–

za osobe UF i AB, R. Rohrmoser i S. Tintemann, Rechtsanwälte,

–

za Land Hessen, M. Kottmann i G. Ziegenhorn, Rechtsanwälte,

–

za SCHUFA Holding AG, G. Thüsing i U. Wuermeling, Rechtsanwalt,

–

za njemačku vladu, J. Möller i P.-L. Krüger, u svojstvu agenata,

–

za portugalsku vladu, P. Barros da Costa, J. Ramos i C. Vieira Guerra, u svojstvu agenata,

–

za Europsku komisiju, A. Bouchagiar, F. Erlbacher, H. Kranenborg i W. Wils, u svojstvu agenata,

1

Zahtjevi za prethodnu odluku odnose se na tumačenje članaka 7. i 8. Povelje Europske unije o temeljnim pravima (u daljnjem tekstu: Povelja) te članka 6. stavka 1. prvog podstavka točke (f), članka 17. stavka 1. točke (d), članka 40., članka 77. stavka 1. i članka 78. stavka 1. Uredbe (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35., u daljnjem tekstu: OUZP).

2

Zahtjevi su upućeni u okviru dvaju sporova između, s jedne strane, osobe UF (predmet C‑26/22) odnosno osobe AB (predmet C‑64/22) i, s druge strane, Landa Hessen (savezna zemlja Hessen, Njemačka) u pogledu odbijanja Hessischer Beauftragtera für Datenschutz und Informationsfreiheit (povjerenik za zaštitu podataka i slobodu informiranja savezne zemlje Hessen, u daljnjem tekstu: HBDI) da društvu SCHUFA Holding AG (u daljnjem tekstu: SCHUFA) naloži brisanje pohranjenih podataka o otpisu nepodmirenih dugova u korist osoba UF i AB.

3

U skladu s uvodnim izjavama 26. i 28. Direktive 2008/48/EZ Europskog parlamenta i Vijeća od 23. travnja 2008. o ugovorima o potrošačkim kreditima i stavljanju izvan snage Direktive Vijeća 87/102/EEZ (SL 2008., L 133, str. 66.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 15., svezak 13., str. 58. i ispravak SL 2014., L 283, str. 66.):

[…]

4

Člankom 8. te direktive naslovljenim „Obveza procjene kreditne sposobnosti potrošača” u stavku 1. propisuje se:

„Države članice osiguravaju da, prije sklapanja ugovora o kreditu, vjerovnik procijeni kreditnu sposobnost potrošača na temelju dostatnih informacija koje se, kada je to primjereno, dobivaju od potrošača i, kada je to potrebno, na temelju uvida u relevantnu bazu podataka. Države članice čije zakonodavstvo zahtijeva da vjerovnici procijene kreditnu sposobnost potrošača na temelju uvida u relevantnu bazu podataka mogu zadržati taj zahtjev.”

5

U skladu s uvodnim izjavama 55. i 59. Direktive 2014/17/ЕU Europskog parlamenta i Vijeća od 4. veljače 2014. o ugovorima o potrošačkim kreditima koji se odnose na stambene nekretnine i o izmjeni direktiva 2008/48/EZ i 2013/36/EU i Uredbe (EU) br. 1093/2010 (SL 2014., L 60, str. 34. i ispravak SL 2015., L 65, str. 22. i SL 2015., L 246, str. 11.):

[…]

6

Člankom 18. te direktive naslovljenim „Obveza procjene kreditne sposobnosti potrošača” u stavku 1. određuje se:

„Države članice osiguravaju da, prije sklapanja ugovora o kreditu, vjerovnik provede detaljnu procjenu kreditne sposobnosti potrošača. Procjena uzima u obzir čimbenike relevantne za provjeru vjerojatnosti da će potrošač ispuniti svoje obaveze prema ugovoru o kreditu.”

7

U članku 21. navedene direktive, naslovljenom „Pristup bazi podataka”, u stavcima 1. i 2. navodi se:

„1.   Svaka država članica osigurava pristup svim vjerovnicima iz svih država članica bazama podataka koje se u toj državi članici koriste za procjenu kreditne sposobnosti potrošača i to isključivo u svrhu nadzora poštovanja obveza prema kreditu od strane potrošača, tijekom trajanja ugovora o kreditu. Uvjeti za takav pristup su nediskriminirajući.

2.   Stavak 1. primjenjuje se i na baze podataka kojima upravljaju privatni kreditni uredi i na javne registre.”

8

U skladu s uvodnom izjavom 76. Uredbe (EU) 2015/848 Europskog parlamenta i Vijeća od 20. svibnja 2015. o postupku u slučaju nesolventnosti (SL 2015., L 141, str. 19. i ispravak SL 2016., L 349, str. 9.):

„Od država članica trebalo bi zahtijevati objavu relevantnih informacija o prekograničnim postupcima u slučaju nesolventnosti u javno dostupnom elektroničk[o]m registru kako bi se unaprijedilo pružanje informacija relevantnim vjerovnicima i sudovima te spriječilo pokretanje paralelnih postupaka u slučaju nesolventnosti. Kako bi se vjerovnicima kojima je domicil u drugoj državi članici i sudovima koji se nalaze u drugoj državi članici olakšao pristup tim informacijama, ovom Uredbom osigurava se međusobna povezanost tih registara nesolventnosti putem europskog portala e‑pravosuđe. […]”

9

Člankom 79. te uredbe naslovljenim „Odgovornosti država članica u vezi s obradom osobnih podataka u nacionalnim registrima nesolventnosti” u stavcima 4. i 5. propisuje se:

„4.   Države članice odgovorne su, u skladu s Direktivom 95/46/EZ [Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka (SL 1995., L 281, str. 31.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 13., svezak 7., str. 88.)], za sakupljanje i pohranu podataka u nacionalnim bazama podataka i za odluke donesene kako bi takvi podaci postali dostupni u međusobno povezanom registru koji se može pretraživati putem europskog portala e‑pravosuđe.

5.   U sklopu informacija koje bi trebalo pružiti osobama čiji se podaci obrađuju kako bi im se omogućilo da ostvare svoja prava, a posebno pravo na brisanje podataka, države članice obavješćuju osobe čiji se podaci obrađuju o razdoblju dostupnosti određenom za osobne podatke pohranjene u registrima nesolventnosti.”

