62022CJ0026_RES
Förenade målen C‑26/22 och C‑64/22
UFochAB
mot
Land Hessen,
(begäran om förhandsavgörande från Verwaltungsgericht Wiesbaden)
Domstolens dom (första avdelningen) av den 7 december 2023
”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5.1 a – Principen om laglighet – Artikel 6.1 första stycket f – Behandlingens nödvändighet för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen – Artikel 17.1 d – Rätt till radering om personuppgifterna har behandlats på olagligt sätt – Artikel 40 – Uppförandekoder – Artikel 78.1 – Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut – Tillsynsmyndighetens beslut angående ett klagomål – Domstolsprövningens räckvidd avseende detta beslut – Kreditupplysningsföretag – Lagring av uppgifter från ett offentligt register angående skuldsanering som beviljats en person – Lagringstid”
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rättsmedel – Rättsmedel mot ett beslut av en tillsynsmyndighet angående ett klagomål – Domstolsprövning – Räckvidd – Gränser – Föreligger inte
(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 8.3 och 47; Europaparlamentets och rådets direktiv 2016/679, skälen 141 och 143 samt artiklarna 52, 78.1 och 79.1)
(se punkterna 50–53, 58, 59, 67–70 samt punkt 1 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Villkor för att en behandling av personuppgifter ska vara laglig – Nödvändig behandling för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen – Behandling som är nödvändig för ett företags verksamhet som består i att tillhandahålla kreditupplysningar till sina avtalsparter för utvärdering av potentiella kunders kreditvärdighet – Systematisk lagring av uppgifter från ett offentligt register angående skuldsanering som beviljats en person – Lagringstid som är längre än den lagringstid som gäller för uppgifter i det offentliga insolvensregistret – Otillåtet
(Europeiska unionens stadga om de grundläggande rättigheterna, artiklarna 7 och 8; Europaparlamentets och rådets direktiv 2015/848, skäl 76 och artikel 79.4 och 79.5, och Europaparlamentets och rådets direktiv 2016/679, artiklarna 5.1 a och 6.1 första stycket f)
(se punkterna 75, 83, 88–100 och113 samt punkt 2 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Villkor för att en behandling av personuppgifter ska vara laglig – Uppförandekod som utarbetats av en sammanslutning som företräder personuppgiftsansvariga eller personuppgiftsbiträden och som godkänts av den behöriga tillsynsmyndigheten – Uppförandekod som fastställer villkoren för en laglig behandling som inte motsvarar de villkor som föreskrivs i förordning 2016/679 – Beaktas inte
(Europaparlamentets och rådets förordning 2016/679, artiklarna 6.1 första stycket f, 40.1, 40.2 och 40.5)
(se punkterna 101–105)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till radering – Omfattning – Olaglig behandling av personuppgifter – Omfattas
(Europaparlamentets och rådets direktiv 2016/679, artiklarna 17.1 c och 21.1)
(se punkterna 107, 108 och 113 samt punkt 4 i domslutet)
Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till radering – Omfattning – Den registrerades rätt att göra invändningar – Omfattas – Undantag – Förekomsten av avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter – Den personuppgiftsansvariges bevisbörda
(Europaparlamentets och rådets direktiv 2016/679, artiklarna 17.1 c och 21.1)
(se punkterna 109–113 samt punkt 3 i domslutet)
Resumé
Schufa Holding AG är ett privat bolag bildat enligt tysk rätt som i egna databaser registrerar och lagrar uppgifter från offentliga register, bland annat uppgifter om skuldsanering, vilka bolaget i förekommande fall tillhandahåller sina avtalsparter. Schufa ska radera sistnämnda uppgifter inom tre år från registreringen, i enlighet med den uppförandekod som i Tyskland utarbetats av sammanslutningen av kreditupplysningsföretag.
Efter att ha beviljats skuldsanering i samband med insolvensförfaranden begärde UF och AB att Schufa skulle radera uppgifterna om dessa beslut. Bolaget avslog deras ansökningar och förklarade att den frist för att radera uppgifterna i det offentliga registret på sex månader som föreskrivs i tysk rätt (
1
) inte var tillämplig på bolaget.
UF respektive AB ingav klagomål mot Schufa till den behöriga tillsynsmyndigheten HBDI (
2
), som avslog klagomålen med motiveringen att Schufas behandling av uppgifterna var laglig.
UF och AB överklagade HBDI:s beslut till Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland). Denna domstol ställde frågor till EU-domstolen angående tolkningen av flera bestämmelser i dataskyddsförordningen (
3
), bland annat huruvida behandlingen är nödvändig för ändamål som rör de eftersträvade intressena och rätten till radering (
4
).
I sin dom konstaterar domstolen att dataskyddsförordningen (
5
) utgör hinder för en praxis hos privata kreditupplysningsföretag som innebär att de i egna databaser lagrar uppgifter från ett offentligt register angående skuldsanering som beviljats fysiska personer under en längre period än den som uppgifterna får lagras i det offentliga registret enligt den nationella lagstiftningen. Domstolen uttalar sig även om den registrerades rätt att få sina uppgifter raderade hos det aktuella bolaget.
Domstolens bedömning
Domstolen erinrar för det första om att tre kumulativa villkor måste vara uppfyllda för att en behandling av personuppgifter ska anses tillåten enligt dataskyddsförordningen. För det första ska den personuppgiftsansvarige eller tredje part eftersträva ett berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det aktuella berättigade intresset. För det tredje ska intressena eller de grundläggande fri- och rättigheterna för den person vars personuppgifter ska skyddas inte väga tyngre än den personuppgiftsansvariges eller tredje parts berättigade intresse. (
6
)
Vad gäller det första villkoret understryker domstolen att även om behandlingen av personuppgifter i förevarande fall tjänar ett privat bolags ekonomiska intressen, syftar denna behandling även till att tillgodose det berättigade intresse hos bolagets avtalsparter, vilka är skyldiga att bedöma de personers kreditvärdighet med vilka de avser att ingå ett avtal kopplat till en kredit och tillgodoser således kreditsektorns intressen på ett socioekonomiskt plan.
Vad gäller det andra villkoret erinrar domstolen om att behandling av uppgifter endast kan anses vara ”nödvändig” om den utförs inom ramen för vad som är strängt nödvändigt för att uppnå det berättigade intresse som eftersträvas av den personuppgiftsansvarige eller en tredje part.
Vad gäller det tredje villkoret konstaterar domstolen att prövningen av detta villkor i förevarande fall sammanfaller med prövningen av det andra villkoret och kräver en avvägning mellan de motstående rättigheterna och intressena för att avgöra huruvida de berättigade intressen som eftersträvas inte rimligen kan uppnås genom en kortare lagringstid för uppgifterna.
Vad gäller avvägningen mellan de berättigade intressen som eftersträvas, påpekar domstolen att eftersom den analys som gjorts av ett kreditupplysningsföretag möjliggör en objektiv och tillförlitlig bedömning av kreditvärdigheten hos potentiella kunder till kreditupplysningsföretagets avtalsparter, så gör denna analys det möjligt att kompensera för informationsskillnader och därmed minska riskerna för bedrägerier och andra osäkerheter.
När det däremot gäller den registrerades rättigheter och intressen finner domstolen att kreditupplysningsföretagets behandling av uppgifter angående beviljandet av skuldsanering, såsom lagring, analys och utlämnande av dessa uppgifter till tredje man, utgör ett allvarligt ingrepp i den registrerades grundläggande rättigheter. (
7
) Sådana uppgifter utgör nämligen en negativ faktor vid bedömningen av den registrerades kreditvärdighet och utgör därför känsliga uppgifter om den registrerades privatliv som i avsevärd mån kan skada den registrerades intressen. Dessutom gäller det förhållandet att ju längre sådana uppgifter lagras, desto större blir konsekvenserna för den registrerades intressen och privatliv, och desto större blir kraven på att lagringen av denna information är laglig.
Beträffande lagring av uppgifter i offentliga insolvensregister påpekar domstolen att medlemsstaterna ansvarar för insamlingen och lagringen av uppgifter i nationella databaser, (
8
) och de måste följaktligen även fastställa lagringstiden för dessa uppgifter. Den nationella lagstiftaren anser i förevarande fall att den registrerades rättigheter och intressen, efter utgången av en frist på sex månader, har företräde framför allmänhetens rättigheter och intressen när det gäller att förfoga över dessa upplysningar.
En skuldsanering är dessutom avsedd att göra det möjligt för den person som beviljats en sådan att på nytt delta i det ekonomiska livet och den är därför i allmänhet av existentiell betydelse för denna person. Uppnåendet av detta mål skulle emellertid äventyras om uppgifterna om detta kunde lagras och användas efter det att de har raderats från det offentliga insolvensregistret.
Domstolen drar följaktligen slutsatsen att det intresse som kreditbranschen har av att förfoga över information om skuldsanering kan inte motivera att uppgifterna lagras efter det att lagringstiden i det offentliga insolvensregistret har löpt ut.
Domstolen påpekar även att lagring av uppgifter under sexmånadersperioden också utgör ett ingrepp i den registrerades grundläggande rättigheter. I detta avseende ankommer det på den hänskjutande domstolen att bedöma huruvida privata företags parallella lagring av dessa uppgifter kan anses vara begränsad till vad som är strängt nödvändigt.
Vad slutligen gäller förekomsten av en uppförandekod som föreskriver att uppgifter ska raderas efter tre år, noterar domstolen att även om en sådan uppförandekod är avsedd att bidra till en korrekt tillämpning av dataskyddsförordningen, (
9
) får de i en uppförandekod fastställda villkoren för en laglig behandling av personuppgifter inte skilja sig från de villkor som föreskrivs i dataskyddsförordningen. En uppförandekod som leder till en annan bedömning än den som görs med tillämpning av dataskyddsförordningen kan således inte beaktas.
När det, för det andra, gäller den personuppgiftsansvariges skyldigheter att radera personuppgifter noterar domstolen att den personuppgiftsansvarige ska radera uppgifter som behandlats på ett olagligt sätt, såsom i förevarande fall där det berörda bolaget har behandlat uppgifter efter det att lagringstiden för uppgifterna i det offentliga insolvensregistret har löpt ut. (
10
)Även om den hänskjutande domstolen kommer till slutsatsen att behandlingen av uppgifter under sexmånadersperioden var laglig, har den registrerade rätt att göra invändningar mot en sådan behandling och få sina personuppgifter raderade, såvida det aktuella bolaget inte kan visa att det finns avgörande berättigade skäl som väger tyngre än den registrerades intressen, rättigheter och friheter. (
11
)
(
1
)	I 3 § i Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im internet (förordning om officiella tillkännagivanden på internet inom ramen för insolvensförfaranden) av den 12 februari 2002 (BGBl. I, s. 677).
(
2
)	Hessischer Beauftragter für Datenschutz und Informationsfreiheit (myndighet med ansvar för dataskydd och informationsfrihet för delstaten Hessen, Tyskland)
(
3
)	Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelse i EUT 127, 2018, s. 2, och rättelse EUT 2018, L 127, s. 2) (nedan kallad dataskyddsförordningen).
(
4
)	Artikel 6.1 första stycket f respektive artikel 17.1 c och d i denna förordning.
(
5
)	Artikel 5.1 a i förordning 2016/679, jämförd med artikel 6.1 första stycket f i dataskyddsförordningen.
(
6
)	Enligt artikel 6.1 första stycket f i dataskyddsförordningen, som är tillämplig i förevarande fall.
(
7
)	Artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna slår fast rätten till respekt för privatlivet respektive skydd för personuppgifter.
(
8
)	Enligt artikel 79.4 i Europaparlamentets och rådets förordning (EU) 2015/848 av den 20 maj 2015 om insolvensförfaranden (omarbetning) (EUT L 141, 2015, s. 19). I artikel 79.5 i denna förordning föreskrivs endast att medlemsstaterna ska informera de registrerade om den fastställda tidsperiod då personuppgifter som lagrats i insolvensregister är tillgängliga, utan att det fastställs någon tidsfrist för lagring av dessa uppgifter.
(
9
)	Enligt artikel 40.1 och 40.2 i dataskyddsförordningen.
(
10
)	I enlighet med artikel 17.1 d i dataskyddsförordningen.
(
11
)	Med tillämpning av artikel 17.1 c i dataskyddsförordningen.