Súdny dvor spresnil podmienky, za ktorých môžu vnútroštátne dozorné orgány uložiť správnu pokutu jednému alebo viacerým prevádzkovateľom za porušenie všeobecného nariadenia o ochrane údajov (GDPR). Predovšetkým rozhodol, že uloženie takejto pokuty predpokladá zavinenie, teda že k porušeniu došlo úmyselne alebo z nedbanlivosti. Ak je subjekt, ktorému je pokuta uložená, súčasťou skupiny spoločností, pokuta sa vypočíta na základe obratu celej skupiny.

Litovský a nemecký súd požiadali Súdny dvor o výklad všeobecného nariadenia o ochrane údajov (GDPR)1 vo vzťahu k možnosti vnútroštátnych dozorných orgánov sankcionovať porušenie tohto nariadenia uložením správnej pokuty prevádzkovateľovi.

Vo veci prejednávanej v Litve Národné centrum verejného zdravotníctva pri ministerstve zdravotníctva spochybňuje pokutu vo výške 12 000 eur, ktorá mu bola uložená v súvislosti s tým, že s pomocou súkromného podniku vytvorilo mobilnú aplikáciu na účely zaznamenávania a monitorovania údajov o osobách, ktoré boli vystavené vírusu Covid-19.

Vo veci prejednávanej v Nemecku realitná spoločnosť Deutsche Wohnen, ktorá nepriamo vlastní približne 163 000 bytových jednotiek a 3 000 obchodných priestorov, spochybňuje okrem iného pokutu vo výške viac ako 14 miliónov eur, ktorá jej bola uložená za uchovávanie osobných údajov nájomcov dlhšie, než bolo je nevyhnutné.

Súdny dvor rozhodol, že prevádzkovateľovi údajov možno uložiť správnu pokutu za porušenie GDPR len vtedy, ak k tomuto porušeniu došlo zavinene, teda úmyselne alebo z nedbanlivosti. Je to tak vtedy, ak prevádzkovateľ nemohol nevedieť o protiprávnej povahe svojho správania, či už by si uvedomoval porušenie, alebo nie.

Ak je prevádzkovateľom právnická osoba, nie je nevyhnutné, aby sa porušenia dopustil jej riadiaci orgán alebo aby o ňom tento orgán vedel. Naopak, právnická osoba je zodpovedná za porušenia, ktorých sa dopustili jej zástupcovia, riadiaci zamestnanci alebo manažéri, ako aj za porušenia, ktorých sa dopustila akákoľvek iná osoba konajúca v rámci jej obchodných činnosti a v jej mene. Okrem toho uloženie správnej pokuty právnickej osobe ako prevádzkovateľovi údajov nemožno podmieniť predchádzajúcim zistením, že porušenia sa dopustila identifikovaná fyzická osoba.

Prevádzkovateľovi môže byť navyše uložená pokuta aj za operácie vykonávané sprostredkovateľom, pokiaľ tieto operácie možno pripísať prevádzkovateľovi.

Pokiaľ ide o spoločnú zodpovednosť dvoch alebo viacerých subjektov, Súdny dvor spresnil, že táto zodpovednosť vyplýva zo samotnej skutočnosti, že tieto subjekty sa podieľali na určení účelov a prostriedkov spracúvania. Kvalifikácia za „spoločných prevádzkovateľov“ nepredpokladá existenciu formálnej dohody medzi predmetnými subjektmi. Stačí spoločné rozhodnutie, či dokonca zbiehajúce sa rozhodnutia. Keď však skutočne ide o spoločných prevádzkovateľov, musia si prostredníctvom dohody stanoviť svoje povinnosti.

Napokon, pokiaľ ide o výpočet pokuty, v prípade, keď je subjekt, ktorému je pokuta uložená, podnikom alebo je súčasťou podniku, dozorný orgán musí vychádzať z pojmu „podnik“2 v práve hospodárskej súťaže. Maximálna výška pokuty sa teda musí vypočítať na základe percentuálneho podielu z celkového svetového ročného obratu dotknutého podniku za predchádzajúci účtovný rok ako celku.
 

[1] Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov).
[2]Tento pojem zahŕňa každý subjekt vykonávajúci hospodársku činnosť nezávisle od jeho právneho postavenia a spôsobu jeho financovania. Označuje tak hospodársku jednotku, aj keď je táto hospodárska jednotka z právneho hľadiska zložená z viacerých fyzických alebo právnických osôb.

Zdroj: Riaditeľstvo pre komunikáciu
Sekcia pre tlač a informácie curia.europa.eu
TLAČOVÉ KOMUNIKÉ č. 184/23
V Luxemburgu 5. decembra 2023
Rozsudky Súdneho dvora vo veciach C-683/21 | Nacionalinis visuomenės sveikatos centras a C-807/21 | Deutsche Wohnen