Tuomio 13.2.2025 – Asia C‑383/23
Ilva (Seuraamusmaksu yleisen tietosuoja-asetuksen rikkomisesta)

UNIONIN TUOMIOISTUIMEN TUOMIO (viides jaosto)

13 päivänä helmikuuta 2025  ( * )

Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – 83 artiklan 4–6 ja 9 kohta – Yrityksen käsite – Emoyhtiö ja tytäryhtiö – Tytäryhtiö on rikkonut tätä asetusta – Seuraamusmaksun määrän laskenta – Konsernin, johon kyseinen yhtiö kuuluu, kokonaisliikevaihdon huomioon ottaminen

Asiassa C‑383/23,

jossa on kyse SEUT 267 artiklaan perustuvasta ennakkoratkaisupyynnöstä, jonka Vestre Landsret (Länsi-Tanskan ylioikeus) on esittänyt 3.5.2023 tekemällään päätöksellä, joka on saapunut unionin tuomioistuimeen 21.6.2023, saadakseen ennakkoratkaisun rikosasiassa, jossa vastaajana on

ILVA A/S,

UNIONIN TUOMIOISTUIN (viides jaosto),

toimien kokoonpanossa: neljännen jaoston puheenjohtaja I. Jarukaitis, joka hoitaa viidennen jaoston puheenjohtajan tehtäviä, sekä tuomarit D. Gratsias ja Z. Csehi (esittelevä tuomari),

julkisasiamies: L. Medina,

kirjaaja: hallintovirkamies C. Strömholm,

ottaen huomioon kirjallisessa käsittelyssä ja 19.6.2024 pidetyssä istunnossa esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–

ILVA A/S, edustajanaan D. B. Geary, advokat, ja

–

Euroopan komissio, asiamiehinään A. Bouchagiar, H. Kranenborg ja C. Vang,

kuultuaan julkisasiamiehen 12.9.2024 pidetyssä istunnossa esittämän ratkaisuehdotuksen,

on antanut seuraavan

tuomion

1

Ennakkoratkaisupyyntö koskee luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 83 artiklan 4–6 kohdan tulkintaa.

2

Tämä pyyntö on esitetty rikosoikeudellisessa menettelyssä, jonka Anklagemyndigheden (syyttäjäviranomainen, Tanska) on pannut vireille ILVA A/S:ää vastaan ja joka koskee tälle yhtiölle sen entisiä asiakkaita koskevien henkilötietojen rekisterinpitäjänä yleisen tietosuoja-asetuksen nojalla kuuluvien velvoitteiden väitettyä rikkomista.

Asiaa koskevat oikeussäännöt

Unionin oikeus

3

Yleisen tietosuoja-asetuksen johdanto-osan 150 ja 151 perustelukappaleessa todetaan seuraavaa:

”(150) Tämän asetuksen rikkomisen seurauksena määrättävien hallinnollisten seuraamusten vahvistamiseksi ja yhdenmukaistamiseksi jokaisella valvontaviranomaisella olisi oltava valtuudet määrätä hallinnollisia seuraamusmaksuja. Tässä asetuksessa olisi mainittava nämä rikkomiset ja niistä määrättävien seuraamusmaksujen enimmäismäärä ja määrän asettamisen perusteet, jotka toimivaltaisen valvontaviranomaisen olisi vahvistettava kussakin tapauksessa erikseen ottaen huomioon kaikki yksittäisen tilanteen kannalta merkittävät olosuhteet ja ottaen asianmukaisesti huomioon erityisesti rikkomisen luonne, vakavuus ja kesto ja sen seuraukset sekä toimenpiteet, jotka on toteutettu tämän asetuksen mukaisten velvoitteiden noudattamiseksi ja rikkomisen seurausten estämiseksi tai lieventämiseksi. Silloin kun seuraamusmaksuja määrätään yritykselle, yritys olisi tässä yhteydessä ymmärrettävä SEUT 101 ja 102 artiklan mukaiseksi yritykseksi. – –

