Nałożona na spółkę kara za naruszenie RODO powinna być naliczana od obrotu całej grupy, do której należy spółka

Trybunał Sprawiedliwości UE wydał 5 grudnia dwa wyroki (w sprawach C-683/21 Nacionalinis visuomenės sveikatos centras oraz C-807/21 Deutsche Wohnen), w których orzekł, że tylko zawinione naruszenie RODO przez administratora danych może prowadzić do nałożenia na niego kary pieniężnej. A jeśli należy od do grupy spółek, wysokość kary powinna zostać ustalona w oparciu o wysokość rocznego obrotu całej grupy.

Litewskie ministerstwo zdrowia otrzymało karę 12 tys. euro za niedozwolone rejestrowanie i monitorowanie danych osób narażonych do koronawirusa. W drugiej ze spraw niemiecka spółka nieruchomościowa została obarczona karą aż 14 mln euro za przechowywanie danych osobowych najemców dłużej niż było to konieczne. W tych sprawach TSUE stwierdził, że kary nie mogłyby zostać nałożone tylko wówczas, gdyby administratorowi danych nie można było przypisać winy umyślnej lub nieumyślnej w naruszeniu wymogów ich ochrony. Taką winę ponosi wówczas, gdy zostanie stwierdzone, że administrator nie mógł nie wiedzieć, że dopuszcza się naruszenia RODO, bez względu na to, czy miał świadomość popełnienie naruszenia.

Na potrzeby przypisania winy naruszenia nie musi dopuścić się organ zarządzający. Osoby prawne ponoszą bowiem odpowiedzialność za naruszenia popełnione przez swoich przedstawicieli, dyrektorów, oraz przez każdą inną osobę działającą na rachunek tego podmiotu. Do przypisania winy nie jest nawet konieczne ustalenie, że naruszenie zostało popełnione przez zidentyfikowaną osobę fizyczną. Administrator odpowiada też za działania podmiotu przetwarzającego, jeśli działania te można przypisać temu administratorowi.

Odnosząc się do wymiaru kary w przypadku podmiotu będącego jedynie częścią większego przedsiębiorstwa, np. spółki z większej grupy kapitałowej, TSUE orzekł, że maksymalną kwotę kary należy obliczać na podstawie całkowitego rocznego światowego obrotu danego przedsiębiorstwa jako całości, z poprzedniego roku obrotowego.

TSUE, Komunikat prasowy nr 184/23 z 5 grudnia 2023 r., https://curia.europa.eu