62022CJ0026_RES
Съединени дела C‑26/22 и C‑64/22
UFиAB
срещу
Land Hessen
(Преюдициално запитване, отправено от Verwaltungsgericht Wiesbaden)
Решение на Съда (първи състав) от 7 декември 2023 година
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 5, параграф 1, буква а) — Принцип на „законосъобразност“ — Член 6, параграф 1, първа алинея, буква е) — Необходимост от обработването за целите на легитимните интереси на администратора или на трето лице — Член 17, параграф 1, буква г) — Право на изтриване в случай на незаконно обработване на лични данни — Член 40 — Кодекси за поведение — Член 78, параграф 1 — Право на ефективна съдебна защита срещу надзорен орган — Решение на надзорния орган по жалба — Обхват на съдебния контрол върху това решение — Агенции за икономически справки — Съхраняване на данни от публичен регистър, отнасящи се до освобождаване от остатъка по задълженията — Продължителност на съхраняването“
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Способи за защита — Съдебно обжалване на решение по жалба, прието от надзорен орган — Съдебен контрол — Обхват — Граници — Липса
(член 8, параграф 3 и член 47 от Хартата на основните права на Европейския съюз; съображения 141 и 143, член 52, член 78, параграф 1 и член 79, параграф 1 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 50—53, 58, 59, 62 и 67—70; т. 1 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Условия за законосъобразно обработване на лични данни — Обработване, необходимо за целите на легитимните интереси на администратора или на трето лице — Обработване, необходимо за дейността на частна агенция, която предоставя икономически справки на договорните си партньори с цел да оценят платежоспособността на потенциалните си клиенти — Систематично съхраняване на данни от публичен регистър, отнасящи се до освобождаване от остатъка по задълженията в полза на дадено лице — Продължителност на съхраняването, надвишаваща срока за съхраняване на данните в публичния регистър по несъстоятелност — Недопустимост
(членове 7 и 8 от Хартата на основните права на Европейския съюз; съображение 76 и член 79, параграфи 4 и 5 от Регламент 2015/848 на Европейския парламент и на Съвета; член 5, параграф 1, буква а) и член 6, параграф 1, първа алинея, буква е) от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 75, 83, 88—100 и 113; т. 2 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Условия за законосъобразно обработване на лични данни — Кодекс за поведение, който е изготвен от сдружение, представляващо администратори или обработващи лични данни, и е одобрен от компетентния надзорен орган — Кодекс, определящ условия за законосъобразност на обработване, които не съответстват на предвидените в Регламент 2016/679 — Невземане предвид
(член 6, параграф 1, първа алинея, буква е) и член 40, параграфи 1, 2 и 5 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 101—105)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на изтриване — Обхват — Незаконосъобразно обработване на лични данни — Включване
(член 17, параграф 1, буква г) от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 107, 108 и 113; т. 4 от диспозитива)
Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Право на изтриване — Обхват — Право на възражение на субекта на данни срещу обработването на данни — Включване — Изключение — Наличие на убедителни законови основания за обработването, които имат предимство пред интересите, правата и свободите на този субект — Доказване в тежест на администратора
(член 17, параграф 1, буква в) и член 21, параграф 1 от Регламент 2016/679 на Европейския парламент и на Съвета)
(вж. т. 109—113; т. 3 от диспозитива)
Резюме
Учредената по германското право частна агенция за икономически справки SCHUFA Holding AG записва и съхранява в своите собствени бази данни информация, съдържаща се в публични регистри, по-специално тази относно освобождаване от остатъка по задълженията, която предоставя евентуално на договорните си партньори. Тя изтрива тази информация след изтичането на срок от три години от записването ѝ в съответствие с Кодекса за поведение, изготвен в Германия от сдружението на агенциите за икономически справки.
След като са постановени съдебни актове за временното им освобождаване от остатъка по задълженията им в рамките на производства по несъстоятелност, UF и AB отправят искания до SCHUFA да изтрие вписванията относно тези актове. Тази агенция отказва да уважи исканията им, като пояснява, че предвиденият в германското законодателство шестмесечен срок за изтриване на тези данни (
1
) не се прилага за него.
UF и AB подават жалби срещу SCHUFA пред компетентния надзорен орган HBDI (
2
), който отхвърля тези жалби с мотива, че извършеното от SCHUFA обработване на данни е законосъобразно.
Сезиран с жалби от UF и AB срещу решенията на HBDI, Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия) отправя въпрос до Съда по тълкуването на разпоредбите на ОРЗД (
3
) относно необходимостта от обработване на данни, необходимо за целите на преследваните интереси, и относно правото на изтриване (
4
).
В решението си Съдът констатира, че ОРЗД (
5
) не допуска практика на частни агенции за икономически справки, състояща се в съхраняване в техните собствени бази данни на информация от публичен регистър, отнасяща се до предоставянето на освобождаване от остатъка по задълженията в полза на физически лица, през период, който е по-дълъг от предвидения в националното законодателство период, през който тези данни се съхраняват в такъв регистър. Съдът се произнася и по правото на субекта на данни да поиска от тази агенция да заличи отнасящите се до него данни.
Съображения на Съда
На първо място, Съдът припомня, че съгласно ОРЗД обработването на лични данни може да се счита за законосъобразно по-специално когато са изпълнени три кумулативни условия, а именно, първо, администраторът или третото лице да преследва легитимни интереси, второ, обработването да е необходимо за целите на преследваните легитимни интереси и трето, интересите или основните права и свободи на лицето, ползващо се от защитата на данните, да нямат преимущество пред легитимните интереси на администратора или на третото лице (
6
).
По отношение на първото условие Съдът подчертава, че макар в случая обработването на лични данни като разглежданото в главните производства да обслужва икономическите интереси на частна агенция, то служи и за преследване на легитимните интереси на договорните партньори на тази агенция, които трябва да оценят платежоспособността на лицата, с които възнамеряват да сключат договори, свързани с предоставянето на кредит, а следователно и на интересите на кредитния сектор от социално-икономическа гледна точка.
Относно второто условие Съдът припомня, че обработването на данни може да се счита за „необходимо“ само ако се извършва в границите на строго необходимото за постигането на легитимен интерес, преследван от администратора или от трето лице.
Що се отнася до третото условие, Съдът констатира, че в случая разглеждането му се припокрива с разглеждането на второто условие и изисква претегляне на противоположните права и интереси, за да се прецени дали преследваните законни интереси не могат разумно да бъдат постигнати чрез по-кратък срок на съхранение на данните.
По този начин относно претеглянето на преследваните легитимни интереси Съдът отбелязва, че доколкото анализът, извършен от агенция за икономически справки, прави възможна обективната и надеждна оценка на кредитоспособността на потенциалните клиенти на договорните партньори на тази агенция, той позволява да се компенсират разликите в информацията и така да се намалят рисковете от измами, както и от други неясноти.
Що се отнася обаче до правата и интересите на субекта на данни, Съдът счита, че обработването от тази агенция на данни относно предоставянето на освобождаване от остатъка по задълженията, като съхраняването и анализа на тези данни, и съобщаването им на трето лице, представлява сериозна намеса в основните права на субекта на данни (
7
). Всъщност тези данни служат като отрицателен фактор при оценката на платежоспособността на този субект и следователно представляват чувствителна информация за личния му живот, чието обработване може значително да навреди на неговите интереси. Освен това, колкото по-дълго се съхраняват такива данни, толкова по-важни са последиците за интересите и личния живот на субекта на данни и толкова по-високи са изискванията относно законосъобразността на съхраняването на тази информация.
От друга страна, относно съхраняването на данните в публичните регистри по несъстоятелност, Съдът отбелязва, че държавите членки са отговорни за събирането и съхраняването на лични данни в националните бази данни (
8
) и поради това трябва да определят и срока за съхраняване на тези данни. В случая националният законодател е приел, че след изтичането на срок от шест месеца правата и интересите на съответното физическо лице имат предимство пред тези на обществеността да разполага с тази информация.
Освен това освобождаването от остатъка по задълженията трябва да даде възможност на лицето, което се ползва от него, да участва отново в икономическия живот, и поначало е жизненоважно за него. Постигането на тази цел обаче би било застрашено, ако свързаната с нея информация може да се съхранява и използва след изтриването си от публичния регистър по несъстоятелност.
Поради това Съдът заключава, че интересите на кредитния сектор да разполага с информация за освобождаване от остатъка по задълженията, не могат да обосноват съхраняване на данните след изтичане на срока за съхраняване в публичния регистър по несъстоятелност.
Съдът добавя, че съхраняването на данните през шестмесечния срок също представлява намеса в основните права на субекта на данни. В това отношение запитващата юрисдикция следва да прецени дали успоредното съхраняване на тези данни от частни агенции може да се счита за ограничено до строго необходимото.
Накрая, що се отнася до наличието на кодекс за поведение, който предвижда изтриването на данните след изтичането на срок от три години, Съдът отбелязва, че макар такъв кодекс да има за цел да допринесе за правилното прилагане на ОРЗД (
9
), това не променя факта, че определените в подобен кодекс условия за законосъобразност на обработването на лични данни не могат да се различават от предвидените в ОРЗД. При това положение кодекс за поведение, който води до преценка, различна от тази, която произтича от прилагането на ОРЗД, не може да бъде взет предвид.
На второ място, по отношение на задълженията на администратора да изтрие личните данни, Съдът посочва, от една страна, че същият трябва да изтрие данните, които са били предмет на незаконосъобразно обработване, каквото е в случая обработването на данните, извършено от съответната агенция, след изтичане на шестмесечния срок на съхранение на данните в публичния регистър (
10
). От друга страна, дори запитващата юрисдикция да стигне до извод, че обработването на данни през шестмесечния срок е законосъобразно, субектът на данни би имал правото да възрази срещу такова обработване (
11
) и да поиска изтриване на отнасящите се до него данни, ако тази агенция не може да представи доказателство за наличието на законни основания, които имат преимущество пред интересите, както и пред правата и свободите на този субект (
12
).
(
1
)	Член 3, параграф 1 от Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Наредба за официалните публикации в интернет в производството по несъстоятелност) от 12 февруари 2002 г. (BGBl. I, стр. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (длъжностното лице за защита на данните и свободата на информацията на провинция Хесен, Германия).
(
3
)	Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1, и поправка в ОВ L 127, 2018 г., стр. 2, наричан по-нататък „ОРЗД“).
(
4
)	Съответно член 6, параграф 1, първа алинея, буква е) и член 17, параграф 1, букви в) и г) от този регламент.
(
5
)	Член 5, параграф 1, буква а) във връзка с член 6, параграф 1, първа алинея, буква е) от ОРЗД.
(
6
)	Съгласно приложимия в случая член 6, параграф 1, първа алинея, буква е) от ОРЗД.
(
7
)	Права, закрепени в членове 7 и 8 от Хартата на основните права на Европейския съюз, отнасящи се съответно до зачитането на личния живот и защитата на личните данни.
(
8
)	Съгласно член 79, параграф 4 от Регламент (ЕС) 2015/848 на Европейския парламент и на Съвета от 20 май 2015 година относно производството по несъстоятелност (преработен текст) (ОВ L 141, 2015 г., стр. 19). Член 79, параграф 5 от посочения регламент само предвижда, че държавите членки информират субектите на данните за периода, през който са достъпни личните данни, съхранявани в регистрите по несъстоятелност, без да определя срок за съхраняването им.
(
9
)	Съгласно член 40, параграфи 1 и 2 от ОРЗД.
(
10
)	Съгласно член 17, параграф 1, буква г) от ОРЗД.
(
11
)	Съгласно член 21, параграф 1 от ОРЗД.
(
12
)	Съгласно член 17, параграф 1, буква в) от ОРЗД.