Dana 10. lipnja 2021., talijansko nadzorno tijelo izdalo je kaznu od 2.600.000 eura protiv jedne dostavne tvrtke zbog nezakonite obrade osobnih podataka radnika platforme. Dostavna tvrtka se žalila sudu na spornu odluku.
Što je rekao sud?
Sud je poništio odluku nadzornog tijela jer iako je odluka bila legitimna u smislu utvrđene povrede, odluka o sankciji nije. Sud je utvrdio da je kazna iznosila 7,29% prometa tuženika - znatno više od parametra od 4% navedenog u članku 83(5)(a) GDPR-a i čak više od prosječnog postotka (0,0019%) drugih sankcioniranih subjekata. Stoga je Sud poništio odluku, međutim, bez izmjene iznosa sankcije jer je naveo da nema tu ovlast.
Talijansko nadzorno tijelo žalio se na ovu odluku talijanskom Vrhovnom sudu.
Glavno pitanje kojim se bavio talijanski Vrhovni sud je kršenje ili pogrešna primjena članka 83. GDPR-a i članka 166. Talijanskog zakona o privatnosti, s obzirom da je nametnuta sankcija bila u skladu s odredbama.
Vrhovni sud je ponovio da članak 83. GDPR-a uređuje opće uvjete za izricanje administrativnih sankcija, a svako nadzorno tijelo mora osigurati da su izrečene administrativne novčane kazne „u svakom pojedinačnom slučaju” učinkovite, razmjerne i odvraćajuće. Sankcije se određuju na temelju određenih elemenata navedenih u članku 83. stavku 2. GDPR-a.
Vrhovni sud je nadalje primijetio da u slučaju namjernog kršenja ili kršenja nekoliko odredaba GDPR-a, članak 83. stavak 3. GDPR-a zahtijeva da maksimalna kazna ne premašuje „iznos određen za najtežu povredu”. U tom smislu, iznos je naveden u stavcima 4. i 5. članka 83. GDPR-a. Oba predstavljaju dvije vrste upravnih kazni kao alternativne sankcije. Odnosno, redovna kazna do 10.000.000 € ili proporcionalna kazna do 2% godišnjeg prometa i do 20.000.000 € ili 4% godišnjeg prometa.
Vrhovni sud je pojasnio da druga vrsta proporcionalne novčane kazne (2% i 4%) nema za cilj ublažiti iznos predviđen uobičajenom kaznom (10.000.000 € i 20.000.000 €). Umjesto toga, postotak se koristi kada određuje višu kaznu od obične. Kao što se lako može zaključiti iz završne odredbe, "što je više". Prema mišljenju Vrhovnog suda, Sud je ovo obrazloženje u potpunosti izostavio. Dodalo se da Sud također nije uzeo u obzir da je godišnji globalni promet optuženika u 2019. iznosio 35.654.375 eura. To znači da sankcija nije premašila najveću dopuštenu kaznu prema članku 83. GDPR-a budući da je bila niža od 20.000.000 eura.
Osim toga, glede tvrdnje Suda da je sankcija nezakonita jer je navodno premašila prosječni postotak koji se primjenjuje u drugim slučajevima, Vrhovni sud je primijetio da je to učinio ne navodeći na koje druge instance se misli.
Vrhovni sud je nadalje procijenio izjavu Suda da nema ovlasti mijenjati iznos sankcije prema članku 10. talijanskog Zakonodavnog dekreta br. 150 iz 2011. Vrhovni sud je presudio da članak koji se čita u skladu s člankom 166. Zakonika o privatnosti dovodi do tvrdnje da čak i u sporovima koji se tiču osobnih podataka, Sud može poništiti cijelu ili dio odluke sve dok iznos nije manji od minimalne kazne.
U svjetlu gore navedenog, Vrhovni sud je odobrio žalbu talijanskog nadzornog tijela.
