Sag C-634/21

OQ

mod

Land Hessen

(anmodning om præjudiciel afgørelse indgivet af Verwaltungsgericht Wiesbaden)

Domstolens dom (Første Afdeling) af 7. december 2023

»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 22 – automatiske individuelle afgørelser – kreditoplysningsbureauer – automatisk fastsættelse af en sandsynlighedsværdi vedrørende en persons evne til at opfylde sine betalingsforpligtelser i fremtiden (»scoring«) – tredjemænds anvendelse af denne sandsynlighedsværdi«

1. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – retsmidler – retsmiddel til prøvelse af en klageafgørelse truffet af en tilsynsmyndighed – domstolsprøvelse – omfang – grænser – foreligger ikke

   (Europa-Parlamentets og Rådets forordning 2016/679, art. 78, stk. 1)

   (jf. præmis 34)

2. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling – automatisk individuel afgørelse – begreb – et kreditoplysningsbureaus automatiske fastsættelse af en sandsynlighedsværdi for en persons kreditværdighed, som anvendes af tredjemænd – omfattet – betingelser

   [Europa-Parlamentets og Rådets forordning 2016/679, 71. betragtning, art. 4, nr. 4), og art. 22, stk. 1]

   (jf. præmis 43, 46-50, 60-63 og 73 samt domskonkl.)

3. Beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning 2016/679 – den registreredes ret til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling – undtagelser – vedtagelse af en afgørelse, der alene er baseret på automatisk behandling, når en sådan afgørelse er hjemlet i en medlemsstats nationale ret – forpligtelse til at overholde de betingelser og krav, der er fastsat i den nævnte forordning – efterprøvelse påhviler den nationale ret

   (Europa-Parlamentets og Rådets forordning 2016/679, 71. betragtning, art. 5 og 6, og art. 22, stk. 2-4)

   (jf. præmis 53-55, 64, 67-70 og 72)

Resumé

SCHUFA Holding AG er et privat tysk selskab, der leverer oplysninger om personers kreditværdighed til sine aftalepartnere. I denne forbindelse tildeler det hver af de pågældende personer en værdi (»score«), som det beregner ud fra visse kendetegn for denne person og på grundlag af matematiske og statistiske procedurer. Fastsættelsen af scorer tjener til at forudsige en persons fremtidige adfærd, f.eks. i forhold til tilbagebetaling af et lån, ved at henføre den pågældende person til en gruppe af andre personer med sammenlignelige karakteristika.

Efter negative oplysninger om OQ, der var blevet fastlagt af SCHUFA og videregivet til et kreditinstitut, nægtede dette at yde hende et lån. OQ anmodede SCHUFA om indsigt i sine oplysningerne og om at slette de angiveligt forkerte oplysninger. SCHUFA sendte hende imidlertid kun hendes scoring og generelle oplysninger om metoden til beregning af scorer, idet selskabet i øvrigt henviste til forretningshemmeligheden.

OQ indgav herefter en klage over SCHUFA til HBDI ( 1 ) – den tyske tilsynsmyndighed – som denne afslog med den begrundelse, at SCHUFA’s aktivitet var i overensstemmelse med tysk lovgivning om brug af sandsynlighedsværdier vedrørende kreditværdighed ( 2 ).

OQ anlagde sag til prøvelse af HDBI’s afgørelse ved Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland), som anmodede Domstolen om en fortolkning af bestemmelserne i databeskyttelsesforordningen ( 3 ) om retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering ( 4 ).

Domstolen fortolkede i dommen for første gang databeskyttelsesforordningens bestemmelser på det følsomme område, som afgørelser, der alene er baseret på automatisk databehandling, er. I denne forbindelse tog den stilling til spørgsmålet om, hvorvidt et kreditoplysningsbureaus automatiske fastsættelse af en sandsynlighedsværdi for en persons kreditværdighed udgør en automatisk individuel afgørelse og således er omfattet af anvendelsesområdet for disse bestemmelser.

Domstolens bemærkninger

Domstolen fastslog indledningsvis, at de tre kumulative betingelser for, at databeskyttelsesforordningens bestemmelser om retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, herunder profilering, kan finde anvendelse, var opfyldt i det foreliggende tilfælde.

Hvad angår den første betingelse, nemlig at der foreligger en afgørelse, præciserede Domstolen, at begrebet »afgørelse« har en bred betydning og kan omfatte resultatet af beregningen af en persons kreditværdighed i form af en sandsynlighedsværdi vedrørende denne persons evne til at opfylde betalingsforpligtelser i fremtiden.

Med hensyn til den anden betingelse, nemlig at afgørelsen »alene er baseret på automatisk behandling, herunder profilering«, stod det ifølge Domstolen fast, at den aktivitet, som den omhandlede virksomhed udøver, opfylder definitionen af »profilering« ( 5 ), og at denne betingelse derfor var opfyldt i det foreliggende tilfælde. I øvrigt havde den forelæggende ret udtrykkeligt nævnt, at der var tale om automatisk fastsættelse af en sandsynlighedsværdi på grundlag af personoplysninger om en person og vedrørende dennes evne til at tilbagebetale et lån i fremtiden.

Hvad angår den tredje betingelse, nemlig at afgørelsen har »retsvirkninger« for den registrerede eller »på tilsvarende vis betydeligt« påvirker den pågældende, bemærkede Domstolen, at den handling, der blev foretaget af den tredjepart, til hvem sandsynlighedsværdien blev overført, i det foreliggende tilfælde på »afgørende« vis blev påvirket af denne værdi. En utilstrækkelig sandsynlighedsværdi medførte nemlig i næsten alle tilfælde, at ydelse af lån blev afslået. Denne værdi påvirkede således i det mindste den registrerede betydeligt.

Domstolen konkluderede på dette grundlag, at såfremt den sandsynlighedsværdi, der er fastsat af et kreditoplysningsbureau og videregivet til en bank, spiller en afgørende rolle i forbindelse med ydelsen af en kredit, skal fastsættelsen af denne værdi i sig selv kvalificeres som en afgørelse, der i forhold til en registreret har »retsvirkning eller på tilsvarende vis betydeligt påvirker den pågældende« ( 6 ).

Domstolen fremhævede herefter, at denne fortolkning, og navnlig den vide rækkevidde af begrebet »afgørelse«, styrker den effektive beskyttelse, der er tilsigtet med databeskyttelsesforordningen. Derimod ville en restriktiv fortolkning, hvorefter fastsættelsen af sandsynlighedsværdien alene skal anses for at være en forberedende retsakt, og kun den retsakt, der vedtages af tredjeparten, efter omstændighederne kan kvalificeres som en »afgørelse«, medføre en lakune i retsbeskyttelsen. I dette tilfælde ville fastsættelsen af en sådan værdi nemlig ikke være omfattet af de specifikke krav, der er fastsat i databeskyttelsesforordningen ( 7 ), selv om denne procedure er baseret på en automatisk behandling og har virkninger, der betydeligt påvirker den registrerede, for så vidt som den handling, der foretages af den tredjepart, til hvem sandsynlighedsværdien overføres, på afgørende vis påvirkes af denne.

Desuden vil den registrerede for det første ikke kunne påberåbe sig sin ret til indsigt i de specifikke oplysninger ( 8 ) over for det kreditoplysningsbureau, der fastsætter sandsynlighedsværdien vedrørende den pågældende, da dette bureau ikke har truffet en automatisk afgørelse. Selv hvis det antages, at den retsakt, der vedtages af tredjeparten, for sin del er omfattet af databeskyttelsesforordningens bestemmelser om retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, vil denne tredjepart for det andet ikke være i stand til at stille disse specifikke oplysninger til rådighed, da den sædvanligvis ikke har dem.

Endelig bemærkede Domstolen, at den omstændighed, at fastsættelsen af en sandsynlighedsværdi er omfattet af databeskyttelsesforordningens bestemmelser om retten til ikke at være genstand for en afgørelse, der alene er baseret på automatisk behandling, har til følge, at den er forbudt, medmindre en af undtagelserne finder anvendelse, og de specifikke krav, der er fastsat i databeskyttelsesforordningen, er overholdt.

Desuden skal enhver behandling af personoplysninger dels foregå i overensstemmelse med de principper for behandling af oplysninger, der er fastsat i databeskyttelsesforordningen, dels for så vidt angår særligt princippet om behandlingens lovlighed svare til en af betingelserne for lovlig behandling.

I denne sammenhæng bemærkede Domstolen, at den forelæggende ret havde henvist til undtagelsen om, at vedtagelse af en afgørelse, der alene er baseret på automatisk behandling, kan være tilladt, når dette er hjemlet i medlemsstatens nationale ret. Domstolen præciserede i denne henseende, at det påhvilede den forelæggende ret at efterprøve, om den nationale lovgivning om brug af sandsynlighedsværdier vedrørende kreditværdighed kan kvalificeres som et retsgrundlag, der hjemler mulighed for at vedtage en sådan afgørelse, og om de betingelser, der er knyttet til denne undtagelse, og betingelserne vedrørende principperne for behandling, var opfyldt i det foreliggende tilfælde.

( 1 ) – Hessischer Beauftragter für Datenschutz und Informationsfreiheit (delstaten Hessens ansvarlige for databeskyttelse og informationsfrihed, Tyskland).

( 2 ) – § 31 i Bundesdatenschutzgesetz (forbundslov om databeskyttelse) af 30.6.2017 (BGBl. I, s. 2097).

( 3 ) – Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27.4.2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, berigtiget i EUT 2018, L 127, s. 2, herefter »databeskyttelsesforordningen«).

( 4 ) – Databeskyttelsesforordningens artikel 22.

( 5 ) – Som omhandlet i databeskyttelsesforordningens artikel 4, nr. 4).

( 6 ) – Som omhandlet i databeskyttelsesforordningens artikel 22, stk. 1.

( 7 ) – Omhandlet i databeskyttelsesforordningens artikel 22, stk. 2-4. Det fremgår af disse bestemmelser, at der til forbuddet mod individuelle afgørelser, der alene er baseret på automatisk behandling, er knyttet tre undtagelser, ledsaget af supplerende garantier. En sådan afgørelse er således tilladt, hvis den er nødvendig for indgåelse eller opfyldelse af en kontrakt mellem den registrerede og en dataansvarlig, hvis den er hjemlet i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, eller hvis den er baseret på den registreredes udtrykkelige samtykke, på betingelse af at der er indført passende foranstaltninger til beskyttelse af den registreredes rettigheder og frihedsrettigheder samt legitime interesser.

( 8 ) – Omhandlet i databeskyttelsesforordningens artikel 15, stk. 1, litra h), der giver den registrerede en udvidet indsigtsret, når der er truffet en automatisk afgørelse.