MANUEL CAMPOS SÁNCHEZ‑BORDONA

FŐTANÁCSNOK INDÍTVÁNYA

Az ismertetés napja: 2023. április 27. ( 1 )

C‑807/21. sz. ügy

Deutsche Wohnen SE

kontra

Staatsanwaltschaft Berlin

(a Kammergericht Berlin [berlini regionális felsőbíróság, Németország] által benyújtott előzetes döntéshozatal iránti kérelem)

„Előzetes döntéshozatal – A személyes adatok védelme – (EU) 2016/679 rendelet – Jogsértések – Az alkalmazottak által elkövetett jogsértés vállalkozásnak való betudása – Esetleges vétkesség nélküli felelősség – A versenyjogban kialakult fogalmak átültetése”

1.

A jelen előzetes döntéshozatal iránti kérelem lehetőséget nyújt a Bíróság számára, hogy döntsön azon feltételekről, amelyek mellett valamely jogi személlyel szemben az (EU) 2016/679 rendelet ( 2 ) megsértése miatt közigazgatási bírság szabható ki.

2.

Különösen annak meghatározásáról van szó, hogy:

–

a jogi személy büntethető‑e anélkül, hogy előzetesen meg kellene állapítani valamely természetes személy felelősségét;

–

a szankcionálandó jogsértésnek minden esetben szándékosnak kell‑e lennie vagy pedig lehet gondatlan is, illetve elegendő-e valamely kötelezettség puszta objektív megszegése.

I. Jogi háttér

A.   Az uniós jog. A GDPR

3.

A (74) preambulumbekezdés a következőket mondja ki:

„A személyes adatoknak az adatkezelő által vagy az adatkezelő nevében végzett bármilyen jellegű kezelése tekintetében az adatkezelő hatáskörét és felelősségét szabályozni kell. Az adatkezelőt kötelezni kell különösen arra, hogy megfelelő és hatékony intézkedéseket hajtson végre, valamint hogy képes legyen igazolni azt, hogy az adatkezelési tevékenységek e rendeletnek megfelelnek, és az alkalmazott intézkedések hatékonysága is az e rendelet által előírt szintű. Ezeket az intézkedéseket az adatkezelés jellegének, hatókörének, körülményeinek és céljainak, valamint a természetes személyek jogait és szabadságait érintő kockázatnak a figyelembevételével kell meghozni.”

4.

A (150) preambulumbekezdés a következőképpen szól:

„Az e rendelet megsértése esetén alkalmazott közigazgatási szankciók szigorítása és harmonizálása érdekében minden felügyeleti hatóság hatáskörrel rendelkezik a közigazgatási bírság kiszabására. E rendeletben kell meghatározni a jogsértéseket, valamint a kapcsolódó közigazgatási bírságok összegének felső határát és azok megállapításának szempontjait; a közigazgatási bírságot az egyes esetekben az illetékes felügyeleti hatóság állapítja meg a konkrét helyzet valamennyi releváns körülményét figyelembe véve, és kellő figyelmet fordítva különösen a jogsértés természetére, súlyosságára és időtartamára, továbbá a jogsértés következményeire, valamint az e rendelet szerinti kötelezettségek teljesítésének biztosítása és a jogsértés következményeinek megelőzése vagy enyhítése érdekében tett intézkedésekre. Ha a közigazgatási bírságokat vállalkozásokra szabják ki, akkor a vállalkozás fogalmát e célból az EUMSZ 101. és 102. cikkében meghatározott vállalkozásokra vonatkozó szabályoknak megfelelően kell értelmezni. […] Az egységességi mechanizmus a közigazgatási bírságok összehangolt alkalmazásának előmozdítására is felhasználható […].”

5.

A 4. cikk („Fogalommeghatározások”) a következőket írja elő:

„E rendelet alkalmazásában:

[…]

7.

»adatkezelő«: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza; ha az adatkezelés céljait és eszközeit az uniós vagy a tagállami jog határozza meg, az adatkezelőt vagy az adatkezelő kijelölésére vonatkozó különös szempontokat az uniós vagy a tagállami jog is meghatározhatja;

8.

»adatfeldolgozó«: az a természetes vagy jogi személy, közhatalmi szerv, ügynökség vagy bármely egyéb szerv, amely az adatkezelő nevében személyes adatokat kezel;

[…]

18.

»vállalkozás«: gazdasági tevékenységet folytató természetes vagy jogi személy, függetlenül a jogi formájától, ideértve a rendszeres gazdasági tevékenységet folytató személyegyesítő társaságokat és egyesületeket is;

[…]”

6.

Az 58. cikk („Hatáskörök”) (2) bekezdése előírja:

„A felügyeleti hatóság korrekciós hatáskörében eljárva:

a)

figyelmezteti az adatkezelőt vagy az adatfeldolgozót, hogy egyes tervezett adatkezelési tevékenységei valószínűsíthetően sértik e rendelet rendelkezéseit;

b)

elmarasztalja az adatkezelőt vagy az adatfeldolgozót, ha adatkezelési tevékenysége megsértette e rendelet rendelkezéseit;

c)

utasítja az adatkezelőt vagy az adatfeldolgozót, hogy teljesítse az érintettnek az e rendelet szerinti jogai gyakorlására vonatkozó kérelmét;

d)

utasítja az adatkezelőt vagy az adatfeldolgozót, hogy adatkezelési műveleteit – adott esetben meghatározott módon és meghatározott időn belül – hozza összhangba e rendelet rendelkezéseivel;

[…]

i)

a 83. cikknek megfelelően közigazgatási bírságot szab ki, az adott eset körülményeitől függően az e bekezdésben említett intézkedéseken túlmenően vagy azok helyett; és

[…]”

7.

A 83. cikk („A közigazgatási bírságok kiszabására vonatkozó általános feltételek”) kimondja:

„(1)   Valamennyi felügyeleti hatóság biztosítja, hogy e rendeletnek a (4), (5), (6) bekezdésben említett megsértése miatt az e cikk alapján kiszabott közigazgatási bírságok minden egyes esetben hatékonyak, arányosak és visszatartó erejűek legyenek.

(2)   A közigazgatási bírságokat az adott eset körülményeitől függően az 58. cikk (2) bekezdésének a)–h) és j) pontjában említett intézkedések mellett vagy helyett kell kiszabni. Annak eldöntésekor, hogy szükség van‑e közigazgatási bírság kiszabására, illetve a közigazgatási bírság összegének megállapításakor minden egyes esetben kellőképpen figyelembe kell venni a következőket:

a)

a jogsértés jellege, súlyossága és időtartama, figyelembe véve a szóban forgó adatkezelés jellegét, körét vagy célját, továbbá azon érintettek száma, akiket a jogsértés érint, valamint az általuk elszenvedett kár mértéke;

b)

a jogsértés szándékos vagy gondatlan jellege;

c)

az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés;

d)

az adatkezelő vagy az adatfeldolgozó felelősségének mértéke, figyelembe véve az általa a 25. és 32. cikk alapján foganatosított technikai és szervezési intézkedéseket;

e)

az adatkezelő vagy az adatfeldolgozó által korábban elkövetett releváns jogsértések;

f)

a felügyeleti hatósággal a jogsértés orvoslása és a jogsértés esetlegesen negatív hatásainak enyhítése érdekében folytatott együttműködés mértéke;

g)

a jogsértés által érintett személyes adatok kategóriái;

h)

az, ahogyan a felügyeleti hatóság tudomást szerzett a jogsértésről, különös tekintettel arra, hogy az adatkezelő vagy az adatfeldolgozó jelentette‑e be a jogsértést, és ha igen, milyen részletességgel;

i)

ha az érintett adatkezelővel vagy adatfeldolgozóval szemben korábban – ugyanabban a tárgyban – elrendelték az 58. cikk (2) bekezdésében említett intézkedések valamelyikét, a szóban forgó intézkedéseknek való megfelelés;

j)

az, hogy az adatkezelő vagy az adatfeldolgozó tartotta‑e magát a 40. cikk szerinti jóváhagyott magatartási kódexekhez vagy a 42. cikk szerinti jóváhagyott tanúsítási mechanizmusokhoz; valamint

k)

az eset körülményei szempontjából releváns egyéb súlyosbító vagy enyhítő tényezők, például a jogsértés közvetlen vagy közvetett következményeként szerzett pénzügyi haszon vagy elkerült veszteség.

(3)   Ha egy adatkezelő vagy adatfeldolgozó egyazon adatkezelési művelet vagy egymáshoz kapcsolódó adatkezelési műveletek tekintetében – szándékosan vagy gondatlanságból – e rendelet több rendelkezését is megsérti, a bírság teljes összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget.

(4)   Az alábbi rendelkezések megsértése – a (2) bekezdéssel összhangban – legfeljebb 10000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 2%‑át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni […].

(5)   Az alábbi rendelkezések megsértését – a (2) bekezdéssel összhangban – legfeljebb 20000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%‑át kitevő összeggel kell sújtani, azzal, hogy a kettő közül a magasabb összeget kell kiszabni:

[…]

(6)   A felügyeleti hatóság 58. cikk (2) bekezdése szerinti utasításának be nem tartása – az e cikk (2) bekezdésével összhangban – legfeljebb 20000000 EUR összegű közigazgatási bírsággal, illetve a vállalkozások esetében az előző pénzügyi év teljes éves világpiaci forgalmának legfeljebb 4%‑át kitevő összeggel sújtható; a kettő közül a magasabb összeget kell kiszabni.

[…]

(8)   A felügyeleti hatóság e cikk szerinti hatásköreit megfelelő, az uniós és a tagállami joggal összhangban álló eljárási garanciák – ideértve a hatékony jogorvoslat lehetőségét és a tisztességes eljárást – biztosításával gyakorolja.

[…]”

B.   A nemzeti jog. Ordnungswidrigkeitengesetz (a szabálysértésekről szóló törvény) ( 3 )

8.

A 9. § (1) bekezdése értelmében, ha egy személy a) jogi személy képviseletére jogosult szervként (vagy ilyen szerv tagjaként), b) jogi személyiséggel rendelkező személyegyesítő társaság képviseletére jogosult társult tagként vagy c) harmadik személy törvényes képviselőjeként jár el, akkor tekintetében minden olyan jogszabályt alkalmazni kell, amelynek értelmében a különös feladatkörök, kapcsolatok vagy személyes körülmények indokolják az esetleges szankciót, amennyiben e körülmények nem e személy, hanem a képviselt személy esetében állnak fenn.

9.

A 9. § (2) bekezdése értelmében ez vonatkozik a létesítmény (vállalkozás) azon tulajdonosára is, aki a létesítmény irányítását, vagy a tulajdonos feladatainak saját felelősségére történő ellátását részben vagy egészben más személyre bízza.

10.

A 30. § (1) bekezdése lehetővé teszi, hogy valamely jogi személlyel szemben közigazgatási bírságot szabjanak ki, amennyiben a jogi személyt képviselő, vezető vagy annak irányításáért felelős természetes személy bűncselekményt követett el, vagy nem teljesítette a jogi személyt terhelő kötelezettségeket.

11.

A 30. § (4) bekezdésének megfelelően az önálló bírság jogi személlyel szembeni kiszabásához követelmény, hogy nem indítottak eljárást a jogi személy szervének tagjával vagy képviselőjével szemben, vagy ha indítottak is, akkor azt megszüntették.

12.

A 130. § (1) bekezdése szerint, aki üzem vagy vállalkozás tulajdonosaként szándékosan vagy gondatlanságból elmulasztja – az üzemen vagy vállalkozáson belül – az üzemeltetőt terhelő és büntetéssel vagy pénzbírsággal sújtható kötelezettségek megszegésének megakadályozásához szükséges felügyeleti intézkedések meghozatalát, szabálysértést követ el, ha e mulasztást megfelelő felügyeleti intézkedésekkel – beleértve az ellenőrzésekért felelős személyek kinevezését, gondos kiválasztását és ellenőrzését – meg lehetett volna előzni vagy akadályozni.

II. A tényállás, a jogvita és az előzetes döntéshozatalra előterjesztett kérdések

13.

A Deutsche Wohnen SE (a továbbiakban: Deutsche Wohnen) egy Berlinben (Németország) székhellyel rendelkező, tőzsdén jegyzett ingatlanvállalkozás. Részesedések révén közvetve mintegy 163000 lakóegységgel és 3000 kereskedelmi egységgel rendelkezik.

14.

Ezen egységek tulajdonosai a Deutsche Wohnenhez kapcsolt leányvállalatok („holdingtársaságok”), amelyek a működési tevékenységeket látják el, míg a Deutsche Wohnen tevékenysége a magasabb szintű irányításra összpontosul. A holdingtársaságok bérbe adják a lakó‑ és kereskedelmi egységeket, amelyeket a csoport más társaságai, úgynevezett szolgáltatótársaságok kezelnek.

15.

Üzleti tevékenységük keretében a Deutsche Wohnen és a csoporthoz tartozó társaságok az ingatlanok bérlőinek személyes adatait kezelik. Ezek az adatok többek között személyazonosító okmányok, adó‑, társadalombiztosítási és egészségbiztosítási adatok, valamint a korábbi bérleti jogviszonyokra vonatkozó információ.

16.

2017. június 23‑án a Berliner Beauftragte für den Datenschutz (berlini adatvédelmi biztos, Németország; a továbbiakban: adatvédelmi hatóság) egy helyszíni ellenőrzés során felhívta a Deutsche Wohnen figyelmét arra, hogy a csoportjába tartozó társaságok olyan elektronikus archiválási rendszerben tárolják a bérlők személyes adatait, amelynek esetében nem követhető nyomon, hogy a tárolás szükséges‑e, és hogy biztosított‑e, hogy a már nem szükséges adatokat törlik.

17.

Az adatvédelmi hatóság ezt követően felszólította a Deutsche Wohnent, hogy 2017 végéig töröljön dokumentumokat az elektronikus archiválási rendszerből.

18.

A Deutsche Wohnen ezt azzal az indokkal tagadta meg, hogy a törlésre technikai és jogi okokból nincs lehetőség. E kifogást megvitatták a Deutsche Wohnen és az adatvédelmi hatóság közötti megbeszélésen, amelynek során ez utóbbi jelezte, hogy léteznek technikai megoldások az adatok törlésére. A megbeszélések folytatódtak, a Deutsche Wohnen pedig bejelentette, hogy az adatvédelmi hatóság által kifogásolt rendszer helyett új rendszert kíván bevezetni.

19.

