62022CJ0026_RES
Spojeni predmeti C-26/22 i C-64/22
UFiAB
protiv
Land Hessen
(zahtjev za prethodnu odluku koji je uputio Verwaltungsgericht Wiesbaden)
Presuda Suda (prvo vijeće) od 7. prosinca 2023.
„Zahtjev za prethodnu odluku – Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 5. stavak 1. točka (a) – Načelo ‚zakonitosti’ – Članak 6. stavak 1. prvi podstavak točka (f) – Nužnost obrade za potrebe legitimnih interesa voditelja obrade ili treće strane – Članak 17. stavak 1. točka (d) – Pravo na brisanje u slučaju nezakonite obrade osobnih podataka – Članak 40. – Kodeksi ponašanja – Članak 78. stavak 1. – Pravo na učinkoviti sudski pravni lijek protiv nadzornog tijela – Odluka nadzornog tijela o pritužbi – Opseg sudskog nadzora te odluke – Agencije za provjeru kreditne sposobnosti – Pohrana podataka iz javnog registra o otpisu nepodmirenih dugova u korist neke osobe – Trajanje pohrane”
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Pravna sredstva – Sudski pravni lijek protiv odluke o pritužbi koju je donijelo nadzorno tijelo – Sudski nadzor – Doseg – Granice – Nepostojanje
(Povelja Europske unije o temeljnim pravima, čl. 8. st. 3. i čl. 47.; Uredba Europskog parlamenta i Vijeća 2016/679, uv. izj. 141. i 143. i čl. 52., čl. 78. st. 1. i čl. 79. st. 1.)
(t. 50.-53., 58., 59., 62., 67.-70. i t. 1. izreke)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Uvjeti za zakonitost obrade osobnih podataka – Obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane – Obrada nužna za djelatnost privatne agencije koja se sastoji od pružanja poslovnih informacija svojim ugovornim partnerima u svrhe procjene kreditne sposobnosti njihovih potencijalnih klijenata – Sustavna pohrana podataka iz javnog registra o otpisu nepodmirenih dugova u korist neke osobe – Trajanje pohrane koje nadilazi rok za pohranu podataka u javnom registru nesolventnosti – Nedopuštenost
(Povelja Europske unije o temeljnim pravima, čl. 7. i 8.; Uredba Europskog parlamenta i Vijeća 2015/848, uv. izj. 76. i čl. 79. st. 4. i 5. i Uredba 2016/679, čl. 5. st. 1. t. (a) i čl. 6. st. 1. prvi podst. t. (f))
(t. 75., 83., 88.-100., 113. i t. 2. izreke)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Uvjeti za zakonitost obrade osobnih podataka – Kodeks ponašanja koji je izradilo udruženje koje predstavlja voditelje obrade ili izvršitelje obrade, a odobrilo ga je nadležno nadzorno tijelo – Kodeks kojim se utvrđuju uvjeti zakonitosti obrade koji ne odgovaraju uvjetima propisanima Uredbom 2016/679 – Neuzimanje u obzir
(Uredba Europskog parlamenta i Vijeća 2016/679, čl. 6. st. 1. prvi podst. t. (f) i čl. 40. st. 1., 2. i 5.)
(t. 101.-105.)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Pravo na brisanje – Opseg – Nezakonita obrada osobnih podataka – Uključenost
(Uredba Europskog parlamenta i Vijeća 2016/679, čl. 17. st. 1. t. (d))
(t. 107., 108., 113. i t. 4. izreke)
Zaštita fizičkih osoba u vezi s obradom osobnih podataka – Uredba 2016/679 – Pravo na brisanje – Opseg – Ispitanikovo pravo na prigovor na obradu podataka – Uključenost – Iznimka – Postojanje uvjerljivih legitimnih razloga za obradu koji nadilaze interese, prava i slobode tog ispitanika – Teret dokazivanja koji je na voditelju obrade
(Uredba Europskog parlamenta i Vijeća 2016/679, čl. 17. st. 1. t. (c) i čl. 21. st. 1.)
(t. 109.-113. i t. 3. izreke)
Kratak prikaz
SCHUFA Holding AG, društvo privatnog prava osnovano u skladu s njemačkim pravom, upisuje i pohranjuje, u vlastitim bazama podataka, informacije iz javnih registara, osobito one o otpisima nepodmirenih dugova, koje po potrebi dostavlja svojim ugovornim partnerima. Ono te informacije briše nakon proteka roka od tri godine od upisa, u skladu s kodeksom ponašanja koji je u Njemačkoj izradilo udruženje agencija za provjeru kreditne sposobnosti.
Nakon što im je u okviru postupaka nesolventnosti odlukama odobren prijevremeni otpis nepodmirenih dugova, osobe UF i AB zatražile su od SCHUFA-e da izbriše upise na koje se odnose te odluke. To društvo odbilo je ispuniti njihove zahtjeve objašnjavajući da se na njega ne primjenjuje rok za brisanje tih podataka iz javnog registra od šest mjeseci propisan njemačkim zakonodavstvom (
1
).
Osobe UF i AB podnijele su, svaka pojedinačno, pritužbu na SCHUFA-u HBDI‑ju (
2
), nadležnom nadzornom tijelu, koje je ono odbilo jer je obrada podataka koju je izvršilo društvo SCHUFA bila zakonita.
Odlučujući o tužbi osoba UF i AB protiv odluka HBDI-ja, Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka) postavio je upit Sudu o tumačenju nekoliko odredaba OUZP-a (
3
) koje se odnose osobito na nužnost obrade podataka za potrebe interesa i pravo na brisanje (
4
).
U svojoj presudi Sud utvrđuje da se OUZP-u (
5
) protivi praksa agencija za provjeru kreditne sposobnosti da informacije iz javnih registara o odobrenju otpisa duga u korist fizičkih osoba pohranjuju u vlastitim bazama podataka tijekom razdoblja koje je dulje od razdoblja propisanog nacionalnim zakonodavstvom za pohranu tih podataka u takvom registru. Također odlučuje o pravu ispitanika da od te agencije ishodi brisanje podataka koji se na njega odnose.
Ocjena Suda
Kao prvo, Sud podsjeća na to da se, prema OUZP-u, obrada osobnih podataka može smatrati zakonitom kada su ispunjena tri kumulativna uvjeta, odnosno, prvi, da voditelj obrade ili treća strana ima legitiman interes, drugi, da je obrada nužna za ostvarenje tog legitimnog interesa i treći, da interesi ili temeljne slobode i prava ispitanika na zaštitu podataka ne prevladavaju nad legitimnim interesom voditelja obrade ili treće strane (
6
).
Kada je riječ o prvom uvjetu, Sud naglašava da, iako u ovom slučaju obrada osobnih podataka služi ekonomskim interesima agencije, ta obrada služi i ostvarivanju legitimnog interesa njezinih ugovornih partnera koji su dužni procijeniti kreditnu sposobnost osoba s kojima namjeravaju sklopiti ugovore povezane s kreditom i stoga interesa kreditnog sektora na socioekonomskom planu.
Što se tiče drugog uvjeta, Sud podsjeća na to da se obrada podataka može smatrati „nužnom” samo ako se provodi u granicama onoga što je strogo nužno za ostvarivanje tog legitimnog interesa voditelja obrade ili treće strane.
U vezi s trećim uvjetom, Sud utvrđuje da se u ovom slučaju njegovo ispitivanje spaja s ispitivanjem drugog uvjeta i zahtijeva odvagivanje suprotstavljenih prava i interesa o kojima je riječ kako bi se ocijenilo mogu li se legitimni interesi koji se nastoje ostvariti postići kraćom pohranom podataka.
Tako, kada je riječ o odvagivanju prava i interesa o kojima je riječ, Sud ističe da, s obzirom na to da analiza koju provede agencija za procjenu kreditne sposobnosti omogućava objektivnu i pouzdanu ocjenu kreditne sposobnosti potencijalnih klijenata ugovornih partnera te agencije, ona omogućava kompenziranje razlika u informacijama i stoga smanjenje rizika od prijevare i drugih neizvjesnosti.
Nasuprot tomu, kada je riječ o ispitanikovim pravima i interesima, obrada podataka o odobrenju otpisa duga koju provodi ta agencija, poput pohrane, analize i otkrivanja tih podataka trećoj strani, ozbiljno je zadiranje u temeljna prava ispitanika (
7
). Naime, takvi podaci su negativan čimbenik u procjeni kreditne sposobnosti ispitanika i stoga su osjetljivi podaci o njegovu privatnom životu, čija obrada može znatno naštetiti ispitanikovim interesima. Osim toga, što se dulje pohranjuju takvi podaci, teže su posljedice za interese i privatnost ispitanika i viši su zahtjevi u pogledu zakonitosti pohrane tih informacija.
Usto, u pogledu pohrane podataka u javnim registrima nesolventnosti, Sud ističe da su države članice odgovorne za skupljanje i pohranu osobnih podataka u nacionalnim bazama podataka (
8
) i da stoga moraju odrediti i rok za njihovu pohranu. U ovom slučaju, nacionalni zakonodavac smatrao je da nakon isteka roka od šest mjeseci prava i interesi ispitanika imaju prednost pred interesima javnosti da ima na raspolaganju te informacije.
Osim toga, otpis nepodmirenih dugova treba omogućiti korisniku kojemu je odobren da ponovno sudjeluje u gospodarskom životu i stoga općenito ima veliku egzistencijalnu važnost za tu osobu. Međutim, ostvarenje tog cilja bilo bi ugroženo ako bi se informacije koje se na to odnose mogle pohranjivati i koristiti nakon njihova brisanja iz javnog registra nesolventnosti.
Slijedom toga, Sud zaključuje da interesi kreditnog sektora da raspolaže informacijama o otpisu nepodmirenih dugova ne mogu opravdati pohranu podataka nakon roka za pohranu podataka u javnom registru nesolventnosti.
Sud dodaje da je i pohrana podataka tijekom razdoblja od šest mjeseci zadiranje u temeljna prava ispitanika. U tom pogledu je na sudu koji je uputio zahtjev da ocijeni može li se usporedna pohrana tih podataka koju provode agencije smatrati ograničenom na strogo nužno.
Naposljetku, kada je riječ o kodeksu ponašanja kojim se predviđa brisanje podataka nakon proteka roka od tri godine, Sud primjećuje da se, iako je takav kodeks namijenjen tomu da doprinese ispravnoj primjeni OUZP-a (
9
), uvjeti zakonitosti obrade osobnih podataka koji su utvrđeni takvim kodeksom ne mogu razlikovati od uvjeta propisanih OUZP-om. Tako se kodeks ponašanja koji dovodi do ocjene koja se razlikuje od one dobivene na temelju OUZP‑a ne može uzeti u obzir.
Kao drugo, kada je riječ o obvezama voditelja obrade da izbriše osobne podatke koji su nezakonito obrađeni, Sud primjećuje, s jedne strane, da on mora provesti brisanje podataka koji su nezakonito obrađeni kao što je to u ovom slučaju obrada podataka koju je izvršila dotična agencija nakon roka za pohranu od šest mjeseci u javnom registru nesolventnosti (
10
). S druge strane, čak i ako sud koji je uputio zahtjev zaključi da je obrada podataka tijekom razdoblja od šest mjeseci zakonita, ispitanik ima pravo uložiti prigovor na takvu obradu (
11
) i ishoditi brisanje podataka koji se na njega odnose ako ta agencija ne dokaže postojanje jačih legitimnih razloga koji prevladavaju nad interesima te pravima i slobodama te osobe (
12
).
(
1
)	Članak 3. stavak 1. Verordnunga zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Uredba o javnim objavama na internetu u postupcima u slučaju nesolventnosti) od 12. veljače 2002. (BGBl. I., str. 677.)
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (povjerenik za zaštitu podataka i slobodu informiranja savezne zemlje Hessen, Njemačka)
(
3
)	Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP)
(
4
)	Članak 6. stavak 1. prvi podstavak točka (f) i članak 17. stavak 1. točke (c) i (d) te uredbe
(
5
)	Članak 5. stavak 1. točka (a) u vezi s člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP-a
(
6
)	Na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP-a, koji se primjenjuje u ovom slučaju.
(
7
)	Prava utvrđena u člancima 7. i 8. Povelje Europske unije o temeljnim pravima na poštovanje privatnog života i na zaštitu osobnih podataka.
(
8
)	Na temelju članka 79. stavka 4. Uredbe (EU) 2015/848 Europskog parlamenta i Vijeća od 20. svibnja 2015. o postupku u slučaju nesolventnosti (preinaka) (SL 2015., L 141, str. 19.). Člankom 79. stavkom 5. te uredbe samo se predviđa da države članice obavješćuju osobe čiji se podaci obrađuju o razdoblju dostupnosti određenom za osobne podatke pohranjene u registrima nesolventnosti a da pritom ne određuje rok za pohranu tih podataka.
(
9
)	U skladu s člankom 40. stavcima 1. i 2. OUZP‑a
(
10
)	U skladu s člankom 17. stavkom 1. točkom (d) OUZP-a
(
11
)	Na temelju članka 21. stavka 1. OUZP-a
(
12
)	Na temelju članka 17. stavka 1. točke (c) OUZP-a