Προσωρινό κείμενο

ΠΡΟΤΑΣΕΙΣ ΤΟΥ ΓΕΝΙΚΟΥ ΕΙΣΑΓΓΕΛΕΑ

PRIIT PIKAMÄE

της 16ης Μαρτίου 2023 (1)

Συνεκδικαζόμενες υποθέσεις C‑26/22 και C‑64/22

UF (C‑26/22)

AB (C‑64/22)

κατά

Land Hessen,

παρισταμένης της

SCHUFA Holding AG

[αίτηση του Verwaltungsgericht Wiesbaden (διοικητικού πρωτοδικείου Wiesbaden, Γερμανία) για την έκδοση προδικαστικής αποφάσεως]

«Προδικαστική παραπομπή – Προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ – Νομιμότητα της επεξεργασίας – Άρθρο 17, παράγραφος 1, στοιχείο δʹ – Δικαίωμα διαγραφής σε περίπτωση μη σύννομης επεξεργασίας δεδομένων προσωπικού χαρακτήρα – Άρθρο 40 – Κώδικες δεοντολογίας – Άρθρο 77, παράγραφος 1 – Δικαίωμα υποβολής καταγγελίας – Άρθρο 78, παράγραφος 1 – Δικαίωμα πραγματικής δικαστικής προσφυγής κατά εποπτικής αρχής – Άρθρα 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης – Απόφαση εποπτικής αρχής επί καταγγελίας – Έκταση του δικαστικού ελέγχου της εν λόγω απόφασης – Γραφεία οικονομικών πληροφοριών – Αποθήκευση δεδομένων που προέρχονται από δημόσιο μητρώο – Έννομο συμφέρον – Διάρκεια της περιόδου αποθήκευσης»

I.      Εισαγωγή

1.        Αντικείμενο των υπό κρίση αιτήσεων προδικαστικής αποφάσεως που υπέβαλε το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden, Γερμανία), δυνάμει του άρθρου 267 ΣΛΕΕ, είναι η ερμηνεία των άρθρων 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης) καθώς και του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του άρθρου 17, παράγραφος 1, στοιχείο δʹ, του άρθρου 40, του άρθρου 77, παράγραφος 1, και του άρθρου 78, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (2) (στο εξής: ΓΚΠΔ).

2.        Οι εν λόγω αιτήσεις προδικαστικής αποφάσεως υποβλήθηκαν στο πλαίσιο δύο διαφορών μεταξύ, αφενός, του UF (στην υπόθεση C‑26/22) και του AB (στην υπόθεση C‑64/22) και, αφετέρου, του Land Hessen (ομόσπονδου κράτους της Έσσης, Γερμανία), εκπροσωπούμενου από τον Hessischer Beauftragte für Datenschutz und Informationsfreiheit (επίτροπο προστασίας δεδομένων και ελευθερίας πληροφόρησης του ομόσπονδου κράτους της Έσσης, στο εξής: HBDI), σχετικά με τις αιτήσεις που ο UF και ο AB υπέβαλαν, αντιστοίχως, στον HBDI, ώστε να ενεργήσει για τη διαγραφή, από τη SCHUFA Holding AG (στο εξής: SCHUFA), καταχώρισης πτωχευτικής απαλλαγής.

3.        Οι δύο υποθέσεις εγείρουν πλείονα καινοφανή νομικά ζητήματα τα οποία αφορούν, μεταξύ άλλων, τη νομική φύση της απόφασης της εποπτικής αρχής που επιλαμβάνεται καταγγελίας και την έκταση του δικαστικού ελέγχου που ο δικαστής μπορεί να ασκήσει στο πλαίσιο προσφυγής που ασκείται κατά τέτοιας αποφάσεως. Οι εν λόγω υποθέσεις άπτονται επίσης του ζητήματος της νομιμότητας της αποθήκευσης, από γραφεία οικονομικών πληροφοριών, δεδομένων προσωπικού χαρακτήρα προερχόμενων από δημόσιο μητρώο.

II.    Το νομικό πλαίσιο

Α.      Το δίκαιο της Ένωσης

1.      Ο κανονισμός (ΕΕ) 2015/848

4.        Το άρθρο 79, παράγραφοι 4 και 5 του κανονισμού (EE) 2015/848 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2015, περί των διαδικασιών αφερεγγυότητας (3), ορίζει τα εξής:

«4.      Τα κράτη μέλη είναι υπεύθυνα, σύμφωνα με την οδηγία 95/46/ΕΚ [του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31)], για τη συλλογή και την αποθήκευση δεδομένων σε εθνικές βάσεις δεδομένων και για τις αποφάσεις που λαμβάνονται ώστε να καταστούν τα δεδομένα αυτά διαθέσιμα στο διασυνδεδεμένο μητρώο που μπορεί να χρησιμοποιηθεί μέσω της διαδικτυακής πύλης της ευρωπαϊκής ηλεκτρονικής δικαιοσύνης.

5.      Στο πλαίσιο της πληροφόρησης που πρέπει να παρέχεται στα πρόσωπα στα οποία αναφέρονται τα δεδομένα ώστε να μπορούν να ασκήσουν τα δικαιώματά τους, και ιδίως το δικαίωμα διαγραφής των δεδομένων, τα κράτη μέλη ενημερώνουν τα πρόσωπα στα οποία αναφέρονται τα δεδομένα σχετικά με την περίοδο προσβασιμότητας που ισχύει για τα δεδομένα προσωπικού χαρακτήρα που αποθηκεύονται στα μητρώα αφερεγγυότητας.»

2.      Ο ΓΚΠΔ

5.        Το άρθρο 5, παράγραφος 1, του ΓΚΠΔ ορίζει τα εξής:

«Τα δεδομένα προσωπικού χαρακτήρα:

[...]

β)      συλλέγονται για καθορισμένους, ρητούς και νόμιμους σκοπούς και δεν υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο ασύμβατο προς τους σκοπούς αυτούς· [...] (περιορισμός του σκοπού)·

[...]».

6.        Το άρθρο 6, παράγραφος 1, του εν λόγω κανονισμού προβλέπει τα εξής:

«Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

[...]

στ)      η επεξεργασία είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα [...]

[...]»

7.        Το άρθρο 17, παράγραφος 1, του ΓΚΠΔ προβλέπει τα εξής:

«Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους:

[...]

γ)      το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 1 και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία ή το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21 παράγραφος 2,

δ)      τα δεδομένα προσωπικού χαρακτήρα υποβλήθηκαν σε επεξεργασία παράνομα,

[...]».

8.        Το άρθρο 21, παράγραφος 1, του εν λόγω κανονισμού ορίζει τα εξής:

«Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.»

9.        Το άρθρο 40 του εν λόγω κανονισμού ορίζει τα ακόλουθα:

«1.      Τα κράτη μέλη, οι εποπτικές αρχές, το Συμβούλιο Προστασίας Δεδομένων και η Επιτροπή ενθαρρύνουν την εκπόνηση κωδίκων δεοντολογίας που έχουν ως στόχο να συμβάλουν στην ορθή εφαρμογή του παρόντος κανονισμού, λαμβάνοντας υπόψη τα ειδικά χαρακτηριστικά των διάφορων τομέων επεξεργασίας και τις ειδικές ανάγκες των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων.

2.      Ενώσεις και άλλοι φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία μπορούν να εκπονούν κώδικες δεοντολογίας ή να τροποποιούν ή να επεκτείνουν υφιστάμενους κώδικες δεοντολογίας, προκειμένου να προσδιορίσουν την εφαρμογή του παρόντος κανονισμού, όπως όσον αφορά:

α)      τη θεμιτή και με διαφάνεια επεξεργασία,

β)      τα έννομα συμφέροντα που επιδιώκουν οι υπεύθυνοι επεξεργασίας σε συγκεκριμένα πλαίσια,

γ)      τη συλλογή δεδομένων προσωπικού χαρακτήρα,

[...]

5.      Ενώσεις και άλλοι φορείς που αναφέρονται στην παράγραφο 2 του παρόντος άρθρου και προτίθενται να εκπονήσουν κώδικα δεοντολογίας ή να τροποποιήσουν ή να επεκτείνουν υφιστάμενο κώδικα υποβάλλουν το σχέδιο κώδικα στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55. Η εποπτική αρχή γνωμοδοτεί ως προς τη συμμόρφωση του σχεδίου κώδικα, της τροποποίησης ή της επέκτασης προς τον παρόντα κανονισμό και εγκρίνει το εν λόγω σχέδιο κώδικα, τροποποίηση ή επέκταση, εάν κρίνει ότι παρέχει επαρκείς κατάλληλες εγγυήσεις.

[...]»

10.      Το άρθρο 77, παράγραφος 1, του ΓΚΠΔ προβλέπει τα εξής:

«Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.»

11.      Το άρθρο 78 του κανονισμού εν λόγω ορίζει τα εξής:

«1.      Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.

2.      Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής, εφόσον η εποπτική αρχή που είναι αρμόδια δυνάμει των άρθρων 55 και 56 δεν εξετάσει την καταγγελία ή δεν ενημερώσει το υποκείμενο των δεδομένων εντός τριών μηνών για την πρόοδο ή την έκβαση της καταγγελίας που υποβλήθηκε δυνάμει του άρθρου 77.

[...]»

Β.      Το γερμανικό δίκαιο

12.      Το άρθρο 9 του Insolvenzordnung (νόμου περί αφερεγγυότητας), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών των υποθέσεων των κύριων δικών, ορίζει στην παράγραφο 1 τα εξής:

«Η δημόσια ανακοίνωση γίνεται μέσω κεντρικής και υπερβαίνουσας τα όρια του ομόσπονδου κράτους δημοσιεύσεως στο διαδίκτυο· μπορεί να είναι και αποσπασματική. Ο οφειλέτης πρέπει να προσδιορίζεται ακριβώς, ιδίως πρέπει να αναφέρονται η διεύθυνση και ο κλάδος δραστηριότητάς του. Η ανακοίνωση θεωρείται ότι έχει γίνει μόλις παρέλθουν δύο επιπλέον ημέρες από την ημερομηνία της δημοσιεύσεως.»

13.      Το άρθρο 3 του Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (κανονισμού περί των δημόσιων ανακοινώσεων στις διαδικασίες αφερεγγυότητας στο διαδίκτυο, στο εξής: InsBekV) ορίζει στις παραγράφους 1 και 2 τα εξής:

«1)      Η δημοσίευση δεδομένων διαδικασίας αφερεγγυότητας, συμπεριλαμβανομένης της κινήσεως της διαδικασίας, που έχει γίνει σε ηλεκτρονικό σύστημα ενημερώσεως και επικοινωνίας διαγράφεται το αργότερο έξι μήνες μετά την κατάργηση ή την τελεσίδικη περάτωση της εν λόγω διαδικασίας. Αν η διαδικασία δεν έχει αρχίσει, η προθεσμία τρέχει από την άρση των δημοσιευθέντων ασφαλιστικών μέτρων.

2)      Για τις δημοσιεύσεις στο πλαίσιο της διαδικασίας χορηγήσεως πτωχευτικής απαλλαγής, συμπεριλαμβανομένης της διατάξεως του άρθρου 289 του Insolvenzordnung (νόμου περί αφερεγγυότητας), ισχύει η παράγραφος 1, πρώτη περίοδος, με την επισήμανση ότι η προθεσμία αρχίζει να τρέχει αφότου η απόφαση περί της πτωχευτικής απαλλαγής καταστεί τελεσίδικη.»

III. Τα πραγματικά περιστατικά των διαφορών, οι κύριες δίκες και τα προδικαστικά ερωτήματα

14.      Στο πλαίσιο των διαδικασιών αφερεγγυότητας που κινήθηκαν εις βάρος τους, χορηγήθηκε στον UF και στον AB πρόωρη πτωχευτική απαλλαγή, με δικαστικές διατάξεις που εκδόθηκαν στις 17 Δεκεμβρίου 2020 και στις 23 Μαρτίου 2021, αντιστοίχως. Σύμφωνα με το άρθρο 9, παράγραφος 1, του νόμου περί αφερεγγυότητας και το άρθρο 3, παράγραφοι 1 και 2, του InsBekV, το γεγονός αυτό ανακοινώθηκε δημόσια στο διαδίκτυο, καταχώριση η οποία διαγράφηκε μετά την παρέλευση έξι μηνών.

15.      Η SCHUFA, ιδιωτικό γραφείο οικονομικών πληροφοριών, αποθηκεύει στις βάσεις δεδομένων της τις πληροφορίες που ανακοινώνονται δημόσια σχετικά με πρόωρες πτωχευτικές απαλλαγές τις οποίες, όμως, διαγράφει μόνον μετά την παρέλευση τριών ετών από την αποθήκευση.

16.      Κατόπιν όχλησης εκ μέρους του UF και του AB, αντιστοίχως, οι οποίοι ζήτησαν τη διαγραφή των καταχωρίσεων που τους αφορούν, η SCHUFA απάντησε ότι η δραστηριότητά της είναι σύμφωνη προς τον ΓΚΠΔ και ότι η προθεσμία έξι μηνών η οποία προβλέπεται στο άρθρο 3, παράγραφος 1, του InsBekV για τη διαγραφή δεν έχει εφαρμογή στην περίπτωσή της. Ως εκ τούτου, ο UF και ο AB υπέβαλαν χωριστές καταγγελίες ενώπιον του HBDI, ως αρμόδιας εποπτικής αρχής.

17.      Ο HBDI αποφάνθηκε επί των καταγγελιών με δύο γνώμες, τις οποίες εξέδωσε την 1η Μαρτίου 2021 και στις 9 Ιουλίου 2021, αντιστοίχως. Κατ’ αυτόν, η SCHUFA έχει το δικαίωμα να αποθηκεύει αρνητικές καταχωρίσεις σχετικές με πτωχευτική απαλλαγή για διάστημα το οποίο υπερβαίνει το χρονικό διάστημα της απαλλαγής από την απαίτηση.

18.      Τόσο ο UF όσο και ο AB άσκησαν προσφυγή κατά της αντίστοιχης γνώμης του HBDI ενώπιον του Verwaltungsgericht Wiesbaden (διοικητικού πρωτοδικείου Wiesbaden), αιτούντος δικαστηρίου. Με τις προσφυγές τους υποστηρίζουν ότι ο HBDI οφείλει, στο πλαίσιο των καθηκόντων και των εξουσιών του, να λάβει μέτρα έναντι της SCHUFA προκειμένου να επιβάλει τη διαγραφή των καταχωρίσεων που τους αφορούν.

19.      Συναφώς, το αιτούν δικαστήριο εκτιμά ότι είναι αναγκαίο, κατά πρώτον, να αποσαφηνιστεί η νομική φύση της απόφασης που η εποπτική αρχή εκδίδει επί καταγγελίας υποβαλλόμενης δυνάμει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ. Το αιτούν δικαστήριο εκθέτει ότι, κατά τη γνώμη του HBDI, το δικαίωμα που προβλέπεται στο άρθρο 77, παράγραφος 1, του ΓΚΠΔ έχει χαρακτήρα αναφοράς. Επομένως, υπόκειται σε περιορισμένο μόνο δικαστικό έλεγχο, με τον οποίο εξακριβώνεται μόνον εάν η εποπτική αρχή εξέτασε την καταγγελία και ενημέρωσε τον καταγγέλλοντα για την πρόοδο και για την έκβασή της. Αντιθέτως, ο δικαστής δεν θα πρέπει να ελέγχει την ορθότητα επί της ουσίας της απόφασης που εκδίδεται επί της καταγγελίας.

20.      Εντούτοις, το αιτούν δικαστήριο διατηρεί αμφιβολίες όσον αφορά τη συμβατότητα της προεκτεθείσας ανάλυσης με τον ΓΚΠΔ. Συγκεκριμένα, κατά το αιτούν δικαστήριο, το άρθρο 78, παράγραφος 1, του εν λόγω κανονισμού επιτάσσει τη δυνατότητα άσκησης πραγματικής δικαστικής προσφυγής. Λαμβανομένου υπόψη του σκοπού του ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση της αποτελεσματικής προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων κατ’ εφαρμογήν των άρθρων 7 και 8 του Χάρτη, η μεταχείριση του δικαιώματος καταγγελίας δεν μπορεί να ερμηνεύεται στενά. Επομένως, το αιτούν δικαστήριο τείνει προς ερμηνεία κατά την οποία η επί της ουσίας απόφαση της εποπτικής αρχής πρέπει να ελέγχεται πλήρως ως προς το περιεχόμενό της από το δικαστήριο, με την επισήμανση όμως ότι η εποπτική αρχή διαθέτει τόσο περιθώριο εκτίμησης όσο και διακριτική ευχέρεια και ότι μπορεί να υποχρεωθεί να προβεί σε ενέργεια μόνον όταν δεν υφίστανται άλλες νόμιμες εναλλακτικές δυνατότητες.

21.      Κατά δεύτερον, το αιτούν δικαστήριο διατηρεί αμφιβολίες όσον αφορά τη νομιμότητα της αποθήκευσης, από γραφεία οικονομικών πληροφοριών, δεδομένων προερχόμενων από δημόσιο μητρώο. Επ’ αυτού, το αιτούν δικαστήριο διευκρινίζει ότι τα εν λόγω γραφεία λαμβάνουν από δημόσιους φορείς το σύνολο των καταχωρίσεων που προέρχονται από τα δημόσια μητρώα, εν προκειμένω από το μητρώο οφειλετών και το μητρώο πτωχεύσεων. Κατά τον HBDI, τα εν λόγω δεδομένα προσωπικού χαρακτήρα χρησιμεύουν για την αξιολόγηση της φερεγγυότητας και επιτρέπεται να αποθηκεύονται για όσο χρονικό διάστημα απαιτείται για τους σκοπούς για τους οποίους αποθηκεύτηκαν. Επιπλέον, ελλείψει ρύθμισης εκ μέρους του εθνικού νομοθέτη, οι εποπτικές αρχές εξέδωσαν, από κοινού με το σωματείο των γραφείων οικονομικών πληροφοριών, κώδικες δεοντολογίας, οι οποίοι προβλέπουν τη διαγραφή ακριβώς τρία έτη μετά την καταχώριση στο αρχείο.

22.      Κατά το αιτούν δικαστήριο, σε σχέση με τα άρθρα 7 και 8 του Χάρτη, τίθεται το ζήτημα του αν οι καταχωρίσεις στα δημόσια μητρώα μπορούν να μεταφερθούν, ως έχουν, σε καταλόγους που αποτελούν αντικείμενο διαχείρισης για ιδιωτικούς σκοπούς, χωρίς να συντρέχει συγκεκριμένος λόγος αποθήκευσης των δεδομένων. Πρόκειται, εν τέλει, για διατήρηση δεδομένων για μελλοντική χρήση κυρίως όταν, στο εθνικό μητρώο, τα δεδομένα έχουν ήδη διαγραφεί λόγω της παρέλευσης της περιόδου αποθήκευσης. Εξάλλου, η SCHUFA δεν είναι παρά ένα μόνο από τα πολλά γραφεία οικονομικών πληροφοριών που υπάρχουν και, ως εκ τούτου, τα δεδομένα διατηρούνται πολλαπλώς στη Γερμανία, γεγονός που συνεπάγεται μαζική προσβολή του θεμελιώδους δικαιώματος που κατοχυρώνεται στο άρθρο 7 του Χάρτη.

23.      Το αιτούν δικαστήριο επισημαίνει επιπλέον ότι επεξεργασία και, επομένως, αποθήκευση δεδομένων επιτρέπονται μόνον εάν πληρούται μια από τις προβλεπόμενες στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ προϋποθέσεις, με τη διευκρίνιση ότι, εν προκειμένω, μπορεί να ληφθεί υπόψη μόνον το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του εν λόγω κανονισμού. Είναι, όμως, αμφίβολο αν υπεύθυνος επεξεργασίας, όπως η SCHUFA, έχει έννομο συμφέρον κατά την έννοια της εν λόγω διάταξης. Εν πάση περιπτώσει, εφόσον έχει έννομο συμφέρον, ένα γραφείο οικονομικών πληροφοριών μπορεί πάντοτε να διενεργεί έρευνα στα δημόσια μητρώα, για όσο διάστημα τα δεδομένα είναι αποθηκευμένα σε αυτό.

24.      Επιπλέον, με το άρθρο 3 του InsBekV, ο Γερμανός νομοθέτης προβλέπει μόνον μια σχετικώς σύντομη αποθήκευση της πτωχευτικής απαλλαγής στο μητρώο αφερεγγυότητας διάρκειας έξι μηνών. Η εν λόγω διάταξη βασίζεται στο άρθρο 79, παράγραφος 5, του κανονισμού (ΕΕ) 2015/848, κατά το οποίο τα κράτη μέλη ενημερώνουν τα υποκείμενα των δεδομένων σχετικά με την περίοδο προσβασιμότητας που ισχύει για τα δεδομένα προσωπικού χαρακτήρα που αποθηκεύονται στα μητρώα αφερεγγυότητας, ώστε να μπορούν να ασκήσουν τα δικαιώματά τους, και ιδίως το δικαίωμα διαγραφής των δεδομένων. Εντούτοις, το εν λόγω δικαίωμα δεν ισχύει όταν πρόκειται για αποθήκευση σε πληθώρα ιδιωτικών καταλόγων, στα οποία τα δεδομένα αποθηκεύονται για μεγαλύτερο χρονικό διάστημα.

25.      Κατά τα λοιπά, ακόμη και αν γίνει δεκτό ότι η αποθήκευση, από γραφεία οικονομικών πληροφοριών, δεδομένων που προέρχονται από δημόσια μητρώα είναι νόμιμη, τίθεται το ζήτημα αν οι εγκεκριμένοι σύμφωνα με το άρθρο 40 του ΓΚΠΔ κώδικες δεοντολογίας, οι οποίοι προβλέπουν προθεσμία διαγραφής τριών ετών για την καταχώριση της πτωχευτικής απαλλαγής, πρέπει να ληφθούν υπόψη κατά τη στάθμιση που απαιτείται για την εκτίμηση δυνάμει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.

26.      Υπό τις συνθήκες αυτές, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

«1)      Έχει το άρθρο 77, παράγραφος 1, σε συνδυασμό με το άρθρο 78, παράγραφος 1, του [ΓΚΠΔ] την έννοια ότι η έκβαση της καταγγελίας ενώπιον της εποπτικής αρχής, η οποία κοινοποιείται στο υποκείμενο των δεδομένων,

α)      έχει τον χαρακτήρα απαντήσεως σε αναφορά; Στην περίπτωση αυτή, ο δικαστικός έλεγχος αποφάσεως εποπτικής αρχής επί καταγγελίας σύμφωνα με το άρθρο 78, παράγραφος 1, του ΓΚΠΔ, περιορίζεται κυρίως στο εάν η αρχή επιλήφθηκε πράγματι της καταγγελίας, εξέτασε προσηκόντως το αντικείμενό της και ενημέρωσε τον καταγγέλλοντα για το αποτέλεσμα του ελέγχου,

ή

β)      πρέπει να θεωρηθεί ως διοικητική απόφαση επί της ουσίας; Στην περίπτωση αυτή, ο δικαστικός έλεγχος αποφάσεως εποπτικής αρχής επί καταγγελίας σύμφωνα με το άρθρο 78, παράγραφος 1, του ΓΚΠΔ περιλαμβάνει τον πλήρη έλεγχο από το δικαστήριο της αποφάσεως επί της ουσίας, στο πλαίσιο του οποίου, κατά περίπτωση –όπως, για παράδειγμα, όταν δεν υπάρχει διακριτική ευχέρεια–, το δικαστήριο μπορεί επίσης να υποχρεώσει την εποπτική αρχή να λάβει συγκεκριμένο μέτρο κατά την έννοια του άρθρου 58 του ΓΚΠΔ;

2)      Είναι η αποθήκευση δεδομένων που γίνεται από γραφείο οικονομικών πληροφοριών, στο πλαίσιο της οποίας δεδομένα που προέρχονται από δημόσιο μητρώο, όπως από τις “εθνικές βάσεις δεδομένων” κατά την έννοια του άρθρου 79, παράγραφοι 4 και 5, του κανονισμού (ΕΕ) 2015/848 αποθηκεύονται χωρίς να συντρέχει συγκεκριμένος λόγος, προκειμένου να είναι δυνατή η παροχή πληροφοριών σε περίπτωση υποβολής σχετικού αιτήματος, συμβατή με τα άρθρα 7 και 8 του [Χάρτη];

3)      α)      Είναι κατ’ αρχήν νόμιμη η ύπαρξη ιδιωτικών παράλληλων βάσεων δεδομένων (ιδίως βάσεων δεδομένων γραφείου οικονομικών πληροφοριών), οι οποίες έχουν δημιουργηθεί πέραν των κρατικών βάσεων δεδομένων και στις οποίες τα δεδομένα που προέρχονται από τις κρατικές βάσεις δεδομένων (εν προκειμένω οι ανακοινώσεις αφερεγγυότητας) αποθηκεύονται για μεγαλύτερο χρονικό διάστημα από το προβλεπόμενο στο στενό πλαίσιο του κανονισμού (ΕΕ) 2015/848 σε συνδυασμό με το εθνικό δίκαιο;

β)      Σε περίπτωση καταφατικής απαντήσεως στο τρίτο ερώτημα, στοιχείο αʹ, προκύπτει από το δικαίωμα στη λήθη που προβλέπεται στο άρθρο 17, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ ότι τα εν λόγω δεδομένα πρέπει να διαγράφονται, όταν έχει λήξει η προβλεπόμενη για το δημόσιο μητρώο διάρκεια επεξεργασίας;

4)      Στον βαθμό που το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ μπορεί να ληφθεί υπόψη ως μοναδική νομική βάση για την αποθήκευση δεδομένων από ιδιωτικά γραφεία οικονομικών πληροφοριών, συμπεριλαμβανομένων και των αποθηκευμένων σε δημόσια μητρώα δεδομένων, πρέπει να γίνει δεκτή η ύπαρξη εννόμου συμφέροντος γραφείου οικονομικών πληροφοριών, στην περίπτωση που το εν λόγω γραφείο αποκτά τα δεδομένα από τον δημόσιο κατάλογο χωρίς να συντρέχει συγκεκριμένος λόγος, ώστε να μπορεί στη συνέχεια να τα έχει στη διάθεσή του σε περίπτωση υποβολής σχετικού αιτήματος παροχής πληροφοριών;

5)      Μπορούν οι κώδικες δεοντολογίας που έχουν εγκριθεί από τις εποπτικές αρχές σύμφωνα με το άρθρο 40 του ΓΚΠΔ και προβλέπουν προθεσμίες εξετάσεως και διαγραφής, οι οποίες υπερβαίνουν τις περιόδους αποθηκεύσεως που ισχύουν για το δημόσιο μητρώο, να καταργούν τη στάθμιση που έχει γίνει σύμφωνα με το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ;»

IV.    Η διαδικασία ενώπιον του Δικαστηρίου

27.      Η από 23 Δεκεμβρίου 2021 απόφαση περί παραπομπής στην υπόθεση C‑26/22 περιήλθε στη Γραμματεία του Δικαστηρίου στις 11 Ιανουαρίου 2022. Η από 31 Ιανουαρίου 2022 απόφαση περί παραπομπής στην υπόθεση C‑64/22 περιήλθε στη Γραμματεία του Δικαστηρίου στις 2 Φεβρουαρίου 2022.

28.      Με απόφαση του Δικαστηρίου της 11ης Φεβρουαρίου 2022, οι ως άνω υποθέσεις ενώθηκαν προς διευκόλυνση της έγγραφης και της προφορικής διαδικασίας και προς έκδοση κοινής αποφάσεως.

29.      Οι διάδικοι της κύριας δίκης, η SCHUFA, η Γερμανική και η Πορτογαλική Κυβέρνηση καθώς και η Ευρωπαϊκή Επιτροπή υπέβαλαν γραπτές παρατηρήσεις εντός της προθεσμίας που τάσσει το άρθρο 23 του Οργανισμού του Δικαστηρίου της Ευρωπαϊκής Ένωσης.

30.      Στην επ’ ακροατηρίου συζήτηση της 26ης Ιανουαρίου 2023 παρέστησαν οι εκπρόσωποι των διαδίκων της κύριας δίκης, της SCHUFA και της Επιτροπής, οι οποίοι ανέπτυξαν προφορικά τις παρατηρήσεις τους.

V.      Νομική ανάλυση

Α.      Προκαταρκτικές παρατηρήσεις

31.      Δεδομένου ότι η αμοιβαία εμπιστοσύνη συνιστά τη βάση για την ανάληψη κάθε συμβατικής υποχρέωσης στην οικονομία της αγοράς, είναι κατ’ αρχήν εύλογο, από επιχειρηματικής απόψεως, οι πάροχοι υπηρεσιών και αγαθών να επιθυμούν να γνωρίζουν τους πελάτες τους, καθώς και τους κινδύνους που είναι εγγενείς σε τέτοια ανάληψη συμβατικής υποχρέωσης. Τα γραφεία οικονομικών πληροφοριών μπορούν να συμβάλουν στην εγκαθίδρυση της αμοιβαίας αυτής εμπιστοσύνης μέσω στατιστικών μεθόδων οι οποίες παρέχουν στις επιχειρήσεις τη δυνατότητα να διαπιστώνουν αν ορισμένα κρίσιμα κριτήρια, περιλαμβανομένης της φερεγγυότητας των πελατών τους, πληρούνται στη συγκεκριμένη περίπτωση. Τοιουτοτρόπως, τα γραφεία οικονομικών πληροφοριών βοηθούν τις επιχειρήσεις να συμμορφώνονται προς πλείονες διατάξεις του δικαίου της Ένωσης, το οποίο τους επιβάλλει ακριβώς τη συγκεκριμένη υποχρέωση για ορισμένες κατηγορίες συμβάσεων, ιδίως δε των συμβάσεων πίστωσης (4). Τούτου λεχθέντος, τα εν λόγω γραφεία δεν είναι τα μόνα που παρέχουν τέτοιες υπηρεσίες. Έχοντας επίγνωση της αναγκαιότητας διασφάλισης κάποιου βαθμού διαφάνειας και προβλεψιμότητας στις χρηματοοικονομικές συναλλαγές, ο νομοθέτης της Ένωσης επιβάλλει στα κράτη μέλη τη δημιουργία και την τήρηση ενός ή πλειόνων μητρώων στα οποία δημοσιεύονται πληροφορίες σχετικά με διαδικασίες αφερεγγυότητας.

32.      Ως εκ τούτου, θα συνυπάρχουν παράλληλα πλείονες βάσεις δεδομένων, ήτοι, αφενός, τα «επίσημα» μητρώα που διαχειρίζονται οι δημόσιες αρχές και, αφετέρου, οι βάσεις δεδομένων που διαχειρίζονται ιδιωτικές εταιρίες. Η παράλληλη αυτή συνύπαρξη μπορεί να δημιουργήσει ανταγωνισμό μεταξύ των συστημάτων, ακόμη και να προκαλέσει νομικές συγκρούσεις, εάν τα νομικά καθεστώτα που διέπουν τα εν λόγω μητρώα διαφέρουν σε σημαντικό βαθμό. Οι κανονιστικές διαφορές μπορεί να είναι ιδιαιτέρως προβληματικές εάν θίγουν την προστασία των δεδομένων, καθότι, ανεξαρτήτως του δημόσιου ή ιδιωτικού χαρακτήρα της οντότητας που το διαχειρίζεται, το μητρώο πρέπει να σέβεται το συμφέρον των υποκειμένων των δεδομένων όσον αφορά τον τρόπο διαχείρισης και καταχώρισης των εν λόγω δεδομένων. Συγκεκριμένα, στον βαθμό που οι πληροφορίες που άπτονται της οικονομικής κατάστασης ενός προσώπου είναι ευαίσθητες όσον αφορά τον σεβασμό του δικαιώματος προστασίας των δεδομένων προσωπικού χαρακτήρα και της ιδιωτικής ζωής, επιβάλλεται η επίδειξη ιδιαίτερης προσοχής.

33.      Ο ΓΚΠΔ, ο οποίος εφαρμόζεται από τις 25 Μαΐου 2018, δημιούργησε ένα νομικό πλαίσιο, με το οποίο επιδιώκεται η συνεκτίμηση των προμνησθέντων συμφερόντων στο σύνολο της Ένωσης, μεταξύ άλλων μέσω της θέσπισης ορισμένων προϋποθέσεων για την επεξεργασία των δεδομένων προσωπικού χαρακτήρα. Συγκεκριμένα, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ επιτάσσει η επεξεργασία να είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν έναντι των συμφερόντων αυτών υπερισχύει το συμφέρον ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα. Με άλλα λόγια, η νομιμότητα της επεξεργασίας πρέπει να προκύπτει από τη στάθμιση των διαφόρων διακυβευόμενων συμφερόντων, πρέπει δε να υπερισχύουν τα έννομα συμφέροντα που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος. Απόκειται στην εποπτική αρχή, η οποία, δυνάμει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ, θα πρέπει να εξετάσει κάθε ενδεχόμενη καταγγελία του υποκειμένου των δεδομένων που αφορά προσβολή των θεμελιωδών δικαιωμάτων του, να εξακριβώσει αν οι εν λόγω προϋποθέσεις πληρούνται. Τέλος, εάν το υποκείμενο των δεδομένων αποφασίσει να ασκήσει προσφυγή κατά των αποφάσεων της εποπτικής αρχής, βάσει του άρθρου 78, παράγραφος 1, του ΓΚΠΔ, θα απόκειται στα εθνικά δικαστήρια να διασφαλίσουν αποτελεσματικό δικαστικό έλεγχο.

