DOMSTOLENS DOM (Femte Afdeling)
13. februar 2025 (*)
» Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 83, stk. 4-6 og 9 – begrebet »virksomhed« – moder- og datterselskab – et datterselskabs overtrædelse af denne forordning – beregning af bødens størrelse – hensyntagen til den samlede omsætning for den koncern, som dette datterselskab indgår i «
I sag C-383/23,
angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Vestre Landsret (Danmark) ved afgørelse af 3. maj 2023, indgået til Domstolen den 21. juni 2023, i straffesagen mod
ILVA A/S,
har
DOMSTOLEN (Femte Afdeling),
sammensat af formanden for Fjerde Afdeling, I. Jarukaitis, som fungerende formand for Femte Afdeling, og dommerne D. Gratsias og Z. Csehi (refererende dommer),
generaladvokat: L. Medina
justitssekretær: fuldmægtig C. Strömholm,
på grundlag af den skriftlige forhandling og efter retsmødet den 19. juni 2024,
efter at der er afgivet indlæg af:
– ILVA A/S ved advokat D.B. Geary,
– Europa-Kommissionen ved A. Bouchagiar, H. Kranenborg og C. Vang, som befuldmægtigede,
og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 12. september 2024,
afsagt følgende
Dom
1 Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 83, stk. 4-6, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).
2 Denne anmodning er blevet indgivet i forbindelse med en straffesag, der er indledt af Anklagemyndigheden (Danmark) mod ILVA A/S for angivelige overtrædelser af de forpligtelser, der i henhold til databeskyttelsesforordningen påhviler dette selskab som dataansvarlig for personoplysninger vedrørende tidligere kunder.
Retsforskrifter
EU-retten
3 150. og 151. betragtning til databeskyttelsesforordningen har følgende ordlyd:
»(150) For at styrke og harmonisere de administrative sanktioner for overtrædelse af denne forordning bør hver tilsynsmyndighed have beføjelse til at pålægge administrative bøder. Denne forordning bør angive overtrædelser og maksimumsbeløb og kriterier for fastsættelse af de tilknyttede administrative bøder, der bør bestemmes af den kompetente tilsynsmyndighed i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation og med behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen og dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. Når en virksomhed pålægges administrative bøder, forstås en virksomhed i denne forbindelse som en virksomhed som omhandlet i artikel 101 og 102 i TEUF. [...]
(151) Retssystemerne i Danmark og Estland giver ikke mulighed for administrative bøder som fastsat i denne forordning. Reglerne om administrative bøder kan i Danmark anvendes ved, at bøder pålægges af de kompetente nationale domstole som en strafferetlig sanktion, og i Estland ved, at bøder pålægges af tilsynsmyndigheden inden for rammerne af en forseelsesprocedure, forudsat at en sådan anvendelse af reglerne i disse medlemsstater har en virkning, der svarer til virkningen af administrative bøder, som tilsynsmyndighederne pålægger. De kompetente nationale domstole bør derfor tage hensyn til en anbefaling fra den tilsynsmyndighed, der har taget skridt til en bøde. De pålagte bøder bør under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.«
4 Databeskyttelsesforordningens artikel 5 opstiller principperne for behandling af personoplysninger.
5 Databeskyttelsesforordningens artikel 6 fastsætter betingelserne for, hvornår en behandling af personoplysninger anses for at være lovlig.
6 Databeskyttelsesforordningens artikel 58 med overskriften »Beføjelser« bestemmer i stk. 2 følgende:
»Hver tilsynsmyndighed har alle af følgende korrigerende beføjelser:
[...]
i) at pålægge en administrativ bøde i henhold til artikel 83 i tillæg til eller i stedet for foranstaltningerne i dette stykke, afhængigt af omstændighederne i hvert enkelt tilfælde, og
[...]«
7 Databeskyttelsesforordningens artikel 83 med overskriften »Generelle betingelser for pålæggelse af administrative bøder« bestemmer, i stk. 1, 2, 4-6 og 9 følgende:
»1. Hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel for overtrædelse af denne forordning som omhandlet i stk. 4, 5 og 6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.
2. Afhængigt af omstændighederne i hver enkelt sag pålægges administrative bøder i tillæg til eller i stedet for foranstaltninger som omhandlet i artikel 58, stk. 2, litra a)-h) og j). Når der træffes afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag, tages der behørigt hensyn til følgende:
a) overtrædelsens karakter, alvor og varighed under hensyntagen til pågældende behandlings karakter, omfang eller formål samt antal registrerede, der er berørt, og omfanget af den skade, som de har lidt
b) hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt
c) eventuelle foranstaltninger, der er truffet af den dataansvarlige eller databehandleren for at begrænse den skade, som den registrerede har lidt
d) den dataansvarliges eller databehandlerens grad af ansvar under hensyntagen til tekniske og organisatoriske foranstaltninger, som de har gennemført i henhold til artikel 25 og 32
e) den dataansvarliges eller databehandlerens eventuelle relevante tidligere overtrædelser
f) graden af samarbejde med tilsynsmyndigheden for at afhjælpe overtrædelsen og begrænse de negative konsekvenser, som overtrædelsen måtte have givet anledning til
g) de kategorier af personoplysninger, der er berørt af overtrædelsen
h) den måde, hvorpå tilsynsmyndigheden fik kendskab til overtrædelsen, navnlig om den dataansvarlige eller databehandleren har underrettet om overtrædelsen, og i givet fald i hvilket omfang
i) overholdelse af de foranstaltninger, der er omhandlet i artikel 58, stk. 2, hvis der tidligere over for den pågældende dataansvarlige eller databehandler er blevet truffet sådanne foranstaltninger med hensyn til samme genstand
j) overholdelse af godkendte adfærdskodekser i henhold til artikel 40 eller godkendte certificeringsmekanismer i henhold til artikel 42, og
k) om der er andre skærpende eller formildende faktorer ved sagens omstændigheder, såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen.
[...]
4. Overtrædelse af følgende bestemmelser straffes i overensstemmelse med stk. 2 med administrative bøder på op til 10 000 000 EUR, eller hvis det drejer sig om en virksomhed, med op til 2% af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:
[...]
5. Overtrædelse af følgende bestemmelser straffes i overensstemmelse med stk. 2 med administrative bøder på op til 20 000 000 EUR, eller hvis det drejer sig om en virksomhed, med op til 4% af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:
[...]
6. Manglende overholdelse af et påbud fra tilsynsmyndigheden som omhandlet i artikel 58, stk. 2, straffes i overensstemmelse med nærværende artikels stk. 2 med administrative bøder på op til 20 000 000 EUR, eller hvis det drejer sig om en virksomhed, med op til 4% af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere.
[...]
9. Hvis en medlemsstats retssystem ikke giver mulighed for at pålægge administrative bøder, kan denne artikel anvendes på en sådan måde, at den kompetente tilsynsmyndighed tager skridt til bøder, og de kompetente nationale domstole pålægger dem, idet det sikres, at disse retsmidler er effektive, og at deres virkning svarer til virkningen af administrative bøder, som pålægges af tilsynsmyndighederne. Bøder skal under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. De pågældende medlemsstater giver [Europa-]Kommissionen meddelelse om bestemmelserne i deres love, som de vedtager i henhold til dette stykke, senest den 25. maj 2018 og underretter den straks om alle senere ændringslove eller ændringer, der berører dem.«
Dansk ret
8 Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (databeskyttelsesloven) af 23. maj 2018 bestemmer i § 41 følgende:
»1. Medmindre højere straf er forskyldt efter den øvrige lovgivning, straffes med bøde eller fængsel indtil 6 måneder den, der overtræder bestemmelserne om
[...]
4) de grundlæggende principper for behandling, herunder betingelserne for samtykke, i databeskyttelsesforordningens artikel 5-7 og 9,
[...]
3. Databeskyttelsesforordningens artikel 83, stk. 2, skal følges ved pålæggelse af straf efter stk. 1 og 2.
[...]
6. Der kan pålægges selskaber m.v. (juridiske personer) strafansvar efter reglerne i straffelovens 5. kapitel. [...]«
Tvisten i hovedsagen og de præjudicielle spørgsmål
9 ILVA driver en kæde af møbelforretninger og er en del af koncernen Lars Larsen Group. Koncernens samlede omsætning for regnskabsåret 2016/2017 udgjorde 6,57 mia. danske kroner (DKK) (ca. 881 mio. EUR), og ILVA’s omsætning udgjorde tæt ved 1,8 mia. DKK (ca. 241 mio. EUR) for det samme regnskabsår.
10 ILVA er ved de danske domstole tiltalt for i perioden fra maj 2018 til januar 2019 at have overtrådt de forpligtelser, der i henhold til databeskyttelsesforordningen påhviler dette selskab i dets egenskab af dataansvarlig for personoplysninger, i forbindelse med opbevaringen af oplysninger om mindst 350 000 tidligere kunder.
11 Efter indstilling fra Datatilsynet nedlagde Anklagemyndigheden påstand om, at ILVA blev idømt en bøde på 1,5 mio. DKK (ca. 201 000 EUR). Beregningen af dette beløb var ikke blot baseret på ILVA’s omsætning, men ligeledes på koncernen Lars Larsen Groups samlede omsætning.
12 Ved dom af 12. februar 2021 fandt Retten i Århus (Danmark) ILVA skyldig i de forhold, som dette selskab var tiltalt for, og idømte det en bøde på 100 000 DKK (ca. 13 400 EUR). Denne ret fandt i modsætning til, hvad Anklagemyndigheden havde gjort gældende, at ILVA havde handlet uagtsomt. Den fastslog desuden, at da der alene var rejst tiltale mod ILVA, var der ikke anledning til at tage hensyn til koncernen Lars Larsen Groups omsætning ved fastsættelsen af bødens størrelse. Denne ret bemærkede desuden, at ILVA drev selvstændig detailsalgsvirksomhed, og at dette selskab ikke var blevet oprettet af moderselskabet i denne koncern med det ene formål at varetage koncernens databehandling.
13 Anklagemyndigheden har iværksat appel til prøvelse af denne dom ved Vestre Landsret (Danmark), som er den forelæggende ret. Anklagemyndigheden har gjort gældende, at begrebet »virksomhed« i databeskyttelsesforordningens artikel 83, stk. 4-6, skal forstås således, at der med henblik på at fastsætte en bøde i tilfælde af, at et selskab overtræder databeskyttelsesforordningen, skal tages udgangspunkt i omsætningen i den koncern, som dette selskab er en del af. Det følger således af 150. betragtning til databeskyttelsesforordningen, at dette begreb skal forstås i overensstemmelse med artikel 101 TEUF og 102 TEUF.
14 ILVA er derimod af den opfattelse, at der ved fastsættelsen af en bøde for et selskabs overtrædelse af databeskyttelsesforordningen ikke skal tages hensyn til den samlede omsætning for den koncern, som dette selskab indgår i. I den foreliggende sag er der indledt strafforfølgning mod ILVA og ikke tillige mod ILVA’s moderselskab.
15 Den forelæggende ret er af den opfattelse, at svaret på dette spørgsmål ikke fremgår klart af databeskyttelsesforordningen.
16 På denne baggrund har Vestre Landsret besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:
»1) Skal begrebet »virksomhed« i artikel 83, stk. 4-6, i databeskyttelsesforordningen forstås som en virksomhed som omhandlet i artikel 101 [TEUF] og 102 [...] TEUF, jf. [150. betragtning til] databeskyttelsesforordningen, og EU-Domstolens [praksis] inden for EU-konkurrencerettens område, således at begrebet »virksomhed« omfatter enhver enhed, som udøver økonomisk virksomhed, uanset denne enheds retlige status og dens finansieringsmåde?
2) Såfremt det første spørgsmål besvares bekræftende: Skal artikel 83, stk. 4-6, i databeskyttelsesforordningen fortolkes således, at der ved udmåling af en bøde til en virksomhed skal lægges vægt på den samlede globale årlige omsætning i den økonomiske enhed, som virksomheden måtte indgå i, eller alene på den samlede globale årlige omsætning i virksomheden selv?«
Om de præjudicielle spørgsmål
17 Den forelæggende ret ønsker med sine spørgsmål, som skal behandles samlet, nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 83, stk. 4-6, sammenholdt med 150. betragtning til denne forordning, skal fortolkes således, at begrebet »virksomhed«, der er indeholdt i disse bestemmelser, svarer til begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF, således at når en dataansvarlig for personoplysninger, der er en virksomhed eller en del af en virksomhed, pålægges en bøde for overtrædelse af databeskyttelsesforordningen, skal bødens størrelse fastsættes på grundlag af en procentdel af den samlede globale årlige omsætning i det foregående regnskabsår for virksomheden som omhandlet i denne artikel 101 og denne artikel 102.
18 Indledningsvis skal det bemærkes, at Domstolen allerede har haft anledning til at fremkomme med besvarelser af visse spørgsmål angående fortolkningen af databeskyttelsesforordningens artikel 83 i dom af 5. december 2023, Deutsche Wohnen (C-807/21, EU:C:2023:950, præmis 53-59), som blev afsagt efter afslutningen af den skriftlige forhandling i den foreliggende sag.
19 Domstolen fastslog, at begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF ikke har betydning for spørgsmålet om, hvorvidt og på hvilke betingelser en administrativ bøde kan pålægges en dataansvarlig, der er en juridisk person, i henhold til databeskyttelsesforordningens artikel 83, idet dette spørgsmål er udtømmende reguleret i denne forordnings artikel 58, stk. 2, og artikel 83, stk. 1-6 (dom af 5.12.2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, præmis 53).
20 Dette begreb er nemlig kun relevant ved fastsættelsen af størrelsen af den administrative bøde, der pålægges en dataansvarlig i henhold til databeskyttelsesforordningens artikel 83, stk. 4-6 (dom af 5.12.2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, præmis 54).
21 Det er i denne specifikke sammenhæng vedrørende beregningen af de administrative bøder, der pålægges for overtrædelser som omhandlet i databeskyttelsesforordningens artikel 83, stk. 4-6, at henvisningen i 150. betragtning til denne forordning til begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF skal forstås (dom af 5.12.2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, præmis 55).
22 Det skal i denne forbindelse fremhæves, at dette begreb med henblik på anvendelsen af konkurrencereglerne i artikel 101 TEUF og 102 TEUF omfatter enhver enhed, som udøver økonomisk virksomhed, uanset denne enheds retlige status og dens finansieringsmåde. Det betegner således en økonomisk enhed, også når denne økonomiske enhed juridisk set udgøres af flere fysiske eller juridiske personer. Denne økonomiske enhed består af menneskelige, materielle og immaterielle ressourcer, der forfølger et økonomisk mål på lang sigt (dom af 5.12.2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, præmis 56 og den deri nævnte retspraksis).
23 Det fremgår således af databeskyttelsesforordningens artikel 83, stk. 4-6, der omhandler beregningen af administrative bøder for de overtrædelser, der er anført i disse stykker, at såfremt modtageren af den administrative bøde er en virksomhed eller en del af en virksomhed som omhandlet i artikel 101 TEUF og 102 TEUF, beregnes den administrative bødes maksimumsbeløb på grundlag af en procentdel af den pågældende virksomheds samlede globale årlige omsætning i det foregående regnskabsår (dom af 5.12.2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, præmis 57).
24 Der skal imidlertid sondres mellem fastsættelsen af dette maksimumsbeløb og selve beregningen af størrelsen af en bøde, som den kompetente tilsynsmyndighed skal pålægge for den eller de specifikke overtrædelser af databeskyttelsesforordningen, som denne bøde sanktionerer.
25 Det følger således af databeskyttelsesforordningens artikel 83, stk. 1, at hver tilsynsmyndighed sikrer, at pålæggelse af administrative bøder i henhold til denne artikel 83 for overtrædelse af databeskyttelsesforordningen som omhandlet i artiklens stk. 4-6 i hver enkelt sag er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning.
26 Ud over, at disse tre betingelser skal overholdes, kræver databeskyttelsesforordningens artikel 83, stk. 2, at den kompetente tilsynsmyndighed ved afgørelsen om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt sag tager behørigt hensyn til et vist antal faktorer.
27 Blandt disse faktorer indgår i henhold til denne sidstnævnte bestemmelse bl.a. overtrædelsens karakter, alvor og varighed, antal registrerede, der er berørt, og omfanget af den skade, som de har lidt, om overtrædelsen blev begået forsætligt eller uagtsomt, de foranstaltninger, der er truffet af den dataansvarlige for personoplysningerne eller databehandleren af disse personoplysninger for at begrænse den lidte skade, denne dataansvarliges eller denne databehandlerens grad af ansvar og de kategorier af personoplysninger, der er berørt af overtrædelsen.
28 De nævnte faktorer kendetegner enten den adfærd, der er udvist af den dataansvarlige eller af den databehandler, som er tiltalt for overtrædelser af visse bestemmelser i databeskyttelsesforordningen, eller selve disse overtrædelser. De tjener således til at sikre, at hver af de nævnte overtrædelser bliver bedømt på grundlag af samtlige relevante individuelle omstændigheder, og at de formål, der forfølges med den i databeskyttelsesforordningen fastsatte sanktionsordning, bliver opfyldt.
29 Selv om disse faktorer ikke henviser til begrebet virksomhed som omhandlet i artikel 101 TEUF og 102 TEUF, har Domstolen allerede fastslået, at kun en administrativ bøde, som tager hensyn ikke blot til samtlige de faktorer, der således kendetegner de konstaterede overtrædelser af databeskyttelsesforordningen, men tillige – i påkommende tilfælde – til bødemodtagerens reelle eller faktiske økonomiske formåen, kan opfylde de tre betingelser, der er fastsat i databeskyttelsesforordningens artikel 83, stk. 1, nemlig at bøden både skal være effektiv, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Ved bedømmelsen af disse betingelser skal der tages hensyn til, om denne bødemodtager er en del af en virksomhed som omhandlet i artikel 101 TEUF og 102 TEUF (jf. i denne retning dom af 5.12.2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, præmis 58).
30 Den fortolkning af databeskyttelsesforordningens artikel 83, der følger af den foreliggende doms præmis 25-29, gælder ligeledes, når de konstaterede overtrædelser af databeskyttelsesforordningen ikke sanktioneres med en administrativ bøde, men med en bøde, der pålægges af de kompetente nationale retter som strafferetlig sanktion.
31 Som angivet i 151. betragtning til databeskyttelsesforordningen giver visse nationale retssystemer, herunder Kongeriget Danmarks, ikke mulighed for at pålægge administrative bøder som fastsat i databeskyttelsesforordningen.
32 For at regulere dette tilfælde bestemmer databeskyttelsesforordningens artikel 83, stk. 9, at hvis en medlemsstats retssystem ikke giver mulighed for at pålægge administrative bøder, kan denne artikel 83 – som i den foreliggende sag – anvendes på en sådan måde, at den kompetente tilsynsmyndighed tager skridt til bøder, og de kompetente nationale domstole pålægger dem.
33 Det er desuden præciseret i denne artikel 83, stk. 9, ligesom i 151. betragtning til denne forordning, at det er nødvendigt, at de pågældende retsmidler er effektive, og at deres virkning svarer til virkningen af administrative bøder, som pålægges af tilsynsmyndighederne, og at bøder under alle omstændigheder skal være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
34 Den omstændighed, at en bøde pålægges af en straffedomstol i forbindelse med en straffesag, indebærer imidlertid, at denne domstol på ethvert tidspunkt skal overholde de gældende strafferetlige regler, herunder nærmere bestemt de processuelle rettigheder, som den tiltalte person har, og det strafferetlige proportionalitetsprincip således som sikret ved Den Europæiske Unions charter om grundlæggende rettigheder.
35 I denne henseende kræver databeskyttelsesforordningens artikel 83, som generaladvokaten har anført i punkt 74 i forslaget til afgørelse, at de kompetente tilsynsmyndigheder uden undtagelse skal sikre, at proportionalitetsprincippet overholdes ved beregningen af det faktisk pålagte bødebeløb, idet der sikres en rimelig balance mellem de krav, der følger af den almene interesse i beskyttelsen af personoplysninger, og kravene til beskyttelse af rettighederne for den dataansvarlige for sådanne oplysninger, databehandleren af disse oplysninger eller den virksomhed, som disse er en del af. Det følger heraf, at en anvendelse af begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF i forbindelse med gennemførelsen af databeskyttelsesforordningens artikel 83, stk. 4-6, ikke synes at støde imod principielle forhindringer, når overtrædelser af databeskyttelsesforordningen ikke sanktioneres med administrative bøder, men med bøder, der pålægges af straffedomstole.
36 Henset til de ovenstående betragtninger skal de forelagte spørgsmål besvares med, at databeskyttelsesforordningens artikel 83, stk. 4-6, sammenholdt med 150. betragtning til denne forordning, skal fortolkes således, at begrebet »virksomhed«, der er indeholdt i disse bestemmelser, svarer til begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF, således at når en dataansvarlig for personoplysninger, der er en virksomhed eller en del af en virksomhed, pålægges en bøde for overtrædelse af databeskyttelsesforordningen, skal bødens maksimumsbeløb fastsættes på grundlag af en procentdel af virksomhedens samlede globale årlige omsætning i det foregående regnskabsår. Der skal ligeledes tages hensyn til begrebet »virksomhed« for at vurdere bødemodtagerens reelle eller faktiske økonomiske formåen og for således at efterprøve, om bøden både er effektiv, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning.
Sagsomkostninger
37 Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.
På grundlag af disse præmisser kender Domstolen (Femte Afdeling) for ret:
Artikel 83, stk. 4-6, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse), sammenholdt med 150. betragtning til denne forordning,
skal fortolkes således, at
begrebet »virksomhed«, der er indeholdt i disse bestemmelser, svarer til begrebet »virksomhed« som omhandlet i artikel 101 TEUF og 102 TEUF, således at når en dataansvarlig for personoplysninger, der er en virksomhed eller en del af en virksomhed, pålægges en bøde for overtrædelse af forordning 2016/679, skal bødens maksimumsbeløb fastsættes på grundlag af en procentdel af virksomhedens samlede globale årlige omsætning i det foregående regnskabsår. Der skal ligeledes tages hensyn til begrebet »virksomhed« for at vurdere bødemodtagerens reelle eller faktiske økonomiske formåen og for således at efterprøve, om bøden både er effektiv, står i et rimeligt forhold til overtrædelsen og har afskrækkende virkning.
Afsagt i offentligt retsmøde i Luxembourg den 13. februar 2025
A. Calot Escobar | | K. Lenaerts |
Justitssekretær | | Præsident |