C-383/23

62023CC0383

NÁVRHY GENERÁLNEJ ADVOKÁTKY

LAILA MEDINA

prednesené 12. septembra 2024 ( 1 )

Vec C‑383/23

Anklagemyndigheden

2.

Vec sa týka otázky, či sa pojem „podnik“ v článku 83 ods. 4 až 6 GDPR má so zreteľom na odôvodnenie 150 tohto nariadenia vykladať v tom zmysle, že zodpovedá pojmu „podnik“ podľa práva hospodárskej súťaže EÚ (články 101 a 102 ZFEÚ). To vedie k otázke, či je v súvislosti s uložením pokuty za porušenie GDPR spoločnosti primerané zohľadňovať celkový ročný obrat hospodárskeho subjektu (alebo skupiny), ktorého súčasťou je spoločnosť, ktorá sa dopustila porušenia, a nie iba celkový ročný obrat samotnej spoločnosti.

3.

Špecifickosť prejednávanej veci spočíva v skutočnosti, že v konaní vo veci samej pokutu neuložil vnútroštátny dozorný orgán v oblasti ochrany údajov v rámci svojich dozorných právomocí, ale súd v rámci trestného konania. Normotvorca Únie totiž vložil v tomto smere do GDPR osobitné ustanovenie, ktoré sa vzťahuje konkrétne na Dánsko.

I. Právny rámec

A.

Právne systémy Dánska a Estónska neumožňujú ukladanie správnych pokút stanovených v tomto nariadení. Ustanovenia o správnych pokutách sa môžu uplatňovať tak, že v Dánsku pokuty ukladajú príslušné vnútroštátne súdy ako trestnú sankciu a v Estónsku pokutu ukladá dozorný orgán v rámci konania o prečine, za podmienky, že takéto uplatňovanie ustanovení v týchto členských štátoch má rovnocenný účinok ako správne pokuty ukladané dozornými orgánmi. Príslušné vnútroštátne súdy by preto mali zohľadniť odporúčanie dozorného orgánu, ktorý podal návrh na začatie konania o uložení pokuty. Ukladané pokuty by v každom prípade mali byť účinné, primerané a odrádzajúce.“

5.

V článku 83 GDPR s názvom „Všeobecné podmienky ukladania správnych pokút“ sa stanovuje:

„1. Každý dozorný orgán zabezpečí, aby bolo ukladanie správnych pokút podľa tohto článku za porušenia tohto nariadenia uvedené v odsekoch 4, 5 a 6 v každom jednotlivom prípade účinné, primerané a odrádzajúce.

2. Správne pokuty sa v závislosti od okolností každého jednotlivého prípadu ukladajú popri opatreniach uvedených v článku 58 ods. 2 písm. a) až h) a j) alebo namiesto nich. Pri rozhodovaní o uložení správnej pokuty a jej výške sa v každom jednotlivom prípade náležite zohľadnia tieto skutočnosti:

…

…

8. Výkon právomocí dozorného orgánu podľa tohto článku podlieha primeraným procesným zárukám v súlade s právom Únie a právom členského štátu vrátane účinného súdneho prostriedku nápravy a riadneho procesu…“

B.

Vnútroštátne právo

6.

V Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (zákon č. 502 z 23. mája 2018, ktorým sa dopĺňa nariadenie o ochrane v súvislosti so spracovaním osobných údajov a o voľnom pohybe takýchto údajov), sa v odseku 41 stanovuje:

…

Pododsek 6. Spoločnosti a podobné subjekty (právnické osoby) môžu byť trestne zodpovedné v súlade s pravidlami stanovenými v kapitole 5 Trestného zákona. …“

II. Skutkové okolnosti sporu v konaní vo veci samej a prejudiciálne otázky

7.

ILVA je na dánskych súdoch obžalovaná z toho, že si ako prevádzkovateľ v období od mája 2018 do januára 2019 nesplnila svoje povinnosti podľa článku 5 ods. 1 písm. e), článku 5 ods. 2 a článku 6 GDPR v súvislosti s uchovávaním osobných údajov týkajúcich sa jej bývalých zákazníkov.

8.

Prokurátor sa proti rozsudku odvolal na Vestre Landsret (Západný vyšší súd), ktorý je vnútroštátnym súdom predkladajúcim prejudiciálne otázky. Tento súd žiada o objasnenie toho, či sa pojem „podnik“ uvedený v článku 83 ods. 4 až 6 GDPR má vykladať v tom zmysle, že na stanovenie pokuty v prípade porušenia GDPR spoločnosťou je nutné zohľadniť obrat skupiny, ktorej súčasťou je dotknutá spoločnosť.

12.

Prokurátor tvrdí, že to tak je. Tvrdí, že z odôvodnenia 150 GDPR vyplýva, že uvedený pojem sa má chápať v súlade s článkami 101 a 102 ZFEÚ.

13.

ILVA zase tvrdí, že pri stanovovaní pokuty za porušenie GDPR zo strany podniku by sa nemal brať ohľad na celkový obrat skupiny, ktorej súčasťou je dotknutá spoločnosť. V tomto konkrétnom prípade bola obžaloba vznesená len voči spoločnosti ILVA, ktorá je dcérskou spoločnosťou, a nie voči materskej spoločnosti.

14.

Ak je odpoveď na prvú otázku kladná, má sa článok 83 ods. 4 až 6 [GDPR] vykladať v tom zmysle, že pri ukladaní pokuty podniku treba brať do úvahy celkový celosvetový ročný obrat hospodárskeho subjektu, ktorého je podnik súčasťou, alebo len celkový celosvetový ročný obrat samotného podniku?“

III. Konanie na Súdnom dvore

16.

Písomné pripomienky predložili ILVA a Európska komisia. Dňa 19. júna 2024 sa uskutočnilo pojednávanie, na ktorom boli zastúpené obidve strany.

IV. Posúdenie

A.

Podľa môjho názoru je vhodné posúdiť obe otázky spoločne. Uvedenými otázkami sa vnútroštátny súd v podstate pýta, či sa pojem „podnik“ v článku 83 ods. 4 až 6 GDPR má so zreteľom na odôvodnenie 150 tohto nariadenia vykladať v tom zmysle, že zodpovedá pojmu „podnik“ v zmysle článkov 101 a 102 ZFEÚ. To vedie k otázke, či je v súvislosti s uložením pokuty za porušenie GDPR spoločnosti nutné zohľadňovať celkový ročný obrat celého podniku (hospodárskeho subjektu alebo skupiny, v tomto prípade skupiny Lars Larsen Group, teda približne 881 miliónov eur), ktorého súčasťou je spoločnosť, ktorá sa dopustila porušenia, ( 6 ) a nie iba celkový ročný obrat samotnej spoločnosti (ILVA, teda približne 241 miliónov eur).

1. Rozsudok vo veci Deutsche Wohnen

19.

V článku 83 GDPR sa stanovuje právny základ pre ukladanie pokút za porušenie tohto nariadenia. GDPR neobsahuje žiadne vymedzenie pojmu „podnik“ na účely presadzovania práva, ale v odôvodnení 150 tohto nariadenia sa uvádza, že pri výklade tohto pojmu by sa mali použiť zásady práva hospodárskej súťaže Únie. ( 7 )

20.

Súdny dvor mal nedávno príležitosť vyložiť niektoré (nie však všetky) odseky článku 83 GDPR a dotknúť sa určitých otázok, ktoré súvisia s prejudiciálnymi otázkami položenými v tejto veci.

24.

Súdny dvor ďalej pokračoval vo svojom odôvodnení a venoval sa podmienkam, ktoré platia pri určovaní výšky správnej pokuty. Súdny dvor v rozsudku Deutsche Wohnen (bod 58) poznamenal, že „len správna pokuta, ktorej výška je určená na základe skutočnej hospodárskej alebo materiálnej schopnosti jej adresáta, a teda uložená dozorným orgánom na základe, pokiaľ ide o jej výšku, pojmu ‚hospodárska jednotka‘ v zmysle judikatúry…[ ( 11 )], môže spĺňať tri podmienky uvedené v článku 83 ods. 1 GDPR, a to byť zároveň účinná, primeraná a odrádzajúca“. Hoci Súdny dvor v tomto smere hovoril o „adresátovi [pokuty]“, čím zdôraznil súvislosť s osobou konkrétne obvinenou z porušenia GDPR, neskôr sa vrátil k pojmu „podnik“ („hospodárska jednotka“) podľa práva hospodárskej súťaže Únie.

25.

