C-807/21 Deutsche Wohnen

Prejudiciële hofzaak

Zie bijlage voor de verwijzingsuitspraak, en klik hier voor het dossier van het Hof van Justitie (voor zover beschikbaar).

Termijnen: Motivering departement:    15 februari 2022
Schriftelijke opmerkingen:                    1 april 2022

Trefwoorden : gegevensbescherming, ondernemingen, boeteprocedure

Onderwerp :

-           Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG

-           Verordening (EG) nr. 1/2003 van de Raad van 16 december 2002 betreffende de uitvoering van de mededingingsregels van de artikelen 81 en 82 van het Verdrag

-           Verordening (EG) nr. 2532/98 van de Raad van 23 november 1998 met betrekking tot de bevoegdheid van de ECB om sancties op te leggen

-           Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

Feiten:

De betrokken onderneming is een beursgenoteerde vastgoedonderneming met zetel in Berlijn. Zij bezit indirect via deelnemingen ongeveer 163 000 woningen en 3 000 commerciële eenheden. De eigenaars van die eenheden zijn vennootschapsrechtelijk met de betrokken onderneming verbonden dochterondernemingen, de zogenoemde houdstermaatschappijen, die verantwoordelijk zijn voor de dagelijkse bedrijfsvoering. In het kader van hun bedrijfsactiviteiten verwerken de betrokken onderneming en de overige maatschappijen van de groep ook persoonsgegevens van huurders van de woon- en commerciële eenheden, bijvoorbeeld in het kader van de nieuwe verhuur van een pand of het lopende beheer van een bestaande huurverhouding. Op 23-06-2017 heeft de dienst gegevensbescherming de betrokken onderneming er in het kader van een inspectie ter plaatse op gewezen dat maatschappijen van de groep persoonsgegevens van huurders opslaan in een elektronisch archiveringssysteem dat geen mogelijkheid biedt om na te gaan of de opslag noodzakelijk is en dat niet waarborgt dat niet langer noodzakelijke gegevens worden verwijderd. In de op 30-10-2020 vastgestelde boetebeschikking wordt de betrokken onderneming verweten tussen 25-5-2018 en 05-03-2019 opzettelijk te hebben nagelaten de nodige maatregelen te nemen om ervoor te zorgen dat gegevens van huurders die niet langer noodzakelijk zijn of die anderszins ten onrechte zijn opgeslagen, op regelmatige basis kunnen worden verwijderd. Voorts wordt de betrokken onderneming verweten de persoonsgegevens van ten minste 15 met name genoemde huurders te zijn blijven bewaren, hoewel bekend was dat dit niet (meer) noodzakelijk was.

Overweging:

Voor het geding is van doorslaggevend belang of een boeteprocedure rechtstreeks tegen een onderneming kan worden gevoerd dan wel of een geldboete volgens § 30, lid 1, van de Duitse wet inzake bestuursrechtelijke overtredingen (OWiG) slechts aan een bij de procedure rechtstreeks of secundair betrokken onderneming kan worden opgelegd indien een natuurlijke persoon als zogenoemde vertegenwoordiger de in de boetebeschikking concreet te omschrijven overtreding heeft begaan. Volgens de heersende mening in de rechtsleer volgt uit de voorrang van het Unierecht dat artikel 83 van de algemene verordening gegevensbescherming normatieve richtsnoeren opstelt voor het bestraffen van ondernemingen. De bewoordingen van artikel 83, leden 4, 5 en 6, van de algemene verordening gegevensbescherming pleiten ervoor dat de sanctieregels van het Europese kartelrecht in de plaats komen van § 30 OWiG. Volgens de tegenovergestelde opvatting in de rechtsleer is de zienswijze dat artikel 83 van de algemene verordening gegevensbescherming moet worden beschouwd als een naar de sanctieregels van het Europese kartelrecht verwijzende normering van de rechtstreekse ondernemingsaansprakelijkheid echter in strijd met nationaal recht en met supranationaal erkende rechtsbeginselen. Volgens die visie staat artikel 83 van de algemene verordening gegevensbescherming niet in verbinding met de sanctieregels van het Europese kartelrecht.  Het Europese sanctierecht is zo fragmentarisch dat daaruit geen samenhangend en algemeen te eerbiedigen model voor een collectieve boete kan worden afgeleid. Mocht de eerste vraag bevestigend worden beantwoord, is voor de verdere procedure van centraal belang te achterhalen aan de hand van welke maatstaven de „ondernemingsschuld” moet worden bepaald.

Prejudiciële vragen:

1. Dient artikel 83, leden 4 tot en met 6, van de algemene verordening gegevensbescherming aldus te worden uitgelegd dat hierdoor het uit de artikelen 101 en 102 VWEU afgeleide functionele ondernemingsbegrip en het beginsel van de functionele entiteit worden opgenomen in het nationale recht met als gevolg dat bij uitbreiding van het beginsel van de juridische entiteit dat ten grondslag ligt aan § 30 van het Gesetz über Ordnungswidrigkeiten (Duitse wet inzake bestuursrechtelijke overtredingen; OWiG) een procedure tot oplegging van een geldboete rechtstreeks tegen een onderneming kan worden gevoerd en dat voor de oplegging van de boete niet vereist is dat wordt vastgesteld dat een geïdentificeerde natuurlijke persoon een bestuursrechtelijke overtreding heeft begaan waarbij in voorkomend geval is voldaan aan alle subjectieve en objectieve bestanddelen van een dergelijke overtreding?

2. Indien de eerste vraag bevestigend wordt beantwoord: Dient artikel 83, leden 4 tot en met 6, van de algemene verordening gegevensbescherming aldus te worden uitgelegd dat de onderneming schuld moet dragen voor een door een personeelslid begane inbreuk [zie artikel 23 van verordening (EG) nr. 1/2003 van de Raad van 16 december 2002 betreffende de uitvoering van de mededingingsregels van de artikelen 81 en 82 van het Verdrag], of volstaat het in beginsel reeds dat de onderneming verplichtingen objectief niet is nagekomen („strict liability”) om haar een boete op te leggen?

Aangehaalde (recente) jurisprudentie: Fashion ID (C-40/17), Asociación Nacional de Establecimientos Financieros de Crédito (C-468/10 en C-469/10)

Specifiek beleidsterrein: JenV, EZK