62021CJ0634_RES
Υπόθεση C‑634/21
OQ
κατά
Land Hessen
(αίτηση του Verwaltungsgericht Wiesbaden για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (πρώτο τμήμα) της 7ης Δεκεμβρίου 2023
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 22 – Αυτοματοποιημένη ατομική απόφαση – Ιδιωτικά γραφεία οικονομικών πληροφοριών – Αυτοματοποιημένη παραγωγή τιμής πιθανότητας σχετικά με τη μελλοντική ικανότητα προσώπου να ανταποκριθεί σε υποχρεώσεις πίστωσης (“scoring”) – Χρησιμοποίηση της τιμής πιθανότητας από τρίτους»
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Ένδικα μέσα ή βοηθήματα – Ένδικη προσφυγή κατά απόφασης επί καταγγελίας η οποία εκδόθηκε από εποπτική αρχή – Δικαστικός έλεγχος – Περιεχόμενο – Όρια – Δεν χωρεί
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 78 § 1)
(βλ. σκέψη 34)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα του υποκειμένου των δεδομένων να μην υπόκειται σε απόφαση λαμβανόμενη αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας – Αυτοματοποιημένη ατομική απόφαση – Έννοια – Αυτοματοποιημένος προσδιορισμός, από γραφείο οικονομικών πληροφοριών, μιας τιμής πιθανότητας σχετικής με τη φερεγγυότητα ενός προσώπου, η οποία χρησιμοποιείται από τρίτους – Εμπίπτει – Προϋποθέσεις
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογική σκέψη 71 και άρθρα 4, σημείο 4, και 22 § 1)
(βλ. σκέψεις 43, 46-50, 60-63, 73, και διατακτ.)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα του υποκειμένου των δεδομένων να μην υπόκειται σε απόφαση λαμβανόμενη αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας – Εξαιρέσεις – Έκδοση απόφασης η οποία βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία και επιτρέπεται από το δίκαιο κράτους μέλους – Υποχρέωση τήρησης των όρων και απαιτήσεων που προβλέπει ο εν λόγω κανονισμός – Υποχρέωση του εθνικού δικαστηρίου να προβεί σε εξακρίβωση
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογική σκέψη 71 και άρθρα 5, 6 και 22 §§ 2 έως 4)
(βλ. σκέψεις 53-55, 64, 67-70, 72)
Σύνοψη
Η Schufa Holding AG, ιδιωτική εταιρία γερμανικού δικαίου, παρέχει στους αντισυμβαλλομένους της πληροφορίες σχετικά με τη φερεγγυότητα προσώπων. Προς τον σκοπό αυτό, αποδίδει σε κάθε πρόσωπο μια τιμή («score») την οποία προσδιορίζει βάσει ορισμένων χαρακτηριστικών του εν λόγω προσώπου, τα οποία προκύπτουν από μαθηματικές και στατιστικές διαδικασίες. Ο προσδιορισμός βαθμολογιών χρησιμεύει για την πρόβλεψη της μελλοντικής συμπεριφοράς ενός προσώπου, όπως η αποπληρωμή δανείου, με βάση την κατάταξή του σε ομάδα άλλων προσώπων τα οποία έχουν παρόμοια χαρακτηριστικά.
Πιστωτικό ίδρυμα απέρριψε αίτηση χορήγησης δανείου που είχε υποβάλει η OQ, αφού προηγουμένως η SCHUFA διαβίβασε στο εν λόγω ίδρυμα αρνητικές πληροφορίες που αφορούσαν την OQ. Η OQ ζήτησε από τη SCHUFA να της παράσχει πρόσβαση στα δεδομένα που την αφορούσαν και να διαγράψει τα προβαλλόμενα ως εσφαλμένα δεδομένα. Ωστόσο, η Schufa της κοινοποίησε μόνο τη βαθμολογία της και εξέθεσε, σε γενικές γραμμές, τον τρόπο υπολογισμού της βαθμολογίας, επικαλούμενη, κατά τα λοιπά, το επιχειρηματικό απόρρητο.
Στη συνέχεια, η OQ υπέβαλε καταγγελία κατά της SCHUFA ενώπιον του HBDI (
1
), της γερμανικής εποπτικής αρχής, η οποία απορρίφθηκε με την αιτιολογία ότι η δραστηριότητα της SCHUFA ήταν σύμφωνη με τη γερμανική νομοθεσία που διέπει τον τρόπο χρήσης μιας τιμής πιθανότητας σχετικής με τη φερεγγυότητα (
2
).
Επιληφθέν προσφυγής την οποία άσκησε η OQ κατά της απόφασης του HBDI, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden, Γερμανία) ζήτησε από το Δικαστήριο να ερμηνεύσει τις διατάξεις του ΓΚΠΔ (
3
) σχετικά με το δικαίωμα του υποκειμένου των δεδομένων να μην υπόκειται σε απόφαση λαμβανόμενη αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ (
4
).
Με την απόφασή του, το Δικαστήριο ερμηνεύει για πρώτη φορά τις διατάξεις του ΓΚΠΔ σχετικά με τον ευαίσθητο τομέα των αποφάσεων που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία δεδομένων. Στο πλαίσιο αυτό, αποφαίνεται επί του ζητήματος αν ο αυτοματοποιημένος προσδιορισμός, από γραφείο οικονομικών πληροφοριών, μιας τιμής πιθανότητας σχετικής με τη φερεγγυότητα ενός προσώπου συνιστά αυτοματοποιημένη ατομική απόφαση και, ως εκ τούτου, αν εμπίπτει στο πεδίο εφαρμογής των εν λόγω διατάξεων.
Εκτίμηση του Δικαστηρίου
Κατ’ αρχάς, το Δικαστήριο διαπιστώνει ότι πληρούνται εν προκειμένω οι τρεις σωρευτικές προϋποθέσεις εφαρμογής των διατάξεων του ΓΚΠΔ που διέπουν το δικαίωμα του προσώπου να μην υπόκειται σε απόφαση λαμβανόμενη αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ.
Όσον αφορά την πρώτη προϋπόθεση, σχετικά με την ύπαρξη απόφασης, το Δικαστήριο διευκρινίζει ότι η έννοια «απόφαση» έχει ευρύ περιεχόμενο και μπορεί να περιλαμβάνει το αποτέλεσμα του υπολογισμού της φερεγγυότητας ενός προσώπου υπό τη μορφή τιμής πιθανότητας όσον αφορά τη μελλοντική ικανότητα του προσώπου αυτού να ανταποκριθεί σε υποχρεώσεις πίστωσης.
Όσον αφορά τη δεύτερη προϋπόθεση, σύμφωνα με την οποία η απόφαση πρέπει να «λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ», δεν αμφισβητείται, κατά το Δικαστήριο, ότι η δραστηριότητα της επίμαχης εταιρίας εμπίπτει στον ορισμό της «κατάρτισης προφίλ» (
5
) και ότι, ως εκ τούτου, πληρούται εν προκειμένω η συγκεκριμένη προϋπόθεση. Επιπλέον, το αιτούν δικαστήριο κάνει ρητή μνεία στο ότι επίμαχο είναι εν προκειμένω το ζήτημα του αυτοματοποιημένου υπολογισμού μιας τιμής πιθανότητας στηριζόμενης σε δεδομένα προσωπικού χαρακτήρα που αφορούν ένα πρόσωπο και σχετίζονται με τη μελλοντική ικανότητα του προσώπου να ανταποκριθεί σε υποχρεώσεις πίστωσης.
Όσον αφορά την τρίτη προϋπόθεση, σύμφωνα με την οποία η απόφαση πρέπει να παράγει «έννομα αποτελέσματα» όσον αφορά το οικείο πρόσωπο ή να το επηρεάζει «σημαντικά με παρόμοιο τρόπο», το Δικαστήριο επισημαίνει ότι, εν προκειμένω, η ενέργεια του τρίτου στον οποίο διαβιβάζεται η τιμή πιθανότητας υπαγορεύεται «κατά τρόπο καθοριστικό» από την τιμή αυτή. Πράγματι, μια μη ικανοποιητική τιμή πιθανότητας συνεπάγεται, σε όλες σχεδόν τις περιπτώσεις, την απόρριψη αιτήματος χορήγησης δανείου. Επομένως, η τιμή αυτή επηρεάζει, κατ’ ελάχιστον, σημαντικά το υποκείμενο των δεδομένων.
Το Δικαστήριο καταλήγει στο συμπέρασμα ότι, όταν η τιμή πιθανότητας, η οποία υπολογίζεται από γραφείο οικονομικών πληροφοριών και διαβιβάζεται σε τράπεζα, έχει καθοριστική σημασία για τη χορήγηση πίστωσης, πρέπει αυτός καθεαυτόν ο προσδιορισμός της τιμής πιθανότητας να θεωρηθεί ως απόφαση η οποία παράγει έναντι του υποκειμένου των δεδομένων «έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο» (
6
).
Εν συνεχεία, το Δικαστήριο υπογραμμίζει ότι η ερμηνεία αυτή, και ιδίως το ευρύ περιεχόμενο της έννοιας της «απόφασης», ενισχύει την αποτελεσματική προστασία την οποία προβλέπει ο ΓΚΠΔ. Αντιθέτως, μια συσταλτική ερμηνεία, σύμφωνα με την οποία ο προσδιορισμός της τιμής πιθανότητας θα έπρεπε να θεωρείται απλώς ως προπαρασκευαστική πράξη, ενώ ως απόφαση θα μπορούσε, κατά περίπτωση, να θεωρηθεί μόνον η πράξη την οποία εκδίδει ο τρίτος, θα επέφερε κενό στην έννομη προστασία. Συγκεκριμένα, σε μια τέτοια περίπτωση, ο προσδιορισμός της τιμής αυτής θα εξέφευγε των ειδικών απαιτήσεων που τάσσει ο ΓΚΠΔ (
7
), μολονότι η εν λόγω διαδικασία στηρίζεται σε αυτοματοποιημένη επεξεργασία και παράγει αποτελέσματα που επηρεάζουν σημαντικά το υποκείμενο των δεδομένων, καθόσον οι ενέργειες του τρίτου, στον οποίο διαβιβάζεται αυτή η τιμή πιθανότητας, υπαγορεύονται κατά τρόπο καθοριστικό από τη συγκεκριμένη τιμή.
Επιπλέον, αφενός, το υποκείμενο των δεδομένων δεν θα μπορούσε να επικαλεστεί, έναντι του γραφείου οικονομικών πληροφοριών το οποίο προσδιορίζει την τιμή πιθανότητας που αφορά το οικείο πρόσωπο, το δικαίωμά του για παροχή πρόσβασης στις συγκεκριμένες πληροφορίες (
8
) αν δεν είχε προηγηθεί αυτοματοποιημένη λήψη αποφάσεων από το γραφείο αυτό. Αφετέρου, ακόμη και αν υποτεθεί ότι η πράξη που εκδίδει ο τρίτος εμπίπτει στις διατάξεις του ΓΚΠΔ που αφορούν το δικαίωμα του προσώπου να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, ο τρίτος δεν θα ήταν σε θέση να παράσχει τις συγκεκριμένες αυτές πληροφορίες διότι, κατά κανόνα, δεν τις έχει στη διάθεσή του.
Τέλος, το Δικαστήριο επισημαίνει ότι το γεγονός ότι ο προσδιορισμός τιμής πιθανότητας εμπίπτει στο πεδίο εφαρμογής του ΓΚΠΔ που ρυθμίζει το δικαίωμα του προσώπου να μην υπόκειται σε απόφαση λαμβανόμενη αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, έχει ως συνέπεια ότι απαγορεύεται ο προσδιορισμός αυτός, εκτός αν έχει εφαρμογή μία από τις εξαιρέσεις και τηρούνται οι ειδικές απαιτήσεις του ΓΚΠΔ.
Επιπλέον, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, αφενός, να είναι σύμφωνη προς τις αρχές που διέπουν την επεξεργασία των δεδομένων, οι οποίες διατυπώνονται στον ΓΚΠΔ, και, αφετέρου, λαμβανομένης ιδίως υπόψη της αρχής της νομιμότητας της επεξεργασίας να πληροί μία από τις προϋποθέσεις νομιμότητας.
Στο πλαίσιο αυτό, το Δικαστήριο επισημαίνει ότι το αιτούν δικαστήριο κάνει ρητή μνεία στην εξαίρεση σύμφωνα με την οποία η έκδοση της απόφασης που στηρίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία μπορεί να επιτραπεί όταν τούτο προβλέπεται από το δίκαιο του κράτους μέλους. Συναφώς, διευκρινίζει ότι εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει αν η εθνική νομοθεσία που ρυθμίζει τον τρόπο με τον οποίο γίνεται χρήση μιας τέτοιας σχετικής με τη φερεγγυότητα τιμής πιθανότητας μπορεί να αποτελέσει νομική βάση επιτρέπουσα την έκδοση τέτοιας απόφασης και, σε περίπτωση καταφατικής απάντησης, αν πληρούνται εν προκειμένω οι προβλεπόμενες από τον ΓΚΠΔ προϋποθέσεις της εξαίρεσης αυτής και οι σχετικές με τις αρχές που διέπουν την επεξεργασία προϋποθέσεις.
(
1
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Επίτροπος προστασίας δεδομένων και ελεύθερης πληροφόρησης του ομόσπονδου κράτους της Έσσης, Γερμανία).
(
2
)	Άρθρο 31 του Bundesdatenschutzgesetz (ομοσπονδιακού νόμου περί προστασίας δεδομένων), της 30ής Ιουνίου 2017 (BGBl. I, σ. 2097).
(
3
)	Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικό ΕΕ 2018, L 127, σ. 2, στο εξής: ΓΚΠΔ).
(
4
)	Άρθρο 22 του ΓΚΠΔ.
(
5
)	Κατά την έννοια του άρθρου 4, σημείο 4, του ΓΚΠΔ.
(
6
)	Κατά την έννοια του άρθρου 22, παράγραφος 1, του ΓΚΠΔ.
(
7
)	Κατά το άρθρο 22, παράγραφοι 2 έως 4, του ΓΚΠΔ. Από τις διατάξεις αυτές προκύπτει ότι η απαγόρευση ατομικής απόφασης που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας συνοδεύεται από τρεις εξαιρέσεις, οι οποίες περιβάλλονται από πρόσθετες εγγυήσεις. Επομένως, μια τέτοια απόφαση γίνεται δεκτή όταν είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας, εφόσον επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας ή όταν βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων, υπό τον όρο ότι προβλέπονται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.
(
8
)	Κατά το άρθρο 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, το οποίο, σε περίπτωση αυτοματοποιημένης λήψης αποφάσεων, παρέχει στο υποκείμενο των δεδομένων ευρύ δικαίωμα πρόσβασης.