Sujungtos bylos C‑26/22 ir C‑64/22
UF
ir
AB
prieš
Land Hessen
(Verwaltungsgericht Wiesbaden pateiktas prašymas priimti prejudicinį sprendimą)
2023 m. gruodžio 7 d. Teisingumo Teismo (pirmoji kolegija) sprendimas
„Prašymas priimti prejudicinį sprendimą – Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas (ES) 2016/679 – 5 straipsnio 1 dalies a punktas – „Teisėtumo“ principas – 6 straipsnio 1 dalies pirmos pastraipos f punktas – Būtinybė tvarkyti duomenis siekiant teisėtų duomenų valdytojo arba trečiojo asmens interesų – 17 straipsnio 1 dalies d punktas – Teisė reikalauti ištrinti asmens duomenis, kai jie tvarkomi neteisėtai – 40 straipsnis – Elgesio kodeksai – 78 straipsnio 1 dalis – Teisė imtis veiksmingų teisminių teisių gynimo priemonių prieš priežiūros instituciją – Priežiūros institucijos priimtas sprendimas dėl skundo – Šio sprendimo teisminės kontrolės apimtis – Kreditingumo vertinimo bendrovės – Iš viešojo registro gautų duomenų apie asmens atleidimą nuo likusių skolų saugojimas – Saugojimo trukmė“
1. Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisių gynimo būdai – Priežiūros institucijos dėl skundo priimto sprendimo apskundimas teismine tvarka – Teisminė kontrolė – Apimtis – Ribos – Nebuvimas
(Europos Sąjungos pagrindinių teisių chartijos 8 straipsnio 3 dalis ir 47 straipsnis; Europos Parlamento ir Tarybos reglamento 2016/679 141 ir 143 konstatuojamosios dalys, 52 straipsnis, 78 straipsnio 1 dalis ir 79 straipsnio 1 dalis)
(žr. 50–53, 58, 59, 62, 67–70 punktus ir rezoliucinės dalies 1 punktą)
2. Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų tvarkymo teisėtumo sąlygos – Duomenų tvarkymas, būtinas siekiant teisėtų duomenų valdytojo arba trečiojo asmens interesų – Duomenų tvarkymas, būtinas privačios bendros veiklai, apimančiai komercinės informacijos teikimą konrahentams siekiant įvertinti jų potencialių klientų kreditingumą – Sistemingas iš viešojo registro gautų duomenų apie asmens atleidimą nuo likusių skolų saugojimas – Saugojimo trukmė, viršijanti duomenų saugojimo viešajame nemokumo registre terminą – Neleistinumas
(Europos Sąjungos pagrindinių teisių chartijos 7 ir 8 straipsniai; Europos Parlamento ir Tarybos reglamento 2015/848 76 konstatuojamoji dalis ir 79 straipsnio 4 ir 5 dalys; Europos Parlamento ir Tarybos reglamento 2016/679 5 straipsnio 1 dalies a punktas ir 6 straipsnio 1 dalies pirmos pastraipos f punktas)
(žr. 75, 83, 88–100, 113 punktus ir rezoliucinės dalies 2 punktą)
3. Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Asmens duomenų tvarkymo teisėtumo sąlygos – Elgesio kodeksas, kurį parengė duomenų valdytojams ir duomenų tvarkytojams atstovaujanti asociacija ir patvirtino kompetentinga priežiūros institucija – Elgesio kodeksas, kuriame nustatytos duomenų tvarkymo teisėtumo sąlygos neatitinka numatytųjų Reglamente 2016/679 – Neatsižvelgimas
(Europos Parlamento ir Tarybos reglamento 2016/679 6 straipsnio 1 dalies pirmos pastraipos f punktas ir 40 straipsnio 1, 2 ir 5 dalys)
(žr. 101–105 punktus)
4. Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė reikalauti ištrinti duomenis – Apimtis – Neteisėtas asmens duomenų tvarkymas – Įtraukimas
(Europos Parlamento ir Tarybos reglamento 2016/679 17 straipsnio 1 dalies d punktas)
(žr. 107, 108, 113 punktus ir rezoliucinės dalies 4 punktą)
5. Fizinių asmenų apsauga tvarkant asmens duomenis – Reglamentas 2016/679 – Teisė reikalauti ištrinti duomenis – Apimtis – Duomenų subjekto, kurio duomenys tvarkomi, teisė nesutikti – Įtraukimas – Išimtis – Įtikinamų teisėtų duomenų tvarkymo priežasčių, viršesnių už duomenų subjekto interesus, teises ir laisves, egzistavimas – Duomenų valdytojui tenkanti įrodinėjimo našta
(Europos Parlamento ir Tarybos reglamento 2016/679 17 straipsnio 1 dalies c punktas ir 21 straipsnio 1 dalis)
(žr. 109–113 punktus ir rezoliucinės dalies 3 punktą)
Santrauka
Pagal Vokietijos teisę įsteigta privati bendrovė SCHUFA Holding AG savo duomenų bazėse registruoja ir saugo viešuosiuose registruose paskelbtą informaciją, įskaitant informaciją apie atleidimą nuo likusių skolų, ir ją prireikus teikia savo kontrahentams. Šią informaciją ji ištrina praėjus trejiems metams nuo jos įregistravimo, vadovaudamasi elgesio kodeksu, kurį Vokietijoje parengė kreditingumo vertinimo bendroves vienijanti asociacija.
Po tai, kai išnagrinėjus nemokumo bylas buvo priimtos nutartys dėl priešlaikinio atleidimo nuo likusių skolų, UF ir AB kreipėsi į SCHUFA, prašydami ištrinti įrašus apie šias nutartis. Bendrovė jų prašymų netenkino, paaiškinusi, kad Vokietijos teisės aktuose(1) dėl šių duomenų ištrynimo iš viešųjų registrų numatytas šešių mėnesių terminas jai netaikomas.
UF ir AB dėl SCHUFA pateikė skundus HBDI(2), kompetentingai priežiūros institucijai, o ji skundus atmetė motyvuodama tuo, kad SCHUFA duomenis tvarkė teisėtai.
Gavęs UF ir AB skundus dėl HBDI sprendimų, Verwaltungsgericht Wiesbaden (Vysbadeno administracinis teismas, Vokietija) kreipėsi į Teisingumo Teismą dėl įvairių BDAR(3) nuostatų, be kita ko, susijusių su būtinybe tvarkyti duomenis siekiant tam tikrų interesų ir teise reikalauti ištrinti duomenis(4), išaiškinimo.
Teisingumo Teismas sprendime konstatavo, kad pagal BDAR(5) draudžiama privačių kreditingumo vertinimo bendrovių praktika saugoti savo duomenų bazėse iš viešojo registro gautą informaciją apie fizinių asmenų atleidimą nuo likusios skolos ilgiau, nei numatyta nacionalinės teisės aktuose dėl duomenų saugojimo tokiame registre. Be to, jis pareiškė nuomonę dėl duomenų subjekto teisės reikalauti, kad tokia bendrovė pašalintų su juo susijusius duomenis.
Teisingumo Teismo vertinimas
Pirmiausia Teisingumo Teismas priminė, kad pagal BDAR asmens duomenų tvarkymas gali būti laikomas teisėtu visų pirma tuomet, kai tenkinamos trys kumuliacinės sąlygos: pirma, duomenų valdytojas arba trečiasis asmuo turi siekti teisėto intereso, antra, asmens duomenis tvarkyti būtina siekiant įgyvendinti teisėtą interesą ir, trečia, duomenų subjekto, kurio duomenys turi būti saugomi, interesai arba laisvės bei pagrindinės teisės neturi būti viršesni už duomenų valdytojo arba trečiojo asmens teisėtą interesą(6).
Kalbėdamas apie pirmąją sąlygą Teisingumo Teismas pabrėžė, kad nagrinėjamu atveju asmens duomenų tvarkymas tenkina privačios bendrovės ekonominius interesus, be to, jis skirtas šios bendrovės kontrahentų, turinčių įvertinti asmenų, su kuriais ketina sudaryti su kreditais susijusias sutartis, kreditingumą, teisėtiems interesams, taigi ir kreditų sektoriaus socialiniams ir ekonominiams interesams siekti.
Dėl antrosios sąlygos Teisingumo Teismas priminė, kad duomenų tvarkymas gali būti laikomas „būtinu“ tik jeigu neviršija to, kas griežtai būtina duomenų valdytojo arba trečiojo asmens teisėtam interesui pasiekti.
Kiek tai susiję su trečiąja sąlyga, Teisingumo Teismas konstatavo, kad nagrinėjamu atveju jos tikrinimas sutampa su antrosios sąlygos tikrinimu ir vertinant, ar siekiamų teisėtų interesų negalima tinkamai įgyvendinti taikant trumpesnį duomenų saugojimo laikotarpį, reikia palyginti priešpriešines teises ir interesus.
Kalbėdamas apie siekiamų teisėtų interesų palyginimą, Teisingumo Teismas pažymėjo: kadangi kreditingumo vertinimo bendrovės atlikta analizė sudaro sąlygas objektyviai ir patikimai įvertinti jos kontrahentų potencialių klientų kreditingumą, ji leidžia kompensuoti informacijos skirtumus ir taip sumažinti sukčiavimo riziką ir kitus neaiškumus.
Dėl duomenų subjekto teisių ir interesų Teisingumo Teismas vis dėlto pripažino, kad tokios bendrovės atliekamas duomenų apie atleidimą nuo likusios skolos tvarkymas, pavyzdžiui, jų saugojimas, analizė ir atskleidimas tretiesiems asmenims, yra didelis duomenų subjekto pagrindinių teisių suvaržymas(7). Faktiškai tokie duomenys yra neigiamas veiksnys vertinant duomenų subjekto kreditingumą, todėl tai yra jautri informacija apie jo privatų gyvenimą, kurios tvarkymas gali labai pakenkti jo interesams. Be to, kuo ilgiau saugomi tokie duomenys, tuo didesnis poveikis duomenų subjekto interesams ir privačiam gyvenimui ir tuo didesni reikalavimai keliami šios informacijos saugojimo teisėtumui.
Dėl duomenų saugojimo viešuosiuose nemokumo registruose Teisingumo Teismas pažymėjo, kad valstybės narės atsako už duomenų rinkimą ir saugojimą nacionalinėse duomenų bazėse(8), todėl turi ir nustatyti jų saugojimo terminą. Nagrinėjamu atveju nacionalinis teisės aktų leidėjas vadovavosi nuostata, kad pasibaigus šešių mėnesių terminui duomenų subjekto teisės ir interesai yra viršesni už visuomenės interesus ir teises gauti šią informaciją.
Be to, atleidimas nuo likusios skolos turi leisti asmeniui, kuriam šis atleidimas pritaikytas, vėl dalyvauti ekonominiame gyvenime, todėl paprastai jam turi egzistencinę reikšmę. Tačiau šiam tikslui būtų pakenkta, jeigu atitinkamą informaciją būtų galima saugoti ir naudoti po jos ištrynimo iš viešo nemokumo registro.
Todėl Teisingumo Teismas priėjo prie išvados, kad kredito sektoriaus interesai disponuoti informacija apie atleidimą nuo likusios skolos negali pateisinti duomenų saugojimo pasibaigus jų saugojimo viešajame nemokumo registre terminui.
Jis pridūrė, kad duomenų saugojimas šešis mėnesius taip pat yra duomenų subjekto pagrindinių teisių suvaržymas. Šiuo požiūriu prašymą priimti prejudicinį sprendimą pateikęs teismas turi įvertinti, ar privačių kreditingumo bendrovių lygiagrečiai atliekamas duomenų saugojimas gali būti laikomas neviršijančiu to, kas griežtai būtina.
Galiausiai, dėl elgesio kodekso, kuriame numatyta ištrinti duomenis po trejų metų, Teisingumo Teismas nurodė, kad nors juo siekiama padėti tinkamai taikyti BDAR(9), vis dėlto jame nustatytos asmens duomenų tvarkymo teisėtumo sąlygos negali skirtis nuo numatytųjų BDAR. Taigi į elgesio kodeksą, kuris lemia kitokį vertinimą nei gaunamas pagal BDAR, negali būti atsižvelgta.
Toliau dėl duomenų valdytojo pareigų ištrinti asmens duomenis Teisingumo Teismas pažymėjo, viena vertus, kad duomenų valdytojas turi ištrinti duomenis, kurie buvo tvarkyti neteisėtai, kaip atsitiko nagrinėjamu atveju, kai atitinkama bendrovė juos tvarkė jau pasibaigus šešių mėnesių duomenų saugojimo viešajame nemokumo registre terminui(10). Kita vertus, net jeigu prašymą priimti prejudicinį sprendimą pateikęs teismas turėtų prieiti prie išvados, kad duomenys šešių mėnesių laikotarpiu buvo tvarkomi teisėtai, duomenų subjektas turėtų teisę nesutikti su tokiu tvarkymu(11) ir reikalauti, kad jo duomenys būtų ištrinti, jeigu bendrovei nepavyksta įrodyti buvus įtikinamų teisėtų priežasčių, viršesnių už duomenų subjekto interesus ir teises bei laisves(12).