ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (τμήμα μείζονος συνθέσεως)

της 5ης Δεκεμβρίου 2023 ( *1 )

«Προδικαστική παραπομπή – Προστασία των προσωπικών δεδομένων – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 4, σημείο 7 – Έννοια του όρου “υπεύθυνος επεξεργασίας” – Άρθρο 58, παράγραφος 2 – Εξουσίες των εποπτικών αρχών να επιβάλλουν διορθωτικά μέτρα – Άρθρο 83 – Επιβολή διοικητικών προστίμων σε νομικό πρόσωπο – Προϋποθέσεις – Περιθώριο χειρισμού των κρατών μελών – Απαίτηση να έχει διαπραχθεί η παράβαση εκ προθέσεως ή εξ αμελείας»

Στην υπόθεση C‑807/21,

με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Kammergericht Berlin (εφετείο Βερολίνου, Γερμανία) με απόφαση της 6ης Δεκεμβρίου 2021, η οποία περιήλθε στο Δικαστήριο στις 21 Δεκεμβρίου 2021, στο πλαίσιο της δίκης

Deutsche Wohnen SE

κατά

Staatsanwaltschaft Berlin,

ΤΟ ΔΙΚΑΣΤΗΡΙΟ (τμήμα μείζονος συνθέσεως),

συγκείμενο από τους K. Lenaerts, Πρόεδρο, L. Bay Larsen, Αντιπρόεδρο, A. Arabadjiev, Κ. Λυκούργο, E. Regan, T. von Danwitz, Z. Csehi, O. Spineanu-Matei, Z. Csehi, προέδρους τμήματος, M. Ilešič, J.‑C. Bonichot, L. S. Rossi, A. Kumin, N. Jääskinen (εισηγητή), N. Wahl και M. Gavalec, δικαστές,

γενικός εισαγγελέας: M. Campos Sánchez-Bordona

γραμματέας: D. Dittert, προϊστάμενος μονάδας,

έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 17ης Ιανουαρίου 2023,

λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:

–	η Deutsche Wohnen SE, εκπροσωπούμενη από τους O. Geiss, K. Mertens, N. Venn και T. Wybitul, Rechtsanwälte,

–	η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τους J. Möller και P.‑L. Krüger,

–	η Εσθονική Κυβέρνηση, εκπροσωπούμενη από τη M. Kriisa,

–	η Ολλανδική Κυβέρνηση, εκπροσωπούμενη από την C. S. Schillemans,

–	η Νορβηγική Κυβέρνηση, εκπροσωπούμενη από τις L.‑M. Moen Jünge, M. Munthe-Kaas και T. Westhagen Edell,

–	το Ευρωπαϊκό Κοινοβούλιο, εκπροσωπούμενο από τις G. C. Bartram και P. López‑Carceller,

–	το Συμβούλιο της Ευρωπαϊκής Ένωσης, εκπροσωπούμενο από τους J. Bauerschmidt και K. Pleśniak,

–	η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, F. Erlbacher, H. Kranenborg και G. Meessen,

αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 27ης Απριλίου 2023,

εκδίδει την ακόλουθη

Απόφαση

Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 83, παράγραφοι 4 έως 6, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικό ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ).

Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της Deutsche Wohnen SE (στο εξής: DW) και της Staatsanwaltschaft Berlin (εισαγγελίας Βερολίνου, Γερμανία) σχετικά με διοικητικό πρόστιμο που επιβλήθηκε στην DW, κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, για παράβαση του άρθρου 5, παράγραφος 1, στοιχεία αʹ, γʹ και εʹ, του άρθρου 6 και του άρθρου 25, παράγραφος 1, του κανονισμού αυτού.

Το νομικό πλαίσιο

Το δίκαιο της Ένωσης

Οι αιτιολογικές σκέψεις 9, 10, 11, 13, 74, 129 και 150 του ΓΚΠΔ έχουν ως εξής:

«(9)

[…] Διαφορές στο επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων, ιδίως του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα, όσον αφορά την επεξεργασία των δεδομένων προσωπικού χαρακτήρα στα κράτη μέλη, ενδέχεται να εμποδίζουν την ελεύθερη κυκλοφορία δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την [Ευρωπαϊκή] Ένωση. Επομένως, οι διαφορές αυτές μπορεί να συνιστούν εμπόδιο για την άσκηση οικονομικών δραστηριοτήτων στο επίπεδο της Ένωσης, να στρεβλώνουν τον ανταγωνισμό και να εμποδίζουν τις αρχές στην εκτέλεση των αρμοδιοτήτων τους, όπως αυτές απορρέουν από το δίκαιο της Ένωσης. […]

(10)

Για τη διασφάλιση συνεκτικής και υψηλού επιπέδου προστασίας των φυσικών προσώπων και την άρση των εμποδίων στις ροές δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης, το επίπεδο προστασίας των δικαιωμάτων και των ελευθεριών των φυσικών προσώπων σε σχέση με την επεξεργασία των εν λόγω δεδομένων θα πρέπει να είναι ισοδύναμο σε όλα τα κράτη μέλη. Θα πρέπει να διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση. Όσον αφορά την επεξεργασία δεδομένων προσωπικού χαρακτήρα που γίνεται προς συμμόρφωση με νομική υποχρέωση, προς εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας, τα κράτη μέλη θα πρέπει να έχουν τη δυνατότητα να διατηρούν ή να θεσπίζουν εθνικές διατάξεις για τον περαιτέρω προσδιορισμό της εφαρμογής των κανόνων του παρόντος κανονισμού. […] Ο παρών κανονισμός παρέχει επίσης περιθώρια χειρισμού στα κράτη μέλη, ώστε να εξειδικεύσουν τους κανόνες του, συμπεριλαμβανομένων αυτών που αφορούν την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα […]. Σε αυτόν τον βαθμό, ο παρών κανονισμός δεν αποκλείει το δίκαιο των κρατών μελών να προσδιορίζει τις περιστάσεις ειδικών καταστάσεων επεξεργασίας, μεταξύ άλλων τον ακριβέστερο καθορισμό των προϋποθέσεων υπό τις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη.

(11)

Η αποτελεσματική προστασία των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση απαιτεί την ενίσχυση και τον λεπτομερή καθορισμό των δικαιωμάτων των υποκειμένων των δεδομένων, καθώς και των υποχρεώσεων όσων επεξεργάζονται και καθορίζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα, καθώς και των αντίστοιχων εξουσιών παρακολούθησης και διασφάλισης της συμμόρφωσης προς τους κανόνες προστασίας των δεδομένων προσωπικού χαρακτήρα και των αντίστοιχων κυρώσεων για τις παραβιάσεις στα κράτη μέλη.

[…]

(13)

Για να διασφαλιστεί συνεκτικό επίπεδο προστασίας των φυσικών προσώπων σε ολόκληρη την Ένωση και προς αποφυγή αποκλίσεων που εμποδίζουν την ελεύθερη κυκλοφορία των δεδομένων προσωπικού χαρακτήρα στην εσωτερική αγορά, απαιτείται κανονισμός ο οποίος θα κατοχυρώνει την ασφάλεια δικαίου και τη διαφάνεια για τους οικονομικούς παράγοντες, περιλαμβανομένων των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων, και θα προβλέπει για τα φυσικά πρόσωπα σε όλα τα κράτη μέλη το ίδιο επίπεδο νομικά εκτελεστών δικαιωμάτων και υποχρεώσεων, καθώς και ευθυνών για τους υπευθύνους επεξεργασίας και τους εκτελούντες την επεξεργασία, ώστε να διασφαλιστεί η συνεκτική παρακολούθηση της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, καθώς και οι ισοδύναμες κυρώσεις σε όλα τα κράτη μέλη και η αποτελεσματική συνεργασία μεταξύ των εποπτικών αρχών των διάφορων κρατών μελών. […]

[…]

(74)

Θα πρέπει να θεσπιστεί ευθύνη και υποχρέωση αποζημίωσης του υπευθύνου επεξεργασίας για οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα που γίνεται από τον υπεύθυνο επεξεργασίας ή για λογαριασμό του υπευθύνου επεξεργασίας. Ειδικότερα, ο υπεύθυνος επεξεργασίας θα πρέπει να υποχρεούται να υλοποιεί κατάλληλα και αποτελεσματικά μέτρα και να είναι σε θέση να αποδεικνύει τη συμμόρφωση των δραστηριοτήτων επεξεργασίας με τον παρόντα κανονισμό, συμπεριλαμβανομένης της αποτελεσματικότητας των μέτρων. Τα εν λόγω μέτρα θα πρέπει να λαμβάνουν υπόψη τη φύση, το πλαίσιο, το πεδίο εφαρμογής και τους σκοπούς της επεξεργασίας και τον κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων.

[…]

(129)

Για να διασφαλιστεί ομοιόμορφη παρακολούθηση και επιβολή του παρόντος κανονισμού σε ολόκληρη την Ένωση, οι εποπτικές αρχές θα πρέπει να έχουν σε κάθε κράτος μέλος τα ίδια καθήκοντα και τις ίδιες πραγματικές εξουσίες, μεταξύ των οποίων εξουσίες διερεύνησης, διορθωτικές εξουσίες και κυρώσεις […] Ιδίως, κάθε μέτρο θα πρέπει να είναι κατάλληλο, αναγκαίο και αναλογικό, ώστε να διασφαλίζει συμμόρφωση με τον παρόντα κανονισμό, λαμβάνοντας υπόψη τις περιστάσεις κάθε ατομικής περίπτωσης, να σέβεται το δικαίωμα ακρόασης κάθε προσώπου προτού ληφθεί μεμονωμένο μέτρο εις βάρος του και να μην προκαλεί περιττά έξοδα και υπέρμετρες επιβαρύνσεις για τα ενδιαφερόμενα πρόσωπα. Οι ερευνητικές εξουσίες όσον αφορά πρόσβαση σε εγκαταστάσεις θα πρέπει να ασκούνται σύμφωνα με τις ειδικές απαιτήσεις του δικονομικού δικαίου του κράτους μέλους, όπως η απαίτηση έκδοσης προηγούμενης δικαστικής έγκρισης. Κάθε νομικά δεσμευτικό μέτρο της εποπτικής αρχής θα πρέπει να υποβάλλεται γραπτώς, να είναι σαφές και αδιαμφισβήτητο, να αναφέρει την εποπτική αρχή που το εξέδωσε, την ημερομηνία έκδοσής του, να φέρει την υπογραφή του προϊσταμένου ή μέλους της εποπτικής αρχής εξουσιοδοτημένου εκ μέρους του, να αναφέρει τους λόγους για τη λήψη του μέτρου και το δικαίωμα πραγματικής προσφυγής. Τούτο δεν θα πρέπει να αποκλείει τη δυνατότητα πρόσθετων απαιτήσεων σύμφωνα με το δικονομικό δίκαιο του κράτους μέλους. […]

[…]

(150)

Για την ενίσχυση και την εναρμόνιση των διοικητικών ποινών κατά παραβάσεων του παρόντος κανονισμού, κάθε εποπτική αρχή θα πρέπει να έχει την εξουσία να επιβάλλει διοικητικά πρόστιμα. Ο παρών κανονισμός θα πρέπει να υποδεικνύει τις παραβιάσεις, και το ανώτατο όριο και τα κριτήρια για τον καθορισμό των σχετικών διοικητικών προστίμων, τα οποία θα πρέπει να καθορίζονται από την αρμόδια εποπτική αρχή σε κάθε μεμονωμένη περίπτωση, αφού ληφθούν υπόψη όλες οι συναφείς περιστάσεις της συγκεκριμένης κατάστασης, με τη δέουσα προσοχή ειδικότερα στη φύση, τη βαρύτητα και τη διάρκεια της παράβασης και στις συνέπειές της και τα μέτρα που λαμβάνονται για τη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις που απορρέουν από τον παρόντα κανονισμό και για την πρόληψη ή τον μετριασμό των συνεπειών της παράβασης. Σε περίπτωση που τα διοικητικά πρόστιμα επιβάλλονται σε επιχείρηση, μια επιχείρηση θα πρέπει να νοείται επιχείρηση σύμφωνα με τα άρθρα 101 και 102 ΣΛΕΕ για τους σκοπούς αυτούς. […]»

Κατά το άρθρο 4 του κανονισμού:

«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:

[…]

“υπεύθυνος επεξεργασίας”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα· όταν οι σκοποί και ο τρόπος της επεξεργασίας αυτής καθορίζονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους, ο υπεύθυνος επεξεργασίας ή τα ειδικά κριτήρια για τον διορισμό του μπορούν να προβλέπονται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους,

8)	“εκτελών την επεξεργασία”: το φυσικό ή νομικό πρόσωπο, η δημόσια αρχή, η υπηρεσία ή άλλος φορέας που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου της επεξεργασίας,

[…]

18)	“επιχείρηση”: φυσικό ή νομικό πρόσωπο που ασκεί οικονομική δραστηριότητα, ανεξάρτητα από τη νομική του μορφή, περιλαμβανομένων των προσωπικών εταιρειών ή των ενώσεων που ασκούν τακτικά οικονομική δραστηριότητα,

[…]».

Το άρθρο 58 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Εξουσίες», ορίζει στις παραγράφους 2 και 4 τα εξής:

«Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες:

α)	να απευθύνει προειδοποιήσεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία ότι σκοπούμενες πράξεις επεξεργασίας είναι πιθανόν να παραβαίνουν διατάξεις του παρόντος κανονισμού,

β)	να απευθύνει επιπλήξεις στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία όταν πράξεις επεξεργασίας έχουν παραβεί διατάξεις του παρόντος κανονισμού,

[…]

δ)	να δίνει εντολή στον υπεύθυνο επεξεργασίας ή στον εκτελούντα την επεξεργασία να καθιστούν τις πράξεις επεξεργασίας σύμφωνες με τις διατάξεις του παρόντος κανονισμού, εάν χρειάζεται, με συγκεκριμένο τρόπο και εντός ορισμένης προθεσμίας,

[…]

στ)	να επιβάλλει προσωρινό ή οριστικό περιορισμό, περιλαμβανομένης της απαγόρευσης της επεξεργασίας,

[…]

θ)	να επιβάλλει διοικητικό πρόστιμο δυνάμει του άρθρου 83, επιπλέον ή αντί των μέτρων που αναφέρονται στην παρούσα παράγραφο, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης,

[…]

4. Η άσκηση εκ μέρους εποπτικής αρχής των εξουσιών της δυνάμει του παρόντος άρθρου υπόκειται στις δέουσες εγγυήσεις, περιλαμβανομένης της άσκησης πραγματικής δικαστικής προσφυγής και της τήρησης της προσήκουσας διαδικασίας, όπως προβλέπονται στο δίκαιο της Ένωσης και το δίκαιο των κρατών μελών σύμφωνα με τον [Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης].»

Το άρθρο 83 του ίδιου κανονισμού, το οποίο επιγράφεται «Γενικοί όροι επιβολής διοικητικών προστίμων», προβλέπει τα εξής:

«1. Κάθε εποπτική αρχή μεριμνά ώστε η επιβολή διοικητικών προστίμων σύμφωνα με το παρόν άρθρο έναντι παραβάσεων του παρόντος κανονισμού που αναφέρονται στις παραγράφους 4, 5 και 6 να είναι για κάθε μεμονωμένη περίπτωση αποτελεσματική, αναλογική και αποτρεπτική.

2. Τα διοικητικά πρόστιμα, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης, επιβάλλονται επιπρόσθετα ή αντί των μέτρων που αναφέρονται στο άρθρο 58 παράγραφος 2 στοιχεία α) έως η) και στο άρθρο 58 παράγραφος 2 στοιχείο ι). Κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος του διοικητικού προστίμου για κάθε μεμονωμένη περίπτωση, λαμβάνονται δεόντως υπόψη τα ακόλουθα:

α)	η φύση, η βαρύτητα και η διάρκεια της παράβασης, λαμβάνοντας υπόψη τη φύση, την έκταση ή τον σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και τον βαθμό ζημίας που υπέστησαν,

β)	ο δόλος ή η αμέλεια που προκάλεσε την παράβαση,

γ)	οποιεσδήποτε ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία για να μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων,

δ)	ο βαθμός ευθύνης του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, λαμβάνοντας υπόψη τα τεχνικά και οργανωτικά μέτρα που εφαρμόζουν δυνάμει των άρθρων 25 και 32,

ε)	τυχόν σχετικές προηγούμενες παραβάσεις του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία,

στ)	ο βαθμός συνεργασίας με την αρχή ελέγχου για την επανόρθωση της παράβασης και τον περιορισμό των πιθανών δυσμενών επιπτώσεών της,

ζ)	οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση,

η)	ο τρόπος με τον οποίο η εποπτική αρχή πληροφορήθηκε την παράβαση, ειδικότερα εάν και κατά πόσο ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία κοινοποίησε την παράβαση,

θ)	σε περίπτωση που διατάχθηκε προηγουμένως η λήψη των μέτρων που αναφέρονται στο άρθρο 58 παράγραφος 2 κατά του εμπλεκόμενου υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία σχετικά με το ίδιο αντικείμενο, η συμμόρφωση με τα εν λόγω μέτρα,

ι)	η τήρηση εγκεκριμένων κωδίκων δεοντολογίας σύμφωνα με το άρθρο 40 ή εγκεκριμένων μηχανισμών πιστοποίησης σύμφωνα με το άρθρο 42 και

ια)	κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο που προκύπτει από τις περιστάσεις της συγκεκριμένης περίπτωσης, όπως τα οικονομικά οφέλη που αποκομίστηκαν ή ζημ[ίες] που αποφεύχθηκαν, άμεσα ή έμμεσα, από την παράβαση.

3. Σε περίπτωση που ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία, για τις ίδιες ή για συνδεδεμένες πράξεις επεξεργασίας, παραβιάζει [εκ προθέσεως ή εξ αμελείας] αρκετές διατάξεις του παρόντος κανονισμού, το συνολικό ύψος του διοικητικού προστίμου δεν υπερβαίνει το ποσό που ορίζεται για τη βαρύτερη παράβαση.

4. Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 10000000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο:

α)	οι υποχρεώσεις του υπευθύνου επεξεργασίας και του εκτελούντος την επεξεργασία σύμφωνα με τα άρθρα 8, 11, 25 έως 39 και 42 και 43,

[…]

5. Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 20000000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο:

α)	οι βασικές αρχές για την επεξεργασία, περιλαμβανομένων των όρων που ισχύουν για τη συγκατάθεση, σύμφωνα με τα άρθρα 5, 6, 7 και 9,

β)	τα δικαιώματα των υποκειμένων των δεδομένων σύμφωνα με τα άρθρα 12 έως 22, […]

δ)	οποιεσδήποτε υποχρεώσεις σύμφωνα με το δίκαιο του κράτους μέλους οι οποίες θεσπίζονται δυνάμει του κεφαλαίου IX,

ε)	μη συμμόρφωση προς εντολή ή προς προσωρινό ή οριστικό περιορισμό της επεξεργασίας ή προς αναστολή της κυκλοφορίας δεδομένων που επιβάλλει η εποπτική αρχή δυνάμει του άρθρου 58 παράγραφος 2 ή μη παροχή πρόσβασης κατά παράβαση του άρθρου 58 παράγραφος 1.

6. Η μη συμμόρφωση προς εντολή της εποπτικής αρχής όπως αναφέρεται στο άρθρο 58 παράγραφος 2 επισύρει, σύμφωνα με την παράγραφο 2 του παρόντος άρθρου, διοικητικά πρόστιμα έως 20000000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο.

7. Με την επιφύλαξη των διορθωτικών εξουσιών των εποπτικών αρχών σύμφωνα με το άρθρο 58 παράγραφος 2, κάθε κράτος μέλος δύναται να καθορίζει τους κανόνες για το εάν και σε ποιο βαθμό διοικητικά πρόστιμα μπορεί να επιβάλλονται σε δημόσιες αρχές και φορείς που έχουν συσταθεί στο εν λόγω κράτος μέλος.

8. Η άσκηση εκ μέρους εποπτικής αρχής των εξουσιών της δυνάμει του παρόντος άρθρου υπόκειται στις δέουσες δικονομικές εγγυήσεις σύμφωνα με το δίκαιο της Ένωσης και το δίκαιο του κράτους μέλους, συμπεριλαμβανομένης της άσκησης πραγματικής δικαστικής προσφυγής και της τήρησης της προσήκουσας διαδικασίας.

[…]»

Το γερμανικό δίκαιο

Το άρθρο 41, παράγραφος 1, πρώτη περίοδος, του Bundesdatenschutzgesetz (ομοσπονδιακού νόμου για την προστασία των δεδομένων), της 30ής Ιουνίου 2017 (BGBl. 2017 I, σ. 2097), προβλέπει ότι, εκτός αντίθετης διάταξης του νόμου αυτού, έχουν εφαρμογή στις παραβάσεις που μνημονεύονται στο άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ οι διατάξεις του Gesetz über Ordnungswidrigkeiten (νόμου περί διοικητικών παραβάσεων), της 24ης Μαΐου 1968 (BGBl. 1968 I, σ. 481), όπως ίσχυε κατά την ανακοίνωση της 19ης Φεβρουαρίου 1987 (BGBl. 1987 I, σ. 602), όπως έχει τροποποιηθεί με τον νόμο της 19ης Ιουνίου 2020 (BGBl. 2020 I, σ. 1350, στο εξής: OWiG).

Το άρθρο 30 του OWiG, με τίτλο «Πρόστιμα εις βάρος νομικών προσώπων και ενώσεων προσώπων», ορίζει τα εξής:

«1. Όταν πρόσωπο το οποίο ενεργεί

1.	ως όργανο εξουσιοδοτημένο να εκπροσωπεί νομικό πρόσωπο ή ως μέλος τέτοιου οργάνου,

2.	υπό την ιδιότητα του προέδρου ένωσης στερούμενης ικανότητας δικαίου ή του μέλους του οργάνου διοίκησής της,

3.	υπό την ιδιότητα εταίρου εξουσιοδοτημένου να εκπροσωπεί προσωπική εταιρία με ικανότητα δικαίου,

4.	υπό την ιδιότητα του γενικού εντολοδόχου ή στο πλαίσιο της άσκησης διευθυντικών καθηκόντων υπό την ιδιότητα του πληρεξουσίου ή του εμπορικού αντιπροσώπου νομικού προσώπου ή ένωσης προσώπων κατά την έννοια του σημείου 2 ή του σημείου 3, ή

υπό την ιδιότητα υπευθύνου κατ’ άλλον τρόπο για τη διεύθυνση της εκμετάλλευσης ή της επιχείρησης νομικού προσώπου ή ένωσης προσώπων κατά την έννοια του σημείου 2 ή του σημείου 3, η οποία περιλαμβάνει την εποπτεία της διαχείρισης της δραστηριότητας ή οποιαδήποτε άλλη άσκηση εξουσίας ελέγχου σε διευθυντική θέση,

έχει διαπράξει ποινικό αδίκημα ή διοικητική παράβαση, με αποτέλεσμα να έχουν παραβιαστεί υποχρεώσεις του νομικού προσώπου ή της ένωσης προσώπων ή να έχει επέλθει ή να θεωρείται ότι έχει επέλθει πλουτισμός του εν λόγω νομικού προσώπου ή της ένωσης προσώπων, μπορεί να επιβληθεί πρόστιμο στο εν λόγω νομικό πρόσωπο ή στην ένωση προσώπων.

[…]

(4) Το πρόστιμο μπορεί να επιβληθεί ανεξαρτήτως του αν το ποινικό αδίκημα ή η διοικητική παράβαση δεν οδήγησε στην κίνηση ποινικής δίωξης ή διοικητικής διαδικασίας επιβολής κυρώσεων ή του αν η υπόθεση τέθηκε στο αρχείο ή δεν επιβλήθηκε καμία ποινή. Ο νόμος μπορεί να προβλέπει τη δυνατότητα αυτοτελούς επιβολής του προστίμου και σε άλλες περιπτώσεις. Ωστόσο, αποκλείεται η αυτοτελής επιβολή προστίμου στο νομικό πρόσωπο ή στην ένωση προσώπων, όταν το ποινικό αδίκημα ή η διοικητική παράβαση δεν μπορεί να διωχθεί για νομικούς λόγους […].»

Το άρθρο 130 του OWiG προβλέπει τα εξής:

«1) Όποιος, ως ιδιοκτήτης εκμετάλλευσης ή επιχείρησης, παραλείπει εκ προθέσεως ή εξ αμελείας να λάβει τα αναγκαία εποπτικά μέτρα προκειμένου να αποτρέψει εντός της εκμετάλλευσης ή της επιχείρησης την αθέτηση των υποχρεώσεων του ιδιοκτήτη η οποία επισύρει ποινή ή πρόστιμο, διαπράττει διοικητική παράβαση αν η αθέτηση αυτή θα μπορούσε να έχει αποτραπεί ή παρεμποδιστεί σημαντικά με κατάλληλα εποπτικά μέτρα. Τα αναγκαία εποπτικά μέτρα περιλαμβάνουν επίσης τον διορισμό, την επισταμένη επιλογή και τον έλεγχο των προσώπων που είναι υπεύθυνα για την εποπτεία.

[…]

(3) Όταν η αθέτηση υποχρέωσης τιμωρείται με ποινή, η διοικητική παράβαση μπορεί να τιμωρείται με πρόστιμο ύψους ενός εκατομμυρίου ευρώ κατ’ ανώτατο όριο. Εφαρμόζεται το άρθρο 30, παράγραφος 2, τρίτη περίοδος. Όταν η αθέτηση της υποχρέωσης τιμωρείται με πρόστιμο, το ανώτατο ύψος του προστίμου που επιβάλλεται για παράβαση του καθήκοντος εποπτείας καθορίζεται σε συνάρτηση με το ανώτατο ποσό του προστίμου που επιβάλλεται για την εν λόγω αθέτηση υποχρέωσης. […]»

Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα

10	Η DW είναι εταιρία ακινήτων η οποία έχει συσταθεί υπό τη νομική μορφή ευρωπαϊκής εταιρίας, είναι εισηγμένη στο χρηματιστήριο και εδρεύει στο Βερολίνο (Γερμανία). Κατέχει έμμεσα, μέσω συμμετοχών σε διάφορες εταιρίες, περίπου 163000 αστικά και 3000 εμπορικά ακίνητα.

Οι κύριοι των ακινήτων αυτών είναι θυγατρικές εταιρίες της DW αποκαλούμενες «ιδιοκτήτριες εταιρίες», οι οποίες ασκούν τις επιχειρησιακές δραστηριότητες, ενώ η DW επικεντρώνεται στη γενική διεύθυνση του ομίλου που απαρτίζεται από την ίδια και, μεταξύ άλλων, τις εν λόγω εταιρίες. Οι ιδιοκτήτριες εταιρίες εκμισθώνουν τα αστικά και τα εμπορικά ακίνητα, τα οποία διαχειρίζονται άλλες εταιρίες του ίδιου ομίλου, οι καλούμενες «επιχειρήσεις παροχής υπηρεσιών».

Στο πλαίσιο των εμπορικών δραστηριοτήτων τους, η DW και οι εταιρίες του ομίλου που αυτή διευθύνει επεξεργάζονται δεδομένα προσωπικού χαρακτήρα των μισθωτών των εμπορικών και αστικών ακινήτων, όπως, για παράδειγμα, αποδεικτικά στοιχεία ταυτότητας, φορολογικά δεδομένα, δεδομένα κοινωνικής ασφάλισης και ασφάλισης υγείας των μισθωτών αυτών, καθώς και στοιχεία σχετικά με προηγούμενες μισθωτικές συμβάσεις.

Στις 23 Ιουνίου 2017, στο πλαίσιο επιτόπιου ελέγχου, η Berliner Beauftragte für den Datenschutz (αρχή προστασίας δεδομένων του Βερολίνου, Γερμανία· στο εξής: εποπτική αρχή) επέστησε την προσοχή της DW στο γεγονός ότι οι εταιρίες του ομίλου της διατηρούσαν έγγραφα που περιείχαν δεδομένα προσωπικού χαρακτήρα των μισθωτών σε σύστημα ηλεκτρονικής αρχειοθέτησης το οποίο δεν παρείχε τη δυνατότητα να διαπιστωθεί εάν η διατήρηση αυτή ήταν αναγκαία και να διασφαλισθεί η διαγραφή των δεδομένων που δεν ήταν πλέον απαραίτητα.

14	Η εποπτική αρχή ζήτησε από την DW να διαγράψει τα εν λόγω έγγραφα από το σύστημα ηλεκτρονικής αρχειοθέτησής της το αργότερο έως το τέλος του 2017. Σε απάντησή της προς το αίτημα αυτό, η DW υποστήριξε ότι η διαγραφή δεν ήταν δυνατή για τεχνικούς και νομικούς λόγους.

15	Κατόπιν επικοινωνίας μεταξύ της DW και της εποπτικής αρχής σχετικά με τη δυνατότητα διαγραφής των επίμαχων εγγράφων, η DW ενημέρωσε την αρχή για την πρόθεσή της να θέσει σε εφαρμογή νέο σύστημα αποθήκευσης των δεδομένων σε αντικατάσταση εκείνου που περιείχε τα εν λόγω έγγραφα.

Στις 5 Μαρτίου 2019 η εποπτική αρχή διενήργησε έλεγχο στα κεντρικά γραφεία του ομίλου της DW. Στο πλαίσιο του ελέγχου αυτού, η DW ενημέρωσε την αρχή ότι το επίμαχο σύστημα ηλεκτρονικής αρχειοθέτησης είχε ήδη τεθεί εκτός λειτουργίας και ότι επέκειτο άμεσα η μεταφορά των δεδομένων στο νέο σύστημα αποθήκευσης.

Με απόφαση της 30ής Οκτωβρίου 2019, η εποπτική αρχή επέβαλε στην DW διοικητικό πρόστιμο ύψους 14385000 ευρώ για εκ προθέσεως παράβαση του άρθρου 5, παράγραφος 1, στοιχεία αʹ, γʹ και εʹ, καθώς και του άρθρου 25, παράγραφος 1, του ΓΚΠΔ (στο εξής: επίμαχη απόφαση). Με την απόφαση αυτή, η αρχή επέβαλε επίσης στην DW 15 άλλα πρόστιμα ύψους από 3000 έως 17000 ευρώ για παράβαση του άρθρου 6, παράγραφος 1, του ΓΚΠΔ.

Στην επίμαχη απόφαση, η εποπτική αρχή έκρινε ειδικότερα ότι η DW είχε εκ προθέσεως παραλείψει, μεταξύ 25ης Μαΐου 2018 και 5ης Μαρτίου 2019, να λάβει τα αναγκαία μέτρα για την τακτική διαγραφή των δεδομένων προσωπικού χαρακτήρα μισθωτών τα οποία δεν ήταν πλέον αναγκαία ή είχαν, για άλλον λόγο, εσφαλμένως διατηρηθεί. Επισήμανε επίσης ότι η DW συνέχισε να διατηρεί, χωρίς να χρειάζεται, τα δεδομένα προσωπικού χαρακτήρα τουλάχιστον 15 μισθωτών οι οποίοι ταυτοποιήθηκαν με μεγαλύτερη ακρίβεια.

19	Η DW άσκησε προσφυγή κατά της απόφασης αυτής ενώπιον του Landgericht Berlin (πρωτοδικείου Βερολίνου, Γερμανία). Το δικαστήριο αυτό έθεσε την υπόθεση στο αρχείο, κρίνοντας ότι η επίμαχη απόφαση ενείχε τόσο σοβαρά ελαττώματα, ώστε δεν μπορούσε να χρησιμεύσει ως βάση για την επιβολή προστίμου.

Το εν λόγω δικαστήριο επισήμανε, μεταξύ άλλων, ότι η επιβολή προστίμου σε νομικό πρόσωπο ρυθμίζεται εξαντλητικώς από το άρθρο 30 του OWiG, το οποίο, δυνάμει του άρθρου 41, παράγραφος 1, του ομοσπονδιακού νόμου για την προστασία των δεδομένων, εφαρμόζεται στις παραβάσεις στις οποίες αναφέρεται το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ. Κατά το εν λόγω άρθρο 30 του OWiG, διοικητική παράβαση μπορεί να διαπιστωθεί μόνον εις βάρος φυσικού προσώπου και όχι εις βάρος νομικού προσώπου. Επιπλέον, στο νομικό πρόσωπο μπορούν να καταλογιστούν μόνον οι πράξεις των μελών των οργάνων του ή των εκπροσώπων του. Καίτοι το άρθρο 30, παράγραφος 4, επιτρέπει, υπό ορισμένες προϋποθέσεις, την κίνηση αυτοτελούς διοικητικής διαδικασίας επιβολής κυρώσεων εις βάρος νομικού προσώπου, δεν παύει να απαιτείται και σε αυτή την περίπτωση η διαπίστωση διοικητικής παράβασης εκ μέρους των μελών των οργάνων ή εκ μέρους των εκπροσώπων του νομικού προσώπου.

21	Η Staatsanwaltschaft Βερολίνου (εισαγγελία Βερολίνου) άσκησε έφεση κατά της απόφασης αυτής ενώπιον του Kammergericht Berlin (εφετείου Βερολίνου, Γερμανία), ήτοι του αιτούντος δικαστηρίου.

Το αιτούν δικαστήριο διερωτάται, πρώτον, αν, κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, πρέπει να είναι δυνατή η επιβολή διοικητικού προστίμου σε νομικό πρόσωπο χωρίς η παράβαση του κανονισμού αυτού να έχει καταλογιστεί προηγουμένως σε ταυτοποιημένο φυσικό πρόσωπο. Στο πλαίσιο αυτό, το αιτούν δικαστήριο διερωτάται, μεταξύ άλλων, αν ασκεί συναφώς επιρροή η έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ.

Συναφώς, το αιτούν δικαστήριο εξηγεί ότι, σύμφωνα με εθνική νομολογία, το ισχύον στο εθνικό δίκαιο καθεστώς της περιορισμένης ευθύνης των νομικών προσώπων έρχεται σε αντίθεση με το καθεστώς άμεσης ευθύνης των επιχειρήσεων που προβλέπεται στο άρθρο 83 του ΓΚΠΔ. Κατά τη νομολογία αυτή, από το γράμμα, μεταξύ άλλων, του άρθρου 83 του ΓΚΠΔ, το οποίο, σύμφωνα με την αρχή της υπεροχής του δικαίου της Ένωσης, υπερισχύει του εθνικού καθεστώτος, προκύπτει ότι μπορούν να επιβληθούν διοικητικά πρόστιμα στις επιχειρήσεις. Επομένως, σε αντίθεση με όσα απαιτούνται κατά το εφαρμοστέο εθνικό δίκαιο, δεν είναι απαραίτητη η σύνδεση της επιβολής τέτοιων προστίμων με υπαίτια πράξη των οργάνων ή των διευθυντικών στελεχών των νομικών προσώπων.

Ειδικότερα, κατά το αιτούν δικαστήριο, η νομολογία αυτή, όπως και η κρατούσα γνώμη στην εθνική θεωρία, αποδίδει ιδιαίτερη σημασία στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ και, επομένως, στην αντίληψη σύμφωνα με την οποία η ευθύνη καταλογίζεται στην οικονομική οντότητα εντός της οποίας έχει υιοθετηθεί η συμπεριφορά που χαρακτηρίζεται ως ανεπιθύμητη, όπως είναι, για παράδειγμα, η αντίθετη στον ανταγωνισμό συμπεριφορά. Σύμφωνα με αυτή τη «λειτουργική» αντίληψη, όλες οι πράξεις όλων των υπαλλήλων που είναι εξουσιοδοτημένοι να ενεργούν εξ ονόματος μιας επιχείρησης είναι καταλογιστέες στην επιχείρηση, ακόμη και στο πλαίσιο διαδικασιών επιβολής διοικητικών κυρώσεων.

Δεύτερον, στην περίπτωση που το Δικαστήριο κρίνει ότι πρέπει να μπορεί να επιβληθεί διοικητικό πρόστιμο απευθείας σε νομικό πρόσωπο, το αιτούν δικαστήριο διερωτάται ως προς τα κριτήρια που πρέπει να εφαρμοστούν προκειμένου να στοιχειοθετηθεί η ευθύνη νομικού προσώπου, ως επιχείρησης, για παράβαση του ΓΚΠΔ. Ζητεί δε, μεταξύ άλλων, να διευκρινιστεί αν μπορεί να επιβληθεί διοικητικό πρόστιμο κατ’ εφαρμογήν του άρθρου 83 του κανονισμού αυτού σε νομικό πρόσωπο χωρίς να έχει αποδειχθεί ότι η καταλογιζόμενη σε αυτό παράβαση του εν λόγω κανονισμού διαπράχθηκε υπαιτίως.

Υπό τις συνθήκες αυτές, το Kammergericht Berlin (εφετείο Βερολίνου) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

«1)

Έχει το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ την έννοια ότι ενσωματώνει στο εσωτερικό δίκαιο την απορρέουσα από τα άρθρα 101 και 102 ΣΛΕΕ λειτουργική έννοια της επιχείρησης και την αρχή της ευθύνης της επιχείρησης ως λειτουργικής οικονομικής μονάδας (“Funktionsträgerprinzip”), με αποτέλεσμα, κατόπιν διεύρυνσης της αρχής της νομικής οντότητας (“Rechtsträgerprinzip”) που διαπνέει το άρθρο 30 του [OWiG], να μπορεί να κινηθεί διοικητική διαδικασία επιβολής προστίμου απευθείας κατά επιχείρησης και να μην απαιτείται, για την επιβολή προστίμου, η διαπίστωση της διάπραξης –ενδεχομένως υπό τον όρο της πλήρωσης όλων των προϋποθέσεων της οικείας διάταξης– διοικητικής παράβασης από ταυτοποιημένο φυσικό πρόσωπο;

Σε περίπτωση καταφατικής απαντήσεως στο πρώτο προδικαστικό ερώτημα: [έ]χει το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ την έννοια ότι η επιχείρηση πρέπει να έχει διαπράξει υπαίτια την παράβαση μέσω ενός εργαζομένου της [βλ. άρθρο 23 του κανονισμού (ΕΚ) 1/2003 του Συμβουλίου, της 16ης Δεκεμβρίου 2002, για την εφαρμογή των κανόνων ανταγωνισμού που προβλέπονται στα άρθρα 81 και 82 της συνθήκης (ΕΕ 2003, L 1, σ. 1)] ή αρκεί για την επιβολή προστίμου στην επιχείρηση, κατ’ αρχήν, η αντικειμενική παράβαση καθήκοντος η οποία να καταλογίζεται στην επιχείρηση (“strict liability”);»

Επί του αιτήματος επαναλήψεως της προφορικής διαδικασίας

27	Μετά την επ’ ακροατηρίου συζήτηση της 17ης Ιανουαρίου 2023, η DW, με δικόγραφο που κατέθεσε στη Γραμματεία του Δικαστηρίου στις 23 Μαρτίου 2023, ζήτησε να διαταχθεί η επανάληψη της προφορικής διαδικασίας, κατ’ εφαρμογήν του άρθρου 83 του Κανονισμού Διαδικασίας του Δικαστηρίου.

Προς στήριξη του αιτήματός της, η DW υποστηρίζει, κατ’ ουσίαν, ότι οι απαντήσεις που έδωσε το αιτούν δικαστήριο στην αίτηση παροχής διευκρινίσεων που του απηύθυνε το Δικαστήριο δυνάμει του άρθρου 101 του Κανονισμού Διαδικασίας, παρέχουν στο Δικαστήριο ανακριβείς πληροφορίες σχετικά με τις εφαρμοστέες διατάξεις του εθνικού δικαίου. Ωστόσο, δεν ήταν δυνατή η ενδελεχής συζήτηση επί του θέματος κατά την επ’ ακροατηρίου συζήτηση της 17ης Ιανουαρίου 2023, λόγω του ότι οι διάδικοι έλαβαν γνώση των απαντήσεων αυτών μόλις τρεις εργάσιμες ημέρες πριν την επ’ ακροατηρίου συζήτηση. Ένα τέτοιο χρονικό περιθώριο δεν επιτρέπει την εις βάθος προετοιμασία της επ’ ακροατηρίου συζητήσεως.

Βεβαίως, δυνάμει του άρθρου 83 του Κανονισμού Διαδικασίας, το Δικαστήριο μπορεί οποτεδήποτε, αφού ακούσει τον γενικό εισαγγελέα, να διατάξει την επανάληψη της προφορικής διαδικασίας, ιδίως αν κρίνει ότι δεν έχει διαφωτιστεί επαρκώς ή όταν ένας διάδικος, μετά τη λήξη της διαδικασίας αυτής, επικαλείται νέο πραγματικό περιστατικό δυνάμενο να ασκήσει αποφασιστική επιρροή επί της αποφάσεως του Δικαστηρίου ή ακόμη όταν, προς επίλυση της διαφοράς, το Δικαστήριο χρειάζεται να στηριχθεί σε επιχείρημα επί του οποίου δεν διεξήχθη συζήτηση μεταξύ των ενδιαφερομένων.

Ωστόσο, το Δικαστήριο διαθέτει εν προκειμένω όλα τα αναγκαία στοιχεία για να αποφανθεί, για τη δε επίλυση της υπό κρίση διαφοράς δεν χρειάζεται να στηριχθεί σε επιχειρήματα επί των οποίων δεν διεξήχθη συζήτηση μεταξύ των ενδιαφερομένων. Επιπροσθέτως, από την αίτηση περί επαναλήψεως της προφορικής διαδικασίας δεν προκύπτει κανένα νέο πραγματικό περιστατικό που θα μπορούσε να ασκήσει αποφασιστική επιρροή επί της αποφάσεως που καλείται να εκδώσει το Δικαστήριο στην υπό κρίση υπόθεση.

31	Υπό τις συνθήκες αυτές, το Δικαστήριο, αφού άκουσε τον γενικό εισαγγελέα, κρίνει ότι παρέλκει η επανάληψη της προφορικής διαδικασίας.

Επί των προδικαστικών ερωτημάτων

Επί του πρώτου προδικαστικού ερωτήματος

Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 58, παράγραφος 2, και το άρθρο 83, παράγραφοι 1 έως 6, του ΓΚΠΔ έχουν την έννοια ότι αντιτίθενται σε εθνική ρύθμιση δυνάμει της οποίας μπορεί να επιβληθεί διοικητικό πρόστιμο σε νομικό πρόσωπο υπό την ιδιότητά του ως υπευθύνου επεξεργασίας για παράβαση για την οποία γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου 83 μόνον εφόσον η παράβαση αυτή έχει προηγουμένως καταλογιστεί σε ταυτοποιημένο φυσικό πρόσωπο.

Επισημαίνεται εκ προοιμίου ότι, με τις γραπτές παρατηρήσεις της, η Γερμανική Κυβέρνηση εξέφρασε αμφιβολίες ως προς την ερμηνεία αυτή του εθνικού δικαίου από το αιτούν δικαστήριο, για τον λόγο ότι το άρθρο 130 του OWiG επιτρέπει την επιβολή προστίμου σε νομικό πρόσωπο και σε περιπτώσεις πέραν εκείνων του άρθρου 30 του OWiG. Εξάλλου, οι δύο αυτές διατάξεις επιτρέπουν, όπως υποστηρίζει, την επιβολή του λεγόμενου «ανώνυμου» προστίμου στο πλαίσιο διαδικασίας που έχει κινηθεί κατά της επιχείρησης, χωρίς να είναι αναγκαία η ταυτοποίηση του φυσικού προσώπου που διέπραξε την επίμαχη παράβαση.

34	Απαντώντας σε αίτηση παροχής διευκρινίσεων, για την οποία έγινε λόγος στη σκέψη 28 της παρούσας απόφασης, το αιτούν δικαστήριο επισήμανε ότι το άρθρο 130 του OWiG δεν είναι κρίσιμο για την απάντηση στο πρώτο προδικαστικό ερώτημα.

Ειδικότερα, κατά το αιτούν δικαστήριο, η διάταξη αυτή αφορά τον ιδιοκτήτη μιας εκμετάλλευσης ή μιας επιχείρησης ο οποίος πρέπει να έχει αθετήσει υπαίτια μια υποχρέωση εποπτείας. Ωστόσο, η απόδειξη τέτοιας παράβασης υποχρεώσεων που υπέχει ο ιδιοκτήτης της επιχείρησης είναι εξαιρετικά περίπλοκη και συχνά αδύνατη, το δε ζήτημα αν ένας όμιλος επιχειρήσεων μπορεί να χαρακτηριστεί ως «επιχείρηση» ή ως «ιδιοκτήτης επιχειρήσεων» κατά την έννοια της εν λόγω διάταξης ερίζεται σε εθνικό επίπεδο. Εν πάση περιπτώσει, το πρώτο προδικαστικό ερώτημα είναι λυσιτελές και στο πλαίσιο αυτό.

Υπενθυμίζεται συναφώς ότι, όσον αφορά την ερμηνεία διατάξεων της εθνικής έννομης τάξης, το Δικαστήριο υποχρεούται κατ’ αρχήν να στηρίζεται στους νομικούς χαρακτηρισμούς που προκύπτουν από την απόφαση περί παραπομπής. Ειδικότερα, κατά πάγια νομολογία, το Δικαστήριο δεν είναι αρμόδιο να ερμηνεύει την εσωτερική νομοθεσία κράτους μέλους (απόφαση της 26ης Ιανουαρίου 2021, Hessischer Rundfunk, C‑422/19 και C‑423/19, EU:C:2021:63, σκέψη 31 και εκεί μνημονευόμενη νομολογία).

Ως εκ τούτου, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί απάντηση με βάση την παραδοχή ότι, δυνάμει του εφαρμοστέου εθνικού δικαίου, μπορεί να επιβληθεί διοικητικό πρόστιμο σε νομικό πρόσωπο υπό την ιδιότητά του ως υπευθύνου επεξεργασίας για προβλεπόμενη στο άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ παράβαση μόνον υπό τις προϋποθέσεις του άρθρου 30 του OWiG, όπως αυτές εκτίθενται από το αιτούν δικαστήριο.

Προκειμένου να δοθεί απάντηση στο πρώτο αυτό ερώτημα, επισημαίνεται κατ’ αρχάς ότι οι αρχές, οι απαγορεύσεις και οι υποχρεώσεις που προβλέπονται στον ΓΚΠΔ απευθύνονται ειδικότερα στους «υπευθύνους επεξεργασίας» των οποίων η ευθύνη εκτείνεται, όπως τονίζεται στην αιτιολογική σκέψη 74 του ΓΚΠΔ, σε οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται από τους ίδιους ή για λογαριασμό τους και οι οποίοι υποχρεούνται, ως εκ τούτου, όχι μόνον να εφαρμόζουν κατάλληλα και αποτελεσματικά μέτρα, αλλά και να είναι σε θέση να αποδείξουν ότι οι δραστηριότητες επεξεργασίας που ασκούν είναι σύμφωνες με τον ΓΚΠΔ, καθώς και ότι τα μέτρα που λαμβάνουν για τη διασφάλιση της συμμόρφωσης αυτής είναι αποτελεσματικά. Αυτή ακριβώς η ευθύνη συνιστά τη βάση για την επιβολή διοικητικού προστίμου στον υπεύθυνο της επεξεργασίας κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, σε περίπτωση παράβασης εκ των προβλεπομένων στο άρθρο του 83, παράγραφοι 4 έως 6.

39	Το άρθρο 4, σημείο 7, του ΓΚΠΔ ορίζει κατά τρόπο ευρύ τον «υπεύθυνο επεξεργασίας» ως το φυσικό ή νομικό πρόσωπο, τη δημόσια αρχή, την υπηρεσία ή άλλον φορέα που, μόνα ή από κοινού με άλλα, καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

Ο σκοπός του ευρέος αυτού ορισμού του άρθρου 4, σημείο 7, του ΓΚΠΔ –ο οποίος περιλαμβάνει ρητώς τα νομικά πρόσωπα– συνίσταται, σε συμφωνία με τον σκοπό του ΓΚΠΔ, στη διασφάλιση αποτελεσματικής προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, καθώς και, μεταξύ άλλων, στη διασφάλιση υψηλού επιπέδου προστασίας του δικαιώματος κάθε προσώπου στην προστασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν (πρβλ. αποφάσεις της 29ης Ιουλίου 2019, Fashion ID, C‑40/17, EU:C:2019:629, σκέψη 66, και της 28ης Απριλίου 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, σκέψη 73 και εκεί μνημονευόμενη νομολογία).

Εξάλλου, το Δικαστήριο έχει κρίνει ότι κάθε φυσικό ή νομικό πρόσωπο το οποίο επηρεάζει για τους δικούς του σκοπούς την επεξεργασία δεδομένων προσωπικού χαρακτήρα και μετέχει κατ’ αυτόν τον τρόπο στον καθορισμό των στόχων και του τρόπου της επεξεργασίας μπορεί να θεωρηθεί ως υπεύθυνος επεξεργασίας (πρβλ. απόφαση της 10ης Ιουλίου 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, σκέψη 68).

Επομένως, από το γράμμα και τον σκοπό του άρθρου 4, σημείο 7, του ΓΚΠΔ προκύπτει ότι ο νομοθέτης της Ένωσης δεν προέβη, για τη στοιχειοθέτηση της ευθύνης βάσει του κανονισμού αυτού, σε διάκριση μεταξύ φυσικών και νομικών προσώπων, καθόσον η ευθύνη αυτή εξαρτάται μόνον από την προϋπόθεση τα εν λόγω πρόσωπα, μόνα ή από κοινού με άλλα, να καθορίζουν τους σκοπούς και τον τρόπο της επεξεργασίας δεδομένων προσωπικού χαρακτήρα.

Ως εκ τούτου, με την επιφύλαξη όσων προβλέπονται στο άρθρο 83, παράγραφος 7, του ΓΚΠΔ σχετικά με τις δημόσιες αρχές και τους δημόσιους φορείς, κάθε πρόσωπο που πληροί την προϋπόθεση αυτή –ανεξαρτήτως του αν πρόκειται για φυσικό ή νομικό πρόσωπο, για δημόσια αρχή, υπηρεσία ή άλλον φορέα– ευθύνεται, μεταξύ άλλων, για κάθε παράβαση για την οποία γίνεται λόγος στο άρθρο 83, παράγραφοι 4 έως 6, η οποία διαπράττεται από το ίδιο ή για λογαριασμό του.

Όσον αφορά τα νομικά πρόσωπα, τούτο συνεπάγεται, αφενός, όπως επισήμανε κατ’ ουσίαν ο γενικός εισαγγελέας στα σημεία 57 έως 59 των προτάσεών του, ότι αυτά ευθύνονται όχι μόνον για παραβάσεις που διαπράττονται από τους εκπροσώπους τους, τους διευθυντές ή τους διαχειριστές τους, αλλά και για όσες διαπράττονται από οποιοδήποτε άλλο πρόσωπο ενεργεί στο πλαίσιο της επιχειρηματικής δραστηριότητας των εν λόγω νομικών προσώπων και για λογαριασμό τους. Αφετέρου, τα διοικητικά πρόστιμα που προβλέπονται στο άρθρο 83 του ΓΚΠΔ σε περίπτωση τέτοιων παραβάσεων πρέπει να μπορούν να επιβάλλονται απευθείας σε νομικά πρόσωπα όταν αυτά μπορούν να χαρακτηριστούν ως υπεύθυνοι της επίμαχης επεξεργασίας.

Εν συνεχεία, επισημαίνεται ότι το άρθρο 58, παράγραφος 2, του ΓΚΠΔ καθορίζει επακριβώς τις εξουσίες που διαθέτουν οι εποπτικές αρχές όσον αφορά τη λήψη διορθωτικών μέτρων, χωρίς να παραπέμπει στο δίκαιο των κρατών μελών και χωρίς να αφήνει περιθώριο εκτιμήσεως στα κράτη αυτά. Αφενός, οι εξουσίες αυτές, στις οποίες, δυνάμει της παραγράφου 2, στοιχείο θʹ, του άρθρου 58, περιλαμβάνεται η επιβολή διοικητικού προστίμου, αφορούν τον υπεύθυνο της επεξεργασίας και, αφετέρου, ένας τέτοιος υπεύθυνος μπορεί, όπως προκύπτει από τη σκέψη 39 της παρούσας απόφασης, να είναι τόσο φυσικό όσο και νομικό πρόσωπο. Οι δε ουσιαστικές προϋποθέσεις τις οποίες πρέπει να τηρεί η εποπτική αρχή κατά την επιβολή ενός τέτοιου προστίμου προβλέπονται επακριβώς στις παραγράφους 1 έως 6 του άρθρου 83, χωρίς να καταλείπεται στα κράτη μέλη περιθώριο εκτιμήσεως.

Επομένως, από τον συνδυασμό του άρθρου 4, σημείο 7, του άρθρου 83 και του άρθρου 58, παράγραφος 2, στοιχείο θʹ, του ΓΚΠΔ προκύπτει ότι διοικητικό πρόστιμο για παράβαση προβλεπόμενη στο άρθρο 83, παράγραφοι 4 έως 6, μπορεί να επιβληθεί και σε νομικά πρόσωπα, εφόσον αυτά έχουν την ιδιότητα του υπευθύνου επεξεργασίας. Αντιθέτως, από καμία διάταξη του ΓΚΠΔ δεν μπορεί να συναχθεί ότι η επιβολή διοικητικού προστίμου σε νομικό πρόσωπο ως υπεύθυνο επεξεργασίας εξαρτάται από την προηγούμενη διαπίστωση ότι η παράβαση διαπράχθηκε από ταυτοποιημένο φυσικό πρόσωπο.

Βεβαίως, από το άρθρο 58, παράγραφος 4, και από το άρθρο 83, παράγραφος 8, του ΓΚΠΔ, ερμηνευόμενα υπό το πρίσμα της αιτιολογικής σκέψης 129 του κανονισμού, προκύπτει ότι η άσκηση από την εποπτική αρχή των εξουσιών που της απονέμουν τα άρθρα αυτά υπόκειται στις δέουσες διαδικαστικές εγγυήσεις σύμφωνα με το δίκαιο της Ένωσης και με το δίκαιο των κρατών μελών, στις οποίες περιλαμβάνονται οι εγγυήσεις της άσκησης αποτελεσματικής δικαστικής προσφυγής και της τήρησης της προσήκουσας διαδικασίας.

Εντούτοις, το γεγονός ότι ο εν λόγω κανονισμός παρέχει έτσι στα κράτη μέλη τη δυνατότητα να προβλέπουν απαιτήσεις σχετικές με τη διαδικασία που πρέπει να ακολουθούν οι εποπτικές αρχές κατά την επιβολή διοικητικού προστίμου ουδόλως σημαίνει ότι τα κράτη μέλη μπορούν επίσης να προβλέπουν, πέραν των εν λόγω διαδικαστικών απαιτήσεων, και ουσιαστικές προϋποθέσεις επιπλέον των προβλεπόμενων στο άρθρο 83, παράγραφοι 1 έως 6. Πέραν τούτου, το γεγονός ότι ο νομοθέτης της Ένωσης φρόντισε να προβλέψει ρητώς τη δυνατότητα αυτή, αλλά όχι τη δυνατότητα να προβλεφθούν τέτοιες πρόσθετες ουσιαστικές προϋποθέσεις, επιβεβαιώνει ότι δεν κατέλιπε συναφώς στα κράτη μέλη περιθώριο εκτιμήσεως. Επομένως, οι εν λόγω ουσιαστικές προϋποθέσεις ρυθμίζονται αποκλειστικώς από το δίκαιο της Ένωσης.

49	Η ανωτέρω γραμματική ερμηνεία του άρθρου 58, παράγραφος 2, και του άρθρου 83, παράγραφοι 1 έως 6, του ΓΚΠΔ επιρρωννύεται από τον σκοπό του κανονισμού αυτού.

Ειδικότερα, από την αιτιολογική σκέψη 10 του ΓΚΠΔ προκύπτει ότι οι διατάξεις του εν λόγω κανονισμού αποσκοπούν, μεταξύ άλλων, στη διασφάλιση συνεκτικού και υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης και, προς τούτο, στη διασφάλιση συνεκτικής και ομοιόμορφης εφαρμογής των κανόνων για την προστασία των ελευθεριών και των θεμελιωδών δικαιωμάτων των προσώπων αυτών έναντι της επεξεργασίας τέτοιων δεδομένων σε ολόκληρη την Ένωση. Εξάλλου, στις αιτιολογικές σκέψεις 11 και 129 του ΓΚΠΔ υπογραμμίζεται η ανάγκη να διασφαλίζεται, προκειμένου να επιτευχθεί η συνεκτική εφαρμογή του κανονισμού αυτού, ότι οι εποπτικές αρχές διαθέτουν ισοδύναμες εξουσίες εποπτείας και ελέγχου της συμμόρφωσης προς τους κανόνες για την προστασία των δεδομένων προσωπικού χαρακτήρα και ότι μπορούν να επιβάλλουν ισοδύναμες κυρώσεις σε περίπτωση παραβάσεων του κανονισμού.

Αν επιτρεπόταν στα κράτη μέλη να απαιτούν μονομερώς και ως αναγκαία προϋπόθεση για την επιβολή διοικητικού προστίμου, κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, σε υπεύθυνο επεξεργασίας ο οποίος είναι νομικό πρόσωπο, να έχει καταλογιστεί ή να μπορεί να καταλογιστεί προηγουμένως η επίμαχη παράβαση σε ταυτοποιημένο φυσικό πρόσωπο, τούτο θα αντέβαινε στον εν λόγω σκοπό του ΓΚΠΔ. Επιπλέον, μια τέτοια πρόσθετη απαίτηση θα ενείχε εν τέλει κίνδυνο αποδυνάμωσης της αποτελεσματικότητας και του αποτρεπτικού αποτελέσματος των διοικητικών προστίμων που επιβάλλονται σε νομικά πρόσωπα ως υπευθύνους επεξεργασίας, και τούτο θα συνιστούσε παράβαση του άρθρου 83 παράγραφος 1, του ΓΚΠΔ.

Συναφώς, υπενθυμίζεται ότι το άρθρο 288, δεύτερο εδάφιο, ΣΛΕΕ προβλέπει ότι οι κανονισμοί της Ένωσης είναι δεσμευτικοί ως προς όλα τα μέρη τους και ισχύουν άμεσα σε κάθε κράτος μέλος, γεγονός που αποκλείει, με την επιφύλαξη αντίθετης διάταξης, τη θέσπιση από τα κράτη μέλη εσωτερικών διατάξεων που θίγουν το περιεχόμενο τέτοιων κανονισμών. Επιπλέον, τα κράτη μέλη υποχρεούνται, δυνάμει των υποχρεώσεων που απορρέουν από τη Συνθήκη ΛΕΕ, να μην εμποδίζουν την άμεση εφαρμογή των κανονισμών. Ειδικότερα, δεν μπορούν να εκδίδουν πράξη με την οποία να αποκρύπτουν από τα υποκείμενα δικαίου τη φύση νομικού κανόνα ως κανόνα του δικαίου της Ένωσης και τα εξ αυτού απορρέοντα αποτελέσματα (απόφαση της 15ης Νοεμβρίου 2012, Al-Aqsa κατά Συμβουλίου και Κάτω Χώρες κατά Al‑Aqsa, C‑539/10 P και C‑550/10 P, EU:C:2012:711, σκέψεις 86 και 87 και εκεί μνημονευόμενη νομολογία).

Τέλος, λαμβανομένων υπόψη των προβληματισμών του αιτούντος δικαστηρίου, επισημαίνεται ότι η έννοια της «επιχείρησης», κατά τα άρθρα 101 και 102 ΣΛΕΕ, δεν ασκεί επιρροή στο ζήτημα αν και υπό ποιες προϋποθέσεις μπορεί να επιβληθεί διοικητικό πρόστιμο κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ σε υπεύθυνο επεξεργασίας ο οποίος είναι νομικό πρόσωπο, δεδομένου ότι το ζήτημα αυτό ρυθμίζεται εξαντλητικά από το άρθρο 58, παράγραφος 2, και από το άρθρο 83, παράγραφοι 1 έως 6, του κανονισμού.

54	Πράγματι, η έννοια αυτή ασκεί επιρροή μόνον στον καθορισμό του ύψους του διοικητικού προστίμου που επιβάλλεται στον υπεύθυνο επεξεργασίας δυνάμει του άρθρου 83, παράγραφοι 4 έως 6, του ΓΚΠΔ.

Όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 45 των προτάσεών του, σε αυτό ακριβώς το ειδικό πλαίσιο του υπολογισμού των διοικητικών προστίμων που επιβάλλονται για τις προβλεπόμενες στο άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ παραβάσεις πρέπει να νοείται η αναφορά της αιτιολογικής σκέψης 150 του κανονισμού αυτού στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ.

Συναφώς, υπογραμμίζεται ότι, για την εφαρμογή των κανόνων ανταγωνισμού των άρθρων 101 και 102 ΣΛΕΕ, η έννοια αυτή καλύπτει κάθε φορέα ο οποίος ασκεί οικονομική δραστηριότητα, ανεξαρτήτως του νομικού καθεστώτος που τον διέπει και του τρόπου χρηματοδότησής του. Προσδιορίζει, επομένως, μια οικονομική ενότητα, έστω και αν, από νομικής απόψεως, αυτή αποτελείται από περισσότερα φυσικά ή νομικά πρόσωπα. Η οικονομική αυτή ενότητα συνίσταται σε ενιαία οργάνωση προσωπικών, υλικών και άυλων στοιχείων, τα οποία έχουν ταχθεί στη διαρκή επιδίωξη ορισμένου οικονομικού σκοπού (απόφαση της 6ης Οκτωβρίου 2021, Sumal, C‑882/19, EU:C:2021:800, σκέψη 41 και εκεί μνημονευόμενη νομολογία).

Επομένως, από το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, το οποίο αναφέρεται στον υπολογισμό των διοικητικών προστίμων για τις παραβάσεις που απαριθμούνται στις παραγράφους αυτές, προκύπτει ότι, σε περίπτωση που ο αποδέκτης του διοικητικού προστίμου είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ, το ανώτατο ποσό του διοικητικού προστίμου υπολογίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος.

Εν τέλει, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 47 των προτάσεών του, μόνον ένα διοικητικό πρόστιμο του οποίου το ύψος καθορίζεται βάσει της πραγματικής ή ουσιαστικής οικονομικής ικανότητας του αποδέκτη του και, ως εκ τούτου, επιβάλλεται από την εποπτική αρχή με κριτήριο, όσον αφορά το ύψος του, την έννοια της οικονομικής ενότητας κατά τη νομολογία που μνημονεύθηκε στη σκέψη 56 της παρούσας απόφασης μπορεί να πληροί τις τρεις προϋποθέσεις του άρθρου 83, παράγραφος 1, του ΓΚΠΔ, ήτοι να είναι συγχρόνως αποτελεσματικό, αναλογικό και αποτρεπτικό.

Ως εκ τούτου, όταν μια εποπτική αρχή αποφασίζει, βάσει των εξουσιών που της παρέχει το άρθρο 58, παράγραφος 2, του ΓΚΠΔ, να επιβάλει σε υπεύθυνο επεξεργασίας ο οποίος είναι επιχείρηση ή αποτελεί τμήμα επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ, διοικητικό πρόστιμο κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, η αρχή αυτή οφείλει, δυνάμει της τελευταίας αυτής διάταξης, ερμηνευόμενης υπό το πρίσμα της αιτιολογικής σκέψης 150 του ΓΚΠΔ, να στηριχθεί, κατά τον υπολογισμό των διοικητικών προστίμων για τις παραβάσεις που μνημονεύονται στις παραγράφους 4 έως 6 του άρθρου 83, στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ.

Κατόπιν των ανωτέρω, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 58, παράγραφος 2, στοιχείο θʹ, και το άρθρο 83, παράγραφοι 1 έως 6, του ΓΚΠΔ έχουν την έννοια ότι αντιτίθενται σε εθνική ρύθμιση δυνάμει της οποίας μπορεί να επιβληθεί διοικητικό πρόστιμο σε νομικό πρόσωπο υπό την ιδιότητά του ως υπευθύνου επεξεργασίας για παράβαση για την οποία γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου 83 μόνον εφόσον η παράβαση αυτή έχει προηγουμένως καταλογιστεί σε ταυτοποιημένο φυσικό πρόσωπο.

Επί του δεύτερου προδικαστικού ερωτήματος

Με το δεύτερο προδικαστικό ερώτημα, το οποίο υποβάλλεται για την περίπτωση καταφατικής απαντήσεως στο πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 83 του ΓΚΠΔ έχει την έννοια ότι μπορεί να επιβληθεί διοικητικό πρόστιμο κατ’ εφαρμογήν της διάταξης αυτής μόνον εάν αποδεικνύεται ότι ο υπεύθυνος επεξεργασίας, ο οποίος είναι νομικό πρόσωπο και συγχρόνως επιχείρηση, διέπραξε εκ προθέσεως ή εξ αμελείας παράβαση για την οποία γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου αυτού.

Συναφώς, υπενθυμίζεται ότι από το άρθρο 83, παράγραφος 1, του ΓΚΠΔ προκύπτει ότι τα διοικητικά πρόστιμα πρέπει να είναι αποτελεσματικά, αναλογικά και αποτρεπτικά. Αντιθέτως, το άρθρο 83 του ΓΚΠΔ δεν διευκρινίζει ρητώς ότι οι παραβάσεις για τις οποίες γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου αυτού μπορούν να επισύρουν τέτοιο πρόστιμο μόνον εφόσον διαπράχθηκαν εκ προθέσεως ή, τουλάχιστον, εξ αμελείας.

Η Γερμανική, η Εσθονική και η Νορβηγική Κυβέρνηση, καθώς και το Συμβούλιο της Ευρωπαϊκής Ένωσης, συνάγουν από τα ανωτέρω, μεταξύ άλλων, ότι πρόθεση του νομοθέτη της Ένωσης ήταν να αφήσει στα κράτη μέλη ορισμένο περιθώριο εκτιμήσεως κατά τη θέση του άρθρου 83 του ΓΚΠΔ σε εφαρμογή, παρέχοντάς τους τη δυνατότητα να προβλέπουν ότι διοικητικά πρόστιμα κατ’ εφαρμογήν της διάταξης αυτής επιβάλλονται, ενδεχομένως, και χωρίς να αποδεικνύεται ότι η παράβαση του ΓΚΠΔ που τιμωρείται με το πρόστιμο διαπράχθηκε εκ προθέσεως ή εξ αμελείας.

64	Τέτοια ερμηνεία του άρθρου 83 του ΓΚΠΔ δεν μπορεί να γίνει δεκτή.

Συναφώς, όπως διαπιστώθηκε στις σκέψεις 45 και 48 της παρούσας απόφασης, οι ουσιαστικές προϋποθέσεις τις οποίες πρέπει να τηρεί μια εποπτική αρχή όταν επιβάλλει διοικητικό πρόστιμο σε υπεύθυνο επεξεργασίας διέπονται αποκλειστικά από το δίκαιο της Ένωσης, καθόσον καθορίζονται επακριβώς στο άρθρο 83, παράγραφοι 1 έως 6, του ΓΚΠΔ, χωρίς να καταλείπεται συναφώς στα κράτη μέλη περιθώριο εκτιμήσεως (βλ., επίσης, απόφαση της 5ης Δεκεμβρίου 2023, Nacionalinis visomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, σκέψεις 64 έως 70).

Όσον αφορά τις εν λόγω προϋποθέσεις, επισημαίνεται ότι το άρθρο 83, παράγραφος 2, του ΓΚΠΔ απαριθμεί τα στοιχεία βάσει των οποίων η εποπτική αρχή επιβάλλει διοικητικό πρόστιμο στον υπεύθυνο επεξεργασίας. Μεταξύ των στοιχείων αυτών αναφέρεται, στο στοιχείο βʹ της διάταξης, «ο δόλος ή η αμέλεια που προκάλεσε την παράβαση». Αντιθέτως, σε κανένα από τα στοιχεία που απαριθμούνται στη διάταξη αυτή δεν γίνεται λόγος για οποιαδήποτε δυνατότητα στοιχειοθέτησης ευθύνης του υπευθύνου επεξεργασίας αν δεν συντρέχει υπαίτια συμπεριφορά εκ μέρους του.

Επιπλέον, το άρθρο 83, παράγραφος 2, του ΓΚΠΔ πρέπει να ερμηνευθεί σε συνδυασμό με την παράγραφο 3 του ίδιου άρθρου, στην οποία προβλέπονται οι συνέπειες της σώρευσης παραβάσεων του ΓΚΠΔ και κατά την οποία, «[σ]ε περίπτωση που ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία, για τις ίδιες ή για συνδεδεμένες πράξεις επεξεργασίας, παραβιάζει [εκ προθέσεως ή εξ αμελείας] αρκετές διατάξεις του παρόντος κανονισμού, το συνολικό ύψος του διοικητικού προστίμου δεν υπερβαίνει το ποσό που ορίζεται για τη βαρύτερη παράβαση».

Επομένως, από το γράμμα του άρθρου 83, παράγραφος 2, του ΓΚΠΔ προκύπτει ότι μόνον οι υπαίτιες, δηλαδή οι εκ προθέσεως ή εξ αμελείας, παραβάσεις των διατάξεων του ΓΚΠΔ εκ μέρους του υπευθύνου επεξεργασίας μπορούν να οδηγήσουν στην επιβολή σε βάρος του διοικητικού προστίμου κατ’ εφαρμογήν του εν λόγω άρθρου.

69	Η γενική οικονομία και ο σκοπός του ΓΚΠΔ επιρρωννύουν την ερμηνεία αυτή.

70	Αφενός, ο νομοθέτης της Ένωσης προέβλεψε σύστημα κυρώσεων το οποίο παρέχει στις εποπτικές αρχές τη δυνατότητα να επιβάλλουν τις πλέον κατάλληλες κυρώσεις ανάλογα με τις περιστάσεις κάθε περίπτωσης.

Πράγματι, το άρθρο 58 του ΓΚΠΔ προβλέπει στην παράγραφο 2, στοιχείο θʹ, ότι οι εν λόγω αρχές μπορούν να επιβάλλουν διοικητικά πρόστιμα, κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, «επιπλέον ή αντί» των άλλων διορθωτικών μέτρων τα οποία απαριθμούνται στο άρθρο 58, παράγραφος 2, όπως προειδοποιήσεις, επιπλήξεις ή εντολές. Ομοίως, στην αιτιολογική σκέψη 148 του ΓΚΠΔ αναφέρεται, μεταξύ άλλων, ότι οι εποπτικές αρχές μπορούν, σε περίπτωση παράβασης ελάσσονος σημασίας ή αν το διοικητικό πρόστιμο που ενδέχεται να επιβληθεί θα αποτελούσε δυσανάλογη επιβάρυνση για φυσικό πρόσωπο, να μην επιβάλλουν διοικητικό πρόστιμο και να επιβάλλουν, αντ’ αυτού, επίπληξη.

Αφετέρου, όπως επισημάνθηκε στη σκέψη 50 της παρούσας απόφασης, οι διατάξεις του ΓΚΠΔ αποσκοπούν, μεταξύ άλλων, στη διασφάλιση συνεκτικού και υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης και, προς τούτο, στη διασφάλιση συνεκτικής και ομοιόμορφης εφαρμογής των κανόνων για την προστασία των ελευθεριών και των θεμελιωδών δικαιωμάτων των προσώπων αυτών έναντι της επεξεργασίας τέτοιων δεδομένων σε ολόκληρη την Ένωση. Επιπλέον, προκειμένου να διασφαλίζεται η συνεκτική εφαρμογή του κανονισμού, οι εποπτικές αρχές πρέπει να διαθέτουν ισοδύναμες εξουσίες εποπτείας και ελέγχου της συμμόρφωσης προς τους κανόνες για την προστασία των δεδομένων προσωπικού χαρακτήρα, ώστε να μπορούν να επιβάλλουν ισοδύναμες κυρώσεις σε περίπτωση παραβάσεων του κανονισμού.

Η ύπαρξη συστήματος κυρώσεων βάσει του οποίου επιβάλλεται διοικητικό πρόστιμο κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ, όταν τούτο δικαιολογείται από τις ειδικές περιστάσεις κάθε συγκεκριμένης περίπτωσης, δημιουργεί κίνητρο ώστε οι υπεύθυνοι επεξεργασίας και οι εκτελούντες την επεξεργασία να συμμορφώνονται με τον κανονισμό. Με το αποτρεπτικό τους αποτέλεσμα, τα διοικητικά πρόστιμα συμβάλλουν στην ενίσχυση της προστασίας των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και συνιστούν, ως εκ τούτου, βασικό στοιχείο για τη διασφάλιση του σεβασμού των δικαιωμάτων τους σύμφωνα με τον σκοπό του κανονισμού, ο οποίος συνίσταται στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα.

Εντούτοις, ο νομοθέτης της Ένωσης δεν έκρινε αναγκαίο, για τη διασφάλιση ενός τέτοιου υψηλού επιπέδου προστασίας, να προβλέψει την επιβολή διοικητικών προστίμων σε περίπτωση μη συνδρομής υπαιτιότητας. Λαμβανομένου υπόψη ότι ο ΓΚΠΔ αποσκοπεί σε ισοδύναμο και ομοιογενές επίπεδο προστασίας και ότι, προς τούτο, πρέπει να εφαρμόζεται με συνέπεια σε ολόκληρη την Ένωση, θα ήταν αντίθετο προς τον σκοπό αυτόν να επιτρέπεται στα κράτη μέλη να προβλέπουν τέτοιο καθεστώς για την επιβολή προστίμου κατ’ εφαρμογήν του άρθρου 83 του κανονισμού. Μια τέτοια ελευθερία επιλογής θα μπορούσε, επιπλέον, να στρεβλώσει τον ανταγωνισμό μεταξύ των οικονομικών παραγόντων εντός της Ένωσης, πράγμα το οποίο θα αντέβαινε στους σκοπούς που διατύπωσε ο νομοθέτης της Ένωσης, μεταξύ άλλων, στις αιτιολογικές σκέψεις 9 και 13 του ΓΚΠΔ.

Κατά συνέπεια, διαπιστώνεται, πρώτον, ότι το άρθρο 83 του ΓΚΠΔ δεν επιτρέπει να επιβάλλεται διοικητικό πρόστιμο για παράβαση για την οποία γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου αυτού, χωρίς να αποδεικνύεται ότι η παράβαση αυτή διαπράχθηκε εκ προθέσεως ή εξ αμελείας από τον υπεύθυνο επεξεργασίας καθώς και, δεύτερον, ότι η υπαίτια παράβαση συνιστά, ως εκ τούτου, προϋπόθεση για την επιβολή τέτοιου προστίμου.

Συναφώς, όσον αφορά το ζήτημα αν μια παράβαση διαπράχθηκε εκ προθέσεως ή εξ αμελείας και μπορεί, για τον λόγο αυτόν, να επισύρει διοικητικό πρόστιμο βάσει του άρθρου 83 του ΓΚΠΔ, πρέπει επιπλέον να διευκρινιστεί ότι ο υπεύθυνος επεξεργασίας μπορεί να τιμωρηθεί για συμπεριφορά που εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ, εφόσον δεν μπορούσε να αγνοεί ότι η συμπεριφορά του συνιστά παράβαση, ανεξαρτήτως του αν είχε επίγνωση ότι παρέβαινε τις διατάξεις του ΓΚΠΔ (βλ., κατ’ αναλογίαν, αποφάσεις της 18ης Ιουνίου 2013, Schenker & Co κ.λπ., C‑681/11, EU:C:2013:404, σκέψη 37 και εκεί μνημονευόμενη νομολογία, της 25ης Μαρτίου 2021, Lundbeck κατά Επιτροπής, C‑591/16 P, EU:C:2021:243, σκέψη 156, και της 25ης Μαρτίου 2021, Arrow Group και Arrow Generics κατά Επιτροπής, C‑601/16 P, EU:C:2021:244, σκέψη 97).

Πρέπει επίσης να διευκρινιστεί ότι, όταν ο υπεύθυνος επεξεργασίας είναι νομικό πρόσωπο, η εφαρμογή του άρθρου 83 του ΓΚΠΔ δεν προϋποθέτει ενέργεια ή έστω γνώση εκ μέρους του οργάνου διαχείρισης του εν λόγω νομικού προσώπου (βλ., κατ’ αναλογίαν, αποφάσεις της 7ης Ιουνίου 1983, Musique Diffusion française κ.λπ. κατά Επιτροπής,100/80 έως 103/80, EU:C:1983:158, σκέψη 97, και της 16ης Φεβρουαρίου 2017, Tudapetrol Mineralölerzeugnisse Nils Hansen κατά Επιτροπής, C‑94/15 P, EU:C:2017:124, σκέψη 28 και εκεί μνημονευόμενη νομολογία).

Λαμβανομένων υπόψη των ανωτέρω σκέψεων, στο δεύτερο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 83 του ΓΚΠΔ έχει την έννοια ότι μπορεί να επιβληθεί διοικητικό πρόστιμο κατ’ εφαρμογήν της διάταξης αυτής μόνον εάν αποδεικνύεται ότι ο υπεύθυνος επεξεργασίας, ο οποίος είναι νομικό πρόσωπο και συγχρόνως επιχείρηση, διέπραξε εκ προθέσεως ή εξ αμελείας παράβαση για την οποία γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου αυτού.

Επί των δικαστικών εξόδων

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (τμήμα μείζονος συνθέσεως) αποφαίνεται:

Το άρθρο 58, παράγραφος 2, στοιχείο θʹ, και το άρθρο 83, παράγραφοι 1 έως 6, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχουν την έννοια ότι:

αντιτίθενται σε εθνική ρύθμιση δυνάμει της οποίας μπορεί να επιβληθεί διοικητικό πρόστιμο σε νομικό πρόσωπο υπό την ιδιότητά του ως υπευθύνου επεξεργασίας για παράβαση για την οποία γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου 83 μόνον εφόσον η παράβαση αυτή έχει προηγουμένως καταλογιστεί σε ταυτοποιημένο φυσικό πρόσωπο.

Το άρθρο 83 του κανονισμού 2016/679

έχει την έννοια ότι:

μπορεί να επιβληθεί διοικητικό πρόστιμο κατ’ εφαρμογήν της διάταξης αυτής μόνον εάν αποδεικνύεται ότι ο υπεύθυνος επεξεργασίας, ο οποίος είναι νομικό πρόσωπο και συγχρόνως επιχείρηση, διέπραξε εκ προθέσεως ή εξ αμελείας παράβαση για την οποία γίνεται λόγος στις παραγράφους 4 έως 6 του άρθρου αυτού.

(υπογραφές)

( *1 ) Γλώσσα διαδικασίας: η γερμανική.