Προσωρινό κείμενο
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πέμπτο τμήμα)
της 13ης Φεβρουαρίου 2025 (*)
« Προδικαστική παραπομπή – Προστασία δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 83, παράγραφοι 4 έως 6 και 9 – Έννοια της “επιχείρησης” – Μητρική και θυγατρική εταιρία – Παράβαση του εν λόγω κανονισμού από θυγατρική – Υπολογισμός του ποσού του προστίμου – Συνεκτίμηση του συνολικού κύκλου εργασιών του ομίλου στον οποίο ανήκει η θυγατρική »
Στην υπόθεση C‑383/23,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Vestre Landsret (εφετείο δυτικής περιφέρειας, Δανία) με απόφαση της 3ης Μαΐου 2023, η οποία περιήλθε στο Δικαστήριο στις 21 Ιουνίου 2023, στο πλαίσιο της ποινικής δίκης κατά της
ILVA A/S
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (πέμπτο τμήμα),
συγκείμενο από τους I. Jarukaitis, πρόεδρο του τετάρτου τμήματος, προεδρεύοντα του πέμπτου τμήματος, Δ. Γρατσία και Z. Csehi (εισηγητή), δικαστές,
γενική εισαγγελέας: L. Medina
γραμματέας: C. Strömholm, διοικητική υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 19ης Ιουνίου 2024,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– η ILVA A/S, εκπροσωπούμενη από τον D. B. Geary, advokat,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους Α. Μπουχάγιαρ, H. Kranenborg και C. Vang,
αφού άκουσε τη γενική εισαγγελέα, που ανέπτυξε τις προτάσεις της κατά τη συνεδρίαση της 12ης Σεπτεμβρίου 2024,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 83, παράγραφοι 4 έως 6, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ποινικής διαδικασίας που κινήθηκε από την Anklagemyndigheden (εισαγγελική αρχή, Δανία) κατά της ILVA A/S λόγω φερόμενων παραβάσεων των υποχρεώσεων που υπέχει, δυνάμει του ΓΚΠΔ, η εν λόγω εταιρία υπό την ιδιότητά της ως υπευθύνου επεξεργασίας δεδομένων προσωπικού χαρακτήρα πρώην πελατών της.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Οι αιτιολογικές σκέψεις 150 και 151 του ΓΚΠΔ έχουν ως εξής:
«(150) Για την ενίσχυση και την εναρμόνιση των διοικητικών ποινών κατά παραβάσεων του παρόντος κανονισμού, κάθε εποπτική αρχή θα πρέπει να έχει την εξουσία να επιβάλλει διοικητικά πρόστιμα. Ο παρών κανονισμός θα πρέπει να υποδεικνύει τις παραβιάσεις, και το ανώτατο όριο και τα κριτήρια για τον καθορισμό των σχετικών διοικητικών προστίμων, τα οποία θα πρέπει να καθορίζονται από την αρμόδια εποπτική αρχή σε κάθε μεμονωμένη περίπτωση, αφού ληφθούν υπόψη όλες οι συναφείς περιστάσεις της συγκεκριμένης κατάστασης, με τη δέουσα προσοχή ειδικότερα στη φύση, τη βαρύτητα και τη διάρκεια της παράβασης και στις συνέπειές της και τα μέτρα που λαμβάνονται για τη διασφάλιση της συμμόρφωσης με τις υποχρεώσεις που απορρέουν από τον παρόντα κανονισμό και για την πρόληψη ή τον μετριασμό των συνεπειών της παράβασης. Σε περίπτωση που τα διοικητικά πρόστιμα επιβάλλονται σε επιχείρηση, μια επιχείρηση θα πρέπει να νοείται επιχείρηση σύμφωνα με τα άρθρα 101 και 102 ΣΛΕΕ για τους σκοπούς αυτούς. […]
(151) Στα νομικά συστήματα της Δανίας και της Εσθονίας δεν προβλέπονται διοικητικά πρόστιμα όπως καθορίζονται στον παρόντα κανονισμό. Οι κανόνες σχετικά με τα διοικητικά πρόστιμα μπορούν να εφαρμόζονται κατά τρόπον ώστε στη Δανία το πρόστιμο να επιβάλλεται από τα αρμόδια εθνικά δικαστήρια ως ποινική κύρωση και στην Εσθονία το πρόστιμο να επιβάλλεται από την εποπτική αρχή στο πλαίσιο διαδικασίας για πλημμελήματα, υπό την προϋπόθεση ότι μια τέτοια εφαρμογή των κανόνων σε αυτά τα κράτη μέλη έχει ισοδύναμο αποτέλεσμα με διοικητικά πρόστιμα που επιβάλλονται από τις εποπτικές αρχές. Ως εκ τούτου, τα αρμόδια εθνικά δικαστήρια θα πρέπει να λαμβάνουν υπόψη τη σύσταση της εποπτικής αρχής από την οποία προέρχεται το πρόστιμο. Εν πάση περιπτώσει, τα πρόστιμα που επιβάλλονται θα πρέπει να είναι αποτελεσματικά, αναλογικά και αποτρεπτικά.»
