Förslag till avgörande av generaladvokat Medina – Mål C‑383/23 Ilva (Sanktionsavgift för överträdelse av den allmänna dataskyddsförordningen)
1. Denna begäran om förhandsavgörande från Vestre Landsret (Appellationsdomstolen för västra Danmark, Danmark) avser en tolkning av artikel 83.4–83.6 i förordning (EU) 2016/679. Den har framställts i samband med ett straffrättsligt förfarande som inletts av Anklagemyndigheden (Åklagarmyndigheten, Danmark) mot bolaget ILVA A/S (nedan kallat Ilva) på grund av att det inte fullgjort sina skyldigheter enligt artiklarna 5.1 e, 5.2 och 6 i den allmänna dataskyddsförordningen i sin egenskap av personuppgiftsansvarig i samband med uppgifter avseende inte mindre än 350000 tidigare kunder.
2. Målet avser frågan huruvida begreppet ”företag” i artikel 83.4–83.6 i dataskyddsförordningen mot bakgrund av skäl 150 i denna förordning ska tolkas så, att det motsvarar begreppet ”företag” enligt unionens konkurrensregler (artiklarna 101 och 102 FEUF). Detta ger upphov till frågan huruvida det i samband med att en sanktionsavgift påförs ett bolag för en överträdelse av dataskyddsförordningen är lämpligt att ta hänsyn till den ekonomiska enhetens (eller koncernens) totala årsomsättning och inte enbart den totala årsomsättningen för själva företaget.
3. Det som är speciellt med förevarande mål är att sanktionsavgiften påfördes av en domstol i samband med ett straffrättsligt förfarande i det nationella målet och inte av den nationella datatillsynsmyndigheten inom ramen för dess tillsynsbefogenheter. Unionslagstiftaren har faktiskt i detta avseende infört en specifik bestämmelse i dataskyddsförordningen som särskilt är tillämplig på Danmark.
I. Tillämpliga bestämmelser
A. Unionsrätt
4. Skälen 150 och 151 i dataskyddsförordningen har följande lydelse:
(”(150) För att förstärka och harmonisera de administrativa sanktionerna för överträdelser av denna förordning bör samtliga tillsynsmyndigheter ha befogenhet att utfärda administrativa sanktionsavgifter. Det bör i denna förordning anges vilka överträdelserna är, den övre gränsen för och kriterierna för fastställande av de administrativa sanktionsavgifterna, som i varje enskilt fall bör bestämmas av den behöriga tillsynsmyndigheten med beaktande av alla relevanta omständigheter i det särskilda fallet, med vederbörlig hänsyn bland annat till överträdelsens karaktär, svårighetsgrad och varaktighet samt till dess följder och till de åtgärder som vidtas för att sörja för fullgörandet av skyldigheterna enligt denna förordning och för att förebygga eller lindra konsekvenserna av överträdelsen. Om administrativa sanktionsavgifter påförs ett företag, bör ett företag i detta sammanhang anses vara ett företag i den mening som avses i artiklarna 101 och 102 i EUF‑fördraget. …
(151) Danmarks och Estlands rättssystem tillåter inte administrativa sanktionsavgifter i enlighet med denna förordning. Bestämmelserna om administrativa sanktionsavgifter kan tillämpas så att sanktionsavgiften i Danmark utdöms som en straffrättslig påföljd av en behörig nationell domstol och att den i Estland utdöms av tillsynsmyndigheten inom ramen för ett förseelseförfarande, under förutsättning att en sådan tillämpning av bestämmelserna i dessa medlemsstater har en effekt som är likvärdig med administrativa sanktionsavgifter som utdöms av tillsynsmyndigheter. De behöriga nationella domstolarna bör därför beakta rekommendationen från den tillsynsmyndighet som initierar sanktionsavgiften. De sanktionsavgifter som utdöms bör i alla händelser vara effektiva, proportionella och avskräckande.”
5. I artikel 83 i dataskyddsförordningen, som har rubriken ”Allmänna villkor för påförande av administrativa sanktionsavgifter”, föreskrivs följande:
”1. Varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med denna artikel för sådana överträdelser av denna förordning som avses i punkterna 4, 5 och 6 i varje enskilt fall är effektivt, proportionellt och avskräckande.
2. Administrativa sanktionsavgifter ska, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a–h och j. Vid beslut om huruvida administrativa sanktionsavgifter ska påföras och om beloppet för de administrativa sanktionsavgifterna i varje enskilt fall ska vederbörlig hänsyn tas till följande:
…
3. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i denna förordning får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen.
4. Vid överträdelser av följande bestämmelser ska det i enlighet med punkt 2 påföras administrativa sanktionsavgifter på upp till 10000000 EUR eller, om det gäller ett företag, på upp till 2 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst
…
5. Vid överträdelser av följande bestämmelser ska det i enlighet med punkt 2 påföras administrativa sanktionsavgifter på upp till 20000000 EUR eller, om det gäller ett företag, på upp till 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst:
…
6. Vid underlåtenhet att rätta sig efter ett föreläggande från tillsynsmyndigheten i enlighet med artikel 58.2 ska det i enlighet med punkt 2 i den här artikeln påföras administrativa sanktionsavgifter på upp till 20000000 EUR eller, om det gäller ett företag, på upp till 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst:
…
8. Tillsynsmyndighetens utövande av sina befogenheter enligt denna artikel ska omfattas av lämpliga rättssäkerhetsgarantier i enlighet med unionsrätten och medlemsstaternas nationella rätt, inbegripet effektiva rättsmedel och rättssäkerhet.
…”
B. Nationell rätt
6. I 41 § Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (lag nr 502 av den 23 maj 2018 om kompletterande bestämmelser till förordningen om skydd för behandling av personuppgifter och om det fria flödet av sådana uppgifter) föreskrivs följande:
”[Stycke 1.] Såvida inte ett strängare straff är motiverat enligt annan lagstiftning ska en sanktionsavgift påföras eller fängelse i upp till sex månader utdömas för den som överträder bestämmelserna om
…
4. de grundläggande principerna för behandling av uppgifter, däribland villkoren för samtycke, i artiklarna 5–7 och 9 i dataskyddsförordningen.
…
Stycke 3. Artikel 83.2 i dataskyddsförordningen ska iakttas när straff påförs i enlighet med styckena 1 och 2.
…
Stycke 6. Bolag m.fl. (juridiska personer) kan ställas till straffrättsligt ansvar i enlighet med bestämmelserna i kapitel 5 i strafflagen. …”
II. Bakgrunden till tvisten i det nationella målet och de tolkningsfrågor som har hänskjutits med begäran om förhandsavgörande
7. Ilva har åtalats vid de danska domstolarna för att – från maj 2018 till januari 2019 – inte ha fullgjort sina skyldigheter enligt artiklarna 5.1 e, 5.2 och 6 i dataskyddsförordningen i sin egenskap av personuppgiftsansvarig när det gäller lagring av personuppgifter om dess tidigare kunder.
8. Ilva driver en kedja med möbelbutiker och ingår i Lars Larsen Group (nedan kallad koncernen). Koncernens totala omsättning räkenskapsåret 2016/2017 uppgick till 6,57 miljarder danska kronor (DKK) (cirka 881 miljoner euro). Av detta uppgick dotterbolaget Ilvas omsättning till 1,8 miljarder DKK (cirka 241 miljoner euro).
9. På rekommendation av Datatilsynet (dataskyddskommissionären, Danmark, som är den danska dataskyddsmyndigheten eller ”tillsynsmyndigheten” enligt dataskyddsförordningen) krävde allmänne åklagaren att en sanktionsavgift på 1,5 miljoner DKK (cirka 201000 euro) skulle påföras Ilva. Den omsättningsrelaterade ramen för beräkning av sanktionsavgiften är inte baserad på Ilvas omsättning, utan på hela koncernens totala omsättning.
