Concluziile avocatei generale doamna L. Medina prezentate la 12 septembrie 2024.#Procedură penală împotriva ILVA A/S.#Cerere de decizie preliminară formulată de Vestre Landsret.#Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) nr. 2016/679 – Articolul 83 alineatele (4)-(6) și (9) – Noțiunea de «întreprindere» – Societate‑mamă și filială – Încălcarea acestui regulament de către o filială – Calculul cuantumului amenzii – Luare în considerare a cifrei de afaceri globale a grupului din care face parte această filială.#Cauza C-383/23.

Prin prezenta cerere de decizie preliminară formulată de Vestre Landsret (Curtea de Apel a Regiunii de Vest, Danemarca) se solicită o interpretare a articolului 83 alineatele (4)-(6) din Regulamentul (UE) 2016/679 ( 2 ). Cererea a fost formulată în contextul procedurii penale inițiate de Anklagemyndigheden (Ministerul Public, Danemarca) împotriva societății ILVA A/S (denumită în continuare „ILVA”) ( 3 ) pentru neîndeplinirea obligațiilor care îi revin în temeiul articolului 5 alineatul (1) litera (e), al articolului 5 alineatul (2) și al articolului 6 din RGPD în calitatea sa de operator de date cu caracter personal aparținând unui număr de cel puțin 350000 de foști clienți.

Cauza vizează aspectul dacă noțiunea „întreprindere” care figurează la articolul 83 alineatele (4)-(6) din RGPD trebuie interpretată, în lumina considerentului (150) al regulamentului menționat, în sensul că aceasta corespunde noțiunii de „întreprindere” în sensul dreptului Uniunii în materie de concurență (articolele 101 și 102 TFUE). Astfel, se ridică problema dacă, în cadrul aplicării unei amenzi împotriva unei societăți comerciale în legătură cu o încălcare a RGPD, trebuie să se ia în considerare cifra de afaceri totală anuală a entității economice (sau a grupului) din care face parte societatea care a săvârșit încălcarea, iar nu doar cifra de afaceri totală anuală a societății comerciale respective înseși.

Specificitatea prezentei cauze constă în faptul că, în litigiul principal, amenda nu a fost aplicată de autoritatea națională de supraveghere a protecției datelor cu caracter personal în cadrul competențelor sale de supraveghere, ci de o instanță în cursul unei proceduri penale. Într‑adevăr, legiuitorul Uniunii a introdus în RGPD o dispoziție specifică în această privință, care se aplică în special Danemarcei.

Potrivit considerentelor (150) și (151) ale RGPD: „(150) Pentru consolidarea și armonizarea sancțiunilor administrative în cazul încălcării prezentului regulament, fiecare autoritate de supraveghere ar trebui să aibă competența de a impune amenzi administrative. Prezentul regulament ar trebui să indice încălcările, și limita maximă și criteriile pentru stabilirea amenzilor administrative aferente, care ar trebui să fie stabilite de autoritatea de supraveghere competentă în fiecare caz în parte, ținând seama de toate circumstanțele relevante ale situației specifice, luându‑se în considerare în mod corespunzător, în special, natura, gravitatea și durata încălcării, precum și consecințele acesteia și măsurile luate pentru a se asigura respectarea obligațiilor în temeiul prezentului regulament și pentru a se preveni sau atenua consecințele încălcării. În cazul în care amenzile administrative sunt impuse unei întreprinderi, o întreprindere ar trebui înțeleasă ca fiind o întreprindere în conformitate cu articolele 101 și 102 TFUE în aceste scopuri. […] (151) Sistemele juridice ale Danemarcei și Estoniei nu permit amenzi administrative astfel cum sunt prevăzute în prezentul regulament. Normele privind amenzile administrative pot fi aplicate astfel încât, în Danemarca, amenda să fie impusă de instanțele naționale competente ca sancțiune penală, iar în Estonia amenda să fie impusă de autoritatea de supraveghere în cadrul unei proceduri privind delictele, cu condiția ca o astfel de aplicare a normelor în statele membre respective să aibă un efect echivalent cu cel al amenzilor administrative impuse de autoritățile de supraveghere. Prin urmare, instanțele naționale competente ar trebui să țină seama de recomandarea autorității de supraveghere care a inițiat amenda. În orice caz, amenzile impuse ar trebui să fie eficace, proporționale și disuasive.”

Articolul 83 din RGPD, intitulat „Condiții generale pentru impunerea amenzilor administrative”, prevede: „(1) Fiecare autoritate de supraveghere asigură faptul că impunerea unor amenzi administrative în conformitate cu prezentul articol pentru încălcările prezentului regulament menționate la alineatele (4), (5) și, (6) este, în fiecare caz, eficace, proporțională și disuasivă. (2) În funcție de circumstanțele fiecărui caz în parte, amenzile administrative sunt impuse în completarea sau în locul măsurilor menționate la articolul 58 alineatul (2) literele (a)-(h) și (j). Atunci când se ia decizia dacă să se impună o amendă administrativă și decizia cu privire la valoarea amenzii administrative în fiecare caz în parte, se acordă atenția cuvenită următoarelor aspecte: […] (3) În cazul în care un operator sau o persoană împuternicită de operator încalcă în mod intenționat sau din neglijență, pentru aceeași operațiune de prelucrare sau pentru operațiuni de prelucrare conexe, mai multe dispoziții din prezentul regulament, cuantumul total al amenzii administrative nu poate depăși suma prevăzută pentru cea mai gravă încălcare. (4) Pentru încălcările dispozițiilor următoare, în conformitate cu alineatul (2), se aplică amenzi administrative de până la 10000000 EUR sau, în cazul unei întreprinderi, de până la 2 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare: […] (5) Pentru încălcările dispozițiilor următoare, în conformitate cu alineatul (2), se aplică amenzi administrative de până la 20000000 EUR sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare: […] (6) Pentru încălcarea unui ordin emis de autoritatea de supraveghere în conformitate cu articolul 58 alineatul (2) se aplică, în conformitate cu alineatul (2) din prezentul articol, amenzi administrative de până la 20000000 EUR sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri mondială totală anuală corespunzătoare exercițiului financiar anterior, luându‑se în calcul cea mai mare valoare. […] (8) Exercitarea de către autoritatea de supraveghere a competențelor sale în temeiul prezentului articol are loc cu condiția existenței unor garanții procedurale adecvate în conformitate cu dreptul Uniunii și cu dreptul intern, inclusiv căi de atac judiciare eficiente și dreptul la un proces echitabil. […]”

Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Legea nr. 502 din 23 mai 2018 de completare a Regulamentului privind protecția în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date) prevede la articolul 41 din aceasta: „[Alineatul 1.] Cu excepția cazului în care o sancțiune mai mare este justificată în temeiul altor dispoziții legale, se aplică o amendă sau o pedeapsă cu închisoarea de până la șase luni oricărei persoane care încalcă dispozițiile privind: […] (4) principiile de bază pentru prelucrare, inclusiv condițiile privind consimțământul, în conformitate cu articolele 5-7 și 9 din [RGPD], […] Alineatul 3. Articolul 83 alineatul (2) din [RGPD] trebuie respectat atunci când se impune o sancțiune în conformitate cu alineatele 1 și 2. […] Alineatul 6. Societățile comerciale ș.a.m.d. (persoanele juridice) pot fi trase la răspundere penală în conformitate cu normele prevăzute în capitolul 5 din Codul penal. […]”

ILVA este acuzată în cauza aflată pe rolul instanțelor daneze de neîndeplinirea, în perioada cuprinsă între mai 2018 și ianuarie 2019, a obligațiilor care îi revin, în temeiul articolului 5 alineatul (1) litera (e), al articolului 5 alineatul (2) și al articolului 6 din RGPD, în calitate de operator, în ceea ce privește păstrarea datelor cu caracter personal referitoare la foștii săi clienți.

ILVA operează un lanț de magazine de mobilă și face parte din grupul Lars Larsen Group (denumit în continuare „grupul”). Cifra de afaceri totală a grupului în exercițiul financiar 2016/2017 s‑a ridicat la valoarea de 6,57 miliarde de coroane daneze (DKK) (aproximativ 881 de milioane de euro). Din această sumă, cifra de afaceri a filialei ILVA s‑a ridicat la valoarea de 1,8 miliarde de coroane daneze (aproximativ 241 de milioane de euro).

La recomandarea Datatilsynet (denumit în continuare „Agenția pentru protecția datelor”, Danemarca, care este autoritatea daneză pentru protecția datelor sau „autoritatea de supraveghere” în sensul RGPD), Ministerul Public a susținut că ar trebui aplicată o amendă societății ILVA de 1,5 milioane de coroane daneze (aproximativ 201000 de euro). Cadrul privind cifra de afaceri pentru calcularea cuantumului acestei amenzi nu se bazează pe cifra de afaceri a ILVA, ci pe cifra de afaceri totală a întregului grup.

Prin hotărârea pronunțată la 12 februarie 2021, Retten i Aarhus (Tribunalul Districtual din Aarhus, Danemarca) a constatat că ILVA se face vinovată de acuzațiile aduse, însă a statuat că aceasta a acționat cu neglijență, contrar celor susținute de Ministerul Public. Această instanță a obligat ILVA la plata unei amenzi de 100000 de coroane daneze (aproximativ 13400 de euro). În plus, potrivit acestei instanțe, în măsura în care au fost formulate acuzații numai împotriva ILVA, și nu împotriva întregului grup, nu era necesar să se ia în considerare cifra de afaceri a grupului respectiv la calcularea cuantumului amenzii. Instanța menționată a arătat, de asemenea, că ILVA desfășura o activitate independentă de vânzare cu amănuntul și că grupul nu înființase această filială cu unicul scop de a‑i încredința prelucrarea datelor cu caracter personal ale grupului.

Ministerul Public a declarat apel împotriva acestei hotărâri în fața Vestre Landsret (Curtea de Apel a Regiunii de Vest, Danemarca), care este instanța de trimitere. Această instanță urmărește să afle dacă noțiunea „întreprindere” care figurează la articolul 83 alineatele (4)-(6) din RGPD trebuie înțeleasă în sensul că, pentru a stabili o amendă în cazul unei încălcări a RGPD de către o societate, este necesar să se țină seama de cifra de afaceri a grupului din care face parte societatea în cauză.

Ministerul Public susține că aceasta ar fi situația. El susține că din considerentul (150) al RGPD rezultă că această noțiune trebuie înțeleasă în conformitate cu articolele 101 și 102 TFUE.

ILVA, pe de altă parte, susține că, atunci când se stabilește o amendă pentru încălcarea RGPD de către o întreprindere, nu ar trebui să se țină seama de cifra de afaceri totală a grupului din care face parte societatea în cauză. În acest caz specific, au fost formulate acuzații numai împotriva ILVA, care este o filială, iar nu împotriva societății‑mamă.

Instanța de trimitere consideră că răspunsul la această întrebare nu reiese în mod clar din RGPD.

În aceste condiții, Vestre Landsret (Curtea de Apel a Regiunii de Vest, Danemarca) a hotărât să suspende judecarea cauzei și să adreseze Curții de Justiție următoarele întrebări preliminare: „1) Noțiunea de «întreprindere» prevăzută la articolul 83 alineatele (4)-(6) din [RGPD] trebuie înțeleasă ca desemnând o întreprindere în sensul articolelor 101 și 102 TFUE coroborate cu considerentul (150) al acestui regulament și cu jurisprudența [Curții de Justiție] [referitoare] la dreptul Uniunii în materie de concurență, astfel încât noțiunea de «întreprindere» include orice entitate care desfășoară o activitate economică, indiferent de statutul său juridic și de modul său de finanțare? 2) În cazul unui răspuns afirmativ la prima întrebare, articolul 83 alineatele (4)-(6) din [RGPD] trebuie interpretat în sensul că, la aplicarea unei amenzi unei întreprinderi, trebuie să se ia în considerare cifra de afaceri mondială totală anuală a entității economice din care face parte întreprinderea sau numai cifra de afaceri mondială totală anuală a întreprinderii înseși?”

ILVA și Comisia Europeană au depus observații scrise. La 19 iunie 2024, a avut loc o ședință în cursul căreia cele două părți au fost reprezentate.

Contextul dispozițiilor specifice ale RGPD, care sunt relevante în prezenta cauză ( 4 ) și care sunt aplicabile în special Danemarcei, constă în faptul că Agenția pentru protecția datelor nu are în principiu competența de a impune amenzi administrative pentru încălcarea legislației privind protecția datelor. Agenția pentru protecția datelor are, în schimb, obligația de a prezenta un raport poliției, în cazul în care consideră necesar ( 5 ). Ulterior, poliția anchetează și stabilește dacă există temeiuri pentru formularea unei acuzații oficiale. În caz afirmativ, cauza este trimisă pe rolul instanțelor, care o examinează și stabilesc cuantumul amenzii.

În opinia noastră, cele două întrebări preliminare trebuie examinate împreună. Prin intermediul acestor întrebări, instanța de trimitere solicită în esență să se stabilească dacă noțiunea „întreprindere” care figurează la articolul 83 alineatele (4)-(6) din RGPD trebuie interpretată, în lumina considerentului (150) al acestui regulament, în sensul că corespunde noțiunii de „întreprindere”, în sensul articolelor 101 și 102 TFUE. Astfel se ridică problema dacă, în contextul aplicării unei amenzi împotriva unei societăți comerciale în legătură cu o încălcare a RGPD, trebuie să se ia în considerare cifra de afaceri totală anuală a întregii întreprinderi (entitatea economică sau grupul, în speță grupul Lars Larsen Group, adică aproximativ 881 de milioane de euro) din care face parte societatea care a săvârșit încălcarea ( 6 ), și nu doar cifra de afaceri totală anuală a înseși acelei societăți (ILVA, adică aproximativ 241 de milioane de euro).

Articolul 83 din RGPD oferă temeiul juridic pentru impunerea de amenzi în legătură cu încălcările regulamentului menționat. RGPD nu conține nicio definiție a noțiunii de „întreprindere” în scopul punerii în aplicare, însă considerentul (150) al regulamentului menționat precizează că principiile dreptului Uniunii în materie de concurență ar trebui să fie utilizate pentru interpretarea acestei noțiuni ( 7 ).

Curtea a avut recent ocazia să interpreteze unele alineate (însă nu toate) ale articolului 83 din RGPD și să abordeze anumite aspecte care au legătură cu întrebările preliminare adresate în prezenta cauză.

În hotărârea pronunțată în cauza Deutsche Wohnen ( 8 ), Curtea a statuat în special că „reiese din articolul 83 alineatele (4)-(6) din RGPD, care vizează calculul amenzilor administrative pentru încălcările enumerate la aceste alineate, că, în cazul în care destinatarul amenzii administrative este sau face parte dintr‑o întreprindere, în sensul articolelor 101 și 102 TFUE, cuantumul maxim al amenzii administrative este calculat pe baza unui procent din cifra de afaceri anuală totală din exercițiul financiar precedent al întreprinderii în cauză”.

Curtea precizează că valoarea maximă a amenzii administrative se bazează pe cifra de afaceri totală anuală la nivel mondial ( 9 ) a „întreprinderii”, în timp ce acest termen trebuie să fie interpretat în conformitate cu dreptul Uniunii în materie de concurență (articolele 101 și 102 TFUE). Curtea arată astfel că legiuitorul Uniunii a intenționat să construiască o punte de legătură între normele RGPD și normele dreptului Uniunii în materie de concurență, atunci când a stabilit cuantumul maxim al amenzilor privind încălcările RGPD.

Într‑adevăr, în acea privință, articolul 83 alineatele (4)-(6) din RGPD este similar cu articolul 23 alineatul (2) din Regulamentul (CE) nr. 1/2003 ( 10 ), în măsura în care ambele dispoziții stabilesc un plafon legal pentru amenzi în temeiul fiecăruia dintre regulamente.

Curtea și‑a dezvoltat în continuare raționamentul și a abordat condițiile aplicabile pentru determinarea cuantumului amenzii administrative. Curtea a arătat în Hotărârea Deutsche Wohnen (punctul 58) că „numai o amendă administrativă al cărei cuantum este stabilit în funcție de capacitatea economică reală sau materială a destinatarului său și care este impusă deci de autoritatea de supraveghere întemeindu‑se, în ceea ce privește cuantumul acesteia, pe noțiunea de unitate economică în sensul jurisprudenței […] [ ( 11 )] este susceptibilă să îndeplinească cele trei condiții prevăzute la articolul 83 alineatul (1) din RGPD, și anume de a fi în același timp eficace, proporțională și disuasivă”. Deși Curtea a făcut referire în această privință la un „destinatar”, subliniind astfel legătura dintre amendă și persoana acuzată în mod specific de încălcarea RGPD, Curtea a revenit ulterior la noțiunea de „întreprindere” („unitate economică”) în conformitate cu dreptul Uniunii în materie de concurență.

În plus, la punctul 59 din hotărârea menționată, Curtea a statuat că, „atunci când o autoritate de supraveghere decide, în temeiul competențelor pe care le deține în conformitate cu articolul 58 alineatul (2) din RGPD, să impună unui operator, care este sau face parte dintr‑o întreprindere, în sensul articolelor 101 și 102 TFUE, o amendă administrativă potrivit articolului 83 din regulamentul menționat, această autoritate este obligată să se întemeieze, conform acestei din urmă dispoziții, interpretată în lumina considerentului (150) al aceluiași regulament, cu ocazia calculării amenzilor administrative pentru încălcările prevăzute la alineatele (4)-(6) ale acestui articol 83, pe noțiunea de «întreprindere», în sensul respectivelor articole 101 și 102 TFUE” ( 12 ).

Concluzionăm că din Hotărârea Deutsche Wohnen rezultă că, în cazul în care o încălcare a RGPD este săvârșită de un operator sau de o persoană împuternicită de operator care este (sau face parte dintr‑)o întreprindere, atunci când se stabilește cuantumul maxim al amenzii, trimiterea la cifra de afaceri mondială totală anuală a „întreprinderii” trebuie înțeleasă în conformitate cu articolele 101 și 102 TFUE. Cu toate acestea, nu doar chestiunea legată de cuantumul maxim al amenzii susceptibil a fi aplicată operatorului sau persoanei împuternicite de operator în cauză este astfel clarificată. Aceasta înseamnă, de asemenea, că jurisprudența extrem de nuanțată (și destul de specifică fiecărui caz în parte) referitoare la noțiunile de „întreprindere” și de „unitate economică” devine relevantă, într‑o anumită măsură, și pentru stabilirea condițiilor de determinare a cuantumului efectiv al amenzii aplicate pentru acea încălcare specifică a RGPD.

La punctele următoare vom analiza impactul jurisprudenței Deutsche Wohnen în contextul specific al prezentei cauze pentru a propune un cadru care ar trebui să orienteze instanța de trimitere în procesul de stabilire a amenzii aplicate ILVA.

Astfel cum s‑a arătat la punctele 25 și 26 de mai sus, din formularea articolului 83 din RGPD, citit în lumina considerentului (150) al acestui regulament și a jurisprudenței Deutsche Wohnen, rezultă că, în cazul în care operatorul sau persoana împuternicită de operator este o „întreprindere” (sau o parte a acesteia) în sensul articolelor 101 și 102 TFUE, trebuie utilizată cifra de afaceri globală a unei astfel de întreprinderi în ansamblul său pentru a stabili cuantumul maxim al amenzii.

Jurisprudența Curții în materie de concurență a stabilit că noțiunea de „întreprindere”„cuprinde orice entitate care exercită o activitate economică, independent de statutul juridic al acestei entități și de modul său de finanțare” ( 13 ).

Reiese de asemenea din jurisprudența Curții că noțiunea de „întreprindere” care figurează la articolele 101 și 102 TFUE poate desemna o singură unitate economică, chiar dacă această unitate economică este constituită din mai multe persoane fizice sau juridice. Problema dacă mai multe entități formează o astfel de unitate depinde în mare parte de aspectul dacă entitatea individuală este liberă în ceea ce privește capacitatea sa decizională sau de aspectul dacă o entitate principală, și anume societatea‑mamă, exercită o influență decisivă asupra celorlalte. Criteriile de stabilire a acestor aspecte se întemeiază pe legăturile economice, juridice și organizatorice care unesc societatea‑mamă și filiala sa, de exemplu valoarea participației, legăturile în materie de personal sau de natură organizatorică, instrucțiunile și existența contractelor de societate ( 14 ).

Jurisprudența precizează, de asemenea, că exercitarea efectivă a unei influențe decisive a societății‑mamă asupra comportamentului filialei poate fi dedusă dintr‑o serie de elemente care concordă, chiar dacă niciunul dintre aceste elemente, luat în considerare în mod izolat, nu este suficient pentru a stabili existența unei asemenea influențe ( 15 ). Instanțele Uniunii Europene au invocat în această privință, printre altele, puterea societății‑mamă de numire a membrilor în diverse consilii de administrație ale filialei, precum și puterea de a convoca acționarii la adunări și de a propune revocarea administratorilor sau a consiliilor de administrație ale filialei în ansamblu ( 16 ).

Reiese dintr‑o jurisprudență constantă că, în cazul particular în care o societate‑mamă deține direct sau indirect totalitatea sau cvasitotalitatea capitalului filialei sale care a săvârșit o încălcare a normelor în materie de concurență, această societate‑mamă poate exercita o influență decisivă asupra comportamentului filialei respective și există o prezumție relativă potrivit căreia societatea‑mamă respectivă exercită efectiv o astfel de influență ( 17 ).

Potrivit punctului 2 din decizia de trimitere, ILVA face parte din grupul Lars Larsen Group. În cazul în care instanța de trimitere ar constata că societatea‑mamă a acestui grup exercită o influență decisivă asupra ILVA, „întreprinderea”, în sensul articolului 83 alineatul (5) din RGPD, ar consta în: (i) societatea‑mamă a acestui grup; (ii) ILVA; și (iii) orice altă societate asupra căreia societatea‑mamă exercită, de asemenea, o influență decisivă. Această ultimă categorie ar putea include celelalte societăți din grupul Lars Larsen Group.

La „cifra de afaceri” se face referire în mod expres la articolul 83 alineatele (4)-(6) din RGPD în contextul calculării cuantumului maxim al amenzii care ar putea fi impusă societăților. Acest cuantum maxim privește întreprinderile foarte mari, întrucât limita nu se aplică în cazul în care amenda este mai mică decât cuantumul absolut menționat la aceste trei alineate ale articolului 83, și anume 10 milioane de euro sau 20 de milioane de euro. Prin urmare, plafonul stabilit în funcție de cifra de afaceri este pertinent numai pentru societățile a căror cifră de afaceri mondială totală depășește 500 de milioane de euro ( 18 ).

Rezultă că, în cazul în care instanța de trimitere ar constata că societatea‑mamă a grupului Lars Larsen Group exercită o influență decisivă asupra ILVA, atunci, în mod abstract, cuantumul maxim al amenzii care urmează să fie impusă în litigiul principal trebuie calculat pe baza unui procent din cifra de afaceri mondială totală anuală realizată în exercițiul financiar precedent de întreprinderea în cauză, și anume grupul Lars Larsen Group (din care face parte ILVA).

Problema stabilirii cuantumului maxim al amenzii, astfel cum este avută în vedere de legiuitorul Uniunii la articolul 83 alineatele (4)-(6) din RGPD, nu trebuie nici confundată, nici asimilată cu misiunea care revine ulterior unei autorități de supraveghere ( 19 ), și anume stabilirea amenzii efective care urmează să fie impusă pentru încălcarea specifică (încălcările specifice) a (ale) RGPD în cauză.

În acest scop, în primul rând, trebuie remarcat că articolul 83 alineatul (1) din RGPD stabilește trei condiții esențiale ( 20 ) care trebuie respectate de autoritatea de supraveghere. Fiecare dintre aceste condiții necesită o evaluare comparativă individuală a tuturor elementelor încălcării în cauză și a cuantumului adecvat efectiv al amenzii care urmează să fie impusă. În plus, alineatul (2) al articolului 83 obligă această autoritate să respecte anumite cerințe pentru a decide „dacă să se impună o amendă administrativă și [care este] valoarea [adecvată a] amenzii administrative [efective]”. În consecință, pentru a înțelege pe deplin aplicarea articolului 83 alineatele (4)-(6) din RGPD în contextul stabilirii cuantumului efectiv al amenzii într‑un caz individual, aceste alineate trebuie coroborate cu articolul 83 alineatul (1), precum și cu articolul 83 alineatul (2) din regulamentul menționat. Acesta din urmă, chiar mai important, enumeră factorii specifici pe care trebuie să îi ia în considerare o autoritate de supraveghere atunci când stabilește cuantumul efectiv al amenzii într‑un anumit caz.

Însăși formularea alineatului (2) al acestui articol impune luarea în considerare a mai multor elemente „în fiecare caz în parte”, lăsând în același timp autorității de supraveghere sarcina de a identifica acele elemente specifice care sunt pertinente pentru cazul cu care este sesizată și de a stabili relevanța acestora în scopul stabilirii cuantumului efectiv al amenzii ( 21 ).

Contrar articolului 83 alineatele (4)-(6) din RGPD (a se vedea punctul 34 din prezentele concluzii), articolul 83 alineatul (2) sau articolul 83 alineatul (1) sau articolul 83 alineatul (3) din acesta în egală măsură ( 22 ) nu conțin nicio referire la cifra de afaceri a întreprinderii. Rezultă că legiuitorul Uniunii a ales să nu includă „cifra de afaceri” ca factor specific pentru stabilirea cuantumului efectiv al amenzii. În schimb, articolul 83 alineatul (2) enumeră alți factori ( 23 ) care caracterizează comportamentul unui operator sau al unei persoane împuternicite de operator, care este acuzat(ă) de o încălcare, pentru a garanta că fiecare încălcare este evaluată pe baza tuturor circumstanțelor individuale pertinente. În opinia noastră, se poate deduce din cele de mai sus că legiuitorul Uniunii a intenționat să facă distincție între factorii care stau la baza stabilirii cuantumului maxim al amenzii (etapa 1) și lista cerințelor care sunt obligatorii pentru autoritatea de supraveghere atunci când aceasta stabilește cuantumul efectiv al amenzii (etapa 2).

În acest sens, dorim să amintim că Curtea a subliniat că „o sancțiune, chiar fără caracter penal, poate fi impusă numai dacă se bazează pe un temei juridic clar și lipsit de ambiguitate” ( 24 ). Acesta este a fortiori cazul în cadrul unei proceduri penale precum cea din prezenta cauză. Jurisprudența Curții se referă la „principiul legalității [care] impune ca legea să definească în mod clar infracțiunile și pedepsele pentru acestea […] [și] criteriile de apreciere a clarității legii potrivit jurisprudenței Curții Europene a Drepturilor Omului [(Curtea EDO)]” ( 25 ).

În această privință, Comisia susține în esență că, în speță, RGPD implică faptul că nu numai cuantumul maxim al amenzii trebuie să se bazeze pe cifra de afaceri a întreprinderii din care face parte societatea, ci și calculul amenzii efective. Cu toate acestea, considerațiile prezentate la punctele 37-40 din prezentele concluzii nu permit să se conchidă că articolul 83 alineatele (1)-(6) din RGPD trebuie interpretat în sensul că normele de stabilire a cuantumului maxim al amenzii (etapa 1) trebuie să fie utilizate ca referință principală sau unică și pentru stabilirea amenzii efective (etapa 2).

În al doilea rând, ca parte a efectului de propagare a creării unei punți între cele două domenii de drept, necesitatea de a distinge între cuantumul maxim al unei amenzi (etapa 1) și amenda efectivă (etapa 2) poate fi, de asemenea, dedusă din dreptul Uniunii în materie de concurență. Într‑adevăr, în dreptul Uniunii în materie de concurență, în ceea ce privește cuantumul maxim al amenzii, similar articolului 83 din RGPD, Comisia utilizează cifra de afaceri în scopul calculării cuantumului maxim al amenzii (care este stabilit la 10 % din cifra de afaceri totală a întreprinderii pentru fiecare încălcare). Cu toate acestea, este important să se precizeze că cuantumul de bază al amenzii în sine nu este stabilit în funcție de cifra de afaceri ( 26 ).

În schimb, cuantumul de bază al amenzii este determinat în esență ca un procent din valoarea vânzărilor relevante (care au legătură directă sau indirectă cu încălcarea în materie de concurență) înmulțit cu durata (ani sau perioade mai mici de un an), majorat cu procente cuprinse între 15 % și 25 % din valoarea vânzărilor în cauză (cu titlu de descurajare suplimentară pentru carteluri). Acest cuantum de bază al amenzii este apoi mărit în funcție de circumstanțe agravante sau redus în funcție de circumstanțe atenuante. Acest cuantum se supune apoi plafonului global de 10 % din cifra de afaceri (dacă este cazul, există o posibilitate suplimentară de a reduce amenda în baza aplicării normelor de clemență, a încheierii unei tranzacții și/sau a absenței capacității de plată). Acest lucru arată în mod clar că factorii care caracterizează în mod direct încălcarea (cum ar fi vânzările relevante, durata încălcării și circumstanțele specifice care caracterizează speța) joacă un rol central în stabilirea cuantumului efectiv al amenzii, în locul cifrei de afaceri mondiale totale anuale.

Astfel cum s‑a subliniat deja în doctrină, „nu există o transpunere directă a metodei de calculare a amenzilor utilizate de Comisie în ceea ce privește articolele 101 [și] 102 TFUE în RGPD, dat fiind că amenzile Uniunii în materie de concurență urmăresc să surprindă efectul comportamentului [anticoncurențial] asupra pieței în cauză mai degrabă decât să analizeze cifra de afaceri în sine. De exemplu, în ceea ce privește cartelurile, amenzile se bazează mai degrabă pe valoarea vânzărilor referitoare la «produsul care face obiectul cartelului» decât pe cifra de afaceri mondială” ( 27 ).

Astfel, jurisprudența Curții confirmă că partea din cifra de afaceri globală ce provine din vânzarea produselor care fac obiectul încălcării (și anume „valoarea vânzărilor”) este cea mai în măsură să reflecte importanța economică a acestei încălcări ( 28 ). În schimb, ceea ce urmărește să reflecte noțiunea de „cifră de afaceri” în sensul RGPD este importanța economică a întreprinderii ( 29 ). Aceste două abordări nu pot fi confundate, deoarece servesc unor obiective diferite: prima urmărește să aprecieze gravitatea încălcării, în timp ce a doua urmărește să evalueze importanța economică a întreprinderii.

Astfel, considerațiile care precedă și jurisprudența Curții (citată la punctul 40 din prezentele concluzii) ne determină să concluzionăm că limitele impactului jurisprudenței Uniunii în materie de concurență asupra aplicării unor amenzi efective pentru încălcări ale RGPD trebuie stabilite potrivit principiului legalității. În special, trebuie să se asigure faptul că cuantumul efectiv al amenzilor impuse în temeiul RGPD este calculat numai în raport cu faptele autorului încălcării și ține seama pe deplin de toate caracteristicile încălcării specifice. Prin urmare, interpretarea noțiunilor „cifră de afaceri” și „întreprindere” în cadrul stabilirii cuantumului maxim al amenzii nu poate fi grefată în mod automat la calcularea cuantumului efectiv al amenzii.

Pentru ca o amendă să răspundă obiectivului RGPD, și anume consolidarea punerii în aplicare a normelor din acest regulament, și în lumina jurisprudenței Curții examinate mai sus, interpretarea noțiunilor „întreprindere” și „cifră de afaceri” în cadrul stabilirii cuantumului efectiv al amenzii ar trebui să respecte următoarele cerințe. În procesul de stabilire a cuantumului efectiv al amenzii, autoritatea de supraveghere trebuie, în primul rând, să ia ca punct de plecare toate circumstanțele individuale ale cazului specific, astfel cum prevede articolul 83 alineatul (2) din RGPD, inclusiv relația din cadrul „întreprinderii”, astfel cum stabilește jurisprudența Uniunii în materie de concurență. În al doilea rând, ca urmare a examinării comparative a tuturor circumstanțelor relevante, cuantumul efectiv al amenzii trebuie să fie eficace, proporțional și disuasiv. În cele din urmă, dar important, atunci când este cazul, trebuie respectate aspectele de drept penal pertinente în speță.

Pentru a îndeplini aceste cerințe, dorim să amintim următoarele elemente.

Astfel cum a arătat avocatul general Pitruzzella ( 30 ), în dreptul Uniunii, noțiunea de „întreprindere” are o semnificație și un conținut inerente reglementării în care se înscrie și diverselor obiective pe care reglementarea în cauză urmărește să le atingă. În dreptul Uniunii în materie de concurență, caracterul funcțional al noțiunii de „întreprindere” trebuie înțeles sub un dublu aspect. În primul rând, noțiunea menționată se referă la tipul de activitate desfășurată, iar nu la caracteristicile actorilor acestei activități. Concurența este constituită și influențată de activități economice. Pentru acest motiv, articolele 101 și 102 TFUE se referă în termeni generali la „întreprinderi”, omițând orice referire la structura lor juridică. În al doilea rând, calificarea unei activități drept economică – și, prin urmare, a unei entități drept „întreprindere” – în vederea aplicării dreptului Uniunii în materie de concurență depinde de contextul examinat. În mod similar, identificarea entităților care intră în sfera „întreprinderii” depinde de obiectul încălcării imputate.

Aceste observații subliniază în mod întemeiat că, în dreptul Uniunii în materie de concurență, se acordă prioritate preocupărilor de ordin economic, făcând abstracție de structurile juridice ale entității în cauză. Acestea fiind spuse, al doilea aspect limitează acest punct de vedere în sensul că identificarea entității sau a persoanei răspunzătoare de încălcare și, prin urmare, cuantumul efectiv al amenzii depind de încălcarea contestată însăși.

În consecință, unul dintre elementele care caracterizează noțiunea de „întreprindere” care trebuie luat în considerare la stabilirea cuantumului de bază al amenzii și la ajustarea acestuia (pentru a stabili cuantumul efectiv al amenzii) este nivelul de participare a altor societăți ale acestei întreprinderi la încălcarea RGPD. În această privință, s‑a susținut în jurisprudența națională referitoare la dreptul Uniunii în materie de concurență că, „din punct de vedere conceptual, problema existenței unei «întreprinderi» și problema atribuirii răspunderii între diferite societăți din cadrul unei «întreprinderi» sunt distincte […] [ ( 31 )] [și] o persoană nu este ipso facto răspunzătoare pentru o încălcare a articolului 101 [TFUE] pentru simplul fapt că este membră a unei întreprinderi responsabile de încălcare în temeiul dreptului Uniunii, în împrejurări în care persoana în cauză nici nu a participat la încălcare, nici nu a exercitat o influență decisivă asupra comportamentului pe piața relevantă al altor membri ai întreprinderii care au participat la această încălcare. […] [Î]n astfel de circumstanțe ar putea fi foarte puțin probabil ca persoana în cauză să fie considerată, de fapt, ca făcând parte din respectiva «întreprindere»” ( 32 ).

În opinia noastră, argumentele de mai sus sunt de asemenea pertinente atunci când se analizează care persoane intră sub incidența noțiunii de „întreprindere” pentru a stabili cuantumul efectiv al amenzii pentru încălcarea RGPD. Acest lucru este valabil în special atunci când autoritatea de supraveghere a stabilit în mod explicit că societatea‑mamă nu a fost implicată în încălcarea în cauză în calitate de operator sau de persoană împuternicită de operator ( 33 ), așa cum este cazul în litigiul principal.

Chiar dacă legiuitorul Uniunii a construit, într‑o anumită măsură limitată, o punte între cele două domenii ale dreptului Uniunii în scopul stabilirii cuantumului maxim al amenzilor, normele RGPD și normele Uniunii în materie de concurență urmăresc în mod evident obiective diferite. Sistemul de reglementare al RGPD este diferit de cel al normelor Uniunii în materie de concurență și se bazează pe conceptul de răspundere a operatorului (și a persoanei împuternicite de operator) pentru prelucrarea legală a datelor cu caracter personal. Cu alte cuvinte, în timp ce dreptul Uniunii în materie de concurență vizează „întreprinderile” (aceasta exprimă interdicția prin referire la o „întreprindere”), RGPD se concentrează asupra „operatorilor” și a „persoanelor împuternicite de operator”. Amintim de asemenea că, întrucât doctrina „unității economice” nu poate fi separată de economia dreptului Uniunii în materie de concurență și de obiectul acestuia, Curtea a refuzat anterior să îi extindă aplicarea prin analogie la alte domenii ale dreptului Uniunii, de exemplu la răspunderea extracontractuală întemeiată pe articolul 340 al doilea paragraf TFUE ( 34 ).

Având în vedere aceste considerații, reiese limpede motivul pentru care Curtea a restrâns în mod clar implicațiile dreptului Uniunii în materie de concurență pentru aplicarea dispozițiilor RGPD (și în special a amenzilor prevăzute în RGPD). În Hotărârea Deutsche Wohnen (punctul 53), Curtea a statuat că noțiunea de „întreprindere”, în sensul articolelor 101 și 102 TFUE, „nu are incidență asupra aspectului dacă și în ce condiții o amendă administrativă poate fi impusă în temeiul articolului 83 din RGPD unui operator care este o persoană juridică, acest aspect fiind reglementat în mod exhaustiv la articolul 58 alineatul (2) și la articolul 83 alineatele (1)-(6) din regulamentul amintit”. Curtea a continuat prin a observa (la punctul 54) că această noțiune este „relevantă numai pentru stabilirea cuantumului amenzii administrative impuse unui operator în temeiul articolului 83 alineatele (4)-(6) din RGPD [care se referă la cuantumul maxim al amenzii]” (sublinierea noastră). În plus, atunci când a statuat (la punctul 53) că aspectul dacă și în ce condiții poate fi impusă o amendă administrativă este „reglementat în mod exhaustiv la articolul 58 alineatul (2) și la articolul 83 alineatele (1)-(6) din regulamentul amintit” (sublinierea noastră), Curtea a mai precizat în continuare că, la determinarea cuantumului efectiv al amenzii, cerințele articolului 83 alineatele (1)-(6) trebuie aplicate în întregime și niciunul dintre aceste alineate nu devine primus inter pares.

Prin urmare, „cifra de afaceri” a „întreprinderii” reprezintă doar unul dintre multiplele elemente care trebuie luate în considerare atunci când este atrasă răspunderea unui operator (sau a unei persoane împuternicite de operator) și este aplicată o amendă în temeiul RGPD, care să fie în același timp eficace, proporțională și disuasivă.

Este adevărat că jurisprudența Curții indică faptul că, în dreptul Uniunii în materie de concurență, în anumite situații, luarea în considerare a cifrei de afaceri a unei societăți poate fi justificată – dar numai ca fiind unul dintre mai multe elemente pertinente – la calcularea cuantumului efectiv al amenzii (de exemplu, la majorarea amenzii de bază în scop de descurajare) ( 35 ).

În consecință, noțiunea de „întreprindere” în sensul articolelor 101 și 102 TFUE ar trebui să poată fi invocată, în opinia noastră, la stabilirea cuantumului efectiv al amenzii, dar numai atunci când aceasta este justificată în mod corespunzător în scopul asigurării eficacității și caracterului disuasiv al amenzii. Într‑adevăr, în această privință, utilizarea noțiunii menționate trebuie să fie nuanțată și individualizată pentru fiecare caz în parte. Mai precis, aceasta poate fi utilizată ca mecanism de ajustare atunci când se iau în considerare circumstanțele specifice ale unei spețe, odată ce amenda a fost stabilită în conformitate cu articolul 83 alineatul (2) din RGPD. Prin urmare, revine instanței de trimitere sarcina de a verifica dacă, în prezenta cauză, există circumstanțe care să justifice o astfel de majorare a amenzii, în special în scop de descurajare.

Problema individualizării amenzilor în temeiul RGPD ( 36 ) a fost abordată și de Comitetul European pentru Protecția Datelor (CEPD) ( 37 ). În Orientările sale privind calcularea amenzilor în temeiul RGPD ( 38 ), elaborate în conformitate cu articolul 70 alineatul (1) litera (k) din RGPD, CEPD urmărește să uniformizeze competențele autorităților de supraveghere în materie de aplicare a amenzilor în temeiul RGPD în întreaga Uniune Europeană. În special, CEPD consideră că „trei elemente constituie punctul de plecare pentru calculele ulterioare: clasificarea încălcărilor în funcție de natura lor în temeiul articolului 83 alineatele (4)-(6) din RGPD, gravitatea încălcării […] și cifra de afaceri a întreprinderii ca element relevant care trebuie luat în considerare în vederea impunerii unei amenzi eficace, disuasive și proporționale, în temeiul articolului 83 alineatul (1) din RGPD”. Deși este adevărat că aceste considerații nu sunt obligatorii pentru Curte, ele demonstrează că numai o abordare cuprinzătoare, care să includă toate elementele pertinente pentru un caz specific, poate garanta că amenda îndeplinește cerințele esențiale prevăzute la articolul 83 din regulamentul menționat, în special că amenda efectiv impusă este eficace, proporțională și disuasivă.

În consecință, în vederea stabilirii cuantumului amenzii efective, invităm Curtea să ia în considerare posibilitatea ca următoarele aspecte să fie pertinente pentru aplicarea noțiunii de „întreprindere” în cadrul stabilirii amenzii efective în temeiul articolului 83 din RGPD. În primul rând, trebuie să se evalueze dacă societatea‑mamă și‑a exercitat puterea de decizie în ceea ce privește activitățile specifice ale operatorului sau ale persoanei împuternicite de operator în cauză pe parcursul încălcării (încălcărilor) RGPD. În al doilea rând, trebuie să se analizeze dacă prelucrarea specifică a datelor de natură să constituie o încălcare a RGPD se referă la societatea vizată și/sau la întregul grup. În al treilea rând, este necesar să se stabilească dacă mai mult de o societate care face parte din grup a fost implicată în săvârșirea încălcării sau a încălcărilor RGPD.

În această privință, dorim să subliniem că următoarea listă neexhaustivă de elemente este relevantă: (i) în speță ( 39 ) – spre deosebire de cauza în care s‑a pronunțat Hotărârea Deutsche Wohnen – se pare că grupul Lars Larsen Group și/sau societatea‑mamă a acestuia nu au fost implicate în procedura penală; (ii) acuzațiile au fost formulate doar împotriva ILVA, și nu împotriva grupului ( 40 ), și (iii) încălcarea RGPD invocată în procedura principală s‑a limitat doar la clienții ILVA și la datele acestora și nu a existat nicio sugestie potrivit căreia încălcarea ar fi fost săvârșită la nivelul grupului în sine sau că prelucrarea efectuată de ILVA ar fi fost conexată cu celelalte societăți din cadrul grupului. Trebuie subliniat faptul că, în cauza în care s‑a pronunțat Hotărârea Deutsche Wohnen, „societatea vizată” și‑a asumat întreaga răspundere pentru prelucrarea datelor, adică și pentru prelucrarea datelor celorlalte societăți din cadrul grupului ( 41 ).

Cu toate acestea, revine instanței de trimitere – care este singura competentă să se pronunțe cu privire la fapte – sarcina de a efectua verificările necesare în această privință și de a lua în considerare aceste elemente, precum și relevanța și importanța care ar trebui să le fie acordate acestora în cadrul stabilirii cuantumului adecvat al amenzii efective impuse ILVA.

Cu toate că instanța de trimitere nu a adresat nicio întrebare în această privință, considerăm că, pentru a‑i oferi respectivei instanțe un răspuns complet, este necesar să abordăm pe scurt anumite aspecte specifice ale prezentei cauze.

Interpretarea dată articolului 83 alineatele (1)-(6) în cauza principală trebuie efectuată în special prin coroborare cu articolul 83 alineatul (9) din RGPD ( 42 ) – un aspect care nu a fost abordat de Curte în Hotărârea Deutsche Wohnen ( 43 ). Prin urmare, regimul de stabilire a unei amenzi efective adecvate în temeiul articolului 83 din RGPD trebuie în speță să fie interpretat într‑o manieră care să fie conformă cu garanțiile esențiale ale unui proces de drept penal.

În contextul analizării impactului articolului 83 alineatul (9) asupra prezentei cauze, este necesar să se țină seama și de considerentul (151) al RGPD, potrivit căruia „[s]istemele juridice ale Danemarcei și Estoniei[ ( 44 )] nu permit amenzi administrative astfel cum sunt prevăzute în prezentul regulament”. Considerentul oferă în continuare orientări cu privire la compatibilitatea diferitelor proceduri cu cele trei condiții‑esențiale pentru amenda efectivă în cadrul regimului RGPD, și anume, „[î]n orice caz, amenzile impuse ar trebui să fie eficace, proporționale și disuasive”. Prin urmare, este relevant să se examineze pe scurt impactul dreptului Uniunii asupra amenzilor impuse în cadrul procedurilor penale pentru garantarea faptului că aceste trei condiții sunt îndeplinite și într‑un caz specific precum cel din speță.

În ședință, ILVA a invocat, pe de o parte, articolul 41 din Carta drepturilor fundamentale a Uniunii Europene (denumită în continuare „carta”). Acest articol este intitulat „Dreptul la bună administrare” și în special articolul 41 alineatul (2) litera (c) subliniază „obligația administrației de a‑și motiva deciziile”, însă ILVA nu a prezentat argumente specifice în această privință.

Pe de altă parte, ILVA a făcut trimitere, de asemenea, la articolul 49 din cartă. Într‑adevăr, considerăm că, la interpretarea articolului 83 alineatele (1)-(6) din RGPD, trebuie să se țină seama de acel articol din cartă, care este intitulat „Principiile legalității și proporționalității infracțiunilor și pedepselor” și care, prin urmare, este relevant pentru procedura principală. Articolul 49 alineatul (3) din cartă prevede în special că „[p]edepsele nu trebuie să fie disproporționate față de infracțiune”.

Într‑adevăr, din jurisprudența Curții rezultă că principiul proporționalității este unul dintre principiile generale ale dreptului Uniunii care stau la baza tradițiilor constituționale împărtășite de statele membre și care trebuie respectate de autoritățile naționale atunci când acestea aplică sau transpun dreptul Uniunii. Acesta impune statelor membre să adopte măsuri adecvate pentru atingerea obiectivelor urmărite și care să nu depășească ceea ce este necesar pentru atingerea acestora ( 45 ).

Astfel, severitatea unei sancțiuni trebuie să corespundă gravității încălcării în cauză, această cerință decurgând atât din articolul 52 alineatul (1) din cartă, cât și din principiul proporționalității pedepselor înscris la articolul 49 alineatul (3) din cartă ( 46 ).

Din Explicațiile cu privire la cartă ( 47 ) rezultă că, în conformitate cu articolul 52 alineatul (3) din cartă, în măsura în care dreptul garantat la articolul 49 din cartă corespunde de asemenea unui drept garantat de Convenția pentru apărarea drepturilor omului și a libertăților fundamentale, semnată la Roma la 4 noiembrie 1950 (denumită în continuare „CEDO”), sensul și întinderea sa sunt aceleași cu cele prevăzute de CEDO. Prin urmare, cerințele Curții Europene a Drepturilor Omului în ceea ce privește proporționalitatea pedepselor se aplică unei cauze precum cea din procedura principală prin efectul combinat al articolului 17 alineatul (1), al articolului 51 alineatul (1) și al articolului 52 alineatele (1) și (3) din cartă ( 48 ).

Din jurisprudența Curții reiese în mod clar că principiul proporționalității impune, pe de o parte, ca sancțiunea aplicată să corespundă gravității încălcării și, pe de altă parte, ca la determinarea sancțiunii, precum și la stabilirea cuantumului amenzii să se țină seama de împrejurările individuale ale speței ( 49 ). În ceea ce privește acest al doilea element, jurisprudența subliniază că instanța de trimitere este obligată să țină seama de criterii obiective cum ar fi gravitatea și durata încălcării, precum și de eventualele circumstanțe agravante și atenuante, pentru a garanta caracterul efectiv, disuasiv și proporțional al acestei amenzi ( 50 ).

În al doilea rând, jurisprudența Curții Europene a Drepturilor Omului în astfel de cazuri efectuează o evaluare comparativă a diferitelor interese aflate în joc și ține seama de natura, gravitatea și efectul puternic descurajator al sancțiunii penale aplicate reclamantului. Din această jurisprudență reiese în mod clar că obligația care revine statelor de a aplica dreptul penal și de a impune pedepse ( 51 ) în vederea protejării publicului ( 52 ) generează o obligație corespunzătoare de a se asigura că pedeapsa impusă nu este una excesivă.

Curtea Europeană a Drepturilor Omului a statuat că „echilibrul necesar nu va fi atins în cazul în care persoana vizată suportă o povară individuală și excesivă”; astfel, „o răspundere financiară care decurge dintr‑o amendă poate submina garanția oferită de această dispoziție în cazul în care aceasta impune o sarcină excesivă persoanei în cauză sau prejudiciază în mod fundamental situația financiară a acesteia” ( 53 ).

Rezultă că aspectele procedurale specifice cauzei principale, precum și dreptul Uniunii și jurisprudența Curții Europene a Drepturilor Omului în materie de amenzi aplicate în cadrul procedurilor penale impun instanței de trimitere să ia în considerare toate elementele pertinente ale cauzei atunci când stabilește amenda efectivă pentru încălcări ale RGPD. Garanțiile procedurale pentru o persoană acuzată, precum și principiul proporționalității, astfel cum este interpretat în jurisprudența Curții de Justiție și a Curții Europene a Drepturilor Omului, impun ca pedepsele să corespundă gravității încălcării și să fie luate în considerare circumstanțele fiecărui caz în parte.

Având în vedere aceste cerințe, instanța de trimitere trebuie să se asigure că principiul proporționalității este respectat la stabilirea amenzii efective, prin intermediul căreia se realizează un just echilibru între cerințele interesului general al comunității de a proteja datele cu caracter personal și cerințele privind protecția drepturilor fundamentale ( 54 ) ale operatorului, ale persoanei împuternicite de operator sau ale întreprinderii din care acesta face parte.

Propunem Curții să răspundă la întrebarea preliminară adresată de Vestre Landsret (Curtea de Apel a Regiunii de Vest, Danemarca) după cum urmează: Articolul 83 alineatele (4)-(6) din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretat în sensul că, atunci când sunt aplicate amenzi unui operator sau unei persoane împuternicite de operator care este (sau face parte) dintr‑o întreprindere, noțiunea de „întreprindere” trebuie interpretată în sensul că ea corespunde noțiunii de „întreprindere”, în sensul articolelor 101 și 102 TFUE, în scopul stabilirii cuantumului maxim al amenzii. Prin urmare, este luată în considerare cifra de afaceri mondială totală anuală a întreprinderii din care face parte operatorul sau persoana împuternicită de operator. Cu toate acestea, la stabilirea cuantumului efectiv al amenzii care urmează să fie impusă, noțiunea de „întreprindere” trebuie interpretată în coroborare cu articolul 83 alineatele (1) și (2) din Regulamentul 2016/679 și utilizată ca fiind un element pertinent printre altele atunci când se iau în considerare circumstanțele specifice ale cazului. În această privință, circumstanțele specifice se pot referi la puterea de decizie a societății‑mamă, la domeniul de aplicare al prelucrării datelor care încalcă normele regulamentului menționat și la numărul de entități ale întreprinderii implicate în încălcarea respectivă. În plus, atunci când o astfel de amendă este impusă, în coroborare cu articolul 83 alineatul (9) din Regulamentul 2016/679, de către o instanță națională în cadrul unei proceduri penale, cuantumul efectiv al amenzii trebuie apreciat în lumina principiilor aplicabile în dreptul penal. În acest context, instanța națională trebuie să se asigure că principiul proporționalității este respectat la stabilirea amenzii efective, prin intermediul căreia se realizează un just echilibru între cerințele interesului general al comunității de a proteja datele cu caracter personal și cerințele privind protecția drepturilor fundamentale ale operatorului, ale persoanei împuternicite de operator sau ale întreprinderii din care acesta face parte.

CONCLUZIILE AVOCATEI GENERALE

DOAMNA LAILA MEDINA

prezentate la 12 septembrie 2024 ( 1 )