(151) Tanskan ja Viron oikeusjärjestelmät eivät mahdollista tämän asetuksen mukaisia hallinnollisia seuraamusmaksuja. Hallinnollisia seuraamusmaksuja koskevia sääntöjä voi soveltaa niin, että Tanskassa seuraamusmaksun määräävät toimivaltaiset kansalliset tuomioistuimet rikosoikeudellisena seuraamuksena ja Virossa seuraamusmaksun määrää valvontaviranomainen rikkomusmenettelyn puitteissa, edellyttäen että kyseisten jäsenvaltioiden sääntöjen tällaisella soveltamisella on vastaava vaikutus kuin valvontaviranomaisten määräämillä hallinnollisilla seuraamusmaksuilla. Toimivaltaisten kansallisten tuomioistuinten olisi siksi otettava huomioon seuraamusmaksun määräävän valvontaviranomaisen antama suositus. Määrättävien seuraamusmaksujen pitäisi joka tapauksessa olla tehokkaita, oikeasuhteisia ja varoittavia.”

4

Yleisen tietosuoja-asetuksen 5 artiklassa vahvistetaan henkilötietojen käsittelyä koskevat periaatteet.

5

Yleisen tietosuoja-asetuksen 6 artiklassa määritetään edellytykset, joiden täyttyessä henkilötietojen käsittelyä pidetään lainmukaisena.

6

Yleisen tietosuoja-asetuksen 58 artiklan, jonka otsikko on ”Valtuudet”, 2 kohdassa säädetään seuraavaa:

”Jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet:

– –

i) määrätä 83 artiklan nojalla hallinnollinen seuraamusmaksu tässä kohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden asemesta kunkin yksittäisen tapauksen olosuhteista riippuen;

– –”

7

Yleisen tietosuoja-asetuksen 83 artiklan, jonka otsikko on ”Hallinnollisten seuraamusmaksujen määräämisen yleiset edellytykset”, 1, 2, 4–6 ja 9 kohdassa säädetään seuraavaa:

”1. Jokaisen valvontaviranomaisen on varmistettava, että 4, 5 ja 6 kohdassa tarkoitettujen tämän asetuksen rikkomisesta määrättävien hallinnollisten seuraamusmaksujen määrääminen tämän artiklan mukaisesti on kussakin yksittäisessä tapauksessa tehokasta, oikeasuhteista ja varoittavaa.

2. Hallinnolliset seuraamusmaksut määrätään kunkin yksittäisen tapauksen olosuhteiden mukaisesti 58 artiklan 2 kohdan a–h ja j alakohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden sijasta. Kun päätetään hallinnollisen seuraamusmaksun määräämisestä ja hallinnollisen seuraamusmaksun määrästä, kussakin yksittäisessä tapauksessa on otettava asianmukaisesti huomioon seuraavat seikat:

a) rikkomuksen luonne, vakavuus ja kesto huomioon ottaen kyseisen tietojenkäsittelyn luonne, laajuus tai tarkoitus, sekä niiden rekisteröityjen lukumäärä, joihin rikkomus vaikuttaa, ja heille aiheutuneen vahingon suuruus;

b) rikkomuksen tahallisuus tai tuottamuksellisuus;

c) rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat toimet rekisteröidyille aiheutuneen vahingon lieventämiseksi;

d) rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste, ottaen huomioon heidän 25 ja 32 artiklan nojalla toteuttamansa tekniset ja organisatoriset toimenpiteet;

e) rekisterinpitäjän tai henkilötietojen käsittelijän mahdolliset aiemmat vastaavat rikkomukset;

f) yhteistyön määrä valvontaviranomaisen kanssa rikkomuksen korjaamiseksi ja sen mahdollisten haittavaikutusten lieventämiseksi;

g) henkilötietoryhmät, joihin rikkomus vaikuttaa;

h) tapa, jolla rikkomus tuli valvontaviranomaisen tietoon, erityisesti se, ilmoittiko rekisterinpitäjä tai henkilötietojen käsittelijä rikkomuksesta ja missä laajuudessa;

i) jos kyseiselle rekisterinpitäjälle tai henkilötietojen käsittelijälle on aikaisemmin määrätty samasta asiasta 58 artiklan 2 kohdassa tarkoitettuja toimenpiteitä, näiden toimenpiteiden noudattaminen;

j) 40 artiklan mukaisten hyväksyttyjen käytännesääntöjen tai 42 artiklan mukaisten hyväksyttyjen sertifiointimekanismien noudattaminen; ja

k) mahdolliset muut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät, kuten rikkomuksesta suoraan tai epäsuorasti saadut mahdolliset taloudelliset edut tai rikkomuksella vältetyt tappiot.

