Arrest van het Hof (Grote kamer) van 5 december 2023

Unierecht

3 De overwegingen 9, 10, 11, 13, 74, 129 en 150 van de AVG luiden:

„(9) […] De lidstaten bieden op het vlak van verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het vrije verkeer van persoonsgegevens binnen de [Europese] Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van het Unierecht heeft, te vervullen. […]

(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. Met het oog op de verwerking van persoonsgegevens voor het vervullen van een wettelijke verplichting, voor het vervullen van een taak van algemeen belang of bij de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, moet de lidstaten worden toegestaan nationale bepalingen te handhaven of in te voeren ter nadere precisering van de wijze waarop de regels van deze verordening moeten worden toegepast. […] Deze verordening biedt de lidstaten ook ruimte om eigen regels voor de toepassing vast te stellen, onder meer wat de verwerking van bijzondere persoonsgegevenscategorieën […] betreft. In zoverre staat deze verordening niet in de weg aan lidstatelijk recht waarin specifieke situaties op het gebied van gegevensverwerking nader worden omschreven, meer bepaald door nauwkeuriger te bepalen in welke gevallen verwerking van persoonsgegevens rechtmatig geschiedt.

(11) Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist de versterking en nadere omschrijving van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen, alsmede gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming en vergelijkbare sancties voor overtredingen in de lidstaten.

[…]

(13) Teneinde natuurlijke personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen, is een verordening nodig om marktdeelnemers, met inbegrip van kleine, middelgrote en micro-ondernemingen, rechtszekerheid en transparantie te bieden, te voorzien in dezelfde wettelijk afdwingbare rechten voor natuurlijke personen in alle lidstaten en in verplichtingen en verantwoordelijkheden voor de verwerkingsverantwoordelijken en de verwerkers, te zorgen voor consistent toezicht op de verwerking van persoonsgegevens en voor vergelijkbare sancties in alle lidstaten, alsook voor doeltreffende samenwerking tussen de toezichthoudende autoriteiten van verschillende lidstaten. […]

[…]

(74) De verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaald dient de verwerkingsverantwoordelijke te worden verplicht passende en effectieve maatregelen uit te voeren en te kunnen aantonen dat elke verwerkingsactiviteit overeenkomstig deze verordening geschiedt, ook wat betreft de doeltreffendheid van de maatregelen. Bij die maatregelen moet rekening worden gehouden met de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen.

[…]

(129) Met het oog op een consequent toezicht en eenvormige handhaving van deze verordening in de gehele Unie dienen de toezichthoudende autoriteiten in alle lidstaten dezelfde taken en feitelijke bevoegdheden te hebben, waaronder de bevoegdheden om onderzoek te verrichten, corrigerende maatregelen te nemen en sancties op te leggen […]. Elke maatregel dient met name passend, noodzakelijk en evenredig te zijn met het oog op naleving van deze verordening en rekening houdend met de omstandigheden van elk individueel geval, het recht van iedere persoon te eerbiedigen om vóór het nemen van enige individuele maatregel die voor hem nadelige gevolgen zou hebben te worden gehoord, en overbodige kosten en buitensporige ongemakken voor de personen in kwestie te vermijden. Onderzoeksbevoegdheden betreffende toegang tot terreinen moeten overeenkomstig de specifieke voorschriften van het lidstatelijke procesrecht, zoals een verplichte voorafgaande toestemming van een rechterlijke instantie, worden uitgeoefend. Elke juridisch bindende maatregel van de toezichthoudende autoriteit dient schriftelijk, duidelijk en ondubbelzinnig te zijn, de toezichthoudende autoriteit die de maatregel heeft uitgevaardigd en de datum van uitvaardiging te vermelden, door het hoofd of een door het hoofd gemachtigd lid van de toezichthoudende autoriteit ondertekend te zijn, de redenen voor de maatregel te bevatten en naar het recht op een doeltreffende voorziening in rechte te verwijzen. Dit dient bijkomende voorschriften overeenkomstig het lidstatelijke procesrecht niet uit te sluiten. […]

[…]

(150) Teneinde de administratieve straffen tegen inbreuken op deze verordening te versterken en te harmoniseren dient iedere toezichthoudende autoriteit bevoegd te zijn om administratieve geldboeten op te leggen. In deze verordening dienen inbreuken te worden benoemd, evenals maxima en criteria voor de vaststelling van de daaraan verbonden administratieve geldboeten, die per afzonderlijk geval dienen te worden bepaald door de bevoegde toezichthoudende autoriteit, rekening houdend met alle relevante omstandigheden van de specifieke situatie, met inachtneming van met name de aard, de ernst en de duur van de inbreuk en van de gevolgen ervan en de maatregelen die zijn genomen om naleving van de verplichtingen uit hoofde van deze verordening te waarborgen en de gevolgen van de inbreuk te voorkomen of te beperken. Wanneer de administratieve geldboeten worden opgelegd aan een onderneming, moet een onderneming in die context worden gezien als een onderneming overeenkomstig de artikelen 101 en 102 van het VWEU. […]”

