Förslag till avgörande av generaladvokat Laila Medina föredraget den 12 september 2024

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmänna dataskyddsförordningen) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

3 I nationella källor kallas målet vid den nationella domstolen även målet IDdesign A/S, eftersom detta var Ilvas tidigare firmanamn.

4 Särskilt artikel 83.9 och skäl 151 i dataskyddsförordningen.

5 Se Overby, T., The Danish adaptation of the GDPR, Blog Droit Européen, juni 2018, s. 4 och 5.

6 Vad beträffar den specifika ordalydelsen i den andra tolkningsfrågan (se punkt 15 i detta förslag till avgörande), förefaller den vara behäftad med ett materiellt fel. Av sammanhanget framgår emellertid att den hänskjutande domstolen inte avsåg att nämna valet mellan den ekonomiska enhet där företaget ingår och själva företaget, utan mellan den ekonomiska enhet där bolaget ingår och själva bolaget (det vill säga den juridiska person som gjort sig skyldig till överträdelse av dataskyddsförordningen).

7 Detta skäl citeras i punkt 4 i detta förslag till avgörande.

8 Dom av den 5 december 2023, Deutsche Wohnen ( C‑807/21, EU:C:2023:950, punkt 57) (nedan kallad domen Deutsche Wohnen eller praxis i målet Deutsche Wohnen). Se även domen i det konnexa målet Nacionalinis visuomenės sveikatos centras ( C‑683/21, EU:C:2023:949), som meddelades samma dag.

9 I EU-domstolens praxis har klargjorts att omsättningen, om än ungefärlig och ofullständig, fortfarande är ett lämpligt kriterium för att bedöma de berörda företagens storlek och ekonomiska styrka. Se dom av den 8 december 2011, KME Germany m.fl./kommissionen ( C‑272/09 P, EU:C:2011:810, punkt 52).

10 Rådets förordning av den 16 december 2002 om tillämpning av konkurrensreglerna i artiklarna [101 och 102 FEUF] (EGT L 1, 2003, s. 1).

11 Dom av den 6 oktober 2021, Sumal ( C‑882/19, EU:C:2021:800, punkt 41 och där angiven rättspraxis).

12 Se, beträffande nationell rättspraxis, tyska Landgericht Bonn (Regionala domstolen, Bonn, Tyskland) (dom av den 11 november 2020, DE:LGBN:2020:1111.29OWI1.20.00) och franska Conseil d’état (Högsta förvaltningsdomstolen, Frankrike) (dom av den 19 juni 2020, FR:CECHR:2020:430810.20200619). Båda överensstämmer i huvudsak med EU‑domstolens tolkning (även om de är äldre än EU‑domstolens dom). Se, för en motsatt tolkning, Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) (dom av den 19 augusti 2019, AT:BVWG:2019:W211.2208885.1.00) och Landgericht Berlin (Regionala domstolen, Berlin, Tyskland) (dom av den 18 februari 2021, DE:LGBE:2021:0218.526OWI.LG212JS.OW.00. Detta är den dom som slutligen utmynnade i EU-domstolens dom Deutsche Wohnen). Se, beträffande senare rättspraxis där EU-domstolens dom tillämpas, österrikiska Bundesverwaltungsgericht (Federala förvaltningsdomstolen, Österrike) (dom av den 27 mars 2024, AT:BVWG:2024:W214.2243436.1.00).

13 Se dom av den 23 april 1991, Höfner och Elser ( C‑41/90, EU:C:1991:161, punkt 21). Se även, exempelvis, dom av den 12 september 2000, Pavlov m.fl. ( C‑180/98–C‑184/98, EU:C:2000:428, punkt 74), dom av den 12 juli 2012, Compass-Datenbank ( C‑138/11, EU:C:2012:449, punkt 35), och dom av den 27 april 2017, Akzo Nobel m.fl./kommissionen ( C‑516/15 P, EU:C:2017:314, punkt 47).

14 Se, till exempel, dom av den 20 januari 2011, General Química m.fl./kommissionen ( C‑90/09 P, EU:C:2011:21, punkt 37). Det viktigaste kriteriet för att fastställa detta är avgörande inflytande, vilket ska baseras på de faktiska omständigheterna (ekonomiska, organisatoriska och juridiska band).

15 Dom av den 27 januari 2021, The Goldman Sachs Group/kommissionen ( C‑595/18 P, EU:C:2021:73, punkt 67 och där angiven rättspraxis).

16 Ibidem, punkt 71.

17 Ibidem, punkt 32 och där angiven rättspraxis.

18 2 procent av ett bolags totala globala omsättning är mer än 10 miljoner euro endast om bolagets omsättning är över 500 miljoner euro. Likaledes är 4 procent av ett bolags totala globala omsättning mer än 20 miljoner euro endast om bolagets omsättning är över 500 miljoner euro.

19 Jag kommer i detta förslag till avgörande genomgående att använda begreppen tillsynsmyndigheten eller en tillsynsmyndighet i detta sammanhang, men det står – med hänsyn till de särskilda omständigheterna i det nationella målet – klart att med detta även avses den hänskjutande domstolen (som påför Ilva sanktionsavgiften – inte tillsynsmyndigheten).

20 Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i enlighet med denna artikel för sådana överträdelser av denna förordning som avses i punkterna 4, 5 och 6 i varje enskilt fall är effektivt, proportionellt och avskräckande (min kursivering).

21 Se rättspraxis som anges i punkt 40 i detta förslag till avgörande.

22 Den senare bestämmelsen avser situationer där flera bestämmelser i dataskyddslagstiftningen överträds samtidigt.

23 Till dessa faktorer hör bland annat överträdelsens karaktär, svårighetsgrad och varaktighet, om överträdelsen skett med uppsåt eller genom oaktsamhet, åtgärder som vidtagits för att lindra skadan, graden av samarbete med tillsynsmyndigheten, de kategorier av personuppgifter som påverkas med mera.

24 Dom av den 25 september 1984, Könecke ( 117/83, EU:C:1984:288, punkt 11).

25 Dom av den 18 juli 2013, Schindler Holding m.fl./kommissionen ( C‑501/11 P, EU:C:2013:522, punkt 57 och där angiven rättspraxis).

26 Se punkt 32 (Högsta tillåtna bötesbelopp) och punkt 13 (beträffande grundbeloppet) i kommissionens riktlinjer för beräkning av böter som döms ut enligt artikel 23.2 a i förordning nr 1/2003 (EUT C 210, 2006, s. 2) (nedan kallade riktlinjerna för böter).

27 Mayer Brown, Yaros, O., m.fl., GDPR fines - lessons from competition law, december 2018, s. 4.

28 Dom av den 12 november 2014, Guardian Industries och Guardian Europe/kommissionen ( C‑580/12 P, EU:C:2014:2363, punkt 59).

29 Enligt punkt 30 i 2006 års riktlinjer för böter [fäster kommissionen] särskild vikt vid att böterna har en tillräckligt avskräckande verkan. Därför kan kommissionen höja böterna för företag som har en särskilt stor omsättning som härrör från försäljningen av andra varor eller tjänster än de som berörs av överträdelsen (min kursivering). Se dom av den 6 februari 2014, Elf Aquitaine/kommissionen ( T‑40/10, EU:T:2014:61, punkterna 350–357 och där angiven rättspraxis).

30 Dessa synpunkter framfördes i hans förslag till avgörande i ett konkurrensrättsligt mål, Sumal ( C‑882/19, EU:C:2021:293, punkterna 23–25).

31 Se, exempelvis, rättspraxis från tiden före brexit från brittiska Competition Appeal Tribunal (Konkurrensdomstolen, Förenade kungariket) i målet Sainsbury’s Supermarkets/Mastercard Inc. [2016] CAT 11, punkt 363.20–363.22).

32 Ibidem, punkt 363.23.

33 Det framgår av handlingarna i målet vid EU-domstolen att så var fallet här eftersom allmänne åklagaren inte väckte åtal mot moderbolaget, eftersom det saknades grund för detta och dotterbolaget (Ilva) driver en självständig detaljhandelsverksamhet och … det således inte är fråga om att moderbolaget har inrättat ett dotterbolag i det enda syftet att tillskriva det koncernens databehandling. Se punkterna 5 och 21 i beslutet om hänskjutande.

34 Dom av den 5 september 2019, Europeiska unionen/Guardian Europe och Guardian Europe/Europeiska unionen ( C‑447/17 P och C‑479/17 P, EU:C:2019:672, punkterna 105 och 106, där domstolen slog fast att begreppet företag i den mening som avses i doktrinen om ekonomisk enhet används särskilt för att genomföra de tillämpliga bestämmelserna i unionens konkurrensrätt och i synnerhet för att utpeka den som gjort sig skyldig till en överträdelse av artiklarna 101 och 102 FEUF. Detta begrepp är däremot inte tillämpligt inom ramen för en skadeståndstalan som grundar sig på artikel 340 andra stycket FEUF. En sådan talan är en talan enligt allmän rätt, som regleras av allmänna förfaranderegler, vilka i förevarande fall är bolagsrättsliga regler, som är oberoende av ansvarets logik vad gäller reglerna i unionens konkurrensrätt.

35 Dom av den 17 juni 2010, Lafarge/kommissionen ( C‑413/08 P, EU:C:2010:346, punkt 102 och där angiven rättspraxis). Se även fotnot 29 i detta förslag till avgörande.

36 Det vill säga att sträva efter att skapa balans mellan sanktionsavgiften och den särskilda situationen för den som har gjort sig skyldig till överträdelsen.

37 EDPB är ett oberoende EU-organ som är en juridisk person och har till syfte är att säkerställa en konsekvent tillämpning av dataskyddsförordningen och att främja samarbetet mellan unionens dataskyddsmyndigheter.

38 Riktlinjer 04/2022 om beräkning av administrativa sanktionsavgifter enligt den allmänna dataskyddsförordningen, version 2.1, antagna den 24 maj 2023, punkt 48.

39 I begäran om förhandsavgörande i förevarande mål (sidan 3) påpekas följande: Det följer av åtalsprincipen i [nationell rätt] att domstolen inte kan döma för något brott som inte ingår i åtalet. Det skulle strida mot den princip som fastställs i denna bestämmelse att vid straffskärpning fästa vikt vid omständigheter som hänför sig till ett annat rättssubjekt som inte har lagförts.

40 Medan det i de nationella riktlinjerna för böter anges att om den personuppgiftsansvarige är ett dotterbolag i en koncern bör det undersökas huruvida straffrättsligt ansvar kan göras gällande även mot moderbolaget. Se Bødevejledning – Udmåling af bøder til virksomheder (Riktlinjer för böter – Beräkning av böter för företag), januari 2021, s. 3.

41 I det mål som gav upphov till målet Deutsche Wohnen var överträdelserna faktiskt hänförliga till hela den koncern som bolaget i fråga ingick i. Se de faktiska skillnaderna mellan dessa båda mål, särskilt också mot bakgrund av punkterna 10–12 i domen Deutsche Wohnen.

42 Jag vill erinra om att det i denna bestämmelse föreskrivs att [om] det i medlemsstatens rättssystem inte finns några föreskrifter om administrativa sanktionsavgifter får den här artikeln tillämpas så att förfarandet inleds av den behöriga tillsynsmyndigheten och sanktionsavgifterna sedan utdöms av behörig nationell domstol, varvid det säkerställs att rättsmedlen är effektiva och har motsvarande verkan som de administrativa sanktionsavgifter som påförs av tillsynsmyndigheter. De sanktionsavgifter som påförs ska i alla händelser vara effektiva, proportionella och avskräckande.

43 På grund av den omständigheten att denna bestämmelse inte hade betydelse för utgången i det målet.

44 Det framgår att de administrativa sanktionsavgifter som tillsynsmyndigheten påför i Irland måste fastställas av en domstol. Se Data Protection Act 2018 (2018 års dataskyddslag), sections 141–143. Det framgår vidare mot bakgrund av ett beslut som meddelats av Vrhovno sodišče (Högsta domstolen, Slovenien) den 16 mars 2021 att Slovenien inte heller tillåter administrativa sanktionsavgifter.

45 Se, för ett liknande resonemang, dom av den 4 oktober 2018, Link Logistik N&N ( C‑384/17, EU:C:2018:810, punkt 40 och där angiven rättspraxis) (nedan kallad domen Link Logistik).

46 Ibidem, punkt 42 och där angiven rättspraxis.

47 EUT C 303, 2007, s. 17.

48 Se även domen Link Logistik, punkt 43.

49 Domen Link Logistik, punkt 45.

50 Se, för ett liknande resonemang, dom av den 10 november 2022, Zenith Media Communications ( C‑385/21, EU:C:2022:866, punkt 41).

51 Se, exempelvis, Europadomstolen, 4 december 2003, M.C. mot Bulgarien, CE:ECHR:2003:1204JUD003927298.

52 Se, exempelvis, Europadomstolen, 16 december 1999, T. mot Förenade kungariket, CE:ECHR:1999:1216JUD002472494, § 97, i vilket hänvisas till Europadomstolens dom av den 23 september 1998, A. mot Förenade kungariket, CE:ECHR:1998:0923JUD002559994, § 22, och Europadomstolen, 28 oktober 1998, Osman mot Förenade kungariket, CE:ECHR:1998:1028JUD002345294, § 115.

53 Se, exempelvis, Europadomstolen, 27 oktober 2015, Konstantin Stefanov mot Bulgarien, CE:ECHR:2015:1027JUD003539905, § 55.

54 Ibidem, §§ 54, 55, 66, 67, 69 och 70. Se även Europadomstolen, 5 juli 2001, Phillips mot Förenade kungariket, CE:ECHR:2001:0705JUD004108798, § 35, och Europadomstolen, 24 juni 2021, Imeri mot Kroatien, CE:ECHR:2021:0624JUD007766814, § 71.