10. Genom dom av den 12 februari 2021 förklarade Retten i Aarhus (Underrätten i Århus) Ilva skyldigt, men slog fast att Ilva hade handlat oaktsamt, i strid med vad allmänne åklagaren gjort gällande. Nämnda domstol ålade Ilva att betala en sanktionsavgift på 100000 DKK (cirka 13400 euro). I den mån endast Ilva och inte hela koncernen hade åtalats var det enligt Retten i Aarhus (Underrätten i Århus) inte nödvändigt att ta hänsyn till hela koncernens omsättning för att beräkna sanktionsavgiften. Den påpekade också att Ilva bedrev självständig detaljhandelsverksamhet och att koncernen inte hade bildat dotterbolaget enbart för att ge Ilva i uppdrag att behandla koncernens personuppgifter.
11. Allmänne åklagaren överklagade domen till Vestre Landsret (Appellationsdomstolen för västra Danmark), som är den hänskjutande domstolen. Nämnda domstol vill få klarhet i huruvida begreppet företag i artikel 83.4–83.6 i dataskyddsförordningen ska tolkas så, att det vid påförande av sanktionsavgifter när ett bolag har gjort sig skyldigt till överträdelse av dataskyddsförordningen är nödvändigt att ta hänsyn till omsättningen för koncernen där bolaget i fråga ingår.
12. Allmänne åklagaren har gjort gällande att så är fallet och hävdar att det följer av skäl 150 i dataskyddsförordningen att begreppet företag ska förstås som ett företag i den mening som avses i artiklarna 101 och 102 FEUF.
13. Ilva har å andra sidan gjort gällande att hänsyn inte ska tas till den totala omsättningen för koncernen där bolaget ingår när en sanktionsavgift fastställs för ett företags överträdelse av dataskyddsförordningen. I detta specifika fall har åtal endast väckts mot Ilva, som är ett dotterbolag, och inte mot moderbolaget.
14. Den hänskjutande domstolen anser att svaret på denna fråga inte framgår klart av dataskyddsförordningen.
15. Mot denna bakgrund beslutade Vestre Landsret (Appellationsdomstolen för västra Danmark) att vilandeförklara målet och hänskjuta följande frågor till EU-domstolen med begäran om förhandsavgörande:
”1) Ska begreppet ’företag’ i artikel 83.4–83.6 i dataskyddsförordningen förstås som ett företag i den mening som avses i artiklarna 101 och 102 FEUF, skäl 150 i dataskyddsförordningen och EU-domstolens praxis på det EU-konkurrensrättsliga området, så att begreppet ’företag’ omfattar varje enhet som bedriver ekonomisk verksamhet, oberoende av denna enhets rättsliga status och hur den finansieras?
2) Om fråga 1 besvaras jakande, ska då artikel 83.4–83.6 i dataskyddsförordningen tolkas så, att det vid påförande av sanktionsavgifter för ett företag ska tas hänsyn till den totala globala årsomsättningen för den ekonomiska enhet som företaget kan ingå i, eller endast till den totala globala årsomsättningen för själva företaget?”
III. Förfarandet vid EU-domstolen
16. Ilva och Europeiska kommissionen har inkommit med skriftliga yttranden. Den 19 juni 2024 hölls förhandling där båda parterna företräddes.
IV. Bedömning
A. Inledning
17. Bakgrunden till de specifika bestämmelser i dataskyddsförordningen som är relevanta i förevarande mål och tillämpliga särskilt på Danmark är den omständigheten att dataskyddskommissionären i princip inte får påföra administrativa sanktionsavgifter för överträdelse av dataskyddslagstiftningen. Dataskyddskommissionären ska i stället göra en polisanmälan om vederbörande anser att det är nödvändigt. Då gör polisen en utredning och avgör om det finns skäl att väcka åtal. Om så är fallet hänvisas ärendet till domstolarna, som gör en bedömning och bestämmer nivån på sanktionsavgiften.
B. Bedömning av tolkningsfrågorna
18. Jag anser att det är lämpligt att bedöma de två frågorna tillsammans. Den hänskjutande domstolen har i huvudsak ställt dessa frågor för att få klarhet i huruvida begreppet företag i artikel 83.4–83.6 i dataskyddsförordningen mot bakgrund av skäl 150 i denna förordning ska förstås så, att det motsvarar begreppet företag i den mening som avses i artiklarna 101 och 102 FEUF. Detta ger upphov till frågan huruvida det i samband med att en sanktionsavgift påförs ett bolag för en överträdelse av dataskyddsförordningen är nödvändigt att ta hänsyn till den totala årsomsättningen för hela koncernen (den ekonomiska enheten eller koncernen, in casu Lars Larsen Group, det vill säga cirka 881 miljoner euro) där det bolag som har gjort sig skyldigt till överträdelsen ingår, och inte enbart till den totala årsomsättningen för själva företaget (Ilva, det vill säga cirka 241 miljoner euro).
1. Domen Deutsche Wohnen
19. Artikel 83 i dataskyddsförordningen utgör den rättsliga grunden för påförande av sanktionsavgifter för överträdelse av denna förordning. I dataskyddsförordningen finns ingen definition av begreppet ”företag” när det gäller verkställighet, men i skäl 150 i förordningen anges att principerna i unionens konkurrensrätt ska tillämpas för att tolka begreppet.
20. EU-domstolen har nyligen haft tillfälle att tolka vissa (men inte alla) punkter i artikel 83 i dataskyddsförordningen och att beröra vissa frågor som har samband med tolkningsfrågorna i förevarande mål.
21. I domen Deutsche Wohnen slog domstolen särskilt fast följande: ”Det framgår således av artikel 83.4–83.6 i dataskyddsförordningen, som avser beräkningen av administrativa sanktionsavgifter vid de överträdelser som där anges, att om den som påförs dem är ett företag eller ingår i ett, i den mening som avses i artiklarna 101 och 102 FEUF, ska sanktionsavgifternas maximala belopp beräknas på grundval av en procentandel av det berörda företagets totala globala årsomsättning under föregående räkenskapsår.”
22. Domstolen klargjorde att den administrativa sanktionsavgiftens maximala belopp baseras på företagets totala globala årsomsättning, och detta begrepp ska förstås i enlighet med unionens konkurrensrätt (artiklarna 101 och 102 FEUF). Domstolen konstaterade således att unionslagstiftaren avsåg att skapa en länk mellan bestämmelserna i dataskyddsförordningen och bestämmelserna i unionens konkurrensrätt när denne fastställde den maximala sanktionsavgiften enligt dataskyddsförordningen.
23. I detta avseende liknar artikel 83.4–83.6 i dataskyddsförordningen förvisso artikel 23.2 i förordning (EG) nr 1/2003, eftersom det i båda fastställs ett lagstadgat tak för sanktionsavgifter enligt respektive förordning.
24. Domstolen vidareutvecklade sitt resonemang och berörde de villkor som gäller för fastställande av sanktionsavgiften. Såsom domstolen slog fast i domen i målet Deutsche Wohnen (punkt 58) ”är det i slutändan endast sådana administrativa sanktionsavgifter vars belopp fastställs på grundval av mottagarens faktiska eller materiella ekonomiska kapacitet, och som tillsynsmyndigheten således påför, vad gäller avgiftsbeloppet, med stöd av begreppet ekonomisk enhet i den mening som avses i rättspraxis[] som kan uppfylla de tre villkor som uppställs i artikel 83.1 i dataskyddsförordningen, nämligen att de på samma gång ska vara effektiva, proportionerliga och avskräckande”. Även om domstolen i detta avseende nämnde ”mottagaren” och därigenom underströk kopplingen mellan sanktionsbeloppet och den person som specifikt anklagas för överträdelsen av dataskyddsförordningen återgick den längre fram till begreppet företag (ekonomisk enhet) enligt unionens konkurrensrätt.
25. I punkt 59 i domen slog domstolen vidare fast att ”[n]är en tillsynsmyndighet med stöd av sina befogenheter enligt artikel 58.2 i dataskyddsförordningen beslutar att påföra en personuppgiftsansvarig, som är ett företag eller ingår i ett, i den mening som avses i artiklarna 101 och 102 FEUF, administrativa sanktionsavgifter med tillämpning av artikel 83 i förordningen, är denna myndighet således skyldig att, enligt sistnämnda bestämmelse, jämförd med skäl 150 i samma förordning, vid beräkningen av dessa sanktionsavgifter för de överträdelser som avses i artikel 83.4–83.6, grunda sig på företagsbegreppet i den mening som avses i artiklarna 101 och 102 FEUF”.
26. Jag drar slutsatsen att det följer av domen Deutsche Wohnen att omnämnandet av den totala globala årsomsättningen för företaget förstås i enlighet med artiklarna 101 och 102 FEUF när den maximala sanktionsavgiften fastställs i ett fall där en överträdelse av dataskyddsförordningen begås av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är (eller ingår i) ett företag. Därigenom klargörs emellertid inte endast frågan som rör den maximala sanktionsavgift som kan påföras den personuppgiftsansvarige eller personuppgiftsbiträdet. Det innebär också att den mycket nyanserade (och för varje enskilt fall specifika) rättspraxis som avser begreppen företag och ekonomisk enhet i viss mån blir relevant för fastställandet av villkoren för att bestämma den faktiska sanktionsavgift som ska påföras för denna specifika överträdelse av dataskyddsförordningen.
27. För att föreslå en ram som ska vägleda den hänskjutande domstolen när den fastställer Ilvas sanktionsavgift kommer jag i följande punkter att undersöka den inverkan som domen Deutsche Wohnen har med hänsyn till de särskilda omständigheterna i förevarande mål.
2. Steg 1 i bedömningen efter domen Deutsche Wohnen: en allmän bedömning för att fastställa den maximala sanktionsavgiften
28. Såsom påpekats i punkterna 25 och 26 ovan följer det av ordalydelsen i artikel 83 i dataskyddsförordningen, jämförd med skäl 150 i samma förordning, och av praxis i målet Deutsche Wohnen att i de fall där en personuppgiftsansvarig eller ett personuppgiftsbiträde är (ingår i) ett företag i den mening som avses i artiklarna 101 och 102 FEUF ska den globala omsättningen för ett sådant företag som helhet användas för att fastställa den maximala sanktionsavgiften.
29. Det har i EU-domstolens praxis slagits fast att begreppet företag omfattar ”varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga ställning och dess sätt att finansiera verksamheten”.
30. Av domstolens praxis följer också att begreppet företag i artiklarna 101 och 102 FEUF kan avse en enda ekonomisk enhet även om denna ekonomiska enhet består av flera fysiska eller juridiska personer. Frågan huruvida flera enheter utgör en sådan organisation beror i stor utsträckning på om det står den enskilda enheten fritt att fatta beslut eller om en styrande enhet, nämligen moderbolaget, utövar avgörande inflytande över de övriga bolagen. Kriterierna för att avgöra detta baseras på de ekonomiska, juridiska och organisatoriska banden mellan moderbolaget och dess dotterbolag, exempelvis andelsinnehav, personella eller organisatoriska kopplingar, instruktioner och förekomsten av bolagsavtal.
31. Det framgår också av rättspraxis att det av en rad samstämmiga omständigheter går att sluta sig till att moderbolaget faktiskt utövar ett avgörande inflytande över dotterbolagets beteende även om ingen av dessa omständigheter i sig själv räcker för att fastställa att det föreligger ett sådant inflytande. Europeiska unionens domstolar har i detta avseende bland annat åberopat moderbolagets befogenhet att utse ledamöterna i de olika styrelserna och befogenheten att utse olika styrelser samt befogenheten att sammankalla aktieägarna till bolagsstämma och föreslå entledigande av dotterbolagets styrelseledamöter eller samtliga styrelser.
32. Det framgår av fast rättspraxis att i det särskilda fall där ett moderbolag direkt eller indirekt äger hela eller nästan hela kapitalet i ett dotterbolag som har överträtt konkurrensreglerna, kan detta moderbolag utöva ett avgörande inflytande över nämnda dotterbolags beteende. Det föreligger vidare en motbevisbar presumtion om att moderbolaget faktiskt utövar ett sådant avgörande inflytande.
33. Enligt punkt 2 i begäran om förhandsavgörande ingår Ilva i Lars Larsen Group. Om den hänskjutande domstolen skulle finna att moderbolaget i koncernen utövar avgörande inflytande över Ilva skulle företaget i den mening som avses i artikel 83.5 i dataskyddsförordningen bestå av i) moderbolaget i koncernen, ii) Ilva och iii) andra bolag över vilket moderbolaget också utövar avgörande inflytande. I den senare kategorin ingår eventuellt de andra bolagen i Lars Larsen Group.
34. Omsättning hänvisas det uttryckligen till i artikel 83.4–83.6 i dataskyddsförordningen i samband med beräkning av den maximala sanktionsavgift som kan påföras bolag. Detta maximala belopp gäller för mycket stora bolag, eftersom gränsen inte gäller om sanktionsavgiften är lägre än det absoluta belopp som anges i dessa tre punkter i artikel 83, nämligen 10 miljoner euro eller 20 miljoner euro. Det tak som fastställs på grundval av omsättningen är därför bara relevant för bolag med en total global omsättning på mer än 500 miljoner euro.
35. Om den hänskjutande domstolen kommer fram till att moderbolaget i Lars Larsen Group utövar avgörande inflytande över Ilva ska följaktligen en hypotetisk beräkning av den maximala sanktionsavgiften i det nationella målet göras på grundval av en procentandel av den totala globala årsomsättningen det föregående räkenskapsåret för företaget i fråga, det vill säga Lars Larsen Group (där Ilva ingår).
3. Steg 2 i bedömningen efter domen Deutsche Wohnen: bedömning för att fastställa den faktiska sanktionsavgiften för överträdelserna i det nationella målet
36. Frågan om fastställande av den maximala sanktionsavgiften enligt unionslagstiftarens föreskrift i artikel 83.4–83.6 i dataskyddsförordningen får varken förväxlas eller sammanblandas med den senare uppgiften för en tillsynsmyndighet, det vill säga att bestämma den faktiska sanktionsavgift som ska påföras för den specifika överträdelsen (överträdelserna) i fråga av dataskyddsförordningen.
37. I detta avseende bör för det första påpekas att det anges tre grundläggande villkor i artikel 83.1 i dataskyddsförordningen vilka tillsynsmyndigheten ska iaktta. Vart och ett av dessa villkor kräver att det görs en individuell avvägning av alla omständigheter i samband med överträdelsen i fråga och av den lämpliga sanktionsavgift som ska påföras. Vidare krävs det enligt artikel 83.2 att myndigheten uppfyller ett antal krav vid beslut om ”huruvida administrativa sanktionsavgifter ska påföras och om [vilka] faktiska sanktionsavgifter [som är lämpliga]”. För att fullt ut förstå tillämpningen av artikel 83.4–83.6 i dataskyddsförordningen i samband med fastställandet av den faktiska sanktionsavgiften i ett enskilt fall ska dessa punkter jämföras med både artikel 83.1 och artikel 83.2 i samma förordning. I den senare bestämmelsen räknas specifika faktorer upp som en tillsynsmyndighet har att beakta när den fastställer den faktiska sanktionsavgiften i ett visst fall.
38. Enligt själva ordalydelsen i punkt 2 i nämnda artikel krävs det att vederbörlig hänsyn tas till flera faktorer i ”varje enskilt fall” samtidigt som det överlåts åt tillsynsmyndigheten att fastställa de specifika omständigheter som är relevanta för det aktuella ärendet och att fastställa deras relevans för beräkningen av den faktiska sanktionsavgiften.
39. Till skillnad från artikel 83.4–83.6 i dataskyddsförordningen (se punkt 34 i detta förslag till avgörande) nämns inte företagets omsättning i artikel 83.2 i förordningen, eller i artikel 83.1 eller 83.3 för den delen. Unionslagstiftaren valde följaktligen att inte inbegripa ”omsättning” som en specifik omständighet för fastställande av den faktiska sanktionsavgiften. För att säkerställa att varje överträdelse bedöms på grundval av alla relevanta enskilda omständigheter räknas i artikel 83.2 i stället andra faktorer upp som kännetecknar beteendet hos en personuppgiftsansvarig eller ett personuppgiftsbiträde som anklagas för en överträdelse av dataskyddsförordningen. Jag anser att det av det föregående går att sluta sig till att unionslagstiftaren avsåg att göra åtskillnad mellan de omständigheter som ska utgöra underlag för fastställande av den maximala sanktionsavgiften (steg 1) och förteckningen över krav som är bindande för tillsynsmyndigheten när den fastställer den faktiska sanktionsavgiften (steg 2).
40. I detta sammanhang vill jag påpeka att EU-domstolen har understrukit att ”en sanktion, även om den inte är av straffrättslig art, endast kan påföras om den har en klar och otvetydig rättslig grund”. Det gäller i ännu högre grad i ett sådant straffrättsligt förfarande som det som är aktuellt i förevarande mål. I EU-domstolens praxis nämns ”legalitetsprincipen [som] kräver att brotten och de påföljder som de leder till tydligt måste definieras i lag … [och] kriterierna för bedömning av lagens tydlighet enligt Europadomstolens praxis”.
41. Kommissionen har i detta avseende i huvudsak gjort gällande att det i det aktuella fallet följer av dataskyddsförordningen att inte endast den maximala sanktionsavgiften ska baseras på omsättningen för det företag som bolaget tillhör, och att detta gäller även för beräkningen av den faktiska sanktionsavgiften. De överväganden som jag har gjort i punkterna 37–40 i detta förslag till avgörande gör det emellertid inte möjligt att dra slutsatsen att artikel 83.1–83.6 i dataskyddsförordningen ska tolkas så, att reglerna för att fastställa den maximala sanktionsavgiften (steg 1) ska användas som huvudsaklig eller enda referens även för att fastställa den faktiska sanktionsavgiften (steg 2).
42. För det andra kan behovet av att göra åtskillnad mellan den maximala sanktionsavgiften (steg 1) och den faktiska sanktionsavgiften (steg 2) också härledas ur unionens konkurrensrätt, som en spill‑over‑effekt av att det skapas en länk mellan de båda rättsområdena. I unionens konkurrensrätt använder kommissionen, i fråga om den maximala sanktionsavgiften i likhet med vad som gäller enligt artikel 83 i dataskyddsförordningen, omsättningen för att beräkna den maximala sanktionsavgiften (som fastställs till 10 procent av företagets totala omsättning). Det är emellertid viktigt att påpeka att själva grundbeloppet för sanktionsavgiften inte fastställs på grundval av omsättningen.
43. Grundbeloppet för sanktionsavgiften fastställs i stället i huvudsak till en procentandel av värdet av den relevanta försäljningen (som är direkt eller indirekt kopplad till konkurrensöverträdelsen) multiplicerat med varaktigheten (antal år eller perioder på mindre än ett år), plus 15–25 procent av värdet av relevant försäljning (som ytterligare avskräckande effekt för karteller). Grundbeloppet för sanktionsavgiften höjs sedan på grund av försvårande omständigheter eller sänks på grund av förmildrande omständigheter. Detta belopp omfattas sedan av det generella taket på 10 procent av omsättningen (det finns ytterligare en möjlighet att i tillämpliga fall sänka sanktionsavgiften på grundval av förmånlig behandling, förlikning och/eller betalningsoförmåga). Detta visar tydligt att det är de faktorer som direkt kännetecknar överträdelsen (såsom den relevanta försäljningen, överträdelsens varaktighet och de särskilda omständigheter som kännetecknar ärendet) som spelar en central roll när den faktiska sanktionsavgiften fastställs, och inte den totala globala årsomsättningen.
44. Såsom tidigare har påpekats i doktrinen ”finns det ingen direkt koppling mellan den bötesberäkningsmetod som kommissionen använder med stöd av artiklarna 101 [och] 102 FEUF och dataskyddsförordningen, eftersom böterna enligt unionsrätten på konkurrensområdet syftar till att fånga upp effekterna av det [konkurrensbegränsande] beteendet på marknaden och inte till att se på omsättningen som sådan. När det gäller karteller baseras sanktionsavgifterna på värdet av den försäljning som har samband med den produkt som omfattas av kartellen och inte på den globala omsättningen”.
45. I EU-domstolens praxis bekräftas förvisso att den del av den totala omsättningen som härrör från försäljning av produkter som omfattas av överträdelsen (det vill säga ”värdet av försäljningen”) utgör den uppgift som bäst återspeglar den ekonomiska betydelsen av denna överträdelse. Det som begreppet ”omsättning” ska avspegla är däremot företagets ekonomiska betydelse. Dessa två tillvägagångssätt får inte sammanblandas eftersom de tjänar olika syften. Det tidigare tillvägagångssättet syftar nämligen till att bedöma överträdelsens svårighetsgrad, medan målet med det senare är att bedöma företagets ekonomiska betydelse.
46. Ovanstående överväganden och EU-domstolens praxis (se punkt 40 ovan) leder mig till slutsatsen att legalitetsprincipen ska forma gränserna för den inverkan som unionens rättspraxis på konkurrensområdet har på påförandet av faktiska sanktionsavgifter för överträdelse av dataskyddsförordningen. Det ska i synnerhet säkerställas att de faktiska sanktionsavgifterna enligt dataskyddsförordningen beräknas enbart i förhållande till gärningsmannens handlingar och att hänsyn tas fullt ut till alla kännetecknen för den specifika överträdelsen. Tolkningen av begreppen omsättning och företag vid beräkningen av den maximala sanktionsavgiften får inte automatiskt tillämpas när den faktiska sanktionsavgiften fastställs.
47. För att en sanktionsavgift ska uppfylla syftet med dataskyddsförordningen – nämligen att stärka genomförandet av förordningens bestämmelser – och mot bakgrund av EU-domstolens praxis som har behandlats ovan ska, när den faktiska sanktionsavgiften fastställs, tolkningen av begreppen företag och omsättning uppfylla följande krav. När den faktiska sanktionsavgiften fastställs ska tillsynsmyndigheten för det första utgå från omständigheterna i det enskilda fallet, så som krävs enligt artikel 83.2 i dataskyddsförordningen, inbegripet förhållandet inom företaget enligt unionens konkurrensrätt. För det andra ska den faktiska sanktionsavgiften efter en avvägning mellan samtliga relevanta omständigheter vara effektiv, proportionell och avskräckande. Sist men inte minst ska i förekommande fall de aspekter av straffrätten som är relevanta i ärendet beaktas.
48. När det gäller uppfyllandet av dessa krav vill jag erinra om följande.
49. Såsom generaladvokaten Pitruzzella har påpekat varierar i unionsrätten innebörden och räckvidden av begreppet företag beroende på i vilket regelverk det används och de mål som eftersträvas med detta regelverk. I unionens konkurrensrätt ska den funktionella karaktären av begreppet företag ses ur två synvinklar. För det första tar detta begrepp sikte på den typ av verksamhet som bedrivs snarare än på egenskaperna hos de aktörer som bedriver densamma. Eftersom konkurrensen består i och påverkas av ekonomisk verksamhet kan konkurrensrätten endast ha full verkan om dess regler och förbud tillämpas på ekonomiska enheter. Av detta skäl hänvisar artiklarna 101 FEUF och 102 FEUF i allmänna ordalag till företag oberoende av deras rättsliga struktur. För det andra är kvalificeringen av en verksamhet som ekonomisk – och följaktligen av en enhet som ett företag – i den mening som avses i unionens konkurrensrätt avhängig av den bedömda kontexten. På motsvarande sätt är fastställandet av de enheter som ryms inom gränserna för företaget avhängigt av föremålet för den aktuella överträdelsen.
50. Med dessa synpunkter understryks helt riktigt att ekonomiska hänsyn tas i unionens konkurrensrätt, medan den ifrågavarande enhetens rättsliga strukturer inte beaktas. Med detta sagt begränsar den andra aspekten detta synsätt på så sätt att fastställandet av den enhet eller person som har gjort sig skyldig till överträdelsen, och följaktligen den faktiska sanktionen, beror på den omtvistade överträdelsen som sådan.
51. En av de faktorer som kännetecknar begreppet företag och som ska övervägas när grundbeloppet för sanktionsavgiften fastställs och detta anpassas (för att fastställa den faktiska sanktionsavgiften) är följaktligen vilken del andra bolag i företaget har i överträdelsen av dataskyddsförordningen. Det har i detta avseende gjorts gällande i nationell rättspraxis beträffande unionens konkurrenslagstiftning att ”begreppsmässigt skiljer sig frågan huruvida det finns ett företag från frågan om ansvarstillskrivande mellan olika bolag inom ett företag … [och] en person är inte i kraft av själva sakförhållandet (ipso facto) ansvarig för en överträdelse av artikel 101 [FEUF] enbart av den anledningen att han, hon, den eller det ingår i ett företag som är ansvarigt enligt unionsrätten för överträdelsen under omständigheter där personen i fråga varken varit delaktig i överträdelsen eller haft avgörande inflytande över företagets andra medverkande medlemmars beteende på den relevanta marknaden … Under sådana omständigheter kan det mycket väl vara osannolikt att personen i fråga faktiskt skulle anses vara en del av detta företag”.
52. Jag anser att ovanstående argument även är relevanta för bedömningen av vilka personer som omfattas av begreppet företag för att fastställa den faktiska sanktionsavgiften för överträdelse av dataskyddsförordningen. Så är särskilt fallet när tillsynsmyndigheten uttryckligen har slagit fast att moderbolaget inte varit delaktigt i överträdelsen i fråga som personuppgiftsansvarig eller personuppgiftsbiträde, vilket är fallet i det nationella målet.
53. Även om unionslagstiftaren i en viss begränsad utsträckning har skapat en länk mellan de båda områdena i unionsrätten för att fastställa maximala sanktionsavgifter är det tydligt att bestämmelserna i dataskyddsförordningen och i unionens konkurrensrätt har olika syften. Regelverket i dataskyddsförordningen skiljer sig från unionens konkurrensregler, och det är baserat på den personuppgiftsansvariges (och personuppgiftsbiträdets) ansvar för att personuppgifter behandlas lagenligt. Med andra ord avser unionens konkurrensrätt företag (förbudet uttrycks genom en hänvisning till företag) medan dataskyddsförordningen är inriktad på personuppgiftsansvariga och personuppgiftsbiträden. Jag vill också erinra om att eftersom doktrinen om ekonomisk enhet inte kan skiljas från systematiken i unionens konkurrensrätt och dess syfte har EU-domstolen tidigare vägrat att analogt utsträcka tillämpningen av denna till andra områden i unionsrätten, exempelvis till utomobligatoriskt ansvar med stöd av artikel 340 andra stycket FEUF.
54. Mot bakgrund av dessa överväganden blir det uppenbart varför domstolen tydligt har begränsat konsekvenserna av unionens konkurrensrätt för tillämpningen av dataskyddsförordningen (och särskilt sanktionsavgifter enligt dataskyddsförordningen). I domen Deutsche Wohnen (punkt 53) påpekade EU-domstolen följande: ”[F]öretagsbegreppet, i den mening som avses i artiklarna 101 och 102 FEUF, saknar betydelse för frågan huruvida och på vilka villkor administrativa sanktionsavgifter kan påföras en personuppgiftsansvarig som är en juridisk person, med tillämpning av artikel 83 i dataskyddsförordningen. Denna fråga regleras nämligen uttömmande i artiklarna 58.2 och 83.1–83.6 i förordningen”. Domstolen påpekade vidare (i punkt 54) att företagsbegreppet ”[endast är] relevant för att fastställa beloppet på de administrativa sanktionsavgifter som en personuppgiftsansvarig kan påföras med stöd av artikel 83.4–83.6 i dataskyddsförordningen [som avser den maximala sanktionen]” (min kursivering). Genom att bestämma (punkt 53) att frågan huruvida och på vilka villkor en administrativ sanktionsavgift får påföras ”regleras uttömmande i artiklarna 58.2 och 83.1–83.6 i förordningen” (min kursivering) har domstolen dessutom ytterligare klargjort att när den faktiska sanktionsavgiften fastställs ska kraven i artikel 83.1–83.6 tillämpas i sin helhet, och inget av dessa stycken är primus inter pares.
55. Företagets omsättning är därför bara en av det flertal faktorer som ska beaktas när ansvar utkrävs av en personuppgiftsansvarig (eller ett personuppgiftbiträde) och en sanktionsavgift enligt dataskyddsförordningen som är effektiv, proportionell och avskräckande påförs.
56. Det är riktigt att EU-domstolens praxis visar att det i unionens konkurrensrätt kan vara motiverat att i vissa situationer ta hänsyn till ett bolags omsättning – men bara som en relevant omständighet bland andra – när den faktiska sanktionsavgiften beräknas (exempelvis när grundbeloppet för sanktionsavgiften höjs i avskräckande syfte).
57. Det bör därför enligt min uppfattning vara möjligt att åberopa begreppet företag i den mening som avses i artiklarna 101 och 102 FEUF när den faktiska sanktionsavgiften fastställs, men endast när detta är motiverat för att sanktionsavgiften ska vara avskräckande och effektiv. I detta avseende måste användningen av begreppet förvisso vara nyanserad och individualiserad i varje enskilt fall. Det måste närmare bestämt användas som en justeringsmekanism vid bedömningen av de särskilda omständigheterna i det enskilda fallet när sanktionsbeloppet har fastställts i enlighet med artikel 83.2 i dataskyddsförordningen. Det åligger således den hänskjutande domstolen att i det aktuella fallet avgöra om det finns omständigheter som motiverar att sanktionsavgiften höjs på ett sådant sätt, särskilt i avskräckande syfte.
58. Frågan om individualisering av sanktionsavgifterna enligt dataskyddsförordningen har också tagits upp av Europeiska dataskyddsstyrelsen (EDPB). I sina riktlinjer för beräkning av sanktionsavgifter enligt dataskyddsförordningen, vilka har utformats i enlighet med artikel 70.1 k i dataskyddsförordningen, strävar EDPB efter att standardisera tillsynsmyndigheternas befogenhet att påföra sanktionsavgifter enligt dataskyddsförordningen i hela Europeiska unionen. Europeiska dataskyddsstyrelsen har i synnerhet förklarat att den anser att ”tre faktorer utgör utgångspunkten för ytterligare beräkningar: kategorisering av överträdelser efter karaktär enligt [artikel] 83.4–83.6 i dataskyddsförordningen, överträdelsens [allvar] … och företagets omsättning som en relevant faktor att beakta i syfte att ålägga effektiva, avskräckande och proportionella sanktionsavgifter i enlighet med artikel 83.1 i dataskyddsförordningen”. Sådana riktlinjer är visserligen inte bindande för EU-domstolen, men det står under alla omständigheter klart att det endast med ett övergripande tillvägagångssätt som innefattar alla de faktorer som är relevanta för ett specifikt fall kan säkerställas att sanktionsavgiften uppfyller de väsentliga kraven enligt artikel 83 i förordningen, och i synnerhet att den faktiska sanktionsavgift som påförs är effektiv, proportionell och avskräckande.
