Corte di giustizia, Sentenza C-383/23

RGPD e calcolo delle sanzioni pecuniarie in base al fatturato del gruppo

La pronuncia riguarda un rinvio pregiudiziale del Vestre Landsret (Danimarca) in un procedimento penale a carico di ILVA A/S per presunte violazioni del RGPD nella gestione dei dati di ex clienti. Il nodo centrale è se, ai fini dell’articolo 83 RGPD, il concetto di "impresa" richiami la nozione del diritto della concorrenza e consenta di considerare il fatturato dell’intero gruppo societario.

Fatti e procedimento principale

ILVA A/S gestisce una catena di negozi di mobili ed è parte del gruppo Lars Larsen Group. Secondo i dati richiamati dal giudice nazionale, il fatturato del gruppo per l’esercizio 2016/2017 era pari a DKK 6,57 miliardi, mentre quello di ILVA era pari a DKK 1,8 miliardi.

La società è stata imputata per violazioni del RGPD tra maggio 2018 e gennaio 2019, in relazione alla conservazione dei dati di almeno 350000 ex clienti. Su raccomandazione dell’autorità danese per la protezione dei dati, il pubblico ministero aveva chiesto una sanzione di DKK 1,5 milioni, calcolata tenendo conto non solo del fatturato di ILVA, ma anche di quello del gruppo.

Il retten i Aarhus aveva invece condannato ILVA a una sanzione di DKK 100000, ritenendo, tra l’altro, che non vi fosse ragione di includere il fatturato del gruppo perché solo ILVA era imputata e la società operava come attività di vendita al dettaglio indipendente.

Questioni pregiudiziali

Il giudice del rinvio ha chiesto in sostanza:

• se il termine "impresa" dell’articolo 83, paragrafi da 4 a 6, RGPD debba essere interpretato come nel diritto della concorrenza dell’Unione, alla luce del considerando 150;
• in caso affermativo, se il calcolo della sanzione debba basarsi sul fatturato mondiale totale annuo della sola società sanzionata oppure dell’intera entità economica di cui essa fa parte.

Quadro normativo rilevante

La Corte richiama in particolare:

• il considerando 150 RGPD, che afferma che, quando le sanzioni sono inflitte a imprese, queste devono intendersi come definite dagli articoli 101 e 102 TFUE;
• l’articolo 58, paragrafo 2, lettera i), RGPD, che attribuisce all’autorità di controllo il potere di infliggere sanzioni amministrative pecuniarie;
• l’articolo 83, paragrafi 1, 2, 4, 5, 6 e 9, RGPD, che disciplina le condizioni di effettività, proporzionalità e dissuasività e i massimali collegati al fatturato mondiale totale annuo;
• gli articoli 101 e 102 TFUE, per la definizione di "impresa";
• il considerando 151 RGPD e la Carta dei diritti fondamentali, per il contesto delle sanzioni pecuniarie irrogate dai giudici nazionali in Stati membri che non prevedono sanzioni amministrative pecuniarie.

Ragionamento della Corte

La Corte richiama anzitutto la propria sentenza Deutsche Wohnen del 5 dicembre 2023. Da tale precedente deriva che la nozione di "impresa" del diritto della concorrenza non incide sulla possibilità stessa di infliggere la sanzione ex articolo 83 RGPD, ma rileva nella fase di determinazione del suo importo.

In particolare, la Corte distingue due profili:

• massimale della sanzione: se il destinatario della sanzione è o fa parte di un’impresa, il limite massimo va calcolato sulla base di una percentuale del fatturato mondiale totale annuo dell’esercizio precedente dell’impresa, secondo la nozione degli articoli 101 e 102 TFUE;
• determinazione concreta dell’importo: l’autorità o il giudice devono tener conto, in modo individualizzato, degli elementi elencati all’articolo 83, paragrafo 2, RGPD, e anche della capacità economica reale o materiale del destinatario, per verificare che la sanzione sia effettiva, proporzionata e dissuasiva.

La Corte sottolinea che tali conclusioni valgono anche nei sistemi nazionali, come quello danese, in cui la sanzione viene irrogata dal giudice penale su iniziativa dell’autorità di controllo, ai sensi dell’articolo 83, paragrafo 9, RGPD. Il fatto che la sanzione sia penale non impedisce l’applicazione della nozione di impresa del diritto della concorrenza, purché siano rispettati i diritti processuali dell’imputato e il principio di proporzionalità della pena.

Decisione

La Corte risponde che l’articolo 83, paragrafi da 4 a 6, RGPD, letto alla luce del considerando 150, va interpretato nel senso che:

• il termine "impresa" corrisponde alla nozione di impresa degli articoli 101 e 102 TFUE;
• quando la sanzione è inflitta a un titolare del trattamento che è o fa parte di un’impresa, l’importo massimo si determina sulla base del fatturato mondiale totale annuo dell’esercizio precedente dell’impresa;
• la nozione di impresa va considerata anche per valutare la capacità economica del destinatario e assicurare che la sanzione sia effettiva, proporzionata e dissuasiva.

Principi pratici per l’operatore

Per avvocati e imprese, la sentenza conferma che nelle violazioni del RGPD commesse da società inserite in gruppi, il parametro economico di riferimento non è necessariamente la sola società operativa, ma può essere l’intera entità economica. Ciò incide sia sul tetto massimo della sanzione sia sulla sua concreta quantificazione, rendendo rilevante la struttura di gruppo anche in materia di protezione dei dati.