4 Το άρθρο 5 του ΓΚΠΔ θεσπίζει τις αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα.
5 Το άρθρο 6 του ΓΚΠΔ καθορίζει τις προϋποθέσεις υπό τις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα θεωρείται σύννομη.
6 Το άρθρο 58 του ΓΚΠΔ φέρει τον τίτλο «Εξουσίες» και ορίζει στην παράγραφο 2 τα εξής:
«Κάθε αρχή ελέγχου διαθέτει όλες τις ακόλουθες διορθωτικές εξουσίες:
[…]
θ) να επιβάλλει διοικητικό πρόστιμο δυνάμει του άρθρου 83, επιπλέον ή αντί των μέτρων που αναφέρονται στην παρούσα παράγραφο, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης,
[…]».
7 Το άρθρο 83 του ΓΚΠΔ φέρει τον τίτλο «Γενικοί όροι επιβολής διοικητικών προστίμων» και προβλέπει στις παραγράφους 1, 2, 4 έως 6 και 9 τα εξής:
«1. Κάθε εποπτική αρχή μεριμνά ώστε η επιβολή διοικητικών προστίμων σύμφωνα με το παρόν άρθρο έναντι παραβάσεων του παρόντος κανονισμού που αναφέρονται στις παραγράφους 4, 5 και 6 να είναι για κάθε μεμονωμένη περίπτωση αποτελεσματική, αναλογική και αποτρεπτική.
2. Τα διοικητικά πρόστιμα, ανάλογα με τις περιστάσεις κάθε μεμονωμένης περίπτωσης, επιβάλλονται επιπρόσθετα ή αντί των μέτρων που αναφέρονται στο άρθρο 58 παράγραφος 2 στοιχεία α) έως η) και στο άρθρο 58 παράγραφος 2 στοιχείο ι). Κατά τη λήψη απόφασης σχετικά με την επιβολή διοικητικού προστίμου, καθώς και σχετικά με το ύψος του διοικητικού προστίμου για κάθε μεμονωμένη περίπτωση, λαμβάνονται δεόντως υπόψη τα ακόλουθα:
α) η φύση, η βαρύτητα και η διάρκεια της παράβασης, λαμβάνοντας υπόψη τη φύση, την έκταση ή το σκοπό της σχετικής επεξεργασίας, καθώς και τον αριθμό των υποκειμένων των δεδομένων που έθιξε η παράβαση και το βαθμό ζημίας που υπέστησαν,
β) ο δόλος ή η αμέλεια που προκάλεσε την παράβαση,
γ) οποιεσδήποτε ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία για να μετριάσει τη ζημία που υπέστησαν τα υποκείμενα των δεδομένων,
δ) ο βαθμός ευθύνης του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία, λαμβάνοντας υπόψη τα τεχνικά και οργανωτικά μέτρα που εφαρμόζουν δυνάμει των άρθρων 25 και 32,
ε) τυχόν σχετικές προηγούμενες παραβάσεις του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία,
στ) ο βαθμός συνεργασίας με την αρχή ελέγχου για την επανόρθωση της παράβασης και τον περιορισμό των πιθανών δυσμενών επιπτώσεών της,
ζ) οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση,
η) ο τρόπος με τον οποίο η εποπτική αρχή πληροφορήθηκε την παράβαση, ειδικότερα εάν και κατά πόσο ο υπεύθυνος επεξεργασίας ή ο εκτελών την επεξεργασία κοινοποίησε την παράβαση,
θ) σε περίπτωση που διατάχθηκε προηγουμένως η λήψη των μέτρων που αναφέρονται στο άρθρο 58 παράγραφος 2 κατά του εμπλεκόμενου υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία σχετικά με το ίδιο αντικείμενο, η συμμόρφωση με τα εν λόγω μέτρα,
ι) η τήρηση εγκεκριμένων κωδίκων δεοντολογίας σύμφωνα με το άρθρο 40 ή εγκεκριμένων μηχανισμών πιστοποίησης σύμφωνα με το άρθρο 42 και
ια) κάθε άλλο επιβαρυντικό ή ελαφρυντικό στοιχείο που προκύπτει από τις περιστάσεις της συγκεκριμένης περίπτωσης, όπως τα οικονομικά οφέλη που αποκομίστηκαν ή ζημ[ίες] που αποφεύχθηκαν, άμεσα ή έμμεσα, από την παράβαση.
