62022CC0026
MIŠLJENJE NEZAVISNOG ODVJETNIKA
PRIITA PIKAMÄEA
od 16. ožujka 2023. (
1
)
Spojeni predmeti C‑26/22 i C‑64/22
UF (C‑26/22)
AB (C‑64/22)
protiv
Land Hessen,
uz sudjelovanje:
SCHUFA Holding AG
(zahtjevi za prethodnu odluku koje je uputio Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka))
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (EU) 2016/679 – Članak 6. stavak 1. prvi podstavak točka (f) – Zakonitost obrade – Članak 17. stavak 1. točka (d) – Pravo na brisanje u slučaju nezakonite obrade osobnih podataka – Članak 40. – Kodeksi ponašanja – Članak 77. stavak 1. – Pravo na podnošenje pritužbe – Članak 78. stavak 1. – Pravo na učinkoviti sudski pravni lijek protiv nadzornog tijela – Članci 7. i 8. Povelje Europske unije o temeljnim pravima – Odluka nadzornog tijela o pritužbi – Opseg sudskog nadzora u pogledu te odluke – Privatne agencije za provjeru kreditne sposobnosti – Pohrana podataka iz javnog registra – Legitiman interes – Trajanje pohrane”
I. Uvod
1.
Zahtjevi za prethodnu odluku, koje je Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka) uputio na temelju članka 267. UFEU‑a, odnose se na tumačenje članaka 7. i 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) te članka 6. stavka 1. prvog podstavka točke (f), članka 17. stavka 1. točke (d), članka 40., članka 77. stavka 1. i članka 78. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (
2
) (u daljnjem tekstu: OUZP).
2.
Ti su zahtjevi podneseni u okviru dvaju sporova između, s jedne strane, osobe UF u prvom sporu (predmet C‑26/22) odnosno osobe AB (predmet C‑64/22) u drugom sporu i, s druge strane, Landa Hessen (savezna zemlja Hessen, Njemačka), koji zastupa Hessischer Beauftragte für Datenschutz und Informationsfreiheit (povjerenik za zaštitu podataka i slobodu informiranja savezne zemlje Hessen, u daljnjem tekstu: HBDI) u pogledu zahtjeva koje su osobe UF i AB podnijele HBDI‑ju da ishodi brisanje upisa o otpisu nepodmirenih dugova kod društva SCHUFA Holding AG (u daljnjem tekstu: SCHUFA).
3.
U oba su predmeta istaknuta različita nova pravna pitanja koja se odnose, među ostalim, na pravnu prirodu odluke nadzornog tijela kojem je podnesena pritužba, kao i na opseg sudskog nadzora koji sud može provoditi u okviru tužbe podnesene protiv takve odluke. Predmeti se odnose i na pitanje povezano sa zakonitošću pohrane osobnih podataka iz javnih registara u agencijama za provjeru kreditne sposobnosti.
II. Pravni okvir
A. Pravo Unije
1.
Uredba (EU) 2015/848
4.
U skladu s člankom 79. stavcima 4. i 5. Uredbe (EU) 2015/848 Europskog parlamenta i Vijeća od 20. svibnja 2015. o postupku u slučaju nesolventnosti (
3
):
„4.   Države članice odgovorne su, u skladu s Direktivom 95/46/EZ [Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)], za sakupljanje i pohranu podataka u nacionalnim bazama podataka i za odluke donesene kako bi takvi podaci postali dostupni u međusobno povezanom registru koji se može pretraživati putem europskog portala e‑pravosuđe.
5.   U sklopu informacija koje bi trebalo pružiti [ispitanicima] kako bi im se omogućilo da ostvare svoja prava, a posebno pravo na brisanje podataka, države članice obavješćuju [ispitanike] o razdoblju dostupnosti određenom za osobne podatke pohranjene u registrima nesolventnosti.”
2.
OUZP
5.
Člankom 5. stavkom 1. OUZP‑a određuje se:
„Osobni podaci moraju biti:
[…]
(b)
prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; […] (‚ograničavanje svrhe’);
[…]”
6.
Člankom 6. stavkom 1. te uredbe predviđa se:
„Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
[…]
(f)
obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka […].
[…]”
7.
Člankom 17. stavkom 1. OUZP‑a predviđa se:
„Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:
[…]
(c)
ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. te ne postoje jači legitimni razlozi za obradu, ili ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 2.;
(d)
osobni podaci nezakonito su obrađeni;
[…]”
8.
Člankom 21. stavkom 1. te uredbe određuje se:
„Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.”
9.
U članku 40. navedene uredbe navodi se:
„1.   Države članice, nadzorna tijela, Odbor i Komisija potiču izradu kodeksâ ponašanja koji su namijenjeni pružanju doprinosa ispravnoj primjeni ove Uredbe, uzimajući u obzir posebna obilježja različitih sektora obrade i posebne potrebe mikro, malih i srednjih poduzeća.
2.   Udruženja i druga tijela koja predstavljaju kategorije voditelja obrade ili izvršitelja obrade mogu izraditi kodekse ponašanja ili izmijeniti ili proširiti takve kodekse radi preciziranja primjene ove Uredbe, kao što je u pogledu:
(a)
poštene i transparentne obrade;
(b)
legitimnih interesa voditelj obrade u posebnim kontekstima;
(c)
prikupljanja osobnih podataka;
[…]
5.   Udruženja i druga tijela iz stavka 2. ovog članka koji namjeravaju izraditi kodeks ponašanja ili izmijeniti ili proširiti postojeći kodeks, predaju nacrt kodeksa, izmjenu ili proširenje nadzornom tijelu koje je nadležno na temelju članka 55. Nadzorno tijelo daje mišljenje o tome je li nacrt kodeksa, izmjena ili proširenje u skladu s ovom Uredbom te takav nacrt kodeksa, izmjenu ili proširenje odobrava ako smatra da osigurava dovoljno prikladne zaštitne mjere.
[…]”
10.
Člankom 77. stavkom 1. OUZP‑a predviđa se:
„Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu”.
11.
Člankom 78. te uredbe određuje se:
„1.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.
2.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek svaki ispitanik ima pravo na učinkoviti sudski pravni lijek ako nadzorno tijelo nadležno na temelju članaka 55. i 56. ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe podnesene na temelju članka 77.
[…]”
B. Njemačko pravo
12.
Člankom 9. stavkom 1. Insolvenzordnunga (Zakon o nesolventnosti), u verziji koja je bila na snazi u vrijeme nastanka činjenica iz glavnih postupaka, određuje se:
„Javna objava se provodi središnjom objavom za sve savezne zemlje na internetu; mogu se objavljivati i samo izvadci obavijesti. Pritom treba točno navesti dužnika, a osobito njegovu adresu i predmet poslovanja. Smatra se da je objava izvršena nakon isteka dva dana od dana objavljivanja.”
13.
U članku 3. stavcima 1. i 2. Verordnunga zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Uredba o javnim objavama na internetu u postupcima u slučaju nesolventnosti, u daljnjem tekstu: InsBekV) navodi se:
„1.   Objava podataka iz postupka u slučaju nesolventnosti, uključujući pokretanje postupka u slučaju nesolventnosti, koja je izvršena u elektroničkom informacijskom i komunikacijskom sustavu briše se najkasnije šest mjeseci nakon ukidanja ili pravomoćnosti obustave postupka u slučaju nesolventnosti. Ako postupak nije pokrenut, rok počinje teći od ukidanja objavljenih mjera osiguranja.
2.   Na objave u postupku otpisa nepodmirenih dugova, uključujući rješenje na temelju članka 289. Zakona o nesolventnosti, primjenjuje se stavak 1. prva rečenica, pri čemu rok počinje teći od pravomoćnosti odluke o otpisu nepodmirenih dugova.”
III. Činjenice iz kojih proizlaze sporovi, glavni postupci i prethodna pitanja
14.
U okviru postupaka u slučaju nesolventnosti koji su se na njih odnosili, osobama UF i AB odobren je prijevremeni otpis nepodmirenih dugova sudskim rješenjima donesenima 17. prosinca 2020. odnosno 23. ožujka 2021. U skladu s člankom 9. stavkom 1. Insolvenzordnunga te člankom 3. stavcima 1. i 2. InsBekV‑a, ta je okolnost javno objavljena na internetu i obrisana nakon šest mjeseci.
15.
SCHUFA, privatna agencija za provjeru kreditne sposobnosti, u vlastite baze podataka upisuje objavljene informacije o prijevremenim otpisima nepodmirenih dugova, ali ih briše tek tri godine nakon upisa.
16.
Na zahtjev osobe UF odnosno osobe AB da se izbrišu upisi koji se odnose na njih, SCHUFA im je odgovorila da u obavljanju svoje djelatnosti poštuje OUZP i da se rok za brisanje od šest mjeseci predviđen člankom 3. stavkom 1. InsBekV‑a ne primjenjuje na nju. Osobe UF i AB podnijele su, svaka pojedinačno, pritužbu HBDI‑ju kao nadležnom nadzornom tijelu.
17.
HBDI je o tim pritužbama odlučio dvama mišljenjima koja je donio 1. ožujka 2021. odnosno 9. srpnja 2021. Prema njegovu mišljenju, SCHUFA smije pohranjivati negativne upise o otpisu nepodmirenih dugova i nakon otpisa određenog potraživanja.
18.
Osobe UF i AB podnijele su, svaka pojedinačno, tužbu protiv HBDI‑jeva mišljenja Verwaltungsgerichtu Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), odnosno sudu koji je uputio zahtjeve. U tom pogledu tvrde da je HBDI u okviru svojih zadaća i ovlasti dužan donijeti mjere protiv SCHUFA‑e kako bi naložio brisanje upisa koji se odnose na njih.
19.
Sud koji je uputio zahtjeve u tom pogledu smatra potrebnim, kao prvo, pojasniti pravnu prirodu odluke koju nadzorno tijelo donosi o pritužbi podnesenoj na temelju članka 77. stavka 1. OUZP‑a. Taj sud navodi da je, prema mišljenju HBDI‑ja, pravo predviđeno u tom članku 77. stavku 1. uređeno kao pravo na podnošenje peticije. Stoga se u pogledu njega provodi samo ograničen sudski nadzor kojim se samo provjerava je li nadzorno tijelo riješilo pritužbu te obavijestilo njezina podnositelja o napretku i ishodu te pritužbe. Suprotno tomu, sud ne bi trebao provoditi nadzor u pogledu sadržajne točnosti odluke o pritužbi.
20.
Međutim, navedeni sud dvoji u pogledu usklađenosti te analize s OUZP‑om. Naime, prema njegovu mišljenju, člankom 78. stavkom 1. te uredbe zahtijeva se učinkoviti sudski pravni lijek. S obzirom na cilj te uredbe, koji u okviru provedbe članaka 7. i 8. Povelje uključuje osiguravanje djelotvorne zaštite temeljnih sloboda i prava pojedinaca, pri čemu se postupanje u pogledu prava na podnošenje pritužbe ne može usko tumačiti. Sud koji je uputio zahtjeve stoga je skloniji tumačenju na način da sud treba u potpunosti meritorno ispitati odluku nadzornog tijela, imajući na umu da to tijelo ipak raspolaže marginom prosudbe i diskrecijskom ovlasti te da je dužno djelovati samo ako se ne mogu utvrditi druge zakonite mogućnosti.
21.
Kao drugo, sud koji je uputio zahtjeve pita je li zakonita pohrana podataka iz javnih registara u agencijama za provjeru kreditne sposobnosti. Taj sud u tom pogledu pojašnjava da država tim agencijama dostavlja sve upise iz javnih registara, u ovom slučaju iz registra dužnika i registra nesolventnosti. Prema mišljenju HBDI‑ja, ti podaci služe za procjenu kreditne sposobnosti i smiju se pohranjivati sve dok je to potrebno u svrhe za koje su pohranjeni. Usto, budući da nacionalni zakonodavac nije donio propis, nadzorna tijela uspostavila su s udruženjem agencija za provjeru kreditne sposobnosti kodekse ponašanja, kojima se predviđa brisanje točno tri godine nakon upisa u bazu podataka.
22.
Prema mišljenju suda koji je uputio zahtjeve, s obzirom na članke 7. i 8. Povelje postavlja se pitanje mogu li se upisi iz javnih registara u potpunosti prenijeti u registre koje vode privatne agencije, a da ne postoji konkretan razlog za pohranu podataka. Naposljetku, to dovodi do zalihosti podataka, prije svega ako su podaci već izbrisani iz nacionalnog registra zbog isteka roka za pohranu. Osim toga, SCHUFA je samo jedna od brojnih agencija za provjeru kreditne sposobnosti, tako da se podaci u Njemačkoj višestruko pohranjuju, što podrazumijeva znatno zadiranje u temeljno pravo iz članka 7. Povelje.
23.
Sud koji je uputio zahtjeve dodaje da je obrada i stoga pohrana podataka dopuštena samo ako je ispunjen jedan od uvjeta iz članka 6. stavka 1. OUZP‑a, pri čemu se pojašnjava da u ovom slučaju dolazi u obzir samo članak 6. stavak 1. prvi podstavak točka (f) te uredbe. Međutim, dvojbeno je ima li voditelj obrade kao što je SCHUFA legitiman interes u smislu te odredbe. U svakom slučaju, agencija za provjeru kreditne sposobnosti uvijek može, u slučaju legitimnog interesa, imati uvid u javne registre sve dok su podaci ondje pohranjeni.
24.
Usto, njemački je zakonodavac u članku 3. InsBekV‑a predvidio samo relativno kratku pohranu od šest mjeseci upisa o otpisu nepodmirenih dugova u registru nesolventnosti. Osnova tog propisa nalazi se pak u članku 79. stavku 5. Uredbe 2015/848, na temelju kojeg države članice obavješćuju ispitanike o razdoblju dostupnosti određenom za osobne podatke pohranjene u registrima nesolventnosti kako bi im se omogućilo da ostvare svoja prava, a posebno pravo na brisanje podataka. Međutim, to pravo ne postoji prilikom pohrane u velikom broju privatnih registara u kojima se podaci tada dulje pohranjuju.
25.
Uostalom, čak i kad bi se priznalo da je pohrana podataka iz javnih registara koju provode privatne agencije zakonita, moglo bi se postaviti pitanje treba li kodekse ponašanja, koji su odobreni u skladu s člankom 40. OUZP‑a i kojima se predviđa rok od tri godine za brisanje upisa o otpisu nepodmirenih dugova, uzeti u obzir pri odvagivanju koje se zahtijeva ocjenom na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a.
26.
U tim je okolnostima Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1.
Treba li članak 77. stavak 1., u vezi s člankom 78. stavkom 1. [OUZP‑a] tumačiti na način da zaključak do kojeg je došlo nadzorno tijelo, o kojem to tijelo obavještava ispitanika,
(a)
ima prirodu odluke o peticiji, što dovodi do toga da se sudski nadzor odluke o pritužbi koju je donijelo nadzorno tijelo na temelju članka 78. stavka 1. te uredbe u načelu odnosi samo na to je li to tijelo rješavalo pritužbu, je li primjereno ispitalo predmet pritužbe i obavijestilo podnositelja pritužbe o ishodu provjere
ili
(b)
taj zaključak treba smatrati odlukom tijela o meritumu, što dovodi do toga da sud u okviru sudskog nadzora u pogledu odluke o pritužbi koju je nadzorno tijelo donijelo na temelju članka 78. stavka 1. navedene uredbe treba sveobuhvatno ispitati odluku o meritumu, pri čemu u određenim slučajevima, primjerice u slučaju potpunog smanjenja diskrecijske ovlasti, on također može obvezati nadzorno tijelo da primijeni konkretnu mjeru u smislu članka 58. iste uredbe?
2.
Je li pohrana podataka koju provodi privatna agencija za provjeru kreditne sposobnosti, u okviru koje se osobni podaci iz javnog registra kao što su ‚nacionalne baze podataka’ u smislu članka 79. stavaka 4. i 5. [Uredbe 2015/848] ne pohranjuju zbog konkretnog razloga, nego kako bi se na zahtjev mogli pružiti podaci, u skladu s člancima 7. i 8. [Povelje]?
3.a
Jesu li paralelne privatne baze podataka (osobito baze podataka agencije za provjeru kreditne sposobnosti), koje se uspostavljaju uz državne baze podataka i u kojima se podaci iz državnih baza podataka (u ovom slučaju obavijesti o nesolventnosti) pohranjuju dulje nego što se to uređuje strogo ograničenim okvirom iz Uredbe 2015/848 u vezi s nacionalnim pravom, načelno zakonite?
3.b
U slučaju potvrdnog odgovora na pitanje 3.a, proizlazi li iz prava na zaborav u skladu s člankom 17. stavkom 1. točkom (d) [OUZP‑a] da te podatke treba obrisati ako je isteklo trajanje obrade koje se predviđa u pogledu javnog registra?
4.
U mjeri u kojoj kao jedina pravna osnova za pohranu podataka koju provode privatne agencije za provjeru kreditne sposobnosti u pogledu podataka koji su također pohranjeni u javnim registrima dolazi u obzir članak 6. stavak 1. prvi podstavak točka (f) [OUZP‑a], treba li potvrditi da postoji legitimni interes agencije za provjeru kreditne sposobnosti već u slučaju kad ta agencija ne preuzima podatke iz javnog registra zbog konkretnog razloga, nego kako bi ti podaci naknadno bili dostupni u slučaju podnošenja zahtjeva za podacima?
5.
Može li se kodeksima ponašanja koje su odobrila nadzorna tijela u skladu s člankom 40. [OUZP‑a] i kojima se predviđaju rokovi za provjeru i brisanje, a koji premašuju rokove za pohranu u pogledu javnih registara, obustaviti odvagivanje propisano člankom 6. stavkom 1. prvim podstavkom točkom (f) te uredbe?”
IV. Postupak pred Sudom
27.
Odluku kojom se upućuje zahtjev za prethodnu odluku u predmetu C‑26/22, od 23. prosinca 2021., tajništvo Suda zaprimilo je 11. siječnja 2022. Odluku kojom se upućuje zahtjev za prethodnu odluku u predmetu C‑64/22, od 31. siječnja 2022., tajništvo Suda zaprimilo je 2. veljače 2022.
28.
Odlukom Suda od 11. veljače 2022. predmeti su spojeni za potrebe pisanog i usmenog postupka te donošenja presude.
29.
Stranke glavnog postupka, SCHUFA, njemačka i portugalska vlada te Europska komisija podnijele su pisana očitovanja u roku određenom u članku 23. Statuta Suda Europske unije.
30.
Na raspravi održanoj 26. siječnja 2023. usmena očitovanja iznijeli su zastupnici ad litem stranaka glavnog postupka i SCHUFA‑e te Komisijini agenti.
V. Pravna analiza
A. Uvodne napomene
31.
Budući da je u tržišnom gospodarstvu uzajamno povjerenje temelj svake preuzete ugovorne obveze, načelno je s poduzetničkog stajališta razumljivo da pružatelji usluga i dobavljači robe žele poznavati svoje klijente i rizike svojstvene takvoj ugovornoj obvezi. Agencije za provjeru kreditne sposobnosti mogu pridonijeti uspostavi tog uzajamnog povjerenja statističkim metodama koje poduzetnicima omogućuju da utvrde jesu li u konkretnom slučaju ispunjeni određeni relevantni kriteriji, uključujući kreditnu sposobnost njihovih klijenata. Time pomažu poduzetnicima da postupe u skladu s različitim odredbama prava Unije kojim im se nalaže upravo takva obveza u pogledu određenih kategorija ugovora, osobito ugovorâ o kreditu (
4
). Ipak, navedene agencije nisu jedine koje pružaju takve usluge. Svjestan potrebe da se osigura određena transparentnost i predvidljivost u financijskim transakcijama, zakonodavac Unije zahtijeva od država članica da uspostave i održavaju jedan ili više registara u kojima se objavljuju informacije o postupcima u slučaju nesolventnosti.
32.
Iz toga slijedi da će paralelno postojati nekoliko baza podataka, odnosno, s jedne strane, „službeni” registri kojima upravljaju javna tijela i, s druge strane, baze podataka kojima upravljaju privatne agencije. Taj paralelizam može dovesti do tržišnog natjecanja između sustavâ i čak uzrokovati pravne sukobe ako se pravni sustavi koji se primjenjuju na te registre znatno razlikuju jedan od drugog. Regulatorne razlike mogu postati osobito problematične ako utječu na zaštitu podataka jer neovisno o tome upravlja li registrom javni ili privatni subjekt, on u načinu upravljanja tim podacima i njihova upisa treba poštovati interes ispitanikâ. Naime, budući da su informacije o ekonomskoj situaciji osobe osjetljive s obzirom na poštovanje prava na zaštitu osobnih podataka i privatnog života, potrebno je primijeniti poseban oprez.
33.
OUZP‑om, koji je primjenjiv od 25. svibnja 2018., stvoren je pravni okvir kojim se uzimaju u obzir prethodno navedeni interesi u cijeloj Uniji, među ostalim nalaganjem određenih uvjeta u pogledu obrade osobnih podataka. Tako se člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP‑a zahtijeva da je obrada nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka. Drugim riječima, zakonitost obrade treba proizlaziti iz odvagivanja različitih relevantnih interesa, pri čemu prednost trebaju imati legitimni interesi voditelja obrade ili treće strane. Nadzorno tijelo treba na temelju članka 77. stavka 1. OUZP‑a riješiti sve eventualne pritužbe ispitanika koje se temelje na povredi njegovih temeljnih prava te je na njemu da provjeri jesu li ispunjeni ti uvjeti. Naposljetku, ako ta osoba odluči podnijeti tužbu protiv odluka nadzornog tijela u skladu s člankom 78. stavkom 1. OUZP‑a, nacionalni sudovi dužni su osigurati djelotvoran sudski nadzor.
34.
U prethodnim su točkama ovog mišljenja ukratko sažeti različiti pravni aspekti koje je sud koji je postavio pitanja istaknuo u svojim zahtjevima za prethodnu odluku. Prvo se pitanje odnosi na pravnu prirodu odluke nadzornog tijela kojem je podnesena pritužba i na opseg sudskog nadzora koji sud može provoditi u okviru tužbe podnesene protiv takve odluke. Drugo, treće, četvrto i peto pitanje u biti se odnose na zakonitost pohrane osobnih podataka iz javnih registara u agencijama za provjeru kreditne sposobnosti. Prethodna pitanja ispitat će se u nastavku redoslijedom kojim ih je postavio sud koji je uputio zahtjeve.
B. Prvo prethodno pitanje
35.
Budući da se prvo pitanje odnosi na dvije faze upravnog pravnog sredstva, odnosno pritužbu nadzornom tijelu i sudski pravni lijek sudskom tijelu, koji su uređeni člankom 77. odnosno člankom 78. OUZP‑a, smatram da je prikladno sažeto opisati te dvije faze i tako razmotriti pravne aspekte u pogledu kojih sud koji je uputio zahtjeve postavlja pitanja.
36.
Kao što sam to naveo u svojim uvodnim napomenama, OUZP‑om se nastoji osigurati zaštita pojedinaca u vezi s obradom osobnih podataka, koja je kao temeljno pravo priznata u članku 8. stavku 1. Povelje i članku 16. stavku 1. UFEU‑a. Budući da svaka obrada osobnih podataka može utjecati na privatni život, treba navesti i zaštitu zajamčenu člankom 7. Povelje (
5
). Usto, iz članka 1. stavka 2. OUZP‑a, u vezi s uvodnim izjavama 10., 11. i 13. te uredbe, proizlazi da zakonodavac Unije tu zadaću povjerava tijelima, uredima i agencijama Unije, ali i nadležnim tijelima država članica, među kojima se nalaze i nadzorna tijela te nacionalni sudovi (
6
).
1.
Uloga nadzornih tijela, uključujući obvezu rješavanja pritužbi
37.
U tom pogledu valja istaknuti da se člankom 8. stavkom 3. Povelje određuje da poštovanje pravila o zaštiti osobnih podataka podliježe nadzoru neovisnog tijela. Člankom 57. stavkom 1. točkom (a) OUZP‑a provodi se ta obveza izvedena iz primarnog prava, tako što se određuje da svako nadzorno tijelo ima zadaću pratiti i provoditi primjenu te uredbe. Rješavanje pritužbi koje podnose ispitanici dio je njegovih odgovornosti, kao što to izričito proizlazi iz članka 57. stavka 1. točke (f) OUZP‑a.
38.
Sud je presudio da je na temelju te odredbe „svako nadzorno tijelo dužno […], na svojem području, rješavati pritužbe koje u skladu s člankom 77. stavkom 1. te uredbe može podnijeti svaka osoba kad smatra da obrada osobnih podataka koja se odnosi na nju predstavlja povredu navedene uredbe, te ispitati njezin predmet u mjeri u kojoj je to potrebno” (
7
). U tom kontekstu valja skrenuti pozornost na činjenicu da je Sud naglasio obvezu nadzornog tijela da „postup[a] s takvom pritužbom uz svu dužnu pažnju” kako bi se zajamčilo poštovanje odredbi OUZP‑a. Isto tako, valja navesti da se u uvodnoj izjavi 141. OUZP‑a pojašnjava da bi „[n]akon pritužbe trebalo […] provesti istragu […] u onoj mjeri u kojoj je to određenom slučaju prikladno” (moje isticanje).
39.
Zbog svih tih elemenata smatram da nadzorno tijelo ima imperativnu obvezu rješavati pritužbe koje podnose ispitanici, i to uz svu dužnu pažnju koja je potrebna u određenom slučaju (
8
). Budući da svaka povreda OUZP‑a načelno može predstavljati povredu temeljnih prava, ne čini mi se da je u skladu sa sustavom uspostavljenim tom uredbom to da se nadzornom tijelu dodijeli diskrecijska ovlast u pogledu toga hoće li rješavati pritužbe. Takvim bi se pristupom dovela u pitanje ključna uloga koja mu se dodjeljuje OUZP‑om i koja uključuje osiguravanje poštovanja pravila o zaštiti osobnih podataka te bi on stoga bio protivan ciljevima koje nastoji postići zakonodavac Unije (
9
). Naposljetku, ne smije se zaboraviti da su pritužbe vrijedan izvor informacija nadzornom tijelu, koje mu omogućuju da otkrije povrede (
10
).
40.
To je tumačenje tim više uvjerljivo jer se člankom 57. stavkom 1. točkom (f) OUZP‑a nadzornom tijelu nalaže niz zahtjeva u okviru rješavanja takve pritužbe, odnosno obveza da istražuje u odgovarajućoj mjeri predmet pritužbe i da podnositelja pritužbe u razumnom roku izvješćuje o napretku i ishodu istrage, posebno ako je potrebna daljnja istraga ili koordinacija s drugim nadzornim tijelom. Tome se dodaje obveza iz članka 77. stavka 2. OUZP‑a da obavješćuje podnositelja pritužbe o napretku i ishodu pritužbe, među ostalim o mogućnosti sudskog pravnog lijeka na temelju članka 78. OUZP‑a. Svim tim zahtjevima, koji su obuhvaćeni pojmom „dobra uprava”, izraženim u članku 41. Povelje, konkretno u pogledu aktivnosti institucija i tijela Unije (
11
), nastoji se ojačati postupak podnošenja pritužbi kako bi on postao istinski upravni pravni lijek.
41.
Iako je nadzorno tijelo, kao jamac poštovanja odredbi OUZP‑a, dužno rješavati pritužbe koje mu se podnose, nekoliko elemenata ide u korist tumačenja prema kojem ono raspolaže diskrecijskom ovlasti prilikom rješavanja navedenih pritužbi, kao i određenim manevarskim prostorom u pogledu odabira prikladnih sredstava za provedbu svojih zadaća. Naime, nezavisni odvjetnik H. Saugmandsgaard Øe napomenuo je da se člankom 58. stavkom 1. OUZP‑a „nadzornim tijelima povjeravaju znatne istražne ovlasti” i da ona na temelju članka 58. stavka 2. te uredbe raspolažu „širokim rasponom sredstava […] za provedbu zadaće koja [im] je povjerena”, pri čemu je u tom kontekstu uputio na razne ovlasti donošenja korektivnih mjera navedene u toj odredbi (
12
). Nezavisni odvjetnik zatim je pojasnio da, iako je „[nadležno nadzorno] tijelo dužno u potpunosti ispuniti zadaću nadzora koja mu je povjerena”, „odabir najučinkovitijeg sredstva pod [njegovom je] diskrecijom […] s obzirom na sve [predmetne] okolnosti” (
13
). S tim se tumačenjem mogu samo složiti.
42.
Detaljnim opisom ovlasti nadzornih tijela za donošenje korektivnih mjera ističe se činjenica da cilj zakonodavca Unije nije bio da postupak podnošenja pritužbe bude sličan postupku podnošenja peticije. Naprotiv, čini se da je zakonodavni cilj bio uspostaviti mehanizam kojim se mogu učinkovito zaštititi prava i interesi osoba koje podnose pritužbe. S obzirom na navedeno, čini mi se jasnim da se taj manevarski prostor ne može tumačiti na način da nadzorno tijelo raspolaže neograničenom ovlasti na temelju koje smije djelovati proizvoljno. Upravo suprotno, nadzorno tijelo dužno je iskoristiti taj manevarski prostor, a da pritom poštuje ograničenja koja mu se nalažu pravom Unije. Zbog tog se razloga isto tako ne može isključiti mogućnost da je nadzorno tijelo, kao upravno tijelo, dužno donijeti određenu mjeru zbog posebnih okolnosti slučaja, osobito ako postoji ozbiljan rizik od povrede temeljnih prava ispitanika.
43.
To je tumačenje, kojim se nadzornom tijelu priznaje određeni manevarski prostor u odabiru sredstava, potkrijepljeno člankom 58. stavkom 4. OUZP‑a, kojim se predviđa da „izvršavanje ovlasti dodijeljenih nadzornom tijelu u skladu s [tim] člankom podliježe odgovarajućim zaštitnim mjerama, među ostalim učinkovitom sudskom pravnom lijeku” (moje isticanje) u skladu s člankom 47. Povelje. Člankom 78. stavcima 1. i 2. OUZP‑a priznaje se, osim toga, pravo svake osobe na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi ili ako to tijelo ne riješi njezinu pritužbu.
44.
To dovodi do problematike pravne prirode odluka nadzornog tijela koju je sud koji je uputio prethodna pitanja postavio u svojim zahtjevima za prethodnu odluku. U tom pogledu valja navesti uvodnu izjavu 141. OUZP‑a, iz koje proizlazi da bi „[s]vaki […] ispitanik trebao imati pravo podnijeti pritužbu […] nadzornom tijelu […] i imati pravo na učinkoviti sudski pravni lijek u skladu s člankom 47. Povelje ako ispitanik smatra da su prekršena njegova prava iz ove Uredbe ili ako nadzorno tijelo ne postupi po pritužbi, djelomično ili u potpunosti odbaci ili odbije pritužbu ili ne djeluje kada je takvo djelovanje nužno radi zaštite prava ispitanika” (moje isticanje). U toj se uvodnoj izjavi uzima u obzir činjenica da odluka nadzornog tijela može nanijeti štetu ispitaniku, osobito ako se u njoj zaključi da pritužba nije osnovana, utvrdi da nije došlo do povrede OUZP‑a i stoga se ne donesu mjere kako bi se ispravila situacija koja je dovela do pritužbe. Zakonodavac Unije priznaje pravno obvezujući učinak takve odluke i stoga podnositelju pritužbe omogućuje podnošenje pravnog sredstva nacionalnom sudu.
45.
Isto tako, valja istaknuti da se nadzornom tijelu ne dopušta da ne djeluje jer iz članka 78. stavka 2. OUZP‑a proizlazi da „svaki ispitanik ima pravo na učinkoviti sudski pravni lijek ako nadzorno tijelo nadležno na temelju članaka 55. i 56. ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe podnesene na temelju članka 77.”. Ta okolnost onemogućuje poistovjećivanje postupka podnošenja pritužbe s postupkom podnošenja peticije.
46.
U ovom je slučaju, kao što je to sud koji je uputio zahtjeve naveo u svojoj odluci kojom se postavljaju prethodna pitanja, nadzorno tijelo donijelo pravno obvezujuće odluke u pogledu tužiteljâ iz glavnog postupka. Ono je u biti utvrdilo da je obrada osobnih podataka tužiteljâ koju je provela SCHUFA zakonita na temelju članka 6. stavka 1. prvog podstavka točaka (b) i (f) OUZP‑a te je zbog toga prešutno odbilo primijeniti istražnu ili korektivnu mjeru.
2.
Opseg sudskog nadzora u pogledu odluka nadzornog tijela
47.
Sudski pravni lijek predviđen člankom 78. OUZP‑a druga je faza upravnog pravnog sredstva predviđenog tom uredbom. U tom kontekstu valja istaknuti da su „pritužba” nadzornom tijelu i „sudski pravni lijek” uređeni kao „prava” ispitanika, što je u potpunosti razumljivo ako se pođe od ideje da se člancima 77. do 79. OUZP‑a nastoji provesti pravo na djelotvoran pravni lijek propisano člankom 47. Povelje. Kao što sam to prethodno naveo (
14
), iz zajedničkog tumačenja članka 58. stavka 4. i članka 78. OUZP‑a, s obzirom na njegovu uvodnu izjavu 141., jasno se može izvesti taj cilj (
15
).
48.
Kad je riječ o opsegu sudskog nadzora u pogledu odluka nadzornog tijela, valja podsjetiti na to da se nacionalna pravila u području upravnog postupka općenito primjenjuju u okviru postupovne autonomije, u skladu s načelima ekvivalentnosti i djelotvornosti (
16
). Međutim, smatram da pravni lijek može biti „djelotvoran” u smislu članka 47. Povelje i članka 78. stavka 1. OUZP‑a samo ako nadležni nacionalni sud ima ovlast i obvezu provesti sveobuhvatan sudski nadzor u pogledu odluke nadzornog tijela o meritumu kako bi se provjerilo je li nadzorno tijelo pravilno primijenilo OUZP.
49.
Kao što je Sud na to podsjetio u svojoj sudskoj praksi, „propis koji pojedincima ne pruža nikakvu mogućnost korištenja pravnim sredstvima radi pristupa osobnim podacima koji se na njih odnose, ili radi ispravka ili brisanja takvih podataka, ne poštuje bitan sadržaj temeljnog prava na djelotvornu sudsku zaštitu, kao što je to propisano u članku 47. Povelje. Naime, prvi stavak članka 47. Povelje zahtijeva da svatko čija su prava i slobode zajamčeni pravom Unije povrijeđeni ima pravo na djelotvoran pravni lijek pred sudom, u skladu s uvjetima utvrđenima tim člankom. U tom pogledu, sâmo postojanje djelotvornog sudskog nadzora radi osiguranja poštovanja Unijinih pravnih odredaba svojstveno je postojanju pravne države” (
17
).
50.
Kako bi se utvrdio opseg sudskog nadzora u pogledu odluka nadzornog tijela, čini mi se relevantnim najprije uputiti na uvodnu izjavu 141. OUZP‑a, iz koje proizlazi da bi „[n]akon pritužbe trebalo […] provesti istragu, podložno sudskom preispitivanju, u onoj mjeri u kojoj je to određenom slučaju prikladno” (moje isticanje). Nadalje, valja uputiti na uvodnu izjavu 143. OUZP‑a, u kojoj se navodi da bi „svaka fizička ili pravna osoba trebala […] imati učinkovit sudski pravni lijek pred nadležnim nacionalnim sudom protiv odluke nadzornog tijela koja proizvodi pravne učinke prema toj osobi. Takva odluka posebno se odnosi na provedbu istražnih, korektivnih i autorizacijskih ovlasti nadzornog tijela ili odbacivanje ili odbijanje pritužbi” (moje isticanje). Prema mojem mišljenju, te odlomke treba shvatiti na način da sudski nadzor koji nacionalni sud treba provesti na temelju članka 78. OUZP‑a treba biti sveobuhvatan, odnosno da treba obuhvaćati sve relevantne aspekte koji proizlaze iz diskrecijske ovlasti koju nadzorno tijelo izvršava u okviru ispitivanja predmeta pritužbe, kao i iz njegove margine prosudbe u pogledu odabira istražnih i korektivnih mjera.
51.
Cilj zakonodavca Unije da zajamči sveobuhvatan sudski nadzor u pogledu svih odluka nadzornog tijela koje proizvode pravne učinke u odnosu na ispitanika koji mu je podnio pritužbu postaje osobito očit ako se uzme u obzir još jedan odlomak uvodne izjave 143. OUZP‑a, u kojem se navodi da bi se „[p]ostupci protiv nadzornog tijela trebali […] pokrenuti pred sudovima države članice u kojoj je nadzorno tijelo osnovano te bi se trebali voditi u skladu s postupovnim pravom te države članice. Ti bi sudovi trebali imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za konkretni spor” (moje isticanje) (
18
). Smatram da samo sudski nadzor takvog opsega ispunjava zahtjeve iz članka 47. Povelje (
19
).
52.
Suprotno tomu, čini mi se da argumenti koje su SCHUFA i HBDI istaknuli u korist ograničenog sudskog nadzora u pogledu odluka nadzornih tijela nisu uvjerljivi. Kao prvo, cilj je „neovisnosti” koja se nadzornom tijelu priznaje na temelju članka 52. OUZP‑a, kojim se konkretizira zahtjev iz članka 8. stavka 3. Povelje, zaštititi to tijelo od svakog nepotrebnog zadiranja, ali ga se pritom, kao i svako drugo nacionalno tijelo, ne oslobađa obveze da svoje zadaće i ovlasti izvršava uz potpuno poštovanje prava Unije i da omogući da se u pogledu njegovih odluka provodi djelotvoran sudski nadzor. Kao drugo, postojanje prava na sudski pravni lijek protiv voditelja obrade, predviđenog člankom 79. OUZP‑a, ne isključuje pravo na podnošenje pravnog lijeka protiv odluke nadzornog tijela na temelju članka 78. OUZP‑a. Ta pravna sredstva supostoje neovisno jedno o drugome, pri čemu nijedno nije podredno u odnosu na drugo, tako da se mogu koristiti istodobno (
20
). Stoga se tužiteljima ne može prigovoriti da su djelovali nezakonito u obrani svojih prava zaštićenih OUZP‑om jer su dali prednost određenom pravnom sredstvu. Stoga valja odbiti te argumente.
53.
S obzirom na sva prethodna razmatranja, na prvo prethodno pitanje valja odgovoriti da članak 78. stavak 1. OUZP‑a treba tumačiti na način da iz te odredbe proizlazi da se u pogledu pravno obvezujuće odluke nadzornog tijela provodi sveobuhvatan sudski nadzor merituma.
C. Drugo, treće, četvrto i peto prethodno pitanje
54.
Drugo, treće, četvrto i peto prethodno pitanje u biti se odnose na zakonitost pohrane osobnih podataka iz javnih registara u agencijama za provjeru kreditne sposobnosti. U pitanjima koja je postavio sud koji je uputio zahtjeve ističe se niz pravnih problema povezanih s tom praksom koja će trebati ispitati na strukturiran način. Radi jasnoće smatram da je prikladno podijeliti pitanja po temi te ih razmotriti tim redoslijedom.
55.
Kako bi sudu koji je uputio zahtjeve dao koristan odgovor koji mu omogućuje rješavanje sporova koji su pred njim pokrenuti, Sud će morati tumačiti nekoliko odredbi OUZP‑a koje se, iako se pitanja ne odnose izričito na njih, ipak čine relevantnima. Takav je pristup moguć s obzirom na to da, prema ustaljenoj sudskoj praksi, Sud može iz svih podataka koje mu je dostavio sud koji je uputio zahtjeve, a osobito iz obrazloženja odluke kojom se upućuje zahtjev za prethodnu odluku, izvesti propise i načela prava Unije koje treba tumačiti uzimajući u obzir predmet glavnog postupka (
21
).
56.
Čini mi se da je takva temeljita analiza tim više potrebna jer sud koji je uputio zahtjeve u svojim pitanjima ponekad upućuje samo na članke 7. i 8. Povelje, iako se te odredbe ne primjenjuju zasebno, kao što je to Sud objasnio, nego ih treba uzeti u obzir u okviru odvagivanja predviđenog člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP‑a (
22
). Usto, u tom će se kontekstu podsjetiti na to da, s obzirom na to da se odredbama OUZP‑a provode temeljna prava o kojima je riječ, tumačenje sekundarnog prava logično čini polazišnu točku bilo kakvog ispitivanja, pri čemu to pravo treba tumačiti s obzirom na primarno pravo, kojeg je Povelja sastavni dio (
23
). Stoga ću u svoju analizu u nastavku uključiti sve odredbe koje mi se čine relevantnima.
1.
Usklađenost prakse agencija za provjeru kreditne sposobnosti s načelima kojima se uređuje obrada osobnih podataka i koja su propisana OUZP‑om
57.
U poglavlju II. OUZP‑a, naslovljenom „Načela”, utvrđuju se načela obrade osobnih podataka. U nastavku ću ispitati je li praksa agencija za provjeru kreditne sposobnosti, koja uključuje pohranu osobnih podataka iz javnih registara tijekom tri godine, u skladu s načelima koja mi se čine najrelevantnijima u ovom kontekstu, odnosno s načelima zakonitosti, ograničavanja svrhe i smanjenja količine podataka.
58.
Za potrebe analize oslonit ću se na informacije koje su pružili sud koji je uputio zahtjeve i SCHUFA, pri čemu ipak naglašavam da je ta agencija kao voditelj obrade dužna dokazati da su se poštovala prethodno navedena načela, u skladu s načelom odgovornosti iz članka 5. stavka 2. OUZP‑a.
a)
Usklađenost s načelom zakonitosti (članak 6. stavak 1. prvi podstavak točka (f) OUZP‑a)
59.
Člankom 5. stavkom 1. točkom (a) OUZP‑a zahtijeva se da osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika. U skladu s člankom 6. stavkom 1. OUZP‑a, obrada osobnih podataka zakonita je samo ako je ispunjen uvjet koji se odnosi na jedan od u njemu navedenih razloga. Kao što je to Sud presudio, riječ je o iscrpnom i taksativnom popisu slučajeva u kojima se takva obrada može smatrati zakonitom (
24
). Sud koji je uputio zahtjeve u biti želi znati dopušta li se člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP‑a privatnoj agenciji za provjeru kreditne sposobnosti da pohranjuje osobne podatke iz javnih registara kako bi ih klijentu stavila na raspolaganje u slučaju da on to zatraži.
60.
Prema sudskoj praksi Suda (
25
), člankom 6. stavkom 1. prvim podstavkom točkom (f) OUZP‑a predviđaju se tri kumulativna uvjeta zakonitosti obrade osobnih podataka, odnosno, kao prvo, da je svrha obrade legitiman interes voditelja obrade ili treće strane odnosno strana kojima se podaci otkrivaju, kao drugo, da je obrada osobnih podataka nužna za ostvarenje tog legitimnog interesa i, kao treće, uvjet da temeljna prava i temeljne slobode ispitanika ne prevladavaju. Iako je na sudu koji je uputio zahtjeve da ocijeni jesu li ti uvjeti ispunjeni, Sud je ipak dužan dati smjernice u pogledu te ocjene pojašnjavanjem istaknutih pravnih pitanja.
1) Postojanje „legitimnog cilja”
61.
Kad je riječ, kao prvo, o ostvarivanju „legitimnog interesa”, valja podsjetiti na to da se OUZP‑om i sudskom praksom priznaje širok raspon interesa koji se smatraju legitimnima (
26
), pri čemu se pojašnjava da je, u skladu s člankom 13. stavkom 1. točkom (d) OUZP‑a, voditelj obrade dužan navesti legitimne interese koji se nastoje ostvariti u okviru članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a.
62.
SCHUFA tvrdi da predmetna obrada podataka služi postizanju legitimnih interesa od velike važnosti. Konkretnije, agencije za provjeru kreditne sposobnosti obrađuju podatke potrebne za procjenu kreditne sposobnosti osoba ili poduzetnika kako bi te informacije mogle staviti na raspolaganje svojim ugovornim partnerima. Time se također štite ekonomski interesi poduzetnika koji žele sklopiti ugovore povezane s kreditom. Usto, utvrđivanje kreditne sposobnosti i pružanje informacija o kreditnoj sposobnosti osnova su za kredit i mogućnost funkcioniranja gospodarstva. Djelatnost navedenih agencija pridonosi i konkretiziranju trgovinskih želja zainteresiranih osoba s pomoću transakcija povezanih s kreditom jer podaci omogućuju brzo ispitivanje bez birokracije.
63.
Smatram da načelno ne postoji nikakav objektivan razlog za dvojbe u pogledu zakonitosti SCHUFA‑ina interesa da svojim klijentima pruža prethodno opisanu komercijalnu uslugu ni interesa SCHUFA‑inih klijenata da se njezinim uslugama koriste za procjenu kreditne sposobnosti potencijalnih poslovnih partnera u navedenom smislu. Iako je točno da je cilj pružanja te vrste usluga dobivanje naknade i da ono stoga predstavlja poslovni model privatne agencije, ta okolnost sama po sebi ipak nije dovoljna da se dovede u pitanje činjenica da je u ovom slučaju ispunjen prvi uvjet iz članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a.
64.
To vrijedi tim više kad je cilj koji se nastoji postići uslugom o kojoj je riječ u biti sličan cilju koji je zakonodavac Unije predvidio prilikom donošenja članka 24. Uredbe 2015/848, kojim se državama članicama nalaže da na svojem državnom području uspostavljaju i održavaju jedan ili više registara u kojima se objavljuju informacije u vezi s postupcima u slučaju nesolventnosti. Kao što to proizlazi iz uvodne izjave 76. navedene uredbe, cilj je tih javnih registara „unaprijedi[ti] pružanje informacija relevantnim vjerovnicima i sudovima te spriječi[ti] pokretanje paralelnih postupaka u slučaju nesolventnosti”. Čini mi se da usluga koju pruža SCHUFA nema drugog cilja. Kasnije će se ispitati pitanje može li paralelizam sustavâ dovesti do pravnih sukoba. U toj je fazi analize dovoljno utvrditi da, s obzirom na tu istovjetnost ciljeva, treba smatrati da obrada podataka koju provodi SCHUFA služi kao legitiman interes u smislu članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a.
2) „Nužnost” obrade za postizanje legitimnog cilja
65.
Kad je riječ o uvjetu koji se odnosi na nužnost obrade osobnih podataka za ostvarenje legitimnog interesa, prema sudskoj praksi Suda, odstupanja od načela zaštite osobnih podataka i njegova ograničenja treba predvidjeti u granicama onog što je nužno (
27
). Stoga je nužno postojanje uske veze između obrade i interesa koji se ostvaruje, u nedostatku alternativa kojima se više poštuje zaštita osobnih podataka, s obzirom na to da nije dovoljno da je obrada korisna samo voditelju obrade.
66.
U ovom slučaju valja dokazati da su preuzimanje osobnih podataka o kreditnoj sposobnosti iz javnih registara i njihova privatna pohrana jedina mogućnost da SCHUFA te precizne informacije nudi svojim klijentima u komercijalne svrhe. Ne može se isključiti da SCHUFA može nuditi komercijalnu uslugu i pružati informacije o kreditnoj sposobnosti osoba i na temelju drugih dostupnih podataka. Na sudu koji je uputio zahtjeve je da provjeri može li SCHUFA na temelju te mogućnosti i dalje nuditi tu komercijalnu uslugu svojim klijentima.
67.
SCHUFA smatra da je obrada podataka nužna. Prema njezinu mišljenju, kad bi agencija za provjeru kreditne sposobnosti čekala konkretan zahtjev prije nego što počne prikupljati podatke, ne bi mogla pravodobno pružiti informacije. SCHUFA smatra da činjenica da su podaci (također) javno dostupni tijekom određenog vremena uopće ne utječe na legitimne interese agencija za provjeru kreditne sposobnosti ni na nužnost obrade.
68.
Ako pohrana osobnih podataka iz javnih registara nije nužna da bi SCHUFA svojim klijentima mogla nuditi komercijalnu uslugu, ta obrada ne može biti zakonita na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a. Suprotno tomu, ako je ispunjen drugi uvjet iz te odredbe, sud koji je uputio zahtjeve treba još ispitati treći i posljednji kumulativni uvjet iz te odredbe.
3) Odvagivanje različitih relevantnih interesa
69.
Naposljetku, kad je riječ o odvagivanju, s jedne strane, između interesa voditelja obrade i, s druge strane, interesa ili temeljnih prava i sloboda ispitanika, prema sudskoj praksi Suda, na sudu koji je uputio zahtjeve je da odvagne relevantne interese (
28
). U tom pogledu, u smjernicama bivše Radne skupine za članak 29., koja je postala Europski odbor za zaštitu podataka, čije su zadaće utvrđene u članku 70. OUZP‑a, navode se sljedeći kriteriji koje treba uzeti u obzir prilikom tog odvagivanja: (i.) ocjenjivanje legitimnog interesa voditelja obrade; (ii.) učinak na ispitanike; (iii.) privremeni zaključak i (iv.) dodatne zaštitne mjere koje voditelj obrade primjenjuje kako bi spriječio bilo kakav neopravdan učinak na ispitanike (
29
). Radi detaljne i logične analize, predlažem da se te kriterije primijeni na glavne predmete. Usto, takav će pristup pridonijeti dosljednijoj primjeni OUZP‑a, u skladu s ciljevima zakonodavca Unije.
i) Ocjena „legitimnog interesa” voditelja obrade
70.
Kad je riječ o prvom kriteriju, valja utvrditi da su SCHUFA‑in interes i interes njezinih klijenata isključivo ekonomske prirode. Privatne agencije pohranjuju osobne podatke uvezene iz javnih registara kako bi svojim klijentima nudile uslugu pružanja informacija o kreditnoj sposobnosti ispitanika na temelju, među ostalim, tih podataka. Kao što sam to već prethodno objasnio (
30
), čini se da je takav interes legitiman za potrebe ove analize.
ii) Utjecaj obrade na ispitanika
71.
Kad je riječ o drugom kriteriju, odnosno utjecaju obrade na ispitanika, čini se da je rok za brisanje relevantan čimbenik. Što se podaci dulje pohranjuju u bazama podataka privatnih agencija za provjeru kreditne sposobnosti, veće su posljedice za ispitanika. U ovom su slučaju osobni podaci tužiteljâ iz glavnog postupka obrađeni u javnom registru kako bi se „unaprijedilo pružanje informacija relevantnim vjerovnicima i sudovima te spriječilo pokretanje paralelnih postupaka u slučaju nesolventnosti”, kao što se to zahtijeva u uvodnoj izjavi 76. Uredbe 2015/848. Prilikom odvagivanja različitih interesa njemački zakonodavac smatrao je da je za postizanje tog cilja potrebno da podaci o postupku u slučaju nesolventnosti u takvim javnim registrima budu objavljeni šest mjeseci. Stoga se čini da pohrana osobnih podataka koja je dulja od tog razdoblja od šest mjeseci a priori znatno negativno utječe na ispitanika.
72.
Iz sudske prakse Suda proizlazi da postoje drugi čimbenici koje treba uzeti u obzir u okviru analize, odnosno modaliteti pristupa bazama podataka i lakoća širenja osobnih podataka (
31
). Jednostavno rečeno, što je javnosti lakše pristupiti informacijama, to je veće zadiranje u temeljna prava ispitanika. To je osobito točno u slučaju velikog broja korisnika koji imaju pristup podacima ispitanika (
32
). Stoga mi se čini očitim da, iako su podaci tijekom navedenog razdoblja od šest mjeseci već dostupni u javnim registrima, činjenica da ih se pohranjuje i da su paralelno dostupni u bazama podataka privatnih agencija za provjeru kreditne sposobnosti dodatno utječe na privatan život pojedinca te se taj utjecaj dodaje negativnim posljedicama dostupnosti tih podataka u javnim registrima.
73.
Dodatni čimbenik koji treba uzeti u obzir u analizi jest potencijalna osjetljivost podataka o kojima je riječ (
33
). Općenito se može tvrditi da je utjecaj na ispitanika veći što su osobni podaci osjetljiviji. U tom pogledu valja navesti da iz sudske prakse Suda proizlazi da su osobni podaci o naplati potraživanja doista podaci koji su osjetljivi za privatan život ispitanika (
34
). Stavljanje na raspolaganje takve vrste podataka načelno neograničenom broju korisnika stoga treba smatrati velikim zadiranjem u temeljna prava te osobe (
35
).
74.
Naposljetku, čini mi se neophodnim uzeti u obzir i vremenski čimbenik. Naime, moguće je da čak ni zakonita obrada podataka s vremenom više nije u skladu s OUZP‑om ako ti podaci nisu ili više nisu relevantni ili su pretjerani s obzirom na svrhu zbog koje su prvotno prikupljeni. U tom se pogledu ozbiljno pitam kako pohranjivanje osobnih podataka može biti opravdano tijekom tri godine ako nacionalni zakonodavac smatra da je razdoblje pohrane od šest mjeseci, odnosno znatno kraće razdoblje, uglavnom dovoljno da se uzmu u obzir poslovni interesi gospodarskih subjekata. Valja utvrditi da SCHUFA na to pitanje nije mogla dati jasan i uvjerljiv odgovor (
36
), iako je na temelju članka 5. stavka 2. OUZP‑a dužna dokazati da su se poštovala načela povezana s obradom osobnih podataka (
37
).
iii) Privremeni zaključak
75.
Na temelju ocjene svih elemenata navedenih u prethodnim točkama zaključujem da se čini da znatne negativne posljedice koje bi pohrana podataka imala na ispitanika nakon predmetnog razdoblja od šest mjeseci prevladavaju nad poslovnim interesom privatne agencije i njezinih klijenata da se podatke pohranjuje nakon tog razdoblja. U tom kontekstu valja naglasiti da odobren otpis nepodmirenih dugova korisniku treba omogućiti da ponovno sudjeluje u gospodarskom životu (
38
). Tužitelji iz glavnog postupka i Komisija na raspravi su skrenuli pozornost i na taj aspekt. Naime, taj bi cilj bio ugrožen kad bi se privatnim agencijama za provjeru kreditne sposobnosti dopustilo da u svojim bazama podataka pohranjuju osobne podatke nakon što se oni izbrišu iz javnog registra.
iv) Dodatne zaštitne mjere
76.
Naposljetku, kad je riječ o dodatnim zaštitnim mjerama koje voditelj obrade eventualno primjenjuje kako bi spriječio bilo kakav neopravdan utjecaj na ispitanike, ni u odluci kojom se upućuje zahtjev za prethodnu odluku ni u SCHUFA‑inim očitovanjima ničime se ne upućuje na takve zaštitne mjere.
4) Međuzaključak
77.
S obzirom na prethodna razmatranja, smatram da pohrana podataka koju provodi privatna agencija za provjeru kreditne sposobnosti ne može biti zakonita na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a od onog trenutka u kojem se osobni podaci o kreditnoj sposobnosti izbrišu iz javnih registara.
78.
Kad je riječ o razdoblju od šest mjeseci tijekom kojeg su osobni podaci dostupni i u javnim registrima, na sudu koji je uputio zahtjeve je da odvagne prethodno navedene interese i utjecaje na ispitanika kako bi utvrdio je li paralelna pohrana tih podataka koju provode privatne agencije za provjeru kreditne sposobnosti zakonita na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a.
b)
Usklađenost s načelima ograničavanja svrhe i smanjenja količine podataka (članak 5. stavak 1. točke (b) i (c) OUZP‑a)
79.
U skladu s načelom ograničavanja svrhe, navedenim u članku 5. stavku 1. točki (b) OUZP‑a, valja osigurati se osobni podaci prikupljeni u posebnu svrhu dalje ne obrađuju na način koji nije u skladu s tim svrhama. U ovom su slučaju podatke o kreditnoj sposobnosti i otpisu nepodmirenih dugova tijela javne vlasti obrađivala u okviru ispunjavanja pravnih obveza.
80.
Međutim, kad je riječ o naknadnoj upotrebi podataka koju provodi privatna agencija, valja ispitati, s obzirom na OUZP i na temelju kriterija iz njegova članka 6. stavka 4., je li svrha te upotrebe u skladu s prvotnom svrhom. U ovom su slučaju osobito relevantne točke (a), (b) i (d) te odredbe. U njima se utvrđuju sljedeći kriteriji: i. veza između prvotne svrhe i naknadne svrhe; ii. kontekst u kojem su podaci prikupljeni i osobito odnos između ispitanikâ i voditelja obrade te iii. moguće posljedice namjeravanog nastavka obrade za ispitanika.
81.
Kao prvo, čini se da je veza između svrha slaba, makar samo zato što je prvotna svrha predviđena zakonom, konkretnije pravom Unije koje državama članicama nalaže obvezu uspostavljanja i održavanja registara (
39
), i što je voditelj obrade tijelo javne vlasti koje djeluje u okviru zadaća koje su mu povjerene zakonom, dok naknadnu svrhu ostvaruje privatni subjekt u okviru komercijalne djelatnosti koja uključuje pružanje ekonomskih informacija o osobama.
82.
Kao drugo, kad je riječ o kontekstu u kojem su podaci prikupljeni, valja utvrditi da ne postoji nikakva veza između voditelja obrade i ispitanika s obzirom na to da se podaci prikupljaju neizravno iz registara i da ispitanik stoga ne zna da se njegovi podaci mogu naknadno upotrebljavati, niti tko ih može upotrebljavati, niti u koju svrhu. Čini mi se da je taj aspekt osobito ozbiljan s gledišta zaštite osobnih podataka s obzirom na to da osoba općenito ne može razumno očekivati nastavak obrade svojih osobnih podataka (
40
). Činjenica da se zakonom propisuje određeno trajanje pohrane podataka u javnim registrima može razumno navesti na zaključak da će se predmetni podaci izbrisati nakon isteka tog razdoblja.
83.
Kao treće, kad je riječ o mogućim posljedicama koje nastavak obrade podataka može imati za ispitanike, valja naglasiti da će se informacije o postupcima u slučaju nesolventnosti uvijek upotrebljavati kao negativan čimbenik u budućoj procjeni kreditne sposobnosti i sposobnosti plaćanja dotične fizičke osobe, što znatno utječe na prava te osobe. Pogrešna slika o njegovoj ekonomskoj situaciji može dovesti do nepovoljnih učinaka na ispitanika tako što bi mu se znatno otežalo ostvarivanje sloboda ili bi ga se čak stigmatiziralo u društvu. Budući da bi se ispitaniku mogle uskratiti roba i usluge, mogao bi postati žrtva neopravdane diskriminacije.
84.
S obzirom na ta tri kriterija, koja moraju biti ispunjena da bi upotreba osobnih podataka bila u skladu s prvotnom svrhom, kao što se to zahtijeva člankom 6. stavkom 4. OUZP‑a, čini se dvojbenim da bi naknadna upotreba tih podataka mogla biti u skladu s tom svrhom.
85.
Štoviše, valja istaknuti da je, time što je utvrdio maksimalno razdoblje od šest mjeseci u kojem se informacije o kreditnoj nesposobnosti i sudska odluka o otpisu nepodmirenih dugova mogu objaviti ako su ispunjeni pravni uvjeti, nacionalni zakonodavac već uzeo u obzir postizanje javnog interesa i odvagnuo, s jedne strane, interes vjerovnika i, s druge strane, interese i prava kreditno nesposobnih osoba (
41
). Obrada osobnih podataka koju provode privatne agencije u razdoblju koje je šest puta dulje od onog koje je za javne registre predviđeno zakonom čini se pretjeranom te se njome de facto kažnjava ispitanik, iako se zakonom očito ne predviđa ništa slično. Naime, kao što sam to već istaknuo, odobren otpis nepodmirenih dugova korisniku treba omogućiti da ponovno sudjeluje u gospodarskom životu. Međutim, taj bi cilj bio ugrožen kad bi se privatnim agencijama za provjeru kreditne sposobnosti dopustilo da u svojim bazama podataka pohranjuju osobne podatke nakon što se oni izbrišu iz javnog registra (
42
). Ako ne postoje dokazi o suprotnom, postoji zabrinutost da su uvjeti pristupa bazi podataka možda osmišljeni s ciljem zaobilaženja nacionalnog zakonodavstva koje je država članica donijela radi ispunjavanja obveza koje joj se nalažu pravom Unije (
43
).
86.
Osim toga, čini se neproporcionalnim prošlu situaciju koja je već riješena u pravnom smislu, kao što je otpis nepodmirenih dugova, „ponovno upotrebljavati” u budućim procjenama umjesto da se upotrijebe čimbenici koji postoje u trenutku analize rizika kako bi se osigurala preciznija i objektivnija procjena ekonomske situacije ispitanika. Naime, u pitanje se dovodi vrijednost informacije o ekonomskoj situaciji osobe koja je nastala prije nekoliko godina. Osobni podaci koji se odnose na okolnost iz nekog prošlog vremena teško će pružiti pouzdane informacije o trenutačnoj ekonomskoj situaciji ispitanika. Čini se da je njemački zakonodavac priznao taj problem i iz njega izveo dobre zaključke kad je odabrao znatno kraće trajanje pohrane podataka.
87.
Naposljetku, čini mi se da je način postupanja agencija za provjeru kreditne sposobnosti protivan načelu smanjenja količine podataka propisanom člankom 5. stavkom 1. točkom (c) OUZP‑a, prema kojem osobni podaci moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhu zbog koje se obrađuju. U tom se pogledu doista postavlja pitanje koji je smisao stavljanja na raspolaganje osobnih podataka koji su već javno dostupni u registrima koje su uspostavile države članice. Čini mi se takva djelatnost zapravo može dovesti do širenja osjetljivih informacija koje nije nužno potrebno da bi se ostvarili poslovni interesi gospodarskih subjekata (
44
).
88.
Zbog prethodno navedenih razloga smatram da pohrana tih podataka koju provodi privatna agencija za provjeru kreditne sposobnosti ne predstavlja praksu koja je u skladu s načelima ograničavanja svrhe i smanjenja količine podataka, koja su propisana u članku 5. stavku 1. točki (b) odnosno točki (c) OUZP‑a.
c)
Međuzaključak
89.
Na temelju prethodne analize zaključujem da praksa agencija za provjeru kreditne sposobnosti, koja uključuje pohranu osobnih podataka iz javnih registara tijekom tri godine, nije u skladu s načelima kojima se uređuje obrada osobnih podataka i koja su propisana OUZP‑om. S obzirom na navedeno, valja pojasniti da se taj zaključak temelji na ocjeni činjenica, koja je u konačnici na sudu koji je uputio zahtjeve, koji treba odlučiti o sporovima.
2.
Ostvarivanje prava na brisanje (članak 17. stavak 1. OUZP‑a)
90.
Sud koji je uputio zahtjeve također želi saznati znači li „pravo na zaborav” propisano člankom 17. OUZP‑a da se osobni podaci brišu iz baza podataka privatne agencije za provjeru kreditne sposobnosti koje postoje paralelno s javnim registrima i sadržavaju iste podatke. Sud koji je uputio zahtjeve ističe razliku između razdoblja u kojem su osobni podaci dostupni i u javnom registru te razdoblja u kojem ti podaci u njemu više nisu dostupni.
91.
Člankom 17. stavkom 1. točkom (d) OUZP‑a predviđa se apsolutno pravo ispitanika na to da se njegovi osobni podaci izbrišu ako su nezakonito obrađeni (
45
). Stoga bi, u slučaju da, s obzirom na zaključak do kojeg sam došao u okviru svoje analize (
46
), sud koji je uputio zahtjeve zaključi da SCHUFA nije mogla zakonito obraditi osobne podatke tužiteljâ na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a, takva obrada bila nezakonita ako se ne primjenjuje nijedan drugi razlog iz članka 6. stavka 1. OUZP‑a. U takvom bi slučaju SCHUFA bila dužna izbrisati osobne podatke tužiteljâ te bi oni imali pravo u tom smislu, i to neovisno o činjenici jesu li brisanje podataka zatražili u razdoblju prije ili nakon njihova brisanja iz javnog registra. Čini se da je takav rezultat u skladu i sa zahtjevima iz članka 5. stavka 1. točke (e) OUZP‑a, kojim se određuje da su osobni podaci „čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju” (moje isticanje).
92.
U tom pogledu skrećem pozornost na članak 79. stavak 5. Uredbe 2015/848, u kojem se ističe važnost koju je zakonodavac Unije pridao pravu na brisanje, osobito ako tijela obrađuju posebne osjetljive osobne podatke kao što su oni povezani s kreditnom sposobnosti ispitanika. U skladu s tom odredbom, „[u] sklopu informacija koje bi trebalo pružiti [ispitanicima] kako bi im se omogućilo da ostvare svoja prava, a posebno pravo na brisanje podataka, države članice obavješćuju [ispitanike] o razdoblju dostupnosti određenom za osobne podatke pohranjene u registrima nesolventnosti” (moje isticanje). Zakonodavac Unije očito je prepoznao nužnost brisanja te vrste podataka ako njihova pohrana više nije opravdana.
93.
Iako se zahtjevi za prethodnu odluku odnose samo na tumačenje članka 17. stavka 1. točke (d) OUZP‑a, smatram da za potrebe presude koju treba donijeti u ovim predmetima jednako relevantna može biti i točka (c) te odredbe, odnosno u slučaju da sud koji je uputio zahtjeve utvrdi, suprotno zaključku do kojeg sam došao na temelju dostupnih informacija, da je SCHUFA mogla zakonito obraditi osobne podatke tužiteljâ na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a. Tom se odredbom predviđa pravo na brisanje osobnih podataka ako ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. OUZP‑a i ako ne postoje jači legitimni razlozi za obradu. Taj tekst podrazumijeva da svi „jači legitimni razlozi za obradu” predstavljaju iznimku od prava ispitanika na ulaganje prigovora na obradu i brisanje njegovih osobnih podataka. Stoga se pretpostavlja da ispitanik ima pravo na ulaganje prigovora na obradu i pravo na brisanje, osim ako postoje jači legitimni razlozi (
47
).
94.
Smatram da, radi djelotvorne zaštite osobnih podataka, ne bi smjele postojati velike prepreke ostvarivanju prava na brisanje, osobito ako na tržištu postoji više agencija za provjeru kreditne sposobnosti koje podatke pohranjuju paralelno s javnim registrom. Ako se ostvarivanje tog prava pretjerano oteža zbog uskog tumačenja članka 17. stavka 1. OUZP‑a, konkurenti bi mogli zaobići zaštitu koja se nastoji dodijeliti OUZP‑om. Naime, valja podsjetiti na to da je cilj zakonodavca Unije bio „[u] čitavoj Uniji […] osigurati postojanu i homogenu primjenu pravila za zaštitu temeljnih prava i sloboda pojedinaca u vezi s obradom osobnih podataka” (moje isticanje), kao što to proizlazi iz uvodne izjave 10. OUZP‑a. Stoga ispitanik treba moći ostvariti svoja prava u odnosu na sva društva koja povređuju ta pravila. Budući da je SCHUFA samo jedna od brojnih velikih agencija za provjeru kreditne sposobnosti u Njemačkoj, bit će potrebno utvrditi je li pohrana osobnih podataka paralelno s javnim registrom raširena praksa među tim agencijama.
95.
Stoga u toj fazi analize valja utvrditi da se tužitelji načelno mogu pozivati na pravo na brisanje, na temelju članka 17. stavka 1. OUZP‑a. Rezultat bi bio drukčiji samo u slučaju da privatna agencija za provjeru kreditne sposobnosti „dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika”, u smislu članka 21. stavka 1. OUZP‑a. Budući da dostupne informacije ne upućuju na uvjerljive razloge koji bi mogli postojati u glavnom postupku, na sudu koji je uputio zahtjeve je da utvrdi činjenice i po potrebi odvagne relevantne interese.
96.
S obzirom na prethodna razmatranja, članak 17. stavak 1. točku (d) OUZP‑a treba tumačiti na način da ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja ako su ti podaci obrađeni nezakonito u skladu s člankom 6. stavkom 1. navedene uredbe. Članak 17. stavak 1. točku (c) OUZP‑a treba tumačiti na način da ispitanik načelno ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja ako je uložio prigovor na obradu u skladu s člankom 21. stavkom 1. navedene uredbe. Na sudu koji je uputio zahtjeve je da ispita postoje li, iznimno, jači legitimni razlozi za obradu.
3.
Primjena kodeksa ponašanja u smislu članka 40. OUZP‑a kako bi se predvidjeli rokovi za provjeru i brisanje koji premašuju rokove za pohranu u pogledu javnih registara
97.
Sud koji je uputio zahtjeve također želi znati je li u skladu s pravom Unije to da se u kodeksu ponašanja u smislu članka 40. OUZP‑a predviđaju rokovi za provjeru i brisanje koji premašuju rokove za pohranu u pogledu javnih registara, a da pritom nije potrebno provesti odvagivanje propisano člankom 6. stavkom 1. prvim podstavkom točkom (f) te uredbe.
98.
U tom pogledu najprije valja napomenuti da, prema mišljenju suda koji je uputio zahtjeve, trenutačno ne postoji nikakav nacionalni propis kojim se određuju rokovi za brisanje u pogledu baza podataka koje održavaju agencije za provjeru kreditne sposobnosti. Međutim, čini se da zainteresirane stranke kodeks ponašanja koji su zajednički uspostavili nadzorna tijela i udruženje agencija za provjeru kreditne sposobnosti smatraju vrstom „pravne osnove” na temelju koje prethodno opisana praksa može biti zakonita. Čini mi se da se takav pristup može pravno kritizirati iz sljedećih razloga.
99.
U pravnom je smislu kodeks ponašanja samo dobrovoljna obveza onih koji su ga sastavili i donijeli, odnosno prethodno navedenog udruženja i njegovih članova. Isto tako, činjenica da je nadzorno tijelo odobrilo navedeni kodeks ponašanja samo znači da se ono kao upravno tijelo smatra obvezanim tim kodeksom ponašanja. Međutim, čini mi se očitim da taj kodeks nema obvezujući učinak na treće osobe u skladu s pravnim načelom „pacta tertiis nec nocent nec prosunt”. U suprotnom se ne bi odnosio samo na fizičke osobe čiji se podaci obrađuju, nego i na agencije koje nisu sudjelovale u izradi takvog kodeksa ponašanja.
100.
Kodeks ponašanja po definiciji nema normativnu vrijednost u pravnom poretku, nego se njime zapravo nastoje pojasniti odredbe normativnog akta radi njegove lakše primjene. To je tumačenje potkrijepljeno člankom 40. stavcima 1. i 2. OUZP‑a, iz kojih proizlazi da su kodeksi ponašanja koje će izraditi udruženja ili druga tijela koja predstavljaju kategorije voditelja obrade ili izvršitelja obrade namijenjeni, s jedne strane, „pružanju doprinosa ispravnoj primjeni” i, s druge strane, „preciziranj[u] primjene” Uredbe (moje isticanje). Stoga, budući da se predmetnim kodeksom ponašanja samo želi osigurati pravilna primjena OUZP‑a u određenom sektoru, on ne može sam po sebi biti pravna osnova koja opravdava obradu osobnih podataka (
48
).
101.
Pravna osnova kojom se opravdava takva obrada mogu biti samo članak 6. OUZP‑a ili, ako postoji primjenjiva odstupajuća klauzula, nacionalno pravo. U ovom sam mišljenju već naveo da se člankom 6. OUZP‑a predviđa iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom (
49
). Stoga pravila iz kodeksa ponašanja ne mogu imati za učinak proširenje tog popisa a da se pritom ne povrijedi pravo Unije.
102.
Međutim, čini mi se da je to upravo slučaj ako se, kao u ovom slučaju, tim pravilima agencijama za provjeru kreditne sposobnosti nalaže obveza pohrane podataka ispitanikâ u trajanju od tri godine, odnosno u duljem razdoblju koje se ne može opravdati s obzirom na načela propisana OUZP‑om kojima se uređuje obrada osobnih podataka. Konkretno, kao što sam to pokazao u okviru svoje analize, pohrana tih podataka ne može se smatrati zakonitom na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a tijekom razdoblja koje slijedi nakon što se osobni podaci o kreditnoj sposobnosti izbrišu iz javnih registara (
50
).
103.
Stoga u ovoj fazi analize valja utvrditi da se kodeksi ponašanja koji bi doveli do rezultata različitog od onog koji bi bio dobiven na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a ne mogu uzeti u obzir u odvagivanju koje se provodi na temelju te odredbe. Agencije za provjeru kreditne sposobnosti ne mogu se, kao „voditelji obrade” u smislu članka 4. stavka 7. OUZP‑a, skrivati iza pravila iz kodeksa ponašanja koja su same sastavile kako bi se valjano oslobodile svojih obveza koje proizlaze iz OUZP‑a.
104.
S obzirom na prethodna razmatranja, smatram da članak 40. stavke 2. i 5. OUZP‑a treba tumačiti na način da se u kodeksima ponašanja izrađenima u skladu s tim odredbama, koje je eventualno odobrilo nadzorno tijelo, ne mogu na pravno obvezujući način utvrditi uvjeti zakonite obrade osobnih podataka koji se razlikuju od uvjetâ iz članka 6. stavka 1. OUZP‑a.
VI. Zaključak
105.
S obzirom na prethodna razmatranja, predlažem Sudu da na prethodna pitanja koja je uputio Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka) odgovori na sljedeći način:
1.
Članak 78. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da:
iz te odredbe proizlazi da se u pogledu pravno obvezujuće odluke nadzornog tijela provodi sveobuhvatan sudski nadzor merituma.
2.
Članak 6. stavak 1. prvi podstavak točku (f) Uredbe 2016/679
treba tumačiti na način da mu se:
protivi to da privatna agencija za provjeru kreditne sposobnosti pohranjuje osobne podatke iz javnog registra, kao što su „nacionalne baze podataka” u smislu članka 79. stavaka 4. i 5. Uredbe (EU) 2015/848 Europskog parlamenta i Vijeća od 20. svibnja 2015. o postupku u slučaju nesolventnosti, dulje nego u javnom registru. Na sudu koji je uputio zahtjeve je da provjeri ispunjava li uvjete iz članka 6. stavka 1. prvog podstavka točke (f) Uredbe 2016/679 razdoblje pohrane podataka dopušteno za javni registar.
3.
Članak 17. stavak 1. točku (d) Uredbe 2016/679
treba tumačiti na način da:
ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja ako su ti podaci obrađeni nezakonito u smislu članka 6. stavka 1. te uredbe.
Članak 17. stavak 1. točku (c) Uredbe 2016/679
treba tumačiti na način da:
ispitanik načelno ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja ako je uložio prigovor na obradu u skladu s člankom 21. stavkom 1. te uredbe. Na sudu koji je uputio zahtjeve je da ispita postoje li, iznimno, jači legitimni razlozi za obradu.
4.
Članak 40. stavke 2. i 5. Uredbe 2016/679
treba tumačiti na način da se:
u kodeksima ponašanja izrađenima u skladu s tim odredbama, koje je eventualno odobrilo nadzorno tijelo, ne mogu na pravno obvezujući način utvrditi uvjeti zakonite obrade osobnih podataka koji se razlikuju od uvjeta iz članka 6. stavka 1. te uredbe.
(
1
)	Izvorni jezik: francuski
(
2
)	SL 2016., L 119, str. 1. te ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.
(
3
)	SL 2015., L 141, str. 19. i ispravak SL 2016., L 349, str. 9.
(
4
)	Konkretno, riječ je o člancima 18. i 21. Direktive 2014/17/ЕU Europskog parlamenta i Vijeća od 4. veljače 2014. o ugovorima o potrošačkim kreditima koji se odnose na stambene nekretnine i o izmjeni direktiva 2008/48/EZ i 2013/36/EU te Uredbe (EU) br. 1093/2010 (SL 2014., L 60, str. 34. i ispravci SL 2015., L 65, str. 22. i SL 2015., L 246, str. 11.) te člancima 8. i 9. Direktive 2008/48/EZ Europskog parlamenta i Vijeća od 23. travnja 2008. o ugovorima o potrošačkim kreditima i stavljanju izvan snage Direktive Vijeća 87/102/EEZ (u daljnjem tekstu: Direktiva 2008/48).
(
5
)	Vidjeti mišljenje nezavisnog odvjetnika M. Szpunara u predmetu Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2020:1054, t. 48.).
(
6
)	Presuda od 15. lipnja 2021., Facebook Ireland i dr. (C‑645/19, EU:C:2021:483, t. 44. i 45.)
(
7
)	Presuda od 16. srpnja 2020., Facebook Ireland i Schrems (C‑311/18, EU:C:2020:559, t. 109.)
(
8
)	Vidjeti u tom smislu Kotschy, W., „Article 77. Right to lodge a complaint with a supervisory authority”, The EU General Data Protection Regulation (GDPR) (ur. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020., str. 1123.
(
9
)	Vidjeti u tom smislu Härting, N./Flisek, C./Thiess, L., „DSGVO: Der Verwaltungsakt wird zum Normalfall - Das neue Beschwerderecht”, Computer und Recht, 5/2018., str. 299., koji podsjećaju na to da je, u skladu s člankom 57. stavkom 1. točkom (a) OUZP‑a, zadaća nadzornog tijela pratiti i provoditi primjenu OUZP‑a u interesu ispitanika. Prema mišljenju autorâ, ono mora djelovati ako su prava građanina povrijeđena obradom osobnih podataka. Naprotiv, nadzorno tijelo dužno je ispraviti nastalu situaciju i izvršiti ovlasti kojima raspolaže na temelju članka 58. stavka 2. OUZP‑a.
(
10
)	Vidjeti u tom smislu Hijmans, H., „Article 55. Tasks”, The EU General Data Protection Regulation (GDPR) (ur. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020., str. 934. i 936.
(
11
)	Vidjeti moje mišljenje u predmetu Parlament/UZ (C‑894/19 P, EU:C:2021:497, t. 68.) za detaljno objašnjenje pojma „dobra uprava” u upravnom pravu Unije.
(
12
)	Mišljenje nezavisnog odvjetnika H. Saugmandsgaarda Øea u predmetu Facebook Ireland i Schrems (C‑311/18, EU:C:2019:1145, t. 146. i 147.)
(
13
)	Mišljenje nezavisnog odvjetnika H. Saugmandsgaarda Øea u predmetu Facebook Ireland i Schrems (C‑311/18, EU:C:2019:1145, t. 148.)
(
14
)	Vidjeti točke 43. i 44. ovog mišljenja.
(
15
)	Vidjeti presudu Suda EFTA‑e od 10. prosinca 2020. u spojenim predmetima E-11/19 i E-12/19, Adpublisher AG/J i K, t. 58., u kojoj taj sud navodi da se u članku 58. stavku 4. i članku 78. OUZP‑a „izražava pravo na učinkoviti sudski pravni lijek”.
(
16
)	Presuda od 7. rujna 2021., Klaipėdos regiono atliekų tvarkymo centras (C‑927/19, EU:C:2021:700, t. 146.)
(
17
)	Vidjeti presudu od 6. listopada 2015., Schrems (C‑362/14, EU:C:2015:650, t. 95.).
(
18
)	Vidjeti presudu od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, t. 41.).
(
19
)	Vidjeti u tom smislu Kotschy, W., „Article 77. Right to lodge a complaint with a supervisory authority”, The EU General Data Protection Regulation (GDPR) (ur. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020., str. 1127. do 1130.
(
20
)	Vidjeti mišljenje nezavisnog odvjetnika J. Richarda de la Toura u predmetu Budapesti Elektromos Művek i dr. (C‑132/21, EU:C:2022:661, t. 43. i sljedeće).
(
21
)	Presude od od 11. studenoga 2020., DenizBank (C‑287/19, EU:C:2020:897, t. 59.) i 24. veljače 2022., Glavna direkcija „Požarna bezopasnost i zaštita na naselenieto (C‑262/20, EU:C:2022:117, t. 33.)
(
22
)	Presuda od 11. prosinca 2019., Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, t. 32.)
(
23
)	Presuda od 26. travnja 2022., Poljska/Parlament i Vijeće (C‑401/19, EU:C:2022:297, t. 47.)
(
24
)	Presude od od 22. lipnja 2021., Latvijas Republikas Saeima (Kazneni bodovi) (C‑439/19, EU:C:2021:504, t. 99.) i 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, t. 67.)
(
25
)	Presuda od 17. lipnja 2021., M. I. C. M. (C‑597/19, EU:C:2021:492, t. 106.)
(
26
)	Vidjeti u tom pogledu mišljenje nezavisnog odvjetnika A. Rantosa u predmetu Meta Platforms i dr. (Opći uvjeti uporabe društvene mreže) (C‑252/21, EU:C:2022:704, t. 60.).
(
27
)	Vidjeti presude od 4. svibnja 2017., Rīgas satiksme (C‑13/16, EU:C:2017:336, t. 30.) i od 17. lipnja 2021., M. I. C. M. (C‑597/19, EU:C:2021:492, t. 110.).
(
28
)	Presude od 4. svibnja 2017., Rīgas satiksme (C‑13/16, EU:C:2017:336, t. 31.) i od 17. lipnja 2021., M. I. C. M. (C‑597/19, EU:C:2021:492, t. 111.) i
(
29
)	Mišljenje 06/2014 o pojmu zakonitih interesa nadzornika podataka u skladu s člankom 7. Direktive 95/46/EZ, RD 217 od 9. travnja 2014., Glava III.3.4 („Ključni čimbenici o kojima treba voditi računa prilikom primjene testa ravnoteže”).
(
30
)	Vidjeti točke 61. do 63. ovog mišljenja.
(
31
)	Presude od 13. svibnja 2014., Google Spain i Google (C‑131/12, EU:C:2014:317, t. 86. i 87.) i od 11. prosinca 2019., Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, t. 57.)
(
32
)	Presuda od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, t. 92.)
(
33
)	Presuda od 11. prosinca 2019., Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, t. 57.)
(
34
)	Presuda od 13. svibnja 2014., Google Spain i Google (C‑131/12, EU:C:2014:317, t. 98.)
(
35
)	Vidjeti presudu od 22. studenoga 2022., Luxembourg Business Registers (C‑37/20 i C‑601/20, EU:C:2022:912, t. 39. do 42.), u kojoj je Sud stavljanje na raspolaganje cjelokupnoj javnosti informacija o stvarnim vlasnicima korporativnih i drugih pravnih subjekata smatrao povredom prava zajamčenih člancima 7. i 8. Povelje. Sud je u svojem rasuđivanju uzeo u obzir osjetljivost predmetnih osobnih podataka, kao i činjenicu da su informacije bile dostupne potencijalno neograničenom broju osoba.
(
36
)	SCHUFA je na raspravi uputila na činjenicu da neke osobe ponovno postaju kreditno nesposobne, što, prema mišljenju te agencije, opravdava razdoblje pohrane od tri godine.
(
37
)	Gutowski, M., „OLG Schleswig: Eintragung erfolgter Restschuldbefreiung in Datenbanken von Auskunfteien über die Löschungsfrist für das Insolvenzbekanntmachungsportal hinaus”, Neue Zeitschrift für Insolvenz- und Sanierungsrecht, 18/2021., str. 799., izražava dvojbe u pogledu korisnosti toga da se za potrebe utvrđivanja ekonomske situacije osobe predvidi razdoblje pohrane njezinih podataka od tri mjeseca.
(
38
)	Vidjeti u tom smislu Heyer, H.-U., „Schein‑Datenschutz”, Zeitschrift für Verbraucher-, Privat- und Nachlassinsolvenz, 2019., str. 46.
(
39
)	Vidjeti točku 31. ovog mišljenja.
(
40
)	Vidjeti presudu od 11. prosinca 2019., Asociaţia de Proprietari bloc M5A‑ScaraA (C‑708/18, EU:C:2019:1064, t. 58.).
(
41
)	Ne čini se da je to utvrđenje dovedeno u pitanje argumentom koji je SCHUFA istaknula na raspravi, prema kojem njemački zakonodavac nije poduzeo ništa kako bi skratio rok od tri godine koji primjenjuje privatna agencija. Naime, razlozi zbog kojih država članica još nije riješila pitanje povezano s paralelnim bazama podataka mogu biti brojni. Cilj je zahtjeva za prethodnu odluku koje je podnio sud koji je uputio zahtjeve upravo pronaći odgovore na to pitanje kako bi se stvorila situacija koja je u skladu sa zahtjevima iz OUZP‑a.
(
42
)	Vidjeti točku 75. ovog mišljenja.
(
43
)	Ehmann, E., Bundesdatenschutzgesetz, Simitis, S., Hornung, G., Spiecker, I. (ur.), Datenschutzrecht – DSGVO mit BDSG, 8. izdanje, Baden‑Baden 2014., odlomak 29., t. 192., smatra da legitiman interes za širenje osobnih podataka s pomoću baze podataka kojom upravlja privatna agencija više ne postoji ako je istekao rok za njihovu objavu u javnom registru koji je predviđen nacionalnim zakonodavstvom jer bi se u suprotnom ugrozio zakonodavni cilj.
(
44
)	Vidjeti presudu od 1. kolovoza 2022., Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, t. 93.), iz koje proizlazi da uvjet koji se odnosi na „nužnost obrade” treba ispitati zajedno s takozvanim načelom „smanjenja količine podataka”.
(
45
)	Dix, A., Datenschutzrecht - DSGVO mit BDSG (ur. Simitis/Hornung/Spiecker), Baden‑Baden 2018., članak 17., točka 14.
(
46
)	Vidjeti točku 77. ovog mišljenja.
(
47
)	Kranenborg, H., Article 17. Right to erasure („right to be forgotten”), The EU General Data Protection Regulation (GDPR) (ur. Christopher Kuner, Lee A. Bygrave, Christopher Docksey), Oxford 2020., str. 481., objašnjava da je učinak članka 21. stavka 1. OUZP‑a prebacivanje tereta dokazivanja, tako da voditelj obrade podataka, a ne ispitanik, treba dokazati jače legitimne razloge kako bi opravdao obradu. Ako voditelj obrade u tome ne uspije, predmetne podatke treba izbrisati.
(
48
)	Valja skrenuti pozornost na činjenicu da se u predmetnom kodeksu ponašanja („Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien (Kodeks ponašanja u pogledu rokova za provjeru i brisanje osobnih podataka koje provode njemačke privatne agencije za provjeru kreditne sposobnosti) od 25. svibnja 2018.) navodi da njegova pravila „ne sadržavaju nikakvo uređenje materijalnog opravdanja pohrane osobnih podataka”. Iz navedenog kodeksa ponašanja proizlazi i da „uređenje razdobljâ pohrane i brisanja ne upućuje na zakonitost njihove pohrane. Primjenjuju se sljedeća razdoblja brisanja i pohrane, neovisno o tome jesu li odnosni podaci prikupljeni i pohranjeni na temelju pravne osnove ili na temelju privole” (moje isticanje). Prema mojem mišljenju, to dokazuje da su autori navedenog kodeksa morali biti svjesni činjenice da kodeks ponašanja nije pravna osnova na temelju koje obrada podataka može biti zakonita.
(
49
)	Vidjeti točku 59. ovog mišljenja.
(
50
)	Vidjeti točku 77. ovog mišljenja.