Wyrok Trybunału (pierwsza izba) z dnia 7 grudnia 2023 r. (wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Verwaltungsgericht Wiesbaden – Niemcy) – UF (C-26/22), AB (C-64/22)/Land Hessen

[Sprawy połączone C-26/22 i C-64/22 (1), SCHUFA Holding (Zwolnienie z pozostałej części długu)]

(Odesłanie prejudycjalne - Ochrona osób fizycznych w zakresie przetwarzania danych osobowych - Rozporządzenie (UE) 2016/679 - Artykuł 5 ust. 1 lit. a) - Zasada „zgodności z prawem” - Artykuł 6 ust. 1 akapit pierwszy lit. f) - Niezbędność przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez osobę trzecią - Artykuł 17 ust. 1 lit. d) - Prawo do usunięcia danych w przypadku niezgodnego z prawem przetwarzania danych osobowych - Artykuł 40 - Kodeksy postępowania - Artykuł 78 ust. 1 - Prawo do skutecznego środka ochrony prawnej przed sądem przeciwko organowi nadzorczemu - Decyzja organu nadzorczego w sprawie skargi - Zakres kontroli sądowej tej decyzji - Biura informacji kredytowej - Przechowywanie pochodzących z rejestru publicznego danych dotyczących przyznanego danej osobie zwolnienia z pozostałej części długu - Okres przechowywania)

(C/2024/917)

Język postępowania: niemiecki

Sąd odsyłający

Verwaltungsgericht Wiesbaden

Strony w postępowaniach głównych

Strony skarżące: UF (C-26/22), AB (C-64/22)

Strona przeciwna: Land Hessen

przy udziale: SCHUFA Holding AG

Sentencja

Artykuł 78 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych)

należy interpretować w ten sposób, że:

wydana przez organ nadzorczy decyzja w sprawie skargi podlega pełnej kontroli sądowej.

Artykuł 5 ust. 1 lit. a) rozporządzenia 2016/679 w związku z art. 6 ust. 1 akapit pierwszy lit. f) tego rozporządzenia

należy interpretować w ten sposób, że:

stoi on na przeszkodzie praktyce prywatnych biur informacji kredytowej polegającej na przechowywaniu, we własnych bazach danych, pochodzących z rejestru publicznego informacji dotyczących przyznanego osobom fizycznym zwolnienia z pozostałej części długu, aby biura te mogły udzielać informacji o zdolności kredytowej tych osób, przez okres dłuższy niż ten, w którym dane są przechowywane w rejestrze publicznym.

Artykuł 17 ust. 1 lit. c) rozporządzenia 2016/679

należy interpretować w ten sposób, że:

osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, gdy wnosi ona sprzeciw wobec przetwarzania zgodnie z art. 21 ust. 1 tego rozporządzenia i nie występują nadrzędne prawnie uzasadnione podstawy mogące wyjątkowo usprawiedliwiać odnośne przetwarzanie.

4)	Artykuł 17 ust. 1 lit. d) rozporządzenia 2016/679 należy interpretować w ten sposób, że: administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, które były przetwarzane niezgodnie z prawem.

(1) Dz.U. C 148 z 4.4.2022.