V bode 59 tohto rozsudku ďalej Súdny dvor uviedol, že „ak sa… dozorný orgán na základe právomocí, ktoré má podľa článku 58 ods. 2 GDPR, rozhodne uložiť prevádzkovateľovi, ktorý je podnikom alebo súčasťou podniku v zmysle článkov 101 a 102 ZFEÚ, správnu pokutu podľa článku 83 uvedeného nariadenia, je tento orgán povinný podľa tohto posledného uvedeného ustanovenia v spojení s odôvodnením 150 toho istého nariadenia vychádzať pri výpočte správnych pokút za porušenia uvedené v odsekoch 4 až 6 tohto článku 83 z pojmu ‚podnik‘ v zmysle týchto článkov 101 a 102 ZFEÚ“ ( 12 ).

26.

Dospela som k záveru, že z rozsudku Deutsche Wohnen vyplýva, že v prípade, že sa porušenia GDPR dopustí prevádzkovateľ alebo sprostredkovateľ, ktorý je podnikom (alebo je jeho súčasťou), sa pri stanovovaní maximálnej výšky pokuty odkaz na celkový celosvetový ročný obrat „podniku“ chápe v súlade s článkami 101 a 102 ZFEÚ. Nie je to však jediná otázka týkajúca sa maximálnej výšky pokuty , ktorú možno prevádzkovateľovi alebo sprostredkovateľovi potenciálne uložiť, ktorá sa tak vysvetlí. Vyplýva z toho aj to, že veľmi diferencovaná (a v jednotlivých veciach značne špecifická) judikatúra týkajúca sa pojmov „podnik“ a „hospodárska jednotka“ sa stáva do určitej miery relevantnou aj na stanovenie podmienok pre určenie konkrétnej pokuty uloženej za konkrétne porušenie GDPR.

Podľa judikatúry Súdneho dvora týkajúcej sa hospodárskej súťaže pojem „podnik“„zahŕňa každý subjekt vykonávajúci hospodársku činnosť bez ohľadu na jeho právne postavenie a spôsob jeho financovania“ ( 13 ).

30.

Z judikatúry Súdneho dvora takisto vyplýva, že pojem „podnik“ v článkoch 101 a 102 ZFEÚ môže odkazovať na jedinú hospodársku jednotku aj v prípade, že sa táto hospodárska jednotka skladá z viacerých fyzických alebo právnických osôb. To, či viaceré subjekty tvoria takúto jednotku, závisí vo veľkej miere od toho, či majú jednotlivé subjekty neobmedzenú spôsobilosť prijímať rozhodnutia alebo či má vedúci subjekt, konkrétne materská spoločnosť, nad ostatnými rozhodujúci vplyv. Kritériá na stanovenie uvedenej skutočnosti vychádzajú z hospodárskych, právnych a organizačných väzieb, napríklad z výšky účasti, personálnych alebo organizačných prepojení, pokynov a existencie zmlúv spoločnosti. ( 14 )

31.

Z judikatúry takisto jasne vyplýva, že skutočné uplatňovanie rozhodujúceho vplyvu materskej spoločnosti na správanie dcérskej spoločnosti možno vyvodiť zo súboru zhodujúcich sa skutočností, hoci ani jedna z týchto skutočností, posudzovaná samostatne, nepostačuje na preukázanie existencie takéhoto vplyvu. ( 15 ) Súdy Únie sa v tomto smere opierali okrem iného o právomoc materskej spoločnosti vymenovať členov rôznych predstavenstiev dcérskej spoločnosti a právomoc zvolávať akcionárov na zhromaždenia a navrhovať odvolanie členov predstavenstva alebo celých predstavenstiev dcérskej spoločnosti. ( 16 )

32.

Z uvedeného vyplýva, že ak by vnútroštátny súd zistil, že materská spoločnosť skupiny Lars Larsen Group uplatňuje rozhodujúci vplyv na ILVA, potom sa maximálna výška pokuty, ktorá sa má uložiť v konaní vo veci samej, vypočíta abstraktne na základe percentuálneho podielu z celkového celosvetového ročného obratu dotknutého podniku, t. j. skupiny Lars Larsen Group (ktorej súčasťou je ILVA), za predchádzajúci hospodársky rok.

3. Druhý krok analýzy po rozsudku Deutsche Wohnen: analýza s cieľom stanoviť konkrétnu výšku pokuty za porušenie v konaní vo veci samej

36.

Otázka stanovenia maximálnej výšky pokuty, ako ju predpokladal normotvorca Únie v článku 83 ods. 4 až 6 GDPR, by sa nemala zamieňať ani spájať s nasledujúcou úlohou dozorného orgánu, ( 19 ) teda so stanovením konkrétnej pokuty, ktorá sa má uložiť za konkrétne dané porušenie(‑a) GDPR.

