Förslag till avgörande av generaladvokat Manuel Campos Sánchez-Bordona föredraget den 27 april 2023

1 Originalspråk: spanska.

2 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1). Nedan kallad dataskyddsförordningen.

3 Lag av den 24 maj 1968 (BGBl. I 481; III 454–1), i den av den 19 februari 1987 gällande lydelsen (BGBl. I, s. 602), i ändrad lydelse enligt lagen av den 19 juni 2020 (BGBl. I, s. 1328) (nedan kallad OWiG).

4 Rådets förordning (EG) nr 1/2003 av den 16 december 2002 om tillämpning av konkurrensreglerna i artiklarna 81 och 82 i fördraget (EGT L 1, 2003, s. 1).

5 Skäl II.1 i beslutet att begära förhandsavgörande. Se punkt 41 och följande punkter i detta förslag till avgörande.

6 Punkt 45 Deutsche Wohnens skriftliga yttrande och punkterna 24 och 25 i den tyska regeringens skriftliga yttrande.

7 I ett förfarande enligt artikel 267 FEUF, som vilar på en tydlig funktionsfördelning mellan de nationella domstolarna och EU-domstolen, är det den nationella domstolen som är ensam behörig att fastställa och bedöma omständigheterna i målet samt tolka och tillämpa den nationella lagstiftningen. Dom av den 26 april 2017, Farkas ( C‑564/15, EU:C:2017:302, punkt 37).

8 EU-domstolen har endast möjlighet att underlåta att besvara en fråga som en nationell domstol har ställt när det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken vid den nationella domstolen, när frågan är hypotetisk eller när EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den (se exempelvis dom av den 27 september 2017, Puškár, C‑73/16, EU:C:2017:725, punkt 50). Ingen av de omständigheterna föreligger här.

9 Trots Deutsche Wohnens ovilja att medge det vid förhandlingen, överensstämmer dess profil med definitionen av begreppet personuppgiftsansvarig i artikel 4 i dataskyddsförordningen. Så förhåller det sig oberoende av vilket faktiskt ansvar bolaget har för de överträdelser som det påstås ha gjort sig skyldigt till i egenskap av personuppgiftsansvarig.

10 En annan sak är att det vid fastställandet av sanktionsavgiften eventuellt ska beaktas att Deutsche Wohnen och dess dotterbolag ingår i en överordnad ekonomisk enhet. Även om det kan förefalla så, aktualiseras i förevarande mål egentligen inte de klassiska problemen med tillskrivande av ansvar när det gäller moderbolag och dotterbolag eller koncerner.

11 Enligt artikel 4.7 i dataskyddsförordningen avses med personuppgiftsansvarig, såvitt här är av intresse, en … juridisk person … som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Enligt artikel 4.8 avses med personuppgiftsbiträde en … juridisk person … som behandlar personuppgifter för den personuppgiftsansvariges räkning.

12 Som naturligtvis omfattas av rätten till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande den som meddelats av en tillsynsmyndighet (artikel 78.1 i dataskyddsförordningen) och därmed även mot administrativa sanktionsavgifter som den åläggs.

13 Till exempel ålade den irländska dataskyddsmyndigheten den 31 december 2022 Facebook en sanktionsavgift på 210 miljoner euro och Instagram en sanktionsavgift på 180 miljoner euro.

14 Skäl II.1 i beslutet att begära förhandsavgörande.

15 Se punkt 32 i detta förslag till avgörande.

16 Dom av den 27 april 2017, Akzo Nobel m.fl./kommissionen ( C‑516/15 P, EU:C:2017:314, punkt 47).

17 Se exempelvis dom av den 10 april 2014, Areva m.fl./kommissionen ( C‑247/11 P och C‑253/11 P, EU:C:2014:257, punkt 123).

18 Som jag tidigare har nämnt handlar förevarande mål inte om problem som rör förhållandet mellan moderbolag och dotterbolag, när det gäller sanktioner. Den hänskjutande domstolen har heller inte ställt några frågor rörande bevisbördan för de påstådda överträdelserna.

19 Skäl 10 i dataskyddsförordningen.

20 Se föregående fotnot.

21 Punkt 25 i den tyska regeringens skriftliga yttrande. För att bemöta denna ståndpunkt har den hänskjutande domstolen gjort gällande, på det sätt som redovisats ovan, att även i kombination med 9 och 30 §§ OWiG, är det skydd av rättsliga intressen som den nationella rätten ger mycket begränsat jämfört med det ansvarssystem som följer av artiklarna 101 och 102 FEUF.

22 Punkt 25 i den tyska regeringens skriftliga yttrande, fotnoterna 16–18.

23 Det engelska uttrycket strict liability [(strikt ansvar)] motsvaras normalt sett vid översättningen från engelska av EU-domstolens domar av uttrycken responsabilidad objetiva (den spanska versionen), responsabilité objective (den franska versionen), responsabilità oggettiva (den italienska versionen), responsabilidade objetiva (den portugisiska versionen), objektiven Verantwortlichkeit (den tyska versionen) och objectieve aansprakelijkheid (den nederländska versionen).

24 Se exempelvis dom av den 2 februari 2021, Consob ( C‑481/19, EU:C:2021:84, punkt 36).

25 Europadomstolens dom av den 20 januari 2009, Sud Fondi m.fl. mot Italien (CE:ECHR:2009:0120JUD007590901), § 116.

26 CE:ECHR:1988:1007JUD001051983.

27 Europadomstolens dom av den 7 oktober 1988, Salabiaku mot Frankrike, §§ 27 och 28.

28 Dom av den 22 mars 2017, Euro-Team y Spirál-Gép ( C‑497/15 och C‑498/15, EU:C:2017:229, punkterna 53 och 54), med hänvisning till dom av den 9 februari 2012, Urbán ( C‑210/10, EU:C:2012:64, punkterna 47 respektive 48).

29 Dom av den 22 mars 2017, Euro-Team och Spirál-Gép ( C‑497/15 och C‑498/15, EU:C:2017:229).

30 Dom av den 9 februari 2012, Urbán ( C‑210/10, EU:C:2012:64).

31 Se emellertid punkterna 82 och 83 nedan i detta förslag till avgörande.

32 I led a nämns till exempel uppgiftsbehandlingens syfte. I led c nämns åtgärder som har vidtagits för att lindra skadan. I led d nämns graden av ansvar med beaktande av de åtgärder som genomförts. I led f nämns graden av samarbete med tillsynsmyndigheten.

33 I skäl 150 i dataskyddsförordningen nämns en enhetlig tillämpning av administrativa sanktionsavgifter från medlemsstaternas sida. Medlemsstaterna får däremot fastställa om och i vilken utsträckning myndigheter ska omfattas av administrativa sanktionsavgifter. Detta utgör inte hinder för de särskilda bestämmelser för Danmark och Estland som nämns i skäl 151 eller för de fall som nämns i skäl 152.

34 I skäl 10 i dataskyddsförordningen anges det att en konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas (min kursivering). I skäl 11 anges att det ska säkerställas att sanktionerna för överträdelser är likvärdiga, vilket är en formulering som återkommer i skäl 11 och skäl 13.