62022CJ0026_RES
Συνεκδικασθείσες υποθέσεις C‑26/22 και C‑64/22
UFκαιAB
κατά
Land Hessen
(αίτηση του Verwaltungsgericht Wiesbaden για την έκδοση προδικαστικής αποφάσεως)
Απόφαση του Δικαστηρίου (πρώτο τμήμα) της 7ης Δεκεμβρίου 2023
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 5, παράγραφος 1, στοιχείο αʹ– Αρχή της “νομιμότητας” – Άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ– Επεξεργασία απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος – Άρθρο 17, παράγραφος 1, στοιχείο δʹ– Δικαίωμα διαγραφής στην περίπτωση παράνομης επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Άρθρο 40 – Κώδικες δεοντολογίας – Άρθρο 78, παράγραφος 1 – Δικαίωμα πραγματικής δικαστικής προσφυγής κατά εποπτικής αρχής – Απόφαση της εποπτικής αρχής ληφθείσα επί καταγγελίας – Έκταση του δικαστικού ελέγχου της αποφάσεως αυτής – Γραφεία οικονομικών πληροφοριών – Αποθήκευση δεδομένων τα οποία προέρχονται από δημόσιο μητρώο και αφορούν την πτωχευτική απαλλαγή ενός προσώπου – Διάρκεια της αποθήκευσης»
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Μέσα έννομης προστασίας – Ένδικη προσφυγή κατά αποφάσεως εποπτικής αρχής ληφθείσας επί καταγγελίας – Δικαστικός έλεγχος – Έκταση – Όρια – Δεν υφίστανται
(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 8 § 3 και 47· κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, αιτιολογικές σκέψεις 141 και 143 και άρθρα 52, 78 § 1 και 79 § 1)
(βλ. σκέψεις 50-53, 58, 59, 62, 67-70, διατακτ. 1)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Προϋποθέσεις για τη σύννομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα – Επεξεργασία απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος – Επεξεργασία απαραίτητη για τη δραστηριότητα ιδιωτικού γραφείου συνιστάμενη στην παροχή οικονομικών πληροφοριών στους αντισυμβαλλομένους του προς τον σκοπό της αξιολόγησης της φερεγγυότητας των δυνητικών πελατών τους – Συστηματική αποθήκευση των προερχόμενων από δημόσιο μητρώο δεδομένων σχετικά με την πτωχευτική απαλλαγή προσώπων – Διάρκεια αποθήκευσης η οποία υπερβαίνει τη διάρκεια της αποθήκευσης των δεδομένων στο δημόσιο μητρώο αφερεγγυότητας – Δεν επιτρέπεται
(Χάρτης των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, άρθρα 7 και 8 § 2· κανονισμοί του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου 2015/848, αιτιολογική σκέψη 76 και άρθρο 79 §§ 4 και 5, και 2016/679, άρθρα 5 § 1, στοιχείο αʹ, και 6 § 1, πρώτο εδάφιο, στοιχείο στʹ)
(βλ. σκέψεις 75, 83, 88-100, 113, διατακτ. 2)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Προϋποθέσεις για τη σύννομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα – Κώδικας δεοντολογίας εκπονηθείς από ένωση εκπροσωπούσα υπευθύνους επεξεργασίας ή εκτελούντες την επεξεργασία και εγκριθείς από την αρμόδια εποπτική αρχή – Κώδικας που καθορίζει προϋποθέσεις για τη νομιμότητα της επεξεργασίας οι οποίες δεν αντιστοιχούν σε εκείνες που προβλέπει ο κανονισμός 2016/679 – Δεν λαμβάνεται υπόψη
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 6 § 1, πρώτο εδάφιο, στοιχείο στʹ, και 40 §§ 1, 2 και 5)
(βλ. σκέψεις 101-105)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα διαγραφής – Περιεχόμενο – Παράνομη επεξεργασία των δεδομένων προσωπικού χαρακτήρα – Περιλαμβάνεται
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρο 17 § 1, στοιχείο δʹ)
(βλ. σκέψεις 107, 108, 113, διατακτ. 4)
Προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα – Κανονισμός 2016/679 – Δικαίωμα διαγραφής – Περιεχόμενο – Δικαίωμα του υποκειμένου των δεδομένων να αντιτάσσεται στην επεξεργασία των δεδομένων – Περιλαμβάνεται – Εξαίρεση – Συνδρομή επιτακτικών και νόμιμων λόγων για την επεξεργασία, οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του προσώπου αυτού – Βάρος απόδειξης το οποίο φέρει ο υπεύθυνος επεξεργασίας
(Κανονισμός 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, άρθρα 17 § 1, στοιχείο γʹ, και 21 § 1)
(βλ. σκέψεις 109-113, διατακτ. 3)
Σύνοψη
Η SCHUFA Holding AG, ιδιωτική εταιρία γερμανικού δικαίου, εγγράφει και αποθηκεύει, στις δικές της βάσεις δεδομένων, πληροφορίες προερχόμενες από δημόσια μητρώα, μεταξύ άλλων δε πληροφορίες που αφορούν πτωχευτικές απαλλαγές, τις οποίες παρέχει, κατά περίπτωση, στους αντισυμβαλλομένους της. Διαγράφει τις πληροφορίες αυτές μετά την παρέλευση χρονικού διαστήματος τριών ετών από την εγγραφή, συμμορφούμενη προς τον κώδικα δεοντολογίας που καταρτίστηκε στη Γερμανία από την ένωση στην οποία ανήκουν τα γραφεία οικονομικών πληροφοριών.
Ο UF και ο AB, μετά την έκδοση αποφάσεων για την πτωχευτική απαλλαγή τους, ζήτησαν από τη SCHUFA να διαγράψει τις εγγραφές που αφορούσαν τις εν λόγω αποφάσεις. Η εταιρία απέρριψε τα αιτήματά τους εξηγώντας ότι δεν είχε εφαρμογή επί της ίδιας το χρονικό διάστημα των έξι μηνών που προβλέπει η γερμανική νομοθεσία (
1
) για τη διαγραφή των δεδομένων αυτών από το δημόσιο μητρώο.
Τόσο ο UF όσο και ο AB υπέβαλαν καταγγελία ενώπιον του HBDI (
2
), της αρμόδιας εποπτικής αρχής, πλην όμως αμφότερες οι καταγγελίες απορρίφθηκαν καθόσον το HBDI έκρινε ότι η επεξεργασία των δεδομένων στην οποία είχε προβεί η SCHUFA ήταν σύννομη.
Επιληφθέν των ένδικων προσφυγών τις οποίες άσκησαν ο UF και ο AB κατά των αποφάσεων του HBDI, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden, Γερμανία) υπέβαλε προδικαστικά ερωτήματα στο Δικαστήριο σχετικά με την ερμηνεία πλειόνων διατάξεων του ΓΚΠΔ (
3
), οι οποίες αφορούν, μεταξύ άλλων, την αναγκαιότητα της επεξεργασίας δεδομένων για τους σκοπούς των επιδιωκόμενων συμφερόντων καθώς και το δικαίωμα διαγραφής (
4
).
Στην απόφασή του, το Δικαστήριο διαπιστώνει ότι ο ΓΚΠΔ (
5
) αντιτίθεται σε πρακτική εφαρμοζόμενη από ιδιωτικά γραφεία οικονομικών πληροφοριών και συνιστάμενη στην αποθήκευση, στις δικές τους βάσεις δεδομένων, πληροφοριών προερχόμενων από δημόσιο μητρώο, οι οποίες αφορούν τη χορήγηση πτωχευτικής απαλλαγής υπέρ φυσικών προσώπων, για χρονικό διάστημα το οποίο υπερβαίνει εκείνο που προβλέπει η εθνική νομοθεσία για την αποθήκευση των εν λόγω δεδομένων στο δημόσιο μητρώο. Το Δικαστήριο αποφαίνεται επίσης επί του δικαιώματος του υποκειμένου των δεδομένων να ζητήσει από το οικείο γραφείο τη διαγραφή των δεδομένων που το αφορούν.
