–

ILVA A/S, atstovaujamos advokat D. B. Geary,

–

Europos Komisijos, atstovaujamos A. Bouchagiar, H. Kranenborg ir C. Vang,

1

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1; toliau – BDAR) 83 straipsnio 4–6 dalių išaiškinimo.

2

Šis prašymas pateiktas nagrinėjant Anklagemyndigheden (prokuratūra, Danija) iškeltą baudžiamąją bylą ILVA A/S dėl tariamų šiai bendrovei, kaip buvusių klientų asmens duomenų valdytojai, pagal BDAR tenkančių pareigų pažeidimų.

3

BDAR 150 ir 151 konstatuojamosios dalys suformuluotos taip:

4

BDAR 5 straipsnyje numatyti su asmens duomenų tvarkymu susiję principai.

5

BDAR 6 straipsnyje nustatytos sąlygos, kurioms esant asmens duomenų tvarkymas laikomas teisėtu.

6

BDAR 58 straipsnio „Įgaliojimai“ 2 dalyje nustatyta:

„Kiekviena priežiūros institucija turi visus šiuos įgaliojimus imtis taisomųjų veiksmų:

<…>

<…>“

7

BDAR 83 straipsnio „Bendrosios administracinių baudų skyrimo sąlygos“ 1–2, 4–6 ir 9 dalyse numatyta:

„1.   Kiekviena priežiūros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus šio reglamento pažeidimus kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos.

2.   Administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos kartu su 58 straipsnio 2 dalies a–h punktuose ir j punkte nurodytomis priemonėmis arba vietoj jų. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus:

<…>

4.   Pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki 10000000 [eurų] arba, įmonės atveju – iki 2 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė:

<…>

5.   Pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki 20000000 [eurų] arba, įmonės atveju – iki 4 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė:

<…>

6.   Jei nesilaikoma 58 straipsnio 2 dalyje nurodyto priežiūros institucijos nurodymo, pagal šio straipsnio 2 dalį skiriamos administracinės baudos iki 20000000 [eurų] arba, įmonės atveju – iki 4 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė.

<…>

9.   Jei valstybės narės teisės sistemoje nenumatoma administracinių baudų, šis straipsnis gali būti taikomas taip, kad baudą inicijuotų kompetentinga priežiūros institucija, o ją skirtų kompetentingi nacionaliniai teismai, kartu užtikrinant, kad tos teisių gynimo priemonės būtų veiksmingos ir turėtų priežiūros institucijų skiriamoms administracinėms baudoms lygiavertį poveikį. Bet kuriuo atveju skiriamos baudos turi būti veiksmingos, proporcingos ir atgrasomos. Tos valstybės narės ne vėliau kaip 2018 m. gegužės 25 d. praneša [Europos] Komisijai savo teisės aktų nuostatas, kurias jos priima pagal šią dalį, ir nedelsdamos praneša vėlesnius tas nuostatas keičiančius teisės aktus ar su jomis susijusius pakeitimus.“

8

2018 m. gegužės 23 d.Lov Nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Įstatymas Nr. 502, kuriuo papildomas [BDAR]) 41 straipsnyje nustatyta:

„1.   Jei pagal kitus teisės aktus nėra pagrindo skirti didesnę nuobaudą, skiriama bauda arba laisvės atėmimo bausmė iki šešių mėnesių asmeniui, kuris pažeidžia nuostatas dėl:

<…>

4) pagrindinių duomenų tvarkymo principų, įskaitant sutikimo sąlygas, nustatytų [BDAR] 5–7 ir 9 straipsniuose;

<…>

3.   Skiriant sankciją pagal 1 ir 2 dalis reikia vadovautis [BDAR] 83 straipsnio 2 dalimi.

<…>

6.   Bendrovė e.a. (juridinis asmuo) gali būti traukiama baudžiamojon atsakomybėn pagal [straffeloven (Baudžiamasis kodeksas)] 5 skyriuje nustatytas taisykles. <…>“

9

ILVA valdo baldų parduotuvių tinklą ir priklauso grupei Lars Larsen Group. 2016–2017 finansiniais metais grupės bendra apyvarta buvo 6,57 mlrd. Danijos kronų (DKK) (apie 881 mln. eurų), o ILVA apyvarta tais pačiais finansiniais metais buvo beveik 1,8 mlrd. DKK (apie 241 mln. eurų).

10

ILVA yra iškelta baudžiamoji byla Danijos teismuose dėl to, kad laikotarpiu nuo 2018 m. gegužės mėn. iki 2019 m. sausio mėn. ji, kaip asmens duomenų valdytoja, nevykdė jai pagal BDAR tenkančių pareigų saugant bent 350000 buvusių klientų duomenis.

11

Remdamasi Datatilsynet (Duomenų apsaugos institucija, Danija) rekomendacija prokuratūra pareikalavo ILVA skirti 1,5 mln. DKK (apie 201000 eurų) baudą. Ši suma buvo apskaičiuota remiantis ne tik ILVA, bet ir bendra Lars Larsen Group grupės apyvarta.

12

2021 m. vasario 12 d. sprendimu Retten i Aarhus (Orhuso apylinkės teismas, Danija) pripažino ILVA kalta pagal jai pareikštą kaltinimą ir skyrė jai 100000 DKK (apie 13400 eurų) baudą. Tas teismas nusprendė, kad, priešingai, nei teigė prokuratūra, ILVA veikė aplaidžiai. Be to, jis nustatė, kad dėl to, jog tik ILVA buvo iškelta baudžiamoji byla, nustatant baudos dydį nereikia atsižvelgti į Lars Larsen Group grupės apyvartą. Be to, jis pažymėjo, kad ILVA vykdė savarankišką mažmeninės prekybos veiklą ir kad grupė įsteigė šią patronuojamąją įmonę ne vien tam, kad jai patikėtų tvarkyti grupės asmens duomenis.

13

Prokuroras pateikė apeliacinį skundą dėl to sprendimo Vestre Landsret (Vakarų regiono apeliacinis teismas, Danija), kuris yra prašymą priimti prejudicinį sprendimą pateikęs teismas. Prokuratūra tvirtina, kad BDAR 83 straipsnio 4–6 dalyse vartojama sąvoka „įmonė“ turi būti suprantama taip, kad, siekiant nustatyti baudą bendrovei pažeidus BDAR, būtina atsižvelgti į grupės, kuriai priklauso atitinkama bendrovė, apyvartą. Iš BDAR 150 konstatuojamosios dalies matyti, kad ši sąvoka turi būti suprantama pagal SESV 101 ir 102 straipsnius.

14

Vis dėlto ILVA laikosi nuomonės, kad nustatant baudą už bendrovės padarytą BDAR pažeidimą nereikia atsižvelgti į bendrą grupės, kuriai ji priklauso, apyvartą. Nagrinėjamu atveju baudžiamoji byla buvo iškelta ILVA, o ne jos patronuojančiajai bendrovei.

15

Prašymą priimti prejudicinį sprendimą pateikęs teismas mano, kad atsakymas į šį klausimą nėra aiškus iš BDAR.

16

Šiomis aplinkybėmis Vestre Landsret (Vakarų regiono apeliacinis teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

17

Savo klausimais, kuriuos reikia nagrinėti kartu, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 83 straipsnio 4–6 dalys, siejamos su šio reglamento 150 konstatuojamąja dalimi, turi būti aiškinamos taip, kad šiose nuostatose vartojama sąvoka „įmonė“ atitinka sąvoką „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, todėl, kai bauda už BDAR pažeidimą skiriama asmens duomenų valdytojui, kuris yra įmonė ar jos dalis, baudos dydis nustatomas remiantis įmonės, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, ankstesnių finansinių metų bendros metinės pasaulinės apyvartos procentine dalimi.

18

Pirmiausia reikia pažymėti, kad Teisingumo Teismas jau turėjo galimybę atsakyti į tam tikrus klausimus dėl BDAR 83 straipsnio išaiškinimo 2023 m. gruodžio 5 d. Sprendime Deutsche Wohnen (C‑807/21, EU:C:2023:950, 53–59 punktai), priimtame pasibaigus rašytinei proceso daliai šioje byloje.

19

Teisingumo Teismas konstatavo, kad sąvoka „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, neturi įtakos klausimui, ar ir kokiomis sąlygomis administracinė bauda pagal BDAR 83 straipsnį gali būti skirta duomenų valdytojui, kuris yra juridinis asmuo, nes šis klausimas išsamiai sureguliuotas šio reglamento 58 straipsnio 2 dalyje ir 83 straipsnio 1–6 dalyse (2023 m. gruodžio 5 d. Sprendimo Deutsche Wohnen, C‑807/21, EU:C:2023:950, 53 punktas).

20

Ši sąvoka faktiškai reikšminga tik nustatant pagal BDAR 83 straipsnio 4–6 dalis duomenų valdytojui skirtos administracinės baudos dydį (2023 m. gruodžio 5 d. Sprendimo Deutsche Wohnen, C‑807/21, EU:C:2023:950, 54 punktas).

21

Šio reglamento 150 konstatuojamojoje dalyje pateiktą nuorodą į sąvoką „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, reikia suprasti atsižvelgiant būtent į šį specifinį administracinių baudų, skiriamų už BDAR 83 straipsnio 4–6 dalyse nurodytus pažeidimus, apskaičiavimo kontekstą (2023 m. gruodžio 5 d. Sprendimo Deutsche Wohnen, C‑807/21, EU:C:2023:950, 55 punktas).

22

Šiuo klausimu pabrėžtina, kad taikant SESV 101 ir 102 straipsniuose nurodytas konkurencijos taisykles ši sąvoka apima bet kokį ūkinę veiklą vykdantį subjektą, neatsižvelgiant į jo teisinį statusą ar finansavimo būdus. Taigi ji reiškia ekonominį vienetą, net jeigu teisės požiūriu jį sudaro keli fiziniai arba juridiniai asmenys. Šį ekonominį vienetą sudaro žmogiškųjų išteklių, materialių ir nematerialių elementų bendras valdymas, kuriuo siekiama konkretaus ilgalaikio ekonominio tikslo (2023 m. gruodžio 5 d. Sprendimo Deutsche Wohnen, C‑807/21, EU:C:2023:950, 56 punktas ir jam nurodyta jurisprudencija).

23

Taigi iš BDAR 83 straipsnio 4–6 dalių, skirtų administracinėms baudoms apskaičiuoti už jose išvardytus pažeidimus, matyti, kad tuo atveju, jei administracinės baudos adresatas yra įmonė, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, arba jos dalis, maksimalus administracinės baudos dydis apskaičiuojamas pagal atitinkamos įmonės ankstesnių finansinių metų bendros pasaulinės metinės apyvartos procentinę dalį (2023 m. gruodžio 5 d. Sprendimo Deutsche Wohnen, C‑807/21, EU:C:2023:950, 56 punktas ir jam nurodyta jurisprudencija).

24

Vis dėlto šio maksimalaus dydžio nustatymas skiriasi nuo pačios baudos, kurią kompetentinga priežiūros institucija turi skirti už konkretų (‑čius) BDAR pažeidimą (‑us), už kurį (‑iuos) skiriama ši bauda, dydžio apskaičiavimo.

25

Taigi pagal BDAR 83 straipsnio 1 dalį kiekviena priežiūros institucija užtikrina, kad pagal BDAR 83 straipsnį skiriamos administracinės baudos už šio straipsnio 4, 5 ir 6 dalyse nurodytus pažeidimus kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos.

26

Šio 83 straipsnio 2 dalyje reikalaujama, kad spręsdama, ar skirti administracinę baudą, ir nustatydama jos dydį kompetentinga priežiūros institucija kiekvienu konkrečiu atveju tinkamai atsižvelgtų ne tik į šias tris sąlygas, bet ir į tam tikrus elementus.

27

Pagal 83 straipsnio 2 dalį šie elementai apima, be kita ko, pažeidimo pobūdį, sunkumą ir trukmę, nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį, tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo, veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą, duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas.

28

Minėti elementai apibūdina arba minėto duomenų valdytojo ar duomenų tvarkytojo, kaltinamo tam tikrų BDAR nuostatų pažeidimu, elgesį, arba pačius šiuos pažeidimus. Taigi jais siekiama užtikrinti, kad kiekvienas iš šių pažeidimų būtų vertinamas atsižvelgiant į visas reikšmingas individualias aplinkybes ir kad būtų pasiekti BDAR numatyta sankcijų sistema siekiami tikslai.

29

Nors šie elementai nesusiję su įmonės sąvoka, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, Teisingumo Teismas jau yra nusprendęs, kad tik bauda, kuria atsižvelgiama ne tik į visus elementus, apibūdinančius konstatuotus BDAR pažeidimus, bet ir prireikus į jos adresato faktinį ar materialinį ekonominį pajėgumą, gali atitikti tris BDAR 83 straipsnio 1 dalyje nustatytas sąlygas, t. y. būti veiksminga, o kartu proporcinga ir atgrasoma. Siekiant įvertinti šias sąlygas, reikia atsižvelgti į tai, ar šis adresatas yra įmonės, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, dalis (šiuo klausimu žr. 2023 m. gruodžio 5 d. Sprendimo Deutsche Wohnen, C‑807/21, EU:C:2023:950, 58 punktą).

30

Šio sprendimo 25–29 punktuose pateiktas BDAR 83 straipsnio aiškinimas taip pat taikomas tais atvejais, kai už nustatytus BDAR pažeidimus baudžiama ne administracine bauda, o tokia, kurią skiria kompetentingi nacionaliniai teismai kaip baudžiamąją sankciją.

31

Kaip nurodyta BDAR 151 konstatuojamojoje dalyje, kai kuriose nacionalinėse teisinėse sistemose, įskaitant Danijos Karalystės teisę, neleidžiama skirti administracinių baudų, kaip numatyta BDAR.

32

Siekiant reglamentuoti tokį atvejį, BDAR 83 straipsnio 9 dalyje nustatyta, kad jei valstybės narės teisės sistemoje nenumatoma administracinių baudų, šis 83 straipsnis gali būti taikomas taip, kad, kaip yra šioje byloje, baudos skyrimą inicijuotų kompetentinga priežiūros institucija, o ją skirtų kompetentingi nacionaliniai teismai.

33

Be to, šio reglamento 83 straipsnio 9 dalyje ir 151 konstatuojamojoje dalyje patikslinta, kad atitinkamos teisių gynimo priemonės būtų veiksmingos ir turėtų priežiūros institucijų skiriamoms administracinėms baudoms lygiavertį poveikį, o skiriamos baudos bet kuriuo atveju būtų veiksmingos, proporcingos ir atgrasomos.

34

Vis dėlto tai, kad baudą baudžiamajame procese skiria baudžiamųjų bylų teismas, reiškia, kad šis teismas visada turi laikytis taikytinų baudžiamosios teisės normų, visų pirma paisyti procesinių teisių, kurias turi kaltinamasis, ir bausmės proporcingumo principo, garantuojamų Europos Sąjungos pagrindinių teisių chartijoje.

35

Kaip savo išvados 74 punkte nurodė generalinė advokatė, pagal BDAR 83 straipsnį reikalaujama, kad kompetentingos priežiūros institucijos be išimčių užtikrintų, kad nustatant faktinę baudą būtų laikomasi proporcingumo principo, kartu užtikrinant teisingą bendrojo visuomenės intereso apsaugoti asmens duomenis ir tokių duomenų valdytojo, tvarkytojo ar įmonės, kuriai jie priklauso, pagrindinių teisių apsaugos reikalavimų pusiausvyrą. Vadinasi, neatrodo, kad taikant sąvoką „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, įgyvendinant BDAR 83 straipsnio 4–6 dalis kiltų esminių kliūčių, kai už BDAR pažeidimus baudžiama ne administracinėmis baudomis, o baudžiamųjų teismų skiriamomis baudomis.

36

Atsižvelgiant į tai, kas išdėstyta, į pateiktus klausimus reikia atsakyti: BDAR 83 straipsnio 4–6 dalys, siejamos su šio reglamento 150 konstatuojamąja dalimi, turi būti aiškinamos taip, kad šiose nuostatose vartojama sąvoka „įmonė“ atitinka sąvoką „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, todėl, kai bauda už BDAR pažeidimą skiriama asmens duomenų valdytojui, kuris yra įmonė ar jos dalis, maksimalus baudos dydis nustatomas remiantis įmonės ankstesnių finansinių metų bendros metinės pasaulinės apyvartos procentine dalimi. Į sąvoką „įmonė“ taip pat reikia atsižvelgti vertinant asmens, kuriam skirta bauda, faktinį ar materialinį ekonominį pajėgumą ir patikrinti, ar bauda yra veiksminga, proporcinga ir atgrasoma.

37

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti tas teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (penktoji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 83 straipsnio 4–6 dalys, siejamos su šio reglamento 150 konstatuojamąja dalimi,

turi būti aiškinamos taip:

šiose nuostatose vartojama sąvoka „įmonė“ atitinka sąvoką „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, todėl, kai bauda už Reglamento 2016/679 pažeidimą skiriama asmens duomenų valdytojui, kuris yra įmonė ar jos dalis, maksimalus baudos dydis nustatomas remiantis įmonės ankstesnių finansinių metų bendros metinės pasaulinės apyvartos procentine dalimi. Į sąvoką „įmonė“ taip pat reikia atsižvelgti vertinant asmens, kuriam skirta bauda, faktinį ar materialinį ekonominį pajėgumą ir patikrinti, ar bauda yra veiksminga, proporcinga ir atgrasoma.