Apvienotās lietas C‑26/22 un C‑64/22
UFunAB
pret
Land Hessen
(Verwaltungsgericht Wiesbaden lūgumi sniegt prejudiciālu nolēmumu)
Tiesas (pirmā palāta) 2023. gada 7. decembra spriedums
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 5. panta 1. punkta a) apakšpunkts – “Likumīguma” princips – 6. panta 1. punkta pirmās daļas f) apakšpunkts – Apstrādes nepieciešamība pārziņa vai trešās personas leģitīmo interešu ievērošanai – 17. panta 1. punkta d) apakšpunkts – Tiesības panākt personas datu dzēšanu gadījumā, ja tie ir apstrādāti nelikumīgi – 40. pants – Rīcības kodeksi – 78. panta 1. punkts – Tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādi – Uzraudzības iestādes pieņemts lēmums par sūdzību – Šā lēmuma pārbaudes tiesā apjoms – Kredītinformācijas biroji – No publiska reģistra gūtu datu par personas atbrīvošanu no atlikušajām parādsaistībām glabāšana – Glabāšanas ilgums
1.        Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesību aizsardzības līdzekļi – Tiesību aizsardzība tiesā pret uzraudzības iestādes lēmumu par sūdzību – Pārbaude tiesā – Apjoms – Robežas – Neesamība
(Eiropas Savienības Pamattiesību hartas 8. panta 3. punkts un 47. pants; Eiropas Parlamenta un Padomes Regulas 2016/679 141. un 143. apsvērums, kā arī 52. pants, 78. panta 1. punkts un 79. panta 1. punkts)
(skat. 50.–53., 58., 59., 62., 67.–70. punktu un rezolutīvās daļas 1. punktu)
2.        Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu apstrādes likumīguma nosacījumi – Apstrāde, kas vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai – Apstrāde, kas vajadzīga privātas sabiedrības darbībai, kas izpaužas kā komerciālas informācijas sniegšana saviem līgumpartneriem nolūkā novērtēt šo līgumpartneru potenciālo klientu maksātspēju – No publiska reģistra gūtu datu par personas atbrīvošanu no atlikušajām parādsaistībām sistemātiska glabāšana – Glabāšanas ilgums, kas pārsniedz termiņu, kādā dati glabājami publiskajā maksātnespējas reģistrā – Nepieļaujamība
(Eiropas Savienības Pamattiesību hartas 7. un 8. pants; Eiropas Parlamenta un Padomes Regulas 2015/848 76. apsvērums un 79. panta 4. un 5. punkts un Regulas 2016/679 5. panta 1. punkta a) apakšpunkts un 6. panta 1. punkta pirmās daļas f) apakšpunkts)
(skat. 75., 83., 88.–100. un 113. punktu, kā arī rezolutīvās daļas 2. punktu)
3.        Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Personas datu apstrādes likumīguma nosacījumi – Rīcības kodekss, ko izstrādājusi pārziņu vai apstrādātāju pārstāvības apvienība un apstiprinājusi kompetentā uzraudzības iestāde – Kodekss, kas noteic no Regulā 2016/679 noteiktajiem atšķirīgus apstrādes likumīguma nosacījumus – Neņemšana vērā
(Eiropas Parlamenta un Padomes Regulas 2016/679 6. panta 1. punkta pirmās daļas f) apakšpunkts un 40. panta 1., 2. un 5. punkts)
(skat. 101.–105. punktu)
4.        Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz dzēšanu – Apjoms – Nelikumīga personas datu apstrāde – Iekļaušana
(Eiropas Parlamenta un Padomes Regulas 2016/679 17. panta 1. punkta d) apakšpunkts)
(skat. 107., 108., 113. punktu un rezolutīvās daļas 4. punktu)
5.        Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesības uz dzēšanu – Apjoms – Datu subjekta tiesības iebilst pret datu apstrādi – Iekļaušana – Izņēmums – Par šā datu subjekta interesēm, tiesībām un brīvībām svarīgāku pārliecinošu leģitīmu apstrādes iemeslu esamība – Pārzinim noteiktais pierādīšanas pienākums
(Eiropas Parlamenta un Padomes Regulas 2016/679 17. panta 1. punkta c) apakšpunkts un 21. panta 1. punkts)
(skat. 109. un 113. punktu, kā arī rezolutīvās daļas 3. punktu)
Rezumējums
Saskaņā ar Vācijas tiesībām izveidotā privātā sabiedrība SCHUFA Holding AG
savās datubāzēs reģistrē un glabā no publiskiem reģistriem gūtu informāciju, tostarp ziņas par atbrīvošanu no atlikušajām parādsaistībām, ko tā vajadzības gadījumā sniedz saviem līgumpartneriem. Šo informāciju tā – atbilstoši Rīcības kodeksam, ko Vācijā izstrādājusi kredītinformācijas biroju apvienība – dzēš pēc tam, kad ir pagājuši trīs gadi kopš brīža, kad tā tikusi reģistrēta.
Pēc tam, kad maksātnespējas procedūrās tika pieņemti lēmumi par personu UF un AB priekšlaicīgu atbrīvošanu no atlikušajām parādsaistībām, šīs personas lūdza SCHUFA dzēst ierakstus par šiem lēmumiem. Šī sabiedrība atteicās apmierināt viņu lūgumus, paskaidrojot, ka Vācijas tiesību aktos (1) paredzētais sešu mēnešu termiņš šo datu dzēšanai no publiskā reģistra tai nav piemērojams.
Par šo SCHUFA rīcību personas UF un AB katra iesniedza sūdzību kompetentajā uzraudzības iestādē – HBDI (2), kura šīs sūdzības noraidīja, pamatojoties uz to, ka SCHUFA veiktā datu apstrāde ir likumīga.
Personu UF un AB prasības par HBDI lēmumiem izskatošā Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) vaicā Tiesai par to, kā interpretēt vairākas VDAR (3) normas gan par nepieciešamību apstrādāt datus leģitīmo interešu ievērošanai, gan par tiesībām uz dzēšanu (4).
Spriedumā Tiesa konstatē, ka VDAR (5) nepieļauj tādu privātu kredītinformācijas biroju praksi, kas izpaužas kā no publiskā reģistra gūtas informācijas par fizisku personu atbrīvošanu no atlikušajām parādsaistībām glabāšana savās datubāzēs ilgāk par laikposmu, kādā šie dati glabājamai šādā reģistrā saskaņā ar valsts tiesību aktos noteikto. Tā spriež arī par datu subjekta tiesībām panākt, ka šie uzņēmumi dzēš viņa datus.
Tiesas vērtējums
Pirmām kārtām, Tiesa atgādina, ka saskaņā ar VDAR personas datu apstrāde var tikt uzskatīta par likumīgu tostarp tad, ja ir izpildīti trīs kumulatīvi nosacījumi, proti, pirmkārt, ka pārzinim vai trešai personai ir leģitīmas intereses, otrkārt, ka apstrāde ir nepieciešama šo leģitīmo interešu ievērošanai un, treškārt, ka pār šīm pārziņa vai trešās personas leģitīmajām interesēm neprevalē tās personas intereses vai pamattiesības un brīvības, uz kuru attiecas datu aizsardzība (6).
Attiecībā uz pirmo nosacījumu Tiesa uzsver, ka, lai gan šajā gadījumā personas datu apstrāde kalpo privāta uzņēmuma ekonomiskajām interesēm, tā kalpo arī tam, lai īstenotu to šā uzņēmuma līgumpartneru leģitīmās intereses, kuriem jānovērtē to personu maksātspēja, ar kurām tie iecerējuši noslēgt ar kredītu saistītus līgumus, un tātad arī – kredītu nozares sociālekonomiskās intereses.
Attiecībā uz otro nosacījumu Tiesa atgādina, ka datu apstrāde var tikt uzskatīta par “vajadzīgu” vienīgi tad, ja tā tiek veikta tikai tādā apmērā, kādā tā ir absolūti nepieciešama pārziņa vai trešās personas leģitīmo interešu īstenošanai.
Attiecībā uz trešo nosacījumu Tiesa konstatē, ka šajā gadījumā šā nosacījuma pārbaude pārklājas ar otrā nosacījuma pārbaudi un tajā ir jāsamēro attiecīgās pretnostatītās tiesības un intereses, lai novērtētu, vai īstenojamās leģitīmās intereses nav saprātīgi īstenojamas ar īsāku datu glabāšanas termiņu.
Tādējādi par esošo leģitīmo interešu samērošanu Tiesa norāda, ka kredītinformācijas biroja veiktā analīze, padarīdama iespējamu objektīvi un uzticami novērtēt šā uzņēmuma līgumpartneru potenciālo klientu maksātspēju, ļauj izlīdzināt atšķirības informētībā un tādējādi mazināt krāpšanas riskus, kā arī novērst citas neskaidrības.
Savukārt par datu subjekta tiesībām un interesēm Tiesa uzskata, ka, šim uzņēmumam apstrādājot datus par atbrīvošanu no atlikušajām parādsaistībām – piemēram, veicot šo datu glabāšanu, analīzi un izpaušanu trešai personai –, tiek nopietni aizskartas datu subjekta pamattiesības (7). Proti, šādi dati tiek izmantoti kā negatīvs faktors šā subjekta kredītspējas novērtējumā un tādējādi ir sensitīva informācija par viņa privāto dzīvi, kuras apstrāde var būtiski kaitēt viņa interesēm. Turklāt, jo ilgāk šādi dati tiek glabāti, jo lielāka ir ietekme uz datu subjekta interesēm un privāto dzīvi un jo augstākas ir prasības attiecībā uz šīs informācijas glabāšanas likumīgumu.
Turklāt attiecībā uz datu glabāšanu publiskos maksātnespējas reģistros Tiesa norāda, ka par datu vākšanu un glabāšanu valstu datubāzēs ir atbildīgas dalībvalstis (8) un līdz ar to tām ir arī jānosaka šo datu glabāšanas termiņš. Šajā gadījumā valsts likumdevējs uzskata, ka pēc sešu mēnešu termiņa beigām datu subjekta tiesības un intereses prevalē pār sabiedrības tiesībām un interesēm iepazīties ar šo informāciju.
Turklāt atbrīvošana no atlikušajām parādsaistībām ir domāta tam, lai ļautu to saņēmušajai personai no jauna piedalīties saimnieciskajā dzīvē, un tā šai personai parasti ir eksistenciāli nozīmīga. Taču šā mērķa sasniegšana būtu apdraudēta, ja ar šo atbrīvojumu saistītā informācija varētu tikt saglabāta un izmantota pēc tam, kad tā ir dzēsta no publiskā maksātnespējas reģistra.
Tāpēc Tiesa secina, ka kreditēšanas nozares intereses iegūt informāciju par atbrīvošanu no atlikušajām parādsaistībām nevar pamatot to, ka dati tiek glabāti ilgāk par termiņu, kādā tie glabājami publiskajā maksātnespējas reģistrā.
Tiesa piebilst, ka datu subjekta pamattiesības tiek aizskartas arī ar datu glabāšanu šajā sešu mēnešu laikposmā. Šajā ziņā iesniedzējtiesai jāizvērtē, vai šo datu līdztekus veikta glabāšana, ko veic privāti uzņēmumi, var tikt uzskatīta par tādu, kas nepārsniedz absolūti nepieciešamo.
Visbeidzot, par tāda rīcības kodeksa esamību, kas noteic, ka dati ir jādzēš pēc trīs gadu termiņa, Tiesa norāda, ka, lai gan šāds kodekss ir paredzēts, lai veicinātu VDAR (9) atbilstīgu piemērošanu, šādā kodeksā paredzētie personas datu apstrādes likumīguma nosacījumi nedrīkst atšķirties no VDAR paredzētajiem nosacījumiem. Tādējādi rīcības kodekss, kura dēļ vērtējuma iznākums atšķiras no tā, kas iegūts, piemērojot VDAR, nav ņemams vērā.
Otrām kārtām, par pārziņa pienākumiem dzēst personas datus Tiesa norāda, pirmkārt, ka tam ir jādzēš dati, kas apstrādāti nelikumīgi, kā tas šajā gadījumā ir noticis, attiecīgajam uzņēmumam apstrādājot datus ilgāk par sešu mēnešu termiņu, kādā šie dati ir glabājami publiskajā reģistrā (10). Otrkārt, pat ja iesniedzējtiesa secinātu, ka datu apstrāde sešu mēnešu laikposmā ir likumīga, datu subjektam būtu tiesības pret šo apstrādi iebilst (11) un panākt savu datu dzēšanu, ja vien šis uzņēmums nepierāda tādu pārliecinošu leģitīmu apstrādes iemeslu esamību, kas ir svarīgāki par šā datu subjekta interesēm, tiesībām un brīvībām (12).
1      2002. gada 12. februāra Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Noteikumi par oficiālām publikācijām internetā maksātnespējas procesos; BGBl. I, 677. lpp.) 3. panta 1. punkts.
2      Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs, Vācija).
3      Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; un kļūdu labojums OV 2018, L 127, 2. lpp.; turpmāk tekstā – “VDAR”).
4      Attiecīgi šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunkts un 17. panta 1. punkta c) un d) apakšpunkts.
5      VDAR 5. panta 1. punkta a) apakšpunkts, lasot to kopsakarā ar šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunktu.
6      Saskaņā ar šajā lietā piemērojamo VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu.
7      Tiesības, kas nostiprinātas Eiropas Savienības Pamattiesību hartas 7. un 8. pantā par attiecīgi privātās dzīves neaizskaramību un personas datu aizsardzību.
8      Saskaņā ar Eiropas Parlamenta un Padomes Regulas (ES) 2015/848 (2015. gada 20. maijs) par maksātnespējas procedūrām (pārstrādāta redakcija) (OV 2015, L 141, 19. lpp.) 79. panta 4. punktu. Šīs regulas 79. panta 5. punkts vienīgi noteic, ka dalībvalstis informē datu subjektus par to, cik ilgi maksātnespējas reģistros glabātajiem personas datiem var piekļūt, nenosakot termiņu šo datu glabāšanai.
9      Saskaņā ar VDAR 40. panta 1. un 2. punktu.
10      Atbilstoši VDAR 17. panta 1. punkta d) apakšpunktam.
11      Saskaņā ar VDAR 21. panta 1. punktu.
12      Piemērojot VDAR 17. panta 1. punkta c) apakšpunktu.