–

за ILVA A/S, от D. B. Geary, advokat,

–

за Европейската комисия, от A. Bouchagiar, H. Kranenborg и C. Vang, в качеството на представители,

1

Преюдициалното запитване се отнася до тълкуването на член 83, параграфи 4—6 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, наричан по-нататък „ОРЗД“).

2

Запитването е отправено в рамките на наказателно производство, образувано срещу ILVA A/S от Anklagemyndigheden (прокуратура, Дания), която обвинява това дружество, че в качеството си на администратор на лични данни на бивши клиенти не е изпълнило задълженията си по ОРЗД.

3

Съображения 150 и 151 от ОРЗД гласят следното:

4

В член 5 от ОРЗД са закрепени принципите, свързани с обработването на лични данни.

5

В член 6 от ОРЗД са определени условията, при които обработването на лични данни се счита за законосъобразно.

6

Член 58 („Правомощия“), параграф 2 от ОРЗД предвижда:

„Всеки надзорен орган има всички от посочените по-долу корективни правомощия:

[…]

[…]“.

7

Член 83 („Общи условия за налагане на административни наказания „глоба“ или „имуществена санкция“), параграфи 1, 2, 4—6 и 9 от ОРЗД гласи:

„1.   Всеки надзорен орган гарантира, че наложените административни наказания „глоба“ или „имуществена санкция“ в съответствие с настоящия член за извършени нарушения на настоящия регламент, посочени в параграфи 4, 5 и 6, във всеки конкретен случай са ефективни, пропорционални и възпиращи.

2.   В зависимост от обстоятелствата във всеки конкретен случай административните наказания „глоба“ или „имуществена санкция“ се налагат в допълнение към мерките, посочени в член 58, параграф 2, букви а)—з) и й), или вместо тях. Когато се взема решение дали да бъде наложено административно наказание „глоба“ или „имуществена санкция“ и се определя нейният размер, във всеки конкретен случай надлежно се разглеждат следните елементи:

[…]

4.   Нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба“ или „имуществена санкция“ в размер до 10000000 [евро] или, в случай на предприятие — до 2 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока:

[…]

5.   Нарушенията на посочените по-долу разпоредби подлежат, в съответствие с параграф 2, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20000000 [евро] или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока:

[…]

6.   Неспазването на разпореждане на надзорния орган, както е посочено в член 58, параграф 2, подлежи, в съответствие с параграф 2 от настоящия член, на административно наказание „глоба“ или „имуществена санкция“ в размер до 20000000 [евро] или, в случай на предприятие — до 4 % от общия му годишен световен оборот за предходната финансова година, която от двете суми е по-висока.

[…]

9.   Когато в правната система на държавата членка не са предвидени административни наказания „глоба“ или „имуществена санкция“, настоящият член може да се прилага по такъв начин, че глобата да се инициира от компетентния назорен орган и да се налага от компетентните национални съдилища, като в същото време се гарантира, че тези правни средства за защита са ефективни и имат ефект, равностоен на административните наказания „глоба“ или „имуществена санкция“, налагани от надзорните органи. Във всички случаи наложените глоби или имуществени санкции са ефективни, пропорционални и възпиращи. Посочените държави членки уведомяват [Европейската комисия] за разпоредбите в правото си, които при[е]мат съгласно настоящия параграф, най-късно до 25 май 2018 г., и я уведомяват незабавно за всеки последващ закон за изменение или за всяко изменение, които ги засягат“.

8

Член 41 от Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Закон № 502 от 23 май 2018 г. за определяне на допълнителни правила към [ОРДЗ]) гласи:

„1.   Ако не подлежи на по-тежко наказание по друг закон, с глоба/имуществена санкция или с лишаване от свобода до шест месеца се наказва всеки, който наруши разпоредбите относно:

[…]

4) съдържащите се в членове 5—7 и 9 от [ОРЗД] основни принципи на обработването, включително условията за даване на съгласие

[…]

3.   При налагането на наказание по параграфи 1 и 2 се прилагат разпоредбите на член 83, параграф 2 от [ОРЗД].

