ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πρώτο τμήμα)
της 7ης Δεκεμβρίου 2023 (*)
«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 22 – Αυτοματοποιημένη ατομική απόφαση – Ιδιωτικά γραφεία οικονομικών πληροφοριών – Αυτοματοποιημένη παραγωγή τιμής πιθανότητας σχετικά με τη μελλοντική ικανότητα προσώπου να ανταποκριθεί σε υποχρεώσεις πίστωσης (“scoring”) – Χρησιμοποίηση της τιμής πιθανότητας από τρίτους»
Στην υπόθεση C‑634/21,
με αντικείμενο αίτηση προδικαστικής αποφάσεως δυνάμει του άρθρου 267 ΣΛΕΕ, που υπέβαλε το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden, Γερμανία) με απόφαση της 1ης Οκτωβρίου 2021, η οποία περιήλθε στο Δικαστήριο στις 15 Οκτωβρίου 2021, στο πλαίσιο της δίκης
OQ
κατά
Land Hessen,
παρισταμένης της:
SCHUFA Holding AG,
ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (πρώτο τμήμα)
συγκείμενο από τους A. Arabadjiev, πρόεδρο τμήματος, T. von Danwitz, P. G. Xuereb, A. Kumin (εισηγητή) και I. Ziemele, δικαστές,
γενικός εισαγγελέας: P. Pikamäe
γραμματέας: C. Di Bella, διοικητικός υπάλληλος,
έχοντας υπόψη την έγγραφη διαδικασία και κατόπιν της επ’ ακροατηρίου συζητήσεως της 26ης Ιανουαρίου 2023,
λαμβάνοντας υπόψη τις παρατηρήσεις που υπέβαλαν:
– ο OQ, εκπροσωπούμενος από τον U. Schnidt, Rechtsanwalt,
– το Land Hessen, εκπροσωπούμενο από τους M. Kottmann και G. Ziegenhorn, Rechtsanwälte,
– η SCHUFA Holding AG, εκπροσωπούμενη από τους G. Thüsing και U. Wuermeling, Rechtsanwalt,
– η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τον P.‑L. Krüger,
– η Δανική Κυβέρνηση, εκπροσωπούμενη από τις V. Pasternak Jørgensen, M. Søndahl Wolff και Y. Thyregod Kollberg,
– η Πορτογαλική Κυβέρνηση, εκπροσωπούμενη από τις P. Barros da Costa, I. Oliveira, J. Ramos και C. Vieira Guerra,
– η Φινλανδική Κυβέρνηση, εκπροσωπούμενη από την M. Pere,
– η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, F. Erlbacher και H. Kranenborg,
αφού άκουσε τον γενικό εισαγγελέα που ανέπτυξε τις προτάσεις του κατά τη συνεδρίαση της 16ης Μαρτίου 2023,
εκδίδει την ακόλουθη
Απόφαση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία του άρθρου 6, παράγραφος 1, και του άρθρου 22 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, και διορθωτικά ΕΕ 2018, L 127, σ. 2 και ΕΕ 2021, L 74, σ. 35, στο εξής: ΓΚΠΔ).
2 Η αίτηση αυτή υποβλήθηκε στο πλαίσιο ένδικης διαφοράς μεταξύ της OQ και του Land Hessen (ομόσπονδου κράτους της Έσσης, Γερμανία) σχετικά με την άρνηση του Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Επιτρόπου προστασίας δεδομένων και ελεύθερης πληροφόρησης του ομόσπονδου κράτους της Έσσης, Γερμανία) (στο εξής: HBDI) να υποχρεώσει τη SCHUFA Holding AG (στο εξής: SCHUFA) να κάνει δεκτό αίτημα της OQ για παροχή πρόσβασης σε δεδομένα προσωπικού χαρακτήρα που την αφορούν και για διαγραφή τους.
Το νομικό πλαίσιο
Το δίκαιο της Ένωσης
3 Η αιτιολογική σκέψη 71 του ΓΚΠΔ έχει ως εξής:
«Το υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να μην υπόκειται σε απόφαση, η οποία μπορεί να περιλαμβάνει κάποιο μέτρο, με την οποία αξιολογούνται προσωπικές πτυχές που το αφορούν, λαμβανόμενη αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας και η οποία παράγει έννομα αποτελέσματα έναντι του προσώπου αυτού ή το επηρεάζει σημαντικά κατά ανάλογο τρόπο, όπως η αυτόματη άρνηση επιγραμμικής αίτησης πίστωσης ή πρακτικές ηλεκτρονικών προσλήψεων χωρίς ανθρώπινη παρέμβαση. Η επεξεργασία αυτή περιλαμβάνει την “κατάρτιση προφίλ” που αποτελείται από οποιαδήποτε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση προσωπικών πτυχών σχετικά με ένα φυσικό πρόσωπο, ιδίως την ανάλυση ή την πρόβλεψη πτυχών που αφορούν τις επιδόσεις στην εργασία, την οικονομική κατάσταση, την υγεία, τις προσωπικές προτιμήσεις ή συμφέροντα, την αξιοπιστία ή τη συμπεριφορά, τη θέση ή κινήσεις του υποκειμένου των δεδομένων, στον βαθμό που παράγει νομικά αποτελέσματα έναντι του προσώπου αυτού ή το επηρεάζει σημαντικά κατά ανάλογο τρόπο. Ωστόσο, η λήψη απόφασης που βασίζεται σε αυτήν την επεξεργασία, συμπεριλαμβανομένης της κατάρτισης προφίλ, θα πρέπει να επιτρέπεται όταν προβλέπεται ρητά από το δίκαιο της Ένωσης ή κράτους μέλους, στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας, μεταξύ άλλων για σκοπούς παρακολούθησης και πρόληψης της απάτης και της φοροδιαφυγής σύμφωνα με τους κανονισμούς, τα πρότυπα και τις συστάσεις των θεσμικών οργάνων της [Ευρωπαϊκής] Ένωσης ή των εθνικών οργάνων εποπτείας και προκειμένου να διασφαλιστεί η ασφάλεια και η αξιοπιστία της υπηρεσίας που παρέχει ο υπεύθυνος επεξεργασίας, ή όταν είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ υποκειμένου των δεδομένων και υπευθύνου επεξεργασίας ή όταν το υποκείμενο των δεδομένων παρέσχε τη ρητή συγκατάθεσή του. Σε κάθε περίπτωση, η επεξεργασία αυτή θα πρέπει να υπόκειται σε κατάλληλες εγγυήσεις, οι οποίες θα πρέπει να περιλαμβάνουν ειδική ενημέρωση του υποκειμένου των δεδομένων και το δικαίωμα εξασφάλισης ανθρώπινης παρέμβασης, το δικαίωμα διατύπωσης της άποψής του, το δικαίωμα να λάβει αιτιολόγηση της απόφασης που ελήφθη στο πλαίσιο της εν λόγω εκτίμησης και το δικαίωμα αμφισβήτησης της απόφασης. Το εν λόγω μέτρο θα πρέπει να μην αφορά παιδί.
Προκειμένου να διασφαλισθεί δίκαιη και διαφανής επεξεργασία σε σχέση με το υποκείμενο των δεδομένων, λαμβανομένων υπόψη των ειδικών συνθηκών και του πλαισίου εντός του οποίου πραγματοποιείται η επεξεργασία των δεδομένων προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας θα πρέπει να χρησιμοποιεί κατάλληλες μαθηματικές ή στατιστικές διαδικασίες για την κατάρτιση του προφίλ, να εφαρμόζει τεχνικά και οργανωτικά μέτρα, ώστε να διορθώνονται οι παράγοντες που οδηγούν σε ανακρίβειες σε δεδομένα προσωπικού χαρακτήρα και να ελαχιστοποιείται ο κίνδυνος σφαλμάτων, να καθιστά ασφαλή τα δεδομένα προσωπικού χαρακτήρα κατά τρόπο που να λαμβάνει υπόψη τους πιθανούς κινδύνους που συνδέονται με τα συμφέροντα και τα δικαιώματα του υποκειμένου των δεδομένων και κατά τρόπο που να προλαμβάνει, μεταξύ άλλων, τα αποτελέσματα διακρίσεων σε βάρος φυσικών προσώπων βάσει της φυλετικής ή εθνοτικής καταγωγής, των πολιτικών φρονημάτων, της θρησκείας ή των πεποιθήσεων, της συμμετοχής σε συνδικαλιστικές οργανώσεις, της γενετικής κατάστασης ή της κατάστασης της υγείας ή του γενετήσιου προσανατολισμού, ή μέτρων ισοδύναμου αποτελέσματος. Η αυτοματοποιημένη λήψη αποφάσεων και κατάρτιση προφίλ που βασίζονται σε ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα θα πρέπει να επιτρέπονται μόνο υπό ειδικές προϋποθέσεις.»
4 Το άρθρο 4 του ως άνω κανονισμού, το οποίο φέρει τον τίτλο «Ορισμοί», προβλέπει τα εξής:
«Για τους σκοπούς του παρόντος κανονισμού νοούνται ως:
[…]
4) “κατάρτιση προφίλ”: οποιαδήποτε μορφή αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα που συνίσταται στη χρήση δεδομένων προσωπικού χαρακτήρα για την αξιολόγηση ορισμένων προσωπικών πτυχών ενός φυσικού προσώπου, ιδίως για την ανάλυση ή την πρόβλεψη πτυχών που αφορούν την απόδοση στην εργασία, την οικονομική κατάσταση, την υγεία, τις προσωπικές προτιμήσεις, τα ενδιαφέροντα, την αξιοπιστία, τη συμπεριφορά, τη θέση ή τις μετακινήσεις του εν λόγω φυσικού προσώπου·
[…]».
5 Το άρθρο 5 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», προβλέπει τα εξής:
«1. Τα δεδομένα προσωπικού χαρακτήρα:
α) υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων (“νομιμότητα, αντικειμενικότητα και διαφάνεια”)·
β) συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· […] (“περιορισμός του σκοπού”)·
γ) είναι κατάλληλα, συναφή και περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (“ελαχιστοποίηση των δεδομένων”)·
δ) είναι ακριβή και, όταν είναι αναγκαίο, επικαιροποιούνται· […] (“ακρίβεια”)·
ε) διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα· […] (“περιορισμός της περιόδου αποθήκευσης”)·
στ) υποβάλλονται σε επεξεργασία κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων προσωπικού χαρακτήρα […] (“ακεραιότητα και εμπιστευτικότητα”).
2. Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»
6 Το άρθρο 6 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», ορίζει στις παραγράφους 1 και 3 τα εξής:
«1. Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει συγκατάθεση για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα του για έναν ή περισσότερους συγκεκριμένους σκοπούς·
β) η επεξεργασία είναι απαραίτητη για την εκτέλεση σύμβασης της οποίας το υποκείμενο των δεδομένων είναι συμβαλλόμενο μέρος ή για να ληφθούν μέτρα κατ’ αίτηση του υποκειμένου των δεδομένων πριν από τη σύναψη σύμβασης·
γ) η επεξεργασία είναι απαραίτητη για τη συμμόρφωση με έννομη υποχρέωση του υπευθύνου επεξεργασίας·
δ) η επεξεργασία είναι απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος του υποκειμένου των δεδομένων ή άλλου φυσικού προσώπου·
ε) η επεξεργασία είναι απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας·
στ) η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.
[…]
3. Η βάση για την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχεία γ) και ε) ορίζεται σύμφωνα με:
α) το δίκαιο της Ένωσης, ή
β) το δίκαιο του κράτους μέλος στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
Ο σκοπός της επεξεργασίας καθορίζεται στην εν λόγω νομική βάση ή, όσον αφορά την επεξεργασία που αναφέρεται στην παράγραφο 1 στοιχείο ε), είναι η αναγκαιότητα της επεξεργασίας για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας που έχει ανατεθεί στον υπεύθυνο επεξεργασίας. […]»
7 Το άρθρο 9 του κανονισμού, το οποίο φέρει τον τίτλο «Επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα», ορίζει τα εξής:
«1. Απαγορεύεται η επεξεργασία δεδομένων προσωπικού χαρακτήρα που αποκαλύπτουν τη φυλετική ή εθνοτική καταγωγή, τα πολιτικά φρονήματα, τις θρησκευτικές ή φιλοσοφικές πεποιθήσεις ή τη συμμετοχή σε συνδικαλιστική οργάνωση, καθώς και η επεξεργασία γενετικών δεδομένων, βιομετρικών δεδομένων με σκοπό την αδιαμφισβήτητη ταυτοποίηση προσώπου, δεδομένων που αφορούν την υγεία ή δεδομένων που αφορούν τη σεξουαλική ζωή φυσικού προσώπου ή τον γενετήσιο προσανατολισμό.
2. Η παράγραφος 1 δεν εφαρμόζεται στις ακόλουθες περιπτώσεις:
α) το υποκείμενο των δεδομένων έχει παράσχει ρητή συγκατάθεση για την επεξεργασία αυτών των δεδομένων προσωπικού χαρακτήρα για έναν ή περισσότερους συγκεκριμένους σκοπούς, εκτός εάν το δίκαιο της Ένωσης ή κράτους μέλους προβλέπει ότι η απαγόρευση που αναφέρεται στην παράγραφο 1 δεν μπορεί να αρθεί από το υποκείμενο των δεδομένων·
[…]
ζ) η επεξεργασία είναι απαραίτητη για λόγους ουσιαστικού δημόσιου συμφέροντος, βάσει του δικαίου της Ένωσης ή κράτους μέλους, το οποίο είναι ανάλογο προς τον επιδιωκόμενο στόχο, σέβεται την ουσία του δικαιώματος στην προστασία των δεδομένων και προβλέπει κατάλληλα και συγκεκριμένα μέτρα για τη διασφάλιση των θεμελιωδών δικαιωμάτων και των συμφερόντων του υποκειμένου των δεδομένων·
[…]».
8 Το άρθρο 13 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται από το υποκείμενο των δεδομένων», προβλέπει στην παράγραφο 2 τα εξής:
«Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας, κατά τη λήψη των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων τις εξής επιπλέον πληροφορίες που είναι αναγκαίες για την εξασφάλιση θεμιτής και διαφανούς επεξεργασίας:
[…]
στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4 και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.»
9 Το άρθρο 14 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Πληροφορίες που παρέχονται εάν τα δεδομένα προσωπικού χαρακτήρα δεν έχουν συλλεγεί από το υποκείμενο των δεδομένων», ορίζει στην παράγραφο 2 τα εξής:
«Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις εξής πληροφορίες που είναι αναγκαίες για τη διασφάλιση θεμιτής και διαφανούς επεξεργασίας όσον αφορά το υποκείμενο των δεδομένων:
[…]
ζ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4, και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.»
10 Το άρθρο 15 του ίδιου κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα πρόσβασης του υποκειμένου των δεδομένων», προβλέπει στην παράγραφο 1 τα εξής:
«Το υποκείμενο των δεδομένων έχει το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας επιβεβαίωση για το κατά πόσον ή όχι τα δεδομένα προσωπικού χαρακτήρα που το αφορούν υφίστανται επεξεργασία και, εάν συμβαίνει τούτο, το δικαίωμα πρόσβασης στα δεδομένα προσωπικού χαρακτήρα και στις ακόλουθες πληροφορίες:
[…]
η) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που προβλέπεται στο άρθρο 22 παράγραφοι 1 και 4, και, τουλάχιστον στις περιπτώσεις αυτές, σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων.»
11 Το άρθρο 22 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Αυτοματοποιημένη ατομική λήψη αποφάσεων, περιλαμβανομένης της κατάρτισης προφίλ», προβλέπει τα εξής:
«1. Το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο.
2. Η παράγραφος 1 δεν εφαρμόζεται όταν η απόφαση:
α) είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας των δεδομένων,
β) επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο προβλέπει επίσης κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων ή
γ) βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων.
3. Στις περιπτώσεις που αναφέρονται στην παράγραφο 2 στοιχεία α) και γ), ο υπεύθυνος επεξεργασίας των δεδομένων εφαρμόζει κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, τουλάχιστον του δικαιώματος εξασφάλισης ανθρώπινης παρέμβασης από την πλευρά του υπευθύνου επεξεργασίας, έκφρασης άποψης και αμφισβήτησης της απόφασης.
4. Οι αποφάσεις που αναφέρονται στην παράγραφο 2 δεν βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που αναφέρονται στο άρθρο 9 παράγραφος 1, εκτός αν ισχύει το άρθρο 9 παράγραφος 2 στοιχείο α) ή ζ) και αν υφίστανται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.»
12 Το άρθρο 78 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά αρχής ελέγχου», ορίζει στην παράγραφο 1 τα εξής:
«Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.»
Το γερμανικό δίκαιο
13 Το άρθρο 31 του Bundesdatenschutzgesetz (ομοσπονδιακού νόμου περί προστασίας δεδομένων), της 30ής Ιουνίου 2017 (BGBl. I, σ. 2097, στο εξής: BDSG), το οποίο φέρει τον τίτλο «Προστασία των οικονομικών συναλλαγών στο πλαίσιο της βαθμολόγησης (“scoring”) και της παροχής πληροφοριών σχετικά με τη φερεγγυότητα», έχει ως εξής:
«(1) Η χρήση τιμής πιθανότητας για συγκεκριμένη μελλοντική συμπεριφορά φυσικού προσώπου προς τον σκοπό της λήψεως αποφάσεως περί συνάψεως, εκτελέσεως ή λύσεως συμβατικής σχέσεως με το πρόσωπο αυτό (“scoring”) επιτρέπεται μόνον εφόσον
1. έχουν τηρηθεί οι διατάξεις του δικαίου προστασίας των δεδομένων,
2. μπορεί να αποδειχθεί, βάσει επιστημονικώς αναγνωρισμένης μαθηματικής και στατιστικής μεθόδου, ότι τα δεδομένα που χρησιμοποιούνται για τον υπολογισμό της τιμής πιθανότητας είναι κρίσιμα για τον υπολογισμό της πιθανότητας της συγκεκριμένης συμπεριφοράς,
3. για τον υπολογισμό της τιμής πιθανότητας, δεν χρησιμοποιήθηκαν αποκλειστικώς δεδομένα διευθύνσεων και
4. σε περίπτωση χρησιμοποιήσεως δεδομένων διευθύνσεων, το υποκείμενο των δεδομένων έχει ενημερωθεί πριν από τον υπολογισμό της τιμής πιθανότητας σχετικά με την προβλεπόμενη χρήση των εν λόγω δεδομένων· η ενημέρωση πρέπει να τεκμηριώνεται.
(2) Η χρήση τιμής πιθανότητας που έχει υπολογιστεί από γραφεία οικονομικών πληροφοριών σχετικά με τη φερεγγυότητα φυσικού προσώπου και την πρόθεσή του πληρωμής επιτρέπεται στην περίπτωση συνεκτιμήσεως πληροφοριών επί απαιτήσεων, μόνον εφόσον πληρούνται οι προϋποθέσεις της παραγράφου 1 και λαμβάνονται υπόψη αποκλειστικά οι απαιτήσεις που αφορούν οφειλόμενες παροχές, οι οποίες δεν έχουν καταβληθεί παρά το ότι έχουν καταστεί ληξιπρόθεσμες, και
1. οι οποίες έχουν διαγνωστεί με τελεσίδικη απόφαση ή με απόφαση που έχει κηρυχθεί προσωρινά εκτελεστή ή στηρίζονται σε τίτλο σύμφωνα με το άρθρο 794 του Zivilprozessordnung [(κώδικα πολιτικής δικονομίας)],
2. οι οποίες έχουν διαγνωστεί σύμφωνα με το άρθρο 178 του Insolvenzordnung [(πτωχευτικού κώδικα)] και δεν αμφισβητήθηκαν από τον οφειλέτη εντός της προθεσμίας ελέγχου,
3. οι οποίες έχουν αναγνωριστεί ρητώς από τον οφειλέτη,
4. στην περίπτωση των οποίων,
α) μεσολάβησε έγγραφη όχληση στον οφειλέτη τουλάχιστον δύο φορές αφότου κατέστησαν ληξιπρόθεσμες,
β) έχουν μεσολαβήσει τουλάχιστον τέσσερις εβδομάδες από την πρώτη όχληση,
γ) ο οφειλέτης ενημερώθηκε εκ των προτέρων, αλλά πάντως το νωρίτερο κατά την πρώτη όχληση, για την πιθανότητα να ληφθούν οι απαιτήσεις αυτές υπόψη από γραφεία οικονομικών πληροφοριών και
δ) ο οφειλέτης δεν έχει αμφισβητήσει την απαίτηση ή
5. η συμβατική σχέση στην οποία στηρίζονται οι απαιτήσεις αυτές μπορεί να καταγγελθεί χωρίς προειδοποίηση λόγω καθυστερήσεων πληρωμής και αναφορικά με τις οποίες ο οφειλέτης έχει ενημερωθεί εκ των προτέρων για την πιθανότητα να ληφθούν αυτές υπόψη από γραφεία οικονομικών πληροφοριών.
Δεν θίγεται η νομιμότητα της επεξεργασίας, συμπεριλαμβανομένου του υπολογισμού τιμών πιθανοτήτων, άλλων δεδομένων που άπτονται της φερεγγυότητας σύμφωνα με τις γενικές διατάξεις του δικαίου προστασίας των δεδομένων.»
Η διαφορά της κύριας δίκης και τα προδικαστικά ερωτήματα
14 Η SCHUFA είναι ιδιωτική εταιρία γερμανικού δικαίου η οποία παρέχει στους αντισυμβαλλομένους της πληροφορίες σχετικά με τη φερεγγυότητα τρίτων, ιδίως καταναλωτών. Προς τούτο, προβλέπει την πιθανότητα μελλοντικής συμπεριφοράς ενός προσώπου («score»), όπως η αποπληρωμή δανείου, βάσει ορισμένων χαρακτηριστικών του προσώπου αυτού, τα οποία προκύπτουν από μαθηματικές και στατιστικές διαδικασίες. Ο προσδιορισμός βαθμολογιών («scoring») βασίζεται στην υπόθεση ότι, μέσω της κατάταξης ενός προσώπου σε ομάδα άλλων προσώπων τα οποία έχουν παρόμοια χαρακτηριστικά και τα οποία έχουν συμπεριφερθεί με συγκεκριμένο τρόπο, μπορεί να προβλεφθεί μια παρόμοια συμπεριφορά.
15 Από την αίτηση προδικαστικής αποφάσεως προκύπτει ότι η αίτηση της OQ για χορήγηση δανείου από τρίτον απορρίφθηκε, αφού προηγουμένως παρασχέθηκαν αρνητικές πληροφορίες από την SCHUFA στον εν λόγω τρίτο. Η OQ ζήτησε από τη SCHUFA να της παράσχει πληροφορίες σχετικά με τα καταχωρισμένα δεδομένα προσωπικού χαρακτήρα και να διαγράψει τα προβαλλόμενα ως εσφαλμένα δεδομένα προσωπικού χαρακτήρα.
16 Απαντώντας στο αίτημα αυτό, η SCHUFA ενημέρωσε την OQ για τη βαθμολογία της και εξέθεσε, σε γενικές γραμμές, τον τρόπο υπολογισμού των βαθμολογιών. Εντούτοις, η εν λόγω εταιρία, επικαλούμενη το επιχειρηματικό απόρρητο, αρνήθηκε να αποκαλύψει τις διάφορες πληροφορίες που ελήφθησαν υπόψη για τον υπολογισμό αυτό καθώς και τη στάθμισή τους. Τέλος, η SCHUFA επισήμανε ότι αποστέλλει πληροφορίες μόνο στους αντισυμβαλλομένους της και ότι οι αντισυμβαλλόμενοί της είναι εκείνοι που λαμβάνουν τις συμβατικές αποφάσεις αυτές καθεαυτές.
17 Με καταγγελία που υπέβαλε στις 18 Οκτωβρίου 2018, η OQ ζήτησε από το HBDI, την αρμόδια εποπτική αρχή, να υποχρεώσει την SCHUFA να κάνει δεκτό το αίτημά της για παροχή πρόσβασης στις πληροφορίες και για διαγραφή τους.
18 Με απόφαση της 3ης Ιουνίου 2020, το HBDI απέρριψε το ανωτέρω αίτημα, με το σκεπτικό ότι δεν είχε αποδειχθεί ότι η SCHUFA δεν πληροί τις απαιτήσεις του άρθρου 31 του BDSG τις οποίες υπέχει όσον αφορά τη δραστηριότητά της.
19 Η OQ άσκησε προσφυγή κατά της ως άνω απόφασης ενώπιον του Verwaltungsgericht Wiesbaden (διοικητικού πρωτοδικείου Wiesbaden, Γερμανία), ήτοι του αιτούντος δικαστηρίου, κατ’ εφαρμογήν του άρθρου 78, παράγραφος 1, του ΓΚΠΔ.
20 Το αιτούν δικαστήριο επισημαίνει ότι, προκειμένου να αποφανθεί επί της διαφοράς της οποίας έχει επιληφθεί, πρέπει να διαπιστώσει εάν ο προσδιορισμός τιμής πιθανότητας όπως η επίμαχη στην υπόθεση της κύριας δίκης συνιστά αυτοματοποιημένη ατομική απόφαση κατά την έννοια του άρθρου 22, παράγραφος 1, του ΓΚΠΔ. Ειδικότερα, σε περίπτωση καταφατικής απάντησης, η νομιμότητα της δραστηριότητας αυτής θα εξαρτάται, σύμφωνα με το άρθρο 22, παράγραφος 2, στοιχείο βʹ, του κανονισμού αυτού, από την προϋπόθεση ότι η απόφαση αυτή επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας.
