C-807/21 Deutsche Wohnen SE

TEISINGUMO TEISMO (didžioji kolegija) SPRENDIMAS

2023 m. gruodžio 5 d. ( *1 )

„Prašymas priimti prejudicinį sprendimą – Asmens duomenų apsauga – Reglamentas (ES) 2016/679 – 4 straipsnio 7 punktas – Sąvoka „duomenų valdytojas“ – 58 straipsnio 2 dalis – Priežiūros institucijos įgaliojimai imtis taisomųjų veiksmų – 83 straipsnis – Administracinių baudų skyrimas juridiniam asmeniui – Sąlygos – Valstybių narių diskrecija – Reikalavimas, kad pažeidimas būtų padarytas tyčia arba dėl aplaidumo“

Byloje C‑807/21

dėl Kammergericht Berlin (Berlyno aukštesnysis apygardos teismas, Vokietija) 2021 m. gruodžio 6 d. nutartimi, kurią Teisingumo Teismas gavo 2021 m. gruodžio 21 d., pagal SESV 267 straipsnį pateikto prašymo priimti prejudicinį sprendimą byloje

Deutsche Wohnen SE

prieš

Staatsanwaltschaft Berlin

TEISINGUMO TEISMAS (didžioji kolegija),

kurį sudaro pirmininkas K. Lenaerts, pirmininko pavaduotojas L. Bay Larsen, kolegijų pirmininkai A. Arabadjiev, C. Lycourgos, E. Regan, T. von Danwitz, Z. Csehi ir O. Spineanu-Matei, teisėjai M. Ilešič, J.-C. Bonichot, L. S. Rossi, A. Kumin, N. Jääskinen (pranešėjas), N. Wahl ir M. Gavalec,

generalinis advokatas M. Campos Sánchez-Bordona,

posėdžio sekretorius D. Dittert, skyriaus vadovas,

atsižvelgęs į rašytinę proceso dalį ir įvykus 2023 m. sausio 17 d. posėdžiui,

išnagrinėjęs pastabas, pateiktas:

–	Deutsche Wohnen SE, atstovaujamos Rechtsanwälte O. Geiss, K. Mertens, N. Venn ir T. Wybitul,

–	Vokietijos vyriausybės, atstovaujamos J. Möller ir P.‑L. Krüger,

–	Estijos vyriausybės, atstovaujamos, M. Kriisa,

–	Nyderlandų vyriausybės, atstovaujamos C. S. Schillemans,

–	Norvegijos vyriausybės, atstovaujamos L.‑M. Moen Jünge, M. Munthe-Kaas ir T. Westhagen Edell,

–	Europos Parlamento, atstovaujamo G. C. Bartram ir P. López-Carceller,

–	Europos Sąjungos Tarybos, atstovaujamos J. Bauerschmidt ir K. Pleśniak,

–	Europos Komisijos, atstovaujamos A. Bouchagiar, F. Erlbacher, H. Kranenborg ir G. Meessen,

susipažinęs su 2023 m. balandžio 27 d. posėdyje pateikta generalinio advokato išvada,

priima šį

Sprendimą

Prašymas priimti prejudicinį sprendimą pateiktas dėl 2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) (OL L 119, 2016, p. 1, toliau – BDAR) 83 straipsnio 4–6 dalių išaiškinimo.

Šis prašymas pateiktas nagrinėjant Deutsche Wohnen SE (toliau – DW) ir Staatsanwaltschaft Berlin (Berlyno prokuratūra, Vokietija) ginčą dėl administracinės baudos, kuri pagal BDAR 83 straipsnį buvo paskirta DW už šio reglamento 5 straipsnio 1 dalies a, c ir e punktų, 6 dalies ir 25 straipsnio 1 dalies pažeidimą.

Teisinis pagrindas

Sąjungos teisė

BDAR 9, 10, 11, 13, 74, 129 ir 150 konstatuojamosiose dalyse nustatyta:

„(9)

<…> Dėl skirtingo fizinių asmenų teisių ir laisvių, visų pirma teisės į asmens duomenų apsaugą tvarkant asmens duomenis, apsaugos lygio valstybėse narėse gali būti trikdomas laisvas asmens duomenų judėjimas [Europos] Sąjungoje. Todėl tokie skirtumai gali kliudyti užsiimti ekonomine veikla Sąjungos lygmeniu, iškreipti konkurenciją ir trukdyti valdžios institucijoms vykdyti savo pareigas pagal Sąjungos teisę. <…>

(10)

siekiant užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą ir pašalinti asmens duomenų judėjimo Sąjungoje kliūtis, visose valstybėse narėse turėtų būti užtikrinama lygiavertė asmenų teisių ir laisvių apsauga tvarkant tokius duomenis. Visoje Sąjungoje turėtų būti užtikrintas nuoseklus ir vienodas taisyklių, kuriomis reglamentuojama fizinių asmenų pagrindinių teisių ir laisvių apsauga tvarkant asmens duomenis, taikymas. Kalbant apie asmens duomenų tvarkymą siekiant laikytis teisinės prievolės, užduoties, vykdomos dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas, atlikimui valstybėms narėms turėtų būti leidžiama išlaikyti arba nustatyti nacionalines nuostatas, kuriomis konkrečiau apibrėžiamas šiame reglamente nustatytų taisyklių taikymas. <…> Šiuo reglamentu valstybėms narėms taip pat suteikiama tam tikra veiksmų laisvė nustatyti savo taisykles, be kita ko, dėl specialių kategorijų asmens duomenų <…> tvarkymo. Todėl šiuo reglamentu neužkertamas kelias taikyti valstybės narės teisę, kurioje nustatomos konkrečių duomenų tvarkymo atvejų aplinkybės, be kita ko, tiksliau apibrėžiant sąlygas, kuriomis duomenų tvarkymas yra teisėtas;

(11)

siekiant veiksmingos asmens duomenų apsaugos visoje Sąjungoje, reikia ne tik sustiprinti ir išsamiai nustatyti duomenų subjektų teises ir asmens duomenis tvarkančių ir jų tvarkymą nustatančių subjektų prievoles, bet ir valstybėse narėse suteikti lygiaverčius įgaliojimus stebėti ir užtikrinti asmens duomenų apsaugos taisyklių laikymąsi ir nustatyti lygiavertes sankcijas dėl pažeidimų;

<…>

(13)

siekiant užtikrinti vienodo lygio fizinių asmenų apsaugą visoje Sąjungoje ir neleisti atsirasti skirtumams, kurie kliudo laisvam asmens duomenų judėjimui vidaus rinkoje, reikia priimti reglamentą, kuriuo būtų užtikrintas teisinis tikrumas ir skaidrumas ekonominės veiklos vykdytojams, įskaitant labai mažas, mažąsias ir vidutines įmones, kuriuo fiziniams asmenims visose valstybėse narėse būtų užtikrintos vienodo lygio teisiškai įgyvendinamos teisės, o duomenų valdytojams ir duomenų tvarkytojams būtų nustatytos vienodo lygio prievolės bei atsakomybė, ir kuriuo būtų užtikrinta nuosekli asmens duomenų tvarkymo stebėsena ir lygiavertės sankcijos visose valstybėse narėse, taip pat veiksmingas skirtingų valstybių narių priežiūros institucijų bendradarbiavimas. <…>

<…>

(74)

turėtų būti nustatyta duomenų valdytojo atsakomybė už bet kokį duomenų valdytojo arba jo vardu vykdomą asmens duomenų tvarkymą. Duomenų valdytojas visų pirma turėtų būti įpareigotas įgyvendinti tinkamas ir veiksmingas priemones ir galėti įrodyti, kad duomenų tvarkymo veikla atitinka šį reglamentą, įskaitant priemonių veiksmingumą. Tomis priemonėmis turėtų būti atsižvelgta į duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus, taip pat į pavojų fizinių asmenų teisėms ir laisvėms;

<…>

(129)

siekiant užtikrinti nuoseklią šio reglamento taikymo stebėseną ir jo vykdymą visoje Sąjungoje, priežiūros institucijos kiekvienoje valstybėje narėje turėtų vykdyti tas pačias užduotis ir naudotis tais pačiais veiksmingais įgaliojimais, įskaitant tyrimo įgaliojimus, įgaliojimus imtis taisomųjų veiksmų ir skirti sankcijas <…> Visų pirma kiekviena priemonė turėtų būti tinkama, būtina ir proporcinga siekiant užtikrinti šio reglamento laikymąsi, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, ja turėtų būti gerbiama kiekvieno asmens teisė būti išklausytam prieš imantis konkrečios priemonės, kuri jam padarytų neigiamą poveikį, ir taikoma taip, kad atitinkami asmenys nepatirtų bereikalingų išlaidų ir pernelyg didelių nepatogumų. Tyrimo įgaliojimais, susijusiais su leidimu patekti į patalpas, turėtų būti naudojamasi laikantis valstybės narės proceso teisėje nustatytų konkrečių reikalavimų, pavyzdžiui, reikalavimo iš anksto gauti teismo leidimą. Kiekviena teisiškai privaloma priežiūros institucijos priemonė turėtų būti parengta raštu, būti aiški ir nedviprasmiška, joje turėtų būti nurodyta priemonę paskelbusi priežiūros institucija, priemonės paskelbimo data, ją turėtų būti pasirašęs priežiūros institucijos vadovas arba jo įgaliotas priežiūros institucijos narys, turėtų būti išdėstytos priemonės priežastys ir nurodyta teisė į veiksmingą teisių gynimo priemonę. Tai neturėtų kliudyti taikyti papildomų reikalavimų pagal valstybės narės proceso teisę. <…>

<…>

(150)

siekiant sugriežtinti ir suvienodinti administracines sankcijas už šio reglamento pažeidimus, kiekvienai priežiūros institucijai turėtų būti suteikti įgaliojimai skirti administracines baudas. Šiame reglamente turėtų būti nurodyti pažeidimai ir nustatyti didžiausi susijusių administracinių baudų dydžiai ir tų baudų nustatymo kriterijai; baudas kiekvienu konkrečiu atveju turėtų nustatyti kompetentinga priežiūros institucija, atsižvelgdama į visas reikšmingas konkrečios situacijos aplinkybes ir deramai atsižvelgdama visų pirma į pažeidimo pobūdį, sunkumą, trukmę ir pasekmes, taip pat į priemones, kurių imtasi siekiant, kad būtų laikomasi šiame reglamente nustatytų prievolių, ir siekiant užkirsti kelią pažeidimo pasekmėms arba jas sumažinti. Jei administracinės baudos skiriamos įmonei, tais tikslais įmonė turėtų būti suprantama kaip įmonė, apibrėžta SESV 101 ir 102 straipsniuose. <…>“

Šio reglamento 4 straipsnyje nurodyta:

„Šiame reglamente:

<…>

duomenų valdytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones; kai tokio duomenų tvarkymo tikslai ir priemonės nustatyti Sąjungos arba valstybės narės teisės, duomenų valdytojas arba konkretūs jo skyrimo kriterijai gali būti nustatyti Sąjungos arba valstybės narės teise;

8)	duomenų tvarkytojas – fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuri duomenų valdytojo vardu tvarko asmens duomenis;

<…>

18)	įmonė – bet kokios teisinės formos ekonomine veikla užsiimantis fizinis arba juridinis asmuo, įskaitant reguliaria ekonomine veikla užsiimančias ūkines bendrijas arba susivienijimus;

<…>“

Minėto reglamento 58 straipsnio „Įgaliojimai“ 2 ir 4 dalyse numatyta:

„2. Kiekviena priežiūros institucija turi visus šiuos įgaliojimus imtis taisomųjų veiksmų:

a)	įspėti duomenų valdytoją arba duomenų tvarkytoją, kad numatomomis duomenų tvarkymo operacijomis gali būti pažeistos šio reglamento nuostatos;

b)	pareikšti papeikimus duomenų valdytojui arba duomenų tvarkytojui, kai duomenų tvarkymo operacijomis buvo pažeistos šio reglamento nuostatos;

<…>

d)	nurodyti duomenų valdytojui arba duomenų tvarkytojui suderinti duomenų tvarkymo operacijas su šio reglamento nuostatomis, tam tikrais atvejais – nustatytu būdu ir per nustatytą laikotarpį;

<…>

f)	nustatyti laikiną arba galutinį duomenų tvarkymo apribojimą, įskaitant tvarkymo draudimą;

<…>

i)	skirti administracinę baudą pagal 83 straipsnį, kartu taikydama šioje dalyje nurodytas priemones arba vietoj jų, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes;

<…>

4. Naudojimuisi pagal šį straipsnį priežiūros institucijai suteiktais įgaliojimais taikomos atitinkamos apsaugos priemonės, įskaitant veiksmingą apskundimą teismine tvarka ir tinkamą procesą, kaip nustatyta Sąjungos ir valstybės narės teisėje, laikantis [Europos Sąjungos pagrindinių teisių chartijos].“

Šio reglamento 83 straipsnis „Bendrosios administracinių baudų skyrimo sąlygos“ suformuluotas taip:

„1. Kiekviena priežiūros institucija užtikrina, kad pagal šį straipsnį skiriamos administracinės baudos už 4, 5 ir 6 dalyse nurodytus šio reglamento pažeidimus kiekvienu konkrečiu atveju būtų veiksmingos, proporcingos ir atgrasomos.

2. Administracinės baudos, atsižvelgiant į kiekvieno konkretaus atvejo aplinkybes, skiriamos kartu su 58 straipsnio 2 dalies a–h punktuose ir j punkte nurodytomis priemonėmis arba vietoj jų. Sprendžiant dėl to, ar skirti administracinę baudą, ir sprendžiant dėl administracinės baudos dydžio kiekvienu konkrečiu atveju deramai atsižvelgiama į šiuos dalykus:

a)	pažeidimo pobūdį, sunkumą ir trukmę, atsižvelgiant į atitinkamo duomenų tvarkymo pobūdį, aprėptį ar tikslą, taip pat į nukentėjusių duomenų subjektų skaičių ir jų patirtos žalos dydį;

b)	tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo;

c)	bet kuriuos veiksmus, kurių duomenų valdytojas arba duomenų tvarkytojas ėmėsi, kad sumažintų duomenų subjektų patirtą žalą;

d)	duomenų valdytojo arba duomenų tvarkytojo atsakomybės dydį, atsižvelgiant į jų pagal 25 ir 32 straipsnius įgyvendintas technines ir organizacines priemones;

e)	bet kuriuos to duomenų valdytojo arba duomenų tvarkytojo svarbius ankstesnius pažeidimus;

f)	bendradarbiavimo su priežiūros institucija siekiant atitaisyti pažeidimą ir sumažinti galimą neigiamą jo poveikį laipsnį;

g)	asmens duomenų, kuriems pažeidimas turi poveikį, kategorijas;

h)	tai, kokiu būdu priežiūros institucija sužinojo apie pažeidimą, visų pirma tai, ar duomenų valdytojas arba duomenų tvarkytojas pranešė apie pažeidimą (jei taip – kokiu mastu);

i)	jei atitinkamam duomenų valdytojui arba duomenų tvarkytojui dėl to paties dalyko anksčiau buvo taikytos 58 straipsnio 2 dalyje nurodytos priemonės – ar laikytasi tų priemonių;

j)	ar laikomasi patvirtintų elgesio kodeksų pagal 40 straipsnį arba patvirtintų sertifikavimo mechanizmų pagal 42 straipsnį; ir

k)	kitus sunkinančius ar švelninančius veiksnius, susijusius su konkretaus atvejo aplinkybėmis, pavyzdžiui, finansinę naudą, kuri buvo gauta, arba nuostolius, kurių buvo išvengta, tiesiogiai ar netiesiogiai dėl pažeidimo.

3. Jei duomenų valdytojas arba duomenų tvarkytojas, atlikdamas tą pačią tvarkymo operaciją ar susijusias tvarkymo operacijas, tyčia ar dėl aplaidumo pažeidžia kelias šio reglamento nuostatas, bendra administracinės baudos suma nėra didesnė nei suma, kuri nustatyta už rimčiausią pažeidimą.

4. Pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki 10000000 [eurų] arba, įmonės atveju – iki 2 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė.

a)	duomenų valdytojo ir duomenų tvarkytojo prievoles [pagal] 8, 11, 25–39 ir 42 bei 43 straipsnius;

<…>

5. Pažeidus toliau išvardytas nuostatas, pagal 2 dalį skiriamos administracinės baudos iki 20000000 [eurų] arba, įmonės atveju – iki 4 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė:

a)	pagrindinius duomenų tvarkymo principus, įskaitant sutikimo sąlygas, pagal 5, 6, 7 ir 9 straipsnius;

b)	duomenų subjekto teises pagal 12–22 straipsnius; <…>

d)	prievoles pagal valstybės narės teisės aktus, priimtus pagal IX skyrių;

e)	jei nesilaikoma priežiūros institucijos nurodymo arba laikino ar nuolatinio duomenų tvarkymo apribojimo arba duomenų srautų sustabdymo pagal 58 straipsnio 2 dalį arba nesuteikiama prieigos galimybė pažeidžiant 58 straipsnio 1 dalį;

6. Jei nesilaikoma 58 straipsnio 2 dalyje nurodyto priežiūros institucijos nurodymo, pagal šio straipsnio 2 dalį skiriamos administracinės baudos iki 20000000 [eurų] arba, įmonės atveju – iki 4 % jos ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma yra didesnė.

7. Nedarant poveikio priežiūros institucijų įgaliojimams imtis taisomųjų veiksmų pagal 58 straipsnio 2 dalį, kiekviena valstybė narė gali nustatyti taisykles, reglamentuojančias tai, ar ir kokiu mastu administracinės baudos gali būti skiriamos valdžios institucijomis ir įstaigoms, įsisteigusioms toje valstybėje narėje.

8. Priežiūros institucijos naudojimuisi įgaliojimais pagal šį straipsnį taikomos atitinkamos procedūrinės garantijos laikantis Sąjungos teisės aktų ir valstybės narės teisės aktų, įskaitant veiksmingas teismines teisių gynimo priemones ir tinkamą procesą.

<…>“

Vokietijos teisė

2017 m. birželio 30 d.Bundesdatenschutzgesetz (Federalinis duomenų apsaugos įstatymas; BGBl. 2017 I, p. 2097) 41 straipsnio 1 dalies pirmame sakinyje numatyta, kad jei šiame įstatyme nenustatyta kitaip, BDAR 83 straipsnio 4–6 dalyse nurodytiems pažeidimams taikomos 1968 m. gegužės 24 d.Gesetz über Ordnungswidrigkeiten (Administracinių nusižengimų įstatymas; BGBl., 1968 I, p. 481) (1987 m. vasario 19 d. paskelbta redakcija (BGBl., 1987 I, p. 602)), iš dalies pakeisto 2020 m. birželio 19 d. įstatymu (BGBl., 2020 I, p. 1350, toliau – OWiG), nuostatos.

OWiG 30 straipsnyje „Juridiniams asmenims ir asmenų susivienijimams skiriamos baudos“ nustatyta:

„(1) Kai asmuo, veikiantis kaip

1.	organas, įgaliotas atstovauti juridiniam asmeniui, arba kaip tokio organo narys,

2.	teisinio subjektiškumo neturinčios asociacijos valdybos pirmininkas arba valdybos narys,

3.	narys, įgaliotas atstovauti teisinį subjektiškumą turinčiai ūkinei bendrijai,

4.	juridinio asmens arba 2 ar 3 punkte nurodytų asmenų susivienijimų generalinį įgaliojimą turintis atstovas arba vadovaujamas funkcijas atliekantis prokuristas ar įgaliotinis verslo klausimais,

5.	kitas asmuo, atsakingas už vadovavimą juridinio asmens arba 2 ar 3 punkte nurodytų asmenų susivienijimų gamybos ar verslo įmonei, apimantį ir valdymo priežiūrą arba bet kokį kitą kontrolės įgaliojimų įgyvendinimą atliekant vadovaujamas funkcijas,

padarė nusikalstamą veiką arba administracinį nusižengimą ir dėl to buvo pažeistos juridiniam asmeniui ar asmenų susivienijimui tenkančios pareigos arba juridinis asmuo ar asmenų susivienijimas praturtėjo arba ketino praturtėti, jiems gali būti skiriama bauda.

<…>

(4) Jeigu dėl nusikalstamos veikos arba administracinio nusižengimo nepradedamas arba nutraukiamas baudžiamasis procesas arba administracinė nuobaudos skyrimo procedūra arba jeigu nusprendžiama sankcijos neskirti, bauda gali būti skiriama atskirai. Įstatyme gali būti numatyta, kad bauda atskirai gali būti skiriama ir kitais atvejais. Tačiau atskirai bauda juridiniam asmeniui arba asmenų susivienijimui neskiriama, jeigu dėl teisinių priežasčių negalima patraukti atsakomybėn už nusikalstamą veiką arba administracinį nusižengimą <…>“

OWiG 130 straipsnyje numatyta:

„1. Tas, kas, būdamas gamybos ar verslo įmonės savininkas, tyčia ar dėl aplaidumo nesiima priežiūros priemonių, būtinų siekiant gamybos ar verslo įmonėje užkirsti kelią pareigų, kurių savininkas turi laikytis ir už kurių pažeidimą gresia administracinio poveikio priemonės arba bauda, pažeidimui, padaro administracinį nusižengimą, jeigu tokiam pažeidimui galėjo būti užkirstas kelias arba labai apsunkinta jį padaryti tinkamomis priežiūros priemonėmis. Reikalaujamos priežiūros priemonės taip pat apima už priežiūrą atsakingų asmenų paskyrimą, kruopščią atranką ir kontrolę.

<…>

(3) Kai už pareigos pažeidimą gresia administracinio poveikio priemonės, už administracinį nusižengimą gali būti skiriama iki vieno milijono eurų bauda. Taikomas 30 straipsnio 2 dalies trečias sakinys. Kai už pareigos pažeidimą gresia bauda, jos maksimalus dydis už priežiūros pareigos pažeidimą nustatomas atsižvelgiant į maksimalų baudos, gresiančios už pareigos pažeidimą, dydį. <…>“

Pagrindinė byla ir prejudiciniai klausimai

10	DW – tai Europos bendrovės statusą turinti biržoje kotiruojama nekilnojamojo turto bendrovė, kurios pagrindinė buveinė yra Berlyne (Vokietija). Turėdama įvairių bendrovių kapitalo dalių ji netiesiogiai valdo apie 163000 gyvenamosios paskirties objektų ir 3000 komercinės paskirties objektų.

Šių objektų savininkai – DW patronuojamosios bendrovės, vadinamosios turto bendrovės, kurios vykdo einamąją veiklą, o DW veikla visų pirma susijusi su grupės, kuriai ji priklauso kartu su minėtomis bendrovėmis, valdymu. Turto bendrovės nuomoja komercinės ir gyvenamosios paskirties objektus, kuriuos administruoja kitos tai grupei priklausančios bendrovės, vadinamosios paslaugų bendrovės.

Vykdydamos komercinę veiklą DW ir jos vadovaujamai grupei priklausančios bendrovės tvarko komercinės ir gyvenamosios paskirties objektų nuomininkų asmens duomenis, pavyzdžiui, jų asmens tapatybės dokumentus, mokesčių duomenis, socialinio ir sveikatos draudimo duomenis bei informaciją apie ankstesnius nuomos santykius.

2017 m. birželio 23 d.Berliner Beauftragter für den Datenschutz (Berlyno duomenų apsaugos institucija, Vokietija, toliau – priežiūros institucija), atlikusi patikrinimą vietoje, atkreipė DW dėmesį į tai, kad jos grupei priklausančios bendrovės saugo dokumentus su nuomininkų asmens duomenimis elektroninėje archyvavimo sistemoje ir neįmanoma patikrinti, ar saugoti duomenis būtina ir ar užtikrinama, kad nebereikalingi duomenys būtų ištrinami.

14	Priežiūros institucija paprašė, kad DW ne vėliau kaip iki 2017 m. pabaigos ištrintų šiuos dokumentus iš savo elektroninės archyvavimo sistemos. Atsakydama į šį prašymą, DW nurodė, kad dėl techninių ir teisinių priežasčių dokumentų ištrinti negali.

15	DW ir priežiūros institucijai aptarus galimybę ištrinti aptariamus dokumentus, DW informavo šią instituciją, kad ketina įdiegti naują archyvavimo sistemą, pakeisiančią sistemą, kurioje saugomi minėti dokumentai.

16	2019 m. kovo 5 d. priežiūros institucija atliko patikrinimą centrinėje DW vadovaujamos grupės administracijoje. Per šį patikrinimą DW pranešė institucijai, kad archyvavimo sistema, dėl kurios vyksta ginčas, nebenaudojama, o duomenys nedelsiant bus perkelti į naują sistemą.

2019 m. spalio 30 d. sprendimu (toliau – nagrinėjamas sprendimas) priežiūros institucija dėl tyčinio BDAR 5 straipsnio 1 dalies a, c ir e punktų ir 25 straipsnio 1 dalies pažeidimo skyrė DW 14385000 eurų administracinę baudą. Šiuo sprendimu minėta institucija dėl BDAR 6 straipsnio 1 dalies pažeidimo skyrė DW dar 15 baudų nuo 3000 iki 17000 eurų.

Nagrinėjamame sprendime priežiūros institucija visų pirma nurodė, kad DW nuo 2018 m. gegužės 25 d. iki 2019 m. kovo 5 d. tyčia nesiėmė priemonių, būtinų reguliariam nebereikalingų ar kitu būdu neteisėtai saugomų nuomininkų duomenų ištrynimui užtikrinti. Be to, ji pažymėjo, kad DW tebesaugojo ne mažiau kaip 15 konkrečiai įvardytų nuomininkų asmens duomenis, nors to nereikėjo.

19	DW šį sprendimą apskundė Landgericht Berlin (Berlyno apygardos teismas, Vokietija). Šis teismas nutraukė bylą motyvuodamas tuo, kad nagrinėjamas sprendimas turėjo tokių didelių trūkumų, jog remiantis juo nebuvo galima skirti baudos.

Jis, be kita ko, pažymėjo, kad baudos skyrimas juridiniam asmeniui išsamiai sureglamentuotas OWiG 30 straipsnyje, kuris pagal Federalinio duomenų apsaugos įstatymo 41 straipsnio 1 dalį taikomas pažeidimams, nurodytiems BDAR 83 straipsnio 4–6 dalyse. Remiantis OWiG 30 straipsniu, tik fizinis, o ne juridinis asmuo gali būti pripažintas padaręs administracinį nusižengimą. Be to, juridiniam asmeniui gali būti inkriminuojami tik jo organų narių arba atstovų veiksmai. Nors pagal 30 straipsnio 4 dalį tam tikromis sąlygomis galima prieš juridinį asmenį pradėti atskirą administracinės baudos skyrimo procedūrą, vis dėlto tokiu atveju reikalaujama, kad būtų konstatuotas atitinkamo juridinio asmens organo narių arba atstovų padarytas administracinis nusižengimas.

21	Staatsanwaltschaft Berlin (Berlyno prokuratūra) šį sprendimą apskundė Kammergericht Berlin (Berlyno aukštesnysis apygardos teismas, Vokietija) t. y. prašymą priimti prejudicinį sprendimą pateikusiam teismui.

Pirmiausia jam kyla klausimas, ar taikant BDAR 83 straipsnį turi būti galima skirti administracinę baudą juridiniam asmeniui, prieš tai šio reglamento pažeidimo neinkriminavus konkrečiam fiziniam asmeniui. Šiomis aplinkybėmis teismui kyla neaiškumų visų pirma dėl SESV 101 ir 102 straipsniuose vartojamos „įmonės“ sąvokos.

Šiuo klausimu prašymą priimti prejudicinį sprendimą pateikęs teismais paaiškina, kad pagal nacionalinę jurisprudenciją nacionalinėje teisėje egzistuojanti ribotos juridinių asmenų atsakomybės koncepcija prieštarauja BDAR 83 straipsnyje numatytai tiesioginės įmonių atsakomybės koncepcijai. Anot šio teismo, ypač iš BDAR 83 straipsnio, kuris pagal Sąjungos teisės viršenybės principą yra viršesnis už nacionalinę tvarką, formuluotės matyti, kad administracinės baudos gali būti skiriamos įmonėms. Taigi, priešingai, nei reikalaujama pagal taikytiną nacionalinę teisę, nebūtina tokių baudų skyrimą sieti su juridinių asmenų organų ar vadovų kaltais veiksmais.

Anot prašymą priimti prejudicinį teismą pateikusio teismo, šioje jurisprudencijoje, kaip ir didelėje dalyje nacionalinės doktrinos, ypatinga svarba teikiama „įmonės“ sąvokai, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, tad ir minčiai, kad atsakomybė priskiriama ekonominiam vienetui, kuriame buvo atlikti nepageidautini, pavyzdžiui antikonkurenciniai, veiksmai. Vadovaujantis šia „funkcine“ samprata, visi visų darbuotojų, įgaliotų veikti įmonės vardu, veiksmai priskiriami įmonei, be kita ko, ir traukiant administracinėn atsakomybėn.

Antra, jeigu Teisingumo Teismas manytų, kad turi būti galima skirti administracinę baudą tiesiogiai juridiniam asmeniui, prašymą priimti prejudicinį sprendimą pateikusiam teismui kyla kausimas dėl kriterijų, kurie turi būti taikomi siekiant nustatyti juridinio asmens, kaip įmonės, atsakomybę už BDAR pažeidimą. Visų pirma jis norėtų sužinoti, ar pagal šio reglamento 83 straipsnį administracinė bauda gali būti skiriama juridiniam asmeniui, neįrodžius, kad jam priskiriamas šio reglamento pažeidimas buvo padarytas kaltais veiksmais.

Šiomis aplinkybėmis Kammergericht Berlin (Berlyno aukštesnysis apygardos teismas) nutarė sustabdyti bylos nagrinėjimą ir pateikti Teisingumo Teismui šiuos prejudicinius klausimus:

„1.

Ar BDAR 83 straipsnio 4–6 dalys turi būti aiškinamos kaip inkorporuojančios į nacionalinę teisę SESV 101 ir 102 straipsniams priskiriamą funkcinę įmonės sąvoką ir funkcijų vykdytojo principą (Funktionsträgerprinzip), o tai lemia, kad išplečiant teisės subjekto (Rechtsträgerprinzip) principą, kuriuo grindžiamas [OWiG] 30 straipsnis, administracinės baudos skyrimo procedūra gali būti vykdoma tiesiogiai prieš pačią įmonę, o norint skirti baudą nebūtina konstatuoti, kad administracinį nusižengimą padarė konkretus fizinis asmuo ir jo atveju yra visi būtini nusižengimo požymiai?

Jeigu į pirmąjį klausimą būtų atsakyta teigiamai, ar BDAR 83 straipsnio 4–6 dalys turi būti aiškinamos taip, kad turi būti nustatyta įmonės kaltė dėl darbuotojo padaryto pažeidimo (žr. 2002 m. gruodžio 16 d. Tarybos reglamento (EB) Nr. 1/2003 dėl konkurencijos taisyklių, nustatytų Sutarties 81 ir 82 straipsniuose, įgyvendinimo (OL L 1, 2003, p. 1; 2004 m. specialusis leidimas lietuvių k., 3 sk., 34 t., p. 432) 23 straipsnį), ar, norint įmonei skirti baudą, iš principo pakanka jai priskirtino objektyvaus pareigų pažeidimo (strict liability)?“

Dėl prašymo atnaujinti žodinę proceso dalį

27	Po 2023 m. sausio 17 d. įvykusio teismo posėdžio Teisingumo Teismo kanceliarija 2023 m. kovo 23 d. gavo dokumentą, juo DW paprašė atnaujinti žodinę proceso dalį pagal Teisingumo Teismo procedūros reglamento 83 straipsnį.

Grįsdama prašymą DW iš esmės teigė, kad nacionalinis teismas, atsakydamas į jam pagal Procedūros reglamento 101 straipsnį pateiktą prašymą pateikti paaiškinimų, suteikė Teisingumo Teismui netikslią informaciją apie taikytinas nacionalinės teisės nuostatas. Per 2023 m. sausio 17 d. vykusį teismo posėdį nebuvo įmanoma išsamiai aptarti šio klausimo, nes šalys apie minėtus atsakymus sužinojo likus tik trims dienoms iki posėdžio. Tiek laiko nepakako išsamiai pasiruošti teismo posėdžiui.

Pagal Procedūros reglamento 83 straipsnį Teisingumo Teismas, išklausęs generalinį advokatą, gali bet kada nutarti atnaujinti žodinę proceso dalį – pirmiausia, jeigu mano, kad jam nepateikta pakankamai informacijos, arba jeigu baigus žodinę proceso dalį šalis pateikė naują faktą, kuris gali būti lemiamas Teisingumo Teismui priimant sprendimą, arba jeigu nagrinėjant bylą reikia remtis argumentu, dėl kurio suinteresuotieji asmenys nepateikė nuomonės.

Vis dėlto nagrinėjamu atveju Teisingumo Teismas turi visą reikiamą informaciją, kad galėtų priimti sprendimą, ir ši byla neturi būti nagrinėjama remiantis argumentais, dėl kurių suinteresuotieji asmenys nepateikė nuomonės. Be to, prašyme atnaujinti žodinę proceso dalį nenurodyta jokių naujų faktų, galinčių turėti lemiamą reikšmę sprendimui, kurį Teisingumo Teismas turi priimti šioje byloje.

31	Todėl Teisingumo Teismas, išklausęs generalinį advokatą, mano, kad nėra pagrindo atnaujinti žodinę proceso dalį.

Dėl prejudicinių klausimų

Dėl pirmojo klausimo

Pirmuoju klausimu prašymą priimti prejudicinį sprendimą iš esmės siekia išsiaiškinti, ar BDAR 58 straipsnio 2 dalis ir 83 straipsnio 1–6 dalys turi būti aiškinamos kaip draudžiančios tokią nacionalinę reglamentavimo tvarką, pagal kurią administracinė bauda gali būti skiriama juridiniam asmeniui kaip duomenų valdytojui už 83 straipsnio 4–6 dalyse nurodytus pažeidimus tik jeigu toks pažeidimas prieš tai buvo priskirtas konkrečiam fiziniam asmeniui.

Pirmiausia pažymėtina, kad Vokietijos vyriausybė rašytinėse pastabose išreiškė abejonių dėl tokio nacionalinio teismo pateikto nacionalinės teisės aiškinimo, nes pagal OWiG 130 straipsnį baudą juridiniam asmeniui galima skirti ir kitais nei jo 30 straipsnyje nurodytais atvejais. Be to, pagal abi nuostatas galima skirti vadinamąją „anoniminę“ baudą, kai procedūra pradėta prieš įmonę, ir nebūtina nustatyti fizinio asmens, padariusio nagrinėjamą pažeidimą.

34	Atsakydamas į šio sprendimo 28 punkte nurodytą jam skirtą prašymą pateikti paaiškinimų, nacionalinis teismas nurodė, kad OWiG 130 straipsnis neturi įtakos pirmajam klausimui.

Jo teigimu, ši nuostata skirta gamybos arba verslo įmonės savininkui, kuris savo kaltais veiksmais turi būti neįvykdęs priežiūros pareigos. Tačiau įrodyti tokį įmonės savininkui priskirtiną pareigų pažeidimą būtų itin sudėtinga ir dažnai neįmanoma, o dėl klausimo, ar įmonių grupė gali būti kvalifikuojama kaip „įmonė“ ar „įmonių savininkas“, kaip tai suprantama pagal šią nuostatą, nacionaliniu lygmeniu vyksta kontroversiškos diskusijos. Bet kuriuo atveju pirmasis prejudicinis klausimas svarbus ir šiomis aplinkybėmis.

Primintina, kad, kiek tai susiję su nacionalinės teisės sistemos nuostatų aiškinimu, Teisingumo Teismas iš esmės turi remtis sprendime dėl prašymo priimti prejudicinį sprendimą nurodytu vertinimu. Remiantis Teisingumo Teismo suformuota jurisprudencija, valstybės narės vidaus teisės aiškinimas nepriklauso Teisingumo Teismo kompetencijai (2021 m. sausio 26 d.Hessischer Rundfunk, C‑422/19 ir C‑423/19, EU:C:2021:63, 31 punktas ir jame nurodyta jurisprudencija).

Taigi į pirmąjį prejudicinį klausimą reikia atsakyti remiantis prielaida, kad pagal taikytiną nacionalinę teisę administracinė bauda juridiniam asmeniui kaip duomenų valdytojui už BDAR 83 straipsnio 4–6 dalyse nurodytus pažeidimus gali būti skirta tik OWiG 30 straipsnyje numatytomis sąlygomis, kaip nurodė prašymą priimti prejudicinį sprendimą pateikęs teismas.

Siekiant atsakyti į pirmąjį klausimą, pirmiausia reikia pažymėti, kad BDAR numatyti principai, draudimai ir pareigos visų pirma skirti „duomenų valdytojams“, kurių atsakomybė, kaip pabrėžta BDAR 74 konstatuojamojoje dalyje, apima bet kokį jų pačių arba jų vardu atliekamą asmens duomenų tvarkymą ir kurie dėl šios priežasties privalo ne tik įgyvendinti tinkamas ir veiksmingas priemones, bet ir turi galėti įrodyti, kad jų vykdoma duomenų tvarkymo veikla atitinka BDAR, o priemonės, kurių ėmėsi tokiai atitikčiai užtikrinti, yra veiksmingos. Būtent ši atsakomybė minėto vieno iš reglamento 83 straipsnio 4–6 dalyse nurodytų pažeidimų atveju yra administracinės baudos skyrimo duomenų valdytojui pagal 83 straipsnį pagrindas.

39	BDAR 4 straipsnio 7 punkte sąvoka „duomenų valdytojas“ apibrėžta kaip fizinis arba juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, kuris vienas ar drauge su kitais nustato duomenų tvarkymo tikslus ir priemones.

Tokia plačia BDAR 4 straipsnio 7 punkte pateikta apibrėžtimi – aiškiai apimančia ir juridinius asmenis – siekiama, atsižvelgiant į BDAR tikslą, užtikrinti veiksmingą fizinių asmenų pagrindinių teisių ir laisvių apsaugą ir visų pirma aukštą kiekvieno asmens teisės į savo asmens duomenų apsaugą apsaugos lygį (šiuo klausimu žr. 2019 m. liepos 29 d. Sprendimo Fashion ID, C‑40/17, EU:C:2019:629, 66 punktą ir 2022 m. balandžio 28 d. Sprendimo Meta Platforms IrelandC‑319/20, EU:C:2022:322, 73 punktą ir jame nurodytą jurisprudenciją).

Beje, Teisingumo Teismas jau yra nusprendęs, kad fizinis arba juridinis asmuo, kuris siekdamas savo tikslų daro įtaką asmens duomenų tvarkymui ir taip dalyvauja nustatant tokio tvarkymo tikslus ir būdus, gali būti laikomas duomenų valdytoju (šiuo klausimu žr. 2018 m. liepos 10 d. Sprendimo Jehovan todistajat, C‑25/17, EU:C:2018:551, 68 punktą).

Taigi iš BDAR 4 straipsnio 7 punkto formuluotės ir tikslo matyti, kad nustatydamas atsakomybę pagal šį reglamentą Sąjungos teisės aktų leidėjas nediferencijavo fizinių ir juridinių asmenų, nes atsakomybė siejama su vienintele sąlyga, pagal kurią šie asmenys patys arba kartu su kitais turi nustatyti asmens duomenų tvarkymo tikslus ir priemones.

Taigi, nepažeidžiant BDAR 83 straipsnio 7 dalies nuostatų dėl valdžios institucijų ir įstaigų, bet kuris šią sąlygą atitinkantis asmuo, neatsižvelgiant į tai, ar tai yra fizinis asmuo, juridinis asmuo, valdžios institucija, agentūra ar kita įstaiga, yra atsakingas, be kita ko, už visus savo paties arba jo vardu padarytus 83 straipsnio 4–6 dalyse nurodytus pažeidimus.

Kalbant apie juridinius asmenis, tai reiškia, pirma, kaip iš esmės pažymėjo generalinis advokatas išvados 57–59 punktuose, kad jie yra atsakingi ne tik už savo atstovų, direktorių ar vadovų, bet ir už bet kurio kito asmens, veikiančio įgyvendinant šių juridinių asmenų komercinę veiklą ir jų vardu, padarytus pažeidimus. Antra, BDAR 83 straipsnyje numatytas administracines baudas už tokius pažeidimus turi būti galima skirti tiesiogiai juridiniams asmenims, jeigu jie gali būti laikomi nagrinėjamų duomenų valdytojais.

Toliau pažymėtina, kad BDAR 58 straipsnio 2 dalyje buvo tiksliai nustatyti priežiūros institucijų įgaliojimai imtis taisomųjų priemonių, nedarant nuorodos į valstybių narių teisę ir nepaliekant valstybėms diskrecijos. Šie įgaliojimai, pagal 58 straipsnio 2 dalies i punktą apimantys ir administracinės baudos skyrimą, orientuoti į duomenų valdytoją, o toks duomenų valdytojas, kaip matyti iš šio sprendimo 39 punkto, gali būti tiek fizinis, tiek juridinis asmuo. Materialinės sąlygos, kurių priežiūros institucija turi paisyti skirdama baudą, savo ruožtu tiksliai išdėstytos 83 straipsnio 1–6 dalyse, nepaliekant valstybėms narėms diskrecijos.

Taigi iš kartu aiškinamų BDAR 4 straipsnio 7 punkto, 83 straipsnio ir 58 straipsnio 2 dalies i punkto nuostatų matyti, kad administracinė bauda už 83 straipsnio 4–6 dalyse nurodytus pažeidimus gali būti skirta ir juridiniams asmenims, jeigu jie laikytini duomenų valdytojais. Tačiau nė viena BDAR nuostata neleidžia manyti, kad administracinės baudos skyrimas juridiniam asmeniui kaip duomenų valdytojui turi būti siejamas su reikalavimu prieš tai konstatuoti, kad šį pažeidimą padarė konkretus fizinis asmuo.

Iš BDAR 58 straipsnio 4 dalies ir 83 straipsnio 8 dalies, siejamų su jo 129 konstatuojamąja dalimi, išplaukia, kad priežiūros institucijos naudojimasis pagal šį straipsnį jai suteiktais įgaliojimais siejamas su atitinkamomis procedūrinėmis garantijomis pagal Sąjungos ir valstybių narių teisę, įskaitant veiksmingas teismines teisių gynimo priemones ir tinkamą procesą.

Vis dėlto tai, kad pagal minėtą reglamentą valstybėms narėms yra suteikta galimybė numatyti procedūros, kurią turi taikyti priežiūros institucijos skirdamos administracinę baudą, reikalavimus, visiškai nereiškia, kad jos taip pat yra įgaliotos, be procedūrinių reikalavimų, numatyti materialines sąlygas, papildančias numatytąsias 83 straipsnio 1–6 dalyse. Be to, aplinkybė, kad Sąjungos teisės aktų leidėjas aiškiai užtikrino tokią galimybę, bet ne galimybę numatyti papildomas materialines sąlygas, patvirtina, jog jis nepaliko valstybėms narėms diskrecijos šiuo klausimu. Todėl minėtos materialinės sąlygos patenka tik į Sąjungos teisės taikymo sritį.

49	Pirma išdėstytą lingvistinį BDAR 58 straipsnio 2 dalies ir 83 straipsnio 1–6 dalių aiškinimą patvirtina šio reglamento tikslas.

Visų pirma iš BDAR 10 konstatuojamosios dalies matyti, kad jo nuostatomis, be kita ko, siekiama užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą tvarkant asmens duomenis Sąjungoje ir šiuo tikslu visoje Sąjungoje užtikrinti nuoseklų ir vienodą taisyklių, kuriomis reglamentuojama šių asmenų pagrindinių teisių ir laisvių apsauga tvarkant tokius duomenis, taikymą. Be to, BDAR 11 ir 129 konstatuojamosiose dalyse pabrėžiama būtinybė užtikrinti, kad, siekiant vienodo šio reglamento taikymo, priežiūros institucijos turėtų lygiaverčius įgaliojimus stebėti ir kontroliuoti, kaip laikomasi asmens duomenų apsaugos taisyklių, ir galėtų taikyti lygiavertes sankcijas už šio reglamento pažeidimus.

Jeigu valstybėms narėms būtų leidžiama vienašališkai ir kaip būtinos administracinės baudos skyrimo pagal BDAR 83 straipsnį duomenų valdytojui, kuris yra juridinis asmuo, sąlygos reikalauti, kad aptariamas pažeidimas prieš tai būtų priskirtas arba galėtų būti priskiriamas konkrečiam fiziniam asmeniui, tai prieštarautų šiam BDAR tikslui. Be to, toks papildomas reikalavimas galiausiai galėtų susilpninti juridiniams asmenims kaip duomenų valdytojams skiriamų administracinių baudų veiksmingumą ir atgrasomąjį poveikį, ir taip būtų pažeidžiama BDAR 83 straipsnio 1 dalis.

Šiuo klausimu primintina, kad SESV 288 straipsnio antroje pastraipoje numatyta, jog Sąjungos reglamentas yra privalomas visas ir tiesiogiai taikomas visose valstybėse narėse, o tai reiškia, kad valstybės narės negali priimti vidaus teisės nuostatų, darančių poveikį tokio reglamento taikymo sričiai, nebent būtų nustatyta kitaip. Be to, valstybės narės, atsižvelgdamos į iš SESV kylančias pareigas, privalo neužkirsti kelio reglamentų tiesioginiam taikymui. Konkrečiai kalbant, jos negali priimti akto, kuriuo nuo teisės subjektų būtų nuslėptas teisės normos pobūdis ir iš jos kylančios pasekmės (2012 m. lapkričio 15 d. Sprendimo Al-Aqsa / Taryba ir Nyderlandai / Al-Aqsa, C‑539/10 P ir C‑550/10 P, EU:C:2012:711, 86 ir 87 punktai ir juose nurodyta jurisprudencija).

Galiausiai, atsižvelgiant į prašymą priimti prejudicinį sprendimą pateikusio teismo klausimus, pažymėtina, kad sąvoka „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, neturi įtakos klausimui, ar ir kokiomis sąlygomis administracinė bauda pagal BDAR 83 straipsnį gali būti skirta duomenų valdytojui, kuris yra juridinis asmuo, nes šis klausimas išsamiai sureguliuotas šio reglamento 58 straipsnio 2 dalyje ir 83 straipsnio 1–6 dalyse.

54	Ši sąvoka faktiškai reikšminga tik nustatant pagal BDAR 83 straipsnio 4–6 dalis duomenų valdytojui skirtos administracinės baudos dydį.

Kaip pažymėjo generalinis advokatas išvados 45 punkte, šio reglamento 150 konstatuojamojoje dalyje pateiktą nuorodą į sąvoką „įmonė“, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, reikia suprasti atsižvelgiant būtent į šį specifinį administracinių baudų, skiriamų už BDAR 83 straipsnio 4–6 dalyse nurodytus pažeidimus, apskaičiavimo kontekstą.

Šiuo klausimu pabrėžtina, kad taikant SESV 101 ir 102 straipsniuose nurodytas konkurencijos taisykles ši sąvoka apima bet kokį ūkinę veiklą vykdantį subjektą, neatsižvelgiant į jo teisinį statusą ar finansavimo būdus. Taigi ji reiškia ekonominį vienetą, net jeigu teisės požiūriu jį sudaro keli fiziniai arba juridiniai asmenys. Šį ekonominį vienetą sudaro žmogiškųjų išteklių, materialių ir nematerialių elementų bendras valdymas, kuriuo siekiama konkretaus ilgalaikio ekonominio tikslo (2021 m. spalio 6 d. Sprendimo Sumal, C‑882/19, EU:C:2021:800, 41 punktas ir jame nurodyta jurisprudencija).

Taigi iš BDAR 83 straipsnio 4–6 dalių, skirtų administracinėms baudoms apskaičiuoti už jose išvardytus pažeidimus, matyti, kad tuo atveju, jei administracinės baudos adresatas yra įmonė, kaip ji suprantama pagal SESV 101 ir 102 straipsnius, arba jos dalis, maksimalus administracinės baudos dydis apskaičiuojamas pagal atitinkamos įmonės ankstesnių finansinių metų bendros pasaulinės metinės apyvartos procentinę dalį.

Galiausiai, kaip pažymėjo generalinis advokatas išvados 47 punkte, tik administracinė bauda, kurios dydis nustatomas pagal jos adresato faktinį ar materialinį ekonominį pajėgumą ir kurią priežiūros institucija atitinkamai skiria remdamasi, kiek tai susiję su jos dydžiu, ūkio vieneto sąvoka, kaip ji suprantama pagal šio sprendimo 56 punkte nurodytą jurisprudenciją, gali atitikti tris BDAR 83 straipsnio 1 dalyje nustatytas sąlygas, t. y. būti veiksminga, o kartu proporcinga ir atgrasoma.

Taigi, kai priežiūros institucija, naudodamasi pagal BDAR 58 straipsnio 2 dalį turimais įgaliojimais, nusprendžia skirti duomenų valdytojui, kuris yra įmonė, kaip tai suprantama pagal SESV 101 ir 102 straipsnius, arba jos dalis, administracinę baudą pagal minėto reglamento 83 straipsnį, ji pagal pastarąją nuostatą, siejamą su šio reglamento 150 konstatuojamąja dalimi, apskaičiuodama administracines baudas už 83 straipsnio 4–6 dalyse nurodytus pažeidimus, privalo remtis „įmonės“ sąvoka, kaip ji suprantama pagal SESV 101 ir 102 straipsnius.

Atsižvelgiant į tai, kas išdėstyta, į pirmąjį klausimą atsakytina: BDAR 58 straipsnio 2 dalies i punktas ir 83 straipsnio 1–6 dalys turi būti aiškinami kaip draudžiantys tokią nacionalinę reglamentavimo tvarką, pagal kurią administracinė bauda gali būti skiriama juridiniam asmeniui kaip duomenų valdytojui už 83 straipsnio 4–6 dalyse nurodytus pažeidimus tik jeigu toks pažeidimas prieš tai buvo priskirtas konkrečiam fiziniam asmeniui.

Dėl antrojo klausimo

Antruoju klausimu, kuris pateiktas tuo atveju, jeigu į pirmąjį klausimą būtų atsakyta teigiamai, prašymą priimti prejudicinį sprendimą pateikęs teismas iš esmės siekia išsiaiškinti, ar BDAR 83 straipsnis turi būti aiškinamas taip, kad administracinė bauda pagal šią nuostatą gali būti skirta tik tuo atveju, jeigu įrodyta, kad duomenų valdytojas, kuris kartu yra juridinis asmuo ir įmonė, šio straipsnio 4–6 dalyse nurodytą pažeidimą padarė tyčia arba dėl aplaidumo.

Šiuo klausimu primintina, kad iš BDAR 83 straipsnio 1 dalies matyti, jog administracinės baudos turi būti veiksmingos, proporcingos ir atgrasomos. Tačiau BDAR 83 straipsnyje aiškiai nenurodyta, kad bauda už šio straipsnio 4–6 dalyse nurodytus pažeidimus gali būti skirta tik jeigu jie padaryti tyčia arba bent jau dėl aplaidumo.

Tuo remdamosi Vokietijos, Estijos, Norvegijos vyriausybės ir Europos Sąjungos Taryba, be kita ko, daro išvadą, kad Sąjungos teisės aktų leidėjas ketino palikti valstybėms narėms tam tikrą diskreciją įgyvendinant BDAR 83 straipsnį ir leisti joms prireikus numatyti administracinių baudų skyrimą pagal šią nuostatą net neįrodžius, kad BDAR pažeidimas, už kurį skiriama bauda, buvo padarytas tyčia arba dėl aplaidumo.

64	Negalima pritarti tokiam BDAR 83 straipsnio aiškinimui.

Kaip šiuo klausimu konstatuota šio sprendimo 45 ir 48 punktuose, materialinės sąlygos, kurių turi paisyti priežiūros institucija, skirdama administracinę baudą duomenų valdytojui, patenka tik į Sąjungos teisės taikymo sritį, nes jos yra tiksliai nustatytos BDAR 83 straipsnio 1–6 dalyse, nepaliekant valstybėms narėms diskrecijos (taip pat žr. 2023 m. gruodžio 5 d. Sprendimo Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, 64–70 punktus).

Dėl minėtų sąlygų pažymėtina, kad BDAR 83 straipsnio 2 dalyje yra išvardyti veiksniai, į kuriuos atsižvelgdama priežiūros institucija skiria duomenų valdytojui administracinę baudą. Tarp šių veiksnių šios nuostatos b punkte nurodyta: – „tai, ar pažeidimas padarytas tyčia, ar dėl aplaidumo“. Tačiau nė vienas iš minėtoje nuostatoje išvardytų veiksnių nepatvirtina galimybės patraukti duomenų valdytoją atsakomybėn nesant jo kaltės.

Be to, BDAR 83 straipsnio 2 dalį reikia aiškinti kartu su to paties straipsnio 3 dalimi, kurios tikslas numatyti kelių šio reglamento pažeidimų padarymo pasekmes ir pagal kurią: „jei duomenų valdytojas arba duomenų tvarkytojas, atlikdamas tą pačią tvarkymo operaciją arba susijusias tvarkymo operacijas, tyčia ar dėl aplaidumo pažeidžia kelias šio reglamento nuostatas, bendra administracinės baudos suma nėra didesnė nei suma, kuri nustatyta už rimčiausią pažeidimą“.

68	Taigi iš BDAR 83 straipsnio 2 dalies formuluotės matyti, kad administracinė bauda pagal šį straipsnį duomenų valdytojui gali būti skirta tik esant jo kaltei, t. y. tyčiai ar aplaidumui, padarius šio reglamento nuostatų pažeidimus.

69	BDAR bendra sistema ir tikslas patvirtina šį aiškinimą.

70	Pirma, Sąjungos teisės aktų leidėjas numatė sankcijų sistemą, leidžiančią priežiūros institucijoms skirti tinkamiausias sankcijas atsižvelgiant į kiekvieno atvejo aplinkybes.

BDAR 58 straipsnio 2 dalies i punkte iš esmės numatyta, kad priežiūros institucijos gali skirti administracines baudas pagal šio reglamento 83 straipsnį „kartu“ su 58 straipsnio 2 dalyje išvardytomis taisomosiomis priemonėmis, pavyzdžiui, kaip antai: įspėjimais, papeikimais ar nurodymais, „arba vietoj jų“. Be to, minėto reglamento 148 konstatuojamojoje dalyje, be kita ko, nurodyta, kad jeigu pažeidimas nedidelis arba administracinė bauda, kuri gali būti skirta, yra neproporcinga našta fiziniam asmeniui, priežiūros institucijoms leidžiama neskirti administracinės baudos ir vietoj jos pareikšti papeikimą.

Antra, kaip jau buvo nurodyta šio sprendimo 50 punkte, BDAR nuostatomis, be kita ko, siekiama Sąjungoje užtikrinti vienodo ir aukšto lygio fizinių asmenų apsaugą tvarkant asmens duomenis ir tuo tikslu užtikrinti nuoseklų ir vienodą taisyklių, kuriomis reglamentuojama šių asmenų pagrindinių teisių ir laisvių apsauga tvarkant tokius duomenis, taikymą visoje Sąjungoje. Be to, siekiant vienodo šio reglamento taikymo, priežiūros institucijoms būtina suteikti lygiaverčius įgaliojimus stebėti ir užtikrinti asmens duomenų apsaugos taisyklių laikymąsi ir jos turi galėti taikyti lygiavertes sankcijas už šio reglamento pažeidimus.

Sankcijų sistema, leidžianti skirti administracinę baudą pagal BDAR 83 straipsnį, kai to reikia atsižvelgiant į konkrečias kiekvieno atvejo aplinkybes, skatina duomenų valdytojus ir duomenų tvarkytojus laikytis šio reglamento. Dėl atgrasomojo poveikio administracinės baudos prisideda prie fizinių asmenų apsaugos tvarkant asmens duomenis stiprinimo, todėl yra esminis elementas užtikrinant šių asmenų teisių paisymą, atsižvelgiant į šio reglamento tikslą užtikrinti tokiems asmenims aukšto lygio apsaugą tvarkant asmens duomenis.

Vis dėlto Sąjungos teisės aktų leidėjas nemanė, kad tokiam aukštam apsaugos lygiui užtikrinti būtina numatyti administracinių baudų skyrimą nesant kaltės. Atsižvelgiant į tai, kad BDAR siekiama lygiavertės ir vienodos apsaugos ir kad šiuo tikslu jis turi būti nuosekliai taikomas visoje Sąjungoje, šiam tikslui prieštarautų leidimas valstybėms narėms numatyti tokią baudų skyrimo pagal šio reglamento 83 straipsnį sistemą. Be to, tokia pasirinkimo laisvė galėtų iškraipyti konkurenciją tarp ūkio subjektų Sąjungoje, o tai prieštarautų Sąjungos teisės aktų leidėjo, be kita ko, minėto reglamento 9 ir 13 konstatuojamosiose dalyse nurodytiems tikslams.

75	Todėl konstatuotina, kad pagal BDAR 83 straipsnį neleidžiama skirti administracinės baudos už jo 4–6 dalyse nurodytą pažeidimą, jeigu neįrodyta, kad duomenų valdytojas šį pažeidimą padarė tyčia ar dėl aplaidumo, todėl pažeidimas padarymas esant kaltei yra tokios baudos skyrimo sąlyga.

Šiuo požiūriu dėl kausimo, ar pažeidimas padarytas tyčia ar dėl aplaidumo ir dėl to už jį gali būti skirta administracinė bauda pagal BDAR 83 straipsnį, taip pat svarbu pažymėti, kad duomenų valdytojas gali būti nubaustas už elgesį, patenkantį į BDAR taikymo sritį, jeigu negalėjo nežinoti apie savo veiksmų neteisėtumą, nesvarbu, ar jis suvokė, kad pažeidžia BDAR nuostatas (pagal analogiją žr. 2013 m. birželio 18 d. Sprendimo Schenker & Co. ir kt., C‑681/11, EU:C:2013:404, 37 punktą ir jame nurodytą jurisprudenciją, 2021 m. kovo 25 d. Sprendimo Lundbeck / Komisija, C‑591/16 P, EU:C:2021:243, 156 punktą ir 2021 m. kovo 25 d. Sprendimo Arrow Group ir Arrow Generics / Komisija, C‑601/16 P, EU:C:2021:244, 97 punktą).

Jeigu duomenų valdytojas yra juridinis asmuo, dar reikėtų pažymėti, kad norint taikyti BDAR 83 straipsnį nereikalaujama to juridinio asmens valdymo organo veiksmų ar net žinojimo (pagal analogiją žr. 1983 m. birželio 7 d. Sprendimo Musique Diffusion française ir kt. / Komisija,100/80-103/80, EU:C:1983:158, 97 punktą ir 2017 m. vasario 16 d. Sprendimo Tudapetrol Mineralölerzeugnisse Nils Hansen / Komisija, C‑94/15 P, EU:C:2017:124, 28 punktą ir jame nurodytą jurisprudenciją).

Atsižvelgiant į tai, kas išdėstyta, į antrąjį klausimą atsakytina: BDAR 83 straipsnis turi būti aiškinamas taip, kad administracinė bauda pagal šią nuostatą gali būti skirta tik tuo atveju, jeigu įrodyta, kad duomenų valdytojas, kuris kartu yra ir juridinis asmuo, ir įmonė, 83 straipsnio 4–6 dalyse nurodytą pažeidimą padarė tyčia arba dėl aplaidumo.

Dėl bylinėjimosi išlaidų

Kadangi šis procesas pagrindinės bylos šalims yra vienas iš etapų prašymą priimti prejudicinį sprendimą pateikusio teismo nagrinėjamoje byloje, bylinėjimosi išlaidų klausimą turi spręsti šis teismas. Išlaidos, susijusios su pastabų pateikimu Teisingumo Teismui, išskyrus tas, kurias patyrė minėtos šalys, nėra atlygintinos.

Remdamasis šiais motyvais, Teisingumo Teismas (didžioji kolegija) nusprendžia:

2016 m. balandžio 27 d. Europos Parlamento ir Tarybos reglamento (ES) 2016/679 dėl fizinių asmenų apsaugos tvarkant asmens duomenis ir dėl laisvo tokių duomenų judėjimo ir kuriuo panaikinama Direktyva 95/46/EB (Bendrasis duomenų apsaugos reglamentas) 58 straipsnio 2 dalies i punktas ir 83 straipsnio 1–6 dalys

turi būti aiškinami taip:

jie draudžia tokią nacionalinę reglamentavimo tvarką, pagal kurią administracinė bauda gali būti skiriama juridiniam asmeniui kaip duomenų valdytojui už 83 straipsnio 4–6 dalyse nurodytus pažeidimus tik jeigu toks pažeidimas prieš tai buvo priskirtas konkrečiam fiziniam asmeniui.

2.	Reglamento 2016/679 83 straipsnis turi būti aiškinamas taip: administracinė bauda pagal šią nuostatą gali būti skirta tik tuo atveju, jeigu įrodyta, kad duomenų valdytojas, kuris kartu yra ir juridinis asmuo, ir įmonė, 83 straipsnio 4–6 dalyse nurodytą pažeidimą padarė tyčia arba dėl aplaidumo.

Parašai.

( *1 ) Proceso kalba: vokiečių.

Eureka prideda nuorodas…