13 lutego br. zapadł wyrok Trybunału Sprawiedliwości Unii Europejskiej (TSUE) w ciekawej sprawie zainicjowanej zapytaniem prejudycjalnym duńskiego sądu apelacyjnego (sprawa C-383/23). Trybunał wskazał w swoim orzeczeniu, że pojęcie przedsiębiorstwa w RODO należy definiować w taki sam sposób jak ma to miejsce w prawie ochrony konkurencji. Konsekwencje wyroku TSUE mogą być więc znaczne – za jedno przedsiębiorstwo mogą zostać uznane podmioty, które z punktu widzenia struktury prawnej są odrębne. To z kolei może przełożyć się na wysokość ewentualnej kary, czy też bardziej precyzyjnie, na jej zwiększenie.
Problem z wyliczeniem obrotu przedsiębiorstwa
Postępowanie TSUE zostało zapoczątkowane sporem sądowym, który toczył się przed sądem duńskim. Spór dotyczył kary nałożonej na zajmującą się handlem meblami spółkę ILVA za naruszenie obowiązków związanych z przechowywaniem danych byłych klientów. Obrót spółki został wyliczony na około 241 milionów euro za poprzedni rok obrotowy. Obrót grupy Lars Larsen Group, do której należy spółka ILVA wynosić miał natomiast aż 881 milionów euro. Sąd rozpatrujący tę sprawę miał wątpliwości, która z tych kwot powinna zostać przyjęta jako podstawa do wyliczenia kary finansowej, nałożonej na podstawie RODO. Sąd zwrócił się więc do TSUE z pytaniami prejudycjalnymi w tym zakresie.
Jak rozumieć pojęcie przedsiębiorstwa?
Sąd odsyłający sformułował swoje pytania w dość ciekawy sposób. Zapytał on bowiem TSUE, czy termin ,,przedsiębiorstwo” zawarty RODO (art. 83 ust. 4-6) odpowiada swoim znaczeniem terminowi ,,przedsiębiorstwo” z art. 101 i 102 Traktatu o funkcjonowaniu Unii Europejskiej (przepisy dotyczące ochrony konkurencji). Odpowiedź na to pytanie może mieć doniosłe konsekwencje. W prawie konkurencji przyjmuje się, że o tym czy coś jest jednym przedsiębiorstwem przesądzają przede wszystkim względy faktyczne. Nie ma znaczenia struktura prawna i istniejąca formalnie odrębność podmiotów, jeśli tworzą one jedną całość gospodarczą. Z punktu widzenia prawa konkurencji spółka-matka i całkowicie podległa jej i realizująca zadania na jej rzecz, spółka-córka tworzą jedno przedsiębiorstwo.
Wdrożenie IS0 27001
Szeroka definicja przedsiębiorstwa w RODO
Konsekwencją przyjęcia przez TSUE tożsamej definicji pojęcia przedsiębiorstwa w RODO i prawie ochrony konkurencji może być zwiększenie wysokości kar nakładanych przez organy nadzorcze w UE. Podstawą obliczania kar dla podmiotów komercyjnych bardzo często jest obrót przedsiębiorstwa. Po pierwsze dlatego, że maksymalna wysokość kary w RODO jest określona jako procent od obrotu, po drugie dlatego, że to rozsądny wskaźnik pozwalający wymierzyć dotkliwość kary. W sytuacji, w której jako ,,przedsiębiorstwo” interpretujemy nie pojedynczą spółkę – administratora, a grupę spółek lub spółkę wraz z jej spółką-matką, brany pod uwagę obrót dramatycznie rośnie, co ostatecznie może przełożyć się na znaczny wzrost wysokości kary.
Pozorna rewolucja?
Warto zwrócić uwagę, że nie jest to pierwszy wyrok TSUE, w którym trybunał porusza kwestię zastosowania funkcjonalnej definicji przedsiębiorstwa w aspekcie nakładania kar na podstawie przepisów RODO. Kwestia ta została oceniona przez TSUE w podobny sposób np. w wielokrotnie przytaczanej w wyroku sprawie Deutsche Wohnen (C-807/21). Warto również zauważyć, że zadane przez sąd odsyłający pytanie odwołuje się do treści art. 83 ust 4-6 RODO, gdzie obrót traktowany jest jako podstawa określenia maksymalnej możliwej wysokości kary, nie zaś kary samej w sobie. Dodatkowo, organ nadzorczy nakładając karę finansową bierze pod uwagę również szereg innych okoliczności. Praktyka orzecznicza organów nadzorczy pokaże jednak, czy wyrok TSUE w tej sprawie wpłynie na wysokość kar nakładanych przez regulatorów.
Wyrok w sprawie C-383/23:
