Het Hof van Justitie van de Europese Unie heeft in zijn arrest van 13 februari 2025 (C-383/23) aanwijzingen gegeven omtrent de vraag hoe de hoogte van de geldboetes moeten worden bepaald bij schendingen van de Algemene Verordening Gegevensbescherming (AVG) en duidt (enkele) factoren voor de berekening daarvan nader. Met name het begrip “onderneming” als bedoeld in artikel 83 AVG wordt verduidelijkt, en de vraag wordt beantwoord of er naar (de omzet van) het gehele concern moet worden gekeken bij de berekening van de maximale boete. Dit arrest is een nieuwe schakel in de ketting aan uitspraken van het HvJEU die de handhavingsinstrumenten die de AVG biedt, verder verhelderen.
Dit arrest betreft een strafprocedure, ingeleid door het Openbaar Ministerie, tegen de onderneming ILVA A/S, die niet had voldaan aan de AVG-verplichtingen ten aanzien van persoonsgegevens van voormalige klanten. Relevant om te vermelden, is dat deze onderneming deel uitmaakt van een groter concern genaamd Lars Larsen Group.
De lezer zal opmerken dat de procedure waarop de prejudiciële verwijzing betrekking heeft geen bestuursrechtelijke, maar een strafrechtelijk karakter heeft. Het Deense rechtssysteem laat immers geen administratieve geldboeten toe bij schendingen van de AVG. Volgens considerans 151 van de AVG is een dergelijk systeem toegestaan, op voorwaarde dat de opgelegde strafrechtelijke sanctie dezelfde afschrikwekkende werking heeft als de meer gangbare administratieve boete die door toezichthoudende autoriteiten wordt opgelegd.
Volgens de verwijzende rechter (rechter in tweede aanleg voor het Westen van Denemarken) was de manier waarop de maximale boetes moeten worden berekend bij AVG-schendingen onduidelijk. In de juridische grondslag voor de vaststelling van de maximale geldboetes bij privacy-schendingen, artikel 83 AVG, wordt de term “onderneming” gehanteerd. De verwijzende rechter acht de inkleuring van deze term doorslaggevend voor de berekening van de geldboetes, en daarmee relevant voor de bovengenoemde vraag. De voorliggende vragen (geparafraseerd): dient de “onderneming” in de zin van artikel 83 lid 4 tot en met 6 AVG te worden uitgelegd in de zin van het Europese mededingingsrecht, en dient de berekening van de maximale boete te worden gebaseerd op de wereldwijde jaaromzet van het gehele concern (Lars Larsen Group), en niet enkel van de AVG-schendende onderneming (ILVA A/S)?
Het Hof beantwoordt beide vragen bevestigend, waarbij het verwijst naar considerans 150 van de AVG en een eerder gewezen Deutsche Wohnen-arrest (C-807/21). Hierbij nuanceert het Hof dat de mededingingsrechtelijke interpretatie van “onderneming” in de AVG geen direct effect heeft op de beantwoording of en onder welke voorwaarden de geldboete kan worden opgelegd, maar wel voor de vaststelling van de hoogte van het boetebedrag.
Op basis van het mededingingsrecht heeft een “onderneming” betrekking op een economische eenheid, ongeacht of deze juridisch gezien uit meerdere natuurlijke of rechtspersonen bestaat. De vaststelling van de maximale geldboete wordt daarom gebaseerd op de omzet van het gehele concern. Overtredingen van de AVG kunnen daarmee resulteren in boetes tot 2% of 4% van de omzet.
Het bovenstaande is relevant voor de vaststelling van het maximumbedrag van de geldboete. Volgens de AVG dient de hoogte van de daadwerkelijk opgelegde geldboete doeltreffend, evenredig en afschrikkend te zijn – en kan dus een stuk lager uitpakken dan de in de AVG opgenomen maxima. Volgens het Hof moet hiervoor rekening worden gehouden met de werkelijke of materiële economische draagkracht van betreffende onderneming en andere relevante factoren. Tot deze factoren behoren onder meer de aard, de ernst en de duur van de inbreuk, het aantal getroffen betrokkenen, en de opzettelijke of nalatige aard van de AVG-inbreuk.
Dat een opgelegde boete betrekking heeft tot de wereldwijde jaaromzet van gehele complexe bedrijfsstructuren, en niet slechts tot de ondernemingen binnen die structuren die de AVG-verplichtingen niet zijn nagekomen, vereist bijzondere aandacht voor het toezicht op de naleving de AVG binnen grootschalige en complexe concerns.
De relevantie van dit arrest reikt bovendien verder dan de handhaving van de AVG. Ook in andere Unierechtelijke wet- en regelgeving zijn soortgelijke sanctiestelsels opgenomen, zoals in de Artificiële Intelligentie Act (AI Act), de Digital Services Act (DSA) en de Digital Markets Act (DMA).De AI Act introduceert een gelaagd sanctiestelsel waarbij de hoogte van de boetes afhankelijk is van de aard en ernst van de overtreding. Overtredingen kunnen worden bestraft met boetes tot 1%, 3% of 7% van de wereldwijde jaaromzet van de betrokken onderneming. Boetes van DMA-overtredingen zijn evenwel uitdrukkelijk gebaseerd op de wereldwijde jaaromzet van ondernemingen, tot 10% van deze wereldwijde jaaromzet, oplopend tot 20% bij herhaalde overtredingen. De DSA regelt daarbij boetes tot 6% van de wereldwijde jaaromzet voor niet-naleving, met aanvullende periodieke boetes bij voortdurende overtredingen tot 5% van de gemiddelde dagelijkse omzet. Het onderhavige arrest kan daarom verstrekkende gevolgen hebben voor de interpretatie van de boeteberekeningen, die een basis hebben in andere Unierechtelijke wet- en regelgeving, zij het van het gehele concern of van de overtredende onderneming zelf.
Bovendien heeft de Europese toezichthouder EDPB in haar beleidsregels reeds geëxpliciteerd dat de term “onderneming” in de administratieve boetebepaling mededingingsrechtelijk dient te worden geïnterpreteerd. Volgens de EDPB moeten artikel 83 lid 4 tot met lid 6 AVG namelijk in het licht van considerans 150 AVG en in overeenstemming van artikelen 101 en 102 VWEU worden gelezen. Hiermee lijken de beleidsregels van de Europese toezichthouder in lijn te liggen met het oordeel van het HvJEU. De Nederlandse toezichthouder AP wijdt echter geen woorden aan dit onderwerp in haar richtsnoeren. Het onderhavige oordeel zal daarom zeker van invloed zijn op het nationale recht.
Geschreven door: Nika Nazarian.