[…]
4. Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 10 000 000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο:
[…]
5. Παραβάσεις των ακόλουθων διατάξεων επισύρουν, σύμφωνα με την παράγραφο 2, διοικητικά πρόστιμα έως 20 000 000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο:
[…]
6. Η μη συμμόρφωση προς εντολή της εποπτικής αρχής όπως αναφέρεται στο άρθρο 58 παράγραφος 2 επισύρει, σύμφωνα με την παράγραφο 2 του παρόντος άρθρου, διοικητικά πρόστιμα έως 20 000 000 [ευρώ] ή, σε περίπτωση επιχειρήσεων, έως το 4 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών του προηγούμενου οικονομικού έτους, ανάλογα με το ποιο είναι υψηλότερο.
[…]
9. Όταν το νομικό σύστημα του κράτους μέλους δεν προβλέπει επιβολή διοικητικών προστίμων, το παρόν άρθρο μπορεί να εφαρμόζεται κατά τρόπο ώστε η διαδικασία επιβολής να κινείται από την αρμόδια εποπτική αρχή και να επιβάλλεται από τα αρμόδια εθνικά δικαστήρια, με την ταυτόχρονη διασφάλιση ότι τα εν λόγω ένδικα μέσα είναι αποτελεσματικά και έχουν ισοδύναμο αποτέλεσμα με τα διοικητικά πρόστιμα που επιβάλλονται από τις εποπτικές αρχές. Εν πάση περιπτώσει, τα πρόστιμα που επιβάλλονται είναι αποτελεσματικά, αναλογικά και αποτρεπτικά. Τα εν λόγω κράτη μέλη κοινοποιούν στην [Ευρωπαϊκή] Επιτροπή τις διατάξεις των νόμων τους που θεσπίζουν σύμφωνα με την παρούσα παράγραφο, έως τις 25 Μαΐου 2018 και, χωρίς καθυστέρηση, κάθε επακολουθούντα τροποποιητικό νόμο ή τροποποίησή τους.»
Το δανικό δίκαιο
8 O lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (νόμος 502 περί θεσπίσεως διατάξεων για τη συμπλήρωση του [ΓΚΠΔ]), της 23ης Μαΐου 2018, ορίζει, στο άρθρο 41, τα εξής:
«1. Εφόσον δεν προβλέπεται μεγαλύτερη ποινή βάσει άλλου νομοθετήματος, τιμωρείται με πρόστιμο ή με στερητική της ελευθερίας ποινή έως έξι μήνες όποιος παραβιάζει τις διατάξεις που αφορούν:
[…]
4) τις βασικές αρχές της επεξεργασίας δεδομένων, συμπεριλαμβανομένων των προϋποθέσεων για συγκατάθεση οι οποίες προβλέπονται στα άρθρα 5 έως 7 και 9 του [ΓΚΠΔ],
[…]
3. Το άρθρο 83, παράγραφος, 2 του [ΓΚΠΔ] εφαρμόζεται κατά την επιβολή κύρωσης σύμφωνα με τις παραγράφους 1 και 2.
[…]
6. Εταιρίες κ.λπ. (νομικά πρόσωπα) μπορούν να υπέχουν ποινική ευθύνη κατ’ εφαρμογήν των διατάξεων του κεφαλαίου 5 του [straffeloven (ποινικού κώδικα)]. […]»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
9 Η ILVA διατηρεί αλυσίδα καταστημάτων επίπλων και ανήκει στον όμιλο Lars Larsen Group. Ο συνολικός κύκλος εργασιών του ομίλου για το οικονομικό έτος 2016/2017 ανερχόταν σε 6,57 δισεκατομμύρια δανικές κορώνες (DKK) (περίπου 881 εκατομμύρια ευρώ) και ο κύκλος εργασιών της ILVA ανερχόταν σε περίπου 1,8 δισεκατομμύρια DKK (περίπου 241 εκατομμύρια ευρώ) για το ίδιο οικονομικό έτος.
10 Κατά της ILVA ασκήθηκε ποινική δίωξη ενώπιον των δανικών δικαστηρίων για παράβαση, κατά το χρονικό διάστημα από τον Μάιο του 2018 έως τον Ιανουάριο του 2019, των υποχρεώσεων που υπείχε δυνάμει του ΓΚΠΔ υπό την ιδιότητα του υπευθύνου επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο πλαίσιο της διατήρησης δεδομένων τουλάχιστον 350 000 πρώην πελατών της.
11 Κατόπιν συστάσεως της Datatilsynet (Αρχής προστασίας δεδομένων, Δανία), η εισαγγελική αρχή ζήτησε την επιβολή προστίμου 1,5 εκατομμυρίων DKK (περίπου 201 000 ευρώ) στην ILVA. Ο υπολογισμός του ποσού αυτού στηρίχθηκε όχι μόνο στον κύκλο εργασιών της ILVA, αλλά και στον συνολικό κύκλο εργασιών του ομίλου Lars Larsen Group.
12 Με απόφαση της 12ης Φεβρουαρίου 2021, το retten i Aarhus (πλημμελειοδικείο Aarhus, Δανία) έκρινε την ILVA ένοχη για τις πράξεις που της προσάπτονταν και την καταδίκασε στην καταβολή προστίμου ύψους 100 000 DKK (περίπου 13 400 ευρώ). Το εν λόγω δικαστήριο έκρινε ότι η ILVA είχε ενεργήσει εξ αμελείας, αντιθέτως προς όσα είχε υποστηρίξει η εισαγγελική αρχή. Επιπλέον, έκρινε ότι, στο μέτρο που είχε ασκηθεί ποινική δίωξη μόνον κατά της ILVA, δεν έπρεπε να ληφθεί υπόψη ο κύκλος εργασιών του ομίλου Lars Larsen Group για τον καθορισμό του ποσού του προστίμου. Επιπροσθέτως, επισήμανε ότι η ILVA ασκούσε ανεξάρτητη δραστηριότητα λιανικής πώλησης και δεν είχε συσταθεί από τη μητρική εταιρία του ομίλου αυτού με μοναδικό σκοπό τη διασφάλιση της επεξεργασίας των δεδομένων του ομίλου.
13 Η εισαγγελική αρχή άσκησε έφεση κατά της ως άνω απόφασης ενώπιον του Vestre Landsret (εφετείου δυτικής περιφέρειας, Δανία), ήτοι του αιτούντος δικαστηρίου. Η εισαγγελική αρχή υποστηρίζει ότι ο όρος «επιχείρηση» του άρθρου 83, παράγραφοι 4 έως 6, του ΓΚΠΔ έχει την έννοια ότι, για τον καθορισμό του προστίμου σε περίπτωση παράβασης του ΓΚΠΔ από εταιρία, πρέπει να λαμβάνεται υπόψη ο κύκλος εργασιών του ομίλου στον οποίον ανήκει η εν λόγω εταιρία. Ειδικότερα, από την αιτιολογική σκέψη 150 του ΓΚΠΔ συνάγεται ότι ο συγκεκριμένος όρος πρέπει να ερμηνεύεται σύμφωνα με τα άρθρα 101 και 102 ΣΛΕΕ.
14 Αντιθέτως, η ILVA διατείνεται ότι, για τον καθορισμό του προστίμου που επιβάλλεται λόγω παράβασης του ΓΚΠΔ από εταιρία, δεν πρέπει να λαμβάνεται υπόψη ο συνολικός κύκλος εργασιών του ομίλου στον οποίον ανήκει η εταιρία. Εν προκειμένω, ασκήθηκε ποινική δίωξη μόνον κατά της ILVA και όχι και κατά της μητρικής εταιρίας αυτής.
15 Το αιτούν δικαστήριο εκτιμά ότι η επίλυση του ανωτέρω ζητήματος δεν προκύπτει με σαφήνεια από τον ΓΚΠΔ.
16 Υπό τις περιστάσεις αυτές, το Vestre Landsret (εφετείο δυτικής περιφέρειας) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Έχει ο όρος “επιχείρηση” του άρθρου 83, παράγραφοι 4 έως 6, του [ΓΚΠΔ] την έννοια της επιχείρησης όπως αυτή ορίζεται στα άρθρα 101 και 102 ΣΛΕΕ, σε συνδυασμό με την αιτιολογική σκέψη 150 του [ΓΚΠΔ], και στη νομολογία του Δικαστηρίου σχετικά με το δίκαιο ανταγωνισμού της Ένωσης, ούτως ώστε ο όρος “επιχείρηση” να καλύπτει κάθε οντότητα που ασκεί οικονομική δραστηριότητα, ανεξάρτητα από το νομικό καθεστώς της και τον τρόπο με τον οποίο χρηματοδοτείται;
2) Σε περίπτωση καταφατικής απάντησης στο πρώτο ερώτημα: έχει το άρθρο 83, παράγραφοι 4 έως 6, του [ΓΚΠΔ] την έννοια ότι, κατά την επιβολή προστίμου σε μια επιχείρηση, πρέπει να λαμβάνεται υπόψη ο συνολικός ετήσιος παγκόσμιος κύκλος εργασιών της οικονομικής οντότητας στην οποία ανήκει η επιχείρηση ή μόνο ο συνολικός ετήσιος παγκόσμιος κύκλος εργασιών της ίδιας της επιχείρησης;»
Επί των προδικαστικών ερωτημάτων
17 Με τα προδικαστικά ερωτήματα, τα οποία πρέπει να εξεταστούν από κοινού, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 150 του κανονισμού, έχει την έννοια ότι ο όρος «επιχείρηση», ο οποίος περιλαμβάνεται στις εν λόγω διατάξεις, αντιστοιχεί στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ, και, ως εκ τούτου, όταν επιβάλλεται πρόστιμο λόγω παράβασης του ΓΚΠΔ σε υπεύθυνο επεξεργασίας δεδομένων προσωπικού χαρακτήρα ο οποίος είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, το ποσό του προστίμου καθορίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ, κατά το προηγούμενο οικονομικό έτος.
18 Εκ προοιμίου, επισημαίνεται ότι το Δικαστήριο είχε ήδη την ευκαιρία να απαντήσει σε ορισμένα ερωτήματα σχετικά με την ερμηνεία του άρθρου 83 του ΓΚΠΔ με την απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, σκέψεις 53 έως 59), η οποία εκδόθηκε μετά την περάτωση της έγγραφης διαδικασίας στην υπό κρίση υπόθεση.
19 Το Δικαστήριο έκρινε ότι η έννοια της «επιχείρησης», κατά τα άρθρα 101 και 102 ΣΛΕΕ, δεν ασκεί επιρροή στο ζήτημα αν και υπό ποιες προϋποθέσεις μπορεί να επιβληθεί διοικητικό πρόστιμο κατ’ εφαρμογήν του άρθρου 83 του ΓΚΠΔ σε υπεύθυνο επεξεργασίας ο οποίος είναι νομικό πρόσωπο, δεδομένου ότι το ζήτημα αυτό ρυθμίζεται εξαντλητικά από το άρθρο 58, παράγραφος 2, και από το άρθρο 83, παράγραφοι 1 έως 6, του κανονισμού (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 53).
20 Πράγματι, η έννοια αυτή ασκεί επιρροή μόνον στον καθορισμό του ύψους του διοικητικού προστίμου που επιβάλλεται στον υπεύθυνο επεξεργασίας δυνάμει του άρθρου 83, παράγραφοι 4 έως 6, του ΓΚΠΔ (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 54).
21 Σε αυτό ακριβώς το ειδικό πλαίσιο του υπολογισμού των διοικητικών προστίμων που επιβάλλονται για τις προβλεπόμενες στο άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ παραβάσεις πρέπει να νοείται η αναφορά της αιτιολογικής σκέψης 150 του κανονισμού αυτού στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 55).
22 Συναφώς, υπογραμμίζεται ότι, για την εφαρμογή των κανόνων ανταγωνισμού των άρθρων 101 και 102 ΣΛΕΕ, η ως άνω έννοια καλύπτει κάθε φορέα ο οποίος ασκεί οικονομική δραστηριότητα, ανεξαρτήτως του νομικού καθεστώτος που τον διέπει και του τρόπου χρηματοδότησής του. Προσδιορίζει, επομένως, μια οικονομική ενότητα, έστω και αν, από νομικής απόψεως, αυτή αποτελείται από περισσότερα φυσικά ή νομικά πρόσωπα. Η οικονομική αυτή ενότητα συνίσταται σε ενιαία οργάνωση προσωπικών, υλικών και άυλων στοιχείων, τα οποία έχουν ταχθεί στη διαρκή επιδίωξη ορισμένου οικονομικού σκοπού (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 56 και εκεί μνημονευόμενη νομολογία).
23 Συνεπώς, από το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, το οποίο αφορά τον υπολογισμό των διοικητικών προστίμων για τις παραβάσεις που απαριθμούνται στις παραγράφους αυτές, προκύπτει ότι, σε περίπτωση που ο αποδέκτης του διοικητικού προστίμου είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ, το ανώτατο ποσό του διοικητικού προστίμου υπολογίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος (απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 57).
24 Εντούτοις, ο καθορισμός του ανώτατου ως άνω ποσού πρέπει να διακρίνεται από τον υπολογισμό, αυτόν καθεαυτόν, του ποσού του προστίμου που πρέπει να επιβληθεί από την αρμόδια εποπτική αρχή για τη συγκεκριμένη παράβαση ή τις συγκεκριμένες παραβάσεις του ΓΚΠΔ για τις οποίες επιβάλλεται το πρόστιμο.
25 Συνεπώς, δυνάμει του άρθρου 83, παράγραφος 1, του ΓΚΠΔ, κάθε εποπτική αρχή μεριμνά ώστε τα διοικητικά πρόστιμα που επιβάλλονται δυνάμει του άρθρου 83 για τις παραβάσεις του ΓΚΠΔ που μνημονεύονται στις παραγράφους 4 έως 6 του ίδιου άρθρου να είναι για κάθε μεμονωμένη περίπτωση αποτελεσματικά, αναλογικά και αποτρεπτικά.
26 Πέραν της τήρησης των ως άνω τριών προϋποθέσεων, η παράγραφος 2 του άρθρου 83 του ΓΚΠΔ απαιτεί από την αρμόδια εποπτική αρχή, προκειμένου αυτή να αποφασίσει αν πρέπει να επιβάλει διοικητικό πρόστιμο και προκειμένου να καθορίσει το ύψος του, να λαμβάνει δεόντως υπόψη, για κάθε μεμονωμένη περίπτωση, ορισμένα στοιχεία.
27 Μεταξύ των στοιχείων αυτών περιλαμβάνονται, σύμφωνα με την τελευταία ως άνω διάταξη, ιδίως η φύση, η βαρύτητα και η διάρκεια της παράβασης, ο αριθμός των υποκειμένων των δεδομένων που θίγονται και ο βαθμός της ζημίας που υπέστησαν, ο δόλος ή η αμέλεια που προκάλεσε την παράβαση, οι ενέργειες στις οποίες προέβη ο υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα ή ο εκτελών την επεξεργασία για να μετριάσει την προκληθείσα ζημία, ο βαθμός ευθύνης του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία και οι κατηγορίες δεδομένων προσωπικού χαρακτήρα που επηρεάζει η παράβαση.
28 Τα ως άνω στοιχεία χαρακτηρίζουν είτε τη συμπεριφορά του υπευθύνου επεξεργασίας ή του εκτελούντος την επεξεργασία που κατηγορείται για παραβάσεις ορισμένων διατάξεων του ΓΚΠΔ, είτε τις ίδιες τις παραβάσεις. Επομένως, σκοπός τους είναι να διασφαλίσουν ότι καθεμιά από τις εν λόγω παραβάσεις αξιολογείται βάσει του συνόλου των κρίσιμων ατομικών περιστάσεων και ότι επιτυγχάνονται οι σκοποί που επιδιώκονται με το σύστημα κυρώσεων που προβλέπει ο ΓΚΠΔ.
29 Μολονότι τα ανωτέρω στοιχεία δεν παραπέμπουν στην έννοια της επιχείρησης κατά τα άρθρα 101 και 102 ΣΛΕΕ, το Δικαστήριο έχει κρίνει ότι μόνον πρόστιμο το οποίο λαμβάνει υπόψη όχι μόνον το σύνολο των στοιχείων που χαρακτηρίζουν, κατά τα προεκτεθέντα, τις διαπιστωθείσες παραβάσεις του ΓΚΠΔ, αλλά και, εφόσον συντρέχει περίπτωση, την πραγματική ή ουσιαστική οικονομική ικανότητα του αποδέκτη του διοικητικού προστίμου μπορεί να πληροί τις τρεις προϋποθέσεις του άρθρου 83, παράγραφος 1, του ΓΚΠΔ, ήτοι να είναι συγχρόνως αποτελεσματικό, αναλογικό και αποτρεπτικό. Πλην όμως, για την εκτίμηση των προϋποθέσεων αυτών, πρέπει να ληφθεί υπόψη κατά πόσον ο εν λόγω αποδέκτης αποτελεί μέρος επιχείρησης, κατά την έννοια των άρθρων 101 και 102 ΣΛΕΕ (πρβλ. απόφαση της 5ης Δεκεμβρίου 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, σκέψη 58).
30 Η ερμηνεία του άρθρου 83 του ΓΚΠΔ που προκύπτει από τις σκέψεις 25 έως 29 της παρούσας απόφασης έχει επίσης εφαρμογή στην περίπτωση που οι διαπιστωθείσες παραβάσεις του ΓΚΠΔ δεν τιμωρούνται με διοικητικό πρόστιμο, αλλά με πρόστιμο που επιβάλλεται από τα αρμόδια εθνικά δικαστήρια ως ποινική κύρωση.
31 Όπως επισημαίνεται στην αιτιολογική σκέψη 151 του ΓΚΠΔ, ορισμένα εθνικά νομικά συστήματα, μεταξύ των οποίων και αυτό του Βασιλείου της Δανίας, δεν προβλέπουν διοικητικά πρόστιμα όπως αυτά καθορίζονται στον ΓΚΠΔ.
32 Για τη ρύθμιση της περίπτωσης αυτής, το άρθρο 83, παράγραφος 9, του ΓΚΠΔ ορίζει ότι, όταν το νομικό σύστημα κράτους μέλους δεν προβλέπει επιβολή διοικητικών προστίμων, το εν λόγω άρθρο 83 μπορεί να εφαρμόζεται κατά τρόπο ώστε, όπως εν προκειμένω, η διαδικασία επιβολής προστίμου να κινείται από την αρμόδια εποπτική αρχή και το πρόστιμο να επιβάλλεται από τα αρμόδια εθνικά δικαστήρια.
33 Επιπλέον, στο άρθρο 83, παράγραφος 9, όπως και στην αιτιολογική σκέψη 151 του κανονισμού, διευκρινίζεται ότι οι εν λόγω διαδικασίες πρέπει να είναι αποτελεσματικές και να έχουν ισοδύναμο αποτέλεσμα με τα διοικητικά πρόστιμα που επιβάλλονται από τις εποπτικές αρχές και ότι, εν πάση περιπτώσει, τα πρόστιμα που επιβάλλονται πρέπει να είναι αποτελεσματικά, αναλογικά και αποτρεπτικά.
34 Τούτου λεχθέντος, το γεγονός ότι το πρόστιμο επιβάλλεται από ποινικό δικαστήριο στο πλαίσιο ποινικής δίκης συνεπάγεται ότι το δικαστήριο αυτό οφείλει ανά πάσα στιγμή να τηρεί τους εφαρμοστέους σε ποινικές υποθέσεις κανόνες, στους οποίους περιλαμβάνονται, ειδικότερα, τα δικονομικά δικαιώματα των οποίων απολαύει ο κατηγορούμενος και η αρχή της αναλογικότητας της ποινής, όπως αυτά κατοχυρώνονται από τον Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης.
