–

ο UF και ο AB, εκπροσωπούμενοι από τους R. Rohrmoser και S. Tintemann, Rechtsanwälte,

–

το Land Hessen, εκπροσωπούμενο από τους M. Kottmann και G. Ziegenhorn, Rechtsanwälte,

–

η SCHUFA Holding AG, εκπροσωπούμενη από τον G. Thüsing και τον U. Wuermeling, Rechtsanwalt,

–

η Γερμανική Κυβέρνηση, εκπροσωπούμενη από τους J. Möller και P.‑L. Krüger,

–

η Πορτογαλική Κυβέρνηση, εκπροσωπούμενη από τις P. Barros da Costa, M. J. Ramos και C. Vieira Guerra,

–

η Ευρωπαϊκή Επιτροπή, εκπροσωπούμενη από τους A. Μπουχάγιαρ, F. Erlbacher, H. Kranenborg και W. Wils,

1

Οι αιτήσεις προδικαστικής αποφάσεως αφορούν την ερμηνεία των άρθρων 7 και 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης (στο εξής: Χάρτης) καθώς και του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του άρθρου 17, παράγραφος 1, στοιχείο δʹ, του άρθρου 40, του άρθρου 77, παράγραφος 1, και του άρθρου 78, παράγραφος 1, του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1) (στο εξής:).

2

Οι αιτήσεις αυτές υποβλήθηκαν στο πλαίσιο δύο ένδικων διαφορών μεταξύ, αφενός, του UF (υπόθεση C‑26/22) και του AB (υπόθεση C‑64/22) και, αφετέρου, του Land Hessen (ομόσπονδου κράτους της Έσσης, Γερμανία) με αντικείμενο την άρνηση του Hessischer Beauftragter für Datenschutz und Informationsfreiheit (επιτρόπου προστασίας δεδομένων και ελευθερίας πληροφόρησης του ομόσπονδου κράτους της Έσσης, στο εξής: HBDI) να υποχρεώσει τη SCHUFA Holding AG (στο εξής: SCHUFA) να διαγράψει τα αποθηκευμένα από την ίδια δεδομένα σχετικά με την πτωχευτική απαλλαγή τόσο του UF όσο και του AB.

3

Κατά τις αιτιολογικές σκέψεις 26 και 28 της οδηγίας 2008/48/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 23ης Απριλίου 2008, για τις συμβάσεις καταναλωτικής πίστης και την κατάργηση της οδηγίας 87/102/ΕΟΚ του Συμβουλίου (ΕΕ 2008, L 133, σ. 66):

[…]

4

Το άρθρο 8 της οδηγίας αυτής, το οποίο φέρει τον τίτλο «Υποχρέωση εκτίμησης της πιστοληπτικής ικανότητας του καταναλωτή», προβλέπει στην παράγραφο 1 τα ακόλουθα:

«Τα κράτη μέλη διασφαλίζουν ότι, πριν από τη σύναψη της σύμβασης πίστωσης, ο πιστωτικός φορέας εκτιμά την πιστοληπτική ικανότητα του καταναλωτή, βάσει επαρκών στοιχείων που λαμβάνονται κατά περίπτωση από τον καταναλωτή και, εν ανάγκη, κατόπιν έρευνας στην κατάλληλη βάση δεδομένων. Τα κράτη μέλη η νομοθεσία των οποίων απαιτεί από τους πιστωτικούς φορείς να αξιολογούν την πιστοληπτική ικανότητα των καταναλωτών, κατόπιν έρευνας στην κατάλληλη βάση δεδομένων, μπορούν να διατηρήσουν την απαίτηση αυτή.»

5

Οι αιτιολογικές σκέψεις 55 και 59 της οδηγίας 2014/17/ΕΕ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 4ης Φεβρουαρίου 2014, σχετικά με τις συμβάσεις πίστωσης για καταναλωτές για ακίνητα που προορίζονται για κατοικία και την τροποποίηση των οδηγιών 2008/48/ΕΚ και 2013/36/ΕΕ και του κανονισμού (ΕΕ) αριθ. 1093/2010 (ΕΕ 2014, L 60, σ. 34), έχουν ως εξής:

[…]

6

Το άρθρο 18 της οδηγίας αυτής, το οποίο φέρει τον τίτλο «Υποχρέωση αξιολόγησης της πιστοληπτικής ικανότητας του καταναλωτή», ορίζει στην παράγραφο 1 τα ακόλουθα:

«Τα κράτη μέλη εξασφαλίζουν ότι, πριν από τη σύναψη της σύμβασης πίστωσης, οι πιστωτικοί φορείς πραγματοποιούν ενδελεχή αξιολόγηση της πιστοληπτικής ικανότητας του καταναλωτή. Η αξιολόγηση αυτή λαμβάνει δεόντως υπόψη παράγοντες που επιτρέπουν την εξακρίβωση της προοπτικής του καταναλωτή να τηρήσει τις υποχρεώσεις του στο πλαίσιο της σύμβασης πίστωσης.»

7

Το άρθρο 21 της εν λόγω οδηγίας, το οποίο φέρει τον τίτλο «Πρόσβαση σε βάσεις δεδομένων», προβλέπει στις παραγράφους 1 και 2 τα εξής:

«1.   Κάθε κράτος μέλος διασφαλίζει πρόσβαση όλων των πιστωτικών φορέων από όλα τα κράτη μέλη σε βάσεις δεδομένων που χρησιμοποιούνται σε αυτό το κράτος μέλος για την αξιολόγηση της πιστοληπτικής ικανότητας των καταναλωτών και με μοναδικό σκοπό την παρακολούθηση της συμμόρφωσης των καταναλωτών προς τις πιστωτικές υποχρεώσεις καθ’ όλη τη διάρκεια της σύμβασης πίστωσης. Οι όροι της πρόσβασης αυτής δεν εισάγουν διακρίσεις.

2.   Η παράγραφος 1 εφαρμόζεται τόσο στις βάσεις δεδομένων τις οποίες διαχειρίζονται ιδιωτικά πιστωτικά γραφεία ή υπηρεσίες πληροφοριών πιστοληπτικής ικανότητας όσο και στα δημόσια μητρώα.»

8

Κατά την αιτιολογική σκέψη 76 του κανονισμού (ΕΕ) 2015/848 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 20ής Μαΐου 2015, περί των διαδικασιών αφερεγγυότητας (ΕΕ 2015, L 141, σ. 19):

«Προκειμένου να βελτιωθεί η ενημέρωση των οικείων πιστωτών και δικαστηρίων και να αποτραπεί η έναρξη παράλληλων διαδικασιών αφερεγγυότητας, τα κράτη μέλη θα πρέπει να υποχρεούνται να δημοσιεύουν τις σχετικές πληροφορίες που αφορούν διασυνοριακές διαδικασίες αφερεγγυότητας σε δημόσια προσπελάσιμο ηλεκτρονικό μητρώο. Για να διευκολυνθεί η πρόσβαση πιστωτών και δικαστηρίων άλλων κρατών μελών σε αυτές τις πληροφορίες, ο παρών κανονισμός θα πρέπει να προβλέπει τη διασύνδεση των μητρώων αφερεγγυότητας μέσω της διαδικτυακής πύλης της ευρωπαϊκής ηλεκτρονικής δικαιοσύνης. […]»

9

Το άρθρο 79 του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Αρμοδιότητες των κρατών μελών σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα στα εθνικά μητρώα αφερεγγυότητας», προβλέπει στις παραγράφους 4 και 5 τα ακόλουθα:

«4.   Τα κράτη μέλη είναι υπεύθυνα, σύμφωνα με την οδηγία 95/46/ΕΚ [του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31)], για τη συλλογή και την αποθήκευση δεδομένων σε εθνικές βάσεις δεδομένων και για τις αποφάσεις που λαμβάνονται ώστε να καταστούν τα δεδομένα αυτά διαθέσιμα στο διασυνδεδεμένο μητρώο που μπορεί να χρησιμοποιηθεί μέσω της διαδικτυακής πύλης της ευρωπαϊκής ηλεκτρονικής δικαιοσύνης.

5.   Στο πλαίσιο της πληροφόρησης που πρέπει να παρέχεται στα πρόσωπα στα οποία αναφέρονται τα δεδομένα ώστε να μπορούν να ασκήσουν τα δικαιώματά τους, και ιδίως το δικαίωμα διαγραφής των δεδομένων, τα κράτη μέλη ενημερώνουν τα πρόσωπα στα οποία αναφέρονται τα δεδομένα σχετικά με την περίοδο προσβασιμότητας που ισχύει για τα δεδομένα προσωπικού χαρακτήρα που αποθηκεύονται στα μητρώα αφερεγγυότητας.»

10

Κατά τις αιτιολογικές σκέψεις 10, 11, 47, 50, 98, 141 και 143 του ΓΚΠΔ:

[…]

[…]

[…]

[…]

[…]

11

Το άρθρο 5 του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Αρχές που διέπουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα», ορίζει τα ακόλουθα:

«1.   Τα δεδομένα προσωπικού χαρακτήρα:

[…]

[…]

2.   Ο υπεύθυνος επεξεργασίας φέρει την ευθύνη και είναι σε θέση να αποδείξει τη συμμόρφωση με την παράγραφο 1 (“λογοδοσία”).»

12

Το άρθρο 6 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Νομιμότητα της επεξεργασίας», έχει ως εξής:

«1.   Η επεξεργασία είναι σύννομη μόνο εάν και εφόσον ισχύει τουλάχιστον μία από τις ακόλουθες προϋποθέσεις:

[…]

[…]

4.   Όταν η επεξεργασία για σκοπό άλλο από αυτόν για τον οποίο έχουν συλλεγεί τα δεδομένα προσωπικού χαρακτήρα δεν βασίζεται στη συγκατάθεση του υποκειμένου των δεδομένων ή στο δίκαιο της Ένωσης ή το δίκαιο κράτους μέλους το οποίο αποτελεί αναγκαίο και αναλογικό μέτρο σε μια δημοκρατική κοινωνία για τη διασφάλιση των σκοπών που αναφέρονται στο άρθρο 23 παράγραφος 1, ο υπεύθυνος επεξεργασίας, προκειμένου να εξακριβωθεί κατά πόσο η επεξεργασία για άλλο σκοπό είναι συμβατή με τον σκοπό για τον οποίο συλλέγονται αρχικώς τα δεδομένα προσωπικού χαρακτήρα, λαμβάνει υπόψη, μεταξύ άλλων:

13

Το άρθρο 17 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα διαγραφής (“δικαίωμα στη λήθη”)», προβλέπει στην παράγραφο 1 τα ακόλουθα:

«Το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη διαγραφή δεδομένων προσωπικού χαρακτήρα που το αφορούν χωρίς αδικαιολόγητη καθυστέρηση και ο υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, εάν ισχύει ένας από τους ακόλουθους λόγους:

[…]

[…]».