59. För att fastställa den faktiska sanktionsavgiften uppmanar jag följaktligen EU-domstolen att ta hänsyn till att följande aspekter bör vara relevanta när begreppet företag används i samband med att den faktiska sanktionsavgiften enligt artikel 83 i dataskyddsförordningen fastställs. Det ska för det första bedömas huruvida moderbolaget har utövat sin beslutsbefogenhet vad gäller den personuppgiftsansvariges eller personuppgiftsbiträdets specifika verksamhet i samband med överträdelsen eller överträdelserna av dataskyddsförordningen. Det måste för det andra bedömas huruvida specifik behandling av uppgifter vilken strider mot dataskyddsförordningen har samband med bolaget i fråga och/eller med hela koncernen. För det tredje är det nödvändigt att fastställa huruvida mer än ett bolag i koncernen har varit involverat i överträdelsen eller överträdelserna av dataskyddsförordningen.
60. I detta avseende vill jag påpeka att följande icke uttömmande uppräkning av omständigheter är relevant: i) i förevarande mål visar det sig – till skillnad från det mål som utmynnade i domen Deutsche Wohnen – att Lars Larsen Group och/eller dess dotterbolag inte var involverade i det straffrättsliga förfarandet, ii) Åtalet väcktes endast mot Ilva och inte mot koncernen, och iii) överträdelsen av dataskyddsförordningen i det nationella målet var begränsad till Ilvas kunder och uppgifterna om dessa, och det fanns ingen antydan om att överträdelsen hade skett på koncernnivå eller att Ilvas behandling av uppgifter var kopplad till de andra bolagen i koncernen. Det bör understrykas att i det mål som gav upphov till målet Deutsche Wohnen tog det berörda bolaget på sig allt ansvar för behandlingen av uppgifter, det vill säga även för behandlingen av uppgifter i de andra bolagen i koncernen.
61. Det ankommer emellertid på den hänskjutande domstolen – som ensam är behörig att pröva de faktiska omständigheterna – att göra de kontroller som är nödvändiga i detta avseende och bedöma dessa omständigheter liksom den betydelse och vikt som de ska tillmätas när ett lämpligt belopp ska fastställas för Ilvas faktiska sanktionsavgift.
4. Avslutande överväganden
62. Även om den hänskjutande domstolen inte har ställt några frågor i detta avseende anser jag att det – för att ge den ett fullständigt svar – är lämpligt att kortfattat behandla vissa specifika aspekter av förevarande mål.
63. För det första måste tolkningen av artikel 83.1–83.6 i det nationella målet särskilt göras mot bakgrund av artikel 83.9 i dataskyddsförordningen – vilket domstolen inte tog upp i domen Deutsche Wohnen. Bestämmelserna om fastställande av en lämplig faktisk sanktionsavgift enligt artikel 83 i dataskyddsförordningen måste i förevarande mål tolkas i överensstämmelse med de grundläggande garantierna för ett straffrättsligt förfarande.
64. Vid bedömningen av inverkan av artikel 83.9 på förevarande mål är det nödvändigt att även ta hänsyn till skäl 151 i dataskyddsförordningen enligt vilken ”Danmarks och Estlands rättssystem[] [inte] tillåter … administrativa sanktionsavgifter i enlighet med denna förordning”. I skälet ges dessutom vägledning om olika förfarandens förenlighet med de tre grundläggande villkoren för den faktiska sanktionsavgiften enligt reglerna i dataskyddsförordningen, det vill säga att ”[d]e sanktionsavgifter som utdöms … i alla händelser [bör] vara effektiva, proportionella och avskräckande”. Det är därför på sin plats att kortfattat behandla unionsrättens inverkan på sanktionsavgifter som påförs i straffrättsliga förfaranden för att säkerställa att dessa tre villkor uppfylls även i ett enskilt fall som detta.
65. Vid förhandlingen åberopade Ilva å ena sidan artikel 41 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan). Denna artikel har rubriken ”Rätt till god förvaltning”. Särskilt i artikel 41.2 c påpekas att ”förvaltningen är skyldig att motivera sina beslut”, men Ilva har inte framfört några specifika argument i detta avseende.
66. Å andra sidan hänvisade Ilva också till artikel 49 i stadgan. Jag anser förvisso att det vid tolkningen av artikel 83.1–83.6 i dataskyddsförordningen ska tas hänsyn till denna artikel i stadgan som har rubriken ”Principerna om laglighet och proportionalitet i fråga om brott och straff” och således är tillämplig i det nationella målet. I artikel 49.3 i stadgan föreskrivs särskilt att ”[s]traffets stränghet [inte] bör … vara oproportionerlig i förhållande till lagöverträdelsen”.
67. Det följer emellertid av EU-domstolens praxis att proportionalitetsprincipen är en av de allmänna principerna i unionsrätten vilka utgör grunden för medlemsstaternas gemensamma konstitutionella traditioner och som ska respekteras av de nationella myndigheterna när de tillämpar eller införlivar unionsrätten. Av denna praxis följer att medlemsstaterna är skyldiga att vidta åtgärder som är ägnade att förverkliga de mål som eftersträvas och inte går utöver vad som är nödvändigt för att uppnå dessa mål.
68. En påföljds stränghet ska således motsvara den aktuella överträdelsens allvar. Detta krav framgår inte bara av artikel 52.1 i stadgan utan även av principen om proportionerliga straff, som stadfästs i artikel 49.3 i stadgan.
69. Av förklaringarna avseende stadgan om de grundläggande rättigheterna framgår att i den mån som den rättighet som garanteras i artikel 49 i stadgan motsvarar en rättighet som garanteras av Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, undertecknad i Rom den 4 november 1950 (nedan kallad Europakonventionen), ska den, i enlighet med artikel 52.3 i stadgan, ha samma innebörd och räckvidd som i Europakonventionen. De krav som Europadomstolen har ställt rörande sanktioners proportionalitet är tillämpliga i ett sådant fall som det som är i fråga i det nationella målet, genom de sammantagna verkningarna av artiklarna 17.1, 51.1, 52.1 och 52.3 i stadgan.
70. I EU-domstolens praxis klargörs att proportionalitetsprincipen för det första ställer krav på att den ålagda påföljden ska motsvara överträdelsens allvar och på att omständigheterna i det enskilda fallet ska beaktas vid fastställandet av påföljden och bötesbeloppet. Vad beträffar denna andra omständighet betonas det i rättspraxis att den hänskjutande domstolen är skyldig att beakta objektiva kriterier, såsom överträdelsens allvar och varaktighet samt eventuella försvårande och förmildrande omständigheter, för att säkerställa att böterna blir effektiva, att de står i rimlig proportion till överträdelsen samt att de är avskräckande.
71. För det andra görs det i Europadomstolens praxis i sådana mål en avvägning mellan de olika intressen som står på spel, och hänsyn tas till överträdelsens art och allvar och till den avskräckande verkan av brottmålsdomen mot sökanden. I Europadomstolens praxis klargörs att staternas skyldighet att införa straffrättsliga bestämmelser och ålägga påföljder för att skydda allmänheten medför en motsvarande skyldighet att säkerställa att den påföljd som åläggs inte är orimlig.
72. Europadomstolen har slagit fast att den ”nödvändiga balansen inte kommer att uppnås när den berörda personen bär en individuell och orimlig börda”, och såldes kan ”det ekonomiska ansvar som följer av böter undergräva den garanti som ges genom denna bestämmelse, om det innebär en orimlig börda för personen eller i grunden påverkar dennes ekonomiska situation”.
73. Av detta följer att de särskilda processuella aspekterna i det nationella målet och unionsrätten och Europadomstolens rättspraxis beträffande böter som påförs i straffrättsliga förfaranden kräver att tillsynsmyndigheten eller den hänskjutande domstolen tar hänsyn till alla relevanta omständigheter i målet när den fastställer den faktiska sanktionsavgiften för överträdelse av dataskyddsförordningen. En tilltalads förfarandegarantier och proportionalitetsprincipen, så som den tolkas i EU-domstolens och Europadomstolens praxis, kräver att påföljderna ska motsvara överträdelsens allvar och att de särskilda omständigheterna i det enskilda fallet beaktas.
74. Mot bakgrund av dessa krav ska den hänskjutande domstolen säkerställa att proportionalitetsprincipen iakttas när den faktiska sanktionsavgiften fastställs, vilket innebär att det ska göras en rimlig avvägning mellan det som det allmänna samhällsintresset kräver i fråga om skydd av personuppgifter och kravet på skydd för de grundläggande rättigheterna för den personuppgiftsansvarige, personuppgiftsbiträdet eller det företag som de ingår i.
V. Förslag till avgörande
75. Jag föreslår att domstolen besvarar tolkningsfrågorna från Vestre Landsret (Appellationsdomstolen för västra Danmark, Danmark) enligt följande: Artikel 83.4–83.6 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att när sanktionsavgifter påförs en personuppgiftsansvarig eller ett personuppgiftsbiträde som är (ingår i) ett företag, ska begreppet ”företag” förstås så, att det motsvarar begreppet företag i den mening som avses i artiklarna 101 och 102 FEUF när den maximala sanktionsavgiften fastställs. Således ska den totala globala årsomsättningen för det företag som den personuppgiftsansvarige eller personuppgiftsbiträdet ingår i beaktas. När den faktiska sanktionsavgiften fastställs ska emellertid begreppet ”företag” tolkas mot bakgrund av artikel 83.1 och 83.2 i förordning 2016/679 och användas som en av flera relevanta faktorer vid bedömningen av de särskilda omständigheterna i det enskilda fallet. I det sammanhanget kan med särskilda omständigheter avses moderbolagets beslutsbefogenhet, omfattningen av den behandling av uppgifter som strider mot bestämmelserna i denna förordning och antalet enheter i det företag som är delaktigt i överträdelsen. När en nationell domstol påför en sådan sanktionsavgift med stöd av artikel 83.9 i förordning 2016/679 inom ramen för ett straffrättsligt förfarande ska den faktiska sanktionsavgiften dessutom bedömas mot bakgrund av de principer som tillämpas inom straffrätten. I det sammanhanget ska den nationella domstolen säkerställa att proportionalitetsprincipen iakttas när den faktiska sanktionsavgiften fastställs, vilket innebär att det ska göras en rimlig avvägning mellan det som det allmänna samhällsintresset kräver i fråga om skydd av personuppgifter och kravet på skydd för de grundläggande rättigheterna för den personuppgiftsansvarige, personuppgiftsbiträdet eller det företag som de ingår i.
1 Originalspråk: engelska.
2 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmänna dataskyddsförordningen) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).
3 I nationella källor kallas målet vid den nationella domstolen även målet IDdesign A/S, eftersom detta var Ilvas tidigare firmanamn.
4 Särskilt artikel 83.9 och skäl 151 i dataskyddsförordningen.
5 Se Overby, T., The Danish adaptation of the GDPR, Blog Droit Européen, juni 2018, s. 4 och 5.
6 Vad beträffar den specifika ordalydelsen i den andra tolkningsfrågan (se punkt 15 i detta förslag till avgörande), förefaller den vara behäftad med ett materiellt fel. Av sammanhanget framgår emellertid att den hänskjutande domstolen inte avsåg att nämna valet mellan ”den ekonomiska enhet där företaget ingår” och ”själva företaget”, utan mellan ”den ekonomiska enhet där bolaget ingår” och ”själva bolaget” (det vill säga den juridiska person som gjort sig skyldig till överträdelse av dataskyddsförordningen).
7 Detta skäl citeras i punkt 4 i detta förslag till avgörande.
8 Dom av den 5 december 2023, Deutsche Wohnen ( C‑807/21, EU:C:2023:950, punkt 57) (nedan kallad domen Deutsche Wohnen eller praxis i målet Deutsche Wohnen). Se även domen i det konnexa målet Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:949), som meddelades samma dag.
9 I EU-domstolens praxis har klargjorts att ”omsättningen, om än ungefärlig och ofullständig, fortfarande är ett lämpligt kriterium för att bedöma de berörda företagens storlek och ekonomiska styrka”. Se dom av den 8 december 2011, KME Germany m.fl./kommissionen ( C‑272/09 P, EU:C:2011:810, punkt 52).
10 Rådets förordning av den 16 december 2002 om tillämpning av konkurrensreglerna i artiklarna [101 och 102 FEUF] (EGT L 1, 2003, s. 1).
11 Dom av den 6 oktober 2021, Sumal ( C‑882/19, EU:C:2021:800, punkt 41 och där angiven rättspraxis).
12 Se, beträffande nationell rättspraxis, tyska Landgericht Bonn (Regionala domstolen, Bonn, Tyskland) (dom av den 11 november 2020, DE:LGBN:2020:1111.29OWI1.20.00) och franska Conseil d’état (Högsta förvaltningsdomstolen, Frankrike) (dom av den 19 juni 2020, FR:CECHR:2020:430810.20200619). Båda överensstämmer i huvudsak med EU‑domstolens tolkning (även om de är äldre än EU‑domstolens dom). Se, för en motsatt tolkning, Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) (dom av den 19 augusti 2019, AT:BVWG:2019:W211.2208885.1.00) och Landgericht Berlin (Regionala domstolen, Berlin, Tyskland) (dom av den 18 februari 2021, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00. Detta är den dom som slutligen utmynnade i EU-domstolens dom Deutsche Wohnen). Se, beträffande senare rättspraxis där EU-domstolens dom tillämpas, österrikiska Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) (dom av den 27 mars 2024, AT:BVWG:2024:W214.2243436.1.00).
13 Se dom av den 23 april 1991, Höfner och Elser ( C‑41/90, EU:C:1991:161, punkt 21). Se även, exempelvis, dom av den 12 september 2000, Pavlov m.fl. ( C‑180/98–C‑184/98, EU:C:2000:428, punkt 74), dom av den 12 juli 2012, Compass-Datenbank ( C‑138/11, EU:C:2012:449, punkt 35), och dom av den 27 april 2017, Akzo Nobel m.fl./kommissionen ( C‑516/15 P, EU:C:2017:314, punkt 47).
14 Se, till exempel, dom av den 20 januari 2011, General Química m.fl./kommissionen ( C‑90/09 P, EU:C:2011:21, punkt 37). Det viktigaste kriteriet för att fastställa detta är ”avgörande inflytande”, vilket ska baseras på de faktiska omständigheterna (ekonomiska, organisatoriska och juridiska band).
15 Dom av den 27 januari 2021, The Goldman Sachs Group/kommissionen ( C‑595/18 P, EU:C:2021:73, punkt 67 och där angiven rättspraxis).
16 Ibidem, punkt 71.
17 Ibidem, punkt 32 och där angiven rättspraxis.
18 2 procent av ett bolags totala globala omsättning är mer än 10 miljoner euro endast om bolagets omsättning är över 500 miljoner euro. Likaledes är 4 procent av ett bolags totala globala omsättning mer än 20 miljoner euro endast om bolagets omsättning är över 500 miljoner euro.
19 Jag kommer i detta förslag till avgörande genomgående att använda begreppen ”tillsynsmyndigheten” eller ”en tillsynsmyndighet” i detta sammanhang, men det står – med hänsyn till de särskilda omständigheterna i det nationella målet – klart att med detta även avses den hänskjutande domstolen (som påför Ilva sanktionsavgiften – inte tillsynsmyndigheten).
20 ”Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i enlighet med denna artikel för sådana överträdelser av denna förordning som avses i punkterna 4, 5 och 6 i varje enskilt fall är effektivt, proportionellt och avskräckande” (min kursivering).
21 Se rättspraxis som anges i punkt 40 i detta förslag till avgörande.
22 Den senare bestämmelsen avser situationer där flera bestämmelser i dataskyddslagstiftningen överträds samtidigt.
23 Till dessa faktorer hör bland annat överträdelsens karaktär, svårighetsgrad och varaktighet, om överträdelsen skett med uppsåt eller genom oaktsamhet, åtgärder som vidtagits för att lindra skadan, graden av samarbete med tillsynsmyndigheten, de kategorier av personuppgifter som påverkas med mera.
24 Dom av den 25 september 1984, Könecke ( 117/83, EU:C:1984:288, punkt 11).
25 Dom av den 18 juli 2013, Schindler Holding m.fl./kommissionen ( C‑501/11 P, EU:C:2013:522, punkt 57 och där angiven rättspraxis).
26 Se punkt 32 (”Högsta tillåtna bötesbelopp”) och punkt 13 (beträffande ”grundbeloppet”) i kommissionens riktlinjer för beräkning av böter som döms ut enligt artikel 23.2 a i förordning nr 1/2003 (EUT C 210, 2006, s. 2) (nedan kallade riktlinjerna för böter).
27 Mayer Brown, Yaros, O., m.fl., ”GDPR fines - lessons from competition law”, december 2018, s. 4.
28 Dom av den 12 november 2014, Guardian Industries och Guardian Europe/kommissionen ( C‑580/12 P, EU:C:2014:2363, punkt 59).
29 Enligt punkt 30 i 2006 års riktlinjer för böter ”[fäster kommissionen] särskild vikt vid att böterna har en tillräckligt avskräckande verkan. Därför kan kommissionen höja böterna för företag som har en särskilt stor omsättning som härrör från försäljningen av andra varor eller tjänster än de som berörs av överträdelsen” (min kursivering). Se dom av den 6 februari 2014, Elf Aquitaine/kommissionen ( T‑40/10, EU:T:2014:61, punkterna 350–357 och där angiven rättspraxis).
30 Dessa synpunkter framfördes i hans förslag till avgörande i ett konkurrensrättsligt mål, Sumal ( C‑882/19, EU:C:2021:293, punkterna 23–25).
31 Se, exempelvis, rättspraxis från tiden före brexit från brittiska Competition Appeal Tribunal (Konkurrensdomstolen, Förenade kungariket) i målet Sainsbury’s Supermarkets/Mastercard Inc. [2016] CAT 11, punkt 363.20–363.22).
32 Ibidem, punkt 363.23.
33 Det framgår av handlingarna i målet vid EU-domstolen att så var fallet här eftersom allmänne åklagaren inte väckte åtal mot moderbolaget, ”eftersom det saknades grund för detta” och dotterbolaget (Ilva) ”driver en självständig detaljhandelsverksamhet och … det således inte är fråga om att moderbolaget har inrättat ett dotterbolag i det enda syftet att tillskriva det koncernens databehandling”. Se punkterna 5 och 21 i beslutet om hänskjutande.
34 Dom av den 5 september 2019, Europeiska unionen/Guardian Europe och Guardian Europe/Europeiska unionen ( C‑447/17 P och C‑479/17 P, EU:C:2019:672, punkterna 105 och 106, där domstolen slog fast att begreppet företag i den mening som avses i doktrinen om ekonomisk enhet används särskilt för att genomföra de tillämpliga bestämmelserna i unionens konkurrensrätt och i synnerhet för att utpeka den som gjort sig skyldig till en överträdelse av artiklarna 101 och 102 FEUF. Detta begrepp är däremot inte tillämpligt inom ramen för en skadeståndstalan som grundar sig på artikel 340 andra stycket FEUF. En sådan talan är en talan enligt allmän rätt, som regleras av allmänna förfaranderegler, vilka i förevarande fall är bolagsrättsliga regler, som är oberoende av ansvarets logik vad gäller reglerna i unionens konkurrensrätt.
35 Dom av den 17 juni 2010, Lafarge/kommissionen ( C‑413/08 P, EU:C:2010:346, punkt 102 och där angiven rättspraxis). Se även fotnot 29 i detta förslag till avgörande.
36 Det vill säga att sträva efter att skapa balans mellan sanktionsavgiften och den särskilda situationen för den som har gjort sig skyldig till överträdelsen.
37 EDPB är ett oberoende EU-organ som är en juridisk person och har till syfte är att säkerställa en konsekvent tillämpning av dataskyddsförordningen och att främja samarbetet mellan unionens dataskyddsmyndigheter.
38 Riktlinjer 04/2022 om beräkning av administrativa sanktionsavgifter enligt den allmänna dataskyddsförordningen, version 2.1, antagna den 24 maj 2023, punkt 48.
39 I begäran om förhandsavgörande i förevarande mål (sidan 3) påpekas följande: ”Det följer av åtalsprincipen i [nationell rätt] att domstolen inte kan döma för något brott som inte ingår i åtalet. Det skulle strida mot den princip som fastställs i denna bestämmelse att vid straffskärpning fästa vikt vid omständigheter som hänför sig till ett annat rättssubjekt som inte har lagförts.”
40 Medan det i de nationella riktlinjerna för böter anges att ”om den personuppgiftsansvarige är ett dotterbolag i en koncern bör det undersökas huruvida straffrättsligt ansvar kan göras gällande även mot moderbolaget”. Se Bødevejledning – Udmåling af bøder til virksomheder (Riktlinjer för böter – Beräkning av böter för företag), januari 2021, s. 3.
41 I det mål som gav upphov till målet Deutsche Wohnen var överträdelserna faktiskt hänförliga till hela den koncern som bolaget i fråga ingick i. Se de faktiska skillnaderna mellan dessa båda mål, särskilt också mot bakgrund av punkterna 10–12 i domen Deutsche Wohnen.
42 Jag vill erinra om att det i denna bestämmelse föreskrivs att ”[om] det i medlemsstatens rättssystem inte finns några föreskrifter om administrativa sanktionsavgifter får den här artikeln tillämpas så att förfarandet inleds av den behöriga tillsynsmyndigheten och sanktionsavgifterna sedan utdöms av behörig nationell domstol, varvid det säkerställs att rättsmedlen är effektiva och har motsvarande verkan som de administrativa sanktionsavgifter som påförs av tillsynsmyndigheter. De sanktionsavgifter som påförs ska i alla händelser vara effektiva, proportionella och avskräckande.”
43 På grund av den omständigheten att denna bestämmelse inte hade betydelse för utgången i det målet.
44 Det framgår att de administrativa sanktionsavgifter som tillsynsmyndigheten påför i Irland måste fastställas av en domstol. Se Data Protection Act 2018 (2018 års dataskyddslag), sections 141–143. Det framgår vidare mot bakgrund av ett beslut som meddelats av Vrhovno sodišče (Högsta domstolen, Slovenien) den 16 mars 2021 att Slovenien inte heller tillåter administrativa sanktionsavgifter.
45 Se, för ett liknande resonemang, dom av den 4 oktober 2018, Link Logistik N&N ( C‑384/17, EU:C:2018:810, punkt 40 och där angiven rättspraxis) (nedan kallad domen Link Logistik).
46 Ibidem, punkt 42 och där angiven rättspraxis.
47 EUT C 303, 2007, s. 17.
48 Se även domen Link Logistik, punkt 43.
49 Domen Link Logistik, punkt 45.
50 Se, för ett liknande resonemang, dom av den 10 november 2022, Zenith Media Communications ( C‑385/21, EU:C:2022:866, punkt 41).
51 Se, exempelvis, Europadomstolen, 4 december 2003, M.C. mot Bulgarien, CE:ECHR:2003:1204JUD003927298.
52 Se, exempelvis, Europadomstolen, 16 december 1999, T. mot Förenade kungariket, CE:ECHR:1999:1216JUD002472494, § 97, i vilket hänvisas till Europadomstolens dom av den 23 september 1998, A. mot Förenade kungariket, CE:ECHR:1998:0923JUD002559994, § 22, och Europadomstolen, 28 oktober 1998, Osman mot Förenade kungariket, CE:ECHR:1998:1028JUD002345294, § 115.
53 Se, exempelvis, Europadomstolen, 27 oktober 2015, Konstantin Stefanov mot Bulgarien, CE:ECHR:2015:1027JUD003539905, § 55.
54 Ibidem, §§ 54, 55, 66, 67, 69 och 70. Se även Europadomstolen, 5 juli 2001, Phillips mot Förenade kungariket, CE:ECHR:2001:0705JUD004108798, § 35, och Europadomstolen, 24 juni 2021, Imeri mot Kroatien, CE:ECHR:2021:0624JUD007766814, § 71.