62021CJ0634_RES
C‑634/21. sz. ügy
OQ
kontra
Land Hessen
(a Verwaltungsgericht Wiesbaden [Németország] által benyújtott előzetes döntéshozatal iránti kérelem)
A Bíróság ítélete (első tanács), 2023. december 7.
„Előzetes döntéshozatal – A természetes személyeknek a személyes adatok kezelése tekintetében történő védelme – (EU) 2016/679 rendelet – 22. cikk – Automatizált döntéshozatal egyedi ügyekben – Üzleti információkat nyújtó vállalatok – Valamely személy jövőbeli fizetési kötelezettségeinek teljesítésével kapcsolatos képességére vonatkozó valószínűségi érték automatizált megállapítása (»scoring«) – E valószínűségi érték harmadik személyek általi felhasználása”
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Jogorvoslati lehetőségek – A felügyeleti hatóság panasz tárgyában hozott határozata elleni bírósági jogorvoslat – Bírósági felülvizsgálat – Terjedelem – Korlátok – Hiány
(2016/679 európai parlamenti és tanácsi rendelet, 78. cikk, (1) bekezdés)
(lásd: 34. pont)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintett arra vonatkozó joga, hogy ne terjedjen ki rá a kizárólag automatizált adatkezelésen alapuló döntés hatálya – Automatizált döntéshozatal egyedi ügyekben – Fogalom – Valamely személy fizetőképességére vonatkozó, harmadik személyek által felhasznált valószínűségi érték üzleti információkat nyújtó vállalat általi automatizált megállapítása – Bennfoglaltság – Feltételek
(2016/679 európai parlamenti és tanácsi rendelet, (71) preambulumbekezdés, 4. cikk, 4. pont és 22. cikk, (1) bekezdés)
(lásd: 43., 46–50., 60–63., 73. pont és a rendelkező rész)
A természetes személyek védelme a személyes adatok kezelése vonatkozásában – 2016/679 rendelet – Az érintett arra vonatkozó joga, hogy ne terjedjen ki rá a kizárólag automatizált adatkezelésen alapuló döntés hatálya – Kivételek – Valamely tagállam joga által lehetővé tett, kizárólag automatizált adatkezelésen alapuló döntés meghozatala – Az említett rendeletben meghatározott feltételek és követelmények betartására vonatkozó kötelezettség – A nemzeti bíróságra háruló vizsgálat
(2016/679 európai parlamenti és tanácsi rendelet, (71) preambulumbekezdés, 5., 6. és 22. cikk, (2)–(4) bekezdés)
(lásd: 53–55., 64., 67–70., 72. pont)
Összefoglalás
A Schufa Holding AG egy német jog szerinti magánvállalat, amely a szerződéses partnerei számára információkat nyújt a magánszemélyek fizetőképességéről. Ennek érdekében matematikai és statisztikai eljárások segítségével az adott személy bizonyos jellemzői alapján minden egyes érintett személyhez egy értéket („score”) rendel. A megállapított score‑értékeket arra használják, hogy előre jelezzék egy személy jövőbeli magatartását – például egy kölcsön visszafizetését – más, hasonló jellemzőkkel rendelkező személyek csoportjához való hozzárendelése alapján.
A SCHUFA által összeállított és egy hitelintézetnek továbbított kedvezőtlen információkat követően ez az intézet OQ esetében megtagadta a kölcsönnyújtást. OQ kérte a SCHUFA‑t, hogy biztosítson számára hozzáférést a rá vonatkozó adatokhoz, és törölje az állítása szerint téves adatokat. A SCHUFA azonban csak a score‑értékét és annak kiszámításának általános módszerét közölte vele, a kérelem többi része tekintetében pedig az üzleti titokra hivatkozott.
OQ ezt követően panaszt nyújtott be a SCHUFA ellen a német felügyeleti hatósághoz, az adatvédelmi biztoshoz, (
1
) amelyet ez utóbbi azzal az indokkal utasított el, hogy a SCHUFA tevékenysége megfelel a fizetőképességre vonatkozó valószínűségi érték használatára vonatkozó német jogszabályoknak. (
2
)
Az adatvédelmi biztos határozatával szemben OQ által benyújtott kereset tárgyában eljáró Verwaltungsgericht Wiesbaden (wiesbadeni közigazgatási bíróság, Németország) az általános adatvédelmi rendeletnek (
3
) az érintett azon jogára vonatkozó rendelkezései értelmezését kérte a Bíróságtól, hogy ne terjedjen ki rá a kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya”. (
4
)
Ítéletében a Bíróság első alkalommal értelmezi az általános adatvédelmi rendeletnek a kizárólag automatizált adatkezelésen alapuló döntések érzékeny területére vonatkozó rendelkezéseit. Ennek keretében arról a kérdésről határoz, hogy az üzleti információkat nyújtó vállalat által valamely személy fizetőképességére vonatkozó valószínűségi érték automatizált megállapítása automatizált egyedi döntéshozatalnak minősül‑e, és így e rendelkezések hatálya alá tartozik‑e.
A Bíróság álláspontja
A Bíróság mindenekelőtt megállapítja, hogy a jelen ügyben teljesül az általános adatvédelmi rendelet azon rendelkezéseinek alkalmazhatóságára vonatkozó három együttes feltétel, amely a személy arra vonatkozó jogát szabályozza, hogy ne terjedjen ki rá a kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – alapuló döntés hatálya.
Az első, a döntés fennállására vonatkozó feltételt illetően a Bíróság megjegyzi, hogy a „döntés” fogalma tág hatállyal rendelkezik, és magában foglalhatja egy személy fizetőképességére vonatkozó számítás eredményét egy valószínűségi érték formájában, amely arra vonatkozik, hogy a személy képes‑e a jövőben teljesíteni fizetési kötelezettségeit.
Ami a második feltételt illeti, amely szerint a döntésnek „kizárólag automatizált adatkezelésen – ideértve a profilalkotást is – [kell] alapulnia”, a Bíróság álláspontja szerint kétségtelen, hogy a szóban forgó vállalat tevékenysége a „profilalkotás” (
5
) fogalma alá tartozik, és ezért ez a feltétel ebben az esetben teljesül. Ezenfelül a kérdést előterjesztő bíróság kifejezetten megemlíti, hogy olyan valószínűségi érték automatizált megállapításáról van szó, amely valamely személyre vonatkozó személyes adatokon alapul, és amely e személynek valamely kölcsön jövőbeni törlesztésével kapcsolatos képességére utal.
Ami, harmadszor, azt a feltételt illeti, hogy a döntésnek „joghatásokat” kell kiváltania az érintett személyre nézve, vagy őt „hasonlóképpen jelentős mértékben” kell érintenie, a Bíróság rámutat, hogy a jelen esetben annak a harmadik személynek a tevékenységét, akinek a valószínűségi értéket továbbítják, „elsősorban” ez az érték irányítja. A nem megfelelő valószínűségi érték ugyanis szinte mindig a kölcsön nyújtásának megtagadását eredményezi. Így ez az érték legalábbis jelentős hatással van az érintett személyre.
A Bíróság ebből azt a következtetést vonja le, hogy abban az esetben, ha az üzleti információkat nyújtó vállalat által megállapított és a bankkal közölt valószínűségi érték döntő szerepet játszik a kölcsönnyújtásban, ezen érték megállapítását önmagában olyan döntésnek kell minősíteni, amely az érintett személyre nézve „joghatással jár vagy őt hasonlóképpen jelentős mértékben érinti”. (
6
)
Ezt követően a Bíróság hangsúlyozza, hogy ez az értelmezés, és különösen a „döntés” fogalmának tág hatálya megerősíti az általános adatvédelmi rendeletben említett hatékony védelmet. Ezzel szemben jogvédelmi hézag kialakulásának veszélyét idézné elő e rendelkezés olyan megszorító értelmezésének elfogadása, amely szerint a valószínűségi érték megállapítása csak előkészítő aktusnak minősül, és csak a harmadik személy által elfogadott aktus minősülhet adott esetben „döntésnek”. Ebben az esetben ugyanis az ilyen valószínűségi érték megállapítása kikerülne az általános adatvédelmi rendeletben (
7
) foglalt különös követelmények alól, jóllehet ez az eljárás automatizált adatkezelésen alapul, és olyan hatásokat vált ki, amelyek jelentős mértékben érintik az érintett személyt, mivel annak a harmadik személynek a tevékenységét, akinek a valószínűségi értéket továbbítják döntő mértékben ez az érték irányítja.
Ezenkívül, egyrészt az érintett nem tudná érvényesíteni a konkrét információkhoz való hozzáférési jogát (
8
) az őt érintő valószínűségi értéket megállapító, üzleti információkat nyújtó vállalatoknál, ha e vállalat nem hozna automatizált döntést. Másrészt, még ha feltételezzük is, hogy a harmadik személy által elfogadott aktus az általános adatvédelmi rendelet azon rendelkezéseinek hatálya alá tartozik, amelyek a személy arra vonatkozó jogát szabályozzák, hogy ne terjedjen ki rá a kizárólag automatizált adatkezelésen alapuló döntés hatálya, e harmadik személy akkor sem tudná megadni ezeket a konkrét információkat, mivel általában nem rendelkezik azokkal.
Végül a Bíróság megjegyzi, hogy az a tény, hogy a valószínűségi érték megállapítása az általános adatvédelmi rendelet azon rendelkezéseinek hatálya alá tartozik, amelyek a személy arra vonatkozó jogát szabályozzák, hogy ne terjedjen ki rá a kizárólag automatizált adatkezelésen alapuló döntés hatálya, azzal a következménnyel jár, hogy az nem megengedett, kivéve, ha alkalmazható a kivételek valamelyike, és teljesülnek az általános adatvédelmi rendeletben foglalt különös követelmények.
Ezenkívül a személyes adatok bármilyen kezelésének egyrészt meg kell felelnie az általános adatvédelmi rendeletben meghatározott, az adatkezelésre vonatkozó elveknek, másrészt pedig, különös tekintettel az adatkezelés jogszerűségének elvére, meg kell felelnie a jogszerűségre vonatkozó feltételek egyikének.
Ebben az összefüggésben a Bíróság rámutat, hogy a kérdést előterjesztő bíróság arra a kivételre hivatkozik, amely szerint a kizárólag automatizált adatkezelésen alapuló döntéshozatal akkor megengedett, ha azt a tagállam joga lehetővé teszi. E tekintetben megállapítja, hogy e bíróság feladata annak vizsgálata, hogy a fizetőképességgel kapcsolatos valószínűségi érték alkalmazásának módjait szabályozó nemzeti jogszabály minősülhet‑e olyan jogalapnak, amely az ilyen döntés elfogadását lehetővé teszi, és igenlő válasz esetén, hogy teljesülnek‑e a jelen esetben az e kivételre és az adatkezelésre alkalmazandó elvekre vonatkozó, az általános adatvédelmi rendeletben előírt feltételek.
(
1
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hessen tartomány adatvédelmi és információszabadságért felelős biztosa, Németország).
(
2
)	A 2017. június 30‑i Bundesdatenschutzgesetz (az adatvédelemről szóló szövetségi törvény, BGBl. I, 2097. o.) 31. §.
(
3
)	A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK rendelet hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) (HL 2016. L 119., 1. o.; helyesbítések: HL 2016. L 314., 72. o.; HL 2018. L 127., 2. o.; HL 2021. L 74., 35. o.).
(
4
)	Az általános adatvédelmi rendelet 22. cikke.
(
5
)	Az általános adatvédelmi rendelet 4. cikkének 4. pontja értelmében.
(
6
)	Az általános adatvédelmi rendelet 22. cikkének (1) bekezdése értelmében.
(
7
)	Az általános adatvédelmi rendelet 22. cikkének (2)–(4) bekezdésében foglaltak szerint. Ezekből a rendelkezésekből világosan kitűnik, hogy a kizárólag automatizált adatkezelésen alapuló egyedi döntés tilalmára három kivétel vonatkozik, amelyek további garanciákkal egészülnek ki. Az ilyen döntés tehát akkor megengedett, ha az az érintett és az adatkezelő közötti szerződés megkötése vagy teljesítése érdekében szükséges, meghozatalát az adatkezelőre alkalmazandó uniós vagy tagállami jog lehetővé teszi, vagy az érintett kifejezett hozzájárulásán alapul, feltéve hogy megtették az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében a megfelelő intézkedéseket.
(
8
)	Az általános adatvédelmi rendelet 15. cikke (1) bekezdésének h) pontja szerint, amely automatizált döntéshozatal esetén széles körű hozzáférési jogot biztosít az érintett számára.