Acórdão do Tribunal de Justiça da União Europeia
Processo C-383/23

Edição provisória

ACÓRDÃO DO TRIBUNAL DE JUSTIÇA (Quinta Secção)

13 de fevereiro de 2025 (*)

« Reenvio prejudicial — Proteção de dados pessoais — Regulamento (UE) 2016/679 — Artigo 83.°, n.os 4 a 6 e 9 — Conceito de “empresa” — Sociedade‑mãe e filial — Violação deste regulamento por uma filial — Cálculo do montante da coima — Tomada em consideração do volume de negócios global do grupo que inclui essa filial »

No processo C‑383/23,

que tem por objeto um pedido de decisão prejudicial apresentado nos termos do artigo 267.° TFUE, pelo Vestre Landsret (Tribunal de Recurso da Região Oeste, Dinamarca), por Decisão de 3 de maio de 2023, que deu entrada no Tribunal de Justiça em 21 de junho de 2023, no processo penal contra

ILVA A/S,

O TRIBUNAL DE JUSTIÇA (Quinta Secção),

composto por: I. Jarukaitis, presidente da Quarta Secção, exercendo funções de presidente da Quinta Secção, D. Gratsias e Z. Csehi (relator), juízes,

advogado‑geral: L. Medina,

secretário: C. Strömholm, administradora,

vistos os autos e após a audiência de 19 de junho de 2024,

vistas as observações apresentadas:

– em representação da ILVA A/S, por D. B. Geary, advokat,

– em representação da Comissão Europeia, por A. Bouchagiar, H. Kranenborg e C. Vang, na qualidade de agentes,

ouvidas as conclusões da advogada‑geral na audiência de 12 de setembro de 2024,

profere o presente

Acórdão

1 O pedido de decisão prejudicial tem por objeto a interpretação do artigo 83.°, n.os 4 a 6, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) (JO 2016, L 119, p. 1; a seguir «RGPD»).

2 Este pedido foi apresentado no âmbito de um processo penal instaurado pelo Anklagemyndigheden (Ministério Público, Dinamarca) contra a ILVA A/S por alegadas violações das obrigações que incumbem a esta sociedade por força do RGPD na sua qualidade de responsável pelo tratamento de dados pessoais relativos a antigos clientes.

Quadro jurídico

Direito da União

3 Os considerandos 150 e 151 do RGPD têm a seguinte redação:

«(150) A fim de reforçar e harmonizar as sanções administrativas para violações do presente regulamento, as autoridades de controlo deverão ter competência para impor coimas. O presente regulamento deverá definir as violações e o montante máximo e o critério de fixação do valor das coimas daí decorrentes, que deverá ser determinado pela autoridade de controlo competente, em cada caso individual, tendo em conta todas as circunstâncias relevantes da situação específica, ponderando devidamente, em particular, a natureza, a gravidade e a duração da violação e das suas consequências e as medidas tomadas para garantir o cumprimento das obrigações constantes do presente regulamento e para prevenir ou atenuar as consequências da infração. Sempre que forem impostas coimas a empresas, estas deverão ser entendidas como empresas nos termos dos artigos 101.° e 102.° [TFUE] para esse efeito. [...]

(151) Os sistemas jurídicos da Dinamarca e da Estónia não conhecem as coimas tal como são previstas no presente regulamento. As regras relativas às coimas podem ser aplicadas de modo que a coima seja imposta, na Dinamarca, pelos tribunais nacionais competentes como sanção penal e, na Estónia, pela autoridade de controlo no âmbito de um processo por infração menor, na condição de tal aplicação das regras nestes Estados‑Membros ter um efeito equivalente às coimas impostas pelas autoridades de controlo. Por esse motivo, os tribunais nacionais competentes deverão ter em conta a recomendação da autoridade de controlo que propõe a coima. Em todo o caso, as coimas impostas deverão ser efetivas, proporcionadas e dissuasivas.»

4 O artigo 5.° do RGPD estabelece os princípios relativos ao tratamento de dados pessoais.

5 O artigo 6.° do RGPD determina as condições em que o tratamento de dados pessoais é considerado lícito.

6 O artigo 58.° do RGPD, sob a epígrafe «Poderes», dispõe, no seu n.° 2:

«Cada autoridade de controlo dispõe dos seguintes poderes de correção:

[...]

i) Impor uma coima nos termos do artigo 83.°, para além ou em vez das medidas referidas no presente número, consoante as circunstâncias de cada caso;

[...]»

7 O artigo 83.° do RGDP, sob a epígrafe «Condições gerais para a aplicação de coimas», estabelece, nos seus n.os 1, 2, 4 a 6 e 9:

«1. Cada autoridade de controlo assegura que a aplicação de coimas nos termos do presente artigo relativamente a violações do presente regulamento a que se referem os n.os 4, 5 e 6 é, em cada caso individual, efetiva, proporcionada e dissuasiva.

2. Consoante as circunstâncias de cada caso, as coimas são aplicadas para além ou em vez das medidas referidas no artigo 58.°, n.° 2, alíneas a) a h) e j). Ao decidir sobre a aplicação de uma coima e sobre o montante da coima em cada caso individual, é tido em devida consideração o seguinte:

a) A natureza, a gravidade e a duração da infração tendo em conta a natureza, o âmbito ou o objetivo do tratamento de dados em causa, bem como o número de titulares de dados afetados e o nível de danos por eles sofridos;

b) O caráter intencional ou negligente da infração;

c) A iniciativa tomada pelo responsável pelo tratamento ou pelo subcontratante para atenuar os danos sofridos pelos titulares;

d) O grau de responsabilidade do responsável pelo tratamento ou do subcontratante tendo em conta as medidas técnicas ou organizativas por eles implementadas nos termos dos artigos 25.° e 32.°;

e) Quaisquer infrações pertinentes anteriormente cometidas pelo responsável pelo tratamento ou pelo subcontratante;

f) O grau de cooperação com a autoridade de controlo, a fim de sanar a infração e atenuar os seus eventuais efeitos negativos;

g) As categorias específicas de dados pessoais afetadas pela infração;

h) A forma como a autoridade de controlo tomou conhecimento da infração, em especial se o responsável pelo tratamento ou o subcontratante a notificaram, e em caso afirmativo, em que medida o fizeram;

i) O cumprimento das medidas a que se refere o artigo 58.°, n.° 2, caso as mesmas tenham sido previamente impostas ao responsável pelo tratamento ou ao subcontratante em causa relativamente à mesma matéria;

j) O cumprimento de códigos de conduta aprovados nos termos do artigo 40.° ou de procedimento de certificação aprovados nos termos do artigo 42.°; e

k) Qualquer outro fator agravante ou atenuante aplicável às circunstâncias do caso, como os benefícios financeiros obtidos ou as perdas evitadas, direta ou indiretamente, por intermédio da infração.

[...]

4. A violação das disposições a seguir enumeradas está sujeita, em conformidade com o n.° 2, a coimas até 10 000 000 [euros] ou, no caso de uma empresa, até 2 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado:

[...]

5. A violação das disposições a seguir enumeradas está sujeita, em conformidade com o n.° 2, a coimas até 20 000 000 [euros] ou, no caso de uma empresa, até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante que for mais elevado:

[...]

6. O incumprimento de uma ordem emitida pela autoridade de controlo a que se refere o artigo 58.°, n.° 2, está sujeito, em conformidade com o n.° 2 do presente artigo, a coimas até 20 000 000 [euros] ou, no caso de uma empresa, até 4 % do seu volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior, consoante o montante mais elevado.

[...]

9. Quando o sistema jurídico dos Estados‑Membros não preveja coimas, pode aplicar‑se o presente artigo de modo a que a coima seja proposta pela autoridade de controlo competente e imposta pelos tribunais nacionais competentes, garantindo ao mesmo tempo que estas medidas jurídicas corretivas s[ejam] eficazes e t[enham] um efeito equivalente às coimas impostas pelas autoridades de controlo. Em todo o caso, as coimas impostas devem ser efetivas, proporcionadas e dissuasivas. Os referidos Estados‑Membros notificam a Comissão [Europeia] das disposições de direito interno que adotarem nos termos do presente número até 25 de maio de 2018 e, sem demora, de qualquer alteração subsequente das mesmas.»

Direito dinamarquês

8 A lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (Lei n.° 502 que completa o [RGPD]), de 23 de maio de 2018, dispõe, no seu § 41:

«1. Salvo se outra legislação previr uma pena mais elevada, será punido com coima ou pena de prisão até seis meses quem violar as disposições sobre:

[...]

4) os princípios básicos do tratamento, incluindo as condições de consentimento, previstos nos artigos 5.° a 7.° e 9.° do [RGPD]

[...]

3. O artigo 83.°, n.° 2, do [RGPD] é aplicável aquando da aplicação de uma sanção nos termos dos n.os 1 e 2.

[...]

6. As sociedades e o. (pessoas coletivas) podem ser responsabilizadas criminalmente de acordo com as regras estabelecidas no capítulo 5 do [straffeloven (Código Penal)]. [...]»

Litígio no processo principal e questões prejudiciais

9 A ILVA explora uma cadeia de lojas de móveis e faz parte do grupo Lars Larsen Group. O volume de negócios total do grupo para o exercício de 2016/2017 ascendeu a 6,57 mil milhões de coroas dinamarquesas (DKK) (cerca de 881 milhões de euros), e o volume de negócios da ILVA ascendeu a cerca de 1,8 mil milhões de DKK (cerca de 241 milhões de euros) para o mesmo exercício.

10 É imputada à ILVA, nos órgãos jurisdicionais dinamarqueses, o incumprimento, no período compreendido entre maio de 2018 e janeiro de 2019, das suas obrigações que lhe incumbem por força do RGPD na sua qualidade de responsável pelo tratamento de dados pessoais no âmbito da conservação de dados relativos de, pelo menos, 350 000 antigos clientes.

11 Por recomendação da Datatilsynet (Autoridade para a Proteção de Dados, Dinamarca), o Ministério Público pediu a aplicação de uma coima no montante de 1,5 milhões de DKK (cerca de 201 000 euros) à ILVA. O cálculo deste montante baseava‑se não apenas no volume de negócios da ILVA mas também no volume de negócios global do grupo Lars Larsen Group.

12 Por Acórdão de 12 de fevereiro de 2021, o retten i Aarhus (Tribunal de Primeira Instância de Aarhus, Dinamarca) declarou a ILVA culpada dos factos que lhe eram imputados e condenou‑a no pagamento de uma coima de 100 000 DKK (cerca de 13 400 euros). Este órgão jurisdicional considerou que a ILVA tinha agido com negligência, contrariamente ao que Ministério Público tinha alegado. Além disso, considerou que, dado que apenas a ILVA era objeto de ações penais, não havia que ter em conta o volume de negócios do grupo Lars Larsen Group para determinar o montante da coima. Além disso, salientou que a ILVA exercia uma atividade de venda a retalho independente e que não tinha sido criada pela sociedade‑mãe deste grupo com o único objetivo de assegurar o tratamento de dados do grupo.

13 O Ministério Público interpôs recurso desse acórdão no Vestre Landsret (Tribunal de Recurso da Região Oeste, Dinamarca), que é o órgão jurisdicional de reenvio. O Ministério Público sustenta que o termo «empresa» previsto no artigo 83.°, n.os 4 a 6, do RGPD deve ser entendido no sentido de que, na fixação de uma coima em caso de violação do RGPD por uma sociedade, é necessário fazer referência ao volume de negócios do grupo de que essa sociedade faz parte. Com efeito, decorre do considerando 150 do RGPD que este termo deve ser entendido nos termos dos artigos 101.° e 102.° TFUE.

14 Em contrapartida, a ILVA considera que, na fixação de uma coima por violação do RGPD por uma sociedade, não há que tomar em consideração o volume de negócios global do grupo de que esta faz parte. No caso em apreço, foram instaurados processos penais contra a ILVA, e não contra a sua sociedade‑mãe.

15 O órgão jurisdicional de reenvio considera que a resposta a esta questão não resulta de maneira clara do RGPD.

16 Nestas condições, o Vestre Landsret (Tribunal de Recurso da Região Oeste) decidiu suspender a instância e submeter ao Tribunal de Justiça as seguintes questões prejudiciais:

«1) Deve o termo “empresa” que figura no artigo 83.°, n.os 4 a 6, do [RGPD] ser entendido como uma empresa na aceção dos artigos 101.° e 102.° TFUE, em conjugação com o considerando 150 deste regulamento, e da jurisprudência do Tribunal de Justiça da União Europeia em matéria de direito da concorrência da União, no sentido de que o termo “empresa” abrange qualquer entidade que exerça uma atividade económica, independentemente do seu estatuto jurídico e do seu modo de financiamento?

«2) Em caso de resposta afirmativa à primeira questão, deve o artigo 83.°, n.os 4 a 6, do [RGPD] ser interpretado no sentido de que, quando da aplicação de uma coima a uma empresa, deve ser tomado em consideração o volume de negócios [anual a nível mundial] da entidade económica de que a empresa faz parte ou apenas [o] volume de negócios anual [a nível mundial] da própria empresa?»

Quanto às questões prejudiciais

17 Com as suas questões, que importa examinar em conjunto, o órgão jurisdicional de reenvio pergunta, em substância, se o artigo 83.°, n.os 4 a 6, do RGPD, lido à luz do considerando 150 deste regulamento, deve ser interpretado no sentido de que o termo «empresa», que figura nestas disposições, corresponde ao conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE, pelo que, quando é aplicada uma coima por violação do RGPD a um responsável pelo tratamento de dados pessoais, que é ou faz parte de uma empresa, o montante da coima é determinado com base numa percentagem do volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior da empresa, na aceção destes artigos 101.° e 102.°

18 Antes de mais, importa salientar que o Tribunal de Justiça já teve oportunidade de responder a algumas questões relativas à interpretação do artigo 83.° do RGPD no Acórdão de 5 de dezembro de 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, n.os 53 a 59), que ocorreu após o encerramento da fase escrita do presente processo.

19 O Tribunal de Justiça declarou que o conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE, não tem incidência na questão de saber se e em que condições pode ser aplicada uma coima nos termos do artigo 83.° do RGPD a um responsável pelo tratamento que seja uma pessoa coletiva, dado que esta questão é regulada de forma exaustiva pelo artigo 58.°, n.° 2, e pelo artigo 83.°, n.os 1 a 6, deste regulamento (Acórdão de 5 de dezembro de 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, n.° 53).

20 Com efeito, este conceito só é pertinente para determinar o montante da coima aplicada nos termos do artigo 83.°, n.os 4 a 6, do RGPD a um responsável pelo tratamento (Acórdão de 5 de dezembro de 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, n.° 54).

21 É neste contexto específico do cálculo das coimas aplicadas por infrações referidas no artigo 83.°, n.os 4 a 6, do RGPD que deve ser entendida a remissão, efetuada no considerando 150 deste regulamento, para o conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE (Acórdão de 5 de dezembro de 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, n.° 55).

22 A este respeito, importa sublinhar que, para efeitos da aplicação das regras da concorrência, referidas nos artigos 101.° e 102.° TFUE, este conceito abrange qualquer entidade que exerça uma atividade económica, independentemente do seu estatuto jurídico e do seu modo de financiamento. Designa, assim, uma unidade económica mesmo que, do ponto de vista jurídico, essa unidade económica seja constituída por várias pessoas singulares ou coletivas. Essa unidade económica consiste numa organização unitária de elementos pessoais, materiais e incorpóreos que prossegue, de forma duradoura, um objetivo económico determinado (Acórdão de 5 de dezembro de 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, n.° 56 e jurisprudência referida).

23 Assim, resulta do artigo 83.°, n.os 4 a 6, do RGPD, relativo ao cálculo das coimas pelas violações enumeradas nestes números, que, no caso de o destinatário da coima ser uma empresa ou dela fizer parte, na aceção dos artigos 101.° e 102.° TFUE, o montante máximo da coima é calculado com base numa percentagem do volume de negócios anual a nível mundial do exercício anterior da empresa em causa (Acórdão de 5 de dezembro de 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, n.° 57).

24 No entanto, a determinação deste montante máximo deve ser distinguida do próprio cálculo do montante de uma coima a aplicar pela autoridade de controlo competente pela violação ou violações específicas do RGPD que essa coima pune.

25 Assim, por força do artigo 83.°, n.° 1, do RGPD, cada autoridade de controlo assegura que a aplicação de coimas nos termos deste artigo 83.° relativamente a violações do RGPD a que se referem os n.os 4 a 6 do mesmo é, em cada caso individual, efetiva, proporcionada e dissuasiva.

26 Além do respeito destas três condições, o n.° 2 deste artigo 83.° exige que a autoridade de controlo competente, para decidir sobre a aplicação de uma coima e a fixação do montante desta última, tenha em devida consideração, em cada caso individual, um certo número de elementos.

27 Entre estes elementos figuram, em conformidade com esta última disposição, nomeadamente, a natureza, a gravidade e a duração da infração, o número de titulares de dados afetados e o nível de danos por eles sofridos, o caráter intencional ou negligente da infração, as iniciativas tomadas pelo responsável pelo tratamento de dados pessoais ou pelo subcontratante deste tratamento para atenuar os danos sofridos, o grau de responsabilidade deste responsável ou deste subcontratante e as categorias específicas de dados pessoais afetadas pela infração.

28 Os referidos elementos caracterizam quer o comportamento do referido responsável ou do referido subcontratante, acusado de violações de certas disposições do RGPD, quer as próprias violações. Servem, assim, para garantir que cada uma das referidas violações seja apreciada com base em todas as circunstâncias individuais pertinentes e que os objetivos prosseguidos pelo sistema de sanções previsto no RGPD sejam alcançados.

29 Embora estes elementos não façam referência ao conceito de empresa, na aceção dos artigos 101.° e 102.° TFUE, o Tribunal de Justiça já declarou que só uma coima que tenha em conta não só todos os elementos que caracterizam as violações declaradas do RGPD mas também, sendo caso disso, a capacidade económica real ou material do seu destinatário é suscetível de reunir as três condições enunciadas no artigo 83.°, n.° 1, do RGPD, a saber, ser simultaneamente efetiva, proporcionada e dissuasiva. Ora, para apreciar estas condições, há que ter em conta a questão de saber se este destinatário faz parte de uma empresa, na aceção dos artigos 101.° e 102.° TFUE (v., neste sentido, Acórdão de 5 de dezembro de 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, n.°58).

30 A interpretação do artigo 83.° do RGPD que resulta dos n.os 25 a 29 do presente acórdão é também aplicável quando as violações declaradas do RGPD são punidas, não por uma coima, mas por uma coima aplicada pelos órgãos jurisdicionais nacionais competentes enquanto sanção penal.

31 Como indicado no considerando 151 do RGPD, certos sistemas jurídicos nacionais, entre os quais o do Reino da Dinamarca, não conhecem as coimas tal como são previstas no RGPD.

32 Para regular esta situação, o artigo 83.°, n.° 9, do RGPD dispõe que, quando o sistema jurídico dos Estados‑Membros não preveja coimas, pode aplicar‑se o artigo 83.° de modo que, como no caso em apreço, a coima seja proposta pela autoridade de controlo competente e imposta pelos tribunais nacionais competentes.

33 Além disso, é precisado neste artigo 83.°, n.° 9, bem como no considerando 151 deste regulamento, que é necessário que as medidas jurídicas corretivas em causa sejam eficazes e tenham um efeito equivalente às coimas impostas pelas autoridades de controlo e que, em todo o caso, as coimas aplicadas sejam efetivas, proporcionadas e dissuasivas.

34 Dito isto, o facto de a coima ser aplicada por um órgão jurisdicional penal no âmbito de um processo penal implica que esse órgão jurisdicional deve a todo o momento respeitar as regras aplicáveis em matéria penal, entre as quais, mais especificamente, os direitos processuais de que beneficia a pessoa acusada e o princípio da proporcionalidade da pena, conforme garantidos pela Carta dos Direitos Fundamentais da União Europeia.

35 A este respeito, como a advogada‑geral indicou no n.° 74 das suas conclusões, o artigo 83.° do RGPD exige que as autoridades de controlo competentes devam, sem exceção, assegurar que o princípio da proporcionalidade é respeitado no cálculo do montante efetivo da coima aplicada, para estabelecer um justo equilíbrio entre as exigências do interesse geral na proteção de dados pessoais e os requisitos da salvaguarda dos direitos do responsável pelo tratamento destes dados, do subcontratante deste tratamento ou da empresa de que estes fazem parte. Daqui resulta que uma aplicação do conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE, no âmbito da aplicação do artigo 83.°, n.os 4 a 6, do RGPD não parece deparar com obstáculos de princípio quando as violações do RGPD são punidas não com coimas, mas com coimas aplicadas por órgãos jurisdicionais penais.

36 Tendo em conta as considerações precedentes, há que responder às questões submetidas que o artigo 83.°, n.os 4 a 6, do RGPD, lido à luz do considerando 150 deste regulamento, deve ser interpretado no sentido de que o termo «empresa», que figura nestas disposições, corresponde ao conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE, pelo que, quando é aplicada uma coima por violação do RGPD a um responsável pelo tratamento de dados pessoais, que é ou faz parte de uma empresa, o montante máximo da coima é determinado com base numa percentagem do volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior da empresa. O conceito de «empresa» deve também ser tido em conta para apreciar a capacidade económica real ou material do destinatário da coima e, assim, verificar se a coima é simultaneamente efetiva, proporcionada e dissuasiva.

Quanto às despesas

37 Revestindo o processo, quanto às partes na causa principal, a natureza de incidente suscitado perante o órgão jurisdicional de reenvio, compete a este decidir quanto às despesas. As despesas efetuadas pelas outras partes para a apresentação de observações ao Tribunal de Justiça não são reembolsáveis.

Pelos fundamentos expostos, o Tribunal de Justiça (Quinta Secção) declara:

O artigo 83.°, n.os 4 a 6, do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados), lido à luz do considerando 150 deste regulamento,

deve ser interpretado no sentido de que:

o termo «empresa», que figura nestas disposições, corresponde ao conceito de «empresa», na aceção dos artigos 101.° e 102.° TFUE, pelo que, quando é aplicada uma coima por violação do Regulamento (UE) 2016/679 a um responsável pelo tratamento de dados pessoais, que é ou faz parte de uma empresa, o montante máximo da coima é determinado com base numa percentagem do volume de negócios anual a nível mundial correspondente ao exercício financeiro anterior da empresa. O conceito de «empresa» deve também ser tido em conta para apreciar a capacidade económica real ou material do destinatário da coima e, assim, verificar se a coima é simultaneamente efetiva, proporcionada e dissuasiva.

Assinaturas

* Língua do processo: dinamarquês.