21 Συναφώς, το αιτούν δικαστήριο διατηρεί αμφιβολίες ως προς το κατά πόσον μπορεί να θεωρηθεί ότι το άρθρο 22, παράγραφος 1, του ΓΚΠΔ δεν έχει εφαρμογή στη δραστηριότητα εταιριών όπως η SCHUFA. Οι αμφιβολίες του εδράζονται, από άποψη πραγματικών περιστατικών, στη επιρροή που ασκεί μια τιμή πιθανότητας όπως η επίμαχη στην υπόθεση της κύριας δίκης επί της πρακτικής λήψης αποφάσεων των τρίτων στους οποίους διαβιβάζεται αυτή η τιμή πιθανότητας και, από νομική άποψη, κατά κύριο λόγο στους σκοπούς τους οποίους επιδιώκει το εν λόγω άρθρο 22, παράγραφος 1, και στις εγγυήσεις νομικής προστασίας τις οποίες κατοχυρώνει ο ΓΚΠΔ.
22 Ειδικότερα, το αιτούν δικαστήριο υπογραμμίζει ότι η τιμή πιθανότητας είναι εκείνη που καθορίζει κατά κανόνα αν και πώς θα συμβληθεί ο τρίτος με το υποκείμενο των δεδομένων. Το άρθρο 22 του ΓΚΠΔ αποσκοπεί ακριβώς στην προστασία των υποκειμένων των δεδομένων από τους κινδύνους που συνδέονται με τις αποφάσεις που στηρίζονται αποκλειστικά σε αυτοματισμό.
23 Αντιθέτως, κατά το αιτούν δικαστήριο, αν το άρθρο 22, παράγραφος 1, του ΓΚΠΔ ερμηνευθεί υπό την έννοια ότι ως «αυτοματοποιημένη ατομική απόφαση» μπορεί να θεωρηθεί, σε περίπτωση όπως η επίμαχη στην υπόθεση της κύριας δίκης, μόνο η απόφαση την οποία λαμβάνει ο τρίτος έναντι του υποκειμένου των δεδομένων, θα προκύψει κενό στη νομική προστασία. Συγκεκριμένα, αφενός, εταιρίες όπως η SCHUFA δεν θα υποχρεούνται να παράσχουν πρόσβαση στις συμπληρωματικές πληροφορίες τις οποίες δικαιούται να λάβει το υποκείμενο των δεδομένων δυνάμει του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του κανονισμού αυτού, διότι οι εταιρίες αυτές δεν θα είναι εκείνες που λαμβάνουν «αυτοματοποιημένη απόφαση» κατά την έννοια της ίδιας διάταξης και, κατά συνέπεια, κατά την έννοια του άρθρου 22, παράγραφος 1, του ΓΚΠΔ. Αφετέρου, ο τρίτος στον οποίο γνωστοποιείται η τιμή πιθανότητας θα δεν μπορεί να παράσχει τις συμπληρωματικές αυτές πληροφορίες διότι δεν θα βρίσκονται στη διάθεσή του.
24 Επομένως, κατά το αιτούν δικαστήριο, για να αποφευχθεί ένα τέτοιο κενό στη νομική προστασία, ο προσδιορισμός τιμής πιθανότητας όπως η επίμαχη στην υπόθεση της κύριας δίκης απαιτείται να εμπίπτει στο πεδίο εφαρμογής του άρθρου 22, παράγραφος 1, του ΓΚΠΔ.
25 Εφόσον γίνει δεκτή μια τέτοια ερμηνεία, η νομιμότητα της εν λόγω δραστηριότητας θα εξαρτάται από την ύπαρξη νομικής βάσης στο επίπεδο του οικείου κράτους μέλους, σύμφωνα με το άρθρο 22, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ. Εν προκειμένω, μολονότι είναι αληθές ότι το άρθρο 31 του BDSG θα μπορούσε να αποτελέσει τέτοια νομική βάση στη Γερμανία, υφίστανται σοβαρές αμφιβολίες ως προς τη συμβατότητα της διάταξης αυτής με το άρθρο 22 του ΓΚΠΔ, διότι ο Γερμανός νομοθέτης ρυθμίζει μόνον τη «χρήση» μιας τιμής πιθανότητας όπως η επίμαχη στην υπόθεση της κύριας δίκης και όχι αυτόν καθεαυτόν τον προσδιορισμό της τιμής.
26 Αντιθέτως, κατά το αιτούν δικαστήριο, σε περίπτωση που ο προσδιορισμός μιας τέτοιας τιμής πιθανότητας δεν συνιστά αυτοματοποιημένη ατομική απόφαση κατά την έννοια του άρθρου 22 του ΓΚΠΔ, η ρήτρα ανοίγματος της παραγράφου 2, στοιχείο βʹ, του άρθρου 22 δεν θα εφαρμόζεται ούτε στις σχετικές με τη συγκεκριμένη δραστηριότητα εθνικές ρυθμίσεις. Λαμβανομένου υπόψη του καταρχήν εξαντλητικού χαρακτήρα του ΓΚΠΔ και ελλείψει άλλης κανονιστικής αρμοδιότητας για τέτοιες εθνικές ρυθμίσεις, φαίνεται ότι ο Γερμανός νομοθέτης, υπάγοντας τον προσδιορισμό των τιμών πιθανότητας σε αυστηρότερες προϋποθέσεις ουσιαστικής νομιμότητας, εξειδικεύει το ρυθμιζόμενο ζήτημα κατά τρόπο που εκφεύγει των απαιτήσεων που τάσσουν τα άρθρα 6 και 22 του ΓΚΠΔ, χωρίς να διαθέτει προς τούτο εξουσία ρύθμισης. Αν ίσχυε κάτι τέτοιο, θα μεταβαλλόταν το περιθώριο ελέγχου της εθνικής εποπτικής αρχής, η οποία θα έπρεπε στην περίπτωση αυτή να εκτιμήσει τη συμβατότητα της δραστηριότητας των γραφείων οικονομικών πληροφοριών υπό το πρίσμα του άρθρου 6 του ΓΚΠΔ.
27 Υπό τις συνθήκες αυτές, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:
«1) Έχει το άρθρο 22, παράγραφος 1, του [ΓΚΠΔ] την έννοια ότι η αυτοματοποιημένη παραγωγή μιας τιμής πιθανότητας ως προς τη μελλοντική ικανότητα του υποκειμένου των δεδομένων να ανταποκριθεί στις υποχρεώσεις πιστώσεως συνιστά απόφαση η οποία λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, και η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο, όταν η εν λόγω τιμή που έχει υπολογιστεί βάσει δεδομένων προσωπικού χαρακτήρα του υποκειμένου των δεδομένων διαβιβάζεται από τον υπεύθυνο επεξεργασίας σε τρίτο υπεύθυνο επεξεργασίας και κάθε τρίτος βασίζει κατά κύριο λόγο την απόφασή του για τη σύναψη, την εκτέλεση ή τη λήξη συμβατικής σχέσεως με το υποκείμενο των δεδομένων στην εν λόγω τιμή;
2) Σε περίπτωση αρνητικής απαντήσεως στο πρώτο προδικαστικό ερώτημα:
Έχουν το άρθρο 6, παράγραφος 1, και το άρθρο 22 του [ΓΚΠΔ] την έννοια ότι αντίκεινται σε εθνική διάταξη, σύμφωνα με την οποία η χρήση τιμής πιθανότητας –εν προκειμένω σχετικά με τη φερεγγυότητα και την πρόθεση πληρωμής φυσικού προσώπου, στο πλαίσιο της συνεκτιμήσεως πληροφοριών επί απαιτήσεων– αναφορικά με μια συγκεκριμένη μελλοντική συμπεριφορά φυσικού προσώπου προς τον σκοπό της λήψεως αποφάσεως ως προς τη σύναψη, την εκτέλεση ή τη λήξη συμβατικής σχέσεως με το εν λόγω πρόσωπο (“scoring”, [βαθμολόγηση]) επιτρέπεται μόνο όταν πληρούνται συγκεκριμένες επιπλέον προϋποθέσεις, οι οποίες αναφέρονται αναλυτικά στο σκεπτικό της αιτήσεως προδικαστικής αποφάσεως;»
Επί του παραδεκτού της αιτήσεως προδικαστικής αποφάσεως
28 Η Schufa αμφισβητεί το παραδεκτό της αιτήσεως προδικαστικής αποφάσεως προβάλλοντας, πρώτον, ότι το αιτούν δικαστήριο δεν καλείται να ελέγξει το περιεχόμενο απόφασης επί καταγγελίας η οποία εκδόθηκε από εποπτική αρχή όπως το HBDI, δεδομένου ότι η κατά το άρθρο 78, παράγραφος 1, του ΓΚΠΔ ένδικη προσφυγή κατά τέτοιας απόφασης χρησιμεύει μόνο για τον έλεγχο της τήρησης των υποχρεώσεων που υπέχει η εποπτική αρχή από τον εν λόγω κανονισμό, και ειδικότερα της υποχρέωσης εξέτασης των καταγγελιών, διευκρινιζομένου ότι η εποπτική αρχή διαθέτει διακριτική ευχέρεια ως προς το αν και με ποιον τρόπο οφείλει να αναλάβει ενέργειες.
29 Δεύτερον, η SCHUFA υποστηρίζει ότι το αιτούν δικαστήριο δεν εκθέτει τους ακριβείς λόγους για τους οποίους τα υποβληθέντα ερωτήματα έχουν αποφασιστική σημασία για την επίλυση της διαφοράς της κύριας δίκης. Θεωρεί ότι αντικείμενο της διαφοράς αυτής είναι αίτημα για την παροχή πληροφοριών σχετικά με συγκεκριμένη βαθμολογία και για τη διαγραφή της βαθμολογίας αυτής. Εν προκειμένω, η SCHUFA τήρησε επαρκώς την υποχρέωση ενημέρωσης που υπέχει και διέγραψε ήδη τη βαθμολογία που αποτελεί το αντικείμενο της διαδικασίας.
30 Συναφώς, υπενθυμίζεται ότι, κατά πάγια νομολογία του Δικαστηρίου, το εθνικό δικαστήριο, το οποίο έχει επιληφθεί της διαφοράς και φέρει την ευθύνη για τη δικαστική απόφαση που πρόκειται να εκδοθεί, είναι αποκλειστικώς αρμόδιο να εκτιμήσει, με γνώμονα τις ιδιαιτερότητες της υπόθεσης, τόσο αν η προδικαστική απόφαση είναι αναγκαία για την έκδοση της δικής του απόφασης όσο και αν τα ερωτήματα που υποβάλλει στο Δικαστήριο είναι λυσιτελή. Κατά συνέπεια, εφόσον τα υποβληθέντα ερωτήματα αφορούν την ερμηνεία ή το κύρος κανόνα του δικαίου της Ένωσης, το Δικαστήριο υποχρεούται κατ’ αρχήν να απαντήσει (απόφαση της 12ης Ιανουαρίου 2023, DOBELES HES, C‑702/20 και C‑17/21, EU:C:2023:1, σκέψη 46 και εκεί μνημονευόμενη νομολογία).
31 Επομένως, τα ερωτήματα που αφορούν το δίκαιο της Ένωσης θεωρούνται κατά τεκμήριο λυσιτελή. Το Δικαστήριο μπορεί να αρνηθεί να αποφανθεί επί προδικαστικού ερωτήματος υποβληθέντος από εθνικό δικαστήριο μόνον αν προκύπτει προδήλως ότι η ζητούμενη ερμηνεία κανόνα του δικαίου της Ένωσης ουδεμία σχέση έχει με το υποστατό ή το αντικείμενο της διαφοράς της κύριας δίκης, όταν το ζήτημα είναι υποθετικής φύσεως ή επίσης όταν το Δικαστήριο δεν διαθέτει τα πραγματικά και νομικά στοιχεία τα οποία είναι αναγκαία προκειμένου να δώσει χρήσιμη απάντηση στα υποβληθέντα ερωτήματα (απόφαση της 12ης Ιανουαρίου 2023, DOBELES HES, C‑702/20 και C‑17/21, EU:C:2023:1, σκέψη 47 και εκεί μνημονευόμενη νομολογία).
32 Όσον αφορά, πρώτον, τον λόγο απαραδέκτου με τον οποίο προβάλλεται ότι οι αποφάσεις επί καταγγελίας οι οποίες εκδίδονται από εποπτική αρχή υπόκεινται σε περιορισμένο δικαστικό έλεγχο, υπενθυμίζεται ότι, κατά το άρθρο 78, παράγραφος 1, του ΓΚΠΔ, με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.
33 Εν προκειμένω, η απόφαση την οποία εξέδωσε το HBDI υπό την ιδιότητα της εποπτικής αρχής αποτελεί νομικά δεσμευτική απόφαση κατά την έννοια του ως άνω άρθρου 78, παράγραφος 1. Συγκεκριμένα, μετά την εξέταση της βασιμότητας της καταγγελίας της οποίας επιλήφθηκε, η εν λόγω αρχή αποφάνθηκε επί της καταγγελίας και διαπίστωσε ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα στην οποία αντιτάχθηκε η προσφεύγουσα της κύριας δίκης ήταν νόμιμη.
34 Όσον αφορά την έκταση του δικαστικού ελέγχου που ασκείται επί τέτοιας απόφασης στο πλαίσιο προσφυγής που ασκείται βάσει του άρθρου 78, παράγραφος 1, του ΓΚΠΔ, αρκεί η επισήμανση ότι οι αποφάσεις επί καταγγελίας τις οποίες εκδίδει εποπτική αρχή υπόκεινται σε πλήρη δικαστικό έλεγχο [απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding (Χορήγηση πτωχευτικής απαλλαγής), C‑26/22 και C‑64/22, EU:C:2023:XXX, σημείο 1 του διατακτικού].
35 Επομένως, ο πρώτος λόγος απαραδέκτου που προέβαλε η SCHUFA πρέπει να απορριφθεί.
36 Δεύτερον, από την αίτηση προδικαστικής αποφάσεως προκύπτει σαφώς ότι το αιτούν δικαστήριο διερωτάται ως προς το κριτήριο ελέγχου το οποίο πρέπει να ληφθεί υπόψη κατά την εκτίμηση της επίμαχης στην υπόθεση της κύριας δίκης επεξεργασίας δεδομένων προσωπικού χαρακτήρα υπό το πρίσμα του ΓΚΠΔ, δεδομένου ότι το κριτήριο αυτό εξαρτάται από το κατά πόσον είναι δυνατή η εφαρμογή του άρθρου 22, παράγραφος 1, του κανονισμού.
37 Επομένως, δεν προκύπτει κατά πρόδηλο τρόπο ότι η ερμηνεία του ΓΚΠΔ την οποία ζητεί το αιτούν δικαστήριο δεν έχει καμία σχέση με το υποστατό ή το αντικείμενο της διαφοράς της κύριας δίκης ούτε ότι το πρόβλημα είναι υποθετικής φύσεως. Επιπλέον, το Δικαστήριο διαθέτει τα αναγκαία πραγματικά και νομικά στοιχεία προκειμένου να δώσει χρήσιμη απάντηση στα υποβληθέντα προδικαστικά ερωτήματα.
38 Επομένως, ο δεύτερος λόγος απαραδέκτου που προέβαλε η SCHUFA πρέπει επίσης να απορριφθεί.
39 Υπό τις συνθήκες αυτές, η αίτηση προδικαστικής αποφάσεως είναι παραδεκτή.
Επί των προδικαστικών ερωτημάτων
Επί του πρώτου προδικαστικού ερωτήματος
40 Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 22, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι συνιστά «αυτοματοποιημένη ατομική απόφαση», κατά τη διάταξη αυτή, ο αυτοματοποιημένος προσδιορισμός, από γραφείο οικονομικών πληροφοριών, μιας τιμής πιθανότητας στηριζόμενης σε δεδομένα προσωπικού χαρακτήρα τα οποία αφορούν ένα πρόσωπο και σχετίζονται με τη μελλοντική του ικανότητα να ανταποκριθεί σε υποχρεώσεις πίστωσης, όταν η τιμή πιθανότητας είναι καθοριστικής σημασίας για το κατά πόσον ένας τρίτος, στον οποίο διαβιβάζεται η εν λόγω τιμή, θα συνάψει, εκτελέσει ή καταγγείλει συμβατική σχέση με το πρόσωπο το οποίο αφορούν τα δεδομένα.
41 Προκειμένου να δοθεί απάντηση στο πρώτο προδικαστικό ερώτημα, υπενθυμίζεται προκαταρκτικώς ότι για την ερμηνεία διάταξης του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο αυτή εντάσσεται, καθώς και οι σκοποί που επιδιώκονται με την πράξη της οποίας αποτελεί μέρος (απόφαση της 22ας Ιουνίου 2023, Pankki S, C‑579/21, EU:C:2023:501, σκέψη 38 και εκεί μνημονευόμενη νομολογία).
42 Όσον αφορά το γράμμα του άρθρου 22, παράγραφος 1, του ΓΚΠΔ, η διάταξη αυτή προβλέπει ότι το υποκείμενο των δεδομένων έχει το δικαίωμα να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ, η οποία παράγει έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο.
43 Επομένως, για την εφαρμογή της διάταξης αυτής πρέπει να πληρούνται τρεις σωρευτικές προϋποθέσεις, ήτοι, πρώτον, πρέπει να υφίσταται «απόφαση», δεύτερον, η απόφαση αυτή πρέπει να «λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ», και, τρίτον, η απόφαση πρέπει να παράγει «έννομα αποτελέσματα [που αφορούν τον ενδιαφερόμενο]» ή να τον επηρεάζει «σημαντικά με παρόμοιο τρόπο».
44 Όσον αφορά, πρώτον, την προϋπόθεση σχετικά με την ύπαρξη απόφασης, επισημαίνεται ότι ο εν λόγω κανονισμός δεν ορίζει την έννοια της «απόφασης» κατά το άρθρο 22, παράγραφος 1, του ΓΚΠΔ. Από το ίδιο το γράμμα της διάταξης αυτής προκύπτει, ωστόσο, ότι η συγκεκριμένη έννοια καταλαμβάνει όχι μόνο πράξεις οι οποίες παράγουν έννομα αποτελέσματα που αφορούν το οικείο πρόσωπο, αλλά και πράξεις που το επηρεάζουν σημαντικά με παρόμοιο τρόπο.
45 Το ευρύ περιεχόμενο της έννοιας της «απόφασης» επιβεβαιώνεται από την αιτιολογική σκέψη 71 του ΓΚΠΔ, κατά την οποία η απόφαση που περιλαμβάνει την αξιολόγηση προσωπικών πτυχών που αφορούν ένα πρόσωπο, στην οποία το πρόσωπο θα πρέπει να έχει το δικαίωμα να μην υπόκειται, «μπορεί να περιλαμβάνει κάποιο μέτρο» το οποίο είτε παράγει «έννομα αποτελέσματα έναντι του προσώπου αυτού» είτε «το επηρεάζει σημαντικά κατά ανάλογο τρόπο». Κατά την εν λόγω αιτιολογική σκέψη, ο όρος «απόφαση» καταλαμβάνει, για παράδειγμα, την αυτόματη άρνηση επιγραμμικής αίτησης πίστωσης ή πρακτικές ηλεκτρονικών προσλήψεων χωρίς ανθρώπινη παρέμβαση.
46 Δεδομένου ότι η έννοια της «απόφασης» κατά το άρθρο 22, παράγραφος 1, του ΓΚΠΔ μπορεί, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 38 των προτάσεών του, να περιλαμβάνει διάφορες πράξεις που μπορούν να επηρεάζουν το υποκείμενο των δεδομένων με πλείονες τρόπους, η έννοια αυτή είναι αρκούντως ευρεία ώστε να περιλαμβάνει το αποτέλεσμα του υπολογισμού της φερεγγυότητας ενός προσώπου υπό τη μορφή τιμής πιθανότητας όσον αφορά τη μελλοντική ικανότητα του προσώπου αυτού να ανταποκριθεί σε υποχρεώσεις πίστωσης.
47 Όσον αφορά, δεύτερον, την προϋπόθεση ότι η κατά το εν λόγω άρθρο 22, παράγραφος 1, απόφαση πρέπει να «λαμβάνεται αποκλειστικά βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ», όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 33 των προτάσεών του, δεν αμφισβητείται ότι δραστηριότητα όπως αυτή της SCHUFA εμπίπτει στον ορισμό της «κατάρτισης προφίλ» στο άρθρο 4, σημείο 4, του ΓΚΠΔ και ότι, ως εκ τούτου, πληρούται εν προκειμένω η συγκεκριμένη προϋπόθεση, καθώς η διατύπωση του πρώτου προδικαστικού ερωτήματος κάνει εξάλλου ρητή μνεία στην αυτοματοποιημένη παραγωγή μιας τιμής πιθανότητας στηριζόμενης σε δεδομένα προσωπικού χαρακτήρα που αφορούν ένα πρόσωπο και σχετίζονται με τη μελλοντική του ικανότητα να ανταποκριθεί σε υποχρεώσεις πίστωσης.
48 Όσον αφορά, τρίτον, την προϋπόθεση ότι η απόφαση πρέπει να παράγει «έννομα αποτελέσματα» όσον αφορά το οικείο πρόσωπο ή να το επηρεάζει «σημαντικά με παρόμοιο τρόπο», από το ίδιο το περιεχόμενο του πρώτου προδικαστικού ερωτήματος προκύπτει ότι η ενέργεια του τρίτου στον οποίο διαβιβάζεται η τιμή πιθανότητας υπαγορεύεται «κατά τρόπο καθοριστικό» από την τιμή αυτή. Επομένως, σύμφωνα με τις διαπιστώσεις του αιτούντος δικαστηρίου περί τα πραγματικά περιστατικά, σε περίπτωση που καταναλωτής υποβάλει σε τράπεζα αίτηση χορήγησης δανείου, μια μη ικανοποιητική τιμή πιθανότητας συνεπάγεται, σε όλες σχεδόν τις περιπτώσεις, την άρνηση της τράπεζας να χορηγήσει το ζητηθέν δάνειο.
49 Υπό τις συνθήκες αυτές, πρέπει να γίνει δεκτό ότι πληρούται και η τρίτη προϋπόθεση από την οποία εξαρτάται η εφαρμογή του άρθρου 22, παράγραφος 1, του ΓΚΠΔ, δεδομένου ότι τιμή πιθανότητας όπως η επίμαχη στην υπόθεση της κύριας δίκης επηρεάζει, κατ’ ελάχιστον, σημαντικά το υποκείμενο των δεδομένων.
50 Εξ αυτού απορρέει ότι, όταν, όπως στην υπόθεση της κύριας δίκης, η τιμή πιθανότητας η οποία υπολογίζεται από γραφείο οικονομικών πληροφοριών και διαβιβάζεται σε τράπεζα έχει καθοριστική σημασία για τη χορήγηση πίστωσης, πρέπει αυτός καθεαυτόν ο προσδιορισμός της τιμής πιθανότητας να θεωρηθεί ως απόφαση η οποία παράγει έναντι του υποκειμένου των δεδομένων «έννομα αποτελέσματα που το αφορούν ή το επηρεάζει σημαντικά με παρόμοιο τρόπο» κατά την έννοια του άρθρου 22, παράγραφος 1, του ΓΚΠΔ.
51 Η ερμηνεία αυτή επιρρωννύεται από το πλαίσιο εντός του οποίου εντάσσεται το άρθρο 22, παράγραφος 1, του ΓΚΠΔ, καθώς και από τα αντικείμενα και τον σκοπό που επιδιώκει ο κανονισμός αυτός.
52 Συναφώς, όπως παρατήρησε και ο γενικός εισαγγελέας στο σημείο 31 των προτάσεών του, το άρθρο 22, παράγραφος 1, του ΓΚΠΔ απονέμει στο οικείο πρόσωπο το «δικαίωμα» να μην υπόκειται σε απόφαση που λαμβάνεται αποκλειστικά και μόνο βάσει αυτοματοποιημένης επεξεργασίας, συμπεριλαμβανομένης της κατάρτισης προφίλ. Η διάταξη αυτή θεσπίζει μια κατ’ αρχήν απαγόρευση, η παραβίαση της οποίας δεν απαιτεί ατομική επίκλησή της από το υποκείμενο των δεδομένων.
53 Πράγματι, όπως προκύπτει από τον συνδυασμό του άρθρου 22, παράγραφος 2, του ΓΚΠΔ και της αιτιολογικής σκέψης 71 του κανονισμού αυτού, η έκδοση απόφασης που βασίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία επιτρέπεται μόνο στις περιπτώσεις που προβλέπει το εν λόγω άρθρο 22, παράγραφος 2, ήτοι όταν η απόφαση αυτή είναι αναγκαία για τη σύναψη ή την εκτέλεση σύμβασης μεταξύ του υποκειμένου των δεδομένων και του υπευθύνου επεξεργασίας (στοιχείο αʹ), εφόσον επιτρέπεται από το δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας (στοιχείο βʹ) ή όταν βασίζεται στη ρητή συγκατάθεση του υποκειμένου των δεδομένων (στοιχείο γʹ).
54 Επιπλέον, το άρθρο 22 του ΓΚΠΔ προβλέπει, στην παράγραφο 2, στοιχείο βʹ, και στην παράγραφο 3, ότι πρέπει να προβλέπονται κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων. Στις περιπτώσεις που προβλέπει το άρθρο 22, παράγραφος 2, στοιχεία αʹ και γʹ, του κανονισμού αυτού, ο υπεύθυνος επεξεργασίας μεριμνά τουλάχιστον για την εκπλήρωση του δικαιώματος του υποκειμένου των δεδομένων να εξασφαλίζει ανθρώπινη παρέμβαση, να εκφράζει την άποψή του και να αμφισβητεί την απόφαση.
55 Εξάλλου, σύμφωνα με το άρθρο 22, παράγραφος 4, του ΓΚΠΔ, μόνο σε συγκεκριμένες περιπτώσεις οι αυτοματοποιημένες ατομικές αποφάσεις κατά την έννοια του άρθρου 22 μπορούν να βασίζονται στις ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα που μνημονεύονται στο άρθρο 9, παράγραφος 1, του κανονισμού αυτού.
56 Επιπλέον, στην περίπτωση αυτοματοποιημένης λήψης αποφάσεων, όπως η προβλεπόμενη στο άρθρο 22, παράγραφος 1, του ΓΚΠΔ, αφενός, ο υπεύθυνος επεξεργασίας υπέχει πρόσθετες υποχρεώσεις παροχής πληροφοριών δυνάμει του άρθρου 13, παράγραφος 2, στοιχείο στʹ, καθώς και του άρθρου 14, παράγραφος 2, στοιχείο ζʹ, του κανονισμού αυτού. Αφετέρου, το υποκείμενο των δεδομένων έχει, δυνάμει του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του εν λόγω κανονισμού, το δικαίωμα να λαμβάνει από τον υπεύθυνο επεξεργασίας, μεταξύ άλλων, «σημαντικές πληροφορίες σχετικά με τη λογική που ακολουθείται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες της εν λόγω επεξεργασίας για το υποκείμενο των δεδομένων».
57 Αυτές οι υψηλότερες απαιτήσεις όσον αφορά τη νομιμότητα της αυτοματοποιημένης λήψης αποφάσεων, καθώς και οι πρόσθετες υποχρεώσεις του υπευθύνου επεξεργασίας για παροχή πληροφοριών και τα συναφή επιπλέον δικαιώματα πρόσβασης του υποκειμένου των δεδομένων εξηγούνται από τον σκοπό που επιδιώκεται με το άρθρο 22 του ΓΚΠΔ, ο οποίος συνίσταται στην προστασία των φυσικών προσώπων από συγκεκριμένους κινδύνους για τα δικαιώματα και τις ελευθερίες τους λόγω της αυτοματοποιημένης επεξεργασίας δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένης της κατάρτισης προφίλ.
58 Πράγματι, όπως προκύπτει από την αιτιολογική σκέψη 71 του ΓΚΠΔ, η επεξεργασία αυτή περιλαμβάνει την αξιολόγηση προσωπικών πτυχών του φυσικού προσώπου το οποίο αφορά η επεξεργασία αυτή, ιδίως για την ανάλυση ή την πρόβλεψη πτυχών που αφορούν τις επιδόσεις στην εργασία, την οικονομική κατάσταση, την υγεία, τις προτιμήσεις ή τα ενδιαφέροντά του, την αξιοπιστία ή τη συμπεριφορά του ή τη θέση και τις μετακινήσεις του.
59 Οι συγκεκριμένοι αυτοί κίνδυνοι ενδέχεται, σύμφωνα με την εν λόγω αιτιολογική σκέψη, να επηρεάσουν τα έννομα συμφέροντα και τα δικαιώματα του υποκειμένου των δεδομένων, λαμβανομένων ιδίως υπόψη των δυνητικών αποτελεσμάτων που εισάγουν διακρίσεις εις βάρος φυσικών προσώπων, βάσει της φυλετικής ή εθνοτικής καταγωγής, των πολιτικών φρονημάτων, της θρησκείας ή των πεποιθήσεων, της συμμετοχής σε συνδικαλιστικές οργανώσεις, της γενετικής κατάστασης ή της κατάστασης της υγείας ή του γενετήσιου προσανατολισμού. Επομένως, κατά την εν λόγω αιτιολογική σκέψη, είναι σημαντικό να προβλέπονται κατάλληλες εγγυήσεις και να διασφαλίζεται η δίκαιη και διαφανής επεξεργασία σε σχέση με το υποκείμενο των δεδομένων, ιδίως με τη χρήση κατάλληλων μαθηματικών ή στατιστικών διαδικασιών για την κατάρτιση προφίλ και με την εφαρμογή κατάλληλων τεχνικών και οργανωτικών μέτρων, ώστε να διασφαλίζεται ότι ελαχιστοποιείται ο κίνδυνος σφαλμάτων.
60 Η ερμηνεία που εκτέθηκε στις σκέψεις 42 έως 50 της παρούσας απόφασης, και ιδίως το ευρύ περιεχόμενο της έννοιας της «απόφασης», κατά το άρθρο 22, παράγραφος 1, του ΓΚΠΔ, ενισχύει την αποτελεσματική προστασία στην οποία αναφέρεται η διάταξη αυτή.
61 Αντιθέτως, υπό περιστάσεις όπως οι επίμαχες στην υπόθεση της κύριας δίκης, στις οποίες υφίστανται τρεις εμπλεκόμενοι, θα υπήρχε κίνδυνος καταστρατήγησης του άρθρου 22 του ΓΚΠΔ και, κατά συνέπεια, κενό στην έννομη προστασία αν γινόταν δεκτή μια συσταλτική ερμηνεία της διάταξης αυτής, σύμφωνα με την οποία ο προσδιορισμός της τιμής πιθανότητας πρέπει να θεωρείται απλώς ως προπαρασκευαστική πράξη, ενώ ως «απόφαση» κατά την έννοια του άρθρου 22, παράγραφος 1, του κανονισμού αυτού μπορεί, κατά περίπτωση, να θεωρηθεί μόνον η πράξη την οποία εκδίδει ο τρίτος.
62 Συγκεκριμένα, σε μια τέτοια περίπτωση, ο προσδιορισμός τιμής πιθανότητας όπως η επίμαχη στην υπόθεση της κύριας δίκης θα εξέφευγε των ειδικών απαιτήσεων που τάσσει το άρθρο 22, παράγραφοι 2 έως 4, του ΓΚΠΔ, μολονότι η εν λόγω διαδικασία στηρίζεται σε αυτοματοποιημένη επεξεργασία και παράγει αποτελέσματα που επηρεάζουν σημαντικά το υποκείμενο των δεδομένων, καθόσον οι ενέργειες του τρίτου, στον οποίο διαβιβάζεται αυτή η τιμή πιθανότητας, υπαγορεύονται κατά τρόπο καθοριστικό από την τιμή αυτή.
63 Επιπλέον, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 48 των προτάσεών του, αφενός, το υποκείμενο των δεδομένων δεν θα μπορούσε να επικαλεστεί, έναντι του γραφείου οικονομικών πληροφοριών το οποίο προσδιορίζει την τιμή πιθανότητας που αφορά το οικείο πρόσωπο, το δικαίωμά του για παροχή πρόσβασης στις συγκεκριμένες πληροφορίες του άρθρου 15, παράγραφος 1, στοιχείο ηʹ, του ΓΚΠΔ, αν δεν είχε προηγηθεί αυτοματοποιημένη λήψη αποφάσεων από το γραφείο αυτό. Αφετέρου, ακόμη και αν υποτεθεί ότι η πράξη που εκδίδει ο τρίτος εμπίπτει στο άρθρο 22, παράγραφος 1, του κανονισμού αυτού καθόσον πληροί τις προϋποθέσεις εφαρμογής της διάταξης, ο τρίτος δεν θα ήταν σε θέση να παράσχει τις συγκεκριμένες αυτές πληροφορίες διότι, κατά κανόνα, δεν τις έχει στη διάθεσή του.
64 Το γεγονός ότι ο προσδιορισμός τιμής πιθανότητας όπως η επίμαχη στην υπόθεση της κύριας δίκης εμπίπτει στο πεδίο εφαρμογής του άρθρου 22, παράγραφος 1, του ΓΚΠΔ έχει ως συνέπεια, όπως επισημάνθηκε στις σκέψεις 53 έως 55 της παρούσας απόφασης, ότι απαγορεύεται ο προσδιορισμός αυτός, εκτός αν έχει εφαρμογή μία από τις εξαιρέσεις του άρθρου 22, παράγραφος 2, του κανονισμού αυτού και τηρούνται οι ειδικές απαιτήσεις του άρθρου 22, παράγραφοι 3 και 4, του εν λόγω κανονισμού.
65 Όσον αφορά, ειδικότερα, το άρθρο 22, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ, στο οποίο παραπέμπει το αιτούν δικαστήριο, από το ίδιο το γράμμα της διάταξης αυτής προκύπτει ότι το εθνικό δίκαιο που επιτρέπει την έκδοση αυτοματοποιημένης ατομικής απόφασης πρέπει να προβλέπει κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων.
66 Υπό το πρίσμα της αιτιολογικής σκέψης 71 του ΓΚΠΔ, τα μέτρα αυτά πρέπει να περιλαμβάνουν, ειδικότερα, την υποχρέωση του υπευθύνου επεξεργασίας να χρησιμοποιεί κατάλληλες μαθηματικές ή στατιστικές διαδικασίες, να εφαρμόζει κατάλληλα τεχνικά και οργανωτικά μέτρα ώστε να διασφαλίζει ότι ελαχιστοποιείται ο κίνδυνος σφαλμάτων και να διορθώνει σφάλματα, καθώς και να διασφαλίζει τα δεδομένα προσωπικού χαρακτήρα κατά τρόπο που να λαμβάνει υπόψη τους πιθανούς κινδύνους για τα συμφέροντα και τα δικαιώματα του υποκειμένου των δεδομένων και να αποτρέπει, μεταξύ άλλων, τις διακρίσεις εις βάρος του υποκειμένου των δεδομένων. Εξάλλου, τα μέτρα αυτά περιλαμβάνουν κατ’ ελάχιστον το δικαίωμα του υποκειμένου των δεδομένων να εξασφαλίζει ανθρώπινη παρέμβαση από τον υπεύθυνο επεξεργασίας, να εκφράζει την άποψή του και να αμφισβητεί την απόφαση που λαμβάνεται σχετικά με αυτό.
67 Επισημαίνεται επίσης ότι, κατά πάγια νομολογία του Δικαστηρίου, κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, αφενός, να είναι σύμφωνη προς τις αρχές που διέπουν την επεξεργασία των δεδομένων, οι οποίες διατυπώνονται στο άρθρο 5 του ΓΚΠΔ και, αφετέρου, λαμβανομένης ιδίως υπόψη της αρχής της νομιμότητας της επεξεργασίας, την οποία προβλέπει η παράγραφος 1, στοιχείο αʹ, του άρθρου αυτού, να πληροί μία από τις προϋποθέσεις νομιμότητας της επεξεργασίας που απαριθμούνται στο άρθρο 6 του κανονισμού αυτού (απόφαση της 20ής Οκτωβρίου 2022, Digi, C‑77/21, EU:C:2022:805, σκέψη 49 και εκεί μνημονευόμενη νομολογία). Ο υπεύθυνος επεξεργασίας πρέπει να είναι σε θέση να αποδείξει την τήρηση των αρχών αυτών, σύμφωνα με την αρχή της λογοδοσίας που ορίζεται στο άρθρο 5, παράγραφος 2, του εν λόγω κανονισμού (πρβλ. απόφαση της 20ής Οκτωβρίου 2022, Digi, C‑77/21, EU:C:2022:805, σκέψη 24).
68 Επομένως, στην περίπτωση που το δίκαιο κράτους μέλους επιτρέπει, σύμφωνα με το άρθρο 22, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ, την έκδοση απόφασης που στηρίζεται αποκλειστικά σε αυτοματοποιημένη επεξεργασία, η επεξεργασία αυτή πρέπει να πληροί όχι μόνο τις προϋποθέσεις που τάσσει η τελευταία αυτή διάταξη και το άρθρο 22, παράγραφος 4, του κανονισμού, αλλά και τις απαιτήσεις των άρθρων 5 και 6 του ίδιου κανονισμού. Ως εκ τούτου, τα κράτη μέλη δεν μπορούν να θεσπίζουν, βάσει του άρθρου 22, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ, ρυθμίσεις που επιτρέπουν την κατάρτιση προφίλ κατά παράβαση των απαιτήσεων τις οποίες τάσσουν τα εν λόγω άρθρα 5 και 6, όπως έχουν ερμηνευθεί από τη νομολογία του Δικαστηρίου.
69 Όσον αφορά ειδικότερα τις προϋποθέσεις νομιμότητας του άρθρου 6, παράγραφος 1, στοιχεία αʹ, βʹ και στʹ, του ΓΚΠΔ, οι οποίες ενδέχεται να έχουν εφαρμογή σε περίπτωση όπως η επίμαχη στην υπόθεση της κύριας δίκης, τα κράτη μέλη δεν έχουν την εξουσία να προβλέπουν συμπληρωματικούς κανόνες για την εφαρμογή των προϋποθέσεων αυτών, δεδομένου ότι η ευχέρεια αυτή περιορίζεται, σύμφωνα με το άρθρο 6, παράγραφος 3, του κανονισμού αυτού, στους λόγους τους οποίους διαλαμβάνει το άρθρο 6, παράγραφος 1, στοιχεία γʹ και εʹ, του εν λόγω κανονισμού.
70 Επιπλέον, όσον αφορά ειδικότερα το άρθρο 6, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, τα κράτη μέλη δεν μπορούν, βάσει του άρθρου 22, παράγραφος 2, στοιχείο βʹ, του κανονισμού αυτού, να παρεκκλίνουν από τις απαιτήσεις που απορρέουν από τη νομολογία του Δικαστηρίου όπως αυτή προκύπτει από την απόφαση της 7ης Δεκεμβρίου 2023, SCHUFA Holding (Χορήγηση πτωχευτικής απαλλαγής) (C‑26/22 και C‑64/22, EU:C:2023:XXX), μεταξύ άλλων, προβλέποντας οριστικά το αποτέλεσμα της στάθμισης των επίμαχων δικαιωμάτων και συμφερόντων (πρβλ. απόφαση της 19ης Οκτωβρίου 2016, Breyer, C‑582/14, EU:C:2016:779, σκέψη 62).
71 Εν προκειμένω, το αιτούν δικαστήριο επισημαίνει ότι μόνο το άρθρο 31 του BDSG μπορεί να αποτελέσει εθνική νομική βάση, κατά την έννοια του άρθρου 22, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ. Ωστόσο, διατηρεί σοβαρές αμφιβολίες ως προς το κατά πόσον το εν λόγω άρθρο 31 είναι συμβατό με το δίκαιο της Ένωσης. Αν η διάταξη αυτή ήθελε κριθεί μη συμβατή με το δίκαιο της Ένωσης, η SCHUFA όχι μόνο ενεργεί χωρίς νομική βάση, αλλά και, αυτοδικαίως, κατά παράβαση της απαγόρευσης του άρθρου 22, παράγραφος 1, του ΓΚΠΔ.
72 Συναφώς, εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει αν το άρθρο 31 του BDSG μπορεί να αποτελέσει νομική βάση επιτρέπουσα, σύμφωνα με το άρθρο 22, παράγραφος 2, στοιχείο βʹ, του ΓΚΠΔ, την έκδοση απόφασης στηριζόμενης αποκλειστικά σε αυτοματοποιημένη επεξεργασία. Αν καταλήξει στο συμπέρασμα ότι το εν λόγω άρθρο 31 συνιστά τέτοια νομική βάση, το αιτούν δικαστήριο οφείλει επίσης να εξακριβώσει αν πληρούνται εν προκειμένω οι προϋποθέσεις που τάσσουν το άρθρο 22, παράγραφοι 2, στοιχείο βʹ, και 4, του ΓΚΠΔ και τα άρθρα 5 και 6 του ίδιου κανονισμού.
73 Λαμβανομένου υπόψη του συνόλου των ανωτέρω σκέψεων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 22, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι ο αυτοματοποιημένος προσδιορισμός, από γραφείο οικονομικών πληροφοριών, μιας τιμής πιθανότητας στηριζόμενης σε δεδομένα προσωπικού χαρακτήρα τα οποία αφορούν ένα πρόσωπο και σχετίζονται με τη μελλοντική του ικανότητα να ανταποκριθεί σε υποχρεώσεις πίστωσης συνιστά «αυτοματοποιημένη ατομική απόφαση», κατά την έννοια της διάταξης αυτής, όταν η τιμή πιθανότητας είναι καθοριστικής σημασίας για το κατά πόσον ένας τρίτος, στον οποίο διαβιβάζεται η εν λόγω τιμή, θα συνάψει, εκτελέσει ή καταγγείλει συμβατική σχέση με το πρόσωπο το οποίο αφορούν τα δεδομένα.
Επί του δευτέρου προδικαστικού ερωτήματος
74 Λαμβανομένης υπόψη της απάντησης που δόθηκε στο πρώτο προδικαστικό ερώτημα, παρέλκει η απάντηση στο δεύτερο προδικαστικό ερώτημα.
Επί των δικαστικών εξόδων
75 Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους της κύριας δίκης τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (πρώτο τμήμα) αποφαίνεται:
Το άρθρο 22, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),
έχει την έννοια ότι:
ο αυτοματοποιημένος προσδιορισμός, από γραφείο οικονομικών πληροφοριών, μιας τιμής πιθανότητας στηριζόμενης σε δεδομένα προσωπικού χαρακτήρα τα οποία αφορούν ένα πρόσωπο και σχετίζονται με τη μελλοντική του ικανότητα να ανταποκριθεί σε υποχρεώσεις πίστωσης συνιστά «αυτοματοποιημένη ατομική απόφαση», κατά την έννοια της διάταξης αυτής, όταν η τιμή πιθανότητας είναι καθοριστικής σημασίας για το κατά πόσον ένας τρίτος, στον οποίο διαβιβάζεται η εν λόγω τιμή, θα συνάψει, εκτελέσει ή καταγγείλει συμβατική σχέση με το πρόσωπο το οποίο αφορούν τα δεδομένα.
(υπογραφές)