62022CJ0026_RES
Forenede sager C-26/22 og C-64/22
UFogAB
mod
Land Hessen
(anmodning om præjudiciel afgørelse indgivet af Verwaltungsgericht Wiesbaden)
Domstolens dom (Første Afdeling) af 7. december 2023
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 5, stk. 1, litra a) – princippet om »lovlighed« – artikel 6, stk. 1, første afsnit, litra f) – behandlingens nødvendighed for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse – artikel 17, stk. 1, litra d) – ret til sletning i tilfælde af ulovlig behandling af personoplysninger – artikel 40 – adfærdskodekser – artikel 78, stk. 1 – adgang til effektive retsmidler over for en tilsynsmyndighed – tilsynsmyndighedens afgørelse vedrørende en klage – omfanget af domstolsprøvelsen af denne afgørelse – kreditoplysningsbureauer – opbevaring af oplysninger fra et offentligt register om gældssanering, der er indrømmet en person – opbevaringsperiode«
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – retsmidler – retsmiddel til prøvelse af en klageafgørelse truffet af en tilsynsmyndighed – domstolsprøvelse – omfang – grænser – foreligger ikke
(Den Europæiske Unions charter om grundlæggende rettigheder, art. 8, stk. 3, og art. 47; Europa-Parlamentets og Rådets forordning 2016/679, 141. og 143. betragtning samt art. 52, art. 78, stk. 1, og art. 79, stk. 1)
(jf. præmis 50-53, 58, 59, 62 og 67-70 samt domskonkl. 1)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – betingelser for lovligheden af en behandling af personoplysninger – behandling, som er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse – behandling, som er nødvendig for en privat virksomheds aktivitet i form af levering af kreditoplysninger til sine aftalepartnere med henblik på vurdering af deres potentielle kunders kreditværdighed – systematisk opbevaring af oplysninger fra et offentligt register om gældssanering, der er indrømmet en person – opbevaringsperiode, der går ud over fristen for, hvor længe oplysningerne må opbevares i det offentlige insolvensregister – ikke tilladt
[Den Europæiske Unions charter om grundlæggende rettigheder, art. 7 og 8; Europa-Parlamentets og Rådets forordning 2015/848, 76. betragtning og art. 79, stk. 4 og 5; Europa-Parlamentets og Rådets forordning 2016/679, art. 5, stk. 1, litra a), og art. 6, stk. 1, første afsnit, litra f)]
(jf. præmis 75, 83, 88-100 og 113 samt domskonkl. 2)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – betingelser for lovligheden af en behandling af personoplysninger – adfærdskodeks udarbejdet af en sammenslutning, der repræsenterer dataansvarlige eller databehandlere, og godkendt af den kompetente tilsynsmyndighed – kodeks, der fastsætter betingelser for lovligheden af en behandling, der ikke svarer til de betingelser, der er fastsat i forordning 2016/679 – tages ikke i betragtning
[Europa-Parlamentets og Rådets forordning 2016/679, art. 6, stk. 1, første afsnit, litra f), og art. 40, stk. 1, 2 og 5]
(jf. præmis 101-105)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – ret til sletning – rækkevidde – ulovlig behandling af personoplysninger – omfattet
[Europa-Parlamentets og Rådets forordning 2016/679, art. 17, stk. 1, litra d)]
(jf. præmis 107, 108 og 113 samt domskonkl. 4)
Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – ret til sletning – rækkevidde – den registreredes ret til at gøre indsigelse mod en behandling af oplysninger – omfattet – undtagelse – vægtige legitime grunde til behandlingen, der går forud for den registreredes interesser, rettigheder og frihedsrettigheder – bevisbyrden påhviler den dataansvarlige
[Europa-Parlamentets og Rådets forordning 2016/679, art. 17, stk. 1, litra c), og art. 21, stk. 1]
(jf. præmis 109-113 og domskonkl. 3)
Resumé
SCHUFA Holding AG, der er et privat tysk selskab, registrerer og opbevarer oplysninger fra offentlige registre, bl.a. om gældssaneringer, i sine egne databaser og videregiver efter omstændighederne disse oplysninger til sine aftalepartnere. Selskabet sletter disse oplysninger tre år efter registreringen i overensstemmelse med den adfærdskodeks, der er udarbejdet i Tyskland af sammenslutningen af kreditoplysningsbureauer.
UF og AB opnåede i forbindelse med insolvensprocedurer afgørelser om fremrykket gældssanering, hvorefter de anmodede SCHUFA om at slette indførelser vedrørende disse afgørelser. Dette selskab nægtede at imødekomme deres anmodninger, idet det forklarede, at den frist for sletning af disse oplysninger i det offentlige register på seks måneder, der er fastsat i tysk lovgivning (
1
), ikke fandt anvendelse på selskabet.
UF og AB indgav hver især en klage over SCHUFA til HBDI (
2
), den kompetente tilsynsmyndighed, som denne myndighed forkastede med den begrundelse, at SCHUFA’s behandling af oplysningerne var lovlig.
UF og AB anlagde søgsmål til prøvelse af HDBI’s afgørelser ved Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland), der anmodede Domstolen om at fortolke flere bestemmelser i databeskyttelsesforordningen (
3
) om bl.a. nødvendigheden af behandlingen af oplysningerne for at forfølge de omhandlede interesser og om retten til sletning (
4
).
Domstolen fastslog i sin dom, at databeskyttelsesforordningen (
5
) er til hinder for en praksis i private kreditoplysningsbureauer, der består i, at disse i deres egne databaser opbevarer oplysninger fra et offentligt register om gældssanering, der er indrømmet fysiske personer, i en længere periode end den periode, der er fastsat i den nationale lovgivning for opbevaringen af disse oplysninger i et sådant register. Domstolen udtalte sig ligeledes om den registreredes ret til at få oplysninger om sig selv slettet af dette bureau.
Domstolens bemærkninger
Domstolen bemærkede for det første, at ifølge databeskyttelsesforordningen kan en behandling af personoplysninger bl.a. anses for at være lovlig, når tre kumulative betingelser er opfyldt, nemlig for det første, at den dataansvarlige eller en tredjemand forfølger en legitim interesse, for det andet, at behandlingen er nødvendig for at forfølge den legitime interesse, og for det tredje, at den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder ikke går forud for den dataansvarliges eller en tredjemands legitime interesse (
6
).
Hvad angår den første betingelse fremhævede Domstolen, at selv om behandlingen af personoplysninger i det foreliggende tilfælde tjente en privat virksomheds økonomiske interesser, bidrog den også til, at denne virksomheds aftalepartnere, der skulle vurdere kreditværdigheden hos personer, med hvem de påtænkte at indgå aftaler forbundet med kreditgivning, kunne forfølge deres legitime interesser, og følgelig tjente den kreditsektoren på et socioøkonomisk plan.
Med hensyn til den anden betingelse bemærkede Domstolen, at behandlingen af oplysninger kun kan anses for at være »nødvendig«, hvis den foretages inden for rammerne af, hvad der er strengt nødvendigt for gennemførelsen af en legitim interesse, som forfølges af den dataansvarlige eller en tredjemand.
Hvad angår den tredje betingelse fastslog Domstolen, at undersøgelsen af denne i det foreliggende tilfælde var sammenfaldende med undersøgelsen af den anden betingelse og krævede en afvejning af de modstridende rettigheder og interesser med henblik på at vurdere, om de legitime interesser, der blev forfulgt, ikke med rimelighed kunne opnås ved en kortere opbevaringsperiode for oplysningerne.
Hvad angår afvejningen af de pågældende legitime interesser bemærkede Domstolen således, at for så vidt som den analyse, der fremlægges af et kreditoplysningsbureau, muliggør en objektiv og troværdig vurdering af kreditværdigheden hos potentielle kunder hos dette bureaus aftalepartnere, gør den det muligt at udligne informationsuligheder og dermed mindske risikoen for svig og andre usikkerhedsmomenter.
Hvad derimod angår den registreredes rettigheder og interesser fandt Domstolen, at et sådant bureaus behandling af oplysninger vedrørende tildeling af gældssanering, såsom opbevaring og analyse af samt videregivelse af disse oplysninger til en tredjemand, udgør et alvorligt indgreb i den registreredes grundlæggende rettigheder (
7
). Sådanne oplysninger fungerer nemlig som en negativ faktor i forbindelse med vurderingen af den registreredes kreditværdighed og udgør derfor følsomme oplysninger om dennes privatliv, og behandling af disse oplysninger kan i høj grad skade den registreredes interesser. Jo længere tid oplysningerne opbevares, jo alvorligere er konsekvenserne desuden for den registreredes interesser og privatliv, og jo højere er kravene til lovligheden af opbevaringen af oplysningerne.
Hvad i øvrigt angår opbevaringen af oplysningerne i de offentlige insolvensregistre bemærkede Domstolen, at medlemsstaterne er ansvarlige for indsamling og opbevaring af oplysninger i nationale databaser (
8
), og de skal derfor også fastsætte fristen for opbevaring af disse oplysninger. I det foreliggende tilfælde havde den tyske lovgiver fundet, at den registreredes rettigheder og interesser, efter udløbet af fristen på seks måneder, vejede tungere end offentlighedens interesse i at råde over disse oplysninger.
Desuden skal gældssaneringen gøre det muligt for den person, som den tildeles, på ny at deltage i det økonomiske liv, og den har i almindelighed en eksistentiel betydning for vedkommende. Opfyldelsen af dette formål ville imidlertid blive bragt i fare, hvis oplysningerne herom kunne opbevares og anvendes, efter at de er blevet slettet fra det offentlige insolvensregister.
Domstolen konkluderede derfor, at kreditsektorens interesse i at råde over oplysninger vedrørende en gældssanering ikke kan begrunde opbevaring af oplysningerne ud over fristen for opbevaring i det offentlige insolvensregister.
Domstolen tilføjede, at også opbevaringen af oplysningerne i perioden på seks måneder udgør et indgreb i den registreredes grundlæggende rettigheder. I denne henseende påhvilede det den forelæggende ret at vurdere, om private virksomheders parallelle opbevaring af disse oplysninger kunne anses for at være begrænset til det strengt nødvendige.
Hvad endelig angår eksistensen af en adfærdskodeks, der fastsætter, at oplysninger skal slettes efter tre år, bemærkede Domstolen, at selv om en sådan kodeks skal bidrage til den korrekte anvendelse af databeskyttelsesforordningen (
9
), forholder det sig ikke desto mindre således, at de betingelser for lovligheden af en behandling af personoplysninger, der er fastsat heri, ikke må adskille sig fra de betingelser, der er fastsat i databeskyttelsesforordningen. En adfærdskodeks, der fører til en anden vurdering end den, der ville være opnået i henhold til databeskyttelsesforordningen, kan således ikke tages i betragtning.
For det andet bemærkede Domstolen hvad angår den dataansvarliges pligt til at slette personoplysningerne for det første, at den dataansvarlige skal slette oplysninger, der har været genstand for en ulovlig behandling, såsom – i det foreliggende tilfælde – det pågældende bureaus behandling af oplysninger i længere tid end fristen på seks måneder for opbevaring i det offentlige register (
10
). Selv hvis den forelæggende ret måtte konkludere, at behandlingen af oplysningerne i perioden på seks måneder er lovlig, vil den registrerede have ret til gøre indsigelse mod en sådan behandling (
11
) og til sletning af oplysninger om sig selv, hvis bureauet ikke kan godtgøre, at der foreligger vægtige legitime grunde, der går forud for den registreredes interesser og frihedsrettigheder (
12
).
(
1
) – § 3, stk. 1, i Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (bekendtgørelse om offentlig bekendtgørelse i insolvensprocedurer på internettet) af 12.2.2002 (BGBl. I, s. 677).
(
2
) – Hessischer Beauftragter für Datenschutz und Informationsfreiheit (delstaten Hessens ansvarlige for databeskyttelse og informationsfrihed, Tyskland).
(
3
) – Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, berigtiget i EUT 2018, L 127, s. 2, herefter »databeskyttelsesforordningen«).
(
4
) – Henholdsvis denne forordnings artikel 6, stk. 1, første afsnit, litra f), og artikel 17, stk. 1, litra c) og d).
(
5
) – Databeskyttelsesforordningens artikel 5, stk. 1, litra a), sammenholdt med artikel 6, stk. 1, første afsnit, litra f).
(
6
) – I henhold til databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, litra f).
(
7
) – Rettigheder, der er sikret ved artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder vedrørende henholdsvis respekt for privatlivet og beskyttelse af personoplysninger.
(
8
) – I henhold til artikel 79, stk. 4, i Europa-Parlamentets og Rådets forordning (EU) 2015/848 af 20.5.2015 om insolvensbehandling (omarbejdning) (EUT 2015, L 141, s. 19). Denne forordnings artikel 79, stk. 5, fastsætter blot, at medlemsstaterne skal underrette de registrerede om den tilgængelighedsperiode, som er fastsat for personlige oplysninger, der opbevares i insolvensregistre, uden at fastsætte en frist for opbevaring af disse oplysninger.
(
9
) – Databeskyttelsesforordningens artikel 40, stk. 1 og 2.
(
10
) – I overensstemmelse med databeskyttelsesforordningens artikel 17, stk. 1, litra d).
(
11
) – I medfør af databeskyttelsesforordningens artikel 21, stk. 1.
(
12
) – I henhold til databeskyttelsesforordningens artikel 17, stk. 1, litra c).