62021CJ0634_RES
Zaak C‑634/21
OQ
tegen
Land Hessen
(verzoek om een prejudiciële beslissing, ingediend door het Verwaltungsgericht Wiesbaden)
Arrest van het Hof (Eerste kamer) van 7 december 2023
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 22 – Geautomatiseerde individuele besluitvorming – Kredietinformatiebureaus – Geautomatiseerde vaststelling van een waarschijnlijkheidswaarde voor het vermogen van een persoon om in de toekomst aan zijn betalingsverplichtingen te voldoen (‚scoring’) – Gebruik door derden van deze waarschijnlijkheidswaarde”
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Rechtsmiddelen – Voorziening in rechte tegen een besluit van een toezichthoudende autoriteit op een klacht – Rechterlijke toetsing – Omvang – Grenzen – Geen
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 78, lid 1)
(zie punt 34)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht van de betrokkene om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit – Geautomatiseerde individuele besluitvorming – Begrip – Geautomatiseerde vaststelling door een kredietinformatiebureau van de door derden gebruikte waarschijnlijkheidswaarde voor de solvabiliteit van een persoon – Daaronder begrepen – Voorwaarden
(Verordening 2016/679 van het Europees Parlement en de Raad, overweging 71 en art. 4, punt 4, en 22, lid 1)
(zie punten 43, 46‑50, 60‑63, 73 en dictum)
Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht van de betrokkene om niet te worden onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit – Uitzonderingen – Door het recht van een lidstaat toegestane vaststelling van een uitsluitend op geautomatiseerde verwerking gebaseerd besluit – Verplichting om te voldoen aan de in voornoemde verordening vastgestelde voorwaarden en vereisten – Door de nationale rechterlijke instantie te verrichten verificatie
(Verordening 2016/679 van het Europees Parlement en de Raad, overweging 71 en art. 5, 6 en 22, leden 2‑4)
(zie punten 53‑55, 64, 67‑70, 72)
Samenvatting
SCHUFA Holding AG, een privaatrechtelijke vennootschap naar Duits recht, verstrekt aan haar contractuele partners informatie over de kredietwaardigheid van personen. Daartoe kent zij aan elke betrokkene een waarde („score”) toe op basis van bepaalde kenmerken van die persoon en aan de hand van een wiskundig-statistische methode. Deze score strekt ertoe het toekomstig gedrag van een persoon te voorspellen, zoals de terugbetaling van een lening, op basis van zijn indeling bij een groep van andere personen met vergelijkbare kenmerken.
Nadat SCHUFA betreffende OQ negatieve informatie had opgesteld en doorgegeven aan een kredietinstelling, heeft deze instelling haar een lening geweigerd. OQ heeft SCHUFA verzocht om haar toegang te verlenen tot de haar betreffende gegevens en om de beweerdelijk onjuiste gegevens te wissen. SCHUFA heeft echter slechts haar score en, in het algemeen, de wijze waarop haar score werd berekend, meegedeeld, en heeft zich voor het overige op het zakengeheim beroepen.
Vervolgens heeft OQ tegen SCHUFA een klacht ingediend bij de HBDI (
1
), de Duitse toezichthoudende autoriteit, die deze klacht heeft afgewezen omdat de activiteiten van SCHUFA in overeenstemming waren met de Duitse wetgeving inzake het gebruik van een waarschijnlijkheidswaarde voor de solvabiliteit (
2
).
Het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) – bij wie OQ een beroep tegen het besluit van de HBDI heeft ingesteld – heeft het Hof verzocht om uitlegging van de bepalingen van de AVG (
3
) die betrekking hebben op het recht van de betrokkene om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit (
4
).
In het arrest van het Hof worden voor het eerst de bepalingen van de AVG uitgelegd die betrekking hebben op het gevoelige gebied van de uitsluitend op geautomatiseerde verwerking gebaseerde besluiten. In dit verband spreekt het zich uit over de vraag of de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde voor de solvabiliteit van een persoon door een kredietinformatiebureau een geautomatiseerd individueel besluit vormt en derhalve binnen de werkingssfeer van deze bepalingen valt.
Beoordeling door het Hof
Om te beginnen stelt het Hof vast dat in casu is voldaan aan de drie cumulatieve toepassingsvoorwaarden van de AVG die betrekking hebben op het recht van de betrokkene om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit.
Wat de eerste voorwaarde betreft, inzake het bestaan van een besluit, preciseert het Hof dat het begrip „besluit” een ruime strekking heeft en kan zien op het resultaat van de solvabiliteitsberekening van een persoon in de vorm van een waarschijnlijkheidswaarde voor het vermogen van die persoon om in de toekomst betalingsverplichtingen na te komen.
Wat de tweede voorwaarde betreft, volgens welke het besluit „uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd” moet zijn, staat het volgens het Hof vast dat de activiteit van de betrokken onderneming beantwoordt aan de definitie van het begrip „profilering” (
5
) en dat in het onderhavige geval dus aan deze voorwaarde is voldaan. Bovendien vermeldt de verwijzende rechter uitdrukkelijk dat er sprake is van de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst een lening af te lossen.
Wat de derde voorwaarde betreft, volgens welke aan het besluit „rechtsgevolgen” moeten verbonden zijn voor de betrokkene, of het besluit hem „anderszins in aanmerkelijke mate” moet treffen, merkt het Hof op dat in het onderhavige geval de handelwijze van de derde aan wie de waarschijnlijkheidswaarde wordt doorgegeven, „hoofdzakelijk” door die waarde wordt bepaald. Een ontoereikende waarschijnlijkheidswaarde leidt er immers in bijna alle gevallen toe dat een lening wordt geweigerd. Derhalve treft die waarde de betrokkene op zijn minst in aanmerkelijke mate.
Het Hof leidt daaruit af dat wanneer de waarschijnlijkheidswaarde die door een kredietinformatiebureau is vastgesteld en aan een bank is doorgegeven, een beslissende rol speelt bij het verlenen van een krediet, de vaststelling van die waarde derhalve als zodanig moet worden aangemerkt als een besluit „waaraan voor [de betrokkene] rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft” (
6
).
Vervolgens onderstreept het Hof dat die uitlegging, en in het bijzonder de ruime strekking van het begrip „besluit”, de door de AVG bedoelde effectieve bescherming versterkt. Daarentegen zou een restrictieve interpretatie, volgens welke de vaststelling van de waarschijnlijkheidswaarde slechts als een voorbereidende handeling moet worden beschouwd en alleen de door de derde partij vastgestelde handeling, in voorkomend geval, als een „besluit” kan worden aangemerkt, leiden tot een lacune in de rechtsbescherming. In dat geval zou de vaststelling van een dergelijke waarde namelijk ontsnappen aan de specifieke voorschriften van de AVG (
7
), ook al berust deze procedure op een geautomatiseerde verwerking en heeft zij gevolgen die de betrokkene in aanmerkelijke mate treffen, aangezien de handelwijze van de derde aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, hoofdzakelijk door deze waarde wordt bepaald.
Bovendien zou, enerzijds, de betrokkene zijn recht van inzage van specifieke informatie niet kunnen doen gelden bij het kredietinformatiebureau dat de hem betreffende waarschijnlijkheidswaarde vaststelt (
8
), wanneer dat bureau geen geautomatiseerde besluitvorming heeft verricht. Anderzijds, gesteld al dat de door de derde vastgestelde handeling onder de bepalingen van de AVG vallen die betrekking hebben op het recht van de betrokkene om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit, dan nog kan deze derde die specifieke informatie niet verstrekken omdat hij er meestal niet over beschikt.
Ten slotte merkt het Hof op dat het feit dat de vaststelling van een waarschijnlijkheidswaarde onder de bepalingen van het AVG valt die betrekking hebben op het recht van de betrokkene om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit, tot gevolg heeft dat deze vaststelling verboden is, tenzij een van de uitzonderingen van toepassing is en aan de specifieke voorschriften van de AVG is voldaan.
Bovendien moet elke verwerking van persoonsgegevens, ten eerste, voldoen aan de in de AVG verankerde beginselen inzake gegevensverwerking en moet zij, ten tweede – in het bijzonder gelet op het beginsel dat de verwerking rechtmatig is – beantwoorden aan een van de voorwaarden inzake de rechtmatigheid van de verwerking.
In deze context merkt het Hof op dat de verwijzende rechter wijst op de uitzondering volgens welke de vaststelling van de aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit kan worden toegestaan mits het recht van de lidstaat daarin voorziet. In dit opzicht verduidelijkt het Hof dat het aan die rechter staat om te verifiëren of de nationale wetgeving inzake het gebruik van een waarschijnlijkheidswaarde voor de solvabiliteit kan worden aangemerkt als een rechtsgrond op grond waarvan een dergelijk besluit mag worden vastgesteld en, zo dit het geval is, of in casu is voldaan aan de voorwaarden voor deze uitzondering en aan de voorwaarden inzake de beginselen die van toepassing zijn op de verwerking, zoals neergelegd in de AVG.
(
1
)	Hessische Beauftragte für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, deelstaat Hessen, Duitsland).
(
2
)	§ 31 van het Bundesdatenschutzgesetz (Duitse wet betreffende de gegevensbescherming) van 30 juni 2017 (BGBl. I, blz. 2097).
(
3
)	Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
(
4
)	Artikel 22 AVG.
(
5
)	In de zin van artikel 4, punt 4, AVG.
(
6
)	In de zin van artikel 22, lid 1, AVG.
(
7
)	In de zin van artikel 22, leden 2 tot en met 4, AVG. Uit die bepalingen blijkt dat er op het verbod van een individueel besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd, drie uitzonderingen bestaan, die vergezeld gaan van aanvullende garanties. Aldus is een dergelijk besluit mogelijk indien het noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, indien het is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is, of indien het besluit berust op de uitdrukkelijke toestemming van de betrokkene, mits er passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene zijn getroffen.
(
8
)	In de zin van artikel 15, lid 1, onder h), AVG, dat in het geval van geautomatiseerde besluitvorming een uitgebreid recht van inzage aan de betrokkene toekent.