Acórdão do Tribunal de Justiça da União Europeia
Processo C-383/23

Edição provisória

CONCLUSÕES DA ADVOGADA‑GERAL

LAILA MEDINA

apresentadas em 12 de setembro de 2024 (1)

Processo C‑383/23

Anklagemyndigheden

contra

ILVA A/S

[pedido de decisão prejudicial apresentado pelo Vestre Landsret (Tribunal de Recurso da Região Oeste, Dinamarca)]

« Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 83.° — Coimas — Outras sanções pecuniárias — Conceito de “empresa” — Artigos 101.° e 102.° TFUE — Sociedade‑mãe e filial — Violação do Regulamento 2016/679 por uma filial — Cálculo do montante da coima — Ponderação do volume total de negócios do grupo de que a sociedade em causa faz parte — Processo penal »

1. O presente pedido de decisão prejudicial do Vestre Landsret (Tribunal de Recurso da Região Oeste, Dinamarca) tem por objeto a interpretação do artigo 83.°, n.os 4 a 6, do Regulamento (UE) 2016/679 (2). O pedido foi apresentado no contexto de um processo penal instaurado pelo Anklagemyndigheden (Ministério Público, Dinamarca) contra a sociedade ILVA A/S (a seguir «ILVA») (3) por não ter cumprido as obrigações que lhe incumbem por força do artigo 5.°, n.° 1, alínea e), do artigo 5.°, n.° 2, e do artigo 6.° do RGPD na sua qualidade de responsável pelo tratamento dos dados pessoais de, pelo menos, 350 000 antigos clientes.

2. O processo prende‑se com a questão de saber se o termo «empresa» constante do artigo 83.°, n.os 4 a 6, do RGPD deve ser interpretado, à luz do considerando 150 desse regulamento, no sentido de que corresponde ao conceito de «empresa» no direito da concorrência da União (artigos 101.° e 102.° TFUE). Coloca‑se assim a questão de saber se, no contexto da aplicação de uma coima a uma sociedade por violação do RGPD, há que ter em conta o volume total de negócios anual da entidade económica (ou grupo) de que a sociedade infratora faz parte, e não apenas o volume total de negócios anual dessa sociedade.

3. A particularidade do caso em apreço reside no facto de, no processo principal, a coima ter sido aplicada não pela autoridade nacional de controlo dos dados no exercício dos seus poderes de controlo, mas sim por um tribunal no âmbito de um processo penal. De facto, o legislador da União inseriu no RGPD uma disposição específica a este respeito, que é aplicável, em particular, à Dinamarca.

I. Quadro jurídico

A. Direito da União Europeia

4. Nos termos dos considerandos 150 e 151 do RGPD:

«(150) A fim de reforçar e harmonizar as sanções administrativas para violações do presente regulamento, as autoridades de controlo deverão ter competência para impor coimas. O presente regulamento deverá definir as violações e o montante máximo e o critério de fixação do valor das coimas daí decorrentes, que deverá ser determinado pela autoridade de controlo competente, em cada caso individual, tendo em conta todas as circunstâncias relevantes da situação específica, ponderando devidamente, em particular, a natureza, a gravidade e a duração da violação e das suas consequências e as medidas tomadas para garantir o cumprimento das obrigações constantes do presente regulamento e para prevenir ou atenuar as consequências da infração. Sempre que forem impostas coimas a empresas, estas deverão ser entendidas como empresas nos termos dos artigos 101.° e 102.° do TFUE para esse efeito. […]

(151) Os sistemas jurídicos da Dinamarca e da Estónia não conhecem as coimas tal como são previstas no presente regulamento. As regras relativas às coimas podem ser aplicadas de modo que a coima seja imposta, na Dinamarca, pelos tribunais nacionais competentes como sanção penal e, na Estónia, pela autoridade de controlo no âmbito de um processo por infração menor, na condição de tal aplicação das regras nestes Estados‑Membros ter um efeito equivalente às coimas impostas pelas autoridades de controlo. Por esse motivo, os tribunais nacionais competentes deverão ter em conta a recomendação da autoridade de controlo que propõe a coima. Em todo o caso, as coimas impostas deverão ser efetivas, proporcionadas e dissuasivas.»

5. O artigo 83.° do RGPD, sob a epígrafe «Condições gerais para a aplicação de coimas», dispõe:

«1. Cada autoridade de controlo assegura que a aplicação de coimas nos termos do presente artigo relativamente a violações do presente regulamento a que se referem os n.os 4, 5 e 6 é, em cada caso individual, [eficaz], proporcionada e dissuasiva.

2. Consoante as circunstâncias de cada caso, as coimas são aplicadas para além ou em vez das medidas referidas no artigo 58.°, n.° 2, alíneas a) a h) e j). Ao decidir sobre a aplicação de uma coima e sobre o seu montante em cada caso individual, é tido em devida consideração o seguinte:

[…]

3. Se o responsável pelo tratamento ou o subcontratante violar, intencionalmente ou por negligência, no âmbito das mesmas operações de tratamento ou de operações ligadas entre si, várias disposições do presente regulamento, o montante total da coima não pode exceder o montante especificado para a violação mais grave.

4. A violação das disposições a seguir enumeradas está sujeita, em conformidade com o n.° 2, a coimas até 10 000 000 [de euros] ou, no caso de uma empresa, até 2 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado:

[…]

5. A violação das disposições a seguir enumeradas está sujeita, em conformidade com o n.° 2, a coimas até 20 000 000 [de euros] ou, no caso de uma empresa, até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado:

[…]

6. O incumprimento de uma ordem emitida pela autoridade de controlo a que se refere o artigo 58.°, n.° 2, está sujeito, em conformidade com o n.° 2 do presente artigo, a coimas até 20 000 000 [de euros] ou, no caso de uma empresa, até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante mais elevado.

[…]

8. O exercício das competências que lhe são atribuídas pelo presente artigo por parte da autoridade de controlo fica sujeito às garantias processuais adequadas nos termos do direito da União e dos Estados‑Membros, incluindo o direito à ação judicial e a um processo equitativo.

[…]»

B. Direito nacional

6. A Lov nr. 502 af 23. maj 2018 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Lei n.° 502, de 23 de maio de 2018, que complementa o regulamento relativo à Proteção no que diz respeito ao Tratamento de Dados Pessoais e à Livre Circulação Desses Dados) dispõe, no seu § 41, o seguinte:

«[1.] Salvo nos casos em que se justifique uma sanção mais severa ao abrigo de outra legislação, é aplicada uma coima ou uma pena de prisão até seis meses a quem violar disposições sobre:

[…]

(4) os princípios básicos do tratamento, incluindo as condições de consentimento, estabelecidos nos artigos 5.° a 7.° e 9.° do [RGPD],

[…]

3. Na aplicação da sanção prevista nos pontos 1) e 2), deve ser respeitado o disposto no artigo 83.°, n.° 2, do [RGPD].

[…]

6. As sociedades, etc. (pessoas coletivas) podem ser responsabilizadas criminalmente de acordo com as regras estabelecidas no capítulo 5 do Código Penal. […]»

II. Factos na origem do litígio no processo principal e questões prejudiciais

7. A ILVA é acusada perante os tribunais dinamarqueses de não ter cumprido — entre maio de 2018 e janeiro de 2019 — as obrigações que lhe incumbem, por força do artigo 5.°, n.° 1, alínea e), do artigo 5.°, n.° 2, e do artigo 6.° do RGPD, na qualidade de responsável pelo tratamento no que respeita à conservação de dados pessoais relativos a antigos clientes.

8. A ILVA explora uma cadeia de lojas de mobiliário e faz parte do Grupo Lars Larsen (a seguir «grupo»). O volume total de negócios do grupo no exercício de 2016/2017 ascendeu a 6,57 mil milhões de coroas dinamarquesas (DKK) (cerca de 881 milhões de euros). Desse montante, o volume de negócios da filial ILVA ascendeu a 1,8 mil milhões de DKK (cerca de 241 milhões de euros).

9. Por recomendação da Datatilsynet («Agência para a Proteção de Dados» da Dinamarca, que é a autoridade dinamarquesa de proteção de dados ou a «autoridade de controlo» para efeitos do RGPD), o Ministério Público pediu a aplicação de uma coima no montante de 1,5 milhões de DKK (cerca de 201 000 euros) à ILVA. O quadro relativo ao volume de negócios para o cálculo do montante dessa coima não se baseia no volume de negócios da ILVA, mas sim no volume total de negócios do grupo.

10. Por Acórdão de 12 de fevereiro de 2021, o Retten i Aarhus (Tribunal de Primeira Instância de Aarhus, Dinamarca) declarou a ILVA culpada, mas decidiu que esta tinha agido com negligência, contrariamente ao que o Ministério Público tinha alegado. O referido tribunal condenou a ILVA no pagamento de uma coima no montante de 100 000 DKK (cerca de 13 400 euros). Além disso, segundo aquele tribunal, uma vez que apenas tinha sido deduzida acusação contra a ILVA e não contra todo o grupo, não era necessário ter em conta o volume de negócios deste grupo para calcular o montante da coima. Também observou que a ILVA explorava um negócio retalhista independente e que o grupo não tinha criado essa filial com o único objetivo de lhe confiar o tratamento dos dados pessoais do grupo.

11. O Ministério Público interpôs recurso desse acórdão no Vestre Landsret (Tribunal de Recurso da Região Oeste), que é o órgão jurisdicional de reenvio. Esse órgão jurisdicional pretende determinar se o conceito de «empresa» previsto no artigo 83.°, n.os 4 a 6, do RGPD deve ser entendido no sentido de que, na fixação de uma coima em caso de violação do RGPD por uma sociedade, é necessário ter em conta o volume de negócios do grupo de que a sociedade em causa faz parte.

12. O Ministério Público defende que tal é o caso, sustentando que decorre do considerando 150 do RGPD que esse termo deve ser interpretado em conformidade com os artigos 101.° e 102.° TFUE.

13. A ILVA, por seu turno, alega que, na fixação de uma coima por violação do RGPD por uma empresa, não deve ser tido em conta o volume total de negócios do grupo de que a sociedade faz parte. Neste caso concreto, foi deduzida acusação apenas contra a ILVA, que é uma filial, e não contra a sociedade‑mãe.

14. O órgão jurisdicional de reenvio considera que a resposta àquela questão não resulta claramente do RGPD.

15. Nestas condições, o Vestre Landsret (Tribunal de Recurso da Região Oeste) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1. Deve o termo “empresa”[,] que figura no artigo 83.°, n.os 4 a 6, do [RGPD] ser entendido como uma empresa na aceção dos artigos 101.° e 102.° TFUE, em conjugação com o considerando 150 deste regulamento, e da jurisprudência do [Tribunal de Justiça] em matéria de direito da concorrência da União, no sentido de que o termo “empresa” abrange qualquer entidade que exerça uma atividade económica, independentemente do seu estatuto jurídico e do seu modo de financiamento?

2. Em caso de resposta afirmativa à primeira questão, deve o artigo 83.°, n.os 4 a 6, do [RGPD] ser interpretado no sentido de que, quando da aplicação de uma coima a uma empresa, deve ser tomado em consideração o volume de negócios mundial anual da entidade económica de que a empresa faz parte ou apenas o total do volume de negócios anual da própria empresa?»

III. Tramitação processual no Tribunal de Justiça

16. Foram apresentadas observações escritas pela ILVA e pela Comissão Europeia. Foi realizada uma audiência em 19 de junho de 2024, na qual estiveram representadas as duas partes.

IV. Apreciação

A. Introdução

17. O cenário subjacente às disposições específicas do RGPD que são relevantes no presente caso (4) e são aplicáveis, em especial, à Dinamarca, é o facto de a Agência para a Proteção de Dados não poder, em princípio, impor coimas por violações da legislação em matéria de proteção de dados. Em vez disso, tem de comunicar o caso às autoridades policiais, se o considerar necessário (5). As autoridades policiais procedem então a uma investigação e determinam se existem fundamentos para uma acusação formal. Se tal for o caso, o processo é remetido aos tribunais, que apreciam o caso e determinam o montante da coima.

B. Apreciação das questões prejudiciais

18. No meu entender, as duas questões devem ser apreciadas em conjunto. Com estas questões, o órgão jurisdicional de reenvio pergunta, em substância, se o termo «empresa» constante do artigo 83.°, n.os 4 a 6, do RGPD deve ser interpretado, à luz do considerando 150 desse regulamento, no sentido de que corresponde ao conceito de «empresa» na aceção dos artigos 101.° e 102.° TFUE. Coloca‑se assim a questão de saber se, no contexto da aplicação de uma coima a uma sociedade por violação do RGPD, é necessário ter em conta o volume total de negócios anual de toda a empresa (a entidade económica ou grupo, in casu o Grupo Lars Larsen, ou seja, cerca de 881 milhões de euros) de que a sociedade infratora faz parte (6), e não apenas o volume total de negócios anual da própria sociedade (a ILVA, ou seja, cerca de 241 milhões de euros).

1. O Acórdão Deutsche Wohnen

19. O artigo 83.° do RGPD constitui a base jurídica para a aplicação de coimas por violações desse regulamento. O RGPD não contém nenhuma definição do conceito de «empresa» para efeitos de aplicação coerciva da lei, mas o considerando 150 desse regulamento refere que devem ser utilizados os princípios do direito da concorrência da União para interpretar esse conceito (7).

20. O Tribunal de Justiça teve recentemente a oportunidade de interpretar alguns números (mas não todos) do artigo 83.° do RGPD e de abordar certas matérias relacionadas com as questões prejudiciais colocadas no presente processo.

21. No Acórdão Deutsche Wohnen (8), o Tribunal de Justiça decidiu, nomeadamente, que «resulta do artigo 83.°, n.os 4 a 6, do RGPD, relativo ao cálculo das coimas pelas violações enumeradas nesses números, que, no caso de o destinatário da coima ser uma empresa ou dela fazer parte, na aceção dos artigos 101.° e 102.° TFUE, o montante máximo da coima é calculado com base numa percentagem do volume [total] de negócios anual mundial [do] exercício anterior da empresa em causa».

22. O Tribunal de Justiça especifica que o montante máximo da coima se baseia no volume total de negócios anual a nível mundial (9) da «empresa», devendo este termo ser entendido em conformidade com o direito da concorrência da União (artigos 101.° e 102.° TFUE). Assim, o Tribunal de Justiça chama a atenção para o facto de que, ao fixar o montante máximo das coimas do RGPD, o legislador da União procurou estabelecer uma ponte entre as regras do RGPD e as regras do direito da concorrência da União.

23. Com efeito, neste contexto, o artigo 83.°, n.os 4 a 6, do RGPD é semelhante ao artigo 23.°, n.° 2, do Regulamento n.° 1/2003 (10), uma vez que ambos fixam um limite máximo legal para as coimas nos termos dos respetivos regulamentos.

24. O Tribunal de Justiça desenvolveu o seu raciocínio e abordou as condições aplicáveis à determinação do montante da coima. O Tribunal de Justiça observou no Acórdão Deutsche Wohnen (n.° 58) que «só uma coima cujo montante é determinado em função da capacidade económica real ou material do seu destinatário, e, portanto, imposta pela autoridade de controlo com base, no que respeita ao seu montante, no conceito de unidade económica na aceção da jurisprudência [ (11)], é suscetível de reunir as três condições enunciadas no artigo 83.°, n.° 1, do RGPD, nomeadamente, ser simultaneamente [eficaz], proporcionada e dissuasiva». Embora o Tribunal de Justiça se tenha referido, a este respeito, ao «destinatário» da coima, sublinhando assim a ligação entre a coima e a pessoa a quem é especificamente imputada a violação do RGPD, retomou posteriormente o conceito de «empresa» («unidade económica») ao abrigo do direito da concorrência da União.

25. Além disso, no n.° 59 do referido acórdão, o Tribunal de Justiça sustentou que «quando uma autoridade de controlo decide, ao abrigo dos poderes que detém por força do artigo 58.°, n.° 2, do RGPD, impor a um responsável pelo tratamento, que é uma empresa ou dela faz parte, na aceção dos artigos 101.° e 102.° TFUE, uma coima nos termos do artigo 83.° do referido regulamento, essa autoridade está obrigada a basear‑se, por força desta última disposição, lida à luz do considerando 150 do mesmo regulamento, aquando do cálculo das coimas para as infrações referidas no referido artigo 83.°, n.os 4 a 6, no conceito de “empresa”, na aceção desses artigos 101.° e 102.° TFUE» (12).

26. Concluo que decorre do Acórdão Deutsche Wohnen que, num caso em que a violação do RGPD é cometida por um responsável pelo tratamento ou um subcontratante que é (ou faz parte de) uma empresa, na fixação do montante máximo da coima, a referência ao volume total de negócios anual a nível mundial da «empresa» é entendida em conformidade com os artigos 101.° e 102.° TFUE. No entanto, não é apenas a questão relativa ao montante máximo da coima suscetível de ser aplicada a esse responsável pelo tratamento ou subcontratante que fica, assim, esclarecida. Daquela conclusão também decorre que a jurisprudência altamente matizada (e muito dependente das circunstâncias do caso concreto) relativa aos conceitos de «empresa» e «unidade económica» se torna relevante, em certa medida, também para estabelecer as condições de determinação da coima efetivamente aplicada por essa violação específica do RGPD.

27. Nos números que se seguem, analisarei o impacto da jurisprudência Deutsche Wohnen no contexto específico do presente processo, a fim de propor um quadro para orientar o órgão jurisdicional de reenvio na determinação da coima da ILVA.

2. Passo 1 da análise após o Acórdão Deutsche Wohnen: análise geral para determinar o montante máximo da coima

28. Tal como referido no n.os 25 e 26, supra, resulta da redação do artigo 83.° do RGPD, lido à luz do considerando 150 desse regulamento, e da jurisprudência do Acórdão Deutsche Wohnen que, nos casos em que o responsável pelo tratamento ou o subcontratante é (parte de) uma «empresa» na aceção dos artigos 101.° e 102.° TFUE, deve ser utilizado o volume de negócios global dessa empresa no seu conjunto para determinar o montante máximo da coima.

29. Segundo a jurisprudência do Tribunal de Justiça em matéria de concorrência, o termo «empresa» abrange «qualquer entidade que exerça uma atividade económica, independentemente do seu estatuto jurídico e do seu modo de financiamento» (13).

30. Resulta igualmente da jurisprudência do Tribunal de Justiça que o termo «empresa» constante dos artigos 101.° e 102.° TFUE pode designar uma única unidade económica, mesmo que essa unidade económica consista em várias pessoas singulares ou coletivas. Determinar se várias entidades constituem tal unidade depende, em grande medida, da questão de saber se a entidade individual é livre na sua capacidade de decisão ou se uma entidade principal, nomeadamente, a sociedade‑mãe, exerce uma influência determinante sobre as outras. Os critérios de determinação baseiam‑se nos vínculos económicos, jurídicos e organizacionais entre a sociedade‑mãe e a filial, por exemplo, o montante da participação, as relações de pessoal ou de organização, as instruções e a existência de contratos de sociedade (14).

31. A jurisprudência esclarece igualmente que o exercício efetivo de uma influência determinante da sociedade‑mãe sobre o comportamento da filial pode ser deduzido de um conjunto de elementos concordantes, mesmo que nenhum desses elementos, considerados isoladamente, seja suficiente para demonstrar a existência dessa influência (15). Neste contexto, os tribunais da União Europeia basearam‑se, nomeadamente, no poder da sociedade‑mãe de nomear os membros dos diferentes conselhos de administração da filial e no poder de convocar os acionistas para as assembleias e de propor a destituição de administradores ou de todo o conselho de administração da filial (16).

32. Resulta igualmente de jurisprudência constante que, no caso particular em que uma sociedade‑mãe detém direta ou indiretamente a totalidade ou a quase totalidade do capital da sua filial que cometeu uma infração às regras da concorrência, essa sociedade‑mãe pode exercer uma influência determinante sobre o comportamento dessa filial e existe uma presunção ilidível segundo a qual a referida sociedade‑mãe exerce, efetivamente, essa influência (17).

33. Segundo o n.° 2 do despacho de reenvio, a ILVA faz parte do Grupo Lars Larsen. Se o órgão jurisdicional de reenvio concluir que a sociedade‑mãe desse grupo exerce uma influência determinante sobre a ILVA, a «empresa» na aceção do artigo 83.°, n.° 5, do RGPD seria constituída por: i) a sociedade‑mãe desse grupo; ii) a ILVA; e iii) qualquer outra sociedade sobre a qual a sociedade‑mãe também exerça uma influência determinante. Esta última categoria inclui, potencialmente, outras sociedades pertencentes ao Grupo Lars Larsen.

34. O «volume de negócios» é expressamente referido no artigo 83.°, n.os 4 a 6, do RGPD no contexto do cálculo do montante máximo da coima que pode ser aplicada às sociedades. Esse montante máximo diz respeito a sociedades de grandes dimensões, uma vez que o limite não se aplica se a coima for inferior ao montante absoluto referido nesses três números do artigo 83.°, ou seja, 10 milhões de euros ou 20 milhões de euros. O limite máximo fixado com base no volume de negócios só é, portanto, relevante para as sociedades com um volume de negócios total a nível mundial superior a 500 milhões de euros (18).

35. Daqui decorre que, se o órgão jurisdicional de reenvio concluir que a sociedade‑mãe do Grupo Lars Larsen exerce uma influência determinante sobre a ILVA, então, em abstrato, o montante máximo da coima a aplicar no processo principal deve ser calculado com base numa percentagem do volume total de negócios anual a nível mundial correspondente ao exercício anterior da empresa em causa, ou seja, o Grupo Lars Larsen (do que a ILVA faz parte).

3. Passo 2 da análise após o Acórdão Deutsche Wohnen: análise para determinar a coima efetiva pelas violações em causa no processo principal

36. A questão da determinação do montante máximo da coima, tal como previsto pelo legislador da União no artigo 83.°, n.os 4 a 6, do RGPD, não deve ser confundida nem misturada com a tarefa subsequente que incumbe a uma autoridade de controlo (19) de determinar a coima efetiva a aplicar pela violação ou violações específicas do RGPD em causa.

37. Para o efeito, em primeiro lugar, importa salientar que o n.° 1 do artigo 83.° do RGPD estabelece três condições essenciais (20) que a autoridade de controlo tem de respeitar. Cada uma destas condições exige uma ponderação individual de todos os elementos da violação em causa e da coima efetiva adequada a aplicar. Além disso, o artigo 83.°, n.° 2, obriga a referida autoridade a respeitar uma série de requisitos para decidir «sobre a aplicação de uma coima e [qual] o montante [adequado] da coima [efetiva]». Por conseguinte, a fim de compreender plenamente a aplicação do artigo 83.°, n.os 4 a 6, do RGPD no contexto da fixação da coima efetiva num caso individual, há que ler estes números em conjugação com o artigo 83.°, n.° 1, e também com o artigo 83.°, n.° 2, do mesmo regulamento. Este último, particularmente importante, enumera fatores específicos que uma autoridade de controlo deve ter em conta ao determinar o montante efetivo da coima num determinado caso.

38. A própria redação do n.° 2 do referido artigo exige que sejam tidos em devida conta vários elementos de «cada caso individual», deixando simultaneamente à autoridade de controlo a tarefa de identificar os elementos específicos que são relevantes para o caso que lhe foi submetido e de determinar a sua relevância para efeitos da fixação da coima efetiva (21).

39. Contrariamente ao artigo 83.°, n.os 4 a 6, do RGPD (v. n.° 34 das presentes conclusões), o artigo 83.°, n.° 2, desse regulamento, ou o artigo 83.°, n.° 1, ou o artigo 83.°, n.° 3, do mesmo (22), não contêm nenhuma referência ao volume de negócios da empresa. Daqui resulta que o legislador da União optou por não incluir especificamente o «volume de negócios» enquanto um fator específico para a determinação da coima efetiva. Em vez disso, o artigo 83.°, n.° 2, enumera outros fatores (23) que caracterizam o comportamento do responsável pelo tratamento ou subcontratante a quem é imputada a infração, a fim de garantir que cada infração é apreciada com base em todas as circunstâncias individuais relevantes. Em meu entender, pode deduzir‑se do que precede que o legislador da União procurou distinguir entre os fatores que servem de base à determinação do montante máximo da coima (passo 1) e a lista dos requisitos que a autoridade de controlo está obrigada a respeitar no momento da fixação da coima efetiva (passo 2).

40. A este respeito, recordo que o Tribunal de Justiça sublinhou que «não é possível impor uma sanção, mesmo que não tenha natureza penal, se a mesma não assentar numa base jurídica clara e inequívoca» (24). É o que acontece, por maioria de razão, num processo penal como o que está em causa no caso em apreço. Na sua jurisprudência, o Tribunal de Justiça refere «o princípio da legalidade [que] exige que a lei defina claramente as infrações e as penas que as punem [...] [e] os critérios de apreciação da clareza da lei segundo a jurisprudência do Tribunal Europeu dos Direitos do Homem [(TEDH)]» (25).

41. A este respeito, a Comissão alega, em substância, que, no caso em apreço, decorre do RGPD que tanto o montante máximo da coima como o cálculo da coima efetiva se devem basear no volume de negócios da empresa a que a sociedade pertence. No entanto, as considerações expostas nos n.os 37 a 40 das presentes conclusões não permitem concluir que o artigo 83.°, n.os 1 a 6, do RGPD deve ser interpretado no sentido de que as regras de fixação do montante máximo da coima (passo 1) devem ser utilizadas como a referência principal ou a única referência para a fixação da coima efetiva (passo 2).

42. Em segundo lugar, em virtude dos efeitos indiretos decorrentes da ponte estabelecida entre os dois domínios do direito, é também possível inferir do direito da concorrência da União a necessidade de distinguir entre o montante máximo de uma coima (passo 1) e a coima efetiva (passo 2). De facto, no direito da concorrência da União, no que concerne ao montante máximo da coima, à semelhança do artigo 83.° do RGPD, a Comissão utiliza o volume de negócios para efeitos de cálculo do montante máximo da coima (que é fixada em 10 % do volume de negócios total da empresa por infração). No entanto, é importante salientar que a coima de base não é, ela mesma, determinada em função do volume de negócios (26).

43. Em vez disso, a coima de base é determinada, em substância, como uma percentagem do valor das vendas relevantes (que estão direta ou indiretamente relacionadas com a infração às regras da concorrência) multiplicada pela duração (anos ou períodos inferiores a um ano), acrescida de 15 % a 25 % do valor das vendas relevantes (como um efeito dissuasivo adicional para os cartéis). Esta coima de base pode ser aumentada caso se verifiquem circunstâncias agravantes ou reduzida caso se verifiquem circunstâncias atenuantes. Esse montante é então sujeito ao limite máximo global de 10 % do volume de negócios (existe a possibilidade adicional, quando aplicável, de reduzir a coima com base em clemência, transação e/ou incapacidade de pagamento). Tal mostra claramente que são os fatores que caracterizam diretamente a infração (tais como as vendas relevantes, a duração da infração e as circunstâncias específicas que caracterizam o caso) que desempenham um papel central na fixação da coima efetiva e não o volume total de negócios anual a nível mundial.

44. Conforme alguns autores já sublinharam, «não há comparação direta da metodologia de fixação das coimas utilizada pela Comissão em relação aos artigos 101.° [e] 102.° TFUE com o RGPD, uma vez que as coimas da União em matéria de concorrência visam captar o efeito do comportamento [anticoncorrencial] no mercado em causa, e não ter em conta o volume de negócios per se. Por exemplo, no que diz respeito aos cartéis, as coimas baseiam‑se no valor das vendas relativas ao “produto cartelizado” e não no volume de negócios global» (27).

45. Com efeito, a jurisprudência do Tribunal de Justiça confirma que a parte do volume de negócios global proveniente da venda de produtos objeto da infração (ou seja, «o valor das vendas») é a que melhor reflete a importância económica desta infração (28). Em contrapartida, o que o conceito de «volume de negócios» ao abrigo do RGPD visa refletir é a importância económica da empresa (29). Importa não confundir estas duas abordagens, uma vez que prosseguem objetivos diferentes: a primeira visa avaliar a gravidade da infração, enquanto a segunda visa avaliar a importância económica da empresa.

46. Assim, as considerações precedentes e a jurisprudência do Tribunal de Justiça (referida no n.º 40 das presentes conclusões) levam‑me a concluir que os limites do impacto da jurisprudência da UE em matéria de concorrência na aplicação de coimas efetivas por violações do RGPD deve ser enquadrado pelo princípio da legalidade. Em particular, há que garantir que as coimas efetivamente aplicadas ao abrigo do RGPD são calculadas exclusivamente em relação aos atos do infrator e têm plenamente em conta todas as características da infração em causa. Por conseguinte, a interpretação dos conceitos de «volume de negócios» e de «empresa» no momento da fixação do montante máximo da coima não pode ser automaticamente transposta para o cálculo da coima efetiva.

47. Para que uma coima satisfaça o objetivo do RGPD, reforçar o cumprimento das regras desse regulamento, e tendo em conta a jurisprudência do Tribunal de Justiça acima referida, a interpretação dos termos «empresa» e «volume de negócios» no momento da fixação do montante da coima efetiva deve respeitar os seguintes requisitos. No processo de determinação da coima efetiva, a autoridade de controlo deve, primeiro, basear‑se em todas as circunstâncias individuais desse caso específico, tal como exigido pelo artigo 83.°, n.° 2, do RGPD, incluindo a relação no âmbito da «empresa», tal como determinado pela jurisprudência da União em matéria de concorrência. Segundo, em resultado da ponderação de todas as circunstâncias relevantes, a coima efetiva deve ser eficaz, proporcionada e dissuasiva. Por último, mas não menos importante, sempre que necessário, devem ser respeitados os aspetos do direito penal relevantes para o caso.

48. Para que estes requisitos sejam cumpridos, gostaria de recordar os seguintes pontos.

49. Como observou o advogado‑geral G. Pitruzzella (30), no direito da União, o conceito de «empresa» assume um significado e um alcance definidos pelo quadro jurídico e pelos diversos objetivos prosseguidos por essa legislação. No direito da concorrência da União, o caráter funcional do conceito de «empresa» comporta dois aspetos. Em primeiro lugar, esse conceito baseia‑se mais no tipo de atividade exercida do que nas características dos sujeitos que a exercem. A concorrência é constituída e influenciada por atividades económicas. Por esta razão, os artigos 101.° e 102.° TFUE referem‑se em termos genéricos às «empresas», omitindo qualquer referência à sua estrutura jurídica. Em segundo lugar, a qualificação de uma atividade como económica, e, portanto, de uma entidade como empresa, para efeitos do direito da concorrência da União depende do contexto analisado. Semelhantemente, a identificação das entidades que se enquadram na definição da «empresa» depende do objeto da infração em causa.

50. Estas observações salientam, com razão, que o direito da concorrência da União dá primazia às questões económicas e não tem em conta as estruturas jurídicas da entidade em causa. Dito isto, o segundo aspeto limita esse entendimento, no sentido de que a identificação da entidade ou pessoa responsável pela infração e, consequentemente, a coima efetiva dependem da própria infração.

51. Por conseguinte, um dos elementos caracterizadores do termo «empresa» que deve ser tido em conta na determinação da coima de base e no seu ajustamento (a fim de fixar a coima efetiva) é o nível de participação de outras sociedades dessa empresa na violação do RGPD. A este respeito, tem sido defendido na jurisprudência nacional em matéria de direito da concorrência da União que, «em termos conceptuais, a questão da existência de uma “empresa” é distinta da questão da imputação de responsabilidade a diferentes sociedades de uma “empresa” […] [ (31)] [e] que uma pessoa não é ipso facto responsável por uma violação do artigo 101.° [TFUE] pelo simples facto de ser membro de uma empresa responsável à luz do direito da União pela infração, nos casos em que a pessoa em questão não tenha participado na infração nem exerça uma influência determinante sobre o comportamento no mercado relevante de outro(s) membro(s) da empresa que participaram na infração. […] [N]esses casos, até será pouco provável que se considere que a pessoa em questão faz, de facto, parte da referida “empresa”» (32).

52. A meu ver, os argumentos acima expostos são, ainda, relevantes para identificar as pessoas abrangidas pelo conceito de «empresa», a fim de determinar a coima efetiva pela violação do RGPD. É o que acontece, em particular, quando a autoridade de controlo tenha expressamente concluído que a sociedade‑mãe não esteve envolvida na infração em questão na qualidade de responsável pelo tratamento ou de subcontratante (33), como é o caso no processo principal.

53. Embora o legislador da União tenha, em certa medida, estabelecido uma ponte entre os dois domínios do direito da União para efeitos de fixação de coimas máximas, as regras do RGPD e as regras da União em matéria de concorrência prosseguem claramente objetivos diferentes. O regime regulamentar do RGPD é diferente do das regras da União em matéria de concorrência e baseia‑se no conceito de responsabilidade do responsável pelo tratamento (e do subcontratante) pelo tratamento lícito dos dados pessoais. Por outras palavras, enquanto o direito da concorrência da União visa as «empresas» (exprime a sua proibição por referência a uma «empresa»), o RGPD centra‑se nos «responsáveis pelo tratamento» e nos «subcontratantes». Recordo igualmente que, uma vez que a doutrina da «unidade económica» não pode ser dissociada da lógica geral subjacente ao direito da concorrência da União e do seu objeto, em ocasiões anteriores o Tribunal de Justiça recusou‑se a alargar a sua aplicação por analogia a outros domínios do direito da União, por exemplo à responsabilidade extracontratual baseada no artigo 340.°, segundo parágrafo, TFUE (34).

54. Tendo em conta estas considerações, compreende‑se por que razão o Tribunal de Justiça restringiu claramente as implicações do direito da concorrência da União para a aplicação coerciva do RGPD (e as coimas ao abrigo do RGPD, em particular). No Acórdão Deutsche Wohnen (n.° 53), o Tribunal de Justiça concluiu que o conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE, «não tem incidência na questão de saber se e em que condições pode ser aplicada uma coima nos termos do artigo 83.° do RGPD a um responsável pelo tratamento que seja uma pessoa coletiva, dado que esta questão é regulada de forma exaustiva pelo artigo 58.°, n.° 2, e pelo artigo 83.°, n.os 1 a 6, deste regulamento». Acrescentou (no n.° 54) que esse conceito «só é pertinente para determinar o montante da coima aplicada nos termos do artigo 83.°, n.os 4 a 6, do RGPD [que diz respeito à coima máxima] a um responsável pelo tratamento» (o sublinhado é meu). Além disso, ao afirmar (no n.º 53) que a questão de saber se e em que condições pode ser aplicada uma coima «é regulada de forma exaustiva pelo artigo 58.°, n.° 2, e pelo artigo 83.°, n. os 1 a 6, deste regulamento» (o sublinhado é meu), o Tribunal de Justiça esclareceu ainda que, na determinação da coima efetiva, os requisitos do artigo 83.°, n.os 1 a 6, têm de ser aplicados na sua totalidade e nenhum destes números é considerado primus inter pares.

55. Por conseguinte, o «volume de negócios» da «empresa» é apenas um dos vários elementos que devem ser tidos em conta para imputar a responsabilidade a um responsável pelo tratamento (ou a um subcontratante) e aplicar uma coima ao abrigo do RGPD que seja eficaz, proporcionada e dissuasiva.

56. É certo que a jurisprudência do Tribunal de Justiça indica que, no direito da concorrência da União, em certas situações, pode justificar‑se ter em conta o volume de negócios de uma sociedade pode ser justificado, mas apenas como um dos elementos pertinentes entre outros, para calcular o montante da coima efetiva (por exemplo, quando o montante de base da coima é aumentado para ter um efeito dissuasivo) (35).

57. Por conseguinte, a meu ver, deverá ser possível recorrer ao conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE, para fixar a coima efetiva, mas apenas quando tal se justifique para assegurar o caráter dissuasivo e eficaz da coima. Com efeito, neste contexto, o recurso a esse conceito deve ser ajustado e individualizado em cada caso concreto. Mais concretamente, pode ser utilizado como um mecanismo de ajustamento no momento da ponderação das circunstâncias específicas de um caso individual, uma vez estabelecida a coima em conformidade com o artigo 83.°, n.° 2, do RGPD. Cabe, por conseguinte, ao órgão jurisdicional de reenvio determinar se, no caso vertente, existem circunstâncias que justifiquem tal aumento da coima, nomeadamente para efeitos de dissuasão.

58. A questão da individualização das coimas ao abrigo do RGPD (36) também foi abordada pelo Comité Europeu para a Proteção de Dados (CEPD) (37). Nas suas diretrizes sobre o cálculo das coimas ao abrigo do RGPD (38), elaboradas nos termos do artigo 70.°, n.° 1, alínea k), do RGPD, o CEPD procura uniformizar o poder de aplicação de coimas das autoridades de controlo ao abrigo do RGPD em toda a União Europeia. Especialmente, o CEPD afirma que considera que «três elementos constituem o ponto de partida para o cálculo ulterior: a categorização das infrações por natureza nos termos do artigo 83.°, n.os 4 a 6, do RGPD, a gravidade da infração […] e o volume de negócios da empresa como um elemento pertinente a ter em conta com vista à aplicação de uma coima [eficaz], dissuasiva e proporcionada, nos termos do artigo 83.°, n.° 1, do RGPD». Embora seja verdade que estas não vinculam o Tribunal de Justiça, estas considerações demonstram que só uma abordagem global que abranja todos os elementos pertinentes para um caso concreto permite garantir que a coima satisfaz os requisitos essenciais do artigo 83.° daquele regulamento, nomeadamente, que a coima efetiva aplicada é eficaz, proporcionada e dissuasiva.

59. Consequentemente, para efeitos de determinação do montante da coima efetiva, convido o Tribunal de Justiça a considerar que os aspetos seguidamente enunciados devem ser relevantes no momento da aplicação do conceito de «empresa» no contexto da fixação da coima efetiva nos termos do artigo 83.° do RGPD. Primeiro, importa analisar se a sociedade‑mãe exerceu o seu poder de decisão relativamente a atividades específicas do responsável pelo tratamento ou do subcontratante em causa na(s) violação(ões) do RGPD. Segundo, é necessário considerar se o tratamento de dados específico que viola o RGPD diz respeito à sociedade em causa e/ou a todo o grupo. Terceiro, é necessário determinar se mais do que uma sociedade que faz parte do grupo esteve envolvida na(s) violação(ões) do RGPD.

60. A este respeito, chamo a atenção para a seguinte lista não exaustiva de elementos pertinentes: i) no caso em apreço (39), contrariamente ao processo que deu origem ao Acórdão Deutsche Wohnen, o Grupo Lars Larsen e/ou a sua sociedade‑mãe não parecem estar envolvidos no processo penal; ii) foi deduzida acusação apenas contra a ILVA e não contra o grupo (40); e iii) a violação do RGPD no processo principal limitava‑se apenas aos clientes da ILVA e aos dados destes, não havendo nenhuma indicação de que a infração tivesse sido cometida ao nível do próprio grupo ou de que o tratamento efetuado pela ILVA estivesse ligado às outras sociedades do grupo. Importa salientar que, no processo que deu origem ao Acórdão Deutsche Wohnen, a «sociedade em causa» assumiu toda a responsabilidade pelo tratamento dos dados, ou seja, também pelo tratamento dos dados das outras sociedades do grupo (41).

61. Cabe, porém, ao órgão jurisdicional de reenvio, o único competente para decidir sobre os factos, proceder às verificações necessárias a este respeito e apreciar esses elementos, bem como a relevância e o peso que lhes deve ser atribuído no âmbito da fixação do montante adequado da coima efetiva aplicada à ILVA.

4. Observações finais

62. Embora o órgão jurisdicional de reenvio não tenha apresentado questões a este respeito, considero que, a fim de lhe dar uma resposta cabal, é oportuno abordar sucintamente alguns aspetos específicos do presente caso.

63. A interpretação do artigo 83.°, n.os 1 a 6, no litígio no processo principal deve ser efetuada, em particular, em conjugação com o artigo 83.°, n.° 9, do RGPD (42), uma questão que não foi abordada pelo Tribunal de Justiça no Acórdão Deutsche Wohnen (43). Por conseguinte, o regime de fixação de uma adequada coima efetiva, nos termos do artigo 83.° do RGPD deve, no caso em apreço, ser interpretado de forma compatível com as garantias essenciais de um processo penal.

64. No contexto da análise do impacto do artigo 83.°, n.° 9, no caso em apreço, é igualmente necessário ter em conta o considerando 151 do RGPD, segundo o qual «[o]s sistemas jurídicos da Dinamarca e da Estónia [ (44)] não conhecem as coimas tal como são previstas no presente regulamento». Esse considerando fornece ainda orientações sobre a compatibilidade de diferentes procedimentos com as três condições essenciais relativas à coima efetiva ao abrigo do regime do RGPD, ou seja, que «em todo o caso, as coimas impostas devem ser [eficazes], proporcionadas e dissuasivas». Por conseguinte, é pertinente abordar sucintamente o impacto do direito da União nas coimas aplicadas em processos penais, a fim de garantir que essas três condições também são cumpridas num caso específico como o presente.

65. Na audiência, a ILVA invocou, por um lado, o artigo 41.° da Carta dos Direitos Fundamentais da União Europeia (a seguir «Carta»). Esse artigo tem por epígrafe «Direito a uma boa administração» e, em particular, o seu n.° 2, alínea c), refere «[a] obrigação, por parte da administração, de fundamentar as suas decisões», mas a ILVA não apresentou argumentos específicos a esse respeito.

66. Por outro lado, a ILVA também referiu o artigo 49.° da Carta. Com efeito, considero que, na interpretação do artigo 83.°, n.os 1 a 6, do RGPD, há que ter em conta esse artigo da Carta, que tem sob a epígrafe «Princípios da legalidade e da proporcionalidade dos delitos e das penas» e que, portanto, é pertinente para o litígio no processo principal. O artigo 49.°, n.° 3, da Carta dispõe, em particular, que «[a]s penas não devem ser desproporcionadas em relação à infração».

67. De facto, decorre da jurisprudência do Tribunal de Justiça que o princípio da proporcionalidade faz parte dos princípios gerais do direito da União que estão na base das tradições constitucionais comuns aos Estados‑Membros e que devem ser respeitados pelas autoridades nacionais quando aplicam ou dão cumprimento ao direito da União. Exige que os Estados‑Membros adotem medidas que sejam adequadas para alcançar os objetivos prosseguidos e não vão além do que é necessário para os atingir (45).

68. A severidade de uma sanção deve corresponder à gravidade da infração em causa, decorrendo esta exigência tanto do artigo 52.°, n.° 1, da Carta como do princípio da proporcionalidade das penas consagrado no seu artigo 49.°, n.° 3 (46).

69. Resulta das Anotações relativas à Carta (47) que, em conformidade com o artigo 52.°, n.° 3, da Carta, na parte em que o direito garantido no seu artigo 49.° corresponde igualmente a um direito garantido pela Convenção para a Proteção dos Direitos Humanos e das Liberdades Fundamentais, assinada em Roma em 4 de novembro de 1950 (a seguir «CEDH»), o seu sentido e âmbito são os mesmos que a CEDH prevê. Assim, os requisitos do TEDH em matéria de proporcionalidade das sanções são aplicáveis num caso como o do processo principal, pela aplicação conjugada do artigo 17.°, n.° 1, do artigo 51.°, n.° 1, e do artigo 52.°, n.os 1 e 3, da Carta (48).

70. A jurisprudência do Tribunal de Justiça especifica que o princípio da proporcionalidade exige, por um lado, que a sanção aplicada corresponda à gravidade da infração e, por outro, que, quando da determinação da sanção e da fixação do montante da coima, sejam tidas em conta as circunstâncias individuais do caso em apreço (49). No que respeita a este segundo elemento, a jurisprudência sublinha que o órgão jurisdicional de reenvio deve ter em conta critérios objetivos como a gravidade e a duração da infração, bem como eventuais circunstâncias agravantes e atenuantes, a fim de garantir o caráter eficaz, dissuasivo e proporcionado da coima (50).

71. Por outro lado, a jurisprudência do TEDH neste tipo de casos procede a uma ponderação dos diferentes interesses em jogo e tem em conta a natureza, a gravidade e o efeito dissuasor da sanção penal do requerente. Esclarece também que a obrigação de os Estados aplicarem o direito penal e imporem penas (51) para proteger o público (52) dá origem a uma obrigação correspondente de garantir que a pena imposta não é excessiva.

72. O TEDH considerou que «não seria alcançado o equilíbrio necessário se a pessoa em causa suportasse um encargo individual excessivo». Consequentemente, «a responsabilidade financeira decorrente de uma coima poderia pôr em causa a garantia concedida por aquela disposição caso impusesse um encargo excessivo a essa pessoa ou afetasse fundamentalmente a sua situação financeira» (53).

73. Daqui decorre que os aspetos processuais específicos do litígio no processo principal e o direito da União e a jurisprudência do TEDH em matéria de sanções pecuniárias aplicadas em processos penais exigem que o órgão jurisdicional de reenvio tenha em conta todos os elementos relevantes do caso ao fixar a coima efetiva por violações do RGPD. As garantias processuais de um arguido, bem como o princípio da proporcionalidade, tal como interpretado na jurisprudência do Tribunal de Justiça e do TEDH, requerem que as sanções correspondam à gravidade da infração e requerem que sejam tidas em conta as circunstâncias individuais do caso concreto.

74. Tendo em conta esses requisitos, o órgão jurisdicional de reenvio deve assegurar que o princípio da proporcionalidade é respeitado na fixação da coima efetiva, a fim de estabelecer um justo equilíbrio entre as exigências do interesse geral da coletividade na proteção dos dados pessoais e os requisitos da proteção dos direitos fundamentais (54) do responsável pelo tratamento, do subcontratante ou da empresa de que este faz parte.

V. Conclusão

75. Proponho que o Tribunal de Justiça responda às questões prejudiciais apresentadas pelo Vestre Landsret (Tribunal de Recurso da Região Oeste, Dinamarca) do seguinte modo:

O artigo 83.°, n.os 4 a 6, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados),

deve ser interpretado no sentido de que, quando são aplicadas coimas a um responsável pelo tratamento ou a um subcontratante que é (ou faz parte de) uma empresa, o conceito de «empresa» deve ser interpretado no sentido de que corresponde ao conceito de «empresa» na aceção dos artigos 101.° e 102.° TFUE para efeitos da fixação do montante máximo da coima. Assim, é tido em conta o volume total de negócios anual a nível mundial da empresa de que o responsável pelo tratamento ou o subcontratante faz parte.

No entanto, na determinação da coima efetiva a aplicar, o conceito de «empresa» deve ser interpretado em conjugação com o artigo 83.°, n.os 1 e 2, do Regulamento 2016/679 e utilizado como um dos elementos relevantes, entre outros, na ponderação das circunstâncias específicas do caso individual. Neste contexto, as circunstâncias específicas podem estar relacionadas com o poder de decisão da sociedade‑mãe, o âmbito do tratamento de dados que viola as regras do referido regulamento e o número de entidades da empresa envolvidas na infração.

Além disso, quando tal coima é aplicada, em conjugação com o artigo 83.°, n.° 9, do Regulamento 2016/679, por um tribunal nacional no âmbito de um processo penal, a coima efetiva deve ser apreciada à luz dos princípios aplicáveis em direito penal. Neste contexto, o tribunal nacional deve assegurar que o princípio da proporcionalidade é respeitado na fixação da coima efetiva, a fim de estabelecer um justo equilíbrio entre as exigências do interesse geral da coletividade na proteção dos dados pessoais e os requisitos da proteção dos direitos fundamentais do responsável pelo tratamento, do subcontratante ou da empresa de que este faz parte.

1 Língua original: inglês.

2 Regulamento do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1) (a seguir «RGPD»).

3 Em fontes nacionais, o processo principal é também designado por processo «IDdesign A/S», uma vez que era esta a anterior denominação da ILVA.

4 Em especial, o artigo 83.°, n.° 9, e o considerando 151 do RGPD.

5 V. Overby, T., «The Danish adaptation of the GDPR», Blog Droit Européen, junho de 2018, p. 4 e 5.

6 No que diz respeito à redação específica da segunda questão prejudicial (v. n.° 15 das presentes conclusões), afigura‑se que a mesma está viciada por um erro material. No entanto, pode inferir‑se do contexto que o órgão jurisdicional de reenvio pretendeu referir‑se não à escolha entre «[a] entidade económica de que a empresa faz parte» e «[a] própria empresa», mas sim entre «a entidade económica de que a sociedade faz parte» e «a própria sociedade» (ou seja, a pessoa coletiva que violou o RGPD).

7 Esse considerando é referido no n.° 4 das presentes conclusões.

8 Acórdão de 5 de dezembro de 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, n.° 57); a seguir «Acórdão Deutsche Wohnen» ou «jurisprudência Deutsche Wohnen». V. também o Acórdão conexo, proferido no mesmo dia, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949).

9 Tal como a jurisprudência do Tribunal de Justiça esclarece, «o volume de negócios, ainda que vago e imperfeito, continua a ser um critério adequado para apreciar a dimensão e o poder económico das empresas em causa». V. Acórdão de 8 de dezembro de 2011, KME Germany e o./Comissão (C‑272/09 P, EU:C:2011:810, n.° 52).

10 Regulamento do Conselho, de 16 de dezembro de 2002, relativo à execução das regras de concorrência estabelecidas nos artigos [101.° e 102.° TFUE] (JO 2003, L 1, p. 1).

11 Acórdão de 6 de outubro de 2021, Sumal (C‑882/19, EU:C:2021:800, n.° 41 e jurisprudência referida).

12 Para a jurisprudência nacional, v. Acórdãos de 11 de novembro de 2020 do Landgericht Bonn (Tribunal Regional de Bona, Alemanha) (DE:LGBN:2020:1111.29OWI1.20.00), e de 19 de junho de 2020 do Conseil d’état (Conselho de Estado, em formação jurisdicional, França) (FR:CECHR:2020:430810.20200619). Em substância, ambos estão em conformidade com a interpretação do Tribunal de Justiça (embora sejam anteriores ao seu acórdão). Para a interpretação contrária, v. Acórdãos de 19 de agosto de 2019 do Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria) (AT:BVWG:2019:W211.2208885.1.00), e de 18 de fevereiro de 2021 do Landgericht Berlin (Tribunal Regional de Berlim, Alemanha) (DE:LGBE:2021:0218.526OWI.LG212JS.OW.00); este último é o acórdão que, finalmente, deu origem ao Acórdão do Tribunal de Justiça no processo Deutsche Wohnen. Para jurisprudência posterior ao acórdão do Tribunal de Justiça e que o aplica, v. Acórdão de 27 de março de 2024 do Bundesverwaltungsgericht (Tribunal Administrativo Federal, Áustria) (AT:BVWG:2024:W214.2243436.1.00).

13 V. Acórdão de 23 de abril de 1991, Höfner and Elser (C‑41/90, EU:C:1991:161, n.º 21). V., também, por exemplo, Acórdãos de 12 de setembro de 2000, Pavlov e o. (C‑180/98 a C‑184/98, EU:C:2000:428, n.° 74); de 12 de julho de 2012, Compass‑Datenbank (C‑138/11, EU:C:2012:449, n.° 35); e de 27 de abril de 2017, Akzo Nobel e o./Comissão (C‑516/15 P, EU:C:2017:314, n.° 47).

14 V., por exemplo, Acórdão de 20 de janeiro de 2011, General Química e o./Comissão (C‑90/09 P, EU:C:2011:21, n.° 37). O principal critério nesta matéria é a «influência determinante», que deve ser apurada com base em elementos factuais (vínculos económicos, organizacionais e jurídicos).

15 Acórdão de 27 de janeiro de 2021, The Goldman Sachs Group/Comissão (C‑595/18 P, EU:C:2021:73, n.° 67 e jurisprudência referida).

16 Ibid., n.° 71.

17 Ibid., n.° 32 e jurisprudência referida.

18 Os 2 % do volume total de negócios a nível mundial de uma sociedade só excedem 10 milhões de euros se o volume de negócios da sociedade for superior a 500 milhões de euros. Do mesmo modo, os 4 % do volume total de negócios a nível mundial de uma sociedade só excedem 20 milhões de euros se o volume de negócios da sociedade for superior a 500 milhões de euros.

19 Ao longo das presentes conclusões, referir‑me‑ei à/a uma «autoridade de controlo» neste contexto, mas, tendo em conta as circunstâncias específicas do caso no processo principal, é evidente que o mesmo se aplica, por extensão, ao órgão jurisdicional de reenvio (que aplica a coima à ILVA, e não à autoridade de controlo).

20 «Cada autoridade de controlo assegura que a aplicação de coimas nos termos do presente artigo relativamente a violações do presente regulamento a que se referem os n.os 4, 5 e 6 é, em cada caso individual, [eficaz], proporcionada e dissuasiva» (o sublinhado é meu).

21 V., a esse respeito, a jurisprudência referida no n.° 40 das presentes conclusões.

22 Esta última disposição refere‑se a situações em que são violadas várias disposições do RGPD ao mesmo tempo.

23 Alguns desses fatores são: a natureza, a gravidade e a duração da infração, o seu caráter intencional ou negligente, as medidas tomadas para atenuar os danos sofridos, infrações anteriores cometidas pelo responsável pelo tratamento ou pelo subcontratante, o grau de cooperação com a autoridade de controlo, as categorias de dados pessoais afetadas, etc.

24 Acórdão de 25 de setembro de 1984, Könecke (117/83, EU:C:1984:288, n.° 11).

25 Acórdão de 18 de julho de 2013, Schindler Holding e o./Comissão (C‑501/11 P, EU:C:2013:522, n.° 57 e jurisprudência referida).

26 V. ponto 32 («Limite máximo legal») e ponto 13 (em relação ao «montante de base da coima») das Orientações para o cálculo das coimas aplicadas por força do n.° 2, alínea a), do artigo 23.° do Regulamento (CE) n.° 1/2003 (JO 2006, C 210/02) (a seguir «Orientações para o cálculo das coimas de 2006»).

27 Mayer Brown Yaros, O. e o., «GDPR fines — Lessons from competition law», dezembro de 2018, p. 4.

28 Acórdão de 12 de novembro de 2014, Guardian Industries e Guardian Europe/Comissão (C‑580/12 P, EU:C:2014:2363, n.° 59).

29 As Orientações para o cálculo das coimas de 2006 preveem, no seu ponto 30, que «[a] Comissão prestará especial atenção à necessidade de assegurar que as coimas apresentam um efeito suficientemente dissuasivo. Para esse efeito, pode aumentar a coima a aplicar às empresas que tenham […] um volume de negócios particularmente elevado que se estenda para lá das vendas de bens e serviços relacionadas com a infração» (o sublinhado é meu). V., neste sentido, Acórdão de 6 de fevereiro de 2014, Elf Aquitaine/Comissão (T‑40/10, não publicado, EU:T:2014:61, n.os 350 a 357 e jurisprudência referida).

30 O advogado‑geral expõe estes pontos nas suas Conclusões num processo relativo ao direito da concorrência, Sumal (C‑882/19, EU:C:2021:293, n.os 23 a 25).

31 V., por exemplo, a jurisprudência anterior ao Brexit do Competition Appeal Tribunal (Tribunal da Concorrência) do Reino Unido no processo Sainsbury’s Supermarkets/Mastercard Inc. [2016] CAT 11, n.os 363(20‑22).

32 Ibid., n.° 363(23).

33 Resulta dos documentos apresentados ao Tribunal de Justiça que foi isso que aconteceu no caso vertente, uma vez que o Ministério Público não deduziu acusação contra a sociedade‑mãe «por não haver fundamento para o fazer» e que a filial (ILVA) «explora um negócio retalhista independente e […] a sociedade‑mãe não criou […] uma filial com o único objetivo de lhe atribuir o tratamento de dados do grupo». V. n.os 5 e 21 do despacho de reenvio.

34 No Acórdão de 5 de setembro de 2019, União Europeia/Guardian Europe e Guardian Europe/União Europeia (C‑447/17 P e C‑479/17 P, EU:C:2019:672, n.os 105 e 106), o Tribunal de Justiça afirmou que o conceito de «empresa», na aceção da doutrina da «unidade económica», é especificamente utilizado para implementar as disposições pertinentes do direito da concorrência da União e, em particular, para efeitos da designação do autor de uma infração aos artigos 101.° e 102.° TFUE. Por outro lado, este conceito não é aplicável no âmbito de uma ação de indemnização, baseada no artigo 340.°, segundo parágrafo, TFUE. Tal ação é uma ação de direito comum, que se rege por normas processuais gerais, sujeitas, no presente caso, ao direito das sociedades, independentes da lógica da responsabilidade na perspetiva do direito da concorrência da União.

35 Acórdão de 17 de junho de 2010, Lafarge/Comissão (C‑413/08 P, EU:C:2010:346, n.° 102 e jurisprudência referida). V. também nota 29 das presentes conclusões.

36 Ou seja, a procura de um equilíbrio entre a coima e a situação específica do autor de uma infração.

37 O CEPD é um órgão independente da União, dotado de personalidade judiciária, cujo objetivo é assegurar a aplicação coerente do RGPD e promover a cooperação entre as autoridades de proteção de dados da União Europeia.

38 Diretrizes 04/2022 sobre o cálculo das coimas ao abrigo do RGPD, versão 2.1, adotadas em 24 de maio de 2023, ponto 48.

39 O despacho de reenvio no presente processo (p. 3) refere que «[r]esulta do princípio da ação penal estabelecido no [direito nacional] que o órgão jurisdicional não pode proferir uma condenação por qualquer infração que não conste da acusação. Seria contrário ao princípio estabelecido nesta disposição atribuir relevância a circunstâncias relacionadas com outra pessoa, contra a qual não foi deduzida qualquer acusação, para aplicar uma pena mais grave».

40 Considerando que as orientações nacionais em matéria de aplicação de coimas referem que, «caso o responsável pelo tratamento de dados seja uma filial de um grupo, deve ser averiguado se também pode ser imputada responsabilidade penal à sociedade‑mãe». V. Bødevejledning — Udmåling af bøder til virksomheder (Orientações relativas a coimas — Avaliação das coimas aplicadas às sociedades), janeiro de 2021, p. 3.

41 Com efeito, no processo que deu origem ao Acórdão Deutsche Wohnen, as infrações foram cometidas ao nível de todo o grupo de que a sociedade em causa fazia parte. V. as diferenças factuais entre estes dois processos, nomeadamente à luz dos n.os 10 a 12 do Acórdão Deutsche Wohnen.

42 Recordo que essa disposição prevê, nomeadamente, que «[q]uando o sistema jurídico dos Estados‑Membros não preveja coimas, pode aplicar‑se o presente artigo de modo a que a coima seja proposta pela autoridade de controlo competente e imposta pelos tribunais nacionais competentes, garantindo ao mesmo tempo que estas medidas jurídicas corretivas são eficazes e têm um efeito equivalente às coimas impostas pelas autoridades de controlo. Em todo o caso, as coimas impostas devem ser [eficazes], proporcionadas e dissuasivas […]».

43 Pelo facto de essa disposição não ser relevante para a resolução do litígio em causa.

44 Aparentemente, na Irlanda, as coimas impostas pela autoridade de controlo têm de ser confirmadas por um órgão jurisdicional. V. Data Protection Act 2018 (Lei de 2018 relativa à Proteção dos Dados), secções 141 a 143. Além disso, resulta de uma Decisão do Vrhovno sodišče (Supremo Tribunal, Eslovénia) de 16 de março de 2021 que a Eslovénia também não permite a aplicação de coimas de natureza administrativa.

45 V., neste sentido, Acórdão de 4 de outubro de 2018, Link Logistik N&N (C‑384/17, EU:C:2018:810, n.° 40 e jurisprudência referida; a seguir «Acórdão Link Logistik»).

46 Ibid., n.° 42 e jurisprudência referida.

47 JO 2007, C 303, p. 17.

48 V. também Acórdão Link Logistik, n.° 43.

49 Acórdão Link Logistik, n.° 45.

50 V., neste sentido, Acórdão de 10 de novembro de 2022, Zenith Media Communications (C‑385/21, EU:C:2022:866, n.° 41).

51 V., por exemplo, TEDH, Acórdão de 4 de dezembro de 2003, M.C. c. Bulgária, CE:ECHR:2003:1204JUD003927298.

52 V., por exemplo, TEDH, Acórdão de 16 de dezembro de 1999, T. c. Reino Unido, CE:ECHR:1999:1216JUD002472494, § 97, remetendo para TEDH, Acórdão de 23 de setembro de 1998, A. c. Reino Unido, CE:ECHR:1998:0923JUD002559994, § 22; e TEDH, Acórdão de 28 de outubro de 1998, Osman c. Reino Unido, CE:ECHR:1998:1028JUD002345294, § 115.

53 V., por exemplo, TEDH, Acórdão de 27 de outubro de 2015, Konstantin Stefanov c. Bulgária, CE:ECHR:2015:1027JUD003539905, § 55.

54 Ibid., §§ 54, 55, 66, 67, 69 e 70. V. também TEDH, Acórdão de 5 de julho de 2001, Phillips c. Reino Unido, § 35, e TEDH, Acórdão de 26 de junho de 2021, Imeri c. Croácia, CE:ECHR:2021:0624JUD007766814, § 71.