62021CC0807

EUR-Lex

Access to European Union law

This document is an excerpt from the EUR-Lex website

EUROPA
EUR-Lex home
EUR-Lex - 62021CC0807 - EN

Help

Search tips

Need more search options? Use the Advanced search

Document 62021CC0807

Help

Kohtujurist Campos Sánchez-Bordona, 27.4.2023 ettepanek.
Deutsche Wohnen SE versus Staatsanwaltschaft Berlin.
Eelotsusetaotlus, mille on esitanud Kammergericht Berlin.
Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 4 punkt 7 – Mõiste „vastutav töötleja“ – Artikli 58 lõige 2 – Järelevalveasutuste parandusvolitused – Artikkel 83 – Trahvide määramine juriidilisele isikule – Tingimused – Liikmesriikide otsustusruum – Nõue, et rikkumine peab olema toime pandud tahtlikult või hooletusest.
Kohtuasi C-807/21.

Court reports – general

ECLI identifier: ECLI:EU:C:2023:360

Date of document:: 27/04/2023
Date lodged:: 21/12/2021

Author:: Euroopa Kohus
Country or organisation from which the request originates:: Saksamaa
Form:: Kohtujuristi ettepanek
Authentic language:: hispaania keel

Type of procedure:: Eelotsusetaotlus
Observations:: EL liikmesriigid, Euroopa Parlament, Eesti, Saksamaa, Norra, Euroopa Komisjon, Euroopa Liidu Nõukogu, ELi institutsioonide ja ametite, Madalmaad
Advocate General:: Campos Sánchez-Bordona

Link: Select all documents mentioning this document

Subject matter:

Language of the case

HTML

PDF

Document published in the digital reports of cases. They have official status.

KOHTUJURISTI ETTEPANEK

MANUEL CAMPOS SÁNCHEZ-BORDONA

esitatud 27. aprillil 2023 ( 1 )

Kohtuasi C‑807/21

Deutsche Wohnen SE

versus

Staatsanwaltschaft Berlin

(eelotsusetaotlus, mille on esitanud Kammergericht Berlin (liidumaa kõrgeim üldkohus Berliinis, Saksamaa)

Eelotsusemenetlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Rikkumised – Töötaja toimepandud rikkumise omistamine ettevõtjale – Võimalik süüta vastutus – Konkurentsiõiguses kujundatud mõistete ülevõtmine

1.	Kõnealune eelotsusetaotlus pakub Euroopa Kohtule võimaluse võtta seisukoht tingimuste suhtes, mille kohaselt saab juriidilisele isikule määrata trahvi määruse (EL) 2016/679 ( 2 ) rikkumiste eest.

Eelkõige tuleb kindlaks teha:

–	kas karistada tuleb juriidilist isikut ilma, et oleks vaja enne tuvastada füüsilise isiku vastutus;

–	kas rikkumine, mille eest karistus määratakse, peab igal juhul olema toime pandud tahtlikult või hooletusest või piisab pelgalt kohustuse objektiivsest täitmata jätmisest.

I. Õiguslik raamistik

A. Liidu õigus. Isikuandmete kaitse üldmäärus

Põhjenduses 74 on öeldud:

„Tuleks kehtestada vastutava töötleja vastutus tema poolt ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Eelkõige peaks vastutav töötleja olema kohustatud rakendama asjakohaseid ja tõhusaid meetmeid ning olema võimeline tõendama isikuandmete töötlemise toimingute kooskõla käesoleva määrusega, sealhulgas meetmete tõhusust. Nende meetmete puhul tuleks arvestada töötlemise laadi, ulatust, konteksti ja eesmärke ning ohtu füüsiliste isikute õigustele ja vabadustele“.

Põhjenduses 150 on märgitud:

„Selleks et tugevdada ja ühtlustada väärteokaristusi käesoleva määruse rikkumise korral, peaksid igal järelevalveasutusel olema volitused määrata trahve. Käesolevas määruses tuleks loetleda rikkumised, sätestada asjaomaste trahvide ülemmäär ja nende määramise kriteeriumid, mille üle peaks iga juhtumi puhul eraldi otsustama pädev järelevalveasutus, võttes arvesse konkreetse olukorra kõiki asjakohaseid asjaolusid, pidades eelkõige silmas rikkumise laadi, raskusastet, ajalist kestvust ja tagajärgi ning meetmeid, mis võetakse käesoleva määruse kohaste kohustuste täitmise tagamiseks ja rikkumise tagajärgede vältimiseks või leevendamiseks. Kui trahv on määratud ettevõtjale, tuleks ettevõtja määratlemisel lähtuda ELi toimimise lepingu artiklites 101 ja 102 toodud määratlusest. […] Trahvide ühesuguse kohaldamise parandamiseks võib kasutada ka järjepidevuse mehhanismi […]“.

Artiklis 4 („Mõisted“) on sätestatud:

„Käesolevas määruses kasutatakse järgmisi mõisteid:

[…]

„vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses;

8)	„volitatud töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes töötleb isikuandmeid vastutava töötleja nimel;

[…]

18)	„ettevõtja“ – majandustegevusega tegelev füüsiline või juriidiline isik, olenemata selle õiguslikust vormist, sealhulgas partnerlused ja ühendused, kes tegelevad korrapäraselt majandustegevusega;

[…]“.

Artikli 58 („Volitused“) lõikes 2 on ette nähtud:

„Järelevalveasutusel on järgmised parandusvolitused:

a)	hoiatada vastutavat töötlejat või volitatud töötlejat, et kavandatavad isikuandmete töötlemise toimingud rikuvad tõenäoliselt käesoleva määruse sätteid;

b)	teha vastutavale töötlejale või volitatud töötlejale noomitusi, kui isikuandmete töötlemise toimingud on rikkunud käesoleva määruse sätteid;

c)	anda korraldus, et vastutav töötleja või volitatud töötleja rahuldaks andmesubjekti taotlused seoses tema käesoleva määruse kohaste õiguste kasutamisega;

d)	anda korraldus, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse käesoleva määruse sätetega;

[…]

i)	määrata artikli 83 kohaselt trahve lisaks käesolevas lõikes osutatud meetmetele või nende asemel, sõltuvalt konkreetse juhtumi asjaoludest;

[…]“.

Artikkel 83 („Trahvide määramise üldtingimused“) sätestab:

„1. Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav.

2. Trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks artikli 58 lõike 2 punktides a–h ja j osutatud meetmetele või nende asemel. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele:

a)	rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust;

b)	kas rikkumine pandi toime tahtlikult või hooletusest;

c)	vastutava töötleja või volitatud töötleja poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks;

d)	vastutava töötleja või volitatud töötleja vastutuse aste, võttes arvesse nende poolt artiklite 25 ja 32 kohaselt võetud tehnilisi ja korralduslikke meetmeid;

e)	vastutava töötleja või volitatud töötleja eelnevad asjakohased rikkumised;

f)	järelevalveasutusega tehtava koostöö määr rikkumise heastamiseks ja rikkumise võimaliku kahjuliku mõju leevendamiseks;

g)	rikkumisest mõjutatud isikuandmete liigid;

h)	millisel viisil sai järelevalveasutus rikkumisest teada, eelkõige kas vastutav töötleja või volitatud töötleja teatas rikkumisest ja millisel määral ta seda tegi;

i)	kui asjaomase vastutava töötleja või volitatud töötleja suhtes on samas küsimuses varem võetud artikli 58 lõikes 2 osutatud meetmeid, siis nende meetmete järgimine;

j)	artikli 40 kohaste heakskiidetud toimimisjuhendite või artikli 42 kohaste heakskiidetud sertifitseerimismehhanismide järgimine, ning

k)	juhtumi asjaolude suhtes kohaldatavad mis tahes muud raskendavad või kergendavad tegurid, näiteks rikkumisest otseselt või kaudselt saadud finantskasu või välditud kahju.

3. Kui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega.

4. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 10000000 eurot või ettevõtja puhul kuni 2% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem […].

5. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem:

[…]

6. Artikli 58 lõikes 2 osutatud järelevalveasutuse korralduse täitmatajätmise korral määratakse kooskõlas käesoleva artikli lõikega 2 trahv, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.

[…]

8. Käesoleva artikli kohaste volituste kasutamise suhtes järelevalveasutuse poolt kohaldatakse kooskõlas liidu ja liikmesriigi õigusega asjakohaseid menetluslikke kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust.

[…]“.

B. Riigisisene õigus. Haldusõigusrikkumiste seadus (Ordnungswidrigkeitengesetz) ( 3 )

Paragrahvi 9 lõikes 1 on sätestatud, et kui isik tegutseb a) organina (või nimetatud organi liikmena), kellel on juriidilise isiku esindamise õigus, b) osanikuna, kellel on õigusvõimega isikuühingu esindamise õigus, või c) kolmanda isiku seadusjärgse esindajana, kohaldatakse tema suhtes seadust, mille alusel konkreetsed isiklikud funktsioonid, suhted või asjaolud võivad õigustada sanktsiooni määramist, kui need asjaolud ei puuduta teda ennast, vaid esindatavat.

9.	Paragrahvi 9 lõike 2 kohaselt kehtib eeltoodu ka ettevõtte (äriühingu) omaniku puhul, kes usaldab teisele isikule täielikult või osaliselt selle juhtimise või omaniku vastutusalas olevate ülesannete täitmise omal vastutusel.

10.	Paragrahvi 30 lõige 1 lubab määrata trahvi juriidilisele isikule, kui füüsiline isik, kes teda esindab, juhib või kelle juhtimise eest ta vastutab, on toime pannud kuriteo või jätnud juriidilisele isikule pandud kohustused täitmata.

11.	Vastavalt § 30 lõikele 4 nõuab juriidilisele isikule eraldiseisva trahvi määramine, et juriidilise isiku juhtorgani liikme või esindaja suhtes ei ole algatatud mingit menetlust või kui selline menetlus on algatatud, siis on see lõpetatud.

12.

Paragrahvi 130 lõikes 1 on sätestatud, et kui isik ettevõtte või äriühingu omanikuna jätab tahtlikult või hooletusest võtmata vajalikud järelevalvemeetmed, et vältida ettevõttes või äriühingus nende kohustuste täitmata jätmist, mis on pandud selle omanikule ja mille rikkumise eest määratakse karistus või trahv, paneb toime haldusõigusrikkumise, kui kõnealust kohustuste täitmata jätmist oleks saanud vältida või raskendada kohaste järelevalvemeetmetega, näiteks kontrollide eest vastutavate isikute määramine, hoolikas valimine ja kontrollimine.

II. Asjaolud, vaidlus ja eelotsuse küsimused

13.	Deutsche Wohnen SE (edaspidi „Deutsche Wohnen“) on börsil noteeritud kinnisvaraettevõtja, mille asukoht on Berliin (Saksamaa). Tema kaudses omandis on osaluste kaudu ligikaudu 163000 eluruumi ja 3000 äripinda.

14.

Nende kinnisasjade omanikud on Deutsche Wohneniga seotud tütarettevõtjad (nn valdusettevõtjad), kes tegelevad igapäevase äritegevusega, sellal kui Deutsche Wohnen tegeleb kontserni keskse juhtimisega. Valdusettevõtjad annavad üürile eluruume ja äripindasid, mida haldavad teised kontserni kuuluvad äriühingud, nn haldusettevõtjad.

15.	Deutsche Wohnen ja kontserni kuuluvad ettevõtjad töötlevad äritegevuse raames kinnisasjade üürnike isikuandmeid. Kõnealused andmed hõlmavad muu hulgas isikusamasust tõendavaid andmeid, maksuandmeid, sotsiaal- ja tervisekindlustust puudutavaid andmeid ning eelnevaid üürisuhteid käsitlevaid andmeid.

16.

Berliini andmekaitseametnik (Berliner Beauftragte für den Datenschutz, edaspidi „andmekaitseasutus“) juhtis 23. juunil 2017 toimunud kohapealse kontrolli käigus Deutsche Wohneni tähelepanu sellele, et tema kontserni kuuluvad ettevõtjad säilitavad üürnike isikuandmeid elektroonilises arhiivisüsteemis, mille puhul ei ole võimalik kindlaks teha, kas andmete säilitamine on vajalik ja kas on tagatud mittevajalikeks muutunud andmete kustutamine.

17.	Andmekaitseasutus esitas Deutsche Wohnenile nõude teatud dokumendid elektroonilisest arhiivisüsteemist edaspidi ja hiljemalt 2017. aasta lõpuks kustutada.

18.

Deutsche Wohnen keeldus sellest põhjendusega, et kustutamine ei ole võimalik tehnilistel ja õiguslikel põhjustel. Seda vastuväidet arutasid Deutsche Wohnen ja andmekaitseasutus kohtumisel, mille käigus viimane märkis, et tehnilised lahendused andmete kustutamiseks on olemas. Arutelu jätkus ja Deutsche Wohnen teatas, et tal on kavas võtta kasutusele uus süsteem selle asemele, mille andmekaitseasutus maha oli laitnud.

19.	Andmekaitseasutus korraldas 5. märtsil 2020 kontrolli kontserni emaettevõtja juures ja võttis andmekogumist ühtekokku 16 juhuslikku proovi. Deutsche Wohnen teatas samal ajal andmekaitseasutusele, et vaidlusalune arhiivisüsteem on kasutuselt kõrvaldatud ja andmed viiakse peatselt üle uude süsteemi.

20.

30. oktoobril 2020 määras andmekaitseasutus Deutsche Wohnenile sanktsiooni seetõttu, et:

–	ajavahemikul 25. maist 2018 kuni 5. märtsini 2019 jäeti tahtlikult võtmata vajalikud meetmed, mis oleksid võimaldanud üürnike isikuandmeid, mis olid muutunud mittevajalikuks või mida oli muudel põhjustel alusetult säilitatud, järjepidevalt kustutada;

–	jätkuvalt säilitati 15 konkreetselt nimetatud üürniku isikuandmeid, kuigi oli teada, et need ei olnud vajalikud või need ei olnud enam vajalikud.

21.	Isikuandmete kaitse üldmääruse artikli 25 lõike 1, artikli 5 lõike 1 punktide a, c ja e tahtliku rikkumise eest määrati trahv summas 14385000 eurot ning isikuandmete kaitse üldmääruse artikli 6 lõike 1 rikkumiste eest veel 15 trahvi, mille summa jäi vahemikku 3000 ja 17000 eurot.

22.	Deutsche Wohnen vaidlustas sanktsioonid Landgericht Berlinis (Berliini esimese astme kohus, Saksamaa), kes kaebuse ka rahuldas.

23.

Staatsanwaltschaft Berlin (Berliini prokuratuur, Saksamaa) esitas esimese astme kohtu otsuse peale kaebuse Kammergericht Berlinile (liidumaa kõrgeim üldkohus Berliinis, Saksamaa), kes esitab Euroopa Kohtule järgmised eelotsuse küsimused:

„1.

Kas isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6 tuleb tõlgendada nii, et nendega on riigisisesesse õigusesse viidud ELTL artiklites 101 ja 102 sisalduv funktsionaalne ettevõtja mõiste ja funktsioonikandja põhimõte (Funktionsträgerprinzip), mille tulemusel saab [OWiG] § 30 aluseks olevat õiguskandja põhimõtet (Rechtsträgerprinzip) laiendades algatada trahvimenetluse vahetult ettevõtja suhtes ning trahvi määramiseks ei ole vaja tuvastada füüsilise ja identifitseeritud isiku poolt toime pandud rikkumist, mis olenevalt asjaoludest võib vastata kõigile niisuguse rikkumise subjektiivsetele ja objektiivsetele koosseisutunnustele?

Kui esimesele küsimusele vastatakse jaatavalt: kas isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6 tuleb tõlgendada nii, et selleks et ettevõtjale saaks määrata trahvi, peab ettevõtja olema süüdi töötaja toime pandud rikkumises (vt määruse (EÜ) nr 1/2003[ ( 4 )] […] artikkel 23) või piisab põhimõtteliselt juba kohustuste objektiivse täitmata jätmise omistamisest ettevõtjale (strict liability)?“

III. Menetlus Euroopa Kohtus

24.	Eelotsusetaotlus registreeriti Euroopa Kohtus 23. detsembril 2021.

25.	Kirjalikud seisukohad esitasid Deutsche Wohnen, Saksamaa, Eesti ja Norra valitsus ning Euroopa Komisjon.

26.

Euroopa Kohus palus 9. novembril 2022 kodukorra artikli 101 lõike 1 alusel eelotsusetaotluse esitanud kohtul selgitada:

–	OWiG § 130 võimalikku mõju esimesele esitatud küsimusele;

–	põhjusi, miks ta peab vajalikuks vastust teisele küsimusele, võttes arvesse, et nagu nähtub eelotsusetaotlusest, määrati sanktsioonid isikuandmete kaitse üldmääruse mitme sätte tahtliku rikkumise eest.

27.	Nõutud selgitused registreeriti Euroopa Kohtus 11. jaanuaril 2023.

28.	17. jaanuaril 2023 toimunud kohtuistungil osalesid lisaks neile, kes esitasid kirjalikud seisukohad, Madalmaade valitsus, Euroopa Parlament ja Euroopa Liidu Nõukogu.

IV. Analüüs

A. Esimene eelotsuse küsimus

1. Sissejuhatavad märkused

29.	Eelotsusetaotluse esitanud kohtu esimene küsimus seisneb kokkuvõttes selles, kas liidu õiguse kohaselt saab juriidilisele isikule määrata isikuandmete kaitse üldmääruse rikkumise eest sanktsiooni ilma, et oleks vaja enne omistada see rikkumine füüsilisele isikule.

30.

Eelotsusetaotluse esitanud kohus tõi oma küsimuses siiski välja mitu keerukat aspekti:

–	ta tuvastab isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 normi, mille tõlgendamine võiks tema küsimusele vastuse anda;

–	ta viitab sellele, mida ta nimetab „ELTL artiklites 101 ja 102 sisalduvaks funktsionaalse ettevõtja mõisteks ja funktsioonikandja põhimõtteks“.

31.	Eelotsusetaotluse esitanud kohus kinnitab, et riigisisene õigus võimaldab äriühingule trahvi määrata üksnes siis, kui sellele saab omistada teatud rikkumised, mille on toime pannud (ainult) selle juhid, kellel on esindusõigus. ( 5 )

32.

Deutsche Wohnen ja Saksamaa valitsus sellega ei nõustu. Nende hinnangul tuleb OWiG § 30 tõlgendada koostoimes OWiG §-dega 9 ja 130, millega koos moodustub ühtne sanktsioonisüsteem. Selle süsteemi kohaselt saab äriühingule haldussanktsiooni määrata ilma, et oleks vaja alustada menetlust füüsilise isiku suhtes, kes tema nimel tegutses. ( 6 )

33.

Vastates Euroopa Kohtu nõudele võtta seisukoht OWiG § 130 võimaliku mõju suhtes, leidis eelotsusetaotluse esitanud kohus, et see ei ole esimese eelotsuse küsimuse puhul asjakohane. Ta väidab oma seisukoha põhjendamiseks, et:

–	kuigi see paragrahv koos OWiG §‑dega 9 ja 30 võimaldab äriühingule trahve määrata, on õigushüvede kaitse, mida esimene neist sätetest pakub, väga piiratud, võrreldes vastutuse korraga, mis tuleneb ELTL artiklitest 101 ja 102;

–

OWiG § 130 on suunatud äriühingu omanikule, kes on jätnud täitmata järelevalvekohustuse. Äriühingu omanikule omistatavate kohustuste täitmata jätmise tõendamine läheb kaugemale õiguslike huvide niisuguse rikkumise tuvastamisest, mille on toime pannud sama äriühing. Tõendamiseks on nõutav analüüsida ja selgitada sisemisi protseduure (üldisi ja eriprotseduure) ning struktuure, mis mitte üksnes praeguses asjas, vaid mis tahes kontserni puhul on äärmiselt komplekssed, mistõttu on see paljudel juhtudel võimatu. Sellega seoses on tõstatatud küsimus, kas kontserne saab tegelikkuses pidada äriühinguteks või äriühingute omanikeks OWiG § 130 tähenduses.

34.	Nendest selgitustest ilmneb, et eelotsusetaotluse esitanud kohtu esimene küsimus vastab riigisisese õiguse arusaamale, mis vastupidi Saksamaa valitsuse seisukohale hõlmab juriidiliste isikute vastutuse korda, mille tunnused võivad olla liidu õigusega vastuolus.

35.

Euroopa Kohus peab arvestama riigisisest õiguslikku raamistikku, nagu seda on kirjeldanud eelotsuse esitanud kohus, ( 7 ) kellel on pädevus oma riigisisest õigust tõlgendada. Riigisisese kohtu esitatud küsimused liidu õiguse tõlgendamise kohta tuleb lahendada seda faktilist ja õiguslikku raamistikku arvestades, mille see kohus on määratlenud omal vastutusel ja mille õigsuse kontrollimine ei ole Euroopa Kohtu ülesanne. ( 8 )

36.	Neist eeldustest lähtuvalt käsitlengi seega esimest eelotsuse küsimust.

2. Juriidilised isikud kui isikuandmete kaitse üldmääruses ette nähtud sanktsioonide adressaadid

37.

Liidu õiguse kohaselt ei ole ühtegi vastuväidet sellele, et Deutsche Wohnen on rikkumise toimepanija ja määratud sanktsiooni passiivne subjekt. See võimalus sisaldub abstraktselt isikuandmete kaitse üldmääruses ja konkreetselt on seda praegusel juhul kasutatud:

–

abstraktselt, nagu ma edaspidi välja toon, on see, et juriidilisele isikule saab andmekaitse valdkonna rikkumiste eest otse sanktsiooni määrata, midagi, mis ei sisaldu üksnes mitmes isikuandmete kaitse üldmääruse sättes, vaid tegelikult kujutab see endast ühte võtmemehhanismidest, et tagada selle määruse tõhusus;

–

konkreetselt, nagu nähtub eelotsusetaotlusest, määrati vaidlusalune trahv Deutsche Wohnenile isikuandmete kaitse üldmääruse rea rikkumiste tõttu, mis omistati sellele äriühingule kui andmete vastutavale töötlejale. ( 9 ) Just temale esitas andmekaitseasutus nõude, millele ta vastas eespool juba välja toodud sõnastuses, et hiljem jätkata tegevust, mida see asutus talle ette heitis. Seetõttu ei ole sanktsiooni adressaadi tuvastamisel probleeme olnud. ( 10 )

38.

Mis puudutab abstraktset aspekti, siis ei ole vaja palju, et kinnitada väidet, et juriidilisele isikule saab määrata sanktsiooni otse isikuandmete kaitse üldmääruse rikkumiste eest. See seisukoht tuleneb suuremate raskusteta isikuandmete kaitse üldmääruse artiklitest 4, 58 ja 83:

–	artiklis 4 määratletakse vastutava või volitatud töötleja mõiste, viidates sõnaselgelt, et need võivad olla juriidilised isikud; ( 11 )

–	artikli 58 lõikes 2 antakse järelevalveasutustele rida „parandusvolitusi“ vastutavate ja volitatud andmetöötlejate suhtes (st ka juriidiliste isikute suhtes). Nende parandusvolituste hulka kuulub „trahvi“ määramine (punkt i);

–	loetledes trahvide summa kindlaksmääramise kriteeriume, viitab isikuandmete kaitse üldmääruse artikkel 83 teguritele, mis võivad juriidiliste isikute tegevuses kergesti esineda.

39.

Nende sätete kogumist tuleneb täiesti loomupäraselt, et isikuandmete kaitse üldmääruses on soovitud, et selle määruse rikkumise eest määratavate trahvide üks võimalik otsene adressaat oleks juriidiline isik. ( 12 ) Sellest samast loomupärasusest on lähtunud selles valdkonnas pädevad riigisisesed ametiasutused, kes ei ole kõhelnud karistada trahvidega, mis on vahel olnud suured, juriidilisi isikuid, kes on rikkunud isikuandmete kaitse üldmäärust. ( 13 )

40.

Mis puudutab konkreetset aspekti, siis kordan, et andmekaitseasutus pöördus Deutsche Wohneni kui vastutava andmetöötleja poole, kohustades teda kustutama oma arhiividest üürnike teatud isikuandmed; ettevõtja seda nõuet kindla aja jooksul ei täitnud, kuni hetkeni, mil ta muutis oma andmete säilitamise süsteemi.

3. Füüsilisele isikule eelneva omistamise vajadus?

41.

Eelotsusetaotluse esitanud kohtu sõnul nõuab riigisisene õigus, et selleks, et isikuandmete kaitse üldmääruse rikkumise eest saaks sanktsiooni määrata otse äriühingule, tuleb enne tuvastada füüsilise isiku vastutus. See nähtub OWiG §‑st 30: äriühingule on võimalik trahvi määrata vaid siis, kui talle saab omistada teatud rikkumised, mille on toime pannud tema esindamise ülesannetega juhtivtöötajad ja milleks esindaja peab olema rikkunud vastavat normi, tehes seda õigusvastaselt ja süüliselt. ( 14 )

42.

Arvestades Saksamaa valitsuse OWiG §‑le 130 tuginevat vastuväidet, millega ta vaidlustab eelotsusetaotluse esitanud kohtu tõlgenduse, väljendab eelotsusetaotluse esitanud kohus end viisil, mille ma juba välja tõin, kui tsiteerisin tema vastust Euroopa Kohtule. ( 15 ) Kokkuvõttes väidab ta, et õiguste kaitse, mida too säte pakub, on väga piiratud, võrreldes vastutuse korraga, mis tuleneb ELTL artiklitest 101 ja 102.

43.

Füüsilise isiku vastutuse eelneva tuvastamise tingimus, mida eelotsusetaotluse esitanud kohus rõhutab, ei reguleeri siiski seda, kas isikuandmete kaitse üldmääruse artikli 83 lõiked 4–6 hõlmavad ELTL artiklitele 101 ja 102 omast „funktsionaalset ettevõtja mõistet“, võttes selle riigisisesesse õigusesse üle.

a) ELTL artiklites 101 ja 102 kasutatud mõiste mõju

44.	Isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 eesmärk on arvutada nende sätetes nimetatud isikuandmete kaitse üldmääruse rikkumiste eest määratavate sanktsioonide summad. Täpsemalt näevad need kolm lõiget ette võimaluse, et sanktsioon määratakse „ettevõtjale“.

45.

Selles kontekstis tuleb käsitleda ka isikuandmete kaitse üldmääruse põhjenduses 150 sisalduvat viidet ettevõtjale ELTL artiklite 101 ja 102 tähenduses. Meenutan, et Euroopa Kohtu praktika kohaselt on „liidu konkurentsiõigus […] suunatud ettevõtjate tegevusele ja ettevõtja mõiste hõlmab mis tahes majandustegevusega tegelevat üksust, sõltumata selle üksuse õiguslikust vormist ja rahastamisviisist“. ( 16 )

46.

Kuna isikuandmete kaitse üldmääruse rikkumiste eest määratavate sanktsioonide maksimaalne summa määratakse andmete töötlemise eest vastutavate või selleks volitatud ettevõtjate puhul kindlaks protsendina „eelneva majandusaasta ülemaailmsest aastasest kogukäibest“, ei saa selle summa määramise alus olla äriühingu õiguslik vorm, vaid „majandusüksuse“ staatus eespool välja toodud tähenduses.

47.

Selle põhjuseks on asjaolu, et isikuandmete kaitse üldmääruse artikli 83 lõike 1 kohaselt peavad lõigetes 4–6 sätestatud trahvid olema „tõhusad, proportsionaalsed ja heidutavad“. Nendele kolmele tunnusele vastab üksnes trahv, mille summa määratakse kindlaks selle adressaadi tegeliku või materiaalse majandusliku võimekuse alusel. Sellest tuleneb vajadus trahvi arvutamisel lähtuda materiaalsest või majanduslikust ettevõtja mõistest, mitte kasutada rangelt vormilist mõistet.

48.

Seetõttu lähtub Euroopa seadusandja isikuandmete kaitse üldmääruse rikkumise eest määratavate trahvide suuruse määramisel konkurentsiõigusele omasest „ettevõtja“ tegelikust või materiaalsest määratlusest ( 17 ). Rõhutan samas, et isikuandmete kaitse üldmäärus viitab sellele mõistele ainult neil eesmärkidel.

49.

Praeguses asjas võib ELTL artiklites 101 ja 102 sisalduv ettevõtja mõiste seega olla Deutsche Wohnenile määratava trahvi summa kindlaksmääramisel asjakohane. See, kas viimati nimetatule omistatakse trahvitud ettevõtja staatus (rectius, rikkumise toimepanija) või mitte, on midagi, mis ei sõltu rangelt võttes nende kahe ELTL artikli kohaldamisest.

50.	Eeltoodu ei piira seda, et analoogia alusel mutatis mutandis kohaldada üldpõhimõtteid, mis reguleerivad konkurentsiõiguses sanktsioonide määramise korda (mida Euroopa Kohus on rohkesti tõlgendanud), juriidiliste isikute vastutuse valdkonnas isikuandmete kaitset puudutavate rikkumiste puhul. ( 18 )

b) Otsene omistamine juriidilisele isikule

51.	Kas isikuandmete kaitse üldmäärusega on kooskõlas riigisisesed õigusnormid, mis seavad juriidilistele isikutele sanktsioonide määramise tingimuseks asjaolu, et enne on toimunud menetlus füüsilise isiku suhtes?

52.

Lisaks sellele, et isikuandmete kaitse üldmäärus on üldkohaldatav, on see oma laadilt kohustuslik ja vahetult kohaldatav igas liikmesriigis vastavalt ELTL artiklile 288. Need tunnused kaotaksid oma sisu, kui liikmesriigid saaksid liidu seadusandja kehtestatud sätetest nende lõplikul kujul kõrvale kalduda.

53.

On tõsi, et just oma eesmärgi ainulaadsuse ja tunnuste tõttu annavad isikuandmete kaitse üldmääruse teatud sätted liikmesriikidele mõningase otsustusruumi, et säilitada või kehtestada riigisisesed eeskirjad, mille eesmärk on teatud sätteid rohkem täpsustada. Nii on see näiteks:

–	osas, mis puudutab isikuandmete töötlemist seadusjärgse kohustuse täitmiseks, üldistes huvides oleva ülesande täitmiseks või vastutavale töötlejale antud avaliku võimu teostamiseks; ( 19 )

–	osas, mis puudutab konkreetsesse kategooriasse kuuluvate isikuandmete töötlemist, sest isikuandmete kaitse üldmäärus ei välista, et liikmesriigid määravad kindlaks tingimused, mis puudutavad töötlemise eriolukordi, sealhulgas selle töötlemise seaduslikkuse tingimuste üksikasjalik nimetamine. ( 20 )

54.	See riigi kaalutlusruum, mille üle kohtuistungil vaieldi, ei saa minu hinnangul minna nii kaugele, et see vähendab võimalust rikkumist juriidilisele isikule süüks panna, nii nagu eelotsusetaotluse kohaselt tuleneb OWiG §‑st 30.

55.

Niisugune juriidiliste isikute vastutuse korra ülesehitus võimaldaks jätta isikuandmete kaitse üldmääruse sanktsioonisüsteemi kohaldamisalast välja rikkumised, mis selle määruse kohaselt tuleb omistada juriidilisele isikule, kellel on vastutava või volitatud töötleja staatus. Nii oleks see siis, kui nimetatud rikkumistes ei oleks osalenud füüsilised isikud, kes juriidilist isikut esindavad, juhivad või selle juhtimise eest vastutavad.

56.

Kordan, et osas, milles juriidiline isik võib olla andmete vastutav töötleja ja selles staatuses isikuandmete kaitse üldmääruse talle omistatavate rikkumiste toimepanija, võib OWiG § 30 kohaldamine tuua kaasa selliste tegude ringi, mille eest võidakse sanktsioone määrata, põhjendamatu piiramise või vähendamise, mis ei vastaks isikuandmete kaitse üldmääruse enda üldisele eesmärgile.

57.

Juriidiline isik, keda saab pidada isikuandmete vastutavaks või volitatud töötlejaks, peab taluma sanktsioonides seisnevaid tagajärgi, mis tekivad isikuandmete kaitse üldmääruse rikkumise tõttu, mida ei ole toime pannud mitte üksnes tema esindajad, juhid või haldajad, vaid ka füüsilised isikud (laias tähenduses töötajad), kes tegutsevad tema äritegevuse raames ja alluvad nende järelevalvele.

58.	Need füüsilised isikud tegelikult järgivad ja määratlevad juriidilise isiku tahet, materialiseerides selle konkreetsete ja kindlate tegude kaudu. Tegemist on tegudega, mis selle tahte konkreetse väljendusena saab omistada lõpuks samale juriidilisele isikule.

59.

Lõpuks on tegemist füüsiliste isikutega, kes olemata päriselt juriidilise isiku esindajad, tegutsevad nende isikute juhtimise all, kes seda juriidilist isikut esindades on jätnud esimesena nimetatud isikute suhtes järelevalve või kontrolli tegemata. Viimaseks jõuab süükspandavus ikka juriidilise isikuni, kuna rikkumine, mille pani toime töötaja, kes tegutseb oma juhtorganite juhtimise all, tuleneb kontrolli- ja järelevalvesüsteemi puudulikkusest, mille eest vastutavad otseselt juhtorganid.

60.

Eeltoodu vastab sellele, kuidas eelotsusetaotluse esitanud kohus on tõlgendanud riigisisest õigust. Samas väidab Saksamaa valitsus, et OWiG §‑de 9, 30 ja 130 koostoimes kohaldamine tekitab süsteemi, milles võidakse sanktsioon määrata rikkumiste eest, mis on omistatud juriidilisele isikule ja mille on toime pannud füüsilised isikud, kes ei täida juhtimis- või esindusfunktsioone, ilma et neid oleks vaja tuvastada. ( 21 )

61.

Nagu ma märkisin, on eelotsusetaotluse esitanud kohtu ülesanne oma riigisiseseid õigusnorme tõlgendada. Kui riigisisese kohtupraktika ja õigusteooria kohaselt, millele Saksamaa valitsus viitab, ( 22 ) lubavad need õigusnormid riigisisest õigust tõlgendada kooskõlas liidu õiguse nõuetega, siis on see midagi, mille peavad lahendama riigisisesed kohtud.

62.

Juhul, kui see tõlgendus on aga contra legem ja riigisisese sanktsioonisüsteemi iseäraliku ülesehituse tõttu ei ole võimalik isikuandmete kaitse üldmääruse eeskirju selles valdkonnas täielikult kohaldada, peab eelotsusetaotluse esitanud kohus liidu õigusega vastuolus oleva riigisisese õigusnormi kohaldamise välistama, et tagada isikuandmete kaitse üldmääruse esimus.

B. Teine eelotsuse küsimus

63.

