UNIONIN TUOMIOISTUIMEN TUOMIO (ensimmäinen jaosto)

7 päivänä joulukuuta 2023 ( *1 )

Ennakkoratkaisupyyntö – Luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä – Asetus (EU) 2016/679 – 5 artiklan 1 kohta – Lainmukaisuuden periaate – 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta – Käsittelyn tarpeellisuus rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi – 17 artiklan 1 kohdan d alakohta – Oikeus tietojen poistamiseen silloin, kun henkilötietoja on käsitelty lainvastaisesti – 40 artikla – Käytännesäännöt – 78 artiklan 1 kohta – Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan – Kantelun johdosta tehty valvontaviranomaisen päätös – Tähän päätökseen kohdistuvan tuomioistuinvalvonnan laajuus – Luottotietopalveluja tarjoavat yritykset – Julkisesta rekisteristä saatujen henkilön jäännösveloista vapauttamista koskevien tietojen säilyttäminen – Tietojen säilytysaika

Yhdistetyissä asioissa C‑26/22 ja C‑64/22,

joissa on kyse SEUT 267 artiklaan perustuvista ennakkoratkaisupyynnöistä, jotka Verwaltungsgericht Wiesbaden (Wiesbadenin hallintotuomioistuin, Saksa) on esittänyt 23.12.2021 ja 31.1.2022 tekemillään päätöksillä, jotka ovat saapuneet unionin tuomioistuimeen 11.1.2022 ja 2.2.2022, saadakseen ennakkoratkaisun asioissa

UF (C‑26/22) ja

AB (C‑64/22)

vastaan

Land Hessen,

ja joissa asioiden käsittelyyn osallistuu:

SCHUFA Holding AG,

UNIONIN TUOMIOISTUIN (ensimmäinen jaosto),

toimien kokoonpanossa: jaoston puheenjohtaja A. Arabadjiev sekä tuomarit T. von Danwitz, P. G. Xuereb, A. Kumin (esittelevä tuomari) ja I. Ziemele,

julkisasiamies: P. Pikamäe,

kirjaaja: hallintovirkamies K. Hötzel,

ottaen huomioon kirjallisessa käsittelyssä ja 26.1.2023 pidetyssä istunnossa esitetyn,

ottaen huomioon huomautukset, jotka sille ovat esittäneet

–	UF ja AB, edustajinaan R. Rohrmoser ja S. Tintemann, Rechtsanwälte,

–	Land Hessen, edustajinaan M. Kottmann ja G. Ziegenhorn, Rechtsanwälte,

–	SCHUFA Holding AG, edustajinaan G. Thüsing ja U. Wuermeling, Rechtsanwalt,

–	Saksan hallitus, asiamiehinään J. Möller ja P.-L. Krüger,

–	Portugalin hallitus, asiamiehinään P. Barros da Costa, M. J. Ramos ja C. Vieira Guerra,

–	Euroopan komissio, asiamiehinään A. Bouchagiar, F. Erlbacher, H. Kranenborg ja W. Wils,

kuultuaan julkisasiamiehen 16.3.2023 pidetyssä istunnossa esittämän ratkaisuehdotuksen,

on antanut seuraavan

tuomion

Ennakkoratkaisupyynnöt koskevat Euroopan unionin perusoikeuskirjan (jäljempänä perusoikeuskirja) 7 ja 8 artiklan sekä luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) (EUVL 2016, L 119, s. 1) 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan, 17 artiklan 1 kohdan d alakohdan, 40 artiklan, 77 artiklan 1 kohdan ja 78 artiklan 1 kohdan tulkintaa.

Nämä pyynnöt on esitetty kahdessa asiassa, joissa vastakkain ovat yhtäältä UF (asia C‑26/22) ja AB (asia C‑64/22) ja toisaalta Land Hessen (Hessenin osavaltio, Saksa) ja joissa on kyse siitä, että Hessischer Beauftragte für Datenschutz und Informationsfreiheit (Hessenin osavaltion tietosuojavaltuutettu ja tiedonvälityksen vapauden valtuutettu, jäljempänä HBDI) kieltäytyi velvoittamasta SCHUFA Holding AG:tä (jäljempänä SCHUFA) poistamaan säilyttämiään tietoja, jotka koskevat UF:n ja AB:n vapauttamista jäännösveloista.

Asioita koskevat oikeussäännöt

Unionin oikeus

Direktiivi 2008/48/EY

Kulutusluottosopimuksista ja neuvoston direktiivin 87/102/ETY kumoamisesta 23.4.2008 annetun Euroopan parlamentin ja neuvoston direktiivin 2008/48/EY (EUVL 2008, L 133, s. 66) johdanto-osan 26 ja 28 perustelukappaleessa todetaan seuraavaa:

"(26)

– – Etenkin kasvavilla luottomarkkinoilla on tärkeää, että luotonantajat eivät ryhdy vastuuttomaan lainanantoon eivätkä myönnä luottoja arvioimatta ensin luottokelpoisuutta, ja että jäsenvaltiot toteuttavat tällaisen menettelyn estämiseksi tarvittavan valvonnan ja määrittävät tarvittavat keinot seuraamusten langettamiseksi näin menetteleville luotonantajille. – – Vastuun kunkin kuluttajan luottokelpoisuuden tarkistamisesta olisi kuuluttava luotonantajalle – –

– –

(28)

Luotonantajan olisi kuluttajan luottotilanteen arvioimiseksi haettava tietoa myös asiaankuuluvista tietokannoista; oikeudellinen ja todellinen tilanne voi edellyttää eri laajuisia hakuja. Jotta ei aiheuteta kilpailun vääristymistä luotonantajien välillä, olisi varmistettava, että luotonantajilla on pääsy kuluttajia koskeviin yksityisiin tai julkisiin tietokantoihin jäsenvaltiossa, johon ne eivät ole sijoittautuneet, asianomaiseen jäsenvaltioon sijoittautuneisiin luotonantajiin nähden syrjimättömin ehdoin.”

Kyseisen direktiivin 8 artiklan, jonka otsikko on ”Velvollisuus arvioida kuluttajan luottokelpoisuus”,1 kohdassa säädetään seuraavaa:

”Jäsenvaltioiden on varmistettava, että luotonantaja arvioi ennen luottosopimuksen tekemistä kuluttajan luottokelpoisuuden riittävien tietojen perusteella, jotka on voitu saada kuluttajalta, ja tarpeen mukaan asiaankuuluvasta tietokannasta haettujen tietojen perusteella. Jäsenvaltiot, joiden lainsäädännössä velvoitetaan luotonantaja arvioimaan ennen luottosopimuksen tekemistä kuluttajan luottokelpoisuus asiaankuuluvasta tietokannasta haettujen tietojen perusteella, voivat säilyttää tämän velvollisuuden.”

Direktiivi 2014/17/EU

Kuluttajille tarkoitetuista kiinteää asunto-omaisuutta koskevista luottosopimuksista ja direktiivien 2008/48/EY ja 2013/36/EU sekä asetuksen (EU) N:o 1093/2010 muuttamisesta 4.2.2014 annetun Euroopan parlamentin ja neuvoston direktiivin 2014/17/EU (EUVL 2014, L 60, s. 34) johdanto-osan 55 ja 59 perustelukappaleen sanamuoto on seuraava:

"(55)

On olennaisen tärkeää, että kuluttajan kyky ja edellytykset maksaa luotto takaisin arvioidaan ja todennetaan ennen luottosopimuksen tekemistä. Tässä luottokelpoisuuden arvioinnissa olisi otettava huomioon kaikki tarpeelliset ja merkitykselliset tekijät, jotka voivat vaikuttaa kuluttajan kykyyn maksaa luotto takaisin luottoaikana. – –

– –

(59)	Tietojen hakeminen luottotietokannasta on hyödyllinen osa luottokelpoisuuden arviointia. – –”

Kyseisen direktiivin 18 artiklan, jonka otsikko on ”Velvoite arvioida kuluttajan luottokelpoisuus”,1 kohdassa säädetään seuraavaa:

”Jäsenvaltioiden on varmistettava, että luotonantaja arvioi ennen luottosopimuksen tekoa kuluttajan luottokelpoisuuden perinpohjaisesti. Tässä arvioinnissa on otettava asianmukaisesti huomioon tekijät, joilla on merkitystä sen varmistamisessa, kykeneekö kuluttaja täyttämään luottosopimuksen mukaiset velvoitteensa.”

Tämän direktiivin 21 artiklan, jonka otsikko on ”Pääsy tietokantoihin”, 1 ja 2 kohdassa säädetään seuraavaa:

”1. Kunkin jäsenvaltion on varmistettava, että kaikkien jäsenvaltioiden luotonantajilla on pääsy kyseisessä jäsenvaltiossa käytettyihin tietokantoihin kuluttajien luottokelpoisuuden arvioimiseksi ja sen seuraamiseksi, noudattavatko kuluttajat luottovelvoitteitaan luottosopimuksen voimassaoloaikana. Tällaisen pääsyn edellytysten on oltava syrjimättömiä.

2. Edellä olevaa 1 kohtaa sovelletaan sekä yksityisten luottotietoyhtiöiden tai ‑toimistojen hoitamiin tietokantoihin että julkisiin rekistereihin.”

Asetus (EU) 2015/848

Maksukyvyttömyysmenettelyistä 20.5.2015 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2015/848 (EUVL 2015, L 141, s. 19) johdanto-osan 76 perustelukappaleen sanamuoto on seuraava:

”Asianomaisten velkojien ja tuomioistuinten tiedonsaannin parantamiseksi ja rinnakkaisten maksukyvyttömyysmenettelyjen aloittamisen estämiseksi jäsenvaltioiden olisi edellytettävä julkaisevan rajat ylittäviä maksukyvyttömyysmenettelyjä koskevat oleelliset tiedot julkisessa sähköisessä rekisterissä. Tässä asetuksessa olisi säädettävä tällaisten maksukyvyttömyysrekisterien yhteenliittämisestä Euroopan oikeusportaalin kautta, jotta niiden velkojien ja tuomioistuinten, joiden koti- tai sijaintipaikka on muissa jäsenvaltioissa, olisi helpompaa käyttää näitä tietoja. – –”

Tämän asetuksen 79 artiklan, jonka otsikko on "Jäsenvaltioiden velvoitteet käsiteltäessä kansallisissa maksukyvyttömyysrekistereissä olevia henkilötietoja”, 4 ja 5 kohdassa säädetään seuraavaa:

”4. Jäsenvaltiot ovat [yksilöiden suojelusta henkilötietojen käsittelyssä ja näiden tietojen vapaasta liikkuvuudesta 24.10.1995 annetun Euroopan parlamentin ja neuvoston] direktiivin 95/46/EY [(EYVL 1995, L 281, s. 31)] mukaisesti vastuussa tietojen keräämisestä ja säilyttämisestä kansallisissa tietokannoissa sekä päätöksistä, jotka koskevat kyseisten tietojen asettamista saataville yhteenliitetyssä rekisterissä, jota voidaan käyttää Euroopan oikeusportaalin kautta.

