PRESUDA SUDA (veliko vijeće)
5. prosinca 2023.(*)
„Zahtjev za prethodnu odluku – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 4. točka 7. – Pojam ‚voditelj obrade’ – Članak 58. stavak 2. – Ovlasti nadzornih tijela za izricanje korektivnih mjera – Članak 83. – Izricanje upravnih novčanih kazni pravnoj osobi – Uvjeti – Manevarski prostor država članica – Zahtjev namjernog kršenja ili kršenja iz nepažnje”
U predmetu C‑807/21,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Kammergericht Berlin (Visoki zemaljski sud u Berlinu, Njemačka), odlukom od 6. prosinca 2021., koju je Sud zaprimio 21. prosinca 2021., u postupku
Deutsche Wohnen SE
protiv
Staatsanwaltschaft Berlin,
SUD (veliko vijeće),
u sastavu: K. Lenaerts, predsjednik, L. Bay Larsen, potpredsjednik, A. Arabadjiev, C. Lycourgos, E. Regan, T. von Danwitz, Z. Csehi, O. Spineanu–Matei, predsjednici vijeća, M. Ilešič, J.-C. Bonichot, L. S. Rossi, A. Kumin, N. Jääskinen (izvjestitelj), N. Wahl i M. Gavalec, suci,
nezavisni odvjetnik: M. Campos Sánchez‑Bordona,
tajnik: D. Dittert, načelnik odjela,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 17. siječnja 2023.,
uzimajući u obzir očitovanja koja su podnijeli:
– za Deutsche Wohnen SE, O. Geiss, K. Mertens, N. Venn i T. Wybitul, Rechtsanwälte,
– za njemačku vladu, J. Möller i P.-L. Krüger, u svojstvu agenata,
– za estonsku vladu, M. Kriisa, u svojstvu agenta,
– za nizozemsku vladu, C. S. Schillemans, u svojstvu agenta,
– za norvešku vladu, L.-M. Moen Jünge, M. Munthe‑Kaas i T. Westhagen Edell, u svojstvu agenata,
– za Europski parlament, G. C. Bartram i P. López‑Carceller, u svojstvu agenata,
– za Vijeće Europske unije, J. Bauerschmidt i K. Pleśniak, u svojstvu agenata,
– za Europsku komisiju, A. Bouchagiar, F. Erlbacher, H. Kranenborg i G. Meessen, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 27. travnja 2023.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 83. stavaka 4. do 6. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između društva Deutsche Wohnen SE (u daljnjem tekstu: DW) i Staatsanwaltschafta Berlin (Državno odvjetništvo u Berlinu, Njemačka) u vezi s upravnom novčanom kaznom izrečenom DW‑u na temelju članka 83. OUZP‑a zbog kršenja članka 5. stavka 1. točaka (a), (c) i (e), članka 6. i članka 25. stavka 1. te uredbe.
Pravni okvir
Pravo Unije
3 U uvodnim izjavama 9., 10., 11., 13., 74., 129. i 150. OUZP‑a navodi se:
„(9) […] Razlike u razini zaštite prava i sloboda pojedinaca, a posebno prava na zaštitu osobnih podataka, koje pružaju države članice u vezi s obradom osobnih podataka mogu spriječiti slobodni protok osobnih podataka u [Europskoj] [u]niji. Te razlike stoga mogu predstavljati prepreku obavljanju gospodarskih djelatnosti na razini Unije, narušiti tržišno natjecanje te spriječiti nadležna tijela u ispunjenju njihovih odgovornosti na temelju prava Unije. […]
(10) Kako bi se osigurala postojana i visoka razina zaštite pojedinaca te uklonile prepreke protoku osobnih podataka unutar Unije, razina zaštite prava i sloboda pojedinaca u vezi s obradom takvih podataka trebala bi biti jednaka u svim državama članicama. U čitavoj Uniji trebalo bi osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka. U pogledu obrade osobnih podataka za usklađivanje s pravnom obvezom, za izvršavanje zadaće od javnog interesa ili pri obavljanju službene ovlasti dodijeljene voditelju obrade državama članicama trebalo bi dopustiti da zadrže ili uvedu nacionalne odredbe kako bi se dodatno odredila primjena pravila iz ove Uredbe. […] Ovom Uredbom također se državama članicama pruža prostor za djelovanje kako bi bolje odredile njezina pravila uključujući obradu posebnih kategorija osobnih podataka […]. U tom smislu ovom se Uredbom ne isključuje pravo države članice kojim se utvrđuju okolnosti posebnih situacija obrade, što uključuje preciznije određivanje uvjeta pod kojima je obrada osobnih podataka zakonita.
(11) Djelotvorna zaštita osobnih podataka širom Unije zahtijeva jačanje i detaljno određivanje prava ispitanika i obveza onih koji obrađuju i određuju obradu osobnih podataka, kao i jednake ovlasti praćenja i osiguravanja poštovanja pravila za zaštitu osobnih podataka i jednake sankcije za kršenja u državama članicama.
[…]
(13) Kako bi se osigurala dosljedna razina zaštite pojedinaca širom Unije i spriječila razilaženja koja ometaju slobodno kretanje osobnih podataka na unutarnjem tržištu, potrebna je Uredba radi pružanja pravne sigurnosti i transparentnosti gospodarskim subjektima, uključujući mikropoduzeća, mala i srednja poduzeća, te pružanja pojedincima u svim državama članicama iste razine pravno primjenjivih prava i obveza te odgovornosti za voditelje obrade i izvršitelje obrade kako bi se osiguralo postojano praćenje obrade osobnih podataka i jednake sankcije u svim državama članicama, kao i djelotvorna suradnja između nadzornih tijela različitih država članica. […]
[…]
(74) Trebalo bi uspostaviti dužnosti i odgovornosti voditelja obrade za svaku obradu osobnih podataka koju provede s[â]m voditelj obrade ili netko drugi u ime voditelja obrade. Osobito, voditelj obrade trebao bi imati obvezu provođenja odgovarajućih i djelotvornih mjera te biti u mogućnosti dokazati usklađenost aktivnosti obrade s ovom Uredbom uključujući i djelotvornost mjera. Tim bi mjerama u obzir trebalo uzeti prirodu, opseg, kontekst i svrhe obrade te rizik za prava i slobode pojedinaca.
[…]
(129) Kako bi se osiguralo dosljedno praćenje i provedba ove Uredbe u cijeloj Uniji, nadzorna tijela trebala bi u svakoj državi članici imati iste zadaće i stvarne ovlasti, među ostalim ovlasti za vođenje istrage, korektivne ovlasti i sankcije […] Konkretno, svaka bi mjera trebala biti primjerena, nužna i proporcionalna s ciljem osiguranja sukladnosti s ovom Uredbom, uzimajući u obzir okolnosti svakog pojedinačnog slučaja, poštovanje prava svake osobe da se sasluša prije poduzimanja bilo koje pojedinačne mjere koja bi štetno utjecala na nju te izbjegavanje suvišnih troškova i prekomjernih neugodnosti za dotične osobe. Ovlasti za vođenje istrage u pogledu pristupa objektima trebale bi se izvršavati u skladu s posebnim zahtjevima postupovnog prava države članice, poput zahtjeva za dobivanje prethodnog sudskog ovlaštenja. Svaka pravno obvezujuća mjera nadzornog tijela trebala bi biti u pisanom obliku, biti jasna i jednoznačna, navoditi nadzorno tijelo koje je izdalo mjeru, datum izdavanja mjere, sadržavati potpis predsjednika ili člana nadzornog tijela kojeg je on ovlastio, navoditi razloge za tu mjeru i upućivati na pravo na učinkoviti pravni lijek. Time se ne bi trebali isključiti dodatni zahtjevi na temelju postupovnog prava države članice. […]
[…]
(150) Kako bi se ojačale i uskladile upravne sankcije za kršenje ove Uredbe, svako nadzorno tijelo trebalo bi imati ovlasti izricati upravne novčane kazne. U ovoj Uredbi trebalo bi navesti kršenja te gornju granicu i kriterije za određivanje povezanih upravnih novčanih kazni, što bi za svaki pojedinačni slučaj trebalo odrediti nadležno nadzorno tijelo, uzimajući u obzir sve bitne okolnosti posebne situacije, vodeći računa osobito o prirodi, težini i trajanju kršenja i njegovim posljedicama te mjerama poduzetim da bi se osiguralo poštovanje obveza iz ove Uredbe te spriječile ili ublažile posljedice kršenja. Kada se upravne kazne izriču poduzetniku, poduzetnik bi se u te svrhe trebao shvatiti kao poduzetnik u skladu s člancima 101. i 102. UFEU‑a. […]”
4 U skladu s člankom 4. te uredbe:
„Za potrebe ove Uredbe:
[…]
7. ‚voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;
8. ‚izvršitelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje obrađuje osobne podatke u ime voditelja obrade;
[…]
18. ‚poduzeće’ znači fizička ili pravna osoba koja se bavi gospodarskom djelatnošću, bez obzira na pravni oblik te djelatnosti, uključujući partnerstva ili udruženja koja se redovno bave gospodarskom djelatnošću;
[…]”
5 Članak 58. navedene uredbe, naslovljen „Ovlasti”, u stavcima 2. i 4. predviđa:
„2. Svako nadzorno tijelo ima sve sljedeće korektivne ovlasti:
(a) izdavati upozorenja voditelju obrade ili izvršitelju obrade da bi namjeravani postupci obrade lako mogli prouzročiti kršenje odredaba ove Uredbe;
(b) izdavati službene opomene voditelju obrade ili izvršitelju obrade ako se postupcima obrade krše odredbe ove Uredbe;
[…]
(d) narediti voditelju obrade ili izvršitelju obrade da postupke obrade uskladi s odredbama ove Uredbe, prema potrebi na točno određen način i u točno zadanom roku;
[…]
(f) privremeno ili konačno ograničiti, među ostalim zabraniti, obradu;
[…]
(i) izreći upravnu novčanu kaznu u skladu s člankom 83. uz mjere, ili umjesto mjera koje se navode u ovom stavku, ovisno o okolnostima svakog pojedinog slučaja;
[…]
4. Izvršavanje ovlasti dodijeljenih nadzornom tijelu u skladu s ovim člankom podliježe odgovarajućim zaštitnim mjerama, među ostalim učinkovitom sudskom pravnom lijeku i odgovarajućem postupku, utvrđenim u pravu Unije i pravu države članice u skladu s [Poveljom Europske unije o temeljnim pravima].”
6 Članak 83. te uredbe, naslovljen „Opći uvjeti za izricanje upravnih novčanih kazni”, glasi:
„1. Svako nadzorno tijelo osigurava da je izricanje upravnih novčanih kazni u skladu s ovim člankom u pogledu kršenja ove Uredbe iz stavaka 4., 5. i 6. u svakom pojedinačnom slučaju učinkovito, proporcionalno i odvraćajuće.
2. Upravne novčane kazne izriču se uz mjere ili umjesto mjera iz članka 58. stavka 2. točaka od (a) do (h) i članka 58. stavka 2. točke (j), ovisno o okolnostima svakog pojedinog slučaja. Pri odlučivanju o izricanju upravne novčane kazne i odlučivanju o iznosu te upravne novčane kazne u svakom pojedinom slučaju dužna se pozornost posvećuje sljedećem:
(a) prirodi, težini i trajanju kršenja, uzimajući u obzir narav, opseg i svrhu obrade o kojoj je riječ kao i broj ispitanika i razinu štete koju su pretrpjeli;
(b) ima li kršenje obilježje namjere ili nepažnje;
(c) svakoj radnji koju je voditelj obrade ili izvršitelj obrade poduzeo kako bi ublažio štetu koju su pretrpjeli ispitanici;
(d) stupnju odgovornosti voditelja obrade ili izvršitelja obrade uzimajući u obzir tehničke i organizacijske mjere koje su primijenili u skladu s člancima 25. i 32.;
(e) svim relevantnim prijašnjim kršenjima voditelja obrade ili izvršitelja obrade;
(f) stupnju suradnje s nadzornim tijelom kako bi se otklonilo kršenje i ublažili mogući štetni učinci tog kršenja;
(g) kategorijama osobnih podataka na koje kršenje utječe;
(h) načinu na koji je nadzorno tijelo doznalo za kršenje, osobito je li i u kojoj mjeri voditelj obrade ili izvršitelj obrade izvijestio o kršenju;
(i) ako su protiv dotičnog voditelja obrade ili izvršitelja obrade u vezi s istim predmetom prethodno izrečene mjere iz članka 58. stavka 2., poštovanju tih mjera;
(j) poštovanju odobrenih kodeksa ponašanja u skladu s člankom 40. ili odobrenih mehanizama certificiranja u skladu s člankom 42.; i
(k) svim ostalim otegotnim ili olakotnim čimbenicima koji su primjenjivi na okolnosti slučaja, kao što su financijska dobit ostvarena kršenjem ili gubici izbjegnuti, izravno ili neizravno, tim kršenjem.
3. Ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe, ukupan iznos [upravne] novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje.
4. Za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu se izreći upravne novčane kazne u iznosu do 10 000 000 [eura], ili u slučaju poduzetnika do 2 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:
(a) obveza voditelja obrade i izvršitelja obrade u skladu s člancima 8., 11., od 25. do 39., te 42. i 43.;
[…]
5. Za kršenja sljedećih odredaba, u skladu sa stavkom 2., mogu se izreći upravne novčane kazne u iznosu do 20 000 000 [eura], ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće:
(a) osnovnih načela za obradu, što uključuje uvjete privole u skladu s člancima 5., 6., 7. i 9.;
(b) prava ispitanika u skladu s člancima od 12. do 22.;
[…]
(d) svih obveza u skladu s pravom države članice donesenim na temelju poglavlja IX.;
(e) nepoštovanja naredbe ili privremenog ili trajnog ograničenj[a] obrade ili suspenzije protoka podataka nadzornog tijela u skladu s člankom 58. stavkom 2. ili uskraćivanje pristupa kršenjem članka 58. stavka 1.
6. Za nepoštovanje naredbe nadzornog tijela iz članka 58. stavka 2. u skladu sa stavkom 2. ovog članka mogu se izreći upravne novčane kazne u iznosu do 20 000 000 [eura], ili u slučaju poduzetnika do 4 % ukupnog godišnjeg prometa na svjetskoj razini za prethodnu financijsku godinu, ovisno o tome što je veće.
7. Ne dovodeći u pitanje korektivne ovlasti nadzornih tijela iz članka 58. stavka 2. svaka država članica može utvrditi pravila mogu li se i u kojoj mjeri tijelima javne vlasti i javnim tijelima osnovanima u toj državi članici izreći upravne novčane kazne.
8. Na izvršavanje ovlasti nadzornog tijela u skladu s ovim člankom primjenjuju se odgovarajuće postupovne zaštitne mjere u skladu s pravom Unije i pravom države članice, uključujući učinkoviti sudski pravni lijek i pravilno postupanje.
[…]”
Njemačko pravo
7 Članak 41. stavak 1. prva rečenica Bundesdatenschutzgesetza (Savezni zakon o zaštiti podataka) od 30. lipnja 2017. (BGBl. 2017. I, str. 2097.), predviđa da se, osim ako je tim zakonom drukčije predviđeno, na kršenja iz članka 83. stavaka 4. do 6. OUZP‑a primjenjuju odredbe Gesetza über Ordnungswidrigkeiten (Zakon o upravnim prekršajima) od 24. svibnja 1968. (BGBl. 1968. I, str. 481.), u verziji prema Obavijesti od 19. veljače 1987. (BGBl. 1987. I, str. 602.), kako je prilagođen Zakonom od 19. lipnja 2020. (BGBl. 2020. I, str. 1350., u daljnjem tekstu: OWiG).
8 Članak 30. OWiG‑a, naslovljen „Novčane kazne koje se izriču protiv pravnih osoba i udruženja osoba”, određuje:
„(1) Ako je osoba koja djeluje
1. u svojstvu tijela ovlaštenog za zastupanje pravne osobe ili u svojstvu člana takvog tijela,
2. u svojstvu predsjednika udruženja koje nema pravnu sposobnost ili kao član njezina predsjedništva,
3. u svojstvu člana ovlaštenog za zastupanje društva osoba s pravnom sposobnošću,
4. u svojstvu generalnog opunomoćenika ili u obnašanju rukovodeće funkcije u svojstvu prokurista ili trgovačkog zastupnika pravne osobe ili udruženja osoba iz točke 2. ili 3. ili
5. u svojstvu druge osobe odgovorne za upravljanje poslovnom jedinicom ili poduzećem pravne osobe odnosno udruženja osoba iz točke 2. ili 3., što uključuje nadzor nad poslovanjem ili drugo izvršavanje kontrolnih ovlasti na rukovodećoj funkciji,
počinila kazneno djelo ili upravni prekršaj, tako da su povrijeđene obveze pravne osobe ili udruženja osoba ili da se ta pravna osoba ili udruženje osoba obogatilo ili se trebalo obogatiti, toj se pravnoj osobi ili udruženju osoba može izreći novčana kazna.
[…]
(4) Ako kazneno djelo ili upravni prekršaj ne dovede do pokretanja kaznenog ili upravnog prekršajnog postupka ili ako je takav postupak obustavljen ili se ne izrekne nikakva kazna, novčana kazna može se izreći samostalno. Zakonom se može predvidjeti i mogućnost samostalnog izricanja novčane kazne u drugim slučajevima. Međutim, nije dopušteno samostalno izricanje novčane kazne pravnoj osobi ili udruženju osoba ako se kazneno djelo ili upravni prekršaj ne može pravno sankcionirati […]”
9 Članak 130. OWiG‑a glasi:
„(1) Osoba koja kao vlasnik poslovne jedinice ili poduzeća namjerno ili nepažnjom ne poduzme nadzorne mjere koje su nužne kako bi se spriječilo to da u okviru poslovanja poslovne jedinice ili poduzeća dođe do kršenja obveza koje ima njegov vlasnik, za čije se kršenje izriče kazna ili novčana kazna, čini upravni prekršaj ako se navedeno kršenje obveza moglo spriječiti ili znatno izbjeći prikladnim nadzornim mjerama. Potrebne nadzorne mjere također uključuju imenovanje, pažljiv odabir i kontrolu osoba odgovornih za nadzor.
[…]
(3) Ako se za kršenje obveze može izreći kazna, za upravni prekršaj može se izreći novčana kazna u iznosu do najviše jednog milijuna eura. Primjenjuje se članak 30. stavak 2. treća rečenica. Ako se za kršenje obveze može izreći novčana kazna, najviši iznos novčane kazne koja se izriče zbog kršenja obveze nadzora određuje se na temelju najvišeg iznosa novčane kazne za to kršenje. […]”
Glavni postupak i prethodna pitanja
10 DW je društvo za poslovanje nekretninama, osnovano je u pravnom obliku europskog društva, kotira na burzi i ima sjedište u Berlinu (Njemačka). Preko udjela u raznim društvima neizravno raspolaže s oko 163 000 stambenih prostora i 3000 poslovnih prostora.
11 Vlasnici tih nekretnina društva su kćeri DW‑a („društva koja posjeduju imovinu”), koja vode operativno poslovanje, dok je DW zadužen za središnje upravljanje grupom koju čini, među ostalim, s njima. Društva koja posjeduju imovinu iznajmljuju stambene i daju u zakup poslovne prostore kojima upravljaju druga društva grupe, takozvana društva za pružanje usluga.
12 U okviru svojih poslovnih djelatnosti DW i društva grupe kojom upravlja obrađuju osobne podatke zakupoprimaca poslovnih i najmoprimaca stambenih prostora, kao što su, primjerice, dokazi o identitetu, porezni i socijalni podaci te podaci o zdravstvenom osiguranju tih zakupoprimaca i najmoprimaca kao i informacije o prethodnim ugovorima o zakupu i najmu.
13 U okviru provjere na licu mjesta Berliner Beauftragte für den Datenschutz (službenik za zaštitu podataka u Berlinu, Njemačka; u daljnjem tekstu: nadzorno tijelo) 23. lipnja 2017. skrenuo je pozornost DW‑u na okolnost da društva njegove grupe pohranjuju dokumente koji sadržavaju osobne podatke zakupoprimaca i najmoprimaca u elektroničkom sustavu arhiviranja u pogledu kojeg se ne može utvrditi je li pohrana bila nužna i osigurati da se izbrišu podaci koji više nisu nužni.
14 Nadzorno tijelo zatražilo je od DW‑a brisanje tih dokumenata iz njegova elektroničkog sustava arhiviranja najkasnije do kraja 2017. U odgovoru na taj zahtjev DW je tvrdio da brisanje nije moguće zbog tehničkih i pravnih razloga.
15 Nakon razmjene dopisa između DW‑a i nadzornog tijela o mogućnosti brisanja predmetnih dokumenata, DW je obavijestio to tijelo o svojoj namjeri da uspostavi novi sustav pohrane kojim bi se zamijenio sustav koji je sadržavao navedene dokumente.
16 Nadzorno tijelo provelo je 5. ožujka 2019. nadzor u sjedištu grupe kojom upravlja DW. Tijekom tog nadzora on je obavijestio to tijelo da je sporni elektronički sustav arhiviranja već stavljen izvan uporabe i da je migracija podataka u novi sustav pohrane u tijeku.
17 Odlukom od 30. listopada 2019. nadzorno tijelo izreklo je DW‑u upravnu novčanu kaznu u iznosu od 14 385 000 eura zbog namjernog kršenja članka 5. stavka 1. točaka (a), (c) i (e) te članka 25. stavka 1. OUZP‑a (u daljnjem tekstu: predmetna odluka). Tom je odlukom to tijelo DW‑u izreklo i 15 drugih novčanih kazni u iznosima od 3000 do 17 000 eura zbog kršenja članka 6. stavka 1. OUZP‑a.
18 U predmetnoj je odluci nadzorno tijelo konkretno smatralo da je DW u razdoblju od 25. svibnja 2018. do 5. ožujka 2019. namjerno propustio poduzeti potrebne mjere kako bi se omogućilo redovito brisanje osobnih podataka koji se odnose na zakupoprimce i najmoprimce koji više nisu bili nužni ili koji su zbog drugog razloga bili pogrešno pohranjeni. Također je istaknulo da je DW nastavio pohranjivati, a da to nije bilo nužno, osobne podatke najmanje 15 preciznije utvrđenih zakupoprimaca i najmoprimaca.
19 DW je protiv te odluke podnio tužbu Landgerichtu Berlin (Zemaljski sud u Berlinu, Njemačka). Taj je sud obustavio postupak smatrajući da predmetna odluka sadržava toliko ozbiljne nedostatke da nije mogla poslužiti kao osnova za izricanje novčane kazne.
20 Navedeni je sud, među ostalim, istaknuo da je izricanje novčane kazne pravnoj osobi iscrpno uređeno člankom 30. OWiG‑a, koji se, na temelju članka 41. stavka 1. Saveznog zakona o zaštiti podataka, primjenjuje na kršenja iz članka 83. stavaka 4. do 6. OUZP‑a. Međutim, u skladu s tim člankom 30. OWiG‑a, upravni prekršaj može se utvrditi samo protiv fizičke, a ne i pravne osobe. Usto, samo se akti članova tijela ili zastupnikâ pravne osobe mogu pripisati toj osobi. Iako stavak 4. navedenog članka 30. pod određenim uvjetima dopušta pokretanje samostalnog upravnog prekršajnog postupka protiv pravne osobe, to ne mijenja činjenicu da bi i u tom slučaju bilo potrebno da se upravni prekršaj može utvrditi protiv članova tijela ili zastupnikâ dotične pravne osobe.
21 Staatsanwaltschaft Berlin (Državno odvjetništvo u Berlinu) podnio je žalbu protiv te odluke Kammergerichtu Berlin (Visoki zemaljski sud u Berlinu, Njemačka), odnosno sudu koji je uputio zahtjev.
22 Sud koji je uputio zahtjev pita se, kao prvo, treba li se na temelju članka 83. OUZP‑a moći izreći upravna novčana kazna pravnoj osobi a da se kršenje te uredbe prethodno ne pripiše identificiranoj fizičkoj osobi. U tom kontekstu taj se sud osobito pita o relevantnosti pojma „poduzetnik” u smislu članaka 101. i 102. UFEU‑a.
23 U tom pogledu navedeni sud objašnjava da je, u skladu s nacionalnom sudskom praksom, sustav ograničene odgovornosti pravnih osoba koji postoji u nacionalnom pravu u suprotnosti sa sustavom izravne odgovornosti poduzetnikâ predviđenim člankom 83. OUZP‑a. U skladu s tom sudskom praksom, osobito iz teksta članka 83. OUZP‑a, koji, u skladu s načelom nadređenosti prava Unije, ima prednost pred nacionalnim sustavom, proizlazi da se upravne novčane kazne mogu izreći poduzetnicima. Stoga nije nužno povezati izricanje takvih novčanih kazni s protupravnim aktom tijelâ ili direktorâ pravnih osoba, suprotno onomu što se zahtijeva primjenjivim nacionalnim pravom.
24 Naime, prema mišljenju navedenog suda, ta sudska praksa kao i većina nacionalne pravne doktrine pridaje posebnu važnost pojmu „poduzetnik” u smislu članaka 101. i 102. UFEU‑a i stoga ideji da se odgovornost pripisuje gospodarskom subjektu u okviru kojeg se odvija nepoželjno ponašanje, primjerice protutržišne naravi. Prema tom „funkcionalnom” konceptu, sve radnje svih zaposlenika koji su ovlašteni djelovati u ime poduzetnika mogu se pripisati poduzetniku, također i u okviru upravnih postupaka.
25 Kao drugo, u slučaju da Sud smatra da se upravna novčana kazna mora moći izreći izravno pravnoj osobi, sud koji je uputio zahtjev pita se koje kriterije treba primijeniti kako bi se utvrdila odgovornost pravne osobe kao poduzetnika za kršenje OUZP‑a. On osobito želi doznati može li se na temelju članka 83. te uredbe pravnoj osobi izreći upravna novčana kazna a da pritom nije dokazano da je počinjeno skrivljeno kršenje navedene uredbe koje se pripisuje toj osobi.
26 U tim je okolnostima Kammergericht Berlin (Visoki zemaljski sud u Berlinu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li članak 83. stavke 4. do 6. OUZP‑a tumačiti na način da se njime u nacionalno pravo unose funkcionalni pojam poduzetnika, koji je povezan s člancima 101. i 102. UFEU‑a, i načelo odgovornosti poduzetnika kao funkcionalne gospodarske jedinice (‚Funktionsträgerprinzip’), što dovodi do toga da se proširenjem načela odgovornosti poduzetnika kao pravnog subjekta (‚Rechtsträgerprinzip’) na kojem se temelji članak 30. [OWiG‑a] postupak izricanja upravnih novčanih kazni može izravno voditi protiv poduzetnika i da za izricanje upravne novčane kazne nije potrebno utvrđenje upravnog prekršaja koji je, eventualno uz ostvarenje svih subjektivnih i objektivnih obilježja upravnog prekršaja, počinio pojedinac čiji je identitet utvrđen?
2. U slučaju potvrdnog odgovora na prvo pitanje: treba li članak 83. stavke 4. do 6. OUZP‑a tumačiti na način da je potrebno da postoji namjera ili nepažnja poduzetnika u pogledu kršenja koje je počinio njegov zaposlenik (vidjeti članak 23. Uredbe Vijeća (EZ) br. 1/2003 od 16. prosinca 2002. o provedbi pravila o tržišnom natjecanju koja su propisana člancima 81. i 82. Ugovora o EZ‑u (SL 2003., L 1, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 8., svezak 1., str. 165. i ispravak SL 2016., L 173, str. 108.)) ili je za izricanje upravne novčane kazne poduzetniku u načelu već dovoljno objektivno kršenje obveza koje mu se može pripisati (‚strict liability’)?”
Zahtjev za ponovno otvaranje usmenog dijela postupka
27 Nakon rasprave održane 17. siječnja 2023. DW je aktom podnesenim tajništvu Suda 23. ožujka 2023. zatražio da se odredi ponovno otvaranje usmenog dijela postupka, u skladu s člankom 83. Poslovnika Suda.
28 U prilog svojem zahtjevu DW u biti tvrdi da odgovori nacionalnog suda na zahtjev za pojašnjenje, koji mu je upućen na temelju članka 101. Poslovnika, pružaju Sudu netočne informacije o primjenjivim odredbama nacionalnog prava. Međutim, iscrpna rasprava o tom pitanju na raspravi održanoj 17. siječnja 2023. nije bila moguća jer su stranke saznale za te odgovore tek tri radna dana prije te rasprave. Naime, takav rok nije omogućio temeljitu pripremu rasprave.
29 Točno je da, u skladu s člankom 83. svojeg Poslovnika, Sud može u svakom trenutku, nakon što sasluša nezavisnog odvjetnika, odrediti ponovno otvaranje usmenog dijela postupka, osobito ako smatra da stvar nije dovoljno razjašnjena ili ako stranka po zatvaranju tog dijela postupka iznese novu činjenicu koja je takve prirode da ima odlučujući utjecaj na odluku Suda ili pak ako je u predmetu potrebno odlučiti na temelju argumenta o kojem se nije raspravljalo među zainteresiranim osobama.
30 Međutim, u ovom slučaju Sud raspolaže svim elementima potrebnima za donošenje odluke i o ovom predmetu ne treba odlučiti na temelju argumenata o kojima se nije raspravljalo među zainteresiranim osobama. Usto, zahtjev za ponovno otvaranje usmenog dijela postupka ne otkriva nikakvu novu činjenicu koja bi mogla imati odlučujući utjecaj na odluku koju Sud treba donijeti u tom predmetu.
31 U takvim okolnostima Sud, nakon što je saslušao nezavisnog odvjetnika, smatra da nije potrebno odrediti ponovno otvaranje usmenog dijela postupka.
O prethodnim pitanjima
Prvo pitanje
32 Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 58. stavak 2. i članak 83. stavke 1. do 6. OUZP‑a tumačiti na način da im se protivi nacionalni propis na temelju kojeg se pravnoj osobi u svojstvu voditelja obrade može izreći upravna novčana kazna za kršenje iz stavaka 4. do 6. tog članka 83. samo ako je to kršenje prethodno pripisano identificiranoj fizičkoj osobi.
33 Uvodno valja istaknuti da je njemačka vlada u svojim pisanim očitovanjima izrazila dvojbe u pogledu tog tumačenja nacionalnog prava koje je dao sud koji je uputio zahtjev jer se člankom 130. OWiG‑a omogućuje izricanje novčane kazne pravnoj osobi i izvan slučajeva iz članka 30. OWiG‑a. Osim toga, te dvije odredbe omogućuju izricanje takozvane „anonimne” novčane kazne u okviru postupka pokrenutog protiv poduzetnika, pri čemu nije potrebno identificirati fizičku osobu koja je počinila predmetno kršenje.
34 U odgovoru na zahtjev za pojašnjenje upućen sudu koji je uputio zahtjev, naveden u točki 28. ove presude, taj je sud naveo da članak 130. OWiG‑a ne utječe na prvo postavljeno pitanje.
35 Naime, prema mišljenju tog suda, ta se odredba odnosi na vlasnika poslovnog poduhvata ili poduzeća koji je morao skrivljeno povrijediti obvezu nadzora. Međutim, dokaz o takvom kršenju obveza pripisivih vlasniku poduzeća iznimno je složen i često ga je nemoguće pružiti, a pitanje može li se skupina poduzetnika kvalificirati kao „poduzetnik” ili „vlasnik poduzeća” u smislu navedene odredbe predmet je kontroverzne rasprave na nacionalnoj razini. U svakom slučaju, prvo prethodno pitanje također je relevantno u tom kontekstu.
36 Valja podsjetiti na to da je Sud, kad je riječ o tumačenju odredaba nacionalnog pravnog poretka, načelno dužan temeljiti se na pravnim ocjenama koje proizlaze iz odluke kojom se upućuje prethodno pitanje. Naime, u skladu s ustaljenom sudskom praksom, Sud nije nadležan za tumačenje unutarnjeg prava države članice (presuda od 26. siječnja 2021., Hessischer Rundfunk, C‑422/19 i C‑423/19, EU:C:2021:63, t. 31. i navedena sudska praksa).
37 Stoga na prvo prethodno pitanje valja odgovoriti polazeći od pretpostavke prema kojoj se na temelju primjenjivog nacionalnog prava pravnoj osobi kao voditelju obrade upravna novčana kazna za kršenje iz članka 83. stavaka 4. do 6. OUZP‑a može izreći samo pod uvjetima predviđenima člankom 30. OWiG‑a, kako ih je naveo sud koji je uputio zahtjev.
38 Kako bi se odgovorilo na to prvo pitanje, najprije valja istaknuti da se načela, zabrane i obveze predviđene OUZP‑om osobito odnose na „voditelje obrade”, čija se odgovornost proteže, kao što se to naglašava u uvodnoj izjavi 74. OUZP‑a, na svaku obradu osobnih podataka koju sami provode ili koja se provodi u njihovo ime i koji su zbog toga dužni ne samo provesti odgovarajuće i djelotvorne mjere nego i moći dokazati usklađenost svojih aktivnosti obrade s OUZP‑om, uključujući učinkovitost mjera donesenih radi osiguranja takve usklađenosti. U slučaju nekog od kršenja iz članka 83. stavaka 4. do 6. te uredbe, ta je odgovornost temelj za izricanje upravne novčane kazne voditelju obrade u skladu s tim člankom 83.
39 U članku 4. točki 7. OUZP‑a „voditelj obrade” široko je definiran kao fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka.
40 Cilj te široke definicije članka 4. točke 7. OUZP‑a – koja izričito uključuje pravne osobe – sastoji se, u skladu s ciljem OUZP‑a, od osiguravanja učinkovite zaštite temeljnih prava i sloboda fizičkih osoba te, među ostalim, visoke razine zaštite prava svake osobe na zaštitu osobnih podataka koji se na nju odnose (vidjeti u tom smislu presude od 29. srpnja 2019., Fashion ID, C‑40/17, EU:C:2019:629, t. 66. i od 28. travnja 2022., Meta Platforms Ireland, C‑319/20, EU:C:2022:322, t. 73. i navedenu sudsku praksu).
