Hotărârea Curții (Marea Cameră) din 5 decembrie 2023.#Deutsche Wohnen SE împotriva Staatsanwaltschaft Berlin.#Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 4 punctul 7 – Noțiunea de «operator» – Articolul 58 alineatul (2) – Competențele autorităților de supraveghere de a impune măsuri corective – Articolul 83 – Impunerea de amenzi administrative unei persoane juridice – Condiții – Marja de manevră a statelor membre – Cerința ca încălcarea să fie comisă intenționat sau din neglijență.#Cauza C-807/21.

Cauza C‑807/21

Deutsche Wohnen SE

împotriva

Staatsanwaltschaft Berlin

(cerere de decizie preliminară formulată de Kammergericht Berlin)

Hotărârea Curții (Marea Cameră) din 5 decembrie 2023

„Trimitere preliminară – Protecția datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 4 punctul 7 – Noțiunea de «operator» – Articolul 58 alineatul (2) – Competențele autorităților de supraveghere de a impune măsuri corective – Articolul 83 – Impunerea de amenzi administrative unei persoane juridice – Condiții – Marja de manevră a statelor membre – Cerința ca încălcarea să fie comisă intenționat sau din neglijență”

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Impunerea unor amenzi administrative – Condiții – Lipsa unei marje de manevră a statelor membre pentru a prevedea condițiile de fond referitoare la impunerea unei amenzi administrative unui operator – Pertinența noțiunii de întreprindere în sensul articolelor 101 și 102 TFUE limitată la calculul unei amenzi – Reglementare națională care supune posibilitatea de a aplica o amendă unei persoane juridice în calitatea sa de operator condiției ca încălcarea în cauză să fie imputată în prealabil unei persoane fizice identificate – Inadmisibilitate

[art. 101, art. 102 și art. 288 al doilea paragraf TFUE; Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentele (10), (11), (74), (129) și (150) și art. 4 pct. 7, art. 58 alin. (2) și (4) și art. 83]

(a se vedea punctele 38 și 43-60 și dispozitiv 1)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Noțiunea de operator – Persoană juridică – Includere – Condiție – Participare efectivă la stabilirea scopurilor și a mijloacelor prelucrării

(Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 4 pct. 7)

(a se vedea punctele 39-42)

Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Impunerea unor amenzi administrative – Condiții – Lipsa unei marje de manevră a statelor membre pentru a prevedea condițiile de fond referitoare la impunerea unei amenzi administrative unui operator – Cerința unei încălcări săvârșite de operator cu intenție sau din neglijență

[Regulamentul 2016/679 al Parlamentului European și a Consiliului, considerentele (9), (13) și (148) și art. 58 alin. (2) și art. 83]

(a se vedea punctele 65-78 și 86 și dispozitiv 2)

Rezumat

Deutsche Wohnen SE (denumită în continuare „DW”) este o societate imobiliară care deține indirect, prin intermediul unor participații la diferite societăți, numeroase unități comerciale și rezidențiale. Ea prelucrează, în cadrul activităților sale comerciale, date cu caracter personal ale locatarilor acestor unități.

În urma a două controale efectuate în anii 2017 și 2019, Berliner Beauftragte für den Datenschutz (Autoritatea de supraveghere din Berlin, Germania) a constatat o serie de încălcări ale RGPD ( 1 ) săvârșite de DW. Prin decizia din 30 octombrie 2019, această autoritate de supraveghere i‑a aplicat, pentru acest motiv, amenzi administrative.

DW a formulat o acțiune împotriva acestei decizii la Landgericht Berlin (Tribunalul Regional din Berlin, Germania), care a clasat procedura. Această instanță a arătat că, în temeiul legii germane ( 2 ), o încălcare administrativă nu ar putea fi constatată decât împotriva unei persoane fizice, iar nu împotriva unei persoane juridice. În plus, în cazul angajării răspunderii unei persoane juridice, ar putea să îi fie imputate numai actele membrilor organelor sale sau ale reprezentanților săi. Staatsanwaltschaft Berlin (Parchetul din Berlin, Germania) a introdus o cale de atac împotriva acestei decizii la Kammergericht Berlin (Tribunalul Regional Superior din Berlin, Germania). În acest context, instanța menționată a sesizat Curtea cu titlu preliminar cu privire la interpretarea RGPD ( 3 ).

În hotărârea sa, Curtea, reunită în Marea Cameră, se pronunță cu privire la condițiile referitoare la impunerea unor amenzi administrative în temeiul RGPD. În primul rând, aceasta examinează aspectul dacă statele membre pot supune impunerea unei amenzi administrative unei persoane juridice condiției ca încălcarea acestui regulament să fie imputată în prealabil unei persoane fizice identificate. În al doilea rând, ea analizează aspectul dacă încălcarea sancționată a dispozițiilor RGPD trebuie să fie comisă cu intenție sau din neglijență ( 4 ).

Aprecierea Curții

În ceea ce privește impunerea unei amenzi administrative în temeiul RGPD unei persoane juridice, Curtea arată mai întâi că principiile, interdicțiile și obligațiile prevăzute de RGPD se adresează în special „operatorilor”, a căror responsabilitate se extinde la orice prelucrare a datelor cu caracter personal efectuată de aceștia sau în numele lor. Această responsabilitate este cea care constituie, în cazul încălcării dispozițiilor RGPD, temeiul pentru impunerea unei amenzi administrative operatorului conform articolului 83 din respectivul regulament. Cu toate acestea, legiuitorul Uniunii nu a efectuat, în vederea stabilirii unei asemenea responsabilități, o distincție între persoanele fizice și persoanele juridice, respectiva responsabilitate fiind supusă numai condiției ca acestea, singure sau împreună cu altele, să stabilească scopurile și mijloacele prelucrării datelor cu caracter personal ( 5 ). Prin urmare, în principiu, orice persoană care îndeplinește această condiție răspunde printre altele pentru orice încălcare a RGPD săvârșită de ea însăși sau în numele său. Aceasta implică, pe de o parte, că persoanele juridice răspund nu numai pentru încălcările săvârșite de reprezentanții, directorii sau administratorii lor, ci și de orice altă persoană care acționează în cadrul activității comerciale a acestor persoane juridice și în numele lor. Pe de altă parte, amenzile administrative prevăzute de RGPD în cazul unor asemenea încălcări trebuie să poată fi aplicate direct unor persoane juridice atunci când acestea pot fi calificate drept operatori.

În continuare, Curtea observă că nicio dispoziție din RGPD nu permite să se considere că aplicarea unei amenzi administrative unei persoane juridice în calitate de operator ar fi supusă constatării prealabile că această încălcare a fost comisă de o persoană fizică identificată. În plus, legiuitorul Uniunii nu a lăsat statelor membre o marjă de apreciere în această privință. Faptul că RGPD le oferă acestora posibilitatea de a prevedea cerințe privind procedura care trebuie urmată de autoritățile de supraveghere pentru a impune o amendă administrativă ( 6 ) nu înseamnă nicidecum că acestea ar fi de asemenea abilitate să prevadă condiții de fond suplimentare față de cele stabilite de RGPD.

În acest context, Curtea precizează că a permite statelor membre să impună în mod unilateral și ca o condiție necesară pentru aplicarea unei amenzi administrative în temeiul articolului 83 din RGPD unui operator care este o persoană juridică ca încălcarea în cauză să fie imputată sau imputabilă în prealabil unei persoane fizice identificate ar fi contrar scopului RGPD. În plus, o asemenea cerință suplimentară ar risca, în definitiv, să diminueze efectivitatea și efectul disuasiv al amenzilor administrative impuse unor persoane juridice în calitate de operatori.

În sfârșit, Curtea subliniază că noțiunea de „întreprindere”, în sensul articolelor 101 și 102 TFUE ( 7 ), nu are incidență asupra aspectului dacă și în ce condiții o amendă administrativă poate fi impusă în temeiul RGPD unui operator care este o persoană juridică și este relevantă numai pentru stabilirea cuantumului unei asemenea amenzi.

Prin urmare, Curtea concluzionează că RGPD ( 8 ) se opune unei reglementări naționale în temeiul căreia o amendă administrativă poate fi aplicată unei persoane juridice în calitatea sa de operator pentru o încălcare a acestui regulament ( 9 ) numai în măsura în care această încălcare a fost imputată în prealabil unei persoane fizice identificate.

În ceea ce privește aspectul dacă statele membre pot prevedea impunerea unei amenzi administrative chiar și atunci când încălcarea sancționată nu a fost comisă în mod intenționat sau din neglijență, Curtea amintește mai întâi că condițiile de fond care trebuie respectate de o autoritate de supraveghere atunci când aplică o astfel de amendă unui operator intră exclusiv sub incidența dreptului Uniunii, iar statele membre nu dispun de nicio marjă de manevră în această privință.

În ceea ce privește respectivele condiții, Curtea observă că printre elementele enumerate în RGPD în raport cu care autoritatea de supraveghere impune o atare amendă figurează faptul „dacă încălcarea a fost comisă intenționat sau din neglijență” ( 10 ). În schimb, niciunul dintre aceste elemente nu menționează vreo posibilitate de a trage la răspundere operatorul în lipsa unui comportament culpabil din partea sa. Așadar, numai încălcările dispozițiilor RGPD comise de operator în mod intenționat sau din neglijență pot conduce la impunerea unei amenzi administrative acestuia din urmă în temeiul articolului 83 din regulamentul amintit.

Curtea adaugă că această interpretare este confirmată de economia generală și de scopul RGPD. În acest context, ea precizează că existența unui sistem de sancțiuni în temeiul RGPD care permite să se impună, atunci când împrejurările specifice fiecărei spețe justifică acest lucru, o amendă administrativă creează, pentru operatori și pentru persoanele împuternicite de operatori, un stimulent pentru a se conforma acestui regulament și că, prin efectul lor disuasiv, amenzile administrative contribuie la consolidarea protecției persoanelor vizate. Cu toate acestea, legiuitorul Uniunii nu a considerat necesar să prevadă impunerea unor amenzi administrative în lipsa vinovăției. Ținând seama de faptul că RGPD vizează un nivel de protecție în același timp echivalent și omogen și că trebuie, în acest scop, să fie aplicat în mod coerent în întreaga Uniune, ar fi contrar acestui scop să se permită statelor membre să prevadă un atare regim pentru impunerea unei amenzi.

În consecință, Curtea constată că, în temeiul articolului 83 din RGPD, o amendă administrativă poate fi impusă numai dacă se stabilește că operatorul, care este în același timp o persoană juridică și o întreprindere, a comis în mod intenționat sau din neglijență o încălcare a normelor cuprinse în acest regulament.

( 1 ) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, denumit în continuare „RGPD”).

( 2 ) Gesetz über Ordnungswidrigkeiten (Legea privind încălcările administrative) din 24 mai 1968 (BGBl. 1968 I, p. 481), în versiunea comunicată la 19 februarie 1987 (BGBl. 1987 I, p. 602), astfel cum a fost adaptată prin Legea din 19 iunie 2020 (BGBl. 2020 I, p. 1350).

( 3 ) Articolul 58 alineatul (2) și articolul 83 din RGPD.

( 4 ) Cu privire la acest aspect, a se vedea de asemenea Hotărârea Nacionalinis visuomenės sveikatos centras (C‑683/21), pronunțată în aceeași zi.

( 5 ) Potrivit articolului 4 punctul 7 din RGPD.

( 6 ) Astfel cum reiese din articolul 58 alineatul (4) și din articolul 83 alineatul (8) din RGPD, interpretate în lumina considerentului (129) al acestuia.

( 7 ) La care se face trimitere în considerentul (150) al RGPD.

( 8 ) Articolul 58 alineatul (2) litera (i) și articolul 83 alineatele (1)-(6) din RGPD.

( 9 ) Menționată la articolul 83 alineatele (4)-(6) din RGPD.

( 10 ) Articolul 83 alineatul (2) litera (b) din RGPD.