5. Jotta rekisteröidyt voisivat käyttää oikeuksiaan ja erityisesti oikeutta tietojen poistamiseen, jäsenvaltioiden on muun muassa ilmoitettava rekisteröidyille aika, jonka maksukyvyttömyysrekistereihin tallennetut henkilötiedot ovat saatavilla.”

Yleinen tietosuoja-asetus

Yleisen tietosuoja-asetuksen johdanto-osan 10, 11, 47, 50, 98, 141 ja 143 perustelukappaleessa todetaan seuraavaa:

"(10)

Jotta voitaisiin varmistaa yhdenmukainen ja korkeatasoinen luonnollisten henkilöiden suojelu ja poistaa henkilötietojen liikkuvuuden esteet [Euroopan] unionissa, luonnollisten henkilöiden oikeuksien ja vapauksien suojelun tason näiden tietojen käsittelyssä olisi oltava vastaava kaikissa jäsenvaltioissa. Luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojelua henkilötietojen käsittelyssä koskevien sääntöjen johdonmukainen ja yhtenäinen soveltaminen olisi varmistettava kaikkialla unionissa. – –

(11)

Henkilötietojen suojaaminen tehokkaasti kaikkialla unionissa edellyttää rekisteröityjen oikeuksien sekä henkilötietoja käsittelevien ja henkilötietojen käsittelyä määrittävien velvollisuuksien vahvistamista ja täsmentämistä samoin kuin samantasoisia valtuuksia valvoa henkilötietojen suojaa koskevien sääntöjen noudattamista ja samantasoisia seuraamuksia sääntöjen rikkomisesta jäsenvaltioissa.

– –

(47)

Rekisterinpitäjän, myös sellaisen rekisterinpitäjän, jolle henkilötiedot voidaan luovuttaa, tai kolmannen osapuolen oikeutetut edut voivat muodostaa käsittelyn oikeusperusteen edellyttäen, että rekisteröidyn edut tai perusoikeudet ja ‑vapaudet eivät asetu niiden edelle ja että otetaan huomioon rekisteröityjen kohtuulliset odotukset, jotka perustuvat heidän ja rekisterinpitäjän väliseen suhteeseen. Tällainen oikeutettu etu voi olla olemassa esimerkiksi, kun rekisteröidyn ja rekisterinpitäjän välillä on merkityksellinen ja asianmukainen suhde, kuten että rekisteröity on rekisterinpitäjän asiakas tai tämän palveluksessa. Oikeutetun edun olemassaoloa on joka tapauksessa arvioitava huolellisesti; on arvioitava muun muassa, voiko rekisteröity kohtuudella odottaa henkilötietojen keruun ajankohtana ja sen yhteydessä, että henkilötietoja voidaan käsitellä tätä tarkoitusta varten. Etenkin rekisteröidyn edut ja perusoikeudet voisivat syrjäyttää rekisterinpitäjän edun, jos henkilötietoja käsitellään olosuhteissa, joissa rekisteröity ei voi kohtuudella odottaa jatkokäsittelyä. – –

– –

(50)

Henkilötietojen käsittely muita tarkoituksia varten kuin niitä tarkoituksia, joita varten henkilötiedot on alun perin kerätty, olisi sallittava vain, jos käsittely sopii yhteen niiden tarkoitusten kanssa, joita varten henkilötiedot on alun perin kerätty. Tällöin henkilötietojen keruun oikeuttaneen käsittelyn oikeusperusteen lisäksi ei edellytetä muuta erillistä käsittelyn oikeusperustetta. – – Jotta voidaan varmistaa, onko myöhemmän käsittelyn tarkoitus yhteensopiva sen tarkoituksen kanssa, jota varten henkilötiedot alun perin kerättiin, rekisterinpitäjän olisi kaikki alkuperäisen käsittelyn laillisuutta koskevat vaatimukset ensin täytettyään otettava huomioon muun muassa kyseisten tarkoitusten ja suunnitellun myöhemmän käsittelyn tarkoitusten väliset yhteydet, tilanne, jossa henkilötiedot on kerätty, erityisesti myöhempään käsittelyyn liittyvät rekisteröidyn kohtuulliset odotukset, jotka perustuvat hänen ja rekisterinpitäjän väliseen suhteeseen; henkilötietojen luonne; suunnitellun myöhemmän käsittelyn seuraukset rekisteröidyille; ja asianomaisten suojatoimien olemassaolo sekä alkuperäisessä että suunnitellussa käsittelyssä.

– –

(98)

Rekisterinpitäjien tai henkilötietojen käsittelijöiden ryhmiä edustavia yhdistyksiä tai muita elimiä olisi kannustettava laatimaan käytännesääntöjä tässä asetuksessa asetetuissa rajoissa, jotta voitaisiin helpottaa tämän asetuksen soveltamista ottaen huomioon tietyillä aloilla suoritettavan käsittelyn erityispiirteet ja mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet. Erityisesti käytännesäännöillä voitaisiin sopeuttaa rekisterinpitäjien tai henkilötietojen käsittelijöiden velvoitteita ottaen huomioon luonnollisten henkilöiden oikeuksiin ja vapauksiin todennäköisesti kohdistuva tietojenkäsittelyn riski.

– –

(141)

Jokaisella rekisteröidyllä olisi oltava oikeus tehdä kantelu yhdelle valvontaviranomaiselle, erityisesti asuinjäsenvaltiossaan, sekä oikeus turvautua tehokkaisiin oikeussuojakeinoihin perusoikeuskirjan 47 artiklan mukaisesti, jos rekisteröity katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu tai jos valvontaviranomainen ei käsittele kantelua, hylkää sen kokonaan tai osittain tai ei ryhdy toimiin, jotka ovat tarpeen rekisteröidyn oikeuksien suojaamiseksi. Kantelun seurauksena tehtävä tutkinta olisi suoritettava siinä määrin kuin kussakin tapauksessa on asianmukaista, ja asia olisi voitava saattaa tuomioistuimen käsiteltäväksi. Valvontaviranomaisen olisi ilmoitettava rekisteröidylle kantelun käsittelyn etenemisestä ja sen ratkaisusta kohtuullisen ajan kuluessa. – –

– –

(143)

– – Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä olisi oltava oikeus tehokkaisiin oikeussuojakeinoihin toimivaltaisessa kansallisessa tuomioistuimessa sellaista valvontaviranomaisen päätöstä vastaan, joka tuottaa kyseistä henkilöä koskevia oikeusvaikutuksia – – Tällaiset päätökset koskevat etenkin valvontaviranomaisen tutkintavaltuuksien, korjaavien valtuuksien ja hyväksymisvaltuuksien käyttöä tai valitusten käsittelemättä jättämistä tai hylkäämistä. Tämä oikeus tehokkaisiin oikeussuojakeinoihin ei kuitenkaan koske valvontaviranomaisten toimenpiteitä, jotka eivät ole oikeudellisesti sitovia, kuten valvontaviranomaisen antamia lausuntoja tai neuvoja. Kanne valvontaviranomaista vastaan olisi nostettava sen jäsenvaltion tuomioistuimissa, johon valvontaviranomainen on sijoittautunut, ja se olisi toteutettava kyseisen jäsenvaltion prosessioikeuden mukaisesti. Kyseisten tuomioistuinten olisi käytettävä täyttä oikeudellista toimivaltaa, mukaan lukien toimivalta tarkastella kaikkia tosiseikkoja koskevia ja oikeudellisia kysymyksiä, jotka ovat niiden käsiteltäväksi saatetun asian kannalta merkittäviä.

Jos valvontaviranomainen on hylännyt tai jättänyt käsittelemättä valituksen, valituksen tekijä voi nostaa kanteen kyseisen jäsenvaltion tuomioistuimissa. Tämän asetuksen soveltamiseen liittyvien oikeussuojakeinojen yhteydessä niiden kansallisten tuomioistuinten, jotka katsovat, että asiaa koskeva päätös on tarpeen, jotta ne voivat antaa tuomion, voivat pyytää, tai SEUT 267 määrätyssä tapauksessa niiden on pyydettävä, unionin tuomioistuimelta ennakkoratkaisua unionin oikeuden tulkinnasta, tämä asetus mukaan lukien. – –”

Kyseisen asetuksen 5 artiklan, jonka otsikko on ”Henkilötietojen käsittelyä koskevat periaatteet”, sanamuoto on seuraava:

”1. Henkilötietojen suhteen on noudatettava seuraavia vaatimuksia:

a)	niitä on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi (’lainmukaisuus, kohtuullisuus ja läpinäkyvyys’);

– –

c)	niiden on oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään (’tietojen minimointi’);

– –

2. Rekisterinpitäjä vastaa siitä, ja sen on pystyttävä osoittamaan se, että 1 kohtaa on noudatettu (’osoitusvelvollisuus’).”

Tämän asetuksen 6 artiklassa, jonka otsikko on ”Käsittelyn lainmukaisuus”, säädetään seuraavaa:

”1. Käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin vähintään yksi seuraavista edellytyksistä täyttyy:

– –

f)	käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

– –

4. Jos käsittely tapahtuu muuta kuin sitä tarkoitusta varten, jonka vuoksi tiedot on kerätty, eikä käsittely perustu rekisteröidyn suostumukseen eikä unionin oikeuteen tai jäsenvaltion lainsäädäntöön, joka muodostaa demokraattisessa yhteiskunnassa välttämättömän ja oikeasuhteisen toimenpiteen 23 artiklan 1 kohdassa tarkoitettujen tavoitteiden turvaamiseksi, rekisterinpitäjän on otettava huomioon muun muassa seuraavat asiat varmistaakseen, että muuhun tarkoitukseen tapahtuva käsittely on yhteensopivaa sen tarkoituksen kanssa, jota varten tiedot alun perin kerättiin:

a)	henkilötietojen keruun tarkoitusten ja aiotun myöhemmän käsittelyn tarkoitusten väliset yhteydet;

b)	henkilötietojen keruun asiayhteys erityisesti rekisteröityjen ja rekisterinpitäjän välisen suhteen osalta;

c)	henkilötietojen luonne, erityisesti se, käsitelläänkö erityisiä henkilötietojen ryhmiä 9 artiklan mukaisesti tai rikostuomioihin ja rikkomuksiin liittyviä henkilötietoja 10 artiklan mukaisesti;

d)	aiotun myöhemmän käsittelyn mahdolliset seuraukset rekisteröidyille;

e)	asianmukaisten suojatoimien, kuten salaamisen tai pseudonymisoinnin, olemassaolo.”

Yleisen tietosuoja-asetuksen 17 artiklan, jonka otsikko on ”Oikeus tietojen poistamiseen (’oikeus tulla unohdetuksi’)”, 1 kohdassa säädetään seuraavaa:

”Rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä, ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä, edellyttäen että jokin seuraavista perusteista täyttyy:

– –

c)	rekisteröity vastustaa käsittelyä 21 artiklan 1 kohdan nojalla eikä käsittelylle ole olemassa ensisijaista perusteltua syytä tai rekisteröity vastustaa käsittelyä 21 artiklan 2 kohdan nojalla;

d)	henkilötietoja on käsitelty lainvastaisesti;

– –”

Saman asetuksen 21 artiklan, jonka otsikko on ”Vastustamisoikeus”, 1 ja 2 kohdassa säädetään seuraavaa:

”1. Rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu 6 artiklan 1 kohdan e tai f alakohtaan, kuten näihin säännöksiin perustuvaa profilointia. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet tai jos se on tarpeen oikeusvaateen laatimiseksi, esittämiseksi tai puolustamiseksi.

2. Jos henkilötietoja käsitellään suoramarkkinointia varten, rekisteröidyllä on oikeus milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä tällaista markkinointia varten, mukaan lukien profilointia silloin kun se liittyy tällaiseen suoramarkkinointiin.”

Tämän asetuksen 40 artiklan, jonka otsikko on ”Käytännesäännöt”, 1, 2 ja 5 kohdassa säädetään seuraavaa:

”1. Jäsenvaltioiden, valvontaviranomaisten, tietosuojaneuvoston ja [Euroopan] komission on edistettävä sellaisten käytännesääntöjen laatimista, joiden avulla tuetaan tämän asetuksen asianmukaista soveltamista, ottaen huomioon käsittelyn erityispiirteet eri sektoreilla ja mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet.

2. Yhdistykset ja muut elimet, jotka edustavat rekisterinpitäjien tai henkilötietojen käsittelijöiden eri ryhmiä, voivat tämän asetuksen säännösten soveltamisen täsmentämiseksi laatia käytännesääntöjä tai muuttaa tai laajentaa niitä muun muassa seuraavien osalta:

a)	käsittelyn asianmukaisuus ja läpinäkyvyys;

b)	rekisterinpitäjän oikeutetut edut tietyissä yhteyksissä;

c)	henkilötietojen kerääminen;

– –

5. Tämän artiklan 2 kohdassa tarkoitettujen yhdistysten ja muiden elinten, jotka aikovat laatia käytännesääntöjä tai muuttaa tai laajentaa voimassa olevia käytännesääntöjä, on toimitettava käytännesääntöjen luonnos, muutos tai laajennus valvontaviranomaiselle, joka on 55 artiklan nojalla toimivaltainen. Valvontaviranomainen antaa lausunnon siitä, onko käytännesääntöjen luonnos tai muutos tai laajennus tämän asetuksen mukainen, ja hyväksyy tämän käytännesääntöjen luonnoksen, muutoksen tai laajennuksen, jos se katsoo sen tarjoavan riittävät asianmukaiset takeet.”

Yleisen tietosuoja-asetuksen 51 artiklan, jonka otsikko on ”Valvontaviranomainen”, 1 kohdassa säädetään seuraavaa:

”Kunkin jäsenvaltion on varmistettava, että yksi tai useampi riippumaton viranomainen on vastuussa tämän asetuksen soveltamisen valvonnasta luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien suojaamiseksi käsittelyssä ja henkilötietojen vapaan liikkuvuuden helpottamiseksi unionissa, jäljempänä ’valvontaviranomainen’.”

Kyseisen asetuksen 52 artiklan, jonka otsikko on ”Riippumattomuus”, 1, 2 ja 4 kohdassa säädetään seuraavaa:

”1. Kukin valvontaviranomainen toimii täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään valtuuksiaan tämän asetuksen mukaisesti.

2. Minkään valvontaviranomaisen jäseneen tai jäseniin ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti heidän hoitaessaan tehtäviään ja käyttäessään valtuuksiaan tämän asetuksen mukaisesti, eivätkä he saa pyytää eivätkä ottaa ohjeita miltään taholta.

– –

4. Kunkin jäsenvaltion on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan tekniset, taloudelliset ja henkilöresurssit, tilat ja infrastruktuuri, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti, mukaan lukien tehtävät ja valtuudet, jotka liittyvät keskinäiseen avunantoon, yhteistyöhön ja osallistumiseen tietosuojaneuvoston toimintaan.”

Kyseisen asetuksen 57 artiklan, jonka otsikko on ”Tehtävät”, 1 kohdassa säädetään seuraavaa:

”Tämän asetuksen mukaisesti vahvistettuja muita tehtäviä rajoittamatta jokaisen valvontaviranomaisen on alueellaan

a)	valvottava tämän asetuksen soveltamista ja täytäntöönpanoa;

– –

käsiteltävä rekisteröidyn tai 80 artiklan mukaisen elimen, järjestön tai yhdistyksen tekemiä valituksia ja tutkittava siinä määrin kuin se on asianmukaista valituksen kohdetta ja ilmoitettava valituksen tekijälle tutkinnan etenemisestä sekä tutkinnan tuloksista kohtuullisen ajan kuluessa, erityisesti jos asia edellyttää lisätutkimuksia tai koordinointia toisen valvontaviranomaisen kanssa;

– –”

19	Yleisen tietosuoja-asetuksen 58 artiklan, jonka otsikko on ”Valtuudet”, 1 kohdassa luetellaan jokaisella valvontaviranomaisella olevat tutkintavaltuudet ja sen 2 kohdassa luetellaan näillä valvontaviranomaisilla olevat korjaavat toimivaltuudet.

Tämän asetuksen 77 artiklassa, jonka otsikko on ”Oikeus tehdä kantelu valvontaviranomaiselle”, säädetään seuraavaa:

”1. Jokaisella rekisteröidyllä on oikeus tehdä kantelu valvontaviranomaiselle, erityisesti siinä jäsenvaltiossa, jossa hänen vakinainen asuinpaikkansa tai työpaikkansa on taikka jossa väitetty rikkominen on tapahtunut, jos rekisteröity katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai oikeussuojakeinoja.

2. Valvontaviranomaisen, jolle kantelu on tehty, on ilmoitettava kantelun tekijälle sen etenemisestä ja ratkaisusta, mukaan lukien 78 artiklan mukaisten oikeussuojakeinojen mahdollisuudesta.”

Kyseisen asetuksen 78 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin valvontaviranomaista vastaan”, 1 ja 2 kohdassa säädetään seuraavaa:

”1. Jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.

2. Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos 55 ja 56 artiklan nojalla toimivaltainen valvontaviranomainen ei ole käsitellyt kantelua tai ilmoittanut rekisteröidylle kolmen kuukauden kuluessa 77 artiklan nojalla tehdyn kantelun etenemisestä tai ratkaisusta, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai muita kuin oikeudellisia oikeussuojakeinoja.”

Yleisen tietosuoja-asetuksen 79 artiklan, jonka otsikko on ”Oikeus tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan”, 1 kohdassa säädetään seuraavaa:

”Jokaisella rekisteröidyllä on oikeus tehokkaisiin oikeussuojakeinoihin, jos hän katsoo, että hänen tähän asetukseen perustuvia oikeuksiaan on loukattu sen takia, ettei hänen henkilötietojensa käsittelyssä ole noudatettu tätä asetusta, sanotun kuitenkaan rajoittamatta käytettävissä olevien hallinnollisten muutoksenhakukeinojen tai muiden kuin oikeudellisten oikeussuojakeinojen käyttöä, mukaan lukien 77 artiklaan perustuva oikeus tehdä kantelu valvontaviranomaiselle.”

Saksan oikeus

Maksukyvyttömyydestä 5.10.1994 annetun lain (Insolvenzordnung; BGBl. 1994 I, s. 2866), sellaisena kuin sitä sovelletaan pääasian tosiseikkoihin, 9 §:n 1 momentissa säädetään seuraavaa:

”Virallinen ilmoitus julkaistaan kaikissa osavaltioissa keskitetysti internetissä; ilmoituksena voidaan julkaista ote. Velallinen on määritettävä täsmällisesti, ja erityisesti on ilmoitettava velallisen osoite ja toimiala. Ilmoitusta pidetään tehtynä, kun sen julkaisemispäivästä on kulunut kaksi päivää.”

Internetissä julkaistavista maksukyvyttömyysmenettelyjä koskevista virallisista ilmoituksista 12.2.2002 annetun asetuksen (Verordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet; BGBl. I, s. 677; jäljempänä InsoBekV) 3 §:n 1 ja 2 momentissa säädetään seuraavaa:

”1. Sähköisessä tieto- ja viestintäjärjestelmässä julkaistut maksukyvyttömyysmenettelyä, mukaan lukien sen aloittamista, koskevat tiedot poistetaan rekisteristä kuuden kuukauden kuluessa maksukyvyttömyysmenettelyn päättämisestä tai sen raukeamista koskevan päätöksen lainvoimaiseksi tulemisesta. Jos menettelyä ei ole aloitettu, määräaika alkaa kulua julkaistujen turvaamista koskevien toimenpiteiden peruuttamisesta.

2. Jäännösveloista vapauttamista koskevassa menettelyssä julkaistaviin ilmoituksiin, mukaan lukien maksukyvyttömyysasetuksen 289 §:ssä tarkoitettu päätös, sovelletaan 1 momentin ensimmäistä virkettä siten, että määräaika alkaa kulua siitä, kun jäännösveloista vapauttamista koskeva päätös on tullut lainvoimaiseksi.”

Pääasiat ja ennakkoratkaisukysymykset

UF:ää ja AB:tä koskevissa maksukyvyttömyysmenettelyissä annettiin 17.12.2020 ja 23.3.2021 tuomioistuimen päätökset, joilla heidät vapautettiin jäännösveloista ennenaikaisesti. Maksukyvyttömyysmenettelystä annetun lain 9 §:n 1 momentin ja InsoBekV:n 3 §:n 1 ja 2 momentin mukaisesti näitä päätöksiä koskeva internetissä julkaistu virallinen ilmoitus poistettiin kuuden kuukauden kuluttua kyseisten päätösten antamisesta.

SCHUFA on luottotietopalveluja tarjoava yksityinen yritys, joka tallentaa omiin tietokantoihinsa julkisista rekistereistä lähtöisin olevia tietoja, joihin kuuluu muun muassa jäännösveloista vapauttamista koskevia tietoja, ja säilyttää niitä. Se poistaa kyseiset veloista vapauttamista koskevat tiedot kolmen vuoden kuluttua tallentamisesta luottotietopalveluja tarjoavia yrityksiä edustavan yhdistyksen Saksassa laatimien ja toimivaltaisen valvontaviranomaisen hyväksymien käytännesääntöjen mukaisesti.

UF ja AB vaativat SCHUFA:a poistamaan merkinnät päätöksistä, joilla heidät vapautettiin jäännösveloista. Kyseinen yhtiö kieltäytyi hyväksymästä heidän vaatimuksiaan selitettyään, että se harjoittaa toimintaansa yleisen tietosuoja-asetuksen mukaisesti eikä InsoBekV:n 3 §:n 1 momentissa säädettyä poistamista koskevaa kuuden kuukauden määräaikaa sovelleta siihen.

28	UF ja AB tekivät kumpikin kantelun toimivaltaiselle viranomaiselle HBDI:lle.

29	HBDI katsoi 1.3.2021 ja 9.7.2021 antamissaan päätöksissä, että SCHUFA:n suorittama tietojenkäsittely oli lainmukaista.

UF ja AB nostivat kumpikin HBDI:n päätöksestä kanteen ennakkoratkaisua pyytäneessä tuomioistuimessa Verwaltungsgericht Wiesbadenissa (Wiesbadenin hallintotuomioistuin, Saksa). Ne esittivät näiden kanteiden tueksi, että HBDI:n olisi tullut tehtäviensä ja toimivaltuuksiensa nojalla toteuttaa SCHUFA:a koskevia toimenpiteitä velvoittaakseen kyseisen yhtiön poistamaan heitä koskevat merkinnät.

31	HBDI vastasi vaatimalla, että kyseiset kanteet hylätään.

HBDI väitti yhtäältä, että yleisen tietosuoja-asetuksen 77 artiklan 1 kohdassa säädetty kantelun tekemistä koskeva oikeus merkitsee yksinomaan oikeutta esittää vetoomus. Tuomioistuinvalvonnassa siis selvitetään ainoastaan, onko valvontaviranomainen käsitellyt kantelun ja antanut sen tekijälle tiedon kyseisen kantelun etenemisestä ja tuloksesta. Sitä vastoin asiaa käsittelevän tuomioistuimen tehtävänä ei ole valvoa tämän kantelun seurauksena annetun päätöksen aineellista paikkansapitävyyttä.

HBDI korosti toisaalta, että tietoja, joihin luottotietoja tarjoavilla yrityksillä on pääsy, voidaan säilyttää niin kauan kuin se on tarpeen niitä tarkoituksia varten, joita varten niitä on säilytetty. Koska kansallinen lainsäätäjä ei ole säätänyt asiasta, valvontaviranomaiset ovat antaneet käytännesääntöjä, ja luottotietopalveluja tarjoavia yrityksiä edustavan yhdistyksen laatimissa käytännesäännöissä määrätään tietojen poistamisesta päivälleen kolme vuotta sen jälkeen, kun ne on merkitty tiedostoon.

34	Ennakkoratkaisua pyytänyt tuomioistuin katsoo tältä osin aluksi, että on tarpeen täsmentää sen päätöksen oikeudellista luonnetta, jonka valvontaviranomainen tekee saatuaan käsiteltäväkseen kantelun yleisen tietosuoja-asetuksen 77 artiklan 1 kohdan nojalla.

Kyseisellä tuomioistuimella on erityisesti epäilyksiä HBDI:n argumentaation osalta, koska siinä heikennetään yleisen tietosuoja-asetuksen 78 artiklan 1 kohdassa tarkoitettujen oikeussuojakeinojen tehokkuutta. Sen mukaan on lisäksi niin, että kun otetaan huomioon tämän asetuksen tavoite, jona on suojata luonnollisten henkilöiden perusoikeuksia ja ‑vapauksia tehokkaasti perusoikeuskirjan 7 ja 8 artiklan panemiseksi täytäntöön, kyseisen asetuksen 77 ja 78 artiklaa ei voida tulkita suppeasti.

Ennakkoratkaisua pyytänyt tuomioistuin puoltaa tulkintaa, jonka mukaan valvontaviranomaisen asiakysymystä koskevaan päätökseen on kohdistuttava täysimääräinen tuomioistuinvalvonta. Tällä viranomaisella on kuitenkin harkintavaltaa, ja se on velvollinen toimimaan vain silloin, kun lainmukaisia vaihtoehtoja ei ole määritettävissä.

37	Toiseksi ennakkoratkaisua pyytänyt tuomioistuin epäilee kahdelta kannalta sitä, onko luottotietopalveluja tarjoavien yritysten toteuttama maksukyvyttömyysrekisterin kaltaisesta julkisesta rekisteristä peräisin olevien henkilön luottokelpoisuutta koskevien tietojen säilyttäminen lainmukaista.

38	Ensiksi sillä on epäilyjä siitä, onko lainmukaista, että SCHUFA:n kaltainen yksityinen yhtiö säilyttää julkisista rekistereistä siirrettyjä tietoja omissa tietokannoissaan.

Ennakkoratkaisua pyytäneen tuomioistuimen mukaan nimittäin on niin, että ensiksi kyseisiä tietoja ei säilytetä konkreettisesta syystä vaan siltä varalta, että heidän sopimuskumppaninsa pyytävät heiltä tällaisia tietoja, ja siitä seuraa viime kädessä tietojen säilyttäminen kaiken varalta erityisesti silloin, kun ne on jo poistettu kansallisesta rekisteristä säilyttämisajan päättymisen vuoksi.

Lisäksi se arvioi, että tietojen käsittely ja siis säilyttäminen on sallittua vain, jos jokin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetyistä edellytyksistä täyttyy. Nyt käsiteltävissä asioissa kyseeseen tulee ainoastaan kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa tarkoitettu edellytys. On kuitenkin kyseenalaista, toteuttaako SCHUFA:n kaltainen luottotietopalveluja tarjoava yritys oikeutettua etua tässä säännöksessä tarkoitetussa merkityksessä.

41	Se toteaa, että SCHUFA on vain yksi luottotietopalveluja tarjoava yritys muiden joukossa, joten tietoja säilytetään Saksassa tällä tavoin useissa eri paikoissa, mikä merkitsee vakavaa puuttumista perusoikeuskirjan 7 artiklassa taattuun perusoikeuteen.

42	Toiseksi ennakkoratkaisua pyytäneen tuomioistuimen mukaan on niin, että vaikka oletettaisiin, että yksityisten yhtiöiden toteuttama julkisista rekistereistä lähtöisin olevien tietojen säilyttäminen on sellaisenaan lainmukaista, herää kysymys, kuinka pitkään tällainen säilyttäminen voi jatkua.

Ennakkoratkaisua pyytänyt tuomioistuin on tältä osin sillä kannalla, että nämä yksityiset yhtiöt olisi velvoitettava noudattamaan InsoBekV:n 3 §:ssä säädettyä kuuden kuukauden määräaikaa, joka on asetettu jäännösveloista vapauttamista koskevien päätösten säilyttämiselle maksukyvyttömyysrekisterissä. Näin ollen tiedot, jotka on poistettava julkisesta rekisteristä, on myös poistettava samanaikaisesti kaikkien nämä tiedot säilyttäneiden luottotietopalveluja tarjoavien yritysten rekistereistä.

Näin ollen herää kysymys siitä, onko yleisen tietosuoja-asetuksen 40 artiklan mukaisesti hyväksytyt käytännesäännöt, joiden mukaan määräaika jäännösveloista vapauttamista koskevan merkinnän poistamiselle on kolme vuotta, otettava huomioon yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan nojalla suoritettavan arvioinnin yhteydessä tehtävässä punninnassa.

Tässä tilanteessa Verwaltungsgericht Wiesbaden on päättänyt lykätä asioiden käsittelyä ja esittää unionin tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

”1)

Onko [yleisen tietosuoja-asetuksen] 77 artiklan 1 kohtaa, luettuna yhdessä 78 artiklan 1 kohdan kanssa, tulkittava siten, että valvontaviranomaisen asianomaiselle ilmoittama ratkaisu

–

on luonteeltaan vetoomusta koskeva päätös, jolloin valvontaviranomaisen kantelun perusteella tekemään päätökseen kohdistuva yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan mukainen tuomioistuinvalvonta rajoittuu lähtökohtaisesti koskemaan vain sitä, onko kyseinen viranomainen ottanut kantelun käsiteltäväkseen, tutkinut asianmukaisesti kantelun kohteen ja ilmoittanut kantelun tekijälle tutkinnan tuloksista,

vai siten, että

–

se on ymmärrettävä viranomaisen asiaratkaisuksi, jolloin valvontaviranomaisen kantelun perusteella tekemään päätökseen kohdistuva yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan mukainen tuomioistuinvalvonta johtaa siihen, että tuomioistuimen on valvottava täysimääräisesti asiaratkaisua, jolloin tuomioistuin voi yksittäistapauksessa – esimerkiksi siinä tapauksessa, ettei harkintavaltaa ole – myös velvoittaa valvontaviranomaisen toteuttamaan yleisen tietosuoja-asetuksen 58 artiklassa tarkoitetun konkreettisen toimenpiteen?

Onko yksityisen luottotietopalveluja tarjoavan yrityksen toteuttama tietojen säilyttäminen, jonka yhteydessä ilman konkreettista syytä säilytetään julkisesta rekisteristä, kuten [asetuksen] 2015/848 79 artiklan 4 ja 5 kohdassa tarkoitetuista kansallisista tietokannoista, peräisin olevia henkilötietoja, jotta tietoja voidaan antaa pyydettäessä, yhteensopivaa [perusoikeuskirjan] 7 ja 8 artiklan kanssa?

Ovatko rinnakkaiset yksityiset tietokannat (erityisesti yksityisen luottotietopalveluja tarjoavan yrityksen ylläpitämät tietokannat), joita on perustettu valtion tietokantojen lisäksi ja joissa valtion tietokannoista peräisin olevia tietoja (käsiteltävässä asiassa maksukyvyttömyyttä koskevia ilmoituksia) säilytetään pidempään kuin asetuksen 2015/848, luettuna yhdessä kansallisen oikeuden kanssa, tiukoissa rajoissa on säädetty, lähtökohtaisesti sallittuja?

b)	Jos kolmannen kysymyksen a kohtaan vastataan myöntävästi, seuraako [yleisen tietosuoja-asetuksen] 17 artiklan 1 kohdan d alakohdassa säädetystä oikeudesta tulla unohdetuksi, että nämä tiedot on poistettava, kun julkisen rekisterin osalta säädetty tietojen käsittelyn kestoaika on päättynyt?

Siltä osin kuin ainoastaan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohta voi olla oikeudellisena perustana myös yksityisten luottotietopalveluja tarjoavien yritysten toteuttamalle julkisiin rekistereihin tallennettujen tietojen säilyttämiselle, onko katsottava, että tällaisella yrityksellä on oikeutettu intressi jo silloin, kun kyseiseen rekisteriin on siirretty tiedot julkisesta rekisteristä ilman konkreettista syytä, jotta nämä tiedot ovat pyydettäessä saatavilla?

Voidaanko valvontaviranomaisten yleisen tietosuoja-asetuksen 40 artiklan mukaisesti hyväksymillä käytännesäännöillä, joissa määrätään julkisten rekisterien määräajat ylittävistä tarkistamista ja poistamista koskevista määräajoista, syrjäyttää yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdassa edellytetty vertailu?”

46	Unionin tuomioistuimen presidentin 11.2.2022 tekemällä päätöksellä asiat C‑26/22 ja C‑64/22 yhdistettiin kirjallista ja suullista käsittelyä sekä tuomion antamista varten.

Ennakkoratkaisukysymysten tarkastelu

Ensimmäinen kysymys

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee ensimmäisellä kysymyksellään pääasiallisesti sitä, onko yleisen tietosuoja-asetuksen 78 artiklan 1 kohtaa tulkittava siten, että valvontaviranomaisen tekemän kantelua koskevan päätöksen tuomioistuinvalvonta rajoittuu sen tutkimiseen, onko kyseinen viranomainen ottanut kantelun käsiteltäväkseen, tutkinut asianmukaisesti sen kohteen ja antanut kantelun tekijälle tiedon tutkinnan tuloksista, vai onko kyseisen päätöksen oltava täysimääräisen tuomioistuinvalvonnan kohteena siten, että asiaa käsittelevä tuomioistuin on toimivaltainen määräämään valvontaviranomaisen toteuttamaan konkreettisen toimenpiteen.

Esitettyyn kysymykseen vastaamiseksi aluksi on syytä muistuttaa, että unionin oikeussäännön tulkinta edellyttää, että huomioon otetaan paitsi sen sanamuoto myös asiayhteys, johon se kuuluu, sekä sen toimen tavoitteet ja tarkoitus, jonka osa se on (tuomio 22.6.2023, Pankki S, C‑579/21, EU:C:2023:501, 38 kohta oikeuskäytäntöviittauksineen).

Yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan sanamuodosta on todettava, että kyseisen säännöksen mukaan jokaisella luonnollisella henkilöllä tai oikeushenkilöllä on oikeus tehokkaisiin oikeussuojakeinoihin itseään koskevaa valvontaviranomaisen oikeudellisesti sitovaa päätöstä vastaan, sanotun kuitenkaan rajoittamatta muita hallinnollisia muutoksenhakukeinoja tai tuomioistuimen ulkopuolisia oikeussuojakeinoja.

Tältä osin on todettava aluksi, että nyt käsiteltävissä asioissa HBDI:n tekemät päätökset ovat tämän 78 artiklan 1 kohdassa tarkoitettuja oikeudellisesti sitovia päätöksiä. Kyseinen viranomainen totesi nimittäin tutkittuaan käsiteltäväkseen saatettujen kanteluiden perusteltavuuden, että kantajien pääasioissa riitauttama henkilötietojen käsittely oli lainmukaista yleisen tietosuoja-asetuksen perusteella. Näiden päätösten oikeudellinen sitovuus vahvistetaan lisäksi kyseisen asetuksen johdanto-osan 143 perustelukappaleessa, jonka mukaan sitä, että valvontaviranomainen jättää kantelun käsittelemättä tai hylkää sen, on pidettävä päätöksenä, joka tuottaa tämän kantelun tekijää koskevia oikeusvaikutuksia.

51	On myös todettava, että tästä säännöksestä, luettuna tämän asetuksen johdanto-osan 141 perustelukappaleen valossa, käy nimenomaisesti ilmi, että jokaisella rekisteröidyllä on oikeus turvautua tehokkaisiin oikeussuojakeinoihin perusoikeuskirjan 47 artiklan mukaisesti.

Unionin tuomioistuin on näin ollen jo katsonut, että yleisen tietosuoja-asetuksen 78 artiklan 1 kohdasta, luettuna kyseisen asetuksen johdanto‑osan 143 perustelukappaleen valossa, käy ilmi, että tuomioistuimilla, joilta haetaan oikeussuojaa valvontaviranomaisen päätöstä vastaan, on oltava toimivalta kaikilta osin ja erityisesti toimivalta tutkia kaikki niiden käsiteltäväksi saatettuun asiaan liittyvät tosiseikkoja ja oikeudellisia seikkoja koskevat kysymykset (tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 41 kohta).

Näin ollen yleisen tietosuoja-asetuksen 78 artiklan 1 kohtaa ei voida tulkita siten, että valvontaviranomaisen tekemään kantelua koskevaan päätökseen kohdistuva tuomioistuinvalvonta rajoittuu sen tutkimiseen, onko kyseinen viranomainen ottanut kantelun käsiteltäväkseen, tutkinut asianmukaisesti sen kohteen ja antanut kantelun tekijälle tiedon tutkinnan tuloksista. Päinvastoin on niin, että jotta oikeussuojakeino olisi tehokas, kuten tässä säännöksessä edellytetään, tällaisen päätöksen on oltava täysimääräisen tuomioistuinvalvonnan kohteena.

54	Tätä tulkintaa tukevat yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan asiayhteys sekä kyseisen asetuksen tavoitteet ja tarkoitus.

Kyseisen säännöksen asiayhteydestä on todettava, että perusoikeuskirjan 8 artiklan 3 kohdan ja yleisen tietosuoja-asetuksen 51 artiklan 1 kohdan ja 57 artiklan 1 kohdan a alakohdan mukaan kansalliset valvontaviranomaiset ovat vastuussa niiden unionin säännösten noudattamisen valvonnasta, jotka koskevat luonnollisten henkilöiden suojelua henkilötietojen käsittelyssä (tuomio 16.7.2020, Facebook Ireland ja Schrems, C‑311/18, EU:C:2020:559, 107 kohta).

Erityisesti yleisen tietosuoja-asetuksen 57 artiklan 1 kohdan f alakohdan nojalla jokaisen valvontaviranomaisen on alueellaan käsiteltävä kantelut, joita tämän asetuksen 77 artiklan 1 kohdan mukaan jokaisella rekisteröidyllä on oikeus tehdä, jos hän katsoo, että häntä koskevien henkilötietojen käsittelyssä rikotaan tätä asetusta, ja tutkittava siinä määrin kuin se on asianmukaista kantelun kohdetta. Valvontaviranomaisen asiana on tutkia tällainen kantelu kaikkea asianmukaista huolellisuutta noudattaen (tuomio 16.7.2020, Facebook Ireland ja Schrems, C‑311/18, EU:C:2020:559, 109 kohta).

Yleisen tietosuoja-asetuksen 58 artiklan 1 kohdassa annetaan kullekin valvontaviranomaiselle kanteluiden käsittelemistä varten merkittävät tutkintavaltuudet. Jos tällainen viranomainen tutkintansa päätteeksi toteaa, että tämän asetuksen säännöksiä on rikottu, sen on reagoitava asianmukaisesti todetun puutteellisuuden korjaamiseksi. Tätä varten asetuksen 58 artiklan 2 kohdassa luetellaan korjaavat toimenpiteet, joita valvontaviranomainen voi käyttää (ks. vastaavasti tuomio 16.7.2020, Facebook Ireland ja Schrems, C‑311/18, EU:C:2020:559, 111 kohta).

58	Kuten julkisasiamies on todennut ratkaisuehdotuksensa 42 kohdassa, tästä seuraa, että kantelumenettely, joka ei ole vetoomusmenettely, on tarkoitettu mekanismiksi, jolla suojellaan tehokkaasti rekisteröityjen oikeuksia ja etuja.

Kun otetaan huomioon valvontaviranomaisella yleisen tietosuoja-asetuksen nojalla olevat laajat toimivaltuudet, tehokasta oikeussuojaa koskevaa vaatimusta ei noudatettaisi, jos tällaisen valvontaviranomaisen tutkintavaltuuksien käyttämistä tai korjaavien toimenpiteiden toteuttamista koskevat päätökset olisivat ainoastaan rajoitetun tuomioistuinvalvonnan kohteena.

60	Sama koskee kantelun hylkäämistä koskevia päätöksiä, koska yleisen tietosuoja-asetuksen 78 artiklan 1 kohdassa ei erotella valvontaviranomaisen tekemiä päätöksiä niiden luonteen perusteella.

Yleisen tietosuoja-asetuksen tavoitteiden osalta on todettava, että etenkin kyseisen asetuksen johdanto-osan kymmenennestä perustelukappaleesta ilmenee, että sen tarkoituksena on varmistaa korkeatasoinen luonnollisten henkilöiden suojelu henkilötietojen käsittelyssä unionissa. Tämän asetuksen johdanto-osan 11 perustelukappaleessa todetaan lisäksi, että henkilötietojen suojaaminen tehokkaasti edellyttää rekisteröityjen oikeuksien vahvistamista.

Jos tämän asetuksen 78 artiklan 1 kohtaa olisi tulkittava siten, että siinä tarkoitettu tuomioistuinvalvonta rajoittuisi sen tutkimiseen, onko kyseinen viranomainen ottanut kantelun käsiteltäväkseen, tutkinut asianmukaisesti sen kohteen ja antanut kantelun tekijälle tiedon tutkinnan tuloksista, saman asetuksen tavoitteiden saavuttaminen ja tarkoituksen toteutuminen vaarantuisivat väistämättä.

Lisäksi kyseisen säännöksen tulkinta, jonka mukaan valvontaviranomaisen tekemän kantelua koskeva päätös on täysimääräisen tuomioistuinvalvonnan kohteena, ei vaaranna valvontaviranomaisten riippumattomuuden takeita eikä oikeutta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan.

Ensinnäkin on totta, että perusoikeuskirjan 8 artiklan 3 kohdan mukaan riippumaton viranomainen valvoo henkilötietojen suojaa koskevien sääntöjen noudattamista. Tässä yhteydessä yleisen tietosuoja-asetuksen 52 artiklassa täsmennetään erityisesti, että kukin valvontaviranomainen toimii täysin riippumattomasti hoitaessaan tehtäviään ja käyttäessään valtuuksiaan tämän asetuksen mukaisesti (1 kohta), että minkään valvontaviranomaisen jäseneen tai jäseniin ei saa vaikuttaa ulkopuolelta suoraan eikä välillisesti heidän hoitaessaan tehtäviään ja käyttäessään valtuuksiaan (2 kohta) ja että kunkin jäsenvaltion on varmistettava, että jokaiselle valvontaviranomaiselle osoitetaan resurssit, jotka ovat tarpeen tehtävien suorittamiseksi ja valtuuksien käyttämiseksi tehokkaasti (4 kohta).

65	Näitä riippumattomuuden takeita ei kuitenkaan millään tavoin vaaranna se, että valvontaviranomaisen oikeudellisesti sitovat päätökset ovat täysimääräisen tuomioistuinvalvonnan kohteena.

Toiseksi yleisen tietosuoja-asetuksen 79 artiklan 1 kohdassa säädetystä oikeudesta tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää tai henkilötietojen käsittelijää vastaan on todettava, että unionin tuomioistuimen oikeuskäytännön mukaan tämän asetuksen 78 artiklan 1 kohdassa ja 79 artiklan 1 kohdassa säädettyjä oikeussuojakeinoja voidaan käyttää samanaikaisesti ja itsenäisesti (tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 35 kohta ja tuomiolauselma). Unionin tuomioistuin on tässä yhteydessä muun muassa todennut, että useiden oikeussuojakeinojen käyttöön antaminen vahvistaa kyseisen asetuksen johdanto‑osan 141 perustelukappaleessa todettua tavoitetta taata jokaiselle rekisteröidylle, joka katsoo, että hänen kyseiseen asetukseen perustuvia oikeuksiaan on loukattu, oikeus tehokkaisiin oikeussuojakeinoihin perusoikeuskirjan 47 artiklan mukaisesti (tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 44 kohta).

Vaikka jäsenvaltioiden tehtävänä onkin menettelyllisen itsemääräämisoikeuden periaatteen mukaisesti antaa säännöt siitä, miten nämä oikeussuojakeinot nivoutuvat yhteen (tuomio 12.1.2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 45 kohta ja tuomiolauselma), yleisen tietosuoja-asetuksen 79 artiklan 1 kohdassa säädetyllä oikeudella tehokkaisiin oikeussuojakeinoihin rekisterinpitäjää ja henkilötietojen käsittelijää vastaan ei näin ollen ole vaikutusta harjoitettavan tuomioistuinvalvonnan laajuuteen haettaessa oikeussuojaa valvontaviranomaisen tekemää kantelua koskevaa päätöstä vastaan tämän asetuksen 78 artiklan 1 kohdan nojalla.

On kuitenkin lisättävä, että vaikka – kuten edellä 56 kohdassa muistutetaan – valvontaviranomaisen on käsiteltävä kantelu kaikkea vaadittavaa huolellisuutta noudattaen, tämä viranomainen voi yleisen tietosuoja-asetuksen 58 artiklan 2 kohdassa lueteltujen korjaavien toimivaltuuksien osalta käyttää harkintavaltaa valitessaan asianmukaisia ja tarpeellisia keinoja (ks. vastaavasti tuomio 16.7.2020, Facebook Ireland ja Schrems, C‑311/18, EU:C:2020:559, 112 kohta).

Vaikka kansallisella tuomioistuimella, jolta haetaan oikeussuojaa yleisen tietosuoja-asetuksen 78 artiklan 1 kohdan nojalla, on oltava – kuten edellä 52 kohdassa todetaan – toimivalta tutkia kaikilta osin kaikki kyseessä olevaan asiaan liittyvät tosiseikkoja ja oikeudellisia seikkoja koskevat kysymykset, tehokaan oikeussuojan takaaminen ei merkitse sitä, että tämä tuomioistuin voisi korvata omalla asianmukaisten ja tarpeellisten korjaavien toimenpiteiden valintaa koskevalla arvioinnillaan kyseisen viranomaisen tätä koskevan arvioinnin, vaan se edellyttää, että kyseinen tuomioistuin selvittää, onko valvontaviranomainen toiminut harkintavaltansa rajoissa.

70	Kaiken edellä esitetyn perusteella ensimmäiseen kysymykseen on vastattava, että yleisen tietosuoja-asetuksen 78 artiklan 1 kohtaa on tulkittava siten, että valvontaviranomaisen tekemän kantelua koskevan päätöksen on oltava täysimääräisen tuomioistuinvalvonnan kohteena.

Toinen, kolmas, neljäs ja viides ennakkoratkaisukysymys

Ennakkoratkaisua pyytänyt tuomioistuin kysyy toisella, kolmannella, neljännellä ja viidennellä kysymyksellään, joita on tutkittava yhdessä, pääasiallisesti seuraavaa:

–

onko yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohtaa, luettuna yhdessä kyseisen asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan kanssa, tulkittava siten, että se on esteenä luottotietopalveluja tarjoavien yksityisten yritysten käytännölle, joka muodostuu julkisesta rekisteristä lähtöisin olevien, luonnollisten henkilöjen jäännösveloista vapauttamista koskevien tietojen säilyttämisestä näiden yritysten omissa tietokannoissa ja näiden tietojen poistamisesta kolmen vuoden kuluttua saman asetuksen 40 artiklassa tarkoitettujen käytännesääntöjen mukaisesti, vaikka näiden tietojen säilytysaika julkisessa rekisterissä on kuusi kuukautta, ja

–	onko yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c ja d alakohtaa tulkittava siten, että luottotietopalveluja tarjoavan yksityisen yrityksen, joka on ottanut jäännösveloista vapauttamista koskevat tiedot julkisesta rekisteristä, on poistettava nämä tiedot.

Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohta

72	Yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi.

Tässä asiayhteydessä asetuksen 6 artiklan 1 kohdan ensimmäisessä alakohdassa vahvistetaan tyhjentävä luettelo tilanteista, joissa henkilötietojen käsittelyn voidaan katsoa olevan lainmukaista. Jotta käsittelyn voidaan siis katsoa olevan oikeutettua, sen on kuuluttava johonkin tässä säännöksessä säädetyistä tapauksista (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 90 kohta oikeuskäytäntöviittauksineen).

Nyt käsiteltävässä asiassa on kiistatonta, että pääasioissa kyseessä olevan henkilötietojen käsittelyn lainmukaisuutta on arvioitava yksinomaan yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan valossa. Tämän säännöksen mukaan käsittely on lainmukaista ainoastaan jos ja vain siltä osin kuin kyseinen käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi, paitsi milloin henkilötietojen suojaa edellyttävät rekisteröidyn edut tai perusoikeudet ja ‑vapaudet syrjäyttävät tällaiset edut, erityisesti jos rekisteröity on lapsi.

Kyseisessä säännöksessä säädetään siis kolmesta kumulatiivisesta edellytyksestä henkilötietojen käsittelyn lainmukaisuudelle, eli siinä edellytetään ensinnäkin, että tavoitellaan rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua, toiseksi, että henkilötietojen käsittely on tarpeen oikeutetun edun toteuttamiseksi, ja kolmanneksi, että henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 106 kohta oikeuskäytäntöviittauksineen).

76	Ensiksi oikeutetun edun tavoitteluun liittyvän edellytyksen osalta on todettava, että koska tätä käsitettä ei ole määritelty yleisessä tietosuoja-asetuksessa, hyvin monenlaisia etuja voidaan lähtökohtaisesti pitää oikeutettuina, kuten julkisasiamies on todennut ratkaisuehdotuksensa 61 kohdassa.

Toiseksi on todettava edellytyksestä, joka koskee henkilötietojen käsittelyn tarpeellisuutta tavoitellun oikeutetun edun toteuttamiseksi, että ennakkoratkaisua pyytäneen tuomioistuimen on sen nojalla selvitettävä, että henkilötietojen käsittelyllä tavoiteltua oikeutettua etua ei voida kohtuudella saavuttaa yhtä tehokkaasti muilla rekisteröityjen perusoikeuksia ja ‑vapauksia, erityisesti perusoikeuskirjan 7 ja 8 artiklassa taattuja yksityiselämän kunnioitusta ja henkilötietojen suojaa koskevia oikeuksia, vähemmän rajoittavilla keinoilla (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 108 kohta oikeuskäytäntöviittauksineen).

Tässä yhteydessä on myös muistutettava, että henkilötietojen käsittelyn tarpeellisuutta koskevaa edellytystä on tarkasteltava yhdessä yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan c alakohdassa vahvistetun tietojen minimoinnin periaatteen kanssa, jonka mukaan henkilötietojen on ”oltava asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa niihin tarkoituksiin, joita varten niitä käsitellään” (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 109 kohta oikeuskäytäntöviittauksineen).

Kolmanneksi unionin tuomioistuin on jo todennut edellytyksestä, jonka mukaan henkilön, jota tietosuoja koskee, edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua, että se merkitsee kyseessä olevien vastakkaisten oikeuksien ja etujen punnintaa, joka riippuu lähtökohtaisesti kunkin tapauksen konkreettisista olosuhteista, ja näin ollen ennakkoratkaisua pyytäneen tuomioistuimen on suoritettava tämä punninta ottaen huomioon nämä erityiset olosuhteet (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 110 kohta oikeuskäytäntöviittauksineen).

Lisäksi on niin, kuten yleisen tietosuoja-asetuksen johdanto-osan 47 perustelukappaleesta käy ilmi, että etenkin rekisteröidyn edut ja perusoikeudet voivat syrjäyttää rekisterinpitäjän edun, jos henkilötietoja käsitellään olosuhteissa, joissa rekisteröity ei voi kohtuudella odottaa tällaista käsittelyä (tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 112 kohta oikeuskäytäntöviittauksineen).

Vaikka ennakkoratkaisua pyytäneen tuomioistuimen onkin viime kädessä selvitettävä, täyttyvätkö edellä 75 kohdassa kerratut kolme edellytystä pääasioissa kyseessä olevan henkilötietojen käsittelyn osalta, unionin tuomioistuin voi ennakkoratkaisupyyntöä käsitellessään tehdä täsmennyksiä ohjatakseen tätä tuomioistuinta kyseisessä selvityksessä (ks. vastaavasti tuomio 20.10.2022, Digi, C‑77/21, EU:C:2022:805, 39 kohta oikeuskäytäntöviittauksineen).

Nyt käsiteltävissä asioissa oikeutetun edun tavoittelun osalta SCHUFA väittää, että luottotietopalveluja tarjoavat yritykset käsittelevät tietoja, jotka ovat tarpeen henkilöiden tai yritysten luottokelpoisuuden arvioimisessa, voidakseen saattaa nämä tiedot sopimuskumppaneidensa saataville. Sen lisäksi, että toiminta suojaa sellaisten yritysten taloudellisia etuja, jotka haluavat solmia luottoon liittyviä sopimuksia, luottokelpoisuuden määrittäminen ja luottokelpoisuutta koskevien tietojen tarjoaminen ovat myös luotonantamisen ja talouden toimintakyvyn perusta. SCHUFA:n mukaan näiden yhtiöiden toiminta auttaa myös luottoihin liittyvistä liiketoimista kiinnostuneiden henkilöiden kaupallisten suunnitelmien konkretisoimisessa, sillä kyseisten tietojen perusteella näitä liiketoimia voidaan arvioida nopeasti ja ilman byrokratiaa.

Tältä osin pääasioissa kyseessä olevan kaltainen henkilötietojen käsittely palvelee SCHUFA:n taloudellisia etuja, mutta kyseisellä käsittelyllä tavoitellaan myös SCHUFA:n sopimuskumppaneiden, jotka aikovat tehdä luottoihin liittyviä sopimuksia henkilöiden kanssa, perusteltua etua voida arvioida kyseisten henkilöiden luottokelpoisuutta ja näin ollen luottoalan etuja yhteiskunnallisella ja taloudellisella tasolla.

Kuluttajaluottosopimusten osalta direktiivin 2008/48/EY 8 artiklasta, luettuna yhdessä sen johdanto-osan 28 perustelukappaleen valossa, käy ilmi, että luotonantajan on arvioitava ennen luottosopimuksen tekemistä kuluttajan luottokelpoisuus riittävien tietojen, mukaan luettuna tarvittaessa yksityisistä tai julkisista tietokannoista lähtöisin olevat tiedot, perusteella.

Lisäksi kuluttajille tarkoitettujen kiinteää asunto-omaisuutta koskevien luottosopimusten osalta direktiivin 2014/17 18 artiklan 1 kohdasta ja 21 artiklan 1 kohdasta, luettuina yhdessä sen johdanto-osan 55 ja 59 perustelukappaleen valossa, ilmenee, että luotonantajan on arvioitava kuluttajan luottokelpoisuus perinpohjaisesti ja tällä on oltava pääsy luottotietorekistereihin, koska tietojen hakeminen tällaisista luottotietokannoista on hyödyllinen osa tätä arviointia.

On lisättävä, että direktiiveissä 2008/48 ja 2014/17 tarkoitetun kuluttajien luottokelpoisuuden arviointia koskevan velvollisuuden tarkoituksena ei ole ainoastaan luotonhakijan suojeleminen vaan myös, kuten direktiivin 2008/48 johdanto-osan 26 perustelukappaleessa korostetaan, koko luottojärjestelmän moitteettoman toiminnan takaaminen.

Lisäksi kuitenkin edellytetään, että tietojen käsittely on tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi ja että rekisteröidyn edut tai perusoikeudet ja ‑vapaudet eivät syrjäytä näitä. Kyseessä olevien vastakkaisten – eli yhtäältä rekisterinpitäjän ja asianomaisten kolmasien ja toisaalta rekisteröidyn – oikeuksien ja etujen punninnassa on otettava huomioon, kuten edellä 80 kohdassa on todettu, muun muassa rekisteröidyn kohtuulliset odotukset sekä kyseessä olevan käsittelyn laajuus ja vaikutus, joka sillä on tähän henkilöön (ks. tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 116 kohta).

Yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan osalta unionin tuomioistuin on todennut, että tätä säännöstä on tulkittava siten, että käsittelyn voidaan katsoa olevan tarpeen rekisterinpitäjän tai kolmannen osapuolen oikeutettujen etujen toteuttamiseksi tässä säännöksessä tarkoitetussa merkityksessä ainoastaan sillä edellytyksellä, että käsittely suoritetaan tämän oikeutetun edun toteuttamiselle täysin välttämättömän rajoissa ja että vastakkaisten etujen punninnasta käy ilmi, kun otetaan huomioon kaikki merkitykselliset olosuhteet, että rekisteröityjen, joita kyseessä oleva käsittely koskee, edut tai perusoikeudet- ja vapaudet eivät syrjäytä kyseistä rekisterinpitäjän tai kolmannen osapuolen oikeutettua etua (ks. vastaavasti tuomio 4.5.2017, Rīgas satiksme, C‑13/16, EU:C:2017:336, 30 kohta ja tuomio 4.7.2023, Meta Platforms ym. (Yhteisöpalvelun yleiset käyttöehdot), C‑252/21, EU:C:2023:537, 126 kohta).

Tässä yhteydessä ennakkoratkaisua pyytänyt tuomioistuin viittaa kahteen näkökohtaan pääasioissa kyseessä olevassa henkilötietojen käsittelyssä. Ensinnäkin tämä käsittely merkitsee sen mukaan tietojen säilyttämistä monimuotoisesti eli paitsi julkisessa rekisterissä myös luottotietopalveluja tarjoavien yritysten tietokannoissa, ja on täsmennettävä, että kyseiset yritykset eivät säilytä näitä tietoja konkreettisesta syystä vaan siltä varalta, että niiden sopimuskumppanit pyytävät niiltä tällaisia tietoja. Toiseksi kyseiset yhtiöt säilyttävät näitä tietoja kolmen vuoden ajan, ja tämä tapahtuu yleisen tietosuoja-asetuksen 40 artiklassa tarkoitettujen käytännesääntöjen perusteella, vaikka kansallisessa lainsäädännössä säädetään julkisten rekisterien osalta vain kuuden kuukauden säilytysajasta.

90	Ensimmäisen näkökohdan osalta SCHUFA väittää, että on mahdotonta toimittaa tietoja ajoissa, jos luottotietopalveluja tarjoavan yrityksen on odotettava konkreettista pyyntöä ennen kuin se voi aloittaa tietojen keräämisen.

Tältä osin ennakkoratkaisua pyytäneen tuomioistuimen on selvitettävä, rajoittuuko SCHUFA:n toteuttama kyseessä olevien tietojen säilyttäminen täysin välttämättömään tavoitellun oikeutetun edun toteuttamisen kannalta, kun kyseessä oleviin tietoihin voidaan tutustua julkisissa rekistereissä ilman, että kaupallinen yritys pyytää tietoja konkreettisessa tapauksessa. Jos asia ei ole näin, SCHUFA:n toteuttamaa tietojen säilyttämistä ei voida pitää tarpeellisena sinä aikana, kun kyseiset tiedot ovat yleisön saatavilla.

Tietojen säilytyksen keston osalta on katsottava, että edellä 75 kohdassa mieleen palautettujen toisen ja kolmannen edellytyksen tarkastelu on päällekkäistä siltä osin kuin sen arvioiminen, ovatko pääasioissa kyseessä olevalla henkilötietojen käsittelyllä tavoitellut oikeutetut edut kohtuudella saavutettavissa lyhyemmällä säilytysajalla, edellyttää kyseessä olevien vastakkaisten oikeuksien ja etujen punnintaa.

Tavoiteltujen oikeutettujen etujen punninnan osalta on todettava, että siltä osin kuin luottotietopalveluja tarjoavien yritysten tekemän arvioinnin avulla voidaan arvioida objektiivisesti ja luotettavasti näitä luottotietopalveluja tarjoavan yrityksen sopimuskumppanien mahdollisten asiakkaiden luottokelpoisuutta, sen avulla voidaan tasapainottaa eroja tietojen määrässä ja näin ollen vähentää petoksen vaaraa sekä muita epävarmuustekijöitä.

Sitä vastoin rekisteröidyn oikeuksista ja eduista on todettava, että luottotietopalveluja tarjoavien yritysten suorittamaa jäännösveloista vapauttamista koskevien tietojen käsittelyä, kuten näiden tietojen säilyttämistä, analysointia ja luovuttamista kolmannelle, on pidettävä vakavana puuttumisena rekisteröidyn perusoikeuksiin, jotka on vahvistettu perusoikeuskirjan 7 ja 8 artiklassa. Tällaiset tiedot nimittäin vaikuttavat kielteisesti rekisteröidyn luottokelpoisuuden arvioinnissa ja ovat näin ollen hänen yksityiselämäänsä koskevia arkaluonteisia tietoja (ks. vastaavasti tuomio 13.5.2014, Google Spain ja Google, C‑131/12, EU:C:2014:317, 98 kohta). Niiden käsittely voi siis vahingoittaa huomattavasti rekisteröidyn etuja, koska tällainen tietojen luovuttaminen on omiaan vaikeuttamaan merkittävästi hänen vapauksiensa käyttämistä, erityisesti kun kyse on perustarpeiden täyttämisestä.

Kuten komissio on todennut, lisäksi on niin, että mitä pidempään luottotietopalveluja tarjoavat yritykset säilyttävät kyseessä olevia tietoja, sitä huomattavammin rekisteröidyn etuihin ja yksityiselämään vaikutetaan ja sitä tiukemmat ovat näiden tietojen säilyttämisen lainmukaisuutta koskevat vaatimukset.

Lisäksi on todettava, että kuten asetuksen 2015/848 johdanto-osan 76 perustelukappaleesta käy ilmi, julkisen maksukyvyttömyysrekisterin tarkoituksena on parantaa velkojien ja tuomioistuinten tiedonsaantia. Tässä yhteydessä kyseisen asetuksen 79 artiklan 5 kohdassa säädetään ainoastaan, että jäsenvaltioiden on ilmoitettava rekisteröidyille aika, jonka maksukyvyttömyysrekistereihin tallennetut henkilötiedot ovat saatavilla, eikä siinä aseteta määräaikaa kyseisten tietojen säilyttämiselle. Sitä vastoin tämän asetuksen 79 artiklan 4 kohdasta ilmenee, että jäsenvaltiot ovat sen mukaisesti vastuussa henkilötietojen keräämisestä ja säilyttämisestä kansallisissa tietokannoissa. Näiden tietojen säilytysaika on siis määritettävä tämän asetuksen mukaisesti.

Nyt käsiteltävissä asioissa Saksan lainsäätäjän on säätänyt, että jäännösveloista vapauttamista koskevia tietoja säilytetään maksukyvyttömyysrekisterissä vain kuuden kuukauden ajan. Se on siis katsonut, että kuuden kuukauden määräajan päätyttyä rekisteröidyn oikeudet ja edut syrjäyttävät yleisön oikeudet ja edut saada kyseiset tiedot käyttöönsä.

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 75 kohdassa, jäännösveloista vapauttamisen tarkoituksena on lisäksi antaa vapautuksen saaneelle mahdollisuus osallistua uudelleen talouselämään ja näin ollen sillä on yleensä ratkaiseva merkitys tälle henkilölle. Tämän tavoitteen saavuttaminen vaarannetaan, jos luottotietopalveluja tarjoavat yritykset voivat henkilön taloudellisen tilanteen arviointia varten säilyttää jäännösveloista vapauttamista koskevia tietoja ja käyttää tällaisia tietoja sen jälkeen, kun ne on poistettu julkisesta maksukyvyttömyysrekisteristä, koska näitä tietoja yhä käytettäisiin kielteisenä tekijänä tällaisen henkilön luottokelpoisuuden arvioinnissa.

Näin ollen luottoalan edut, jotka koskevat jäännösveloista vapauttamista koskevien tietojen käyttöön saamista, eivät voi oikeuttaa pääasioissa kyseessä olevan kaltaista henkilötietojen käsittelyä tietojen säilyttämiselle julkisessa maksukyvyttömyysrekisterissä asetetun määräajan päätyttyä, joten luottotietopalveluja tarjoavat yritykset eivät voi säilyttää näitä tietoja yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan perusteella sen jälkeen, kun nämä tiedot on poistettu julkisesta maksukyvyttömyysrekisteristä.

100

Kuuden kuukauden ajanjakson, jonka aikana kyseessä olevat tiedot ovat myös saatavilla tässä julkisessa rekisterissä, osalta on todettava, että sen, että näitä tietoja säilytetään rinnakkaisesti tällaisen yrityksen tietokannoissa, vaikutuksia voidaan pitää vähemmän vakavina kuin kuuden kuukauden kuluttua, mutta tämä säilyttäminen merkitsee kuitenkin puuttumista perusoikeuskirjan 7 ja 8 artiklassa vahvistettuihin oikeuksiin. Tältä osin unionin tuomioistuin on jo todennut, että se, että samoja henkilötietoja on useissa lähteissä, vakavoittaa puuttumista henkilön yksityisyyden suojaa koskevaan oikeuteen (tuomio 13.5.2014, Google Spain, C‑131/12, EU:C:2014:317, 86 ja 87 kohta). Ennakkoratkaisua pyytäneen tuomioistuimen on punnittava kyseessä olevia etuja ja rekisteröityihin kohdistuvia vaikutuksia sen selvittämiseksi, voidaanko katsoa, että luottotietopalveluja tarjoavien yritysten toteuttama näiden tietojen samanaikainen säilyttäminen rajoittuu täysin välttämättömään, kuten edellä 88 kohdassa mainitussa unionin tuomioistuimen oikeuskäytännössä edellytetään.

101

Lopuksi nyt käsiteltävissä asioissa kyseessä olevien kaltaisista käytännesäännöistä, joiden mukaan luottotietopalveluja tarjoavien yritysten on poistettava jäännösveloista vapauttamista koskevat tiedot kolmen vuoden määräajan päätyttyä, on palautettava mieleen, että yleisen tietosuoja-asetuksen 40 artiklan 1 ja 2 kohdan mukaan käytännesääntöjen avulla tuetaan tämän asetuksen asianmukaista soveltamista, ottaen huomioon käsittelyn erityispiirteet eri sektoreilla ja mikroyritysten sekä pienten ja keskisuurten yritysten erityistarpeet. Yhdistykset ja muut elimet, jotka edustavat rekisterinpitäjien tai henkilötietojen käsittelijöiden eri ryhmiä, voivat näin ollen tämän asetuksen säännösten soveltamisen täsmentämiseksi laatia käytännesääntöjä tai muuttaa tai laajentaa niitä esimerkiksi käsittelyn asianmukaisuuden ja läpinäkyvyyden, rekisterinpitäjän oikeutettujen etujen tietyissä yhteyksissä ja henkilötietojen keräämisen osalta.

102	Lisäksi yleisen tietosuoja-asetuksen 40 artiklan 5 kohdan mukaan käytännesääntöjen luonnos toimitetaan toimivaltaiselle valvontaviranomaiselle, joka hyväksyy tämän luonnoksen, jos se katsoo sen tarjoavan riittävät asianmukaiset takeet.

103	Nyt pääasioissa kyseessä olevat käytännesäännöt on laatinut saksalaisia luottotietopalveluja tarjoavia yrityksiä edustava yhdistys ja toimivaltainen valvontaviranomainen on hyväksynyt ne.

104

Yleisen tietosuoja-asetuksen 40 artiklan 1 ja 2 kohdan mukaan käytännesääntöjen avulla tuetaan tämän asetuksen asianmukaista soveltamista ja täsmennetään sen säännösten soveltamista, mutta on kuitenkin niin – kuten julkisasiamies on todennut ratkaisuehdotuksensa 103 ja 104 kohdassa –, että tällaisissa käytännesäännöissä vahvistetut henkilötietojen käsittelyn lainmukaisuudelle asetetut edellytykset eivät voi poiketa yleisen tietosuoja-asetuksen 6 artiklan 1 kohdassa säädetyistä edellytyksistä.

105	Näin ollen käytännesääntöjä, jotka johtavat erilaiseen arviointiin kuin yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan perusteella, ei voida ottaa huomioon tämän säännöksen nojalla tehtävässä punninnassa.

Yleisen tietosuoja-asetuksen 17 artikla

106	Lopuksi ennakkoratkaisua pyytäneellä tuomioistuimella on epäilyksiä velvollisuuksista, jotka luottotietopalveluja tarjoavalla yrityksellä on yleisen tietosuoja-asetuksen 17 artiklan nojalla.

107

Tältä osin on palautettava mieleen, että yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohdan, johon ennakkoratkaisua pyytänyt tuomioistuin viittaa, mukaan rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä ja rekisterinpitäjällä on velvollisuus poistaa henkilötiedot ilman aiheetonta viivytystä silloin, kun henkilötietoja on käsitelty lainvastaisesti.

108

Kyseisen säännöksen selkeän sanamuodon mukaan on näin ollen niin, että siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin katsoo pääasioissa kyseessä olevan henkilötietojen käsittelyn lainmukaisuutta koskevan arviointinsa päätteeksi, että kyseinen käsittely ei ole lainmukaista, rekisterinpitäjän – joka tässä tapauksessa on SCHUFA – on poistettava asianomaiset tiedot ilman aiheetonta viivytystä. Kuten edellä 99 kohdassa todetaan, näin on asia henkilötietojen käsittelyn osalta, joka suoritetaan tietojen säilyttämiselle julkisessa maksukyvyttömyysrekisterissä asetetun kuuden kuukauden määräajan päätyttyä.

109

Niiden kuuden kuukauden aikana, jolloin tiedot ovat saatavilla julkisessa maksukyvyttömyysrekisterissä, suoritettavan käsittelyn osalta on todettava, että siinä tapauksessa, että ennakkoratkaisua pyytänyt tuomioistuin katsoo, että käsittely on yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan mukaista, sovelletaan tämän asetuksen 17 artiklan 1 kohdan c alakohtaa.

110

Tässä säännöksessä säädetään oikeudesta henkilötietojen poistamiseen tilanteessa, jossa rekisteröity vastustaa käsittelyä yleisen tietosuoja-asetuksen 21 artiklan 1 kohdan nojalla eikä ”käsittelylle ole olemassa ensisijaista perusteltua syytä”. Viimeksi mainitun säännöksen nojalla rekisteröidyllä on oikeus henkilökohtaiseen erityiseen tilanteeseensa liittyvällä perusteella milloin tahansa vastustaa häntä koskevien henkilötietojen käsittelyä, joka perustuu yleisen tietosuoja-asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan e tai f alakohtaan. Rekisterinpitäjä ei saa enää käsitellä henkilötietoja, paitsi jos rekisterinpitäjä voi osoittaa, että käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka syrjäyttää rekisteröidyn edut, oikeudet ja vapaudet, tai jos se on tarpeen oikeudellisen vaatimuksen laatimiseksi, esittämiseksi tai puolustamiseksi.

111

Kuten julkisasiamies on todennut ratkaisuehdotuksensa 93 kohdassa, näistä säännöksistä yhdessä seuraa, että rekisteröidyllä on oikeus vastustaa käsittelyä ja oikeus tietojen poistamiseen, ellei ole olemassa yleisen tietosuoja-asetuksen 21 artiklan 1 kohdassa tarkoitettuja ensisijaisia perusteltuja syitä, jotka syrjäyttävät tämän henkilön edut, oikeudet ja vapaudet, mikä rekisterinpitäjän on näytettävä toteen.

112

Näin ollen on niin, että ellei rekisterinpitäjä toimita tällaista näyttöä, rekisteröidyllä on oikeus vaatia näiden tietojen poistamista yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c alakohdan perusteella silloin, kun hän vastustaa käsittelyä kyseisen asetuksen 21 artiklan 1 kohdan nojalla. Ennakkoratkaisua pyytäneen tuomioistuimen on tutkittava, onko poikkeuksellisesti olemassa ensisijainen perusteltu syy, jolla kyseessä oleva käsittely voidaan oikeuttaa.

113

Kaiken edellä esitetyn perusteella toiseen, kolmanteen, neljänteen ja viidenteen kysymykseen on vastattava seuraavasti:

–

yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohtaa, luettuna yhdessä tämän asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan kanssa, on tulkittava siten, että se on esteenä luottotietopalveluja tarjoavien yksityisten yritysten käytännölle, joka muodostuu julkisesta rekisteristä lähtöisin olevien luonnollisten henkilöjen jäännösveloista vapauttamista koskevien tietojen säilyttämisestä näiden yritysten omissa tietokannoissa kyseisten henkilöiden luottokelpoisuutta koskevien tietojen tarjoamiseksi sen jälkeen, kun näiden tietojen säilytysaika julkisessa rekisterissä on päättynyt

–

yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan c alakohtaa on tulkittava siten, että rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä silloin, kun hän vastustaa käsittelyä kyseisen asetuksen 21 artiklan 1 kohdan nojalla eikä ole ensisijaisia perusteltuja syitä, joilla kyseessä oleva käsittely voidaan poikkeuksellisesti oikeuttaa

–	yleisen tietosuoja-asetuksen 17 artiklan 1 kohdan d alakohtaa on tulkittava siten, että rekisterinpitäjän on poistettava ilman aiheetonta viivytystä henkilötiedot, joita on käsitelty lainvastaisesti.

Oikeudenkäyntikulut

114

Pääasioiden asianosaisten osalta asian käsittely unionin tuomioistuimessa on välivaihe kansallisessa tuomioistuimessa vireillä olevien asioiden käsittelyssä, minkä vuoksi kansallisen tuomioistuimen asiana on päättää oikeudenkäyntikulujen korvaamisesta. Oikeudenkäyntikuluja, jotka ovat aiheutuneet muille kuin näille asianosaisille huomautusten esittämisestä unionin tuomioistuimelle, ei voida määrätä korvattaviksi.

Näillä perusteilla unionin tuomioistuin (ensimmäinen jaosto) on ratkaissut asian seuraavasti:

Luonnollisten henkilöiden suojelusta henkilötietojen käsittelyssä sekä näiden tietojen vapaasta liikkuvuudesta ja direktiivin 95/46/EY kumoamisesta 27.4.2016 annetun Euroopan parlamentin ja neuvoston asetuksen (EU) 2016/679 (yleinen tietosuoja-asetus) 78 artiklan 1 kohtaa

on tulkittava siten, että

valvontaviranomaisen tekemän kantelua koskevan päätöksen on oltava täysimääräisen tuomioistuinvalvonnan kohteena.

Asetuksen 2016/679 5 artiklan 1 kohdan a alakohtaa, luettuna tämän asetuksen 6 artiklan 1 kohdan ensimmäisen alakohdan f alakohdan valossa,

on tulkittava siten, että

se on esteenä luottotietopalveluja tarjoavien yksityisten yritysten käytännölle, joka muodostuu julkisesta rekisteristä lähtöisin olevien luonnollisten henkilöjen jäännösveloista vapauttamista koskevien tietojen säilyttämisestä näiden yritysten omissa tietokannoissa kyseisten henkilöiden luottokelpoisuutta koskevien tietojen tarjoamiseksi sen jälkeen, kun näiden tietojen säilytysaika julkisessa rekisterissä on päättynyt.

Asetuksen 2016/679 17 artiklan 1 kohdan c alakohtaa

on tulkittava siten, että

rekisteröidyllä on oikeus saada rekisterinpitäjä poistamaan rekisteröityä koskevat henkilötiedot ilman aiheetonta viivytystä silloin, kun hän vastustaa käsittelyä kyseisen asetuksen 21 artiklan 1 kohdan nojalla eikä ole ensisijaisia perusteltuja syitä, joilla kyseessä oleva käsittely voidaan poikkeuksellisesti oikeuttaa.

4)	Asetuksen 2016/679 17 artiklan 1 kohdan d alakohtaa on tulkittava siten, että rekisterinpitäjän on poistettava ilman aiheetonta viivytystä henkilötiedot, joita on käsitelty lainvastaisesti.

Allekirjoitukset

( *1 ) Oikeudenkäyntikieli: saksa.