Eelotsusetaotluse esitanud kohus soovib teada, kas isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 kohaselt „selleks et ettevõtjale saaks määrata trahvi, peab ettevõtja olema süüdi töötaja toime pandud rikkumises […] või piisab põhimõtteliselt juba kohustuste objektiivse täitmata jätmise omistamisest ettevõtjale (strict liability)“. ( 23 )

64.	Selliselt esitatud küsimus on oma laadilt hüpoteetiline, mis muudab selle kahel põhjusel vastuvõetamatuks.

65.

Esiteks nähtub eelotsusetaotlusest, et Deutsche Wohnenile määrati sanktsioon tahtliku (teadliku) tegevuse eest, mitte isikuandmete kaitse üldmäärusest tulenevate kohustuste pelga „objektiivse täitmata jätmise“ tõttu. Eespool välja toodud asjaolude kirjeldusest nähtub, et kõnealune ettevõtja ei täitnud andmekaitseasutuse nõuet teadlikult ja tahtlikult ning jätkas keelatud andmete töötlemist. Selle hinnangu andmisel ei ole tähtis, et andmetöötlussüsteemi muutmisel esines rida tehnilisi ja õiguslikke raskusi.

66.

Teiseks, vastates Euroopa Kohtu nõudele oma küsimust selgitada, märkis eelotsusetaotluse esitanud kohus, et sanktsiooni määramise otsuses esitatud järeldused ei ole esimese astme kohtule siduvad ja nimetatud kohus võib tulevikus lahendada sanktsiooni vastu esitatud hagi väiteid. Kui ta peaks jõudma veendumusele, et rikkumine on toime pandud, on vaja selgeks teha, mis liiki rikkumine aset leidis; see aga sõltub vastusest teisele eelotsuse küsimusele.

67.

Sellest selgitusest lähtudes ilmneb taas teise eelotsuse küsimuse hüpoteetiline olemus: otsus tegevuse kvalifitseerimise kohta ei ole oluline vaidluse lahendamiseks eelotsusetaotluse esitanud kohtus, vaid vajaduse korral pärast kohtuasja tagasisaatmist esimese astme kohtus, et see saaks edaspidi otsuse teha.

68.	Igatahes ja juhul, kui Euroopa Kohus otsustab asja sisuliselt arutada, leian, et vastus sellele küsimusele ei sõltu isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 tõlgendamisest, mille eesmärk on määrata kindlaks trahvide summa.

69.	Eelotsusetaotluse esitanud kohus eristab: a) juriidilise isiku töötaja poolt toime pandud rikkumist ja b) juriidilise isiku tahtluse või hooletuse esinemist selle rikkumise puhul.

70.	Minu arvates on „töötaja toimepandud rikkumine“ tegelikkuses ja esimese küsimuses öeldut arvestades rikkumine, mille on toime pannud juriidiline isik, kelle alluvuses töötaja tegutses.

71.	Õigesti sõnastatuna viitab küsimus seega võimalusele, et juriidilisele isikule määratakse sanktsioon talle kui andmete vastutavale või volitatud töötlejale pandud kohustuste objektiivse (süüta) täitmata jätmise eest.

72.	Sellele küsimusele vastamiseks võib osutuda tarvilikuks viidata Euroopa Inimõiguste Kohtu (EIK) praktikale seoses põhimõttega, et karistamine peab toimuma seaduse alusel, mille tagab Euroopa inimõiguste ja põhivabaduste kaitse konventsiooni (EIÕK) artikkel 7.

73.	Kuigi EIÕK ei kujuta endast liidu õiguskorda formaalselt kuuluvat õigusinstrumenti, seni kuni liit ei ole sellega ühinenud, on selles konventsioonis tunnustatud põhiõigused liidu õiguse üldpõhimõtted (ELL artikli 6 lõige 3).

74.

Euroopa Kohtu praktika kohaselt „on harta artikli 52 lõike 3 – milles on sätestatud, et hartas sisalduvate selliste õiguste tähendus ja ulatus, mis vastavad EIÕKga tagatud õigustele, on samad, mis neile nimetatud konventsiooniga on ette nähtud – eesmärk tagada vajalik kooskõla kummastki õigusaktist tulenevate õiguste vahel, ilma et sellega kahjustataks liidu õiguse ja Euroopa Kohtu sõltumatust“. ( 24 )

75.

Samas sisaldab EIK praktika EIÕK artikli 7 tõlgendamisel nüansse, mis ei lange täielikult kokku:

–

ühest küljest, kuigi selles artiklis ei mainita sõnaselgelt moraalset seost süüteo materiaalse elemendi ja selle toimepanijaks peetava isiku vahel, sunnib sanktsiooni loogika ja süü enda kontseptsioon tõlgendama, et see nõuab sanktsiooni tingimusena intellektuaalset laadi seost (teadlikkus ja tahe), mis võimaldab hinnata vastutuse elementi rikkumise tegeliku toimepanija tegevuses; ( 25 )

–

teisest küljest, nagu Norra valitsus kohtuistungil märkis, ei ole EIK vastu objektiivsete asjaolude eest karistamisele. EIK leidis oma 7. oktoobri 1988. aasta otsuses Salabiaku vs. Prantsusmaa, ( 26 ) et see on nii ainult „üldjuhul ja teatud tingimustel“, sest kuigi EIÕKga ei ole vastuolus presumptsioonid, „kohustab ta kriminaalasjades lepinguosalisi riike jääma teatud piiridesse“. ( 27 )

76.

Tegelikkuses tekitab karistusõiguse dogmaatiliste kategooriate (nulla poena sine culpa) ületoomine halduskaristusõiguse kohaldamisse märkimisväärseid hermeneutilisi raskusi. Süü mõiste alla (selle hooletuse vormis) saab paigutada juhtumeid, mis seisnevad õigusnormi pelgas mittejärgimises, kui selle toimepanijal oli kohustus teada, millist käitumist temalt nõutakse.

77.

Sellest vaatenurgast võivad erinevad süü vormid, sealhulgas väiksema raskusastmega süü, aga ka süü erinevad alused (näiteks culpa in vigilando või in eligendo) tuleneda tegudest, mida mõne teise nurga alt vaadates mõni kohus kvalifitseeriks objektiivse vastutuse juhtudeks. Seetõttu ei ole halduskaristusõiguses piirid ühe ja teise kategooria vahel nii selged, nagu näib tulenevat eelotsusetaotlusest.

78.

Mis puudutab liidu õigust, siis on Euroopa Kohus tegelikult teatud juhtudel aktsepteerinud korda, mida käsitatakse objektiivse vastutusena sanktsioonide määramise valdkonnas. Nii tegi ta näiteks 22. märtsi 2017. aasta kohtuotsuses Euro-Team ja Spirál-Gép järgnevas sõnastuses:

–	„mis puutub sellesse, kas objektiivse vastutuse kehtestamine on proportsionaalsuse põhimõttega kooskõlas, siis tuleb nentida, et Euroopa Kohus on juba sedastanud, et selline liidu õiguse rikkumiste [eest sanktsioonide määramise] süsteem ei ole iseenesest sellega vastuolus“;

–	„objektiivse vastutuse süsteemi kehtestamine [ei ole] taotletavate eesmärkide suhtes ebaproportsionaalne, kui see süsteem ajendab asjaomaseid isikuid õigusakti sätteid järgima ja kui taotletavad eesmärgid vastavad üldisele huvile, mis võib õigustada sellise süsteemi kehtestamist“. ( 28 )

79.

See teoreetiline käsitlus on aga kinnistunud muudes sektorites kui andmekaitse, puudutades niisuguste kohustuste täitmata jätmist, millel on eelistatult formaalne konnotatsioon: tegemist oli sanktsioonidega, mis määrati kiirtee kasutamise eest ilma vastavat teemaksu tasumata, ( 29 ) või niisuguste õigusnormide rikkumise eest, mis puudutavad raskeveoki sõidumeerikute salvestuslehtede kasutamist. ( 30 )

80.

Isikuandmete kaitse üldmääruses sätestatud kohustuste puhul – nende hulgas need, mis käsitlevad isikuandmete töötlemise põhimõtteid (isikuandmete kaitse üldmääruse artikkel 5) ja selle seaduslikkust (isikuandmete kaitse üldmääruse artikkel 6) – tuleb nende kohustuste täitmise üle otsustamisel viia läbi terviklik hindamise ja uurimise menetlus, mis on ulatuslikum kui pelk kohustuste formaalse täitmata jätmise tuvastamine.

81.

Igal juhul leian ma, et isikuandmete kaitse üldmääruse artikkel 83 kinnitab, et objektiivse (süüta) vastutuse kord ei kuulu sanktsioonide määramise valdkonda, ehk teisisõnu nõuab see, et karistatav tegu pandi toime tahtlikult või hooletusest. See nähtub minu hinnangul mitmest selle artikli lõikest:

–	lõike 1 kohaselt tuleb tagada, et rikkumiste eest määratavad trahvid oleksid „proportsionaalsed“. Sanktsioonide proportsionaalsuse põhimõte on tagatud harta artikliga 49 ja tuletatult EIK teoreetilisest käsitlusest, millele ma eespool viitasin;

–

lõike 2 punkt b viitab trahvi ja selle suuruse määramise olulise elemendina sõnaselgelt sellele, et rikkumine peab olema toime pandud „tahtlikult või hooletusest“. ( 31 ) Sama lõike punktides a–k loetletud ülejäänud tegurid täpsustavad asjaolusid, mis on igal üksikjuhtumil asjakohased ning mõnedki neist sisaldavad subjektiivset elementi, ( 32 ) ilma et sellega seoses oleks märgitud rikkumise pelka objektiivset laadi;

–

lõige 3 näeb ette, et kui vastutav või volitatud töötleja rikub „tahtlikult või hooletusest“ isikuandmete kaitse üldmääruse mitut sätet samal ajal (rikkumiste konkurents), ei tohi trahvi kogusumma ületada summat, mis on sätestatud seoses raskeima rikkumisega. Seetõttu eeldatakse, et pelgalt objektiivset laadi rikkumised ei ole sanktsioonide määramisel asjakohased, kuivõrd neid ei kumuleerita tahtlikult või hooletusest toime pandud rikkumistega.

82.

Seisukoht, mille just esitasin, võib osutuda asjatuks, kui – nagu väidab mõni menetlusse astunud valitsus – isikuandmete kaitse üldmääruses selle kohta sõnaselgete sätete puudumine tähendab, et liikmesriikidele on antud võimalus valida subjektiivse vastutuse kord (tahtlus või hooletus) või kord, mis sisaldab ka objektiivset vastutust.

83.

Möönan, et nende valitsuste seisukohal on teatav argumenteeritud alus: kuna isikuandmete kaitse üldmääruse artikli 83 lõige 2 viitab tahtlusele või hooletusele kui trahvisumma kindlaksmääramise teguritele, mitte aga rikkuva tegevuse enese vältimatutele (olulistele) elementidele, jätab säte lahtiseks võimaluse, et liikmesriigid määratlevad need rikkumise olulised elemendid vastavalt enda äranägemisele.

84.

Leian siiski nii nagu komisjon, et isikuandmete kaitse üldmäärusega kehtestatud sanktsioonide määramise süsteemi, mille vahetu kohaldatavus on vaieldamatu, õige käsitlus pooldab ühte ja ühtset lahendust ( 33 ) kõikidele liikmesriikidele, mitte aga seda, et igaüks neist otsustab ise, kas karistatavad rikkumised peavad või mitte laienema neile, mis on toime pandud tahtlikult või hooletusest.

85.

Minu arvates kinnitavad ühe lahenduse olulisust (ja killustatud lahenduse teostamatust) isikuandmete kaitse üldmääruse põhjendused, millele eelotsusetaotluse esitanud kohus oma taotluses viitab ja milles rõhutatakse vajadust karistada rikkumiste eest samaväärsete sanktsioonidega. ( 34 ) Seda samaväärsust ei oleks, kui iga liikmesriik võiks erinevat laadi tegusid rikkumisteks liigitada, aktsepteerides neid, mis seisnevad pelgalt objektiivses kohustuste täitmata jätmises, millel puuduvad mis tahes tahtluse või hooletuse tunnused.

V. Ettepanek

86.

Eeltoodut arvestades teen Euroopa Kohtule ettepaneku vastata Kammergericht Berlinile (liidumaa kõrgeim üldkohus Berliinis, Saksamaa) järgmiselt:

Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 58 lõike 2 punkti i koostoimes sama määruse artikli 4 punktiga 7 ja artikliga 83

tuleb tõlgendada nii, et

isikuandmete töötlemise eest vastutavale juriidilisele isikule trahvi määramisel ei ole nõutav, et enne oleks tuvastatud rikkumise toimepanemine selle juriidilise isiku alluvuses tegutseva ühe või mitme konkreetse füüsilise isiku poolt.

Trahvid, mida võidakse määruse 2016/679 alusel määrata, nõuavad, et tegevus, milles seisneb karistatav rikkumine, oleks oma laadilt toime pandud tahtlikult või hooletusest.

( 1 ) Algkeel: hispaania.

( 2 ) Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1). Edaspidi „isikuandmete kaitse üldmäärus“.

( 3 ) 24. mai 1968. aasta seadus (BGBl. I 481; III 454-1) 19. veebruaril 1987 kehtinud redaktsioonis (BGBl. I, lk 602), mida on muudetud 19. juuni 2020. aasta seadusega (BGBl. I, lk 1328). Edaspidi „OWiG“.

( 4 ) Nõukogu 16. detsembri 2002. aasta määrus asutamislepingu artiklites 81 ja 82 sätestatud konkurentsieeskirjade rakendamise kohta (EÜT 2003, L 1, lk 1; ELT eriväljaanne 08/02, lk 205).

( 5 ) Eelotsusetaotluse II põhjenduse punkt 1. Vt käesoleva ettepaneku punkt 41 jj.

( 6 ) Deutsche Wohneni kirjalike seisukohtade punkt 45 ning Saksamaa valitsuse kirjalike seisukohtade punktid 24 ja 25.

( 7 ) ELTL artikli 267 järgses menetluses, mis põhineb selgel riigisiseste kohtute ja Euroopa Kohtu ülesannete eristamisel, on põhikohtuasja faktiliste asjaolude tuvastamine ja hindamine ning liikmesriigi õiguse tõlgendamine ja kohaldamine vaid riigisisese kohtu pädevuses. 26. aprilli 2017. aasta kohtuotsus Farkas (C‑564/15, EU:C:2017:302, punkt 37).

