62022CJ0026_RES
Združeni zadevi C‑26/22 in C‑64/22
UFinAB
proti
Land Hessen
(Predlog za sprejetje predhodne odločbe, ki ga je vložilo Verwaltungsgericht Wiesbaden)
Sodba Sodišča (prvi senat) z dne 7. decembra 2023
„Predhodno odločanje – Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba (EU) 2016/679 – Člen 5(1)(a) – Načelo ‚zakonitosti‘ – Člen 6(1), prvi pododstavek, točka (f) – Potreba po obdelavi podatkov zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba – Člen 17(1)(d) – Pravica do izbrisa v primeru nezakonite obdelave osebnih podatkov – Člen 40 – Kodeksi ravnanja – Člen 78(1) – Pravica do učinkovitega pravnega sredstva zoper nadzorni organ – Odločitev nadzornega organa o pritožbi – Obseg sodnega nadzora nad to odločitvijo – Družbe, ki zagotavljajo poslovne informacije – Hramba podatkov, ki izvirajo iz javnega registra, o odpisu preostanka dolga posamezniku – Trajanje hrambe“
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravna sredstva – Sodno pravno sredstvo zoper odločitev nadzornega organa o pritožbi – Sodni nadzor – Obseg – Meje – Neobstoj
(Listina Evropske unije o temeljnih pravicah, člena 8(3) in 47; Uredba Evropskega parlamenta in Sveta 2016/679, uvodni izjavi 141 in 143 ter členi 52, 78(1) in 79(1))
(Glej točke od 50 do 53, 58, 59, 62 in od 67 do 70 ter točko 1 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pogoji za zakonitost obdelave osebnih podatkov – Obdelava, potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba – Obdelava, potrebna za dejavnost zasebne družbe, ki zagotavlja poslovne informacije svojim pogodbenim partnerjem, da se oceni plačilna sposobnost njihovih potencialnih strank – Sistematična hramba podatkov, ki izvirajo iz javnega registra, o odpisu preostanka dolga posamezniku – Trajanje hrambe, ki presega obdobje hrambe podatkov v javnem registru insolventnosti – Nedopustnost
(Listina Evropske unije o temeljnih pravicah, člena 7 in 8; uredbi Evropskega parlamenta in Sveta 2015/848, uvodna izjava 76 ter člen 79(4) in (5), in 2016/679, člena 5(1)(a) in 6(1), prvi pododstavek, točka (f))
(Glej točke 75, 83, od 88 do 100 in 113 ter točko 2 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pogoji za zakonitost obdelave osebnih podatkov – Kodeks ravnanja, ki ga pripravi združenje, ki predstavlja upravljavce ali obdelovalce, in ga potrdi pristojni nadzorni organ – Kodeks, ki določa pogoje za zakonitost obdelave, ki ne ustrezajo pogojem, določenim z Uredbo 2016/679 – Neupoštevanje
(Uredba Evropskega parlamenta in Sveta 2016/679, člena 6(1), prvi pododstavek, točka (f), ter 40(1), (2) in (5))
(Glej točke od 101 do 105.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do izbrisa – Obseg – Nezakonita obdelava osebnih podatkov – Vključitev
(Uredba Evropskega parlamenta in Sveta 2016/679, člen 17(1)(d))
(Glej točke 107, 108 in 113 ter točko 4 izreka.)
Varstvo posameznikov pri obdelavi osebnih podatkov – Uredba 2016/679 – Pravica do izbrisa – Obseg – Pravica posameznika, na katerega se nanašajo osebni podatki, do ugovora zoper obdelavo podatkov – Vključitev – Izjema – Obstoj prevladujočih zakonitih razlogov za obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami tega posameznika – Dokazno breme upravljavca
(Uredba Evropskega parlamenta in Sveta 2016/679, člena 17(1)(c) in 21(1))
(Glej točke od 109 do 113 in točko 3 izreka.)
Povzetek
Družba SCHUFA Holding AG, zasebna družba nemškega prava, v svojih zbirkah podatkov beleži in hrani informacije iz javnih registrov, zlasti informacije o odpisu preostanka dolga, ki jih po potrebi posreduje svojim pogodbenim partnerjem. Te informacije izbriše po treh letih po njihovem evidentiranju, in sicer v skladu s kodeksom ravnanja, ki ga je v Nemčiji pripravilo združenje družb, ki zagotavljajo poslovne informacije.
Potem ko sta bili osebama UF in AB v okviru postopkov zaradi insolventnosti izdani odločbi o predčasnem odpisu preostanka dolga, sta od družbe SCHUFA zahtevali izbris vpisov v zvezi s tema odločbama. Ta družba je zavrnila njuni zahtevi s pojasnilom, da se šestmesečni rok za izbris teh podatkov iz javnega registra, ki je določen v nemški zakonodaji, (
1
) zanjo ne uporablja.