– –

4. Seuraavien säännösten rikkomisesta määrätään 2 kohdan mukaisesti hallinnollinen seuraamusmaksu, joka on enintään 10 000 000 euroa, tai jos kyseessä on yritys, kaksi prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi:

– –

5. Seuraavien säännösten rikkomisesta määrätään 2 kohdan mukaisesti hallinnollinen seuraamusmaksu, joka on enintään 20 000 000 euroa, tai jos kyseessä on yritys, neljä prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi:

– –

6. Edellä 58 artiklan 2 kohdassa tarkoitetun valvontaviranomaisen määräyksen noudattamatta jättämisestä määrätään tämän artiklan 2 kohdan mukaisesti hallinnollinen seuraamusmaksu, joka on enintään 20 000 000 euroa, tai jos kyseessä on yritys, neljä prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi.

– –

9. Jos jäsenvaltion oikeusjärjestelmässä ei säädetä hallinnollisista seuraamusmaksuista, tätä artiklaa voidaan soveltaa niin, että seuraamusmaksun panee vireille toimivaltainen valvontaviranomainen ja sen määräävät toimivaltaiset kansalliset tuomioistuimet siten, että samalla varmistetaan, että nämä oikeussuojakeinot ovat tehokkaita ja niillä on vastaava vaikutus kuin valvontaviranomaisten määräämillä hallinnollisilla seuraamusmaksuilla. Määrättävien seuraamusmaksujen on joka tapauksessa oltava tehokkaita, oikeasuhteisia ja varoittavia. Näiden jäsenvaltioiden on ilmoitettava komissiolle säännöksistä, jotka ne antavat tämän kohdan nojalla, viimeistään 25 päivänä toukokuuta 2018 ja mahdollisista myöhemmistä muutoksista viipymättä.”

Tanskan oikeus

8

[Yleistä tietosuoja-asetusta] täydentävistä säännöksistä 23.5.2018 annetun lain nro 502 (lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger) 41 §:ssä säädetään seuraavaa:

”1. Jollei muun lainsäädännön nojalla määrättävä ankarampi rangaistus ole perusteltu, on määrättävä seuraamusmaksu tai enintään kuuden kuukauden vankeusrangaistus sille, joka rikkoo säännöksiä, jotka koskevat

– –

4) [yleisen tietosuoja-asetuksen] 5–7 ja 9 artiklassa säädettyjä käsittelyn perusperiaatteita, suostumuksen edellytykset mukaan lukien,

– –

3. [Yleisen tietosuoja-asetuksen] 83 artiklan 2 kohtaa sovelletaan määrättäessä 1 ja 2 momentin mukaista rangaistusta.

– –

6. Yritysten ja muiden (oikeushenkilöiden) voidaan katsoa olevan rikosoikeudellisessa vastuussa rikoslain [(straffeloven)] 5 luvun säännösten mukaisesti. – – ”

Pääasia ja ennakkoratkaisukysymykset

9

ILVAlla on huonekaluliikkeiden ketju, ja se kuuluu Lars Larsen Group ‑konserniin. Konsernin kokonaisliikevaihto tilikautena 2016/2017 oli 6,57 miljardia Tanskan kruunua (DKK) (n. 881 miljoonaa euroa), ja ILVAn liikevaihto oli lähes 1,8 miljardia Tanskan kruunua (n. 241 miljoonaa euroa) samana tilikautena.

10

ILVAa syytetään Tanskan tuomioistuimissa siitä, että se on toukokuun 2018 ja tammikuun 2019 välisenä ajanjaksona laiminlyönyt yleisen tietosuoja-asetuksen mukaiset velvoitteensa rekisterinpitäjänä vähintään 350 000 entisen asiakkaan henkilötietojen säilyttämisen yhteydessä.

