62021CJ0634_RES
Asia C-634/21
OQ
vastaan
Land Hessen
(Ennakkoratkaisupyyntö - Verwaltungsgericht Wiesbaden)
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 7.12.2023
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 22 artikla – Automatisoidut yksittäispäätökset – Luottotietopalveluja tarjoavat yritykset – Henkilön kykyä täyttää maksusitoumukset tulevaisuudessa koskevan todennäköisyysarvon automatisoitu määrittäminen (pisteytys) – Kolmannen toteuttama tämän todennäköisyysarvon käyttäminen
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Muutoksenhakukeinot – Kantelun johdosta tehtyä valvontaviranomaisen päätöstä koskeva oikeussuojakeino – Tuomioistuinvalvonta – Ulottuvuus – Rajat – Ei ole
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 78 artiklan 1 kohta)
(ks. 34 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisteröidyn oikeus olla joutumatta pelkästään automaattiseen käsittelyyn perustuvan päätöksen kohteeksi – Automatisoidut yksittäispäätökset – Käsite – Luottotietopalveluja tarjoavan yrityksen toteuttama henkilön luottokelpoisuutta koskevan ja kolmannen käyttämän todennäköisyysarvon automatisoitu laatiminen – Kuuluu soveltamisalaan – Edellytykset
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 71 perustelukappale ja 4 artiklan 4 kohta ja 22 artiklan 1 kohta)
(ks. 43, 46–50, 60–63 ja 73 kohta sekä tuomiolauselma)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Rekisteröidyn oikeus olla joutumatta pelkästään automaattiseen käsittelyyn perustuvan päätöksen kohteeksi – Poikkeukset – Jäsenvaltion oikeudessa hyväksytty pelkästään automatisoituun käsittelyyn perustuvan päätöksen tekeminen – Velvollisuus noudattaa tässä asetuksessa vahvistettuja edellytyksiä ja vaatimuksia – Kansallisen tuomioistuimen tutkintavelvollisuus
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 71 perustelukappale sekä 5 artikla, 6 artikla ja 22 artiklan 2-4 kohta)
(ks. 53–55, 64, 67–70 ja 72 kohta)
Tiivistelmä
Saksan lainsäädännön mukaan perustettu yksityinen yhtiö SCHUFA Holding AG tarjoaa sopimuskumppaneilleen tietoja henkilöiden luottokelpoisuudesta. Tätä varten se antaa kullekin rekisteröidylle arvon (pistemäärä), jonka se määrittää tämän henkilön tiettyjen ominaispiirteiden perusteella matemaattisten ja tilastollisten menetelmien avulla. Pistemäärien laskemisen (pisteytys) tarkoituksena on ennustaa henkilön tulevaa käyttäytymistä kuten lainan takaisinmaksua sijoittamalla hänet muista vastaavanlaiset ominaispiirteet omaavista henkilöistä muodostuvaan ryhmään.
Luottolaitos kieltäytyi myöntämästä OQ:lle lainaa sen jälkeen, kun SCHUFA oli laatinut kielteisiä OQ:ta koskevia tietoja ja toimittanut ne tälle laitokselle. OQ pyysi SCHUFA:a antamaan hänelle pääsyn häntä koskeviin tietoihin ja poistamaan väitetysti virheelliset tiedot. SCHUFA kuitenkin vain antoi hänelle tiedoksi hänen pistemääränsä ja selitti pääpiirteittäin, miten pistemäärä lasketaan, ja vetosi muilta osin liikesalaisuuteen.
OQ teki tämän jälkeen SCHUFA:aa koskevan kantelun Saksan valvontaviranomaiselle HBDI:lle (
1
), joka hylkäsi sen sillä perusteella, että SCHUFA:n toiminnassa noudatettiin Saksan lainsäädännössä vahvistettuja luottokelpoisuutta koskevan todennäköisyysarvon käyttöä koskevia sääntöjä (
2
).
OQ nosti HBDI:n päätöksestä kanteen Verwaltungsgericht Wiesbadenissa (Wiesbadenin hallintotuomioistuin, Saksa), joka pyysi unionin tuomioistuinta tulkitsemaan yleisen tietosuoja-asetuksen (
3
) säännöksiä, jotka koskevat rekisteröidyn oikeutta olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automaattiseen käsittelyyn, kuten profilointiin (
4
).
