1.

Toto řízení o předběžné otázce poskytuje Soudnímu dvoru příležitost vyjádřit se k podmínkám, za nichž lze uložit správní pokutu právnické osobě z důvodu porušení nařízení (EU) 2016/679 ( 2 ).

2.

Zejména má být určeno:

3.

Bod 74 odůvodnění zní následovně:

„Měla by být stanovena odpovědnost správce za jakékoliv zpracování osobních údajů prováděné správcem nebo pro něj. Správce by měl být zejména povinen zavést vhodná a účinná opatření a být schopen doložit, že činnosti zpracování jsou v souladu s tímto nařízením, včetně účinnosti opatření. Tato opatření by měla zohledňovat povahu, rozsah, kontext a účely zpracování a riziko pro práva a svobody fyzických osob.“

4.

V bodě 150 odůvodnění je uvedeno:

„Aby byly posíleny a harmonizovány správní sankce za porušení tohoto nařízení, měl by každý dozorový úřad mít pravomoc uložit správní pokuty. V tomto nařízení by měly být uvedeny porušení a maximální hranice a kritéria pro stanovení souvisejících správních pokut, jež by měl v každém jednotlivém případě určit příslušný dozorový úřad při zohlednění všech příslušných okolností konkrétní situace s náležitým přihlédnutím zejména k povaze, závažnosti a době trvání tohoto porušení a k jeho důsledkům a opatřením přijatým v zájmu zajištění souladu s povinnostmi vyplývajícími z tohoto nařízení a v zájmu prevence či zmírnění důsledků tohoto porušení. Pro účely uložení správních pokut podniku by měl být podnik chápán ve smyslu článků 101 a 102 Smlouvy o fungování EU. […] K prosazování důsledného uplatňování správních pokut je možné využít rovněž mechanismus jednotnosti […]“.

5.

Článek 4 („Definice“) stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“.

6.

Článek 58 („Pravomoci“) v odstavci 2 stanoví:

„Každý dozorový úřad má všechny tyto vyšetřovací pravomoci:

[…]

[…]“.

7.

Článek 83 („Obecné podmínky pro ukládání správních pokut“) stanoví:

„1.   Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.

2.   Správní pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v čl. 58 odst. 2 písm. a) až h) a j). Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:

3.   Pokud správce nebo zpracovatel úmyslně či z nedbalosti u stejných nebo souvisejících operací zpracování poruší více ustanovení tohoto nařízení, nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení.

4.   Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 10000000 EUR, nebo jedná-li se o podnik, až do výše 2 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší […].

5.   Za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 20000000 EUR, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší:

[…]

6.   Za nesplnění příkazu dozorového úřadu podle čl. 58 odst. 2 lze v souladu s odstavcem 2 tohoto článku uložit správní pokuty až do výše 20000000 EUR, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí rozpočtový rok, podle toho, co je vyšší.

[…]

8.   Na výkon pravomocí dozorovým úřadem podle tohoto článku se vztahují vhodné procesní záruky v souladu s právem Unie a členského státu, včetně účinné soudní ochrany a spravedlivého procesu.

[…]“.

8.

Ustanovení § 9 odst. 1 stanoví, že jedná-li osoba jakožto a) orgán (nebo člen tohoto orgánu) zmocněný k zastupování právnické osoby, b) společník zmocněný k zastupování osobní společnosti s právní subjektivitou, nebo c) právní zástupce třetí osoby, použije se na ni jakýkoli zákon, podle něhož je možné uložení sankce odůvodněno úkoly, vztahy nebo zvláštními osobními okolnostmi, které se netýkají dané osoby, nýbrž osoby zastupované.

9.

Podle § 9 odst. 2 se výše uvedené použije i na případ vlastníka entity (podniku), jenž v částečném nebo úplném rozsahu pověří jinou osobu, aby tuto entitu vedla nebo aby na vlastní odpovědnost vykonávala úkoly, které náleží vlastníku.

10.

Ustanovení § 30 odst. 1 umožňuje uložit správní pokutu právnické osobě v případě, že se fyzická osoba, jež danou právnickou osobu zastupuje nebo řídí či nese odpovědnost za její správu, dopustila trestného činu nebo nesplnila povinnosti, které náleží právnické osobě.

11.

Podle § 30 odst. 4 uložení samostatné pokuty právnické osobě vyžaduje, aby nebylo zahájeno žádné řízení proti členovi orgánu nebo jednateli právnické osoby, nebo pokud takové řízení bylo zahájeno, aby bylo zastaveno.

12.

Ustanovení § 130 odst. 1 stanoví, že osoba, která jakožto vlastník entity či podniku úmyslně či z nedbalosti nepřijme opatření za účelem dozoru, jež jsou nezbytná k tomu, aby se v dané entitě nebo v daném podniku zabránilo nesplnění povinností, jež náleží jeho vlastníku a jejichž porušení je sankcionováno uložením trestu nebo pokuty, se dopustila přestupku, pokud se tomuto nesplnění povinnosti mohlo zamezit nebo bránit zavedením vhodných opatření za účelem dozoru, mezi něž patří jmenování, pečlivý výběr a sledování osob odpovědných za kontrolní činnost.

13.

Deutsche Wohnen SE (dále jen „Deutsche Wohnen“) je společnost podnikající v oblasti nemovitostí, která je kotovaná na burze a má sídlo v Berlíně (Německo). Prostřednictvím kapitálových účastí nepřímo drží kolem 163000 bytových jednotek a 3000 komerčních prostor.

14.

Vlastníky těchto jednotek a prostor jsou dceřiné společnosti Deutsche Wohnen („vlastnické společnosti“), které uskutečňují běžnou provozní činnost, zatímco Deutsche Wohnen se soustředí na ústřední řízení. Vlastnické společnosti pronajímají bytové jednotky a komerční prostory, jež jsou spravovány dalšími společnostmi skupiny, takzvanými servisními společnostmi.

15.

V rámci své podnikatelské činnosti Deutsche Wohnen a společnosti, které jsou součástí její skupiny, rovněž zpracovávají osobní údaje nájemců nemovitostí. V případě těchto údajů se jedná mj. o průkazy totožnosti, daňové údaje a údaje související se sociálním zabezpečením a zdravotním pojištěním, jakož i údaje týkající se předchozích nájemních vztahů.

16.

Dne 23. června 2017 Berliner Beauftragte für den Datenschutz (berlínská pověřenkyně pro ochranu osobních údajů, dále jen „správní orgán“) v rámci kontroly provedené na místě upozornila Deutsche Wohnen na skutečnost, že společnosti, které jsou součástí její skupiny, ukládají osobní údaje nájemců v elektronickém archivačním systému, u něhož nelze ověřit, zda je dané uložení nezbytné a zda je zaručeno, že dojde k výmazu údajů, které již nejsou nezbytné.

17.

Správní orgán vyzval Deutsche Wohnen, aby do konce roku 2017 vymazala z elektronického archivačního systému určité dokumenty.

18.

Deutsche Wohnen tak odmítla učinit s poukazem, že výmaz není možný z technických ani právních důvodů. Tato námitka byla projednána na schůzce Deutsche Wohnen se správním orgánem, na níž posledně jmenovaný orgán uvedl, že existují technická řešení výmazu těchto údajů. Následně proběhla komunikace, v níž Deutsche Wohnen uvedla, že má v úmyslu zavést nový systém, kterým nahradí dosavadní systém, s nímž správní orgán nesouhlasil.

19.

Dne 5. března 2020 správní orgán provedl kontrolu v ústředí skupiny daného podniku, při které bylo pořízeno celkem šestnáct vzorků uchovávaných údajů. Deutsche Wohnen správnímu orgánu sdělila, že sporný archivační systém již byl vyřazen z provozu a má být neprodleně provedena migrace dat do nového systému.

20.

Správní orgán uložil dne 30. října 2020 společnosti Deutsche Wohnen sankci za to, že

21.

