C-383/23

OPINIA RZECZNIK GENERALNEJ LAILI MEDINY przedstawiona w dniu 12 września 2024 r. ( ) Sprawa C‑383/23 Anklagemyndigheden przeciwko ILVA A/S [wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Vestre Landsret (sąd apelacyjny regionu zachodniego, Dania)] Odesłanie prejudycjalne – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 83 – Administracyjne kary pieniężne – Grzywny inne niż administracyjne kary pieniężne – Pojęcie „przedsiębiorstwa” – Artykuły 101 i 102 TFUE – Spółka dominująca i spółka zależna – Naruszenie rozporządzenia 2016/679 przez spółkę zależną – Obliczenie wysokości grzywny – Uwzględnienie całkowitego obrotu grupy, do której należy spółka objęta postępowaniem – Postępowanie karne 1. Wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Vestre Landsret (sąd apelacyjny regionu zachodniego, Dania) dotyczy wykładni art. 83 ust. 4–6 rozporządzenia (UE) 2016/679 ( ). Został on złożony w kontekście postępowania karnego wszczętego przez Anklagemyndigheden (duńskiego prokuratora) przeciwko spółce ILVA A/S (zwanej dalej „spółką ILVA”) ( ) w związku z niedopełnieniem przez nią jako administratora danych osobowych nie mniej niż 350000 byłych klientów ciążących na niej obowiązków, które wynikają z art. 5 ust. 1 lit. e), art. 5 ust. 2 i art. 6 RODO. 2. Sprawa dotyczy tego, czy pojęcie „przedsiębiorstwa” zawarte w art. 83 ust. 4–6 RODO należy interpretować w świetle motywu 150 tego rozporządzenia w ten sposób, że odpowiada ono pojęciu „przedsiębiorstwa” w rozumieniu prawa konkurencji Unii (art. 101 i 102 TFUE). Prowadzi to do pytania, czy w kontekście nakładania grzywny za naruszenie RODO na spółkę należy brać pod uwagę całkowity roczny obrót jednostki gospodarczej (lub grupy), do której należy spółka, która dopuściła się naruszenia, a nie jedynie całkowity roczny obrót samej tej spółki. 3. Szczególny charakter niniejszej sprawy wynika z faktu, że kara pieniężna w postępowaniu głównym nie została nałożona przez krajowy organ nadzoru danych w kontekście przysługujących mu uprawnień nadzorczych, ale przez sąd w postępowaniu karnym. Prawodawca Unii zawarł bowiem w RODO przepis szczegółowy w tym względzie, który ma zastosowanie w szczególności do Danii. I. Ramy prawne A.   Prawo Unii 4. Zgodnie z motywami 150 i 151 RODO: „(150) W celu wzmocnienia i zharmonizowania sankcji administracyjnych za naruszenie niniejszego rozporządzenia każdy organ nadzorczy powinien być uprawniony do nakładania administracyjnych kar pieniężnych. W niniejszym rozporządzeniu należy wymienić rodzaje naruszeń oraz wskazać górną granicę i kryteria ustalania związanych z nimi administracyjnych kar pieniężnych, które właściwy organ nadzorczy powinien określać indywidualnie dla każdego przypadku z uwzględnieniem wszystkich stosownych okoliczności danej sytuacji, z należytym uwzględnieniem w szczególności charakteru, wagi, czasu trwania naruszenia i jego konsekwencji, a także środków podjętych w celu zastosowania się do obowiązków wynikających z niniejszego rozporządzenia oraz w celu zapobieżenia konsekwencjom naruszenia lub w celu zminimalizowania tych konsekwencji. Jeżeli administracyjna kara pieniężna jest nakładana na przedsiębiorstwo, to »przedsiębiorstwo« należy do tych celów rozumieć zgodnie z art. 101 i 102 TFUE. […] (151) Systemy prawne Danii i Estonii nie przewidują administracyjnych kar pieniężnych określonych w niniejszym rozporządzeniu. Przepisy o administracyjnych karach pieniężnych można stosować tak, że w Danii właściwy sąd krajowy będzie nakładać grzywnę jako sankcję karną, a w Estonii organ nadzorczy będzie nakładać grzywnę w ramach postępowania o wykroczenie, pod warunkiem że takie stosowanie przepisów w tych państwach członkowskich będzie mieć skutek równoważny administracyjnej karze pieniężnej nakładanej przez organ nadzorczy. Dlatego właściwy sąd krajowy powinien brać pod uwagę zalecenie organu nadzorczego, który postuluje nałożenie grzywny. Nakładane grzywny muszą być w każdym przypadku skuteczne, proporcjonalne i odstraszające”. 5. Artykuł 83 RODO, zatytułowany „Ogólne warunki nakładania administracyjnych kar pieniężnych”, stanowi: „1.   Każdy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające. 2.   Administracyjne kary pieniężne nakłada się, zależnie od okoliczności każdego indywidualnego przypadku, oprócz lub zamiast środków, o których mowa w art. 58 ust. 2 lit. a)–h) oraz j). Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na: […] 3.   Jeżeli administrator lub podmiot przetwarzający narusza umyślnie lub nieumyślnie w ramach tych samych lub powiązanych operacji przetwarzania kilka przepisów niniejszego rozporządzenia, całkowita wysokość administracyjnej kary pieniężnej nie przekracza wysokości kary za najpoważniejsze naruszenie. 4.   Naruszenia przepisów dotyczących następujących kwesti[i] podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10000000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa: […] 5.   Naruszenia przepisów dotyczących następujących kwestii podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 20000000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa: […] 6.   Nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 podlega na mocy ust. 2 niniejszego artykułu administracyjnej karze pieniężnej w wysokości do 20000000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. […] 8.   Wykonywanie przez organ nadzorczy uprawnień powierzonych mu na mocy niniejszego artykułu podlega odpowiednim zabezpieczeniom proceduralnym zgodnie z prawem Unii i prawem państwa członkowskiego, obejmującym prawo do skutecznego sądowego środka ochrony prawnej i rzetelnego procesu. […]”. B.   Prawo krajowe 6. Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (ustawa nr 502 z dnia 23 maja 2018 r. uzupełniająca rozporządzenie w sprawie ochrony w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych) przewiduje w par. 41, że: „1. Jeżeli na mocy innych przepisów nie jest uzasadniona wyższa kara, grzywnę lub karę pozbawienia wolności na okres do sześciu miesięcy nakłada się na każdego, kto narusza przepisy dotyczące: […] 4) podstawowych zasad przetwarzania, w tym warunków wyrażenia zgody, o których mowa w art. 5–7 i 9 [RODO]; […] 3. Przy nakładaniu kary zgodnie z ust. 1 i 2 należy stosować się do art. 83 ust. 2 [RODO]. […] 6. Spółki itp. (osoby prawne) mogą być pociągnięte do odpowiedzialności karnej zgodnie z zasadami zawartymi w rozdziale 5 kodeksu karnego. […]”. II. Okoliczności powstania sporu w postępowaniu głównym i pytania prejudycjalne 7. Spółce ILVA postawiono w postępowaniu przed duńskimi sądami zarzuty niewywiązania się w okresie od maja 2018 r. do stycznia 2019 r. z obowiązków, jakie spoczywały na niej jako na administratorze, wynikających z art. 5 ust. 1 lit. e), art. 5 ust. 2 i art. 6 RODO w odniesieniu do przechowywania danych osobowych dotyczących jej byłych klientów. 8. Spółka ILVA prowadzi sieć sklepów meblowych i wchodzi w skład Lars Larsen Group (zwanej dalej „Lars Larsen Group” lub „grupą”). Całkowity obrót grupy w roku obrotowym 2016/2017 wynosił 6,57 mld koron duńskich (DKK) (około 881 mln EUR). Obrót spółki ILVA, będącej spółką zależną, wyniósł 1,8 mld DKK (około 241 mln EUR). 9. Prokurator, działając na podstawie zalecenia Datatilsynet (urzędu ochrony danych, który jest duńskim organem ochrony danych, czyli „organem nadzorczym” w rozumieniu RODO), uznał za konieczne nałożenie grzywny w wysokości 1,5 mln DKK (około 201000 EUR). Poziomem obrotów przyjętym jako ramy do obliczenia kwoty tej grzywny nie był obrót spółki ILVA, ale całkowity obrót całej grupy. 10. Wyrokiem z dnia 12 lutego 2021 r. Retten i Aarhus (sąd rejonowy w Aarhus, Dania) uznał spółkę ILVA za winną zarzucanych jej czynów, przy czym uznał, że – wbrew twierdzeniu prokuratora – działała ona nieumyślnie. Ów sąd nakazał spółce ILVA zapłatę grzywny w wysokości 100000 DKK (około 13400 EUR). Co więcej, zdaniem tego sądu, ponieważ zarzuty postawiono wyłącznie spółce ILVA, a nie całej grupie, przy obliczaniu wysokości grzywny nie zachodziła konieczność uwzględniania obrotu tej grupy. Zauważył też, że spółka ILVA prowadziła niezależną działalność w zakresie sprzedaży detalicznej, a grupa nie utworzyła spółki zależnej jedynie w celu powierzenia jej przetwarzania danych osobowych grupy. 11. Od tego wyroku prokurator wniósł środek odwoławczy do Vestre Landsret (sądu apelacyjnego regionu zachodniego, Dania), będącego sądem odsyłającym w niniejszej sprawie. Sąd ten dąży do ustalenia, czy pojęcie „przedsiębiorstwa” występujące w art. 83 ust. 4–6 RODO należy rozumieć w ten sposób, że aby ustalić wysokość grzywny [kary pieniężnej] w przypadku naruszenia przez spółkę RODO konieczne jest uwzględnienie obrotu grupy, do której należy spółka objęta postępowaniem. 12. Prokurator uważa, że tak właśnie jest. Twierdzi on, że z motywu 150 RODO wynika, że pojęcie to należy rozumieć zgodnie z art. 101 i 102 TFUE. 13. Z kolei spółka ILVA uważa, że przy ustalaniu grzywny [kary pieniężnej] za naruszenie RODO przez przedsiębiorstwo pod uwagę nie należy brać całkowitego obrotu grupy, do której należy spółka. W tej konkretnej sprawie zarzuty postawiono spółce ILVA, a więc spółce zależnej, a nie spółce dominującej. 14. Sąd odsyłający uważa, że odpowiedź na to pytanie nie wynika jasno z RODO. 15. W tych okolicznościach Vestre Landsret (sąd apelacyjny regionu zachodniego, Dania) postanowił zawiesić postępowanie i zwrócić się do Trybunału z następującymi pytaniami prejudycjalnymi: „1) Czy pojęcie »przedsiębiorstwa«, które zostało użyte w art. 83 ust. 4–6 [RODO] należy traktować jako odnoszące się do przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE w związku z motywem 150 tego rozporządzenia oraz orzecznictwa [Trybunału Sprawiedliwości] dotyczącego prawa konkurencji Unii, tak że pojęcie »przedsiębiorstwa« obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od jego statusu prawnego i sposobu jego finansowania? 2) Na wypadek udzielenia odpowiedzi twierdzącej na pytanie pierwsze – czy art. 83 ust. 4–6 [RODO] należy interpretować w ten sposób, że przy nakładaniu grzywny na przedsiębiorstwo pod uwagę należy brać całkowity roczny światowy obrót jednostki gospodarczej, do której należy to przedsiębiorstwo, czy też jedynie całkowity roczny światowy obrót samego tego przedsiębiorstwa?”. III. Postępowanie przed Trybunałem 16. Spółka ILVA i Komisja przedstawiły uwagi na piśmie. W dniu 19 czerwca 2024 r. miała miejsce rozprawa, podczas której reprezentowane były obie strony. IV. Ocena A.   Wprowadzenie 17. Kontekstem dla przepisów szczególnych RODO, które mają znaczenie w niniejszej sprawie ( ) i mają zastosowanie w szczególności w przypadku Danii, jest fakt, że urząd ochrony danych nie może, co do zasady, nakładać żadnych administracyjnych kar pieniężnych za naruszenia przepisów w zakresie ochrony danych osobowych. Urząd ochrony danych, gdy uzna za konieczne, składa na policję zawiadomienie o możliwości popełnienia przestępstwa ( ). Następnie policja prowadzi postępowanie przygotowawcze i ustala, czy istnieją podstawy, by postawić formalny zarzut. Jeżeli tak jest, sprawa zostaje przekazana do sądu, który rozpoznaje sprawę i ustala wymiar grzywny. B.   W przedmiocie pytań prejudycjalnych 18. Moim zdaniem obydwa pytania prejudycjalne należy rozpatrywać łącznie. Sąd odsyłający w postawionych pytaniach zmierza zasadniczo do ustalenia, czy pojęcie „przedsiębiorstwa” zawarte w art. 83 ust. 4–6 RODO należy interpretować w świetle motywu 150 tego rozporządzenia w ten sposób, że odpowiada ono pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE. Prowadzi to do pytania, czy w kontekście nakładania grzywny [kary pieniężnej] za naruszenie RODO na spółkę należy brać pod uwagę całkowity roczny obrót całego przedsiębiorstwa (jednostki gospodarczej lub grupy, a więc in casu Lars Larsen Group), do którego należy spółka, która dopuściła się naruszenia (a więc około 881 mln EUR) ( ), a nie jedynie całkowity roczny obrót samej tej spółki (spółki ILVA, a więc około 241 mln EUR). 1. Wyrok Deutsche Wohnen 19. Podstawę prawną nałożenia kar pieniężnych za naruszenia RODO zawiera art. 83 tego rozporządzenia. RODO nie zawiera definicji pojęcia „przedsiębiorstwa” do celów egzekucji, ale motyw 150 tego rozporządzenia stanowi, że przy dokonywaniu wykładni tego pojęcia należy posłużyć się prawem konkurencji Unii ( ). 20. Trybunał miał niedawno możliwość przedstawienia wykładni niektórych (choć nie wszystkich) ustępów art. 83 RODO i ustosunkowania się do pewnych zagadnień powiązanych z pytaniami prejudycjalnymi stawianymi w niniejszej sprawie. 21. W wyroku Deutsche Wohnen ( ) Trybunał orzekł w szczególności, że „z art. 83 ust. 4–6 RODO, który dotyczy obliczania administracyjnych kar pieniężnych za naruszenia wymienione w tych ustępach, wynika zatem, że w przypadku gdy adresat administracyjnej kary pieniężnej jest przedsiębiorstwem lub jego częścią w rozumieniu art. 101 i 102 TFUE, maksymalną kwotę administracyjnej kary pieniężnej oblicza się na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego”. 22. Trybunał wyjaśnił, że maksymalną kwotę administracyjnej kary pieniężnej określa się na podstawie całkowitego rocznego światowego obrotu ( )„przedsiębiorstwa”, a termin ten należy rozumieć zgodnie z prawem konkurencji Unii (art. 101 i 102 TFUE). Trybunał zauważył zatem, że prawodawca Unii przy określaniu maksymalnej kwoty kary pieniężnej nakładanej na podstawie RODO dążył do stworzenia powiązania między przepisami RODO a przepisami prawa konkurencji Unii. 23. W tym względzie art. 83 ust. 4–6 RODO jest zbliżony do art. 23 ust. 2 rozporządzenia nr 1/2003 ( ), ponieważ obydwa określają ustawowe pułapy kar pieniężnych lub grzywien nakładanych w ramach tych rozporządzeń. 24. Trybunał rozwinął w dalszej kolejności swój tok rozumowania i ustosunkował się do kwestii przesłanek mających zastosowanie do kwoty administracyjnej kary pieniężnej. Trybunał odnotował w wyroku Deutsche Wohnen (pkt 58), że „jedynie administracyjna kara pieniężna, której kwota jest określana w zależności od rzeczywistych lub materialnych możliwości ekonomicznych jej adresata, a zatem nałożona przez organ nadzorczy w oparciu o pojęcie jednostki gospodarczej w rozumieniu orzecznictwa[ ( )] może spełniać trzy przesłanki określone w art. 83 ust 1 RODO, a mianowicie być zarazem skuteczna, proporcjonalna i odstraszająca”. Chociaż Trybunał odniósł się w tym względzie do „adresata”, podkreślając w ten sposób powiązanie między karą pieniężną a konkretną osobą, której zarzucono naruszenie RODO, na późniejszym etapie powrócił do pojęcia „przedsiębiorstwa” („jednostki gospodarczej”) w świetle prawa konkurencji Unii. 25. Ponadto w pkt 59 tego wyroku Trybunał orzekł, że „gdy organ nadzorczy postanawia w ramach uprawnień przysługujących mu na podstawie art. 58 ust. 2 RODO nałożyć na administratora, który jest przedsiębiorstwem lub jego częścią w rozumieniu art. 101 i 102 TFUE, administracyjną karę pieniężną na podstawie art. 83 tego rozporządzenia, organ ten przy obliczaniu administracyjnych kar pieniężnych za naruszenia, o których mowa w ust. 4–6 tego art. 83, jest zobowiązany – zgodnie z tym ostatnim przepisem, interpretowanym w świetle motywu 150 tego rozporządzenia – oprzeć się na pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE” ( ). 26. Uważam, że z wyroku Deutsche Wohnen wynika, iż w przypadku gdy naruszenia RODO dopuścił się administrator lub podmiot przetwarzający dane, który jest przedsiębiorstwem (lub stanowi jego część), przy określaniu maksymalnej kwoty kary pieniężnej odniesienie do całkowitego rocznego światowego obrotu „przedsiębiorstwa” należy rozumieć zgodnie z art. 101 i 102 TFUE. Niemniej jednak w ten sposób wyjaśnia się nie tylko kwestię maksymalnej kwoty grzywny [kary pieniężnej], jaką można potencjalnie nałożyć na administratora lub podmiot przetwarzający. Oznacza to również, że wysoce zniuansowane (i dość uzależnione od specyfiki sprawy) orzecznictwo dotyczące pojęcia „przedsiębiorstwa” i „jednostki gospodarczej” staje się w pewnym stopniu istotne również na potrzeby określenia warunków ustalenia faktycznej kary pieniężnej nakładanej za to konkretne naruszenie RODO. 27. W kolejnych punktach przeanalizuję wpływ orzecznictwa Deutsche Wohnen w specyficznym kontekście niniejszej sprawy, aby zaproponować ramy, które powinny stanowić wskazówkę dla sądu odsyłającego przy ustalaniu grzywny obciążającej spółkę ILVA. 2. Krok 1 analizy w następstwie wydania wyroku Deutsche Wohnen: analiza ogólna przeprowadzana w celu ustalenia maksymalnej kwoty grzywny [kary pieniężnej] 28. Jak wskazano w pkt 25 i 26 powyżej, z brzmienia art. 83 RODO odczytywanego w świetle motywu 150 tego rozporządzenia, a także orzecznictwa Deutsche Wohnen wynika, że w sprawach, w których administrator lub podmiot przetwarzający jest „przedsiębiorstwem” (lub jego częścią) w rozumieniu art. 101 i 102 TFUE, w celu ustalenia maksymalnej kwoty kary pieniężnej należy brać pod uwagę całkowity obrót takiego przedsiębiorstwa jako całości. 29. Zgodnie z orzecznictwem Trybunału dotyczącym konkurencji pojęcie „przedsiębiorstwa”„obejmuje każdą jednostkę wykonującą działalność gospodarczą niezależnie od jej statusu prawnego i sposobu finansowania” ( ). 30. Z orzecznictwa Trybunału wynika, że pojęcie „przedsiębiorstwa” zawarte w art. 101 i 102 TFUE może odnosić się do jednej jednostki gospodarczej, nawet jeżeli dana jednostka gospodarcza składa się z kilku osób fizycznych lub prawnych. To, czy taką jednostkę tworzy kilka podmiotów zależy w dużej mierze od tego, czy indywidualny podmiot ma swobodę decyzyjną lub czy podmiot wiodący, a mianowicie spółka dominująca, wywiera na pozostałe decydujący wpływ. Kryteria służące ustaleniu tej okoliczności opierają się na więzach ekonomicznych, prawnych i organizacyjnych między spółką dominującą a spółką zależną, przykładowo wielkości udziałów, powiązaniach pod względem personelu i powiązaniach organizacyjnych, instrukcjach i istnieniu transakcji między spółkami ( ). 31. Orzecznictwo stanowi również jasno, że rzeczywiste wywieranie decydującego wpływu przez spółkę dominującą na zachowanie jej spółki zależnej może zostać wywiedzione ze zbioru zgodnych poszlak, nawet jeśli żaden z tych elementów rozpatrywany odrębnie nie wystarcza do stwierdzenia istnienia takiego wpływu ( ). Sądy Unii Europejskiej powoływały się w tym względzie między innymi na uprawnienie spółki dominującej do powoływania członków różnych zarządów spółki zależnej, a także uprawnienie do zwołania akcjonariuszy na zgromadzeniach i do proponowania odwoływania członków zarządu lub całych zarządów ( ). 32. Z utrwalonego orzecznictwa wynika, że w szczególnym przypadku, gdy spółka dominująca posiada bezpośrednio lub pośrednio cały albo prawie cały kapitał zakładowy spółki zależnej, która dopuściła się naruszenia reguł konkurencji, spółka dominująca może wywierać decydujący wpływ na zachowanie swej spółki zależnej i istnieje wzruszalne domniemanie, że spółka dominująca rzeczywiście wywiera taki wpływ ( ). 33. Jak wynika z ust. 2 postanowienia odsyłającego, spółka ILVA jest częścią Lars Larsen Group. Gdyby sąd odsyłający miał stwierdzić, że owa spółka dominująca wywiera decydujący wpływ na spółkę ILVA, wówczas „przedsiębiorstwo” w rozumieniu art. 83 ust. 5 RODO obejmowałoby: (i) spółkę dominującą tej grupy oraz (ii) spółkę ILVA; oraz (iii) dowolną inną spółkę, na którą spółka dominująca również wywiera decydujący wpływ. Ostatnia kategoria obejmuje potencjalnie inne spółki należące do Lars Larsen Group. 34. O „obrocie” mowa wprost w art. 83 ust. 4–6 RODO w kontekście obliczania maksymalnej kwoty kary pieniężnej, którą można by nałożyć na spółki. Maksymalna kwota dotyczy bardzo dużych spółek, ponieważ limit ten nie ma zastosowania, gdy kara pieniężna jest niższa niż kwota bezwzględna podana w trzech wymienionych ustępach art. 83, a mianowicie 10 mln EUR lub 20 mln EUR. Pułap uzależniony od obrotu ma zatem znaczenie wyłącznie w przypadku spółek o całkowitym obrocie światowym przekraczającym 500 mln EUR ( ). 35. Wynika z tego, że gdyby sąd odsyłający miał uznać, że spółka dominująca Lars Larsen Group wywiera decydujący wpływ na spółkę ILVA, wówczas w ujęciu abstrakcyjnym maksymalną kwotę grzywny, jaką można nałożyć w postępowaniu głównym, należy obliczyć na podstawie procenta całkowitego rocznego światowego obrotu w poprzednim roku obrotowym danego przedsiębiorstwa, a więc Lars Larsen Group (do której należy spółka ILVA). 3. Krok 2 analizy po wyroku Deutsche Wohnen: analiza w celu ustalenia faktycznej grzywny [kary pieniężnej] za naruszenia w postępowaniu głównym 36. Kwestia ustalenia maksymalnej kwoty kary pieniężnej przewidzianej przez prawodawcę Unii w art. 83 ust. 4–6 RODO nie powinna być mylona ani zrównywana z późniejszym zadaniem organu nadzorczego ( ), jakim jest ustalenie faktycznej kary pieniężnej, jaką należy nałożyć za konkretne naruszenie (naruszenia) RODO. 37. W tym celu należy zauważyć po pierwsze, że w art. 83 ust. 1 RODO określono trzy kluczowe przesłanki ( ), których musi przestrzegać organ nadzorczy. Każda z nich wymaga indywidualnego wyważenia wszystkich elementów danego naruszenia i nałożenia stosownej faktycznej kary pieniężnej. Co więcej, art. 83 ust. 2 zobowiązuje organ do spełnienia szeregu wymogów przy decydowaniu, czy „nałożyć administracyjną karę pieniężną, oraz [ustalaniu] [stosownej] wysokoś[ci] [faktycznej administracyjnej kary pieniężnej]”. Z tego względu, aby zrozumieć w pełni stosowanie art. 83 ust. 4–6 RODO w kontekście ustalania faktycznej kary pieniężnej w danej sprawie, akapity te należy odczytywać w związku z art. 83 ust. 1, a także art. 83 ust. 2 tego rozporządzenia. Co ważne, w drugim z przepisów wymieniono konkretne czynniki, które organ nadzorczy musi wziąć pod uwagę, ustalając faktyczną kwotę kary pieniężnej w danej sprawie. 38. Z samego brzmienia ust. 2 tego artykułu wynika, że konieczne jest należyte uwzględnienie szeregu elementów „każdego indywidualnego przypadku”, a jednocześnie to organowi nadzorczemu pozostawia się zidentyfikowanie tych konkretnych elementów dotyczących rozpoznawanej przez niego sprawy oraz ustalenie ich znaczenia do celów ustalenia faktycznej kary pieniężnej ( ). 39. Inaczej niż w przypadku art. 83 ust. 4–6 RODO (zob. pkt 34 niniejszej opinii), art. 83 ust. 2, art. 83 ust. 1 czy art. 83 ust. 3 ( ) tego rozporządzenia nie zawierają żadnego odniesienia do obrotu przedsiębiorstwa. Wynika z tego, że ustawodawca Unii podjął decyzję, aby nie czynić „obrotu” konkretnym czynnikiem branym pod uwagę przy ustalaniu faktycznej kary pieniężnej. Zamiast tego w art. 83 ust. 2 wymieniono inne czynniki ( ) charakteryzujące zachowanie administratora lub podmiotu przetwarzającego, któremu zarzucono naruszenie, aby zapewnić, że każde naruszenie jest oceniane na podstawie wszystkich istotnych indywidualnych okoliczności. W mojej ocenie z powyższego można wywodzić, że prawodawca Unii dążył do dokonania rozróżnienia między czynnikami, które stanowią podstawę przy ustalaniu maksymalnej kwoty kary pieniężnej (krok 1), a wykazem wymogów wiążących organ nadzorczy przy ustalaniu faktycznej kary pieniężnej (krok 2). 40. W związku z powyższym pragnę zauważyć, że Trybunał podkreślił, iż „sankcja, nawet niemająca charakteru karnego, może zostać nałożona tylko wtedy, gdy opiera się na jasnej i jednoznacznej podstawie prawnej” ( ). Jest tak tym bardziej w przypadku postępowania karnego, z którym mamy do czynienia w niniejszej sprawie. Orzecznictwo Trybunału odnosi się do „zasada[y] legalności kar [która] wymaga, aby prawo jasno definiowało naruszenia i grożące za nie kary” […] [oraz] kryteria oceny jasności ustawy wynikające z orzecznictwa Europejskiego Trybunału Praw Człowieka [ETPC]” ( ). 41. W tym względzie Komisja twierdzi zasadniczo, że w niniejszej sprawie RODO sugeruje, iż obrót przedsiębiorstwa, do którego należy dana spółka, musi stanowić podstawę ustalenia nie tylko maksymalnej kwoty kary pieniężnej, ale też obliczenia faktycznej kary pieniężnej. Niemniej jednak rozważania przedstawione w pkt 37–40 niniejszej opinii nie pozwalają na stwierdzenie, aby art. 83 ust. 1–6 RODO należało interpretować w ten sposób, że zasady ustalania maksymalnej kwoty kary pieniężnej (krok 1) muszą również być stosowane jako główne lub wyłączne ramy odniesienia na potrzeby ustalania faktycznej kary pieniężnej (krok 2). 42. Po drugie, ze względu na efekt zewnętrzny, który wynika ze stworzenia powiązania między dwiema dziedzinami prawa, konieczność dokonania rozróżnienia między maksymalną kwotą kary pieniężnej (krok 1) a faktyczną karą pieniężną (krok 2) można wywodzić również z prawa konkurencji Unii. W istocie w prawie konkurencji Unii, jeżeli chodzi o maksymalną kwotę grzywny, Komisja – podobnie jak ma to miejsce w przypadku art. 83 RODO – posługuje się wysokością obrotu do celów obliczenia maksymalnej kwoty grzywny (którą ustala się na 10 % całkowitego obrotu przedsiębiorstwa za naruszenie). Należy jednak zaznaczyć, że samej kwoty podstawowej grzywny nie ustala się na podstawie obrotu ( ). 43. Zamiast tego kwotę podstawową grzywny ustala się zasadniczo jako część wartości odnośnej sprzedaży(powiązanej bezpośrednio lub pośrednio z naruszeniem reguł konkurencji), pomnożoną przez czas trwania naruszenia (lata lub okresy krótsze niż rok) i powiększoną o 15–25 % wartości odnośnej sprzedaży (co stanowi dodatkowy czynnik odstraszający dla karteli). Tę podstawową kwotę grzywny podwyższa się następnie, uwzględniając okoliczności obciążające, lub obniża, uwzględniając okoliczności łagodzące. Następnie uwzględnia się w odniesieniu do tej kwoty ogólny limit 10 % obrotu (istnieje dodatkowo możliwość, by w stosownych przypadkach obniżyć wysokość grzywny ze względu na program łagodzenia sankcji, ugodę lub niewypłacalność). Pokazuje to wyraźnie, że kluczowe znaczenie przy ustalaniu faktycznej grzywny mają czynniki bezpośrednio charakteryzujące naruszenie (takie jak sprzedaż, która ma zostać uwzględniona, czas trwania naruszenia, szczególne okoliczności sprawy), a nie całkowity światowy roczny obrót. 44. Jak już zaważono w doktrynie, „nie istnieje bezpośrednie przełożenie między metodyką ustalania grzywien przez Komisję w odniesieniu do art. 101 [i] 102 TFUE a RODO, ponieważ grzywny nakładane w ramach prawa konkurencji Unii mają uchwycić wpływ zachowania antykonkurencyjnego na dany rynek, a nie opierać się na obrocie jako takim. Przykładowo, jeżeli chodzi o kartele, grzywny ustala się na podstawie wartości sprzedaży powiązanej z „produktem objętym kartelem”, a nie na podstawie światowego obrotu” ( ). 45. W orzecznictwie Trybunału można w istocie znaleźć potwierdzenie, że najlepiej odzwierciedla znaczenie gospodarcze tego naruszenia część całkowitego obrotu pochodząca z będącej przedmiotem naruszenia sprzedaży towarów (a więc „wartości sprzedaży”) ( ). Z kolei pojęcie „obrotu” w kontekście RODO ma odzwierciedlić gospodarcze znaczenie przedsiębiorstwa ( ). Tych dwóch podejść nie można zrównywać, ponieważ służą różnym celom: pierwsze służy ustaleniu wagi naruszenia, podczas gdy drugie służy ocenie gospodarczego znaczenia przedsiębiorstwa. 46. Powyższe rozważania i orzecznictwo Trybunału (przytoczonego w pkt 40 niniejszej opinii) prowadzą mnie zatem do wniosku, że ograniczenia wpływu orzecznictwa Unii dotyczącego prawa konkurencji na nakładanie faktycznych kar pieniężnych za naruszenia RODO musi wyznaczać zasada legalności. W szczególności należy zapewnić, aby faktyczne kary pieniężne nakładane na podstawie RODO obliczać wyłącznie w związku z działaniami sprawcy i brać w pełni pod uwagę charakterystykę danego naruszenia. Z tego względu wykładni pojęcia „obrotu” i „przedsiębiorstwa” przy określaniu maksymalnej kwoty kary pieniężnej nie można automatycznie przenosić na obliczanie faktycznej kary pieniężnej. 47. Aby kara pieniężna służyła osiągnięciu celu RODO, jakim jest wzmocnienie egzekwowania przepisów tego rozporządzenia, a także w świetle omówionego powyżej orzecznictwa Trybunału, wykładnia pojęcia „przedsiębiorstwa” i „obrotu” przy ustalaniu kwoty faktycznej kary pieniężnej musi być zgodna z następującymi wymogami. W procesie ustalania faktycznej kary pieniężnej organ nadzorczy musi, po pierwsze, opierać się na wszystkich indywidualnych okolicznościach danej sprawy, tak jak wymaga tego art. 83 ust. 2 RODO, w tym brać pod uwagę relacje w ramach „przedsiębiorstwa” określonego w świetle prawa konkurencji Unii. Po drugie, wyliczona w wyniku ważenia wszystkich istotnych okoliczności faktyczna kara pieniężna musi być skuteczna, proporcjonalna i odstraszająca. Wreszcie w stosownych przypadkach należy wykazać się poszanowaniem aspektów prawa karnego istotnych w danej sprawie. 48. Aby wymogi te zostały spełnione, pragnę przypomnieć o kilku kwestiach przedstawionych poniżej. 49. Jak zauważył rzecznik generalny G. Pitruzella ( ), w prawie Unii znaczenie i zakres pojęcia „przedsiębiorstwa” są nieodłącznie związane z uregulowaniami, w które pojęcie to się wpisuje, oraz z różnymi celami, które przyświecają danym uregulowaniom. W prawie konkurencji Unii funkcjonalny charakter pojęcia „przedsiębiorstwa” należy rozumieć pod dwoma względami. Po pierwsze, pojęcie to skupia się raczej na rodzaju wykonywanej działalności, a nie na cechach podmiotu ją wykonującego. Na konkurencję składa się i ma wpływ działalność gospodarcza. Z tego powodu art. 101 i 102 TFUE odnoszą się w sposób ogólny do „przedsiębiorstw”, pomijając wszelkie odniesienia do ich struktury prawnej. Po drugie, kwalifikacja danej działalności jako gospodarczej – a zatem podmiotu jako przedsiębiorstwa – do celów [stosowania] prawa konkurencji [Unii] zależy od badanego kontekstu. Podobnie wskazanie podmiotów wchodzących w zakres pojęcia „przedsiębiorstwa” zależy od przedmiotu zarzucanego naruszenia. 