41 Osim toga, Sud je već presudio da se svaka fizička ili pravna osoba koja u vlastite svrhe utječe na obradu osobnih podataka i stoga sudjeluje u utvrđivanju svrha i sredstava te obrade može smatrati voditeljem obrade (vidjeti u tom smislu presudu od 10. srpnja 2018., Jehovan todistajat, C‑25/17, EU:C:2018:551, t. 68.).
42 Stoga iz teksta i svrhe članka 4. točke 7. OUZP‑a proizlazi da zakonodavac Unije u svrhu utvrđivanja odgovornosti na temelju te uredbe nije napravio razliku između fizičkih i pravnih osoba jer je ta odgovornost uvjetovana samo time da one same ili zajedno s drugima određuju svrhe i sredstva obrade osobnih podataka.
43 Prema tome, ne dovodeći u pitanje ono što se predviđa u članku 83. stavku 7. OUZP‑a u pogledu tijela javne vlasti i javnih tijela, svaka osoba koja ispunjava taj uvjet – neovisno o činjenici je li riječ o fizičkoj osobi, pravnoj osobi, tijelu javne vlasti, službi ili drugom tijelu – odgovorna je, među ostalim, za svako kršenje iz tog članka 83. stavaka 4. do 6. koje počini sama ili koje je počinjeno u njezino ime.
44 Što se tiče pravnih osoba, to podrazumijeva, s jedne strane, kao što je to u biti istaknuo nezavisni odvjetnik u točkama 57. do 59. svojeg mišljenja, da su one odgovorne za kršenja koja su počinili ne samo njihovi zastupnici, direktori ili rukovoditelji nego i sve druge osobe koje djeluju u okviru poslovne aktivnosti tih pravnih osoba i u njihovo ime. S druge strane, upravne novčane kazne predviđene člankom 83. OUZP‑a u slučaju takvih kršenja moraju se moći izravno izreći pravnim osobama ako se mogu smatrati voditeljima predmetne obrade.
45 Nadalje, valja istaknuti da se člankom 58. stavkom 2. OUZP‑a precizno utvrđuju ovlasti nadzornih tijela u području donošenja korektivnih mjera a da se pritom ne upućuje na pravo država članica niti ostavlja margina prosudbe tim državama. Doista, s jedne strane, te ovlasti, među kojima je na temelju stavka 2. točke (i) tog članka 58. ovlast izricanja upravne novčane kazne, odnose se na voditelja obrade i, s druge strane, taj voditelj obrade može, kao što to proizlazi iz točke 39. ove presude, biti kako fizička tako i pravna osoba. Materijalni uvjeti koje nadzorno tijelo mora poštovati prilikom izricanja takve novčane kazne navedeni su u stavcima 1. do 6. tog članka 83., na precizan način koji državama članicama ne ostavlja marginu prosudbe.
46 Stoga iz zajedničkog tumačenja članka 4. točke 7., članka 83. i članka 58. stavka 2. točke (i) OUZP‑a proizlazi da se upravna novčana kazna za kršenje iz tog članka 83. stavaka 4. do 6. može izreći i pravnim osobama ako imaju svojstvo voditelja obrade. Suprotno tomu, nijedna odredba OUZP‑a ne omogućuje zaključak da izricanje upravne novčane kazne pravnoj osobi kao voditelju obrade podliježe prethodnom utvrđenju da je to kršenje počinila identificirana fizička osoba.
47 Točno je da iz članka 58. stavka 4. i članka 83. stavka 8. OUZP‑a, u vezi s njegovom uvodnom izjavom 129., proizlazi da se na izvršavanje ovlasti nadzornog tijela u skladu s tim člancima primjenjuju odgovarajuće postupovne zaštitne mjere u skladu s pravom Unije i pravom države članice, uključujući učinkoviti pravni lijek i zakonski postupak.
48 Međutim, činjenica da se navedenom uredbom tako državama članicama daje mogućnost da predvide zahtjeve u pogledu postupka koji nadzorna tijela trebaju slijediti radi izricanja upravne novčane kazne nipošto ne znači da su također ovlaštene predvidjeti, osim takvih postupovnih zahtjeva, dodatne materijalne uvjete uz one određene u tom članku 83. stavcima 1. do 6. Usto, činjenica da se zakonodavac Unije pobrinuo da izričito predvidi tu mogućnost, ali ne i mogućnost predviđanja takvih dodatnih materijalnih uvjeta, potvrđuje da državama članicama nije ostavio marginu prosudbe u tom pogledu. Navedeni materijalni uvjeti stoga su obuhvaćeni isključivo pravom Unije.
49 Doslovno tumačenje članka 58. stavka 2. i članka 83. stavaka 1. do 6. OUZP‑a koje je prethodno navedeno potkrijepljeno je svrhom te uredbe.
50 Konkretno, iz uvodne izjave 10. OUZP‑a proizlazi da je cilj njegovih odredbi, među ostalim, osigurati dosljednu i visoku razinu zaštite pojedinaca u vezi s obradom osobnih podataka u Uniji i u tu svrhu osigurati dosljednu i homogenu primjenu pravila o zaštiti temeljnih prava i sloboda tih osoba u vezi s obradom takvih podataka u cijeloj Uniji. Osim toga, uvodne izjave 11. i 129. OUZP‑a naglašavaju nužnost da se osigura, kako bi se osigurala dosljedna primjena te uredbe, to da nadzorna tijela raspolažu jednakim ovlastima praćenja i nadzora nad poštovanjem pravila o zaštiti osobnih podataka i da mogu izreći jednake sankcije u slučaju kršenja navedene uredbe.
51 Međutim, dopustiti državama članicama da jednostrano i kao nužan uvjet za izricanje upravne novčane kazne u skladu s člankom 83. OUZP‑a voditelju obrade koji je pravna osoba zahtijevaju da se predmetno kršenje prethodno pripiše ili da se prethodno može pripisati identificiranoj fizičkoj osobi bilo bi protivno toj svrsi OUZP‑a. Usto, takav bi dodatni zahtjev u konačnici mogao oslabiti djelotvornost i odvraćajući učinak upravnih novčanih kazni izrečenih pravnim osobama kao voditeljima obrade, čime bi se povrijedio članak 83. stavak 1. OUZP‑a.
52 U tom pogledu valja podsjetiti na to da članak 288. drugi stavak UFEU‑a predviđa da je uredba Unije u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama, što isključuje, osim ako je drukčije predviđeno, da države članice donesu unutarnje odredbe koje utječu na doseg takve uredbe. Usto, države članice dužne su, na temelju obveza koje proizlaze iz UFEU‑a, ne ometati izravnu primjenjivost uredbi. Konkretno, ne mogu donijeti akt kojim su pojedincima prikriveni narav prava Unije u pogledu pravnog pravila i učinci koji iz njega proizlaze (presuda od 15. studenoga 2012., Al‑Aqsa/Vijeće i Nizozemska/Al‑Aqsa, C‑539/10 P i C‑550/10 P, EU:C:2012:711, t. 86. i 87. i navedena sudska praksa).
53 Naposljetku, s obzirom na pitanja suda koji je uputio zahtjev, valja istaknuti da pojam „poduzetnik” u smislu članaka 101. i 102. UFEU‑a ne utječe na pitanje može li se i pod kojim uvjetima voditelju obrade koji je pravna osoba izreći upravna novčana kazna u skladu s člankom 83. OUZP‑a jer je to pitanje iscrpno uređeno člankom 58. stavkom 2. i člankom 83. stavcima 1. do 6. te uredbe.
54 Naime, taj je pojam relevantan samo za određivanje iznosa upravne novčane kazne koja se izriče voditelju obrade na temelju članka 83. stavaka 4. do 6. OUZP‑a.
55 Kao što je to istaknuo nezavisni odvjetnik u točki 45. svojeg mišljenja, upravo u tom posebnom kontekstu izračuna upravnih novčanih kazni izrečenih za kršenja iz članka 83. stavaka 4. do 6. OUZP‑a valja shvatiti upućivanje u uvodnoj izjavi 150. te uredbe na pojam „poduzetnik” u smislu članaka 101. i 102. UFEU‑a.
56 U tom pogledu valja naglasiti da, u svrhu primjene pravila o tržišnom natjecanju iz članaka 101. i 102. UFEU‑a, taj pojam obuhvaća svaki subjekt koji se bavi gospodarskom djelatnošću, neovisno o pravnom statusu tog subjekta i načinu njegova financiranja. On tako označava gospodarsku jedinicu čak i ako se, s pravnog gledišta, ta gospodarska jedinica sastoji od nekoliko fizičkih ili pravnih osoba. Ta gospodarska jedinica sastoji se od jedinstvene organizacije osobnih, materijalnih i nematerijalnih elemenata kojom se trajno želi postići određeni gospodarski cilj (presuda od 6. listopada 2021., Sumal, C‑882/19, EU:C:2021:800, t. 41. i navedena sudska praksa).
57 Stoga iz članka 83. stavaka 4. do 6. OUZP‑a, koji se odnosi na izračun upravnih novčanih kazni za kršenja navedena u tim stavcima, proizlazi da se, u slučaju kada je adresat upravne novčane kazne poduzetnik ili dio poduzetnika u smislu članaka 101. i 102. UFEU‑a, najveći iznos upravne novčane kazne izračunava na temelju postotka ukupnog godišnjeg prometa na svjetskoj razini za prethodnu poslovnu godinu predmetnog poduzetnika.
58 U konačnici, kao što je to nezavisni odvjetnik istaknuo u točki 47. svojeg mišljenja, samo upravna novčana kazna čiji se iznos određuje prema stvarnoj ili materijalnoj ekonomskoj sposobnosti njezina adresata i koju stoga nadzorno tijelo izriče temeljeći svoju odluku u pogledu njezina iznosa na pojmu gospodarske jedinice u smislu sudske prakse navedene u točki 56. ove presude može ispuniti sva tri uvjeta navedena u članku 83. stavku 1. OUZP‑a, odnosno istodobno biti djelotvorna, proporcionalna i odvraćajuća.
59 Stoga, kada nadzorno tijelo odluči, na temelju ovlasti koje ima na temelju članka 58. stavka 2. OUZP‑a, izreći voditelju obrade, koji je poduzetnik ili dio poduzetnika u smislu članaka 101. i 102. UFEU‑a, upravnu novčanu kaznu u skladu s člankom 83. navedene uredbe, to je tijelo na temelju potonje odredbe, u vezi s uvodnom izjavom 150. te uredbe, prilikom izračuna upravnih novčanih kazni za kršenja iz stavaka 4. do 6. tog članka 83. dužno donijeti svoju odluku na temelju pojma „poduzetnik” u smislu tih članaka 101. i 102. UFEU‑a.
60 S obzirom na prethodno navedeno, na prvo pitanje valja odgovoriti tako da članak 58. stavak 2. točku (i) i članak 83. stavke 1. do 6. OUZP‑a treba tumačiti na način da im se protivi nacionalni propis na temelju kojeg se pravnoj osobi u svojstvu voditelja obrade može izreći upravna novčana kazna za kršenje iz stavaka 4. do 6. tog članka 83. samo ako je to kršenje prethodno pripisano identificiranoj fizičkoj osobi.
Drugo pitanje
61 Svojim drugim pitanjem, koje je postavljeno u slučaju potvrdnog odgovora na prvo pitanje, sud koji je uputio zahtjev u biti pita treba li članak 83. OUZP‑a tumačiti na način da se na temelju te odredbe može izreći upravna novčana kazna samo ako se dokaže da je voditelj obrade, koji je istodobno pravna osoba i poduzetnik, namjerno ili nepažnjom počinio kršenje iz stavaka 4. do 6. tog članka.
62 U tom pogledu valja podsjetiti na to da iz članka 83. stavka 1. OUZP‑a proizlazi da upravne novčane kazne moraju biti djelotvorne, proporcionalne i odvraćajuće. Suprotno tomu, člankom 83. OUZP‑a ne precizira se izričito da se kršenja iz stavaka 4. do 6. tog članka mogu sankcionirati takvom novčanom kaznom samo ako su počinjena namjerno ili barem nepažnjom.
63 Njemačka, estonska i norveška vlada te Vijeće Europske unije iz toga osobito zaključuju da je zakonodavac Unije namjeravao državama članicama ostaviti određenu marginu prosudbe u provedbi članka 83. OUZP‑a, omogućujući im da predvide izricanje upravnih novčanih kazni na temelju te odredbe, ovisno o slučaju, a da pritom nije utvrđeno da je kršenje OUZP‑a koje se sankcionira tom novčanom kaznom počinjeno namjerno ili nepažnjom.
64 Ne može se prihvatiti takvo tumačenje članka 83. OUZP‑a.
65 U tom pogledu, kao što je to utvrđeno u točkama 45. i 48. ove presude, materijalni uvjeti koje nadzorno tijelo mora poštovati kada izriče upravnu novčanu kaznu voditelju obrade obuhvaćeni su samo pravom Unije, s obzirom na to da su ti uvjeti precizno utvrđeni u članku 83. stavcima 1. do 6. OUZP‑a i ne ostavljaju državama članicama marginu prosudbe (vidjeti također presudu od 5. prosinca 2023., Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, t. 64. do 70.).
66 Što se tiče navedenih uvjeta, valja istaknuti da se u članku 83. stavku 2. OUZP‑a navode elementi na temelju kojih nadzorno tijelo voditelju obrade izriče upravnu novčanu kaznu. Među tim elementima u točki (b) te odredbe navodi se da u obzir treba uzeti „ima li kršenje obilježje namjere ili nepažnje”. Nasuprot tomu, nijedan od elemenata nabrojenih u navedenoj odredbi ne upućuje ni na kakvu mogućnost utvrđivanja odgovornosti voditelja obrade ako nije postojalo njegovo skrivljeno postupanje.
67 Usto, članak 83. stavak 2. OUZP‑a valja čitati u vezi s njegovim stavkom 3. čiji je cilj predvidjeti posljedice slučajeva kumuliranja kršenja te uredbe i u skladu s kojim „ako voditelj obrade ili izvršitelj obrade za istu ili povezane obrade namjerno ili iz nepažnje prekrši nekoliko odredaba ove Uredbe, ukupan iznos [upravne] novčane kazne ne smije biti veći od administrativnog iznosa utvrđenog za najteže kršenje”.
68 Stoga iz teksta članka 83. stavka 2. OUZP‑a proizlazi da se voditelju obrade može izreći upravna novčana kazna u skladu s tim člankom samo zbog kršenja odredbi te uredbe koja je on skrivio, odnosno onih koja su počinjena namjerno ili nepažnjom.
69 Opća struktura i svrha OUZP‑a potkrjepljuju to tumačenje.
70 S jedne strane, zakonodavac Unije predvidio je sustav sankcija koji nadzornim tijelima omogućuje izricanje najprikladnijih sankcija ovisno o okolnostima svakog slučaja.
71 Naime, člankom 58. OUZP‑a, kojim se utvrđuju ovlasti nadzornih tijela, u njegovu stavku 2. točki (i) predviđa se da ta tijela mogu izreći upravne novčane kazne u skladu s člankom 83. te uredbe „uz mjere ili umjesto” drugih korektivnih mjera navedenih u tom članku 58. stavku 2., poput upozorenja, službenih opomena ili naredbi. Također, u uvodnoj izjavi 148. navedene uredbe, među ostalim, navodi se da, kada se radi o lakšem kršenju ili ako bi moguća upravna novčana kazna nerazmjerno opteretila fizičku osobu, nadzorna tijela mogu se suzdržati od izricanja upravne novčane kazne i umjesto toga izdati službenu opomenu.
72 Nasuprot tomu, iz točke 50. ove presude proizlazi da je cilj odredbi OUZP‑a, među ostalim, osigurati postojanu i visoku razinu zaštite pojedinaca u vezi s obradom osobnih podataka u Uniji te u tu svrhu osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih sloboda i prava tih osoba u vezi s obradom takvih podataka u čitavoj Uniji. Usto, radi dosljedne provedbe te uredbe potrebno je osigurati da nadzorna tijela raspolažu jednakim ovlastima praćenja i osiguravanja poštovanja pravila za zaštitu osobnih podataka i da mogu izreći jednake sankcije u slučaju kršenja navedene uredbe.
73 Postojanje sustava sankcija koji omogućuje da se, kada to opravdavaju posebne okolnosti svakog pojedinog slučaja, izrekne upravna novčana kazna u skladu s člankom 83. OUZP‑a potiče voditelje obrade i izvršitelje obrade da postupaju u skladu s tom uredbom. Upravne novčane kazne svojim odvraćajućim učinkom pridonose jačanju zaštite pojedinaca u pogledu obrade osobnih podataka i one su stoga ključan element za osiguranje poštovanja prava tih osoba u skladu s ciljem te uredbe da se osigura visoka razina zaštite takvih osoba u vezi s obradom osobnih podataka.
74 Međutim, zakonodavac Unije nije smatrao potrebnim da se za osiguranje takve visoke razine zaštite predvidi izricanje upravnih novčanih kazni ako nema krivnje. Uzimajući u obzir činjenicu da se OUZP istodobno odnosi na jednaku i homogenu razinu zaštite i da se u tu svrhu mora dosljedno primjenjivati u cijeloj Uniji, bilo bi protivno toj svrsi dopustiti državama članicama da predvide takav sustav za izricanje novčane kazne u skladu s člankom 83. te uredbe. Osim toga, takva sloboda izbora mogla bi narušiti tržišno natjecanje među gospodarskim subjektima unutar Unije, što bi bilo protivno ciljevima koje je zakonodavac Unije iznio osobito u uvodnim izjavama 9. i 13. navedene uredbe.
75 Slijedom toga, valja utvrditi da se na temelju članka 83. OUZP‑a ne može izreći upravna novčana kazna za kršenje iz njegovih stavaka 4. do 6. a da se pritom ne utvrdi da je to kršenje voditelj obrade počinio namjerno ili nepažnjom i da je stoga skrivljeno kršenje uvjet za izricanje takve novčane kazne.
76 Što se tiče pitanja je li kršenje počinjeno namjerno ili nepažnjom i može li se stoga sankcionirati upravnom novčanom kaznom na temelju članka 83. OUZP‑a, u tom pogledu valja još pojasniti da se voditelj obrade može kazniti za postupanje obuhvaćeno područjem primjene OUZP‑a ako nije mogao zanemariti kažnjivost, neovisno o tome je li bio svjestan da povređuje odredbe OUZP‑a (vidjeti po analogiji presude od 18. lipnja 2013., Schenker & Co. i dr., C‑681/11, EU:C:2013:404, t. 37. i navedenu sudsku praksu; od 25. ožujka 2021., Lundbeck/Komisija, C‑591/16 P, EU:C:2021:243, t. 156. i od 25. ožujka 2021., Arrow Group i Arrow Generics/Komisija, C‑601/16 P, EU:C:2021:244, t. 97.).
77 Ako je voditelj obrade pravna osoba, valja još pojasniti da primjena članka 83. OUZP‑a ne podrazumijeva djelovanje pa čak ni znanje upravljačkog tijela te pravne osobe (vidjeti po analogiji presude od 7. lipnja 1983., Musique Diffusion française i dr./Komisija, 100/80 do 103/80, EU:C:1983:158, t. 97. i od 16. veljače 2017., Tudapetrol Mineralölerzeugnisse Nils Hansen/Komisija, C‑94/15 P, EU:C:2017:124, t. 28. i navedenu sudsku praksu).
78 S obzirom na prethodna razmatranja, na drugo pitanje valja odgovoriti tako da članak 83. OUZP‑a treba tumačiti na način da se na temelju te odredbe može izreći upravna novčana kazna samo ako se dokaže da je voditelj obrade, koji je istodobno pravna osoba i poduzetnik, namjerno ili nepažnjom počinio kršenje iz stavaka 4. do 6. tog članka.
Troškovi
79 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (veliko vijeće) odlučuje:
1. Članak 58. stavak 2. točku (i) i članak 83. stavke 1. do 6. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da im se:
protivi nacionalni propis na temelju kojeg se pravnoj osobi u svojstvu voditelja obrade može izreći upravna novčana kazna za kršenje iz stavaka 4. do 6. tog članka 83. samo ako je to kršenje prethodno pripisano identificiranoj fizičkoj osobi.
2. Članak 83. Uredbe 2016/679
treba tumačiti na način da se:
na temelju te odredbe može izreći upravna novčana kazna samo ako se dokaže da je voditelj obrade, koji je istodobno pravna osoba i poduzetnik, namjerno ili nepažnjom počinio kršenje iz stavaka 4. do 6. tog članka.
Potpisi