποβληθέντα προδικαστικά ερωτήματα πρέπει να δοθεί η απάντηση ότι το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 150 του κανονισμού, έχει την έννοια ότι ο όρος «επιχείρηση», ο οποίος περιλαμβάνεται στις εν λόγω διατάξεις, αντιστοιχεί στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ και, ως εκ τούτου, όταν επιβάλλεται πρόστιμο λόγω παράβασης του ΓΚΠΔ σε υπεύθυνο επεξεργασίας δεδομένων προσωπικού χαρακτήρα ο οποίος είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, το ανώτατο ποσό του προστίμου καθορίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος. Η έννοια της «επιχείρησης» πρέπει επίσης να λαμβάνεται υπόψη προκειμένου να εκτιμάται η πραγματική ή ουσιαστική οικονομική ικανότητα του αποδέκτη του προστίμου και, επομένως, να εξακριβώνεται αν το πρόστιμο είναι συγχρόνως αποτελεσματικό, αναλογικό και αποτρεπτικό.

37

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (πέμπτο τμήμα) αποφαίνεται:

Το άρθρο 83, παράγραφοι 4 έως 6, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 150 του κανονισμού,

έχει την έννοια ότι:

ο όρος «επιχείρηση», ο οποίος περιλαμβάνεται στις εν λόγω διατάξεις, αντιστοιχεί στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ και, ως εκ τούτου, όταν επιβάλλεται πρόστιμο λόγω παράβασης του κανονισμού 2016/679 σε υπεύθυνο επεξεργασίας δεδομένων προσωπικού χαρακτήρα ο οποίος είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, το ανώτατο ποσό του προστίμου καθορίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος. Η έννοια της «επιχείρησης» πρέπει επίσης να λαμβάνεται υπόψη προκειμένου να εκτιμάται η πραγματική ή ουσιαστική οικονομική ικανότητα του αποδέκτη του προστίμου και, επομένως, να εξακριβώνεται αν το πρόστιμο είναι συγχρόνως αποτελεσματικό, αναλογικό και αποτρεπτικό.