Uložené pokuty dosáhly výše 14385000 eur za úmyslné porušení čl. 25 odst. 1 a čl. 5 odst. 1 písm. a), c) a e) GDPR, jakož i výše od 3000 do 17000 eur za patnáct porušení čl. 6 odst. 1 GDPR.

22.

Deutsche Wohnen napadla tyto sankce před Landgericht Berlin (zemský soud v Berlíně, Německo), který žalobě vyhověl.

23.

Staatsanwaltschaft Berlin (Státní zastupitelství v Berlíně, Německo) napadlo rozhodnutí přijaté v prvním stupni před Kammergericht Berlin (Vrchní zemský soud v Berlíně, Německo), který pokládá Soudnímu dvoru tyto předběžné otázky:

24.

Žádost o rozhodnutí o předběžné otázce byla zapsána do rejstříku Soudního dvora dne 23. prosince 2021.

25.

Písemná vyjádření předložily Deutsche Wohnen, německá, estonská a norská vláda, jakož i Evropská komise.

26.

Soudní dvůr vyzval dne 9. listopadu 2022 na základě čl. 101 odst. 1 jednacího řádu předkládající soud, aby upřesnil:

27.

Požadovaná vysvětlení byla zapsána v kanceláři Soudního dvora dne 11. ledna 2023.

28.

Jednání konaného dne 17. ledna 2023 se zúčastnili všichni, kdo předložili písemná vyjádření, jakož i vláda Nizozemska, Evropský parlament a Rada Evropské unie.

29.

Podstatou první otázky předkládajícího soudu je, zda je podle unijního práva namístě, aby byla právnické osobě uložena sankce za porušení GDPR, aniž je nutné toto porušení předem přičíst fyzické osobě.

30.

Předkládající soud upozornil nicméně ve své otázce na několik problematických hledisek:

31.

Předkládající soud tvrdí, že podle vnitrostátních právních předpisů lze podniku uložit sankci pouze v případě, že mu lze přičíst určitá porušení povinnosti spáchaná (pouze) členy jeho vedení, kteří jsou označováni jako „zástupci“ ( 5 ).

32.

Deutsche Wohnen a německá vláda jsou jiného mínění. Mají za to, že § 30 OWiG musí být vykládán ve spojení s § 9 a § 130 OWiG, s nimiž tvoří soudržnou úpravu sankcí. Podle této úpravy lze podniku uložit správní sankci, aniž je nutné zahájit řízení proti fyzické osobě, která jednala jménem podniku ( 6 ).

33.

Poté, co byl předkládající soud vyzván Soudním dvorem, aby se vyjádřil k případnému dopadu § 130 OWiG, odpověděl, že tento paragraf není pro první předběžnou otázku relevantní. Svůj postoj odůvodňuje následovně:

34.

Z těchto vysvětlení je zřejmé, že předkládající soud vychází v první ze svých předběžných otázek z toho, že na rozdíl od německé vlády chápe vnitrostátní právo v tom smyslu, že zavádí režim odpovědnosti právnických osob, který by mohl být s ohledem na své charakteristiky neslučitelný s unijním právem.

35.

Soudní dvůr musí vycházet z vnitrostátního právního rámce v té podobě, v jaké jej popisuje předkládající soud ( 7 ), který má pravomoc k výkladu svého vnitrostátního práva. Otázky týkající se výkladu unijního práva, jež položil vnitrostátní soud, musí být zodpovězeny s přihlédnutím ke skutkovému a právnímu rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat ( 8 ).

36.

První předběžnou otázkou se tedy budu zabývat ve světle výše uvedených předpokladů.

37.

Podle unijního práva nebrání nic tomu, aby se mělo za to, že se Deutsche Wohnen dopustila protiprávního jednání a současně je adresátem uložené sankce. Tato možnost je obecně obsažena v GDPR a byla konkrétně využita v projednávaném případě:

38.

Co se týče obecného hlediska, k tomu, aby byla potvrzena myšlenka, že právnické osobě může být přímo uložena sankce za porušení GDPR, jehož se dopustila, není zapotřebí širších úvah. Tuto myšlenku lze bez výkladových potíží vyvodit ze znění článků 4, 58 a 83 GDPR:

39.

Ze všech těchto ustanovení zcela přirozeně vyplývá, že podle GDPR může mezi možné přímé adresáty správních pokut vyplývajících z vlastního porušení povinnosti patřit právnická osoba ( 12 ). Stejně přirozeně postupují i vnitrostátní orgány příslušné v této oblasti, které neváhají trestat ukládáním někdy i velmi vysokých pokut právnické osoby porušující GDPR ( 13 ).

40.

Co se týče konkrétního hlediska, znovu opakuji, že úřad pro ochranu osobních údajů vyzval Deutsche Wohnen jakožto správce k tomu, aby vymazala ze svých archivačních systémů některé osobní údaje nájemců, a zmíněný podnik na tuto výzvu po určitou dobu nereagoval, a to do okamžiku, kdy změnil své systémy uchovávání údajů.

41.

Podle předkládajícího soudu vnitrostátní právo stanoví, že podniku může být uložena přímá sankce za porušení GDPR, pouze pokud byla předběžně konstatována odpovědnost fyzické osoby. Vyplývá to z § 30 OWiG: podnikům lze uložit pokuty pouze v případě, že jim lze přičíst určitá porušení povinnosti, jichž se dopustili členové jejich vedení, kteří jsou označováni jako „zástupci“, a k tomu je nezbytné, aby zástupce z hlediska naplnění skutkové podstaty protiprávně a zaviněně porušil normu sankcionovanou peněžitou sankcí ( 14 ).

42.

Na námitku německé vlády, která se dovolává § 130 OWiG, aby napadla výklad podaný předkládajícím soudem, reagoval předkládající soud způsobem, který jsem již popsal výše v souvislosti s přepisem odpovědi, kterou zmíněný soud poskytl Soudnímu dvoru ( 15 ). V zásadě tvrdí, že ochrana právních zájmů, kterou poskytuje toto ustanovení, je velmi úzká v porovnání s režimem odpovědnosti vyplývajícím z článků 101 a 102 SFEU.

43.

Pravidlo předchozího prohlášení odpovědnosti fyzické osoby, na nějž upozorňuje předkládající soud, se však nepoužije, pokud by byl v čl. 83 odst. 4 až 6 GDPR zohledněn pojem „funkční pojem podniku“, který je vyjádřen v článcích 101 a 102 SFEU, a to jeho provedením do vnitrostátního práva.

44.

Ustanovení čl. 83 odst. 4 až 6 GDPR se týkají určení výše sankcí ukládaných za porušení GDPR, jež jsou v nich vyjmenována. Tyto tři odstavce konkrétně stanoví, že sankcionovaným subjektem může být „podnik“.

45.

Právě v těchto souvislostech musí být chápán odkaz na podnik ve smyslu článků 101 a 102 SFEU, který je uveden v bodě 150 odůvodnění GDPR. Je třeba připomenout, že podle Soudního dvora se „unijní právo v oblasti hospodářské soutěže […] vztahuje na činnosti podniků a pojem ‚podnik‘ zahrnuje jakoukoli jednotku vykonávající hospodářskou činnost nezávisle na právním postavení této jednotky a způsobu jejího financování“ ( 16 ).

46.

Vzhledem k tomu, že maximální výše pokut ukládaných za porušení GDPR odpovídá v případě podniků, které jsou správci nebo zpracovateli, určitému procentnímu podílu z „celkového ročního obratu celosvětově za předchozí finanční rok“, způsob určení této výše nemůže vycházet z formální právní subjektivity dané společnosti, nýbrž z pojmu „hospodářská jednotka“ ve výše popsaném smyslu.

47.

Je tomu tak proto, že podle čl. 83 odst. 1 GDPR je nutné, aby správní pokuty stanovené v odstavcích 4 až 6 tohoto článku byly „účinné, přiměřené a odrazující“. Těmto třem charakteristikám může odpovídat pouze pokuta, jejíž výše je určena podle skutečných hospodářských či materiálních schopností jejího adresáta. Při výpočtu výše sankce je tedy zapotřebí řídit se spíše hmotněprávním či hospodářským pojmem „podnik“ než pojmem striktně formálním.

48.

Pro určení výše pokut ukládaných za porušení GDPR tedy evropský normotvůrce zvolil faktickou či hmotněprávní definici pojmu „podnik“, která je typická pro právo hospodářské soutěže ( 17 ). Současně je však třeba zdůraznit, že zmíněný pojem je v GDRP použit výlučně pro výše uvedené účely.

49.

V projednávané věci by tedy pojem „podnik“, který je stanoven v článcích 101 a 102 SFEU, mohl být relevantní pro určení výše pokuty, která by mohla být uložena společnosti Deutsche Wohnen. Otázka, zda bude posledně jmenované společnosti přisouzeno postavení sankcionovaného subjektu (nebo přesněji subjektu, který se dopustil porušení povinnosti), však jako taková nezávisí na použití dvou výše zmíněných článků SFEU.

50.

Výše uvedené nebrání tomu, aby byly obecné zásady upravující sankční režim práva hospodářské soutěže (jehož podrobný výklad již Soudní dvůr podal) obdobně použity i v oblasti odpovědnosti právnických osob za porušení povinnosti v oblasti ochrany osobních údajů ( 18 ).

51.

Je vnitrostátní právní úprava, která podmiňuje ukládání správních sankcí právnickým osobám tím, že bylo předtím zahájeno řízení proti fyzické osobě, slučitelná s GDPR?

52.

Povaha GDPR je podle článku 288 SFEU určena nejen obecnou působností tohoto nařízení, ale i jeho závazností a přímou použitelností ve všech členských státech. Tyto charakteristiky by ztratily smysl, pokud by bylo členským státům povoleno odchýlit se od konečného znění jednotlivých ustanovení, která do GDPR vložil unijní normotvůrce.

53.

Je pravda, že některá z ustanovení GDPR poskytují vzhledem ke zvláštní povaze a k vlastnostem cíle, který sledují, členským státům určitý prostor k uvážení, v rámci něhož mohou zachovat či zavést vnitrostátní předpisy za účelem dále konkretizovat některá z nich. Platí to například:

54.

Tento prostor k uvážení, jenž náleží členským státům a jenž se stal na jednání předmětem diskuse, nelze podle mého názoru rozšířit natolik, aby byla omezena přičitatelnost právnické osobě v té podobě, v jaké vyplývá podle předkládajícího soudu z § 30 OWiG.

55.

Takové přizpůsobení režimu odpovědnosti právnických osob by umožnilo, aby byla z působnosti režimu ukládání sankcí, jejž zavádí GDPR, vyňata ta porušení povinnosti, jež musí být podle tohoto nařízení přičtena právnické osobě jednající jakožto správce nebo zpracovatel. Tato situace by nastala, pokud by se tohoto porušení povinnosti neúčastnily fyzické osoby, které zastupují, řídí nebo spravují právnickou osobu.

56.

Je třeba znovu zopakovat, že pokud může právnická osoba vystupovat jakožto správce a v tomto postavení se dopustit porušení GDPR, které jí může být přičteno, použití § 30 OWiG by mohlo vést k oslabení nebo neopodstatněnému omezení rozsahu jednání, za něž může být uložena sankce, což se neslučuje s obecnou myšlenkou samotného GDPR.

57.

Právnická osoba, která může být považována za správce nebo zpracovatele, musí z hlediska ukládání sankcí nést následky porušení GDPR, jehož se dopustili nejen její zástupci, vedoucí představitelé či správci, ale i fyzické osoby (myšleno v širokém slova smyslu) jednající v rámci vymezeném podnikatelskou činností dané právnické osoby a pod jejím dohledem.

58.

Tyto fyzické osoby ve skutečnosti kopírují a naplňují vůli dané právnické osoby a dávají jí podobu jednotlivých konkrétních aktů. Tyto zvláštní akty představují konkrétní vyjádření oné vůle, a jsou proto s konečnou platností přičitatelné dané právnické osobě.

59.

Jedná se tudíž o fyzické osoby, které sice nejsou skutečnými zástupci právnické osoby, avšak jsou při svém jednání podřízeny těm, kdo pro zastupování dané právnické osoby nezajistili dostatečný dohled či kontrolu ve vztahu k prvně jmenovaným osobám. V konečném důsledku vede přičitatelnost přímo k právnické osobě, neboť pokud se porušení povinnosti dopustil zaměstnanec jednající z pověření řídících orgánů této právnické osoby, znamená to, že došlo k selhání systému kontroly a dohledu, za nějž nesou tyto orgány přímou odpovědnost.

60.

Výše uvedené vychází ze způsobu, jakým vnitrostátní právo vykládá předkládající soud. Německá vláda však tvrdí, že použití § 9 OWiG ve spojení s § 30 a § 130 OWiG utváří systém, v rámci něhož mohou být ukládány sankce za porušení přičitatelná právnické osobě, jichž se dopustily fyzické osoby, jež nejsou pověřeny řízením ani zastupováním dané právnické osoby, aniž je nutné tyto osoby identifikovat ( 21 ).

61.

Jak jsem již uvedl výše, je věcí předkládajícího soudu, aby podal výklad ustanovení svého vnitrostátního práva. Otázku, zda je podle vnitrostátní judikatury a právní nauky, jichž se dovolává německá vláda ( 22 ), v případě těchto ustanovení možný takový výklad vnitrostátního práva, který je v souladu s požadavky kladenými unijním právem, musí vyřešit vnitrostátní soudy.

62.

Pokud by byl tento výklad contra legem a pokud by bylo s ohledem na zvláštní strukturu vnitrostátního systému ukládání sankcí nemožné zajistit, že budou v této oblasti v plném rozsahu používána pravidla obsažená v GDPR, předkládající soud by musel vyloučit používání vnitrostátního právního předpisu neslučitelného s unijním právem, aby zaručil přednost GDPR.

63.

Předkládající soud si přeje zjistit, zda je podle čl. 83 odst. 4 až 6 GDPR „nutné, aby se podnik prostřednictvím zaměstnance zaviněně dopustil protiprávního jednání […], nebo pro účely uložení pokuty podniku v zásadě postačuje již objektivní porušení povinnosti (strict liability), které mu lze přičíst“ ( 23 ).

64.

Takto formulovaná otázka má hypotetickou povahu, což ji činí nepřípustnou, a to ze dvou důvodů.

65.

Zaprvé z předkládacího rozhodnutí vyplývá, že společnosti Deutsche Wohnen byla uložena sankce za zaviněné (úmyslné) jednání a nikoli za pouhé „objektivní porušení povinnosti“ vyplývající z GDPR. Z výše uvedeného popisu skutečností je zřejmé, že zmíněný podnik vědomě a úmyslně nevyhověl výzvě úřadu pro ochranu osobních údajů a pokračoval ve vytýkaném zpracování údajů. Pro tuto kvalifikaci je irelevantní, že poukázal na různé technické a právní problémy související se změnou jeho systémů zpracování údajů.

66.

Zadruhé poté, co byl předkládající soud vyzván Soudním dvorem, aby upřesnil svou otázku, sdělil, že soud prvního stupně není vázán výroky obsaženými v rozhodnutí o uložení sankce a zmíněný soud by se mohl v budoucnosti vyjádřit k důvodům žaloby, jíž byla sankce napadena. Pokud by dospěl k závěru, že došlo k porušení povinnosti, bude nutné určit, o jaký druh pochybení šlo, což bude záviset na způsobu, jakým bude zodpovězena tato druhá předběžná otázka.

67.

Vycházíme-li z tohoto upřesnění, znovu se prokazuje hypotetická povaha druhé předběžné otázky: posouzení týkající se kvalifikace daného jednání není nezbytné pro vyřešení sporu probíhajícího před předkládajícím soudem, ale jen pro případné vrácení věci k soudu prvního stupně, pokud by se k ní měl v budoucnu vyjádřit.

68.

Každopádně a pro případ, že by se Soudní dvůr rozhodl zabývat se věcí samou, mám za to, že odpověď na tuto otázku nezávisí na výkladu čl. 83 odst. 4 až 6, jejichž předmětem je určení výše správních pokut.

69.

Předkládající soud rozlišuje mezi: a) porušením povinnosti, jehož se dopustil zaměstnanec právnické osoby, a b) účastí právnické osoby na tomto porušení povinnosti, ať již úmyslně či z nedbalosti.

70.

Mám za to, že „porušení povinnosti, jehož se dopustil zaměstnanec“, představuje ve skutečnosti a v souladu s tím, co již bylo uvedeno výše v souvislosti s první otázkou, porušení povinnosti, jehož se dopustila právnická osoba, z jejíhož pověření zaměstnanec jednal.

71.

Pokud bude tedy tato otázka správně formulována, bude se týkat možného uložení sankce právnické osobě za objektivní nesplnění povinností (bez viny), které jí náleží jakožto správci nebo zpracovateli.

72.

Užitečným vodítkem pro zodpovězení této otázky může být judikatura Evropského soudu pro lidská práva (ESLP) ve spojení se zásadou legality trestných činů a trestů, kterou zaručuje článek 7 Evropské úmluvy o ochraně lidských práv a základních svobod (EÚLP).

73.

Přestože EÚLP nepředstavuje právní nástroj, jenž by byl formální součástí unijního právního řádu, a to z důvodu, že Unie k této úmluvě nepřistoupila, základní práva, která jsou zaručena touto úmluvou, tvoří obecné zásady práva Unie (čl. 6 odst. 3 SEU).

74.

Soudní dvůr prohlásil, že „[č]lánek 52 odst. 3 Listiny, jenž uvádí, že práva obsažená v této Listině, která odpovídají právům zaručeným EÚLP, mají stejný smysl a stejný rozsah jako ty, jež jim přikládá uvedená úmluva, má mimoto zajistit nezbytný soulad mezi těmito právy, aniž je narušena autonomie unijního práva a Soudního dvora“ ( 24 ).

75.

Judikatura ESLP poskytuje v oblasti výkladu článku 7 EÚLP určitá, byť ne zcela soudržná upřesnění:

76.

Pokud by se však dogmatické kategorie trestního práva (nulla poena sine culpa) přenesly do správního práva, za účelem jejich použití v oblasti ukládání sankcí, vznikly by závažné problémy týkající se výkladu. Pojem „vina“ (ve smyslu nedbalosti) se totiž může vztahovat i na případy pouhého nedodržení právního ustanovení, pokud by pachateli tohoto nedodržení náležela povinnost vědět, jaké jednání je od něj požadováno.

77.

Z tohoto hlediska by se mohlo stát, že různé podoby viny, včetně těch závažnějších, jakož i jednotlivé možnosti obvinění (například culpa in vigilando nebo in eligendo) by mohly být považovány za jednání, které by z jiného úhlu pohledu mohl některý soud považovat za případy objektivní odpovědnosti. Ve správním právu v oblasti sankcí nejsou tedy hranice mezi oběma těmito kategoriemi tak zřetelné, jak by se mohlo usuzovat z předkládacího rozhodnutí.

78.

Je pravda, že co se týče unijního práva, Soudní dvůr v některých případech připustil režim, jemuž přiznal kvalifikaci režimu objektivní odpovědnosti v oblasti sankcí. Učinil tak například v rozsudku ze dne 22. března 2017, Euro-Team a Spirál-Gép, v němž prohlásil:

79.

Výše citovaná judikatura byla nicméně vydána v jiných oblastech, než je ochrana osobních údajů, a sice v souvislosti s nesplněním povinností jednat, jejichž smysl byl spíše formální: jednalo se o sankce uložené za užití úseku dálnice bez úhrady mýtného v předepsané výši ( 29 ) nebo za nedodržení ustanovení o používání záznamového listu záznamového zařízení nákladního vozidla ( 30 ).

80.

Co se týče povinností, jež stanoví GDPR – a mezi něž patří i povinnosti související se zpracováním údajů (článek 5 GDPR) a se zákonností tohoto zpracování (článek 6 GDPR) –, zjištění jejich splnění představuje proces hodnocení a posuzování, který svou složitostí přesahuje pouhé zjištění formálního nesplnění.

81.

V každém případě mám za to, že článek 83 GDPR potvrzuje vyloučení režimu objektivní odpovědnosti (bez viny) z oblasti sankcí, což znamená, že tento článek požaduje, aby byl v jednání, za něž může být uložena sankce, přítomen úmysl či nedbalost. Tento závěr vyplývá podle mého mínění z několika odstavců zmíněného článku:

82.

Výše uvedené tvrzení by mohlo být neodůvodněné v případě, že by neexistence výslovných ustanovení, jež by se v GDPR týkala tohoto hlediska, vedla k tomu, že by měly členské státy možnost rozhodnout se mezi systémem subjektivní odpovědnosti (existence úmyslu či nedbalosti) a systémem zahrnujícím i objektivní odpovědnost, na což upozorňují i některé z vlád, které se účastní tohoto řízení.

83.

Připouštím, že postoj těchto vlád má určitou argumentační váhu: vzhledem k tomu, že úmysl či nedbalost nepředstavují podle čl. 83 odst. 2 GDPR nevyhnutelné (základní) prvky protiprávního jednání jako takového, nýbrž pouze faktory zohledňované při určení výše pokuty, toto ustanovení ponechává členským státům možnost upravit tyto základní prvky protiprávního jednání podle jejich svobodné vůle.

84.

Stejně jako Komise se však domnívám, že správný výklad systému ukládání sankcí, jejž zavedlo GDPR a jenž má být zcela nepochybně přímo použitelný, vyžaduje, aby existovalo jednotné a soudržné řešení ( 33 ) pro všechny členské státy, namísto toho, aby mohl každý z nich sám rozhodnout, zda mají být porušení, za něž lze uložit sankci, rozšířena i o porušení, jež nebyla způsobena úmyslně či z nedbalosti.

85.

Ve prospěch nezbytnosti jednotného řešení (a nevhodnosti jeho roztříštění na jednotlivé postupy) hovoří podle mého mínění i body odůvodnění GDPR, jejichž znění předkládající soud uvádí ve své žádosti o rozhodnutí o předběžné otázce a v nichž je kladen důraz na nutnost rovnocenných sankcí za porušování ( 34 ). Tato rovnocennost by neexistovala, pokud by bylo každému z členských států umožněno přikládat porušením různou povahu a připustit i ta porušení, jež spočívají v prostém objektivním porušení povinnosti a postrádají jakýkoli prvek úmyslného jednání či nedbalosti.

86.

S ohledem na výše uvedené skutečnosti navrhuji, aby Soudní dvůr odpověděl Kammergericht Berlin (Vrchní zemský soud v Berlíně, Německo) takto:

„Článek 58 odst. 2 písm. i) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), ve spojení s čl. 4 bodem 7) a s článkem 83 téhož nařízení

musí být vykládáno v tom smyslu, že

právnické osobě, která je správcem, může být uložena správní pokuta, aniž je předem prohlášena existence porušení povinnosti, jehož se dopustila alespoň jedna konkrétní fyzická osoba z pověření zmíněné právnické osoby.

Na základě nařízení 2016/679 mohou být uloženy správní pokuty pouze pod podmínkou, že jednání zakládající porušení, za nějž se tato sankce ukládá, má úmyslnou nebo nedbalostní povahu“.