Когато се налага на част от група от дружества, имуществената санкция се изчислява въз основа на оборота на групата
Публикуваха решения на Съда на ЕС по дело C-683/21 на Националния център за обществено здраве на Литва, обработващ данни на граждани за своето приложение за наблюдение на COVID-19, и C-807/21 за германска компания за недвижими имоти, която съхранява клиентски данни по-дълго от необходимото.
Съдът на Европейския съюз уточнява условията, при които национален надзорен орган може да наложи административно наказание „глоба“ или „имуществена санкция“ на един или на няколко администратори за нарушение на Общия регламент относно защитата на данните (GDPR/ОРЗД). Съдът по-конкретно постановява, че налагането на такова административно наказание предполага нарушението да е извършено виновно, тоест умишлено или по небрежност. Освен това, когато се налага на част от група от дружества, имуществената санкция се изчислява въз основа на оборота на цялата група.
Литовски съд и германски съд са поискали от Съда да тълкува Общия регламент относно защитата на данните (ОРЗД)1 с оглед на възможността национален надзорен орган да санкционира нарушение на този регламент, като наложи административно наказание „глоба“ или „имуществена санкция“ на администратор на данни.
В литовския случай Националният център по обществено здраве към Министерството на здравеопазването оспорва имуществената санкция от 12 000 евро, наложена му във връзка с разработването от частно предприятие на мобилно приложение за записване и наблюдение на данни на изложени на вируса на Covid-19 лица.
В германския случай дружеството за недвижими имоти Deutsche Wohnen, което притежава непряко около 163 000 жилищни и 3 000 търговски обекта, оспорва по-специално имуществена санкция в размер на над 14 милиона евро, наложена му за съхраняване на лични данни на наематели по-дълго от необходимото.
Съдът постановява, че административното наказание „глоба“ или „имуществена санкция“ може да се наложи на администратор за нарушение на ОРЗД само ако това нарушение е извършено виновно, тоест умишлено или по небрежност. Такъв е случаят, когато администраторът не може да не е разбирал неправомерността на действията си, независимо дали е знаел, че извършва нарушение.
Когато администраторът е юридическо лице, не е необходимо управителният му орган да е извършил нарушението или да е знаел за него. Юридическото лице носи обаче отговорност както за нарушенията, извършени от негови представители, управители, или ръководители, така и за нарушенията, извършени от всяко друго лице, което действа в рамките на търговската му дейност и от негово име. При това налагането на имуществена санкция на юридическо лице в качеството му на администратор не зависи от това дали е установено, че нарушението е извършено от идентифицирано физическо лице.
Освен това за операции, извършени от обработващ лични данни, административното наказание „глоба“ или „имуществена санкция“ може да се наложи на администратора, ако той носи отговорност за тези операции.
По отношение на съвместната отговорност на два или повече субекта Съдът уточнява, че тя следва от участието на тези субекти в определянето на целите и средствата за обработване на данните. Квалифицирането като „съвместни оператори“ не предполага наличие на формално споразумение между съответните субекти. Достатъчно е наличието на тяхно съвместно решение или дори на техни съвпадащи решения. При все това обаче, ако действително са съвместни оператори, субектите трябва да определят съответните си задължения със споразумение.
Накрая, когато изчислява размера на имуществената санкция, която да наложи на предприятие или на част от предприятие, надзорният орган трябва да се основе на понятието „предприятие“2 в правото в областта на конкуренцията. Максималният размер на тази санкция трябва следователно да се изчисли като процент от общия годишен световен оборот на съответното предприятие като цяло за предходната финансова година.
1 Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните).
2 Това понятие обхваща всеки субект, който извършва икономическа дейност, независимо от неговия правен статут и начин на финансиране. В този смисъл то обозначава една стопанска единица, дори ако от правна гледна точка тази стопанска единица е съставена от няколко физически или юридически лица.