Kohtuasi C‑634/21
OQ
versus
Land Hessen
(eelotsusetaotlus, mille on esitanud Verwaltungsgericht Wiesbaden)
Euroopa Kohtu (esimene koda) 7. detsembri 2023. aasta otsus
Eelotsusetaotlus – Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus (EL) 2016/679 – Artikkel 22 – Automatiseeritud töötlusel põhinev üksikotsus – Majandusteaberegistrid – Tõenäosusväärtuse automatiseeritud kindlaksmääramine, mis puudutab isiku suutlikkust täita tulevikus maksekohustusi (scoring) – Selle tõenäosusväärtuse kasutamine kolmandate isikute poolt
1. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Õiguskaitsevahendid – Kohtule esitatud kaebus otsuse peale, mille järelevalveasutus on teinud teatava kaebuse kohta – Kohtulik kontroll – Ulatus – Piirid – Puudumine
(Euroopa Parlamendi ja nõukogu määrus 2016/679, artikli 78 lõige 1)
(vt punkt 34)
2. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus, et tema kohta ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel – Automatiseeritud töötlusel põhinev üksikotsus – Mõiste – Majandusteaberegistri automatiseeritud töötlusel kindlaksmääratav isiku maksevõime tõenäosusväärtus, mida kasutavad kolmandad isikud – Hõlmamine – Tingimused
(Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendus 71 ja artikli 4 punkt 4 ning artikli 22 lõige 1)
(vt punktid 43, 46–50, 60–63 ja 73 ning resolutsioon)
3. Füüsiliste isikute kaitse isikuandmete töötlemisel – Määrus 2016/679 – Andmesubjekti õigus, et tema kohta ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel – Erandid – Üksnes automatiseeritud töötlemisel põhineva otsuse vastuvõtmine, mis on liikmesriigi õigusega lubatud – Kohustus järgida selles määruses ette nähtud tingimusi ja nõudeid – Liikmesriigi kohtu teostatav kontroll
(Euroopa Parlamendi ja nõukogu määrus 2016/679, põhjendus 71, artiklid 5 ja 6 ning artikli 22 lõiked 2–4)
(vt punktid 53–55, 64, 67–70 ja 72)
Kokkuvõte
Saksa õiguse alusel asutatud eraõiguslik äriühing SCHUFA Holding AG andis lepingupartneritele teavet isikute maksevõime kohta. Selleks omistas ta igale asjaomasele isikule väärtuse (score), mille ta määras kindlaks selle isiku teatavate tunnuste põhjal, tuginedes matemaatilistele ja statistilistele menetlustele. Skooride kindlaksmääramise eesmärk oli prognoosida isiku käitumist tulevikus, näiteks laenu tagasimaksmist selle alusel, et ta liigitatakse teiste sarnaste tunnustega isikute rühma.
Üks krediidiasutus keeldus OQ-le laenu andmast pärast seda, kui see asutus oli saanud SCHUFA koostatud ja sellele krediidiasutusele edastatud negatiivse teabe. OQ palus SCHUFA-l võimaldada tal tutvuda teda puudutavate andmetega ja kustutada andmed, mis olid väidetavalt ebaõiged. SCHUFA teatas talle üksnes tema skoorimise tulemuse ja esitas üldjoontes skoori arvutamise meetodi, keeldudes ärisaladusele viidates muud teavet avaldamast.
OQ esitas seejärel SCHUFA vastu kaebuse Saksamaa järelevalveasutusele HBDI(1), kes jättis selle rahuldamata põhjendusel, et SCHUFA tegevus on maksevõimega seotud tõenäosusväärtuse kasutamist reguleerivate Saksa õigusnormidega(2) kooskõlas.
Verwaltungsgericht Wiesbaden (Wiesbadeni halduskohus, Saksamaa), kellele OQ esitas HBDI otsuse peale kaebuse, küsis Euroopa Kohtult, kuidas tuleb tõlgendada isikuandmete kaitse üldmääruse(3) sätteid, mis käsitlevad andmesubjekti õigust, et tema kohta ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil.(4)
Oma otsuses tõlgendas Euroopa Kohus esimest korda isikuandmete kaitse üldmääruse sätteid, mis käsitlevad üksnes automatiseeritud töötlusel põhinevate otsuste tundlikku valdkonda. Sellega seoses võttis ta seisukoha küsimuses, kas see, kui majandusteaberegister teeb automatiseeritud töötlusel kindlaks isiku maksevõimet puudutava tõenäosusväärtuse, on automatiseeritud töötlusel põhinev üksikotsus ja kuulub seega nende sätete kohaldamisalasse.
Euroopa Kohtu hinnang
Kõigepealt tõdes Euroopa Kohus, et käesoleval juhul on täidetud isikuandmete kaitse üldmääruse sätete kohaldamise kolm kumulatiivset tingimust, mis reguleerivad isiku õigust sellele, et tema kohta ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil.
Esimese tingimuse kohta, mis käsitleb otsuse olemasolu, täpsustas Euroopa Kohus, et mõistel „otsus“ on lai ulatus ja see võib hõlmata isiku maksevõime arvutamise tulemust tõenäosusväärtusena, mis puudutab selle isiku suutlikkust täita tulevikus maksekohustusi.
Mis puudutab teist tingimust, mille kohaselt peab otsus põhinema „üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil“, siis on Euroopa Kohtu sõnul selge, et kõnealuse äriühingu tegevuse tulemus vastab „profiilianalüüsi“(5) määratlusele ja seega on see tingimus käesoleval juhul täidetud. Lisaks on eelotsusetaotluse esitanud kohus märkinud sõnaselgelt, et tegemist on kindlat isikut puudutavatel isikuandmetel põhineva tõenäosusväärtuse automatiseeritud kindlaksmääramisega, mis käsitleb selle isiku suutlikkust tulevikus laen tagasi maksta.
Kolmanda tingimuse puhul, mille kohaselt peab otsus tooma andmesubjektile kaasa „õiguslikke tagajärgi“ või avaldama talle „märkimisväärset mõju“, märkis Euroopa Kohus, et käesoleval juhul juhindub selle kolmanda isiku tegevus, kellele tõenäosusväärtus edastatakse, „määravalt“ sellest tõenäosusväärtusest. Nimelt toob ebapiisav tõenäosusväärtus peaaegu kõigil juhtudel kaasa laenu andmisest keeldumise. Seega avaldab see väärtus andmesubjektile vähemalt märkimisväärset mõju.
Euroopa Kohus järeldas sellest, et olukorras, kus majandusteaberegistri kindlaks määratud ja pangale edastatud tõenäosusväärtus on laenu andmisel määrava tähtsusega, tuleb selle väärtuse kindlaksmääramist pidada iseenesest otsuseks, mis toob andmesubjekti suhtes „kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle märkimisväärset mõju“(6).
Seejärel rõhutas Euroopa Kohus, et nimetatud tõlgendus ja eelkõige mõiste „otsus“ lai ulatus tugevdab selle sättega taotletud tõhusat kaitset. Seevastu kitsas tõlgendus, mille kohaselt tuleb tõenäosusväärtuse kindlaksmääramist pidada üksnes ettevalmistavaks aktiks ja vastavalt olukorrale võib otsuseks kvalifitseerida ainult kolmanda isiku vastuvõetava akti, tooks kaasa lünga õiguskaitses. Sellisel juhul ei kuuluks niisuguse väärtuse kindlaksmääramine isikuandmete kaitse üldmääruses ette nähtud erinõuete(7) kohaldamisalasse, kuigi see menetlus põhineb automatiseeritud töötlusel ja sellel on tagajärjed, mis avaldavad andmesubjektile märkimisväärset mõju, kuna kolmanda isiku tegevus, kellele tõenäosusväärtus edastatakse, juhindub määravalt sellest tõenäosusväärtusest.
Lisaks ei saa andmesubjekt esiteks tugineda tõenäosusväärtuse kindlaks määranud majandusteaberegistri suhtes oma õigusele tutvuda konkreetse teabega(8), kui automatiseeritud otsust ei ole teinud see äriühing. Teiseks, isegi kui eeldada, et kolmanda isiku toiming kuulub isikuandmete kaitse üldmääruse nende sätete kohaldamisalasse, mis reguleerivad isiku õigust, et tema kohta ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel, ei saa niisugune kolmas isik seda konkreetset teavet esitada, kuna üldjuhul tal see puudub.
Lõpuks märkis Euroopa Kohus, et asjaolu, et tõenäosusväärtuse kindlaksmääramine on hõlmatud isikuandmete kaitse üldmääruse sätetega, mis reguleerivad isiku õigust, et tema kohta ei tehtaks otsust, mis põhineb üksnes automatiseeritud töötlusel, toob kaasa selle, et niisugune kindlaksmääramine on keelatud, välja arvatud juhul, kui on kohaldatav mõni üldmääruses sätestatud eranditest ja kui järgitakse selles üldmääruses ette nähtud erinõudeid.
Lisaks peab igasugune isikuandmete töötlemine esiteks olema kooskõlas isikuandmete kaitse üldmääruses sätestatud andmetöötluse põhimõtetega ja teiseks vastama ühele andmetöötluse seaduslikkuse tingimusele, arvestades eelkõige töötlemise seaduslikkuse põhimõtet.
Selles kontekstis märkis Euroopa Kohus, et eelotsusetaotluse esitanud kohus on viidanud erandile, mille kohaselt võib üksnes automatiseeritud töötlusel põhineva otsuse vastuvõtmine olla lubatud, kui see on liikmesriigi õiguses ette nähtud. Euroopa Kohus täpsustas sellega seoses, et eelotsusetaotluse esitanud kohtu ülesanne on kontrollida, kas maksevõimega seotud tõenäosusväärtuse kasutamise süsteemi reguleerivaid liikmesriigi õigusnorme saab käsitada õigusliku alusena, mis lubab niisuguse otsuse vastu võtta, ning jaatava vastuse korral, kas selle erandiga seotud tingimused ja isikuandmete kaitse üldmääruses ette nähtud töötlemisele kohaldatavate põhimõtetega seotud tingimused on käesoleval juhul täidetud.