Súdny dvor Európskej únie (SD EÚ) vydal dňa 5. decembra 2023 rozhodnutie vo veci C-683/21 Nacionalinis visuomenės sveikatos centras a rozhodnutie vo veci C-807/21 Deutsche Wohnen, v ktorých sa venoval najmä podmienkam ukladania správnych pokút dozorným orgánom podľa všeobecného nariadenia o ochrane údajov.

SD EÚ uviedol, okrem iného, nasledovné:

K pojmu spracúvanie osobných údajov

• „Spracúvanie“ predstavuje používanie osobných údajov na IT testovanie mobilnej aplikácie, pokiaľ takéto údaje neboli anonymizované takým spôsobom, že osoba dotknutá týmito údajmi nie je alebo už nie je identifikovateľná, alebo ak nejde o fiktívne údaje, ktoré sa netýkajú existujúcej fyzickej osoby.

K pojmu prevádzkovateľ a spoloční prevádzkovatelia

• Za prevádzkovateľa možno považovať subjekt, ktorý poveril podnik vývojom mobilnej IT aplikácie a ktorý sa v tejto súvislosti podieľal na určení účelov a prostriedkov spracúvania osobných údajov vykonávaného prostredníctvom tejto aplikácie, aj keď tento subjekt sám neuskutočnil spracovateľské operácie takýchto údajov, výslovne neudelil svoj súhlas s uskutočnením konkrétnych operácií takéhoto spracúvania alebo so sprístupnením uvedenej mobilnej aplikácie verejnosti a túto mobilnú aplikáciu neobstaral, s výnimkou toho, že by pred týmto sprístupnením verejnosti uvedený subjekt výslovne nesúhlasil s týmto sprístupnením a z toho vyplývajúceho spracúvania osobných údajov.

• Aby sa fyzická alebo právnická osoba mohla považovať za spoločného prevádzkovateľa, musí samostatne spĺňať definíciu „prevádzkovateľa“ uvedenú v článku 4 bode 7 nariadenia. Účasť na určení účelov a prostriedkov spracúvania môže mať rôzne formy, pričom táto účasť môže vyplývať tak zo spoločného rozhodnutia prijatého dvoma alebo viacerými subjektmi, ako aj zo zbiehajúcich sa rozhodnutí takých subjektov. V tomto poslednom uvedenom prípade sa však uvedené rozhodnutia musia dopĺňať tak, aby každé z nich malo konkrétny účinok na určenie účelov a prostriedkov spracúvania. Kvalifikácia za „spoločných prevádzkovateľov“ nepredpokladá existenciu formálnej dohody medzi predmetnými subjektmi. Keď však skutočne ide o spoločných prevádzkovateľov, musia si prostredníctvom dohody stanoviť svoje povinnosti (podľa čl. 26 ods. 1 nariadenia).

K uloženiu správnej pokuty dozorným orgánom

• Dozorný orgán môže prevádzkovateľovi uložiť pokutu podľa čl. 83 nariadenia, len ak k tomuto porušeniu došlo zavinene – buď úmyselne, alebo z nedbanlivosti. Dozorný orgán teda nemôže prevádzkovateľovi uložiť pokutu v prípade neexistencie zavinenia. Prevádzkovateľ môže byť sankcionovaný za správanie patriace do pôsobnosti nariadenia, pokiaľ tento prevádzkovateľ nemohol nevedieť o protiprávnej povahe svojho správania, či už by si uvedomoval porušenie ustanovení nariadenia, alebo nie.
• Ak je prevádzkovateľom právnická osoba, je zodpovedná za porušenia, ktorých sa dopustili jej zástupcovia, riadiaci zamestnanci alebo manažéri, ako aj za porušenia, ktorých sa dopustila akákoľvek iná osoba konajúca v rámci jej obchodných činnosti a v jej mene. Okrem toho uloženie správnej pokuty právnickej osobe ako prevádzkovateľovi údajov nemožno podmieniť predchádzajúcim zistením, že porušenia sa dopustila identifikovaná fyzická osoba. Nie je nevyhnutné, aby sa porušenia dopustil riadiaci orgán prevádzkovateľa alebo aby o ňom tento orgán vedel.
• Prevádzkovateľovi môže byť uložená pokuta aj za spracovateľské operácie, ktoré v jeho mene vykonal sprostredkovateľ. Zodpovednosť prevádzkovateľa za správanie sprostredkovateľa sa však nemôže rozšíriť na situácie, v ktorých sprostredkovateľ spracúval osobné údaje na svoje vlastné účely alebo v ktorých sprostredkovateľ spracúval tieto údaje spôsobom nezlučiteľným s rámcom alebo spôsobmi spracúvania, ako boli určené prevádzkovateľom, alebo takým spôsobom, o ktorom sa nemožno rozumne domnievať, že by s ním tento prevádzkovateľ súhlasil.
• Pokiaľ ide o výpočet pokuty, v prípade, ak je adresátom pokuty podnik alebo je súčasťou podniku, dozorný orgán musí vychádzať z pojmu „podnik“ (v anglickom jazyku undertaking) tak ako je upravené v práve hospodárskej súťaže. Ide teda o každý subjekt vykonávajúci hospodársku činnosť bez ohľadu na jeho právne postavenie a spôsob financovania. Označuje tak hospodársku jednotku, aj keď je táto hospodárska jednotka z právneho hľadiska zložená z viacerých fyzických alebo právnických osôb. Táto hospodárska jednotka pozostáva z jednotnej organizácie osobných, hmotných a nehmotných prvkov, ktoré dlhodobo sledujú konkrétny hospodársky cieľ. Maximálna výška správnej pokuty sa vypočíta na základe percentuálneho podielu celkového celosvetového ročného obratu dotknutého podniku za predchádzajúci účtovný rok.

Rozhodnutie C-683/21 je dostupné v predbežnom znení v slovenskom jazyku na tomto odkaze: 

https://curia.europa.eu/juris/document/document.jsf?text=&docid=280324&pageIndex=0&doclang=SK&mode=lst&dir=&occ=first&part=1&cid=603548

Rozhodnutie C-807/21 je dostupné v predbežnom znení v slovenskom jazyku na tomto odkaze: 

https://curia.europa.eu/juris/document/document.jsf?text=&docid=280325&pageIndex=0&doclang=SK&mode=lst&dir=&occ=first&part=1&cid=603682

Tlačová správa SD EÚ je dostupná v slovenskom jazyku na tomto odkaze https://curia.europa.eu/jcms/upload/docs/application/pdf/2023-12/cp230184sk.pdf