50. Z uwag tych słusznie wynika, że w prawie konkurencji Unii pierwszeństwo nadaje się względom gospodarczym, ignorując strukturę prawną danego podmiotu. Niezależnie od powyższego, drugi z aspektów ogranicza ten pogląd w ten sposób, że wskazanie podmiotu lub osoby odpowiedzialnych za naruszenie, a w rezultacie faktyczna kara pieniężna zależy od samego spornego naruszenia. 51. W konsekwencji, jednym z elementów charakteryzujących pojęcie „przedsiębiorstwa”, który należy rozważyć przy ustalaniu podstawowej kwoty kary pieniężnej i jej dostosowaniu (w celu ustalenia faktycznej kary pieniężnej), jest poziom zaangażowania innych spółek tego przedsiębiorstwa w naruszenie RODO. W tym względzie w krajowym orzecznictwie dotyczącym prawa konkurencji Unii stwierdzono, że „w ujęciu konceptualnym pytanie o istnienie „przedsiębiorstwa” i pytanie o przypisanie odpowiedzialności różnym spółkom w ramach „przedsiębiorstwa” to odrębne pytania, [ ( ) ] [zaś] osoba nie jest ipso facto odpowiedzialna za naruszenie art. 101 [TFUE] tylko z tego względu, że jest wspólnikiem przedsiębiorstwa odpowiedzialnego w rozumieniu prawa Unii za naruszenie, w okoliczności gdy dana osoba nie uczestniczyła w naruszeniu ani nie miała decydującego wpływu na zachowanie na danym rynku innych wspólników przedsiębiorstwa, którzy uczestniczyli [w naruszeniu] […]. [W] takich okolicznościach jest mało prawdopodobne, aby dana osoba została faktycznie uznana za część tego „przedsiębiorstwa” ( ). 52. Moim zdaniem powyższe argumenty mają znaczenie również wówczas, gdy rozważa się, które osoby wchodzą w zakres pojęcia „przedsiębiorstwa”, aby ustalić faktyczną karę pieniężną za naruszenie RODO. Ma to szczególne znaczenie, gdy organ nadzorczy wyraźnie ustalił, że spółka dominująca nie była jako administrator lub podmiot przetwarzający zaangażowana w dane naruszenie ( ), tak jak miało to miejsce w niniejszej sprawie. 53. Chociaż prawodawca Unii w pewnym ograniczonym zakresie stworzył powiązanie między dwiema dziedzinami prawa Unii na potrzeby ustalenia maksymalnych kar pieniężnych, przepisy RODO i reguły konkurencji Unii wyraźnie służą osiąganiu innych celów. System regulacyjny RODO różni się od systemu reguł konkurencji i opiera się na pojęciu odpowiedzialności administratora (oraz podmiotu przetwarzającego) za zgodne z prawem przetwarzanie danych osobowych. Innymi słowy, podczas gdy prawo konkurencji Unii jest ukierunkowane na „przedsiębiorstwa” (wyrażane w nim zakazy odnoszą się do „przedsiębiorstwa”), RODO skupia się na „administratorach” i „podmiotach przetwarzających”. Pragnę również przypomnieć, że ponieważ teorii „jednostki gospodarczej” nie można odłączyć od szerokiej logiki prawa konkurencji Unii i jej przedmiotu, Trybunał odmawiał już wcześniej rozszerzenia zastosowania tego prawa w drodze analogii na inne dziedziny prawa Unii, przykładowo na odpowiedzialność pozaumowną wynikającą z art. 340 TFUE akapit drugi ( ). 54. Mając na uwadze te rozważania, jasne staje się, dlaczego Trybunał wyraźnie zawężał skutki prawa konkurencji Unii dla egzekwowania RODO (a w szczególności kar pieniężnych nakładanych na podstawie RODO). W wyroku Deutsche Wohnen (pkt 53) Trybunał orzekł, że pojęcie „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE „nie ma wpływu na kwestię, czy i na jakich warunkach administracyjna kara pieniężna może zostać nałożona na podstawie art. 83 RODO na administratora będącego osobą prawną, ponieważ kwestia ta jest w sposób wyczerpujący uregulowana w art. 58 ust. 2 i art. 83 ust. 1–6 tego rozporządzenia”. Dalej zauważył (w pkt 54), że pojęcie to „ma bowiem znaczenie wyłącznie dla ustalenia kwoty administracyjnej kary pieniężnej nałożonej na administratora na podstawie art. 83 ust. 4–6 RODO [który dotyczy maksymalnej kary pieniężnej]” (wyróżnienie moje). Ponadto, orzekając (w pkt 53), że kwestia tego, czy i na jakich warunkach można nałożyć administracyjną karę pieniężną, „jest w sposób wyczerpujący uregulowana w art. 58 ust. 2 i art. 83 ust. 1–6 tego rozporządzenia” (wyróżnienie moje), Trybunał doprecyzował dodatkowo, że przy ustalaniu faktycznej kary pieniężnej należy w całości stosować wymogi art. 83 ust. 1–6, a żaden z tych ustępów nie ma charakteru primus inter pares. 55. Z tego względu „obrót”„przedsiębiorstwa” jest tylko jednym z wielu elementów, które należy wziąć pod uwagę, egzekwując odpowiedzialność administratora (lub podmiotu przetwarzającego) i nakładając na mocy RODO karę pieniężną, która jest skuteczna, proporcjonalna i odstraszająca. 56. Prawdą jest, że z orzecznictwa Trybunału wynika, iż choć w prawie konkurencji Unii w pewnych sytuacjach uwzględnienie obrotu spółki może być uzasadnione, to jednak ów obrót stanowi tylko jeden z istotnych elementów przy obliczaniu kwoty faktycznej grzywny (na przykład przy podwyższaniu podstawowej kwoty grzywny w celu odstraszenia) ( ). 57. Moim zdaniem przy ustalaniu faktycznej kary pieniężnej powinna zatem istnieć możliwość powołania się na pojęcie „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE, ale tylko wówczas gdy jest to należycie uzasadnione do celów nadania karze pieniężnej charakteru odstraszającego i skuteczności. Użycie tego pojęcia musi być bowiem w tym względzie w każdym konkretnym przypadku zniuansowane i zindywidualizowane. W szczególności może być ono zastosowane jako mechanizm dostosowawczy przy rozważaniu szczególnych okoliczności konkretnej sprawy, gdy ustalono karę pieniężną zgodnie z art. 83 ust. 2 RODO. Do sądu odsyłającego należy zatem ustalenie, czy w niniejszej sprawie zachodzą okoliczności, które uzasadniałyby podwyższenie grzywny w taki sposób, w szczególności do celów odstraszania. 58. Do kwestii indywidualizacji kar pieniężnych nakładanych na podstawie RODO ( ) odnosiła się też Europejska Rada Ochrony Danych (EROD) ( ). W swoich wytycznych w sprawie obliczania kar pieniężnych nakładanych na podstawie RODO ( ), sporządzonych na podstawie art. 70 ust. 1 lit. k) RODO, EROD dąży do ujednolicenia w Unii Europejskiej uprawnień organów nadzorczych do nakładania kar pieniężnych na podstawie RODO. W szczególności EROD stwierdza, że „punktem wyjścia do dalszych obliczeń jest rozważenie trzech elementów: kategoryzacji naruszeń ze względu na ich charakter zgodnie z [art. 83 ust. 4–6] RODO, powagi naruszenia […] oraz obrotu przedsiębiorstwa stanowiącego jeden z istotnych elementów, które należy wziąć pod uwagę w celu nałożenia skutecznej, odstraszającej i proporcjonalnej kary pieniężnej zgodnie z art. 83 ust. 1 RODO”. O ile prawdą jest, że wytyczne te nie są wiążące dla Trybunału, powyższe rozważania pokazują, że tylko kompleksowe podejście, obejmujące wszystkie elementy istotne w konkretnej sprawie, może zapewnić zgodność kary pieniężnej z kluczowymi wymogami przewidzianymi w art. 83 RODO, a w szczególności z wymogiem, aby faktyczna kara pieniężna, która zostaje nałożona, była skuteczna, proporcjonalna i odstraszająca. 59. W rezultacie do celów ustalenia kwoty faktycznej kary pieniężnej zachęcam Trybunał do uznania, że przy stosowaniu pojęcia „przedsiębiorstwa” w kontekście ustalania faktycznej kary pieniężnej na podstawie art. 83 RODO istotne są następujące aspekty. Po pierwsze, należy ocenić, czy spółka dominująca wykonywała swoje uprawnienia decyzyjne w odniesieniu do konkretnych czynności administratora lub podmiotu przetwarzającego, który dopuścił się naruszenia (naruszeń) RODO. Po drugie, należy wziąć pod uwagę, czy konkretne przetwarzanie danych naruszające RODO dotyczy spółki objętej postępowaniem czy całej grupy. Po trzecie, należy ustalić, czy w naruszenie (naruszenia) RODO zaangażowana była więcej niż jedna spółka należąca do grupy. 60. W tym względzie pragnę zauważyć, że znaczenie ma następujący niewyczerpujący wykaz okoliczności: (i) w niniejszej sprawie ( ) – inaczej niż w sprawie, która doprowadziła do wydania wyroku Deutsche Wohnen – Lars Larsen Group ani spółka dominująca grupy najwyraźniej nie były stroną w postępowaniu karnym; (ii) zarzuty postawiono wyłącznie spółce ILVA, a nie grupie ( ); oraz (iii) naruszenie RODO, którego dotyczyło postępowanie główne, ograniczało się do klientów ILVA i ich danych, a ponadto nic nie wskazywało, aby do naruszenia doszło na szczeblu samej grupy lub aby przetwarzanie dokonywane przez spółkę ILVA było powiązane z innymi spółkami należącymi do tej grupy. Należy podkreślić, że w sprawie, w której zapadł wyrok Deutsche Wohnen „spółka objęta postępowaniem” przyjęła na siebie całość odpowiedzialności za przetwarzanie danych, a więc również za przetwarzanie danych innych spółek należących do grupy ( ). 61. Do sądu odsyłającego, który jako jedyny jest właściwy, by orzekać co do faktów, należy jednak dokonanie niezbędnej weryfikacji w tym względzie i rozważenie tych okoliczności, jak również znaczenia i wagi, jaką należy im przypisać w kontekście ustalania odpowiedniej kwoty faktycznej grzywny obciążającej spółkę ILVA. 4. Uwagi końcowe 62. Chociaż sąd odsyłający nie zadał żadnego pytania w tym względzie, uważam, że aby udzielić mu pełnej odpowiedzi, należałoby pokrótce ustosunkować się do pewnych szczególnych aspektów niniejszej sprawy. 63. Wykładni art. 83 ust. 1–6 na potrzeby sprawy rozpoznawanej w postępowaniu głównym należy dokonać w szczególności w związku z art. 83 ust. 9 RODO ( ), co stanowi zagadnienie nieporuszone przez Trybunał w wyroku Deutsche Wohnen ( ). Z tego względu mechanizm ustalania odpowiedniej faktycznej kwoty kary pieniężnej na podstawie art. 83 RODO należy w niniejszej sprawie rozumieć w sposób spójny z zasadniczymi gwarancjami przysługującymi w procesie sądowym w postępowaniu karnym. 64. W kontekście analizy wpływu art. 83 ust. 9 na niniejszą sprawę należy również wziąć pod uwagę motyw 151 RODO, zgodnie z którym „[s]ystemy prawne Danii i Estonii[ ( )] nie przewidują administracyjnych kar pieniężnych określonych w [RODO]”. Motyw ten przedstawia dalej wskazówki dotyczące zgodności różnych procedur z trzema kluczowymi warunkami faktycznej kary pieniężnej w ramach mechanizmu RODO, stanowiąc, że „nakładane grzywny muszą być w każdym przypadku skuteczne, proporcjonalne i odstraszające”. Z tego względu istotne jest odniesienie się pokrótce do wpływu prawa Unii na grzywny nakładane w postępowaniu karnym w celu zapewnienia, aby trzy wspomniane warunki zostały spełnione również w tak szczególnej sprawie jak niniejsza. 65. Podczas rozprawy spółka ILVA powołała się, po pierwsze, na art. 41 Karty praw podstawowych Unii Europejskiej (zwanej dalej „Kartą”). Artykuł ten nosi tytuł „Prawo do dobrej administracji”, a w szczególności w art. 41 ust. 2 lit. c) mowa jest o „obowiązku administracji uzasadniania swoich decyzji”, ale spółka ILVA nie podniosła żadnych konkretnych argumentów w tym względzie. 66. Po drugie, spółka ILVA powołała się też na art. 49 Karty. Uważam w istocie, że dokonując wykładni art. 83 ust. 1–6 RODO, należy wziąć pod uwagę artykuł Karty zatytułowany „Zasady legalności oraz proporcjonalności kar do czynów zabronionych pod groźbą kary”, a zatem ma on znaczenie dla sprawy rozpoznawanej w postępowaniu głównym. W art. 49 ust. 3 Karty stwierdzono w szczególności, że „kary nie mogą być nieproporcjonalnie surowe w stosunku do czynu zabronionego pod groźbą kary”. 67. Z orzecznictwa Trybunału wynika, że zasada proporcjonalności jest jedną z głównych zasad prawa Unii leżącą u podstaw tradycji konstytucyjnych wspólnych dla państw członkowskich, których muszą przestrzegać organy krajowe w stosowaniu lub wdrażaniu prawa Unii. Zasada ta wymaga od państw członkowskich podejmowania środków, które są odpowiednie do realizacji zamierzonych celów i nie wykraczają poza to, co jest konieczne do ich osiągnięcia ( ). 68. Surowość sankcji ma odpowiadać wadze danego naruszenia, bowiem taki wymóg wynika nie tylko z art. 52 ust. 1 Karty, lecz także z zasady proporcjonalności kar ustanowionej w jej art. 49 ust. 3 ( ). 69. Jak wynika z wyjaśnień dotyczących Karty ( ), zgodnie z art. 52 ust. 3 Karty, w zakresie, w jakim prawo gwarantowane w jej art. 49 odpowiada również prawu gwarantowanemu w europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności, podpisanej w Rzymie w dniu 4 listopada 1950 r. (zwanej dalej „EKPC”), ma ono takie samo znaczenie i zakres jak te przewidziane w EKPC. W związku z tym wymogi ETPC odnoszące się do proporcjonalności sankcji znajdują zastosowanie w przypadku takim jak ten rozpatrywany w postępowaniu głównym poprzez łączne zastosowanie art. 17 ust. 1, art. 51 ust. 1 i art. 52 ust. 1 i 3 Karty ( ). 70. Orzecznictwo Trybunału wskazuje jasno, że zasada proporcjonalności wymaga, po pierwsze, aby sankcja odpowiadała wadze naruszenia, i po drugie, aby przy określaniu sankcji, a także ustalaniu kwoty grzywny, zostały uwzględnione indywidualne okoliczności danego przypadku ( ). Co się tyczy drugiego elementu, w orzecznictwie podkreślono, że sąd odsyłający ma obowiązek uwzględnić obiektywne kryteria, takie jak waga i czas trwania naruszenia, jak również ewentualne okoliczności obciążające i łagodzące, a to w celu zagwarantowania skuteczności, proporcjonalności i odstraszającego charakteru tej grzywny ( ). 71. Po drugie, orzecznictwo ETPC w tego rodzaju sprawach wskazuje na tendencję do ważenia różnych interesów i uwzględniania charakteru, wagi i efektu mrożącego nałożonej na skarżącego sankcji karnej. Wynika z tego jasno, że ciążący na państwach obowiązek stosowania prawa karnego i nałożenia kary ( ) w celu ochrony społeczeństwa ( ) powoduje powstanie odpowiedniego obowiązku w celu zapewnienia, aby nałożona kara nie była nadmierna. 72. ETPC orzekł, że „wymagana równowaga nie zostanie osiągnięta, jeżeli dana osoba lub dany podmiot poniesie indywidualny i nadmierny ciężar”; a zatem „odpowiedzialność finansowa wynikająca z grzywny może podważyć gwarancje zapewnione tym przepisem, jeżeli nakłada na daną osobę lub dany podmiot nadmierny ciężar albo zasadniczo wpływa na ich sytuację finansową” ( ). 73. Wynika z tego, że szczególne proceduralne aspekty sprawy rozpoznawanej w postępowaniu głównym oraz prawo Unii i orzecznictwo ETPC dotyczące grzywien nakładanych w postępowaniach karnych sprawiają, że organ nadzorczy, czy też sąd odsyłający, przy ustalaniu faktycznej kary pieniężnej [grzywny] za naruszenie RODO muszą wziąć pod uwagę wszystkie istotne elementy sprawy. Z gwarancji procesowych przysługujących oskarżonemu, a także zasady proporcjonalności interpretowanej w świetle orzecznictwa Trybunału Sprawiedliwości i ETPC wynika wymóg, aby kary odpowiadały wadze czynu i aby uwzględniano indywidualne okoliczności danej sprawy. 74. W świetle tych wymogów sąd odsyłający musi zapewnić, aby przy ustalaniu faktycznej grzywny przestrzegano zasady proporcjonalności, aby osiągnąć właściwą równowagę między wymogami ogólnego interesu społecznego w zakresie ochrony danych osobowych a wymogami ochrony praw podstawowych ( ) administratora, podmiotu przetwarzającego lub przedsiębiorstwa, do którego należy administrator lub podmiot przetwarzający. V. Wnioski 75. Proponuję, aby Trybunał udzielił następującej odpowiedzi na pytanie prejudycjalne przedłożone przez Vestre Landsret (sąd apelacyjny regionu zachodniego, Dania): Artykuł 83 ust. 4–6 rozporządzenia (UE) Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenie o ochronie danych) należy interpretować w ten sposób, że jeżeli na administratora lub podmiot przetwarzający, który jest przedsiębiorstwem (lub należy do przedsiębiorstwa) nakłada się grzywnę, pojęcie „przedsiębiorstwa” do celów ustalania maksymalnej kwoty grzywny należy rozumieć w taki sposób, że odnosi się ono do pojęcia „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE. Bierze się zatem pod uwagę całkowity roczny światowy obrót przedsiębiorstwa, do którego należy administrator lub podmiot przetwarzający. Jednakże przy ustalaniu faktycznej grzywny, pojęcie „przedsiębiorstwa” należy interpretować w związku z art. 83 ust. 1 i 2 rozporządzenia 2016/679 i należy uwzględniać przy analizie szczególne okoliczności danej sprawy jako jeden z istotnych elementów. W związku z tym szczególne okoliczności mogą odnosić się do uprawnień decyzyjnych spółki dominującej, zakresu przetwarzania danych powodującego naruszenie przepisów tego rozporządzenia oraz liczby podmiotów przedsiębiorstwa zaangażowanych w naruszenie. Ponadto, gdy sąd krajowy nakłada taką grzywnę w związku z art. 83 ust. 9 rozporządzenia 2016/679 w kontekście postępowania karnego, faktyczną grzywnę należy ustalać w świetle zasad mających zastosowanie w prawie karnym. W tym kontekście sąd krajowy musi zapewnić, aby przy ustalaniu faktycznej grzywny – w celu osiągnięcia właściwej równowagi między wymogami ogólnego interesu społecznego w zakresie ochrony danych osobowych a wymogami ochrony praw podstawowych administratora, podmiotu przetwarzającego lub przedsiębiorstwa, do którego należy administrator lub podmiot przetwarzający – przestrzegano zasady proporcjonalności. ( ) Język oryginału: angielski. ( ) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2) (zwane dalej „RODO”). ( ) W źródłach krajowych sprawa rozpoznawana w postępowaniu głównym określana jest również jako sprawa „IDdesign A/S”, ponieważ tak nazywała się wcześniej spółka ILVA. ( ) W szczególności art. 83 ust. 9 i motyw 151 RODO. ( ) Zobacz T. Overby, The Danish adaptation of the GDPR, Blog Droit Européen, czerwiec 2018, s. 4, 5. ( ) Jeżeli chodzi o konkretne brzmienie drugiego pytania prejudycjalnego (zob. pkt 15 niniejszej opinii), wygląda na to, że obarczone jest ono błędem pisarskim. Z kontekstu można jednak wywnioskować, że sąd odsyłający miał na myśli nie tyle różnicę między „jednostką gospodarczą, do której należy to przedsiębiorstwo” a „samym tym przedsiębiorstwem”, ale różnicę między „jednostką gospodarczą, do której należy ta spółka” a „samą tą spółką” (a więc osobą prawną, która dopuściła się naruszenia RODO). ( ) Motyw ten przytoczono w pkt 4 niniejszej opinii. ( ) Wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen (C‑807/21, EU:C:2023:950, pkt 57); zwany dalej „wyrokiem Deutsche Wohnen” lub „orzecznictwem Deutsche Wohnen”. Zobacz również powiązany wyrok wydany w tym samym dniu, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949). ( ) Jak stanowi orzecznictwo Trybunału, „obrót, chociaż jest wskazówką niejasną i nieprecyzyjną, pozostaje odpowiednim kryterium dla dokonania oceny rozmiaru i siły gospodarczej danych przedsiębiorstw”. Zobacz wyrok z dnia 8 grudnia 2011 r., KME Germany i in./Komisja (C‑272/09 P, EU:C:2011:810, pkt 52). ( ) Rozporządzenie Rady z dnia 16 grudnia 2002 r. w sprawie wprowadzenia w życie reguł konkurencji ustanowionych w art. [101 i 102 TFUE] (Dz.U. 2003, L 1, s. 1). ( ) Wyrok z dnia 6 października 2021 r., Sumal (C‑882/19, EU:C:2021:800, pkt 41 i przytoczone tam orzecznictwo). ( ) Zobacz krajowe orzecznictwo Landgericht Bonn (sądu krajowego w Bonn, Niemcy) (wyrok z dnia 11 listopada 2020 r., DE:LGBN:2020:1111.29OWI1.20.00) oraz Conseil d’État (rady stanu, Francja) (wyrok z dnia 19 czerwca 2020 r., FR:CECHR:2020:430810.20200619). Obydwa sądy zasadniczo orzekają spójnie z wykładnią Trybunału (mimo że wyroki zapadły przed wydaniem wyroku przez Trybunał). Aby zapoznać się z wykładnią przeciwną – zob. orzecznictwo Bundesverwaltungsgericht (federalnego sądu administracyjnego, Austria) (wyrok z dnia 19 sierpnia 2019 r., AT:BVWG:2019:W211.2208885.1.00) i Landgericht Berlin (sądu krajowego w Berlinie, Niemcy) (wyrok z dnia 18 lutego 2021 r., DE:LGBE:2021:0218.526OWI.LG212JS.OW.00; jest to ten wyrok, który ostatecznie doprowadził do wydania przez Trybunał wyroku Deutsche Wohnen). Aby zapoznać się z orzecznictwem wydanym po wyroku Trybunału i stosującym ten wyrok – zob. orzecznictwo Bundesverwaltungsgericht (federalnego sądu administracyjnego, Austria) (wyrok z dnia 27 marca 2024 r., AT:BVWG:2024:W214.2243436.1.00). ( ) Zobacz wyrok z dnia 23 kwietnia 1991 r., Höfner i Elser (C‑41/90, EU:C:1991:161, pkt 21). Zobacz także na przykład wyroki: z dnia 12 września 2000 r., Pavlov i in. (od C‑180/98 do C‑184/98, EU:C:2000:428, pkt 74); z dnia 12 lipca 2012 r., Compass-Datenbank (C‑138/11, EU:C:2012:449, pkt 35); a także z dnia 27 kwietnia 2017 r., Akzo Nobel i in./Komisja (C‑516/15 P, EU:C:2017:314, pkt 47). ( ) Zobacz na przykład wyrok z dnia 20 stycznia 2011 r., General Química i in./Komisja (C‑90/09 P, EU:C:2011:21, pkt 37). Głównym kryterium wykorzystywanym w celu ustalenia tego jest „decydujący wpływ”, który należy interpretować na podstawie dowodów odnoszących się do okoliczności faktycznych (więzów ekonomicznych, organizacyjnych i prawnych). ( ) Wyrok z dnia 27 stycznia 2021 r., The Goldman Sachs Group/Komisja (C‑595/18 P, EU:C:2021:73, pkt 67 i cytowane tam orzecznictwo). ( ) Ibidem, pkt 71. ( ) Ibidem,pkt 32 i przytoczone tam orzecznictwo. ( ) 2 % całkowitego światowego obrotu spółki przekracza 10 mln EUR tylko wówczas, gdy obrót spółki wynosi powyżej 500 mln EUR. Podobnie 4 % całkowitego światowego obrotu spółki przekracza 20 mln EUR tylko wówczas, gdy obrót spółki wynosi powyżej 500 mln EUR. ( ) W całej treści niniejszej opinii będę mówić w tym kontekście o „organie nadzorczym”, ale z uwagi na specyfikę sprawy rozpoznawanej w postępowaniu głównym jasne jest, że to samo odnosi się – poprzez rozszerzenie – do sądu odsyłającego (który nakłada grzywnę na spółkę ILVA zamiast organu nadzorczego). ( ) „Każdy organ nadzorczy zapewnia, by stosowane na mocy niniejszego artykułu za naruszenia niniejszego rozporządzenia administracyjne kary pieniężne, o których mowa w ust. 4, 5 i 6, były w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające” (wyróżnienie moje). ( ) Zobacz w tym względzie orzecznictwo cytowane w pkt 40 niniejszej opinii. ( ) Pierwszy z przepisów dotyczy sytuacji, w których doszło do jednoczesnego naruszenia kilku przepisów RODO. ( ) Do czynników tych zaliczają się: charakter, waga i czas trwania naruszenia, jego umyślny lub nieumyślny charakter, działania podjęte w celu ograniczenia poniesionej szkody, wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego, stopień współpracy z organem nadzorczym, kategorie danych osobowych, których dotyczyło naruszenie itp. ( ) Wyrok z dnia 25 września 1984 r., Könecke (117/83, EU:C:1984:288, pkt 11). ( ) Wyrok z dnia 18 lipca 2013 r., Schindler Holding i in./Komisja (C‑501/11 P, EU:C:2013:522, pkt 57 i przytoczone tam orzecznictwo). ( ) Zobacz pkt 32 („Maksymalny zgodny z prawem pułap”) i pkt 13 (w związku z „kwotą podstawową grzywny” wytycznych w sprawie metody ustalania grzywien nakładanych na mocy art. 23 ust. 2 lit. a) rozporządzenia 1/2003 (Dz.U. 2006, C 210, s. 2) (zwanych dalej „wytycznymi w sprawie ustalania grzywien z 2006 r.”). ( ) Mayer Brown, O. Yaros i in., GDPR fines – Lessons from competition law, grudzień 2018, s. 4. ( ) Wyrok z dnia 12 listopada 2014 r., Guardian Industries i Guardian Europe/Komisja (C‑580/12 P, EU:C:2014:2363, pkt 59). ( ) Punkt 30 wytycznych w sprawie ustalania grzywien z 2006 r. stanowi, że „Komisja zwróci szczególną uwagę na potrzebę zapewnienia wystarczającego efektu odstraszającego grzywny” i że „w tym celu może ona podwyższyć grzywnę, która ma zostać nałożona na przedsiębiorstwa posiadające szczególnie wysoki obrót poza sprzedażą dóbr i usług, do których odnosi się naruszenie” (wyróżnienie moje). Zobacz podobnie wyrok z dnia 6 lutego 2014 r., Elf Aquitaine/Komisja (T40/10, EU:T:2014:61, pkt 350–357 i przytoczone tam orzecznictwo). ( ) Uwagi te poczynił on w swojej opinii wydanej w sprawie z zakresu prawa konkurencji, Sumal (C‑882/19, EU:C:2021:293, pkt 23–25). ( ) Zobacz na przykład orzecznictwo Competition Appeal Tribunal (Zjednoczone Królestwo) z okresu przed brexitem – wyrok Sainsbury’s Supermarkets v Mastercard Inc. [2016] CAT 11, pkt 363(20–22). ( ) Ibidem, pkt 363(23). ( ) Z dokumentów przedłożonych Trybunałowi wynika, że właśnie tak było w tym przypadku, ponieważ prokurator nie postawił żadnych zarzutów spółce dominującej „wobec braku podstaw”, a spółka zależna (spółka ILVA) „prowadzi niezależną autonomiczną działalność w zakresie sprzedaży detalicznej i […] nie utworzyła spółki zależnej jedynie w celu przeniesienia na nią odpowiedzialności za przetwarzanie danych przez grupę”. Zobacz pkt 5 i 21 postanowienia odsyłającego. ( ) W wyroku z dnia 5 września 2019 r., European Union/Guardian Europe i Guardian Europe/Unia Europejska (C‑447/17 P i C‑479/17 P, EU:C:2019:672, pkt 105, 106) Trybunał orzekł, że pojęcie „przedsiębiorstwa” w rozumieniu teorii „jednostki gospodarczej” jest w szczególności używane w celu realizacji właściwych przepisów prawa konkurencji Unii, a w szczególności do celów wskazania sprawcy naruszenia art. 101 i 102 TFUE. Pojęcie to nie ma natomiast zastosowania w ramach skargi o odszkodowanie opartej na art. 340 akapit drugi TFUE. Taka skarga stanowi powództwo oparte na prawie powszechnym, regulowane przez ogólne przepisy procesowe, podporządkowane w niniejszym przypadku zasadom wywodzącym się z prawa spółek, które są niezależne od logiki, jaką rządzą się przepisy dotyczące odpowiedzialności w prawie konkurencji Unii. ( ) Wyrok z dnia 17 czerwca 2010 r., Lafarge/Komisja (C‑413/08 P, EU:C:2010:346, pkt 102 i przytoczone tam orzecznictwo). Zobacz również przypis 29 niniejszej opinii. ( ) Służących osiągnięciu równowagi między karą pieniężną a konkretną sytuacją sprawcy naruszenia. ( ) EROD jest niezależnym organem Unii posiadającym osobowość prawną, którego celem działalności jest zapewnienie spójnego stosowania RODO i wspieranie współpracy między organami ochrony danych w Unii Europejskiej. ( ) Wytyczne 04/2022 w sprawie obliczania administracyjnych kar pieniężnych na podstawie RODO, wersja 2.1, przyjęte w dniu 24 maja 2023 r., pkt 48. ( ) W postanowieniu odsyłającym w niniejszej sprawie (s. 3) zauważono, że „z wyrażonej w [prawie krajowym] zasady skargowości wynika, że sąd nie może wydać wyroku skazującego za czyn zabroniony nieobjęty aktem oskarżenia. Sprzeczne z zasadą ustanowioną w tym przepisie byłoby przypisywanie znaczenia, przy orzekaniu kary surowszej, okolicznościom dotyczącym innej osoby, której nie postawiono zarzutów” ( ) Tymczasem krajowe wytyczne w sprawie ustalania grzywien stanowią, że „jeżeli administratorem jest spółka zależna grupy, należy zbadać, czy można pociągnąć do odpowiedzialności karnej również spółkę dominującą”. Zobacz Bødevejledning – Udmåling af bøder til virksomheder (Przewodnik w sprawie ustalania grzywien – Ustalanie grzywien dla spółek), styczeń 2021, s. 3. ( ) W sprawie, w której zapadł wyrok Deutsche Wohnen do naruszeń doszło bowiem na szczeblu całej grupy, której częścią była spółka objęta postępowaniem. Zobacz różnice w okolicznościach faktycznych między dwiema sprawami, w szczególności w świetle pkt 10–12 wyroku Deutsche Wohnen. ( ) Przypomnę, że przepis ten stanowi w szczególności, iż „jeżeli ustrój prawny państwa członkowskiego nie przewiduje administracyjnych kar pieniężnych, niniejszy artykuł można stosować w ten sposób, że o zastosowanie kary pieniężnej wnosi właściwy organ nadzorczy, a nakłada ją właściwy sąd krajowy, o ile zapewniona zostaje skuteczność tych rozwiązań prawnych i równoważność ich skutku względem administracyjnej kary pieniężnej nakładanej przez organ nadzorczy. Nakładane kary pieniężne muszą być w każdym przypadku skuteczne, proporcjonalne i odstraszające […]”. ( ) Ze względu na fakt, że ów przepis nie miał znaczenia dla rozstrzygnięcia tamtej sprawy. ( ) Wygląda na to, że w Irlandii administracyjne kary pieniężne nakładane przez organy nadzorcze odpowiedzialne za ochronę danych muszą być potwierdzone przez sąd. Zobacz Data Protection Act 2018, art. 141–143. Co więcej, wygląda na to, że w świetle postanowienia Vrhovno sodišče (sądu najwyższego, Słowenia) z dnia 16 marca 2021 r. również Słowenia nie przewiduje możliwości nakładania administracyjnych kar pieniężnych. ( ) Zobacz podobnie wyrok z dnia 4 października 2018 r., Link Logistik N&N (C‑384/17, EU:C:2018:810, pkt 40 i przytoczone tam orzecznictwo; zwany dalej „wyrokiem Link Logistik”). ( ) Ibidem, pkt 42 i przytoczone tam orzecznictwo. ( ) Dz.U. 2007 C 303, s. 17. ( ) Zobacz również wyrok w sprawie Link Logistik, pkt 43. ( ) Wyrok Link Logistik, pkt 45. ( ) Zobacz podobnie wyrok z dnia 10 listopada 2022 r., Zenith Media Communications (C‑385/21, EU:C:2022:866, pkt 41). ( ) Zobacz na przykład wyrok ETPC z dnia 4 grudnia 2003 r. w sprawie M.C. przeciwko Bułgarii, CE:ECHR:2003:1204JUD003927298. ( ) Zobacz na przykład wyroki: ETPC z dnia 16 grudnia 1999 r. w sprawie T. przeciwko Zjednoczonemu Królestwu, CE:ECHR:1999:1216JUD002472494, § 97, zawierający cytaty z wyroku ETPC z dnia 23 września 1998 r. w sprawie A. przeciwko Zjednoczonemu Królestwu, CE:ECHR:1998:0923JUD002559994, § 22; a także wyrok ETPC z dnia 28 października 1998 r. w sprawie Osman przeciwko Zjednoczonemu Królestwu, CE:ECHR:1998:1028JUD002345294, § 115. ( ) Zobacz na przykład wyrok ETPC z dnia 27 października 2015 r. w sprawie Konstantin Stefanov przeciwko Bułgarii, CE:ECHR:2015:1027JUD003539905, § 55. ( ) Ibidem, §§ 54, 55, 66, 67, 69, 70. Zobacz także wyrok ETPC z dnia 5 lipca 2001 r. w sprawie Phillips przeciwko Zjednoczonemu Królestwu, CE:ECHR:2001:0705JUD004108798, § 35; a także wyrok ETPC z dnia 24 czerwca 2021 r. w sprawie Imeri przeciwko Chorwacji, CE:ECHR:2021:0624JUD007766814, § 71.