62022CJ0026_RES
Liidetud kohtuasjad C‑26/22 ja C‑64/22
UFjaAB
versus
Land Hessen
(eelotsusetaotlus, mille on esitanud Verwaltungsgericht Wiesbaden)
Euroopa Kohtu (esimene koda) 7. detsembri 2023. aasta otsus
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikli 5 lõike 1 punkt a – Seaduslikkuse põhimõte – Artikli 6 lõike 1 esimese lõigu punkt f – Töötlemise vajalikkus vastutava töötleja või kolmanda isiku õigustatud huvi korral – Artikli 17 lõike 1 punkt d – Õigus andmete ebaseadusliku töötlemise korral nende kustutamisele – Artikkel 40 – Toimimisjuhendid – Artikli 78 lõige 1 – Õigus tõhusale õiguskaitsevahendile järelevalveasutuse vastu – Järelevalveasutuse otsus kaebuse kohta – Selle otsuse kohtuliku kontrolli ulatus – Majandusteaberegistrid – Avalikust registrist pärinevate selliste andmete säilitamine, mis on seotud isiku täitmata jäänud võlakohustusest vabastamisega – Säilitamisaeg
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õiguskaitsevahendid – Kohtule esitatud kaebus otsuse peale, mille järelevalveasutus on teinud teatava kaebuse kohta – Kohtulik kontroll – Ulatus – Piirid – Puudumine
(Euroopa Liidu põhiõiguste harta, artikli 8 lõige 3 ja artikkel 47; Euroopa Parlamendi ja nõukogu direktiiv 2016/679, põhjendused 141 ja 143 ning artikkel 52, artikli 78 lõige 1 ja artikli 79 lõige 1)
(vt punktid 50–53, 58, 59, 62 ja 67–70 ning resolutsiooni punkt 1)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Tingimused, mille korral isikuandmete töötlemine on seaduslik – Töötlemine, mis on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral – Töötlemine, mis on majandusteaberegistritele vajalik selleks, et teha oma lepingupartneritele teave nende võimalike klientide krediidivõime hindamise eesmärgil kättesaadavaks – Avalikust registrist pärit selliste andmete süsteemne säilitamine, mis on seotud isiku täitmata jäänud võlakohustusest vabastamisega – Säilitamistähtaeg, mis on avaliku maksejõuetusregistri puhul ette nähtud säilitamistähtajast pikem – Lubamatus
(Euroopa Liidu põhiõiguste harta, artiklid 7 ja 8; Euroopa Parlamendi ja nõukogu määrus 2015/848, põhjendus 76 ja artikli 79 lõiked 4 ja 5, ning määrus 2016/679, artikli 5 lõike 1 punkt a ja artikli 6 lõike 1 esimese lõigu punkt f)
(vt punktid 75, 83, 88–100 ja 113 ning resolutsiooni punkt 2)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Tingimused, mille korral isikuandmete töötlemine on seaduslik – Toimimisjuhend, mille on välja töötanud vastutavate töötlejate või volitatud töötlejate ühendus ja mille on heaks kiitnud pädev järelevalveasutus – Toimimisjuhend, milles on kindlaks määratud töötlemise seaduslikkuse tingimused, mis ei vasta määruses 2016/679 ette nähtud tingimustele – Arvesse võtmata jätmine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 6 lõike 1 esimese lõigu punkt f ja artikli 40 lõiked 1, 2 ja 5)
(vt punktid 101–105)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õigus andmete kustutamisele – Ulatus – Isikuandmete ebaseaduslik töötlemine – Hõlmamine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 17 lõike 1 punkt d)
(vt punktid 107, 108 ja 113 ning resolutsiooni punkt 4)
Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õigus andmete kustutamisele – Ulatus – Andmesubjekti õigus esitada andmetöötlemise suhtes vastuväiteid – Hõlmamine – Erand – Töötlemiseks ülekaalukate õiguspäraste põhjuste olemasolu, mis kaalub üles selle isiku huvid, õigused ja vabadused – Vastutaval töötlejal lasuv tõendamiskoormis
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 17 lõike 1 punkt c ja artikli 21 lõige 1)
(vt punktid 109–113 ja resolutsiooni punkt 3)
Kokkuvõte
Saksa õiguse alusel asutatud eraõiguslik äriühing SCHUFA Holding AG salvestas ja säilitas oma andmebaasides avalikest registritest pärinevat teavet muu hulgas täitmata jäänud võlakohustusest vabastamise kohta, mida ta vastavalt olukorrale andis lepingupartneritele. Ta kustutas viimati nimetatud teabe pärast kolme aasta möödumist registreerimisest vastavalt toimimisjuhendile, mille oli välja töötanud majandusteaberegistrite ühendus Saksamaal.
UF ja AB palusid SCHUFA-l pärast seda, kui nende suhtes oli maksejõuetusmenetluses tehtud otsus täitmata jäänud võlakohustusest ennetähtaegse vabastamise kohta, kustutada nende otsuste kohta tehtud kanded. Kõnealune äriühing keeldus nende taotlusi rahuldamast, selgitades, et nende andmete avalikust registrist kustutamiseks Saksa õiguses ette nähtud kuuekuuline tähtaeg (
1
) ei ole tema suhtes kohaldatav.
UF ja AB esitasid kumbki SCHUFA vastu pädevale järelevalveasutusele HBDI (
2
) kaebused, mille viimane jättis rahuldamata põhjendusel, et andmete töötlemine SCHUFA poolt oli seaduslik.
Verwaltungsgericht Wiesbaden (Wiesbadeni halduskohus, Saksamaa), kellele UF ja AB esitasid HBDI otsuste peale kaebused, küsis Euroopa Kohtult, kuidas tuleb tõlgendada mitut isikuandmete kaitse üldmääruse (
3
) sätet, mis käsitlevad eelkõige andmete töötlemise vajalikkust õigustatud huvi korral ja õigust andmete kustutamisele (
4
).
Euroopa Kohus tõdes oma otsuses, et isikuandmete kaitse üldmäärusega (
5
) on vastuolus majandusteaberegistrite praktika, mis seisneb selles, et nende oma andmebaasides säilitatakse avalikust registrist pärinev teave füüsilise isiku täitmata jäänud võlakohustusest vabastamise kohta pikema aja jooksul kui see, mis on liikmesriigi õiguses ette nähtud nende andmete säilitamiseks viimati nimetatud registris. Ta tegi samuti otsuse andmesubjekti õiguse kohta nõuda sellelt äriühingult teda puudutavate andmete kustutamist.
Euroopa Kohtu hinnang
Esimesena tuletas Euroopa Kohus meelde, et isikuandmete kaitse üldmääruse kohaselt võib isikuandmete töötlemist pidada seaduslikuks eelkõige siis, kui on täidetud kolm kumulatiivset tingimust: esiteks, kui vastutaval töötlejal või kolmandal isikul on õigustatud huvi, teiseks, kui töötlemine on taotletava õigustatud huvi elluviimiseks vajalik, ning kolmandaks, kui andmesubjekti huvid või põhiõigused ja -vabadused ei kaalu üles vastutava töötleja või kolmanda isiku õigustatud huvi. (
6
)
Esimese tingimuse kohta märkis Euroopa Kohus, et kuigi käesoleval juhul teenib isikuandmete töötlemine eraõigusliku äriühingu majanduslikke huve, teenib see ka selle äriühingu lepinguliste partnerite õigustatud huve, kes on kohustatud hindama nende isikute krediidivõimelisust, kellega nad kavatsevad krediidiga seotud lepinguid sõlmida, ja seega krediidisektori sotsiaal-majanduslikku huvi.
Teise tingimuse kohta tuletas Euroopa Kohus meelde, et andmete töötlemist saab pidada „vajalikuks“ ainult siis, kui see toimub vastutava töötleja või kolmanda isiku õigustatud huvi elluviimiseks rangelt vajaliku piires.
Kolmanda tingimuse kohta tõdes Euroopa Kohus, et käesoleval juhul on nimetatud tingimuse ja teise tingimuse analüüs üks ja seesama ning see eeldab vastanduvate õiguste ja huvide kaalumist, et hinnata, kas taotletavaid õigustatud huve on võimalik mõistlikult saavutada andmete lühema säilitamisajaga.
Mis puudutab taotletavate õigustatud huvide kaalumist, siis märkis Euroopa Kohus, et kuna majandusteaberegistri pakutav analüüs võimaldab objektiivselt ja usaldusväärselt hinnata niisuguse registri lepinguliste partnerite võimalike klientide krediidivõimelisust, võimaldab see kompenseerida ebavõrdset teavitatust ja seega vähendada pettuse ja muude ebakindlate asjaolude ohtu.
Mis aga puudutab andmesubjekti õigusi ja huve, siis asus Euroopa Kohus seisukohale, et niisuguse registri poolt täitmata jäänud võlakohustusest vabastamisega seotud andmete töötlemine, nagu on nende andmete säilitamine, analüüs ja edastamine kolmandale isikule, kujutab endast andmesubjekti põhiõiguste rasket riivet (
7
). Nimelt on need andmed isiku krediidivõime hindamisel negatiivseks teguriks ja kujutavad seega endast tundlikku teavet tema eraelu kohta, mille töötlemine võib oluliselt kahjustada tema huve. Mida kauem kõnealuseid andmeid säilitatakse, seda suurem on mõju andmesubjekti huvidele ja eraelule ning seda rangemad on selle teabe säilitamise seaduslikkuse nõuded.
Lisaks märkis Euroopa Kohus seoses andmete säilitamisega avalikes maksejõuetusregistrites, et liikmesriigid vastutavad andmete riigisisestes andmebaasides kogumise ja säilitamise eest (
8
) ning seega peavad nad kehtestama ka nende andmete säilitamise tähtaja. Käesoleval juhul leidis liikmesriigi seadusandja, et pärast kuuekuulise tähtaja möödumist on andmesubjekti õigused ja huvid kaalukamad kui üldsuse õigused ja huvid saada seda teavet.
Lisaks on täitmata jäänud võlakohustusest vabastamine mõeldud selleks, et anda isikule, kellele seda võimaldatakse, võimalus taas osaleda majanduselus ning see on nimetatud isiku jaoks üldjuhul eksistentsiaalne. Selle eesmärgi saavutamine oleks aga ohus, kui seda puudutavat teavet saaks säilitada ja kasutada pärast nende kustutamist avalikust maksejõuetusregistrist.
Seetõttu järeldas Euroopa Kohus, et krediidisektori huvi saada täitmata jäänud võlakohustusest vabastamise kohta teavet ei saa põhjendada andmete töötlemist pärast andmete säilitamise tähtaega avalikus maksejõuetusregistris.
Euroopa Kohus lisas, et andmete säilitamine kuuekuulise aja jooksul kujutab endast samuti andmesubjekti põhiõiguste riivet. Sellega seoses on eelotsusetaotluse esitanud kohtu ülesanne hinnata, kas nende andmete paralleelset säilitamist majandusteaberegistrites võib pidada rangelt vajalikuks.
Mis puudutab lõpuks sellise toimimisjuhendi olemasolu, milles on ette nähtud andmete kustutamine pärast kolme aasta möödumist, siis märkis Euroopa Kohus, et kuigi sellise juhendi eesmärk on aidata kaasa isikuandmete kaitse üldmääruse nõuetekohasele kohaldamisele (
9
), ei saa selles sätestatud isikuandmete töötlemise seaduslikkuse tingimused siiski erineda isikuandmete kaitse üldmääruses ette nähtud tingimustest. Seega ei saa arvesse võtta toimimisjuhendit, mille tulemuseks on isikuandmete kaitse üldmäärusele tuginevast hinnangust erinev hinnang.
Teisena märkis Euroopa Kohus seoses vastutava töötleja kohustustega isikuandmed kustutada esiteks, et ta peab kustutama andmed, mida on töödeldud ebaseaduslikult, nagu käesoleval juhul see, kui asjaomane äriühing töötleb andmeid pärast avalikus registris säilitamise kuuekuulise tähtaja möödumist (
10
). Teiseks on isegi juhul, kui eelotsusetaotluse esitanud kohus jõuab järeldusele, et andmete töötlemine kuue kuu pikkuse ajavahemiku jooksul oli seaduslik, andmesubjektil õigus sellise töötlemise suhtes vastuväide esitada (
11
) ja nõuda, et vastutav töötleja kustutaks teda puudutavad isikuandmed, kui see äriühing ei ole tõendanud ülekaaluka õiguspärase põhjuse olemasolu, mis kaalub üles selle isiku huvid ning tema õigused ja vabadused. (
12
)
(
1
)	12. veebruari 2002. aasta määruse, mis reguleerib maksejõuetusmenetlust puudutava teabe avalikku teatavakstegemist veebis (Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet; BGBl. I, lk 677) § 3 lõige 1.
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hesseni liidumaa andmekaitse ja teabevabaduse volinik, Saksamaa).
(
3
)	Euroopa Parlamendi ja nõukogu 27. aprilli 2016. aasta määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT 2016, L 119, lk 1; parandus ELT 2018, L 127, lk 3; edaspidi „isikuandmete kaitse üldmäärus“).
(
4
)	Vastavalt sama määruse artikli 6 lõike 1 esimese lõigu punktile f ning artikli 17 lõike 1 punktidele c ja d.
(
5
)	Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punkt a koostoimes artikli 6 lõike 1 esimese lõigu punktiga f.
(
6
)	Vastavalt isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punktile f, mis kuulub käesolevas asjas kohaldamisele.
(
7
)	Euroopa Liidu põhiõiguste harta artiklites 7 ja 8 sätestatud õigused, mis käsitlevad vastavalt eraelu austamist ja isikuandmete kaitset.
(
8
)	Vastavalt Euroopa Parlamendi ja nõukogu 20. mai 2015. aasta määruse (EL) 2015/848 maksejõuetusmenetluse kohta (uuesti sõnastatud) (ELT 2015, L 141, lk 19; parandus ELT 2022, L 89, lk 10) artikli 79 lõikele 4. Kõnealuse määruse artikli 79 lõige 5 näeb üksnes ette, et liikmesriigid teavitavad andmesubjekte sellest, kui kaua on maksejõuetusregistrites säilitatavad isikuandmed kättesaadavad, ilma et nad määraksid nende andmete säilitamise tähtaja.
(
9
)	Vastavalt isikuandmete kaitse üldmääruse artikli 40 lõigetele 1 ja 2.
(
10
)	Vastavalt isikuandmete kaitse üldmääruse artikli 17 lõike 1 punktile d.
(
11
)	Vastavalt isikuandmete kaitse üldmääruse artikli 21 lõikele 1.
(
12
)	Vastavalt isikuandmete kaitse üldmääruse artikli 17 lõike 1 punktile c.