62022CJ0026_RES
Spojené věci C‑26/22 a C‑64/22
UFaAB
v.
Land Hessen
(žádost o rozhodnutí o předběžné otázce, kterou podal Verwaltungsgericht Wiesbaden)
Rozsudek Soudního dvora (prvního senátu) ze dne 7. prosince 2023
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 5 odst. 1 písm. a) – Zásada ‚zákonnosti‘ – Článek 6 odst. 1 první pododstavec písm. f) – Nezbytnost zpracování pro účely oprávněných zájmů správce nebo třetí strany – Článek 17 odst. 1 písm. d) – Právo na výmaz v případě protiprávního zpracování osobních údajů – Článek 40 – Kodexy chování – Článek 78 odst. 1 – Právo na účinnou soudní ochranu vůči dozorovému úřadu – Rozhodnutí dozorového úřadu o stížnosti – Rozsah soudního přezkumu tohoto rozhodnutí – Společnosti poskytující obchodní informace – Uložení údajů pocházejících z veřejného rejstříku týkajících se oddlužení určité osoby – Doba uložení“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Opravné prostředky – Soudní přezkum rozhodnutí dozorového úřadu o stížnosti – Soudní přezkum – Rozsah – Meze – Neexistence
(Listina základních práv Evropské unie, čl. 8 odst. 3 a článek 47; nařízení Evropského parlamentu a Rady 2016/679, body 141 a 143 odůvodnění a článek 52, čl. 79 odst. 1 a čl. 79 odst. 1)
(viz body 50–53, 58, 59, 62, 67–70, výrok 1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Podmínky zákonnosti zpracování osobních údajů – Zpracování nezbytné pro účely oprávněných zájmů správce nebo třetí strany – Zpracování nezbytné pro činnost soukromé společnosti spočívající v poskytování obchodních informací jejím smluvním partnerům za účelem posouzení úvěruschopnosti jejich potenciálních zákazníků – Systematické ukládání údajů pocházejících z veřejného rejstříku týkajících se oddlužení určité osoby – Doba uložení přesahující dobu uložení údajů ve veřejném insolvenčním rejstříku – Nepřípustnost
[Listina základních práv Evropské unie, článek 7 a 8; směrnice Evropského parlamentu a Rady 2015/848, bod 76 odůvodnění a čl. 79 odst. 4 a 5 a nařízení 2016/679 čl. 5 odst. 1 písm. a) a čl. 6 odst. 1 první pododstavec písm. f)]
(viz body 75, 83, 88–100, 113 výrok 2)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Podmínky zákonnosti zpracování osobních údajů – Kodex chování vypracovaný sdružením zastupujícím správce nebo zpracovatele schválené příslušným dozorovým úřadem – Kodex stanovující podmínky zákonnosti zpracování, které neodpovídají podmínkám stanoveným v nařízení – Nezohlednění
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 6 odst. 1 první pododstavec písm. f) a čl. 40 odst. 1, 2 a 5]
(viz body 101–105)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Právo na výmaz – Rozsah – Nezákonné zpracovávání osobních údajů – Zahrnutí
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 17 odst. 1 písm. d)]
(viz body 107, 108, 113, výrok 4)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Právo na výmaz – Rozsah – Právo subjektu údajů vznést námitku proti zpracování údajů – Zahrnutí – Výjimka – Existence závažných a oprávněných důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami této osoby – Důkazní břemeno, které nese správce
[Nařízení Evropského parlamentu a Rady 2016/679, čl. 17 odst. 1 písm. c) a čl. 21 odst. 1]
(viz body 109–113, výrok 3)
Shrnutí
Schufa Holding AG, soukromá společnost založená podle německého práva, ve svých vlastních databázích zaznamenává a uchovává informace pocházející z veřejných rejstříků, zejména informace týkající se oddlužení, které případně poskytuje svým smluvním partnerům. Výmaz těchto informací provádí po uplynutí lhůty tří let od provedení záznamu, v souladu s kodexem chování, který byl v Německu vypracován sdružením společností poskytujících obchodní informace.
Poté, co UF a AB bylo v rámci insolvenčního řízení povoleno oddlužení, požádali společnost SCHUFA, aby vymazala záznamy týkající se těchto rozhodnutí. Tato společnost odmítla jejich žádostem vyhovět s odůvodněním, že se na ni nevztahuje šestiměsíční lhůta pro výmaz těchto údajů z veřejného rejstříku, kterou stanoví německé právní předpisy (
1
).
Jak UF, tak i AB, podali proti společnosti SCHUFA stížnost k HBDI (
2
), příslušnému dozorovému úřadu, kterou posledně uvedený zamítl s odůvodněním, že zpracování údajů společností SCHUFA bylo zákonné.
Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu, Německo), ke kterému UF a AB podali žaloby proti rozhodnutím HBDI, předložil Soudnímu dvoru otázky týkající se výkladu několika ustanovení GDPR (
3
), které se týkají zejména nezbytnosti zpracování údajů pro účely sledovaných zájmů, jakož i práva na výmaz (
4
).
Soudní dvůr ve svém rozsudku konstatoval, že GDPR (
5
) brání praxi soukromých společností poskytujících obchodní informace, která spočívá v tom, že tyto společnosti ve svých vlastních databázích uchovávají informace pocházející z veřejného rejstříku, které se týkají schválení oddlužení fyzických osob, po dobu, která je delší než doba, kterou pro uchovávání těchto údajů v tomto rejstříku stanoví vnitrostátní právní předpisy. Vyjádřil se rovněž k právu subjektu údajů požadovat od této společnosti vymazání údajů, které se ho týkají.
Závěry Soudního dvora
Soudní dvůr zaprvé připomenul, že podle GDPR lze zpracování osobních údajů považovat za zákonné zejména tehdy, jsou-li splněny tři kumulativní podmínky, a sice zaprvé, že správce nebo třetí strana sleduje oprávněný zájem, zadruhé zpracování je nezbytné pro uskutečnění sledovaného oprávněného zájmu a zatřetí, že zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů nepřevažují nad oprávněným zájmem správce nebo třetí strany (
6
).
Pokud jde o první podmínku, Soudní dvůr zdůraznil, že i když v projednávaném případě zpracování osobních údajů slouží hospodářským zájmům soukromé společnosti, slouží rovněž sledování oprávněných zájmů smluvních partnerů této společnosti, kteří jsou povinni posoudit úvěruschopnost osob, se kterými hodlají uzavřít úvěrové smlouvy, a tedy socioekonomickým zájmům úvěrového sektoru.
Pokud jde o druhou podmínku, Soudní dvůr připomenul, že zpracování údajů může být považováno za „nezbytné“ pouze tehdy, je-li prováděno v mezích toho, co nezbytně nutné pro uskutečnění oprávněného zájmu sledovaného správcem nebo třetí stranou.
Pokud jde o třetí podmínku, Soudní dvůr konstatuje, že v projednávaném případě se její přezkum překrývá s přezkumem druhé podmínky a vyžaduje zvážení předmětných protichůdných práv a zájmů za účelem posouzení, zda sledovaných oprávněných zájmů nemůže být rozumně dosaženo kratší dobou uchovávání údajů.
Pokud jde o zvážení sledovaných oprávněných zájmů, Soudní dvůr uvedl, že vzhledem k tomu, že analýza provedená společností poskytující obchodní informace umožňuje objektivní a spolehlivé posouzení úvěruschopnosti potenciálních zákazníků smluvních partnerů této společnosti, umožňuje vyrovnat informační rozdíly, a tím snížit riziko podvodů a jiných nejistot.
Pokud jde naproti tomu o práva a zájmy subjektu údajů, Soudní dvůr má za to, že zpracování údajů týkajících se schválení oddlužení prováděné touto společností, jako je uložení, analýza a sdělení těchto údajů třetí osobě, představuje závažný zásah do základních práv subjektu údajů (
7
). Takovéto údaje totiž slouží jako negativní faktor při posuzování úvěruschopnosti subjektu údajů, a představují tedy citlivé informace o jeho soukromém životě, jejichž zpracování může značně poškodit jeho zájmy. Kromě toho, čím déle jsou tyto údaje uchovávány, tím závažnější jsou důsledky pro zájmy a soukromí subjektu údajů a tím vyšší jsou požadavky na zákonnost uchovávání těchto informací.
Kromě toho, pokud jde o uchovávání údajů ve veřejných insolvenčních rejstřících, Soudní dvůr uvedl, že členské státy odpovídají za shromažďování a uchovávání údajů ve vnitrostátních databázích (
8
), a musí tedy rovněž stanovit lhůtu pro uchovávání těchto údajů. V projednávané věci měl vnitrostátní zákonodárce za to, že po uplynutí lhůty šesti měsíců převažují práva a zájmy subjektu údajů nad právy a zájmy veřejnosti mít tyto informace k dispozici.
Kromě toho, oddlužení má osobě, která této možnosti využila, umožnit, aby se znovu zapojila do hospodářského života, a má pro tuto osobu zpravidla existenční význam. Dosažení tohoto cíle by přitom bylo ohroženo, pokud by příslušné informace mohly být uchovávány a použity po jejich výmazu z veřejného insolvenčního rejstříku.
Soudní dvůr proto dospěl k závěru, že zájmy úvěrového odvětví mít k dispozici informace o oddlužení nemohou odůvodnit uchovávání údajů po uplynutí lhůty pro uchovávání údajů ve veřejném insolvenčním rejstříku.
Soudní dvůr dodává, že i uchovávání údajů po dobu šesti měsíců představuje zásah do základních práv subjektu údajů. V tomto ohledu přísluší předkládajícímu soudu, aby posoudil, zda souběžné uchovávání těchto údajů soukromými společnostmi může být považováno za omezené na to, co je nezbytně nutné.
Konečně, pokud jde o existenci kodexu chování, který stanoví vymazání údajů po uplynutí lhůty tří let, Soudní dvůr poznamenal, že i když má takový kodex přispět k řádnému uplatňování GDPR (
9
), nic to nemění na tom, že podmínky zákonnosti zpracování osobních údajů, které stanoví, se nemohou lišit od podmínek stanovených GDPR. Kodex chování, který by vedl k jinému posouzení, než je posouzení, jehož bylo dosaženo na základě GDPR, proto nelze zohlednit.
Zadruhé, pokud jde o povinnosti správce údajů vymazat osobní údaje, Soudní dvůr poznamenává, že správce údajů musí vymazat údaje, které byly předmětem nezákonného zpracování, jako je v projednávaném případě zpracování údajů provedené dotčenou společností po uplynutí šestiměsíční lhůty pro uchování ve veřejném rejstříku (
10
). I pokud by předkládající soud dospěl k závěru, že zpracování údajů během šestiměsíčního období bylo zákonné, subjekt údajů by měl právo vznést námitku proti tomuto zpracování (
11
) a dosáhnout výmazu údajů, které se ho týkají, pokud tato společnost neprokáže existenci závažných oprávněných důvodů, které převažují nad jeho zájmy nebo právy a svobodami (
12
).
(
1
) – Ustanovení § 3 odst. 1 Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (nařízení o veřejných oznámeních v insolvenčním řízení na internetu) ze dne 12. února 2002 (BGBl. I, s. 677).
(
2
) – Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hessenský pověřenec pro ochranu údajů a informační svobodu, Německo).
(
3
) – Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1 a oprava Úř. věst. 2018, L 127, s. 2, dále jen „GDPR“).
(
4
) – Článek 6 odst. 1 první pododstavec písm. f) a čl. 17 odst. 1 písm. c) a d) tohoto nařízení.
(
5
) – Článek 5 odst. 1 písm. a) ve spojení s čl. 6 odst. 1 prvním pododstavcem písm. f) GDPR.
(
6
) – Podle čl. 6 odst. 1 prvního pododstavce písm. f) GDPR, který je použitelný v projednávané věci.
(
7
) – Práva zakotvená v článcích 7 a 8 Listiny základních práv Evropské unie, která se týkají respektování soukromého života a ochrany osobních údajů.
(
8
) – Podle čl. 79 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2015/848 ze dne 20. května 2015 o insolvenčním řízení (přepracované znění) (Úř. věst. 2015, L 141, s. 19). Článek 79 odst. 5 tohoto nařízení pouze stanoví, že členské státy informují subjekty údajů o době přístupnosti osobních údajů uchovávaných v insolvenčních rejstřících, aniž by stanovil lhůtu pro uchovávání těchto údajů.
(
9
) – Podle čl. 40 odst. 1 a 2 GDPR.
(
10
) – Podle čl. 17 odst. 1 písm. d) GDPR.
(
11
) – Podle čl. 21 odst. 1 GDPR.
(
12
) – Podle čl. 17 odst. 1 písm. c) GDPR.