62022CJ0026_RES
Gevoegde zaken C‑26/22 en C‑64/22
UFenAB
tegen
Land Hessen
(verzoek om een prejudiciële beslissing, ingediend door het Verwaltungsgericht Wiesbaden)
Arrest van het Hof (Eerste kamer) van 7 december 2023
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 5, lid 1, onder a) – Beginsel van ‚rechtmatigheid’ – Artikel 6, lid 1, eerste alinea, onder f) – Noodzaak van de verwerking voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde – Artikel 17, lid 1, onder d) – Recht op gegevenswissing wanneer de persoonsgegevens onrechtmatig zijn verwerkt – Artikel 40 – Gedragscodes – Artikel 78, lid 1 – Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit – Door de toezichthoudende autoriteit vastgesteld besluit op een klacht – Omvang van de rechterlijke toetsing van dit besluit – Kredietinformatiebureaus – Bewaring van gegevens uit een openbaar register die betrekking hebben op de kwijtschelding van restschulden ten gunste van een persoon – Bewaartermijn”
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Rechtswegen – Beroep in rechte tegen een besluit van een toezichthoudende autoriteit op een klacht – Rechterlijke toetsing – Omvang – Grenzen – Geen
(Handvest van de grondrechten van de Europese Unie, art. 8, lid 3, en art. 47; verordening 2016/679 van het Europees Parlement en de Raad, overwegingen 141 en 143 en art. 52, 78, lid 1, en art. 79, lid 1)
(zie punten 50‑53, 58, 59, 62, 67‑70, dictum 1)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Voorwaarden waaronder de verwerking van persoonsgegevens geoorloofd is – Verwerking die noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde – Verwerking die noodzakelijk is voor de activiteiten van een particuliere onderneming die erin bestaat kredietinformatie aan haar contractpartners te verstrekken ten behoeve van de beoordeling van de kredietwaardigheid van hun potentiële klanten – Systematische bewaring van gegevens uit een openbaar register die betrekking hebben op de kwijtschelding van restschulden ten gunste van een persoon – Bewaartermijn die langer is dan de bewaartermijn voor gegevens in het openbaar insolventieregister – Ontoelaatbaarheid
[Handvest van de grondrechten van de Europese Unie, art. 7 en 8; verordeningen van het Europees Parlement en de Raad 2015/848, overweging 76 en art. 79, leden 4 en 5, en 2016/679, artikel 5, lid 1, a), en art. 6, lid 1, eerste alinea, f)]
(zie punten 75, 83, 88‑100, 113, dictum 2)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Voorwaarden waaronder de verwerking van persoonsgegevens geoorloofd is – Door de bevoegde toezichthoudende autoriteit goedkeurde gedragscode die door een vereniging van verwerkingsverantwoordelijken of verwerkers is opgesteld – Code die voorziet in andere voorwaarden voor de rechtmatigheid van een verwerking dan die van verordening 2016/679 – Niet-inaanmerkingneming
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 6, lid 1, eerste alinea, f), en art. 40, leden 1, 2 en 5]
(zie punten 101‑105)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht op gegevenswissing – Omvang – Onrechtmatige verwerking van persoonsgegevens – Daaronder begrepen
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 17, lid 1, d)]
(zie punten 107, 108, 113, dictum 4)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht op gegevenswissing – Omvang – Recht van de betrokkene om bezwaar te maken tegen een gegevensverwerking – Daaronder begrepen – Uitzondering – Bestaan van dwingende gerechtvaardigde gronden voor de verwerking die zwaarder wegen dan de belangen en de rechten en vrijheden van de betrokkene – Op de verwerkingsverantwoordelijke rustende bewijslast
[Verordening 2016/679 van het Europees Parlement en de Raad, art. 17, lid 1, c), en art. 21, lid 1]
(zie punten 109‑113, dictum 3)
Samenvatting
SCHUFA Holding AG, een particuliere onderneming naar Duits recht, registreert en bewaart in haar eigen gegevensbanken informatie uit openbare registers, met name die over kwijtscheldingen van restschulden, die zij in voorkomend geval aan haar contractpartners verstrekt. Zij wist deze informatie na het verstrijken van een termijn van drie jaar na de registratie ervan, overeenkomstig de gedragscode die in Duitsland door de vereniging van kredietinformatiebureaus is opgesteld.
Nadat bij beslissingen in het kader van insolventieprocedures aan UF en AB vervroegde kwijtschelding van restschulden was verleend, hebben zij SCHUFA verzocht de registraties betreffende deze beslissingen te wissen. Deze onderneming heeft geweigerd hun verzoeken in te willigen, waarbij zij heeft uiteengezet dat de in de Duitse wetgeving (
1
) gestelde termijn van zes maanden voor het wissen van deze gegevens uit het openbaar register niet op haar van toepassing is.
UF en AB hebben elk een klacht tegen SCHUFA ingediend bij de HBDI (
2
), de bevoegde toezichthoudende autoriteit, die deze laatste heeft afgewezen op grond dat de gegevensverwerking door SCHUFA rechtmatig was.
Het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland), waarbij door UF en door AB beroepen zijn ingesteld tegen de besluiten van de HBDI, heeft het Hof vragen gesteld over de uitlegging van verschillende bepalingen van de AVG (
3
), die met name betrekking hebben op de noodzaak van de verwerking van gegevens voor de behartigde belangen en op het recht op gegevenswissing (
4
).
In zijn arrest stelt het Hof vast dat de AVG (
5
) in de weg staat aan een praktijk van particuliere kredietinformatiebureaus die erin bestaat dat zij informatie uit een openbaar register die betrekking heeft op het verlenen van kwijtschelding van restschulden ten gunste van natuurlijke personen, gedurende een langere periode in hun eigen gegevensbanken bewaren dan die waarin de nationale wetgeving voorziet voor de bewaring van deze gegevens in een dergelijk register. Het Hof spreekt zich ook uit over het recht van de betrokkene om van die onderneming te verlangen dat zij de hem betreffende gegevens wist.
Beoordeling door het Hof
In de eerste plaats herinnert het Hof eraan dat een verwerking van persoonsgegevens volgens de AVG met name als rechtmatig kan worden beschouwd wanneer aan drie cumulatieve voorwaarden is voldaan, te weten, ten eerste, de verwerkingsverantwoordelijke of een derde behartigt een gerechtvaardigd belang, ten tweede, de verwerking is noodzakelijk voor de behartiging van het gerechtvaardigde belang en, ten derde, de belangen of de grondrechten en de fundamentele vrijheden van de bij de gegevensbescherming betrokken persoon wegen niet zwaarder dan het gerechtvaardigde belang van de verwerkingsverantwoordelijke of een derde (
6
).
Wat de eerste voorwaarde betreft, benadrukt het Hof dat in casu de verwerking van persoonsgegevens weliswaar de economische belangen van een particuliere onderneming dient, maar ook dient ter behartiging van de gerechtvaardigde belangen van de contractpartners van deze onderneming, die verplicht zijn de kredietwaardigheid te beoordelen van de personen met wie zij overeenkomsten in verband met een krediet willen afsluiten, en derhalve de socio-economische belangen van de kredietsector.
Wat de tweede voorwaarde betreft, brengt het Hof in herinnering dat de gegevensverwerking slechts „noodzakelijk” kan worden geacht indien zij binnen de grenzen blijft van hetgeen voor de behartiging van een gerechtvaardigd belang door de verwerkingsverantwoordelijke of door een derde strikt noodzakelijk is.
Wat de derde voorwaarde betreft, stelt het Hof vast dat in casu het onderzoek van deze voorwaarde samenvalt met het onderzoek van de tweede voorwaarde en een afweging van de tegengestelde rechten en belangen vereist om te beoordelen of de nagestreefde legitieme belangen redelijkerwijs niet kunnen worden bereikt door een kortere bewaringstermijn van de gegevens.
Zo wijst het Hof er met betrekking tot de afweging van de nagestreefde legitieme belangen op dat de analyse door een kredietinformatiebureau informatieverschillen kan compenseren en derhalve de risico’s van fraude en andere onzekerheden kan verminderen, aangezien zij een objectieve en betrouwbare beoordeling van de kredietwaardigheid van potentiële klanten van de contractpartners van het kredietinformatiebureau mogelijk maakt.
Wat daarentegen de rechten en de belangen van de betrokkene betreft, oordeelt het Hof dat de verwerking door die onderneming van gegevens inzake het verlenen van kwijtschelding van restschulden, zoals de bewaring, de analyse en de mededeling van deze gegevens aan een derde, een ernstige inmenging in de grondrechten van de betrokkene vormt (
7
). Dergelijke gegevens dienen immers als negatieve factor bij de beoordeling van de kredietwaardigheid van de betrokkene en vormen dus gevoelige informatie over zijn privéleven, waarvan de verwerking zijn belangen ernstig kan schaden. Bovendien zijn de gevolgen voor de belangen en het privéleven van de betrokkene des te groter en zijn de eisen met betrekking tot de rechtmatigheid van de bewaring van deze informatie des te strenger naarmate die informatie langer wordt bewaard.
Wat voorts de bewaring van gegevens in openbare insolventieregisters betreft, merkt het Hof op dat de lidstaten verantwoordelijk zijn voor het verzamelen en bewaren van persoonsgegevens in nationale databanken (
8
), en derhalve moeten zij ook de termijn voor de bewaring van deze gegevens vaststellen. In het onderhavige geval heeft de nationale wetgever geoordeeld dat de rechten en de belangen van de betrokkene na het verstrijken van de termijn van zes maanden zwaarder wegen dan die welke het publiek erbij heeft om over die informatie te beschikken.
Daarnaast is de kwijtschelding van restschulden bedoeld om de begunstigde in staat te stellen opnieuw deel te nemen aan het economische leven en is zij in het algemeen voor hem van cruciaal belang. De verwezenlijking van deze doelstelling zou echter worden ondermijnd indien de desbetreffende informatie zou kunnen worden bewaard en gebruikt nadat zij uit het openbaar insolventieregister is gewist.
Het Hof komt bijgevolg tot de slotsom dat de belangen van de kredietsector om te beschikken over informatie over kwijtschelding van restschulden niet kunnen rechtvaardigen dat gegevens langer worden bewaard dan de termijn voor bewaring in het openbaar insolventieregister.
Het Hof voegt daaraan toe dat ook de bewaring van de gegevens gedurende de periode van zes maanden neerkomt op een inmenging in de grondrechten van de betrokkene. In dit verband staat het aan de verwijzende rechter om te beoordelen of de parallelle bewaring van deze gegevens door particuliere ondernemingen kan worden geacht beperkt te zijn tot het strikt noodzakelijke.
Ten slotte merkt het Hof met betrekking tot het bestaan van een gedragscode die bepaalt dat gegevens na afloop van een termijn van drie jaar worden verwijderd, op dat een dergelijke code weliswaar moet bijdragen tot de juiste toepassing van de AVG (
9
), maar dat dit niet wegneemt dat de daarin gestelde voorwaarden voor de rechtmatigheid van een verwerking van persoonsgegevens niet mogen afwijken van de voorwaarden van de AVG. Een gedragscode die tot een andere beoordeling leidt dan die welke op grond van de AVG wordt verkregen, kan derhalve niet in aanmerking worden genomen.
Wat in de tweede plaats de verplichtingen van de verwerkingsverantwoordelijke betreft om de persoonsgegevens te wissen, wijst het Hof er om te beginnen op dat deze laatste de gegevens moet wissen wanneer zij onrechtmatig zijn verwerkt, zoals in casu de gegevensverwerking door de betrokken onderneming na het verstrijken van de termijn van zes maanden voor bewaring in het openbaar register (
10
). Voorts heeft de betrokkene, ook al zou de verwijzende rechter tot de slotsom komen dat de gegevensverwerking tijdens de periode van zes maanden rechtmatig was, het recht om tegen een dergelijke verwerking (
11
) bezwaar te maken en wissing van de hem betreffende gegevens te verkrijgen, indien die onderneming niet kan aantonen dat er dwingende gerechtvaardigde gronden bestaan die zwaarder wegen dan de belangen en de rechten en vrijheden van de betrokkene (
12
).
(
1
)	§ 3, lid 1, van de Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (regeling betreffende openbare bekendmakingen via het internet in insolventieprocedures) van 12 februari 2002 (BGBl.
I, blz. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, deelstaat Hessen, Duitsland).
(
3
)	Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificatie in PB 2018, L 127, blz. 2; hierna: „AVG”).
(
4
)	Respectievelijk artikel 6, lid 1, eerste alinea, onder f), en artikel 17, lid 1, onder c) en d), van deze verordening.
(
5
)	Artikel 5, lid 1, onder a), gelezen in samenhang met artikel 6, lid 1, eerste alinea, onder f), AVG.
(
6
)	Op grond van artikel 6, lid 1, eerste alinea, onder f), AVG, dat in casu van toepassing is.
(
7
)	Rechten die zijn verankerd in de artikelen 7 en 8 van het Handvest van de grondrechten van de Europese Unie, die respectievelijk betrekking hebben op de eerbiediging van het privéleven en de bescherming van persoonsgegevens.
(
8
)	Krachtens artikel 79, lid 4, van verordening (EU) 2015/848 van het Europees Parlement en de Raad van 20 mei 2015 betreffende insolventieprocedures (herschikking) (PB 2015, L 141, blz. 19). In artikel 79, lid 5, van deze verordening is enkel bepaald dat de lidstaten de betrokkenen in kennis stellen van de toegankelijkheidsperiode die is vastgesteld voor de in de insolventieregisters opgeslagen persoonsgegevens, zonder dat een termijn voor de bewaring van die gegevens is vastgesteld.
(
9
)	Volgens artikel 40, leden 1 en 2, AVG.
(
10
)	Overeenkomstig artikel 17, lid 1, onder d), AVG.
(
11
)	Krachtens artikel 21, lid 1, AVG.
(
12
)	Op grond van artikel 17, lid 1, onder c), AVG.