HOTĂRÂREA CJUE ÎN CAUZELE C-683/21, C-807/21
Prin comunicatul de presa nr. 184/23 publicat pe site-ul CJUE s-a anunțat că prin Hotărârea pronunțată în cauzele C-683/21 si C-807/21 Curtea a stabilit următoarele:
Numai o încălcare culpabilă a Regulamentului general privind protecția datelor poate conduce la aplicarea unei amenzi administrative.
În cazul în care destinatarul amenzii face parte dintr-un grup de societăți, amenda trebuie calculată pe baza cifrei de afaceri a grupului.
Curtea de Justiție precizează condițiile în care autoritățile naționale de supraveghere pot aplica o amendă administrativă unuia sau mai multor operatori pentru încălcarea Regulamentului general privind protecția datelor (RGPD). În special, aceasta consideră că impunerea unei astfel de amenzi presupune un comportament culpabil, cu alte cuvinte ca încălcarea să fie comisă cu intenție sau din neglijență. În plus, în cazul în care destinatarul amenzii face parte dintr-un grup de societăți, calculul amenzii trebuie să se bazeze pe cifra de afaceri a întregului grup.
O instanță lituaniană și una germană au solicitat Curții de Justiție să interpreteze Regulamentul general privind protecția datelor (RGPD)1 în raport cu posibilitatea autorităților naționale de supraveghere de a sancționa încălcarea acestui regulament prin aplicarea unei amenzi administrative operatorului de date.
În cazul lituanian, Centrul Național de Sănătate Publică din cadrul Ministerului Sănătății contestă o amendă în cuantum de 12 000 de euro care i-a fost aplicată în contextul dezvoltării, cu ajutorul unei întreprinderi private, a unei aplicații mobile în scopul înregistrării și al monitorizării datelor persoanelor expuse virusului Covid-19.
În cazul german, societatea imobiliară Deutsche Wohnen, care deține indirect aproximativ 163 000 de unități locative și 3 000 de unități comerciale, contestă printre altele o amendă în cuantum de peste 14 milioane de euro care i-a fost aplicată pentru că a păstrat datele cu caracter personal ale chiriașilor mai mult decât era necesar.
Curtea statuează că unui operator de date i se poate aplica o amendă administrativă pentru încălcarea RGPD numai dacă această încălcare a fost săvârșită în mod culpabil, cu alte cuvinte în mod intenționat sau din neglijență. Aceasta este situația atunci când operatorul nu putea să nu cunoască natura ilicită a comportamentului său, indiferent dacă era sau nu conștient de încălcare.
În cazul în care operatorul este o persoană juridică, nu este necesar ca încălcarea să fi fost comisă de organul său de administrare sau ca respectivul organ să fi avut cunoștință de aceasta. Dimpotrivă, o persoană juridică răspunde atât pentru încălcările săvârșite de reprezentanții, directorii sau administratorii săi, cât și pentru cele săvârșite de orice altă persoană care acționează în cadrul activității sale comerciale și pe seama sa. Totodată, aplicarea unei amenzi administrative unei persoane juridice în calitate de operator nu poate fi supusă constatării prealabile că această încălcare a fost comisă de o persoană fizică identificată.
În plus, unui operator i se poate aplica o amendă și pentru operațiunile efectuate de o persoană împuternicită de operator, în măsura în care aceste operațiuni pot fi imputate operatorului.
În ceea ce privește responsabilitatea comună a două sau mai multor entități în calitate de „operatori asociați”, Curtea precizează că aceasta decurge din simplul fapt că entitățile respective au participat la stabilirea scopurilor și a mijloacelor prelucrării. Calificarea drept „operatori asociați” nu presupune existența unui acord formal între entitățile în cauză. O decizie comună sau chiar decizii convergente sunt suficiente. Cu toate acestea, din moment ce este vorba efectiv despre operatori asociați, aceștia trebuie să stabilească, prin acord, obligațiile care le revin.
În sfârșit, în ceea ce privește calculul amenzii atunci când destinatarul este sau face parte dintr-o întreprindere, autoritatea de supraveghere trebuie să se întemeieze pe noțiunea de „întreprindere”2 din dreptul concurenței. Astfel, cuantumul maxim al amenzii trebuie calculat pe baza unui procent din cifra de afaceri anuală totală din exercițiul financiar precedent al întreprinderii în cauză, privită în ansamblul său.
Mai multe informații pot fi consultate la urmatoarele link-uri: C-683/21 și C-807/21.