JULKISASIAMIEHEN RATKAISUEHDOTUS

MANUEL CAMPOS SÁNCHEZ-BORDONA

27 päivänä huhtikuuta 2023 ( 1 )

Asia C‑807/21

Deutsche Wohnen SE

vastaan

Staatsanwaltschaft Berlin

(Ennakkoratkaisupyyntö – Kammergericht Berlin (Berliinin osavaltion ylioikeus, Saksa))

Ennakkoratkaisupyyntö – Henkilötietojen suoja – Asetus (EU) 2016/679 – Rikkomukset – Työntekijöiden tekemän rikkomisen lukeminen yrityksen syyksi – Mahdollinen tuottamuksesta riippumaton vastuu – Kilpailuoikeudessa käytettyjen käsitteiden soveltaminen

1.

Unionin tuomioistuin saa nyt käsiteltävän ennakkoratkaisupyynnön ansiosta tilaisuuden lausua edellytyksistä, joiden täyttyessä oikeushenkilölle voidaan määrätä hallinnollinen seuraamusmaksu asetuksen (EU) 2016/679 ( 2 ) rikkomisesta.

2.

Erityisesti on selvitettävä seuraavaa:

–

Voidaanko oikeushenkilölle määrätä seuraamuksia ilman, että luonnollisen henkilön vastuuta on tarpeen todeta etukäteen?

–

Pitääkö rikkomuksen, josta seuraamuksia määrätään, olla joka tapauksessa tahallinen tai tuottamuksellinen vai riittääkö pelkkä velvollisuuden objektiivinen rikkominen?

I Asiaa koskevat oikeussäännöt

A   Unionin oikeus: Yleinen tietosuoja-asetus

3.

Yleisen tietosuoja-asetuksen johdanto-osan 74 perustelukappaleessa todetaan seuraavaa:

”Olisi vahvistettava rekisterinpitäjän vastuu tämän suorittamasta tai rekisterinpitäjän puolesta suoritetusta henkilötietojen käsittelystä. Erityisesti rekisterinpitäjällä olisi oltava velvollisuus toteuttaa asianmukaisia ja tehokkaita toimenpiteitä, ja sen olisi voitava osoittaa, että käsittelytoimet ovat tämän asetuksen mukaisia, toimenpiteiden tehokkuus mukaan luettuna. Näitä toimenpiteitä toteutettaessa olisi otettava huomioon käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuva riski.”

4.

Yleisen tietosuoja-asetuksen johdanto-osan 150 perustelukappaleessa todetaan seuraavaa:

”Tämän asetuksen rikkomisen seurauksena määrättävien hallinnollisten seuraamusten vahvistamiseksi ja yhdenmukaistamiseksi jokaisella valvontaviranomaisella olisi oltava valtuudet määrätä hallinnollisia seuraamusmaksuja. Tässä asetuksessa olisi mainittava nämä rikkomiset ja niistä määrättävien seuraamusmaksujen enimmäismäärä ja määrän asettamisen perusteet, jotka toimivaltaisen valvontaviranomaisen olisi vahvistettava kussakin tapauksessa erikseen ottaen huomioon kaikki yksittäisen tilanteen kannalta merkittävät olosuhteet ja ottaen asianmukaisesti huomioon erityisesti rikkomisen luonne, vakavuus ja kesto ja sen seuraukset sekä toimenpiteet, jotka on toteutettu tämän asetuksen mukaisten velvoitteiden noudattamiseksi ja rikkomisen seurausten estämiseksi tai lieventämiseksi. Silloin kun seuraamusmaksuja määrätään yritykselle, yritys olisi tässä yhteydessä ymmärrettävä SEUT 101 ja 102 artiklan mukaiseksi yritykseksi. – – Yhdenmukaisuusmekanismia voidaan myös käyttää hallinnollisten seuraamusmaksujen johdonmukaisen soveltamisen edistämiseksi. – –”

5.

Yleisen tietosuoja-asetuksen 4 artiklassa (”Määritelmät”) säädetään seuraavaa:

”Tässä asetuksessa tarkoitetaan

– –

7)

’rekisterinpitäjällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä toisten kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot; jos tällaisen käsittelyn tarkoitukset ja keinot määritellään unionin tai jäsenvaltioiden lainsäädännössä, rekisterinpitäjä tai tämän nimittämistä koskevat erityiset kriteerit voidaan vahvistaa unionin oikeuden tai jäsenvaltion lainsäädännön mukaisesti,

8)

’henkilötietojen käsittelijällä’ luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka käsittelee henkilötietoja rekisterinpitäjän lukuun,

– –

18)

’yrityksellä’ taloudellista toimintaa harjoittavaa luonnollista henkilöä tai oikeushenkilöä sen oikeudellisesta muodosta riippumatta, mukaan lukien kumppanuudet tai yhdistykset, jotka säännöllisesti harjoittavat taloudellista toimintaa,

– –”

6.

Yleisen tietosuoja-asetuksen 58 artiklan (”Valtuudet”) 2 kohdassa säädetään seuraavaa:

”Jokaisella valvontaviranomaisella on kaikki seuraavat korjaavat toimivaltuudet:

a)

varoittaa rekisterinpitäjää tai henkilötietojen käsittelijää siitä, että aiotut käsittelytoimet ovat todennäköisesti tämän asetuksen säännösten vastaisia;

b)

antaa huomautus rekisterinpitäjälle tai henkilötietojen käsittelijälle, jos käsittelytoimet ovat olleet tämän asetuksen säännösten vastaisia;

c)

määrätä rekisterinpitäjä tai henkilötietojen käsittelijä noudattamaan rekisteröidyn pyyntöjä, jotka koskevat tähän asetukseen perustuvien rekisteröidyn oikeuksien käyttöä;

d)

määrätä rekisterinpitäjä tai henkilötietojen käsittelijä saattamaan käsittelytoimet tämän asetuksen säännösten mukaisiksi, tarvittaessa tietyllä tavalla ja tietyn määräajan kuluessa;

– –

i)

määrätä 83 artiklan nojalla hallinnollinen seuraamusmaksu tässä kohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden asemesta kunkin yksittäisen tapauksen olosuhteista riippuen;

– –”

7.

Yleisen tietosuoja-asetuksen 83 artiklassa (”Hallinnollisten seuraamusmaksujen määräämisen yleiset edellytykset”) säädetään seuraavaa:

”1.   Jokaisen valvontaviranomaisen on varmistettava, että 4, 5 ja 6 kohdassa tarkoitettujen tämän asetuksen rikkomisesta määrättävien hallinnollisten seuraamusmaksujen määrääminen tämän artiklan mukaisesti on kussakin yksittäisessä tapauksessa tehokasta, oikeasuhteista ja varoittavaa.

2.   Hallinnolliset seuraamusmaksut määrätään kunkin yksittäisen tapauksen olosuhteiden mukaisesti 58 artiklan 2 kohdan a–h ja j alakohdassa tarkoitettujen toimenpiteiden lisäksi tai niiden sijasta. Kun päätetään hallinnollisen seuraamusmaksun määräämisestä ja hallinnollisen seuraamusmaksun määrästä, kussakin yksittäisessä tapauksessa on otettava asianmukaisesti huomioon seuraavat seikat:

a)

rikkomuksen luonne, vakavuus ja kesto huomioon ottaen kyseisen tietojenkäsittelyn luonne, laajuus tai tarkoitus, sekä niiden rekisteröityjen lukumäärä, joihin rikkomus vaikuttaa, ja heille aiheutuneen vahingon suuruus;

b)

rikkomuksen tahallisuus tai tuottamuksellisuus;

c)

rekisterinpitäjän tai henkilötietojen käsittelijän toteuttamat toimet rekisteröidyille aiheutuneen vahingon lieventämiseksi;

d)

rekisterinpitäjän tai henkilötietojen käsittelijän vastuun aste, ottaen huomioon heidän 25 ja 32 artiklan nojalla toteuttamansa tekniset ja organisatoriset toimenpiteet;

e)

rekisterinpitäjän tai henkilötietojen käsittelijän mahdolliset aiemmat vastaavat rikkomukset;

f)

yhteistyön määrä valvontaviranomaisen kanssa rikkomisen korjaamiseksi ja sen mahdollisten haittavaikutusten lieventämiseksi;

g)

henkilötietoryhmät, joihin rikkomus vaikuttaa;

h)

tapa, jolla rikkomus tuli valvontaviranomaisen tietoon, erityisesti se, ilmoittiko rekisterinpitäjä tai henkilötietojen käsittelijä rikkomuksesta ja missä laajuudessa;

i)

jos kyseiselle rekisterinpitäjälle tai henkilötietojen käsittelijälle on aikaisemmin määrätty samasta asiasta 58 artiklan 2 kohdassa tarkoitettuja toimenpiteitä, näiden toimenpiteiden noudattaminen;

j)

40 artiklan mukaisten hyväksyttyjen käytännesääntöjen tai 42 artiklan mukaisten hyväksyttyjen sertifiointimekanismien noudattaminen; ja

k)

mahdolliset muut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät, kuten rikkomuksesta suoraan tai epäsuorasti saadut mahdolliset taloudelliset edut tai rikkomuksella vältetyt tappiot.

3.   Jos rekisterinpitäjä tai henkilötietojen käsittelijä rikkoo samoissa tai toisiinsa liittyvissä käsittelytoimissa tahallaan tai tuottamuksellisesti useita tämän asetuksen säännöksiä, hallinnollisen seuraamusmaksun kokonaismäärä ei saa ylittää vakavimmasta rikkomuksesta määrättyä seuraamusmaksua.

4.   Seuraavien säännösten rikkomisesta määrätään 2 kohdan mukaisesti hallinnollinen seuraamusmaksu, joka on enintään 10000000 euroa, tai jos kyseessä on yritys, kaksi prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi – –

5.   Seuraavien säännösten rikkomisesta määrätään 2 kohdan mukaisesti hallinnollinen seuraamusmaksu, joka on enintään 20000000 euroa, tai jos kyseessä on yritys, neljä prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi:

– –

6.   Edellä 58 artiklan 2 kohdassa tarkoitetun valvontaviranomaisen määräyksen noudattamatta jättämisestä määrätään tämän artiklan 2 kohdan mukaisesti hallinnollinen seuraamusmaksu, joka on enintään 20000000 euroa, tai jos kyseessä on yritys, neljä prosenttia sen edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä määristä on suurempi.

– –

8.   Valvontaviranomaisen tämän artiklan mukaisien valtuuksien käyttöön sovelletaan unionin oikeuden ja jäsenvaltion lainsäädännön mukaisesti asianmukaisia menettelytakeita, muun muassa tehokkaita oikeussuojakeinoja ja asianmukaista prosessia.

– –”

B   Kansallinen oikeus: Hallinnollisista rikkomuksista annettu laki (Ordnungswidrigkeitengesetz) ( 3 )

8.

OWiG:n 9 §:n 1 momentissa säädetään, että jos henkilö toimii a) oikeushenkilön edustamiseen valtuutettuna elimenä (tai tällaisen elimen jäsenenä), b) oikeuskelpoisen henkilöyhtiön edustamiseen valtuutettuna yhtiömiehenä tai c) kolmannen osapuolen laillisena edustajana, sovelletaan mitä tahansa lakia, jonka nojalla mahdollinen seuraamus voidaan määrätä henkilökohtaisten ominaisuuksien, suhteiden tai olosuhteiden perusteella, jos asianomaiset edellytykset eivät täyty hänen kohdallaan vaan edustetun henkilön kohdalla.

9.

Saman lain 9 §:n 2 momentin mukaan edellistä säännöstä sovelletaan myös yrityksen haltijaan, joka antaa yrityksen johtamisen tai haltijalle kuuluvien tehtävien hoitamisen kokonaan tai osittain toisen henkilön hoidettavaksi omalla vastuullaan.

10.

OWiG:n 30 §:n 1 momentin mukaan oikeushenkilölle voidaan määrätä hallinnollinen seuraamusmaksu, jos luonnollinen henkilö, joka edustaa kyseistä oikeushenkilöä, johtaa sen toimintaa tai vastaa sen hallinnoinnista, on syyllistynyt rangaistavaan tekoon tai laiminlyönyt oikeushenkilölle kuuluvat velvollisuudet.

11.

OWiG:n 30 §:n 4 momentin mukaisesti seuraamusmaksun määrääminen erikseen oikeushenkilölle edellyttää, että luonnollista henkilöä vastaan ei ole aloitettu rikosoikeudellista tai hallinnollista menettelyä rangaistavan teon tai hallinnollisen rikkomuksen vuoksi tai että jo aloitettu menettely on lopetettu tai rangaistuksesta on luovuttu.

12.

OWiG:n 130 §:n 1 momentin mukaisesti se, joka yrityksen haltijana jättää tahallaan tai tuottamuksellisesti toteuttamatta valvontatoimenpiteet, jotka ovat tarpeen, jotta estetään sellaisten haltijalle kuuluvien velvollisuuksien laiminlyönti yrityksessä, joiden rikkomisesta voidaan määrätä rangaistus tai seuraamusmaksu, syyllistyy hallinnolliseen rikkomukseen, jos kyseinen laiminlyönti olisi voitu estää tai sen tapahtumisesta olisi voitu tehdä hankalampaa asianmukaisilla valvontatoimenpiteillä, kuten valvonnasta vastaavien henkilöiden nimittämisellä, huolellisella valinnalla ja valvonnalla.

II Tosiseikat, pääasia ja ennakkoratkaisukysymykset

13.

Deutsche Wohnen SE (jäljempänä Deutsche Wohnen) on pörssinoteerattu kiinteistöyhtiö, jonka kotipaikka on Berliini (Saksa). Se omistaa välillisesti noin 163000 asuinhuoneistoa ja 3000 liikehuoneistoa.

14.

Näiden huoneistojen omistajat ovat Deutsche Wohneniin sidoksissa olevia tytäryhtiöitä (”hallintayhtiöitä”), jotka hoitavat operatiivista liiketoimintaa, kun taas Deutsche Wohnen vastaa konsernin keskushallinnosta. Hallintayhtiöt vuokraavat asuin- ja liikehuoneistoja, joita hallinnoivat muut konserniin kuuluvat yhtiöt eli niin kutsutut palveluyhtiöt.

15.

Deutsche Wohnen ja konserniin kuuluvat yhtiöt käsittelevät liiketoimintansa yhteydessä huoneistojen vuokralaisten henkilötietoja. Näitä tietoja ovat erityisesti henkilöllisyystodistukset; vero-, sosiaaliturva- ja sairausvakuutustiedot sekä aiempia vuokrasuhteita koskevat tiedot.

16.

Berliner Beauftragte für den Datenschutz (tietosuojasta Berliinissä vastaava viranomainen, jäljempänä tietosuojaviranomainen) huomautti 23.6.2017 Deutsche Wohnenille paikalla tehdyssä tarkastuksessa, että Deutsche Wohnenin konserniin kuuluvat yhtiöt säilyttivät vuokralaisten henkilötietoja sähköisessä arkistojärjestelmässä, jonka osalta ei voitu todeta, oliko säilyttäminen tarpeen, eikä voitu varmistaa, että tarpeettomiksi tulleet tiedot poistetaan.

17.

Tietosuojaviranomainen vaati Deutsche Wohnenia poistamaan vastedes tietyt asiakirjat sähköisestä arkistojärjestelmästä viimeistään vuoden 2017 loppuun mennessä.

18.

Deutsche Wohnen kieltäytyi noudattamasta vaatimusta ilmoittaen, ettei kyseinen poistaminen ollut teknisistä ja oikeudellisista syistä mahdollista. Tästä kieltäytymisestä keskusteltiin Deutsche Wohnenin ja tietosuojaviranomaisen välisessä kokouksessa, jossa tietosuojaviranomainen ilmoitti, että tietojen poistamiseen oli olemassa teknisiä ratkaisuja. Keskustelut jatkuivat, ja Deutsche Wohnen ilmoitti harkitsevansa uuden järjestelmän käyttöönottoa tietosuojaviranomaisen hylkäämän järjestelmän tilalle.

19.

Tietosuojaviranomainen teki 5.3.2020 konsernin pääkonttorissa tarkastuksen, jonka aikana tietokannoista poimittiin satunnaistetusti yhteensä 16 otantayksikköä. Samaan aikaan Deutsche Wohnen ilmoitti viranomaiselle, että riidanalainen arkistojärjestelmä oli jo poistettu käytöstä ja että tietojen siirtäminen uuteen järjestelmään toteutettaisiin pian.

20.

Tietosuojaviranomainen määräsi 30.10.2020 Deutsche Wohnenille seuraamuksia seuraavista syistä:

–

Deutsche Wohnen oli jättänyt 25.5.2018–5.3.2019 tahallisesti toteuttamatta tarvittavat toimenpiteet, joiden avulla tarpeettomiksi tulleet tai muulla tavoin perusteettomasti säilytetyt vuokralaisten tiedot olisi voitu poistaa säännöllisesti.

–

Deutsche Wohnen oli säilyttänyt vähintään 15 yksilöidyn vuokralaisen henkilötietoja, vaikka se tiesi, etteivät kyseiset tiedot olleet tarpeen tai että ne olivat tulleet tarpeettomiksi.

21.

Määrättyjen seuraamusmaksujen määrät olivat 14385000 euroa yleisen tietosuoja-asetuksen 25 artiklan 1 kohdan ja 5 artiklan 1 kohdan a, c ja e alakohdan tahallisesta rikkomisesta sekä 3 000–17 000 euroa kustakin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan rikkomisesta, joita oli tapahtunut 15.

22.

Deutsche Wohnen riitautti seuraamukset Landgericht Berlinissä (Berliinin alueellinen alioikeus, Saksa), joka hyväksyi kanteen.

23.

Staatsanwaltschaft Berlin (Berliinin syyttäjäviranomainen, Saksa) on valittanut ensimmäisen oikeusasteen tuomioistuimen ratkaisusta Kammergericht Berliniin (Berliinin osavaltion ylioikeus, Saksa), joka on esittänyt unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1)

Onko [yleisen tietosuoja-asetuksen] 83 artiklan 4–6 kohtaa tulkittava siten, että sillä sisällytetään SEUT 101 ja SEUT 102 artiklassa tarkoitetut toiminnallinen yrityksen käsite ja toiminnallisesti ymmärretyn yrityksen vastuun periaate (Funktionsträgerprinzip) kansalliseen oikeuteen sillä seurauksella, että [OWiG:n] 30 §:n perustana olevaa oikeussubjektiksi ymmärretyn yrityksen vastuuta koskevaa periaatetta (Rechtsträgerprinzip) laajentamalla hallinnollista seuraamusmaksua koskeva menettely voidaan toteuttaa suoraan yritystä vastaan, eikä hallinnollisen seuraamusmaksun määräämisen edellytyksenä ole sen toteaminen, että luonnollinen ja yksilöity henkilö on, tarvittaessa kaikki objektiiviset ja subjektiiviset tunnusmerkit täyttämällä, tehnyt hallinnollisen rikkomuksen?

2)

Jos ensimmäiseen kysymykseen vastataan myöntävästi: onko [yleisen tietosuoja-asetuksen] 83 artiklan 4–6 kohtaa tulkittava siten, että yrityksen on työntekijänsä välityksellä pitänyt syyllistyä rikkomukseen tuottamuksellisesti (ks. – – asetuksen (EY) N:o 1/2003[ ( 4 )] 23 artikla), vai voidaanko yritykselle lähtökohtaisesti määrätä hallinnollinen seuraamusmaksu jo sille kuuluvien velvollisuuksien objektiivisesta rikkomisesta (ankara vastuu)?”

III Asian käsittelyn vaiheet unionin tuomioistuimessa

24.

Ennakkoratkaisupyyntö on kirjattu saapuneeksi unionin tuomioistuimeen 23.12.2021.

25.

Kirjallisia huomautuksia ovat esittäneet Deutsche Wohnen, Saksan, Viron ja Norjan hallitukset sekä Euroopan komissio.

26.

Unionin tuomioistuin pyysi 9.11.2022 työjärjestyksen 101 artiklan 1 kohdan mukaisesti ennakkoratkaisua pyytäneeltä tuomioistuimelta selvennyksiä

–

OWiG:n 130 §:n mahdollisesta vaikutuksesta ensimmäiseen esitetyistä kysymyksistä

–

syistä, joiden vuoksi ennakkoratkaisua pyytänyt tuomioistuin pitää toiseen ennakkoratkaisukysymykseen vastaamista tarpeellisena, kun otetaan huomioon, että ennakkoratkaisupyynnön mukaan seuraamukset määrättiin yleisen tietosuoja-asetuksen useiden säännösten tahallisesta rikkomisesta.

27.

Pyydetyt selvennykset kirjattiin saapuneiksi unionin tuomioistuimeen 11.1.2023.

28.

Kirjallisia huomautuksia esittäneiden lisäksi istuntoon, joka pidettiin 17.1.2023, osallistuivat Alankomaiden hallitus, Euroopan parlamentti ja Euroopan unionin neuvosto.

IV Asian tarkastelu

A   Ensimmäinen ennakkoratkaisukysymys

1. Alustavia huomautuksia

29.

Ennakkoratkaisua pyytäneen tuomioistuimen esittämässä ensimmäisessä kysymyksessä pohditaan lyhyesti sanottuna sitä, voidaanko unionin oikeuden mukaisesti oikeushenkilölle määrätä seuraamus yleisen tietosuoja-asetuksen rikkomisesta ilman, että kyseinen rikkominen olisi luettava ensin luonnollisen henkilön syyksi.

30.

Ennakkoratkaisua pyytänyt tuomioistuin on kuitenkin lisännyt kysymykseensä useita tilannetta monimutkaistavia seikkoja:

–

Sen mukaan yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdan tulkinta voisi antaa vastauksen sen kysymykseen.

–

Se viittaa SEUT 101 ja SEUT 102 artiklan mukaiseen toiminnalliseen yrityksen käsitteeseen ja toiminnallisesti ymmärretyn yrityksen vastuun periaatteeseen.

31.

Ennakkoratkaisua pyytänyt tuomioistuin toteaa, että kansallisen lainsäädännön mukaan seuraamusmaksu voidaan määrätä yritykselle vain silloin, kun sen syyksi voidaan lukea tiettyjä rikkomuksia, joita ovat tehneet (ainoastaan) sen johtajat, joiden tehtäviin kuuluu sen edustaminen. ( 5 )

32.

Deutsche Wohnen ja Saksan hallitus ovat eri mieltä tästä näkemyksestä. Niiden mielestä OWiG:n 30 §:ää on tulkittava yhdessä OWiG:n 9 §:n ja 130 §:n kanssa, sillä se muodostaa näiden kanssa yhtenäisen seuraamusjärjestelmän. Kyseisen järjestelmän mukaan yritykselle voidaan määrätä hallinnollinen seuraamus ilman, että menettelyn aloittaminen yrityksen lukuun toiminutta luonnollista henkilöä vastaan on tarpeen. ( 6 )

33.

Unionin tuomioistuimen pyydettyä selvennystä OWiG:n 130 §:n mahdollisesta vaikutuksesta ennakkoratkaisua pyytänyt tuomioistuin vastasi, ettei kyseinen pykälä ollut merkityksellinen ensimmäisen ennakkoratkaisukysymyksen kannalta. Se esitti kantansa tueksi seuraavaa:

–

Vaikka kyseisessä pykälässä annetaan, kun se luetaan yhdessä OWiG:n 9 ja 30 §:n kanssa, mahdollisuus määrätä seuraamusmaksuja yritykselle, sen mukainen oikeushyvien suoja on hyvin rajallinen SEUT 101 ja SEUT 102 artiklaan perustuvaan vastuujärjestelmään verrattuna.

–

OWiG:n 130 § on osoitettu sellaisen yrityksen haltijalle, joka on laiminlyönyt valvontavelvollisuuden. Yrityksen haltijan syyksi luettavan velvollisuuksien laiminlyönnin toteen näyttäminen ulottuu laajemmalle kuin asianomaisen yrityksen tekemän oikeudellisten etujen loukkaamisen toteaminen. Toteen näyttäminen edellyttää sellaisten (yleisten ja erityisten) sisäisten rakenteiden ja menettelyiden, jotka ovat erittäin monimutkaisia nyt esillä olevan asian lisäksi missä tahansa muussakin konsernia koskevassa tapauksessa, tutkimista ja selvittämistä, mikä on monissa tapauksissa mahdotonta. Tältä osin on kiistanalaista, voidaanko konserneja pitää todellisuudessa OWiG:n 130 §:ssä tarkoitettuina yrityksinä tai yritysten haltijoina.

34.

Nämä selvennykset osoittavat, että ennakkoratkaisua pyytäneen tuomioistuimen ensimmäinen ennakkoratkaisukysymys vastaa sellaista käsitystä kansallisesta oikeudesta, joka poikkeaa Saksan hallituksen näkemyksestä ja jossa hyväksytään oikeushenkilöiden vastuujärjestelmä, jonka ominaispiirteet saattavat tehdä siitä yhteensopimattoman unionin oikeuden kanssa.

35.

Unionin tuomioistuimen on otettava kansallinen lainsäädäntö huomioon sellaisena kuin ennakkoratkaisua pyytänyt tuomioistuin, jolla on toimivalta tulkita kansallista lainsääntöään, on sen kuvannut. ( 7 ) Kansallisen tuomioistuimen esittämät unionin oikeuden tulkintaa koskevat kysymykset on ratkaistava niiden tosiseikkojen ja oikeudellisten seikkojen perusteella, joiden määrittämisestä se vastaa ja joiden paikkansapitävyyden selvittäminen ei ole unionin tuomioistuimen tehtävä. ( 8 )

36.

Tutkin siis ensimmäisen ennakkoratkaisukysymyksen näistä lähtökohdista käsin.

2. Oikeushenkilöt, joille seuraamus osoitetaan yleisessä tietosuoja-asetuksessa

37.

Unionin oikeuden perusteella mikään ei estä pitämästä Deutsche Wohnenia rikkomisen tekijänä ja henkilönä, jolle määrätty seuraamus osoitetaan. Tämä mahdollisuus sisältyy abstraktisti yleiseen tietosuoja-asetukseen, ja sitä on myös käytetty konkreettisesti:

–

Kuten jäljempänä selvitän, abstraktilla tasolla oikeushenkilölle voidaan määrätä seuraamus suoraan tietosuoja-alalla tapahtuneista rikkomuksista useiden yleisen tietosuoja-asetuksen säännösten nojalla, ja se on myös tosiasiassa yksi keskeisistä mekanismeista, joilla taataan kyseisen asetuksen tehokas vaikutus.

–

Ennakkoratkaisupyynnön mukaan riidanalainen seuraamusmaksu määrättiin konkreettisesti Deutsche Wohnenille useista yleisen tietosuoja-asetuksen rikkomisista, joihin sen katsottiin syyllistyneen rekisterinpitäjänä. ( 9 ) Tietosuojaviranomaisen vaatimus osoitettiin sille, se vastasi tähän vaatimukseen edellä esitetyllä tavalla ja se jatkoi tietosuojaviranomaisen moitteiden kohteena ollutta toimintaa. Sitä, jolle seuraamus oli osoitettu, ei siis ollut hankala tunnistaa. ( 10 )

38.

Abstraktilta kannalta sen kannan tueksi, että oikeushenkilölle voidaan määrätä seuraamus suoraan yleisen tietosuoja-asetuksen rikkomisesta, ei vaadita kovinkaan paljon. Tämä kanta voidaan päätellä vaikeuksitta yleisen tietosuoja-asetuksen 4, 58 ja 83 artiklan tulkinnan perusteella:

–

4 artiklassa määritellään rekisterinpitäjän ja henkilötietojen käsittelijän käsitteet ja viitataan nimenomaisesti siihen, että nämä voivat olla oikeushenkilöitä. ( 11 )

–

58 artiklan 2 kohdassa annetaan valvontaviranomaisille useita ”korjaavia toimivaltuuksia” rekisterinpitäjien ja henkilötietojen käsittelijöiden (eli myös oikeushenkilöiden) suhteen. Näihin korjaaviin toimivaltuuksiin kuuluu ”hallinnollisen seuraamusmaksun” määrääminen (i alakohta).

–

Yleisen tietosuoja-asetuksen 83 artiklassa luetellaan hallinnollisten seuraamusmaksujen määrän vahvistamisperusteet ja viitataan tekijöihin, joiden voidaan katsoa täyttyvän vaikeuksitta oikeushenkilöiden toiminnassa.

39.

Kaikkien näiden säännösten perusteella on varsin luontevaa, että yleisen tietosuoja-asetuksen mukaisesti sen rikkomisesta määrättävät hallinnolliset seuraamusmaksut voidaan osoittaa suoraan oikeushenkilölle. ( 12 ) Myös toimivaltaiset kansalliset viranomaiset ovat toimineet samalla tavalla luontevasti määräämällä epäröimättä seuraamusmaksuja – toisinaan suuriakin – yleistä tietosuoja-asetusta rikkoneille oikeushenkilöille. ( 13 )

40.

Konkreettiselta kannalta kertaan, että tietosuojaviranomainen otti yhteyttä Deutsche Wohneniin, koska piti tätä rekisterinpitäjänä, ja kehotti tätä poistamaan arkistostaan tiettyjä vuokralaisten henkilötietoja, minkä jälkeen kyseinen yritys jätti jonkin aikaa noudattamatta tätä kehotusta mutta muutti sitten tiedonsäilytysjärjestelmiään.

3. Pitääkö teon olla luettu luonnollisen henkilön syyksi?

41.

Ennakkoratkaisua pyytäneen tuomioistuimen mukaan kansallisessa lainsäädännössä edellytetään, että yritykselle voidaan määrätä seuraamus suoraan yleisen tietosuoja-asetuksen rikkomisesta vain, jos luonnollisen henkilön vastuu on todettu tätä ennen. Sen mukaan tämä johtuu OWiG:n 30 §:stä: yritykselle voidaan määrätä seuraamusmaksu vain, jos sen syyksi voidaan lukea tiettyjä rikkomuksia, joihin sitä edustava johtohenkilöstö on syyllistynyt, ja tällöin edustajan on pitänyt rikkoa asianomaista säännöstä tavalla, joka täyttää tunnusmerkistön ja on oikeudenvastainen ja tuottamuksellinen. ( 14 )

42.

Saksan hallitus vastustaa ennakkoratkaisua pyytäneen tuomioistuimen tulkintaa vetoamalla OWiG:n 130 §:ään, mihin ennakkoratkaisua pyytänyt tuomioistuin ottaa kantaa edellä kuvatun mukaisesti unionin tuomioistuimelle antamassaan selvityksessä. ( 15 ) Lyhyesti sanottuna se väittää, että kyseisen säännöksen mukainen oikeushyvien suoja on hyvin rajallinen verrattuna SEUT 101 ja SEUT 102 artiklan mukaiseen vastuujärjestelmään.

43.

Ennakkoratkaisua pyytäneen tuomioistuimen väittämä sääntö luonnollisen henkilön vastuun toteamisesta ensin ei tule kuitenkaan sovellettavaksi, jos SEUT 101 ja SEUT 102 artiklalle ominainen toiminnallinen yrityksen käsite on omaksuttu yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdassa ja sisällytetty siten kansalliseen lainsäädäntöön.

a) SEUT 101 ja SEUT 102 artiklassa käytetyn käsitteen vaikutus

44.

Yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohta koskee siinä mainituista yleisen tietosuoja-asetuksen rikkomisista määrättävien seuraamusten määrän laskemista. Kyseisissä kolmessa kohdassa säädetään varsinaisesti mahdollisesta tilanteesta, jossa seuraamus määrätään yritykselle.

45.

Tässä yhteydessä yleisen tietosuoja-asetuksen johdanto-osan 150 perustelukappaleen viittaus yrityksen käsitteeseen on ymmärrettävä SEUT 101 ja SEUT 102 artiklassa tarkoitetussa merkityksessä. Muistutan, että unionin tuomioistuimen mukaan ”unionin kilpailuoikeus koskee yritysten toimintaa ja yrityksen käsitteeseen kuuluvat kaikki taloudellista toimintaa harjoittavat yksiköt riippumatta niiden oikeudellisesta muodosta tai rahoitustavasta”. ( 16 )

46.

Koska yleisen tietosuoja-asetuksen rikkomisesta määrättävien seuraamusten enimmäismääräksi on vahvistettu rekisterinpitäjinä tai henkilötietojen käsittelijöinä toimivien yritysten kohdalla prosenttiosuus ”edeltävän tilikauden vuotuisesta maailmanlaajuisesta kokonaisliikevaihdosta”, ei kyseisen määrän vahvistamista koskevan viittauksen voida katsoa tarkoittavan yritystä muodollisena oikeushenkilönä vaan ”taloudellisena kokonaisuutena” edellä esitetyssä merkityksessä.

47.

Näin on siksi, että yleisen tietosuoja-asetuksen 83 artiklan 1 kohdan mukaan sen 4–6 kohdassa tarkoitettujen hallinnollisten seuraamusmaksujen määräämisen on oltava ”tehokasta, oikeasuhteista ja varoittavaa”. Nämä kolme ominaisuutta ovat vain seuraamusmaksulla, jonka määrä määräytyy seuraamusmaksun adressaatin todellisen tai aineellisen taloudellisen kapasiteetin perusteella. Tämän vuoksi seuraamusmaksun laskennassa on tarpeen käyttää aineellista tai taloudellista yrityksen käsitettä tiukan muodollisen käsitteen sijaan.

48.

Unionin lainsäätäjä käyttää siis kilpailuoikeudelle ( 17 ) ominaista yrityksen tosiasiallista tai aineellista määritelmää yleisen tietosuoja-asetuksen rikkomisesta määrättävien seuraamusmaksujen määrän määrittämistä varten. Painotan kuitenkin, että yleisessä tietosuoja-asetuksessa viitataan tähän käsitteeseen vain tässä tarkoituksessa.

49.

Käsiteltävässä asiassa SEUT 101 ja SEUT 102 artiklassa tarkoitettu yrityksen käsite voisi siis olla merkityksellinen määritettäessä Deutsche Wohnenille määrättävän sakon määrä. Viimeksi mainitun katsominen yritykseksi, jolle seuraamus on osoitettu (oikeammin rikkomuksen tekijäksi), ei edellytä ehdottomasti kyseisen kahden EUT-sopimuksen määräyksen soveltamista.

50.

Edellä esitetty ei estä soveltamasta soveltuvin osin analogian kautta niitä yleisiä periaatteita, joita sovelletaan kilpailuoikeuden seuraamusjärjestelmässä (jota unionin tuomioistuin on saanut tulkita runsain mitoin), kun kyseessä on oikeushenkilöiden vastuu henkilötietojen suojaa koskevista rikkomuksista. ( 18 )

b) Suoraan oikeushenkilön syyksi lukeminen

51.

Onko kansallinen lainsäädäntö, jonka mukaan hallinnollisten seuraamusmaksujen määrääminen oikeushenkilöille edellyttää, että sitä ennen on käyty menettely luonnollista henkilöä vastaan, yhteensopiva yleisen tietosuoja-asetuksen kanssa?

52.

Yleisen tietosuoja-asetuksen luonteeseen kuuluu yleisen pätevyyden lisäksi sen velvoittavuus ja sen soveltaminen sellaisenaan kaikissa jäsenvaltioissa SEUT 288 artiklan mukaisesti. Nämä ominaispiirteet vääristyisivät, jos jäsenvaltiot voisivat poiketa unionin lainsäätäjän yleisessä tietosuoja-asetuksessa asettamista lopullisista vaatimuksista.

53.

Yleisen tietosuoja-asetuksen muutamissa säännöksissä jätetään niiden kohteen erityislaatuisuuden ja ominaispiirteiden vuoksi jäsenvaltioille kiistatta jonkin verran liikkumavaraa kansallisten oikeussääntöjen voimassa pitämisen tai antamisen suhteen, jotta niistä muutamia voidaan täsmentää. Tämä koskee esimerkiksi seuraavia:

–

Henkilötietojen käsittely laissa säädetyn velvoitteen täyttämiseksi, yleisen edun mukaisen tehtävän suorittamiseksi tai rekisterinpitäjälle annetun julkisen vallan käyttämiseksi. ( 19 )

–

Erityisten henkilötietojen ryhmien käsittelyn osalta yleisessä tietosuoja-asetuksessa ei estetä jäsenvaltioita määrittämästä erityisiin käsittelytilanteisiin liittyviä olosuhteita, ei myöskään luettelemasta yksityiskohtaisesti niiden laillisuutta koskevia edellytyksiä. ( 20 )

54.

Tätä valtiolle jätettyä harkintavaltaa, josta keskusteltiin istunnossa, ei voida nähdäkseni laajentaa niin, että oikeushenkilön vastuuvelvollisuutta kavennettaisiin samalla tavalla kuin OWiG:n 30 §:ssä ennakkoratkaisua pyytäneen tuomioistuimen mukaan tehdään.

55.

Jos oikeushenkilöiden vastuujärjestelmä olisi tällainen, voisi yleisen tietosuoja-asetuksen seuraamusjärjestelmän soveltamisalan ulkopuolelle jäädä rikkomuksia, jotka on kyseisen asetuksen mukaan luettava oikeushenkilön syyksi tämän toimiessa rekisterinpitäjänä tai henkilötietojen käsittelijänä. Näin kävisi silloin, kun luonnolliset henkilöt, jotka edustavat oikeushenkilöä, johtavat sitä tai huolehtivat sen hallinnosta, eivät olisi osallisina kyseisissä rikkomuksissa.

56.

Toistan, että vaikka oikeushenkilö voi olla rekisterinpitäjä ja syyllistyä tässä ominaisuudessa yleisen tietosuoja-asetuksen rikkomisiin, OWiG:n 30 §:n soveltaminen voisi heikentää tai kaventaa perusteettomasti rangaistavien menettelyjen soveltamisalaa, mikä ei ole varsinaisen yleisen tietosuoja-asetuksen yleistavoitteen mukaista.

57.

Oikeushenkilön, jota voidaan pitää rekisterinpitäjänä tai henkilötietojen käsittelijänä, on vastattava yleisen tietosuoja-asetuksen rikkomisten seuraamuksista niin silloin, kun rikkomisen tekijänä on sen edustaja, johtaja tai hallintoelimen jäsen, kuin silloin, kun rikkomisen tekijänä on luonnollinen henkilö (työntekijä sanan laajassa merkityksessä), joka toimii sen varsinaisen liiketoiminnan alalla ja ensin mainittujen henkilöiden valvonnassa.

58.

Nämä luonnolliset henkilöt tosiasiassa vahvistavat ja määrittelevät oikeushenkilön tahdon toteuttamalla sitä yksittäisten konkreettisten tekojen kautta. Yksittäiset teot, jotka ilmentävät konkreettisesti kyseistä tahtoa, ovat viime kädessä varsinaisen oikeushenkilön vastuulla.

59.

Kyseessä ovat siis luonnolliset henkilöt, jotka eivät varsinaisesti edusta oikeushenkilöä vaan toimivat niiden henkilöiden alaisuudessa, jotka ovat kyseistä oikeushenkilöä edustaessaan laiminlyöneet ensin mainittujen luonnollisten henkilöiden valvonnan ja seurannan. Vastuu ulottuu viime kädessä varsinaiseen oikeushenkilöön, sillä sen toimintaa johtavien elinten alaisuudessa toimivan työntekijän rikkomus johtuu sen valvonta- ja seurantajärjestelmän puutteesta, josta nämä elimet ovat suoraan vastuussa.

60.

Edellä esitetty vastaa ennakkoratkaisua pyytäneen tuomioistuimen esittämää tulkintaa kansallisesta lainsäädännöstä. Saksan hallitus väittää kuitenkin, että OWiG:n 9, 30 ja 130 §:n soveltaminen yhdessä muodostaa järjestelmän, jossa oikeushenkilön syyksi luetuista rikkomuksista, joiden tekijöinä olevat luonnolliset henkilöt eivät huolehdi kyseisen oikeushenkilön johto- tai edustustehtävistä, voidaan määrätä seuraamuksia ilman yksilöinnin tarvetta. ( 21 )

61.

Kuten olen todennut edellä, kansallisen lainsäädännön säännösten tulkinta on ennakkoratkaisua pyytäneen tuomioistuimen tehtävä. Kansallisten tuomioistuinten on selvitettävä, voidaanko kansallista lainsäädäntöä tulkita näiden säännösten perusteella Saksan hallituksen esille ottaman kansallisen oikeuskäytännön ja oikeuskirjallisuuden ( 22 ) mukaisesti yhteensopivalla tavalla unionin oikeuden vaatimusten kanssa.

62.

Jos kyseinen tulkinta olisi contra legem ja yleisen tietosuoja-asetuksen säännösten täysimääräinen soveltaminen osoittautuisi tällä alalla mahdottomaksi kansallisen seuraamusjärjestelmän erikoisen rakenteen vuoksi, ennakkoratkaisua pyytäneen tuomioistuimen olisi jätettävä soveltamatta kansallista oikeussääntöä, joka on ristiriidassa unionin oikeuden kanssa, yleisen tietosuoja-asetuksen ensisijaisuuden varmistamiseksi.

B   Toinen ennakkoratkaisukysymys

63.

Ennakkoratkaisua pyytänyt tuomioistuin haluaa selvittää, onko yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdan mukaisesti niin, että ”yrityksen on työntekijänsä välityksellä pitänyt syyllistyä rikkomukseen tuottamuksellisesti – –, vai voidaanko yritykselle lähtökohtaisesti määrätä hallinnollinen seuraamusmaksu jo sille kuuluvien velvollisuuksien objektiivisesta rikkomisesta (ankara vastuu)”. ( 23 )

64.

Näin muotoiltu kysymys on luonteeltaan hypoteettinen, minkä vuoksi se on jätettävä tutkimatta kahdesta syystä.

65.

Ensinnäkin ennakkoratkaisupyynnön mukaan Deutsche Wohnenille määrättiin seuraamus tahallisesta (tarkoituksellisesta) toiminnasta eikä pelkästä yleisen tietosuoja-asetuksen ”objektiivisesta rikkomisesta”. Edellä läpi käydystä tosiseikkojen kuvauksesta ilmenee, että kyseinen yritys jätti tietoisesti ja tarkoituksellisesti noudattamatta tietosuojaviranomaisen vaatimusta ja jatkoi moitittua tietojenkäsittelyä. Tältä kannalta on merkityksetöntä, että kyseinen yritys vetosi erilaisiin teknisiin ja oikeudellisiin hankaluuksiin, joita liittyi sen tietojenkäsittelyjärjestelmien muuttamiseen.

66.

Toiseksi ennakkoratkaisua pyytänyt tuomioistuin toi esille unionin tuomioistuimen pyydettyä siltä selvennyksiä kysymykseen, etteivät seuraamusta koskevassa päätöksessä esitetyt toteamukset sido ensimmäisen oikeusasteen tuomioistuinta ja että kyseinen tuomioistuin voisi lausua myöhemmin seuraamusta koskevan muutoksenhaun perusteista. Jos se vakuuttuisi siitä, että rikkominen oli tapahtunut, olisi selvitettävä, minkä tyyppisestä rikkomisesta on ollut kyse, mikä riippuu esillä olevaan toiseen ennakkoratkaisukysymykseen annettavasta vastauksesta.

67.

Tämän selvityksen perusteella toinen ennakkoratkaisukysymys on edelleen hypoteettinen: menettelyn luonnehtimista koskeva ratkaisu ei ole tarpeen ennakkoratkaisua pyytäneen tuomioistuimen käsiteltävänä olevan riidan ratkaisemiseksi, vaan se olisi tarpeen siinä tapauksessa, että asia palautettaisiin myöhemmin ensimmäisen oikeusasteen tuomioistuimen ratkaistavaksi.

68.

Joka tapauksessa siltä varalta, että unionin tuomioistuin päättäisi tutkia asiakysymyksen, katson, ettei esillä olevaan kysymykseen vastaaminen edellytä yleisen tietosuoja-asetuksen 83 artiklan 4–6 kohdan tulkintaa, sillä kyseiset kohdat koskevat hallinnollisten seuraamusmaksujen määrän määrittämistä.

69.

Ennakkoratkaisua pyytänyt tuomioistuin erottaa toisistaan a) oikeushenkilön työntekijän tekemän rikkomisen ja b) oikeushenkilön tahallisuuden tai tuottamuksellisuuden kyseisessä rikkomisessa.

70.

”Työntekijän tekemä rikkominen” on nähdäkseni tosiasiassa – kuten ensimmäisen kysymyksen yhteydessä on todettu – sen oikeushenkilön tekemä rikkominen, jonka alaisuudessa työntekijä on toiminut.

71.

Asianmukaisesti muotoiltuna kysymys koskee siis sitä, voidaanko oikeushenkilölle määrätä seuraamuksia, kun se on rikkonut objektiivisesti (ilman tuottamusta) sille rekisterinpitäjänä tai henkilötietojen käsittelijänä kuuluvia velvollisuuksia.

72.

Tähän kysymykseen vastattaessa voi olla hyödyksi viitata Euroopan ihmisoikeustuomioistuimen oikeuskäytäntöön, joka koskee ihmisoikeuksien ja perusvapauksien suojaamiseksi tehdyn yleissopimuksen (Euroopan ihmisoikeussopimus) 7 artiklassa vahvistettua rikosoikeudellista laillisuusperiaatetta.

73.

Vaikka Euroopan ihmisoikeussopimus ei ole unionin oikeuteen muodollisesti sisältyvä oikeudellinen väline, koska unioni ei ole liittynyt siihen, kyseisessä yleissopimuksessa taatut perusoikeudet ovat yleisinä periaatteina osa unionin oikeutta (SEU 6 artiklan 3 kohta).

74.

Unionin tuomioistuimen mukaan ”perusoikeuskirjan 52 artiklan 3 kohdalla, jossa määrätään, että perusoikeuskirjan oikeudet vastaavat Euroopan ihmisoikeussopimuksessa taattuja oikeuksia ja että niiden merkitys ja ulottuvuus ovat samat kuin mainitussa yleissopimuksessa, pyritään – – varmistamaan tarvittava johdonmukaisuus näiden oikeuksien välillä vaikuttamatta kuitenkaan unionin oikeuden ja unionin tuomioistuimen itsenäisyyteen”. ( 24 )

75.

Euroopan ihmisoikeustuomioistuimen oikeuskäytäntö, joka koskee Euroopan ihmisoikeussopimuksen 7 artiklan tulkintaa, ei ole kuitenkaan kaikilta osin täysin yhteneväistä:

–

Yhtäältä on niin, että vaikka kyseisessä artiklassa ei mainita nimenomaisesti rikkomisen aineellisen osatekijän ja tekijänä pidetyn henkilön välistä moraalista yhteyttä, seuraamuksen taustalla olevan logiikan ja itse syyllisyyden käsitteen perusteella voidaan tulkita, että seuraamuksen edellytyksenä on älyllinen yhteys (tietoisuus ja tahto), jonka perusteella voidaan arvioida rikkomisen aineellisen tekijän menettelyyn liittyvää vastuuta. ( 25 )

–

Toisaalta on niin, kuten Norjan hallitus huomautti istunnossa, ettei Euroopan ihmisoikeustuomioistuin vastusta objektiivisten tosiseikkojen rangaistaviksi tekemistä. Euroopan ihmisoikeustuomioistuin on todennut 7.10.1988 antamassaan tuomiossa Salabiaku v. Ranska, ( 26 ) että näin on vain ”lähtökohtaisesti ja tietyin edellytyksin”, sillä vaikka Euroopan ihmisoikeussopimuksessa ei estetä olettamia, ”rikosoikeuden alalla siinä velvoitetaan sopimusvaltiot pitäytymään tietyissä rajoissa”. ( 27 )

76.

Todellisuudessa rikosoikeuden dogmaattisten luokitusten (nulla poena sine culpa) soveltaminen hallinto-oikeudellisten seuraamusten alalla aiheuttaa huomattavia tulkintaongelmia. Tuottamuksen (merkityksessä huolimattomuus) käsitteen (culpa) taustalla voi olla tilanteita, joissa on kyse pelkästä lainsäädännön säännöksen huomioimatta jättämisestä, kun tekijällä on ollut velvollisuus tietää, millaista menettelyä häneltä edellytetään.

77.

Tältä kannalta katsottuna erilaiset tuottamuksen muodot, mukaan lukien lievemmät tapaukset, sekä erilaiset syyksilukemisen perusteet (esimerkiksi culpa in vigilando tai culpa in eligendo) voisivat liittyä menettelyihin, joita jokin tuomioistuin saattaisi pitää toiselta kannalta tarkastellen objektiivisen vastuun tapauksina. Hallinto-oikeudellisia seuraamuksia koskevassa lainsäädännössä rajat eri luonnehdintojen välillä eivät ole siis niin jyrkkiä kuin ennakkoratkaisupyynnöstä voisi päätellä.

78.

Unionin oikeudessa unionin tuomioistuin on tosin hyväksynyt joissakin tapauksissa järjestelmän, jota voidaan luonnehtia objektiivisen vastuun järjestelmäksi seuraamusten alalla. Se teki näin esimerkiksi 22.3.2017 antamassaan tuomiossa Euro-Team ja Spirál-Gép seuraavasti:

–

”– – objektiivisen vastuun käyttöön ottamisen yhteensopivuudesta suhteellisuusperiaatteen kanssa on todettava, että unionin tuomioistuin on jo useaan otteeseen katsonut, että tällainen järjestelmä, jolla unionin oikeuden rikkominen sanktioidaan, ei ole sellaisenaan unionin oikeuden vastainen”

–

”objektiivisen vastuun järjestelmän käyttöön ottaminen ei ole suhteetonta sillä tavoiteltuihin päämääriin nähden silloin, kun tämä järjestelmä on omiaan kannustamaan asianomaisia henkilöitä noudattamaan asetuksen säännöksiä ja kun tavoitellut päämäärät palvelevat sellaista yleistä etua, joka voi oikeuttaa tällaisen järjestelmän käyttöönoton”. ( 28 )

79.

Kyseinen oikeuskäytäntö on kuitenkin annettu muilla aloilla kuin tietosuoja-alalla, ja se on liittynyt pikemmin muodollisiksi miellettävien velvollisuuksien täyttämättä jättämiseen: kyseessä ovat olleet seuraamukset, jotka on määrätty maksullisen tieosuuden käyttämisestä asianmukaista maksua suorittamatta, ( 29 ) tai raskaaseen tavarankuljetusajoneuvoon asennetun valvontalaitteen ajopiirturilevyn käyttöä koskevien säännösten rikkomisesta. ( 30 )

80.

Kun kyseessä ovat yleisessä tietosuoja-asetuksessa säädetyt velvollisuudet – joihin kuuluvat tietojenkäsittelyä koskevat velvollisuudet (yleisen tietosuoja-asetuksen 5 artikla) ja käsittelyn lainmukaisuutta koskevat velvollisuudet (yleisen tietosuoja-asetuksen 6 artikla) – niiden noudattamisen arviointi edellyttää monitahoista arviointi- ja ratkaisuprosessia, joka ylittää pelkän muodollisen rikkomisen toteamisen.

81.

Olen joka tapauksessa sitä mieltä, että yleisen tietosuoja-asetuksen 83 artiklassa vahvistetaan (tuottamuksesta riippumattoman) objektiivisen vastuun järjestelmän poissulkeminen seuraamusten alalla, eli siinä edellytetään tahallisuutta tai tuottamuksellisuutta (eli huolimattomuutta) menettelyssä, josta voidaan määrätä seuraamus. Tämä käy mielestäni ilmi useista sen kohdista:

–

Sen 1 kohdan mukaan on varmistettava, että seuraamusmaksujen määrääminen rikkomisesta on ”oikeasuhteista”. Rangaistusten oikeasuhteisuuden periaate vahvistetaan perusoikeuskirjan 49 artiklassa ja välillisesti myös edellä mainitussa Euroopan ihmisoikeustuomioistuimen oikeuskäytännössä.

–

Sen 2 kohdan b alakohdassa mainitaan nimenomaisesti ”rikkomuksen tahallisuus tai tuottamuksellisuus” määräävänä tekijänä hallinnollista seuraamusmaksua määrättäessä ja sen määrää määritettäessä. ( 31 ) Saman kohdan a–k alakohdassa luetelluissa muissa tekijöissä eritellään kunkin tapauksen asiaankuuluvat olosuhteet, ja useisiin niistä liittyy subjektiivinen osatekijä, ( 32 ) ilman että luettelossa mainittaisiin pelkkää rikkomuksen objektiivisuutta.

–

Sen 3 kohdassa säädetään, että jos rekisterinpitäjä tai henkilötietojen käsittelijä rikkoo samanaikaisesti ”tahallaan tai tuottamuksellisesti” useita yleisen tietosuoja-asetuksen säännöksiä (samanaikaiset rikkomiset), seuraamusmaksun määrä ei saa ylittää vakavimmasta rikkomuksesta määrättyä seuraamusmaksua. Siinä oletetaan siis, että puhtaasti objektiiviset rikkomukset ovat merkityksettömiä seuraamusten kannalta, jos niiden yhteydessä ei ole tapahtunut tahallaan tai tuottamuksellisesti tehtyjä rikkomuksia.

82.

Edellä esitetty näkemys voi olla epäasianmukainen, jos osoittautuu, kuten muutamat menettelyyn osallistuvista hallituksista väittävät, että tätä seikkaa koskevien nimenomaisten säännösten puuttuminen yleisestä tietosuoja-asetuksesta merkitsee, että jäsenvaltioilla on mahdollisuus valita (tahallisuuteen tai tuottamuksellisuuteen perustuvan) subjektiivisen vastuun järjestelmän tai myös objektiivisen vastuun sisältävän järjestelmän välillä.

83.

Myönnän, että kyseisten hallitusten kannalla on perusteensa: yleisen tietosuoja-asetuksen 83 artiklan 2 kohdassa mainitaan tahallisuus ja tuottamuksellisuus tekijöinä, jotka otetaan huomioon seuraamuksen määrää vahvistettaessa, muttei varsinaisen rikkovan menettelyn ehdottomina (olennaisina) osatekijöinä, joten kyseisessä säännöksessä jätetään jäsenvaltioille mahdollisuus muotoilla nämä rikkomisen olennaiset osatekijät harkintansa mukaan.

84.

Olen kuitenkin komission tavoin sitä mieltä, että kiistatta suoraan sovellettavan yleisen tietosuoja-asetuksen mukaisen seuraamusjärjestelmän oikeaoppinen tulkinta puoltaa kaikkien jäsenvaltioiden kannalta yhtenäistä ja johdonmukaista ratkaisua ( 33 ) eikä niinkään sitä, että jokainen jäsenvaltio päättäisi itse, onko seuraamuksin rangaistavat rikkomukset laajennettava koskemaan myös niitä rikkomuksia, joihin ei liity tahallisuutta tai tuottamuksellisuutta.

85.

Yleisen tietosuoja-asetuksen johdanto-osan perustelukappaleet, jotka ennakkoratkaisua pyytänyt tuomioistuin mainitsee ennakkoratkaisupyynnössään ja joissa toistetaan tarve määrätä rikkomuksista samantasoisia seuraamuksia, vahvistavat mielestäni yhtenäisen ratkaisun merkityksellisyyden (ja eriytetyn ratkaisun sopimattomuuden). ( 34 ) Samantasoisuus ei toteutuisi, jos kukin jäsenvaltio voisi määrittää toisistaan poikkeavia rikkomuksia ja hyväksyä ne, jotka ovat pelkkiä objektiivista rikkomuksia ilman minkäänlaista tahallisuutta tai tuottamuksellisuutta.

V Ratkaisuehdotus

86.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Kammergericht Berlinille seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 58 artiklan 2 kohdan i alakohtaa, luettuna yhdessä kyseisen asetuksen 4 artiklan 7 alakohdan ja 83 artiklan kanssa,

on tulkittava siten, että

hallinnollisen seuraamusmaksun määrääminen rekisterinpitäjänä toimivalle oikeushenkilölle ei edellytä yhden tai useamman, kyseisen oikeushenkilön palveluksessa olevan yksittäisen luonnollisen henkilön tekemän rikkomuksen toteamista sitä ennen.

Hallinnolliset seuraamusmaksut, joita voidaan määrätä asetuksen 2016/679 mukaisesti, edellyttävät sen menettelyn tahallisuutta tai tuottamuksellisuutta, joka muodostaa rikkomuksen, josta seuraamus määrätään.

( 1 ) Alkuperäinen kieli: espanja.

( 2 ) Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1; jäljempänä yleinen tietosuoja-asetus).

( 3 ) 24.5.1968 annettu laki (BGBl. I 481, III 454-1) 19.2.1987 päivätyssä versiossa (BGBl. I, s. 602), sellaisena kuin se on muutettuna 19.6.2020 annetulla lailla (BGBl. I, s. 1328) (jäljempänä OWiG).

( 4 ) Perustamissopimuksen 81 ja 82 artiklassa vahvistettujen kilpailusääntöjen täytäntöönpanosta 16.12.2002 annettu neuvoston asetus (EYVL 2003, L 1, s. 1).

( 5 ) Ennakkoratkaisupyynnön perustelujen II kohdan 1 alakohta. Ks. tämän ratkaisuehdotuksen 41 kohta ja sitä seuraavat kohdat.

( 6 ) Deutsche Wohnenin kirjallisten huomautusten 45 kohta ja Saksan hallituksen kirjallisten huomautusten 24 ja 25 kohta.

( 7 ) SEUT 267 artiklassa tarkoitetussa menettelyssä, joka perustuu kansallisten tuomioistuinten ja unionin tuomioistuimen tehtävien selkeään jakoon, yksinomaan kansallinen tuomioistuin on toimivaltainen toteamaan sen ratkaistavaksi saatetun riidan tosiseikat ja arvioimaan niitä sekä tulkitsemaan ja soveltamaan kansallista lainsäädäntöä. Tuomio 26.4.2017, Farkas (C‑564/15, EU:C:2017:302, 37 kohta).

( 8 ) Unionin tuomioistuin voi jättää tutkimatta kansallisen tuomioistuimen esittämän ennakkoratkaisukysymyksen ainoastaan, jos on ilmeistä, että pyydetyllä unionin oikeuden tulkitsemisella ei ole mitään yhteyttä kansallisessa tuomioistuimessa käsiteltävän asian tosiseikkoihin tai kohteeseen, jos kyseinen ongelma on luonteeltaan hypoteettinen taikka jos unionin tuomioistuimella ei ole tiedossaan niitä tosiseikkoja ja oikeudellisia seikkoja, jotka ovat tarpeen, jotta se voisi antaa hyödyllisen vastauksen sille esitettyihin kysymyksiin (esim. tuomio 27.9.2017, Puškár (C‑73/16, EU:C:2017:725, 50 kohta). Yksikään näistä seikoista ei täyty nyt käsiteltävässä asiassa.

( 9 ) Vaikka Deutsche Wohnen on ollut istunnossa haluton myöntämään tällaista asemaansa, sen profiili sopii kiistatta yleisen tietosuoja-asetuksen 4 artiklassa annettuun rekisterinpitäjän määritelmään. Näin on riippumatta siitä, onko se tosiasiallisesti vastuussa rikkomuksista, jotka on luettu sen syyksi rekisterinpitäjänä.

( 10 ) Kokonaan toinen kysymys on se, että asianmukaista seuraamuksen määrää määritettäessä on otettava tarvittaessa huomioon Deutsche Wohnenin ja sen tytäryhtiöiden mahdollinen kuuluminen suurempaan taloudelliseen kokonaisuuteen. Vaikka toisin voisi kuvitella, nyt käsiteltävässä ennakkoratkaisupyynnössä ei ole varsinaisesti kyse klassisista ongelmista, joita liittyy emoyhtiöiden ja tytäryhtiöiden tai yritysryhmien väliseen vastuunjakoon.

( 11 ) Yleisen tietosuoja-asetuksen 4 artiklan 7 alakohdassa annetun määritelmän mukaan rekisterinpitäjällä tarkoitetaan tässä yhteydessä ”oikeushenkilöä, – – joka yksin tai yhdessä toisen kanssa määrittelee henkilötietojen käsittelyn tarkoitukset ja keinot”; saman artiklan 8 alakohdan mukaan henkilötietojen käsittelijällä tarkoitetaan ”oikeushenkilöä, – – joka käsittelee henkilötietoja rekisterinpitäjän lukuun”.

( 12 ) Kyseisellä oikeushenkilöllä on luonnollisesti oikeus myös tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan (yleisen tietosuoja-asetuksen 78 artiklan 1 kohta) ja siten myös sille mahdollisesti määrättävää hallinnollista seuraamusmaksua vastaan.

( 13 ) Esimerkiksi Irlannin tietosuojaviranomainen määräsi 31.12.2022 Facebookille 210 miljoonan euron seuraamusmaksun ja Instagramille 180 miljoonan euron seuraamusmaksun.

( 14 ) Ennakkoratkaisupyynnön perustelujen II kohdan 1 alakohta.

( 15 ) Ks. edellä tämän ratkaisuehdotuksen 32 kohta.

( 16 ) Tuomio 27.4.2017, Akzo Nobel ym. v. komissio (C‑516/15 P, EU:C:2017:314, 47 kohta).

( 17 ) Esim. tuomio 10.4.2014, Areva ym. v. komissio (C‑247/11 P ja C‑253/11 P, EU:C:2014:257, 123 kohta).

( 18 ) Kuten olen jo todennut, tässä ennakkoratkaisumenettelyssä ei ole kyse emoyhtiöiden ja tytäryhtiöiden välisiin suhteisiin liittyvistä ongelmista seuraamusten määräämisen yhteydessä. Ennakkoratkaisupyynnössä ei esitetä myöskään kysymyksiä väitettyihin tosiseikkoihin liittyvästä todistustaakasta.

( 19 ) Yleisen tietosuoja-asetuksen johdanto-osan kymmenes perustelukappale.

( 20 ) Ks. edellinen alaviite.

( 21 ) Saksan hallituksen kirjallisten huomautusten 25 kohta. Ennakkoratkaisua pyytänyt tuomioistuin väittää tästä edellä esitetyn mukaisesti, että vaikka OWiG:n 9 ja 30 §:ää luettaisiin yhdessä, kansallisen lainsäädännön mukainen oikeushyvien suoja on hyvin rajallinen verrattuna SEUT 101 ja SEUT 102 artiklan mukaiseen vastuujärjestelmään.

( 22 ) Saksan hallituksen kirjallisten huomautusten 25 kohta, alaviitteet 16–18.

( 23 ) Ankaraa vastuuta vastaava englanninkielinen ilmaisu ”strict liability” on käännetty unionin tuomioistuimen tuomioissa tavallisesti käyttämällä ilmaisuja ”responsabilidad objetiva” (espanja), ”responsabilité objective” (ranska), ”responsabilità oggettiva” (italia), ”responsabilidade objetiva” (portugali), ”objektive Verantwortlichkeit” (saksa) ja ”objectieve aansprakelijkheid” (hollanti).

( 24 ) Esim. tuomio 2.2.2021, Consob (C‑481/19, EU:C:2021:84, 36 kohta).

( 25 ) Euroopan ihmisoikeustuomioistuimen tuomio 20.1.2009, Sud Fondi ym. v. Italia (CE:ECHR:2009:0120JUD007590901, 116 kohta).

( 26 ) CE:ECHR:1988:1007JUD001051983.

( 27 ) Euroopan ihmisoikeustuomioistuimen tuomio 7.10.1988, Salabiaku v. Ranska, 27 ja 28 kohta.

( 28 ) Tuomio 22.3.2017, Euro-Team ja Spirál-Gép (C‑497/15 ja C‑498/15, EU:C:2017:229, 53 ja 54 kohta) sekä siinä mainittu tuomio 9.2.2012, Urbán (C‑210/10, EU:C:2012:64, 47 ja 48 kohta).

( 29 ) Tuomio 22.3.2017, Euro-Team ja Spirál-Gép (C‑497/15 ja C‑498/15, EU:C:2017:229).

( 30 ) Tuomio 9.2.2012, Urbán (C‑210/10, EU:C:2012:64).

( 31 ) Ks. kuitenkin tämän ratkaisuehdotuksen 82 ja 83 kohta.

( 32 ) Esimerkiksi a alakohdassa mainitaan tietojenkäsittelyn tarkoitus. Sen c alakohdassa mainitaan vahingon lieventämiseksi toteutetut toimet. Sen d alakohdassa mainitaan vastuun aste toteutetut toimenpiteet huomioon ottaen. Sen f alakohdassa mainitaan yhteistyön määrä valvontaviranomaisen kanssa.

( 33 ) Yleisen tietosuoja-asetuksen johdanto-osan 150 perustelukappaleessa mainitaan hallinnollisten seuraamusmaksujen johdonmukainen soveltaminen kaikissa jäsenvaltioissa. Viimeksi mainitut voivat sen sijaan päättää, ”voidaanko viranomaisille määrätä hallinnollisia seuraamusmaksuja ja missä määrin”. Edellä esitetty ei ole ristiriidassa johdanto-osan 151 perustelukappaleessa mainittujen Tanskaa ja Viroa koskevien erityissäännösten kanssa eikä johdanto-osan 152 perustelukappaleessa tarkoitettujen tapausten kanssa.

( 34 ) Yleisen tietosuoja-asetuksen johdanto-osan kymmenennessä perustelukappaleessa mainitaan ”luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen” (kursivointi tässä). Johdanto-osan 11 perustelukappaleessa todetaan, että rikkomisista on määrättävä samantasoisia seuraamuksia, ja tämä sama ilmaisu toistetaan johdanto-osan 13 perustelukappaleessa.