62021CJ0634_RES
Mål C‑634/21
OQ
mot
Land Hessen
(begäran om förhandsavgörande från Verwaltungsgericht Wiesbaden)
Domstolens dom (första avdelningen) av den 7 december 2023
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) nr 2016/679 – Artikel 22 – Automatiserat individuellt beslutsfattande – Kreditupplysningsföretag – Automatiserat fastställande av ett sannolikhetsvärde om en persons framtida återbetalningsförmåga (’Scoring’) – Tredje parts användning av detta sannolikhetsvärde”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rättsmedel – Rättsmedel mot ett omprövningsbeslut som antagits av en tillsynsmyndighet – Domstolsprövning – Räckvidd – Gränser – Föreligger inte
(Europaparlamentets och rådets förordning 2016/679, artikel 78.1)
(se punkt 34)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling – Automatiserat individuellt beslutsfattande – Begrepp – Ett kreditupplysningsföretags automatiserade fastställande av ett sannolikhetsvärde vad gäller en persons betalningsförmåga som används av tredje part – Omfattas – Villkor
(Europaparlamentets och rådets förordning 2016/679, skäl 71 och artiklarna 4 led 4 och 22.1)
(se punkterna 43, 46–50, 60–63 och 73 samt domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Den registrerades rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling – Undantag – Beslutsfattande som enbart grundas på automatiserad behandling och som är tillåtet enligt en medlemsstats nationella rätt – Skyldighet att iaktta de villkor och krav som föreskrivs i nämnda förordning – Prövning som det ankommer på den nationella domstolen att göra
(Europaparlamentets och rådets förordning nr 2016/679, skäl 71 och artiklarna 5, 6 och 22.2–22.4)
(se punkterna 53–55, 64, 67–70 och 72)
Resumé
SCHUFA Holding AG är ett privat bolag bildat enligt tysk rätt som tillhandahåller sina kunder kreditupplysningar om personer. I detta syfte beräknar bolaget för varje person ett sannolikhetsvärde (”score”), med hjälp av matematiska och statistiska metoder. Fastställandet av dessa värden tjänar till att förutse en persons framtida beteende, såsom återbetalning av ett lån, genom att inordna denna person i en grupp personer som uppvisar vissa jämförbara egenskaper.
OQ nekades ett lån av ett kreditinstitut efter det att SCHUFA hade tagit fram negativa uppgifter om OQ och överfört dessa till kreditinstitutet. OQ begärde att SCHUFA skulle ge vederbörande tillgång till de registrerade uppgifterna om denne och radera de påstått oriktiga uppgifterna. SCHUFA lämnade emellertid endast ut kreditbetyget till OQ samt angav allmänt hur beräkningen av kreditbetyget går till, och åberopade för övriga uppgifter att de utgjorde affärshemligheter.
Därefter inlämnade OQ ett klagomål avseende SCHUFA till HBDI (
1
), den tyska tillsynsmyndigheten. HBDI avslog klagomålet med motiveringen att SCHUFA:s verksamhet var förenlig med den tyska lagstiftning som reglerar användningen av ett sannolikhetsvärde avseende betalningsförmåga. (
2
)
OQ överklagade HBDI:s beslut till Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) som ställde frågor till EU-domstolen om tolkningen av de bestämmelser i dataskyddsförordningen (
3
) som avser den registrerades rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering. (
4
)
I sin dom tolkar domstolen för första gången de bestämmelser i dataskyddsförordningen som avser det känsliga området beslut som enbart grundas på automatiserade behandling av uppgifter. I detta sammanhang uttalar sig domstolen angående huruvida begreppet automatiserat individuellt beslutsfattande omfattar att ett kreditupplysningsföretag automatiskt fastställer ett sannolikhetsvärde avseende en persons betalningsförmåga och detta fastställande således omfattas av tillämpningsområdet för dessa bestämmelser.
Domstolens bedömning
Domstolen konstaterar inledningsvis att de tre kumulativa villkoren för tillämpning av de bestämmelser i dataskyddsförordningen vilka reglerar den enskildes rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, är uppfyllda i förevarande fall.
För det första ska det beträffande villkoret att det ska föreligga ett beslut påpekas att begreppet beslut är ett brett begrepp som kan omfatta resultatet av beräkningen av en persons betalningsförmåga i form av ett sannolikhetsvärde avseende denna persons framtida återbetalningsförmåga.
För det andra kan det, beträffande villkoret att beslutet ”enbart [ska] grundas på automatiserad behandling, inbegripet profilering”, konstateras att det, enligt domstolen, är utrett att den verksamhet som bolaget i fråga bedriver motsvarar definitionen av ”profilering” (
5
) och att detta villkor således är uppfyllt i förevarande fall. Den hänskjutande domstolen har dessutom uttryckligen angett att det är fråga om ett automatiskt fastställande av ett sannolikhetsvärde grundat på personuppgifter avseende en person och personens framtida återbetalningsförmåga.
För det tredje kan det, beträffande villkoret att beslutet ska ha ”[rättsverkan]” för den registrerade eller på ”liknande sätt i betydande grad [påverka]” honom eller henne, konstateras att när i förevarande fall sannolikhetsvärdet överförs till en tredje part, så styrs dennes agerande ”i avgörande grad” av detta värde. Ett otillräckligt sannolikhetsvärde medför nämligen nästan alltid att det sökta lånet inte beviljas. Detta beslut påverkar således den registrerade i åtminstone betydande grad.
Domstolen drar av detta slutsatsen att när det sannolikhetsvärde som fastställts av ett kreditupplysningsföretag och som överförts till en bank spelar en avgörande roll vid beviljandet av en kredit, ska fastställandet av detta värde i sig anses utgöra ett beslut som i förhållande till en registrerad har ”[rättsverkan] för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne” (
6
).
Vidare understryker domstolen att denna tolkning, och framför allt den vidsträckta innebörden av begreppet beslut, förstärker det effektiva skydd som eftersträvas i dataskyddsförordningen. En restriktiv tolkning som innebär att fastställandet av sannolikhetsvärdet enbart ska anses utgöra en åtgärd av förberedande karaktär och att det endast är den tredje partens åtgärd som, i förekommande fall, kan kvalificeras som ett ”beslut”, skulle däremot medföra att det uppstod en lucka i det rättsliga skyddet. I ett sådant fall skulle nämligen fastställandet av ett sådant värde undgå de särskilda krav som föreskrivs i dataskyddsförordningen, (
7
) trots att detta förfaringssätt grundar sig på en automatiserad behandling och har följder som i betydande grad påverkar den registrerade i den mån detta sannolikhetsvärde, i fall där det överförs till en tredje part, i avgörande grad styr dennes agerande.
Vidare skulle den registrerade inte kunna göra gällande sin rätt att få tillgång till särskild information (
8
) gentemot det kreditupplysningsföretag som fastställer det sannolikhetsvärde som rör honom eller henne, om detta företag inte utför något automatiserat beslutsfattande. Dessutom gäller att även om det antas att en tredje parts åtgärder omfattas av bestämmelser i dataskyddsförordningen som avser en person rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, skulle den tredje parten inte ha möjlighet att lämna denna specifika information, eftersom denne i allmänhet inte förfogar över sådan information.
Slutligen noterar domstolen att den omständigheten att fastställandet av ett sannolikhetsvärde omfattas av de bestämmelser i dataskyddsförordningen som reglerar den enskildes rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling får till följd att detta fastställande är förbjudet om inte något av undantagen är tillämpligt och de särskilda krav som föreskrivs i dataskyddsförordningen har iakttagits.
Dessutom måste all behandling av personuppgifter dels överensstämma med de principer om uppgiftsbehandling som slås fast i dataskyddsförordningen, dels – särskilt med hänsyn till principen om laglighet – svara mot någon av de principer som gör att behandlingen kan tillåtas.
I detta sammanhang påpekar EU-domstolen att den hänskjutande domstolen har hänvisat till undantaget enligt vilket antagandet av ett beslut som enbart grundas på automatiserad behandling kan tillåtas när detta föreskrivs i medlemsstatens lagstiftning. Härvidlag påpekar EU-domstolen att det ankommer på den hänskjutande domstolen att pröva huruvida den nationella lagstiftning som reglerar användningen av ett sannolikhetsvärde avseende betalningsförmåga kan anses utgöra en rättslig grund som tillåter att ett sådant beslut antas, och, om så är fallet, huruvida villkoren för detta undantag och för de principer som är tillämpliga på behandlingen, vilka föreskrivs i dataskyddsförordningen, är uppfyllda i förevarande fall.
(
1
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Dataskydds- och informationsfrihetsombudsman för delstaten Hessen, Tyskland)
(
2
)	31 § i Bundesdatenschutzgesetz (federala dataskyddslagen) av den 30 juni 2017 (BGBl. I, s. 2097).
(
3
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT L 127, 2018, s. 7).
(
4
)	Artikel 22 i dataskyddsförordningen.
(
5
)	I den mening som avses i artikel 4 led 4 i dataskyddsförordningen.
(
6
)	I den mening som avses i artikel 22.1 i dataskyddsförordningen.
(
7
)	De krav som avses i artikel 22.2–22.4 i dataskyddsförordningen. Det framgår av dessa bestämmelser att förbudet mot ett individuellt beslut som uteslutande grundas på automatiserad behandling är förenat med tre undantag som omgärdas av ytterligare garantier. Ett sådant beslut är således tillåtet när det är nödvändigt för att ingåendet eller fullgörandet av ett avtal mellan den registrerade och en personuppgiftsansvarig, när det är tillåtet enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, eller om det grundar sig på den registrerades uttryckliga samtycke. Detta gäller under förutsättning att lämpliga åtgärder som ska skydda den registrerades rättigheter, friheter och berättigade intressen har vidtagits.
(
8
)	Den särskilda information som avses i artikel 15.1 h i dataskyddsförordningen och till vilken denna bestämmelse ger den registrerade en utvidgad rätt till tillgång vid automatiserat beslutsfattande.