1. Czy pojęcie „przedsiębiorstwa”, które zostało użyte w art. 83 ust. 4–6 ogólnego rozporządzenia o ochronie danych, należy traktować jako odnoszące się do przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE w związku z motywem 150 tego rozporządzenia oraz orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej dotyczącego prawa konkurencji Unii, tak że pojęcie „przedsiębiorstwa” obejmuje każdy podmiot prowadzący działalność gospodarczą, niezależnie od jego statusu prawnego i sposobu jego finansowania?

2. Na wypadek udzielenia odpowiedzi twierdzącej na pytanie pierwsze – czy art. 83 ust. 4–6 ogólnego rozporządzenia o ochronie danych należy interpretować w ten sposób, że przy nakładaniu grzywny na przedsiębiorstwo pod uwagę należy brać całkowity roczny światowy obrót jednostki gospodarczej, do której należy to przedsiębiorstwo, czy też jedynie całkowity roczny światowy obrót samego tego przedsiębiorstwa? […]

Rzecznik TSUE wskazał, że:

O „obrocie” mowa wprost w art. 83 ust. 4–6 RODO w kontekście obliczania maksymalnej kwoty kary pieniężnej, którą można by nałożyć na spółki. Maksymalna kwota dotyczy bardzo dużych spółek, ponieważ limit ten nie ma zastosowania, gdy kara pieniężna jest niższa niż kwota bezwzględna podana w trzech wymienionych ustępach art. 83, a mianowicie 10 mln EUR lub 20 mln EUR. Pułap uzależniony od obrotu ma zatem znaczenie wyłącznie w przypadku spółek o całkowitym obrocie światowym przekraczającym 500 mln EUR(18).

Wynika z tego, że gdyby sąd odsyłający miał uznać, że spółka dominująca Lars Larsen Group wywiera decydujący wpływ na spółkę ILVA, wówczas w ujęciu abstrakcyjnym maksymalną kwotę grzywny, jaką można nałożyć w postępowaniu głównym, należy obliczyć na podstawie procenta całkowitego rocznego światowego obrotu w poprzednim roku obrotowym danego przedsiębiorstwa, a więc Lars Larsen Group (do której należy spółka ILVA).

Inaczej niż w przypadku art. 83 ust. 4–6 RODO (zob. pkt 34 niniejszej opinii), art. 83 ust. 2, art. 83 ust. 1 czy art. 83 ust. 3(22) tego rozporządzenia nie zawierają żadnego odniesienia do obrotu przedsiębiorstwa. Wynika z tego, że ustawodawca Unii podjął decyzję, aby nie czynić „obrotu” konkretnym czynnikiem branym pod uwagę przy ustalaniu faktycznej kary pieniężnej. Zamiast tego w art. 83 ust. 2 wymieniono inne czynniki(23) charakteryzujące zachowanie administratora lub podmiotu przetwarzającego, któremu zarzucono naruszenie, aby zapewnić, że każde naruszenie jest oceniane na podstawie wszystkich istotnych indywidualnych okoliczności. W mojej ocenie z powyższego można wywodzić, że prawodawca Unii dążył do dokonania rozróżnienia między czynnikami, które stanowią podstawę przy ustalaniu maksymalnej kwoty kary pieniężnej (krok 1), a wykazem wymogów wiążących organ nadzorczy przy ustalaniu faktycznej kary pieniężnej (krok 2).

TSUE przychylił się do opinii Rzecznika i wskazał, że:

Oprócz spełnienia tych trzech warunków art. 83 ust. 2 wymaga, aby właściwy organ nadzorczy, który zdecyduje, czy należy nałożyć administracyjną karę pieniężną i ustala jej kwotę, w każdym przypadku należycie uwzględnił szereg czynników.

27 Zgodnie z tym ostatnim przepisem elementy te obejmują w szczególności charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, których dane dotyczą, rozmiar poniesionej przez nie szkody, umyślny lub nieumyślny charakter naruszenia, działania podjęte przez administratora danych osobowych lub podmiot przetwarzający te dane w celu złagodzenia poniesionej szkody, stopień odpowiedzialności tego administratora lub tego podmiotu przetwarzającego oraz kategorie danych osobowych, których dotyczyło naruszenie.

28 Wspomniane elementy charakteryzują albo zachowanie wspomnianego administratora lub wspomnianego podmiotu przetwarzającego, oskarżonego o naruszenie niektórych przepisów RODO, albo same te naruszenia. Służą one zatem zapewnieniu, że każde z tych naruszeń będzie oceniane na podstawie wszystkich istotnych okoliczności indywidualnych oraz że zostaną osiągnięte cele systemu kar przewidzianego w RODO.

29 Chociaż elementy te nie odnoszą się do pojęcia przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE, to Trybunał orzekł już, że jedynie kara pieniężna, która uwzględnia nie tylko ogół elementów charakteryzujących w ten sposób stwierdzone naruszenia RODO, lecz również, w stosownych przypadkach, rzeczywistą lub materialną zdolność ekonomiczną jej adresata, może spełniać trzy warunki określone w art. 83 ust. 1 RODO, a mianowicie być zarazem skuteczna, proporcjonalna i odstraszająca. Przy ocenie tych warunków należy zaś wziąć pod uwagę, czy adresat ten stanowi część przedsiębiorstwa w rozumieniu art. 101 i 102 TFUE (zob. podobnie wyrok z dnia 5 grudnia 2023 r., Deutsche Wohnen, C‑807/21, EU:C:2023:950, pkt 58).

artykuł 83 ust. 4–6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), w świetle motywu 150 tego rozporządzenia, należy interpretować w ten sposób, że termin „przedsiębiorstwo” zawarty w tych przepisach odpowiada pojęciu „przedsiębiorstwa” w rozumieniu art. 101 i 102 TFUE, w związku z czym w przypadku nałożenia kary pieniężnej za naruszenie rozporządzenia 2016/679 na administratora danych osobowych, który jest przedsiębiorstwem lub jego częścią, maksymalna kwota kary pieniężnej zostaje określona na podstawie odsetka całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego tego przedsiębiorstwa. Pojęcie „przedsiębiorstwa” należy również uwzględnić w celu dokonania oceny rzeczywistych lub materialnych możliwości ekonomicznych adresata kary pieniężnej i sprawdzenia w ten sposób, czy kara pieniężna jest zarazem skuteczna, proporcjonalna i odstraszająca.