62022CJ0026_RES
Cauzele conexate C‑26/22 și C‑64/22
UFșiAB
împotriva
Land Hessen
(cerere de decizie preliminară formulată de Verwaltungsgericht Wiesbaden)
Hotărârea Curții (Camera întâi) din 7 decembrie 2023
„Trimitere preliminară – Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul (UE) 2016/679 – Articolul 5 alineatul (1) litera (a) – Principiul «legalității» – Articolul 6 alineatul (1) primul paragraf litera (f) – Necesitatea prelucrării în scopul intereselor legitime urmărite de operator sau de un terț – Articolul 17 alineatul (1) litera (d) – Dreptul la ștergere în cazul prelucrării ilegale a datelor cu caracter personal – Articolul 40 – Coduri de conduită – Articolul 78 alineatul (1) – Dreptul la o cale de atac judiciară eficientă împotriva unei autorități de supraveghere – Decizie adoptată de autoritatea de supraveghere cu privire la o plângere – Întinderea controlului jurisdicțional asupra acestei decizii – Societăți care furnizează informații comerciale – Stocarea datelor dintr‑un registru public referitoare la liberarea de restul de datorie în favoarea unei persoane – Perioada de stocare”
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Căi de atac – Cale de atac judiciară împotriva unei decizii adoptate de o autoritate de supraveghere cu privire la o plângere – Control jurisdicțional – Întindere – Limite – Inexistență
[Carta drepturilor fundamentale a Uniunii Europene, art. 8 alin. (3) și art. 47; Regulamentul 2016/679 al Parlamentului European și al Consiliului, considerentele (141) și (143) și art. 52, art. 78 alin. (1) și art. 79 alin. (1)]
(a se vedea punctele 50-53, 58, 59, 62 și 67-70 și dispozitiv 1)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Condiții de legalitate a unei prelucrări de date cu caracter personal –Prelucrare necesară în scopul intereselor legitime urmărite de operator sau de un terț – Prelucrare necesară activității unei societăți private care constă în furnizarea unor informații comerciale partenerilor săi contractuali în scopul evaluării bonității clienților lor potențiali – Stocare sistematică a datelor dintr‑un registru public referitoare la liberarea de restul de datorie în favoarea unei persoane – Perioadă de stocare care depășește termenul de stocare a datelor în registrul public de insolvență – Inadmisibilitate
[Carta drepturilor fundamentale a Uniunii Europene, art. 7 și 8; Regulamentul 2015/848 al Parlamentului European și al Consiliului, considerentul (76) și art. 79 alin. (4) și (5), și Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 5 alin. (1) lit. (a) și art. 6 alin. (1) primul paragraf lit. (f)]
(a se vedea punctele 75, 83, 88-100 și 113 și dispozitiv 2)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Condiții de legalitate a unei prelucrări de date cu caracter personal – Cod de conduită pregătit de o asociație care reprezintă operatori sau persoane împuternicite de operatori, aprobat de autoritatea de supraveghere competentă – Cod care stabilește condiții de legalitate a prelucrării care nu corespund celor prevăzute de Regulamentul 2016/679 – Neluare în considerare
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 6 alin. (1) primul paragraf lit. (f) și art. 40 alin. (1), (2) și (5)]
(a se vedea punctele 101-105)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la ștergerea datelor – Întindere – Prelucrare ilegală a datelor cu caracter personal – Includere
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 17 alin. (1) lit. (d)]
(a se vedea punctele 107, 108 și 113 și dispozitiv 4)
Protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal – Regulamentul 2016/679 – Dreptul la ștergerea datelor – Întindere – Dreptul la opoziție al persoanei vizate de o prelucrare a datelor – Includere – Excepție – Existența unor motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților acestei persoane – Sarcina probei care revine operatorului
[Regulamentul 2016/679 al Parlamentului European și al Consiliului, art. 17 alin. (1) lit. (c) și art. 21 alin. (1)]
(a se vedea punctele 109-113 și dispozitiv 3)
Rezumat
SCHUFA Holding AG, o societate privată de drept german, înregistrează și stochează în propriile baze de date informații provenite din registre publice, în special cele referitoare la liberări de restul de datorie, pe care le furnizează, dacă este cazul, partenerilor săi contractuali. Ea șterge aceste informații la expirarea unui termen de trei ani de la înregistrarea lor, în conformitate cu codul de conduită elaborat în Germania de asociația ce regrupează societățile care furnizează informații comerciale.
După ce au beneficiat de decizii de liberare anticipată de restul de datorie în cadrul unor proceduri de insolvență, UF și AB au solicitat SCHUFA să șteargă înscrierile referitoare la aceste decizii. Această societate a refuzat să le admită cererile, explicând că termenul de șase luni de ștergere a acestor date din registrul public, prevăzut de legislația germană (
1
), nu îi era aplicabil.
UF și AB au depus fiecare o plângere împotriva SCHUFA la HBDI (
2
), autoritatea de supraveghere competentă, pe care aceasta din urmă le‑a respins pentru motivul că prelucrarea datelor efectuată de SCHUFA era legală.
Sesizat cu acțiuni formulate de UF și AB împotriva deciziilor HBDI, Verwaltungsgericht Wiesbaden (Tribunalul Administrativ din Wiesbaden, Germania) a solicitat Curții să se pronunțe cu privire la interpretarea mai multor dispoziții ale RGPD (
3
) care vizează în special necesitatea prelucrării datelor în scopul intereselor urmărite, precum și dreptul la ștergerea datelor (
4
).
În hotărârea pronunțată, Curtea constată că RGPD (
5
) se opune unei practici a societăților private care furnizează informații comerciale, ce constă în stocarea în propriile baze de date a informațiilor provenite dintr‑un registru public referitoare la acordarea unei liberări de restul de datorie în favoarea persoanelor fizice, pe o perioadă mai lungă decât cea prevăzută de legislația națională pentru stocarea acestor date într‑un asemenea registru. Curtea se pronunță de asemenea asupra dreptului persoanei vizate de a obține de la această societate ștergerea datelor care o privesc.
Aprecierea Curții
În primul rând, Curtea amintește că, potrivit RGPD, o prelucrare de date cu caracter personal poate fi considerată legală în special atunci când sunt îndeplinite trei condiții cumulative, și anume, primo, operatorul sau un terț urmărește un interes legitim, secundo, prelucrarea este necesară pentru realizarea interesului legitim urmărit și, tertio, interesele sau libertățile și drepturile fundamentale ale persoanei vizate de protecția datelor nu prevalează asupra interesului legitim al operatorului sau al unui terț (
6
).
În ceea ce privește prima condiție, Curtea subliniază că, deși, în speță, prelucrarea datelor cu caracter personal servește intereselor economice ale unei societăți private, ea servește de asemenea urmăririi intereselor legitime ale partenerilor contractuali ai acestei societăți, care au obligația să evalueze bonitatea persoanelor cu care intenționează să încheie contracte în legătură cu un credit și, prin urmare, a intereselor sectorului creditelor pe plan socioeconomic.
În ceea ce privește a doua condiție, Curtea amintește că prelucrarea datelor poate fi considerată „necesară” numai dacă este efectuată în limitele strictului necesar pentru realizarea unui interes legitim urmărit de operator sau de un terț.
În ceea ce privește a treia condiție, Curtea constată că, în speță, examinarea acesteia se confundă cu examinarea celei de a doua condiții și necesită o evaluare comparativă a drepturilor și a intereselor opuse pentru a aprecia dacă interesele legitime urmărite nu pot fi atinse în mod rezonabil printr‑o perioadă mai scurtă de stocare a datelor.
Astfel, în ceea ce privește evaluarea comparativă a intereselor legitime urmărite, Curtea arată că, în măsura în care analiza efectuată de o societate care furnizează informații comerciale face posibilă evaluarea obiectivă și fiabilă a bonității clienților potențiali ai partenerilor contractuali ai acestei societăți, ea permite compensarea unor disparități de informare și, așadar, reducerea riscurilor de fraudă, precum și a altor incertitudini.
În ceea ce privește, în schimb, drepturile și interesele persoanei vizate, Curtea consideră că prelucrarea efectuată de această societate a datelor referitoare la acordarea unei liberări de restul de datorie, precum stocarea, analiza și comunicarea acestor date unui terț, constituie o ingerință gravă în drepturile fundamentale ale persoanei vizate (
7
). Astfel, asemenea date sunt utilizate ca factor negativ la evaluarea bonității acesteia din urmă și constituie, așadar, informații sensibile cu privire la viața sa privată, a căror prelucrare poate vătăma în mod considerabil interesele sale. În plus, cu cât stocarea unor asemenea date este mai lungă, cu atât consecințele asupra intereselor și asupra vieții private ale persoanei vizate sunt mai importante și cu atât cerințele referitoare la legalitatea stocării acestor informații sunt mai ridicate.
Pe de altă parte, în ceea ce privește stocarea datelor în registrele publice de insolvență, Curtea arată că statele membre răspund de colectarea și stocarea datelor în bazele de date naționale (
8
) și, prin urmare, acestea trebuie să stabilească de asemenea termenul de stocare a acestor date. În speță, legiuitorul național a considerat că, după expirarea termenului de șase luni, drepturile și interesele persoanei vizate prevalează asupra intereselor publicului de a dispune de această informație.
În plus, liberarea de restul de datorie este menită să permită persoanei care beneficiază de aceasta să participe din nou la viața economică și are, în general, o importanță existențială pentru acea persoană. Or, realizarea acestui obiectiv ar fi compromisă dacă informațiile referitoare la aceasta ar putea fi stocate și utilizate după ștergerea lor din registrul public de insolvență.
Prin urmare, Curtea concluzionează că interesele sectorului creditelor de a dispune de informații cu privire la o liberare de restul de datorie nu pot justifica stocarea datelor după expirarea termenului de stocare în registrul public de insolvență.
Curtea adaugă că stocarea datelor în perioada de șase luni constituie de asemenea o ingerință în drepturile fundamentale ale persoanei vizate. În această privință, instanței de trimitere îi revine sarcina de a aprecia dacă stocarea paralelă a acestor date de către societăți private poate fi considerată ca fiind limitată la strictul necesar.
În sfârșit, în ceea ce privește existența unui cod de conduită care prevede ștergerea datelor după expirarea unui termen de trei ani, Curtea observă că, deși un asemenea cod este menit să contribuie la buna aplicare a RGPD (
9
), nu este mai puțin adevărat că condițiile de legalitate a unei prelucrări a datelor cu caracter personal, pe care le prevede, nu pot fi diferite de condițiile prevăzute de RGPD. Astfel, un cod de conduită care conduce la o apreciere diferită de cea care este obținută în aplicarea RGPD nu poate fi luat în considerare.
În al doilea rând, în ceea ce privește obligațiile operatorului de a șterge datele personale, Curtea constată, pe de o parte, că acesta trebuie să efectueze ștergerea datelor care au făcut obiectul unei prelucrări ilegale precum, în speță, prelucrarea datelor efectuată de societatea în cauză după expirarea termenului de stocare de șase luni în registrul public (
10
). Pe de altă parte, chiar dacă instanța de trimitere ar trebui să concluzioneze că prelucrarea datelor în perioada de șase luni era legală, persoana vizată ar avea dreptul să se opună unei asemenea prelucrări (
11
) și să obțină ștergerea datelor care o privesc, dacă această societate nu demonstrează existența unor motive legitime imperioase care prevalează asupra intereselor, precum și asupra drepturilor și libertăților acestei persoane (
12
).
(
1
)	Articolul 3 alineatul (1) din Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Regulamentul privind publicitatea oficială difuzată pe internet în cadrul procedurilor de insolvență) din 12 februarie 2002 (BGBl. I, p. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Comisarul landului Hessen pentru Protecția Datelor și Libertatea de Informare, Germania).
(
3
)	Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO 2016, L 119, p. 1, rectificare în JO 2018, L 127, p. 2, denumit în continuare „RGPD”).
(
4
)	Articolul 6 alineatul (1) primul paragraf litera (f) și, respectiv, articolul 17 alineatul (1) literele (c) și (d) din acest regulament.
(
5
)	Articolul 5 alineatul (1) litera (a) coroborat cu articolul 6 alineatul (1) primul paragraf litera (f) din RGPD.
(
6
)	În temeiul articolului 6 alineatul (1) primul paragraf litera (f) din RGPD, aplicabil în speță.
(
7
)	Drepturi consacrate la articolele 7 și 8 din Carta drepturilor fundamentale a Uniunii Europene, referitoare la respectarea vieții private și, respectiv, la protecția datelor cu caracter personal.
(
8
)	În temeiul articolului 79 alineatul (4) din Regulamentul (UE) 2015/848 al Parlamentului European și al Consiliului din 20 mai 2015 privind procedurile de insolvență (reformare) (JO 2015, L 141, p. 19). Articolul 79 alineatul (5) din acest regulament se limitează să prevadă că statele membre informează persoanele vizate în legătură cu perioada de accesibilitate stabilită pentru datele cu caracter personal stocate în registrele de insolvență, fără a stabili un termen pentru stocarea acestor date.
(
9
)	Potrivit articolului 40 alineatele (1) și (2) din RGPD.
(
10
)	Conform articolului 17 alineatul (1) litera (d) din RGPD.
(
11
)	În temeiul articolului 21 alineatul (1) din RGPD.
(
12
)	În aplicarea articolului 17 alineatul (1) litera (c) din RGPD.