Публикуваха заключението на Генерален адвокат Лейла Медина по дело C-383/23, свързано с въпроса дали, когато на дадено дружество се налага глоба за нарушаване на GDPR, следва да се вземе предвид общият годишен оборот на групата, от която то е част, а не само неговият общ годишен оборот
Срещу дружеството I е повдигнато обвинение пред датските съдилища за това, че от май 2018 г. до януари 2019 г. не е изпълнило задълженията си по член 5, параграф 1, буква д), член 5, параграф 2 и член 6 от GDPR в качеството си на администратор на лични данни във връзка със съхраняването на лични данни, отнасящи се до негови бивши клиенти.
I управлява верига от мебелни магазини и е част от група. Общият оборот на групата през финансовата 2016/2017 г. възлиза на 6,57 млрд. датски крони (DKK) (около 881 млн. евро). В рамките на този оборот оборотът на дъщерното дружество I възлиза на 1,8 млрд. датски крони (около 241 млн. евро).
По препоръка на Datatilsynet (датският орган по защита на данните) прокурор иска да бъде наложена имуществена санкция в размер на 1,5 млн. датски крони (около 201 000 евро). Взетият предвид за изчисляването на размера на тази имуществена санкция оборот е не този на I, а общият оборот на цялата група.
С решение от 12 февруари 2021 г. Първоинстанционен съд, Орхус признава I за виновно по повдигнатото обвинение, но постановява, че то е действало по небрежност, противно на твърденията на прокурора. Посоченият съд осъжда I да заплати имуществена санкция в размер на 100 000 DKK (около 13 400 евро). Освен това според този съд, доколкото обвиненията са повдигнати само срещу I, а не срещу цялата група, не е необходимо да се взема предвид оборотът на тази група, за да се изчисли размерът на имуществената санкция. Освен това той посочва, че I е извършвало самостоятелна дейност по търговия на дребно и че групата не е създала това дъщерно дружество единствено с цел да му възложи обработката на личните данни на групата.
Прокурорът протестира това решение пред Западен областен съд, Дания, който е запитващата юрисдикция. Тази юрисдикция иска да се установи дали понятието „предприятие“, съдържащо се в член 83, параграфи 4-6 от ОРЗД, трябва да се разбира в смисъл, че за определянето на имуществената санкция в случай на нарушение на ОРЗД от страна на дружество следва да се взема предвид оборотът на групата, от която е част това дружество.
В Заключение на генералния адвокат Лейла Медина по дело C-383/23 пише, че приканва за целите на определянето на размера на действителната имуществена санкция Съдът да приеме, че при прилагането на понятието „предприятие“ в контекста на определянето на действителната имуществена санкция съгласно член 83 от ОРЗД следва да се вземат предвид следните аспекти. Първо, следва да се прецени дали дружеството майка е упражнило правомощията си за вземане на решения по отношение на конкретните дейности на администратора или обработващия лични данни, предмет на нарушението/нарушенията на ОРЗД/GDPR. Второ, трябва да се провери дали конкретното обработване на данни, което нарушава ОРЗД, се отнася до съответното дружество и/или до цялата група. Трето, необходимо е да се установи дали в нарушението(ята) на ОРЗД е участвало повече от едно дружество от групата…
Запитващата юрисдикция трябва да следи за спазването на принципа на пропорционалност при определянето на действителната имуществена санкция, постигайки съответно справедлив баланс между изискванията на общия интерес на общността от защита на личните данни и изискванията на защитата на основните права на администратора, обработващия лични данни или предприятието, от което той е част.
Предлагам на Съда да отговори на преюдициалните въпроси, поставени от Западен областен съд, Дания, както следва:
„Член 83, параграфи 4 – 6 от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) трябва да се тълкува в смисъл, че когато се налага имуществена санкция на администратор или обработващ лични данни, който е предприятие (или част от предприятие), понятието „предприятие“ трябва да се тълкува като съответстващо на понятието „предприятие“ по смисъла на членове 101 и 102 ДФЕС за целите на определянето на максималния размер на имуществената санкция. Съответно се взема предвид общият годишен световен оборот на предприятието, част от което е администраторът или обработващият лични данни.
Когато обаче се определя каква да е действителната имуществената санкция, понятието „предприятие“ трябва да се тълкува във връзка с член 83, параграфи 1 и 2 от Регламент 2016/679 и да се използва като един от множеството релевантни елементи при преценката на конкретните обстоятелства на отделния случай. В това отношение конкретните обстоятелства могат да се отнасят до правомощията на дружеството майка за вземане на решения, обхвата на обработването на данни, с което се нарушават правилата на този регламент, и броя на субектите, които са част от предприятието и са участвали в нарушението.
Освен това, когато във връзка с член 83, параграф 9 от Регламент 2016/679 такава имуществена санкция се налага от национален съд в рамките на наказателно производство, действителният ѝ размер трябва да се преценява с оглед на принципите, които са приложими в наказателното право. В този контекст националният съд трябва да следи за спазването на принципа на пропорционалност при определянето на действителната имуществена санкция, постигайки съответно справедлив баланс между изискванията на общия интерес на общността от защита на личните данни и изискванията на защитата на основните права на администратора, обработващия лични данни или предприятието, от което той е част“.