62022CJ0026_RES
C‑26/22. és C‑64/22. sz. egyesített ügyek
UFésAB
kontra
Land Hessen
(a Verwaltungsgericht Wiesbaden [Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (első tanács), 2023. december 7.
„Előzetes döntéshozatal – A természetes személyeknek a személyes adatok kezelése tekintetében történő védelme – (EU) 2016/679 rendelet – Az 5. cikk (1) bekezdésének a) pontja – A »jogszerűség« elve – A 6. cikk (1) bekezdése első albekezdésének f) pontja – Az adatkezelő vagy egy harmadik személy jogos érdekeinek érvényesítéséhez szükséges adatkezelés – A 17. cikk (1) bekezdésének d) pontja – Törléshez való jog a személyes adatok jogellenes kezelése esetén – 40. cikk – Magatartási kódexek – A 78. cikk (1) bekezdése – A felügyeleti hatósággal szembeni hatékony bírósági jogorvoslathoz való jog – A felügyeleti hatóság panaszt elbíráló határozata – Az e határozattal szembeni bírósági felülvizsgálat terjedelme – Üzleti információkat nyújtó vállalatok – Valamely személy fennálló tartozásának elengedésére vonatkozó, közhiteles nyilvántartásból származó adatok tárolása – A tárolás időtartama”
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Jogorvoslati lehetőségek – A felügyeleti hatóság panasz tárgyában hozott határozata elleni bírósági jogorvoslat – Bírósági felülvizsgálat – Terjedelem – Korlátok – Hiány
(Az Európai Unió Alapjogi Chartája, 8. cikk, (3) bekezdés és 47. cikk; 2016/679 európai parlamenti és tanácsi irányelv, (141) és (143) preambulumbekezdés, 52. cikk, 78. cikk, (1) bekezdés, és 79. cikk, (1) bekezdés)
(lásd: 50–53., 58., 59., 62., 67–70. pont és a rendelkező rész 1. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A személyesadat‑kezelés jogszerűségének feltételei – Az adatkezelő vagy egy harmadik személy jogos érdekeinek érvényesítéséhez szükséges adatkezelés – Valamely magánvállalat tevékenységéhez szükséges adatkezelés, amely a szerződéses partnerei számára a potenciális ügyfeleik fizetőképességének felmérése céljából üzleti információk nyújtásából áll – Valamely személy fennálló tartozásainak elengedésére vonatkozó, közhiteles nyilvántartásból származó adatok rendszeres tárolása – A közhiteles fizetésképtelenségi nyilvántartásban szereplő adatok tárolási idejét meghaladó tárolási időtartam – Megengedhetetlenség
(Az Európai Unió Alapjogi Chartája, 7. és 8. cikk; 2015/848 európai parlamenti és tanácsi rendelet, (76) preambulumbekezdés, 79. cikk, (4) és (5) bekezdés; 2016/679 európai parlamenti és tanácsi rendelet, 5. cikk, (1) bekezdés, a) pont és 6. cikk, (1) bekezdés, első albekezdés, f) pont)
(lásd: 75., 83., 88–100., 113. pont és a rendelkező rész 2. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A személyesadat‑kezelés jogszerűségének feltételei – Az illetékes felügyeleti hatóság által jóváhagyott, az adatkezelőket vagy adatfeldolgozókat képviselő szövetség által kidolgozott magatartási kódex – Az adatkezelés jogszerűségére vonatkozóan a 2016/679 rendeletben meghatározott feltételeknek nem megfelelő feltételeket megállapító kódex – Figyelembevétel hiánya
(2016/679 európai parlamenti és tanácsi rendelet, 6. cikk, (1) bekezdés, első albekezdés, f) pont, és 40. cikk, (1), (2) és (5) bekezdés)
(lásd: 101–105. pont)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A törléshez való jog – Terjedelem – A személyes adatok jogellenes kezelése – Bennfoglaltság
(2016/679 európai parlamenti és tanácsi rendelet, 17. cikk, (1) bekezdés, d) pont)
(lásd: 107., 108., 113. pont és a rendelkező rész 4. pontja)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – A törléshez való jog – Terjedelem – Az érintettnek az adatkezelés elleni tiltakozáshoz való joga – Bennfoglaltság – Kivétel – Az adatkezelésre vonatkozó kényszerítő erejű jogos okok fennállása, amelyek elsőbbséget élveznek e személy érdekeivel, jogaival és szabadságaival szemben – Az adatkezelőre háruló bizonyítási teher
(2016/679 európai parlamenti és tanácsi rendelet, 17. cikk, (1) bekezdés, c) pont és 21. cikk, (1) bekezdés)
(lásd: 109–113. pont és a rendelkező rész 3. pontja)
Összefoglalás
A Schufa Holding AG német jog szerinti magánvállalat, amely saját adatbázisaiban rögzíti és tárolja a közhiteles nyilvántartásokból származó információkat, így különösen a fennálló tartozások elengedésére vonatkozó információkat, amelyeket adott esetben a szerződéses partnerei rendelkezésére bocsát. Ezeket az információkat – az üzleti információkat nyújtó vállalatok szövetsége által Németországban kidolgozott magatartási kódexnek megfelelően – a nyilvántartásba vételüket követő három év elteltével törli.
UF és AB – miután az őket érintő fizetésképtelenségi eljárásokban a fennálló tartozásaik idő előtti elengedésére vonatkozó határozatot hoztak – kérte a SCHUFA‑t, hogy törölje az e határozatokra vonatkozó bejegyzéseket. E vállalat megtagadta a kérelmeik teljesítését, kifejtve, hogy rá nem vonatkozik az ezen adatoknak a közhiteles nyilvántartásból való törlésére a német jogban (
1
) előírt hat hónapos határidő.
UF és AB egyaránt panaszt nyújtott be a SCHUFA‑val szemben az adatvédelmi biztoshoz, (
2
) az illetékes felügyeleti hatósághoz, amelyet az azzal az indokolással utasított el, hogy a SCHUFA által végzett adatkezelés jogszerű.
Az adatvédelmi biztos határozataival szemben az UF és AB által benyújtott keresetek tárgyában eljáró Verwaltungsgericht Wiesbaden (wiesbadeni közigazgatási bíróság, Németország) az általános adatvédelmi rendelet számos rendelkezésének (
3
) értelmezését kérte a Bíróságtól, különösen azokét, amelyek az adatkezelésnek az érvényesített érdekekhez való szükségességére és a törléshez való jogra vonatkoznak. (
4
)
A Bíróság az ítéletében megállapítja, hogy az általános adatvédelmi rendelettel (
5
) ellentétes a üzleti információkat nyújtó magánvállalatok azon gyakorlata, hogy a természetes személyek fennálló tartozásainak elengedésére vonatkozó, közhiteles nyilvántartásból származó információkat a saját adatbázisaikban a nemzeti jogszabály által az ilyen adatok közhiteles nyilvántartásban való tárolására előírt időtartamnál hosszabb ideig tárolják. A Bíróság határozott továbbá az érintett arra vonatkozó jogáról, hogy kérje e vállalattól a rá vonatkozó adatok törlését.
A Bíróság álláspontja
Először is, a Bíróság emlékeztet arra, hogy az általános adatvédelmi rendelet szerint a személyes adatok kezelése akkor tekinthető jogszerűnek, ha három együttes feltétel teljesül, nevezetesen először is az adatkezelő vagy harmadik személy jogos érdeket érvényesít, másodszor a személyes adatok kezelése valamely jogos érdek érvényesítéséhez szükséges, és harmadszor, hogy az adatvédelemmel érintett személy érdekei vagy alapvető jogai és szabadságai nem magasabb rendűek, mint az adatkezelő vagy egy harmadik személy jogos érdekei. (
6
)
Az első feltételt illetően a Bíróság hangsúlyozza, hogy noha a jelen ügyben a személyesadat‑kezelés egy magánvállalat gazdasági érdekeit szolgálja, ez az adatkezelés ugyanakkor e vállalat szerződéses partnereinek jogos érdekeit is szolgálja, akiknek értékelniük kell azon személyek fizetőképességét, akikkel hitelszerződést kívánnak kötni, és így a hitelszektor érdekeit is társadalmi‑gazdasági szempontból.
A második feltételt illetően a Bíróság emlékeztet arra, hogy az adatkezelés csak akkor tekinthető „szükségesnek”, ha arra az adatkezelő vagy egy harmadik személy jogos érdekének érvényesítéséhez feltétlenül szükséges határokon belül kerül sor.
Ami a harmadik feltételt illeti, a Bíróság megállapítja, hogy a jelen esetben e feltétel vizsgálata egybeesik a második feltétel vizsgálatával, és az ellentétes jogok és érdekek mérlegelését teszi szükségessé annak értékelése érdekében, hogy az érvényesíteni kívánt jogos érdekek észszerűen nem valósíthatók‑e meg rövidebb adattárolási időszak útján.
Az érvényesíteni kívánt jogos érdekek mérlegelését illetően a Bíróság megállapítja tehát, hogy ha az üzleti információkat nyújtó vállalatok által adott elemzés segítségével objektíven és megbízhatóan lehet vizsgálni az említett vállalat potenciális ügyfeleinek fizetőképességét, akkor ez az elemzés lehetővé teszi az információk közötti eltérések ellensúlyozását, és ezáltal a csalás és egyéb bizonytalanságok kockázatának csökkentését.
Az érintett jogai és érdekei tekintetében viszont a Bíróság úgy véli, hogy a fennálló tartozások elengedésével kapcsolatos adatoknak e vállalat általi kezelése, így például ezen adatok tárolása, elemzése és harmadik személlyel való közlése az érintettnek alapvető jogaiba való súlyos beavatkozásnak minősül. (
7
) Az ilyen adatok ugyanis negatív tényezőként szolgálnak az érintett fizetőképességének értékelésénél, és ezért a magánéletére vonatkozó érzékeny információknak minősülnek, amelyek kezelése alkalmas arra, hogy jelentős mértékben sértse az érdekeit. Továbbá minél hosszabb ideig tárolják az ilyen adatokat az üzleti információkat nyújtó vállalatok, annál nagyobb hatással vannak az érintett érdekeire és magánéletére, és annál magasabbak az ezen információk tárolásának jogszerűségére vonatkozó követelmények.
Egyébiránt a közhiteles fizetésképtelenségi nyilvántartásokban való adattárolással kapcsolatban a Bíróság megállapítja, hogy a tagállamok felelnek az adatok gyűjtéséért és a nemzeti adatbázisban való tárolásáért, (
8
) következésképpen nekik kell meghatározniuk az adatok tárolásának határidejét is. A jelen esetben a nemzeti jogalkotó úgy ítélte meg, hogy a hat hónapos határidő lejártát követően az érintett jogai és érdekei elsőbbséget élveznek a nyilvánosság azon jogaival és érdekeivel szemben, hogy ezen információkkal rendelkezzen.
Ezenkívül, a fennálló tartozás elengedésének az a célja, hogy lehetővé tegye az abban részesülő személy számára, hogy ismét részt vehessen a gazdasági életben, és általában egzisztenciális jelentősége van e személy számára. E cél elérését azonban veszélyeztetné, ha az erre vonatkozó információkat a közhiteles fizetésképtelenségi nyilvántartásból való törlésük után is tárolni lehetne és fel lehetne használni.
Következésképpen a Bíróság megállapítja, hogy a hitelágazat azon érdeke, hogy rendelkezzen a fennálló tartozások elengedésére vonatkozó információkkal, nem igazolhatja az adatoknak a közhiteles fizetésképtelenségi nyilvántartásban való tárolási időn túli tárolását.
A Bíróság hozzáteszi, hogy az adatok hat hónapon keresztül történő tárolása szintén az érintett alapvető jogaiba való beavatkozásnak minősül. E tekintetben a kérdést előterjesztő bíróság feladata annak értékelése, hogy ezen adatoknak a magánvállalatok általi párhuzamos tárolása a feltétlenül szükséges mértékre korlátozódónak tekinthető‑e.
Végül, ami az adatok három év elteltével történő törlését előíró magatartási kódex meglétét illeti, a Bíróság megjegyzi, hogy bár egy ilyen kódex célja, hogy segítse az általános adatvédelmi rendelet helyes alkalmazását, (
9
) a személyes adatok kezelése jogszerűségének az ilyen kódexben meghatározott feltételei nem térhetnek el az általános adatvédelmi rendeletben meghatározott feltételektől. Így az általános adatvédelmi rendelet alapján kapott értékeléstől eltérő értékelést eredményező magatartási kódexet nem lehet figyelembe venni.
Másodszor, ami az adatkezelőnek a személyes adatok törlésére vonatkozó kötelezettségeit illeti, a Bíróság megjegyzi egyrészt, hogy az adatkezelőnek törölnie kell a jogellenesen kezelt adatokat, mint jelen esetben az érintett vállalat által a közhiteles nyilvántartásban a hat hónapos tárolási időn túl végzett adatkezelést. (
10
) Másrészt, még ha a nemzeti bíróság meg is állapítaná, hogy az adatok kezelése a hat hónapos időszak alatt jogszerű volt, az érintettnek joga van tiltakozni az ilyen adatkezelés ellen, (
11
) és kérheti a rá vonatkozó adatok törlését, ha ez a vállalat továbbra sem tudja bizonyítani, hogy olyan kényszerítő erejű jogos okok állnak fenn, amelyek elsőbbséget élveznek az érintett érdekeivel, jogaival és szabadságaival szemben. (
12
)
(
1
)	A 2002. február 12‑i Verordnung öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (a fizetésképtelenségi eljárásokhoz kapcsolódó, az interneten közzétett hirdetményekről szóló rendelet, BGBl. I, 677. o.) 3. §-ának (1) bekezdése.
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hessen tartomány adatvédelmi és információszabadságért felelős biztosa, Németország).
(
3
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27-i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.).
(
4
)	E rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja, illetve 17. cikke (1) bekezdésének c) és d) pontja.
(
5
)	Az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontjával összefüggésben értelmezett 5. cikke (1) bekezdésének a) pontja.
(
6
)	Az általános adatvédelmi rendelet 6. cikke (1) bekezdése első albekezdésének f) pontja értelmében.
(
7
)	Az Európai Unió Alapjogi Chartájának a magánélet tiszteletben tartásáról, illetve a személyes adatok védelméről szóló 7. és 8. cikkében rögzített jogok.
(
8
)	A fizetésképtelenségi eljárásról szóló, 2015. május 20‑i (EU) 2015/848 európai parlamenti és tanácsi rendelet (HL 2015. L 141., 19. o.) 79. cikkének (4) bekezdése szerint. E rendelet 79. cikkének (5) bekezdése pusztán arról rendelkezik, hogy a tagállamok tájékoztatják az érintetteket arról, hogy a fizetésképtelenségi nyilvántartásokban tárolt személyes adataikhoz való hozzáférés céljára milyen időtartam áll a rendelkezésükre anélkül, hogy meghatározná az említett adatok tárolására vonatkozó határidőt.
(
9
)	Az általános adatvédelmi rendelet 40. cikkének (1) és (2) bekezdése szerint.
(
10
)	Az általános adatvédelmi rendelet 17. cikke (1) bekezdése d) pontjának megfelelően.
(
11
)	Az általános adatvédelmi rendelet 21. cikkének (1) bekezdése szerint.
(
12
)	Az általános adatvédelmi rendelet 17. cikke (1) bekezdésének c) pontja alapján.