Donosimo pregled dvije vrlo bitne presude suda EU koje zauzimaju stav o pojmu "poduzetnik" i određivanju kazne prema globalnom godišnjem prometu "grupe".
C-807/21 - Deutch Wohnen
CJEU je donio odluku da se administrativne novčane kazne prema članku 83. (stavak 4. do 6.) mogu izreći svakome tko se podvodi pod definiciju voditelja obrade podataka.
Za potrebe izračuna kazni, voditelj obrade će se možebitno smatrati poduzetnikom kako je definirano pravom tržišnog natjecanja u člancima 101. i 102. UFEU-a i kaznit će se novčanom kaznom na temelju ukupnog prometa grupe ukoliko su za to ispunjene sve pretpostavke. Mogućnost izricanja administrativnih kazni ograničena je na slučajeve kada je druga strana prekršila GDPR s namjerom ili se radi o kršenju koje je posljedica nemara.
Činjenice
Deutche Wohnen (DW) je tvrtka koja posluje na burzi nekretnina i posredno posjeduje oko 163.000 stambenih jedinica i 3.000 poslovnih jedinica. Vlasnici stambenih jedinica su i podružnice (holding kompanije) DW-a te iznajmljuju jedinice drugim tvrtkama u grupi. DW je samo glavni ili središnji menadžment. DW i grupa društava kojima upravlja obrađuju osobne podatke stanara navedenih jedinica.
Godine 2017. godine, berlinsko nadzorno tijelo za zaštitu podataka obavijestilo je DW tijekom nadzora da tvrtke unutar njegove grupe pohranjuju osobne podatke u sustav arhive potencijalno kršeći GDPR. Nadzorno tijelo nije moglo nedvojbeno utvrditi je li pohranjivanje potrebno niti postoje li zaštitne mjere koje osiguravaju brisanje podataka koji više nisu potrebni. DW je nadzorno tijelo obavijestilo da će premjestiti podatke u bazu podataka koja je u skladu sa zahtjevima GDPR-a, ali to se nikada nije ostvarilo u praksi.
U 2019.godini DPA je kaznio DW s 14.385.000 eura zbog namjernog kršenja članka 5. stavka 1. (a), (c) i (e) i članka 25. stavka 1. GDPR-a. DPA je utvrdio da je DW namjerno propustio poduzeti mjere koje su potrebne da se omogući redovito brisanje osobnih podataka koji se odnose na stanare ili da provjeri jesu li pogreškom pohranjeni u krivim sustavima pohrane. Također je navedeno da je DW nastavio pohranjivati osobne podatke najmanje 15 imenovanih stanara gdje takvo pohranjivanje nije bilo nužno niti svrhovito.
DW je uložio pravni lijek na ovu odluku Regionalnom sudu u Berlinu. Sud je naveo da je izricanje novčane kazne pravnoj osobi uređeno nacionalnim pravom (stavak 30. OWiG-a). Kao uvjet za izricanje administrativne novčane kazne protiv pravne osobe, njemački zakon zahtijeva da se izvorni prekršaj pripiše fizičkoj osobi koja je odgovorna za usklađenost pravne osobe sa zakonom.
Ured javnog tužitelja u Berlinu uložio je žalbu Višem regionalnom sudu u Berlinu. Sud je uočio da je režim ograničene odgovornosti pravnih osoba prema nacionalnom pravu nespojiv s režimom izravne odgovornosti poduzeća utvrđenim člankom 83. GDPR-a. Kao rezultat toga, proslijedilo je odluku Sudu Europske unije uz postavljanje dva pitanja:
- Uvodi li članak 83. stavci 4. do 6. GDPR-a u nacionalno pravo funkcionalni koncept "poduzeća" i načelo gospodarskog subjekta (kako je definirano pravom tržišnog natjecanja u člancima 101. i 102. UFEU-a). Ako je to slučaj, proširuje li to definiciju pravne osobe koju propisuje stavak 30. OWiG-a? Ako je tako, znači li to da se upravni kazneni postupak može pokrenuti izravno protiv poduzetnika i novčana kazna izreći bez potrebe da se utvrdi da je fizička i identificirana osoba počinila kršenje?
- Ako je odgovor na 1. pitanje potvrdan, treba li članak 83. stavak 4. do 6. GDPR-a tumačiti tako da je poduzetnik morao počiniti povredu namjerno ili nepažnjom "preko" zaposlenika ili je objektivna činjenica nastanka kršenja uzrokovanog njime dovoljna da se tom poduzetniku izrekne novčana kazna?
Sud EU:
- Prvo pitanje
Članak 83(4) do (6) isključuje nacionalno zakonodavstvo i novčana kazna može biti izrečena bilo kojoj osobi (fizičkoj ili pravnoj) koja odgovara definiciji voditelja obrade prema GDPR-u.
Pojam voditelja obrade definiran je široko i zakonodavac EU nije razlikovao fizičke i pravne osobe. Članak 4. stavak 7. GDPR-a definira ga kao fizičku ili pravnu osobu koja sama ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka. CJEU je također u prošlosti presudio da se fizička osoba može smatrati voditeljem obrade kada sudjeluje u određivanju svrhe i sredstava obrade. To znači (kao što je nezavisni odvjetnik naveo u točkama 57. do 59. svog mišljenja), pravne osobe su odgovorne za povrede koje u njihovo ime počini bilo koja osoba (fizička ili pravna). Kao rezultat toga, odgovornost voditelja obrade je izuzetno široka.
Članci 4. stavak 7., članak 83. i članak 58. stavak 2. točke (i) GDPR-a pokazuju da se upravna novčana kazna također može izreći pravnim osobama ako su voditelji obrade. S obzirom na to da je GDPR izričit po ovom pitanju, nacionalni zakon ne može nadjačati GDPR i ne daje državama članicama diskrecijsko pravo uvođenja dodatnih zahtjeva.
Pojam poduzeća (u smislu članaka 101. i 102. UFEU-a) stoga nema utjecaja na uvjete za upravnu novčanu kaznu prema članku 83. GDPR-a. To je pitanje iscrpno uređeno člankom 58. stavkom 2. i člankom 83. stavcima 1. do 6. GDPR-a. Stoga je koncept poduzeća relevantan samo u svrhu određivanja iznosa upravne novčane kazne izrečene voditelju obrade prema članku 83. stavcima 4. do (6.) GDPR-a.
Na kraju, u svrhu definiranja pojma "poduzetnika" primjenjuju se pravila o tržišnom natjecanju iz članaka 101. i 102. UFEU‑a, u kojima taj pojam obuhvaća svaki subjekt koji se bavi gospodarskom djelatnošću, neovisno o pravnom statusu tog subjekta i načinu njegova financiranja. On tako označava gospodarsku jedinicu čak i ako se, s pravnog gledišta, ta gospodarska jedinica sastoji od nekoliko fizičkih ili pravnih osoba. Ističe se i da se gospodarska jedinica sastoji od jedinstvene organizacije osobnih, materijalnih i nematerijalnih elemenata kojom se trajno želi postići određeni gospodarski cilj (presuda od 6. listopada 2021., Sumal, C‑882/19, EU:C:2021:800, t. 41. i navedena sudska praksa).
Stoga iz članka 83. stavaka 4. do 6. GDPR‑a, koji se odnosi na izračun upravnih novčanih kazni za kršenja navedena u tim stavcima, proizlazi da se, u slučaju kada je adresat upravne novčane kazne poduzetnik ili dio poduzetnika u smislu članaka 101. i 102. UFEU‑a, najveći iznos upravne novčane kazne izračunava se na temelju postotka ukupnog godišnjeg prometa na svjetskoj razini za prethodnu poslovnu godinu predmetnog poduzetnika.
U konačnici, kao što je to nezavisni odvjetnik istaknuo u točki 47. svojeg mišljenja, samo upravna novčana kazna čiji se iznos određuje prema stvarnoj ili materijalnoj ekonomskoj sposobnosti njezina adresata i koju stoga nadzorno tijelo izriče temeljeći svoju odluku u pogledu njezina iznosa na pojmu gospodarske jedinice u smislu sudske prakse navedene u točki 56. presude može ispuniti sva tri uvjeta navedena u članku 83. stavku 1. GDPR‑a, odnosno istodobno biti djelotvorna, proporcionalna i odvraćajuća.
Stoga, kada nadzorno tijelo odluči, na temelju ovlasti koje ima na temelju članka 58. stavka 2. GDPR‑a, izreći voditelju obrade, koji je poduzetnik ili dio poduzetnika u smislu članaka 101. i 102. UFEU‑a, upravnu novčanu kaznu u skladu s člankom 83. navedene uredbe, to je tijelo na temelju potonje odredbe, u vezi s uvodnom izjavom 150. te uredbe, prilikom izračuna upravnih novčanih kazni za kršenja iz stavaka 4. do 6. tog članka 83. dužno donijeti svoju odluku na temelju pojma "poduzetnik" u smislu tih članaka 101. i 102. UFEU‑a.
- Drugo pitanje
Prvo, nadzorna tijela nemaju diskrecijsko pravo po ovom pitanju. Uvjeti koje nadzorno tijelo mora zadovoljiti kada izriče administrativnu novčanu kaznu voditelju obrade uređeni su isključivo pravom EU-a, budući da su detaljno utvrđeni i bez ostavljanja diskrecijskog prava državama članicama, u članku 83. stavcima 1. do 6. GDPR-a.
Drugo, članak 83. stavak 2. točka (b) GDPR-a, čitan zajedno s člankom 83. stavkom 3. GDPR-a - oba opisuju namjerni karakter kršenja i kršenja iz nemara. Iz teksta ovih članaka proizlazi da se novčanom kaznom mogu kazniti samo prekršaji koje je voditelj obrade počinio namjerno ili iz nemara.
Treće, ovo tumačenje je šire propisano i u odredbama koje opisuju samu svrhu GDPR-a. Zakonodavac EU-a nije smatrao potrebnim prilikom izrade nacrta GDPR-a nametnuti odredbu o objektivnoj odgovornosti za administrativne novčane kazne. GDPR ima za cilj razinu zaštite koja je jednakovrijedna i homogena te se u tu svrhu mora dosljedno primjenjivati u cijeloj Europskoj uniji. Bilo bi protivno navedenoj svrsi dopustiti državama članicama da predvide strogi sustav objektivne odgovornosti za novčane kazne prema članku 83. GDPR-a. Takva sloboda izbora dodatno bi mogla narušiti tržišno natjecanje između gospodarskih subjekata unutar Europske unije, što bi bilo u suprotnosti s navedenim ciljevima zakonodavca EU-a, posebice onima iz uvodnih izjava 9. i 13. GDPR-a.
Na kraju, ako je voditelj obrade pravna osoba, nije nužno da je povredu počinila uprava ili rukovoditelji ili direktor, niti je potrebno da je to uprava ili rukovoditelj ili direktor znalo/znao za tu povredu. Umjesto toga, pravna je osoba odgovorna za prekršaje koje su počinili njezini zaposlenici, a to može biti bilo koja osoba koja u poslovanju djeluje u ime voditelja obrade.
C-383/23 - ILVA
ILVA (voditelj obrade podataka) upravlja lancem trgovina namještajem i dio je Lars Larsen grupe (poduzetnik). Ukupan promet poduzetnika bio je višestruko veći od prometa voditelja obrade nad kojim je pokrenut nadzor. Voditelj obrade optužen je za kršenje GDPR-a u vezi s čuvanjem osobnih podataka najmanje 350 000 bivših kupaca.
Na preporuku danskog nadzornog tijela (DPA-a), nadležno tijelo u Danskoj tražilo je izricanje novčane kazne od 1.500.000,00 DKK (približno 201.000,00 €) voditelju obrade. Izračun tog iznosa temeljio se ne samo na prometu društva ILVA, već i na ukupnom prometu poduzetnika.
Sud u Aarhusu utvrdio je da, budući da su optužbe podignute samo protiv voditelja obrade, nije bilo potrebno uzeti u obzir promet grupe da bi se odredio iznos kazne. Nadalje, sud je primijetio da je voditelj obrade obavljao samostalnu maloprodajnu djelatnost te da ga matično društvo nije osnovalo samo u svrhu obrade podataka poduzetnika.
Ured javnog tužitelja uložio je žalbu Visokom sudu Zapadne Danske (Vestre Landsret), koji je odlučio prekinuti postupak i zatražiti prethodnu odluku kojom se u biti pitalo treba li se članak 83. (stavak 4. do 6.) GDPR-a, čitan u svjetlu uvodne izjave 150., tumačiti tako da pojam "poduzetnik" u tim odredbama odgovara pojmu "poduzetnika" u smislu članaka 101. i 102. UFEU-a, s posljedicom da se, kada je novčana kazna za kršenje GDPR-a izrečena voditelju obade koji je ili čini dio poduzetnika, iznos kazne treba odrediti na temelju postotka ukupnog globalnog godišnjeg prometa poduzenika u prethodnoj poslovnoj godini.
Mišljenje nezavisnog odvjetnika (Advocate General)
Nezavisni odvjetnik je naglasio da je pojam "poduzetnika" nedavno protumačio CJEU u C-807/21 Deutsche Wohnen. Prema CJEU-u, obvezu treba shvatiti u skladu s pravom tržišnog natjecanja EU-a i člankom 101. i člankom 102. UFEU-a. Konkretno, to je "subjekt koji se bavi gospodarskom djelatnošću", bez obzira na njegov pravni oblik. Kad je riječ o izračunu kazne, temelj bi trebao biti promet poduzetnika.
U konkretnom slučaju, nezavisni odvjetnik je skrenuo pozornost na utjecaj matičnog društva na društva unutar grupe. Taj utjecaj, kako je definirano u sudskoj praksi Suda Europske unije, svodi se, na primjer, na imenovanje članova uprave ili sazivanje sastanaka dioničara ili nadzornog odbora i sl. Ako matično društvo "vrši odlučujući utjecaj" na voditelja obrade, tada bi se poduzeće prema članku 83. stavku 5. GDPR-a sastojalo od: 1) voditelja obrade, 2) matičnog društva, 3) drugih društava pod odlučujućim utjecajem matičnog društva.
Slijedom toga, promet grupe predstavljao bi osnovu za izračun najveće kazne. Unatoč tome, nezavisni odvjetnik je istaknuo da se pravila za izračun najveće primjenjive novčane kazne ne moraju primjenjivati kao "glavna ili jedina referenca za određivanje stvarne novčane kazne". To je zato što bi stvarna kazna trebala odražavati sve činjenice slučaja, uključujući sve otegotne i olakotne okolnosti. Nezavisni odvjetnik je naglasio da je jedna od relevantnih okolnosti uloga članova poduzeća u počinjenom prekršaju.
AG je dodatno sugerirao da se također moraju poštivati jamstva poštenog kaznenog postupka. Posebno se mora poštivati načelo proporcionalnosti. Zaključno, AG je predložio da se uzme u obzir sljedeće kada se koristi koncept poduzeća kako bi se odredio iznos stvarne kazne prema članku 83. GDPR-a:
"Prvo, treba procijeniti je li matična tvrtka izvršila svoju ovlast/ obvezu donošenja odluka u vezi s određenim aktivnostima voditelja obrade ili izvršitelja obrade u pitanju u kršenjima GDPR-a. Drugo, treba razmotriti odnosi li se određena obrada podataka koja krši GDPR na dotičnu tvrtku i/ili na cijelu grupu. Treće, potrebno je utvrditi je li više od jedne tvrtke koja je dio grupe bilo uključeno u GDPR kršenje(a)."
Pojašnjenja suda
Sud je pojasnio da je koncept "poduzetnika" u okviru GDPR-a relevantan samo u svrhu određivanja iznosa administrativne novčane kazne izrečene voditelju u skladu s člankom 83. stavcima 4. do 6. GDPR-a. Sud je definirao poduzetnika općenito kao pojam koji je određen u pravilima tržišnog natjecanja, a posebno kao gospodarsku cjelinu bez obzira sastoji li se pravno od više fizičkih ili pravnih osoba.
Sud je potvrdio svoju odluku u predmetu C‑807/21 Deutsche Wohnen da se članak 83. stavci 4. do 6. GDPR-a čitan u svjetlu uvodne izjave 150. mora tumačiti na način da kada je primatelj administrativne novčane kazne dio poduzeća, u smislu članaka 101. i 102. UFEU-a, najveći iznos administrativne kazne izračunava se na temelju postotka ukupnog iznosa globalnog godišnjeg prometa prethodne poslovne godine dotičnog poduzeća.
Međutim, sud je naveo da u skladu s člankom 83. stavkom 1. GDPR-a nadzorna tijela moraju osigurati da su administrativne kazne u svakom pojedinačnom slučaju učinkovite, razmjerne i odvraćajuće. Nadalje, članak 83. stavak 2. GDPR-a zahtijeva da nadzorno tijelo, kada odlučuje hoće li izreći administrativnu novčanu kaznu i kada određuje iznos, mora uzeti u obzir niz čimbenika koji služe kako bi se osiguralo da se svaki od tih prekršaja procjenjuje na temelju svih relevantnih pojedinačnih okolnosti i da se postignu ciljevi kojima se teži sustavom kazni predviđenih GDPR-om. Iako se ti čimbenici ne pozivaju na koncept poduzeća, u smislu članaka 101. i 102. UFEU-a, sud je ponovio iz svoje gore navedene presude u predmetu Deutsche Wohnen, da je samo novčana kazna koja uzima u obzir stvarni ili materijalni ekonomski kapacitet voditelja učinkovita, razmjerna i odvraćajuća. Za procjenu tih uvjeta, sud je utvrdio, potrebno je uzeti u obzir je li taj voditelj dio poduzeća. Dakle, ipak su nadzorna tijela tu da procijene učinkovitost kazne te utvrde otegotne i olakotne okolnosti što ne znači odmah da će kazna biti odmjerena na razini cijele grupe (po definiciji poduzetnika) ukoliko je struktura odlučivanja i drugi procesi uspostavljena/ uspostavljeni na način koji će p(d)okazati nadzornom tijelu da i izricanje kazne samo tom društvu s obzirom na to tko ima odlučujući utjecaj u donošenju odluka ima učinkovitu ulogu prilikom odmjeravanja kazne.
Osim toga, sud je presudio da se u skladu s člankom 83. stavkom 9. GDPR-a to također primjenjuje kada nadležni nacionalni sudovi u kaznenom postupku utvrde kršenje GDPR-a.
Zaključak, prilikom uspostavljanja procesa odlučivanja potrebno je odmah paziti i na dio odmjeravanja kazni u budućnosti kako bi ostavili prostora da nadzorna tijela ne odmjere kaznu na razini grupe. Strukture odlučivanja kao i činjenica tko ima odlučujući faktor može biti odlučujuća.
