Curtea de Justiție a Uniunii Europene precizează în două hotărâri care sunt condițiile în care autoritățile naționale de supraveghere pot aplica o amendă administrativă unuia sau mai multor operatori pentru încălcarea Regulamentului general privind protecția datelor (GDPR).
În special, CJUE consideră că impunerea unei astfel de amenzi presupune un comportament culpabil, cu alte cuvinte ca încălcarea să fie comisă cu intenție sau din neglijență.
În hotărârile pronunțate, Curtea a stabilit următoarele:
- unui operator de date i se poate aplica o amendă administrativă pentru încălcarea RGDPR numai dacă această încălcare a fost săvârșită în mod culpabil, cu alte cuvinte în mod intenționat sau din neglijență; aceasta este situația atunci când operatorul nu putea să nu cunoască natura ilicită a comportamentului său, indiferent dacă era sau nu conștient de încălcare;
- în cazul în care operatorul este o persoană juridică, nu este necesar ca încălcarea să fi fost comisă de organul său de administrare sau ca respectivul organ să fi avut cunoștință de aceasta; dimpotrivă, o persoană juridică răspunde atât pentru încălcările săvârșite de reprezentanții, directorii sau administratorii săi, cât și pentru cele săvârșite de orice altă persoană care acționează în cadrul activității sale comerciale și pe seama sa;
- aplicarea unei amenzi administrative unei persoane juridice în calitate de operator nu poate fi supusă constatării prealabile că această încălcare a fost comisă de o persoană fizică identificată;
- unui operator i se poate aplica o amendă și pentru operațiunile efectuate de o persoană împuternicită de operator, în măsura în care aceste operațiuni pot fi imputate operatorului;
- în ceea ce privește responsabilitatea comună a două sau mai multor entități în calitate de „operatori asociați”, Curtea precizează că aceasta decurge din simplul fapt că entitățile respective au participat la stabilirea scopurilor și a mijloacelor prelucrării; calificarea drept „operatori asociați” nu presupune existența unui acord formal între entitățile în cauză; o decizie comună sau chiar decizii convergente sunt suficiente; cu toate acestea, din moment ce este vorba efectiv despre operatori asociați, aceștia trebuie să stabilească, prin acord, obligațiile care le revin;
- în cazul în care destinatarul amenzii face parte dintr-un grup de societăți, calculul amenzii trebuie să se bazeze pe cifra de afaceri a întregului grup.
(Comunicat de presă din 05 decembrie, referitor la Hotărârile Curții în cauzele C-683/21 | Nacionalinis visuomenės sveikatos centras și C-807/21 | Deutsche Wohnen)
foto:toa-heftiba/unsplash.com