10

U skladu s uvodnim izjavama 10., 11., 47., 50., 98., 141. i 143. OUZP‑a:

[…]

[…]

[…]

[…]

[…]

11

Članak 5. te uredbe naslovljen „Načela obrade osobnih podataka” glasi:

„1.   Osobni podaci moraju biti:

[…]

[…]

2.   Voditelj obrade odgovoran je za usklađenost sa stavkom 1. te je mora biti u mogućnosti dokazati (‚pouzdanost’).”

12

U članku 6. navedene uredbe, naslovljenom „Zakonitost obrade”, navodi se:

„1.   Obrada je zakonita samo ako i u onoj mjeri u kojoj je ispunjeno najmanje jedno od sljedećega:

[…]

[…]

4.   Ako se obrada u svrhu koja je različita od svrhe u koju su podaci prikupljeni ne temelji na privoli ispitanika ili na pravu Unije ili pravu države članice koje predstavlja nužnu i razmjernu mjeru u demokratskom društvu za zaštitu ciljeva iz članka 23. stavka 1., voditelj obrade, s ciljem utvrđivanja je li obrada u drugu svrhu u skladu sa svrhom u koju su osobni podaci prvotno prikupljeni, uzima u obzir, među ostalim:

13

Člankom 17. OUZP‑a, naslovljenim „Pravo na brisanje (‚pravo na zaborav’)”, u stavku 1. propisuje se:

„Ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako je ispunjen jedan od sljedećih uvjeta:

[…]

[…]”

14

Člankom 21. te uredbe, naslovljenim „Pravo na prigovor”, u stavcima 1. i 2. određuje se:

„1.   Ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se odnose na njega, u skladu s člankom 6. stavkom 1. točkom (e) ili (f), uključujući izradu profila koja se temelji na tim odredbama. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

2.   Ako se osobni podaci obrađuju za potrebe izravnog marketinga, ispitanik u svakom trenutku ima pravo uložiti prigovor na obradu osobnih podataka koji se odnose na njega za potrebe takvog marketinga, što uključuje izradu profila u mjeri koja je povezana s takvim izravnim marketingom.”

15

Članak 40. navedene uredbe, naslovljen „Kodeksi ponašanja”, u stavcima 1., 2. i 5. glasi:

„1.   Države članice, nadzorna tijela, Odbor i [Europska] komisija potiču izradu kodeksâ ponašanja koji su namijenjeni pružanju doprinosa ispravnoj primjeni ove Uredbe, uzimajući u obzir posebna obilježja različitih sektora obrade i posebne potrebe mikro, malih i srednjih poduzeća.

2.   Udruženja i druga tijela koja predstavljaju kategorije voditelja obrade ili izvršitelja obrade mogu izraditi kodekse ponašanja ili izmijeniti ili proširiti takve kodekse radi preciziranja primjene ove Uredbe, kao što je u pogledu:

[…]

5.   Udruženja i druga tijela iz stavka 2. ovog članka koji namjeravaju izraditi kodeks ponašanja ili izmijeniti ili proširiti postojeći kodeks, predaju nacrt kodeksa, izmjenu ili proširenje nadzornom tijelu koje je nadležno na temelju članka 55. Nadzorno tijelo daje mišljenje o tome je li nacrt kodeksa, izmjena ili proširenje u skladu s ovom Uredbom te takav nacrt kodeksa, izmjenu ili proširenje odobrava ako smatra da osigurava dovoljno prikladne zaštitne mjere.”

16

Člankom 51. OUZP‑a, naslovljenim „Nadzorno tijelo”, u stavku 1. predviđa se:

„Svaka država članica osigurava da je jedno ili više neovisnih tijela javne vlasti odgovorno za praćenje primjene ove Uredbe kako bi se zaštitila temeljna prava i slobode pojedinaca u pogledu obrade i olakšao slobodan protok osobnih podataka unutar Unije (‚nadzorno tijelo’).”

17

Člankom 52. te uredbe, naslovljenim „Neovisnost”, u stavcima 1., 2. i 4. određuje se:

„1.   Svako nadzorno tijelo djeluje potpuno neovisno pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Uredbom.

2.   Član ili članovi svakog nadzornog tijela moraju biti slobodni od vanjskog utjecaja, bilo izravnog bilo neizravnog, pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Uredbom te ne smiju tražiti ni primati upute ni od koga.

[…]

4.   Svaka država članica osigurava da svako nadzorno tijelo ima ljudske, tehničke i financijske resurse, prostorije i infrastrukturu potrebne za djelotvorno obavljanje svojih zadaća i izvršavanje svojih ovlasti, uključujući one koje treba izvršavati u kontekstu uzajamne pomoći, suradnje i sudjelovanja u Odboru.”

18

U članku 57. navedene uredbe, naslovljenom „Zadaće”, u stavku 1. navodi se:

„Ne dovodeći u pitanje ostale zadaće utvrđene u ovoj Uredbi, svako nadzorno tijelo na svom području:

[…]

[…]”

19

U članku 58. OUZP‑a, naslovljenom „Ovlasti”, u stavku 1. nabrajaju se istražne ovlasti koje ima svako nadzorno tijelo, a u stavku 2. njegove korektivne ovlasti.

20

U članku 77. te uredbe, naslovljenom „Pravo na pritužbu nadzornom tijelu” navodi se:

„1.   Ne dovodeći u pitanje nijedan drugi upravni ili sudski pravni lijek, svaki ispitanik ima pravo podnijeti pritužbu nadzornom tijelu, osobito u državi članici u kojoj ima uobičajeno boravište, u kojoj je njegovo radno mjesto ili mjesto navodnog kršenja, ako ispitanik smatra da obrada osobnih podataka koja se odnosi na njega krši ovu Uredbu.

2.   Nadzorno tijelo kojem je podnesena pritužba obavješćuje podnositelja pritužbe o napretku i ishodu pritužbe, među ostalim o mogućnosti sudskog pravnog lijeka na temelju članka 78.”

21

Člankom 78. navedene uredbe, naslovljenim „Pravo na učinkoviti sudski pravni lijek protiv nadzornog tijela”, u stavcima 1. i 2. određuje se:

„1.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.

2.   Ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek svaki ispitanik ima pravo na učinkoviti sudski pravni lijek ako nadzorno tijelo nadležno na temelju članaka 55. i 56. ne riješi pritužbu ili ne izvijesti ispitanika u roku od tri mjeseca o napretku ili ishodu pritužbe podnesene na temelju članka 77.”

22

Člankom 79. OUZP‑a‚ naslovljenim „Pravo na učinkoviti sudski pravni lijek protiv voditelja obrade ili izvršitelja obrade”‚ u stavku 1. propisuje se:

„Ne dovodeći u pitanje nijedan dostupan upravni ili izvansudski pravni lijek, uključujući pravo na podnošenje pritužbe nadzornom tijelu na temelju članka 77., ispitanik ima pravo na učinkoviti sudski pravni lijek ako smatra da su mu zbog obrade njegovih osobnih podataka protivno ovoj Uredbi prekršena njegova prava iz ove Uredbe.”

23

U skladu s člankom 9. stavkom 1. Insolvenzordnunga (Zakon o nesolventnosti) od 5. listopada 1994. (BGBl. 1994. I, str. 2866), u verziji koja se primjenjuje na činjenice u glavnom postupku:

„Javna objava se provodi središnjom objavom za sve savezne zemlje na internetu; mogu se objavljivati i samo izvadci obavijesti. Pritom treba točno navesti dužnika, a osobito njegovu adresu i predmet poslovanja. Smatra se da je objava izvršena nakon isteka dva dana od dana objavljivanja.”

24

U članku 3. Verordnunga zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Uredba o javnim objavama na internetu u postupcima u slučaju nesolventnosti) od 12. veljače 2002. (BGBl. I, str. 677., u daljnjem tekstu: InsoBekV) u stavcima 1. i 2. navodi se:

„(1)   Objava podataka iz postupka u slučaju nesolventnosti, uključujući pokretanje postupka u slučaju nesolventnosti, koja je izvršena u elektroničkom informacijskom i komunikacijskom sustavu briše se najkasnije šest mjeseci nakon ukidanja ili pravomoćnosti obustave postupka u slučaju nesolventnosti. Ako postupak nije pokrenut, rok počinje teći od ukidanja objavljenih mjera osiguranja.

(2)   Na objave u postupku otpisa nepodmirenih dugova, uključujući rješenje na temelju članka 289. Zakona o nesolventnosti, primjenjuje se stavak 1. prva rečenica, pri čemu rok počinje teći od pravomoćnosti odluke o otpisu nepodmirenih dugova.”

25

U okviru postupaka u slučaju nesolventnosti koji su se na njih odnosili, osobama UF i AB odobren je prijevremeni otpis nepodmirenih dugova sudskim odlukama donesenima 17. prosinca 2020. odnosno 23. ožujka 2021. U skladu s člankom 9. stavkom 1. Insolvenzordnunga te člankom 3. stavcima 1. i 2. InsoBekV‑a, javna objava na internetu tih odluka briše se nakon proteka roka od šest mjeseci od navedenih odluka.

26

SCHUFA je privatna agencija za provjeru kreditne sposobnosti koja upisuje i pohranjuje, u vlastitim bazama podataka, informacije iz javnih registara, osobito onih o otpisima nepodmirenih dugova. Ona te informacije briše nakon proteka roka od tri godine od upisa, u skladu s kodeksom ponašanja koji je u Njemačkoj izradilo udruženje agencija za provjeru kreditne sposobnosti, a odobrilo ga nadležno nadzorno tijelo.

27

Osobe UF i AB obratile su se SCHUFA‑i kako bi od nje ishodile brisanje upisa odluka o otpisu nepodmirenih dugova koje su se na njih odnosile. To društvo odbilo je ispuniti njihove zahtjeve nakon što je objasnilo da svoju djelatnost obavlja u skladu s OUZP‑om i da se na njega ne primjenjuje rok za brisanje od šest mjeseci propisan u članku 3. stavku 1. InsoBekV‑a.

28

Osobe UF i AB podnijele su, svaka pojedinačno, pritužbu HBDI‑ju kao nadležnom nadzornom tijelu.

29

Odlukama donesenima 1. ožujka 2021. odnosno 9. srpnja 2021. HBDI je zaključio da je obrada podataka koju je izvršilo društvo SCHUFA bila zakonita.

30

Osobe UF i AB podnijele su, svaka pojedinačno, tužbu protiv HBDI‑jeve odluke Verwaltungsgerichtu Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), sudu koji je uputio zahtjeve. U potporu tim tužbama istaknule su da je HBDI u okviru svojih zadaća i ovlasti bio dužan donijeti mjere protiv SCHUFA‑e kako bi joj naložio brisanje upisa koji se na njih odnose.

31

U odgovoru na tužbu HBDI je zatražio odbijanje tužbi.

32

S jedne strane, HBDI je tvrdio da je pravo na pritužbu predviđeno u članku 77. stavku 1. OUZP‑a zamišljeno samo kao pravo na podnošenje peticije. Tako se sudskim nadzorom samo ispituje je li nadzorno tijelo obradilo pritužbu i obavijestilo njezina podnositelja o stanju napretka i ishodu te pritužbe. Naprotiv, na sudu pred kojim je pokrenut postupak nije da provjerava sadržajnu točnost odluke donesene po pritužbi.

33

S druge strane, HBDI je naglasio da podaci kojima agencije za provjeru kreditne sposobnosti imaju pristup mogu biti pohranjeni sve dok je to potrebno u svrhe za koje su pohranjeni. Usto, budući da nacionalni zakonodavac nije donio propis, nadzorna tijela donijela su kodekse ponašanja, a onim koji je izradilo udruženje agencija za provjeru kreditne sposobnosti predviđalo se brisanje tih podataka točno tri godine nakon upisa u bazu podataka.

34

Kao prvo, sud koji je uputio zahtjeve u tom pogledu smatra potrebnim pojasniti pravnu prirodu odluke koju nadzorno tijelo donosi nakon što mu je podnesena pritužba na temelju članka 77. stavka 1. OUZP‑a.

35

Taj sud osobito dvoji o HBDI‑jevoj argumentaciji jer bi se time mogla ugroziti učinkovitost pravnog lijeka pred sudom iz članka 78. stavka 1. OUZP‑a. Usto, s obzirom na cilj te uredbe, osiguravanje učinkovite zaštite temeljnih sloboda i prava pojedinaca u okviru provedbe članaka 7. i 8. Povelje, članci 77. i 78. navedene uredbe ne mogu se usko tumačiti.

36

Navedeni sud zagovara tumačenje prema kojem se nad odlukom koju je nadzorno tijelo donijelo o meritumu mora provesti sveobuhvatan sudski nadzor. Međutim, to tijelo ima marginu prosudbe i diskrecijsku ovlast te je dužno djelovati samo ako se ne mogu utvrditi druge zakonite mogućnosti.

37

Kao drugo, sud koji je uputio zahtjeve dodatno se pita je li zakonita pohrana podataka o kreditnoj sposobnosti neke osobe iz javnih registara, poput registra nesolventnosti, u agencijama za provjeru kreditne sposobnosti.

38

Prvo, postoje dvojbe u pogledu zakonitosti pohrane podataka koje su privatne agencije, poput SCHUFA‑e, prenijele iz javnih registara u vlastite baze podataka.

39

Naime, prije svega, ta pohrana ne nastupa povodom konkretnog slučaja, nego za slučaj da njihovi ugovorni partneri od njih zatraže takve informacije i naposljetku dovodi do stvaranja zaliha podataka, osobito ako su podaci već izbrisani iz nacionalnog registra zbog isteka roka za pohranu.

40

Osim toga, obrada i pohrana podataka dopuštene su samo ako je ispunjen jedan od uvjeta propisanih u članku 6. stavku 1. OUZP‑a. U ovom slučaju dolazi u obzir samo uvjet iz članka 6. stavka 1. prvog podstavka točke (f) te uredbe. Međutim, dvojbeno je ima li agencija za provjeru kreditne sposobnosti poput SCHUFA‑e legitiman interes u smislu te odredbe.

41

Naposljetku, SCHUFA je samo jedna od brojnih agencija za provjeru kreditne sposobnosti, tako da se podaci u Njemačkoj pohranjuju u nekoliko oblika, što podrazumijeva znatno zadiranje u temeljno pravo iz članka 7. Povelje.

42

Drugo, pod pretpostavkom da je pohrana podataka iz javnih registara koju provode privatne agencije kao takva zakonita, postavlja se pitanje mogućeg trajanja takve pohrane.

43

U tom pogledu sud koji je uputio zahtjev smatra da bi od tih privatnih agencija trebalo zahtijevati da poštuju rok od šest mjeseci predviđen člankom 3. InsoBekV‑a koji se odnosi na pohranu odluka o otpisu nepodmirenih dugova u registru nesolventnosti. Tako podatke koje treba obrisati u javnim registrima istodobno treba obrisati i u svim privatnim agencijama za provjeru kreditne sposobnosti koje su pohranile te podatke.

44

Uostalom, postavlja se pitanje treba li se kodeks ponašanja odobren u skladu s člankom 40. OUZP‑a, kojim se predviđa trogodišnji rok za brisanje unosa koji se odnose na otpis nepodmirenih dugova, uzimati u obzir prilikom odvagivanja koje treba provesti prilikom ocjene na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a.

45

U tim je okolnostima Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) odlučio prekinuti postupak i uputiti Sudu sljedeća prethodna pitanja:

46

Odlukom predsjednika Suda od 11. veljače 2022. predmeti C‑26/22 i C‑64/22 spojeni su u svrhu pisanog i usmenog dijela postupka kao i u svrhu donošenja presude.

47

Svojim prvim pitanjem sud koji je uputio zahtjev u biti pita treba li članak 78. stavak 1. OUZP‑a tumačiti na način da se sudski nadzor odluke o pritužbi koju je donijelo nadzorno tijelo odnosi samo na to je li to tijelo rješavalo pritužbu, je li primjereno ispitalo predmet pritužbe i obavijestilo podnositelja pritužbe o ishodu provjere ili se nad tom odlukom provodi sveobuhvatan sudski nadzor, uključujući ovlast suda pred kojim se postupak vodi da nadzornom tijelu naloži da donese konkretnu odluku.

48

Kako bi se odgovorilo na upućeno pitanje, najprije valja podsjetiti na to da pri tumačenju odredbe prava Unije treba uzeti u obzir ne samo njezin tekst nego i kontekst u kojem se nalazi te ciljeve i svrhu akta kojeg je ona dio (presuda od 22. lipnja 2023., Pankki S, C‑579/21, EU:C:2023:501, t. 38. i navedena sudska praksa).

49

Kada je riječ o tekstu članka 78. stavka 1. OUZP‑a, tom odredbom predviđa se da ne dovodeći u pitanje nijedan drugi upravni ili izvansudski pravni lijek, svaka fizička ili pravna osoba ima pravo na učinkoviti sudski pravni lijek protiv pravno obvezujuće odluke nekog nadzornog tijela koja se na nju odnosi.

50

U tom pogledu najprije valja istaknuti da su u ovom slučaju odluke koje je donio HBDI pravno obvezujuće u smislu tog članka 78. stavka 1. Naime, nakon što je ispitalo osnovanost pritužbi koje su mu podnesene, to tijelo utvrdilo je da je obrada osobnih podataka koju su osporavali tužitelji iz glavnih postupaka bila zakonita na temelju OUZP‑a. Uostalom, pravno obvezujuća priroda tih odluka potvrđena je uvodnom izjavom 143. te uredbe, prema kojoj je odbacivanje ili odbijanje pritužbi od strane nadzornog tijela odluka koja proizvodi pravne učinke prema podnositelju te pritužbe.

51

Također valja istaknuti da iz te odredbe u vezi s uvodnom izjavom 141. te uredbe izričito proizlazi da svaki ispitanik ima pravo na „učinkoviti” sudski pravni lijek u skladu s člankom 47. Povelje.

52

Tako je sud presudio da iz članka 78. stavka 1. OUZP‑a, u vezi s uvodnom izjavom 143. te uredbe, proizlazi da bi sudovi koji odlučuju o pravnom lijeku protiv odluke nadzornog tijela trebali imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za konkretni spor (presuda od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, t. 41.).

53

Stoga se članak 78. stavak 1. OUZP‑a ne može tumačiti na način da bi se sudski nadzor nad odlukom o pritužbi koju je donijelo nadzorno tijelo ograničavao samo na to je li to tijelo rješavalo pritužbu, je li primjereno ispitalo predmet pritužbe i obavijestilo podnositelja pritužbe o ishodu provjere. Naprotiv, kako bi sudski pravni lijek bio „učinkovit”, kao što se to zahtijeva tom odredbom, nad takvom odlukom mora se provesti sveobuhvatan sudski nadzor.

54

To tumačenje potkrijepljeno je kontekstom članka 78. stavka 1. OUZP‑a kao i zadanim ciljevima i svrhom koji se nastoje postići tom uredbom.

55

Kada je riječ o kontekstu te odredbe, valja istaknuti da su u skladu s člankom 8. stavkom 3. Povelje te člankom 51. stavkom 1. i člankom 57. stavkom 1. točkom (a) OUZP‑a nacionalna nadzorna tijela odgovorna za nadzor poštovanja pravila Unije o zaštiti pojedinaca u vezi s obradom osobnih podataka (presuda od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 107.).

56

Osobito, na temelju članka 57. stavka 1. točke (f) OUZP‑a, svako nadzorno tijelo dužno je, na svojem području, rješavati pritužbe koje u skladu s člankom 77. stavkom 1. te uredbe može podnijeti svaka osoba kad smatra da obrada osobnih podataka koja se odnosi na nju predstavlja povredu navedene uredbe, te ispitati njezin predmet u mjeri u kojoj je to potrebno. Nadzorno tijelo mora postupati s takvom pritužbom uz svu dužnu pažnju (presuda od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 109.).

57

Kako bi rješavalo podnesene pritužbe, članak 58. stavak 1. OUZP‑a svakom nadzornom tijelu dodjeljuje znatne istražne ovlasti. Kada takvo tijelo po okončanju svoje istrage utvrdi povredu odredaba te uredbe, dužno je na odgovarajući način postupati kako bi otklonilo utvrđeni nedostatak. Naime, članak 58. stavak 2. te uredbe navodi različite korektivne ovlasti koje nadzorno tijelo može usvojiti (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 111.).

58

Iz toga slijedi, kao što je to nezavisni odvjetnik istaknuo u točki 42. svojega mišljenja, da je postupak pritužbe, koji nije sličan postupku peticije, zamišljen kao mehanizam kojim se mogu učinkovito zaštititi prava i interesi ispitanika.

59

Međutim, uzimajući u obzir široke ovlasti koje su nadzornom tijelu povjerene na temelju OUZP‑a, ne bi bio ispunjen zahtjev učinkovite sudske zaštite ako bi se nad odlukama koje se odnose na korištenje istražnih ovlasti ili korektivnih mjera takvog nadzornog tijela provodio samo ograničeni sudski nadzor.

60

Isto vrijedi i za odluke koje se odnose na odbijanje pritužbe jer se člankom 78. stavkom 1. OUZP‑a ne pravi razlika u odnosu na prirodu odluke koju je donijelo nadzorno tijelo.

61

Što se tiče ciljeva koji se nastoje postići OUZP‑om, iz njegove uvodne izjave 10. proizlazi, među ostalim, da je njegov cilj osigurati visoku razinu zaštite pojedinaca u vezi s obradom osobnih podataka u Uniji. Usto se u uvodnoj izjavi 11. te uredbe navodi da djelotvorna zaštita tih podataka zahtijeva jačanje prava ispitanika.

62

Međutim, ako bi članak 78. stavak 1. navedene uredbe trebalo tumačiti na način da se sudskim nadzorom samo ispituje je li nadzorno tijelo rješavalo pritužbu, je li primjereno ispitalo predmet pritužbe i obavijestilo podnositelja pritužbe o ishodu provjere, nužno bi bili ugroženi ostvarenje ciljeva i postizanje svrhe te uredbe.

63

Uostalom, tumačenjem te odredbe prema kojem se nad odlukom o pritužbi koju je donijelo nadzorno tijelo provodi sveobuhvatan nadzor ne dovode se u pitanje jamstva neovisnosti koja imaju nadzorna tijela ni pravo na učinkovit sudski pravni lijek protiv voditelja obrade ili izvršitelja obrade.

64

Kao prvo, točno je da u skladu s člankom 8. stavkom 3. Povelje poštovanje pravila o zaštiti osobnih podataka podliježe nadzoru neovisnog tijela. U vezi s tim člankom 52. OUZP‑a pojašnjava se da svako nadzorno tijelo djeluje potpuno neovisno pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti u skladu s ovom Uredbom (stavak 1.), pri obavljanju svojih dužnosti i izvršavanju svojih ovlasti član ili članovi svakog nadzornog tijela moraju biti slobodni od vanjskog utjecaja (stavak 2.) i da svaka država članica osigurava da svako nadzorno tijelo ima resurse potrebne za djelotvorno obavljanje svojih zadaća i izvršavanje svojih ovlasti (stavak 4.).

65

Međutim, ta jamstva neovisnosti uopće nisu dovedena u pitanje činjenicom da se nad pravno obvezujućim odlukama nadzornog tijela provodi sveobuhvatan sudski nadzor.

66

Kao drugo, kada je riječ o pravu na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade, predviđenom u članku 79. stavku 1. OUZP‑a, valja istaknuti da se prema sudskoj praksi Suda sredstva predviđena člankom 78. stavkom 1. i člankom 79. stavkom 1. te uredbe mogu podnijeti istodobno i neovisno (presuda od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, t. 35. i izreka). U vezi s tim Sud je među ostalim smatrao da stavljanje na raspolaganje više pravnih sredstava također jača cilj naveden u uvodnoj izjavi 141. navedene uredbe da se svakom ispitaniku koji smatra da su mu prava koja proizlaze iz te uredbe prekršena omogući pravo na učinkovit pravni lijek u skladu s člankom 47. Povelje (presuda od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, t. 44.).

67

Stoga, i to iako je na državama članicama da, u skladu s načelom postupovne autonomije, predvide načine međuodnosa između tih pravnih sredstava (presuda od 12. siječnja 2023., Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, t. 45. i izreka), postojanje prava na učinkoviti pravni lijek protiv voditelja obrade ili izvršitelja obrade, predviđeno u članku 79. stavku 1. OUZP‑a, nema utjecaja na opseg sudskog nadzora izvršenog u okviru tužbe podnesene na temelju članka 78. stavka 1. te uredbe nad odlukom o pritužbi koju je donijelo nadzorno tijelo.

68

Međutim, valja dodati da iako, kao što se na to podsjeća u točki 56. ove presude, nadzorno tijelo mora postupati s takvom pritužbom uz svu dužnu pažnju, to tijelo raspolaže, kada je riječ o korektivnim mjerama nabrojenima u članku 58. stavku 2. OUZP‑a, širokom marginom prosudbe u vezi s izborom prikladnih i nužnih sredstava (vidjeti u tom smislu presudu od 16. srpnja 2020., Facebook Ireland i Schrems, C‑311/18, EU:C:2020:559, t. 112.).

69

Iako nacionalni sud pred kojim je podnesena tužba na temelju članka 78. stavka 1. OUZP‑a mora, kao što je to utvrđeno u točki 52. ove presude, imati punu nadležnost koja bi trebala obuhvaćati nadležnost za ispitivanje svih činjeničnih i pravnih pitanja bitnih za konkretni spor, jamstvo učinkovite sudske zaštite ne podrazumijeva da će biti ovlašten zamijeniti ocjenu izbora prikladnih i nužnih korektivnih mjera toga tijela svojom ocjenom, nego zahtijeva da taj sud ispita je li nadzorno tijelo poštovalo granice svoje diskrecijske ovlasti.

70

S obzirom na sva prethodna razmatranja, na prvo prethodno pitanje valja odgovoriti tako da članak 78. stavak 1. OUZP‑a treba tumačiti na način da iz te odredbe proizlazi da se nad pravno obvezujućom odlukom nadzornog tijela provodi sveobuhvatan sudski nadzor merituma.

71

Svojim drugim, trećim, četvrtim i petim pitanjem, koja valja ispitati zajedno, sud koji je uputio zahtjev u biti pita

72

U skladu s člankom 5. stavkom 1. točkom (a) OUZP‑a, osobni podaci moraju biti zakonito, pošteno i transparentno obrađivani s obzirom na ispitanika.

73

U vezi s tim članak 6. stavak 1. prvi podstavak OUZP‑a predviđa iscrpan i taksativan popis slučajeva u kojima se obrada osobnih podataka može smatrati zakonitom. Dakle, da bi se mogla smatrati zakonitom, obrada mora biti obuhvaćena jednim od slučajeva predviđenih tom odredbom (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 90. i navedena sudska praksa).

74

U ovom slučaju je nesporno da zakonitost obrade osobnih podataka o kojoj je riječ u glavnim postupcima treba ocjenjivati samo s obzirom na članak 6. stavak 1. prvi podstavak točku (f) OUZP‑a. Prema toj odredbi, obrada osobnih podataka zakonita je samo ako je i u mjeri u kojoj je nužna za potrebe legitimnih interesa voditelja obrade ili treće strane, osim kada su od tih interesa jači interesi ili temeljna prava i slobode ispitanika koji zahtijevaju zaštitu osobnih podataka, osobito ako je ispitanik dijete.

75

Stoga su navedenom odredbom predviđena tri kumulativna uvjeta zakonitosti obrade osobnih podataka, odnosno, kao prvo, da je svrha obrade legitiman interes voditelja obrade ili treće strane, kao drugo, da je obrada osobnih podataka nužna za ostvarenje tog legitimnog interesa i, kao treće, uvjet da interesi ili temeljna prava i slobode ispitanika ne prevladavaju (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 106. i navedena sudska praksa).

76

Kada je riječ, prvo, o uvjetu koji se odnosi na svrhu „legitimnog interesa”, zbog nepostojanja definicije tog pojma u OUZP‑u valja naglasiti, kao što je to istaknuo nezavisni odvjetnik u točki 61. svojega mišljenja, da se legitimnim načelno može smatrati širok raspon interesa.

77

Što se tiče, drugo, uvjeta koji se odnosi na nužnost obrade osobnih podataka za ostvarenje legitimnog interesa koji se nastoji postići, njime se sudu koji je uputio zahtjev nalaže da provjeri da se legitimni interes obrade podataka koji se nastoji postići ne može razumno jednako učinkovito postići drugim sredstvima kojima se manje zadire u temeljne slobode i prava ispitanikâ, posebno prava na poštovanje privatnog života i na zaštitu osobnih podataka zajamčena člancima 7. i 8. Povelje (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 108. i navedena sudska praksa).

78

U tom kontekstu također valja podsjetiti na to da se uvjet koji se odnosi na nužnost obrade mora ispitati zajedno s takozvanim načelom „smanjenja količine podataka” iz članka 5. stavka 1. točke (c) OUZP‑a, prema kojem osobni podaci moraju biti „primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju” (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 109. i navedena sudska praksa).

79

U pogledu, treće, uvjeta da interesi ili temeljne slobode i prava ispitanika za zaštitu podataka ne prevladavaju nad legitimnim interesom voditelja obrade ili treće strane, Sud je već presudio da on podrazumijeva odvagivanje suprotstavljenih prava i interesa o kojima je riječ, koje ovisi, u načelu, o konkretnim okolnostima pojedinog slučaja te je, slijedom toga, zadaća suda koji je uputio zahtjev da izvrši to odvagivanje uzimajući u obzir te posebne okolnosti (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 110. i navedena sudska praksa).

80

Usto, kao što proizlazi iz uvodne izjave 47. OUZP‑a, interesi i temeljna prava ispitanika posebno bi mogli nadvladati interes voditelja obrade ako se osobni podaci obrađuju u okolnostima u kojima ispitanici razumno ne očekuju daljnju obradu (presuda od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 112. i navedena sudska praksa).

81

Stoga, iako je u konačnici na sudu koji je uputio zahtjev da ocijeni jesu li u pogledu obrade osobnih podataka o kojoj je riječ u glavnim postupcima ispunjena tri uvjeta na koja se podsjeća u točki 75. ove presude, Sud može prilikom odlučivanja o prethodnom pitanju dati pojašnjenja koja nacionalni sud usmjeravaju u tom utvrđivanju (vidjeti u tom smislu presudu od 20. listopada 2022., Digi, C‑77/21, EU:C:2022:805, t. 39. i navedenu sudsku praksu).

82

U ovom slučaju, što se tiče svrhe legitimnog interesa, SCHUFA ističe da agencije za provjeru kreditne sposobnosti obrađuju podatke potrebne za procjenu kreditne sposobnosti osoba ili poduzetnika kako bi te informacije mogle staviti na raspolaganje svojim ugovornim partnerima. Međutim, osim što ta djelatnost štiti gospodarske interese poduzetnika koji žele sklopiti ugovore povezane s kreditom, određivanje kreditne sposobnosti i dostava informacija o kreditnoj sposobnosti temelji su kredita i mogućnosti funkcioniranja gospodarstva. Djelatnost tih agencija pridonosi i konkretiziranju trgovinskih želja osoba zainteresiranih za transakcije povezane s kreditom jer informacije omogućuju brzu i nebirokratsku provjeru.

83

U tom pogledu, iako obrada osobnih podataka poput one o kojoj je riječ u glavnim postupcima služi ekonomskim interesima SCHUFA‑e, ta obrada služi i ostvarivanju legitimnog interesa SCHUFA‑inih ugovornih partnera koji namjeravaju sklopiti ugovore povezane s kreditom s pojedincima, kako bi mogli ocijeniti njihovu kreditnu sposobnost i stoga interesima kreditnog sektora na socioekonomskom planu.

84

Naime, kada je riječ o ugovorima o potrošačkim kreditima, iz članka 8. Direktive 2008/48 u vezi s njezinom uvodnom izjavom 28. proizlazi da je prije sklapanja ugovora o kreditu vjerovnik dužan procijeniti kreditnu sposobnost potrošača na temelju dostatnih informacija koje se, kada je to primjereno, dobivaju od potrošača i, kada je to potrebno, na temelju uvida u relevantnu bazu podataka.

85

Osim toga, kada je riječ o ugovorima o potrošačkim kreditima koji se odnose na stambene nekretnine, iz članka 18. stavka 1. i članka 21. stavka 1. Direktive 2014/17, u vezi s uvodnim izjavama 55. i 59., proizlazi da vjerovnik mora provesti detaljnu procjenu kreditne sposobnosti potrošača i imati pristup bazama podataka o kreditu jer je uvid u takve baze koristan element za tu procjenu.

86

Valja dodati da se obveza procjene kreditne sposobnosti potrošača, kako je predviđena direktivama 2008/48 i 2014/17, ne odnosi samo na zaštitu podnositelja zahtjeva za kredit nego i, kao što je naglašeno u uvodnoj izjavi 26. Direktive 2008/48, kako bi se jamčilo dobro funkcioniranje cjelokupnog sustava kredita.

87

Usto je potrebno da obrada podataka bude nužna za ostvarenje tog interesa i da interesi ili temeljne slobode i prava ispitanika ne prevladavaju nad njime. U okviru tog odvagivanja suprotstavljenih prava i interesa o kojima je riječ, to jest onih voditelja obrade, s jedne strane, i ispitanikovih, s druge strane, valja uzeti u obzir, kako je navedeno u točki 80. ove presude, osobito ispitanikova razumna očekivanja i opseg obrade o kojoj je riječ te njezin učinak na tu osobu (vidjeti presudu od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 116.].

88

Kada je riječ o članku 6. stavku 1. prvom podstavku točki (f) OUZP‑a, Sud je presudio da tu odredbu treba tumačiti na način da se takva obrada može smatrati nužnom za potrebe legitimnih interesa voditelja obrade ili treće strane, u smislu te odredbe, samo pod uvjetom da je navedeni operator korisnicima od kojih su prikupljeni podaci naznačio legitimni interes koji se ostvaruje tom obradom, da se ta obrada provodi u granicama onoga što je strogo nužno za ostvarivanje tog legitimnog interesa i da iz odvagivanja suprotstavljenih interesa, s obzirom na sve relevantne okolnosti, proizlazi da interesi ili temeljne slobode i prava tih korisnika ne prevladavaju nad navedenim legitimnim interesom voditelja obrade ili treće strane (vidjeti u tom smislu presude od 4. svibnja 2017., Rīgas satiksme, C‑13/16, EU:C:2017:336, t. 30. i od 4. srpnja 2023., Meta Platforms i dr. (Opći uvjeti korištenja društvene mreže), C‑252/21, EU:C:2023:537, t. 126.).

89

U vezi s tim sud koji je uputio zahtjev upućuje na dva aspekta obrade osobnih podataka o kojoj je riječ u glavnim postupcima. Kao prvo, ta obrada podrazumijeva pohranu podataka u nekoliko oblika, odnosno ne samo u javnom registru nego i u bazama podataka agencija za provjeru kreditne sposobnosti, pri čemu te agencije ne provode tu pohranu povodom konkretnog slučaja, nego za slučaj da njihovi ugovorni partneri od njih zatraže takve podatke. Kao drugo, navedene agencije pohranjuju te podatke tri godine i to na temelju kodeksa ponašanja u smislu članka 40. OUZP‑a, dok se nacionalnim zakonodavstvom za javne registre propisuje trajanje pohrane od samo šest mjeseci.

90

Što se tiče prvog od tih aspekata, SCHUFA ističe da bi bilo nemoguće pravodobno dostaviti informacije ako bi agencija za provjeru kreditne sposobnosti morala čekati konkretni zahtjev prije nego što bi počela prikupljati podatke.

91

U tom pogledu je na sudu koji je uputio zahtjev da provjeri je li SCHUFA‑ina pohrana podataka u vlastitim bazama podataka o kojoj je riječ ograničena na ono što je strogo nužno radi ostvarenja legitimnog interesa koji se želi postići iako se u podatke o kojima je riječ može imati uvid u javnom registru a da neko trgovačko društvo ne zatraži informacije u konkretnom slučaju. Ako to ne bi bio slučaj, SCHUFA‑ina pohrana tih podataka ne bi se mogla smatrati nužnom unutar razdoblja stavljanja navedenih podataka na raspolaganje javnosti.

92

Što se tiče trajanja pohrane podataka, valja smatrati da se ispitivanja drugog i trećeg uvjeta navedenog u točki 75. ove presude spajaju u mjeri u kojoj ocjena pitanja mogu li se u ovom slučaju legitimni interesi koji se nastoje ostvariti obradom osobnih podataka o kojoj je riječ u glavnim postupcima postići kraćom pohranom podataka zahtijeva odvagivanje suprotstavljenih prava i interesa o kojima je riječ.

93

Kada je riječ o odvagivanju legitimnih interesa koji se nastoje ostvariti, valja istaknuti da, s obzirom na to da analiza koju provede agencija za procjenu kreditne sposobnosti omogućava objektivnu i pouzdanu ocjenu kreditne sposobnosti potencijalnih klijenata ugovornih partnera agencija za procjenu kreditne sposobnosti, ona omogućava kompenziranje razlika u informacijama i stoga smanjenje rizika od prijevare i drugih neizvjesnosti.

94

Nasuprot tomu, kada je riječ o ispitanikovim pravima i interesima, obrada podataka o otpisu duga koju provode agencije za procjenu kreditne sposobnosti, poput pohrane, analize i otkrivanja tih podataka trećoj strani, ozbiljno je zadiranje u temeljna prava ispitanika utvrđena u člancima 7. i 8. Povelje. Naime, takvi podaci su negativan čimbenik u procjeni kreditne sposobnosti ispitanika i stoga su osjetljivi podaci o njegovu privatnom životu (vidjeti u tom smislu presudu od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 98.). Njihova obrada može znatno naštetiti ispitanikovim interesima jer to otkrivanje može znatno otežati ostvarivanje njihovih sloboda, osobito kada je riječ o zadovoljavanju osnovnih potreba.

95

Osim toga, kao što je to istaknula Komisija, što dulje agencije za provjeru kreditne sposobnosti pohranjuju podatke o kojima je riječ, teže su posljedice za interese i privatnost ispitanika i viši su zahtjevi u pogledu zakonitosti pohrane tih podataka.

96

Usto valja istaknuti da je, kao što to proizlazi iz uvodne izjave 76. Uredbe 2015/848, cilj javnog registra nesolventnosti unaprijediti pružanje informacija relevantnim vjerovnicima i sudovima. U vezi s tim članak 79. stavak 5. te uredbe samo propisuje da države članice obavješćuju osobe čiji se podaci obrađuju o razdoblju dostupnosti određenom za osobne podatke pohranjene u registrima nesolventnosti, a da pritom ne određuje rok za pohranu navedenih podataka. Nasuprot tomu, iz članka 79. stavka 4. te uredbe proizlazi da su države članice, u skladu s njom, odgovorne za sakupljanje i pohranu osobnih podataka u nacionalnim bazama podataka. Rok za pohranu tih podataka stoga treba odrediti u skladu s navedenom uredbom.

97

U ovom slučaju njemački zakonodavac propisuje da se informacija o dodjeli otpisa nepodmirenih dugova pohranjuje u registru nesolventnosti samo šest mjeseci. Dakle, smatra da nakon isteka roka od šest mjeseci prava i interesi ispitanika imaju prednost pred interesima javnosti da ima na raspolaganju tu informaciju.

98

Osim toga, kao što je to istaknuo nezavisni odvjetnik u točki 75. svojega mišljenja, otpis nepodmirenih dugova treba omogućiti korisniku kojemu je odobren da ponovno sudjeluje u gospodarskom životu i stoga općenito ima veliku egzistencijalnu važnost za tu osobu. Međutim, ostvarenje tog cilja bilo bi ugroženo ako bi agencije za procjenu kreditne sposobnosti, radi procjene ekonomske situacije osobe, mogle pohranjivati podatke o otpisu nepodmirenih dugova i koristiti takve podatke nakon što su izbrisani iz javnog registra nesolventnosti jer se navedeni podaci uvijek koriste kao negativan čimbenik prilikom procjene kreditne sposobnosti takve osobe.

99

U tim okolnostima interesi kreditnog sektora da raspolaže informacijama o otpisu nepodmirenih dugova ne mogu opravdati obradu osobnih podataka poput one o kojoj je riječ u glavnim postupcima nakon roka za pohranu podataka u javnom registru nesolventnosti, tako da se pohrana tih podataka koju provodi agencija za procjenu kreditne sposobnosti ne može temeljiti na članku 6. stavku 1. podstavku prvom točki (f) OUZP‑a u pogledu razdoblja nakon brisanja navedenih podataka iz javnog registra nesolventnosti.

100

Kada je riječ o razdoblju od šest mjeseci tijekom kojeg su predmetni podaci dostupni i u javnom registru, valja istaknuti da, iako se učinci paralelne pohrane tih podataka u bazama podataka takvih agencija mogu smatrati manje ozbiljnima tek nakon proteka šest mjeseci, takva pohrana ipak jest zadiranje u prava utvrđena u člancima 7. i 8. Povelje. U tom pogledu Sud je već presudio da prisutnost istih osobnih podataka u nekoliko izvora pojačava zadiranje u pravo osobe na privatnost (vidjeti presudu od 13. svibnja 2014., Google Spain i Google, C‑131/12, EU:C:2014:317, t. 86. i 87.). Na sudu koji je uputio zahtjev je da odvaže interese o kojima je riječ i utjecaj na ispitanika kako bi ustanovio može li se paralelna pohrana tih podataka koju provode agencije za procjenu kreditne sposobnosti smatrati ograničenom na strogo nužno, kao što se to zahtijeva sudskom praksom Suda navedenom u točki 88. ove presude.

101

Naposljetku, što se tiče postojanja, kao u ovom slučaju, kodeksa ponašanja kojim se predviđa da agencija za procjenu kreditne sposobnosti mora izbrisati podatke o otpisu nepodmirenih dugova nakon proteka roka od tri godine, valja podsjetiti na to da su u skladu s člankom 40. stavcima 1. i 2. OUZP‑a kodeksi ponašanja namijenjeni pružanju doprinosa ispravnoj primjeni te uredbe, uzimajući u obzir posebna obilježja različitih sektora obrade i posebne potrebe mikro, malih i srednjih poduzeća. Tako udruženja i druga tijela koja predstavljaju kategorije voditelja obrade ili izvršitelja obrade mogu izraditi kodekse ponašanja ili izmijeniti ili proširiti takve kodekse radi preciziranja primjene navedene uredbe poput poštene i transparentne obrade, legitimnih interesa voditelja obrade u posebnim kontekstima i prikupljanja osobnih podataka.

102

Osim toga, na temelju članka 40. stavka 5. OUZP‑a, nacrt kodeksa predaje se nadležnom nadzornom tijelu koje ga odobrava ako smatra da pruža dostatna prikladna jamstva.

103

U ovom slučaju, kodeks ponašanja o kojem je riječ u glavnim postupcima izradilo je udruženje njemačkih agencija za procjenu kreditne sposobnosti i odobrilo ga je nadležno nadzorno tijelo.

104

S obzirom na to da je, u skladu s člankom 40. stavcima 1. i 2. OUZP‑a, kodeks ponašanja namijenjen tomu da doprinese ispravnoj primjeni te uredbe i preciziranju načina njezine primjene, nezavisni odvjetnik istaknuo je unatoč tomu u točkama 103. i 104. svojega mišljenja da se uvjeti zakonitosti obrade osobnih podataka koji su utvrđeni takvim kodeksom ne mogu razlikovati od uvjeta propisanih u članku 6. stavku 1. OUZP‑a.

105

Tako se kodeks ponašanja koji dovodi do ocjene koja se razlikuje od one dobivene na temelju članka 6. stavka 1. prvog podstavka točke (f) OUZP‑a ne može uzeti u obzir prilikom odvagivanja koje se provodi na temelju te odredbe.

106

Naposljetku, sud koji je uputio zahtjev pita se u biti o obvezama koje agencija za provjeru kreditne sposobnosti ima na temelju članka 17. OUZP‑a.

107

U tom pogledu valja podsjetiti na to da, u skladu s člankom 17. stavkom 1. točkom (d) OUZP‑a, na koji se poziva sud koji je uputio zahtjev, ispitanik ima pravo od voditelja obrade ishoditi brisanje osobnih podataka koji se na njega odnose bez nepotrebnog odgađanja te voditelj obrade ima obvezu obrisati osobne podatke bez nepotrebnog odgađanja ako su osobni podaci nezakonito obrađeni.

108

Stoga prema jasnom tekstu te odredbe, ako bi sud koji je uputio zahtjev zaključio, po okončanju svoje ocjene o zakonitosti obrada osobnih podataka o kojima je riječ u glavnim postupcima, da ta obrada nije zakonita, na voditelju je obrade, u ovom slučaju SCHUFA‑i, da izbriše predmetne podatke bez nepotrebnog odgađanja. To bi, u skladu s utvrđenjem iz točke 99. ove presude, bio slučaj s obradom predmetnih osobnih podataka provedenom nakon isteka roka od šest mjeseci u javnom registru nesolventnosti.

109

Kada je riječ o obradi izvršenoj unutar razdoblja od šest mjeseci tijekom kojeg su podaci dostupni u javnom registru nesolventnosti, u slučaju da bi sud koji je uputio zahtjev zaključio da je obrada bila u skladu s člankom 6. stavkom 1. podstavkom prvim točkom (f) OUZP‑a, primjenjivao bi se članak 17. stavak 1. točka (c) te uredbe.

110

Tom se odredbom predviđa pravo na brisanje osobnih podataka ako ispitanik uloži prigovor na obradu u skladu s člankom 21. stavkom 1. OUZP‑a i ako ne postoje „jači legitimni razlozi za obradu”. Na temelju potonje odredbe, ispitanik ima pravo na temelju svoje posebne situacije u svakom trenutku uložiti prigovor na obradu osobnih podataka koji se na njega odnose, u skladu s člankom 6. stavkom 1. točkom (e) ili (f) OUZP‑a. Voditelj obrade više ne smije obrađivati osobne podatke osim ako voditelj obrade dokaže da postoje uvjerljivi legitimni razlozi za obradu koji nadilaze interese, prava i slobode ispitanika ili radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.

111

Iz zajedničkog tumačenja tih odredbi, kao što je to istaknuo nezavisni odvjetnik u točki 93. svojega mišljenja, proizlazi da ispitanik ima pravo na ulaganje prigovora na obradu i pravo na brisanje, osim ako postoje jači legitimni razlozi koji prevladavaju nad interesima te pravima i slobodama te osobe u smislu članka 21. stavka 1. OUZP‑a, a što je na voditelju da dokaže.

112

Slijedom toga, ako voditelj obrade to ne dokaže, ispitanik ima pravo zatražiti brisanje tih podataka na temelju članka 17. stavka 1. točke (c) OUZP‑a kada se protivi obradi u skladu s člankom 21. stavkom 1. te uredbe. Na sudu koji je uputio zahtjeve je da ispita postoje li, iznimno, jači legitimni razlozi za obradu koji mogu opravdati predmetnu obradu.

113

Uzimajući u obzir sva prethodna razmatranja, na drugo, treće, četvrto i peto pitanje valja odgovoriti na sljedeći način:

114

Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (prvo vijeće) odlučuje: