C-807/21

EUROOPA KOHTU OTSUS (suurkoda) 5. detsember 2023 ( *1 ) Eelotsusetaotlus – Isikuandmete kaitse – Määrus (EL) 2016/679 – Artikli 4 punkt 7 – Mõiste „vastutav töötleja“ – Artikli 58 lõige 2 – Järelevalveasutuste parandusvolitused – Artikkel 83 – Trahvide määramine juriidilisele isikule – Tingimused – Liikmesriikide otsustusruum – Nõue, et rikkumine peab olema toime pandud tahtlikult või hooletusest Kohtuasjas C‑807/21, mille ese on ELTL artikli 267 alusel Kammergericht Berlini (Berliini liidumaa kõrgeim üldkohus, Saksamaa) 6. detsembri 2021. aasta otsusega esitatud eelotsusetaotlus, mis saabus Euroopa Kohtusse 21. detsembril 2021, menetluses Deutsche Wohnen SE versus Staatsanwaltschaft Berlin, EUROOPA KOHUS (suurkoda), koosseisus: president K. Lenaerts, asepresident L. Bay Larsen, kodade presidendid A. Arabadjiev, C. Lycourgos, E. Regan, T. von Danwitz, Z. Csehi ja O. Spineanu-Matei ning kohtunikud M. Ilešič, J.-C. Bonichot, L. S. Rossi, A. Kumin, N. Jääskinen (ettekandja), N. Wahl ja M. Gavalec, kohtujurist: M. Campos Sánchez-Bordona, kohtusekretär: osakonnajuhataja D. Dittert, arvestades kirjalikku menetlust ja 17. jaanuari 2023. aasta kohtuistungil esitatut, arvestades seisukohti, mille esitasid: – Deutsche Wohnen SE, esindajad: Rechtsanwälte O. Geiss, K. Mertens, N. Venn ja T. Wybitul, – Saksamaa valitsus, esindajad: J. Möller ja P.-L. Krüger, – Eesti valitsus, esindaja: M. Kriisa, – Madalmaade valitsus, esindaja: C. S. Schillemans, – Norra valitsus, esindajad: L.-M. Moen Jünge, M. Munthe-Kaas ja T. Westhagen Edell, – Euroopa Parlament, esindajad: G. C. Bartram ja P. López-Carceller, – Euroopa Liidu Nõukogu, esindajad: J. Bauerschmidt ja K. Pleśniak, – Euroopa Komisjon, esindajad: A. Bouchagiar, F. Erlbacher, H. Kranenborg ja G. Meessen, olles 27. aprilli 2023. aasta kohtuistungil ära kuulanud kohtujuristi ettepaneku, on teinud järgmise otsuse 1 Eelotsusetaotlus käsitleb küsimust, kuidas tõlgendada Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; edaspidi „isikuandmete kaitse üldmäärus“) artikli 83 lõikeid 4–6. 2 Taotlus on esitatud Deutsche Wohnen SE (edaspidi „DW“) ja Staatsanwaltschaft Berlini (Berliini prokuratuur, Saksamaa) vahelises kohtuvaidluses trahvi üle, mis määrati DW‑le isikuandmete kaitse üldmääruse artikli 83 alusel selle määruse artikli 5 lõike 1 punktide a, c ja e, artikli 6 ning artikli 25 lõike 1 rikkumise eest. Õiguslik raamistik Liidu õigus 3 Isikuandmete kaitse üldmääruse põhjendustes 9, 10, 11, 13, 74, 129 ja 150 on märgitud: „(9) […] Liikmesriikide poolt tagatavate füüsiliste isikute õiguste, eelkõige isikuandmete kaitse õiguse, ja vabaduste kaitse taseme erinevused isikuandmete töötlemisel võivad takistada isikuandmete [Euroopa Liidu] sisest vaba liikumist. Need erinevused võivad seetõttu takistada liidu tasandi majandustegevust, moonutada konkurentsi ja takistada ametiasutustel täita nende liidu õigusest tulenevaid kohustusi. […] (10) Selleks et tagada füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete liikumisel liidus, peaks füüsiliste isikute õiguste ja vabaduste kaitse selliste andmete töötlemisel olema kõigis liikmesriikides samal tasemel. Isikuandmete töötlemisel tuleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine kogu liidus. Seoses isikuandmete töötlemisega juriidilise kohustuse täitmiseks, avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks peaks liikmesriikidel olema lubatud säilitada või kehtestada õigusnormid käesoleva määruse eeskirjade kohaldamise täpsustamiseks. […] Samuti nähakse käesoleva määrusega liikmesriikidele ette manööverdamisruum oma eeskirjade, sealhulgas isikuandmete eriliikide töötlemise eeskirjade täpsustamiseks. Sellega seoses ei välista käesolev määrus sellist liikmesriigi õigust, millega määratletakse konkreetsete töötlemisjuhtude asjaolud, sealhulgas määratakse täpsemalt kindlaks tingimused, mille alusel isikuandmete töötlemine on seaduslik. (11) Tõhusaks isikuandmete kaitseks kogu liidus tuleb tugevdada ja täpsustada andmesubjektide õigusi ning isikuandmete töötlejate ja töötlemise üle otsustajate kohustusi, aga ka nendele vastavaid volitusi isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel, ning rikkujatele määratavaid karistusi liikmesriikides. […] (13) Et tagada füüsiliste isikute järjekindel kaitse kogu liidus ning ära hoida erinevusi, mis takistavad andmete vaba liikumist siseturul, on vaja määrust, millega tagatakse õiguskindlus ja läbipaistvus ettevõtjate, sealhulgas mikro-, väikeste ja keskmise suurusega ettevõtjate jaoks ning milles sätestatakse kõikides liikmesriikides füüsiliste[le] isikutele samaväärsed kohtulikult kaitstavad õigused ning vastutavatele töötlejatele ja volitatud töötlejatele kohustused ja vastutusvaldkonnad, et tagada isikuandmete töötlemise järjekindel jälgimine nagu ka samaväärsed karistused kõigis liikmesriikides ning erinevate liikmesriikide järelevalveasutuste tõhus koostöö. […] […] (74) Tuleks kehtestada vastutava töötleja vastutus tema poolt ja tema nimel toimuva isikuandmete mis tahes töötlemise eest. Eelkõige peaks vastutav töötleja olema kohustatud rakendama asjakohaseid ja tõhusaid meetmeid ning olema võimeline tõendama isikuandmete töötlemise toimingute kooskõla käesoleva määrusega, sealhulgas meetmete tõhusust. Nende meetmete puhul tuleks arvestada töötlemise laadi, ulatust, konteksti ja eesmärke ning ohtu füüsiliste isikute õigustele ja vabadustele. […] (129) Selleks et tagada kogu liidus ühtlane järelevalve käesoleva määruse üle ja selle ühtlane täitmine, peaksid järelevalveasutustel olema kõikides liikmesriikides samad ülesanded ja tõhusad volitused, sealhulgas uurimis-, parandus- ja karistuste kehtestamise volitused […]. Eelkõige peaks meede olema asjakohane, vajalik ja proportsionaalne käesoleva määruse järgimise tagamise seisukohast, võttes arvesse iga üksikjuhtumi asjaolusid; austama isiku õigust ärakuulamisele, enne kui teda kahjustada võiv meede vastu võetakse, ning vältima liigseid kulusid ja liigseid ebamugavusi asjaomastele isikutele. Ruumidele juurdepääsuga seotud uurimisvolitusi tuleks kasutada kooskõlas liikmesriigi menetlusõiguses kehtestatud konkreetsete nõuetega, nagu kohtu eelneva loa hankimise nõue. Järelevalveasutuse õiguslikult siduv meede peaks olema esitatud kirjalikult, olema selge ja ühemõtteline, selles peaks olema märgitud meetme esitanud järelevalveasutus ja meetme esitamise kuupäev ning järelevalveasutuse juhi või tema poolt volitatud liikme allkiri, selles tuleks esitada meetme põhjused ning osutada õigusele tõhusale õiguskaitsevahendile. See ei tohiks välistada liikmesriigi menetlusnormidest tulenevaid täiendavaid nõudeid. […] […] (150) Selleks et tugevdada ja ühtlustada väärteokaristusi käesoleva määruse rikkumise korral, peaksid igal järelevalveasutusel olema volitused määrata trahve. Käesolevas määruses tuleks loetleda rikkumised, sätestada asjaomaste trahvide ülemmäär ja nende määramise kriteeriumid, mille üle peaks iga juhtumi puhul eraldi otsustama pädev järelevalveasutus, võttes arvesse konkreetse olukorra kõiki asjakohaseid asjaolusid, pidades eelkõige silmas rikkumise laadi, raskusastet, ajalist kestvust ja tagajärgi ning meetmeid, mis võetakse käesoleva määruse kohaste kohustuste täitmise tagamiseks ja rikkumise tagajärgede vältimiseks või leevendamiseks. Kui trahv on määratud ettevõtjale, tuleks ettevõtja määratlemisel lähtuda [ELTL] artiklites 101 ja 102 toodud määratlusest. […]“. 4 Määruse artiklis 4 on sätestatud: „Käesolevas määruses kasutatakse järgmisi mõisteid: […] 7) „vastutav töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses; 8) „volitatud töötleja“ – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes töötleb isikuandmeid vastutava töötleja nimel; […] 18) „ettevõtja“ – majandustegevusega tegelev füüsiline või juriidiline isik, olenemata selle õiguslikust vormist, sealhulgas partnerlused ja ühendused, kes tegelevad korrapäraselt majandustegevusega; […]“. 5 Määruse artikli 58 „Volitused“ lõigetes 2 ja 4 on ette nähtud: „2. Järelevalveasutusel on järgmised parandusvolitused: a) hoiatada vastutavat töötlejat või volitatud töötlejat, et kavandatavad isikuandmete töötlemise toimingud rikuvad tõenäoliselt käesoleva määruse sätteid; b) teha vastutavale töötlejale või volitatud töötlejale noomitusi, kui isikuandmete töötlemise toimingud on rikkunud käesoleva määruse sätteid; […] d) anda korraldus, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse käesoleva määruse sätetega; […] f) kehtestada ajutine või alaline isikuandmete töötlemise piirang, sealhulgas töötlemiskeeld; […] i) määrata artikli 83 kohaselt trahve lisaks käesolevas lõikes osutatud meetmetele või nende asemel, sõltuvalt konkreetse juhtumi asjaoludest; […]. 4. Järelevalveasutusele käesoleva artikli kohaselt antud volituste kasutamisele kohaldatakse asjakohaseid kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust, mis on sätestatud liidu ja liikmesriigi õiguses kooskõlas [Euroopa Liidu põhiõiguste] hartaga.“ 6 Määruse artikkel 83 „Trahvide määramise üldtingimused“ on sõnastatud järgmiselt: „1. Järelevalveasutus tagab, et käesoleva artikli kohane trahvide määramine lõigete 4, 5 ja 6 kohaste käesoleva määruse rikkumiste eest on igal üksikul juhul tõhus, proportsionaalne ja heidutav. 2. Trahve kohaldatakse üksiku juhtumi asjaoludest sõltuvalt kas lisaks artikli 58 lõike 2 punktides a–h ja j osutatud meetmetele või nende asemel. Otsustades igal konkreetsel juhul trahvi määramise ja selle suuruse üle, pööratakse asjakohast tähelepanu järgmisele: a) rikkumise laad, raskus ja kestus, võttes arvesse asjaomase töötlemise laadi, ulatust või eesmärki, samuti mõjutatud andmesubjektide hulka ja neile tekitatud kahju suurust; b) kas rikkumine pandi toime tahtlikult või hooletusest; c) vastutava töötleja või volitatud töötleja poolt võetud meetmed andmesubjektide kantava kahju leevendamiseks; d) vastutava töötleja või volitatud töötleja vastutuse aste, võttes arvesse nende poolt artiklite 25 ja 32 kohaselt võetud tehnilisi ja korralduslikke meetmeid; e) vastutava töötleja või volitatud töötleja eelnevad asjakohased rikkumised; f) järelevalveasutusega tehtava koostöö määr rikkumise heastamiseks ja rikkumise võimaliku kahjuliku mõju leevendamiseks; g) rikkumisest mõjutatud isikuandmete liigid; h) millisel viisil sai järelevalveasutus rikkumisest teada, eelkõige kas vastutav töötleja või volitatud töötleja teatas rikkumisest ja millisel määral ta seda tegi; i) kui asjaomase vastutava töötleja või volitatud töötleja suhtes on samas küsimuses varem võetud artikli 58 lõikes 2 osutatud meetmeid, siis nende meetmete järgimine; j) artikli 40 kohaste heakskiidetud toimimisjuhendite või artikli 42 kohaste heakskiidetud sertifitseerimismehhanismide järgimine, ning k) juhtumi asjaolude suhtes kohaldatavad mis tahes muud raskendavad või kergendavad tegurid, näiteks rikkumisest otseselt või kaudselt saadud finantskasu või välditud kahju. 3. Kui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega. 4. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 10000000 eurot või ettevõtja puhul kuni 2% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem: a) vastutava töötleja või volitatud töötleja kohustused artiklite 8, 11, 25–39, 42 ja 43 alusel; […]. 5. Kooskõlas lõikega 2 võib järgmiste sätete rikkumise eest määrata trahvi, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem: a) töötlemise aluspõhimõtted, sealhulgas artiklite 5, 6, 7 ja 9 kohased nõusoleku andmise tingimused; b) andmesubjektide õigused artiklite 12–22 alusel; […] d) mis tahes kohustused IX peatüki kohaselt vastu võetud liikmesriigi õigusaktide alusel; e) järelevalveasutuse artikli 58 lõike 2 kohase korralduse või ajutise või alalise töötlemispiirangu või andmevoogude peatamise täitmatajätmine või juurdepääsu andmisest keeldumine, rikkudes sellega artikli 58 lõiget 1. 6. Artikli 58 lõikes 2 osutatud järelevalveasutuse korralduse täitmatajätmise korral määratakse kooskõlas käesoleva artikli lõikega 2 trahv, mille suurus on kuni 20000000 eurot või ettevõtja puhul kuni 4% tema eelneva majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. 7. Ilma et see piiraks järelevalveasutuse parandusvolitusi artikli 58 lõike 2 alusel, võib liikmesriik näha ette eeskirju selle kohta, kas ja millisel määral võib trahve määrata selles liikmesriigis asutatud avaliku sektori asutustele ja organitele. 8. Käesoleva artikli kohaste volituste kasutamise suhtes järelevalveasutuse poolt kohaldatakse kooskõlas liidu ja liikmesriigi õigusega asjakohaseid menetluslikke kaitsemeetmeid, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust. […]“. Saksa õigus 7 30. juuni 2017. aasta föderaalse andmekaitseseaduse (Bundesdatenschutzgesetz) (BGBl. 2017 I, lk 2097) § 41 lõike 1 esimeses lauses on ette nähtud, et kui selles seaduses ei ole sätestatud teisiti, kohaldatakse isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 nimetatud rikkumistele 24. mai 1968. aasta haldusõigusrikkumiste seadust (Gesetz über Ordnungswidrigkeiten) (BGBl. 1968 I, lk 481) 19. veebruaril 1987 avaldatud redaktsioonis (BGBl. 1987 I, lk 602), mida on kohandatud 19. juuni 2020. aasta seadusega (BGBl. 2020 I, lk 1350; edaspidi „OWiG“). 8 OWiG § 30 „Juriidilistele isikutele ja isikuühendustele määratavad trahvid“ sätestab: „(1) Kui isik, kes tegutseb 1. juriidilist isikut esindama volitatud organina või sellise organi liikmena, 2. õigusvõimeta ühingu esimehena või juhatuse liikmena, 3. osanikuna, kellel on õigus esindada õigusvõimelist isikuühendust, 4. juriidilise isiku või punktis 2 või 3 nimetatud isikuühenduse täieõigusliku esindajana või juhtimisfunktsiooni täitva prokuristi või äriagendina või 5. juriidilisele isikule või punktis 2 või 3 nimetatud isikuühendusele kuuluva ettevõtte või ettevõtja juhtimise eest muul alusel vastutava isikuna, mille alla kuulub järelevalve äritegevuse juhtimise üle või muul viisil kontrollivolituste teostamine juhtival ametikohal, on toime pannud süüteo või haldusõigusrikkumise, mille tulemusel on rikutud juriidilise isiku või isikuühenduse kohustusi, või kui see juriidiline isik või isikuühendus on rikastunud või on eeldatavasti rikastunud, võib sellele juriidilisele isikule või isikuühendusele määrata trahvi. […] (4) Kui kriminaal- või haldusõigusrikkumise osas ei alustata kriminaalmenetlust ega trahvimenetlust või kui menetlus lõpetatakse või kui karistusest loobutakse, saab trahvi määrata iseseisvalt. Seaduses võib sätestada, et trahvi saab määrata iseseisvalt ka muudel juhtudel. Juriidilisele isikule või isikuühendusele iseseisvalt trahvi määramine on aga välistatud, kui süüteo või haldusõigusrikkumise eest ei saa karistada õiguslikel põhjustel […]“. 9 OWiG §‑s 130 on sätestatud: „(1) Isik, kes ettevõtte või ettevõtja omanikuna jätab tahtlikult või hooletusest võtmata vajalikud järelevalvemeetmed, et vältida ettevõttes või ettevõtjas nende kohustuste täitmata jätmist, mis on pandud selle omanikule ja mille rikkumise eest määratakse karistus või trahv, paneb toime haldusõigusrikkumise, kui kõnealust kohustuste täitmata jätmist oleks saanud kohaste järelevalvemeetmetega ära hoida või märkimisväärselt keerulisemaks teha. Vajalikud järelevalvemeetmed hõlmavad ka järelevalve eest vastutavate isikute määramist, hoolikat valimist ja kontrollimist. […] (3) Kui kohustuse täitmata jätmise eest on ette nähtud karistus, võib haldusõigusrikkumise eest karistada rahatrahviga kuni üks miljon eurot. Kohaldatakse § 30 lõike 2 kolmandat lauset. Kui kohustuse rikkumise eest on ette nähtud trahv, määratakse trahvi ülemmäär järelevalvekohustuse rikkumise eest kindlaks lähtuvalt kohustuse rikkumise eest ette nähtud trahvi ülemmäärast. […]“. Põhikohtuasi ja eelotsuse küsimused 10 DW on Euroopa äriühingu õiguslikus vormis asutatud kinnisvaraettevõtja, kes on noteeritud börsil ja kelle registrijärgne asukoht on Berliinis (Saksamaa). Osaluste kaudu mitmes äriühingus on tema kaudses omandis ligikaudu 163000 eluruumi ja 3000 äripinda. 11 Nende kinnisasjade omanikud on DWga seotud tütarettevõtjad, nn valdusettevõtjad, kes tegelevad igapäevase äritegevusega, sellal kui DW tegeleb kontserni – mille ta moodustab koos tütarettevõtjatega – keskse juhtimisega. Valdusettevõtjad annavad üürile äripindu ja eluruume, mida haldavad teised selle kontserni äriühingud, nn haldusettevõtjad. 12 Äritegevuse raames töötlevad DW ja tema juhitavasse kontserni kuuluvad äriühingud äripindade ja eluruumide üürnike isikuandmeid, näiteks isikusamasust tõendavaid andmeid, maksuandmeid, sotsiaal- ja tervisekindlustust puudutavaid andmeid ning eelnevaid üürisuhteid käsitlevaid andmeid. 13 Berliner Beauftragte für den Datenschutz (Berliini andmekaitseametnik, Saksamaa; edaspidi „järelevalveasutus“) juhtis 23. juunil 2017 toimunud kohapealse kontrolli käigus DW tähelepanu sellele, et tema kontserni kuuluvad ettevõtjad säilitavad üürnike isikuandmeid sisaldavaid dokumente elektroonilises arhiivisüsteemis, mille puhul ei ole võimalik kindlaks teha, kas andmete säilitamine on vajalik ja kas on tagatud ebavajalikuks muutunud andmete kustutamine. 14 Järelevalveasutus esitas DW‑le nõude need dokumendid elektroonilisest arhiivisüsteemist hiljemalt 2017. aasta lõpuks kustutada. Vastuseks sellele nõudele teatas DW, et kustutamine ei ole võimalik tehnilistel ja õiguslikel põhjustel. 15 Pärast DW ja järelevalveasutuse vahelist arvamustevahetust kõnealuste dokumentide kustutamise võimalikkuse teemal teatas DW sellele asutusele oma kavatsusest võtta kasutusele uus talletussüsteem, mis asendaks neid dokumente sisaldava süsteemi. 16 Järelevalveasutus korraldas 5. märtsil 2020 kontrolli DW juhitava kontserni peakontoris. DW teatas selle kontrolli ajal järelevalveasutusele, et vaidlusalune elektrooniline arhiivisüsteem on juba kasutuselt kõrvaldatud ja andmed viiakse peatselt üle uude süsteemi. 17 Järelevalveasutus määras 30. oktoobri 2019. aasta otsusega DW‑le 14385000 euro suuruse trahvi isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktide a, c ja e ning artikli 25 lõike 1 tahtliku rikkumise eest (edaspidi „vaidlusalune otsus“). Selle otsusega määras järelevalveasutus DW‑le isikuandmete kaitse üldmääruse artikli 6 lõike 1 rikkumiste eest veel 15 trahvi, mille summa jäi vahemikku 3000 ja 17000 eurot. 18 Järelevalveasutus leidis vaidlusaluses otsuses täpsemalt, et DW jättis 25. maist 2018 kuni 5. märtsini 2019 tahtlikult võtmata vajalikud meetmed, mis oleksid võimaldanud järjepidevalt kustutada üürnike isikuandmeid, mis olid muutunud ebavajalikuks või mida oli säilitatud ekslikult. Ta märkis samuti, et DW on jätkuvalt säilitanud vähemalt 15 täpsemalt identifitseeritud üürniku isikuandmeid, kuigi see ei olnud vajalik. 19 DW esitas selle otsuse peale kaebuse Landgericht Berlinile (Berliini esimese astme kohus, Saksamaa). Nimetatud kohus lõpetas menetluse, leides, et vaidlusalusel otsusel on nii tõsised puudused, et selle alusel ei saa trahvi määrata. 20 Muu hulgas märkis see kohus, et juriidilisele isikule trahvi määramist reguleerib ammendavalt OWiG § 30, mida kohaldatakse isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 nimetatud rikkumiste suhtes vastavalt föderaalse andmekaitseseaduse § 41 lõikele 1. OWiG § 30 kohaselt saab tuvastada üksnes füüsilise isiku, mitte juriidilise isiku haldusõigusrikkumise. Pealegi saab juriidilisele isikule omistada vaid tema organite liikmete või esindajate tegusid. Kuigi § 30 lõige 4 lubab teatud tingimustel algatada iseseisva trahvimenetluse juriidilise isiku vastu, on ka sellisel juhul nõutav, et oleks võimalik tuvastada asjaomase juriidilise isiku organite liikmete või esindajate haldusõigusrikkumine. 21 Staatsanwaltschaft Berlin (Berliini prokuratuur) esitas selle otsuse peale kaebuse Kammergericht Berlinile (Berliini liidumaa kõrgeim üldkohus, Saksamaa), kes on eelotsusetaotluse esitanud kohus. 22 Eelotsusetaotluse esitanud kohtul on tekkinud esiteks küsimus, kas isikuandmete kaitse üldmääruse artikli 83 kohaselt peab olema võimalik määrata trahv juriidilisele isikule, ilma et selle määruse rikkumist oleks enne omistatud identifitseeritud füüsilisele isikule. Selles kontekstis soovib eelotsusetaotluse esitanud kohus eelkõige teada, kas mõiste „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses on asjakohane. 23 Sellega seoses selgitab eelotsusetaotluse esitanud kohus, et riigisisese kohtupraktika kohaselt on juriidiliste isikute piiratud vastutuse kord, mis on ette nähtud liikmesriigi õiguses, vastuolus ettevõtjate otsese vastutuse korraga, mis on ette nähtud isikuandmete kaitse üldmääruse artiklis 83. Selle kohtupraktika kohaselt tuleneb eelkõige isikuandmete kaitse üldmääruse – millel on liidu õiguse esimuse põhimõtte kohaselt riigisisese süsteemi ees esimus – artikli 83 sõnastusest, et ettevõtjatele võib määrata trahve. Järelikult ei ole vaja siduda selliste trahvide määramist juriidiliste isikute organite või juhtide õigusvastase tegevusega vastupidi sellele, mida nõuab kohaldatav riigisisene õigus. 24 Eelotsusetaotluse esitanud kohtu sõnul antakse selles kohtupraktikas, nagu ka valdavas osas liikmesriigi õigusteoorias, eriline tähtsus mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses ning seega ideele, et vastutus omistatakse majandusüksusele, mille raames toimus soovimatu – näiteks konkurentsivastane – käitumine. Selle „funktsionaalse“ käsitluse kohaselt on kõigi töötajate, kellel on õigus ettevõtja nimel tegutseda, kõik toimingud omistatavad ettevõtjale, sealhulgas haldusmenetluses. 25 Teiseks, juhul kui Euroopa Kohus peaks leidma, et trahvi peab saama määrata otse juriidilisele isikule, soovib eelotsusetaotluse esitanud kohus teada, milliseid kriteeriume tuleb kohaldada selleks, et tuvastada juriidilise isiku kui ettevõtja vastutus isikuandmete kaitse üldmääruse rikkumise eest. Ta soovib eelkõige teada, kas selle määruse artikli 83 alusel võib juriidilisele isikule määrata trahvi, ilma et oleks tõendatud, et juriidilisele isikule omistatud rikkumine on toime pandud süüliselt. 26 Neil asjaoludel otsustas Kammergericht Berlin (Berliini liidumaa kõrgeim üldkohus) menetluse peatada ja esitada Euroopa Kohtule järgmised eelotsuse küsimused: „1. Kas isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6 tuleb tõlgendada nii, et nendega on riigisisesesse õigusesse viidud [ELTL] artiklites 101 ja 102 sisalduv funktsionaalne ettevõtja mõiste ja funktsioonikandja põhimõte (Funktionsträgerprinzip), mille tulemusel saab [OWiG] § 30 aluseks olevat õiguskandja põhimõtet (Rechtsträgerprinzip) laiendades algatada trahvimenetluse vahetult ettevõtja suhtes ning trahvi määramiseks ei ole vaja tuvastada identifitseeritud füüsilise isiku poolt toime pandud haldusõigusrikkumist, mis sellisel juhul peab vastama kõigile niisuguse rikkumise koosseisutunnustele? 2. Kui esimesele küsimusele vastatakse jaatavalt: kas isikuandmete kaitse üldmääruse artikli 83 lõikeid 4–6 tuleb tõlgendada nii, et selleks, et ettevõtjale saaks määrata trahvi, peab ettevõtja olema süüdi töötaja toime pandud rikkumises (vt nõukogu 16. detsembri 2002. aasta määruse (EÜ) nr 1/2003 asutamislepingu artiklites 81 ja 82 sätestatud konkurentsieeskirjade rakendamise kohta (EÜT 2003, L 1, lk 1; ELT eriväljaanne 08/02, lk 205) artikkel 23), või piisab põhimõtteliselt juba kohustuste objektiivse täitmata jätmise omistamisest ettevõtjale (süüst sõltumatu vastutus)?“ Menetluse suulise osa uuendamise taotlus 27 Pärast 17. jaanuaril 2023 toimunud kohtuistungit taotles DW Euroopa Kohtu kantseleile 23. märtsil 2023 esitatud dokumendis Euroopa Kohtu kodukorra artikli 83 alusel menetluse suulise osa uuendamist. 28 Oma taotluse põhjendamiseks väidab DW sisuliselt, et eelotsusetaotluse esitanud kohtu vastused selgituste küsimisele kodukorra artikli 101 alusel ei anna Euroopa Kohtule õiget teavet kohaldatavate riigisiseste õigusnormide kohta. Ammendav arutelu selles küsimuses ei olnud aga 17. jaanuari 2023. aasta kohtuistungil võimalik, sest pooled said nendest vastustest teada alles kolm tööpäeva enne kohtuistungit. Selline tähtaeg ei võimaldanud kohtuistungi põhjalikku ettevalmistamist. 29 Kodukorra artikli 83 kohaselt võib Euroopa Kohus tõepoolest igal ajal, olles kohtujuristi ära kuulanud, uuendada määrusega menetluse suulise osa, eelkõige kui ta leiab, et tal ei ole piisavalt teavet, või kui pool on pärast suulise osa lõpetamist esitanud uue asjaolu, millel on otsustav tähtsus Euroopa Kohtu lahendile, või kui asja lahendamisel tuleks tugineda argumendile, mille üle huvitatud isikud ei ole vaielnud. 30 Käesoleval juhul on Euroopa Kohtul siiski olemas kogu vajalik teave otsuse tegemiseks ning käesoleva kohtuasja lahendamisel ei ole vaja tugineda argumentidele, mille üle huvitatud isikud ei ole vaielnud. Pealegi ei ilmne menetluse suulise osa uuendamise taotlusest ühtegi uut asjaolu, millel võiks olla otsustav tähtsus lahendile, mis Euroopa Kohtul tuleb selles kohtuasjas teha. 31 Neil asjaoludel leiab Euroopa Kohus, olles kohtujuristi ära kuulanud, et puudub vajadus menetluse suulise osa uuendamiseks. Eelotsuse küsimuste analüüs Esimene küsimus 32 Esimese küsimusega palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artikli 58 lõiget 2 ja artikli 83 lõikeid 1–6 tuleb tõlgendada nii, et nendega on vastuolus riigisisesed õigusnormid, mille kohaselt saab juriidilisele isikule kui vastutavale töötlejale määrata artikli 83 lõigetes 4–6 nimetatud rikkumise eest trahvi üksnes siis, kui see rikkumine on enne omistatud identifitseeritud füüsilisele isikule. 33 Alustuseks olgu märgitud, et oma kirjalikes seisukohtades väljendas Saksamaa valitsus kahtlust riigisisesele õigusele eelotsusetaotluse esitanud kohtu antud tõlgenduse suhtes, sest OWiG § 130 võimaldab määrata juriidilisele isikule trahvi ka väljaspool OWiG §‑s 30 nimetatud juhtumeid. Lisaks võimaldavad need kaks sätet määrata ettevõtja vastu algatatud menetluses nn anonüümse trahvi, ilma et oleks vaja identifitseerida kõnealuse rikkumise toime pannud füüsilist isikut. 34 Eelotsusetaotluse esitanud kohus vastas selgituste küsimisele, mida on mainitud käesoleva kohtuotsuse punktis 28, et OWiG § 130 ei mõjuta esimest küsimust. 35 Eelotsusetaotluse esitanud kohtu sõnul on selle sätte adressaat ettevõtte või ettevõtja omanik, kes peab olema süüliselt rikkunud järelevalvekohustust. Ettevõtja omanikul lasuvate kohustuste niisuguse rikkumise tõendamine on aga äärmiselt keeruline ja sageli võimatu ning riigi tasandil vaieldakse küsimuse üle, kas kontserni saab kvalifitseerida „ettevõtjaks“ või „ettevõtjate omanikuks“ selle sätte tähenduses. Igal juhul on esimene eelotsuse küsimus asjakohane ka selles kontekstis. 36 Riigisisese õiguskorra sätete tõlgendamise kohta olgu meenutatud, et Euroopa Kohus peab põhimõtteliselt tuginema eelotsusetaotlusest tulenevatele hinnangutele. Nimelt ei ole Euroopa Kohus väljakujunenud kohtupraktika kohaselt pädev tõlgendama liikmesriigi õigust (26. jaanuari 2021. aasta kohtuotsus Hessischer Rundfunk, C‑422/19 ja C‑423/19, EU:C:2021:63, punkt 31 ning seal viidatud kohtupraktika). 37 Järelikult tuleb esimesele eelotsuse küsimusele vastates lähtuda eeldusest, et kohaldatava riigisisese õiguse kohaselt saab juriidilisele isikule kui vastutavale töötlejale määrata isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 nimetatud rikkumise eest trahvi üksnes OWiG §‑s 30 ette nähtud tingimustel, nagu neid on selgitanud eelotsusetaotluse esitanud kohus. 38 Esimesele küsimusele vastamiseks tuleb kõigepealt märkida, et isikuandmete kaitse üldmääruses ette nähtud põhimõtted, keelud ja kohustused on suunatud eelkõige „vastutavatele töötlejatele“, kelle vastutus hõlmab – nagu on rõhutatud isikuandmete kaitse üldmääruse põhjenduses 74 – igasugust isikuandmete töötlemist, mida nad teevad ise või mis toimub nende nimel, ning kes ei pea seetõttu mitte ainult rakendama asjakohaseid ja tõhusaid meetmeid, vaid ka olema võimelised tõendama isikuandmete töötlemise toimingute kooskõla isikuandmete kaitse üldmäärusega, sealhulgas sellise kooskõla tagamiseks võetud meetmete tõhusust. Just selle vastutuse alusel määratakse vastutavale töötlejale isikuandmete kaitse üldmääruse artikli 83 lõigetes 4–6 nimetatud rikkumiste korral artikli 83 kohaselt trahv. 39 Isikuandmete kaitse üldmääruse artikli 4 punktis 7 on mõiste „vastutav töötleja“ määratletud laialt kui füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. 40 Isikuandmete kaitse üldmääruse artikli 4 punkti 7 – mis sõnaselgelt hõlmab juriidilisi isikuid – laia määratluse eesmärk on tagada kooskõlas isikuandmete kaitse üldmääruse eesmärgiga füüsiliste isikute põhiõiguste ja -vabaduste tõhus kaitse, sealhulgas iga isiku õiguse tema isikuandmete kaitsele kõrgetasemeline kaitse (vt selle kohta 29. juuli 2019. aasta kohtuotsus Fashion ID, C‑40/17, EU:C:2019:629, punkt 66, ja 28. aprilli 2022. aasta kohtuotsus Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punkt 73 ning seal viidatud kohtupraktika). 41 Euroopa Kohus on juba otsustanud, et iga füüsilist või juriidilist isikut, kes enda huvides mõjutab isikuandmete töötlemist ja osaleb seetõttu töötlemise eesmärkide ja vahendite kindlaksmääramisel, võib pidada vastutavaks töötlejaks (vt selle kohta 10. juuli 2018. aasta kohtuotsus Jehovan todistajat, C‑25/17, EU:C:2018:551, punkt 68). 42 Isikuandmete kaitse üldmääruse artikli 4 punkti 7 sõnastusest ja eesmärgist tuleneb seega, et selle määruse kohase vastutuse kindlaksmääramisel ei teinud liidu seadusandja vahet füüsilistel ja juriidilistel isikutel, sest vastutuse suhtes kehtib vaid tingimus, et need isikud üksi või koos teistega määravad kindlaks isikuandmete töötlemise eesmärgid ja vahendid. 43 Piiramata isikuandmete kaitse üldmääruse artikli 83 lõikes 7 avaliku sektori asutuste ja organite kohta sätestatut, vastutab seega iga isik, kes vastab nimetatud tingimusele – olenemata sellest, kas tegemist on füüsilise isiku, juriidilise isiku, avaliku sektori asutuse, ameti või muu organiga –, muu hulgas iga artikli 83 lõigetes 4–6 nimetatud rikkumise eest, mille on toime pannud ta ise või mis on toime pandud tema nimel. 44 Juriidiliste isikute puhul tähendab see esiteks seda, nagu kohtujurist oma ettepaneku punktides 57–59 sisuliselt märkis, et nad ei vastuta mitte ainult rikkumiste eest, mille on toime pannud nende esindajad, juhid või haldajad, vaid ka rikkumiste eest, mille on toime pannud mis tahes muu isik, kes tegutseb nende juriidiliste isikute äritegevuse raames ja nende nimel. Teiseks peab selliste rikkumiste eest isikuandmete kaitse üldmääruse artiklis 83 ette nähtud trahve olema võimalik määrata otse juriidilistele isikutele, kui neid saab pidada asjaomase töötlemise puhul vastutavaks töötlejaks. 45 Seejärel tuleb märkida, et isikuandmete kaitse üldmääruse artikli 58 lõikes 2 on täpselt kindlaks määratud järelevalveasutuste parandusvolitused, ilma et oleks viidatud liikmesriikide õigusele ega jäetud liikmesriikidele kaalutlusruumi. Ühelt poolt puudutavad need volitused, mille hulka kuulub artikli 58 lõike 2 punkti i kohaselt trahvi määramise volitus, vastutavat töötlejat ja teiselt poolt võib selline vastutav töötleja olla – nagu nähtub käesoleva kohtuotsuse punktist 39 – nii füüsiline kui ka juriidiline isik. Sisulised tingimused, mida järelevalveasutus peab sellise trahvi määramisel järgima, on omakorda sätestatud täpselt ja liikmesriikidele kaalutlusruumi jätmata artikli 83 lõigetes 1–6. 46 Isikuandmete kaitse üldmääruse artikli 4 punktist 7, artiklist 83 ja artikli 58 lõike 2 punktist i tuleneb nende koostoimes, et artikli 83 lõigetes 4–6 nimetatud rikkumise eest võib määrata trahvi ka juriidilistele isikutele, kui nad on vastutavad töötlejad. Seevastu ei võimalda ükski isikuandmete kaitse üldmääruse säte asuda seisukohale, et juriidilisele isikule kui vastutavale töötlejale trahvi määramiseks tuleb enne tuvastada, et selle rikkumise on toime pannud identifitseeritud füüsiline isik. 47 On tõsi, et isikuandmete kaitse üldmääruse artikli 58 lõikest 4 ja artikli 83 lõikest 8, arvestades määruse põhjendust 129, tuleneb, et nende artiklite kohaste volituste kasutamisel järelevalveasutuse poolt kohaldatakse kooskõlas liidu ja liikmesriigi õigusega asjakohaseid menetluslikke tagatisi, sealhulgas tõhusat õiguskaitsevahendit ja nõuetekohast menetlust. 48 Sellegipoolest ei tähenda asjaolu, et niiviisi annab see määrus liikmesriikidele võimaluse kehtestada nõudeid, mis puudutavad menetlust, mida järelevalveasutused peavad trahvi määramisel järgima, mingil juhul seda, et liikmesriikidel oleks õigus lisaks sellistele menetluslikele nõuetele kehtestada ka sisulisi tingimusi, mis täiendavad artikli 83 lõigetes 1–6 sätestatud tingimusi. Lisaks kinnitab asjaolu, et liidu seadusandja on sõnaselgelt ette näinud selle võimaluse, kuid mitte võimalust kehtestada täiendavaid sisulisi tingimusi, kinnitab lisaks seda, et ta ei jätnud liikmesriikidele selles osas kaalutlusruumi. Kõnealused sisulised tingimused on järelikult üksnes liidu õiguse reguleerida. 49 Isikuandmete kaitse üldmääruse artikli 58 lõike 2 ja artikli 83 lõigete 1–6 grammatilist tõlgendust kinnitab määruse eesmärk. 50 Eeskätt nähtub isikuandmete kaitse üldmääruse põhjendusest 10, et määruse sätete eesmärk on eelkõige tagada liidus füüsiliste isikute järjekindel ja kõrgetasemeline kaitse isikuandmete töötlemisel ning selleks tagada füüsiliste isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine isikuandmete töötlemisel kogu liidus. Lisaks on isikuandmete kaitse üldmääruse põhjendustes 11 ja 129 rõhutatud vajadust määruse ühtlaseks kohaldamiseks tagada, et järelevalveasutustel oleks olemas vastavad volitused isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel ning et neil oleks selle määruse rikkumise korral võimalik määrata vastavaid sanktsioone. 51 Isikuandmete kaitse üldmääruse eesmärgiga oleks aga vastuolus lubada liikmesriikidel ühepoolselt nõuda, et vajalik tingimus isikuandmete kaitse üldmääruse artikli 83 alusel juriidilisest isikust vastutavale töötlejale trahvi määramiseks on see, et kõnealune rikkumine oleks enne omistatud või omistatav identifitseeritud füüsilisele isikule. Pealegi võiks selline lisanõue lõppkokkuvõttes nõrgendada juriidilistele isikutele kui vastutavatele töötlejatele määratud trahvide tõhusust ja heidutavat mõju, rikkudes isikuandmete kaitse üldmääruse artikli 83 lõiget 1. 52 Sellega seoses tuleb märkida, et ELTL artikli 288 teine lõik näeb ette, et liidu määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides, mis välistab – kui mõnest sättest ei tulene teisiti –, et liikmesriigid võtavad vastu määruse kohaldamisala piiravad riigisisesed sätted. Lisaks ei tohi liikmesriigid EL toimimise lepingust tulenevate kohustuste tõttu takistada määrustele omast vahetut kohaldatavust. Eeskätt ei tohi liikmesriigid võtta vastu akti, millega varjatakse õigussubjektide eest õigusnormi liidu õigusest tulenemist ning sellest tulenevaid tagajärgi (15. novembri 2012. aasta kohtuotsus Al-Aqsa vs. nõukogu ja Madalmaad vs. Al-Aqsa, C‑539/10 P ja C‑550/10 P, EU:C:2012:711, punktid 86 ja 87 ning seal viidatud kohtupraktika). 53 Lõpuks tuleb eelotsusetaotluse esitanud kohtu küsimusi arvestades märkida, et mõiste „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses ei mõjuta küsimust, kas ja millistel tingimustel võib juriidilisest isikust vastutavale töötlejale määrata isikuandmete kaitse üldmääruse artikli 83 alusel trahvi, sest seda küsimust reguleerivad ammendavalt määruse artikli 58 lõige 2 ja artikli 83 lõiked 1–6. 54 Nimetatud mõiste on asjakohane ainult isikuandmete kaitse üldmääruse artikli 83 lõigete 4–6 alusel vastutavale töötlejale määratava trahvi suuruse kindlaksmääramisel. 55 Nagu kohtujurist oma ettepaneku punktis 45 märkis, tuleb isikuandmete kaitse üldmääruse põhjenduses 150 sisalduvat viidet mõistele „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses käsitleda määruse artikli 83 lõigetes 4–6 nimetatud rikkumiste eest määratavate trahvide arvutamise konkreetses kontekstis. 56 Sellega seoses tuleb rõhutada, et ELTL artiklites 101 ja 102 osutatud konkurentsieeskirjade kohaldamisel hõlmab see mõiste mis tahes majandustegevusega tegelevat üksust, sõltumata selle üksuse õiguslikust vormist ja rahastamisviisist. Mõiste tähistab seega majandusüksust, isegi kui õiguslikult koosneb see majandusüksus mitmest füüsilisest või juriidilisest isikust. Sellel majandusüksusel on isiklikest, varalistest ja mittevaralistest osadest koosnev ühtne organisatsioon, mis kestvalt taotleb kindlaksmääratud majanduslikku eesmärki (6. oktoobri 2021. aasta kohtuotsus Sumal, C‑882/19, EU:C:2021:800, punkt 41 ja seal viidatud kohtupraktika). 57 Nii nähtub isikuandmete kaitse üldmääruse artikli 83 lõigetest 4–6, mis käsitlevad nendes lõigetes loetletud rikkumiste eest määratavate trahvide arvutamist, et juhul, kui trahvi adressaat on ettevõtja või osa ettevõtjast ELTL artiklite 101 ja 102 tähenduses, arvutatakse trahvi ülemmäär protsendina asjaomase ettevõtja eelneva majandusaasta ülemaailmsest aastasest kogukäibest. 58 Nagu märkis kohtujurist oma ettepaneku punktis 47, saab lõppkokkuvõttes üksnes selline trahv, mille suuruse määrab järelevalveasutus kindlaks trahvi adressaadi tegeliku või materiaalse majandusliku võimekuse alusel, lähtudes trahvisumma puhul majandusüksuse mõistest käesoleva kohtuotsuse punktis 56 viidatud kohtupraktika tähenduses, vastata isikuandmete kaitse üldmääruse artikli 83 lõikes 1 sätestatud kolmele tingimusele: olla ühtaegu tõhus, proportsionaalne ja heidutav. 59 Seega, kui järelevalveasutus otsustab volituste alusel, mis tal isikuandmete kaitse üldmääruse artikli 58 lõike 2 alusel on, määrata vastutavale töötlejale, kes on ettevõtja või osa ettevõtjast ELTL artiklite 101 ja 102 tähenduses, selle määruse artikli 83 alusel trahvi, peab järelevalveasutus vastavalt viimati mainitud sättele, arvestades sama määruse põhjendust 150, lähtuma artikli 83 lõigetes 4–6 nimetatud rikkumiste eest määratavate trahvide arvutamisel mõistest „ettevõtja“ ELTL artiklite 101 ja 102 tähenduses. 60 Eespool toodud põhjendusi arvestades tuleb esimesele küsimusele vastata, et isikuandmete kaitse üldmääruse artikli 58 lõike 2 punkti i ja artikli 83 lõikeid 1–6 tuleb tõlgendada nii, et nendega on vastuolus riigisisesed õigusnormid, mille kohaselt saab juriidilisele isikule kui vastutavale töötlejale määrata artikli 83 lõigetes 4–6 nimetatud rikkumise eest trahvi üksnes siis, kui see rikkumine on enne omistatud identifitseeritud füüsilisele isikule. Teine küsimus 61 Teise küsimusega, mis on esitatud juhuks, kui vastus esimesele küsimusele on jaatav, palub eelotsusetaotluse esitanud kohus sisuliselt selgitada, kas isikuandmete kaitse üldmääruse artiklit 83 tuleb tõlgendada nii, et selle sätte alusel võib trahvi määrata üksnes siis, kui on tõendatud, et vastutav töötleja, kes on nii juriidiline isik kui ka ettevõtja, pani selle artikli lõigetes 4–6 nimetatud rikkumise toime tahtlikult või hooletusest. 62 Sellega seoses olgu märgitud, et isikuandmete kaitse üldmääruse artikli 83 lõikest 1 tulenevalt peavad trahvid olema tõhusad, proportsionaalsed ja heidutavad. Seevastu ei ole isikuandmete kaitse üldmääruse artiklis 83 sõnaselgelt täpsustatud, et selle artikli lõigetes 4–6 nimetatud rikkumiste eest võib sellise trahviga karistada üksnes juhul, kui need on toime pandud tahtlikult või vähemalt hooletusest. 63 Saksamaa, Eesti ja Norra valitsus ning Euroopa Liidu Nõukogu järeldavad sellest eelkõige, et liidu seadusandja soovis jätta liikmesriikidele isikuandmete kaitse üldmääruse artikli 83 rakendamisel teatava kaalutlusruumi, võimaldades neil vajaduse korral ette näha selle sätte alusel trahvide määramise, ilma et oleks tõendatud, et isikuandmete kaitse üldmääruse rikkumine, mille eest see trahv määrati, pandi toime tahtlikult või hooletusest. 64 Isikuandmete kaitse üldmääruse artikli 83 sellise tõlgendusega ei saa nõustuda. 65 Nagu on tõdetud käesoleva kohtuotsuse punktides 45 ja 48, kuuluvad sisulised tingimused, mida järelevalveasutus peab vastutavale töötlejale trahvi määramisel järgima, üksnes liidu õiguse kohaldamisalasse, sest need tingimused on isikuandmete kaitse üldmääruse artikli 83 lõigetes 1–6 sätestatud täpselt ja liikmesriikidele kaalutlusruumi jätmata (vt ka 5. detsembri 2023. aasta kohtuotsus Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:XXX, punktid 64–70). 66 Nende tingimuste kohta tuleb märkida, et isikuandmete kaitse üldmääruse artikli 83 lõikes 2 on loetletud asjaolud, mida arvestades määrab järelevalveasutus vastutavale töötlejale trahvi. Nende asjaolude hulka kuulub selle sätte punktis b nimetatud asjaolu, „kas rikkumine pandi toime tahtlikult või hooletusest“. Ükski selles sättes loetletud asjaolu ei viita aga mis tahes võimalusele, et vastutava töötleja vastutus tekib ilma tema süülise käitumiseta. 67 Lisaks on oluline tõlgendada isikuandmete kaitse üldmääruse artikli 83 lõiget 2 koostoimes sama artikli lõikega 3, mille eesmärk on näha ette selle määruse rikkumiste kumuleerumise tagajärjed ja milles on sätestatud, et „[k]ui vastutav töötleja või volitatud töötleja rikub samade või seonduvate isikuandmete töötlemise toimingute puhul tahtlikult või hooletusest mitut käesoleva määruse sätet, ei ületa trahvi kogusumma summat, mis on sätestatud seoses raskeima rikkumisega“. 68 Seega tuleneb isikuandmete kaitse üldmääruse artikli 83 lõike 2 sõnastusest, et üksnes selline määruse sätete rikkumine, mille vastutav töötleja on toime pannud süüliselt, st tahtlikult või hooletusest, võib kaasa tuua talle trahvi määramise selle artikli alusel. 69 Isikuandmete kaitse üldmääruse üldine ülesehitus ja eesmärk toetavad seda tõlgendust. 70 Esiteks nägi liidu seadusandja ette sanktsioonide süsteemi, mis võimaldab järelevalveasutustel määrata iga juhtumi asjaolusid arvestades kõige sobivama sanktsiooni. 71 Isikuandmete kaitse üldmääruse artikli 58 lõike 2 punktis i on nimelt ette nähtud, et järelevalveasutused võivad määrata selle määruse artikli 83 alusel trahve „lisaks“ muudele artikli 58 lõikes 2 loetletud parandusmeetmetele, nagu hoiatused, noomitused või korraldused, „või nende asemel“. Samuti on määruse põhjenduses 148 muu hulgas märgitud, et järelevalveasutus võib väiksema õigusrikkumise puhul või kui tõenäoliselt määratav trahv kujutaks endast füüsilise isiku jaoks ebaproportsionaalset koormust, jätta trahvi määramata ja teha selle asemel noomituse. 72 Teiseks, nagu on märgitud käesoleva kohtuotsuse punktis 50, on isikuandmete kaitse üldmääruse sätete eesmärk eelkõige tagada liidus füüsiliste isikute järjekindel ja kõrgetasemeline kaitse isikuandmete töötlemisel ning selleks tagada nende isikute põhiõiguste ja -vabaduste kaitse eeskirjade järjekindel ja ühtne kohaldamine isikuandmete töötlemisel kogu liidus. Peale selle peavad järelevalveasutustel määruse ühtlase kohaldamise tagamiseks olema vastavad volitused isikuandmete kaitse eeskirjade järgimise kontrollimisel ja tagamisel, et neil oleks selle määruse rikkumise korral võimalik määrata vastavaid sanktsioone. 73 Sellise sanktsioonide süsteemi olemasolu, mis võimaldab määrata isikuandmete kaitse üldmääruse artikli 83 alusel trahvi, kui juhtumi konkreetsed asjaolud seda õigustavad, ajendab vastutavaid töötlejaid ja volitatud töötlejaid seda määrust järgima. Trahvid aitavad oma heidutava mõjuga kaasa füüsiliste isikute paremale kaitsele isikuandmete töötlemisel ja neil on seega otsustav tähtsus nende isikute õiguste austamise kindlustamisel vastavalt selle määruse eesmärgile tagada füüsiliste isikute kõrgetasemeline kaitse isikuandmete töötlemisel. 74 Liidu seadusandja ei ole siiski pidanud kõrgetasemelise kaitse tagamisel vajalikuks näha ette trahvide määramist ka süü puudumise korral. Arvestades asjaolu, et isikuandmete kaitse üldmääruse eesmärk on saavutada samaväärne ja ühtlane kaitsetase ning et selleks tuleb määrust kohaldada kogu liidus järjekindlalt, oleks selle eesmärgiga vastuolus, kui liikmesriikidel oleks lubatud ette näha selline kord trahvi määramiseks määruse artikli 83 alusel. Selline valikuvabadus kahjustaks ka liidu ettevõtjate vahelist konkurentsi, see aga läheks vastuollu eesmärkidega, mida liidu seadusandja on väljendanud eelkõige määruse põhjendustes 9 ja 13. 75 Järelikult tuleb tõdeda, et isikuandmete kaitse üldmääruse artikkel 83 ei võimalda määrata trahvi selle artikli lõigetes 4–6 nimetatud rikkumise eest, ilma et oleks tõendatud, et vastutav töötleja pani rikkumise toime tahtlikult või hooletusest, ning järelikult on süüline rikkumine sellise trahvi määramise tingimus. 76 Siinkohal tuleb veel täpsustada seoses küsimusega, kas rikkumine pandi toime tahtlikult või hooletusest ja kas selle eest võib seetõttu määrata trahvi isikuandmete kaitse üldmääruse artikli 83 alusel, et vastutavale töötlejale võib määrata sanktsiooni isikuandmete kaitse üldmääruse kohaldamisalasse kuuluva tegevuse eest, kui vastutavale töötlejale ei saanud olla teadmata, et tema tegevus kujutab endast rikkumist, olenemata sellest, kas ta oli teadlik, et ta rikub isikuandmete kaitse üldmääruse sätteid (vt analoogia alusel 18. juuni 2013. aasta kohtuotsus Schenker & Co. jt, C‑681/11, EU:C:2013:404, punkt 37 ning seal viidatud kohtupraktika; 25. märtsi 2021. aasta kohtuotsus Lundbeck vs. komisjon, C‑591/16 P, EU:C:2021:243, punkt 156, ning 25. märtsi 2021. aasta kohtuotsus Arrow Group ja Arrow Generics vs. komisjon, C‑601/16 P, EU:C:2021:244, punkt 97). 77 Kui vastutav töötleja on juriidiline isik, tuleb veel täpsustada, et isikuandmete kaitse üldmääruse artikli 83 kohaldamine ei eelda selle juriidilise isiku juhtorgani tegevust ega isegi teadmist (vt analoogia alusel 7. juuni 1983. aasta kohtuotsus Musique Diffusion française jt vs. komisjon, 100/80–103/80, EU:C:1983:158, punkt 97, ning 16. veebruari 2017. aasta kohtuotsus Tudapetrol Mineralölerzeugnisse Nils Hansen vs. komisjon, C‑94/15 P, EU:C:2017:124, punkt 28 ja seal viidatud kohtupraktika). 78 Eeltoodud kaalutlusi arvestades tuleb teisele küsimusele vastata, et isikuandmete kaitse üldmääruse artiklit 83 tuleb tõlgendada nii, et selle sätte alusel võib trahvi määrata üksnes siis, kui on tõendatud, et vastutav töötleja, kes on nii juriidiline isik kui ka ettevõtja, pani selle artikli lõigetes 4–6 nimetatud rikkumise toime tahtlikult või hooletusest. Kohtukulud 79 Kuna põhikohtuasja poolte jaoks on käesolev menetlus eelotsusetaotluse esitanud kohtus pooleli oleva asja üks staadium, otsustab kohtukulude jaotuse liikmesriigi kohus. Euroopa Kohtule seisukohtade esitamisega seotud kulusid, välja arvatud poolte kohtukulud, ei hüvitata. Esitatud põhjendustest lähtudes Euroopa Kohus (suurkoda) otsustab: 1. Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) artikli 58 lõike 2 punkti i ja artikli 83 lõikeid 1–6 tuleb tõlgendada nii, et nendega on vastuolus riigisisesed õigusnormid, mille kohaselt saab juriidilisele isikule kui vastutavale töötlejale määrata artikli 83 lõigetes 4–6 nimetatud rikkumise eest trahvi üksnes siis, kui see rikkumine on enne omistatud identifitseeritud füüsilisele isikule. 2. Määruse 2016/679 artiklit 83 tuleb tõlgendada nii, et selle sätte alusel võib trahvi määrata üksnes siis, kui on tõendatud, et vastutav töötleja, kes on nii juriidiline isik kui ka ettevõtja, pani selle artikli lõigetes 4–6 nimetatud rikkumise toime tahtlikult või hooletusest. Allkirjad ( *1 ) Kohtumenetluse keel: saksa.