( 8 ) Eelotsusetaotluse läbivaatamisest võib Euroopa Kohus keelduda vaid siis, kui on ilmselge, et taotletud liidu õiguse tõlgendusel ei ole mingit seost põhikohtuasja asjaolude või esemega, kui kõnealune probleem on hüpoteetiline või kui Euroopa Kohtule ei ole teada talle esitatud küsimustele tarviliku vastuse andmiseks vajalikud faktilised ja õiguslikud asjaolud (kõigi kohta 27. septembri 2017. aasta kohtuotsus Puškár (C‑73/16, EU:C:2017:725, punkt 50). Ühtki neist asjaoludest käsitletavas asjas ei esine.

( 9 ) Vaatamata Deutsche Wohneni vastumeelsusele seda staatust avalikul ärakuulamisel tunnistada, on tõsi, et tema profiil vastab isikuandmete kaitse üldmääruse artiklis 4 sätestatud vastutava töötleja määratlusele. See on nii, sõltumata vastutusest, mis tal tegelikult lasub rikkumiste eest, mis on omistatud talle kui „vastutavale“ töötlejale.

( 10 ) Teine asi on, et vastava sanktsiooni suuruse kindlaksmääramiseks tuleb vajaduse korral arvesse võtta Deutsche Wohneni ja tema tütarettevõtjate võimalikku liitmist kõrgemalseisvaks majandusüksuseks. Vaatamata sellele, kuidas see näib, ei kerki selles eelotsusetaotluses tõeliselt esile klassikalisi probleeme vastutuse jagamisel emaettevõtjate ja tütarettevõtete või kontsernide vahel.

( 11 ) Isikuandmete kaitse üldmääruse artikli 4 punktis 7 on määratletud „vastutav töötleja“ praegusel juhul olulises osas kui „[…] juriidiline isik […], kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid“; punktis 8 on määratletud „volitatud töötleja“ kui „[…] juriidiline isik […], kes töötleb isikuandmeid vastutava töötleja nimel“.

( 12 ) Millele samamoodi loomupäraselt laieneb õigus tõhusale õiguskaitsevahendile järelevalveasutuse õiguslikult siduva otsuse vastu, mis teda kahjustab (isikuandmete kaitse üldmääruse artikli 78 lõige 1) ja seetõttu ka iga trahvi vastu, mis talle määrata võidakse.

( 13 ) Näiteks määras Iiri andmekaitseasutus 31. detsembril 2022 Facebookile trahvi 210 miljonit eurot ja Instagramile 180 miljonit eurot.

( 14 ) Eelotsusetaotluse II põhjenduse punkt 1.

( 15 ) Vt praeguse ettepaneku punkt 32.

( 16 ) 27. aprilli 2017. aasta kohtuotsus Akzo Nobel jt vs. komisjon (C‑516/15 P, EU:C:2017:314, punkt 47.

( 17 ) Vt 10. aprilli 2014. aasta kohtuotsus Areva jt vs. komisjon (C‑247/11 P ja C‑253/11 P, EU:C:2014:257, punkt 123).

( 18 ) Nagu ma juba märkisin, jäävad käsitletava eelotsusemenetluse piiridesse probleemid, mis puudutavad emaettevõtjate ja tütarettevõtjate vahelisi suhteid sanktsioonide määramisel. Samuti ei ole eelotsusetaotluses tõstatatud küsimusi süüks pandavate tegude tõendamise kohustuse kohta.

( 19 ) Isikuandmete kaitse üldmääruse põhjendus 10.

( 20 ) Loc. ult. cit.

( 21 ) Saksamaa valitsuse kirjalike seisukohtade punkt 25. Selle seisukoha vastu väidab eelotsusetaotluse esitanud kohus eespool toodud sõnastuses, et isegi OWiG §-de 9 ja 30 koostoimes on riigisisese õigusega pakutav õiguste kaitse väga piiratud, võrreldes vastutuse korraga, mis tuleneb ELTL artiklitest 101 ja 102.

( 22 ) Saksamaa kirjalike seisukohtade punkt 25, 16.–18. joonealune märkus.

( 23 ) Sõnaühend strict liability vastab Euroopa Kohtu otsuste tavapärases ingliskeelses tõlkes väljenditele responsabilidad objetiva (hispaania keeles); responsabilité objective (prantsuse keeles); responsabilità oggettiva (itaalia keeles); responsabilidade objetiva (portugali keeles); objektiven Verantwortlichkeit (saksa keeles) ja objectieve aansprakelijkheid (hollandi keeles).

( 24 ) Vt kõige eelneva kohta 2. veebruari 2021. aasta kohtuotsus Consob (C‑481/19, EU:C:2021:84, punkt 36).

( 25 ) EIK 20. jaanuari 2009. aasta otsus Sud Fondi jt vs. Itaalia (CE:ECHR:2009:0120JUD007590901, punkt 116).

( 26 ) CE:ECHR:1988:1007JUD001051983.

( 27 ) EIK 7. oktoobri 1988. aasta otsus Salabiaku vs. Prantsusmaa, punktid 27 ja 28.

( 28 ) 22. märtsi 2017. aasta kohtuotsus Euro-Team ja Spirál-Gép (C‑497/15 ja C‑498/15, EU:C:2017:229, punktid 53 ja 54) ning seal viidatud 9. veebruari 2012. aasta kohtuotsus Urbán (C‑210/10, EU:C:2012:64, punktid 47 ja 48 vastavalt).

( 29 ) 22. märtsi 2017. aasta kohtuotsus Euro-Team ja Spirál-Gép (C‑497/15 ja C‑498/15, EU:C:2017:229).

( 30 ) 9. veebruari 2012. aasta kohtuotsus Urbán (C‑210/10, EU:C:2012:64).

( 31 ) Vt siiski käesoleva ettepaneku punktid 82 ja 83.

( 32 ) Näiteks viitab punkt a töötlemise eesmärgile. Punkt c viitab meetmetele, mis võetakse tekitatud kahju leevendamiseks. Punkt d viitab vastutuse astmele vastavalt võetud meetmetele. Punkt f viitab järelevalveasutusega tehtava koostöö määrale.

( 33 ) Isikuandmete kaitse üldmääruse põhjendus 150 viitab trahvide ühesugusele kohaldamisele liikmesriikide poolt. Liikmesriigid võivad seevastu otsustada „kas ja kui palju tuleks avaliku sektori asutustele määrata trahve“. Eeltoodu ei välista põhjenduses 151 viidatud erisätete kohaldamist Taani ja Eesti kohta ega põhjenduses 152 esitatud olukordi.

( 34 ) Isikuandmete kaitse üldmääruse põhjendus 10 kutsub üles tagama „isikuandmete töötlemisel […] füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine“ (kohtujuristi kursiiv). Põhjenduses 11 on märgitud, et tuleb tugevdada rikkujatele määratavaid samaväärseid karistusi; see väljend kordub põhjenduses 13.

Top

All

Choose the experimental features you want to try