Hof van Justitie EU 5 december 2023, C-683/21 en C-807/21

Het Hof van Justitie verduidelijkt de voorwaarden waaronder de nationale toezichthouder een administratieve geldboete kan opleggen aan een of meer verwerkingsverantwoordelijken wegens schending van de algemene verordening gegevensbescherming (AVG). Het oordeelt met name dat een dergelijke geldboete alleen kan worden opgelegd wanneer er sprake is van verwijtbaar gedrag, dat wil zeggen dat de inbreuk opzettelijk of uit nalatigheid is begaan. Verder moet, wanneer de beboete persoon deel uitmaakt van een groep ondernemingen, de geldboete worden berekend op basis van de omzet van de hele groep.

De Litouwse en de Duitse rechterlijke instanties hebben het Hof van Justitie verzocht om de algemene verordening gegevensbescherming (AVG)1 uit te leggen in het licht van de vraag of de nationale toezichthoudende autoriteiten inbreuken op deze verordening kunnen bestraffen door de verwerkingsverantwoordelijke een administratieve geldboete op te leggen.

In het Litouwse geval betwist het nationaal centrum voor volksgezondheid van het ministerie van Volksgezondheid een geldboete van 12 000 EUR, die het heeft gekregen in het kader van de ontwikkeling – met de hulp van een particuliere onderneming – van een mobiele applicatie voor de registratie en de monitoring van de gegevens van personen die zijn blootgesteld aan COVID-19.

In het Duitse geval betwist de vastgoedonderneming Deutsche Wohnen, die indirect ongeveer 163 000 wooneenheden en 3 000 commerciële eenheden bezit, onder meer een geldboete van meer dan 14 miljoen EUR die haar is opgelegd omdat zij de persoonsgegevens van meerdere huurders langer dan noodzakelijk had bewaard.

Het Hof is van oordeel dat aan een verwerkingsverantwoordelijke slechts een administratieve geldboete kan worden opgelegd wegens een inbreuk op de AVG indien deze inbreuk op verwijtbare wijze, dat wil zeggen opzettelijk of uit nalatigheid, is begaan. Dit is dus het geval wanneer de verwerkingsverantwoordelijke niet onkundig kon zijn van het inbreukmakende karakter van zijn gedrag, ongeacht of hij zich bewust was van de inbreuk.

Daarvoor is het, wanneer de verwerkingsverantwoordelijke een rechtspersoon is, niet noodzakelijk dat de inbreuk door zijn bestuursorgaan is gepleegd of dat dit orgaan op de hoogte was van de inbreuk. Integendeel, een rechtspersoon is zowel aansprakelijk voor inbreuken begaan door zijn vertegenwoordigers, directeuren of beheerders als voor inbreuken begaan door andere personen die handelen in de uitoefening van zijn bedrijf en namens hem. Bovendien kan het opleggen van een administratieve geldboete aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke niet afhankelijk worden gesteld van de voorafgaande vaststelling dat de inbreuk is gepleegd door een geïdentificeerde natuurlijke persoon.

Bovendien kan aan een verwerkingsverantwoordelijke ook een geldboete worden opgelegd voor de handelingen van een verwerker, voor zover deze handelingen aan de verwerkingsverantwoordelijke kunnen worden toegerekend. Wat de gezamenlijke verantwoordelijkheid van twee of meer entiteiten betreft, oordeelt het Hof dat deze voortvloeit uit het enkele feit dat deze entiteiten hebben deelgenomen aan de vaststelling van het doel van en de middelen voor de verwerking. Om de betrokken entiteiten als „gezamenlijke verwerkingsverantwoordelijken” te kunnen kwalificeren, is het niet nodig dat er tussen hen een formele regeling bestaat. Een gezamenlijk besluit – of zelfs convergerende besluiten – volstaat. Wanneer het inderdaad gezamenlijke verantwoordelijken betreft, moeten zij echter bij overeenkomst hun respectieve verplichtingen vaststellen. Ten slotte moet de toezichthoudende autoriteit zich bij de berekening van de geldboete, wanneer de ontvanger een onderneming is of deel uitmaakt van een onderneming, baseren op het mededingingsrechtelijke begrip „onderneming”2 . Het maximumbedrag van de geldboete moet dus worden berekend op basis van een percentage van de totale wereldwijde jaaromzet van de betrokken onderneming in het vorige boekjaar.

Lees hier de volledige uitspraken: