62022CC0026
SKLEPNI PREDLOGI GENERALNEGA PRAVOBRANILCA
PRIITA PIKAMÄEJA,
predstavljeni 16. marca 2023 (
1
)
Združeni zadevi C‑26/22 in C‑64/22
UF (C‑26/22),
AB (C‑64/22)
proti
Land Hessen,
ob udeležbi
SCHUFA Holding AG
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija))
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 6(1), prvi pododstavek, točka (f) – Zakonitost obdelave – Člen 17(1)(d) – Pravica do izbrisa v primeru nezakonite obdelave osebnih podatkov – Člen 40 – Kodeksi ravnanja – Člen 77(1) – Pravica do vložitve pritožbe – Člen 78(1) – Pravica do učinkovitega pravnega sredstva zoper nadzorni organ – Člena 7 in 8 Listine Evropske unije o temeljnih pravicah – Odločba nadzornega organa o pritožbi – Obseg sodnega nadzora nad to odločbo – Zasebne agencije za kreditne informacije – Hramba podatkov iz javnega registra – Zakoniti interes – Trajanje hrambe“
I. Uvod
1.
Ta predloga za sprejetje predhodne odločbe, ki ju je Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija) vložilo na podlagi člena 267 PDEU, se nanašata na razlago členov 7 in 8 Listine Evropske unije o temeljnih pravicah (v nadaljevanju: Listina) ter člena 6(1), prvi pododstavek, točka (f), člena 17(1)(d), člena 40, člena 77(1) in člena 78(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (
2
) (v nadaljevanju: SUVP).
2.
Predloga sta bila vložena v okviru dveh sporov, in sicer med, prvi, UF (zadeva C‑26/22) oziroma, drugi, AB (zadeva C‑64/22) in Land Hessen (zvezna dežela Hessen, Nemčija), ki jo zastopa Hessischer Beauftragter für Datenschutz und Informationsfreiheit (pooblaščenec zvezne dežele Hessen za varstvo podatkov in svobodo obveščanja, v nadaljevanju: HBDI), glede zahtevkov, ki sta jih UF in AB vložila pri HBDI in s katerima mu predlagata, naj ukrepa za izbris vpisa odpisa dolga pri družbi SCHUFA Holding AG (v nadaljevanju: družba SCHUFA).
3.
V obeh zadevah se postavljajo različna nova pravna vprašanja, ki se med drugim nanašajo na pravno naravo odločbe nadzornega organa, pri katerem je vložena pritožba, in obseg sodnega nadzora, ki ga lahko sodišče opravi v okviru tožbe, vložene zoper tako odločbo. Zadevi se nanašata tudi na vprašanje zakonitosti hrambe osebnih podatkov iz javnih registrov pri agencijah za kreditne informacije.
II. Pravni okvir
A. Pravo Unije
1.
Uredba (EU) 2015/848
4.
Člen 79(4) in (5) Uredbe (EU) 2015/848 Evropskega parlamenta in Sveta z dne 20. maja 2015 o postopkih v primeru insolventnosti (
3
) določa:
„4.   Države članice so v skladu z Direktivo [Evropskega parlamenta in Sveta 95/46/ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (posebna izdaja v slovenščini, poglavje 13, zvezek 15, str. 355)] odgovorne za zbiranje in shranjevanje podatkov v nacionalnih podatkovnih bazah in za odločitve, sprejete glede dostopnosti takšnih podatkov v medsebojno povezanem registru, do katerega se lahko dostopa prek evropskega portala e-pravosodje.
5.   Države članice v okviru obveščanja, ki bi ga morale zagotoviti posameznikom, na katere se nanašajo osebni podatki, da bi jim omogočile uveljavljanje njihovih pravic, zlasti pravice do izbrisa podatkov, osebe, na katere se nanašajo podatki, obvestijo o obdobju dostopnosti, določenem za osebne podatke, shranjene v registrih insolventnosti.“
2.
SUVP
5.
Člen 5(1) SUVP določa:
„Osebni podatki so:
[…]
(b)
zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; […] (‚omejitev namena‘);
[…]“
6.
Člen 6(1) te uredbe določa:
„Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
[…]
(f)
obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov […];
[…]“
7.
Člen 17(1) SUVP določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:
[…]
(c)
posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
(d)
osebni podatki so bili obdelani nezakonito;
[…]“
8.
Člen 21(1) te uredbe določa:
„Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi razlogov, povezanih z njegovim posebnim položajem, pravico, da kadar koli ugovarja obdelavi osebnih podatkov v zvezi z njim, ki temelji na točki (e) ali (f) člena 6(1), vključno z oblikovanjem profilov na podlagi teh določb. Upravljavec preneha obdelovati osebne podatke, razen če dokaže nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ali za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.“
9.
Člen 40 navedene uredbe določa:
„1.   Države članice, nadzorni organi, odbor in Komisija spodbujajo pripravljanje kodeksov ravnanja, katerih namen je prispevati k pravilni uporabi te uredbe, ob upoštevanju posebnih značilnosti različnih sektorjev za obdelavo ter posebnih potreb mikro, malih in srednjih podjetij.
2.   Združenja in druga telesa, ki predstavljajo vrste upravljavcev ali obdelovalcev, lahko pripravijo kodekse ravnanja oziroma takšne kodekse spremenijo ali razširijo z namenom podrobneje obrazložiti uporabo te uredbe, kot na primer glede:
(a)
poštene in pregledne obdelave;
(b)
zakonitih interesov, za katere si prizadevajo upravljavci v posebnih okoliščinah;
(c)
zbiranje osebnih podatkov;
[…]
5.   Združenja in druga telesa iz odstavka 2 tega člena, ki nameravajo pripraviti kodeks ravnanja oziroma spremeniti ali razširiti veljaven kodeks, predložijo osnutek kodeksa, spremembo ali razširitev nadzornemu organu, pristojnemu v skladu s členom 55. Nadzorni organ poda mnenje, ali je osnutek kodeksa, sprememba ali razširitev skladna s to uredbo, in takšen osnutek kodeksa, spremembo ali razširitev potrdi, če oceni, da zagotavlja zadostne ustrezne zaščitne ukrepe.
[…]“
10.
Člen 77(1) SUVP določa:
„Brez poseganja v katero koli drugo upravno ali pravno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico, da vloži pritožbo pri nadzornem organu, zlasti v državi članici, v kateri ima običajno prebivališče, v kateri je njegov kraj dela ali v kateri je domnevno prišlo do kršitve, če meni, da obdelava osebnih podatkov v zvezi z njim krši to uredbo.“
11.
Člen 78 te uredbe določa:
„1.   Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsaka fizična ali pravna oseba pravico do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev nadzornega organa v zvezi z njo.
2.   Brez poseganja v katero koli drugo upravno ali izvensodno sredstvo ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar nadzorni organ, ki je pristojen na podlagi členov 55 in 56, ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi, vloženi na podlagi člena 77.
[…]“
B. Nemško pravo
12.
Člen 9 Insolvenzordnung (zakon o insolventnosti) v različici, ki je veljala v času dejanskega stanja v sporih o glavni stvari, v odstavku 1 določa:
„Podatki se centralno in nacionalno javno objavijo na internetu; objavijo se lahko le izvlečki. Pri tem je treba natančno navesti dolžnika, zlasti je treba navesti njegov naslov in njegovo poslovno dejavnost. Objava se šteje za opravljeno, takoj ko pretečeta še dva dneva od datuma objave.“
13.
Člen 3 Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (uredba o objavah na internetu v postopkih zaradi insolventnosti, v nadaljevanju: InsBekV) v odstavkih 1 in 2 določa:
„(1)   Objava podatkov iz postopka zaradi insolventnosti, vključno s podatki o začetku postopka, v elektronskem informacijskem in komunikacijskem sistemu se izbriše najpozneje šest mesecev po koncu oziroma po pravnomočnosti ustavitve postopka zaradi insolventnosti. Če se postopek ne začne, začne rok teči z razveljavitvijo objavljenih ukrepov zavarovanja.
(2)   Za objave v okviru postopka odpisa dolgov, vključno s sklepom iz člena 289 zakona o insolventnosti, se uporablja prvi stavek odstavka 1, pri čemer začne rok teči s pravnomočnostjo odločbe o odpisu dolgov.“
III. Dejansko stanje, postopka in vprašanja za predhodno odločanje
14.
UF in AB je bil v okviru njunih stečajnih postopkov s sodnima sklepoma, izdanima 17. decembra 2020 oziroma 23. marca 2021, odobren predčasen odpis dolga. V skladu s členom 9(1) zakona o insolventnosti ter členom 3(1) in (2) InsBekV je bila ta okoliščina javno objavljena na spletu, po šestih mesecih pa je bila ta objava izbrisana.
15.
Družba SCHUFA, zasebna agencija za kreditne informacije, shranjuje objavljene informacije v zvezi s predčasnimi odpisi dolga v svoje podatkovne baze, vendar jih izbriše šele tri leta po shranitvi.
16.
Potem ko sta UF in AB družbo SCHUFA pozvala k izbrisu vpisov, ki so se nanašali nanju, jima je ta družba odgovorila, da je njena dejavnost v skladu s SUVP in da se zanjo šestmesečni rok za izbris, ki je določen v členu 3(1) InsBekV, ne uporablja. UF in AB sta nato vložila pritožbi pri HBDI kot pristojnem nadzornem organu.
17.
HBDI je o teh pritožbah odločil z odločbama z dne 1. marca 2021 oziroma 9. julija 2021. Po njegovem mnenju družba SCHUFA lahko hrani negativne vpise o odpisih dolga še po obdobju odpisa terjatve.
18.
UF in AB sta zoper odločbi HBDI vložila tožbi pri Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu), ki je predložitveno sodišče. S tem v zvezi trdita, da mora HBDI v okviru svojih nalog in pristojnosti sprejeti ukrepe zoper družbo SCHUFA, da se ji naloži izbris vpisov, ki se nanašajo nanju.
19.
V zvezi s tem predložitveno sodišče meni, prvič, da je treba pojasniti pravno naravo odločbe nadzornega organa o pritožbi, vloženi na podlagi člena 77(1) SUVP. To sodišče navaja, da je po mnenju HBDI pravica iz člena 77(1) zasnovana kot pravica do peticije. Tako naj bi v zvezi s tem veljal le omejen sodni nadzor, ki naj bi bil omejen na preverjanje, ali je nadzorni organ obravnaval pritožbo ter pritožnika obvestil o stanju pritožbe in odločitvi o njej. Sodišče pa naj ne bi smelo nadzirati vsebinske pravilnosti odločbe, izdane v zvezi s pritožbo.
20.
Vendar navedeno sodišče dvomi o skladnosti te analize s SUVP. Po njegovem mnenju naj bi se namreč s členom 78(1) te uredbe zahtevalo učinkovito pravno sredstvo. Ob upoštevanju cilja navedene uredbe, ki je zagotoviti učinkovito varstvo temeljnih pravic in svoboščin posameznikov v okviru izvajanja členov 7 in 8 Listine, obravnavanja pravice do pritožbe ni mogoče razlagati ozko. Predložitveno sodišče se zato nagiba k razlagi, v skladu s katero mora sodišče v celoti preizkusiti meritorno odločitev nadzornega organa, pri čemer pa je treba upoštevati, da ima ta organ polje proste presoje in pravico odločanja po prostem preudarku ter da mu je mogoče ukrepanje naložiti le, če ni drugih zakonitih alternativ.
21.
Drugič, predložitveno sodišče se sprašuje o zakonitosti hrambe podatkov iz javnih registrov pri agencijah za kreditne informacije. V zvezi s tem to sodišče pojasnjuje, da te agencije vse vpise iz javnih registrov, v obravnavanem primeru iz registra dolžnikov in registra insolventnosti, dobijo od države. Ti podatki naj bi bili po mnenju HBDI namenjeni bonitetni oceni in naj bi se lahko shranjevali tako dolgo, kot je to potrebno za namene, za katere se shranjujejo. Poleg tega naj bi nadzorni organi skupaj z združenjem agencij za kreditne informacije – ker nacionalni zakonodajalec tega ni uredil – sprejeli kodekse ravnanja, v katerih je določen izbris natanko tri leta po vpisu v bazo.
22.
Predložitveno sodišče meni, da se glede na člena 7 in 8 Listine postavlja vprašanje, ali se lahko vpisi v javnih registrih nespremenjeni prenesejo v zasebno vodene registre, ne da bi obstajal konkreten razlog za shranjevanje podatkov. To naj bi nazadnje vodilo do shranjevanja podatkov na zalogo, zlasti kadar so bili podatki v nacionalnem registru že izbrisani zaradi izteka roka hrambe. Poleg tega naj bi bila družba SCHUFA le ena od več agencij za kreditne informacije, tako da naj bi bili podatki v Nemčiji shranjeni večkrat, kar naj bi pomenilo velik poseg v temeljno pravico iz člena 7 Listine.
23.
Predložitveno sodišče dodatno navaja, da je obdelava in s tem shranjevanje podatkov dovoljeno le, če je izpolnjen eden od pogojev iz člena 6(1) SUVP, pri čemer je v obravnavanem primeru upošteven samo člen 6(1), prvi pododstavek, točka (f), te uredbe. Vendar naj bi bilo to, da ima upravljavec, kot je družba SCHUFA, zakoniti interes v smislu te določbe, vprašljivo. Agencija za kreditne informacije naj bi v primeru zakonitega interesa vsekakor še vedno lahko dostopala do javnih registrov, dokler se podatki hranijo v njih.
24.
Poleg tega naj bi nemški zakonodajalec v členu 3 InsBekV določil le razmeroma kratko obdobje hrambe, in sicer šest mesecev od vpisa odpisa dolga v registru insolventnosti. Ta ureditev naj bi temeljila na členu 79(5) Uredbe 2015/848, v skladu s katerim države članice osebe, na katere se nanašajo podatki, obvestijo o obdobju dostopnosti, določenem za osebne podatke, shranjene v registrih insolventnosti, da bi jim omogočile uveljavljanje njihovih pravic, zlasti pravice do izbrisa podatkov. Ta pravica pa naj ne bi več obstajala v primeru hrambe v številnih zasebnih registrih, v katerih naj bi se podatki nato hranili dlje časa.
25.
Sicer pa tudi če bi priznali, da je shranjevanje podatkov iz javnih registrov pri zasebnih agencijah za kreditne informacije zakonito, bi se lahko vprašali, ali je treba kodekse ravnanja, odobrene v skladu s členom 40 SUVP, v katerih je določen triletni rok za izbris vpisa v zvezi z odpisom dolga, upoštevati pri tehtanju, ki je potrebno pri presoji na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.
26.
V teh okoliščinah je Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo ta vprašanja:
„1.
Ali je treba člen 77(1) v povezavi s členom 78(1) [SUVP] razlagati tako, da ima odločitev nadzornega organa, o kateri ta obvesti posameznika, na katerega se nanašajo osebni podatki,
(a)
naravo odločbe o peticiji? To pomeni, da je sodni nadzor nad odločbo nadzornega organa o pritožbi v skladu s členom 78(1) Splošne uredbe o varstvu podatkov načeloma omejen na to, ali je organ pritožbo obravnaval, ustrezno preučil predmet pritožbe in pritožnika obvestil o izidu preučitve,
ali
(b)
pa jo je treba razumeti kot meritorno odločitev organa? To pomeni, da mora sodišče odločbo nadzornega organa o pritožbi v skladu s členom 78(1) [SUVP] v celoti vsebinsko preučiti, pri čemer lahko sodišče v posameznem primeru – na primer pri redukciji prostega preudarka na ničlo – nadzornemu organu naloži tudi konkreten ukrep v smislu člena 58 Splošne uredbe o varstvu podatkov.
2.
Ali je shranjevanje podatkov pri zasebni družbi, specializirani za gospodarske informacije, [agenciji za kreditne informacije] v primeru osebnih podatkov iz javnega registra, kot so ‚nacionalne podatkovne baze‘ v smislu člena 79(4) in (5) [Uredbe 2015/848], ki se shranjujejo brez konkretnega razloga, da bi te družbe lahko v primeru poizvedbe posredovale informacije, združljivo s členoma 7 in 8 [Listine]?
3.
(a)
Ali so zasebne vzporedne baze podatkov (zlasti baze podatkov družbe, specializirane za informacije [agencija za kreditne informacije]), ki so vzpostavljene poleg državnih baz podatkov in v katerih se podatki iz državnih baz podatkov (v tem primeru obvestila o postopkih zaradi insolventnosti) hranijo dlje, kot je določeno v ozkem okviru Uredbe (EU) 2015/848 v povezavi z nacionalnim pravom, načeloma zakonite?
(b)
Če je odgovor na tretje vprašanje, točka (a), pritrdilen, ali pravica do pozabe iz člena 17(1)(d) [SUVP] pomeni, da je treba te podatke izbrisati, če je obdobje obdelave, določeno za javni register, poteklo?
4.
Ali je treba, če se člen 6(1), prvi pododstavek, točka (f), [SUVP] upošteva kot edina pravna podlaga za hrambo podatkov pri zasebnih družbah, specializiranih za gospodarske informacije, [agencijah za kreditne informacije] v zvezi s podatki, ki se shranjujejo tudi v javnih registrih, pritrditi zakonitemu interesu družbe, specializirane za gospodarske informacije, že če ta družba pridobiva podatke iz javne evidence brez konkretnega razloga, zato da bi bili potem ti podatki na voljo v primeru poizvedbe?
5.
Ali lahko kodeks ravnanja, ki ga je potrdil nadzorni organ v skladu s členom 40 [SUVP] in določa roke za preverjanje in izbris, ki presegajo roke hrambe, ki veljajo za javni register, ne upošteva tehtanja, ki se zahteva v skladu s členom 6(1), prvi pododstavek, točka (f), [SUVP]?“
IV. Postopek pred Sodiščem
27.
Predložitvena odločba v zadevi C‑26/22 z dne 23. decembra 2021 je v sodno tajništvo Sodišča prispela 11. januarja 2022. Predložitvena odločba v zadevi C‑64/22 z dne 31. januarja 2022 je v sodno tajništvo Sodišča prispela 2. februarja 2022.
28.
S sklepom Sodišča z dne 11. februarja 2022 sta bili zadevi združeni za pisni in ustni postopek ter izdajo sodbe.
29.
Stranke v postopku v glavni stvari, družba SCHUFA, nemška in portugalska vlada ter Evropska komisija so pisna stališča predložile v roku, določenem v členu 23 Statuta Sodišča Evropske unije.
30.
Zastopniki ad litem strank iz postopka v glavni stvari in družbe SCHUFA ter agenti Komisije so na obravnavi 26. januarja 2023 ustno predstavili stališča.
V. Pravna analiza
A. Uvodna pojasnila
31.
Medsebojno zaupanje je osnova vsakega pogodbenega razmerja v tržnem gospodarstvu, zato je s podjetniškega vidika načeloma razumljivo, da želijo ponudniki storitev in blaga poznati svoje kupce in tveganja, ki so povezana s takim pogodbenim razmerjem. Agencije za kreditne informacije lahko prispevajo k vzpostavitvi tega medsebojnega zaupanja s statističnimi metodami, ki podjetjem omogočajo, da ugotovijo, ali so v obravnavanem primeru izpolnjena nekatera upoštevna merila, vključno s plačilno sposobnostjo njihovih kupcev. Tako podjetjem pomagajo, da ravnajo v skladu z različnimi določbami prava Unije, s katerim jim je za nekatere kategorije pogodb, med drugim posojilne, naložena ravno taka obveznost. (
4
) Te agencije pa niso edine, ki ponujajo take storitve. Zakonodajalec Unije se zaveda potrebe po zagotavljanju določene preglednosti in predvidljivosti finančnih transakcij, zato od držav članic zahteva, da ustvarijo in vzdržujejo enega ali več registrov, v katerih so objavljene informacije v zvezi s postopki v primeru insolventnosti.
32.
Zato vzporedno obstaja več podatkovnih baz, in sicer, „uradni“ registri, ki jih upravljajo javni organi, na eni strani, in podatkovne baze, ki jih vodijo zasebne agencije, na drugi strani. Zaradi te vzporednosti lahko pride do konkurence med sistemi in celo do nastanka pravnih nasprotij, če se pravne ureditve, ki veljajo za te registre, občutno razlikujejo. Razlike v ureditvi lahko postanejo posebej problematične, če vplivajo na varstvo podatkov, saj mora subjekt, bodisi javni bodisi zasebni, ki upravlja register, pri načinu upravljanja in shranjevanja osebnih podatkov spoštovati interes posameznikov, na katere se ti podatki nanašajo. Informacije o ekonomskem položaju posameznika so namreč občutljive z vidika spoštovanja pravice do varstva osebnih podatkov in zasebnosti, zato je potrebna posebna pazljivost.
33.
S SUVP, ki se uporablja od 25. maja 2018, je bil vzpostavljen pravni okvir, namenjen temu, da se v celotni Uniji upoštevajo zgoraj navedeni interesi, pri čemer so bile zlasti določene nekatere omejitve v zvezi z obdelavo osebnih podatkov. Tako je v členu 6(1), prvi pododstavek, točka (f), SUVP zahtevano, da je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov. Povedano drugače, zakonitost obdelave mora biti ugotovljena s tehtanjem različnih zadevnih interesov, pri čemer morajo prevladati zakoniti interesi upravljavca ali tretje osebe. Ali so ti pogoji izpolnjeni, mora preveriti nadzorni organ, ki mora v skladu s členom 77(1) SUVP obravnavati vsako morebitno pritožbo posameznika, na katerega se nanašajo osebni podatki, v zvezi s kršitvijo njegovih temeljnih pravic. Nazadnje, če bi se tak posameznik odločil vložiti tožbo zoper odločbe nadzornega organa v skladu s členom 78(1) SUVP, bi morala nacionalna sodišča zagotoviti učinkovit sodni nadzor.
34.
V predhodnih točkah teh sklepnih predlogov so na kratko povzeta različna pravna vprašanja, ki jih je v svojih predlogih za sprejetje predhodne odločbe postavilo predložitveno sodišče. Prvo vprašanje se nanaša na pravno naravo odločbe nadzornega organa, pri katerem je vložena pritožba, in obseg sodnega nadzora, ki ga lahko opravi sodišče v okviru tožbe, vložene zoper tako odločbo. Drugo, tretje, četrto in peto vprašanje se v bistvu nanašajo na zakonitost hrambe osebnih podatkov iz javnih registrov pri agencijah za kreditne informacije. Vprašanja za predhodno odločanje bom v nadaljevanju preučil v vrstnem redu, v katerem jih je postavilo predložitveno sodišče.
B. Prvo vprašanje za predhodno odločanje
35.
Ker se prvo vprašanje nanaša na obe stopnji upravnega varstva, in sicer na pritožbo pri nadzornem organu in pravno sredstvo pri sodnem organu, ki sta urejeni s členoma 77 in 78 SUVP, menim, da je primerno na kratko opisati ti stopnji in pri tem obravnavati pravne vidike, o katerih se sprašuje predložitveno sodišče.
36.
Kot sem navedel v uvodnih pojasnilih, je namen SUVP zagotoviti varstvo posameznikov pri obdelavi osebnih podatkov, ki je priznano kot temeljna pravica v členu 8(1) Listine in členu 16(1) PDEU. Ker lahko vsaka obdelava osebnih podatkov vpliva na zasebno življenje, je treba omeniti tudi varstvo, zagotovljeno s členom 7 Listine. (
5
) Poleg tega iz člena 1(2) SUVP v povezavi z uvodnimi izjavami 10, 11 in 13 te uredbe izhaja, da zakonodajalec Unije to nalogo zaupa organom in organizacijam Unije, pa tudi pristojnim organom držav članic, med katerimi so nadzorni organi in nacionalna sodišča. (
6
)
1.
Vloga nadzornih organov, vključno z obveznostjo obravnavanja pritožb
37.
V zvezi s tem je treba poudariti, da člen 8(3) Listine določa, da spoštovanje pravil o varstvu osebnih podatkov nadzira neodvisen organ. Člen 57(1)(a) SUVP to obveznost, ki izhaja iz primarnega prava, izvaja tako, da določa, da mora vsak nadzorni organ spremljati in zagotavljati uporabo te uredbe. Obravnava pritožb, ki jih vloži posameznik, na katerega se nanašajo osebni podatki, je del njegovih odgovornosti, kot je izrecno navedeno v členu 57(1)(f) SUVP.
38.
Sodišče je razsodilo, da mora v skladu s to določbo „vsak nadzorni organ na svojem ozemlju obravnavati pritožbe, ki jih lahko v skladu s členom 77(1) [SUVP] vloži vsaka oseba, kadar meni, da obdelava osebnih podatkov, ki se nanašajo nanjo, pomeni kršitev navedene uredbe, in v ustreznem obsegu preučiti vsebino pritožbe.“ (
7
) V zvezi s tem je treba opozoriti, da je Sodišče poudarilo obveznost nadzornega organa, da „mora tako pritožbo obravnavati z vso potrebno skrbnostjo“, da se zagotovi spoštovanje določb SUVP. Prav tako je treba navesti, da je v uvodni izjavi 141 SUVP pojasnjeno, da bi bilo treba „[p]reiskavo na podlagi pritožbe […] izvesti v obsegu, ki je v posamezni zadevi ustrezen“ (moj poudarek).
39.
Zaradi vsega navedenega menim, da mora nadzorni organ obvezno obravnavati pritožbe posameznika, na katerega se nanašajo osebni podatki, in sicer z vso skrbnostjo, ki je potrebna v posamezni zadevi. (
8
) Ker načeloma lahko vsaka kršitev SUVP posega v temeljne pravice, se mi to, da bi bila nadzornemu organu podeljena pravica, da se o tem, ali bo pritožbe obravnaval ali ne, odloči po prostem preudarku, ne bi zdelo združljivo s sistemom, vzpostavljenim s to uredbo. Takšen pristop bi spodkopaval ključno vlogo tega organa, ki mu je podeljena s SUVP, in sicer zagotavljati spoštovanje pravil o varstvu osebnih podatkov, ter bi bil zato v nasprotju s cilji zakonodajalca Unije. (
9
) Nazadnje ne smemo pozabiti, da so pritožbe za nadzorni organ dragocen vir informacij, saj mu omogočajo odkrivanje kršitev. (
10
)
40.
Ta razlaga je še toliko bolj prepričljiva, ker člen 57(1)(f) SUVP nadzornemu organu pri obravnavi take pritožbe nalaga vrsto zahtev, in sicer obveznost, da v ustreznem obsegu preuči vsebino pritožbe in v razumnem roku obvesti pritožnika o poteku in rezultatu preiskave, zlasti če je potrebna nadaljnja preiskava ali usklajevanje z drugim nadzornim organom. Temu je treba dodati še obveznost iz člena 77(2) SUVP, da pritožnika obvesti o stanju zadeve in odločitvi o pritožbi, vključno z možnostjo pravnega sredstva na podlagi člena 78 SUVP. Vse te zahteve, ki so zajete s pojmom „dobro upravljanje“, ki je v členu 41 Listine izražen posebej v zvezi z dejavnostmi institucij in organov Unije, (
11
) so namenjene izboljšanju postopka obravnave pritožb, da bi ta postal pravo upravno sredstvo.
41.
Čeprav mora nadzorni organ kot garant spoštovanja določb SUVP obravnavati pritožbe, ki so vložene pri njem, pa več elementov govori v prid razlagi, da ima polje proste presoje pri preučitvi teh pritožb, kot tudi nekaj manevrskega prostora pri izbiri primernih sredstev za izpolnitev svojih nalog. Generalni pravobranilec H. Saugmandsgaard Øe je namreč opozoril, da so s členom 58(1) SUVP „nadzornim organom […] podeljena precejšnja preiskovalna pooblastila“ in da ti na podlagi člena 58(2) te uredbe razpolagajo „s širokim naborom sredstev […] za izpolnitev naloge, ki [jim] je bila zaupana“, pri čemer se je v tem okviru skliceval na različna pooblastila za sprejetje popravljalnih ukrepov, navedena v tej določbi. (
12
) Generalni pravobranilec je nato pojasnil, da čeprav mora pristojni nadzorni organ „v celoti izpolniti nalogo nadzora, ki mu je bila zaupana“, „izbira najbolj učinkovitega sredstva spada v [njegovo] diskrecijo […] glede na vse [zadevne] okoliščine“. (
13
) S to razlago se lahko le strinjam.
42.
Iz podrobnega opisa pooblastil nadzornih organov za sprejetje popravljalnih ukrepov je razvidno, da cilj zakonodajalca Unije ni bil, da postane pritožbeni postopek podoben postopku peticije. Nasprotno, zdi se, da je bil zakonodajni cilj ustvariti mehanizem, s katerim bi bilo mogoče učinkovito zaščititi pravice in interese pritožnikov. Ob tem se mi zdi jasno, da tega manevrskega prostora ni mogoče razumeti tako, da nadzorni organ razpolaga z neomejenim pooblastilom, ki mu omogoča samovoljno delovanje. Prav nasprotno, nadzorni organ mora pri izrabi tega manevrskega prostora upoštevati meje, ki mu jih nalaga pravo Unije. Zato tudi ni mogoče izključiti možnosti, da mora nadzorni organ kot upravni organ zaradi posebnih okoliščin obravnavane zadeve sprejeti določen ukrep, med drugim kadar obstaja resna nevarnost poseganja v temeljne pravice posameznika, na katerega se nanašajo osebni podatki.
43.
To razlago, ki nadzornemu organu daje nekaj manevrskega prostora pri izbiri sredstev, podpira člen 58(4) SUVP, ki določa, da „[n]adzorni organ izvaja pooblastila, ki so mu dodeljena v skladu s tem členom, na podlagi ustreznih zaščitnih ukrepov, vključno z učinkovitim pravnim sredstvom“ (moj poudarek), v skladu s členom 47 Listine. V členu 78(1) in (2) SUVP je poleg tega priznana pravica vsake osebe do učinkovitega pravnega sredstva zoper pravno zavezujočo odločitev, ki jo nadzorni organ sprejme v zvezi z njo, ali kadar ta organ ne obravnava njene pritožbe.
44.
To nas pripelje do vprašanja pravne narave odločb nadzornega organa, ki ga je predložitveno sodišče postavilo v predlogih za sprejetje predhodne odločbe. V zvezi s tem je treba navesti uvodno izjavo 141 SUVP, iz katere izhaja, da bi moral „[v]sak posameznik, na katerega se nanašajo osebni podatki, […] imeti pravico, da vloži pritožbo pri enem nadzornem organu, […] in pravico do učinkovitega pravnega sredstva v skladu s členom 47 Listine, kadar meni, da so njegove pravice iz te uredbe kršene, ali če nadzorni organ ne obravnava pritožbe, jo v celoti ali deloma zavrže ali zavrne ali ne ukrepa, kadar je tak ukrep potreben za zaščito pravic posameznika, na katerega se nanašajo osebni podatki“ (moj poudarek). V tej uvodni izjavi je upoštevano, da lahko odločba nadzornega organa posega v položaj posameznika, na katerega se nanašajo osebni podatki, med drugim če ta organ ugotovi, da pritožba ni utemeljena, ali meni, da ni kršitve SUVP, in torej ne sprejme ukrepov, da bi se položaj, zaradi katerega je bila vložena pritožba, popravil. Zakonodajalec Unije priznava, da ima taka odločba pravno zavezujoč učinek, in zato daje pritožniku možnost, da vloži pravno sredstvo pri nacionalnem sodišču.
45.
Prav tako je treba poudariti, da nadzorni organ ne more ne ukrepati, saj iz člena 78(2) SUVP izhaja, da „ima vsak posameznik, na katerega se nanašajo osebni podatki, pravico do učinkovitega pravnega sredstva, kadar nadzorni organ, ki je pristojen na podlagi členov 55 in 56, ne obravnava pritožbe ali če posameznika, na katerega se nanašajo osebni podatki, v treh mesecih ne obvesti o stanju zadeve ali odločitvi o pritožbi, vloženi na podlagi člena 77“. Ta okoliščina nasprotuje temu, da bi se pritožbeni postopek obravnaval kot peticija.
46.
V obravnavani zadevi je nadzorni organ, kot je navedlo predložitveno sodišče v predložitvenih odločbah, v zvezi s tožečima strankama v postopkih v glavni stvari sprejel pravno zavezujoči odločbi. V bistvu je ugotovil, da je družba SCHUFA osebne podatke tožečih strank obdelovala zakonito na podlagi člena 6(1), prvi pododstavek, točki (b) in (f), SUVP in zato implicitno izključil uporabo preiskovalnega ali popravljalnega ukrepa.
2.
Obseg sodnega nadzora nad odločbami, ki jih sprejme nadzorni organ
47.
Pravno sredstvo iz člena 78 SUVP predstavlja drugo stopnjo upravnega varstva, ki jo določa ta uredba. V zvezi s tem je treba navesti, da sta tako „pritožba“ pri nadzornem organu kot „pravno sredstvo“ zasnovana kot „pravici“ posameznika, na katerega se nanašajo osebni podatki, kar je povsem razumljivo, če izhajamo iz predpostavke, da so členi od 77 do 79 SUVP namenjeni izvajanju pravice do učinkovitega pravnega sredstva, ki je določena v členu 47 Listine. Kot sem predhodno navedel, (
14
) je iz razlage člena 58(4) in člena 78 SUVP v povezavi z uvodno izjavo 141 te uredbe mogoče ta cilj jasno razbrati. (
15
)
48.
Kar zadeva obseg sodnega nadzora nad odločbami, ki jih sprejme nadzorni organ, je treba opozoriti, da se na področju upravnega postopka praviloma uporabljajo nacionalna pravila v okviru procesne avtonomije ob upoštevanju načel enakovrednosti in učinkovitosti. (
16
) Menim pa, da je pravno sredstvo lahko „učinkovito“ v smislu člena 47 Listine in člena 78(1) SUVP le, če ima pristojno nacionalno sodišče pristojnost in dolžnost, da izvede celovit sodni nadzor nad vsebinsko odločitvijo nadzornega organa in tako preveri, ali je ta pravilno uporabil SUVP.
49.
Kot je Sodišče že opozorilo v sodni praksi, „ureditev, ki ne določa nobene možnosti, da bi posameznik lahko uporabil pravna sredstva za pridobitev dostopa do osebnih podatkov, ki se nanj nanašajo, ali dosegel popravo ali izbris takih podatkov, posega v bistvo temeljne pravice do učinkovitega sodnega varstva, določene v členu 47 Listine. Člen 47, prvi odstavek, Listine namreč določa, da ima vsakdo, ki so mu kršene pravice in svoboščine, zagotovljene s pravom Unije, pravico do učinkovitega pravnega sredstva pred sodiščem v skladu s pogoji, določenimi v tem členu. V zvezi s tem je sam obstoj učinkovitega sodnega nadzora, namenjenega zagotovitvi spoštovanja določb prava Unije, neločljivo povezan z obstojem pravne države.“ (
17
)
50.
Za določitev obsega sodnega nadzora nad odločbami, ki jih sprejme nadzorni organ, se mi zdi primerno najprej navesti uvodno izjavo 141 SUVP, iz katere izhaja, da bi bilo treba „[p]reiskavo na podlagi pritožbe izvesti v obsegu, ki je v posamezni zadevi ustrezen, saj je lahko odločitev nadzornega organa predmet sodne presoje“ (moj poudarek). Nato je treba navesti uvodno izjavo 143 SUVP, v kateri je navedeno, da „bi morala imeti vsaka fizična ali pravna oseba na voljo učinkovito pravno sredstvo pred pristojnim nacionalnim sodiščem zoper odločitev nadzornega organa, ki ima pravne učinke za to osebo. Taka odločitev se nanaša zlasti na izvajanje preiskovalnih pooblastil nadzornega organa, popravljalnih pooblastil in pooblastil v zvezi z dovoljenji ali na zavržene ali zavrnjene pritožbe“ (moj poudarek). Menim, da je treba te odlomke razumeti tako, da mora biti sodni nadzor, ki ga mora opraviti nacionalno sodišče v skladu s členom 78 SUVP, celovit, kar pomeni, da mora zajemati vse upoštevne vidike, ki spadajo v polje proste presoje nadzornega organa v okviru preučitve vsebine pritožbe, kot tudi v njegovo polje prostega preudarka glede izbire preiskovalnih in popravljalnih ukrepov.
51.
Cilj zakonodajalca Unije, da zagotovi celovit sodni nadzor nad vsako odločbo nadzornega organa, ki ima pravne učinke za posameznika, na katerega se nanašajo osebni podatki, ki je pri njem vložil pritožbo, je še posebej očiten, če upoštevamo drug odlomek uvodne izjave 143 SUVP, v katerem je navedeno, da bi morala biti „[z]a postopke zoper nadzorni organ […] pristojna sodišča države članice, v kateri ima nadzorni organ sedež, izvajati pa bi se morali v skladu s postopkovnim pravom te države članice. Ta sodišča bi morala izvajati polno pristojnost, ki bi morala vključevati pristojnost za preučitev vseh vprašanj, ki se nanašajo na dejstva in zakonodajo v zvezi z zadevnim sporom“ (moj poudarek). (
18
) Menim, da le sodni nadzor v tem obsegu izpolnjuje zahteve iz člena 47 Listine. (
19
)
52.
Trditve družbe SCHUFA in HBDI, ki zagovarjata omejen sodni nadzor nad odločbami nadzornih organov, se mi, nasprotno, ne zdijo prepričljive. Prvič, „neodvisnost“, ki je nadzornemu organu priznana v skladu s členom 52 SUVP, s katerim se uresničuje zahteva iz člena 8(3) Listine, je namenjena zaščiti tega organa pred kakršnim koli neupravičenim poseganjem, vendar ga ne odvezuje obveznosti, da, tako kot vsak drug nacionalni organ, svoje naloge in pristojnosti opravlja ob polnem spoštovanju prava Unije ter da privoli v učinkovit sodni nazor nad svojimi odločbami. Drugič, obstoj pravice do vložitve pravnega sredstva zoper upravljavca, ki je določena v členu 79 SUVP, ne izključuje pravice do vložitve tožbe zoper odločbo nadzornega organa na podlagi člena 78 SUVP. Ti pravni sredstvi obstajata avtonomno, ne da bi bilo eno podrejeno drugemu, tako da ju je mogoče uveljaviti vzporedno. (
20
) Tožečima strankama zato ni mogoče očitati, da sta ravnali nezakonito pri uveljavljanju svojih pravic, ki so zaščitene s SUPV, ker sta dali prednost določenemu pravnemu sredstvu. Zato je treba te trditve zavrniti.
53.
Glede na navedeno je treba na prvo vprašanje za predhodno odločanje odgovoriti, da je treba člen 78(1) SUVP razlagati tako, da iz te določbe izhaja, da je pravno zavezujoča odločba nadzornega organa predmet celovitega sodnega nadzora nad njeno vsebino.
C. Drugo, tretje, četrto in peto vprašanje za predhodno odločanje
54.
Drugo, tretje, četrto in peto vprašanje za predhodno odločanje se v bistvu nanašajo na zakonitost hrambe osebnih podatkov iz javnih registrov pri agencijah za kreditne informacije. Predložitveno sodišče s svojimi vprašanji opozarja na vrsto pravnih težav v zvezi s to prakso, ki jih bo treba strukturirano preučiti. Zaradi jasnosti se mi zdi vprašanja primerno združiti po temah in jih obravnavati v navedenem vrstnem redu.
55.
Da bi Sodišče lahko predložitvenemu sodišču podalo koristen odgovor, ki mu bo omogočil rešitev spora, o katerem odloča, bo moralo razložiti več določb SUVP, ki se zdijo upoštevne, čeprav v vprašanjih niso bile izrecno navedene. Tak pristop je mogoč, ker lahko Sodišče v skladu z ustaljeno sodno prakso iz vseh elementov, ki jih je predložilo predložitveno sodišče, zlasti iz obrazložitve predložitvene odločbe, ob upoštevanju predmeta spora o glavni stvari izlušči pravila in načela prava Unije, ki jih je treba razložiti. (
21
)
56.
Taka temeljita analiza se mi zdi še toliko nujnejša, ker se predložitveno sodišče v svojih vprašanjih včasih sklicuje izključno na člena 7 in 8 Listine, čeprav se ti določbi ne smeta uporabljati ločeno, kot je pojasnilo Sodišče, temveč ju je treba upoštevati v okviru tehtanja iz člena 6(1), prvi pododstavek, točka (f), SUVP. (
22
) Poleg tega naj v zvezi s tem spomnim, da je glede na to, da se z določbami SUVP izvajajo zadevne temeljne pravice, razlaga sekundarnega prava, ki ga je treba razlagati v povezavi s primarnim pravom, katerega sestavni del je Listina, logično izhodišče vsake razlage. (
23
) V analizo v nadaljevanju bom torej vključil vse določbe, ki se mi zdijo upoštevne.
1.
Skladnost prakse agencij za kreditne informacije z načeli, ki urejajo obdelavo osebnih podatkov, določenimi v SUVP
57.
Poglavje II SUVP, naslovljeno „Načela“, določa načela v zvezi z obdelavo osebnih podatkov. V nadaljevanju bom preučil, ali je praksa agencij za kreditne informacije, in sicer hramba osebnih podatkov iz javnih registrov za obdobje treh let, v skladu z načeli, ki se mi zdijo najbolj upoštevna v tem okviru, in sicer načeli zakonitosti, omejitve namena in najmanjšega obsega podatkov.
58.
Za namene analize se bom oprl na informacije, ki sta jih posredovala predložitveno sodišče in družba SCHUFA, pri čemer vseeno poudarjam, da mora zadnjenavedena kot upravljavec dokazati, v skladu z načelom odgovornosti iz člena 5(2) SUVP, da so bila zgoraj navedena načela spoštovana.
a)
Skladnost z načelom zakonitosti (člen 6(1), prvi pododstavek, točka (f), SUVP)
59.
Člen 5(1)(a) SUVP zahteva, da so osebni podatki obdelani zakonito, pošteno in na pregleden način v zvezi s posameznikom, na katerega se nanašajo. V skladu s členom 6(1) SUVP je obdelava osebnih podatkov zakonita le, če je izpolnjen pogoj v zvezi z enim od razlogov, naštetih v tej uredbi. Kot je razsodilo Sodišče, gre za izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je taka obdelava zakonita. (
24
) Predložitveno sodišče želi v bistvu izvedeti, ali člen 6(1), prvi pododstavek, točka (f), SUVP zasebni agenciji za kreditne informacije dovoljuje, da hrani osebne podatke iz javnih registrov, da bi te podatke na zahtevo dala na voljo stranki.
60.
V skladu s sodno prakso Sodišča (
25
) člen 6(1), prvi pododstavek, točka (f), SUVP določa tri kumulativne pogoje za to, da je obdelava osebnih podatkov zakonita, in sicer, prvič, da si upravljavec ali tretja oseba ali osebe, ki so jim podatki posredovani, prizadevajo za zakoniti interes, drugič, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, in tretjič, da ne prevladajo temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov. Čeprav mora predložitveno sodišče presoditi, ali so ti pogoji izpolnjeni, pa ga mora Sodišče pri tej presoji usmerjati, tako da razjasni postavljena pravna vprašanja.
1) Obstoj „zakonitega interesa“
61.
Najprej, glede uresničevanja „zakonitega interesa“ opozarjam, da SUVP in sodna praksa priznavata širok nabor interesov, ki se štejejo za zakonite, (
26
) pri čemer pojasnjujeta, da mora upravljavec v skladu s členom 13(1)(d) SUVP navesti zakonite interese, ki se uresničujejo na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.
62.
Družba SCHUFA trdi, da se z zadevno obdelavo podatkov uresničujejo zelo pomembni zakoniti interesi. Natančneje, agencije za kreditne informacije naj bi obdelovale podatke, potrebne za ocenjevanje plačilne sposobnosti posameznikov ali podjetij, da bi lahko te informacije dale na razpolago svojim pogodbenim partnerjem. To naj bi ščitilo tudi ekonomske interese podjetij, ki želijo skleniti pogodbe, povezane s posojili. Poleg tega naj bi bila določitev plačilne sposobnosti in zagotavljanje informacij o njej podlaga za kreditiranje in sposobnost delovanja gospodarstva. Dejavnost teh agencij naj bi prispevala tudi k uresničitvi poslovnih želja posameznikov, ki se zanimajo za transakcije, povezane s posojili, saj naj bi informacije omogočale hitro in nebirokratsko preverjanje.
63.
Menim, da načeloma ni nobenega objektivnega razloga za to, da bi dvomili o zakonitosti interesa družbe SCHUFA, da svojim strankam zagotavlja zgoraj opisano poslovno storitev, niti interesa strank družbe SCHUFA, da te storitve uporabljajo za oceno plačilne sposobnosti potencialnih poslovnih partnerjev v navedenem smislu. Čeprav drži, da se tovrstne storitve ponujajo v zameno za plačilo in zato spadajo v gospodarski model zasebne družbe, pa ta okoliščina sama po sebi ne zadostuje za dvom o tem, da je prvi pogoj iz člena 6(1), prvi pododstavek, točka (f), SUVP v obravnavani zadevi izpolnjen.
64.
To drži še toliko bolj, kadar je cilj, ki se uresničuje z zadevno storitvijo, v bistvu enak cilju, ki ga je želel doseči zakonodajalec Unije s sprejetjem člena 24 Uredbe 2015/848, s katerim se državam članicam nalaga, da na svojem ozemlju vzpostavijo in vzdržujejo enega ali več registrov, v katerih so objavljene informacije o postopkih v primeru insolventnosti. Kot izhaja iz uvodne izjave 76 te uredbe je cilj teh javnih registrov „boljše[…] zagotavljanj[e] informacij zadevnim upnikom in sodiščem ter preprečevanj[e] uvedbe vzporednih postopkov v primeru insolventnosti“. Zdi se mi, da je cilj storitve, ki jo ponuja družba SCHUFA, enak. Vprašanje, ali lahko vzporednost sistemov vodi do pravnih nasprotij, bom preučil pozneje. V tej fazi analize je dovolj navesti, da je za obdelavo podatkov, ki jo izvaja družba SCHUFA, glede na to opredelitev ciljev treba šteti, da se z njo uresničuje zakoniti interes v smislu člena 6(1), prvi pododstavek, točka (f), SUVP.
2) „Potrebnost“ obdelave za dosego zakonitega interesa
65.
Glede pogoja v zvezi tem, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, morajo biti v skladu s sodno prakso Sodišča odstopanja od načela varstva osebnih podatkov in njegove omejitve strogo omejeni na tisto, kar je nujno. (
27
) Zato je potrebna tesna povezava med obdelavo in zasledovanim interesom, če ni drugih možnosti, ki bi bolj spoštovale varstvo osebnih podatkov, saj ne zadostuje, da je obdelava zgolj koristna za upravljavca.
66.
V obravnavani zadevi bi bilo treba dokazati, da je za družbo SCHUFA pridobivanje osebnih podatkov v zvezi z insolventnostjo iz javnih registrov in njihova zasebna hramba edini način, da lahko svojim strankam zagotavlja prav te informacije v poslovne namene. Ni mogoče izključiti, da bi lahko družba SCHUFA izvajala poslovno storitev in zagotavljala informacije o plačilni sposobnosti posameznikov z uporabo drugih razpoložljivih podatkov. Predložitveno sodišče mora preveriti, ali bi ta možnost družbi SCHUFA še vedno omogočala učinkovito zagotavljanje te poslovne storitve njenim strankam.
67.
Družba SCHUFA meni, da je obdelava podatkov potrebna. Po njenih navedbah agencija za kreditne informacije ne bi mogla pravočasno zagotoviti informacij, če podatkov ne bi začela zbirati, preden prejme dejansko povpraševanje. Družba SCHUFA meni, da to, da so podatki določeno obdobje (tudi) javno dostopni, nikakor ne vpliva na zakonite interese agencij za kreditne informacije niti na potrebo po obdelavi.
68.
Če hramba osebnih podatkov iz javnih registrov ne bi bila potrebna za to, da bi lahko družba SCHUFA strankam zagotavljala svojo poslovno storitev, ta obdelava ne bi bila zakonita na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP. Če pa bi bil, nasprotno, drugi pogoj iz te določbe izpolnjen, bi moralo predložitveno sodišče preučiti še tretji in zadnji kumulativni pogoj iz navedene določbe.
3) Uravnoteženje različnih zadevnih interesov
69.
Nazadnje, glede uravnoteženja interesov upravljavca na eni strani z interesi ali temeljnimi pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, na drugi strani mora predložitveno sodišče v skladu s sodno prakso Sodišča pretehtati zadevne interese. (
28
) V zvezi s tem so v smernicah nekdanje delovne skupine iz člena 29, ki je postala Evropski odbor za varstvo podatkov, katerega naloge so opredeljene v členu 70 SUVP, našteta ta merila, ki jih je treba upoštevati pri tem tehtanju: (i) ocena zakonitega interesa upravljavca; (ii) učinek na posameznike, na katere se osebni podatki nanašajo; (iii) začasno ravnovesje in (iv) dodatni zaščitni ukrepi, ki jih upravljavec uporablja za preprečevanje neupravičenega učinka na posameznike, na katere se osebni podatki nanašajo. (
29
) Predlagam, da se za podrobno in logično analizo ta merila uporabijo za postopka v glavni stvari. Tak pristop bo dodatno prispeval k doslednejši uporabi SUVP v skladu s cilji zakonodajalca Unije,
i) Ocena „zakonitega interesa“ upravljavca
70.
Kar zadeva prvo merilo, je treba ugotoviti, da je interes tako družbe SCHUFA kot njenih strank, izključno ekonomski. Zasebne agencije hranijo osebne podatke, uvožene iz javnih registrov, da svojim strankam ponujajo storitev zagotavljanja informacij o plačilni sposobnosti posameznika, na katerega se nanašajo ti podatki, tako da med drugim uporabijo te podatke. Kot sem že predhodno pojasnil, (
30
) se zdi, da je tak interes zakonit za namene te analize.
ii) Učinek obdelave na posameznike, na katere se osebni podatki nanašajo
71.
Kar zadeva drugo merilo, to je učinek obdelave na posameznika, na katerega se nanašajo osebni podatki, se zdi, da je rok za izbris bistven dejavnik. Daljše kot je obdobje hrambe podatkov v podatkovnih bazah zasebnih agencij za kreditne informacije, večje so posledice za posameznika, na katerega se ti podatki nanašajo. V obravnavani zadevi so se osebni podatki tožečih strank v postopku v glavni stvari obdelovali v javnem registru zaradi „boljšega zagotavljanja informacij zadevnim upnikom in sodiščem ter preprečevanja uvedbe vzporednih postopkov v primeru insolventnosti“, kot se zahteva v uvodni izjavi 76 Uredbe 2015/848. Nemški zakonodajalec je pri tehtanju različnih interesov menil, da je za dosego tega cilja potrebno, da so podatki v zvezi s postopkom v primeru insolventnosti v takih javnih registrih objavljeni šest mesecev. Zdi se torej, da ima hramba osebnih podatkov za obdobje, ki je daljše od teh šest mesecev, a priori precejšen negativen vpliva na posameznika, na katerega se nanašajo ti podatki.
72.
Iz sodne prakse Sodišča je razvidno, da obstajajo še drugi dejavniki, ki jih je treba upoštevati v okviru analize, in sicer način dostopa do podatkovnih baz in zagotovljene možnosti za lažje širjenje osebnih podatkov. (
31
) Povedano preprosto, lažje kot so informacije dostopne javnosti, hujši je poseg v temeljne pravice posameznika, na katerega se nanašajo. To posebej drži, če je število uporabnikov, ki lahko dostopajo do podatkov posameznika, na katerega se nanašajo, veliko. (
32
) Zato se mi zdi očitno, da čeprav so podatki za obdobje šestih mesecev dostopni že v javnih registrih, imata njihova vzporedna hramba in dostopnost v podatkovnih bazah zasebnih agencij za kreditne informacije dodaten vpliv na zasebnost posameznika, poleg negativnih posledic dostopnosti teh podatkov v javnih registrih.
73.
Dodaten dejavnik, ki ga je treba upoštevati pri analizi, je morebitna občutljivost zadevnih podatkov. (
33
) Na splošno je mogoče trditi, da se vpliv na posameznika, na katerega se nanašajo osebni podatki, povečuje glede na občutljivost teh podatkov. V zvezi s tem je treba navesti, da je iz sodne prakse Sodišča razvidno, da so osebni podatki v zvezi z izterjavo dolgov dejansko občutljivi podatki za zasebnost posameznika, na katerega se nanašajo. (
34
) Omogočanje dostopa do tovrstnih podatkov načeloma neomejenemu številu uporabnikov je torej treba šteti za resen poseg v temeljne pravice tega posameznika. (
35
)
74.
Nazadnje, zdi se mi, da je treba nujno upoštevati tudi dejavnik časa. Tudi zakonita obdelava podatkov namreč sčasoma lahko ni več v skladu s SUVP, kadar ti podatki niso ali niso več upoštevni ali so pretirani glede na namen, za katerega so bili prvotno zbrani. Zato se resno sprašujem, kako bi bilo mogoče upravičiti triletno hrambo osebnih podatkov, če nacionalni zakonodajalec meni, da je šestmesečno obdobje hrambe, kar je veliko krajše obdobje, več kot dovolj za upoštevanje poslovnih interesov gospodarskih subjektov. Ugotoviti moram, da družba SCHUFA na to vprašanje ni uspela jasno in prepričljivo odgovoriti, (
36
) čeprav mora v skladu s členom 5(2) SUVP dokazati, da so bila načela v zvezi z obdelavo osebnih podatkov upoštevana. (
37
)
iii) Začasno ravnovesje
75.
Na podlagi presoje vseh elementov, navedenih v predhodnih točkah, ugotavljam, da se zdi, da precejšnje negativne posledice, ki jih ima hramba podatkov za posameznika, na katerega se nanašajo, po izteku zadevnih šest mesecev, prevladajo nad poslovnim interesom zasebne družbe in njenih strank, da se podatki hranijo po izteku tega obdobja. V tem okviru je treba poudariti, da je namen odobritve odpisa dolga upravičencu omogočiti, da ponovno sodeluje v gospodarskem življenju. (
38
) Na ta vidik so na obravnavi opozorile tudi tožeči stranki v postopku v glavni stvari in Komisija. Ta cilj pa bi bil ogrožen, če bi bile zasebne agencije za kreditne informacije pooblaščene, da hranijo osebne podatke v svojih podatkovnih bazah po tem, ko so bili ti podatki iz javnega registra izbrisani.
iv) Dodatni zaščitni ukrepi
76.
Nazadnje, kar zadeva morebitne dodatne zaščitne ukrepe, ki jih upravljavec uporablja za preprečevanje kakršnega koli neupravičenega učinka na posameznike, na katere se osebni podatki nanašajo, iz ničesar v predložitveni odločbi ali stališču družbe SCHUFA ni razvidno, da bi taki zaščitni ukrepi obstajali.
4) Vmesni predlog
77.
Glede na navedeno menim, da hramba podatkov s strani agencije za kreditne informacije po tem, ko so bili osebni podatki v zvezi z insolventnostjo izbrisani iz javnih registrov, ne more biti zakonita na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.
78.
Kar zadeva šestmesečno obdobje, med katerim so osebni podatki dostopni tudi v javnih registrih, mora predložitveno sodišče pretehtati zgoraj navedene interese in učinke na posameznika, na katerega se nanašajo osebni podatki, da ugotovi, ali je vzporedna hramba teh podatkov pri zasebnih agencijah za kreditne informacije zakonita na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP.
b)
Skladnost z načeloma omejitve namena in najmanjšega obsega podatkov (člen 5(1)(b) in (c) SUVP)
79.
V skladu z načelom omejitve namena iz člena 5(1)(b) SUVP je treba zagotoviti, da se osebni podatki, zbrani za določen namen, ne obdelujejo nadalje na način, ki ni združljiv s temi nameni. V obravnavani zadevi so podatke v zvezi z insolventnostjo in odpisom dolga obdelovali javni organi v okviru izvrševanja zakonskih obveznosti.
80.
Kar pa zadeva poznejšo uporabo podatkov s strani zasebne agencije, je treba glede na SUVP in ob uporabi meril, navedenih v členu 6(4) te uredbe, preučiti, ali je namen nadaljnje obdelave združljiv s prvotnim namenom. Točke (a), (b) in (d) te določbe so v obravnavani zadevi še posebej upoštevne. V njih so določena naslednja merila: (i) povezava med prvotnim namenom in namenom nadaljnje obdelave; (ii) okoliščine, v katerih so bili podatki zbrani, in zlasti razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem, ter (iii) morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki.
81.
Prvič, zdi se mi, da je povezava med namenoma neznatna, pa čeprav le zato, ker je prvotni namen določen z zakonom, natančneje s pravom Unije, s katerim je državam članicam naložena obveznost, da vzpostavijo in vzdržujejo registre, (
39
) in ker je upravljavec javni organ, ki deluje v okviru nalog, ki so mu zaupane z zakonom, medtem ko namen nadaljnje obdelave uresničuje zasebni subjekt v okviru poslovne dejavnosti zagotavljanja gospodarskih informacij o posameznikih.
82.
Drugič, kar zadeva okoliščine, v katerih so bili zbrani podatki, je treba ugotoviti, da ne obstaja nobena povezava med upravljavcem in posameznikom, na katerega se nanašajo osebni podatki, saj se podatki zbirajo posredno prek registrov, posameznik, na katerega se nanašajo osebni podatki, pa torej ni seznanjen s tem, da se lahko njegovi podatki nadalje uporabijo, niti s tem, kdo jih uporabi in za kakšen namen. Ta vidik se mi zdi z vidika varstva osebnih podatkov posebej pomemben glede na to, da posameznik praviloma ne more razumno pričakovati nadaljnje obdelave svojih osebnih podatkov. (
40
) Na podlagi dejstva, da je z zakonom predviden določen čas hrambe podatkov v javnih registrih, je mogoče upravičeno domnevati, da bodo zadevni podatki po izteku tega obdobja izbrisani.
83.
Tretjič, kar zadeva morebitne posledice nadaljnje obdelave podatkov za posameznike, na katere se ti nanašajo, je treba poudariti, da se bodo informacije v zvezi s postopki v primeru insolventnosti še naprej uporabljale kot negativni dejavnik pri prihodnji oceni njihove kreditne in plačilne sposobnosti, kar močno vpliva na njihove pravice. Napačna predstava o ekonomskem položaju posameznika, na katerega se nanašajo osebni podatki, ima lahko zanj neugodne učinke, s tem ko mu občutno oteži uresničevanje svoboščin in ga celo stigmatizira v družbi. Ker se posameznik, na katerega se nanašajo osebni podatki, lahko sooči z odrekanjem blaga in storitev, je lahko žrtev neupravičene diskriminacije.
84.
Ob upoštevanju teh treh meril, ki morajo biti izpolnjena, da je uporaba osebnih podatkov skladna s prvotnim namenom, kot se zahteva s členom 6(4) SUVP, se zdi vprašljivo, da je lahko nadaljnja uporaba teh podatkov skladna s tem namenom.
85.
Poleg tega je treba navesti, da je nacionalni zakonodajalec pri tem, ko je trajanje objave o položaju insolventnosti in sodne odločbe o odpisu dolga, če so izpolnjeni zakonsko določeni pogoji, določil na največ šest mesecev, že upošteval uresničevanje javnega interesa in pretehtal interes upnikov na eni strani z interesi in pravicami insolventnih posameznikov na drugi strani. (
41
) Obdelava osebnih podatkov s strani zasebnih agencij za obdobje, ki je šestkrat daljše od tistega, ki je zakonsko določeno za javne registre, se zdi pretirana in de facto škoduje posamezniku, na katerega se nanašajo osebni podatki, čeprav zakon očitno ne predvideva
nič takega. Kot sem že poudaril, je namen odobritve odpisa dolga upravičencu omogočiti, da ponovno sodeluje v gospodarskem življenju. Ta cilj pa bi bil ogrožen, če bi bile zasebne agencije za kreditne informacije pooblaščene, da hranijo osebne podatke v svojih podatkovnih bazah po tem, ko so bili ti podatki iz javnega registra izbrisani. (
42
) Ker ni dokaza o nasprotnem, obstaja bojazen, da so bili pogoji za dostop do podatkovne baze zasnovani z namenom zaobiti nacionalno zakonodajo, ki jo je država članica sprejela, da bi izpolnila obveznosti, ki jih ima na podlagi prava Unije. (
43
)
86.
Poleg tega se ne zdi sorazmerno, da bi v prihodnjih ocenah „ponovno uporabili“ pretekli in že pravno pojasnjen položaj, kot je odpis dolga, namesto da bi pri analizi tveganj uporabili posodobljene dejavnike ter tako zagotovili natančnejšo in objektivnejšo oceno ekonomskega položaja posameznika, na katerega se nanašajo osebni podatki. Vrednost več let stare informacije o ekonomskem položaju posameznika je namreč lahko vprašljiva. Osebni podatki v zvezi z okoliščino, ki se je zgodila nekoč v preteklosti, nikakor ne dajejo zanesljivih informacij o sedanjem ekonomskem položaju posameznika, na katerega se nanašajo. Zdi se, da je nemški zakonodajalec prepoznal to težavo in se je zato pravilno odločil za znatno krajše obdobje hrambe podatkov.
87.
Nazadnje, zdi se mi, da je ravnanje agencij za kreditne informacije v nasprotju z načelom najmanjšega obsega podatkov iz člena 5(1)(c) SUVP, v skladu s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. V tem pogledu se dejansko postavlja vprašanje o smiselnosti omogočanja dostopa do osebnih podatkov, ki so javnosti že dostopni v registrih, ki so jih ustvarile države članice. Zdi se mi, da lahko taka dejavnost prej vodi k širjenju občutljivih informacij, ki niso nujno potrebne za uresničevanje poslovnih interesov gospodarskih subjektov. (
44
)
88.
Iz zgoraj navedenih razlogov menim, da praksa hrambe teh podatkov pri zasebni agenciji za kreditne informacije ni v skladu z načeloma omejitve namena in najmanjšega obsega podatkov, ki sta določeni v členu 5(1), točka (b) oziroma (c), SUVP.
c)
Vmesni predlog
89.
Na podlagi zgornje analize ugotavljam, da praksa agencij za kreditne informacije, in sicer hramba osebnih podatkov iz javnih registrov za obdobje treh let, ni v skladu z načeli, ki urejajo obdelavo osebnih podatkov, določenimi v SUVP. Ob tem je treba pojasniti, da ta ugotovitev temelji na presoji dejanskega stanja, ki jo mora navsezadnje opraviti predložitveno sodišče, ki mora odločiti o sporu.
2.
Uporaba pravice do izbrisa (člen 17(1) SUVP)
90.
Predložitveno sodišče želi izvedeti tudi, ali „pravica do pozabe“, določena v členu 17 SUVP, pomeni, da se osebni podatki izbrišejo iz podatkovnih baz zasebne agencije za kreditne informacije, ki obstajajo vzporedno z javnimi registri in vsebujejo iste podatke. Predložitveno sodišče razlikuje med obdobjem, ko so osebni podatki dostopni tudi v javnem registru, in obdobjem, ko ti podatki tam niso več dostopni.
91.
V členu 17(1)(d) SUVP je določena absolutna pravica posameznika, na katerega se nanašajo osebni podatki, da se ti podatki izbrišejo, če so bili obdelani nezakonito. (
45
) Če bi predložitveno sodišče, ob upoštevanju ugotovitve, do katere sem prišel v okviru svoje analize, (
46
) menilo, da družba SCHUFA osebnih podatkov tožečih strank ni mogla obdelovati zakonito na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP, bi bila taka obdelava posledično nezakonita, če se ne bi uporabljal noben drug razlog iz člena 6(1) SUVP. V takem primeru bi morala družba SCHUFA osebne podatke tožečih strank izbrisati, zadnjenavedeni pa bi imeli pravico do tega, in to ne glede na to, ali sta izbris podatkov zahtevali v obdobju pred izbrisom teh podatkov iz javnega registra ali po njem. Zdi se, da je tak rezultat tudi v skladu z zahtevami iz člena 5(1)(e) SUVP, ki določa, da so osebni podatki „hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo“ (moj poudarek).
92.
V zvezi s tem moram opozoriti na člen 79(5) Uredbe 2015/848, v katerem je poudarjen pomen, ki ga je zakonodajalec Unije pripisal pravici do izbrisa, zlasti kadar organi obdelujejo osebne podatke, ki so posebej občutljivi, kot so podatki v zvezi s plačilno sposobnostjo posameznikov, na katere se osebni podatki nanašajo. V skladu s to določbo „[d]ržave članice v okviru obveščanja, ki bi ga morale zagotoviti posameznikom, na katere se nanašajo osebni podatki, da bi jim omogočile uveljavljanje njihovih pravic, zlasti pravice do izbrisa podatkov, osebe, na katere se nanašajo podatki, obvestijo o obdobju dostopnosti, določenem za osebne podatke, shranjene v registrih insolventnosti“ (moj poudarek). Zakonodajalec Unije je očitno prepoznal potrebo po izbrisu tovrstnih podatkov, kadar njihova hramba ni več upravičena.
93.
Čeprav se predloga za sprejetje predhodne odločbe nanašata samo na razlago člena 17(1)(d) SUVP, menim, da se lahko točka (c) odstavka (1) izkaže za prav tako upoštevno za namen sodbe, ki jo je treba izdati v obravnavanih zadevah, in sicer v primeru, da bi predložitveno sodišče menilo, v nasprotju z ugotovitvijo, do katere sem prišel na podlagi razpoložljivih informacij, da je lahko družba SCHUFA osebne podatke tožečih strank obdelovala zakonito na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP. Ta določba določa pravico do izbrisa osebnih podatkov, kadar posameznik, na katerega se nanašajo osebni podatki, ugovarja obdelavi v skladu s členom 21(1) SUVP, za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi. Iz tega besedila izhaja, da je vsak „prevladujoč[…] zakonit[…] razlog“ za obdelavo izjema od pravice posameznika, na katerega se nanašajo osebni podatki, da ugovarja obdelavi in doseže izbris svojih osebnih podatkov. Zato se domneva, da ima posameznik, na katerega se nanašajo osebni podatki, pravico, da ugovarja obdelavi, in pravico do izbrisa, če ne obstajajo prevladujoči zakoniti razlogi. (
47
)
94.
Menim, da v interesu učinkovitega varstva osebnih podatkov ne bi smelo biti velikih ovir za uveljavljanje pravice do izbrisa, zlasti kadar je na trgu več agencij za kreditne informacije, ki hranijo podatke vzporedno z javnim registrom. Če bi bilo uresničevanje te pravice zaradi ozke razlage člena 17(1) SUVP pretirano oteženo, bi obstajala nevarnost, da bi konkurenti zaobšli varstvo, katerega zagotavljanju je namenjena SUVP. Opozoriti pa je treba, da je bil cilj zakonodajalca Unije „[v] vsej Uniji […] zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov“ (moj poudarek), kot je razvidno iz uvodne izjave 10 SUVP. Zato mora biti posamezniku, na katerega se nanašajo osebni podatki, omogočeno, da uveljavlja svoje pravice zoper vse agencije, ki kršijo ta pravila. Glede na to, da je družba SCHUFA le ena od številnih velikih agencij za kreditne informacije v Nemčiji, bo treba ugotoviti, ali je hramba osebnih podatkov vzporedno z javni registrom razširjena praksa med temi agencijami.
95.
V tej fazi analize je torej treba ugotoviti, da se tožeči stranki načeloma lahko sklicujeta na pravico do izbrisa na podlagi člena 17(1) SUVP. Drugače bi bilo le, če bi zasebna agencija za kreditne informacije uspela „doka[zati] nujne legitimne razloge za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki“, v smislu člena 21(1) SUVP. Ker iz razpoložljivih informacij ni mogoče razbrati nujnih razlogov, ki bi lahko obstajali v sporu v glavni stvari, mora predložitveno sodišče ugotoviti dejansko stanje in po potrebi pretehtati zadevne interese.
96.
Glede na zgornje ugotovitve je treba člen 17(1)(d) SUVP razlagati tako, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke, ki se nanašajo nanj, če so bili ti podatki obdelani nezakonito v skladu s členom 6(1) navedene uredbe. Člen 17(1)(c) SUVP je treba razlagati tako, da ima posameznik, na katerega se nanašajo osebni podatki, načeloma pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke, ki se nanašajo nanj, če obdelavi ugovarja v skladu s členom 21(1) navedene uredbe. Predložitveno sodišče mora preveriti, ali izjemoma obstajajo nujni zakoniti razlogi za obdelavo.
3.
Uporaba kodeksa ravnanja v smislu člena 40 SUVP za določitev rokov za preverjanje in izbris, ki so daljši od rokov hrambe, določenih za javne registre
97.
Predložitveno sodišče želi tudi izvedeti, ali je v skladu s pravom Unije, da se v kodeksu ravnanja v smislu člena 40 SUVP določijo roki za preverjanje in izbris, ki so daljši od rokov hrambe, določenih za javne registre, ne da bi bilo treba opraviti tehtanje iz člena 6(1), prvi pododstavek, točka (f), te uredbe.
98.
V zvezi s tem je treba najprej ugotoviti, da po navedbah predložitvenega sodišča trenutno ne obstaja nobena nacionalna ureditev, v kateri bi bili določeni roki za izbris za podatkovne baze, ki jih vodijo agencije za kreditne informacije. Zdelo naj bi se pa, da zadevne stranke kodeks ravnanja, ki so ga skupaj sprejeli nadzorni organi in združenje agencij za kreditne informacije, dojemajo kot nekakšno „pravno podlago“, s katero je mogoče upravičiti zgoraj opisano prakso. Tako dojemanje se mi zdi pravno sporno iz razlogov, navedenih v nadaljevanju.
99.
Tak kodeks ravnanja je s pravnega vidika samo prostovoljna zaveza tistih, ki so ga pripravili in sprejeli, to je zgoraj navedenega združenja in njegovih članov. Enako to, da je kodeks ravnanja odobril nadzorni organ, pomeni samo, da se zanj kot upravni organ šteje, da ga navedeni kodeks ravnanja zavezuje. Vendar se mi zdi očitno, da v skladu s pravnim načelom pacta tertiis nec nocent nec prosunt ni zavezujoč za tretje osebe. Sicer bi veljal ne le za posameznike, katerih podatki se obdelujejo, temveč tudi za agencije, ki niso sodelovale pri pripravi takega kodeksa ravnanja.
100.
Kodeks ravnanja po definiciji nima normativne vrednosti v pravnem redu, temveč je namenjen bolj pojasnitvi določb pravnega akta za olajšanje njegove uporabe. To razlago potrjujeta odstavka 1 in 2 člena 40 SUVP, iz katerih je razvidno, da je namen kodeksov ravnanja, ki jih morajo pripraviti združenja in druga telesa, ki predstavljajo vrste upravljavcev ali obdelovalcev, prvič, „prispevati k pravilni uporabi“, in, drugič, „podrobneje obrazložiti uporabo“ te uredbe (moj poudarek). Ker je naloga zadevnega kodeksa ravnanja zgolj zagotavljanje pravilne uporabe SUVP v določenem sektorju, torej ne more biti sam pravna podlaga, ki bi upravičevala obdelavo osebnih podatkov. (
48
)
101.
Pravno podlago, ki upravičuje tako obdelavo, je mogoče najti samo v členu 6 SUVP ali, če obstaja pomensko odprta določba, ki se uporablja, v nacionalnem pravu. V teh sklepnih predlogih sem že navedel, da člen 6 SUVP določa izčrpen in taksativen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita. (
49
) Zato s pravili kodeksa ravnanja tega seznama ne bi bilo mogoče razširiti, ne da bi s tem kršili pravo Unije.
102.
Zdi se mi pa, da je tako prav v primeru, kadar je, tako kot v obravnavani zadevi, s temi pravili agencijam za kreditne informacije naložena obveznost, da podatke posameznikov, na katere se nanašajo, hranijo za obdobje treh let, to je za daljše časovno obdobje, ki ga ni mogoče upravičiti z vidika načel, ki urejajo obdelavo osebnih podatkov, določenih v SUVP. Natančneje, kot sem pokazal v okviru moje analize, hrambe teh podatkov v obdobju po izbrisu osebnih podatkov v zvezi z insolventnostjo iz javnih registrov ni mogoče šteti za zakonito na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP. (
50
)
103.
V tej fazi analize je torej treba ugotoviti, da kodeksov ravnanja, ki bi vodili do rezultata, ki je drugačen od tistega, ki bi ga dobili z uporabo člena 6(1), prvi pododstavek, točka (f), SUVP, ni mogoče upoštevati pri tehtanju, ki se izvaja na podlagi te določbe. Agencije za kreditne informacije se kot „upravljav[ci]“ v smislu člena 4(7) SUVP ne morejo skrivati za pravili kodeksa ravnanja, ki so jih same pripravile, da bi se zakonito razbremenile obveznosti, ki jih imajo na podlagi te uredbe.
104.
Glede na zgornje ugotovitve menim, da je treba člen 40(2) in (5) SUVP razlagati tako, da s kodeksi ravnanja, ki so pripravljeni v skladu s temi določbami in jih je morda odobril nadzorni organ, ni mogoče pravno zavezujoče določiti pogojev za zakonito obdelavo osebnih podatkov, ki se razlikujejo od pogojev, opredeljenih v členu 6(1) SUVP.
VI. Predlog
105.
Glede na navedeno Sodišču predlagam, naj na vprašanja za predhodno odločanje, ki jih je postavilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), odgovori:
1.
Člen 78(1) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
je treba razlagati tako, da
iz te določbe izhaja, da je pravno zavezujoča odločba nadzornega organa predmet celovitega sodnega nadzora nad njeno vsebino.
2.
Člen 6(1), prvi pododstavek, točka (f), Uredbe 2016/679
je treba razlagati tako, da
nasprotuje temu, da zasebna agencija za kreditne informacije hrani osebne podatke iz javnih registrov, kot so „nacionalne podatkovne baze“ v smislu člena 79(4) in (5) Uredbe (EU) 2015/848 Evropskega parlamenta in Sveta z dne 20. maja 2015 o postopkih v primeru insolventnosti, za obdobje, ki je daljše od obdobja hrambe podatkov v javnem registru. Predložitveno sodišče mora preveriti, ali hramba podatkov za obdobje, dovoljeno za javni register, izpolnjuje pogoje iz člena 6(1), prvi pododstavek, točka (f), Uredbe 2016/679.
3.
Člen 17(1)(d) Uredbe 2016/679
je treba razlagati tako, da
ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke, ki se nanašajo nanj, če so bili ti podatki obdelani nezakonito v skladu s členom 6(1) navedene uredbe.
Člen 17(1)(c) Uredbe 2016/679
je treba razlagati tako, da
ima posameznik, na katerega se nanašajo osebni podatki, načeloma pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke, ki se nanašajo nanj, če obdelavi ugovarja v skladu s členom 21(1) navedene uredbe. Predložitveno sodišče mora preveriti, ali izjemoma obstajajo nujni zakoniti razlogi za obdelavo.
4.
Člen 40(2) in (5) Uredbe 2016/679
je treba razlagati tako, da
s kodeksi ravnanja, ki so pripravljeni v skladu s temi določbami in jih je morda odobril nadzorni organ, ni mogoče pravno zavezujoče določiti pogojev za zakonito obdelavo osebnih podatkov, ki se razlikujejo od pogojev, opredeljenih v členu 6(1) navedene uredbe.
(
1
)	Jezik izvirnika: francoščina.
(
2
)	UL 2016, L 119, str. 1.
(
3
)	UL 2015, L 141, str. 19.
(
4
)	Konkretno gre za člena 18 in 21 Direktive 2014/17/EU Evropskega parlamenta in Sveta z dne 4. februarja 2014 o potrošniških kreditnih pogodbah za stanovanjske nepremičnine in spremembi direktiv 2008/48/ES in 2013/36/EU ter Uredbe (EU) št. 1093/2010 (UL 2014, L 60, str. 34) ter člena 8 in 9 Direktive 2008/48/ES Evropskega parlamenta in Sveta z dne 23. aprila 2008 o potrošniških kreditnih pogodbah in razveljavitvi Direktive Sveta 87/102/EGS (UL 2008, L 133, str. 66).
(
5
)	Glej sklepne predloge generalnega pravobranilca M. Szpunarja v zadevi Latvijas Republikas Saeima (Kazenske točke) (C‑439/19, EU:C:2020:1054, točka 48).
(
6
)	Sodba z dne 15. junija 2021, Facebook Ireland in drugi (C‑645/19, EU:C:2021:483, točki 44 in 45).
(
7
)	Sodba z dne 16. julija 2020, Facebook Ireland in Schrems (C‑311/18, EU:C:2020:559, točka 109).
(
8
)	Glej v tem smislu Kotschy, W., „Article 77. Right to lodge a complaint with a supervisory authority“, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L., (ur.), Oxford, 2020, str. 1123.
(
9
)	Glej v tem smislu Härting, N., Flisek, C., Thiess, L., „DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht“, Computer und Recht, 5/2018, str. 299, kjer je opozorjeno, da mora v skladu s členom 57(1)(a) SUVP nadzorni organ spremljati uporabo SUVP in zagotavljati njeno spoštovanje v interesu posameznikov, na katere se nanašajo osebni podatki. Po navedbah avtorjev ne sme ne ukrepati, kadar so z obdelavo osebnih podatkov kršene pravice državljana. Nasprotno, nadzorni organ mora sprejeti ukrepe za odpravo položaja in uporabiti pooblastila, ki jih ima na podlagi člena 58(2) SUVP.
(
10
)	Glej v tem smislu Hijmans, H., „Article 55. Tasks“, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L., (ur.), Oxford, 2020, str. 934 in 936.
(
11
)	Za podrobno razlago pojma „dobro upravljanje“ v upravnem pravu Unije glej moje sklepne predloge v zadevi Parlament/UZ (C‑894/19 P, EU:C:2021:497, točka 68).
(
12
)	Sklepni predlogi generalnega pravobranilca H. Saugmandsgaarda Øeja v zadevi Facebook Ireland in Schrems (C‑311/18, EU:C:2019:1145, točki 146 in 147).
(
13
)	Sklepni predlogi generalnega pravobranilca H. Saugmandsgaarda Øeja v zadevi Facebook Ireland in Schrems (C‑311/18, EU:C:2019:1145, točka 148).
(
14
)	Glej točki 43 in 44 teh sklepnih predlogov.
(
15
)	Glej sodbo sodišča EFTE z dne 10. decembra 2020 v združenih zadevah E-11/19 in E-12/19, Adpublisher AG/J in K, točka 58, v kateri to sodišče ugotavlja, da člen 58(4) in člen 78 SUVP „izražata pravico do učinkovitega pravnega sredstva“.
(
16
)	Sodba z dne 7. septembra 2021, Klaipėdos regiono atliekų tvarkymo centras (C‑927/19, EU:C:2021:700, točka 146).
(
17
)	Sodba z dne 6. oktobra 2015, Schrems (C‑362/14, EU:C:2015:650, točka 95).
(
18
)	Glej sodbo z dne 12. januarja 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, točka 41).
(
19
)	Glej v tem smislu Kotschy, W., „Article 77. Right to lodge a complaint with a supervisory authority“, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L., (ur.), Oxford, 2020, str. od 1127 do 1130.
(
20
)	Glej sklepne predloge generalnega pravobranilca J. Richarda de la Toura v zadevi Budapesti Elektromos Művek in drugi (C‑132/21, EU:C:2022:661, točka 43 in naslednje).
(
21
)	Sodbi z dne 11. novembra 2020, DenizBank (C‑287/19, EU:C:2020:897, točka 59), in z dne 24. februarja 2022, Glavna direktsia Pozharna bezopasnost i zashtita na naselenieto (C‑262/20, EU:C:2022:117, točka 33).
(
22
)	Sodba z dne 11. decembra 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, točka 32).
(
23
)	Sodba z dne 26. aprila 2022, Poljska/Parlament in Svet (C‑401/19, EU:C:2022:297, točka 47).
(
24
)	Sodbi z dne 22. junija 2021, Latvijas Republikas Saeima (Kazenske točke) (C‑439/19, EU:C:2021:504, točka 99), in z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, točka 67).
(
25
)	Sodba z dne 17. junija 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, točka 106).
(
26
)	Glej v zvezi s tem sklepne predloge generalnega pravobranilca A. Rantosa v zadevi Meta Platforms in drugi (Splošni pogoji za uporabo družbenega omrežja) (C‑252/21, EU:C:2022:704, točka 60).
(
27
)	Glej sodbi z dne 4. maja 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, točka 30), in z dne 17. junija 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, točka 110).
(
28
)	Sodbi z dne 4. maja 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, točka 31), in z dne 17. junija 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, točka 111).
(
29
)	Mnenje 06/2014 o pojmu zakonitih interesov upravljavca podatkov iz člena 7 Direktive 95/46/ES, WP 217 z dne 9. aprila 2014, III.3.4 („Ključni dejavniki, ki se upoštevajo pri izvajanju testa tehtanja“).
(
30
)	Glej točke od 61 do 63 teh sklepnih predlogov.
(
31
)	Sodbi z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točki 86 in 87), in z dne 11. decembra 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, točka 57).
(
32
)	Sodba z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, točka 92).
(
33
)	Sodba z dne 11. decembra 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, točka 57).
(
34
)	Sodba z dne 13. maja 2014, Google Spain in Google (C‑131/12, EU:C:2014:317, točka 98).
(
35
)	Glej sodbo z dne 22. novembra 2022, Luxembourg Business Registers (C‑37/20 in C‑601/20, EU:C:2022:912, točke od 39 do 42), v kateri je Sodišče menilo, da je omogočanje dostopa do informacij o dejanskih lastnikih gospodarskih in drugih pravnih subjektov širši javnosti kršitev pravic, zagotovljenih s členoma 7 in 8 Listine. Sodišče je v svojem razlogovanju upoštevalo občutljivost zadevnih osebnih podatkov in dejstvo, da so bile informacije dostopne potencialno neomejenemu številu oseb.
(
36
)	Družba SCHUFA se je na obravnavi sklicevala na dejstvo, da so nekateri posamezniki znova postali insolventni, kar naj bi po njenih navedbah upravičilo triletno obdobje hrambe.
(
37
)	V: Gutowski, M., „OLG Schleswig: Eintragung erfolgter Restschuldbefreiung in Datenbanken von Auskunfteien über die Löschungsfrist für das Insolvenzbekanntmachungsportal hinaus“, Neue Zeitschrift für Insolvenz- und Sanierungsrecht, 18/2021, str. 799, so izraženi dvomi o koristnosti določbe o hrambi podatkov osebe za obdobje treh let zaradi ugotavljanja njenega ekonomskega položaja.
(
38
)	Glej v tem smislu Heyer, H.-U., „Schein-Datenschutz“, Zeitschrift für Verbraucher-, Privat- und Nachlassinsolvenz, 2019, str. 46.
(
39
)	Glej točko 31 teh sklepnih predlogov.
(
40
)	Glej sodbo z dne 11. decembra 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, točka 58).
(
41
)	Zdi se, da trditev družbe SCHUA na obravnavi, da nemški zakonodajalec ni naredil ničesar, da bi skrajšal triletni rok, ki ga je uporabljala ta zasebna agencija, ne omaje te ugotovitve. Obstajajo namreč lahko različni razlogi, zakaj država članica še ni obravnavala problematike vzporednih podatkovnih baz. Predlogi za sprejetje predhodne odločbe, ki jih je vložilo predložitveno sodišče, so namenjeni prav temu, da se poiščejo rešitve za to problematiko in tako vzpostavi položaj, ki je v skladu s zahtevami SUVP.
(
42
)	Glej točko 75 teh sklepnih predlogov.
(
43
)	V: Ehmann, E., „Bundesdatenschutzgesetz“, Simitis, S., Hornung, G., Spiecker, I., (ur.), Datenschutzrecht – DSGVO mit BDSG, 8. izdaja, Baden-Baden, 2014, odstavek 29, točka 192, je zastopano mnenje, da ko se izteče rok, ki ga nacionalna zakonodaja določa za objavo osebnih podatkov v javnem registru, zakoniti interes za njihovo razširjanje v podatkovni bazi, ki jo upravlja zasebno podjetje, ne obstaja več, saj bi bil sicer ogrožen zakonodajni cilj.
(
44
)	Glej sodbo z dne 1. avgusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, točka 93), iz katere izhaja, da je treba pogoj v zvezi s „potrebnostjo obdelave“ preučiti skupaj z načelom „najmanjšega obsega podatkov“.
(
45
)	Dix, A., Datenschutzrecht - DSGVO mit BDSG, Simitis, S., Hornung, G., Spiecker, I., (ur.), Baden-Baden, 2018, člen 17, točka 14.
(
46
)	Glej točko 77 teh sklepnih predlogov.
(
47
)	V: Kranenborg, H., „Article 17. Right to erasure (‚right to be forgotten‘)“, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L., (ur.), Oxford, 2020, str. 481, je pojasnjeno, da je posledica člena 21(1) SUVP obrnjeno dokazno breme, tako da mora upravljavec podatkov, in ne posameznik, na katerega se nanašajo osebni podatki, dokazati nujne zakonite razloge za upravičenost obdelave. Če upravljavec tega ne stori, je treba zadevne podatke izbrisati.
(
48
)	Opozoriti je treba na dejstvo, da je v zadevnem kodeksu ravnanja (Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien (Kodeks ravnanja v zvezi z roki za preverjanje in izbris osebnih podatkov s strani nemških zasebnih agencij za kreditne informacije) z dne 25. maja 2018) navedeno, da njegova pravila „ne vsebujejo nobene ureditve v zvezi z vsebinsko utemeljitvijo hrambe osebnih podatkov“. Iz tega kodeksa ravnanja izhaja tudi, da „ureditev obdobij hrambe in izbrisa ne pomeni zakonitosti njihove hrambe. V nadaljevanju navedena obdobja za izbris in shranjevanje se uporabljajo ne glede na to, ali so se podatki zbirali in shranjevali na pravni podlagi ali na podlagi privolitve“ (moj poudarek). To po mojem mnenju dokazuje, da so se morali avtorji navedenega kodeksa zavedati, da kodeks ravnanja ni pravna podlaga, ki lahko upravičuje obdelavo podatkov.
(
49
)	Glej točko 59 teh sklepnih predlogov.
(
50
)	Glej točko 77 teh sklepnih predlogov.