PRESUDA SUDA (prvo vijeće)
7. prosinca 2023.(*)
„Zahtjev za prethodnu odluku – Zaštita pojedinaca u vezi s obradom osobnih podataka – Uredba (UE) 2016/679 – Članak 22. – Automatizirano pojedinačno donošenje odluka – Agencije za provjeru kreditne sposobnosti – Automatizirano utvrđivanje ocjene vjerojatnosti o ispitanikovoj sposobnosti da ubuduće ispuni obveze plaćanja (scoring) – Upotreba te ocjene vjerojatnosti od treće strane”
U predmetu C‑634/21,
povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), odlukom od 1. listopada 2021., koju je Sud zaprimio 15. listopada 2021., u postupku
OQ
protiv
Land Hessen,
uz sudjelovanje:
SCHUFA Holding AG,
SUD (prvo vijeće),
u sastavu: A. Arabadjiev, predsjednik vijeća, T. von Danwitz, P. G. Xuereb, A. Kumin (izvjestitelj) i I. Ziemele, suci,
nezavisni odvjetnik: P. Pikamäe,
tajnik: C. Di Bella, administrator,
uzimajući u obzir pisani dio postupka i nakon rasprave održane 26. siječnja 2023.,
uzimajući u obzir očitovanja koja su podnijeli:
– za OQ, U. Schmidt, Rechtsanwalt,
– za Land Hessen, M. Kottmann i G. Ziegenhorn, Rechtsanwälte,
– za SCHUFA Holding AG, G. Thüsing i U. Wuermeling, Rechtsanwalt,
– za njemačku vladu, P.-L. Krüger, u svojstvu agenta,
– za dansku vladu, V. Pasternak Jørgensen, M. Søndahl Wolff i Y. Thyregod Kollberg, u svojstvu agenata,
– za portugalsku vladu, P. Barros da Costa, I. Oliveira, J. Ramos i C. Vieira Guerra, u svojstvu agenata,
– za finsku vladu, M. Pere, u svojstvu agenta,
– za Europsku komisiju, A. Bouchagiar, F. Erlbacher i H. Kranenborg, u svojstvu agenata,
saslušavši mišljenje nezavisnog odvjetnika na raspravi održanoj 16. ožujka 2023.,
donosi sljedeću
Presudu
1 Zahtjev za prethodnu odluku odnosi se na tumačenje članka 6. stavka 1. i članka 22. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP).
2 Zahtjev je upućen u okviru spora između osobe OQ i Landa Hessen (savezna zemlja Hessen, Njemačka) povodom odbijanja Hessischer Beauftragtera für Datenschutz und Informationsfreiheit (službenik za zaštitu podataka i slobodu informiranja savezne zemlje Hessen, Njemačka; u daljnjem tekstu: HBDI) da društvu SCHUFA Holding AG (u daljnjem tekstu: SCHUFA) naloži da ispuni tužbeni zahtjev koji je osoba OQ podnijela za pristup svojim osobnim podacima i njihovo brisanje.
Pravni okvir
Pravo Unije
3 U uvodnoj izjavi 71. OUZP‑a navodi se:
„Ispitanik bi trebao imati pravo na to da se na njega ne odnosi odluka, što može obuhvaćati mjeru, kojom se procjenjuju osobni aspekti u vezi s njim koja se isključivo temelji na automatiziranoj obradi i koja proizvodi pravne učinke koji se odnose na njega ili slično na njega znatno utječu, poput automatskog odbijanja zahtjeva za kreditom putem interneta ili prakse zapošljavanja putem interneta bez ikakve ljudske intervencije. Takva obrada uključuje,izradu profila’ koja se odnosi na svaki oblik automatizirane obrade osobnih podataka kojom se procjenjuju osobni aspekti u vezi s pojedincem, osobito analizu i predviđanje aspekata ispitanikovog učinka na poslu, ekonomskog stanja, zdravlja, osobnih preferencija ili interesa, pouzdanosti ili ponašanja, lokacije ili kretanja kada ona proizvodi pravne učinke koji se odnose na ispitanika ili na njega snažno utječu. Međutim, donošenje odluka koje se temelji na takvoj obradi, što uključuje i izradu profila, trebalo bi se dopustiti ako se to izričito dopušta pravom Unije ili pravom države članice kojem podliježe voditelj obrade, među ostalim u svrhe praćenja i sprečavanja prijevare i porezne utaje, što se provodi u skladu s propisima, standardima i preporukama institucija [Europske] [u]nije ili nacionalnih nadzornih tijela te osiguravanja sigurnosti i pouzdanosti usluge koju pruža voditelj obrade ili ako je nužno za sklapanje ili izvršavanje ugovora između ispitanika i voditelja obrade ili kada je ispitanik izričito dao svoju privolu. U svakom slučaju na takve bi se obrade trebale primjenjivati odgovarajuće zaštitne mjere, koje bi trebale uključivati davanje određenih informacija ispitaniku i pravo na ljudsku intervenciju, pravo na izražavanje vlastitog stajališta, na dobivanje pojašnjenja odluke donesene nakon takve procjene i pravo na osporavanje odluke. Takve se mjere ne bi smjele odnositi na djecu.
Kako bi se osigurala poštena i transparentna obrada podataka s obzirom na ispitanika, uzimajući u obzir posebne okolnosti i kontekst u kojem se osobni podaci obrađuju, voditelj obrade trebao bi poduzeti odgovarajuće matematičke i statističke postupke za izradu profila, provesti odgovarajuće tehničke i organizacijske mjere kako bi se posebno osiguralo da budu ispravljeni čimbenici koji dovode do netočnosti u osobnim podacima i da se rizici od pojave pogrešaka svedu na minimum, te osobne podatke osigurati na način kojim se uzima u obzir potencijalne rizike za interese i prava ispitanika i spriječiti, među ostalim, diskriminacijske učinke na pojedince na temelju rasnog ili etničkog porijekla, političkog mišljenja, vjere ili uvjerenja, članstva u sindikatu, genetskog ili zdravstvenog stanja ili spolne orijentacije, ili obradu koja rezultira mjerama koje imaju takav učinak.”
4 Člankom 4. te uredbe, naslovljenim „Definicije”, predviđa se:
„Za potrebe ove Uredbe:
[…]
4. ,izrada profila’ znači svaki oblik automatizirane obrade osobnih podataka koji se sastoji od uporabe osobnih podataka za ocjenu određenih osobnih aspekata povezanih s pojedincem, posebno za analizu ili predviđanje aspekata u vezi s radnim učinkom, ekonomskim stanjem, zdravljem, osobnim sklonostima, interesima, pouzdanošću, ponašanjem, lokacijom ili kretanjem tog pojedinca;
[…]”
5 Člankom 5. navedene uredbe, naslovljenim „Načela obrade osobnih podataka”, određuje se:
„1. Osobni podaci moraju biti:
(a) zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika (,zakonitost, poštenost i transparentnost’)
(b) prikupljeni u posebne, izričite i zakonite svrhe te se dalje ne smiju obrađivati na način koji nije u skladu s tim svrhama; […] (,ograničavanje svrhe’);
(c) primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju (‚smanjenje količine podataka’);
(d) točni i prema potrebi ažurni; […] (,točnost’);
(e) čuvani u obliku koji omogućuje identifikaciju ispitanikâ samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju; […] (,ograničenje pohrane’);
(f) obrađivani na način kojim se osigurava odgovarajuća sigurnost osobnih podataka […] (,cjelovitost i povjerljivost’);
2. Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (,pouzdanost’).”
6 U članku 6. OUZP‑a, naslovljenom „Zakonitost obrade”, u stavcima 1. i 3. navodi se:
„1. Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:
(a) ispitanik je dao privolu za obradu svojih osobnih podataka u jednu ili više posebnih svrha;
(b) obrada je nužna za izvršavanje ugovora u kojem je ispitanik stranka ili kako bi se poduzele radnje na zahtjev ispitanika prije sklapanja ugovora;
(c) obrada je nužna radi poštovanja pravnih obveza voditelja obrade;
(d) obrada je nužna kako bi se zaštitili životno važni interesi ispitanika ili druge fizičke osobe;
(e) obrada je nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti voditelja obrade;
(f) obrada je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.
[…]
3. Pravna osnova za obradu iz stavka 1. točaka (c) i (e) utvrđuje se u:
a) pravu Unije; ili
b) pravu države članice kojem voditelj obrade podliježe.
Svrha obrade određuje se tom pravnom osnovom ili, u pogledu obrade iz stavka 1. točke (e), mora biti nužna za izvršavanje zadaće od javnog interesa ili izvršavanje službene ovlasti voditelja obrade. […]”
7 Članak 9. te uredbe, naslovljen „Obrada posebnih kategorija osobnih podataka”, glasi:
„1. Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.
2. Stavak 1. ne primjenjuje se ako je ispunjen[o] jedno od sljedećeg:
(a) ispitanik je dao izričitu privolu za obradu tih osobnih podataka za jednu ili više određenih svrha, osim ako se pravom Unije ili pravom države članice propisuje da ispitanik ne može ukinuti zabranu iz stavka 1.;
[…]
(g) obrada je nužna za potrebe značajnog javnog interesa na temelju prava Unije ili prava države članice koje je razmjerno željenom cilju te kojim se poštuje bit prava na zaštitu podataka i osiguravaju prikladne i posebne mjere za zaštitu temeljnih prava i interesa ispitanika;
[…]”
8 Člankom 13. navedene uredbe, naslovljenim „Informacije koje treba dostaviti ako se osobni podaci prikupljaju od ispitanika”, stavkom 2. određuje se:
„Osim informacija iz stavka 1., voditelj obrade u trenutku kada se osobni podaci prikupljaju pruža ispitaniku sljedeće dodatne informacije potrebne kako bi se osigurala poštena i transparentna obrada:
[…]
(f) postojanje automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislene informacije o tome o kojoj je logici riječ, kao i važnost i predviđene posljedice takve obrade za ispitanika.”
9 Člankom 14. OUZP‑a, naslovljenim „Informacije koje se trebaju pružiti ako osobni podaci nisu dobiveni od ispitanika”, stavkom 2. određuje se:
„Osim informacija iz stavka 1. voditelj obrade ispitaniku pruža sljedeće informacije neophodne za osiguravanje poštene i transparentne obrade s obzirom na ispitanika:
[…]
(g) postojanje automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislene informacije o tome o kojoj je logici riječ, kao i važnost i predviđene posljedice takve obrade za ispitanika.”
10 U članku 15. te uredbe, naslovljenom „Pravo ispitanika na pristup”, u stavku 1. navodi se:
„Ispitanik ima pravo dobiti od voditelja obrade potvrdu obrađuju li se osobni podaci koji se odnose na njega te ako se takvi osobni podaci obrađuju, pristup osobnim podacima i sljedećim informacijama:
[…]
(h) postojanju automatiziranog donošenja odluka, što uključuje izradu profila iz članka 22. stavaka 1. i 4. te, barem u tim slučajevima, smislenim informacijama o tome o kojoj je logici riječ, kao i važnosti i predviđenim posljedicama takve obrade za ispitanika.”
11 Člankom 22. navedene uredbe, naslovljenim „Automatizirano pojedinačno donošenje odluka, uključujući izradu profila”, predviđa se:
„1. Ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu.
2. Stavak 1. ne primjenjuje se ako je odluka:
(a) potrebna za sklapanje ili izvršenje ugovora između ispitanika i voditelja obrade podataka;
(b) dopuštena pravom Unije ili pravom države članice kojem podliježe voditelj obrade te koje također propisuje odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika; ili
(c) temeljena na izričitoj privoli ispitanika.
3. U slučajevima iz stavka 2. točaka (a) i (c) voditelj obrade provodi odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika, barem prava na ljudsku intervenciju voditelja obrade, prava izražavanja vlastitog stajališta te prava na osporavanje odluke.
4. Odluke iz stavka 2. ne smiju se temeljiti na posebnim kategorijama osobnih podataka iz članka 9. stavka 1., osim ako se primjenjuje članak 9. stavak 2. točka (a) ili (g) te ako su uspostavljene odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika.”
12 Člankom 78. OUZP‑a‚ naslovljenim „Pravo na učinkoviti sudski pravni lijek protiv nadzornog tijela”‚ stavkom 1. predviđa se:
„Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.”
Njemačko pravo
13 Članak 31. Bundesdatenschutzgesetza (Savezni zakon o zaštiti podataka) od 30. lipnja 2017. (BGB1. I, str. 2097., u daljnjem tekstu: BDSG), naslovljen „Zaštita gospodarskog prometa prilikom scoringa i informacija o bonitetu”, glasi:
„(1) Upotreba ocjene vjerojatnosti u pogledu određenog budućeg ponašanja fizičke osobe u svrhu odlučivanja o zasnivanju, provedbi ili prestanku ugovornog odnosa s tom osobom (scoring) dopušta se samo ako se[:]
1. poštuju propisi o pravu na zaštitu podataka,
2. na temelju znanstveno priznatog matematičko‑statističkog postupka može dokazati da su podaci koji su upotrijebljeni za izračun ocjene vjerojatnosti relevantni za izračun vjerojatnosti određenog ponašanja,
3. za izračun ocjene vjerojatnosti ne upotrebljavaju isključivo podaci o adresama te
4. u slučaju upotrebe podataka o adresama ispitanik prije izračuna ocjene vjerojatnosti obavijesti o predviđenoj upotrebi tih podataka; obavještavanje se dokumentira.
(2) Upotreba ocjene vjerojatnosti koju su utvrdile agencije za provjeru kreditne sposobnosti u pogledu sposobnosti i spremnosti fizičke osobe u pogledu plaćanja dopuštena je u slučaju uključivanja informacija o potraživanjima samo ako su ispunjeni uvjeti na temelju stavka 1. i ako se uzimaju u obzir samo potraživanja u vezi s dugovanim iznosom, koji nije plaćen unatoč dospijeću, i
1. koja su utvrđena na temelju pravomoćne presude ili presude koja je proglašena privremeno izvršivom ili za koja postoji dužnički instrument na temelju članka 794. Zivilprozessordnunga [(Zakonik o građanskom postupku)],
2. koja su utvrđena na temelju članka 178. Insolvenzordnunga [(Zakon o nesolventnosti)] i koja dužnik nije osporavao tijekom roka za ispitivanje,
3. koja je dužnik izričito priznao,
4. u pogledu kojih je
a) dužnik nakon nastupanja dospjelosti najmanje dva puta opomenut u pisanom obliku,
b) prva opomena poslana najmanje četiri tjedna prije,
c) dužnik prethodno, ali najkasnije prvom opomenom, obaviješten da je moguće da ga agencija za provjeru kreditne sposobnosti ocjenjuje i da
d) dužnik nije osporavao potraživanje; ili
5. u pogledu kojih se ugovorni odnos na kojem se ta potraživanja temelje može raskinuti bez odlaganja zbog nepodmirenih obveza i u pogledu kojih je dužnik prethodno obaviješten da je moguće da ga agencija za provjeru kreditne sposobnosti ocjenjuje.
To ne utječe na dopuštenost obrade drugih podataka relevantnih za bonitet na temelju općeg prava na zaštitu podataka, uključujući utvrđivanje ocjene vjerojatnosti.”
Glavni postupak i prethodna pitanja
14 SCHUFA je društvo privatnog prava osnovano u skladu s njemačkim pravom koje svojim ugovornim partnerima pruža informacije o kreditnoj sposobnosti trećih strana, osobito potrošača. U tu svrhu iz određenih obilježja osobe na temelju matematičko‑statističkih postupaka za tu osobu predviđa vjerojatnost budućeg ponašanja (score) (kreditni bodovi), primjerice otplate kredita. Ocjenjivanje (scoring) se temelji na pretpostavci da se razvrstavanjem osobe u skupinu drugih osoba s usporedivim obilježjima koje su se ponašale na određeni način može predvidjeti slično ponašanje.
15 Iz zahtjeva za prethodnu odluku proizlazi da je treća strana odbila osobi OQ odobriti kredit nakon što je SCHUFA izdala negativno mišljenje i proslijedila ga toj trećoj strani. Osoba OQ je od SCHUFA‑e zatražila da joj pruži informacije o pohranjenim osobnim podacima i da izbriše one koje su navodno pogrešne.
16 U odgovoru na taj zahtjev, SCHUFA je obavijestila osobu OQ o razini njezinih kreditnih bodova te je ukratko obrazložila načine njihova izračuna. Međutim, pozivajući se na poslovnu tajnu, odbila je otkriti različite informacije koje je uzela u obzir u svrhu tog izračuna kao i njihovog ponderiranja. Naposljetku, SCHUFA je navela da je samo dostavljala informacije ugovornim partnerima i da su oni ti koji su donosili sâme odluke o ugovorima.
17 Pritužbom podnesenom 18. listopada 2018. osoba OQ zahtijevala je da HBDI, nadležno nadzorno tijelo, naloži SCHUFA‑i da ispuni njezin zahtjev u pogledu pristupa podacima i njihova brisanja.
18 Odlukom od 3. lipnja 2020. HBDI je odbio taj zahtjev za izdavanje naloga, pri čemu je objasnio da nije utvrđeno da SCHUFA ne poštuje zahtjeve iz članka 31. BDSG‑a koje ima u pogledu svoje djelatnosti.
19 Osoba OQ je na temelju članka 78. stavka 1. OUZP‑a protiv te odluke podnijela tužbu Verwaltungsgerichtu Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), sudu koji je uputio zahtjev.
20 Prema mišljenju tog suda, kako bi odlučio o sporu koji se pred njim vodi važno je utvrditi predstavlja li utvrđivanje ocjene vjerojatnosti poput one o kojoj je riječ u glavnom postupku automatizirano pojedinačno donošenje odluka u smislu članka 22. stavka 1. OUZP‑a. Naime, u slučaju potvrdnog odgovora, ta djelatnost bila bi zakonita, u skladu s člankom 22. stavkom 2. točkom (b) te uredbe, ako je odluka dopuštena pravom Unije ili pravom države članice kojem podliježe voditelj obrade.
21 U tom pogledu, sud koji je uputio zahtjev ima dvojbe u pogledu stajališta da članak 22. stavak 1. OUZP‑a nije primjenjiv na djelatnost društava kao što je SCHUFA. Sud koji je uputio zahtjev u činjeničnom pogledu temelji svoje dvojbe na važnosti koju ocjena vjerojatnosti poput one o kojoj je riječ u glavnom postupku ima u odnosu na praksu odlučivanja trećih strana kojima se prenosi ta ocjena vjerojatnosti te ih, u relevantnom pravnom pogledu temelji na ciljevima koji se nastoje postići člankom 22. stavkom 1. i jamstvima u pogledu pravne zaštite koja se propisuju OUZP‑om.
22 Konkretnije, sud koji je uputio zahtjev ističe da je ocjena vjerojatnosti naposljetku odlučujuća u pogledu toga hoće li i na koji način treća strana sklopiti ugovor s ispitanikom. Međutim, člankom 22. OUZP‑a upravo se predviđa zaštita ispitanikâ od opasnosti koje su povezane s odlučivanjem koje se temelji isključivo na automatizaciji.
23 Suprotno tomu, ako bi članak 22. stavak 1. OUZP‑a trebalo tumačiti na način da se u situaciji poput one o kojoj je riječ u glavnom postupku svojstvo „automatiziranog pojedinačnog donošenja odluka” može priznati samo odluci koju u pogledu ispitanika donosi treća strana, to bi dovelo do praznine u pravnoj zaštiti. Naime, s jedne strane, društvo kao što je SCHUFA nije dužno omogućiti pristup dodatnim informacijama na koje ispitanik ima pravo na temelju članka 15. stavka 1. točke (h) te uredbe jer to društvo nije ono koje donosi „automatiziranu odluku” u smislu te odredbe i, posljedično, u smislu članka 22. stavka 1. navedene uredbe. S druge strane, treća strana koju se obavještava o ocjeni vjerojatnosti ne može pružiti te dodatne informacije jer njima ne raspolaže.
24 Stoga je, prema mišljenju suda koji je uputio zahtjev, kako bi se izbjegla takva praznina u pravnoj zaštiti, važno da je utvrđivanje ocjene vjerojatnosti poput one o kojoj je riječ u glavnom postupku obuhvaćeno područjem primjene članka 22. stavka 1. OUZP‑a.
25 Kad bi se prihvatilo takvo tumačenje, zakonitost te djelatnosti temeljila bi se na postojanju pravne osnove u dotičnoj državi članici, u skladu s člankom 22. stavkom 2. točkom (b) te uredbe. Međutim, u ovom slučaju, iako je točno da članak 31. BDSG‑a može biti takva pravna osnova u Njemačkoj, postoje ozbiljne dvojbe u pogledu toga je li ta odredba u skladu s člankom 22. OUZP‑a jer njemački zakonodavac uređuje samo „upotrebu” ocjene vjerojatnosti poput one o kojoj je riječ u glavnom postupku, ali ne i samo utvrđivanje te ocjene.
26 Suprotno tomu, ako utvrđivanje takve ocjene vjerojatnosti ne predstavlja automatizirano pojedinačno donošenje odluka u smislu članka 22. OUZP‑a, na nacionalne odredbe koje se odnose na tu djelatnost ne bi se primjenjivala ni klauzula o odstupanju iz stavka 2. točke (b) tog članka 22. S obzirom na prirodu OUZP‑a koja je u načelu iscrpna i u nedostatku druge regulatorne ovlasti za nacionalne odredbe, čini se da njemački zakonodavac, podređivanjem utvrđenja ocjene vjerojatnosti dodatnim sadržajnim uvjetima pojašnjava predmet reguliranja koji nadilazi zahtjeve članaka 6. i 22. OUZP‑a, pri čemu za to nema regulatornu ovlast. Kad bi to stajalište bilo pravilno, to bi izmijenilo manevarski prostor koji u pogledu provjere ima nacionalno nadzorno tijelo koje u tom slučaju treba ocijeniti usklađenost djelatnosti agencija za provjeru kreditne sposobnosti s obzirom na članak 6. te uredbe.
27 U tim je okolnostima Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:
„1. Treba li članak 22. stavak 1. [OUZP‑a] tumačiti na način da već automatizirano utvrđivanje ocjene vjerojatnosti o ispitanikovoj sposobnosti da ubuduće otplaćuje kredit predstavlja odluku koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, koja proizvodi pravne učinke koji se odnose na ispitanika ili na sličan način značajno na njega utječu ako o toj ocjeni utvrđenoj na temelju ispitanikovih osobnih podataka voditelj obrade obavijesti trećeg voditelja obrade i ako je ta ocjena odlučujuća za odluku o zasnivanju, provedbi ili prestanku ugovornog odnosa s ispitanikom koju donosi potonji voditelj obrade?
2. U slučaju niječnog odgovora na prvo prethodno pitanje:
treba li članak 6. stavak 1. i članak 22. [OUZP‑a] tumačiti na način da im se protivi nacionalna odredba u skladu s kojom je upotreba ocjene vjerojatnosti, u ovom slučaju ocjena vjerojatnosti u pogledu sposobnosti i spremnosti fizičke osobe u pogledu plaćanja prilikom uključivanja informacija o potraživanjima, odnosno o određenom budućem ponašanju fizičke osobe u svrhu donošenja odluke o zasnivanju, provedbi ili prestanku ugovornog odnosa s tom osobom (scoring, [ocjenjivanje]), dopuštena samo ako su ispunjeni određeni drugi uvjeti koji se detaljno navode u obrazloženju zahtjeva za prethodnu odluku?”
Dopuštenost zahtjeva za prethodnu odluku
28 SCHUFA osporava dopuštenost zahtjeva za prethodnu odluku ističući, kao prvo, da sud koji je uputio zahtjev nije pozvan nadzirati sadržaj odluke o pritužbi koju je donijelo nadzorno tijelo kao što je HBDI, s obzirom na to da sudski pravni lijek protiv takve odluke, predviđen člankom 78. stavkom 1. OUZP‑a, služi samo za nadzor je li to tijelo poštovalo obveze koje ima na temelju te uredbe, osobito obvezu rješavanja pritužbi, pri čemu valja pojasniti da navedeno tijelo ima diskrecijsku ovlast odlučiti treba li i kako postupati.
29 Kao drugo, SCHUFA tvrdi da sud koji je uputio zahtjev ne iznosi točne razloge zbog kojih su postavljena pitanja odlučujuća za rješavanje spora u glavnom postupku. Predmet je potonjeg zahtjev za informacije o kreditnim bodovima i njihovo brisanje. Međutim, u ovom je slučaju SCHUFA u dovoljnoj mjeri poštovala svoju obvezu obavješćivanja te je već izbrisala kreditne bodove koji su predmet postupka.
30 U tom pogledu valja podsjetiti na to da je prema ustaljenoj sudskoj praksi Suda isključivo na nacionalnom sucu pred kojim se vodi postupak i koji mora preuzeti odgovornost za sudsku odluku koja će biti donesena da, uzimajući u obzir posebnosti predmeta, ocijeni nužnost prethodne odluke za donošenje svoje presude i relevantnost pitanja koja postavlja Sudu. Posljedično, s obzirom na to da se upućena pitanja odnose na tumačenje pravnog pravila Unije, Sud je načelno dužan donijeti odluku (presuda od 12. siječnja 2023., DOBELES HES, C‑702/20 i C‑17/21, EU:C:2023:1, t. 46. i navedena sudska praksa).
31 Slijedom toga, pitanja koja se odnose na pravo Unije uživaju pretpostavku relevantnosti. Sud može odbiti odlučivati o prethodnom pitanju koje je uputio nacionalni sud samo ako je očito da zatraženo tumačenje pravila Unije nema nikakve veze sa stvarnošću ili predmetom glavnog postupka, ako je problem hipotetski ili ako Sud ne raspolaže činjeničnim i pravnim elementima potrebnima za davanje korisnog odgovora na upućena pitanja (presuda od 12. siječnja 2023., DOBELES HES, C‑702/20 i C‑17/21, EU:C:2023:1, t. 47. i navedena sudska praksa).
32 Kao prvo, što se tiče razloga nedopuštenosti koji se temelji na navodno ograničenom sudskom nadzoru kojem podliježu odluke o pritužbi koje je donijelo nadzorno tijelo, valja podsjetiti na to da, u skladu s člankom 78. stavkom 1. OUZP‑a, ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.
33 U ovom slučaju, odluka koju je HBDI donio kao nadzorno tijelo predstavlja pravno obvezujuću odluku u smislu tog članka 78. stavka 1. Naime, nakon što je ispitalo osnovanost podnesene pritužbe, to je tijelo o njoj odlučilo i utvrdilo da je obrada osobnih podataka koju je tužitelj osporavao bila zakonita.
34 Kad je riječ o opsegu sudskog nadzora koji se može provoditi u okviru pravnog lijeka podnesenog protiv takve odluke na temelju navedenog članka 78. stavka 1., dovoljno je istaknuti da se u pogledu odluke o pritužbi koju je donijelo nadzorno tijelo provodi sveobuhvatan sudski nadzor [presuda od 7. prosinca 2023., SCHUFA Holding (Otpis dugova), C‑26/22 i C‑64/22, , EU:C:2023:XXX, t. 1. izreke].
35 Prvi razlog nedopuštenosti koji je istaknula SCHUFA stoga treba odbiti.
36 Kao drugo, iz zahtjeva za prethodnu odluku jasno proizlazi da se sud koji je uputio zahtjev pita o kriteriju nadzora koji treba primijeniti prilikom ocjene obrade osobnih podataka o kojoj je riječ u glavnom postupku s obzirom na OUZP, pri čemu taj kriterij ovisi o tome primjenjuje li se članak 22. stavak 1. te uredbe.
37 Stoga nije očito da tumačenje OUZP‑a koje je zatražio sud koji je uputio zahtjev nema nikakve veze sa stvarnošću ili predmetom spora u glavnom postupku niti da je problem hipotetske prirode. Sud usto raspolaže činjeničnim i pravnim elementima potrebnima za davanje korisnog odgovora na pitanja koja su mu upućena.
38 Stoga drugi razlog nedopuštenosti koji je istaknula SCHUFA također treba odbiti.
39 U tim je okolnostima zahtjev za prethodnu odluku dopušten.
O prethodnim pitanjima
Prvo pitanje
40 Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 22. stavak 1. OUZP‑a tumačiti na način da „automatizirano pojedinačno donošenje odluka” u smislu te odredbe predstavlja automatizirano utvrđivanje ocjene vjerojatnosti koje izvršava agencija za provjeru kreditne sposobnosti, koje se temelji na ispitanikovim osobnim podacima i njegovoj sposobnosti da ubuduće ispuni obveze plaćanja ako je trećoj strani, koja je obaviještena o navedenoj ocjeni vjerojatnosti, ta ocjena vjerojatnosti odlučujuća činjenica za zasnivanje, provedbu ili prestanak ugovornog odnosa s tim ispitanikom.
41 Kako bi se odgovorilo na upućeno pitanje, najprije valja podsjetiti na to da pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 22. lipnja 2023., Pankki S, C‑579/21, EU:C:2023:501, t. 38. i navedena sudska praksa).
42 Što se tiče teksta članka 22. stavka 1. OUZP‑a, tom se odredbom predviđa da ispitanik ima pravo da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila, koja proizvodi pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu.
43 Primjenjivost te odredbe stoga podliježe trima kumulativnim uvjetima, odnosno, kao prvo, mora postojati „odluka”, kao drugo, ta se odluka mora „temelji[ti] isključivo na automatiziranoj obradi, uključujući izradu profila” i, kao treće, mora proizvoditi „pravne učinke [u odnosu na ispitanika]” ili „na sličan način značajno” na njega utjecati.
44 Kao prvo, kad je riječ o uvjetu postojanja odluke, valja istaknuti da pojam „odluka” u smislu članka 22. stavka 1. OUZP‑a nije definiran tom uredbom. Međutim, iz samog teksta te odredbe proizlazi da taj pojam ne upućuje samo na akte koji proizvode pravne učinke u odnosu na osobu o kojoj je riječ, nego i na akte koji na sličan način značajno utječu na nju.
45 Širok doseg pojma „odluka” potvrđen je uvodnom izjavom 71. OUZP‑a, u skladu s kojom odluka kojom se procjenjuju osobni aspekti u vezi s ispitanikom, a koji bi trebao imati pravo da se na njega ne odnosi, „može obuhvaćati mjeru” koja proizvodi „pravne učinke koji se odnose na njega” ili „slično na njega znatno utječu”. Prema toj uvodnoj izjavi pojam „odluka” primjerice obuhvaća automatsko odbijanje zahtjeva za kredit putem interneta ili prakse zapošljavanja putem interneta bez ikakve ljudske intervencije.
46 Budući da pojam „odluka” u smislu članka 22. stavka 1. OUZP‑a tako može, kao što je to istaknuo nezavisni odvjetnik u točki 38. svojeg mišljenja, obuhvaćati nekoliko akata koji na ispitanika mogu utjecati na više načina, taj je pojam dovoljno širok da obuhvati rezultat izračuna kreditne sposobnosti ispitanika u obliku ocjene vjerojatnosti o njegovoj sposobnosti da ubuduće ispuni obveze plaćanja.
47 Kao drugo, kad je riječ o uvjetu prema kojem se odluka u smislu tog članka 22. stavka 1. mora „temelji[ti] isključivo na automatiziranoj obradi, uključujući izradu profila”, kao što je to istaknuo nezavisni odvjetnik u točki 33. svojeg mišljenja, nesporno je da djelatnost kao što je ona koju obavlja SCHUFA odgovara definiciji „izrade profila” iz članka 4. točke 4. OUZP‑a i da je stoga, u ovom slučaju, taj uvjet ispunjen, s obzirom na to da se u tekstu prvog prethodnog pitanja izričito upućuje na automatizirano utvrđivanje ocjene vjerojatnosti koje se temelji na osobnim podacima koji se odnose na ispitanika i na njegovoj sposobnosti da ubuduće otplaćuje kredit.
48 Kao treće, kad je riječ o uvjetu prema kojem odluka mora proizvoditi „pravne učinke” u odnosu na ispitanika ili „slično na njega značajno” utjecati, iz samog sadržaja prvog prethodnog pitanja proizlazi da je ta ocjena vjerojatnosti „odlučujuća” za djelovanje treće strane kojoj se ta ocjena prenosi. Stoga, prema činjeničnim utvrđenjima suda koji je uputio zahtjev, u slučaju zahtjeva za kredit koji je potrošač uputio banci, nedovoljna ocjena vjerojatnosti u gotovo svim slučajevima dovodi do odbijanja te banke da odobri traženi kredit.
49 U tim okolnostima valja smatrati da je ispunjen i treći uvjet za primjenu članka 22. stavka 1. OUZP‑a jer ocjena vjerojatnosti poput one o kojoj je riječ u glavnom postupku značajno utječe na ispitanika.
50 Iz toga proizlazi da, u okolnostima poput onih o kojima je riječ u glavnom postupku, u kojima ocjena vjerojatnosti koju je utvrdila agencija za provjeru kreditne sposobnosti i o kojoj je obaviještena banka ima odlučujuću ulogu prilikom odobravanja kredita, utvrđivanje te ocjene treba kvalificirati kao odluku koja u odnosu na ispitanika proizvodi „pravne učinke koji se na njega odnose ili na sličan način značajno na njega utječu”, u smislu članka 22. stavka 1. OUZP‑a.
51 To tumačenje potkrijepljeno je kontekstom članka 22. stavka 1. OUZP‑a kao i ciljevima i svrhom te uredbe.
52 U tom pogledu valja istaknuti da se, kao što je to primijetio nezavisni odvjetnik u točki 31. tog mišljenja, člankom 22. stavkom 1. OUZP‑a ispitaniku dodjeljuje „pravo” da se na njega ne odnosi odluka koja se temelji isključivo na automatiziranoj obradi, uključujući izradu profila. Tom se odredbom utvrđuje načelna zabrana čiju povredu taj ispitanik ne mora pojedinačno isticati.
53 Naime, kao što to proizlazi iz zajedničkog tumačenja članka 22. stavka 2. OUZP‑a i uvodne izjave 71. te uredbe, donošenje odluke koja se temelji isključivo na automatiziranoj obradi dopušteno je samo u slučajevima iz tog članka 22. stavka 2., odnosno ako je ta odluka nužna za sklapanje ili izvršenje ugovora između ispitanika i voditelja obrade podataka (točka (a)), ako je dopuštena pravom Unije ili pravom države članice kojem podliježe voditelj obrade (točka (b)) ili ako je temeljena na izričitoj privoli ispitanika (točka (c)).
54 Usto, člankom 22. stavkom 2. točkom (b) i člankom 22. stavkom 3. OUZP‑a propisuje se da se moraju predvidjeti odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika. U slučajevima iz članka 22. stavka 2. točaka (a) i (c) te uredbe voditelj obrade osigurava barem pravo ispitanika na ljudsku intervenciju, pravo izražavanja vlastitog stajališta te pravo na osporavanje odluke.
55 Osim toga, u skladu s člankom 22. stavkom 4. OUZP‑a, automatizirano pojedinačno donošenje odluka u smislu tog članka 22. može se temeljiti na posebnim kategorijama osobnih podataka iz članka 9. stavka 1. te uredbe samo u posebno određenim slučajevima.
56 Štoviše, u slučaju automatiziranog donošenja odluka, poput onog iz članka 22. stavka 1. OUZP‑a, s jedne strane, voditelj obrade podliježe dodatnim obvezama obavješćivanja na temelju članka 13. stavka 2. točke (f) i članka 14. stavka 2. točke (g) te uredbe. S druge strane, ispitanik na temelju članka 15. stavka 1. točke (h) navedene uredbe osobito ima pravo od voditelja obrade dobiti obavijest o „smislenim informacijama o tome o kojoj je logici riječ, kao i važnosti i predviđenim posljedicama takve obrade za ispitanika”.
57 Ti stroži zahtjevi u pogledu zakonitosti automatiziranog donošenja odluka kao i dodatne obveze voditelja obrade u pogledu obavješćivanja te s njima povezana ispitanikova dodatna prava na pristup objašnjavaju se svrhom koja se nastoji postići člankom 22. OUZP‑a, a koja se sastoji od zaštite ispitanikâ od posebnih rizika za njihova prava i slobode koje predstavlja automatizirana obrada osobnih podataka, uključujući izradu profila.
58 Naime, ta obrada obuhvaća, kao što to proizlazi iz uvodne izjave 71. OUZP‑a, procjenu osobnih aspekata u vezi s pojedincem na kojeg se ta obrada odnosi, osobito analizu i predviđanje aspekata njegova učinka na poslu, ekonomskog stanja, zdravlja, osobnih preferencija ili interesa, pouzdanosti ili ponašanja, ili lokacije i kretanja.
59 Prema toj uvodnoj izjavi, ti posebni rizici mogu utjecati na legitimne interese i prava ispitanika, osobito uzimajući u obzir moguće diskriminacijske učinke na pojedince na temelju rasnog ili etničkog porijekla, političkih mišljenja, vjere ili uvjerenja, članstva u sindikatu, genetskog ili zdravstvenog stanja ili spolne orijentacije. Stoga je također važno, u skladu s navedenom uvodnom izjavom, predvidjeti odgovarajuće zaštitne mjere i osigurati poštenu i transparentnu obradu s obzirom na ispitanika, osobito poduzimanjem odgovarajućih matematičkih i statističkih postupaka za izradu profila i provođenjem odgovarajućih tehničkih i organizacijskih mjera kako bi se osiguralo da se rizici od pojave pogrešaka svedu na minimum.
60 Međutim, tumačenjem iznesenim u točkama 42. do 50. ove presude, a osobito širokim dosegom pojma „odluka” u smislu članka 22. stavka 1. OUZP‑a, jača se djelotvorna zaštita navedena u toj odredbi.
61 Suprotno tomu, u okolnostima poput onih o kojima je riječ u glavnom postupku, u kojima su uključena tri sudionika, postojao bi rizik od zaobilaženja članka 22. OUZP‑a i, slijedom toga, praznine u pravnoj zaštiti ako bi se prihvatilo usko tumačenje te odredbe, prema kojem utvrđivanje ocjene vjerojatnosti treba smatrati isključivo pripremnim aktom te se samo akt koji je donijela treća strana može, ovisno o slučaju, kvalificirati kao „odluka” u smislu članka 22. stavka 1. te uredbe.
62 Naime, u tom slučaju utvrđivanje ocjene vjerojatnosti poput onog o kojem je riječ u glavnom postupku ne bi bilo obuhvaćeno posebnim zahtjevima predviđenima u članku 22. stavcima 2. do 4. OUZP‑a, iako se taj postupak temelji na automatiziranoj obradi i proizvodi učinke koji značajno utječu na ispitanika s obzirom na to da je ta ocjena vjerojatnosti odlučujuća za djelovanje treće strane kojoj se ta ocjena prenosi.
63 Usto, kao što je to nezavisni odvjetnik istaknuo u točki 48. svojeg mišljenja, s jedne strane, ispitanik se ne može pozivati na svoje pravo na pristup posebnim informacijama iz članka 15. stavka 1. točke (h) OUZP‑a pred agencijom za provjeru kreditne sposobnosti koja utvrđuje ocjenu vjerojatnosti u odnosu na ispitanika, ako ta agencija ne donese automatiziranu odluku. S druge strane, čak i pod pretpostavkom da je akt koji je donijela treća strana obuhvaćen člankom 22. stavkom 1. te uredbe, s obzirom na to da ispunjava uvjete za primjenu te odredbe, ta treća osoba ne bi bila u mogućnosti pružiti te posebne informacije jer njima uopće ne raspolaže.
64 Činjenica da je utvrđivanje ocjene vjerojatnosti poput one o kojoj je riječ u glavnom postupku obuhvaćeno člankom 22. stavkom 1. OUZP‑a ima za posljedicu, kao što je to istaknuto u točkama 53. do 55. ove presude, da je zabranjeno osim ako bi jedna od iznimaka iz članka 22. stavka 2. te uredbe bila primjenjiva i ako bi se poštovali posebni zahtjevi predviđeni u članku 22. stavcima 3. i 4. navedene uredbe.
65 Konkretnije, kad je riječ o članku 22. stavku 2. točki (b) OUZP‑a na koji se poziva sud koji je uputio zahtjev, iz samog teksta te odredbe proizlazi da se nacionalnim pravom koje dopušta automatizirano pojedinačno donošenje odluka moraju predvidjeti odgovarajuće mjere zaštite prava i sloboda te legitimnih interesa ispitanika.
66 S obzirom na uvodnu izjavu 71. OUZP‑a, takve mjere moraju osobito podrazumijevati obvezu voditelja obrade da poduzme odgovarajuće matematičke i statističke postupke, da provede odgovarajuće tehničke i organizacijske mjere kako bi se osiguralo da se rizik od pogreške svede na minimum i da se pogreške isprave, kao i da osigura osobne podatke na način kojim se uzimaju u obzir potencijalni rizici za interese i prava ispitanika i, među ostalim, spriječi diskriminacijske učinke na njega. Osim toga, te mjere obuhvaćaju barem pravo ispitanika na ljudsku intervenciju voditelja obrade, pravo izražavanja vlastitog stajališta te pravo na osporavanje odluke koja se na njega odnosi.
67 Također valja istaknuti da, u skladu s ustaljenom sudskom praksom Suda, svaka obrada osobnih podataka mora, s jedne strane, biti u skladu s načelima koja se odnose na obradu podataka iz članka 5. OUZP‑a i, s druge strane, imajući osobito u vidu načelo zakonitosti obrade, predviđeno stavkom 1. točkom (a) tog članka, ispunjavati jedan od uvjeta za zakonitost obrade navedenih u članku 6. te uredbe (presuda od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 49. i navedena sudska praksa). Voditelj obrade mora biti u mogućnosti dokazati poštovanje tih načela, u skladu s načelom pouzdanosti navedenim u članku 5. stavku 2. navedene uredbe (vidjeti u tom smislu presudu od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 24.).
68 Stoga, u slučaju da se pravom države članice, u skladu s člankom 22. stavkom 2. točkom (b) OUZP‑a dopušta donošenje odluke koja se temelji isključivo na automatiziranoj obradi, prilikom te obrade ne moraju se samo poštovati uvjeti utvrđeni potonjom odredbom i člankom 22. stavkom 4. te uredbe, nego i zahtjevi utvrđeni člancima 5. i 6. navedene uredbe. Stoga države članice ne mogu na temelju članka 22. stavka 2. točke (b) OUZP‑a donijeti propise kojima se dopušta izrada profila protivno zahtjevima utvrđenima u člancima 5. i 6., kako su protumačeni u sudskoj praksi Suda.
69 Konkretno, kad je riječ o uvjetima zakonitosti predviđenima u članku 6. stavku 1. točkama (a), (b) i (f) OUZP‑a, koji se mogu primijeniti u slučaju kao što je onaj o kojem je riječ u glavnom postupku, države članice nisu ovlaštene predvidjeti dodatna pravila za primjenu tih uvjeta, s obzirom na to da je takva nadležnost, u skladu s člankom 6. stavkom 3. te uredbe, ograničena na razloge iz članka 6. stavka 1. točaka (c) i (e) navedene uredbe.
70 Usto, kad je konkretno riječ o članku 6. stavku 1. točki (f) OUZP‑a, države članice ne mogu, na temelju članka 22. stavka 2. točke (b) te uredbe, odstupiti od zahtjeva koji proizlaze iz sudske prakse Suda proizišle iz presude od 7. prosinca 2023., SCHUFA Holding (Otpis dugova) (C‑26/22 i C‑64/22, EU:C:2023:XXX), osobito definitivnim propisivanjem rezultata odvagivanja prava i interesa o kojima je riječ (vidjeti u tom smislu presudu od 19. listopada 2016., Breyer, C‑582/14, EU:C2016:779, t. 62.).
71 U ovom slučaju sud koji je uputio zahtjev navodi da bi članak 31. BDSG‑a mogao biti nacionalna pravna osnova u smislu članka 22. stavka 2. točke (b) OUZP‑a. Međutim, ozbiljno sumnja u usklađenost tog članka 31. s pravom Unije. Pod pretpostavkom da ta odredba nije u skladu s pravom Unije, SCHUFA ne djeluje samo bez pravne osnove, nego i ipso iure povređuje zabranu iz članka 22. stavka 1. OUZP‑a.
72 U tom je pogledu na sudu koji je uputio zahtjev da provjeri može li se članak 31. BDSG‑a kvalificirati kao pravna osnova kojom se na temelju članka 22. stavka 2. točke (b) OUZP‑a dopušta donošenje odluke koja se temelji isključivo na automatiziranoj obradi. Ako bi taj sud zaključio da navedeni članak 31. predstavlja takvu pravnu osnovu, on bi također morao provjeriti jesu li u ovom slučaju ispunjeni uvjeti iz članka 22. stavka 2. točke (b) i članka 22. stavka 4. OUZP‑a te oni iz članaka 5. i 6. te uredbe.
73 S obzirom na sva prethodna razmatranja, na prvo pitanje valja odgovoriti tako da članak 22. stavak 1. OUZP‑a treba tumačiti na način da automatizirano utvrđivanje ocjene vjerojatnosti koje izvršava agencija za provjeru kreditne sposobnosti, koje se temelji na ispitanikovim osobnim podacima i njegovoj sposobnosti da ubuduće ispuni obveze plaćanja predstavlja „automatizirano pojedinačno donošenje odluka” u smislu te odredbe ako je trećoj strani, koja je obaviještena o navedenoj ocjeni vjerojatnosti, ta ocjena vjerojatnosti odlučujuća činjenica za zasnivanje, provedbu ili prestanak ugovornog odnosa s tim ispitanikom.
Drugo pitanje
74 Uzimajući u obzir odgovor na prvo pitanje, nije potrebno odgovoriti na drugo pitanje.
Troškovi
75 Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.
Slijedom navedenog, Sud (prvo vijeće) odlučuje:
Članak 22. stavak 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka)
treba tumačiti na način da:
automatizirano utvrđivanje ocjene vjerojatnosti koje izvršava agencija za provjeru kreditne sposobnosti, koje se temelji na ispitanikovim osobnim podacima i njegovoj sposobnosti da ubuduće ispuni obveze plaćanja predstavlja „automatizirano pojedinačno donošenje odluka” u smislu te odredbe ako je trećoj strani, koja je obaviještena o navedenoj ocjeni vjerojatnosti, ta ocjena vjerojatnosti odlučujuća činjenica za zasnivanje, provedbu ili prestanak ugovornog odnosa s tim ispitanikom.
Potpisi