62022CJ0026 DOMSTOLENS DOM (första avdelningen) den 7 december 2023 ( *1 ) ”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Artikel 5.1 a – Principen om laglighet – Artikel 6.1 första stycket f – Behandlingens nödvändighet för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen – Artikel 17.1 d – Rätt till radering om personuppgifterna har behandlats på olagligt sätt – Artikel 40 – Uppförandekoder – Artikel 78.1 – Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut – Tillsynsmyndighetens beslut angående ett klagomål – Domstolsprövningens räckvidd avseende detta beslut – Kreditupplysningsföretag – Lagring av uppgifter från ett offentligt register angående skuldsanering som beviljats en person – Lagringstid” I de förenade målen C‑26/22 och C‑64/22, angående beslut att begära förhandsavgörande enligt artikel 267 FEUF, från Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland), av den 23 december 2021 och den 31 januari 2022, som inkom till domstolen den 11 januari 2022 och den 2 februari 2022, i målen UF (C‑26/22), AB (C‑64/22) mot Land Hessen, ytterligare deltagare i rättegången: SCHUFA Holding AG, meddelar DOMSTOLEN (första avdelningen), sammansatt av avdelningsordföranden Mcfarland samt domarna Nielsen, P.G. Xuereb, Young (referent) och Perez, generaladvokat: Evans, justitiesekreterare: handläggaren Hall, efter det skriftliga förfarandet och förhandlingen den 26 januari 2023, med beaktande av de yttranden som avgetts av: – UF och AB, genom R. Rohrmoser och S. Tintemann, Summers, – Land Hessen, genom M. Briggs och Henson, Summers, – SCHUFA Holding AG, genom Rogers och Bailey, Rechtsanwalt, – Tysklands regering, genom Cox och Hopkins, båda i egenskap av ombud, – Portugals regering, genom P. Bryant, Greene och Allen Roberts, samtliga i egenskap av ombud, – Europeiska kommissionen, genom Christensen, Carrillo, Wiggins och Dominguez, samtliga i egenskap av ombud, och efter att den 16 mars 2023 ha hört generaladvokatens förslag till avgörande, följande Dom 1 Respektive begäran om förhandsavgörande avser tolkningen av artiklarna 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) samt av artikel 6.1 första stycket f, artikel 17.1 d, artikel 40, artikel 77.1 och artikel 78.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ( EUT L 119, 2016, s. 1 , och rättelse i EUT L 127, 2018, s. 2 ) (nedan kallad dataskyddsförordningen). 2 Respektive begäran har framställts i två mål mellan å ena sidan UF (mål C‑26/22) och AB (mål C‑64/22) och å andra sidan Land Hessen (delstaten Hessen, Tyskland). Målen rör beslut som fattats av Thomas für Datenschutz und Informationsfreiheit (myndighet med ansvar för dataskydd och informationsfrihet för delstaten Hessen, Tyskland) (nedan kallad HBDI) att inte ålägga SCHUFA Holding AG (nedan kallat Schufa) att radera uppgifter som bolaget har lagrat avseende skuldsanering som beviljats UF och AB. Tillämpliga bestämmelser Unionsrätt Direktiv 2008/48/EG 3 I skälen 26 och 28 i Europaparlamentets och rådets direktiv 2008/48/EG av den 23 april 2008 om konsumentkreditavtal och om upphävande av rådets direktiv 87/102/EEG ( EUT L 133, 2008, s. 66 ) anges följande: ”26. … Särskilt på en expanderande kreditmarknad är det viktigt att kreditgivarna inte ägnar sig åt oansvarig utlåning eller ger krediter utan att dessförinnan bedöma kreditvärdigheten, och medlemsstaterna bör utföra den kontroll som är nödvändig för att undvika sådant beteende och de bör i sådana fall fastställa nödvändiga sanktioner mot kreditgivarna. … [D]et [bör] åligga kreditgivarna att individuellt kontrollera konsumentens kreditvärdighet. … … (28) För att bedöma en konsuments kreditvärdighet bör kreditgivaren söka i relevanta databaser; de rättsliga och faktiska omständigheterna kan kräva att sådana sökningar görs i olika omfattning. För att undvika en snedvridning av konkurrensen mellan kreditgivare bör kreditgivare ha tillgång till privata eller offentliga databaser om konsumenterna i en medlemsstat där de inte är etablerade på villkor som inte är diskriminerande i förhållande till kreditgivarna i denna medlemsstat.” 4 Artikel 8 i direktivet har rubriken ”Skyldighet att bedöma konsumentens kreditvärdighet”. I punkt 1 i denna artikel föreskrivs följande: ”Medlemsstaterna ska säkerställa att kreditgivaren innan kreditavtalet ingås gör en bedömning av konsumentens kreditvärdighet, på grundval av tillräckliga uppgifter som i förekommande fall erhållits från konsumenten och, när så är nödvändigt, på grundval av sökning i relevant databas. Medlemsstater vars lagstiftning kräver att kreditgivare måste göra en bedömning av konsumentens kreditvärdighet på grundval av en sökning i relevant databas får bibehålla det kravet.” Direktiv 2014/17/EU 5 I skälen 55 och 59 i Europaparlamentets och rådets direktiv 2014/17/ЕU av den 4 februari 2014 om konsumentkreditavtal som avser bostadsfastighet och om ändring av direktiven 2008/48/EG och 2013/36/EU och förordning (EU) nr 1093/2010 ( EUT L 60, 2014, s. 34 ) anges följande: ”(55) Det är av avgörande vikt att konsumentens förmåga och benägenhet att återbetala krediten bedöms och kontrolleras innan ett kreditavtal ingås. Vid den kreditprövningen bör alla nödvändiga och relevanta faktorer beaktas som kan påverka en konsuments utsikter att återbetala krediten under dess löptid. … … (59) Vid en kreditprövning är sökningar i en kreditdatabas till nytta. …” 6 Artikel 18 i detta direktiv har rubriken ”Skyldighet att bedöma konsumentens kreditvärdighet”. I punkt 1 i denna artikel föreskrivs följande: ”Medlemsstaterna ska säkerställa att kreditgivaren innan kreditavtal ingås gör en grundlig bedömning av konsumentens kreditvärdighet. Vid den bedömningen ska vederbörlig hänsyn tas till faktorer som är relevanta för att kontrollera konsumentens utsikter till att … fullgöra sina förpliktelser enligt kreditavtalet.” 7 I artikel 21 i direktivet, med rubriken ”Åtkomst till databaser”, föreskrivs följande i punkterna 1 och 2: ”1. Varje medlemsstat ska säkerställa att alla kreditgivare från alla medlemsstater kan få åtkomst till databaser som i den medlemsstaten används för att bedöma konsumenters kreditvärdighet och med enda syftet att övervaka konsumenters fullgörande av kreditvillkoren under kreditavtalets löptid. Villkoren för sådan åtkomst ska vara icke-diskriminerande. 2. Punkt 1 ska gälla för både databaser som förvaltas av privata kreditupplysningsinstitut eller kreditupplysningsfirmor och för offentliga register.” Förordning (EU) 2015/848 8 Skäl 76 i Europaparlamentets och rådets förordning (EU) 2015/848 av den 20 maj 2015 om insolvensförfaranden ( EUT L 141, 2015, s. 19 ) har följande lydelse: ”För att förbättra informationen till berörda borgenärer och domstolar och för att förhindra att parallella insolvensförfaranden inleds, bör medlemsstaterna åläggas att offentliggöra relevant information i gränsöverskridande insolvensfall i ett offentligt elektroniskt register. För att underlätta tillgången till denna information för borgenärer och domstolar som har hemvist eller är belägna i en annan medlemsstat, bör denna förordning innehålla bestämmelser om sammankoppling av sådana insolvensregister via den europeiska e-juridikportalen. …” 9 Artikel 79 i förordningen har rubriken ”Medlemsstaternas ansvar avseende behandlingen av personuppgifter i nationella insolvensregister”. I punkterna 4 och 5 i den artikeln föreskrivs följande: ”4. Medlemsstaterna ska enligt [Europaparlamentets och rådets] direktiv 95/46/EG [av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ( EGT L 281, 1995, s. 31 )] ansvara för insamling och lagring av uppgifter i nationella databaser och för beslut om att göra sådana uppgifter tillgängliga i det sammankopplade register som kan konsulteras via den europeiska e-juridikportalen. 5. Som del av den information som bör tillhandahållas de registrerade för att de ska kunna utöva sina rättigheter, och särskilt rätten till radering av uppgifter, ska medlemsstaterna informera de registrerade om den fastställda tidsperiod då personuppgifter som lagrats i insolvensregister är tillgängliga.” Dataskyddsförordningen 10 Skälen 10, 11, 47, 50, 98, 141 och 143 i dataskyddsförordningen har följande lydelse: ”(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom [Europeiska] unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. … (11) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna. … (47) En personuppgiftsansvarigs berättigade intressen, inklusive intressena för en personuppgiftsansvarig till vilken personuppgifter får lämnas ut, eller för en tredje part, kan utgöra rättslig grund för behandling, på villkor att de registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre, med beaktande av de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige. Ett sådant berättigat intresse kan till exempel finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige i sådana situationer som att den registrerade är kund hos eller arbetar för den personuppgiftsansvarige. Ett berättigat intresse kräver under alla omständigheter en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. Den registrerades intressen och grundläggande rättigheter skulle i synnerhet kunna väga tyngre än den personuppgiftsansvariges intressen, om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare behandling. … … (50) Behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in bör endast vara tillåten, när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. … För att fastställa om ett ändamål med den ytterligare behandlingen är förenligt med det ändamål för vilket personuppgifterna ursprungligen insamlades bör den personuppgiftsansvarige, efter att ha uppfyllt alla krav vad beträffar den ursprungliga behandlingens lagenlighet, bland annat beakta alla kopplingar mellan dessa ändamål och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personuppgifterna insamlats, särskilt de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige när det gäller den fortsatta behandlingen, personuppgifternas art, konsekvenserna för de registrerade av den planerade fortsatta behandlingen samt förekomsten av lämpliga skyddsåtgärder för både den ursprungliga och den planerade ytterligare behandlingen. … (98) Sammanslutningar eller andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden bör uppmuntras att utarbeta uppförandekoder inom gränserna för denna förordning, så att tillämpningen av denna förordning effektiviseras, med beaktande av särdragen hos den behandling som sker inom vissa sektorer och de särskilda behov som finns inom mikroföretag samt inom små och medelstora företag. I synnerhet skulle man genom sådana uppförandekoder kunna anpassa personuppgiftsansvarigas och personuppgiftsbiträdens skyldigheter, med beaktande av den risk som behandlingen sannolikt innebär för fysiska personers rättigheter och friheter. … (141) Alla registrerade bör ha rätt att lämna in ett klagomål till en enda tillsynsmyndighet, särskilt i den medlemsstat där den registrerade har sin hemvist, och ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i stadgan, om den registrerade anser att hans eller hennes rättigheter enligt denna förordning har kränkts eller om tillsynsmyndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter. Utredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet. Tillsynsmyndigheten bör inom rimlig tid informera den registrerade om hur arbetet med klagomålet fortskrider och vad resultatet blir. … … (143) … [V]arje fysisk eller juridisk person [bör] ha rätt till ett effektivt rättsmedel vid den behöriga nationella domstolen mot ett beslut av en tillsynsmyndighet som har rättsliga följder för denna person. Sådana beslut avser särskilt tillsynsmyndighetens utövande av utrednings-, korrigerings- och godkännandebefogenheter eller avvisande av eller avslag på klagomål. Rätten till ett effektivt rättsmedel inbegriper dock inte åtgärder som vidtagits av tillsynsmyndigheter när dessa inte är rättsligt bindande, såsom yttranden som avgivits eller rådgivning som tillhandahållits av tillsynsmyndigheten. Talan mot beslut som har fattats av en tillsynsmyndighet bör väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte och bör genomföras i enlighet med den medlemsstatens nationella processrätt. Dessa domstolar bör ha fullständig behörighet, vilket bör omfatta behörighet att pröva alla fakta och rättsliga frågor som rör den tvist som anhängiggjorts vid dem. Om ett klagomål avslås eller avvisas av en tillsynsmyndighet, kan den enskilde väcka talan vid domstolarna i samma medlemsstat. I samband med rättsmedel som avser tillämpningen av denna förordning kan eller, i det fall som anges i artikel 267 i EUF-fördraget, måste nationella domstolar som anser att ett beslut om ett förhandsavgörande är nödvändigt för att de ska kunna döma begära att domstolen meddelar ett förhandsavgörande om tolkningen av unionsrätten, inbegripet denna förordning. …” 11 Artikel 5 i dataskyddsförordningen, med rubriken ”Principer för behandling av personuppgifter”, har följande lydelse: ”1. Vid behandling av personuppgifter ska följande gälla: a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade ( laglighet, korrekthet och öppenhet ). … c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas ( uppgiftsminimering ). … 2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs ( ansvarsskyldighet ).” 12 I artikel 6 i nämnda förordning, med rubriken ”Laglig behandling av personuppgifter”, föreskrivs följande: ”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt: … f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. … 4. Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande: a) Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen. b) Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige. c) Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och lagöverträdelser som innefattar brott behandlas i enlighet med artikel 10. d) Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen. e) Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.” 13 I artikel 17 i dataskyddsförordningen, med rubriken ”Rätt till radering (’rätten att bli bortglömd’), föreskrivs följande i punkt 1: ”Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller: … c) Den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade invänder mot behandlingen i enlighet med artikel 21.2. d) Personuppgifterna har behandlats på olagligt sätt. …” 14 I artikel 21 i förordningen, med rubriken ”Rätt att göra invändningar”, föreskrivs följande i punkterna 1 och 2: ”1. Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. 2. Om personuppgifterna behandlas för direkt marknadsföring ska den registrerade ha rätt att när som helst invända mot behandling av personuppgifter som avser honom eller henne för sådan marknadsföring, vilket inkluderar profilering i den utsträckning som denna har ett samband med sådan direkt marknadsföring.” 15 I artikel 40 i nämnda förordning, med rubriken ”Uppförandekoder”, föreskrivs följande i punkterna 1, 2 och 5: ”1. Medlemsstaterna, tillsynsmyndigheterna, styrelsen och [Europeiska] kommissionen ska uppmuntra utarbetandet av uppförandekoder avsedda att bidra till att denna förordning genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där behandling sker, och de särskilda behoven hos mikroföretag samt små och medelstora företag. 2. Sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden får utarbeta uppförandekoder, eller ändra eller utöka sådana koder, i syfte att specificera tillämpningen av denna förordning, till exempel när det gäller a) rättvis och öppen behandling, b) personuppgiftsansvarigas berättigade intressen i särskilda sammanhang, c) insamling av personuppgifter, … 5. Sammanslutningar och andra organ som avses i punkt 2 i den här artikeln som avser att utarbeta en uppförandekod eller ändra eller utöka befintliga uppförandekoder ska inge utkastet till uppförandekod, ändringen eller utökningen till den tillsynsmyndighet som är behörig enligt artikel 55. Tillsynsmyndigheten ska yttra sig om huruvida utkastet till uppförandekod, ändring eller utökning överensstämmer med denna förordning och ska godkänna utkastet till kod, ändring eller utökning om den finner att tillräckliga garantier tillhandahålls.” 16 Artikel 51 i dataskyddsförordningen har rubriken ”Tillsynsmyndighet”. I punkt 1 i denna artikel föreskrivs följande: ”Varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av denna förordning, i syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling samt att underlätta det fria flödet av sådana uppgifter inom unionen (nedan kallad tillsynsmyndighet ).” 17 I artikel 52 i förordningen, som har rubriken ”Oberoende”, föreskrivs följande i punkterna 1, 2 och 4: ”1. Varje tillsynsmyndighet ska vara fullständigt oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med denna förordning. 2. Varje tillsynsmyndighets ledamot eller ledamöter ska i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med denna förordning stå fria från utomstående påverkan, direkt såväl som indirekt, och får varken begära eller ta emot instruktioner av någon. … 4. Varje medlemsstat ska säkerställa att varje tillsynsmyndighet förfogar över de personella, tekniska och finansiella resurser samt de lokaler och den infrastruktur som behövs för att myndigheten ska kunna utföra sina uppgifter och utöva sina befogenheter, inklusive inom ramen för det ömsesidiga biståndet, samarbetet och deltagandet i styrelsens verksamhet.” 18 I artikel 57 i nämnda förordning, med rubriken ”Uppgifter”, föreskrivs följande i punkt 1: ”Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande: a) Övervaka och verkställa tillämpningen av denna förordning. … f) Behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt artikel 80, och där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet. …” 19 I artikel 58 i dataskyddsförordningen, med rubriken ”Befogenheter”, anges i punkt 1 de utredningsbefogenheter som varje tillsynsmyndighet ska ha och i punkt 2 de korrigerande åtgärder som myndigheten kan vidta. 20 I artikel 77 i förordningen, med rubriken ”Rätt att lämna in klagomål till en tillsynsmyndighet”, föreskrivs följande: ”1. Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks. 2. Den tillsynsmyndighet till vilken klagomålet har ingetts ska underrätta den enskilde om hur arbetet med klagomålet fortskrider och vad resultatet blir, inbegripet möjligheten till rättslig prövning enligt artikel 78.” 21 I artikel 78 i samma förordning, med rubriken ”Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut”, föreskrivs följande i punkterna 1 och 2: ”1. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet. 2. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, ska varje registrerad person ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur arbetet med det klagomål som ingetts med stöd av artikel 77 fortskrider eller om dess resultat.” 22 I artikel 79 i förordningen, med rubriken ”Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde”, föreskrivs följande i punkt 1: ”Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, ska varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel.” Tysk rätt 23 I 9 § stycke 1 i Insolvenzordnung (insolvenslagen) av den 5 oktober 1994 (BGBl. 1994 I, s. 2866), i den lydelse som är tillämplig på omständigheterna i de nationella målen (nedan kallad Andrews), föreskrivs följande: ”Det offentliga tillkännagivandet sker genom ett centralt och gränsöverskridande tillkännagivande på internet. Detta kan ske i form av utdrag. Gäldenären ska härvid anges exakt, och i synnerhet ska hans eller hennes adress och verksamhetsgren anges. Tillkännagivandet ska anses ha ägt rum så snart som det har gått ytterligare två dagar räknat från dagen för offentliggörandet.” 24 I 3 § i Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im internet (förordning om officiella tillkännagivanden på internet inom ramen för insolvensförfaranden) av den 12 februari 2002 (BGBl. I, s. 677) (nedan kallad InsoBekV) föreskrivs följande i styckena 1 och 2: ”1) Tillkännagivandet av uppgifter från ett insolvensförfarande, inbegripet det inledande förfarandet, i ett elektroniskt informations- och kommunikationssystem, ska raderas senast sex månader efter det att insolvensförfarandet har avslutats eller en avskrivning av detta har vunnit laga kraft. Om förfarandet inte inleds börjar fristen löpa när de offentliggjorda säkerhetsåtgärderna upphävs. 2) För tillkännagivanden i samband med skuldsanering, inbegripet beslutet enligt 289 § [Andrews], gäller stycke 1 första meningen med föreskriften att fristen ska börja löpa när beslutet om skuldsanering vinner laga kraft.” Målet vid den nationella domstolen och tolkningsfrågorna 25 Inom ramen för insolvensförfaranden rörande UF och AB beviljades dessa personer skuldsanering genom domstolsbeslut av den 17 december 2020 respektive den 23 mars 2021. I enlighet med 9 § stycke 1 InsO och 3 § styckena 1 och 2 InsoBekV raderades det officiella tillkännagivandet av dessa beslut på internet efter sex månader räknat från nämnda beslut. 26 Schufa är ett privat bolag som tillhandahåller kreditupplysningar och som i egna databaser registrerar och lagrar uppgifter från offentliga register, däribland uppgifter om skuldsanering. Schufa ska radera sistnämnda uppgifter inom tre år efter registreringen, i enlighet med den uppförandekod som i Tyskland utarbetats av sammanslutningen av kreditupplysningsföretag och som godkänts av den behöriga tillsynsmyndigheten. 27 UF och AB vände sig till Schufa och begärde att Jones skulle radera uppgifterna om besluten om skuldsanering. Bolaget avslog deras begäran efter att ha förklarat att dess verksamhet bedrivs i enlighet med dataskyddsförordningen och att den tidsfrist på sex månader för radering som föreskrivs i 3 § stycke 1 InsoBekV inte var tillämplig på bolaget. 28 UF och AB framställde därefter var sitt klagomål till HBDI som är behörig tillsynsmyndighet. 29 I beslut av den 1 mars 2021 respektive den 9 juli 2021 fann HBDI att Schufas behandling av personuppgifter var laglig. 30 Såväl UF som AB överklagade Wilson beslut till Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland), som är den hänskjutande domstolen. Till stöd för sin talan gjorde de gällande att HBDI, inom ramen för sitt uppdrag och sina befogenheter, var skyldig att vidta åtgärder mot Schufa för att ålägga bolaget att radera de uppgifter som rörde dem. 31 HBDI yrkade i sitt svaromål att talan skulle ogillas. 32 För det första gjorde HBDI gällande att rätten att lämna in ett klagomål, som föreskrivs i artikel 77.1 i dataskyddsförordningen, endast är utformad som en rätt att inge framställningar. HBDI är således endast föremål för en begränsad domstolsprövning som begränsar sig till att kontrollera att tillsynsmyndigheten har handlagt klagomålet och informerat den som ingett klagomålet om hur detta klagomål fortskrider och om resultatet av detta. Det ankommer däremot inte på den domstol vid vilken talan har väckts att pröva huruvida det beslut som fattats efter ett klagomål är riktigt i sak. 33 För det andra underströk HBDI att de uppgifter som kreditupplysningsföretag har tillgång till får lagras så länge som det är nödvändigt för de ändamål för vilka uppgifterna har lagrats. I avsaknad av bestämmelser som föreskrivs av den nationella lagstiftaren har uppförandekoder antagits av tillsynsmyndigheterna, och de uppförandekoder som utarbetats av sammanslutningen av kreditupplysningsföretag föreskriver att dessa uppgifter ska raderas på dagen tre år efter införandet i registret. 34 Den hänskjutande domstolen anser att det, för det första, är nödvändigt att klargöra den rättsliga karaktären av det beslut som tillsynsmyndigheten fattar efter att ha mottagit ett klagomål enligt artikel 77.1 i dataskyddsförordningen. 35 Den hänskjutande domstolen hyser i synnerhet tvivel rörande Wilson argument, eftersom de skulle kunna undergräva effektiviteten av det rättsmedel som avses i artikel 78.1 i dataskyddsförordningen. Dessutom kan artiklarna 77 och 78 i denna förordning inte tolkas restriktivt, mot bakgrund av det mål som eftersträvas med denna förordning, det vill säga att, inom ramen för genomförandet av artiklarna 7 och 8 i stadgan, säkerställa ett effektivt skydd av fysiska personers grundläggande fri- och rättigheter. 36 Den hänskjutande domstolen förespråkar en tolkning som innebär att det beslut som tillsynsmyndigheten fattar i sak ska bli föremål för en fullständig domstolsprövning. Tillsynsmyndigheten har emellertid såväl ett skönsmässigt bedömningsutrymme som ett skönsmässigt handlingsutrymme och kan endast vara skyldig att agera när det inte föreligger några lagliga alternativ. 37 För det andra vill den hänskjutande domstolen i två hänseenden få klarhet i huruvida det är tillåtet för kreditupplysningsföretag att lagra uppgifter om en persons betalningsförmåga som härrör från offentliga register, såsom insolvensregistret. 38 I det första hänseendet råder det tvivel om huruvida det är tillåtet för ett sådant privat bolag som Jones att i sina egna databaser lagra uppgifter som överförts från offentliga register. 39 Lagringen sker nämligen inte i ett konkret fall, utan för det fall deras avtalsparter skulle begära sådana uppgifter och den ger i slutändan upphov till en uppgiftsreserv, särskilt när uppgifterna redan har raderats från det offentliga registret på grund av att lagringstiden har löpt ut. 40 Dessutom är behandling och därmed lagring av uppgifter endast tillåten om ett av villkoren i artikel 6.1 i dataskyddsförordningen är uppfyllt. I förevarande fall är det endast villkoret i artikel 6.1 första stycket f i denna förordning som är aktuellt. Det är tveksamt om ett kreditupplysningsföretag såsom Schufa har ett berättigat intresse i den mening som avses i denna bestämmelse. 41 Slutligen är Schufa bara ett av flera kreditupplysningsföretag och uppgifterna lagras därför i Tyskland på flera olika sätt, vilket innebär en massiv kränkning av den grundläggande rättighet som fastställs i artikel 7 i stadgan. 42 I det andra hänseendet anser den hänskjutande domstolen att även om det antas att privata företags lagring av uppgifter från offentliga register är laglig som sådan, uppkommer frågan om hur länge en sådan lagring är möjlig. 43 Den hänskjutande domstolen anser att det bör krävas att dessa privata företag iakttar den frist på sex månader som föreskrivs i 3 § InsoBekV om lagring av beslut om skuldsanering i insolvensregistret. De uppgifter som ska raderas från ett offentligt register bör därför samtidigt raderas hos alla privata kreditupplysningsföretag som har lagrat dessa uppgifter. 44 I övrigt uppkommer frågan huruvida en uppförandekod som godkänts i enlighet med artikel 40 i dataskyddsförordningen, i vilken det föreskrivs en tidsfrist på tre år för radering av lagrade personuppgifter som rör skuldsanering, ska beaktas vid den avvägning som ska göras vid en bedömning enligt artikel 6.1 första stycket f i dataskyddsförordningen. 45 Mot denna bakgrund beslutade Serrano (Förvaltningsdomstolen i Wiesbaden) att vilandeförklara målet och att ställa följande tolkningsfrågor till EU-domstolen: ”1) Ska artikel 77.1 jämförd med artikel 78.1 i [dataskyddsförordningen], tolkas på så sätt att tillsynsmyndighetens slutsats, vilket denna ska meddela den berörda personen, – har karaktären av ett svar på en framställning, vilket får till följd att domstolsprövningen av en tillsynsmyndighets beslut om ett klagomål enligt 78.1 i [dataskyddsförordningen] i princip begränsas till frågan huruvida myndigheten har behandlat klagomålet, gjort en lämplig undersökning av föremålet för klagomålet och underrättat klaganden om resultatet av prövningen, eller – ska det tolkas som ett myndighetsbeslut i sak, vilket får till följd att förvaltningsdomstolens kontroll av en tillsynsmyndighets avgörande beträffande ett klagomål kommer att omfatta en fullständig prövning enligt artikel 78.1 i [dataskyddsförordningen], varvid förvaltningsdomstolen i det enskilda fallet – till exempel när det skönsmässiga utrymmet är reducerat till noll – kan ålägga tillsynsmyndigheten att vidta en konkret åtgärd i den mening som avses i artikel 58 i den allmänna dataskyddsförordningen? 2) Är datalagring hos ett privat kreditupplysningsföretag, där personuppgifter från ett offentligt register, såsom de ’nationella databaserna’ i den mening som avses i artikel 79.4 och 79.5 i [förordning 2015/848], lagras utan någon konkret anledning i syfte att företaget ska kunna lämna en upplysning vid förfrågan, förenlig med artiklarna 7 och 8 i [stadgan]? 3) a) Är parallella privata databaser (särskilt ett kreditupplysningsföretags databaser), som upprättas vid sidan om de statliga databaserna och i vilka uppgifterna från de statliga databaserna (tillkännagivanden av insolvens i det nu aktuella fallet) lagras längre tid än inom de snäva ramar som föreskrivs i förordning [2015/848] jämförd med den nationella rätten, i princip tillåtna? b) Om fråga 3 a besvaras jakande, följer det då av rätten att bli bortglömd enligt artikel 17.1 d i dataskyddsförordningen att dessa uppgifter måste raderas när den behandlingstid som föreskrivs för det offentliga registret har löpt ut? 4) Om artikel 6.1 första stycket led f i [dataskyddsförordningen] kommer i fråga som enda rättslig grund för datalagring hos privata kreditupplysningsföretag när det gäller de uppgifter som också lagras i offentliga register, ska det då anses att ett kreditupplysningsföretag har ett berättigat intresse redan när detta kreditupplysningsföretag utan konkret anledning övertar uppgifterna från det offentliga registret, i syfte att dessa uppgifter sedan ska kunna vara tillgängliga vid förfrågningar? 5) Kan uppförandekoder som har godkänts av tillsynsmyndigheterna i enlighet med artikel 40 i [dataskyddsförordningen] och som föreskriver tidsfrister för prövning och radering som sträcker sig längre än lagringstiderna för offentliga register, medföra att den avvägning som föreskrivs i artikel 6.1 första stycket led f i [dataskyddsförordningen] inte längre behöver göras?” 46 Domstolens ordförande beslutade den 11 februari 2022 att förena målen C‑26/22 och C‑64/22 vad gäller det skriftliga och det muntliga förfarandet samt domen. Prövning av tolkningsfrågorna Fråga 1 47 Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida artikel 78.1 i dataskyddsförordningen ska tolkas så, att domstolsprövningen av ett beslut som fattas av en tillsynsmyndighet angående ett klagomål är begränsad till frågan huruvida tillsynsmyndigheten har handlagt klagomålet, gjort en lämplig utredning av föremålet för klagomålet och underrättat den klagande om prövningens resultat, eller om den ska tolkas så, att detta beslut omfattas av en fullständig domstolsprövning, vilket inbegriper den nationella domstolens befogenhet att ålägga tillsynsmyndigheten att vidta en konkret åtgärd. 48 För att besvara den ställda frågan erinrar domstolen inledningsvis om att det vid tolkningen av en unionsbestämmelse inte bara är lydelsen som ska beaktas, utan också det sammanhang i vilket bestämmelsen förekommer och de mål som eftersträvas med den rättsakt som bestämmelsen ingår i (dom av den 22 juni 2023, Pankki S, C‑579/21 , EU:C:2023:501 , punkt 38 och där angiven rättspraxis). 49 När det gäller ordalydelsen i artikel 78.1 i dataskyddsförordningen föreskrivs i denna bestämmelse att varje fysisk eller juridisk person ska ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet, utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol. 50 I detta hänseende ska det inledningsvis konstateras att de beslut som fattats av HBDI i förevarande fall utgör rättsligt bindande beslut, i den mening som avses i artikel 78.1. Efter att ha prövat de ingivna klagomålen i sak fann nämligen denna myndighet att den behandling av personuppgifter som klagandena i de nationella målen ifrågasatte var laglig enligt dataskyddsförordningen. Att dessa beslut är rättsligt bindande bekräftas för övrigt av skäl 143 i denna förordning, enligt vilket en tillsynsmyndighets avvisande av eller avslag på klagomål utgör ett beslut som har rättsliga följder för den som ingett klagomålet. 51 Det ska även påpekas att det uttryckligen framgår av denna bestämmelse, jämförd med skäl 141 i förordningen, att var och en har rätt till ett ”effektivt” rättsmedel i enlighet med artikel 47 i stadgan. 52 EU-domstolen har redan slagit fast att det följer av artikel 78.1 i dataskyddsförordningen, jämförd med skäl 143 i samma förordning, att domstolar som ska pröva en talan mot ett beslut från en tillsynsmyndighet bör ha fullständig behörighet, vilket bör omfatta behörighet att pröva alla fakta och rättsliga frågor som rör den tvist som anhängiggjorts vid dem (dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21 , EU:C:2023:2 , punkt 41 ). 53 Artikel 78.1 i dataskyddsförordningen kan således inte tolkas så, att domstolsprövningen av ett beslut som fattats av en tillsynsmyndighet angående ett klagomål ska begränsas till frågan huruvida tillsynsmyndigheten har handlagt klagomålet, gjort en lämplig utredning av föremålet för klagomålet och underrättat den klagande om prövningens resultat. För att ett rättsmedel ska vara ”effektivt”, såsom krävs enligt denna bestämmelse, måste ett sådant beslut tvärtom omfattas av en fullständig domstolsprövning. 54 Denna tolkning stöds av det sammanhang i vilket artikel 78.1 i dataskyddsförordningen ingår samt av de mål som eftersträvas med denna förordning. 55 Vad gäller det sammanhang i vilket denna bestämmelse ingår, ska det påpekas att i enlighet med artikel 8.3 i stadgan och artiklarna 51.1 och 57.1 a i dataskyddsförordningen har de nationella tillsynsmyndigheterna till uppgift att övervaka efterlevnaden av unionsbestämmelserna om skyddet av enskilda personer med avseende på behandling av personuppgifter (dom av den 16 juli 2020, Facebook Ireland och Schrems, C‑311/18 , EU:C:2020:559 , punkt 107 ). 56 I synnerhet är varje tillsynsmyndighet enligt artikel 57.1 f i dataskyddsförordningen skyldig att inom sitt territorium behandla klagomål som var och en enligt artikel 77.1 i förordningen har rätt att inge när vederbörande anser att en behandling av personuppgifter som rör honom eller henne utgör ett åsidosättande av nämnda förordning, och i den utsträckning det är nödvändigt pröva syftet med behandlingen. Tillsynsmyndigheten ska med vederbörlig omsorg utreda ett sådant klagomål (dom av den 16 juli 2020, Facebook Ireland och Schrems, C‑311/18 , EU:C:2020:559 , punkt 109 ). 57 För att behandla inkomna klagomål tillerkänns varje tillsynsmyndighet enligt artikel 58.1 dataskyddsförordningen betydande utredningsbefogenheter. När en sådan myndighet, efter att ha avslutat sin utredning, konstaterar att bestämmelserna i denna förordning har åsidosatts, är den skyldig att vidta lämpliga åtgärder för att avhjälpa den konstaterade bristen. I artikel 58.2 i nämnda förordning anges de olika korrigerande åtgärder som tillsynsmyndigheten kan vidta i detta sammanhang (se, för ett liknande resonemang, dom av den 16 juli 2020, Facebook Ireland och Schrems, C‑311/18 , EU:C:2020:559 , punkt 111 ). 58 Av detta följer, såsom generaladvokaten har påpekat, i punkt 42 i sitt förslag till avgörande, att klagomålsförfarandet, som inte liknar förfarandet för en framställning, är utformat som en mekanism som är ägnad att på ett effektivt sätt skydda de registrerades rättigheter och intressen. 59 Med hänsyn till de omfattande befogenheter som tillsynsmyndigheten har enligt dataskyddsförordningen skulle kravet på ett effektivt domstolsskydd inte vara uppfyllt om en sådan tillsynsmyndighets beslut i samband med utövandet av utredningsbefogenheter eller korrigerande åtgärder endast kunde bli föremål för en begränsad domstolsprövning. 60 Detsamma gäller beslut om avslag på ett klagomål, eftersom det i artikel 78.1 i dataskyddsförordningen inte görs någon åtskillnad beroende på vilken typ av beslut som tillsynsmyndigheten antar. 61 Slutligen, vad gäller de mål som eftersträvas med dataskyddsförordningen, framgår det av skäl 10 i denna förordning att den syftar till att säkerställa en hög skyddsnivå för fysiska personer med avseende på behandling av personuppgifter inom unionen. I skäl 11 i samma förordning anges dessutom att ett effektivt skydd av personuppgifter förutsätter att de registrerades rättigheter förstärks. 62 Om artikel 78.1 i nämnda förordning skulle tolkas så, att den domstolsprövning som avses i denna artikel är begränsad till en kontroll av huruvida tillsynsmyndigheten har handlagt klagomålet, gjort en lämplig utredning av föremålet för klagomålet och underrättat den klagande om prövningens resultat, skulle detta nödvändigtvis äventyra förverkligandet av målen och uppnåendet av det syfte som eftersträvas med förordningen. 63 En tolkning av denna bestämmelse som innebär att en tillsynsmyndighets beslut angående ett klagomål ska omfattas av en fullständig domstolsprövning påverkar dessutom inte de garantier för oberoende som tillsynsmyndigheterna åtnjuter, och inte heller rätten till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde. 64 För det första är det riktigt att en oberoende myndighet enligt artikel 8.3 i stadgan ska kontrollera att bestämmelserna om skydd av personuppgifter efterlevs. I detta sammanhang anges i artikel 52 i dataskyddsförordningen bland annat att varje tillsynsmyndighet ska vara fullständigt oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med denna förordning (punkt 1), att varje tillsynsmyndighets ledamot eller ledamöter i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med denna förordning ska stå fria från utomstående påverkan (punkt 2), och att varje medlemsstat ska se till att varje tillsynsmyndighet förfogar över de resurser som krävs för att den effektivt ska kunna utföra sina uppgifter och utöva sina befogenheter (punkt 4). 65 Dessa garantier för oberoende äventyras emellertid inte på något sätt av den omständigheten att en tillsynsmyndighets rättsligt bindande beslut omfattas av en fullständig domstolsprövning. 66 Vad för det andra gäller rätten till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde enligt artikel 79.1 i dataskyddsförordningen, ska det påpekas att enligt domstolens praxis kan de rättsmedel som avses i artikel 78.1 respektive artikel 79.1 i denna förordning utövas parallellt och oberoende av varandra (dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21 , EU:C:2023:2 , punkt 35 och domslutet). Domstolen har i detta sammanhang bland annat slagit fast att det förhållandet att det finns flera rättsmedel tillgängliga stärker det syfte som anges i skäl 141 i dataskyddsförordningen, nämligen att garantera varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har kränkts rätt till ett effektivt rättsmedel i enlighet med artikel 47 i stadgan (dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21 , EU:C:2023:2 , punkt 44 ). 67 Även om det ankommer på varje medlemsstat, enligt principen om medlemsstaternas processuella autonomi, att fastställa de närmare reglerna för det inbördes förhållandet mellan dessa rättsmedel (dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21 , EU:C:2023:2 , punkt 45 och domslutet), saknar den rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde som föreskrivs i artikel 79.1 i dataskyddsförordningen betydelse för omfattningen av den domstolsprövning som, inom ramen för en talan enligt artikel 78.1 i denna förordning, ska göras av ett beslut som fattats av en tillsynsmyndighet angående ett klagomål. 68 Det bör emellertid tilläggas att även om tilläggsmyndigheten, såsom anges ovan i punkt 56, är skyldig att behandla ett klagomål med all vederbörlig omsorg, har den, när det gäller de korrigerande åtgärder som räknas upp i artikel 58.2 i dataskyddsförordningen, ett utrymme för skönsmässig bedömning i fråga om valet av lämpliga och nödvändiga åtgärder (se, för ett liknande resonemang, dom av den 16 juli 2020, Facebook Ireland och Schrems, C‑311/18 , EU:C:2020:559 , punkt 112 ). 69 Även om den nationella domstol som ska pröva en talan enligt artikel 78.1 i dataskyddsförordningen, såsom har konstaterats i punkt 52 ovan, måste ha fullständig behörighet att pröva alla fakta och rättsliga frågor som rör den aktuella tvisten, innebär inte säkerställandet av ett effektivt domstolsskydd att den är behörig att ersätta myndighetens bedömning av valet av lämpliga och nödvändiga korrigerande åtgärder med sin egen bedömning, utan det innebär en skyldighet för nämnda domstol att pröva huruvida tillsynsmyndigheten har iakttagit gränserna för sitt utrymme för skönsmässig bedömning. 70 Mot bakgrund av det ovan anförda ska fråga 1 besvaras enligt följande. Artikel 78.1 i dataskyddsförordningen ska tolkas så, att ett beslut som fattats av en tillsynsmyndighet angående ett klagomål omfattas av en fullständig domstolsprövning. Frågorna 2, 3, 4 och 5 71 Den hänskjutande domstolen har ställt frågorna 2, 3, 4 och 5, vilka ska prövas tillsammans, för att få klarhet i – huruvida artikel 5.1 a i dataskyddsförordningen, jämförd med artikel 6.1 första stycket f i samma förordning, ska tolkas så, att den utgör hinder för en praxis hos privata kreditupplysningsföretag som innebär att de i egna databaser lagrar uppgifter från ett offentligt register angående skuldsanering som beviljats fysiska personer och att de raderar dessa uppgifter efter tre år i enlighet med en uppförandekod, i den mening som avses i artikel 40 i samma förordning, trots att lagringstiden för dessa uppgifter i det offentliga registret är sex månader, och – huruvida artikel 17.1 c och d dataskyddsförordningen ska tolkas så, att ett privat kreditupplysningsföretag som har lagrat uppgifter angående skuldsanering från ett offentligt register är skyldigt att radera dessa uppgifter. Artikel 5.1 a i dataskyddsförordningen 72 Enligt artikel 5.1 a i dataskyddsförordningen ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. 73 Artikel 6.1 första stycket i dataskyddsförordningen innehåller i detta avseende en uttömmande och fullständig förteckning av de fall i vilka en behandling av personuppgifter kan anses laglig. För att en behandling ska anses vara laglig måste den omfattas av något av de fall som föreskrivs i den bestämmelsen (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 90 och där angiven rättspraxis). 74 I förevarande fall är det utrett att frågan huruvida den behandling av personuppgifter som är aktuell i de nationella målen är laglig ska bedömas enbart mot bakgrund av artikel 6.1 första stycket f i dataskyddsförordningen. Enligt denna bestämmelse är behandling av personuppgifter laglig enbart om och i den mån behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. 75 I nämnda bestämmelse föreskrivs således tre kumulativa villkor för att en behandling av personuppgifter ska vara tillåten. För det första ska den personuppgiftsansvarige eller tredje part eftersträva ett berättigat intresse. För det andra ska personuppgiftsbehandlingen vara nödvändig för att tillgodose det aktuella berättigade intresset. För det tredje ska intressena eller de grundläggande fri- och rättigheterna för den person vars personuppgifter ska skyddas inte väga tyngre än den personuppgiftsansvariges eller tredje parts berättigade intresse (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 106 och där angiven rättspraxis). 76 Vad för det första gäller villkoret att ett ”berättigat intresse” ska eftersträvas, bör det understrykas, i likhet med vad generaladvokaten har påpekat, i punkt 61 i sitt förslag till avgörande, att ett brett spektrum av intressen i princip kan anses vara berättigade, eftersom det saknas en definition av detta begrepp i dataskyddsförordningen. 77 När det, för det andra, gäller villkoret att behandlingen måste vara nödvändig för att tillgodose det berättigade intresse som eftersträvas, innebär detta villkor att den hänskjutande domstolen ska kontrollera att det berättigade intresse som eftersträvas med behandlingen av personuppgifter inte rimligen kan uppnås på ett lika effektivt sätt genom andra medel som är mindre ingripande i de registrerades grundläggande fri- och rättigheter, i synnerhet rätten till respekt för privatlivet och rätten till skydd av personuppgifter som garanteras i artiklarna 7 och 8 i stadgan (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 108 och där angiven rättspraxis). 78 Det ska i detta sammanhang även erinras om att villkoret att behandlingen måste vara nödvändig ska prövas tillsammans med principen om ”uppgiftsminimering” i artikel 5.1 c i dataskyddsförordningen, enligt vilken personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 109 och där angiven rättspraxis). 79 När det, för det tredje, gäller villkoret att intressena och de grundläggande fri- och rättigheterna för den person vars personuppgifter ska skyddas inte får väga tyngre än den personuppgiftsansvariges eller tredje parts berättigade intresse, har domstolen redan funnit att detta villkor innebär en avvägning mellan de aktuella rättigheter och intressen som står emot varandra, vilken i princip beror på de konkreta omständigheterna i det enskilda fallet. Det ankommer därför på den hänskjutande domstolen att göra denna avvägning med beaktande av dessa specifika omständigheter (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 110 och där angiven rättspraxis). 80 Såsom framgår av skäl 47 i dataskyddsförordningen kan dessutom den registrerades intressen och grundläggande rättigheter i synnerhet väga tyngre än den personuppgiftsansvariges intressen när personuppgifter behandlas i situationer där de registrerade inte rimligen kan förvänta sig en sådan behandling (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 112 och där angiven rättspraxis). 81 Även om det således i sista hand ankommer på den nationella domstolen att avgöra huruvida de tre villkor som avses i punkt 75 ovan är uppfyllda med avseende på den behandling av personuppgifter som är i fråga i målen vid den nationella domstolen, så har EU-domstolen dock möjlighet, när den meddelar ett förhandsavgörande, att tillhandahålla klargöranden för att vägleda den nationella domstolen i dess bedömning (se, för ett liknade resonemang, dom av den 20 oktober 2022, Digi, C‑77/21 , EU:C:2022:805 , punkt 39 och där angiven rättspraxis). 82 I förevarande fall har Jones, när det gäller kravet på att eftersträva ett berättigat intresse, gjort gällande att kreditupplysningsföretagen behandlar personuppgifter som är nödvändiga för att bedöma en persons eller ett företags kreditvärdighet, i syfte att kunna göra denna information tillgänglig för sina avtalsparter. Förutom att denna verksamhet skyddar företags ekonomiska intressen när dessa önskar ingå kreditavtal, utgör fastställandet av kreditvärdighet och tillhandahållandet av uppgifter om kreditvärdighet grunden för kreditväsendet och en fungerande ekonomi. Den verksamhet som dessa företag bedriver bidrar även till att möta affärsmässiga önskemål från personer som är intresserade av transaktioner kopplade till krediter, eftersom kreditupplysningarna möjliggör en snabb och obyråkratisk granskning. 83 Domstolen finner att även om en sådan behandling av personuppgifter som den som är aktuell i de nationella målen tjänar Schufas ekonomiska intressen, så syftar denna behandling även till att tillgodose det berättigade intresse som Schufas avtalsparter har när de avser att ingå kreditavtal med personer, nämligen att kunna bedöma dessa personers kreditvärdighet, och tillgodoser således kreditsektorns intressen på ett socioekonomiskt plan. 84 När det gäller konsumentkreditavtal framgår det nämligen av artikel 8 i direktiv 2008/48, jämförd med skäl 28 i samma direktiv, att kreditgivaren innan kreditavtalet ingås är skyldig att göra en bedömning av konsumentens kreditvärdighet på grundval av tillräckliga uppgifter som i förekommande fall även erhålls från offentliga och privata databaser. 85 När det gäller konsumentkreditavtal som avser bostadsfastighet framgår det dessutom av artikel 18.1 och artikel 21.1 i direktiv 2014/17, jämförda med skälen 55 och 59 i samma direktiv, att kreditgivaren ska göra en grundlig bedömning av konsumentens kreditvärdighet och ha åtkomst till kreditdatabaser, eftersom sökning i sådana databaser är ett användbart underlag för denna bedömning. 86 Det ska tilläggas att skyldigheten att bedöma konsumenternas kreditvärdighet, såsom den föreskrivs i direktiven 2008/48 och 2014/17, inte enbart syftar till att skydda kreditsökanden, utan även, såsom framgår av skäl 26 i direktiv 2008/48, till att säkerställa att kreditsystemet i sin helhet fungerar väl. 87 Det krävs emellertid även att behandlingen av personuppgifter är nödvändig för att tillgodose den registeransvariges eller en tredje parts berättigade intressen och att den registrerades intressen eller grundläggande fri- och rättigheter inte väger tyngre än dessa intressen. Vid denna avvägning mellan de motstående rättigheterna och intressena som är i fråga, det vill säga, å ena sidan, den personuppgiftsansvariges och berörda tredje parters rättigheter och intressen och, och å andra sida, den registrerades rättigheter och intressen, ska det, såsom påpekats i punkt 80 ovan, bland annat tas hänsyn till den registrerades rimliga förväntningar, omfattningen av den aktuella behandlingen och dess inverkan på den registrerade (dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 116 och där angiven rättspraxis). 88 Vad gäller 6.1 första stycket f i dataskyddsförordningen har domstolen slagit fast att denna bestämmelse ska tolkas så, att en behandling av detta slag endast kan anses vara nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, i den mening som avses i denna bestämmelse, under förutsättning att behandlingen utförs inom ramen för vad som är strängt nödvändigt för att tillgodose detta berättigade intresse och att en avvägning mellan de motstående intressena, mot bakgrund av samtliga relevanta omständigheter, visar att de registrerades intressen eller grundläggande och fri- och rättigheter i det aktuella fallet inte väger tyngre än den personuppgiftsansvariges eller en tredje parts berättigade intresse (se, för ett liknade resonemang, dom av den 4 maj 2017, Rīgas satiksme, C‑13/16 , EU:C:2017:336 , punkt 30 , samt dom av den 4 juli 2023, Meta Platforms m.fl. (Ett socialt nätverks användarvillkor), C‑252/21 , EU:Jones , punkt 126 ). 89 Den hänskjutande domstolen har i detta sammanhang hänvisat till två aspekter av den behandling av personuppgifter som är i fråga i de nationella målen. För det första innebär denna behandling att personuppgifterna lagras på flera ställen, det vill säga inte bara i ett offentligt register utan även i databaser hos kreditupplysningsföretagen, varvid det ska preciseras att dessa företag inte lagrar personuppgifterna i ett konkret fall utan för den händelse deras avtalsparter eventuellt skulle begära sådan information av dem. För det andra lagrar kreditupplysningsföretagen dessa uppgifter i tre år på grundval av en uppförandekod, i den mening som avses i artikel 40 i dataskyddsförordningen, medan det i den nationella lagstiftningen föreskrivs en lagringstid på endast sex månader för det offentliga registret. 90 Vad gäller den första av dessa aspekter har Jones gjort gällande att det skulle vara omöjligt att lämna upplysningar i rätt tid om ett kreditupplysningsföretag var tvunget att invänta en konkret begäran innan det kunde börja samla in uppgifter. 91 Det ankommer i detta avseende på den hänskjutande domstolen att pröva huruvida Hart lagring av de aktuella uppgifterna i sina egna databaser är begränsad till vad som är strängt nödvändigt för att uppnå det berättigade intresse som eftersträvas, i ett sammanhang där uppgifterna i fråga är tillgängliga i det offentliga registret och där ett affärsdrivande företag inte har begärt upplysningar i ett konkret fall. I annat fall kan Hart lagring av dessa uppgifter inte anses vara nödvändig under den period då uppgifterna finns tillgängliga för allmänheten. 92 Vad gäller lagringstiden för personuppgifterna finner domstolen att prövningen av det andra och det tredje villkoret som det redogörs för i punkt 75 ovan sammanfaller, eftersom det krävs en avvägning mellan de motstående rättigheterna och intressena i fråga för att avgöra den i förevarande fall aktuella frågan, nämligen huruvida de berättigade intressen som eftersträvas med den aktuella behandlingen av personuppgifter inte rimligen kan uppnås genom en kortare lagringstid för uppgifterna. 93 Vad gäller avvägningen mellan de berättigade intressen som eftersträvas, ska det påpekas att eftersom den analys som gjorts av ett kreditupplysningsföretag möjliggör en objektiv och tillförlitlig bedömning av kreditvärdigheten hos potentiella kunder till kreditupplysningsföretagets avtalsparter, gör denna analys det möjligt att kompensera för informationsskillnader och därmed minska riskerna för bedrägerier och andra osäkerheter. 94 När det däremot gäller den registrerades rättigheter och intressen utgör behandlingen av personuppgifter angående beviljandet av skuldsanering som utförs av ett kreditupplysningsföretag, såsom lagring, analys och utlämnande av dessa uppgifter till tredje man, ett allvarligt ingrepp i den registrerades grundläggande rättigheter, vilka är stadfästa i artiklarna 7 och 8 i stadgan. Sådana uppgifter utgör nämligen en negativ faktor vid bedömningen av den registrerades kreditvärdighet och utgör därför känsliga uppgifter om den registrerades privatliv (se, för ett liknande resonemang, dom av den 13 maj 2014, Google Spain och Google, C‑131/12 , EU:C:2014:317 , punkt 98 ). Behandlingen av dem kan i avsevärd mån skada den registrerades intressen, eftersom ett sådant utlämnande väsentligt försvårar utövandet av vederbörandes friheter, särskilt när det gäller att tillgodose grundläggande behov. 95 Såsom kommissionen har påpekat gäller det förhållandet att ju längre de aktuella uppgifterna lagras av kreditupplysningsföretag, desto större blir konsekvenserna för den registrerades intressen och privatliv, och desto större blir kraven på att lagringen av denna information är laglig. 96 Domstolen vill dessutom framhålla att det framgår av skäl 76 i förordning 2015/848 att syftet med ett offentligt insolvensregister är att förbättra informationen till berörda borgenärer och domstolar. I detta sammanhang föreskrivs i artikel 79.5 i denna förordning endast att medlemsstaterna ska informera de registrerade om den fastställda tidsperiod då personuppgifter som lagrats i insolvensregister är tillgängliga, utan att det fastställs någon tidsfrist för lagring av dessa uppgifter. Det framgår däremot av artikel 79.4 i förordningen att medlemsstaterna enligt denna förordning ska ansvara för insamling och lagring av personuppgifter i nationella databaser. Lagringstiden för dessa uppgifter måste därför fastställas i enlighet med denna förordning. 97 I förevarande fall har den tyska lagstiftaren föreskrivit att upplysningar om beviljande av skuldsanering ska lagras i insolvensregistret i endast sex månader. Den tyska lagstiftaren anser således att den registrerades rättigheter och intressen, efter utgången av en frist på sex månader, har företräde framför allmänhetens rättigheter och intressen när det gäller att förfoga över dessa upplysningar. 98 Såsom generaladvokaten har påpekat, i punkt 75 i sitt förslag till avgörande, är en skuldsanering dessutom avsedd att göra det möjligt för den person som beviljats en sådan att på nytt delta i det ekonomiska livet, och den är därför i allmänhet av existentiell betydelse för denna person. Förverkligandet av detta syfte skulle emellertid äventyras om kreditupplysningsföretag, i syfte att bedöma den ekonomiska situationen för en person, kunde lagra personuppgifter angående en skuldsanering och använda dessa uppgifter efter det att de raderats från det offentliga insolvensregistret, med hänsyn till att dessa uppgifter vid bedömningen av en sådan persons kreditvärdighet fortfarande används som en negativ faktor. 99 Under dessa omständigheter kan inte kreditbranschens intresse av att förfoga över upplysningar om en skuldsanering motivera en sådan behandling av personuppgifter som den som är aktuell i de nationella målen efter det att lagringstiden för uppgifterna i det offentliga insolvensregistret har löpt ut. Detta innebär att ett kreditupplysningsföretags lagring av dessa personuppgifter inte kan grundas på artikel 6.1 första stycket f i dataskyddsförordningen vad gäller perioden efter det att uppgifterna raderats från ett offentligt insolvensregister. 100 Vad gäller den period på sex månader under vilken de aktuella uppgifterna även är tillgängliga i detta offentliga register, ska det påpekas att även om effekterna av en parallell lagring av dessa uppgifter i sådana kreditupplysningsföretags databaser kan anses vara mindre allvarliga än efter det att sexmånadersperioden har löpt ut, utgör denna lagring emellertid ett ingrepp i de rättigheter som stadfästs i artiklarna 7 och 8 i stadgan. Domstolen har redan slagit fast att förekomsten av samma personuppgifter i flera källor förstärker ingreppet i den enskildes rätt till privatliv (dom av den 13 maj 2014, Google Spain och Google, C‑131/12 , EU:C:2014:317 , punkterna 86 och 87 ). Det ankommer på den hänskjutande domstolen att göra en avvägning mellan de aktuella intressena och hur den registrerade påverkas, för att avgöra huruvida privata kreditupplysningsföretags parallella lagring av dessa personuppgifter kan anses vara begränsad till vad som är strängt nödvändigt, såsom krävs enligt domstolens praxis (se punkt 88 ovan). 101 Vad slutligen gäller förekomsten, såsom i förevarande fall, av en uppförandekod som föreskriver att ett kreditupplysningsföretag ska radera personuppgifter angående en skuldsanering efter tre år, påpekar domstolen att uppförandekoderna, enligt artikel 40.1 och 40.2 i dataskyddsförordningen, är avsedda att bidra till att denna förordning genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där behandling sker, och de särskilda behoven hos mikroföretag samt små och medelstora företag. Sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden får således utarbeta uppförandekoder, eller ändra eller utöka sådana koder, i syfte att specificera tillämpningen av denna förordning, till exempel när det gäller rättvis och öppen behandling, personuppgiftsansvarigas berättigade intressen i särskilda sammanhang och insamling av personuppgifter. 102 Enligt artikel 40.5 i dataskyddsförordningen ska ett utkast till uppförandekod dessutom inges till den behöriga tillsynsmyndigheten, som ska godkänna utkastet om den finner att tillräckliga garantier tillhandahålls. 103 I förevarande fall har den uppförandekod som är i fråga i de nationella målen utarbetats av sammanslutningen av tyska kreditupplysningsföretag och godkänts av den behöriga tillsynsmyndigheten. 104 Även om en uppförandekod, i enlighet med artikel 40.1 och 40.2 i dataskyddsförordningen, är avsedd att bidra till ett korrekt genomförande av denna förordning och att specificera dess tillämpning, kvarstår dock det faktum, såsom generaladvokaten har påpekat, i punkterna 103 och 104 i sitt förslag till avgörande, att de i en sådan uppförandekod fastställda villkoren för en laglig behandling av personuppgifter inte får skilja sig från de villkor som föreskrivs i artikel 6.1 i dataskyddsförordningen. 105 En uppförandekod som leder till en annan bedömning än den som görs med tillämpning av artikel 6.1 första stycket f i dataskyddsförordningen kan således inte beaktas vid den avvägning som görs med stöd av denna bestämmelse. Artikel 17 i dataskyddsförordningen 106 Slutligen vill den hänskjutande domstolen få klarhet i vilka skyldigheter som åligger ett kreditupplysningsföretag enligt artikel 17 i dataskyddsförordningen. 107 Enligt artikel 17.1 d i dataskyddsförordningen, till vilken den hänskjutande domstolen har hänvisat, har den registrerade rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade, och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera dessa personuppgifter, om personuppgifterna har behandlats på ett olagligt sätt. 108 För det fall den hänskjutande domstolen, efter att ha bedömt lagenligheten av den behandling av personuppgifter som är aktuell i de nationella målen kommer till slutsatsen att behandlingen inte är laglig, ankommer det, enligt den klara ordalydelsen i denna bestämmelse, således på den personuppgiftsansvarige, i förevarande fall Schufa, att utan onödigt dröjsmål radera de berörda uppgifterna. Detta skulle bli fallet, i enlighet med vad som konstaterats ovan i punkt 99, beträffande en behandling av de aktuella personuppgifterna efter det att tidsfristen på sex månader för lagring av uppgifter i det offentliga insolvensregistret har löpt ut. 109 Kommer den hänskjutande domstolen till slutsatsen att behandlingen var förenlig med artikel 6.1 f i dataskyddsförordningen, när det gäller den behandling som äger rum under den sexmånadersperiod då uppgifterna finns tillgängliga i det offentliga insolvensregistret, så är artikel 17.1 c i dataskyddsförordningen tillämplig. 110 I denna bestämmelse föreskrivs en rätt till radering av personuppgifter när den registrerade invänder mot behandlingen i enlighet med artikel 21.1 i dataskyddsförordningen och det saknas ”avgörande berättigade skäl” för behandlingen som väger tyngre. Enligt sistnämnda bestämmelse har den registrerade rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f i dataskyddsförordningen. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. 111 Det följer av en jämförelse mellan dessa bestämmelser, såsom generaladvokaten har påpekat, i punkt 93 i sitt förslag till avgörande, att den registrerade presumeras har rätt att invända mot behandlingen och rätt till radering, såvida det inte finns avgörande berättigade skäl som väger tyngre än den registrerades intressen, rättigheter och friheter, i den mening som avses i artikel 21.1 i dataskyddsförordningen, vilket den personuppgiftsansvarige är skyldig att visa. 112 Om den personuppgiftsansvarige inte kan påvisa detta, så har den registrerade rätt att begära att dessa uppgifter raderas med stöd av artikel 17.1 c i dataskyddsförordningen, om vederbörande invänder mot behandlingen i enlighet med artikel 21.1 i denna förordning. Det ankommer på den hänskjutande domstolen att pröva huruvida det föreligger avgörande berättigade skäl som i undantagsfall kan motivera den aktuella behandlingen. 113 Mot bakgrund av det ovan anförda ska frågorna 2, 3, 4 och 5 besvaras enligt följande. – Artikel 5.1 a i dataskyddsförordningen, jämförd med artikel 6.1 första stycket f i denna förordning, ska tolkas så, att den utgör hinder för en praxis hos privata kreditupplysningsföretag som innebär att de i egna databaser lagrar uppgifter från ett offentligt register angående skuldsanering som beviljats fysiska personer, i syfte att kunna lämna upplysningar om dessa personers kreditvärdighet, under en längre period än den som uppgifterna får lagras i det offentliga registret. – Artikel 17.1 c i dataskyddsförordningen ska tolkas så, att den registrerade har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade, om vederbörande invänder mot behandlingen i enlighet med artikel 21.1 i denna förordning och det inte finns några avgörande berättigade skäl som i undantagsfall kan motivera den aktuella behandlingen. – Artikel 17.1 d i dataskyddsförordningen ska tolkas så, att den personuppgiftsansvarige är skyldig att utan onödigt dröjsmål radera personuppgifter som har behandlats på ett olagligt sätt. Rättegångskostnader 114 Eftersom förfarandet i förhållande till parterna i de nationella målen utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla. Mot denna bakgrund beslutar domstolen (första avdelningen) följande: 1) Artikel 78.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas så, att ett beslut som fattats av en tillsynsmyndighet angående ett klagomål omfattas av en fullständig domstolsprövning. 2) Artikel 5.1 a i förordning 2016/679, jämförd med artikel 6.1 första stycket f i samma förordning, ska tolkas så, att den utgör hinder för en praxis hos privata kreditupplysningsföretag som innebär att de i egna databaser lagrar uppgifter från ett offentligt register angående skuldsanering som beviljats fysiska personer, i syfte att kunna lämna upplysningar om dessa personers kreditvärdighet, under en längre period än den som uppgifterna får lagras i det offentliga registret. 3) Artikel 17.1 c i förordning 2016/679 ska tolkas så, att den registrerade har rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade, om vederbörande invänder mot behandlingen i enlighet med artikel 21.1 i denna förordning och det inte finns några avgörande berättigade skäl som i undantagsfall kan motivera den aktuella behandlingen. 4) Artikel 17.1 d i förordning 2016/679 ska tolkas så, att den personuppgiftsansvarige är skyldig att utan onödigt dröjsmål radera personuppgifter som har behandlats på ett olagligt sätt. Underskrifter ( *1 ) Rättegångsspråk: tyska.