La CGUE applica la nozione di entità economica a una violazione del GDPR

 La Corte di giustizia dell’Unione europea è stata interpellata sul concetto di impresa, in presenza di una controllante e di una sua controllata, per la determinazione dell’importo della sanzione amministrativa pecuniaria inflitta per violazione del Regolamento generale sulla protezione dei dati personali.

Nell’ambito di questo caso, la controllata del gruppo Lars Larsen, Ilva è perseguita dalle autorità danesi per non aver rispettato gli obblighi previsti dal Regolamento generale sulla protezione dei dati (GDPR) in qualità di responsabile del trattamento dei dati personali nell’ambito della conservazione dei dati di almeno 350.000 ex clienti.

Per sanzionare la controllata, l’autorità responsabile della protezione dei dati in Danimarca ha, in un primo tempo, giustificato l’importo della sanzione pronunciata tenendo conto del fatturato globale del gruppo Lars Larsen, il che ha avuto l’effetto di sanzionare severamente la controllata. È stata intentata un’azione dinanzi al competente giudice danese, che ha respinto l’applicazione della cifra d’appello globale del gruppo, per rivalutare l’importo dell’ammenda all’importo di 13.400 euro.

Il pubblico ministero ha impugnato tale sentenza ritenendo che “il termine” azienda “ di cui all’articolo 83, paragrafi da 4 a 6, del GDPR deve essere inteso nel senso che, per fissare un’ammenda in caso di violazione del GDPR da parte di una società, occorre fare riferimento al fatturato del gruppo di cui tale società fa parte. Dal considerando 150 del GDPR deriverebbe infatti che tale termine deve essere inteso conformemente agli articoli 101 e 102 TFUE »(paragrafo 13).

Si ricorda che l’articolo 150 del GDPR dispone che ”Quando vengono imposte sanzioni amministrative pecuniarie a un’impresa, tale termine deve, a tal fine, essere inteso come un’impresa ai sensi degli articoli 101 e 102 del trattato sul funzionamento dell’Unione europea”.

È in questo contesto che la Corte di giustizia dell’Unione europea viene interrogata sulla questione se A. La nozione di impresa deve essere intesa come una ” entità economica », come avviene nel diritto della concorrenza, e se in caso affermativo, tale apprensione deve indurre il giudice a calcolare l’importo dell’ammenda a partire dal fatturato complessivo dell’esercizio annuale del gruppo o di quello della controllata.

Come promemoria, il concetto “di entità economica” invita a considerare l’impresa come un’unità economica, anche se da un punto di vista giuridico tale unità è costituita da più persone fisiche o giuridiche. Quest’ unità economica consiste in un’organizzazione unitaria di elementi personali, materiali e immateriali che perseguono in modo duraturo un determinato scopo economico (sentenza del 5 dicembre 2023, Deutsche Wohnen. C-807/21)

Per rispondere a tale questione, la Corte di giustizia dell’Unione europea ha ritenuto che l’articolo 83, paragrafi da 4 a 6, del GDPR, letto alla luce del considerando 150 di tale regolamento, debba essere interpretato nel senso che il termine ” azienda “, contenuto in tali disposizioni , corrisponde alla nozione di” impresa “, ai sensi degli articoli 101 e 102 TFUE, di modo che, quando ad un responsabile viene inflitta un’ammenda per violazione del regolamento 2016/679 Trattamento dei dati personali, che è o fa parte di un’impresa, l’importo massimo dell’ammenda è determinato sulla base di una percentuale del fatturato annuo mondiale totale dell’esercizio precedente di migliorare. A questo proposito, la CGUE precisa che la il concetto di”impresa” deve essere preso in considerazione per valutare la capacità economica reale o materiale del destinatario dell’ammenda e quindi verificare se l’ammenda è efficace, proporzionata e dissuasiva (paragrafo 36).

Così, con questa sentenza la CGUE sembra prendere la decisione di estendere l’applicazione di questa definizione di impresa propria del diritto della concorrenza alle sanzioni derivanti dalla non conformità al GDPR con l’obiettivo di garantire l’efficacia, la proporzionalità e la dissuasività dell’ammenda.

Riferimenti: CGUE 13 febbraio 2025 / n. C-383/23