Unionin tuomioistuin tulkitsee tuomiossaan ensimmäistä kertaa yleisen tietosuoja-asetuksen säännöksiä, jotka koskevat pelkästään automaattiseen tietojenkäsittelyyn perustuvien päätösten arkaluonteista alaa. Tässä yhteydessä se lausuu siitä, merkitseekö luottotietopalveluja tarjoavan yrityksen toteuttama henkilön luottokelpoisuutta koskevan todennäköisyysarvon automatisoitu määrittäminen automatisoitua yksittäispäätöstä ja kuuluuko se näin ollen näiden säännösten soveltamisalaan.
Unionin tuomioistuimen arviointi asiasta
Aluksi unionin tuomioistuin toteaa, että yleisen tietosuoja-asetuksen säännösten, jotka sääntelevät rekisteröidyn oikeutta olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automatisoituun käsittelyyn, kuten profilointiin, kolme kumulatiivista soveltamisedellytystä täyttyvät nyt käsiteltävässä asiassa.
Ensimmäisestä edellytyksestä, joka koskee päätöksen olemassaoloa, unionin tuomioistuin täsmentää, että päätöksen käsitteellä on laaja ulottuvuus ja siihen voi sisältyä todennäköisyysarvon, joka koskee tämän henkilön kykyä täyttää maksusitoumukset tulevaisuudessa, muodossa oleva henkilön luottokelpoisuuden laskennan tulos.
Toisen edellytyksen, jonka mukaan päätöksen on perustuttava ”pelkästään automaattiseen käsittelyyn, kuten profilointiin”, osalta on unionin tuomioistuimen mukaan riidatonta, että kyseessä olevan yrityksen harjoittama toiminta vastaa profiloinnin (
5
) määritelmää ja näin ollen kyseinen edellytys täyttyy nyt käsiteltävässä asiassa. Lisäksi ennakkoratkaisua pyytäneen tuomioistuimen mukaan kyseessä on nimenomaan sellaisen todennäköisyysarvon, joka perustuu henkilön kykyä täyttää maksusitoumukset tulevaisuudessa koskeviin kyseisen henkilön henkilötietoihin, automatisoitu määrittäminen.
Kolmannen edellytyksen osalta, jonka mukaan päätöksellä on oltava asianomaista henkilöä ”koskevia oikeusvaikutuksia” tai sen on vaikutettava häneen ”vastaavalla tavalla merkittävästi”, unionin tuomioistuin toteaa, että nyt käsiteltävässä asiassa todennäköisyysarvo on tämän arvon tiedoksi saaneen kolmannen osapuolen toiminnan ”keskeisenä perustana”. Nimittäin liian alhaisesta todennäköisyysarvosta seuraa miltei kaikissa tapauksissa, että lainaa ei myönnetä. Tämä arvo siis vähintäänkin vaikuttaa rekisteröityyn merkittävällä tavalla.
Unionin tuomioistuin katsoo, että tilanteessa, jossa luottotietopalveluja tarjoavan yrityksen määrittämä ja pankille tiedoksi annettu todennäköisyysarvo vaikuttaa olennaisesti luoton myöntämiseen, tämän arvon määrittämistä on pidettävä itsessään päätöksenä, jolla on rekisteröityä ”koskevia oikeusvaikutuksia tai joka vaikuttaa häneen vastaavalla tavalla merkittävästi” (
6
).
Seuraavaksi unionin tuomioistuin korostaa, että tämä tulkinta ja erityisesti päätöksen käsitteen laaja ulottuvuus vahvistavat yleisellä tietosuoja-asetuksella tavoiteltua tehokasta suojaa. Jos kyseistä säännöstä sitä vastoin tulkittaisiin suppeasti siten, että todennäköisyysarvon määrittämistä olisi pidettävä vain valmistelevana toimena ja ainoastaan kolmannen osapuolen antamaa tointa voitaisiin tarvittaessa pitää päätöksenä, seurauksena olisi oikeussuojan aukko. Tässä tilanteessa tällaisen arvon määrittäminen nimittäin jäisi yleisessä tietosuoja-asetuksessa säädettyjen erityisten vaatimusten (
7
) ulkopuolelle siitä huolimatta, että kyseinen menettely perustuu automatisoituun käsittelyyn ja se vaikuttaa rekisteröityyn merkittävällä tavalla, koska kyseinen todennäköisyysarvo ohjaa olennaisesti tämän arvon tiedoksi saaneen kolmannen osapuolen toimintaa.
Yhtäältä rekisteröity ei myöskään voisi vedota häntä koskevan todennäköisyysarvon määrittävää luottotietopalveluja tarjoavaa yritystä vastaan oikeuteensa saada tutustua erityisiin tietoihin (
8
) tilanteessa, jossa kyseinen yhtiö ei ole tehnyt automatisoitua päätöstä. Toisaalta on niin, että vaikka oletettaisiin, että kolmannen osapuolen antama toimi kuuluu yleisen tietosuoja-asetuksen säännösten, jotka sääntelevät rekisteröidyn oikeutta olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automatisoituun käsittelyyn, soveltamisalaan, kyseinen kolmas osapuoli ei pystyisi toimittamaan näitä erityisiä tietoja, koska sillä ei yleensä ole niitä.
Lopuksi unionin tuomioistuin toteaa, että siitä, että todennäköisyysarvon määrittäminen kuuluu yleisen tietosuoja-asetuksen säännösten, jotka sääntelevät rekisteröidyn oikeutta olla joutumatta sellaisen päätöksen kohteeksi, joka perustuu pelkästään automatisoituun käsittelyyn, soveltamisalaan, seuraa, että se on kiellettyä, paitsi jos voidaan soveltaa jotakin poikkeuksista ja jos noudatetaan yleisessä tietosuoja-asetuksessa säädettyjä erityisiä vaatimuksia.
Lisäksi henkilötietojen käsittelyssä on yhtäältä noudatettava yleisessä tietosuoja-asetuksessa vahvistettuja tietojen käsittelyä koskevia periaatteita ja toisaalta, kun otetaan huomioon erityisesti käsittelyn lainmukaisuuden periaate, jonkin lainmukaisuuden edellytyksen on täytyttävä.
Tässä yhteydessä unionin tuomioistuin toteaa, että ennakkoratkaisua pyytänyt tuomioistuin viittaa poikkeukseen, jonka mukaan pelkästään automatisoituun käsittelyyn perustuvan päätöksen tekeminen voidaan hyväksyä silloin, kun se perustuu jäsenvaltion lainsäädäntöön. Tältä osin se täsmentää, että ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, voidaanko luottokelpoisuutta koskevan todennäköisyysarvon käyttöä koskevaa kansallista lainsäädäntöä pitää oikeusperustana, jonka perusteella on sallittua tehdä tällainen päätös, ja jos näin on, täyttyvätkö yleisessä tietosuoja-asetuksessa vahvistetut tätä poikkeusta koskevat edellytykset ja käsittelyyn sovellettaviin periaatteisiin liittyvät edellytykset nyt käsiteltävässä asiassa.
(
1
)	Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hessenin osavaltion tietosuojavaltuutettu ja tiedonvälityksen vapauden valtuutettu).
(
2
)	Tietosuojasta 30.6.2018 annetun liittovaltion lain (Bundesdatenschutzgesetz, BGBl. I, s. 2097) 31 §.
(
3
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1 ja oikaisu EUVL 2018, L 127, s. 2).
(
4
)	Yleisen tietosuoja-asetuksen 22 artikla.
(
5
)	Yleisen tietosuoja-asetuksen 4 artiklan 4 kohdassa tarkoitetussa merkityksessä.
(
6
)	Yleisen tietosuoja-asetuksen 22 artiklan 1 kohdassa tarkoitetulla tavalla.
(
7
)	Yleisen tietosuoja-asetuksen 22 artiklan 2-4 kohta. Näistä säännöksistä seuraa, että pelkästään automaattiseen käsittelyyn perustuvaa päätöstä koskevaan kieltoon on kolme poikkeusta, joihin liittyy täydentäviä takeita. Tällaisen päätöksen tekeminen on sallittua silloin, jos tämä päätös on välttämätön rekisteröidyn ja rekisterinpitäjän välisen sopimuksen tekemistä tai täyttämistä varten, jos se perustuu unionin oikeuteen tai rekisterinpitäjään sovellettavaan jäsenvaltion lainsäädäntöön tai jos se perustuu rekisteröidyn nimenomaiseen suostumukseen edellyttäen, että vahvistetaan asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi.
(
8
)	Yleisen tietosuoja-asetuksen 15 artiklan 1 kohdan h alakohta, jossa annetaan rekisteröidylle laaja oikeus tutustua tietoihin tapauksessa, jossa tehdään automatisoitu yksittäispäätös.