11

Datatilsynetin (Tanskan tietosuojaviranomainen) suosituksesta syyttäjäviranomainen vaati, että ILVAlle määrätään 1,5 miljoonan Tanskan kruunun (n. 201 000 euroa) suuruinen seuraamusmaksu. Tämän määrän laskeminen perustui paitsi ILVAn liikevaihtoon myös Lars Larsen Group ‑konsernin kokonaisliikevaihtoon.

12

Retten i Århus (Århusin alioikeus, Tanska) totesi 12.2.2021 antamassaan tuomiossa ILVAn syyllistyneen tekoihin, joista sitä syytettiin, ja määräsi sille 100 000 DKK:n (n. 13 400 euroa) suuruisen seuraamusmaksun. Kyseinen tuomioistuin katsoi, että ILVA oli toiminut huolimattomasti, toisin kuin syyttäjäviranomainen oli väittänyt. Se katsoi lisäksi, että koska ainoastaan ILVAa vastaan oli nostettu syyte, Lars Larsen Group ‑konsernin liikevaihtoa ei ollut otettava huomioon seuraamusmaksun suuruutta määrättäessä. Se totesi lisäksi, että ILVA harjoitti itsenäistä vähittäiskauppaa ja ettei emoyhtiö ollut perustanut kyseistä tytäryhtiötä yksinomaan siirtääkseen konsernin henkilötietojen käsittelyn sille.

13

Syyttäjäviranomainen valitti mainitusta tuomiosta Vestre Landsretiin (Länsi-Tanskan ylioikeus), joka on ennakkoratkaisua pyytänyt tuomioistuin. Syyttäjäviranomainen väittää, että yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohtaan sisältyvä yrityksen käsite on ymmärrettävä siten, että määritettäessä seuraamusmaksua yhtiön tekemästä yleisen tietosuoja-asetuksen rikkomisesta on otettava huomioon sen konsernin liikevaihto, johon kyseinen yhtiö kuuluu. Yleisen tietosuoja-asetuksen johdanto-osan 150 perustelukappaleesta nimittäin ilmenee, että tämä käsite on ymmärrettävä SEUT 101 ja SEUT 102 artiklan mukaisesti.

14

ILVA katsoo sitä vastoin, että seuraamusmaksun määräämiseksi siitä, että yhtiö on rikkonut yleistä tietosuoja-asetusta, ei ole otettava huomioon sen konsernin kokonaisliikevaihtoa, johon se kuuluu. Nyt käsiteltävässä asiassa syyte on nostettu ILVAa vastaan eikä myös sen emoyhtiötä vastaan.

15

Ennakkoratkaisua pyytänyt tuomioistuin katsoo, ettei vastaus tähän kysymykseen ilmene selvästi yleisestä tietosuoja-asetuksesta.

16

Tässä tilanteessa Vestre Landsret on päättänyt lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1) Onko yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdan mukaisella yrityksen käsitteellä ymmärrettävä tarkoitettavan yritystä, jota tarkoitetaan SEUT 101 ja SEUT 102 artiklassa, luettuina yhdessä kyseisen asetuksen johdanto-osan 150 perustelukappaleen ja unionin kilpailulainsäädäntöä koskevan Euroopan unionin tuomioistuimen oikeuskäytännön kanssa, jolloin yrityksen käsite kattaa minkä tahansa kokonaisuuden, joka harjoittaa taloudellista toimintaa, riippumatta tämän kokonaisuuden oikeusasemasta ja rahoitustavasta?

2) Mikäli ensimmäiseen kysymykseen vastataan myöntävästi: onko yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohtaa tulkittava siten, että määrättäessä yritykselle seuraamusmaksu on otettava huomioon taloudellisen kokonaisuuden, johon yritys kuuluu, maailmanlaajuinen vuotuinen kokonaisliikevaihto, vai onko huomioon otettava yksinomaan yrityksen itsensä maailmanlaajuinen vuotuinen kokonaisliikevaihto?”

Ennakkoratkaisukysymysten tarkastelu

17

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kysymyksillään, joita on tarkasteltava yhdessä, onko yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohtaa, luettuina kyseisen asetuksen johdanto-osan 150 perustelukappaleen valossa, tulkittava siten, että näissä säännöksissä oleva yrityksen käsite vastaa SEUT 101 ja SEUT 102 artiklassa tarkoitettua yrityksen käsitettä, joten silloin, kun seuraamusmaksu yleisen tietosuoja-asetuksen rikkomisesta määrätään rekisterinpitäjälle, joka on yritys tai osa sitä, seuraamusmaksun määrä määritetään prosenttiosuutena SEUT 101 ja 102 artiklassa tarkoitetun yrityksen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta.

18

Aluksi on todettava, että unionin tuomioistuimella on jo ollut tilaisuus vastata tiettyihin yleisen tietosuoja-asetuksen 83 artiklan tulkintaa koskeviin kysymyksiin 5.12.2023 antamassaan tuomiossa Deutsche Wohnen (C‑807/21, EU:C:2023:950, 53–59 kohta), joka annettiin nyt käsiteltävän asian kirjallisen menettelyn päättymisen jälkeen.

19

Unionin tuomioistuin totesi, että SEUT 101 ja SEUT 102 artiklassa tarkoitetulla yrityksen käsitteellä ei ole vaikutusta siihen, voidaanko hallinnollinen seuraamusmaksu määrätä yleisen tietosuoja-asetuksen 83 artiklan nojalla rekisterinpitäjälle, joka on oikeushenkilö, ja millä edellytyksillä näin voidaan tehdä, koska kyseistä kysymystä säännellään tyhjentävästi kyseisen asetuksen 58 artiklan 2 kohdassa ja 83 artiklan 1–6 kohdassa (tuomio 5.12.2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 53 kohta).

20

Kyseinen käsite on nimittäin merkityksellinen ainoastaan määritettäessä rekisterinpitäjälle yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdan nojalla määrättävän hallinnollisen seuraamusmaksun määrää (tuomio 5.12.2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 54 kohta).

21

Yleisen tietosuoja-asetuksen johdanto-osan 150 perustelukappaleessa tehty viittaus SEUT 101 ja SEUT 102 artiklassa tarkoitettuun yrityksen käsitteeseen on ymmärrettävä kyseisen asetuksen 83 artiklan 4–6 kohdassa tarkoitetuista rikkomuksista määrättävien hallinnollisten seuraamusmaksujen laskennan erityisessä asiayhteydessä (tuomio 5.12.2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 55 kohta).

22

Tältä osin on korostettava, että SEUT 101 ja SEUT 102 artiklassa tarkoitettuja kilpailusääntöjä sovellettaessa yrityksen käsitteeseen kuuluvat kaikki taloudellista toimintaa harjoittavat yksiköt riippumatta niiden oikeudellisesta muodosta tai rahoitustavasta. Sillä tarkoitetaan näin ollen taloudellista kokonaisuutta, vaikka oikeudellisesti taloudellisen kokonaisuuden muodostaisikin useampi kuin yksi luonnollinen henkilö tai oikeushenkilö. Tällaisella taloudellisella kokonaisuudella on yhtenäinen organisaatio, joka muodostuu henkilöistä sekä aineellisista ja aineettomista tekijöistä ja jolla pyritään pysyvästi tiettyyn taloudelliseen päämäärään (tuomio 5.12.2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 56 kohta oikeuskäytäntöviittauksineen).

23

Näin ollen yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdasta, jotka koskevat kyseisissä kohdissa luetelluista rikkomisista määrättävien hallinnollisten seuraamusmaksujen laskemista, ilmenee, että jos hallinnollisen seuraamusmaksun adressaatti on SEUT 101 ja SEUT 102 artiklassa tarkoitettu yritys tai osa sitä, hallinnollisen seuraamusmaksun enimmäismäärä lasketaan prosenttiosuutena kyseisen yrityksen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta (tuomio 5.12.2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 57 kohta).

24

Tämän enimmäismäärän määrittäminen on kuitenkin erotettava sen seuraamusmaksun määrän laskemisesta, joka toimivaltaisen valvontaviranomaisen on määrättävä yleisen tietosuoja-asetuksen yksittäisestä rikkomisesta tai rikkomisista, joista kyseinen seuraamusmaksu on seuraamus.

25

Yleisen tietosuoja-asetuksen 83 artiklan 1 kohdan mukaan jokaisen valvontaviranomaisen on varmistettava, että kyseisen artiklan 4–6 kohdassa tarkoitettujen yleisen tietosuoja-asetuksen rikkomisesta määrättävien hallinnollisten seuraamusmaksujen määrääminen kyseisen 83 artiklan mukaisesti on kussakin yksittäisessä tapauksessa tehokasta, oikeasuhteista ja varoittavaa.

26

Näiden kolmen edellytyksen täyttymisen lisäksi kyseisen 83 artiklan 2 kohdassa edellytetään, että kun toimivaltainen valvontaviranomainen päättää hallinnollisen seuraamusmaksun määräämisestä ja vahvistaa sen määrän, sen on otettava kussakin yksittäisessä tapauksessa asianmukaisesti huomioon tietyt seikat.

27

Viimeksi mainitun säännöksen mukaan näihin seikkoihin kuuluvat muun muassa rikkomisen luonne, vakavuus ja kesto, niiden rekisteröityjen lukumäärä, joihin rikkominen vaikuttaa, heille aiheutuneen vahingon suuruus, rikkomisen tahallisuus tai tuottamuksellisuus, rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat toimenpiteet aiheutuneen vahingon lieventämiseksi, kyseisen rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste ja henkilötietoryhmät, joihin rikkominen vaikuttaa.

28

Nämä seikat luonnehtivat joko kyseisen rekisterinpitäjän tai henkilötietojen käsittelijän, jota syytetään yleisen tietosuoja-asetuksen tiettyjen säännösten rikkomisesta, menettelyä tai itse rikkomisia. Niillä pyritään siten varmistamaan, että kutakin mainituista rikkomisista arvioidaan kaikkien merkityksellisten yksilöllisten olosuhteiden perusteella ja että yleisessä tietosuoja-asetuksessa säädetyn seuraamusjärjestelmän tavoitteet saavutetaan.

29

Vaikka näissä seikoissa ei viitata SEUT 101 ja SEUT 102 artiklassa tarkoitettuun yrityksen käsitteeseen, unionin tuomioistuin on jo todennut, että ainoastaan seuraamusmaksu, jossa otetaan huomioon paitsi kaikki seikat, jotka näin luonnehtivat yleisen tietosuoja-asetuksen todettuja rikkomisia, myös tarvittaessa seuraamusmaksun adressaatin todellinen tai aineellinen taloudellinen kapasiteetti, voi täyttää yleisen tietosuoja-asetuksen 83 artiklan 1 kohdassa mainitut kolme edellytystä, eli se on samalla sekä tehokas, oikeasuhteinen että varoittava. Näitä edellytyksiä arvioitaessa on kuitenkin otettava huomioon se, kuuluuko kyseinen adressaatti SEUT 101 ja SEUT 102 artiklassa tarkoitettuun yritykseen (ks. vastaavasti tuomio 5.12.2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, 58 kohta).

30

Tämän tuomion 25–29 kohdasta ilmenevää yleisen tietosuoja-asetuksen 83 artiklan tulkintaa sovelletaan myös silloin, kun yleisen tietosuoja-asetuksen todetuista rikkomisista ei ole seuraamuksena hallinnollinen seuraamusmaksu vaan toimivaltaisten kansallisten tuomioistuinten rikosoikeudellisena seuraamuksena määräämä seuraamusmaksu.

31

Kuten yleisen tietosuoja-asetuksen johdanto-osan 151 perustelukappaleessa todetaan, jotkin kansalliset oikeusjärjestelmät, kuten Tanskan kuningaskunnan oikeusjärjestelmä, eivät mahdollista yleisen tietosuoja-asetuksen mukaisia hallinnollisia seuraamusmaksuja.

32

Tämän tapauksen ratkaisemiseksi yleisen tietosuoja-asetuksen 83 artiklan 9 kohdassa säädetään, että jos jäsenvaltion oikeusjärjestelmässä ei säädetä hallinnollisista seuraamusmaksuista, 83 artiklaa voidaan soveltaa niin, että – kuten nyt käsiteltävässä asiassa – seuraamusmaksun panee vireille toimivaltainen valvontaviranomainen ja sen määräävät toimivaltaiset kansalliset tuomioistuimet.

