13/02/2025
Wydanie tymczasowe
WYROK TRYBUNAŁU (piąta izba)
z dnia 13 lutego 2025 r.(*)
Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 83 ust. 4 – 6 i 9 – Pojęcie „przedsiębiorstwa” – Spółka dominująca i spółka zależna – Naruszenie tego rozporządzenia przez spółkę zależną – Obliczanie kwoty kary pieniężnej – Uwzględnienie całkowitego obrotu grupy obejmującej tę spółkę zależną
W sprawie C‑383/23
mającej za przedmiot wniosek o wydanie, na podstawie art. 267 TFUE, orzeczenia w trybie prejudycjalnym, złożony przez Vestre Landsret (sąd apelacyjny regionu zachodniego, Dania) postanowieniem z dnia 3 maja 2023 r., które wpłynęło do Trybunału w dniu 21 czerwca 2023 r., w postępowaniu karnym przeciwko
ILVA A/S
TRYBUNAŁ (piąta izba),
w składzie: I. Jarukaitis, prezes czwartej izby, pełniący obowiązki prezesa piątej izby, D. Gratsias i Z. Csehi (sprawozdawca), sędziowie,
rzecznik generalny: L. Medina,
sekretarz: C. Strömholm, administratorka,
uwzględniając pisemny etap postępowania i po przeprowadzeniu rozprawy w dniu 19 czerwca 2024 r.,
rozważywszy uwagi, które przedstawili:
– w imieniu ILVA A/S – D.B. Geary, advokat,
– w imieniu Komisji Europejskiej – A. Bouchagiar, H. Kranenborg i C. Vang, w charakterze pełnomocników,
po zapoznaniu się z opinią rzecznika generalnego na posiedzeniu w dniu 12 września 2024 r.,
wydaje następujący
Wyrok
1 Wniosek o wydanie orzeczenia w trybie prejudycjalnym dotyczy wykładni art. 83 ust. 4–6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz.U. 2016, L 119, s. 1, zwanego dalej „RODO”).
2 Wniosek ten został złożony w ramach postępowania karnego wszczętego przez Anklagemyndigheden (prokuraturę, Dania) przeciwko spółce ILVA A/S w związku z zarzucanymi naruszeniami obowiązków ciążących na mocy RODO na tej spółce jako na administratorze danych osobowych dotyczących byłych klientów.
Ramy prawne
Prawo Unii
3 Motywy 150 i 151 RODO mają następujące brzmienie:
„(150) W celu wzmocnienia i zharmonizowania sankcji administracyjnych za naruszenie niniejszego rozporządzenia każdy organ nadzorczy powinien być uprawniony do nakładania administracyjnych kar pieniężnych
W niniejszym rozporządzeniu należy wymienić rodzaje naruszeń oraz wskazać górną granicę i kryteria ustalania związanych z nimi administracyjnych kar pieniężnych, które właściwy organ nadzorczy powinien określać indywidualnie dla każdego przypadku z uwzględnieniem wszystkich stosownych okoliczności danej sytuacji, z należytym uwzględnieniem w szczególności charakteru, wagi, czasu trwania naruszenia i jego konsekwencji, a także środków podjętych w celu zastosowania się do obowiązków wynikających z niniejszego rozporządzenia oraz w celu zapobieżenia konsekwencjom naruszenia lub w celu zminimalizowania tych konsekwencji
Jeżeli administracyjna kara pieniężna jest nakładana na przedsiębiorstwo, to »przedsiębiorstwo« należy do tych celów rozumieć zgodnie z art. 101 i 102 TFUE
[…]
(151) Systemy prawne Danii i Estonii nie przewidują administracyjnych kar pieniężnych określonych w niniejszym rozporządzeniu
Przepisy o administracyjnych karach pieniężnych można stosować tak, że w Danii właściwy sąd krajowy będzie nakładać grzywnę jako sankcję karną, a w Estonii organ nadzorczy będzie nakładać grzywnę w ramach postępowania o wykroczenie, pod warunkiem że takie stosowanie przepisów w tych państwach członkowskich będzie mieć skutek równoważny administracyjnej karze pieniężnej nakładanej przez organ nadzorczy
Dlatego właściwy sąd krajowy powinien brać pod uwagę zalecenie organu nadzorczego, który postuluje nałożenie grzywny
Nakładane grzywny muszą być w każdym przypadku skuteczne, proporcjonalne i odstraszające”.
4 Artykuł 5 RODO ustanawia zasady dotyczące przetwarzania danych osobowych.
5 Artykuł 6 RODO określa warunki, w jakich przetwarzanie danych osobowych uznaje się za zgodne z prawem.
6 Artykuł 58 RODO, zatytułowany „Uprawnienia”, stanowi w ust. 2:
„Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:
[…]
i) zastosowanie, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy;
[…]”.
7 Artykuł 83 RODO, zatytułowany „Ogólne warunki nakładania administracyjnych kar pieniężnych”, stanowi w ust. 1, 2, 4–6 i 9:
„1. Każdy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.
2. Administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)–h) oraz j)
Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na:
a) charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;
b) umyślny lub nieumyślny charakter naruszenia;
c) działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;
d) stopień odpowiedzialności administratora lub podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych wdrożonych przez nich na mocy art. 25 i 32;
e) wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego;
f) stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;
g) kategorie danych osobowych, których dotyczyło naruszenie;
h) sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności, czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;
i) jeżeli wobec administratora lub podmiotu przetwarzającego, których sprawa dotyczy, zostały wcześniej zastosowane w tej samej sprawie środki, o których mowa w art. 58 ust. 2 – przestrzeganie tych środków;
j) stosowanie zatwierdzonych kodeksów postępowania na mocy art. 40 lub zatwierdzonych mechanizmów certyfikacji na mocy art. 42; oraz
k) wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.
[…]
4. Naruszenia przepisów dotyczących następujących kwestii podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa:
[…].
5. Naruszenia przepisów dotyczących następujących kwestii podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa:
[…].
6. Nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 podlega na mocy ust. 2 niniejszego artykułu administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
[…]
9. Jeżeli ustrój prawny państwa członkowskiego nie przewiduje administracyjnych kar pieniężnych, niniejszy artykuł można stosować w ten sposób, że o zastosowanie kary pieniężnej wnosi właściwy organ nadzorczy, a nakłada ją właściwy sąd krajowy, o ile zapewniona zostaje skuteczność tych rozwiązań prawnych i równoważność ich skutku względem administracyjnej kary pieniężnej nakładanej przez organ nadzorczy
Nakładane grzywny mają być w każdym przypadku skuteczne, proporcjonalne i odstraszające
W terminie określonym w art. 91 ust. 2 takie państwa członkowskie zawiadamiają Komisję [Europejską] o przepisach swojego prawa, które przyjęły zgodnie z niniejszym ustępem do dnia 25 maja 2018 r., a następnie niezwłocznie o wszelkich późniejszych aktach zmieniających lub zmianach mających wpływ na te przepisy”.
Prawo duńskie
8 Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (ustawa nr 502 zawierająca przepisy uzupełniające [RODO]) z dnia 23 maja 2018 r
przewiduje w § 41, co następuje:
„1. O ile inne przepisy nie przewidują wyższej kary, karze grzywny lub karze pozbawienia wolności do sześciu miesięcy podlega każdy, kto narusza przepisy dotyczące:
[…]
4) podstawowych zasad przetwarzania, w tym warunków zgody, przewidzianych w art. 5–7 i 9 [RODO].
[…]
3. Przy nakładaniu kary zgodnie z ust. 1 i 2 zastosowanie ma art. 83 ust. 2 [RODO].
[…]
6. Odpowiedzialność karna spółki i in
(osoby prawnej) może zostać stwierdzona na podstawie rozdziału 5 [straffeloven (kodeksu karnego)]
[…]”.
Postępowanie główne i pytania prejudycjalne
9 Spółka ILVA prowadzi sieć sklepów meblowych i jest częścią grupy Lars Larsen Group
Całkowity obrót grupy za rok obrotowy 2016/2017 wyniósł 6,57 mld DKK (koron duńskich, około 881 mln EUR), zaś obrót spółki ILVA wyniósł prawie 1,8 mld DKK (około 241 mln EUR) za ten sam rok obrotowy.
10 Przeciwko spółce ILVA toczy się postępowanie przed sądami duńskimi o naruszenie w okresie od maja 2018 r
do stycznia 2019 r
obowiązków ciążących na niej na mocy RODO jako na administratorze danych osobowych w związku z przechowywaniem danych co najmniej 350 000 byłych klientów.
11 Działając na podstawie zalecenia Datatilsynet (organu ochrony danych, Dania), prokuratura uznała za konieczne nałożenie na spółkę ILVA grzywny w wysokości 1,5 mln DKK (około 201 000 EUR)
Obliczenie tej kwoty opierało się nie tylko na obrocie spółki ILVA, ale również na całkowitym obrocie grupy Lars Larsen Group.
12 Wyrokiem z dnia 12 lutego 2021 r
retten i Aarhus (sąd rejonowy w Aarhus, Dania) uznał ILVA za winną zarzucanych jej czynów i nałożył na nią grzywnę w wysokości 100 000 DKK (około 13 400 EUR)
Sąd ten uznał, że działanie spółki ILVA miało charakter niedbalstwa, wbrew twierdzeniom prokuratury
Uznał on ponadto, że ponieważ postępowanie toczy się wyłącznie przeciwko spółce ILVA, przy ustalaniu kwoty grzywny nie należy uwzględniać obrotów grupy Lars Larsen Group
Ponadto wskazał on, że spółka ILVA prowadzi niezależną działalność w zakresie sprzedaży detalicznej i że nie została utworzona przez spółkę dominującą tej grupy wyłącznie w celu zapewnienia przetwarzania danych grupy.
13 Od tego wyroku prokurator wniósł środek odwoławczy do Vestre Landsret (sądu apelacyjnego regionu zachodniego, Dania), będącego sądem odsyłającym
Prokuratura utrzymuje, że termin „przedsiębiorstwo” występujący w art. 83 ust. 4–6 RODO należy rozumieć w ten sposób, że aby ustalić wysokość kary pieniężnej w przypadku naruszenia RODO przez spółkę, konieczne jest uwzględnienie obrotu grupy, której częścią jest ta spółka
Jej zdaniem z motywu 150 RODO wynika bowiem, że termin ten należy rozumieć zgodnie z art. 101 i 102 TFUE.
14 Natomiast spółka ILVA uważa, że przy ustalaniu kary pieniężnej za naruszenie RODO przez spółkę nie należy brać pod uwagę całkowitego obrotu grupy, której częścią jest ta spółka
W niniejszym przypadku wszczęto postępowanie przeciwko spółce ILVA, nie zaś również przeciwko jej spółce dominującej.
15 Sąd odsyłający uważa, że z RODO nie wynika jasno odpowiedź na to pytanie.
16 W tych okolicznościach Vestre Landsret (sąd apelacyjny regionu zachodniego) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi:
„1) Czy termin »przedsiębiorstwo«, który został użyty w art. 83 ust. 4–6 [RODO], należy traktować jako odnoszący się do przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE w związku z motywem 150 tego rozporządzenia oraz orzecznictwa Trybunału dotyczącego prawa konkurencji Unii, tak że termin »przedsiębiorstwo« obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od jego statusu prawnego i sposobu jego finansowania?
2) Na wypadek udzielenia odpowiedzi twierdzącej na pytanie pierwsze: czy art. 83 ust. 4–6 [RODO] należy interpretować w ten sposób, że przy nakładaniu grzywny na przedsiębiorstwo pod uwagę należy brać całkowity roczny światowy obrót jednostki gospodarczej, do której należy to przedsiębiorstwo, czy też jedynie całkowity roczny światowy obrót samego tego przedsiębiorstwa?”.
W przedmiocie pytań prejudycjalnych
17 Poprzez swoje pytania, które należy rozpatrzyć łącznie, sąd odsyłający dąży w istocie do ustalenia, czy art. 83 ust. 4–6 RODO w związku z motywem 150 tego rozporządzenia należy interpretować w ten sposób, że termin „przedsiębiorstwo” zawarty w tych przepisach odpowiada pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE, w związku z czym w przypadku nałożenia kary pieniężnej za naruszenie RODO na administratora danych osobowych, który jest przedsiębiorstwem lub jego częścią, kwota kary pieniężnej zostaje określona na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego przedsiębiorstwa, w rozumieniu tych art. 101 i 102.
18 Na wstępie należy zauważyć, że Trybunał miał już okazję udzielić odpowiedzi na niektóre pytania dotyczące wykładni art. 83 RODO w wyroku z dnia 5 grudnia 2023 r., Deutsche Wohnen (C‑807/21, EU:C:2023:950, pkt 53–59), wydanym po zamknięciu pisemnego etapu postępowania w niniejszej sprawie.
19 Trybunał orzekł, że pojęcie „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE nie ma wpływu na kwestię, czy i na jakich warunkach administracyjna kara pieniężna może zostać nałożona na podstawie art. 83 RODO na administratora będącego osobą prawną, ponieważ kwestia ta jest w sposób wyczerpujący uregulowana w art. 58 ust. 2 i art. 83 ust. 1–6 tego rozporządzenia (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 53).
20 Pojęcie to ma bowiem znaczenie wyłącznie dla ustalenia kwoty administracyjnej kary pieniężnej nałożonej na administratora danych na podstawie art. 83 ust. 4–6 RODO (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 54).
21 To właśnie w tym szczególnym kontekście obliczania administracyjnych kar pieniężnych nakładanych za naruszenia, o których mowa w art. 83 ust. 4–6 RODO, należy rozumieć zawarte w motywie 150 tego rozporządzenia odesłanie do pojęcia „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 55).
22 W tym względzie należy podkreślić, że do celów stosowania reguł konkurencji, o których mowa w art. 101 i 102 TFUE, pojęcie to obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od jego formy prawnej i sposobu finansowania
Oznacza ono jednostkę gospodarczą, nawet jeśli z prawnego punktu widzenia jednostka ta składa się z kilku osób fizycznych lub prawnych
Taka jednostka gospodarcza polega na jednolitej organizacji elementów osobowych, materialnych i niematerialnych, realizującej w sposób trwały określony cel gospodarczy (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 56 i przytoczone tam orzecznictwo).
23 Z art. 83 ust. 4–6 RODO, który dotyczy obliczania administracyjnych kar pieniężnych za naruszenia wymienione w tych ustępach, wynika zatem, że w przypadku gdy adresat administracyjnej kary pieniężnej jest przedsiębiorstwem lub jego częścią w rozumieniu art. 101 i 102 TFUE, maksymalną kwotę administracyjnej kary pieniężnej oblicza się na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego (wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 57).
24 Określenie tej maksymalnej kwoty należy jednak odróżnić od samego obliczenia kwoty kary pieniężnej nakładanej przez właściwy organ nadzorczy za konkretne naruszenie lub naruszenia RODO, za które ta kara pieniężna zostaje nałożona.
25 I tak na mocy art. 83 ust. 1 RODO każdy organ nadzorczy zapewnia, by stosowane na mocy tego art. 83 za naruszenia RODO administracyjne kary pieniężne, o których mowa w ust. 4–6 tego rozporządzenia, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające.
26 Oprócz spełnienia tych trzech warunków art. 83 ust. 2 wymaga, aby właściwy organ nadzorczy, który zdecyduje, czy należy nałożyć administracyjną karę pieniężną i ustala jej kwotę, w każdym przypadku należycie uwzględnił szereg czynników.
27 Zgodnie z tym ostatnim przepisem elementy te obejmują w szczególności charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, których dane dotyczą, rozmiar poniesionej przez nie szkody, umyślny lub nieumyślny charakter naruszenia, działania podjęte przez administratora danych osobowych lub podmiot przetwarzający te dane w celu złagodzenia poniesionej szkody, stopień odpowiedzialności tego administratora lub tego podmiotu przetwarzającego oraz kategorie danych osobowych, których dotyczyło naruszenie.
28 Wspomniane elementy charakteryzują albo zachowanie wspomnianego administratora lub wspomnianego podmiotu przetwarzającego, oskarżonego o naruszenie niektórych przepisów RODO, albo same te naruszenia
Służą one zatem zapewnieniu, że każde z tych naruszeń będzie oceniane na podstawie wszystkich istotnych okoliczności indywidualnych oraz że zostaną osiągnięte cele systemu kar przewidzianego w RODO.
29 Chociaż elementy te nie odnoszą się do pojęcia przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE, to Trybunał orzekł już, że jedynie kara pieniężna, która uwzględnia nie tylko ogół elementów charakteryzujących w ten sposób stwierdzone naruszenia RODO, lecz również, w stosownych przypadkach, rzeczywistą lub materialną zdolność ekonomiczną jej adresata, może spełniać trzy warunki określone w art. 83 ust. 1 RODO, a mianowicie być zarazem skuteczna, proporcjonalna i odstraszająca
Przy ocenie tych warunków należy zaś wziąć pod uwagę, czy adresat ten stanowi część przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE (zob
podobnie wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 58)
30 Wykładnia art. 83 RODO, która wynika z pkt 25–29 niniejszego wyroku, ma również zastosowanie, gdy stwierdzone naruszenia RODO karane są nie administracyjną karą pieniężną, lecz grzywną nałożoną przez właściwe sądy krajowe jako sankcja karna.
31 Jak wskazano w motywie 151 RODO, niektóre krajowe systemy prawne, w tym system Królestwa Danii, nie przewidują administracyjnych kar pieniężnych określonych w RODO.
32 Aby uregulować tę sytuację, art. 83 ust. 9 RODO stanowi, że jeżeli ustrój prawny państwa członkowskiego nie przewiduje administracyjnych kar pieniężnych, ów art. 83 można stosować w ten sposób, że – jak w niniejszym przypadku – o zastosowanie kary pieniężnej wnosi właściwy organ nadzorczy, a nakłada ją właściwy sąd krajowy.
33 Ponadto we wspomnianym art. 83 ust. 9, podobnie jak w motywie 151 tego rozporządzenia wyjaśniono, że konieczne jest, aby przedmiotowe rozwiązania prawne były skuteczne i miały skutek równoważny względem administracyjnej kary pieniężnej nakładanej przez organ nadzorczy oraz aby nakładane kary były w każdym przypadku skuteczne, proporcjonalne i odstraszające.
34 Niemniej jednak okoliczność, że grzywna jest nakładana przez sąd karny w postępowaniu karnym, oznacza, że sąd ów powinien w każdej chwili przestrzegać przepisów mających zastosowanie w sprawach karnych, w tym w szczególności praw procesowych przysługujących oskarżonemu oraz zasady proporcjonalności kary, zagwarantowanych w Karcie praw podstawowych Unii Europejskiej.
35 W tym względzie, jak stwierdziła rzecznik generalna w pkt 74 opinii, art. 83 RODO wymaga, aby właściwe organy nadzorcze musiały, bez wyjątku, zapewnić przestrzeganie zasady proporcjonalności przy obliczaniu rzeczywistej kwoty nałożonej grzywny, dążąc do osiągnięcia właściwej równowagi między wymogami ogólnego interesu społecznego w zakresie ochrony danych osobowych a wymogami ochrony praw podstawowych administratora takich danych, podmiotu przetwarzającego lub przedsiębiorstwa, do którego oni należą
Jak z tego wynika, stosowanie pojęcia „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE w ramach wprowadzania w życie art. 83 ust. 4–6 RODO nie wydaje się napotykać zasadniczych przeszkód w sytuacji, gdy naruszenia RODO są karane nie administracyjnymi karami pieniężnymi, lecz grzywnami nakładanymi przez sądy karne.
36 W świetle powyższych rozważań odpowiedź na zadane pytania powinna brzmieć: art. 83 ust. 4–6 RODO w związku z motywem 150 tego rozporządzenia należy interpretować w ten sposób, że termin „przedsiębiorstwo” zawarty w tych przepisach odpowiada pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE, w związku z czym w przypadku nałożenia kary pieniężnej za naruszenie RODO na administratora danych osobowych, który jest przedsiębiorstwem lub jego częścią, maksymalna kwota kary pieniężnej zostaje określona na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego tego przedsiębiorstwa
Pojęcie „przedsiębiorstwa” należy również uwzględnić w celu dokonania oceny rzeczywistych lub materialnych możliwości ekonomicznych adresata kary pieniężnej i sprawdzenia w ten sposób, czy kara pieniężna jest zarazem skuteczna, proporcjonalna i odstraszająca.
W przedmiocie kosztów
37 Dla stron w postępowaniu głównym niniejsze postępowanie ma charakter incydentalny, dotyczy bowiem kwestii podniesionej przed sądem odsyłającym, do niego zatem należy rozstrzygnięcie o kosztach
Koszty poniesione w związku z przedstawieniem uwag Trybunałowi, inne niż koszty stron w postępowaniu głównym, nie podlegają zwrotowi.
Z powyższych względów Trybunał (piąta izba) orzeka, co następuje:
Artykuł 83 ust. 4–6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), w świetle motywu 150 tego rozporządzenia,
należy interpretować w ten sposób, że:
termin „przedsiębiorstwo” zawarty w tych przepisach odpowiada pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE, w związku z czym w przypadku nałożenia kary pieniężnej za naruszenie rozporządzenia 2016/679 na administratora danych osobowych, który jest przedsiębiorstwem lub jego częścią, maksymalna kwota kary pieniężnej zostaje określona na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego tego przedsiębiorstwa
Pojęcie „przedsiębiorstwa” należy również uwzględnić w celu dokonania oceny rzeczywistych lub materialnych możliwości ekonomicznych adresata kary pieniężnej i sprawdzenia w ten sposób, czy kara pieniężna jest zarazem skuteczna, proporcjonalna i odstraszająca.
Podpisy
* Język postępowania: duński.