Osebi UF in AB sta zoper družbo SCHUFA vsaka posebej vložili pritožbo pri HBDI, (
2
) pristojnem nadzornem organu, ki je ti pritožbi zavrnil z obrazložitvijo, da je bila obdelava podatkov, ki jo je izvedla družba SCHUFA, zakonita.
Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), pri katerem sta osebi UF in AB vložili tožbi zoper odločbi HBDI, je prosilo Sodišče za razlago več določb SUVP, (
3
) ki se med drugim nanašajo na potrebo po obdelavi podatkov zaradi interesov, ki se jim sledi, in na pravico do izbrisa. (
4
)
Sodišče je v sodbi ugotovilo, da SUVP (
5
) nasprotuje praksi zasebnih družb, ki zagotavljajo poslovne informacije, da v svojih zbirkah podatkov hranijo informacije iz javnega registra glede odobritve odpisa preostanka dolga fizičnim osebam za obdobje, ki presega obdobje, ki je v nacionalni zakonodaji določeno za hrambo teh podatkov v takem registru. Prav tako se je izreklo o pravici posameznika, na katerega se nanašajo osebni podatki, da pri tej družbi doseže izbris podatkov, ki se nanašajo nanj.
Presoja Sodišča
Na prvem mestu, Sodišče je opozorilo, da se v skladu s SUVP obdelava osebnih podatkov lahko šteje za zakonito, zlasti če so izpolnjeni trije kumulativni pogoji, in sicer, prvič, da si upravljavec ali tretja oseba prizadeva za zakoniti interes, drugič, da je obdelava osebnih podatkov potrebna za uresničitev zakonitega interesa, ki se mu sledi, in tretjič, da interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanaša varstvo podatkov, ne prevladajo nad zakonitim interesom upravljavca ali tretje osebe. (
6
)
Sodišče je glede prvega pogoja poudarilo, da čeprav v obravnavanem primeru obdelava osebnih podatkov služi ekonomskim interesom zasebne družbe, je namen te obdelave tudi uresničevanje zakonitih interesov pogodbenih partnerjev te družbe – ki morajo oceniti kreditno sposobnost oseb, s katerimi nameravajo skleniti pogodbe v zvezi s kreditom – in torej interesov kreditnega sektorja na socialno‑ekonomski ravni.
Sodišče je glede drugega pogoja opozorilo, da se obdelava podatkov lahko šteje za „potrebno“ le, če se izvaja v mejah tega, kar je nujno potrebno za uresničitev zakonitega interesa, za katerega si prizadeva upravljavec ali tretja oseba.
Sodišče je glede tretjega pogoja ugotovilo, da se v obravnavanem primeru preučitev tega pogoja prekriva s preučitvijo drugega pogoja in zahteva tehtanje nasprotujočih si pravic in interesov, da bi se presodilo, ali zakonitih interesov, ki se jim sledi, ni mogoče razumno doseči s krajšim obdobjem hrambe podatkov.
Tako je Sodišče glede tehtanja zakonitih interesov, ki se jim sledi, poudarilo, da če analiza, ki jo opravi družba, ki zagotavlja poslovne informacije, omogoča objektivno in zanesljivo oceno plačilne sposobnosti potencialnih strank pogodbenih partnerjev te družbe, ta analiza omogoča izravnavo razlik v informacijah in torej zmanjšanje tveganj goljufij in drugih negotovosti.
Kar pa zadeva pravice in interese posameznika, na katerega se nanašajo osebni podatki, je Sodišče ugotovilo, da obdelava podatkov glede odpisa preostanka dolga, ki jo izvede ta družba, kot so shranjevanje, analiza in posredovanje teh podatkov tretji osebi, pomeni resno poseganje v temeljne pravice posameznika, na katerega se nanašajo osebni podatki. (
7
) Taki podatki se namreč uporabljajo kot negativni dejavnik pri ocenjevanju kreditne sposobnosti navedenega posameznika in so torej občutljive informacije o njegovem zasebnem življenju, katerih obdelava lahko znatno škodi njegovim interesom. Poleg tega, dlje kot se hranijo taki podatki, večje so posledice za interese in zasebnost posameznika, na katerega se nanašajo osebni podatki, in večje so zahteve glede zakonitosti hrambe te informacije.
Poleg tega je Sodišče glede hrambe podatkov v javnih registrih insolventnosti navedlo, da so za zbiranje in shranjevanje podatkov v nacionalnih zbirkah podatkov odgovorne države članice, (
8
) zato morajo te določiti tudi obdobje hrambe teh podatkov. V obravnavanem primeru je nacionalni zakonodajalec menil, da po izteku šestmesečnega obdobja pravice in interesi posameznika, na katerega se nanašajo osebni podatki, prevladajo nad pravicami in interesi javnosti, da ima na voljo to informacijo.
Poleg tega je namen odpisa preostanka dolga omogočiti osebi, ki ji je bil odpis odobren, da ponovno sodeluje v gospodarskem življenju in je zato na splošno za to osebo eksistenčnega pomena. Uresničevanje tega cilja pa bi bilo ogroženo, če bi se informacije v zvezi s tem lahko hranile in uporabile po tem, ko so bile izbrisane iz javnega registra insolventnosti.
Zato je Sodišče ugotovilo, da interesi kreditnega sektorja, da razpolaga z informacijami o odpisu preostanka dolga, ne morejo upravičiti hrambe podatkov po izteku obdobja hrambe podatkov v javnem registru insolventnosti.
Sodišče je poleg tega ugotovilo, da tudi hramba podatkov v šestmesečnem obdobju pomeni poseg v temeljne pravice posameznika, na katerega se nanašajo osebni podatki. V zvezi s tem mora predložitveno sodišče presoditi, ali je mogoče šteti, da je vzporedna hramba teh podatkov s strani zasebnih družb omejena na to, kar je nujno potrebno.
Nazadnje, Sodišče je glede obstoja kodeksa ravnanja, ki določa izbris podatkov po izteku triletnega roka, ugotovilo, da čeprav je namen takega kodeksa prispevati k pravilni uporabi SUVP, (
9
) se pogoji za zakonitost obdelave osebnih podatkov, ki jih določa, ne smejo razlikovati od pogojev, določenih v SUVP. Zato kodeksa ravnanja, ki vodi k drugačni presoji od tiste, ki temelji na SUVP, ni mogoče upoštevati.
Na drugem mestu, Sodišče je glede obveznosti upravljavca, da izbriše osebne podatke, po eni strani ugotovilo, da mora upravljavec podatke, ki so bili predmet nezakonite obdelave, kot je v obravnavanem primeru obdelava, ki jo je zadevna družba izvedla po izteku šestmesečnega obdobja hrambe v javnem registru, izbrisati. (
10
) Po drugi strani pa, tudi če bi predložitveno sodišče ugotovilo, da je bila obdelava podatkov v šestmesečnem obdobju zakonita, bi imel posameznik, na katerega se nanašajo osebni podatki, pravico, da taki obdelavi ugovarja (
11
) in doseže izbris podatkov, ki se nanašajo nanj, če ta družba ne dokaže obstoja prevladujočih zakonitih razlogov, ki prevladajo nad interesi ter pravicami in svoboščinami tega posameznika. (
12
)
(
1
)	Člen 3(1) Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (uredba o objavah na internetu v postopkih zaradi insolventnosti) z dne 12. februarja 2002 (BGBl. I, str. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (pooblaščenec za varstvo podatkov in svobodo obveščanja za zvezno deželo Hessen, Nemčija).
(
3
)	Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2, v nadaljevanju: SUVP).
(
4
)	Člen 6(1), prvi pododstavek, točka (f) ter člen 17(1)(c) in (d) te uredbe.
(
5
)	Člen 5(1)(a) v povezavi s členom 6(1), prvi pododstavek, točka (f), SUVP.
(
6
)	Na podlagi člena 6(1), prvi pododstavek, točka (f), SUVP, ki se uporabi v obravnavanem primeru.
(
7
)	Pravici, določeni v členih 7 in 8 Listine Evropske unije o temeljnih pravicah, ki se nanašata na spoštovanje zasebnega življenja in varstvo osebnih podatkov.
(
8
)	Na podlagi člena 79(4) Uredbe (EU) 2015/848 Evropskega parlamenta in Sveta z dne 20. maja 2015 o postopkih v primeru insolventnosti (prenovitev) (UL 2015, L 141, str. 19). Člen 79(5) te uredbe določa le, da države članice posameznike, na katere se nanašajo osebni podatki, obvestijo o obdobju, v katerem so osebni podatki, ki se hranijo v registrih insolventnosti, dostopni, ne da bi določal obdobje hrambe teh podatkov.
(
9
)	V skladu s členom 40(1) in (2) SUVP.
(
10
)	V skladu s členom 17(1)(d) SUVP.
(
11
)	Na podlagi člena 21(1) SUVP.
(
12
)	V skladu s členom 17(1)(c) SUVP.