–

UF un AB vārdā – R. Rohrmoser un S. Tintemann, Rechtsanwälte,

–

Land Hessen vārdā – M. Kottmann un G. Ziegenhorn, Rechtsanwälte,

–

SCHUFA Holding AG vārdā – G. Thüsing un U. Wuermeling, Rechtsanwalt,

–

Vācijas valdības vārdā – J. Möller un P.‑L. Krüger, pārstāvji,

–

Portugāles valdības vārdā – P. Barros da Costa, M. J. Ramos un C. Vieira Guerra, pārstāves,

–

Eiropas Komisijas vārdā – A. Bouchagiar, F. Erlbacher, H. Kranenborg un W. Wils, pārstāvji,

1

Lūgumi sniegt prejudiciālu nolēmumu attiecas uz Eiropas Savienības Pamattiesību hartas (turpmāk tekstā – “Harta”) 7. un 8. panta, kā arī Eiropas Parlamenta un Padomes Regulas (ES) 2016/679 (2016. gada 27. aprīlis) par fizisku personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti un ar ko atceļ Direktīvu 95/46/EK (Vispārīgā datu aizsardzības regula) (OV 2016, L 119, 1. lpp.; un kļūdu labojums OV 2018, L 127, 2. lpp.; turpmāk tekstā – “VDAR”) 6. panta 1. punkta pirmās daļas f) apakšpunkta, 17. panta 1. punkta d) apakšpunkta, 40. panta, 77. panta 1. punkta un 78. panta 1. punkta interpretāciju.

2

Šie lūgumi ir iesniegti saistībā ar divām tiesvedībām prasībās, ko persona UF (lietā C‑26/22) un persona AB (lietā C‑64/22) ir cēlušas pret Land Hessen (Hesenes federālā zeme, Vācija) par Hessischer Beauftragter für Datenschutz und Informationsfreiheit (Hesenes federālās zemes Datu aizsardzības un informācijas brīvības uzraudzītājs, Vācija; turpmāk tekstā – “HBDI”) atteikumu uzdot SCHUFA Holding AG (turpmāk tekstā – “SCHUFA”) dzēst tās glabātos datus par UF un AB atbrīvošanu no atlikušajām parādsaistībām.

3

Eiropas Parlamenta un Padomes Direktīvas 2008/48/EK (2008. gada 23. aprīlis) par patēriņa kredītlīgumiem un ar ko atceļ Direktīvu 87/102/EEK (OV L 2008, L 133, 66. lpp.) 26. un 28. apsvērumā ir teikts:

[..]

4

Šīs direktīvas 8. panta “Pienākums novērtēt patērētāja kredītspēju” 1. punktā ir noteikts:

“Dalībvalstis nodrošina, ka pirms kredītlīguma noslēgšanas kreditors novērtē patērētāja kredītspēju, pamatojoties uz pietiekamu informāciju, kas attiecīgā gadījumā iegūta no patērētāja, un, ja nepieciešams, uz ziņām, kas iegūtas no attiecīgās datubāzes. Dalībvalstis, kurās tiesību akti paredz, ka kreditori novērtē patērētāju kredītspēju, pamatojoties uz ziņām, kas iegūtas no attiecīgās datubāzes, var saglabāt šo prasību.”

5

Eiropas Parlamenta un Padomes Direktīvas 2014/17/ES (2014. gada 4. februāris) par patērētāju kredītlīgumiem saistībā ar mājokļa nekustamo īpašumu un ar ko groza Direktīvas 2008/48/EK un 2013/36/ES un Regulu (ES) Nr. 1093/2010 (OV 2014, L 60, 34. lpp.) 55. un 59. apsvērumā ir teikts:

[..]

6

Šīs direktīvas 18. panta “Pienākums izvērtēt patērētāja kredītspēju” 1. punktā ir noteikts:

“Dalībvalstis nodrošina, lai pirms kredītlīguma noslēgšanas kreditors veiktu rūpīgu patērētāja kredītspējas izvērtējumu. Minētajā izvērtējumā pienācīgi ņem vērā faktorus, kas ir būtiski, lai pārbaudītu patērētāja iespējas izpildīt kredītlīgumā noteiktās saistības.”

7

Minētās direktīvas 21. panta “Piekļuve datubāzēm” 1. un 2. punktā ir noteikts:

“1.   Katra dalībvalsts nodrošina visiem kreditoriem no visām dalībvalstīm piekļuvi datubāzēm, ko attiecīgajā dalībvalstī izmanto patērētāju kredītspējas izvērtēšanai un vienīgi ar mērķi pārraudzīt patērētāju kredītsaistību izpildi visā kredītlīguma spēkā esamības laikā. Šādas piekļuves nosacījumi ir nediskriminējoši.

2.   Šā panta 1. punktu piemēro gan datubāzēm, kuras uztur privāti kredītbiroji vai kredītinformācijas aģentūras, gan publiskiem reģistriem.”

8

Eiropas Parlamenta un Padomes Regulas (ES) 2015/848 (2015. gada 20. maijs) par maksātnespējas procedūrām (OV 2015, L 141, 19. lpp.) 76. apsvērumā ir teikts:

“Lai uzlabotu attiecīgo kreditoru un tiesu informēšanu un novērstu paralēlu maksātnespējas procedūru sākšanu, dalībvalstīm pārrobežu maksātnespējas gadījumos vajadzētu būt pienākumam publicēt attiecīgo informāciju publiski pieejamā elektroniskā reģistrā. Lai kreditoriem un tiesām, kuru domicils vai atrašanās vieta ir citās dalībvalstīs, atvieglotu piekļuvi minētajai informācijai, šajā regulā būtu jāparedz šādu maksātnespējas reģistru savstarpēja savienojamība, izmantojot Eiropas e‑tiesiskuma portālu. [..]”

9

Šīs regulas 79. panta “Dalībvalstu pienākumi saistībā ar personas datu apstrādi valsts maksātnespējas reģistros” 4. un 5. punktā ir noteikts:

“4.   Dalībvalstis saskaņā ar [Eiropas Parlamenta un Padomes] Direktīvu 95/46/EK [(1995. gada 24. oktobris) par personu aizsardzību attiecībā uz personas datu apstrādi un šādu datu brīvu apriti (OV 1995, L 281, 31. lpp.)] ir atbildīgas par datu vākšanu un uzglabāšanu valsts datubāzēs un par lēmumiem, kas pieņemti, lai darītu šādus datus pieejamus savstarpēji savienotos reģistros, kurus var aplūkot, izmantojot Eiropas e‑tiesiskuma portālu.

5.   Saistībā ar informāciju, kas datu subjektiem būtu sniedzama, lai dotu tiem iespēju īstenot savas tiesības un jo īpaši tiesības uz datu dzēšanu, dalībvalstis informē datu subjektus par piekļuves laikposmu, kas noteikts maksātnespējas reģistros glabātajiem personas datiem.”

10

VDAR 10., 11., 47., 50., 98., 141. un 143. apsvērumā ir teikts:

[..]

[..]

[..]

[..]

[..]

11

Šīs regulas 5. pants “Personas datu apstrādes principi” ir formulēts šādi:

“1.   Personas dati:

[..]

[..]

2.   Pārzinis ir atbildīgs par atbilstību 1. punktam un var to uzskatāmi parādīt (“pārskatatbildība”).”

12

Minētās regulas 6. pants “Apstrādes likumīgums” noteic:

“1.   Apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja ir piemērojams vismaz viens no turpmāk minētajiem pamatojumiem:

[..]

[..]

4.   Ja apstrāde citā nolūkā nekā tajā, kādā personas dati tika vākti, nav balstīta uz datu subjekta piekrišanu vai uz Savienības vai dalībvalsts tiesību aktiem, kas demokrātiskā sabiedrībā ir vajadzīgs un samērīgs pasākums, lai aizsargātu 23. panta 1. punktā minētos mērķus, pārzinis, lai pārliecinātos, vai apstrāde citā nolūkā ir savietojama ar nolūku, kādā personas dati sākotnēji tika vākti, cita starpā ņem vērā:

13

VDAR 17. panta “Tiesības uz dzēšanu (tiesības “tikt aizmirstam”)” 1. punktā ir noteikts:

“Datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja pastāv viens no šādiem nosacījumiem:

[..]

[..].”

14

Šīs regulas 21. panta “Tiesības iebilst” 1. un 2. punktā ir noteikts:

“1.   Datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 6. panta 1. punkta e) vai f) apakšpunktu, tostarp profilēšanu, kas pamatojas uz minētajiem noteikumiem. Pārzinis personas datus vairs neapstrādā, izņemot, ja pārzinis norāda uz pārliecinošiem leģitīmiem apstrādes iemesliem, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai lai celtu, īstenotu vai aizstāvētu likumīgas prasības.

2.   Ja personas datus apstrādā tiešās tirgvedības nolūkos, datu subjektam ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi šādas tirgvedības vajadzībām, kas ietver profilēšanu, ciktāl tā ir saistīta ar šādu tiešo tirgvedību.”

15

Minētās regulas 40. panta “Rīcības kodeksi” 1., 2. un 5. punktā ir noteikts:

“1.   Dalībvalstis, uzraudzības iestādes, kolēģija un [Eiropas] Komisija mudina izstrādāt rīcības kodeksus, kas paredzēti, lai veicinātu šīs regulas atbilstīgu piemērošanu, ņemot vērā dažādo apstrādes nozaru specifiskās iezīmes un mikrouzņēmumu, mazo un vidējo uzņēmumu konkrētās vajadzības.

2.   Apvienības un citas struktūras, kas pārstāv pārziņu vai apstrādātāju kategorijas, var izstrādāt rīcības kodeksus vai tos grozīt vai papildināt, lai precīzi noteiktu, kā piemērojama šī regula, piemēram, attiecībā uz:

[..]

5.   Šā panta 2. punktā minētās apvienības un citas struktūras, kas plāno izstrādāt rīcības kodeksu vai grozīt vai papildināt esošu rīcības kodeksu, iesniedz rīcības kodeksa, grozījumu vai papildinājumu projektu uzraudzības iestādei, kura saskaņā ar 55. pantu ir kompetenta. Uzraudzības iestāde sniedz atzinumu par to, vai rīcības kodeksa, grozījumu vai papildinājumu projekts ir saskaņā ar šo regulu, un apstiprina minēto rīcības kodeksa, grozījumu vai papildinājumu projektu, ja tā konstatē, ka tas nodrošina pietiekamas atbilstošas garantijas.”

16

VDAR 51. panta “Uzraudzības iestāde” 1. punktā ir noteikts:

“Katra dalībvalsts paredz, ka viena vai vairākas neatkarīgas publiskas iestādes ir atbildīgas par šīs regulas piemērošanas uzraudzību, lai aizsargātu fizisku personu pamattiesības un pamatbrīvības saistībā ar apstrādi un veicinātu personas datu brīvu apriti Savienībā (“uzraudzības iestāde”).”

17

Šīs regulas 52. panta “Neatkarība” 1., 2. un 4. punktā ir noteikts:

“1.   Katra uzraudzības iestāde rīkojas pilnīgi neatkarīgi, pildot savus uzdevumus un īstenojot savas pilnvaras saskaņā ar šo regulu.

2.   Katras uzraudzības iestādes loceklis vai locekļi, pildot uzdevumus un īstenojot pilnvaras saskaņā ar šo regulu, ir brīvi no ārējas – tiešas vai netiešas – ietekmes un ne no viena nelūdz un nepieņem norādījumus.

[..]

4.   Katra dalībvalsts nodrošina, lai katrai uzraudzības iestādei būtu piešķirti cilvēkresursi, tehniskie un finanšu resursi, telpas un infrastruktūra, kas nepieciešami efektīvai tās uzdevumu izpildei un pilnvaru īstenošanai, tostarp arī tādu uzdevumu izpildei un pilnvaru īstenošanai, kuri jāveic saistībā ar savstarpējo palīdzību, sadarbību un dalību kolēģijā.”

18

Minētās regulas 57. panta “Uzdevumi” 1. punktā ir noteikts:

“Neskarot citus uzdevumus, kas noteikti ar šo regulu, ikviena uzraudzības iestāde savā teritorijā:

[..]

[..].”

19

VDAR 58. panta “Pilnvaras” 1. punktā ir uzskaitītas ikvienai uzraudzības iestādei esošās izmeklēšanas pilnvaras, savukārt 2. punktā uzskaitītas šo iestāžu korektīvās pilnvaras.

20

Šīs regulas 77. pants “Tiesības iesniegt sūdzību uzraudzības iestādē” noteic:

“1.   Neskarot jebkādus citus administratīvos tiesību aizsardzības līdzekļus vai tiesību aizsardzību tiesā, katram datu subjektam ir tiesības iesniegt sūdzību uzraudzības iestādē, jo īpaši tajā dalībvalstī, kurā ir viņa pastāvīgā dzīvesvieta, darbavieta vai iespējamā pārkāpuma izdarīšanas vieta, ja datu subjekts uzskata, ka viņa personas datu apstrāde pārkāpj šo regulu.

2.   Uzraudzības iestāde, kurā ir iesniegta sūdzība, informē sūdzības iesniedzēju par sūdzības izskatīšanas virzību un iznākumu, tostarp par tiesību aizsardzības tiesā iespēju saskaņā ar 78. pantu.”

21

Minētās regulas 78. panta “Tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādi” 1. un 2. punktā ir noteikts:

“1.   Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katrai fiziskai vai juridiskai personai ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas skar minētās personas.

2.   Neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katram datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja uzraudzības iestāde, kas ir kompetenta, ievērojot 55. un 56. pantu, trīs mēnešu laikā neizskata sūdzību vai neinformē datu subjektu par sūdzības, kas iesniegta, ievērojot 77. pantu, izskatīšanas virzību vai rezultātiem.”

22

VDAR 79. panta “Tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini vai apstrādātāju” 1. punktā ir noteikts:

“Neskarot pieejamos administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, tai skaitā tiesības iesniegt sūdzību uzraudzības iestādē, ievērojot 77. pantu, ikvienam datu subjektam ir tiesības uz efektīvu tiesību aizsardzību tiesā, ja viņš uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas tādas viņa personas datu apstrādes rezultātā, kura neatbilst šai regulai.”

23

1994. gada 5. oktobraInsolvenzordnung (Maksātnespējas likums) (BGBl. 1994 I, 2866. lpp.), redakcijā, kas piemērojama pamatlietu faktiskajiem apstākļiem, 9. panta 1. punkts noteic:

“Oficiāla publiskošana notiek ar vienotu publikāciju internetā visās federālajās zemēs; tā var notikt arī izvilkumu veidā. Parādnieks ir precīzi jāidentificē, it īpaši norādot viņa adresi un uzņēmējdarbības nozari. Publiskošanu uzskata par notikušu, tiklīdz pēc publicēšanas dienas ir pagājušas divas dienas.”

24

2002. gada 12. februāraVerordnung zu öffentlichen Bekanntmachungen in Insolvenzverfahren im Internet (Noteikumi par oficiālām publikācijām internetā maksātnespējas procesos; BGBl. I, 677. lpp.; turpmāk tekstā – “InsoBekV”) 3. panta 1. un 2. punkts noteic:

“(1)   Ne vēlāk kā sešus mēnešus pēc dienas, kad ir izbeigts maksātnespējas process vai likumīgā spēkā stājusies šā procesa apturēšana, informācijas un komunikāciju sistēmā tiek dzēsta no maksātnespējas procesa izrietošo datu, t.sk. ziņu par procesa uzsākšanu, publiskošana. Ja process netiek uzsākts, šo termiņu sāk skaitīt no publiskoto drošības pasākumu atcelšanas brīža.

(2)   Publiskošanai saistībā ar procedūru atbrīvošanai no atlikušajām parādsaistībām, tostarp Likuma par maksātnespēju 289. pantā paredzētā lēmuma publiskošanai, 1. punkta pirmo teikumu piemēro ar nosacījumu, ka termiņu sāk skaitīt no brīža, kad lēmums par atbrīvošanu no parādsaistībām ir stājies likumīgā spēkā.”

25

Personu UF un AB maksātnespējas procesos ar tiesas nolēmumiem, kas pieņemti attiecīgi 2020. gada 17. decembrī un 2021. gada 23. martā, šīs personas tika pirms termiņa atbrīvotas no atlikušajām parādsaistībām. Saskaņā ar Insolvenzordnung 9. panta 1. punktu, kā arī InsoBekV 3. panta 1. un 2. punktu šo nolēmumu oficiālā publikācija internetā tika dzēsta pēc sešiem mēnešiem no minēto nolēmumu pieņemšanas brīža.

26

SCHUFA ir privāts kredītinformācijas birojs, kas savās datubāzēs reģistrē un glabā informāciju no publiskiem reģistriem, tostarp informāciju par atbrīvošanu no atlikušajām parādsaistībām. Šo informāciju tas – atbilstoši Rīcības kodeksam, ko Vācijā izstrādājusi kredītinformācijas biroju apvienība un apstiprinājusi kompetentā uzraudzības iestāde – dzēš pēc tam, kad ir pagājuši trīs gadi kopš brīža, kad tā tikusi reģistrēta.

27

Personas UF un AB vērsās pie SCHUFA, lai panāktu, ka tas dzēš ierakstus par lēmumiem par viņu par atbrīvošanu no atlikušajām parādsaistībām. Šī sabiedrība atteicās apmierināt viņu pieprasījumus, paskaidrojusi, ka tās darbībā ir tikusi ievērota VDAR un ka InsoBekV 3. panta 1. punktā paredzētais sešu mēnešu dzēšanas termiņš tai nav piemērojams.

28

Pēc tam personas UF un AB katra iesniedza sūdzību kompetentajā uzraudzības iestādē – HBDI.

29

Lēmumos, kas pieņemti attiecīgi 2021. gada 1. martā un 2021. gada 9. jūlijā, HBDI uzskatīja, ka SCHUFA veiktā datu apstrāde ir likumīga.

30

Tad personas UF un AB katra cēla prasību atcelt HBDI lēmumu iesniedzējtiesā – Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa, Vācija). Savu prasību pamatošanai tās apgalvoja, ka HBDI, veicot savus uzdevumus un īstenojot savas pilnvaras, ir pienākums veikt pasākumus pret SCHUFA, lai panāktu, kas tas dzēš attiecībā uz šīm personām veiktos ierakstus.

31

Paskaidrojumā HBDI lūdza šīs prasības noraidīt.

32

Pirmkārt, HBDI apgalvoja, ka VDAR 77. panta 1. punktā paredzētās tiesības iesniegt sūdzību ir paredzētas tikai kā tiesības iesniegt lūgumrakstu. Tādējādi tiesā veicamajā pārbaudē ir vienīgi pārbaudāms, vai uzraudzības iestāde ir izskatījusi sūdzību un informējusi tās iesniedzēju par šīs sūdzības izskatīšanas virzību un iznākumu. Turpretī lietu izskatošajai tiesai neesot jāpārbauda, vai pieņemtais lēmums par sūdzību ir pareizs pēc būtības.

33

Otrkārt, HBDI uzsvēra, ka kredītinformācijas birojiem pieejamie dati var tikt glabāti tik ilgi, cik tas ir nepieciešams mērķiem, kādiem tie ir saglabāti. Tā kā valsts likumdevējs neesot paredzējis attiecīgu tiesisko regulējumu, uzraudzības iestādes esot pieņēmušas rīcības kodeksus, un kredītinformācijas biroju apvienības pieņemtais rīcības kodekss paredzot šo datu dzēšanu tieši trīs gadus pēc iekļaušanas kartotēkā.

34

Šajā ziņā, pirmām kārtām, iesniedzējtiesa uzskata par vajadzīgu noskaidrot, kā juridiski ir kvalificējams lēmums, kuru uzraudzības iestāde pieņem par sūdzību, kas iesniegta saskaņā ar VDAR 77. panta 1. punktu.

35

Proti, šai tiesai ir šaubas par HBDI argumentāciju, jo tās rezultātā tiktu apdraudēta VDAR 78. panta 1. punktā paredzētās tiesību aizsardzības tiesā efektivitāte. Turklāt, ņemot vērā šīs regulas mērķi saistībā ar Hartas 7. un 8. panta īstenošanu nodrošināt fizisko personu pamattiesību un brīvību efektīvu aizsardzību, minētās regulas 77. un 78. pants neesot interpretējams šauri.

36

Minētā tiesa atbalsta tādu interpretāciju, saskaņā ar kuru uzraudzības iestādes pieņemtais lēmums pēc būtības ir jāpakļauj pilnīgai pārbaudei tiesā. Tomēr šai iestādei esot gan novērtējuma brīvība, gan rīcības brīvība, un tai varot būt pienākums rīkoties tikai tad, ja nav iespējams identificēt likumīgas alternatīvas.

37

Otrām kārtām, iesniedzējtiesa vēlas noskaidrot, vai divējādā ziņā ir likumīgi, ka kredītinformācijas biroji glabā datus par personas maksātspēju, kas iegūti no tādiem publiskiem reģistriem kā maksātnespējas reģistrs.

38

Pirmkārt, šaubas esot par to, vai ir likumīgi, ka no publiskajiem reģistriem pārsūtītos datus savās datubāzēs glabā tādi privātuzņēmumi kā SCHUFA.

39

Proti, šī glabāšana notiekot nevis saistībā ar kādu konkrētu iemeslu, bet gan gadījumam, ja šo uzņēmumu līgumpartneri tiem pieprasītu šādu informāciju, un galu galā izraisot šo datu uzkrāšanu, it īpaši tad, ja tie jau ir dzēsti no publiskā reģistra tāpēc, ka beidzies to glabāšanas termiņš.

40

Turklāt datu apstrāde un tātad glabāšana esot atļauta tikai tad, ja ir izpildīts kāds no VDAR 6. panta 1. punktā paredzētajiem nosacījumiem. Šajā gadījumā runa esot tikai par šīs regulas 6. panta 1. punkta pirmās daļas f) apakšpunktā paredzēto nosacījumu. Taču esot visnotaļ apšaubāms, ka tādam kredītinformācijas birojam kā SCHUFA būtu leģitīmas intereses šīs normas izpratnē.

41

Visbeidzot, tā kā SCHUFA esot tikai viens no vairākiem kredītinformācijas birojiem, šo datu glabāšana šādā veidā Vācijā esot ļoti izplatīta, un tas savukārt nozīmējot, ka Hartas 7. pantā nostiprinātās pamattiesības tiek aizskartas masveidā.

42

Otrkārt, pat pieņemot, ka privātu uzņēmumu veikta no publiskiem reģistriem iegūtu datu glabāšana pati par sevi ir likumīga, rodoties jautājums par šādas glabāšanas iespējamo ilgumu.

43

Šajā ziņā iesniedzējtiesa uzskata, ka šiem privātuzņēmumiem būtu jāpieprasa ievērot sešu mēnešu termiņu, kas InsoBekV 3. pantā paredzēts lēmumu par atbrīvošanu no atlikušajām parādsaistībām glabāšanai maksātnespējas reģistrā. Tādējādi dati, kas valsts reģistrā ir jādzēš, vienlaikus būtu jādzēš arī visos šos datus glabājušajos privātajos kredītinformācijas birojos.

44

Turklāt rodoties jautājums, vai rīcības kodekss, kas apstiprināts saskaņā ar VDAR 40. pantu un kurā ir paredzēts trīs gadu dzēšanas termiņš attiecībā uz ierakstu par atbrīvošanu no atlikušajām parādsaistībām, ir jāņem vērā, veicot VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktā paredzētās izvērtēšanas ietvaros veicamo samērošanu.

45

Šādos apstākļos Verwaltungsgericht Wiesbaden (Vīsbādenes Administratīvā tiesa) nolēma apturēt tiesvedību un uzdot Tiesai šādus prejudiciālus jautājumus:

46

Ar Tiesas priekšsēdētāja 2022. gada 11. februāra lēmumu lietas C‑26/22 un C‑64/22 tika apvienotas tiesvedības rakstveida vai mutvārdu daļām, kā arī sprieduma taisīšanai.

47

Ar pirmo jautājumu iesniedzējtiesa būtībā jautā, vai VDAR 78. panta 1. punkts ir jāinterpretē tādējādi, ka pārbaude tiesā, kas tiek veikta attiecībā uz uzraudzības iestādes pieņemtu lēmumu par sūdzību, attiecas tikai uz jautājumu, vai šī iestāde ir izskatījusi sūdzību, pienācīgi izmeklējusi sūdzības priekšmetu un informējusi sūdzības iesniedzēju par izmeklēšanas rezultātiem, vai arī attiecībā uz šo lēmumu ir jāveic pilnīga pārbaude tiesā, kas ietver lietu izskatošās tiesas tiesības noteikt uzraudzības iestādei pienākumu veikt konkrētu pasākumu.

48

Lai atbildētu uz šo jautājumu, ievadam jāatgādina, ka, interpretējot Savienības tiesību normu, jāņem vērā ne tikai tās teksts, bet arī konteksts un šo normu ietverošā tiesību akta mērķi un nolūks (spriedums, 2023. gada 22. jūnijs, Pankki S, C‑579/21, EU:C:2023:501, 38. punkts un tajā minētā judikatūra).

49

Runājot par VDAR 78. panta 1. punkta formulējumu, jāteic, ka šajā tiesību normā ir noteikts, ka, neskarot jebkādus citus administratīvos vai ārpustiesas tiesību aizsardzības līdzekļus, katrai fiziskai vai juridiskai personai ir tiesības uz efektīvu tiesību aizsardzību tiesā pret uzraudzības iestādes pieņemtu juridiski saistošu lēmumu, kas skar minētās personas.

50

Šajā ziņā uzreiz jānorāda, ka šajā gadījumā HBDI pieņemtie lēmumi ir juridiski saistoši lēmumi šā 78. panta 1. punkta izpratnē. Proti, izvērtējusi tai iesniegto sūdzību pamatotību, šī iestāde konstatēja, ka prasītāju pamatlietās apstrīdētā personas datu apstrāde saskaņā ar VDAR bija likumīga. Šo lēmumu juridiski saistošo raksturu turklāt apstiprina šīs regulas 143. apsvērums, saskaņā ar kuru tas, ka uzraudzības iestāde noraida sūdzību, ir lēmums, kas sūdzības iesniedzējam rada tiesiskas sekas.

51

Jānorāda arī, ka no šīs tiesību normas, lasot to šīs regulas 141. apsvēruma gaismā, skaidri izriet, ka ikvienam datu subjektam ir tiesības uz “efektīvu” tiesību aizsardzību tiesā saskaņā ar Hartas 47. pantu.

52

Tādējādi Tiesa jau ir nospriedusi, ka no VDAR 78. panta 1. punkta, lasot to šīs regulas 143. apsvēruma gaismā, izriet, ka tiesām, kas izskata prasību par uzraudzības iestādes lēmumu, vajadzētu īstenot pilnu jurisdikciju, kurai vajadzētu ietvert jurisdikciju izskatīt visus faktu jautājumus un tiesību normu piemērošanas jautājumus, kas saistīti ar tajā izskatāmo strīdu (spriedums, 2023. gada 12. janvāris, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 41. punkts).

53

Tāpēc VDAR 78. panta 1. punkts nav interpretējams tādējādi, ka pārbaude tiesā, kas tiek veikta attiecībā uz uzraudzības iestādes pieņemtu lēmumu par sūdzību, attiektos tikai uz jautājumu, vai šī iestāde ir izskatījusi sūdzību, pienācīgi izmeklējusi tās priekšmetu un informējusi sūdzības iesniedzēju par izmeklēšanas rezultātiem. Gluži pretēji, lai tiesību aizsardzība tiesā būtu “efektīva”, kā tas prasīts šajā tiesību normā, šādam lēmumam ir jābūt pakļautam pilnīgai pārbaudei tiesā.

54

Šo interpretāciju apstiprina arī gan VDAR 78. panta 1. punkta konteksts, gan šīs regulas mērķi un nolūks.

55

Par šīs normas kontekstu jāteic, ka saskaņā ar Hartas 8. panta 3. punktu, kā arī VDAR 51. panta 1. punktu un 57. panta 1. punkta a) apakšpunktu valsts uzraudzības iestāžu pienākums ir pārbaudīt, vai ir ievēroti Savienības noteikumi par fizisku personu aizsardzību attiecībā uz personas datu apstrādi (spriedums, 2020. gada 16. jūlijs, Facebook Ireland un Schrems, C‑311/18, EU:C:2020:559, 107. punkts).

56

Konkrēti, saskaņā ar VDAR 57. panta 1. punkta f) apakšpunktu katrai uzraudzības iestādei savā teritorijā ir pienākums izskatīt sūdzības, kuras ikviena persona saskaņā ar šīs regulas 77. panta 1. punktu ir tiesīga iesniegt – ja tā uzskata, ka tās personas datu apstrāde ir veikta, pārkāpjot minēto regulu – un ciktāl nepieciešams, izmeklēt attiecīgo jautājumu. Uzraudzības iestādei šāda sūdzība ir jāizskata ar visu pienācīgo rūpību (spriedums, 2020. gada 16. jūlijs, Facebook Ireland un Schrems, C‑311/18, EU:C:2020:559, 109. punkts).

57

Iesniegto sūdzību izskatīšanai VDAR 58. panta 1. punktā katrai uzraudzības iestādei ir piešķirtas ievērojamas izmeklēšanas pilnvaras. Ja šī iestāde izmeklēšanas noslēgumā konstatē šīs regulas tiesību normu pārkāpumu, tai ir pienācīgi jārīkojas, lai novērstu konstatēto trūkumu. Tālab šīs regulas 58. panta 2. punktā ir uzskaitīti dažādi koriģējošie pasākumi, ko uzraudzības iestāde var veikt (šajā nozīmē skat. spriedumu, 2020. gada 16. jūlijs, Facebook Ireland un Schrems, C‑311/18, EU:C:2020:559, 111. punkts).

58

No tā izriet – kā ģenerāladvokāts norāda secinājumu 42. punktā –, ka sūdzību procedūra, kas nav pielīdzināma lūgumraksta procedūrai, ir izveidota kā mehānisms, ar kuru var efektīvi aizsargāt datu subjektu tiesības un intereses.

59

Savukārt, ņemot vērā plašās pilnvaras, kas uzraudzības iestādei ir piešķirtas saskaņā ar VDAR, prasība par efektīvu tiesību aizsardzību tiesā netiktu izpildīta, ja lēmumi par to, kā šāda uzraudzības iestāde īsteno izmeklēšanas pilnvaras vai koriģējošos pasākumus, būtu pakļauti tikai ierobežotai pārbaudei tiesā.

60

Tas pats attiecas uz lēmumiem par sūdzības noraidīšanu, jo VDAR 78. panta 1. punktā nav paredzēta atšķirība atkarībā no uzraudzības iestādes pieņemtā lēmuma iedabas.

61

Par VDAR mērķiem jāteic, ka konkrēti no tās 10. apsvēruma izriet, ka šīs regulas mērķis ir nodrošināt augsta līmeņa aizsardzību fiziskām personām attiecībā uz personas datu apstrādi Savienībā. Šīs regulas 11. apsvērumā ir arī teikts – lai šo datu aizsardzība visā Savienībā būtu efektīva, nepieciešams stiprināt datu subjektu tiesības.

62

Savukārt, ja minētās regulas 78. panta 1. punkts būtu jāinterpretē tādējādi, ka tajā paredzētajā pārbaudē, kas veicama tiesā, ir vienīgi jāpārbauda, vai uzraudzības iestāde ir izskatījusi sūdzību, pienācīgi izmeklējusi tās priekšmetu un informējusi sūdzības iesniedzēju par izmeklēšanas rezultātiem, tad noteikti tiktu apdraudēta šīs regulas mērķu sasniegšana un nolūka īstenošana.

63

Turklāt tāda šīs tiesību normas interpretācija, saskaņā ar kuru uzraudzības iestādes lēmums par sūdzību ir pakļauts pilnīgai pārbaudei tiesā, neliek apšaubīt ne uzraudzības iestāžu neatkarības garantijas, ne tiesības uz efektīvu tiesību aizsardzību tiesā pret pārzini vai apstrādātāju.

64

Pirmām kārtām, Hartas 8. panta 3. punkts patiešām noteic, ka personas datu aizsardzības noteikumu ievērošanu kontrolē neatkarīga iestāde. Šajā ziņā VDAR 52. pantā tostarp ir precizēts: katra uzraudzības iestāde rīkojas pilnīgi neatkarīgi, pildot savus uzdevumus un īstenojot savas pilnvaras saskaņā ar šo regulu (1. punkts); katras uzraudzības iestādes loceklis vai locekļi, pildot uzdevumus un īstenojot pilnvaras saskaņā ar šo regulu, ir brīvi no ārējas ietekmes (2. punkts) un katra dalībvalsts nodrošina, lai katrai uzraudzības iestādei būtu piešķirti resursi, kas nepieciešami efektīvai tās uzdevumu izpildei un pilnvaru īstenošanai (4. punkts).

65

Tomēr tas, ka uzraudzības iestādes juridiski saistošie lēmumi ir pakļauti pilnīgai pārbaudei tiesā, nekādi neapdraud šīs neatkarības garantijas.

66

Otrām kārtām, attiecībā uz VDAR 79. panta 1. punktā paredzētajām tiesībām uz efektīvu tiesību aizsardzību tiesā pret pārzini vai apstrādātāju jānorāda, ka saskaņā ar Tiesas judikatūru prasības, kas paredzētas šīs regulas attiecīgi 78. panta 1. punktā un 79. panta 1. punktā, var tikt celtas līdztekus viena otrai un katra patstāvīgi (spriedums, 2023. gada 12. janvāris, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 35. punkts un rezolutīvā daļa). Proti, šajā ziņā Tiesa ir atzinusi, ka vairāku tiesību aizsardzības līdzekļu nodrošināšana stiprina arī minētās regulas 141. apsvērumā nosprausto mērķi garantēt, lai ikvienam datu subjektam, kurš uzskata, ka viņa tiesības saskaņā ar šo regulu ir pārkāptas, būtu tiesības uz efektīvu tiesību aizsardzību tiesā saskaņā ar Hartas 47. pantu (spriedums, 2023. gada 12. janvāris, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 44. punkts).

67

Tāpēc, lai arī dalībvalstīm atbilstoši procesuālās autonomijas principam ir jāparedz, kādā tieši savstarpējā attiecībā ir šie tiesību aizsardzības līdzekļi (spriedums, 2023. gada 12. janvāris, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, 45. punkts un rezolutīvā daļa), VDAR 79. panta 1. punktā paredzēto tiesību uz efektīvu tiesību aizsardzību tiesā pret pārzini vai apstrādātāju esamība nekādi neietekmē to, cik lielā mērā ir veicama pārbaude tiesā saistībā ar prasību, kas saskaņā ar šīs regulas 78. panta 1. punktu ir celta par lēmumu, ko uzraudzības iestāde pieņēmusi par sūdzību.

68

Tomēr jāpiebilst, ka, lai gan, kā atgādināts šā sprieduma 56. punktā, uzraudzības iestādei sūdzība ir jāizskata ar visu pienācīgo rūpību, attiecībā uz VDAR 58. panta 2. punktā uzskaitītajiem koriģējošajiem pasākumiem šai iestādei ir rīcības brīvība piemērotu un nepieciešamu līdzekļu izvēlē (šajā nozīmē skat. spriedumu, 2020. gada 16. jūlijs, Facebook Ireland un Schrems, C‑311/18, EU:C:2020:559, 112. punkts).

69

Savukārt, lai arī – kā konstatēts šā sprieduma 52. punktā – valsts tiesai, kurā celta prasība saskaņā ar VDAR 78. panta 1. punktu, ir jābūt pilnīgai kompetencei izskatīt visus ar attiecīgo strīdu saistītos faktu un tiesību jautājumus, efektīvas tiesību aizsardzības tiesā garantija tomēr nenozīmē, ka attiecīgā tiesa būtu tiesīga šīs iestādes vērtējumu par piemēroto un nepieciešamo koriģējošo pasākumu izvēli aizstāt ar savu vērtējumu, bet gan prasa, lai šī tiesa pārbaudītu, vai uzraudzības iestāde ir ievērojusi savas novērtējuma brīvības robežas.

70

Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz pirmo jautājumu ir atbildams, ka VDAR 78. panta 1. punkts ir jāinterpretē tādējādi, ka uzraudzības iestādes lēmums par sūdzību ir pakļauts pilnīgai pārbaudei tiesā.

71

Ar otro līdz piekto jautājumu, kuri ir jāizskata kopā, iesniedzējtiesa būtībā jautā,

72

VDAR 5. panta 1. punkta a) apakšpunkts noteic, ka personas dati tiek apstrādāti likumīgi, godprātīgi un datu subjektam pārredzamā veidā.

73

Šajā ziņā šīs regulas 6. panta 1. punkta pirmajā daļā ir veikts izsmeļošs un ierobežojošs to gadījumu uzskaitījums, kuros personas datu apstrādi var uzskatīt par likumīgu. Tādējādi, lai apstrādi varētu uzskatīt par likumīgu, uz to jāattiecas kādam no šajā tiesību normā paredzētajiem gadījumiem (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi),C‑252/21, EU:C:2023:537, 90. punkts, kā arī tajā minētā judikatūra).

74

Šajā gadījumā nav strīda par to, ka pamatlietās aplūkotās personas datu apstrādes likumīgums jāizvērtē, ņemot vērā tikai VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu. Šī tiesību norma noteic, ka personas datu apstrāde ir likumīga tikai tādā apmērā un tikai tad, ja šī apstrāde ir vajadzīga pārziņa vai trešās personas leģitīmo interešu ievērošanai, izņemot, ja datu subjekta intereses vai pamattiesības un pamatbrīvības, kurām nepieciešama personas datu aizsardzība, ir svarīgākas par šādām interesēm, jo īpaši, ja datu subjekts ir bērns.

75

Tādējādi minētajā tiesību normā ir paredzēti trīs kumulatīvi nosacījumi, lai personas datu apstrāde būtu likumīga, proti, pirmkārt, pārziņa vai trešās personas leģitīmu interešu esamība, otrkārt, nepieciešamība apstrādāt personas datus šo leģitīmo interešu ievērošanai un, treškārt, nosacījums, ka neprevalē tās personas intereses vai pamattiesības un pamatbrīvības, uz kuru attiecas datu aizsardzība (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 106. punkts, kā arī tajā minētā judikatūra).

76

Pirmkārt, attiecībā uz nosacījumu par “leģitīmo interešu” esamību, ņemot vērā, ka VDAR šis jēdziens nav definēts, ir jāuzsver – kā secinājumu 61. punktā norāda ģenerāladvokāts –, ka par leģitīmām principā var uzskatīt plašu interešu loku.

77

Otrkārt, attiecībā uz nosacījumu par personas datu apstrādes nepieciešamību leģitīmo interešu īstenošanai, jāteic, ka tas prasa valsts tiesai pārbaudīt, vai leģitīmās intereses, kas saistītas ar datu apstrādi, nevar saprātīgi īstenot tikpat efektīvi ar citiem līdzekļiem, kas mazāk aizskartu datu subjektu pamattiesības un pamatbrīvības, jo īpaši Hartas 7. un 8. pantā garantētās tiesības uz privātās dzīves neaizskaramību un personas datu aizsardzību (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 108. punkts, kā arī tajā minētā judikatūra).

78

Šajā kontekstā jāatgādina arī, ka nosacījums par vajadzību apstrādāt datus ir jāaplūko kopā ar tā saukto “datu minimizēšanas” principu, kurš nostiprināts VDAR 5. panta 1. punkta c) apakšpunktā un saskaņā ar kuru personas datiem jābūt “adekvāt[iem], atbilstīg[iem] un [jā]ietver tikai [tas], kas nepieciešams to apstrādes nolūkos” (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 109. punkts, kā arī tajā minētā judikatūra).

79

Treškārt, par nosacījumu, ka datu subjekta intereses vai pamattiesības un pamatbrīvības neprevalē pār pārziņa vai trešās personas leģitīmajām interesēm, Tiesa jau ir nospriedusi, ka šis nosacījums liek veikt attiecīgo pretnostatīto tiesību un interešu samērošanu, kas principā ir atkarīga no attiecīgā gadījuma konkrētajiem apstākļiem, un ka tādējādi šī samērošana valsts tiesai ir jāveic, ņemot vērā konkrētos apstākļus (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 110. punkts, kā arī tajā minētā judikatūra).

80

Turklāt, kā izriet no VDAR 47. apsvēruma, datu subjekta intereses un pamattiesības var būt svarīgākas par datu pārziņa interesēm, ja personas datus apstrādā apstākļos, kādos datu subjektiem nav pamata rēķināties ar šādu apstrādi (spriedums, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 112. punkts).

81

Lai arī izvērtēt to, vai attiecībā uz pamatlietās aplūkoto personas datu apstrādi ir izpildīti šā sprieduma 75. punktā atgādinātie trīs nosacījumi, galu galā ir iesniedzējtiesas ziņā, Tiesa, lemjot par lūgumu sniegt prejudiciālu nolēmumu, var sniegt lietderīgas norādes, pēc kurām valsts tiesai vadīties šajā izvērtējumā (šajā nozīmē skat. spriedumu, 2022. gada 20. oktobris, Digi, C‑77/21, EU:C:2022:805, 39. punkts un tajā minētā judikatūra).

82

Šajā gadījumā jautājumā par leģitīmu interešu esamību SCHUFA apgalvo, ka kredītinformācijas biroji apstrādā datus, kas ir nepieciešami personu vai uzņēmumu maksātspējas novērtējumam, lai varētu šo informāciju nodot šo personu vai uzņēmumu līgumpartneru rīcībā. Kredītspējas noteikšana un ziņu par maksātspēju sniegšana ne vien aizsargājot to uzņēmumu ekonomiskās intereses, kuri vēlas noslēgt ar kredītu saistītus līgumus, bet esot arī pamats kreditēšanai un ekonomikas spējai darboties. Šo biroju darbība arī palīdzot konkretizēt ar kreditēšanu saistītajos darījumos ieinteresēto personu komerciālās vēlmes, jo izziņas ļaujot ātri un nebirokrātiski šos darījumus pārbaudīt.

83

Šajā ziņā, lai gan tāda personas datu apstrāde kā pamatlietās aplūkotā kalpo SCHUFA ekonomiskajām interesēm, šī apstrāde arī palīdz īstenot to SCHUFA līgumpartneru, kuri iecerējuši ar personām noslēgt ar kredītu saistītus līgumus, leģitīmās intereses spēt novērtēt šo personu kredītspēju un tātad arī kredītu nozares sociālekonomiskās intereses.

84

Attiecībā uz patēriņa kredītlīgumiem no Direktīvas 2008/48 8. panta – lasot to šīs direktīvas 28. apsvēruma gaismā – izriet, ka pirms kredītlīguma noslēgšanas kreditoram ir jānovērtē patērētāja kredītspēja, pamatojoties uz pietiekamu informāciju, tostarp vajadzības gadījumā ziņām, kas iegūtas no publiskām un privātām datubāzēm.

85

Turklāt attiecībā uz patērētāju kredītlīgumiem saistībā ar mājokļa nekustamo īpašumu no Direktīvas 2014/17 18. panta 1. punkta un 21. panta 1. punkta – lasot tos šīs direktīvas 55. un 59. apsvēruma gaismā – izriet, ka kreditoram ir rūpīgi jāizvērtē patērētāja kredītspēja un ka viņam ir piekļuve kredītu datubāzēm, jo iepazīšanās ar šādu datubāzu ziņām ir noderīgs šīs izvērtēšanas elements.

86

Jāpiebilst, ka Direktīvās 2008/48 un 2014/17 paredzētā pienākuma novērtēt patērētāju kredītspēju mērķis ir ne tikai aizsargāt kredīta pieprasītāju, bet arī – kā uzsvērts Direktīvas 2008/48 26. apsvērumā – nodrošināt kredītsistēmas pareizu darbību kopumā.

87

Tomēr vēl vajadzīgs, lai datu apstrāde būtu nepieciešama pārziņa vai trešās personas leģitīmo interešu ievērošanai un lai pār šīm interesēm neprevalētu datu subjekta intereses vai pamattiesības un pamatbrīvības. Samērojot šīs attiecīgās pretnostatītās intereses – proti, pārziņa un iesaistīto trešo personu intereses ar datu subjekta interesēm –, svarīgi ir ņemt vērā, kā norādīts šā sprieduma 80. punktā, arī to, ar ko datu subjektam ir pamats rēķināties, kā arī attiecīgās apstrādes apjomu un šīs apstrādes ietekmi uz šo subjektu (skat. spriedumu, 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 116. punkts).

88

Par VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu Tiesa ir nospriedusi, ka šī tiesību norma ir jāinterpretē tādējādi, ka šādu apstrādi var uzskatīt par nepieciešamu pārziņa vai trešās personas leģitīmo interešu mērķiem šīs tiesību normas izpratnē vienīgi tad, ja šī apstrāde tiek veikta šo leģitīmo interešu īstenošanai tikai absolūti nepieciešamajā apmērā un ja no pretnostatīto interešu samērošanas, kas veikta, ņemot vērā visus nozīmīgos apstākļus, izriet, ka attiecīgās apstrādes datu subjektu intereses vai pamattiesības un pamatbrīvības neprevalē pār minētajām pārziņa vai trešās personas leģitīmajām interesēm (šajā nozīmē skat. spriedumus, 2017. gada 4. maijs, Rīgas satiksme, C‑13/16, EU:C:2017:336, 30. punkts, kā arī 2023. gada 4. jūlijs, Meta Platforms u.c. (Vispārīgie sociālā tīkla lietošanas noteikumi), C‑252/21, EU:C:2023:537, 126. punkts).

89

Šajā ziņā iesniedzējtiesa norāda uz diviem pamatlietās aplūkotās personas datu apstrādes aspektiem. Pirmām kārtām, šī apstrāde ietverot datu daudzveidīgu glabāšanu, proti, ne tikai publiskā reģistrā, bet arī kredītinformācijas biroju datubāzēs, turklāt šie biroji šo glabāšanu veicot nevis saistībā ar kādu konkrētu iemeslu, bet gan gadījumam, ja to līgumpartneri tiem pieprasītu šādu informāciju. Otrām kārtām, minētie uzņēmumi šos datus glabājot trīs gadus, pamatojoties uz rīcības kodeksu VDAR 40. panta izpratnē, lai gan valsts tiesību aktos attiecībā uz publisko reģistru esot paredzēts tikai sešu mēnešu ilgs glabāšanas termiņš.

90

Attiecībā uz pirmo no šiem aspektiem SCHUFA apgalvo, ka ziņas nebūtu iespējams sniegt savlaicīgi, ja kredītinformācijas birojam būtu jāgaida konkrēts pieprasījums, lai varētu sākt vākt datus.

91

Šajā ziņā iesniedzējtiesai ir jāpārbauda, vai SCHUFA veiktā attiecīgo datu glabāšana savās datubāzēs ir nepārsniedz to, kas ir absolūti nepieciešams leģitīmo interešu īstenošanai, ja ar attiecīgajiem datiem ir iespējams iepazīties publiskajā reģistrā un konkrētajā gadījumā ziņas nav pieprasījis neviens komercuzņēmums. Ja tas tā nebūtu, SCHUFA veiktā šo datu glabāšana laikposmā, kamēr tie ir publiski pieejami, nevarētu tikt uzskatīta par nepieciešamu.

92

Attiecībā uz datu glabāšanas ilgumu ir uzskatāms, ka šā sprieduma 75. punktā atgādinātā otrā un trešā nosacījuma pārbaude pārklājas, jo, lai izvērtētu, vai šajā gadījumā leģitīmās intereses, kuras ir gribēts īstenot ar pamatlietās aplūkoto personas datu apstrādi, nav saprātīgi īstenojamas ar īsāku datu glabāšanas termiņu, ir jāsamēro attiecīgās pretnostatītās tiesības un intereses.

93

Par esošo leģitīmo interešu samērošanu jānorāda, ka kredītinformācijas biroja veiktā analīze, padarīdama iespējamu objektīvi un uzticami novērtēt šā biroja līgumpartneru potenciālo klientu maksātspēju, ļauj izlīdzināt atšķirības informētībā un tādējādi mazināt krāpšanas riskus, kā arī citas neskaidrības.

94

Savukārt par datu subjekta tiesībām un interesēm jāteic, ka, kredītinformācijas birojam apstrādājot datus par atbrīvošanu no atlikušajām parādsaistībām – piemēram, veicot šo datu glabāšanu, analīzi un izpaušanu trešai personai –, tiek nopietni aizskartas Hartas 7. un 8. pantā garantētās datu subjekta pamattiesības. Proti, šādi dati tiek izmantoti kā negatīvs faktors datu subjekta kredītspējas novērtējumā un tādējādi ir sensitīva informācija par viņa privāto dzīvi (šajā nozīmē skat. spriedumu, 2014. gada 13. maijs, Google Spain un Google, C‑131/12, EU:C:2014:317, 98. punkts). To apstrāde var būtiski kaitēt datu subjekta interesēm, ja šāda izpaušana var ievērojami apgrūtināt viņa brīvību izmantošanu, jo īpaši, ja runa ir par pamatvajadzību apmierināšanu.

95

Turklāt, kā norādīja Komisija, jo ilgāk attiecīgos datus kredītinformācijas biroji glabā, jo lielāka ir ietekme uz datu subjekta interesēm un privāto dzīvi un jo augstākas ir prasības attiecībā uz šīs informācijas glabāšanas likumīgumu.

96

Turklāt jānorāda – kā izriet no Regulas 2015/848 76. apsvēruma –, ka publiska maksātnespējas reģistra mērķis ir uzlabot attiecīgo kreditoru un tiesu informēšanu. Šajā ziņā šīs regulas 79. panta 5. punkts vienīgi noteic, ka dalībvalstis informē datu subjektus par to, cik ilgi maksātnespējas reģistros glabātajiem personas datiem var piekļūt, nenosakot termiņu minēto datu glabāšanai. Savukārt no šīs regulas 79. panta 4. punkta izriet, ka dalībvalstis saskaņā ar to ir atbildīgas par personas datu vākšanu un glabāšanu valsts datubāzēs. Tāpēc šo datu glabāšanas termiņš ir jānosaka, ievērojot minēto regulu.

97

Šajā gadījumā Vācijas likumdevējs noteic, ka informācija par atbrīvošanu no atlikušajām parādsaistībām maksātnespējas reģistrā tiek glabāta tikai sešus mēnešus. Tātad tas uzskata, ka pēc sešu mēnešu termiņa beigām datu subjekta tiesības un intereses prevalē pār sabiedrības tiesībām un interesēm iepazīties ar šo informāciju.

98

Turklāt – kā savu secinājumu 75. punktā norāda ģenerāladvokāts – atbrīvošana no atlikušajām parādsaistībām ir domāta tam, lai ļautu to saņēmušajai personai no jauna piedalīties saimnieciskajā dzīvē, un tāpēc tā šai personai parasti ir eksistenciāli nozīmīga. Taču, ja kredītinformācijas biroji – nolūkā novērtēt personas ekonomisko situāciju – varētu saglabāt datus par atbrīvošanu no atlikušajām parādsaistībām un izmantot šādus datus pēc tam, kad tie ir dzēsti no publiskā maksātnespējas reģistra, šā mērķa sasniegšana būtu apdraudēta tāpēc, ka minētie dati vienmēr tiek izmantoti kā negatīvs faktors, novērtējot šādas personas kredītspēju.

99

Šajos apstākļos kreditēšanas nozares intereses iegūt informāciju par atbrīvošanu no atlikušajām parādsaistībām nevar pamatot tādu personas datu apstrādi kā pamatlietās aplūkotā, kuras ilgums pārsniedz termiņu, kādā dati glabājami publiskajā maksātnespējas reģistrā, un tāpēc kredītinformācijas biroja veiktā šo datu glabāšana nevar tikt pamatota ar VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu attiecībā uz laikposmu pēc minēto datu dzēšanas no publiskā maksātnespējas reģistra.

100

Par sešu mēnešu laikposmu, kurā attiecīgie dati ir pieejami arī šajā publiskajā reģistrā, jānorāda, ka, lai gan šo datu līdztekus veiktas glabāšanas šādu biroju datubāzēs sekas var tikt uzskatītas par ne tik smagām kā tās, kas iestājas pēc sešu mēnešu laikposma beigām, šī glabāšana tomēr ir Hartas 7. un 8. pantā garantēto tiesību aizskārums. Šajā ziņā Tiesa jau ir nospriedusi, ka vienu un to pašu personas datu atrašanās vairākos avotos pastiprina personas tiesību uz privāto dzīvi aizskārumu (skat. spriedumu, 2014. gada 13. maijs, Google Spain un Google, C‑131/12, EU:C:2014:317, 86. un 87. punkts). Iesniedzējtiesai attiecīgās intereses ir jāsamēro ar ietekmi uz datu subjektu, lai noskaidrotu, vai šo datu līdztekus veikta glabāšana, ko veic privāti kredītinformācijas biroji, var tikt uzskatīta par tādu, kas nepārsniedz absolūti nepieciešamo, kā prasīts šā sprieduma 88. punktā atreferētajā Tiesas judikatūrā.

101

Visbeidzot, par tāda rīcības kodeksa esamību, kas – kā šajā lietā esošais – noteic, ka kredītinformācijas birojam pēc trīs gadu termiņa ir jādzēš dati par atbrīvošanu no atlikušajām parādsaistībām, jāatgādina, ka saskaņā ar VDAR 40. panta 1. un 2. punktu rīcības kodeksi ir paredzēti, lai veicinātu šīs regulas atbilstīgu piemērošanu, ņemot vērā dažādo apstrādes nozaru specifiskās iezīmes un mikrouzņēmumu, mazo un vidējo uzņēmumu konkrētās vajadzības. Tādējādi apvienības un citas struktūras, kas pārstāv pārziņu vai apstrādātāju kategorijas, var izstrādāt rīcības kodeksus vai tos grozīt vai papildināt, lai precīzi noteiktu, kā piemērojama minētā regula, piemēram, attiecībā uz godprātīgu un pārredzamu apstrādi, pārziņu leģitīmajām interesēm konkrētos gadījumos un personas datu vākšanu.

102

Turklāt saskaņā ar VDAR 40. panta 5. punktu kodeksa projektu iesniedz kompetentajai uzraudzības iestādei, kas to apstiprina, ja uzskata, ka tas nodrošina atbilstošas garantijas.

103

Šajā gadījumā pamatlietās aplūkoto rīcības kodeksu ir izstrādājusi Vācijas kredītinformācijas biroju apvienība un apstiprinājusi kompetentā uzraudzības iestāde.

104

Taču, lai arī saskaņā ar VDAR 40. panta 1. un 2. punktu rīcības kodeksa mērķis patiešām ir veicināt šīs regulas atbilstīgu piemērošanu un precizēt tās piemērošanas kārtību, tomēr – kā savu secinājumu 103. un 104. punktā norāda ģenerāladvokāts – šādā kodeksā paredzētie personas datu apstrādes likumīguma nosacījumi nevar atšķirties no VDAR 6. panta 1. punktā paredzētajiem nosacījumiem.

105

Tādējādi rīcības kodekss, kura dēļ vērtējuma iznākums atšķiras no tā, kas iegūts, piemērojot VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktu, nav ņemams vērā, veicot saskaņā ar šo tiesību normu veicamo samērošanu.

106

Visbeidzot iesniedzējtiesa prāto arī par to, kādi pienākumi kredītinformācijas birojam izriet no VDAR 17. panta.

107

Šajā ziņā jāatgādina, ka saskaņā ar iesniedzējtiesas norādīto VDAR 17. panta 1. punkta d) apakšpunktu datu subjektam ir tiesības panākt, lai pārzinis bez nepamatotas kavēšanās dzēstu datu subjekta personas datus, un pārziņa pienākums ir bez nepamatotas kavēšanās dzēst personas datus, ja personas dati ir apstrādāti nelikumīgi.

108

Līdz ar to saskaņā ar šīs tiesību normas skaidro formulējumu gadījumā, ja iesniedzējtiesa pēc vērtējuma par pamatlietās aplūkotās personas datu apstrādes likumīgumu secinātu, ka šī apstrāde nav likumīga, pārzinim, šajā gadījumā SCHUFA, attiecīgie dati būtu pēc iespējas ātrāk jādzēš. Tā tas – atbilstoši šā sprieduma 99. punktā konstatētajam – būtu gadījumā ar personas datu apstrādi, kas veikta ilgāk par sešu mēnešu termiņu, kādā šie dati ir glabājami publiskajā maksātnespējas reģistrā.

109

Savukārt ar apstrādi, kas veikta sešu mēnešu laikposmā, kad dati ir pieejami publiskajā maksātnespējas reģistrā, ir tā, ka gadījumā, ja iesniedzējtiesa secinātu, ka šī apstrāde atbilst VDAR 6. panta 1. punkta pirmās daļas f) apakšpunktam, būtu piemērojams šīs regulas 17. panta 1. punkta c) apakšpunkts.

110

Šajā normā ir paredzētas tiesības uz personas datu dzēšanu, ja datu subjekts iebilst pret apstrādi saskaņā ar VDAR 21. panta 1. punktu un apstrādei nav nekāda “svarīgāka leģitīma pamata”. Saskaņā ar šo pēdējo minēto tiesību normu datu subjektam, balstoties uz iemesliem saistībā ar viņa īpašo situāciju, ir tiesības jebkurā laikā iebilst pret savu personas datu apstrādi, kas pamatojas uz 6. panta 1. punkta pirmās daļas e) vai f) apakšpunktu. Pārzinis personas datus vairs neapstrādā, ja vien tas nepierāda, ka šī apstrāde ir nepieciešama vai nu tādu pārliecinošu leģitīmu apstrādes iemeslu dēļ, kas ir svarīgāki par datu subjekta interesēm, tiesībām un brīvībām, vai arī tālab, lai celtu, īstenotu vai aizstāvētu likumīgas prasības.

111

No šīm tiesību normām, lasot tās kopsakarā, izriet – kā savu secinājumu 93. punktā norāda ģenerāladvokāts –, ka datu subjektam ir tiesības iebilst pret datu apstrādi un tiesības panākt šo datu dzēšanu, ja vien nav pārliecinošu leģitīmu iemeslu, kas ir svarīgāki par šā datu subjekta interesēm, kā arī tiesībām un brīvībām VDAR 21. panta 1. punkta izpratnē; un to pierādīt ir pārziņa pienākums.

112

Tādējādi, ja pārzinim neizdodas sniegt šādu pierādījumu, datu subjektam ir tiesības pieprasīt šo datu dzēšanu, pamatojoties uz VDAR 17. panta 1. punkta c) apakšpunktu, ja tas iebilst pret apstrādi saskaņā ar šīs regulas 21. panta 1. punktu. Iesniedzējtiesai jāpārbauda, vai izņēmuma kārtā ir kādi pārliecinoši leģitīmi iemesli, kas varētu pamatot attiecīgo apstrādi.

113

Ņemot vērā visus iepriekš izklāstītos apsvērumus, uz otro līdz piekto jautājumu ir atbildams šādi:

114

Attiecībā uz pamatlietas pusēm šī tiesvedība izriet no tiesvedības, kas notiek iesniedzējtiesā, tāpēc tā lemj par tiesāšanās izdevumiem. Izdevumi, kas radušies, iesniedzot apsvērumus Tiesai, un kas nav minēto pušu izdevumi, nav atlīdzināmi.

Ar šādu pamatojumu Tiesa (pirmā palāta) nospriež: