Voorlopige editie
ARREST VAN HET HOF (Eerste kamer)
7 december 2023 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 22 – Geautomatiseerde individuele besluitvorming – Kredietinformatiebureaus – Geautomatiseerde vaststelling van een waarschijnlijkheidswaarde voor het vermogen van een persoon om in de toekomst aan zijn betalingsverplichtingen te voldoen (‚scoring’) – Gebruik door derden van deze waarschijnlijkheidswaarde”
In zaak C‑634/21,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) bij beslissing van 1 oktober 2021, ingekomen bij het Hof op 15 oktober 2021, in de procedure
OQ
tegen
Land Hessen,
in tegenwoordigheid van:
SCHUFA Holding AG,
wijst
HET HOF (Eerste kamer),
samengesteld als volgt: A. Arabadjiev, kamerpresident, T. von Danwitz, P. G. Xuereb, A. Kumin (rapporteur) en I. Ziemele, rechters,
advocaat-generaal: P. Pikamäe,
griffier: C. Di Bella, administrateur,
gezien de stukken en na de terechtzitting op 26 januari 2023,
gelet op de opmerkingen van:
– OQ, vertegenwoordigd door U. Schmidt, Rechtsanwalt,
– het Land Hessen, vertegenwoordigd door M. Kottmann en G. Ziegenhorn, Rechtsanwälte,
– SCHUFA Holding AG, vertegenwoordigd door G. Thüsing en U. Wuermeling, Rechtsanwalt,
– de Duitse regering, vertegenwoordigd door P.‑L. Krüger als gemachtigde,
– de Deense regering, vertegenwoordigd door V. Pasternak Jørgensen, M. Søndahl Wolff en Y. Thyregod Kollberg als gemachtigden,
– de Portugese regering, vertegenwoordigd door P. Barros da Costa, I. Oliveira, M. J. Ramos en C. Vieira Guerra als gemachtigden,
– de Finse regering, vertegenwoordigd door M. Pere als gemachtigde,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, F. Erlbacher en H. Kranenborg als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 16 maart 2023,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 6, lid 1, en artikel 22 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geding tussen OQ en het Land Hessen (deelstaat Hessen, Duitsland) betreffende de weigering van de Hessische Beauftragte für Datenschutz und Informationsfreiheit (toezichthouder voor gegevensbescherming en vrijheid van informatie, deelstaat Hessen, Duitsland; hierna: „HBDI”) om SCHUFA Holding AG (hierna: „SCHUFA”) te gelasten in te gaan op een verzoek van OQ om inzage en wissing van de haar betreffende persoonsgegevens.
Toepasselijke bepalingen
Unierecht
3 Overweging 71 AVG luidt als volgt:
„De betrokkene dient het recht te hebben niet te worden onderworpen aan een louter op geautomatiseerde verwerking gebaseerd besluit, dat een maatregel kan behelzen [...] over persoonlijke hem betreffende aspecten, waaraan voor hem rechtsgevolgen zijn verbonden of dat hem op vergelijkbare wijze aanmerkelijk treft, zoals de automatische weigering van een online ingediende kredietaanvraag of [de] verwerking van sollicitaties via internet zonder menselijke tussenkomst. Een verwerking van die aard omvat ‚profilering’, wat bestaat in de geautomatiseerde verwerking van persoonsgegevens ter beoordeling van persoonlijke aspecten van een natuurlijke persoon, met name om kenmerken betreffende beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene te analyseren of te voorspellen, wanneer daaraan voor hem rechtsgevolgen zijn verbonden of dat hem op vergelijkbare wijze aanmerkelijk treft. Besluitvorming op basis van een dergelijke verwerking, met inbegrip van profilering, dient echter wel mogelijk te zijn wanneer deze uitdrukkelijk is toegestaan bij Unierecht of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is, onder meer ten behoeve van de controle en voorkoming van belastingfraude en -ontduiking overeenkomstig de regelgeving, normen en aanbevelingen van de instellingen van de [Europese] Unie of de nationale met toezicht belaste instanties, en om te zorgen voor de veiligheid en betrouwbaarheid van een dienst die door de verwerkingsverantwoordelijke wordt verleend, of noodzakelijk voor de sluiting of uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke, of wanneer de betrokkene zijn uitdrukkelijke toestemming heeft gegeven. In ieder geval moeten voor dergelijke verwerking passende waarborgen worden geboden, waaronder specifieke informatie aan de betrokkene en het recht op menselijke tussenkomst, om zijn standpunt kenbaar te maken, om uitleg over de na een dergelijke beoordeling genomen besluit te krijgen en om het besluit aan te vechten. Een dergelijke maatregel mag geen betrekking hebben op een kind.
Teneinde een voor de betrokkene behoorlijke en transparante verwerking te garanderen, met inachtneming van de concrete omstandigheden en context waarin de persoonsgegevens worden verwerkt, dient de verwerkingsverantwoordelijke voor de profilering passende wiskundige en statistische procedures te hanteren en technische en organisatorische maatregelen te treffen waarmee factoren die aanleiding geven tot onjuistheden van persoonsgegevens worden gecorrigeerd en het risico op fouten wordt geminimaliseerd, en de persoonsgegevens zodanig te bewaren dat rekening wordt gehouden met de potentiële risico’s voor de belangen en rechten van de betrokkene en dient hij onder meer te voorkomen dat zulks voor natuurlijke personen discriminerende gevolgen zou hebben op grond van ras of etnische afkomst, politieke overtuiging, godsdienst of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische of gezondheidsstatus, of seksuele gerichtheid, of dat de verwerking zou leiden tot maatregelen met een vergelijkbaar effect. [...]”
4 Artikel 4 („Definities”) van die verordening bepaalt:
„Voor de toepassing van deze verordening wordt verstaan onder:
[...]
4) ‚profilering’: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen;
[...]”
5 Artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) van deze verordening bepaalt:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; [...] (‚doelbinding’);
c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);
d) juist zijn en zo nodig worden geactualiseerd; [...] (‚juistheid’);
e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; [...] (‚opslagbeperking’);
f) [...] op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is [...] (‚integriteit en vertrouwelijkheid’).
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
6 Artikel 6 („Rechtmatigheid van de verwerking”) AVG, bepaalt in de leden 1 en 3:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.
[...]
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld of is met betrekking tot de in lid 1, punt e), bedoelde verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. [...]”
7 In artikel 9 („Verwerking van bijzondere categorieën van persoonsgegevens”) van deze verordening is het volgende bepaald:
„1. Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.
2. Lid 1 is niet van toepassing wanneer aan een van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft uitdrukkelijke toestemming gegeven voor de verwerking van die persoonsgegevens voor een of meer welbepaalde doeleinden, behalve indien in Unierecht of lidstatelijk recht is bepaald dat het in lid 1 genoemde verbod niet door de betrokkene kan worden opgeheven;
[...]
g) de verwerking is noodzakelijk om redenen van zwaarwegend algemeen belang, op grond van Unierecht of lidstatelijk recht, waarbij de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene;
[...]”
8 De verordening bepaalt in lid 2 van artikel 13 („Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”) het volgende:
„Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene bij de verkrijging van de persoonsgegevens de volgende aanvullende informatie om een behoorlijke en transparante verwerking te waarborgen:
[...]
f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.”
9 De AVG bepaalt in lid 2 van artikel 14 („Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen”) het volgende:
„Naast de in lid 1 bedoelde informatie verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie om ten overstaan van de betrokkene een behoorlijke en transparante verwerking te waarborgen:
[...]
g) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.”
10 Artikel 15 („Recht van inzage van de betrokkene”) van deze verordening, bepaalt in lid 1:
„De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
[...]
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.”
11 Artikel 22 („Geautomatiseerde individuele besluitvorming, waaronder profilering”) van diezelfde verordening bepaalt:
„1. De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.
2. Lid 1 geldt niet indien het besluit:
a) noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke;
b) is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene; of
c) berust op de uitdrukkelijke toestemming van de betrokkene.
3. In de in lid 2, punten a) en c), bedoelde gevallen treft de verwerkingsverantwoordelijke passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene, waaronder ten minste het recht op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.
4. De in lid 2 bedoelde besluiten worden niet gebaseerd op de in artikel 9, lid 1, bedoelde bijzondere categorieën van persoonsgegevens, tenzij artikel 9, lid 2, punt a) of g), van toepassing is en er passende maatregelen ter bescherming van de gerechtvaardigde belangen van de betrokkene zijn getroffen.”
12 De AVG bepaalt in lid 1 van artikel 78 („Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”) het volgende:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.”
Duits recht
13 § 31 („Bescherming van het economisch verkeer in het kader van scoring en informatieverstrekking over kredietwaardigheid”) van het Bundesdatenschutzgesetz (wet betreffende de gegevensbescherming) van 30 juni 2017, (hierna: „BDSG”), bepaalt het volgende:
„(1) Het gebruik van een waarschijnlijkheidswaarde over een bepaalde toekomstige gedraging van een natuurlijke persoon met het oog op een besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met die persoon (‚scoring’) is alleen toegestaan indien:
1. de bepalingen van de wetgeving inzake gegevensbescherming in acht zijn genomen,
2. de voor de berekening van de waarschijnlijkheidswaarde gebruikte gegevens aantoonbaar relevant zijn voor de berekening van de waarschijnlijkheid van de specifieke gedraging, met gebruikmaking van een wetenschappelijk erkende wiskundig-statistische methode,
3. voor de berekening van de waarschijnlijkheidswaarde niet uitsluitend adresgegevens zijn gebruikt, en
4. in het geval van gebruik van adresgegevens, de betrokkene vóór de berekening van de waarschijnlijkheidswaarde in kennis is gesteld van het voorgenomen gebruik van deze gegevens; de kennisgeving moet worden gedocumenteerd.
(2) Het gebruik van een door kredietinformatiebureaus vastgestelde waarschijnlijkheidswaarde voor de solvabiliteit en de betalingsbereidheid van een natuurlijke persoon is, in het geval dat hierbij rekening wordt gehouden met informatie over schuldvorderingen, alleen toegestaan voor zover aan de voorwaarden van lid 1 is voldaan en enkel schuldvorderingen in aanmerking worden genomen die betrekking hebben op een verschuldigde prestatie die nog niet is verricht, ondanks het feit dat deze opeisbaar is geworden, en
l. die zijn vastgesteld bij een in kracht van gewijsde gegaan of bij voorraad uitvoerbaar verklaard vonnis of waarvoor een schuldakte bestaat overeenkomstig § 794 van de Zivilprozessordnung [(wetboek van burgerlijke rechtsvordering)],
2. die zijn vastgesteld overeenkomstig § 178 van de Insolvenzordnung [(insolventiewet)] en tijdens de verificatievergadering niet door de schuldenaar zijn betwist,
3. die de schuldenaar uitdrukkelijk heeft erkend,
4. waarbij
a) de schuldenaar na het opeisbaar worden van de schuldvordering ten minste tweemaal schriftelijk is gesommeerd,
b) de eerste sommatie ten minste vier weken geleden is geschied,
c) de schuldenaar vooraf, maar op zijn vroegst bij de eerste sommatie, ervan in kennis is gesteld dat een kredietinformatiebureau met de schuldvordering rekening zou kunnen houden, en
d) de schuldenaar de schuldvordering niet heeft betwist, of
5. waarvan de onderliggende contractuele relatie zonder opzegtermijn kan worden beëindigd wegens achterstallige betaling en waarbij de schuldenaar vooraf ervan op de hoogte is gebracht dat een kredietinformatiebureau met de schuldvordering rekening zou kunnen houden.
De toelaatbaarheid van de verwerking, met inbegrip van de vaststelling van waarschijnlijkheidswaarden, van andere gegevens die relevant zijn voor de kredietwaardigheid op grond van de algemene wetgeving inzake gegevensbescherming, blijft onverlet.”
Hoofdgeding en prejudiciële vragen
14 SCHUFA is een privaatrechtelijke vennootschap naar Duits recht die aan haar contractuele partners informatie verstrekt over de kredietwaardigheid van derden, met name consumenten. Daartoe doet zij op basis van bepaalde kenmerken van een persoon en aan de hand van een wiskundig-statistische methode een voorspelling over de waarschijnlijkheid van diens toekomstig gedrag („score”), zoals de terugbetaling van een lening. Het vaststellen van scores is gebaseerd op de veronderstelling dat een soortgelijk gedrag kan worden voorspeld door een persoon in te delen bij een groep van andere personen met vergelijkbare kenmerken die zich op een bepaalde manier hebben gedragen.
15 Uit het verzoek om een prejudiciële beslissing blijkt dat OQ een lening is geweigerd door een derde nadat deze negatieve informatie had ontvangen die door SCHUFA was opgesteld en aan die derde doorgegeven. OQ heeft SCHUFA verzocht om haar informatie te verstrekken over de opgeslagen persoonsgegevens en om de beweerdelijk onjuiste persoonsgegevens te wissen.
16 In antwoord op dit verzoek heeft SCHUFA OQ op de hoogte gebracht van haar scoreniveau en in grote lijnen uiteengezet hoe de scores worden berekend. SCHUFA heeft echter op grond van het zakengeheim geweigerd om mee te delen welke verschillende soorten informatie in de berekening worden opgenomen en hoe deze worden gewogen. Ten slotte heeft SCHUFA aangegeven dat zij zich beperkte tot het verstrekken van informatie aan haar contractuele partners en dat het die partners waren die de eigenlijke contractuele besluiten namen.
17 Bij een op 18 oktober 2018 ingediende klacht heeft OQ de HBDI, de bevoegde toezichthoudende autoriteit, verzocht SCHUFA te gelasten haar verzoek om inzage en wissing van informatie in te willigen.
18 Bij besluit van 3 juni 2020 heeft de HBDI dit verzoek om een bevel afgewezen met de motivering dat niet was bewezen dat SCHUFA niet voldeed aan de vereisten die krachtens § 31 BDSG in het kader van haar activiteiten op haar rusten.
19 OQ heeft krachtens artikel 78, lid 1, AVG tegen dit besluit beroep ingesteld bij het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland), de verwijzende rechter.
20 Volgens die rechter is het voor de beslechting van het bij hem aanhangige geding van belang om te bepalen of de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, onder geautomatiseerde individuele besluitvorming valt in de zin van artikel 22, lid 1, AVG. Zo dit het geval is, is deze activiteit overeenkomstig artikel 22, lid 2, onder b), van die verordening namelijk slechts rechtmatig indien dit besluit is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is.
21 In dit verband heeft de verwijzende rechter twijfels over het standpunt dat artikel 22, lid 1, AVG niet van toepassing is op activiteiten van ondernemingen zoals SCHUFA. Hij steunt zijn twijfels, vanuit feitelijk oogpunt, op het belang van een waarschijnlijkheidswaarde als deze in het hoofdgeding voor de besluitvormingspraktijk van derden aan wie die waarschijnlijkheidswaarde wordt doorgegeven, en, vanuit juridisch oogpunt, voornamelijk op de door artikel 22, lid 1, AVG nagestreefde doeleinden en de door de AVG gewaarborgde rechtsbescherming.
22 Meer in het bijzonder benadrukt de verwijzende rechter dat de waarschijnlijkheidswaarde normaal gesproken bepaalt of en hoe de derde een overeenkomst met de betrokkene sluit. Artikel 22 AVG heeft juist tot doel personen te beschermen tegen de risico’s van puur automatisch genomen besluiten.
23 Zou artikel 22, lid 1, AVG daarentegen aldus worden uitgelegd dat in een geval als in het hoofdgeding alleen het besluit dat door de derde jegens de betrokkene is genomen als „geautomatiseerde individuele besluitvorming” kan worden aangemerkt, dan zou dit leiden tot een lacune in de rechtsbescherming. In de eerste plaats zou een onderneming zoals SCHUFA namelijk niet verplicht zijn om inzage te verlenen van de aanvullende informatie waarop de betrokkene krachtens artikel 15, lid 1, onder h), van die verordening recht heeft, aangezien het niet deze onderneming is die een „geautomatiseerd besluit” neemt in de zin van deze bepaling en dus in de zin van artikel 22, lid 1, van die verordening. In de tweede plaats zou de derde aan wie de waarschijnlijkheidswaarde wordt doorgegeven deze aanvullende informatie niet kunnen verstrekken, aangezien hij daar niet over beschikt.
24 Om een dergelijke leemte in de rechtsbescherming te voorkomen, is het volgens de verwijzende rechter dus noodzakelijk dat de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, binnen de werkingssfeer van artikel 22, lid 1, AVG valt.
25 Zou een dergelijke uitlegging worden aanvaard, dan zou de rechtmatigheid van deze activiteit afhankelijk zijn van het bestaan van een rechtsgrond in de betrokken lidstaat, overeenkomstig artikel 22, lid 2, onder b), van die verordening. Hoewel in casu § 31 BDSG een dergelijke rechtsgrond kan vormen in Duitsland, bestaan er ernstige twijfels over de verenigbaarheid van die bepaling met artikel 22 AVG daar de Duitse wetgever slechts het „gebruik” van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, regelt, en niet de vaststelling van die waarde als zodanig.
26 Zou daarentegen de vaststelling van een dergelijke waarschijnlijkheidswaarde geen geautomatiseerd individueel besluit in de zin van artikel 22 AVG vormen, dan zou de openingsclausule van lid 2, onder b), van dit artikel evenmin van toepassing zijn op nationale regelingen betreffende deze activiteit. Gelet op het in beginsel uitputtende karakter van de AVG en bij gebreke van een andere regelgevende bevoegdheid voor dergelijke nationale regelingen, lijkt het erop dat, door aan de vaststelling van waarschijnlijkheidswaarden verdergaande inhoudelijke toelaatbaarheidsvereisten te verbinden, de Duitse wetgever deze materie verder regelt dan op grond van de artikelen 6 en 22 AVG vereist is, zonder daartoe over regelgevende bevoegdheid te beschikken. Zou dit standpunt juist zijn, dan zou dit de toetsingsmogelijkheden van de nationale toezichthoudende autoriteit veranderen, die dan zou moeten beoordelen of de activiteit van kredietinformatiebureaus verenigbaar is met artikel 6 van die verordening.
27 Daarop heeft het Verwaltungsgericht Wiesbaden de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:
„1) Moet artikel 22, lid 1, [AVG] aldus worden uitgelegd dat de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde voor het vermogen van een persoon om in de toekomst een lening af te lossen, reeds een besluit vormt dat uitsluitend op geautomatiseerde verwerking, waaronder profilering, is gebaseerd en waaraan voor de betrokkene rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft, wanneer die waarde, die met behulp van persoonsgegevens van de betrokkene is vastgesteld, door de verwerkingsverantwoordelijke aan een verwerkingsverantwoordelijke derde wordt doorgegeven en die derde zijn besluit over de totstandbrenging, de uitvoering of de beëindiging van een contractuele relatie met de betrokkene hoofdzakelijk op die waarde baseert?
2) Indien de eerste prejudiciële vraag ontkennend moet worden beantwoord:
Moeten artikel 6, lid 1, en artikel 22 [AVG] aldus worden uitgelegd dat zij zich verzetten tegen een nationale regeling op grond waarvan een waarschijnlijkheidswaarde – in casu betreffende de solvabiliteit en betalingsbereidheid van een natuurlijke persoon, met inaanmerkingneming van informatie over vorderingen – voor een bepaalde toekomstige gedraging van een natuurlijke persoon slechts met het oog op het besluit over de totstandbrenging, uitvoering of beëindiging van een contractuele relatie met die persoon (‚scoring’) mag worden gebruikt, indien is voldaan aan bepaalde nadere voorwaarden die in de motivering van de verwijzingsbeslissing nader zijn uiteengezet?”
Ontvankelijkheid van het verzoek om een prejudiciële beslissing
28 SCHUFA betwist de ontvankelijkheid van het verzoek om een prejudiciële beslissing en voert daartoe in de eerste plaats aan dat de verwijzende rechter een besluit van een toezichthoudende autoriteit – zoals de HBDI – op een klacht niet inhoudelijk mag toetsen, aangezien de in artikel 78, lid 1, AVG bedoelde voorziening in rechte tegen een dergelijk besluit er slechts toe strekt te controleren of die autoriteit de krachtens deze verordening op haar rustende verplichtingen – met name die om klachten te behandelen – is nagekomen, met dien verstande dat die toezichthoudende autoriteit over een discretionaire bevoegdheid beschikt om te beslissen of en hoe zij moet handelen.
29 In de tweede plaats stelt SCHUFA dat de verwijzende rechter niet duidelijk aangeeft waarom de gestelde vragen doorslaggevend zijn om het hoofdgeding te beslechten. Het hoofdgeding betreft een verzoek om informatie over een specifieke score en de wissing ervan. In casu is SCHUFA echter haar informatieplicht voldoende nagekomen en heeft zij de score waarop de procedure betrekking had, reeds gewist.
30 In dit verband zij eraan herinnerd dat het volgens vaste rechtspraak van het Hof uitsluitend een zaak is van de nationale rechter aan wie het geschil is voorgelegd en die de verantwoordelijkheid draagt voor de te geven rechterlijke beslissing om, gelet op de bijzonderheden van het geval, zowel de noodzaak van een prejudiciële beslissing voor het wijzen van zijn vonnis als de relevantie van de door hem aan het Hof gestelde vragen te beoordelen. Wanneer de gestelde vragen betrekking hebben op de uitlegging van een Unierechtelijke regel, is het Hof derhalve in beginsel verplicht daarop te antwoorden (arrest van 12 januari 2023, DOBELES HES, C‑702/20 en C‑17/21, EU:C:2023:1, punt 46 en aldaar aangehaalde rechtspraak).
31 Bijgevolg geldt voor vragen over het Unierecht een vermoeden van relevantie. Het Hof kan slechts weigeren uitspraak te doen op een prejudiciële vraag van een nationale rechterlijke instantie wanneer duidelijk blijkt dat de gevraagde uitlegging van een Unierechtelijke regel geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, of wanneer het vraagstuk van hypothetische aard is of het Hof niet beschikt over de feitelijke en juridische gegevens die noodzakelijk zijn om een nuttig antwoord te geven op de gestelde vragen (arrest van 12 januari 2023, DOBELES HES, C‑702/20 en C‑17/21, EU:C:2023:1, punt 47 en aldaar aangehaalde rechtspraak).
32 Wat in de eerste plaats de niet-ontvankelijkheidsgrond betreft waarmee wordt aangevoerd dat de door een toezichthoudende autoriteit vastgestelde besluiten op een klacht slechts beperkt mogen worden getoetst, zij eraan herinnerd dat volgens artikel 78, lid 1, AVG iedere natuurlijke persoon of rechtspersoon, onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, het recht heeft om een doeltreffende voorziening in rechte in te stellen tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit.
33 In casu vormt het door de HBDI in zijn hoedanigheid van toezichthoudende autoriteit vastgestelde besluit, een juridisch bindend besluit in de zin van artikel 78, lid 1. Na de gegrondheid van de ingediende klacht te hebben onderzocht, heeft de HBDI daarover uitspraak gedaan en vastgesteld dat de door verzoekster in het hoofdgeding betwiste verwerking van persoonsgegevens rechtmatig was.
34 Wat de omvang betreft van de rechterlijke toetsing van een dergelijk besluit in het kader van een krachtens artikel 78, lid 1, ingesteld beroep, hoeft slechts te worden opgemerkt dat een besluit van een toezichthoudende autoriteit op een klacht onderworpen is aan een volledige rechterlijke toetsing [arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden), C‑26/22 en C‑64/22, EU:C:2023:XXX, punt 1 van het dictum].
35 De eerste door SCHUFA aangevoerde niet-ontvankelijkheidsgrond moet dus worden afgewezen.
36 In de tweede plaats blijkt uit het verzoek om een prejudiciële beslissing duidelijk dat de verwijzende rechter zich afvraagt welk criterium moet worden toegepast bij de toetsing aan de AVG van de in het hoofdgeding aan de orde zijnde verwerking van persoonsgegevens, waarbij dit criterium afhangt van de vraag of artikel 22, lid 1, van die verordening al dan niet van toepassing is.
37 Bijgevolg blijkt niet duidelijk dat de door de verwijzende rechter gevraagde uitlegging van de AVG geen verband houdt met een reëel geschil of met het voorwerp van het hoofdgeding, noch dat het vraagstuk van hypothetische aard is. Bovendien beschikt het Hof over de feitelijke en juridische gegevens die het nodig heeft om een nuttig antwoord te geven op de gestelde vragen.
38 Bijgevolg moet ook de tweede door SCHUFA aangevoerde niet-ontvankelijkheidsgrond worden afgewezen.
39 Derhalve is het verzoek om een prejudiciële beslissing ontvankelijk.
Beantwoording van de prejudiciële vragen
Eerste vraag
40 Met zijn eerste vraag wenst de verwijzende rechter in wezen te vernemen of artikel 22, lid 1, AVG aldus moet worden uitgelegd dat er sprake is van „geautomatiseerde individuele besluitvorming” in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.
41 Om deze vraag te beantwoorden dient vooraf in herinnering te worden gebracht dat bij de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met de bewoordingen ervan, maar ook met de context ervan en met de doelstellingen en het oogmerk van de regeling waarvan zij deel uitmaakt (arrest van 22 juni 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 38 en aldaar aangehaalde rechtspraak).
42 Volgens de bewoordingen van artikel 22, lid 1, AVG, heeft de betrokkene het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.
43 Deze bepaling is dus slechts van toepassing indien is voldaan aan drie cumulatieve voorwaarden, te weten, ten eerste, dat er een „besluit” bestaat, ten tweede, dat dit besluit „uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd” is, en, ten derde, dat aan dat besluit „voor [de betrokkene] rechtsgevolgen” zijn verbonden of dat het hem „anderszins in aanmerkelijke mate treft”.
44 Wat ten eerste de voorwaarde betreft inzake het bestaan van een besluit, zij opgemerkt dat het begrip „besluit” in de zin van artikel 22, lid 1, AVG in deze verordening niet wordt gedefinieerd. Uit de bewoordingen van die bepaling blijkt echter reeds dat dit begrip niet alleen verwijst naar handelingen waaraan rechtsgevolgen zijn verbonden voor de betrokken persoon, maar ook naar handelingen die hem anderszins in aanmerkelijke mate treffen.
45 De ruime strekking van het begrip „besluit” wordt bevestigd door overweging 71 AVG, volgens welke een besluit over persoonlijke aspecten betreffende een persoon, die het recht dient te hebben daar niet aan te worden onderworpen, „een maatregel kan behelzen [...] waaraan voor hem rechtsgevolgen zijn verbonden” of „hem op vergelijkbare wijze aanmerkelijk [kan treffen]”. Volgens die overweging worden onder de term „besluit” als voorbeelden vermeld, de automatische weigering van een online ingediende kredietaanvraag of de verwerking van sollicitaties via internet zonder menselijke tussenkomst.
46 Daar het begrip „besluit” in de zin van artikel 22, lid 1, AVG aldus – zoals de advocaat-generaal in punt 38 van zijn conclusie heeft opgemerkt – verschillende handelingen kan omvatten die de betrokkene op verschillende manieren kunnen treffen, is dit begrip voldoende ruim om ook te zien op het resultaat van de solvabiliteitsberekening van een persoon in de vorm van een waarschijnlijkheidswaarde die gebaseerd is op het vermogen van die persoon om in de toekomst betalingsverplichtingen na te komen.
47 Wat ten tweede de voorwaarde betreft dat het besluit in de zin van artikel 22, lid 1, „uitsluitend op geautomatiseerde verwerking, met inbegrip van profilering, gebaseerd” is, staat het vast, zoals de advocaat-generaal in punt 33 van zijn conclusie heeft opgemerkt, dat een activiteit als die van SCHUFA beantwoordt aan de definitie van het begrip „profilering” in artikel 4, punt 4, AVG en dat in het onderhavige geval dus aan deze voorwaarde is voldaan. De bewoordingen van de eerste prejudiciële vraag verwijzen overigens uitdrukkelijk naar de geautomatiseerde vaststelling van een waarschijnlijkheidswaarde die is gebaseerd op persoonsgegevens van de betrokkene en die betrekking heeft op het vermogen van een persoon om in de toekomst een lening af te lossen.
48 Wat ten derde de voorwaarde betreft dat aan het besluit „rechtsgevolgen” moeten verbonden zijn voor de betrokkene of dat het hem „anderszins in aanmerkelijke mate” moet treffen, blijkt reeds uit de formulering van de eerste prejudiciële vraag dat de handelwijze van de derde aan wie de waarschijnlijkheidswaarde wordt doorgegeven, „hoofdzakelijk” door die waarde wordt bepaald. Volgens de feitelijke vaststellingen van de verwijzende rechter leidt een ontoereikende waarschijnlijkheidswaarde, in geval van een kredietaanvraag van een consument bij een bank, er in bijna alle gevallen toe dat die laatste weigert het gevraagde krediet te verlenen.
49 In die omstandigheden moet worden aangenomen dat ook is voldaan aan de derde toepassingsvoorwaarde van artikel 22, lid 1, AVG, aangezien een waarschijnlijkheidswaarde als die in het hoofdgeding op zijn minst in aanmerkelijke mate gevolgen heeft voor de betrokkene.
50 Hieruit volgt dat in omstandigheden als deze van het hoofdgeding – waarin de door een kredietinformatiebureau vastgestelde waarschijnlijkheidswaarde die aan een bank is doorgegeven een beslissende rol speelt bij het verlenen van een krediet – de vaststelling van die waarde derhalve als zodanig moet worden aangemerkt als een besluit „waaraan voor [de betrokkene] rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft”, in de zin van artikel 22, lid 1, AVG.
51 Deze uitlegging wordt bevestigd door de context van artikel 22, lid 1, AVG en door de doelen die met deze verordening worden nagestreefd.
52 In dit verband moet worden opgemerkt dat, zoals de advocaat-generaal in punt 31 van zijn conclusie heeft vastgesteld, artikel 22, lid 1, AVG de betrokkene het „recht” verleent niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit. Die bepaling stelt een fundamenteel verbod in, waarvan de schending niet individueel door een dergelijke betrokkene hoeft te worden aangevoerd.
53 Zoals volgt uit artikel 22, lid 2, AVG, gelezen in samenhang met overweging 71 ervan, is de vaststelling van een besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd, alleen toegestaan in de gevallen bedoeld in die bepaling, namelijk indien dat besluit noodzakelijk is voor de totstandkoming of de uitvoering van een overeenkomst tussen de betrokkene en een verwerkingsverantwoordelijke [punt a)], indien het is toegestaan bij een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is [punt b)], of indien het besluit berust op de uitdrukkelijke toestemming van de betrokkene [punt c)].
54 Bovendien bepaalt artikel 22, lid 2, onder b) en lid 3, AVG dat er moet worden voorzien in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene. In de in artikel 22, lid 2, onder a) en c), van deze verordening bedoelde gevallen voorziet de verwerkingsverantwoordelijke ten minste in het recht van de betrokkene op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten.
55 Daarnaast mag overeenkomstig artikel 22, lid 4, AVG geautomatiseerde individuele besluitvorming in de zin van dat artikel 22 slechts in bepaalde specifieke gevallen worden gebaseerd op de in artikel 9, lid 1, van die verordening bedoelde bijzondere categorieën persoonsgegevens.
56 In het geval van geautomatiseerde besluitvorming zoals bedoeld in artikel 22, lid 1, AVG, rusten op de verwerkingsverantwoordelijke bovendien op grond van artikel 13, lid 2, onder f), en artikel 14, lid 2, onder g) van deze verordening aanvullende verplichtingen inzake informatieverstrekking. Voorts heeft de betrokkene krachtens artikel 15, lid 1, onder h), van die verordening het recht om van de verwerkingsverantwoordelijke met name „nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene” te verkrijgen.
57 Deze hogere eisen voor de rechtmatigheid van geautomatiseerde besluitvorming alsmede de aanvullende verplichtingen van de verwerkingsverantwoordelijke inzake informatieverstrekking en het daarmee verband houdende aanvullende recht van inzage van de betrokkene worden verklaard door het doel van artikel 22 AVG, dat erin bestaat personen te beschermen tegen de bijzondere risico’s voor hun rechten en vrijheden die met de geautomatiseerde verwerking van persoonsgegevens, met inbegrip van profilering, gepaard gaan.
58 Die verwerking vereist immers, zoals volgt uit overweging 71 AVG, de beoordeling van persoonlijke aspecten van de natuurlijke persoon op wie deze verwerking betrekking heeft, met name om kenmerken betreffende beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag, locatie of verplaatsingen van de betrokkene te analyseren of te voorspellen.
59 Volgens die overweging zijn die bijzondere risico’s potentiële bedreigingen voor de gerechtvaardigde belangen en de rechten van de betrokkene, met name met betrekking tot de mogelijk discriminerende gevolgen voor natuurlijke personen op grond van ras of etnische afstamming, politieke overtuiging, godsdienst of overtuiging, lidmaatschap van een vakvereniging, genetische status of gezondheidstoestand, of seksuele geaardheid. Daarom moeten, nog steeds volgens diezelfde overweging, passende waarborgen worden geboden en moet aan de betrokkene een behoorlijke en transparante verwerking worden gegarandeerd, in het bijzonder door passende wiskundig-statistische procedures te hanteren voor de profilering en door technische en organisatorische maatregelen te treffen waarmee het risico op fouten wordt geminimaliseerd.
60 De in de punten 42 tot en met 50 van het onderhavige arrest uiteengezette uitlegging, en in het bijzonder de ruime strekking van het begrip „besluit” in de zin van artikel 22, lid 1, AVG, versterkt de in deze bepaling bedoelde effectieve bescherming.
61 Daarentegen zou in omstandigheden als die van het hoofdgeding, waarin drie actoren betrokken zijn, het gevaar bestaan dat artikel 22 AVG wordt omzeild en dat er bijgevolg een leemte ontstaat in de rechtsbescherming indien zou worden gekozen voor een restrictieve uitlegging van deze bepaling, volgens welke de vaststelling van de waarschijnlijkheidswaarde slechts als een voorbereidende handeling moet worden beschouwd en alleen de door de derde partij vastgestelde handeling, in voorkomend geval, als een „besluit” in de zin van artikel 22, lid 1, van deze verordening kan worden aangemerkt.
62 In dat geval zou de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is namelijk ontsnappen aan de specifieke voorschriften van artikel 22, leden 2 tot en met 4, AVG, ook al berust deze procedure op een geautomatiseerde verwerking en heeft zij gevolgen die de betrokkene in aanmerkelijke mate treffen, aangezien de handelwijze van de derde aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, hoofdzakelijk door deze waarde wordt bepaald.
63 Bovendien zou, zoals de advocaat-generaal in punt 48 van zijn conclusie heeft opgemerkt, enerzijds de betrokkene zijn recht van inzage van de in artikel 15, lid 1, onder h), AVG bedoelde specifieke informatie niet kunnen doen gelden bij het kredietinformatiebureau dat de hem betreffende waarschijnlijkheidswaarde vaststelt, wanneer dat bureau geen geautomatiseerde besluitvorming heeft verricht. Anderzijds, gesteld al dat de door de derde vastgestelde handeling onder artikel 22, lid 1, van die verordening zou vallen omdat deze aan de toepassingsvoorwaarden van deze bepaling voldoet, dan nog kan deze derde die specifieke informatie niet verstrekken omdat hij er meestal niet over beschikt.
64 Dat de vaststelling van een waarschijnlijkheidswaarde als die welke in het hoofdgeding aan de orde is, onder artikel 22, lid 1, AVG valt, heeft – zoals in de punten 53 tot en met 55 van het onderhavige arrest is uiteengezet – tot gevolg dat deze vaststelling verboden is, tenzij een van de in artikel 22, lid 2, van deze verordening bedoelde uitzonderingen van toepassing is en aan de specifieke voorschriften van artikel 22, leden 3 en 4, van die verordening is voldaan.
65 Wat meer in het bijzonder artikel 22, lid 2, onder b), AVG betreft, waarnaar de verwijzende rechter verwijst, blijkt reeds uit de bewoordingen van deze bepaling dat het nationale recht dat de vaststelling van een geautomatiseerd individueel besluit toestaat, moet voorzien in passende maatregelen ter bescherming van de rechten en de vrijheden en van de gerechtvaardigde belangen van de betrokkene.
66 In het licht van overweging 71 AVG moeten dergelijke maatregelen met name de verplichting voor de verwerkingsverantwoordelijke omvatten om passende wiskundige en statistische procedures te hanteren en technische en organisatorische maatregelen te treffen waarmee het risico op fouten wordt geminimaliseerd en onjuistheden worden gecorrigeerd, en de persoonsgegevens zodanig te bewaren dat rekening wordt gehouden met de potentiële risico’s voor de belangen en rechten van de betrokkene, en onder meer de discriminerende gevolgen voor deze laatste te voorkomen. Deze maatregelen omvatten bovendien ten minste het recht van de betrokkene op menselijke tussenkomst van de verwerkingsverantwoordelijke, het recht om zijn standpunt kenbaar te maken en het recht om het jegens hem genomen besluit aan te vechten.
67 Voorts moet nog worden opgemerkt dat volgens vaste rechtspraak van het Hof, elke verwerking van persoonsgegevens in overeenstemming moet zijn met de in artikel 5 AVG verankerde beginselen inzake gegevensverwerking en, in het bijzonder gelet op het in lid 1, onder a), van dat artikel neergelegde beginsel dat de verwerking rechtmatig is, moet beantwoorden aan een van de in artikel 6 van die verordening genoemde voorwaarden inzake de rechtmatigheid van de verwerking (arrest van 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punt 49 en aldaar aangehaalde rechtspraak). De verwerkingsverantwoordelijke moet de naleving van die beginselen kunnen aantonen overeenkomstig het in artikel 5, lid 2, van de verordening bedoelde verantwoordingsbeginsel (zie in die zin arrest van 20 oktober 2022, Digi, C‑77/21, EU:C:2022:805, punt 24).
68 Indien een lidstaatrechtelijke bepaling de vaststelling van een uitsluitend op geautomatiseerde verwerking gebaseerd besluit overeenkomstig artikel 22, lid 2, onder b), AVG toestaat, moet deze verwerking derhalve niet alleen voldoen aan de in laatstgenoemde bepaling en de in artikel 22, lid 4, AVG gestelde voorwaarden, maar ook aan de in de artikelen 5 en 6 AVG gestelde eisen. Bijgevolg kunnen de lidstaten geen regeling op grond van artikel 22, lid 2, onder b), AVG vaststellen die profilering toestaat, zonder dat is voldaan aan de vereisten van die artikelen 5 en 6, zoals uitgelegd in de rechtspraak van het Hof.
69 Wat in het bijzonder de in artikel 6, lid 1, onder a), b) en f), AVG gestelde voorwaarden voor de rechtmatigheid van de verwerking betreft, die van toepassing kunnen zijn in een geval als dat in het hoofdgeding, zijn de lidstaten niet bevoegd om aanvullende voorschriften vast te stellen voor de toepassing van die voorwaarden, aangezien een dergelijke bevoegdheid volgens artikel 6, lid 3, van die verordening beperkt is tot de in artikel 6, lid 1, onder c) en e), genoemde gronden.
70 Wat meer bepaald artikel 6, lid 1, onder f), AVG betreft, mogen de lidstaten bovendien niet op grond van artikel 22, lid 2, onder b), van die verordening afwijken van de vereisten die voortvloeien uit de rechtspraak van het Hof in het arrest van 7 december 2023, SCHUFA Holding (Kwijtschelding van restschulden) (C‑26/22 en C‑64/22, EU:C:2023:XXX), met name door de uitkomst van de afweging van de betrokken rechten en belangen definitief vast te stellen (zie in die zin arrest van 19 oktober 2016, Breyer, C‑582/14, EU:C:2016:779, punt 62).
71 In casu wijst de verwijzende rechter erop dat alleen § 31 BDSG een nationale rechtsgrond in de zin van artikel 22, lid 2, onder b), AVG kan vormen. Die rechter koestert echter ernstige twijfels over de verenigbaarheid van dit § 31 BDSG met het Unierecht. Mocht deze bepaling onverenigbaar met het Unierecht worden geacht, dan handelt SCHUFA niet alleen zonder rechtsgrond, maar schendt zij ipso iure het verbod van artikel 22, lid 1, AVG.
72 In dit opzicht staat het aan de verwijzende rechter om te verifiëren of § 31 BDSG kan worden aangemerkt als een rechtsgrond op grond waarvan – krachtens artikel 22, lid 2, onder b), AVG – een uitsluitend op geautomatiseerde verwerking gebaseerd besluit mag worden vastgesteld. Mocht de verwijzende rechter tot de conclusie komen dat § 31 BDSG een dergelijke rechtsgrond vormt, moet hij nog nagaan of in casu is voldaan aan de voorwaarden van artikel 22, lid 2, onder b), en lid 4, AVG en die van de artikelen 5 en 6 AVG.
73 Gelet op een en ander moet op de eerste vraag worden geantwoord dat artikel 22, lid 1, AVG aldus moet worden uitgelegd dat er sprake is van „geautomatiseerde individuele besluitvorming” in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.
Tweede vraag
74 Gelet op het antwoord op de eerste vraag, hoeft de tweede vraag niet te worden beantwoord.
Kosten
75 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Eerste kamer) verklaart voor recht:
Artikel 22, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
er sprake is van „geautomatiseerde individuele besluitvorming” in de zin van deze bepaling wanneer een waarschijnlijkheidswaarde die op persoonsgegevens van een persoon is gebaseerd en betrekking heeft op diens vermogen om in de toekomst betalingsverplichtingen na te komen, geautomatiseerd wordt vastgesteld door een kredietinformatiebureau en wanneer hoofdzakelijk van die waarschijnlijkheidswaarde afhangt of een derde, aan wie deze waarschijnlijkheidswaarde wordt doorgegeven, met die persoon een contractuele relatie tot stand brengt, uitvoert of beëindigt.
ondertekeningen