37.

Na tento účel by sa najprv malo poznamenať, že v článku 83 ods. 1 GDPR sa stanovujú tri kľúčové podmienky ( 20 ), ktoré musí dozorný orgán dodržať. Každá z týchto podmienok si vyžaduje individuálne vyváženie všetkých prvkov daného porušenia a primeranej konkrétnej pokuty, ktorá sa má uložiť. V článku 83 ods. 2 sa ďalej stanovuje povinnosť, že orgán musí pri rozhodovaní„o uložení správnej pokuty a [vhodnej] výške [konkrétnej správnej pokuty]“ splniť viacero požiadaviek. V dôsledku toho je na úplné pochopenie uplatňovania článku 83 ods. 4 až 6 GDPR v súvislosti so stanovením konkrétnej pokuty v jednotlivých prípadoch potrebné tieto odseky vykladať v spojení s článkom 83 ods. 1, ako aj s článkom 83 ods. 2 uvedeného nariadenia. Čo je dôležitejšie, v druhom odseku článku 83 GDPR sa uvádzajú osobitné faktory, ktoré musí dozorný orgán zohľadniť pri stanovení konkrétnej výšky pokuty v danom prípade.

41.

Komisia v tejto súvislosti v podstate tvrdí, že v prejednávanej veci z GDPR vyplýva, že na obrate podniku, do ktorého spoločnosť patrí, musí byť založená nielen maximálna výška pokuty, ale aj výpočet konkrétnej pokuty. Úvahy, ktoré boli uvedené v bodoch 37 až 40 vyššie, však neumožňujú dospieť k záveru, že článok 83 ods. 1 až 6 GDPR sa má vykladať v tom zmysle, že pravidlá pre stanovenie maximálnej výšky pokuty (prvý krok) sa musia použiť aj ako hlavné alebo jediné referenčné kritérium pre stanovenie samotnej pokuty (druhý krok).

42.

Po druhé, v rámci prepojenia dvoch oblastí práva možno z práva hospodárskej súťaže Únie vyvodiť aj potrebu rozlišovania medzi maximálnou výškou pokuty (prvý krok) a konkrétnou pokutou (druhý krok). V práve hospodárskej súťaže Únie totiž Komisia, pokiaľ ide o maximálnu výšku pokuty, podobne ako v článku 83 GDPR používa obrat na výpočet maximálnej výšky pokuty (ktorá je stanovená ako 10 % celkového obratu podniku za porušenie). Je však dôležité upozorniť, že samotná základná pokuta sa na základe obratu nestanovuje. ( 26 )

43.

Namiesto toho sa základná pokuta v podstate stanovuje ako percento hodnoty príslušného predaja (ktorý priamo alebo nepriamo súvisel s porušením hospodárskej súťaže) vynásobené trvaním (rokmi alebo obdobiami kratšími ako jeden rok) plus 15 % až 25 % hodnoty príslušného predaja (na ďalšie odstrašenie kartelov). Základná pokuta sa následne na základe priťažujúcich okolností zvýši alebo na základe poľahčujúcich okolností zníži. Táto výška následne podlieha celkovému stropu 10 % obratu (v prípade potreby existuje aj ďalšia možnosť zníženia pokuty na základe zhovievavosti, vyrovnania a/alebo platobnej neschopnosti). Z uvedeného jasne vyplýva, že pri stanovovaní konkrétnej pokuty zohrávajú hlavnú úlohu faktory, ktoré priamo charakterizujú porušenie (ako je príslušný predaj, trvanie porušenia a osobitné okolnosti charakterizujúce prípad), a nie celkový celosvetový ročný obrat.

47.

Na to, aby pokuta spĺňala cieľ GDPR – posilniť presadzovanie pravidiel tohto nariadenia – so zreteľom na judikatúru Súdneho dvora analyzovanú vyššie, by mal výklad pojmov „podnik“ a „obrat“ pri stanovovaní výšky konkrétnej pokuty spĺňať nasledujúce požiadavky. Pri stanovovaní konkrétnej pokuty musí dozorný orgán vychádzať po prvé zo všetkých individuálnych okolností daného prípadu, ako sa vyžaduje v článku 83 ods. 2 GDPR, vrátane vzťahov v rámci „podniku“, ako sa stanovuje v judikatúre v oblasti hospodárskej súťaže Únie. Po druhé musí byť konkrétna pokuta ako výsledok nájdenia rovnováhy medzi všetkými relevantnými okolnosťami účinná, primeraná a odrádzajúca. A napokon, čo je však rovnako dôležité, musia byť v príslušných prípadoch dodržané relevantné aspekty trestného práva.