34.      Στα ανωτέρω σημεία των παρουσών προτάσεων εκτέθηκαν συνοπτικά τα διάφορα νομικά ζητήματα που ήγειρε το αιτούν δικαστήριο με τις αιτήσεις προδικαστικής αποφάσεως που υπέβαλε. Το πρώτο προδικαστικό ερώτημα αφορά τη νομική φύση απόφασης της εποπτικής αρχής που επιλαμβάνεται καταγγελίας και την έκταση του δικαστικού ελέγχου που ο δικαστής μπορεί να ασκήσει στο πλαίσιο προσφυγής που ασκείται κατά τέτοιας αποφάσεως. Το δεύτερο, το τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα αφορούν, κατ’ ουσίαν, τη νομιμότητα της αποθήκευσης, από γραφεία οικονομικών πληροφοριών, δεδομένων προσωπικού χαρακτήρα προερχόμενων από δημόσιο μητρώο. Τα προδικαστικά ερωτήματα θα εξεταστούν στη συνέχεια με τη σειρά με την οποία υποβλήθηκαν από το αιτούν δικαστήριο.

Β.      Επί του πρώτου προδικαστικού ερωτήματος

35.      Δεδομένου ότι το πρώτο προδικαστικό ερώτημα αφορά τα δύο στάδια της διαδικασίας άσκησης μέσων έννομης προστασίας, ήτοι την καταγγελία στην εποπτική αρχή και τη δικαστική προσφυγή, τα οποία διέπονται από τα άρθρα 77 και 78 του ΓΚΠΔ, αντιστοίχως, εκτιμώ ότι είναι σκόπιμο να περιγραφούν συνοπτικά τα δύο αυτά στάδια και να εξεταστούν, με την ευκαιρία αυτή, τα νομικά ζητήματα επί των οποίων το αιτούν δικαστήριο διατηρεί αμφιβολίες.

36.      Όπως επισήμανα με τις προκαταρκτικές παρατηρήσεις μου, σκοπός του ΓΚΠΔ είναι να διασφαλίζεται η προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, η οποία αναγνωρίζεται ως θεμελιώδες δικαίωμα στο άρθρο 8, παράγραφος 1, του Χάρτη και στο άρθρο 16, παράγραφος 1, ΣΛΕΕ. Δεδομένου ότι κάθε επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να έχει επιπτώσεις στην ιδιωτική ζωή, πρέπει να μνημονευθεί επίσης η προστασία που εγγυάται το άρθρο 7 του Χάρτη (5). Επιπλέον, από το άρθρο 1, παράγραφος 2, του ΓΚΠΔ, σε συνδυασμό με τις αιτιολογικές σκέψεις 10, 11 και 13 αυτού, προκύπτει ότι ο νομοθέτης της Ένωσης αναθέτει το συγκεκριμένο καθήκον στα θεσμικά και λοιπά όργανα και τους οργανισμούς της Ένωσης, καθώς και στις αρμόδιες αρχές των κρατών μελών, στις οποίες περιλαμβάνονται οι εποπτικές αρχές και τα εθνικά δικαστήρια (6).

1.      Ο ρόλος των εποπτικών αρχών, περιλαμβανομένης της υποχρέωσης να εξετάζουν καταγγελίες

37.      Συναφώς, επισημαίνεται ότι το άρθρο 8, παράγραφος 3, του Χάρτη ορίζει ότι ο σεβασμός των κανόνων για την προστασία των δεδομένων προσωπικού χαρακτήρα υπόκειται στον έλεγχο ανεξάρτητης αρχής. Το άρθρο 57, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ εφαρμόζει την εν λόγω υποχρέωση που απορρέει από το πρωτογενές δίκαιο ορίζοντας ότι καθήκον κάθε εποπτικής αρχής είναι να παρακολουθεί και να επιβάλλει την εφαρμογή του εν λόγω κανονισμού. Η εξέταση των καταγγελιών που υποβάλλουν τα υποκείμενα των δεδομένων περιλαμβάνεται στις αρμοδιότητές της, όπως προκύπτει ρητώς από το άρθρο 57, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ.

38.      Το Δικαστήριο έχει αποφανθεί ότι, βάσει της προμνησθείσας διάταξης, «κάθε [εποπτική αρχή] υποχρεούται, στην εδαφική περιοχή για την οποία είναι αρμόδια, αφενός, να εξετάζει τις καταγγελίες τις οποίες κάθε υποκείμενο δεδομένων δικαιούται, σύμφωνα με το άρθρο 77, παράγραφος 1, του ίδιου κανονισμού, να υποβάλλει όταν θεωρεί ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν συνιστά παράβαση του κανονισμού αυτού, και, αφετέρου, να ερευνά το αντικείμενό τους στο μέτρο του αναγκαίου» (7). Στο πλαίσιο αυτό, εφιστάται η προσοχή στο γεγονός ότι το Δικαστήριο έχει υπογραμμίσει την υποχρέωση της εποπτικής αρχής να «εξετάζει την καταγγελία αυτή με τη δέουσα επιμέλεια» προκειμένου να διασφαλίζεται ο σεβασμός των διατάξεων του ΓΚΠΔ. Ομοίως, επισημαίνεται ότι, με την αιτιολογική σκέψη 141 του ΓΚΠΔ, διευκρινίζεται ότι «[η] διερεύνηση κατόπιν καταγγελίας θα πρέπει να διενεργείται [...] στον βαθμό που ενδείκνυται για τη συγκεκριμένη περίπτωση» (η υπογράμμιση δική μου).

39.      Τα προεκτεθέντα στοιχεία με οδηγούν στο συμπέρασμα ότι η εποπτική αρχή υπέχει επιτακτική υποχρέωση εξέτασης των καταγγελιών που υποβάλλουν τα υποκείμενα των δεδομένων και τούτο με τη δέουσα επιμέλεια για τη συγκεκριμένη περίπτωση (8). Στο μέτρο που κάθε παράβαση του ΓΚΠΔ μπορεί, κατ’ αρχήν, να συνιστά προσβολή των θεμελιωδών δικαιωμάτων, η αναγνώριση διακριτικής ευχέρειας στην εποπτική αρχή όσον αφορά την εξέταση των καταγγελιών δεν θα ήταν συμβατή με το σύστημα που θεσπίζει ο εν λόγω κανονισμός. Μια τέτοια προσέγγιση θα έθετε υπό αμφισβήτηση τον κρίσιμο ρόλο που της αποδίδει ο ΓΚΠΔ, ο οποίος συνίσταται στη διασφάλιση της τήρησης των κανόνων για την προστασία των δεδομένων προσωπικού χαρακτήρα, και, ως εκ τούτου, θα αντέβαινε στους σκοπούς που επιδιώκει ο νομοθέτης της Ένωσης (9). Τέλος, δεν πρέπει να παραγνωρίζεται το γεγονός ότι οι καταγγελίες συνιστούν, για την εποπτική αρχή, πολύτιμη πηγή πληροφοριών, η οποία της παρέχει τη δυνατότητα να εντοπίζει τις παραβάσεις (10).

40.      Η ως άνω ερμηνεία είναι πειστική κατά μείζονα λόγο διότι το άρθρο 57, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ επιβάλλει στην εποπτική αρχή πλείονες απαιτήσεις στο πλαίσιο του χειρισμού τέτοιας καταγγελίας, ήτοι την υποχρέωση να ερευνά, στο μέτρο που ενδείκνυται, το αντικείμενο της καταγγελίας καθώς και να ενημερώνει τον καταγγέλλοντα για την πρόοδο και για την έκβαση της έρευνας εντός εύλογου χρονικού διαστήματος, ιδίως εάν απαιτείται περαιτέρω έρευνα ή συντονισμός με άλλη εποπτική αρχή. Στα προεκτεθέντα προστίθεται η υποχρέωση, η οποία προβλέπεται στο άρθρο 77, παράγραφος 2, του ΓΚΠΔ, ενημέρωσης του καταγγέλλοντος για την πρόοδο και για την έκβαση της καταγγελίας, καθώς και για τη δυνατότητα άσκησης δικαστικής προσφυγής σύμφωνα με το άρθρο 78 του ΓΚΠΔ. Όλες οι προεκτεθείσες απαιτήσεις, οι οποίες εμπίπτουν στην έννοια της «χρηστής διοίκησης», όπως αποτυπώνεται στο άρθρο 41 του Χάρτη όσον αφορά ειδικά τις δραστηριότητες των θεσμικών και λοιπών οργάνων και οργανισμών της Ένωσης (11), σκοπούν την ενίσχυση της διαδικασίας υποβολής καταγγελίας προκειμένου να καταστεί πραγματική διοικητική προσφυγή.

41.      Καίτοι η εποπτική αρχή οφείλει, ως θεματοφύλακας της τήρησης των διατάξεων του ΓΚΔΠ, να εξετάζει τις καταγγελίες που της υποβάλλονται, πλείονα στοιχεία συνηγορούν υπέρ μιας ερμηνείας κατά την οποία η εποπτική αρχή διαθέτει περιθώριο εκτίμησης κατά την εξέταση των καταγγελιών, καθώς και κάποια διακριτική ευχέρεια όσον αφορά την επιλογή των κατάλληλων μέσων για την επιτέλεση των καθηκόντων της. Συγκεκριμένα, ο γενικός εισαγγελέας H. Saugmandsgaard Øe παρατήρησε ότι το άρθρο 58, παράγραφος 1, του ΓΚΠΔ «αναθέτει στις [εποπτικές αρχές] σημαντικές εξουσίες έρευνας» και ότι οι εποπτικές αρχές διαθέτουν, δυνάμει του άρθρου 58, παράγραφος 2, του ίδιου κανονισμού, «ευρύ φάσμα διαθέσιμων μέσων [...] προς εκπλήρωση του καθήκοντος που [τους] έχει ανατεθεί», παραπέμποντας στο πλαίσιο αυτό στις διάφορες εξουσίες λήψης των διορθωτικών μέτρων που απαριθμούνται στην εν λόγω διάταξη (12). Εν συνεχεία, ο γενικός εισαγγελέας H. Saugmandsgaard Øe διευκρίνισε ότι, μολονότι η αρμόδια εποπτική αρχή «οφείλει να ασκήσει πλήρως τα καθήκοντα εποπτείας που της έχουν ανατεθεί», «η επιλογή του αποτελεσματικότερου μέσου άπτεται της διακριτικής ευχέρει[ά]ς της [...] λαμβανομένων υπόψη όλων των [επίμαχων] περιστάσεων» (13). Δεν μπορώ παρά να συμφωνήσω με την ερμηνεία αυτή.

42.      Η λεπτομερής περιγραφή της εξουσίας των εποπτικών αρχών να λαμβάνουν διορθωτικά μέτρα αναδεικνύει το γεγονός ότι σκοπός του νομοθέτη της Ένωσης δεν ήταν να καταστήσει τη διαδικασία υποβολής καταγγελίας διαδικασία έχουσα τον χαρακτήρα αναφοράς. Αντιθέτως, σκοπός του νομοθέτη ήταν να δημιουργήσει έναν μηχανισμό ικανό να προστατεύει με αποτελεσματικό τρόπο τα δικαιώματα και τα συμφέροντα των προσώπων που υποβάλλουν καταγγελίες. Τούτου λεχθέντος, είναι σαφές ότι η εν λόγω διακριτική ευχέρεια δεν μπορεί να έχει την έννοια ότι η εποπτική αρχή διαθέτει απεριόριστη εξουσία, η οποία της παρέχει το δικαίωμα να ενεργεί αυθαίρετα. Αντιθέτως, η εποπτική αρχή υποχρεούται να ασκεί την εν λόγω διακριτική ευχέρεια εντός των ορίων που της επιβάλλει το δίκαιο της Ένωσης. Για τον λόγο αυτό δεν μπορεί επίσης να αποκλειστεί το ενδεχόμενο η εποπτική αρχή να αναγκαστεί, ως διοικητικό όργανο, να λάβει συγκεκριμένο μέτρο λόγω των ιδιαίτερων περιστάσεων της συγκεκριμένης περίπτωσης, μεταξύ άλλων όταν υφίσταται σοβαρός κίνδυνος προσβολής των θεμελιωδών δικαιωμάτων του υποκειμένου των δεδομένων.

43.      Η ως άνω ερμηνεία, η οποία παρέχει στην εποπτική αρχή κάποια διακριτική ευχέρεια όσον αφορά την επιλογή των μέσων, επιρρωννύεται από το άρθρο 58, παράγραφος 4, του ΓΚΠΔ, το οποίο προβλέπει ότι «[η] άσκηση εκ μέρους εποπτικής αρχής των εξουσιών της δυνάμει του παρόντος άρθρου υπόκειται στις δέουσες εγγυήσεις, περιλαμβανομένης της άσκησης πραγματικής δικαστικής προσφυγής» (η υπογράμμιση δική μου), σύμφωνα με το άρθρο 47 του Χάρτη. Εξάλλου, το άρθρο 78, παράγραφος 1 και 2, του ΓΚΠΔ αναγνωρίζει το δικαίωμα κάθε προσώπου να ασκήσει δικαστική προσφυγή είτε κατά νομικά δεσμευτικής αποφάσεως εποπτικής αρχής που το αφορά είτε σε περίπτωση που η εν λόγω αρχή δεν εξετάσει την καταγγελία του.

44.      Η διαπίστωση αυτή μας οδηγεί στο ζήτημα της νομικής φύσης των αποφάσεων της εποπτικής αρχής το οποίο το αιτούν δικαστήριο ήγειρε με τις αιτήσεις προδικαστικής αποφάσεως. Συναφώς, από την αιτιολογική σκέψη 141 του ΓΚΠΔ προκύπτει ότι «[κ]άθε υποκείμενο των δεδομένων θα πρέπει να έχει το δικαίωμα να υποβάλει καταγγελία σε [...] εποπτική αρχή [...] και το δικαίωμα πραγματικής δικαστικής προσφυγής σύμφωνα με το άρθρο 47 του Χάρτη, εφόσον θεωρεί ότι παραβιάζονται τα δικαιώματά του βάσει του παρόντος κανονισμού ή όταν η εποπτική αρχή δεν δίνει συνέχεια σε μια καταγγελία, απορρίπτει εν όλω ή εν μέρει ή κρίνει απαράδεκτη μια καταγγελία ή δεν ενεργεί ενώ οφείλει να ενεργήσει για να προστατεύσει τα δικαιώματα του υποκειμένου των δεδομένων» (η υπογράμμιση δική μου). Με την εν λόγω αιτιολογική σκέψη λαμβάνεται υπόψη το γεγονός ότι η απόφαση της εποπτικής αρχής μπορεί να θίγει το υποκείμενο των δεδομένων, μεταξύ άλλων εάν η εποπτική αρχή διαπιστώσει ότι η καταγγελία είναι αβάσιμη ή εκτιμήσει ότι δεν συντρέχει παράβαση του ΓΚΠΔ και, επομένως, δεν λάβει μέτρα για την επανόρθωση της κατάστασης λόγω της οποίας υποβλήθηκε η καταγγελία. Ο νομοθέτης της Ένωσης αναγνωρίζει το νομικά δεσμευτικό αποτέλεσμα τέτοιας απόφασης και, ως εκ τούτου, παρέχει στον καταγγέλλοντα τη δυνατότητα άσκησης προσφυγής ενώπιον εθνικού δικαστηρίου.

45.      Ομοίως, επισημαίνεται ότι η εποπτική αρχή δεν διαθέτει διακριτική ευχέρεια μη αντίδρασης, καθότι από το άρθρο 78, παράγραφος 2, του ΓΚΠΔ προκύπτει ότι «κάθε υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής, εφόσον η εποπτική αρχή που είναι αρμόδια δυνάμει των άρθρων 55 και 56 δεν εξετάσει την καταγγελία ή δεν ενημερώσει το υποκείμενο των δεδομένων εντός τριών μηνών για την πρόοδο ή την έκβαση της καταγγελίας που υποβλήθηκε δυνάμει του άρθρου 77». Το γεγονός αυτό δεν επιτρέπει την εξομοίωση της διαδικασίας υποβολής καταγγελίας με αναφορά.

46.      Εν προκειμένω, όπως εξέθεσε το αιτούν δικαστήριο με τις αποφάσεις περί παραπομπής, η εποπτική αρχή εξέδωσε νομικά δεσμευτικές αποφάσεις έναντι των προσφευγόντων των κύριων δικών. Η εποπτική αρχή διαπίστωσε κατ’ ουσίαν ότι η επεξεργασία, από τη SCHUFA, των δεδομένων προσωπικού χαρακτήρα των προσφευγόντων ήταν νόμιμη δυνάμει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία βʹ και στʹ, του ΓΚΠΔ και, για τον λόγο αυτό, απέρριψε εμμέσως τη λήψη μέτρου έρευνας ή διορθωτικού μέτρου.

2.      Η έκταση του δικαστικού ελέγχου των αποφάσεων της εποπτικής αρχής

47.      Η δικαστική προσφυγή που προβλέπεται στο άρθρο 78 του ΓΚΠΔ συνιστά το δεύτερο στάδιο της διαδικασίας άσκησης μέσων έννομης προστασίας που προβλέπεται από τον εν λόγω κανονισμό. Στο πλαίσιο αυτό, επισημαίνεται ότι τόσο η «καταγγελία» ενώπιον της εποπτικής αρχής όσο και η «δικαστική προσφυγή» νοούνται ως «δικαιώματα» του υποκειμένου των δεδομένων, κάτι το οποίο είναι απολύτως εύλογο λαμβανομένου υπόψη ότι σκοπός των άρθρων 77 έως 79 του ΓΚΠΔ είναι η εφαρμογή του δικαιώματος πραγματικής προσφυγής, το οποίο κατοχυρώνεται στο άρθρο 47 του Χάρτη. Όπως προεκτέθηκε (14), η ερμηνεία του άρθρου 58, παράγραφος 4, σε συνδυασμό με το άρθρο 78 του ΓΚΠΔ, υπό το πρίσμα της αιτιολογικής σκέψης 141 του ίδιου κανονισμού, αναδεικνύει με σαφήνεια τον σκοπό αυτό (15).

48.      Όσον αφορά την έκταση του δικαστικού ελέγχου επί των αποφάσεων της εποπτικής αρχής, υπενθυμίζεται ότι οι εθνικοί κανόνες σχετικά με τη διοικητική διαδικασία εφαρμόζονται γενικά στο πλαίσιο της δικονομικής αυτονομίας, με την επιφύλαξη της τήρησης των αρχών της ισοδυναμίας και της αποτελεσματικότητας (16). Εντούτοις, εκτιμώ ότι η προσφυγή μπορεί να είναι «πραγματική» κατά την έννοια του άρθρου 47 του Χάρτη και του άρθρου 78, παράγραφος 1, του ΓΚΠΔ μόνον εάν το αρμόδιο εθνικό δικαστήριο έχει την εξουσία και την υποχρέωση να υποβάλει την απόφαση επί της ουσίας της εποπτικής αρχής σε πλήρη δικαστικό έλεγχο προκειμένου να εξακριβώσει αν η εποπτική αρχή εφάρμοσε ορθώς τον ΓΚΠΔ.

49.      Όπως έχει υπενθυμίσει το Δικαστήριο με τη νομολογία του, «ρύθμιση που δεν προβλέπει ένδικα βοηθήματα προκειμένου ο ενδιαφερόμενος να έχει πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που τον αφορούν ή να επιτύχει την τροποποίηση ή την κατάργηση τέτοιων δεδομένων δεν σέβεται το ουσιαστικό περιεχόμενο του θεμελιώδους δικαιώματος αποτελεσματικής δικαστικής προστασίας, όπως αυτό κατοχυρώνεται στο άρθρο 47 του Χάρτη. Συγκεκριμένα, το άρθρο 47, πρώτο εδάφιο, του Χάρτη ορίζει ότι, σε περιπτώσεις προσβολής των δικαιωμάτων και των ελευθεριών που διασφαλίζονται από το δίκαιο της Ένωσης, ο ενδιαφερόμενος πρέπει να έχει, στην πράξη, τη δυνατότητα να προσφύγει στη δικαιοσύνη σύμφωνα με τις προϋποθέσεις που προβλέπει το συγκεκριμένο άρθρο. Η ύπαρξη αποτελεσματικού δικαστικού ελέγχου για την προστασία της τηρήσεως των διατάξεων της Ένωσης είναι αναπόσπαστα συνδεδεμένη με την ύπαρξη κράτους δικαίου» (17).

50.      Προκειμένου να εξακριβωθεί η έκταση του δικαστικού ελέγχου επί των αποφάσεων της εποπτικής αρχής, είναι χρήσιμο να υπομνησθεί κατ’ αρχάς η αιτιολογική σκέψη 141 του ΓΚΠΔ από την οποία προκύπτει ότι «[η] διερεύνηση κατόπιν καταγγελίας θα πρέπει να διενεργείται, με την επιφύλαξη δικαστικού ελέγχου, στον βαθμό που ενδείκνυται για τη συγκεκριμένη περίπτωση» (η υπογράμμιση δική μου). Εν συνεχεία, υπενθυμίζεται η αιτιολογική σκέψη 143 του ΓΚΠΔ, κατά την οποία «κάθε φυσικό ή νομικό πρόσωπο θα πρέπει να έχει το δικαίωμα πραγματικής προσφυγής ενώπιον του αρμόδιου εθνικού δικαστηρίου κατά απόφασης εποπτικής αρχής η οποία παράγει έννομα αποτελέσματα που αφορούν το εν λόγω πρόσωπο. Οι αποφάσεις αυτές αφορούν ειδικότερα την άσκηση των εξουσιών έρευνας και των διορθωτικών και αδειοδοτικών εξουσιών από την εποπτική αρχή ή τις περιπτώσεις στις οποίες οι καταγγελίες κρίνονται απαράδεκτες ή απορρίπτονται» (η υπογράμμιση δική μου). Κατά τη γνώμη μου, τα προπαρατεθέντα χωρία έχουν την έννοια ότι ο δικαστικός έλεγχος που πρέπει να διενεργήσει το εθνικό δικαστήριο δυνάμει του άρθρου 78 του ΓΚΠΔ πρέπει να είναι πλήρης, ήτοι πρέπει να εκτείνεται σε όλα τα κρίσιμα ζητήματα που εμπίπτουν στην εξουσία εκτίμησης που ασκεί η εποπτική αρχή στο πλαίσιο της εξέτασης του αντικειμένου της καταγγελίας, καθώς και στη διακριτική ευχέρεια που διαθέτει όσον αφορά την επιλογή των μέτρων έρευνας και των διορθωτικών μέτρων.

51.      Ο σκοπός του νομοθέτη της Ένωσης να διασφαλίσει πλήρη δικαστικό έλεγχο κάθε απόφασης εποπτικής αρχής η οποία παράγει έννομα αποτελέσματα για το υποκείμενο των δεδομένων που υπέβαλε καταγγελία ενώπιόν της καθίσταται πρόδηλος από ένα άλλο χωρίο της αιτιολογικής σκέψης 143 του ΓΚΠΔ, κατά το οποίο «[η] διαδικασία κατά εποπτικής αρχής θα πρέπει να κινείται ενώπιον των δικαστηρίων του κράτους μέλους στο οποίο είναι εγκατεστημένη η εποπτική αρχή και να διεξάγεται σύμφωνα με το δικονομικό δίκαιο του εν λόγω κράτους μέλους. Τα δικαστήρια αυτά θα πρέπει να ασκούν πλήρη δικαιοδοσία, η οποία θα πρέπει να περιλαμβάνει τη δικαιοδοσία να εξετάζουν όλα τα πραγματικά και νομικά ζητήματα σχετικά με τη διαφορά που εκκρεμεί ενώπιόν τους» (η υπογράμμιση δική μου) (18). Θεωρώ ότι μόνον δικαστικός έλεγχος τέτοιας εμβέλειας πληροί τις απαιτήσεις του άρθρου 47 του Χάρτη (19).

52.      Αντιθέτως, τα επιχειρήματα της SCHUFA και του HBDI, με τα οποία τάσσονται υπέρ περιορισμένου δικαστικού ελέγχου των αποφάσεων των εποπτικών αρχών, δεν με πείθουν. Πρώτον, η «ανεξαρτησία» που αναγνωρίζεται στην εποπτική αρχή δυνάμει του άρθρου 52 του ΓΚΠΔ, με το οποίο εξειδικεύεται η απαίτηση του άρθρου 8, παράγραφος 3, του Χάρτη, κατατείνει μεν στην προστασία της εν λόγω αρχής από κάθε αδικαιολόγητη επέμβαση, πλην όμως δεν την απαλλάσσει από την υποχρέωση να ασκεί τα καθήκοντα και τις εξουσίες της με πλήρη σεβασμό του δικαίου της Ένωσης και να υποβάλλει τις αποφάσεις της σε αποτελεσματικό δικαστικό έλεγχο, όπως κάθε άλλη εθνική αρχή. Δεύτερον, η ύπαρξη δικαιώματος δικαστικής προσφυγής κατά του υπευθύνου επεξεργασίας, το οποίο προβλέπεται στο άρθρο 79 του ΓΚΠΔ, δεν αποκλείει το δικαίωμα άσκησης προσφυγής κατά απόφασης της εποπτικής αρχής, δυνάμει του άρθρου 78 του ΓΚΠΔ. Τα εν λόγω μέσα έννομης προστασίας συνυπάρχουν κατά τρόπο αυτοτελή, χωρίς το ένα μέσο έννομης προστασίας να έχει επικουρικό χαρακτήρα σε σχέση με τα υπόλοιπα, με αποτέλεσμα να μπορούν να ασκούνται παράλληλα (20). Επομένως, δεν μπορεί να προσαφθεί στους προσφεύγοντες ότι ενήργησαν παρανόμως κατά την προάσπιση των δικαιωμάτων τους που προστατεύονται από τον ΓΚΠΔ επειδή προτίμησαν ένα συγκεκριμένο μέσο έννομης προστασίας. Κατά συνέπεια, τα ως άνω επιχειρήματα πρέπει να απορριφθούν.

53.      Λαμβανομένων υπόψη των προεκτεθέντων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 78, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι από την εν λόγω διάταξη προκύπτει ότι η νομικά δεσμευτική απόφαση εποπτικής αρχής υπόκειται σε πλήρη δικαστικό έλεγχο επί της ουσίας.

Γ.      Επί του δεύτερου, του τρίτου, του τέταρτου και του πέμπτου προδικαστικού ερωτήματος

54.      Το δεύτερο, το τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα αφορούν, κατ’ ουσίαν, τη νομιμότητα της αποθήκευσης, από τα γραφεία οικονομικών πληροφοριών, δεδομένων προσωπικού χαρακτήρα προερχόμενων από δημόσιο μητρώο. Τα προδικαστικά ερωτήματα που υπέβαλε το αιτούν δικαστήριο εγείρουν πλείονα νομικά ζητήματα τα οποία άπτονται της συγκεκριμένης πρακτικής και τα οποία θα πρέπει να εξεταστούν με δομημένο τρόπο. Για λόγους σαφήνειας, εκτιμώ ότι είναι σκόπιμο τα ερωτήματα να ομαδοποιηθούν βάσει του θέματός τους και να εξεταστούν με τη σειρά αυτή.

55.      Προκειμένου να δοθεί στο αιτούν δικαστήριο χρήσιμη απάντηση ώστε να μπορέσει να αποφανθεί επί της διαφοράς της οποίας έχει επιληφθεί, το Δικαστήριο καλείται να ερμηνεύσει πλείονες διατάξεις του ΓΚΠΔ οι οποίες, μολονότι δεν μνημονεύονται ρητώς με τα προδικαστικά ερωτήματα, είναι εντούτοις λυσιτελείς. Τέτοια προσέγγιση είναι δυνατή δεδομένου ότι, κατά πάγια νομολογία, το Δικαστήριο μπορεί να συναγάγει από το σύνολο των στοιχείων που του παρέχει το αιτούν δικαστήριο, και ιδίως από το σκεπτικό της απόφασης περί παραπομπής, τους κανόνες και τις αρχές του δικαίου της Ένωσης που χρήζουν ερμηνείας, λαμβανομένου υπόψη του αντικειμένου της διαφοράς της κύριας δίκης (21).

56.      Μια τέτοια διεξοδική ανάλυση είναι αναγκαία κατά μείζονα λόγο διότι το αιτούν δικαστήριο παραπέμπει ενίοτε, με τα προδικαστικά ερωτήματά του, αποκλειστικά και μόνο στα άρθρα 7 και 8 του Χάρτη, μολονότι, όπως έχει διευκρινίσει το Δικαστήριο, οι εν λόγω διατάξεις δεν πρέπει να εφαρμόζονται αυτοτελώς, αλλά να λαμβάνονται υπόψη στο πλαίσιο της στάθμισης που προβλέπεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ (22). Επιπλέον, στο πλαίσιο αυτό υπενθυμίζεται ότι, στο μέτρο που με τις διατάξεις του ΓΚΠΔ εφαρμόζονται τα επίμαχα θεμελιώδη δικαιώματα, η ερμηνεία του παράγωγου δικαίου συνιστά εύλογα την αφετηρία για κάθε επεξήγηση, το δε παράγωγο δίκαιο πρέπει να ερμηνεύεται υπό το πρίσμα του πρωτογενούς δικαίου, του οποίου ο Χάρτης αποτελεί αναπόσπαστο μέρος (23). Επομένως, θα περιλάβω στην ανάλυση που ακολουθεί κάθε διάταξη την οποία θεωρώ κρίσιμη.

1.      Επί της συμβατότητας της πρακτικής των γραφείων οικονομικών πληροφοριών προς τις αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα οι οποίες κατοχυρώνονται στον ΓΚΠΔ

57.      Στο κεφάλαιο II του ΓΚΠΔ, το οποίο επιγράφεται «Αρχές», καθορίζονται οι αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Θα εξετάσω κατωτέρω αν η πρακτική των γραφείων οικονομικών πληροφοριών, η οποία συνίσταται σε αποθήκευση δεδομένων προσωπικού χαρακτήρα που προέρχονται από δημόσια μητρώα για διάστημα τριών ετών, συνάδει προς τις αρχές που θεωρώ κρισιμότερες στο παρόν πλαίσιο, ήτοι τις αρχές της νομιμότητας, του περιορισμού του σκοπού και της ελαχιστοποίησης των δεδομένων.

58.      Για την ανάλυση, θα βασιστώ στις παρασχεθείσες από το αιτούν δικαστήριο και τη SCHUFA πληροφορίες, μολονότι υπογραμμίζω ότι απόκειται στη SCHUFA, υπό την ιδιότητα του υπευθύνου της επεξεργασίας, να αποδείξει την τήρηση των προμνησθεισών αρχών, βάσει της αρχής της λογοδοσίας που προβλέπεται στο άρθρο 5, παράγραφος 2, του ΓΚΠΔ.

1)      Επί της συμβατότητας προς την αρχή της νομιμότητας (άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ)

59.      Το άρθρο 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ επιτάσσει τα δεδομένα προσωπικού χαρακτήρα να υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων. Κατά το άρθρο 6, παράγραφος 1, του ΓΚΠΔ, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη μόνο εάν και εφόσον πληρούται η προϋπόθεση που αφορά έναν από τους λόγους επεξεργασίας που απαριθμούνται στη διάταξη αυτή. Όπως έχει κρίνει το Δικαστήριο, πρόκειται περί εξαντλητικού και περιοριστικού καταλόγου των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί νόμιμη (24). Το αιτούν δικαστήριο ζητεί κατ’ ουσίαν να διευκρινιστεί αν το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ επιτρέπει σε ιδιωτικό γραφείο οικονομικών πληροφοριών να αποθηκεύει δεδομένα προσωπικού χαρακτήρα τα οποία προέρχονται από δημόσιο μητρώο προκειμένου να θέσει τα εν λόγω δεδομένα στη διάθεση πελάτη σε περίπτωση σχετικού αιτήματος.

60.      Κατά τη νομολογία του Δικαστηρίου (25), το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ προβλέπει τρεις σωρευτικές προϋποθέσεις για τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα, ήτοι, πρώτον, την επιδίωξη εννόμου συμφέροντος εκ μέρους του υπευθύνου επεξεργασίας ή του τρίτου ή των τρίτων στους οποίους γνωστοποιούνται τα δεδομένα, δεύτερον, την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου εννόμου συμφέροντος και, τρίτον, την προϋπόθεση ότι δεν προέχουν τα θεμελιώδη δικαιώματα και οι θεμελιώδεις ελευθερίες του προσώπου το οποίο αφορά η προστασία των δεδομένων. Μολονότι απόκειται στο αιτούν δικαστήριο να εκτιμήσει αν οι προεκτεθείσες προϋποθέσεις πληρούνται, το Δικαστήριο πρέπει εντούτοις να το καθοδηγήσει στην εκτίμηση αυτή αποσαφηνίζοντας τα νομικά ζητήματα που εγείρονται.

1)      Η ύπαρξη «εννόμου συμφέροντος»

61.      Κατ’ αρχάς, όσον αφορά την επιδίωξη «εννόμου συμφέροντος», πρέπει να υπομνησθεί ότι ο ΓΚΠΔ και η νομολογία αναγνωρίζουν ευρύ φάσμα τέτοιων εννόμων συμφερόντων (26), διευκρινίζεται δε συγχρόνως ότι, σύμφωνα με το άρθρο 13, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, ο υπεύθυνος επεξεργασίας οφείλει να αναφέρει τα έννομα συμφέροντα που επιδιώκονται στο πλαίσιο του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.

62.      Η SCHUFA υποστηρίζει ότι με την επίμαχη επεξεργασία δεδομένων επιδιώκονται έννομα συμφέροντα μεγάλης σημασίας. Ειδικότερα, τα γραφεία οικονομικών πληροφοριών επεξεργάζονται, κατ’ αυτήν, δεδομένα τα οποία είναι αναγκαία για την αξιολόγηση της φερεγγυότητας φυσικών προσώπων ή επιχειρήσεων, προκειμένου οι εν λόγω πληροφορίες να μπορούν να τεθούν στη διάθεση των αντισυμβαλλομένων τους. Τούτο προστατεύει επίσης τα οικονομικά συμφέροντα των επιχειρήσεων που επιθυμούν να συνάψουν συμβάσεις πίστωσης. Επιπλέον, η εξακρίβωση της φερεγγυότητας και η παροχή πληροφοριών σχετικά με τη φερεγγυότητα συνιστούν, κατά τη SCHUFA, τη βάση για τη χορήγηση πίστωσης και την ικανότητα λειτουργίας της οικονομίας. Η δραστηριότητα των εν λόγω γραφείων συμβάλλει επίσης στη συγκεκριμενοποίηση της οικονομικής βούλησης των προσώπων τα οποία αφορούν οι πράξεις που σχετίζονται με τη χορήγηση πίστωσης, καθότι οι πληροφορίες καθιστούν δυνατή τη διενέργεια ταχείας και χωρίς γραφειοκρατικές διατυπώσεις εξέτασης.

63.      Θεωρώ ότι δεν υφίσταται κατ’ αρχήν κανένας αντικειμενικός λόγος αμφισβήτησης του εννόμου συμφέροντος της SCHUFA να παρέχει την προεκτεθείσα εμπορική υπηρεσία, ούτε του εννόμου συμφέροντος των πελατών της SCHUFA να χρησιμοποιούν τις υπηρεσίες της για την αξιολόγηση της φερεγγυότητας των δυνητικών αντισυμβαλλομένων τους όπως προεκτέθηκε. Καίτοι είναι αληθές ότι η παροχή του συγκεκριμένου είδους υπηρεσίας αποσκοπεί στην είσπραξη αμοιβής και, επομένως, συνιστά το οικονομικό μοντέλο ιδιωτικής εταιρίας, εντούτοις η περίσταση αυτή δεν αρκεί, αφ’ εαυτής, για να τεθεί υπό αμφισβήτηση το γεγονός ότι η πρώτη προϋπόθεση που προβλέπεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ πληρούται εν προκειμένω.

64.      Τούτο συμβαίνει κατά μείζονα λόγο δεδομένου ότι ο επιδιωκόμενος με την επίμαχη υπηρεσία σκοπός είναι, κατ’ ουσίαν, παρεμφερής με εκείνον στον οποίο απέβλεπε ο νομοθέτης της Ένωσης θεσπίζοντας το άρθρο 24 του κανονισμού 2015/848, το οποίο επιβάλλει στα κράτη μέλη να δημιουργούν και να τηρούν, στο έδαφός τους, ένα ή πλείονα μητρώα στα οποία δημοσιεύονται πληροφορίες σχετικά με διαδικασίες αφερεγγυότητας. Όπως προκύπτει από την αιτιολογική σκέψη 76 του εν λόγω κανονισμού, σκοπός των εν λόγω δημόσιων μητρώων είναι «να βελτιωθεί η ενημέρωση των οικείων πιστωτών και δικαστηρίων και να αποτραπεί η έναρξη παράλληλων διαδικασιών αφερεγγυότητας». Η παρεχόμενη από τη SCHUFA υπηρεσία δεν έχει άλλον σκοπό. Το ζήτημα του αν ο παράλληλος χαρακτήρας των συστημάτων μπορεί να έχει ως αποτέλεσμα νομικές συγκρούσεις θα εξεταστεί σε επόμενο στάδιο. Στο παρόν στάδιο της ανάλυσης, αρκεί η επισήμανση ότι, λαμβανομένης υπόψη της ταύτισης των σκοπών, πρέπει να θεωρηθεί ότι η επεξεργασία δεδομένων που πραγματοποιεί η SCHUFA εξυπηρετεί έννομο συμφέρον κατά την έννοια του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.

2)      Η «αναγκαιότητα» της επεξεργασίας για την επίτευξη του εννόμου συμφέροντος

65.      Όσον αφορά την προϋπόθεση που αφορά την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου εννόμου συμφέροντος, από τη νομολογία του Δικαστηρίου προκύπτει ότι οι παρεκκλίσεις και οι περιορισμοί της αρχής της προστασίας των δεδομένων προσωπικού χαρακτήρα δεν πρέπει να υπερβαίνουν το αυστηρώς αναγκαίο μέτρο (27). Επομένως, πρέπει να υφίσταται στενός σύνδεσμος μεταξύ της επεξεργασίας και του επιδιωκόμενου συμφέροντος, ελλείψει εναλλακτικών λύσεων που να σέβονται περισσότερο την προστασία των δεδομένων προσωπικού χαρακτήρα, δεδομένου ότι δεν αρκεί η επεξεργασία να είναι απλώς χρήσιμη για τον υπεύθυνο επεξεργασίας.

66.      Εν προκειμένω, θα πρέπει να αποδειχθεί ότι η ανάκτηση δεδομένων προσωπικού χαρακτήρα που αφορούν την αφερεγγυότητα και προέρχονται από δημόσια μητρώα και η ιδιωτική αποθήκευση των εν λόγω δεδομένων συνιστούν τη μόνη δυνατότητα για την παροχή από τη SCHUFA των συγκεκριμένων πληροφοριών στους πελάτες της για εμπορικούς σκοπούς. Δεν μπορεί να αποκλειστεί το ενδεχόμενο η SCHUFA να έχει τη δυνατότητα να παράσχει την εμπορική υπηρεσία και τις πληροφορίες σχετικά με τη φερεγγυότητα των προσώπων χρησιμοποιώντας άλλα διαθέσιμα δεδομένα. Απόκειται στο αιτούν δικαστήριο να εξακριβώσει αν, με τη δυνατότητα αυτή, η SCHUFA θα μπορούσε ακόμη να παράσχει λυσιτελώς την εν λόγω εμπορική υπηρεσία στους πελάτες της.

67.      Η SCHUFA θεωρεί την επεξεργασία δεδομένων αναγκαία. Κατ’ αυτήν, εάν το γραφείο οικονομικών πληροφοριών ανέμενε ένα συγκεκριμένο αίτημα προτού αρχίσει να συλλέγει τα δεδομένα, η έγκαιρη παροχή πληροφοριών θα ήταν αδύνατη. Η SCHUFA εκτιμά ότι το γεγονός ότι τα δεδομένα είναι (επίσης) προσβάσιμα στο κοινό κατά τη διάρκεια ορισμένου χρονικού διαστήματος ουδεμία ασκεί επιρροή στα έννομα συμφέροντα των γραφείων οικονομικών πληροφοριών ή στην αναγκαιότητα της επεξεργασίας.

68.      Εάν η αποθήκευση δεδομένων προσωπικού χαρακτήρα προερχόμενων από δημόσιο μητρώο δεν είναι αναγκαία για να μπορεί η SCHUFA να παρέχει την εμπορική υπηρεσία στους πελάτες της, η εν λόγω επεξεργασία δεν μπορεί να είναι νόμιμη βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ. Αντιθέτως, εάν πληρούται η δεύτερη προϋπόθεση της εν λόγω διάταξης, το αιτούν δικαστήριο θα πρέπει να εξετάσει επίσης την τρίτη και τελευταία σωρευτική προϋπόθεση της διάταξης αυτής.

3)      Στάθμιση των διαφόρων διακυβευόμενων συμφερόντων

69.      Όσον αφορά, τέλος, τη στάθμιση μεταξύ, αφενός, των συμφερόντων του υπευθύνου επεξεργασίας και, αφετέρου, των συμφερόντων ή των θεμελιωδών ελευθεριών και των θεμελιωδών δικαιωμάτων του υποκειμένου των δεδομένων, κατά τη νομολογία του Δικαστηρίου, απόκειται στο αιτούν δικαστήριο να σταθμίσει τα διακυβευόμενα συμφέροντα (28). Συναφώς, στις κατευθυντήριες γραμμές της πρώην ομάδας εργασίας του «Άρθρου 29», νυν «Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων», του οποίου τα καθήκοντα ορίζονται στο άρθρο 70 του ΓΚΠΔ, απαριθμούνται τα ακόλουθα κριτήρια τα οποία πρέπει να λαμβάνονται υπόψη κατά την εν λόγω στάθμιση: i) η εκτίμηση του εννόμου συμφέροντος του υπευθύνου επεξεργασίας· ii) οι επιπτώσεις για τα υποκείμενα των δεδομένων· iii) το προσωρινό αποτέλεσμα της στάθμισης και iv) οι πρόσθετες διασφαλίσεις από τον υπεύθυνο επεξεργασίας προκειμένου να αποφεύγονται αδικαιολόγητες επιπτώσεις για τα υποκείμενα των δεδομένων (29). Χάριν της διενέργειας τεκμηριωμένης και εύλογης ανάλυσης, προτείνω να εφαρμοστούν τα προεκτεθέντα κριτήρια στις υποθέσεις των κύριων δικών. Η προσέγγιση αυτή θα συμβάλει επιπλέον στην πιο συνεκτική εφαρμογή του ΓΚΠΔ, σύμφωνα με τους σκοπούς που επιδιώκει ο νομοθέτης της Ένωσης.

i)      Εκτίμηση του «εννόμου συμφέροντος» του υπευθύνου επεξεργασίας

70.      Όσον αφορά το πρώτο κριτήριο, διαπιστώνεται ότι το συμφέρον, τόσο της SCHUFA όσο και των πελατών της, είναι αμιγώς οικονομικού χαρακτήρα. Ιδιωτικά γραφεία αποθηκεύουν δεδομένα προσωπικού χαρακτήρα προερχόμενα από δημόσια μητρώα προκειμένου να παράσχουν στους πελάτες τους την υπηρεσία που συνίσταται στην παροχή πληροφοριών σχετικά με τη φερεγγυότητα του υποκειμένου των δεδομένων, χρησιμοποιώντας, μεταξύ άλλων, τα συγκεκριμένα δεδομένα. Όπως προεκτέθηκε (30), ένα τέτοιο συμφέρον είναι έννομο για τους σκοπούς της παρούσας ανάλυσης.

ii)    Επιπτώσεις της επεξεργασίας για τα υποκείμενα των δεδομένων

71.      Όσον αφορά το δεύτερο κριτήριο, ήτοι τις επιπτώσεις της επεξεργασίας για τα υποκείμενα των δεδομένων, κρίσιμος παράγοντας είναι η προθεσμία διαγραφής. Όσο μεγαλύτερη είναι η διάρκεια αποθήκευσης των δεδομένων στις βάσεις δεδομένων γραφείων οικονομικών πληροφοριών τόσο σημαντικότερες είναι οι συνέπειες για το υποκείμενο των δεδομένων. Εν προκειμένω, τα δεδομένα προσωπικού χαρακτήρα των προσφευγόντων των κύριων δικών υποβλήθηκαν σε επεξεργασία στο δημόσιο μητρώο προκειμένου «να βελτιωθεί η ενημέρωση των οικείων πιστωτών και δικαστηρίων και να αποτραπεί η έναρξη παράλληλων διαδικασιών αφερεγγυότητας», όπως διαλαμβάνεται στην αιτιολογική σκέψη 76 του κανονισμού 2015/848. Κατά τη στάθμιση των διαφόρων συμφερόντων, ο Γερμανός νομοθέτης εκτίμησε ότι, για την επίτευξη του ως άνω σκοπού, το αναγκαίο χρονικό διάστημα δημοσίευσης δεδομένων σχετικών με διαδικασία αφερεγγυότητας σε τέτοια δημόσια μητρώα είναι έξι μήνες. Επομένως, η αποθήκευση δεδομένων προσωπικού χαρακτήρα πέραν της ως άνω εξάμηνης περιόδου έχει, εκ προοιμίου, σημαντικές επιπτώσεις για το υποκείμενο των δεδομένων.

72.      Από τη νομολογία του Δικαστηρίου προκύπτει ότι υπάρχουν και άλλοι παράγοντες οι οποίοι πρέπει να συνεκτιμώνται στο πλαίσιο της ανάλυσης, ήτοι οι λεπτομέρειες πρόσβασης στις βάσεις δεδομένων και οι διευκολύνσεις που παρέχονται για τη διάδοση των δεδομένων προσωπικού χαρακτήρα (31). Με άλλα λόγια, όσο μεγαλύτερη είναι η ευχέρεια πρόσβασης του κοινού στις πληροφορίες, τόσο σοβαρότερη είναι η επέμβαση στα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων. Τούτο συμβαίνει ιδίως όταν ο αριθμός χρηστών που έχουν πρόσβαση στα δεδομένα του υποκειμένου των δεδομένων είναι μεγάλος (32). Επομένως, φρονώ ότι είναι πρόδηλο ότι, ακόμη και αν τα δεδομένα είναι ήδη διαθέσιμα σε δημόσια μητρώα κατά το προμνησθέν διάστημα των έξι μηνών, το γεγονός ότι αποθηκεύονται και είναι διαθέσιμα, παράλληλα, στις βάσεις δεδομένων των ιδιωτικών γραφείων οικονομικών πληροφοριών, έχει συμπληρωματικές επιπτώσεις στην ιδιωτική ζωή του φυσικού προσώπου, οι οποίες προστίθενται στις αρνητικές συνέπειες της διαθεσιμότητας των εν λόγω δεδομένων σε δημόσια μητρώα.

73.      Ένας ακόμη παράγοντας ο οποίος πρέπει να ληφθεί υπόψη κατά την ανάλυση είναι ο τυχόν ευαίσθητος χαρακτήρας των επίμαχων δεδομένων (33). Γενικά, οι επιπτώσεις για το υποκείμενο των δεδομένων αυξάνουν ανάλογα με την ευαισθησία των δεδομένων προσωπικού χαρακτήρα. Συναφώς, επισημαίνεται ότι από τη νομολογία του Δικαστηρίου προκύπτει ότι τα δεδομένα προσωπικού χαρακτήρα που αφορούν την είσπραξη απαιτήσεων είναι όντως ευαίσθητα δεδομένα για την ιδιωτική ζωή του υποκειμένου των δεδομένων (34). Επομένως, η διάθεση του συγκεκριμένου είδους δεδομένων σε κατ’ αρχήν απεριόριστο αριθμό χρηστών πρέπει να θεωρείται σημαντική επέμβαση στα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων (35).

74.      Τέλος, είναι απαραίτητο να ληφθεί επίσης υπόψη ο παράγοντας του χρόνου. Συγκεκριμένα, ακόμη και σύννομη επεξεργασία δεδομένων μπορεί να μην συνάδει πλέον με τον ΓΚΠΔ με την πάροδο του χρόνου, όταν τα εν λόγω δεδομένα δεν είναι ή έχουν πάψει να είναι συναφή ή εμφανίζονται υπερβολικά σε σχέση με τον σκοπό για τον οποίο συλλέχθηκαν αρχικώς. Από την άποψη αυτή, διερωτώμαι πράγματι πώς θα μπορούσε να δικαιολογηθεί η αποθήκευση δεδομένων προσωπικού χαρακτήρα για διάστημα τριών ετών, όταν ο εθνικός νομοθέτης θεωρεί ότι περίοδος αποθήκευσης έξι μηνών, ήτοι σαφώς βραχύτερη, είναι επαρκής προκειμένου να ληφθούν υπόψη τα εμπορικά συμφέροντα των οικονομικών φορέων. Παρατηρώ ότι η SCHUFA δεν μπόρεσε να δώσει σαφή και πειστική απάντηση στην ερώτηση αυτή (36), μολονότι σε αυτήν απόκειται, δυνάμει του άρθρου 5, παράγραφος 2, του ΓΚΠΔ, να αποδείξει ότι τηρήθηκαν οι αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα (37) .

iii) Προσωρινό αποτέλεσμα της στάθμισης

75.      Η εκτίμηση του συνόλου των στοιχείων που εκτέθηκαν στα ανωτέρω σημεία με οδηγεί στο συμπέρασμα ότι οι σημαντικές αρνητικές συνέπειες που η αποθήκευση των δεδομένων θα έχει για το υποκείμενο των δεδομένων μετά την επίμαχη περίοδο των έξι μηνών υπερτερούν του εμπορικού συμφέροντος της ιδιωτικής εταιρίας και των πελατών της να αποθηκεύουν τα δεδομένα μετά το πέρας της συγκεκριμένης περιόδου. Στο πλαίσιο αυτό, είναι σημαντικό να υπογραμμιστεί ότι σκοπός της χορηγούμενης πτωχευτικής απαλλαγής είναι να παράσχει στον δικαιούχο τη δυνατότητα να συμμετάσχει εκ νέου στην οικονομική ζωή (38). Οι προσφεύγοντες των κύριων δικών και η Επιτροπή επέστησαν επίσης την προσοχή στο ζήτημα αυτό κατά την επ’ ακροατηρίου συζήτηση. Ο σκοπός αυτός, όμως, θα ανατρεπόταν εάν επιτρεπόταν σε ιδιωτικά γραφεία οικονομικών πληροφοριών να αποθηκεύουν δεδομένα προσωπικού χαρακτήρα στις βάσεις δεδομένων τους μετά τη διαγραφή των εν λόγω δεδομένων από το δημόσιο μητρώο.

iv)    Πρόσθετες διασφαλίσεις

76.      Τέλος, όσον αφορά τις πρόσθετες διασφαλίσεις που ενδεχομένως προέβλεψε ο υπεύθυνος επεξεργασίας προκειμένου να αποφεύγονται αδικαιολόγητες επιπτώσεις για τα υποκείμενα των δεδομένων, κανένα στοιχείο δεν υποδηλώνει την ύπαρξη τέτοιων διασφαλίσεων στην απόφαση περί παραπομπής ή στις παρατηρήσεις της SCHUFA.

4)      Ενδιάμεσο συμπέρασμα

77.      Λαμβανομένων υπόψη των προεκτεθέντων, θεωρώ ότι η αποθήκευση των δεδομένων από ιδιωτικό γραφείο οικονομικών πληροφοριών δεν μπορεί να είναι νόμιμη βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ αφ’ ης στιγμής τα δεδομένα προσωπικού χαρακτήρα που αφορούν την αφερεγγυότητα έχουν διαγραφεί από τα δημόσια μητρώα.

78.      Όσον αφορά την περίοδο των έξι μηνών κατά τη διάρκεια της οποίας τα δεδομένα προσωπικού χαρακτήρα είναι επίσης διαθέσιμα σε δημόσια μητρώα, απόκειται στο αιτούν δικαστήριο να σταθμίσει τα προμνησθέντα συμφέροντα και τις επιπτώσεις για το υποκείμενο των δεδομένων, προκειμένου να εξακριβώσει αν η παράλληλη αποθήκευση των εν λόγω δεδομένων από ιδιωτικά γραφεία οικονομικών πληροφοριών είναι νόμιμη βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.

β)      Επί της συμβατότητας προς τις αρχές του περιορισμού του σκοπού και της ελαχιστοποίησης των δεδομένων (άρθρο 5, παράγραφος 1, στοιχεία βʹ και γʹ, του ΓΚΠΔ)

79.      Βάσει της αρχής του περιορισμού του σκοπού, η οποία διατυπώνεται στο άρθρο 5, παράγραφος 1, στοιχείο βʹ, του ΓΚΠΔ, τα δεδομένα προσωπικού χαρακτήρα που συλλέγονται για καθορισμένους σκοπούς δεν πρέπει να υποβάλλονται σε περαιτέρω επεξεργασία κατά τρόπο που δεν συνάδει προς τους σκοπούς αυτούς. Εν προκειμένω, τα δεδομένα σχετικά με την αφερεγγυότητα και την πτωχευτική απαλλαγή υποβλήθηκαν σε επεξεργασία από δημόσιες αρχές στο πλαίσιο της εκπλήρωσης έννομων υποχρεώσεων.

80.      Εντούτοις, όσον αφορά την περαιτέρω χρήση των δεδομένων από ιδιωτική εταιρία, πρέπει να εξεταστεί, υπό το πρίσμα του ΓΚΠΔ και βάσει των κριτηρίων που προβλέπονται στο άρθρο 6, παράγραφος 4, του εν λόγω κανονισμού, αν ο προβλεπόμενος σκοπός συνάδει προς τον αρχικό σκοπό. Εν προκειμένω, ιδιαίτερη σημασία έχουν τα στοιχεία αʹ, βʹ και δʹ της εν λόγω διάταξης. Σε αυτά καθορίζονται τα ακόλουθα κριτήρια: i) ο σύνδεσμος μεταξύ του αρχικού σκοπού και του μεταγενέστερου σκοπού· ii) το πλαίσιο εντός του οποίου συλλέχθηκαν τα δεδομένα και, ειδικότερα, η σχέση μεταξύ των υποκειμένων των δεδομένων και του υπευθύνου επεξεργασίας και iii) οι ενδεχόμενες συνέπειες της προβλεπόμενης περαιτέρω επεξεργασίας για το υποκείμενο των δεδομένων.

81.      Πρώτον, ο σύνδεσμος μεταξύ των σκοπών είναι ισχνός, κατά μείζονα λόγο διότι ο αρχικός σκοπός προβλέπεται από τον νόμο, και πιο συγκεκριμένα από το δίκαιο της Ένωσης, το οποίο επιβάλλει στα κράτη μέλη την υποχρέωση δημιουργίας και τήρησης των μητρώων (39), ο δε υπεύθυνος επεξεργασίας είναι δημόσια αρχή η οποία ενεργεί στο πλαίσιο των καθηκόντων που της ανατίθενται από τον νόμο, ενώ ο μεταγενέστερος σκοπός επιδιώκεται από ιδιωτική οντότητα, στο πλαίσιο εμπορικής δραστηριότητας η οποία συνίσταται στην παροχή οικονομικών πληροφοριών σχετικά με πρόσωπα.

82.      Δεύτερον, όσον αφορά το πλαίσιο εντός του οποίου συλλέχθηκαν τα δεδομένα, διαπιστώνεται ότι δεν υφίσταται οποιοσδήποτε σύνδεσμος μεταξύ του υπευθύνου επεξεργασίας και του υποκειμένου των δεδομένων, δεδομένου ότι τα δεδομένα συλλέγονται εμμέσως από μητρώα και, επομένως, το υποκείμενο των δεδομένων δεν έχει επίγνωση του γεγονότος ότι τα δεδομένα που το αφορούν μπορούν να χρησιμοποιηθούν περαιτέρω, ούτε από ποιον ούτε για ποιον σκοπό. Το ζήτημα αυτό μου φαίνεται ιδιαιτέρως σοβαρό από την άποψη της προστασίας των δεδομένων προσωπικού χαρακτήρα, δεδομένου ότι, κατά κανόνα, ουδείς μπορεί ευλόγως να αναμένει ότι τα δεδομένα προσωπικού χαρακτήρα που τον αφορούν θα υποβληθούν σε περαιτέρω επεξεργασία (40). Το γεγονός ότι η νομοθεσία καθορίζει συγκεκριμένη διάρκεια για την αποθήκευση των δεδομένων στα δημόσια μητρώα μπορεί ευλόγως να οδηγήσει στο συμπέρασμα ότι τα εν λόγω δεδομένα θα διαγραφούν μετά την παρέλευση της σχετικής περιόδου.

83.      Τρίτον, όσον αφορά τις ενδεχόμενες συνέπειες που η περαιτέρω επεξεργασία των δεδομένων μπορεί να έχει για τα υποκείμενα των δεδομένων, υπογραμμίζεται ότι οι πληροφορίες σχετικά με τις διαδικασίες αφερεγγυότητας θα εξακολουθήσουν να χρησιμοποιούνται ως αρνητικός παράγοντας κατά τη διάρκεια μελλοντικής αξιολόγησης της φερεγγυότητας και της ικανότητας πληρωμής του φυσικού προσώπου υποκειμένου των δεδομένων, και τούτο έχει σημαντικές επιπτώσεις στα δικαιώματα του εν λόγω προσώπου. Εσφαλμένη εικόνα της οικονομικής κατάστασής του μπορεί να έχει δυσμενείς συνέπειες για το υποκείμενο των δεδομένων, δυσχεραίνοντας αισθητά την άσκηση των ελευθεριών του, ακόμη και στιγματίζοντας το εν λόγω πρόσωπο στην κοινωνία. Στο μέτρο που μπορεί να βρεθεί αντιμέτωπο με άρνηση παροχής αγαθών και υπηρεσιών, το υποκείμενο των δεδομένων μπορεί να είναι θύμα αδικαιολόγητης δυσμενούς διάκρισης.

84.      Λαμβανομένων υπόψη των τριών ως άνω κριτηρίων, τα οποία πρέπει να πληρούνται προκειμένου η χρήση δεδομένων προσωπικού χαρακτήρα να συνάδει προς τον αρχικό σκοπό, όπως επιτάσσει το άρθρο 6, παράγραφος 4, του ΓΚΠΔ, είναι αμφίβολο αν η περαιτέρω χρήση των επίμαχων δεδομένων μπορεί να συνάδει προς τον σκοπό αυτό.

85.      Επιπλέον, επισημαίνεται ότι, τάσσοντας μέγιστη προθεσμία έξι μηνών κατά την οποία η κατάσταση αφερεγγυότητας και η δικαστική απόφαση περί πτωχευτικής απαλλαγής αποτελούν αντικείμενο δημοσίευσης, εάν πληρούνται οι νόμιμες προϋποθέσεις, ο εθνικός νομοθέτης έλαβε ήδη υπόψη την επίτευξη του δημόσιου συμφέροντος και στάθμισε, αφενός, το συμφέρον των πιστωτών και, αφετέρου, τα συμφέροντα και τα δικαιώματα των αφερέγγυων προσώπων (41). Η επεξεργασία δεδομένων προσωπικού χαρακτήρα από ιδιωτικές εταιρίες για διάρκεια εξαπλάσια της νομοθετικά προβλεπόμενης για τα δημόσια μητρώα είναι υπερβολική και τιμωρεί εν τοις πράγμασι το υποκείμενο των δεδομένων, καίτοι είναι σαφές ότι η νομοθεσία δεν προβλέπει κάτι τέτοιο. Συγκεκριμένα, όπως προεκτέθηκε, σκοπός της χορηγούμενης πτωχευτικής απαλλαγής είναι να παράσχει στον δικαιούχο τη δυνατότητα να συμμετάσχει εκ νέου στην οικονομική ζωή. Ο σκοπός αυτός, όμως, θα ανατρεπόταν εάν επιτρεπόταν σε ιδιωτικά γραφεία οικονομικών πληροφοριών να αποθηκεύουν δεδομένα προσωπικού χαρακτήρα στις βάσεις δεδομένων τους μετά τη διαγραφή των εν λόγω δεδομένων από το δημόσιο μητρώο (42). Ελλείψει αποδείξεως του εναντίου, οι προϋποθέσεις πρόσβασης στη βάση δεδομένων ενδέχεται να τέθηκαν με σκοπό την καταστρατήγηση της εθνικής νομοθεσίας, η οποία θεσπίστηκε από το κράτος μέλος για την εκπλήρωση των υποχρεώσεων που υπέχει από το δίκαιο της Ένωσης (43).

86.      Εξάλλου, φαίνεται δυσανάλογη η «εκ νέου χρησιμοποίηση» παρελθούσας κατάστασης η οποία έχει αποσαφηνιστεί από νομικής απόψεως, όπως η πτωχευτική απαλλαγή, σε μελλοντικές αξιολογήσεις, αντί της χρησιμοποίησης παραγόντων επικαιροποιημένων κατά τον χρόνο της ανάλυσης των κινδύνων προκειμένου να διασφαλίζεται πιο ακριβής και αντικειμενική αξιολόγηση της οικονομικής κατάστασης του υποκειμένου των δεδομένων. Συγκεκριμένα, εγείρονται αμφιβολίες όσον αφορά την αξία πληροφοριών σχετικών με την οικονομική κατάσταση ενός προσώπου οι οποίες ανάγονται σε πλείονα έτη στο παρελθόν. Δεδομένα προσωπικού χαρακτήρα τα οποία συνδέονται με γεγονός που ανάγεται σε κάποιο χρονικό διάστημα στο παρελθόν ουδόλως παρέχουν αξιόπιστες πληροφορίες σχετικά με την παρούσα οικονομική κατάσταση του υποκειμένου των δεδομένων. Ο Γερμανός νομοθέτης αναγνώρισε το πρόβλημα αυτό και άντλησε ορθά συμπεράσματα επιλέγοντας σημαντικά βραχύτερη διάρκεια αποθήκευσης των δεδομένων.

87.      Τέλος, φρονώ ότι οι ενέργειες των γραφείων οικονομικών πληροφοριών παραβιάζουν την αρχή της ελαχιστοποίησης των δεδομένων που κατοχυρώνεται στο άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, δυνάμει της οποίας τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι κατάλληλα, συναφή και να περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία. Συναφώς, τίθεται όντως το ζήτημα της σκοπιμότητας της διάθεσης δεδομένων προσωπικού χαρακτήρα τα οποία είναι ήδη προσβάσιμα στο κοινό στα μητρώα που δημιούργησαν τα κράτη μέλη. Φρονώ ότι η δραστηριότητα αυτή ενδέχεται μάλλον να οδηγήσει σε διάδοση ευαίσθητων πληροφοριών η οποία δεν είναι οπωσδήποτε αναγκαία για την εξυπηρέτηση των εμπορικών συμφερόντων των οικονομικών φορέων (44).

88.      Για τους λόγους που προεκτέθηκαν, εκτιμώ ότι η αποθήκευση των επίμαχων δεδομένων από γραφείο οικονομικών πληροφοριών δεν συνιστά πρακτική η οποία συνάδει προς τις αρχές του περιορισμού του σκοπού και της ελαχιστοποίησης των δεδομένων που κατοχυρώνονται στο άρθρο 5, παράγραφος 1, στοιχεία βʹ και γʹ, αντιστοίχως, του ΓΚΠΔ.

γ)      Ενδιάμεσο συμπέρασμα

89.      Από την ως άνω ανάλυση συμπεραίνω ότι η πρακτική των γραφείων οικονομικών πληροφοριών, η οποία συνίσταται στην αποθήκευση δεδομένων προσωπικού χαρακτήρα που προέρχονται από δημόσια μητρώα για διάρκεια τριών ετών, δεν συνάδει προς τις αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα οι οποίες κατοχυρώνονται στον ΓΚΠΔ. Τούτου λεχθέντος, διευκρινίζεται ότι το ως άνω συμπέρασμα βασίζεται σε εκτίμηση των πραγματικών περιστατικών, η οποία απόκειται τελικώς στο αιτούν δικαστήριο, το οποίο καλείται να αποφανθεί επί της διαφοράς.

2.      Επί της άσκησης του δικαιώματος διαγραφής (άρθρο 17, παράγραφος 1, του ΓΚΠΔ)

90.      Το αιτούν δικαστήριο ζητεί επίσης να διευκρινιστεί αν το «δικαίωμα στη λήθη» που κατοχυρώνεται στο άρθρο 17 του ΓΚΠΔ συνεπάγεται τη διαγραφή των δεδομένων προσωπικού χαρακτήρα από τις βάσεις δεδομένων ιδιωτικού γραφείου οικονομικών πληροφοριών οι οποίες συνυπάρχουν παράλληλα με τα δημόσια μητρώα και περιέχουν τα ίδια δεδομένα. Το αιτούν δικαστήριο προβαίνει σε διάκριση μεταξύ της περιόδου κατά την οποία τα δεδομένα προσωπικού χαρακτήρα είναι επίσης διαθέσιμα στο δημόσιο μητρώο και της περιόδου κατά την οποία τα εν λόγω δεδομένα δεν είναι πλέον διαθέσιμα στο δημόσιο μητρώο.

91.      Το άρθρο 17, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ προβλέπει το απόλυτο δικαίωμα του υποκειμένου των δεδομένων να διαγραφούν τα δεδομένα προσωπικού χαρακτήρα που το αφορούν όταν υποβλήθηκαν σε επεξεργασία παράνομα (45). Ως εκ τούτου, σε περίπτωση που, λαμβανομένου υπόψη του συμπεράσματος στο οποίο κατέληξα στο πλαίσιο της ανάλυσής μου (46), το αιτούν δικαστήριο κρίνει ότι η SCHUFA δεν επεξεργάστηκε τα δεδομένα προσωπικού χαρακτήρα των προσφευγόντων νόμιμα βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, η επεξεργασία αυτή θα είναι παράνομη εάν δεν έχει εφαρμογή κανένας άλλος εκ των λόγων που προβλέπονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ. Σε τέτοια περίπτωση, η SCHUFA θα πρέπει να διαγράψει τα δεδομένα προσωπικού χαρακτήρα των προσφευγόντων, οι δε προσφεύγοντες θα έχουν σχετικό δικαίωμα, και τούτο ανεξαρτήτως του αν ζήτησαν τη διαγραφή των δεδομένων κατά την περίοδο που προηγείται ή έπεται της διαγραφής των επίμαχων δεδομένων από το δημόσιο μητρώο. Το αποτέλεσμα αυτό φαίνεται ότι συνάδει επίσης προς τις απαιτήσεις του άρθρου 5, παράγραφος 1, στοιχείο εʹ, του ΓΚΠΔ, το οποίο ορίζει ότι τα δεδομένα προσωπικού χαρακτήρα «διατηρούνται υπό μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων των δεδομένων μόνο για το διάστημα που απαιτείται για τους σκοπούς της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα» (η υπογράμμιση δική μου).

92.      Συναφώς, εφιστώ την προσοχή στο άρθρο 79, παράγραφος 5, του κανονισμού 2015/848, με το οποίο αναδεικνύεται η σημασία που ο νομοθέτης της Ένωσης απέδωσε στο δικαίωμα διαγραφής, μεταξύ άλλων όταν οι αρχές επεξεργάζονται δεδομένα προσωπικού χαρακτήρα τα οποία έχουν ιδιαιτέρως ευαίσθητο χαρακτήρα, όπως αυτά που σχετίζονται με τη φερεγγυότητα των υποκειμένων των δεδομένων. Κατά την εν λόγω διάταξη «[σ]το πλαίσιο της πληροφορήσεως που πρέπει να παρέχεται στα πρόσωπα στα οποία αναφέρονται τα δεδομένα ώστε να μπορούν να ασκήσουν τα δικαιώματά τους, και ιδίως το δικαίωμα διαγραφής των δεδομένων, τα κράτη μέλη ενημερώνουν τα πρόσωπα στα οποία αναφέρονται τα δεδομένα σχετικά με την περίοδο προσβασιμότητας που ισχύει για τα δεδομένα προσωπικού χαρακτήρα που αποθηκεύονται στα μητρώα αφερεγγυότητας» (η υπογράμμιση δική μου). Ο νομοθέτης της Ένωσης αναγνώρισε, βεβαίως, την αναγκαιότητα διαγραφής του συγκεκριμένου είδους δεδομένων όταν η αποθήκευσή τους δεν δικαιολογείται πλέον.

93.      Μολονότι οι αιτήσεις προδικαστικής αποφάσεως αφορούν μόνο την ερμηνεία του άρθρου 17, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, θεωρώ ότι η διάταξη του άρθρου 17, παράγραφος 1, στοιχείο γʹ, μπορεί επίσης να είναι κρίσιμη για την απόφαση που πρόκειται να εκδοθεί στις υπό κρίση υποθέσεις, και συγκεκριμένα σε περίπτωση που το αιτούν δικαστήριο εκτιμήσει, αντιθέτως προς το συμπέρασμα στο οποίο κατέληξα βάσει των διαθέσιμων πληροφοριών, ότι η SCHUFA επεξεργάστηκε τα δεδομένα προσωπικού χαρακτήρα των προσφευγόντων νομίμως δυνάμει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ. Το άρθρο 17, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ προβλέπει το δικαίωμα διαγραφής των δεδομένων προσωπικού χαρακτήρα όταν το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία δυνάμει του άρθρου 21, παράγραφος 1, του ίδιου κανονισμού και δεν υπάρχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία. Από τη διατύπωση αυτή συνάγεται ότι κάθε «επιτακτικός και νόμιμος λόγος για την επεξεργασία» συνιστά εξαίρεση από το δικαίωμα του υποκειμένου των δεδομένων να εναντιωθεί στην επεξεργασία και να επιτύχει τη διαγραφή των δεδομένων προσωπικού χαρακτήρα που το αφορούν. Ως εκ τούτου, τεκμαίρεται ότι το υποκείμενο των δεδομένων διαθέτει δικαίωμα εναντίωσης στην επεξεργασία και δικαίωμα διαγραφής, εκτός εάν συντρέχουν επιτακτικοί και νόμιμοι λόγοι (47).

94.      Θεωρώ ότι, χάριν του συμφέροντος αποτελεσματικής προστασίας των δεδομένων προσωπικού χαρακτήρα, δεν θα πρέπει να υφίστανται σημαντικά εμπόδια στην άσκηση του δικαιώματος διαγραφής, ιδίως όταν υπάρχουν στην αγορά πλείονα γραφεία οικονομικών πληροφοριών τα οποία αποθηκεύουν δεδομένα παράλληλα με το δημόσιο μητρώο. Εάν η άσκηση του δικαιώματος διαγραφής καθίστατο υπέρμετρα δυσχερής λόγω στενής ερμηνείας του άρθρου 17, παράγραφος 1, του ΓΚΠΔ, η προστασία που προορίζεται να παρέχει ο ΓΚΠΔ μπορεί να καταστρατηγηθεί από ανταγωνιστές. Πρέπει, όμως, να υπομνησθεί ότι, όπως προκύπτει από την αιτιολογική σκέψη 10 του ΓΚΠΔ, σκοπός του νομοθέτη της Ένωσης ήταν να «διασφαλίζεται συνεκτική και ομοιόμορφη εφαρμογή των κανόνων για την προστασία των θεμελιωδών δικαιωμάτων και των ελευθεριών των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα σε ολόκληρη την Ένωση» (η υπογράμμιση δική μου). Επομένως, το υποκείμενο των δεδομένων πρέπει να είναι σε θέση να ασκήσει τα δικαιώματά του έναντι κάθε εταιρίας που παραβαίνει τους ως άνω κανόνες. Δεδομένου ότι η SCHUFA είναι ένα μόνο από τα πολυάριθμα γραφεία οικονομικών πληροφοριών της Γερμανίας, θα πρέπει να εξακριβωθεί αν η αποθήκευση των δεδομένων προσωπικού χαρακτήρα παράλληλα με την αποθήκευση στο δημόσιο μητρώο συνιστά διαδεδομένη πρακτική των εν λόγω γραφείων.

95.      Επομένως, στο παρόν στάδιο της ανάλυσης πρέπει να θεωρηθεί ότι οι προσφεύγοντες μπορούν, κατ’ αρχήν, να επικαλεστούν δικαίωμα διαγραφής, δυνάμει του άρθρου 17, παράγραφος 1, του ΓΚΠΔ. Το συμπέρασμα θα ήταν διαφορετικό μόνον στην περίπτωση που ιδιωτικό γραφείο οικονομικών πληροφοριών επιτύχει να «καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων», κατά την έννοια του άρθρου 21, παράγραφος 1, του ΓΚΠΔ. Στο μέτρο που δεν είναι δυνατόν να προσδιοριστούν, βάσει των διαθέσιμων πληροφοριών, οι επιτακτικοί λόγοι που θα μπορούσαν να συντρέχουν στις υποθέσεις των κύριων δικών, απόκειται στο αιτούν δικαστήριο να διαπιστώσει τα πραγματικά περιστατικά και να σταθμίσει, ενδεχομένως, τα διακυβευόμενα συμφέροντα.

96.      Λαμβανομένων υπόψη των προεκτεθέντων, το άρθρο 17, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ έχει την έννοια ότι το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση όταν τα εν λόγω δεδομένα υποβλήθηκαν σε επεξεργασία παράνομα κατά τα προβλεπόμενα στο άρθρο 6, παράγραφος 1, του εν λόγω κανονισμού. Το άρθρο 17, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ έχει την έννοια ότι το υποκείμενο των δεδομένων έχει, κατ’ αρχήν, το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση όταν το υποκείμενο των δεδομένων εναντιώνεται στην επεξεργασία σύμφωνα με το άρθρο 21, παράγραφος 1, του εν λόγω κανονισμού. Απόκειται στο αιτούν δικαστήριο να εξετάσει αν συντρέχουν, κατ’ εξαίρεση, επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία.

3.      Επί της χρησιμοποίησης κώδικα δεοντολογίας, κατά την έννοια του άρθρου 40 του ΓΚΠΔ, με σκοπό την πρόβλεψη προθεσμιών εξέτασης και διαγραφής οι οποίες υπερβαίνουν τις περιόδους αποθήκευσης που ισχύουν για το δημόσιο μητρώο

97.      Το αιτούν δικαστήριο ζητεί επίσης να διευκρινιστεί αν συνάδει με το δίκαιο της Ένωσης η πρόβλεψη, σε κώδικα δεοντολογίας κατά την έννοια του άρθρου 40 του ΓΚΠΔ, προθεσμιών εξέτασης και διαγραφής, οι οποίες υπερβαίνουν τις περιόδους αποθήκευσης που ισχύουν για το δημόσιο μητρώο χωρίς να απαιτείται η διενέργεια της στάθμισης που προβλέπεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του εν λόγω κανονισμού.

98.      Επ’ αυτού, παρατηρώ εκ προοιμίου ότι, κατά το αιτούν δικαστήριο, δεν υφίσταται επί του παρόντος καμία εθνική ρύθμιση η οποία να καθορίζει τις προθεσμίες διαγραφής για τις βάσεις δεδομένων που τηρούν τα γραφεία οικονομικών πληροφοριών. Εντούτοις, οι ενδιαφερόμενοι αντιλαμβάνονται τον κώδικα δεοντολογίας που εγκρίθηκε από κοινού από τις εποπτικές αρχές και το σωματείο των γραφείων οικονομικών πληροφοριών ως ένα είδος «νομικής βάσης» ικανής να νομιμοποιήσει την προεκτεθείσα πρακτική. Η αντίληψη αυτή μου φαίνεται επικριτέα από νομικής απόψεως για τους ακόλουθους λόγους.

99.      Από νομικής απόψεως, τέτοιος κώδικας δεοντολογίας αντιπροσωπεύει απλώς και μόνο οικειοθελή δέσμευση εκείνων που τον κατάρτισαν και τον εξέδωσαν, ήτοι του προμνησθέντος σωματείου και των μελών του. Ομοίως, το γεγονός ότι ο κώδικας δεοντολογίας εγκρίθηκε από εποπτική αρχή σημαίνει απλώς και μόνον ότι, ως διοικητική αρχή, η εποπτική αρχή θεωρεί ότι δεσμεύεται από τον εν λόγω κώδικα δεοντολογίας. Εντούτοις, είναι πρόδηλο ότι ο εν λόγω κώδικας στερείται δεσμευτικής ισχύος έναντι τρίτων βάσει της αρχής του δικαίου «pacta tertiis nec nocent nec prosunt». Σε αντίθετη περίπτωση, θα αφορούσε όχι μόνον τα φυσικά πρόσωπα των οποίων τα δεδομένα υποβάλλονται σε επεξεργασία, αλλά επίσης τις εταιρίες που δεν έλαβαν μέρος στην κατάρτιση τέτοιου κώδικα δεοντολογίας.

100. Εξ ορισμού, ένας κώδικας δεοντολογίας δεν έχει κανονιστική ισχύ στην έννομη τάξη, αλλά σκοπεί μάλλον τη διευκρίνιση των διατάξεων κανονιστικής πράξης προκειμένου να διευκολυνθεί η εφαρμογή της. Η ερμηνεία αυτή επιρρωννύεται από το άρθρο 40, παράγραφοι 1 και 2, του ΓΚΠΔ, από το οποίο προκύπτει ότι οι κώδικες δεοντολογίας τους οποίους καταρτίζουν ενώσεις και άλλοι φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία έχουν ως στόχο, αφενός, «να συμβάλουν στην ορθή εφαρμογή» και, αφετέρου, να «προσδιορίσουν την εφαρμογή» του εν λόγω κανονισμού (η υπογράμμιση δική μου). Επομένως, στο μέτρο που η λειτουργία του κώδικα δεοντολογίας περιορίζεται στη διασφάλιση της ορθής εφαρμογής του ΓΚΠΔ σε συγκεκριμένο τομέα, ο εν λόγω κώδικας δεν μπορεί να συνιστά, αφ’ εαυτού, τη νομική βάση που δικαιολογεί επεξεργασία δεδομένων προσωπικού χαρακτήρα (48).

101. Νομική βάση που δικαιολογεί τέτοια επεξεργασία μπορεί να είναι μόνον το άρθρο 6 του ΓΚΠΔ ή, σε περίπτωση εφαρμογής ρήτρας παρεκκλίσεως, το εθνικό δίκαιο. Όπως προεκτέθηκε με τις παρούσες προτάσεις, το άρθρο 6 του ΓΚΠΔ προβλέπει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί νόμιμη (49). Ως εκ τούτου, οι κανόνες του κώδικα δεοντολογίας δεν μπορούν να έχουν ως αποτέλεσμα τη διεύρυνση του εν λόγω καταλόγου χωρίς να παραβιάζουν συγχρόνως το δίκαιο της Ένωσης.

102. Φρονώ, όμως, ότι τούτο ακριβώς συμβαίνει όταν, όπως εν προκειμένω, οι προμνησθέντες κανόνες επιβάλλουν στα γραφεία οικονομικών πληροφοριών την υποχρέωση να αποθηκεύουν τα δεδομένα των υποκειμένων των δεδομένων για διάρκεια τριών ετών, ήτοι για μεγαλύτερο χρονικό διάστημα το οποίο δεν μπορεί να δικαιολογηθεί υπό το πρίσμα των αρχών που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα οι οποίες κατοχυρώνονται στον ΓΚΠΔ. Ειδικότερα, όπως κατέδειξα στο πλαίσιο της ανάλυσής μου, η αποθήκευση των εν λόγω δεδομένων δεν μπορεί να θεωρηθεί νόμιμη βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ όσον αφορά το διάστημα που έπεται της διαγραφής των σχετικών με την αφερεγγυότητα δεδομένων προσωπικού χαρακτήρα από τα δημόσια μητρώα (50).

103. Επομένως, στο παρόν στάδιο της ανάλυσης, πρέπει να θεωρηθεί ότι κώδικες δεοντολογίας οι οποίοι θα κατέληγαν σε αποτέλεσμα διαφορετικό από εκείνο που θα προέκυπτε κατ’ εφαρμογήν του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ δεν θα μπορούσαν να ληφθούν υπόψη κατά τη στάθμιση που πραγματοποιείται δυνάμει της εν λόγω διάταξης. Ως «υπεύθυνοι επεξεργασίας» κατά την έννοια του άρθρου 4, σημείο 7, του ΓΚΠΔ, τα γραφεία οικονομικών πληροφοριών δεν μπορούν να επικαλεστούν τους κανόνες του κώδικα δεοντολογίας που κατάρτισαν τα ίδια προκειμένου να απαλλαγούν προσηκόντως των υποχρεώσεών τους που απορρέουν από τον εν λόγω κανονισμό.

104. Λαμβανομένων υπόψη των προεκτεθέντων, εκτιμώ ότι το άρθρο 40, παράγραφοι 2 και 5, του ΓΚΠΔ έχει την έννοια ότι κώδικες δεοντολογίας που καταρτίζονται βάσει των εν λόγω διατάξεων και εγκρίνονται ενδεχομένως από την εποπτική αρχή δεν μπορούν να καθορίζουν με νομικά δεσμευτικό τρόπο προϋποθέσεις νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα οι οποίες διαφέρουν από εκείνες που ορίζονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ.

VI.    Πρόταση

105. Λαμβανομένων υπόψη των προεκτεθέντων, προτείνω στο Δικαστήριο να απαντήσει στα προδικαστικά ερωτήματα που υπέβαλε το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden, Γερμανία) ως εξής:

1)      Το άρθρο 78, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων),

έχει την έννοια ότι:

από την εν λόγω διάταξη προκύπτει ότι η νομικά δεσμευτική απόφαση εποπτικής αρχής υπόκειται σε πλήρη δικαστικό έλεγχο επί της ουσίας.

2)      Το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του κανονισμού 2016/679

έχει την έννοια ότι:

αντιτίθεται στην αποθήκευση, από ιδιωτικό γραφείο οικονομικών πληροφοριών, δεδομένων προσωπικού χαρακτήρα προερχόμενων από δημόσιο μητρώο όπως οι «εθνικές βάσεις δεδομένων», κατά την έννοια του άρθρου 79, παράγραφοι 4 και 5, του κανονισμού (ΕΕ) 2015/848 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2015, περί των διαδικασιών αφερεγγυότητας, για διάστημα το οποίο υπερβαίνει εκείνο κατά το οποίο τα δεδομένα αποθηκεύονται στο δημόσιο μητρώο. Απόκειται στο αιτούν δικαστήριο να εξακριβώσει αν η αποθήκευση των δεδομένων κατά το διάστημα που επιτρέπεται για το δημόσιο μητρώο πληροί τις προϋποθέσεις του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του κανονισμού 2016/679.

3)      Το άρθρο 17, παράγραφος 1, στοιχείο δʹ, του κανονισμού 2016/679

έχει την έννοια ότι:

το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση όταν τα εν λόγω δεδομένα υποβλήθηκαν σε επεξεργασία παράνομα κατά τα προβλεπόμενα στο άρθρο 6, παράγραφος 1, του εν λόγω κανονισμού.

Το άρθρο 17, παράγραφος 1, στοιχείο γʹ, του κανονισμού 2016/679

έχει την έννοια ότι:

το υποκείμενο των δεδομένων έχει, κατ’ αρχήν, το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση όταν το υποκείμενο των δεδομένων εναντιώνεται στην επεξεργασία σύμφωνα με το άρθρο 21, παράγραφος 1, του εν λόγω κανονισμού. Απόκειται στο αιτούν δικαστήριο να εξετάσει αν συντρέχουν, κατ’ εξαίρεση, επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία.

4)      Το άρθρο 40, παράγραφοι 2 και 5, του κανονισμού 2016/679

έχει την έννοια ότι:

κώδικες δεοντολογίας που καταρτίζονται βάσει των εν λόγω διατάξεων και εγκρίνονται ενδεχομένως από την εποπτική αρχή δεν μπορούν να καθορίζουν με νομικά δεσμευτικό τρόπο προϋποθέσεις νόμιμης επεξεργασίας δεδομένων προσωπικού χαρακτήρα οι οποίες διαφέρουν από εκείνες που ορίζονται στο άρθρο 6, παράγραφος 1, του εν λόγω κανονισμού.

1      Γλώσσα του πρωτοτύπου: η γαλλική.

2      ΕΕ 2016, L 119, σ. 1.

3      ΕΕ 2015, L 141, σ. 19.

4      Πρόκειται, συγκεκριμένα, για τα άρθρα 18 και 21 της οδηγίας 2014/17/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 4ης Φεβρουαρίου 2014, σχετικά με τις συμβάσεις πίστωσης για καταναλωτές για ακίνητα που προορίζονται για κατοικία και την τροποποίηση των οδηγιών 2008/48/ΕΚ και 2013/36/EE και του κανονισμού (ΕΕ) αριθ. 1093/2010 (ΕΕ 2014, L 60, σ. 34), καθώς και τα άρθρα 8 και 9 της οδηγίας 2008/48/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Απριλίου 2008, για τις συμβάσεις καταναλωτικής πίστης και την κατάργηση της οδηγίας 87/102/ΕΟΚ του Συμβουλίου (ΕΕ 2008, L 133, σ. 66).

5      Βλ. προτάσεις του γενικού εισαγγελέα M. Szpunar στην υπόθεση Latvijas Republikas Saeima (Βαθμοί ποινής) (C‑439/19, EU:C:2020:1054, σημείο 48).

6      Απόφαση της 15ης Ιουνίου 2021, Facebook Ireland κ.λπ. (C‑645/19, EU:C:2021:483, σκέψεις 44 και 45).

7      Απόφαση της 16ης Ιουλίου 20201, Facebook Ireland και Schrems (C‑311/18, EU:C:2020:559, σκέψη 109).

8      Πρβλ. Kotschy, W., «Article 77. Right to lodge a complaint with a supervisory authority», σε Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L. (επιμ.), The EU General Data Protection Regulation (GDPR), Οξφόρδη, 2020, σ. 1 123.

9      Πρβλ. Härting, N., Flisek, C., Thiess, L., «DSGVO: Der Verwaltungsakt wird zum Normalfall – Das neue Beschwerderecht», Computer und Recht, 5/2018, σ. 299, οι οποίοι υπενθυμίζουν ότι, κατά το άρθρο 57, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, καθήκον της εποπτικής αρχής είναι να παρακολουθεί και να επιβάλλει την εφαρμογή του ΓΚΠΔ προς το συμφέρον των υποκειμένων των δεδομένων. Κατά τους συγγραφείς, η εποπτική αρχή δεν πρέπει να παραμένει αδρανής σε περίπτωση προσβολής των δικαιωμάτων των πολιτών στο πλαίσιο επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Αντιθέτως, η εποπτική αρχή υποχρεούται να θεραπεύσει την κατάσταση και να κάνει χρήση των εξουσιών που διαθέτει δυνάμει του άρθρου 58, παράγραφος 2, του ΓΚΠΔ.

10      Πρβλ. Hijmans, H., «Article 55. Tasks», σε Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L. (επιμ.), The EU General Data Protection Regulation (GDPR), Οξφόρδη, σ. 934 και 936.

11      Βλ. τις προτάσεις μου στην υπόθεση Κοινοβούλιο κατά UZ (C‑894/19 P, EU:C:2021:497, σημείο 68) για αναλυτική επεξήγηση της έννοιας της «χρηστής διοίκησης» στο διοικητικό δίκαιο της Ένωσης.

12      Προτάσεις του γενικού εισαγγελέα H. Saugmandsgaard Øe στην υπόθεση Facebook Ireland και Schrems (C‑311/18, EU:C:2019:1145, σημεία 146 και 147).

13      Προτάσεις του γενικού εισαγγελέα H. Saugmandsgaard Øe στην υπόθεση Facebook Ireland και Schrems (C‑311/18, EU:C:2019:1145, σκέψη 148).

14      Βλ. σημεία 43 και 44 των παρουσών προτάσεων.

15      Βλ. απόφαση του Δικαστηρίου της ΕΖΕΣ της 10ης Δεκεμβρίου 2020 στις συνεκδικασθείσες υποθέσεις E‑11/19 και E‑12/19, Adpublisher AG κατά J και K, σκέψη 58, με την οποία το εν λόγω δικαστήριο παρατηρεί ότι το άρθρο 58, παράγραφος 4, και το άρθρο 78 του ΓΚΠΔ «αποτελούν έκφραση του δικαιώματος πραγματικής δικαστικής προσφυγής».

16      Απόφαση της 7ης Σεπτεμβρίου 2021, Klaipėdos regiono atliekų tvarkymo centras (C‑927/19, EU:C:2021:700, σκέψη 146).

17      Απόφαση της 6ης Οκτωβρίου 2015, Schrems (C‑362/14, EU:C:2015:650, σκέψη 95).

18      Βλ. απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, σκέψη 41).

19      Πρβλ. Kotschy, W., «Article 77. Right to lodge a complaint with a supervisory authority», σε Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L. (επιμ.), The EU General Data Protection Regulation (GDPR), Οξφόρδη, 2020, σ. 1 127 έως 1 130.

20      Βλ. προτάσεις του γενικού εισαγγελέα J. Richard de la Tour στην υπόθεση Budapesti Elektromos Művek κ.λπ. (C‑132/21, EU:C:2022:661, σημεία 43 επ.).

21      Αποφάσεις της 11ης Νοεμβρίου 2020, DenizBank (C‑287/19, EU:C:2020:897, σκέψη 59), και της 24ης Φεβρουαρίου 2022, Glavna direktsia «Pozharna bezopasnost i zashtita na naselenieto» (C‑262/20, EU:C:2022:117, σκέψη 33).

22      Απόφαση της 11ης Δεκεμβρίου 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, σκέψη 32).

23      Απόφαση της 26ης Απριλίου 2022, Πολωνία κατά Κοινοβουλίου και Συμβουλίου (C‑401/19, EU:C:2022:297, σκέψη 47).

24      Αποφάσεις της 22ας Ιουνίου 2021, Latvijas Republikas Saeima (Βαθμοί ποινής) (C‑439/19, EU:C:2021:504, σκέψη 99), και της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, σκέψη 67).

25      Απόφαση της 17ης Ιουνίου 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, σκέψη 106).

26      Βλ., συναφώς, προτάσεις του γενικού εισαγγελέα Α. Ράντου στην υπόθεση Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου) (C‑252/21, EU:C:2022:704, σημείο 60).

27      Βλ. αποφάσεις της 4ης Μαΐου 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, σκέψη 30), και της 17ης Ιουνίου 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, σκέψη 110).

28      Αποφάσεις της 4ης Μαΐου 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, σκέψη 31), και της 17ης Ιουνίου 2021, M.I.C.M. (C‑597/19, EU:C:2021:492, σκέψη 111).

29      Γνώμη 06/2014 σχετικά με την έννοια των εννόμων συμφερόντων του υπευθύνου επεξεργασίας, σύμφωνα με το άρθρο 7 της οδηγίας 95/46/ΕΚ, WP 217 της 9ης Απριλίου 2014, τίτλος III.3.4 («Βασικοί παράγοντες που πρέπει να λαμβάνονται υπόψη κατά τη διενέργεια στάθμισης»).

30      Βλ. σημεία 61 έως 63 των παρουσών προτάσεων.

31      Αποφάσεις της 13ης Μαΐου 2014, Google Spain και Google (C‑131/12, EU:C:2014:317, σκέψεις 86 και 87), και της 11ης Δεκεμβρίου 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, σκέψη 57).

32      Απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, σκέψη 92).

33      Απόφαση της 11ης Δεκεμβρίου 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, σκέψη 57).

34      Απόφαση της 13ης Μαΐου 2014, Google Spain και Google (C‑131/12, EU:C:2014:317, σκέψη 98).

35      Βλ. απόφαση της 22ας Νοεμβρίου 2022, Luxembourg Business Registers (C‑37/20 και C‑601/20, EU:C:2022:912, σκέψεις 39 έως 42), με την οποία το Δικαστήριο έκρινε ότι η διάθεση στο ευρύτερο κοινό πληροφοριών σχετικά με τους πραγματικούς δικαιούχους των εταιριών και άλλων νομικών οντοτήτων συνιστά προσβολή των δικαιωμάτων που κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη. Με τη συλλογιστική του, το Δικαστήριο έλαβε υπόψη τον ευαίσθητο χαρακτήρα των επίμαχων δεδομένων προσωπικού χαρακτήρα, καθώς και το γεγονός ότι στις εν λόγω πληροφορίες είχε πρόσβαση δυνητικά απεριόριστος αριθμός προσώπων.

36      Κατά την επ’ ακροατηρίου συζήτηση, η SCHUFA αναφέρθηκε στο γεγονός ότι ορισμένα πρόσωπα θα καταστούν εκ νέου αφερέγγυα, στοιχείο που, κατά τη γνώμη της, δικαιολογεί περίοδο αποθήκευσης διάρκειας τριών ετών.

37      O Gutowski, M., «OLG Schleswig: Eintragung erfolgter Restschuldbefreiung in Datenbanken von Auskunfteien über die Löschungsfrist für das Insolvenzbekanntmachungsportal hinaus», Neue Zeitschrift für Insolvenz- und Sanierungsrecht, 18/2021, σ. 799, διατηρεί αμφιβολίες όσον αφορά τη σκοπιμότητα πρόβλεψης της αποθήκευσης των δεδομένων ενός προσώπου για διάστημα τριών ετών προκειμένου να εξακριβωθεί η οικονομική κατάστασή του.

38      Πρβλ. Heyer, H.-U., «Schein-Datenschutz», Zeitschrift für Verbraucher-, Privat- und Nachlassinsolvenz, 2019, σ. 46.

39      Βλ. σημείο 31 των παρουσών προτάσεων.

40      Βλ. απόφαση της 11ης Δεκεμβρίου 2019, Asociația de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, σκέψη 58).

41      Το επιχείρημα που προέβαλε η SCHUFA κατά την επ’ ακροατηρίου συζήτηση, ότι ο Γερμανός νομοθέτης δεν έλαβε οποιοδήποτε μέτρο για τη συντόμευση της τριετούς προθεσμίας που εφαρμόζει η εν λόγω ιδιωτική εταιρία, δεν αναιρεί την ως άνω διαπίστωση. Συγκεκριμένα, ενδέχεται να υπάρχουν διάφοροι λόγοι για τους οποίους το κράτος μέλος δεν έχει εξετάσει ακόμη το ζήτημα που ανάγεται στις παράλληλες βάσεις δεδομένων. Αντικείμενο των αιτήσεων προδικαστικής αποφάσεως που υπέβαλε το αιτούν δικαστήριο είναι ακριβώς να αναζητηθούν λύσεις για την προβληματική αυτή κατάσταση προκειμένου να δημιουργηθεί μια κατάσταση σύμφωνη προς τις απαιτήσεις του ΓΚΠΔ.

42      Βλ. σημείο 75 των παρουσών προτάσεων.

43      Ο Ehmann, E., «Bundesdatenschutzgesetz», σε Simitis, S., Hornung, G., Spiecker, I. (επιμ.), Datenschutzrecht – DSGVO mit BDSG, 8η έκδ., Baden-Baden, 2014, παράγραφος 29, σημείο192, εκτιμά ότι δεν υφίσταται πλέον έννομο συμφέρον για τη διάδοση των δεδομένων προσωπικού χαρακτήρα από βάση δεδομένων την οποία διαχειρίζεται ιδιωτική εταιρία όταν έχει παρέλθει η προθεσμία που προβλέπεται από την εθνική νομοθεσία για τη δημοσίευση των εν λόγω δεδομένων από δημόσιο μητρώο, καθότι άλλως ο σκοπός της νομοθεσίας θα ματαιωνόταν.

44      Βλ. απόφαση της 1ης Αυγούστου 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, σκέψη 93), από την οποία προκύπτει ότι η προϋπόθεση περί «αναγκαιότητας της επεξεργασίας» πρέπει να εξετάζεται από κοινού με τη λεγόμενη αρχή της «ελαχιστοποίησης των δεδομένων».

45      Dix, A., σε Simitis, S., Hornung, G., Spiecker, I. (επιμ.), Datenschutzrecht – DSGVO mit BDSG, Baden-Baden 2018, άρθρο 17, σημείο 14.

46      Βλ. σημείο 77 των παρουσών προτάσεων.

47      Ο Kranenborg, H., «Article 17. Right to erasure (“right to be forgotten”)», σε Kuner, C., Bygrave, L. A., Docksey, C., Drechsler, L. (επιμ.), The EU General Data Protection Regulation (GDPR), Οξφόρδη 2020 σ. 481, εκθέτει ότι το άρθρο 21, παράγραφος 1, του ΓΚΠΔ έχει ως αποτέλεσμα την αντιστροφή του βάρους απόδειξης και, επομένως, ο υπεύθυνος επεξεργασίας των δεδομένων, και όχι το υποκείμενο των δεδομένων, πρέπει να αποδείξει ότι συντρέχουν επιτακτικοί και νόμιμοι λόγοι που δικαιολογούν την επεξεργασία. Εάν ο υπεύθυνος επεξεργασίας δεν αντεπεξέλθει στο βάρος απόδειξης, τα επίμαχα δεδομένα πρέπει να διαγραφούν.

48      Εφιστάται η προσοχή στο γεγονός ότι στον επίμαχο κώδικα δεοντολογίας [Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien (κώδικας δεοντολογίας σχετικά με τις προθεσμίες ελέγχου και διαγραφής δεδομένων προσωπικού χαρακτήρα από τα γερμανικά ιδιωτικά γραφεία οικονομικών πληροφοριών), της 25ης Μαΐου 2018] επισημαίνεται ότι οι κανόνες του «δεν περιέχουν οποιαδήποτε ρύθμιση όσον αφορά την ουσιαστική δικαιολόγηση της αποθήκευσης των δεδομένων προσωπικού χαρακτήρα». Από τον εν λόγω κώδικα δεοντολογίας προκύπτει επίσης ότι «η ρύθμιση των περιόδων αποθήκευσης και διαγραφής δεν υποδηλώνει τη νομιμότητα της αποθήκευσης των δεδομένων. Οι ακόλουθες περίοδοι διαγραφής και αποθήκευσης ισχύουν ανεξαρτήτως του αν τα οικεία δεδομένα συλλέχθηκαν και αποθηκεύτηκαν βάσει του νόμου ή βάσει συγκατάθεσης» (η υπογράμμιση δική μου). Κατά τη γνώμη μου, τούτο καταδεικνύει ότι οι συντάκτες του πρέπει να είχαν επίγνωση του γεγονότος ότι ο εν λόγω κώδικας δεοντολογίας δεν συνιστά νομική βάση δυνάμενη να δικαιολογήσει την επεξεργασία των δεδομένων.

49      Βλ. σημείο 59 των παρουσών προτάσεων.

50      Βλ. σημείο 77 των παρουσών προτάσεων.