4 Artikel 4 AVG bepaalt:

„Voor de toepassing van deze verordening wordt verstaan onder:

[…]

1. ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

2. ‚verwerker’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat namens de verwerkingsverantwoordelijke persoonsgegevens verwerkt;

[…]

1. ‚onderneming’: een natuurlijke persoon of rechtspersoon die een economische activiteit uitoefent, ongeacht de rechtsvorm ervan, met inbegrip van maatschappen en persoonsvennootschappen of verenigingen die regelmatig een economische activiteit uitoefenen;

[…]”

5 Artikel 58 van deze verordening, met als opschrift „Bevoegdheden”, bepaalt in de leden 2 en 4:

„2.

Elke toezichthoudende autoriteit heeft alle volgende bevoegdheden tot het nemen van corrigerende maatregelen:

1. de verwerkingsverantwoordelijke of de verwerker waarschuwen dat met de voorgenomen verwerkingen waarschijnlijk inbreuk op bepalingen van deze verordening wordt gemaakt;

2. de verwerkingsverantwoordelijke of de verwerker berispen wanneer met verwerkingen inbreuk op bepalingen van deze verordening is gemaakt;

[…]

1. de verwerkingsverantwoordelijke of de verwerker gelasten, waar passend, op een nader bepaalde manier en binnen een nader bepaalde termijn, verwerkingen in overeenstemming te brengen met de bepalingen van deze verordening;

[…]

1. een tijdelijke of definitieve verwerkingsbeperking, waaronder een verwerkingsverbod, opleggen;

[…]

1. naargelang de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete opleggen op grond van artikel 83; […]

[…]

4.

Op de uitoefening van de bevoegdheden die uit hoofde van dit artikel aan de toezichthoudende autoriteit worden verleend, zijn passende waarborgen van toepassing, daaronder begrepen een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling, zoals overeenkomstig het [Handvest van de grondrechten van de Europese Unie] vastgelegd in het Unierecht en het lidstatelijke recht.”

6 Artikel 83 AVG draagt als opschrift „Algemene voorwaarden voor het opleggen van administratieve geldboeten” en bepaalt:

Duits recht

7 § 41, lid 1, eerste volzin, van het Bundesdatenschutzgesetz (federale wet inzake gegevensbescherming) van 30 juni 2017 (BGBl. 2017 I, blz. 2097) bepaalt dat, tenzij deze wet anders bepaalt, het Gesetz über Ordnungswidrigkeiten (wet betreffende bestuursrechtelijk bestrafte gedragingen) van 24 mei 1968 (BGBl. 1968 I, blz. 481), in de op 19 februari 1987 bekendgemaakte versie ervan (BGBl. 1987 I, blz. 602), zoals gewijzigd bij wet van 19 juni 2020 (BGBl. 2020 I, blz. 1350; hierna: „OWiG”), van toepassing is op de in artikel 83, leden 4 tot en met 6, AVG bedoelde inbreuken.

8 § 30 OWiG, met als opschrift „Administratieve geldboeten die worden opgelegd aan rechtspersonen en verenigingen van personen”, bepaalt:

„(1)

Wanneer iemand

1. als orgaan dat gemachtigd is om een rechtspersoon te vertegenwoordigen of als lid van een dergelijk orgaan,

2. als bestuurder van een vereniging zonder rechtspersoonlijkheid of als lid van haar bestuur,

3. als vennoot die gemachtigd is om een maatschap met rechtspersoonlijkheid te vertegenwoordigen,

4. als algemeen gevolmachtigde dan wel, in de uitoefening van een leidinggevende functie, als procuratiehouder of handelsagent van een rechtspersoon of een in de punten 2 of 3 bedoelde vereniging van personen, of

5. als persoon die anderszins optreedt voor het bestuur van de inrichting of onderneming van een rechtspersoon of een in de punten 2 of 3 bedoelde vereniging van personen, onder meer door toezicht uit te oefenen op de bedrijfsvoering of door enige andere controlebevoegdheid uit te oefenen in een leidinggevende functie,

een strafbaar feit heeft gepleegd of een bestuursrechtelijk te bestraffen gedraging heeft verricht waardoor de verplichtingen van de rechtspersoon of de vereniging van personen niet zijn nagekomen of waardoor deze rechtspersoon of vereniging van personen zich heeft verrijkt of geacht wordt zich te hebben verrijkt, kan aan die rechtspersoon of vereniging van personen een administratieve geldboete worden opgelegd.

[…]

(4)

Indien het strafbare feit of de bestuursrechtelijk te bestraffen gedraging geen aanleiding geeft tot de inleiding van een strafrechtelijke procedure of een bestuursrechtelijke sanctieprocedure, dan wel indien deze procedure wordt stopgezet of indien geen enkele straf wordt opgelegd, kan de administratieve geldboete autonoom worden opgelegd. De wet kan ook in andere gevallen voorzien in de mogelijkheid om autonoom een administratieve geldboete op te leggen. Het is evenwel uitgesloten om aan de rechtspersoon of de vereniging van personen autonoom een administratieve geldboete op te leggen wanneer het strafbare feit of de bestuursrechtelijk te bestraffen gedraging om juridische redenen niet kan worden vervolgd; […].

[…]”

9 § 130 OWiG bepaalt:

„(1)

Wie als eigenaar van een inrichting of onderneming opzettelijk of uit onachtzaamheid nalaat de toezichtmaatregelen te nemen die nodig zijn om te voorkomen dat in die inrichting of onderneming de verplichtingen worden geschonden die op de eigenaar rusten en waarvan de niet-nakoming kan leiden tot het opleggen van een straf of een administratieve geldboete, maakt zich schuldig aan een bestuursrechtelijk te bestraffen gedraging wanneer een adequaat toezicht de schending van die verplichtingen zou hebben voorkomen of aanzienlijk zou hebben bemoeilijkt. Tot de nodige toezichtmaatregelen behoren ook de aanwijzing, de zorgvuldige selectie en de controle van de met het toezicht belaste personen.

[…]

(3)

Wanneer op niet-nakoming van een verplichting een straf staat, kan de bestuursrechtelijk te bestraffen gedraging leiden tot het opleggen van een administratieve geldboete van ten hoogste 1 miljoen EUR. § 30, lid 2, derde volzin, is van toepassing. Wanneer wegens niet-nakoming van een verplichting een administratieve geldboete kan worden opgelegd, wordt het maximumbedrag van de administratieve geldboete die wegens niet-nakoming van de toezichtplicht wordt opgelegd, vastgesteld op basis van het maximumbedrag van de administratieve geldboete die wegens niet-nakoming van de betreffende verplichting kan worden opgelegd. […]”

Eerste prejudiciële vraag

32 Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, AVG aldus moeten worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke wegens een in de leden 4 tot en met 6 van dat artikel 83 bedoelde inbreuk alleen een administratieve geldboete kan worden opgelegd indien deze inbreuk vooraf is toegerekend aan een geïdentificeerde natuurlijke persoon.

33 Vooraf zij opgemerkt dat de Duitse regering in haar schriftelijke opmerkingen twijfels heeft geuit over deze uitlegging van het nationale recht door de verwijzende rechter, omdat op grond van § 130 OWiG ook buiten de in § 30 OWiG bedoelde gevallen een geldboete kan worden opgelegd aan een rechtspersoon. Bovendien kan op grond van deze twee bepalingen een zogenoemde anonieme geldboete worden opgelegd in het kader van een tegen de onderneming ingeleide procedure, zonder dat de natuurlijke persoon die de inbreuk in kwestie heeft gepleegd, hoeft te worden geïdentificeerd.

34 In antwoord op een aan de verwijzende rechter gericht verzoek om verduidelijkingen dat is vermeld in punt 28 van dit arrest heeft die rechter opgemerkt dat § 130 OWiG niet van invloed is op de beantwoording van de eerste prejudiciële vraag.

35 Volgens de verwijzende rechter ziet deze bepaling namelijk op de eigenaar van een inrichting of onderneming die op verwijtbare wijze een toezichtverplichting niet is nagekomen. Het bewijs van dergelijke niet-nakoming van verplichtingen van de eigenaar van de onderneming is echter uitermate ingewikkeld en vaak onmogelijk te leveren, en over het antwoord op de vraag of een groep van ondernemingen als „onderneming” of „eigenaar van een onderneming” in de zin van die bepaling kan worden aangemerkt, bestaat er op nationaal niveau discussie. In elk geval is de eerste prejudiciële vraag ook in deze context relevant.

36 In herinnering dient te worden gebracht dat het Hof bij de uitlegging van bepalingen van de nationale rechtsorde in beginsel de kwalificaties in de verwijzingsbeslissing tot uitgangspunt dient te nemen. Volgens vaste rechtspraak is het Hof namelijk niet bevoegd om het nationale recht van een lidstaat uit te leggen (arrest van 26 januari 2021, Hessischer Rundfunk, C‑422/19 en C‑423/19, EU:C:2021:63, punt 31 en aldaar aangehaalde rechtspraak).

37 Derhalve moet bij de beantwoording van de eerste prejudiciële vraag worden uitgegaan van de premisse dat krachtens het toepasselijke nationale recht aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke wegens een in artikel 83, leden 4 tot en met 6, AVG bedoelde inbreuk alleen een administratieve geldboete kan worden opgelegd onder de in § 30 OWiG vastgestelde voorwaarden, zoals die zijn uiteengezet door de verwijzende rechter.

38 Om deze eerste vraag te beantwoorden zij om te beginnen opgemerkt dat de in de AVG neergelegde beginselen, verboden en verplichtingen in het bijzonder gericht zijn tot de „verwerkingsverantwoordelijken”, die – zoals in overweging 74 van de AVG wordt beklemtoond – verantwoordelijk zijn voor elke door of namens hen uitgevoerde verwerking van persoonsgegevens en die daarom niet alleen passende en doeltreffende maatregelen moeten treffen, maar tevens moeten kunnen aantonen dat hun verwerkingsactiviteiten in overeenstemming zijn met de AVG, wat onder meer inhoudt dat de door hen getroffen maatregelen doeltreffend zijn om die overeenstemming te waarborgen. Wanneer een in artikel 83, leden 4 tot en met 6, van deze verordening bedoelde inbreuk is begaan, vormt deze verantwoordelijkheid de grondslag om overeenkomstig dat artikel 83 een administratieve geldboete op te leggen aan de verwerkingsverantwoordelijke.

39 In artikel 4, punt 7, AVG wordt het begrip „verwerkingsverantwoordelijke” ruim gedefinieerd als een natuurlijke of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die respectievelijk dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

40 Deze ruime definitie in artikel 4, punt 7, AVG – die uitdrukkelijk ook rechtspersonen omvat – strekt ertoe om in overeenstemming met het doel van de AVG een doeltreffende bescherming van de grondrechten en fundamentele vrijheden van natuurlijke personen en in het bijzonder een hoog niveau van bescherming van het recht van eenieder op bescherming van zijn persoonsgegevens te waarborgen (zie in die zin arresten van 29 juli 2019, Fashion ID, C‑40/17, EU:C:2019:629, punt 66 , en  28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 73 en aldaar aangehaalde rechtspraak).

41 Het Hof heeft tevens reeds geoordeeld dat iedere natuurlijke of rechtspersoon die om hem moverende redenen invloed uitoefent op de verwerking van persoonsgegevens en bijgevolg betrokken is bij de vaststelling van het doel van en de middelen voor deze verwerking, kan worden geacht voor de verwerking verantwoordelijk te zijn (zie in die zin arrest van 10 juli 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, punt 68 ).

42 Uit de bewoordingen en het doel van artikel 4, punt 7, AVG volgt dus dat de Uniewetgever bij de vaststelling van de verantwoordelijkheid op grond van deze verordening geen onderscheid heeft gemaakt tussen natuurlijke personen en rechtspersonen, aangezien voor deze verantwoordelijkheid als enige voorwaarde geldt dat die personen, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststellen.

43 Derhalve is – onder voorbehoud van wat in artikel 83, lid 7, AVG is bepaald met betrekking tot overheidsinstanties en -organen – eenieder die aan die voorwaarde voldoet, ongeacht of het gaat om een natuurlijke persoon, een rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, onder meer aansprakelijk voor elke in artikel 83, leden 4 tot en met 6, bedoelde inbreuk die door die persoon, instantie, dienst of orgaan dan wel voor zijn respectievelijk haar rekening is begaan.

44 Wat rechtspersonen betreft, impliceert dit om te beginnen dat deze – zoals de advocaat-generaal in de punten 57 tot en met 59 van zijn conclusie in wezen heeft opgemerkt – niet alleen aansprakelijk zijn voor inbreuken die worden begaan door hun vertegenwoordigers, directeuren of beheerders, maar ook voor de inbreuken die worden begaan door iedere andere persoon die in het kader van de handelsactiviteiten van en voor rekening van die rechtspersonen optreedt. Daarnaast moeten de administratieve geldboeten waarin artikel 83 AVG voor dergelijke inbreuken voorziet, rechtstreeks aan rechtspersonen kunnen worden opgelegd wanneer deze kunnen worden aangemerkt als verantwoordelijk voor de verwerking in kwestie.

45 Vervolgens zij opgemerkt dat in artikel 58, lid 2, AVG nauwkeurig wordt bepaald over welke bevoegdheden de toezichthoudende autoriteiten beschikken om corrigerende maatregelen vast te stellen, zonder dat wordt verwezen naar het recht van de lidstaten of dat de lidstaten een beoordelingsmarge wordt gelaten. Deze bevoegdheden – waartoe op grond van artikel 58, lid 2, onder i), AVG de bevoegdheid om een administratieve geldboete op te leggen behoort – hebben het oog op de verwerkingsverantwoordelijke, die zowel een natuurlijke als een rechtspersoon kan zijn, zoals blijkt uit punt 39 van dit arrest. De materiële voorwaarden die een toezichthoudende autoriteit in acht moet nemen wanneer zij een dergelijke geldboete oplegt, zijn op hun beurt nauwkeurig vastgesteld in artikel 83, leden 1 tot en met 6, AVG, zonder dat de lidstaten daarbij beoordelingsruimte wordt gelaten.

46 Uit de gezamenlijke lezing van artikel 4, punt 7, artikel 83 en artikel 58, lid 2, onder i), AVG volgt dus dat een administratieve geldboete wegens een in dat artikel 83, leden 4 tot en met 6, bedoelde inbreuk ook kan worden opgelegd aan rechtspersonen die de hoedanigheid van verwerkingsverantwoordelijke hebben. Daarentegen kan er uit geen enkele bepaling van de AVG worden afgeleid dat voor de oplegging van een administratieve geldboete aan een rechtspersoon als verwerkingsverantwoordelijke de voorwaarde geldt dat voorafgaandelijk is geconstateerd dat die inbreuk is begaan door een geïdentificeerde natuurlijke persoon.

47 Het is juist dat uit artikel 58, lid 4, en artikel 83, lid 8, AVG, gelezen in het licht van overweging 129 van deze verordening, blijkt dat de uitoefening door de toezichthoudende autoriteit van de haar bij die artikelen verleende bevoegdheden onderworpen is aan passende procedurele waarborgen overeenkomstig het Unierecht en het lidstatelijke recht, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling.

48 Dat de AVG aldus de lidstaten de mogelijkheid biedt om eisen te stellen aan de procedure die de toezichthoudende autoriteiten moeten volgen om een administratieve geldboete op te leggen, betekent geenszins dat zij tevens bevoegd zijn om naast dergelijke procedurele vereisten ook andere materiële voorwaarden vast te stellen dan die welke zijn neergelegd in artikel 83, leden 1 tot en met 6, van die verordening. Dat de Uniewetgever uitdrukkelijk in die mogelijkheid heeft voorzien, maar niet in de mogelijkheid om aanvullende materiële voorwaarden vast te stellen, bevestigt bovendien dat hij de lidstaten ter zake geen beoordelingsruimte heeft gelaten. Die materiële voorwaarden vallen dus uitsluitend onder het Unierecht.

49 De hierboven gegeven letterlijke uitlegging van artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, AVG vindt steun in de doelstelling van deze verordening.

50 Met name blijkt uit overweging 10 van de AVG dat de bepalingen van deze verordening met name tot doel hebben natuurlijke personen een consistent en hoog niveau van bescherming van persoonsgegevens binnen de Unie te bieden en daartoe te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van die personen in verband met de verwerking van persoonsgegevens. In de overwegingen 11 en 129 van de AVG wordt bovendien beklemtoond dat met het oog op een consequente toepassing van deze verordening moet worden gewaarborgd dat de toezichthoudende autoriteiten gelijkwaardige bevoegdheden hebben op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming, alsmede dat zij vergelijkbare sancties voor inbreuken op die verordening kunnen opleggen.

51 Het zou in strijd zijn met die doelstelling van de AVG als het de lidstaten werd toegestaan om eenzijdig als noodzakelijke voorwaarde voor de oplegging van een administratieve geldboete op grond van artikel 83 AVG aan een verwerkingsverantwoordelijke die een rechtspersoon is, te eisen dat de inbreuk in kwestie vooraf wordt toegerekend of kan worden toegerekend aan een geïdentificeerde natuurlijke persoon. Bovendien zou een dergelijk aanvullend vereiste uiteindelijk afbreuk dreigen te doen aan de doeltreffendheid en de afschrikkende werking van administratieve geldboeten die worden opgelegd aan rechtspersonen als verwerkingsverantwoordelijken, wat in strijd zou zijn met artikel 83, lid 1, AVG.

52 In dit verband zij eraan herinnerd dat artikel 288, tweede alinea, VWEU bepaalt dat een verordening van de Unie verbindend is in al haar onderdelen en rechtstreeks toepasselijk is in elke lidstaat, wat behoudens andersluidende bepalingen uitsluit dat de lidstaten interne bepalingen vaststellen die de draagwijdte van een dergelijke verordening aantasten. Bovendien zijn de lidstaten op grond van de uit het VWEU voortvloeiende verplichtingen gehouden om de rechtstreekse toepasselijkheid van verordeningen niet te beletten. Met name mogen zij geen handeling vaststellen waarmee de Unierechtelijke aard van een rechtsregel en de daaruit voortvloeiende gevolgen zouden worden verborgen voor de justitiabelen (arrest van 15 november 2012, Al-Aqsa/Raad en Nederland/Al-Aqsa, C‑539/10 P en C‑550/10 P, EU:C:2012:711, punten 86 en 87 en aldaar aangehaalde rechtspraak).

53 Ten slotte moet – gelet op de vragen van de verwijzende rechter – worden opgemerkt dat het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU geen invloed heeft op de beantwoording van de vraag of en onder welke voorwaarden overeenkomstig artikel 83 AVG een administratieve geldboete kan worden opgelegd aan een verwerkingsverantwoordelijke die een rechtspersoon is, aangezien deze kwestie uitputtend wordt geregeld in artikel 58, lid 2, en artikel 83, leden 1 tot en met 6, van die verordening.

54 Dat begrip is immers enkel relevant voor de vaststelling van het bedrag van de administratieve geldboete die op grond van artikel 83, leden 4 tot en met 6, AVG aan een verwerkingsverantwoordelijke wordt opgelegd.

55 Zoals de advocaat-generaal in punt 45 van zijn conclusie heeft opgemerkt, moet de verwijzing in overweging 150 van de AVG naar het begrip „onderneming” in de zin van de artikelen 101 en 102 VWEU worden begrepen tegen die specifieke achtergrond van de berekening van de administratieve geldboeten die worden opgelegd wegens de in artikel 83, leden 4 tot en met 6, van die verordening bedoelde inbreuken.

56 In dit verband moet worden beklemtoond dat dit begrip voor de toepassing van de mededingingsregels van de artikelen 101 en 102 VWEU ziet op elke eenheid die een economische activiteit uitoefent, ongeacht haar rechtsvorm en de wijze waarop zij wordt gefinancierd. Dat begrip verwijst dus naar een economische eenheid, ook al bestaat deze economische eenheid juridisch gezien uit meerdere natuurlijke of rechtspersonen. Die economische eenheid is een unitaire organisatie van personele, materiële en immateriële elementen die op duurzame basis een bepaald economisch doel nastreeft (arrest van 6 oktober 2021, Sumal, C‑882/19, EU:C:2021:800, punt 41 en aldaar aangehaalde rechtspraak).

57 Zo blijkt uit artikel 83, leden 4 tot en met 6, AVG – dat betrekking heeft op de berekening van administratieve geldboeten die worden opgelegd wegens de in die leden genoemde inbreuken – dat, wanneer degene aan wie de administratieve geldboete wordt opgelegd een onderneming is of deel uitmaakt van een onderneming in de zin van de artikelen 101 en 102 VWEU, het maximumbedrag van de administratieve geldboete wordt berekend op basis van een percentage van de totale wereldwijde jaaromzet van de betrokken onderneming in het voorafgaande boekjaar.

58 Zoals de advocaat-generaal in punt 47 van zijn conclusie heeft opgemerkt, kan uiteindelijk alleen een administratieve geldboete waarvan het bedrag door de toezichthoudende autoriteit – aan de hand van de werkelijke of materiële economische draagkracht van degene aan wie deze geldboete wordt opgelegd – wordt vastgesteld met gebruikmaking van het begrip „economische eenheid” in de zin van de in punt 56 van het onderhavige arrest aangehaalde rechtspraak, voldoen aan de drie voorwaarden van artikel 83, lid 1, AVG, die inhouden dat de administratieve geldboete zowel doeltreffend, evenredig als afschrikkend moet zijn.

59 Wanneer een toezichthoudende autoriteit op grond van de bevoegdheden waarover zij krachtens artikel 58, lid 2, AVG beschikt, besluit om een verwerkingsverantwoordelijke die een onderneming is of die deel uitmaakt van een onderneming in de zin van de artikelen 101 en 102 VWEU, een administratieve geldboete op te leggen overeenkomstig artikel 83 AVG, moet die autoriteit zich dus krachtens laatstgenoemde bepaling, gelezen in het licht van overweging 150 van deze verordening, bij de berekening van de administratieve geldboeten wegens de in de leden 4 tot en met 6 van dat artikel 83 bedoelde inbreuken baseren op het begrip „onderneming” in de zin van die artikelen 101 en 102 VWEU.

60 Gelet op een en ander dient op de eerste prejudiciële vraag te worden geantwoord dat artikel 58, lid 2, onder i), en artikel 83, leden 1 tot en met 6, AVG aldus moeten worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan aan een rechtspersoon in zijn hoedanigheid van verwerkingsverantwoordelijke wegens een in de leden 4 tot en met 6 van dat artikel 83 bedoelde inbreuk alleen een administratieve geldboete kan worden opgelegd indien deze inbreuk vooraf is toegerekend aan een geïdentificeerde natuurlijke persoon.

Tweede prejudiciële vraag

61 Met zijn tweede vraag, die is gesteld voor het geval dat de eerste prejudiciële vraag bevestigend wordt beantwoord, wenst de verwijzende rechter in wezen te vernemen of artikel 83 AVG aldus moet worden uitgelegd dat krachtens deze bepaling slechts een administratieve geldboete kan worden opgelegd indien vaststaat dat de verwerkingsverantwoordelijke, die zowel een rechtspersoon als een onderneming is, opzettelijk of uit nalatigheid een in de leden 4 tot en met 6 van dat artikel bedoelde inbreuk heeft begaan.

62 In dit verband zij eraan herinnerd dat uit artikel 83, lid 1, AVG volgt dat administratieve geldboeten doeltreffend, evenredig en afschrikkend moeten zijn. In artikel 83 AVG is daarentegen niet uitdrukkelijk bepaald dat de in de leden 4 tot en met 6 van dat artikel bedoelde inbreuken slechts met een dergelijke geldboete kunnen worden bestraft indien zij opzettelijk of op zijn minst uit nalatigheid zijn begaan.

63 De Duitse, de Estse en de Noorse regering alsook de Raad van de Europese Unie leiden daaruit onder meer af dat de Uniewetgever de lidstaten enige beoordelingsruimte heeft willen laten bij de uitvoering van artikel 83 AVG, zodat zij het in voorkomend geval mogelijk kunnen maken dat op grond van deze bepaling administratieve geldboeten worden opgelegd zonder dat is aangetoond dat de met deze geldboete bestrafte inbreuk op de AVG opzettelijk of uit nalatigheid is begaan.

64 Deze uitlegging van artikel 83 AVG kan niet worden aanvaard.

65 Zoals in de punten 45 en 48 van dit arrest is geconstateerd, vallen de materiële voorwaarden die een toezichthoudende autoriteit in acht moet nemen wanneer zij een administratieve geldboete oplegt aan een verwerkingsverantwoordelijke, uitsluitend onder het Unierecht, aangezien deze voorwaarden nauwkeurig zijn vastgesteld in artikel 83, leden 1 tot en met 6, AVG, zonder dat de lidstaten daarbij beoordelingsruimte wordt gelaten (zie ook arrest van 5 december 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:XXX, punten 64‑70).

66 Ten aanzien van die voorwaarden zij opgemerkt dat artikel 83, lid 2, AVG de factoren opsomt die de toezichthoudende autoriteit in aanmerking neemt wanneer zij de verwerkingsverantwoordelijke een administratieve geldboete oplegt. Een van deze factoren – die wordt genoemd in deze bepaling, onder b) – is „de opzettelijke of nalatige aard van de inbreuk”. Daarentegen is er bij geen van de in die bepaling opgesomde factoren sprake van welke mogelijkheid ook om de verwerkingsverantwoordelijke aansprakelijk te stellen wanneer hij geen fout heeft begaan.

67 Bovendien moet artikel 83, lid 2, AVG worden gelezen in samenhang met lid 3 van datzelfde artikel, dat bepaalt welke gevolgen de cumulatie van inbreuken op die verordening heeft en dat als volgt luidt: „Indien een verwerkingsverantwoordelijke of een verwerker opzettelijk of uit nalatigheid met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten een inbreuk pleegt op meerdere bepalingen van deze verordening, is de totale geldboete niet hoger dan die voor de zwaarste inbreuk.”

68 Uit de bewoordingen van artikel 83, lid 2, AVG volgt dus dat krachtens deze bepaling aan de verwerkingsverantwoordelijke enkel een administratieve geldboete kan worden opgelegd wanneer hij verwijtbaar – dat wil zeggen opzettelijk of uit nalatigheid – de bepalingen van die verordening schendt.

69 Deze lezing vindt steun in de algemene opzet en het doel van de AVG.

70 Ten eerste heeft de Uniewetgever voorzien in een stelsel van sancties op grond waarvan de toezichthoudende autoriteiten de sancties kunnen opleggen die in de omstandigheden van het geval het meest geschikt zijn.

71 Artikel 58, lid 2, onder i), AVG bepaalt namelijk dat deze autoriteiten op grond van artikel 83 van deze verordening administratieve geldboeten kunnen opleggen „naast of in plaats van” de overige in artikel 58, lid 2, opgesomde corrigerende maatregelen, zoals waarschuwingen, berispingen of bevelen. Evenzo staat in overweging 148 van de AVG onder meer te lezen dat het de toezichthoudende autoriteiten is toegestaan om geen administratieve geldboete op te leggen en in plaats daarvan een berisping te geven indien er sprake is van een kleine inbreuk of indien de te verwachten administratieve geldboete een onevenredige last zou opleveren voor een natuurlijke persoon.

72 Ten tweede hebben de bepalingen van de AVG – zoals in punt 50 van dit arrest is opgemerkt – onder meer tot doel een consistent en hoog niveau van bescherming van persoonsgegevens binnen de Unie te bieden en daartoe te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van die personen in verband met de verwerking van persoonsgegevens. Bovendien moeten de toezichthoudende autoriteiten met het oog op een consequente toepassing van de AVG beschikken over gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming, zodat zij vergelijkbare sancties kunnen opleggen voor inbreuken op die verordening.

73 Het bestaan van een sanctieregeling die het mogelijk maakt om een administratieve geldboete op grond van artikel 83 AVG op te leggen wanneer de specifieke omstandigheden van het concrete geval dit rechtvaardigen, zet verwerkingsverantwoordelijken en verwerkers ertoe aan om die verordening na te leven. Door hun afschrikkende werking dragen administratieve geldboeten bij tot de versterking van de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, zodat zij een sleutelelement vormen om de eerbiediging van de rechten van die personen te waarborgen, overeenkomstig de met de AVG nagestreefde doelstelling om natuurlijke personen een hoog niveau van bescherming te bieden in verband met de verwerking van persoonsgegevens.

74 De Uniewetgever heeft het evenwel niet noodzakelijk geacht om het – teneinde een dergelijk hoog niveau van bescherming te bieden – mogelijk te maken administratieve geldboeten op te leggen wanneer er geen fout is begaan. Gelet op het feit dat met de AVG zowel een gelijkwaardig als een homogeen beschermingsniveau wordt nagestreefd en dat deze verordening daartoe in de gehele Unie consequent moet worden toegepast, zou het in strijd met deze doelstelling zijn om de lidstaten toe te staan te voorzien in een dergelijke regeling voor de oplegging van een geldboete op grond van artikel 83 van die verordening. Een dergelijke keuzevrijheid zou bovendien de mededinging tussen de marktdeelnemers binnen de Unie kunnen vervalsen, hetgeen zou indruisen tegen de doelstellingen die de Uniewetgever onder meer in de overwegingen 9 en 13 van de AVG tot uitdrukking heeft gebracht.

75 Derhalve moet worden vastgesteld dat op grond van artikel 83 AVG geen administratieve geldboete wegens een in de leden 4 tot en met 6 van deze verordening bedoelde inbreuk kan worden opgelegd indien er niet is aangetoond dat de verwerkingsverantwoordelijke deze inbreuk opzettelijk of uit nalatigheid heeft begaan, en dat het voor de oplegging van een dergelijke geldboete een voorwaarde is dat de inbreuk in kwestie verwijtbaar is begaan.

76 In dit verband dient met betrekking tot de vraag of een inbreuk opzettelijk of uit nalatigheid is begaan en bijgevolg kan worden bestraft met een administratieve geldboete op grond van artikel 83 AVG, nog te worden gepreciseerd dat een verwerkingsverantwoordelijke wegens een binnen de werkingssfeer van deze verordening vallende gedraging kan worden gestraft wanneer hij niet onkundig kon zijn van het feit dat zijn gedraging een inbreuk opleverde, ongeacht of hij er zich van bewust was dat hij de bepalingen van de AVG schond (zie naar analogie arresten van 18 juni 2013, Schenker & Co. e.a., C‑681/11, EU:C:2013:404, punt 37 en aldaar aangehaalde rechtspraak; 25 maart 2021, Lundbeck/Commissie, C‑591/16 P, EU:C:2021:243, punt 156 , en  25 maart 2021, Arrow Group en Arrow Generics/Commissie, C‑601/16 P, EU:C:2021:244, punt 97 ).

77 Wanneer de verwerkingsverantwoordelijke een rechtspersoon is, dient er tevens te worden gepreciseerd dat de toepassing van artikel 83 AVG geen handeling en zelfs geen kennis van het leidinggevend orgaan van die rechtspersoon vereist (zie naar analogie arresten van 7 juni 1983, Musique Diffusion française e.a./Commissie, 100/80–103/80, EU:C:1983:158, punt 97 , en  16 februari 2017, Tudapetrol Mineralölerzeugnisse Nils Hansen/Commissie, C‑94/15 P, EU:C:2017:124, punt 28 en aldaar aangehaalde rechtspraak).

78 Gelet op een en ander dient op de tweede prejudiciële vraag te worden geantwoord dat artikel 83 AVG aldus moet worden uitgelegd dat krachtens deze bepaling slechts een administratieve geldboete kan worden opgelegd indien vaststaat dat de verwerkingsverantwoordelijke, die zowel een rechtspersoon als een onderneming is, opzettelijk of uit nalatigheid een in de leden 4 tot en met 6 van dat artikel bedoelde inbreuk heeft begaan.