48.

Na účely splnenia týchto požiadaviek by som rada pripomenula nasledujúce argumenty.

49.

V dôsledku toho jedným z prvkov charakterizujúcich pojem „podnik“, ktorý by sa mal zohľadniť pri stanovení základnej pokuty a jej úprave (s cieľom stanoviť konkrétnu pokutu), je miera účasti ostatných spoločností tohto podniku na porušení GDPR. V tejto súvislosti sa vo vnútroštátnej judikatúre týkajúcej sa práva hospodárskej súťaže Únie argumentuje, že „konceptuálne sa otázka existencie ‚podniku‘ a otázka prisúdenia zodpovednosti medzi rôzne spoločnosti v rámci ‚podniku‘ líšia…[ ( 31 )] [a] osoba nie je ipso facto zodpovedná za porušenie článku 101 [ZFEÚ] len na základe skutočnosti, že je členom podniku, ktorý je podľa práva Únie zodpovedný za porušenie, za okolností, že sa daná osoba ani nezúčastnila porušovania, ani nemala rozhodujúci vplyv na konanie iných členov podniku, ktorí sa porušovania zúčastnili, na trhu… Za takýchto okolností môže byť nepravdepodobné, že by sa daná osoba skutočne považovala za súčasť tohto ‚podniku‘“ ( 32 ).

52.

Podľa môjho názoru sú uvedené argumenty dôležité aj pri zvažovaní, ktoré osoby sú zahrnuté pod pojmom „podnik“, s cieľom stanoviť konkrétnu pokutu za porušenie GDPR. To platí najmä v prípade, keď dozorný orgán výslovne stanovil, že materská spoločnosť sa na predmetnom porušení nepodieľala ako prevádzkovateľ alebo sprostredkovateľ, ( 33 ) ako je to v konaní vo veci samej.

53.

Aj keď normotvorca Únie do určitej miery prepojil tieto dve oblasti práva EÚ na účely stanovenia maximálnych pokút, pravidlá GDPR a pravidlá v oblasti hospodárskej súťaže Únie jednoznačne sledujú odlišné ciele. Regulačná štruktúra GDPR sa líši od pravidiel hospodárskej súťaže Únie a vychádza z koncepcie zodpovednosti prevádzkovateľa (a sprostredkovateľa) za zákonné spracúvanie osobných údajov. Inými slovami, kým právo Únie v oblasti hospodárskej súťaže sa zameriava na „podniky“ (zákaz sa v ňom vyjadruje s odkazom na „podnik“), GDPR sa zameriava na „prevádzkovateľov“ a „sprostredkovateľov“. Takisto pripomínam, že keďže doktrínu „hospodárskej jednotky“ nemožno oddeľovať od širšej logiky práva hospodárskej súťaže Únie a jeho cieľa, Súdny dvor už v minulosti odmietol rozšíriť jej analogické uplatňovanie na iné oblasti práva Únie, napríklad na mimozmluvnú zodpovednosť založenú na článku 340 ods. 2 ZFEÚ. ( 34 )

57.

Z tohto dôvodu by podľa mňa malo byť možné opierať sa pri stanovení konkrétnej pokuty o pojem „podnik“ v zmysle článkov 101 a 102 ZFEÚ, ale len vtedy, keď je to riadne odôvodnené na účely odstrašujúcej povahy a účinnosti pokuty. V tejto súvislosti sa totiž tento pojem má v jednotlivých prípadoch používať diferencovane a individuálne. Konkrétne sa môže použiť ako mechanizmus úpravy pri posudzovaní osobitných okolností konkrétneho prípadu po stanovení pokuty v súlade s článkom 83 ods. 2 GDPR. Je preto na vnútroštátnom súde, aby overil, či v prejednávanej veci existujú okolnosti, ktoré by odôvodňovali takéto zvýšenie pokuty, najmä na účely odstrašenia.

58.

60.

V tomto smere by som poukázala na to, že relevantný je nasledujúci neúplný zoznam okolností: i) v prejednávanej veci ( 39 ) – na rozdiel od veci, ktorá viedla k rozsudku Deutsche Wohnen – sa zdá, že skupina Lars Larsen Group a/alebo jej materská spoločnosť neboli do trestného konania zapojené; ii) obvinenia boli vznesené len proti spoločnosti ILVA, a nie proti skupine, ( 40 ) a iii) porušenie GDPR v konaní vo veci samej sa obmedzilo len na zákazníkov spoločnosti ILVA a ich údaje, a nič nenasvedčovalo tomu, že k porušeniu dochádzalo na úrovni samotnej skupiny alebo že spracúvanie údajov spoločnosťou ILVA bolo prepojené s ostatnými spoločnosťami v skupine. Je potrebné zdôrazniť, že v prípade, ktorý viedol k rozsudku Deutsche Wohnen, „dotknutá spoločnosť“ prevzala všetku zodpovednosť za spracúvanie údajov, teda aj za spracúvanie údajov ostatných spoločností v skupine. ( 41 )

61.

Je však úlohou vnútroštátneho súdu – ktorý má ako jediný právomoc rozhodnúť o skutkových okolnostiach –, aby v tejto súvislosti vykonal potrebné overenia a posúdil tieto okolnosti, ako aj ich význam a váhu, ktorú im treba priznať v súvislosti so stanovením primeranej výšky konkrétnej pokuty pre ILVA.

4. Záverečné poznámky

62.

Na pojednávaní sa ILVA na jednej strane odvolávala na článok 41 Charty základných práv Európskej únie (ďalej len „Charta“). Tento článok má názov „Právo na dobrú správu vecí verejných“ a v článku 41 ods. 2 písm. c) sa konkrétne poukazuje na „povinnosť administratívy odôvodniť svoje rozhodnutia“, ale ILVA v tomto smere neuviedla žiadne konkrétne argumenty.

66.

Na druhej strane ILVA odkazovala aj na článok 49 Charty. Domnievam sa, že pri výklade článku 83 ods. 1 až 6 GDPR by sa skutočne mal zohľadňovať aj uvedený článok Charty, ktorý má názov „Zásady zákonnosti a primeranosti trestných činov a trestov“, a preto je relevantný aj pre vec samu. V článku 49 ods. 3 Charty sa konkrétne stanovuje zásada, že „prísnosť trestov nesmie byť neprimeraná trestnému činu“.

67.

Z judikatúry Súdneho dvora totiž vyplýva, že zásada proporcionality je jednou zo všeobecných zásad práva Únie, ktoré sú základom spoločných ústavných tradícií členských štátov a ktoré musia vnútroštátne orgány dodržiavať pri uplatňovaní alebo vykonávaní práva Únie. Vyžaduje si, aby členské štáty prijali opatrenia, ktoré sú vhodné na dosiahnutie sledovaných cieľov, a neprekračujú rámec toho, čo je potrebné na ich dosiahnutie. ( 45 )

68.

Po druhé sa v judikatúre ESĽP v takýchto prípadoch pristupuje k vyvažovaniu rôznych záujmov, ktoré sú v hre, a zohľadňuje sa povaha, závažnosť a odrádzajúci účinok odsúdenia navrhovateľa v trestnom konaní. Je z nej zrejmé, že povinnosť štátov zaviesť trestné právo a uložiť trest ( 51 ) s cieľom chrániť verejnosť, ( 52 ) vedie k zodpovedajúcej povinnosti zabezpečiť, aby uložený trest nebol neprimeraný.

72.

ESĽP rozhodol, že „požadovaná rovnováha sa nedosiahne, ak dotknutá osoba znáša individuálnu a nadmernú záťaž“, a preto „v prípade, že sa pokutou ukladá osobe nadmerná záťaž, alebo ak zásadne ovplyvní jej finančnú situáciu, môže finančný záväzok vyplývajúci z pokuty ohroziť záruku, ktorú poskytuje dané ustanovenie. ( 53 )

73.

Z uvedeného vyplýva, že osobitné procesné aspekty prípadu vo veci samej, ako aj právo Únie a judikatúra ESĽP týkajúca sa pokút uložených v trestnom konaní si vyžadujú, aby vnútroštátny súd pri určovaní konkrétnej pokuty za porušenie GDPR zohľadnil všetky relevantné okolnosti veci. Procesné záruky obvinenej osoby, ako aj zásada proporcionality, ako sa vykladá v judikatúre Súdneho dvora a ESĽP, vyžadujú, aby tresty zodpovedali závažnosti trestného činu a aby sa zohľadnili individuálne okolnosti konkrétneho prípadu.

74.

Pri určovaní konkrétnej pokuty, ktorá sa má uložiť, sa však pojem „podnik“ má vykladať v spojení s článkom 83 ods. 1 a 2 nariadenia 2016/679 a používať ako jeden z relevantných prvkov pri posudzovaní osobitných okolností jednotlivého prípadu. V tejto súvislosti sa osobitné okolnosti môžu týkať rozhodovacej právomoci materskej spoločnosti, rozsahu spracúvania údajov, ktorým sa porušujú pravidlá uvedeného nariadenia, a počtu subjektov podniku zapojených do porušenia.

Ak navyše takúto pokutu uloží v spojení s článkom 83 ods. 9 nariadenia 2016/679 vnútroštátny súd v rámci trestného konania, konkrétna pokuta sa musí posúdiť na základe zásad, ktoré sa uplatňujú v trestnom práve. V tejto súvislosti musí vnútroštátny súd zabezpečiť, aby sa pri stanovení konkrétnej pokuty dodržala zásada proporcionality, podľa ktorej sa dosiahne spravodlivá rovnováha medzi požiadavkami všeobecného záujmu spoločenstva na ochrane osobných údajov a požiadavkami ochrany základných práv prevádzkovateľa, sprostredkovateľa alebo podniku, ktorého je súčasťou.

( 1 ) Jazyk prednesu: angličtina.

( 2 ) Nariadenie Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 , ďalej len „GDPR“).

( 3 ) Vo vnútroštátnych zdrojoch sa konanie vo veci samej uvádza aj ako vec „IDdesign A/S“, čo bol bývalý názov spoločnosti ILVA.

( 4 ) Konkrétne článok 83 ods. 9 a odôvodnenie 151 GDPR.

( 11 ) Rozsudok zo 6. októbra 2021, Sumal ( C‑882/19 , EU:C:2021:800 , bod 41 a citovaná judikatúra).

( 12 ) Pozri, čo sa týka vnútroštátnych judikatúr, Landgericht Bonn (Krajinský súd Bonn, Nemecko) (rozsudok z 11. novembra 2020, DE:LGBN:2020:1111.29OWI1.20.00) a Conseil d’État (Štátna rada, Francúzsko) (rozsudok z 19. júna 2020, FR:CECHR:2020:430810.20200619). Obe sú v zásade v súlade s výkladom Súdneho dvora (hoci boli vydané pred jeho rozsudkom). Pozri, pokiaľ ide o opačný výklad, Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko) (rozsudok z 19. augusta 2019, AT:BVWG:2019:W211.2208885.1.00) a Landgericht Berlin (Krajinský súd Berlín, Nemecko) (rozsudok z 18. februára 2021, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; tento rozsudok napokon viedol k rozsudku Súdneho dvora vo veci Deutsche Wohnen). Pozri, čo sa týka judikatúry, ktorá bola prijatá po rozsudku Súdneho dvora a v ktorej sa tento rozsudok uplatňuje, Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko) (rozsudok z 27. marca 2024, AT:BVWG:2024:W214.2243436.1.00).

( 13 ) Pozri rozsudok z 23. apríla 1991, Höfner a Elser ( C‑41/90 , EU:C:1991:161 , bod 21 ). Pozri tiež napríklad rozsudky z 12. septembra 2000, Pavlov a i. ( C‑180/98 až C‑184/98 , EU:C:2000:428 , bod 74 ); z 12. júla 2012, Compass‑Datenbank ( C‑138/11 , EU:C:2012:449 , bod 35 ), a z 27. apríla 2017, Akzo Nobel a i./Komisia ( C‑516/15 P , EU:C:2017:314 , bod 47 ).

( 14 ) Pozri tiež rozsudok z 20. januára 2011, General Química a i./Komisia ( C‑90/09 P , EU:C:2011:21 , bod 37 ). Hlavným kritériom na preukázanie tejto skutočnosti je „rozhodujúci vplyv“, ktorý by sa mal stanoviť na základe faktických dôkazov (hospodárske, organizačné a právne väzby).

( 21 ) Pozri v tomto smere judikatúru citovanú v bode 40 vyššie.

( 22 ) Posledné uvedené ustanovenie sa týka situácií, v ktorých sa porušuje viacero ustanovení GDPR zároveň.

( 23 ) Medzi tieto faktory patria: povaha, závažnosť a trvanie porušenia, jeho úmyselná alebo nedbanlivostná povaha, kroky prijaté s cieľom zmierniť spôsobenú škodu, predchádzajúce porušenia zo strany prevádzkovateľa alebo sprostredkovateľa, miera spolupráce s dozorným orgánom, kategórie osobných údajov, ktoré boli dotknuté, atď.

( 24 ) Rozsudok z 25. septembra 1984, Könecke ( 117/83 , EU:C:1984:288 , bod 11 ).

( 25 ) Rozsudok z 18. júla 2013, Schindler Holding a i./Komisia ( C‑501/11 P , EU:C:2013:522 , bod 57 a citovaná judikatúra).

( 26 ) Pozri bod 32 („Maximálna zákonná hranica“) a bod 13 (v súvislosti so „základnou výškou pokuty“) Usmernení Komisie k metóde stanovenia pokút uložených podľa článku 23 ods. 2 písm. a) nariadenia č. 1/2003 ( Ú. v. EÚ C 210, 2006, s. 2 ) (ďalej len „usmernenia k metóde stanovenia pokút z roku 2006).

( 33 ) Z dokumentov predložených Súdnemu dvoru vyplýva, že to platilo aj v tomto prípade, keďže prokurátor nevzniesol voči materskej spoločnosti žiadne obvinenia, „keďže na to nebol dôvod“, a dcérska spoločnosť (ILVA) „prevádzkuje nezávislý maloobchodný podnik a… nejde o prípad, keď materská spoločnosť založila dcérsku spoločnosť s jediným cieľom preniesť na ňu spracovanie údajov skupiny“. Pozri body 5 a 21 návrhu na začatie prejudiciálneho konania.

( 34 ) V rozsudku z 5. septembra 2019, Európska únia/Guardian Europe a Guardian Europe/Európska únia ( C‑447/17 P and C‑479/17 P , EU:C:2019:672 , body 105 a 106 ), Súdny dvor rozhodol, že pojem „podnik“ v zmysle doktríny „hospodárskej jednotky“ sa používa osobitne na účely vykonania príslušných ustanovení práva Únie v oblasti hospodárskej súťaže, a najmä na účely určenia autora porušenia článkov 101 a 102 ZFEÚ. Tento pojem naproti tomu nie je uplatniteľný v rámci žaloby o náhradu škody založenej na článku 340 druhom odseku ZFEÚ. Takáto žaloba je žalobou podľa verejného práva upravenou všeobecnými procesnými pravidlami, ktoré v prejednávanej veci podliehajú právu obchodných spoločností a ktoré sú nezávislé od logiky zodpovednosti z hľadiska práva hospodárskej súťaže Únie.

( 35 ) Rozsudok zo 17. júna 2010, Lafarge/Komisia ( C‑413/08 P , EU:C:2010:346 , bod 102 a citovaná judikatúra). Pozri tiež poznámku pod čiarou 29 vyššie.

( 36 ) Teda snahe o dosiahnutie rovnováhy medzi pokutou a konkrétnou situáciou autora porušenia.

( 37 ) EDPB je nezávislý útvar Únie so súdnou subjektivitou, ktorého účelom je zabezpečiť jednotné uplatňovanie GDPR a podporovať spoluprácu medzi orgánmi na ochranu osobných údajov v Európskej únii.

( 43 ) Pretože toto ustanovenie nebolo pre riešenie danej veci relevantné.

( 44 ) Zdá sa, že v Írsku musí správne pokuty uložené dozorným orgánom pre údaje potvrdiť súd. Pozri Data Protection Act 2018 (zákon o ochrane údajov z roku 2018), paragrafy 141 až 143. Navyše sa zdá, že vzhľadom na rozhodnutie Vrhovno sodišče (Najvyšší súd, Slovinsko) zo 16. marca 2021 ani Slovinsko neumožňuje správne pokuty.

( 45 ) Pozri v tomto zmysle rozsudok zo 4. októbra 2018, Link Logistik N&N ( C‑384/17 , EU:C:2018:810 , bod 40 a citovaná judikatúra; ďalej len „rozsudok Link Logistik“).

( 46 ) Tamže, bod 42 a citovaná judikatúra.

( 47 ) Ú. v. EÚ C 303, 2007, s. 17 .

( 48 ) Pozri tiež rozsudok Link Logistik, bod 43.