14

Το άρθρο 21 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα εναντίωσης», ορίζει στις παραγράφους 1 και 2 τα εξής:

«1.   Το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν, η οποία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο ε) ή στ), περιλαμβανομένης της κατάρτισης προφίλ βάσει των εν λόγω διατάξεων. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν ο υπεύθυνος επεξεργασίας καταδείξει επιτακτικούς και νόμιμους λόγους για την επεξεργασία οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.

2.   Εάν δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία για σκοπούς απευθείας εμπορικής προώθησης, το υποκείμενο των δεδομένων δικαιούται να αντιταχθεί ανά πάσα στιγμή στην επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορούν για την εν λόγω εμπορική προώθηση, περιλαμβανομένης της κατάρτισης προφίλ, εάν σχετίζεται με αυτήν την απευθείας εμπορική προώθηση.»

15

Το άρθρο 40 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Κώδικες δεοντολογίας», προβλέπει στις παραγράφους 1, 2 και 5 τα ακόλουθα:

«1.   Τα κράτη μέλη, οι εποπτικές αρχές, το Συμβούλιο Προστασίας Δεδομένων και η [Ευρωπαϊκή] Επιτροπή ενθαρρύνουν την εκπόνηση κωδίκων δεοντολογίας που έχουν ως στόχο να συμβάλουν στην ορθή εφαρμογή του παρόντος κανονισμού, λαμβάνοντας υπόψη τα ειδικά χαρακτηριστικά των διάφορων τομέων επεξεργασίας και τις ειδικές ανάγκες των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων.

2.   Ενώσεις και άλλοι φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία μπορούν να εκπονούν κώδικες δεοντολογίας ή να τροποποιούν ή να επεκτείνουν υφιστάμενους κώδικες δεοντολογίας, προκειμένου να προσδιορίσουν την εφαρμογή του παρόντος κανονισμού, όπως όσον αφορά:

[…]

5.   Ενώσεις και άλλοι φορείς που αναφέρονται στην παράγραφο 2 του παρόντος άρθρου και προτίθενται να εκπονήσουν κώδικα δεοντολογίας ή να τροποποιήσουν ή να επεκτείνουν υφιστάμενο κώδικα υποβάλλουν το σχέδιο κώδικα[, την τροποποίηση ή την επέκταση] στην εποπτική αρχή που είναι αρμόδια σύμφωνα με το άρθρο 55. Η εποπτική αρχή γνωμοδοτεί ως προς τη συμμόρφωση του σχεδίου κώδικα, της τροποποίησης ή της επέκτασης προς τον παρόντα κανονισμό και εγκρίνει το εν λόγω σχέδιο κώδικα, τροποποίηση ή επέκταση, εάν κρίνει ότι παρέχει επαρκείς κατάλληλες εγγυήσεις.»

16

Το άρθρο 51 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Εποπτική αρχή», ορίζει στην παράγραφο 1 τα εξής:

«Κάθε κράτος μέλος διασφαλίζει ότι μία ή περισσότερες ανεξάρτητες δημόσιες αρχές επιφορτίζονται με την παρακολούθηση της εφαρμογής του παρόντος κανονισμού, με σκοπό την προστασία των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων έναντι της [επεξεργασίας] και τη διευκόλυνση της ελεύθερης κυκλοφορίας δεδομένων προσωπικού χαρακτήρα στην Ένωση (“εποπτική αρχή”).»

17

Το άρθρο 52 του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Ανεξαρτησία», προβλέπει στις παραγράφους 1, 2 και 4 τα ακόλουθα:

«1.   Κάθε εποπτική αρχή εκτελεί τα καθήκοντά της και ασκεί τις εξουσίες της σύμφωνα με τον παρόντα κανονισμό με πλήρη ανεξαρτησία.

2.   Το μέλος ή τα μέλη κάθε εποπτικής αρχής εκτελούν τα καθήκοντά τους και ασκούν τις εξουσίες τους σύμφωνα με τον παρόντα κανονισμό χωρίς εξωτερικές επιρροές, είτε άμεσες είτε έμμεσες, και δεν ζητούν ούτε λαμβάνουν οδηγίες από κανέναν.

[…]

4.   Κάθε κράτος μέλος διασφαλίζει ότι κάθε εποπτική αρχή διαθέτει τους απαραίτητους ανθρώπινους, τεχνικούς και οικονομικούς πόρους και τις αναγκαίες εγκαταστάσεις και υποδομές για την αποτελεσματική εκτέλεση των καθηκόντων και άσκηση των εξουσιών της, συμπεριλαμβανομένων εκείνων που ασκούνται στο πλαίσιο της αμοιβαίας συνδρομής, της συνεργασίας και της συμμετοχής στο Συμβούλιο Προστασίας Δεδομένων.»

18

Το άρθρο 57 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Καθήκοντα», ορίζει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη των άλλων καθηκόντων που ορίζονται στον παρόντα κανονισμό, κάθε εποπτική αρχή στο έδαφός της:

[…]

[…]».

19

Το άρθρο 58 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Εξουσίες», απαριθμεί, στην παράγραφο 1, τις εξουσίες έρευνας που διαθέτει κάθε αρχή ελέγχου και, στην παράγραφο 2, τις διορθωτικές εξουσίες της.

20

Το άρθρο 77 του κανονισμού αυτού, το οποίο φέρει τον τίτλο «Δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή», έχει ως εξής:

«1.   Με την επιφύλαξη τυχόν άλλων διοικητικών ή δικαστικών προσφυγών, κάθε υποκείμενο των δεδομένων έχει το δικαίωμα να υποβάλει καταγγελία σε εποπτική αρχή, ιδίως στο κράτος μέλος στο οποίο έχει τη συνήθη διαμονή του ή τον τόπο εργασίας του ή τον τόπο της εικαζόμενης παράβασης, εάν το υποκείμενο των δεδομένων θεωρεί ότι η επεξεργασία των δεδομένων προσωπικού χαρακτήρα που το αφορά παραβαίνει τον παρόντα κανονισμό.

2.   Η εποπτική αρχή στην οποία έχει υποβληθεί καταγγελία ενημερώνει τον καταγγέλλοντα για την πρόοδο και για την έκβαση της καταγγελίας, καθώς και για τη δυνατότητα άσκησης δικαστικής προσφυγής σύμφωνα με το άρθρο 78.»

21

Το άρθρο 78 του εν λόγω κανονισμού, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά αρχής ελέγχου», προβλέπει στις παραγράφους 1 και 2 τα ακόλουθα:

«1.   Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.

2.   Με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής, εφόσον η εποπτική αρχή που είναι αρμόδια δυνάμει των άρθρων 55 και 56 δεν εξετάσει την καταγγελία ή δεν ενημερώσει το υποκείμενο των δεδομένων εντός τριών μηνών για την πρόοδο ή την έκβαση της καταγγελίας που υποβλήθηκε δυνάμει του άρθρου 77.»

22

Το άρθρο 79 του ΓΚΠΔ, το οποίο φέρει τον τίτλο «Δικαίωμα πραγματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία», προβλέπει στην παράγραφο 1 τα εξής:

«Με την επιφύλαξη κάθε διαθέσιμης διοικητικής ή μη δικαστικής προσφυγής, συμπεριλαμβανομένου του δικαιώματος υποβολής καταγγελίας σε εποπτική αρχή δυνάμει του άρθρου 77, έκαστο υποκείμενο των δεδομένων έχει δικαίωμα πραγματικής δικαστικής προσφυγής εάν θεωρεί ότι τα δικαιώματά του που απορρέουν από τον παρόντα κανονισμό παραβιάστηκαν ως αποτέλεσμα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα του που το αφορούν κατά παράβαση του παρόντος κανονισμού.»

23

Κατά το άρθρο 9, παράγραφος 1, του Insolvenzordnung (κώδικα αφερεγγυότητας), της 5ης Οκτωβρίου 1994 (BGBl. 1994 I, p. 2866), όπως ίσχυε κατά τον χρόνο των πραγματικών περιστατικών της διαφοράς της κύριας δίκης:

«Η δημόσια ανακοίνωση γίνεται μέσω κεντρικής και υπερβαίνουσας τα όρια του ομόσπονδου κράτους δημοσιεύσεως στο διαδίκτυο· μπορεί να είναι και αποσπασματική. Ο οφειλέτης πρέπει να προσδιορίζεται επακριβώς, πρέπει δε ιδίως να αναγράφονται η διεύθυνση και ο κλάδος δραστηριότητάς του. Η ανακοίνωση θεωρείται ότι έχει γίνει μόλις παρέλθουν δύο επιπλέον ημέρες από την ημερομηνία της δημοσιεύσεως.»

24

Το άρθρο 3 του Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (κανονιστικής πράξης περί των δημόσιων ανακοινώσεων στο διαδίκτυο στο πλαίσιο των διαδικασιών αφερεγγυότητας), της 12ης Φεβρουαρίου 2002 (BGBl. I, σ. 677, στο εξής: InsoBekV), προβλέπει στις παραγράφους 1 και 2 τα ακόλουθα:

«(1)   Η δημοσίευση δεδομένων διαδικασίας αφερεγγυότητας, συμπεριλαμβανομένης της κινήσεως της διαδικασίας, που έχει γίνει σε ηλεκτρονικό σύστημα ενημερώσεως και επικοινωνίας διαγράφεται το αργότερο έξι μήνες μετά την κατάργηση ή την τελεσίδικη περάτωση της εν λόγω διαδικασίας. Αν η διαδικασία δεν έχει αρχίσει, η προθεσμία τρέχει από την άρση των δημοσιευθέντων συντηρητικών μέτρων.

(2)   Για τις δημοσιεύσεις στο πλαίσιο της διαδικασίας χορηγήσεως πτωχευτικής απαλλαγής, συμπεριλαμβανομένης της διατάξεως δικαστηρίου την οποία προβλέπει το άρθρο 289 του κώδικα αφερεγγυότητας, ισχύει η παράγραφος 1, πρώτη περίοδος, με την επισήμανση ότι η προθεσμία αρχίζει να τρέχει αφότου η απόφαση περί της πτωχευτικής απαλλαγής καταστεί τελεσίδικη.»

25

Στο πλαίσιο διαδικασιών αφερεγγυότητας που κινήθηκαν εις βάρος τους, ο UF και ο AB έτυχαν πρόωρης πτωχευτικής απαλλαγής δυνάμει δικαστικών αποφάσεων που εκδόθηκαν στις 17 Δεκεμβρίου 2020 και στις 23 Μαρτίου 2021 αντιστοίχως. Σύμφωνα με το άρθρο 9, παράγραφος 1, του Insolvenzordnung και το άρθρο 3, παράγραφοι 1 και 2, της InsoBekV, η επίσημη δημοσίευση στο διαδίκτυο των αποφάσεων αυτών διεγράφη μετά την παρέλευση χρονικού διαστήματος έξι μηνών από την έκδοση των αποφάσεων.

26

Η SCHUFA είναι ιδιωτικό γραφείο οικονομικών πληροφοριών, το οποίο εγγράφει και αποθηκεύει, στις δικές του βάσεις δεδομένων, πληροφορίες προερχόμενες από δημόσια μητρώα, μεταξύ άλλων δε πληροφορίες που αφορούν πτωχευτικές απαλλαγές. Διαγράφει τις πληροφορίες αυτές κατά την παρέλευση χρονικού διαστήματος τριών ετών από την εγγραφή, συμμορφούμενη προς τον κώδικα δεοντολογίας ο οποίος καταρτίστηκε στη Γερμανία από την ένωση στην οποία ανήκουν τα γραφεία οικονομικών πληροφοριών και εγκρίθηκε από την αρμόδια εποπτική αρχή.

27

O UF και o AB απευθύνθηκαν στη SCHUFA ζητώντας της τη διαγραφή των εγγραφών σχετικά με τις αποφάσεις πτωχευτικής απαλλαγής που είχαν εκδοθεί υπέρ αυτών. Η εταιρία απέρριψε τα αιτήματά τους, αφού προηγουμένως διευκρίνισε ότι η δραστηριότητά της ήταν σύμφωνη προς τον ΓΚΠΔ και ότι δεν είχε εφαρμογή επί της ίδιας το χρονικό διάστημα των έξι μηνών που προβλέπει το άρθρο 3, παράγραφος 1, του InsoBekV για τη διαγραφή.

28

Τόσο ο UF όσο και ο AB υπέβαλαν καταγγελία ενώπιον του HBDI ως αρμόδιας εποπτικής αρχής.

29

Με αποφάσεις που εξέδωσε, αντιστοίχως, την 1η Μαρτίου 2021 και την 9η Ιουλίου 2021, ο HBDI έκρινε σύννομη την επεξεργασία των δεδομένων στην οποία είχε προβεί η SCHUFA.

30

Τόσο ο UF όσο και ο AB άσκησαν ένδικη προσφυγή κατά της αποφάσεως του HBDI ενώπιον του αιτούντος δικαστηρίου, του Verwaltungsgericht Wiesbaden (διοικητικού πρωτοδικείου Wiesbaden, Γερμανία). Προς στήριξη των προσφυγών τους, ο UF και ο AB υποστηρίζουν ότι ο HBDI όφειλε, στο πλαίσιο των καθηκόντων και των εξουσιών του, να λάβει μέτρα σε βάρος της SCHUFA προκειμένου να την υποχρεώσει να διαγράψει τις εγγραφές που τους αφορούσαν.

31

O HBDI, αμυνόμενος, ζήτησε την απόρριψη των προσφυγών.

32

Αφενός, ο HBDI υποστήριξε ότι το δικαίωμα υποβολής καταγγελίας που προβλέπεται στο άρθρο 77, παράγραφος 1, του ΓΚΠΔ νοείται μόνον ως δικαίωμα αναφοράς. Ως εκ τούτου, ο δικαστικός έλεγχος συνίσταται απλώς στην εξακρίβωση ότι η εποπτική αρχή εξέτασε την καταγγελία και ενημέρωσε τον καταγγέλλοντα για την πρόοδο και την έκβασή της. Αντιθέτως, στον δικαστή που επιλαμβάνεται της καταγγελίας δεν εναπόκειται να ελέγξει την επί της ουσίας ορθότητα της αποφάσεως που εκδόθηκε επί της καταγγελίας.

33

Αφετέρου, ο HBDI τόνισε ότι τα δεδομένα στα οποία έχουν πρόσβαση τα γραφεία οικονομικών πληροφοριών μπορούν να παραμένουν αποθηκευμένα για όσο διάστημα απαιτείται για τους σκοπούς για τους οποίους αυτά έχουν αποθηκευθεί. Ελλείψει ρυθμίσεως θεσπισθείσας από τον εθνικό νομοθέτη, οι εποπτικές αρχές υιοθέτησαν κώδικες δεοντολογίας, ο δε κώδικας που καταρτίστηκε από την ένωση στην οποία ανήκουν τα γραφεία οικονομικών πληροφοριών προβλέπει ότι τα δεδομένα διαγράφονται τρία έτη ακριβώς μετά την εγγραφή τους στο ηλεκτρονικό αρχείο.

34

Συναφώς, κατά πρώτον, το αιτούν δικαστήριο εκτιμά ότι είναι αναγκαίο να αποσαφηνιστεί η νομική φύση της αποφάσεως που λαμβάνει η εποπτική αρχή επί καταγγελίας υποβαλλόμενης δυνάμει του άρθρου 77, παράγραφος 1, του ΓΚΠΔ.

35

Ειδικότερα, το αιτούν δικαστήριο διατηρεί αμφιβολίες ως προς την ορθότητα της επιχειρηματολογίας του HBDI, δεδομένου ότι, κατά το ίδιο, η συγκεκριμένη επιχειρηματολογία πλήττει την αποτελεσματικότητα της δικαστικής προσφυγής του άρθρου 78, παράγραφος 1, του ΓΚΠΔ. Επιπλέον, λαμβανομένου υπόψη του σκοπού του κανονισμού αυτού, ο οποίος συνίσταται, στο πλαίσιο της εφαρμογής των άρθρων 7 και 8 του Χάρτη, στη διασφάλιση αποτελεσματικής προστασίας των θεμελιωδών ελευθεριών και δικαιωμάτων των φυσικών προσώπων, τα άρθρα 77 και 78 του κανονισμού δεν μπορούν τύχουν συσταλτικής ερμηνείας.

36

Το αιτούν δικαστήριο προκρίνει την ερμηνεία κατά την οποία η επί της ουσίας απόφαση της εποπτικής αρχής υπόκειται σε πλήρη δικαστικό έλεγχο. Εντούτοις, η αρχή αυτή διαθέτει τόσο εξουσία εκτιμήσεως όσο και διακριτική ευχέρεια και είναι δυνατό να υποχρεωθεί να προβεί σε ενέργεια μόνον όταν δεν υφίστανται άλλες νόμιμες εναλλακτικές δυνατότητες.

37

Κατά δεύτερον, το αιτούν δικαστήριο διερωτάται διττώς ως προς τη νομιμότητα της αποθήκευσης, από γραφεία οικονομικών πληροφοριών, δεδομένων σχετικών με τη φερεγγυότητα ενός προσώπου τα οποία προέρχονται από δημόσια μητρώα, όπως το μητρώο αφερεγγυότητας.

38

Πρώτον, διατηρεί αμφιβολίες ως προς τη νομιμότητα της αποθήκευσης από ιδιωτική εταιρία, όπως η SCHUFA, στις δικές της βάσεις δεδομένων, των δεδομένων που μεταφέρονται από δημόσια μητρώα.

39

Συγκεκριμένα, κατ’ αρχάς, η εν λόγω αποθήκευση δεν πραγματοποιείται σε σχέση με συγκεκριμένη περίπτωση, αλλά για το ενδεχόμενο οι αντισυμβαλλόμενοι της εταιρίας να της ζητήσουν τις σχετικές πληροφορίες, και, σε τελική ανάλυση, συνεπάγεται διατήρηση των δεδομένων προς τον σκοπό ενδεχόμενης μελλοντικής χρήσης τους, ιδίως όταν τα δεδομένα αυτά έχουν ήδη διαγραφεί από το δημόσιο μητρώο λόγω παρέλευσης του επιτρεπόμενου χρονικού διαστήματος αποθήκευσης.

40

Επιπλέον, η επεξεργασία και, συνεπώς, η αποθήκευση δεδομένων επιτρέπονται μόνον εφόσον πληρούται μια από τις προϋποθέσεις του άρθρου 6, παράγραφος 1, του ΓΚΠΔ. Εν προκειμένω, μόνον η προϋπόθεση του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ θα μπορούσε να έχει εφαρμογή. Πλην όμως, είναι αμφίβολο αν ένα γραφείο οικονομικών πληροφοριών, όπως η SCHUFA, επιδιώκει έννομο συμφέρον κατά την έννοια της συγκεκριμένης διάταξης.

41

Τέλος, η SCHUFA αποτελεί απλώς ένα γραφείο οικονομικών πληροφοριών μεταξύ πλειόνων και, συνεπώς, τα δεδομένα αποθηκεύονται υπό πολλαπλές μορφές στη Γερμανία, γεγονός που συνεπάγεται μαζική προσβολή του θεμελιώδους δικαιώματος που κατοχυρώνεται στο άρθρο 7 του Χάρτη.

42

Δεύτερον, ακόμη και αν υποτεθεί ότι η αποθήκευση από ιδιωτικά γραφεία δεδομένων προερχόμενων από δημόσια μητρώα είναι, αυτή καθεαυτήν, σύννομη, τίθεται το ζήτημα της επιτρεπόμενης διάρκειας της εν λόγω αποθήκευσης.

43

Συναφώς, το αιτούν δικαστήριο είναι της γνώμης ότι πρέπει να απαιτείται από τα ως άνω ιδιωτικά γραφεία να τηρούν το χρονικό διάστημα των έξι μηνών που προβλέπει το άρθρο 3 του InsoBekV σχετικά με την αποθήκευση των αποφάσεων περί πτωχευτικής απαλλαγής στο μητρώο αφερεγγυότητας. Κατά συνέπεια, τα δεδομένα που πρέπει να διαγραφούν από το δημόσιο μητρώο πρέπει ταυτόχρονα να διαγράφονται και από τα αρχεία όλων των ιδιωτικών γραφείων οικονομικών πληροφοριών τα οποία διατηρούν τα οικεία δεδομένα.

44

Κατά τα λοιπά, τίθεται το ζήτημα αν ένας εγκεκριμένος σύμφωνα με το άρθρο 40 του ΓΚΠΔ κώδικας δεοντολογίας, ο οποίος επιβάλλει, μετά την παρέλευση τριετίας, τη διαγραφή εγγραφής περί πτωχευτικής απαλλαγής πρέπει να λαμβάνεται υπόψη κατά τη στάθμιση που πρέπει να γίνεται στο πλαίσιο της εκτιμήσεως βάσει του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ.

45

Υπό τις συνθήκες αυτές, το Verwaltungsgericht Wiesbaden (διοικητικό πρωτοδικείο Wiesbaden) αποφάσισε να αναστείλει την ενώπιόν του διαδικασία και να υποβάλει στο Δικαστήριο τα ακόλουθα προδικαστικά ερωτήματα:

46

Με απόφαση του Προέδρου του Δικαστηρίου της 11ης Φεβρουαρίου 2022, αποφασίστηκε η συνεκδίκαση των υποθέσεων C‑26/22 και C‑64/22 προς διευκόλυνση της έγγραφης και της προφορικής διαδικασίας και προς έκδοση κοινής αποφάσεως.

47

Με το πρώτο προδικαστικό ερώτημα, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί αν το άρθρο 78, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι ο δικαστικός έλεγχος των αποφάσεων επί καταγγελίας τις οποίες εκδίδει εποπτική αρχή περιορίζεται στο ζήτημα αν η αρχή αυτή επιλήφθηκε της καταγγελίας, ερεύνησε προσηκόντως το αντικείμενό της και ενημέρωσε τον καταγγέλλοντα για το αποτέλεσμα του ελέγχου ή αν οι εν λόγω αποφάσεις υπόκεινται σε πλήρη δικαστικό έλεγχο, στο πλαίσιο του οποίου ο επιληφθείς δικαστής έχει την εξουσία να υποχρεώσει την εποπτική αρχή να λάβει συγκεκριμένο μέτρο.

48

Προκειμένου να δοθεί απάντηση στο ανωτέρω ερώτημα, υπενθυμίζεται, προκαταρκτικώς, ότι για την ερμηνεία διάταξης του δικαίου της Ένωσης πρέπει να λαμβάνεται υπόψη όχι μόνον το γράμμα της, αλλά και το πλαίσιο στο οποίο αυτή εντάσσεται, καθώς και οι σκοποί που επιδιώκονται με την πράξη της οποίας αποτελεί μέρος (απόφαση της 22ας Ιουνίου 2023, Pankki S,C‑579/21, EU:C:2023:501, σκέψη 38 και εκεί μνημονευόμενη νομολογία).

49

Όσον αφορά το γράμμα του άρθρου 78, παράγραφος 1, του ΓΚΠΔ, η διάταξη αυτή προβλέπει ότι, με την επιφύλαξη κάθε άλλης διοικητικής ή μη δικαστικής προσφυγής, κάθε φυσικό ή νομικό πρόσωπο έχει το δικαίωμα πραγματικής δικαστικής προσφυγής κατά νομικά δεσμευτικής απόφασης εποπτικής αρχής που το αφορά.

50

Συναφώς, επισημαίνεται εκ προοιμίου ότι, εν προκειμένω, οι αποφάσεις που εξέδωσε ο HBDI συνιστούν νομικά δεσμευτικές αποφάσεις, κατά την έννοια του ως άνω άρθρου 78, παράγραφος 1. Συγκεκριμένα, κατόπιν εξετάσεως του βασίμου των καταγγελιών των οποίων επιλήφθηκε, η αρχή αυτή διαπίστωσε ότι η βαλλόμενη από τους προσφεύγοντες των κύριων δικών επεξεργασία δεδομένων προσωπικού χαρακτήρα ήταν σύννομη βάσει του ΓΚΠΔ. Ο νομικά δεσμευτικός χαρακτήρας των εν λόγω αποφάσεων επιβεβαιώνεται, εξάλλου, από την αιτιολογική σκέψη 143 του κανονισμού, κατά την οποία η άρνηση εξέτασης ή η απόρριψη καταγγελίας εκ μέρους εποπτικής αρχής συνιστά απόφαση που παράγει έννομα αποτελέσματα έναντι του καταγγέλλοντος.

51

Επισημαίνεται επίσης ότι από τη συγκεκριμένη διάταξη, ερμηνευόμενη υπό το πρίσμα της αιτιολογικής σκέψης 141 του κανονισμού, προκύπτει ρητώς ότι τα υποκείμενα δεδομένων έχουν δικαίωμα «πραγματικής» δικαστικής προσφυγής, συμφώνως προς το άρθρο 47 του Χάρτη.

52

Το Δικαστήριο έχει κρίνει, ως εκ τούτου, ότι από το άρθρο 78, παράγραφος 1, του ΓΚΠΔ, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 143 του κανονισμού αυτού, προκύπτει ότι τα δικαστήρια που επιλαμβάνονται προσφυγής κατά απόφασης εποπτικής αρχής πρέπει να ασκούν πλήρη δικαιοδοσία, η οποία θα πρέπει να περιλαμβάνει τη δικαιοδοσία να εξετάζουν όλα τα πραγματικά και νομικά ζητήματα σχετικά με τη διαφορά που εκκρεμεί ενώπιόν τους (απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, σκέψη 41).

53

Συνεπώς, το άρθρο 78, παράγραφος 1, του ΓΚΠΔ δεν μπορεί να ερμηνευθεί υπό την έννοια ότι ο δικαστικός έλεγχος των αποφάσεων επί καταγγελίας τις οποίες εκδίδει εποπτική αρχή περιορίζεται στο ζήτημα αν η αρχή επιλήφθηκε της καταγγελίας, ερεύνησε προσηκόντως το αντικείμενό της και ενημέρωσε τον καταγγέλλοντα για το αποτέλεσμα του ελέγχου. Απεναντίας, για να είναι «πραγματική» η δικαστική προσφυγή, όπως απαιτεί η διάταξη αυτή, μια τέτοια απόφαση πρέπει να υπόκειται σε πλήρη δικαστικό έλεγχο.

54

Η ερμηνεία αυτή επιρρωννύεται από το πλαίσιο στο οποίο εντάσσεται το άρθρο 78, παράγραφος 1, του ΓΚΠΔ, καθώς και από τους σκοπούς τους οποίους επιδιώκει ο κανονισμός.

55

Όσον αφορά το πλαίσιο στο οποίο εντάσσεται η διάταξη, επιβάλλεται να τονιστεί ότι, σύμφωνα με το άρθρο 8, παράγραφος 3, του Χάρτη, καθώς και με το άρθρο 51, παράγραφος 1, και το άρθρο 57, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, οι εθνικές εποπτικές αρχές έχουν επιφορτισθεί με τον έλεγχο της τήρησης των κανόνων της Ένωσης σχετικά με την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα (απόφαση της 16ης Ιουλίου 2020, Facebook Ireland και Schrems, C‑311/18, EU:C:2020:559, σκέψη 107).

56

Ειδικότερα, βάσει του άρθρου 57, παράγραφος 1, στοιχείο στʹ, του ΓΚΠΔ, κάθε εποπτική αρχή υποχρεούται, στην εδαφική περιοχή για την οποία είναι αρμόδια, αφενός, να εξετάζει τις καταγγελίες τις οποίες κάθε υποκείμενο δεδομένων δικαιούται, σύμφωνα με το άρθρο 77, παράγραφος 1, του ίδιου κανονισμού, να υποβάλλει όταν θεωρεί ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν συνιστά παράβαση του κανονισμού αυτού και, αφετέρου, να ερευνά το αντικείμενό τους στο μέτρο του αναγκαίου. Η εποπτική αρχή οφείλει να εξετάζει μια τέτοια καταγγελία με τη δέουσα επιμέλεια (απόφαση της 16ης Ιουλίου 2020, Facebook Ireland και Schrems, C‑311/18, EU:C:2020:559, σκέψη 109).

57

Για την εξέταση των υποβαλλόμενων καταγγελιών, το άρθρο 58, παράγραφος 1, του ΓΚΠΔ απονέμει σε κάθε εποπτική αρχή σημαντικές εξουσίες έρευνας. Όταν μια τέτοια αρχή διαπιστώνει, κατά το πέρας της έρευνάς της, παράβαση των διατάξεων του κανονισμού αυτού, οφείλει να αντιδράσει προσηκόντως προκειμένου να θεραπεύσει τη διαπιστωθείσα ανεπάρκεια. Προς τούτο, το άρθρο 58, παράγραφος 2, του ίδιου κανονισμού απαριθμεί τις διάφορες διορθωτικές εξουσίες της εποπτικής αρχής (πρβλ. απόφαση της 16ης Ιουλίου 2020, Facebook Ireland και Schrems, C‑311/18, EU:C:2020:559, σκέψη 111).

58

Επομένως, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 42 των προτάσεών του, η διαδικασία υποβολής καταγγελίας, η οποία διαφέρει από εκείνη της υποβολής αναφοράς, δημιουργήθηκε ως μηχανισμός ικανός να προστατεύει με αποτελεσματικό τρόπο τα δικαιώματα και τα συμφέροντα των υποκειμένων των δεδομένων.

59

Πλην όμως, λαμβανομένων όμως υπόψη των ευρειών εξουσιών τις οποίες διαθέτει η εποπτική αρχή δυνάμει του ΓΚΠΔ, η απαίτηση για πραγματική δικαστική προστασία δεν θα πληρούνταν αν οι αποφάσεις σχετικά με την άσκηση, από την οικεία εποπτική αρχή, των εξουσιών έρευνας ή λήψης διορθωτικών μέτρων υπέκειντο μόνο σε περιορισμένο δικαστικό έλεγχο.

60

Το ίδιο ισχύει και όσον αφορά τις αποφάσεις περί απόρριψης καταγγελίας, δεδομένου ότι το άρθρο 78, παράγραφος 1, του ΓΚΠΔ δεν διακρίνει ανάλογα με τη φύση της αποφάσεως που εκδίδει η εποπτική αρχή.

61

Όσον αφορά τους σκοπούς τους οποίους επιδιώκει ο ΓΚΠΔ, προκύπτει, μεταξύ άλλων, από την αιτιολογική σκέψη 10 του κανονισμού αυτού ότι ο ΓΚΠΔ αποσκοπεί στη διασφάλιση υψηλού επιπέδου προστασίας των φυσικών προσώπων έναντι της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα εντός της Ένωσης. Στην αιτιολογική σκέψη 11 του κανονισμού σημειώνεται επιπλέον ότι η αποτελεσματική προστασία των εν λόγω δεδομένων απαιτεί την ενίσχυση των δικαιωμάτων των υποκειμένων των δεδομένων.

62

Πλην όμως, αν το άρθρο 78, παράγραφος 1, του κανονισμού έπρεπε να ερμηνευθεί υπό την έννοια ότι ο εκεί προβλεπόμενος δικαστικός έλεγχος περιορίζεται στην εξακρίβωση του αν η εποπτική αρχή επιλήφθηκε της καταγγελίας, ερεύνησε προσηκόντως το αντικείμενό της και ενημέρωσε τον καταγγέλλοντα για το αποτέλεσμα του ελέγχου, θα διακυβευόταν κατ’ ανάγκην η επίτευξη των σκοπών που επιδιώκει ο συγκεκριμένος κανονισμός.

63

Επιπλέον, η ερμηνεία της ανωτέρω διάταξης υπό την έννοια ότι οι αποφάσεις επί καταγγελίας τις οποίες εκδίδει εποπτική αρχή υπόκεινται σε πλήρη δικαστικό έλεγχο δεν θίγει τις εγγυήσεις ανεξαρτησίας των οποίων απολαύουν οι εποπτικές αρχές ούτε συνιστά προσβολή του δικαιώματος πραγματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία.

64

Κατά πρώτον, είναι αληθές ότι, σύμφωνα με το άρθρο 8, παράγραφος 3, του Χάρτη, ο σεβασμός των κανόνων για την προστασία των δεδομένων προσωπικού χαρακτήρα υπόκειται στον έλεγχο ανεξάρτητης αρχής. Στο πλαίσιο αυτό, το άρθρο 52 του ΓΚΠΔ διευκρινίζει, μεταξύ άλλων, ότι κάθε εποπτική αρχή εκτελεί τα καθήκοντά της και ασκεί τις εξουσίες της, όπως απορρέουν από τον συγκεκριμένο κανονισμό, με πλήρη ανεξαρτησία (παράγραφος 1), ότι το μέλος ή τα μέλη κάθε εποπτικής αρχής εκτελούν τα καθήκοντά τους και ασκούν τις εξουσίες τους χωρίς εξωτερικές επιρροές (παράγραφος 2) και ότι κάθε κράτος μέλος διασφαλίζει ότι κάθε εποπτική αρχή διαθέτει τους απαραίτητους πόρους για την αποτελεσματική εκτέλεση των καθηκόντων και άσκηση των εξουσιών της (παράγραφος 4).

65

Ωστόσο, οι εν λόγω εγγυήσεις ανεξαρτησίας ουδόλως θίγονται από το γεγονός ότι οι νομικά δεσμευτικές αποφάσεις μιας εποπτικής αρχής υπόκεινται σε πλήρη δικαστικό έλεγχο.

66

Κατά δεύτερον, όσον αφορά το δικαίωμα πραγματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία, το οποίο προβλέπεται στο άρθρο 79, παράγραφος 1, του ΓΚΠΔ, επισημαίνεται ότι, κατά πάγια νομολογία του Δικαστηρίου, οι δικαστικές προσφυγές που προβλέπονται αντιστοίχως στο άρθρο 78, παράγραφος 1, και στο άρθρο 79, παράγραφος 1, του κανονισμού μπορούν να ασκηθούν παραλλήλως και αυτοτελώς (απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, σκέψη 35 και διατακτικό). Στο πλαίσιο αυτό, το Δικαστήριο έχει, μεταξύ άλλων, κρίνει ότι η πρόβλεψη πλειόνων μέσων έννομης προστασίας ενισχύει τον σκοπό που εκτίθεται στην αιτιολογική σκέψη 141 του κανονισμού, ο οποίος έγκειται στη διασφάλιση του δικαιώματος πραγματικής δικαστικής προσφυγής σύμφωνα με το άρθρο 47 του Χάρτη για κάθε υποκείμενο των δεδομένων το οποίο θεωρεί ότι προσβάλλονται τα δικαιώματα που του παρέχει ο συγκεκριμένος κανονισμός (απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, σκέψη 44).

67

Επομένως και παρά το γεγονός ότι απόκειται στα κράτη μέλη, σύμφωνα με την αρχή της δικονομικής αυτονομίας, να προβλέψουν τους κανόνες που διέπουν τη σχέση μεταξύ των εν λόγω μέσων έννομης προστασίας (απόφαση της 12ης Ιανουαρίου 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság,C‑132/21, EU:C:2023:2, σκέψη 45 και διατακτικό), η ύπαρξη του δικαιώματος πραγματικής δικαστικής προσφυγής κατά υπευθύνου επεξεργασίας ή εκτελούντος την επεξεργασία, το οποίο προβλέπεται στο άρθρο 79, παράγραφος 1, του ΓΚΠΔ, δεν επηρεάζει την έκταση του δικαστικού ελέγχου που διενεργείται, στο πλαίσιο προσφυγής ασκηθείσας δυνάμει του άρθρου 78, παράγραφος 1, του κανονισμού αυτού, επί των αποφάσεων τις οποίες εκδίδει εποπτική αρχή επί καταγγελίας.

68

Εντούτοις, σημειώνεται επίσης ότι, μολονότι, όπως υπομνήσθηκε στη σκέψη 56 της παρούσας αποφάσεως, η εποπτική αρχή οφείλει να εξετάσει μια καταγγελία με τη δέουσα επιμέλεια, η αρχή αυτή διαθέτει, όσον αφορά τις διορθωτικές εξουσίες που απαριθμούνται στο άρθρο 58, παράγραφος 2, του ΓΚΠΔ, περιθώριο εκτιμήσεως ως προς την επιλογή των κατάλληλων και αναγκαίων μέσων (πρβλ. απόφαση της 16ης Ιουλίου 2020, Facebook Ireland και Schrems, C‑311/18, EU:C:2020:559, σκέψη 112).

69

Μολονότι δε στον εθνικό δικαστή που επιλαμβάνεται προσφυγής ασκηθείσας δυνάμει του άρθρου 78, παράγραφος 1, του ΓΚΠΔ αναγνωρίζεται, όπως διαπιστώθηκε στη σκέψη 52 της παρούσας αποφάσεως, πλήρης δικαιοδοσία προς εξέταση όλων των πραγματικών και νομικών ζητημάτων της οικείας διαφοράς, η εγγύηση πραγματικής δικαστικής προστασίας δεν συνεπάγεται ότι ο εθνικός δικαστής έχει την εξουσία να υποκαταστήσει την εποπτική αρχή όσον αφορά την εκτίμηση σε σχέση με την επιλογή των κατάλληλων και αναγκαίων διορθωτικών μέτρων, αλλά απαιτεί από τον εν λόγω δικαστή να ελέγξει αν η εποπτική αρχή τήρησε τα όρια της εξουσίας εκτιμήσεώς της.

70

Λαμβανομένου υπόψη του συνόλου των ανωτέρω σκέψεων, στο πρώτο προδικαστικό ερώτημα πρέπει να δοθεί η απάντηση ότι το άρθρο 78, παράγραφος 1, του ΓΚΠΔ έχει την έννοια ότι οι αποφάσεις επί καταγγελίας της οποίες εκδίδει εποπτική αρχή υπόκεινται σε πλήρη δικαστικό έλεγχο.

71

Με το δεύτερο, το τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα, τα οποία πρέπει να συνεξεταστούν, το αιτούν δικαστήριο ζητεί, κατ’ ουσίαν, να διευκρινιστεί

72

Κατά το γράμμα του άρθρου 5, παράγραφος 1, στοιχείο αʹ, του ΓΚΠΔ, τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε σύννομη και θεμιτή επεξεργασία με διαφανή τρόπο σε σχέση με το υποκείμενο των δεδομένων.

73

Στο πλαίσιο αυτό, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, του κανονισμού αυτού περιέχει εξαντλητικό και περιοριστικό κατάλογο των περιπτώσεων στις οποίες η επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορεί να θεωρηθεί σύννομη. Συνεπώς, για να μπορεί να θεωρηθεί σύννομη η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει να εμπίπτει σε μία από τις περιπτώσεις που προβλέπονται στη συγκεκριμένη διάταξη [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 90 και εκεί μνημονευόμενη νομολογία].

74

Εν προκειμένω, δεν αμφισβητείται ότι η νομιμότητα της επίμαχης στις κύριες δίκες επεξεργασίας δεδομένων προσωπικού χαρακτήρα πρέπει να εκτιμηθεί μόνον υπό το πρίσμα του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ. Κατά τη διάταξη αυτή, η επεξεργασία δεδομένων προσωπικού χαρακτήρα είναι σύννομη μόνον εάν και στο μέτρο που είναι απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, εκτός εάν υπερισχύουν των εν λόγω συμφερόντων τα συμφέροντα ή τα θεμελιώδη δικαιώματα και οι ελευθερίες του υποκειμένου των δεδομένων που επιβάλλουν την προστασία των δεδομένων προσωπικού χαρακτήρα, ιδίως εάν το υποκείμενο των δεδομένων είναι παιδί.

75

Επομένως, η εν λόγω διάταξη προβλέπει τρεις σωρευτικές προϋποθέσεις για τη σύννομη επεξεργασία δεδομένων προσωπικού χαρακτήρα, ήτοι, πρώτον, την επιδίωξη έννομου συμφέροντος εκ μέρους του υπευθύνου επεξεργασίας ή τρίτου, δεύτερον, την αναγκαιότητα της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου έννομου συμφέροντος και, τρίτον, την προϋπόθεση ότι δεν υπερισχύουν του εν λόγω συμφέροντος τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 106 και εκεί μνημονευόμενη νομολογία].

76

Όσον αφορά, πρώτον, την προϋπόθεση σχετικά με την επιδίωξη «έννομου συμφέροντος», ελλείψει ορισμού της έννοιας αυτής από τον ΓΚΠΔ, υπογραμμίζεται ότι, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 61 των προτάσεών του, υπάρχει ένα ευρύ φάσμα συμφερόντων τα οποία μπορούν, κατ’ αρχήν, να θεωρηθούν ως έννομα.

77

Δεύτερον, ως προς την προϋπόθεση της αναγκαιότητας της επεξεργασίας των δεδομένων προσωπικού χαρακτήρα για την εξυπηρέτηση του επιδιωκόμενου έννομου συμφέροντος, απαιτείται από το αιτούν δικαστήριο να βεβαιωθεί ότι το έννομο συμφέρον το οποίο επιδιώκεται με την επεξεργασία των δεδομένων δεν είναι ευλόγως δυνατόν να πραγματωθεί κατά τρόπο εξίσου αποτελεσματικό με άλλα μέσα που να θίγουν λιγότερο τις θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων, ιδίως τα δικαιώματα του σεβασμού της ιδιωτικής ζωής και της προστασίας των δεδομένων προσωπικού χαρακτήρα τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 108 και εκεί μνημονευόμενη νομολογία].

78

Στο πλαίσιο αυτό, υπενθυμίζεται επίσης ότι η προϋπόθεση της αναγκαιότητας της επεξεργασίας πρέπει να εξετάζεται από κοινού με τη λεγόμενη αρχή της «ελαχιστοποίησης των δεδομένων», την οποία καθιερώνει το άρθρο 5, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, όπου ορίζεται ότι τα δεδομένα προσωπικού χαρακτήρα πρέπει να είναι «κατάλληλα, συναφή και [να] περιορίζονται στο αναγκαίο για τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία» [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 109 και εκεί μνημονευόμενη νομολογία].

79

Τρίτον, ως προς την προϋπόθεση ότι τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων πρέπει να μην υπερισχύουν του έννομου συμφέροντος του υπευθύνου επεξεργασίας ή τρίτου, το Δικαστήριο έχει κρίνει ότι απαιτείται μια στάθμιση των αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων η οποία εξαρτάται, κατ’ αρχήν, από τις συγκεκριμένες περιστάσεις της κάθε περίπτωσης και, κατά συνέπεια, εναπόκειται στο αιτούν δικαστήριο να προβεί στην εν λόγω στάθμιση λαμβάνοντας υπόψη τις ειδικές αυτές περιστάσεις [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 110 και εκεί μνημονευόμενη νομολογία].

80

Επιπλέον, όπως καθίσταται σαφές στην αιτιολογική σκέψη 47 του ΓΚΠΔ, τα συμφέροντα και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων μπορούν, ιδίως, να υπερισχύουν των συμφερόντων του υπευθύνου επεξεργασίας όταν τα δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία υπό περιστάσεις στις οποίες το υποκείμενο των δεδομένων δεν αναμένει ευλόγως τέτοια επεξεργασία [απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 112].

81

Επομένως, μολονότι, εν τέλει, εναπόκειται στο αιτούν δικαστήριο να εκτιμήσει αν, όσον αφορά την επίμαχη στις κύριες δίκες επεξεργασία δεδομένων προσωπικού χαρακτήρα, πληρούνται οι τρεις προϋποθέσεις που υπομνήσθηκαν στην σκέψη 75 της παρούσας αποφάσεως, το Δικαστήριο, αποφαινόμενο επί προδικαστικής παραπομπής, έχει τη δυνατότητα να παράσχει διευκρινίσεις προκειμένου να καθοδηγήσει το δικαστήριο αυτό κατά τον εν λόγω προσδιορισμό (πρβλ. απόφαση της 20ής Οκτωβρίου 2022, Digi,C‑77/21, EU:C:2022:805, σκέψη 39 και εκεί μνημονευόμενη νομολογία).

82

Εν προκειμένω, όσον αφορά την επιδίωξη έννομου συμφέροντος, η SCHUFA υποστηρίζει ότι τα γραφεία οικονομικών πληροφοριών επεξεργάζονται δεδομένα τα οποία είναι απαραίτητα για την αξιολόγηση της φερεγγυότητας φυσικών προσώπων ή επιχειρήσεων, προκειμένου οι πληροφορίες αυτές να είναι δυνατό να τεθούν στη διάθεση των αντισυμβαλλομένων τους. Πέραν του ότι η εν λόγω δραστηριότητα προστατεύει, κατά τη SCHUFA, τα οικονομικά συμφέροντα των επιχειρήσεων που επιθυμούν να συνάψουν συμβάσεις αφορώσες πίστωση, ο προσδιορισμός της φερεγγυότητας και η παροχή πληροφοριών σχετικά με τη φερεγγυότητα συνιστούν τη βάση κάθε χορήγησης πίστωσης και της ικανότητας λειτουργίας της οικονομίας. Η δραστηριότητα των εν λόγω γραφείων συμβάλλει επίσης στη συγκεκριμενοποίηση της οικονομικής βούλησης των προσώπων τα οποία αφορούν οι πράξεις που συνδέονται με την παροχή πίστωσης, δεδομένου ότι οι πληροφορίες καθιστούν δυνατή τη διενέργεια ταχείας και χωρίς γραφειοκρατικές διατυπώσεις εξέτασης των οικείων πράξεων.

83

Συναφώς, καίτοι η επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως η επίμαχη στις υποθέσεις των κύριων δικών, εξυπηρετεί τα οικονομικά συμφέροντα της SCHUFA, εντούτοις η επεξεργασία αυτή εξυπηρετεί επίσης το έννομο συμφέρον των αντισυμβαλλομένων της SCHUFA, οι οποίοι σκοπεύουν να συνάψουν με ορισμένα πρόσωπα συμβάσεις σχετικές με τη χορήγηση πίστωσης, που συνίσταται στη δυνατότητά τους αξιολόγησης της φερεγγυότητας των προσώπων αυτών και, επομένως, τα κοινωνικοοικονομικά συμφέροντα του πιστωτικού τομέα.

84

Πράγματι, όσον αφορά τις συμβάσεις καταναλωτικής πίστης, από το άρθρο 8 της οδηγίας 2008/48, ερμηνευόμενο υπό το πρίσμα της αιτιολογικής σκέψης 28 της οδηγίας αυτής, προκύπτει ότι, πριν από τη σύναψη της σύμβασης πίστωσης, ο πιστωτικός φορέας οφείλει να εκτιμήσει τη φερεγγυότητα του καταναλωτή βάσει επαρκών στοιχείων, περιλαμβανομένων, κατά περίπτωση, πληροφοριών προερχόμενων από δημόσιες και ιδιωτικές βάσεις δεδομένων.

85

Επιπλέον, όσον αφορά τις συμβάσεις καταναλωτικής πίστης για ακίνητα που προορίζονται για κατοικία, από το άρθρο 18 παράγραφος 1, και το άρθρο 21 παράγραφος 1, της οδηγίας 2014/17, ερμηνευόμενα υπό το πρίσμα των αιτιολογικών σκέψεων 55 και 59 της οδηγίας αυτής, προκύπτει ότι ο πιστωτικός φορέας πρέπει να προβαίνει σε ενδελεχή αξιολόγηση της φερεγγυότητας του καταναλωτή και ότι έχει πρόσβαση στις βάσεις πιστωτικών δεδομένων, η δε αναζήτηση πληροφοριών σε τέτοιες βάσεις δεδομένων αποτελεί χρήσιμο στοιχείο για την εν λόγω αξιολόγηση.

86

Τονίζεται περαιτέρω ότι η υποχρέωση αξιολόγησης της φερεγγυότητας των καταναλωτών, όπως προβλέπεται στις οδηγίες 2008/48 και 2014/17, δεν αποσκοπεί μόνο στην προστασία του αιτούντος την πίστωση, αλλά επίσης, όπως υπογραμμίζεται στην αιτιολογική σκέψη 26 της οδηγίας 2008/48, στη διασφάλιση της εύρυθμης λειτουργίας του πιστωτικού συστήματος στο σύνολό του.

87

Πάντως, πρέπει επίσης η επεξεργασία των δεδομένων να είναι απαραίτητη για την εξυπηρέτηση των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, αλλά και να μην υπερισχύουν των συμφερόντων αυτών τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα του υποκειμένου των δεδομένων. Στο πλαίσιο της απαιτούμενης στάθμισης των αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων, ήτοι, αφενός, εκείνων του υπευθύνου επεξεργασίας και των εμπλεκόμενων τρίτων και, αφετέρου, εκείνων του υποκειμένου των δεδομένων, πρέπει να λαμβάνονται υπόψη, όπως προεκτέθηκε στη σκέψη 80 της παρούσας αποφάσεως, ιδίως οι εύλογες προσδοκίες του υποκειμένου των δεδομένων καθώς και η έκταση της επίμαχης επεξεργασίας και ο αντίκτυπός της στο υποκείμενο των δεδομένων [βλ. απόφαση της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 116].

88

Όσον αφορά το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, το Δικαστήριο έχει κρίνει ότι η διάταξη αυτή έχει την έννοια ότι μια τέτοια επεξεργασία μπορεί να θεωρηθεί απαραίτητη για τους σκοπούς των έννομων συμφερόντων που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος, κατά την έννοια της συγκεκριμένης διάταξης, μόνον υπό την προϋπόθεση ότι η επεξεργασία πραγματοποιείται εντός των ορίων που είναι απολύτως αναγκαία για την εξυπηρέτηση του έννομου αυτού συμφέροντος και ότι από τη στάθμιση των αντιπαρατιθέμενων συμφερόντων, υπό το πρίσμα του συνόλου των κρίσιμων περιστάσεων, προκύπτει ότι τα συμφέροντα ή οι θεμελιώδεις ελευθερίες και τα θεμελιώδη δικαιώματα των υποκειμένων των δεδομένων δεν υπερισχύουν του εν λόγω έννομου συμφέροντος του υπευθύνου επεξεργασίας ή τρίτου [πρβλ. αποφάσεις της 4ης Μαΐου 2017, Rīgas satiksme,C‑13/16, EU:C:2017:336, σκέψη 30, και της 4ης Ιουλίου 2023, Meta Platforms κ.λπ. (Γενικοί όροι χρήσης κοινωνικού δικτύου), C‑252/21, EU:C:2023:537, σκέψη 126].

89

Στο πλαίσιο αυτό, το αιτούν δικαστήριο αναφέρεται σε δύο πτυχές της επίμαχης στις κύριες δίκες επεξεργασίας δεδομένων προσωπικού χαρακτήρα. Κατά πρώτον, η επίμαχη επεξεργασία συνεπάγεται την υπό πλείονες μορφές αποθήκευση των δεδομένων, ήτοι όχι μόνο σε δημόσιο μητρώο, αλλά και στις βάσεις δεδομένων των γραφείων οικονομικών πληροφοριών, διευκρινιζομένου ότι τα γραφεία αυτά δεν προβαίνουν στην αποθήκευση των δεδομένων σε σχέση με συγκεκριμένη περίπτωση, αλλά για το ενδεχόμενο να τους ζητήσουν οι αντισυμβαλλόμενοί τους τέτοιες πληροφορίες. Κατά δεύτερον, τα εν λόγω γραφεία διατηρούν τα οικεία δεδομένα για χρονικό διάστημα τριών ετών, τούτο δε βάσει κώδικα δεοντολογίας κατά την έννοια του άρθρου 40 του ΓΚΠΔ, ενώ η εθνική νομοθεσία προβλέπει, όσον αφορά το δημόσιο μητρώο, διάρκεια αποθήκευσης μόνον έξι μηνών.

90

Επί της πρώτης πτυχής, η SCHUFA υποστηρίζει ότι θα ήταν αδύνατη η έγκαιρη παροχή πληροφοριών αν ένα γραφείο οικονομικών πληροφοριών ήταν υποχρεωμένο να αναμένει συγκεκριμένο αίτημα προκειμένου να είναι σε θέση να αρχίσει να συλλέγει δεδομένα.

91

Συναφώς, εναπόκειται στο αιτούν δικαστήριο να εξακριβώσει αν η αποθήκευση των επίμαχων δεδομένων από τη SCHUFA στις δικές της βάσεις δεδομένων πραγματοποιείται εντός των ορίων που είναι απολύτως αναγκαία για την εξυπηρέτηση του νομίμως επιδιωκόμενου συμφέροντος, παρά το γεγονός ότι είναι δυνατή η πρόσβαση στα επίμαχα δεδομένα μέσω του δημόσιου μητρώου και χωρίς μια εμπορική επιχείρηση να έχει ζητήσει πληροφορίες σε σχέση με συγκεκριμένη περίπτωση. Αν τούτο δεν συμβαίνει, τότε η αποθήκευση των δεδομένων αυτών από τη SCHUFA δεν μπορεί να θεωρηθεί απαραίτητη ως προς το χρονικό διάστημα κατά το οποίο τα εν λόγω δεδομένα είναι δημοσίως διαθέσιμα.

92

Όσον αφορά τη διάρκεια της αποθήκευσης των δεδομένων, πρέπει να γίνει δεκτό ότι η εξέταση της δεύτερης προϋπόθεσης καθώς και η εξέταση της τρίτης προϋπόθεσης, οι οποίες υπομνήσθηκαν στη σκέψη 75 της παρούσας αποφάσεως, αλληλεπικαλύπτονται στο μέτρο που η εκτίμηση του κατά πόσον, εν προκειμένω, τα έννομα συμφέροντα που επιδιώκονται με την επίμαχη στις κύριες δίκες επεξεργασία δεδομένων προσωπικού χαρακτήρα μπορούν ευλόγως να εξυπηρετηθούν με μια μικρότερης διάρκειας αποθήκευση των δεδομένων απαιτεί στάθμιση των επίμαχων αντιπαρατιθέμενων δικαιωμάτων και συμφερόντων.

93

Σχετικά με τη στάθμιση των επιδιωκόμενων έννομων συμφερόντων, επισημαίνεται ότι, στον βαθμό που η ανάλυση στην οποία προβαίνει ένα γραφείο οικονομικών πληροφοριών καθιστά δυνατή την αντικειμενική και αξιόπιστη αξιολόγηση της φερεγγυότητας των δυνητικών πελατών των αντισυμβαλλομένων του, η ανάλυση αυτή καθιστά δυνατό να αμβλυνθούν οι διαφορές ως προς την πληροφόρηση και, ως εκ τούτου, να μειωθεί ο κίνδυνος απάτης καθώς και άλλων αβεβαιοτήτων.

94

Αντιθέτως, όσον αφορά τα δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων, η επεξεργασία, από γραφείο οικονομικών πληροφοριών, δεδομένων που αφορούν τη χορήγηση πτωχευτικής απαλλαγής υπέρ του προσώπου αυτού, όπως η αποθήκευση, η ανάλυση και η ανακοίνωση των ως άνω δεδομένων σε τρίτο, συνιστά σοβαρή επέμβαση στα θεμελιώδη δικαιώματα του εν λόγω προσώπου, τα οποία κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη. Πράγματι, τέτοια δεδομένα αποτελούν αρνητική παράμετρο στο πλαίσιο της αξιολόγησης της φερεγγυότητας του υποκειμένου των δεδομένων και, επομένως, συνιστούν ευαίσθητες πληροφορίες για την ιδιωτική του ζωή (πρβλ. απόφαση της 13ης Μαΐου 2014, Google Spain και Google, C‑131/12, EU:C:2014:317, σκέψη 98). Η επεξεργασία τους ενδέχεται να βλάψει σημαντικά τα συμφέροντα του υποκειμένου των δεδομένων, λόγω του ότι η προαναφερθείσα ανακοίνωση είναι ικανή να δυσχεράνει αισθητά την άσκηση των ελευθεριών του υποκειμένου των δεδομένων, ιδίως όσον αφορά την κάλυψη βασικών αναγκών του.

95

Επιπλέον, όπως επισήμανε η Επιτροπή, όσο μεγαλύτερη είναι η διάρκεια της αποθήκευσης των εν λόγω δεδομένων από τα γραφεία οικονομικών πληροφοριών τόσο σημαντικότερες είναι οι συνέπειες για τα συμφέροντα και την ιδιωτική ζωή του υποκειμένου των δεδομένων και τόσο αυξάνονται οι απαιτήσεις σχετικά με τη νομιμότητα της αποθήκευσης των οικείων πληροφοριών.

96

Περαιτέρω, επισημαίνεται ότι, όπως προκύπτει από την αιτιολογική σκέψη 76 του κανονισμού 2015/848, σκοπός ενός δημόσιου μητρώου αφερεγγυότητας είναι η βελτίωση της ενημέρωσης των ενδιαφερόμενων πιστωτών και των αρμόδιων δικαστηρίων. Στο πλαίσιο αυτό, το άρθρο 79, παράγραφος 5, του κανονισμού αυτού προβλέπει απλώς ότι τα κράτη μέλη ενημερώνουν τα υποκείμενα των δεδομένων για το χρονικό διάστημα κατά το οποίο είναι δυνατή η πρόσβαση στα δεδομένα προσωπικού χαρακτήρα που είναι αποθηκευμένα στα μητρώα αφερεγγυότητας, χωρίς να καθορίζει τη χρονική διάρκεια της αποθήκευσης των εν λόγω δεδομένων. Αντιθέτως, από το άρθρο 79, παράγραφος 4, του ίδιου κανονισμού προκύπτει ότι τα κράτη μέλη είναι υπεύθυνα, σύμφωνα με αυτόν, για τη συλλογή και την αποθήκευση δεδομένων προσωπικού χαρακτήρα σε εθνικές βάσεις δεδομένων. Επομένως, η μέγιστη χρονική διάρκεια αποθήκευσης των εν λόγω δεδομένων πρέπει να καθορίζεται σύμφωνα με τον κανονισμό 2015/848.

97

Εν προκειμένω, ο Γερμανός νομοθέτης προβλέπει ότι οι πληροφορίες σχετικά με χορήγηση πτωχευτικής απαλλαγής διατηρούνται στο μητρώο αφερεγγυότητας μόνον για έξι μήνες. Συνεπώς, ο Γερμανός νομοθέτης εκτιμά ότι, μετά την παρέλευση χρονικού διαστήματος έξι μηνών, τα δικαιώματα και τα συμφέροντα του υποκειμένου των δεδομένων υπερισχύουν των δικαιωμάτων και των συμφερόντων του κοινού να έχει πρόσβαση στις συγκεκριμένες πληροφορίες.

98

Επιπλέον, όπως επισήμανε ο γενικός εισαγγελέας στο σημείο 75 των προτάσεών του, σκοπός της πτωχευτικής απαλλαγής είναι να παράσχει στον δικαιούχο τη δυνατότητα να συμμετάσχει εκ νέου στην οικονομική ζωή και, ως εκ τούτου, αποκτά κατά κανόνα υπαρξιακή σημασία για εκείνον. Πλην όμως, η επίτευξη του σκοπού αυτού θα διακυβευόταν αν τα γραφεία οικονομικών πληροφοριών μπορούσαν, προς τον σκοπό της αξιολόγησης της οικονομικής κατάστασης ενός προσώπου, να αποθηκεύουν δεδομένα περί χορήγησης πτωχευτικής απαλλαγής και να χρησιμοποιούν τα δεδομένα αυτά μετά τη διαγραφή τους από το δημόσιο μητρώο αφερεγγυότητας, στο μέτρο που τα εν λόγω δεδομένα εξακολουθούν να αποτελούν αρνητική παράμετρο στο πλαίσιο της αξιολόγησης της φερεγγυότητας του οικείου προσώπου.

99

Υπό τις συνθήκες αυτές, τα συμφέροντα του πιστωτικού τομέα να έχει στη διάθεσή του πληροφορίες σχετικά με ορισμένη πτωχευτική απαλλαγή δεν μπορούν να δικαιολογήσουν επεξεργασία δεδομένων προσωπικού χαρακτήρα, όπως η επίμαχη στις κύριες δίκες, η οποία εκτείνεται πέραν του χρονικού διαστήματος αποθήκευσης των δεδομένων στο δημόσιο μητρώο αφερεγγυότητας και, ως εκ τούτου, το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ δεν μπορεί να λειτουργήσει ως βάση για την αποθήκευση των δεδομένων αυτών από γραφείο οικονομικών πληροφοριών για το χρονικό διάστημα μετά τη διαγραφή τους από δημόσιο μητρώο αφερεγγυότητας.

100

Όσον αφορά το χρονικό διάστημα των έξι μηνών κατά τη διάρκεια του οποίου τα επίμαχα δεδομένα είναι επίσης διαθέσιμα στο δημόσιο μητρώο, επισημαίνεται ότι, μολονότι οι επιπτώσεις της παράλληλης αποθήκευσης των δεδομένων αυτών σε βάσεις δεδομένων τέτοιων γραφείων μπορούν να θεωρηθούν λιγότερο σοβαρές απ’ ό,τι μετά την παρέλευση του χρονικού διαστήματος των έξι μηνών, εντούτοις η αποθήκευση αυτή συνιστά επέμβαση στα δικαιώματα που κατοχυρώνονται στα άρθρα 7 και 8 του Χάρτη. Συναφώς, το Δικαστήριο έχει κρίνει ότι η παρουσία των ίδιων δεδομένων προσωπικού χαρακτήρα σε πλείονες πηγές καθιστά σοβαρότερη την επέμβαση στο δικαίωμα του προσώπου στην ιδιωτική ζωή (απόφαση της 13ης Μαΐου 2014, Google Spain, C‑131/12, EU:C:2014:317, σκέψεις 86 και 87). Στο αιτούν δικαστήριο εναπόκειται να σταθμίσει τα επίμαχα συμφέροντα και τις επιπτώσεις επί του υποκειμένου των δεδομένων, προκειμένου να διαπιστώσει αν η παράλληλη αποθήκευση των εν λόγω δεδομένων από ιδιωτικά γραφεία οικονομικών πληροφοριών μπορεί να θεωρηθεί ότι πραγματοποιείται εντός των απολύτως αναγκαίων ορίων, όπως απαιτεί η νομολογία του Δικαστηρίου της οποίας έγινε μνεία στη σκέψη 88 της παρούσας αποφάσεως.

101

Τέλος, όσον αφορά την ύπαρξη, όπως εν προκειμένω, κώδικα δεοντολογίας ο οποίος προβλέπει ότι τα γραφεία οικονομικών πληροφοριών οφείλουν να διαγράφουν τα δεδομένα σχετικά με χορήγηση πτωχευτικής απαλλαγής μετά την παρέλευση τριετίας, υπενθυμίζεται ότι, σύμφωνα με το άρθρο 40, παράγραφοι 1 και 2, του ΓΚΠΔ, οι κώδικες δεοντολογίας έχουν ως στόχο να συμβάλουν στην ορθή εφαρμογή του κανονισμού αυτού, λαμβανομένων υπόψη των ιδιαίτερων χαρακτηριστικών των διαφόρων τομέων επεξεργασίας και των ειδικών αναγκών των πολύ μικρών, των μικρών και των μεσαίων επιχειρήσεων. Επομένως, ενώσεις και άλλοι φορείς που εκπροσωπούν κατηγορίες υπευθύνων επεξεργασίας ή εκτελούντων την επεξεργασία μπορούν να εκπονούν κώδικες δεοντολογίας ή να τροποποιούν ή να επεκτείνουν υφιστάμενους κώδικες δεοντολογίας, προκειμένου να προσδιορίζουν τον τρόπο εφαρμογής του εν λόγω κανονισμού, μεταξύ άλλων όσον αφορά τη θεμιτή και με διαφάνεια επεξεργασία, τα έννομα συμφέροντα που επιδιώκουν οι υπεύθυνοι επεξεργασίας σε συγκεκριμένα πλαίσια και τη συλλογή δεδομένων προσωπικού χαρακτήρα.

102

Επιπλέον, βάσει του άρθρου 40, παράγραφος 5, του ΓΚΠΔ, σχέδιο κώδικα υποβάλλεται στην αρμόδια εποπτική αρχή, η οποία το εγκρίνει, εφόσον κρίνει ότι παρέχει επαρκείς κατάλληλες εγγυήσεις.

103

Εν προκειμένω, ο επίμαχος στις κύριες δίκες κώδικας δεοντολογίας καταρτίστηκε από την ένωση των γερμανικών γραφείων οικονομικών πληροφοριών και εγκρίθηκε από την αρμόδια εποπτική αρχή.

104

Τούτου λεχθέντος, μολονότι, σύμφωνα με το άρθρο 40, παράγραφοι 1 και 2, του ΓΚΠΔ, οι κώδικες δεοντολογίας έχουν ως στόχο να συμβάλουν στην ορθή εφαρμογή του κανονισμού αυτού και να προσδιορίσουν τον τρόπο εφαρμογής του, εντούτοις, όπως επισήμανε ο γενικός εισαγγελέας στα σημεία 103 και 104 των προτάσεών του, οι προϋποθέσεις της νομιμότητας της επεξεργασίας δεδομένων προσωπικού χαρακτήρα τις οποίες καθορίζει ένας τέτοιος κώδικας δεν μπορούν να διαφέρουν από τις προϋποθέσεις που προβλέπονται στο άρθρο 6, παράγραφος 1, του ΓΚΠΔ.

105

Επομένως, κώδικας δεοντολογίας ο οποίος θα κατέληγε σε εκτίμηση διαφορετική από εκείνη που προκύπτει κατ’ εφαρμογήν του άρθρου 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ δεν μπορεί να ληφθεί υπόψη στο πλαίσιο της στάθμισης που πραγματοποιείται δυνάμει της συγκεκριμένης διάταξης.

106

Τέλος, το αιτούν δικαστήριο διερωτάται, κατ’ ουσίαν, ως προς τις υποχρεώσεις που υπέχουν τα γραφεία οικονομικών πληροφοριών δυνάμει του άρθρου 17 του ΓΚΠΔ.

107

Συναφώς, υπενθυμίζεται ότι, σύμφωνα με το άρθρο 17, παράγραφος 1, στοιχείο δʹ, του ΓΚΠΔ, στο οποίο παραπέμπει το αιτούν δικαστήριο, το υποκείμενο των δεδομένων έχει το δικαίωμα να ζητήσει από τον υπεύθυνο επεξεργασίας τη χωρίς αδικαιολόγητη καθυστέρηση διαγραφή των δεδομένων προσωπικού χαρακτήρα που το αφορούν, ο δε υπεύθυνος επεξεργασίας υποχρεούται να διαγράψει τα εν λόγω δεδομένα προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, στην περίπτωση που τα δεδομένα αυτά έχουν υποβληθεί σε παράνομη επεξεργασία.

108

Επομένως, σύμφωνα με το σαφές γράμμα της ως άνω διάταξης, αν το αιτούν δικαστήριο καταλήξει, κατά το πέρας της εκτιμήσεώς του περί της νομιμότητας της επίμαχης στις κύριες δίκες επεξεργασίας δεδομένων προσωπικού χαρακτήρα, ότι η επεξεργασία αυτή δεν είναι σύννομη, τότε ο υπεύθυνος επεξεργασίας, εν προκειμένω η SCHUFA, θα οφείλει να διαγράψει τα δεδομένα χωρίς αδικαιολόγητη καθυστέρηση. Σύμφωνα με όσα διαπιστώθηκαν στη σκέψη 99 της παρούσας αποφάσεως, τούτο θα ισχύει στην περίπτωση επεξεργασίας δεδομένων προσωπικού χαρακτήρα που πραγματοποιείται μετά την παρέλευση του χρονικού διαστήματος των έξι μηνών που προβλέπεται για την αποθήκευση των δεδομένων στο δημόσιο μητρώο αφερεγγυότητας.

109

Όσον αφορά την επεξεργασία που πραγματοποιείται κατά το διάστημα των έξι μηνών κατά τη διάρκεια του οποίου τα δεδομένα είναι διαθέσιμα στο δημόσιο μητρώο αφερεγγυότητας, αν το αιτούν δικαστήριο καταλήξει στο συμπέρασμα ότι η επεξεργασία ήταν σύμφωνη με το άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχείο στʹ, του ΓΚΠΔ, τότε έχει εφαρμογή το άρθρο 17, παράγραφος 1, στοιχείο γʹ, του κανονισμού αυτού.

110

Η εν λόγω διάταξη προβλέπει το δικαίωμα διαγραφής των δεδομένων προσωπικού χαρακτήρα όταν το υποκείμενο των δεδομένων αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21, παράγραφος 1, του ΓΚΠΔ και δεν υπάρχουν «επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία». Δυνάμει της τελευταίας αυτής διάταξης, το υποκείμενο των δεδομένων δικαιούται να αντιτάσσεται, ανά πάσα στιγμή και για λόγους που σχετίζονται με την ιδιαίτερη κατάστασή του, στην επεξεργασία δεδομένων προσωπικού χαρακτήρα που το αφορούν η οποία βασίζεται στο άρθρο 6, παράγραφος 1, πρώτο εδάφιο, στοιχεία εʹ ή στʹ, του ΓΚΠΔ. Ο υπεύθυνος επεξεργασίας δεν υποβάλλει πλέον τα δεδομένα προσωπικού χαρακτήρα σε επεξεργασία, εκτός εάν καταδείξει ότι συντρέχουν επιτακτικοί και νόμιμοι λόγοι για την επεξεργασία, οι οποίοι υπερισχύουν των συμφερόντων, των δικαιωμάτων και των ελευθεριών του υποκειμένου των δεδομένων, ή για τη θεμελίωση, άσκηση ή υποστήριξη νομικών αξιώσεων.

111

Από τον συνδυασμό των ανωτέρω διατάξεων προκύπτει, όπως επισημαίνει ο γενικός εισαγγελέας στο σημείο 93 των προτάσεών του, ότι το υποκείμενο των δεδομένων έχει δικαίωμα να αντιτάσσεται στην επεξεργασία καθώς και δικαίωμα για διαγραφή των δεδομένων, εκτός αν συντρέχουν επιτακτικοί και νόμιμοι λόγοι που υπερισχύουν των συμφερόντων καθώς και των δικαιωμάτων και των ελευθεριών του προσώπου αυτού κατά την έννοια του άρθρου 21, παράγραφος 1, του ΓΚΠΔ, όπερ απόκειται στον υπεύθυνο επεξεργασίας να καταδείξει.

112

Επομένως, αν ο υπεύθυνος επεξεργασίας δεν κατορθώσει να καταδείξει τη συνδρομή τέτοιων λόγων, τότε το υποκείμενο των δεδομένων δικαιούται να ζητήσει τη διαγραφή των δεδομένων βάσει του άρθρου 17, παράγραφος 1, στοιχείο γʹ, του ΓΚΠΔ, εφόσον αντιτίθεται στην επεξεργασία σύμφωνα με το άρθρο 21, παράγραφος 1, του κανονισμού αυτού. Απόκειται στο αιτούν δικαστήριο να εξετάσει αν συντρέχουν, κατ’ εξαίρεση, επιτακτικοί και νόμιμοι λόγοι ικανοί να δικαιολογήσουν την επίμαχη επεξεργασία.

113

Λαμβανομένου υπόψη του συνόλου των ανωτέρω σκέψεων, στο δεύτερο, το τρίτο, το τέταρτο και το πέμπτο προδικαστικό ερώτημα πρέπει να δοθεί η ακόλουθη απάντηση:

114

Δεδομένου ότι η παρούσα διαδικασία έχει ως προς τους διαδίκους των κύριων δικών τον χαρακτήρα παρεμπίπτοντος που ανέκυψε ενώπιον του αιτούντος δικαστηρίου, σ’ αυτό εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα στα οποία υποβλήθηκαν όσοι υπέβαλαν παρατηρήσεις στο Δικαστήριο, πλην των ως άνω διαδίκων, δεν αποδίδονται.

Για τους λόγους αυτούς, το Δικαστήριο (πρώτο τμήμα) αποφαίνεται: