62021CJ0634_RES
Sprawa C‑634/21
OQ
przeciwko
Land Hessen,
(wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wiesbaden)
Wyrok Trybunału (pierwsza izba) z dnia 7 grudnia 2023 r.
Odesłanie prejudycjalne – Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie (UE) 2016/679 – Artykuł 22 – Zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach – Biura informacji kredytowej – Zautomatyzowane wyliczenie wartości prawdopodobieństwa dotyczącej zdolności osoby do wypełnienia zobowiązań płatniczych w przyszłości („scoring”) – Wykorzystanie tej wartości prawdopodobieństwa przez osoby trzecie
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Środki odwoławcze – Zaskarżenie do sądu decyzji w przedmiocie skargi, wydanej przez organ nadzorczy – Kontrola sądowa – Zakres – Granice – Brak
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, art. 78 ust. 1)
(zob. pkt 34)
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Prawo osoby, której dane dotyczą do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu – Zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach – Pojęcie – Zautomatyzowane wyliczenie przez biuro informacji kredytowej wartości prawdopodobieństwa zdolności kredytowej danej osoby, która to wartość jest użyta przez osobę trzecią – Włączenie – Przesłanki
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 71, art. 4 pkt 4, art. 22 ust. 1)
(zob. pkt 43, 46–50, 60–63, 73; sentencja)
Ochrona osób fizycznych w zakresie przetwarzania danych osobowych – Rozporządzenie 2016/679 – Prawo osoby, której dane dotyczą do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu – Wyjątki – Przyjęcie decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu dozwolone w prawie państwa członkowskiego – Obowiązek przestrzegania warunków i wymogów przewidzianych w tym rozporządzeniu – Ustalenie spoczywające na sądzie krajowym
(rozporządzenie Parlamentu Europejskiego i Rady 2016/679, motyw 71, art. 5, 6, art. 22 ust. 2–4)
(zob. pkt 53–55, 64, 67–70, 72)
Streszczenie
SCHUFA Holding AG jest niemiecką spółką prawa prywatnego, która dostarcza swoim kontrahentom informacji na temat zdolności kredytowej osób. W tym celu przypisuje ona każdej osobie, której dane dotyczą, wartość („score”), którą ustala na podstawie określonych cech tej osoby, w oparciu o procedury matematyczne i statystyczne. Wyliczenie wartości scoringu służy przewidywaniu przyszłego zachowania danej osoby, takiego jak zwrot kredytu, w oparciu o przyporządkowanie jej do grupy innych osób o porównywalnych cechach.
Wskutek ustalenia przez SCHUFA negatywnych informacji na temat OQ, które zostały przekazane instytucji kredytowej instytucja ta odmówiła OQ udzielenia kredytu. OQ zwróciła się do SCHUFA o udzielenie jej dostępu do dotyczących jej danych i usunięcie, jak podniesiono, błędnych danych. Jednakże SCHUFA poinformowała ją jedynie o jej wartości scoringu, i w sposób ogólny o sposobie jego obliczenia, powołując się w pozostałym zakresie na tajemnicę handlową.
OQ wniosła następnie skargę przeciwko SCHUFA do HBDI (
1
), niemieckiego organu nadzorczego, którą organ ten oddalił na tej podstawie, że działalność SCHUFA była zgodna z niemieckimi przepisami regulującymi sposoby wykorzystania wartości prawdopodobieństwa dotyczącej zdolności kredytowej (
2
).
Verwaltungsgericht Wiesbaden (sąd administracyjny w Wiesbaden, Niemcy), do którego OQ wniosła skargę na decyzję HBDI, zwrócił się do Trybunału z pytaniem o wykładnię przepisów RODO (
3
) dotyczących prawa osoby, której dane dotyczą, do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu (
4
).
W swoim wyroku Trybunał po raz pierwszy dokonał wykładni przepisów RODO dotyczących wrażliwej sfery decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu danych. W tym kontekście wypowiedział się on w kwestii, czy zautomatyzowane wyliczenie przez biuro informacji kredytowej wartości prawdopodobieństwa dotyczącej zdolności kredytowej danej osoby stanowi zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach i tym samym jest objęte zakresem stosowania tych przepisów.
Ocena Trybunału
Na wstępie Trybunał stwierdził, że w niniejszej sprawie spełnione są trzy kumulatywne przesłanki stosowania przepisów RODO regulujących prawo danej osoby do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu.
W odniesieniu do przesłanki pierwszej, dotyczącej istnienia decyzji, Trybunał wyjaśnił, że pojęcie „decyzji” ma szeroki zakres i może obejmować wynik obliczenia zdolności kredytowej danej osoby w postaci wartości prawdopodobieństwa dotyczącej zdolności tej osoby do wywiązywania się ze zobowiązań płatniczych w przyszłości.
Co się tyczy drugiej przesłanki, zgodnie z którą decyzja musi opierać się „wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu”, zdaniem Trybunału bezsporne jest, że działalność danej spółki odpowiada definicji „profilowania” (
5
), a zatem że przesłanka ta jest w niniejszej sprawie spełniona. Ponadto sąd odsyłający wyraźnie wskazuje, że sprawa dotyczy zautomatyzowanego wyliczenia wartości prawdopodobieństwa w oparciu o dane osobowe dotyczące określonej osoby w zakresie jej zdolności do spłaty kredytu w przyszłości.
Co się tyczy, po trzecie, przesłanki, zgodnie z którą decyzja powinna wywoływać „skutki prawne” w odniesieniu do danej osoby lub „istotnie” na nią wpływać „w podobny sposób”, Trybunał wskazał, że w niniejszej sprawie działanie osoby trzeciej, której przekazana jest wartość prawdopodobieństwa, jest uzależnione w sposób „decydujący” od tej wartości. Niewystarczająca wartość prawdopodobieństwa powoduje bowiem niemal zawsze odmowę udzielenia kredytu. A zatem wartość ta w każdym wypadku w sposób istotny wpływa na osobę, której dane dotyczą.
Trybunał wywnioskował z tego, że w przypadku gdy wartość prawdopodobieństwa ustalona przez biuro informacji kredytowej i przekazana bankowi odgrywa decydującą rolę przy udzielaniu kredytu, wyliczenie tej wartości samo w sobie należy zakwalifikować jako decyzję wywołującą wobec osoby, której dane dotyczą, „skutki prawne” lub „istotnie” na nią wpływającą „w podobny sposób” (
6
).
Następnie Trybunał podkreślił, że taka wykładnia, a przede wszystkim szeroki zakres pojęcia „decyzji”, wzmacnia skuteczną ochronę, o której mowa w RODO. Natomiast wykładnia zawężająca, zgodnie z którą wyliczenie wartości prawdopodobieństwa należy uznać jedynie za akt przygotowawczy, a tylko akt wydany przez osobę trzecią może w danym wypadku zostać uznany za „decyzję”, prowadziłaby do luki w ochronie prawnej. W takim bowiem przypadku wyliczenie takiej wartości nie byłoby objęte szczególnymi wymogami przewidzianymi w RODO (
7
), mimo że procedura ta opiera się na zautomatyzowanym przetwarzaniu i istotnie wpływa na osobę, której dane dotyczą, ponieważ działanie osoby trzeciej, której przekazano tę wartość prawdopodobieństwa, jest uzależnione od owej wartości w sposób decydujący.
Ponadto, po pierwsze, osoba, której dane dotyczą, nie mogłaby powoływać się wobec biura informacji kredytowej, które wylicza odnoszącą się do niej wartość prawdopodobieństwa, na przysługujące jej prawo dostępu do konkretnych informacji (
8
), w braku zautomatyzowanego podejmowania decyzji przez to biuro. Po drugie, nawet przy założeniu, że działanie osoby trzeciej jest objęte zakresem stosowania przepisów RODO przewidujących prawo danej osoby do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, owa osoba trzecia nie byłaby w stanie dostarczyć tych konkretnych informacji, ponieważ co do zasady nimi nie dysponuje.
Wreszcie Trybunał zauważył, że fakt, iż wyliczenie wartości prawdopodobieństwa jest objęte przepisami RODO regulującymi prawo danej osoby do tego, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu skutkuje tym, że jest ono zakazane, chyba że zastosowanie ma jeden z wyjątków i spełnione są szczególne wymogi przewidziane w RODO.
Ponadto wszelkie przetwarzanie danych osobowych, po pierwsze, musi być zgodne z zasadami dotyczącymi przetwarzania danych określonymi w RODO, a po drugie, w świetle w szczególności zasady zgodności przetwarzania z prawem, musi spełniać jedną z przesłanek zgodności z prawem.
W tym kontekście Trybunał wskazał, że sąd odsyłający odnosi się do wyjątku, zgodnie z którym wydanie decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu może być dozwolone, jeżeli jest to przewidziane w prawie państwa członkowskiego. W tym względzie Trybunał wyjaśnił, że do tego sądu należy zbadanie, czy przepisy krajowe regulujące zasady wykorzystania wartości prawdopodobieństwa dotyczącej zdolności kredytowej można uznać za podstawę prawną upoważniającą do wydania takiej decyzji, a jeśli tak, to czy przewidziane w RODO przesłanki związane z tym wyjątkiem oraz dotyczące zasad mających zastosowanie do przetwarzania są w niniejszym przypadku spełnione.
(
1
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (komisarza ds. ochrony danych i wolności informacji dla kraju związkowego Hesja, Niemcy).
(
2
)	Artykuł 31 Bundesdatenschutzgesetz (federalnej ustawy o ochronie danych) z dnia 30 czerwca 2017 r. (BGBl. I, s. 2097).
(
3
)	Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L 119, s. 1, sprostowanie Dz.U. 2018, L 127, s. 2, zwane dalej „RODO”).
(
4
)	Artykuł 22 RODO
(
5
)	W rozumieniu art. 4 pkt 4 RODO.
(
6
)	W rozumieniu art. 22 ust. 1 RODO.
(
7
)	Zawartymi w art. 22 ust. 2–4 RODO. Z przepisów tych wynika, że istnieją trzy wyjątki od zakazu wydawania decyzji indywidualnej opartej wyłącznie na zautomatyzowanym przetwarzaniu, które są obwarowane dodatkowymi gwarancjami. Taka decyzja jest zatem dopuszczalna, jeżeli jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem, jeżeli jest ona dozwolona na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub jeżeli opiera się ona na wyraźnej zgodzie osoby, której dane dotyczą, pod warunkiem zastosowania odpowiednich środków ochrony praw i wolności oraz uzasadnionych interesów osoby, której dane dotyczą.
(
8
)	Wskazanych w art. 15 ust. 1 lit. h) RODO, który w przypadku zautomatyzowanego podejmowania decyzji przyznaje osobie, której dane dotyczą, szerokie prawo dostępu.