2020. március 5‑én az adatvédelmi hatóság ellenőrzést végzett a vállalkozás csoportjának központjában, amelynek során összesen 16 mintát vett az adatkészletből. A Deutsche Wohnen ugyanakkor arról tájékoztatta a hatóságot, hogy a kifogásolt archiválási rendszert már üzemen kívül helyezte, és hamarosan sor kerül az adatok új rendszerbe történő áttelepítésére.

20.

2020. október 30‑án az adatvédelmi hatóság szankciót szabott ki a Deutsche Wohnenre a következők miatt:

–

2018. május 25. és 2019. március 5. között szándékosan elmulasztotta megtenni a már nem szükséges vagy egyébként jogellenesen tárolt bérlői adatok rendszeres törlésének lehetővé tételéhez szükséges intézkedéseket;

–

továbbra is tárolta legalább 15 konkrétan megnevezett bérlő személyes adatait, noha tudta, hogy ezen adatok nem vagy már nem voltak szükségesek.

21.

A GDPR 25. cikke (1) bekezdésének, valamint 5. cikke (1) bekezdése a), c) és e) pontjának szándékos megsértése miatt 14385000 euró bírságot, az általános adatvédelmi rendelet 6. cikke (1) bekezdésének 15 rendbeli megsértése miatt pedig egyenként 3000 és 17000 euró közötti bírságot szabtak ki.

22.

A Deutsche Wohnen megtámadta a szankciókat – a keresetet elbíráló – Landgericht Berlin (berlini regionális bíróság, Németország) előtt.

23.

A Staatsanwaltschaft Berlin (berlini ügyészség, Németország) fellebbezést nyújtott be az elsőfokú határozatottal szemben Kammergericht Berlinhez (berlini regionális felsőbíróság), amely bíróság előzetes döntéshozatal céljából a következő kérdéseket terjesztette a Bíróság elé:

„1)

Úgy kell‑e értelmezni [a GDPR] 83. cikkének (4)–(6) bekezdését, hogy az beépíti a nemzeti jogba a vállalkozásnak az EUMSZ 101. és EUMSZ 102. cikkhez rendelt funkcionális fogalmát és a tisztségviselő elvét azzal a következménnyel, hogy a [OWiG] 30. §‑ának alapjául szolgáló jogalany‑elv kiterjesztésével közvetlenül a vállalkozással szemben folytatható bírságkiszabási eljárás, és a bírság kiszabásához nincs szükség természetes és azonosított személy által – adott esetben a szabálysértés valamennyi objektív és szubjektív tényállási elemének megvalósításával – elkövetett szabálysértés megállapítására?

2)

Az első kérdésre adandó igenlő válasz esetén: Úgy kell‑e értelmezni [a GDPR] 83. cikkének (4)–(6) bekezdését, hogy a vállalkozásnak vétkesen kell elkövetnie – valamely alkalmazott révén – a jogsértést (lásd a […] 1/2003/EK […] rendelet[ ( 4 )] 23. cikkét), vagy a vállalkozással szembeni bírságkiszabáshoz főszabály szerint már a vállalkozásnak betudandó objektív kötelezettségszegés is elegendő (»strict liability«)?”

III. A Bíróság előtti eljárás

24.

Az előzetes döntéshozatal iránti kérelem 2021. december 23‑án érkezett a Bírósághoz.

25.

A Deutsche Wohnen, a német, az észt és a norvég kormány, valamint az Európai Bizottság írásbeli észrevételeket terjesztett elő.

26.

2022. november 9‑én a Bíróság – az eljárási szabályzat 101. cikke alapján – a következők pontosítását kérte a kérdést előterjesztő bíróságtól:

–

az OWiG 130. §‑ának az előterjesztett első kérdésre gyakorolt esetleges hatása;

–

azon okok, amelyek miatt úgy ítéli meg, hogy az előzetes döntéshozatalra előterjesztett második kérdésre adandó válasz szükséges, tekintettel arra, hogy az előzetes döntéshozatalra utaló határozat szerint a bírságokat a GDPR több rendelkezésének szándékos megsértése miatt szabták ki.

27.

Az érintett pontosítások 2023. január 11‑én érkeztek a Bírósághoz.

28.

A 2023. január 17‑i tárgyaláson az írásbeli észrevételeket benyújtó feleken kívül megjelent a holland kormány, az Európai Parlament és az Európai Unió Tanácsa.

IV. Értékelés

A.   Az előzetes döntéshozatalra előterjesztett első kérdés

1. Előzetes megjegyzések

29.

Első kérdésével a kérdést előterjesztő bíróság lényegében arra szeretne választ kapni, hogy az uniós jog alapján kiszabható‑e bírság jogi személlyel szemben a GDPR megsértése miatt, anélkül, hogy a jogsértést először valamely természetes személynek kellene betudni.

30.

A kérdést előterjesztő bíróság azonban több összetett elemet is felvett a kérdésébe:

–

a GDPR 83. cikkének (4)–(6) bekezdését nevezi meg azon rendelkezésként, amelynek értelmezése választ adhat a kérdésére;

–

„a vállalkozásnak az EUMSZ 101. és EUMSZ 102. cikkhez […] rendelt funkcionális fogalmának és a tisztségviselő elvének” fordulatban említett elemekre hivatkozik.

31.

A kérdést előterjesztő bíróság azt állítja, hogy a nemzeti jog alapján csak akkor szabható ki bírság vállalkozásokkal szemben, ha (kizárólag) képviselőként kijelölt vezető tisztségviselőik által elkövetett bizonyos szabálysértések tudhatók be nekik. ( 5 )

32.

A Deutsche Wohnen és a német kormány nem értenek egyet ezzel a megfogalmazással. Álláspontjuk szerint az OWiG 30. §‑át az OWiG 9. és 130. §‑ával összefüggésben kell értelmezni, amelyekkel együtt egy koherens szankciórendszert alkot. E rendszer értelmében valamely vállalkozás közigazgatási eljárásban is szankcionálható, anélkül, hogy a nevében eljáró természetes személlyel szemben eljárást kellene indítani. ( 6 )

33.

A kérdést előterjesztő bíróság, miután a Bíróság felkérte, hogy nyilatkozzon az OWiG 130. §‑ának esetleges hatásáról, azt válaszolta, hogy az nem releváns az előzetes döntéshozatalra előterjesztett első kérdés szempontjából. Álláspontja alátámasztására azzal érvel, hogy:

–

még ha e cikk – az OWiG 9. és 30. §‑val együtt – lehetővé is tenné bírság kiszabását valamely vállalkozással szemben, a jogi tárgyak OWiG 130. §‑a által biztosított védelme nagyon korlátozott az EUMSZ 101. és 102. cikkből eredő felelősségi rendszerhez képest;

–

az OWiG 130. §‑ának címzettje a felügyeleti kötelezettséget megszegő vállalkozás tulajdonosa. A vállalkozás tulajdonosának betudható kötelezettségszegés bizonyítása túlmutat az ugyanezen vállalkozás által elkövetett jogi érdekek megsértésének megállapításán. A bizonyítás a nemcsak a jelen ügyben, hanem bármely csoport esetében is rendkívül összetett (általános és különös) belső struktúrák és eljárások vizsgálatát és tisztázását követeli meg, ami számos esetben lehetetlennek bizonyul. E tekintetben vitatott, hogy a csoportok az OWiG 130. §‑a értelmében valójában vállalkozásoknak vagy vállalkozások tulajdonosainak minősülnek‑e.

34.

E pontosítások azt mutatják, hogy a kérdést előterjesztő bíróság előzetes döntéshozatalra előterjesztett első kérdése a nemzeti jog olyan értelmezésének felelnek meg, amely – a német kormány véleményétől eltérően – elfogadja a jogi személyek felelősségének olyan rendszerét, amelynek jellemzői összeegyeztethetetlenné tehetik azt az uniós joggal.

35.

A Bíróságnak figyelembe kell vennie a kérdést előterjesztő bíróság – a nemzeti jog irányadó értelmezője – által ismertetett nemzeti jogi hátteret. ( 7 ) A nemzeti bíróság által az uniós jog értelmezésére vonatkozóan előterjesztett kérdéseket a saját felelősségére meghatározott jogszabályi és ténybeli háttérre – amelynek helytállóságát a Bíróság nem vizsgálhatja – tekintettel kell megválaszolni. ( 8 )

36.

Ezen előfeltevések alapján kezdem meg az előzetes döntéshozatalra előterjesztett első kérdés vizsgálatát.

2. A GDPR szerinti szankció címzettjeinek minősülő jogi személyek

37.

Az uniós jog szerint nem létezik semmilyen kifogás a tekintetben, hogy megállapítsák a Deutsche Wohnen jogsértés elkövetőjeként fennálló felelősségét, és hogy a vállalkozást a kiszabott szankció megfizetésére kötelezzék. E lehetőség in abstracto megjelenik a GDPR -ban, in concreto pedig ebben az ügyben éltek vele:

–

in abstracto – ahogyan azt a következőkben kifejtem – az, hogy a jogi személyt közvetlenül szankcionálni lehet az adatvédelem területén elkövetett jogsértésekért, nem csupán a GDPR számos rendelkezésében szerepel, hanem valójában a rendelet hatékonyságát biztosítani hivatott egyik legfontosabb mechanizmus;

–

in concreto, az előzetes döntéshozatalra utaló határozat szerint a szóban forgó bírságot a Deutsche Wohnennel szemben a GDPR többrendbeli – e társaságnak mint adatkezelőnek tulajdonított – megsértése miatt szabták ki. ( 9 ) A Deutsche Wohnenhez intézték az adatvédelmi hatóság felszólítását, amelyre az a fentiekben ismertetett módon válaszolt, és tovább folytatta az adatvédelmi hatóság által kifogásolt magatartást. Nem merült fel tehát probléma a szankció címzettjének meghatározását illetően. ( 10 )

38.

Ami az elvont megközelítést illeti, nem szükséges túl sok megfontolás ahhoz, hogy alátámasszuk azon feltevést, amely szerint egy jogi személyt közvetlenül szankcionálni lehet a GDPR megsértése miatt. Ezen alapfeltevés értelmezési nehézség nélkül következik a GDPR 4., 58. és 83. cikkének olvasatából:

–

a 4. cikk meghatározza az adatkezelő és az adatfeldolgozó fogalmát, kifejezetten utalva arra, hogy jogi személyek is lehetnek adatkezelők vagy adatfeldolgozók; ( 11 )

–

az 58. cikk (2) bekezdése az adatkezelők vagy adatfeldolgozók (azaz a jogi személyek) feletti számos „korrekciós hatáskörrel” ruházza fel a felügyeleti hatóságokat. E korrekciós hatáskörök között szerepel a „közigazgatási bírság” kiszabása (i) pont);

–

a GDPR 83. cikke a közigazgatási bírságok összegének megállapítására vonatkozó kritériumok felsorolásakor olyan tényezőkre hivatkozik, amelyek nehézség nélkül fennállhatnak a jogi személyek cselekményében.

39.

E rendelkezések összességéből természetesen következik, hogy a GDPR előírja, hogy a rendelet megsértéséből eredő közigazgatási bírságok közvetlen címzettje lehet jogi személy. ( 12 ) Ezt a természetes következményt vették figyelembe az e területen illetékes nemzeti hatóságok is, amelyek nem késlekedtek a GDPR-t megsértő jogi személyeket olykor súlyos bírságokkal büntetni. ( 13 )

40.

Ami a konkrét megközelítést illeti, hangsúlyozom, hogy az adatvédelmi hatóság a Deutsche Wohnenhez mint adatkezelőhöz fordult, és arra kötelezte, hogy törölje a bérlők bizonyos személyes adatait a nyilvántartásából, és ennek a kérésnek a társaság egy bizonyos ideig nem tett eleget, mindaddig, amíg meg nem változtatta a tárolási rendszerét.

3. Szükség van-e a valamely természetes személynek történő előzetes betudhatóságra?

41.

A kérdést előterjesztő bíróság szerint a nemzeti jog előírja, hogy ahhoz, hogy egy vállalkozást közvetlenül szankcionáljanak a GDPR megsértése miatt, előzetesen meg kell állapítani valamely természetes személy felelősségét. Ez következik az OWiG 30. §‑ából: csak akkor szabható ki bírság vállalkozásokkal szemben, ha képviselőként kijelölt vezető tisztségviselőik által elkövetett bizonyos szabálysértések tudhatók be nekik. E tekintetben a képviselőnek tényállásszerűen, jogellenesen és vétkesen kell megsértenie a rendelkezést, amelynek megsértése bírsággal sújtható. ( 14 )

42.

A német kormány kifogására, amely az OWiG 130. §‑ra hivatkozik a kérdést előterjesztő bíróság értelmezésével szemben, e bíróság a Bíróság részére adott válaszában már az általam jelzettek szerint ( 15 ) fogalmaz. Röviden összefoglalva, azt állítja, hogy a jogi tárgyak e rendelkezés által biztosított védelme nagyon korlátozott az EUMSZ 101. és EUMSZ 102. cikkből eredő felelősségi rendszerhez képest.

43.

A kérdést előterjesztő bíróság által hivatkozott, a természetes személy felelősségének előzetes megállapítására vonatkozó szabály azonban nem lenne alkalmazható, ha a GDPR 83. cikkének (4)–(6) bekezdése beépítené a nemzeti jogba vállalkozásnak az EUMSZ 101. és EUMSZ 102. cikkhez rendelt funkcionális fogalmát.

a) Az EUMSZ 101. és EUMSZ 102. cikkben használt fogalom jelentősége

44.

A GDPR 83. cikke (4)–(6) bekezdésének célja a GDPR e rendelkezéseiben említett jogsértésekkel kapcsolatos szankciók összegének kiszámítása. Konkrétabban, e három bekezdés rendelkezik arról az esetről, ha a szankcionált fél „vállalkozás”.

45.

Ebben az összefüggésben kell értelmezni a GDPR (150) preambulumbekezdésében szereplő, az EUMSZ 101. cikk és az EUMSZ 102. cikk értelmében vett vállalkozás fogalmára való hivatkozást. Emlékeztetnék arra, hogy a Bíróság szerint „az uniós versenyjog a vállalkozási tevékenységekre vonatkozik, és a vállalkozás fogalma minden gazdasági tevékenységet folytató jogalanyra kiterjed, függetlenül azok jogállásától és finanszírozási módjától”. ( 16 )

46.

Mivel a GDPR megsértése miatt kiszabható szankciók összegének felső határát az adatkezelő vagy adatfeldolgozó vállalkozások esetében „az előző pénzügyi év teljes éves világpiaci forgalmának” százalékában határozzák meg, ezen összeg meghatározásához nem a társaság formális jogi személyisége, hanem a fent említett értelemben vett „gazdasági egység” adhat támpontot.

47.

Ennek oka, hogy a GDPR 83. cikkének (1) bekezdése szerint az ugyanezen cikk (4)–(6) bekezdésében előírt közigazgatási bírságoknak „hatékonyaknak, arányosaknak és visszatartó erejűeknek” kell lenniük. E három jellemző csak olyan bírságra vonatkozhat, amelynek összegét a címzett tényleges gazdasági képessége vagy anyagi kapacitása alapján határozzák meg. Ezért van szükség arra, hogy a „vállalkozás” anyagi vagy gazdasági fogalmát alkalmazzuk a szankció kiszámítása során, ahelyett, hogy szigorúan formális fogalmat használnánk.

48.

A „vállalkozás” versenyjogot jellemző ( 17 ) tényleges vagy anyagi jogi meghatározását tehát átveszi az uniós jogalkotó a GDPR megsértése miatt kiszabható bírságok összegének meghatározása során. Hangsúlyozom azonban, hogy a GDPR csak e célból hivatkozik e fogalomra.

49.

Ebben az ügyben az EUMSZ 101. és az EUMSZ 102. cikk szerinti vállalkozás fogalma tehát releváns lehet a Deutsche Wohnennel szemben kiszabható bírság számszerűsítése szempontjából. Az, hogy ez utóbbinak szankcionált jogalany (rectius, a jogsértés elkövetője) minőséget tulajdonítsunk‑e vagy sem, nem szigorúan az EUMSZ említett két cikkének alkalmazásától függ.

50.

Ez nem zárja ki, hogy a versenyjogi szankciórendszerre vonatkozó általános elvek (amelyeket a Bíróság széles körben értelmez) analógia útján értelemszerűen alkalmazandók legyenek a jogi személyek személyes adatok védelmével kapcsolatos jogsértéseiért való felelősségére. ( 18 )

b) Közvetlenül valamely jogi személynek történő betudhatóság

51.

Összeegyeztethető‑e a GDPR-ral az a nemzeti szabályozás, amely a közigazgatási szankciók jogi személyekkel szembeni kiszabását annak rendeli alá, hogy ezt megelőzően valamely természetes személlyel szemben eljárást indítottak?

52.

A GDPR jellege az általános hatályán túlmenően magában foglalja annak kötelező jellegét és az EUMSZ 288. cikk szerinti valamennyi tagállamban közvetlenül alkalmazandó jellegét. E jellemzők sérülnének, ha a tagállamok eltérhetnének az uniós jogalkotó által a GDPR-ban meghatározott előírások végleges változatától.

53.

Kétségtelen, hogy a GDPR egyes rendelkezései – éppen a sajátosságaik és céljuk egyedi jellemzői miatt – némi mozgásteret biztosítanak a tagállamok számára, hogy nemzeti szabályokat hozzanak, vagy tartsanak fenn egyes rendelkezések további pontosítása érdekében. Ez a helyzet áll fenn például:

–

a személyes adatoknak a jogi kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítványok gyakorlása keretében végzett feladat végrehajtása érdekében való kezelése tekintetében; ( 19 )

–

a személyes adatok különleges kategóriáinak feldolgozását illetően, mivel a GDPR nem zárja ki, hogy a tagállamok meghatározzák a különleges adatkezelési helyzetek körülményeit, ezen belül pontosabban megállapítsák a személyes adatok kezelése jogszerűségének feltételeit. ( 20 )

54.

Ezt a – tárgyaláson megvitatott – állami mérlegelési mozgásteret véleményem szerint nem lehet oly mértékben kiterjeszteni, hogy a jogi személynek való betudhatóságot úgy csökkentse, ahogyan az a kérdést előterjesztő bíróság szerint az OWiG 30. cikkéből következne.

55.

A jogi személyekre vonatkozó felelősségi rendszer ilyen kialakítása lehetővé tenné, hogy a GDPR szankciórendszerének hatálya alól kizárják azon jogsértéseket, amelyek e rendelet szerint a jogi személynek – mint adatkezelőnek vagy adatfeldolgozónak – tulajdoníthatók. Ez az eset állna fenn, ha a jogi személyt képviselő, irányító vagy azt vezető természetes személyek nem vettek volna részt e jogsértésekben.

56.

Mivel – ismétlem – a jogi személy lehet adatkezelő, és e minőségében a GDPR neki betudható megsértésének elkövetője, az OWiG 30. §‑ának alkalmazása a szankcionálható magatartások körének indokolatlan gyengítéséhez vagy szűkítéséhez vezethet, ami mint olyan nem egyeztethető össze a GDPR általános rendelkezésével.

57.

A személyes adatok adatkezelőjének vagy adatfeldolgozójának minősíthető jogi személynek – a szankciók tekintetében – viselnie kell a GDPR-nak a képviselők, igazgatók vagy vezetők, valamint a jogi személy kereskedelmi tevékenysége keretében és felügyelete alatt eljáró természetes személyek (tágabb értelemben vett alkalmazottak) általi megsértéséből eredő következményeket.

58.

E természetes személyek valójában alakítják és meghatározzák a jogi személy akaratát azáltal, hogy azt különleges és konkrét aktusok révén konkretizálják. Olyan különleges aktusok, amelyek ezen akarat konkrét megnyilvánulásai, végső soron magának a jogi személynek tulajdoníthatók.

59.

Végeredményben olyan természetes személyekről van szó, akik – anélkül, hogy jogi személy képviselői lennének – azon személyek felügyelete alatt járnak el, akik a jogi személy képviseletében természetes személyek feletti felügyeleti vagy ellenőrzési mulasztást követtek el. A betudhatóság végső soron magához a jogi személyhez vezet, mivel az irányító szervei felügyelete alatt eljáró alkalmazott jogsértése az ellenőrzési és felügyeleti rendszer hiányossága, amelyért közvetlenül az irányító szervek felelnek.

60.

A fentiek megfelelnek a kérdést előterjesztő bíróság nemzeti joga e bíróság általi értelmezésének. Márpedig a német kormány azt állítja, hogy az OWiG 9., 30. és 130. §‑ának együttes alkalmazása olyan rendszert hoz létre, amelyben szankcionálhatók a jogi személynek betudható, a jogi személyben nem vezetői vagy képviseleti feladatokat ellátó természetes személyek által elkövetett jogsértések, anélkül, hogy e természetes személyeket azonosítani kellene. ( 21 )

61.

Ahogy azt korábban megjegyeztem, a kérdést előterjesztő bíróság feladata a nemzeti jog rendelkezéseinek értelmezése. Annak eldöntése, hogy – a német kormány által hivatkozott nemzeti ítélkezési gyakorlattal és jogelmélettel összhangban – ( 22 ) e rendelkezések lehetővé teszik‑e a nemzeti jognak az uniós jog követelményeivel összhangban álló értelmezését, a nemzeti bíróságok hatáskörébe tartozik.

62.

Amennyiben egy ilyen értelmezés contra legem lenne, és a nemzeti szankciórendszer sajátos szerkezete miatt nem lenne lehetséges a GDPR e területtel foglalkozó szabályainak maradéktalan alkalmazása, a GDPR elsőbbségének biztosítása érdekében a kérdést előterjesztő bíróságnak ki kellene zárnia az uniós joggal összeegyeztethetetlen nemzeti szabály alkalmazását.

B.   Az előzetes döntéshozatalra előterjesztett második kérdés

63.

A kérdést előterjesztő bíróság azt kívánja megtudni, hogy a GDPR 83. cikkének (4)–(6) bekezdése szerint „a vállalkozásnak vétkesen kell elkövetnie – valamely alkalmazott révén – a jogsértést, vagy a vállalkozással szembeni bírságkiszabáshoz főszabály szerint már a vállalkozásnak betudandó objektív kötelezettségszegés is elegendő (»strict liability«)”. ( 23 )

64.

Az így megfogalmazott kérdés hipotetikus jellegű, ami azt két okból is elfogadhatatlanná teszi.

65.

Először is – az előzetes döntéshozatalra utaló határozat szerint – a Deutsche Wohnennel szemben kiszabott bírságot vétkes (szándékos) magatartás, nem pedig a GDPR puszta „objektív megsértése” miatt szabták ki. A fentiekben ismertetett tényállás azt mutatja, hogy a vállalkozás tudatosan és szándékosan nem tett eleget az adatvédelmi hatóság felhívásának, és továbbra is folytatta a kifogásolt adatkezelést. E minősítés szempontjából nincs jelentősége annak, hogy az adatkezelő rendszereinek módosítása során számos technikai és jogi nehézségre hivatkozott.

66.

Másodszor, amikor a Bíróság felkérte a kérdést előterjesztő bíróságot, hogy tisztázza a kérdését, a kérdést előterjesztő bíróság megjegyezte, hogy az elsőfokú bíróságot nem kötik a szankciót kiszabó határozatban tett megállapítások, és hogy a jövőben e bíróság határozhat a szankcióval szemben indított kereset jogalapjairól. Ha megbizonyosodik arról, hogy fennáll a jogsértés, akkor meg kell határozni, hogy milyen típusú kötelességszegés történt, ami az előzetes döntéshozatalra előterjesztett második kérdésre adandó választól függ.

67.

Szem előtt tartva e pontosítást, az előzetes döntéshozatalra előterjesztett második kérdés ismét felfedi hipotetikus jellegét: a magatartás minősítésének megítélése nem a jogvita kérdést előterjesztő bíróság előtti megoldásához, hanem adott esetben – az ügynek az elsőfokú bíróság elé történő visszautalását követően – az elsőfokú bíróságnak a jövőbeni határozathozatalához elengedhetetlen.

68.

Mindenesetre, és amennyiben a Bíróság úgy döntene, hogy a kérdést érdemben vizsgálja, úgy vélem, hogy az e kérdésre adandó válasz nem a GDPR 83. cikke (4)–(6) bekezdésének értelmezésétől függ, amely rendelkezések tárgya a közigazgatási bírságok számszerűsítése.

69.

A kérdést előterjesztő bíróság megkülönbözteti az alábbiakat: a) a jogi személy valamely alkalmazottja révén elkövetett jogsértés, valamint b) a jogi személy részéről való vétkesség fennállása a jogsértés során.

70.

Véleményem szerint a „valamely alkalmazott révén elkövetett jogsértés” valójában – és ahogyan az az első kérdéssel kapcsolatban már elhangzott – azon jogi személy által elkövetett jogsértés, amelynek irányítása alatt az alkalmazott eljárt.

71.

Pontosan megfogalmazva a kérdés tehát arra vonatkozik, hogy valamely jogi személyt szankcionálható‑e az adatkezelőként vagy adatfeldolgozóként rá háruló kötelezettségek objektív (vétlen) megszegése miatt.

72.

E kérdés megválaszolásához hasznos lehet az Emberi Jogok Európai Bíróságának (EJEB) az emberi jogok és alapvető szabadságok védelméről szóló európai egyezmény (EJEE) 7. cikke által biztosított büntetőjogi törvényesség elvével kapcsolatos ítélkezési gyakorlatára való hivatkozás.

73.

Noha az EJEE – mivel az Unió nem csatlakozott hozzá – nem minősül az uniós jogrendbe szervesen beépülő jogforrásnak, az ezen egyezmény által elismert alapvető jogok az uniós jogrend részét képezik mint annak általános elvei (az EUSZ 6. cikk (3) bekezdése).

74.

A Bíróság szerint „a Charta 52. cikkének (3) bekezdése, amely úgy rendelkezik, hogy a Chartában foglalt, az EJEE‑ben biztosított jogoknak megfelelő jogok tartalmát és terjedelmét azonosnak kell tekinteni azokéval, amelyek az említett egyezményben szerepelnek, az uniós jog és a Bíróság autonómiájának sérelme nélkül az e jogok közötti szükséges összhang biztosítására irányul”. ( 24 )

75.

Márpedig az EJEB ítélkezési gyakorlata – az EJEE 7. cikkének értelmezése során – olyan árnyalatokat tartalmaz, amelyek nem teljesen egyeznek:

–

egyrészt, noha e cikk nem említi kifejezetten a jogsértés ténybeli eleme és a jogsértés elkövetőjének tekintett személy közötti erkölcsi kapcsolatot, a szankció logikája és maga a bűnösség fogalma arra az értelmezésre vezet, amely a szankció feltételeként megköveteli az olyan szellemi kapcsolatot (lelkiismeret és akarat), amely lehetővé teszi a felelősségi elemnek a jogsértés tényleges elkövetőjének magatartásában való értékelését; ( 25 )

–

másrészt – amint azt a norvég kormány a tárgyaláson megjegyezte –, az EJEB nem ellenzi az objektív tények büntetendővé nyilvánítását. Az EJEB az 1988. október 7‑i Salabiaku kontra Franciaország ítéletében ( 26 ) kimondta, hogy ez csak „főszabály szerint és bizonyos feltételek mellett” áll fenn, mivel ha az EJEE nem is zárja ki a vélelmeket, „a büntetőjog területén arra kötelezi a szerződő államokat, hogy bizonyos korlátok között maradjanak”. ( 27 )

76.

Valójában a büntetőjog dogmatikai kategóriáinak (nulla poena sine culpa) a szankcionáló közigazgatási jogi alkalmazás céljából történő behozatala jelentős hermeneutikai nehézségeket vet fel. A vétkesség fogalma (gondatlanság formájában) magában foglalhatja a jogszabályi rendelkezés puszta be nem tartásának azon eseteit, amikor az elkövetőnek ismernie kellett volna a vele szemben elvárt magatartást.

77.

Ebből a szempontból a vétkesség különböző formái – ideértve az enyhébb fokú vétkességeket, valamint a beszámítás különböző fokozatait (például culpa in vigilando vagy eligendo) – olyan magatartásokra is alapozhatók, amelyeket egyes bíróságok más szemszögből objektív felelősség eseteinek minősítenének. A két kategória közötti határ tehát nem olyan éles a szankcionáló közigazgatási jogban, mint ahogyan az az előzetes döntéshozatalra utaló határozatból kitűnni látszik.

78.

Jóllehet – az európai uniós jogot illetően – a Bíróság bizonyos esetekben elfogadott egy olyan rendszert, amelyet a szankciók terén objektív felelősségnek minősít. Így tett például 2017. március 22‑i Euro‑Team és Spirál‑Gép ítéletben a következők szerint:

–

„az objektív felelősség bevezetésének az arányosság elvével való összeegyeztethetőségét illetően meg kell állapítani, hogy a Bíróság már több ízben is kimondta, hogy az uniós jog megsértését szankcionáló ilyen rendszer önmagában nem összeegyeztethetetlen ezen elvvel”;

–

„az elérni kívánt célokhoz képest nem aránytalan az objektív felelősségi rendszer bevezetése, amennyiben ez a rendszer jellegénél fogva alkalmas arra, hogy az érintett személyeket valamely rendelet rendelkezéseinek tiszteletben tartására ösztönözze, és amennyiben az elérni kívánt célok olyan közérdeket képeznek, amely alkalmas arra, hogy igazolja ilyen rendszer bevezetését”. ( 28 )

79.

Ugyanakkor ezen ítélkezési gyakorlat az adatvédelemtől eltérő területeken, elsődlegesen formális konnotációkkal bíró kötelezettségek megsértésével kapcsolatban került kialakításra: autópálya‑szakasznak az előírt úthasználati díj összegének megfizetése nélküli használata miatt kiszabott bírság tárgyában, ( 29 ) vagy tehergépjármű menetíró készüléke adatrögzítő lapjának használatára vonatkozó rendelkezések megsértése. ( 30 )

80.

A GDPR által megállapított kötelezettségek – ideértve az adatkezelésre (a GDPR 5. cikke) és annak jogszerűségére (a GDPR 6. cikke) vonatkozó kötelezettségeket – esetében annak értékelése, hogy tiszteletben tartották‑e azokat, összetett értékelési és vizsgálati folyamatot foglal magában, amely túlmutat az előírások formai megsértésének puszta megállapításán.

81.

Mindenesetre úgy vélem, hogy a GDPR 83. cikke megerősíti az objektív (vétkesség nélküli) felelősségi rendszer kizárását a szankciók terén, azaz a szankcionálható magatartásnál megköveteli a szándékosság vagy gondatlanság fennállását. Véleményem szerint ez több bekezdéséből is kitűnik:

–

az (1) bekezdés szerint biztosítani kell, hogy a jogsértések miatt kiszabott bírságok „arányosak” legyenek. A szankciók arányosságának elvét a Charta 49. cikke – és ebből következően – az EJEE fent említett ítélkezési gyakorlata biztosítja;

–

a (2) bekezdés b) pontja kifejezetten „a jogsértés szándékos vagy gondatlan jellegét” említi a közigazgatási bírság kiszabása és összege meghatározó tényezőjeként. ( 31 ) Az ugyanezen bekezdés a)–k) pontjában felsorolt egyéb tényezők egyénítik az egyes ügyek releváns körülményeit, és közülük több tényező szubjektív elemet tartalmaz, ( 32 ) anélkül, hogy szerepelne e vonatkozásban a jogsértés puszta objektivitása;

–

a (3) bekezdés előírja, hogy a GDPR több rendelkezésének az adatkezelő vagy az adatfeldolgozó általi egyidejű „szándékos vagy gondatlan” megsértése (többszörös jogsértés) esetén a bírság összege nem haladhatja meg a legsúlyosabb jogsértés esetén meghatározott összeget. Feltételezi tehát, hogy a tisztán objektív jellegű jogsértések a szankciók szempontjából nem relevánsak, mivel azokat nem szándékosan vagy gondatlanul követték el.

82.

Az imént általam kifejtett álláspont helytelennek bizonyulhat, ha – amint az eljárásban részt vevő egyes kormányok állítják – az erre vonatkozó kifejezett rendelkezések a GDPR-beli hiánya azt jelenti, hogy a tagállamok számára lehetőséget kell adni arra, hogy szubjektív felelősségi (szándékosság vagy gondatlanság) rendszert vagy objektív felelősséget is magában foglaló rendszert válasszanak.

83.

Elismerem, hogy e kormányok álláspontja alátámasztható bizonyos érvekkel: mivel a GDPR 83. cikkének (2) bekezdése a szándékosságra vagy gondatlanságra a bírság összege meghatározásánál figyelembe veendő tényezőként, nem pedig magának a jogsértő magatartásnak az elkerülhetetlen (lényeges) elemeként hivatkozik, a rendelkezés nyitva hagyná a tagállamok számára annak lehetőségét, hogy a jogsértés ezen lényeges elemeit saját belátásuk szerint alakítsák.

84.

Mindazonáltal, a Bizottsághoz hasonlóan úgy gondolom, hogy a GDPR által létrehozott szankciórendszer helyes olvasata – amelynek közvetlen alkalmazhatósága vitathatatlan – a valamennyi tagállam vonatkozásában egységes és koherens megoldás mellett szól, ( 33 ) nem pedig amellett, hogy minden tagállam maga döntse el, hogy a szankcionálandó jogsértések körét ki kell‑e terjeszteni a nem szándékos vagy gondatlan jellegű jogsértésekre.

85.

Véleményem szerint a GDPR-nak a kérdést előterjesztő bíróság által az előzetes döntéshozatal iránti kérelmében idézett preambulumbekezdései – amelyek megismétlik, hogy a jogsértőkre azonos szankciókat kell alkalmazni – megerősítik az egységes megoldás relevanciáját (és a megosztó megoldás megvalósíthatatlanságát). ( 34 ) Az egyenértékűség nem valósulna meg, ha minden tagállam lehetővé tenné a különböző jellegű jogsértések büntethetőségét, elfogadva azon jogsértéseket, amelyek pusztán objektív jogsértésekből állnak, és nem tartalmaznak szándékos vagy gondatlan elemet.

V. Végkövetkeztetés

86.

A fent kifejtettek értelmében azt javaslom, hogy a Bíróság a Kammergericht Berlin (berlini regionális felsőbíróság, Németország) részére a következő választ adja:

„A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 4. cikkének 7. pontjával és 83. cikkével összefüggésben értelmezett 58. cikke (2) bekezdésének i) pontját

a következőképpen kell értelmezni:

a személyes adatokat kezelő jogi személlyel szembeni közigazgatási bírság kiszabása nincs ahhoz a feltételhez kötve, hogy előzetesen meg kellene állapítani az e jogi személy alkalmazásában álló egy vagy több természetes személy által elkövetett jogsértés fennállását.

A 2016/679 rendelet alapján kiszabható közigazgatási bírságok megkövetelik a szankcionált jogsértést megvalósító magatartás szándékos vagy gondatlan jellegének fennállását.”

( 1 ) Eredeti nyelv: spanyol.

( 2 ) A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.; a továbbiakban: GDPR)

( 3 ) A 2020. június 19‑i törvénnyel (BGBl. I, 1328. o.) módosított 1968. május 24‑i törvény (BGBl. I 481; III 454‑1) az 1987. február 19‑i változatában (BGBl. I, 602. o.). A továbbiakban: OWiG.

( 4 ) A Szerződés 81. és 82. cikkében meghatározott versenyszabályok végrehajtásáról szóló, 2002. december 16‑i 1/2003/EK tanácsi rendelet (HL 2003. L 1., 1. o.; magyar nyelvű különkiadás 8. fejezet, 2. kötet, 205. o.)

( 5 ) Az előzetes döntéshozatalra utaló határozat indokolása II. részének1. pontja. Lásd a jelen indítvány 41. és azt követő pontjait.

( 6 ) A Deutsche Wohnen írásbeli észrevételeinek 45. pontja, valamint a német kormány írásbeli észrevételeinek 24. és 25. pontja.

( 7 ) Az EUMSZ 267. cikk szerinti eljárás keretében, amely a nemzeti bíróságok és a Bíróság feladatainak világos szétválasztásán alapul, az ügy konkrét tényállásának a megállapítása és megítélése, valamint a nemzeti jog értelmezése és alkalmazása kizárólag a nemzeti bíróság hatáskörébe tartozik. 2017. április 26‑iFarkas ítélet (C‑564/15, EU:C:2017:302, 37. pont).

( 8 ) A Bíróság csak akkor utasíthatja el az előzetes döntéshozatal iránti kérelmet, ha az uniós jog kért értelmezése nyilvánvalóan semmilyen összefüggésben nincs az alapügy tényállásával vagy tárgyával, ha a probléma hipotetikus jellegű, vagy ha nem állnak a Bíróság rendelkezésére azok a ténybeli vagy jogi elemek, amelyek szükségesek ahhoz, hogy az elé terjesztett kérdésekre hasznos választ adhasson (többek között lásd: 2017. szeptember 27‑iPuškár ítélet [C‑73/16, EU:C:2017:725, 50. pont]). A jelen esetben e körülmények egyike sem áll fenn.

( 9 ) Annak ellenére, hogy a Deutsche Wohnen a tárgyalás során vonakodott elismerni e minőséget, nem vitatott, hogy profilja megfelel a GDPR 4. cikkében szereplő „adatkezelő” fogalmának. Ez a helyzet, függetlenül az adatkezelés „felelőseként” terhére rótt jogsértésekért ténylegesen őt terhelő felelősségtől.

( 10 ) Más kérdés, hogy a megfelelő szankció összegének meghatározásához adott esetben figyelembe kell venni a Deutsche Wohnennek és leányvállalatainak egy magasabb gazdasági egységbe való esetleges integrációját. A látszat ellenére az anyavállalatok és leányvállalatok vagy vállalatcsoportok közötti felelősségmegosztás klasszikus problémái a jelen előzetes döntéshozatal iránti kérelemben tulajdonképpen nem merülnek fel.

( 11 ) A GDPR 4. cikkének 7. pontja a jelen ügy szempontjából az „adatkezelő” fogalmát úgy határozza meg, mint „az a […] jogi személy […], amely a személyes adatok kezelésének céljait és eszközeit önállóan vagy másokkal együtt meghatározza”; a 4. cikk 8. pontja úgy jellemzi az „adatfeldolgozót”, mint „az a […] jogi személy […], amely az adatkezelő nevében személyes adatokat kezel”.

( 12 ) Amelyre természetesen kiterjed a felügyeleti hatóság jogi személyt érintő, jogilag kötelező erejű határozatával – így a vele szemben kiszabható közigazgatási bírsággal – szembeni hatékony bírósági jogorvoslathoz való jog (a GDPR 78. cikkének (1) bekezdése).

( 13 ) Az ír adatvédelmi hatóság például 2022. december 31‑én a Facebookra 210 millió euró, az Instagramra pedig 180 millió euró összegű bírságot szabott ki.

( 14 ) Az előzetes döntéshozatalra utaló határozat indokolása II. részének 1. pontja.

( 15 ) Lásd a jelen indítvány 32. pontját.

( 16 ) 2017. április 27‑iAkzo Nobel és társai kontra Bizottság ítélet (C‑516/15 P, EU:C:2017:314, 47. pont).

( 17 ) Lásd többek között: 2014. április 10‑iAreva és társai kontra Bizottság ítélet (C‑247/11 P és C‑253/11 P, EU:C:2014:257, 123. pont).

( 18 ) Amint azt már kifejtettem, az anyavállalatok és leányvállalatok közötti kapcsolatra vonatkozó problémák a szankciók tekintetében nem tartoznak ennek az előzetes döntéshozatali eljárásnak a hatálya alá. A felrótt cselekmények bizonyítási terhe tekintetében sem terjesztettek elő kérdéseket az előzetes döntéshozatal iránti kérelem keretében.

( 19 ) Az általános adatvédelmi rendelet (10) preambulumbekezdése.

( 20 ) Uo.

( 21 ) A német kormány írásbeli észrevételeinek 25. pontja. Ezzel az állásponttal szemben a kérdést előterjesztő bíróság – a fent hivatkozottak szerint – azzal érvel, hogy a nemzeti jog által biztosított jogi tárgyak védelme még az OWiG 9. és 30. §‑ával együtt is nagyon korlátozott lenne az EUMSZ 101. és 102. cikkből eredő felelősségi rendszerhez képest.

( 22 ) A német kormány írásbeli észrevételeinek 25. pontja, 16–18. lábjegyzet.

( 23 ) A strict liability kifejezés a Bíróság ítéleteinek szokásos angol fordításában a responsabilidad objetiva (spanyol változat); responsabilité objective (francia változat); responsabilità oggettiva (olasz változat); responsabilidade objetiva (portugál változat); objektiven Verantwortlichkeit (német változat), illetve objectieve aansprakelijkheid (holland változat) kifejezéseknek felel meg.

( 24 ) Többek között lásd: 2021. február 2‑iConsob ítélet (C‑481/19, EU:C:2021:84, 36. pont).

( 25 ) EJEB, 2009. január 20., Sud Fondi és társai kontra Olaszország ítélet (CE:ECHR:2009:0120JUD007590901, 116. §).

( 26 ) CE:ECHR:1988:1007JUD001051983.

( 27 ) EJEB, 1988. október 7., Salabiaku kontra Franciaország ítélet (27. és 28. §).

( 28 ) 2017. március 22‑i Euro‑Team és Spirál‑Gép ítélet (C‑497/15 és C‑498/15, EU:C:2017:229, 53. és 54. pont), a 2012. február 9‑iUrbán ítéletre (C‑210/10, EU:C:2012:64, 47. és 48. pont) való hivatkozással.

( 29 ) 2017. március 22‑iEuro‑Team és Spirál‑Gép ítélet (C‑497/15 és C‑498/15, EU:C:2017:229).

( 30 ) 2012. február 9‑iUrbán ítélet (C‑210/10, EU:C:2012:64).

( 31 ) Lásd azonban a jelen indítvány 82. és 83. pontját.

( 32 ) Így például az a) pont az adatkezelési művelet céljára utal. A c) pont a kár enyhítése érdekében tett intézkedésekre utal. A d) pont a foganatosított intézkedésektől függő felelősség mértékére utal. Az f) pont a felügyelő hatósággal való együttműködés mértékére utal.

( 33 ) A GDPR (150) preambulumbekezdése a közigazgatási bírságok tagállamok általi összehangolt alkalmazására utal. A tagállamok viszont eldönthetik, hogy „a közhatalmi szervekkel szemben alkalmazható legyen‑e közigazgatási bírság, és ha igen, milyen mértékben”. Ez nem érinti a (151) preambulumbekezdésben említett, Dániára és Észtországra vonatkozó különös rendelkezéseket és a (152) preambulumbekezdésben foglalt eseteket.

( 34 ) A GDPR (10) preambulumbekezdése „[a] természetes személyeknek a személyes adataik kezeléséhez kapcsolódó alapvető jogai és szabadságai védelmére vonatkozó szabályok következetes és egységes alkalmazására” hivatkozik (kiemelés tőlem). A (11) preambulumbekezdés kimondja, hogy a jogsértőkre azonos szankciókat kell alkalmazni, és ez a megfogalmazás a (13) preambulumbekezdésben is megismétlődik.