–

pentru ILVA A/S, de D. B. Geary, advokat;

–

pentru Comisia Europeană, de A. Bouchagiar, H. Kranenborg și C. Vang, în calitate de agenți,

1

Cererea de decizie preliminară privește interpretarea articolului 83 alineatele (4)-(6) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

2

Această cerere a fost formulată în cadrul unei proceduri penale declanșate de Anklagemyndigheden (Ministerul Public, Danemarca) împotriva ILVA A/S pentru pretinse încălcări ale obligațiilor care revin acestei societăți în temeiul RGPD în calitatea sa de operator de date cu caracter personal referitoare la foști clienți.

3

Considerentele (150) și (151) ale RGPD au următorul cuprins:

4

Articolul 5 din RGPD stabilește principiile legate de prelucrarea datelor cu caracter personal.

5

Articolul 6 din RGPD stabilește condițiile în care o prelucrare a datelor cu caracter personal este considerată ca fiind legală.

6

Articolul 58 din RGPD, intitulat „Competențe”, prevede la alineatul (2):

„Fiecare autoritate de supraveghere are toate următoarele competențe de investigare:

[…]

[…]”

7

Articolul 83 din RGPD, intitulat „Condiții generale pentru impunerea amenzilor administrative”, prevede la alineatele (1), (2), (4)-(6) și (9):

„(1)   Fiecare autoritate de supraveghere asigură faptul că impunerea unor amenzi administrative în conformitate cu prezentul articol pentru încălcările prezentului regulament menționate la alineatele (4), (5) și (6) este, în fiecare caz, eficace, proporțională și disuasivă.

(2)   În funcție de circumstanțele fiecărui caz în parte, amenzile administrative sunt impuse în completarea sau în locul măsurilor menționate la articolul 58 alineatul (2) literele (a)-(h) și (j). Atunci când se ia decizia dacă să se impună o amendă administrativă și decizia cu privire la valoarea amenzii administrative în fiecare caz în parte, se acordă atenția cuvenită următoarelor aspecte:

[…]

(4)   Pentru încălcările dispozițiilor următoare, în conformitate cu alineatul (2), se aplică amenzi administrative de până la 10000000 [de euro] sau, în cazul unei întreprinderi, de până la 2 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare:

[…]

(5)   Pentru încălcările dispozițiilor următoare, în conformitate cu alineatul (2), se aplică amenzi administrative de până la 20000000 [de euro] sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare:

[…]

(6)   Pentru încălcarea unui ordin emis de autoritatea de supraveghere în conformitate cu articolul 58 alineatul (2) se aplică, în conformitate cu alineatul (2) al prezentului articol, amenzi administrative de până la 20000000 [de euro] sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare.

[…]

(9)   În cazul în care sistemul juridic al statului membru nu prevede amenzi administrative, prezentul articol poate fi aplicat astfel încât amenda să fie inițiată de autoritatea de supraveghere competentă și impusă de instanțele naționale competente, garantându‑se, în același timp, faptul că aceste căi de atac sunt eficiente și au un efect echivalent cu cel al amenzilor administrative impuse de autoritățile de supraveghere. În orice caz, amenzile aplicate trebuie să fie eficace, proporționale și disuasive. Respectivele state membre informează Comisia [Europeană] cu privire la dispozițiile de drept intern pe care le adoptă în temeiul prezentului alineat până la 25 mai 2018, precum și, fără întârziere, cu privire la orice act legislativ de modificare sau orice modificare ulterioară a acestora.”

8

Lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Legea nr. 502 privind dispoziții de completare a [RGPD]) din 23 mai 2018 prevede la articolul 41:

„1.   Cu excepția cazului în care o sancțiune mai mare este justificată în temeiul altor dispoziții legale, se aplică o amendă sau o pedeapsă cu închisoarea de până la șase luni oricărei persoane care încalcă dispozițiile privind:

[…]

4) principiile de bază pentru prelucrare, inclusiv condițiile privind consimțământul, prevăzute la articolele 5-7 și 9 din [RGPD]

[…]

3.   Articolul 83 alineatul (2) din [RGPD] trebuie respectat atunci când se impune o sancțiune în conformitate cu alineatele 1 și 2.

[…]

6.   Societățile și altele (persoanele juridice) pot fi trase la răspundere penală în conformitate cu normele prevăzute în capitolul 5 din [straffeloven (Codul penal)]. […]”

9

ILVA operează un lanț de magazine de mobilă și face parte din grupul Lars Larsen Group. Cifra de afaceri totală a grupului pentru exercițiul financiar 2016/2017 se ridica la 6,57 miliarde de coroane daneze (DKK) (aproximativ 881 de milioane de euro), iar cifra de afaceri a ILVA se ridica la aproape 1,8 miliarde DKK (aproximativ 241 de milioane de euro) pentru același exercițiu.

10

ILVA este urmărită în fața instanțelor daneze pentru că nu și‑a îndeplinit, în perioada cuprinsă între luna mai 2018 și luna ianuarie 2019, obligațiile care îi revin în temeiul RGPD în calitatea sa de operator de date cu caracter personal în contextul păstrării datelor a cel puțin 350000 de foști clienți.

11

La recomandarea Datatilsynet (Autoritatea pentru Protecția Datelor, Danemarca), Ministerul Public a solicitat aplicarea unei amenzi de 1,5 milioane DKK (aproximativ 201000 de euro) societății ILVA. Calculul acestei sume se baza nu numai pe cifra de afaceri a ILVA, ci și pe cifra de afaceri globală a grupului Lars Larsen Group.

12

Prin hotărârea din 12 februarie 2021, retten i Aarhus (Tribunalul Municipal din Aarhus, Danemarca) a declarat ILVA vinovată de faptele care îi erau imputate și a obligat‑o la plata unei amenzi de 100000 DKK (aproximativ 13400 de euro). Această instanță a considerat că ILVA acționase din neglijență, contrar celor susținute de Ministerul Public. În plus, aceasta a considerat că, întrucât numai ILVA făcea obiectul unei urmăriri penale, nu era necesar să se ia în considerare cifra de afaceri a grupului Lars Larsen Group pentru a stabili cuantumul amenzii. Pe de altă parte, aceasta a arătat că ILVA desfășura o activitate independentă de vânzare cu amănuntul și că nu fusese înființată de societatea‑mamă a acestui grup cu unicul scop de a asigura prelucrarea datelor grupului.

13

Ministerul Public a declarat apel împotriva acestei hotărâri în fața Vestre Landsret (Curtea de Apel a Regiunii de Vest, Danemarca), care este instanța de trimitere. Ministerul Public susține că noțiunea de „întreprindere” care figurează la articolul 83 alineatele (4)-(6) din RGPD trebuie înțeleasă în sensul că, pentru a stabili o amendă în cazul unei încălcări a RGPD de către o societate, este necesar să se facă trimitere la cifra de afaceri a grupului din care face parte această societate. Astfel, din considerentul (150) al RGPD ar rezulta că această noțiune trebuie înțeleasă în conformitate cu articolele 101 și 102 TFUE.

14

În schimb, ILVA consideră că, pentru a stabili o amendă pentru încălcarea RGPD de către o societate, nu ar trebui să se ia în considerare cifra de afaceri globală a grupului din care aceasta face parte. În speță, ar fi fost inițiată o procedură penală împotriva ILVA, dar nu și împotriva societății‑mamă a acesteia din urmă.

15

Instanța de trimitere consideră că răspunsul la această întrebare nu reiese în mod clar din RGPD.

16

În aceste condiții, Vestre Landsret (Curtea de Apel a Regiunii de Vest) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarele întrebări preliminare:

17

Prin intermediul întrebărilor formulate, care trebuie analizate împreună, instanța de trimitere solicită în esență să se stabilească dacă articolul 83 alineatele (4)-(6) din RGPD, citit în lumina considerentului (150) al acestui regulament, trebuie interpretat în sensul că termenul „întreprindere”, care figurează în aceste dispoziții, corespunde noțiunii de „întreprindere”, în sensul articolelor 101 și 102 TFUE, astfel încât, atunci când o amendă pentru încălcarea RGPD este impusă unui operator de date cu caracter personal, care este sau face parte dintr‑o întreprindere, cuantumul amenzii se stabilește pe baza unui procent din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior al întreprinderii, în sensul acestor articole 101 și 102.

18

De la bun început, trebuie arătat că Curtea a avut deja ocazia să răspundă la anumite întrebări referitoare la interpretarea articolului 83 din RGPD în Hotărârea din 5 decembrie 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, punctele 53-59), pronunțată după încheierea procedurii scrise în prezenta cauză.

19

Curtea a statuat că noțiunea de „întreprindere”, în sensul articolelor 101 și 102 TFUE, nu are incidență asupra aspectului dacă și în ce condiții o amendă administrativă poate fi impusă în temeiul articolului 83 din RGPD unui operator care este o persoană juridică, acest aspect fiind reglementat în mod exhaustiv la articolul 58 alineatul (2) și la articolul 83 alineatele (1)-(6) din regulamentul amintit (Hotărârea din 5 decembrie 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punctul 53).

20

Astfel, această noțiune este relevantă numai pentru stabilirea cuantumului amenzii administrative impuse unui operator în temeiul articolului 83 alineatele (4)-(6) din RGPD (Hotărârea din 5 decembrie 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punctul 54).

21

În acest context specific al calculului amenzilor administrative impuse pentru încălcări prevăzute la articolul 83 alineatele (4)-(6) din RGPD este necesar să se ia în considerare trimiterea, efectuată în considerentul (150) al respectivului regulament, la noțiunea de „întreprindere”, în sensul articolelor 101 și 102 TFUE (Hotărârea din 5 decembrie 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punctul 55).

22

În această privință, trebuie subliniat că, în vederea aplicării normelor de concurență prevăzute la articolele 101 și 102 TFUE, această noțiune cuprinde orice entitate care exercită o activitate economică, independent de statutul juridic al acestei entități și de modul său de finanțare. Ea desemnează astfel o unitate economică chiar dacă, din punct de vedere juridic, această unitate economică este constituită din mai multe persoane fizice sau juridice. Această unitate economică constă într‑o organizare unitară de elemente personale, materiale și imateriale ce urmărește în mod durabil un scop economic determinat (Hotărârea din 5 decembrie 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punctul 56 și jurisprudența citată).

23

Așadar, reiese din articolul 83 alineatele (4)-(6) din RGPD, care vizează calculul amenzilor administrative pentru încălcările enumerate la aceste alineate, că, în cazul în care destinatarul amenzii administrative este sau face parte dintr‑o întreprindere, în sensul articolelor 101 și 102 TFUE, cuantumul maxim al amenzii administrative este calculat pe baza unui procent din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior al întreprinderii în cauză (Hotărârea din 5 decembrie 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, punctul 57).

24

Cu toate acestea, trebuie să se facă distincție între stabilirea acestui cuantum maxim și calculul însuși al cuantumului unei amenzi care trebuie aplicată de autoritatea de supraveghere competentă pentru încălcarea sau încălcările specifice ale RGPD pe care această amendă le sancționează.

25

Astfel, în temeiul articolului 83 alineatul (1) din RGPD, fiecare autoritate de supraveghere asigură faptul că impunerea unor amenzi administrative în conformitate cu acest articol 83 pentru încălcările RGPD menționate la alineatele (4)-(6) din acesta este, în fiecare caz, eficace, proporțională și disuasivă.

26

Dincolo de respectarea acestor trei condiții, alineatul (2) al acestui articol 83 impune ca autoritatea de supraveghere competentă, atunci când ia decizia dacă să impună o amendă administrativă și stabilește valoarea acesteia din urmă, în fiecare caz în parte, să acorde atenția cuvenită unui anumit număr de aspecte.

27

Printre aceste aspecte figurează, în conformitate cu această din urmă dispoziție, în special natura, gravitatea și durata încălcării, numărul persoanelor vizate afectate și nivelul prejudiciilor suferite de acestea, dacă încălcarea a fost comisă intenționat sau din neglijență, acțiunile întreprinse de operatorul de date cu caracter personal sau de persoana împuternicită de operator pentru a reduce prejudiciul suferit, gradul de responsabilitate al acestui operator sau al acestei persoane împuternicite de operator și categoriile de date cu caracter personal afectate de încălcare.

28

Aspectele menționate caracterizează fie comportamentul operatorului menționat sau al persoanei împuternicite menționate, acuzată de încălcări ale anumitor dispoziții ale RGPD, fie aceste încălcări înseși. Ele servesc astfel la garantarea faptului că fiecare dintre încălcările menționate este apreciată pe baza tuturor circumstanțelor individuale relevante și că obiectivele urmărite de sistemul de sancțiuni prevăzut de RGPD sunt atinse.

29

Deși aceste aspecte nu fac trimitere la noțiunea de întreprindere, în sensul articolelor 101 și 102 TFUE, Curtea a statuat deja că numai o amendă care ține seama nu numai de ansamblul aspectelor care caracterizează astfel încălcările constatate ale RGPD, ci și, dacă este cazul, de capacitatea economică reală sau materială a destinatarului său este susceptibilă să îndeplinească cele trei condiții prevăzute la articolul 83 alineatul (1) din RGPD, și anume de a fi în același timp eficace, proporțională și disuasivă. Or, pentru a aprecia aceste condiții, trebuie să se țină seama de aspectul dacă acest destinatar face parte dintr‑o întreprindere, în sensul articolelor 101 și 102 TFUE (a se vedea în acest sens Hotărârea din 5 decembrie 2023, Deutsche Post, C‑807/21, EU:C:2023:950, punctul 58).

30

Interpretarea articolului 83 din RGPD care rezultă din cuprinsul punctelor 25-29 din prezenta hotărâre este aplicabilă și atunci când încălcările constatate ale RGPD sunt sancționate nu printr‑o amendă administrativă, ci printr‑o amendă impusă de instanțele naționale competente ca sancțiune penală.

31

Astfel cum se arată în considerentul (151) al RGPD, anumite sisteme juridice naționale, printre care cel al Regatului Danemarcei, nu permit impunerea unor amenzi administrative, astfel cum se prevede în RGPD.

32

Pentru a reglementa această situație, articolul 83 alineatul (9) din RGPD prevede că, dacă sistemul juridic al unui stat membru nu prevede amenzi administrative, acest articol 83 poate fi aplicat astfel încât, precum în speță, amenda să fie stabilită de autoritatea de supraveghere competentă și impusă de instanțele naționale competente.

33

În plus, se precizează la acest articol 83 alineatul (9), la fel ca în considerentul (151) al acestui regulament, că este necesar ca respectivele căi de atac să fie eficiente și să aibă un efect echivalent cu cel al amenzilor administrative impuse de autoritățile de supraveghere și ca, în orice caz, amenzile impuse să fie eficace, proporționale și disuasive.

34

În aceste condiții, faptul că amenda este impusă de o instanță penală în cadrul unei proceduri penale implică faptul că această instanță trebuie în orice moment să respecte normele aplicabile în materie penală, printre care, în special, drepturile procedurale de care beneficiază persoana acuzată și principiul proporționalității pedepsei, astfel cum sunt garantate de Carta drepturilor fundamentale a Uniunii Europene.

35

În această privință, astfel cum a arătat doamna avocată generală la punctul 74 din concluzii, articolul 83 din RGPD impune ca autoritățile de supraveghere competente să asigure, fără excepție, respectarea principiului proporționalității la calcularea cuantumului efectiv al amenzii aplicate, garantând un just echilibru între imperativele interesului general în materie de protecție a datelor cu caracter personal și cele privind protecția drepturilor operatorului unor astfel de date, ale persoanei împuternicite de acest operator sau ale întreprinderii din care aceștia fac parte. Rezultă că o aplicare a noțiunii de „întreprindere”, în sensul articolelor 101 și 102 TFUE, în cadrul punerii în aplicare a articolului 83 alineatele (4)-(6) din RGPD, nu pare să se lovească de obstacole de principiu atunci când încălcări ale RGPD sunt sancționate nu prin amenzi administrative, ci prin amenzi impuse de instanțe penale.

36

Având în vedere considerațiile care precedă, este necesar să se răspundă la întrebările adresate că articolul 83 alineatele (4)-(6) din RGPD, citit în lumina considerentului (150) al acestui regulament, trebuie interpretat în sensul că termenul „întreprindere”, care figurează în aceste dispoziții, corespunde noțiunii de „întreprindere”, în sensul articolelor 101 și 102 TFUE, astfel încât, atunci când o amendă pentru încălcarea RGPD este impusă unui operator de date cu caracter personal care este sau face parte dintr‑o întreprindere, cuantumul maxim al amenzii se stabilește pe baza unui procent din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior al întreprinderii. Noțiunea de „întreprindere” trebuie de asemenea să fie luată în considerare pentru a aprecia capacitatea economică reală sau materială a destinatarului amenzii și pentru a verifica astfel dacă amenda este în același timp eficace, proporțională și disuasivă.

37

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a cincea) declară:

Articolul 83 alineatele (4)-(6) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor), citit în lumina considerentului (150) al acestui regulament,

trebuie interpretat în sensul că

termenul „întreprindere”, care figurează în aceste dispoziții, corespunde noțiunii de „întreprindere”, în sensul articolelor 101 și 102 TFUE, astfel încât, atunci când o amendă pentru încălcarea Regulamentului 2016/679 este impusă unui operator de date cu caracter personal care este sau face parte dintr‑o întreprindere, cuantumul maxim al amenzii se stabilește pe baza unui procent din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior al întreprinderii. Noțiunea de „întreprindere” trebuie de asemenea să fie luată în considerare pentru a aprecia capacitatea economică reală sau materială a destinatarului amenzii și pentru a verifica astfel dacă amenda este în același timp eficace, proporțională și disuasivă.