C-383/23 Kriminaalmenetlus järgmise isiku suhtes: ILVA A/S

EUROOPA KOHTU OTSUS (viies koda)

13. veebruar 2025 ( *1 )

Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 83 lõiked 4–6 ja 9 – Mõiste „ettevõtja“ – Emaettevõtja ja tütarettevõtja – Määruse rikkumine tütarettevõtja poolt – Trahvisumma arvutamine – Selle kontserni kogukäibe arvessevõtmine, millesse see tütarettevõtja kuulub

Kohtuasjas C‑383/23,

mille ese on ELTL artikli 267 alusel Vestre Landsreti (läänepiirkonna apellatsioonikohus, Taani) 3. mai 2023. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 21. juunil 2023, kriminaalmenetluses järgmise isiku suhtes:

ILVA A/S,

EUROOPA KOHUS (viies koda),

koosseisus: neljanda koja president I. Jarukaitis viienda koja presidendi ülesannetes, kohtunikud D. Gratsias ja Z. Csehi (ettekandja),

kohtujurist: L. Medina,

kohtusekretär: ametnik C. Strömholm,

arvestades kirjalikku menetlust ja 19. juuni 2024. aasta kohtuistungil esitatut,

arvestades seisukohti, mille esitasid:

–	ILVA A/S, esindaja: advokat D. B. Geary,

–	Euroopa Komisjon, esindajad: A. Bouchagiar, H. Kranenborg ja C. Vang,

olles 12. septembri 2024. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku,

on teinud järgmise

kohtuotsuse

Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 83 lõikeid 4–6.

2	Taotlus on esitatud ILVA A/S‑i suhtes Anklagemyndighedeni (prokurör, Taani) alustatud kriminaalmenetluses seoses sellega, et see äriühing kui endiste klientide isikuandmete vastutav töötleja ei täitnud väidetavalt kohustusi, mis tulenevad isikuandmete kaitse üldmäärusest.

Õiguslik raamistik

Liidu õigus

Isikuandmete kaitse üldmääruse põhjendused 150 ja 151 on sõnastatud järgmiselt:

„(150)

Selleks et tugevdada ja ühtlustada väärteokaristusi käesoleva määruse rikkumise korral, peaksid igal järelevalveasutusel olema volitused määrata trahve. Käesolevas määruses tuleks loetleda rikkumised, sätestada asjaomaste trahvide ülemmäär ja nende määramise kriteeriumid, mille üle peaks iga juhtumi puhul eraldi otsustama pädev järelevalveasutus, võttes arvesse konkreetse olukorra kõiki asjakohaseid asjaolusid, pidades eelkõige silmas rikkumise laadi, raskusastet, ajalist kestvust ja tagajärgi ning meetmeid, mis võetakse käesoleva määruse kohaste kohustuste täitmise tagamiseks ja rikkumise tagajärgede vältimiseks või leevendamiseks. Kui trahv on määratud ettevõtjale, tuleks ettevõtja määratlemisel lähtuda [ELTL] artiklites 101 ja 102 toodud määratlusest. […]

(151)

Taani ja Eesti õigussüsteem ei võimalda määrata trahve käesolevas määruses sätestatu kohaselt. Trahve käsitlevaid eeskirju saab kohaldada selliselt, et Taanis määrab trahvi pädev riiklik kohus kriminaalkaristusena ning Eestis määrab trahvi järelevalveasutus väärteomenetluse raames, tingimusel et eeskirjade sellisel kohaldamisel nimetatud liikmesriikides on samaväärne toime nagu järelevalveasutuste määratud trahvidel. Sellepärast peaksid pädevad riiklikud kohtud võtma arvesse trahvi algatava järelevalveasutuse soovitust. Igal juhul peaksid määratavad trahvid olema tõhusad, proportsionaalsed ja heidutavad.“

4	Isikuandmete kaitse üldmääruse artiklis 5 on kehtestatud isikuandmete töötlemise põhimõtted.

5	Isikuandmete kaitse üldmääruse artiklis 6 on kindlaks määratud tingimused, mille puhul on isikuandmete töötlemine seaduslik.

Isikuandmete kaitse üldmääruse artikli 58 „Volitused“ lõikes 2 on sätestatud:

„Järelevalveasutusel on järgmised parandusvolitused:

[…]

i)	määrata artikli 83 kohaselt trahve lisaks käesolevas lõikes osutatud meetmetele või nende asemel, sõltuvalt konkreetse juhtumi asjaoludest,

[…]“.

Isikuandmete kaitse üldmääruse artikli 83 „Trahvide määramise üldtingimused“ lõigetes 1, 2, 4–6 ja 9 on ette nähtud:

„1. Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.

2. Trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks artikli 58 lõike 2 punktides a–h ja j osutatud meetmetele või nende asemel. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:

a)	rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust;

b)	kas rikkumine pandi toime tahtlikult või hooletusest;

c)	vastutava töötleja või volitatud töötleja poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks;

d)	vastutava töötleja või volitatud töötleja vastutuse aste, võttes arvesse nende poolt artiklite 25 ja 32 kohaselt võetud tehnilisi ja korralduslikke meetmeid;

e)	vastutava töötleja või volitatud töötleja eelnevad asjakohased rikkumised;

f)	järelevalveasutusega tehtava koostöö määr rikkumise heastamiseks ja rikkumise võimaliku kahjuliku mõju leevendamiseks;

g)	rikkumisest mõjutatud isikuandmete liigid;

h)	millisel viisil sai järelevalveasutus rikkumisest teada, eelkõige kas vastutav töötleja või volitatud töötleja teatas rikkumisest ja millisel määral ta seda tegi;

i)	kui asjaomase vastutava töötleja või volitatud töötleja suhtes on samas küsimuses varem võetud artikli 58 lõikes 2 osutatud meetmeid, siis nende meetmete järgimine;

j)	artikli 40 kohaste heakskiidetud toimimisjuhendite või artikli 42 kohaste heakskiidetud sertifitseerimismehhanismide järgimine, ning

k)	juhtumi asjaolude suhtes kohaldatavad mis tahes muud raskendavad või kergendavad tegurid, näiteks rikkumisest otseselt või kaudselt saadud finantskasu või välditud kahju.

[…]

4. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 10000000 eurot või ettevõtja puhul kuni 2% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem:

[…]

5. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem:

[…]

6. Artikli 58 lõikes 2 osutatud järelevalveasutuse korralduse täitmatajätmise korral määratakse kooskõlas käesoleva artikli lõikega 2 trahv, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.

[…]

9. Kui liikmesriigi õigussüsteemis ei ole haldustrahve ette nähtud, võib käesolevat artiklit kohaldada sellisel viisil, et trahvi algatab pädev järelevalveasutus ning selle määravad pädevad riiklikud kohtud, tagades seejuures, et need õiguskaitsevahendid on tõhusad ja järelevalveasutuste poolt määratud haldustrahvidega samaväärse mõjuga. Igal juhul on määratavad trahvid tõhusad, proportsionaalsed ja heidutavad. Need liikmesriigid teavitavad [Euroopa K]omisjoni oma käesoleva lõike kohaselt vastuvõetavatest õigusnormidest hiljemalt 25. maiks 2018 ning viivitamata kõigist hilisematest neid õigusnorme mõjutavatest muutmise seadustest või muudatustest.“

Taani õigus

23. mai 2018. aasta seaduse nr 502, millega täiendatakse [isikuandmete kaitse üldmäärust] (lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger), §‑s 41 on sätestatud:

„1. Kui muude õigusaktidega ei ole ette nähtud suuremat karistust, määratakse rahatrahv või kuni kuue kuu pikkune vabadusekaotuslik karistus igaühele, kes rikub sätteid, mis käsitlevad:

[…]

4) [isikuandmete kaitse üldmääruse] artiklites 5–7 ja 9 sätestatud töötlemise aluspõhimõtteid, sealhulgas nõusoleku andmise tingimusi;

[…]

3. Lõigete 1 ja 2 alusel karistuse määramisel tuleb järgida [isikuandmete kaitse üldmääruse] artikli 83 lõiget 2.

[…]

6. Äriühinguid jms (juriidilisi isikuid) võib kriminaalvastutusele võtta [karistusseadustiku (straffeloven)] 5. peatüki sätete kohaselt. […]“.

Põhikohtuasi ja eelotsuse küsimused

9	ILVA käitab mööblikaupluste ketti ja kuulub Lars Larsen Groupi kontserni. Kontserni 2016/2017. majandusaasta kogukäive oli 6,57 miljardit Taani krooni (DKK) (ligikaudu 881 miljonit eurot) ning ILVA sama majandusaasta käive oli ligikaudu 1,8 miljardit krooni (ligikaudu 241 miljonit eurot).

10	ILVAt süüdistatakse Taani kohtutes selles, et ta ei täitnud ajavahemikul 2018. aasta maist kuni 2019. aasta jaanuarini isikuandmete kaitse üldmäärusest tulenevaid kohustusi isikuandmete vastutava töötlejana vähemalt 350000 endise kliendi andmete säilitamisel.

11	Datatilsyneti (andmekaitseamet, Taani) soovitusel nõudis prokurör 1,5 miljoni krooni (ligikaudu 201000 euro) suuruse trahvi määramist ILVA‑le. Selle trahvi arvutamisel ei lähtutud mitte ainult ILVA käibest, vaid samuti Lars Larsen Groupi kontserni kogukäibest.

Retten i Aarhus (Aarhusi esimese astme kohus, Taani) tunnistas oma 12. veebruari 2021. aasta otsusega ILVA etteheidetud asjaoludes süüdi ning talle määrati trahv summas 100000 krooni (ligikaudu 13400 eurot). Erinevalt prokuröri väidetust leidis nimetatud kohus, et ILVA rikkumine oli tingitud hooletusest. Ta oli samuti seisukohal, et kuivõrd süüdistus oli esitatud ainult ILVA‑le, ei olnud trahvisumma arvutamisel vaja võtta arvesse Lars Larsen Groupi kontserni käivet. Nimetatud kohus märkis peale selle, et ILVA tegeleb iseseisva jaemüügiga ja et kontsern ei asutanud seda tütarettevõtjat ainsa eesmärgiga teha talle ülesandeks kontsernisisene isikuandmete töötlemine.

Prokurör esitas selle kohtuotsuse peale apellatsioonkaebuse Vestre Landsretile (läänepiirkonna apellatsioonikohus, Taani,), mis on eelotsusetaotluse esitanud kohus. Prokurör väidab, et isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 kasutatud mõistet „ettevõtja“ tuleb mõista nii, et kui äriühing rikub isikuandmete kaitse üldmäärust, tuleb trahvi kindlaksmääramisel lähtuda selle kontserni käibest, millesse see äriühing kuulub. Isikuandmete kaitse üldmääruse põhjendusest 150 tuleneb nimelt, et seda mõistet tuleb tõlgendada kooskõlas ELTL artiklitega 101 ja 102.

14	ILVA on seevastu arvamusel, et äriühingule isikuandmete kaitse üldmääruse rikkumise eest trahvi kindlaksmääramisel ei tuleks arvesse võtta selle kontserni kogukäivet, millesse see äriühing kuulub. Antud juhul on süüdistus esitatud ainult ILVA‑le, mitte tema emaettevõtjale.

15	Eelotsusetaotluse esitanud kohus leiab, et isikuandmete kaitse üldmäärus ei anna selget vastust sellele küsimusele.

Neil asjaoludel otsustas Vestre Landsret (läänepiirkonna apellatsioonikohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused:

„1.

Kas isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 kasutatud mõistet „ettevõtja“ tuleb käsitada ettevõtjana ELTL artiklite 101 ja 102 (koostoimes isikuandmete kaitse määruse põhjendusega 150) ning Euroopa Kohtu konkurentsiõigust käsitleva kohtupraktika tähenduses, nii et mõiste „ettevõtja“ hõlmab igasugust majandustegevusega tegelevat üksust, sõltumata selle üksuse õiguslikust seisundist ja rahastamisviisist?

Kui vastus esimesele küsimusele on jaatav, siis kas isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6 tuleb tõlgendada nii, et ettevõtjale trahvi määramisel tuleb arvesse võtta selle majandusüksuse ülemaailmset aastast kogukäivet, millesse ettevõtja kuulub, või üksnes ettevõtja enda ülemaailmset aastast kogukäivet?“

Eelotsuse küsimuste analüüs

Eelotsusetaotluse esitanud kohus palub oma küsimustega, mida tuleb analüüsida koos, sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6, võttes arvesse selle määruse põhjendust 150, tuleb tõlgendada nii, et nendes sätetes kasutatud mõiste „ettevõtja“ vastab mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses, mistõttu juhul, kui isikuandmete kaitse üldmääruse rikkumise eest määratakse trahv isikuandmete vastutavale töötlejale, kes on ettevõtja või osa ettevõtjast, määratakse trahvisumma kindlaks protsendina ELTL artiklite 101 ja 102 tähenduses ettevõtja eelmise majandusaasta ülemaailmsest aastasest kogukäibest.

Kõigepealt tuleb märkida, et Euroopa Kohtul on juba olnud võimalus vastata teatavatele isikuandmete kaitse üldmääruse artikli 83 tõlgendamist puudutavatele küsimustele 5. detsembri 2023. aasta kohtuotsuses Deutsche Wohnen (C‑807/21, EU:C:2023:950, punktid 53–59), mis tehti pärast käesolevas kohtuasjas kirjaliku menetluse lõpetamist.

Euroopa Kohus otsustas, et mõiste „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses ei mõjuta küsimust, kas ja millistel tingimustel võib juriidilisest isikust vastutavale töötlejale määrata isikuandmete kaitse üldmääruse artikli 83 alusel trahvi, sest seda küsimust reguleerivad ammendavalt määruse artikli 58 lõige 2 ja artikli 83 lõiked 1–6 (5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen, C‑807/21, EU:C:2023:950, punkt 53).

20	See mõiste on asjakohane ainult isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 alusel vastutavale töötlejale määratava trahvisumma kindlaksmääramisel (5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen, C‑807/21, EU:C:2023:950, punkt 54).

Isikuandmete kaitse üldmääruse põhjenduses 150 sisalduvat viidet mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses tuleb käsitleda määruse artikli 83 lõigetes 4–6 nimetatud rikkumiste eest määratavate trahvide arvutamise konkreetses kontekstis (5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen, C‑807/21, EU:C:2023:950, punkt 55).

Sellega seoses tuleb rõhutada, et ELTL artiklites 101 ja 102 osutatud konkurentsieeskirjade kohaldamisel hõlmab see mõiste mis tahes majandustegevusega tegelevat üksust, sõltumata selle üksuse õiguslikust vormist ja rahastamisviisist. Mõiste tähistab seega majandusüksust, isegi kui õiguslikult koosneb see majandusüksus mitmest füüsilisest või juriidilisest isikust. Sellel majandusüksusel on isiklikest, varalistest ja mittevaralistest osadest koosnev ühtne organisatsioon, mis kestvalt taotleb kindlaksmääratud majanduslikku eesmärki (5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen, C‑807/21, EU:C:2023:950, punkt 56 ja seal viidatud kohtupraktika).

Nii nähtub isikuandmete kaitse üldmääruse artikli 83 lõigetest 4–6, mis käsitlevad nendes lõigetes loetletud rikkumiste eest määratavate trahvide arvutamist, et juhul, kui trahvi adressaat on ettevõtja või osa ettevõtjast ELTL artiklite 101 ja 102 tähenduses, arvutatakse trahvi ülemmäär protsendina asjaomase ettevõtja eelneva majandusaasta ülemaailmsest aastasest kogukäibest (5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen, C‑807/21, EU:C:2023:950, punkt 57).

24	Selle ülemmäära kindlaksmääramist tuleb siiski eristada selle trahvisumma arvutamisest endast, mille pädev järelevalveasutus määrab isikuandmete kaitse üldmääruse konkreetse(te) rikkumis(t)e eest, mille eest trahv määratakse.

25	Nii on isikuandmete kaitse üldmääruse artikli 83 lõikes 1 sätestatud, et järelevalveasutus tagab, et artikli 83 kohane trahvide määramine lõigete 4–6 kohaste isikuandmete kaitse üldmääruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.

26	Lisaks nende kolme tingimuse täitmisele kohustab artikli 83 lõige 2 pädevat järelevalveasutust igal konkreetsel juhul trahvi määramise ja selle suuruse üle otsustamisel pöörama asjakohast tähelepanu teatud asjaoludele.

Need asjaolud on viimati nimetatud sätte kohaselt muu hulgas rikkumise laad, raskus ja kestus; mõjutatud andmesubjektide hulk ja neile tekitatud kahju suurus; see, kas rikkumine pandi toime tahtlikult või hooletusest; vastutava töötleja või volitatud töötleja poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks; vastutava töötleja või volitatud töötleja vastutuse aste ning rikkumisest mõjutatud isikuandmete liigid.

Need asjaolud iseloomustavad kas vastutava töötleja või volitatud töötleja tegevust, keda süüdistatakse isikuandmete kaitse üldmääruse teatavate sätete rikkumises, või neid rikkumisi endid. Nende asjaolude eesmärk on seega tagada, et iga rikkumist hinnatakse kõigi asjasse puutuvate individuaalsete asjaolude alusel ja et saavutatakse isikuandmete kaitse üldmääruses ette nähtud karistuste süsteemiga taotletavad eesmärgid.

Kuigi need asjaolud ei viita mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses, siis Euroopa Kohus on juba otsustanud, et üksnes selline trahv, mis ei võta arvesse mitte üksnes isikuandmete kaitse üldmääruse tuvastatud rikkumisi iseloomustavaid kõiki asjaolusid, vaid ka vajaduse korral trahvi adressaadi tegelikku või materiaalset majanduslikku võimekust, võib vastata isikuandmete kaitse üldmääruse artikli 83 lõikes 1 sätestatud kolmele tingimusele, st olla ühtaegu tõhus, proportsionaalne ja heidutav. Nende tingimuste hindamisel tuleb aga arvesse võtta seda, kas adressaat on osa ettevõtjast ELTL artiklite 101 ja 102 tähenduses (vt selle kohta 5. detsembri 2023. aasta kohtuotsus Deutsche Wohnen, C‑807/21, EU:C:2023:950, punkt 58).

30	Isikuandmete kaitse üldmääruse artikli 83 tõlgendus, mis tuleneb käesoleva kohtuotsuse punktidest 25–29, on kohaldatav ka siis, kui isikuandmete kaitse üldmääruse tuvastatud rikkumiste eest ei karistata haldustrahviga, vaid trahviga, mille liikmesriigi pädevad kohtud määravad kriminaalkaristusena.

31	Nagu on märgitud isikuandmete kaitse üldmääruse põhjenduses 151, ei võimalda teatavad riigisisesed õigussüsteemid, sealhulgas Taani Kuningriigi õigussüsteem, määrata trahve isikuandmete kaitse üldmääruses sätestatu kohaselt.

Selle olukorra reguleerimiseks on isikuandmete kaitse üldmääruse artikli 83 lõikes 9 sätestatud, et kui liikmesriigi õigussüsteemis ei ole haldustrahve ette nähtud, võib artiklit 83 kohaldada sellisel viisil, nagu seda on tehtud käesolevas asjas, et trahvi algatab pädev järelevalveasutus ning selle määravad pädevad riiklikud kohtud.

33	Lisaks on määruse artikli 83 lõikes 9 ja põhjenduses 151 täpsustatud, et kõnealused õiguskaitsevahendid peavad olema tõhusad ja järelevalveasutuste poolt määratud haldustrahvidega samaväärse mõjuga ning igal juhul peaksid määratavad trahvid olema tõhusad, proportsionaalsed ja heidutavad.

Samas tähendab asjaolu, et trahvi määrab kriminaalkohus kriminaalmenetluses, seda, et see kohus peab igal ajal järgima karistusõiguses kohaldatavaid õigusnorme, sealhulgas konkreetsemalt süüdistatava menetlusõigusi ja karistuse proportsionaalsuse põhimõtet, mis on tagatud Euroopa Liidu põhiõiguste hartaga.

Nagu kohtujurist märkis oma ettepaneku punktis 74, peavad pädevad järelevalveasutused vastavalt isikuandmete kaitse üldmääruse artiklile 83 eranditult veenduma, et määratud tegeliku trahvi arvutamisel järgitakse proportsionaalsuse põhimõtet, tagades õiglase tasakaalu isikuandmete kaitse üldisest huvist tulenevate vajaduste ning nende andmete vastutava töötleja, volitatud töötleja või selle ettevõtja, mille osaks need töötlejad on, õiguste kaitse nõuete vahel. Sellest tuleneb, et isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 rakendamise raames ei ole ELTL artiklite 101 ja 102 tähenduses mõiste „ettevõtja“ kohaldamisel põhimõttelisi takistusi, kui isikuandmete kaitse üldmääruse rikkumiste eest ei karistata haldustrahvide, vaid kriminaalkohtute määratud trahvidega.

Eeltoodud kaalutlusi arvestades tuleb küsimustele vastata, et isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6, võttes arvesse selle määruse põhjendust 150, tuleb tõlgendada nii, et nendes sätetes kasutatud mõiste „ettevõtja“ vastab mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses, mistõttu juhul, kui isikuandmete kaitse üldmääruse rikkumise eest määratakse trahv isikuandmete vastutavale töötlejale, kes on ettevõtja või osa ettevõtjast, määratakse trahvi ülemmäär kindlaks protsendina ettevõtja eelmise majandusaasta ülemaailmsest aastasest kogukäibest. Mõistet „ettevõtja“ tuleb samuti võtta arvesse selleks, et hinnata trahvi adressaadi tegelikku või materiaalset majanduslikku võimekust, ning seega kontrollida, kas trahv on ühtaegu tõhus, proportsionaalne ja heidutav.

Kohtukulud

37	Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata.

Esitatud põhjendustest lähtudes Euroopa Kohus (viies koda) otsustab:

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 83 lõikeid 4–6, võttes arvesse selle määruse põhjendust 150,

tuleb tõlgendada nii, et

nendes sätetes kasutatud mõiste „ettevõtja“ vastab mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses, mistõttu juhul, kui määruse 2016/679 rikkumise eest määratakse trahv isikuandmete vastutavale töötlejale, kes on ettevõtja või osa ettevõtjast, määratakse trahvi ülemmäär kindlaks protsendina ettevõtja eelmise majandusaasta ülemaailmsest aastasest kogukäibest. Mõistet „ettevõtja“ tuleb samuti võtta arvesse selleks, et hinnata trahvi adressaadi tegelikku või materiaalset majanduslikku võimekust, ning seega kontrollida, kas trahv on ühtaegu tõhus, proportsionaalne ja heidutav.

Allkirjad

( *1 ) Kohtumenetluse keel: taani.

Eureka lisab linke…