ĢENERĀLADVOKĀTA PRĪTA PIKAMĒES [PRIIT PIKAMÄE]
SECINĀJUMI,
sniegti 2023. gada 16. martā (1)
Apvienotās lietas C‑26/22 un C‑64/22
UF (C‑26/22)
AB (C‑64/22)
pret
Land Hessen,
piedaloties
SCHUFA Holding AG
(Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) lūgums sniegt prejudiciālu nolēmumu)
Lūgums sniegt prejudiciālu nolēmumu – Fizisku personu aizsardzība attiecībā uz personas datu apstrādi – Regula (ES) 2016/679 – 6. panta 1. punkta pirmās daļas f) apakšpunkts – Apstrādes likumīgums – 17. panta 1. punkta d) apakšpunkts – Tiesības uz personas datu dzēšanu to nelikumīgas apstrādes gadījumā – 40. pants – Rīcības kodeksi – 77. panta 1. punkts – Tiesības iesniegt sūdzību – 78. panta 1. punkts – Tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādi – Eiropas Savienības Pamattiesību hartas 7. un 8. pants – Uzraudzības iestādes pieņemts lēmums par sūdzību – Šā lēmuma pārbaudes tiesā apjoms – Privāti kredītinformācijas biroji – No publiska reģistra gūtu datu glabāšana – Leģitīmas intereses – Glabāšanas ilgums
I. Ievads
1. Šie lūgumi sniegt prejudiciālu nolēmumu, ko Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) ir iesniegusi, pamatojoties uz LESD 267. pantu, attiecas uz Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 7. un 8. panta, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (2) (turpmāk tekstā – “VDAR”) 6. panta 1. punkta pirmās daļas f) apakšpunkta, 17. panta 1. punkta d) apakšpunkta, 40. panta, 77. panta 1. punkta un 78. panta 1. punkta interpretāciju.
2. Šie lūgumi ir iesniegti saistībā ar divām tiesvedībām prasībās, ko, pirmajā gadījumā, persona UF (lietā C‑26/22) un, otrajā gadījumā, persona AB (lietā C‑64/22) ir cēlušas pret Land Hessen (Hesenes federālā zeme, Vācija), ko pārstāv Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hesenes federālās zemes datu aizsardzības un informācijas brīvības uzraudzītājs; turpmāk tekstā – “HBDI”), par lūgumiem, kuros attiecīgi UF un AB lūdz HBDI rīkoties, lai tiktu dzēsti SCHUFA Holding AG (turpmāk tekstā – “SCHUFA”) reģistrā esošie ieraksti par atbrīvošanu no parādsaistībām.
3. Šīs lietas izvirza dažādus vēl nebijušus juridiskos jautājumus, tostarp par to, kā juridiski kvalificējams sūdzību saņēmušās uzraudzības iestādes pieņemtais lēmums, kā arī par to, kādā apjomā tiesa var veikt pārbaudi saistībā ar šāda lēmuma pārsūdzību. Šīs lietas ir arī par to, vai no publiskiem reģistriem iegūtu personas datu glabāšana kredītinformācijas birojos ir likumīga.
II. Atbilstošās tiesību normas
A. Savienības tiesības
1. Regula (ES) 2015/848
4. Eiropas Parlamenta un Padomes Regulas (ES) 2015/848 (2015. gada 20. maijs) par maksātnespējas procedūrām (3) 79. panta 4. un 5. punkts noteic:
“4. Dalībvalstis saskaņā ar [Eiropas Parlamenta un Padomes] Direktīvu 95/46/EK [(1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.)] ir atbildīgas par datu vākšanu un uzglabāšanu valsts datubāzēs un par lēmumiem, kas pieņemti, lai darītu šādus datus pieejamus savstarpēji savienotos reģistros, kurus var aplūkot, izmantojot Eiropas e‑tiesiskuma portālu.
5. Saistībā ar informāciju, kas datu subjektiem būtu sniedzama, lai dotu tiem iespēju īstenot savas tiesības un jo īpaši tiesības uz datu dzēšanu, dalībvalstis informē datu subjektus par piekļuves laikposmu, kas noteikts maksātnespējas reģistros glabātajiem personas datiem.”
2. VDAR
5. VDAR 5. panta 1. punkts noteic:
“Personas dati:
[..]
b) tiek vākti konkrētos, skaidros un leģitīmos nolūkos, un to turpmāku apstrādi neveic ar minētajiem nolūkiem nesavietojamā veidā; [..] (“nolūka ierobežojumi”);
[..].”
6. Šīs regulas 6. panta 1. punkts noteic:
“Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:
[..]
f) apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm [..]
[..].”
7. VDAR 17. panta 1. punkts noteic:
“Datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja pastāv viens no šādiem nosacījumiem:
[..]
c) datu subjekts iebilst pret apstrādi saskaņā ar 21. panta 1. punktu, un apstrādei nav nekāda svarīgāka leģitīma pamata, vai arī datu subjekts iebilst pret apstrādi saskaņā ar 21. panta 2. punktu;
d) personas dati ir apstrādāti nelikumīgi;
[..].”
8. Šīs regulas 21. panta 1. punkts noteic:
“Datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 6. panta 1. punkta e) vai f) apakšpunktu, tostarp profilēšanu, kas pamatojas uz minētajiem noteikumiem. Pārzinis personas datus vairs neapstrādā, izņemot, ja pārzinis norāda uz pārliecinošiem leģitīmiem apstrādes iemesliem, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai lai celtu, īstenotu vai aizstāvētu likumīgas prasības.”
9. Minētās regulas 40. pants noteic:
“1. Dalībvalstis, uzraudzības iestādes, kolēģija un Komisija mudina izstrādāt rīcības kodeksus, kas paredzēti, lai veicinātu šīs regulas atbilstīgu piemērošanu, ņemot vērā dažādo apstrādes nozaru specifiskās iezīmes un mikrouzņēmumu, mazo un vidējo uzņēmumu konkrētās vajadzības.
2. Apvienības un citas struktūras, kas pārstāv pārziņu vai apstrādātāju kategorijas, var izstrādāt rīcības kodeksus vai tos grozīt vai papildināt, lai precīzi noteiktu, kā piemērojama šī regula, piemēram, attiecībā uz:
a) godprātīgu un pārredzamu apstrādi;
b) pārziņu leģitīmajām interesēm konkrētos gadījumos;
c) personas datu vākšanu;
[..].
5. Šā panta 2. punktā minētās apvienības un citas struktūras, kas plāno izstrādāt rīcības kodeksu vai grozīt vai papildināt esošu rīcības kodeksu, iesniedz rīcības kodeksa, grozījumu vai papildinājumu projektu uzraudzības iestādei, kura saskaņā ar 55. pantu ir kompetenta. Uzraudzības iestāde sniedz atzinumu par to, vai rīcības kodeksa, grozījumu vai papildinājumu projekts ir saskaņā ar šo regulu, un apstiprina minēto rīcības kodeksa, grozījumu vai papildinājumu projektu, ja tā konstatē, ka tas nodrošina pietiekamas atbilstošas garantijas.
[..]”
10. VDAR 77. panta 1. punkts noteic:
“Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.”
11. Šīs regulas 78. pants noteic:
“1. Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katrai fiziskai vai juridiskai personai ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas skar minētās personas.
2. Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katram datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja uzraudzības iestāde, kas ir kompetenta, ievērojot 55. un 56. pantu, trīs mēnešu laikā neizskata sūdzību vai neinformē datu subjektu par sūdzības, kas iesniegta, ievērojot 77. pantu, izskatīšanas virzību vai rezultātiem.
[..]”
B. Vācijas tiesības
12. Insolvenzordnung (Maksātnespējas likums), redakcijā, kas bija spēkā pamatlietu faktu norises laikā, 9. panta 1. punktā noteic:
“Oficiāla publiskošana notiek ar vienotu publikāciju internetā visās federālajās zemēs; tā var notikt arī izvilkumu veidā. Parādnieks ir precīzi jāidentificē, it īpaši norādot viņa adresi un uzņēmējdarbības nozari. Publiskošanu uzskata par notikušu, tiklīdz pēc publicēšanas dienas ir pagājušas divas dienas.”
13. Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Noteikumi par oficiālām publikācijām internetā maksātnespējas procesos; turpmāk tekstā – “InsBekV”) 3. panta 1. un 2. punktā noteic:
“1) Ne vēlāk kā sešus mēnešus pēc dienas, kad ir izbeigts maksātnespējas process vai likumīgā spēkā stājusies šā procesa apturēšana, informācijas un komunikāciju sistēmā tiek dzēsta no maksātnespējas procesa izrietošo datu, t.sk. ziņu par procesa uzsākšanu, publiskošana. Ja process netiek uzsākts, šo termiņu sāk skaitīt no publiskoto drošības pasākumu atcelšanas brīža.
2) Publiskošanai saistībā ar procedūru atbrīvošanai no atlikušajām parādsaistībām, tostarp Likuma par maksātnespēju 289. pantā paredzētā lēmuma publiskošanai, 1. punkta pirmo teikumu piemēro ar nosacījumu, ka termiņu sāk skaitīt no brīža, kad lēmums par atbrīvošanu no parādsaistībām ir stājies likumīgā spēkā.”
III. Pamatlietu rašanās fakti, tiesvedības pamatlietās un prejudiciālie jautājumi
14. Personu UF un AB maksātnespējas procesos ar tiesas rīkojumiem, kuri izdoti attiecīgi 2020. gada 17. decembrī un 2021. gada 23. martā, šīs personas tika pirms termiņa atbrīvotas no atlikušajām parādsaistībām. Saskaņā ar Maksātnespējas likuma 9. panta 1. punktu, kā arī InsBekV 3. panta 1. un 2. punktu par šo apstākli tika izdarīta oficiāla publikācija internetā, kas pēc sešiem mēnešiem tika dzēsta.
15. Privātais kredītinformācijas birojs SCHUFA šo publicēto informāciju par pirmstermiņa atbrīvošanu no atlikušajām parādsaistībām reģistrē savās datubāzēs, taču to dzēš tikai trīs gadus pēc reģistrēšanas.
16. Kad attiecīgi personas UF un AB vērsās pie SCHUFA ar lūgumu dzēst ierakstus, kas uz tām attiecas, SCHUFA tām norādīja, ka tās darbībā tiek ievērota VDAR un ka InsBekV 3. panta 1. punktā paredzētais dzēšanas termiņš – seši mēneši – šim reģistram nav piemērojams. Pēc tam personas UF un AB katra iesniedza sūdzību HBDI kā kompetentajā uzraudzības iestādē.
17. HBDI lēma par šīm sūdzībām ar diviem atzinumiem, kas izdoti attiecīgi 2021. gada 1. martā un 2021. gada 9. jūlijā. HBDI ieskatā, ierakstus ar negatīvu informāciju par atbrīvošanu no atlikušajām parādsaistībām SCHUFA ir tiesīga glabāt ilgāku laikposmu, nekā paredzēts saistībā ar atbrīvojumu no prasījuma.
18. Tad personas UF un AB katra cēla prasību atcelt HBDI atzinumu iesniedzējtiesā – Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa). Šajā ziņā tās apgalvo, ka HBDI, veicot savus uzdevumus un īstenojot pilnvaras, ir pienākums veikt pasākumus pret SCHUFA, lai panāktu attiecībā uz šīm personām veikto ierakstu dzēšanu.
19. Šajā ziņā iesniedzējtiesa uzskata, ka ir nepieciešams, pirmkārt, noskaidrot, kā juridiski ir kvalificējams lēmums, kuru uzraudzības iestāde pieņem par sūdzību, kas iesniegta saskaņā ar VDAR 77. panta 1. punktu. Šī tiesa norāda, ka saskaņā ar HBDI atzinumu 77. panta 1. punktā paredzētās tiesības tiek saprastas kā tiesības iesniegt lūgumrakstu. Tādējādi uz tām attiecoties tikai ierobežota pārbaude tiesā, tātad jāpārbauda tikai tas, vai uzraudzības iestāde ir skatījusi sūdzību un informējusi tās iesniedzēju par šīs sūdzības izskatīšanas virzību un rezultātiem. Turpretī tiesai neesot jāpārbauda, vai pieņemtais lēmums par sūdzību ir pareizs pēc būtības.
20. Minētā tiesa tomēr šaubās par šā vērtējuma atbilstību VDAR. Proti, tās ieskatā, šīs regulas 78. panta 1. punktā esot prasīta efektīva tiesību aizsardzība tiesā. Ņemot vērā minētās regulas mērķi saistībā ar Hartas 7. un 8. panta īstenošanu nodrošināt fizisko personu pamattiesību un brīvību efektīvu aizsardzību, tiesību iesniegt sūdzību izmantojamība neesot interpretējama šauri. Tādējādi iesniedzējtiesa sliecas par pareizu atzīt interpretāciju, saskaņā ar kuru tiesai ir pilnībā jāpārbauda uzraudzības iestādes lēmums pēc būtības, tomēr ņemot vērā, ka šai uzraudzības iestādei ir gan novērtējuma brīvība, gan rīcības brīvība un ka tai ir pienākums rīkoties tikai tad, ja nav citu likumīgu alternatīvu.
21. Otrkārt, iesniedzējtiesa vaicā par to, vai no publiskiem reģistriem iegūtu personas datu glabāšana kredītinformācijas birojos ir likumīga. Šajā ziņā šī tiesa precizē, ka šie kredītinformācijas biroji saņem no valsts visus ierakstus no publiskajiem reģistriem, šajā gadījumā – parādnieku un maksātnespējas reģistriem. HBDI ieskatā šie dati esot izmantojami maksātspējas vērtēšanai un tos varot glabāt tik ilgi, cik tas ir nepieciešams nolūkiem, kuriem tie ir tikuši ievākti. Turklāt, tā kā valsts likumdevējs neesot paredzējis attiecīgu tiesisko regulējumu, uzraudzības iestādes ar kredītinformācijas biroju apvienību esot pieņēmušas rīcības kodeksus, kas paredz dzēšanu tieši trīs gadus pēc iekļaušanas kartotēkā.
22. Iesniedzējtiesas ieskatā, ņemot vērā Hartas 7. un 8. pantu, rodas jautājums par to, vai publiskajos reģistros izdarītie ieraksti var tikt pilnībā pārņemti privātajos reģistros, ja nav konkrēta datu glabāšanas iemesla. Galu galā tā ir datu uzglabāšana, it īpaši tad, ja valsts reģistrā šie dati jau ir dzēsti tādēļ, ka ir beidzies glabāšanas termiņš. Turklāt, tā kā SCHUFA esot tikai viens no vairākiem kredītinformācijas birojiem, šie dati Vācijā tiekot glabāti daudzkārtīgi, un tādējādi masveidā tiekot aizskartas Hartas 7. pantā nostiprinātās pamattiesības.
23. Iesniedzējtiesa piebilst, ka datu apstrāde un līdz ar to glabāšana ir atļauta tikai tad, ja ir izpildīts kāds no VDAR 6. panta 1. punktā paredzētajiem nosacījumiem, un precizē, ka šajā gadījumā runa var būt tikai par šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunktu. Taču esot visnotaļ apšaubāms, ka tādam pārzinim kā SCHUFA būtu leģitīmas intereses šīs normas izpratnē. Katrā ziņā kredītinformācijas biroji leģitīmu interešu gadījumā vienmēr varot iepazīties ar publiskajos reģistros esošo informāciju tik ilgi, kamēr dati tajā tiek glabāti.
24. Turklāt InsBekV 3. pantā Vācijas likumdevējs esot paredzējis vien relatīvi īsu sešu mēnešu termiņu, kurā glabājams maksātnespējas reģistrā izdarītais ieraksts par atbrīvošanu no atlikušajām parādsaistībām. Savukārt šā regulējuma pamatā esot Regulas 2015/848 79. panta 5. punkts, atbilstoši kuram dalībvalstis informē datu subjektus par laikposmu, kurā maksātnespējas reģistros glabātie personas dati ir pieejami, lai ļautu šiem datu subjektiem īstenot savas tiesības, it īpaši tiesības uz datu dzēšanu. Tomēr gadījumā, ja dati tiek glabāti lielā skaitā privāto reģistru, kuros tie tātad tiek glabāti ilgāk, šīs tiesības vairs nepastāvot.
25. Turklāt, pat ja pieņemtu, ka no valsts reģistriem iegūto datu glabāšana privātos kredītinformācijas birojos ir likumīga, varētu rasties jautājums par to, vai samērošanā, kas jāveic, lai varētu veikt VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā paredzēto vērtējumu, ir jāņem vērā rīcības kodeksi, kuri ir apstiprināti saskaņā ar VDAR 40. pantu un kuros ir paredzēts trīs gadu termiņš par atbrīvošanu no atlikušajām parādsaistībām izdarītā ieraksta dzēšanai.
26. Šajos apstākļos Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:
“1) Vai [VDAR] 77. panta 1. punkts, lasot to kopā ar tās 78. panta 1. punktu, ir jāsaprot tādējādi, ka uzraudzības iestādes izdarītie secinājumi, kurus tā paziņo datu subjektam:
a) ir atbilde uz lūgumrakstu; un līdz ar to tiesa uzraudzības iestādes saskaņā ar VDAR 78. panta 1. punktu pieņemto lēmumu par sūdzību principā pārbauda tikai jautājumā par to, vai šī iestāde ir izskatījusi sūdzību, pienācīgi izvērtējusi sūdzības priekšmetu un informējusi sūdzības iesniedzēju par izskatīšanas rezultātiem,
vai arī
b) ir jāsaprot kā administratīvs lēmums pēc būtības; un līdz ar to tiesai ir pilnībā jāpārbauda uzraudzības iestādes saskaņā ar VDAR 78. panta 1. punktu pieņemtā lēmuma par sūdzību saturs un konkrētā gadījumā – piemēram, ja rīcības brīvība tiek samazināta līdz nullei – tiesa var arī noteikt uzraudzības iestādei pienākumu veikt konkrētu pasākumu VDAR 58. panta izpratnē?
2) Vai datu glabāšana privātā kredītinformācijas birojā, kurā no tādiem valsts reģistriem kā “valsts datubāzes” [Regulas 2015/848] 79. panta 4. un 5. punkta izpratnē gūti personas dati tiek bez konkrēta iemesla glabāti tālab, lai varētu sniegt informāciju pieprasījuma gadījumā, atbilst [Hartas] 7. un 8. pantam?
3) a) Vai līdztekus pastāvošas privātās datubāzes (konkrēti – kredītinformācijas biroja datubāzes), kas tiek izveidotas līdztekus valsts datubāzēm un kurās dati no valsts datubāzēm (šajā gadījumā – paziņojumi par maksātnespēju) tiek glabāti ilgāk, nekā tas ir paredzēts stingrajā tiesiskajā regulējumā, kas ir ietverts Regulā (ES) 2015/848, lasot to kopā ar valsts tiesībām, principā ir likumīgas?
b) Ja atbilde uz trešo a) jautājumu ir apstiprinoša – vai no VDAR 17. panta 1. punkta d) apakšpunktā paredzētajām tiesībām “tikt aizmirstam” izriet, ka šie dati ir jādzēš, ja ir beidzies paredzētais apstrādes ilgums valsts reģistrā?
4) Gadījumā, ja VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts var būt vienīgais juridiskais pamats datu glabāšanai privātos kredītinformācijas birojos attiecībā uz datiem, kas tiek glabāti arī valsts reģistros, – vai uz jautājumu par kredītinformācijas biroja leģitīmajām interesēm ir jāatbild apstiprinoši jau tad, ja šajā reģistrā dati no valsts reģistra tiek pārņemti bez konkrēta iemesla, bet gan tālab, lai šie dati būtu vēlāk pieejami informācijas pieprasījuma gadījumā?
5) Vai, pamatojoties uz rīcības kodeksiem, kurus uzraudzības iestādes ir apstiprinājušas saskaņā ar VDAR 40. pantu un kuros ir paredzēti pārbaudes un dzēšanas termiņi, kas ir ilgāki par valsts reģistros paredzētajiem glabāšanas termiņiem, VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu paredzēto samērošanu var neveikt?”
IV. Tiesvedība Tiesā
27. Lēmums par prejudiciālu jautājumu uzdošanu lietā C‑26/22, kas pieņemts 2021. gada 23. decembrī, Tiesas kancelejā tika saņemts 2022. gada 11. janvārī. Lēmums par prejudiciālu jautājumu uzdošanu lietā C‑64/22, kas pieņemts 2022. gada 31. janvārī, Tiesas kancelejā tika saņemts 2022. gada 2. februārī.
28. Ar Tiesas 2022. gada 11. februāra lēmumu šīs lietas tika apvienotas rakstveida un mutvārdu procesam, kā arī sprieduma taisīšanai.
29. Eiropas Savienības Tiesas statūtu 23. pantā noteiktajā termiņā rakstveida apsvērumus iesniedza pamatlietas dalībnieki, SCHUFA, Vācijas un Portugāles valdības, kā arī Eiropas Komisija.
30. 2023. gada 26. janvāra tiesas sēdē mutvārdu apsvērumus sniedza pamatlietas dalībnieku un SCHUFA procesuālie pārstāvji un Komisijas pārstāvji.
V. Juridiskā analīze
A. Ievada piezīmes
31. Tā kā savstarpēja uzticēšanās tirgus ekonomikā ir ikvienu līgumsaistību pamatā, principā no uzņēmējdarbības viedokļa ir saprotams, ka pakalpojumu sniedzēji un preču pārdevēji vēlas saņemt informāciju par saviem klientiem un par riskiem, kas saistīti ar šādām līgumsaistībām. Kredītinformācijas biroji var palīdzēt tajā, lai tiktu iedibināta šī savstarpējā uzticēšanās, izmantojot statistikas metodes, kas ļauj uzņēmumiem noskaidrot, vai konkrētajā gadījumā ir izpildīti tādi konkrēti būtiskie kritēriji kā, piemēram, klientu maksātspēja. Tādējādi tie palīdz uzņēmumiem izpildīt dažādas Savienības tiesību normas, kurās šiem uzņēmumiem tieši tiek noteikts šāds pienākums attiecībā uz noteiktiem līgumu veidiem, konkrēti – kredītlīgumiem (4). Tomēr šie kredītinformācijas biroji nav vienīgie, kas sniedz šādus pakalpojumus. Apzinādamies nepieciešamību nodrošināt noteiktu pārredzamību un paredzamību finanšu darījumos, Savienības likumdevējs prasa, lai dalībvalstis izveidotu un uzturētu vienu vai vairākus reģistrus, kuros ir publiskota informācija par maksātnespējas procesiem.
32. No tā izriet, ka līdztekus pastāvēs vairākas datubāzes, proti, gan valsts iestāžu pārvaldītie “oficiālie” reģistri, gan privātu sabiedrību pārvaldītas datubāzes. Šis paralēlisms var radīt sāncensību starp sistēmām un pat izraisīt juridiskus konfliktus, ja tiesiskie režīmi, kuri šos reģistrus regulē, ievērojami atšķiras viens no otra. Regulējumu atšķirības var kļūt sevišķi problemātiskas tad, ja tās skar datu aizsardzību, jo reģistru pārvaldošajai struktūrai – neatkarīgi no tā, vai tā ir publiska vai privāta, – ir jānodrošina, ka šo datu pārvaldīšanas un reģistrēšanas procesā tiek ievērotas datu subjektu intereses. Proti, tā kā informācija par personas ekonomisko situāciju no tiesību uz personas datu aizsardzību un tiesības uz privātās dzīves neaizskaramību viedokļa ir sensitīva, tās gadījumā ir jāpievērš īpaša vērība.
33. Ar VDAR, kas piemērojama kopš 2018. gada 25. maija, ir izveidots juridiskais ietvars, kura nolūks ir ņemt vērā iepriekš minētās intereses visā Savienībā, tostarp paredzot noteiktus nosacījumus personas datu apstrādei. Tādējādi VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā ir prasīts, lai apstrāde būtu vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm. Citiem vārdiem sakot, apstrādes likumīguma pamatā ir jābūt dažādu iesaistīto interešu izsvēršanai, kuras iznākumā par svarīgākām tiek atzītas pārziņa vai trešās personas leģitīmās intereses. To, vai šie nosacījumi ir izpildīti, ir jāpārbauda uzraudzības iestādei, kurai atbilstoši VDAR 77. panta 1. punktam ir jāizskata visas datu subjekta iespējamās sūdzības par tā pamattiesību pārkāpumu. Visbeidzot, ja datu subjekts nolemj pārsūdzēt uzraudzības iestādes lēmumu tiesā atbilstoši VDAR 78. panta 1. punktam, valsts tiesām ir jānodrošina efektīva pārbaude tiesā.
34. Šo secinājumu iepriekšējos punktos ir īsumā rezumēti dažādie tiesiskie aspekti, uz kuriem iesniedzējtiesa ir norādījusi lūgumos sniegt prejudiciālu nolēmumu. Pirmais jautājums ir par to, kā juridiski kvalificējams sūdzību izskatošās uzraudzības iestādes pieņemtais lēmums, kā arī par to, cik lielā apjomā tiesa var veikt pārbaudi saistībā ar šāda lēmuma pārsūdzību. Otrais līdz piektais jautājums būtībā ir par to, cik likumīga ir no publiskiem reģistriem gūtu personas datu glabāšana kredītinformācijas birojos. Šo secinājumu turpinājumā šie prejudiciālie jautājumi tiks iztirzāti tādā kārtībā, kādā iesniedzējtiesa tos ir uzdevusi.
B. Par pirmo prejudiciālo jautājumu
35. Ņemot vērā to, ka pirmais jautājums attiecas uz administratīvā tiesību aizsardzības līdzekļa diviem posmiem, proti, sūdzību uzraudzības iestādē un tiesību aizsardzību tiesā, kuru regulējums ir rodams attiecīgi VDAR 77. un 78. pantā, uzskatu par vajadzīgu īsumā aprakstīt šos abus posmus un tādējādi iztirzāt iesniedzējtiesu interesējošos juridiskos aspektus.
36. Kā esmu norādījis ievada piezīmēs, VDAR mērķis ir nodrošināt fizisku personu aizsardzību attiecībā uz personas datu apstrādi, kas ir atzīta par pamattiesībām Hartas 8. panta 1. punktā, kā arī LESD 16. panta 1. punktā. Tā kā ikviena personas datu apstrāde var ietekmēt arī privāto dzīvi, ir jāmin arī ar Hartas 7. pantu garantētā aizsardzība (5). Turklāt no VDAR 1. panta 2. punkta, lasot to kopsakarā ar šīs regulas 10., 11. un 13. apsvērumu, izriet, ka Savienības likumdevējs šo uzdevumu uztic ne tikai Savienības iestādēm un struktūrām, bet arī dalībvalstu kompetentajām iestādēm, kuru vidū ir arī uzraudzības iestādes un valsts tiesas (6).
1. Uzraudzības iestāžu loma, tostarp pienākums izskatīt sūdzības
37. Šajā ziņā jānorāda – Hartas 8. panta 3. punkts noteic, ka personas datu aizsardzības noteikumu ievērošanu kontrolē neatkarīga iestāde. Ar VDAR 57. panta 1. punkta a) apakšpunktu tiek īstenots šis no primārajām tiesībām atvasinātais pienākums, nosakot, ka ikvienas uzraudzības iestādes uzdevums ir uzraudzīt un īstenot šīs regulas piemērošanu. Datu subjekta iesniegtu sūdzību izskatīšana ietilpst tās pienākumos, kā skaidri izriet no VDAR 57. panta 1. punkta f) apakšpunkta.
38. Tiesa ir nospriedusi, ka saskaņā ar šo normu “katrai uzraudzības iestādei savā teritorijā ir pienākums izskatīt sūdzības, kuras ikvienai personai saskaņā ar [VDAR] 77. panta 1. punktu ir tiesības iesniegt, ja tā uzskata, ka tās personas datu apstrāde ir minētās regulas pārkāpums, un, ciktāl nepieciešams, izmeklēt attiecīgo jautājumu” (7). Šajā kontekstā ir jāpievērš uzmanība tam, ka Tiesa ir uzsvērusi uzraudzības iestādei saistošo pienākumu – tai “šāda sūdzība ir jāizskata ar pienācīgu rūpību”, lai nodrošinātu VDAR normu ievērošanu. Jānorāda arī, ka VDAR 141. apsvērumā ir precizēts – “uz sūdzības pamata sākta izmeklēšana būtu jāveic tādā apjomā, kāds ir nepieciešams konkrētajā lietā” (mans izcēlums).
39. Viss iepriekš minētais mani mudina uzskatīt, ka uzraudzības iestādei ir obligāts pienākums izskatīt datu subjekta iesniegtās sūdzības ar pienācīgu rūpību, kādu prasa konkrētās lietas apstākļi (8). Tā kā katra VDAR pārkāpuma gadījumā principā var tikt aizskartas pamattiesības, piešķirt uzraudzības iestādei rīcības brīvību izskatīt vai neizskatīt sūdzības, manuprāt, nebūtu saderīgi ar sistēmu, kura izveidota ar šo regulu. Šāda pieeja liktu apšaubīt uzraudzības iestādei VDAR piešķirto būtisko uzdevumu nodrošināt personas datu aizsardzības noteikumu ievērošanu un līdz ar to būtu pretrunā Savienības likumdevēja izvirzītajiem mērķiem (9). Galu galā neaizmirsīsim, ka sūdzības uzraudzības iestādei ir vērtīgs informācijas avots, kas tai ļauj atklāt pārkāpumus (10).
40. Šī interpretācija ir vēl jo pārliecinošāka tāpēc, ka VDAR 57. panta 1. punkta f) apakšpunktā uzraudzības iestādei ir noteikta virkne prasību attiecībā uz to, kā tā izskata šādu sūdzību, proti, pienākums atbilstošā apjomā izmeklēt sūdzības priekšmetu un saprātīgā termiņā informēt sūdzības iesniedzēju par lietas virzību un izmeklēšanas rezultātiem, jo īpaši, ja ir nepieciešama papildu izmeklēšana vai koordinācija ar citu uzraudzības iestādi. To vēl papildina arī VDAR 77. panta 2. punktā minētais pienākums informēt sūdzības iesniedzēju par sūdzības izskatīšanas virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar VDAR 78. pantu. Visas šīs prasības – kas ietilpst “labas pārvaldības” jēdzienā, kurš Hartas 41. pantā ir noteikts it īpaši attiecībā uz Savienības iestāžu un struktūru darbību, (11) – ir vērstas uz to, lai stiprinātu sūdzību procedūru, lai padarītu to par patiesu tiesību aizsardzības līdzekli administratīvā kārtā.
41. Lai arī uzraudzības iestādei kā VDAR normu ievērošanas nodrošinātājai ir pienākums izskatīt tai iesniegtās sūdzības, vairāki faktori liecina par labu interpretācijai, saskaņā ar kuru šai iestādei ir novērtējuma brīvība, izskatot šīs sūdzības, kā arī noteikta rīcības brīvība, izvēloties atbilstīgos līdzekļus savu uzdevumu izpildei. Proti, ģenerāladvokāts H. Saugmandsgors Ēe [H. Saugmandsgaard Øe] ir norādījis, ka ar VDAR 58. panta 1. punktu “uzraudzības iestādēm ir piešķirtas plašas izmeklēšanas pilnvaras” un ka saskaņā ar šīs regulas 58. panta 2. punktu tām ir “virkne līdzekļu [..], lai izpildītu [tām] uzticēto uzdevumu”, un šajā kontekstā atsaucies uz dažādajām korektīvo pasākumu veikšanas pilnvarām, kas uzskaitītas šajā normā (12). Pēc tam viņš ir precizējis – lai arī uzraudzības iestādei “ir pienākums pilnībā izpildīt tai uzticēto uzraudzības uzdevumu”, tai “ir brīvība izvēlēties visefektīvāko līdzekli, ņemot vērā visus [..] apstākļus” (13). Varu tikai piekrist šai interpretācijai.
42. Uzraudzības iestāžu korektīvo pasākumu veikšanas pilnvaru detalizētais apraksts skaidri parāda, ka Savienības likumdevēja mērķis nav bijis sūdzību procedūru pielīdzināt lūgumraksta procedūrai. Gluži pretēji, šķiet, ka likumdevēja mērķis bija izveidot mehānismu, kas spētu efektīvi aizsargāt sūdzību iesniedzēju tiesības un intereses. Tomēr man šķiet skaidrs, ka šo rīcības brīvību nevar interpretēt tādējādi, ka uzraudzības iestādei būtu neierobežotas pilnvaras, kas tai dotu tiesības rīkoties patvaļīgi. Gluži pretēji, uzraudzības iestādei ir pienākums īstenot minēto rīcības brīvību, ievērojot tai Savienības tiesībās noteiktās robežas. Šā iemesla dēļ arī nevar izslēgt iespēju, ka uzraudzības iestāde kā administratīva struktūra ir spiesta veikt kādu konkrētu pasākumu lietas īpašo apstākļu dēļ, it sevišķi tad, ja pastāv nopietns datu subjekta pamattiesību apdraudējuma risks.
43. Šo interpretāciju, kas piešķir uzraudzības iestādei noteiktu rīcības brīvību izmantoto līdzekļu izvēlē, apstiprina VDAR 58. panta 4. punkts, kas noteic, ka “uzraudzības iestāde saskaņā ar šo pantu piešķirto pilnvaru īstenošanā ievēro atbilstošas garantijas, tostarp efektīvu tiesību aizsardzību tiesā” (mans izcēlums) saskaņā ar Hartas 47. pantu. VDAR 78. panta 1. un 2. punktā turklāt jebkurai personai ir atzītas tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas to skar, vai tad, ja šī iestāde neskata tās sūdzību.
44. Šādi nonākam pie lūgumos sniegt prejudiciālu nolēmumu iesniedzējtiesas izvirzītā jautājuma par uzraudzības iestādes pieņemto lēmumu juridisko kvalificējamību. Šajā ziņā jāatsaucas uz VDAR 141. apsvērumu, no kura izriet, ka “katram datu subjektam vajadzētu būt tiesībām iesniegt sūdzību vienai uzraudzības iestādei [..] un tiesībām uz efektīvu tiesību aizsardzību tiesā saskaņā ar Hartas 47. pantu, ja datu subjekts uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas, vai ja uzraudzības iestāde nereaģē uz sūdzību, daļēji vai pilnībā noraida sūdzību vai nerīkojas, kad šāda rīcība ir nepieciešama, lai aizsargātu datu subjekta tiesības” (mans izcēlums). Šajā apsvērumā ir ņemts vērā, ka uzraudzības iestādes lēmums var nelabvēlīgi ietekmēt datu subjektu, it īpaši ja šī iestāde tajā atzīst sūdzību par nepamatotu, uzskata, ka VDAR nav pārkāpta, un tādējādi neveic pasākumus tās situācijas izlabošanai, kuras dēļ tika iesniegta sūdzība. Savienības likumdevējs atzīst šāda lēmuma juridiski saistošās sekas un līdz ar to sniedz sūdzības iesniedzējam iespēju izmantot tiesību aizsardzības līdzekli valsts tiesā.
45. Jānorāda arī, ka uzraudzības iestāde nedrīkst nereaģēt, jo no VDAR 78. panta 2. punkta izriet – “katram datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja uzraudzības iestāde, kas ir kompetenta, ievērojot 55. un 56. pantu, trīs mēnešu laikā neizskata sūdzību vai neinformē datu subjektu par sūdzības, kas iesniegta, ievērojot 77. pantu, izskatīšanas virzību vai rezultātiem”. Šis apstāklis liedz sūdzības procedūru pielīdzināt lūgumrakstam.
46. Šajā gadījumā – kā iesniedzējtiesa izklāsta lūgumos sniegt prejudiciālu nolēmumu – uzraudzības iestāde ir pieņēmusi juridiski saistošus lēmumus attiecībā pret prasītājiem pamatlietā. Tā būtībā ir konstatējusi, ka SCHUFA veiktā prasītāju personas datu apstrāde bija likumīga atbilstoši VDAR 6. panta 1. punkta pirmās daļas b) un f) apakšpunktam, un tādējādi netieši noraidījusi iespēju izmantot kādu izmeklēšanas vai korektīvu pasākumu.
2. Uzraudzības iestādes pieņemto lēmumu pārbaudes tiesā apjoms
47. VDAR 78. pantā paredzētais līdzeklis tiesību aizsardzībai tiesā ir šajā regulā paredzētā administratīvā tiesību aizsardzības līdzekļa otrais posms. Šajā kontekstā jānorāda, ka gan “sūdzība” uzraudzības iestādē, gan “tiesību aizsardzība tiesā” tiek saprastas kā datu subjekta “tiesības”, un tas ir gluži pašsaprotami, ja paturam prātā, ka VDAR 77.–79. panta mērķis ir īstenot tiesības uz efektīvu tiesību aizsardzību, kas nostiprinātas Hartas 47. pantā. Kā esmu norādījis iepriekš (14), VDAR 58. panta 4. punkta un 78. panta kopīga interpretācija šīs regulas 141. apsvēruma gaismā ļauj skaidri saskatīt šo mērķi (15).
48. Par apjomu, kādā tiesā ir pārbaudāmi uzraudzības iestādes pieņemtie lēmumi, ir jāatgādina, ka valsts noteikumi administratīvā procesa jomā parasti ir piemērojami atbilstoši procesuālajai autonomijai pakārtoti līdzvērtības un efektivitātes principiem (16). Tomēr uzskatu, ka tiesību aizsardzība var būt “efektīva” Hartas 47. panta un VDAR 78. panta 1. punkta izpratnē tikai tad, ja kompetentajai valsts tiesai ir tiesības un pienākums pakļaut uzraudzības iestādes lēmumu pēc būtības pilnīgai pārbaudei tiesā, lai pārbaudītu, vai uzraudzības iestāde ir pareizi piemērojusi VDAR normas.
49. Kā Tiesa ir atgādinājusi savā judikatūrā, “tiesiskajā regulējumā, kurā indivīdiem nav paredzētas nekādas iespējas likt lietā tiesību aizsardzības līdzekļus, lai piekļūtu personas datiem, kas uz tiem attiecas, vai panākt šādu datu labošanu vai dzēšanu, nav ņemta vērā Hartas 47. pantā iedibināto pamattiesību uz efektīvu aizsardzību tiesā būtība. Hartas 47. panta pirmajā daļā ir noteikts, ka ikvienai personai, kuras tiesības un brīvības, kas garantētas Savienības tiesībās, tikušas pārkāptas, ir tiesības uz efektīvu tiesību aizsardzību tiesā, ievērojot nosacījumus, kuri paredzēti šajā pantā. Šai sakarā pārbaude tiesā, kuras mērķis ir nodrošināt Savienības tiesību normu ievērošanu, ir raksturīga tiesiskai valstij” (17).
50. Lai noskaidrotu, kādā apjomā tiesā ir pārbaudāmi uzraudzības iestādes pieņemtie lēmumi, manuprāt, ir lietderīgi vispirms atminēties VDAR 141. apsvērumu, no kura izriet, ka “uz sūdzības pamata sākta izmeklēšana būtu jāveic tādā apjomā, kāds ir nepieciešams konkrētajā lietā, paredzot iespēju to pārskatīt tiesā” (mans izcēlums). Pēc tam jāatminas VDAR 143. apsvērums, kurā ir teikts, ka “katrai fiziskai vai juridiskai personai vajadzētu būt pieejamiem efektīviem tiesību aizsardzības līdzekļiem kompetentajā valsts tiesā pret uzraudzības iestādes lēmumu, kas rada tiesiskas sekas attiecībā uz minēto personu. Šāds lēmums jo īpaši attiecas uz to, kā uzraudzības iestāde īsteno izmeklēšanas, korektīvās un atļauju izsniegšanas pilnvaras, vai uz sūdzību noraidīšanu” (mans izcēlums). Manuprāt, šajos fragmentos teiktais ir jāsaprot tādējādi, ka pārbaudei tiesā, kas valsts tiesai ir jāveic atbilstoši VDAR 78. pantam, ir jābūt pilnīgai, proti, ka tai ir jāattiecas uz visiem nozīmīgajiem aspektiem, attiecībā uz kuriem uzraudzības iestādes īsteno novērtējuma brīvību, pārbaudot sūdzības priekšmetu, kā arī tiem, kuros tā īsteno rīcības brīvību izmeklēšanas un korektīvo pasākumu izvēles ziņā.
51. Savienības likumdevēja mērķis nodrošināt pilnīgu pārbaudi tiesā par ikvienu uzraudzības iestādes lēmumu, kas rada juridiskas sekas attiecībā pret datu subjektu, kurš tajā iesniedzis sūdzību, kļūst jo skaidrāks, ja ņem vērā citu VDAR 143. apsvēruma fragmentu, kurā ir teikts, ka “prasība pret uzraudzības iestādi būtu jāceļ tās dalībvalsts tiesās, kurā izveidota uzraudzības iestāde, un tā būtu jāizskata saskaņā ar minētās dalībvalsts procesuālajām tiesībām. Šādām tiesām vajadzētu īstenot pilnu jurisdikciju, kurai vajadzētu ietvert jurisdikciju izskatīt visus faktu jautājumus un tiesību normu piemērošanas jautājumus, kas saistīti ar tajā[s] izskatāmo strīdu” (mans izcēlums) (18). Manuprāt, Hartas 47. panta prasībām atbilst vienīgi tik vērienīga pārbaude tiesā (19).
52. Savukārt SCHUFA un HBDI izvirzītie argumenti par labu uzraudzības iestāžu pieņemto lēmumu ierobežotai pārbaudei tiesā man nešķiet pārliecinoši. Pirmkārt, “neatkarības” – kas atzīta uzraudzības iestādei atbilstoši Hartas 8. panta 3. punktā minēto prasību konkretizējošajam VDAR 52. pantam – mērķis ir aizsargāt šo iestādi pret jebkādu nepamatotu iejaukšanos, bet neatbrīvo to no pienākuma izpildīt savus uzdevumus un pilnvaras, pilnībā ievērojot Savienības tiesības, un pakļaut savus lēmumus efektīvai pārbaudei tiesā, kā to dara ikviena cita valsts iestāde. Otrkārt, VDAR 79. pantā paredzētās tiesības uz tiesību aizsardzību tiesā pret pārzini neizslēdz tiesības atbilstoši VDAR 78. pantam celt prasību par lēmumu, ko pieņēmusi uzraudzības iestāde. Šie tiesību aizsardzības līdzekļi pastāv savrupi un savstarpēji nepakārtoti viens otram, un tādējādi tos var izmantot līdztekus (20). Līdz ar to nevar pārmest prasītājiem, ka tie savu VDAR aizsargāto tiesību aizstāvēšanā būtu rīkojušies prettiesiski, tāpēc ka devuši priekšroku kādam noteiktam tiesību aizsardzības līdzeklim. Līdz ar to šie argumenti ir jānoraida.
53. Ņemot vērā iepriekš izklāstītos apsvērumus, uz pirmo prejudiciālo jautājumu ir atbildams, ka VDAR 78. panta 1. punkts ir jāinterpretē tādējādi, ka no šīs normas izriet, ka uzraudzības iestādes juridiski saistošs lēmums ir pakļauts pilnīgai pārbaudei tiesā pēc būtības.
C. Par otro līdz piekto prejudiciālo jautājumu
54. Otrais līdz piektais prejudiciālais jautājums būtībā ir par to, vai no publiskiem reģistriem gūtu personas datu glabāšana kredītinformācijas birojos ir likumīga. Iesniedzējtiesas uzdotie jautājumi izvirza daudzas ar šo praksi saistītas juridiskas problēmas, kuras būs jāiztirzā strukturēti. Skaidrības labad uzskatu par lietderīgu sagrupēt jautājumus pa tēmām un tos skatīt šādā secībā.
55. Lai sniegtu iesniedzējtiesai noderīgu atbildi, kas tai ļautu izspriest tajā izskatāmo lietu, Tiesai būs jāinterpretē vairākas VDAR normas, kas, lai arī nav skaidri minētas jautājumos, tomēr šķiet esam nozīmīgas lietā. Šāda pieeja ir iespējama, ņemot vērā pastāvīgās judikatūras atziņu, ka Tiesa no visas iesniedzējtiesas iesniegtās informācijas, tostarp no lūguma sniegt prejudiciālu nolēmumu pamatojuma, var izsecināt tās Savienības tiesību normas un principus, kam ir nepieciešama interpretācija, ņemot vērā strīda priekšmetu (21).
56. Šāda padziļināta analīze man šķiet vēl jo nepieciešamāka tādēļ, ka iesniedzējtiesa savos jautājumos nereti atsaucas tikai uz Hartas 7. un 8. pantu, lai arī šīs normas – kā Tiesa ir paskaidrojusi – nav piemērojamas savrupi, bet gan jāņem vērā, veicot VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā paredzēto samērošanu (22). Turklāt šajā kontekstā jāatgādina, ka, tā kā ar VDAR normām tiek īstenotas attiecīgās pamattiesības, ikviens skaidrojums loģiski ir jāsāk tieši ar atvasināto tiesību interpretāciju, kas veicama primāro tiesību, kuru neatņemama sastāvdaļa ir Harta, gaismā (23). Tāpēc turpinājumā esošajā analīzē integrēšu visas normas, kurām, manuprāt, ir nozīme lietā.
1. Par kredītinformācijas biroju prakses atbilstību VDAR noteiktajiem personas datu apstrādes principiem
57. VDAR II nodaļā “Principi” ir noteikti personas datu apstrādes principi. Turpinājumā izvērtēšu, vai kredītinformācijas biroju prakse no publiskiem reģistriem gūtos personas datus glabāt trīs gadus atbilst principiem, kas šajā kontekstā man šķiet visnozīmīgākie, proti, likumīguma, nolūka ierobežojumu un datu minimizēšanas principiem.
58. Analīzes vajadzībām balstīšos uz iesniedzējtiesas un SCHUFA sniegto informāciju, tomēr uzsverot, ka šim kredītinformācijas birojam kā pārzinim ir pienākums pierādīt, ka iepriekš minētie principi ir ievēroti saskaņā ar VDAR 5. panta 2. punktā noteikto pārskatatbildības principu.
a) Par atbilstību likumīguma principam (VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkts)
59. VDAR 5. panta 1. punkta a) apakšpunktā ir prasīts, lai personas dati tiktu apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā. Saskaņā ar VDAR 6. panta 1. punktu personas datu apstrāde ir likumīga tikai tad, ja ir izpildīts nosacījums, kas saistīts ar kādu no tajā minētajiem pamatojumiem. Kā Tiesa ir nospriedusi, tas ir izsmeļošs un ierobežots to gadījumu uzskaitījums, kuros personas datu apstrāde var tikt uzskatīta par likumīgu (24). Iesniedzējtiesa būtībā vēlas noskaidrot, vai ar VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu privātam kredītinformācijas birojam ir atļauts glabāt no publiskiem reģistriem gūtus personas datus, lai pēc pieprasījuma nodotu šos datus klienta rīcībā.
60. Saskaņā ar Tiesas judikatūru (25) VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā ir paredzēti trīs kumulatīvi nosacījumi, kam ir jābūt izpildītiem, lai personas datu apstrāde būtu likumīga, proti, pirmām kārtām, datu pārziņa vai trešās personas vai trešo personu, kurām dati ir darīti zināmi, leģitīmo interešu esamība, otrām kārtām, vajadzība apstrādāt personas datus leģitīmo interešu ievērošanai un, trešām kārtām, nosacījums, ka neprevalē tās personas pamattiesības un pamatbrīvības, uz kuru attiecas datu aizsardzība. Šo nosacījumu izpildi pārbaudīt ir iesniedzējtiesas ziņā, taču Tiesai ir tai jāpalīdz veikt šo vērtējumu, skaidrojot radušos tiesību jautājumus.
1) “Leģitīmu interešu” esamība
61. Vispirms – par “leģitīmu interešu” esamību vēlos atgādināt, ka VDAR un judikatūrā par leģitīmām atzīst plašu interešu loku (26), un vienlaikus ir precizēts, ka saskaņā ar VDAR 13. panta 1. punkta d) apakšpunktu pārzinim ir jānorāda leģitīmās intereses, kas tiek īstenotas atbilstoši VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktam.
62. SCHUFA apgalvo, ka ar aplūkojamo datu apstrādi tiek īstenotas ļoti būtiskas leģitīmas intereses. Proti, kredītinformācijas biroji apstrādājot datus, kas ir nepieciešami personu vai uzņēmumu maksātspējas novērtējumam, lai varētu šo informāciju nodot šo personu vai uzņēmumu līgumpartneru rīcībā. Šādi tiekot aizsargātas arī to uzņēmumu ekonomiskās intereses, kuri vēlas slēgt ar kredītu saistītus līgumus. Turklāt maksātspējas noskaidrošana un informācijas par maksātspēju sniegšana esot pamats kreditēšanai un ekonomikas spējai darboties. Šo biroju darbība arī palīdzot konkretizēt ar kreditēšanu saistītajās darbībās ieinteresēto personu komerciālās vēlmes, jo informācijas pieprasījums ļaujot veikt pārbaudi ātri un nebirokrātiski.
63. Manuprāt, principā nav neviena objektīva iemesla apšaubīt nedz SCHUFA leģitīmās intereses sniegt klientiem iepriekš aprakstīto komercpakalpojumu, nedz SCHUFA klientu intereses izmantot tā pakalpojumus, lai novērtētu iespējamo darījumu partneru maksātspēju norādītajā izpratnē. Lai arī šāda veida pakalpojumu sniegšana patiešām ir vērsta uz atlīdzības saņemšanu un līdz ar to veido privātas sabiedrības saimnieciskās darbības modeli, tomēr ar šo apstākli vien nepietiek, lai apšaubītu to, ka VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā minētais pirmais nosacījums šajā gadījumā ir izpildīts.
64. Turklāt mērķis, ko tiecas panākt ar aplūkojamo pakalpojumu, būtībā ir līdzīgs mērķim, kuram Savienības likumdevējs ir pieņēmis Regulas 2015/848 24. pantu, kas dalībvalstīm noteic pienākumu izveidot un uzturēt savā teritorijā vienu vai vairākus reģistrus, kuros ir publicēta ar maksātnespējas procesiem saistīta informācija. Kā izriet no šīs regulas 76. apsvēruma, šo publisko reģistru mērķis ir “[uzlabot] attiecīgo kreditoru un tiesu informēšanu un [novērst] paralēlu maksātnespējas procedūru sākšanu”. Man šķiet, ka SCHUFA piedāvātajam pakalpojumam nav cita mērķa. Jautājums par to, vai šo sistēmu paralēlisms var radīt juridiskus konfliktus, tiks iztirzāts šo secinājumu turpinājumā. Šajā analīzes posmā jānorāda, ka, ņemot vērā mērķu identiskumu, SCHUFA veiktā datu apstrāde ir jāuzskata par tādu, kas kalpo leģitīmām interesēm VDAR 6. panta 1. punkta pirmās daļas f) apakšpunkta izpratnē.
2) Apstrādes “nepieciešamība”, lai īstenotu leģitīmas intereses
65. Attiecībā uz nosacījumu par vajadzību apstrādāt personas datus leģitīmo interešu īstenošanai jāteic, ka saskaņā ar Tiesas judikatūru atkāpes no personas datu aizsardzības principa un tā ierobežojumi ir piemērojami tikai tiktāl, cik tas ir stingri nepieciešams (27). Tātad apstrādei jābūt cieši saistītai ar īstenotajām interesēm un nav jābūt citām alternatīvām, kas labāk nodrošinātu personas datu aizsardzību, jo nepietiek tikai ar to, ka apstrāde ir ērta pārzinim.
66. Šajā gadījumā būtu jāpierāda, ka personas datu par maksātnespēju izgūšana no publiskiem reģistriem un to privāta glabāšana ir vienīgā SCHUFA iespēja šo vērtīgo informāciju sniegt saviem klientiem komerciāliem mērķiem. Nevar izslēgt, ka SCHUFA ir iespēja sniegt komercpakalpojumu, sniedzot informāciju par personu maksātspēju, izmantojot citus pieejamus datus. Iesniedzējtiesai ir jāpārbauda, vai šī iespēja joprojām ļautu SCHUFA rentabli sniegt šo komercpakalpojumu saviem klientiem.
67. SCHUFA uzskata, ka šī datu apstrāde ir nepieciešama. SCHUFA ieskatā, ja kredītinformācijas birojs gaidītu konkrētu pieprasījumu, pirms tas sāk vākt datus, būtu neiespējami sniegt informāciju savlaicīgi. SCHUFA uzskata – tam, ka kādu laiku dati ir pieejami (arī) publiski, nav nekādas ietekmes ne uz kredītinformācijas biroju leģitīmajām interesēm, ne uz apstrādes nepieciešamību.
68. Ja no publiskiem reģistriem gūtu personas datu glabāšana nebūtu nepieciešama tam, lai SCHUFA varētu sniegt savu komercpakalpojumu saviem klientiem, šī apstrāde nebūtu likumīga, pamatojoties uz VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu. Turpretī, ja ir izpildīts šīs normas otrais nosacījums, iesniedzējtiesai būtu visbeidzot jāvērtē arī minētās normas trešais kumulatīvais nosacījums.
3) Dažādo iesaistīto interešu samērošana
69. Visbeidzot, par pārziņa interešu samērošanu ar datu subjekta interesēm vai pamatbrīvībām un pamattiesībām jāteic, ka saskaņā ar Tiesas judikatūru iesniedzējtiesai ir jāveic iesaistīto interešu izsvēršana (28). Šajā ziņā bijušās 29. panta datu aizsardzības darba grupas – kas tagad pārtapusi “Eiropas Datu aizsardzības kolēģijā”, kuras uzdevumi ir noteikti VDAR 70. pantā, – pamatnostādnēs ir minēti šādi kritēriji, kas jāņem vērā šajā samērošanā: i) pārziņa leģitīmo interešu vērtējums; ii) ietekme uz datu subjektiem; iii) provizoriskā bilance un iv) pārziņa papildu garantijas, lai novērstu nepamatotu ietekmi uz datu subjektiem (29). Lai analīze būtu detalizēta un loģiska, iesaku piemērot šos kritērijus pamatlietām. Šāda pieeja turklāt palīdzēs konsekventāk piemērot VDAR atbilstīgi Savienības likumdevēja izvirzītajiem mērķiem.
i) Pārziņa “leģitīmo interešu” vērtējums
70. Attiecībā uz pirmo kritēriju ir jākonstatē, ka gan SCHUFA, gan tā klientu intereses ir tīri ekonomiskas iedabas. Privātas sabiedrības glabā no publiskajiem reģistriem gūtus personas datus, lai sniegtu saviem klientiem pakalpojumu, kas ir informācijas sniegšana par datu subjekta maksātspēju, izmantojot tieši šos datus. Kā jau esmu paskaidrojis (30), šādas intereses šīs analīzes nolūkos šķiet esam leģitīmas.
ii) Apstrādes ietekme uz datu subjektiem
71. Attiecībā uz otro kritēriju, proti, apstrādes ietekmi uz datu subjektu, nozīmīgais faktors, šķiet, ir dzēšanas termiņš. Jo ilgāks ir datu glabāšanas termiņš privāto kredītinformācijas biroju datubāzēs, jo vairāk tas ietekmē datu subjektu. Šajā gadījumā prasītāju pamatlietās personas dati tika apstrādāti publiskajā reģistrā, lai “uzlabotu attiecīgo kreditoru un tiesu informēšanu un novērstu paralēlu maksātnespējas procedūru sākšanu”, kā tas ir prasīts Regulas 2015/848 76. apsvērumā. Samērojis dažādās intereses, Vācijas likumdevējs uzskatīja, ka laikposms, kurā ar maksātnespējas procesu saistītajiem datiem ir jābūt publiskotiem šādos publiskajos reģistros, lai sasniegtu šo mērķi, ir seši mēneši. Personas datu glabāšanai ilgāk par šo sešu mēnešu laikposmu līdz ar to, šķiet, a priori ir būtiska negatīva ietekme uz datu subjektu.
72. No Tiesas judikatūras izriet, ka pastāv arī citi analīzē vērā ņemami faktori, proti, piekļuves datubāzēm kārtība, kā arī piedāvātās iespējas personas datu izplatīšanai (31). Vienkāršāk sakot, jo informācija ir vieglāk publiski pieejama, jo nopietnāks ir datu subjekta pamattiesību aizskārums. Tas tā it īpaši ir tad, ja datu subjekta datiem piekļūstošo lietotāju skaits ir liels (32). Līdz ar to man šķiet acīmredzami, ka pat tad, ja šajā sešu mēnešu laikposmā dati jau ir pieejami publiskajos reģistros, apstāklis, ka tie tiek līdztekus glabāti un ir pieejami privātu kredītinformācijas biroju datubāzēs, vēl vairāk ietekmē indivīda privāto dzīvi papildus negatīvajām sekām, ko rada šo datu pieejamība publiskajos reģistros.
73. Vēl viens analīzē vērā ņemamais faktors ir aplūkojamo datu iespējami sensitīvais raksturs (33). Vispārīgi var apgalvot, ka ietekme uz datu subjektu pieaug atkarībā no personas datu sensitivitātes. Šajā ziņā jānorāda Tiesas judikatūras atziņa, ka ar prasījumu piedziņu saistītie personas dati patiešām ir datu subjekta privātumam sensitīvi dati (34). Tas, ka šāda veida dati tiek darīti pieejami principā neierobežotam skaitam lietotāju, līdz ar to ir jāuzskata par nopietnu šā datu subjekta pamattiesību aizskārumu (35).
74. Visbeidzot, manuprāt, noteikti jāņem vērā arī laika faktors. Proti, pat likumīga datu apstrāde laika gaitā var vairs nebūt saderīga ar VDAR, ja šie dati vai nu vairs nav nozīmīgi nolūkam, kurā tie sākotnēji tika vākti, vai ir pārmērīgi, ņemot vērā šo nolūku. No šāda viedokļa raugoties, tiešām rodas jautājums, kā varētu būt pamatota personas datu glabāšana trīs gadu ilgā laikposmā, ja valsts likumdevējs uzskata, ka sešu mēnešu ilgs glabāšanas laikposms, kas ir acīmredzami īsāks, ir pilnībā pietiekams, lai ņemtu vērā saimnieciskās darbības veicēju ekonomiskās intereses. Jākonstatē, ka SCHUFA nav spējusi sniegt skaidru un pārliecinošu atbildi uz šo jautājumu (36), lai arī saskaņā ar VDAR 5. panta 2. punktu tai ir jāpierāda, ka personas datu apstrādes principi ir ievēroti (37).
iii) Provizoriskā bilance
75. Visu iepriekšējos punktos minēto faktoru vērtējums man liek secināt, ka ievērojamās negatīvās sekas, ko datu glabāšana rada datu subjektam pēc aplūkojamā sešu mēnešu termiņa, šķiet gūstam virsroku pār privātuzņēmuma un tā klientu ekonomiskajām interesēm glabāt datus pēc šā laikposma. Šajā kontekstā jāuzsver, ka atbrīvošana no atlikušajām parādsaistībām ir domāta tam, lai ļautu parādniekam no jauna piedalīties saimnieciskajā dzīvē (38). Arī prasītāji pamatlietās un Komisija tiesas sēdē vērsa uzmanību uz šo aspektu. Savukārt šis mērķis būtu apdraudēts, ja privātiem kredītinformācijas birojiem būtu atļauts glabāt personas datus savās datubāzēs pēc tam, kad tie tikuši dzēsti no publiskā reģistra.
iv) Papildu garantijas
76. Visbeidzot, jautājumā par papildu garantijām, ko pārzinis varētu sniegt, lai novērstu jebkādu nepamatotu ietekmi uz datu subjektiem, jāteic, ka nekas iesniedzējtiesas nolēmumā vai SCHUFA apsvērumos neļauj konstatēt, ka šādas garantijas būtu sniegtas.
4) Starpsecinājumi
77. Ņemot vērā iepriekš izklāstītos apsvērumus, uzskatu, ka privāta kredītinformācijas biroja veikta datu glabāšana nevar būt likumīga, pamatojoties uz VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu, kopš brīža, kad personas dati par maksātnespēju ir dzēsti no publiskiem reģistriem.
78. Attiecībā uz sešu mēnešu laikposmu, kurā personas dati ir pieejami arī publiskos reģistros, iesniedzējtiesai iepriekš minētās intereses ir jāsamēro ar ietekmi uz datu subjektu, lai noskaidrotu, vai šo datu līdztekus veikta glabāšana kredītinformācijas birojos ir likumīga, pamatojoties uz VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu.
b) Par atbilstību nolūka ierobežojumu un datu minimizēšanas principiem (VDAR 5. panta 1. punkta b) un c) apakšpunkts)
79. Saskaņā ar nolūka ierobežojumu principu, kas noteikts VDAR 5. panta 1. punkta b) apakšpunktā, ir jāraugās, lai personas dati, kuri vākti konkrētos nolūkos, turpmāk netiktu apstrādāti ar minētajiem nolūkiem nesavietojamā veidā. Šajā gadījumā valsts iestādes datus par maksātnespēju un par atbrīvošanu no atlikušajām parādsaistībām apstrādāja saistībā ar likumisku pienākumu izpildi.
80. Savukārt saistībā ar šo datu turpmāko izmantošanu, ko veic privāts uzņēmums, ir jāpārbauda – ņemot vērā VDAR un piemērojot šīs regulas 6. panta 4. punktā izklāstītos kritērijus – vai minētais nolūks ir savietojams ar sākotnējo nolūku. Šā punkta a), b) un d) apakšpunkts ir īpaši nozīmīgi šajā lietā. Tajos ir noteikti šādi kritēriji: i) saikne starp sākotnējo nolūku un turpmāko nolūku, ii) konteksts, kādā dati ir ievākti, un it īpaši datu subjektu un pārziņa attiecības, kā arī iii) paredzētās turpmākās apstrādes iespējamās sekas datu subjektam.
81. Pirmkārt, šķiet, ka saikne starp nolūkiem ir trausla, kaut vai tāpēc, ka sākotnējais nolūks ir paredzēts likumā, konkrēti – Savienības tiesību aktos, kas dalībvalstīm noteic pienākumu izveidot un uzturēt reģistrus (39), un pārzinis ir valsts iestāde, kas rīkojas, pildot tai likumā uzticētos uzdevumus, savukārt turpmāko nolūku īsteno privāta struktūra, veicot komercdarbību, kas izpaužas kā ekonomiskas informācijas sniegšana par personām.
82. Otrkārt, par kontekstu, kādā dati ir ievākti, jākonstatē, ka nepastāv nekāda saikne starp pārzini un datu subjektu, ņemot vērā, ka datu vākšana notiek netieši ar reģistru starpniecību un ka datu subjektam tādējādi nav zināms ne tas, ka viņa datus vēlāk varēs izmantot, ne tas, kurš to darīs un kādā nolūkā. Šis aspekts man šķiet esam īpaši nopietns no personas datu aizsardzības viedokļa, ņemot vērā, ka principā nevienam nav pamata rēķināties ar to, ka viņa personas dati tiks turpmāk apstrādāti (40). Tas, ka likumā ir paredzēts noteikts termiņš datu glabāšanai publiskajos reģistros, dod pamatu rēķināties ar to, ka aplūkojamie dati tiks dzēsti pēc šā laikposma beigām.
83. Treškārt, par iespējamām sekām, kādas datu turpmāka apstrāde var radīt datu subjektiem, jāuzsver, ka informācija par maksātnespējas procesiem vienmēr tiks izmantota kā negatīvs faktors attiecīgās fiziskās personas maksātspējas vērtējumā nākotnē, un tam ir nozīmīga ietekme uz šīs personas tiesībām. Maldīgs priekšstats par datu subjekta ekonomisko situāciju var radīt tam nelabvēlīgas sekas, jūtami apgrūtinot tā brīvību īstenošanu vai pat stigmatizējot to sabiedrībā. Ciktāl datu subjektam var tikt atteikta preču un pakalpojumu izmantošana, viņš var kļūt par nepamatotas diskriminācijas upuri.
84. Ņemot vērā minētos trīs kritērijus, kuriem ir jābūt izpildītiem, lai datu izmantošana atbilstu sākotnējam nolūkam, kā prasīts VDAR 6. panta 4. punktā, šķiet apšaubāmi, ka turpmākā šo datu izmantošana varētu būt atbilstīga šim nolūkam.
85. Turklāt jānorāda, ka, nosakot sešu mēnešu maksimālo termiņu laikposmam, kurā, ja ir izpildīti likumiskie nosacījumi, tiek publiskota informācija par maksātnespējas situāciju un tiesas nolēmums par atbrīvošanu no atlikušajām parādsaistībām, valsts likumdevējs jau ir ņēmis vērā sabiedrības interešu ievērošanu un ir samērojis kreditoru intereses ar maksātnespējīgo personu interesēm un tiesībām (41). Personas datu apstrāde, ko privātuzņēmumi veic sešreiz ilgākā laikposmā nekā likumā paredzētais attiecībā uz publiskajiem reģistriem, šķiet esam pārmērīga un datu subjektam de facto nelabvēlīga, lai gan likumā nekas tāds skaidri nav paredzēts. Proti, kā jau esmu norādījis, ar atbrīvošanu no atlikušajām parādsaistībām ir iecerēts ļaut saņēmējam no jauna piedalīties saimnieciskajā dzīvē. Taču šis mērķis būtu apdraudēts, ja privātiem kredītinformācijas birojiem būtu atļauts glabāt personas datus savās datubāzēs pēc tam, kad šie dati ir dzēsti no publiskā reģistra (42). Ja nav pierādījumu par pretējo, pastāv risks, ka piekļuves datubāzei nosacījumi var būt noteikti, lai apietu valsts tiesisko regulējumu, ko dalībvalsts ir pieņēmusi, lai izpildītu pienākumus, kas tai ir noteikti Savienības tiesībās (43).
86. Turklāt šķiet nesamērīgi nākotnē veicamos vērtējumos “izmantot no jauna” tādu pagājušu un juridiski jau atrisinātu situāciju kā atbrīvošana no parādsaistībām, tā vietā, lai izmantotu faktorus, kuri ir aktualizēti risku analīzes brīdī, lai nodrošinātu precīzāku un objektīvāku vērtējumu par datu subjekta ekonomisko situāciju. Proti, varētu vaicāt par to, cik vērtīga ir informācija par datu subjekta ekonomisko situāciju pirms vairākiem gadiem. Personas dati par kādu senāk bijušu apstākli nebūt nesniedz kādu ticamu informāciju par datu subjekta pašreizējo ekonomisko situāciju. Vācijas likumdevējs šķiet esam saskatījis šo problēmu un izdarījis pareizus secinājumus, izvēloties ievērojami īsāku datu glabāšanas laiku.
87. Visbeidzot, veids, kā kredītinformācijas biroji rīkojas, manuprāt, ir pretrunā VDAR 5. panta 1. punkta c) apakšpunktā nostiprinātajam datu minimizēšanas principam, saskaņā ar kuru personas datiem jābūt adekvātiem un atbilstīgiem un jāietver tikai tas, kas nepieciešams šo datu apstrādes nolūkos. Šajā ziņā faktiski jāvaicā, kāda jēga ir darīt pieejamus personas datus, kuri sabiedrībai jau ir pieejami dalībvalstu izveidotajos reģistros. Man šķiet, ka šāda darbība drīzāk var novest pie sensitīvas informācijas izpaušanas, kas arī var nebūt nepieciešama, lai apmierinātu saimnieciskās darbības veicēju komercintereses (44).
88. Iepriekš izklāstīto iemeslu dēļ uzskatu, ka šo datu glabāšana, ko veic privāts kredītinformācijas birojs, nav prakse, kas būtu atbilstīga nolūka ierobežojumu un datu minimizēšanas principiem, kas nostiprināti attiecīgi VDAR 5. panta 1. punkta b) un c) apakšpunktā.
c) Starpsecinājumi
89. Iepriekš veiktā analīze man liek secināt, ka kredītinformācijas biroju prakse, kas izpaužas kā no publiskiem reģistriem iegūtu personas datu glabāšana trīs gadus ilgā laikposmā, neatbilst VDAR nostiprinātajiem personas datu apstrādes principiem. Tomēr jāprecizē, ka šā secinājuma pamatā ir faktu vērtējums, kuru veikt galu galā ir šo lietu izskatošās iesniedzējtiesas ziņā.
2. Par tiesību uz dzēšanu izmantošanu (VDAR 17. panta 1. punkts)
90. Iesniedzējtiesa vēlas arī noskaidrot, vai VDAR 17. pantā nostiprinātās tiesības “tikt aizmirstam” nozīmē, ka personas dati jādzēš no privāta kredītinformācijas biroja datubāzēm, kuras pastāv līdztekus publiskajiem reģistriem un ietver tos pašus datus. Iesniedzējtiesa veic nošķīrumu starp laikposmu, kurā personas dati ir pieejami arī publiskajā reģistrā, un laikposmu, kurā šie dati tajā vairs nav pieejami.
91. VDAR 17. panta 1. punkta d) apakšpunktā datu subjektam ir paredzētas absolūtas tiesības panākt, ka tā personas datus dzēš, ja tie ir apstrādāti nelikumīgi (45). Līdz ar to gadījumā, ja – ņemot vērā to, ko esmu secinājis savā analīzē (46) – iesniedzējtiesa uzskatītu, ka SCHUFA nevarēja likumīgi apstrādāt prasītāju personas datus, pamatojoties uz VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu, šāda apstrāde būtu nelikumīga, ja vien nebūtu piemērojams kāds cits VDAR 6. panta 1. punktā minētais pamatojums. Tādā gadījumā SCHUFA būtu pienākums dzēst prasītāju personas datus un šiem pēdējiem būtu tiesības to panākt neatkarīgi no tā, vai tie ir lūguši dzēst datus laikposmā pirms vai pēc šo datu dzēšanas no publiskā reģistra. Šķiet, ka šāds rezultāts arī atbilst prasībām, kas noteiktas VDAR 5. panta 1. punkta e) apakšpunktā, kas noteic, ka personas dati tiek “glabāti veidā, kas pieļauj datu subjektu identifikāciju, ne ilgāk kā nepieciešams nolūkiem, kādos attiecīgos personas datus apstrādā” (mans izcēlums).
92. Šajā ziņā vēlos vērst uzmanību uz Regulas 2015/848 79. panta 5. punktu, kurā ir norādīts uz to, kādu nozīmīgumu Savienības likumdevējs ir piešķīris tiesībām uz dzēšanu, it īpaši gadījumos, kad iestādes apstrādā personas datus, kuri ir īpaši sensitīvi, piemēram, datus, kas saistīti ar datu subjektu maksātspēju. Saskaņā ar šo normu “saistībā ar informāciju, kas datu subjektiem būtu sniedzama, lai dotu tiem iespēju īstenot savas tiesības un jo īpaši tiesības uz datu dzēšanu, dalībvalstis informē datu subjektus par piekļuves laikposmu, kas noteikts maksātnespējas reģistros glabātajiem personas datiem” (mans izcēlums). Savienības likumdevējs acīmredzami ir atzinis nepieciešamību dzēst šāda veida datus tad, kad to glabāšanai vairs nav pamatojuma.
93. Lai arī lūgumi sniegt prejudiciālu nolēmumu ir tikai par VDAR 17. panta 1. punkta d) apakšpunkta interpretāciju, uzskatu, ka šā 1. punkta c) apakšpunkts arī var izrādīties nozīmīgs šajās lietās taisāmā sprieduma vajadzībām, proti, gadījumā, ja iesniedzējtiesa – pretēji secinājumam, pie kāda nonācu, pamatojoties uz pieejamo informāciju, – uzskatītu, ka SCHUFA varēja likumīgi apstrādāt prasītāju personas datus atbilstoši VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktam. Šajā normā ir paredzētas tiesības uz personas datu dzēšanu, ja datu subjekts iebilst pret apstrādi saskaņā ar VDAR 21. panta 1. punktu un apstrādei nav nekāda svarīgāka leģitīma pamata. Šis formulējums nozīmē, ka jebkāds “svarīgāks leģitīms pamats apstrādei” ir izņēmums attiecībā uz datu subjekta tiesībām iebilst pret apstrādi un panākt savu personas datu dzēšanu. Līdz ar to tiek prezumēts, ka datu subjektam ir tiesības iebilst pret apstrādi un tiesības uz dzēšanu, ja vien nav kāda svarīgāka leģitīma pamata (47).
94. Manuprāt, personas datu efektīvas aizsardzības interesēs nevajadzētu būt nopietniem šķēršļiem tiesību uz dzēšanu īstenošanai, it īpaši tad, ja tirgū darbojas vairāki kredītinformācijas biroji, kas glabā datus līdztekus publiskajam reģistram. Ja VDAR 17. panta 1. punkta šauras interpretācijas dēļ šo tiesību izmantošana tiktu padarīta pārāk sarežģīta, aizsardzību, ko tiecas nodrošināt ar VDAR, draudētu apiet konkurenti. Taču jāatgādina, ka Savienības likumdevēja mērķis – kā izriet no VDAR 10. apsvēruma – bija “visā Savienībā [..] [nodrošināt] noteikumu par fiziskas personas pamattiesību un pamatbrīvību aizsardzību attiecībā uz personas datu apstrādi vienveidīg[u] piemērošan[u]” (mans izcēlums). Līdz ar to datu subjektam ir jāspēj aizstāvēt savas tiesības attiecībā pret visiem uzņēmumiem, kas pārkāpj šos noteikumus. Ņemot vērā, ka SCHUFA ir tikai viens no daudziem lielajiem kredītinformācijas birojiem Vācijā, būs jānoskaidro, vai personas datu glabāšana līdztekus publiskajam reģistram ir izplatīta šo uzņēmumu prakse.
95. Tāpēc šajā analīzes posmā jāpatur prātā, ka prasītāji principā var atsaukties uz tiesībām uz dzēšanu atbilstoši VDAR 17. panta 1. punktam. Rezultāts būtu atšķirīgs tikai gadījumā, ja kādam privātam kredītinformācijas birojam izdotos “[norādīt] uz pārliecinošiem leģitīmiem apstrādes iemesliem, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām” VDAR 21. panta 1. punkta izpratnē. Ciktāl pieejamā informācija neļauj secināt, ka pamatlietā varētu pastāvēt šādi pārliecinoši iemesli, iesniedzējtiesai ir jākonstatē fakti un vajadzības gadījumā jāsamēro iesaistītās intereses.
96. Ņemot vērā iepriekš izklāstītos apsvērumus, VDAR 17. panta 1. punkta d) apakšpunkts ir jāinterpretē tādējādi, ka datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēš šā datu subjekta personas datus, ja šie dati ir apstrādāti nelikumīgi saskaņā ar šīs regulas 6. panta 1. punktu. VDAR 17. panta 1. punkta c) apakšpunkts ir jāinterpretē tādējādi, ka datu subjektam principā ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēš šā datu subjekta personas datus, ja šis datu subjekts iebilst pret to apstrādi saskaņā ar šīs regulas 21. panta 1. punktu. Iesniedzējtiesai ir jāvērtē, vai izņēmuma kārtā šai apstrādei nav kāda svarīgāka leģitīma pamata.
3. Par rīcības kodeksa VDAR 40. panta izpratnē izmantošanu, lai paredzētu uzraudzības un dzēšanas termiņus, kas pārsniedz publiskajiem reģistriem paredzētos glabāšanas termiņus
97. Iesniedzējtiesa vēlas arī noskaidrot, vai Savienības tiesībām atbilst tas, ka rīcības kodeksā VDAR 40. panta izpratnē paredz uzraudzības un dzēšanas termiņus, kas pārsniedz publiskajiem reģistriem paredzētos glabāšanas termiņus, bez vajadzības veikt šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunktā paredzēto samērošanu.
98. Šajā ziņā vispirms jānorāda, ka, iesniedzējtiesas ieskatā, pašlaik nav neviena valsts tiesību akta, kurā būtu noteikti dzēšanas termiņi attiecībā uz kredītinformācijas biroju datubāzēm. Tomēr šķiet, ka uzraudzības iestādes un kredītinformācijas biroju apvienības kopīgi pieņemto rīcības kodeksu ieinteresētās puses uzskata par zināmu “juridisko pamatu”, kas var leģitimizēt iepriekš aprakstīto praksi. Šāda izpratne man šķiet esam juridiski kritizējama šādu iemeslu dēļ.
99. Juridiski šāds rīcības kodekss ir tikai to izstrādājušo un pieņēmušu struktūru, proti, iepriekš minētās apvienības un tās biedru brīvprātīga apņemšanās. Arī tas, ka šo rīcības kodeksu ir apstiprinājusi uzraudzības iestāde, nozīmē vienīgi to, ka tā, būdama administratīva iestāde, minēto rīcības kodeksu uzskata par sev saistošu. Tomēr man šķiet pašsaprotami, ka tam nav saistoša spēka attiecībā uz trešām personām atbilstoši tiesību principam “pacta tertiis nec nocent nec prosunt”. Pretējā gadījumā šis rīcības kodekss attiektos ne tikai uz fiziskajām personām, kuru dati tiek apstrādāti, bet arī uz uzņēmumiem, kuri nav piedalījušies tā izstrādāšanā.
100. Rīcības kodekss jau pēc savas iedabas tiesību sistēmā nav apveltīts ar normatīvu spēku, bet gan ir vērsts uz kāda normatīva akta normu precizēšanu, lai atvieglotu tā piemērošanu. Šo interpretāciju apstiprina VDAR 40. panta 1. un 2. punkts, no kuriem izriet, ka rīcības kodeksi, kuri jāizstrādā apvienībām un citām struktūrām, kas pārstāv pārziņu vai apstrādātāju kategorijas, ir paredzēti tam, lai, pirmām kārtām, “veicinātu [šīs regulas] atbilstīgu piemērošanu” un, otrām kārtām, “precīzi noteiktu, kā piemērojama” šī regula (izcēlums mans). Līdz ar to, tā kā aplūkojamā rīcības kodeksa darbība ir vērsta tikai uz to, lai nodrošinātu VDAR atbilstīgu piemērošanu noteiktā nozarē, tas pats par sevi vien nevar būt juridiskais pamats, ar ko varētu pamatot personas datu apstrādi (48).
101. Juridiskais pamats šādai apstrādei ir rodams vienīgi VDAR 6. pantā vai – gadījumā, ja pastāv piemērojama atvērējklauzula, – valsts tiesību normās. Šajos secinājumos jau esmu norādījis, ka VDAR 6. pantā ir paredzēts izsmeļošs un ierobežots to gadījumu uzskaitījums, kuros personas datu apstrāde var tikt uzskatīta par likumīgu (49). Līdz ar to rīcības kodeksa noteikumu sekas nevar būt tādas, ka tiktu paplašināts šis uzskaitījums, vienlaikus nepārkāpjot Savienības tiesību normas.
102. Man šķiet, ka tieši tā tas ir tad, kad – kā tas ir šajā gadījumā – ar šiem noteikumiem kredītinformācijas birojiem ir noteikts pienākums glabāt datu subjektu datus trīs gadus ilgu laikposmu, proti, ilgāku laikposmu, kas nevar būtu pamatots, ņemot vērā VDAR nostiprinātos personas datu apstrādes principus. Konkrētāk, kā esmu norādījis savā analīzē, šo datu glabāšanu nevar uzskatīt par likumīgu, pamatojoties uz VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu, laikposmā pēc personas datu par maksātnespēju dzēšanas no publiskajiem reģistriem (50).
103. Līdz ar to šajā analīzes posmā ir jākonstatē, ka rīcības kodeksi, kas liktu nonākt pie rezultāta, kas atšķiras no tā, kas panākts, piemērojot VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu, nav ņemami vērā, veicot samērošanu atbilstoši šai tiesību normai. Kredītinformācijas biroji, būdami “pārziņi” VDAR 4. panta 7. punkta izpratnē, nevar likumīgi atbrīvoties no saviem pienākumiem, kas izriet no šīs regulas, pašu izstrādātu rīcības kodeksu noteikumu aizsegā.
104. Ņemot vērā iepriekš minētos apsvērumus, uzskatu, ka VDAR 40. panta 2. un 5. punkts ir jāinterpretē tādējādi, ka rīcības kodeksos, kas izstrādāti atbilstoši šīm normām un kurus, iespējams, ir apstiprinājusi uzraudzības iestāde, nevar juridiski saistošā veidā noteikt tādus personas datu likumīgas apstrādes nosacījumus, kuri atšķirtos no VDAR 6. panta 1. punktā noteiktajiem.
VI. Secinājumi
105. Ņemot vērā iepriekš izklāstītos apsvērumus, ierosinu Tiesai uz Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija) uzdotajiem prejudiciālajiem jautājumiem atbildēt šādi:
1) Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) 78. panta 1. punkts
ir jāinterpretē tādējādi, ka
no šīs tiesību normas izriet, ka juridiski saistošs uzraudzības iestādes lēmums ir pakļauts pilnīgai pārbaudei tiesā pēc būtības.
2) Regulas 2016/679 6. panta 1. punkta pirmās daļas f) apakšpunkts
ir jāinterpretē tādējādi, ka
tas liedz privātam kredītinformācijas birojam glabāt personas datus, kas gūti no tāda publiska reģistra kā “valsts datubāzes” Eiropas Parlamenta un Padomes Regulas (ES) 2015/848 (2015. gada 20. maijs) par maksātnespējas procedūrām 79. panta 4. un 5. punkta izpratnē, ilgāk par laikposmu, kurā dati tiek glabāti publiskā reģistrā. Iesniedzējtiesai ir jāpārbauda, vai datu glabāšana laikposmā, kas atļauts publiskajam reģistram, atbilst šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunkta nosacījumiem.
3) Regulas 2016/679 17. panta 1. punkta d) apakšpunkts
ir jāinterpretē tādējādi, ka
datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēš šā datu subjekta personas datus, ja šie dati ir apstrādāti nelikumīgi saskaņā ar minētās regulas 6. panta 1. punktu.
Regulas 2016/679 17. panta 1. punkta c) apakšpunkts
ir jāinterpretē tādējādi, ka
datu subjektam principā ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēš šā datu subjekta personas datus, ja šis datu subjekts iebilst pret to apstrādi saskaņā ar šīs regulas 21. panta 1. punktu. Iesniedzējtiesai ir jāvērtē, vai izņēmuma kārtā šai apstrādei nav kāda svarīgāka leģitīma pamata.
4) Regulas 2016/679 40. panta 2. un 5. punkts
ir jāinterpretē tādējādi, ka
rīcības kodeksos, kas izstrādāti atbilstoši šīm normām un kurus, iespējams, ir apstiprinājusi uzraudzības iestāde, nevar juridiski saistošā veidā noteikt tādus personas datu likumīgas apstrādes nosacījumus, kuri atšķirtos no VDAR 6. panta 1. punktā noteiktajiem.