Εκτίμηση του Δικαστηρίου
Κατά πρώτον, το Δικαστήριο υπενθυμίζει ότι, κατά τον ΓΚΠΔ, μια επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί ως σύννομη, μεταξύ άλλων, όταν πληρούνται σωρευτικά τρεις προϋποθέσεις, ήτοι, πρώτον, όταν επιδιώκεται έννομο συμφέρον από τον υπεύθυνο επεξεργασίας ή από τρίτο, δεύτερον, όταν η επεξεργασία είναι απαραίτητη για την εξυπηρέτηση του επιδιωκόμενου έννομου συμφέροντος και, τρίτον, όταν δεν υπερισχύουν του έννομου συμφέροντος του υπευθύνου επεξεργασίας ή του τρίτου τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων (
6
).
Όσον αφορά την πρώτη προϋπόθεση, το Δικαστήριο τονίζει ότι, καίτοι, εν προκειμένω, η επεξεργασία των δεδομένων προσωπικού χαρακτήρα εξυπηρετεί τα οικονομικά συμφέροντα μιας ιδιωτικής εταιρίας, εντούτοις η επεξεργασία αυτή εξυπηρετεί επίσης τα έννομα συμφέροντα των αντισυμβαλλομένων της εν λόγω εταιρίας, οι οποίοι υποχρεούνται να αξιολογήσουν τη φερεγγυότητα των προσώπων με τα οποία σκοπεύουν να συνάψουν συμβάσεις σχετικές με τη χορήγηση πίστωσης, και, επομένως, τα κοινωνικοοικονομικά συμφέροντα του πιστωτικού τομέα.
Ως προς τη δεύτερη προϋπόθεση, το Δικαστήριο υπενθυμίζει ότι η επεξεργασία των δεδομένων μπορεί να θεωρηθεί ως «απαραίτητη» μόνον εφόσον πραγματοποιείται εντός των ορίων που είναι απολύτως αναγκαία για την εξυπηρέτηση του έννομου συμφέροντος που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος.
Σχετικά με την τρίτη προϋπόθεση, το Δικαστήριο διαπιστώνει ότι, εν προκειμένω, η εξέταση της συγκεκριμένης προϋπόθεσης καθώς και η εξέταση της δεύτερης προϋπόθεσης αλληλεπικαλύπτονται, απαιτούν δε στάθμιση των αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων προκειμένου να εκτιμηθεί κατά πόσον τα επιδιωκόμενα έννομα συμφέροντα μπορούν ευλόγως να εξυπηρετηθούν με μια μικρότερης διάρκειας αποθήκευση των δεδομένων.
Εν συνεχεία, όσον αφορά τη στάθμιση των επιδιωκόμενων έννομων συμφερόντων, το Δικαστήριο επισημαίνει ότι, στον βαθμό που η ανάλυση στην οποία προβαίνει ένα γραφείο οικονομικών πληροφοριών καθιστά δυνατή την αντικειμενική και αξιόπιστη αξιολόγηση της φερεγγυότητας των δυνητικών πελατών των αντισυμβαλλομένων του, η ανάλυση αυτή καθιστά δυνατό να αμβλυνθούν οι διαφορές ως προς την πληροφόρηση και, ως εκ τούτου, να μειωθεί ο κίνδυνος απάτης καθώς και άλλων αβεβαιοτήτων.
Αντιθέτως, σχετικά με τα δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων, το Δικαστήριο κρίνει ότι η επεξεργασία, από ένα τέτοιο γραφείο, δεδομένων που αφορούν τη χορήγηση πτωχευτικής απαλλαγής, όπως η αποθήκευση, η ανάλυση και η ανακοίνωση των εν λόγω δεδομένων σε τρίτο, συνιστά σοβαρή επέμβαση στα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων (
7
). Πράγματι, τέτοια δεδομένα αποτελούν αρνητική παράμετρο στο πλαίσιο της αξιολόγησης της φερεγγυότητας του συγκεκριμένου προσώπου και, επομένως, συνιστούν ευαίσθητες πληροφορίες για την ιδιωτική του ζωή, των οποίων η επεξεργασία ενδέχεται να βλάψει σημαντικά τα συμφέροντά του. Επιπλέον, όσο μεγαλύτερη είναι η διάρκεια της αποθήκευσης των δεδομένων τόσο σημαντικότερες είναι οι συνέπειες για τα συμφέροντα και την ιδιωτική ζωή του υποκειμένου των δεδομένων και τόσο αυξάνονται οι απαιτήσεις σχετικά με τη νομιμότητα της αποθήκευσης των οικείων πληροφοριών.
Περαιτέρω, όσον αφορά την αποθήκευση των δεδομένων στα δημόσια μητρώα αφερεγγυότητας, το Δικαστήριο επισημαίνει ότι τα κράτη μέλη είναι υπεύθυνα για τη συλλογή και την αποθήκευση των δεδομένων στις εθνικές βάσεις δεδομένων (
8
) και, ως εκ τούτου, οφείλουν επίσης να καθορίζουν τη χρονική διάρκεια της αποθήκευσης των δεδομένων αυτών. Εν προκειμένω, ο εθνικός νομοθέτης εκτίμησε ότι, μετά την παρέλευση χρονικού διαστήματος έξι μηνών, τα δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων υπερισχύουν των δικαιωμάτων και των συμφερόντων του κοινού να έχει πρόσβαση στις συγκεκριμένες πληροφορίες.
Επιπλέον, σκοπός της πτωχευτικής απαλλαγής είναι να παράσχει στον δικαιούχο τη δυνατότητα να συμμετάσχει εκ νέου στην οικονομική ζωή και αποκτά κατά κανόνα υπαρξιακή σημασία για εκείνον. Πλην όμως, η επίτευξη του σκοπού αυτού θα διακυβευόταν αν οι σχετικές με τον ίδιο πληροφορίες μπορούσαν να αποθηκεύονται και να χρησιμοποιούνται μετά τη διαγραφή τους από το δημόσιο μητρώο αφερεγγυότητας.
Κατά συνέπεια, το Δικαστήριο καταλήγει στη διαπίστωση ότι τα συμφέροντα του πιστωτικού τομέα να έχει στη διάθεσή του πληροφορίες σχετικά με ορισμένη πτωχευτική απαλλαγή δεν μπορούν να δικαιολογήσουν την αποθήκευση δεδομένων η οποία εκτείνεται πέραν του χρονικού διαστήματος αποθήκευσης των δεδομένων αυτών στο δημόσιο μητρώο αφερεγγυότητας.
Το Δικαστήριο προσθέτει ότι η αποθήκευση των δεδομένων για χρονικό διάστημα έξι μηνών συνιστά, ομοίως, επέμβαση στα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων. Συναφώς, εναπόκειται στο αιτούν δικαστήριο να εκτιμήσει αν η παράλληλη αποθήκευση των δεδομένων αυτών από ιδιωτικά γραφεία μπορεί να θεωρηθεί ότι πραγματοποιείται εντός των απολύτως αναγκαίων ορίων.
Τέλος, όσον αφορά την ύπαρξη κώδικα δεοντολογίας ο οποίος προβλέπει τη διαγραφή των οικείων δεδομένων μετά την παρέλευση τριετίας, το Δικαστήριο σημειώνει ότι, μολονότι οι κώδικες δεοντολογίας έχουν ως στόχο να συμβάλουν στην ορθή εφαρμογή του ΓΚΠΔ (
9
), εντούτοις οι προϋποθέσεις της νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα τις οποίες καθορίζει ένας τέτοιος κώδικας δεν μπορούν να διαφέρουν από τις προϋποθέσεις που προβλέπονται στον ΓΚΠΔ. Επομένως, κώδικας δεοντολογίας ο οποίος θα κατέληγε σε εκτίμηση διαφορετική από εκείνη που προκύπτει κατ’ εφαρμογήν του ΓΚΠΔ δεν μπορεί να ληφθεί υπόψη.
Κατά δεύτερον, όσον αφορά τις υποχρεώσεις που υπέχει ο υπεύθυνος επεξεργασίας προς διαγραφή των δεδομένων προσωπικού χαρακτήρα, το Δικαστήριο σημειώνει ότι, αφενός, ο υπεύθυνος επεξεργασίας οφείλει να διαγράψει τα δεδομένα που έχουν υποβληθεί σε παράνομη επεξεργασία, όπως, εν προκειμένω, η επεξεργασία των δεδομένων από το γραφείο μετά την παρέλευση του χρονικού διαστήματος των έξι μηνών που προβλέπεται για την αποθήκευση των δεδομένων αυτών στο δημόσιο μητρώο (
10
). Αφετέρου, ακόμη και αν το αιτούν δικαστήριο καταλήξει στη διαπίστωση ότι η επεξεργασία των δεδομένων κατά το διάστημα των έξι μηνών είναι σύννομη, το υποκείμενο των δεδομένων έχει το δικαίωμα να αντιταχθεί σε μια τέτοια επεξεργασία (
11
) και να ζητήσει τη διαγραφή των δεδομένων που το αφορούν, εφόσον η εν λόγω εταιρία εξακολουθεί να μην είναι σε θέση να καταδείξει την ύπαρξη επιτακτικών και νόμιμων λόγων οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του προσώπου αυτού (
12
).
(
1
)	Άρθρο 3, παράγραφος 1, της Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (κανονιστικής πράξης περί των δημόσιων ανακοινώσεων στο διαδίκτυο στο πλαίσιο των διαδικασιών αφερεγγυότητας), της 12ης Φεβρουαρίου 2002 (BGBl. Ι, σ. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (επίτροπος προστασίας δεδομένων και ελευθερίας πληροφόρησης του ομόσπονδου κράτους της Έσσης, Γερμανία).
(
3
)	Κανονισμός (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: ΓΚΠΔ).
(
4
)	Αντιστοίχως, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, και το άρθρο 17, παράγραφος 1, στοιχεία γʹ και δʹ, του κανονισμού αυτού.
(
5
)	Άρθρο 5, παράγραφος 1, στοιχείο αʹ, σε συνδυασμό με το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.
(
6
)	Βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, το οποίο έχει εφαρμογή εν προκειμένω.
(
7
)	Δικαιώματα που κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, τα οποία αφορούν, αντιστοίχως, τον σεβασμό της ιδιωτικής ζωής και την προστασία των δεδομένων προσωπικού χαρακτήρα.
(
8
)	Βάσει του άρθρου 79, παράγραφος 4, του κανονισμού (ΕΕ) 2015/848 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2015, περί των διαδικασιών αφερεγγυότητας (αναδιατύπωση) (ΕΕ 2015, L 141, σ. 19). Το άρθρο 79, παράγραφος 5, του κανονισμού αυτού προβλέπει απλώς ότι τα κράτη μέλη ενημερώνουν τα υποκείμενα των δεδομένων για το χρονικό διάστημα κατά το οποίο είναι δυνατή η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που είναι αποθηκευμένα στα μητρώα αφερεγγυότητας, χωρίς να καθορίζει τη χρονική διάρκεια της αποθήκευσης των εν λόγω δεδομένων.
(
9
)	Κατά το άρθρο 40, παράγραφοι 1 και 2, του ΓΚΠΔ.
(
10
)	Σύμφωνα με το άρθρο 17, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ.
(
11
)	Δυνάμει του άρθρου 21, παράγραφος 1, του ΓΚΠΔ.
(
12
)	Κατ’ εφαρμογήν του άρθρου 17, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ.