Rozsudek Soudního dvora (prvního senátu) ze dne 7. prosince 2023 (žádost o rozhodnutí o předběžné otázce, kterou podal Verwaltungsgericht Wiesbaden – Německo) – UF (C-26/22), AB (C-64/22) v. Land Hessen

[Spojené věci C-26/22 a C-64/22 (1), SCHUFA Holding (Oddlužení)]

(„Řízení o předběžné otázce - Ochrana fyzických osob v souvislosti se zpracováním osobních údajů - Nařízení (EU) 2016/679 - Článek 5 odst. 1 písm. a) až c) - Zásada ‚zákonnosti‘ - Článek 6 odst. 1 první pododstavec písm. f) - Nezbytnost zpracování pro účely oprávněných zájmů správce nebo třetí strany - Článek 17 odst. 1 písm. d) - Právo na výmaz v případě protiprávního zpracování osobních údajů - Článek 40 - Kodexy chování - Článek 78 odst. 1 - Právo na účinnou soudní ochranu vůči dozorovému úřadu - Rozhodnutí dozorového úřadu o stížnosti - Rozsah soudního přezkumu tohoto rozhodnutí - Společnosti poskytující obchodní informace - Uložení údajů pocházejících z veřejného rejstříku týkajících se oddlužení určité osoby - Doba uložení“)

(C/2024/917)

Jednací jazyk: němčina

Předkládající soud

Verwaltungsgericht Wiesbaden

Účastníci původních řízení

Žalobci: UF (C-26/22), AB (C-64/22)

Žalovaná: Land Hessen

za účasti: SCHUFA Holding AG

Výrok

Článek 78 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

musí být vykládán v tom smyslu, že

rozhodnutí o stížnosti vydané dozorovým úřadem podléhá soudnímu přezkumu v plné jurisdikci.

Článek 5 odst. 1 písm. a) nařízení 2016/679 ve spojení s čl. 6 odst. 1 prvním pododstavcem písm. f) tohoto nařízení

musí být vykládán v tom smyslu, že

brání praxi soukromých společností poskytujících obchodní informace, která spočívá v tom, že tyto společnosti ve svých vlastních databázích uchovávají informace pocházející z veřejného rejstříku, které se týkají schválení oddlužení fyzických osob, aby mohly informace o úvěruschopnosti těchto osob poskytovat po dobu, která je delší než doba, po kterou jsou tyto údaje uloženy ve veřejném rejstříku.

Článek 17 odst. 1 písm. c) nařízení 2016/679

musí být vykládán v tom smyslu, že

subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, pokud proti tomuto zpracování vznese námitku podle čl. 21 odst. 1 tohoto nařízení a pokud neexistují závažné oprávněné důvody, které by výjimečně mohly dotčené zpracování odůvodnit.

4)	Článek 17 odst. 1 písm. d) nařízení 2016/679 musí být vykládán v tom smyslu, že správce je povinen bez zbytečného odkladu vymazat osobní údaje, které byly zpracovány protiprávně.

(1) Úř. věst. C 148, 4. 4. 2022.