62022CJ0026_RES
Yhdistetyt asiat C-26/22 ja C-64/22
UFjaAB
vastaan
Land Hessen
(Ennakkoratkaisupyyntö - Verwaltungsgericht Wiesbaden)
Unionin tuomioistuimen tuomio (ensimmäinen jaosto) 7.12.2023
Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) N:o 2016/679 – 5 artiklan 1 kohdan a alakohta – Lainmukaisuuden periaate – 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta – Käsittelyn tarpeellisuus rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi – 17 artiklan 1 kohdan d alakohta – Oikeus tietojen poistamiseen silloin, kun henkilötietoja on käsitelty lainvastaisesti – 40 artikla – Käytännesäännöt – 78 artiklan 1 kohta – Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan – Kantelun johdosta tehty valvontaviranomaisen päätös – Tähän päätökseen kohdistuvan tuomioistuinvalvonnan laajuus – Luottotietopalveluja tarjoavat yritykset – Julkisesta rekisteristä saatujen henkilön jäännösveloista vapauttamista koskevien tietojen säilyttäminen – Tietojen säilytysaika
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Muutoksenhakukeinot – Kantelun johdosta tehtyä valvontaviranomaisen päätöstä koskeva oikeussuojakeino – Tuomioistuinvalvonta – Ulottuvuus – Rajat – Ei ole
(Euroopan unionin perusoikeuskirjan 8 artiklan 3 kohta ja 47 artikla; Euroopan parlamentin ja neuvoston asetuksen 2016/679 johdanto-osan 141 ja 143 perustelukappale sekä 52 artikla, 78 artiklan 1 kohta ja 79 artiklan 1 kohta)
(ks. 50 – 53, 58, 59, 62 ja 67–70 kohta sekä tuomiolauselman 1 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi tarpeellinen käsittely – Yksityisen yhtiön toimintaa, joka muodostuu luottotietojen tarjoamisesta sen sopimuskumppaneille näiden mahdollisten asiakkaiden luottokelpoisuuden arviointia varten, varten tarpeellinen käsittely – Julkisesta rekisteristä saatujen henkilön jäännösveloista vapauttamista koskevien tietojen järjestelmällinen säilyttäminen – Julkisissa rekistereissä tapahtuvalle tietojen säilyttämiselle asetettua määräaikaa pidempi säilytysaika – Ei voida hyväksyä
(Euroopan unionin perusoikeuskirjan 7 ja 8 artikla; Euroopan parlamentin ja neuvoston direktiivin 2015/848 johdanto-osan 76 perustelukappale ja 79 artiklan 4 ja 5 kohta sekä Euroopan parlamentin ja neuvoston asetuksen 2016/679 5 artiklan 1 kohdan a alakohta ja 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta)
(Ks. 75, 83, 88-100 ja 113 kohta sekä tuomiolauselman 2 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Henkilötietojen käsittelyn lainmukaisuuden edellytykset – Rekisterinpitäjiä tai henkilötietojen käsittelijöitä edustavan yhdistyksen laatimat ja toimivaltaisen valvontaviranomaisen hyväksymät käytännesäännöt – Käytännesäännöt, joissa vahvistetaan käsittelyn lainmukaisuuden edellytykset, jotka eivät vastaa asetuksessa 2016/679 asetettuja edellytyksiä – Ei oteta huomioon
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta ja 40 artiklan 1, 2 ja 5 kohta)
(ks. 101–105 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeus tietojen poistamiseen – Laajuus – Henkilötietojen lainvastainen käsittely – Kuuluu soveltamisalaan
(Euroopan parlamentin ja neuvoston direktiivin 2016/679 17 artiklan 1 kohdan d alakohta)
(ks. 107, 108 ja 113 kohta sekä tuomiolauselman 4 kohta)
Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus 2016/679 – Oikeus tietojen poistamiseen – Laajuus – Rekisteröidyn oikeus vastustaa henkilötietojen käsittelyä – Kuuluu soveltamisalaan – Poikkeus – Tämän henkilön edut ja oikeudet syrjäyttävien ensisijaisten perusteltujen syiden olemassaolo – Rekisterinpitäjän näyttötaakka
(Euroopan parlamentin ja neuvoston asetuksen 2016/679 17 artiklan 1 kohdan c alakohta ja 21 artiklan 1 kohta)
(ks. 109–113 kohta ja tuomiolauselman 3 kohta)
Tiivistelmä
Saksan oikeuden mukaan perustettu yksityinen yritys SCHUFA Holding AG tallentaa omiin tietokantoihinsa julkisista rekistereistä lähtöisin olevia tietoja, joihin kuuluu muun muassa jäännösveloista vapauttamista koskevia tietoja, ja säilyttää niitä ja toimittaa niitä tarvittaessa sopimuskumppaneilleen. Se poistaa kyseiset tiedot kolmen vuoden kuluttua niiden tallentamisesta luottotietopalveluja tarjoavia yrityksiä edustavan yhdistyksen Saksassa laatimien käytännesääntöjen mukaisesti.
Saatuaan päätökset, joilla heidät vapautettiin jäännösveloista ennen määräaikaa maksukyvyttömyysmenettelyjen yhteydessä, UF ja AB vaativat SCHUFA:a poistamaan merkinnät näistä päätöksistä. Kyseinen yhtiö kieltäytyi hyväksymästä heidän vaatimuksiaan selittämällä, että Saksan lainsäädännössä (
1
) säädettyä näiden tietojen poistamista koskevaa kuuden kuukauden määräaikaa ei sovelleta siihen.
UF ja AB tekivät kumpikin kantelun SCHUFA:sta toimivaltaiselle valvontaviranomaiselle HBDI:lle (
2
), joka hylkäsi ne sillä perusteella, että SCHUFA:n suorittama tietojenkäsittely oli lainmukaista.
UF ja AB nostivat kumpikin HBDI:n päätöksistä kanteen Verwaltungsgericht Wiesbadenissa (Wiesbadenin hallintotuomioistuin, Saksa), joka pyysi unionin tuomioistuinta tulkitsemaan useita yleisen tietosuoja-asetuksen (
3
) säännöksiä, jotka koskevat muun muassa tietojen käsittelyn tarpeellisuutta oikeutettujen etujen toteuttamiseksi sekä oikeutta tietojen poistamiseen (
4
).
Unionin tuomioistuin toteaa tuomiossaan, että yleinen tietosuoja-asetus (
5
) on esteenä luottotietopalveluja tarjoavien yksityisten yritysten käytännölle, joka muodostuu julkisesta rekisteristä lähtöisin olevien luonnollisten henkilöjen jäännösveloista vapauttamista koskevien tietojen säilyttämisestä näiden yritysten omissa tietokannoissa sen jälkeen, kun kansallisessa lainsäädännössä vahvistettu näiden tietojen säilytysaika tällaisessa rekisterissä on päättynyt. Se lausuu myös rekisteröidyn oikeudesta saada tämä yhtiö poistamaan häntä koskevat tiedot.
Unionin tuomioistuimen arviointi asiasta
Aluksi unionin tuomioistuin muistuttaa, että yleisen tietosuoja-asetuksen mukaan henkilötietojen käsittelyä voidaan pitää lainmukaisena muun muassa silloin, kun kolme kumulatiivista edellytystä täyttyy, eli ensinnäkin tavoitellaan rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua, toiseksi henkilötietojen käsittely on tarpeen oikeutetun edun toteuttamiseksi, ja kolmanneksi henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua (
6
).
Unionin tuomioistuin korostaa ensimmäisestä edellytyksestä, että nyt käsiteltävässä asiassa henkilötietojen käsittely palvelee yksityisen yhtiön taloudellisia etuja, mutta sillä tavoitellaan myös tämän yhtiön sopimuskumppaneiden, joiden on arvioitava niiden henkilöiden luottokelpoisuutta, joiden kanssa ne aikovat tehdä luottoihin liittyviä sopimuksia, perusteltuja etuja ja näin ollen luottoalan etuja yhteiskunnallisella ja taloudellisella tasolla.
Toisen edellytyksen osalta unionin tuomioistuin muistuttaa, että tietojen käsittelyn voidaan katsoa olevan tarpeen ainoastaan sillä edellytyksellä, että käsittely suoritetaan rekisterinpitäjän tai kolmannen osapuolen oikeutetun edun toteuttamiselle täysin välttämättömän rajoissa.
Kolmannesta edellytyksestä unionin tuomioistuin toteaa, että nyt käsiteltävässä asiassa sen ja toisen edellytyksen tarkastelu on päällekkäistä ja edellyttää vastakkaisten oikeuksien ja etujen punnintaa sen arvioimiseksi, voivatko tavoitellut oikeutetut edut olla kohtuudella saavutettavissa näiden tietojen lyhyemmällä säilytysajalla.
Unionin tuomioistuin toteaa näin ollen tavoiteltujen oikeutettujen etujen punninnan osalta, että siltä osin kuin luottotietopalveluja tarjoavien yritysten tekemän arvioinnin avulla voidaan arvioida objektiivisesti ja luotettavasti tämän yrityksen sopimuskumppanien mahdollisten asiakkaiden luottokelpoisuutta, sen avulla voidaan tasapainottaa eroja tietojen määrässä ja näin ollen vähentää petoksen vaaraa sekä muita epävarmuustekijöitä.
Sitä vastoin rekisteröidyn oikeuksista ja eduista unionin tuomioistuin toteaa, että tämän yrityksen suorittamaa jäännösveloista vapauttamista koskevien tietojen käsittelyä, kuten näiden tietojen säilyttämistä, analysointia ja luovuttamista kolmannelle, on pidettävä vakavana puuttumisena rekisteröidyn perusoikeuksiin (
7
). Tällaiset tiedot nimittäin vaikuttavat kielteisesti kyseisen henkilön luottokelpoisuuden arvioinnissa ja ovat näin ollen hänen yksityiselämäänsä koskevia arkaluonteisia tietoja, joiden käsittely voi vahingoittaa huomattavasti hänen etujaan. Lisäksi on niin, että mitä pidempään tällaisia tietoja säilytetään, sitä huomattavammin rekisteröidyn etuihin ja yksityiselämään vaikutetaan ja sitä tiukemmat ovat näiden tietojen säilyttämisen lainmukaisuutta koskevat vaatimukset.
Lisäksi tietojen säilyttämisestä julkisissa maksukyvyttömyysrekistereissä unionin tuomioistuin toteaa, että jäsenvaltiot ovat vastuussa henkilötietojen keräämisestä ja säilyttämisestä kansallisissa tietokannoissa (
8
), ja näin ollen niiden on myös vahvistettava näiden tietojen säilytysaika. Nyt käsiteltävässä asiassa kansallinen lainsäätäjä on katsonut, että kuuden kuukauden määräajan päätyttyä rekisteröidyn oikeudet ja edut syrjäyttävät yleisön oikeudet ja edut saada kyseiset tiedot käyttöönsä.
Jäännösveloista vapauttamisen tarkoituksena on lisäksi antaa vapautuksen saaneelle mahdollisuus osallistua uudelleen talouselämään ja sillä on yleensä ratkaiseva merkitys tälle henkilölle. Tämän tavoitteen saavuttaminen vaarannetaan, jos siihen liittyviä tietoja voidaan säilyttää ja käyttää sen jälkeen, kun ne on poistettu julkisesta maksukyvyttömyysrekisteristä.
Näin ollen unionin tuomioistuin katsoo, että luottoalan edut, jotka koskevat jäännösveloista vapauttamista koskevien tietojen käyttöön saamista, eivät voi oikeuttaa tietojen säilyttämistä tietojen säilyttämiselle julkisessa maksukyvyttömyysrekisterissä asetetun määräajan päätyttyä.
Unionin tuomioistuin lisää, että tietojen säilyttäminen kuuden kuukauden ajan merkitsee myös puuttumista rekisteröidyn perusoikeuksiin. Tältä osin ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, voidaanko katsoa, että yksityisten yhtiöiden toteuttama näiden tietojen samanaikainen säilyttäminen rajoittuu täysin välttämättömään.
Lopuksi käytännesäännöistä, joiden mukaan jäännösveloista vapauttamista koskevat tiedot on poistettava kolmen vuoden määräajan päätyttyä, unionin tuomioistuin huomauttaa, että vaikka tällaisten käytännesääntöjen tarkoituksena on tukea yleisen tietosuoja-asetuksen asianmukaista soveltamista (
9
), niissä vahvistetut henkilötietojen käsittelyn lainmukaisuudelle asetetut edellytykset eivät voi kuitenkaan poiketa yleisessä tietosuoja-asetuksessa säädetyistä edellytyksistä. Näin ollen käytännesääntöjä, jotka johtavat erilaiseen arviointiin kuin yleisen tietosuoja-asetuksen perusteella, ei voida ottaa huomioon.
Toiseksi rekisterinpitäjän velvollisuudesta poistaa henkilötiedot unionin tuomioistuin toteaa yhtäältä, että rekisterinpitäjän on poistettava henkilötiedot silloin, kun niitä on käsitelty lainvastaisesti, kuten nyt käsiteltävässä tilanteessa siten, että kyseinen yhtiö käsittelee tietoja tietojen säilyttämiselle julkisessa maksukyvyttömyysrekisterissä asetetun kuuden kuukauden määräajan päätyttyä (
10
). Toisaalta on niin, että vaikka ennakkoratkaisua pyytänyt tuomioistuin katsoisi, että tietojen käsittely kuuden kuukauden määräaikana on ollut lainmukaista, rekisteröidyllä on oikeus vastustaa tällaista käsittelyä (
11
) ja vaatia häntä koskevien tietojen poistamista, jos kyseinen yhtiö ei näytä toteen ensisijaisia perusteltuja syitä, jotka syrjäyttävät tämän henkilön edut, oikeudet ja vapaudet (
12
).
(
1
)	Internetissä julkaistavista maksukyvyttömyysmenettelyjä koskevista virallisista ilmoituksista 12.2.2002 annetun asetuksen (Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet; BGBl. I, s. 677) 3 §:n 1 momentti.
(
2
)	Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hessenin osavaltion tietosuojavaltuutettu ja tiedonvälityksen vapauden valtuutettu).
(
3
)	Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annettu Euroopan parlamentin ja neuvoston asetus (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1 ja oikaisu EUVL L 127, 23.5.2018, s. 2 (2016/679) sekä oikaisu EUVL L 074, 4.3.2021, s. 35 (2016/679)).
(
4
)	Tämän asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta ja 17 artiklan 1 kohdan c ja d alakohta.
(
5
)	Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohta, luettuna yhdessä 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan kanssa.
(
6
)	Nyt käsiteltävässä asiassa sovellettavan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla.
(
7
)	Nämä oikeudet vahvistetaan Euroopan unionin perusoikeuskirjan 7 ja 8 artiklassa, ja ne ovat oikeus yksityiselämän kunnioittamiseen ja henkilötietojen suojaan.
(
8
)	Maksukyvyttömyysmenettelyistä 20.5.2015 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2015/848 (uudelleenlaadittu) (EUVL 2015, L 141, s. 19) 79 artiklan 4 kohdan mukaan. Kyseisen asetuksen 79 artiklan 5 kohdassa säädetään ainoastaan, että jäsenvaltioiden on ilmoitettava rekisteröidyille aika, jonka maksukyvyttömyysrekistereihin tallennetut henkilötiedot ovat saatavilla, eikä siinä aseteta määräaikaa kyseisten tietojen säilyttämiselle.
(
9
)	Yleisen tietosuoja-asetuksen 40 artiklan 1 ja 2 kohdan nojalla.
(
10
)	Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohdan nojalla.
(
11
)	Yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan nojalla.
(
12
)	Yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c alakohdan nojalla.