33

Kyseisen asetuksen 83 artiklan 9 kohdassa samoin kuin johdanto-osan 151 perustelukappaleessa täsmennetään lisäksi, että kyseisten oikeussuojakeinojen on oltava tehokkaita ja niillä on oltava vastaava vaikutus kuin valvontaviranomaisten määräämillä hallinnollisilla seuraamusmaksuilla ja että määrättävien seuraamusmaksujen on joka tapauksessa oltava tehokkaita, oikeasuhteisia ja varoittavia.

34

Se, että seuraamusmaksun määrää rikostuomioistuin rikosoikeudellisessa menettelyssä, merkitsee kuitenkin sitä, että kyseisen tuomioistuimen on aina noudatettava rikosasioissa sovellettavia sääntöjä, joihin kuuluvat erityisesti syytetyn henkilön menettelylliset oikeudet ja rangaistusten oikeasuhteisuuden periaate, sellaisina kuin ne taataan Euroopan unionin perusoikeuskirjassa.

35

Tästä on todettava, että – kuten julkisasiamies on ratkaisuehdotuksensa 74 kohdassa huomauttanut– yleisen tietosuoja-asetuksen 83 artiklassa edellytetään, että toimivaltaisten valvontaviranomaisten on poikkeuksetta varmistettava, että seuraamusmaksun tosiasiallisen määrän laskennassa noudatetaan suhteellisuusperiaatetta, millä saatetaan oikeudenmukaiseen tasapainoon henkilötietojen suojelua koskevat yleisen edun mukaiset vaatimukset ja rekisterinpitäjän, henkilötietojen käsittelijän tai sen yrityksen, johon ne kuuluvat, oikeuksien suojelun vaatimukset. Tästä seuraa, että SEUT 101 ja SEUT 102 artiklassa tarkoitetun yrityksen käsitteen soveltamiselle yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdan täytäntöönpanon yhteydessä ei näytä olevan periaatteellisia esteitä silloin, kun yleisen tietosuoja-asetuksen rikkomisista ei ole seuraamuksena hallinnollisia seuraamusmaksuja vaan rikosoikeudellisten tuomioistuinten määräämiä seuraamusmaksuja.

36

Edellä esitetyn perusteella esitettyihin kysymyksiin on vastattava, että yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohtaa, luettuina kyseisen asetuksen johdanto-osan 150 perustelukappaleen valossa, on tulkittava siten, että näissä säännöksissä oleva yrityksen käsite vastaa SEUT 101 ja SEUT 102 artiklassa tarkoitettua yrityksen käsitettä, joten kun rekisterinpitäjälle, joka on yritys tai kuuluu yritykseen, määrätään seuraamusmaksu yleisen tietosuoja-asetuksen rikkomisesta, seuraamusmaksun enimmäismäärä määritetään prosenttiosuutena yrityksen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta. Yrityksen käsite on myös otettava huomioon seuraamusmaksun adressaatin todellisen tai aineellisen taloudellisen kapasiteetin arvioimiseksi ja siten sen tarkistamiseksi, onko seuraamusmaksu samalla sekä tehokas, oikeasuhteinen että varoittava.

Oikeudenkäyntikulut

37

Pääasian asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevan asian käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (viides jaosto) on ratkaissut asian seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 83 artiklan 4–6 kohtaa, luettuina kyseisen asetuksen johdanto-osan 150 perustelukappaleen valossa,

on tulkittava siten, että

näissä säännöksissä oleva yrityksen käsite vastaa SEUT 101 ja SEUT 102 artiklassa tarkoitettua yrityksen käsitettä, joten kun rekisterinpitäjälle, joka on yritys tai kuuluu yritykseen, määrätään seuraamusmaksu asetuksen 2016/679 rikkomisesta, seuraamusmaksun enimmäismäärä määritetään prosenttiosuutena yrityksen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta. Yrityksen käsite on myös otettava huomioon seuraamusmaksun adressaatin todellisen tai aineellisen taloudellisen kapasiteetin arvioimiseksi ja siten sen tarkistamiseksi, onko seuraamusmaksu samalla sekä tehokas, oikeasuhteinen että varoittava.

Allekirjoitukset

( * ) Oikeudenkäyntikieli: tanska.