35 Συναφώς, όπως επισήμανε η γενική εισαγγελέας στο σημείο 74 των προτάσεών της, το άρθρο 83 του ΓΚΠΔ απαιτεί από τις αρμόδιες εποπτικές αρχές να διασφαλίζουν, σε όλες ανεξαιρέτως τις περιπτώσεις, ότι κατά τον καθορισμό του πραγματικού ποσού του επιβαλλόμενου προστίμου τηρείται η αρχή της αναλογικότητας, επιτυγχάνοντας μια δίκαιη εξισορρόπηση μεταξύ των απαιτήσεων του γενικού συμφέροντος για την προστασία δεδομένων προσωπικού χαρακτήρα και των απαιτήσεων προστασίας των δικαιωμάτων του υπευθύνου επεξεργασίας τέτοιων δεδομένων, του εκτελούντος την επεξεργασία ή της επιχείρησης στην οποία αυτοί ανήκουν. Ως εκ τούτου, δεν κωλύεται για λόγους αρχής η εφαρμογή της έννοιας της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ, στο πλαίσιο της εφαρμογής του άρθρου 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, όταν οι παραβάσεις του ΓΚΠΔ δεν τιμωρούνται με διοικητικά πρόστιμα, αλλά με πρόστιμα που επιβάλλονται από ποινικά δικαστήρια.
36 Λαμβανομένων υπόψη των προεκτεθέντων, στα υποβληθέντα προδικαστικά ερωτήματα πρέπει να δοθεί η απάντηση ότι το άρθρο 83, παράγραφοι 4 έως 6, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 150 του κανονισμού, έχει την έννοια ότι ο όρος «επιχείρηση», ο οποίος περιλαμβάνεται στις εν λόγω διατάξεις, αντιστοιχεί στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ και, ως εκ τούτου, όταν επιβάλλεται πρόστιμο λόγω παράβασης του ΓΚΠΔ σε υπεύθυνο επεξεργασίας δεδομένων προσωπικού χαρακτήρα ο οποίος είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, το ανώτατο ποσό του προστίμου καθορίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος. Η έννοια της «επιχείρησης» πρέπει επίσης να λαμβάνεται υπόψη προκειμένου να εκτιμάται η πραγματική ή ουσιαστική οικονομική ικανότητα του αποδέκτη του προστίμου και, επομένως, να εξακριβώνεται αν το πρόστιμο είναι συγχρόνως αποτελεσματικό, αναλογικό και αποτρεπτικό.
Επί των δικαστικών εξόδων
37 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (πέμπτο τμήμα) αποφαίνεται:
Το άρθρο 83, παράγραφοι 4 έως 6, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων), ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 150 του κανονισμού,
έχει την έννοια ότι:
ο όρος «επιχείρηση», ο οποίος περιλαμβάνεται στις εν λόγω διατάξεις, αντιστοιχεί στην έννοια της «επιχείρησης» κατά τα άρθρα 101 και 102 ΣΛΕΕ και, ως εκ τούτου, όταν επιβάλλεται πρόστιμο λόγω παράβασης του κανονισμού 2016/679 σε υπεύθυνο επεξεργασίας δεδομένων προσωπικού χαρακτήρα ο οποίος είναι επιχείρηση ή αποτελεί μέρος επιχείρησης, το ανώτατο ποσό του προστίμου καθορίζεται βάσει ποσοστού του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών της επιχείρησης κατά το προηγούμενο οικονομικό έτος. Η έννοια της «επιχείρησης» πρέπει επίσης να λαμβάνεται υπόψη προκειμένου να εκτιμάται η πραγματική ή ουσιαστική οικονομική ικανότητα του αποδέκτη του προστίμου και, επομένως, να εξακριβώνεται αν το πρόστιμο είναι συγχρόνως αποτελεσματικό, αναλογικό και αποτρεπτικό.
(υπογραφές)
* Γλώσσα διαδικασίας: η δανική.