[…]

6.   Дружествата и др. (юридически лица) може да носят наказателна отговорност по реда на глава 5 от [Straffeloven (Наказателен кодекс)] […]“.

9

ILVA управлява верига от мебелни магазини и е част от групата Lars Larsen Group. Общият оборот на групата за финансовата 2016/2017 г. възлиза на 6,57 млрд. датски крони (DKK) (около 881 млн. евро), а оборотът на ILVA за същата година — на 1,8 млрд. DKK (около 241 млн. евро).

10

Срещу ILVA е внесено обвинение пред датските съдилища за това, че в периода от май 2018 г. до януари 2019 г. е нарушило задълженията си по ОРЗД в качеството си на администратор на лични данни във връзка със съхраняването на данни на не по-малко от 350000 бивши клиенти.

11

По препоръка на Datatilsynet (Агенция за защита на данните, Дания) прокуратурата иска на ILVA да бъде наложена имуществена санкция в размер на 1,5 млн. DKK (около 201000 евро). За изчисляването на този размер е взет предвид не само оборотът на ILVA, но и общият оборот на групата Lars Larsen Group.

12

С решение от 12 февруари 2021 г. Retten i Aarhus (Първоинстанционен съд, Орхус) признава ILVA за виновно по повдигнатото обвинение и го осъжда да заплати имуществена санкция в размер на 100000 DKK (около 13400 евро). Този съд преценява, че ILVA е действало по небрежност, противно на твърденията на прокуратурата. Освен това според този съд, доколкото обвиненията са повдигнати само срещу ILVA, за изчисляването на размера на имуществената санкция не следва да се взема предвид оборотът на групата Lars Larsen Group. Той посочва също така, че ILVA е извършвало самостоятелна дейност по търговия на дребно и че дружеството майка на тази група не е създало ILVA единствено с цел да му възложи обработката на данните на групата.

13

Прокуратурата протестира това решение пред Vestre Landsret (Западен областен съд, Дания), който е запитващата юрисдикция. Прокуратурата поддържа, че терминът „предприятие“, съдържащ се в член 83, параграфи 4—6 от ОРЗД, трябва да се разбира в смисъл, че за определянето на имуществената санкция в случай на извършено от дружество нарушение на ОРЗД следва да се взема предвид оборотът на групата, от която е част това дружество. От съображение 150 от ОРЗД всъщност следвало, че въпросният термин трябва да се тълкува в съответствие с членове 101 и 102 ДФЕС.

14

От своя страна ILVA смята, че при определянето на имуществената санкция за извършено от дружество нарушение на ОРЗД не следва да се взема предвид общият оборот на групата, от която е част това дружество. В случая обвинение е повдигнато само срещу ILVA, а не и срещу дружеството му майка.

15

Запитващата юрисдикция счита, че ОРЗД не дава ясен отговор на този въпрос.

16

При това положение Vestre Landsret (Западен областен съд) решава да спре производството и да постави на Съда следните преюдициални въпроси:

17

С въпросите си, които следва да се разгледат заедно, запитващата юрисдикция по същество иска да се установи дали член 83, параграфи 4—6 във връзка със съображение 150 от ОРЗД трябва да се тълкува в смисъл, че съдържащият се в тези разпоредби термин „предприятие“ съответства на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, така че когато на администратор на лични данни, който е предприятие или част от предприятие, се налага имуществена санкция за нарушение на ОРЗД, размерът на същата се определя въз основа на процент от общия годишен световен оборот на предприятието по смисъла на тези членове 101 и 102 ДФЕС за предходната финансова година.

18

Като начало следва да се отбележи, че Съдът вече е имал повод да отговори на някои въпроси, свързани с тълкуването на член 83 от ОРЗД, в решение от 5 декември 2023 г., Deutsche Wohnen (C‑807/21, EU:C:2023:950, т. 53—59), постановено след приключването на писмената фаза на производството по настоящото дело.

19

Съдът е постановил, че понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС няма отражение върху това дали и при какви условия може да се наложи административно наказание съгласно член 83 от ОРЗД на администратор — юридическо лице, тъй като този въпрос е уреден изчерпателно в член 58, параграф 2 и член 83, параграфи 1—6 от Регламента (решение от 5 декември 2023 г., Deutsche Wohnen,C‑807/21, EU:C:2023:950, т. 53).

20

Всъщност това понятие е релевантно единствено за целите на определянето на размера на административното наказание, налагано на администратора съгласно член 83, параграфи 4—6 от ОРЗД (решение от 5 декември 2023 г., Deutsche Wohnen,C‑807/21, EU:C:2023:950, т. 54).

21

Препращането в съображение 150 от ОРЗД към понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС следва да се разбира именно в специфичния контекст на изчисляването на административните наказания, налагани за нарушенията по член 83, параграфи 4—6 от Регламента (решение от 5 декември 2023 г., Deutsche Wohnen,C‑807/21, EU:C:2023:950, т. 55).

22

В това отношение следва да се подчертае, че за целите на прилагането на правилата за конкуренция по членове 101 и 102 ДФЕС това понятие обхваща всеки субект, който извършва икономическа дейност, независимо от неговия правен статут и начин на финансиране. В този смисъл то обозначава стопанска единица, макар и от правна гледна точка тази стопанска единица да е съставена от няколко физически или юридически лица. Тази стопанска единица се състои в единна организация на персонални, материални и нематериални активи, която трайно преследва определена икономическа цел (решение от 5 декември 2023 г., Deutsche Wohnen,C‑807/21, EU:C:2023:950, т. 56 и цитираната съдебна практика).

23

В този смисъл от член 83, параграфи 4—6 от ОРЗД, който урежда изчисляването на административните наказания за изброените в тези параграфи нарушения, следва, че ако адресатът на административното наказание е предприятие или част от предприятие по смисъла на членове 101 и 102 ДФЕС, максималният размер на имуществената му санкция ще се изчислява като процент от общия годишен световен оборот на съответното предприятие за предходната финансова година (решение от 5 декември 2023 г., Deutsche Wohnen,C‑807/21, EU:C:2023:950, т. 57)

24

Определянето на този максимален размер обаче трябва да се разграничава от самото изчисляване на размера на имуществената санкция, която трябва да наложи надзорният орган, компетентен по конкретното(ите) нарушение(я) на ОРЗД, санкционирано(и) с тази имуществена санкция.

25

Така съгласно член 83, параграф 1 от ОРЗД всеки надзорен орган гарантира, че наложените административни наказания „глоба“ или „имуществена санкция“ в съответствие с този член 83 за извършени нарушения на ОРЗД, посочени в параграфи 4, 5 и 6, във всеки конкретен случай са ефективни, пропорционални и възпиращи.

26

Освен изпълнението на тези три условия, член 83, параграф 2 изисква от компетентния надзорен орган, когато решава дали да наложи наказание „глоба“ или „имуществена санкция“ и в какъв размер, да вземе надлежно предвид във всеки конкретен случай определен брой фактори.

27

Съгласно последната разпоредба сред тези фактори са в частност естеството, тежестта и продължителността на нарушението, броят на засегнатите субекти на данни и степента на причинената им вреда, това дали нарушението е извършено умишлено или по небрежност, действията, предприети от администратора или обработващия лични данни за смекчаване на последиците от претърпените вреди, степента на отговорност на администратора или обработващия лични данни и категориите засегнати лични данни.

28

Въпросните фактори характеризират било поведението на обвинения в нарушения на някои разпоредби на ОРЗД администратор или обработващ лични данни, било самите тези нарушения. Съответно предназначението им е да се гарантира, че всяко от въпросните нарушения се оценява въз основа на всички относими конкретни обстоятелства и че целите, преследвани с предвидената в ОРЗД санкционна система, са постигнати.

29

Макар във връзка с тези фактори да не се споменава понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, Съдът вече е постановил, че административното наказание е годно да изпълни трите условия, посочени в член 83, параграф 1 от ОРЗД, а именно да е едновременно ефективно, пропорционално и възпиращо, само ако размерът му, освен всички обстоятелства около констатираните нарушения на ОРЗД, отчита и действителните или обективни икономически възможности на адресата. За да се прецени изпълнението на тези условия, следва да се вземе предвид дали този адресат е част от предприятие по смисъла на членове 101 и 102 ДФЕС (вж. в този смисъл решение от 5 декември 2023 г., Deutsche Wohnen,C‑807/21, EU:C:2023:950, т. 58).

30

Тълкуването на член 83 от ОРЗД, което следва от точки 25—29 от настоящото решение, е приложимо и когато установените нарушения на ОРЗД се санкционират не с административно наказание „глоба“ или „имуществена санкция“, а с глоба или имуществена санкция, налагана от компетентните национални съдилища по наказателен ред.

31

Както се посочва в съображение 151 от ОРЗД, някои национални правни системи, сред които тази на Кралство Дания, не позволяват налагането на административни наказания „глоба“ или „имуществена санкция“, както предвижда ОРЗД.

32

За да се уреди тази хипотеза, член 83, параграф 9 от ОРЗД предвижда, че когато в правната система на държавата членка не са предвидени административни наказания „глоба“ или „имуществена санкция“, този член 83 може да се прилага по такъв начин, че както в случая, глобата или имуществената санкция да се инициира от компетентния назорен орган и да се налага от компетентните национални съдилища.

33

Освен това в член 83, параграф 9, както и в съображение 151 от този регламент се уточнява, че е необходимо въпросните правни средства за защита да са ефективни и да имат ефект, равностоен на налаганите от надзорните органи административни наказания „глоба“ или „имуществена санкция“ и че във всички случаи наложените глоби или имуществени санкции трябва да са ефективни, пропорционални и възпиращи.

34

Фактът обаче, че глобата или имуществената санкция се налага от наказателен съд в рамките на наказателно производство, означава, че този съд трябва във всеки един момент да спазва приложимите наказателноправни норми, сред които по-специално процесуалните права, от които се ползва обвиненото лице, и принципът на пропорционалност на наказанието, гарантирани с Хартата на основните права на Европейския съюз.

35

В това отношение, както генералният адвокат посочва в точка 74 от заключението си, член 83 от ОРЗД изисква компетентните надзорни органи да гарантират без изключение спазването на принципа на пропорционалност при изчисляването на действителния размер на налаганата имуществена санкция, осигурявайки справедлив баланс между нуждите на общия интерес от защита на личните данни и нуждите на защитата на правата на администратора, обработващия лични данни или предприятието, от което те са част. От това следва, че за прилагането на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС в контекста на член 83, параграфи 4—6 от ОРЗД не изглежда да има принципни пречки в хипотезите, когато нарушенията на ОРЗД се санкционират не с административно наказание „имуществена санкция“, а с имуществена санкция, налагана от наказателни съдилища.

36

С оглед на изложените по-горе съображения на поставените въпроси следва да се отговори, че член 83, параграфи 4—6 във връзка със съображение 150 от ОРЗД трябва да се тълкува в смисъл, че съдържащият се в тези разпоредби термин „предприятие“ съответства на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, така че когато на администратор на лични данни, който е предприятие или част от предприятие, се налага имуществена санкция за нарушение на ОРЗД, максималният ѝ размер се определя въз основа на процент от общия годишен световен оборот на предприятието за предходната финансова година. Понятието „предприятие“ трябва да се взема предвид и за да се преценят действителните или обективни икономически възможности на адресата на имуществената санкция и съответно да се провери дали същата е едновременно ефективна, пропорционална и възпираща.

37

С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (пети състав) реши:

Член 83, параграфи 4—6 във връзка със съображение 150 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните)

трябва да се тълкува в смисъл, че

съдържащият се в тези разпоредби термин „предприятие“ съответства на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС, така че когато на администратор на лични данни, който е предприятие или част от предприятие, се налага имуществена санкция за нарушение на Регламент 2016/679, максималният ѝ размер се определя въз основа на процент от общия годишен световен оборот на предприятието за предходната финансова година. Понятието „предприятие“ трябва да се взема предвид и за да се преценят действителните или обективни икономически възможности на адресата на имуществената санкция и съответно да се провери дали същата е едновременно ефективна, пропорционална и възпираща.