–

w imieniu ILVA A/S – D.B. Geary, advokat,

–

w imieniu Komisji Europejskiej – A. Bouchagiar, H. Kranenborg i C. Vang, w charakterze pełnomocników,

1

Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 83 ust. 4–6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).

2

Wniosek ten został złożony w ramach postępowania karnego wszczętego przez Anklagemyndigheden (prokuraturę, Dania) przeciwko spółce ILVA A/S w związku z zarzucanymi naruszeniami obowiązków ciążących na mocy RODO na tej spółce jako na administratorze danych osobowych dotyczących byłych klientów.

Ramy prawne

Prawo Unii

3

Motywy 150 i 151 RODO mają następujące brzmienie:

4

Artykuł 5 RODO ustanawia zasady dotyczące przetwarzania danych osobowych.

5

Artykuł 6 RODO określa warunki, w jakich przetwarzanie danych osobowych uznaje się za zgodne z prawem.

6

Artykuł 58 RODO, zatytułowany „Uprawnienia”, stanowi w ust. 2:

7

Artykuł 83 RODO, zatytułowany „Ogólne warunki nakładania administracyjnych kar pieniężnych”, stanowi w ust. 1, 2, 4–6 i 9:

Prawo duńskie

8

Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (ustawa nr 502 zawierająca przepisy uzupełniające [RODO]) z dnia 23 maja 2018 r. przewiduje w § 41, co następuje:

Postępowanie główne i pytania prejudycjalne

9

Spółka ILVA prowadzi sieć sklepów meblowych i jest częścią grupy Lars Larsen Group. Całkowity obrót grupy za rok obrotowy 2016/2017 wyniósł 6,57 mld DKK (koron duńskich, około 881 mln EUR), zaś obrót spółki ILVA wyniósł prawie 1,8 mld DKK (około 241 mln EUR) za ten sam rok obrotowy.

10

Przeciwko spółce ILVA toczy się postępowanie przed sądami duńskimi o naruszenie w okresie od maja 2018 r. do stycznia 2019 r. obowiązków ciążących na niej na mocy RODO jako na administratorze danych osobowych w związku z przechowywaniem danych co najmniej 350 000 byłych klientów.

11

Działając na podstawie zalecenia Datatilsynet (organu ochrony danych, Dania), prokuratura uznała za konieczne nałożenie na spółkę ILVA grzywny w wysokości 1,5 mln DKK (około 201 000 EUR). Obliczenie tej kwoty opierało się nie tylko na obrocie spółki ILVA, ale również na całkowitym obrocie grupy Lars Larsen Group.

12

Wyrokiem z dnia 12 lutego 2021 r. retten i Aarhus (sąd rejonowy w Aarhus, Dania) uznał ILVA za winną zarzucanych jej czynów i nałożył na nią grzywnę w wysokości 100 000 DKK (około 13 400 EUR). Sąd ten uznał, że działanie spółki ILVA miało charakter niedbalstwa, wbrew twierdzeniom prokuratury. Uznał on ponadto, że ponieważ postępowanie toczy się wyłącznie przeciwko spółce ILVA, przy ustalaniu kwoty grzywny nie należy uwzględniać obrotów grupy Lars Larsen Group. Ponadto wskazał on, że spółka ILVA prowadzi niezależną działalność w zakresie sprzedaży detalicznej i że nie została utworzona przez spółkę dominującą tej grupy wyłącznie w celu zapewnienia przetwarzania danych grupy.

13

Od tego wyroku prokurator wniósł środek odwoławczy do Vestre Landsret (sądu apelacyjnego regionu zachodniego, Dania), będącego sądem odsyłającym. Prokuratura utrzymuje, że termin „przedsiębiorstwo” występujący w art. 83 ust. 4–6 RODO należy rozumieć w ten sposób, że aby ustalić wysokość kary pieniężnej w przypadku naruszenia RODO przez spółkę, konieczne jest uwzględnienie obrotu grupy, której częścią jest ta spółka. Jej zdaniem z motywu 150 RODO wynika bowiem, że termin ten należy rozumieć zgodnie z art. 101 i 102 TFUE.

14

Natomiast spółka ILVA uważa, że przy ustalaniu kary pieniężnej za naruszenie RODO przez spółkę nie należy brać pod uwagę całkowitego obrotu grupy, której częścią jest ta spółka. W niniejszym przypadku wszczęto postępowanie przeciwko spółce ILVA, nie zaś również przeciwko jej spółce dominującej.

15

Sąd odsyłający uważa, że z RODO nie wynika jasno odpowiedź na to pytanie.

16

W tych okolicznościach Vestre Landsret (sąd apelacyjny regionu zachodniego) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:

W przedmiocie pytań prejudycjalnych

17

Poprzez swoje pytania, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 83 ust. 4–6 RODO w związku z motywem 150 tego rozporządzenia należy interpretować w ten sposób, że termin „przedsiębiorstwo” zawarty w tych przepisach odpowiada pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE, w związku z czym w przypadku nałożenia kary pieniężnej za naruszenie RODO na administratora danych osobowych, który jest przedsiębiorstwem lub jego częścią, kwota kary pieniężnej zostaje określona na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego przedsiębiorstwa, w rozumieniu tych art. 101 i 102.

18

Na wstępie należy zauważyć, że Trybunał miał już okazję udzielić odpowiedzi na niektóre pytania dotyczące wykładni art. 83 RODO w wyroku z dnia 5 grudnia 2023 r., Deutsche Wohnen (C‑807/21, EU:C:2023:950, pkt 53–59), wydanym po zamknięciu pisemnego etapu postępowania w niniejszej sprawie.

19

Trybunał orzekł, że pojęcie „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE nie ma wpływu na kwestię, czy i na jakich warunkach administracyjna kara pieniężna może zostać nałożona na podstawie art. 83 RODO na administratora będącego osobą prawną, ponieważ kwestia ta jest w sposób wyczerpujący uregulowana w art. 58 ust. 2 i art. 83 ust. 1–6 tego rozporządzenia (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 53).

20

Pojęcie to ma bowiem znaczenie wyłącznie dla ustalenia kwoty administracyjnej kary pieniężnej nałożonej na administratora danych na podstawie art. 83 ust. 4–6 RODO (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 54).

21

To właśnie w tym szczególnym kontekście obliczania administracyjnych kar pieniężnych nakładanych za naruszenia, o których mowa w art. 83 ust. 4–6 RODO, należy rozumieć zawarte w motywie 150 tego rozporządzenia odesłanie do pojęcia „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 55).

22

W tym względzie należy podkreślić, że do celów stosowania reguł konkurencji, o których mowa w art. 101 i 102 TFUE, pojęcie to obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od jego formy prawnej i sposobu finansowania. Oznacza ono jednostkę gospodarczą, nawet jeśli z prawnego punktu widzenia jednostka ta składa się z kilku osób fizycznych lub prawnych. Taka jednostka gospodarcza polega na jednolitej organizacji elementów osobowych, materialnych i niematerialnych, realizującej w sposób trwały określony cel gospodarczy (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 56 i przytoczone tam orzecznictwo).

23

Z art. 83 ust. 4–6 RODO, który dotyczy obliczania administracyjnych kar pieniężnych za naruszenia wymienione w tych ustępach, wynika zatem, że w przypadku gdy adresat administracyjnej kary pieniężnej jest przedsiębiorstwem lub jego częścią w rozumieniu art. 101 i 102 TFUE, maksymalną kwotę administracyjnej kary pieniężnej oblicza się na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 57).

24

Określenie tej maksymalnej kwoty należy jednak odróżnić od samego obliczenia kwoty kary pieniężnej nakładanej przez właściwy organ nadzorczy za konkretne naruszenie lub naruszenia RODO, za które ta kara pieniężna zostaje nałożona.

25

I tak na mocy art. 83 ust. 1 RODO każdy organ nadzorczy zapewnia, by stosowane na mocy tego art. 83 za naruszenia RODO administracyjne kary pieniężne, o których mowa w ust. 4–6 tego rozporządzenia, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.

26

Oprócz spełnienia tych trzech warunków art. 83 ust. 2 wymaga, aby właściwy organ nadzorczy, który zdecyduje, czy należy nałożyć administracyjną karę pieniężną i ustala jej kwotę, w każdym przypadku należycie uwzględnił szereg czynników.

27

Zgodnie z tym ostatnim przepisem elementy te obejmują w szczególności charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, których dane dotyczą, rozmiar poniesionej przez nie szkody, umyślny lub nieumyślny charakter naruszenia, działania podjęte przez administratora danych osobowych lub podmiot przetwarzający te dane w celu złagodzenia poniesionej szkody, stopień odpowiedzialności tego administratora lub tego podmiotu przetwarzającego oraz kategorie danych osobowych, których dotyczyło naruszenie.

28

Wspomniane elementy charakteryzują albo zachowanie wspomnianego administratora lub wspomnianego podmiotu przetwarzającego, oskarżonego o naruszenie niektórych przepisów RODO, albo same te naruszenia. Służą one zatem zapewnieniu, że każde z tych naruszeń będzie oceniane na podstawie wszystkich istotnych okoliczności indywidualnych oraz że zostaną osiągnięte cele systemu kar przewidzianego w RODO.

29

Chociaż elementy te nie odnoszą się do pojęcia przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE, to Trybunał orzekł już, że jedynie kara pieniężna, która uwzględnia nie tylko ogół elementów charakteryzujących w ten sposób stwierdzone naruszenia RODO, lecz również, w stosownych przypadkach, rzeczywistą lub materialną zdolność ekonomiczną jej adresata, może spełniać trzy warunki określone w art. 83 ust. 1 RODO, a mianowicie być zarazem skuteczna, proporcjonalna i odstraszająca. Przy ocenie tych warunków należy zaś wziąć pod uwagę, czy adresat ten stanowi część przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE (zob. podobnie wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 58).

30

Wykładnia art. 83 RODO, która wynika z pkt 25–29 niniejszego wyroku, ma również zastosowanie, gdy stwierdzone naruszenia RODO karane są nie administracyjną karą pieniężną, lecz grzywną nałożoną przez właściwe sądy krajowe jako sankcja karna.

31

Jak wskazano w motywie 151 RODO, niektóre krajowe systemy prawne, w tym system Królestwa Danii, nie przewidują administracyjnych kar pieniężnych określonych w RODO.

32

Aby uregulować tę sytuację, art. 83 ust. 9 RODO stanowi, że jeżeli ustrój prawny państwa członkowskiego nie przewiduje administracyjnych kar pieniężnych, ów art. 83 można stosować w ten sposób, że – jak w niniejszym przypadku – o zastosowanie kary pieniężnej wnosi właściwy organ nadzorczy, a nakłada ją właściwy sąd krajowy.

33

Ponadto we wspomnianym art. 83 ust. 9, podobnie jak w motywie 151 tego rozporządzenia wyjaśniono, że konieczne jest, aby przedmiotowe rozwiązania prawne były skuteczne i miały skutek równoważny względem administracyjnej kary pieniężnej nakładanej przez organ nadzorczy oraz aby nakładane kary były w każdym przypadku skuteczne, proporcjonalne i odstraszające.

34

Niemniej jednak okoliczność, że grzywna jest nakładana przez sąd karny w postępowaniu karnym, oznacza, że sąd ów powinien w każdej chwili przestrzegać przepisów mających zastosowanie w sprawach karnych, w tym w szczególności praw procesowych przysługujących oskarżonemu oraz zasady proporcjonalności kary, zagwarantowanych w Karcie praw podstawowych Unii Europejskiej.

35

W tym względzie, jak stwierdziła rzecznik generalna w pkt 74 opinii, art. 83 RODO wymaga, aby właściwe organy nadzorcze musiały, bez wyjątku, zapewnić przestrzeganie zasady proporcjonalności przy obliczaniu rzeczywistej kwoty nałożonej grzywny, dążąc do osiągnięcia właściwej równowagi między wymogami ogólnego interesu społecznego w zakresie ochrony danych osobowych a wymogami ochrony praw podstawowych administratora takich danych, podmiotu przetwarzającego lub przedsiębiorstwa, do którego oni należą. Jak z tego wynika, stosowanie pojęcia „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE w ramach wprowadzania w życie art. 83 ust. 4–6 RODO nie wydaje się napotykać zasadniczych przeszkód w sytuacji, gdy naruszenia RODO są karane nie administracyjnymi karami pieniężnymi, lecz grzywnami nakładanymi przez sądy karne.

36

W świetle powyższych rozważań odpowiedź na zadane pytania powinna brzmieć: art. 83 ust. 4–6 RODO w związku z motywem 150 tego rozporządzenia należy interpretować w ten sposób, że termin „przedsiębiorstwo” zawarty w tych przepisach odpowiada pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE, w związku z czym w przypadku nałożenia kary pieniężnej za naruszenie RODO na administratora danych osobowych, który jest przedsiębiorstwem lub jego częścią, maksymalna kwota kary pieniężnej zostaje określona na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego tego przedsiębiorstwa. Pojęcie „przedsiębiorstwa” należy również uwzględnić w celu dokonania oceny rzeczywistych lub materialnych możliwości ekonomicznych adresata kary pieniężnej i sprawdzenia w ten sposób, czy kara pieniężna jest zarazem skuteczna, proporcjonalna i odstraszająca.

W przedmiocie kosztów

37

Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach. Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.