62021CJ0634_RES
Lieta C‑634/21
OQ
pret
Land Hessen
(Verwaltungsgericht Wiesbaden lūgums sniegt prejudiciālu nolēmumu)
Tiesas (pirmā palāta) 2023. gada 7. decembra spriedums
Lūgums sniegt prejudiciālu nolēmumu – Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 22. pants – Automatizēts individuāls lēmums – Kredītinformācijas biroji – Automatizēta varbūtības vērtības iegūšana par personas spēju nākotnē pildīt maksājumu saistības (“scoring”) – Šīs varbūtības vērtības izmantošana, ko veic trešā persona
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Tiesību aizsardzības līdzekļi – Tiesību aizsardzība tiesā pret uzraudzības iestādes lēmumu par sūdzību – Pārbaude tiesā – Apjoms – Robežas – Neesamība
(Eiropas Parlamenta un Padomes Regulas 2016/679 78. panta 1. punkts)
(skat. 34. punktu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Datu subjekta tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde – Automatizēts individuāls lēmums – Jēdziens – Kredītinformācijas biroja veikta kādas personas kredītspējas varbūtības vērtības automatizēta iegūšana trešo personu vajadzībām – Iekļaušana – Nosacījumi
(Eiropas Parlamenta un Padomes Regulas 2016/679 71. apsvērums, kā arī 4. panta 4. punkts un 22. panta 1. punkts)
(skat. 43., 46.–50., 60.–63., 73. punktu un rezolutīvo daļu)
Fizisko personu aizsardzība attiecībā uz personas datu apstrādi – Regula 2016/679 – Datu subjekta tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde – Izņēmumi – Dalībvalsts tiesību aktos atļauta tāda lēmuma pieņemšana, kura pamatā ir tikai automatizēta apstrāde – Pienākums ievērot nosacījumus un prasības, ko paredz minētā regula – Valsts tiesas kompetencē esoša pārbaude
(Eiropas Parlamenta un Padomes Regulas 2016/679 71. apsvērums, kā arī 5. un 6. pants un 22. panta 2.–4. punkts)
(skat. 53.–55., 64., 67.–70., 72. punktu)
Rezumējums
Saskaņā ar Vācijas tiesībām izveidotā privātā sabiedrība SCHUFA Holding AG saviem līgumpartneriem sniedz informāciju par personu kredītspēju. Tālab tā katrai attiecīgajai personai piešķir, pamatojoties uz matemātiskās statistikas metodi, no konkrētiem šīs personas raksturlielumiem iegūtu vērtību (“score”). Score vērtību noteikšana tiek izmantota, lai prognozētu personas rīcību nākotnē, piemēram, aizdevuma atmaksu, ierindojot šo personu tādu citu personu grupā, kurām ir līdzīgi raksturlielumi.
Pēc tam, kad SCHUFA bija sagatavojusi un kādai kredītiestādei nodevusi negatīvu informāciju par personu OQ, šī kredītiestāde atteicās piešķirt OQ aizdevumu. Persona OQ lūdza SCHUFA piešķirt viņai piekļuvi viņas datiem un dzēst datus, kas esot kļūdaini. Tomēr SCHUFA viņu informēja tikai par attiecībā uz viņu aprēķināto score vērtību un vispārīgos vilcienos izklāstīja tās aprēķināšanas kārtību, pārējo informāciju atteikdamās izpaust, aizbildinoties ar komercnoslēpumu.
Pēc tam OQ par SCHUFA iesniedza sūdzību Vācijas uzraudzības iestādei HBDI (
1
), kura to noraidīja, pamatojoties uz to, ka SCHUFA darbība atbilst Vācijas tiesību aktiem, kuros ir reglamentēta ar kredītspēju saistītas varbūtības vērtības izmantošanas kārtība (
2
).
Personas OQ prasību par HBDI lēmumu izskatošā Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) vaicā Tiesai par to, kā interpretēt VDAR (
3
) normas par datu subjekta tiesībām nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana (
4
).
Šajā spriedumā Tiesa pirmo reizi interpretē VDAR normas, kas reglamentē delikāto jautājumu par lēmumiem, kuru pamatā ir tikai automatizēta datu apstrāde. Šajā kontekstā tā lemj par to, vai kredītinformācijas biroja automatizēti veikta par personas kredītspēju liecinošas varbūtības vērtības iegūšana ir automatizēts individuāls lēmums un tādējādi ietilpst šo tiesību normu piemērošanas jomā.
Tiesas vērtējums
Vispirms Tiesa konstatē, ka šajā gadījumā ir izpildīti trīs kumulatīvie nosacījumi tam, lai būtu piemērojamas VDAR normas, kas reglamentē personas tiesības nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana.
Attiecībā uz pirmo nosacījumu par lēmuma esamību Tiesa precizē, ka jēdziens “lēmums” ir tvēruma ziņā plašs un var ietvert personas kredītspējas aprēķina rezultātu, kas izteikts kā varbūtības vērtība attiecībā uz šīs personas spēju pildīt maksājumu saistības nākotnē.
Attiecībā uz otro nosacījumu, ka lēmumam ir jābūt tādam, “kura pamatā ir tikai automatizēta apstrāde, tostarp profilēšana”, Tiesas ieskatā, nav strīda par to, ka attiecīgās sabiedrības darbība atbilst “profilēšanas” (
5
) definīcijai un tādējādi šis nosacījums šajā gadījumā ir izpildīts. Turklāt iesniedzējtiesa skaidri norāda, ka runa ir par tādas varbūtības vērtības automatizētu iegūšanu, kas ir balstīta uz kādas personas datiem un attiecas uz tās spēju nākotnē pildīt no aizdevuma izrietošas saistības.
Attiecībā uz trešo nosacījumu, ka lēmumam ir jārada “tiesiskās sekas” attiecībā uz konkrēto personu vai šī persona “līdzīgā veidā ievērojami [jā]ietekmē”, Tiesa norāda, ka šajā gadījumā trešā persona, kurai tiek nodota varbūtības vērtība, šai vērtībai piešķir “izšķirošu nozīmi”. Proti, nepietiekama varbūtības vērtība gandrīz visos gadījumos izraisa atteikumu piešķirt aizdevumu. Tādējādi šī vērtība vismaz būtiski ietekmē datu subjektu.
Tiesa no tā secina, ka gadījumā, ja varbūtības vērtībai, ko ieguvis kredītinformācijas birojs un kura tiek paziņota bankai, ir izšķiroša nozīme kredīta piešķiršanā, šīs vērtības iegūšana pati par sevi ir kvalificējama kā lēmums, kas datu subjektam rada “tiesiskās sekas vai [to] līdzīgā veidā ievērojami ietekmē” (
6
).
Turpinājumā Tiesa uzsver, ka šī interpretācija un it īpaši jēdziena “lēmums” plašais tvērums pastiprina VDAR paredzēto efektīvo aizsardzību. Turpretim šaura interpretācija – saskaņā ar kuru varbūtības vērtības iegūšana jāuzskata tikai par sagatavojošu aktu un tikai trešās personas pieņemts akts attiecīgā gadījumā var tikt kvalificēts kā “lēmums” – radītu robu tiesiskajā aizsardzībā. Proti, šajā gadījumā uz šādas vērtības iegūšanu neattiektos VDAR paredzētās īpašās prasības (
7
), lai gan šī procedūra ir balstīta uz automatizētu apstrādi un rada sekas, kas būtiski ietekmē datu subjektu, jo trešā persona, kurai tiek nodota šī varbūtības vērtība, šai vērtībai piešķir izšķirošu nozīmi.
Turklāt, pirmkārt, datu subjekts nevarētu attiecībā pret varbūtības vērtību iegūstošo kredītinformācijas biroju atsaukties uz savām tiesībām piekļūt specifiskajai informācijai (
8
), ja nebūtu uzskatāms, ka šis uzņēmums ir pieņēmis automatizētu lēmumu. Otrkārt, pat pieņemot, ka trešās personas veiktā darbība savukārt ietilpst to VDAR normu piemērošanas jomā, kuras attiecas uz personas tiesībām nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, šī trešā persona nespētu sniegt šo specifisko informāciju tāpēc, ka tās rīcībā šīs informācijas parasti nav.
Visbeidzot, Tiesa norāda, ka no apstākļa, ka varbūtības vērtības iegūšana ietilpst to VDAR normu piemērošanas jomā, kuras attiecas uz personas tiesībām nebūt tāda lēmuma subjektam, kura pamatā ir tikai automatizēta apstrāde, izriet, ka šī iegūšana ir aizliegta, ja vien nav piemērojams kāds no izņēmumiem un ievērotas VDAR paredzētās īpašās prasības.
Turklāt ikvienai personas datu apstrādei ir jābūt gan atbilstīgai VDAR noteiktajiem datu apstrādes principiem, gan – ņemot vērā it īpaši apstrādes likumīguma principu – jāatbilst vienam no likumīguma nosacījumiem.
Šajā kontekstā Tiesa norāda, ka iesniedzējtiesa atsaucas uz izņēmumu, saskaņā ar kuru lēmuma pieņemšana, pamatojoties vienīgi uz automatizētu apstrādi, var tikt atļauta, ja tas ir paredzēts dalībvalsts tiesībās. Šajā ziņā tā precizē, ka šai tiesai ir jāpārbauda, vai valsts tiesību akti, kuros ir reglamentēta ar maksātspēju saistītas varbūtības vērtības izmantošanas kārtība, ir kvalificējami kā juridiskais pamats, kas ļauj pieņemt šādu lēmumu, un, ja tas tā ir, vai šajā gadījumā ir izpildīti ar šo izņēmumu saistītie nosacījumi un VDAR paredzētie nosacījumi attiecībā uz apstrādes principiem.
(
1
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs, Vācija).
(
2
)	2017. gada 30. jūnijaBundesdatenschutzgesetz (Datu aizsardzības likums; BGBl. I, 2097. lpp.) 31. pants.
(
3
)	Eiropas Parlamenta un Padomes Regula (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; un kļūdu labojums OV 2018, L 127, 2. lpp.; turpmāk tekstā – “VDAR”).
(
4
)	VDAR 22. pants.
(
5
)	VDAR 4. panta 4. punkta izpratnē.
(
6
)	VDAR 22. panta 1. punkta izpratnē.
(
7
)	Konkrēti prasības, kas noteiktas VDAR 22. panta 2.–4. punktā. No šīm tiesību normām izriet, ka aizliegumam pieņemt individuālu lēmumu, kura pamatā ir tikai automatizēta apstrāde, ir paredzēti trīs izņēmumi, kas pakārtoti papildu garantijām. Proti, šāds lēmums ir pieļaujams, ja tas ir vai nu vajadzīgs, lai noslēgtu vai izpildītu līgumu starp datu subjektu un datu pārzini, vai atļauts saskaņā ar Savienības vai dalībvalsts tiesību aktiem, kuri ir piemērojami pārzinim, vai pamatots ar datu subjekta nepārprotamu piekrišanu, ja vien ir veikti atbilstīgi pasākumi datu subjekta tiesību un brīvību, kā arī leģitīmo interešu aizsardzībai.
(
8
)	Kas minēta VDAR 15. panta 1. punkta h) apakšpunktā, kas automatizētas lēmuma pieņemšanas gadījumā datu subjektam piešķir plašas piekļuves tiesības.