C-383/23 Trestní řízení proti ILVA A/S

ROZSUDEK SOUDNÍHO DVORA (pátého senátu)

13. února 2025 ( *1 )

„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 83 odst. 4 až 6 a 9 – Pojem ‚podnik‘ – Mateřská a dceřiná společnost – Porušení tohoto nařízení dceřinou společností – Výpočet pokuty – Zohlednění celkového obratu skupiny zahrnující tuto dceřinou společnost“

Ve věci C‑383/23,

jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Vestre Landsret (Odvolací soud pro západní oblast, Dánsko) ze dne 3. května 2023, došlým Soudnímu dvoru dne 21. června 2023, v trestním řízení proti

ILVA A/S,

SOUDNÍ DVŮR (pátý senát),

ve složení: I. Jarukaitis, předseda čtvrtého senátu vykonávající funkci předsedy pátého senátu, D. Gratsias a Z. Csehi (zpravodaj), soudci,

generální advokátka: L. Medina,

za soudní kancelář: C. Strömholm, radová,

s přihlédnutím k písemné části řízení a po jednání konaném dne 19. června 2024,

s ohledem na vyjádření, která předložili:

–	za ILVA A/S: D. B. Geary, advokat,

–	za Evropskou komisi: A. Bouchagiar, H. Kranenborg a C. Vang, jako zmocněnci,

po vyslechnutí stanoviska generální advokátky na jednání konaném dne 12. září 2024,

vydává tento

Rozsudek

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 83 odst. 4 až 6 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2	Tato žádost byla předložena v rámci trestního řízení zahájeného Anklagemyndigheden (státní zastupitelství, Dánsko) proti společnosti ILVA A/S pro údajné porušení povinností, které pro tuto společnost vyplývaly z GDPR a které měla plnit jakožto správce osobních údajů bývalých zákazníků.

Právní rámec

Unijní právo

Body 150 a 151 odůvodnění GDPR znějí takto:

„(150)

Aby byly posíleny a harmonizovány správní sankce za porušení tohoto nařízení, měl by každý dozorový úřad mít pravomoc uložit správní pokuty. V tomto nařízení by měly být uvedeny porušení a maximální hranice a kritéria pro stanovení souvisejících správních pokut, jež by měl v každém jednotlivém případě určit příslušný dozorový úřad při zohlednění všech příslušných okolností konkrétní situace s náležitým přihlédnutím zejména k povaze, závažnosti a době trvání tohoto porušení a k jeho důsledkům a opatřením přijatým v zájmu zajištění souladu s povinnostmi vyplývajícími z tohoto nařízení a v zájmu prevence či zmírnění důsledků tohoto porušení. Pro účely uložení správních pokut podniku by měl být podnik chápán ve smyslu článků 101 a 102 [SFEU]. […]

(151)

Právní systémy Dánska a Estonska neumožňují uložení správních pokut v podobě stanovené tímto nařízením. Pravidla týkající se správních pokut mohou být uplatňována tak, že v Dánsku pokutu uloží příslušný vnitrostátní soud jakožto trestní sankci a v Estonsku pokutu uloží dozorový úřad v přestupkovém řízení, pokud takové uplatnění pravidel má v uvedených členských státech účinek, který je rovnocenný správním pokutám uloženým dozorovými úřady. Příslušné vnitrostátní soudy by tedy měly zohlednit doporučení dozorového úřadu, který dal podnět k uložení pokuty. Uložené pokuty by v každém případě měly být účinné, přiměřené a odrazující.“

4	Článek 5 GDPR stanoví zásady zpracování osobních údajů.

5	Článek 6 GDPR stanoví podmínky, za nichž je zpracování osobních údajů považováno za zákonné.

Článek 58 nařízení GDPR, nadepsaný „Pravomoci“, v odstavci 2 stanoví:

„Každý dozorový úřad má všechny tyto nápravné pravomoci:

[…]

i)	uložit správní pokutu podle článku 83 vedle či namísto opatření uvedených v tomto odstavci, podle okolností každého jednotlivého případu;

[…]“

Článek 83 GDPR, nadepsaný „Obecné podmínky pro ukládání správních pokut“, v odstavcích 1, 2, 4 až 6 a 9 stanoví:

„1. Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.

2. Správní pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v čl. 58 odst. 2 písm. a) až h) a j). Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:

a)	povaha, závažnost a délka trvání porušení s přihlédnutím k povaze, rozsahu či účelu dotčeného zpracování, jakož i k počtu dotčených subjektů údajů a míře škody, jež jim byla způsobena;

b)	zda k porušení došlo úmyslně nebo z nedbalosti;

c)	kroky podniknuté správcem či zpracovatelem ke zmírnění škod způsobených subjektům údajů;

d)	míra odpovědnosti správce či zpracovatele s přihlédnutím k technickým a organizačním opatřením jimi zavedeným podle článků 25 a 32;

e)	veškerá relevantní předchozí porušení správcem či zpracovatelem;

f)	míra spolupráce s dozorovým úřadem za účelem nápravy daného porušení a zmírnění jeho možných nežádoucích účinků;

g)	kategorie osobních údajů dotčené daným porušením;

h)	způsob, jakým se dozorový úřad dozvěděl o porušení, zejména zda správce či zpracovatel porušení oznámil, a pokud ano, v jaké míře;

i)	v případě, že vůči danému správci nebo zpracovateli byla v souvislosti s týmž předmětem dříve nařízena opatření uvedená v čl. 58 odst. 2, splnění těchto opatření;

j)	dodržování schválených kodexů chování podle článku 40 nebo schváleného mechanismu pro vydávání osvědčení podle článku 42 a

k)	jakoukoliv jinou [jakákoliv jiná] přitěžující nebo polehčující okolnost vztahující se na okolnosti daného případu, jako jsou získaný finanční prospěch či zamezení ztrátám, přímo či nepřímo vyplývající z porušení.

[…]

4. Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 10000000 [eur], nebo jedná-li se o podnik, až do výše 2 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší:

[…]

5. Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 20000000 [eur], nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší:

[…]

6. Za nesplnění příkazu dozorového úřadu podle čl. 58 odst. 2 lze v souladu s odstavcem 2 tohoto článku uložit správní pokuty až do výše 20000000 [eur], nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí rozpočtový [finanční] rok, podle toho, co je vyšší.

[…]

9. Neumožňuje-li právo členského státu uložení správních pokut, může se použít tento článek tak, aby podnět k uložení pokuty dal příslušný dozorový úřad a aby pokuta byla uložena příslušnými vnitrostátními soudy, a současně je třeba zajistit, aby tyto prostředky právní ochrany byly účinné a aby jejich účinek byl rovnocenný se správními pokutami, jež ukládají dozorové úřady. Uložené pokuty musí být v každém případě účinné, přiměřené a odrazující. Tyto členské státy oznámí [Evropské] [k]omisi do 25. května 2018 příslušná ustanovení svých právních předpisů, která přijmou podle tohoto odstavce, a bez prodlení jakékoliv následné novely nebo změny týkající se těchto ustanovení.“

Dánské právo

Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (zákon č. 502, kterým se doplňuje [GDPR]) ze dne 23. května 2018 v § 41 stanoví:

„[1.] Nestanoví-li jiný právní předpis přísnější sankci, uloží se pokuta nebo trest odnětí svobody až na šest měsíců tomu, kdo poruší ustanovení týkající se:

[…]

4) základních zásad zpracování, včetně podmínek týkajících se souhlasu, stanovenými v článcích 5 až 7 a 9 [GDPR],

[…]

3. Při ukládání sankcí podle odstavců 1 a 2 se postupuje podle čl. 83 odst. 2 [GDPR].

[…]

6. Společnosti atd. (právnické osoby) mohou být trestně odpovědné podle ustanovení kapitoly 5 [straffeloven (trestní zákoník)]. […]“

Spor v původním řízení a předběžné otázky

Společnost ILVA provozuje řetězec obchodů s nábytkem a je součástí skupiny Lars Larsen Group. Celkový obrat skupiny za finanční rok 2016/2017 činil 6,57 miliardy dánských korun (DKK) (přibližně 881 milionů eur), přičemž obrat společnosti ILVA za stejný finanční rok činil téměř 1,8 miliardy DKK (přibližně 241 milionů eur).

10	Společnost ILVA byla u dánských soudů obžalována z toho, že v období od května 2018 do ledna 2019 neplnila povinnosti, které pro ni vyplývaly z GDPR, jakožto správce osobních údajů v souvislosti s uchováváním údajů nejméně 350000 bývalých zákazníků.

Na doporučení Datatilsynet (Úřad pro ochranu osobních údajů, Dánsko) státní zastupitelství požadovalo, aby byla společnosti ILVA uložena pokuta ve výši 1,5 milionu DKK (přibližně 201000 eur). Výpočet této částky vycházel nejen z obratu společnosti ILVA, ale také z celkového obratu skupiny Lars Larsen Group.

Rozsudkem ze dne 12. února 2021 uznal retten i Aarhus (Městský soud v Aarhusu, Dánsko) společnost ILVA vinnou z jednání, které jí bylo vytýkáno, a uložil jí pokutu ve výši 100000 DKK (přibližně 13400 eur). Uvedený soud měl za to, že společnost ILVA jednala na rozdíl od toho, co tvrdilo státní zastupitelství, z nedbalosti. Měl rovněž za to, že při stanovení výše pokuty není třeba zohledňovat obrat skupiny Lars Larsen Group vzhledem k tomu, že je stíhána pouze společnost ILVA. Dále uvedl, že společnost ILVA provozuje samostatnou maloobchodní činnost a nebyla založena mateřskou společností skupiny pouze za účelem zpracování údajů skupiny.

Státní zastupitelství podalo proti tomuto rozsudku odvolání k Vestre Landsret (Odvolací soud pro západní oblast, Dánsko), který je předkládajícím soudem. Státní zastupitelství tvrdí, že pojem „podnik“ uvedený v čl. 83 odst. 4 až 6 GDPR musí být chápán v tom smyslu, že pro stanovení pokuty za porušení GDPR určitou společností je třeba vycházet z obratu skupiny, jejíž je tato společnost součástí. Podle jeho názoru totiž z bodu 150 odůvodnění GDPR vyplývá, že tento výraz musí být chápán v souladu s články 101 a 102 SFEU.

14	Společnost ILVA je naproti tomu toho názoru, že pro stanovení pokuty za porušení GDPR společností by se neměl zohledňovat celkový obrat skupiny, jejíž je součástí. V projednávané věci bylo stíhání zahájeno proti společnosti ILVA, a nikoli rovněž proti její mateřské společnosti.

15	Předkládající soud má za to, že odpověď na tuto otázku z GDPR jasně nevyplývá.

Za těchto okolností se Vestre Landsret (Odvolací soud pro západní oblast) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

„1)

Musí být pojem ‚podnik‘ uvedený v čl. 83 odst. 4 až 6 [GDPR] chápán jako podnik ve smyslu článků 101 a 102 SFEU, ve spojení s bodem 150 odůvodnění [GDPR] a judikaturou Soudního dvora týkající se unijního práva hospodářské soutěže tak, že pojem ‚podnik‘ zahrnuje jakýkoli subjekt vykonávající hospodářskou činnost bez ohledu na právní postavení tohoto subjektu a způsob jeho financování?

2)	V případě kladné odpovědi na první otázku: Musí být čl. 83 odst. 4 až 6 [GDPR] vykládán v tom smyslu, že při ukládání pokuty podniku je třeba zohlednit celkový celosvětový roční obrat hospodářského subjektu, jehož je podnik součástí, nebo pouze celkový celosvětový roční obrat samotného podniku?“

K předběžným otázkám

Podstatou otázek předkládajícího soudu, které je třeba posoudit společně, je, zda musí být čl. 83 odst. 4 až 6 GDPR ve spojení s bodem 150 odůvodnění tohoto nařízení vykládán v tom smyslu, že pojem „podnik“ uvedený v těchto ustanoveních odpovídá pojmu „podnik“ ve smyslu článků 101 a 102 SFEU, takže v případě, že je správci osobních údajů, který je podnikem nebo součástí podniku, uložena pokuta za porušení GDPR, stanoví se výše pokuty na základě procentního podílu z celkového celosvětového ročního obratu tohoto podniku za předchozí finanční rok ve smyslu uvedených smyslu článků 101 a 102.

18	Na úvod je třeba předeslat, že Soudní dvůr již měl příležitost odpovědět na některé otázky týkající se výkladu článku 83 GDPR v rozsudku ze dne 5. prosince 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, body 53 až 59), který byl vydán po ukončení písemné části řízení v projednávané věci.

Soudní dvůr konstatoval, že na otázku, zda a za jakých podmínek může být správci, který je právnickou osobou, uložena podle článku 83 GDPR správní pokuta, nemá pojem ‚podnik‘ ve smyslu článků 101 a 102 SFEU žádný vliv, jelikož tato otázka je vyčerpávajícím způsobem upravena v čl. 58 odst. 2 a čl. 83 odst. 1 až 6 tohoto nařízení (rozsudek ze dne 5. prosince 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, bod 53).

20	Tento pojem je totiž relevantní pouze při určování výše správní pokuty ukládané správci na základě čl. 83 odst. 4 až 6 GDPR (rozsudek ze dne 5. prosince 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, bod 54).

Odkaz na pojem „podnik“ ve smyslu článků 101 a 102 SFEU, který je obsažen v bodě 150 odůvodnění GDPR, je třeba chápat právě v tomto specifickém kontextu výpočtu správních pokut ukládaných za porušení uvedená v čl. 83 odst. 4 až 6 tohoto nařízení (rozsudek ze dne 5. prosince 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, bod 55).

V tomto ohledu je třeba zdůraznit, že pro účely uplatnění pravidel hospodářské soutěže podle článků 101 a 102 SFEU zahrnuje tento pojem jakoukoliv entitu, která vykonává hospodářskou činnost, nezávisle na právním postavení této entity a způsobu jejího financování. Označuje tak hospodářskou jednotku, i když je z právního hlediska tato hospodářská jednotka složena z několika fyzických nebo právnických osob. Tato hospodářská jednotka je tvořena jednotnou organizací osobních, hmotných a nehmotných prvků, která dlouhodobě sleduje určitý hospodářský cíl (rozsudek ze dne 5. prosince 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, bod 56 a citovaná judikatura).

Z článku 83 odst. 4 až 6 GDPR, který se týká výpočtu správních pokut za porušení vyjmenovaná v těchto odstavcích, v této souvislosti tedy vyplývá, že je-li entita, jíž je správní pokuta uložena, podnikem nebo součástí podniku ve smyslu článků 101 a 102 SFEU, maximální výše správní pokuty se vypočítá na základě procentního podílu celkového celosvětového ročního obratu dotyčného podniku za předchozí finanční rok (rozsudek ze dne 5. prosince 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, bod 57).

24	Stanovení této maximální výše je však třeba odlišit od samotného výpočtu výše pokuty, kterou má příslušný dozorový úřad uložit za konkrétní porušení GDPR, která tato pokuta postihuje.

25	Podle čl. 83 odst. 1 GDPR tedy každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem 83 za porušení GDPR podle odstavců 4 až 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.

26	Kromě dodržení těchto tří podmínek odstavec 2 tohoto článku 83 vyžaduje, aby příslušný dozorový úřad při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech řádně zohlednil několik okolností.

V souladu s posledně uvedeným ustanovením tyto okolnosti zahrnují zejména povahu, závažnost a délku trvání porušení, počet dotčených subjektů údajů a míru škody, jež jim byla způsobena, zda k porušení došlo úmyslně nebo z nedbalosti, kroky podniknuté správcem či zpracovatelem osobních údajů ke zmírnění způsobených škod, míru odpovědnosti tohoto správce či zpracovatele a kategorie osobních údajů dotčené daným porušením.

Uvedené okolnosti charakterizují buď jednání uvedeného správce nebo zpracovatele obviněného z porušení určitých ustanovení GDPR, nebo samotná tato porušení. Slouží tak k zajištění toho, aby každé z uvedených porušení bylo posuzováno na základě všech relevantních individuálních okolností a aby bylo dosaženo cílů sledovaných systémem sankcí stanoveným GDPR.

Ačkoli tyto okolnosti neodkazují na pojem „podnik“ ve smyslu článků 101 a 102 SFEU, Soudní dvůr již rozhodl, že jedině pokuta, která zohledňuje nejen všechny okolnosti charakterizující zjištěná porušení GDPR, ale případně i skutečné hospodářské či materiální síly entity, jíž je určena, může splňovat ony tři podmínky stanovené v čl. 83 odst. 1 GDPR, a sice být účinná, přiměřená a odrazující. Pro posouzení těchto podmínek je přitom třeba zohlednit, zda je tato entita, jíž je pokuta určena, součástí podniku ve smyslu článků 101 a 102 SFEU (v tomto smyslu viz rozsudek ze dne 5. prosince 2023, Deutsche Wohnen,C‑807/21, EU:C:2023:950, bod 58).

30	Výklad článku 83 GDPR, který vyplývá z bodů 25 až 29 tohoto rozsudku, se použije i v případě, že zjištěná porušení GDPR nejsou sankcionována správní pokutou, ale pokutou uloženou příslušnými vnitrostátními soudy jako trestní sankce.

31	Jak je uvedeno v bodě 151 odůvodnění GDPR, některé vnitrostátní právní systémy, včetně systému Dánského království, neumožňují uložení správních pokut v podobě stanovené tímto nařízením.

32	Pro řešení této situace čl. 83 odst. 9 GDPR stanoví, že neumožňuje-li právo členského státu uložení správních pokut, může se použít tento článek 83 tak, aby jako v projednávaném případě dal podnět k uložení pokuty příslušný dozorový úřad a aby pokuta byla uložena příslušnými vnitrostátními soudy.

Kromě toho je v tomto čl. 83 odst. 9, jakož i v bodě 151 odůvodnění tohoto nařízení upřesněno, že je nezbytné, aby dotčené právní prostředky byly účinné a aby jejich účinek byl rovnocenný se správními pokutami, jež ukládají dozorové úřady, a aby uložené pokuty byly v každém případě účinné, přiměřené a odrazující.

34	Skutečnost, že pokutu ukládá trestní soud v rámci trestního řízení, však znamená, že soud musí vždy dodržovat pravidla platná v trestních věcech, včetně zejména procesních práv obviněného a zásady přiměřenosti trestu, které jsou zaručeny Listinou základních práv Evropské unie.

Jak v tomto ohledu uvedla generální advokátka v bodě 74 svého stanoviska, článek 83 GDPR vyžaduje, aby příslušné dozorové úřady bez výjimky zajistily, aby byla při výpočtu skutečně ukládané pokuty dodržena zásada proporcionality tak, aby byla nastolena spravedlivá rovnováha mezi požadavky obecného zájmu na ochraně osobních údajů a požadavky na ochranu základních práv správce či zpracovatele takových údajů nebo podniku, jehož jsou součástí. Z toho vyplývá, že použití pojmu „podnik“ ve smyslu článků 101 a 102 SFEU v rámci provádění čl. 83 odst. 4 až 6 GDPR patrně nenaráží na zásadní překážky, pokud jsou porušení GDPR sankcionována nikoli správními pokutami, ale pokutami uloženými trestními soudy.

S ohledem na výše uvedené úvahy je třeba na položené otázky odpovědět tak, že čl. 83 odst. 4 až 6 GDPR musí být ve spojení s bodem 150 odůvodnění tohoto nařízení vykládán v tom smyslu, že pojem „podnik“ uvedený v těchto ustanoveních odpovídá pojmu „podnik“ ve smyslu článků 101 a 102 SFEU, takže v případě, že je správci osobních údajů, který je podnikem nebo součástí podniku, uložena pokuta za porušení nařízení 2016/679, stanoví se výše pokuty na základě procentního podílu z celkového celosvětového ročního obratu tohoto podniku za předchozí finanční rok. Pojem „podnik“ musí být rovněž zohledněn za účelem posouzení skutečné hospodářské či materiální síly entity, jíž je pokuta určena, a tudíž ověření, zda je pokuta zároveň účinná, přiměřená a odrazující.

K nákladům řízení

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (pátý senát) rozhodl takto:

Článek 83 odst. 4 až 6 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

musí být ve spojení s bodem 150 odůvodnění tohoto nařízení vykládán v tom smyslu že

pojem „podnik“ uvedený v těchto ustanoveních odpovídá pojmu „podnik“ ve smyslu článků 101 a 102 SFEU, takže v případě, že je správci osobních údajů, který je podnikem nebo součástí podniku, uložena pokuta za porušení nařízení 2016/679, stanoví se výše pokuty na základě procentního podílu z celkového celosvětového ročního obratu tohoto podniku za předchozí finanční rok. Pojem „podnik“ musí být rovněž zohledněn za účelem posouzení skutečné hospodářské či materiální síly entity, jíž je pokuta určena, a tudíž ověření, zda je pokuta zároveň účinná, přiměřená a odrazující.

Podpisy

( *1 ) – Jednací jazyk: dánština.

Eureka přidává odkazy…